NOTA SUI SISTEMI DI COMANDO LEGATI ALLA SICUREZZA
Il progettista che progetta sistemi di comando correlati alla sicurezza della macchina, in fase di realizzazione deve tenere conto della norma armonizzata EN ISO 13849-1:2008, dedotta dalla norma superata EN 954-1:1998.
In particolare, oltre a considerare tutti i parametri introdotti dalla norma EN ISO 13849-1, il progettista deve realizzare il sistema di comando (in pratica si tratta quasi sempre di un circuito di comando) sulla base delle categorie di sicurezza descritte nel cap.6 della citata norma; tali categorie sono identificate dalla categoria 1 alla categoria 4 e sono simili a quelle descritte nella norma superata EN 954-1.
In generale, come esempio di un circuito di comando correlato alla sicurezza, si fa riferimento al circuito di comando per arresto di emergenza di un organo attuatore oleoidraulico. Nell’analisi del rischio, tenendo conto del diagramma di fig. A1 (appendice A, norma EN ISO 13849-1) per la maggior parte delle macchine (non considerate particolarmente pericolose, come descritto nella Direttiva Macchine) è regola normale che il circuito per arresto di emergenza venga realizzato in categoria 3 di sicurezza con il livello di prestazione PLd (come definito nella norma EN ISO 13849-1, art. 4.5.1 e art. A.1).
Per rispettare la categoria 3 di sicurezza, il circuito di comando deve essere realizzato in due canali ridondanti e indipendenti. Con riferimento al circuito di comando per arresto di emergenza, sempre per rimanere conformi alla categoria 3 di sicurezza, ogni pulsante di emergenza deve disporre di due contatti di comando normalmente chiusi e che si aprono a seguito dell’azione sul pulsante.
I contatti di ogni pulsante di emergenza devono essere ad apertura diretta o positiva (come definita nella norma EN 1088:1995, art. 3.7) e si aprono con sicurezza quando il pulsante è azionato; unitamente alla presenza della ridondanza per i contatti di ogni pulsante di emergenza, ciò garantisce che in caso di intervento volontario sul pulsante di emergenza, la continuità elettrica dei due circuiti indipendenti connessi a valle del pulsante sia sicuramente interrotta, dando l'avvio alla fase di arresto di emergenza della macchina.
Poiché la parte meccanica del pulsante di emergenza non può essere resa ridondante, è necessario utilizzare pulsanti garantiti dal fornitore come dispositivi di sicurezza (conformi alla prescrizione della Direttiva Macchine).
Quanto sopra segnalato vale anche per i contatti di ogni altro dispositivo equivalente di emergenza.
Sempre con riferimento al circuito per arresto di emergenza di un organo attuatore oleoidraulico (vedere anche fig. H1 appendice H della norma EN ISO 13849-1), è molto importante che il progettista non commetta errori nel valutare la ridondanza.
Nel sistema, essendo l’attuatore oleoidraulico dotato di due movimenti lineari, è presente una elettrovalvola a due vie dotata di due bobine che quando eccitate singolarmente attivano il movimento in una determinata direzione; quando le bobine sono entrambe diseccitate si blocca il flusso dell’olio.
In molti casi, il progettista ritiene di avere realizzato la categoria 3 quando viene garantita con due canali ridondanti la diseccitazione delle bobine dell’elettrovalvola.
Tuttavia, in questo caso non è sufficiente garantire in ridondanza la diseccitazione delle due bobine di comando perché l’elettrovalvola a due vie, essendo una sola (non ridondante), potrebbe rimanere bloccata e non impedire il flusso dell’olio; in realtà per l’elettrovalvola è molto difficile realizzare una ridondanza (se non con metodi molto costosi).
La realizzazione dell’emergenza conforme la categoria 3 deve prevedere, oltre all’eliminazione ridondante della tensione di alimentazione alle bobine della elettrovalvola di comando, un intervento (con disalimentazione) su due adatte valvole di messa a scarico del fluido oleoidraulico mediante due canali separati.
Le valvole di messa a scarico del fluido oleoidraulico devono essere poste meccanicamente in serie sul tubo di alimentazione dell’elettrovalvola; pur essendo poste in serie, dal punto di vista della sicurezza, sono in parallelo perché è sufficiente l’intervento di una sola per provocare l’arresto, in sicurezza, del movimento dell’attuatore oleoidraulico.
Tale soluzione richiede l’aggiunta di due nuovi componenti non necessari per la funzionalità nel sistema, tuttavia occorre tenere conto che in molti casi questa è una soluzione necessaria per raggiungere la sicurezza prevista dall’analisi del rischio.
