Sicurezza funzionale — famiglia IEC 61508 / EN 50129 / ISO 26262

Che cos'è Functional Safety?

I test di sicurezza funzionale garantiscono che una funzione di sicurezza presenti il comportamento sicuro previsto in situazioni di guasto pericolose; Si tratta di una valutazione verificata in base a criteri quali tolleranza agli errori hardware, copertura diagnostica e tempo di reazione all'errore. A seconda del settore si applica la norma IEC 61508, EN 50129 o ISO 26262.

Scopo di Functional Safety

Lo scopo è dimostrare mediante analisi ed esperimenti che la funzione di sicurezza soddisfa il livello di integrità assegnato (SIL o ASIL).

A quali prodotti si applica Functional Safety?

Segnalamento ferroviario e controllo dei freni
Sistemi di controllo della sicurezza industriale
Centraline elettroniche automobilistiche
Strumentazione per la sicurezza del processo

In quali settori si utilizza Functional Safety?

DemiryoluElettricoElettronicaSicurezza informatica

Norme relative a Functional Safety

IEC 61508 serisi
EN 50129
EN 50128 / EN 50657
ISO 26262 serisi
IEC 61511
EN 50155apparecchiature elettroniche nei veicoli ferroviari test
EN 50121compatibilità elettromagnetica nelle applicazioni ferroviarie test
EN 45545sicurezza antincendio nei veicoli ferroviari test
IEC 61373vibrazioni e urti nelle apparecchiature dei veicoli ferroviari test

Condizioni di Functional Safety

livello di integrità: SIL 1–4 (IEC 61508 / EN 50129) veya ASIL A–D (ISO 26262)
Metriche hardware: Tasso di guasti pericolosi, copertura diagnostica, tolleranza agli errori hardware
Iniezione di guasti: Verifica della risposta sicura inserendo modalità di guasto definite nel sistema
Software: Il processo di sviluppo e i requisiti di convalida aumentano con il livello

Apparecchiatura per Functional Safety

Schema di test dell'iniezione di guasto
Piattaforma di test hardware/software in-the-loop (HIL).
Software di analisi (FMEDA, FTA)
Sistema di misurazione e registrazione dei tempi

Requisiti del campione per Functional Safety

È necessario definire la funzione di sicurezza e lo stato sicuro
È necessario assegnare il livello di integrità
L'elenco delle modalità di guasto e i meccanismi diagnostici dovrebbero essere documentati
La necessità di una valutazione indipendente è determinata dal livello

Durata di Functional Safety

In genere 2–6 mesi a seconda della copertura e del livello.

Procedura di Functional Safety

1Vengono definiti la funzione di sicurezza, lo stato sicuro e il livello di integrità.
2Viene condotta l'analisi delle modalità e degli effetti del guasto (FMEDA).
3Vengono calcolati la copertura diagnostica e le metriche hardware.
4Vengono applicati esperimenti di iniezione dei guasti.
5Viene misurato il tempo di reazione all'errore.
6Le prove vengono raccolte nel rapporto sulla situazione di sicurezza.

Criteri di accettazione di Functional Safety

I criteri di accettazione sono i requisiti quantitativi e qualitativi forniti per il livello di integrità assegnato nello standard applicato.

Valutazione dei risultati

Il livello di integrità non appartiene all'etichetta di un prodotto, ma ad una funzione di sicurezza specifica e ad un contesto definito. Lo stesso hardware può fornire livelli diversi in un'applicazione diversa. È fondamentale leggere il manuale di sicurezza per le quali funzioni e presupposti viene rilasciato il certificato.

Rapporto di Functional Safety

Funzione di sicurezza e definizione di stato sicuro
Livello di integrità assegnato
Risultati FMEDA e copertura diagnostica
Esperimenti di iniezione degli errori e tempi di risposta
Presupposti e restrizioni d'uso

Accreditamento

EUROLAB detiene un accreditamento riconosciuto a livello internazionale ottenuto da organismi di accreditamento parte degli accordi di riconoscimento multilaterale IAF e ILAC, secondo ISO / IEC 17025 per prove di laboratorio, ISO / IEC 17020 per ispezione e sorveglianza e ISO / IEC 17021-1 e ISO / IEC 17065 per certificazione di sistema e prodotto. Questa catena garantisce che i rapporti e i certificati emessi siano accettati in tutto il mondo.

Se questo test può essere offerto nell'ambito accreditato dipende dal prodotto e dallo standard applicato; poiché l'accreditamento è basato sul metodo, l'ambito viene confermato per iscritto in fase di offerta.

Ambito e autorizzazioni

Regolamenti correlati

Sicurezza dei macchinari, sicurezza ferroviaria e legislazione di settore

Demiryolu Testleri — Cosa copre questo ambito di prova?

La sezione seguente descrive l'ambito a cui appartiene la prova Functional Safety; le condizioni e i criteri di accettazione di questa prova specifica sono riportati nelle sezioni precedenti. L'ambito specifico del vostro prodotto viene confermato per iscritto in fase di offerta.

Le prove ferroviarie dimostrano che veicoli e componenti funzionano in modo sicuro e affidabile nell'ambiente ferroviario. Il carattere di questa famiglia deriva dall'IPOTESI DI VITA UTILE LUNGA: un veicolo ferroviario è progettato per una vita utile superiore a trent'anni, e i suoi componenti restano soggetti a vibrazioni, cicli termici e uso intensivo per tutto quel periodo.

La lunga vita utile modella anche la catena di fornitura dei componenti. I ricambi devono restare disponibili per trent'anni, i componenti elettronici fuori produzione devono essere sostituiti e ogni sostituzione deve essere riverificata. Ciò porta il settore ferroviario fuori dalla logica del «certificare una volta e proseguire».

La sicurezza antincendio è la parte più rigorosamente regolamentata del settore e rientra nella serie EN 45545. La logica della serie si basa sul LUOGO D'USO e sulla CATEGORIA OPERATIVA: una metropolitana che circola in galleria e un treno interurbano non comportano lo stesso rischio, e il tessuto dei sedili e il cavo non vengono valutati nella stessa categoria. Il tempo di evacuazione è il fattore principale che determina queste categorie; poiché l'evacuazione richiede più tempo in una galleria chiusa, i requisiti dei materiali diventano più severi.

Per le apparecchiature elettroniche, la EN 50155 è la norma quadro e riunisce i requisiti ambientali, elettrici e funzionali: variazioni della tensione di alimentazione, classi di temperatura, umidità, vibrazione e urto. Sul lato vibrazione e urto si usano le categorie della EN 61373, che differiscono in base al luogo di montaggio — una scatola montata sulla cassa e un sensore montato sul carrello non attraversano lo stesso profilo.

Per la compatibilità elettromagnetica si applica la serie EN 50121, che affronta un problema tipico delle ferrovie: il sistema di trazione commuta ad altissima potenza e può influenzare sia i sistemi di bordo sia la segnalazione lungo la linea. La serie comprende quindi parti separate per il veicolo, gli impianti a bordo linea e la segnalazione.

Per i sistemi legati alla sicurezza si applica un ambito separato, e qui la prova non è il collaudo ma il PROCESSO: la EN 50126 (RAMS), la EN 50128 (software) e la EN 50129 (sistemi elettronici legati alla sicurezza) definiscono il ciclo di vita della sicurezza e i livelli di integrità della sicurezza (SIL). I sistemi di segnalazione e controllo frenata vengono valutati in questo quadro.

Sul lato qualità entra in gioco lo schema proprio del settore IRIS (ISO/TS 22163); i grandi costruttori di materiale rotabile richiedono questo certificato ai propri fornitori.

Sul lato della struttura meccanica, la cassa del veicolo e il telaio del carrello hanno proprie norme: verifica strutturale sotto carichi statici e di fatica, qualità della saldatura e resistenza all'urto. Queste prove vengono eseguite su banchi a piena scala e possono richiedere mesi.

Gruppi di metodi in questo ambito

Sicurezza antincendio
Classificazione di materiali e componenti secondo la EN 45545; insieme di requisiti in base alla categoria operativa e di progettazione.
Apparecchiatura elettronica
Requisiti ambientali ed elettrici EN 50155; interruzioni di alimentazione, classi di temperatura, umidità e grado di protezione.
Vibrazione e urto
Categorie EN 61373; profili montati su cassa, carrello e asse in base al luogo di montaggio.
Compatibilità elettromagnetica
La serie EN 50121: parti separate per veicolo, impianti a bordo linea e segnalazione.
Ciclo di vita della sicurezza
EN 50126 RAMS, EN 50128 software e EN 50129 sistemi legati alla sicurezza; determinazione del SIL e caso di sicurezza.
Verifica strutturale
Carichi statici e di fatica su cassa e telaio del carrello, qualità della saldatura, resistenza all'urto.

Confusioni frequenti in questo ambito

I requisiti della EN 45545 variano in base al luogo d'uso e alla categoria operativa; non esiste un'unica "classe antincendio ferroviaria".
La conformità alla EN 50155 non copre i requisiti di vibrazione; la EN 61373 viene applicata in aggiunta.
Un rapporto EMC civile non è sufficiente per le ferrovie; la serie EN 50121 definisce un ambiente e limiti diversi.
Per i sistemi legati alla sicurezza, la prova da sola non è prova sufficiente; sono richiesti i registri del ciclo di vita della sicurezza.
Una modifica di componente (anche dovuta a obsolescenza) richiede una nuova verifica; nei progetti a lunga vita questo è un lavoro di routine.
Un certificato IRIS non è un'approvazione di prodotto; è un certificato di sistema di qualità.

Quali decisioni supportano questi risultati

Approvazione del veicolo e dei componenti, processi di accettazione dell'operatore
Selezione dei materiali in base alla categoria di sicurezza antincendio
Il caso di sicurezza e l'evidenza SIL per i sistemi legati alla sicurezza
Certificazione di qualità della catena di fornitura
Continuità della fornitura dei componenti e gestione delle modifiche

Test correlati

Domande frequenti su Functional Safety

Un componente certificato SIL farà automaticamente SIL il mio sistema?

No. Il livello di integrità appartiene alla funzione di sicurezza. Il livello di sistema non è dimostrato a meno che non siano soddisfatte le ipotesi e le limitazioni d'uso nel manuale di sicurezza del componente.