Isolamento rinforzato, standard o neutralizzazione: come scegliere il processo LOTO

Il principio: RI di default, alternative motivate

La logica della 17975 è semplice ma stringente. La scelta del processo non è discrezionale: parte sempre dall'isolamento rinforzato e scende di livello solo se l'analisi del rischio dimostra che non è praticabile. Ogni deviazione va scritta, motivata e compensata.

Questo capovolge una prassi comune nei siti italiani, dove il LOTO standard (un lucchetto sulla valvola di sezionamento) è spesso il default. Con la 17975, SI diventa una scelta da giustificare, non da assumere.

I quattro processi in sintesi operativa

RI — Isolamento rinforzato

Cosa è: blocco del dispositivo di isolamento dell'energia più una separazione fisica addizionale. Esempi: flangia cieca dopo il sezionamento di una linea di vapore; rimozione di un tratto di tubazione; sezionamento meccanico con chiave fisica conservata fuori dal sistema.

Quando applicarlo: sempre, salvo impedimenti documentati. È obbligatorio per interventi a rischio elevato (energie pericolose, fluidi tossici o ad alta pressione, manutenzione che espone direttamente l'operatore).

Cosa serve: dispositivi adeguati (flange cieche dimensionate, lucchetti certificati), tempo aggiuntivo per applicazione e rimozione, procedura scritta che indichi il punto fisico di separazione.

SI — Isolamento standard

Cosa è: il LOTO classico. Lucchetto al dispositivo di isolamento dell'energia (sezionatore elettrico, valvola di intercettazione) + cartellino di segnalazione. Nessuna separazione fisica oltre il blocco.

Quando applicarlo: solo se l'RI è tecnicamente impossibile (es. linea senza flangia disponibile a monte) o se l'attività è di rischio contenuto e di breve durata, e si adottano misure compensative.

Misure compensative tipiche: doppio sezionamento, verifica strumentale dell'assenza di energia (Try-Out rinforzato), presenza di un secondo operatore, riduzione del tempo di esposizione.

N — Neutralizzazione tramite sistemi di controllo

Cosa è: isolamento ottenuto attraverso la sicurezza funzionale della macchina (porte di sicurezza, logica di safety del PLC, blocchi software classificati per la sicurezza).

Quando applicarlo: ammesso solo se il sistema di controllo è classificato per la sicurezza secondo le norme applicabili (es. EN ISO 13849-1, IEC 62061) con un livello di prestazione coerente con il rischio dell'intervento. Spesso si combina con SI per attività brevi (cambio formato, riarmo) dove il fermo completo del sistema non è praticabile.

Limiti: non sostituisce il LOTO per interventi che espongono direttamente l'operatore a energie residue. Va validato e ri-validato nel tempo: una modifica al PLC di safety invalida l'analisi precedente.

SP — Disposizioni specifiche

Cosa è: procedure dedicate a casi particolari (impianti che non possono essere fermati, interventi in tensione, attività su sistemi sempre attivi).

Quando applicarlo: solo se documentato in una procedura specifica firmata, con valutazione del rischio dedicata, formazione mirata degli operatori coinvolti e — spesso — DPI specifici. Non è una scorciatoia: è la deroga formalizzata.

Albero decisionale pratico

Una sequenza di domande da porsi davanti a ogni intervento di manutenzione:

1. L'energia può essere completamente rimossa? Se sì, procedi.

Se no, valuta N o SP.

1. **È possibile aggiungere una separazione fisica (flangia cieca, rimozione

di tratto, sezionamento meccanico)? Se sì → RI**.

1. **Se no, il rischio dell'attività è contenuto e ci sono misure

compensative attuabili? Se sì → SI** con misure compensative.

1. **Se l'isolamento fisico non è praticabile ma il sistema di safety è

classificato e adeguato al rischio? Valuta N**, eventualmente combinata con SI.

1. In tutti gli altri casi → SP con procedura dedicata e firmata.

Ogni decisione va registrata: chi ha valutato, su quale base, quali misure compensative sono state introdotte.

Errori comuni nella scelta

Assumere SI come default. È l'errore più frequente nei siti che adattano procedure preesistenti. La 17975 inverte l'onere: SI va giustificato, non assunto.

Confondere neutralizzazione con LOTO. Mettere la macchina in "stop emergenza" non è un isolamento. La N è ammessa solo se il sistema di safety è classificato e validato, non perché "tanto il PLC blocca tutto".

Sottovalutare le misure compensative. Quando si scende da RI a SI, la norma chiede misure compensative concrete e tracciabili, non una nota generica.

Non rivalutare nel tempo. Una modifica all'impianto, una nuova attività di manutenzione, un'aggiornamento al sistema di safety: tutti eventi che richiedono di rivedere la scelta del processo.

Documentare la scelta

La 17975 non chiede solo cosa si fa, chiede perché si fa così. Per ogni attività di manutenzione tipica va prodotta una scheda che riporti:

• l'attività e l'impianto interessato
• la valutazione del rischio
• il processo di isolamento scelto (RI / SI / N / SP)
• la motivazione della scelta (se non RI)
• le misure compensative adottate
• la procedura operativa step-by-step
• ruoli e firme
• la data di revisione

Questa scheda è l'evidenza che dimostra agli auditor — e in caso di incidente, agli inquirenti — che la scelta del processo è stata ragionata e non improvvisata.

L'esperienza Eurosystem

Nei siti farmaceutici dove operiamo, abbiamo visto che il passaggio dalla prassi "SI di default" a "RI di default" è il cambiamento culturalmente più impegnativo della 17975. Richiede di rivedere caso per caso le procedure esistenti, formare i manutentori al nuovo criterio e dotarsi dei dispositivi fisici per le separazioni. SmartLOTO è stato pensato per supportare questo passaggio: gestisce nativamente la sequenza tra il dispositivo di isolamento e l'eventuale elemento di separazione fisica, vincolando la procedura nel rilascio dei lucchetti.