Modifiche normative per la scelta della categoria di sicurezza dei circuiti di comando prevista dalla EN 954-1

Transcript

1 Modifiche normative per la scelta della categoria di sicurezza dei circuiti di comando prevista dalla EN La Direttiva macchine 89/392/CEE - recepita in Italia con il DPR 459/96 - contiene l elenco dei requisiti essenziali di sicurezza che devono possedere le macchine per poter essere marcate CE e quindi commercializzate o costruite nei paesi della Comunità Europea. Le macchine conformi alle norme tecniche redatte a livello europeo da CEN e CENELEC, godono automaticamente della presunzione di conformità ai requisiti essenziali di sicurezza della Direttiva macchine. Il CEN redige le norme attinenti gli aspetti meccanici, ergonomici e antinfortunistici, il CENELEC si occupa di redigere le norme di carattere elettrico-elettronico. Nell ambito della direttiva macchine le norme armonizzate (EN) sono state suddivise nei livelli A, B e C. Norme di gruppo A (standard di base). Norme generali di sicurezza che contengono i concetti fondamentali, i principi di progettazione e gli aspetti generali applicabili a tutte le macchine. EN 292 Sicurezza delle macchine concetti fondamentali, principi generali per la progettazione. EN 414 Regole per la progettazione e presentazione delle norme di sicurezza. EN 1050 Sicurezza del macchinario, principi per la valutazione dei rischi. Etc. Norme di gruppo B (standard generici). Norme di sicurezza comuni a gruppi di macchine che trattano un aspetto della sicurezza o un dispositivo di sicurezza applicabile a numerosi tipi di macchine. Sono suddivise in due sottogruppi. Norme di gruppo B1. Condizioni di sicurezza; riguardano aspetti particolari della sicurezza (distanze di sicurezza, rumore, equipaggiamenti elettrici, equipaggiamenti pneumatici, equipaggiamenti oleodinamici, etc.) EN Apparecchiatura elettrica delle macchine, requisiti generali EN 294 Distanza di sicurezza per impedire che le zone pericolose vengano raggiunte dagli arti superiori. EN Sicurezza del macchinario, parti dei sistemi di comando legate alla Etc. sicurezza, principi generali di progettazione. Norme di gruppo B2. Riguardano i ripari e i dispositivi di sicurezza (ripari, interblocchi, comandi a due mani, etc.) EN 574 dispositivo per comando a due mani EN 418 Dispositivi per l arresto di emergenza EN Dispositivi di protezione elettrosensibili EN Apparecchiature di bassa tensione EN 1088 Serratura di sicurezza dei dispositivi di blocco Etc. Norme di gruppo C (standard di prodotto). Norme di sicurezza per macchine e gruppi di macchine particolari contenenti requisiti di dettaglio. EN 201 Macchine ad iniezione EN 415 Macchine per imballaggio

2 EN 775 Robot industriali EN 1175 Carrelli per trasporti interni EN Presse idrauliche Etc. La sicurezza di una macchina e/o il pericolo che essa può rappresentare per l operatore, può essere determinata, in conformità alla norma EN 1050, con la seguente procedura: 1. Limiti della macchina 2. Identificazione del pericolo 3. Stima del rischio 4. Valutazione del rischio 5. Riduzione del rischio Il punto quattro, la valutazione del rischio, viene condotta attraverso la norma EN E su questa norma che vogliamo concentrare la nostra attenzione, essendo in dirittura d arrivo la nuova edizione, che apporterà significativi cambiamenti nel processo di scelta della categoria idonea per la resistenza ai guasti del circuito di comando di una macchina. L attuale norma EN classifica i possibili circuiti di comando e controllo delle macchine in cinque differenti categorie (B, 1, 2, 3 e 4), le quali vengono realizzate con un livello di affidabilità e sicurezza crescente. Ad esempio, un circuito di comando realizzato in categoria 3 fornisce maggiori garanzie rispetto ad un circuito di comando realizzato in categoria 1. Le caratteristiche delle cinque categorie sono riassunte in tabella 1, tratta del prospetto della EN Figura 1 Scelta della categoria di sicurezza dei circuiti di comando in base alla EN 954-1

3 Categoria Prescrizioni fondamentali Comportamento del sistema Principio di sicurezza B La parti del sistema di comando Un guasto può portare alla perdita relative alla sicurezza e/o i loro delle funzioni di sicurezza e alcuni principalmente sulla scelta dispositivi di protezione, così guasti non vengono rilevati. dei componenti. come i loro componenti devono essere concepite, realizzate, selezionate, montate e combinate secondo le norme pertinenti, al fine di far fronte alle influenze esterne previste. 1 categoria B, e in più devono essere utilizzati componenti e principi di sicurezza di provata affidabilità (ad esempio utilizzando contatti ad apertura positiva) Il verificarsi di un guasto può causare la perdita della funzione di sicurezza, ma la probabilità che ciò avvenga è minore rispetto alla categoria B. principalmente sulla scelta dei componenti 2 categoria B e devono essere usati principi di sicurezza ben collaudati. In aggiunta, le funzioni di sicurezza devono essere controllate ad intervalli adeguati dal sistema di comando della macchina (controllo ciclico). La presenza di un guasto può determinare la perdita della funzione di sicurezza nell intervallo fra due controlli. Questa perdita viene rilevata dal controllo principalmente sulla struttura del sistema 3 categoria B e devono essere usati principi di sicurezza ben collaudati. Le parti legate alla sicurezza devono essere progettate in modo che: - un singolo guasto, in una qualsiasi parte, non conduca alla perdita della funzione di sicurezza (principio di ridondanza) e - quando ragionevolmente possibile, il guasto singolo deve essere rilevato. In presenza di un guasto singolo, la funzione di sicurezza è comunque assicurata. Vengono rilevati alcuni guasti, ma non tutti. L accumulo di più guasti non rilevati può condurre alla perdita della funzione di sicurezza. principalmente sulla struttura del sistema 4 categoria B e devono essere usati principi di sicurezza ben collaudati. Le parti legate alla sicurezza devono essere progettate in modo che: - un singolo guasto, in una qualsiasi parte, non conduca alla perdita della funzione di sicurezza (principio di ridondanza) e - il singolo guasto sia rilevato prima o all atto della successiva richiesta della funzione di sicurezza. Se questo non è possibile un accumulo di guasti non deve comunque portare alla perdita della funzione di sicurezza. In presenza di un guasto singolo, la funzione di sicurezza è comunque assicurata. I guasti vengono rilevati in tempo per evitare la perdita della funzione di sicurezza. principalmente sulla struttura del sistema Tabella 1 Categorie dei sistemi di comando in base alla EN 954-1

4 Come evidenziato dal grafico del rischio vedi figura 1 i vari passi per la valutazione del rischio prendono in considerazione tre fattori: S - La gravità di un eventuale danno che può avvenire nell area di pericolo che si vuole proteggere. Il danno può essere lieve, come una contusione, una ferita, un urto, o può essere irreversibile come la perdita di un arto o addirittura la morte. F La durata di sosta nell area di pericolo, che può essere di tempi brevi o addirittura coprire l intera giornata lavorativa. P La possibilità di evitare il danno da parte dell operatore, che può essere quasi nulla o abbastanza alta nel caso si verifichino alcune condizioni. Il tipo di filosofia che si segue, va nella direzione quindi di determinare la categoria idonea (B,1,2,3,4) del circuito di comando per una certa macchina, in base al rischio valutato. La categoria corretta viene scelta seguendo il percorso indicato in figura 1. Nella nuova edizione della norma EN 954-1, di prossima pubblicazione, la determinazione della categoria di sicurezza si complicherà, perché occorrerà prendere in considerazione altri quattro parametri per analizzare il livello di sicurezza. Questi parametri sono il livello della prestazione, il tempo medio di un guasto pericoloso, la copertura diagnostica e la stima delle cause comuni di guasto. Analizziamoli in dettaglio. 1. Livello della prestazione (PL). E la capacità, da parte di una funzione di sicurezza, di riuscire a ridurre il rischio previsto, (sotto determinate condizioni). E un parametro che viene espresso in probabilità media di un guasto pericoloso nell intervallo di un ora, ed è evidente che più è alta questa probabilità (ad esempio livello a ) e tanto è peggiore il livello di prestazione vedi tabella 2. Livello della prestazione (PL) Probabilità media di un guasto pericoloso per ora (PDF) a 10-5 <= PDF < 10-4 b 3 x 10-6 <= PDF < 10-5 c 10-6 <= PDF < 3 x 10-6 d 10-7 <= PDF < 10-6 e 10-8 <= PDF < 10-7 Tabella 2 Concetto di livello della prestazione 2. Tempo medio di un guasto pericoloso (MTTF). E un parametro che indica qual è l intervallo di tempo medio che si prevede possa trascorrere senza avere guasti pericolosi, da parte di un singolo componente (finecorsa, sensore, contattore, etc.). Viene misurato in anni - vedi tabella 3 - e dovrebbe essere indicato dal costruttore, o in alternativa si possono assumere i tempi standard che saranno indicati nell appendice C della nuova EN Denotazione del tempo medio di un guasto pericoloso Tempo medio di un guasto pericoloso (MTTF) basso 3 anni <= MTTF < 10 anni medio 10 anni <= MTTF < 30 anni alto 30 anni <= MTTF < 100 anni Tabella 3 Concetto di tempo medio di un guasto pericoloso 3. Copertura diagnostica (DC). E un parametro che identifica il rapporto tra la probabilità di rilevare un guasto pericoloso e la probabilità di rilevare il totale dei guasti pericolosi. Anche questo è un parametro, come il

5 precedente, che può essere riferito ad una singola parte o ad un singolo componente, Viene misurata in percentuale vedi tabella 4. Denotazione della copertura diagnostica Intervallo della copertura diagnostica (DC) nessuna DC < 60% bassa 60% <= DC < 90% media 60% <= DC < 99% alta 99% <= DC Tabella 4 Concetto di copertura diagnostica 4. Stima del guasto da cause comuni (CCF). In una tabella vengono indicate 6 misure contro questi tipi di guasti (vedi tabella 5). L osservanza di ognuno di questi provvedimenti determina un punteggio percentuale. Sommando i vari punteggi, si arriva ad un totale; se questo totale risulta maggiore del 65% si può dire che il sistema di sicurezza prescelto soddisfa i requisiti necessari ad eliminare i guasti da cause comuni. Numero Misure contro i guasti da cause comuni (CCF) Punteggio (%) 1 Separazione/Segregazione Separazione fisica tra percorsi di segnale? 15 es. sufficiente spazio e distanza fra le piste in un circuito stampato 2 Diversificazione Sono usate differenti tecnologie o differenti principi fisici? 20 es. primo canale programmabile e il secondo cablato 3 Progettazione/applicazione/esperienza 3.1 Protezione contro sovratensioni, sovrapressioni, sovracorrenti? I componenti sono utilizzati con successo per diversi anni in considerazione delle influenze ambientali? 4 Valutazione/analisi I risultati dell analisi sulle modalità di guasto sono tenute in considerazione in sede di progettazione per evitare i guasti da cause comuni? 5 Competenza/istruzione I progettisti e i manutentori sono stati istruiti per comprendere le cause e le conseguenze dei guasti da causa comune? 6 Ambiente 6.1 EMC Il sistema è stato testato nei riguardi della compatibilità elettromagnetica, in particolare per quanto riguarda l immunità nei confronti di eventuali disturbi di natura elettromagnetica? Altre influenze Sono stati considerati tutti i requisiti per l immunità nei 10 confronti di tutte le più rilevanti influenze ambientali come la temperatura, le vibrazioni, l umidità, gli urti, etc.? TOTALE Massimo punteggio 100% CONSIDERAZIONI SUL PUNTEGGIO TOTALE >= 65% INCONTRA I REQUISITI PUNTEGGIO RAGGIUNTO PUNTEGGIO TOTALE < 65% SCEGLIERE MISURE ADDIZIONALI Tabella 5 Valutazione del punteggio per le misure contro i guasti da cause comuni

6 Per la nuova edizione della norma, non sarà più sufficiente allora, assegnare la categoria di sicurezza in base al percorso di figura 1, ma occorrerà che la categoria scelta soddisfi e sia compatibile ai quattro nuovi parametri visti. Innanzitutto il CCF deve essere superiore al 65%, poi è necessario che gli altri tre parametri PL, MTTF e DC soddisfino i legami raffigurati in figura 2. Figura 2 Legame tra Categoria di sicurezza e parametri PL, MTTF e DC Ad esempio, scelto un circuito di sicurezza di categoria 2, ammesso che CCF > 65%, per avere un livello di prestazione c, posso avere quattro alternative; la prima con DC basso e MTTF alto, la seconda sempre con DC basso e MTTF medio, la terza con DC medio e MTTF medio, la quarta con DC medio e MTTF basso. Risulta evidente la maggior difficoltà nel raggiungere il risultato desiderato, rispetto alla attuale versione della norma. La difficoltà viene poi accentuata dal fatto che, quando si trattano circuiti di sicurezza formati da più componenti, occorre singolarmente valutare i parametri MTTF e DC, e ottenere poi i valori complessivi per l intero sistema attraverso algoritmi di calcolo. Sicuramente la maggior fatica viene ricompensata da una individuazione più precisa della categoria idonea.