Safety integrity level (SIL)
Para que un sistema no se convierta en un peligro para las personas y el medioambiente en situaciones de emergencia, su diseño debe tener presente la seguridad funcional. Por este motivo, los requisitos SIL son un criterio clave para la ingeniería de sistemas, especialmente en la industria de procesos químicos.
SIL son las siglas de Safety Integrity Level, en español, nivel de integridad de seguridad. SIL es el parámetro internacional utilizado para clasificar la seguridad funcional de un sistema. Existen cuatro niveles de este tipo, desde SIL 1 hasta SIL 4, que exige las medidas más estrictas en caso de máximo riesgo. Para usted esto significa, concretamente, que debe efectuar, a partir de las probabilidades de fallo de los componentes, una evaluación de riesgos exacta, tomar las medidas pertinentes para minimizar los riesgos residuales, seleccionar los equipos adecuados y, por último, asegurar el cumplimiento correcto de las funciones SIL en comprobaciones periódicas.
Normas de seguridad SIL
La clasificación SIL se basa en dos normas internacionales: IEC 61508 e IEC 61511.
La IEC 61508 ("Seguridad funcional de los sistemas eléctricos/electrónicos/electrónicos programables relacionados con la seguridad") es la norma básica. Describe la evaluación de riesgos y las medidas para el diseño de las funciones de seguridad correspondientes. También especifica los requisitos que deben cumplir los componentes individuales del circuito de seguridad. Aquí se incluyen sensores, como medidores de presión, temperatura y nivel, o la unidad de evaluación y salida, así como válvulas de proceso de asiento inclinado automatizadas.
La norma IEC 61511 ("Seguridad funcional. Sistemas instrumentados de seguridad para el sector de la industria de procesos") se aplica especialmente a la automatización de procesos. Esta norma se centra, principalmente, en aplicaciones de baja demanda con requisitos menores habituales en la práctica. La IEC 61511 contiene, entre otras cosas, los criterios de selección de sensores y actuadores, por ejemplo, en lo relativo a la fiabilidad operativa.
Procedimiento SIL en cuatro pasos
Como instalador u operador de un sistema que podría poner en peligro a empleados, residentes o al medioambiente, usted debe mantener el riesgo lo más bajo posible. Las normas IEC 61508 y 61511 prescriben cuatro pasos principales para tal fin:
1. Definición y evaluación de riesgos: en primer lugar debe determinar las probabilidades de fallo correspondientes de todos los componentes, desde el sensor hasta el controlador y el actuador, durante toda la vida útil del sistema.
2. Definición e implementación de las medidas: debe definir e implementar medidas adecuadas para minimizar el riesgo residual.
3. Uso de equipos adecuados: un requisito previo para una comprobación correcta del circuito SIL de su sistema son los componentes y conjuntos modulares aptos para el nivel correspondiente y, dado el caso, certificados.
4. Comprobación periódica: el operador controla en intervalos estipulados el cumplimiento correcto de las funciones de seguridad.
1. Definición y evaluación de riesgos
¿Cuál es el peligro potencial de mi sistema? Todo ingeniero de un sistema técnico de procesos de la industria química debe hacerse esta pregunta. Para poder responderla puede recurrirse a un gráfico de riesgos que, de acuerdo con las normas IEC 61508 y 61511, reúna cuatro parámetros definidos en un árbol de decisiones:
1. Alcance de los daños (S): ¿Cuál es el nivel de gravedad de las consecuencias previsibles?
2. Probabilidad de permanencia (F): ¿Con qué frecuencia y durante cuánto tiempo permanecen las personas en la zona de peligro?
3. Protección/prevención de peligros (P): ¿Puedo prevenir o limitar el evento?
4. Probabilidad de ocurrencia (W): ¿Con qué frecuencia debo esperar un incidente?
La experiencia práctica muestra que los riesgos relacionados con la seguridad se esconden, generalmente, en los detalles y que, a menudo, solo se manifiestan durante el funcionamiento. Un análisis sistemático puede identificar estos puntos débiles ya durante la planificación. Le apoyamos en la evaluación de riesgos conforme a la normativa y le mostramos lo que Festo puede hacer por la seguridad funcional en su caso concreto, ya sea a través de soluciones de sistema completas, conceptos de automatización sofisticados o mediante componentes individuales. Le invitamos a consultarnos en esta fase.
2. Definición e implementación de las medidas
La evaluación sistemática de riesgos de su sistema también muestra qué factores impulsan los requisitos SIL. Algunos de ellos, por ejemplo, la planta de producción, están especificados. Otros son tornillos de ajuste, que permiten un margen de adaptación.
En primer lugar es oportuno centrarse en la probabilidad de fallo. En este sentido tiene la posibilidad de incrementar notablemente la disponibilidad y la fiabilidad, en particular, mediante componentes tolerantes a fallos y sistemas de diseño redundante. En función del proceso, pueden resultar útiles incluso soluciones en las que los componentes individuales puedan verificarse y sustituirse durante el funcionamiento.
Las medidas de seguridad constructivas, por ejemplo, mediante sistemas de descarga de presión, dependen de la producción específica en cada caso particular. En principio, es posible reflexionar sobre cómo se pueden diseñar los procesos para que supongan el menor riesgo posible. Aquí también se incluyen medidas y precauciones constructivas como las descargas de aire, las protecciones contra sobrellenado (por ejemplo, en el caso de tanques de ácido) o los revestimientos de hormigón (en caso de riesgo de explosión).
Asimismo se recomienda elegir equipos y componentes con un historial operativo de eficacia probada que aseguren un uso del sistema prolongado y estable. Esto también incluye materiales termorresistentes, insensibles a los ácidos y protegidos contra la corrosión. Además, hemos desarrollado para prácticamente todos los procesos individuales soluciones que cumplen con los estándares y que han demostrado su eficacia en la industria química y electroquímica: desde el terminal de válvulas con desconexión integrada hasta el control 2oo3 de alta seguridad.
3. Equipos adecuados
La determinación del nivel de integridad de seguridad estipula también que el diseño del circuito SIL debe alcanzar este mismo nivel en todos sus componentes. Eso significa que, como ingeniero, necesita equipos y componentes con la idoneidad SIL requerida. Para ello son necesarias evidencias:
- Declaración del fabricante: hasta SIL 2, los fabricantes evalúan por sí mismos sus equipos. En el caso de SIL 1, una persona independiente realiza la evaluación técnica, mientras que en el caso de la clasificación SIL 2, es un departamento independiente el responsable de ello.
- Certificado: a partir de SIL 3, cada equipo que se utilice en el circuito de seguridad debe estar certificado por una institución independiente de acuerdo con la norma IEC 61508. En Alemania, por ejemplo, se encargan de ello las organizaciones TÜV o Exida.
Puede encontrar todos los certificados SIL y las declaraciones del fabricante de nuestros productos introduciendo el tipo de producto o el número de artículo en el campo de búsqueda superior y en la página de datos del producto en "Descargas y medios".
4. Comprobación periódica
Las funciones de seguridad de su sistema deben verificarse a intervalos regulares. Se trata de un requisito exigido por las normativas legales del Reglamento de régimen interior de seguridad o de las regulaciones de prevención de accidentes, aunque también pueden aplicarse requisitos legales locales. La inspección periódica SIL está prevista, principalmente, para prevenir lesiones personales y daños materiales y medioambientales, pero también sirve para asegurar la fiabilidad del sistema previniendo paradas no planificadas, así como para garantizar la seguridad jurídica de los ingenieros: en caso de daños, estas inspecciones pueden demostrar que el fallo de funcionamiento no está originado por defectos en los equipos o defectos de fabricación.
El propio operador establece los intervalos de inspección. La evaluación de riesgos se basa, entre otras cosas, en los parámetros de seguridad de los componentes SIL individuales. Por lo tanto, en lo relativo al diseño, las soluciones estables que pueden sustituirse sin necesidad de interrumpir el funcionamiento pueden suponer una clara ventaja. Si así lo desea, estaremos encantados de facilitarle plazos recomendados para nuestros productos.
Preguntas frecuentes sobre SIL: preguntas y respuestas
¿Qué significan las abreviaturas en el certificado SIL?
Las hojas de datos del producto, los certificados y los cálculos del modelo para la seguridad funcional utilizan diferentes índices y términos. A continuación le indicamos los más importantes para el cálculo de SIL:
- λ (tasa de fallos); aquí son aplicables las siguientes equivalencias: S para la tasa total de fallos seguros, SD para la tasa de fallos seguros detectables, SU para la tasa de fallos seguros no detectables, D para la tasa total de fallos peligrosos, DD para la tasa de fallos peligrosos detectables, y DU para la tasa de fallos peligrosos no detectables.
- Tipos de equipos: A es la identificación empleada para un equipo en el que el comportamiento ante un fallo de todos los componentes utilizados y el comportamiento ante un error se han determinado adecuadamente, por ejemplo, mediante pruebas operativas. Por el contrario, en el caso de un equipo de tipo B, el comportamiento ante un fallo de al menos un componente utilizado y el comportamiento ante un error no se han determinado suficientemente.
- HFT (Hardware Failure Tolerance): la capacidad de continuar ejecutando una función requerida en caso de errores y desviaciones. En caso de HFT0, un solo error puede provocar la pérdida de la función de seguridad (por ejemplo, en el caso de interconexiones 1oo1). Con HFT1, solo se produce una pérdida de seguridad si al menos dos errores ocurren simultáneamente (por ejemplo, en el caso de interconexiones 1oo2). Con HFT2, deberían producirse al menos tres errores al mismo tiempo (por ejemplo, en caso de interconexiones 1oo3).
- High Demand: un modo de funcionamiento con una tasa de demanda elevada o demanda continua del sistema de seguridad. Funciona de forma continua o se solicita más de una vez al año.
- Low Demand: un modo de funcionamiento con una tasa de demanda baja del sistema de seguridad. No debe solicitarse más de una vez al año.
- MTBF (Mean Time Between Failure): el tiempo medio entre dos fallos consecutivos.
- PFD (Probability of Failure on Demand): la probabilidad de fallo de una función de seguridad con una tasa de demanda baja (< 10 solicitudes/año) = Low Demand.
- PFH (Probability of Failure per Hour): la probabilidad de fallo de una función de seguridad en caso de uso continuo (> 10 solicitudes/año) = High Demand.
- SFF (Safe Failure Fraction): la proporción de fallos seguros del número total de fallos.
¿De qué consta un sistema de seguridad?
Por lo general, un circuito SIL consta de tres segmentos:
- Sensores (por ejemplo, medidores de presión, temperatura y nivel)
- Unidad de evaluación y salida (por ejemplo, PLC de seguridad)
- Válvulas de proceso de asiento inclinado automatizadas compuestas por electroválvula, actuador y válvulas de proceso.
¿Cómo se distribuyen PFD/PFH entre los subsistemas?
La distribución de las probabilidades de fallo entre los sistemas parciales de una función de seguridad es la siguiente para los sistemas de un solo canal: el mayor énfasis está en la probabilidad de fallo SD de los actuadores.
¿Dónde se encuentran los valores para el cálculo de SIL?
Encontrará todas las probabilidades de fallo que necesita para calcular el nivel SIL en las declaraciones del fabricante o en el certificado (resaltados en azul). A partir de estos valores, puede calcular la probabilidad de fallo total (los valores resaltados en gris) dependiendo del nivel SIL.
¿Cuándo se requieren certificados?
Cuanto mayor sea el nivel de seguridad requerido de un sistema, más estrictos serán los requisitos de independencia que ha de cumplir la organización que evalúa la seguridad funcional. De acuerdo con la norma IEC 61511, hasta SIL 2 basta con las declaraciones del fabricante. A partir de SIL 3, se requiere el certificado de una organización independiente como TÜV o Exida.
Nivel de integridad de seguridad - organismo evaluador
SIL 1 - persona independiente
SIL 2 - departamento independiente
SIL 3 - organización independiente
SIL 4 - organización independiente
¿Dónde se encuentran los certificados SIL?
Encontrará los certificados SIL y las declaraciones del fabricante SIL para los productos Festo en la página de datos del producto correspondiente en "Descargas y medios", categoría "Certificados".
¿Cómo puedo controlar los actuadores de forma redundante?
¿Qué soluciones de redundancia SIL tiene Festo?
Festo le proporciona el control redundante adecuado para cada requisito de seguridad:
Bloque NAMUR redundante (1oo2, 2oo2): el bloque NAMUR permite la instalación de dos electroválvulas con patrón de conexiones NAMUR, que se interconectan de forma redundante a través de la interfaz NAMUR. Los bloques están disponibles en función a prueba de fallo (1oo2) o con disponibilidad superior (2oo2). Puede montar el bloque directamente en actuadores giratorios a través de la interfaz. Asimismo, es posible una instalación separada con el sistema de tuberías correspondiente.
Válvulas en línea redundantes (1oo2, 2oo2): Festo utiliza la tecnología de válvulas VOFD de eficacia probada para estos sistemas compactos. La válvula se interconecta de forma redundante y asegura un funcionamiento redundante a prueba de fallo (1oo2) o una disponibilidad superior (2oo2) en válvulas de proceso de asiento inclinado automatizadas. El revestimiento de Ematal permite que una válvula satisfaga los estándares de seguridad más rigurosos en la ingeniería de procesos y resista las condiciones ambientales más duras.
Bloque de válvulas combinado (2oo3): el sistema 2oo3 combina ambas tecnologías y, de este modo, proporciona la máxima seguridad y disponibilidad. Este bloque de válvulas es una variante en línea que se conecta a su sistema. Las válvulas estándar están definidas a través la interfaz NAMUR conforme a VDI/VDE 3845 y están montadas en el bloque. Esto significa que el bloque se instala una única vez; solo las válvulas se cambian a través de la interfaz de acuerdo con el plan Service Life/Safety Lifecycle. Con este sistema, también puede omitir las funciones de las cuatro válvulas utilizando una derivación de modo que el mantenimiento se pueda llevar a cabo durante el funcionamiento. Los indicadores de presión montados directamente en el bloque le señalizan de forma fiable y rápida si una válvula está bajo presión.
¿Quién lo debería saber?
Le invitamos a solicitar la opinión de sus especialistas antes de decidirse por Festo. Puede compartir fácilmente nuestras propuestas de soluciones y ejemplos de aplicación con este enlace.