L’ammodernamento di un parco macchine datato e i requisiti di legge: quando una modifica trasforma la macchina in una macchina nuova?

Nel parco macchine datato, il confine tra ammodernamento e nascita di una nuova macchina raramente coincide con quanto lascia intendere il nome del progetto. A stabilire se si tratti ancora del ripristino di una funzione esistente oppure già di una modifica sostanziale non sono il telaio conservato, il vecchio quadro elettrico o il numero d’inventario, ma il risultato tecnico effettivo delle modifiche. È questo a determinare l’ambito delle responsabilità, la valutazione dei rischi, la documentazione e il successivo iter da seguire.

Per questo la domanda su quando un ammodernamento diventa una nuova macchina non è una riflessione da rimandare “alla fine”, dopo il montaggio e la messa in servizio. È una decisione da assumere all’inizio, prima di ripartire le attività tra integratore, sviluppatore del software e manutenzione. Se la qualificazione viene impostata in modo troppo restrittivo, il problema riemergerà nel momento più costoso: al collaudo, dopo le prime prove o in seguito a un incidente. A quel punto il costo non dipende più soltanto dalle soluzioni tecniche, ma dalla necessità di correggerle successivamente sotto la pressione del fermo impianto e delle responsabilità.

Modifica sostanziale – contesto del Regolamento Macchine 2023/1230

L’ammodernamento delle macchine più datate, oggi, sempre più raramente si limita alla sostituzione di singoli componenti usurati. Nella pratica vengono riprogettati interi livelli funzionali: controllo, azionamenti, sistemi di sicurezza, interfaccia operatore o comunicazione con altre apparecchiature. Un intervento di questo tipo incide non solo su affidabilità ed efficienza, ma anche su chi risponde del prodotto dopo le modifiche e su quale base lo si possa considerare sicuro.

Dal punto di vista progettuale, l’aspetto più importante è stabilire fin dall’inizio se, dopo la modifica, l’utilizzatore si trovi ancora sostanzialmente di fronte alla stessa macchina che svolge la stessa funzione in un regime di rischio analogo, oppure a un sistema con una nuova logica di funzionamento, nuovi stati operativi e diversi effetti su operatore, manutentore o ambiente circostante. Quanto più cambiano la funzione, l’architettura di controllo e il profilo di rischio, tanto più diventa difficile sostenere che si tratti soltanto di un normale ammodernamento, anche nel quadro del Regolamento Macchine 2023/1230.

Lo si vede bene, per esempio, in una vecchia linea in cui il controllo a relè viene sostituito con un controllore programmabile e, contestualmente, si aggiungono nuove modalità operative, il cambio formato automatico, la diagnostica remota e si modifica la sequenza dei movimenti. Dal punto di vista degli acquisti può sembrare un semplice ripristino di componenti ormai obsoleti. Dal punto di vista della sicurezza, però, nasce un oggetto tecnico diverso: reagisce in modo diverso ai guasti, arresta il movimento in modo diverso, ammette nuovi stati di funzionamento e modifica la relazione tra uomo e macchina.

Solo su questo sfondo occorre rapportarsi ai requisiti di legge. La sola sostituzione di parti usurate o il ripristino di una funzione esistente non comportano ancora la nascita di una nuova macchina. Diverso è il caso in cui la modifica abbia carattere sostanziale: cambia la destinazione d’uso, i parametri che incidono sulla sicurezza oppure combina i componenti in un nuovo insieme funzionale. La valutazione non può basarsi sul nome dell’intervento né sul mantenimento di una parte della vecchia struttura. Conta il risultato tecnico e il suo impatto sul rischio. Se tale risultato non è univoco, occorre considerare anche se il sistema oggetto di ammodernamento non debba essere trattato come quasi-macchina oppure se non richieda una valutazione completa della sicurezza prima della messa in servizio, come previsto per l’adeguamento delle macchine ai requisiti minimi.

Dove più spesso aumentano costi o rischi

L’aumento maggiore dei costi in progetti di questo tipo, di norma, non deriva dal prezzo dei componenti, ma da un’errata qualificazione dell’ambito dei lavori. Se il team continua troppo a lungo a trattare la modifica come una riparazione e solo in seguito si accorge che, nella pratica, sono cambiati la funzione, il controllo o la struttura delle misure di protezione, il progetto smette di essere prevedibile. Bisogna tornare alle ipotesi iniziali, rielaborare soluzioni già ordinate o implementate, integrare la documentazione e rinviare i collaudi.

La fonte di rischio più frequente è un processo decisionale frammentato. Meccanica, automazione e manutenzione eseguono correttamente le rispettive parti, ma senza un criterio comune per valutare l’effetto finale. Eppure, ai fini della sicurezza e delle responsabilità, non conta la correttezza del singolo elemento, bensì il risultato dell’intero sistema: se sono cambiati la destinazione d’uso, il modo di utilizzo, i limiti della macchina, le dipendenze tra apparecchiature e le misure di riduzione del rischio. Se dopo l’ammodernamento l’operatore, il manutentore o il materiale si muovono attraverso il sistema in modo diverso rispetto a prima, e la sicurezza dipende da nuove funzioni di controllo o da nuove interazioni tra moduli, non si tratta più di una semplice sostituzione di componenti.

La situazione tipica appare poco appariscente. Lo stabilimento prevede di aggiornare una postazione sostituendo il controllore, aggiungendo barriere fotoelettriche e l’alimentazione automatica del pezzo. Ognuna di queste modifiche, presa singolarmente, può sembrare ragionevole e circoscritta. Il problema inizia quando il nuovo sistema cambia la sequenza dei movimenti, elimina parte delle operazioni manuali e introduce una dipendenza tra apparecchiature che prima lavoravano in modo indipendente. In una situazione del genere non basta verificare se i nuovi componenti dispongano della propria documentazione del fabbricante. Occorre valutare l’insieme come funzione tecnologica integrata, tenendo conto anche del contesto dell’automazione dei processi produttivi.

Questo, a sua volta, fa scattare ulteriori obblighi di progettazione: verifica delle misure di protezione, revisione delle istruzioni d’uso e manutenzione, aggiornamento degli schemi, descrizione delle nuove modalità operative e delle procedure per l’eliminazione delle anomalie. Se il team se ne accorge solo in fase di collaudo, il costo non deriva più dalla sola conformità, ma dalle modifiche eseguite sotto la pressione del fermo produttivo. È proprio per questo che la responsabilità non può essere trasferita efficacemente con una semplice clausola nell’ordine. Se l’ammodernamento presenta le caratteristiche di una modifica sostanziale, la valutazione deve riguardare la sicurezza dell’intera macchina o dell’insieme di macchine dopo la modifica, e non soltanto la conformità delle singole forniture.

Sotto il profilo giuridico, questo è il momento decisivo. Quando, dopo l’ammodernamento, cambia il soggetto che di fatto risponde della soluzione tecnica nel suo complesso, aumentano sia il rischio progettuale sia il rischio di assumere il ruolo di fabbricante. Anche se la qualificazione formale richiede ancora un’analisi, prima della messa in servizio occorre fermarsi e mettere ordine negli elementi di base: campo delle funzioni, confini del sistema, responsabilità dell’integrazione ed elenco dei documenti che, dopo la modifica, non sono più aggiornati.

Come affrontare il tema nella pratica

Il punto di partenza non dovrebbe essere come chiamare il progetto, ma chi, dopo la modifica, risponde del funzionamento della macchina nel suo complesso. Da questa risposta dipendono il cronoprogramma, il budget, il modo di gestire i collaudi e la preparazione della documentazione. Se la modifica riguarda la logica di comando, le funzioni di sicurezza, la sequenza operativa, l’interazione con altre apparecchiature oppure incide sui parametri che determinano il rischio, il progetto deve essere gestito come se la qualificazione potesse portare a considerare il sistema una nuova macchina o, quantomeno, un insieme tecnico sostanzialmente modificato.

Non si tratta di un eccesso di formalizzazione, ma del corretto ordine delle decisioni. Per prima cosa occorre stabilire chi è responsabile dell’architettura della soluzione, chi approva i confini del sistema e chi garantisce la coerenza della documentazione. Solo dopo ha senso suddividere l’ambito tra meccanica, automazione, software e supporto alla manutenzione. Se nessuno governa la modifica come un’unica soluzione tecnica, il progetto di solito appare meno costoso nell’ordine, ma diventa più oneroso durante le prove, i collaudi e dopo l’avviamento. In questi casi è importante anche organizzare correttamente la collaborazione tra integratore, software house e manutenzione, per esempio valutando se convenga un ufficio tecnico interno o l’outsourcing.

Un buon test consiste nel seguire una modifica concreta. Una vecchia macchina riceve un nuovo controllore, nuovi azionamenti, barriere fotoelettriche di sicurezza e viene inserita in una linea con alimentazione e scarico automatici dei pezzi. Il nucleo meccanico dell’apparecchiatura resta lo stesso, quindi è facile considerarla un semplice aggiornamento. Dopo la modifica, però, emerge che l’arresto di emergenza funziona in modo diverso, che il bloccaggio dei ripari è realizzato diversamente e che l’operatore non gestisce più una macchina singola, ma una parte di un processo integrato. A quel punto il peso principale del progetto non sta nel prezzo dei componenti, ma nella necessità di ridefinire le funzioni, verificare gli scenari di errore, aggiornare istruzioni, schemi e criteri di collaudo.

In pratica, prima di iniziare i lavori conviene rispondere almeno a tre domande:

• Dopo la modifica cambia il modo in cui viene comandato il movimento o l’arresto della macchina?
• La modifica influisce sulle funzioni di sicurezza o sui confini dell’intero sistema?
• Un unico soggetto deve integrare la soluzione e confermarne la correttezza nel suo complesso?

Se la risposta a queste domande è affermativa, occorre adottare un regime più rigoroso di valutazione e documentazione. Non si può presumere che la questione si esaurisca con le dichiarazioni relative ai nuovi componenti. Solo a quel punto ha senso stabilire se l’entità delle modifiche avvicina il progetto al trattamento previsto per una nuova macchina. Vale anche la pena distinguere due aspetti che nella pratica vengono spesso confusi: se il progetto richiede una nuova qualificazione giuridica e se, dopo l’ammodernamento, la macchina è effettivamente sicura. Sono questioni collegate, ma non coincidenti, e ciascuna richiede una conferma separata prima dell’avviamento produttivo, preferibilmente sulla base di un’analisi dei rischi nel progetto.

A cosa prestare attenzione in fase di implementazione

La maggior parte degli errori si verifica quando le domande giuste vengono poste troppo tardi. Se il team scopre solo dopo il montaggio che sono state modificate la logica di funzionamento, i confini del sistema o le funzioni di sicurezza dell’intera macchina, l’implementazione entra in una fase di correzioni costose. Bisogna tornare alla documentazione, ricontrollare le soluzioni tecniche, integrare le evidenze di conformità e rinviare i collaudi. Dopo la messa in servizio non conta più il nome del progetto riportato nell’ordine, ma l’effetto tecnico reale della modifica.

Per questo già nella fase concettuale conviene adottare un criterio semplice: dopo l’ammodernamento si può ancora affermare con attendibilità che si tratta della stessa macchina con un sottogruppo ripristinato o migliorato, oppure è nata una funzione produttiva di nuova configurazione, un nuovo modo di comando o una nuova configurazione del rischio. Questo non sostituisce l’analisi, ma aiuta a mettere ordine nelle decisioni. Se la modifica richiede di ridefinire la sequenza operativa, le aree di accesso, le modalità manuali, l’arresto, le dipendenze tra macchine o la reazione del sistema a un guasto, fin dall’inizio occorre adottare un regime tecnico e formale più rigoroso.

Un caso limite è ben rappresentato dalla sostituzione del comando con uno programmabile, accompagnata dall’aggiunta di nuovi azionamenti e dalla modifica dell’interazione con il trasportatore di alimentazione. Formalmente la si può descrivere come ammodernamento di una linea esistente, ma dal punto di vista tecnico le conseguenze sono più ampie: cambiano le condizioni di avviamento, i tempi di arresto, le relazioni tra i ripari e il movimento, nonché il comportamento della macchina in caso di mancanza e ripristino dell’alimentazione. Se a questo si aggiungono un nuovo pannello operatore, una nuova modalità di regolazione o un intervento di assistenza da remoto, il rischio non deriva più dai singoli componenti, ma dall’architettura dell’intera soluzione, comprese le funzioni di sicurezza del sistema di comando dopo la modifica.

In una situazione del genere, la domanda corretta non è se i nuovi componenti dispongano di proprie dichiarazioni, ma chi si assume la responsabilità del corretto funzionamento del sistema dopo l’integrazione e se ciò possa essere dimostrato con prove, analisi dei rischi e documentazione finale di progetto. Di solito è questo il momento in cui la sicurezza pratica e la qualificazione giuridica smettono di procedere su binari separati. Se l’entità della modifica è tale da creare una nuova configurazione funzionale della macchina o dell’insieme di macchine, non basta conservare il vecchio manuale e allegare la documentazione dei nuovi sottogruppi. Occorre verificare se non sorga l’obbligo di effettuare una valutazione di conformità completa per l’insieme, predisporre la documentazione tecnica completa e aggiornare le informazioni per l’utilizzatore in base allo stato reale della macchina dopo le modifiche, anche nel quadro della marcatura CE.

Nei progetti ambigui, la scelta più prudente è basare la decisione su una descrizione documentata dell’ambito dell’ammodernamento, su un’analisi dell’impatto sulle funzioni di sicurezza e sull’indicazione chiara del soggetto responsabile dell’integrazione. In mancanza di ciò, è facile trascurare non solo gli obblighi legati alla marcatura CE dopo una modifica sostanziale, ma anche l’obbligo, più semplice e spesso sottovalutato, di aggiornare in modo accurato il manuale d’uso della macchina dopo la modifica, gli schemi, le descrizioni delle modalità operative e le regole di manutenzione. Durante questi interventi, inoltre, può essere rilevante organizzare in modo rigoroso anche le procedure Lockout Tagout.

La conclusione gestionale è semplice: il modo in cui qualificare l’ammodernamento va definito prima di ordinare le soluzioni di dettaglio, non dopo la loro consegna. In caso contrario, ogni esigenza tardiva di prove aggiuntive, ripari, interblocchi, validazione delle funzioni di sicurezza o correzioni della documentazione apparirà come un costo non previsto, anche se in realtà deriva da un’ipotesi iniziale errata. Nei progetti al limite conviene quindi monitorare non solo la scadenza del montaggio, ma anche il numero dei rischi di sicurezza ancora aperti prima del collaudo, le modifiche alla logica di comando dopo i test di integrazione e la completezza della documentazione per l’utilizzatore e per la manutenzione. Questi segnali mostrano rapidamente se si tratta ancora dell’ammodernamento di una macchina esistente oppure già di un intervento che, di fatto, porta alla nascita di una nuova macchina e all’assunzione delle responsabilità proprie del fabbricante. In fase di pianificazione è utile considerare anche i costi nascosti nella pianificazione del budget per la certificazione CE e il contesto più ampio rappresentato dall’adeguamento delle macchine ai requisiti minimi nella pratica di stabilimento.