STO, SS1 o SS2: come arrestare una macchina in modo sicuro

L’arresto sicuro di una macchina è uno degli elementi più importanti della sicurezza funzionale nell’industria. L’ingegnere dell’automazione si trova spesso davanti a una domanda: basta semplicemente togliere alimentazione, oppure è meglio applicare una frenatura controllata, o magari mantenere l’azionamento in tensione? In pratica, la risposta si riduce alla scelta della corretta funzione di arresto: Safe Torque Off (STO), Safe Stop 1 (SS1) oppure Safe Stop 2 (SS2). In questo articolo spieghiamo passo dopo passo come funzionano queste funzioni, quando usare l’una o l’altra e a cosa prestare attenzione nella progettazione del sistema di sicurezza della macchina. Il tutto basandoci su norme e buone pratiche, ma presentate in modo pratico e “da ingegneri”, così che la lettura non risulti arida come un manuale d’uso.

Arresto sicuro della macchina passo dopo passo

Prima di entrare nei dettagli di STO, SS1 e SS2, è utile comprendere le categorie di arresto sicuro definite dalle norme. La norma UNI EN 60204-1 distingue tre scenari (categorie) di arresto, che corrispondono alle nostre funzioni di sicurezza:

1. Categoria 0 (STO) – arresto di emergenza tramite l’immediata disalimentazione dell’azionamento, senza frenatura controllata. È il modo più rapido per fermare la macchina e corrisponde al classico colpo al fungo di emergenza. Purtroppo si tratta di un arresto non controllato: non protegge i meccanismi dagli effetti di uno stop brusco. Può quindi risultare troppo “violento” per macchine delicate e può anche comportare tempi lunghi di riavvio dell’apparecchiatura.
2. Categoria 1 (SS1) – arresto controllato, in cui il sistema prima frena attivamente la macchina e solo quando il movimento si è fermato toglie alimentazione (passando a STO). In altre parole, il motore riduce la velocità sotto il controllo dell’azionamento, dopodiché avviene la disattivazione sicura della coppia. Questo approccio minimizza gli strappi e consente di arrestare il movimento in modo più “civile”. Richiede sì un breve tempo per la frenatura, ma in compenso riduce il rischio di danni meccanici. Un’applicazione tipica è quando la sicurezza richiede di rallentare il movimento invece di togliere alimentazione all’istante, ad esempio linee di produzione con elementi delicati, dove un arresto improvviso potrebbe danneggiare il prodotto.
3. Categoria 2 (SS2) – arresto controllato con mantenimento della coppia dopo l’arresto. In questo caso, dopo la frenatura del motore l’alimentazione non viene disinserita, ma l’azionamento passa allo stato di mantenimento dell’arresto sicuro (funzione SOS – Safe Operating Stop). Il motore rimane alimentato e mantiene attivamente la posizione, impedendo qualsiasi movimento. Questa soluzione è indispensabile dove, dopo l’arresto, è richiesta la stabilizzazione della posizione, ad esempio in ascensori industriali o macchine con elementi sospesi (per evitare che il carico inizi a scendere). Un vantaggio della categoria 2 è anche la possibilità di riprendere rapidamente il lavoro, perché il sistema di azionamento resta pronto all’uso.

Questa suddivisione consente di scegliere la modalità di arresto in base alle caratteristiche della macchina e ai pericoli. Un piccolo nastro trasportatore si ferma in modo diverso rispetto a un carroponte potente con grande inerzia. È importante che l’analisi del rischio in fase di progettazione indichi quale scenario di arresto garantisce la sicurezza di persone e attrezzature. Ricordiamo anche che, secondo le prescrizioni, l’arresto di emergenza (E-STOP) della macchina dovrebbe essere realizzato in categoria 0 o 1, cioè come STO oppure SS1. La categoria 2 (SS2), con alimentazione mantenuta in tensione, non è prevista per il tipico fungo di emergenza, perché in una situazione di salvataggio della vita vogliamo ridurre al minimo tutte le fonti di energia. SS2 troverà però impiego in altre modalità di arresto, come vedremo tra poco.

Come funziona la funzione Safe Torque Off (STO)

Safe Torque Off (STO) è la funzione di arresto sicuro più semplice e fondamentale. Il suo principio di funzionamento consiste nel disinserire immediatamente l’energia verso il motore, sia interrompendo la tensione di uscita dell’inverter, sia aprendo i contattori nel circuito di alimentazione. Di conseguenza il motore smette di generare coppia (o forza, nel caso di attuatori lineari). In altre parole, l’azionamento non può più mettere in movimento le parti mobili della macchina. STO corrisponde quindi all’arresto non controllato di categoria 0, secondo la descrizione precedente.

Va sottolineato: lo STO non frena attivamente il motore – lo lascia semplicemente andare in folle fino a quando attriti e resistenze al moto non lo arrestano. Per questo, con lo STO il tempo di arresto dipende dall’inerzia del sistema. Nelle macchine con bassa inerzia e resistenze elevate (ad es. un piccolo motore con riduttore a vite senza fine) il movimento si esaurisce quasi subito. Ma se abbiamo un mandrino che ruota ad alta velocità o un rotore pesante con grande massa, dopo il distacco dell’alimentazione può continuare a girare ancora per un po’. Lo STO funziona quindi al meglio dove non è richiesto l’arresto immediato dell’intero azionamento – le forze resistenti naturali sono sufficienti a rallentare la macchina in un tempo accettabile.

Il vantaggio dello STO è la semplicità e l’elevata affidabilità. È una funzione oggi integrata praticamente in ogni moderno inverter o servoazionamento. Soddisfa requisiti normativi rigorosi (spesso SIL 2 o SIL 3, PL d/e), quindi può sostituire i classici contattori di sezionamento dell’alimentazione. Con lo STO possiamo prevenire avviamenti inattesi del motore – questa funzione è una protezione di base contro il movimento incontrollato dopo lo spegnimento della macchina. Il pulsante di emergenza di solito attiva proprio lo STO, togliendo energia e rendendo inerte l’azionamento nel modo più semplice possibile.

Limitazioni? Poiché lo STO non controlla la frenatura, non protegge dagli effetti dell’inerzia. Se arrestiamo, ad esempio, un nastro trasportatore pieno di merce semplicemente togliendo alimentazione, la merce può scivolare per inerzia. Nel caso di assi verticali (ad es. carroponte, ascensore) il solo STO può essere addirittura pericoloso: l’eliminazione della coppia può causare la discesa del carico sospeso per effetto della gravità. Per questo, in alcune applicazioni lo STO deve essere integrato con misure aggiuntive, ad esempio freni meccanici che arrestano il movimento. In questi casi si usa la funzione SBC (Safe Brake Control), che in abbinamento allo STO aziona in sicurezza il freno meccanico sul motore o sull’asse. Questa soluzione è uno standard, ad esempio, nei già citati carriponte o ascensori: subito dopo l’eliminazione della coppia tramite STO, il freno mantiene il carico in posizione.

In sintesi: lo STO elimina immediatamente la coppia e impedisce al motore di generare forza. È un arresto di emergenza rapido di categoria 0, ideale quando conta ogni secondo nel togliere energia. Occorre però assicurarsi che l’arresto per inerzia della macchina non crei pericoli – e, se li crea, integrare lo STO con freni oppure ricorrere a SS1.

Safe Stop 1 (SS1) – frenatura controllata fino all’arresto

Quando serve un arresto controllato della macchina, entra in gioco il Safe Stop 1 (SS1). La funzione SS1 realizza un arresto in due fasi. Nella prima fase l’azionamento frena attivamente il motore – riduce la velocità secondo una rampa di decelerazione impostata oppure monitora il tempo di frenatura. Quando la velocità scende quasi a zero, inizia la seconda fase: commutazione automatica in STO (disconnessione sicura della coppia) ed eventuale intervento del freno meccanico (SBC) per il completo bloccaggio dell’asse. In altre parole, SS1 prima dissipa l’energia del movimento in modo controllato e poi toglie alimentazione come lo STO.

Questa modalità corrisponde all’arresto di categoria 1 previsto dalla norma – cioè frenatura controllata + disconnessione dell’alimentazione. SS1 è consigliato quando è richiesto un arresto della macchina il più rapido possibile, ma anche controllato. Situazione tipica: l’apparecchiatura lavora ad alta velocità oppure ha un’inerzia significativa. Un distacco brusco dell’alimentazione (STO) provoca un lungo trascinamento oppure un forte strappo meccanico in caso di stop improvviso. Invece SS1 frena dinamicamente con il motore – spesso consentendo di fermarsi più rapidamente rispetto al solo attrito – e lo fa in modo monitorato, quindi sicuro per la meccanica.

Esempi? Seghe circolari, smerigliatrici, centrifughe, presse meccaniche – in generale, le macchine con elevata energia di rotazione dovrebbero essere arrestate tramite SS1. Immaginiamo una grande sega a nastro: premendo STOP, l’inverter applica una rampa di frenatura e riduce rapidamente i giri della lama. Quando la sega si ferma, viene eliminata la coppia (STO) e la macchina resta in sicurezza in stato di arresto. Così l’arresto è molto più rapido che attendere che la sega si fermi da sola, e al tempo stesso non c’è il rischio di danneggiare l’azionamento o il materiale per uno strappo improvviso – la frenatura è completamente sotto controllo del sistema.

È utile sapere che la norma UNI EN 61800-5-2 ammette diversi modi di realizzare SS1. I produttori di azionamenti offrono, ad esempio, la variante SS1-r (ramp monitoring) – in cui il sistema monitora la rampa di frenatura e inserisce lo STO quando la velocità scende sotto una soglia definita – oppure SS1-t (time controlled), in cui lo STO si inserisce dopo un tempo stabilito, indipendentemente dalla velocità. A prescindere dall’implementazione, l’obiettivo è lo stesso: arrestare il movimento il più rapidamente possibile in condizioni di sicurezza e, alla fine, disconnettere l’energia. SS1 richiede in genere un controllo più avanzato (ad es. un modulo di sicurezza nell’inverter o un controllore safety PLC), ma la maggior parte degli azionamenti moderni integra già queste funzioni di serie o come opzione.

A margine, SS1 è una scelta frequente per realizzare l’arresto di emergenza di categoria 1 – ad esempio la pressione del fungo, dopo la quale la macchina deve decelerare invece di perdere subito l’alimentazione. Un arresto di emergenza con frenatura controllata è richiesto quando il distacco immediato dell’alimentazione potrebbe aumentare il rischio (per esempio il materiale potrebbe fuoriuscire da un tamburo che ruota ad alta velocità). In pratica lo si implementa in modo che, dopo la pressione dell’E-STOP, il controllore di sicurezza invii al convertitore di frequenza il comando di frenatura (rampa SS1) e, se entro un tempo definito la velocità non scende a zero, per sicurezza interrompa comunque l’alimentazione. Questo perché l’arresto di emergenza deve sempre intervenire, anche se la frenatura fallisce. Il progettista del sistema di sicurezza dovrebbe prevedere anche questo scenario.

Safe Stop 2 (SS2) – arresto con mantenimento della posizione

Resta la terza funzione: Safe Stop 2 (SS2). SS2 è, in un certo senso, un’estensione di SS1. Anche qui l’arresto avviene in due fasi (frenatura + sosta sicura), ma la differenza è che non si disconnette l’alimentazione dopo l’arresto del motore. Invece di passare in STO, l’azionamento mantiene attivamente la coppia sul motore a velocità zero, sfruttando la funzione SOS (Safe Operating Stop). In altre parole, il motore viene arrestato in sicurezza in una posizione definita e tale posizione viene monitorata e mantenuta in modo continuo dal sistema di controllo. Questa sosta sicura in tensione corrisponde all’arresto controllato di categoria 2, di cui si è parlato in precedenza.

Cosa ci offre? Prima di tutto, un riavvio rapido della macchina. Poiché il motore resta sempre alimentato (pur a velocità zero), è possibile riprendere il movimento immediatamente, senza procedure aggiuntive. Per confronto, dopo SS1 (categoria 1) il sistema passa in STO, quindi per ripartire occorre prima riabilitare l’alimentazione dell’azionamento, operazione che può richiedere tempo (reset del sistema di sicurezza, ecc.). SS2 elimina questo ritardo: il movimento può essere sbloccato praticamente subito, non appena le condizioni di sicurezza lo consentono.

SS2 si usa quando la macchina o una sua parte deve rimanere ferma solo per un breve periodo e si vuole ripartire rapidamente, oppure quando è richiesta una sosta in “prontezza” per proseguire il lavoro. Spesso dipende dalle caratteristiche del processo o dalla necessità di interventi brevi e ricorrenti da parte dell’operatore. Un esempio può essere una linea di produzione in cui, a intervalli, l’operatore deve avvicinarsi per pulire qualcosa, regolare un sensore, rimuovere un prodotto difettoso. Invece di spegnere l’intera macchina (e poi riavviarla con fatica), si può usare SS2: la linea si arresta in modo controllato e rimane in sosta sicura, l’operatore interviene per un minuto e poi la macchina riprende senza un riavvio completo. Un altro esempio è la calibrazione di un sistema di visione sulla macchina: si ferma il trasportatore in un punto esattamente definito, mentre la telecamera resta accesa e pronta a riprendere il lavoro dopo la regolazione.

Nelle applicazioni di robotica o assemblaggio, SS2 viene talvolta impiegato per il cosiddetto arresto in modalità di prontezza: il robot si ferma in una posizione definita e la mantiene (ad esempio con l’utensile sopra il pezzo) durante una breve pausa, per poi ripartire senza necessità di una nuova calibrazione. È però importante ricordare che il sistema rimane in tensione: per questo SS2 non si usa per l’arresto di emergenza, ma per arresti controllati durante pause pianificate o modalità di manutenzione. Le norme richiedono chiaramente che, in caso di emergenza, l’alimentazione venga comunque disconnessa (STO o SS1).

Dal punto di vista tecnico, l’implementazione di SS2 richiede che l’azionamento disponga della funzione di monitoraggio di velocità e posizione (SOS) e sia certificato per mantenere la coppia a macchina ferma. Molti azionamenti moderni lo consentono: ad esempio i servo drive con moduli di sicurezza possono rilevare autonomamente se il motore è fermo e mantenerlo in sicurezza nella posizione impostata. Se c’è il rischio che il carico inizi comunque a muoversi (per esempio per effetto della gravità su un asse verticale), di norma si aggiunge anche un freno meccanico per la massima sicurezza. SS2 non ci esime dal considerare la fisica: il fatto che la corrente alimenti il motore per mantenerlo in posizione non è sempre sufficiente, ad esempio in caso di guasto grave. In genere, però, durante soste brevi non accade nulla di problematico e si guadagna in continuità operativa.

SS1 è sufficiente nelle applicazioni con elevata inerzia?

È il momento di rispondere alla domanda che molti progettisti si pongono: nei sistemi con elevata inerzia è sufficiente applicare SS1, o serve qualcosa in più? Un’elevata inerzia significa che la macchina immagazzina molta energia cinetica, quindi è più difficile arrestarla rapidamente. L’intuizione suggerisce che il solo STO non sarebbe sufficiente, perché le parti pesanti continuerebbero a girare a lungo per inerzia. SS1 sembra quindi il minimo indispensabile per decelerare attivamente l’azionamento. E in effetti, nella maggior parte dei casi SS1 è lo standard di riferimento per le macchine ad alta inerzia: garantisce l’arresto più rapido, perché l’azionamento lavora come un freno. Gli esempi citati in precedenza (seghe, centrifughe, presse) sono proprio macchine con una massa rotante significativa, per le quali SS1 è addirittura una necessità.

Ma SS1 sempre sufficiente? Dipende dalle circostanze. SS1 ci garantisce l’arresto del movimento, ma al termine della frenatura avviene il distacco dell’alimentazione (STO). Se la nostra applicazione deve solo fermare un meccanismo pesante e attendere che l’operatore rimuova il pezzo o rifornisca il materiale, SS1 con ogni probabilità svolgerà pienamente il suo compito: la macchina si fermerà in sicurezza e il taglio di potenza eviterà qualsiasi sorpresa. Dobbiamo solo assicurarci che l’azionamento e i suoi componenti siano dimensionati per assorbire l’energia di frenatura (ad es. resistenze di frenatura adeguate nell’inverter, così da non danneggiarsi quando deve dissipare molta energia). Il progettista di automazione industriale dovrebbe verificare se l’inverter/servoazionamento dispone di una capacità di frenatura sufficiente per l’inerzia in gioco: è un errore frequente che la funzione di sicurezza intervenga correttamente, ma l’azionamento vada in errore per sovraccarico quando prova a frenare un volano pesante.

Il secondo aspetto riguarda ciò che accade dopo l’arresto. Se il sistema ha un’elevata inerzia, ma si ferma in una posizione stabile (ad es. un cilindro appoggiato in orizzontale semplicemente smette di ruotare), va bene. Nelle macchine in cui una massa importante può spostarsi per effetto di forze esterne (anche solo la gravità), il solo SS1 potrebbe non bastare: perché, una volta passati in STO, il carico inizierà a muoversi. Esempio: un trasportatore di grandi dimensioni inclinato: ha una massa elevata di nastro e di materiale trasportato. Lo freniamo con il motore (SS1), ma quando togliamo potenza c’è il rischio che la gravità faccia scendere il nastro. In queste situazioni è necessario aggiungere un blocco meccanico del movimento. Può essere il freno SBC citato in precedenza, che al momento del distacco dell’alimentazione si chiude e mantiene la posizione. Senza, non si va da nessuna parte: la sola funzione elettrica non può battere le leggi della fisica. In altre parole, SS1 va integrato con misure meccaniche quando l’applicazione lo richiede.

Oppure SS2 è migliore con inerzie elevate? In fondo SS2 mantiene la coppia, quindi non c’è il rischio che il carico “molli”. È vero: SS2 garantisce il mantenimento attivo della posizione dopo l’arresto, il che è vantaggioso ad es. per assi verticali con carico. Tuttavia, nella maggior parte dei casi si utilizza comunque un freno meccanico come ulteriore protezione. SS2 torna utile quando ci serve una ripartenza rapida, cioè se quel sistema pesante deve ripartire spesso e non vogliamo dover resettare l’azionamento ogni volta. La sola elevata inerzia non impone SS2; impone invece una frenatura controllata – e questo lo garantisce già SS1. In sintesi: nelle macchine con grande inerzia SS1, con un sistema di frenatura ben progettato, di solito è più che sufficiente, a condizione di prevedere freni aggiuntivi sugli assi che potrebbero muoversi da soli. SS2 può essere aggiunto se i vantaggi di un riavvio più rapido sono importanti, oppure se è richiesto un arresto in “prontezza” (ma qui entrano in gioco esigenze di processo, non la sola inerzia).

STO, SS1 e SS2 sono tre risposte diverse alla domanda su come fermare una macchina in sicurezza. Ognuna di queste funzioni ha il suo posto nell’arsenale dell’ingegnere dell’automazione. STO interrompe immediatamente l’energia: semplice e affidabile, ma lasciando che la macchina vada in folle per inerzia. SS1 aggiunge una frenatura controllata, rendendo l’arresto più rapido e più “gentile” per la meccanica, e dopo l’arresto la macchina è priva di tensione. SS2, invece, arresta in modo altrettanto rapido quanto SS1, ma mantiene la macchina sotto tensione e sotto controllo, pronta a ripartire in un attimo.

Nella progettazione di sistemi di comando sicuri conviene farsi guidare sia dalle norme (UNI EN 61800-5-2 descrive nel dettaglio queste funzioni), sia dal buon senso e dall’analisi dei rischi. I documenti ci indicano ciò che è richiesto dal punto di vista legale, ma siamo noi – come integratori di automazione industriale – a dover adattare la soluzione alla macchina specifica. A volte il più semplice STO sarà la scelta migliore (meno cose che possono guastarsi!), altre volte senza SS1 non si va da nessuna parte, perché altrimenti l’impianto si danneggerebbe durante un arresto di emergenza. In altre situazioni apprezzeremo SS2, che ridurrà i fermi e permetterà di riprendere rapidamente il ciclo di lavoro.

Infine, ricordiamolo: nessuna di queste funzioni farà miracoli se viene progettata male o usata fuori dal suo scopo. Bisogna scegliere componenti adeguati (inverter con certificazione STO/SS1/SS2, sensori, controllori di sicurezza), una configurazione corretta e test regolari. Vale anche la pena considerare formazione su norme e standard (ad es. Dyrektywa Maszynowa 2006/42/CE, UNI EN ISO 13849-1, UNI EN 62061), perché la conoscenza dei requisiti va di pari passo con la pratica ingegneristica. Speriamo che questo articolo abbia fatto un po’ di chiarezza sul dilemma STO vs SS1 vs SS2. La prossima volta che dovrai progettare l’arresto sicuro di una macchina, potrai scegliere consapevolmente l’opzione migliore e, soprattutto, garantire la massima sicurezza senza compromessi per il processo. Buon lavoro nei progetti e sempre lavoro in sicurezza!