La macchina è pronta. La valutazione del rischio conta decine di pagine, il cliente statunitense è soddisfatto e i collaudi sono conclusi. Poi arriva un ordine dall’Unione europea e nasce la domanda decisiva: una valutazione basata su ANSI B11.0 e ISO 12100 può sostenere la marcatura CE?
Le reazioni tipiche sono due. La prima consiste nel buttare il lavoro statunitense e ricominciare da zero. La seconda nel sostituire “ANSI” con “EN ISO” nell’intestazione, aggiungere qualche norma alla dichiarazione e sperare che la macchina abbia ottenuto la cittadinanza europea.
La prima scelta spreca informazioni preziose. La seconda funziona soltanto finché nessuno legge davvero il fascicolo. Cambiare un titolo richiede un minuto; il comando di sostituzione del testo, purtroppo, non è una procedura di valutazione della conformità.
ANSI B11.0 e ISO 12100 non sono una scorciatoia per la marcatura CE
Le due norme non esprimono filosofie opposte. Entrambe richiedono di definire il campo dell’analisi, individuare compiti e pericoli, stimare il rischio, adottare misure di riduzione e verificarne il risultato. ANSI B11.0 tratta inoltre in modo esteso le responsabilità di fornitore, integratore, utilizzatore e soggetti che modificano la macchina.
Questa sovrapposizione rende la documentazione statunitense un ottimo materiale di partenza. Non la trasforma, però, in una valutazione della conformità europea. Anche una piena applicazione di ISO 12100 non esaurisce automaticamente gli obblighi previsti dal diritto dell’Unione.
ISO 12100 descrive un metodo sistematico per valutare e ridurre i rischi. Non identifica da sola tutti gli atti legislativi applicabili, non seleziona la procedura di valutazione della conformità, non prepara il fascicolo tecnico e non decide se debba intervenire un organismo notificato.
La norma tecnica risponde soprattutto alla domanda: come riconoscere e ridurre il rischio in modo ordinato? Il diritto dell’Unione aggiunge altre domande: quali requisiti si applicano al prodotto, come sono stati soddisfatti e dove si trovano le prove?
La marcatura CE non è un premio per una buona valutazione del rischio. È la dichiarazione del fabbricante che la macchina soddisfa tutti i requisiti dell’Unione applicabili, sostenuta da documentazione tecnica e prove adeguate.
Neppure un’attestazione di conformità predisposta secondo un allegato informativo di ANSI B11.0 sostituisce la dichiarazione di conformità richiesta nell’Unione. Può essere un documento utile del fornitore, ma non dimostra che sia stata eseguita la procedura europea.
Va inoltre considerato il passaggio normativo ormai vicino. Per le macchine immesse sul mercato fino al 19 gennaio 2027 si applica la direttiva 2006/42/CE. Dal 20 gennaio 2027 troverà applicazione, in linea generale, il regolamento (UE) 2023/1230. Il nucleo operativo resta riconoscibile: valutazione del rischio, individuazione dei requisiti essenziali, scelta delle misure di protezione, documentazione tecnica e procedura di conformità appropriata.
Il regolamento rende particolarmente esplicito il collegamento tra requisiti e prove. La documentazione della valutazione del rischio deve indicare i requisiti essenziali di sicurezza e tutela della salute applicabili e descrivere le misure adottate per soddisfarli.
Perché un rischio “basso” non basta
Consideriamo una protezione mobile. Nella valutazione statunitense si legge che l’operatore può accedere alla zona pericolosa durante la rimozione di un inceppamento. Sono stati installati un riparo interbloccato con bloccaggio e una funzione di arresto sicuro. Il rischio residuo è classificato come basso.
È un buon risultato, ma non è ancora una prova completa. Occorre verificare se il riparo impedisca di raggiungere il pericolo passando sopra, sotto o attraverso le aperture. Il dispositivo di interblocco è adatto all’ambiente? Può essere eluso con un attuatore di ricambio o con quel pezzo di filo metallico che, per pura coincidenza, si trova da mesi accanto alla macchina?
Il bloccaggio resta inserito finché il pericolo non è cessato? Quale livello di affidabilità deve raggiungere la funzione di sicurezza? È stato determinato il livello di prestazione richiesto o il livello di integrità della sicurezza applicando, secondo il caso, ISO 13849 o IEC 62061? Il tempo reale di arresto è stato misurato oppure si è scritto che la macchina si ferma “quasi immediatamente”?
“Quasi immediatamente” è un’unità di tempo molto diffusa nei reparti produttivi. Non compare, però, in alcuna norma tecnica.
Una sola riga della valutazione B11.0 può quindi corrispondere a più requisiti giuridici, diversi aspetti tecnici e parecchie prove. La soluzione installata potrebbe anche rimanere invariata, ma il fabbricante deve dimostrare che soddisfa i requisiti applicabili alla macchina destinata al mercato europeo.
Per ogni scenario servono quattro risposte chiare:
- quale requisito essenziale è applicabile;
- quale misura è stata adottata;
- su quale base tecnica è stata progettata;
- quale prova ne conferma l’efficacia.
Se l’unica risposta all’ultima domanda è una casella verde con la parola “basso”, non abbiamo ancora una prova di conformità. Abbiamo una speranza ben formattata.
ANSI B11.0 e ISO 12100: quali informazioni possono essere riutilizzate
Non bisogna eliminare la valutazione B11.0. Bisogna eliminare l’idea che tutte le sue conclusioni attraversino automaticamente l’Atlantico insieme alla macchina.
Le informazioni più preziose sono quelle che possono essere riesaminate: descrizione dell’uso previsto, modalità operative, persone esposte, compiti, scenari pericolosi, misure adottate, calcoli, misurazioni e risultati della validazione.
Il primo controllo riguarda i limiti della macchina. La documentazione descrive l’uso previsto, gli utilizzatori, gli spazi necessari, la durata prevista e le condizioni ambientali? Considera pulizia, regolazione, diagnostica, manutenzione, disinceppamento e uso scorretto ragionevolmente prevedibile?
La frase “uso riservato all’operatore” non è una definizione completa dei limiti d’impiego. Allo stesso modo, il disegno della disposizione generale non sostituisce l’analisi degli spazi necessari per conduzione, manutenzione e accesso sicuro.
L’identificazione dei compiti è spesso uno dei punti migliori di ANSI B11.0. Il pericolo viene collegato a una persona e a un’azione concreta: l’operatore rimuove uno scarto, il tecnico esegue una diagnosi con energia presente, l’addetto alla manutenzione entra nel corpo macchina. È molto più utile della generica voce “pericolo meccanico”.
Va comunque verificato che l’analisi copra l’intera macchina e tutte le fasi del ciclo di vita. Un documento può descrivere perfettamente la produzione automatica e ignorare trasporto, montaggio, messa in servizio, cambio formato, ricerca guasti o dismissione. Una sola fase dimenticata può nascondere più pericoli di una matrice del rischio imperfetta.
| Materiale disponibile | Possibile riutilizzo | Verifica necessaria |
|---|---|---|
| Campo della valutazione e uso previsto | Definizione dei limiti della macchina | Uso, spazio, tempo, ambiente e uso scorretto prevedibile |
| Persone e compiti | Identificazione delle situazioni pericolose | Tutte le modalità operative e le fasi del ciclo di vita |
| Pericoli individuati | Base per l’identificazione secondo ISO 12100 | Scenari reali, non soltanto categorie generiche |
| Rischio iniziale | Punto di partenza per la stima | Criteri usati per gravità e probabilità del danno |
| Misure di riduzione | Applicazione del metodo in tre fasi | Corretta priorità tra progettazione, protezioni e informazioni |
| Rischio residuo | Valutazione del risultato e informazioni all’utilizzatore | Assenza di procedure usate per sostituire misure tecniche realizzabili |
| Prove e validazione | Dimostrazione dell’efficacia | Comportamento fisico della macchina, non solo stato dei segnali |
ANSI B11.0 richiede di scegliere e applicare coerentemente un metodo di stima del rischio, ma non impone un’unica matrice, un numero fisso di livelli o una determinata combinazione di colori. I risultati possono essere conservati soltanto se restano ricostruibili i criteri e le ipotesi che li hanno prodotti.
Se la probabilità è stata ridotta perché “l’operatore dovrebbe prestare attenzione”, la matrice non ha misurato il rischio. Ha misurato un desiderio.
Un altro controllo importante riguarda la ripartizione delle responsabilità. ANSI B11.0 considera misure affidate sia al fornitore sia all’utilizzatore: progettazione, protezioni tecniche, avvertenze, procedure, formazione, supervisione, controllo delle energie pericolose e dispositivi di protezione individuale.
ISO 12100 richiede al progettista di applicare il metodo in tre fasi: prima la sicurezza intrinseca mediante progettazione, poi i ripari e le altre misure tecniche di protezione, infine le informazioni per l’uso. I due sistemi non sono incompatibili. Il problema nasce quando un obbligo trasferito all’utilizzatore viene presentato come sostituto di una soluzione che avrebbe dovuto adottare il fabbricante.
La misura di riduzione del rischio più economica sulla carta si chiama spesso “responsabilità dell’utilizzatore”. Sulla macchina può diventare la più costosa, soprattutto quando nasconde un problema che il progettista poteva eliminare.
Conviene quindi recuperare tutte le informazioni raccolte con rigore. Le conclusioni, invece, devono essere riesaminate nel contesto europeo.
Norme armonizzate, applicazione parziale e presunzione di conformità
Un elenco di norme non è una corazza per la dichiarazione. EN ISO 13849-1 non corregge un circuito a singolo canale soltanto perché il suo numero compare sotto una firma. EN ISO 14119 non impedisce l’elusione di un interblocco. EN ISO 14120 non rende più resistente un riparo ed EN ISO 13855 non sposta fisicamente una barriera immateriale alla distanza corretta.
La macchina, di solito, non sa quali norme siano state dichiarate.
Una norma può essere applicata integralmente oppure, quando ammesso e documentato, soltanto per le parti pertinenti. In quest’ultimo caso il fabbricante deve indicare con precisione le disposizioni utilizzate e descrivere le altre soluzioni tecniche adottate per soddisfare i requisiti restanti.
Non è un’ammissione di fallimento. È una definizione onesta del campo dell’affermazione. Si può usare un metodo di calcolo, un requisito relativo a una protezione o una procedura di prova, completando il percorso con altre specifiche tecniche. Ciò che non si può fare è dichiarare la macchina conforme soltanto a metà dei requisiti essenziali applicabili.
La presunzione di conformità ha un campo preciso. Non si irradia da un singolo punto applicato correttamente verso tutti gli altri capitoli della norma, né copre rischi estranei al suo oggetto.
ANSI B11.0 può essere una specifica tecnica importante e una fonte di prove ingegneristiche. Non è però una norma europea armonizzata il cui riferimento sia stato pubblicato nella Gazzetta ufficiale dell’Unione europea. Il semplice richiamo alla norma statunitense non conferisce quindi presunzione di conformità ai requisiti europei.
Questo non vieta l’impiego di soluzioni sviluppate per il mercato statunitense. Il fabbricante può scegliere approcci tecnici differenti, purché dimostri in modo convincente che soddisfano tutti i requisiti applicabili.
La libertà progettuale non è libertà dalle prove. Dichiarare una norma intera amplia l’affermazione del fabbricante e, di conseguenza, anche l’elenco delle domande alle quali deve saper rispondere.
Torniamo al riparo con bloccaggio. Se nella dichiarazione compaiono EN ISO 14120, EN ISO 14119 ed EN ISO 13849-1, occorre dimostrare che la struttura del riparo sia stata valutata, che il rischio di elusione sia stato considerato, che la funzione di sicurezza sia stata specificata e che l’intera catena sia stata validata.
Per il sistema di comando non basta mostrare che il sensore cambia stato. Bisogna definire la funzione, determinare il livello richiesto, verificare architettura, copertura diagnostica, guasti di causa comune e affidabilità dei componenti, quindi validare il comportamento reale. A seconda della tecnologia e del progetto si applicherà ISO 13849 o IEC 62061.
Se questi elementi mancano, i numeri delle norme descrivono soprattutto le ambizioni dell’autore della dichiarazione.
Cibersecurity, compatibilità elettromagnetica e atmosfere esplosive
Una macchina moderna può includere controllori di sicurezza, pannelli operatore, calcolatori industriali, reti senza fili e accesso remoto per l’assistenza. Il fornitore può modificare parametri senza entrare nello stabilimento. Scrivere nella valutazione “cibersecurity considerata” non chiude il problema.
Occorre chiedere se un utente remoto possa cambiare parametri legati alla sicurezza, selezionare una modalità operativa, eliminare un errore, autorizzare il riavvio o caricare una nuova versione del programma. Dopo l’aggiornamento deve essere ancora identificabile la configurazione validata.
Disporre di una rete privata virtuale non risponde a queste domande. Essa protegge il canale di comunicazione, non decide quali operazioni siano sicure una volta stabilito l’accesso.
Una rete privata virtuale è soltanto un tunnel. Se all’altra estremità un’utenza di assistenza può alterare una funzione di sicurezza senza controllo, è stato costruito un tunnel molto protetto verso una decisione pericolosa.
Il regolamento sulle macchine introduce requisiti espliciti contro alterazioni e influenze capaci di provocare situazioni pericolose. La cibersecurity smette di essere una questione esclusiva dei sistemi informativi quando un intervento su componenti, programmi o comunicazioni modifica il comportamento sicuro della macchina.
Serve quindi analizzare chi possa accedere, a quali funzioni, come siano attribuiti e revocati i privilegi, come vengano registrate le modifiche e quale sia il comportamento in caso di perdita della comunicazione. Vanno protette anche l’integrità delle versioni, la configurazione e i parametri rilevanti per la sicurezza.
La logica è simile per la compatibilità elettromagnetica. Se si applica la direttiva 2014/30/UE, il fabbricante deve valutare emissioni e immunità dell’insieme. Sono rilevanti le configurazioni rappresentative, i cavi, i filtri, le schermature, i collegamenti equipotenziali e le condizioni d’installazione.
Cinque dispositivi marcati CE montati nello stesso quadro non producono automaticamente un quadro conforme. La compatibilità elettromagnetica dipende dalla fisica dell’intero sistema, non dal numero di dichiarazioni dei componenti.
Per le atmosfere potenzialmente esplosive occorre verificare anche la direttiva 2014/34/UE. Devono essere definiti il tipo di atmosfera, la zona prevista, la categoria dell’apparecchiatura, la temperatura superficiale e le possibili sorgenti di accensione. La classificazione delle zone è normalmente responsabilità dell’utilizzatore dell’impianto, ma il fabbricante non può progettare nel vuoto: deve conoscere le condizioni previste.
“C’è poca polvere” non è una categoria di apparecchiatura. E “il cliente pensa che non ci sia una zona classificata” non è una specifica delle condizioni d’impiego.
La stessa macchina può ricadere contemporaneamente nella legislazione sulle macchine, sulla compatibilità elettromagnetica, sulle atmosfere esplosive e, quando pertinente, nei requisiti riguardanti i prodotti con elementi digitali. Una sola dichiarazione può richiamare più atti dell’Unione, ma ciò non significa che un’analisi generica possa soddisfarli tutti.
ANSI B11.0 e ISO 12100: procedura pratica per recuperare il lavoro esistente
La strategia corretta non consiste nel convertire una dichiarazione statunitense in una europea. Bisogna trasformare il lavoro ingegneristico già svolto in prove collegate ai requisiti dell’Unione.
Questo approccio evita di riscoprire la macchina da zero, ma richiede disciplina. Titolo, lingua e grafica del documento non ne cambiano il campo, il metodo o la base giuridica.
Una matrice senza ipotesi dichiarate è un album da colorare per adulti, non una prova tecnica. Conservare il risultato ha senso soltanto se è possibile ricostruire come è stato ottenuto.
1. Verificare il materiale e completare il campo di ISO 12100
Vanno conservati descrizione della macchina, compiti, pericoli, misure, ipotesi, calcoli, prove e risultati della validazione. Poi occorre controllare che siano coperti tutti i limiti, le modalità operative, le fasi del ciclo di vita e gli interventi ragionevolmente prevedibili.
Non bisogna copiare i punteggi senza le ipotesi originarie. Se non è chiaro come siano state valutate gravità, esposizione, possibilità di evitare il danno e probabilità dell’evento pericoloso, il risultato non è verificabile.
2. Collegare requisito, misura e prova
Per ogni scenario devono essere registrati il requisito applicabile, la misura adottata, la norma o la specifica tecnica utilizzata, la prova disponibile e l’eventuale lacuna. La struttura può essere semplice, purché obblighi il gruppo di progetto a mostrare il collegamento logico.
| Requisito UE | Scenario B11.0 | Misura adottata | Base tecnica | Prova | Lacuna |
|---|---|---|---|---|---|
| Protezione dagli elementi mobili | Accesso durante il disinceppamento | Riparo interbloccato con bloccaggio | Norme sui ripari, sugli interblocchi e sulle distanze | Disegni, calcoli, ispezione e prova funzionale | Manca la misurazione del tempo di arresto |
| Sicurezza del sistema di comando | Apertura del riparo durante il movimento | Funzione di arresto sicuro | ISO 13849 o IEC 62061 | Specifica della funzione, calcoli e validazione | Livello richiesto non determinato |
L’ultima colonna non serve per scrivere “risolto” cinque minuti prima della spedizione. Serve a trovare il problema prima che lo trovi il cliente, l’organismo notificato o l’autorità di vigilanza del mercato.
3. Controllare norme e altri atti applicabili
Le norme vanno selezionate in funzione del pericolo e della soluzione, non copiando la dichiarazione di una macchina simile. Per ciascuna norma occorre verificare il campo di applicazione, lo stato di armonizzazione vigente, le parti effettivamente applicate e le prove richieste.
Successivamente si analizzano gli altri atti dell’Unione pertinenti, per esempio quelli relativi alla compatibilità elettromagnetica, alle atmosfere esplosive e alla cibersecurity. Se la valutazione B11.0 non tratta un requisito, la lacuna va dichiarata. Se lo copre parzialmente, si conserva la parte utile e si completa il resto.
Quando la soluzione tecnica non soddisfa il requisito, bisogna modificare la macchina, non la descrizione.
4. Chiudere le lacune prima di firmare
Una misurazione mancante deve essere eseguita. Una validazione incompleta deve essere terminata. Un riparo facilmente eludibile deve essere riprogettato. Condizioni d’uso ambigue devono essere concordate con il cliente e riportate nella documentazione.
La data di consegna non è una misura di riduzione del rischio. Se la macchina deve partire domani, si può informare la fisica; la fisica non è comunque obbligata ad abbreviare il tempo di arresto.
Solo dopo la chiusura delle lacune è possibile selezionare con cognizione la procedura di valutazione della conformità, verificare l’eventuale necessità di un organismo notificato, completare il fascicolo tecnico e redigere la dichiarazione prevista.
Riutilizzare l’analisi, non sostituire la conformità
Attraversando l’Atlantico, il tempo di arresto della macchina non cambia. Un riparo non perde resistenza e una buona analisi dei pericoli non diventa inutile. Cambia però il sistema nel quale il fabbricante deve dimostrare la conformità.
Una valutazione secondo ANSI B11.0 può fornire gran parte delle informazioni necessarie: compiti, pericoli, misure di protezione, calcoli, prove e risultati di validazione. Non dimostra automaticamente che siano stati soddisfatti tutti i requisiti dell’Unione.
Non occorre quindi rifare ogni attività. Occorre verificarne il campo, collegare le prove ai requisiti corretti, controllare le norme applicate e colmare le lacune. Il lavoro statunitense può far risparmiare mesi, ma non può eliminare la responsabilità del fabbricante.
È la risposta documentata a ogni domanda scomoda che separa il riutilizzo intelligente dell’ingegneria dalla semplice sostituzione dei numeri delle norme. Ed è ciò che separa la marcatura CE da un adesivo applicato sulla targhetta.