Protezione contro le scosse elettriche e messa a terra delle macchine secondo la norma IEC 60204-1: scelte progettuali che riducono il rischio e i costi

La protezione contro i contatti elettrici indiretti in una macchina non si esaurisce né con la presenza del conduttore di protezione né con l’esito delle misure eseguite al collaudo. La sua efficacia dipende dal fatto che già in fase di progettazione e costruzione della macchina siano stati definiti con chiarezza i limiti della macchina, la logica di alimentazione, il percorso della corrente di guasto e le responsabilità relative ai collegamenti tra i moduli e all’interfaccia con l’impianto di stabilimento. Quando queste decisioni restano ambigue, il problema emerge solo in fase di avviamento, durante una modernizzazione oppure nell’analisi di un incidente, ad esempio nel contesto di un audit di sicurezza di macchine e linee di produzione — cioè quando la correzione non è più semplice e comincia a coinvolgere l’intera architettura della soluzione. Proprio per questo la norma IEC 60204-1 esprime il suo maggior valore non alla fine del processo, ma quando dà ordine all’impostazione progettuale, all’esecuzione e al modo di documentare l’efficacia della protezione.

La folgorazione non inizia con il guasto

L’errore più grave si verifica quando la protezione contro i contatti elettrici indiretti viene trattata come un’aggiunta a una macchina già completata. In questo approccio si presume che il problema venga risolto dal conduttore di protezione, da un ponticello sulla porta del quadro o da una serie di prove finali. In realtà, l’efficacia della protezione dipende dall’intera architettura della macchina: dal modo in cui è alimentata, dalla configurazione adottata per i collegamenti di protezione, dalla suddivisione dei circuiti, dalla struttura meccanica, dalla scelta dei componenti e da come sono stati definiti i limiti della macchina e la sua interfaccia con l’impianto del sito. Se questi elementi non formano un insieme coerente, anche un montaggio accurato non garantisce un comportamento prevedibile in caso di guasto, e la misura finale mostrerà soltanto l’effetto del problema.

Nella pratica progettuale, l’aspetto più importante è la separazione delle funzioni. Il rischio aumenta dove si confondono le funzioni dei conduttori di protezione, dei conduttori di lavoro e dei collegamenti equipotenziali, oppure dove i collegamenti di protezione vengono subordinati alla comodità di montaggio. In questi casi la corrente di guasto dovrebbe percorrere una via che sullo schema appare corretta, ma che nella macchina reale dipende da un contatto casuale attraverso una struttura verniciata, la cerniera di una porta, una vite di fissaggio dell’azionamento oppure un segmento assemblato dopo una modernizzazione. Un problema di questo tipo non è una carenza emersa alla fine del processo, ma un errore nella concezione delle misure di protezione di base e di protezione in caso di guasto.

Per il team di progettazione questo significa dover stabilire in anticipo quali masse accessibili e quali masse estranee saranno incluse nei collegamenti di protezione, dove passano i percorsi della corrente di guasto, quali elementi possono essere scollegati per manutenzione e in che modo debba essere mantenuta la continuità dei collegamenti dopo lo smontaggio, la sostituzione di un segmento o l’estensione della linea. Senza queste decisioni è facile realizzare una macchina che in condizioni nominali appare corretta, ma che dopo il primo intervento di assistenza perde la coerenza della protezione.

L’aspetto più ingannevole è che il problema di solito non si manifesta nel solo quadro elettrico. È lì che si vedono più facilmente conduttori, morsetti e marcature, ma i punti critici si trovano molto spesso altrove: sulle porte e sui pannelli operatore, negli azionamenti montati sulla struttura, sui ripari mobili, nei segmenti dei trasportatori, tra i moduli e nelle apparecchiature installate all’esterno del quadro. Nelle strutture verniciate o assemblate con giunzioni bullonate è particolarmente facile ottenere un montaggio apparentemente corretto che però non assicura un collegamento di protezione affidabile in presenza di vibrazioni, corrosione, scollegamento per il trasporto o successivi interventi del servizio di manutenzione. Lo stesso accade all’interfaccia tra due macchine o nelle linee di produzione e tecnologiche, quando ciascuna presa singolarmente sembra corretta, ma manca una logica chiara delle responsabilità per i collegamenti equipotenziali, l’alimentazione ausiliaria e la valutazione degli effetti di un guasto sul lato dell’interfaccia.

Il costo di questo errore emerge di solito solo quando la modifica diventa onerosa: al collaudo, durante una modernizzazione, dopo un incidente oppure nel corso della valutazione di conformità delle macchine. A quel punto si scopre che non manca un solo conduttore, ma una logica coerente della soluzione e le prove della sua efficacia. Non è chiaro se il problema sia di esecuzione oppure derivi dalla stessa concezione della protezione; non è possibile dimostrare in modo univoco perché siano state adottate determinate misure; il campo delle prove di accettazione non copre i veri punti critici. È proprio qui che il riferimento alla IEC 60204-1 acquista senso: non come formalità finale, ma come criterio ordinatore per le soluzioni elettriche, che deve essere coerente con i limiti della macchina, con le misure di protezione adottate e con la documentazione tecnica.

Dove il costo cresce davvero

Gli errori più costosi nella protezione contro i contatti elettrici indiretti raramente consistono nell’assenza totale del collegamento di protezione. Di norma il problema è più grave proprio perché la soluzione dà l’impressione di essere completa e, nonostante ciò, non costruisce una logica di funzionamento coerente in condizione di guasto. Il progetto prevede una determinata architettura di alimentazione, la prefabbricazione semplifica l’esecuzione, il montaggio in campo adatta il percorso dei conduttori alle condizioni dell’impianto e il collaudo rivela che la responsabilità della continuità della protezione si è frammentata tra più soggetti. In questo caso il costo non deriva dall’aggiunta di un singolo conduttore, ma dalla necessità di ricostruire l’intento progettuale, verificare nuovamente il dimensionamento delle protezioni, aggiornare la documentazione e chiarire le responsabilità per le tratte eseguite correttamente dal punto di vista costruttivo, ma incoerenti con la logica dell’intera macchina.

In fase di progetto, il costo si contiene soprattutto separando in modo univoco le funzioni. Occorre stabilire che cosa costituisce il conduttore di protezione, che cosa rientra nei collegamenti equipotenziali, dove si trovano i punti di connessione, quali interfacce tra quadro, struttura della macchina e dispositivi periferici sono critiche e se sia effettivamente consentito affidarsi agli elementi costruttivi come percorso di conduzione. Proprio quest’ultimo aspetto è spesso all’origine delle soluzioni più insidiose. Un collegamento realizzato tramite cerniera, guida, lamiera verniciata, profilo serrato o vite scelta solo in base a criteri meccanici può funzionare in fase di montaggio, ma perdere affidabilità dopo alcuni cicli di lavoro, per effetto della corrosione, delle vibrazioni, dello sporco o a seguito di uno smontaggio per manutenzione.

Se il progetto non prevede ponticelli di protezione dedicati per gli elementi mobili e smontabili e non indica quali collegamenti meccanici non possono essere considerati un percorso affidabile del conduttore di protezione, il rischio viene trasferito all’esecuzione. In pratica, è proprio lì che conviene cercare i punti in cui il collegamento di protezione è solo apparentemente sicuro. Un errore di questo tipo non deve necessariamente provocare subito un guasto; è sufficiente che, dopo lo scollegamento per il trasporto, dopo la verniciatura delle superfici oppure a seguito di una piccola modifica del modulo, la continuità della protezione non sia più evidente.

Questo emerge con particolare chiarezza nelle macchine modulari e nelle linee assemblate da più fornitori. Finché ogni modulo viene valutato separatamente, il problema resta nascosto. Il costo aumenta bruscamente solo al momento di unire le varie sezioni, quando non sono stati definiti in modo univoco i punti di collegamento dei conduttori di protezione, i criteri di equipotenzialità e le responsabilità per i collegamenti tra moduli. Una parte presume allora che l’efficacia della protezione sia garantita dall’impianto dello stabilimento, un’altra che la logica di protezione sia interamente contenuta nella macchina, mentre una terza realizza un collegamento di processo che non era stato previsto né come conduttivo né come isolato. Il costo di un conduttore di protezione previsto fin dall’inizio e di un punto di connessione predisposto è incomparabilmente inferiore rispetto alla successiva modifica di una linea già completata, a un adeguamento della macchina ai requisiti minimi, allo smontaggio dei percorsi cavi, al fermo dell’avviamento, alle prove ripetute e agli aggiornamenti della documentazione dopo le modifiche. Lo stesso vale per una modernizzazione in cui un nuovo modulo introduce una propria logica di alimentazione e altera la configurazione originaria dei collegamenti di protezione, anche se sui disegni tutto continua a sembrare corretto.

Un’ulteriore categoria di costo è quella della correttezza formale priva di un reale effetto protettivo. La sola presenza di un collegamento di protezione non determina di per sé l’efficacia della protezione in caso di guasto, se i dispositivi di protezione, le sezioni dei conduttori o la suddivisione dei circuiti sono stati scelti in modo errato. Un errore di questo tipo emerge il più delle volte solo nell’analisi delle condizioni di guasto, in fase di ampliamento oppure durante le prove di accettazione eseguite sull’impianto finito. Per questo le decisioni elettriche devono essere collegate fin dall’inizio all’architettura dell’intera macchina: dove si chiude l’anello di guasto, quali tratti dipendono dall’impianto dello stabilimento, quali condizioni ambientali peggioreranno la qualità dei contatti e quali collegamenti devono mantenere la continuità nonostante lo smontaggio delle protezioni o il funzionamento di elementi mobili.

Il costo più sottovalutato nasce però nella documentazione. Se schemi, disegni di montaggio, identificazione dei punti di connessione e registrazioni delle prove non mostrano in modo coerente come sono stati realizzati i collegamenti di protezione e l’equipotenzialità, ogni modifica diventa più costosa della correzione tecnica stessa. L’accettazione, l’audit o l’analisi successiva a un incidente iniziano allora dalla ricostruzione dello stato reale. In pratica, conviene quindi guardare non a un astratto “rispetto della norma”, ma al fatto che il progetto resti sotto controllo: quante interfacce ambigue esistono tra i moduli, quanti collegamenti dipendono da elementi meccanici, quante modifiche sono state introdotte dopo la prefabbricazione e per quanti tratti non è stata attribuita una responsabilità univoca. Di solito è questo che mostra meglio dove si ripresentano in seguito gli errori più costosi.

Decisioni di progetto prima della misura

L’efficacia della protezione contro i contatti indiretti si decide prima della prova di continuità del conduttore di protezione e prima dell’accettazione della macchina. Occorre innanzitutto definire l’architettura di alimentazione: da dove e a quali condizioni la macchina viene alimentata, dove passa il confine di responsabilità tra il costruttore della macchina e l’impianto dello stabilimento e quali misure di protezione sono appropriate per le reali condizioni di utilizzo, montaggio e manutenzione. Non è soltanto una questione di schema. Da questa decisione dipendono la successiva scelta dei dispositivi di protezione, il modo di sezionare l’alimentazione, la logica di distribuzione del conduttore di protezione e il fatto che la soluzione sia sostenibile nella valutazione di conformità e nelle successive modernizzazioni.

Se il confine dell’interfaccia con l’impianto del sito resta ambiguo, anche collegamenti eseguiti correttamente all’interno della macchina non eliminano il rischio di un coordinamento errato delle protezioni, di correnti di guasto non previste o di contestazioni sull’ambito di responsabilità in fase di accettazione. Per questo motivo, la decisione sul confine dell’alimentazione non può essere rimandata alla fase di messa in servizio. Deve derivare dal progetto ed essere chiara sia per la prefabbricazione sia per il montaggio in campo.

Una seconda decisione, spesso sottovalutata, consiste nel considerare i conduttori di protezione e i collegamenti equipotenziali come un vero e proprio sistema funzionale, e non come un’aggiunta al cablaggio di lavoro. In fase di progetto occorre indicare in modo univoco i punti di collegamento, i percorsi di posa, il sistema di identificazione, i requisiti di montaggio e le condizioni di resistenza meccanica e di esercizio. Già nella fase degli schemi e dei disegni di montaggio il team dovrebbe stabilire quali masse accessibili e quali masse estranee debbano essere incluse nei collegamenti e come verrà mantenuta la continuità dopo la rimozione di una protezione, la sostituzione di un componente o una modifica del materiale. È anche il momento giusto per definire i requisiti di montaggio e di collaudo per i subappaltatori operanti in campo.

I punti critici, nella pratica, sono piuttosto ricorrenti. I problemi si ripresentano su porte di quadri, ripari, parti mobili, moduli estraibili, gruppi scollegabili e apparecchiature installate all’esterno del quadro, soprattutto quando il collegamento di protezione dipende da una cerniera, una guida, una vite di fissaggio o da una soluzione d’officina non documentata. In questi casi la continuità dei collegamenti di protezione viene compromessa non tanto da un errore di progettazione, quanto dalle pratiche di prefabbricazione, dagli equipaggiamenti aggiunti successivamente o dagli interventi di assistenza. Un esempio tipico è quello delle porte con apparecchiature, per le quali è stata prevista l’alimentazione degli elementi di comando, ma non sono stati definiti i requisiti di un collegamento di protezione flessibile resistente alle aperture ripetute. Lo stesso accade con pompe, sensori, trasportatori e altre apparecchiature montate fuori dall’involucro principale, dove il conduttore di protezione è formalmente presente, ma il suo percorso non è prevedibile e il punto di collegamento scompare dopo il cambio di fornitore o di installatore.

Per questo la decisione progettuale dovrebbe comprendere fin dall’inizio anche le future attività di assistenza. Occorre indicare quali elementi possono essere scollegati, quali operazioni richiedono il ripristino del collegamento di protezione e come gestire una modifica costruttiva senza perdere la coerenza dell’intero sistema. A questo scopo è utile un semplice insieme di decisioni, da chiudere preferibilmente prima della prefabbricazione:

• confine dell’alimentazione e delle responsabilità rispetto all’impianto del sito,
• punti PE e parti che richiedono collegamenti equipotenziali,
• elementi mobili e scollegabili che richiedono soluzioni speciali,
• campo delle prove, fasi della loro esecuzione e evidenze da inserire nella documentazione tecnica.

Una buona architettura della protezione contro i contatti indiretti deve includere fin dall’inizio anche il metodo di verifica. Bisogna stabilire in anticipo quali prove saranno eseguite, in quale fase della prefabbricazione, del montaggio e della messa in servizio, chi ne sarà responsabile e in quale forma il risultato confluirà nella documentazione tecnica della macchina. Il controllo di un quadro finito è diverso da quello dei collegamenti eseguiti in campo, ed è diverso ancora nel caso di un modulo che, dopo il trasporto, viene ricollegato all’impianto del cliente. Dal punto di vista della valutazione della conformità, è importante non solo che la prova sia stata eseguita, ma anche che sia possibile ricostruire la logica delle decisioni: perché un determinato elemento è stato considerato bisognoso di collegamento di protezione, dove ciò è stato riportato nello schema, come è stato identificato il punto di collegamento e quale registrazione conferma l’efficacia della soluzione dopo il montaggio. Solo in questo quadro il riferimento alla IEC 60204-1 mette ordine nel progetto, nella realizzazione, nelle prove e nella documentazione probatoria.

Prima la pratica, poi la norma

Nella pratica, la maggior parte dei problemi non nasce dal fatto che qualcuno abbia omesso del tutto il conduttore di protezione, ma dal fatto che la logica originaria della protezione si è persa nel corso della progettazione, del montaggio o di una modifica successiva. Basta una diversa ripartizione delle responsabilità tra costruttore della macchina, integratore e installatore, un cambiamento nel modo di posizionare i moduli, l’aggiunta di una parte mobile oppure la sostituzione di un collegamento flessibile senza verificarne la funzione protettiva. Per questo l’efficacia della protezione non dipende dal solo simbolo PE sullo schema, ma dalla coerenza delle decisioni dal progetto fino al collaudo.

Dal punto di vista organizzativo serve un’impostazione semplice, ma rigorosa. Occorre distinguere i collegamenti di protezione realizzati all’interno della macchina da quelli eseguiti sul sito, descrivere le interfacce tra i moduli, indicare gli elementi mobili che richiedono collegamenti equipotenziali e stabilire che cosa debba essere nuovamente controllato dopo ogni modifica di configurazione. Questo ha rilievo anche sul piano probatorio. Nella documentazione tecnica deve essere possibile ricostruire non solo il risultato della prova, ma anche l’assunto progettuale, l’ambito delle responsabilità e le condizioni limite di utilizzo. Solo allora si può rispondere in modo sensato alla domanda se lo stato attuale della macchina corrisponda ancora alle ipotesi originarie di progetto.

Un buon esempio è una linea modulare in cui ogni quadro aveva il proprio conduttore di protezione e il collaudo delle sezioni prefabbricate non aveva evidenziato anomalie. Il problema è emerso solo dopo l’installazione della linea presso il cliente e l’aggiunta di un trasportatore con riparo incernierato e di un ponte tra due telai portanti. Il collegamento di protezione tra i moduli era di fatto affidato a elementi bullonati che, dopo la modifica della configurazione e la verniciatura delle superfici, non garantivano una continuità affidabile, mentre la parte mobile aveva ricevuto un collegamento troppo esposto ai danni dovuti all’esercizio. Formalmente la messa a terra c’era, ma la protezione, come sistema, aveva cessato di essere coerente. La correzione, quindi, non è consistita nell’aggiungere un altro conduttore al verbale, ma nel ricostruire i punti di collegamento, identificare in modo univoco i collegamenti tra i moduli, aggiornare gli schemi ed estendere le prove dopo il montaggio finale.

In questo contesto emerge chiaramente il ruolo della IEC 60204-1. La norma non è una semplice formalità che chiude il progetto, ma un riferimento pratico per l’equipaggiamento elettrico delle macchine. Definisce in modo ordinato i criteri di protezione contro i contatti elettrici, i collegamenti di protezione, i controlli e le prove e, così facendo, impone rigore tecnico. Non sostituisce però la progettazione consapevole né l’analisi del rischio. Non può nemmeno rispondere al posto del team alla domanda su come ripartire le responsabilità per i collegamenti tra la macchina e l’infrastruttura dello stabilimento, né su quali effetti abbia sulla protezione una modifica della struttura meccanica, dell’impianto idraulico o delle modalità di pulizia della macchina.

Nel contesto italiano ed europeo, il richiamo a una norma riconosciuta ha inoltre un valore non solo tecnico, ma anche probatorio. Dimostra che il fabbricante o l’integratore ha adottato uno standard di progettazione e verifica riconoscibile e ragionevole nel processo di valutazione della conformità. La conclusione pratica è semplice: la messa a terra più economica e più sicura non è quella che si riesce a misurare a posteriori, ma quella che fin dall’inizio è stata progettata come parte integrante della macchina, della sua documentazione e delle modifiche successive.