Quando una funzione di sicurezza delle macchine fa davvero la differenza
A cura della Redazione
Una protezione installata su una macchina non è automaticamente una protezione efficace. Interblocchi, barriere fotoelettriche, arresti controllati, monitoraggio della velocità e comandi a due mani devono nascere dalla valutazione del rischio, essere progettati con prestazioni coerenti con il pericolo e, soprattutto, essere verificati e validati. Con l’avvicinarsi della piena applicazione del Regolamento (UE) 2023/1230, la sicurezza delle macchine richiede sempre più di collegare progettazione, manutenzione, comportamento degli operatori e gestione documentale. Per RSPP e HSE manager significa cambiare prospettiva: non chiedersi soltanto se una protezione esiste, ma se quella protezione riuscirà a portare e mantenere la macchina in condizioni sicure quando servirà davvero.
COSA TRATTA
Quando si parla di sicurezza delle macchine, il rischio è quello di concentrare l’attenzione sul componente visibile: il pulsante rosso dell’arresto di emergenza, il microinterruttore sul riparo, la barriera fotoelettrica davanti a una zona pericolosa. È comprensibile, perché sono gli elementi che l’operatore vede. Ma la sicurezza funzionale comincia molto prima.
La domanda corretta non è: “Quale dispositivo dobbiamo installare?”. È: “Quale comportamento sicuro deve assumere la macchina quando si presenta una determinata condizione pericolosa?”.
La differenza sembra sottile, ma cambia l’intero approccio.
Una funzione di sicurezza esiste infatti perché, in determinate condizioni, la macchina deve reagire in un certo modo e con un’affidabilità adeguata al rischio. Aprire un riparo può, per esempio, richiedere l’arresto di un movimento; in altre situazioni non basta comandare l’arresto, perché l’inerzia della macchina mantiene il pericolo per alcuni secondi e occorre impedire l'apertura del riparo fino alla cessazione del rischio.
È qui che la sicurezza smette di coincidere con il singolo dispositivo e diventa un sistema.
Prima viene il rischio, poi viene la funzione di sicurezza
Il punto di partenza resta la valutazione dei rischi. Prima di scegliere sensori, interblocchi, PLC di sicurezza o barriere occorre conoscere la macchina: limiti, modalità operative, soggetti esposti, manutenzioni, regolazioni, pulizie, inceppamenti ragionevolmente prevedibili e possibili interazioni tra persone e parti pericolose.
È un passaggio che interessa direttamente anche il sistema prevenzionistico aziendale. Nel D.Lgs. 81/2008 la valutazione dei rischi è globale e documentata e la sua elaborazione costituisce uno degli obblighi non delegabili del datore di lavoro. Nella scelta delle attrezzature devono inoltre essere considerate le condizioni di lavoro, i rischi presenti nell'ambiente, quelli derivanti dall'utilizzo delle attrezzature e le possibili interferenze.
La logica tecnica viene sviluppata dalla ISO 12100 attraverso un percorso che parte dalla determinazione dei limiti della macchina, passa attraverso l'identificazione dei pericoli, la stima e valutazione del rischio e arriva alle misure di riduzione. L'eliminazione del pericolo mediante progettazione intrinsecamente sicura precede, nella gerarchia delle misure, il ricorso ai ripari e ai dispositivi di protezione.
Questo principio evita uno degli errori più frequenti nella gestione del rischio macchina: partire dalla soluzione prima di aver definito correttamente il problema.
Se la zona pericolosa può essere resa non accessibile attraverso una scelta progettuale, questa strada deve essere valutata prima di costruire un sistema più complesso che debba rilevare l'accesso e comandare successivamente un arresto.
La funzione di sicurezza non coincide con il sensore
Per capire il concetto bisogna guardare l'intera catena.
Una funzione di sicurezza comprende normalmente una fase di rilevazione della condizione, una successiva elaborazione e una conseguente azione sulla macchina. Un interruttore sul riparo, quindi, da solo non costituisce tutta la funzione: rappresenta una parte del sistema che deve rilevare l'apertura, elaborare il segnale e portare gli elementi pericolosi nello stato previsto.
Questa distinzione è particolarmente importante negli audit.
Verificare che un interblocco sia installato non dice ancora se la funzione complessiva possieda le caratteristiche necessarie. Occorre conoscere l'architettura del circuito, l'affidabilità dei componenti, la capacità diagnostica, i guasti prevedibili, la possibilità di guasti con causa comune e il comportamento dell'uscita che determina materialmente l'arresto o impedisce l'avviamento.
La ISO 13849-1:2023 disciplina proprio la progettazione e l'integrazione delle parti dei sistemi di comando legate alla sicurezza, comprese quelle che svolgono funzioni di sicurezza mediante tecnologie elettriche, idrauliche, pneumatiche o meccaniche.
Per chi gestisce un parco macchine, questo passaggio ha una conseguenza concreta: il censimento dei dispositivi installati non è sufficiente. Serve conoscere le funzioni di sicurezza associate ai diversi pericoli.
Performance Level e affidabilità: non basta che il circuito “funzioni”
Nel linguaggio della ISO 13849-1 entra in gioco il Performance Level richiesto. Il concetto non serve a stabilire semplicemente se esiste o meno una protezione, ma a collegare alla funzione di sicurezza una capacità prestazionale coerente con il rischio.
È un terreno nel quale occorre evitare semplificazioni.
Una funzione che si attiva correttamente durante una prova occasionale non può, solo per questo, essere considerata adeguatamente progettata. Il comportamento del sistema deve essere affrontato considerando anche i guasti prevedibili e l'affidabilità dell'architettura.
Qui la sicurezza funzionale diventa ingegneria.
La documentazione tecnica della funzione deve consentire di ricostruire cosa deve accadere, in quali condizioni, quale stato sicuro debba essere raggiunto e quali prestazioni siano richieste. A valle serviranno verifica e validazione.
Un'organizzazione HSE matura dovrebbe poter risalire facilmente, almeno per le funzioni più significative, dal pericolo individuato alla misura di riduzione scelta e dalla misura alle evidenze che ne dimostrano l'efficacia.
Interblocchi, ripari e tentativi di elusione
Un interblocco associato a un riparo è apparentemente semplice: se il riparo viene aperto, la condizione pericolosa viene arrestata o impedita.
Il problema pratico emerge quando produzione e sicurezza entrano in conflitto.
Se per effettuare regolazioni, recuperare un pezzo o risolvere frequenti inceppamenti l'operatore deve aprire continuamente il riparo, attendere arresti lunghi e ripetere sequenze scomode, cresce il rischio che qualcuno tenti di neutralizzare la protezione.
La ISO 14119:2024 affronta espressamente i dispositivi di interblocco associati ai ripari e contempla misure destinate a ridurre la possibilità di una loro elusione ragionevolmente prevedibile.
Per questo, trovare durante un sopralluogo un dispositivo manomesso non dovrebbe portare soltanto alla sua immediata ripristinazione. Occorre anche capire perché sia stato eluso.
È un problema tecnico o organizzativo? La protezione ostacola interventi frequenti necessari alla produzione? Le modalità previste per regolazione o pulizia sono realmente praticabili? Il personale dispone di una modalità operativa sicura alternativa?
La manomissione rimane un comportamento da impedire, ma considerarla esclusivamente una violazione dell'operatore può impedire di intercettare un difetto di progettazione della macchina o del processo.
Quando il riparo deve restare bloccato
Esistono inoltre macchine nelle quali il comando di arresto non determina la cessazione immediata del pericolo. Masse rotanti, utensili o elementi dotati di inerzia possono continuare il movimento dopo il comando.
In questi casi occorre distinguere il semplice controllo di un riparo da una soluzione che ne governi anche il blocco.
Il concetto è intuitivo: non interessa soltanto sapere che una porta è stata aperta. Bisogna impedire che possa essere aperta durante il periodo nel quale dietro quella porta permane una condizione pericolosa.
Da qui nasce anche un'indicazione molto concreta per chi conduce audit: osservare il comportamento reale della macchina dopo il comando di arresto. Il tempo di arresto diventa un dato tecnico da conoscere, soprattutto quando dalla sua misura dipende il posizionamento di dispositivi di protezione o la possibilità di accesso alla zona pericolosa.
Barriere fotoelettriche: la distanza non è un dettaglio
Lo stesso ragionamento vale per i sistemi di rilevamento della presenza.
Una barriera fotoelettrica non rende automaticamente sicuro un accesso soltanto perché interrompendo i raggi la macchina si arresta. Se un lavoratore può raggiungere il pericolo prima che il movimento pericoloso sia effettivamente cessato, la funzione può risultare inefficace.
Il posizionamento deve quindi considerare la dinamica complessiva: capacità di rilevamento, modalità di avvicinamento e tempo necessario perché il sistema raggiunga lo stato sicuro.
Questo principio dovrebbe interessare particolarmente RSPP e manutenzione nel momento in cui vengono modificati layout, velocità, azionamenti, logiche software o componenti della macchina. Una modifica apparentemente marginale può cambiare il comportamento temporale del sistema.
Muting e blanking: flessibilità sì, accesso incontrollato no
Alcuni processi richiedono che materiali o parti del prodotto attraversino una zona controllata senza determinare ogni volta l'arresto della macchina.
Tecniche come muting e blanking rispondono a esigenze di questo tipo, ma proprio perché sospendono temporaneamente o modificano l'azione di una protezione richiedono una progettazione rigorosa.
Il rischio da evitare è evidente: ciò che viene progettato per consentire il passaggio controllato di materiale non deve trasformarsi in un percorso di accesso non rilevato per una persona.
Sono funzioni che meritano attenzione negli impianti automatizzati, nelle linee di confezionamento e nella movimentazione dei materiali, dove la ricerca della continuità produttiva può generare nel tempo modifiche operative non previste nella configurazione iniziale.
Ogni modifica significativa della logica merita quindi di essere trattata come una modifica tecnica, non semplicemente come una regolazione di produzione.
Il comando a due mani protegge chi lo utilizza, non automaticamente chi gli sta accanto
Un altro equivoco frequente riguarda il comando a due mani.
La sua logica consiste nel richiedere un'azione coordinata dell'operatore, mantenendo entrambe le mani impegnate lontano dalla zona pericolosa durante la fase interessata. Ma questa protezione riguarda la persona che aziona correttamente il comando. Non dimostra, da sola, che altre persone non possano raggiungere la zona pericolosa.
Ne deriva una regola operativa utile per l'analisi HSE: una misura di sicurezza deve essere valutata rispetto a tutte le persone esposte e non soltanto rispetto all'operatore previsto dalla postazione.
È uno di quei controlli apparentemente banali che, sul campo, cambiano completamente la valutazione.
L'arresto di emergenza non deve diventare l'alibi della progettazione
Il grande pulsante rosso è probabilmente il dispositivo di sicurezza più riconoscibile in un reparto produttivo. Proprio per questo viene spesso sopravvalutato.
L'arresto di emergenza serve ad affrontare una situazione di emergenza reale o imminente. La ISO 13850 stabilisce requisiti funzionali e principi di progettazione della funzione di arresto di emergenza, indipendentemente dall'energia impiegata.
Ma non deve diventare la risposta ordinaria a un rischio che potrebbe essere controllato prima.
Se una persona deve confidare nel proprio tempo di reazione per raggiungere l'arresto di emergenza mentre il pericolo si sta già concretizzando, la prevenzione ha lasciato troppo lavoro all'ultima barriera.
Prima vengono la riduzione del rischio alla fonte, i ripari e le funzioni protettive pertinenti. L'emergenza resta emergenza.
Verificare non significa validare
Uno dei passaggi che meritano maggiore attenzione è quello finale. Dopo avere progettato e installato una funzione di sicurezza, il lavoro non è finito.
Occorre verificare e validare. In termini pratici, la verifica risponde alla domanda: il sistema realizzato soddisfa i requisiti tecnici che gli sono stati assegnati?
La validazione aggiunge una domanda più sostanziale: quella funzione, installata in quella macchina e utilizzata nelle condizioni previste, realizza veramente il comportamento di sicurezza stabilito?
Questa distinzione evita un errore pericoloso: scambiare la presenza del componente con la dimostrazione dell'efficacia della misura.
Per le funzioni progettate secondo ISO 13849, strumenti di calcolo dedicati possono aiutare nella valutazione quantitativa, ma il software non sostituisce la conoscenza della macchina, l'analisi progettuale né le prove. Il dato digitale serve se rappresenta correttamente il sistema reale.
E dopo l'intervento occorre tornare al rischio residuo. La riduzione del rischio è un processo iterativo, non una fotografia scattata una volta per tutte.
Il problema delle macchine già in servizio
Nelle aziende il tema diventa più delicato quando il parco macchine comprende attrezzature di età diverse, modifiche stratificate negli anni e documentazione non sempre omogenea. Qui il tema non può essere affrontato con l'equazione semplicistica “macchina vecchia uguale macchina non sicura”.
Il D.Lgs. 81/2008 impone al datore di lavoro una gestione sicura delle attrezzature e il mantenimento nel tempo delle condizioni di sicurezza attraverso manutenzione e controlli. INAIL ricorda inoltre che gli interventi effettuati sull'attrezzatura devono essere registrati e che tale registro può essere cartaceo o elettronico.
La domanda "HSE" diventa allora più concreta: quali funzioni di sicurezza sono presenti sulle macchine più critiche, quali vengono controllate, con quale periodicità prevista dalle istruzioni e dalla valutazione aziendale, quali modifiche hanno subito e dove sono conservate le evidenze?
Quando questa informazione è sparsa tra manutenzione, produzione, ufficio tecnico e HSE, il rischio organizzativo aumenta.
Un registro tecnico digitale ben costruito, associato alla singola macchina e alla relativa documentazione, può aiutare a mettere ordine: valutazioni, schemi, modifiche, anomalie, controlli e interventi possono essere collegati senza sostituire le responsabilità tecniche di chi deve verificarli.
La tecnologia, qui, funziona se rende il processo più affidabile. Non se aggiunge semplicemente un altro archivio.
Dal 20 gennaio 2027 cambia lo scenario europeo
Il tema acquista un peso ulteriore perché il quadro europeo delle macchine sta attraversando il passaggio dalla Direttiva 2006/42/CE al Regolamento (UE) 2023/1230.
La Direttiva Macchine continua ad applicarsi fino al 19 gennaio 2027; il Regolamento (UE) 2023/1230 la sostituisce dal 20 gennaio 2027 e disciplina macchine, prodotti correlati e quasi-macchine.
Per le imprese questo non significa aspettare gennaio 2027 per iniziare a occuparsene. Per fabbricanti, integratori e organizzazioni che acquistano nuove macchine, il periodo precedente all'applicazione piena è quello nel quale conviene verificare specifiche tecniche, capitolati d'acquisto, criteri di accettazione e responsabilità interne.
Per RSPP e HSE manager c'è anche un'opportunità: trasformare la transizione normativa in una revisione più ordinata del governo del parco macchine. Anagrafica, rischio, manutenzioni, modifiche e funzioni di sicurezza non dovrebbero vivere in sistemi separati che si incontrano soltanto dopo un'anomalia.
La sicurezza funzionale è anche cultura organizzativa
La parte più interessante della sicurezza delle macchine emerge quando si passa dal componente al comportamento dell'organizzazione. Un interblocco ripetutamente neutralizzato, una barriera che crea difficoltà durante le regolazioni, un reset collocato male, un'anomalia segnalata più volte e mai analizzata non sono soltanto problemi tecnici. Sono segnali. L'HSE dovrebbe imparare a leggerli.
Gli indici di frequenza e gravità restano importanti, ma descrivono eventi che si sono già verificati. Nella gestione delle macchine può essere più utile affiancare indicatori anticipatori: anomalie delle protezioni, tentativi di bypass rilevati, test non superati, manutenzioni scadute, modifiche prive di riesame del rischio.
Questo sposta la gestione della sicurezza verso la prevenzione reale: intervenire quando il segnale è ancora debole, non quando è già diventato infortunio.
MODIFICHE AL DVR
Il tema può comportare una revisione del DVR quando emergono rischi nuovi o mutati connessi alle attrezzature e all'organizzazione del lavoro.
Particolare attenzione merita la modifica di una macchina, del suo ciclo, delle logiche di comando, delle modalità operative, del layout o delle attività di manutenzione. Anche l'introduzione di nuove attrezzature o l'individuazione di modalità d'uso non considerate precedentemente devono portare RSPP e datore di lavoro a chiedersi se la valutazione esistente rappresenti ancora correttamente l'esposizione.
La questione non va gestita aggiornando soltanto una riga del DVR. Occorre mantenere la coerenza tra valutazione del rischio aziendale, valutazione tecnica della macchina, misure effettivamente presenti, istruzioni operative, formazione e manutenzione.
È questa coerenza documentale e operativa, più della quantità di carta prodotta, che permette di capire se il sistema di prevenzione sta funzionando.
PROCEDURE DI SICUREZZA
Le funzioni di sicurezza devono essere integrate nelle procedure che regolano l'uso reale della macchina.
Avviamento, arresto, cambio formato, pulizia, regolazione, eliminazione degli inceppamenti e manutenzione non possono essere considerate semplicemente varianti della produzione ordinaria. Sono condizioni nelle quali l'interazione uomo-macchina può cambiare profondamente.
Le procedure devono quindi chiarire quali operazioni sono consentite, quali protezioni devono rimanere attive, quali modalità operative possono essere selezionate e come gestire un dispositivo di sicurezza guasto o anomalo.
Soprattutto, deve essere eliminata una zona grigia ancora troppo frequente: la macchina continua a produrre, la protezione presenta un problema, tutti ne sono consapevoli ma nessuno possiede un criterio chiaro per decidere quando fermare l'attrezzatura. Il sistema HSE deve stabilirlo prima che accada.
Tracciare digitalmente anomalie, autorizzazioni, manutenzioni e chiusura delle azioni può ridurre il rischio che una segnalazione rimanga affidata a una telefonata o a una nota consegnata al cambio turno.
COSA DICE LA LEGGE
Il quadro applicabile deve essere letto distinguendo la disciplina delle attrezzature utilizzate nei luoghi di lavoro dalla disciplina europea di prodotto.
- Il D.Lgs. 81/2008 pone in capo al datore di lavoro l'obbligo non delegabile della valutazione dei rischi e disciplina, al Titolo III, la sicurezza delle attrezzature di lavoro, comprendendo scelta, utilizzo, manutenzione, controllo, verifica e gestione delle condizioni di sicurezza.
- La Direttiva 2006/42/CE resta applicabile fino al 19 gennaio 2027. Dal 20 gennaio 2027 viene sostituita dal Regolamento (UE) 2023/1230 relativo alle macchine, ai prodotti correlati e alle quasi-macchine.
- La ISO 12100 definisce i principi generali e la metodologia di valutazione e riduzione del rischio nella progettazione delle macchine.
- La ISO 13849-1:2023 costituisce un riferimento tecnico per la progettazione e integrazione delle parti dei sistemi di comando legate alla sicurezza che realizzano funzioni di sicurezza.
- Norme specifiche completano il quadro in relazione alla funzione considerata, tra cui ISO 14119 per gli interblocchi associati ai ripari e ISO 13850 per l'arresto di emergenza.
INDICAZIONI OPERATIVE
- Censire le funzioni, non soltanto i dispositivi. Per le macchine con esposizione significativa, associare ogni pericolo rilevante alla funzione di sicurezza che deve controllarlo e alla relativa documentazione.
- Verificare il comportamento reale. Nei controlli interni non limitarsi alla presenza di ripari, interblocchi e barriere. Verificare, con personale competente e secondo le istruzioni applicabili, cosa succede realmente quando la funzione interviene.
- Trattare bypass e anomalie come segnali anticipatori. Registrare manomissioni, protezioni difettose, ripetute richieste di reset e anomalie ricorrenti. Ogni evento deve avere responsabile della gestione, valutazione e chiusura documentata.
- Gestire formalmente le modifiche. Nessuna modifica significativa a protezioni, logiche di comando, velocità, layout o modalità operative dovrebbe chiudersi senza verificare l'eventuale necessità di riesaminare rischi e funzioni di sicurezza.
- Misurare l'efficacia del sistema. Utilizzare indicatori come percentuale delle verifiche eseguite entro la scadenza prevista, anomalie ancora aperte, tempo di chiusura delle non conformità e numero di modifiche sottoposte a riesame prima della rimessa in servizio.
- Preparare il parco macchine al 2027. Nei nuovi acquisti e nei progetti in corso integrare già nelle specifiche tecniche la documentazione necessaria sulle funzioni di sicurezza e considerare il passaggio al Regolamento (UE) 2023/1230 dal 20 gennaio 2027.
- Costruire una memoria tecnica unica. Collegare progressivamente anagrafica della macchina, valutazioni, manutenzioni, verifiche, modifiche e anomalie in un sistema consultabile. La digitalizzazione ha valore quando impedisce che un'informazione rilevante resti isolata tra reparti diversi.
IL 20% CHE CONTA (PER L’80% DEI RISULTATI)
A. La valutazione del rischio viene prima della scelta della funzione di sicurezza. Il dispositivo non deve diventare il punto di partenza dell'analisi.
B. Una funzione di sicurezza è un sistema. Sensore, logica e azione finale devono essere considerati insieme e con prestazioni coerenti con il rischio.
C. Installare non basta. Le funzioni devono essere verificate e validate e il loro comportamento deve rimanere affidabile durante la vita della macchina.
D. Bypass, guasti ripetuti e modifiche non controllate sono informazioni HSE da intercettare prima che producano un incidente.
E. Il vero salto organizzativo consiste nel collegare rischio, macchina, manutenzione, modifiche e verifiche in una gestione unica e tracciabile.
Riproduzione riservata ©
Abbonati per vedere tutti i contenuti di
