ROMA, 14 MAGGIO Ing. Gino Zampieri e Ing. Stefano Piccagli

Transcript

1 ROMA, 14 MAGGIO 2008 Ing. Gino Zampieri e Ing. Stefano Piccagli

2

3 AC&E AC&E S.r.l è una consolidata realtà composta da 10 ingegneri e tecnici che opera sia a livello nazionale che internazionale; la società è molto nota nel settore nel settore della sicurezza, nella analisi di processi industriali e nella valutazione di grandi impianti. Da anni collabora con multinazionali, enti, ecc I suoi fondatori collaborano con importanti università e sono membri del Comitato Tecnico internazionale per lo studio e la realizzazione delle Norme Europee delle macchine del settore marmo(tc 151 WG 11). Attualmente la gestione del WG 11 è tenuta dall ing. Zampieri che ha assunto la carica di convenor dal CEN. ace@aceconsulting.it

4 I SISTEMI DI COMANDO E CONTROLLO NELLA DIRETTIVA MACCHINE VINCOLI DI PROGETTAZIONE PER LA PARTE DI COMANDO E CONTROLLO ESPRESSI NELLA ATTUALE DIRETTIVA MACCHINE 98/37/CE E NELLA NUOVA 06/42/CE

5 L AFFIDABILITA E UN REQUISITO DI LEGGE

6 DIRETTIVA MACCHINE 98/37/CE DIRETTIVA MACCHINE 06/42/CE Sicurezza e affidabilità dei sistemi di comando I sistemi di comando devono essere progettati e costruiti in modo da essere tanto sicuri ed affidabili da evitare qualsiasi situazione pericolosa. Essi devono in particolare essere progettati e costruiti in modo: - che resistano alle sollecitazioni normali di servizio e agli agenti esterni, -che non si producano situazioni pericolose in caso di errori di logica nelle manovre Sicurezza e affidabilità dei sistemi di comando I sistemi di comando devono essere progettati e costruiti in modo da evitare l'insorgere di situazioni pericolose. In ogni caso essi devono essere progettati e costruiti in modo tale che: - resistano alle previste sollecitazioni di servizio e agli influssi esterni, - un'avaria nell'hardware o nel software del sistema di comando non crei situazioni pericolose, - errori della logica del sistema di comando non creino situazioni pericolose, - errori umani prevedibili non creino situazioni pericolose.

7 I SISTEMI DI COMANDO E CONTROLLO NELLA DIRETTIVA MACCHINE Allegato I Direttiva Macchine 98/37/CE: Avviamento: L avviamento di una macchina deve essere possibile soltanto con una azione volontaria su un dispositivo di comando previsto a tal fine. Lo stesso dicasi per la rimessa in marcia dopo un arresto, indipendentemente dall origine e per l'effettuazione di una modifica rilevante delle condizioni di funzionamento.

8 I SISTEMI DI COMANDO E CONTROLLO NELLA DIRETTIVA MACCHINE Allegato I Direttiva Macchine 98/37/CE: Avaria del circuito di comando: Un anomalia della logica del circuito di comando, un avaria o un deterioramento del circuito di comando non devono creare situazioni pericolose. In particolare occorre evitare: l avviamento intempestivo l impedimento dell arresto della macchina se l ordine è già stato dato la caduta o l espulsione di un elemento mobile della macchina o di un pezzo della macchina l impedimento dell arresto automatico o manuale degli elementi mobili di qualsiasi tipo l inefficacia dei dispositivi di protezione.

9 ADEGUAMENTI NORMATIVI DELLE MACCHINE IN USO NON MARCATE CE Vincoli di progettazione per le macchine in uso non marcate CE: LA LEGGE SULLA SICUREZZA DEI LUOGHI DI LAVORO (D.LGS 626/94) STABILISCE PARI REQUISITI ATTRAVERSO L EMENDAMENTO DEL 2005 (LEGGE 62/2005) AL PUNTO 2 (pieno recepimento della Direttiva 89/655/CEE)

10 ADEGUAMENTI NORMATIVI DELLE MACCHINE IN USO NON MARCATE CE LEGGE 62/2005 Punto2: 2-bis Avviamento: L avviamento di una macchina deve essere possibile soltanto con una azione volontaria su un dispositivo di comando previsto a tal fine. 2-bis Dispositivo di arresto: L'ordine di arresto dell'attrezzatura di lavoro deve essere prioritario rispetto agli ordini di messa in moto. Ottenuto l'arresto dell'attrezzatura di lavoro, o dei suoi elementi pericolosi, l'alimentazione degli azionatori deve essere interrotta.

11 ADEGUAMENTI NORMATIVI DELLE MACCHINE IN USO NON MARCATE CE QUINDI LE NORME E LE LEGGI NON FANNO DIFFERENZA SULLA SICUREZZA DEI SISTEMI DI CONTROLLO DELLE MACCHINE CE O NON CE

12 NORME SUI SISTEMI DI COMANDO E CONTROLLO PER LA SICUREZZA norma entrata in vigore ritiro impiegabile fino a EN Parti dei sistemi di comando legate alla sicurezza Principi generali di progettazione CEI EN Sicurezza funzionale dei sistemi di comando elettrici, elettronici ed elettronico programmabili correlati alla sicurezza UNI EN ISO Parti dei sistemi di comando legate alla sicurezza Principi generali di progettazione EN ed 1998 Equipaggiamento elettrico delle macchine Requisiti generali EN ed 2006 Equipaggiamento elettrico delle macchine Requisiti generali

13 LA NORMA EN 954-1:1998 La funzionalità di un sistema di controllo per la sicurezza può essere garantita dall utilizzo combinato di componenti meccanici, elettromeccanici ed elettronico/programmabili La Norma EN ed.1998 mette in relazione la complessità del circuito di sicurezza con la valutazione del pericolo che tale sistema deve limitare. Punto di partenza: valutazione dei rischi (Risk Assessment)

14 LA NORMA EN 954-1:1998 La EN suddivide l implementazione di sistemi di controllo per la sicurezza in 5 categorie: Categoria B: un guasto può portare alla perdita della funzione di sicurezza; Categoria 1: un guasto può portare alla perdita della funzione di sicurezza ma con probabilità inferiore a B (utilizzo di componenti weel-tried); Categoria 2: un guasto può portare alla perdita della funzione di sicurezza tra un controllo e l altro; Categoria 3: un guasto non porta alla perdita della funzione di sicurezza; alcuni, ma non tutti i guasti sono rilevati. Un accumulo di guasti non rilevati può portare alla perdita della funzione di sicurezza; Categoria 4: un guasto non porta alla perdita della funzione di sicurezza; i guasti sono rilevati in tempo per evitare la perdita della funzione di sicurezza.

15 LA NORMA EN ed.1998: OSSERVAZIONI Manca la definizione di un indice che misuri la frequenza degli intervalli di Test Diagnostici Manca una procedura di valutazione quantitativa dell affidabilità dei componenti del sistemi di controllo per la sicurezza Non sempre l utilizzo di architetture ridondanti consente di ottenere un sistema più sicuro Impianto della Norma inadatto a far fronte l utilizzo di nuove tecnologie di controllo elettroniche (il cui impiego è ora consentito dal punto della CEI EN :2006 e dal punto 4.11 della ISO :2005).

16 LA NORMA CEN EN ed.2006 CEN EN ed.1998: Arresto di emergenza [ ] Quando viene usato un arresto di Categoria 0 per funzione di arresto di emergenza, esso deve avere solo componenti elettromeccanici cablati. Inoltre, il suo funzionamento non deve dipendere dall elettronica (componenti o software) oppure dalla trasmissione di comandi mediante una rete o linea di comunicazione. CEN EN ed.2006: Arresto di emergenza E consentito l utilizzo di dispositivi elettronici per effettuare un arresto di emergenza di Categoria 0. Le funzioni di sicurezza dei dispositivi elettronici utilizzati devono essere certificate secondo la IEC 61508: Sicurezza funzionale dei sistemi elettrici, elettronici ed elettronici programmabili (E/E/EP) per applicazioni di sicurezza.

17 LA NORMA UNI EN ISO :2005 ISO :2005 Sicurezza del macchinario Concetti fondamentali, principi generali di progettazione Parte2: Principi tecnici. PUNTO 4.11: Applicazione di misure di protezione integrate nella progettazione al sistema di comando; vengono presi in considerazione, tra gli altri, i seguenti aspetti dei sistemi di comando per la sicurezza: riavviamento in seguito a interruzione dell energia utilizzo della sorveglianza automatica funzioni di sicurezza implementate dai sistemi di comando elettronico-programmabili selezione delle modalità di comando e funzionamento utilizzo di componenti affidabili duplicazione (o ridondanza) di componenti o sottosistemi.

18 DICHIARAZIONE DI CONFORMITA ALLE NORME: IMPLICAZIONI Attenzione a rilasciare dichiarazioni di conformità che attestano la corrispondenza a norme che in realtà non richiamano più la EN Ad esempio dichiarare la conformità alle seguenti Norme implica il rispetto di altre Norme richiamate negli Allegati: Dichiarazione di conformità CEI EN :2006 UNI EN ISO :2005: Sicurezza del macchinario Concetti fondamentali, principi generali di progettazione Parte2: Principi tecnici Norme NON RICHIAMATE EN 954-1:1998 EN 954-1:1998 Norme RICHIAMATE ISO 13849:1999 CEI EN 62061:2002 (tabella F.1) ISO :1999 (punto 4.11)

19 DICHIARAZIONE DI CONFORMITA ALLE NORME: IMPLICAZIONI Ad esempio Implicano il rispetto della EN o della EN 62061,non della EN 954-1!

20 SCHEMA DI COMPARAZIONE TRA EN 954-1, EN ISO E CEI EN Per cominciare: S1 F1 P1 EN CAT 1 CAT 1/2 EN PL a PL b IEC SIL 1 SIL 1 TASSO DI GUASTO RESIDUO λ (PFHD) Nessuna esigenza speciale di sicurezza 10-5 S2 P2 CAT 2/3 PL c SIL 1 3*10-6 F2 P1 CAT 3 PL d SIL P2 CAT 4 PL e SIL

21 IL NUOVO APPROCCIO DELLE NORME EN ISO E CEI EN Il Performance Level (PL) è l espressione del rischio residuo ammissibile (inaffidabilità) di un sistema di controllo. La EN ISO prevede la seguente valutazione del PL del sistema di controllo per la sicurezza: PL a b c d e Rischio residuo λ (numero guasti/ora) 10-5=< λ <10-4 3x10-6=< λ < =< λ <3x =< λ < =< λ <10-7

22 IL NUOVO APPROCCIO DELLE NORME EN ISO E CEI EN Il Safety Integrity Level (SIL) è l espressione del rischio residuo ammissibile (inaffidabilità) di un sistema di controllo. La CEI EN prevede invece la seguente valutazione del PL del sistema di controllo per la sicurezza: SIL Rischio residuo λ (numero guasti/ora) 10-6=< λ < =< λ < =< λ <10-7

23 RISK ASSESSMENT NELLA NORMA CEI EN Risk Assessment combinato con una analisi affidabilistica dei componenti di sicurezza. Vengono valutati: Gravitàdanno (1<Se<4) Frequenza e durata esposizione (2<Fr<5) Probabilità evento pericoloso (1<Pr<5) Probabilità evitare-limitare danno (1<Av<5) CL = Fr + Pr + Av

24 RISK ASSESSMENT NELLA NORMA CEI EN 62061

25 RISK ASSESSMENT NELLA NORMA CEI EN CEI EN Gravità Se <<4 SIL 2 5<<7 SIL 2 Classe CL 8<<10 SIL 2 SIL 1 11<<13 SIL 3 SIL 2 SIL 1 14<<15 SIL 3 SIL 3 SIL 2 SIL 1 La Norma CEI EN prevede 4 Architetture con cui progettare i sottosistemi di sicurezza; per ogni architettura sono fornite formule per calcolare il tasso di guasto di ogni sottosistema e quindi verificare il SIL raggiungibile:

26 RISK ASSESSMENT NELLA NORMA EN Risk Assessment combinato con una analisi affidabilistica dei componenti di sicurezza condotta tramite ISO Metodi numerici di valutazione dei rischi riconducibili al Risk Assessment della EN EN ISO Gravità Se <<4 PL d 5<<7 PL d Classe CL 8<<10 11<<13 PL d PL e PL c PL d PL c 14<<15 PL e PL e PL d PL c

27 RISK ASSESSMENT NELLA NORMA EN PL da soddisfare Progettazione sistema

28 LA NORMA CEI EN 62061:2005 LA NORMA CEI EN 62061:2005 SPIEGHIAMOLA CON UN ESEMPIO

29 LA NORMA CEI EN 62061:2005 Si vuole calcolare il SIL raggiunto da una certa funzione di sicurezza, ad esempio il sistema di monitoraggio di una porta di sicurezza, e valutare se tale valore è conforme al SIL richiesto dalla valutazione dei rischi: Il circuito di sicurezza è composto da tre sottosistemi, uno per ogni tipologia di componenti utilizzati: sensori (finecorsa meccanici) -> sottosistema1; logica di controllo (modulo di sicurezza) -> sottosistema2; attuatori (contattori di sgancio motore) -> sottosistema3.

30 LA NORMA CEI EN 62061:2005 Sistema di comando e controllo per la sicurezza -> SIL requested Sottosistema1 Sottosistema2 Sottosistema3 SIL CL1 SIL CL2 SIL CL3 Elemento Sottosistema1 Elemento Sottosistema3 DATI AFFIDABILISTICI

31 LA NORMA CEI EN 62061:2005 Dati necessari (macchina): d op h op t cycle [Giorni lavorativi / anno] [Ore lavorative / giorno] [tempo ciclo operazione] Dati necessari (componente): n op B10 D β DC [Numero cicli / anno] Durata componente % guasti pericolosi componente Fattore guasti cause comuni Copertura diagnostica

32 LA NORMA CEI EN 62061:2005 λ D = D x 0.1 x n op /B10 D Partendo dal λ D del componente si calcola il λ D del sottosistema seguendo le formule relative alle varie architetture della CEI EN 62061: ARCHITETTURA A ARCHITETTURA C ARCHITETTURA B λ Dsottosistema ARCHITETTURA D

33 LA NORMA CEI EN 62061:2005 Noti i SIL CL dei suoi sottosistemi (SIL CL1, SIL CL2, SIL CL3 ), come calcolare il SIL raggiunto dal sistema di controllo??? Sono necessarie 2 verifiche: 1. Verifica dei vincoli di architettura 2. Verifica dei vincoli di integrità della sicurezza Hw.

34 1. Verifica dei vincoli di architettura: Il SIL massimo raggiungibile dal sistema di controllo è limitato dal SIL CL più basso raggiunto dai sottosistemi che lo compongono. esempio: LA NORMA CEI EN 62061:2005 SIL CL 2 SIL CL 2 SIL CL 1 SIL 1

35 1. Verifica dei vincoli di integrità della sicurezza dell Hw: Il SIL massimo raggiungibile dal sistema di controllo è limitato dal SIL corrispondente alla somma dei tassi di guasto (λ D ) dei singoli sottosistemi. esempio: LA NORMA CEI EN 62061:2005 λ D1 = 6E-07 SIL CL 2 λ D2 = 1E-07 SIL CL 2 λ Dtot = λ D1 + λ D2 + λ D3 λ D3 = 4E-07 SIL CL 2 λ Dtot = 1.1E-06

36 LA NORMA CEI EN 62061:2005 Entrando nella tabella SIL con un valore λ Dtot = 1.1E-06 si ottiene un vincolo di SIL 1 per il dispositivo di sicurezza, mentre la verifica dei vincoli di architettura porterebbe a considerare un SIL 2. Vincoli di architettura SIL 2 Vincoli integrità Hw SIL 1

37 LA NORMA CEI EN 62061:2005 ESEMPIO APPLICATIVO Esempio di calcolo SIL di un sistema complesso di monitoraggio delle funzioni di sicurezza di una rettificatrice. Le funzioni di sicurezza vengono implementate tramite periferia Fail Safe ET 200 S: profibus CPU 151-F F-DI F-DO

38 LA NORMA CEI EN 62061:2005 ESEMPIO APPLICATIVO Le funzioni di sicurezza che vengono generalmente implementate su una macchina da rettifica sono: arresto di emergenza delle motorizzazioni principali tramite inverter (categoria 1 CEI EN :2006) e delle motorizzazioni secondarie tramite contattori (eventualmente elettrovalvole); monitoraggio apertura porte di sicurezza; monitoraggio velocità ridotta degli assi in fase di attrezzaggio e controllo manuale (jog vedere EN e ANSI B11). Come valutare il SIL raggiunto da ogni funzione di sicurezza? E necessario calcolare il SIL CL di tutti i sottosistemi, partendo dal SIL CL raggiunto dal PLC Fail Safe.

39 LA NORMA CEI EN 62061:2005 ESEMPIO APPLICATIVO Calcolo SIL CL del sistema ET 200 S Fail Safe: PFH D = 1E-9 INGRESSI DIGITALI 4 F-DI 24V DC ET200S CPU 151-F USCITE DIGITALI 4 F-DO 24V DC PFHD + + PFH D = 1E-9 PFH D = 3.62E-10 PFH D = 1E-10 + PFH D = 2.462E-9 SIL CL 3

40 LA NORMA CEI EN 62061:2005 ESEMPIO APPLICATIVO Valutazione architettura dei sottosistemi: Selettori modali architettura C (Categoria 2) Finecorsa protezione architettura D (Categoria 4)

41 LA NORMA CEI EN 62061:2005 ESEMPIO APPLICATIVO Esempio: sottosistema composto da 2 contattori d op h op t cycle 250[gg/anno] 10[ore/gg] 500[s] 2 x 10 6 CICLI ARCHITETTURA D SIL CL 3

42 LA NORMA CEI EN 62061:2005 ESEMPIO APPLICATIVO Esempio: sottosistema composto da 2 finecorsa d op h op t cycle 250[gg/anno] 10[ore/gg] 18000[s] ARCHITETTURA D SIL CL 2

43 LA NORMA CEI EN 62061:2005 ESEMPIO APPLICATIVO Esempio: sottosistema composto da 2 elettrovalvole d op h op t cycle 250[gg/anno] 10[ore/gg] 1800[s] 1 x 10 5 CICLI ARCHITETTURA D SIL CL 2

44 LA NORMA CEI EN 62061:2005 ESEMPIO APPLICATIVO Come valutare il sistema di monitoraggio velocità ridotta e arresto di emergenza in Categoria 1 secondo la CEI EN implementato dal CNC Sinumerik 840D in congiunzione agli azionamenti Simodrive 611S: Tale sistema è certificato in Categoria 3 (EN 954-1) e SIL2 (IEC 61508):

45 LA NORMA CEI EN 62061:2005 ESEMPIO APPLICATIVO

46 LA NORMA EN ISO :2007 LA NORMA EN ISO :2007 SPIEGHIAMOLA CON UN ESEMPIO

47 LA NORMA EN ISO :2007 Si vuole calcolare il PL raggiunto da una certa funzione di sicurezza, ad esempio il sistema di arresto di emergenza tramite pulsante a fungo e valutare se tale valore è conforme al PL richiesto dalla valutazione dei rischi: La Norma EN ISO prevede il progetto dei sistemi di controllo secondo una delle categorie definite nella EN A tale progettazione deve essere aggiunta una fase di verifica del tasso di guasto complessivo della funzione di sicurezza (a cui corrisponde un certo Performance Level).

48 LE CATEGORIE DELLA EN 954-1:1998 Esempio di Categoria B/1:

49 LE CATEGORIE DELLA EN 954-1:1998 Esempio di Categoria 2:

50 LE CATEGORIE DELLA EN 954-1:1998 Esempio di Categoria 3: Un unico ingresso di test alimenta i due canali del sensore (pulsante di emergenza)

51 LE CATEGORIE DELLA EN 954-1:1998 Esempio di Categoria 4: Due ingressi separati di test alimentano i due canali del sensore (pulsante di emergenza)

52 LA NORMA EN ISO :2007 Una volta progettato il sistema di sicurezza è necessario calcolare il tasso di guasto di ogni suo componente: d op h op t cycle [Giorni lavorativi / anno] [Ore lavorative / giorno] [tempo ciclo operazione] B 10 = cicli durata componente B 10d = B 10 / (% guasti pericolosi) ATTENZIONE: nella EN ISO si utilizza l inverso di λ D, ovvero MTTF D

53 LA NORMA EN ISO :2007 Noto l MTTF D di ogni componente si individuano i canali in cui la funzione di sicurezza è realizzata: 1 canale (Categoria B,1,2) 2 canali (Categoria 3,4). Per ogni canale si sommano gli inversi degli MTTF D dei singoli componenti: successivamente in caso siano presenti più canali la formula per calcolare l MTTF D equivalente è:

54 LA NORMA EN ISO :2007 Anche nella EN ISO si deve tenere conto della copertura diagnostica (DC) del sistema, ovvero della percentuale di guasti pericolosi che possono essere rilevati dal sistema elettronico di controllo. E possibile utilizzare la seguente formula: dove MTTF d = 1/λ d

55 LA NORMA EN ISO :2007 In caso di ridondanza nell utilizzo di componenti è necessario stimare il fattore guasti per cause comuni (β). Le norme EN ISO e CEI EN utilizzano approcci diversi in merito: la soluzione migliore è la tabella di stima dei CCF (Common Cause Failure) presente nell Allegato F della EN ISO che assegna un punteggio alle misure prese a prevenire i CCF

56 LA NORMA EN ISO :2007 Valutazione Performance Level:

57 LA NORMA EN ISO :2007 Esempio di calcolo del Performance Level di un circuito di comando composto da un pulsante di emergenza, un modulo di sicurezza ed un contattore in Categoria 2:

58 LA NORMA EN ISO :2007 CATEGORIA 2 DC medium MTTF high PL d

59 LA NORMA EN ISO :2007 Esempio di calcolo del Performance Level di un circuito di comando composto da un pulsante di emergenza, un modulo di sicurezza e due contattori in Categoria 4:

60 LA NORMA EN ISO :2007 CATEGORIA 4 DC medium MTTF high PL e

61 LA NORMA EN ISO :2007 Esempio di calcolo del Performance Level di un circuito di comando composto da un finecorsa meccanico, un modulo di sicurezza e due contattori in Categoria 4:

62 LA NORMA EN ISO :2007 CATEGORIA 4 DC low MTTF high PL d

63 LA NORMA EN ISO :2007 Esempio di calcolo del Performance Level di un circuito di comando composto da una barriera ottica AOPD e due elettrovalvole in Categoria 3:

64 LA NORMA EN ISO :2007 CATEGORIA 3 DC low MTTF high PL c

65 Concludendo CONCLUSIONI Le Norme EN ISO e CEI EN sono uno strumento valido per valutare l affidabilità dei sistemi di sicurezza delle macchine; E necessario interpretare e combinare entrambe le norme; la CEI EN permette di valutare ad alto livello il SIL del sistema di sicurezza noti i SIL CL dei componenti; la EN ISO è necessaria in presenza di componenti elettro-meccanici (pneumatici, idraulici, ) dove è necessario tradurre la durata meccanica in un indice di performance (PL o SIL) che attesta i guasti residui del dispositivo; Seguendo le linee guida della presentazione è immediato tradurre le valutazioni affidabilistiche sui componenti in un indice di sicurezza dei dispositivi di comando e controllo del macchinario.