Sicurezza Funzionale e SIL (Safety Integrity Level)

Cos'è la sicurezza funzionale

Una macchina non è mai intrinsecamente priva di pericoli: la sicurezza funzionale interviene dove la riduzione del rischio non è raggiungibile soltanto con misure costruttive passiviche (ripari fissi, distanze di sicurezza) ma richiede l'intervento attivo di un sistema di controllo. Tipici esempi sono la funzione di arresto di emergenza, il monitoraggio della velocità di sicurezza, il controllo della forza su robot collaborativi, la segnalazione di guasto su impianti di processo.

Ogni funzione di sicurezza deve essere associata a un livello di integrità target (SIL o PL) ricavato dalla valutazione del rischio: maggiore è il rischio residuo che la funzione deve abbattere, più elevato deve essere il livello di integrità richiesto. Il sistema di controllo viene poi progettato — in termini di architettura, diagnostica, ridondanza, qualità dei componenti e modalità di manutenzione — per raggiungere (o superare) quel livello.

SIL: Safety Integrity Level (IEC 61508 / IEC 62061)

Il SIL è un livello discreto da 1 a 4 che specifica la probabilità media di guasto pericoloso su richiesta (PFDavg) che la funzione di sicurezza deve soddisfare in modalità a bassa frequenza di richiesta (low demand mode), tipica delle macchine industriali:

• SIL 1 — PFDavg compreso tra 10⁻² e 10⁻¹: per funzioni di sicurezza su macchine con rischio moderato, ad esempio ripari mobili con interblocco semplice su linee di produzione a bassa complessità.
• SIL 2 — PFDavg compreso tra 10⁻³ e 10⁻²: per funzioni di sicurezza su automazione industriale complessa, robot, presse, macchine utensili con zone di pericolo frequentemente accessibili.
• SIL 3 — PFDavg compreso tra 10⁻⁴ e 10⁻³: per applicazioni ad alto rischio come impianti chimici, petrolchimici, sistemi di sicurezza di processo (SIS).
• SIL 4 — PFDavg compreso tra 10⁻⁵ e 10⁻⁴: riservato ad applicazioni nucleari e aerospaziali; praticamente mai richiesto nel settore macchine ordinario.

In modalità ad alta frequenza di richiesta (high demand o continuous mode), la metrica di riferimento è la PFH (Probability of dangerous Failure per Hour), con soglie analogamente scalate da SIL 1 a SIL 4.

Performance Level (PL) secondo ISO 13849-1

La norma ISO 13849-1 utilizza il Performance Level (PL) invece del SIL per la caratterizzazione delle parti di sistemi di controllo relative alla sicurezza (SRP/CS — Safety-Related Parts of Control Systems). La scala va da PLa (prestazione minima) a PLe (prestazione massima). Il mapping approssimativo con il SIL è:

• PLa — nessuna corrispondenza SIL diretta (livello di rischio molto basso)
• PLb — nessuna corrispondenza SIL diretta
• PLc ≈ SIL 1
• PLd ≈ SIL 2
• PLe ≈ SIL 3

Il PL raggiunto da una SRP/CS dipende dalla combinazione di quattro parametri:

• Categoria(B, 1, 2, 3, 4): definisce l'architettura del sistema in termini di ridondanza e capacità diagnostica. La categoria B è la più semplice (nessuna ridondanza), la categoria 4 è la più robusta (ridondanza con diagnostica continua e stima dei guasti di causa comune).
• MTTFd (Mean Time To dangerous Failure): tempo medio al guasto pericoloso dei componenti, espresso in anni, classificato come basso, medio o alto.
• DCavg (Diagnostic Coverage average): copertura diagnostica media, ovvero la percentuale di guasti pericolosi rilevabili dalla diagnostica incorporata nel sistema. Si classifica in nulla, bassa, media o alta.
• CCF (Common Cause Failure): misura della resistenza ai guasti di causa comune che potrebbero invalidare la ridondanza. Verificato tramite checklist normativa con punteggio minimo di 65 punti.

Metodo del grafico di rischio per la determinazione del PL richiesto

ISO 13849-1 Allegato A definisce il grafico di rischio (risk graph) come strumento semplificato per determinare il PL richiesto (PLr) da una funzione di sicurezza. Il progettista percorre un albero di decisione basato su tre parametri:

• S — Severity (gravità del danno): S1 per danni lievi reversibili (lividi, lacerazioni superficiali), S2 per danni gravi irreversibili o mortali.
• F — Frequency (frequenza e durata dell'esposizione al pericolo): F1 per esposizione rara o breve (meno di una volta ogni due settimane e per durata inferiore a pochi minuti), F2 per esposizione frequente o continua.
• P — Possibility of avoidance (possibilità di evitare il pericolo): P1 se l'operatore ha ragionevoli probabilità di accorgersi del pericolo ed evitarlo (ad esempio lenta velocità di avvicinamento, buona visibilità, operatore formato), P2 se ciò è difficile o impossibile.

Il metodo SIL di IEC 62061 segue una logica analoga con una matrice rischio che combina severità (S), frequenza (F) e possibilità di evitare il pericolo (P) per ottenere il numero di riduzione del rischio, da cui si ricava il SIL target.

IEC 62061 vs ISO 13849-1: quale norma applicare?

Entrambe le norme sono armonizzate al Regolamento UE 2023/1230 (e alla precedente Direttiva 2006/42/CE) e costituiscono quindi presunzione di conformità ai requisiti essenziali di sicurezza. Nella pratica progettuale:

• ISO 13849-1 è storicamente radicata nel settore delle macchine per componenti elettromeccanici: relè di sicurezza, moduli di sicurezza, dispositivi di interblocco, barriere fotoelettriche. È più immediata da applicare quando il sistema di controllo è costruito prevalentemente con componenti hardware certificati con PL noto.
• IEC 62061 è più adatta a sistemi di controllo complessi con PLC di sicurezza programmabili (Safety PLC), azionamenti di sicurezza e architetture SRCS ibride. Permette di gestire sistemi con logica programmabile e sottosistemi distribuiti su bus di campo di sicurezza (PROFIsafe, FSoE, CIP Safety).
• In pratica molti progettisti usano ISO 13849-1 per i sottosistemi hardware-based(sensori, attuatori, relè di sicurezza) e IEC 62061 per i sottosistemi programmabili, combinando i risultati in un'architettura mista, come esplicitamente consentito da entrambe le norme (§ 6.1 IEC 62061:2021).

Quadro normativo italiano: macchine e sicurezza funzionale

Il riferimento normativo principale per le macchine immesse sul mercato europeo è il Regolamento UE 2023/1230, che dal 14 gennaio 2027 sostituisce la Direttiva 2006/42/CE(recepita in Italia con D.Lgs. 17/2010). Il requisito fondamentale è contenuto nell'Allegato III § 1.2.1: i sistemi di controllo delle macchine devono essere progettati e costruiti in modo da resistere alle sollecitazioni operative previste e ai fattori esterni, con il livello di affidabilità e integrità appropriato al rischio. La determinazione del SIL/PL delle funzioni di sicurezza è parte integrante dell'analisi del rischio che il fabbricantedeve eseguire e documentare nel fascicolo tecnico ai sensi dell'Allegato IV del Regolamento.

Lato datore di lavoro, il D.Lgs. 81/08 agli artt. 70-71 prescrive che le attrezzature di lavoro messe a disposizione dei lavoratori siano conformi ai requisiti di sicurezza e siano mantenute in efficienza. Quando il datore di lavoro modifica in modo sostanziale una macchina — inclusa la modifica del sistema di controllo — è equiparato al fabbricante e deve rivalutare le funzioni di sicurezza, inclusa la verifica del SIL/PL richiesto e raggiunto. La norma di riferimento per la valutazione delle modifiche è la procedura di valutazione della modifica sostanziale descritta nella Guida CEI 999-4 e nelle linee guida INAIL.

Se vuoi approfondire come si applica la sicurezza funzionale alla tua realtà produttiva, ti aiutiamo a verificare gli obblighi applicabili e a impostare la documentazione tecnica necessaria.