IEC 61508 spiegato: Guida alla sicurezza funzionale e ai livelli di integrità della sicurezza (SIL)

La IEC 61508 è uno standard internazionale per la sicurezza funzionale pubblicato dalla Commissione Elettrotecnica Internazionale (IEC). Il suo titolo completo è “Sicurezza funzionale dei sistemi elettrici/elettronici/programmabili relativi alla sicurezza” (spesso abbreviato in E/E/PE o E/E/PES). Lo standard fornisce un quadro sistematico per garantire la sicurezza funzionale e l'affidabilità dei sistemi durante l'intero ciclo di vita della sicurezza.

La norma IEC 61508 è lo standard fondamentale per molti standard di sicurezza funzionale specifici del settore, come IEC 61511 e IEC 62061. Trova ampia applicazione in settori quali l'automazione industriale, il controllo di processo e la produzione di macchinari.

1.0 Concetti fondamentali della norma IEC 61508

La norma IEC 61508 copre i seguenti aspetti chiave:

• Sicurezza funzionale: La norma sottolinea che i sistemi o le apparecchiature devono svolgere correttamente le loro funzioni di sicurezza in condizioni definite. In caso di guasto, il guasto deve verificarsi in modo prevedibile e sicuro.
• Ciclo di vita della sicurezza: Introduce un approccio completo al ciclo di vita, che copre tutte le fasi, dall'ideazione iniziale, alla progettazione e sviluppo, al funzionamento e alla manutenzione, fino alla dismissione, garantendo il continuo rispetto dei requisiti di sicurezza.
• Approccio basato sul rischio: Identificando i pericoli, valutando i rischi associati e applicando misure di controllo appropriate, lo standard aiuta a ridurre il rischio a un livello che sia il più basso ragionevolmente praticabile (ALARP).
• Livello di integrità della sicurezza (SIL): Il SIL è una misura quantitativa dell'affidabilità delle funzioni di sicurezza, che va da SIL 1 (il più basso) a SIL 4 (il più alto). Ogni livello SIL è determinato in base a tre criteri principali:
  • Capacità del sistema: Affidabilità della progettazione hardware e software
  • Vincoli architettonici: Limitazioni imposte dall'architettura del sistema
  • PFDavg / PFH: La probabilità di un guasto pericoloso, sia su richiesta (PFDavg) che all'ora (PFH)
    Il livello SIL finale è definito dal livello più basso tra questi tre criteri.

1.1 Struttura e ambito di applicazione della norma IEC 61508

La norma IEC 61508 si compone di otto parti. Le parti da 1 a 7 sono state pubblicate tra il 1998 e il 2000, mentre la IEC/TR 61508-0 è stata aggiunta nel 2005. La norma è stata sottoposta a un processo di revisione completo a partire dal 2002, che ha portato alla pubblicazione dell'Edizione 2 nell'aprile 2010.

Il titolo completo della norma è “Sicurezza funzionale dei sistemi elettrici/elettronici/programmabili relativi alla sicurezza (sistemi E/E/PE)”e la sua struttura comprende:

1. Parte 0: Sicurezza funzionale e IEC 61508
2. Parte 1: Requisiti generali
3. Parte 2: Requisiti per i sistemi di sicurezza E/E/PE
4. Parte 3: Requisiti software
5. Parte 4: Definizioni e abbreviazioni
6. Parte 5: Esempi di metodi per la determinazione dei livelli di integrità della sicurezza
7. Parte 6: Linee guida per l'applicazione delle parti 2 e 3
8. Parte 7: Panoramica delle tecniche e delle misure

Inoltre, da IEC 61508 sono stati derivati diversi standard specifici del settore, adattandone i principi a domini particolari:

• IEC 61511– Per l’industria di processo (ad esempio, impianti chimici e petrolchimici)
• IEC 62061– Per la sicurezza dei macchinari
• Norma ISO 26262– Per sistemi elettronici automobilistici
• DO-178C– Per sistemi software avionici

L'esempio mostra un tipico sistema elettrico, elettronico ed elettronico programmabile con classificazione di sicurezza, solitamente denominato sistema di sicurezza E/E/PE.

1.2 Implementazione e conformità

Per raggiungere la conformità alla norma IEC 61508, le organizzazioni devono:

• Comprendere e seguire i processi di convalida e verifica prescritti
• Identificare e mitigare le modalità di guasto critiche
• Garantire che i sistemi hardware e software funzionino entro i vincoli del livello SIL applicabile
• Gestire la complessità durante la progettazione del sistema per ridurre il rischio di guasto
• Applicare strategie di sicurezza appropriate per i componenti utilizzati frequentemente o attivati solo durante eventi pericolosi

1.3 Applicazioni pratiche della norma IEC 61508

La norma IEC 61508 è ampiamente utilizzata nei sistemi elettrici, elettronici ed elettronici programmabili critici per la sicurezza. Esempi di applicazioni comuni includono:

• Industria dei macchinari: presse piegatrici, taglierine laser, macchine per stampaggio, sistemi di sicurezza per robot industriali
• Industria di processo: Sistemi di arresto di emergenza (ESD), valvole di sicurezza, dispositivi di sicurezza
• Settore energetico: Relè di protezione, dispositivi di isolamento guasti, interruttori automatici intelligenti
• Trasporti: Sistemi di segnalazione ferroviaria, unità di controllo automatico dei treni (ATC), moduli di sicurezza automobilistica
• Dispositivi medici: Sistemi di supporto vitale, moduli di monitoraggio della sicurezza

In conformità alla norma IEC 61508, questi sistemi sono progettati con principi di sicurezza funzionale che aiutano a prevenire incidenti e a proteggere sia la vita umana che l'ambiente in caso di guasto.

1.4 Perché è stato sviluppato IEC 61508

Negli anni '90, un numero crescente di funzioni di sicurezza è stato implementato tramite sistemi elettronici o elettronici programmabili. Questi sistemi presentano spesso un'elevata complessità, rendendo praticamente impossibile identificare ogni possibile modalità di guasto o testare ogni scenario operativo.

La sfida principale era progettare sistemi in grado di prevenire guasti pericolosi o di gestirli in sicurezza qualora si verificassero. Tali guasti potevano derivare da:

• Specifiche errate per i sistemi di controllo relativi alla sicurezza
• Definizioni incomplete dei requisiti di sicurezza (ad esempio, mancata definizione delle funzioni in tutte le modalità operative)
• Guasti hardware casuali
• Errori hardware a livello di sistema
• Errori di progettazione del software
• Guasti di causa comune
• Errori umani
• Fattori ambientali (ad esempio, interferenze elettromagnetiche, temperature estreme, stress meccanico)

2.0 Cosa sono IEC 61508 e SIL (Safety Integrity Level)?

La IEC 61508 è uno standard di sicurezza funzionale riconosciuto a livello internazionale, applicabile ai sistemi elettrici, elettronici ed elettronici programmabili relativi alla sicurezza. Fornisce una guida sistematica alla sicurezza per la progettazione, lo sviluppo, il funzionamento e la manutenzione di tali sistemi. Uno dei suoi componenti chiave è... Livello di integrità della sicurezza (SIL), una misura critica della capacità di una funzione di sicurezza di ridurre il rischio in condizioni pericolose.

2.1 Definizione e ruolo del SIL

La norma IEC 61508 definisce l'integrità della sicurezza come:

“La probabilità che un sistema di sicurezza esegua con successo la funzione di sicurezza richiesta in tutte le condizioni specificate ed entro un tempo specificato.”

I livelli SIL indicano il grado di riduzione del rischio fornito da una funzione di sicurezza al verificarsi di un evento pericoloso. Esistono quattro livelli SIL, da SIL 1 a SIL 4, con livelli più elevati che corrispondono a requisiti di sicurezza più rigorosi e processi di sviluppo e verifica più complessi.

Livello SIL	Probabilità di pericolo	Requisiti di sviluppo corrispondenti
SIL 1	Probabilità più alta	Requisiti minimi
SIL 2	Medio	Misure consigliate
SIL 3	Basso	Misure severe
SIL 4	Probabilità più bassa	Controlli più rigorosi

2.2 Come viene determinato il SIL

La norma IEC 61508 fornisce metodi sia qualitativi che quantitativi per determinare il SIL, tra cui:

1. Valutazione dei pericoli e dei rischi (Parte 5)

• Identificare i potenziali pericoli
• Valutare la frequenza e la gravità del rischio
• Determinare il livello richiesto di riduzione del rischio (Allegato A)

2. Valutazione della probabilità di fallimento

Il SIL può essere valutato quantitativamente utilizzando:

• PFDavg (Probabilità media di guasto pericoloso su richiesta)per modalità a bassa domanda
• PFH (Probabilità di guasto pericoloso all'ora)per modalità continue

PFDavg – Modalità a bassa domanda:

Livello SIL	Intervallo PFDavg
SIL 4	≥ 10⁻⁵ a < 10⁻⁴
SIL 3	≥ 10⁻⁴ a < 10⁻³
SIL 2	≥ 10⁻³ a < 10⁻²
SIL 1	≥ 10⁻² a < 10⁻¹

PFH – Modalità continua:

Livello SIL	Gamma PFH [1/h]
SIL 4	≥ 10⁻⁹ a < 10⁻⁸
SIL 3	≥ 10⁻⁸ a < 10⁻⁷
SIL 2	≥ 10⁻⁷ a < 10⁻⁶
SIL 1	≥ 10⁻⁶ a < 10⁻⁵

2.3 Capacità del sistema e vincoli architettonici

Il sistema deve soddisfare specifiche capacità di progettazione, collaudo e verifica (ad esempio, FMEDA, SFF).

SFF (frazione di guasti sicuri) = (Guasti sicuri + Guasti pericolosi rilevati) / Guasti totali

2.4 Confronto dei livelli di integrità della sicurezza tra gli standard

Sebbene SIL faccia parte del framework IEC 61508, altri standard di settore definiscono livelli di sicurezza simili che non sono direttamente intercambiabili:

Standard	Livelli di sicurezza (basso → alto)
IEC 61508	SIL 1, SIL 2, SIL 3, SIL 4
Norma ISO 26262	ASIL A, ASIL B, ASIL C, ASIL D
DO-178C	Livello E, D, C, B, A
Norma IEC 62304	Classe A, B, C
EN 50128	SSIL 0, 1, 2, 3, 4

2.5 SIL e sviluppo software

La IEC 61508 Parte 3 ("Requisiti Software") specifica le misure di sviluppo per il software embedded in base al livello SIL. Le pratiche comuni e i relativi livelli di raccomandazione includono:

Tecnica/Pratica	SIL 1	SIL 2	SIL 3	SIL 4
Utilizzo di standard di codifica	R	Risorse umane	Risorse umane	Risorse umane
Tracciabilità in avanti	R	R	Risorse umane	Risorse umane
Analisi FMEA/FMEDA	Opzionale	Raccomandato	Fortemente consigliato	Obbligatorio

Nota: HR = Altamente raccomandato, R = Consigliato, — = Non raccomandato

2.6 Come valutare e calcolare il SIL?

Secondo la norma IEC 61508, per determinare il SIL appropriato devono essere considerati tre criteri fondamentali:

• Capacità del sistema– Se il design soddisfa i requisiti funzionali
• Vincoli architettonici– Se il progetto soddisfa i requisiti di ridondanza e strutturali (ad esempio, SFF)
• Probabilità di guasto hardware casuale– Quantificato utilizzando PFDavg o PFH

Strumenti di valutazione consigliati:

• Analisi dei rischi (HAZOP)
• Matrice dei rischi o matrice di tracciabilità dei requisiti
• Analisi delle modalità e degli effetti dei guasti (FMEA)
• Modalità di guasto, effetti e analisi diagnostica (FMEDA)

3.0 Che cosa è la sicurezza funzionale

Concetti chiave della sicurezza funzionale:
Per comprendere efficacemente la norma IEC 61508 e la sua applicazione, è necessario comprendere i seguenti concetti fondamentali e termini chiave:

Sicurezza funzionale
Definizione:
La sicurezza funzionale è una parte della sicurezza complessiva del sistema e si concentra sul corretto funzionamento del sistema dopo aver ricevuto input specifici, prevenendo così eventi pericolosi o riducendo i rischi a un livello accettabile in caso di guasti.
Obiettivo:
Controllare proattivamente il sistema per reagire al rilevamento di potenziali pericoli, garantendo la sicurezza di persone, attrezzature e ambiente. Ad esempio:

Un rilevatore di fumo che attiva un sistema di irrigazione automatico;

Le apparecchiature di riscaldamento industriali si spengono automaticamente in caso di surriscaldamento.

Livello di integrità della sicurezza (SIL)
SIL è una misura quantitativa delle prestazioni e dell'affidabilità di una funzione di sicurezza, che indica la capacità del sistema di eseguire in modo affidabile le funzioni di sicurezza quando richiesto.
Esistono quattro livelli SIL (da SIL 1 a SIL 4), dove i livelli più alti indicano requisiti di sicurezza più rigorosi e uno sviluppo e una verifica del software più rigorosi.

Livello SIL	Probabilità media di guasto pericoloso su richiesta (PFDavg) – Modalità a bassa richiesta	Probabilità di guasto pericoloso all'ora (PFH) – Modalità continua
SIL 1	≥ 10⁻² a < 10⁻¹	≥ 10⁻⁶ a < 10⁻⁵
SIL 2	≥ 10⁻³ a < 10⁻²	≥ 10⁻⁷ a < 10⁻⁶
SIL 3	≥ 10⁻⁴ a < 10⁻³	≥ 10⁻⁸ a < 10⁻⁷
SIL 4	≥ 10⁻⁵ a < 10⁻⁴	≥ 10⁻⁹ a < 10⁻⁸

⚠ Nota: I livelli SIL definiti nella norma IEC 61508 non devono essere confusi con quelli di altre norme quali ISO 26262 o IEC 61511.

Ciclo di vita della sicurezza
La norma IEC 61508 definisce un processo strutturato per la gestione delle problematiche di sicurezza funzionale durante l'intero ciclo di vita del progetto, dall'ideazione iniziale fino alla dismissione del sistema.
Il ciclo di vita della sicurezza enfatizza:

Identificazione dei pericoli e valutazione dei rischi

Definizione dei requisiti di sicurezza;

Implementazione della progettazione della sicurezza;

Verifica e convalida;

Manutenzione e miglioramento continuo.
Questo processo garantisce che il sistema soddisfi costantemente i requisiti di sicurezza durante tutto il suo ciclo di vita.

3.1 Importanza della sicurezza funzionale

Perché la sicurezza funzionale è fondamentale?
Con la crescente complessità dei sistemi, soprattutto in ambienti ad alto rischio come l'industria, i trasporti e l'energia, aumentano anche i potenziali pericoli. L'obiettivo della sicurezza funzionale è identificare e mitigare proattivamente i rischi di guasto per garantire:

• Sicurezza del personale e degli utenti;
• Funzionamento affidabile delle apparecchiature;
• Minimizzazione delle perdite economiche per le imprese.

Nell'ambito della produzione, i sistemi di sicurezza funzionale aiutano le fabbriche a controllare meglio le attrezzature, a migliorare l'efficienza e a ridurre i tempi di fermo, incrementando così la produttività complessiva.

Perché conseguire la certificazione?

• Requisiti legali:In alcuni settori e regioni la certificazione di sicurezza funzionale è obbligatoria per legge.
• Accesso al mercato:I prodotti privi di certificazione potrebbero essere esclusi da determinati mercati.
• Fiducia del cliente:Gli utenti finali e gli integratori di sistema spesso richiedono ai fornitori una certificazione indipendente di terze parti.
• Conformità assicurativa:Molte compagnie assicurative richiedono la certificazione di sicurezza funzionale come condizione per la copertura.
  Gli standard di certificazione si basano in genere sulla norma IEC 61508 o sui suoi derivati specifici del settore.

3.2 IEC 61508: lo standard fondamentale per la sicurezza funzionale

La IEC 61508 è la "norma madre" per la sicurezza funzionale, applicabile a tutti i settori senza norme specifiche. Si basa sulla metodologia di valutazione del rischio e fornisce una guida completa dalla progettazione e implementazione del sistema fino alla verifica.

La norma IEC 61508 copre i componenti del sistema correlati alla sicurezza, tra cui:

• Sensori (rilevamento del segnale);
• Unità logiche di controllo (come PLC o controllori integrati);
• Attuatori (ad esempio relè, freni, sistemi di allarme);
• Componenti software (inclusi firmware e logica applicativa).

Lo standard definisce i requisiti SIL sulla base della valutazione quantitativa del rischio, affrontando:

• Errori di sistema;
• Guasti hardware casuali;
• Errori logici o sistemici del software.

3.3 Standard di sicurezza funzionale specifici del settore (derivati da IEC 61508)

Industria	Standard derivato	Descrizione
Industria di processo	IEC 61511	Per processi di controllo continuo come impianti chimici e petrolchimici
Macchinari	IEC 62061	Per macchinari e sistemi robotici
Elettronica automobilistica	Norma ISO 26262	Per sistemi elettronici/elettrici dei veicoli stradali
Aerospaziale	DO-178C / DO-254	Per lo sviluppo e la verifica di software/hardware per l'aviazione civile
Dispositivi medici	Norma IEC 62304	Copre la gestione del ciclo di vita del software medico
Industria nucleare	IEC 61513	Per i sistemi di strumentazione e controllo delle centrali nucleari
Elettrodomestici/Beni di consumo	Norma IEC 60730	Attenzione alla sicurezza dei dispositivi di controllo automatico

4.0 Perché IEC 61508 è uno standard chiave per l'Industria 4.0

Con lo sviluppo dell'Industria 4.0 e la crescente automazione e connettività, la IEC 61508 è diventata uno standard fondamentale per garantire la sicurezza funzionale. È particolarmente importante per:

• Gestione della complessità del sistema:La norma IEC 61508 offre un approccio strutturato per gestire le architetture sempre più complesse dei sistemi dell'Industria 4.0, tra cui il funzionamento coordinato di sensori, attuatori e sistemi di controllo, garantendo che la complessità non comprometta la sicurezza.
• Mitigazione del rischio:Con l'aumento dell'automazione, aumenta anche il rischio di guasti di sistema. La norma IEC 61508 fornisce indicazioni per l'identificazione e la mitigazione dei rischi durante tutto il ciclo di vita del sistema, dalla progettazione alla dismissione, garantendo una sicurezza continua e affidabile.
• Garantire l'interoperabilità:L'Industria 4.0 richiede un'integrazione perfetta di sistemi e dispositivi diversi. La norma IEC 61508 fornisce un quadro di sicurezza unificato, garantendo che diversi fornitori e piattaforme possano interagire senza compromettere la sicurezza.
• Migliorare l'affidabilità dei sistemi autonomi:Con l'ampia adozione di sistemi industriali controllati da software, l'affidabilità del software è fondamentale. La norma IEC 61508 definisce requisiti espliciti per lo sviluppo di software critico per la sicurezza, aiutando le aziende a realizzare sistemi intelligenti stabili e affidabili.
• Dimostrazione di conformità:Seguire la norma IEC 61508 non solo aiuta le aziende a soddisfare gli standard normativi e di settore, ma dimostra anche il loro impegno nei confronti dei mercati e degli enti regolatori, rafforzando la reputazione del marchio e il vantaggio competitivo. Ciò è particolarmente importante quando si partecipa a gare d'appalto per contratti critici per la sicurezza o si entra in mercati regolamentati.

La norma IEC 61508 non solo getta le basi per la sicurezza funzionale in tutti i settori, ma fornisce anche una tabella di marcia per la creazione di sistemi resilienti, affidabili e certificabili nell'era della trasformazione digitale.

5.0 Risorse consigliate su 《IEC 61508 IEC 61508:2010 PDF》

🔗 Scarica il PDF della norma IEC 61508:2010

🔗 IEC 61508 e sicurezza funzionale-2022

6.0 IEC 61508 e SIL – Domande frequenti (FAQ)

 

Riferimenti

dra.com/iec-61508/#61508-1

www.tuvsud.com/en-sg/services/functional-safety/iec-61508

www.perforce.com/blog/qac/what-iec-61508-safety-integrity-levels-sils

www.gt-engineering.it/it/approfondimenti/sicurezza-funzionale-300321/iec-61508-tutti-i-componenti/