Jak rozwiązać alarm robota FANUC SRVO-408?
Dla osób pracujących z robotami Fanuc: gdy pojawia się alarm SRVO-408, pierwszą reakcją wielu jest: «Świetnie, silnik serwonapędu znów robi awanturę?». Skoro kod zaczyna się od SRVO, trudno nie pomyśleć o serwonapędzie. Ale dam wam chłodną prysznicę: ten alarm w rzeczywistości ma bardzo niewiele wspólnego ze silnikiem serwonapędu lub wzmacniaczem serwonapędu — to alarm generowany przez system bezpieczeństwa DCS firmy Fanuc.
W przypadkach alarmu SRVO-408, które rozwiązywaliśmy na linii produkcyjnej, w dziewięciu i pół na dziesięć kończy się to problemem obwodu bezpieczeństwa lub konfiguracją DCS — a wcale nie awarią silnika. Dzisiaj więc przeanalizuję go krok po kroku i omówię z wami, co naprawdę kryje się za alarmem SRVO-408 oraz od czego zacząć jego diagnozę, by nie marnować czasu na bezcelowe rozbieranie serwonapędu i nie opóźniać produkcji bez potrzeby. 
Co oznacza linia na ekranie „SRVO-408 DCS SSO Ext Emergency Stop”?
Po pierwsze, zapamiętaj to jedno zdanie: SRVO-408 = DCS SSO External Emergency Stop = sygnał bezpieczeństwa SSO[3] został przesunięty do stanu OFF. W tym zdaniu występują dwa terminy, które należy najpierw zrozumieć: DCS i SSO.
DCS, czyli Dual Check Safety, to zestaw funkcji bezpieczeństwa w systemie sterowania robotem Fanuc. Za pomocą sygnałów nadmiarowych, monitorowania bezpieczeństwa oraz wejść/wyjść bezpieczeństwa kontroluje on ruch robota i jego stan bezpieczeństwa, aby zapobiec utracie kontroli nad robotem, obrażeniom osób lub uszkodzeniom sprzętu. Natomiast SSO można traktować jako rodzaj sygnału wyjściowego bezpieczeństwa w systemie DCS — właściwie jako „flagę bezpieczeństwa”, którą DCS wysyła.
W alarmie SRVO-408 firma Fanuc odnosi się konkretnie do wyjścia bezpieczeństwa oznaczonego jako SSO[3]. Gdy logika bezpieczeństwa DCS stwierdza, że wyjście bezpieczeństwa SSO[3] związane z zewnętrznym przyciskiem awaryjnego zatrzymania zostało wyłączone (OFF), robot przechodzi w stan awaryjnego zatrzymania, a na ekranie pojawia się komunikat SRVO-408.
Jak więc widać, ten alarm informuje Cię w istocie, że logika bezpieczeństwa DCS uznała, iż wystąpił błąd w wyjściu bezpieczeństwa powiązanym ze zewnętrznym przyciskiem awaryjnego zatrzymania, i już je wyłączyła. Jest to zupełnie inna sytuacja niż np. „przeciążenie silnika serwonapędu”, „błąd enkodera” czy „uszkodzenie wzmacniacza”. W przeszłości, po pojawieniu się alarmu serwonapędu, sprawdzałeś zwykle silnik, enkoder, wzmacniacz lub kable. Natomiast przy alarmie SRVO-408 bardziej wiarygodnym podejściem jest śledzenie łańcucha sygnałów bezpieczeństwa DCS. Prościej mówiąc: SRVO-408 → wyłączenie SSO[3] → sprawdzenie połączenia Safe I/O → ustalenie, co kontroluje SSO[3] → sprawdzenie odpowiedniego obwodu bezpieczeństwa.
Dlaczego ten alarm zawsze zaplątuje się wraz z przyciskami awaryjnego zatrzymania i bramkami bezpieczeństwa?
Na wielu zautomatyzowanych liniach produkcyjnych robot Fanuc nie pracuje samodzielnie, w izolacji. Często jest otoczony bramkami bezpieczeństwa, zasłonami świetlnymi bezpieczeństwa, przyciskami awaryjnego zatrzymania, przekaźnikami bezpieczeństwa, PLC bezpieczeństwa oraz czasem innymi robotami, obrabiarkami lub liniami transportowymi w pobliżu. Te urządzenia są połączone z systemem sterowania robotem za pośrednictwem obwodów bezpieczeństwa. Typowy łańcuch bezpieczeństwa wygląda następująco: naciśnięcie przycisku awaryjnego zatrzymania → zmiana stanu przekaźnika bezpieczeństwa lub PLC bezpieczeństwa → przerwanie sygnału bezpieczeństwa → logika bezpieczeństwa DCS wykrywa usterkę → SSO[3] przełączone na OFF → pojawia się błąd SRVO-408.
Zatem, gdy widzisz kod SRVO-408, rzeczywiście powinieneś sprawdzić awaryjne zatrzymanie i urządzenia bezpieczeństwa. Istnieje jednak jedna bardzo ważna kwestia: nie możesz po prostu założyć, że «brama bezpieczeństwa jest otwarta, więc musi to być SRVO-408». System bezpieczeństwa DCS firmy Fanuc zawiera całą gamę różnych funkcji bezpieczeństwa oraz szereg podobnych kodów alarmów — na przykład związanych z «otwartą ogrodzeniem» lub «rozłączonym serwonapędem». Podczas rzeczywistej diagnostyki nie ograniczaj się do ogólnego stwierdzenia «coś jest nie w porządku z funkcją bezpieczeństwa robota» — kontynuuj analizę na głębszym poziomie: który konkretny sygnał bezpieczeństwa zmienił się dokładnie? I który SSO kontroluje ten sygnał? Gdy określisz to na tak szczegółowym poziomie, będziesz w stanie dokładnie zlokalizować źródło problemu.
Najczęstsze przyczyny występujące w praktyce, wymienione po kolei
1. SSO[3] został rzeczywiście przełączony na stan OFF
To jest najbardziej bezpośredni powód i pierwsza rzecz, którą należy potwierdzić podczas diagnozowania alarmu SRVO-408. Podstawowym warunkiem wyzwalającym SRVO-408 w systemach Fanuc jest stan wyłączenia sygnału SSO[3]. Innymi słowy, gdy pojawia się ten alarm, nie należy od razu podejrzewać wzmacniacza serwonapędu — najpierw sprawdź status DCS, aby określić, czy sygnał SSO[3] rzeczywiście znajduje się w stanie OFF. Jeśli tak jest, kolejnym krokiem jest ustalenie, która logika bezpieczeństwa kontroluje ten wyjściowy sygnał. W niektórych systemach SSO[3] może być powiązany z konkretnym wejściem bezpieczeństwa (SPI) lub sterowany za pośrednictwem relacji logicznych w module Safe I/O Connect. Dokładny sposób konfiguracji zależy od pierwotnego projektu systemu bezpieczeństwa danego robota. Nie należy więc zakładać, że ten sam numer wejścia/wyjścia można stosować uniwersalnie we wszystkich maszynach.
2. Wejście bezpieczeństwa powiązane z SSO[3] przeszło w stan OFF
Gdy już zlokalizowano SSO[3], kolejnym krokiem jest ustalenie, co go kontroluje. Ten etap ma szczególne znaczenie podczas diagnozowania problemów. Na przykład w przypadku konkretnego robota Fanuc sygnał SSO[3] może być połączony z wejściem bezpieczeństwa SPI. Jeśli to wejście SPI wyłączy się z powodu niespełnienia jakiegoś zewnętrznego warunku bezpieczeństwa, logika DCS automatycznie również wyłączy SSO[3], co ostatecznie spowoduje wystąpienie błędu SRVO-408.
W takim przypadku rzeczywiste źródło usterki może wcale nie znajdować się w szafie sterującej robota Fanuc. Może się okazać, że obwód zewnętrznego przycisku awaryjnego nie został zresetowany, przekaźnik bezpieczeństwa nie załączył się ponownie, sterownik PLC bezpieczeństwa nie wygenerował odpowiedniego sygnału bezpieczeństwa, przewód na wejściu bezpieczeństwa uległ przerwaniu, jakiś przełącznik bezpieczeństwa nadal jest naciśnięty i nie został zwolniony lub łącznik ma słabe połączenie. Dlatego podczas diagnozowania najlepiej analizować ścieżkę sygnału sekcja po sekcji, zamiast od razu wymieniać sprzęt.
3. Występuje usterka w samym zewnętrznym obwodzie przycisku awaryjnego
System awaryjnego zatrzymania w komórce robota to obszar wymagający szczególnej uwagi w przypadku błędu SRVO-408. Gdy operator naciska przycisk awaryjnego zatrzymania, przekaźnik bezpieczeństwa otwiera się, sterownik robota otrzymuje odpowiedni sygnał stanu bezpieczeństwa, a system DCS wykonuje bezpieczne zatrzymanie — funkcja bezpieczeństwa działa wtedy prawidłowo, nie ma tu żadnego problemu. Problem pojawia się, gdy przycisk awaryjnego zatrzymania został już zwolniony, ale łańcuch bezpieczeństwa nie odzyskał jeszcze pełnej sprawności. Na przykład przycisk awaryjnego zatrzymania może zostać mechanicznie zresetowany, ale przekaźnik bezpieczeństwa nie został zresetowany; albo PLC bezpieczeństwa nadal uważa, że pewien warunek bezpieczeństwa nie został spełniony. W takim przypadku robot nadal nie będzie się poruszał i będzie kontynuował generowanie alarmów bezpieczeństwa.
Podczas rozwiązywania problemów nie wystarczy tylko sprawdzać, czy przycisk awaryjnego zatrzymania wrócił do pozycji wyjściowej — należy potwierdzić, że cały obwód bezpieczeństwa został przywrócony. Można to zrobić w następującej kolejności: przycisk awaryjnego zatrzymania → przekaźnik bezpieczeństwa → sterownik PLC bezpieczeństwa → wejście bezpieczeństwa → DCS Safe I/O Connect → SSO[3]. Jeśli którykolwiek z tych elementów nie został przywrócony, robot nie może powrócić do normalnego stanu bezpieczeństwa.
4. Konfiguracja DCS Safe I/O Connect została zmodyfikowana
Jeśli robot działał bez zarzutu przez cały czas, a niedawno zaczął często generować błąd SRVO-408, a ktoś modyfikował konfigurację sterownika, wówczas konfiguracja DCS wymaga szczególnej uwagi. Przykłady takich zmian: modyfikacja wejść/wyjść bezpieczeństwa DCS, wymiana sterownika, przywrócenie kopii zapasowej robota, zmiana programu PLC bezpieczeństwa, ponowna konfiguracja stanowiska robota, wymiana zewnętrznego urządzenia bezpieczeństwa lub ponowne wprowadzenie systemu robota do eksploatacji. Dotyczy to szczególnie używanych sterowników Fanuc, które wcześniej były zamontowane na innym systemie robota, a następnie zostały usunięte i zainstalowane na nowym sprzęcie — należy zweryfikować, czy oryginalna konfiguracja bezpieczeństwa DCS rzeczywiście odpowiada projektowi bezpieczeństwa obecnego urządzenia.
Czas pojawienia się alarmu jest sam w sobie ważnym wskaźnikiem. Jeśli maszyna nie miała tego problemu przez lata, a błąd SRVO-408 pojawia się natychmiast po wymianie sterownika, należy najpierw sprawdzić konfigurację DCS sterownika oraz stan wejść/wyjść bezpieczeństwa, zamiast podejrzewać serwonapęd robota.
5. PLC bezpieczeństwa lub inne zewnętrzne urządzenie bezpieczeństwa nie przekazuje poprawnego stanu.
Obecnie wiele stanowisk robota wykorzystuje PLC bezpieczeństwa. Jeśli system DCS firmy Fanuc jest połączony ze zewnętrznym systemem bezpieczeństwa za pośrednictwem sygnałów, to stan PLC bezpieczeństwa wpływa również na końcowy stan bezpieczeństwa robota. Na przykład: PLC bezpieczeństwa wykrywa, że pewien warunek bezpieczeństwa nie został spełniony → wyjście bezpieczeństwa nie powraca do stanu aktywnego → wejście bezpieczeństwa Fanuc pozostaje wyłączone → logika DCS utrzymuje SSO[3] w stanie wyłączenia → błąd SRVO-408. W takim przypadku cała praca poświęcona sprawdzaniu systemu serwonapędu Fanuc jest praktycznie bezcelowa.
Jeśli na miejscu znajduje się bezpieczny PLC, warto jednorazowo sprawdzić informacje diagnostyczne tego PLC, aby potwierdzić, czy wejścia bezpieczeństwa, wyjścia bezpieczeństwa oraz powiązana logika bezpieczeństwa znajdują się w oczekiwanym stanie.
6. Logika połączenia bezpiecznych wejść/wyjść nie odpowiada rzeczywistemu projektowi maszyny
Istnieje jeszcze jedna sytuacja, którą łatwo przeoczyć: sama konfiguracja bezpiecznych wejść/wyjść DCS nie odpowiada aktualnemu projektowi bezpieczeństwa maszyny. Na przykład robot mógł zostać przekonfigurowany, a zewnętrzne urządzenia bezpieczeństwa zmienione, lecz konfiguracja bezpiecznych wejść/wyjść DCS nie została zaktualizowana w celu dopasowania do tych zmian; lub kontroler został przywrócony ze starej kopii zapasowej, co spowodowało rozbieżność między obecnym wyposażeniem a pierwotną logiką bezpieczeństwa. W takim przypadku sam robot może wcale nie mieć żadnego usterki mechanicznej ani sprzętowej napędu serwonapędowego, ale system DCS po prostu sądzi, że warunek bezpieczeństwa nie jest spełniony.
Jeśli już potwierdzono, że wszystkie zewnętrzne urządzenia bezpieczeństwa działają prawidłowo, ale sygnał SSO[3] nadal nie wraca, należy starannie porównać aktualną konfigurację bezpiecznego połączenia DCS Safe I/O z oryginalnymi schematami elektrycznymi maszyny, dokumentacją uruchomieniową oraz projektem systemu bezpieczeństwa.
Jak zwykle śledzę ten proces krok po kroku podczas diagnozowania usterki
Największym zakazem przy obsługi tego typu alarmu jest natychmiastowa wymiana komponentu po wykryciu alarmu. Alarm SRVO-408 jasno wskazuje przyczynę: SSO[3] OFF. W praktyce diagnozowania usterki należy więc śledzić ten sygnał wstecz.
Najpierw zapisz pełny dziennik alarmów z panelu teach pendant. Oprócz alarmu SRVO-408 sprawdź, czy w historii alarmów występują inne alarmy związane z systemem DCS, bezpiecznym wejściem/wyjściem (safety I/O) lub awaryjnym zatrzymaniem. Czasami alarm SRVO-408 to tylko ostateczny skutek, a właściwa przyczyna mogła pojawić się wcześniej.
Następnie sprawdź odpowiedni status DCS, aby potwierdzić, czy SSO[3] jest rzeczywiście wyłączone. Jeśli SSO[3] jest wyłączone, przejdź do analizy konfiguracji Safe I/O Connect w celu znalezienia wejścia lub zależności logicznej kontrolującej SSO[3]. Nie podejmuj żadnych domysłów ani nie opieraj się na wcześniejszym doświadczeniu na tym etapie — konfiguracja DCS może znacznie się różnić w zależności od modelu robota, sterownika i stanowiska roboczego. Nawet jeśli dwie maszyny są marki Fanuc, przypisania SPI, SSO oraz bezpiecznych wejść/wyjść mogą być zupełnie inne.
Gdy znajdziesz odpowiednie wejście bezpieczeństwa, sprawdź, czy jest aktualnie włączone czy wyłączone. Jeśli to wejście bezpieczeństwa również jest wyłączone, kontynuuj śledzenie w kierunku zewnętrznych elementów. Na przykład: SPI wyłączone → sprawdź PLC bezpieczeństwa → sprawdź przekaźnik bezpieczeństwa → sprawdź przycisk awaryjnego zatrzymania → sprawdź urządzenia takie jak brama bezpieczeństwa i kurtyna świetlna.
Jeśli wszystkie zewnętrzne urządzenia bezpieczeństwa działają prawidłowo, ale SPI nadal nie wraca do pracy, należy przeprowadzić dalszą diagnostykę: sprawdzić okablowanie bezpieczeństwa, złącza oraz konfigurację DCS. Jeśli zewnętrzny system bezpieczeństwa został w pełni przywrócony, ale stan DCS nadal wskazuje na wyłączenie, należy skupić się na poprawności konfiguracji opcji „Safe I/O Connect”.
Ta metoda rozwiązywania problemów może wydawać się wolniejsza niż po prostu wymiana wzmacniacza serwonapędu, ale w praktyce zwykle jest szybsza. Wynika to z faktu, że lokalizujesz usterkę, analizując logikę alarmu, a nie polegasz na próbnych i błędnych wymianach komponentów.
Czy można po prostu nacisnąć przycisk reset i wymusić działanie?
Gdy operator wywołuje alarm robota, pierwszą reakcją jest naciśnięcie przycisku RESET. Możesz spróbować zresetować również alarm SRVO-408, ale samo naciśnięcie przycisku RESET zasadniczo nie rozwiąże problemu. Powód jest prosty: jeśli system DCS nadal wykrywa, że sygnał SSO[3] jest wyłączony (OFF), warunek bezpieczeństwa nie został przywrócony i alarm natychmiast powróci po jego zresetowaniu. Poprawne postępowanie to: najpierw przywróć warunek bezpieczeństwa → potwierdź, że sygnał SSO[3] wrócił do stanu normalnego → następnie zresetuj alarm → a na końcu zweryfikuj status pracy robota.
Wielokrotne naciskanie przycisku RESET lub nawet ciągłe ponowne uruchamianie sterownika bez usunięcia podstawowej przyczyny wyłączenia (OFF) sygnału SSO[3] to czysta strata wysiłku. Co ważniejsze, nigdy — nawet w celu zaoszczędzenia czasu — nie należy wymusić zwarcia wejścia bezpieczeństwa (force-jumper) ani dowolnie modyfikować logiki bezpieczeństwa, aby uruchomić robota.
Czy silnik serwonapędowy może być faktycznie uszkodzony?
Ogólnie rzecz biorąc — nie. Choć nazwa alarmu zaczyna się od SRVO, podstawowa definicja alarmu SRVO-408 brzmi „DCS SSO Ext Emergency Stop” (zewnętrzny awaryjny stop bezpieczeństwa DCS SSO), co odpowiada stanowi SSO[3] OFF w ramach funkcji bezpieczeństwa DCS. Zatem, jeśli robot wywołał wyłącznie alarm SRVO-408 i żaden inny alarm jednoznacznie nie wskazuje na problem w układzie serwonapędu, nie należy od razu podejmować decyzji o wymianie silnika serwonapędu, wzmacniacza serwonapędu, enkodera ani reduktora. Te komponenty mogą być głównymi podejrzanymi przy innych alarmach Fanuc, lecz w przypadku SRVO-408 nie są one pierwszymi elementami do sprawdzenia.
Dlatego też często spotyka się na miejscu przypadki, w których „wymieniono wzmacniacz serwonapędu, a nadal pojawia się alarm” — ponieważ problem wcale nie dotyczył wzmacniacza, a więc bez znaczenia jest, ile ich wymieni się.
W żadnym wypadku nie należy stosować skrótu polegającego na zwieraniu sygnału bezpieczeństwa
SRVO-408 to alarm związany z funkcją bezpieczeństwa robota i nie powinien być traktowany jak zwykły alarm produkcyjny. Niektórzy pracownicy na miejscu mogą myśleć: „Dlaczego nie przemostyć tym sygnałem bezpieczeństwa na razie, by uruchomić robota?”. Takie podejście jest skrajnie niebezpieczne.
Nigdy nie należy wymuszać ponownego uruchomienia robota za pomocą metod takich jak: przemostowanie wejścia bezpieczeństwa, wymuszanie stanu WŁĄCZ na wyjściu bezpieczeństwa, dowolne wyłączenie DCS, obejście sterownika bezpieczeństwa (safety PLC), usunięcie blokady bramy bezpieczeństwa lub obejście obwodu awaryjnego zatrzymania. Te działania mogą bezpośrednio zniszczyć zaprojektowaną funkcję bezpieczeństwa robota. DCS istnieje właśnie po to, by zmniejszyć ryzyko nieoczekiwanego ruchu robota i spowodowania szkód. Jeśli DCS generuje alarm, poprawnym postępowaniem jest ustalenie przyczyny, dla której warunek bezpieczeństwa nie został spełniony, a nie poszukiwanie sposobu, by system „ignorował” ten warunek.
Jeśli rzeczywiście stanie się konieczne zmodyfikowanie konfiguracji DCS, to również musi być zgodne z pierwotnym projektem bezpieczeństwa sprzętu, oceną ryzyka oraz odpowiednim procesem wprowadzania systemu bezpieczeństwa do eksploatacji — nie można tego zrobić bez przemyślenia.
Jak zapobiec temu, aby nie przeszkadzało to tak często w codziennym użytkowaniu
Błąd SRVO-408 nie da się całkowicie zapobiec jedynie poprzez wymianę jakiejś konkretnej części. Jest on związany ze stanem całego systemu bezpieczeństwa robota, dlatego konserwacja okresowa musi obejmować również obwód bezpieczeństwa.
Na przykład należy regularnie sprawdzać przyciski awaryjnego zatrzymania, bramy bezpieczeństwa, przekaźniki bezpieczeństwa, sterowniki PLC bezpieczeństwa oraz powiązane okablowanie bezpieczeństwa. Złącza i okablowanie wejść/wyjść bezpieczeństwa w szafie sterującej robotem również muszą być dobrze zamocowane, aby długotrwała wibracja nie powodowała utraty kontaktu i pojawiania się niestabilnych błędów bezpieczeństwa.
Jeśli dokonano zmian w konfiguracji DCS na sterowniku Fanuc, najlepiej zachować dokumentację tych zmian oraz utrzymywać aktualną kopię zapasową sterownika. W szczególności po wymianie sterowników, przywróceniu kopii zapasowej lub ponownej konfiguracji stanowiska robota należy ponownie potwierdzić, że konfiguracja bezpieczeństwa DCS odpowiada aktualnemu stanowi maszyny.
W przypadku robotów eksploatowanych przez dłuższy czas należy również zwracać uwagę na starzejące się przewody bezpieczeństwa. Długotrwała wibracja, ruch posuwisto-zwrotny w kanałach kablowych, zanieczyszczenie olejem oraz częste gięcie mogą powodować uszkodzenia kabli lub łączników. Takie problemy nie wywołują natychmiastowego alarmu, ale ostatecznie prowadzą do niestabilnych stanów wejść bezpieczeństwa, co czasami skutkuje alarmami DCS, takimi jak SRVO-408.
Kiedy należy wezwać specjalistę?
Jeśli już potwierdzono, że urządzenia zewnętrzne, takie jak przycisk awaryjnego zatrzymania, bramy bezpieczeństwa i przekaźniki bezpieczeństwa, działają prawidłowo, ale sygnał SSO[3] nadal jest wyłączony, należy dokładniej przeanalizować konfigurację DCS oraz sygnały bezpieczeństwa.
W szczególności warto zaangażować inżyniera z doświadczeniem w systemie Fanuc DCS w przypadku wystąpienia którekolwiek z poniższych sytuacji: właśnie wymieniono sterownik robota; właśnie przywrócono kopię zapasową DCS lub systemu; niedawno zmodyfikowano program PLC bezpieczeństwa; właśnie przeprojektowano stanowisko robota; konfiguracja bezpiecznego połączenia DCS Safe I/O Connect jest dla Ciebie niejasna; nie wiesz, który wejściowy sygnał bezpieczeństwa kontroluje SSO[3]; wszystkie zewnętrzne urządzenia bezpieczeństwa działają prawidłowo, ale błąd SRVO-408 nadal się pojawia; lub robot wygenerował całą serię alarmów związanych z DCS.
W przypadku funkcji bezpieczeństwa najważniejsze nie jest „jak najszybsze uruchomienie robota”, lecz potwierdzenie, że system bezpieczeństwa rzeczywiście powrócił do poprawnego stanu.
