Un'elettrovalvola con classificazione SIL è un termine d'acquisto usato per indicare una valvola supportata da evidenze di sicurezza funzionale per l'impiego in una funzione strumentata di sicurezza, o SIF. In senso stretto, la valvola non assegna il proprio SIL all'intero circuito. La norma IEC definisce il SIL come una proprietà della funzione di sicurezza; il livello raggiunto dipende quindi dall'intera funzione installata e dai relativi controlli lungo il ciclo di vita (IEC, 2022).
Questa distinzione cambia la domanda da porre in fase d'acquisto. Non chiedere soltanto: «Questa valvola è SIL 2 o SIL 3?». Verifica quale configurazione esatta della valvola è stata valutata, quale azione di sicurezza esegue, quali dati di guasto e restrizioni si applicano e come contribuisce al calcolo dal sensore all'elemento finale.
Punti chiave
- La IEC definisce quattro livelli SIL, ma il SIL appartiene alla funzione di sicurezza, non a una valvola isolata.
- Verifica insieme PFDavg o PFH, vincoli architetturali, capacità sistematica e ambito esatto del certificato.
- La prova di verifica individua i guasti latenti coperti; non può correggere uno stato sicuro errato né un'architettura di sistema inadeguata.
L'interpretazione utile si basa sulle evidenze: un'elettrovalvola «idonea per SIL» può essere adatta a una funzione fino al livello dichiarato, nelle condizioni documentate. Non è una promessa universale che ogni circuito che utilizza quella valvola raggiunga la stessa riduzione del rischio.
Che cosa significa davvero «elettrovalvola con classificazione SIL»?
La IEC 61508 definisce quattro livelli di integrità della sicurezza, da SIL 1 a SIL 4, e stabilisce che il SIL è una proprietà della funzione di sicurezza (IEC, 2022). Il certificato della valvola supporta quindi un calcolo di sistema; non sostituisce il calcolo, le regole d'integrazione, la validazione, la manutenzione o la gestione delle modifiche.
I costruttori usano diverse espressioni simili nell'aspetto ma diverse nelle implicazioni:
| Formula del fornitore | Interpretazione pratica | Che cosa deve verificare l'acquirente |
|---|---|---|
| Idonea per SIL | Il prodotto valutato può essere usato fino a un SIL dichiarato, nel rispetto di restrizioni definite | modello esatto, funzione del circuito, capacità sistematica, architettura e manuale di sicurezza |
| Adatta all'uso in SIF SIL 2 o SIL 3 | Il prodotto fornisce dati e restrizioni per una SIF con quel valore obiettivo | la SIF completa soddisfa comunque i requisiti di PFDavg/PFH, architettura e capacità sistematica |
| Certificata IEC 61508 | Un certificato copre un ambito di prodotto e una capacità valutata definiti | ente emittente, revisione del certificato, opzioni coperte e validità del manuale di sicurezza associato |
| Dimostrata o giustificata dall'uso precedente | Le evidenze dell'applicazione vengono usate al posto della certificazione del prodotto | servizio analogo, ambiente operativo, storico dei guasti, controllo delle modifiche e giustificazione documentata |
La formulazione esatta del certificato è importante. Emerson, per esempio, descrive la propria ASCO Serie 327 come «idonea per SIL», mentre Bürkert afferma che determinate funzioni monostabili del Tipo 6519 possono raggiungere SIL 2 a seconda dell'architettura del sistema di sicurezza (Emerson ASCO Serie 327, 2026; Bürkert Tipo 6519, 2026). Nessuna delle due affermazioni significa che ogni installazione raggiunga automaticamente quel livello.
Dove si colloca l'elettrovalvola all'interno di una SIF?
Una SIF nell'industria di processo comprende normalmente tre blocchi funzionali: sensori, risolutore logico ed elementi finali. La IEC 61511 stabilisce che il SIS includa tutti i dispositivi necessari a svolgere ogni SIF, dai sensori agli elementi finali (IEC 61511-1, 2016). L'elettrovalvola è di norma solo una parte della catena dell'elemento finale.
Considera un arresto di emergenza che deve chiudere una valvola di processo quando la pressione supera un punto di sgancio:
- Un trasmettitore rileva la condizione di processo.
- Il risolutore logico di sicurezza valuta lo sgancio.
- Un circuito di uscita modifica l'alimentazione dell'elettrovalvola.
- L'elettrovalvola devia o scarica l'aria di strumentazione.
- L'attuatore pneumatico si muove.
- La valvola di processo raggiunge la posizione sicura definita.
- Quando richiesto, il feedback di posizione conferma il risultato.
Il confine dell'elemento finale può includere anche cablaggi, morsetti, alimentatori, filtri dell'aria pilota, tubi, booster, dispositivi di scarico rapido, silenziatori e collegamenti meccanici. Uno scarico ostruito, una pressione pilota insufficiente, una funzione del cursore errata o un attuatore grippato possono impedire l'arresto anche quando la bobina dell'elettrovalvola funziona correttamente.
Per il normale comportamento di porte e bobina, consulta la guida separata su come le elettrovalvole pneumatiche controllano l'aria compressa. La revisione di sicurezza funzionale inizia dopo aver compreso questo funzionamento di base.
Misure di guasto obiettivo per SIL 1, SIL 2, SIL 3 e SIL 4
Le quattro fasce SIL coprono ciascuna un ordine di grandezza della misura di guasto obiettivo. Per le funzioni di sicurezza a bassa richiesta, la IEC 61508 usa PFDavg; per le funzioni ad alta richiesta o continue, usa PFH per ora. Gli intervalli seguenti si applicano alla funzione di sicurezza completa, non a una valvola generica considerata isolatamente (IEC, 2022; Manuale di sicurezza SIL ABB, 2025).
| SIL | PFDavg a bassa richiesta | Fascia approssimativa del fattore di riduzione del rischio | PFH ad alta richiesta o continuo |
|---|---|---|---|
| SIL 1 | at least 10⁻² and below 10⁻¹ | above 10 through 100 | at least 10⁻⁶ and below 10⁻⁵ per hour |
| SIL 2 | at least 10⁻³ and below 10⁻² | above 100 through 1,000 | at least 10⁻⁷ and below 10⁻⁶ per hour |
| SIL 3 | at least 10⁻⁴ and below 10⁻³ | above 1,000 through 10,000 | at least 10⁻⁸ and below 10⁻⁷ per hour |
| SIL 4 | at least 10⁻⁵ and below 10⁻⁴ | above 10,000 through 100,000 | at least 10⁻⁹ and below 10⁻⁸ per hour |
Queste sono fasce obiettivo, non etichette di settore. Un impianto chimico non è automaticamente SIL 2 e un'applicazione nel settore energetico non è automaticamente SIL 3. L'analisi dei pericoli e la valutazione dei rischi definiscono l'azione di sicurezza e la riduzione del rischio richieste. Il progetto deve poi dimostrare che la funzione completa soddisfa quel requisito.
Non assegnare l'intero budget PFDavg all'elettrovalvola. Sensori, risolutore logico e ogni elemento del percorso di arresto contribuiscono al totale. Il calcolo di progetto deve indicare metodo di ripartizione, tassi di guasto, intervalli di prova, ipotesi di riparazione, copertura diagnostica, ipotesi sui guasti per causa comune e tempo di missione.
Quattro verifiche delle evidenze per l'idoneità della valvola
Una SIF deve soddisfare più di una verifica numerica. Le indicazioni exida attuali individuano tre requisiti di progettazione della IEC 61511: PFDavg o PFH, vincoli architetturali e capacità sistematica; l'idoneità all'applicazione è un'ulteriore verifica ingegneristica (exida, 2025). Il solo superamento di un calcolo PFDavg non è sufficiente.
1. Quali dati sui guasti casuali dell'hardware si applicano?
Richiedi i tassi di guasto pericoloso rilevato e non rilevato, i dati sui guasti sicuri quando pertinenti, le ipotesi diagnostiche, la vita utile e la fonte dei dati. Conferma se i valori derivano da un'FMEDA, dall'analisi dei resi dal campo, da evidenze di uso precedente o da un altro metodo documentato.
Il PFDavg è sensibile a più fattori del solo tasso di guasto principale. Intervallo della prova di verifica, copertura della prova, diagnostica, tempo di riparazione, architettura di voto e ipotesi sui guasti per causa comune possono modificare il risultato. Usa le condizioni indicate nel manuale di sicurezza invece di copiare un numero da una pagina commerciale.
2. Quale vincolo architetturale si applica?
La tolleranza ai guasti hardware, o HFT, descrive quanti guasti hardware possono essere tollerati prima di perdere la funzione di sicurezza. La frazione di guasti sicuri, o SFF, viene usata in uno dei percorsi di valutazione architetturale. Nessuna delle due metriche è un indice di affidabilità autonomo e un valore SFF non può superare il 100%.
L'aggiunta di una seconda elettrovalvola non produce automaticamente SIL 3. Un'architettura 1oo2 può ridurre la probabilità di guasto pericoloso per un'azione di arresto, ma può aumentare gli sganci intempestivi e introdurre aria pilota, alimentazione, scarico o contaminazione condivisi come percorsi di guasto per causa comune. Un'architettura 2oo2 si comporta ancora diversamente. I requisiti di sicurezza devono definire il voto previsto e la risposta ai guasti.
3. Quale capacità sistematica è supportata?
La capacità sistematica riguarda progettazione, specifiche, fabbricazione, software quando presente, documentazione e controlli del ciclo di vita che i calcoli dei guasti casuali non possono catturare. Verifica la capacità sistematica indicata nel certificato, la revisione del prodotto, le restrizioni e il processo approvato per le modifiche.
4. La valvola è adatta al servizio reale?
I dati di sicurezza funzionale non annullano i limiti di pressione, temperatura, fluido, portata, servizio elettrico, protezione contro l'ingresso, area pericolosa o materiali. Una valvola qualificata usata al di fuori delle condizioni operative valutate non conserva le ipotesi alla base dei propri dati di guasto.
La verifica più rapida del certificato consiste in una corrispondenza a quattro elementi: codice d'ordine esatto, azione di sicurezza esatta, campo operativo esatto e ipotesi di manutenzione esatte. Una brochure di famiglia che corrisponde solo a marca e serie lascia troppa incertezza nel documento di progetto della SIF.
In che modo la funzione della valvola e lo stato diseccitato influiscono sulla sicurezza?
Il Tipo 6519 di Bürkert comprende tre funzioni direzionali, 3/2, 5/2 e 5/3, ma la sua dichiarazione SIL 2 è limitata alle funzioni di circuito monostabili C, D e H specificate e resta dipendente dall'architettura (Bürkert Tipo 6519, 2026). Il solo numero di porte o un attacco NAMUR non può quindi definire lo stato sicuro del processo.
Inizia dal risultato richiesto al processo:
- La valvola di processo deve chiudere, aprire, mantenere la posizione o scaricare?
- Che cosa deve accadere dopo la perdita dell'alimentazione elettrica?
- Che cosa deve accadere dopo la perdita dell'aria di strumentazione?
- La pressione intrappolata, un silenziatore ostruito o un booster possono impedire il movimento?
- È disponibile il ritorno a molla e muove la valvola di processo nella direzione richiesta?
- Il sistema deve rilevare il mancato movimento o soltanto comandare l'azione?
Il comando di sgancio alla diseccitazione è comune perché la perdita di alimentazione avvia l'azione di sicurezza, ma non è universalmente più sicuro. Il comando di sgancio all'eccitazione può essere giustificato da un pericolo diverso. La decisione deve essere riportata nella Specifica dei requisiti di sicurezza, insieme a tempo di risposta, limite di perdita, posizione finale, comportamento di reset e requisiti diagnostici.
Una valvola 3/2 normalmente chiusa può scaricare un attuatore con ritorno a molla quando viene diseccitata. Una valvola 5/2 monostabile può portare un attuatore a doppio effetto in una posizione definita. La condizione centrale di una 5/3 può bloccare, scaricare o pressurizzare le porte, e queste alternative producono comportamenti ai guasti molto diversi. La guida alle elettrovalvole standard NAMUR spiega l'interfaccia meccanica e il confine della funzione del circuito.
Si può usare un'elettrovalvola standard in una funzione strumentata di sicurezza?
Secondo le attuali indicazioni exida, la qualificazione delle apparecchiature prevista dalla IEC 61511 segue due percorsi riconosciuti: usare un dispositivo certificato IEC 61508 per la capacità richiesta oppure documentare una giustificazione basata sull'uso precedente (exida, 2025). Una valvola non certificata non è automaticamente vietata, ma la semplice familiarità non documentata o le prove frequenti non costituiscono evidenza di uso precedente.
La giustificazione basata sull'uso precedente deve essere specifica per l'applicazione. Deve dimostrare condizioni di servizio, profili operativi, ambienti, modalità di guasto e controlli organizzativi sufficientemente simili. Servono inoltre uno storico operativo credibile, la registrazione dei guasti, il controllo della configurazione e l'evidenza che i guasti sistematici pertinenti siano controllati in modo accettabile.
Questo percorso può essere difficile quando cambiano i codici d'ordine, i guasti sul campo non vengono registrati in modo coerente, le condizioni di servizio variano o i prodotti restituiti vengono analizzati solo per motivi di garanzia. La certificazione spesso semplifica il pacchetto di evidenze, ma anche un dispositivo certificato richiede la verifica applicativa e un calcolo completo della SIF.
La decisione d'acquisto deve quindi distinguere tre domande:
- Il dispositivo esatto è qualificato rispetto ai requisiti sui guasti sistematici?
- I suoi dati sui guasti casuali dell'hardware supportano il calcolo della SIF?
- L'architettura installata soddisfa i vincoli richiesti e realizza l'azione sicura?
Se manca una delle risposte, la dicitura «con classificazione SIL» in un'offerta non è sufficiente.
Che cosa mantiene davvero la prova di verifica?
Un'integrazione alle istruzioni per la prova di verifica di un'elettrovalvola ASCO stabilisce che l'intervallo della prova non debba essere maggiore di quello usato nel calcolo di affidabilità della SIF. Le indicazioni specifiche del prodotto raccomandano un'ispezione fisica annuale e indicano cinque anni come intervallo massimo d'ispezione per quella configurazione documentata (Emerson, 2020). Questi valori non sono intervalli universali per ogni valvola.
La prova di verifica cerca i guasti pericolosi non rilevati che la diagnostica automatica non ha evidenziato. Una procedura utile definisce:
- la configurazione della valvola e l'azione di sicurezza coperte;
- come bypassare la SIF o proteggere il processo durante la prova;
- i controlli di diseccitazione elettrica e di risposta pneumatica;
- i criteri di accettazione del movimento dell'attuatore e della valvola di processo;
- l'ispezione per contaminazione, corrosione, umidità e porte ostruite;
- la copertura della prova usata nel calcolo PFDavg;
- il ripristino, la rimozione del bypass e la verifica indipendente;
- la registrazione dei guasti e il ritorno dei dati nell'analisi di affidabilità.
Prove più frequenti possono ridurre il tempo durante il quale un guasto latente coperto rimane nascosto. Non modificano la capacità sistematica del prodotto, non correggono un'architettura errata e non dimostrano una modalità di guasto che la procedura non esercita mai. La prova a corsa parziale può migliorare la copertura diagnostica per alcuni guasti di movimento, ma non sostituisce una prova completa dell'azione di sicurezza richiesta.
Anche le modifiche di manutenzione sono importanti. Sostituire una bobina, un kit di guarnizioni, un connettore, un lubrificante o un comando manuale può portare l'insieme al di fuori della configurazione valutata. Gestisci le sostituzioni legate alla sicurezza attraverso il processo del sito per la gestione delle modifiche e conserva certificato, manuale di sicurezza e procedura di prova nella scheda dell'asset installato.
Confine tra IEC 61511, IEC 62061 e ISO 13849
La IEC 61511 riguarda le applicazioni SIS nell'industria di processo, mentre la ISO 13849-1:2023 si applica ai sistemi di comando legati alla sicurezza per macchinari nei modi ad alta richiesta e continuo, inclusa la tecnologia pneumatica. La ISO esclude esplicitamente il funzionamento a bassa richiesta dall'ambito di quell'edizione (IEC 61511-1, 2016; ISO 13849-1, 2023).
Definisci il confine applicativo prima di scegliere la terminologia:
| Contesto applicativo | Quadro normativo principale tipico | Espressione tipica dell'integrità |
|---|---|---|
| Arresto di processo, sgancio del bruciatore, HIPPS o isolamento di emergenza | IEC 61511 nel quadro IEC 61508 | SIL e PFDavg o PFH |
| Riparo della macchina, prevenzione di movimenti pericolosi o scarico dell'energia pneumatica | ISO 13849-1 o IEC 62061, secondo le norme macchina applicabili | PL o SIL, normalmente con metriche ad alta richiesta/continue |
| Atmosfera esplosiva | ATEX, IECEx o norme HazLoc nazionali | marcatura di protezione dell'apparecchiatura, non integrità della sicurezza funzionale |
La IEC 62061 specifica requisiti di progettazione, integrazione e validazione per i sistemi di comando legati alla sicurezza dei macchinari e ora comprende nel proprio ambito anche le tecnologie non elettriche (IEC 62061, 2026). La guida all'integrazione delle valvole di scarico di sicurezza tratta più nel dettaglio l'aspetto della protezione delle macchine.
L'approvazione ATEX o IECEx risponde a una domanda diversa: l'apparecchiatura è adatta a una determinata atmosfera esplosiva? Non dimostra che la valvola eseguirà una funzione di arresto specificata con l'integrità richiesta. La guida alla specifica delle valvole ATEX e HazLoc spiega come verificare separatamente queste marcature.
Che cosa deve contenere una richiesta di offerta per un'elettrovalvola SIL?
Una richiesta di offerta utilizzabile richiede più di un numero SIL indicato in modo generico. Poiché una SIF deve soddisfare requisiti PFDavg/PFH, architetturali e sistematici, l'acquirente dovrebbe richiedere almeno dieci campi di evidenza prima di approvare una sostituzione (exida, 2025). In questo modo si evita di scambiare una famiglia di prodotti ampiamente certificata per una configurazione installata approvata.
| Campo della richiesta di offerta | Informazioni richieste |
|---|---|
| Funzione di sicurezza | aprire, chiudere, scaricare, mantenere o isolare; attivatore dello sgancio e stato sicuro |
| Norma applicativa | IEC 61511, IEC 62061, ISO 13849 o altra norma applicabile |
| Integrità richiesta | SIL o PL obiettivo e modo di richiesta |
| Hardware esatto | costruttore, serie, codice d'ordine completo, revisione e accessori |
| Ambito del certificato | emittente, numero del certificato, modello/opzioni coperte e capacità sistematica |
| Dati di affidabilità | tassi di guasto, vita utile, riferimento a FMEDA o rapporto di valutazione |
| Architettura | 1oo1, 1oo2, 2oo2 o altra configurazione; diagnostica e controlli dei guasti per causa comune |
| Condizioni pneumatiche | pressione di alimentazione, pressione pilota minima, portata, percorso di scarico e qualità dell'aria |
| Condizioni elettriche/ambientali | tensione, servizio, temperatura, ingresso e requisiti per area pericolosa |
| Prova di verifica | procedura, intervallo, copertura, limiti di accettazione e controlli di ripristino |
Richiedi anche il manuale di sicurezza aggiornato, non soltanto il certificato. Il manuale deve identificare restrizioni, comportamento ai guasti, requisiti d'installazione, procedure di prova, ipotesi diagnostiche e qualsiasi configurazione che renda non valida la dichiarazione valutata.
Per le sostituzioni, confronta prima le ipotesi e poi le dimensioni. Una valvola può corrispondere all'attacco NAMUR, alla dimensione delle porte e alla tensione della bobina, ma non superare la revisione di sicurezza perché il percorso di flusso allo stato diseccitato, la pressione pilota minima, l'ambito del certificato o la copertura della prova differiscono dal progetto approvato.
Regola finale di selezione
Prima di accettare un'elettrovalvola in una SIF devono concordare tre verifiche: il dispositivo esatto deve essere qualificato, i suoi dati di guasto devono rientrare nel calcolo PFDavg o PFH e l'architettura installata deve realizzare l'azione sicura specificata. Un certificato può supportare tutte e tre le revisioni, ma non può eseguirle al posto del progettista o dell'operatore.
Registra le evidenze nella Specifica dei requisiti di sicurezza, nel calcolo di verifica, nell'elenco dei dispositivi, nei disegni d'installazione e nella procedura di prova. Poi valida l'azione completa installata in condizioni realistiche di alimentazione, aria, carico e ambiente. È questo che trasforma un componente idoneo in una parte di una funzione di sicurezza difendibile.
FAQ sulle elettrovalvole con classificazione SIL: che cosa devono verificare gli acquirenti?
La IEC definisce quattro livelli SIL, ma gli acquirenti devono comunque verificare tre requisiti di progettazione per la SIF completa: PFDavg o PFH, vincoli architetturali e capacità sistematica. Queste cinque domande colmano le lacune più comuni tra la dichiarazione del fornitore «idonea per SIL» e una funzione di sicurezza installata e validata (IEC, 2022; exida, 2025).
La IEC 61508 assegna direttamente un SIL a un'elettrovalvola?
Non nello stesso senso in cui lo assegna a una funzione di sicurezza completa. La IEC stabilisce che il SIL è una proprietà della funzione di sicurezza. Un'elettrovalvola può avere una capacità sistematica valutata, dati di guasto e restrizioni architetturali che la rendono adatta all'uso fino a un SIL dichiarato, ma la SIF completa deve comunque essere calcolata e validata.
Che cosa significa «idonea per SIL 3» nella scheda tecnica di una valvola?
Significa che la valvola valutata può contribuire a una funzione di sicurezza SIL 3 quando sono rispettati la configurazione certificata esatta, i limiti operativi, la capacità sistematica e le restrizioni architetturali. Non significa che un circuito 1oo1 raggiunga automaticamente SIL 3 né che l'intero budget PFDavg o PFH venga assegnato a quella valvola.
Si può usare un'elettrovalvola non certificata in una SIF?
Potenzialmente sì, ma la IEC 61511 richiede un percorso di qualificazione difendibile. Le indicazioni exida attuali individuano due vie: certificazione IEC 61508 o giustificazione documentata basata sull'uso precedente. L'uso precedente richiede servizio, storico operativo, registri dei guasti e controllo della configurazione comparabili. La familiarità con una valvola o le prove frequenti, da sole, non soddisfano questo requisito di evidenza.
La prova di verifica aumenta la classificazione SIL di una valvola?
No. La prova di verifica può rivelare guasti pericolosi non rilevati coperti e ridurne il contributo al PFDavg quando l'intervallo e la copertura documentati sono inclusi nel calcolo. Non aumenta la capacità sistematica, non elimina i vincoli architetturali e non verifica modalità di guasto estranee alla procedura. L'intervallo appartiene al piano di affidabilità della SIF completa.
La certificazione ATEX o IECEx equivale all'idoneità SIL?
No. ATEX e IECEx riguardano l'uso dell'apparecchiatura in atmosfere esplosive specificate, mentre IEC 61508 e IEC 61511 riguardano la sicurezza funzionale. Una valvola può richiedere entrambi i gruppi di evidenze, ma uno non può sostituire l'altro. Verifica separatamente marcatura per area pericolosa, certificato di sicurezza funzionale e progetto della SIF installata come attività di accettazione.
Fonti e riferimenti tecnici
- IEC. Panoramica della IEC 61508 e della sicurezza funzionale. Definizione del SIL, fasce di riduzione del rischio, confine della funzione di sicurezza e concetti del ciclo di vita. Consultato il 27 luglio 2026.
- IEC. IEC 61511-1:2016. Requisiti per specifica, progettazione, installazione, esercizio e manutenzione dei SIS nell'industria di processo. Consultato il 27 luglio 2026.
- IEC. IEC 62061:2021 con emendamenti 2024 e 2026. Quadro per i sistemi di comando dei macchinari legati alla sicurezza. Consultato il 27 luglio 2026.
- ISO. ISO 13849-1:2023. Sistemi di comando dei macchinari legati alla sicurezza, inclusa la tecnologia pneumatica. Consultato il 27 luglio 2026.
- Bürkert. Elettrovalvola Tipo 6519. Dichiarazione condizionata SIL 2 per funzioni di circuito monostabili specificate. Consultato il 27 luglio 2026.
- Emerson. ASCO Serie 327. Classificazione specifica del prodotto secondo IEC 61508 e come prodotto idoneo per SIL. Consultato il 27 luglio 2026.
- Emerson. Istruzioni per la prova di verifica delle elettrovalvole ASCO. Scopo, intervallo e procedura della prova specifici del prodotto. Consultato il 27 luglio 2026.
- exida. Come una SIF raggiunge il proprio obiettivo SIL. PFDavg/PFH, vincoli architetturali e capacità sistematica. Consultato il 27 luglio 2026.
- exida. Giustificazione basata sull'uso precedente. Qualificazione delle apparecchiature tramite certificazione o evidenze di uso precedente. Consultato il 27 luglio 2026.
- ABB. Manuale di sicurezza SIL EL3000/EL3060. Riferimento alle fasce obiettivo PFDavg e PFH e alla terminologia dell'integrità della sicurezza. Consultato il 27 luglio 2026.