CEI EN 60204-1: errori elettrici diventati abitudine

«Sulla seconda linea bisogna impostarla diversamente». Due linee identiche producono lo stesso articolo, ma richiedono temperature diverse. L’operatore esperto sa cosa correggere. Al nuovo arrivato bisogna mostrarlo. Se domanda perché due macchine uguali si comportino in modo diverso, gli rispondono che ogni macchina va conosciuta un po’.

Così una misura disturbata smette di essere un guasto da eliminare. Diventa sapere pratico, tramandato da un turno all’altro. Il tecnologo di processo corregge i parametri, l’operatore sorveglia il risultato e la produzione conferma che, in fondo, si riesce a lavorare. Invece di sistemare l’impianto, si sono aumentate le prestazioni richieste alle persone.

È uno degli effetti meno spettacolari degli errori nell’equipaggiamento elettrico delle macchine. Non deve bruciare nulla. Non deve intervenire alcuna protezione. Basta che, per colpa di cavi posati male, l’azienda paghi ogni giorno regolazioni, controlli e correzioni aggiuntive. Il costo finisce nelle ore di lavoro e diventa facile scambiarlo per un normale costo di produzione.

La CEI EN 60204-1 riguarda molto più dell’aspetto delle canaline dentro il quadro. Un errore elettrico può cambiare il modo in cui viene utilizzata l’intera macchina. Se impone accessi più frequenti a una zona pericolosa, mette in discussione anche le ipotesi della valutazione del rischio. Una regolazione prevista una volta al mese e svolta ogni ora non è la stessa cosa, anche se nella documentazione entrambe si chiamano semplicemente «regolazione».

Lo stesso destino tocca ad altre convinzioni aziendali. Il rosso sulla colonna luminosa deve indicare qualsiasi fermo, perché il responsabile vuole vedere dove la produzione non procede. Con gli azionamenti a velocità variabile non si usano differenziali, perché anni fa davano problemi. Nessuno chiede quale sia il sistema di distribuzione, visto che la tensione è corretta e il conduttore di protezione è collegato.

Ognuna di queste risposte chiude in fretta una conversazione scomoda. Con il tempo, chiedere il fondamento tecnico viene interpretato come mancanza di esperienza. L’esperienza serve invece proprio a distinguere una soluzione verificata da un errore che tutti hanno imparato a gestire. Il numero della norma nella documentazione non risolve il dubbio. Bisogna entrare nell’impianto, seguire il funzionamento delle protezioni e osservare ciò che le persone fanno davvero sulla macchina. Soprattutto ciò che la macchina non avrebbe dovuto chiedere loro.

Il guasto più difficile da eliminare è quello che ha già fatto carriera fino a diventare uno standard aziendale.

1. Il tecnologo di processo regola ciò che l’impianto rovina

Il tecnologo di processo deve stabilizzare la seconda linea. Riceve le temperature indicate, i risultati di produzione e la possibilità di modificare i parametri. Su questa base sceglie le impostazioni necessarie per ottenere il prodotto corretto. Se devono essere corrette, le corregge.

La causa, però, è nella posa dei cavi di misura accanto ai cavi motore dei servoazionamenti. I disturbi entrano nel percorso di misura della termocoppia e il loro effetto compare sul pannello sotto forma di temperatura. Lo stesso prodotto richiede quindi impostazioni differenti non perché sia stata scoperta una nuova proprietà del materiale, ma perché su una linea l’installazione è stata eseguita peggio.

Il reparto di processo ha ricevuto un problema che l’elettricista non ha lasciato sullo schema. Lo ha lasciato nella canalina.

Il regolatore riceve una misura errata e reagisce con grande diligenza

Una termocoppia produce una tensione molto piccola, convertita in temperatura tenendo conto della caratteristica del sensore e della temperatura del giunto di riferimento. Se un disturbo falsifica il segnale, il regolatore lavora su un’informazione sbagliata. Può aumentare o ridurre il riscaldamento in perfetta coerenza con il proprio algoritmo, anche se la temperatura reale non giustifica quella reazione.

Il problema di misura comincia così a modificare il processo. Una persona osserva il risultato e tenta di compensarlo cambiando le impostazioni. Nasce una seconda regolazione, manuale, che nessuno aveva previsto acquistando la linea automatica. L’automazione regola sulla base di una misura sbagliata. Il tecnologo di processo corregge l’automazione. Nell’elenco delle risorse i due sistemi di regolazione compaiono separati: il primo è un controllore, il secondo è un posto di lavoro.

La semplice presenza di un numero sullo schermo dimostra poco. Una lettura disturbata può restare entro il campo di misura. Non deve necessariamente comparire l’allarme di interruzione della termocoppia o un altro messaggio capace di indirizzare subito la manutenzione verso l’impianto.

Neppure due schemi identici escludono differenze. Lo schema mostra i collegamenti. La vicinanza fisica dei cavi, l’esecuzione delle schermature e i collegamenti equipotenziali vanno controllati sulla macchina.

«Ma la norma permette di posarli insieme»

Sì. A determinate condizioni. Il punto 13.1.3 della CEI EN 60204-1 ammette la posa affiancata di conduttori appartenenti a circuiti diversi, nello stesso canale e persino in specifici cavi o insiemi comuni. Impone però che la disposizione non comprometta il corretto funzionamento di alcun circuito. Solo dopo entrano in gioco i requisiti di separazione o isolamento per tensioni diverse.

L’argomento «l’isolamento è adatto alla tensione» risponde quindi soltanto a metà della domanda. Non serve un cortocircuito per rendere sbagliata un’installazione. È sufficiente che un circuito rovini l’informazione necessaria all’altro.

I requisiti EMC riguardano sia l’emissione dei disturbi sia l’immunità dell’equipaggiamento nell’ambiente di impiego previsto. L’allegato informativo H sviluppa le misure per limitarli: separazione tra cavi di potenza e di segnale, schermatura corretta, collegamenti equipotenziali e uso dei cavi secondo le istruzioni dei fabbricanti. Comprare un cavo schermato non chiude la pratica EMC. Bisogna ancora posarlo e terminarlo correttamente.

Prima controlliamo se la temperatura è cambiata davvero

Prima della successiva correzione della ricetta conviene mettere in discussione ciò che finora è stato dato per certo: l’affidabilità dell’indicazione. Nella diagnosi confrontiamo la lettura con una misura indipendente di riferimento, considerando posizione, inerzia e tempo di risposta dei sensori.

Contemporaneamente registriamo il funzionamento degli azionamenti. Cerchiamo una relazione tra la loro attività e lo scostamento dell’indicazione, non semplicemente tra il movimento e l’andamento della temperatura: il movimento della macchina può influenzare realmente il processo. Controlliamo la configurazione dell’ingresso e l’intero percorso di misura.

In una prova controllata valutiamo poi l’effetto della modifica del percorso dei cavi, della schermatura o dei collegamenti. Non cambiamo contemporaneamente la ricetta, perché così diventa impossibile separare gli effetti.

Se la causa è un disturbo, l’impostazione separata della seconda linea non dimostra che il processo sia stato sviluppato correttamente. Dimostra soltanto che qualcuno ha trovato il modo di produrre nonostante la misura sbagliata. Alla prossima variazione delle condizioni servirà probabilmente un’altra correzione.

Il disturbo ha ottenuto una propria impostazione tecnologica. Adesso può essere riprodotto insieme alla ricetta.

2. Una volta al mese nella valutazione del rischio, una volta all’ora in produzione

«La regolazione è stata considerata nella valutazione del rischio». Certo. Una volta al mese. L’operatore, però, la esegue ogni ora perché senza continue correzioni il processo non mantiene i parametri. L’attività porta lo stesso nome, quindi sulla carta sembra tutto coerente.

Consideriamo il caso in cui l’intervento richieda l’accesso dietro un riparo, vicino a elementi caldi del processo. L’attività aggiuntiva comporta anche un’esposizione aggiuntiva. Non serve consentire il movimento con il riparo aperto perché la questione diventi un problema di sicurezza. La macchina avrebbe dovuto richiedere una regolazione sporadica. Richiede invece un salvataggio periodico della produzione. Nella valutazione del rischio continua a godere dei vantaggi della prima versione.

«È soltanto un sensore di processo»

È il modo più semplice per separare il problema di misura dalla sicurezza. Il sensore non svolge una funzione di sicurezza, il relè funziona e l’apertura del riparo arresta gli azionamenti. Dunque il guasto riguarderebbe solo la qualità.

Peccato che sia proprio la misura errata a portare una persona vicino alla macchina più spesso del previsto. Un normale sensore non deve comandare una protezione per compromettere le condizioni sulle quali quella protezione è stata scelta.

ISO 12100 collega l’affidabilità dell’equipaggiamento alla riduzione del numero di interventi e dell’esposizione ai pericoli. Questo collegamento comprende espressamente anche funzioni diverse da quelle di sicurezza. Dividere i componenti nella documentazione tra «sicurezza» e «processo» non esonera quindi dall’analisi delle conseguenze del loro funzionamento.

Nel nostro esempio l’elettricista ha lasciato un percorso di misura disturbato. Il tecnologo di processo ha trovato impostazioni che permettono di produrre. L’operatore esegue attività aggiuntive. Ogni reparto ha gestito il proprio tratto. Soltanto la frequenza di esposizione non ha un reparto dedicato. Per questo resta facilmente senza proprietario.

Se la giustificazione della riduzione sufficiente del rischio si basava su un accesso sporadico, dopo il passaggio a interventi orari quella giustificazione non può essere considerata ancora valida. Non è una questione di aggiornare la data della revisione. È cambiata l’informazione sulla quale si basava la conclusione.

Non basta applicare un moltiplicatore. Una regolazione più frequente non produce automaticamente un aumento prestabilito di un eventuale risultato ottenuto con il metodo Risk Score. Occorre verificare che cosa fa la persona, a quali pericoli è esposta, per quanto tempo e con quale protezione.

Lasciare invariata la vecchia frequenza significa invece valutare consapevolmente condizioni diverse da quelle presenti sul posto di lavoro.

Il riparo scelto per la manutenzione adesso serve la produzione

Supponiamo che la rara necessità di accesso abbia giustificato un riparo fisso. Con un’attività mensile, rimozione, intervento e rimontaggio potevano rientrare nell’organizzazione prevista. Adesso la stessa operazione va ripetuta per tutto il turno.

Prima o poi qualcuno lascia il riparo non fissato. L’azienda identifica un nuovo problema: il comportamento scorretto dei lavoratori. La canalina rimane esattamente com’era. L’operatore riceve invece un altro corso.

Questo non giustifica il lavoro senza protezione. Mostra però dove si è interrotta l’analisi delle cause. ISO 12100 richiama il rapporto tra l’aumento della necessità di accesso e il mancato riposizionamento dei ripari fissi. In tali condizioni bisogna scegliere una soluzione di protezione più adatta, non trattare il continuo svitamento del riparo come un problema esclusivamente disciplinare.

Sarebbe altrettanto assurdo lasciare la misura difettosa e occuparsi soltanto di rendere più comoda l’apertura della macchina. Prima si elimina la causa degli interventi inutili. Poi si dimensiona la protezione sulle attività che resteranno davvero necessarie.

Finché il guasto esiste, la valutazione e le misure di protezione devono considerare le condizioni attuali, non la promessa di una futura riparazione. Dopo la modifica dell’impianto non verifichiamo soltanto la stabilità della misura. Controlliamo anche che sia cessata la necessità di correzioni continue. Solo allora possiamo confermare quali ipotesi operative corrispondano di nuovo alla macchina.

Una valutazione del rischio preparata per una regolazione sporadica non offre un alibi a una macchina che la impone per tutto il turno.

3. Rosso, perché il responsabile non ama i fermi

«Quando la macchina è ferma deve accendersi il rosso. Voglio vedere subito dove non si produce». Il programmatore ha ricevuto una richiesta chiarissima. Basta collegare il segnale all’assenza del ciclo automatico.

La macchina ha terminato il lotto: rosso. Attende il materiale: rosso. Si è verificata una condizione pericolosa: ancora rosso. La colonna segnala alla perfezione il malcontento del responsabile. Con l’informazione destinata all’operatore è andata peggio.

Un colore, istruzioni contraddittorie

In assenza di materiale, la persona deve avvicinarsi ed eseguire l’attività prevista. In una determinata condizione pericolosa può invece servire un’azione protettiva immediata oppure, al contrario, restare lontani dalla macchina. Se i due casi vengono segnalati nello stesso modo, il colore smette di aiutare a riconoscere la reazione necessaria.

Il problema è questo. Non che qualcuno abbia offeso una tabella dei colori.

La CEI EN 60204-1 raccomanda di codificare gli indicatori in funzione dello stato della macchina. Nella tabella 4 il rosso è associato a una condizione di emergenza legata a un pericolo; il giallo a una condizione anomala; il blu alla necessità di un’azione dell’operatore. Il verde indica una condizione normale e il bianco fornisce informazioni neutre.

«Non produce» non è una categoria di pericolo. Allo stesso modo, «produce» non è una conferma di sicurezza. Fine lotto, richiesta di materiale e avvertimento di pericolo devono essere distinguibili. Non basta ridurli alla condizione comune «l’automatico non funziona».

«Gli operatori sanno che cosa significa il rosso». In questo caso sanno soprattutto che il colore, da solo, non decide nulla. Devono controllare se stavolta occorre aggiungere materiale, ritirare il prodotto oppure non avvicinarsi. È stato progettato un segnale evidente e poi gli è stato tolto ogni significato distintivo.

Il responsabile ha pieno diritto di conoscere i fermi. Non deve per questo requisire tutta la segnalazione di avvertimento. L’informazione produttiva può essere separata e descritta. La codifica raccomandata lascia spazio ai diversi stati e alle diverse esigenze operative. Richiede soltanto qualcosa di più del collegamento tra una lampada e un bit del PLC.

STOP rosso accanto a E-STOP rosso

Sul pannello il problema si presenta al contrario: la persona non deve interpretare un segnale, ma scegliere il dispositivo con cui intervenire. Uno STOP rosso ordinario è montato accanto a un E-STOP rosso.

Chi ha progettato il pannello ne conosce la funzione. Durante il collaudo preme il pulsante giusto e ne conferma il funzionamento. In pratica ha verificato di non confondere i pulsanti che lui stesso ha disposto. Difficile immaginare condizioni di prova più favorevoli.

La norma ammette il rosso per uno STOP ordinario, ma raccomanda di non usarlo vicino a un dispositivo di comando per azioni di emergenza. Per l’arresto ordinario è preferito il nero; sono ammessi anche grigio e bianco. L’elemento rosso su fondo giallo è invece riservato alle azioni di emergenza.

Non significa dichiarare sbagliato ogni STOP rosso. Bisogna capire se, su quel pannello, il riconoscimento del dispositivo corretto sia stato facilitato oppure se la difficoltà sia stata giustificata con l’abitudine degli addetti. Colore, forma, fondo, marcatura e posizione lavorano insieme. La differenza sullo schema non basta.

Se lo STOP ordinario consente alla macchina di completare una fase del processo, premerlo al posto della funzione di arresto di emergenza provocherà proprio quella reazione. Il regolatore o il PLC non possono indovinare che la persona voleva premere il pulsante accanto.

Verifichiamo il significato, non soltanto l’accensione

Durante il collaudo della segnalazione conviene attraversare stati concreti: fine lotto, attesa dell’operatore, anomalia di processo e condizione pericolosa. Per ciascuno stabiliamo che cosa vede la persona, come riconosce la priorità e quale azione ci aspettiamo.

Se più condizioni compaiono contemporaneamente, controlliamo che l’informazione produttiva non nasconda l’avvertimento. Con i pulsanti eseguiamo una verifica equivalente: riconoscibilità, accessibilità dalla postazione e reazione reale della macchina.

Le istruzioni devono spiegare un’interfaccia coerente, non riconciliare contraddizioni lasciate nel progetto. Una prova delle uscite PLC conferma che si accenda la lampada prevista. Non conferma che la lampada trasmetta l’informazione corretta.

Il responsabile può fissare le priorità di produzione. Il significato di un segnale di pericolo non va negoziato insieme al programma del turno.

4. TT: la terra c’è. Ma che cosa interromperà l’alimentazione?

«Conduttore di protezione collegato. Continuità verificata. Protezione scelta in base al carico». Sembra tutto completo, finché non chiediamo in quale sistema di distribuzione lavori la macchina e che cosa accada dopo un guasto dell’isolamento.

Consideriamo una macchina collegata a un sistema TT, nella quale la protezione in caso di guasto è affidata esclusivamente a un dispositivo di protezione contro le sovracorrenti. La scelta è stata copiata da progetti precedenti. Le condizioni di interruzione nel nuovo sito non sono state controllate: la tensione è corretta e la messa a terra esiste.

Il fornitore ha copiato il dispositivo. Non è riuscito a copiare le condizioni nelle quali avrebbe dovuto intervenire.

La corrente non scompare nel dispersore

In un sistema TN la corrente di guasto dispone di un percorso metallico di ritorno, attraverso i conduttori di protezione, verso il punto del generatore collegato a terra. Nel TT le masse sono collegate a un dispersore indipendente da quello del generatore. Nel circuito della corrente di guasto bisogna considerare anche il terreno e i dispersori dell’impianto e della sorgente.

Dopo un guasto dell’isolamento, la corrente passa dal conduttore di fase alla massa, prosegue attraverso il collegamento di protezione e l’impianto di terra, quindi ritorna alla sorgente. Il suo valore dipende dall’impedenza dell’intero anello, non soltanto dalla resistenza del conduttore tra la massa e il morsetto PE.

La terra non è uno scarico nel quale versare la corrente e chiudere il calcolo. Una continuità impeccabile dei collegamenti di protezione può quindi convivere con una corrente insufficiente a far intervenire la protezione contro le sovracorrenti. Non c’è contraddizione. È stato verificato un collegamento, non ancora l’efficacia della protezione scelta.

Dieci ampere non convincono una protezione da 16 A

Prendiamo un esempio semplice: tensione verso terra di 230 V, impedenza complessiva dell’anello di guasto a terra pari a 23 Ω e protezione contro le sovracorrenti da 16 A. Consideriamo un guasto di impedenza trascurabile tra fase e massa e trascuriamo la corrente di esercizio del carico.

La corrente dovuta al guasto vale approssimativamente:

I = U₀ / Zₛ = 230 V / 23 Ω = 10 A.

È inferiore alla corrente nominale della protezione. Non abbiamo motivo di aspettarci l’interruzione del circuito per sovracorrente. Sulla massa può intanto permanere una tensione pericolosa verso terra.

La protezione non è guasta. Dieci ampere, per un apparecchio nominale da sedici, non sono una ragione sufficiente per intervenire. Il progettista avrebbe dovuto riconoscere prima il problema.

La condizione riportata nell’allegato A.2 è Zₛ × Iₐ ≤ U₀. Il valore decisivo è Iₐ: la corrente che provoca l’intervento entro il tempo richiesto. Non la corrente nominale letta sull’involucro. Confondere i due valori produce calcoli molto comodi. L’apparecchio, però, interverrà secondo la propria caratteristica, non secondo il nostro errore.

L’RCD è la soluzione principale. L’eccezione va dimostrata

Per il TT, la CEI EN 60204-1 indica l’interruttore differenziale (RCD) come mezzo principale per realizzare la protezione in caso di guasto, insieme all’appropriata protezione contro le sovracorrenti. Ammette anche l’uso del solo dispositivo contro le sovracorrenti, a condizione che sia garantita in modo permanente e affidabile un’impedenza sufficientemente bassa dell’anello di guasto.

«La norma ammette il TT senza differenziale». Sì. Nel nostro esempio il calcolo mostra esattamente perché non possiamo usare quell’eccezione. Trovare un’eccezione nel testo non migliora i parametri dell’impianto.

Quando si usa un RCD si verifica, tra l’altro, la condizione Rₐ × IΔn ≤ 50 V, dove Rₐ comprende la resistenza del dispersore e del conduttore di protezione, mentre IΔn è la corrente differenziale nominale d’intervento. A parte va rispettato il tempo richiesto di interruzione.

Per il circuito terminale esemplificativo da 16 A, con tensione verso terra di 230 V AC, la tabella A.2 indica 0,2 s. Il rispetto della sola disuguaglianza non dimostra il tempo d’intervento. Allo stesso modo, la semplice presenza dell’RCD non ne conferma la scelta e il collegamento corretti.

Non cerchiamo il differenziale soltanto dentro il quadro della macchina. La protezione può essere assicurata da un dispositivo adeguato nell’impianto di alimentazione. Bisogna identificare quale apparecchio protegga il circuito e a quali condizioni, invece di trattare il confine della fornitura come confine dell’analisi.

Il fabbricante deve specificare i requisiti di collegamento. L’allegato A.2 consente di utilizzare i dati dell’installazione futura oppure di definire parametri ammissibili per macchine di serie. Il valore massimo di resistenza del dispersore o di impedenza dell’anello assunto nel progetto deve comparire nelle istruzioni di installazione.

«Collegare a regola d’arte» non comunica questo dato. Passa al prossimo elettricista il compito di indovinare che cosa il precedente considerasse sufficiente.

La massa può essere collegata perfettamente al PE e la protezione restare inefficace. A proteggere la persona è il circuito progettato correttamente, non la sola presenza del conduttore giallo-verde.

5. Sistema IT senza sorveglianza: la produzione non deve fermarsi

«È un sistema IT. Al primo guasto a terra non interrompe». Il vantaggio è stato ricordato. Più difficile spiegare come gli addetti scopriranno che il primo guasto è già avvenuto.

Consideriamo un impianto nel quale si sfrutta la continuità di servizio, ma non si assicura la sorveglianza necessaria per rilevare e segnalare il deterioramento dell’isolamento. La macchina produce, le protezioni non interrompono e la manutenzione non riceve segnalazioni. È stato scelto un sistema nel quale il guasto non deve necessariamente manifestarsi con un fermo, poi ne è stato omesso il rilevamento. Un ottimo sistema per migliorare la statistica dei guasti segnalati.

Che cosa è realmente isolato?

Nel sistema IT le parti attive sono isolate da terra oppure un punto della sorgente è collegato a terra tramite un’impedenza sufficientemente elevata. Questo non significa lasciare le masse metalliche senza collegamenti di protezione e senza messa a terra.

Al primo guasto d’isolamento, la corrente verso terra è limitata dalle caratteristiche del sistema: resistenza d’isolamento, capacità verso terra ed eventuale impedenza collegata alla sorgente. Se le condizioni di protezione sono rispettate, non è necessario interrompere subito l’alimentazione. Si può organizzare la ricerca e la rimozione del guasto senza arrestare bruscamente il processo.

Non significa trasformare l’isolamento deteriorato nel nuovo stato normale dell’impianto. Proprio per questo serve la sorveglianza.

Il dispositivo di controllo dell’isolamento (IMD) sorveglia la resistenza d’isolamento del sistema rispetto a terra e segnala la discesa sotto il valore impostato. Una misura eseguita al collaudo non sostituisce questa funzione durante l’esercizio. Il verbale conferma ciò che è stato misurato quel giorno. Non fa il turno di notte.

Tacitare l’allarme non migliora l’isolamento

Il punto 6.3.3 della CEI EN 60204-1 rinvia, per i sistemi IT, ai requisiti pertinenti della IEC 60364-4-41. Richiede inoltre che, durante il guasto d’isolamento, siano mantenute indicazioni acustiche e visive. È consentito tacitare manualmente il segnale acustico dopo che è stato emesso.

La distinzione conta. Si può confermare la ricezione dell’informazione e spegnere il suono. Non si può concludere che la causa dell’allarme sia scomparsa.

Supponiamo che l’IMD sia presente, ma che gli addetti abbiano imparato ad azzerare il messaggio perché «la macchina funziona normalmente». L’allarme ritorna e, con il tempo, viene considerato un difetto fastidioso del dispositivo. L’isolamento è peggiorato. Il reclamo è stato indirizzato all’apparecchio che se ne è accorto.

Se dopo il riconoscimento dell’allarme lo schermo torna a mostrare il normale stato operativo, nonostante il guasto persista e senza un’altra indicazione visiva mantenuta, l’informazione è stata rimossa dall’interfaccia, non dall’impianto. Il turno successivo potrebbe non sapere di lavorare con un guasto irrisolto.

Il secondo guasto non deve verificarsi sulla stessa macchina

Il primo guasto può collegare la fase L1 alla massa di un dispositivo. Il successivo può collegare L2 alla massa di un altro dispositivo alimentato dallo stesso sistema IT. Attraverso i collegamenti di protezione comuni può allora formarsi un percorso di cortocircuito tra fasi. Occorre garantire l’interruzione automatica richiesta.

L’affermazione «il primo guasto a terra non interrompe» non descrive più la situazione. La sorveglianza dell’isolamento e la protezione che interrompe al guasto successivo svolgono compiti diversi. L’IMD non sostituisce le protezioni di interruzione. Aspettare l’intervento al secondo guasto non sostituisce il rilevamento e la gestione del primo.

Lasciare un guasto noto sottrae al sistema proprio il vantaggio per il quale era stato scelto. Invece di utilizzare l’informazione per organizzare la riparazione, si aspetta che il guasto successivo scelga da solo la data del fermo.

«La sorveglianza è nel quadro generale». Bene. Dove arriva l’allarme?

L’assenza dell’IMD nel quadro della macchina non dimostra l’assenza di sorveglianza. Il controllo può essere svolto da un dispositivo che copre il sistema di alimentazione pertinente. Bisogna però verificarne il campo reale, non limitarsi a trovare un apparecchio con il nome giusto.

Quali circuiti copre? Include la macchina nelle configurazioni di alimentazione previste? Dove compare l’allarme? Chi deve gestirlo?

Durante il collaudo verifichiamo impostazioni e funzionamento del percorso di segnalazione secondo le istruzioni dei dispositivi. Confermiamo che l’informazione raggiunga un luogo nel quale sarà notata, resti disponibile durante il guasto e conduca a un’azione stabilita.

Un LED acceso dentro un quadro chiuso può dimostrare il funzionamento dell’apparecchio, ma serve poco alle persone che ignorano persino la sua esistenza. Il fornitore pensava che l’allarme sarebbe stato gestito dallo stabilimento. Lo stabilimento pensava che il fornitore avesse sistemato tutto. L’isolamento non ha partecipato alla riunione.

Del sistema IT è stata scelta la possibilità di continuare a produrre. L’obbligo di accorgersi del guasto è stato apparentemente ordinato come accessorio.

6. «Con gli azionamenti non installiamo differenziali»

L’RCD interviene all’avviamento degli azionamenti. Dopo alcuni fermi qualcuno lo rimuove. La macchina riparte, la segnalazione viene chiusa e dal mancato chiarimento di un intervento nasce la regola per i progetti successivi: con gli azionamenti a velocità variabile i differenziali non si montano.

È stata tratta una conclusione su tutti gli azionamenti senza neppure scoprire perché intervenisse quel singolo circuito. L’affermazione «questo RCD non è adatto a questo sistema» può essere del tutto corretta. La conclusione «quindi il sistema non ha più bisogno della protezione che quell’RCD doveva fornire» è un’opera originale.

La corrente di dispersione non aspetta un guasto dell’isolamento

Un sistema di azionamento in esercizio può produrre correnti verso terra anche senza guasti. Contano la costruzione dell’azionamento, i filtri EMC, le capacità dei cavi motore e la frequenza di commutazione. Si aggiungono i transitori all’inserzione.

L’RCD reagisce alla corrente differenziale secondo le proprie caratteristiche. Non riceve dal PLC un messaggio del tipo «è soltanto la carica delle capacità, non interrompere la produzione». L’intervento può quindi derivare da una protezione incompatibile con un equipaggiamento perfettamente funzionante. Può anche indicare un guasto reale.

La presenza di un convertitore sullo schema non dice quale dei due casi abbiamo davanti. Occorre controllare le correnti all’inserzione e durante il funzionamento, la loro forma e la configurazione del circuito.

Lo stesso azionamento con un cavo motore corto e con uno lungo può porre requisiti diversi. Più azionamenti dietro un unico RCD richiedono la valutazione della corrente differenziale complessiva, non la replica della scelta fatta per un solo apparecchio. Le correnti verso terra non scompaiono perché ogni azionamento, considerato isolatamente, rientrava nelle ipotesi.

La protezione comune deve funzionare con l’intero gruppo collegato. È un problema da risolvere in progettazione. Togliere l’apparecchio elimina la sua reazione, non la corrente che la provocava.

Il mancato intervento può essere la notizia peggiore

Con gli azionamenti elettronici di potenza bisogna considerare anche la forma della corrente differenziale in condizioni di guasto. Può essere presente una componente continua alla quale l’RCD installato non è adatto. Una componente DC sufficientemente elevata può compromettere la capacità di rilevamento di un dispositivo di tipo AC o A.

In certe condizioni si verifica il cosiddetto accecamento dell’RCD: l’apparecchio rimane inserito, ma non assicura più la risposta attesa alla corrente di guasto. Questo scenario offre risultati produttivi eccellenti. La protezione ha smesso di disturbare perché ha smesso di proteggere correttamente.

L’apparecchio non deve essere guasto. Basta usarlo in condizioni per le quali non possiede le caratteristiche necessarie.

Il punto 7.7 della CEI EN 60204-1 segnala la possibile necessità di un RCD di tipo B quando possono comparire correnti di guasto con componenti DC. La scelta concreta va rapportata alla costruzione del sistema e alle istruzioni del fabbricante dell’azionamento.

Non basta ordinare «un differenziale per azionamenti». Il tipo descrive la capacità di reagire a determinate forme d’onda. Restano da definire corrente differenziale d’intervento, risposta in frequenza, tempo di intervento e condizioni applicative.

Bisogna guardare anche a monte del quadro macchina. Una componente continua che attraversa un RCD di tipo B al di sotto della sua soglia può influenzare una protezione comune posta più in alto nell’impianto. Installare l’apparecchio corretto vicino all’azionamento non conferma automaticamente la validità dell’intero sistema di protezione. Una scelta fermata ai morsetti della propria fornitura può lasciare il problema nel quadro del cliente. La frase «nel nostro quadro c’è il tipo B» non lo risolverà.

Anche «alzo la soglia» richiede calcoli

Aumentare la corrente differenziale nominale d’intervento o introdurre un ritardo può ridurre gli interventi indesiderati. Deve però continuare a rispettare le condizioni della protezione per la quale l’RCD è stato adottato.

Nel TT descritto prima, modificare la corrente d’intervento influisce sulla condizione legata alla resistenza di terra. Modificare il ritardo influisce sul tempo di interruzione. Questi parametri non si regolano soltanto fino a quando la macchina smette di fermarsi.

Una soglia scelta con il metodo «interviene ancora, alzala» è perfettamente coordinata con la pazienza del responsabile. Il coordinamento con la protezione contro i contatti elettrici va verificato a parte.

La soluzione può richiedere un altro RCD, la suddivisione dei circuiti, la riduzione delle correnti di dispersione con mezzi ammessi dal fabbricante oppure una diversa concezione della protezione. Scollegare il conduttore di protezione non è una concezione. Scollegare arbitrariamente il filtro EMC può soltanto spostare il problema: dalla protezione che interviene alle misure e ai comandi disturbati.

Non tutte le macchine con azionamenti richiedono un RCD. Se i mezzi di protezione necessari sono assicurati efficacemente in altro modo, la sua assenza può essere giustificata. La giustificazione è però l’efficacia dimostrata della protezione, non la presenza del convertitore di frequenza.

Prima di approvare una soluzione occorre conoscere il sistema di alimentazione, il compito della protezione, le correnti previste in esercizio e in caso di guasto, le istruzioni dei fabbricanti e il coordinamento tra gli apparecchi. Solo allora si scelgono i dispositivi e se ne verifica il funzionamento.

Un differenziale rimosso non provoca più fermi. È difficile, però, registrare questo risultato come prova della protezione contro i contatti elettrici.

7. Ha superato la prova la macchina o la squadra che ne salvava il funzionamento?

Durante il collaudo della nostra linea, il tecnologo di processo corregge l’impostazione, il programmatore modifica la configurazione e l’operatore ripete il ciclo. Dopo vari tentativi il prodotto rispetta i requisiti. Nel verbale compare un esito positivo.

Tutti gli interventi vengono trattati come normale assistenza all’avviamento. Non viene però stabilito quali abbiano eliminato la causa e quali dovranno essere ripetuti durante la produzione. Alla macchina è stato attribuito il risultato ottenuto dallo sforzo congiunto di più specialisti. Nelle istruzioni è previsto un solo operatore.

Anche le correzioni durante la prova sono un risultato

L’avviamento richiede regolazioni. Il problema non è aver cambiato parametri prima dell’accettazione, ma accettare la macchina senza dimostrare che, al termine del lavoro, si comporti secondo le ipotesi.

Se durante la prova effettiva servono ancora correzioni impreviste, vanno registrate. Che cosa è stato cambiato? Perché? Dopo la modifica è stato ripetuto l’intero ciclo considerato oppure ci si è fermati al primo pezzo buono?

Il primo prodotto conforme sa chiudere la discussione più rapidamente dell’eliminazione della causa dei pezzi precedenti. Soprattutto quando il trasporto della macchina è già prenotato.

Nel caso della misura disturbata non interessa soltanto la qualità ottenuta. Bisogna confermare l’affidabilità dell’indicazione nelle condizioni previste e verificare che non servano più interventi aggiuntivi. Altrimenti si consegna al cliente un prodotto corretto uscito dalla prova e un processo difettoso per l’uso quotidiano.

Le attività pianificate dell’operatore non sono un difetto dell’automazione. Il salvataggio occasionale del sistema non deve però sparire dalla valutazione soltanto perché il lavoratore lo esegue bene, soprattutto se richiede accessi al pericolo più frequenti di quelli ipotizzati nel progetto.

Durante il collaudo conviene quindi osservare anche la persona. Non per verificare se meriti la macchina, ma per capire che cosa la macchina le chieda davvero.

Lo strumento non esegue da solo il resto dell’accettazione

«Le misure elettriche sono positive». Bene. Quali requisiti essenziali per le macchine sono stati verificati?

Il capitolo 18 della CEI EN 60204-1 rinvia al campo di verifica stabilito dalla norma specifica di prodotto. In sua assenza richiede la verifica della conformità dell’esecuzione alla documentazione, della continuità del circuito di protezione, delle condizioni di interruzione automatica quando la protezione in caso di guasto è realizzata in questo modo, nonché prove funzionali.

La misura della resistenza d’isolamento e la prova di tensione sono elencate separatamente. Non sostituiscono le altre attività. Inoltre, non tutte le voci del capitolo hanno le stesse condizioni di applicazione. Il campo di verifica dipende dall’equipaggiamento e dai requisiti. La manopola dello strumento disponibile non è l’indice della norma.

Un buon risultato della continuità non spiega se la protezione interromperà il circuito corretto entro il tempo richiesto. Non conferma che l’allarme d’isolamento raggiunga gli addetti, né che la temperatura indicata resti affidabile mentre gli azionamenti funzionano. Sono domande diverse e richiedono verifiche diverse.

Anche la conformità allo schema ha limiti evidenti. Se l’esecuzione riproduce fedelmente un errore di progetto, il confronto tra documentazione e macchina può essere perfetto. È stata confermata l’accuratezza con cui è stato realizzato l’errore, non la sua ammissibilità.

Dopo una modifica bisogna capire che cosa dimostrino i risultati precedenti

Durante l’avviamento è stata cambiata l’impostazione di una protezione, sostituito un apparecchio oppure modificato il percorso dei cavi. La documentazione e i risultati delle verifiche devono riferirsi alla configurazione consegnata all’utilizzatore.

La norma richiede di valutare la necessità di nuove verifiche e prove dopo le modifiche. Il campo dipende dalla loro influenza sull’equipaggiamento. Non bisogna ripetere tutto senza pensare, ma neppure considerare un vecchio risultato automaticamente valido per una correzione solo perché eseguita nello stesso giorno.

La data sul verbale coincide. La protezione oggetto della misura, nel frattempo, è già uscita dal quadro.

Nel rapporto conviene indicare configurazione provata, impostazioni rilevanti, condizioni di prova e criterio di valutazione. Vanno registrati gli scostamenti e il modo in cui sono stati chiusi. Solo così è possibile sapere che cosa sia stato davvero dimostrato senza ricostruire l’avviamento dalla memoria dei presenti.

Una correzione che elimina la causa è un risultato del lavoro tecnico. Una correzione che dovrà essere ripetuta ogni ora è un nuovo requisito imposto agli addetti. L’accettazione deve distinguere le due cose prima che entrambe vengano archiviate sotto la voce «macchina regolata».

Se durante la prova le persone hanno corretto continuamente il funzionamento della macchina, anche il loro contributo fa parte del risultato. Non può essere sottratto al momento della firma.

8. L’abitudine aziendale non ripara il progetto

Un impianto eseguito male si paga all’acquisto della macchina e poi si continua a pagarlo: tempo degli operatori, lavoro dei tecnologi di processo e nuovi fermi. Con il tempo il conto si confonde così bene nei costi di produzione che proporre di eliminare la causa sembra una complicazione inutile.

Per correggere il progetto non si trova il tempo di un fermo. Per correggerne ogni giorno gli effetti, il tempo salta sempre fuori.

L’esperienza degli addetti dovrebbe tornare al progettista. Sono loro a sapere quando una misura smette di essere credibile, che cosa richiede davvero l’avviamento e quali operazioni vengono ripetute nonostante fossero previste come sporadiche. La loro capacità di arrangiarsi è una fonte preziosa di informazioni sulla macchina. Nei casi descritti è stata usata soprattutto per rimandare la riparazione.

Applicare la CEI EN 60204-1 significa confrontare il progetto con l’equipaggiamento reale e con le condizioni effettive di impiego. Bisogna dimostrare il funzionamento delle protezioni, la correttezza delle soluzioni adottate e la coerenza tra le ipotesi progettuali e l’uso della macchina. Un’abitudine durata vent’anni non fornisce i calcoli mancanti né i risultati delle verifiche.

Alla prossima frase «questa macchina è fatta così», chiediamo quale sia la causa. Se la risposta è il nome dell’unico operatore capace di mantenerla in produzione, abbiamo imparato qualcosa sulle competenze della persona. Il progetto deve ancora difendersi.

Le persone possono imparare a convivere con un difetto della macchina. Il difetto non diventa per questo un requisito di processo.

Fonti e note

I numeri dei punti richiamati nel testo sorgente si riferiscono all’edizione polacca PN-EN 60204-1:2018-12. Tale pubblicazione recepisce la versione europea del 2018, basata sulla IEC 60204-1:2016 con modifiche. Queste indicazioni non implicano che tutte le formulazioni delle diverse edizioni nazionali siano identiche. Per un progetto destinato al mercato italiano occorre consultare l’edizione CEI applicabile.

I collegamenti esterni conducono alle pagine in lingua inglese di ISO, IEC e Commissione europea. Le pagine di catalogo identificano pubblicazione e campo di applicazione, ma non sostituiscono il testo completo delle norme.

[1] Equipaggiamento elettrico e sicurezza della macchina. PN-EN 60204-1:2018-12, punti 4.1, 4.2.1 e 4.4.1: rapporto con la valutazione del rischio, effetti del funzionamento scorretto e requisiti di scelta e impiego. Pubblicazione internazionale di base: IEC 60204-1:2016 — catalogo IEC. I richiami dettagliati derivano dall’edizione polacca indicata e tengono conto delle modifiche europee.

[2] Posa dei cavi, EMC e misura con termocoppie. PN-EN 60204-1:2018-12, punti 4.4.2 e 13.1.3 e allegato informativo H, punti H.2–H.4: emissione, immunità, posa comune dei circuiti, separazione dei percorsi e collegamenti per limitare i disturbi. Riferimento per le termocoppie: IEC 60584-1:2013 — Termocoppie, parte 1: specifiche e tolleranze della forza elettromotrice. La norma definisce funzioni di riferimento e tolleranze; la diagnosi proposta è uno sviluppo tecnico, non il rapporto di prova delle due linee descritte.

[3] Interventi più frequenti, affidabilità e scelta delle protezioni. ISO 12100:2010, punti 5.5.2.3.1 e 5.5.3.2 sulla necessità, frequenza, durata e natura dell’esposizione; punto 6.2.13 sulla riduzione degli interventi tramite l’affidabilità, comprese le funzioni non di sicurezza; punto 6.3.2.1 sulla scelta dei ripari in base alla necessità di accesso. Il cambiamento delle condizioni rende non più attuale la specifica giustificazione considerata; non annulla automaticamente l’intera valutazione e non impone da solo un aumento del PL secondo ISO 13849 o IEC 62061.

[4] Colori e significato dell’interfaccia. PN-EN 60204-1:2018-12, punti 10.2.1, 10.3.1–10.3.3 e tabella 4. Nell’edizione considerata, la codifica degli indicatori e la raccomandazione di evitare uno STOP rosso ordinario vicino a un comando di emergenza hanno natura di raccomandazione. Lo STOP rosso ordinario è ammesso; l’elemento rosso su fondo giallo è riservato alle azioni di emergenza.

[5] Protezione nel TT ed esempio di calcolo. PN-EN 60204-1:2018-12, punto 6.3.3, allegato A, punti A.2.1–A.2.3, tabella A.2 e punto 17.2. I riferimenti comprendono le condizioni Zₛ × Iₐ ≤ U₀ e Rₐ × IΔn ≤ 50 V, i tempi d’interruzione e i dati di installazione. I valori 230 V, 23 Ω e 16 A sono esemplificativi. Il tempo di 0,2 s riguarda il circuito terminale da 16 A e 230 V AC considerato, non tutti i circuiti TT.

[6] Sorveglianza dell’isolamento nei sistemi IT. PN-EN 60204-1:2018-12, punto 6.3.3: rinvio alla IEC 60364-4-41:2005+AMD1:2017 — Protezione contro i contatti elettrici, indicazioni acustiche e visive e possibilità di tacitare il suono. I requisiti per la sorveglianza permanente della resistenza d’isolamento sono trattati dalla IEC 61557-8:2014 — Dispositivi di controllo dell’isolamento per sistemi IT. Gli scenari descritti spiegano il funzionamento della protezione, ma non sostituiscono il dimensionamento per l’impianto concreto.

[7] RCD con convertitori di frequenza. PN-EN 60204-1:2018-12, punti 6.3.3, 7.7, 4.2.1 e 18.2.1. Riferimenti complementari: IEC 62423:2009, per i requisiti e le prove degli RCD di tipo F e B nel relativo campo di applicazione, e IEC 60364-5-53:2019+AMD1:2020+AMD2:2024, sulla scelta e installazione dei dispositivi di protezione, sezionamento, comando e sorveglianza. L’analisi delle correnti di dispersione e delle componenti DC non è una procedura universale di scelta dell’RCD.

[8] Verifica e modifiche durante l’avviamento. PN-EN 60204-1:2018-12, punti 18.1, 18.2.1–18.2.3, 18.6 e 18.7: campo della verifica, separazione delle prove, registrazione dei risultati, prove funzionali e valutazione della necessità di ripetere le prove dopo le modifiche. Il punto 17.2 comprende dati di installazione, impostazioni, manutenzione e informazioni sulle verifiche successive a riparazioni o modifiche.

[9] Edizione di base, modifiche successive e armonizzazione. IEC ha pubblicato la modifica IEC 60204-1:2016/AMD1:2021. I numeri e le formulazioni richiamati nell’articolo derivano dall’edizione polacca di base del 2018; il testo non costituisce una rassegna delle successive modifiche IEC o dei loro recepimenti europei. Per ogni progetto bisogna individuare l’edizione applicabile, le modifiche, l’eventuale norma di tipo C e i requisiti dell’installazione. Gli atti ufficiali sono disponibili nella pagina della Commissione europea dedicata alle norme armonizzate per le macchine. La pagina rinvia alle decisioni e agli elenchi ufficiali; questo articolo non determina lo stato di armonizzazione delle singole edizioni.

[10] Natura degli esempi e delle verifiche proposte. Le situazioni organizzative, le modalità di accesso, i dati di calcolo e le tabelle servono a spiegare relazioni tecniche. Non sono rapporti di misura relativi a impianti specifici né procedure complete di accettazione. La diagnostica della parte 1 è un metodo proposto per individuare la causa: bisogna dimostrare che cosa modifica l’indicazione prima di cambiare ancora la produzione sulla base di quella stessa indicazione. La tabella della parte 7 non è un piano completo di verifica secondo la CEI EN 60204-1; serve a riconoscere i casi in cui un’affermazione vera sulla macchina viene usata per sostenere una conclusione molto più ampia.