IEC 61508

Lo IEC 61508 è uno standard internazionale che disciplina l'intero ciclo di vita dei prodotti e dei sistemi elettrici, elettronici o elettronici programmabili (E/E/PE) relativi alla sicurezza, inclusi la loro applicazione, progettazione, utilizzo e manutenzione.

È sviluppato dalla Commissione elettrotecnica internazionale (IEC) e ha come titolo Sicurezza funzionale dei sistemi elettrici / elettronici / elettronici programmabili relativi alla sicurezza.

L'IEC 61508 è uno standard generale che si applica a tutti i settori industriali. Esso definisce la sicurezza funzionale come parte della sicurezza complessiva di un sistema o di un'apparecchiatura sotto controllo, che dipende dal corretto funzionamento dei sistemi E/E/PE di sicurezza, da altri sistemi tecnologici di sicurezza e da misure di riduzione del rischio. Del sistema o dell'apparecchiatura sotto controllo viene valutato il livello di rischio di guasto con un approccio probabilistico, e cioè come funzione della frequenza o probabilità di accadimento del guasto e della gravità delle conseguenze del guasto stesso. Il rischio di guasto viene poi ridotto a un valore accettabile tramite funzioni di sicurezza che possono essere di tipo strumentale (E/E/PE, o Safety Instrumented Functions, o SIF), dispositivi meccanici o di altro tipo. L'IEC 61508 pone molta enfasi sui requisiti delle varie funzioni di sicurezza, ma in particolare su quelle elettroniche programmabili (Parte 3 dello standard).

Il concetto fondamentale è che un sistema relativo alla sicurezza deve funzionare correttamente oppure guastarsi in modo prevedibile e sicuro. L'approccio alla base dell'IEC 61508 è il seguente:

il rischio zero non può essere raggiunto, ma solo ridotto a un livello accettabile;

i livelli di rischio non accettabili devono essere ridotti (ALARP);

l'approccio alla valutazione e alla riduzione dei guasti è di tipo probabilistico, e tiene conto dell'impatto sulla sicurezza dei guasti dei sistemi E/E/PE;

un livello di sicurezza ottimale, anche dal punto di vista dei costi, viene raggiunto se pensato sull'intero ciclo di vita dei sistemi: lo standard introduce analisi e tecniche per evitare errori in tutte le fasi del ciclo di vita del sistema (concetto iniziale, analisi di rischio, progettazione, installazione, manutenzione, smantellamento e smaltimento), che potrebbero compromettere anche la più affidabile delle protezioni. Il Ciclo di Vita di Sicurezza (SLC – Safety Life-Cycle): è un processo ideato per ottimizzare la progettazione dei sistemi di sicurezza e per accrescere la sicurezza del sistema nel suo complesso, minimizzando la probabilità di introdurre guasti e/o errori sistematici nel sistema e preservandone l'integrità della sicurezza. Il Ciclo di Vita di Sicurezza definito nell'IEC-61508 è un processo ad anello chiuso, che prosegue fino alla dismissione del sistema e i cui controlli e analisi vengono continuamente eseguiti fintantoché il sistema è in esercizio e soprattutto ogniqualvolta il sistema viene modificato o aggiornato.

Il ciclo di vita globale di sicurezza proposto dall'IEC 61508 copre l'intero arco di vita del sistema ed è caratterizzato da 16 fasi collegate alla funzione di sicurezza del sistema (le fasi da 1 a 5 riguardano le attività di analisi, quelle da 6 a 13 le attività di realizzazione e quelle da 14 a 16 le attività di esercizio del sistema). Per ogni singola fase la norma prescrive le attività ed i passi che devono essere eseguiti, stabilisce l'informazione necessaria per compiere ogni passo e la documentazione che deve essere prodotta e indica le metodologie e le tecniche che debbono essere utilizzate.

L'IEC 61508 è formato da sette parti:

Parti 1–3: requisiti generali

Parte 4: definizioni

Parti 5–7: linee guida ed esempi

Analisi di rischio

L'IEC 61508 richiede un'analisi di rischio del sistema o dell'apparecchiatura sotto controllo e una valutazione del rischio accettabile per ciascuna modalità di guasto pericoloso. L'analisi di rischio può essere sia qualitativa sia quantitativa. Come base per le analisi di tipo qualitativo vengono suggerite delle categorie per la frequenza/probabilità di guasto e per la gravità delle conseguenze, riportate nelle prime due delle seguenti tabelle, che vengono poi combinate nelle categorie di rischio riportate nella terza tabella.

Categorie di frequenza di accadimento

Categorie di gravità delle conseguenze

Frequenze e conseguenze vengono combinate in una matrice di rischio, come da esempio seguente:

Dove:

Classe I: Rischio Inaccettabile in qualunque caso;

Classe II: Indesiderabile: tollerabile solo se implementare delle misure di riduzione del rischio risulta impraticabile o se i relativi costi sono decisamente sproporzionati rispetto al miglioramento che ne conseguirebbe;

Classe III: Tollerabile se il costo delle misure di riduzione del rischio risulta eccessivo rispetto al miglioramento che ne conseguirebbe;

Classe IV: Accettabile, sebbene venga richiesto comunque un monitoraggio.