La sicurezza di una macchina non dipende soltanto da ripari, barriere e pulsanti di emergenza. Una parte decisiva della conformità riguarda i sistemi di comando che devono intervenire quando una funzione di sicurezza viene richiesta: arrestare un movimento pericoloso, impedire un riavvio inatteso, monitorare un riparo interbloccato, gestire una barriera fotoelettrica o comandare uno STO su un azionamento.
La norma EN ISO 13849-1 fornisce il metodo per progettare e verificare le parti dei sistemi di comando legate alla sicurezza, spesso indicate come SRP/CS, cioè safety-related parts of control systems. Il risultato finale della valutazione è il Performance Level, espresso da PL a, b, c, d oppure e, che rappresenta la capacità della funzione di sicurezza di ridurre il rischio in modo affidabile.
Cos’è la EN ISO 13849-1
La EN ISO 13849-1 è una norma di riferimento per la progettazione delle parti dei sistemi di comando che svolgono funzioni di sicurezza sulle macchine. La versione internazionale ISO 13849-1:2023 è la quarta edizione della norma e riguarda i principi generali di progettazione delle SRP/CS, compreso il software collegato alle funzioni di sicurezza.
La norma non stabilisce quali funzioni di sicurezza debbano essere presenti su una specifica macchina e non assegna automaticamente un PLr. Queste decisioni derivano dall’analisi dei rischi, dalle caratteristiche della macchina, dall’uso previsto, dagli usi scorretti ragionevolmente prevedibili e dalle eventuali norme di tipo C applicabili.
Per un costruttore, quindi, applicare EN ISO 13849-1 non significa semplicemente scegliere componenti “safety”. Significa dimostrare che ogni funzione di sicurezza è stata identificata, progettata, calcolata, verificata, validata e documentata in modo coerente con il rischio da ridurre.
Quando si applica ai sistemi di comando delle macchine
La norma si applica quando una parte del sistema di comando contribuisce alla riduzione di un rischio. Alcuni esempi tipici sono arresti di emergenza, interblocchi dei ripari mobili, barriere fotoelettriche, scanner laser, comandi a due mani, funzioni di arresto sicuro, controllo della velocità ridotta, consenso uomo presente e funzioni di prevenzione del riavvio inatteso.
Il principio è semplice: se il malfunzionamento di un circuito può comportare la perdita di una funzione di sicurezza, quel circuito deve essere valutato come parte di un sistema di comando legato alla sicurezza. In questi casi non basta verificare lo schema elettrico dal punto di vista funzionale; serve valutare anche architettura, affidabilità, diagnostica, guasti sistematici e comportamento in caso di guasto.
La EN ISO 13849-1 è pensata per funzioni ad alta richiesta o a richiesta continua, tipiche del mondo macchina. Per applicazioni a bassa domanda possono essere pertinenti metodologie differenti, da valutare caso per caso.
Dal rischio al PLr: il ruolo dell’analisi dei rischi
Il punto di partenza non è il componente, ma il pericolo. Prima di calcolare un Performance Level è necessario redigere l’analisi dei rischi della macchina, individuare le situazioni pericolose e definire quali misure di riduzione del rischio siano necessarie.
Quando la riduzione del rischio viene affidata a una funzione di sicurezza comandata, deve essere determinato il PLr, cioè il Performance Level richiesto. Il PLr dipende dalla gravità del possibile danno, dalla frequenza o durata dell’esposizione al pericolo e dalla possibilità di evitare o limitare il danno.
Questa fase è critica perché un PLr sottostimato porta a una funzione di sicurezza troppo debole rispetto al rischio reale. Al contrario, un PLr sovrastimato può generare soluzioni tecnicamente corrette ma inutilmente costose, complesse e difficili da mantenere. Il valore sta nell’equilibrio: progettare una soluzione proporzionata, documentabile e coerente con il rischio effettivo.
Come si determina il Performance Level raggiunto
Una volta definito il PLr, il progettista deve verificare il PL raggiunto dalla funzione di sicurezza. Il risultato dipende dalla combinazione di diversi fattori: categoria del circuito, affidabilità dei componenti, copertura diagnostica, misure contro i guasti di causa comune e corretta gestione del software, se presente.
La valutazione può essere eseguita con strumenti dedicati, come SISTEMA IFA, oppure con metodi equivalenti purché siano disponibili dati tecnici affidabili, criteri documentati e una chiara tracciabilità delle assunzioni utilizzate.
Categoria del circuito
La categoria descrive l’architettura della funzione di sicurezza e il suo comportamento in presenza di guasti. Le architetture possono andare da soluzioni semplici a singolo canale fino a strutture ridondanti con diagnostica più avanzata.
La categoria non è, da sola, il Performance Level. Due circuiti con la stessa categoria possono raggiungere risultati diversi se cambiano affidabilità dei componenti, diagnostica, logica di controllo, frequenza di utilizzo o misure contro i guasti comuni.
MTTFd, B10d e affidabilità dei componenti
L’affidabilità dei componenti è uno degli elementi principali della valutazione. Per componenti elettronici si utilizzano normalmente dati come MTTFd o PFHd forniti dal costruttore. Per componenti elettromeccanici, pneumatici o idraulici può essere necessario partire da dati B10d e dal numero di operazioni annue previste (Nop).
Questo punto è spesso sottovalutato. Se il numero di cicli reali della macchina è superiore a quello ipotizzato nel calcolo, il risultato può non rappresentare più correttamente l’affidabilità della funzione di sicurezza. Per questo le ipotesi di utilizzo devono essere coerenti con il ciclo macchina, l’ambiente di lavoro e la vita utile prevista.
Copertura diagnostica media DCavg
La copertura diagnostica indica quanto il sistema è in grado di rilevare i guasti pericolosi. Una funzione ridondante, ad esempio, non è automaticamente affidabile se non esistono controlli adeguati sulla coerenza dei canali, sullo stato dei contattori, sui feedback o sui dispositivi comandati.
La diagnostica deve essere reale, coerente con lo schema e verificabile. Non basta dichiarare la presenza di un PLC di sicurezza o di un relè safety: occorre dimostrare quali guasti vengono rilevati, con quale logica e con quali effetti sulla funzione di sicurezza.
Guasti di causa comune CCF
Nei sistemi ridondanti è necessario considerare anche i guasti di causa comune, cioè eventi che possono compromettere più canali contemporaneamente. Esempi tipici sono errori di cablaggio, condizioni ambientali gravose, sovratensioni, contaminazione, vibrazioni, errori di progettazione o scelta di componenti troppo simili e non adeguatamente separati.
La ridondanza ha valore solo se i canali non falliscono nello stesso modo e nello stesso momento. Per questo la valutazione CCF non deve essere trattata come una formalità, ma come una verifica concreta della robustezza del progetto.
Software di sicurezza
Quando la funzione di sicurezza coinvolge software, logiche programmabili o PLC di sicurezza, la valutazione deve considerare anche gli aspetti di sviluppo, struttura del programma, validazione, gestione delle modifiche e prevenzione degli errori sistematici.
Il software deve essere leggibile, controllabile e coerente con la specifica della funzione di sicurezza. Una logica poco documentata, anche se apparentemente funzionante, può diventare un punto debole durante il collaudo, la manutenzione o una modifica successiva della macchina.
Verifica, validazione e documentazione
La progettazione secondo EN ISO 13849-1 deve essere completata da una fase di verifica e validazione. La verifica serve a dimostrare, con calcoli e documenti tecnici, che la funzione raggiunge il Performance Level richiesto. La validazione serve invece a confermare che la funzione di sicurezza sia stata correttamente realizzata e sia efficace rispetto allo scopo previsto.
La serie EN ISO 13849 include anche la EN ISO 13849-2, dedicata alla validazione. In pratica, questo significa che il fascicolo tecnico dovrebbe contenere non solo il calcolo, ma anche la specifica della funzione di sicurezza, gli schemi elettrici o pneumatici pertinenti, i dati dei componenti, le ipotesi di utilizzo, le prove eseguite e le evidenze di collaudo.
Un calcolo Performance Level senza collegamento all’analisi dei rischi, senza schema aggiornato o senza validazione funzionale è un documento incompleto. In caso di audit, verifica documentale o contestazione, la tracciabilità dell’intero processo è essenziale.
EN ISO 13849-1:2023 e rapporto con il Regolamento Macchine
La versione 2023 della ISO 13849-1 aggiorna il quadro tecnico rispetto alla precedente edizione 2015. Per chi progetta macchine, il punto pratico non cambia: il metodo deve essere integrato nel processo di progettazione, non aggiunto alla fine come verifica formale.
Nel contesto europeo, le norme armonizzate pubblicate nella Gazzetta ufficiale dell’Unione europea possono fornire presunzione di conformità per i requisiti essenziali coperti dalla norma. Tuttavia, il fabbricante deve sempre verificare l’elenco aggiornato delle norme armonizzate applicabili e la corrispondenza tra norma, macchina e requisiti pertinenti.
Il Regolamento (UE) 2023/1230 sostituirà la Direttiva Macchine 2006/42/CE a partire dal 20 gennaio 2027. Questo rende ancora più importante costruire oggi fascicoli tecnici ordinati, verifiche dei sistemi di comando robuste e documentazione facilmente aggiornabile.
Attenzione. La EN ISO 13849-1 non è una scorciatoia per evitare l’analisi dei rischi. È uno strumento per progettare e verificare correttamente le funzioni di sicurezza dopo averle individuate e specificate.
Errori frequenti nell’applicazione della EN ISO 13849-1
| Errore | Perché è un problema |
|---|---|
| Partire dal componente invece che dal rischio | Il PLr deve derivare dall’analisi dei rischi. Scegliere un relè di sicurezza o un PLC safety non basta per dimostrare la conformità della funzione. |
| Usare dati B10d o MTTFd non tracciabili | I dati devono provenire da fonti tecniche affidabili. In assenza di dati, le assunzioni devono essere giustificate e conservative. |
| Confondere categoria e Performance Level | La categoria descrive l’architettura. Il PL dipende anche da affidabilità, diagnostica, CCF e requisiti sistematici. |
| Non validare la funzione sulla macchina reale | Il calcolo deve essere accompagnato da prove e verifiche funzionali coerenti con l’uso effettivo della macchina. |
| Non aggiornare il calcolo dopo modifiche | Una modifica a sensori, attuatori, logica software, frequenza di utilizzo o ciclo macchina può cambiare il risultato della valutazione. |
| Considerare solo l’arresto di emergenza | Molte funzioni di sicurezza critiche non sono emergenze: interblocchi, muting, consenso, velocità ridotta, prevenzione del riavvio e monitoraggio ripari hanno spesso un impatto maggiore sul rischio reale. |
Come Waves Engineering supporta i fabbricanti
Waves Engineering affianca costruttori di macchine, integratori e uffici tecnici nella gestione completa delle funzioni di sicurezza: dall’analisi dei rischi fino alla documentazione da inserire nel fascicolo tecnico.
Il nostro supporto non si limita al calcolo. Verifichiamo la coerenza tra rischio, funzione di sicurezza, schema elettrico, componenti utilizzati, logica software, validazione e manuale istruzioni. Questo approccio consente di individuare errori progettuali prima del collaudo finale e di ridurre il rischio di non conformità documentali.
Possiamo intervenire su nuove macchine, modifiche sostanziali, linee esistenti, revamping, verifiche CE, preparazione al Regolamento Macchine e adeguamento della documentazione tecnica per mercati internazionali.
Servizi collegati Waves Engineering
Analisi dei rischi secondo EN ISO 12100.
Individuazione delle funzioni di sicurezza e determinazione dei PLr.
Calcolo Performance Level secondo EN ISO 13849-1.
Verifica schemi elettrici e architetture di sicurezza.
Validazione delle funzioni di sicurezza secondo EN ISO 13849-2.
Supporto alla redazione del fascicolo tecnico CE.
Supporto a manuale istruzioni, avvertenze e procedure operative.
Conclusione
La EN ISO 13849-1 è uno degli strumenti più importanti per dimostrare la sicurezza funzionale dei sistemi di comando delle macchine. Applicarla correttamente significa collegare analisi dei rischi, progettazione, scelta dei componenti, calcolo, validazione e documentazione in un unico processo tecnico coerente.
Per un costruttore, il valore non è avere un calcolo isolato, ma una dimostrazione completa e difendibile della funzione di sicurezza. È qui che un approccio tecnico strutturato fa la differenza: riduce errori, semplifica il fascicolo tecnico e rende più solida la conformità della macchina.
Devi verificare il Performance Level delle funzioni di sicurezza della tua macchina? Waves Engineering può supportarti nell’analisi dei rischi, nel calcolo secondo EN ISO 13849-1, nella verifica degli schemi e nella documentazione tecnica per la marcatura CE. Contattaci per una valutazione tecnica.
Devi verificare il Performance Level delle funzioni di sicurezza della tua macchina?
Devi verificare il Performance Level delle funzioni di sicurezza della tua macchina? Waves Engineering può supportarti nell’analisi dei rischi, nel calcolo secondo EN ISO 13849-1, nella verifica degli schemi e nella documentazione tecnica per la marcatura CE. Contattaci per una valutazione tecnica.
FAQ
Cos’è la EN ISO 13849-1?
È una norma per la progettazione e verifica delle parti dei sistemi di comando legate alla sicurezza delle macchine. Viene utilizzata per determinare il Performance Level delle funzioni di sicurezza.
Che differenza c’è tra PL e PLr?
Il PLr è il livello di prestazione richiesto dalla valutazione del rischio. Il PL è il livello effettivamente raggiunto dalla funzione di sicurezza progettata. La funzione è adeguata quando il PL raggiunto è almeno pari al PLr.
Il calcolo del Performance Level è obbligatorio?
Quando la riduzione del rischio dipende da una funzione di sicurezza comandata, il fabbricante deve dimostrare che quella funzione sia adeguata. La EN ISO 13849-1 è uno dei metodi principali utilizzati nel settore macchine per questa dimostrazione.
Basta usare componenti certificati safety?
No. I componenti certificati aiutano, ma non bastano. Occorre valutare l’intera funzione di sicurezza: architettura, affidabilità, diagnostica, guasti comuni, logica software, installazione e validazione.
Cos’è SISTEMA IFA?
È uno strumento software molto utilizzato per documentare e calcolare le funzioni di sicurezza secondo ISO 13849-1. Il risultato dipende comunque dalla correttezza dei dati, dello schema e delle ipotesi inserite.
Quando va aggiornata la valutazione EN ISO 13849-1?
Va aggiornata quando cambiano componenti, logiche software, schemi, ciclo macchina, frequenza di utilizzo, destinazione d’uso o misure di sicurezza che incidono sulla funzione valutata.