Progettazione dei circuiti di arresto di emergenza secondo ISO 13850: quando il reset deve essere manuale e quando può essere automatico?

La scelta tra reset manuale e automatico dopo l’intervento dell’arresto di emergenza dovrebbe essere definita già in fase di progettazione. In seguito, questa decisione smette di essere una semplice impostazione del programma e inizia a incidere contemporaneamente sull’architettura del controllo, sul comportamento di azionamenti e utenze, sulle prove di accettazione, sulle istruzioni per l’uso e sulle modalità di gestione delle anomalie. In pratica, quindi, non si tratta solo di scegliere il tipo di reset, ma di stabilire quale stato raggiunge la macchina dopo lo sblocco dell’E-STOP e se tale stato sia sicuro senza un’ulteriore azione consapevole da parte dell’operatore.

Il reset non è un dettaglio

La questione del reset dopo l’E-STOP viene affrontata molto spesso troppo tardi. Quando la logica della macchina è già definita, le sequenze di processo sono già state scritte e il sistema di controllo ha già assunto determinate condizioni sugli stati degli azionamenti e dei segnali dopo la perdita della funzione di sicurezza, cambiare il modo di eseguire il reset non è più una semplice correzione. Comincia a influire sul programma del controllore, sulle funzioni di sicurezza nell’automazione industriale, sulle prove funzionali, sulla documentazione e sulle condizioni di accettazione. Per questo motivo, il modo di procedere dopo l’intervento dell’arresto di emergenza non dovrebbe dipendere né dalle abitudini del progettista né dalla pressione di ridurre i tempi di fermo.

Si tratta di una decisione architetturale. Va collegata alla risposta a due domande: quale stato deve raggiungere la macchina dopo lo sblocco del dispositivo di arresto di emergenza e se tale stato sia esclusivamente uno stato sicuro oppure già uno stato di prontezza al movimento. È proprio qui che si verifica più spesso l’errore. Non consiste nella sola scelta tra reset manuale o automatico, ma nel fatto che il team non analizzi se, dopo il rilascio dell’E-STOP, la macchina possa passare a uno stato che l’operatore non si aspetta.

Se il rilascio del pulsante non comporta soltanto l’azzeramento della funzione di arresto, ma anche il ripristino della disponibilità degli azionamenti, il ritorno dell’alimentazione pneumatica oppure il riposizionamento della logica di processo alla fase da cui il movimento può ripartire con un singolo segnale di start, non è possibile valutare la situazione soltanto in termini di comodità. Occorre analizzare il riavvio intenzionale, la prevenzione dell’avviamento inatteso e l’ergonomia d’uso: chi esegue il reset, da quale posizione e se da quel punto abbia realmente visibilità sulla zona pericolosa.

Ciò che conta è il comportamento dell’intero sistema dopo l’intervento, non soltanto il pulsante E-STOP in sé. Bisogna sapere se gli azionamenti restano disinseriti, se i servoazionamenti tornano in stato di pronto dopo il rilascio, se il circuito pneumatico viene nuovamente alimentato dopo lo scarico, se i segnali nel controllore vengono mantenuti e in quale sequenza avvengano conferme e sblocchi. La valutazione è diversa per una macchina che, dopo il rilascio dell’arresto di emergenza, rimane ferma e richiede un comando di avvio separato e consapevole, rispetto a una che ritorna a una fase intermedia del processo e ricostituisce quasi automaticamente le condizioni per il movimento.

Qui emerge il criterio progettuale più importante: non chiedersi anzitutto che cosa sia formalmente ammesso, ma quale stato della macchina si determini realmente dopo lo sblocco dell’E-STOP e se tale stato sia sicuro senza un’ulteriore azione dell’operatore. Il riferimento normativo aiuta a ordinare questa valutazione, ma non la sostituisce. Il punto centrale non è la comodità d’uso, bensì il fatto che il reset non generi di per sé una situazione pericolosa.

Dove aumentano davvero rischio e costo

La maggior parte degli errori di progettazione non si verifica quando la macchina, dopo l’intervento dell’E-STOP, semplicemente si arresta, ma quando l’arresto avviene in uno stato intermedio. Ciò riguarda in particolare le linee di produzione e tecnologiche, le celle robotizzate, i sistemi con serraggio, gli azionamenti multiasse e i circuiti con energia accumulata nella pneumatica, nell’idraulica o negli elementi meccanici. In questi sistemi, eliminare la causa dell’arresto non significa ancora poter riprendere il lavoro in sicurezza.

Il prodotto può rimanere incastrato, un asse può fermarsi fuori dalla posizione sicura, il gripper può continuare a trattenere il pezzo e la pressione o la coppia possono continuare ad agire sul meccanismo. In una situazione del genere, la scelta tra reset manuale e automatico non riguarda la comodità dell’operatore, ma quale stato della macchina si crea realmente dopo il rilascio dell’E-STOP e se la persona lo interpreti correttamente.

Dal punto di vista progettuale, le soluzioni intermedie sono le più pericolose. Formalmente non avviano il ciclo, ma di fatto ripristinano la capacità della macchina di eseguire un movimento oppure provocano un movimento ausiliario. Il reset automatico è allettante dove contano la disponibilità dell’impianto e il rapido ritorno alla produzione; tuttavia, dopo il rilascio dell’E-STOP il controllore può ripristinare la disponibilità degli azionamenti, riattivare le uscite, ripristinare la pressione o sbloccare i freni. In quel momento l’operatore percepisce ancora la macchina come arrestata, anche se dal punto di vista dell’energia e della logica di controllo non è più inerte.

Sono proprio questi comportamenti semiautomatici a generare più spesso contestazioni in fase di accettazione. La macchina non riparte da sola con un ciclo completo, ma recupera energia, serra un elemento, raggiunge la posizione di riferimento oppure attiva una funzione ausiliaria. Dal punto di vista progettuale, non si tratta di dettagli dell’interfaccia, ma di decisioni che definiscono il confine tra un ripristino ammissibile dello stato di pronto e una ripresa del funzionamento non ammissibile.

In pratica il problema ha quasi sempre una natura mista, perché riguarda sia la sicurezza sia l’organizzazione del lavoro. Il reset manuale riduce il rischio di riavvio inatteso, ma se è progettato male genera rapidamente costi propri. Se il pulsante di reset è collocato fuori dal campo visivo della zona, richiede un ulteriore spostamento oppure non è chiaramente distinto dallo sblocco dell’E-STOP e dal comando di avvio, gli operatori iniziano a percepire la procedura come un ostacolo. A quel punto compaiono aggiramenti, interventi di manutenzione, correzioni delle istruzioni e formazione aggiuntiva. Se l’utilizzatore non riesce a distinguere in modo univoco tra lo sblocco del fungo, il reset del circuito di sicurezza e il riavvio del processo, il problema non riguarda solo il contenuto della norma, ma l’intera architettura operativa, compresi i messaggi HMI e la suddivisione della macchina in zone.

Un buon esempio è una cella con trasportatore e pinza pneumatica. Dopo l’intervento dell’E-STOP, il trasportatore si arresta, la pinza resta in una posizione intermedia e il pezzo non viene depositato. Quando l’E-STOP viene sbloccato, il controllo ripristina l’alimentazione pneumatica, perché non esiste una logica separata per la messa in sicurezza del circuito. Formalmente non è stato impartito alcun comando di avvio, ma il cilindro recupera energia e l’attuatore compie un breve movimento inatteso dovuto esclusivamente al ritorno della pressione. Un caso del genere può essere difficile da riprodurre durante le prove, ma compromette molto rapidamente la fiducia dell’utilizzatore nella macchina.

Le conseguenze vanno oltre il solo rischio di infortunio. Si verificano interventi di manutenzione, si allungano i tempi di collaudo, si rendono necessarie modifiche al programma, si aggiungono eccezioni alle istruzioni e nascono discussioni sul fatto che, dopo l’E-STOP, si debbano scaricare la pressione o la coppia motrice, oppure limitarsi a bloccare ulteriori comandi di movimento. Problemi analoghi si presentano anche con il ritorno automatico in posizione di riferimento dopo l’arresto e con un circuito E-STOP centralizzato che copre zone con visibilità diversa e con effetti differenti al ripristino dell’energia.

In questa fase, il riferimento alla PN‑EN ISO 13850 e ai requisiti per il dispositivo di arresto di emergenza aiuta a mettere ordine nella valutazione. Il solo fatto che, dopo lo sblocco dell’E-STOP, non si avvii completamente il ciclo non basta ancora a stabilire se la soluzione sia accettabile. Occorre valutare se il ripristino dell’energia, il ritorno alla prontezza degli azionamenti, l’azionamento della presa, il rilascio del freno degli assi oppure il movimento verso la posizione di riferimento creino una condizione pericolosa o fuorviante per l’operatore. Per questo, nella pratica, non si deve guardare al solo segnale di reset, ma all’intera sequenza.

Come prendere una decisione di progetto

La decisione sul reset dopo l’intervento dell’arresto di emergenza dovrebbe partire dalla descrizione degli stati della macchina, non da una valutazione della comodità d’uso. Bisogna definire con chiarezza che cosa accade dopo la pressione dell’E-STOP e dopo il suo sblocco: quali linee di energia vengono disconnesse, quali restano alimentate, se ritorna la prontezza degli azionamenti, se gli assi si sbloccano, se i cilindri possano completare il movimento per effetto della pressione residua, della gravità o dell’energia elastica e se, una volta ripristinata la prontezza, esista una qualsiasi sequenza automatica.

Solo su questa base si può rispondere se il semplice rilascio del fungo sia neutro dal punto di vista della sicurezza oppure costituisca già un cambiamento di stato che può esporre una persona a un rischio. Se lo sblocco dell’E-STOP ripristina l’energia in un modo i cui effetti non sono pienamente visibili all’operatore oppure che può modificare la posizione degli attuatori, il punto di partenza diventa il reset manuale. Se invece lo sblocco non provoca movimenti, non ripristina energia pericolosa e non avvia alcuna sequenza, si può valutare il ritorno automatico allo stato di pronto, ma solo se il successivo avvio del processo richiede un comando separato e inequivocabile.

In pratica aiuta distinguere tre azioni che troppo spesso vengono confuse in un unico segnale o in un unico messaggio operatore. Lo sblocco del dispositivo di arresto di emergenza è un’azione meccanica e significa soltanto che il pulsante è tornato in posizione di pronto. Il reset della funzione di sicurezza è una conferma separata che consente di considerare nuovamente soddisfatte le condizioni di sicurezza. L’avvio del processo è ancora un’altra cosa: la decisione di iniziare il movimento o di riprendere il ciclo.

Se questi livelli si sovrappongono, l’utilizzatore smette di capire se lo sblocco dell’E-STOP avvii già qualcosa oppure elimini soltanto un blocco, e il team di progetto perde la possibilità di sostenere la logica adottata durante la valutazione di conformità. Per la stessa ragione, la posizione del pulsante di reset ha un rilievo progettuale, non cosmetico. La persona che esegue il reset dovrebbe poter valutare la zona per la quale ripristina lo stato di pronto, oppure il sistema deve garantire un altro metodo affidabile di conferma dello stato.

Nelle linee più complesse questo può significare un reset locale per la singola zona, mantenendo lo stato di pronto del resto dell’impianto, ma solo se i confini delle zone, le dipendenze tra gli azionamenti e gli effetti del ripristino dell’energia sono definiti con chiarezza. Si tratta di una decisione di progetto che deve derivare dall’analisi delle funzioni, non dalla volontà di semplificare l’uso.

Un buon criterio decisionale è descrivere la sequenza, non limitarsi allo schema elettrico. Il team dovrebbe saper rispondere ad alcune domande di controllo:

• se, dopo lo sblocco dell’E-STOP, ritornino energia o prontezza degli attuatori in un modo percepibile dalla macchina,
• se possa verificarsi un qualsiasi movimento senza un comando di avvio separato,
• se la persona che esegue il reset veda l’intera zona e possa escludere la presenza di persone e uno stato intermedio del processo.

Se anche a una sola di queste domande non si può rispondere in modo chiaramente sicuro, il ripristino automatico diventa una soluzione difficile da giustificare. Ciò vale in particolare per i sistemi in cui, dopo l’arresto, il pezzo rimane nel dispositivo di presa, il cilindro si è fermato in una posizione intermedia, l’asse è mantenuto in coppia e la perdita del bloccaggio può provocare una discesa o uno spostamento. In questi casi il reset manuale non è un formalismo, ma impone una verifica consapevole della situazione prima di ripristinare lo stato di pronto.

Viceversa, laddove dopo lo sblocco dell’E-STOP il sistema rimane passivo e l’avvio del movimento richiede un’azione separata dell’operatore oppure una sequenza di livello superiore, il ripristino automatico può ridurre i tempi di fermo senza peggiorare il livello di sicurezza. Un esempio può essere una postazione con area di lavoro protetta e un azionamento che, dopo l’E-STOP, perde la possibilità di movimento ma, una volta sbloccato, recupera l’alimentazione di controllo e lo stato di pronto, senza eseguire alcun movimento di assi o cilindri. La stessa impostazione nel controllore diventa però discutibile in una macchina transfer, dove il rilascio dell’E-STOP sblocca il freno di un asse, ripristina la pressione ai distributori oppure consente di completare un passo di sequenza interrotto.

Per questo la decisione va definita non solo nel codice, ma anche nella documentazione di progetto: negli schemi, nella matrice degli stati, nella descrizione della sequenza di riavvio, nei messaggi HMI, nelle procedure di rimozione degli inceppamenti e negli scenari delle prove di accettazione. Se questa logica non si riesce a spiegare all’utilizzatore con una descrizione unica e coerente — che cosa fa il rilascio dell’E-STOP, che cosa fa il reset e che cosa avvia il processo — di solito è il segnale che la ripartizione delle funzioni è errata oppure troppo complessa.

Prima la pratica, poi il riferimento normativo

In pratica, il modo in cui si esegue il reset dopo l’intervento dell’arresto di emergenza non dipende dal nome della funzione, ma dalla risposta a una domanda semplice: che cosa accade esattamente alla macchina dopo il rilascio del fungo e se questo stato sia chiaramente sicuro. Si tratta di una decisione progettuale, non di una preferenza dell’utilizzatore né di una scorciatoia concettuale trasferita da una realizzazione precedente.

Il team deve essere in grado di descrivere l’intera catena degli eventi: arresto, disattivazione dell’energia fino al livello richiesto dalla valutazione del rischio, sblocco del dispositivo, reset della funzione, conferma dello stato di pronto e solo dopo nuovo avviamento. Se una qualsiasi di queste fasi si sovrappone a un’altra oppure dipende dal comportamento predefinito del controllore, si apre uno spazio per contestazioni in fase di accettazione e per errori di esercizio che in seguito non si possono correggere con la sola istruzione.

Questo emerge chiaramente nell’ammodernamento di una cella esistente, in cui l’utilizzatore si aspetta tempi di fermo più brevi dopo la rimozione di piccoli guasti, mentre l’integratore propone un ripristino automatico dopo il rilascio dell’E-STOP per semplificare l’uso. A livello di descrizione generale la soluzione appare ragionevole: l’operatore elimina la causa dell’arresto, sblocca il dispositivo e la macchina torna allo stato di pronto senza un pulsante di reset aggiuntivo. Il problema si manifesta solo nello stato intermedio.

Se, dopo il ripristino del fluido di lavoro, il cilindro recupera pressione in una posizione tale da poter eseguire una corsa, un accostamento o l’alleggerimento della pinza senza una nuova intenzione dell’operatore, il ritorno allo stato di pronto cessa di essere uno stato logico neutro. In realtà diventa una parte del movimento di processo, solo nascosta sotto un altro nome. Un caso del genere richiede di norma non un semplice ritocco del programma, ma un ritorno all’architettura delle funzioni: separare lo sblocco dal reset, introdurre una conferma esplicita dello stato di pronto oppure riprogettare la sequenza di depressurizzazione e di nuova alimentazione dell’energia.

Da questo esempio si vede anche quali evidenze progettuali contino davvero. Non basta dichiarare che dopo il rilascio non parte nulla, se nelle prove di accettazione non è stato verificato il comportamento di azionamenti, valvole, freni e passi di sequenza esattamente nel momento dello sblocco dell’E-STOP. Nella documentazione tecnica delle macchine dovrebbe esserci la registrazione dell’analisi dei rischi per questo scenario, la descrizione degli stati sull’HMI, lo scenario di prova dopo il rilascio dell’arresto di emergenza e una chiara conferma della logica di riavvio concordata con l’utilizzatore. È proprio su questi materiali che in seguito si valuta la coerenza della soluzione: in fase di accettazione della macchina, nell’aggiornamento delle procedure di accesso alla zona o delle procedure LOTO, nelle eccezioni per il modo di regolazione e di servizio e, in caso di incidente, anche nell’accertare se l’operatore poteva prevedere il comportamento del sistema.

Solo su questo sfondo vale la pena richiamare la ISO 13850. La norma chiarisce il ruolo dell’arresto di emergenza: deve servire ad arrestare il processo pericoloso oppure a limitare gli effetti del pericolo, e lo sblocco del dispositivo non può di per sé creare un nuovo stato pericoloso. Per il progettista la conclusione pratica è semplice: il solo ritorno del dispositivo E-STOP in posizione sbloccata non può sostituire un’azione consapevole richiesta dal concetto di sicurezza della macchina.

Nella realtà italiana ed europea, tuttavia, non si tratta soltanto di coerenza logica con la norma. È altrettanto importante la coerenza dell’intera soluzione con la documentazione tecnica conforme alla Direttiva Macchine, con le istruzioni per l’uso, con i risultati della valutazione dei rischi e, dopo l’ammodernamento, con l’ambito di aggiornamento della validazione delle funzioni di sicurezza. Sono questi gli elementi che verranno poi esaminati nel rapporto tra fornitore e utilizzatore, non una singola istruzione nel programma del controllore.

La conclusione pratica è inequivocabile. Se il progettista non è in grado di mostrare che cosa accade dopo il rilascio dell’E-STOP, quali energie vengano ripristinate, quali elementi possano cambiare posizione e perché questa condizione sia sicura, non si devono introdurre eccezioni procedurali del tipo “l’operatore non deve sostare in quel momento nella zona”. Occorre tornare alle funzioni, alla sequenza e alla ripartizione delle responsabilità tra sblocco, reset e riavvio. Solo una soluzione che sia difendibile nello schema, nelle prove di accettazione, nelle istruzioni e nella valutazione dei rischi può essere considerata tecnicamente matura.