Sicurezza funzionale: SIL, probabilità di guasto e causa comune
Riduzione del rischio, livelli SIL, PFD media per 1oo1 e 1oo2 dimostrate, fattore beta con esempio, ISO 13849 e principi pratici per le macchine.
Una pressa, un robot, un reattore chimico possono uccidere. La sicurezza funzionale riguarda le funzioni del sistema di controllo che proteggono le persone: l’arresto di emergenza, le barriere fotoelettriche, gli scambi di sicurezza sui ripari, gli interventi automatici di blocco di un impianto di processo. Le norme chiedono di dimostrare con numeri quanto queste funzioni sono affidabili. In questa lezione vediamo la riduzione del rischio e i livelli di integrità SIL, la probabilità di guasto su richiesta con le dimostrazioni per un canale e per due canali ridondanti, l’effetto decisivo dei guasti di causa comune con un esempio, e le norme per le macchine.
Rischio e livelli di integrità
Il rischio combina la gravità di un danno e la sua probabilità. Il processo è sempre lo stesso: identificare i pericoli, stimare il rischio, ridurlo prima con il progetto intrinsecamente sicuro (eliminare il pericolo), poi con le protezioni, e solo infine con le informazioni (avvertenze, addestramento). Quando la riduzione è affidata a una funzione del sistema di controllo, la norma IEC 61508 (e le norme che ne derivano, IEC 61511 per l’industria di processo, IEC 62061 per le macchine) chiede di assegnarle un livello di integrità della sicurezza (SIL), da 1 a 4.
Per le funzioni che intervengono raramente (bassa frequenza di richiesta), il SIL è definito dalla probabilità media di guasto su richiesta (PFD):
| SIL | PFD media | Riduzione del rischio |
|---|---|---|
| 1 | da 10⁻² a 10⁻¹ | da 10 a 100 |
| 2 | da 10⁻³ a 10⁻² | da 100 a 1000 |
| 3 | da 10⁻⁴ a 10⁻³ | da 1000 a 10 000 |
| 4 | da 10⁻⁵ a 10⁻⁴ | da 10 000 a 100 000 |
Guasti pericolosi non rilevati
Una funzione di sicurezza resta inattiva per mesi; un suo guasto può restare nascosto finché non serve. Contano i guasti pericolosi non rilevati, con tasso 
: quelli che impedirebbero l’intervento e che la diagnostica automatica non scopre. Li trova solo una prova periodica completa, ogni 
, dopo la quale la funzione si considera come nuova.
Teorema. Per un singolo canale (architettura 1oo1) con 
, la probabilità media di guasto su richiesta è
![\[ PFD_{avg} \approx \frac{\lambda_{DU}T}{2} \]](https://www.electronics-engineering.com/wp-content/ql-cache/quicklatex.com-584e416db5e80cf99b5155d65182acb4_l3.png "Rendered by QuickLaTeX.com")
Dimostrazione. Con tasso di guasto costante, la probabilità che il canale sia guasto al tempo 
dopo la prova è 
(lezione sulla probabilità). Una richiesta può arrivare in qualunque istante dell’intervallo con uguale probabilità, quindi si fa la media:
![\[ PFD_{avg} = \frac{1}{T}\int_0^T\lambda_{DU}t\,dt = \frac{\lambda_{DU}T}{2} \]](https://www.electronics-engineering.com/wp-content/ql-cache/quicklatex.com-a780930393a9a25a467fb242807e8324_l3.png "Rendered by QuickLaTeX.com")
∎
Teorema. Per due canali indipendenti, di cui ne basta uno per intervenire (architettura 1oo2),
![\[ PFD_{avg} \approx \frac{(\lambda_{DU}T)^2}{3} \]](https://www.electronics-engineering.com/wp-content/ql-cache/quicklatex.com-064c8c27f80c406c8025c65392656da5_l3.png "Rendered by QuickLaTeX.com")
Dimostrazione. La funzione fallisce solo se sono guasti entrambi i canali; con guasti indipendenti la probabilità al tempo è 
. La media sull’intervallo è 
. ∎
La causa comune
Esempio. Un pressostato di blocco con 
/h, provato una volta l’anno (
h): 
, SIL 2. Raddoppiandolo in 1oo2, la formula dà 
: sembrerebbe SIL 4.
Ma i due pressostati sono uguali, montati sulla stessa presa, tarati dalla stessa persona: un errore di taratura, un intasamento, una sovratensione li mettono fuori servizio insieme. Il fattore beta 
è la frazione dei guasti che colpisce tutti i canali per una causa comune, e quella parte si comporta come un canale singolo: si aggiunge 
. Con 
%, il termine vale 
, dieci volte più del termine indipendente, e la funzione è SIL 3, non 4. La ridondanza è utile, ma i guasti di causa comune ne limitano il beneficio: si combattono con la diversità (sensori di principio o costruttori diversi), la separazione fisica, procedure di manutenzione sfalsate.
Un altro modo per ridurre la PFD è accorciare l’intervallo di prova o aumentare la copertura diagnostica, trasformando guasti non rilevati in guasti rilevati, che portano l’impianto in stato sicuro.
Le macchine
Per le macchine si usa spesso la norma ISO 13849, che classifica le funzioni di sicurezza in livelli di prestazione (PL da a ad e) in base alla categoria dell’architettura (da B a 4: dal canale singolo semplice ai due canali con diagnostica che rileva ogni singolo guasto), alla vita media dei componenti e alla copertura diagnostica. Il livello richiesto si ricava dal grafo dei rischi: gravità della lesione, frequenza dell’esposizione, possibilità di evitare il pericolo.
Alcuni principi pratici:
- l’arresto di emergenza è una misura complementare, non sostituisce le protezioni; ha la priorità su tutto e richiede un riarmo manuale;
- i contatti di sicurezza ad apertura positiva: il contatto si apre meccanicamente anche se si salda;
- i circuiti di sicurezza funzionano a corrente di riposo: un filo tagliato porta allo stato sicuro, come lo zero vivo dei 4-20 mA (lezione sui sensori);
- si usano PLC di sicurezza certificati, con doppio processore e diagnostica, e moduli di ingresso e uscita di sicurezza; il programma di sicurezza è separato da quello funzionale e protetto da modifiche.
In Europa i requisiti generali sono fissati dalla direttiva macchine, sostituita dal regolamento (UE) 2023/1230 applicabile dal 2027.
