ISO 13849 protegge una macchina pneumatica quando il sistema di comando legato alla sicurezza rileva una condizione pericolosa, comanda una risposta sicura definita, tollera i guasti richiesti dall’architettura ed è verificato e validato rispetto a un obiettivo basato sul rischio. Non prescrive un unico “circuito ISO 13849” e una valvola certificata non rende conforme la macchina da sola.
Per un asse pneumatico la risposta può essere scaricare, sostenere un carico, impedire l’estensione inattesa, tornare in posizione sicura o combinare misure. La scelta deriva dall’analisi dei pericoli: scaricare un cilindro verticale può creare una caduta.
Punti chiave
- Definire funzione e stato sicuro prima di scegliere valvole o sensori.
- Determinare il Performance Level richiesto, PLr, dalla valutazione e dall’eventuale norma di tipo C.
- Category, MTTFd, DCavg, CCF, misure sistematiche, software e interfacce influenzano il PL raggiunto.
- Usare dati di affidabilità del componente esatto nelle condizioni reali, non B10D generici.
- SISTEMA aiuta calcolo e documentazione, ma non sostituisce valutazione o validazione.
- Scarico di sicurezza, mantenimento del carico e lockout/tagout risolvono problemi diversi.
Nota sul campo di David Li
Nelle revisioni con gli integratori, l’errore iniziale più comune è scegliere la valvola prima dello stato sicuro. Parto da tre domande: quale moto o energia può ferire, quale stato fisico elimina il rischio e quale prova dimostra che lo stato viene raggiunto dopo un guasto pertinente?
Queste domande evidenziano requisiti mancanti di mantenimento, pressione intrappolata e riavvio prima che diventino modifiche in installazione. Se non hanno risposta, ordinare una “valvola PL e” è prematuro: l’etichetta non corregge una funzione indefinita.
A che cosa si applica ISO 13849 in una macchina pneumatica
ISO 13849-1:2023 fornisce una metodologia per progettare e integrare le parti dei sistemi di comando legate alla sicurezza, SRP/CS, in modalità ad alta domanda e continua. È neutrale rispetto alla tecnologia: elementi elettrici, idraulici, pneumatici, meccanici e software possono appartenere alla stessa funzione.
La norma non assegna funzione o PLr a una macchina e non impone sempre Category 3/4, doppie valvole, sensori diversi o PL d. Le decisioni dipendono da rischio, riduzione richiesta, architettura e norma specifica.
Una funzione di sicurezza è la risposta specificata che riduce un rischio; PLr è il livello richiesto; il PL raggiunto è dimostrato dall’intero progetto e non ereditato da un certificato.
| Termine | Significato | Non significa |
|---|---|---|
| Funzione di sicurezza | Azione definita che riduce un rischio specifico | Promessa generale di macchina sicura |
| PLr | Performance Level richiesto per una funzione | PL già raggiunto |
| PL | Prestazione dell’intera funzione | Etichetta ereditata da un componente |
| Category | Comportamento architetturale rispetto a guasti e diagnostica | Calcolo completo di affidabilità |
| MTTFd | Tempo medio al guasto pericoloso per canali/sottosistemi | Vita utile o intervallo di prova |
| DCavg | Copertura diagnostica media dei guasti pericolosi | Percentuale di ogni guasto possibile rilevata |
| CCF | Misure contro guasti di causa comune multicanale | Prova di indipendenza assoluta |
| SIL | Integrità funzionale usata da norme come IEC 62061 | Altro nome di Category 3 o 4 |
ISO 13849 usa PL da a a e; IEC 62061 usa SIL. Alcuni prodotti dichiarano entrambi, ma metodi e termini non vanno mescolati nella documentazione.
Fase 1: definire funzione e stato sicuro
ISO 12100:2010 stabilisce il quadro di valutazione e riduzione che precede i controlli. Identificare compito, persona esposta, pericolo, evento, modalità, gravità, esposizione ed evitabilità. Applicare progettazione intrinsecamente sicura e ripari prima delle misure di comando.
“Fermare il cilindro in sicurezza” è vago. Una specifica misurabile include:
- Trigger: apertura riparo, barriera, arresto d’emergenza, perdita feedback o evento definito.
- Pericolo: schiacciamento, cesoiamento, urto, espulsione, caduta, pressione intrappolata o riavvio.
- Risposta: togliere pressione, impedire estensione, fermare e sostenere, raggiungere posizione sicura.
- Criteri: moto residuo, soglia di pressione, forza, velocità, tempo o posizione.
- Reset: chi può farlo, dove e se può avviare moto.
- Modalità: automatico, setup, pulizia, recupero e manutenzione.
- PLr: obiettivo per la singola funzione.
Esempio: per un trasferimento orizzontale senza stelo protetto, “all’apertura del riparo in automatico impedire ulteriore moto pericoloso e riavvio fino a chiusura e reset deliberato”. Occorre ancora definire corsa ammessa e stadio d’uscita.
La stessa macchina può avere funzioni separate di emergenza, scarico e prevenzione dell’avviamento, con confini e PLr diversi.
Fase 2: determinare PLr senza confondere il grafico di rischio con il PL
Il grafico considera gravità, frequenza/durata ed evitabilità e produce il PLr. Non calcola il PL raggiunto da hardware e software.
Usarlo solo dopo aver definito pericolo e funzione, documentando S, F e P e verificando norme di tipo C. Non assegnare PL d perché il cilindro è grande né presumere livelli tipici.
Registrare le ipotesi: velocità, frequenza accesso, visibilità, spazio di fuga, formazione, carico e preavviso. Se cambiano, rivalutare.
Fase 3: progettare l’architettura completa ingresso-logica-uscita
Modellare l’intera funzione:
Il calcolo copre la catena di comando; la validazione conferma la risposta e il comportamento ai guasti della macchina installata.
- Ingresso: interruttore riparo, barriera, comando bimanuale, E-stop, pressostato o posizione.
- Logica: relè, controllore configurabile o PLC safety e relativo software.
- Uscita: contattori, valvole monitorate, freni o blocchi e feedback di stato.
- Risposta macchina: pressione, forza, velocità, posizione e moto residuo al pericolo.
| Category | Comportamento semplificato |
|---|---|
| B | Principi di base; un guasto può perdere la funzione. |
| 1 | Componenti e principi collaudati migliorano l’affidabilità, ma un guasto può perderla. |
| 2 | Controlli periodici; un guasto può restare pericoloso fra i test. |
| 3 | Un singolo guasto non perde la funzione; alcuni sono rilevati, ma l’accumulo può perderla. |
| 4 | Un singolo guasto non perde la funzione e rilevamento/resistenza all’accumulo la mantengono. |
È orientamento, non scorciatoia. Un disegno Category 3 a due canali non è automaticamente PL d.
Scegliere lo stato pneumatico dal pericolo
Gli elementi finali devono produrre lo stato specificato. Strategie comuni:
- Bloccare l’alimentazione e scaricare una zona
- Impedire pressione alla porta di estensione
- Sostenere l’asse con freno o bloccastelo validato
- Riportare l’attuatore in modo controllato
- Isolare un ramo mantenendo pressione in un altro circuito rilevante
- Combinare azione pneumatica e vincolo meccanico
Non esiste obbligo universale di 5/2 o 5/3. Una 3/2 ridondante monitorata può servire allo scarico; un carico verticale può richiedere mantenimento indipendente. Vedere integrazione delle valvole di scarico nei ripari.
Se la perdita d’aria rilascia il carico, valutare mantenimento dei cilindri verticali e limiti dei ritegni pneumatici. Un ritegno pilotato impedisce il moto ma può intrappolare energia pericolosa in manutenzione.
Fase 4: quantificare l’affidabilità con dati specifici
Per componenti soggetti a usura, B10D è il numero di cicli al quale il 10% della popolazione ha avuto un guasto pericoloso nelle condizioni dichiarate. n_op converte i cicli in MTTFd:
Operazioni annue: n_op = (d_op × h_op × 3,600) / t_cycle
Tempo medio al guasto pericoloso: MTTF_d = B10D / (0.1 × n_op)
d_op sono giorni/anno, h_op ore/giorno, t_cycle secondi fra operazioni. Usare il profilo reale della funzione, non il ciclo teorico più rapido.
Non copiare 10 o 20 milioni di cicli generici. Ottenere dati per codice, pressione, qualità aria, temperatura, frequenza, carico, silenziatore e manutenzione. Se il fornitore offre PFHd, PL di sottosistema o libreria SISTEMA, confermare ipotesi e vincoli.
| Dato | Perché | Evidenza |
|---|---|---|
| B10D o PFHd | Guasto pericoloso | Manuale safety o dichiarazione |
| Cicli | Conversione nel tempo | Contatore PLC e studio produttivo |
| Mission time | Validità temporale | Piano safety e manutenzione |
| Category | Comportamento ai guasti | Circuito e documentazione |
| DCavg | Credito diagnostico | Modi rilevati e intervalli |
| CCF | Cause comuni | Revisione secondo criteri applicabili |
| Ambiente | Validità delle ipotesi | Aria, temperatura, vibrazione, EMC |
| Misure sistematiche | Errori di progetto/software/manutenzione | Registrazioni di sviluppo e verifica |
La copertura diagnostica deve corrispondere ai guasti reali
Pressione e posizione possono aiutare, ma un sensore non crea automaticamente 90% DC. Definire quali guasti pericolosi di valvola, sensore, cavo, logica e pneumatica rileva, quando e con quale reazione.
Esempi: monitoraggio otturatore/cassetto, plausibilità pressione a valle, discrepanza canali, impulsi di test e stato attuatore. Un pressostato a monte dell’isolamento non prova che una cavità a valle è scarica.
CCF è più della separazione fisica
Sistemi multicanale richiedono misure contro cause che sconfiggono entrambi. Alimentazione comune, contaminazione, calore, vibrazione, manutenzione errata, connettori condivisi, software e danni d’installazione possono colpire entrambi.
Usare il metodo CCF della norma e documentare le misure. Tecnologie diverse possono aiutare ma non sono sempre obbligatorie e non sostituiscono controlli sistematici.
Fase 5: verificare il PL raggiunto con SISTEMA
Il software SISTEMA di IFA modella funzioni con architetture designate e valuta PL da Category, MTTFd, DCavg e CCF. Per ISO 13849-1:2023 usare SISTEMA 3.x: ogni versione principale è legata a una revisione.
- Creare una funzione SISTEMA per ogni funzione macchina.
- Inserire PLr e riferimento alla valutazione.
- Suddividere in ingresso, logica e uscita.
- Importare librerie correnti dopo averne verificato versione e condizioni.
- Inserire frequenza, diagnostica e mission time reali.
- Risolvere avvisi e verificare PL >= PLr.
- Esportare il rapporto sotto controllo di configurazione.
SISTEMA non è un generatore di certificati. Un esito verde non rileva tubazioni errate, scarico bloccato, cicli sbagliati, pericolo gravitazionale omesso o software non corrispondente.
Fase 6: validare la funzione installata
La norma pubblicata è ISO 13849-2:2012. ISO/DIS 13849-2 è in sviluppo e non va citata come edizione vigente. La validazione usa analisi e prove per dimostrare funzioni, architettura, guasti e PL.
Pianificarla prima del commissioning. Una persona competente e sufficientemente indipendente deve collegare ogni prova a un requisito. Registrare modalità, prodotto/carico, pressione, temperatura, checksum software, revisioni, strumenti, criteri, risultato e deviazioni.
| Prova | Osservazione |
|---|---|
| Richiedere ogni canale d’ingresso | Uscite e macchina raggiungono lo stato sicuro |
| Aprire/cortocircuitare un canale | Guasto rilevato e reazione corretta |
| Impedire a un elemento d’uscita di cambiare | Ridondanza e feedback come progettati |
| Limitare lo scarico al limite credibile | Pressione e moto entro i criteri |
| Pressione minima e massima | Tempi e stato finale accettabili |
| Posizione e carico peggiori | Corsa, arresto e carico entro limiti |
| Interrompere/ripristinare energia o aria | Nessun riavvio automatico pericoloso |
| Creare discrepanze feedback | Ciclo pericoloso successivo inibito |
| Azionare reset | Cancella lo stato ma non avvia moto pericoloso |
Correlare temporalmente domanda, uscita logica, feedback valvola, pressione a valle e moto. Il tempo di catalogo della valvola non è il tempo d’arresto della macchina: volume, portata, silenziatori, regolatori, carico e inerzia contano.
Gli intervalli di ispezione e prova derivano da istruzioni, rischio, ambiente, frequenza, diagnostica e norma di macchina. ISO 13849 non impone un generico mensile per PL e o annuale per PL c.
Scarico di sicurezza e lockout/tagout sono controlli diversi
Una valvola manuale bloccabile può supportare l’isolamento. La sua presenza non stabilisce il PL della funzione automatica.
OSHA 29 CFR 1910.147 riguarda il controllo dell’energia pericolosa durante manutenzione coperta. Include energia pneumatica e richiede isolamento, lockout/tagout, controllo dell’energia residua e verifica.
Un relè che diseccita una valvola è normalmente un’azione di comando, non automaticamente isolamento energetico. La manutenzione può richiedere valvola manuale bloccabile, lucchetti personali, scarico o vincolo, verifica al punto di lavoro e controllo della pressione che si ricrea.
| Situazione | Protezione primaria |
|---|---|
| Riparo aperto in produzione | Funzione di comando validata |
| Arresto d’emergenza | Risposta definita e misure correlate |
| Recupero senza ingresso in zona | Funzione per modalità e prevenzione riavvio |
| Manutenzione esposta a energizzazione | Procedura energia pericolosa e isolamento verificato |
| Lavoro sotto carico sospeso | Isolamento e vincolo meccanico indipendente |
Che cosa richiedere al fornitore
Non chiedere solo una “valvola ISO 13849”. Indicare la funzione e richiedere:
- Prodotto e revisione coperti
- Funzione dichiarata e norme
- Category, PL/SIL massimo e architettura richiesta
- B10D, PFHd, mission time e frequenza ammessa
- Diagnostica, timing feedback e reazione al guasto
- Uscite safety, limiti impulsi di test e reset
- Pressione, temperatura, aria, vibrazione ed EMC
- Portata di scarico e silenziatori/accessori approvati
- Limiti di valvole in serie o parallelo
- Manuale safety, libreria SISTEMA, dichiarazioni e certificati
- Manutenzione, sostituzione e proof test
“PL e capable” contribuisce solo entro i limiti dichiarati e in una funzione completa con lo stesso obiettivo.
Errori comuni nei progetti pneumatici ISO 13849
- Scegliere una doppia valvola prima dello stato sicuro
- Trattare PLr come PL raggiunto
- Usare Category al posto della valutazione completa
- Copiare B10D generici
- Accreditare un sensore senza mappare i guasti rilevati
- Ignorare contaminazione comune dell’aria
- Misurare alla valvola mentre resta pressione all’attuatore
- Presumere che lo scarico renda sicuri carichi verticali o a molla
- Usare il tempo di catalogo come tempo d’arresto
- Lasciare che reset o ritorno dell’aria avviino moto
- Sostituire ricambi senza rivalutare
- Confondere scarico safety e LOTO verificato
- Chiamare il rapporto SISTEMA “certificazione macchina” senza validazione
Domande frequenti sui circuiti pneumatici ISO 13849
ISO 13849 richiede sempre due canali?
No. Il rischio determina PLr e l’architettura deve poterlo raggiungere. Funzioni inferiori possono usare categorie inferiori; maggiore tolleranza può richiedere più canali.
Category 3 equivale a PL d?
No. Category 3 è architettura. Il PL dipende anche da MTTFd, DCavg, CCF, requisiti sistematici e integrazione. Può supportare determinati PL solo se tutte le condizioni sono soddisfatte.
Una valvola PL e rende PL e la macchina?
No. È un sottosistema. Ingressi, logica, uscite, diagnostica, software, interfacce e risposta fisica devono soddisfare e superare la validazione.
L’arresto d’emergenza deve scaricare tutta l’aria?
No. Lo stato sicuro deriva dal rischio. Lo scarico completo può essere pericoloso per carichi sospesi, clamp, vuoto o molle. L’arresto non sostituisce l’isolamento per manutenzione.
SISTEMA prova che la macchina è sicura?
No. Valuta il modello. Installazione fisica e risposte di pressione, moto, riavvio e guasto richiedono validazione.
Ogni quanto provare il circuito?
Non esiste un intervallo universale basato sul PL. Deriva da manuali, rischio, ambiente, diagnostica, uso, storia e norme specifiche.
Conclusione
ISO 13849 protegge mediante una catena documentata: definire pericolo e funzione, determinare PLr, scegliere architettura, quantificare con dati validi, verificare il PL e validare la risposta installata in condizioni normali e di guasto.
La domanda non è “quale valvola è conforme?”, ma “che cosa deve fare la macchina alla domanda di sicurezza e quale evidenza dimostra che lo farà anche dopo un guasto credibile?”. Rispondere prima rende la valvola una parte controllata del progetto.
Fonti
- International Organization for Standardization. ISO 13849-1:2023 — Parti dei sistemi di comando legate alla sicurezza, Parte 1. Pubblicata aprile 2023. Consultata il 17 luglio 2026.
- International Organization for Standardization. ISO 12100:2010 — Valutazione e riduzione del rischio. Consultata il 17 luglio 2026.
- International Organization for Standardization. ISO 13849-2:2012 — Validazione. Consultata il 17 luglio 2026.
- International Organization for Standardization. ISO/DIS 13849-2 — Revisione in sviluppo. Consultata il 17 luglio 2026.
- International Organization for Standardization. ISO 4414:2010 — Sicurezza della potenza fluida pneumatica. Consultata il 17 luglio 2026.
- Institute for Occupational Safety and Health. Software SISTEMA per ISO 13849-1. Consultato il 17 luglio 2026.
- Occupational Safety and Health Administration. 29 CFR 1910.147 — Controllo dell’energia pericolosa. Consultato il 17 luglio 2026.