En primer lugar, los riesgos existentes se identifican durante el análisis de riesgos. A continuación, se debe determinar si la reducción es necesaria para cada riesgo identificado. En caso afirmativo, la reducción debe cuantificarse con los métodos de análisis de riesgos que ofrezcan resultados en forma de un requisito SIL.

Un requisito SIL bajo (SIL 1) significa que sólo es necesaria una reducción de riesgos igualmente baja, mientras que un SIL mayor (por ejemplo, SIL 3) requiere un mayor grado de reducción de riesgos.

Hay disponibles varios procedimientos para identificar los riesgos y cuantificar la reducción aplicable necesaria, por lo general con la ayuda de un software. El proceso para identificar riesgos suele realizarse junto con el "Estudio de riesgos y operabilidad" (o HAZOP). Los métodos habituales para cuantificar la reducción de riesgos necesaria (evaluación SIL) incluyen un gráfico de riesgos, la capa de análisis de protección (LOPA) y una matriz de riesgos.

2. Implementación de la reducción de riesgos

Por lo general, el riesgo se reduce instalando otros circuitos PLT que sirven como función de seguridad junto con el equipo PLT necesario por razones operativas, es decir, los circuitos solo se activan en caso de un problema de funcionamiento del equipo operativo. El tipo de equipo usado únicamente para la reducción de riesgos suele designarse como equipo de protección o funciones Z.

El grado de reducción de riesgos logrado con el equipo de protección/strong> depende de su funcionamiento correcto. Si la probabilidad de fallo fuera imposible, podría erradicarse por completo el riesgo aplicable, de modo que el riesgo residual sería cero. Ya que esto no es factible, un grado finito de la reducción del riesgo sólo podrá lograrse con el equipo de protección correspondiente. Aunque siempre existe un riesgo residual, es tan pequeño quepuede tolerarse. El objetivo del proceso de diseño es implementar el equipo de protección de modo que el grado de reducción de riesgos logrado se corresponda al máximo con el SIL necesario.

Una reducción de riesgos insuficiente (el SIL del equipo de protección es inferior al SIL necesario) se traducirá en un riesgo residual no tolerable. En cambio, una reducción de riesgos excesiva (el SIL

del equipo de protección es superior al SIL necesario) se traducirá en unacarga de trabajo innecesariamente alta que no podrá justificarse.

La información de diseño del equipo de protección para lograr un grado concreto de reducción de riesgos (es decir, un SIL específico) está especificada en las normas EN 61511 y VDI/VDE 2180. Es fundamental preguntarse las razones del fallo del equipo de protección, porque los requisitos de diseño pueden derivarse de las respuestas oportunas. Una investigación más exhaustiva revela que, en principio, hay dos tipos de fallos que pueden causar un error de funcionamiento en el equipo de protección:

Fallo sistemático

Fallo aleatorio

Errores aleatorios y sistemáticos

Aunque puede esperarse un determinado grado de probabilidad para la aparición de un fallo aleatorio, esto no se aplica en caso de un fallo sistemático.

Pero a diferencia de los fallos aleatorios, en principio, los fallos sistemáticos pueden evitarse en conjunto. Sin embargo, la experiencia demuestra que esto es sólo cierto en parte (especialmente en lo relativo al software). Esta conclusión lleva a los siguientes requisitos para el diseño del equipo de protección:

Evitar fallos con un sistema especial de gestión de la calidad (palabras clave: "sistema de gestión de la seguridad funcional" o "sistema FSM")

Evitar fallos mediante la redundancia o el comportamiento seguro y la detección de fallos (palabras clave: tolerancia de fallos de hardware, suma de fallos de seguridad, cobertura de diagnóstico)

Realizar cálculos para cuantificar la probabilidad de fallo a partir de fallos aleatorios (palabras clave: cálculo PFD/PFH)

La implementación práctica de los tres puntos anteriores determina el alcance de la reducción de riesgos para el equipo de protección. En definitiva, el trabajo necesario para planificar, implementar y usar el equipo de protección depende de que SIL debe asignarse al equipo. Las normas EN 61508, EN 61511 y VDI/VDE 2180 describen la correlación exacta entre el diseño del equipo de protección y el SIL que se le puede asignar.

Cuando el equipo de protección se diseña, la prevención, el control y la probabilidad de falloson factores que deben considerarse correctamente para lograr un grado específico de reducción de riesgos. Partir únicamente de la probabilidad de fallo no es suficiente para llegar a un requisito SIL. En realidad, el equipo de protección sólo podrá alcanzar un SIL específico cuando tanto la estructura (diseño para la redundancia, el diagnóstico y a prueba de fallos) como la probabilidad de fallo (PFD/PFH) cumplan los requisitos de la norma para el SIL correspondiente. Además, se debe usar un sistema FSM para la implementación. Sólo entonces se podrá asumir que los fallos sistemáticos se pueden evitar en la medida necesaria.

3. Valoración de la seguridad funcional

Los estándares para la seguridad funcional requieren la verificación o validación de las actividades y los resultados conforme al principio de "cuatro ojos ven mejor que dos". Esto afecta a todo el ciclo vital de seguridad del equipo de protección. Tanto el análisis de riesgos (requisito SIL) como el proceso para implementar la medida de reducción de riesgos deben evaluarse de forma acorde.

En este punto, debe explicitarse que todo el ciclo vital de seguridad, incluida la documentaciónobligatoria, debe procesarse en el sistema FSM. El sistema FSM se usa para

Evitar fallos sistemáticos

Garantizar que las actividades y los resultados (documentos, hardware, software) que afectan a la reducción de riesgos pueden localizarse y auditarse

El sistema FSM es un componente central de la seguridad funcional y es esencial para cumplir un requisito SIL.

Descripción de la reducción de riesgos

Leyenda: ciclo vital de seguridad (izquierda), análisis de riesgos con HAZOP y gráfico de riesgos (superior derecha), requisitos de diseño del dispositivo de reducción de riesgos (dispositivo de protección, función Z, inferior derecha)

http://www.pepperl-fuchs.es/spain/es/25037.htm