¿Qué es SIL? – Seguridad funcional con SIL La seguridad funcional de un vistazo: por qué el SIL no es obligatorio, pero sí imprescindible

Seguridad funcional entre el nivel SIL y la norma EN 61508: cuando fallan los componentes relevantes para la seguridad, no solo se pone en peligro la producción. Los conceptos de seguridad funcional ayudan a evitar que ocurra lo peor. Sin embargo, solo quien conoce las causas de los fallos puede tomar las medidas preventivas adecuadas.

Los fallos son inevitables: los elementos pueden fallar, los componentes mecánicos desgastarse o los circuitos dejar de funcionar. Pero una cadena es tan fuerte como su eslabón más débil: la avería de un solo componente puede tener graves consecuencias para el funcionamiento y la seguridad de una producción industrial, especialmente si afecta a partes del circuito de medición, control y regulación. El objetivo de la denominada seguridad funcional.

Este concepto cobra cada vez más importancia en la era de los sistemas electrónicos complejos y los controladores lógicos programables, ya que prácticamente todas las funciones de seguridad de una empresa están integradas en las máquinas. Esto plantea retos adicionales: mientras que el estado de los sistemas mecánicos aún puede evaluarse con bastante fiabilidad a partir del desgaste, los componentes electrónicos apenas envejecen. Su vida útil no se ve limitada por el desgaste, el sobrecalentamiento o el agarrotamiento; sin embargo, incluso estos sistemas fallan con el tiempo.

Galería de imágenes

Cumplimiento estricto de las normas: Seguridad funcional según la norma EN 61508

Con el fin de proporcionar a los usuarios un punto de referencia para comparar este tipo de sistemas eléctricos, electrónicos o electrónicos programables (E/E/PE), en 1998 se publicó, con la IEC 61508, una norma internacional para sistemas relacionados con la seguridad que en 2001 se adoptó como norma europea EN 61508.

Por supuesto, no es posible prohibir los accidentes simplemente mediante una norma; por eso, la norma EN 61508 concede gran importancia a la evaluación precisa de los riesgos. Para ello, los expertos han abordado el problema desde dos perspectivas: las consecuencias de un fallo del sistema y la frecuencia. Se distingue entre

• Consecuencias catastróficas (como varias víctimas mortales)
• Consecuencias graves (como un fallecimiento o varios heridos graves)
• Consecuencias leves con algunas lesiones graves aisladas
• Consecuencias de poca importancia, en las que una sola persona resulte levemente herida, así como
• Frecuente
• Probable
• Ocasional
• Improbable
• Extremadamente improbable
• Y un fallo del sistema prácticamente imposible

Con estos criterios, la norma permite clasificar el riesgo en cuatro niveles, desde el I (inaceptable) hasta el IV (insignificante), en orden descendente según su gravedad o probabilidad de que se produzca. Así, un fallo probable de carácter crítico o catastrófico constituiría un riesgo de clase I, mientras que un fallo improbable con consecuencias leves correspondería a la categoría más baja, la IV.

SIL, de la cuna a la tumba: tres letras para una mayor seguridad

De este modo, en función de la finalidad de uso, se puede determinar qué requisitos deben cumplir las tecnologías relevantes para la seguridad. Partiendo de la norma EN 61508, una serie de normativas adicionales establecen los requisitos para los sistemas relevantes para la seguridad en los más diversos sectores; para la industria de procesos se aplica la norma DIN IEC 61511.

Sin embargo, no todos los sistemas instalados en el circuito de control de una planta son eléctricos, electrónicos o programables: las válvulas, los actuadores y los accesorios no están incluidos de forma automática en el ámbito de aplicación de la norma EN 61508. No obstante, estos componentes también pueden analizarse de forma análoga a la determinación de los niveles de integración de seguridad (SIL, por sus siglas en inglés). Para ello, sin embargo, es necesario determinar indicadores como la tasa de fallos o la tolerancia a los fallos.

En principio, los componentes electrónicos se comportan de forma diferente a los mecánicos. Si se representa gráficamente la tasa de fallos —es decir, los fallos en relación con el número total de sistemas analizados— en función del tiempo, los sistemas E/E/EP muestran un patrón típico: mientras que la tasa de fallos es elevada al principio, desciende rápidamente y, a continuación, se mantiene en un nivel prácticamente constante. Hacia el final de la vida útil del dispositivo, vuelve a aumentar considerablemente. Para el operador de la instalación resulta especialmente interesante la larga fase de tasas de fallo constantes; hoy en día, los fabricantes ya intentan superar la «mortalidad infantil» inicial en la propia fábrica mediante métodos de rodaje, como el tratamiento térmico o la optimización de la fabricación.

Cómo calcular las tasas de error: así se aplica el SIL en la práctica

Por el contrario, el comportamiento ante los fallos de los componentes mecánicos se caracteriza por el desgaste: aunque también en este caso existe una fase de fallos tempranos con una alta tasa de fallos, la vulnerabilidad aumenta de forma casi lineal a lo largo de toda la vida útil (la denominada «fase de desgaste»). Por lo tanto, ambos tipos de sistemas, tanto los mecánicos como los eléctricos/electrónicos, presentan una tasa de fallos constante o en aumento constante durante gran parte de su vida útil.

Un informe técnico sobre el temaSIL: implementación segura y eficiente¡También lo encontrará aquí!

En general, conviene limitarse, a la hora de determinar las tasas de error, a la denominada «vida útil», con sus tasas de error constantes. Hay que tener en cuenta que los componentes mecánicos «envejecen» con el uso, mientras que los eléctricos y electrónicos también lo hacen aunque no se utilicen (incluso si solo están almacenados). Para determinar estas tasas de fallo existen diversos métodos de aproximación, aunque en la práctica la norma VDI/VDE 2180-4 ha demostrado su eficacia.

Sin embargo, la determinación de la tasa de fallos varía en algunos casos de forma considerable: así, en el denominado método «descendente» se analiza estadísticamente una «población» lo más amplia posible de los componentes objeto de estudio. Dado que este registro estadístico se basa exclusivamente en la observación, también puede llevarlo a cabo el propio usuario. Dado que, por motivos prácticos, a menudo solo se analizan pequeñas poblaciones de sistemas que suelen tener una estructura compleja, el método descendente no está exento de polémica: con frecuencia tiende a arrojar tasas de fallo elevadas, ya que la escasa relevancia estadística suele verse superada por errores sistemáticos.

Por el contrario, el método ascendente parte del diseñador: en este caso, se agregan las estadísticas y los modos de fallo conocidos y se sintetizan para obtener las tasas de fallo de un sistema completo, lo que requiere acceder a los «conocimientos especializados» del fabricante. De la combinación de bases de datos de fallos y un análisis FME (Failure Mode and Effects Analysis, un análisis de las probabilidades de fallo y sus efectos) se obtienen, por lo general, tasas de fallo más bajas, ya que los fallos sistemáticos desaparecen al tener en cuenta un gran volumen de datos estadísticos.

Qué significa la seguridad funcional para los operadores

Mientras que los fabricantes de equipos y componentes deben suministrar productos fiables, seguros y certificados, corresponde al operador garantizar la seguridad funcional de una instalación. El nivel SIL necesario se puede calcular a partir del riesgo residual de la operación. En principio, se debe aspirar a un valor SIL bajo, ya que ofrece un considerable potencial de ahorro, sobre todo gracias a la selección mucho más amplia de dispositivos y sistemas adecuados. Solo cuando sea inevitable un valor SIL elevado, o cuando de otro modo se requieran costosas medidas constructivas adicionales, se debe aspirar a un valor SIL elevado.

De este modo, el operador da un gran paso hacia la reducción de riesgos exigida por la ley: aunque el uso de componentes con certificación SIL no es en absoluto obligatorio, este enfoque facilita considerablemente la demostración de cumplimiento, debido a que los riesgos y las tasas de fallo ya se conocen. De este modo, tanto la producción como los empleados estarán a salvo incluso en caso de emergencia.