Extracorsa In Elettromeccanica?

[Savino]

IL BLOCCO FISICO CHE SIA IN GRADO DI FERMARE ISTANTANEAMENTE TUTTO ASSORBENDO L'URTO MASSIMO

Questo e' assolutamente vero.

Ma resta il fatto che l'extracorsa almeno "avrebbe" tagliato via l'energia'.

[Hellis]

ma per favore non scantonare e non nasconderti dietro alle formalita' !

ehehe no no Piero. Si discute anche animatamente, ma non avevo e non ho nessuna intenzione di scantonare o mancarti di rispetto... ne a te ne a nessun altro.

Il fatto non è che mi nascondo dietro alle formalità. Purtroppo e per fortuna devo spesso presentare i nostri progetti, ma anche le analisi dei rischi (dipende dal contratto) e la documentazione, a grossi Enti, Imprese pubbliche e private, italiane e non, in cui viene valutato anche il peso di una virgola. A volte ho anche a che fare con enti di certificazione e/o di controllo del mercato (ad esempio Ispesl per l'italia, o Keboma per l'olanda). Quindi devi scusare un pò la mia deformazione, ma come dico ai miei colleghi che si dedicano all'automazione, poi mi ci trovo io a fare le figure del merluzzo se le virgole non sono al posto giusto.

Quindi per me tutto ciò che rispetta la legislazione vigente va bene, quello che non la rispetta no: procedendo in questo modo, non ci è mai stata mossa una contestazione rilevante in 13 anni della mia attività (Contestazione rilevante = pagamenti bloccati).

Fra l'altro in alcune occasioni sono stato consulente 'occasionale' per un paio di CTU, ma ho respirato un pò l'aria della contestazione in sede giudiziaria e penale, e per questo ti scrivevo che i termini della Direttiva Macchine hanno un peso giuridico e vanno conosciuti (ad esempio l'organo di comando è ben diverso dal sistema di comando e ben diverso dal dispositivo di comando).

Io non sto contestando il tuo 'sarcofago', e come ho detto sopperisce a:

- esigenze di contenimento meccanico

- protezione dalla proiezione del carico trasportato

- non richiede le extracorse, in quanto lui stesso è una dispostivo di extracorsa meccanico (alla stregua dei deceleratori o dei tamponi).

Sarebbe perfetto. E' che 9 volte su 10 passeresti per matto solo a proporlo.

Modificato: 20 ottobre 2006 da Hellis

[gra76]

Grazie a tutti per esservi interessati.

Visto che l'argomento ha suscitato interesse, vi propongo nuovi spunti e una soluzione su cui ragionare.

Partiamo per gradi....

Macchina cartesiana.

E' vero che ci sono le protezioni di sicurezza che impediscono l'accesso del personale all'interno della macchina, ma è vero anche che queste sono talmente vicine alle vie di corsa che bisogna impedire che la macchina "salti giù".

Per cui punto primo: o i fermi meccanici garantiscono l'assorbimento dell'inerzia della macchina o la corsa disponibile per la decelerazione più sfavorevole è adeguata. Nel nostro caso dobbiamo adottare la prima visto che ogni centimetro di corsa sembra essere oro!

Detto questo, tutto ciò che viene fatto in più è per il buon senso e per la buona progettazione della macchina così da poter dimostrare di aver intrapreso tutte le precauzioni possibili per la sicurezza della macchina.

Il controllo lo farei con il PLC, visto e considerato che: il programma una volta testato sono sicuro che è a posto (isolando bene la parte che gestisce i finecorsa), l'elettromeccanica ogni volta va testata e può essere soggetta a ripetuti errori di cablaggio, inoltre può essere cavallottata, mentre quella del plc no, visto che nel mio caso i finecorsa li uso per fare la ricerca di zero (abilitata dalla pressione di un pulsante e a velocità ridotta).

E' vero che il plc può andare in crisi, ma è anche vero che è possibile utilizzare il suo watchdog (se non è presente è possibile utilizzare un'uscita che deve continuamente commutare) che controlla se il programma sta girando. Questo sarebbe bene farlo in ogni caso, extracorsa a parte!

Non dimentichiamo poi che l'azionamento può aiutare a fermare l'asse, per cui il buon senso dice che è meglio lasciarlo in run per provare a decelerare il motore piuttosto che scollegarlo in ogni caso. D'altra parte l'azionamento ha al suo interno dell'elettronica e un software: perchè il suo dovrebbe essere sicuro e quello del PLC no?

Morale: controllo degli extracorsa da PLC e fermi meccanici collaudati!

Per chi pensa di sostituire i fermi meccanici con gli extracorsa su elettromeccanica: supponiamo anche che la macchina è dotata della corsa per arrestarsi con l'ausilio di un motore autofrenante (senza il freno, un asse con una buona trasmissione lanciato a una certa velocità può percorrere svariati metri!!!).

Se il freno si impasta a causa della polvere e l'operatore non si accorge (visto che fino a quel momento non è servito), cosa succederà se vado sull'extracorsa?

[dak_71]

Deve essere un vero piacere lavorare con te Hellis, ho trovato pochi colleghi e/o capi (anzi, non ne ho mai trovati) che hanno il coraggio e la preparazione di sviscerare il problema delle sicurezze andando contro al comu senso di superficialità in materia (es: ...chi ha mai visto un plc impazzito? Prova a dirlo in tribunale sul banco degl'imputati per omicidio colposo!).

Il buon progettista deve utilizzare tutte le possibilita che la tecnica ed il mercato attuale gli permette per salvaguardare cose e persone, in rapporto al rischio ovviamente.

[Hellis]

Grazie Dak. Come ho scritto prima, mi sono trovato a dover parlare il 'tribunalese', a verificare tesi altrui etc etc, a dover dimostrare la sicurezza delle soluzioni di fronte a fior di tecnici.. parlo di Fincantieri, Alenia, Enea, giusto per fare esempi di aziende italiane.. ma, come ho scritto, anche enti di controllo italiani ed europei.

Ti posso dire, ma non vorrei passare per uno che se la tira, che l'80% delle argomentazioni soprariportate, nonostante siano tecnicamente ineccepibili e correttamente funzionanti (e aggiungo a prova di pirla), sarebbero probabilmente cadute alla prima discussione con un CTU.

Ad esempio parlate tranquillamente di cavallotti.. ma ragazzi quella è una manomissione! solleverebbe fin da subito le responsabilità del costruttore.

Comunque Gra nel tuo caso il vero dispositivo di sicurezza è l'arresto meccanico... come ho già scritto più volte... quindi l'extracorsa è comunque superflua. Quello di cui ti devi eventualmente preoccupare è il RES (Requisiti Essenziale di Sicurezza) inerente alla proiezione del carico, di parte del carico etc etc.

Per farti un'esempio, qualche anno fa progettammo un sistema di sollevamento installato in un teatro, che solleva scenografie sulle teste del pubblico.

Installammo un dispositivo di sicurezza certificato per rilevare un'eventuale sovravelocità di deriva (carico in fuga), in modo che al superamento di una tot velocità sarebbero intervenuti 3 dispositivi frenanti (agenti in 3 punti ben distinti del cinematismo: sicurezza ottenuta per ridondanza). Uno dei problemi da affrontare fu proprio il fatto che se i 3 dispositivi erano tutti funzionanti, l'arresto era troppo repentino e poteva portare al distacco della scenografie dalle traverse di aggancio: ergo la macchina si sarebbe comunque fermata, ma il 'carico' correva il rischio di staccarsi e piombare comunque sul pubblico. Non conosco il tuo cartesiano, ma se questo va a cozzare a tutta birra contro i fermi meccanici, può sussitere il rischio che ciò che trasporta o qualcosa che ci è fissato sopra, venga proiettato oltre le barriere, al di fuori dell'area pericolosa? guarda che potrebbe bastare un normalissimo schermo commerciale (o anche la sola prescrizione riportata sulle Istruzioni per l'uso) per rispondere al res.

Sul freno impastato. L''Utilizzatore (vedere sulla Direttiva cosa si intende per Utilizzatore, figura giuridica ben diversa dall'Operatore) ha il dovere (se ben prescritto sulle Istruzioni per l'Uso) di mantenere in perfetta efficienza la macchina, anche con prove periodiche dei dispositivi di sicurezza; e in questo caso dovreste descrivere la procedura di prova con l'indicazione dei limiti per cui il freno è ritenuto efficiente.

Certo è che se sai che il freno lavora in un tot ambiente, deve avere una adeguata protezione (ad esempio sulle ns macchine destinate ad essere installate in riva al mare o abordo yacht il freno è rigorosamente IP55 con ancora zincata).

Quindi il caso del freno impastato (ma anche consumato etc etc) rientrerebbe in una mancata manutenzione, non attribuibile al Costruttore (anche in presenza di contratti di manutenzione periodica). I costruttori di barriera di sicurezza nei manuali prescrivono un controllo periodico della corretta funzionalità del dispositivo, e per qiesto allegano uno stecchetto di dimensioni certe per poter effettuare correttamente la prova.

Modificato: 20 ottobre 2006 da Hellis

[oiuytr]

E' vero che il plc può andare in crisi, ma è anche vero che è possibile utilizzare il suo watchdog

Non serve a nulla un controllo software in caso di guasto hardware. Per questo esistono i PLC di sicurezza.

utilizzare il suo watchdog (se non è presente è possibile utilizzare un'uscita che deve continuamente commutare) che controlla se il programma sta girando. Questo sarebbe bene farlo in ogni caso, extracorsa a parte!

Ma a cosa serve un'uscita che commuta continuamente?

D'altra parte l'azionamento ha al suo interno dell'elettronica e un software: perchè il suo dovrebbe essere sicuro e quello del PLC no?

Infatti con l'extracorsa hardware si deve togliere l'alimentazione all'inverter o, meglio, "tagliare" il motore.

[batta]

Se c'è di mezzo la sicurezza delle persone si devono rispettare rigorosamente le norme e quindi le sicurezze devono essere elettromeccaniche (o con plc di sicurezza).

Per quanto riguarda il resto (normale funzionamento o sicurezza della macchina) io sono convinto che continuare a considerare l'elettromeccanica più sicura di un plc sia un grave errore.

Insomma, se l'eventuale danno può essere elevato, posso capire la gestione elettromeccanica + plc per avere una doppia sicurezza, ma se si deve decidere tra elettromeccanica o plc, per me non ci sono dubbi: plc!

[batta]

(es: ...chi ha mai visto un plc impazzito? Prova a dirlo in tribunale sul banco degl'imputati per omicidio colposo!).

Forse non hai letto bene tutti i post. E' chiaramente specificato che questi extracorsa nulla hanno a che vedere con la sicurezza delle persone.

Ad esempio parlate tranquillamente di cavallotti.. ma ragazzi quella è una manomissione!

Anche modificare un programma per bypassare un blocco è una manomissione.

Insomma, se si tratta di salvaguardare le persone, ben vengano tutte le coplicazioni di questo mondo. Per tutto il resto, finiamola di complicarci la vita solo per il gusto di farlo. Oppure rendere le cose più complicate di quello che realmente sono ci fa sentire più importanti?

Modificato: 21 ottobre 2006 da batta

[Hellis]

A mio parere il progetto va visto nel suo insieme, e la sicurezza deve essere trattata in ogni fase, dalla progettuale (ma anche di preventivo) alla realizzativa, e non deve essere delegata all'ultimo momento al realizzatore dell'automazione.

Per questo non sono d'accordo sul fatto che le extracorse non hanno nulla a che vedere con la sicurezza delle persone: se su quel cartesiano non ci fossero i fermi meccanici, le extracorse interesserebbero eccome la sicurezza delle persone.

Ma sopratutto credo che non ci è dato a sapere cosa succederebbe se il cartesiano andasse a sbattere contro i fermi meccanici (quindi ritorniamo comunque a parlare di sicurezza delle persone), perchè è una prova che ovviamente non fa mai nessuno. Anche perchè siamo un pò più tranquilli sapendo che ci sono anche le extracorse... ridondanti rispetto al circuito di comando principale.

Per me non è una questione di sentirsi importanti: c'è una direttiva che è legislazione vigente; se l'applicazione non sopperisce ai res, la macchina è al di fuori della legislazione vigente. Punto.

Modificato: 21 ottobre 2006 da Hellis

[Livio Orsini]

Ma a cosa serve un'uscita che commuta continuamente?

E' quella che viene chiamata "CCZ" (Computer CraZy). Era(è) praticamente un must per i sistemi di controllo embedded. E' presente in tutte le mie "antiche" schede con micro in versione un poco più sofisticata.

Un'uscita è mantenuta alta solo se un condensatore viene caricato entro un tempo prefissato, 10 ms p.e.. La carica del condensatore avviene tramite una linea che la CPU alza e abbassa al termine del ciclo di lavoro ed è rigorosamente slegata da ogni interrupts. In questo modo se la cpu "andasse a ranocchie" o entrasse in un ciclo perverso dopo 10 ms si scatenerebbe le sequenza di emergenza HW.

Ovviamente questo non ha niente a che vedere con l'uso o meno di extra corsa HW che, a mio parere, servono più per garantire contro errori di posizionamento dovuti ad errori di conteggio (guasti del trasduttore o rotture meccaniche) e/o gusti dell'azionamento.

[walter.r]

Ragazzi, proviamo a fare un po' d'ordine ??

Nell'argomento del thread si parla di finecorsa di "sicurezza per la macchina", non per le persone.

Quello che dice Hellis è per me condivisibile al 100%, cioè le valutazioni sulla sicurezza vanno fatte bene a livello di progetto. La protezione delle persone va fatta secondo normativa, per buon senso e anche per evitare i tribunali in caso di "problemi".

Detto questo, per quanto mi riguarda, una sicurezza "macchina" è valida sia se fatta mediante PLC che mediante hardware.

Anni fa l'elettronica era intrinsecamente meno sicura, quando ho iniziato a lavorare gli extracorsa erano rigorosamente a livello di potenza, perchè non ci si poteva fidare al 100% dell'elettronica.

Oggi i prodotti sono molto più sicuri, in termini di garanzia di corretto funzionamento, intendo.

Non ho mai avuto il benchè minimo problema a fermare via PLC o CN dei movimenti non voluti.

In questo do ragione a Batta: gli extracorsa hardware, dal punto di vista della sicurezza macchina sono in genere una complicazione in più, o se vogliamo, una aggiunta inutile.

A meno che non siano necessari per un problema di sicurezza persone, ma questo, come detto, è un altro discorso......

[Livio Orsini]

In questo do ragione a Batta: gli extracorsa hardware, dal punto di vista della sicurezza macchina sono in genere una complicazione in più, o se vogliamo, una aggiunta inutile.

E' una questione di filosofia personale. C'è chi previlegia un terorico più alto grado di sicurezza e chi invece si fida.

Trattandosi di danni alle sole cose è solo una valutazione personale.

Per inciso, sarà perchè sono vecchio, ma qualche PLC "impazzito" l'ho visto, anche prodoti recenti di primarie case

[walter.r]

... un terorico più alto grado di sicurezza...

Hai ragione Livio a dire "teorico".

Personalmente ho un concetto di base simile al tuo, i miei primi lavori mi hanno insegnato questo, ma bisogna ammettere che se andiamo nel campo del "..è possibile...", allora tutto è possibile.

Può andare per farfalle un PLC ( ne ho visti anch'io un paio, ma tutti con le uscite a 0 ), può incollarsi un contattore o un relè ( di questi ne ho visti più di uno...), mi è anche capitato un Pilz che non "Pilzava" più.

Se siamo nel campo delle possibilità, secondo me una vale l'altra.....

E ovviamente, trattandosi di possibili danni alle cose, occorre fare "prima" la valutazione adeguata.

[oiuytr]

walter.r+-->

CITAZIONE(walter.r)

Se il collegamento era corretto, in caso di infortuni non avresti avuto responsabilita' ma le avrebbe avute la Pilz.

[walter.r]

Se il collegamento era corretto, in caso di infortuni non avresti avuto responsabilita' ma le avrebbe avute la Pilz.

Corretto, Francesco, ma il problema non è " di chi è la colpa " ma " cerchiamo di non farci del male ".

Un oggetto messo apposta per sicurezza non ha garantito la sicurezza.

Questo intendevo dire......

[Hellis]

Se parliamo per esperienze e sensazioni, peraltro importantissime, parliamo comunque di sesso degli angeli.

In qualità di progettisti, le nostre sensazioni, intuizioni etc etc devono tenere il confronto con la legislazione vigente. Quindi dobbiamo valutare i rischi alla luce dei res e trovare soluzioni tecniche che possono essre dimostrate valide.

Non possiamo stare qui a discutere se un plc impazzisce o no e come: c'è un articolo di legge che da per scontato che ciò possa accadere. Piaccia o non piaccia, a noi trovare la soluzione tecnica. O altrimenti a confutare la legislazione in opprtuna sede.

Che, mi ripeto, nel caso di cui sopra molto probabilmente la soluzione tecnica coincide, salvo verifica più approfondita, con i fermi meccanici.

Il Pilz che impazzisce. Purtroppo se ci fosse stato un giudizio penale, la Pilz o il Costruttore del componente di sicurezza, sarebbe stato coinvolto solo in sede civile. La cosa è lunga da argomentare e si va in off topic, ma è così. Per questo fare ben attenzione a come si fanno i libretti di uso e manutenzione.

Modificato: 22 ottobre 2006 da Hellis

[gra76]

Per quanto concerne l'uscita che commuta continuamente....

Noi solitamente, utilizzando SAIA, abbiamo a disposizione un'uscita già filtrata della commutazione che viene fatta da programma, chiamata comunemente watchdog. Non avendola a disposizione si può utilizzare una comune uscita e procedere come ha spiegato Livio. Una volta ottenuta l'uscita la mandiamo in serie a tutte le altre protezioni (termici, ecc...). Se il programma non gira più l'intervento delle protezioni taglia il movimento di tutti gli assi. Se le schede di uscita non rispondono più il PLC genera un'eccezione che manda in HALT la CPU causando nuovamente la disattivazione del watchdog.

"Tagliare" i motori però, mette ad un rischio maggiore la macchina, che ci metterà più tempo a fermarsi. La soluzione adottata è quella di lasciare collegati gli azionamenti per il tempo necessario a fare la frenata e tagliarli poi con un timer di sicurezza della pilz che dà un'uscita ritardata.

[batta]

Non possiamo stare qui a discutere se un plc impazzisce o no e come: c'è un articolo di legge che da per scontato che ciò possa accadere.

La stessa legge prevede anche che si possa incollare un relé. Se si parla quindi di arresto di emergenza o di extracorsa che deve effettuare un arresto di emergenza, diciamo subito che mettere un semplice contatto di un semplice finecorsa in serie alla bobina del teleruttore di potenza è quanto di più sbagliato si possa fare. Minimo si dovrebbero usare finecorsa di sicurezza cablati su moduli di sicurezza. Questo però solo se il costruttore valuta, assumendosi le proprie responsabilità in caso di valutazione errata, che l'extracorsa debba causare un arresto di emergenza. Nella domanda iniziale era chiaro che non si trattava di un arresto di emergenza.

Inoltre, la normativa prevede che l'arresto d'emergenza debba essere fatto nel minor tempo possibile. Tagliare la potenza ed arrestare per inerzia non è certo il modo migliore per fermarsi più in fretta possibile. Poi, se per qualsiasi motivo, la normale procedura di arresto di emergenza non è andata a buon fine, non rimane altro da fare che tagliare la potenza e pregare, anche in presenza di fermi meccanici.

Quindi, se si tratta di circuito di emergenza mettiamoci pure dieci pilz e dieci preventa (tanto per non fare preferenze di marca). Diversamente, come già detto, cerchiamo di chiudere qualce "Ufficio Complicazione Cose Semplici".

[Livio Orsini]

Inoltre, la normativa prevede che l'arresto d'emergenza debba essere fatto nel minor tempo possibile. Tagliare la potenza ed arrestare per inerzia non è certo il modo migliore per fermarsi più in fretta possibile.

Anche se OT è necessario fare una precisazione.

La normativa prevede anche che sia sempre presente almeno un arresto di emergenza di tipo zero, cioè quello che apre l'alimentazione genrale.

Quindi possiamo mettere in atto tutto quanto è in nostro potere per arrestare nel più breve tempo possibile ma, se la macchina non si arresta entro il tempo previsto, entrerà comunque in funzione l'emergenza zero.

La sicurezza assoluta non esiste Anche nei sistemi tipo shuttle, dove si lavora normalmete con ridondanza tre su cinque, i guasti accadono, purtroppo.

La cosa essenziale, dal mio punto di vista, è mettere in atto tuto quanto è possibile per ridurre al minimo la probabilità di eventuali alle persone, animali e cose.

Bisogna sempre tenere conto della pericolosità della macchina. Un conto è un carello utensile avente massa di 10N e v <= 1ms, ben altro è una segatrice volante con massa 1500N, lanciata in pochi metri a v>3ms!

[Savino]

La soluzione adottata è quella di lasciare collegati gli azionamenti per il tempo necessario a fare la frenata e tagliarli poi con un timer di sicurezza della pilz che dà un'uscita ritardata.

Secondo me non e' corretto. Tu dovresti utilizzare dei freni che vengono attivati istantaneamente alla mancanza di energia. Poi, se l'inerzia e cosi grande di non permettere l'immediato arresto nello spazio a disposizione, sara' senzaltro il "Shock absorber" a contenere l'impatto, niente da fare.

Questo tampone fisico deve venire calcolato in funzione alla massima forza d' impatto admissibile.

Vedi, il fatto che tu preveda un impianto di extracorsa che interverrebbe in un arresto di emergenza, tanto via HW, SW oppure combinato non vuoldire che avrai disponibile il 100% della sicurezza assoluta. Quindi resta il fatto della neccessita' di mettere in campo tutto il razionalmente possibile per ridurrere al massimo gli eventuali danni. Se la macchina e cosi complessa per quella diterminata parte del motion, raddoppiare o triplicare le sicurezze non e' scandaloso affatto anzi, sara' sinonimo di saggezza e buon senso piuttosto.

Modificato: 22 ottobre 2006 da Savino

[walter.r]

Secondo me non e' corretto. Tu dovresti utilizzare dei freni....

Savino, anche secondo me non è tecnicamente correttissimo, eppure a volte si fa,per tutta una serie di motivi che vanno dall'economico allo pseudo-tecnico.

Personalmente mi fido meno di un timer che di un PLC o di un CN, e se posso,i freni li metto.

raddoppiare o triplicare le sicurezze non e' scandaloso affatto,....

Certo, occorre comunque valutare il tipo di applicazione e le implicazioni di sicurezza.

Se devo fare un traslo, ci metto finecorsa controllati dal CN, poi finecorsa hardware che tagliano potenza, il freno sul motore, il tampone assorbitore di energia e forse anche il muro di cemento....

Se devo muovere un asse idraulico con 100 mm di corsa, probabilmente metto solo una centralina di sicurezza che arresta la pompa idraulica se uno fa emergenza o apre un riparo.....

[Savino]

Certo, occorre comunque valutare il tipo di applicazione e le implicazioni di sicurezza.

Ok Walter, d'accordo

In ogni modo, queste valutazioni meglio farli con capitolato, specificazioni, norme, etc... in mano pero'.

Just in case