💡 IL PUNTO DI VISTA DI CLAUDIO DELAINI
La procedura LOTO (Lock Out Tag Out) consiste di due fasi principali, almeno in origine: lock out, blocco con i lucchetti gli interruttori; tag out, avverto con i cartelli che la macchina è in manutenzione.
Sulla carta è semplice: individuo tutte le fonti di energia, le spengo, le isolo, controllo che non ci sia energia residua, lucchetto, metto il cartello, faccio quello che devo fare a macchina ferma, poi tolgo tutto e riavvio.
Il problema è che non tutte le macchine hanno organi lucchettabili. Molte hanno solo pulsanti, leve, interruttori che vanno modificati apposta per diventare bloccabili.
Inoltre la procedura, sulla carta, prevede due persone: chi fa la manutenzione e chi gestisce le chiavi. Nella pratica, spesso è una persona sola… e una persona sola può dimenticarsi un passaggio. Ho visto fabbriche senza lucchetti, con solo il cartello. E il cartello, quando si ha fretta, ce lo si dimentica di mettere.
C’è poi un caso scomodo di cui si parla poco: a volte, per capire perché un guasto si verifica, la macchina la devi vedere muoversi. Anche rallentarla non basta sempre, perché alcune anomalie si manifestano solo a velocità normale. In quel momento la regola non è più “ferma tutto”, ma “guarda, non toccare”.
Ecco perché conoscere l’avvio inatteso — e i suoi limiti pratici, non solo la teoria — è la base di ogni valutazione dei rischi seria.
Cos’è il rischio avvio inatteso?
L’avvio inatteso si verifica quando una macchina passa dallo stato di fermo allo stato di movimento in modo imprevisto e pericoloso.
Ma come può succedere se la macchina è stata fermata?
Capita perché ci sono isole robotiche e linee di produzione con più pulpiti, più pulsanti di avvio. Può capitare ad esempio che un manutentore fermi la macchina e vada a pulire un rullo o a smontare qualcosa, e un collega, trovando la linea ferma e non accorgendosi della persona vicino al macchinario, decida di riavviarla. Oppure la porta viene chiusa e la linea riparte, oppure salta la corrente e quando torna la linea riparte da sola.
È più difficile che questo rischio si verifichi nelle macchine singole, ma è più facile che succeda negli insiemi di macchine. Ed è uno dei rischi più pericolosi in fabbrica.
L’avvio inatteso è stato normato prima dalla norma UNI EN 1037, nata nel 1997 e aggiornata nel 2008, ed ora sostituita dalla UNI EN ISO 14118:2018.
Cos’è l’avvio ritardato?
Ci sono macchine che si avviano lentamente. C’è un lasso di tempo tra quando si schiaccia il pulsante e quando si avvia il macchinario.
Ponendo che il tempo necessario sia di qualche decina di secondi, in quell’arco di tempo qualcuno potrebbe mettere le mani dove non deve. Magari un manutentore, vedendo la macchina ferma, decide di fare un piccolo lavoro di pulizia, non sapendo che il macchinario sta per avviarsi a breve.
È fortemente consigliata la presenza di un segnale luminoso — i piccoli semafori che si vedono spesso sopra le isole robotiche — insieme a un timer che indichi il tempo da attendere. Siccome spesso le persone non notano il semaforo con le luci, deve esserci anche un segnale acustico, sufficientemente forte da farsi notare in un ambiente di fabbrica mai troppo silenzioso.
Un esempio concreto di come questo principio si applica: su un macchinario dotato di condensatore, l’accesso alla zona pericolosa è protetto da un blocco a chiave collegato a un timer elettromeccanico. Quando l’operatore ruota la chiave per disalimentare e bloccare in aperto il circuito, un finecorsa avverte il sistema e fa partire il conteggio — il tempo necessario alla scarica del condensatore, tipicamente nell’ordine di una decina di minuti.
Fino a che il tempo non è trascorso, la chiave resta fisicamente vincolata da un controllo elettromeccanico e non può essere estratta: l’operatore, per quanto abbia in mano la prima chiave, non può accedere alla seconda che apre la zona pericolosa. Solo al termine dell’attesa si accende una spia luminosa, e a quel punto la chiave può essere estratta per procedere in sicurezza.
Dispositivi di bloccaggio per evitare l’avvio inatteso
Spesso in una linea di produzione con tanti punti dove poter attivare i vari pezzi, gli operai entrano anche quando non dovrebbero. Per impedirlo è necessario isolare la fonte di energia — elettrica, pneumatica o idraulica — e assicurarsi che l’isolamento sia avvenuto in maniera affidabile. Si può posizionare un coperchio che impedisca di schiacciare il pulsante di avvio quando qualcuno è ancora dentro, oppure un lucchetto su un interruttore predisposto con due fori che coincidono solo nella posizione di arresto, oppure una chiave codificata.
Ognuno deve sapere cosa attiva ogni pulsante: non è detto che, se un interruttore ha il lucchetto, sia fermo tutto il macchinario; potrebbe essere fermo solo un pezzo.
Più operatori, più chiavi: il moltiplicatore di chiavi
Un caso che si presenta spesso e che il solo lucchetto non risolve: più manutentori devono intervenire contemporaneamente su punti diversi della stessa macchina — ad esempio due sportelli distinti su un unico impianto. Con una chiave sola, come si fa a garantire l’accesso a entrambi senza che nessuno dei due possa riavviare l’impianto mentre l’altro è ancora dentro?
La soluzione è un distributore, o moltiplicatore, di chiavi: una chiave “madre”, derivata dalla messa in sicurezza della fonte di pericolo, ne libera altre. Nel caso più semplice una chiave ne libera due, ma in impianti più complessi (un precipitatore elettrostatico, ad esempio, con decine di interruttori e centinaia di botole di controllo) la logica si scala di conseguenza.
Le chiavi derivate sono interbloccate tra loro: la chiave di riavvio dell’impianto resta bloccata finché tutte le chiavi derivate non sono state riconsegnate al distributore. Solo quando ogni manutentore ha rimesso la propria chiave al suo posto, l’impianto può tornare disponibile per il riavvio.
Procedura avvio inatteso – LOTO
Per evitare gli infortuni che possono verificarsi durante i lavori di pulizia, manutenzione e modifica dei macchinari è necessario isolare e interrompere ogni fonte di energia (meccanica, elettrica, pneumatica) e bloccare i vari dispositivi durante questi lavori: questa procedura prende il nome di LOTO (Lock Out Tag Out).
La procedura si divide in 4 fasi:
Fase 1 – Preparazione. Identificare il tipo di energia utilizzata e prepararne il bloccaggio alla fonte, in modo certo e verificabile.
Fase 2 – Arresto e bloccaggio. Interrompere il funzionamento delle attrezzature interessate, bloccare le fonti di energia in modo che l’operatore sia al sicuro anche senza controllo visivo completo della situazione. Non sottovalutare l’eventuale energia residua immagazzinata — pressione, inerzia, molle, accumulatori — da dissipare o trattenere in sicurezza.
Fase 3 – Test di verifica e intervento. Eseguire un test su tutti i comandi individuati, controllare ogni energia residua, prestare attenzione al possibile avvio ritardato. Eseguire l’intervento con personale informato e formato.
Fase 4 – Ripristino del funzionamento. Riavviare solo dopo aver verificato tutto. Il procedimento dovrebbe essere descritto nel manuale di istruzioni del macchinario.
Bloccaggio elettrico
Si isola ogni circuito elettrico di comando (separazione), si assicura la separazione con un dispositivo di bloccaggio non eludibile (bloccaggio), si verifica l’assenza di corrente su ogni conduttore attivo compreso il neutro con un cercafase (verifica), e si effettua la messa a terra e il corto circuito dei conduttori (messa a terra).
Bloccaggio delle valvole
Necessario quando si trattano liquidi tossici, corrosivi, infiammabili, esplosivi, o pressioni/temperature a rischio. Si identificano le fonti da svuotare (preparazione), si svuota completamente il fluido residuo procedendo se necessario a ventilazione o aspirazione (arresto), si bloccano in chiusura gli elementi di separazione e in apertura gli elementi di scarico (bloccaggio), si verifica l’assenza di rischi residui prima dello sbloccaggio finale (verifica).
In tutti i casi: solo il responsabile del bloccaggio può dichiarare il dispositivo sbloccato.
Il LOTO funziona sempre? I limiti nella pratica
La procedura appena descritta è quella “da manuale”. Nella pratica di fabbrica, tre problemi concreti la mettono spesso in difficoltà.
Il primo: non tutte le macchine hanno organi lucchettabili. Molte hanno semplicemente pulsanti, leve o interruttori che non sono pensati per essere bloccati fisicamente e quindi vanno modificati apposta. Si tratta di un intervento che ha un costo e richiede una scelta consapevole di farlo.
Il secondo: la procedura, in origine, prevede due persone, ovvero chi esegue la manutenzione e chi gestisce le chiavi del lucchetto, idealmente con una cassetta dedicata di lucchetti numerati. Nella pratica, in molte realtà una persona sola fa tutto. Ed è proprio lì che si annida il rischio : non è raro trovare fabbriche dove il tag out (il cartello di segnalazione) semplicemente non viene messo, perché chi lavora ha fretta e se ne dimentica.
Il terzo, il più scomodo: non sempre è possibile diagnosticare un guasto a macchina ferma. A volte serve vedere il macchinario in movimento per capire perché un prodotto esce non conforme, o da dove arriva un rumore anomalo. E nemmeno la velocità rallentata è sempre sufficiente, perché alcune anomalie si manifestano solo a regime. In questi casi la regola cambia: non più “ferma tutto”, ma “guarda, non toccare”. Non significa eludere le protezioni o mettere le mani vicino agli organi in movimento, ma studiarsi la macchina, leggere il manuale di istruzioni, e costruire con i manutentori una prassi condivisa e compatibile con la realtà dell’azienda, non calata dall’alto.
Quando il CE non basta: un caso reale
Ecco una sintetica descrizione di una procedura obbligatoria — la prevenzione dell’Avvio Inatteso (LOTO). Se non la sai applicare, se non ti sembra granché, se pensi sia solo una moda: in caso di infortunio è un problema serio.
In una fabbrica di una multinazionale famosa è capitato un infortunio mortale: un operatore è rimasto schiacciato tra le parti di una linea, mentre stava pulendo per cambio colore. Se il Direttore avesse fatto applicare la procedura LOTO, non sarebbe successo nulla.
Inseriamo un estratto, reso anonimo, di una nostra perizia di qualche anno fa…
[…] il giorno —- 2017 noi sottoscritti Ing. Renato Delaini e Ing. Claudio Delaini abbiamo eseguito un sopralluogo presso il sito produttivo della Società XX SpA, e più precisamente sul luogo teatro dell’evento mortale, come risulta dal Verbale di accertamento dello stato dei luoghi.
Nel corso del sopralluogo sono state scattate 70 fotografie e sono state fatte 18 videoriprese, già depositate. Nel corso del sopralluogo sono state analizzate le situazioni ed il layout produttivo, come attività necessarie per una ricostruzione dei fatti, e sono stati intervistati i tecnici e gli operatori presenti.
A tutte queste operazioni erano presenti ed hanno partecipato i legali ed i tecnici di XX Spa.
La memoria è stata redatta esclusivamente sulla base di quanto emerso dal sopralluogo.
L’infortunio mortale: perché non è stato causato da un errore dell’operatore deceduto.
Il sopralluogo ha mostrato quanto segue:
- L’operatore deceduto era destinato ad operare abitualmente su linee di quel tipo. In queste linee si trova un “ponte” che si può muovere avanti e indietro. Sta in avanti durante la produzione, ma deve essere tirato indietro per consentire l’accesso dentro la linea (come si vede dal video) ad una vaschetta contenente il colore, che va pulita di frequente.
- L’operatore deceduto era perfettamente a conoscenza che, per poter pulire la vaschetta, il ponte doveva rimanere arretrato. Durante l’operazione di pulizia non vi sono motivi per doverlo far avanzare: per pulire la vaschetta l’operatore occupa esattamente lo spazio che occupa il ponte quando è in avanti. In quello spazio – o ci sta l’operatore, per pulire – o ci sta il ponte a pulizia terminata, per produrre.
- Nella Linea in oggetto lo spostamento viene comandato con una chiavetta posta su un piccolo quadro locale (si vede bene nei vari video).
- Quindi per entrare a pulire la vaschetta l’operatore deceduto ha dovuto azionare la chiavetta facendola ruotare in un verso, ed ha dovuto attendere che lentamente il ponte si spostasse all’indietro.
- Non aveva quindi senso che lui azionasse in avanti il movimento del ponte mentre stava pulendo la vaschetta e ne occupava la posizione.
Non si tratta di un PULSANTE che può essere azionato inavvertitamente. Ma di una chiavetta che va ruotata nel verso giusto. Anche se per errore lo avesse fatto, avrebbe saputo perfettamente che il ponte, che si trovava alle sue spalle, sarebbe avanzato contro la sua schiena. E si vede dal video che tale movimento è molto lento e consente tutto il tempo per azionare il comando con la chiavetta ed invertire il senso di marcia del ponte in caso di errore.
Ovvio che l’operatore può intervenire in tempo solo è se lui che lo ha deciso, se è lui che lo sta facendo intenzionalmente. Non certo se l’azionamento è stato attivato da un altro operatore, a sua insaputa: in quel caso rimane sorpreso nel sentire qualcosa che lo preme alla schiena, e può essere colto dal panico. Un movimento imprevisto che avviene alle sue spalle e che lui non può vedere per tempo. Anche perché non c’è modo previsto per lui di bloccare tutto e liberarsi, come invece prevede la Direttiva Macchine.
La Direttiva Macchine consente di far muovere lentamente organi e meccanismi che sono pericolosi, ma ad una condizione: che l’operatore abbia il pieno controllo della situazione e ad un suo gesto istintivo tutto si fermi e arretri.
Emerge chiaramente dalla dinamica dei fatti che l’operatore deceduto è rimasto sorpreso dalla spinta del ponte alle sue spalle, spinta che ha sentito gradualmente bloccarlo sulla schiena. Lui è rimasto intrappolato in modo irreversibile e non si poteva liberare in alcun modo. Non poteva aver visto che il ponte si stava muovendo, perché situato alle sue spalle, e non sapeva era stato azionato per avanzare.
Dal sopralluogo emergono ancora dei fatti da considerare:
[…]. Abbiamo visto che dalla consolle non si ha (purtroppo) visibilità della zona pericolosa. Quindi può essere successo che un operatore –o il capoturno- può aver ritenuto che le operazioni di pulizia che doveva compiere l’operatore deceduto fossero terminate.
[…] Azionando i movimenti della linea dalla consolle (pulpito di comando) costui ha azionato il ponte e ha intrappolato l’operatore deceduto. Magari questo operatore non se ne è nemmeno accorto subito, ma non era possibile fare più nulla per liberare l’infortunato. Ecco perché l’evento mortale non può essere un errore dell’operatore deceduto. E dal sopralluogo questo emerge nitidamente.
In conclusione: l’infortunio mortale è il risultato di una inadeguata, carente e colpevole conduzione delle misure di protezione di sicurezza della linea.
[…] Ma soprattutto la zona interessata dall’evento mortale è ancora oggi pericolosa e non rispondente alla Direttiva macchine.
Il pulsante di emergenza blocca il movimento del ponte (l’attrezzatura che ha schiacciato l’operatore) ma non genera automaticamente un movimento inverso, in modo da consentire di liberare immediatamente la persona eventualmente intrappolata.
La mancanza di questo accorgimento necessario ha causato la morte dell’operatore, in quanto gli operatori intervenuti non riuscivano a liberarlo subito, in tempo per salvarlo. Il ponte si muove lentamente (come si vede dai video) per cui non poteva aver generato lesione da urto, ma solo per schiacciamento. Lui è rimasto intrappolato e schiacciato progressivamente. Lui non ha potuto fare niente, così come i soccorritori hanno dovuto tentare in vari modi –improvvisando- e poi hanno dovuto tagliare delle catene. Tutto improvvisato!
La liberazione dall’intrappolamento non era proprio stata prevista! Nessuna valida valutazione del rischio! Un corretto uso delle Norme di sicurezza avrebbe consentito di salvarlo.
Anche perché, come si può vedere nel video, il movimento di avanzamento del ponte (che ha generato lo schiacciamento), può essere comandato anche dalla Consolle (il pulpito di comando) posta ad una certa distanza e che non consente a chi aziona il comando di vedere se c’è qualcuno all’interno, in zona pericolosa. Questo infatti è la carenza grave che logicamente ha generato l’evento mortale. Su questo requisito la Direttiva macchine (ed anche il TU D. Lgs 81/08) è categorica: RES 1.2.2:
Da ogni posto di comando l’operatore deve poter essere in grado di assicurarsi dell’assenza di persone nelle zone pericolose oppure il sistema di comando deve essere progettato e costruito in modo che l’avviamento sia impedito fintanto che qualsiasi persona si trova nella zona pericolosa.
[…] Allora proviamo a ragionare: anche se l’Azienda non aveva ancora provveduto ad adeguare le misure di sicurezza, e magari ci stava pensando, con una procedura accurata e sicura di LOTO, che impedisce l’avvio inatteso, non sarebbe successo NULLA.
Riferimenti normativi per avvio inatteso e LOTO
Ecco il riferimento ai RES della Direttiva Macchine 2006/42/CE.
1.2. Sistemi di comando — la macchina non deve avviarsi in modo inatteso, nessun elemento mobile della macchina o pezzo trattenuto deve cadere o essere espulso: si può adempiere usando la norma volontaria UNI EN 14118.
1.3.9. Rischi di movimenti incontrollati — quando un elemento della macchina è stato arrestato, la sua deriva dalla posizione di arresto, per qualsiasi causa che non sia l’azionamento di dispositivi di comando, deve essere impedita o essere tale da non costituire un pericolo.
Il Regolamento Macchine 2023/1230, Allegato III, conferma questi requisiti con numerazione sostanzialmente identica :
1.2.2 Dispositivi di comando — confermato, con un’aggiunta per le macchine autonome/senza cavo: in caso di guasto della comunicazione wireless non deve generarsi una situazione pericolosa.
1.3.9 Rischi di movimenti incontrollati — confermato, stesso numero .
1.6.3 Isolamento dalle fonti di energia — questo è il riferimento più diretto al tema LOTO, e prima non era citato nell’articolo: richiede che le macchine siano munite di dispositivi che consentano di isolarle da ciascuna fonte di energia, chiaramente identificabili, bloccabili quando la riconnessione sia pericolosa, e prevede espressamente che l’eventuale energia residua o immagazzinata dopo l’isolamento possa essere dissipata senza rischio per le persone.
1.6.4 Intervento dell’operatore — la macchina deve limitare la necessità di intervento manuale; quando l’intervento non può essere evitato, deve poter avvenire facilmente e in condizioni di sicurezza.
Ricorda che non è obbligatorio interrompere tutte le fonti di energia in seguito all’intervento di un’emergenza, come indicato dalla UNI EN 13850.
UNI EN ISO 4413:2012 — colpi di frusta
Al punto 5.4.6.5.3.1 la norma indica di prevenire il rischio ma non fornisce un valore misurabile a partire dal quale un tubo può generare danni (parte idraulica).
UNI EN 422 — macchine per soffiaggio di materie plastiche
Indica di proteggere le tubazioni idrauliche se la pressione supera 50 bar, pneumatiche se supera 10 bar — è l’unica norma che fornisce valori soglia sulle pressioni.
Leggi anche: Rischi di manutenzione di un macchinario nel nuovo Regolamento Macchine 2023.