Componenti per applicazioni di sicurezza

Transcript

1 Componenti per applicazioni di sicurezza Catalogo 0-0

2

3 Sommario generale 0 Componenti per applicazioni di sicurezza Sicurezza delle persone e delle macchine I supporti Preventa e le funzioni di sicurezza per le macchine Soluzioni di sicurezza per l automazione Soluzioni di sicurezza per il rilevamento Soluzioni di sicurezza per il dialogo Soluzioni di sicurezza per il comando e la protezione Indice dei riferimenti Misure espresse in notazione anglosassone (punto per la separazione decimale e virgola per i gruppi di cifre). 0

4 0 /0

5 Sommario - Sicurezza delle persone e delle macchine Introduzione - La legislazione europea / Gli incidenti sul lavoro / La legislazione europea e le norme / Norme da applicare / Valutazione del rischio delle macchine / Norma da applicare in funzione della progettazione del sistema di comando relativo alla sicurezza /0 Norma EN/ISO - Sicurezza macchine - Parti dei sistemi di comando legate alla sicurezza (SRP/CS) / Norma EN/IEC 0 Sicurezza macchine - Sistema elettrico di controllo relativo alla sicurezza (SRECS) / La certificazione e il marchio e /0 0 /

6 Generalità Sicurezza delle persone e delle macchine Introduzione - La legislazione europea 0 Sicurezza e disponibilità del processo Introduzione Per il successo di un azienda, garantire la sicurezza delle macchine e delle persone è fondamentale. Sviluppi sociali e progresso tecnologico hanno avuto un profondo impatto sulla legislatura e sulla normative in materia di impiego dei sistemi di automazione delle apparecchiature elettriche. Sviluppi sociali La coscienza civica e la consapevolezza in materia di sicurezza delle società occidentali ha portato ad una legislatura più severa con un aumento del numero di requisiti e un inasprimento delle norme vigenti; l elevato costo degli incidenti sul lavoro ha spinto inoltre le aziende ad impegnarsi nella stessa direzione. Progresso tecnologico bbl aumento dei livelli di automazione ha portato a nuove restrizioni. L arresto istantaneo di una macchina è in alcuni casi difficile, se non addiritttura pericoloso, ed è necessario effettuare una sequenza di arresto sicura prima di consentire l accesso del personale all interno dell area di produzione. bbl utilizzo sempre più diffuso dell elettronica e dei software ha richiesto un diverso approccio alle soluzioni adottate; le regole empiriche non sono più sufficienti. La scelta deve prevedere un calcolo di affidabilità capace di determinare il comportamento del sistema. In questo contesto le fasi di progettazione e di specifica sono fondamentali. Gli studi hanno dimostrato che oltre i / degli incidenti sono dovuti ad una cattiva progettazione e a specifiche inadeguate. É quindi necessario valutare i potenziali rischi e scegliere le soluzioni più adatte per ridurne le conseguenze. Apposite norme sono disponibili per assistere e guidare il progettista in questo difficile compito. I costruttori di componenti e sistemi aiutano i loro clienti offrendo funzioni complete e pronte all uso che, se utilizzate conformemente alle norme, sono in grado di soddisfare le esigenze dei clienti e rispondere ai requisiti normativi vigenti. In questo capitolo, verrà presentato un processo semplificato. Per procedere ad una scelta corretta il cliente potrà quindi consultare il capitolo sulle funzioni di sicurezza e le pagine riguardanti i prodotti di sicurezza. La legislazione europea La legislazione europea esige che vengano adottate misure preventive per preservare e proteggere la qualità dell ambiente e la salute delle persone. Per raggiungere tali obbiettivi sono state elaborate delle direttive europee applicabili da parte degli operatori degli impianti oltre che dai costruttori di apparecchiature e macchine. Queste direttive stabiliscono inoltre la reponsabilità in caso di incidente sul lavoro. bbla sicurezza delle macchine presenta le seguenti conseguenze positive: eliminazione degli incidenti sul lavoro, protezione dei lavoratori e del personale con misure di sicurezza appropriate che tengono conto del tipo di applicazione e delle caratteristiche ambientali locali. bbtutto questo permette di ridurre i relativi costi diretti e indiretti: riducendo i danni fisici, riducendo i premi assicurativi, riducendo le perdite di produzione e le eventuali penalità di ritardo, limitando i danni e le spese di manutenzione bbun funzionamento in sicurezza implica due concetti fondamentali: la sicurezza e disponibilità del processo: la sicurezza è la capacità di un dispositivo di limitare ad un livello accettabile il rischio corso dalle persone, la disponibilità è l attitudine di un sistema o di un dispositivo ad assicurare la propria funzione in un dato istante o per una durata determinata bbla sicurezza deve riguardare tutte le fasi di vita della macchina, a partire dalla progettazione: trasporto, installazione, avviamento, manutenzione, funzionamento e smaltimento. /

7 Generalità Sicurezza delle persone e delle macchine Gli incidenti sul lavoro Gli incidenti sul lavoro Un incidente sul lavoro provoca una lesione più o meno grave, dovuta al lavoro stesso, su di una persona intenta a lavorare o ad intervenire su di una macchina (installatore, operatore, tecnico della manutenzione, ecc...). Fattori all origine degli incidenti sul lavoro bb Fattori legati agli uomini (progettisti, utilizzatori): errori nella progettazione della macchina, abitudine ai rischi dovuta alla ripetizione dei gesti ed alla banalizzazione del comportamento nei confronti del pericolo, sottovalutazione dei rischi con conseguente neutralizzazione delle protezioni, riduzione dell attenzione nelle funzioni di controllo (fatica), mancato rispetto delle procedure, aumento dello stress (rumore, ritmo di lavoro, ecc ), precarietà dell impiego che può portare ad una formazione insufficiente, manutenzione scarsa o mal eseguita, che può essere all origine di rischi imprevedibili. bb Fattori legati alle macchine: dispositivi di protezione inadatti, rischi relativi alla macchina (movimento alternato di una macchina, avviamento intempestivo, arresto precario), macchine non adatte all impiego o alle caratteristiche ambientali (allarme sonoro coperto dal rumore prodotto dal parco macchine). bb Fattori legati agli impianti: circolazione delle persone (linea di produzione automatizzata), assemblaggio di macchine di provenienza e tecnologia diverse, Flusso di materiale o prodotti tra le macchine. Conseguenze Conclusione Tipi di rischi e pericoli Pericolo più o meno grave per l integrità fisica dell utilizzatore, arresto della produzione della macchina intressata, fermo del parco macchine dello stesso tipo per perizie, ad esempio da parte dell Ispettorato del Lavoro, modifica delle macchine per messa in conformità, se necessaria, cambio del personale e formazione sul posto di lavoro, caduta dell immagine aziendale. La spesa legata agli infortuni sul lavoro nell Unione Europea è stimata in circa 0 miliardi di Euro. Per ridurre gli incidenti sul lavoro è indispensabile un impegno effettivo che richiede per prima cosa una volontà politica e strategica dell impresa. La riduzione degli incidenti sul lavoro dipende dalla sicurezza delle macchine e dei componenti. I rischi e i pericoli relativi alle macchine possono essere classificati in tre gruppi principali, come illustrato qui di seguito: Rischi meccanici Perforazione, puntura, tranciatura, sezionamento, taglio Addentatura, avvolgimento, trascinamento, imprigionamento Urto Schiacciamento Rischi elettrici Rischi fisico-chimici Folgorazione, elettrocuzione, bruciatura Fuoriuscita di sostanze ruciatura pericolose 0 /

8 Generalità Sicurezza delle persone e delle macchine La legislazione europea e le norme La legislazione europea e le norme Lo scopo principale della Direttiva Macchine 00//EC è quello di garantire un livello di sicurezza minimo ai macchinari e alle apparecchiature commercializzati all interno dell Unione Europea. Questa nuova versione ha sostituito la versione //EC a partire dal mese di gennaio del 00. Per autorizzare la libera circolazione delle macchine all interno dell Unione Europea, è necessario che l apparecchiatura sia marcata e e che una dichiarazione di conformità EC venga rilasciata all acquirente. L utilizzatore deve rispettare gli obblighi definiti dalla Direttiva Sociale //EEC che, nella maggior parte dei casi, vengono soddisfatti se si utilizzando macchine conformi alle relative norme. Queste norme sono complesse. Dopo una breve presentazione del sistema normativo, forniremo al lettore una guida pratica alle norme tipiche da rispettare in base al progetto del sistema di comando scelto. Norme Le norme armonizzate europee stabiliscono le specificazioni tecniche conformi ai requisiti minimi di sicurezza definiti dalle relative direttive. Il rispetto di tutte le norme armonizzate europee implica la conformità alle relative direttive. Lo scopo principale è di garantire i requisiti minimi di sicurezza per i macchinari e le apparecchiature commercializzati all interno dell Unione Europea e consentirne la libera circolazione all interno della stessa. I gruppi di norme europee bbnorme di tipo A Norme di sicurezza di base che contengono i concetti fondamentali, i principi di progettazione e gli aspetti generali applicabili a tutte le macchine; ad esempio: EN/ISO 00. bbnorme di tipo Norme relative ad aspetti specifici della sicurezza o a dispositivi di sicurezza specifici utilizzabili su una vasta gamma di macchine. vvnorme di tipo Norme relative ad aspetti specifici della sicurezza delle macchine; ad esempio: EN/IEC 00- Apparecchiatura elettrica delle macchine. vvnorme di tipo Norme relative a prodotti di sicurezza specifici, quali ad esempio i posti di comando a due mani (EN ), interruttori di sicurezza (EN 0/ISO ), Arresti di emergenza (EN/ISO 0), ecc... bbnorme di tipo C Norme relative a diversi gruppi di macchine (ad esempio: presse idrauliche EN, robot, ecc...) e che forniscono requisiti di applicazione dettagliati. 0 /

9 La legislazione europea e le norme (segue) Una selezione delle norme Norma Tipo Soggetto EN/ISO 00 A Sicurezza del macchinario - Principi generali di progettazione, di valutazione e riduzione del rischio EN Dispositivo comando a due mani - Aspetti funzionali, principi generali di progettazione EN/ISO 0 Arresto di emergenza - Principi di progettazione EN/IEC 0 Sicurezza di funzionamento di sistemi di controllo elettrici, elettronici, ed elettronici programmabili EN/ISO - Sicurezza del macchinario - Parti dei sistemi di comando legate alla sicurezza (EN -) - Parte : Principi generali per la progettazione EN Spazi minimi per evitare lo schiacciamento di parti del corpo EN Distanze di sicurezza per impedire il raggiungimento di zone pericolose con gli arti superiori EN Distanze di sicurezza per impedire il raggiungimento di zone pericolose con gli arti inferiori EN/IEC 00- Sicurezza del macchinario - Componenti elettriche delle macchine - Parte : requisiti generali EN /ISO Posizionamento dei dispositivi di protezione in funzione delle velocità di avvicinamento di parti del corpo EN 0/ISO Dispositivi di interblocco associati alle protezioni - Principi di progettazione e di scelta EN/IEC - Dispositivi elettrosensibili di protezione EN/IEC 0-- Dispositivi di circuiti di comando elettromeccanici EN Segnali visivi di pericolo - Requisiti generali, progettazione e prove EN 0 Protezione contro l avviamento imprevisto EN Requisiti generali per la progettazione e la costruzione di protezioni fisse e mobili EN 0 Macchine per materie plastiche e gomma - Presse a iniezione - Requisiti di sicurezza EN EN Presse meccaniche - Requisiti di sicurezza Presse idrauliche - Requisiti di sicurezza EN Macchine per materie plastiche e gomma - Presse - Requisiti di sicurezza EN EN/ISO 0- Macchine per soffiaggio per la produzione di corpi cavi - Requisiti di progettazione e costruzione Robot per ambienti industriali - Requisiti di sicurezza EN - Sicurezza macchine per imballaggio - Parte : pallettizzatori e depallettizzatori EN EN 0 EN - Requisiti di sicurezza e compatibilità elettromagnetica per le apparecchiature di movimentazione meccanica di carichi unitari Requisiti di sicurezza e compatibilità elettromagnetica per trasportatori a nastro fissi per materiale sfuso Apparecchiature di processo termico industriale - Parte : Requisiti di sicurezza per la generazione e l utilizzo di gas di atmosfera 0 /

10 Generalità Sicurezza delle persone e delle macchine Norme da applicare Direttiva Macchine 00//EC Sicurezza macchine Principi generali di progettazione, valutazione e riduzione del rischio EN/ISO 00 Norme da applicare Il processo Direttiva Macchine 00//EC La conformità alle seguenti norme garantisce la conformità alla Direttiva Macchine (la cui nuova versione 00//EC ha sostituito la vecchia versione //EC a partire dal mese di gennaio 00). EN/ISO 00 Principi generali di progettazione, valutazione e riduzione del rischio. Lo scopo di questa norma è di fornire ai progettisti un quadro generale e una guida per renderli in grado di produrre macchine sicure per il loro impiego. EN/ISO - Sicurezza macchine Parti dei sistemi di comando relative alla sicurezza EN/IEC 0 Sicurezza macchine Sicurezza di funzionamento dei sistemi elettrici di controllo, elettronici ed elettronici programmabili relativi alla sicurezza Sicurezza Macchine EN/IEC 00- Apparecchiatura elettrica delle macchine Certificazione e marchio e in confomità con la Direttiva Macchine Norme da applicare per la progettazione delle macchine Norme da applicare in base al tipo di progettazione scelta per il sistema di comando relativo alla sicurezza. Nota: L utilizzo di una di queste norme presume la conformità alla nuova direttiva 00//EC. EN/IEC 00-: Apparecchiatura elettrica delle macchine La norma EN/IEC 00- completa le norme di sicurezza fornendo regole di messa in servizio per ciascun componente elettrico della macchina. Specifica, tra le altre cose: il tipo di morsetti di collegamento e i dispositivi di frenatura, il tipo di protezione contro gli choc elettrici, il tipo di circuiti di comando, il tipo di conduttori e regole di collegamento, il tipo di protezione motore. 0 /

11 Rischio residuo Rischio tollerabile Rischio iniziale Norme da applicare (segue) Rischi e sicurezza La sicurezza è l assenza di rischi che potrebbero causare una lesione o un danno alla salute del personale. La sicurezza funzionale è una parte della sicurezza che dipende dal corretto funzionamento delle funzioni di sicurezza. Livello di rischio Necessità di riduzione del rischio Riduzione del rischio Risultato raggiunto adottando misure di progettazione, sistemi relativi alla sicurezza e dispositivi esterni di riduzione del rischio Riduzione del rischio ad un livello tollerabile Secondo i requisiti della norma EN/ISO 00, il compito del progettista di una macchina consiste nel ridurre tutti i rischi ad un livello inferiore a quello del rischio tollerabile. Questa norma identifica due cause di fenomeni pericolosi: elementi di trasmissione del movimento, parti in movimento della lavorazione. Questa norma fornisce una linea guida per la scelta e l installazione di dispositivi utilizzabili per la protezione delle persone, identificando le misure implementate dal progettista e quelle che dipendono invece dall utilizzatore. Parti di trasmissione del movimento Parti in movimento che contribuiscono alla lavorazione (ad esempio: strumenti) Le misure adottate dal progettista possono essere: inerenti alla progettazione, la scelta di protezioni e misure aggiuntive, compresi i sistemi di comando, informazioni per gli utilizzatori. Le misure adottate dall utilizzatore possono essere (lista non completa): organizzazione, procedure, ecc..., dispositivi di protezione delle persone, formazione. Sì È possibile rendere questi elementi totalmente inaccessibili durante la fase di lavorazione? No Protezioni fisse o protezioni di interblocco mobili con o senza blocco della protezione Protezioni fisse o protezioni fisse associate ad un dispositivo di interblocco o dispositivo di protezione Protezioni fisse o protezioni mobili in zone dove il personale non lavora e protezioni regolabili in zone dove il personale lavora Scelta del sistema di protezione (ISO 00: 00) 0 /

12 Generalità Sicurezza delle persone e delle macchine Valutazione del rischio delle macchine Rischio relativo al potenziale pericolo Definizione di rischio Gravità del possibile danno Probabilità che si verifichi un evento in grado di causare un danno pericoloso Valutazione del rischio delle macchine Legislazione europea bble macchine sono fonti di rischio potenziale e la Direttiva Macchine richiede una valutazione del rischio che permetta di garantire la riduzione dello stesso ad un livello inferiore a quello accettabile. La norma EN/ISO 00 definisce il rischio nel seguente modo: il rischio è la gravità moltiplicata per la possibilità di comparsa. La norma definisce un processo interattivo per realizzare la sicurezza delle macchine in base al quale il rischio per ciascun potenziale pericolo può essere determinato in quattro tappe. Questo metodo fornisce le basi per la riduzione del rischio. Inizio Determinazione dei limiti della macchina Valutazione del rischio Identificazione dei potenziali pericoli Stima del rischio Valutazione del rischio Sì Stima del rischio Valutazione del rischio La valutazione del rischio consiste in una serie di fasi logiche che rendono possibile analizzare e valutare sistematicamente i rischi correlati alle macchine. La valutazione del rischio è seguita, ove necessario, da una riduzione del rischio. Questa definizione, estratta dalla norma EN/ISO 00, si basa su un processo interattivo rappresentato nello schema a fianco riportato. Determinazione dei limiti della macchina La valutazione del rischio inizia con la determinazione dei limiti della macchina in tutte le fasi del suo ciclo di vita: trasporto, assemblaggio, installazione, messa in servizio, impiego, messa fuori servizio, smantellamento. È necessario specificare i limiti d impiego: modi di funzionamento, livello di formazione necessario, limiti di spazio (ampiezza, movimento, ecc...), limiti temporali (ciclo di vita, frequenza di manutenzione, ecc...). La macchina è sicura? No Riduzione del rischio Fasi logiche dell analisi dei rischi FIne Identificazione del potenziale pericolo Se esiste un potenziale pericolo e se non vengono prese le adeguate misure, un evento pericoloso provocherà un danno. È necessario identificare tutte le funzioni associate al ciclo di vita della macchina: assemblaggio, trasporto e installazione, regolazione, test, apprendimento, programmazione, sostituzione utensili, rimozione del prodotto dalla macchina, avviamenti, arresti, arresti di emergenza, riavvii in seguito ad arresti imprevisti, manutenzione, pulizia, ecc... 0 /

13 Probabilità che si verifichi un danno Valutazione del rischio delle macchine (segue) Valutazione del rischio (segue) Stima del rischio Il rischio è una funzione della gravità del danno e della probabilità che quest ultimo si verifichi. Rischio Gravità del danno Esposizione della o delle persone a eventi pericolosi Comparsa di un evento pericoloso Possibilità di evitare o limitare il danno bbla gravità del danno tiene conto: della gravità del danno fisico (lieve, serio, mortale), dell estensione del danno (numero di persone). bbla probabilità che si verifichi un danno tiene conto: dell esposizione al pericolo (tipo di accesso, tempo trascorso all interno della zona pericolosa, numero di persone esposte, frequenza di accesso, ecc...), della comparsa di un evento pericoloso (storico incidenti, comparsa di rischi, ecc...), della possibilità di evitare o limitare il danno (esperienza, consapevolezza del rischio, ecc...). Elementi del rischio Valutazione del rischio Sulle basi del processo di stima del rischio il progettista deve definire i sistemi di comando relativi alla sicurezza. Per raggiungere questi obbiettivi, il progettista sceglierà una della due norme adatte all applicazione: la norma EN/ISO -, che definisce il livello di prestazione (PL), o la norma EN/IEC 0, che definisce il livello d integrità di sicurezza (SIL). Riduzione del rischio Il processo di riduzione del rischio per gli eventi pericolosi inizia con: la prevenzione intrinseca (progettazione inerente la sicurezza), la scelta dei mezzi di protezione adatti (protezioni, carter mobili, guide, ecc...), la formazione del personale. Se la misura di prevenzione scelta dipende da un sistema di sicurezza, il progettista dovrà eseguire un processo interattivo per la progettazione di questo sistema di comando di sicurezza. λ tasso di guasti del sistema di comando λ D tasso di guasti pericolosi λ DU tasso di guasti pericolosi non rilevati λ DD tasso di guasti pericolosi rilevati λ S tasso di guasti non pericolosi λ SU tasso di guasti non pericolosi non rilevati λ SD tasso di guasti non pericolosi rilevati Analisi della probabilità di guasti b b La prima fase consiste nel definire le necessarie funzioni di comando relative alla sicurezza: attraverso la scelta dei componenti, o adattando l architettura del sistema di comando. La funzione di ridondanza (componenti doppio circuito) ad esempio, aumenta in modo significativo l affidabilità del sistema. bbuna volta raggiunti i limiti delle tecnologie disponibili, non sarà possibile ridurre ulteriormente il tasso di guasti pericolosi.per raggiungere il livello di sicurezza richiesto, sarà necessario utilizzare un sistema di diagnostica in grado di rilevare i guasti pericolosi. 0 /

14 Generalità Sicurezza delle persone e delle macchine Norma da applicare in funzione della progettazione del sistema di comando relativo alla sicurezza Norma da applicare in funzione della progettazione del sistema di comando relativo alla sicurezza Norme di sicurezza da adottare in base al tipo di architettura scelto Sulla base della definizione generica di rischio, le norme classificano il livelli di sicurezza necessari in diversi livelli distinti ciascuno corrispondente ad una probabilità di guasto pericoloso all ora: PL (Livello di prestazione) per la norma EN/ISO -, SIL (Livello d integrità della sicurezza) per la norma EN/IEC 0. Nella tabella seguente viene riportata la relazione tra il livello di prestazione (PL) e il livello d integrità della sicurezza (SIL). PL ISL Probabilità di guasti pericolosi per ora a Nessuna corrispondenza u 0 - < 0 - b u x 0 - < 0 - c u 0 - < x 0 - d u 0 - < 0 - e u 0 - < 0 - Per poter scegliere la norma applicabile, una tabella comune ad entrambe le norme fornisce indicazioni riassunte di seguito: EN/ISO - EN/IEC 0 Tecnologia utilizzata PLmax raggiungibile SIL max raggiungibile Non solo elettrica, ad esempio idraulica e Non prevista Anche elettromeccanica, ad esempio relè e/o dispositivi elettronici non complessi Anche elettronica complessa, ad esempio programmabile e d Per realizzare specifici sotto-sistemi complessi o per requisiti di livello superiore compreso il software, è necessario applicare la norma EN/IEC 0 relativa ai sistemi. 0 /0

15 Norma da rispettare in funzione della progettazione del sistema di comando relativo alla sicurezza (segue) La progettazione di un sistema di comando relativo alla sicurezza che tenga conto dei requisiti delle norme di sicurezza, può sembrare molto complessa. Guideremo il lettore attraverso questo processo illustrando: bble basi e lo sviluppo delle norme, bble norme di sicurezza da rispettare in base al tipo di architettura scelto, bble apparecchiature macchine e il cablaggio. asi e sviluppo delle norme In un sistema complesso come ad esempio una raffineria, per garantire le funzioni di protezione non è più sufficiente prendere in considerazione solo i sottosistemi; il guasto di un sotto-sistema potrebbe rivelarsi catastrofico per le persone e per l ambiente. L approccio è quindi più globale. Prendendo in considerazione l intero ciclo di vita di sicurezza, la norma EN/IEC 0 riguarda i sistemi di comando relativi alla sicurezza, comprese le regole di sicurezza, le specificazioni tecniche, la gestione e la formazione del personale. Sulla base dell esperienza maturata con i sistemi, l ente normativo, in linea con la norma EN/IEC 0, ha sviluppato la norma EN/IEC 0 che applica i principi della sicurezza funzionale alla progettazione dei sistemi di comando relativi alla sicurezza per le macchine. Questa norma offre due importanti vantaggi: comprende, per fornire le funzioni di sicurezza, le nuove tecnologie di elettronica ed elettronica programmabile, è compatibile con la norma base EN/IEC 0 ed è stata quindi resa sempre più specifica per le macchine dagli utilizzatori stessi. Allo stesso tempo, la norma EN/ISO -, in vigore dal 00, ha apportato numerosi miglioramenti, e soprattutto, in modo coerente e in accordo con le norme di sicurezza in generale. 0 /

16 Generalità Sicurezza delle persone e delle macchine Norma EN/ISO - Sicurezza macchine - Parti dei sistemi di comando legate alla sicurezza (SRP/CS) Aperto Norma EN/ISO - Sicurezza macchine - Parti dei sistemi di comando legate alla sicurezza La norma EN/ISO - è un evoluzione della norma EN -. Per chiarezza, presenteremo solo un analisi semplificata di questa nuova versione. Campo di applicazione della norma Chiuso Questa norma fornisce prescrizioni di sicurezza e consigli sui principi di progettazione e integrazione delle parti dei sistemi di comando relative alla sicurezza (SRP/CS), compresa la progettazione software. Per queste parti di sistema la norma specifica delle categorie e ne descrive le caratteristiche, compreso il livello di prestazione, necessarie a realizzare le funzioni di sicurezza. Questa norma è applicabile a tutte le parti dei sistemi di comando relative alla sicurezza (SRP/CS) di qualsiasi tipo di macchina, indipendentemente dal tipo di tecnologia e energia utilizzata (elettrica, idraulica, pneumatica, meccanica, ecc...). Procedimento Esempio di applicazione La valutazione del rischio, come definito nella norma EN/ISO 00 porta all identificazione delle funzioni di sicurezza necessarie a ridurre il rischio. Se queste misure dipendono da un sistema di comando, allora è possibile applicare la norma EN/ISO 00 che prevede una successione di sei fasi logiche. - Identificazione delle funzioni di sicurezza essenziali che le parti dei sistemi di comando relative alla sicurezza (SRP/CS) devono svolgere. Per ciascuna funzione di sicurezza, specificare le caratteristiche richieste. - Determinazione del Performance Level richiesto (PLr) per ciascuna funzione di sicurezza. - Progettazione e creazione tecnica delle funzioni di sicurezza: identificazione della combinazione delle parti del controllo relative alla sicurezza che svolgono la funzione di sicurezza. - Valutazione del Performance Level PL di tutte le parti del controllo relative alla sicurezza. - Verifica che il PL del SRP/CS per la funzione di sicurezza sia almeno pari al Performance Level richiesto PLr. - Confermare che siano soddisfatti tutti i requisiti delle funzioni di sicurezza. Funzioni di sicurezza Per illustrare queste fasi, utilizzeremo l esempio di un apertura della protezione con conseguente arresto del motore della macchina. La macchina è potenzialmente pericolosa; l assenza di protezione può comportare il rischio di amputazione del braccio dell operatore. Evento: apertura della porta Contatto protezione obina contattore Rappresentazione della funzione di sicurezza Poli potenza Input Elaborazione Output Azione: arresto del motore Fase - Scelta delle funzioni di sicurezza Lo schema riportato a fianco illustra una funzione di sicurezza composta da più elementi: l ingresso (input) azionato dall apertura della protezione (SRP/CSa), la logica di comando, limitata in questo esempio all apertura o chiusura di una bobina contattore (SRP/CSb), l uscita (output) potenza che controlla il motore (SRP/CSc), i collegamenti (Iab, Ibc). Fase - Determinazione del Performance Level richiesto (PLr) Per il nostro esempio di funzione di sicurezza utilizzeremo il grafico di stima del rischio. 0 Rischio legato al potenziale pericolo Analisi del rischio Gravità dei danni legati al potenziale pericolo Probabilità di comparsa - frequenza e durata di esposizione - possibilità di limitare o evitare la probabilità di comparsa dell evento che può provocare danni I parametri da prendere in considerazione sono: vvs gravità della lesione S lesione non grave, generalmente reversibile, S lesione grave, incapacità permanente, decesso. vvf Presenza nella zona pericolosa (frequenza e durata di esposizione) F Da raro ad abbastanza frequente e/o tempo di esposizione breve, F Da frequente a permanente e/o tempo di esposizione lungo. vvp Possibilità di prevenzione. P possibile in alcune circostanze P quasi impossibile. Il risultato della stima (in blu nel disegno riportato nella pagina a lato) fornisce un livello di prestazione richiesto PLr = e. /

17 Stima del livello di prestazione richiesto Punto di partenza per la stima L asso contributo alla riduzione del rischio PLr Livello di prestazione richiesto H Alto contributo alla riduzione del rischio Stima Legenda: im elementi di interconnessione c monitoraggio incrociato I, I, I Dispositivo d input; ad esempio: sensore L, L, L Logica m Monitoraggio O, O, O Dispositivo di output, ad esempio: contattore principale TE Apparecchiatura test OTE Output di TE Norma EN/ISO - Sicurezza macchine - Parti dei sistemi di comando legate alla sicurezza (segue) Procedimento (segue) Fase Progettazione e creazione delle funzioni di sicurezza A questo punto, è necessario descrivere il metodo di calcolo del PL. Il PL viene definito in termini di probabilità di guasto pericoloso all ora: PL Probabilità di guasto pericoloso all ora a u0 - < 0 - b u x 0 - < 0 - c u 0 - < x 0 - d u0 - < 0 - e u0 - < 0 - Il PL delle parti del controllo relative alla sicurezza SRP/CS (o di un associazione di SRP/CS) progettate secondo i requisiti dell articolo potrebbe essere stimato con il disegno raffigurato nella pagina seguente, valutando numerosi fattori quali : - struttura hardware e software del sistema (categorie), - il meccanismo dei guasti, copertura diagnostica (DC), - l affidabilità dei componenti, tempo medio prima di un guasto pericoloso (MTTF d ), - le cause comuni di guasto (CCF). bbcategorie (Cat.) e architetture progettate La tabella sotto riportata riassume il comportamento del sistema in caso di guasto e i principi utilizzati per raggiungere la sicurezza, per le categorie definite: Cat. Comportamento del sistema Architetture progettate Un guasto può comportare una perdita i della funzione di sicurezza. I m i L m O Come per la categoria anch essa può portare ad una perdita della funzione di sicurezza ma con una più alta affidabilità. La perdita della funzione di sicurezza è i rilevata dal controllo. Il verificarsi di un m I guasto può comportare la perdita della L i m O funzione di sicurezza tra gli intervalli di m controllo. i TE m OTE Quando si verifica un singolo guasto, la funzione di sicurezza viene sempre garantita. Alcuni ma non tutti gli errori vengono rilevati. Un accumulo di errori non rilevati può comportare la perdita della funzione di sicurezza. La funzione di sicurezza viene sempre garantita anche in caso di uno o più guasti. I guasti vengono rilevati in tempo utile per prevenire la perdita della funzione di sicurezza. m i I m L O c I i m L m i m O I i m L m i m O c m i m I L i m O bb MTTF d (Tempo Medio dei Guasti Pericolosi) Il valore del MTTF d di ciascun canale viene dato in livelli (vedere tabella sotto) e deve essere preso in considerazione individualmente per ciascun canale (ad esempio un canale singolo, ciascun canale di un sistema ridondante). Livelli di affidabilità dei componenti Indice Gamma asso anni y MTTF d < 0 anni Medio 0 anni y MTTF d < 0 anni Alto 0 anni y MTTF d < 00 anni 0 /

18 Generalità Sicurezza delle persone e delle macchine Norma EN/ISO - Sicurezza macchine - Parti dei sistemi di comando legate alla sicurezza (SRP/CS) (segue) Norma EN/ISO - Sicurezza macchine - Parti dei sistemi di comando legate alla sicurezza (segue) Processo (segue) Fase - (segue) bbcopertura diagnostica: questo termine viene espresso in percentuale e indica l efficacia del monitoraggio dei guasti pericolosi di un sistema. Ad esempio, in caso di saldatura di un contatto di apertura NC di un relè, lo stato del contatto in chiusura NO potrebbe indicare in modo non corretto l apertura del circuito a meno che il relè abbia dei contatti NO e NC legati meccanicamente in modo da garantire che i contatti in apertura ed i contatti in chiusura non si chiudano mai contemporaneamente. La norma riconosce quattro livelli: Copertura diagnostica Indice Gamma copertura diagnostica DC Nessuno < 0% asso da >0% a <0% Medio da >0% a <% Alto >% bbrelazione tra Categorie, DC e MTTF d di ciascun canale e il PL Categorie DC PFHD Livello di prestazione PL nullo nullo basso medio basso medio alto MTTF d : basso medio alto u 0 - < 0 - u 0 - < 0 - u 0 - < 0 - u 0 - < 0 - Evento: apertura della porta Input Input Canale Elaborazione Elaborazione Canale Schema funzionale dell esempio Output Output Azione: arrestodel motore vvnel nostro esempio, per raggiungere il PL = e, la soluzione dovrà quindi corrispondere alla categoria con circuito ridondante; lo schema funzionale, con due canali in parallelo, è riportato qui a fianco, vvcapacità di diagnostica elevata, vv MTTF d alto. Per la nostra applicazione, potremmo suggerire uno schema relè ridondante, ma oggi è più facile utilizzare blocchi funzione di sicurezza. La soluzione è illustrata qui di seguito. Aperto Chiuso 0 Schema di applicazione dell esempio Il processo suggerito dalla norma è interattivo e, richiede comunque alcune valutazioni necessarie per ottenere il risultato desiderato. Per ottenere il livello di prestazione richiesto, è stata scelta una soluzione con circuito ridondante. /

19 Norma EN/ISO - Sicurezza macchine - Parti dei sistemi di comando legate alla sicurezza (segue) Processo (segue) Fase - Valutazione del livello di prestazione PL per ciascuna parte del sistema legata alla sicurezza Sulla base delle informazioni del catalogo fornitori e sull allegato E della norma, si ottengono i seguenti valori: Esempio 0 (numero di cicli operativi) / tasso di MTTF d DC guasti pericolosi SRP/CS a : finecorsa di sicurezza / 0% 0 % SRP/CS b : modulo di sicurezza -.,% XPS AK SRP/CS c : contattore LCK / % % Per prodotti elettromeccanici, l MTTF d si calcola sulla base del numero totale di cicli operativi che il prodotto può effettuare, utilizzando i valori 0d : In questo caso, la macchina funziona per 0 giorni all anno, ore al giorno con un tempo di ciclo di 0 s. N = 0 x x (00 / 0) = 0 00 cicli operativi/giorno MTTF d = 0d / (0. x N) and 0d = 0 / % guasti pericolosi. Per i finecorsa di sicurezza, l MTTF d = ( / 0.0 x ) / (0.) x 0 00 = 0 anni Per i contattori, l MTTF d = ( / 0. x ) / (0.) x 0 00 = anni L MTTF d per ciascun canale verrà quindi calcolato utilizzando la formula: Ad esempio anni per ciascun canale. Per calcolare la capacità di diagnostica viene utilizzata una formula simile. Il risultato del calcolo applicato al nostro esempio è un valore del % Fase - Verifica che il livello di prestazione richiesto sia stato raggiunto Il risultato dei calcoli sopra riportati viene riassunto qui di seguito: vvun architettura ridondante: categoria, vvtempo medio prima di un guasto > 0 anni: MTTF d alto, vvuna capacità di diagnostica del %: DC alto. Osservando questa tabella possiamo confermare che il livello e del PL è stato raggiunto: Categoria DC nullo nullo basso medio basso medio alto Verifica del PL Fase - Convalida del livello di prestazione richiesto La progettazione SRP/CS deve essere convalidata e deve mostrare che l associazione delle parti del sistema di comando SRP/CS che realizzano ogni funzione di sicurezza soddisfa i requisiti applicabili della norma EN/ISO. 0 /

20 Generalità Sicurezza delle persone e delle macchine Norma EN/IEC 0 Sicurezza macchine - Sistema Elettrico di Controllo relativo alla Sicurezza (SRECS) Norma EN/IEC 0 Sicurezza macchine - Sistema Elettrico di Controllo relativo alla Sicurezza (SRECS) Sicurezza funzionale dei sistemi di controllo elettrici, elettronici ed elettronici programmabili relativi alla sicurezza Campo di applicazione della norma I sistemi elettrici di controllo relativi alla sicurezza nelle macchine (SRECS) giocano un ruolo sempre più importante nel campo della sicurezza generale delle macchine e utilizzano sempre più frequentemente una tecnologia elettronica complessa. La norma IEC/EN 0 è specifica del settore macchine nel quadro della norma EN 0. Fornisce requisiti e consigli per l integrazione dei sotto-sistemi di comando progettati in conformità con la norma EN/ISO. Non specifica i requisiti di funzionamento dei componenti di controllo non elettrici delle macchine (ad esempio: componenti idraulici, pneumatici). Approccio funzionale alla sicurezza Come per la norma EN/ISO -, il procedimento parte dall analisi dei rischi (EN/ISO 00) per stabilire i requisiti di sicurezza. Una caratteristica specifica della norma EN/IEC 0 è quella di spingere in prima istanza l utilizzatore ad effettuare un analisi dell architettura necessaria a realizzare le funzioni di sicurezza, quindi a prendere in considerazione le sottofunzioni e ad analizzare le interazioni prima di procedere alla scelta di una soluzione hardware per il sistema di controllo elettrico di sicurezza della macchina (SRECS). bbper ogni progetto la norma richiede un Piano di sicurezza funzionale documentato che includa: vvlo sviluppo della specifica della funzione di comando di sicurezza (SRCF) divisa in due parti: una specifica dei requisiti funzionali con descrizione di funzioni e interfacce, modi operativi, priorità di funzionamento, frequenza di utilizzo, ecc. una specifica dei requisiti di integrità della sicurezza per ogni funzione, espressi in livelli di integrità della sicurezza (SIL o Livello di integrità della sicurezza). La tabella sotto riportata mostra le probabilità di guasto pericoloso per ogni livello SIL. SIL Probabilità di guasto pericoloso all ora (PFHd) u < 0 - u < 0 - u < 0 - vvil processo di progettazione e documentazione del sistema di controllo elettrico di sicurezza della macchina (SRECS), vvle procedure e risorse per la registrazione e l aggiornamento delle informazioni, vvil processo di gestione e modifica della configurazione, che tenga conto dell organizzazione e del personale autorizzato, vvil piano di verifica e validazione. bbsicurezza funzionale I vantaggi di questo approccio sono rappresentati dalla possibilità di offrire un metodo di calcolo comprendente tutti i parametri che possono influire sull affidabilità dei sistemi di controllo. Il metodo consiste nell assegnare un livello SIL ad ogni funzione, tenendo conto dei seguenti parametri: la probabilità di guasto pericoloso dei componenti (PFHD), il tipo di architettura (A,, C o D), con o senza ridondanza, con o senza funzioni di diagnostica che permettono il controllo di alcuni dei guasti pericolosi, le Cause Comuni di Guasto (CCF) quali interruzioni dell alimentazione, sovratensione, perdita della rete di comunicazione, ecc., la probabilità di trasmissione di errori pericolosi in caso di utilizzo di comunicazione digitale, le interferenze elettromagnetiche (EMC). 0 /

21 Norma EN/IEC 0 Sicurezza macchine - Sistema Elettrico di Controllo relativo alla Sicurezza (SRECS) (segue) Procedimento Rischio correlato al pericolo identificato Gravità del potenziale danno Se Parametri di valutazione del rischio Probabilità che si verifichi il danno Frequenza e durata di esposizione al pericolo Fr Probabilità che si verifichi l evento pericoloso Pr Probabilità di evitare o limitare il danno Av La procedura di progettazione di un sistema prevede cinque fasi successive alla realizzazione del piano di sicurezza funzionale: - in base alla valutazione del rischio (SRS), assegnare un livello di integrità della sicurezza (SIL) e identificare la struttura base del sistema di controllo elettrico (SRECS), descrivendo inoltre ogni funzione di controllo relativa alla sicurezza (SRCF) ad esso correlata, - scomporre ogni funzione di controllo relativa alla sicurezza in blocchi funzionali (F), - dettagliare le prescrizioni di sicurezza per ogni blocco funzionale, assegnando i blocchi funzionali ai sottosistemi dell architettura - selezionare i dispositivi per ciascun sottosistema, - progettare le funzioni diagnostiche come prescritto e verificare il raggiungimento del livello di integrità (SIL) richiesto. Utilizzeremo l esempio precedentemente analizzato in cui prendiamo in considerazione una funzione di interruzione dell alimentazione di un motore successiva all apertura di un riparo o protezione. In caso di incidente si verifica la perdita dello stato sicuro con rischio di amputazione del braccio dell operatore. bbfase - Asssegnazione di un livello di integrità della sicurezza (SIL) e identificazione della struttura dello SRECS proposto. In base alla valutazione del rischio eseguita in conformità con la norma EN/ISO 00, viene effettuata la stima del livello di integrità della sicurezza SIL richiesto per ogni funzione di controllo relativa alla sicurezza (SRCF), scomponendola successivamente in parametri, come mostrato dallo schema a lato. vvgravità o severità Se La gravità dei possibili danni o lesioni alla salute può essere valutata in base alle conseguenze della ferita che può essere leggera (di solito reversibile), seria (di solito irreversibile) o portare alla morte. La classificazione è indicata nella tabella sottostante. SRECS Sistema di comando relativo alla sicurezza Input Elaborazione Output Sotto-sistemi Componenti sotto-sistema Fase : Struttura base del sistema di comando elettrico Consequenze Gravità Se Irreversibile: morte, perdita di un occhio o di un braccio Irreversibile: rottura di un arto, perdita delle dita Reversibile: necessità di intervento medico Reversibile: necessità di pronto soccorso vvprobabilità di lesioni Ciascuno dei tre parametri di rischio Fr, Pr, Av viene stimato separatamente basandosi sul caso più grave per ogni fattore. E consigliabile effettuare un analisi attenta della funzione per garantire che la stima della probabilità di lesione sia valutata in modo corretto. Frequenza e durata di esposizione Fr Il livello di esposizione al rischio è legato alla necessità di accedere alla zona pericolosa (funzionamento normale, manutenzione, ecc...) e alla modalità di accesso (alimentazione manuale, regolazione, ecc...). E quindi possibile stimare la frequenza e durata media di esposizione. La classificazione consigliata è indicata nella tabella sottostante: Frequenza di esposizione Fr y ora > ora... y giorno > giorno... y settimane settimane... y anno > anno Probabilità che si verifichi un evento pericoloso Pr. Occorre prendere in considerazione due concetti fondamentali: - la prevedibilità dei componenti pericolosi nelle diverse parti della macchina e nei diversi modi operativi (normale, manutenzione, ricerca e riparazione dei guasti), prestando particolare attenzione agli avviamenti inattesi; - il comportamento delle persone che interagiscono con la macchina, quali tensioni psichiche (stress), fatica, inesperienza, ecc... Probabilità che si verifichi un evento pericoloso Pr Molto alta Probabile Possibile Scarsa Trascurabile / 0

22 Generalità Sicurezza delle persone e delle macchine Norma EN/IEC 0 Sicurezza macchine - Sistema Elettrico di Controllo relativo alla Sicurezza (SRECS) (segue) 0 SRECS SIL Input Elaborazione Output Rilevamento protezione locco funzionale F Logica locco funzionale F Comando motore locco funzionale F Fase : Suddivisione in blocchi funzionali SRECS Sotto-sistema Rilevamento protezione Finecorsa di sicurezza Finecorsa di sicurezza Sotto-sistema Logica Sotto-sistema Comando motore Contattore Contattore Componenti sotto-sistema Fase : Assegnazione dei blocchi funzionali Norma EN/IEC 0 Sicurezza macchine - Sistema Elettrico di Controllo relativo alla Sicurezza (SRECS) (segue) Procedimento (segue) bbfase - (segue) Probabilità di evitare o limitare il danno Av. Questo parametro è legato alla progettazione della macchina. Tiene conto del verificarsi improvviso dell evento pericoloso, del tipo di rischio (taglio, temperatura, scossa elettrica), della possibilità di evitare fisicamente il pericolo e della possibilità per una persona di identificare un fenomeno pericoloso. Probabilità di evitare o limitare il danno Av Impossibile Scarsa Probabile vvassegnazione del SIL La stima può essere effettuata servendosi della tabella sottostante. Nel nostro esempio abbiamo un grado di severità (Se) poichè esiste il rischio di amputazione di un dito; questo valore è indicato nella prima colonna della tabella. Successivamente occorre sommare tra loro tutti gli altri parametri per scegliere una delle classi (colonne verticali della tabella). In tal modo otterremo: Fr = accesso più volte al giorno Pr = evento pericoloso probabile Av = probabilità di evitare il danno quasi impossibile Di conseguenza avremo una classe CI = + + = Il sistema elettrico di controllo relativo alla sicurezza (SRECS) della macchina deve realizzare questa funzione con un livello di integrità SIL. Stima del SIL Se Classe CI SIL SIL SIL SIL SIL - - SIL SIL SIL SIL SIL SIL vvstruttura base del sistema di controllo SRECS Tralasciando di analizzare in dettaglio i componenti hardware da utilizzare il sistema viene suddiviso in due sottosistemi. In questo esempio sono necessari sottosistemi per l esecuzione delle funzioni di input, elaborazione e output. Lo schema sottostante mostra questa fase, indicando i termini esatti della normativa. bbfase - Suddivisione di ogni funzione di sicurezza in blocchi funzionali (F) Un blocco funzionale (F) è il risultato di una scomposizione dettagliata della funzione relativa alla sicurezza. La struttura del blocco funzionale mostra il concetto iniziale dell architettura dello SRECS. I requisiti di sicurezza di ogni blocco derivano dalla specifica dei requisiti di sicurezza della funzione di controllo relativa alla sicurezza. bbfase - Dettagliare le prescrizioni di sicurezza per ogni blocco funzionale ed assegnare i blocchi funzionali ai sottosistemi dell architettura. Ciascun blocco funzionale viene assegnato ad un sottosistema dell architettura del sistema SRECS. Se un sottosistema si guasta si ha il mancato funzionamento della funzione di controllo relativa alla sicurezza. Ad ogni sottosistema è possibile assegnare più di un blocco funzionale. Ogni sottosistema può comprendere elementi del sottosistema e, se necessario, funzioni di diagnostica per assicurare che i guasti possano essere rilevati per consentire di intraprendere un azione immediata corretta. Le funzioni di diagnostica (D) sono considerate funzioni separate e possono essere elaborate dal sottosistema o da un altro sottosistema interno o esterno. /

23 Rilevamento SS Sotto-sistema SS. SS. Logica SS Sotto-sistema Fase : Selezione dei componenti Elemento sotto-sistema Sotto-sistema tipo A Comando motore SS Sotto-sistema SS. SS. Elemento sotto-sistema n Norma EN/IEC 0 Sicurezza macchine - Sistema Elettrico di Controllo relativo alla Sicurezza (SRECS) (segue) Procedimento (segue) bbfase - Selezionare i componenti di ciascun sottosistema Vengono scelti i prodotti mostrati nel disegno a lato. Se i sensori e gli attuatori sono gli stessi dell esempio precedente, verrà scelto un modulo XPS AK. La durata del ciclo nel nostro esempio è di 0 secondi, il ciclo di azionamento C è di manovre all ora: la protezione verrà quindi aperta volte all ora. Dal momento che il livello d integrità della sicurezza richiesto per l intero sistema è il livello SIL, ciascuno dei componenti dovrà raggiungere questo livello. Il catalogo costruttore fornisce i seguenti valori: Finecorsa di sicurezza e : 0 = manovre, percentuale di guasti pericolosi = 0%, durata = 0 anni. Modulo di sicurezza: PFH d =. 0 - Contattori e : 0 = manovre, percentuale di guasti pericolosi = %, durata = 0 anni. Elemento sotto-sistema Elemento sotto-sistema Guasto di causa comune bbfase - Progettare la funzione di diagnostica Il SIL raggiunto dal sottosistema non dipende solamente dai componenti ma anche dall architettura scelta. Nel nostro esempio sceglieremo architetture e D. In questa architettura il modulo logico di sicurezza esegue l autodiagnostica e verifica anche i finecorsa. Sotto-sistema tipo Elemento sotto-sistema Elemento sotto-sistema n Vi sono tre sottosistemi per i quali determinare i livelli di sicurezza: vvss: due finecorsa in un sottosistema con architettura di tipo D (ridondante), vvss: un modulo logico SIL (scelto in base ai dati, incluso il PFHD, forniti dal costruttore), vvss: due contattori utilizzati in associazione con un architettura tipo (ridondante) Sotto-sistema tipo C Elemento sotto-sistema Elemento sotto-sistema Sotto-sistema tipo D Tipi di architettura di sotto-sistema Rilevamento SS Sotto-sistema SS. SS. Architettura D Funzione (i) di diagnostica Funzione (i) di diagnostica Logica SS Sotto-sistema Comando motore SS Sotto-sistema SS. SS. Architettura Guasto di causa comune Fase : Progettazione della funzione di diagnostica Data la complessità del metodo di calcolo, forniremo solo il risultato finale. Il calcolo tiene conto dei seguenti parametri: 0 : numero di cicli operativi dopo i quali il 0% dei dispositivi si sono guastati C: ciclo di azionamento (numero di manovre all ora) D : percentuale di guasti pericolosi ( = x tasso di guasti pericolosi) D β: fattore di Causa Comune, nel nostro esempio il 0 % ove il 0% rappresenta il caso peggiore (vedere allegato F). T: intervallo di verifica periodica o tempo di vita (il valore minore dei due specificato dal costruttore) T: intervallo delle prove diagnostiche DC: copertura Diagnostica = DD / D, ovvero il rapporto tra il tasso di guasto pericoloso rilevabile e il tasso di guasto pericoloso totale. Si otterrà: per SS PFH d =. E - per SS PFH d =.0 E - La probabilità totale di guasti pericolosi all ora è: PFH DSRECS = PFH DSS + PFH DSS + PFH DSS PFH DSRECS = , E - =. E - Corrisponde al risultato atteso (tabella sotto) di livello SIL =. Nota: se vengono utilizzati i contatti mirror dei contattori l architettura della funzione di controllo diventerà di tipo D (ridondante con feedback) e il SIL claim limit passerà da SIL a SIL. Verifica del livello SIL richiesto SIL Probabilità di guasto pericoloso all ora (PFHd) u < 0 - u < 0 - u < 0-0 /