Una valvola pneumatica di sicurezza monitorata è un sottosistema ridondante di controllo della potenza che alimenta l'aria soltanto quando entrambi i canali funzionano correttamente; quando viene richiesta la funzione di sicurezza, blocca invece l'alimentazione e scarica la pressione a valle. Il feedback indica al controllore di sicurezza se gli elementi hanno raggiunto lo stato previsto. Qualsiasi discordanza rimuove il comando e può inibire il riavvio finché il guasto non viene eliminato.
La Categoria 3 o la Categoria 4 non è una caratteristica della sola etichetta della valvola. La Categoria descrive invece l'architettura e il comportamento in caso di guasto dell'intero sistema di comando legato alla sicurezza. Valvola, sensori, logica di sicurezza, cablaggio, circuito pneumatico, diagnostica, comportamento al reset e risposta fisica della macchina devono, nel loro insieme, raggiungere il Performance Level richiesto.
Punti chiave
- La norma ISO 13849-1:2023 si applica ai sistemi di comando legati alla sicurezza elettrici, idraulici, pneumatici, meccanici e basati su software.
- Due elementi valvola ridondanti possono mantenere lo scarico sicuro dopo il guasto di uno dei due.
- Il feedback deve concordare con il comando entro la finestra temporale documentata per il prodotto.
- Una valvola monitorata non dimostra che la macchina abbia raggiunto uno stato sicuro.
Che cosa significa Categoria 3/4 per una valvola pneumatica di sicurezza?
La norma ISO 13849-1:2023 è una metodologia di 152 pagine per i sistemi di comando legati alla sicurezza, non una tabella di selezione che assegna un unico PLr a ogni applicazione della valvola. Si applica alla pneumatica e ad altre tecnologie, ma dichiara esplicitamente di non specificare né la funzione di sicurezza né il Performance Level richiesto per una determinata macchina (ISO, 2023).
I costruttori possono dichiarare che un prodotto è idoneo all'impiego fino alla Categoria 4, PL e, in condizioni definite. Tale dichiarazione fornisce evidenze sul componente o sottosistema, ma non certifica la macchina completa. Gli integratori devono comunque definire la funzione di sicurezza, determinare il PLr, modellare l'architettura reale, seguire il manuale di sicurezza e convalidare la risposta dell'installazione. La Categoria descrive i requisiti strutturali e il comportamento in caso di guasto. Il Performance Level (PL) descrive la capacità del sistema di comando legato alla sicurezza di eseguire la propria funzione di sicurezza nelle condizioni prevedibili. La Categoria contribuisce al PL, ma sul risultato incidono anche l'affidabilità dei componenti, la copertura diagnostica, le misure contro i guasti da causa comune, le misure sistematiche, il software e le interfacce tra sottosistemi.
Questa distinzione evita un errore di specifica frequente: richiedere una «valvola di Categoria 4» senza definire quale condizione debba diventare sicura. A seconda del pericolo, la macchina può richiedere lo scarico sicuro, la prevenzione della pressurizzazione inattesa, un ritorno controllato, il mantenimento sicuro del carico oppure una combinazione di queste funzioni. Scaricare l'aria può generare un nuovo pericolo se un carico verticale cade o un serraggio si apre.
Per il processo di progettazione a livello di sistema, consultare le guide sui circuiti pneumatici di sicurezza conformi a ISO 13849 e sull'integrazione delle valvole di scarico di sicurezza nei ripari delle macchine. Questo articolo resta circoscritto al funzionamento e al monitoraggio della valvola.
I due stati operativi di una valvola di scarico di sicurezza monitorata
La P33 Parker con monitoraggio esterno utilizza due solenoidi di azionamento che devono commutare insieme, con un limite di sincronismo documentato di 150 ms per questo prodotto. La sua funzione 3/2 collega la porta di alimentazione 1 all'uscita 2 quando è azionata; quando viene diseccitata, blocca la porta 1 e collega l'uscita 2 alla porta di scarico 3 (Parker, consultato nel 2026).
Questa sequenza illustra la normale logica operativa di una valvola di scarico di sicurezza ridondante:
| Stato della valvola | Comando elettrico | Percorso di alimentazione | Percorso di scarico | Feedback previsto |
|---|---|---|---|---|
| Sicuro, diseccitato | Entrambe le uscite di sicurezza disattivate | Alimentazione bloccata | Circuito a valle collegato allo scarico | Entrambi gli elementi segnalano lo stato sicuro |
| Transizione all'alimentazione | Entrambe le uscite si attivano | Si apre solo dopo la commutazione di entrambi gli elementi | Si chiude durante la commutazione degli elementi | Entrambi i segnali cambiano entro la finestra consentita |
| Alimentazione normale | Entrambe le uscite attive | Alimentazione collegata al circuito a valle | Scarico chiuso | Entrambi gli elementi segnalano lo stato di alimentazione |
| Richiesta di sicurezza | Entrambe le uscite si disattivano | L'alimentazione si chiude | Il circuito a valle si apre verso lo scarico | Entrambi i segnali ritornano allo stato sicuro |
| Discordanza | Comandi e feedback non concordano | Reazione sicura specifica del prodotto | Reazione allo scarico specifica del prodotto | Guasto dichiarato e riavvio inibito come specificato |
«Normalmente chiusa» si riferisce al percorso di alimentazione. Quando viene tolta l'alimentazione elettrica, le molle portano gli elementi della valvola nello stato che blocca l'aria in ingresso e apre allo scarico il circuito a valle. Alcuni prodotti aggiungono una funzione di avviamento progressivo durante la ripressurizzazione, che deve però essere utilizzata esattamente come descritto nella documentazione di sicurezza del prodotto.
La diseccitazione della valvola non porta automaticamente la macchina nel proprio stato sicuro. Valvole di non ritorno, valvole direzionali a centro chiuso, accumulatori, camere dei cilindri, booster e collettori lunghi possono trattenere pressione oltre la valvola di scarico. Gravità, molle, inerzia o vuoto possono ancora muovere il meccanismo dopo la diminuzione della pressione a valle. Se la perdita di pressione può liberare un carico verticale, valutare il comportamento dei dispositivi bloccastelo e i relativi limiti applicativi.
In che modo il monitoraggio esterno rileva un guasto della valvola?
La RSe di ROSS utilizza due sensori di prossimità PNP e dichiara una copertura diagnostica del 99% quando entrambi i sensori vengono monitorati a ogni eccitazione e diseccitazione nell'architettura di controllo esterno documentata. Ogni sensore osserva un elemento valvola, mentre il controllore di sicurezza esterno confronta entrambi gli stati di feedback con lo stato comandato (ROSS Controls, consultato nel 2026).
Il monitoraggio esterno separa gli elementi pneumatici di potenza dalla logica diagnostica. Segnali di feedback distinti descrivono i due elementi della valvola. Un relè di sicurezza o un PLC di sicurezza esterno fornisce entrambi i comandi, verifica le transizioni del feedback, applica il tempo di discordanza consentito, rileva cortocircuiti o circuiti incrociati ove richiesto e stabilisce se il riavvio può essere autorizzato.
La tecnologia di feedback varia in funzione del prodotto. Nell'esempio citato, ROSS rileva la posizione del cursore, mentre la guida al monitoraggio esterno della P33 Parker descrive sensori di pressione a stato solido associati ai suoi elementi ridondanti. Nessuno dei due metodi è universale e un programma del controllore scritto per la tabella di verità dei segnali di una valvola non può essere trasferito a un'altra senza esaminare il nuovo manuale di sicurezza. Le valvole con monitoraggio interno eseguono nell'assieme una parte o la totalità della logica di confronto e blocco in caso di guasto. Alcune forniscono un'uscita di stato combinata e richiedono un ingresso di reset dedicato. Il monitoraggio interno riduce la logica di confronto che deve essere programmata dall'utente, ma il controllore macchina deve comunque valutare lo stato, impedire il riavvio inatteso e convalidare lo stato fisico sicuro.
Le due configurazioni possono essere confrontate così:
| Configurazione di monitoraggio | Funzioni fornite dalla valvola | Funzioni richieste al sistema di sicurezza esterno |
|---|---|---|
| Monitoraggio esterno | Feedback separato degli elementi e regole temporali del prodotto | Uscite sicure, confronto dei canali, temporizzazione della discordanza, memorizzazione del guasto, logica di reset |
| Monitoraggio interno | Confronto interno, reazione al guasto e segnali di stato definiti | Interfaccia di comando corretta, valutazione dello stato, controllo del reset, convalida a livello macchina |
Una diagnostica efficace osserva il guasto pericoloso dichiarato. Il rilevamento della pressione può confermare uno stato pressorio interno senza dimostrare la corsa completa dell'elemento valvola. Il rilevamento della posizione può confermare la corsa del cursore senza dimostrare che la pressione a valle abbia superato una valvola a centro chiuso. Il credito diagnostico deve corrispondere alla modalità di guasto che la diagnostica è effettivamente in grado di rilevare.
Che cosa cambia tra Categoria 3 e Categoria 4?
Il confronto tra Categorie dell'IFA attribuisce sia alla Categoria 3 sia alla Categoria 4 la tolleranza a un singolo guasto; la Categoria 4 richiede inoltre un'elevata copertura diagnostica media e la considerazione dell'accumulo dei guasti. La Categoria 3 ammette una copertura diagnostica da bassa a media, perciò alcuni guasti possono restare inosservati e l'accumulo di guasti può compromettere la funzione di sicurezza (IFA, 2017).
È l'architettura, non il numero stampato sul corpo della valvola, a determinare il comportamento in caso di guasto:
| Requisito | Categoria 3 | Categoria 4 |
|---|---|---|
| Architettura ridondante | Obbligatoria | Obbligatoria |
| Un guasto causa la perdita immediata della funzione di sicurezza | No | No |
| Rilevamento dei guasti | Per quanto ragionevolmente praticabile | Al momento della richiesta successiva o prima di essa, per quanto ragionevolmente praticabile |
| Copertura diagnostica | Da bassa a media | Elevata |
| Accumulo di guasti non rilevati | Può causare la perdita della funzione di sicurezza | Non deve causare la perdita della funzione di sicurezza |
| PL raggiunto | Dipende dalla valutazione completa | Dipende dalla valutazione completa |
Due bobine non dimostrano l'esistenza di due canali indipendenti. Occorre esaminare aria di pilotaggio condivisa, passaggi di scarico comuni, connettori comuni, uscite software, alimentazioni, montaggio, esposizione alla contaminazione ed errori di manutenzione. La ridondanza può essere vanificata quando entrambi gli elementi condividono una causa che il progetto non ha controllato. La sola Categoria non determina neppure il PL d o il PL e. Utilizzare i dati di affidabilità dichiarati e le limitazioni della valvola, del sensore, del controllore e delle interfacce effettivamente scelti. Documentare quindi copertura diagnostica, misure contro i guasti da causa comune, controlli sistematici, tempo di missione, frequenza di commutazione e frequenza media dei guasti pericolosi dell'intera funzione di sicurezza.
Controlli frequenti dei segnali non rafforzano di per sé una dichiarazione di Categoria 4. La diagnostica deve rilevare tempestivamente i guasti pericolosi pertinenti e l'accumulo di guasti non rilevati non deve compromettere lo scarico sicuro o la prevenzione della pressurizzazione inattesa.
Che cosa può dimostrare il feedback della valvola e che cosa può non rilevare?
ROSS dichiara che la propria valvola RSe non può scaricare l'energia pneumatica intrappolata a valle di ostacoli quali valvole di non ritorno e valvole a centro chiuso. Questa limitazione del prodotto illustra perché il feedback dell'elemento valvola non possa dimostrare lo stato di pressione, movimento o carico nell'intera macchina (ROSS Controls, consultato nel 2026).
Il feedback può supportare affermazioni specifiche:
- Uno o entrambi gli elementi valvola hanno raggiunto la posizione specifica osservata dal sensore installato entro la finestra di transizione documentata, e il controllore ha ricevuto il segnale senza guasti sull'ingresso.
- La pressione interna in un punto di rilevamento definito ha superato la soglia del prodotto.
- I due canali hanno cambiato stato entro la finestra temporale consentita.
- Il feedback è bloccato, assente, contraddittorio o incoerente con il comando.
- La valvola è entrata in uno stato di guasto o blocco definito dal prodotto.
Il feedback non può dimostrare automaticamente che:
- Ogni ramo a valle sia stato depressurizzato, comprese le cavità isolate oltre valvole di non ritorno, valvole a centro chiuso e regolatori, alla soglia di pressione e nel tempo definiti dal requisito di sicurezza della macchina.
- Un silenziatore o un tubo di scarico garantisca la portata richiesta.
- La distanza di arresto del cilindro rispetti il limite di accettazione a livello macchina.
- Un carico verticale resti sostenuto dopo la rimozione dell'aria.
- Una valvola di non ritorno, un regolatore, un booster o una cavità del collettore abbia rilasciato la pressione intrappolata.
- La chiusura di un riparo e il ripristino dell'aria non possano riavviare un movimento pericoloso.
Aggiungere il rilevamento della pressione sul volume interessato dal pericolo quando il decadimento della pressione fa parte del criterio di accettazione. Aggiungere il rilevamento del movimento o della posizione sul meccanismo pericoloso quando la macchina deve arrestarsi o restare entro una posizione definita. Lo stato della valvola è uno degli ingressi di tale convalida, non un suo sostituto. I sistemi rotativi presentano lo stesso limite, come spiegato nella guida all'integrazione degli attuatori rotativi nei circuiti di sicurezza ISO 13849. Lo scarico sicuro è inoltre diverso dalla normale funzione di scarico rapido. Le valvole di scarico rapido standard accorciano il percorso di scarico di un attuatore, ma normalmente non offrono architettura ridondante, dati di sicurezza, feedback diagnostico o risposta controllata ai guasti. Consultare la guida alle valvole di scarico rapido per questa funzione di portata, senza considerarla un componente di sicurezza.
Risposta ai guasti e logica di reset
Nell'esempio con monitoraggio esterno, Parker richiede che le due uscite dei sensori P33 cambino entro 150 ms l'una dall'altra e sconsiglia il reset automatico. Quando i segnali restano discordanti oltre il tempo consentito, la logica di monitoraggio deve togliere alimentazione ai solenoidi e impedire un nuovo tentativo di azionamento finché non viene eseguito il reset del sistema di sicurezza (Parker, consultato nel 2026).
Utilizzare i valori temporali e la tabella di verità esatti del prodotto scelto. La temporizzazione specifica del prodotto è determinante: il valore di 150 ms di Parker non è un limite universale per la Categoria 3 o la Categoria 4. Altre valvole possono utilizzare sensori, sequenze di commutazione, limitazioni delle prove a impulsi, configurazioni di reset e condizioni di ripristino dai guasti differenti.
La logica del controllore segue normalmente queste decisioni:
- Rimuovere entrambi i comandi della valvola quando viene richiesta la funzione di sicurezza.
- Confermare che entrambi i canali di feedback raggiungano in tempo gli stati sicuri documentati.
- Dichiarare un guasto se uno dei segnali è assente, tardivo, contraddittorio o bloccato.
- Mantenere disattivati i comandi della valvola dopo il rilevamento di una discordanza.
- Richiedere l'eliminazione del guasto e le condizioni di reset intenzionale specificate.
- Verificare che il reset non avvii un movimento pericoloso né ripressurizzi automaticamente una zona non sicura.
| Esempio di guasto | Che cosa rileva il monitoraggio | Risposta tecnica richiesta |
|---|---|---|
| Una bobina perde alimentazione | Un canale non esegue la transizione | Rimuovere entrambi i comandi e inibire il riavvio |
| Un elemento commuta lentamente | La discordanza del feedback supera il limite del prodotto | Entrare nello stato di guasto documentato e verificare contaminazione, pressione o hardware |
| Un segnale di feedback è bloccato | Durante una transizione il segnale contrasta con il comando | Trattare il canale come guasto e impedire il ciclo pericoloso successivo |
| Il percorso di scarico è ostruito | Il feedback della valvola può apparire normale mentre la pressione diminuisce troppo lentamente | Rilevare la condizione con la convalida della pressione o del movimento della macchina, non con il solo feedback della valvola |
| L'aria ritorna dopo un'interruzione | Il feedback può tornare alla condizione iniziale | Impedire il movimento pericoloso automatico mediante la logica di reset e avviamento |
Il reset autorizza la ripresa della valutazione, ma non dimostra che il guasto sia scomparso. Prima di abilitare il ciclo successivo, il programma deve verificare ingressi sicuri, feedback valido, stato di pressione consentito e ogni eventuale azione manuale richiesta. Il pulsante di reset non deve fungere anche da comando di avviamento della macchina quando ciò genera un movimento pericoloso.
Come convalidare la funzione di sicurezza installata?
ISO 13849-2:2012 è la norma di convalida pubblicata e vigente, di 79 pagine, a luglio 2026, sebbene ISO indichi che è in preparazione una bozza sostitutiva. Richiede la convalida mediante analisi e prove delle funzioni di sicurezza specificate, della Categoria raggiunta e del Performance Level raggiunto; la sola scheda tecnica di una valvola non può quindi completare la convalida (ISO, consultato nel 2026).
Definire criteri di accettazione misurabili prima della messa in servizio. Registrare sulla stessa base temporale la richiesta di sicurezza, le uscite del controllore, entrambi i canali di feedback della valvola, la pressione a valle e il movimento pericoloso. Eseguire le prove nelle condizioni più gravose plausibili per pressione di alimentazione, volume a valle, temperatura, accessori di scarico consentiti, carico della macchina e modo operativo.
La convalida deve comprendere almeno:
- Eccitazione normale, scarico sicuro, reset intenzionale e conferma che il solo reset non avvii un movimento pericoloso in tutti i modi operativi nei quali una persona può avvicinarsi al pericolo.
- Un canale di uscita della valvola impossibilitato a cambiare stato.
- Ogni canale di feedback bloccato su ON, bloccato su OFF, aperto, in cortocircuito o collegato in modo incrociato, secondo quanto applicabile all'interfaccia del prodotto.
- Transizioni del feedback al di fuori della finestra di discordanza consentita.
- Perdita e ripristino dell'alimentazione elettrica e pneumatica.
- Scarico ostruito, ove prevedibile e sicuro da provare.
- Pressione intrappolata oltre valvole di non ritorno o valvole di comando a centro chiuso.
- Posizione e carico del cilindro o del meccanismo nelle condizioni più sfavorevoli.
- Prevenzione del riavvio inatteso dopo una richiesta, un guasto e il ripristino dell'alimentazione.
Non definire arbitrariamente un unico intervallo universale di ispezione o prova periodica. Festo, per esempio, prescrive una procedura minima mensile di commutazione forzata per determinate varianti MS6-SV quando il processo non le commuta già con tale frequenza (Festo, 2023). Il requisito riguarda le varianti elencate, non tutte le valvole monitorate. Mantenere sotto controllo di configurazione il modello e la revisione della valvola, il manuale di sicurezza, i dati di sicurezza dichiarati, il checksum del programma del controllore di sicurezza, lo schema pneumatico, lo schema elettrico, i valori dei parametri, le soglie dei sensori, i silenziatori, le apparecchiature di prova, le tracce grezze e il verbale di approvazione. La sostituzione della valvola o la modifica del percorso di scarico può richiedere un nuovo calcolo e una nuova convalida.
ISO 4414:2010 resta la norma generale vigente per la sicurezza dei sistemi pneumatici dopo la conferma del 2021 e tratta progettazione, costruzione, modifica, installazione, funzionamento e manutenzione (ISO, consultato nel 2026). Questo campo di applicazione ribadisce il confine di sistema: un'installazione sicura della valvola deve affrontare i pericoli nell'intero circuito pneumatico.
Domande frequenti sulle valvole pneumatiche di sicurezza monitorate
Parker documenta versioni con monitoraggio sia interno sia esterno della stessa famiglia di valvole P33, dimostrando perché l'espressione «valvola monitorata» non identifichi un unico circuito universale. Le risposte seguenti definiscono il confine del componente, la dichiarazione di Categoria, il ruolo del feedback, il comportamento in caso di guasto e i limiti di manutenzione che gli acquirenti devono chiarire prima di scegliere o adattare una valvola (Parker, 2024).
La Categoria 3 o la Categoria 4 è una classificazione della valvola?
Non da sola. Un costruttore può dichiarare che una valvola o un sottosistema è idoneo a un'architettura di Categoria 3 o Categoria 4 in determinate condizioni. La Categoria e il PL raggiunti appartengono alla funzione di sicurezza completa, dopo la valutazione e la convalida di valvola, diagnostica, controllore, interfacce, ipotesi di guasto e risposta della macchina.
Che cosa accade se un elemento della valvola non commuta?
Un progetto ridondante adeguato è concepito per mantenere la funzione di sicurezza dopo un guasto. Il feedback deve rendere evidente la discordanza, il sistema di monitoraggio deve rimuovere entrambi i comandi e il riavvio deve essere inibito secondo il manuale di sicurezza. La reazione pneumatica, la finestra temporale, gli stati dei segnali e la sequenza di reset esatti restano specifici del prodotto.
Il feedback della valvola dimostra che la pressione a valle è sicura?
No. Dimostra soltanto lo stato misurato da quel metodo di feedback nel relativo punto di rilevamento. La pressione può restare intrappolata oltre una valvola di non ritorno, una valvola a centro chiuso, un regolatore o una cavità isolata. Convalidare la pressione nel volume a valle pertinente e misurare il movimento pericoloso quando il requisito di sicurezza comprende l'arresto o il mantenimento del carico.
Una valvola di scarico di sicurezza monitorata sostituisce la procedura lockout/tagout?
No. OSHA 1910.147 disciplina gli interventi di manutenzione nei quali l'energizzazione o l'avviamento inattesi, oppure il rilascio di energia accumulata, possono causare lesioni. Richiede procedure di controllo delle energie pericolose e dispositivi di isolamento dell'energia; pulsanti e dispositivi del circuito di comando non sono dispositivi di isolamento dell'energia (OSHA, consultato nel 2026).
Che cosa devono ricordare i progettisti?
ISO 13849-1:2023 comprende cinque domini tecnologici indicati nel proprio campo di applicazione: sistemi di comando legati alla sicurezza elettrici, idraulici, pneumatici, meccanici e basati su software. Questa ampiezza è l'indizio conclusivo che le prestazioni di Categoria 3/4 non possono essere ricondotte a una sola valvola pneumatica monitorata o a un singolo contatto di feedback (ISO, 2023).
Considerare la valvola come un sottosistema definito. Verificarne i due stati operativi, la funzione di sicurezza, il metodo di monitoraggio, i limiti temporali, la reazione al guasto, i requisiti di reset, i dati di affidabilità, gli accessori consentiti e le ipotesi diagnostiche. Verificare quindi che l'intera macchina raggiunga lo stato di pressione e movimento specificato in presenza di richieste normali e guasti plausibili. La domanda più sicura in fase d'acquisto non è «Questa valvola è di Categoria 4?». Occorre invece chiedere: «Quali funzioni di sicurezza e modalità di guasto supporta questa specifica valvola, a quali condizioni di integrazione e quali evidenze dobbiamo convalidare sulla macchina installata?».