L'importanza di verificare la compatibilità di tutti i sistemi e sottosistemi in UCMP

di Burak Demircan

Il movimento involontario della cabina in ascensore è una situazione estremamente pericolosa che si verifica quando la cabina si muove senza alcun preavviso durante le operazioni di "livellamento, correzione del livello e apertura anticipata delle porte", mentre le porte sono in attesa al piano. Questo movimento indesiderato può causare lesioni ai passeggeri o, nei casi peggiori, la perdita di vite umane. Per questo motivo, normative come la Direttiva Ascensori 2014/33/UE richiedono che i nuovi ascensori siano dotati di un dispositivo di sicurezza che prevenga il movimento involontario della cabina. Nella letteratura tecnica, questo dispositivo è denominato Protezione contro il Movimento Involontario della Cabina (UCMP) e la sua funzione è quella di arrestare e bloccare immediatamente la cabina qualora inizi a muoversi inaspettatamente. In un certo senso, l'UCMP è il "freno di emergenza" dell'ascensore; sebbene normalmente non sia percepibile, rimane costantemente attivo per garantire un utilizzo sicuro dell'ascensore.

Per sottolineare quanto sia fondamentale il sistema UCMP, possiamo usare una semplice analogia: immaginate di costruire un modello con i mattoncini LEGO. Proprio come ogni pezzo deve essere al posto giusto e incastrarsi armoniosamente con gli altri affinché la struttura sia stabile, anche i sottosistemi che compongono l'UCMP devono dimostrare la stessa armonia. Altrimenti, così come un singolo pezzo sbagliato in un modello LEGO può causare il crollo dell'intera struttura, un'incongruenza in uno dei sottosistemi dell'UCMP può compromettere l'intera funzione di protezione. La funzione UCMP è generalmente fornita dal funzionamento combinato di tre sottosistemi di base:

• Tipo di rilevamentoIl meccanismo o sensore che rileva quando la cabina inizia a muoversi in modo indesiderato. Questo attiva il sistema rilevando un movimento specifico (ad esempio, una determinata velocità o distanza) mentre le porte della cabina sono aperte. Ad esempio, in alcuni sistemi, uno spostamento di 200-250 mm della fune della cabina viene utilizzato come soglia di rilevamento; se la cabina si sposta di questa distanza, il sensore si attiva. L'elemento di rilevamento può essere un sensore elettrico, un circuito di monitoraggio della velocità o un dispositivo meccanico, ma la sua funzione principale è quella di rilevare l'informazione "la cabina si sta muovendo" il più rapidamente possibile.

Attivazione: La funzione di controllo che riceve il segnale dall'elemento di rilevamento e attiva il meccanismo di arresto. Questo sottosistema è solitamente un circuito elettrico di sicurezza e funge da interfaccia tra rilevamento e arresto.

Ad esempio, quando il dispositivo di rilevamento rileva un movimento indesiderato, il circuito di attivazione disattiva il solenoide che aziona il freno di emergenza o chiude una valvola idraulica. In alcuni progetti, il rilevamento e l'attivazione possono essere integrati nello stesso dispositivo (ad esempio, alcuni controllori sia rilevano che attivano meccanicamente la frenata), ma concettualmente, la funzione di attivazione prevede la trasmissione del segnale di rilevamento al meccanismo di arresto senza ritardo.

• SostaL'elemento che effettivamente arresta la cabina e la mantiene in posizione dopo l'arresto. Si tratta di un dispositivo di frenatura meccanico; negli ascensori elettrici, è un dispositivo di sicurezza che blocca le rotaie (freno a paracadute) o un freno a fune che agisce sulla fune; negli ascensori idraulici, è una valvola di sicurezza che impedisce movimenti incontrollati. Il sottosistema di arresto garantisce che la cabina si fermi in sicurezza entro una certa distanza applicando una coppia/forza frenante sufficiente e impedendone il movimento successivo. L'aspetto fondamentale è che l'elemento frenante deve essere in grado sia di arrestare la cabina sia di impedirne lo slittamento dopo l'arresto. Questi tre sottosistemi insieme costituiscono il dispositivo UCMP. In alcune configurazioni, ciascuna delle tre funzioni è svolta da dispositivi separati, mentre altre soluzioni possono combinare queste funzioni in uno o due dispositivi. Ad esempio, un freno a fune a controllo elettronico può svolgere sia la funzione di rilevamento (monitorando la velocità del motore) che quella di frenatura. Tuttavia, indipendentemente dal numero di dispositivi, l'affidabilità del sistema dipende dal corretto funzionamento e dall'armonia dei sottosistemi.

I principali riferimenti per i sistemi UCMP sono le norme EN 81-20/50, le loro controparti internazionali ISO 8100-1/2 e le raccomandazioni NB-L, che riflettono le opinioni comuni degli organismi notificati. Questi documenti descrivono in dettaglio i criteri di prestazione e i requisiti di interfaccia per i sottosistemi UCMP. L'obiettivo è garantire la compatibilità tecnica necessaria per il funzionamento sicuro della protezione UCM negli ascensori nel loro complesso, indipendentemente dalla marca o dal modello.

La norma EN 81-20:2020 richiede ai progettisti di ascensori di includere un dispositivo di protezione contro i movimenti involontari che possono verificarsi quando le porte della cabina sono aperte (Clausola 5.6.7) e stabilisce che tale dispositivo deve arrestare la cabina entro una specifica distanza limite. Secondo le norme vigenti, questa distanza è fissata a un massimo di 1,200 mm. In altre parole, anche se la cabina inizia ad allontanarsi dal pianerottolo, deve essere arrestata prima di superare 1.2 m. Questo limite è stato scelto per ridurre al minimo il rischio di caduta dei passeggeri. Tuttavia, il limite di 1,200 mm non deve essere considerato un margine di discrezionalità eccessivo per i progettisti, poiché le fasi di rilevamento, attivazione e arresto devono avvenire tutte entro tale distanza. Infatti, qualsiasi ritardo in ciascuna fase aumenta la distanza totale percorsa dalla cabina prima di fermarsi. Le norme richiedono ai progettisti di selezionare e regolare i propri dispositivi tenendo conto delle "condizioni peggiori".

La prova e la certificazione degli assemblaggi UCMP sono trattate in dettaglio nella norma EN 81-50:2020. Secondo la clausola 5.8 della norma EN 81-50, l'assemblaggio UCMP può essere sottoposto a prova di tipo come sistema completo, oppure le singole funzioni (rilevamento, attivazione, arresto) possono essere sottoposte a omologazioni di tipo separate come sottosistemi distinti. Tuttavia, esiste una condizione critica quando i sottosistemi vengono certificati separatamente: i requisiti di interfaccia e i parametri di prestazione tecnica di ciascun sottosistema devono essere definiti. La norma stabilisce chiaramente che i valori limite e le condizioni operative che garantiranno la compatibilità dei sottosistemi con omologazioni di tipo separate, quando integrati in un sistema completo, devono essere definiti dal fabbricante e specificati nella documentazione di prova di tipo. In questo contesto, il fabbricante/richiedente che richiede la prova di tipo deve informare il laboratorio dei parametri tecnici chiave relativi all'utilizzo del sistema o dei sottosistemi. La norma EN 81-50 fornisce i seguenti esempi di tali parametri:

• Gamma di massa: Le condizioni di massa minima e massima previste nell'ascensore (cabina vuota, cabina completamente carica, ecc.).
• Limiti di forza/coppiaSe necessario, indicare la forza o la coppia minima e massima applicata dall'elemento frenante (oppure i valori di portata/pressione per i sistemi idraulici).
• Tempi di risposta: I tempi di risposta (ritardi) separati del dispositivo di rilevamento, del circuito di controllo e dell'elemento frenante.
• valori di velocità: La velocità massima che la cabina può raggiungere prima che venga attivata la frenata (ad esempio, calcolo della velocità della cabina quando viene superata la soglia di rilevamento).
• altezza di montaggio del sensore: L'altezza dal suolo a cui è montato il dispositivo di rilevamento all'interno della zona di sblocco (ciò può influire sulla distanza di rilevamento).
• Velocità di prova: La velocità o le velocità da utilizzare nella prova di tipo per verificare il corretto funzionamento del sistema (un valore determinato dal fabbricante e concordato con il laboratorio; ad esempio, può essere testato alla velocità di ispezione).
• Condizioni ambientali: Le temperature, gli intervalli di umidità e le altre condizioni ambientali rilevanti per le quali è stato concepito il progetto. 

La raccomandazione n. 1/008, pubblicata dal gruppo di coordinamento degli organismi notificati dell'Unione europea (NB-L), mira a fornire una comprensione comune in merito alla progettazione e alla valutazione dei dispositivi UCMP. Questo documento evidenzia i punti da considerare quando si valutano separatamente i sottodispositivi UCMP, in parallelo con le disposizioni standard sopra menzionate. Secondo la raccomandazione NB-L, ogni dispositivo che svolge una sottofunzione (rilevamento, attivazione, arresto) può essere sottoposto a un esame di tipo UE singolarmente o valutato in regime di piena assicurazione della qualità sotto il controllo del fabbricante. Tuttavia, è importante notare che se uno qualsiasi dei sottodispositivi dell'UCMP non è soggetto a tale verifica di progettazione (ovvero, se non è certificato individualmente), l'assemblaggio UCMP deve essere sottoposto a esame di tipo UE come dispositivo completo. Questo approccio garantisce che nessun sottosistema rimanga "in sospeso" e che tutte le funzioni siano verificate singolarmente o collettivamente.

Inoltre, è stato chiarito cosa deve essere incluso nei certificati di omologazione da predisporre per ciascun dispositivo funzionale. In particolare, nella preparazione del certificato di omologazione per un sottosistema, devono essere descritte le condizioni di interfaccia di tale sottosistema con altri dispositivi e tutti i parametri rilevanti (distanze, tempo di rilevamento, velocità, accelerazioni, tempi di ritardo, ecc.). Ciò significa che, ad esempio, un'azienda produttrice di un dispositivo di rilevamento deve indicare chiaramente le condizioni operative del dispositivo (ad esempio, distanza di rilevamento o soglia di velocità, tempo di emissione del segnale, ecc.) e come deve essere abbinato a un dispositivo di frenatura. Analogamente, un produttore di dispositivi di frenatura (ad esempio, freni per paracadute) deve documentare l'intervallo di velocità in cui il freno può essere azionato, il metodo di attivazione richiesto e il tempo di attivazione.

In sintesi, l'approccio in Europa è il seguente: ciascun componente del sistema UCMP deve essere testato come un tutt'uno integrato oppure, se testato separatamente, i criteri di interoperabilità per tali componenti devono essere chiaramente definiti. I dettagli relativi ai moduli di valutazione della conformità (Modulo B, Modulo H, ecc.) esulano dall'ambito di questo articolo e saranno trattati in articoli successivi; l'attenzione qui è focalizzata esclusivamente sulla conformità tecnica e sui requisiti prestazionali.

Un sistema UCMP può svolgere il suo compito solo con il corretto coordinamento dei suoi sottosistemi. La temporizzazione (sincronizzazione) e i segnali di interfaccia giocano un ruolo importante nell'interazione tra i sottosistemi di rilevamento, attivazione e arresto. A tal fine, spieghiamo le loro relazioni reciproche. Ogni sottosistema ha un tempo di risposta: l'elemento di rilevamento impiega un certo ritardo per attivarsi, il circuito di attivazione impiega del tempo per trasmettere il segnale e anche l'elemento frenante necessita di tempo per generare la forza frenante completa.

La somma di questi tempi determina il tempo totale che intercorre tra l'inizio del movimento della cabina e il suo arresto completo. Anche la distanza percorsa dalla cabina aumenta in funzione di questo tempo. La Figura 1 mostra un profilo velocità-tempo semplificato in una tipica reazione UCMP. Quando inizia il movimento incontrollato, la cabina inizia ad accelerare (un'accelerazione naturale, ad esempio, di circa 1.5 m/s², è accettabile). La cabina accelera fino all'attivazione del sistema di rilevamento; al termine del ritardo di rilevamento (ad esempio, 0.3 s) il sensore viene attivato. Quindi, durante il ritardo di attivazione, il segnale raggiunge il sistema frenante e il meccanismo di frenatura viene azionato (ad esempio, entro 0.2 s). Quando il freno viene azionato, la velocità della cabina inizia a diminuire e la cabina si arresta al termine della frenata. In questo processo, più brevi sono i ritardi di rilevamento e di attivazione, prima inizia la frenata e minore è la distanza totale di arresto.

Come si evince dal grafico precedente, se i tempi di risposta dei sottosistemi non sono adeguati, la distanza di arresto della cabina può aumentare significativamente. Ad esempio, se il sistema di rilevamento si attiva troppo tardi o il meccanismo di frenatura interviene lentamente, la cabina potrebbe percorrere una distanza superiore a quella standard di 1.2 m. La letteratura indica infatti che l'accumulo di ritardi nel rilevamento, nella trasmissione del segnale elettronico e nella risposta del solenoide può far sì che la cabina raggiunga una velocità superiore a quella prevista, allungando la distanza di frenatura. Pertanto, è necessario determinare correttamente la soglia di rilevamento, garantire un controllo elettronico rapido e assicurarsi che il meccanismo di frenatura intervenga con sufficiente rapidità. La norma EN 81-50 richiede che i tempi di risposta del circuito di rilevamento, del circuito di controllo e degli elementi frenanti siano misurati separatamente durante le prove di tipo e che venga registrata la distanza totale percorsa. La prova di tipo verifica inoltre il corretto funzionamento dell'eventuale funzione di autodiagnosi automatica del sistema.

La comunicazione tra i sottosistemi di rilevamento e di attivazione avviene solitamente tramite i circuiti di sicurezza dell'ascensore. La protezione UCM è considerata un componente del circuito elettrico di sicurezza. La raccomandazione NB-L stabilisce che, se il dispositivo di attivazione contiene componenti elettronici, deve ottenere un certificato di tipo UE come dispositivo di sicurezza, secondo la definizione di cui all'Allegato III della Direttiva Ascensori. Nella maggior parte dei moderni sistemi UCMP, il dispositivo di rilevamento interrompe la catena di sicurezza aprendo un contatto di sicurezza (rilasciando un solenoide normalmente eccitato o un relè di sicurezza) e attivando simultaneamente il dispositivo di frenatura.

È importante notare che questo segnale deve essere di categoria 4 (equivalente alla clausola 5.11.2.3 della norma EN 81-20); ovvero, deve essere progettato in modo da non guastarsi in caso di singolo guasto e deve essere omologato quando richiesto. L'interfaccia del sottosistema di rilevamento è progettata secondo il principio di sicurezza intrinseca: ad esempio, se l'alimentazione al sensore di rilevamento viene interrotta, il sistema lo rileva come un guasto e impedisce il funzionamento dell'ascensore (poiché l'UCMP potrebbe essere stato disattivato).

I sottosistemi UCMP possono essere forniti da diversi produttori e devono essere fisicamente integrati. Ad esempio, l'interfaccia fornita dal dispositivo di rilevamento per attivare un freno a fune può consistere nel rilascio di un elettromagnete che interrompe l'alimentazione a una determinata corrente. Dettagli come la tensione di alimentazione di questo elettromagnete, il tempo di rilascio al momento dell'interruzione dell'alimentazione e la distanza di movimento (corsa) devono essere compatibili con l'uscita del circuito di rilevamento. La norma EN 81-20 stabilisce che la protezione UCM deve essere progettata per "attivarsi quando la cabina raggiunge la fine della zona di sblocco". Ciò significa che il rilevamento deve avvenire quando la cabina si trova a circa pochi centimetri dal livello del pavimento (ad esempio, 20 cm). Se la distanza di rilevamento è troppo piccola (ad esempio, 1-2 cm), il sistema potrebbe essere sensibile ma soggetto a falsi allarmi (potrebbe scambiare vibrazioni di livello micro per UCM). Se è troppo grande (ad esempio, mezzo metro), la cabina avrà già percorso una distanza considerevole, lasciando uno spazio di arresto insufficiente. Pertanto, una soglia di rilevamento ottimale e la corrispondente impostazione del meccanismo di attivazione richiedono un equilibrio critico.

L'esperienza sul campo dimostra che l'incompatibilità all'interfaccia del sottosistema può comportare diversi rischi. Ad esempio, in alcune installazioni si sono verificati problemi quando il dispositivo di rilevamento UCMP e il dispositivo di frenatura provenivano da produttori diversi e sono stati combinati, perché i parametri indicati nella documentazione non sono stati rispettati appieno. In un ascensore idraulico, ad esempio, se per il rilevamento UCM ci si affida solo al sensore di perdita all'interno della valvola e non si utilizza un freno separato, la cabina può spostarsi di millimetro dal piano perché il sensore non si attiva in caso di perdite molto lente. Questa situazione crea pericoli come il blocco in corrispondenza delle soglie delle porte o movimenti imprevisti quando i passeggeri salgono a bordo. Un altro esempio è l'attivazione errata, in cui il freno si blocca prima che la cabina inizi a muoversi a causa di un sensore elettronico non correttamente calibrato. Ciò può rendere l'ascensore inutilizzabile, come se il sistema fosse costantemente in avaria. Pertanto, è fondamentale attenersi scrupolosamente ai requisiti di interfaccia specificati dai produttori del sottosistema e, se possibile, testare l'intero sistema durante la fase di integrazione. La norma EN 81-50 raccomanda attualmente un "test di cooperazione" per verificare tale integrazione durante le prove di tipo. Nello specifico, durante le prove di tipo, il fabbricante è tenuto a fornire un calcolo, una formula o un diagramma basati sui parametri reciproci dei dispositivi, che deve essere approvato dal laboratorio. Ad esempio, il fabbricante deve fornire una curva o un calcolo che indichi di quanto si fermerà il sistema frenante a una specifica velocità di attivazione, e tale calcolo deve essere verificato durante le prove.

La certificazione separata dei sottosistemi UCMP offre flessibilità al settore, poiché un produttore di ascensori può selezionare e utilizzare componenti UCMP di diversi fornitori. Tuttavia, questa flessibilità può creare lacune in termini di responsabilità tecnica se non gestita correttamente. Ad esempio, se un produttore utilizza il dispositivo di rilevamento dell'azienda A e il sistema frenante dell'azienda B e li integra nel proprio ascensore, chi è responsabile delle prestazioni del sistema nel suo complesso?

Se i certificati di omologazione sono disponibili separatamente, ciascuno dimostra che svolge la propria funzione in condizioni specifiche. Tuttavia, se si verifica un'incompatibilità all'interfaccia e la protezione UCM non funziona, il produttore dell'ascensore non può sottrarsi alle proprie responsabilità affermando che "i componenti erano certificati". Sia dal punto di vista normativo che dell'etica ingegneristica, la parte che esegue l'integrazione finale (produttore dell'ascensore, installatore dell'ascensore) è responsabile di garantire che la funzione UCM funzioni come un insieme integrato. La raccomandazione NB-L affronta anche questo problema, affermando che se una qualsiasi delle sottofunzioni non è stata sottoposta a esame di tipo, l'intero dispositivo deve essere omologato. Pertanto, quando i certificati dei sottosistemi vengono combinati per l'utilizzo in un ascensore, il produttore deve verificare che questi sottosistemi siano compatibili tra loro. Il modo migliore per farlo è rafforzare l'integrazione con prove sul campo e ulteriori analisi dei rischi, se necessario. Ad esempio, l'esecuzione di test UCM sull'ascensore dopo l'installazione in diverse condizioni di carico e scenario dimostrerà la compatibilità dei sottosistemi nella pratica. 

Gli organismi notificati (NOBO) verificano generalmente la funzionalità del sistema di controllo unificato di potenza (UCMP) in modo olistico durante le ispezioni CE dell'ascensore. Anche in presenza di certificati di omologazione, i dispositivi vengono esaminati per garantire che siano installati e regolati in conformità alle normative. A questo punto, è fondamentale distinguere chiaramente tra la terminologia della certificazione e la responsabilità tecnica: ad esempio, il certificato del sistema frenante potrebbe indicare che "può essere utilizzato a una velocità di attivazione massima di 2.0 m/s", mentre il dispositivo di rilevamento è tarato per attivarsi a una velocità di 2.5 m/s. In questo caso, anche se entrambi i dispositivi sono certificati sulla carta, non funzioneranno correttamente se utilizzati insieme. Per questo motivo è essenziale esaminare tutti questi parametri congiuntamente.

Cordiali saluti ...