En la seguridad de funcionamiento, una función de seguridad de una máquina debe hacer más que reaccionar una sola vez. Debe funcionar de manera fiable bajo condiciones de funcionamiento previsibles y condiciones de fallo.
Es ahí donde los Niveles de Prestaciones, o PL, adquieren importancia. Un Nivel de Prestaciones especifica la capacidad de las partes relacionadas con la seguridad de un sistema de control distribuido para ejecutar una función de seguridad definida. En la práctica, esto ayuda a los ingenieros a evaluar si un circuito de seguridad o un subcircuito de seguridad proporcionan el nivel requerido de reducción del riesgo.
Este artículo ofrece un sumario compacto de los parámetros principales utilizados para determinar el nivel de prestaciones. Está destinado como una guía técnica, no como un sustituto de una evaluación de riesgos específica de un proyecto, validación o revisión de normas.
Un nivel de prestaciones describe la capacidad de un circuito de seguridad para realizar una función de seguridad en condiciones previsibles. Los niveles de prestaciones se especifican en cinco niveles distintos:
PL a representa el nivel más bajo y PL e el nivel más alto dentro de esta clasificación.
Los niveles de prestaciones se determinan únicamente para circuitos de seguridad completos o subcircuitos de seguridad completos. No se asignan a componentes estándar aislados sin considerar la arquitectura del circuito y la función completa relacionada con la seguridad.
Antes de que se pueda evaluar un nivel de prestaciones, se debe evaluar el riesgo de la máquina. La evaluación de riesgos define el nivel requerido de reducción de riesgo para cada función de seguridad.
Basándose en esa evaluación de riesgos, se asigna un nivel de prestaciones requerido a cada circuito de seguridad que ejecuta una función o subfunción de seguridad. El nivel de prestaciones alcanzado por el circuito implementado debe evaluarse posteriormente en función de ese requisito.
Esta secuencia es importante:
1. Identifique el peligro
2. Determine el nivel de prestaciones requerido
3. Defina la función de seguridad requerida
4. Diseñe el circuito de seguridad o subcircuito de seguridad
5. Evalúe si el nivel de prestaciones alcanzado cumple con el requisito
6. Valide la función de seguridad en el contexto de la máquina
Varios parámetros cuantitativos y cualitativos influyen en el nivel de prestaciones alcanzado. El siguiente sumario explica los más importantes.
La estructura de un circuito de seguridad depende del diseño de los componentes, la diagnosis y las medidas de fiabilidad. Estas estructuras se dividen en categorías B a 4.
La categoría describe cuán resistente es el circuito de seguridad a fallos y cómo se comporta el circuito cuando ocurre un fallo. Por ejemplo, la arquitectura puede influir en si un único fallo puede conducir a la pérdida de la función de seguridad o si el fallo es detectado y gestionado.
El tiempo medio hasta un fallo peligroso, o MTTFD considera la fiabilidad de los componentes utilizados en el circuito de seguridad.
MTTFD se centra en los fallos peligrosos. Estas son fallos que pueden impedir que la función de seguridad se lleve a cabo correctamente. Los datos de fiabilidad de todos los componentes relevantes relacionados con la seguridad deben considerarse en el contexto del circuito completo.
Cobertura de diagnosis, o DC, mide la efectividad de la diagnosis en el circuito de seguridad.
Describe la proporción de fallos peligrosos que pueden ser detectados en comparación con los fallos peligrosos que permanecen sin detectarse. En general, un mayor riesgo requiere una diagnosis más efectiva. Por lo tanto, las medidas de diagnosis pueden tener una gran influencia en el nivel de prestaciones logrado.
Fallos por Causa Común, o CCF, ocurren cuando dos o más fallos independientes son causados por el mismo problema.
Esto es especialmente relevante para los circuitos de seguridad de múltiples canales. Incluso si dos canales se diseñan por separado, una causa común como el estrés ambiental, una instalación incorrecta, diseños probablemente inadecuados o un problema de alimentación compartida pueden afectar ambos canales. Las medidas contra fallos por causas comunes ayudan a reducir la probabilidad de que múltiples canales fallen por la misma razón.
Debe evaluarse el comportamiento de un circuito de seguridad en condiciones de fallo. Los fallos y averías importantes deben analizarse utilizando métodos adecuados como:
Dependiendo de la aplicación, la categoría del circuito y los componentes seleccionados, pueden ser necesarias medidas adicionales de diseño o diagnosis para cumplir con los requisitos de la norma ISO 13849.
Si el software de usuario orientado a la seguridad forma parte del sistema de control distribuido, el proceso de desarrollo debe incluir medidas para prevenir fallos.
Un modelo de desarrollo estructurado, como el modelo en V, puede dar soporte a la especificación, implementación, verificación y validación. El objetivo es crear software que sea legible, comprensible, comprobable, mantenible y lo más libre de fallos posible.
Las averías sistemáticas no son fallos aleatorios de hardware. A menudo son el resultado de causas relacionadas con el factor humano, el proceso o el diseño.
Ejemplos incluyen:
Un plan de seguridad de funcionamiento es una de las herramientas más importantes para abordar las averías sistemáticas. Define medidas para prevenir especificaciones, implementaciones, verificaciones, validaciones o modificaciones posteriores incorrectas de funciones relacionadas con la seguridad.
La evaluación final del nivel de prestaciones reúne todos los parámetros relevantes. El sumario debe mostrar cómo la categoría del circuito, el MTTFD, la cobertura de la diagnosis, las medidas de los Fallos de Causa Común, el comportamiento ante averías, la calidad del software y las medidas contra fallos sistemáticos contribuyen al PL alcanzado de la función de seguridad.
Evaluar el nivel de prestaciones no es solo un ejercicio de cálculo. Es una tarea de ingeniería de seguridad que depende del contexto completo de la máquina.
El mismo componente puede comportarse de manera diferente según la función de seguridad, la estructura del circuito, la diagnosis, el software, el entorno y el concepto de validación. Es por eso que los circuitos relacionados con la seguridad deben evaluarse en relación con las funciones generales o subfunciones, no con los componentes aislados.
Festo proporciona a los constructores de máquinas componentes de automatización, documentación y conocimiento de aplicaciones que pueden ayudarles durante el trabajo de diseño relacionado con la seguridad. La responsabilidad final de la evaluación de riesgos, la implementación y la validación recae en el constructor de la máquina o en el equipo de ingeniería.