L’operatore apre il riparo del centro di lavoro, inserisce il pezzo nel dispositivo di serraggio e lo sostiene con una mano per metterlo in posizione. Prova ad azionare il serraggio. La macchina rifiuta il comando: il riparo aperto blocca il movimento.
È esattamente ciò per cui il sistema è stato progettato. Ma la produzione, in qualche modo, deve cominciare.
Immaginiamo di osservare la postazione durante il collaudo. Nel quadro ci sono componenti verificati. Sul tavolo c’è il rapporto con il calcolo del livello di prestazione. Il progettista dispone dello schema, dei dati del sensore e della libreria del fabbricante. L’operatore, invece, ha ancora il pezzo in mano. Il suo compito non è stato definito con la stessa precisione.
Il sistema esegue correttamente la funzione assegnata. Il problema è a monte: prima di scegliere quella funzione, nessuno ha chiarito come una persona avrebbe dovuto fissare il pezzo. La specifica dei requisiti di sicurezza, cioè la SRS, serve proprio a chiudere questo vuoto prima che un’ipotesi non dichiarata venga ordinata, installata e programmata.
La ISO 13849-1:2023 richiede i risultati della valutazione del rischio condotta secondo ISO 12100. Da questi risultati ricaviamo le funzioni di sicurezza, il comportamento necessario e il livello di prestazione richiesto (PLr). Li registriamo nella SRS, che diventa parte della documentazione tecnica e base del progetto successivo.
Poi arriveranno selezione dei componenti, calcoli, verifica e validazione. Prima, però, conviene stabilire dove si troverà la mano dell’operatore durante il serraggio. Quel dato non compare nel catalogo del controllore.
Come fissare in sicurezza il pezzo se il sistema è già pronto?
Torniamo indietro di qualche settimana. Il progetto accelera perché qualcuno propone un insieme già usato sulla macchina precedente: sensore del riparo, controllore e azionamento adatto. I dati sono disponibili, la libreria è pronta e il fornitore conosce la scadenza.
La questione del posizionamento manuale del pezzo viene rinviata alla messa in servizio. A quel punto, si dice, sarà tutto visibile.
Infatti ora il problema è chiarissimo. L’operatore ha bisogno di un movimento con il riparo aperto, mentre il sistema è stato costruito per arrestarlo. Qualcuno propone subito un’eccezione nel programma. Così i dispositivi già acquistati cominciano a dettare i requisiti di protezione, anche se dovrebbero soltanto realizzarli.
Fermiamo la discussione davanti al dispositivo di serraggio. Perché l’operatore deve sostenere il pezzo? Un’attrezzatura potrebbe definirne prima la posizione? Quale movimento è davvero necessario e quale scomparirebbe cambiando il metodo di fissaggio?
Le risposte determinano il concetto di protezione. Potrebbe essere necessario modificare il dispositivo di serraggio. Oppure potrebbe rimanere indispensabile un movimento con accesso aperto: in quel caso occorre definirne condizioni di ammissione, limiti e arresto. Una semplice eccezione nella logica non rende sicura l’operazione.
Stesso controllore, compito diverso
Sulla macchina precedente il caricamento poteva essere completamente diverso. Supponiamo che l’attrezzatura sostenesse da sola il pezzo e che l’operatore chiudesse il riparo prima del serraggio. Sulla nuova macchina la mano resta all’interno più a lungo.
Il codice del controllore coincide. Le condizioni d’impiego, forse, no. Prima di riutilizzare il vecchio progetto dobbiamo verificare accessi, sequenza operativa, movimenti necessari e comportamento del carico. La frase «sulla macchina precedente funzionava» continua a descrivere soltanto la macchina precedente.
Queste verifiche possono cambiare disegni, scelta dei dispositivi e software. È molto più difficile accettarlo quando il quadro è finito e nel programma lavori resta soltanto la voce «collaudo». A quel punto la mano dell’operatore ostacola anche la chiusura del progetto.
Ripetere il calcolo del circuito non risolve la discussione davanti al dispositivo di serraggio. Il PL raggiunto riguarda la funzione effettivamente realizzata e le condizioni nelle quali è stata valutata. Se abbiamo verificato l’arresto all’apertura del riparo, il risultato non aggiungerà da solo requisiti per il serraggio manuale.
I dispositivi certificati e i sottosistemi già validati sono utili. ISO 13849-1 ne consente l’impiego quando sono rispettate le condizioni di integrazione. Dobbiamo comunque dimostrare le proprietà della funzione completa nell’applicazione concreta, con il suo dispositivo di serraggio, il suo carico e i suoi accessi. Il fabbricante del controllore non conosce il nostro metodo di posizionamento. Il suo certificato non ha mai potuto valutarlo.
Per chi sviluppa l’automazione, questo è un confine di responsabilità decisivo. Può collegare correttamente i dispositivi, scrivere la logica e giustificare il PL, ricevendo però un compito incompleto. Gli servono i risultati della valutazione del rischio prima che le ipotesi diventino righe di programma.
Se quei risultati mancano, si torna al gruppo di progetto. Si decide chi definisce il dispositivo di serraggio, chi stabilisce i movimenti necessari e chi descrive le condizioni di accesso. Al programmatore deve arrivare un requisito concordato, non una domanda lasciata aperta.
Mettiamo quindi da parte il catalogo e percorriamo l’intera operazione insieme all’operatore, soprattutto la fase iniziale che avviene prima della chiusura del riparo. Solo allora sapremo che cosa richiedere alle parti del sistema di comando legate alla sicurezza, le SRP/CS.
Si possono avere due canali e nemmeno un requisito per il compito che l’operatore sta realmente svolgendo. Due canali non correggono un lavoro che nessuno ha analizzato.
L’operatore entra nel progetto prima che il riparo si chiuda
L’operatore porta il pezzo, lo appoggia, ne corregge la posizione e lo fissa. Solo dopo chiude il riparo e avvia la lavorazione. Alla fine riapre e rimuove il pezzo.
Se la descrizione del lavoro cominciava dal pulsante START, abbiamo appena perso l’attività senza la quale non avrebbe alcun senso premerlo.
Restano inoltre il pezzo inserito male, il cambio utensile, la pulizia e la ripresa dopo un’interruzione. In ogni intervento la persona può trovarsi in una posizione diversa, più vicina ad altri movimenti o ad altre energie.
La frase «utilizzare secondo le istruzioni» non mostra questo lavoro al progettista. Non stabilisce che cosa possa muoversi né che cosa debba restare fermo.
ISO 12100 impone di partire dalla definizione dei limiti della macchina e del suo utilizzo. Si identificano utenti, modi di funzionamento, materiali e interventi. Si considerano le fasi del ciclo di vita e l’uso scorretto ragionevolmente prevedibile.
Su questa base si individuano i pericoli e si stima il rischio. Segue la ponderazione, che stabilisce se sia necessaria un’ulteriore riduzione del rischio. Così «rimuovere un inceppamento» smette di essere una comoda riga in un foglio: diventa un accesso da un lato preciso, con una persona in una posizione concreta e un eventuale movimento controllato del meccanismo.
Una conversazione davanti alla macchina lo rivela subito. Se la protezione impedisce un compito necessario, può anche incoraggiare l’elusione dei dispositivi di protezione. La soluzione va corretta prima che l’elusione diventi la normale procedura di reparto.
Forse è meglio cambiare il dispositivo di serraggio
La prima decisione non deve necessariamente riguardare il controllore. Un’attrezzatura che posizioni il pezzo senza richiedere la mano nella zona di serraggio modifica direttamente l’esposizione della persona.
ISO 12100 avvia la riduzione del rischio proprio dalle misure di progettazione intrinsecamente sicure. Seguono le misure di protezione tecniche, come ripari e dispositivi di protezione, quindi le misure di protezione complementari. Solo dopo arrivano le informazioni per l’uso.
Scelto il concetto, definiamo i compiti del sistema di comando. Deve impedire determinati movimenti durante l’accesso, consentire il posizionamento necessario e garantire il mantenimento del pezzo in caso di perdita di pressione. Da questi compiti derivano le funzioni di sicurezza e il loro campo d’azione.
I compiti dell’operatore fanno emergere una parte importante del problema, ma la valutazione riguarda l’intera macchina. Rimangono, per esempio, l’espulsione di materiale, il rumore e il cedimento strutturale, anche quando non è in corso un intervento manuale.
Il percorso decisionale completo è illustrato nell’esempio di valutazione del rischio secondo ISO 12100. Per la scelta della protezione è utile anche l’analisi delle misure di protezione tecniche.
ISO 13849-1 richiede i risultati di questo lavoro
Il punto 4.5 di ISO 13849-1:2023 richiede i risultati della valutazione del rischio, le informazioni sulle funzioni necessarie, il loro contributo alla riduzione del rischio e il PLr. Il punto 5.1 richiama direttamente le informazioni dettagliate ottenute dalla valutazione secondo ISO 12100.
Questi sono dati di ingresso del progetto. Partire dallo schema elettrico non li produce, anche se permette di disegnare più rapidamente la prima pagina della documentazione.
Nella SRS descriviamo le funzioni e i requisiti funzionali, assegniamo il PLr e riesaminiamo la completezza prima della progettazione, come indicato dai punti 5.1–5.4. Il PLr deve già essere presente nella SRS conclusa. Un documento senza PLr resta una bozza. La nota «da definire durante la messa in servizio» fissa soltanto la scadenza di un lavoro ancora da svolgere.
Il progettista meccanico conosce il dispositivo di serraggio, il tecnologo conosce il posizionamento, l’utilizzatore conosce gli interventi e lo specialista dell’automazione conosce le possibilità del comando. La SRS registra il risultato della loro decisione comune. È il momento giusto per scoprire che la funzione prevista arresterebbe la macchina, ma renderebbe impossibile usarla.
Nel nostro esempio il dispositivo di serraggio viene modificato. Un alloggiamento meccanico permette di sostenere il pezzo e di ritirare la mano prima della chiusura del riparo e dell’avvio separato del serraggio. La SRS descrive i requisiti di comando derivanti da questa scelta: accesso, autorizzazione del movimento e mantenimento del pezzo. L’alloggiamento resta una misura costruttiva, non una funzione alla quale assegnare automaticamente un PLr.
Saltare ISO 12100 significa iniziare il lavoro con ISO 13849-1 senza le risposte necessarie. La valutazione del rischio stabilisce quale protezione serve; la SRS ne registra i requisiti di comando, compreso il PLr.
Il movimento necessario alla persona non scompare definendolo pericoloso
Torniamo al progetto di serraggio. Qualcuno ricorda che l’arresto all’apertura del riparo è una funzione già verificata. Vero. Resta da posizionare il pezzo con cui dovrebbe iniziare la produzione.
Le norme dedicate a specifiche categorie di macchine aiutano a scomporre la parola «protezione» in compiti, movimenti e condizioni. Diventa evidente perché una reazione corretta del comando non descriva ancora la sicurezza dell’intero lavoro.
Il dispositivo di serraggio deve fissare il pezzo anche prima della lavorazione
In un centro di lavoro separiamo il ciclo automatico dal posizionamento manuale. Per entrambi verifichiamo movimenti necessari, accessibilità dei loro effetti e protezione. Se l’attrezzatura richiede un movimento con il riparo aperto, il progetto deve rendere sicura proprio quella condizione.
Eliminare l’interblocco cambierebbe il software. La mano e le ganasce resterebbero nello stesso punto.
ISO 16090-1, per le macchine utensili comprese nel suo campo di applicazione, considera il serraggio del pezzo, il controllo del serraggio e le condizioni per l’avvio della lavorazione. Le domande vanno quindi oltre la posizione della porta: il pezzo è trattenuto? Quali movimenti possono essere autorizzati? Che cosa accade se l’energia viene meno?
Le risposte possono imporre una modifica del dispositivo di serraggio, del sistema di comando o dell’intera sequenza. Quando una norma di tipo C indica un requisito o un PLr, dobbiamo conservarne anche il contesto e le condizioni di applicazione. Una lettera entra facilmente in una tabella; è più difficile ricordare che proveniva da una riga relativa a un altro accesso o stato della macchina.
La SRS deve permettere alla persona successiva di ricostruire la decisione: per quale attività è stata scelta la funzione e perché si richiede proprio quel livello di protezione.
La pressa imballatrice ha terminato la compressione. Ora bisogna prelevare la balla
Spostiamoci davanti a una pressa imballatrice verticale per rifiuti. Il progettista ha considerato il movimento della piastra durante la compressione. Le porte erano chiuse, l’accesso sorvegliato e il ciclo è terminato.
L’operatore deve ancora legare e rimuovere la balla. Apre la porta, cambia posizione e utilizza i movimenti necessari all’estrazione. Nella descrizione del ciclo la macchina ha già finito. Davanti alla macchina, la persona sta ancora completando il lavoro.
EN 16500:2014 dedica requisiti specifici a questa fase. Il campo riguarda determinate presse imballatrici verticali chiuse con legatura manuale, non qualsiasi macchina che comprima rifiuti.
Il punto 5.1.4 considera l’espulsione della balla, il comando fuori dalla zona di ribaltamento e la visibilità. Quando, attraverso una porta aperta, è possibile accedere al pericoloso movimento verso l’alto della piastra, è previsto un comando a due mani. Il punto 5.2.2 assegna a questa funzione PLr d.
Nella SRS registriamo insieme attività, movimento e condizione di protezione. Verifichiamo anche il ritorno del sistema di espulsione. La sola parola «compressione» non copre tutte le situazioni che compaiono durante il prelievo della balla.
L’edizione citata di EN 16500 richiama EN ISO 13849-1:2008. Questo rapporto tra edizioni deve essere considerato nella scelta delle norme. Il PLr d del caso descritto non diventa una valutazione comune a tutta la pressa imballatrice.
Nella zona arrestata il materiale continua a muoversi
Ora l’operatore rimuove un inceppamento tra due macchine. Gli azionamenti della sua zona sono fermi. La macchina adiacente continua però ad alimentare materiale attraverso un’apertura tecnologica. Il controllore locale ha eseguito correttamente il proprio compito.
Il materiale non conosce i confini delle forniture.
ISO 11161:2007 con A1:2010 richiama l’attenzione sulle zone operative e sulle interfacce di un sistema di produzione integrato. Il punto 8.1.4 riguarda la protezione nel passaggio di materiale tra zone.
Al punto 8.8.1 la specifica comprende, tra l’altro, modi di funzionamento, interazioni umane, comportamento del sistema, interfacce e reazioni ai guasti. Due rapporti di calcolo separati lasciano all’integratore proprio questa parte comune del lavoro.
Occorre concordare l’estensione dell’arresto oppure un’altra protezione adeguata dell’interfaccia, dell’accesso e del comportamento delle apparecchiature vicine, anche in caso di perdita del segnale richiesto. Chi elimina l’inceppamento deve essere protetto per l’intera durata dell’intervento.
La frase «interfaccia a carico dell’integratore» indica correttamente chi deve occuparsene. Non esegue però il lavoro al posto suo. L’estensione della protezione dipende anche dai pericoli trasferiti dal flusso di materiale.
Fuori dal ciclo automatico la persona ha ancora lavoro da svolgere. Serraggio, prelievo della balla ed eliminazione di un inceppamento richiedono l’analisi dei propri movimenti, accessi ed energie. La SRS deve estendere la protezione all’intera attività necessaria.
Il dispositivo di serraggio si è fermato. Che cosa deve accadere al pezzo?
«Quando il riparo si apre, la macchina deve fermarsi». Lo specialista dell’automazione indica il dispositivo di serraggio immobile. Il progettista meccanico guarda il pezzo che l’operatore non ha ancora lasciato.
Entrambi osservano la stessa macchina. La parola «fermare» ha permesso loro di evitare, per qualche minuto, di concordare che cosa debba realmente avvenire.
Nella specifica registriamo il nome della funzione, il suo rapporto con il pericolo, l’evento che la attiva e la reazione avviata dalle uscite. Indichiamo movimenti concreti e area protetta. A quel punto possiamo definire l’arresto e lo stato richiesto dopo l’arresto.
Il posizionamento manuale durante l’accesso riceve requisiti propri, coerenti con il concetto di protezione scelto. Separatamente definiamo che, nel modo automatico, un riparo aperto deve impedire l’avvio dei movimenti pericolosi specificati.
L’arresto e la prevenzione dell’avviamento inatteso possono utilizzare sottosistemi comuni. Ogni funzione richiede comunque una descrizione leggibile e una verifica specifica. L’operatore non smette di aver bisogno di protezione quando arriva il comando successivo.
Di nuovo qualcuno propone: spegniamo tutto
Sullo schema l’idea sembra convincente. Si disattivano le uscite, l’energia scompare e il problema pare chiuso. Il progettista meccanico aggiunge però un dettaglio: se la pressione viene meno, il dispositivo di serraggio può liberare il pezzo.
Non stiamo più discutendo soltanto di arresto del movimento. Dobbiamo stabilire anche come mantenere il carico e per quanto tempo debba essere conservato lo stato richiesto. Un comando di disattivazione non spiega che cosa sosterrà il pezzo dopo l’esecuzione.
La SRS descrive lo stato fisico derivante dalla valutazione del rischio: movimenti arrestati e mantenimento necessario del pezzo. Se esiste anche un asse verticale soggetto alla gravità, occorre impedire la caduta. Il progetto dovrà mostrare come soddisfare questi requisiti.
Il gruppo esamina perdita dell’alimentazione, fluttuazioni inammissibili e ritorno dell’energia. Per ciascuna situazione stabilisce il comportamento del sistema. In questo modo il ripristino della pressione o della tensione non rimane una parte non descritta della sequenza.
Si considera separatamente il rilevamento di un guasto: reazione verso uno stato sicuro e mantenimento di tale stato fino alla riparazione. Se più funzioni sono attive contemporaneamente, se ne definiscono priorità e possibili conflitti. Un arresto non può eliminare senza valutazione la protezione necessaria al carico.
Il sensore ha già risposto. La meccanica richiede tempo
Una persona non aspetterà davanti al riparo quanto fa comodo al meccanismo. Raggiungerà un punto preciso. Il gruppo deve quindi considerare posizione, possibilità di accesso e tempo necessario per raggiungere lo stato richiesto.
Lo specialista dell’automazione mostra il tempo di risposta del sensore. Dopo il sensore, però, continuano a lavorare logica, comunicazione, attuatori e meccanica. La SRS deve fissare un requisito relativo al tempo totale di risposta della macchina, compreso l’arresto del movimento.
Per posizionare i dispositivi di protezione secondo ISO 13855 servono dati di arresto adeguati e condizioni di valutazione definite. Carico, utensile, temperatura e usura possono cambiare il risultato. Un parametro di catalogo non sostituisce la misura del comportamento dell’intera macchina.
Se i dati mancano, resta un’azione aperta: chi deve fornirli e quali decisioni dipendono dal risultato? Un valore provvisorio deve essere confermato oppure il progetto deve cambiare.
Altrimenti qualcuno costruirà un riparo attorno a un numero che il programmatore considerava soltanto un’ipotesi. Al collaudo entrambi confermeranno, con perfetta sincerità, di averne parlato.
L’operatore cambia modo di funzionamento, poi chiude la porta
Il pezzo attende ancora di essere fissato. Se il concetto ammette un movimento durante l’accesso, la SRS definisce modo di funzionamento e condizioni. Il modo selezionato deve essere inequivocabile e il passaggio tra modi deve conservare la protezione necessaria.
La selezione del modo non avvia il movimento. Anche la parola «servizio» sullo schermo non protegge nulla davanti al dispositivo di serraggio. Solo un comportamento definito fornisce un requisito realizzabile.
Occorre considerare anche pulizia e riparazione del dispositivo di serraggio. Alcuni lavori richiedono la separazione della macchina da tutte le fonti di alimentazione e il blocco dei dispositivi di sezionamento nella posizione di sezionato. Altri richiedono un movimento adeguatamente protetto. I risultati della valutazione del rischio di queste attività devono comparire nei requisiti.
La soluzione scelta per posizionare il pezzo non si trasferisce automaticamente a ogni intervento di manutenzione. La persona può occupare un’altra posizione e raggiungere pericoli diversi. Cambiare il nome dell’attività nel manuale non modifica l’accesso fisico al meccanismo.
Dopo il serraggio, l’operatore chiude il riparo. Il sensore conferma la posizione della porta, ma non stabilisce da solo se qualcuno sia rimasto nella zona o se le altre misure di protezione siano operative. Con una seconda persona, queste domande diventano ancora più importanti.
La SRS definisce il ritorno al funzionamento tramite condizioni precise di ripristino e riavvio. Se la valutazione del rischio richiede un ripristino manuale, il relativo comando deve essere collocato fuori dalla zona pericolosa, con visibilità adeguata e senza possibilità di azionamento dalla zona stessa.
Il ripristino è un’azione intenzionale distinta dall’avviamento. L’acquisizione del segnale richiede il controllo del suo cambiamento di stato. Il ripristino non deve generare un pericolo; le funzioni di sicurezza e le misure di protezione tecniche devono già essere operative.
Se una parte della zona non è visibile, serve una soluzione adeguata, per esempio una sequenza di ripristino o un controllo della presenza. È possibile anche un ripristino automatico giustificato, tra l’altro quando il rilevamento continuo della persona impedisce una situazione pericolosa.
Nel documento rimane la scelta applicabile alla macchina concreta. Se il ripristino costituisce una funzione di sicurezza, deve essere definito anche il relativo PLr. Non si presume che ogni pulsante con la stessa scritta svolga lo stesso ruolo.
Quando accanto lavora un alimentatore, il suo fornitore deve conoscere lo stato richiesto durante l’accesso e la reazione alla perdita dei segnali. L’integratore coordina le interfacce con le altre funzioni. «STOP inviato» descrive il mittente; la specifica deve ancora stabilire come e quando reagirà il destinatario.
Un pezzo non rappresenta tutte le condizioni d’impiego
L’operatore ha mostrato il serraggio una volta, ma durante il turno lo ripeterà continuamente. Registriamo la frequenza di richiesta della funzione e il numero di operazioni dei suoi elementi. Un accesso a ogni pezzo impone condizioni operative diverse da un intervento sporadico.
Si aggiungono ambiente, pulizia e manutenzione, durante i quali la soluzione deve conservare le proprie caratteristiche. I dati dei dispositivi vanno confrontati con l’intensità reale di lavoro e con le condizioni di applicazione, anche se lo stesso componente è già installato altrove.
Prima di chiudere la SRS, ogni funzione riceve un PLr e la relativa base: valutazione del rischio oppure requisito pertinente di una norma di tipo C con le sue condizioni. Per il nostro dispositivo di serraggio conta il requisito applicabile a questa specifica configurazione.
Il PL raggiunto sarà valutato più avanti sulla soluzione realizzata. Ora il gruppo stabilisce che cosa richiede alla soluzione. La somiglianza grafica tra due colonne di una tabella non deve cancellare questa differenza.
Scriviamolo in modo che il prossimo specialista dell’automazione non debba indovinare
Supponiamo che il gruppo abbia scelto un alloggiamento meccanico che sostiene il pezzo. L’operatore può appoggiarlo e ritirare le mani prima di chiudere il riparo e azionare il serraggio. È solo uno dei possibili concetti. Se l’attività reale richiede ancora un movimento con accesso aperto, serviranno protezione e requisiti specifici.
Registriamo ora la decisione nella scheda di una funzione. PLr d, 200 ms e gli altri numeri riportati sotto sono dati fittizi a scopo didattico, non parametri da copiare. Ogni progetto deve giustificarli e applicare i requisiti appropriati della norma di tipo C.
| Campo SRS | Esempio di requisito | ISO 13849-1:2023 |
|---|---|---|
| Funzione e motivo / SF-01, APP-01 | SF-01: arrestare e impedire il movimento motorizzato del dispositivo di serraggio durante l’accesso all’alloggiamento. TASK-L01: posizionamento di un pezzo da 12 kg. HS-01: dita nell’area delle ganasce. Collegamento alla valutazione del rischio: RA-L01. | 5.1; 5.2.1.2; 5.2.1.3 a) |
| Evento di attivazione / REQ-01 | Richiesta di accesso oppure perdita dello stato richiesto di chiusura o bloccaggio del riparo mentre il movimento di serraggio è autorizzato. L’accesso aperto mantiene il blocco del movimento. | 5.2.1.3 b) |
| Effetto richiesto / REQ-02 | Arrestare il movimento delle ganasce e impedire un nuovo movimento motorizzato durante l’accesso. Non consentire lo sbloccaggio del riparo prima del raggiungimento di tutte le condizioni richieste. Il pezzo resta sostenuto da un alloggiamento meccanico indipendente. | 5.2.1.3 c) |
| PLr e base / REQ-09 | PLr d, ipotesi didattica assegnata nella valutazione fittizia RA-L01. Nel progetto reale il valore deve derivare dalla valutazione del rischio o da un requisito pertinente della norma di tipo C. Non è il PL raggiunto dal sistema. | 5.2.1.3 d); 5.3 |
| Tempo e accesso / REQ-03 | Massimo 200 ms, valore puramente esemplificativo, dall’evento sul riparo alla cessazione del movimento specificato, meccanica compresa. Il riparo resta bloccato fino al soddisfacimento di tutte le condizioni di sicurezza. Il solo valore di 200 ms non giustifica l’accesso. | 5.2.1.3 e) |
| Modi di funzionamento / REQ-04 | Funzionamento automatico e caricamento manuale. In questa versione non è ammesso il serraggio motorizzato con riparo aperto. Se l’attività reale lo richiede, occorre tornare alla valutazione e definire una protezione adeguata. | 5.2.1.3 f) |
| Interfacce / REQ-05 | La conferma dello stato richiesto del dispositivo di serraggio è solo una delle condizioni per l’accesso. Sono richiesti anche gli stati appropriati di mandrino, assi e alimentatore, descritti nelle altre funzioni. La conferma di ricezione del segnale non sostituisce la reazione richiesta. | 5.2.1.3 g) |
| Guasto / REQ-06 | Un guasto rilevato che influenza la funzione blocca ogni nuovo movimento e l’autorizzazione all’accesso finché non viene raggiunto lo stato richiesto. Tale stato viene mantenuto fino alla rimozione del guasto pertinente. | 5.2.1.3 h) |
| Energia / REQ-07 | La perdita e il ritorno dell’energia non causano movimenti pericolosi né il rilascio del pezzo sostenuto. L’alloggiamento richiede una giustificazione meccanica separata; non gli si assegna un PLr solo perché compare nella scheda. | 5.2.1.3 i) |
| Frequenza e ambiente / APP-02, APP-04 | Esempio: 40 accessi/h, 16 h/giorno, 250 giorni/anno, pari a 160 000 richieste/anno. Le operazioni dei singoli elementi sono registrate separatamente. Ambiente interno, 5–40 °C, presenza di refrigerante e trucioli. | 5.2.1.2; 5.2.1.3 j) |
| Priorità / REQ-10 | La richiesta della funzione prevale sul normale START del serraggio. L’interazione con le altre funzioni non deve eliminare il mantenimento del pezzo né permettere un accesso prematuro. | 5.2.1.3 k) |
| Norma di tipo C / APP-03 | Verificare campo di applicazione e requisiti relativi, tra l’altro, a serraggio e accesso. Per questa macchina utensile ipotetica viene considerata ISO 16090-1. Punti applicabili e risultato devono essere registrati prima della chiusura della SRS. | 5.2.1.3 l) |
| Ritorno al funzionamento / REQ-08 | Dopo il ripristino degli stati richiesti: azione intenzionale separata di ripristino e comando separato di avviamento. Chiusura del riparo, ripristino e ritorno dell’alimentazione non avviano da soli il dispositivo di serraggio. | 5.2.1.3 m) |
| Verifica e versione | REQ-01…10 sono collegati ad analisi, prove VT-01…06, progetto e configurazione valutata. Valutazione del PL e priorità richiedono evidenze proprie. Una modifica del pezzo, del modo o dei parametri richiede una valutazione dell’impatto. | 5.4; 10; 12 a) |
La scheda di una funzione è solo una parte della SRS. Occorrono anche limiti della macchina, compiti delle persone, dati della valutazione del rischio, altre funzioni, interfacce e controllo del documento. Ogni «non applicabile» richiede una motivazione. Un PLr mancante o una condizione di accesso irrisolta non diventano completi grazie a una firma sul modulo.
Un esempio in PDF di SafetySoftware comprende il caso sviluppato, la scheda SF-01, i criteri di prova e moduli compilabili per progetto, funzione e collegamento alle evidenze. Il modello mostra il metodo; i campi devono essere riempiti con le decisioni reali del gruppo.
Scarica l’esempio SRS e i moduli compilabili (PDF, in inglese)
Progettista meccanico e specialista dell’automazione devono lavorare sulle stesse decisioni. Per questo i requisiti hanno nomi, identificativi, versione e collegamenti alla valutazione del rischio. In seguito riceveranno i riferimenti al progetto e ai risultati delle verifiche.
Possono essere gestiti in un documento, in schede o in un registro controllato. La norma richiede il contenuto, non un unico formato obbligatorio. Anche la voce «non applicabile» deve essere giustificata per l’applicazione.
Una registrazione costruita in questo modo costituisce la base della progettazione ai sensi del punto 5.2.1.1, comprende i requisiti del punto 5.2.1.3 ed entra nella documentazione tecnica richiamata al capitolo 12 a). Consente di trasferire il lavoro dall’organizzazione che valuta il rischio a chi progetta il sistema di comando.
Utilizzatore e integratore ricevono le informazioni necessarie ai propri compiti. Ciò non implica automaticamente la consegna dell’intera documentazione progettuale interna: l’estensione delle informazioni deve essere rapportata agli obblighi e all’applicazione.
La SRS deve accompagnare la protezione per tutta l’operazione, anche quando l’energia viene meno. Attivazione, movimento, mantenimento del pezzo, tempo di risposta e ritorno al funzionamento richiedono criteri concordati e verificabili.
Ora bisogna realizzare ciò che abbiamo scritto
Sappiamo come l’operatore posiziona il pezzo, quali movimenti servono e che cosa ci aspettiamo quando l’energia viene meno. Le funzioni hanno ricevuto un PLr. Qualcuno potrebbe già segnare sul verbale che la sicurezza è stata risolta.
Per ora abbiamo concordato che cosa bisogna fare. La macchina non lo sta ancora facendo.
Dobbiamo scegliere architettura e sottosistemi, sviluppare logica e parametri, verificare carichi, diagnostica, ambiente e interazione con la meccanica. La valvola deve portare il sistema nello stato richiesto; la funzione dell’azionamento deve corrispondere al movimento reale.
Anche il dispositivo di serraggio deve essere costruito e verificato. È la sua geometria che deve consentire il metodo di fissaggio scelto. Un requisito correttamente implementato nel software non sostituisce il componente che avrebbe dovuto sostenere il pezzo senza l’aiuto della mano.
I sottosistemi già validati possono far risparmiare tempo. ISO 13849-1 ne consente l’uso alle condizioni previste per l’integrazione. Conserviamo dati e limiti applicativi e giustifichiamo il collegamento nella funzione completa.
Ora i componenti collaudati hanno finalmente un ruolo corretto: conosciamo il requisito e sappiamo quali proprietà ci aspettiamo. Possiamo anche stabilire che cosa resta da dimostrare dopo l’installazione sulla macchina.
Nella valutazione del PL secondo ISO 13849-1 confrontiamo il PL raggiunto con il PLr e analizziamo affidabilità, architettura, copertura diagnostica e guasti da causa comune. Si aggiungono guasti sistematici, software, condizioni ambientali ed ergonomia.
Il programma potrebbe comunque autorizzare il movimento nel modo sbagliato. Il modello di affidabilità resterebbe formalmente corretto, mentre l’errore sarebbe nella logica di abilitazione. È quella condizione concreta che bisogna individuare e provare.
Anche l’esclusione di un guasto richiede una base valida per montaggio e uso reali. Lo strumento di calcolo non vedrà una modifica fatta al dispositivo di serraggio in reparto. Qualcuno deve fornirgli ipotesi vere.
Dietro la dichiarazione deve esserci tutto il lavoro eseguito
La SRS, da sola, non basta a dichiarare la piena conformità a ISO 13849-1. Servono progettazione, verifica, validazione e documentazione corrispondenti a tutti i requisiti applicabili.
Scrivere il numero della norma richiede pochi secondi. Svolgere il lavoro che quella riga dovrebbe rappresentare occupa un po’ più di spazio.
L’assenza di ISO 12100 dall’elenco delle norme non dimostra, da sola, che la valutazione del rischio sia stata omessa. La prova sta nel contenuto della valutazione, nelle decisioni assunte e nel loro impiego nel progetto. Al contrario, l’incarico «realizzare PL d» senza descrivere compito e protezione necessaria lascia incompleti i dati di ingresso.
Dopo aver realizzato la soluzione torniamo alla valutazione del rischio dell’intera macchina. Verifichiamo che sia stata ottenuta la riduzione prevista senza introdurre nuovi pericoli.
Il nuovo dispositivo di serraggio può trattenere meglio il pezzo ma richiedere un metodo diverso per estrarlo. Anche questa attività va analizzata. Il processo iterativo di ISO 12100 ritorna alla macchina reale invece di terminare sul disegno corretto.
La SRS apre un lavoro che deve poi essere dimostrato. Selezione, integrazione, valutazione del PL, verifica e validazione devono provare che la funzione realizzata soddisfa i requisiti nelle condizioni previste. Il documento non esegue la funzione al posto della macchina.
La macchina si è fermata. La prova non è ancora terminata
Apriamo nuovamente il riparo. Questa volta sappiamo quali movimenti devono cessare, entro quale tempo e come deve essere mantenuto il pezzo. Il controllore segnala lo stato previsto. Chi esegue la verifica guarda anche il meccanismo.
Occorre confermare movimento, carico, mantenimento e ritorno al funzionamento. Ogni effetto viene confrontato con un requisito concreto. Un’indicazione sullo schermo non descrive ancora il risultato dell’intera prova.
Questo lavoro è iniziato prima della costruzione. Il punto 5.4 richiede un riesame della SRS prima della progettazione: le funzioni corrispondono alla valutazione del rischio? Il documento contiene tutti i requisiti necessari?
La validazione della SRS secondo 10.2 permette di rilevare omissioni, errori e incoerenze rispetto all’applicazione, alle condizioni e all’uso scorretto ragionevolmente prevedibile. È molto più comodo scoprire un compito dimenticato quando il dispositivo di serraggio esiste ancora soltanto nel disegno.
La validazione della realizzazione verifica il rispetto della SRS e degli altri requisiti applicabili mediante analisi e prove definite in un piano. Le analisi possono procedere insieme alla progettazione; le prove finali sulla macchina fisica chiudono la parte pertinente del lavoro.
Verifichiamo anche il movimento necessario all’operatore
Sul riparo verifichiamo attivazione, reazione, tempo e mantenimento dello stato richiesto. Poi passiamo al posizionamento del pezzo. Se la SRS consente un movimento durante l’accesso, la prova deve riprodurre proprio quelle condizioni.
Seguono cambio del modo di funzionamento, conclusione dell’attività, ripristino e riavvio. L’operatore deve percorrere l’intera sequenza concordata. Una sola apertura riuscita della porta non riproduce ciò che avverrà sui pezzi successivi.
In una linea osserviamo anche la seconda macchina. La conferma di ricezione del segnale è una parte della verifica; resta da dimostrare lo stato richiesto dell’intero sistema collegato, con ritardi e interazioni tra apparecchiature.
I protocolli separati dei fornitori non fermeranno il materiale all’interfaccia. Il comportamento deve essere verificato nel campo di integrazione concordato.
Il piano comprende analisi e prove del comportamento in presenza di guasti, perdita di segnali e variazioni dell’alimentazione. Il campo dipende dalla norma e dal progetto. Le prove devono svolgersi in condizioni preparate e controllate, proteggendo le persone competenti che le eseguono.
Davanti al nostro dispositivo di serraggio ritorna la domanda sul mantenimento del pezzo dopo l’interruzione del funzionamento normale. Arresto del movimento e conservazione del carico devono comparire nello stesso risultato, non in due descrizioni indipendenti.
Il protocollo registra condizione di prova, criterio, risultato e configurazione della macchina. Per la misura del tempo riporta anche metodo e condizioni. La persona successiva deve sapere quale carico è stato provato e quale comportamento è stato accettato.
Firmare la frase «la funzione opera correttamente» richiede meno spazio. Purtroppo lascia molto più lavoro al prossimo progettista.
Il programma è già stato corretto. Il protocollo ricorda ancora la versione precedente
Lo specialista dell’automazione ha modificato la condizione che autorizza il movimento, ma il piano di prova controlla ancora quella vecchia. Entrambe le parti possono chiudere i documenti pur descrivendo configurazioni differenti. Requisito, progetto ed evidenze devono invece riferirsi alla stessa versione valutata.
La modifica viene tracciata dalla SRS ai risultati pertinenti e se ne valuta l’impatto sulle altre funzioni. Una correzione al serraggio non scompare dalla valutazione solo perché è già stata caricata nel programma.
La norma raccomanda che chi conduce la validazione sia indipendente dalla progettazione delle SRP/CS. Una persona esterna al progetto nota più facilmente un’ipotesi che l’autore ha smesso di vedere. Servono competenza, processo adeguato e risultati documentati coerenti con il campo della valutazione.
Ciò non crea un obbligo generale di certificazione esterna per ogni funzione. Conta il lavoro effettivamente svolto e il relativo campo. Il requisito deve condurre alla realizzazione e all’evidenza della verifica. Risultato, metodo e configurazione devono permettere di stabilire quale comportamento sia stato davvero valutato.
Qualche mese dopo arriva un pezzo più grande
Il nuovo pezzo entra sul tavolo e il dispositivo di serraggio riesce a chiudersi. In reparto compare la solita frase: «la macchina può farlo». Prima di avviare il movimento torniamo ai limiti della macchina.
Il punto 5.3 di ISO 12100 comprende limiti d’uso, spaziali, temporali e altri limiti. Per questa postazione verifichiamo pezzi e utensili previsti, carichi, metodo di serraggio e spazio necessario all’operatore. Le dimensioni del tavolo non descrivono da sole l’impiego ammesso.
Se la nuova attività rientra nel campo già valutato, può essere un cambio di produzione previsto. Confermiamo allora che le condizioni di protezione restino soddisfatte. Un pezzo più grande non implica necessariamente la trasformazione della macchina.
Supponiamo però che l’operatore debba accedere dal lato opposto, invisibile dalla posizione di ripristino. Oppure che il nuovo utensile aumenti il tempo di arresto oltre il valore assunto nel progetto. È cambiato uno degli elementi sui quali si basava l’efficacia della protezione.
Nel quadro non è stato sostituito alcun modulo. L’elenco dei componenti appare rassicurante. Ma quell’elenco non registra da quale lato l’operatore introduce la mano.
Torniamo ai limiti e alla valutazione del rischio, quindi ai requisiti della SRS. Valutiamo l’impatto sul progetto e sui risultati precedenti. La nuova attività può essere autorizzata solo dopo l’attuazione della protezione necessaria e l’esecuzione delle verifiche e validazioni pertinenti.
Aggiungere semplicemente il pezzo più grande alla documentazione non giustifica l’estensione dell’uso.
Lo stesso vale per le condizioni necessarie a mantenere la protezione. Se questa dipende da ispezioni, regolazioni, sostituzioni o da un periodo d’impiego definito, l’informazione deve raggiungere chi esegue tali attività. I limiti temporali non terminano con la messa in servizio.
Per l’assistenza, una SRS collegata alla valutazione del rischio e alla documentazione di progetto permette di ricostruire le decisioni. Senza registrazioni resta una telefonata alla persona che anni prima scrisse il programma, sperando che ricordi per quale lavoro fu scelta quella condizione.
La trasformazione necessaria per il nuovo utilizzo potrebbe anche costituire una modifica sostanziale. Né il pezzo più grande né il superamento dei limiti precedenti lo determinano automaticamente: contano i criteri giuridici applicabili alla modifica effettivamente realizzata.
Il regolamento (UE) 2023/1230 li definisce all’articolo 3, punto 16, e stabilisce all’articolo 18 gli obblighi del soggetto che effettua una modifica sostanziale. Tali disposizioni si applicano dal 20 gennaio 2027. L’aggiornamento della SRS è soltanto una parte del lavoro che la modifica può rendere necessario.
Al collaudo verifichiamo ciò che abbiamo promesso nella SRS: movimenti, energie, accessi e interfacce usati dalla persona. Quando cambiano attività o condizioni, dobbiamo stabilire se la protezione e la sua giustificazione siano ancora valide.
Prima di ordinare il prossimo insieme di componenti
Torniamo all’operatore con il pezzo in mano. Percorrere una sola attività ha rivelato una lacuna che non compariva né nel catalogo dei dispositivi né nel rapporto sul PL. È stato necessario concordare attrezzatura, accesso, movimenti e comportamento dopo la perdita di energia.
Da queste decisioni nasce il vero compito di progetto. Solo ora possiamo scegliere il sistema di comando e verificare se realizzi la protezione necessaria. Certificati e calcoli hanno finalmente qualcosa di concreto a cui riferirsi.
Per la prossima macchina, percorri l’intera sequenza con una persona che conosce davvero il lavoro della postazione. Trova il compito e i suoi pericoli nella valutazione del rischio, i requisiti nella SRS, quindi le risposte nel progetto e nei risultati delle verifiche. Così diventa evidente il punto in cui la giustificazione si è interrotta.
E quando, davanti a un quadro già finito, qualcuno domanderà se la sicurezza è stata completata, mostra come l’operatore deve fissare il pezzo e che cosa lo protegge durante quell’operazione. Di solito è un metodo molto efficace per abbreviare la discussione sui soli componenti.
Fonti e campo degli esempi citati
La base tecnica è costituita dalle edizioni e dai punti indicati di seguito. Gli esempi illustrano come formulare i requisiti; ogni macchina richiede una verifica autonoma del campo di applicazione pertinente.
- ISO 13849-1:2023 , Sicurezza del macchinario — Parti dei sistemi di comando legate alla sicurezza — Parte 1: principi generali per la progettazione: punti 4.1–4.6 e 5.1–5.4, compresi 5.2.1.3 e 5.2.2–5.2.3, capitoli 6–10 e 12–13.
- ISO 12100:2010, Sicurezza del macchinario — Principi generali di progettazione — Valutazione del rischio e riduzione del rischio: capitoli 4–6, in particolare 5.3–5.4.
- ISO 16090-1:2022 , Sicurezza delle macchine utensili — Centri di lavoro, fresatrici e macchine transfer — Parte 1: requisiti di sicurezza: punto 5.2.5.5, serraggio del pezzo.
- EN 16500:2014 , Macchine per la compattazione di rifiuti o frazioni riciclabili — Presse imballatrici verticali — Requisiti di sicurezza: punti 5.1.4 e 5.2.2. Il campo riguarda determinate presse verticali chiuse con legatura manuale. I requisiti citati rinviano a EN ISO 13849-1:2008.
- ISO 11161:2007 con Amd 1:2010, Sicurezza del macchinario — Sistemi di produzione integrati — Requisiti fondamentali: punti 7.1–7.2, 8.1.4 e 8.8–8.10. L’esempio riguarda compiti, interfacce ed estensione della protezione.
- ISO 13855:2024, Sicurezza del macchinario — Posizionamento dei mezzi di protezione in funzione delle velocità di avvicinamento di parti del corpo umano: appendici B e D, dati e condizioni per la valutazione dell’arresto.
- Regolamento (UE) 2023/1230 del Parlamento europeo e del Consiglio relativo alle macchine : articolo 3, punto 16, definizione di modifica sostanziale; articolo 18, obblighi del soggetto che effettua la modifica; articolo 54, date di applicazione.