Sicurezza funzionale

Azionamento di elementi pericolosi con dispositivi di protezione inibiti a velocità lenta

Qualora sia necessario far funzionare elementi delle macchine con dispositivi di protezione disabilitati — ad esempio per messa a punto o regolazione della macchina — la direttiva 2006/42/CE  e il regolamento (UE) 2023/1230 al requisito essenziale di sicurezza e di salute 1.2.5 (allegato I e III) prescrive:

Se per alcune operazioni la macchina deve poter funzionare con un riparo spostato o rimosso e/o con il dispositivo di protezione neutralizzato, il selettore del modo di comando o di funzionamento deve simultaneamente:

  • escludere tutti gli altri modi di comando o di funzionamento,
  • autorizzare l’attivazione delle funzioni pericolose soltanto mediante dispositivi di comando che necessitano di un’azione continuata,
  • autorizzare l’attivazione delle funzioni pericolose soltanto in condizioni di minor rischio, evitando i pericoli derivanti dal succedersi delle sequenze,
  • impedire qualsiasi attivazione delle funzioni pericolose mediante un’azione volontaria o involontaria sui sensori della macchina.

Se queste quattro condizioni non possono essere soddisfatte simultaneamente, il selettore del modo di comando o di funzionamento deve attivare altre misure di protezione progettate e costruite per garantire una zona di intervento sicura. …

Azionamento di elementi pericolosi con dispositivi di protezione inibiti a velocità lentaLeggi altro »

Azionamento di elementi pericolosi con dispositivi di protezione inibiti a velocità lenta Leggi tutto »

Errori del software di sicurezza delle macchine: come evitarli?

Le funzioni di sicurezza delle macchine sono sempre più frequentemente controllate da equipaggiamenti programmabili; quindi il funzionamento sicuro è legato alla correttezza del software, elemento essenziale per evitare comportamenti pericolosi delle macchine.
Essendo il software caratterizzato dalla presenza di guasti sistematici — e non casuali — l’unica misura attuabile per limitare l’eventualità che il software (sia applicativo che di sistema), che controlla funzioni di sicurezza, provochi comportamenti pericolosi della macchina è evitare, per quanto possibile, l’introduzione di errori durante le fasi di sviluppo del software (incluse revisioni e correzioni).
Uno degli elementi più critici è la compresenza di software che svolge funzioni di sicurezza e di software necessario al normale funzionamento della macchina.

La norma UNI EN ISO 13849-1:2023 prescrive che le parti di software che non svolgono funzioni di sicurezza non influenzino in modo negativo quelle che controllano circuiti di comando che devono raggiungere un livello di prestazione richiesto.

Più in generale il software dedicato a funzioni di sicurezza che devono raggiungere un livello di prestazione richiesto minore non deve influire su parti del software di funzioni per le quali il livello di prestazione richiesto è più alto.

Tale rischio è maggiore per i PLC integrati che controllano il normale funzionamento della macchina e che svolgono anche funzioni di sicurezza, in quanto in questo caso diverse parti del software (sicuro e non) convivono sullo stesso equipaggiamento programmabile.

Un caso che capita di riscontrare, nel software di controllo delle macchine, è l’utilizzo di variabili non sicure in rami di software che svolgono funzioni di sicurezza.

A seconda di come — e dove — vengono usate queste variabili, potrebbe essere che, intere sezioni di software, non vengano eseguite e — di conseguenza — le funzioni che controllano, ad esempio il monitoraggio di una pressione o una temperatura, non siano attive.

Anche se gli strumenti di programmazione normalmente evidenziano gli elementi del software sicuri e quelli funzionali, essi non impediscono (e non possono impedire) che parti del software non sicuro siano introdotte nelle sezioni che svolgono funzioni di sicurezza.

Infatti è spesso necessario, ad esempio, che uno stesso attuatore sia arrestato sia come parte del normale ciclo di lavoro della macchina, che per ragioni di sicurezza (ad esempio a seguito dell’apertura di un riparo mobile interbloccato).

È quindi essenziale eseguire attività di verifica della corretta scrittura del software — come prescritto dal §7.1 della norma UNI EN ISO 13849-1:2023 — tese ad individuare errori che possano compromettere il funzionamento sicuro della macchina.

Infatti le criticità insite in una scrittura non corretta del software non si manifesterebbero durante il normale funzionamento della macchina o nel corso di collaudi funzionali.
Ad esempio, una variabile non sicura non compromette il corretto funzionamento della macchina finché il PLC funziona regolarmente: in caso di guasto o di condizioni anomale, però, tale variabile potrebbe assumere valori non desiderati e causare comportamenti pericolosi della macchina.
Dunque è fondamentale che venga effettuata anche una validazione del software esaustiva, che simuli anche condizioni anomale e di guasto, in modo da evidenziare eventuali comportamenti non sicuri dei circuiti di comando della macchina.
In mancanza di queste attività, gli errori presenti nei software sono difficili da scovare in quanto “nascosti” all’interno del codice; la complessità del comportamento di un equipaggiamento programmabile lo rende decisamente più critico rispetto a circuiti cablati, analizzabili con maggiore semplicità.

Se vuoi approfondire l’argomento software di sicurezza, ti consiglio di partecipare a questo corso:

Corso “Il software legato alla sicurezza e la validazione in accordo alle norme UNI EN ISO 13849-1 & UNI EN ISO 13849-2”

Errori del software di sicurezza delle macchine: come evitarli? Leggi tutto »

Modifiche ai circuiti di comando di macchine già in uso: quali norme usare?

Nell’esecuzione di interventi su circuiti di comando aventi funzioni di sicurezza di macchine già in uso, si presenta la questione di quali norme tecniche usare come riferimento per garantire la sicurezza.

Le norme di riferimento, per la progettazione e realizzazione dei circuiti di comando aventi funzioni di sicurezza, sono:

  • UNI EN 954-1 (dicembre 1998): Sicurezza del macchinario – Parti dei sistemi di comando legate alla sicurezza – Principi generali per la progettazione
  • UNI EN ISO 13849-1 (agosto 2023): Sicurezza del macchinario – Parti dei sistemi di comando legate alla sicurezza – Parte 1: Principi generali per la progettazione
  • UNI EN ISO 13849-2 (marzo 2013): Sicurezza del macchinario – Parti dei sistemi di comando legate alla sicurezza – Parte 2: Validazione
  • CEI EN 62061 (febbraio 2022): Sicurezza del macchinario – Sicurezza funzionale dei sistemi di comando e controllo elettrici, elettronici ed elettronici programmabili correlati alla sicurezza

Con la “Comunicazione della Commissione nell’ambito dell’applicazione della direttiva 2006/42/CE del Parlamento europeo e del Consiglio, relativa alle macchine e che modifica la direttiva 95/16/CE (rifusione) 2009/C 321/09”, pubblicata sulla Gazzetta ufficiale dell’Unione europea C 321 del 29/12/2009, è stata prolungata la data di cessazione della presunzione di conformità della norma UNI EN 954-1:1998 (inizialmente prevista per il 28/12/2009) al 31/12/2011.

In caso di modifiche ai circuiti di comando che svolgono funzioni di sicurezza di macchine già in servizio, le norme di riferimento possono essere:

  • UNI EN 954-1:1998 per le parti dei circuiti esistenti;
  • UNI EN ISO 13849-1:2023 (oppure CEI EN 62061:2022) per le parti dei circuiti di nuova realizzazione.

In caso contrario, si ritiene possibile valutare la porzione di circuito esistente in accordo alla norma UNI EN 954-1:1998 (in termini di categorie) e la porzione di circuito di nuova realizzazione in accordo alla norma UNI EN ISO 13849-1:2023 (in termini di PL).

Ad esempio, dovendo sostituire su una macchina già in servizio il motore elettrico che aziona un elemento pericoloso (vedi Figura 1) installando un inverter dotato di funzione di Safe Torque Off (STO), si può operare come segue:

  • determinazione del livello di prestazione richiesto (PLr) per le parti di circuito di comando di nuova realizzazione (vedi Figura 2);
  • determinazione della categoria richiesta per la parte di circuito di comando esistenti;
  • stima delle categorie / PL raggiunti

Figura 2 – Determinazione del PLr

S Gravità della lesione
S1 Leggera (lesione generalmente reversibile)
S2 Grave (lesione generalmente irreversibile o morte)
F Frequenza e/o esposizione al pericolo
F1 Da rara a infrequente e/o tempo di esposizione breve
F2 Da frequente a continua e/o tempo di esposizione lungo
P Possibilità di evitare il pericolo o limitare il danno
P1 Possibile in determinate condizioni
P2 Scarsamente possibile

[fl_builder_insert_layout id=”4656″ type=”fl-builder-template”]

Modifiche ai circuiti di comando di macchine già in uso: quali norme usare? Leggi tutto »

Le specifiche delle funzioni di sicurezza dei macchinari

L’applicazione della norma UNI EN ISO 13849-1:2023 non si esaurisce con la stima del PL; la stima del PL deve sempre essere preceduta dalla redazione delle specifiche delle funzioni di sicurezza.
Tali specifiche devono dettagliare il comportamento della funzione di sicurezza e il PLr (livello di prestazione richiesto) che tali funzioni dovranno raggiungere.
La redazione di tali specifiche è tanto più importante nel caso in cui la funzione di sicurezza includa dei dispositivi programmabili (ad esempio PLC di sicurezza o moduli di sicurezza configurabili); una specifica errata o comunque poco dettagliata potrebbe determinare l’introduzione di errori nella funzione di sicurezza.

Quadra è in grado di assistere il fabbricante in tutte le attività richieste dalle norme UNI EN ISO 13849-1:2023 e UNI EN ISO 13849-2:2013:

  • predisposizione delle specifiche delle funzioni di sicurezza (inclusa la determinazione del PLr);
  • stima del PL mediante il software SISTEMA;
  • verifica del software di sicurezza (SRASW);
  • validazione.

In particolare, Quadra può assistere il fabbricante nella esecuzione dell’analisi e valutazione dei rischi e quindi nella definizione delle specifiche delle funzioni di sicurezza; tali documenti saranno predisposti in modo tale che possano essere facilmente utilizzati dai progettisti (elettrici, pneumatici, oleoidraulici) e dai programmatori per realizzare le funzioni di sicurezza.

Hai un dubbio, un problema o una domanda?

Parlane con noi e ci impegneremo per darti una risposta utile e puntuale. CONTATTACI ORA

Le specifiche delle funzioni di sicurezza dei macchinari Leggi tutto »

I componenti di sicurezza

La direttiva macchine 2006/42/CE e il regolamento (UE) 2023/1230 si applicano a:

  • macchine;
    a) attrezzature intercambiabili;
    b) componenti di sicurezza;
    c) accessori di sollevamento;
    d) catene, funi e cinghie;
    e) dispositivi amovibili di trasmissione meccanica;
  • quasi-macchine.

Componenti di sicurezza macchine industriali: la definizione

I componenti di sicurezza immessi separatamente sul mercato rientrano nel campo di applicazione della direttiva macchine e del regolamento macchine; un componente di sicurezza è per definizione:

  • progettato o destinato a espletare una funzione di sicurezza,
  • immesso sul mercato separatamente,
  • un componente il cui guasto e/o malfunzionamento, mette a repentaglio la sicurezza delle persone, e
  • non indispensabile per lo scopo per cui è stata progettata la macchina o che per tale funzione può essere sostituito con altri componenti.

Rispetto alla direttiva 2006/42/CE, il regolamento (UE) 2023/1230 include tra i componenti di sicurezza anche i componenti digitali, compresi i software.
La direttiva 2006/42/CE e il regolamento (UE) 2023/1230 si applicano solamente ai componenti di sicurezza immessi sul mercato separatamente; se il componente di sicurezza è incorporato in una macchina, la sua conformità ai requisiti di sicurezza e di tutela della salute è implicitamente compresa nel fatto che la macchina stessa è conforme a tali requisiti (e di conseguenza tutti i suoi componenti).

Quando un componente può essere definito “di sicurezza” ?

Un punto chiave è definire quando un componente può essere definito “di sicurezza”. Innanzitutto, un componente di sicurezza non contribuisce direttamente e principalmente all’espletamento della funzione della macchina, ma il suo scopo principale è quello di assicurare una misura di protezione per le persone esposte.
Inoltre, non può essere considerato di “sicurezza” un componente il cui guasto o malfunzionamento non comporta rischi per le persone esposte.
Alcuni componenti hanno un’incontrovertibile funzione di sicurezza, quali un pulsante di arresto di emergenza oppure un tappeto sensibile.

Per altri componenti, invece, l’attribuzione della funzione di sicurezza può essere più ambigua: per esempio, un microinterruttore può essere utilizzato come sensore per individuare il passaggio di un prodotto – nel qual caso svolge un ruolo nel funzionamento normale della macchina – oppure per arrestare il movimento di un elemento della macchina in caso di oltre corsa – assicurando in questo modo una funzione di sicurezza, per esempio impedendo la collisione di elementi mobili della macchina.
In questi casi, sarà quindi il costruttore del componente che gli assegna una precisa destinazione d’uso (di sicurezza o meno); componenti destinati dal costruttore a svolgere funzioni di sicurezza possono essere utilizzati anche per il normale funzionamento della macchina, mentre non è vero il contrario.

Se vuoi approfondire l’argomento, ad esempio cosa succede per i pezzi di ricambio dei componenti di sicurezza, leggi il nostro libro sull’applicazione della direttiva macchine .

Quadrasrl net -Ernesto Cappelletti - Come applicare la direttiva macchine - Cover libro

I componenti di sicurezza Leggi tutto »

Requisiti del software per funzioni di sicurezza

Quante volte si è obbligati a riavviare il PC per ripristinarne le funzionalità? Quante volte la mancanza di funzionalità deriva dalla incompatibilità di versioni? Quanti aggiornamenti vengono emessi ogni giorno per i sistemi operativi?

1. Errori nel software per funzioni di sicurezza

Non esiste un software privo di errori: è però necessario che in base all’utilizzo che ne viene fatto — quindi al livello di prestazione richiesto (PLr) della funzione di sicurezza — il software rispetti determinati requisiti, stabiliti dalla norma UNI EN ISO 13849-1:2023.

Software per funzioni semplici contiene circa 25 errori ogni 1.000 linee di codice; software scritto bene contiene circa 2-3 errori ogni 1.000 linee di codice; il software utilizzato nello Space Shuttle contiene meno di un errore ogni 10.000 linee di codice.
Ciò significa che il software di un cellulare contiene circa 600 errori, il sistema operativo di un PC circa 50.000 errori ed il software dello Space Shuttle circa 300 errori.
Mentre i malfunzionamenti dei componenti hardware sono normalmente causati da guasti casuali dei componenti, gli errori presenti nel software sono sistematici.

L’unico modo per scongiurare comportamenti potenzialmente pericolosi di software che svolgono funzioni di sicurezza è evitare, per quanto possibile, che si introducano errori durante la scrittura del software.
Errori possono essere introdotti in fase di redazione delle specifiche, di progettazione del software e di modifiche successive.

2. Definizioni

  • Parte del sistema di comando correlata alla sicurezza – SRP/CS (Safety Related part of Control System): parte di un sistema di comando che risponde a segnali di ingresso legati alla sicurezza e genera dei corrispondenti segnali di uscita legati alla sicurezza.
  • Linguaggio a variabilità limitata – LVL (Limited Variability Language): tipo di linguaggio che ha la capacità di combinare funzioni predefinite contenute in una libreria specifica dell’applicazione per implementare una specifica di sicurezza (esempio PLC).
  • Linguaggio a variabilità completa – FVL (Full Variability Language): tipo di linguaggio che consente di implementare una grande quantità di funzioni e applicazioni (esempi C, C++, assembler).
  • Software applicativo – SRASW (Safety-related application software): software specifico dell’applicazione implementato dal costruttore della macchina e generalmente contenente sequenze logiche, limiti ed espressioni che controllano gli appropriati ingressi, uscite, calcoli e decisioni necessari per soddisfare i requisiti della SRP/CS.
  • Software di sistema o software incorporato – SRESW (Safety-related embedded software): software facente parte della fornitura del fabbricante del sistema di controllo e che non è accessibile per la modifica al costruttore della macchina; il software di sistema è normalmente scritto in linguaggio a variabilità completa.

3. Tipologia di software e di linguaggi

Il software incorporato (SRESW) è quella parte di software (firmware, software di sistema) che fa parte del sistema fornito dal produttore dell’hardware (computer, PLC, ecc.) e che non è accessibile per la modifica da parte dell’utilizzatore.

Il software applicativo (SRASW) è quella parte di software specifico per l’applicazione, realizzato dal fabbricante della macchina e che in genere contiene sequenze logiche, limiti ed espressioni che controllano in modo opportuno gli ingressi, le uscite, i calcoli e le decisioni da prendere per il corretto funzionamento delle SRP/CS.

Il SRASW è normalmente scritto utilizzando un linguaggio a variabilità limitata (LVL), ad esempio linguaggi grafici (ladder diagram) forniti dal fabbricante dell’hardware (ad esempio del PLC).
Il SRESW viene fornito all’utilizzatore già validato dal produttore dell’hardware ed è normalmente scritto utilizzando un linguaggio a variabilità completa (FVL), ad esempio C o assembler.
Qualora uno SRASW sia scritto utilizzando un linguaggio a variabilità completa si dovrebbero applicare i requisiti della norma UNI EN ISO 13849-1:2023 relativi al SRESW.
Per SRESW che controlla funzioni che devono raggiungere un PLr “e” devono essere rispettati i requisiti del punto 7 della norma CEI EN 61508-3:2011 appropriati per il SIL 3.
Se viene applicata la diversità nella redazione delle specifiche, nella progettazione e nella codifica del software per i due canali di un circuito in categoria 3 o 4, il PLr e può essere raggiunto applicando al software le misure richieste per il PLr c o d.

4. Prescrizioni per la sicurezza del software per funzioni di sicurezza

Tutte le attività del ciclo di vita del software (sia applicativo che di sistema) avente funzioni di sicurezza devono innanzitutto considerare l’eliminazione delle avarie introdotte durante il ciclo di vita del software (incluse revisioni e correzioni).

4.1. Specifiche del software per funzioni di sicurezza

Le specifiche del software avente funzioni di sicurezza devono descrivere le funzioni di sicurezza che devono essere controllate ed indicarne il PLr.
Le specifiche dovrebbero essere redatte in modo da poter fungere successivamente da base per la validazione del software.
Le specifiche dovrebbero essere controllate da persone non coinvolte nella loro redazione per accertarsi che siano conformi con quanto richiesto dalla valutazione dei rischi e dalle specifiche di più alto livello e che contengano tutte le indicazioni sulle modalità di realizzazione del software.
Le specifiche dovrebbero essere succinte, comprensibili e fare riferimento ai punti essenziali che il software deve soddisfare.
Le specifiche del software possono costituire i vincoli contrattuali per la realizzazione del software, svolta esternamente o all’interno dell’organizzazione.

4.2. Codifica del software per funzioni di sicurezza

Il codice deve essere leggibile, in modo da facilitare le attività di verifica e di successiva modifica (inserimento di commenti all’interno delle righe di codice, preparazione di linee guida, legende con il significato delle variabili utilizzate, ecc.).
La programmazione dovrebbe essere difensiva, ad esempio controllando che i valori assunti dalle variabili siano negli intervalli previsti.
Il codice deve essere analizzato staticamente, cioè senza eseguirlo; per PLr bassi è sufficiente una verifica del codice, mentre per PLr “d” ed “e” il flusso dei dati e dell’esecuzione del programma dovrebbe essere esaminata, possibilmente con l’ausilio di strumenti quali simulatori software.
L’analisi del software dovrebbe accertarsi che non vi siano funzioni aventi un PLr più basso che possono avere la precedenza rispetto a funzioni con PLr maggiore (ad esempio funzioni non di sicurezza che controllano i medesimi elementi comandati da funzioni di sicurezza).

4.3. Verifica e validazione del software per funzioni di sicurezza

La verifica è un’attività tesa ad accertarsi che i risultati di una fase soddisfino le specifiche applicabili.
I risultati delle attività di verifica devono essere documentati.
La verifica può comprendere i seguenti controlli:

  • Il codice è coerente con i diagrammi di progettazione iniziali?
  • Ci sono funzioni non di sicurezza che “scavalcano” delle funzioni di sicurezza?
  • Quali moduli o quali parti del software producono delle variabili legate a funzioni di sicurezza? Quali valori queste possono assumere? È possibile verificare la loro coerenza con il funzionamento della macchina?
  • Ci sono delle parti del software che, in determinate condizioni, non vengono eseguite?

La validazione è una forma di verifica dell’intero software il cui scopo è controllare che siano state rispettate le specifiche iniziali.
La verifica dell’integrazione dell’intero sistema può coincidere con la validazione.
La check list per la verifica del software può, per esempio, comprendere i seguenti elementi:

  • La configurazione hardware del PLC è completa?
  • I parametri relativi alla parte fail-safe della CPU sono configurati correttamente?
  • I parametri relativi agli I/O fail-safe sono configurati correttamente?
  • Gli identificativi delle connessioni fail-safe sono univoci?
  • I dati provenienti dalla parte standard (non fail-safe) del programma sono stati controllati per verificarne la validità?
  • I blocchi funzionali sono ben commentati?
  • Le variabili sono ben commentate?

Requisiti del software per funzioni di sicurezza Leggi tutto »

Elusione dei dispositivi di interblocco dei ripari mobili

La direttiva macchine 2006/42/CE richiede esplicitamente che vengano adottate misure contro l’elusione dei dispositivi di interblocco dei ripari mobili delle macchine:

1.4.1 Requisiti generali
I ripari e i dispositivi di protezione:
− devono essere di costruzione robusta,
− devono essere fissati solidamente,
− non devono provocare pericoli supplementari,
− non devono essere facilmente elusi o resi inefficaci,
− …

La norma UNI EN ISO 14119:2025 definisce:

  • elusione: azione che rende inoperativo un dispositivo di interblocco o lo scavalca con il risultato che la macchina è utilizzata in un modo differente da quello previsto dal fabbricante o senza le misure di sicurezza necessarie;
  • elusione in un modo ragionevolmente prevedibile: elusione effettuata manualmente o mediante l’utilizzo di oggetti facilmente disponibili (ad esempio cacciaviti, chiavi inglesi, chiavi a brugola, pinze, monete, chiavi).

La stessa norma richiede che l’elusione dei sensori di interblocco dei ripari mobili in un modo ragionevolmente prevedibile sia impedita.

Per ridurre l’elusione degli interblocchi possono essere adottate le seguenti misure:

  • prevenzione dell’accesso agli elementi del dispositivo di interblocco:
    • montaggio non raggiungibile;
    • ostacoli fisici e protezioni;
    • montaggio in posizioni nascoste;
  • prevenzione della sostituzione degli attuatori:
    • livello di codifica degli attuatori basso, medio o alto;
  • prevenzione dello smontaggio o spostamento degli elementi usando dispositivi non rimovibili (ad esempio saldatura, incollaggio, viti non smontabili, rivettatura):
    • questa misura può non essere adatta se si potesse rendere necessaria una sostituzione veloce del dispositivo di interblocco a seguito di una rottura;
  • integrazione con un sistema di monitoraggio e controllo:
    • monitoraggio dello stato; ad esempio il sistema di controllo della macchina può controllare che il riparo venga aperto in determinate fasi del ciclo nelle quali ciò è necessario (ad esempio per lo scarico dei pezzi);
    • controlli periodici;
  • aggiunta di un ulteriore interblocco, ad esempio con principi di attuazione differenti:
    • in questo caso il sistema di controllo della macchina può verificare la plausibilità dello stato di entrambe i sensori.

La stessa norma UNI EN ISO 14119:2025 richiede che l’elusione dei sensori di interblocco dei ripari mobili in un modo ragionevolmente prevedibile sia impedita.

Le motivazioni per l’elusione dei dispositivi di interblocco dei ripari mobili comprendono vari aspetti, tra cui:

  • intralcio all’esecuzione di alcuni compiti sulla macchina;
  • necessità di controlli del processo di lavorazione per evitare scarti o difetti;
  • regolazioni fini della lavorazione.

L’allegato H della norma UNI EN ISO 14119:2013 riporta un esempio di metodo per identificare le motivazioni di elusione dei dispositivi di interblocco (per una macchina automatica):

  • devono essere tenute in considerazione tutte le modalità di funzionamento della macchina;
  • se un compito è necessario e non è possibile senza eludere i dispositivi di interblocco è necessario riconsiderare la progettazione della macchina;
  • se sono presenti potenziali benefici nell’esecuzione delle operazioni senza dispositivi di protezione (+ o ++) bisogna verificare se è possibile migliorare le misure di protezione;
  • se l’incentivo all’elusione dei dispositivi di interblocco non può essere completamente eliminato bisogna rendere più difficile o impossibile l’elusione dei dispositivi di interblocco.

Elusione dei dispositivi di interblocco dei ripari mobili Leggi tutto »

La progettazione dei ripari delle macchine e la nuova edizione 2025 della norma UNI EN ISO 14119

Tipologia di ripari

I ripari sono una misura di protezione presente su pressoché tutte le macchine; la loro progettazione deve soddisfare i pertinenti requisiti essenziali di sicurezza e di tutela della salute della direttiva 2006/42/CE e del regolamento (UE) 2023/1230 (allegati I e III, §1.4.1).

I ripari si dividono in tre tipologie, da scegliere in funzione della frequenza di accesso alla zona pericolosa e delle esigenze di utilizzabilità della macchina:

  • ripari fissi;
  • ripari mobili;
  • ripari regolabili.

Ripari fissi

I requisiti dei ripari fissi sono stabiliti dal requisito essenziale di sicurezza e di tutela della salute 1.4.2.1 della direttiva 2006/42/CE (allegato I) e del regolamento (UE) 2023/1230 (allegato III):

  • devono essere efficacemente mantenuti in posizione in modo permanente (mediante saldatura, ecc.) o per mezzo di elementi di fissaggio (viti, bulloni, ecc.) che rendono impossibile la loro apertura o la loro rimozione senza l’ausilio di utensili;
  • quando possibile, non devono rimanere chiusi in mancanza dei loro elementi di fissaggio, per esempio non devono essere agganciati alla macchina o in qualche modo a essa collegati meccanicamente (per esempio, mediante cerniere o guide);
  • i sistemi di fissaggio devono rimanere attaccati ai ripari o alla macchina quando i ripari sono rimossi;

I ripari fissi devono essere utilizzati quando l’apertura è poco frequente — per esempio meno di una volta alla settimana — in quanto la loro rimozione e il loro rimontaggio sono abbastanza laboriosi; quindi, in caso di frequenza troppo elevata, l’operatore potrebbe essere portato a non riposizionare i ripari, consentendo conseguentemente l’accesso alle zone pericolose.

Ripari regolabili

Le caratteristiche dei ripari regolabili sono indicate dal requisito essenziale di sicurezza e di tutela della salute 1.4.2.3 della direttiva 2006/42/CE (allegato I) e del regolamento (UE) 2023/1230 (allegato III); questi ripari:

  • vengono regolati manualmente o automaticamente a seconda del tipo di lavorazione;
  • devono potere essere regolati facilmente senza l’ausilio di attrezzi;
  • deve essere ridotto per quanto possibile il pericolo di proiezione (per esempio di schegge prodotte dalla lavorazione).

I ripari regolabili vengono tipicamente utilizzati quando la zona pericolosa non è completamente segregabile, per esempio per la protezione degli utensili di macchine azionate manualmente, quali seghe, molatrici, ecc.; la protezione delle zone pericolose con ripari regolabili minimizza l’esposizione dell’operatore alle zone pericolose, ma non la elimina del tutto; inoltre, nel caso di ripari regolabili a regolazione manuale, l’efficace protezione delle zone pericolose dipende dal fatto che l’operatore regoli correttamente la posizione del riparo (normalmente in funzione delle caratteristiche e delle dimensioni dei prodotti in lavorazione).

Ripari mobili

I ripari mobili sono descritti nel requisito 1.4.2.2 della direttiva 2006/42/CE (allegato I) e del regolamento (UE) 2023/1230 (allegato III) e devono avere le seguenti caratteristiche:

  • devono restare uniti alla macchina quando aperti (mediante cerniere, guide scorrevoli, ecc.);
  • devono essere dotati di un dispositivo di interblocco, con o senza bloccaggio del riparo.

I ripari mobili possono essere aperti e chiusi senza necessità di nessun tipo di utensile, ma, alla loro apertura, il dispositivo di interblocco arresta gli elementi in movimento protetti in modo che non possano causare lesioni alle persone; questo tipo di ripari deve essere utilizzato quando la loro apertura è frequente — per esempio più di una volta alla settimana — in quanto il loro azionamento è semplice e veloce; una tipica applicazione dei ripari mobili è la protezione di accessi alla macchina richiesti per il carico e/o scarico dei prodotti in lavorazione o per il reintegro dei materiali di consumo della macchina; i ripari mobili comprendono sia gli sportelli che consentono l’accesso solamente a parti del corpo — tipicamente gli arti superiori — che le porte di accesso all’interno delle protezioni perimetrali, che permettono quindi di entrare con tutto il corpo all’interno della zona protetta.

Il requisito essenziale di sicurezza e di tutela della salute 1.4.2.2 della direttiva 2006/42/CE (allegato I) e del regolamento (UE) 2023/1230 (allegato III) chiede, tra l’altro, che i ripari mobili interbloccati siano associati a un dispositivo di interblocco che:

  • impedisca l’avviamento di funzioni pericolose della macchina fin quando i ripari sono chiusi, e
  • dia un comando di arresto non appena essi non sono più chiusi.

Le norme tecniche indicano le modalità per la progettazione e la realizzazione dei ripari mobili e dei dispositivi di protezione ad essi associati in conformità ai requisiti essenziali di sicurezza e di tutela della salute della direttiva 2006/42/CE.e del regolamento (UE) 2023/1230 (articolo 20)

I dispositivi di interblocco associati ai ripari mobili sono oggetto dell’ultima edizione della norma UNI EN ISO 14119 “Sicurezza del macchinario – Dispositivi di interblocco associati ai ripari – Principi di progettazione e di scelta”, pubblicata nel mese di giugno del 2025, che aggiorna la precedente edizione del 2013.

La norma è destinata ad essere armonizzata ai sensi della direttiva macchine 2006/42/CE e in futuro lo sarà anche per il regolamento (UE) 2023/1230.

La nuova edizione della norma ha apportato novità rispetto alla precedente edizione del 2013, tra cui:

  • è stato aggiunto un nuovo tipo di dispositivi di interblocco (tipo 5) comprendente le chiavi intrappolate;
  • i requisiti specifici per le chiavi intrappolate, tra cui quelli precedentemente contenuti nella specifica tecnica ISO/TS 19837, sono stati integrati nella norma;
  • la tabella relativa alle misure per limitare la possibilità di elusione è stata modificata e migliorata;
  • sono stati precisati i requisiti dei fissaggi non rimovibili di attuatori e/o sensori di interblocco;
  • le metodologie per valutare il mascheramento dei guasti per i dispositivi di interblocco connessi in serie, precedentemente contenute nel rapporto tecnico ISO/TR 24119, sono state integrate nell’allegato J della norma.

La conoscenza della norma UNI EN ISO 14119 è fondamentale per tutti i progettisti, essendo i dispositivi di interblocco dei ripari mobili largamente utilizzati su tutte le tipologie di macchine.

Elusione dei dispositivi di interblocco dei ripari

Uno dei punti focali della norma UNI EN ISO 14119:2025 sono le misure per limitare la possibilità di elusione dei ripari mobili, pratica purtroppo abbastanza diffusa.

Ciò in ottemperanza al requisito essenziale di sicurezza e di tutela della salute 1.4.1 della direttiva 2006/42/CE (articolo I) e del regolamento (UE) 2023/1230 (articolo III), che richiede esplicitamente che vengano adottate misure contro l’elusione dei ripari e dei dispositivi di protezione:

1.4.1 Requisiti generali

I ripari e i dispositivi di protezione:

  • […]
  • non devono essere facilmente elusi o resi inefficaci,
  • […]

Le motivazioni per l’elusione dei dispositivi di interblocco dei ripari mobili comprendono vari aspetti, tra cui:

  • intralcio all’esecuzione di alcuni compiti sulla macchina;
  • necessità di controlli del processo di lavorazione per evitare scarti o difetti;
  • regolazioni fini della lavorazione.

L’allegato G della norma UNI EN ISO 14119:2025 riporta un esempio di metodo per identificare le motivazioni di elusione dei dispositivi di interblocco (per una macchina automatica):

  • devono essere identificate tutte le modalità di funzionamento previste dalla macchina e le attività previste sulla macchina;
  • si deve quindi valutare se l’attività prevista è consentita in quella modalità e se è possibile in quella modalità senza eludere misure di protezione; se ciò non è possibile la macchina non è sicura e, quindi, la progettazione deve essere rivista;
  • si devono poi riportare i potenziali vantaggi del “lavoro senza dispositivi di protezione” come, ad esempio, “maggiore precisione”; la presenza di tali vantaggi indica condizioni operative in cui le protezioni ostacolano il processo di lavoro.

Per ridurre le possibilità di elusione dei dispositivi di interblocco dei ripari mobili la norma UNI EN ISO 14119:2025 prevede che possano essere adottate le seguenti misure:

  • prevenzione dell’accesso agli elementi del dispositivo di interblocco;
  • montaggio non raggiungibile;
  • ostacoli fisici e protezioni;
  • montaggio in posizioni nascoste;
  • prevenzione della sostituzione degli attuatori;
  • livello di codifica degli attuatori basso, medio o alto;
  • prevenzione dello smontaggio o spostamento degli elementi usando dispositivi non rimovibili;
  • integrazione con un sistema di monitoraggio e controllo;
  • monitoraggio dello stato; ad esempio, il sistema di controllo della macchina può controllare che il riparo venga aperto in determinate fasi del ciclo nelle quali ciò è necessario (ad esempio per lo scarico dei pezzi);
  • controlli periodici;
  • aggiunta di un ulteriore dispositivo di interblocco, ad esempio con principi di attuazione differenti; in questo caso il sistema di controllo della macchina può verificare la plausibilità dello stato di entrambe i sensori.

La norma UNI EN ISO 14119:2025 ha precisato che, in questo contesto, sono considerati fissaggi non rimovibili i seguenti:

  • saldatura;
  • incollaggio (abbastanza forte da richiedere almeno calore o agenti chimici per essere rimosso) del filetto;
  • viti unidirezionali;
  • rivettatura;
  • erosione delle fessure delle teste delle viti per impedirne la rimozione;
  • riempimento (con plastica, resina, coperture o tappi rimovibili solo tramite distruzione o sfera metallica) dell’apertura di bulloni e viti.

Non sono, invece, considerati non rimovibili in questo contesto:

  • viti e bulloni con testa cava esalobata o simili e un perno nell’apertura, perché gli strumenti per queste viti sono facilmente disponibili, tranne quando il perno è stato piegato dopo l’installazione;
  • uso di sostanze bloccanti facilmente rimovibili, ad esempio tappi, cera, etichette a prova di manomissione.

L’uso di fissaggi non rimovibili può essere una soluzione inappropriata nei casi in cui è prevedibile un guasto (o, ad esempio, la sostituzione a causa dell’usura) del dispositivo di interblocco durante la vita utile della macchina ed è necessaria una sostituzione rapida. In questo caso altre misure sono più appropriate.

La progettazione dei ripari delle macchine e la nuova edizione 2025 della norma UNI EN ISO 14119 Leggi tutto »

La norma ISO 14119 del 2024: la progettazione dei ripari mobili delle macchine

Nel mese di settembre 2024 è stata pubblicata la terza edizione della norma ISO 14119, relativa ai dispositivi di interblocco dei ripari mobili delle macchine.

La norma verrà recepita prossimamente dal CEN come norma europea ed è destinata ad essere armonizzata ai sensi della direttiva macchine 2006/42/CE.

La nuova edizione della norma ha apportato novità rispetto alla precedente edizione del 2013, tra cui:

  • è stato aggiunto un nuovo tipo di dispositivi di interblocco (tipo 5) comprendente le chiavi intrappolate;
  • i requisiti specifici per le chiavi intrappolate, tra cui quelli precedentemente contenuti nella specifica tecnica ISO/TS 19837, sono stati integrati nella norma;
  • la tabella relativa alle misure per limitare la possibilità di elusione è stata modificata e migliorata;
  • sono stati precisati i requisiti dei fissaggi non rimovibili di attuatori e/o sensori di interblocco;
  • le metodologie per valutare il mascheramento dei guasti per i dispositivi di interblocco connessi in serie, precedentemente contenute nel rapporto tecnico ISO/TR 24119, sono state integrate nell’allegato J della norma.

La conoscenza della norma ISO 14119 è fondamentale per tutti i progettisti, essendo i dispositivi di interblocco dei ripari mobili largamente utilizzati su tutte le tipologie di macchine.

https://youtu.be/ZZzblZNWiIM
 

Tipi di ripari

 

I ripari sono una misura di protezione presente su pressoché tutte le macchine; la loro progettazione deve soddisfare i pertinenti requisiti essenziali di sicurezza e di tutela della salute della direttiva 2006/42/CE.

I ripari si dividono in tre tipologie, da scegliere in funzione della frequenza di accesso alla zona pericolosa e delle esigenze di utilizzabilità della macchina:

  • ripari fissi:i ripari fissi devono essere realizzati conformemente al requisito essenziale di sicurezza e di tutela della salute 1.4.2.1 della direttiva 2006/42/CE;
  • ripari mobili:i ripari mobili sono descritti nel requisito essenziale di sicurezza e di tutela della salute 1.4.2.2 della direttiva 2006/42/CE;
  • ripari regolabili:le caratteristiche dei ripari regolabili sono indicate dal requisito essenziale di sicurezza e di tutela della salute 1.4.2.3 della direttiva 2006/42/CE.

I ripari mobili

I ripari mobili:

  • devono restare uniti alla macchina quando aperti (mediante cerniere, guide scorrevoli, ecc.);
  • devono essere dotati di un dispositivo di interblocco con o senza bloccaggio del riparo, in modo da impedire l’avviamento delle parti pericolose della macchina fino a che queste possano essere raggiunte e da fornire un comando di arresto quando i ripari non sono chiusi.

I ripari mobili possono essere aperti e chiusi senza necessità di nessun tipo di utensile, ma, alla loro apertura, il dispositivo di interblocco deve arrestare gli elementi pericolosi protetti in modo che non possano causare lesioni alle persone.

Questo tipo di ripari deve essere utilizzato quando la loro apertura è frequente, per esempio più di una volta alla settimana, in quanto il loro azionamento è semplice e veloce.

Per i ripari mobili interbloccati il requisito essenziale di sicurezza e di tutela della salute 1.4.2.2 della direttiva 2006/42/CE chiede, tra l’altro, che:

I ripari mobili interbloccati devono essere associati a un dispositivo di interblocco che:

  • impedisca l’avviamento di funzioni pericolose della macchina fin quando i ripari sono chiusi, e
  • dia un comando di arresto non appena essi non sono più chiusi.

Le norme tecniche indicano le modalità per la progettazione e la realizzazione dei ripari e dei dispositivi di protezione ad essi associati in conformità ai requisiti essenziali di sicurezza e di tutela della salute della direttiva 2006/42/CE.

I ripari mobili dovranno essere dotati di dispositivi di interblocco che arrestino il movimento degli elementi protetti all’apertura dei ripari.

Tali dispositivi sono oggetto della terza edizione della norma ISO 14119 “Safety of machinery — Interlocking devices associated with guards — Principles for design and selection”, pubblicata nel settembre 2024, che aggiorna la precedente edizione del 2013.

Elusione dei dispositivi di interblocco dei ripari

Uno dei punti focali della norma ISO 14119:2024 sono le misure per limitare la possibilità di elusione dei ripari mobili, pratica purtroppo abbastanza diffusa.

Ciò in ottemperanza al requisito essenziale di sicurezza e di tutela della salute 1.4.1 della direttiva 2006/42/CE, che richiede esplicitamente che vengano adottate misure contro l’elusione dei ripari e dei dispositivi di protezione:

1.4.1 Requisiti generali

I ripari e i dispositivi di protezione:

  • devono essere di costruzione robusta,
  • devono essere fissati solidamente,
  • non devono provocare pericoli supplementari,
  • non devono essere facilmente elusi o resi inefficaci,
  • …

Le motivazioni per l’elusione dei dispositivi di interblocco dei ripari mobili comprendono vari aspetti, tra cui:

  • intralcio all’esecuzione di alcuni compiti sulla macchina;
  • necessità di controlli del processo di lavorazione per evitare scarti o difetti;
  • regolazioni fini della lavorazione.

L’allegato G della norma ISO 14119:2024 riporta un esempio di metodo per identificare le motivazioni di elusione dei dispositivi di interblocco (per una macchina automatica):

  • devono essere identificate tutte le modalità di funzionamento previste dalla macchina e le attività previste sulla macchina;
  • si deve quindi valutare se l’attività prevista è consentita in quella modalità e se è possibile in quella modalità senza eludere misure di protezione; se ciò non è possibile la macchina non è sicura e, quindi, la progettazione deve essere rivista;
  • si devono poi riportare i potenziali vantaggi del “lavoro senza dispositivi di protezione” come, ad esempio, “maggiore precisione”; la presenza di tali vantaggi indica condizioni operative in cui le protezioni ostacolano il processo di lavoro.

Per ridurre le possibilità di elusione dei dispositivi di interblocco dei ripari mobili la norma ISO 14119:2024 prevede che possano essere adottate le seguenti misure:

  • prevenzione dell’accesso agli elementi del dispositivo di interblocco:
  • montaggio non raggiungibile;
  • ostacoli fisici e protezioni;
  • montaggio in posizioni nascoste;
  • prevenzione della sostituzione degli attuatori:
  • livello di codifica degli attuatori basso, medio o alto;
  • prevenzione dello smontaggio o spostamento degli elementi usando dispositivi non rimovibili;
  • integrazione con un sistema di monitoraggio e controllo:
  • monitoraggio dello stato; ad esempio il sistema di controllo della macchina può controllare che il riparo venga aperto in determinate fasi del ciclo nelle quali ciò è necessario (ad esempio per lo scarico dei pezzi);
  • controlli periodici;
  • aggiunta di un ulteriore interblocco, ad esempio con principi di attuazione differenti:
  • in questo caso il sistema di controllo della macchina può verificare la plausibilità dello stato di entrambe i sensori.

La norma ISO 14119:2024 ha precisato che, in questo contesto, sono considerati fissaggi non rimovibili i seguenti:

  • saldatura;
  • incollaggio (abbastanza forte da richiedere almeno calore o agenti chimici per essere rimosso) del filetto;
  • viti unidirezionali;
  • rivettatura;
  • erosione delle fessure delle teste delle viti per impedirne la rimozione;
  • riempimento (con plastica, resina, coperture o tappi rimovibili solo tramite distruzione o sfera metallica) dell’apertura di bulloni e viti.

Non sono, invece, considerati non rimovibili in questo contesto:

  • viti e bulloni con cava esalobata o simili e un perno nell’apertura, perché gli strumenti per queste viti sono facilmente disponibili, tranne quando il perno è stato piegato dopo l’installazione;
  • uso di sostanze bloccanti facilmente rimovibili, ad esempio tappi, cera, etichette a prova di manomissione.
    • L’uso di fissaggi non rimovibili può essere una soluzione inappropriata nei casi in cui è prevedibile un guasto (o, ad esempio, la sostituzione a causa dell’usura) del dispositivo di interblocco durante la vita utile della macchina ed è necessaria una sostituzione rapida. In questo caso altre misure sono più appropriate.

 

[simple-author-box]

 

La norma ISO 14119 del 2024: la progettazione dei ripari mobili delle macchine Leggi tutto »

Tempi di arresto degli elementi pericolosi delle macchine

La definizione delle misure di sicurezza delle macchine deriva dalla valutazione dei rischi effettuata dal fabbricante.
Sulla base della valutazione dei rischi vengono scelti i dispositivi più adeguati alla protezione delle zone pericolose, tenendo in considerazione le necessità operative. Ad esempio, se è necessario accedere ad una zona pericolosa solamente per interventi di manutenzione sporadici potranno essere utilizzati ripari fissi, mentre se l’accesso è richiesto per operazioni di carico e/o scarico dei prodotti in lavorazione potrebbero essere adeguate barriere fotoelettriche.
Il posizionamento dei dispositivi di protezione quali ripari mobili interbloccati, barriere fotoelettriche, laser scanner, radar di sicurezza, tappeti sensibili o comandi a due mani deve essere determinato in modo tale da non consentire che una persona possa raggiungere gli elementi mobili pericolosi prima che essi si siano arrestati.

Calcolo della distanza minima di posizionamento delle barriere fotoelettriche

La distanza minima tra il dispositivo di protezione e gli elementi mobili pericolosi protetti deve essere determinata secondo le indicazioni della norma UNI EN ISO 13855:2010 “Sicurezza del macchinario – Posizionamento dei mezzi di protezione in funzione delle velocità di avvicinamento di parti del corpo umano”, ovvero deve soddisfare la seguente relazione:
S = (K × T) + C
dove

  • S  è la distanza minima (espressa in mm);
  • K  è la velocità di avvicinamento del corpo o di una parte del corpo (espressa in mm/s);
  • T  è il tempo di arresto complessivo degli elementi pericolosi protetti (espresso in secondi);
  • C  è la distanza di intrusione (espressa in mm) ovvero la distanza che una parte del corpo (generalmente la mano e/o il braccio) può coprire senza essere rilevata dal
        dispositivo  di protezione (ad esempio passaggio del braccio tra due raggi della barriera fotoelettrica)

Per determinare la distanza minima S è quindi fondamentale conoscere con precisione il tempo di arresto degli elementi mobili pericolosi protetti, che è funzione di numerosi fattori (tempo di reazione del dispositivo di protezione, tempo di elaborazione del segnale da parte della logica, tempo di frenatura degli organi in movimento, ecc.).
Si tenga presente che una variazione anche limitata del tempo di arresto può comportare una modifica significativa del posizionamento del dispositivo di protezione.

Esempio di calcolo della distanza delle barriere fotoelettriche

In caso di barriere fotoelettriche, ad esempio, con capacità di detezione minore o uguale a 40 mm, la distanza minima dalla zona pericolosa S (per distanze fino a 500 mm) è pari a:
S = (2000 mm/s x T) + C
In questo caso, quindi, una differenza nella stima del tempo di arresto di due decimi di secondo implica un aumento di S di ben 400 mm.

Il mancato rispetto delle distanze stabilite dalla norma può causare gravi incidenti; l’operatore potrebbe entrare nella zona pericolosa di una pressa quando questa si sta ancora muovendo con elevatissimi rischi di schiacciamento delle mani.
Quadra s.r.l. può effettuare le misure dei tempi di arresto degli organi pericolosi protetti da dispositivi di protezione utilizzando strumentazione dotata di sensori di movimento che vengono applicati agli organi pericolosi e di appositi attuatori in grado di far intervenire i dispositivi di protezione (ad esempio interrompendo i fasci ottici di una barriera fotoelettrica).
Si avranno così a disposizione i dati fondamentali per una corretta progettazione dei sistemi di protezione delle macchine.

Tempi di arresto degli elementi pericolosi delle macchine Leggi tutto »

Torna in alto