Livello SIL e acronimi della Sicurezza Funzionale

Cosa sono le funzioni di sicurezza? Come si integrano all’interno di un sistema di sicurezza e come si calcola il livello SIL? Un approfondimento su alcuni acronimi della Functional Safety.

Acronimo di SIF

Una funzione strumentata di sicurezza (SIF, o Safety Instrumented Function) è una funzione di controllo specifica da implementare da parte di un sistema di sicurezza, che ha lo scopo di raggiungere o mantenere uno stato di sicurezza per l’EUC, in relazione a uno specifico evento pericoloso.
Le funzioni di sicurezza sono di diverse tipologie:

• Funzioni di protezione, funzioni di sicurezza che portano il sistema in uno stato sicuro prima dell’avvenimento di un evento pericoloso
• Funzioni di mitigazione, funzioni di sicurezza che portano il sistema in uno stato sicuro dopo l’avvenimento di un evento pericoloso
• Funzioni di controllo, funzioni di sicurezza che mantengono il sistema in uno stato sicuro durante il normale funzionamento

Acronimo di SIS

Un sistema strumentato di sicurezza (SIS, o Safety Instrumented System) è un insieme di dispositivi e software che eseguono una o più funzioni strumentate di sicurezza (SIF).
Un SIS è composto da varie parti:

• Sottosistema, entità del progetto architettonico di alto livello del SIS in cui il fallimento di un qualsiasi sottosistema comporta il fallimento di un SIF
• Elemento, parte di un sottosistema comprendente un singolo componente o un gruppo di componenti che svolge una o più funzioni di sicurezza
• Componente, parti elementari di un elemento (es. transistor, vite, guarnizione ecc.)
• Funzione strumentata di sicurezza, funzione di sicurezza con uno specifico livello di sicurezza, necessaria per raggiungere o mantenere lo stato sicuro, che può essere una funzione di protezione (o mitigazione) o di controllo.

Acronimo di SIL

Il SIL (acronimo di Safety Integrity Level) è definito come un livello discreto (da 1 a 4), corrispondente ad una gamma di valori di integrità di sicurezza, dove il livello di integrità di sicurezza 4 ha il più alto livello di integrità di sicurezza e il livello di integrità di sicurezza 1 ha il più basso.
I livelli di integrità di sicurezza sono utilizzati per specificare i requisiti di integrità di sicurezza delle funzioni di sicurezza da assegnare ai sistemi di sicurezza E/E/PE.
Un livello di integrità di sicurezza (SIL) non è una proprietà di un sistema, sottosistema, elemento o componente. La corretta interpretazione della frase “sistema di sicurezza SIL n” (dove n è 1, 2, 3 o 4) è che il sistema è potenzialmente in grado di supportare funzioni di sicurezza con un livello di integrità di sicurezza fino a n.

I parametri da considerare per il raggiungimento del target SIL sono:

• la probabilità media dell’avvenimento di un guasto pericoloso per la funzione di sicurezza (modo di funzionamento Low Demand, PFDavg)
• la probabilità media dell’avvenimento (per ora) di un guasto pericoloso per la funzione di sicurezza (modo di funzionamento High Demand, PFH)
• la probabilità media dell’avvenimento (per ora) di un guasto pericoloso per la funzione di sicurezza (modo di funzionamento Continuous Mode, PFH).

Modalità operative

Il modo di funzionamento è quindi definito come il modo in cui opera una funzione di sicurezza, che può essere:

• Low Demand Mode, in cui la funzione di sicurezza è svolta solo su richiesta, al fine di trasferire il EUC in uno stato di sicurezza specificato, e in cui la frequenza delle richieste non è superiore a una all’anno
• High Demand Mode, in cui la funzione di sicurezza è svolta solo su richiesta, al fine di trasferire il EUC in uno stato di sicurezza specificato, e in cui la frequenza delle richieste è maggiore di una all’anno
• Continuous Mode, dove la funzione di sicurezza mantiene l’EUC, Equipment Under Control, in uno stato di sicurezza come parte del normale funzionamento

Un esempio

La protezione da sovravelocità di una turbina a gas è una funzione di sicurezza generalmente progettata per funzionare in modalità a bassa domanda (la probabilità associata allo scenario di sovravelocità è solitamente considerata inferiore a una all’anno).
In questo caso l’obiettivo SIL sarà assegnato in termini di Probabilità media di Failure on Demand.

Secondo caso

Se la stessa turbina a gas viene utilizzata anche per pressurizzare la cabina dell’aereo, in questo caso la pressione è continuamente regolata per mantenere costante l’atmosfera interna indipendentemente dall’altitudine raggiunta dall’aereo. Il rischio associato alla perdita di pressione all’interno della cabina è l’ipossia.
In questo secondo caso il target SIL sarà assegnato in termini di Probabilità media di Continuous Mode.