Documenti di Didattica
Documenti di Professioni
Documenti di Cultura
Angelo Maggioni
Norme armonizzate
UNI EN ISO 13849-1 (2008): Sicurezza del macchinario. Parti dei sistemi di comando legate alla sicurezza. Parte 1: principi generali per la progettazione. CEI EN 62061 (2005): Sicurezza del macchinario. Sicurezza funzionale dei sistemi di comando e controllo elettrici, elettronici ed elettronici programmabili correlati alla sicurezza.
PL
SIL
Applicazione raccomandata delle norme CEI EN 62061 & UNI EN ISO 13849-1
Definizioni
UNI EN ISO 13849-1 Parte del sistema di comando correlata alla sicurezza SRP/CS (Safety Related part of Control System) Parte di un sistema di comando che risponde a segnali di ingresso legati alla sicurezza e genera dei corrispondenti segnali di uscita legati alla sicurezza Guasto pericoloso (Dangerous failure) Guasto che pu potenzialmente portare la SRP/CS in uno stato pericoloso o non in grado di effettuare la sua funzione. Livello di prestazione PL (Performance Level) Livello discreto usato per specificare labilit di un sistema di comando legato alla sicurezza di effettuare una funzione di sicurezza in determinate condizioni Livello di prestazione richiesto PLr (required Performance Level) Livello di prestazione (PL) applicato in modo da raggiungere i requisiti richiesti per quanto riguarda la riduzione dei rischi
Le misure protettive per la riduzione del rischio che dovrebbero essere applicate sono:
riduzione della probabilit di guasti a livello dei componenti; lo scopo quello di ridurre la probabilit di guasti che possano compromettere le funzioni di sicurezza; ci pu essere fatto aumentando laffidabilit dei componenti, per esempio con la selezione di componenti testati o progettati secondo metodologie comprovate in modo da ridurre o escludere guasti critici miglioramento della struttura della SRP/CS; lo scopo quello di evitare gli effetti pericolosi di un guasto; per questo scopo pu essere utile lutilizzo di una struttura ridondante e/o monitorata
Funzioni di sicurezza
UNI EN ISO 13849-1 5
PL richiesto (PLr)
Per ogni funzione di sicurezza che deve essere svolta da una SRP/CS, si deve determinare e documentare un livello di prestazione richiesto (PLr). La determinazione del PLr il risultato della valutazione dei rischi e si riferisce allentit della riduzione del rischio a carico delle parti del sistema di comando legate alla sicurezza. Quanto maggiore lentit della riduzione del rischio richiesta da parte della SRP/CS, tanto pi elevato deve essere il PLr. La valutazione del rischio prende in considerazione una situazione precedente alla messa in atto della funzione di sicurezza prevista; la riduzione del rischio mediante altre misure tecniche indipendenti dal sistema di comando (per esempio ripari fissi) o funzioni di sicurezza aggiuntive, pu essere considerata nella determinazione del PLr.
10
11
Stima del PL
UNI EN ISO 13849-1
Il PL della SRP/CS deve essere determinato stimando i seguenti aspetti: MTTFd di ciascun componente [appendici C e D]; DC (copertura diagnostica) [appendice E]; architettura e comportamento della funzione di sicurezza in condizioni di avaria [punto 6]; CCF (guasti di causa comune) [appendice F]; software legato alla sicurezza [punto 4.6 e appendice J]; guasti sistematici [appendice G]; capacit di eseguire la funzione di sicurezza nelle condizioni ambientali previste.
12
Il valore del MTTFd per ogni canale espresso in tre livelli (vedi tabella); dovrebbero essere tenuti in considerazione i valori di ogni canale preso singolarmente (ad esempio singolo canale oppure ogni canale di un sistema ridondante). Per il MTTFd, viene preso in considerazione un tempo massimo di 100 anni.
13
Per la stima del MTTFd di un componente, si possono utilizzare, nellordine dato, i seguenti criteri: utilizzare i dati forniti dal costruttore; utilizzare i metodi esposti in allegato C ed in allegato D; scegliere un tempo di 10 anni.
14
15
Per i componenti pneumatici, meccanici ed elettromeccanici, il parametro B10d il numero di cicli in cui il 10% dei componenti si guasta pericolosamente
T10d
B10d nop
Il valore di MTTFd di tutti i singoli componenti che compongono un canale sono usati nel calcolo
MTTFd quello complessivo dellintero canale MTTFdi, MTTFdj il MTTFd di ogni componente che ha un ruolo nellesecuzione della funzione di sicurezza La prima somma quella in cui i componenti hanno valori di MTTFdi diversi tra di loro; la seconda quella in cui gli nj componenti hanno MTTFdj identici
17
18
Il valore di DC viene espresso in quattro livelli (vedi tabella) Per la stima di DC, nella maggior parte dei casi la failure mode and effects analysis (FMEA) o metodi simili possono essere utili. In questo caso tutti i guasti rilevanti o i modi di guasto possono essere considerati. In alternativa, possibile utilizzare il metodo semplificato, sottoforma di tabella, riportato in Allegato E.
19
20
Da basso a medio
Nessuna
Non rilevante
Si devono applicare i requisiti della categoria B. Devono essere usati componenti e princpi di sicurezza ben collaudati.
Il verificarsi di un guasto pu portare alla perdita della funzione di sicurezza, ma la probabilit che si verifichi minore di quella della categoria B.
Alto
Nessuna
Non rilevante
21
Categoria
Comportamento del sistema Il verificarsi di un guasto pu portare alla perdita della funzione di sicurezza nellintervallo tra le due verifiche. La perdita della funzione di sicurezza viene rilevata dalla verifica.
DCavg
CCF
Si devono applicare i requisiti della categoria B e luso di princpi di sicurezza ben collaudati. La funzione di sicurezza deve essere verificata ad opportuni intervalli dal sistema di controllo della macchina.
Da basso a alto
Da bassa a media
Rilevante
22
Categoria
Riassunto dei requisiti Si devono applicare i requisiti della categoria B e luso di princpi di sicurezza ben collaudati. Le parti legate alla sicurezza devono essere progettate in modo che un singolo guasto in una qualsiasi di queste parti non porti ad una perdita della funzione di sicurezza e ogniqualvolta sia ragionevolmente possibile il singolo guasto venga rilevato.
DCavg
CCF
Da basso a alto
Da bassa a media
Rilevante
23
Quando si verifica il singolo guasto la funzione di sicurezza viene sempre assicurata. Il rilevamento di guasti accumulati riduce la probabilit di perdita della funzione di sicurezza (DC alta). I guasti vengono rilevati in tempo per evitare la perdita della funzione di sicurezza.
Alto
Rilevante
24
UNI EN ISO 13849-1 Per una stima pi semplice del PL possono essere fatte le seguenti assunzioni se larchitettura utilizzata rientra in quelle riportate al 6.2 della norma UNI EN ISO 13849-1: un tempo di utilizzo di 20 anni; un tasso di guasto costante per tutto il periodo di utilizzo; per una categoria 2, un rapporto rd 1/100 rt; per una categoria 2 un MTTFd,TE maggiore della met del MTTFd,L. MTTFd,TE = MTTFd del componente che esegue il test per la rilevazione dei guasti MTTFd,L = MTTFd del componente che esegue le funzioni della SRP/CS Il PL di ogni SRP/CS dipende dallarchitettura, dal MTTFd per ogni canale e dal DCavg. Nel caso di architetture con PLr da a a c, le misure per evitare i guasti possono essere sufficienti; per applicazioni con rischi maggiori, PLr da d a e, la struttura della SRP/CS deve prevedere misure per evitare, individuare e tollerare i guasti. Misure pratiche includono la ridondanza, la diversit e il monitoraggio. Per le categorie 2, 3 e 4, devono essere previste sufficienti misure per la riduzione dei guasti di causa comune (CCF).
25
26
27
28
Funzione di sicurezza: arresto del funzionamento del motore allapertura di un riparo mobile Il riparo interbloccato per mezzo di due microinterruttori (B1 e B2) il cui segnale viene portato in ingresso ad un modulo di sicurezza (K1) La concordanza dei sensori di ingresso viene monitorata dal modulo di sicurezza che in questo modo rileva eventuali guasti dei sensori I teleruttori (Q1 e Q2) tolgono lalimentazione al motore; i contattori vengono monitorati inserendo contatti nel circuito di ripristino del modulo di sicurezza Il guasto di un singolo componente non comporta la perdita della funzione di sicurezza
29
30
Calcoli
UNI EN ISO 13849-1
MTTFd,Q1= 570,77 anni MTTFd,Q2= 570,77 anni MTTFd,B1= 285,38 anni MTTFd,B2= 142,69 anni T10d,Q1= 57 anni T10d,Q2= 57 anni T10d,B1= 28,5 anni T10d,B2= 14,2 anni (componente da sostituire prima del mission time)
31
Calcoli
UNI EN ISO 13849-1
32
Calcoli
UNI EN ISO 13849-1
DCQ1 = DCQ2 = 99% monitoraggio diretto da parte del modulo di sicurezza grazie alla retroazione ed ai contatti legati
33
Calcolo sottosistemi
UNI EN ISO 13849-1
Sottosistema 1 (sensori B1 e B2) Si applica la limitazione dei canali a 100 anni MTTFd = 100 anni (alto) DC = 99% (alta) Categoria 4 PL = e PFHD = 2,4710-8
34
Calcolo sottosistemi
UNI EN ISO 13849-1 Sottosistema 3 (contattori Q1 e Q2) Si applica la limitazione dei canali a 100 anni MTTFd = 100 anni (alto) DC = 99% (alta) Categoria 4 PL = e PFHD = 2,4710-8
35
Risultato finale
UNI EN ISO 13849-1
Per ottenere il valore finale si sommano i valori di PFHD dei singoli sottosistemi PFHD,totale= PFHD,B1//B2+PFHD,K1+PFHD,Q1//Q2 = = (2,47 + 0,231 + 2,47)10-8 = 5,17110-8 PL = e
36
Esclusione di guasti
UNI EN ISO 13849-1
Non sempre possibile valutare gli SRP/CS senza escludere determinati guasti. Per lesclusione dei guasti fare riferimento alla norma UNI EN ISO 13849-2. La norma UNI EN ISO 13849-2 riporta un elenco dei guasti che possibile escludere suddivisi a seconda della tecnologia (meccanica, pneumatica, idraulica ed elettrica). Lesclusione di guasti un compromesso tra i requisiti di sicurezza e la teorica possibilit di accadimento di un guasto. Lesclusione di un guasto pu essere basata su: improbabilit tecnica di avere un certo tipo di guasto, esperienza tecnica comunemente accettata, indipendente da un particolare tipo di applicazione, requisiti tecnici relativi allapplicazione e a specifici rischi.
37
Esclusione di guasti
ISO/TR 23849:2010
Non opportuno che il raggiungimento di un PL pari ad e sia basato unicamente sullesclusione di guasti (ISO/TR 23849:2010); in generale, necessario essere sempre pi critici sulla possibilit di escludere un guasto al crescere del livello di prestazione richiesto. In generale, lesclusione dei guasti non dovrebbe essere applicabile agli aspetti meccanici dei microinterruttori di interblocco e degli interruttori azionati manualmente (ad es. comando di arresto di emergenza). Le esclusioni dei guasti permesse per i guasti di tipo meccanico sono descritti dalla norma UNI EN ISO 13849-2.
38
39
40
41