Un circuito di comando di sicurezza a due mani è pronto per il servizio solo dopo che la macchina installata ha superato le prove specificate di stato, temporizzazione, riavvio e risposta ai guasti. Premere due pulsanti durante un ciclo normale dimostra ben poco. La messa in servizio deve mostrare che cosa accade quando un ingresso è anticipato, ritardato, mantenuto, perso o guasto e quando l'uscita pneumatica non risponde come comandato.
Questo articolo è una guida alla messa in servizio e all'iniezione dei guasti. Per i tipi di dispositivo, i limiti di protezione, la differenza tra comando a due mani e scatto a due mani e i principi della distanza di sicurezza, inizia dalla panoramica sui comandi pneumatici a due mani. Per la progettazione del Performance Level, usa la guida separata ai circuiti pneumatici di sicurezza ISO 13849.
Punti chiave
- La ISO 13851 definisce tre tipi di THCD, ma protegge soltanto la persona che usa il dispositivo.
- Prova ogni stato consentito e ogni percorso di riavvio vietato.
- Misura l'uscita, la pressione e il movimento pericoloso installati, non soltanto lo stato del relè.
- Inietta i guasti secondo un piano di validazione controllato, mai con una persona esposta al pericolo.
Che cosa deve essere definito prima di iniziare la messa in servizio?
La ISO 13851:2019 definisce tre tipi funzionali di THCD, ma non ne seleziona uno per una macchina specifica. La messa in servizio deve quindi iniziare da una specifica approvata della funzione di sicurezza che identifichi il tipo scelto, la persona esposta, il pericolo, lo stato sicuro, il Performance Level richiesto, il comportamento temporale e i limiti di accettazione specifici della macchina (ISO 13851, confermata nel 2024).
Non iniziare regolando la temporizzazione dei pulsanti o la portata della valvola. Definisci prima i documenti che stabiliscono il comportamento richiesto al sistema. Un team di messa in servizio non può produrre un risultato di superamento difendibile quando il comportamento richiesto cambia durante la prova.
Il pacchetto minimo di ingresso deve contenere:
- la valutazione del rischio corrente e la norma di tipo C applicabile alla macchina;
- la specifica della funzione di sicurezza e il Performance Level richiesto, o PLr;
- il tipo THCD selezionato e il manuale esatto del dispositivo;
- schemi elettrici e pneumatici con numeri di revisione;
- programma del controllore di sicurezza e checksum;
- manuale di sicurezza della valvola di uscita, metodo di retroazione e accessori consentiti;
- risposta prevista al rilascio di una delle due mani, al reset, alla perdita di alimentazione e alla perdita d'aria;
- limiti di arresto e chiusura misurati o specificati sul pericolo;
- elenco dei guasti, metodo di prova, criteri di accettazione e metodo di ripristino;
- nomi e ruoli del validatore, del testimone della prova e della persona che autorizza il rilascio.
Un criterio di accettazione della messa in servizio è una condizione misurabile che separa superamento e fallimento prima dell'inizio della prova. «La macchina si arresta in sicurezza» non basta. Indica movimento residuo massimo, soglia di pressione, stato dell'uscita, tempo di risposta ammesso, combinazione dei sensori e comportamento di riavvio accettati.
La ISO 12100 fornisce il quadro di valutazione del rischio che precede questo lavoro, mentre la ISO 13849-1 fornisce il metodo di progettazione del sistema di controllo. Nessuna delle due assegna un PLr o uno stato sicuro universale a ogni applicazione a due mani (ISO 12100, confermata nel 2022; ISO 13849-1, 2023).
Se la specifica non può rispondere a quale movimento, pressione o energia accumulata sia consentita dopo il rilascio di una delle due mani, fermati. È una lacuna progettuale, non una regolazione di messa in servizio.
Quale tabella degli stati deve superare il circuito?
Un dispositivo a due mani ha due ingressi intenzionali azionati dalle mani, ma la validazione richiede più delle quattro combinazioni booleane degli ingressi. La ISO 13851 tratta anche prevenzione dell'elusione, evitamento dei guasti e verifica. La tabella degli stati deve includere ordine temporale, comportamento dell'ingresso mantenuto, rilascio, reset e ripristino dell'alimentazione elettrica o dell'aria (ISO 13851, confermata nel 2024).
Costruisci la tabella degli stati a partire dalla specifica approvata della funzione di sicurezza. L'esempio seguente è un quadro di prova, non un sostituto del manuale del THCD selezionato o della norma della macchina.
| Stato di prova | Ingresso A | Ingresso B | Condizione aggiuntiva | Risultato atteso |
|---|---|---|---|---|
| S0 pronto | rilasciato | rilasciato | condizioni di sicurezza soddisfatte | l'uscita resta disattivata ed è consentita una nuova richiesta |
| S1 solo A | azionato | rilasciato | durata qualsiasi | l'uscita di sicurezza resta disattivata |
| S2 solo B | rilasciato | azionato | durata qualsiasi | l'uscita di sicurezza resta disattivata |
| S3 richiesta valida | azionato | azionato | requisito di sincronizzazione soddisfatto | l'uscita può attivarsi solo se tutte le altre condizioni di sicurezza sono vere |
| S4 secondo ingresso ritardato | azionato | azionato | requisito di sincronizzazione non soddisfatto | l'uscita resta disattivata; entrambi gli ingressi devono tornare allo stato di riavvio richiesto |
| S5 una mano rilasciata | rilasciato | azionato, o il contrario | durante il periodo di comando richiesto | l'uscita cambia nello stato sicuro specificato e la risposta della macchina resta entro i limiti |
| S6 nuovo tentativo con ingresso mantenuto | azionato | rilasciato poi ri-azionato, o il contrario | un ingresso non è mai tornato pronto | non è consentito un nuovo ciclo pericoloso |
| S7 ripristino | azionato o entrambi azionati | azionato o rilasciato | ritorna l'alimentazione elettrica o l'aria | nessun riavvio pericoloso inatteso |
Registra sia il comando sia il risultato osservato. Un bit del controllore di sicurezza può disattivarsi mentre una valvola resta spostata, la pressione resta intrappolata o il meccanismo continua a muoversi. Il rapporto di accettazione deve contenere prove dell'intera catena di ingresso, logica, uscita e risposta della macchina.
I nomi degli stati devono comparire nella procedura di prova, nella diagnostica del controllore e nel rapporto finale. Questa nomenclatura comune rende tracciabile una prova fallita. Impedisce inoltre che una nota vaga come «prova dei pulsanti superata» nasconda quale percorso temporale o di riavvio sia stato realmente controllato.
Gli stati vietati spesso rivelano più di quello valido. Un avvio corretto con due pulsanti può superare la prova anche quando l'anti-elusione o la prevenzione del riavvio sono difettose. La messa in servizio dovrebbe dedicare almeno la stessa attenzione ai comandi che non devono produrre un'uscita che al solo comando autorizzato a produrla.
Come si devono provare simultaneità, anti-elusione e anti-ripetizione?
OSHA richiede azionamento simultaneo e comportamento anti-ripetizione per specifiche applicazioni di presse con trasmissione meccanica, mentre la ISO 13851 definisce il comportamento del dispositivo in base al tipo THCD. Nessuna delle due fonti supporta la copia di un valore temporale arbitrario in ogni macchina. Prova la finestra di sincronizzazione esatta e la sequenza di riavvio indicate dal dispositivo selezionato e dalla specifica della funzione di sicurezza (OSHA 1910.217; ISO 13851).
Usa un generatore controllato di ingressi, una traccia del controllore di sicurezza o attuatori strumentati quando la temporizzazione manuale non può produrre prove ripetibili ai limiti. Prova valori inferiori, uguali e superiori al limite di sincronizzazione consentito. Registra i timestamp delle transizioni degli ingressi e l'uscita di sicurezza. Non dedurre la finestra temporale effettiva dal fatto che un cilindro si sia mosso per caso.
Esegui le sequenze sia nell'ordine A-prima sia B-prima:
- Aziona il secondo ingresso ben entro l'intervallo consentito e conferma che sia possibile un'uscita valida.
- Ripeti sul limite documentato usando apparecchiature con risoluzione temporale adeguata.
- Aziona il secondo ingresso fuori dall'intervallo consentito e conferma che l'uscita resti disattivata.
- Rilascia un solo ingresso, premilo di nuovo mentre l'altro resta mantenuto e conferma che non inizi un nuovo ciclo.
- Mantieni un ingresso prima del reset o dell'ingresso in modalità, poi aziona il secondo ingresso.
- Mantieni entrambi gli ingressi durante reset, ripristino dell'alimentazione e ripristino dell'aria.
- Rilascia entrambi gli ingressi, ripristina lo stato pronto richiesto e conferma che la successiva richiesta valida segua la sequenza documentata.
Anti-elusione e anti-ripetizione sono correlate ma non intercambiabili. L'anti-elusione è il comportamento che impedisce a un ingresso mantenuto o eluso di combinarsi con l'azionamento ripetuto dell'altro ingresso. L'anti-ripetizione è il comportamento che impedisce un altro ciclo pericoloso senza la sequenza richiesta di rilascio e nuovo azionamento. Il rapporto di prova deve identificare quale requisito verifica ogni sequenza.
Se un controllore di sicurezza configurabile implementa la temporizzazione, verifica limiti dei parametri, controllo degli accessi, registrazione del download e checksum. Se la implementa un modulo THCD dedicato, registra codice esatto, revisione, condizioni di alimentazione e indicazione diagnostica. In entrambi i casi, prova i segnali installati. Una dichiarazione di catalogo non dimostra che cablaggio o tubazioni in campo corrispondano alla configurazione valutata.
Pianificazione dell'iniezione dei guasti e controllo delle prove
La ISO 13849-2:2012 richiede la validazione mediante analisi e prove delle funzioni di sicurezza specificate, della Categoria e del Performance Level raggiunto. L'iniezione dei guasti appartiene a quel processo di validazione pianificato. Deve usare guasti identificati, criteri di accettazione definiti, personale autorizzato, energia controllata e un metodo documentato per ripristinare la macchina (ISO 13849-2).
Non improvvisare mai guasti su una macchina di produzione con una persona dentro la zona pericolosa. Definisci barriere, vincoli meccanici, modalità di prova, limiti di energia e recupero di emergenza prima di modificare un ingresso o un'uscita di sicurezza. Il responsabile della prova deve poter interrompere l'attività ogni volta che lo stato osservato della macchina differisce dalla procedura.
Per ogni guasto, documenta:
- ID della prova e requisito di sicurezza messo alla prova;
- conduttore, tubo, valvola, sensore o segnale software esatto interessato;
- modalità macchina, carico, posizione, pressione, temperatura e velocità;
- metodo sicuro usato per simulare il guasto;
- indicazione diagnostica e reazione al guasto attese;
- se devono essere inibiti il ciclo corrente, il successivo o entrambi;
- risposta attesa della valvola di uscita, della pressione a valle e del meccanismo;
- passaggi di ripristino e controlli prima della prova successiva;
- risultato effettivo, file di prova, testimone, data e disposizione.
Inietta un solo guasto pianificato alla volta, a meno che la valutazione del rischio e il piano di validazione richiedano esplicitamente prove con guasti accumulati. Combinazioni incontrollate rendono difficile la diagnosi e possono creare uno stato pericoloso che la procedura non aveva previsto. Dopo ogni prova, conferma che ponticelli temporanei, tappi, forzature software, tubi strozzati e segnali di retroazione simulati siano stati rimossi.
Nella nostra esperienza di revisione dei pacchetti di validazione, l'artefatto di prova più pericoloso è un bypass temporaneo non documentato. Un cavo di prova numerato e ben visibile insieme a una checklist di ripristino firmata sono controlli semplici, ma impediscono che una prova di guasto superata lasci la macchina in una condizione elusa.
Matrice di iniezione dei guasti di ingresso e logica
La ISO 13849-1 si applica agli elementi elettrici, pneumatici, idraulici, meccanici e software nelle funzioni di sicurezza ad alta richiesta o in modalità continua. Un circuito a due mani può quindi guastarsi a causa di cablaggio, tubazioni, meccanica dell'attuatore, parametri logici o alimentazioni condivise. L'elenco dei guasti deve seguire la tecnologia implementata invece di presumere che ogni sistema sia puramente elettrico (ISO 13849-1, 2023).
Seleziona i guasti dall'analisi dei guasti del progetto e dai manuali di sicurezza dei componenti. La matrice seguente fornisce spunti di prova; non dichiara che ogni guasto elencato sia applicabile o possa essere iniettato in sicurezza.
| Spunto di guasto | Che cosa mette alla prova | Prove da acquisire |
|---|---|---|
| Circuito aperto dell'ingresso A o perdita del segnale pneumatico | perdita del singolo canale | stato dell'uscita, diagnostica, inibizione del riavvio |
| Circuito aperto dell'ingresso B o perdita del segnale pneumatico | indipendenza del canale opposto | stesse prove con i canali invertiti |
| Cortocircuito dell'ingresso verso alimentazione o pressione mantenuta | ingresso bloccato attivo | comportamento di anti-elusione e rilevamento del guasto |
| Cortocircuito dell'ingresso verso comune o scarico | ingresso bloccato inattivo | assenza di falsa uscita e diagnostica corretta |
| Cortocircuito incrociato o tubi incrociati, quando plausibile | indipendenza dei canali e monitoraggio della discrepanza | se una sola azione può soddisfare entrambi i canali |
| Attuatore trattenuto meccanicamente | resistenza all'elusione | assenza di un ciclo ripetuto dall'attuatore libero |
| Temporizzazione dell'ingresso fuori dalla finestra consentita | monitoraggio della sincronizzazione | timestamp e uscita rifiutata |
| Parametro di temporizzazione alterato | controllo della configurazione | protezione degli accessi, checksum, diagnostica, risultato della prova |
| Alimentazione del modulo di ingresso persa | comportamento di diseccitazione | stato di uscita e riavvio |
| Ingresso di reset mantenuto o guasto | monitoraggio del reset | il reset non avvia il movimento né maschera un guasto d'ingresso |
Non creare un cortocircuito a meno che le istruzioni del componente e l'allestimento di prova rendano sicuro quel metodo. Può essere preferibile un impulso di prova integrato nel controllore o un'unità certificata di inserimento dei guasti. Gli ingressi pneumatici possono richiedere un metodo approvato dal costruttore per bloccare, sfiatare o mantenere il segnale invece di schiacciare i tubi o installare restrizioni non elencate.
Prova la simmetria dei canali. Se il guasto del canale A viene rilevato ma il guasto corrispondente del canale B no, esamina cablaggio, configurazione diagnostica e ipotesi di causa comune. Una coppia di ingressi non è ridondante soltanto perché sulla console sono visibili due pulsanti.
Matrice di iniezione dei guasti di uscita e pneumatici
Festo descrive il comando pneumatico a due mani come un azionamento simultaneo che produce un segnale di uscita. Quel segnale non è lo stato sicuro in sé. La messa in servizio deve provare valvola a valle, percorso della pressione, attuatore, carico e retroazione, perché un elemento di uscita guasto o uno scarico limitato possono cambiare la risposta della macchina (Pneumatic Safety di Festo).
Inizia dalle modalità di guasto dell'uscita identificate dal manuale di sicurezza della valvola e dall'analisi del circuito. Alcuni guasti dovrebbero essere simulati tramite retroazione o dispositivo di prova invece di bloccare fisicamente una valvola. Il metodo non deve danneggiare un componente certificato né creare un movimento incontrollato.
| Spunto di guasto | Domanda ingegneristica richiesta | Prove installate |
|---|---|---|
| Un canale di uscita non commuta | L'architettura restante mantiene la funzione di sicurezza specificata? | uscita del controllore, retroazione della valvola, pressione, movimento |
| La retroazione della valvola resta nello stato precedente | La discrepanza viene rilevata entro il tempo richiesto? | traccia della retroazione, codice diagnostico, inibizione del ciclo successivo |
| Percorso dello scarico limitato fino al limite plausibile | Il decadimento della pressione e il movimento restano entro i limiti di accettazione? | curva della pressione a valle e movimento pericoloso |
| Silenziatore ostruito o accessorio errato montato | La configurazione documentata rileva o tollera la restrizione? | codice del componente, traccia della pressione, risultato della prova |
| Pressione di alimentazione minima e massima consentita | La risposta sicura resta valida nell'intero intervallo ammesso? | pressione alla porta, stato valvola, risultato dell'arresto |
| Alimentazione d'aria persa e ripristinata | Il ripristino della pressione può avviare il movimento? | stati dei comandi, aumento della pressione, posizione dell'attuatore |
| Tubo a valle guasto o con perdita | Il carico si muove, si libera o cade? | stato del carico e risposta del vincolo indipendente |
| Retroazione di posizione o pressione forzata a un valore errato | La logica di plausibilità rileva la discrepanza? | valori del sensore, diagnostica, comportamento dell'uscita |
| Carico di gravità o molla attivo dopo lo sfiato | Lo scarico è davvero lo stato sicuro? | movimento misurato e stato del dispositivo di mantenimento |
La risposta pneumatica sicura può essere blocco, scarico, arresto e mantenimento, ritorno controllato o una combinazione. Lo sfiato immediato non è universalmente sicuro. Un cilindro verticale può scendere e una pinza può liberare un pezzo. Usa la guida all'integrazione delle valvole di scarico di sicurezza e la guida ai blocchi dello stelo del cilindro quando queste funzioni fanno parte della riduzione del rischio.
La retroazione della valvola dimostra che un elemento valvola ha raggiunto uno stato monitorato. Non dimostra che la pressione sul pericolo sia diminuita abbastanza rapidamente o che il movimento pericoloso si sia arrestato. La traccia di validazione deve estendersi oltre la valvola monitorata fino alla variabile fisica che può ferire una persona.
Misurazione della risposta della macchina installata
La regola OSHA sulle presse con trasmissione meccanica usa una costante di velocità della mano di 63 pollici al secondo insieme al tempo di arresto o chiusura misurato per specifiche protezioni a due mani. La lezione più ampia è che la distanza di sicurezza dipende dalla risposta della macchina installata, non dal tempo di catalogo di un relè o di una valvola (OSHA 1910.217).
Correla nel tempo gli eventi che definiscono la funzione di sicurezza:
- transizione dell'ingresso mano A e dell'ingresso mano B;
- decisione della logica di sicurezza e comando dell'uscita;
- retroazione della valvola di uscita o posizione dell'elemento monitorato;
- pressione a valle nella zona rilevante;
- movimento dell'attuatore, della slitta, della pinza o dell'attrezzatura;
- raggiungimento della soglia specificata dello stato sicuro.
Usa strumenti di misura con risoluzione e accuratezza sufficienti per il limite di accettazione. Registra stato di calibrazione, frequenza di campionamento, campo del sensore, metodo di trigger e scala del segnale. Un video del telefono può aiutare a spiegare un evento, ma non sostituisce dati tracciabili di temporizzazione e movimento quando il limite è vicino.
Misura la condizione peggiore plausibile, non soltanto un ciclo vuoto conveniente. Le variabili rilevanti possono comprendere carico massimo, velocità massima, pressione di alimentazione minima e massima, funzionamento caldo e freddo, stato di usura del freno, tubo più lungo consentito, silenziatore ammesso, scarico limitato, posizione sfavorevole del cilindro e direzione della gravità.
La ISO 13855:2024 tratta il posizionamento dei dispositivi di comando a due mani e di altre protezioni rispetto all'avvicinamento umano. Usa la norma applicabile e i requisiti di tipo C per la macchina reale. Non riutilizzare la formula OSHA per le presse meccaniche o un valore generico di 500 ms per una struttura pneumatica diversa (ISO 13855, 2024).
Conserva le tracce grezze insieme al risultato sintetico di superamento. Un rapporto deve permettere al revisore di identificare sulla stessa base temporale richiesta di sicurezza, variazione dell'uscita, risposta della pressione, risposta meccanica e soglia di accettazione.
Come si devono provare reset, ripristino dell'alimentazione e cambi di modalità?
OSHA 1910.217 richiede il rilascio dei comandi manuali di tutti gli operatori prima che una corsa interrotta possa riprendere nei comandi specificati per presse. La ISO 13849-1 considera riavvio e comportamento della funzione di sicurezza parte della progettazione completa del controllo. La messa in servizio deve provare reset, cicli dell'alimentazione, ripristino dell'aria e cambi di modalità come eventi distinti (OSHA 1910.217; ISO 13849-1).
Un reset dovrebbe riconoscere una condizione sicura e consentire un comando successivo. Non dovrebbe avviare da solo un movimento pericoloso. Verifica questo principio con gli ingressi manuali rilasciati, uno mantenuto, entrambi mantenuti e ogni segnale di retroazione rilevante corretto o errato.
Prova almeno queste transizioni:
- controllore spento e acceso con nessun attuatore manuale premuto;
- alimentazione ripristinata con un attuatore mantenuto;
- alimentazione ripristinata con entrambi gli attuatori mantenuti;
- aria ripristinata prima dell'alimentazione elettrica e nell'ordine inverso;
- reset azionato mentre un ingresso resta attivo;
- reset azionato mentre la retroazione della valvola è discrepante;
- cambio da automatico a manuale e da manuale ad automatico;
- rientro da un arresto di emergenza;
- rientro da una richiesta di sicurezza del riparo o esterna;
- perdita e ripristino della comunicazione quando viene usata sicurezza in rete.
Registra se la macchina resta ferma, se la pressione aumenta, se un attuatore si muove e quale azione deliberata è necessaria prima di un nuovo ciclo. «Nessun bit di uscita» non basta se il ripristino dell'aria può spostare una valvola con ritorno a molla o muovere un meccanismo caricato dalla gravità.
Arresto di emergenza e comando a due mani sono funzioni di sicurezza separate. La ISO 13850 definisce la funzione di arresto di emergenza indipendentemente dalla tecnologia energetica. Non usare una prova di arresto di emergenza superata per chiudere un requisito fallito del comando a due mani, o viceversa (ISO 13850, confermata nel 2020).
Perché il lockout/tagout è un confine di prova separato?
OSHA 1910.147 include esplicitamente l'energia pneumatica e richiede che gli interventi di manutenzione coperti affrontino energizzazione inattesa, avviamento e rilascio dell'energia accumulata. Un dispositivo a due mani o un relè di sicurezza è una protezione operativa, non automaticamente un dispositivo di isolamento dell'energia. La messa in servizio deve tenere separata la prova della funzione di sicurezza dalla verifica dell'isolamento per la manutenzione (OSHA 1910.147).
Una valvola manuale di alimentazione e sfiato bloccabile può supportare una procedura di controllo dell'energia quando dispositivo, installazione, controlli dell'energia accumulata e passaggi di verifica soddisfano i requisiti applicabili. La sua presenza non stabilisce il Performance Level di una funzione di sicurezza automatica. Allo stesso modo, premere un arresto di emergenza o rimuovere un'uscita di sicurezza non isola automaticamente ogni fonte di energia.
Quando l'iniezione dei guasti richiede di entrare nella zona pericolosa, cambiare tubazioni, trattenere una valvola o toccare un carico, applica la procedura di isolamento autorizzata del sito. Identifica energia pneumatica, elettrica, meccanica, gravitazionale, di molla, vuoto, idraulica e termica. Scarica, scollega, blocca o trattieni l'energia accumulata, poi verifica l'isolamento prima di iniziare il lavoro.
Dopo aver completato la modifica, rimuovi strumenti e dispositivi di prova temporanei, ripristina i ripari, verifica che le persone siano fuori dalla zona e segui la procedura autorizzata di ritorno al servizio. La prova funzionale successiva inizia solo dopo che la macchina è stata riportata nella configurazione di prova definita.
La guida alla selezione delle valvole manuali e meccaniche spiega le normali funzioni delle valvole. Non attribuire a una valvola manuale ordinaria il ruolo di dispositivo di isolamento con classe di sicurezza o di ingresso THCD, a meno che la documentazione supporti esattamente quell'uso.
Quali prove rendono verificabile il rapporto di validazione?
La ISO 13849-2 richiede la validazione delle funzioni di sicurezza specificate, della Categoria e del Performance Level mediante analisi e prove. Una checklist di superamento/fallimento da sola non può mostrare quale configurazione sia stata provata. Il rapporto finale deve collegare ogni requisito a metodo, risultato misurato, risposta al guasto, file di prova e disposizione approvata (ISO 13849-2, 2012).
Usa una riga per ogni prova invece di una riga per ogni componente:
| Campo del rapporto | Contenuto richiesto |
|---|---|
| Funzione di sicurezza | identificatore, descrizione, pericolo, stato sicuro, PLr |
| Requisito | criterio esatto di stato, temporizzazione, movimento, pressione o riavvio |
| Configurazione | numero di serie della macchina, revisioni dei disegni, checksum del programma, revisioni dei dispositivi |
| Condizioni di prova | modalità, pressione, carico, velocità, posizione, temperatura, accessori |
| Azione di prova | comando normale o guasto iniettato esatto e relativo metodo |
| Risultato atteso | diagnostica, uscita, pressione, movimento, comportamento di riavvio |
| Risultato effettivo | valori misurati e osservazioni, non soltanto «superato» |
| Prove | traccia, fotografia, video, log del controllore, file dello strumento, riferimento di calibrazione |
| Ripristino | modifiche temporanee rimosse e configurazione normale verificata |
| Disposizione | superato, fallito, deviazione, azione correttiva, riferimento della ripetizione |
| Approvazione | esecutore della prova, revisore indipendente quando richiesto, data, firme |
Mantieni allineati i registri di calcolo e di validazione. Se cambiano tipo di valvola, programma del controllore, dimensione del tubo, silenziatore, pressione di alimentazione, carico mobile, freno, attrezzatura o definizione dello stato sicuro, verifica quali analisi e prove non sono più valide. Il controllo della configurazione fa parte delle prove.
Prima di rilasciare la macchina, riconcilia ogni prova fallita o interrotta. Un «superato dopo la regolazione» non spiegato non è una chiusura. Registra che cosa è cambiato, perché il cambiamento è accettabile, quali documenti sono stati revisionati e quali prove di regressione sono state ripetute.
ANSI B11.19-2019 (R2024) copre i requisiti prestazionali per progettazione, installazione, funzionamento e manutenzione delle protezioni e di altre misure di riduzione del rischio. Per i macchinari nordamericani, usala insieme alla norma B11 specifica della macchina e ai requisiti legali applicabili invece di trattare una checklist generica come certificazione (ANSI B11.19).
Quando la prova deve fermarsi e tornare all'ingegneria?
La ISO 12100 richiede che la riduzione del rischio sia valutata e verificata lungo l'intero ciclo di vita della macchina. La messa in servizio non può approvare una funzione di sicurezza aggirando con una regolazione un pericolo non definito, un arresto instabile o una risposta al guasto fallita. Quando i criteri di accettazione non possono essere soddisfatti con coerenza, interrompi la prova e riporta il progetto all'ingegneria (ISO 12100).
Interrompi la prova quando:
- lo stato sicuro è assente, contraddittorio o cambia tra i documenti;
- un guasto produce movimento pericoloso inatteso o rilascio del carico;
- un bypass temporaneo non può essere identificato e controllato positivamente;
- i risultati misurati di arresto o decadimento della pressione superano il limite;
- i risultati variano oltre la tolleranza consentita nelle condizioni di carico o pressione;
- la documentazione di valvola, controllore o THCD non copre la configurazione installata;
- il calcolo del PL raggiunto dipende da dati non verificati dei componenti;
- una diagnostica non inibisce il ciclo richiesto dalla specifica;
- il ripristino dell'alimentazione o dell'aria crea un movimento inatteso;
- la prova richiederebbe di esporre una persona a un pericolo incontrollato;
- la configurazione di prova non corrisponde più ai disegni e al software rilasciati.
Non nascondere un guasto di progettazione aumentando il ritardo del controllore, riducendo la velocità della macchina, spostando i pulsanti o aggiungendo un'istruzione all'operatore senza aggiornare la valutazione del rischio e la base di validazione. Una modifica può essere una soluzione valida, ma crea una nuova configurazione che deve essere esaminata e sottoposta di nuovo a prova.
Per un'offerta o una revisione tecnica, invia la specifica della funzione di sicurezza, il tipo THCD selezionato, gli schemi del circuito, il PLr, i dati della valvola, condizioni di carico e pressione, limiti temporali, elenco dei guasti e prove richieste tramite la pagina di contatto tecnico.
FAQ sulla messa in servizio dei circuiti di sicurezza a due mani
La ISO 13851 definisce tre tipi di THCD, mentre la ISO 13849-1 non prescrive un unico PLr universale. Le risposte seguenti si concentrano quindi su validazione e documentazione dell'installazione. Il manuale del dispositivo selezionato, la valutazione del rischio della macchina, la norma di tipo C applicabile e i requisiti legali locali restano le fonti prevalenti.
Un ciclo normale con due pulsanti può dimostrare che il circuito è sicuro?
No. Dimostra soltanto che un comando previsto ha prodotto un'uscita nelle condizioni provate. La validazione deve mettere alla prova anche ingressi anticipati, ritardati, mantenuti, rilasciati e guasti; discrepanze di uscita e retroazione; ripristino dell'alimentazione e dell'aria; e risposta fisica della macchina. I criteri di accettazione devono derivare dalla specifica approvata della funzione di sicurezza.
Entrambi i pulsanti devono sempre essere premuti entro 500 ms?
Non applicare 500 ms come valore universale della macchina. Il comportamento di sincronizzazione consentito dipende dal tipo THCD selezionato, dalle istruzioni del prodotto, dalla norma applicabile e dalla specifica della funzione di sicurezza. Prova valori inferiori, uguali e superiori al limite documentato sia nell'ordine A-prima sia B-prima, poi registra i timestamp degli ingressi e dell'uscita di sicurezza.
L'iniezione dei guasti può essere eseguita su una macchina di produzione in funzione?
Solo secondo una procedura di validazione controllata e autorizzata che impedisca l'esposizione al pericolo. Barriere, vincoli, modalità di prova, limiti di energia, passaggi di recupero e personale qualificato devono essere definiti prima di iniettare un guasto. Se il lavoro richiede di entrare nella zona pericolosa o modificare percorsi di energia, applica la procedura di isolamento del sito.
La retroazione della valvola dimostra che la macchina ha raggiunto uno stato sicuro?
No. La retroazione può mostrare che un elemento valvola monitorato ha raggiunto una posizione, ma la pressione può restare intrappolata e il meccanismo può continuare a muoversi. Misura la variabile fisica di accettazione indicata dalla funzione di sicurezza, come corsa pericolosa, tempo di arresto, pressione a valle, stato della pinza o vincolo del carico.
Con quale frequenza si deve ripetere la prova del circuito a due mani?
Non esiste un intervallo universale giornaliero, mensile o annuale per ogni circuito. Definisci gli intervalli di ispezione e prova funzionale a partire da valutazione del rischio, istruzioni dei componenti, frequenza d'uso, progettazione diagnostica, ambiente, norma specifica della macchina, requisiti legali e storico dei guasti. Rivalida i requisiti interessati dopo modifiche a hardware, software, attrezzatura, pressione, velocità o carico.
Da dove provengono i requisiti di validazione?
Le fonti seguenti definiscono confini complementari: la ISO 13851 tratta progettazione e selezione dei THCD; la ISO 13849 tratta progettazione e validazione dei controlli legati alla sicurezza; la ISO 13855 tratta il posizionamento delle protezioni; le regole OSHA si applicano a specifiche situazioni statunitensi relative a presse e controllo dell'energia. Nessuna sostituisce la valutazione del rischio della macchina o la norma di tipo C applicabile.
- ISO 13851:2019. Principi dei dispositivi di comando a due mani, tre tipi funzionali, prevenzione dell'elusione, selezione e verifica. Confermata nel 2024; consultata il 22 luglio 2026.
- ISO 13849-1:2023. Metodo di progettazione e integrazione delle parti dei sistemi di controllo legati alla sicurezza nelle tecnologie elettrica, pneumatica, idraulica, meccanica e software. Consultata il 22 luglio 2026.
- ISO 13849-2:2012. Validazione delle funzioni di sicurezza, delle Categorie e dei Performance Level mediante analisi e prove. Edizione pubblicata corrente in attesa di revisione; consultata il 22 luglio 2026.
- ISO 12100:2010. Principi di valutazione del rischio e riduzione del rischio nelle macchine. Confermata nel 2022; consultata il 22 luglio 2026.
- ISO 13855:2024. Posizionamento delle protezioni, inclusi i dispositivi di comando a due mani, rispetto all'avvicinamento umano. Consultata il 22 luglio 2026.
- ISO 13850:2015. Principi della funzione di arresto di emergenza indipendenti dalla tecnologia energetica. Confermata nel 2020; consultata il 22 luglio 2026.
- OSHA 29 CFR 1910.217. Requisiti statunitensi per presse con trasmissione meccanica relativamente a comandi e scatti a due mani specificati, inclusi azionamento simultaneo, anti-ripetizione e distanza di sicurezza. Consultata il 22 luglio 2026.
- OSHA 29 CFR 1910.147. Controllo dell'energia pericolosa, inclusa l'energia pneumatica, durante manutenzione e assistenza coperte. Consultata il 22 luglio 2026.
- ANSI B11.19-2019 (R2024). Requisiti prestazionali per protezioni e altre misure di riduzione del rischio. Consultata il 22 luglio 2026.