Infortunio su linea robotizzata a Torino: cosa accerta la perizia
Un infortunio su una linea robotizzata in un impianto automotive della cintura torinese raramente ha una spiegazione semplice. La domanda che il lavoratore, l'impresa e i loro legali si pongono è sempre la stessa: il sistema di sicurezza che avrebbe dovuto fermare la macchina ha funzionato oppure no, e perché? La risposta non è un'opinione, ma il risultato di un accertamento tecnico che incrocia hardware, software e registrazioni di macchina. In questa attività l'ingegneria forense mette a disposizione del contenzioso un metodo verificabile.
Questo articolo ricostruisce, a partire da un caso verosimile ma romanzato per ragioni di riservatezza, come si accerta la dinamica di un infortunio in una cella robotizzata, quali sono le prove tecniche decisive e come si articola la catena delle responsabilità tra azienda utilizzatrice, fabbricante e manutentori esterni.
Il contesto: l'automotive torinese e le celle robotizzate
L'area metropolitana di Torino resta uno dei poli manifatturieri più densi d'Italia, con una filiera automotive fatta di stabilimenti di assemblaggio, fornitori di componentistica e terzisti che lavorano su linee fortemente automatizzate. Nella cintura torinese, dalla prima periferia ai comuni industriali del circondario, le celle robotizzate sono la norma: robot antropomorfi che saldano, avvitano, movimentano e assemblano a ritmi che nessun operatore potrebbe sostenere.
Proprio perché il braccio di un robot industriale si muove con forza e velocità elevate, la sicurezza non è affidata alla prudenza del singolo, ma a barriere fisiche e a sistemi di comando che devono impedire l'accesso all'area operativa mentre la macchina è attiva. Quando questi presidi cedono, le conseguenze sono gravi. Il D.Lgs. 81/2008, Testo Unico in materia di salute e sicurezza sul lavoro, impone al datore di lavoro un obbligo di sicurezza che l'articolo 2087 del codice civile completa con il dovere di adottare tutte le misure che la tecnica rende disponibili per tutelare l'integrità del lavoratore.
La particolarità delle celle robotizzate è che il pericolo non è visibile a occhio nudo. Un impianto può apparire perfettamente in ordine — recinzioni integre, cancelli chiusi, cartellonistica corretta — e nascondere una carenza nel sistema di comando che si manifesta soltanto nel momento sbagliato. È per questo che, quando accade un infortunio, la ricostruzione non può limitarsi all'ispezione visiva della scena: deve indagare la logica di sicurezza dell'impianto, che vive nel software e nei componenti elettronici. Le verifiche periodiche delle attrezzature previste dall'articolo 71, comma 7, del D.Lgs. 81/2008 mirano proprio a intercettare per tempo queste criticità latenti, ma non sostituiscono la validazione richiesta dopo ogni modifica sostanziale.
La dinamica dell'infortunio
Il caso che ricostruiamo — verosimile ma volutamente romanzato per riservatezza — riguarda un tecnico di manutenzione di trentanove anni, impiegato in un impianto di assemblaggio di componentistica nella cintura torinese. Durante una manutenzione programmata, l'operatore accede all'area operativa di un robot antropomorfo per sostituire un sensore. La procedura era corretta e il varco perimetrale, secondo il progetto della cella, doveva provocare l'arresto immediato del braccio all'apertura.
Così non avviene. Il braccio prosegue il proprio ciclo e colpisce l'operatore, che riporta un grave trauma toracico. La prima ricostruzione aziendale ipotizza un accesso improprio, ma la documentazione mostra che il lavoratore aveva rispettato le procedure di manutenzione e che l'area avrebbe dovuto trovarsi in condizioni di sicurezza. La contraddizione tra ciò che doveva accadere — l'arresto — e ciò che è accaduto — il movimento — è il punto da cui parte ogni indagine seria.
In situazioni come questa l'autorità giudiziaria nomina spesso un consulente tecnico d'ufficioConsulente tecnico d'ufficio (CTU)Il consulente tecnico d'ufficio (CTU) è l'esperto nominato dal giudice per fornire, all'interno del processo, le valutazioni tecniche necessarie a decidere la causa. Opera in posizione di terzietà e imparzialità e risponde ai quesiti… (CTU) esperto di automazione e sicurezza funzionale, mentre le parti si affidano al proprio consulente tecnico di parte (CTPConsulente tecnico di parte (CTP)Il consulente tecnico di parte (CTP) è il tecnico di fiducia nominato da una parte per assisterla negli aspetti tecnici di una controversia. Redige perizie e relazioni a sostegno della posizione del proprio assistito, partecipa alle…). L'accertamento non può fermarsi alla scena: deve entrare nel cuore elettronico della macchina.
Gli accertamenti tecnici: hardware, software e log
La verifica si sviluppa su tre livelli distinti, che il collegio peritalePerizia contrattualeLa perizia contrattuale è una procedura prevista da una clausola di polizza per determinare l'entità del danno al di fuori del giudizio. Ciascuna parte nomina un proprio perito e, in caso di disaccordo, i due ne nominano un terzo,… esamina in modo sistematico. Lo schema seguente riassume l'iter dell'accertamento.
Il livello hardware. Il primo controllo riguarda il dispositivo di interblocco perimetrale: i sensori che rilevano l'apertura del varco, i relè di sicurezza che devono togliere alimentazione agli attuatori e i cablaggi che collegano i due elementi. Si verifica se i componenti erano integri, correttamente installati e funzionanti al momento del fatto. In questo caso l'hardware risulta in ordine: i sensori rilevavano l'apertura, i relais rispondevano ai comandi ricevuti.
Il livello software. Superata la verifica fisica, l'analisi si sposta sul sistema di comando. Il cervello della cella è un PLC di sicurezza, la cui configurazione stabilisce come i segnali dei sensori vengono elaborati e con quale affidabilità viene generato il comando di arresto. È qui che l'accertamento tecnico diventa decisivo, perché un impianto può avere componenti perfetti e restare pericoloso se la logica che li governa è stata alterata.
Il livello dei log. Il PLC registra gli eventi in una memoria di diagnostica. Estraendo i log degli eventi delle ore precedenti l'infortunio, i periti ottengono una cronologia oggettiva: a quale istante il varco è stato aperto, quale comando è stato inviato al braccio, se l'arresto è stato eseguito. È la prova più solida a disposizione, perché non dipende dalla memoria dei presenti ma dal registro della macchina stessa.
Dai log emerge il dato dirimente: il sistema aveva correttamente registrato l'apertura del varco, ma il comando di arresto non era stato eseguito. La macchina sapeva che il varco era aperto e, ciononostante, non si era fermata. Restava da capire perché.
È utile chiarire perché questo tipo di prova pesa così tanto. In un contenzioso da infortunio le versioni dei presenti tendono a divergere e la memoria umana è fallibile, soprattutto dopo un evento traumatico. Il registro di un PLC, invece, è una fonte oggettiva: annota gli eventi nell'ordine e negli istanti in cui si sono prodotti, indipendentemente da chi li osserva. Per questo la sua corretta acquisizione — possibilmente in contraddittorioContraddittorio tecnicoIl contraddittorio tecnico è il principio per cui le operazioni peritali devono svolgersi con la partecipazione delle parti e dei loro consulenti, che hanno facoltà di assistere, formulare rilievi e proporre osservazioni. Garantisce che… e prima che l'impianto venga riavviato o riconfigurato — è uno snodo su cui il perito deve vigilare con la massima attenzione.
L'elemento determinante: il declassamento della categoria di sicurezza
La risposta era in un aggiornamento software introdotto alcune settimane prima da un tecnico esterno del produttore. Quell'intervento aveva modificato la configurazione del circuito di arresto, declassando la categoria di sicurezzaCategoria di sicurezza (EN ISO 13849)La categoria di sicurezza e' un parametro delle parti dei sistemi di comando legate alla sicurezza delle macchine, definito dalla norma EN ISO 13849-1 insieme al Performance Level (PL). Descrive l'architettura del circuito e la sua… da una struttura ridondante a una configurazione meno restrittiva. In pratica, il circuito che avrebbe dovuto garantire l'arresto anche in presenza di un guasto singolo era stato indebolito, senza che nessuno se ne accorgesse fino all'infortunio.
La Direttiva Macchine 2006/42/CE, recepita in Italia con il D.Lgs. 17/2010, e le norme tecniche di sicurezza funzionale come la EN ISO 13849-1 definiscono la robustezza dei circuiti di sicurezza attraverso il Performance Level e la Categoria. La Categoria 3 impone ridondanza e diagnostica: un singolo guasto non deve provocare la perdita della funzione di sicurezza e, dove possibile, deve essere rilevato. Portare il circuito di arresto al di sotto di quel livello significa privare il lavoratore proprio della protezione che la logica di progetto gli garantiva.
Lo schema seguente illustra la catena della sicurezza funzionale e il punto in cui l'anello si è spezzato.
C'è un aggravante tecnico e giuridico: una modifica di questa natura è una modifica sostanziale al sistema di comando di sicurezza e avrebbe imposto una nuova valutazione dei rischi e un nuovo collaudo funzionale prima di rimettere l'impianto in produzione. Quel collaudo di validazione non era stato eseguito. La macchina era tornata a produrre con un livello di sicurezza inferiore a quello dichiarato, senza che nessuno lo verificasse.
La catena delle responsabilità
Ricostruita la causa tecnica, la perizia mette in fila le posizioni di responsabilità, ciascuna sul piano del proprio dovere. La conclusione centrale è che il lavoratore aveva rispettato le procedure: la sua condotta non concorre all'evento, che dipende interamente dallo stato dell'impianto.
L'azienda utilizzatrice. Il datore di lavoro è tenuto a mantenere in efficienza i sistemi di sicurezza e a garantire che, dopo ogni intervento di modifica, l'impianto venga validato prima del riavvio. La valutazione dei rischi confluita nel DVR deve essere aggiornata in coerenza con lo stato reale della macchina. La mancata richiesta e verifica del collaudo post-modifica è una responsabilità diretta dell'organizzazione aziendale. Anche il ruolo del prepostoPrepostoIl preposto e' la persona che, in ragione delle competenze professionali e nei limiti di poteri gerarchici e funzionali adeguati, sovrintende all'attivita' lavorativa e garantisce l'attuazione delle direttive ricevute, controllandone…, chiamato a vigilare sull'osservanza delle misure, entra nella valutazione.
Il tecnico esterno e il produttore. Chi ha introdotto la modifica al software di sicurezza senza la successiva validazione ha creato la condizione di pericolo. Il fabbricante e il suo tecnico rispondono per aver alterato la configurazione di sicurezza e rimesso in servizio la cella senza il collaudo che la normativa macchine impone dopo ogni modifica sostanziale.
La ripartizione definitiva tra questi soggetti si stabilisce caso per caso, sulla base delle risultanze tecniche e documentali e delle valutazioni del giudice. Il compito del perito non è distribuire colpe, ma fornire l'accertamento tecnico su cui quelle valutazioni potranno fondarsi in modo verificabile, nel rispetto del contraddittorio tra le parti.
Il ruolo dell'ingegnere forense e il danno differenziale
In un procedimentoCedimento differenzialeIl cedimento differenziale è l'abbassamento non uniforme delle fondazioni di un edificio: le diverse porzioni della struttura si abbassano in misura disuguale, generando sollecitazioni anomale che si traducono in lesioni e fessurazioni.… di questo tipo il consulente tecnico di parte ha un ruolo che non si esaurisce nella stesura di una relazione peritaleRelazione peritaleLa relazione peritale è il documento conclusivo della consulenza tecnica, in cui il professionista espone il metodo seguito, gli accertamenti compiuti, i dati rilevati e le conclusioni raggiunte. Deve essere chiara, ordinata e motivata,…. Durante le operazioni peritaliOperazioni peritaliLe operazioni peritali sono la fase in cui il danno, in particolare in ambito assicurativo, viene accertato e quantificato. Si svolgono in contraddittorio: l'assicurato o il danneggiato può parteciparvi con un proprio perito di parte,… presidia l'acquisizione delle prove digitali — i log del PLC, lo stato dell'interblocco, la cronologia delle modifiche — per evitare che dati decisivi vadano perduti o vengano interpretati in modo parziale. Un log non estratto correttamente, o una configurazione ripristinata prima dell'accertamento, possono compromettere l'intera ricostruzione: la tempestività e il metodo sono essenziali.
Il CTP verifica inoltre la solidità del nesso di causalità tra il declassamento della categoria di sicurezza e l'evento lesivo, contestando ricostruzioni che tentino di spostare la responsabilità sulla condotta del lavoratore. È su questo terreno che spesso si gioca l'esito del contenzioso, sia esso penale, civile o assicurativo.
Un punto merita di essere sottolineato per la sua rilevanza pratica: la gestione delle modifiche software agli impianti automatizzati è oggi uno dei fronti più delicati della sicurezza industriale. Aggiornamenti, patch e riconfigurazioni vengono spesso eseguiti da tecnici esterni in tempi rapidi, sotto la pressione della continuità produttiva, e non sempre sono accompagnati dalla tracciabilità e dalla validazione che la normativa richiede. Quando un intervento tocca la logica di sicurezza — come nel caso della categoria del circuito di arresto — il confine tra manutenzione ordinaria e modifica sostanziale è proprio ciò che l'accertamento tecnico deve chiarire. Ricostruire la cronologia degli aggiornamenti, individuare chi ha operato e verificare se la validazione è stata eseguita fa parte del lavoro peritale tanto quanto la lettura dei log.
Sul piano risarcitorio, l'infortunio sul lavoro apre il tema del danno differenzialeDanno differenziale (INAIL)Il danno differenziale e' la parte di danno subito dal lavoratore infortunato che eccede l'indennizzo erogato dall'INAIL. L'assicurazione obbligatoria copre il danno secondo criteri e tabelle proprie, che non coincidono con la…. L'INAILINAILL'INAIL e' l'Istituto Nazionale per l'Assicurazione contro gli Infortuni sul Lavoro, ente che gestisce l'assicurazione obbligatoria a tutela dei lavoratori per gli infortuni e le malattie professionali. In caso di evento indennizzabile… indennizza il danno secondo criteri tabellari e nei limiti della copertura assicurativa obbligatoria, ma non copre l'intero pregiudizio subito. La differenza tra il danno civilistico effettivo — comprensivo del danno biologicoDanno biologicoIl danno biologico è la lesione dell'integrità psico-fisica della persona, suscettibile di accertamento medico-legale, risarcibile a prescindere dalla capacità del danneggiato di produrre reddito. Riguarda la compromissione della salute… nella sua reale entità e delle voci non coperte — e l'indennizzo INAIL costituisce il danno differenziale, che il lavoratore può richiedere ai soggetti responsabili. La quantificazione di questa differenza richiede una valutazione tecnica accurata, che l'ingegneria forenseIngegneria forenseL'ingegneria forense è l'applicazione del metodo ingegneristico all'accertamento delle cause di eventi quali crolli, dissesti, incendi, esplosioni e cedimenti, a supporto di giudici, avvocati e assicurazioni. Combina rilievi, analisi… integra con la componente medico-legale.
Il valore di un accertamento tecnico ben condotto sta proprio in questo: trasformare un evento drammatico in una ricostruzione documentata, in cui ogni affermazione poggia su una prova. Per un'impresa della filiera automotive torinese, per un lavoratore infortunato o per lo studio legale che li assiste, disporre di un consulente tecnico capace di leggere i log di un PLC e di valutare una categoria di sicurezza non è un dettaglio: è la differenza tra una responsabilità provata e una semplice ipotesi.
Tutte le domande frequenti del sitoSfogliale raggruppate per tema e per argomentoApri l’indice FAQ →Domande frequenti su infortunio linea robotizzata automotive Torino
Chi risponde di un infortunio su una cella robotizzata a Torino?
La responsabilità è spesso plurima. Concorrono l'azienda utilizzatrice (che deve garantire il funzionamento dei sistemi di sicurezza e il collaudo dopo ogni modifica), il fabbricante o l'integratore della cella e il tecnico che ha eseguito una modifica non validata. La perizia tecnica ricostruisce il peso di ciascuno sul piano del nesso di causalità.
Cosa dicono i log del PLC dopo un infortunio con un robot?
Il PLC registra gli eventi macchina: apertura dei varchi, comandi di arresto, allarmi. Confrontando l'orario dell'apertura del varco con l'esecuzione (o la mancata esecuzione) del comando di arresto si stabilisce se il dispositivo di interblocco ha funzionato. È una prova oggettiva, difficile da contestare se acquisita correttamente.
Cos'è la categoria di sicurezza di un circuito di arresto?
È il livello di affidabilità del circuito che ferma la macchina in condizioni di pericolo, definito dalla norma EN ISO 13849-1 attraverso il Performance Level e la Categoria. La Categoria 3 richiede ridondanza e diagnostica: un guasto singolo non deve far perdere la funzione di sicurezza. Declassare quel circuito, senza validazione, riduce la protezione del lavoratore.
Una modifica al software di sicurezza richiede un nuovo collaudo?
Sì. Ogni modifica sostanziale a una macchina o al suo sistema di comando di sicurezza impone una nuova valutazione dei rischi e la validazione funzionale prima di rimettere l'impianto in produzione. Ometterla è una delle cause tecniche più ricorrenti degli infortuni su linee automatizzate.
A cosa serve il consulente tecnico di parte in un infortunio con robot?
A garantire che l'accertamento tecnico sia completo e corretto: presidiare le operazioni peritali, verificare l'acquisizione dei log e dello stato dell'interblocco, contestare ricostruzioni parziali e quantificare il danno biologico e il danno differenziale rispetto all'indennizzo INAIL nell'interesse del lavoratore o dell'impresa assistita.