Introduzione alla Sicurezza

2007 2008 Introduzione alla Sicurezza

Introduzione alla Sicurezza 1- Progettare in sicurezza. La struttura normativa Europea. Qualsiasi prodotto o macchinario, per essere liberamente commercializzato all interno dei paesi della Comunità Europea, deve soddisfare le direttive 2006/95/ CE ( direttiva bassa tensione ) e 2006/42/CE ( direttiva macchine ) e successive modifiche ed integrazioni, che determinano i requisiti fondamentali affinché il dispositivo o il macchinario riesca a garantire un sufficiente livello di sicurezza per gli operatori. La conformità viene certificata mediante l emissione della Dichiarazione di Conformità da parte del costruttore e dall apposizione della marcatura CE sulla macchina stessa. Per la valutazione dei rischi che la macchina presenta e per la realizzazione dei sistemi di sicurezza atti a proteggere l operatore da detti rischi gli enti normatori europei CEN e CENELEC hanno emanato una serie di norme che traducono in indicazioni tecniche il contenuto delle Direttive. Le norme per la sicurezza si suddividono in tre gruppi: A, B e C. Norme di tipo A: Sono norme che trattano i concetti di base ed i principi di progettazione generale per la realizzazione di tutte le macchine. Norme di tipo B: Sono norme che trattano nello specifico uno o più aspetti relativi alla sicurezza e che a loro volta si suddividono in norme di tipo: Norme di tipo B1: Norme relative ad alcuni aspetti della sicurezza (ad esempio distanze di sicurezza, temperature, rumore ecc.) Norme di tipo B2: Norme relative a dispositivi di sicurezza (ad esempio controlli bimanuali, dispositivi di interblocco, ripari, ecc.) Norme di tipo C: Sono norme che trattano dettagliatamente le prescrizioni di sicurezza per particolari gruppi di macchine (es. presse idrauliche, macchine ad iniezione, ) Il costruttore di dispositivi o macchinari dovrà per prima cosa verificare se il prodotto ricade all interno di una norma di tipo C. In caso positivo sarà tale norma a dare le prescrizioni per la sicurezza, altrimenti faranno fede le norme di tipo B per ogni specifico aspetto o dispositivo del prodotto. In mancanza di ulteriori specifiche il costruttore seguirà i principi generali enunciati nelle norme di tipo A. NORE DI TIPO A EN 12100-1 e -2 (sostituisce EN 292-1 e EN 292-2). Concetti fondamentali, principi generali di progettazione. EN 61508-1..-7. Sicurezza funzionale dei sistemi elettrici, elettronici ed elettronici programmabili per applicazioni di sicurezza. EN 1050:1996 Principi per la valutazione del rischio. (Verrà probabilmente sostituita da ISO 14121) NORE DI TIPO B1 EN 62061:2005 Sicurezza funzionale dei sistemi di comando e controllo elettrici, elettronici ed elettronici programmabili correlati alla sicurezza EN 849-1:2006 e -2:2003.(sostituisce EN 954-1) Parte dei sistemi di comando legate alla sicurezza NORE DI TIPO B2 EN 574:1996 Dispositivi di comando a due mani EN 850:2006 (sostituisce EN 418:1992) Arresto di emergenza EN 1088:1995 Dispositivi di interblocco dei ripari EN 60204-1:2006 Equipaggiamento elettrico delle macchine EN 60947-5-1:2004 Dispositivi di controllo elettromeccanici NORE DI TIPO C EN 201:1997. acchine per gomma e materie plastiche - acchine a iniezione EN 415-1..-7:2000 Sicurezza delle macchine per imballare EN 692:2005 Presse meccaniche EN 693:2001 Presse idrauliche EN 848-1:2007 Sicurezza delle macchine per la lavorazione del legno - Fresatrici su un solo lato con utensile rotante - Parte 1: Fresatrici verticali monoalbero (toupie) 2- Breve introduzione alle nuove norme sulla sicurezza dei macchinari Dopo lunga evoluzione e dibattimento all interno dei vari enti internazionali sono state rilasciate ed entrate definitivamente in vigore alcune nuove normative (1) nel settore della sicurezza macchine, normative che andranno gradualmente a sostituire le attuali ed a ridefinire molti concetti di base a cui il mercato si era abituato. L approccio dato dalla nuove norme è di tipo probabilistico e la loro impostazione, in estrema sintesi, estende i concetti deterministici introdotti con la EN 954-1 mediante nuove variabili statistiche indicate da termini come PL, TTF d, SIL ed altre a cui un po alla volta dovremo fare abitudine. Ad oggi (2007) la strada tracciata dalle nuove normative presenta alcuni ostacoli in quanto esse partono da alcuni presupposti che nel settore elettromeccanico sono ben lontani dall essere realizzati. Ad esempio queste norme prevedono la disponibilità di dati statistici presso i costruttori senza però definire delle metodologie per il calcolo di tali valori e conseguentemente creando una situazione di incertezza tale per cui ogni costruttore gestisce a modo suo la situazione. Poiché questi dati statistici indicano con un valore quantitativo la qualità dei prodotti è evidente che in mancanza di una definizione chiara e comune si potranno avere interpretazioni più o meno elastiche da parte dei costruttori col rischio di una babele di numeri che nel settore della sicurezza macchine non è certo auspicabile. Inoltre le nuove norme non sono di semplice trattazione e una certa sovrapposizione tra la EN 849 e la EN 62061 complica ulteriormente la situazione. a la strada è tracciata e ci auguriamo tutti che negli anni a venire i nodi vengano risolti con l obiettivo comune di aumentare la sicurezza dei macchinari. (1) EN 954-1:1996 Sicurezza del macchinario Parte dei sistemi di comando legate alla sicurezza: Parte 1: principi generali per la progettazione Nel testo, quando non è precisato, questa norma verrà indicata come EN 954-1 EN 61508-1:2001. Sicurezza funzionale dei sistemi elettrici, elettronici ed elettronici programmabili per applicazioni di sicurezza. Parte 1: Requisiti generali EN 61508-2:2001. Sicurezza funzionale dei sistemi elettrici, elettronici ed elettronici programmabili per applicazioni di sicurezza. Parte 2: Requisiti per i sistemi elettrici, elettronici ed elettronici programmabili per applicazioni di sicurezza EN 61508-3:2001. Sicurezza funzionale dei sistemi elettrici, elettronici ed elettronici programmabili per applicazioni di sicurezza. Parte 3: Requisiti del software EN 61508-4:2001. Sicurezza funzionale dei sistemi elettrici, elettronici ed elettronici programmabili per applicazioni di sicurezza. Parte 4: Definizioni ed abbreviazioni EN 61508-5:2001. Sicurezza funzionale dei sistemi elettrici, elettronici ed elettronici programmabili per applicazioni di sicurezza. Parte 5: Esempi di metodi per la determinazione dei livelli di integrità di sicurezza EN 61508-6:2001. Sicurezza funzionale dei sistemi elettrici, elettronici ed elettronici programmabili per applicazioni di sicurezza. Parte 6: Guida all applicazione delle IEC 61508-2 e IEC 61508-3 EN 61508-7:2001. Sicurezza funzionale dei sistemi elettrici, elettronici ed elettronici programmabili per applicazioni di sicurezza. Parte 7: Panorama delle tecnologie e delle misure tecniche Nel testo, quando non è precisato, queste norme verranno indicate come EN 61508 EN 62061:2005. Sicurezza del macchinario Sicurezza funzionale dei sistemi di comando e controllo elettrici, elettronici ed elettronici programmabili correlati alla sicurezza Nel testo, quando non è precisato, questa norma verrà indicata come EN 62061 EN ISO 849-1:2006. Sicurezza del macchinario Parte dei sistemi di comando legate alla sicurezza: Parte 1: Principi generali per la progettazione. (Nota la ISO 849-1:1999 è identica alla EN 954-1:1996) EN ISO 849-2:2003. Sicurezza del macchinario Parte dei sistemi di comando legate alla sicurezza: Parte 2: Validazione Nel testo, quando non è precisato, queste norme verranno indicate come EN 849 pagina 6/21 Catalogo Generale 2007-2008

Introduzione alla Sicurezza 6 3- Attuale situazione normativa (2007) Sono attualmente in vigore quattro norme molto importanti ai fini della sicurezza macchine. EN 954-1:1996. E una norma di tipo B1, che ha introdotto i concetti delle Categorie di Sicurezza. Copre le applicazioni per la sicurezza macchine e prevede ma non tratta i dispositivi di sicurezza con componenti elettronici. EN 61508:2002. E una norma di tipo A, che ha introdotto i principi ed i metodi di calcolo per valutare e classificare il livello di sicurezza di macchinari o dispositivi contenenti componenti elettrici, elettronici o elettronici programmabili. Questa norma introduce tra gli altri il concetto di SIL (Safety Integrity Level). EN 62061:2005. E una norma di tipo B1 che deriva dalla EN 61508 e che ne riporta i concetti e le terminologie applicandole al settore della sicurezza macchine. Anche questa norma utilizza il concetto di SIL. EN 849:2006. Norma di tipo B1 che getta un ponte tra la EN 954-1 e la EN 62061 creando dei riferimenti ad entrambe e che introduce il concetto di PL (Performance Level). Questa norma in particolare copre i dispositivi elettromeccanici, idraulici, elettronici non complessi ed alcuni dispositivi elettronici programmabili con strutture predefinite. In questa norma viene indicata una correlazione tra SIL e PL, vengono usati concetti (come DC e CCF) mutuati dalla EN 61508 e viene stabilito un riferimento con le categorie di sicurezza della EN 954-1. In pratica questa norma cerca di fare in modo che il costruttore avvezzo ai concetti della EN 954-1 possa transitare in modo più dolce ai nuovi concetti statistici. La EN 954-1:1996 rimarrà in vigore fino a Novembre 2009 data in cui verrà sostituita dalla EN 849-1:2006. Quest ultima norma è già in vigore e quindi nella fase intermedia si potranno utilizzare entrambe. Ad oggi è quindi possibile classificare i vari macchinari secondo ambedue le norme. Nota importante. La EN 849 è una norma di tipo B1 e quindi se un macchinario è già normato da una norma di tipo C è quest ultima che fa testo. Tutte le norme di tipo C precedentemente sviluppate si basano sui concetti della EN 954-1. Per i costruttori dei macchinari coperti da una norma di tipo C i tempi di introduzione delle nuove normative potrebbero essere diversi a seconda della velocità dei vari comitati tecnici nell aggiornarle. Si potrebbe anche venire a creare la situazione tale per cui un macchinario potrà mantenere la vecchia classificazione come da EN 954-1 anche dopo che questa è decaduta. 4- Evoluzione normativa: i perché del cambiamento, le nuove norme e qualche sovrapposizione L attuale EN 954-1 ha avuto il grande merito di rendere evidente e di classificare in modo organico quello che un buon progettista già sapeva. Questa norma con l introduzione delle categorie di sicurezza, delle tabelle e dei metodi per l analisi dei rischi ha quindi molto contribuito ad evidenziare i diversi gradi di rischio dei macchinari, ha introdotto una metodologia di analisi comune tra prodotti di settori anche molto diversi, ha proposto delle soluzioni (ridondanza, autocontrollo) per i casi più pericolosi. D altro canto essa non tratta minimamente i dispositivi elettronici programmabili, non analizza i casi in cui più macchine vengono interconnesse ed anche se introduce il concetto di sorveglianza periodica (categoria 2) dà ben poche indicazioni su come questa debba realmente avvenire. La norma EN 61508 era stata prevista inizialmente per definire la sicurezza dei dispositivi elettronici, in particolare dei dispositivi elettronici programmabili complessi, coprendo così il buco lasciato dalla EN 954-1. Durante il suo sviluppo presso l IEC però questa norma ha allargato via via il suo campo applicativo fino a farla divenire una norma molto complessa (è divisa in 7 parti per un totale di oltre 800 pagine) ed adatta a campi applicativi anche molto diversi (industria di processo, macchine industriali, impianti nucleari) tale per cui ha assunto lo status di norma di tipo A. In teoria la EN 62061, derivata dalla EN 61508 per le macchine industriali, avrebbe quindi dovuto coprire solamente la parte dell elettronica complessa o comunque programmabile ma a causa dell approccio allargato della sua progenitrice ha finito per includere tutti i circuiti elettrici, elettronici ed elettronici programmabili. L approccio di queste due norme è fondamentalmente di tipo probabilistico e in esse vengono introdotte nuove variabili statistiche che richiedono un analisi (anche matematica) approfondita dei macchinari, analisi che può richiedere molto tempo e non di semplice applicazione. Nel contempo era in fase di sviluppo la revisione della EN 954-1, svolta dal CEN sotto l egida dell ISO, con il progetto di norma che poi è divenuta la EN 849. Dati i riferimenti tra le due norme le commissioni si sono evidentemente parlate ma si è comunque voluto creare una sovrapposizione degli ambiti applicativi tale per cui anche la versione finale della EN 849 copre i sistemi elettronici ed elettronici programmabili, anche se solamente per alcune strutture predefinite e per i livelli di sicurezza non massimi. L ambito di applicabilità viene chiaramente riportato nella EN 849-1 (vedi tabella 1) e come si può capire per ampie tipologie di prodotti entrambe le norme sono applicabili. Tabella 1 Applicazioni raccomandate della IEC 62061 e ISO 849-1 Tecnologia utilizzata dalla parte del sistema di comando legata alla sicurezza ISO 849-1 IEC 62061 A Non elettrica, ad esempio idraulica X Non trattata B C D E F Elettromeccanica, ad esempio relè e/o elettronica non complessa Elettronica complessa, ad esempio programmabile A combinata con B C combinata con B C combinata con A oppure C combinata con A e B Limitatamente alle architetture designate a e fino a PL=e Limitatamente alle architetture designate a e fino a PL=d Limitatamente alle architetture designate a e fino a PL=e Limitatamente alle architetture designate (vedi nota 1) e fino a PL=d X indica che la riga è trattata dalla norma internazionale indicata nell intestazione della colonna X b Tutte le architetture e fino a SIL 3 Tutte le architetture e fino a SIL 3 Nota. La presente tabella è la traduzione non ufficiale in italiano della tabella 1 presente nella versione in Inglese nella norma EN 849-1:2006 La scelta della norma da utilizzare starà al costruttore e al mercato anche se riteniamo che la EN 849, con il suo approccio mediato ed il riutilizzo dei concetti della EN 954-1 (integrati con alcuni di quelli introdotti con la EN 61508) sia una norma di più semplice comprensione per tutti i piccoli e medi costruttori di macchinari. Catalogo Generale 2007-2008 pagina 6/22 X c Tutte le architetture e fino a SIL 3 a. Le architetture designate sono definite al punto 6.2 (della EN 849-1) per fornire un approccio semplificato alla quantificazione del livello di prestazioni b. Per elettronica complessa: si usino le architetture designate in accordo con questa parte della ISO 849-1 e fino a PL=d o qualsiasi architettura in accordo con la IEC 62061 c. Per tecnologie non elettriche si usino le parti come sottosistemi in accordo con questa parte della ISO 849-1 X c

Introduzione alla Sicurezza 5.0 - Analisi e valutazione del rischio mediante EN 954-1 ed EN 1050 In queste due norme viene definito come analizzare (EN 1050) e conseguentemente valutare i rischi potenziali di un macchinario e viene fornita una metodologia per ridurre tali rischi mediante l adozione di circuiti di sicurezza adeguati (EN 954-1). Il procedimento è iterativo ovvero, una volta identificata una possibile soluzione per la riduzione del rischio, tale soluzione deve essere validata. In caso contrario l analisi del rischio va ripetuta. 5.1 - Procedura per la selezione e la progettazione delle misure di sicurezza Dalla norma EN 954-1 par. 4.3 riportiamo i 5 passi da seguire per una corretta selezione e progettazione delle misure di sicurezza. Passo 1 Analisi dei pericoli e calcolo del rischio sulla macchina. Passo 2 Disporre misure per la riduzione del rischio mediante mezzi di controllo. Passo 3 Specificare i requisiti di sicurezza in termini di: - selezione della categoria di sicurezza. - realizzazione delle funzioni di sicurezza; Passo 4 Progettazione e verifica delle parti rilevanti per la sicurezza di un sistema di controllo. Passo 5 Validazione delle funzioni e delle categorie raggiunte confrontandole con quanto precedentemente definito al punto 3. 5.2 - Valutazione del rischio e categorie di sicurezza Di seguito sono riportate alcune informazioni per la scelta della categoria di sicurezza adeguata alla macchina che si vuole rendere sicura. Categorie di sicurezza Tabella del rischio secondo normativa EN 954-1/allegato B S1 I B 1 2 3 4 Punto di partenza S2 F1 P1 P2 II III F2 P1 P2 IV V Legenda : Punto di partenza per la stima del rischio. S Gravità dell incidente: S1 = lesione reversibile (es. piccoli tagli, scottature, leggere abrasioni, ecc..) S2 = lesione irreversibile o morte (es. inabilità permanente, perdita di arti, danni respiratori, ecc..) F Presenza nella zona pericolosa: F1 = da rara ad abbastanza frequente (es. da settimanale o più, fino a una volta al giorno) F2 = da spesso a permanente (es. da più volte al giorno a continuo) P Possibilità di prevenire l incidente o di ridurre il suo effetto in modo significativo: P1 = possibile in certe condizioni (es. la possibilità da parte dell operatore di accorgersi dell imminente pericolo). P2 = quasi impossibile (es. l impossibilità da parte dell operatore di accorgersi dell imminente pericolo) I-V Livello di rischio stimato B, 1-4 Categorie di sicurezza dei sistemi di controllo Categoria preferenziale prevista per questo livello di rischio Scelta di una categoria superiore Scelta di una categoria inferiore Possono essere usate categorie diverse da quelle preferenziali (cerchio grande ), ma il comportamento previsto del sistema in caso di errore/i deve essere mantenuto. Inoltre devono essere indicati i motivi della deroga da parte del costruttore della macchina. Quando si scelgono le categorie indicate con un cerchio piccolo ( ) possono essere richieste delle misure addizionali come per esempio : - sovradimensionamento o l uso di tecniche che portano all esclusione di errori; - l uso di un monitoraggio dinamico. pagina 6/23 Catalogo Generale 2007-2008

Introduzione alla Sicurezza 6 5.3 - Tabella dei requisiti per categoria secondo la norma EN 954-1 par. 6.2 Categoria di sicurezza Elenco dei requisiti Comportamento del sistema Principi per la sicurezza B Le parti rilevanti per la sicurezza dei sistemi di controllo e/o le loro attrezzature di protezione, nonché le loro componenti devono essere progettate, costruite, selezionate e combinate in ottemperanza alle norme pertinenti in modo da poter resistere agli influssi previsti. Il verificarsi di un errore può portare alla perdita della funzione di sicurezza. Caratterizzato principalmente dalla selezione dei componenti 1 Si applicano i requisiti della categoria B. Devono essere usati dei componenti ben provati e dei principi di sicurezza ben provati. Il verificarsi di un errore può portare alla perdita della funzione di sicurezza però la probabilità del verificarsi di un errore è inferiore a quello della categoria B. 2 Si applicano i requisiti della categoria B e l uso di principi di sicurezza ben provati. La funzione di sicurezza deve essere controllata a adeguati intervalli di tempo dal sistema di controllo o almeno ad ogni accensione della macchina e prima di qualsiasi situazione pericolosa. Il verificarsi di un errore può portare alla perdita della funzione di sicurezza fra i controlli. La perdita della funzione di sicurezza viene rilevata dal controllo. 3 Si applicano i requisiti della categoria B e l uso di principi di sicurezza ben provati. Le parti rilevanti per la sicurezza devono essere progettate in modo che: - un singolo errore in una di queste parti non porti alla perdita della funzione di sicurezza. - laddove ragionevolmente fattibile il singolo errore venga rilevato. Quando si verifica un singolo errore la funzione di sicurezza viene sempre svolta. Non tutti gli errori vengono rilevati. L accumulo di errori non rilevati può portare alla perdita della funzione di sicurezza. Caratterizzato principalmente dalla struttura 4 Si applicano i requisiti della categoria B e l uso di principi di sicurezza ben provati. Le parti rilevanti per la sicurezza devono essere progettate in modo tale che: - un singolo errore in una di queste parti non porti alla perdita della funzione di sicurezza. - il singolo errore venga rilevato nel momento o prima della successiva richiesta della funzione di sicurezza. Se questo non è possibile allora l accumulo di errori non deve portare alla perdita della funzione di sicurezza. Quando si verificano gli errori la funzione di sicurezza viene svolta sempre. Gli errori vengono rilevati in tempo per evitare la perdita della funzione di sicurezza. Catalogo Generale 2007-2008 pagina 6/24

Introduzione alla Sicurezza 6.0 - Analisi e valutazione del rischio mediante EN 849 e ISO 14121 Anche nel caso della EN 849 ed ISO 14121 (che viene citata nella EN 849 ma che ad oggi non è ancora entrata in vigore) il procedimento per l analisi, la valutazione e la riduzione del rischio è iterativo e strutturalmente simile al caso della coppia di norme EN 954-1 ed EN 1050. Nella figura che segue è stato riportato il processo iterativo di valutazione come indicato nella EN 849-1. INIZIO Determinazione dei limiti della macchina (vedi 5.2 a ) Identificazione dei pericoli (vedi paragrafo 4 a e 5.3 a ) Stima del rischio (vedi 5.3 a ) Valutazione del rischio (vedi 5.3 a ) Il rischio è stato adeguatamente ridotto? No Si' Si' Analisi del rischio effettuata in accordo con la ISO 14121 Il processo iterativo di riduzione del rischio deve essere effettuato separatamente per ogni pericolo nella rispettiva condizione d uso (funzione) No FINE Sono stati generati nuovi pericoli? a Si riferisce alla ISO 12100-1:2003 b Si riferisce alla ISO 849-1:2006 c La ISO 849-2 fornisce ulteriore aiuto per la validazione Verifica dei sistemi di comando legati alla sicurezza in accordo con la ISO 849-1 Processo di riduzione del rischio per il pericolo identificato: 1) ediante struttura intrinseca 2) ediante protezioni 3)Attraverso le istruzioni per l uso (vedi ISO 12100-1:2003 figura 4) Identificazione delle funzioni di sicurezza che devono essere effettuate dal/dai SRP/CS Per ogni funzione di sicurezza specificare le caratteristiche richieste (vedi paragrafo 5 b ) Le misure protettive selezionate dipendono da un sistema di controllo? No Si' Per ogni funzione di sicurezza selezionata Determinazione del livello di prestazioni richiesto PL r (vedi 4.3 b e allegato A b ) Progettazione e realizzazione tecnica della funzione di sicurezza: Identificazione delle parti relative alla sicurezza che svolgono la funzione di sicurezza (vedi 4.4 b ) Valutazione del livello di prestazione PL (vedi 4.5 b ) tenendo conto di: - Categoria (vedi paragrafo 6 b ) - TTF d (vedi allegati C b e D b ) - DC (vedi allegato E b ) - CCF (vedi allegato F b ) - Se esistente: Software (vedi 4.6 b e allegato J b ) della parte relativa alla sicurezza in esame Verifica del PL della funzione di sicurezza: PL PL r? (vedi 4.7 b ) No Si' Validazione (vedi clausola 8 bc ). Tutti i requisiti sono stati soddisfatti? No Si' Si' Sono state analizzate tutte le funzioni di sicurezza? No Nota: Questa figura è stata ottenuta dalla combinazione delle Figure 1 e 3 della EN 849-1:2006. I testi riportati sono la traduzione non ufficiale dei testi in inglese. pagina 6/25 Catalogo Generale 2007-2008

6.1- Nuovi e vecchi concetti: Categorie di sicurezza, PL, TTF, DC Come per la EN 954-1 anche la EN 849 utilizza un grafico per l analisi del rischio di una funzione di una macchina (vedi figura) determinando però, anziché una categoria di sicurezza, un livello di prestazione richiesto o PL r (Required Performance Level) per la funzione di sicurezza che andrà a proteggere quella parte di macchina. Il costruttore dovrà realizzare un sistema per proteggere l operatore che abbia un livello di prestazione PL (calcolato) uguale o migliore di quello richiesto. Grafico del rischio per determinare il PL r richiesto per la funzione di sicurezza (tratto da EN 849-1, figura A.1) Chiavi di lettura Parametri di rischio 1 Punto di partenza per la valutazione del contributo alla riduzione del rischio dato dalle funzioni di sicurezza L Basso contributo alla riduzione del rischio H Alto contributo alla riduzione del rischio PL r Livello di prestazioni richiesto S S1 S2 F F1 F2 P P1 P2 Gravità del danno leggero (danno normalmente reversibile) serio (danno normalmente irreversibile o morte) Frequenza e/o esposizione al rischio da rara a poco frequente e/o con breve tempo di esposizione da frequente a continua e/o con lungo tempo di esposizione Possibilità di evitare il rischio o di limitare il danno possibile in certe condizioni scarsamente possibile I PL sono classificati in cinque livelli, da PL a a PL e al crescere del rischio ed ognuno di essi identifica un ambito numerico di probabilità media di guasto pericoloso per ora. Ad esempio PL d indica che la probabilità media di guasti pericolosi per ora è compresa tra 1 x 10-6 e 1 x 10-7 ovvero all incirca 1 guasto mediamente ogni 100-1000 anni. PL Probabilità media di guasti pericolosi per ora (1/h) a 10-5 e < 10-4 b 3 x 10-6 e <10-5 c 10-6 e < 3 x10-6 d 10-7 e < 10-6 e 10-8 e <10-7 PL= Non vi è correlazione diretta tra PL e le Categorie di Sicurezza della EN 954-1. La EN 849 riutilizza i concetti delle categoria di sicurezza come aggregazione della topologia del sistema (a canale singolo, ridondante, eccetera utilizzando il termine di architetture designate ) e della resistenza del sistema al guasto integrandoli con il calcolo di ulteriori nuovi parametri numerici ovvero: Catalogo Generale 2007-2008 pagina 6/26

TTF d (ean Time To Dangerous Failure, Tempo medio al guasto pericoloso) Questo parametro cerca di definire la bontà qualitativa del sistema definendone la vita media prima del guasto pericoloso (e non guasto generico) espressa in anni. In pratica il calcolo dell TTF d si basa sui valori numerici forniti dai costruttori dei singoli componenti che formano il sistema. Nel caso di mancanza di dati la norma fornisce dei valori in apposite tabelle di riferimento. Il conteggio porterà ad un valore numerico che rientrerà in tre categorie: Alto, edio o Basso. CCF (Common Cause Failures, cause di guasto comune) Solamente nel caso di sistemi di categoria 2, 3, o 4 per il calcolo dell TTF d è necessaria anche la valutazione di eventuali cause di guasto comune o CCF che possono inficiare la ridondanza dei sistemi. DC (Diagnostic Coverage, copertura diagnostica) Questo parametro cerca di indicare quanto il sistema sia in grado di autosorvegliare un eventuale proprio malfunzionamento. In base alla percentuale di guasti pericolosi rilevabili dal sistema, grazie alla propria struttura, si avrà una copertura diagnostica più o meno buona. Anche in questo caso il parametro DC è suddiviso in categorie, e per la precisione in: Alta, edia, Bassa e Nulla. La copertura diagnostica Nulla è ammessa solo per i sistemi di categoria B o 1. ediante questi tre parametri Categoria, TTF d e DC la norma fornisce una tabella (vedi figura o allegato K della EN 849-1) che permette di capire che livello di PL sia possibile ottenere. Relazioni tra le categorie, DC avg, TTF d di ogni canale e PL (tratto da EN 849-1, figura 5) DC avg nulla DC avg nulla DC avg bassa DC avg media DC avg bassa DC avg media DC avg alta PL Performance level 1 TTF d di ogni canale = basso 2 TTF d di ogni canale = medio 3 TTF d di ogni canale = alto Il costruttore di macchine che ne intenda verificare la sicurezza dovrà seguire l approccio iterativo previsto dalle norme. In particolare ad un prima fase di determinazione dei rischi (secondo EN 1050 o ISO 14121) seguirà, nel caso la misura di protezione sia fornita da un sistema di controllo, una successiva ed iterativa fase di verifica che il sistema prescelto sia in grado di fornire il livello di protezione richiesto. Questa seconda fase inizierà determinando il livello di prestazioni richiesto PL r per fornire il grado di protezione necessario in base ai rischi riscontrati. In questa fase si utilizzerà il grafico visto in precedenza. In seconda battuta si ipotizzerà un sistema di protezione del quale si dovrà identificare la categoria di sicurezza (in base alla architettura ed alla resistenza al guasto) e del quale si dovrà calcolare l TTF d e se del caso verificare DC e CCF. Con questi valori in mano si procederà al calcolo del PL proprio del sistema e se questo risulterà superiore o uguale al PL r il sistema verrà considerato adatto. A questo punto seguirà una fase di validazione del sistema (secondo EN 849-2) e se anche questo verifica risulterà positiva il rischio in questione potrà definirsi sufficientemente limitato. pagina 6/27 Catalogo Generale 2007-2008

7- Cosa cambia nell analisi del rischio: due variazioni importanti Nel passaggio dal vecchio al nuovo gruppo di norme le maggiori novità sono sicuramente dovute all approccio probabilistico ed all introduzione di tutti i nuovi parametri evidenziati nei paragrafi precedenti. E indubbio che per poter correttamente rispettare le nuove norme a tutti gli operatori del settore verrà richiesto un maggior livello di competenza e di formazione. Vi sono anche due differenze importanti introdotte dalle nuove norme per quanto riguarda l analisi e la valutazione del rischio rispetto a quanto fatto finora: 1) Un rischio di infortunio leggero (ferite non permanenti) non porta più necessariamente ad un basso livello di sicurezza (categoria B o 1) come in EN 954-1. Adesso un rischio di infortunio leggero ma frequente e di difficile evitabilità da parte dell operatore viene considerato pari ad un rischio di infortunio permanente anche se assai infrequente ed evitabile (livello PL r = c). Categorie di sicurezza B 1 2 3 4 S1 I Partenza S2 F1 P1 P2 II III Partenza F2 P1 P2 IV V secondo EN 954-1 secondo EN 849-1:2006 2) entre un sistema in una certa categoria secondo EN 954-1 doveva comunque avere una struttura specifica, nella nuova norma per ottenere livelli di prestazione intermedi sono possibili molte strade. Ad esempio per ottenere un sistema con PL pari a c sono possibili tutte le seguenti soluzioni: 1. Sistema in categoria 3 con componenti poco affidabili (TTF d =basso) e DC avg media. 2. Sistema in categoria 3 con componenti affidabili (TTF d =medio) e DC avg bassa. 3. Sistema in categoria 2 con componenti affidabili (TTF d =medio) e DC avg media. 4. Sistema in categoria 2 con componenti molto affidabili (TTF d =alto) e DC avg bassa. 5. Sistema in categoria 1 con componenti molto affidabili (TTF d =alto). Procedura semplificata per valutare PL ottenuta da SRP/CS (tratto da EN 849-1, figura 7) Categoria B 1 2 2 3 3 4 DC avg nulla nulla bassa media bassa media alta TTF d di ogni canale Basso a Non coperto a b b c Non coperto edio b Non coperto b c c d Non coperto Alto Non coperto c c d d d e Il costruttore di macchine dovrà valutare quindi quale combinazione sia la migliore per la propria macchina nel rapporto prestazioni/prezzo. Catalogo Generale 2007-2008 pagina 6/28

Introduzione alla Sicurezza 5 - Esempi di collegamento secondo la normativa EN 954-1 (requisiti minimi) Applicazioni con funghi di emergenza ed interruttori a fune per arresto di emergenza. Categoria di sicurezza Schema elettrico Struttura circuitale E-stop1 E-stop2 E-stop3 CC 01AAB00AB CC 01AAB00AB CC 01AAB00AB Stop E-stop1 B-1 E-stop2 E-stop3 E-stop1 E-stop2 E-stop3 FD 1878 FD 1878 FD 1878 E-stop1 E-stop2 E-stop3 CC 01AAB00AB CC 01AAB00AB CC 01AAB00AB Stop E-stop1 CS AR-40... E-stop2 E-stop3 CS AR-40... 2 E-stop1 E-stop2 E-stop3 FD 1878 FD 1878 FD 1878 CS AR-40... Nel caso si utilizzi un contattore esterno () per aumentare la portata dei contatti, questo contattore deve essere a guida forzata. pagina 6/29 Catalogo Generale 2007-2008

Introduzione alla Sicurezza 6 Applicazioni con funghi di emergenza ed interruttori a fune per arresto di emergenza. Categoria di sicurezza Schema elettrico Struttura circuitale Stop E-stop1 E-stop2 E-stop3 CC 01AAB00AC CC 01AAB00AC CC 01AAB00AC E-stop1 E-stop2 CS AR-20... E-stop3 23 CS AR-20... 24 E-stop1 E-stop2 E-stop3 3 FD 978 FD 978 FD 978 CS AR-20... Nel caso si utilizzi contattori esterni (-) per aumentare la portata dei contatti, questi contattori devono essere a guida forzata. E-stop1 CC 01AAB00AC E-stop1 CS AR-01... S35 S22 S21 S12 S11 S31 23 CS AR-01... E-stopn CC 01AAB00AC 24 CS AR-01... 4 E-stop E-stop1 S35 S22 S21 S12 S11 CS AR-01... S31 23 FD 978 CS AR-01... 24 E-stopn FD 978 CS AR-01... Nel caso si utilizzi contattori esterni (-) per aumentare la portata dei contatti, questi contattori devono essere a guida forzata. Attenzione: gli esempi sopra riportati sono puramente descrittivi e danno un indicazione di come realizzare dei circuiti di sicurezza secondo le categorie previste dalla norma EN 954-1. E responsabilità del costruttore verificare che tali circuiti siano applicabili alla specifica macchina in esame. Catalogo Generale 2007-2008 pagina 6/30

Introduzione alla Sicurezza 5 - Esempi di collegamento secondo la normativa EN 954-1 (requisiti minimi) Applicazioni con interruttori di sicurezza per controllo ripari mobili. Categoria di sicurezza Schema elettrico Struttura circuitale SS3 FX 693 Stop B-1 SS3 FX 693 FX 693 Stop SS3 FX 693 SS3 2 CS AR-40... FX 693 FX 693 CS AR40... Nel caso si utilizzi un contattore esterno () per aumentare la portata dei contatti, questo contattore deve essere a guida forzata. pagina 6/31 Catalogo Generale 2007-2008

Introduzione alla Sicurezza 6 Applicazioni con interruttori di sicurezza per controllo ripari mobili. Categoria di sicurezza Schema elettrico Struttura circuitale Stop SS3 FX 993 SS3 23 CS AR-20... 3 24 FX 993 FX 993 CS AR-20... Nel caso si utilizzi contattori esterni (-) per aumentare la portata dei contatti, questi contattori devono essere a guida forzata. Attenzione: L impiego di un solo interruttore per riparo richiede che nella fase di analisi del rischio si possa escludere la rottura meccanica del medesimo. FR 1896 S35 S22 S21 S12 S11 S31 23 CS AR01... FR 693 CS AR-01... 24 SS4 FR 1896 4 SSm SSn CS AR01... SS3 FR 693 S35 S22 S21 S12 S11 CS AR-01... S31 23 SSn FR 1896 24 CS AR01... SSm FR 693 Nel caso si utilizzi contattori esterni (-) per aumentare la portata dei contatti, questi contattori devono essere a guida forzata. Attenzione: gli esempi sopra riportati sono puramente descrittivi e danno un indicazione di come realizzare dei circuiti di sicurezza secondo le categorie previste dalla norma EN 954-1. E responsabilità del costruttore verificare che tali circuiti siano applicabili alla specifica macchina in esame. Catalogo Generale 2007-2008 pagina 6/32

Introduzione alla Sicurezza 6 - Apertura positiva, ridondanza, diversificazione e autocontrollo odo positivo e modo negativo. Secondo la normativa EN 292-2 punto 3.5, se un componente meccanico in movimento trascina inevitabilmente un altro componente, per contatto diretto o mediante elementi rigidi, si dice che questi componenti sono collegati in modo positivo. Quando invece lo spostamento di un elemento meccanico consente ad un secondo elemento di muoversi liberamente (per esempio gravità, effetto di una molla, ecc..) il collegamento tra i due è in modo negativo. odo positivo odo negativo acchina funzionante Sportello chiuso acchina ferma Sportello aperto acchina funzionante Sportello chiuso acchina ferma Sportello aperto Guasti pericolosi: la macchina continua a funzionare. Guasti pericolosi: la macchina continua a funzionare. Rotella consumata Rotella disallineata Contatti incollati olla guasta Il modo positivo consente con una manutenzione preventiva di sottrarsi dai guasti pericolosi schematizzati sopra. Con il modo negativo invece i guasti sono interni all interruttore e quindi di difficile rilevazione. Con il modo positivo i guasti interni (contatti incollati o molla guasta) consentono comunque l apertura dei contatti e quindi l arresto della macchina. olla danneggiata acchina ferma Contatti incollati acchina ferma pagina 6/33 Catalogo Generale 2007-2008

Introduzione alla Sicurezza 6 Utilizzo degli interruttori nelle applicazioni di sicurezza Quando è impiegato un solo interruttore in una funzione di sicurezza, l interruttore stesso deve essere azionato in modo positivo. Va utilizzato per le applicazioni di sicurezza il contatto d apertura (normalmente chiuso) che deve essere del tipo ad apertura positiva, tutti gli interruttori che riportano il simbolo sono dotati di contatti NC ad apertura positiva. Nessun collegamento elastico tra i contatti mobili e l azionatore sul quale viene applicata la forza di azionamento. Se gli interruttori sono due o più è bene farli operare in modi opposti, ad esempio : - Il primo con un contatto normalmente chiuso (contatto di apertura) azionato dal riparo in modo positivo. - l altro con un contatto normalmente aperto (contatto di chiusura), azionato dal riparo in modo non positivo. Questa è una pratica comune che non esclude, quando giustificato, l uso dei due interruttori azionati in modo positivo (vedi diversificazione). Diversificazione La sicurezza nei sistemi ridondanti viene aumentata con la diversificazione. Essa si ottiene applicando due interruttori con diversità di progettazione e/o tecnologia, in modo da evitare guasti determinati dalla stessa causa. Esempi di diversificazione sono: l utilizzo di un interruttore ad azione positiva accoppiato ad uno ad azione non positiva, da un interruttore a comando meccanico ed uno non meccanico (es. sensore elettronico) o dall utilizzo di due interruttori a comando meccanico ad azione positiva ma di diverso principio di azionamento ( es. un interruttore a chiave FR 693 e un interruttore a perno FR 1896). Ridondanza La ridondanza è l impiego di più di un dispositivo o sistema, al fine di garantire che in caso di guasto nelle parti di uno di essi, un altro sia disponibile per eseguire tali funzioni di sicurezza. Se il primo guasto non viene rilevato, il verificarsi di un secondo potrà portare alla perdita della funzione di sicurezza. Autocontrollo L autocontrollo consiste nel verificare automaticamente il funzionamento di tutti i dispositivi che intervengono nel ciclo della macchina. Di conseguenza il ciclo successivo può essere vietato o autorizzato. Ridondanza e autocontrollo La combinazione in sistema della ridondanza e dell autocontrollo fanno sì che un primo guasto nel circuito di sicurezza non porti alla perdita delle funzioni di sicurezza. Tale primo guasto verrà rilevato al riavvio successivo o comunque prima che avvenga un secondo guasto che potrebbe portare alla perdita della funzione di sicurezza. Catalogo Generale 2007-2008 pagina 6/34