Pubblicato il 21/09/2010 Aggiornato al: 25/08/2010 Le tecniche per la sicurezza delle macchine di Gianfranco Ceresini 1 Apertura positiva e negativa (di un contatto) L art. 4.5 della norma EN ISO 12100-2 definisce l applicazione del principio dell azione meccanica positiva di un componente su un altro componente, in questo modo: Se un componente meccanico mobile muove inevitabilmente anche un altro componente, mediante contatto diretto o attraverso elementi rigidi, questi componenti sono connessi in modo positivo. Un esempio in proposito è il funzionamento dei dispositivi di commutazione ad apertura positiva in un circuito elettrico. A questo proposito, la norma sugli equipaggiamenti elettrici delle macchine, la CEI EN 60204-1, all art. 3.13 definisce l azione di apertura diretta (di un elemento di contatto) come la separazione dei contatti per effetto diretto di un movimento specificato dall attuatore del dispositivo di manovra attraverso elementi non elastici (per esempio non dipendenti da molle). Figura 1 Contatto ad apertura positiva. La rottura della molla o l incollamento dei contatti non pregiudicano l apertura dell interruttore e il conseguente fermo della macchina (Pizzato) In particolare per un contatto ad apertura positiva, la norma EN 60947-5-1 (CEI 17-45) prescrive che la distanza del contatto deve resistere ad un impulso di tensione di 2,5 kv, quando il contatto viene aperto in modo forzato con forze superiori alla forza di contatto di 10 N (figura 2). 1
Figura 2-1 Meccanismo di apertura positivo: il riparo aperto determina l apertura dei contatti. Se la molla si guasta il finecorsa si blocca in una condizione di sicurezza (Omron) Figura 2-2 Meccanismo di apertura positivo: il riparo chiuso mantiene i contati chiusi. La chiusura è assicurata dalla pressione della molla del finecorsa (Omron) 2
Dove invece un componente meccanico si muova e quindi consenta a un altro di muoversi liberamente (per esempio mediante gravità o a molla) non vi è alcuna azione meccanica positiva del primo sul secondo. Figura 3 Contatto ad apertura negativa. La rottura della molla o l incollamento dei contatti pregiudicano l apertura dell interruttore e il conseguente fermo della macchina (Pizzato) Gli interruttori ad apertura positiva sono quindi interruttori che non hanno nessun collegamento elastico tra i contatti mobili e l azionatore sul quale viene applicata la forza di azionamento. Ad esempio un interruttore con asta a molla non può avere l apertura positiva dei contatti. Gli interruttori di sicurezza ad apertura positiva usano un asta di contatto direttamente collegata all attuatore tramite un collegamento meccanico rigido. L obiettivo è quello di interrompere meccanicamente il contatto, forzando l apertura anche nel caso in cui ci fosse un incollamento causato da una situazione di sovraccarico. Tutti gli interruttori con contatti NC ad apertura positiva riportano il simbolo di apertura positiva sul coperchio rappresentato da una freccia da sinistra verso destra contenuta in un cerchio (figura 4). 3
Figura 4 - Simbolo presente sugli interruttori ad apertura positiva (Omron) Per progettare in modo appropriato la protezione di una macchina si consiglia di fare in modo che il sistema di protezione lavori secondo il modo di azione positivo. In particolare, nelle applicazioni di sicurezza nelle quali viene impiegato un solo interruttore come parte sensoristica di una funzione di sicurezza, questo interruttore deve essere assolutamente azionato in modo positivo. Con questa modalità di apertura, pur non essendo possibile impedire in modo assoluto alcuni tipi di guasti pericolosi (quelli esterni al contatto, come l usura o il disallineamento delle rotelle), una manutenzione preventiva può consentire di limitarne la formazione. Figura 5 - Guasti pericolosi in modo positivo: rotella consumata o disallineata la macchina continua a funzionare (Pizzato) 4
La stessa cosa non è invece possibile per i contatti con apertura in modo negativo perché i guasti in modo negativo sono interni all interruttore (contatti incollati o molla guasta) e quindi difficili da rilevare. E da segnalare che i guasti pericolosi visti nel modo positivo, ovviamente possono essere presenti anche nel modo negativo, che quindi non è in grado di opporsi ad alcun tipo di guasto pericoloso. Figura 6 - Guasti pericolosi in modo negativo: con contatti incollati o molla guasta la macchina continua a funzionare (Pizzato) Il vantaggio del modo positivo sta quindi nel fatto che i guasti interni (contatti incollati o molla guasta) permettono comunque di aprire i contatti (figura 7) e di fermare di conseguenza la macchina, mentre il modo negativo non lo permette. Figura 7 In modo positivo, con guasti sulla molla o sui contatti la macchina si ferma ugualmente (Pizzato) 5
Con la trasmissione positiva, le parti meccaniche mobili del dispositivo di interblocco (interruttore di sicurezza) vengono mosse fisicamente dalle parti meccaniche del riparo fisico (per es. porta) per mezzo del contatto diretto o di parti rigide (figura 8). Figura 8 Esempio di strutture con apertura positiva, a sinistra, e negativa, a destra (BGI - Sick) I contatti Normalmente Aperti (NA) si basano su un meccanismo a molla per l apertura del circuito. In caso di saldatura non esiste garanzia che tali contatti si separeranno. A causa di questa limitazione questi contatti vengono generalmente usati per il controllo e non sono parte del circuito di sicurezza. I dispositivi di arresto di emergenza, sia che si tratti del classico pulsante a fungo o nelle varianti di interruttore a corda o a pedale, devono essere del tipo ad apertura positiva: lo stabilisce l art. 10.7.2 della norma CEI EN 60204-1, norma che impone la tecnica ad apertura positiva anche ai sensori di posizione utilizzati in funzioni di sicurezza (art. 10.1.4). La figura 8-b mostra un esempio di funzionamento in modo positivo con disconnessione forzata dei contatti. I contatti sono considerati normalmente chiuso (NC) quando l'attuatore è inserito nell'interruttore (vale a dire a riparo chiuso). Questo chiude un circuito elettrico che permette alla macchina di funzionare. Questa modalità permette l'individuazione di un eventuale cavo interrotto che determinerà una azione di arresto della macchina. Gli interruttori con contatti ad apertura positiva sono in genere realizzati con i contatti a doppia interruzione. Quando il riparo viene aperto, 6
la linguetta (attuatore) è rimossa dalla testa dell interruttore e questo causa una rotazione di una camma interna. La camma spinge il pistone che forza la chiave ad aprire entrambi i contatti, rompendo i contatti potenzialmente saldati. Molti interruttori di sicurezza hanno anche una serie di contatti normalmente aperti (NA) i quali vengono generalmente chiusi dalla forza della molla di ritorno. In caso di rottura della molla, però, il funzionamento dei contatti NA non può essere considerato particolarmente affidabile. Pertanto, essi vengono in genere utilizzati per funzioni di segnalazione (es. per indicare che il riparo è aperto). Figura 8-b Interruttore a doppi contatti con azione ad apertura positiva (Allen-Bradley) 7
Finora abbiamo parlato del modo positivo, ipotizzando l utilizzo di interruttori e guasti di natura meccanica, ma lo stessa filosofia si può applicare agli interruttori e guasti di natura elettrica. Nei casi in cui l azionatore del contatto non sia una rotella o una camme, ma bensì una bobina di comando (es. relé, contattori, elettrovalvole, etc.), il modo positivo significa che un segnale viene emesso permanentemente ed un rilevamento ne provoca l interruzione (basti pensare all interruzione di una barriera fotoelettrica). In questa modalità di funzionamento qualsiasi guasto interno, come una fonte luminosa difettosa, un conduttore rotto o tagliato, l assenza di alimentazione, etc, provoca l arresto della macchina. In modo negativo invece, un segnale viene generato soltanto al rilevamento ed un guasto interno può avere come conseguenza la mancata apertura del contatto di sicurezza, causando una situazione potenzialmente pericolosa (es. un conduttore rotto in un tappetino elettromeccanico): in assenza del segnale, non è possibile distinguere tra un guasto nel sensore o la non presenza nel campo di rilevamento. Figura 8-c Funzionamento dell apertura positiva (Omron) 8
2 Diversificazione e ridondanza (contatti in modo combinato) Come detto, se l interruttore utilizzato per una funzione di sicurezza è uno solo, è assolutamente necessario che esso sia ad apertura positiva, mentre se si utilizzano due (o più) interruttori è bene che essi operino in modalità differenti. La differenza può consistere nella modalità di azionamento dei contatti (uno ad apertura positiva ed uno ad apertura negativa), nella tecnologia utilizzata (es. un interruttore meccanico ed uno magnetico), nel diverso principio di azionamento (es. un interruttore a chiave ed uno a leva) oppure nella presenza contemporanea di due diversità (es. un interruttore a cerniera ad azione positiva ed uno di prossimità ad azione non positiva). Questa differenza tra gli interruttori viene definita diversificazione (o diversità) ed è un ottima tecnica per evitare, o almeno per limitare, i guasti che provengono da una causa comune (ossia uno stesso guasto sui due contatti). Questa tecnica infatti permette di evitare che fattori esterni provochino il guasto di entrambi i canali contemporaneamente (es. vibrazione, corrosione, interferenza di radiofrequenza). Figura 9 Esempio di diversificazione. Un sensore di prossimità induttivo ad azione positiva accoppiato ad un interruttore elettromeccanico ad azione positiva (Omron) 9
In ogni caso con la presenza di due interruttori, almeno uno deve essere ad azione positiva. Il modo negativo è ammesso solamente nel caso in cui venga combinato con un rilevatore funzionante in modalità positiva. La diversificazione, che può essere definita anche come funzionamento in modo combinato di due contatti, è una tecnica che permette quindi di aumentare il livello di sicurezza, poiché la probabilità che avvengano contemporaneamente due tipi di guasti diversi sui due interruttori di sicurezza, è estremamente bassa. La sicurezza ottenuta è decisamente superiore rispetto a quella garantito dal solo modo positivo. Figura 10 Esempio di diversificazione. Due interruttori della medesima tecnologia agiscono in modo combinato: uno ad azione positiva e l altro ad azione negativa (Schneider) Il concetto di diversificazione si lega a stretto filo con quello di ridondanza intesa come l impiego di due (o più) dispositivi allo scopo di garantire che, in caso di guasto di uno dei due, l altro possa intervenire per espletare la funzione di sicurezza richiesta. La ridondanza (ossia il raddoppio dei contatti) mantiene la propria efficacia solo però se il primo guasto viene rilevato (e corretto), perché in caso contrario il verificarsi di un secondo guasto può compromettere la sicurezza. In un sistema ridondante quindi, il primo guasto non porta alla perdita della funzione di sicurezza, ossia resiste al primo guasto. Per evitare il default del sistema di sicurezza, è necessario che il primo guasto venga rilevato prima che si verifichi il secondo, in modo da evitare che un sistema a due canali diventi ad un solo canale senza che nessuno se ne renda conto. La rilevazione del guasto deve essere ovviamente abbinata ad una risposta adeguata del sistema: nel caso più semplice ad esempio, la macchina viene arrestata per portarla in uno stato sicuro. 10
Un guasto critico di un singolo interruttore di sicurezza può essere causato da una manomissione, da un guasto meccanico dell unità di attivazione o dell innesto (es. invecchiamento, schiacciamento), da uno scollegamento, dal guasto di un componente o dall effetto di condizioni ambientali estreme (es. contaminazione con grumi di farina di un interruttore a rotella). In particolare, a livelli di sicurezza elevati, è necessario utilizzare un interruttore supplementare oltre all interruttore di sicurezza, per es. con la funzione opposta, e monitorare entrambi nel sistema di comando. La ridondanza può essere sui circuiti di ingresso o sui circuiti di uscita (figure 11 e 12). A livello di definizioni tecniche possiamo dire che la ridondanza è la duplicazione della stessa tecnica, mentre la diversificazione è l uso di due diverse tecniche. La diversificazione quindi include automaticamente l idea di ridondanza, mentre non è vero il contrario. Figura 11 Esempio di ridondanza in ingresso con due interruttori (Omron) Figura 12 Esempio di ridondanza in uscita con due relé (Omron) La ridondanza è essenziale per progettare sistemi di comando di sicurezza di Categoria 3 o 4 secondo la norma EN 13849-1. 11
Negli interruttori a doppi contatti, i secondi contatti (NC o NA che siano, mentre i primi contatti sono sempre NC) possono essere usati come un canale secondario per un sistema di sicurezza. Lo stato dei due contatti può essere monitorato da un relé o PLC di sicurezza. Il vantaggio di utilizzare entrambi i contatti normalmente chiusi è la riduzione nel cablaggio quando devono essere monitorati più cancelli. La figura 12-b mostra come ripari multipli possono essere collegati con interruttori dotati di un doppio contatto NC. Questo può essere pratico per un piccolo numero di ripari, ma diventa più impegnativo quando ci sono troppi ripari che sono collegati in serie. Figura 12-b Collegamento di interblocchi multipli con contatti NC + NC (Allen-Bradley) Qualora la valutazione dei rischi richieda l'uso di contatti diversi, i contatti NC sono collegati in serie, mentre i contatti NO sono collegati in parallelo. La figura 12-c mostra uno schema di base di questo approccio quando interblocchi multipli sono monitorati da un modulo di sicurezza. Un guasto critico di un singolo interruttore di sicurezza può essere causato da manomissione, guasto meccanico dell unità di attivazione o dell innesto (per esempio: invecchiamento) o dall effetto di condizioni ambientali estreme (esempio: contaminazione con grumi di farina dell interruttore a rotella). 12
Figura 12-c Collegamento di interblocchi multipli con contatti NC + NO (Allen-Bradley) Per ottenere livelli di sicurezza elevati, è pertanto necessario utilizzare un interruttore supplementare oltre all interruttore di sicurezza, per es. con la funzione opposta e monitorare entrambi nel sistema di comando. Ad esempio per una macchina di stampaggio a iniezione con porte che proteggono da un pericolo serio e che vengono azionate ciclicamente può essere deciso l uso di interruttori meccanici di diversa natura. Figura 12-d Esempio di rilevamento di guasti meccanici mediante una diversa disposizione ridondante (Sick) 13
Occorre segnalare, per quanto riguarda l affidabilità dei sistemi di comando per la sicurezza delle macchine, che ridondanza e diversificazione permettono di ridurre la probabilità di guasto PFHD e di conseguenza aumentare il livello di prestazione (PL o SIL che sia). La probabilità che venga a mancare la funzione di sicurezza per guasto di due esemplari del medesimo componente, infatti, è più bassa rispetto alla probabilità che si guasti il singolo esemplare. È così possibile raggiungere un dato SIL utilizzando componenti ridondati compatibili con SIL più bassi. Ciò non sarebbe valido per i cosiddetti guasti di modo comune, cioè guasti simultanei ad unità identiche causati dallo stesso motivo e nello stesso modo. Un modo per ridurre questa eventualità è l attuazione della diversificazione in luogo della ridondanza, cioè l impiego di mezzi diversi per eseguire una data funzione (ad esempio l impiego di sensori con tecnologia diversa per una stessa funzione). Così facendo ciò che impedisce di funzionare a una certa tecnologia, presumibilmente non lo farà su una tecnologia diversa, elevando così il grado di affidabilità del sistema. Figura 12-e Esempio di diversificazione sulla rimozione di una porta: l utilizzo in combinazione di sensori diversi o differenti soluzioni di rilevamento riduce l insorgere di più guasti dovuti ad un unica causa (Omron) 14
3 Contatti ad azione forzata (collegati meccanicamente) I contatti ad azione forzata sono contatti collegati meccanicamente (figura 13) in modo da garantire che i contatti in apertura NC ed i contatti in chiusura NA non si chiudano mai contemporaneamente in presenza ad esempio di una saldatura (figura 14). Figura 13 Esempio di due contatti NC/NA ad azione forzata. La guida meccanica (guida forzata) provoca come conseguenza l impossibilità di chiudere contemporaneamente i contatti ad apertura ed i contatti a chiusura nemmeno in caso di guasto (Schneider) In caso di contatto in chiusura (NA) saldato, i contatti in apertura (NC) non possono chiudersi in fase di diseccitazione del relé. Al contrario in caso di contatto in apertura (NC) saldato, i contatti in chiusura (NA) non possono chiudersi in fase di eccitazione del relé. Figura 14 Contatti legati meccanicamente in caso di guasto: se si verifica un incollamento sul contatto A, il contatto B rimane aperto (Honeywell) 15
Se i contatti principali e quelli ausiliari di un contattore sono tra di loro connessi meccanicamente, attraverso la posizione degli ausiliari nel circuito di comando è possibile conoscere con esattezza la posizione dei contatti principali nel circuito di potenza: è così dato modo di sapere ad esempio se il contattore è rimasto chiuso (a causa di un incollamento dei contatti) nonostante la sua bobina sia stata diseccitata. In caso di saldatura di un contatto del polo di potenza infatti, il collegamento meccanico impedisce al contatto ausiliario in apertura di chiudersi al diseccitarsi della bobina (figura 15). Figura 15 Un contatto ausiliario legato meccanicamente ai poli di potenza è un contatto ausiliario in apertura NC che non può mai essere chiuso contemporaneamente ai poli di potenza (Schneider) Alcune normative in materia di sicurezza richiedono (ad esempio quella per i controllori di presse motorizzate nella lavorazione dei metalli) la presenza di contattori con contatti a guida forzata. La guida forzata si ottiene quando i contatti sono collegati fra loro meccanicamente in modo tale che il contatto NC e il contatto NA non possono essere mai chiusi contemporaneamente. A tal fine occorre assicurare che le distanze fra i contatti siano di almeno 0,5 mm (CEI EN 50205) anche in condizioni di guasto (es. in caso di saldatura di un contatto) per l'intera durata di vita dell'apparecchio (figura 14). Figura 16 Confronto tra il comportamento di un relé con contatti convenzionali ed un relé di sicurezza con contatti connessi meccanicamente (Honeywell) 16
Figura 16-b Funzionamento dei contatti a guida forzata. Essendo meccanicamente uniti, i due contatti non possono mai (anche in caso di guasto) essere chiusi contemporaneamente (Omron) Figura 16-c Classi di relé a guida forzata (Omron) 17
4 Tecniche di autocontrollo (e ridondanza più autocontrollo) La tecnica dell autocontrollo consiste nel verificare automaticamente la funzionalità di tutti i componenti di sicurezza (ingressi, uscite e logica) che intervengono nel circuito di comando di sicurezza della macchina. I dispositivi che cambiano condizione a ciascun ciclo vengono controllati per rilevare qualsiasi guasto o malfunzionamento. Se un guasto viene rilevato durante l autocontrollo, la macchina si ferma, impedendo così il ciclo successivo, se invece non c è guasto il ciclo successivo viene autorizzato e la macchina continua a funzionare. L autocontrollo ciclico viene usato per garantire un circuito almeno di categoria 2 secondo la norma EN 13849-1. L associazione delle due tecniche di ridondanza e autocontrollo consente il rilevamento dei guasti tramite l autocontrollo e fornisce l assicurazione del mantenimento della sicurezza dopo un primo guasto mediante la ridondanza. Se in uno dei canali di un sistema di sicurezza a canale doppio è presente un guasto, questo viene rilevato tramite l autocontrollo prima che si verifichi un secondo guasto che potrebbe portare alla perdita della funzione di sicurezza. Figura 17 Ridondanza + autocontrollo (Schneider) 18
5 Inaggirabilità e indeformabilità (interruttori con bloccaggio sagomato) La sicurezza di un interruttore di interblocco dipende dalla sua capacità di resistere a tentativi di aggirare, ovvero di neutralizzare, il meccanismo di apertura e chiusura dei contatti. Un interruttore di interblocco deve essere progettato in modo che non possa essere ingannato da semplici strumenti o materiali che possono essere prontamente disponibili (come cacciaviti, monete, viti, aghi, nastro, cavi piegati e simili). Questo si ottiene facendo si che l'attuatore abbia una forma speciale, sagomata. In questo caso un contatto di sicurezza ad apertura positiva (es. di un finecorsa) dispone di un attuatore con bloccaggio sagomato il cui meccanismo di blocco al corpo del finecorsa è costituito da parti non elastiche e irregolari, incastrate una nell altra. Così facendo, la forza eccessiva che può venire applicata in caso di saldatura di un contatto, non può comunque far si che l attuatore venga deformato o spostato: anche in caso di guasto viene quindi applicata la giusta forza per attivare il meccanismo di apertura dei contatti. Con questa tecnica non è possibile utilizzare un attuatore con asta a molla per l interruttore di sicurezza. Figura 18 Tipi di bloccaggio sagomato (Omron) Quando è richiesta la manutenzione sulla macchina, gli interblocchi devono poter essere bypassati: se così viene fatto, devono però essere forniti altri metodi di salvaguardia della protezione. In alcuni casi il personale addetto può essere tentato di aggirare l interblocco in vari modi. Le informazioni riguardanti l'utilizzo della macchina, raccolti nella fase di valutazione del rischio, dovranno aiutare a decidere se questo è più o meno probabile che possa accadere. Più è alta questa probabilità e più difficile dovrebbe essere aggirare l'interblocco. Gli interruttori sono disponibili con vari livelli di sicurezza che vanno dalla resistenza alla manomissione, alla impossibilità di aggiramento. 19
Se è richiesto un elevato grado di sicurezza dall aggiramento dell interblocco, a volte è più pratico raggiungere questo obiettivo attraverso il modo in cui è montato l interruttore. Per esempio, se l'interruttore è montato come in figura 19 con una rotaia coperta, non è possibile accedere all interruttore con la porta di protezione aperta. Figura 19 Interruttore e attuatore nascosti su un riparo mobile (Allen-Bradley) L attuatore deve rimanere ragionevolmente ben allineato con il foro di entrata nel corpo dell interruttore. Nel corso del tempo, le cerniere di fissaggio si possono usurare e i ripari si possono piegare o torcere. Questo influenza negativamente l'allineamento dell'attuatore alla testa. La soluzione migliore per prevenire questo tipo di problemi è quella di utilizzare interruttori con corpo in metallo con attuatori flessibili. 20
6 Contatti MBB e BBM I contatti possono funzionare funziona sia ad azione lenta che ad azione rapida. Nell azione lenta esistono due tipi di funzionamento: Interruttori con contatti del tipo Break-before-make (BBM) che sono caratterizzati dalla apertura dei contatti NC prima della chiusura dei contatti NO ed interruttori del tipo make-before-break (MBB) nei quali i contatti NC si aprono dopo che si sono chiusi i contatti NO. Gli interruttori make-before-break (MBB) sono quelli in cui sono momentaneamente ad ON sia i contatti NC che i contatti NO dell interruttore. Infatti make before break significa chiudi prima dell interruzione, ossia ad esempio chiudi un contatto NA prima che si apra un contatto NC (figura 19). I contatti MBB vengono utilizzati nei circuiti di sicurezza perché consentono la chiusura di entrambi i contatti di segnalazione e di sicurezza per un breve intervallo di tempo: importante quando è necessaria la segnalazione della sicurezza. Figura 19 I contatti di sicurezza ad apertura guidata 11-12 e 21-22 sono chiusi. Quando la chiave dell azionatore (attuatore) viene rimossa dall interruttore, i contatti della segnalazione ausiliaria 33-34 commutano ad ON per un breve periodo prima che si aprano i due contatti di sicurezza (Omron) A causa di usura, danni o altri cambiamenti al sistema dei ripari avvenuti nel corso del tempo, potrebbe essere applicata una pressione al riparo tale da costringerlo ad una leggera apertura: se il riparo si muove attorno al punto in cui avviene il cambio di stato dei contatti, il sistema di sicurezza e di controllo della macchina potrebbe ricevere dei messaggi conflittuali, come mostrato in figura 20. Una soluzione potrebbe essere l utilizzo di contatti ad azione rapida. 21
Figura 20 - Contatti MBB e BBM Possibilità di messaggi contrastanti (Allen-Bradley) Fonti Schneider Electric Pilz Festo Omron Rockwell Automation Siemens Allen-Bradley Reer Leuze Sick Pizzato 22