Circuito di sicurezza macchina

[Candy]

Il presente post ha per me un valore puramente foilosofico e discorsivo, restando pur tuttavia di particolare interesse.

Schema di massima:

Sorgente FidoCadJ | Ingrandisci | Cos'è Fidocad

Lo schema rappresenta la gestione delle sicurezze macchina tramite un modulo commerciale. Fa parte dello schema di alcuni quadri che devo fornire in integrazione al mio lavoro. Lo schema è del cliente e questo spiega per quale motivo per me diventi pura filosofia. Così mi è stato chiesto di farlo e così lo farò.

Però! A me sembra un circuito inutile.

La parte che ho evidenziato con A, in blu, rappresenta dei micro switch meccanici per ciascu riparo mobile. (E mettiamo per ora da parte cosa significa il fatto che siano dei micro meccanici alla luce della recente norma in merito ai ripari mobili).
La parte evidenziata in rosso invece è in pratica la gestione del pulsante di emergenza a fronte quadro che molto sommariamente, ma poco, coincide con la postazione di lavoro. (Acuto sforzo di fantasia per accettare la cosa). Tutto ciò che è in rosso è realizzato in doppio contatto, doppio taglio della potenza, doppio controllo per il ripristino (non rappresentato). Elettricamente quanto è in rosso soddisfa come minimo la cosidetta cat. 3

Ora espongo le mie perplessità:
A) Il circuito è inutile perché l'unico pulsante di emergenza controllato con doppio circuito elettrico è praticamente inutile all'operatore, non essendo poi montato nella reale postazione di lavoro.
B) Il circuito dei ripari mobili, (blu), è equiparabile, forse, ad una protezione di cat. B; forse 1.
C) Per come è costruita la macchina, un piccolo monoblocco con ripari mobili trasparenti sui quattro lati, dove l'operatore, se vede un problema, è subito tentato all'apertura delle porte piuttosto che alla pressione del tasto di emergenza, avrei visti meglio controllare maggiormente i ripari mobili piuttosto che il solo circuito del pulsante di emergenza.
D) Voglio soffermarmi però maggiormente sul concetto di categoria del circuito di protezione, e soprattutto con riferimento ai ripari mobili.
D.1) Non sono molto convinto, anzi non lo sono per nulla, che raddoppiando il numero di contatti per ciascuno dei microswitch dei ripari mobili, passando ad un circuito elettricamente ridondante, sia soddisfatta ad esempio una categoria 3 ai fini della sicurezza. Questo, penso io, perché in fin dei conti i microswitch per ogni riparo mobile sono sempre e solo uno, e, se si rompe questo, (spina o comma meccanica di commutazione), la categoria 3 non è affatto assicurata).
D.2) Parimenti, se mi si dice che il micro switch, il riparo mobile, tutto quanto insomma deve essere meccanicamente progettato per non rompere lo switch, allora posso ribattere che anche elettricamente tutto può essere progettato per non rovinare i circuiti elettrici, e quindi basterebbe anche elettricamente un unico canale.
Cosa intendo dire è che le categorie come la 3 e la 4, dove la protezione deve sempre essere garantita anche in caso di primo guasto, si soddisfano con una ridondanza a partire dal sistema di rilevamento (due sensori diversi, circuiti logici diversi, attuazioni diverse). Cosa però mai vista fare da nessuno. Circuiti elettrici molto complessi sono poi affidati al solito e solo switch meccanico di qualche tipo.

Quindi, alla fine, quello che vorrei far emergere, per sommi capi è: amesso di realizzare anche il circuito per ora blu, in doppio canale, magari in serie al pulsante di emergenza, realizzando elettricamente un circuito di categoria 3, sarebbe poi questa una reale protezione di categoria 3? Secondo me, come dicevo, no, perché la rottura meccanica del microswitch del riparo mobile non soddisfa la definizione della categoria. Ed ecco allora perché dicevo prima di tutto, mi sembra un circuito inutile.

[Serafino]

Raddoppiare NON è RIDONDARE.
La EN 13849-1 fonda le sue radici su un connubio fra solidità dei componenti e automonitoraggio quindi l'estremo "nessun monitoraggio" deve implicare componenti solidi mentre l'estremo opposto "tutto monitorato" può comportare componenti meno solidi.
Nel tuo schema c'è la classica raddoppiata del relè d'uscita che si basa sull'improbabilità che due relè si guastino contemporaneamente ma, a ciuco, non ragione su come lavorano i due relè.

La serie delle emergenze... dipende dal dispositivo che hai in mezzo... senza il suo schema lo capisco poco e rischio di confondermi con altro oggetto di diversa marca e modello.

Per esempio con lo stesso dispositivo commerciale puoi realizzare dei singoli canali o dei doppi canali...

Se lo guardo cosi mi viene da dire che i progettisti agiscono sull'alimentazione del dispositivo di sicurezza alimentandolo solo quando tutti i ripari sono chiusi. Soluzione che ha senso sotto certe ipotesi ma che rende inutile per i ripari la presenza dell'oggetto (e si spiegherebbe il perché dell'elettromeccanica)

[Candy]

Sei stato molto sintetico, ma voglio proprio fermarmi alle sole prime righe del tuo intervento, il resto mi interessa poco.

Raddoppiare NON è RIDONDARE.

E questo conferma ciò che scrivevo, almeno mi sembra di capire.

La EN 13849-1 fonda le sue radici su un connubio fra solidità dei componenti e automonitoraggio quindi l'estremo "nessun monitoraggio" deve implicare componenti solidi mentre l'estremo opposto "tutto monitorato" può comportare componenti meno solidi.

Quindi secondo questo ragionamento potrei montare un miscroswitch ben progettato meccanicamente ed elettricamente, fare tutti i calcoli dal caso e dire che risponde alla categoria 3 della medesima norma che citi?

...
La SRP/CS di categoria 3 deve essere progettata in modo che una singola avaria in una di
queste parti non porti a una perdita della funzione di sicurezza. Quando ragionevolmente
realizzabile, la singola avaria deve essere rilevata durante o prima della successiva
richiesta della funzione di sicurezza.
...

A me sembra di leggere che, per quanto ben provato, l'uso di un solo microswitch per riparo non soddisfi la definizione di categoria 3, perché se questo subisce una rottura meccanica il requisito citato non è soddisfatto.

[Serafino]

Se prendi la EN 13849-1 viene affermato che una terza categoria può essere raggiunta combinato una MTTF LOW con una DC LOW, il problema è che avrai un PL b. Mio errore ad usare il termine nessun monitoraggio, facilmente ed ovviamente confondibile con il NONE ma io ragiono in termini di PL dove per una terza categoria ti basta appunto il minimo di legge come DC (LOW). Ho molto mal espresso il mio concetto.
Rimane il fatto che la categoria è solo una descrizione del circuito e non la sua Perfonce in termini di sicurezza, che è quello che serve davvero.
Mi spiego con precisione:

Se hai una terza categoria e dei componenti pietosi le tue caratteristiche prestazionali in termini di sicurezza non necessariamente saranno eccellenti (anzi non lo sono) pur affidando tutto ad una funzione di monitoraggio pur eccellente.

Relativamente al fatto di mettere su componenti hai centrato il punto: in un circuito si dovrebbe mettere su quello che serve e non aggiungere tanto per aggiungere.

Nel tuo caso ho la sensazione che si sia aggiunto un po' a caso, per far volume più che sostanza. Ma forse mi sbaglio.

[Candy]

Sicuramente anche io mi sono perso per strada, nel descrivere la mia curiosita` e perplessita`.
Io non sono il costruttore e quale che che sia la PL da raggiungere e realmente raggiunta e` fuori dalle mie competenze. Anzi diro`, per maggiore chiarezza, che il costruttore non sa nemmeno di cosa si parla.

Mi concentravo sulla categoria, e mi ripeto, basandomi sulla definizione della categoria 3. Mi sembra che in questo thread si confermi la mia perplessita`: il circuito elettrico doppio non e` ridondanza utile, da sola, per raggiungere una determinata categoria, soprattutto se alta: 3 o 4.

Ma mi riaggancio al tuo ultimo post, insistendo sulle mie perplessita`

Se hai una terza categoria e dei componenti pietosi le tue caratteristiche prestazionali in termini di sicurezza non necessariamente saranno eccellenti (anzi non lo sono) pur affidando tutto ad una funzione di monitoraggio pur eccellente.

Quale potrebbe essere una eccellente funzione di monitoraggio che si accorge che il microswitch di un riparo mobile e` rotto meccanicamente?

[andreandrea]

Ringrazio Candy e Serafino per questa discussione che ho già riletto un paio di volte e che per me vale come una lezione sulla sicurezza delle macchine.

[Serafino]

La domanda richiede un ragionamento ampio perché i guasti meccanici sono una vera rogna.
Diamo per scontato che il micro sia ad apertura positiva e che si impieghi il contatto NC per la funzione di sicurezza.
Siccome siamo in architettura 3 posso permettermi qualche aggeggio che mi aiuti nel monitoraggio.
Due sono le vie maestre: diversità o ridondanza. Entrambe ovviamente prevedono di impiegare un dispositivo aggiuntivo ma la prima prevede che sia un dispositivo diverso.

Il più classico è la verifica di coerenza fra NC ed NO, ma ovviamente copre una certa gamma di casi

Il più smart è la verifica di coerenza fra il segnale del micro guasto ed uno o più diversi segnali (come ad esempio quello della ridondanza o del dispositivo diverso). Questo tipo di monitoraggio è piuttosto blando in assoluto ma di fatto mantenendo la funzione di sicurezza, soddisfo il requisito della categoria 3.

Nel caso di un riparo ad esempio la coerenza direbbe che il micro guasto impedisce la marcia di un motore pur con la porta chiusa.

[Serafino]

Però tu UtenteCancellatoUtenteCancellato stati puntando molto sulla diversità che, a mio avviso, è la forma evoluta....
La ridondanza mettendoci due cosi uguali ha senso in applicazioni specifiche e deve essere oggetto di un minimo di analisi critica.
Ad esempio se metto due micro identici che poi finiscono nel medesimo S-PLC che comanda un solo relè, Sto arrivando! faccio l'insieme di taglio di questo circuito, non è che ho fatto una gran ridondanza. Mettere due micro poco performanti mi permette di affermare (statisticamente) che se uno si rompe l'altro funziona ancora un po'.
Ovviamente mettendo due cosi identici i guati di modo comune sono gli stessi e se ho sbagliato nella scelta o se cambiano le condizioni al contorno, mi sono giocato la mia funzione....
I datasheet di alcuni produttori di micro suggeriscono di usare il primo micro di una coppia in NC ed il secondo in NO proprio per verificare la coerenza, perché ci si basa sull'ipotesi che due oggetti uguali non si guastino meccanicamente nello stesso istante e quindi, di fatto, uso il secondo micro come se fosse il "guardiano" del primo che invece fa la vera e propria funzione di sicurezza.

[Serafino]

Io sono retrò... amo ancora visceralmente l'elettromeccanica ed i microinterruttori meccanici da 12 chili l'uno ad apertura forzata positiva con un contatto NC ed uno NO...

[Serafino]

Io pensavo in modo molto più banale ma del tutto simile a quello che dicevi...

L'elettromeccanica ha la caratteristica che "o ci sei o non funziona nemmeno se spingi e forse ti impicchi con qualche filo".
L'elettronica pullula di "autoformatisi", "hacker","mio nipote con la play station fa magie quasi quasi gli faccio programmare anche il laminatoio della mia acciaieria" al punto che una tecnologia intelligente è diventata una tecnologia for dummies!
Per te UtenteCancellatoUtenteCancellato è bella l'elettronica (e lo sarebbe anche per me per formazione e spirito) perché sei partito dalla sana e vecchia elettromeccanica ed hai in testa le cose, quindi le traduci in elettronichese, e soprattutto perché hai la competenza e la personalità per imporre le scelte corrette, costi quel che costi.
Purtroppo dei tuoi LAZZARONI è pieno il panorama......