Nella sicurezza di funzionamento, una funzione di sicurezza della macchina deve fare più che reagire una sola volta. Deve funzionare in modo affidabile nelle condizioni operative prevedibili e in caso di guasti.
È in questo contesto che i Performance Level, o PL, diventano importanti. Un Performance Level specifica la capacità delle parti legate alla sicurezza di un sistema di controllo di eseguire una determinata funzione di sicurezza. In pratica, ciò aiuta gli ingegneri a valutare se un circuito o un sottocircuito di sicurezza garantisce il livello richiesto di riduzione del rischio.
Questo articolo fornisce una panoramica compatta dei principali parametri utilizzati per determinare il Performance Level. È inteso come una guida tecnica, non come un sostituto per un'analisi del rischio specifica del progetto, una convalida o una revisione degli standard.
Un Performance Level descrive la capacità di un circuito di sicurezza di svolgere una funzione di sicurezza in condizioni prevedibili. I Performance Level sono specificati in cinque livelli distinti:
PL a rappresenta il livello più basso e PL e il livello più alto all'interno di questa classificazione.
I Performance Level sono determinati solo per circuiti o sottocircuiti di sicurezza completi. Non sono assegnati a componenti standard isolati senza considerare la funzione di sicurezza e l'architettura del circuito complessive.
Prima di poter valutare un Performance Level, occorre valutare il rischio della macchina. La valutazione del rischio definisce il livello richiesto di riduzione del rischio per ciascuna funzione di sicurezza.
Sulla base di tale valutazione del rischio, a ciascun circuito di sicurezza che esegue una funzione o una sottofunzione di sicurezza viene assegnato un Performance Level richiesto. Il Performance Level raggiunto del circuito implementato deve quindi essere valutato rispetto a tale requisito.
Questa sequenza è importante:
1. Identificare il pericolo
2. Determinare il Performance Level richiesto
3. Definire la funzione di sicurezza richiesta
4. Progettare il circuito o il sottocircuito di sicurezza
5. Valutare se il Performance Level raggiunto soddisfa il requisito
6. Convalidare la funzione di sicurezza nel contesto della macchina
Diversi parametri quantitativi e qualitativi influenzano il Performance Level raggiunto. La seguente panoramica spiega i più importanti.
La struttura di un circuito di sicurezza dipende dalla disposizione dei componenti, dalla diagnosi e dalle misure di affidabilità. Queste strutture sono suddivise in categorie da B a 4.
La categoria descrive quanto il circuito di sicurezza sia resistente ai guasti e come si comporta in caso si verifichi un guasto. Ad esempio, l'architettura è in grado di influenzare se un singolo guasto può comportare la perdita della funzione di sicurezza o se il guasto viene rilevato e gestito.
Il Tempo medio al guasto pericoloso, o MTTFD considera l'affidabilità dei componenti utilizzati nel circuito di sicurezza.
MTTFD si concentra sui guasti pericolosi. Questi sono guasti che possono impedire l'esecuzione corretta della funzione di sicurezza. I dati di affidabilità di tutti i componenti pertinenti alla sicurezza devono essere considerati nel contesto dell'intero circuito.
Copertura diagnostica, o DC, misura l'efficacia della diagnosi nel circuito di sicurezza.
Descrive la proporzione di guasti pericolosi che possono essere rilevati rispetto ai guasti pericolosi che rimangono non rilevati. In generale, un rischio maggiore richiede una diagnosi più efficace. Le misure di diagnosi possono quindi influire notevolmente sul Performance Level raggiunto.
I Guasti per causa comune, o CCF, si verificano quando due o più guasti separati sono causati dallo stesso problema.
Questo aspetto è particolarmente rilevante per i circuiti di sicurezza multicanale. Anche se due canali sono progettati separatamente, una causa comune come stress ambientale, installazione errata, supposizioni di progettazione inadeguate o un problema di alimentazione condiviso può influenzare entrambi i canali. Le misure contro i guasti dovuti a cause comuni aiutano a ridurre la probabilità che più canali si guastino per la stessa ragione.
Il comportamento di un circuito di sicurezza in condizioni di guasto deve essere valutato. Guasti e problemi importanti devono essere analizzati utilizzando metodi adeguati come:
A seconda dell'applicazione, della categoria del circuito e dei componenti selezionati, potrebbero essere necessarie ulteriori misure di progettazione o di diagnosi per soddisfare i requisiti della norma ISO 13849.
Se il software utente relativo alla sicurezza fa parte del sistema di comando, il processo di sviluppo deve includere misure per prevenire i guasti.
Un modello di sviluppo strutturato, come il modello a V, può supportare la specifica, l'implementazione, la verifica e la convalida. L'obiettivo è un software leggibile, comprensibile, testabile, manutenibile e il più possibile privo di difetti.
I guasti sistematici non sono guasti hardware casuali. Spesso sono il risultato di cause umane, legate ai processi o alla progettazione.
Esempi includono:
Un piano di sicurezza di funzionamento è uno degli strumenti più importanti per affrontare i guasti sistematici. Definisce le misure per prevenire specifiche, implementazioni, verifiche, convalide errate o successive modifiche delle funzioni correlate alla sicurezza.
La valutazione finale del Performance Level raggruppa tutti i parametri pertinenti. La panoramica dovrebbe mostrare come la categoria del circuito, l'MTTFD, la Copertura diagnostica, le misure di Guasto per causa comune, il comportamento in caso di guasto, la qualità del software e le misure per i guasti sistematici contribuiscano al PL raggiunto della funzione di sicurezza.
Valutare il Performance Level non è solo un esercizio di calcolo. Si tratta di un compito di progettazione della sicurezza che dipende dal contesto completo della macchina.
Lo stesso componente può comportarsi in modo diverso a seconda della funzione di sicurezza, della struttura del circuito, della diagnosi, del software, dell'ambiente e del sistema di convalida. Per tale motivo i circuiti relativi alla sicurezza dovrebbero essere valutati in relazione alle funzioni o alle sottofunzioni complessive, non ai componenti isolati.
Festo fornisce ai costruttori di macchine componenti di automazione, documentazione e conoscenze applicative di supporto durante il lavoro di progettazione relativo alla sicurezza. La responsabilità finale per la valutazione dei rischi, l'implementazione e la convalida resta del costruttore della macchina o del team di progettazione.