BOLOGNA, 02-03 OTTOBRE 2007

BOLOGNA, 02-03 OTTOBRE 2007

VINCOLI DI PROGETTAZIONE PER LA PARTE DI COMANDO E CONTROLLO ESPRESSI NELLA ATTUALE DIRETTIVA MACCHINE 1998/37/CE E NELLA NUOVA 2006/42/CE

1.2.1. Sicurezza e affidabilità dei sistemi di comando: I sistemi di comando devono essere progettati e costruiti in modo da evitare l insorgere di situazioni pericolose [ ] in particolare un'avaria nell'hardware o nel software del sistema di comando non crei situazioni pericolose. 1.2.3. AVVIAMENTO: L avviamento di una macchina deve essere possibile soltanto con una azione volontaria su un dispositivo di comando previsto a tal fine. Lo stesso dicasi per la rimessa in marcia dopo un arresto, indipendentemente dall origine e per l'effettuazione di una modifica rilevante delle condizioni di funzionamento

1.2.7. AVARIA DEL CIRCUITO DI COMANDO: Un anomalia della logica del circuito di comando, un avaria o un deterioramento del circuito di comando non devono creare situazioni pericolose. In particolare occorre evitare: - l avviamento intempestivo; - l impedimento dell arresto della macchina se l ordine è già stato dato; - la caduta o l espulsione di un elemento mobile della macchina o di un pezzo della macchina; - l impedimento dell arresto automatico o manuale degli elementi mobili di qualsiasi tipo; - l inefficacia dei dispositivi di protezione.

VINCOLI DI PROGETTAZIONE PER LE MACCHINE IN USO NON MARCATE CE: LA LEGGE SULLA SICUREZZA DEI LUOGHI DI LAVORO (D.LGS 626/94) STABILISCE PARI REQUISITI ATTRAVERSO L EMENDAMENTO DEL 2005 (LEGGE 62/2005) AL PUNTO 2 (PIENO RECEPIMENTO DELLA DIRETTIVA 89/655/CEE)

LEGGE 62/2005 Punto2: 2-bis.2 1.2.3. Avviamento: L avviamento di una macchina deve essere possibile soltanto con una azione volontaria su un dispositivo di comando previsto a tal fine 2-bis.3 1.2.4. Dispositivo di arresto: L'ordine di arresto dell'attrezzatura di lavoro deve essere prioritario rispetto agli ordini di messa in moto. Ottenuto l'arresto dell'attrezzatura di lavoro, o dei suoi elementi pericolosi, l'alimentazione degli azionatori deve essere interrotta

LEGGE 62/2005 Punto2: 2-bis.4 1.4. Caratteristiche richieste per le protezioni ed i dispositivi di protezione: Se gli elementi mobili di un'attrezzatura di lavoro presentano rischi di contatto meccanico che possono causare incidenti, essi devono essere dotati di protezioni o di sistemi protettivi che: devono essere di costruzione robusta non devono provocare rischi supplementari; non devono essere facilmente elusi o resi inefficaci devono essere situati ad una sufficiente distanza dalla zona pericolosa;

CONCLUSIONE LE NORME E LE LEGGI NON FANNO DIFFERENZA SULLA SICUREZZA DELLE MACCHINE CE O NON CE

Principali Norme di riferimento per la DIRETTIVA MACCHINE 1. Norme di tipo B elettriche per le macchine; 2. EN 60204-1 ed. 2006; 3. EN 418; 4. EN 954-1; 5. EN 999; 6. EN 1088; 7. EN 1037; 8. EN 574 Comando a 2 mani.

Punto di svolta: La nuova edizione della Norma EN 60204 prevede la possibilità di utilizzare componenti elettronicoprogrammabili per effettuare arresti di emergenza di categoria 0 e 1 Entra in gioco l affidabilità dei sistemi di comando e controllo Quali norme?

EN 954-1 viene sostituita dalle nuove EN 13849-1 e EN 62061 DIRETTIVA MACCHINE 2006/42/CE EN 954-1 IEC EN 60204-1:2006 EN 13849-1:2006 IEC EN 62061-1:2005 IEC EN 61508-1,2,3

La EN 954-1 suddivide l implementazione di sistemi di controllo per la sicurezza in 5 categorie: CATEGORIA B: un guasto può portare alla perdita della funzione di sicurezza; CATEGORIA 1: un guasto può portare alla perdita della funzione di sicurezza ma con probabilità inferiore a B; CATEGORIA 2: un guasto può portare alla perdita della funzione di sicurezza tra un controllo e l altro; CATEGORIA 3: un guasto non porta alla perdita della funzione di sicurezza; alcuni, ma non tutti i guasti sono rilevati. Un accumulo di guasti non rilevati può portare alla perdita della funzione di sicurezza; CATEGORIA 4: un guasto non porta alla perdita della funzione di sicurezza; i guasti sono rilevati in tempo per evitare la perdita della funzione di sicurezza. PROBLEMA: non vengono effettuate valutazioni sulla affidabilità dei componenti del sistema di comando e controllo per la sicurezza

Assunto fondamentale: strutture di controllo complesse e ridondanti non sempre offrono prestazioni superiori. Utilizzare componenti affidabili e ragionare sull utilità della ridondanza Essere consci della permanenza di un rischio residuo, che deve essere abbassato a valori accettabili in base all applicazione Le CATEGORIE della EN 954-1 sono sostituite nelle EN 13849-1 e IEC EN 62061 da altri indicatori che definiscono una certa ARCHITETTURA + un RISCHIO RESIDUO

Risk Assesment combinato con una analisi affidabilistica dei componenti di sicurezza. Vengono valutati: Gravitàdanno (1<Se<4) Frequenza e durata esposizione (2<Fr<5) Probabilità evento pericoloso (1<Pr<5) Probabilità evitare-limitare danno (1<Av<5) CL = Fr + Pr + Av

La EN 13894-1 prevede la seguente valutazione del PL del sistema di controllo per la sicurezza: Gravità Se Classe CL 3<<4 5<<7 8<<10 11<<13 14<<15 4 PL d PL d PL d PL e PL e 3 PL c PL d PL e 2 PL c PL d 1 PL c Il Performance Level (PL) è l espressione del rischio residuo ammissibile (inaffidabilità) di un sistema di controllo: PL b c d e Rischio residuo λ (numero guasti/ora) 3x10-6=< λ <10-5 10-6=< λ <3x10-6 10-7=< λ <10-6 10-8=< λ <10-7

La IEC EN 62061-1 prevede invece la seguente valutazione del PL del sistema di controllo per la sicurezza: Gravità Se Classe CL 3<<4 5<<7 8<<10 11<<13 14<<15 4 SIL 2 SIL 2 SIL 2 SIL 3 SIL 3 3 SIL 1 SIL 2 SIL 3 2 SIL 1 SIL 2 1 SIL 1 Il Safety Integrity Level (SIL) è l espressione del rischio residuo ammissibile (inaffidabilità) di un sistema di controllo: SIL 1 2 3 Rischio residuo λ (numero guasti/ora) 10-6=< λ <10-5 10-7=< λ <10-6 10-8=< λ <10-7

Esiste una corrispondenza tra i SIL della IEC EN 62061 e i PL della EN 13849-1: Quale norma scegliere?

Tabella applicativa Norme EN 13849-1 e IEC EN 62061 Sostanzialmente EN 13849-1 e IEC EN 62061 sono equivalenti, tuttavia: IEC EN 62061 può essere utilizzata per valutare l affidabilità di componenti di controllo elettronico-programmabili. EN 13849-1 è necessaria nel calcolo dell affidabilità di componenti di controllo elettromeccanici, meccanici e idraulici (pneumatici).

Definire SIL (o PL) richiesto per il sistema di comando e controllo tramite il Risk Assesment Suddividere il sistema di comando e controllo in sottosistemi (rilevamento rischio, logica comando, attuazione) Verifica SIL calcolato >= SIL richiesto Valutare per ogni sottosistema: SIL CL Componente elettronico/programmabile? Componente meccanico/idraulico? SIL CL Calcolarne l affidabilità nota la durata (B10, EN 60947-5-1)

Sistema di comando e controllo per la sicurezza -> SIL requested Sottosistema1 Sottosistema2 Sottosistema3 SIL CL1 SIL CL2 SIL CL3 Elemento Sottosistema1 Elemento Sottosistema3 DATI AFFIDABILISTICI

Come calcolare il SIL raggiunto dal sistema di controllo noti i SIL CL dei suoi sottosistemi??? Sono necessarie 2 verifiche: 1. Verifica dei vincoli di architettura; 2. Verifica dei vincoli di integrità della sicurezza Hw

1. Verifica dei vincoli di architettura: Ex: Il SIL massimo raggiungibile dal sistema di controllo è limitato dal SIL CL più basso raggiunto dai sottosistemi che lo compongono. SIL CL 3 SIL CL 3 SIL CL 2 SIL 2

1. Verifica dei vincoli di integrità della sicurezza dell Hw: Ex: Il SIL massimo raggiungibile dal sistema di controllo è limitato dal SIL corrispondente alla somma dei tassi di guasto (λ D ) dei singoli sottosistemi. λ D1 = 6E-07 λ D2 = 1E-07 λ D3 = 4E-07 λ Dtot = λ D1 + λ D2 + λ D3 + λ Dtrasmissione λ Dtot = 1.1E-06

Entrando nella tabella SIL con un valore λ Dtot = 1.1E-06 si ottiene un vincolo di SIL 1 per il dispositivo di sicurezza, mentre la verifica dei vincoli di architettura porterebbe a considerare un SIL 2. Vincoli di architettura SIL 2 Vincoli integrità Hw SIL 1

La Norma EN 13849-1 è dunque di ausilio alla IEC EN 62061 in quanto fornisce una procedura di calcolo del tasso di guasto di componenti meccanici (o elettromeccanici, idraulici, pneumatici): d op h op t cycle [Giorni lavorativi / anno] [Ore lavorative / giorno] [tempo ciclo operazione] B 10 = cicli durata componente B 10d = B 10 / (% guasti pericolosi)

Come affrontare la ridondanza di componenti di sicurezza? Esempio: 2 contattori che sganciano lo stesso motore; 2 finecorsa che monitorano la stessa porta; 2 elettrovalvole che azionano lo stesso cilindro in un comando a 2 mani di una pressa; etc NB: formula per calcolare il tasso di guasto di un sistema composto da più componenti che operano in parallelo

Esempio: sottosistema composto da 2 contattori d op h op t cycle 250[gg/anno] 10[ore/gg] 500[s] 2 x 10 6 CICLI SIL CL 1

Esempio: sottosistema composto da 2 finecorsa d op h op t cycle 360[gg/anno] 10[ore/gg] 18000[s] SIL CL 2

Esempio: sottosistema composto da 2 elettrovalvole d op h op t cycle 250[gg/anno] 10[ore/gg] 1800[s] 1 x 10 7 CICLI SIL CL 2

Sia nella EN 13849-1 che nella IEC EN 62061 si deve tenere conto della copertura diagnostica (DC) del sistema, ovvero della percentuale di guasti pericolosi che possono essere rilevati dal sistema elettronico di controllo. E possibile utilizzare la seguente formula: dove MTTF d = 1/λ d DC avg SIL raggiungibile <=90% SIL2 >90% SIL3

In caso di ridondanza nell utilizzo di componenti è necessario stimare il fattore guasti per cause comuni (β). Le norme EN 13849-1 e IEC EN 62061 utilizzano approcci diversi in merito: la soluzione migliore è la tabella di stima dei CCF (Common Cause Failure) presente nell Allegato F della EN 13849-1 che assegna un punteggio alle misure prese a prevenire i CCF

SIL CL 1 SIL CL 2 SIL CL 1 Calcolo SIL ottenibile dal circuito: minsil{sil CL 1,SIL CL 2,SIL CL 1}=SIL1

MAX PL OTTENIBILE DAL CIRCUITO: PL = c SIL 1

FUNZIONE SICUREZZA: all apertura della protezione il motore della macchina deve essere disabilitato. Risk Assesment: Gravità Se Classe CL 3<<4 5<<7 8<<10 11<<13 14<<15 4 SIL 2 SIL 2 SIL 2 SIL 3 SIL 3 3 SIL 1 SIL 2 SIL 3 2 SIL 1 SIL 2 1 SIL 1 Il sistema di controllo dovrà raggiungere un livello di sicurezza pari almeno a SIL3.

Assegnazione dei blocchi funzionali ai sottosistemi Blocco funzionale 1 Sorveglianza porta Blocco funzionale 2 Logica controllo Blocco funzionale 3 Disinserzione motore Sottosistema 1 Finecorsa Sottosistema 2 Modulo sicurezza Sottosistema 3 Contattore

Dati necessari (macchina): d op h op t cycle [Giorni lavorativi / anno] [Ore lavorative / giorno] [tempo ciclo operazione] Dati necessari (componente): n op B10 λ componente D β DC [Numero cicli / anno] Durata componente Tasso guasto componente % guasti pericolosi componente Fattore guasti cause comuni Copertura diagnostica

λ D = D x 0.1 x n op /B10 D λ D = D x 0.1 xn op x λ comp Partendo dal l D del componente si calcola il l D del sottosistema seguendo le formule relative alle varie architetture della IEC EN 62061: Oppure seguendo le linee guida definite precedentemente: valutazione SIL CL corrispondente a λ D ; valutazione SIL CL corrispondente a DC; valutazione rispetto dei CCF (β)

Calcolo SIL CL e PFH D per il sottosistema1: Architettura D PFH D = λ D x [1h] = 2 E-09 SIL CL 3 Calcolo SIL CL e PFH D per il sottosistema2, componente di commercio (da catalogo): PFH D = λ D x [1h] = 1 E-09 SIL CL 3

Calcolo SIL CL e PFH D per il sottosistema3: Architettura D PFH D = λ D x [1h] = 8 E-09 SIL CL 3 Verifica che SIL della SRFC sia <= del SIL CL più basso dei sottosistemi: SIL 3 <= min{sil CL 3,SIL CL 3,SIL CL 3} OK

Verifica che PFH D della SRFC sia <= della ΣPFH D dei sottosistemi: ΣPFHD = 2 E-09 + 8 E-09 + 1 E-09 = 1.1 E-08 <= 1 E-07 OK IL SISTEMA DI CONTROLLO RISPETTA TUTTI I VINCOLI ASSEGNATI

SCOPO: progettazione di un sistema di sicurezza per la macchina e valutazione della sua affidabilità. 1. Valutazione dei rischi e determinazione di un SIL 2. Valutazione del ciclo di utilizzo della macchina 3. Scelta della soluzione adeguata 4. Valutazione del SIL raggiunto dal dispositivo di sicurezza progettato.

1.Valutazione rischi e determinazione di un SIL

1.Valutazione rischi e determinazione di un SIL

1.Valutazione rischi e determinazione di un SIL Gravità Se Classe CL 3<<4 5<<7 8<<10 11<<13 14<<15 4 SIL 2 SIL 2 SIL 2 SIL 3 SIL 3 3 SIL 1 SIL 2 SIL 3 2 SIL 1 SIL 2 1 SIL 1 Il dispositivo di sicurezza della macchina in esame dovrà dunque garantire un SIL pari a SIL 2.

2. Valutazione del ciclo di utilizzo della macchina d op h op t cycle n op [giorni lavorativi / 1 anno] [ore lavorative / 1 giorno] [tempo ciclo operazione] [numero operazioni / 1 anno]

3. Scelta della soluzione adeguata 2.A. Barriera ottica posizionata frontalmente: garantisce il blocco della macchina in caso di intrusione e il riavvio automatico in caso di disimpegno della zona protetta 2.B. Carter mobile: garantisce, una volta abbassato, protezione totale della macchina. Se provvisto di movimentazione automatica introduce il rischio di schiacciamento

4.A. Valutazione del SIL raggiunto dal dispositivo di sicurezza progettato Barriera ottica di Tipo 2

Tipo 4 -> SIL CL 2 SIL CL 2 3 funzioni di sicurezza da implementare: devono tutte quante rispettare il vincolo SIL 2 λ contattore λ freno λ elettrovalvola Contattore Freno meccanico Elettrovalvola salita/discesa

E necessario calcolare i tassi di guasto di tutti i sottosistemi elettromeccanici (partendo dal B10): Contattore λ km = 0.1xn op / B10 Freno meccanico λ freno = 0.1xn op / B10 Elettrovalvola salita/discesa λ ev = 0.1xn op / B10 Una volta noti i tassi di guasto dei sottosistemi, si calcola il SIL CL corrispondente e applicando i vincoli di architettura e di integrità dell Hw si valuta il SIL della funzione di sicurezza considerata.

4.B. Valutazione del SIL raggiunto dal dispositivo di sicurezza progettato Carter mobile azionato da un pistone pneumatico Presenza del seguente circuito di sicurezza: Comando discesa carter

Comando discesa carter: λ comando2mani λ μ SIL CL 2 λ elettrovalvola SIL CL SIL CL SIL CL Un unica funzione di sicurezza da implementare: deve rispettare il vincolo SIL 2

E necessario calcolare i tassi di guasto di tutti i sottosistemi elettromeccanici (partendo dal B10): Finecorsa λ μ = 0.1xn op / B10 Comando due mani λ freno = 0.1xn op / B10 Elettrovalvola salita/discesa λ ev = 0.1xn op / B10 Una volta noti i tassi di guasto dei sottosistemi, si calcola il SIL CL corrispondente e applicando i vincoli di architettura e di integrità dell Hw si valuta il SIL della funzione di sicurezza considerata.

I due pulsanti di avvio discesa del carter rappresentano in realtà il seguente sistema pneumatico articolato: In questo caso il costruttore indica la durata meccanica (B10) del componente:

Concludendo Le Norme EN 13849-1 e IEC EN 62061 sono uno strumento valido per valutare l affidabilità dei sistemi di sicurezza delle macchine; E necessario interpretare e combinare entrambe le norme; la IEC EN 62061 permette di valutare ad alto livello il SIL del sistema di sicurezza noti i SIL CL dei componenti; la EN 13849-1 è necessaria in presenza di componenti elettro-meccanici (pneumatici, idraulici, ) dove è necessario tradurre la durata meccanica in un indice di performance (PL o SIL) che attesta i guasti residui del dispositivo; Seguendo le linee guida della presentazione è immediato tradurre le valutazioni affidabilistiche sui componenti in un indice di sicurezza dei dispositivi di comando e controllo del macchinario.