Riduzione del rischio nelle macchine: prima del riparo
«Qui serve un riparo».
Nella riduzione del rischio nelle macchine questa frase arriva presto. Troppo presto. C’è un organo mobile, un possibile punto di schiacciamento, una presa, un taglio, un trascinamento. La risposta istintiva diventa: riparo, interblocco, barriera fotoelettrica, dispositivo di protezione.
Forse serviranno davvero. Ma in quel momento non lo sappiamo ancora.
Prima di scegliere misure di protezione tecniche, ISO 12100 chiede una cosa più scomoda: guardare la macchina stessa. Non il catalogo dei dispositivi. Non il quadro/comando/HMI. Non la logica della funzione di sicurezza. La macchina.
Le parti possono essere disposte in modo diverso, così da non creare il punto di schiacciamento? Lo spigolo tagliente può essere smussato o ribordato? L’organo mobile deve davvero avere quella massa e quella velocità? Si possono limitare forza, energia, pressione o temperatura? Un materiale diverso o un processo diverso possono ridurre rumore, vibrazioni, polvere o rischio di innesco?
E se il problema non fosse un singolo componente, ma l’intero concetto di macchina?
Magari serve cambiare la distribuzione delle masse e migliorare la stabilità. Usare una tecnologia di azionamento diversa. Ripensare gli elementi di comando. Portare i punti di lubrificazione e regolazione/messa a punto fuori dalla zona pericolosa. Limitare l’energia residua dopo il sezionamento dell’alimentazione.
Queste sono misure di progettazione intrinsecamente sicura. Sono il primo passo, il più importante, secondo ISO 12100. Hanno una cosa in comune: non provano solo a separare una persona da un pericolo già creato. Cambiano la macchina, i suoi parametri o il modo in cui interagisce con l’uomo, così che il pericolo sparisca o il rischio associato diminuisca.
Perché pericolo ≠ rischio. Il pericolo è la sorgente potenziale di danno. Il rischio nasce quando c’è una situazione pericolosa, cioè quando una persona può essere esposta a quel pericolo. Se elimini il pericolo, hai vinto alla radice. Se riduci l’esposizione, hai comunque cambiato il gioco.
Riduzione del rischio nelle macchine: il passo 1 non è scegliere un dispositivo
Il primo errore nasce nel modo in cui parliamo di sicurezza della macchina.
«Abbiamo progettato un riparo».
«Abbiamo aggiunto un interblocco».
«Abbiamo previsto una barriera fotoelettrica».
«Abbiamo usato un controllore per la funzione di sicurezza».
Tutte soluzioni potenzialmente corrette. Possono essere state inserite già nel primo modello 3D. Possono essere indispensabili per raggiungere il livello di sicurezza richiesto. Ma questo non le trasforma automaticamente nel primo passo della riduzione del rischio.
Un riparo non diventa una misura di progettazione intrinsecamente sicura solo perché è stato disegnato insieme alla macchina.
ISO 12100 separa i concetti in modo netto. Una misura di progettazione intrinsecamente sicura elimina il pericolo o riduce il rischio modificando caratteristiche costruttive o funzionali della macchina. Un riparo o un dispositivo di protezione, invece, limita il rischio legato a un pericolo che non è stato eliminato o ridotto a sufficienza con la progettazione.
La differenza non sta in quando la soluzione è entrata nel progetto. Non sta nel costo. Non sta nel fatto che il modello sia già approvato.
Conta cosa è cambiato davvero nella macchina.
È sparito il punto di schiacciamento? È diminuita l’energia dell’organo mobile? È stato eliminato lo spigolo vivo? L’emissione è stata ridotta alla sorgente? Il sistema si comporta in modo sicuro alla perdita di energia? L’operatore deve ancora svolgere una mansione pericolosa?
Se il pericolo è rimasto identico e la soluzione aggiunta impedisce o controlla solo l’accesso, siamo quasi sempre già nel passo due.
Prendiamo un meccanismo semplice: due parti creano un punto di schiacciamento. Possiamo chiuderlo con un riparo e controllarne la posizione con un interblocco. Oppure possiamo prima chiederci se la geometria delle parti può essere modificata, così che lo spazio sia sicuro per la parte del corpo considerata oppure così ridotto da impedirne l’ingresso. Nel primo caso proteggiamo la persona da un punto di schiacciamento esistente. Nel secondo lo eliminiamo con la geometria della macchina.
Stesso discorso per il movimento. Possiamo rilevare la presenza di una persona con una barriera fotoelettrica e arrestare l’organo mobile. Oppure possiamo prima chiederci se quell’organo deve davvero muoversi così veloce, pesare così tanto e accumulare così tanta energia.
Questo non significa che un riparo o una funzione di sicurezza non serviranno più. Il passo 1 non sempre basta. ISO 12100 non pretende di rinunciare a tutti i dispositivi di protezione a ogni costo.
Pretende però una sequenza corretta.
La domanda giusta non è: «Quale protezione abbiamo aggiunto?»
Prima serve chiedere: «Quale caratteristica pericolosa della macchina abbiamo cambiato davvero?»
Se la risposta è «nessuna», probabilmente il passo 1 non è stato fatto.
«La geometria è pronta. Ora aggiungiamo sicurezza»
Ecco uno dei momenti in cui un progetto comincia a prendere la strada sbagliata.
Il modello meccanico è approvato. Le corse sono definite. Gli attuatori sono scelti. La carpenteria è già in preventivo. Solo dopo qualcuno guarda l’accesso dell’uomo e trova punti di schiacciamento, taglio, urto o trascinamento.
La geometria non la vogliamo più toccare. Quindi cominciamo ad «aggiungere sicurezza».
Riparo. Recinzione. Interblocco. Barriera fotoelettrica.
ISO 12100 propone l’ordine opposto. Al punto 6.2.2.1 indica forma della macchina e disposizione reciproca delle parti come primi ambiti da usare per eliminare i pericoli.
Se due elementi in movimento creano un punto di schiacciamento, il progettista deve prima verificare se può modificarne la posizione reciproca. La distanza minima può essere aumentata, così che la parte del corpo considerata possa trovarsi tra gli elementi senza essere schiacciata. Oppure può essere ridotta, così che quella parte del corpo non possa entrarci.
Non stiamo parlando di tenere lontana la persona da un pericolo esistente con una recinzione o una distanza di sicurezza.
Stiamo parlando di una geometria delle parti macchina in cui il punto di schiacciamento non esiste più.
È una differenza enorme.
Nel primo caso il pericolo resta e l’accesso viene limitato. Nel secondo modifichiamo il meccanismo in modo che quel movimento non possa produrre quel danno.
Lo stesso vale per spigoli vivi, angoli, elementi sporgenti, superfici ruvide e aperture in cui possono rimanere intrappolati corpo o indumenti. Se uno spigolo può essere smussato, ribordato o chiuso, è difficile giustificare il fatto di lasciarlo nel progetto e spostare il problema nel manuale.
«Attenzione allo spigolo tagliente» non è una risposta se quello spigolo non deve essere tagliente.
La geometria decide anche la visibilità. Se la conduzione sicura richiede che l’operatore controlli una zona di lavoro o una zona pericolosa, deve poterla vedere davvero dalla postazione di comando. Un angolo cieco non si corregge scrivendo «prestare particolare attenzione prima dell’avviamento».
Prima si verifica se si possono cambiare forma della macchina, posizione della postazione o disposizione dei componenti. Solo quando la visibilità diretta non è possibile ha senso ragionare su mezzi indiretti, come specchi correttamente posizionati.
La forma della macchina influenza anche la postura. L’operatore raggiunge gli elementi di comando senza piegarsi sopra una zona pericolosa? L’accesso alla regolazione/messa a punto costringe a infilare la mano tra meccanismi? La macchina obbliga a una posizione da cui è più difficile muoversi in modo sicuro o arretrare rapidamente?
Non è comfort. È riduzione del rischio tramite progettazione.
Certo, cambiare geometria può influire su funzione, ingombri, ciclo e costo. Non tutto è possibile. Non tutto riduce il rischio a sufficienza. Ma non si può assumere che sia impossibile solo perché il modello è già approvato.
Prima di chiedere dove montare il riparo, vale la pena tornare alla domanda precedente: perché le parti della macchina sono state disposte in un modo che ha creato questo pericolo?
Solo quella risposta mostra se una misura di protezione tecnica è davvero necessaria o se sta solo evitando una modifica alla geometria ormai pronta.
Non ogni compito dell’operatore va protetto. Alcuni vanno eliminati
Il punto 5.4 di ISO 12100 richiede di identificare le operazioni svolte dalla macchina e i compiti dell’uomo lungo tutto il ciclo di vita. In pratica nasce una lista: alimentazione del materiale, scarico del pezzo, regolazione/messa a punto, pulizia, rimozione di un inceppamento, rilevazione di difetti, manutenzione.
Qui l’errore è facile.
Se il compito è nella lista, iniziamo a cercare il modo per farlo eseguire in sicurezza. Scegliamo modalità operativa, riparo, interblocco, dispositivo di consenso o procedura.
Ma la lista dei compiti non descrive per forza la versione finale della macchina. Descrive solo come l’uomo interagisce con la macchina nel progetto che stiamo valutando.
Ogni compito merita quindi una domanda in più: deve esistere ancora nella macchina finale?
Caso 1: l’operatore «sistema solo» il materiale
Nel passaggio tra un trasportatore e la parte successiva della macchina, il materiale ogni tanto si posiziona male. L’operatore se ne accorge, si avvicina e lo corregge a mano.
Dura pochi secondi. Non viene trattato come guasto. Non è un vero cambio formato. «Sistema solo il pezzo».
Già. Ma in quei pochi secondi la persona raggiunge una zona in cui possono muoversi trasportatore, spintore o altro elemento del meccanismo. Nell’analisi compare quindi un compito: rimozione di inceppamento o correzione della posizione del materiale.
La risposta più ovvia?
Chiudere l’accesso. Aggiungere un interblocco. Preparare una modalità manuale. Scrivere la procedura sicura di rimozione dell’inceppamento.
Forse una parte di queste soluzioni servirà comunque. Ma prima va fatta la domanda meno comoda: perché il materiale si posiziona male?
C’è una fessura o un salto di quota tra i trasportatori? Le guide tengono il materiale in tutto il campo dimensionale previsto? Le velocità dei meccanismi sono sincronizzate? Un cambio brusco di velocità fa ruotare o ribaltare il prodotto? Il materiale fuori posizione può essere rilevato e scartato automaticamente prima di bloccare l’operazione successiva?
Se la causa dell’intervento è una scarsa affidabilità dell’alimentazione, il progettista deve prima lavorare su quell’affidabilità. Il punto 6.2.13 di ISO 12100 ricorda che una maggiore affidabilità dell’attrezzatura riduce gli eventi che richiedono intervento umano e quindi limita l’esposizione ai pericoli.
Cambiare geometria del passaggio, guida del materiale o parametri di movimento può far sparire un compito eseguito più volte per turno.
Non abbiamo progettato un modo più sicuro per sistemare il materiale.
Abbiamo eliminato il motivo per cui l’operatore doveva sistemarlo.
Questo non significa che spariscano tutti i pericoli. Restano guasti, materiali anomali, sporco e veri inceppamenti. Ma diminuisce il numero di interventi prevedibili generati dal normale funzionamento del processo.
Non è una differenza sottile. È il passaggio dal proteggere gli effetti al cambiare la causa.
Caso 2: il sensore si regola dentro la zona pericolosa
La macchina lavora materiali diversi. Il sensore scelto non copre tutto il campo di rilevamento richiesto oppure richiede lo spostamento in base al materiale in lavorazione.
Risultato: durante il cambio formato l’operatore entra nella zona pericolosa e regola il sensore a mano.
Ancora una volta abbiamo un compito concreto da valutare: regolazione della posizione del sensore durante il cambio materiale.
Si può certamente progettare un accesso sicuro. Fermare la macchina. Impedire il riavvio. Predisporre modalità e procedura di cambio formato.
Ma è davvero la prima risposta?
Se la macchina, secondo l’uso previsto, deve lavorare un certo campo di materiali, le caratteristiche di quei materiali fanno parte dei limiti della macchina. Il sistema di rilevamento deve essere scelto considerando tutto il campo di lavoro prevedibile, non solo una variante comoda.
La prima possibilità è quindi adottare un sensore o una tecnica di rilevamento che copra il campo necessario per tutti i materiali previsti. Questo si collega direttamente alla scelta di una tecnica adeguata secondo il punto 6.2.4 di ISO 12100.
Non significa montare sempre il sensore con il campo più grande possibile. Un campo più ampio può generare falsi rilevamenti o ridurre la capacità di distinguere i materiali. La soluzione va scelta e validata nelle condizioni reali di processo.
Ma se un sensore corretto elimina la necessità di regolarlo a ogni cambio, sparisce anche il compito che richiedeva l’ingresso nella zona pericolosa.
E se un campo fisso non è tecnicamente possibile?
Allora si verifica se la regolazione deve davvero avvenire sul sensore. Il meccanismo di regolazione può essere portato fuori dalla zona pericolosa o progettato in modo che l’operatore lo azioni da una posizione sicura. È esattamente la logica del punto 6.2.15: collocare i punti di regolazione e manutenzione fuori dalle zone pericolose.
Invece di progettare un ingresso sicuro al sensore, cambiamo il luogo in cui si esegue la regolazione.
Resta un cambio formato. Restano da considerare errore di impostazione, variazione accidentale della regolazione e rilevamento errato del materiale. Ma l’operatore non deve infilarsi tra gli elementi della macchina solo per adattare un sensore alla variante successiva.
In entrambi i casi il meccanismo mentale è lo stesso.
Prima identifichiamo il compito umano. Poi non chiediamo solo come proteggerlo. Chiediamo anche perché esiste, se nasce dalla funzione reale della macchina o dal limite di una soluzione scelta, se la causa può essere eliminata, se il compito può passare alla macchina, se il punto di intervento può essere spostato fuori dalla zona pericolosa.
Solo dopo sappiamo quali compiti resteranno davvero all’operatore.
Perché a volte il modo migliore per ridurre il rischio durante il cambio formato non è entrare in zona in modo più sicuro. È non doverci entrare.
Riduzione del rischio nelle macchine: prima di aggiungere un dispositivo, cosa puoi cambiare?
ISO 12100 non dà una soluzione unica per ogni pericolo. Nel punto 6.2 indica però aree concrete in cui il progettista deve cercare possibilità di eliminare i pericoli o ridurre il rischio con la progettazione.
La tabella qui sotto non dice che le misure nella prima colonna siano sbagliate. Un riparo, una funzione di sicurezza o una procedura possono essere necessari. Il punto è un altro: non bisogna usarli prima di avere davvero verificato le possibilità del passo 1.
| Prima di... | Verifica nel passo 1... | Esempio concreto |
|---|---|---|
| chiedere all’operatore di osservare con attenzione la zona | se la costruzione gli garantisce una visibilità reale | modifica della forma macchina o della posizione del posto di comando, riduzione degli angoli ciechi, corretto posizionamento di uno specchio |
| recintare un punto di schiacciamento | se può essere eliminato con la geometria | aumentare la fessura per evitare lo schiacciamento della parte del corpo considerata, oppure ridurla per impedirne l’ingresso |
| segnalare uno spigolo tagliente | se lo spigolo deve davvero essere tagliente | smussatura, ribordatura o chiusura del bordo di lamiera; chiusura dell’estremità aperta di un tubo |
| scrivere una procedura di «raggiungimento sicuro» | se forma e accesso mettono l’operatore in una posizione corretta | diversa posizione degli elementi di comando, nessuna necessità di piegarsi sopra il meccanismo o raggiungere parti tra organi mobili |
| definire una zona protetta attorno a un organo mobile | se puoi limitare forza, massa, velocità o energia | attuatore più piccolo, pressione più bassa, elemento mobile più leggero, velocità limitata al valore necessario al processo |
| carenare una sorgente di rumore o fornire protezioni individuali | se il rumore può essere ridotto alla sorgente | modifica di azionamento, velocità, rigidezza, collegamento tra parti o parametri di processo |
| isolare l’operatore dalle vibrazioni | se puoi modificare la sorgente delle vibrazioni | bilanciamento delle parti, modifica della distribuzione delle masse, frequenza o ampiezza del movimento |
| progettare ventilazione per le polveri | se puoi ridurne la generazione | uso di granulato invece di polvere, fresatura invece di smerigliatura |
| schermare una sorgente di radiazione | se la sorgente è necessaria e deve avere quella potenza | eliminazione della sorgente, riduzione della potenza al valore necessario, focalizzazione del fascio sul bersaglio |
| aggiungere controlli e ispezioni alla struttura | se la struttura è stata calcolata e realizzata correttamente | dimensionamento corretto, scelta dei collegamenti, prevenzione di sovraccarico e fatica, bilanciamento delle parti rotanti |
| proteggere la persona dagli effetti della rottura di una parte | se materiale e coefficiente di sicurezza sono adeguati | considerazione di corrosione, invecchiamento, abrasione, fragilità, infiammabilità e carichi ciclici reali |
| mettere in sicurezza una tecnologia pericolosa | se puoi scegliere una tecnologia diversa | azionamento elettrico invece di pneumatico, taglio ad acqua invece di taglio meccanico, processo sotto il punto di innesco |
| presumere che una parte venga rilasciata da molla o gravità | se puoi usare un’azione meccanicamente positiva | comando diretto o rigido del movimento di un secondo elemento, per esempio apertura positiva dei contatti |
| scrivere nel manuale che la macchina va installata su piano uniforme | se la macchina è stabile nelle condizioni prevedibili | modifica della base, distribuzione delle masse, posizione del baricentro, considerazione di forze dinamiche e vento |
| sviluppare una procedura speciale di manutenzione | se la macchina è realmente manutenibile | accesso dimensionato per persona, indumenti e utensili; riduzione del numero di utensili speciali |
| formare l’operatore a non sbagliare | se l’interazione uomo-macchina favorisce gli errori | HMI leggibile, elementi di comando univoci, postura corretta, assenza di ritmo imposto dal ciclo automatico |
| limitarti a segnalare un pericolo elettrico | se l’equipaggiamento elettrico è progettato secondo principi di sicurezza | sezionamento e commutazione corretti dei circuiti, protezione contro la folgorazione |
| aggiungere un allarme di sovrapressione | se il sistema impedisce l’aumento pericoloso della pressione | limitazione di pressione adeguata e costruzione resistente alle fluttuazioni prevedibili |
| avvisare dell’energia residua dopo lo spegnimento | se puoi eliminarla automaticamente | scarico automatico di serbatoio o accumulatore dopo il sezionamento, evacuazione controllata della pressione residua |
| usare l’arresto di emergenza come risposta a comportamenti imprevedibili | se il sistema di comando si comporta in modo sicuro | nessun movimento all’alimentazione, nessun riavvio automatico, mantenimento dell’arresto e del carico alla perdita di energia |
| concentrarti solo sul controllore di sicurezza | se tutte le parti che realizzano la funzione hanno affidabilità adeguata | modalità di guasto prevedibile, ridondanza, rilevamento difetti e diversità delle soluzioni adottate |
| preparare una procedura per rimuovere guasti frequenti | se puoi ridurre gli eventi che richiedono intervento | miglior guida del materiale, eliminazione degli inceppamenti, componenti più durevoli, diagnostica che non richiede di bypassare protezioni |
| proteggere alimentazione o scarico manuale del materiale | se l’operazione può essere meccanizzata o automatizzata | trasportatore, manipolatore, spintore, scivolo o scarto automatico del materiale posizionato male |
| progettare l’ingresso sicuro a un elemento regolabile | se la regolazione può essere eliminata o svolta dall’esterno | sensore che copre tutti i materiali previsti oppure meccanismo di regolazione portato fuori dalla zona pericolosa |
| proteggere l’accesso a un punto di lubrificazione | se quel punto deve stare dentro la zona | tubo di lubrificazione, lubrificazione centralizzata o punto di servizio accessibile dall’esterno |
La tabella non è una lista da spuntare meccanicamente per ogni pericolo. Non ogni metodo sarà applicabile. Alcune modifiche possono creare nuovi pericoli o compromettere la funzione principale della macchina.
È però il tipo di domande che deve arrivare prima del passo due.
Dopo ogni misura applicata conviene fare una verifica brutale: cosa abbiamo cambiato davvero? Il pericolo, il livello di rischio o solo l’accesso dell’uomo alla zona pericolosa?
Se l’unica risposta è «abbiamo aggiunto un riparo e una funzione di sicurezza», abbiamo descritto una misura di protezione. Non abbiamo ancora dimostrato di aver eseguito il passo 1.
Riduzione del rischio nelle macchine: quando si può passare al passo 2?
Dopo aver attraversato le soluzioni del punto 6.2 è facile cadere nell’eccesso opposto: se la progettazione intrinsecamente sicura è il primo passo, allora ogni riparo dimostra un errore del progettista.
Non.
Esistono pericoli che non puoi eliminare senza togliere alla macchina la sua funzione. Un utensile da taglio deve restare tagliente. Una pressa deve generare la forza necessaria al processo. Un organo di lavoro deve muoversi. Un materiale può richiedere una lavorazione che produce rumore, polvere o temperatura elevata.
Il passo 1 quindi non elimina sempre il pericolo. Deve però ridurre il rischio associato nella misura praticamente possibile.
Possiamo ridurre l’energia del movimento, ma non fino al punto in cui la macchina non lavora più. Possiamo cambiare la geometria, ma non sempre eliminare ogni zona pericolosa. Possiamo ridurre gli interventi dell’operatore, ma resteranno pulizia, manutenzione e disturbi non prevedibili del processo.
È per questi casi che ISO 12100 prevede il passo due.
Non si attiva però quando la soluzione più comoda è il riparo. Il punto 6.1 parla di misure di protezione tecniche e misure complementari quando l’eliminazione del pericolo o la riduzione sufficiente del rischio tramite progettazione non è praticamente realizzabile.
Tra «non si può» e «non vogliamo cambiare il progetto» c’è una differenza sostanziale.
Prima di passare al passo due, serve verificare se abbiamo considerato tutti i modi di funzionamento della macchina, tutte le forme di intervento umano, la modifica di geometria, energia, materiale e tecnologia, la riduzione di inceppamenti e guasti, lo spostamento di punti di regolazione e manutenzione fuori dalla zona pericolosa, la possibile creazione di nuovi pericoli e l’effetto delle modifiche sull’uso reale della macchina.
L’ultima parte conta moltissimo. Una misura che rende difficile il lavoro normale, allunga il cambio formato o complica la rimozione di un disturbo tipico può spingere a bypassare le protezioni. E quando una protezione viene bypassata, la teoria resta in ufficio. Il rischio torna in reparto.
La valutazione non finisce dopo avere scelto una soluzione. Secondo il punto 5.6, dopo ogni passo bisogna verificare di nuovo se il rischio è stato ridotto a sufficienza e se sono comparsi nuovi pericoli.
Una modifica della geometria può migliorare la sicurezza ma rendere più difficile la manutenzione. L’alimentazione automatica può eliminare un’operazione manuale ma creare un nuovo punto di schiacciamento. Portare una regolazione fuori dalla zona può ridurre l’esposizione ma consentire una modifica accidentale della taratura.
Ogni risposta genera la domanda successiva.
Non è un difetto del metodo. È il metodo.
Il riparo non è la prova di un cattivo progetto. Può essere la misura corretta e necessaria. Il problema nasce quando sostituisce l’analisi di ciò che si poteva cambiare nella macchina.
Il passo due non inizia quando il progettista finisce le idee. Inizia quando le possibilità del passo uno sono state realmente analizzate e il rischio non è ancora stato ridotto a sufficienza.