Seguridad funcional: SIL y PL, conceptos clave

Qué es la seguridad funcional

Una instalación industrial se protege de dos maneras. La primera es inherente: diseñar para que el peligro no exista o sea pequeño, con guardas fijas, distancias, materiales compatibles o energías limitadas. La segunda es funcional: una función de seguridad vigila una condición y, si se sale de lo previsto, lleva el proceso o la máquina a un estado seguro. La seguridad funcional es la parte de la seguridad global que depende de que esa función actúe correctamente cuando se la necesita.

Ejemplos habituales en una planta: la parada de emergencia de una línea, la cortina de luz que detiene una prensa al invadir la zona y el enclavamiento de una puerta de acceso a una celda robotizada. Otros son el corte de combustible de un horno por llama perdida, el cierre de una válvula por presión excesiva o la retirada segura del par de un motor accionado por variador. En todos los casos hay tres bloques: un sensor o dispositivo de entrada, una lógica que decide y un elemento final que ejecuta.

El criterio central es que la función debe ser más confiable que el peligro que cubre. Cuánto más, lo dicen los niveles SIL y PL.

SIL y PL: dos escalas para la misma pregunta

El nivel de integridad de seguridad (SIL) nace en la norma IEC 61508, la norma base de seguridad funcional de sistemas eléctricos, electrónicos y programables. Define cuatro niveles, de SIL 1 el menos exigente a SIL 4 el más exigente. Cada nivel está asociado a un intervalo de probabilidad de fallo peligroso: para funciones que se demandan pocas veces al año se habla de probabilidad de fallo peligroso por demanda. Para funciones que trabajan en forma continua o con demanda frecuente, de frecuencia de fallo peligroso por hora. En ambos casos, un SIL mayor significa un valor admisible menor. Las cifras exactas están en la norma, que es de pago, y no se reproducen aquí.

El nivel de desempeño (PL) pertenece a ISO 13849, orientada a las partes de los sistemas de mando relacionadas con la seguridad en maquinaria. Usa cinco niveles, de a (el menor) a e (el mayor), también definidos por una probabilidad de fallo peligroso por hora. Es una escala distinta con otra manera de calcularse: depende de la categoría de la arquitectura, del tiempo medio hasta el fallo peligroso de los componentes, de la cobertura de diagnóstico y de las medidas contra fallos de causa común.

La familia de normas se reparte por sector:

Una lectura útil para el usuario final: en una planta de proceso, las funciones instrumentadas de seguridad se manejan con IEC 61511. En una máquina o línea de manufactura, con ISO 13849 o IEC 62061, a elección del diseñador según la tecnología empleada. El fabricante de un componente certificado suele declarar el dato en ambas escalas.

Cómo se determina el nivel requerido

El nivel no se escoge por costumbre ni por el catálogo. Sale de una evaluación de riesgo documentada, y los métodos más usados son cualitativos o semicuantitativos.

• En maquinaria, el método clásico considera la gravedad de la lesión, la frecuencia o duración de la exposición y la posibilidad de evitar el peligro. De esas tres respuestas resulta el PL requerido, con un gráfico de riesgo. La evaluación se hace por cada peligro y por cada función de seguridad asociada.
• En proceso, se parte de un estudio de peligros como el HAZOP. Se identifican los escenarios que requieren una función instrumentada y se asigna el nivel con métodos como la matriz de riesgo, el gráfico de riesgo calibrado o el análisis de capas de protección (LOPA). Este último cuenta cuánto riesgo ya retiran las otras capas, como el diseño, las alarmas, las válvulas de alivio y la respuesta del operador, y asigna a la función instrumentada lo que falta.

Un error de método es asignar un nivel alto «por si acaso». Una función sobredimensionada encarece el proyecto, aumenta el mantenimiento y las pruebas, y puede producir paradas innecesarias que a su vez son un riesgo. El nivel debe ser el que el análisis justifica.

Qué hace que una función alcance su nivel

Alcanzar un SIL o un PL no depende de un solo componente certificado. Intervienen varios factores que se evalúan en conjunto.

1. Arquitectura. Un canal único, dos canales redundantes con comparación o una votación como dos de tres. La redundancia tolera fallos, pero tiene costo: añade componentes que a su vez pueden fallar y que se deben probar.
2. Fiabilidad de los componentes. Cada dispositivo tiene una tasa de fallos peligrosos y una tasa de fallos seguros. Se obtienen de las fichas de seguridad del fabricante.
3. Diagnóstico. La capacidad de detectar internamente un fallo peligroso antes de que se acumule. Un relé de seguridad con contactos guiados que se vigilan, o una salida de seguridad con prueba de impulsos, aportan diagnóstico.
4. Fallos de causa común. Una misma causa, como una sobretensión, un cable aplastado, una fuente común o un error de especificación, que anula los dos canales a la vez. La separación física, la diversidad y las fuentes independientes lo mitigan.
5. Capacidad sistemática y software. Los fallos de diseño y de programación no se calculan con una tasa: se previenen con procesos, revisiones, verificación y herramientas apropiadas. Por eso la lógica de seguridad se programa en bloques certificados y se separa de la lógica de proceso.
6. Pruebas periódicas. En funciones de baja demanda, el intervalo de prueba entra al cálculo. Si la función casi nunca se activa, hay que ejercitarla de forma planificada para descubrir fallos ocultos.

Ejemplo numérico ilustrativo

Valores inventados solo para mostrar el razonamiento; no corresponden a ningún equipo.

Una línea de empaque tiene una zona de acceso con puerta y enclavamiento. La evaluación de riesgo concluye que la función «abrir la puerta detiene el movimiento y retira la energía» necesita un PL d. El diseñador propone: dos interruptores de puerta con contactos separados, un relé de seguridad que los vigila y dos contactores en serie que retiran la alimentación del accionamiento, con realimentación de los contactos de espejo.

Supongamos que el fabricante informa para cada elemento una vida media hasta fallo peligroso alta y que el relé de seguridad ofrece un diagnóstico alto. Con dos canales y diagnóstico por comparación, la arquitectura corresponde a la categoría 3 o 4, y el cálculo con la herramienta de ISO 13849 da un PL d o superior. Si en cambio se cambia a un solo interruptor de puerta y un solo contactor sin realimentación, la arquitectura es de un canal sin diagnóstico y el PL máximo queda por debajo de lo exigido. El número final depende de datos reales de los componentes y de la norma vigente.

La conclusión práctica es que la redundancia con diagnóstico, y no solo el uso de piezas «de seguridad», es lo que sostiene el nivel.

Errores frecuentes

• Confundir un componente certificado con un sistema certificado. El sistema se valida completo, con sus conexiones y su software.
• Usar el PLC estándar para la función de seguridad y confiar en que «tiene redundancia».
• Poner una seta de emergencia que corta la señal de control pero no retira la energía del actuador cuando el contactor se suelda.
• Olvidar la función de rearme: un rearme automático puede reiniciar una máquina con una persona dentro.
• No documentar las suposiciones del cálculo, como el intervalo de prueba y la tasa de demanda, y luego cambiarlas en la operación.
• Hacer bypass temporales sin control; se vuelven permanentes y la función deja de existir en la práctica.
• Modificar el programa de seguridad sin gestión de cambios ni nueva validación.
• Tratar la seguridad funcional como un trámite del final del proyecto. Se diseña desde la ingeniería básica.

Lista de verificación para un proyecto

• Existe una evaluación de riesgo firmada que identifica cada función de seguridad y su nivel requerido.
• Cada función tiene una especificación de requisitos de seguridad: qué detecta, qué ejecuta, tiempo de respuesta y estado seguro.
• Los componentes tienen datos de seguridad del fabricante y certificados vigentes.
• El cálculo de PL o SIL está hecho y archivado con sus suposiciones.
• La lógica de seguridad está separada de la de proceso y su software está bajo control de versiones.
• Hay un plan de validación y las pruebas de cada función están registradas.
• Está definido el intervalo de pruebas periódicas y quién las ejecuta.
• Existe un procedimiento de gestión de cambios y de bypass.
• El personal de operación y mantenimiento conoce la función y su rearme.

Su proyecto

Cuando la seguridad funcional entra en la ingeniería desde el inicio, el costo y el plazo se mantienen controlados. Nuestro equipo apoya el diseño de ingeniería y estudios de instalaciones industriales y las pruebas y puesta en servicio, donde se verifica que cada función actúa como se especificó. Si necesita revisar el estado de una instalación existente, le cotizamos el alcance.

Guías relacionadas

• Motor de inducción y sus protecciones
• Variador de frecuencia que se dispara
• PLC y automatización de subestaciones
• Dossier de puesta en servicio
• Niveles de comisionamiento
• STO y SS1: seguridad funcional en variadores
• Paro de emergencia y categorías de parada 0, 1 y 2
• Ciberseguridad industrial y IEC 62443: introducción

Referencias

• IEC 61508, Functional safety of electrical/electronic/programmable electronic safety-related systems.
• IEC 61511, Functional safety: safety instrumented systems for the process industry sector.
• IEC 62061, Safety of machinery: functional safety of safety-related control systems.
• ISO 13849-1, Safety of machinery: safety-related parts of control systems.
• Wikipedia, Safety integrity level; ISO 13849 (consulta de conceptos generales).

Preguntas frecuentes