EN ISO 13849-1

Le origini della sicurezza funzionale

Quando parliamo di sicurezza funzionale, in realtà stiamo raccontando una storia che non nasce in ambito industriale, ma molto prima, in ambito militare e aerospaziale. 

Tra la Prima e la Seconda guerra mondiale, e poi con lo sviluppo dei missili intercontinentali e dei programmi spaziali, nasce l’esigenza di capire quanto un sistema sia affidabile, quanto sia probabile che fallisca e quali conseguenze possa avere quel fallimento. È qui che prende forma la teoria dell’affidabilità. 

Questo approccio arriva solo più tardi nel mondo dei macchinari industriali: le prime norme tecniche a trattare la tematica, la britannica BS 5304 del 1975 e l’europea EN 954-1 del 1996, riflettevano un’industria ancora fortemente legata all’elettromeccanica. La sicurezza dei macchinari “controllata da funzioni logiche” era ancora vista come qualcosa di strutturale e deterministico. 

Servirà aspettare la serie IEC 61508 alla fine degli anni 90 per l’approccio probabilistico ancora utilizzato ai giorni nostri. La serie 61508 diviene così la base della sicurezza funzionale probabilistica moderna, applicata a tutti i sistemi: elettrici, elettronici ed elettronici programmabili. Inoltre, la serie introduce un altro concetto chiave: non tutti i guasti sono uguali.  

Da una parte ci sono i guasti hardware casuali, che sono legati a fragilità intrinseche dei componenti e possono essere modellizzati e quindi quantificati. 

Dall’altra ci sono i guasti sistematici, legati a errori di progettazione, software o installazione, che non sono quantificabili con formule matematiche.

Per valutare la capacità, da parte di un sistema di sicurezza, di ridurre il rischio, la norma propone i Livelli di Integrità della Sicurezza, i SIL, da SIL 1 a SIL 4, ancora utilizzati ai giorni nostri. Più il SIL è alto, maggiore è la riduzione di rischio che il sistema di sicurezza è in grado fornire, più stringenti sono i requisiti, sia in termini di affidabilità hardware sia di rigore nei processi di sviluppo del sistema di sicurezza stesso.

Questa serie di norme ha dato vita ai numerosi standard di sicurezza funzionale, fra cui quelli applicabili ai macchinari: la EN IEC 62061 e la EN ISO 13849-1 e -2. 

Quest’ultima ha modificato il concetto di SIL in livelli PL “Performance Level” che vanno dal PL=a meno affidabile al PL=e più affidabile e ha semplificato il metodo riducendo le formule da utilizzare per calcolare l’affidabilità e proponendo un metodo tabulare.

Approccio EN ISO 13849-1

Di seguito riassumiamo gli step suggeriti dalla norma per definire il PL di ciascuna funzione di sicurezza individuata dalla valutazione del rischio:

1. Si parte dalla definizione della Funzione di Sicurezza e dal PL richiesto (PLr) derivato dall’analisi del rischio;

2. La funzione viene suddivisa in sottosistemi, ciascuno dei quali deve essere valutato separatamente;

3. Per ogni sottosistema si sceglie una Categoria (da B a 4), che ne definisce la tolleranza ai guasti e la possibilità di diagnosticarli, confermando i principi di buona ingegneria che ciascuna categoria richiede per evitare i guasti sistematici;

4. Si calcola il MTTF_D (Mean Time To Dangerous Failure) dei componenti che contribuiscono alla sicurezza, con risultato classificato in basso, medio o alto;

5. Si determina la DC (Diagnostic Coverage), cioè l’efficacia della diagnostica nel rilevare i guasti pericolosi;

6. Si applicano anche le misure per evitare i guasti comuni (CCF), che devono raggiungere almeno 65 punti;

7. Categoria, MTTF_D e DC vengono combinati nella tabella K per ottenere il PFH_D e il rispettivo PL del sottosistema;

8. I PFH_D dei vari sottosistemi in successione (ingresso→ logica → uscita) vengono sommati per determinare il PFH_D complessivo e quindi PL finale della funzione di sicurezza;

9. Il PL ottenuto deve essere ≥ PLr; in caso contrario si deve migliorare architettura, componenti o diagnostica;

10. Infine, si esegue la validazione, verificando che la funzione implementata raggiunga effettivamente il PL calcolato e che in campo la funzione di sicurezza si comporti come previsto “sulla carta”.

Novità dell’edizione del 2023

È possibile individuare tre aggiornamenti significati dell’ultima edizione della norma rispetto a quella del 2015.

1. Validazione nella ISO 13849-1

Il processo di validazione, in precedenza trattato nella EN ISO 13849-2, è ora incorporato direttamente nella prima parte della norma. Questa scelta deriva dalla constatazione che il processo di convalida non riceveva sufficiente attenzione. Spesso i produttori si limitavano al calcolo analitico del PL, senza verificare in fase di installazione e messa in servizio che il sistema di sicurezza operasse realmente come previsto. La convalida è invece essenziale per confermare e assicurare il livello di sicurezza richiesto.

2. Chiarezza sul ruolo della categoria nei sottosistemi di sicurezza

È ora esplicitato che la categoria è una proprietà del singolo sottosistema di sicurezza e non dell’intera funzione di sicurezza. 

Ciò significa, ad esempio, che il sottosistema di ingresso può essere strutturato in categoria 2 (canale singolo con diagnostica), mentre il sottosistema di uscita della stessa funzione può essere di categoria 3 (doppio canale con diagnostica) e consentire di raggiungere comunque un PL=d complessivo. 

Il livello di affidabilità della funzione di sicurezza, cioè la sua capacità di ridurre il rischio, è espresso unicamente dal Performance Level (PL), mentre la categoria rappresenta soltanto l’architettura utilizzata nei sottosistemi per raggiungere quel PL.

3. Rilevanza dei principi di protezione dai disturbi elettromagnetici

Le modifiche introdotte dalla nuova edizione rafforzano il legame tra affidabilità delle funzioni di sicurezza e immunità alle interferenze elettromagnetiche (EMI). La norma fornisce un nuovo allegato L, che propone una metodologia strutturata per:

- valutare l’immunità EMC di componenti e sottosistemi integrati in una funzione di sicurezza;

- definire misure progettuali e tecniche per garantire un livello adeguato di immunità;

- applicare una metodologia a punteggio (scoring) (Tabella L.1) per determinare la robustezza EMC del sistema di sicurezza.