Funzione di arresto di emergenza: fermo non è sicuro

«In caso di pericolo, l’operatore premerà il pulsante a fungo». È un modo comodo per chiudere la discussione sulla sicurezza. Il pulsante c’è, il circuito risponde e durante la prova la macchina si è fermata. Resta soltanto da sperare che una persona riconosca il pericolo, reagisca in tempo e compensi ciò che non è stato risolto con la progettazione o con la protezione della postazione.

Il progettista non può contabilizzare i riflessi dell’operatore tra le misure di sicurezza mancanti. Una funzione preventiva deve impedire uno specifico evento pericoloso. La funzione di arresto di emergenza deve invece consentire un intervento quando una situazione di emergenza esiste già o sta per verificarsi, contrastandone l’evoluzione e limitandone le conseguenze.

Può evitare una lesione. Questo non la trasforma nel sostituto di una protezione destinata a impedire l’evento pericoloso. È la differenza tra proteggere e sperare in un intervento efficace. Nell’valutazione del rischio non va nascosta sotto la formula generica «è stato installato un sistema di sicurezza».

ISO 13850 definisce l’arresto di emergenza come misura di protezione complementare. Non perché sia poco importante, ma perché deve integrare le altre protezioni, non giustificarne l’assenza.

Il secondo equivoco comincia con un’altra rassicurazione: «Quando si preme il pulsante, togliamo tutto». Suona deciso. Peccato che una macchina ferma non sia necessariamente una macchina sicura. Una persona può restare intrappolata e la disattivazione dell’apparecchiatura che avrebbe dovuto proteggerla può persino peggiorare la situazione.

L’immobilità, da sola, non dimostra che il pericolo sia stato controllato. Il compito dell’arresto di emergenza non può quindi ridursi a disalimentare il maggior numero possibile di dispositivi. Occorre stabilire quali azioni pericolose debbano cessare, in quale sequenza e che cosa debba continuare a funzionare per proteggere le persone. In determinate applicazioni servono ulteriori azioni protettive, non soltanto l’arresto.

L’operatore deve poter avviare la reazione con una sola azione. Prima di premere non dovrebbe domandarsi se le conseguenze saranno peggiori del pericolo presente. Questa decisione spetta al progetto. Più semplice deve essere l’intervento umano, meno spazio si può lasciare agli effetti non analizzati della macchina.

Se la prova di accettazione verifica soltanto che l’azionamento si fermi, si può confermare l’arresto senza rispondere alla domanda decisiva: la macchina ha eseguito l’azione corretta rispetto alla situazione di emergenza? La nota «E-STOP funzionante» non spiega quale evento venga prevenuto dalle altre protezioni né che cosa accada alla persona dopo la pressione del pulsante.

Poter fermare una macchina non dimostra che la protezione sia adeguata. E fermare il movimento non significa sempre porre fine al pericolo.

1. Prevenzione e reazione di emergenza non sono due modi per fare la stessa cosa

«La barriera fotoelettrica ferma la macchina. Anche il pulsante a fungo. Perché complicare tutto?» Se l’efficacia dipendesse soltanto dall’arresto finale del motore, la domanda sarebbe ragionevole. Si potrebbero confrontare due schemi, trovare lo stesso contattore e concludere che la differenza sia soprattutto economica.

Manca però un dettaglio: quando si fermerà la macchina e che cosa potrà accadere alla persona nel frattempo. Una funzione preventiva deve impedire uno specifico evento pericoloso. L’arresto di emergenza deve contrastare una situazione di emergenza esistente o imminente. Entrambi possono richiedere l’arresto del movimento, ma non risolvono lo stesso problema.

La barriera fotoelettrica non serve a segnalare che qualcuno ha già raggiunto l’utensile

Consideriamo una postazione nella quale una persona può raggiungere un utensile in movimento. Supponiamo che l’accesso possa essere protetto con una barriera fotoelettrica: il movimento pericoloso può essere arrestato durante il ciclo e non è possibile raggiungere l’utensile aggirando il rilevamento.

La barriera rileva la mano e avvia l’arresto. La sua distanza dall’utensile deve considerare il tempo di risposta dell’intero sistema e la corsa residua della macchina. Il movimento pericoloso deve cessare prima che la persona possa raggiungerlo. Questo è il compito della funzione. Non il semplice cambio di stato delle uscite e nemmeno la comparsa del messaggio «arresto di sicurezza» sul pannello.

Se la mano può arrivare all’utensile ancora in movimento, la protezione contro quel contatto non è stata assicurata. La barriera può aver funzionato correttamente, il sistema di comando può aver ricevuto il segnale e l’azionamento può aver eseguito il comando. Tutti i componenti possono comportarsi esattamente come previsto. A essere sbagliato può essere proprio il progetto.

Per questo la verifica di una barriera non consiste soltanto nell’interromperne i raggi. Bisogna dimostrare che rilevamento e arresto impediscano realmente l’evento contro il quale erano stati previsti.

Con l’arresto di emergenza è la persona a dover avviare l’intervento

Il dispositivo di arresto di emergenza non assume il compito di rilevare l’accesso. Deve permettere a una persona di avviare la reazione prevista davanti a una situazione che richiede un intervento immediato.

Non è necessario che si sia già verificata una lesione. ISO 13850 considera anche la situazione imminente: qualcuno può riconoscere uno sviluppo pericoloso e premere il pulsante prima che si produca un danno. Può inoltre essere necessario intervenire quando l’azione pericolosa è già in corso.

Nel primo caso, la protezione viene attivata dal rilevamento della mano. Nel secondo, una persona deve riconoscere la necessità di intervenire e agire. Non si possono equiparare i due casi dicendo che «entrambi fermano».

Se eliminassimo la barriera dall’esempio e lasciassimo soltanto il pulsante, nessuno garantirebbe più l’arresto automatico al rilevamento della mano. Il compito di notare il problema e avviare la reazione verrebbe trasferito alla persona. Dal progetto è stato tolto il rilevamento; nella giustificazione si è aggiunto che l’operatore è formato. Il risparmio è reale. L’equivalenza delle protezioni, invece, è immaginaria.

Proprio per questo ISO 13850 considera l’arresto di emergenza una misura complementare e vieta di trattarlo come sostituto dei mezzi tecnici di protezione e delle altre funzioni necessarie. Anche l’arresto di emergenza è una funzione legata alla sicurezza. Questo non autorizza ad assegnarle qualsiasi compito protettivo.

Lo stesso relè non elimina la differenza

Funzioni diverse possono condividere elementi del sistema di comando se sono soddisfatti i requisiti applicabili. Non serve moltiplicare i componenti per il gusto di farlo. Bisogna però definire separatamente che cosa attiva ogni funzione e quale risultato protettivo deve ottenere.

Per la barriera si verifica la protezione contro il contatto pericoloso. Per l’arresto di emergenza si verifica la reazione corretta alla situazione considerata, che non sempre coincide con la sola immobilità. Premere il pulsante a fungo non dimostra che la persona non possa raggiungere l’utensile in movimento. Allo stesso modo, una barriera installata correttamente non risponde a tutte le domande sull’intervento di emergenza necessario.

Un contattore comune può essere giustificato. Un unico «conforme» copiato su due compiti diversi, no.

2. «L’operatore farà in tempo» non è una protezione della macchina

Immaginiamo una postazione di alimentazione manuale con una trasmissione a catena accessibile. Il rischio di trascinamento è stato riconosciuto. Nella valutazione sono indicati come mezzi di protezione un pulsante di arresto di emergenza, la segnaletica e la formazione dell’operatore. Dopo averli considerati, il rischio viene dichiarato accettabile.

La catena è ancora accessibile. Il lavoratore continua a svolgere le stesse attività accanto alla trasmissione. È cambiato il colore di una cella nel foglio di calcolo. Il riparo non è entrato nel budget. I riflessi dell’operatore, invece, sono stati inseriti gratis.

Che cosa ha realmente ridotto il rischio?

L’installazione del pulsante non ha limitato l’accesso alla trasmissione. Non ha ridotto la frequenza del lavoro nelle sue vicinanze e non ha tolto al meccanismo la capacità di trascinare. È stata fornita la possibilità di avviare un arresto di emergenza. Ora bisogna dimostrare in quali circostanze quell’intervento possa essere utile.

Chi noterà il pericolo? Da quali segnali lo riconoscerà? Potrà raggiungere il dispositivo? Tra il riconoscimento della situazione e il danno resterà tempo sufficiente per agire efficacemente?

La risposta «l’operatore è stato formato» risolve soltanto una parte delle domande. Conferma la preparazione a determinate azioni, ma non dimostra che la persona avrà la possibilità fisica di eseguirle nello scenario considerato. Una firma sul registro della formazione non riduce la corsa residua della macchina e non allunga il tempo disponibile prima del trascinamento.

L’arresto di emergenza può migliorare la possibilità di evitare o limitare il danno. Non è quindi irrilevante nella valutazione del rischio. Il beneficio va però collegato a una sequenza concreta di eventi, non assegnato automaticamente per la presenza di un pulsante rosso.

Se non è stata dimostrata una possibilità credibile di intervento, la formula «E-STOP e formazione» non basta a giustificare la protezione contro il trascinamento.

È stato misurato il tempo dalla pressione, non dall’inizio del pericolo

Durante la prova, il tecnico è accanto al dispositivo, sa che cosa farà e avvia volontariamente l’arresto. La misura fornisce il tempo tra l’azionamento del dispositivo e la cessazione del movimento pericoloso. È un dato necessario, ma non include ciò che nella situazione reale deve avvenire prima: notare il pericolo, capire che serve un intervento ed eseguire l’azione.

Per il sistema di comando è stato definito un tempo di risposta. Per l’operatore si è semplicemente deciso che farà in tempo.

Nello scenario reale il lavoratore potrebbe avere entrambe le mani occupate nell’alimentazione del pezzo. Potrebbe trovarsi fuori dalla portata del pulsante o avere bisogno di assistenza proprio perché non è più in grado di avviare personalmente l’intervento. Anche l’ipotesi che agisca un collega deve essere verificata: quella persona deve essere presente, vedere la situazione e poter intervenire. Non compare accanto alla macchina solo perché nella valutazione è stata scritta la frase «assistenza di un collega».

L’accessibilità dei dispositivi va quindi verificata rispetto ai luoghi e alle attività nei quali l’intervento può diventare necessario, non soltanto dalla comoda posizione di chi sta davanti al quadro durante il collaudo.

Un circuito perfettamente funzionante può non ricevere il comando in tempo. Non è un guasto del relè rilevabile dalla diagnostica. È un’ipotesi non verificata sul comportamento umano. Ridurre il tempo di risposta del comando non risolve il problema se il ritardo decisivo precede la pressione del pulsante.

«Prestare particolare attenzione». Possibilmente per tutto il turno

Vicino alla postazione compare la prescrizione: «L’operatore deve prestare particolare attenzione, sorvegliare continuamente la macchina e utilizzare immediatamente l’arresto di emergenza in caso di pericolo». È una frase adatta quasi a qualsiasi macchina. Proprio per questo spiega ben poco.

Supponiamo che l’operatore debba prelevare i prodotti finiti, verificarne la qualità e depositarli in un contenitore alle proprie spalle. Contemporaneamente, le istruzioni richiedono la «sorveglianza ininterrotta della zona pericolosa». Per riporre il prodotto, la persona deve voltarsi. Non sta ignorando le istruzioni, non usa il telefono e non ha inventato un metodo di lavoro alternativo. Sta eseguendo un’attività prevista dal progettista. Lo stesso progettista che ha fatto dipendere la sicurezza dal guardare nella direzione opposta.

Il lavoro è stato pianificato per una persona. L’attenzione richiesta, a quanto pare, per due.

In questa configurazione l’ordine «arrestare immediatamente» non risolve nulla. Prima qualcuno deve accorgersi che l’arresto è necessario. Se il concetto di protezione si basa sull’osservazione continua mentre i compiti previsti interrompono quell’osservazione, le ipotesi di progetto sono incompatibili.

Aggiungere l’aggettivo «particolare» alla parola «attenzione» non elimina la contraddizione. Aumenta soltanto la pretesa nei confronti dell’operatore, senza cambiare le condizioni nelle quali dovrebbe soddisfarla.

Non si tratta di eliminare le avvertenze dalle istruzioni. Si tratta di non affidare alle avvertenze il lavoro che non è stato svolto nella progettazione della protezione. L’informazione per l’utilizzatore ha un ruolo nella riduzione del rischio, ma non sostituisce l’adozione corretta delle misure intrinsecamente sicure e dei mezzi di protezione.

Lo stesso vale per l’arresto di emergenza: integra le protezioni, non trasferisce il loro compito alla vigilanza umana. La postazione deve quindi essere valutata anche mentre l’operatore svolge correttamente un’attività che distoglie la sua attenzione dalla macchina. Non si può aspettare l’incidente per chiedere perché, proprio in quel momento, non stesse guardando.

«Fai attenzione» può essere un’avvertenza. Non è una protezione tecnica fornita sotto forma di frase.

3. Una macchina ferma può ancora essere pericolosa

Nella specifica della funzione si legge spesso: «Dopo l’attivazione dell’arresto di emergenza, gli azionamenti si fermano e la macchina passa allo stato sicuro». La prima parte può essere verificata: gli azionamenti hanno smesso di produrre il movimento pericoloso. La seconda richiede di stabilire quali pericoli restino oltre al movimento e che cosa sia accaduto a ciascuno di essi.

Scrivere «stato sicuro» dopo la parola «arresto» è facile. Nella macchina, quel rapporto non nasce da una virgola. La cessazione del movimento può interrompere l’evoluzione dell’emergenza lasciando però una persona compressa, incastrata o impossibilitata a uscire. La macchina non deve necessariamente iniziare un altro ciclo per continuare a causare danno.

La velocità è scesa a zero. La forza di serraggio potrebbe non averlo fatto

Consideriamo una coppia di rulli nella quale la pressione è generata da molle. Una persona viene trascinata, viene attivato l’E-STOP e la rotazione si arresta. L’ulteriore trascinamento è stato interrotto, ma i rulli rimangono premuti. L’azionamento ha eseguito il comando. Anche le molle si comportano esattamente come previsto. La persona è ancora compressa.

Questo non significa che l’arresto fosse inutile o inefficace nell’interrompere il trascinamento. Significa che non ha risolto l’intera situazione. Fermare il movimento pericoloso e consentire la liberazione sono due compiti distinti che devono essere coordinati.

Se l’analisi considera il trascinamento, deve stabilire anche come liberare la persona. A seconda della costruzione potrebbe essere necessario allontanare gli elementi, rilasciare la pressione o prevedere un movimento inverso adeguatamente progettato. Nessuna di queste azioni è universalmente corretta. Il problema non è risolto solo perché, dopo l’arresto, ha smesso di muoversi.

ISO 13850 non riduce la reazione di emergenza all’immobilità

La norma prevede che l’arresto di emergenza possa avviare funzioni diverse dall’arresto, compresi l’inversione o il contenimento del movimento. L’obiettivo è limitare la possibilità di danno, non ottenere il massimo numero di uscite disattivate.

Devono cessare i movimenti e le azioni pericolosi. Da questo non consegue che ogni movimento durante una reazione di emergenza sia vietato per definizione. Uno spostamento progettato correttamente può servire a proteggere o liberare la persona.

Ma «correttamente» non è una decorazione. Se si considera un’inversione, bisogna verificare se il movimento opposto aiuti davvero nello specifico intrappolamento. Può aggravare la lesione? Può creare un altro punto di trascinamento? Che cosa accade nel frattempo alla pressione? Quali corsa, velocità e modalità di comando sono necessarie?

Cambiare il segno del riferimento di velocità non equivale a progettare una funzione di soccorso, anche se nel programma richiede una sola riga. ISO 13850 ammette la possibilità di ulteriori azioni, ma non ne definisce tutti i requisiti di dettaglio. Il semplice richiamo alla norma non prova quindi che una qualsiasi inversione o apertura del meccanismo sia sicura. Serve la valutazione della soluzione concreta.

L’arresto non deve eliminare la possibilità di liberazione

Occorre distinguere un’azione aggiuntiva integrata nella reazione all’E-STOP da una funzione separata destinata a liberare una persona dopo l’arresto. Nel primo caso l’azione fa parte della risposta di emergenza progettata. Nel secondo l’arresto non esegue l’intera liberazione, ma lascia disponibili mezzi appropriati per effettuarla.

Non tutte le macchine devono aprire automaticamente i meccanismi o invertire il movimento quando si preme il pulsante. ISO 13850 richiede però che l’arresto di emergenza non comprometta altre funzioni protettive e cita espressamente la liberazione delle persone intrappolate.

Questo punto diventa essenziale quando si sente dire: «Si può liberare la persona, ma prima bisogna ripristinare il funzionamento normale». Una funzione di liberazione deve consentire il soccorso, non rimettere a disposizione tutti i movimenti produttivi sperando che qualcuno utilizzi soltanto quello giusto. Condizioni di attivazione, movimenti disponibili e relative limitazioni devono essere definiti nel progetto, non improvvisati quando una persona ha davvero bisogno di aiuto.

Dopo l’arresto non basta chiedere «che cosa è fermo?». Bisogna chiedere quale azione pericolosa continui e come verrà controllata. Lo stato sicuro non nasce dal nome assegnato a una variabile nel sistema di comando.

4. Perché togliere tutto può peggiorare la situazione

«Quando si preme il pulsante a fungo, disattiviamo tutte le uscite». La specifica è semplice. Anche il programma. Durante il collaudo è facile verificare che tutto si sia spento.

Ma un’uscita può comandare un azionamento pericoloso e un’altra l’apparecchiatura che protegge da un secondo pericolo. Spegnerle entrambe non produce necessariamente il doppio della sicurezza.

ISO 13850 richiede la priorità della funzione di arresto di emergenza e, nello stesso tempo, vieta di ridurre l’efficacia delle altre funzioni protettive. Indica inoltre che può essere necessario mantenere attive apparecchiature ausiliarie, per esempio dispositivi di presa elettromagnetici o sistemi di frenatura. Non è una contraddizione. È un invito a capire che cosa utilizzi l’alimentazione prima di disegnarne l’interruzione comune.

L’azionamento va fermato. Il carico non va lasciato cadere

Supponiamo che una macchina movimentI un elemento in acciaio con un dispositivo di presa elettromagnetico che richiede alimentazione continua. Il mantenimento del carico dipende dal dispositivo e non è previsto un mezzo indipendente che impedisca il rilascio.

Il progettista inserisce nello stesso sezionamento funzionale gli azionamenti di movimento e l’alimentazione della presa. Dopo l’attivazione dell’E-STOP, gli azionamenti vengono disattivati. Anche la presa perde la capacità di trattenere il carico. Il comando è stato eseguito senza errori, compresa la parte che ha tolto il sostegno al carico.

Non c’è un pulsante guasto né un contattore incollato. L’apparecchiatura ha fatto esattamente ciò che era stato progettato. L’errore consiste nell’aver trattato allo stesso modo tutti gli utilizzatori soltanto perché alimentati elettricamente.

Il compito corretto è fermare lo spostamento pericoloso e mantenere il carico in condizioni sicure. La soluzione deve essere scelta e verificata per la costruzione specifica. Questo non genera una prescrizione universale di mantenere un determinato circuito in tensione; impone di preservare l’efficacia del sostegno.

«Ma dopo l’E-STOP non dovrebbe restare energia». La gravità non passa dal nostro contattore. Non si spegne insieme a lui.

Anche il sistema di estinzione può essere disattivato in modo impeccabile

Secondo esempio: una macchina dispone di un sistema di estinzione che richiede energia elettrica per attivarsi. Il comando e l’elemento che rilascia l’agente estinguente sono alimentati dal circuito disattivato dall’E-STOP.

Il materiale prende fuoco. L’operatore attiva l’arresto di emergenza. Gli azionamenti si fermano, ma il materiale continua a bruciare. Il sistema di estinzione non può più svolgere il proprio compito perché la sua alimentazione è appena stata interrotta.

Il sistema antincendio funziona perfettamente. Bisogna soltanto assicurarsi che, durante un’emergenza, nessuno usi prima l’arresto di emergenza. Una condizione del genere non deve esistere nel progetto.

ISO 13850 cita espressamente l’estinzione dell’incendio come esempio di funzione protettiva che l’arresto di emergenza non dovrebbe compromettere. Questo non significa lasciare invariato l’intero processo durante un incendio. Occorre definire la risposta corretta: quali attività interrompere, quali fonti di pericolo disattivare e come mantenere efficace la protezione antincendio.

«Spegni tutto» non risolve queste domande. Le aggira con un solo comando.

La categoria 0 non significa «intera macchina senza tensione»

ISO 13850 prevede un arresto di emergenza di categoria 0 o 1, scelto sulla base della valutazione del rischio. Nella categoria 0 l’alimentazione degli elementi di azionamento viene rimossa immediatamente. Questo non implica l’arresto istantaneo del movimento: può essere necessaria una frenatura aggiuntiva.

Nella categoria 1 l’alimentazione degli elementi di azionamento rimane disponibile durante l’arresto e viene rimossa dopo il raggiungimento della condizione di fermo.

La categoria di arresto descrive il modo in cui avviene l’arresto. Non ordina di spegnere ogni apparecchiatura presente sullo stesso schema. La scelta della categoria non evita quindi di verificare il comportamento della presa, del freno o dell’impianto di estinzione. E il solo tempo di rilascio del contattore non dimostra che il movimento pericoloso sia cessato nel modo richiesto o che l’arresto non abbia creato un ulteriore pericolo.

Non si tratta di lasciare attive azioni pericolose con il pretesto di mantenere la protezione. Si tratta di separare due compiti: interrompere ciò che minaccia la persona e non neutralizzare ciò che deve continuare a proteggerla.

Hanno spento tutto. Con tale accuratezza da spegnere anche ciò che avrebbe dovuto proteggere la persona. La dicitura «arresto di emergenza conforme alla norma» non ripara questo errore.

5. L’operatore non deve indovinare se, premendo, la situazione peggiorerà

«L’operatore sa che cosa spegnere e in quale ordine». Può essere una descrizione della preparazione di una linea a un arresto pianificato. Come spiegazione dell’arresto di emergenza significa invece che una parte del compito del sistema di comando è stata affidata alla memoria umana.

La persona deve riconoscere il pericolo, ricordare le dipendenze tra le apparecchiature ed eseguire la sequenza corretta. Meglio senza errori, perché a quanto pare l’ordine è rilevante per la sicurezza. L’intero ciclo produttivo è automatizzato; per l’arresto sicuro si è scelto il lavoro manuale.

ISO 13850 richiede che la decisione di azionare il dispositivo di arresto di emergenza non comporti la valutazione preventiva delle conseguenze del suo utilizzo. La persona deve riconoscere la necessità di intervenire, non stabilire anche se la pressione del pulsante renderà la situazione peggiore.

Una sola azione della persona non significa una sola azione della macchina

La funzione viene avviata con una sola azione. Dopo l’attivazione, i movimenti e le azioni pericolosi devono cessare nel modo corretto, senza richiedere ulteriori interventi per ottenere l’arresto.

La norma ammette che ciò richieda una sequenza prestabilita. Una sola pressione può quindi avviare più azioni coordinate. Non impone lo spegnimento simultaneo di tutto e non autorizza a lasciare all’operatore il compito di fermare manualmente il resto.

Se la sicurezza richiede un ordine specifico, quell’ordine deve essere definito in progettazione. Lo stesso vale per le azioni da interrompere, le funzioni da mantenere e lo stato da raggiungere. La dicitura «arresto sequenziale» non risponde da sola a queste domande.

Questo non significa automatizzare ogni successiva attività di soccorso. Il requisito di arresto senza ulteriori interventi riguarda le azioni pericolose della macchina. Mezzi separati per liberare una persona possono richiedere un comando consapevole. Una cosa è usare la funzione di liberazione prevista. Un’altra è dover premere un secondo pulsante per fermare un movimento che continua a minacciare la persona intrappolata.

Ogni fornitore ha fermato la propria macchina. L’alimentazione continua

Consideriamo una linea per la lavorazione di profili lunghi. La macchina operatrice e l’alimentatore hanno sistemi di comando separati. Il dispositivo di arresto di emergenza vicino alla macchina ferma l’utensile, ma non l’alimentatore, che continua a spingere il profilo nella zona di lavoro.

Nello scenario considerato, l’ulteriore avanzamento del materiale può schiacciare una persona. L’utensile è fermo. Il materiale continua a muoversi. La spiegazione del fornitore è pronta: «L’alimentatore ha il proprio pulsante a fungo».

È vero. Ma la persona ha appena usato il dispositivo presente nel punto del pericolo e non ha ottenuto la reazione necessaria. I limiti di fornitura sono perfettamente chiari. Resta da convincere l’emergenza a rispettarli.

In questa configurazione va analizzata l’interazione tra le apparecchiature. L’arresto deve comprendere anche l’alimentazione quando la sua prosecuzione mantiene il pericolo considerato. Verificare che ciascuna macchina risponda al proprio pulsante non dimostra l’efficacia della reazione dell’intera linea.

Questo non significa che ogni pulsante debba fermare l’intero stabilimento. Significa che l’area di efficacia non può essere definita dal confine dell’armadio elettrico o dall’identità dell’azienda che ha scritto il programma.

La domanda «quale pulsante a fungo?» va risolta prima dell’emergenza

Il punto di partenza di ISO 13850 è che il dispositivo agisca sull’intera macchina. La norma ammette tuttavia una suddivisione in aree di efficacia, per esempio quando l’arresto di tutte le macchine collegate potrebbe creare ulteriori pericoli o incidere inutilmente sulla produzione.

Questa suddivisione richiede un’analisi della disposizione delle macchine, della possibilità di riconoscere il pericolo, delle conseguenze sul processo e dei pericoli associati. Le aree possono sovrapporsi. L’attivazione in una zona non deve aumentare il rischio in un’altra né impedire di azionare lì l’arresto di emergenza.

Evitare un fermo inutile è ammesso. Lasciare attiva un’alimentazione pericolosa non diventa per questo un’ottimizzazione produttiva.

La persona deve inoltre poter associare il dispositivo al pericolo e riconoscerne l’area di efficacia. La norma indica la possibilità di usare la posizione e i pittogrammi e raccomanda di evitare soluzioni che richiedano la lettura di istruzioni o la memorizzazione preventiva della suddivisione.

La sigla «S14» permette di trovare il pulsante nello schema. Non dice alla persona davanti alla macchina quali apparecchiature verranno fermate. La documentazione elettrica si può studiare alla scrivania. Durante l’emergenza, quella parte del progetto dovrebbe essere già conclusa.

Più semplice deve essere l’azione umana, più accuratamente va definita in anticipo la reazione della macchina. Un’interfaccia semplice non elimina l’analisi: deve esserne il risultato.

Durante un’emergenza non si convoca una riunione tra progettista, tecnico dell’automazione e tecnologo. Quelle decisioni devono essere già contenute nel progetto.

6. La nota «E-STOP funzionante» non sostituisce la valutazione della protezione

«Verificati tutti i pulsanti. Esito positivo». Il verbale riporta identificativi, date e firme. Dopo ogni pressione la macchina si è fermata. Manca soltanto l’indicazione di che cosa sia stato considerato una reazione corretta, oltre al fatto che nulla si muovesse più.

Il dispositivo è stato controllato usando il numero riportato sullo schema. Alla funzione, però, bisognava prima assegnare requisiti verificabili.

Prima il criterio, poi l’esito positivo

Prima della prova occorre sapere quale risultato debba essere ottenuto. Quali azioni devono cessare? Entro quanto tempo? In quale area e in quali condizioni? Che cosa deve rimanere efficace? Quale comportamento dimostra che i requisiti non sono stati soddisfatti?

Senza questi criteri è facile dichiarare corretto esattamente ciò che si è osservato. L’azionamento si è fermato dopo alcuni secondi? Evidentemente doveva fermarsi così. La sezione adiacente è rimasta attiva? Probabilmente non appartiene all’area. La documentazione non ha deciso nulla, quindi il risultato non può contraddirla.

Se il criterio viene scritto dopo la prova, è molto facile progettare una macchina che supera sempre il collaudo: basta non chiedere più di quanto abbia appena fatto.

Le informazioni possono essere organizzate in questo modo:

Questa tabella è una proposta per organizzare la verifica. Non è un modulo tratto da ISO 13850 né un piano di validazione completo. Analisi e prove devono essere scelte in funzione della specifica funzione, della macchina e del metodo di valutazione adottato.

PL e SIL non completano una funzione descritta male

ISO 13850 richiede che le parti del sistema di comando legate alla sicurezza che realizzano l’arresto di emergenza soddisfino i requisiti applicabili di ISO 13849-1 e/o IEC 62061. Indica inoltre un minimo: PLr c oppure SIL 1.

«Minimo» non significa che quel livello sia automaticamente sufficiente per ogni applicazione. Il livello richiesto deve essere determinato per la funzione specifica, tenendo conto del suo obiettivo e degli eventuali requisiti particolari applicabili.

Non basta copiare PL e dalla scheda del relè. Va valutata la realizzazione dell’intera funzione, non un singolo componente. Anche un calcolo corretto dell’intero sistema non sostituisce la validazione.

ISO 13849-1:2023 distingue la verifica del PL raggiunto dalla validazione mediante analisi e prove. Richiede inoltre di verificare completezza e coerenza della specifica della funzione rispetto all’uso previsto. È un punto decisivo: non basta controllare che il programmatore abbia eseguito fedelmente un compito definito male. Occorre verificare anche che il compito sia stato definito correttamente.

Il risultato deve riguardare la macchina effettivamente realizzata

La verifica non termina quando il movimento cessa. La funzione deve essere efficace in tutti i modi di funzionamento previsti, mantenere la condizione di arresto e impedire che un comando di avviamento riattivi le azioni fermate. Lo sblocco del dispositivo non deve riavviare automaticamente la macchina.

Anche queste condizioni devono comparire nelle prove. A ogni requisito conviene associare evidenze che confermino il funzionamento della funzione: voce del verbale, misura, analisi, versione dello schema e versione del programma.

Un allegato chiamato «prova di sicurezza» non è sufficiente se non è chiaro che cosa sia stato verificato e con quale criterio il risultato sia stato dichiarato corretto.

Le prove devono essere pianificate senza esporre le persone al pericolo. Non si riproduce un trascinamento usando una persona per verificare la strategia di liberazione. Si scelgono metodi di prova, analisi e simulazioni sicuri e adatti alla soluzione esaminata.

L’assenza di una verifica non equivale a un risultato positivo, anche quando il modulo offre una sola casella da selezionare.

E dopo aver confermato la reazione di emergenza resta ancora una domanda separata sulla protezione preventiva. Un E-STOP progettato correttamente non soddisfa il requisito che avrebbe dovuto essere coperto da un riparo mancante o da un accesso progettato diversamente.

Se il verbale non chiede che cosa sia accaduto al pericolo, la spunta «esito positivo» non dovrebbe tranquillizzare nessuno.

7. La funzione di arresto di emergenza non è la promessa che ci sarà qualcosa da premere

L’arresto di emergenza deve aiutare a controllare una situazione pericolosa. Non deve giustificare l’assenza della protezione che avrebbe dovuto impedirne la nascita.

Una funzione preventiva deve impedire uno specifico evento pericoloso. La funzione di arresto di emergenza deve consentire l’intervento corretto quando l’emergenza esiste già o sta per verificarsi. Entrambe richiedono progettazione e verifica. Una non svolge il compito dell’altra solo perché entrambe possono fermare un azionamento.

Un progetto dotato di pulsante di emergenza non diventa completo se manca la protezione contro un evento prevedibile. Non colmano quel vuoto né la formazione dell’operatore, né un PL elevato, né il buon esito di una prova limitata alla cessazione del movimento.

Anche l’intervento di emergenza richiede più della decisione su quali uscite disattivare. Bisogna definire l’arresto appropriato, preservare le protezioni necessarie e prevedere le azioni indispensabili per controllare la situazione. È lavoro di progettazione. La persona davanti alla macchina non dovrebbe essere costretta a completarlo nell’istante del pericolo.

Non si tratta di sminuire l’E-STOP. Si tratta di non attribuirgli una protezione che non offre e di non privarlo delle azioni che possono essere necessarie per un intervento efficace.

Se, al termine della valutazione, sappiamo dire soltanto «la macchina si è fermata», allora abbiamo verificato l’arresto. Per la sicurezza della persona potrebbe esserci ancora parecchio lavoro.

Fonti e note

L’analisi si basa principalmente su ISO 13850:2015. I riferimenti seguenti indicano le disposizioni utilizzate nell’articolo. I collegamenti alle norme conducono alle schede dell’editore in lingua inglese, non a copie del testo integrale.

[1] Scopo della funzione e ruolo complementare. ISO 13850:2015, punti 3.1, 3.5, 3.8 e 4.1.1.1–4.1.1.3: scopo dell’arresto di emergenza, avvio da parte di una persona, concetti di funzione di sicurezza e situazione di emergenza, divieto di sostituire le altre protezioni. La distinzione riguarda il compito preventivo di una funzione e l’intervento di emergenza; non esclude l’arresto di emergenza dalle funzioni legate alla sicurezza.

[2] Barriera fotoelettrica e arresto prima del contatto pericoloso. ISO 12100:2010, punti 6.3.2.5.1–6.3.2.5.2: condizioni per l’impiego di dispositivi di protezione sensibili, possibilità di arresto, posizione del campo di rilevamento e collegamento con il sistema di comando. Per il posizionamento, la norma rinvia a ISO 13855. L’esempio non costituisce un calcolo della distanza né una selezione completa della barriera.

[3] Possibilità di intervento umano e limiti delle istruzioni. ISO 12100:2010, punti 5.5.2.3.3 e 6.1: fattori che incidono sulla possibilità di evitare o limitare il danno e divieto di sostituire con le informazioni per l’utilizzatore le misure protettive appropriate. ISO/TR 14121-2:2012, punto 8.4, cita l’arresto di emergenza come misura che incide soprattutto sulla possibilità di evitare o limitare il danno. Non è una base per ridurre automaticamente un parametro in un grafico di rischio. Per l’accessibilità dei dispositivi: ISO 13850:2015, punti 4.3.1–4.3.2.

[4] Azioni protettive aggiuntive e liberazione delle persone. ISO 13850:2015, campo di applicazione e punti 4.1.1.2 e 4.1.1.5: mantenimento dell’efficacia delle altre funzioni protettive e possibilità di avviare azioni diverse dal solo arresto. I requisiti dettagliati di tali azioni non rientrano nel campo di applicazione di ISO 13850. ISO 12100:2010, punti 6.3.5.2–6.3.5.3, distingue l’arresto di emergenza dai mezzi per liberare e soccorrere persone intrappolate.

[5] Mantenimento delle altre protezioni e categorie di arresto. ISO 13850:2015, punti 4.1.1.2, 4.1.1.4–4.1.1.5 e 4.1.3. La norma cita, tra l’altro, la liberazione delle persone, l’estinzione degli incendi e la possibile necessità di mantenere operativi dispositivi di presa elettromagnetici o freni. Le categorie 0 e 1 non implicano l’isolamento dell’intera apparecchiatura da ogni fonte di energia.

[6] Una sola azione umana, sequenze e aree di efficacia. ISO 13850:2015, punti 4.1.1.1, 4.1.1.5–4.1.1.6 e 4.1.2–4.1.2.1: reazione corretta senza ulteriori interventi necessari all’arresto, possibilità di una sequenza prestabilita, progettazione degli effetti dell’azionamento e condizioni per la suddivisione in aree.

[7] PL, SIL, mantenimento dell’arresto e riarmo. ISO 13850:2015, punti 4.1.5.1, 4.1.1.2 e 4.1.4: applicazione di ISO 13849-1 e/o IEC 62061, minimo PLr c o SIL 1, disponibilità della funzione, mantenimento dell’arresto e riarmo che non avvia automaticamente la macchina. Devono inoltre essere considerati i requisiti specifici applicabili, compresa l’eventuale norma di tipo C pertinente.

[8] Requisiti della funzione e validazione. ISO 13849-1:2023, capitolo 8 e punti 10.1.1, 10.2 e 10.4.1: verifica del PL raggiunto, validazione mediante analisi e prove, controllo della completezza e coerenza della specifica, definizione preventiva del piano di prova e dei risultati attesi. La tabella dell’articolo è una proposta organizzativa e non un piano di validazione completo.

[9] Contesto dei requisiti dell’Unione europea. Direttiva 2006/42/CE — testo inglese in EUR-Lex, allegato I, punti 1.2.4.3–1.2.4.4, e regolamento (UE) 2023/1230 — testo inglese in EUR-Lex, allegato III, punti 1.2.4.3–1.2.4.4: ruolo complementare dell’arresto di emergenza, assenza di rischi supplementari, movimenti di salvaguardia e arresto delle attrezzature collegate la cui prosecuzione possa essere pericolosa. Il regolamento si applica in via generale dal 20 gennaio 2027; gli articoli 52 e 54 disciplinano transizione e decorrenza. Il richiamo a una norma non costituisce, da solo, un’affermazione sul suo stato di armonizzazione rispetto a uno specifico atto legislativo.

Natura degli esempi e limiti di applicazione. Le postazioni, le architetture di alimentazione, le registrazioni documentali e le dichiarazioni riportate sono esempi di progetto. Non descrivono un incidente accertato e non costituiscono istruzioni di soccorso per una macchina specifica. Apertura, rilascio della pressione e inversione richiedono una progettazione adeguata e la valutazione dei relativi effetti. L’articolo esamina il ruolo e la logica della funzione, non tutti i requisiti di ISO 13850; campo di applicazione ed eccezioni sono definiti nel capitolo 1 della norma.