Una protezione viene aperta mentre un asse è ancora in movimento, ma l’HMI indica velocità zero. Il valore è leggibile e potrebbe persino essere coerente con il dato ricevuto dal controllo. Resta però aperta la questione decisiva: la macchina ha rilevato il movimento pericoloso e ha reagito in modo affidabile, oppure sta soltanto visualizzando un segnale?
Un encoder di sicurezza serve quando il suo feedback è necessario per realizzare una funzione di sicurezza: per esempio, quando la logica deve rilevare o monitorare posizione, velocità o arresto e usare quell’informazione per portare l’asse nello stato sicuro previsto. Se invece l’encoder regola soltanto il funzionamento ordinario e una catena indipendente gestisce il pericolo anche in caso di errore del feedback, la precisione della misura non trasforma il componente in un dispositivo safety.
Il valore sullo schermo e lo stato fisico della macchina
Il controllo ordinario usa il feedback per comandare il movimento, correggere uno scostamento o mostrare una variabile all’operatore. La funzione di sicurezza risponde a una domanda diversa: che cosa deve accadere quando si presenta una condizione pericolosa o quando uno degli elementi coinvolti si guasta?
La posizione visualizzata non basta se un errore non viene rilevato oppure non produce una reazione sicura. Un valore coerente all’interno del controllore, infatti, non dimostra da solo che il riparo sia stato rilevato nello stato corretto, che l’asse sia fisicamente fermo o che l’energia pericolosa sia stata rimossa, dissipata o trattenuta come previsto.
Per capire il ruolo dell’encoder conviene quindi separare tre aspetti:
- che cosa viene misurato, come posizione, velocità o condizione di arresto;
- quale decisione dipende dalla misura, dal semplice controllo del ciclo all’autorizzazione di un accesso;
- che cosa accade se il dato è errato, assente o non più aggiornato.
Se il guasto comporta soltanto una perdita di prestazione, il feedback può restare nell’ambito del controllo ordinario. Se può impedire il riconoscimento del pericolo o la reazione richiesta, quel feedback entra nel perimetro della funzione da progettare e validare.
Il confine della sicurezza comprende tutta la funzione
La scelta non dovrebbe iniziare dal catalogo degli encoder. Prima occorre definire l’evento iniziale, la reazione richiesta e lo stato sicuro. La specifica dei requisiti di sicurezza deve chiarire anche le modalità operative interessate e il comportamento atteso in presenza dei guasti considerati. Soltanto dopo è possibile stabilire architettura, componenti e livello richiesto.
La funzione completa comprende l’ingresso che rileva l’evento, la logica che prende la decisione, l’uscita che agisce sul processo, le interconnessioni, il programma e la risposta ai guasti. La conformità del singolo encoder, azionamento o controllore non si estende automaticamente all’intera catena.
Quando l’encoder resta un feedback ordinario
L’encoder può rimanere un elemento di controllo se la funzione di sicurezza non usa il suo dato per riconoscere il pericolo, autorizzare una condizione o verificare lo stato dell’asse. In questa configurazione, la catena safety deve raggiungere lo stato previsto senza attribuire al feedback ordinario una capacità che non è stata dimostrata.
È il caso, in termini generali, di un segnale usato dal servoazionamento per regolare il movimento mentre la reazione di sicurezza è affidata a elementi indipendenti. L’adeguatezza di questa separazione dipende comunque dal pericolo e dallo stato sicuro richiesto: non esiste una soglia universale di precisione oltre la quale un encoder standard diventa sufficiente.
Quando il feedback diventa parte della funzione safety
Il passaggio avviene quando la decisione di sicurezza dipende dalla conoscenza affidabile del movimento. Se il sistema deve determinare che una velocità è entro un limite, che l’asse è fermo o che una posizione consente un accesso, un errore del feedback può alterare direttamente la reazione della macchina.
In questo caso non basta ricevere un dato: occorre stabilire come siano gestiti i guasti contemplati, quali controlli diagnostici siano disponibili, che cosa accada alla perdita della comunicazione e quale elemento esegua materialmente la reazione. La soluzione può richiedere un encoder con caratteristiche safety oppure un’architettura diversa capace di fornire evidenze equivalenti per la funzione considerata. La risposta viene dalla validazione della catena, non dal nome commerciale del sensore.
Encoder, azionamento, controllore e comunicazione
L’encoder produce l’informazione sul movimento, ma non decide da solo lo stato sicuro. Il servoazionamento usa il feedback ed esegue i comandi relativi all’asse; il controllore safety valuta gli ingressi e determina la reazione prevista; la comunicazione trasferisce informazioni e comandi tra questi elementi. La diagnostica serve a rendere riconoscibili i guasti contemplati dall’architettura e ad associare loro una risposta definita.
Il punto debole può trovarsi in qualunque passaggio. Un sensore adeguato non compensa una logica incompleta, così come un controllore certificato non dimostra che il comando finale abbia prodotto l’effetto fisico richiesto. Anche la perdita di comunicazione deve avere un comportamento stabilito nella specifica: non può essere interpretata automaticamente come conferma dell’arresto.
STO, arresto controllato e monitoraggio non sono equivalenti
La parola “arresto” può nascondere reazioni molto diverse. La funzione STO sopprime la coppia, ma può lasciare che il movimento termini per inerzia. Non misura da sola la posizione e non conferma che l’asse si sia già fermato nel momento in cui viene attivata.
La funzione SS1 prevede invece una decelerazione controllata prima dell’attivazione della STO. Se quella decelerazione viene verificata attraverso il feedback, occorre includere nel progetto il modo in cui il dato e i relativi guasti vengono gestiti. SS2 e SOS introducono ulteriori condizioni di arresto o mantenimento monitorato: il sistema non deve soltanto togliere coppia, ma controllare o mantenere lo stato richiesto.
Di conseguenza, lo stesso asse può non richiedere il feedback di posizione per una funzione basata esclusivamente sulla soppressione della coppia, ma averne bisogno quando occorre verificare un arresto, una velocità o una condizione di mantenimento. La decisione dipende dall’effetto fisico da ottenere e dal rischio associato al movimento residuo, non da una preferenza generale per un tipo di encoder.
Come stabilire se il feedback esistente è sufficiente
- Descrivere il movimento pericoloso. Va indicato che cosa può accadere, in quale modalità operativa e a seguito di quale evento.
- Definire lo stato sicuro. Togliere coppia, arrestare con una decelerazione controllata e mantenere una posizione non sono richieste intercambiabili.
- Individuare le variabili necessarie. Occorre verificare se la funzione può essere realizzata senza conoscere posizione, velocità o arresto dell’asse.
- Esaminare le conseguenze dei guasti. Bisogna considerare che cosa accade con un dato errato, con l’assenza del segnale o con la perdita della comunicazione tra encoder, azionamento e logica.
- Assegnare il ruolo di ogni elemento. Deve risultare chi rileva l’evento, chi valuta il feedback, chi comanda la reazione e chi produce l’effetto fisico sicuro.
- Validare la configurazione reale. Certificati e manuali dei componenti sono evidenze necessarie quando pertinenti, ma devono corrispondere al cablaggio, ai parametri, al programma e alle condizioni effettive della macchina.
Le evidenze da chiedere al fornitore
La dicitura “safety” richiede verifiche precise. Occorre conoscere lo scopo dichiarato del componente, le configurazioni ammesse, le funzioni supportate, la diagnostica disponibile, il comportamento previsto ai guasti e le condizioni d’integrazione. Serve inoltre distinguere ciò che riguarda il solo encoder da ciò che viene ottenuto insieme a uno specifico azionamento o controllore.
Un esempio concreto mostra perché le dichiarazioni vadano lette nel loro perimetro. Per il modello FSI 608, Leine Linde dichiara caratteristiche di ridondanza e diagnostica, certificazione fino a SIL3/PLe e conformità a IEC 61800-5-3. Queste indicazioni documentano l’offerta del produttore per quel prodotto; non dimostrano che qualsiasi macchina equipaggiata con esso soddisfi automaticamente la funzione richiesta.
Lo stesso rigore serve durante la manutenzione. Una sostituzione apparentemente equivalente può modificare configurazione, comunicazione o diagnostica e deve quindi essere confrontata con quanto validato. Il problema ha anche un impatto operativo: i costi che emergono quando il manutentore non è disponibile diventano più difficili da contenere se non è possibile ricostruire rapidamente componenti, parametri ed evidenze della funzione.
Domande degli utenti
Un encoder con uscita digitale può essere usato in una funzione safety?
Il fatto che l’uscita sia digitale non determina l’idoneità safety. L’encoder può essere considerato soltanto all’interno di un’architettura che specifichi il suo ruolo, i guasti da gestire, la diagnostica, la reazione richiesta e le evidenze necessarie alla validazione. Il formato del segnale, da solo, non risponde a queste domande.
Che cosa succede alla funzione di sicurezza se si perde la comunicazione con il servoazionamento?
La reazione deve essere definita nei requisiti della funzione. La perdita della comunicazione è una condizione da rilevare e gestire secondo lo stato sicuro previsto: non equivale né alla conferma dell’arresto né alla certezza che l’azionamento abbia eseguito il comando. Il comportamento concreto dipende dall’architettura validata.
Perché la funzione STO non controlla da sola la posizione dell’asse?
Perché la STO sopprime la coppia, ma non costituisce di per sé un monitoraggio della posizione. Dopo la sua attivazione l’asse può ancora muoversi per inerzia. Se la funzione deve verificare l’arresto o mantenere una determinata condizione, sono necessari ulteriori elementi e una funzione coerente con quell’obiettivo.
È sufficiente che il produttore definisca un componente come safety per renderlo adatto a qualsiasi macchina?
No. La dichiarazione del produttore riguarda il componente e il relativo campo d’impiego. L’idoneità sulla macchina dipende dalla funzione completa, dalla configurazione, dalle interconnessioni, dal programma, dalla gestione dei guasti e dalla validazione dell’effetto fisico richiesto.
La domanda utile da portare nel progetto
Chiedere soltanto se un encoder sia safety concentra l’attenzione sull’etichetta del componente. La decisione diventa più solida quando parte da due domande verificabili: quale movimento pericoloso deve essere controllato e come si dimostra che la funzione resta affidabile dopo un guasto, una modifica o una sostituzione?
