Sicurezza funzionale

I componenti di sicurezza

La direttiva macchine 2006/42/CE si applica a:

  • a) macchine;
  • b) attrezzature intercambiabili;
  • c) componenti di sicurezza;
  • d) accessori di sollevamento;
  • e) catene, funi e cinghie;
  • f) dispositivi amovibili di trasmissione meccanica;
  • g) quasi-macchine.

Componenti di sicurezza macchine industriali: la definizione

I componenti di sicurezza, immessi separatamente sul mercato rientrano nel campo di applicazione della direttiva macchine; un componente di sicurezza è per definizione :

  • destinato a espletare una funzione di sicurezza,
  • immesso sul mercato separatamente,
  • il cui guasto e/o malfunzionamento, mette a repentaglio la sicurezza delle persone, e
  • che non è indispensabile per lo scopo per cui è stata progettata la macchina o che per tale funzione può essere sostituito con altri componenti.

La direttiva 2006/42/CE si applica solamente ai componenti di sicurezza immessi sul mercato separatamente; se il componente di sicurezza è incorporato in una macchina, la sua conformità ai requisiti di sicurezza e di tutela della salute è implicitamente compresa nel fatto che la macchina stessa è conforme a tali requisiti (e di conseguenza tutti i suoi componenti).

Quando un componente può essere definito “di sicurezza” ?

Un punto chiave è definire quando un componente può essere definito “di sicurezza”. Innanzitutto, un componente di sicurezza non contribuisce direttamente e principalmente all’espletamento della funzione della macchina, ma il suo scopo principale è quello di assicurare una misura di protezione per le persone esposte.

Inoltre, non può essere considerato di “sicurezza” un componente il cui guasto o malfunzionamento non comporta rischi per le persone esposte.

Alcuni componenti hanno un’incontrovertibile funzione di sicurezza, quali un comando di arresto di emergenza oppure un tappeto sensibile.

Per altri componenti, invece, l’attribuzione della funzione di sicurezza può essere più ambigua: per esempio, un microinterruttore può essere utilizzato come sensore per individuare il passaggio di un prodotto — nel qual caso svolge un ruolo nel funzionamento normale della macchina — oppure per arrestare il movimento di un elemento della macchina in caso di oltre corsa — assicurando in questo modo una funzione di sicurezza, per esempio impedendo la collisione di elementi mobili della macchina.

In questi casi, sarà quindi il costruttore del componente che gli assegna una precisa destinazione d’uso (di sicurezza o meno); componenti destinati dal costruttore a svolgere funzioni di sicurezza possono essere utilizzati anche per il normale funzionamento della macchina, mentre non è vero il contrario.

Se vuoi approfondire l'argomento, ad esempio cosa succede per i pezzi di ricambio dei componenti di sicurezza, leggi il nostro libro sull'applicazione della direttiva macchine .

Quadrasrl net -Ernesto Cappelletti - Come applicare la direttiva macchine - Cover libro

I componenti di sicurezza Leggi tutto »

Validazione del software di sicurezza delle macchine

Le funzioni di sicurezza delle macchine sono sempre più frequentemente controllate da equipaggiamenti programmabili; quindi il funzionamento sicuro è legato alla correttezza del software, elemento essenziale per evitare comportamenti pericolosi delle macchine. La validazione del software diventa quindi fondamentale per garantire la sicurezza del macchinario.

Essendo il software caratterizzato dalla presenza di guasti sistematici — e non casuali — l'unica misura attuabile per limitare l'eventualità che il software (sia applicativo che di sistema) che controlla funzioni di sicurezza provochi comportamenti pericolosi della macchina è evitare, per quanto possibile, l'introduzione di errori durante le fasi di sviluppo del software (incluse revisioni e correzioni).

Uno degli elementi più critici è la compresenza di software che svolge funzioni di sicurezza e di software necessario al normale funzionamento della macchina.

La norma UNI EN ISO 13849-1:2023 prescrive che le parti di software che non svolgono funzioni di sicurezza non influenzino in modo negativo quelle che controllano circuiti di comando che devono raggiungere un livello di prestazione richiesto.

Più in generale, il software dedicato a funzioni di sicurezza che devono raggiungere un livello di prestazione richiesto minore, non deve influire su parti del software di funzioni per le quali il livello di prestazione richiesto è più alto.

Tale rischio è maggiore per i PLC integrati che controllano il normale funzionamento della macchina e che svolgono anche funzioni di sicurezza, in quanto in questo caso diverse parti del software (sicuro e non) convivono sullo stesso equipaggiamento programmabile.

Un caso che capita di riscontrare nel software di controllo delle macchine è l'utilizzo di variabili non sicure in rami di software che svolgono funzioni di sicurezza; a seconda di come e dove vengono usate queste variabili potrebbe essere che intere sezioni di software non vengano eseguite e, di conseguenza, le funzioni che controllano, ad esempio il monitoraggio di una pressione o una temperatura, non siano attive.

Anche se gli strumenti di programmazione normalmente evidenziano gli elementi del software sicuri e quelli funzionali, essi non impediscono (e non possono impedire) che parti del software non sicuro siano introdotte nelle sezioni che svolgono funzioni di sicurezza.

Infatti molte volte è necessario, ad esempio, che uno stesso attuatore sia arrestato sia come parte del normale ciclo di lavoro della macchina, che per ragioni di sicurezza (ad esempio a seguito dell'apertura di un riparo mobile interbloccato).

È quindi essenziale eseguire attività di verifica della corretta scrittura del software — come prescritto dal §4.6 della norma UNI EN ISO 13849-1:2023 — tese ad individuare errori che possano compromettere il funzionamento sicuro della macchina.

Infatti le criticità insite in una scrittura non corretta del software non si manifesterebbero durante il normale funzionamento della macchina o nel corso di collaudi funzionali; ad esempio una variabile non sicura non compromette il corretto funzionamento della macchina finché il PLC funziona regolarmente: in caso di guasto o di condizioni anomale, però, tale variabile potrebbe assumere valori non desiderati e causare comportamenti pericolosi della macchina.

Si deve anche effettuare una validazione del software esaustiva, che simuli condizioni anomale e di guasto, in modo da evidenziare eventuali comportamenti non sicuri dei circuiti di comando della macchina.

In mancanza di queste attività, gli errori presenti nei software sono difficili da scovare in quanto “nascosti” all'interno del codice; la complessità del comportamento di un equipaggiamento programmabile lo rende decisamente più critico rispetto a circuiti cablati, analizzabili con maggiore semplicità.

Contattaci se hai bisogno di una consulenza per effettuare attività di validazione delle macchine che progetti e costruisci.

Validazione del software di sicurezza delle macchine Leggi tutto »

Tempi di arresto degli elementi pericolosi delle macchine

 

La definizione delle misure di sicurezza delle macchine deriva dalla valutazione dei rischi effettuata dal fabbricante.

Sulla base di questo processo vengono quindi scelte le modalità più adeguate alla protezione delle zone pericolose, tenendo in considerazione le necessità operative. Ad esempio, se è necessario accedere ad una zona pericolosa solamente per interventi di manutenzione sporadici potranno essere utilizzati ripari fissi, mentre se l’accesso è richiesto per operazioni di carico e/o scarico dei prodotti in lavorazione potrebbero essere adeguate barriere fotoelettriche.

Il posizionamento dispositivi di protezione quali ripari mobili interbloccati, barriere fotoelettriche, laser scanner, radar di sicurezza, tappeti sensibili o comandi a due mani deve essere determinato in modo che la distanza dagli organi in movimento pericolosi protetti sia tale da impedire che una persona possa raggiungerli prima che si siano arrestati.

Calcolo della distanza delle barriere di sicurezza

La distanza tra il dispositivo di protezione e gli organi pericolosi protetti deve essere determinata secondo le indicazioni della norma UNI EN ISO 13855:2010 “Sicurezza del macchinario – Posizionamento dei mezzi di protezione in funzione delle velocità di avvicinamento di parti del corpo umano”, ovvero:

S = (K × T) + C

dove:

S   è la distanza minima (espressa in mm)

K   è la velocità di avvicinamento del corpo o di una parte del corpo (espressa in mm/s)

T   è il tempo di arresto complessivo degli elementi pericolosi protetti (espresso in secondi)

C  è la distanza di intrusione (espressa in mm) ovvero la distanza che una parte del corpo (generalmente la mano e/o il braccio) può coprire senza essere rilevata dal dispositivo di protezione (ad esempio passaggio del braccio tra due raggi della barriera fotoelettrica)

Per determinare la distanza minima S è quindi fondamentale conoscere con precisione il tempo di arresto degli organi pericolosi protetti, che è funzione di numerosi fattori (tempo di reazione del dispositivo di protezione, tempo di elaborazione del segnale da parte della logica, tempo di frenatura degli organi in movimento, ecc.).

Si tenga presente che una variazione anche limitata del tempo di arresto può comportare una modifica significativa del posizionamento del dispositivo di protezione.

Esempio di calcolo della distanza delle barriere fotoelettriche

Ad esempio, in caso di barriere fotoelettriche con capacità di detezione minore o uguale a 40 mm, la distanza minima dalla zona pericolosa S (per distanze fino a 500 mm) è pari a:

S = (2000 mm/s ´ T) + C

In questo caso, quindi, una differenza nella stima del tempo di arresto di due decimi di secondo implica un aumento di S di ben 400 mm.

Il mancato rispetto delle distanze stabilite dalla norma può causare gravi incidenti; l’operatore potrebbe entrare nella zona pericolosa di una pressa quando questa si sta ancora muovendo con elevatissimi rischi di schiacciamento delle mani.

 

Quadra s.r.l. può effettuare le misure dei tempi di arresto degli organi pericolosi protetti da dispositivi di protezione utilizzando strumentazione dotata di sensori di movimento che vengono applicati agli organi pericolosi e di appositi attuatori in grado di far intervenire i dispositivi di protezione (ad esempio interrompendo i fasci ottici di una barriera fotoelettrica).

Si avranno così a disposizione i dati fondamentali per una corretta progettazione dei sistemi di protezione delle macchine.

Tempi di arresto degli elementi pericolosi delle macchine Leggi tutto »

Le specifiche delle funzioni di sicurezza dei macchinari

L’applicazione della norma UNI EN ISO 13849-1:2016 non si esaurisce con la stima del PL; la stima del PL deve sempre essere preceduta dalla redazione delle specifiche delle funzioni di sicurezza.

Tali specifiche devono dettagliare il comportamento della funzione di sicurezza ed il PLr (livello di prestazione richiesto) che tali funzioni dovranno raggiungere.

La redazione di tali specifiche è tanto più importante nel caso in cui la funzione di sicurezza dovesse includere dei dispositivi programmabili (ad esempio PLC di sicurezza o moduli di sicurezza configurabili); una specifica errata o comunque poco dettagliata potrebbe determinare l’introduzione di errori nella funzione di sicurezza.

Quadra è in grado di assistere il fabbricante in tutte le attività richieste dalle norme UNI EN ISO 13849-1:2016 e UNI EN ISO 13849-2:2013:

  • predisposizione delle specifiche delle funzioni di sicurezza (inclusa la determinazione del PLr);
  • stima del PL mediante il software SISTEMA;
  • verifica del software di sicurezza (SRASW);
  • validazione.

In particolare, Quadra può assistere il fabbricante nella esecuzione dell'analisi e valutazione dei rischi e quindi nella definizione delle specifiche delle funzioni di sicurezza; tali documenti saranno predisposti in modo tale che possano essere facilmente utilizzati dai progettisti (elettrici, pneumatici, oleoidraulici) e dai programmatori per realizzare le funzioni di sicurezza.

 

Hai un dubbio, un problema o una domanda?

Possiamo fornirti la consulenza di cui hai bisogno anche DA REMOTO

Le specifiche delle funzioni di sicurezza dei macchinari Leggi tutto »

Come cambierà la norma ISO 13849-1 (2019)?

La norma ISO 13849-1 sulle parti dei circuiti di comando con funzioni di sicurezza (SRP/CS) è in continua evoluzione; al momento è in fase di elaborazione, nell’ambito del gruppo di lavoro ISO/TC 199/WG 8, la nuova versione della norma che vedrà la luce prossimamente.

La nuova versione del documento apporterà numerosi cambiamenti tra cui la possibilità di utilizzare sottosistemi validati in accordo alla ISO 13849-1 o alla IEC 62061 o alla  IEC 61508 o ad altre norme di prodotto (ad esempio IEC 61496-2) per la progettazione di SRP/CS.

È stato inoltre dettagliato il contenuto della specifica dei requisiti della sicurezza (SRS):

  • breve descrizione / titolo della funzione di sicurezza per avere un riferimento chiaro;
  • l’evento iniziale che attiva la funzione di sicurezza;
  • il livello di prestazione richiesto (PLr) per ogni funzione di sicurezza;
  • il tempo di risposta della macchina per raggiungere uno stato sicuro;
  • tutte le interfacce tra le funzioni di sicurezza e tra le funzioni di sicurezza e qualsiasi altra funzione non di sicurezza;
  • se necessario, reazioni alternative per portare la macchina in uno stato sicuro in caso di guasto in un canale funzionale, compreso il modo in cui viene mantenuto uno stato sicuro fino alla riparazione del guasto (ad esempio la pompa idraulica può essere disattivata per arrestare il movimento di un cilindro in caso di un guasto rilevato in una valvola);
  • il tasso di richiesta o la frequenza delle operazioni;
  • aspetti ergonomici, in modo che l’operatore non sia tentato di agire in modo pericoloso;
  • limiti di utilizzo in relazione alle condizioni ambientali.

Viene poi introdotta la possibilità di convertire un SIL ad un PL, con le seguenti precisazioni:

  • se il sottosistema ha un SIL 3 con tolleranza ai guasti hardware (HFT) pari a 0, il PL è limitato a d;
  • un sottosistema con un SIL 1 può essere convertito ad un PL c se vengono utilizzati componenti ben provati.

L’allegato A che propone un metodo per la determinazione del livello di prestazione richiesto è stato modificato togliendo il parametro relativo alla probabilità che si verifichi l’evento pericoloso (occorrenza) ed introducendo una tabella per la determinazione del parametro P (possibilità di evitare il pericolo o limitare il danno).

Per quanto riguarda la stima della copertura diagnostica (DC) è stata aggiunta una precisazione riguardante la diagnostica tramite processo in funzione del rapporto tra frequenza di richiesta della funzione di sicurezza e frequenza di prova.

Infine i requisiti dei punti 4, 5, 6, 7, 8, 9 della norma ISO 13849-2 sono stati inseriti nel documento senza modificarli.

Abbiamo organizzato un webinar gratuito per presentare le modifiche della norma ai nostri clienti, troverai la pagina di iscrizione tra le news di Quadra.

 

Hai un dubbio, un problema o una domanda?

Possiamo fornirti la consulenza di cui hai bisogno anche DA REMOTO

Come cambierà la norma ISO 13849-1 (2019)? Leggi tutto »

Gli errori nel software legato alla sicurezza delle macchine industriali

La creazione di un software è in generale “difficile”: la correttezza dei software non va di pari passo con l’aumento di affidabilità dei componenti hardware.

Non esiste un software privo di errori: bisogna dunque minimizzare la possibilità che il software legato alla sicurezza contenga errori che possano comportare comportamenti pericolosi della macchina, in accordo ai requisiti stabiliti dalla norma UNI EN ISO 13849-1:2016.

Gli errori del software rimangono dormienti finché in certe condizioni si verificano con conseguente impatto sul risultato dell’elaborazione.

È quindi essenziale che la fase di verifica del software richiesta dalla norma UNI EN ISO 13849-1:2016 sia eseguita accuratamente in modo da individuare errori di scrittura che possono portare a comportamenti pericolosi della macchina e mettere a repentaglio la sicurezza delle persone.

In particolare non devono essere presenti parti di software non legato alla sicurezza che possano influenzare negativamente le funzioni di sicurezza della macchina.

Ad esempio, non devono esistere segnali non di sicurezza in OR logico con segnali legati alla sicurezza, in quanto lo stato delle uscite di sicurezza può dipendere in questo caso dal solo stato del segnale non di sicurezza, che “sovrascrive” di fatto la condizione derivante dal segnale legato alla sicurezza.Nell’esempio seguente l’apertura dei ripari mobili della macchina non genera l’arresto degli elementi pericolosi protetti se il segnale di abilitazione funzionale “fieldbus input bit 5” è alto.

Tale segnale sarebbe dovuto essere in AND logico con quello proveniente dal sensore di interblocco dei ripari mobili, in modo da garantire che in ogni caso le uscite reagiscano nel modo corretto all’apertura dei ripari.

Se vuoi approfondire l’argomento partecipando ad un corso dedicato CLICCA QUI

Gli errori nel software legato alla sicurezza delle macchine industriali Leggi tutto »

Controllo remoto delle macchine e implicazione di sicurezza

Un’esigenza che ci hanno espresso alcuni utilizzatori è quella di poter modificare i parametri di funzionamento della macchina (velocità, ecc.) e di potere tacitare gli allarmi direttamente dai supervisori di reparto (postazioni di «controllo remoto dei macchinari») una volta collegate le macchine alla rete aziendale per scopi di supervisione e raccolta dati (fermi macchina, produzione, ecc.).

Però, per garantire la sicurezza della macchina, devono essere tenute in considerazione alcune questioni tecniche.  …

Controllo remoto delle macchine e implicazione di sicurezza Leggi tutto »

Performance Level d in isole robotizzate

Nel caso di circuiti di comando con funzione di sicurezza di isole robotizzate, si parla di Performance Level d.

Vediamo perchè.

Alle isole robotizzate industriali si applica la norma UNI EN ISO 10218-2:2011, che le definisce come “uno o più sistemi robotizzati inclusi macchinari, attrezzature, spazio protetto e misure di protezione associati”.

Secondo questa norma armonizzata di tipo C, applicando la quale il fabbricante assicura la presunzione di conformità alla direttiva macchine della cella robotizzata, le parti del sistema di comando correlate alla sicurezza devono essere progettate in modo da essere conformi (UNI EN ISO 10218-2:2011, §5.2.2):

  • al Performance Level d con struttura di categoria 3 come descritto nella norma UNI EN ISO 13849-1:2016;
  • al SIL 2 con tolleranza ai guasti hardware di 1 con un intervallo di verifica periodica non inferiore a 20 anni come descritto nella norma CEI EN 62061:2005.

Qualsiasi guasto delle parti del sistema di comando correlate alla sicurezza devono provocare un arresto di categoria 0 o 1 in conformità con la norma CEI EN 60204-1:2018 (UNI EN ISO 10218-2:2011, §5.2.1).

Interfacce con circuiti di comando aventi funzioni di sicurezza di altre parti del sistema di produzione integrato (IMS) devono essere conformi a quanto indicato più sopra (UNI EN ISO 10218-2:2011, §5.9.3).

I risultati di una valutazione dei rischi complessiva effettuata sul sistema robotizzato possono determinare che prestazioni delle parti del sistema di comando correlate alla sicurezza diverse siano giustificate per l’applicazione (UNI EN ISO 10218-2:2011, §5.2.3).

In questi casi i criteri utilizzati per la definizione dei livelli di prestazione richiesti devono essere specificatamente identificati e adeguate limitazioni e cautele devono essere indicate nelle istruzioni per l’uso.

Quindi questa norma di tipo C richiede non solo un Performance Level (Performance Level d) per le parti del sistema di comando correlate alla sicurezza, ma prescrive anche che i corrispondenti circuiti vengano realizzati in accordo ai requisiti della categoria 3.

La norma UNI EN ISO 10218-2:2011 indica i livelli di affidabilità che devono essere raggiunti da varie funzioni di sicurezza proprie delle celle robotizzate (tranne nel caso in cui la valutazione dei rischi giustifica criteri differenti), tra cui:

  • i sensori di interblocco dei ripari mobili devono soddisfare il Performance Level d e la categoria 3 della norma UNI EN ISO 13849-1:2016 (o il SIL 2 con tolleranza ai guasti 1 della norma CEI EN 62061:2005);
  • il sistema di monitoraggio della velocità limitata deve soddisfare il Performance Level d e la categoria 3 della norma UNI EN ISO 13849-1:2016 (o il SIL 2 con tolleranza ai guasti 1 della norma CEI EN 62061:2005);
  • i metodi utilizzati per le limitazioni del movimento dei robot devono soddisfare il Performance Level d e la categoria 3 della norma UNI EN ISO 13849-1:2016 (o il SIL 2 con tolleranza ai guasti 1 della norma CEI EN 62061:2005);
  • la funzione di arresto di emergenza deve soddisfare il Performance Level d e la categoria 3 della norma UNI EN ISO 13849-1:2016 (o il SIL 2 con tolleranza ai guasti 1 della norma CEI EN 62061:2005).

Performance Level d in isole robotizzate Leggi tutto »

Come deve essere calcolata la posizione delle barriere fotoelettriche?

La definizione delle misure di sicurezza delle macchine deriva dalla valutazione dei rischi effettuata dal fabbricante.

Sulla base di questo processo vengono quindi scelte le modalità più adeguate alla protezione delle zone pericolose, tenendo in considerazione le necessità operative; ad esempio, se è necessario accedere ad una zona pericolosa solamente per interventi di manutenzione da effettuare sporadicamente potranno essere utilizzati ripari fissi, mentre se l’accesso è per operazioni di carico e/o scarico dei prodotti in lavorazione potrebbero essere necessarie le barriere fotoelettriche.

Se si utilizzano dispositivi di protezione, quali ripari mobili interbloccati, barriere fotoelettriche, laser scanner, tappeti sensibili, comandi a due mani, il loro posizionamento viene determinato in modo che la distanza dagli organi in movimento pericolosi protetti sia tale da impedire che una persona possa raggiungerli prima che si siano arrestati.

Calcolo distanza di sicurezza di protezione

Il posizionamento dei dispositivi di protezione deve essere effettuato secondo le indicazioni della norma UNI EN ISO 13855:2010 “Sicurezza del macchinario – Posizionamento dei mezzi di protezione in funzione delle velocità di avvicinamento di parti del corpo umano”, che stabilisce che la distanza minima (S) tra il dispositivo di protezione e gli organi pericolosi protetti deve essere pari a:

S = (K  x T) + C

dove:

S   è la distanza minima (espressa in mm)

K   è la velocità di avvicinamento del corpo o di una parte del corpo (espressa in mm/s)

T   è il tempo di arresto complessivo degli elementi pericolosi protetti (espresso in secondi)

C  è la distanza di intrusione (espressa in mm) ovvero la distanza che una parte del corpo (generalmente la mano e/o il braccio) può coprire senza essere rilevata dal dispositivo di protezione (ad esempio passaggio del braccio tra due raggi della barriera fotoelettrica)

Per determinare S è quindi fondamentale conoscere con precisione il tempo di arresto degli organi pericolosi protetti, che è funzione di numerosi fattori (tempo di reazione del dispositivo di protezione, tempo di elaborazione del segnale da parte della logica, tempo di frenatura degli organi in movimento, ecc.).

Si tenga presente che una variazione anche limitata del tempo di arresto può comportare una modifica significativa del posizionamento del dispositivo di protezione.

Ad esempio, in caso di barriere fotoelettriche con capacità di detezione minore o uguale a 40 mm, la distanza minima dalla zona pericolosa S (per distanze fino a 500 mm) è pari a:

S = (2000 mm/s x T) + C

In questo caso, quindi, una differenza nella stima del tempo di arresto di due decimi di secondo implica un aumento di S di ben 400 mm.

Il mancato rispetto delle distanze stabilite dalla norma possono causare gravi incidenti; l’operatore potrebbe entrare nella zona pericolosa di una pressa quando questa si sta ancora muovendo con elevatissimi rischi di schiacciamento delle mani.

Ulteriori prescrizioni sul posizionamento delle barriere fotoelettriche sono riportate nella nuova norma CEI EN IEC 62046:2019 "Sicurezza del macchinario - Applicazione dei dispositivi di protezione per rilevare la presenza di persone".

Quadra s.r.l. può effettuare le misure dei tempi di arresto degli organi pericolosi protetti da dispositivi di protezione utilizzando strumentazione dotata di sensori di movimento che vengono applicati agli organi pericolosi e di appositi attuatori in grado di far intervenire i dispositivi di protezione (ad esempio interrompendo i fasci ottici di una barriera fotoelettrica).

Si avranno così a disposizione i dati fondamentali per una corretta progettazione dei sistemi di protezione delle macchine.

Come deve essere calcolata la posizione delle barriere fotoelettriche? Leggi tutto »

Torna in alto