Appunti System reliability, dependability and safety - parte 3

Sicurezza funzionale – functional safety

Safety e security sono due concetti diversi:

- Safety: implica la salvaguardia o la protezione da eventi o circostanze generalmente

indipendenti da precise volontà, eventi quindi accidentali.

- Security: implica la salvaguardia o la protezione da attacchi, aggressioni, danni contro

la persona o i beni, perpetrati volontariamente da individui o gruppi di persone con

l’intenzione di nuocere, a causa di contrapposizioni (belliche, razziali, ecc.) o a causa

di attività criminali e terroristiche.

La safety è necessaria perché nessun sistema fisico è in grado di garantire un coeEiciente di

errore pari a zero e l’errore umano non può essere eliminato.

Introduzione della safety

La Safety si induce attraverso l’applicazione di leggi e standard specifici, nati soprattutto a

partire dagli anni ’70. In quel periodo gli impianti industriali diventavano sempre più

complessi: i processi produttivi si innalzavano, venivano finanziati impianti di grandi

dimensioni e si faceva un uso crescente di materiali pericolosi.

All’inizio, però, mancava una vera forma di controllo capace di regolamentare tutte quelle

attività che avrebbero potuto favorire l’insorgere di guasti o fallimenti. Il metodo basato sullo

studio attraverso errori pratici diventava ormai inaccettabile, perché era necessario ridurre il

più possibile le conseguenze dei fallimenti.

Un momento importante fu l’incidente di Flixborough, avvenuto nel giugno 1974, che causò

28 morti. Dopo questo evento si sviluppò una maggiore attenzione verso la necessità di

adottare sistemi eEicaci di salvaguardia, anche se rimaneva forte la preoccupazione per i

costi delle apparecchiature di sicurezza.

Un altro evento decisivo fu l’incidente di Seveso, avvenuto il 10 luglio 1976 in Italia, nello

stabilimento chimico ICMESA. In quell’occasione una valvola di sicurezza del reattore A-101

esplose, provocando la fuoriuscita di diossina nebulizzata. I casi di intossicazione

aumentarono progressivamente e tra i più colpiti vi furono i bambini; da questo episodio

prese rilievo anche la malattia chiamata cloracne.

Proprio in seguito a questi eventi nacquero le Direttive Seveso, direttive europee relative alla

limitazione del pericolo di incidenti rilevanti connessi a determinate sostanze pericolose,

recepite dagli Stati membri. La prima direttiva Seveso impose agli Stati membri di identificare

i propri siti a rischio di incidente rilevante.

La direttiva prevedeva il censimento degli stabilimenti a rischio e l’identificazione delle

sostanze pericolose. Stabiliva inoltre la presenza, in ogni stabilimento a rischio, di un piano di

prevenzione e di un piano di emergenza, la cooperazione tra i gestori per limitare l’eEetto

domino, il controllo dell’urbanizzazione attorno ai siti a rischio, l’informazione degli abitanti

delle zone limitrofe e l’esistenza di un’autorità incaricata dell’ispezione dei siti a rischio.

In base al tipo e alla quantità di sostanze pericolose presenti in un impianto, vengono quindi

individuati gli stabilimenti a rischio di incidente rilevante. Per questi impianti nascono

specifici piani di emergenza esterni, gestiti dai Vigili del Fuoco con il supporto degli ingegneri

nella loro stesura.

In sintesi, la Safety nasce dalla necessità di passare da una gestione basata sull’esperienza e

sugli errori a una gestione regolata, preventiva e strutturata, fondata su leggi, standard, piani

di emergenza, controlli e sistemi di salvaguardia.

Definizione IEC 61508:

- La sicurezza è l’assenza di un rischio inaccettabile di lesioni fisiche o danni alla salute

delle persone, sia direttamente, sia indirettamente come conseguenza di danni a beni

o all’ambiente.

- La sicurezza funzionale è parte della sicurezza complessiva e dipende dal corretto

funzionamento di un sistema o di un’apparecchiatura in risposta ai suoi input.

Definizione di Functional Safety

- È la parte della sicurezza complessiva che dipende dal corretto funzionamento di un

sistema o di un’apparecchiatura in risposta ai suoi input.

- È la parte della sicurezza che dipende da sistemi o dispositivi che operano

correttamente in risposta agli ingressi.

Functional safety sono tutti quei sistemi di sicurezza attivi che rientrano nelle tecniche di

riduzione dei rischi. Sono dei dispositivi che reagiscono ad uno stato che dal monitoraggio è

apparso sbagliato e tentano di renderlo sicuro.

Safety Instrumented Systems (SIS) e Safety Integrity Level (SIL)

SIS è coperto dallo standard IEC 61508 ed è suddiviso in 7 volumi.

Standard IEC 61508:

1. Requisiti generali

2. Requisiti hardware

3. Requisiti software

4. Definizioni

5. Esempi

6. Linee guida per applicare 2 e 3

7. Tecniche e contromisure per ottimizzare la progettazione dei dispositivi.

Lo standard identifica come devono essere realizzati i SIS, spiega le tecniche di progettazione

e come stabilire la bontà delle funzioni di sicurezza che questi realizzano: questa viene

misurata con i SIL, suddivisi in 4 classi da SIL1 (livello peggiore di sicurezza) a SIL4 (livello

migliore di sicurezza). L’assegnazione del livello SIL alla funzione di sicurezza viene fatta

attraverso un altro parametro, che può essere il Probability of Failure on Demand (PFD) o il

Probability of Failure per Hour (PFH).

Cioè si ha un SIS che deve eseguire una o più funzioni di sicurezza. Ogni singola funzione di

sicurezza deve essere etichettata con un livello SIL, un certo livello viene assegnato in base ai

valori di un certo parametro, la PFD/PFH. In particolare:

- PFD è calcolato “low demand mode of operation”, cioè si può utilizzare solo per

sistemi di sicurezza che entrano in funzione al massimo una volta l’anno.

- PHD è calcolato per sistemi di sicurezza “high demand or continuous mode of

operation”, cioè che possono entrare in funzione anche più volte l’anno.

Nota bene: se il sistema di sicurezza opera su due funzioni di sicurezza diverse lo stesso anno

è sempre considerato low demand, perché il SIL si riferisce alla singola funzione di sicurezza.

Perché non si fa tutto in SIL4?

In primis per una questione economica e poi perché non tutti i rischi portano allo stesso

danno, ovvero dal Risk Reduction Factor (RRF).

Andando da SIL1 a SIL4 ho un RRF più marcato, ma lo scelgo in base al rischio che devo

ridurre: è inutile usare un SIL4 se mi basta un SIL2, per esempio, per scendere sotto la soglia

di rischio tollerabile.

Il SIL è scelto in base al rischio tollerabile per lo specifico pericolo.

PFD – Probability of Failure on Demand

La PFD è l’inaEidabilità del dispositivo che realizza la funzione di sicurezza. Si trova

sviluppando la serie di Mac Laurin.

Cresce nel tempo fino a un punto massimo, che è il tempo in cui si fa un intervento di

manutenzione o un test, dopo si considera il sistema as good as new.

Safety Life Cycle

All’interno della 61508 si parla di Ciclo di vita della Sicurezza: si tratta anche qua di un

sistema ciclico che ha fine solo con la dismissione del sistema, perché i sistemi si sono

molto evoluti ed è sempre più richiesto il monitoraggio anche dopo l’installazione sul campo