Consideración de fallos sistemáticos en la selección y aplicación de dispositivos de protección

Los sistemas de mando han de diseñarse y fabricarse de manera que se evite cualquier situación peligrosa en la maquinaria o el equipo al aparecer un fallo en uno de sus componentes. En particular, se deben diseñar y fabricar de manera que un fallo en el soporte material o en el soporte lógico del sistema de mando no provoque situaciones peligrosas o un aumento del riesgo.

La aparición de normas internacionales de seguridad funcional ha facilitado mucho su aplicación en los campo de maquinaria y equipos industriales con la subsiguiente mejora de la seguridad laboral. Lamentablemente esa aplicación se reduce muchas veces al simple cálculo de la probabilidad de fallo peligroso sin tener en cuenta los fallos sistemáticos y los fallos con causa común. Esta negligencia en la consideración de fallos sistemáticos ha sido la causa principal de muchos de los graves accidentes ocurridos en los últimos años, especialmente en la industria petroquí­mica. En el siguiente artí­culo se exponen los conceptos generales para la consideración de fallos sistemáticos durante la selección y aplicación de dispositivos de protección para máquinas y ejemplos prácticos. Estas consideraciones se basan en las Normas Tipo-B ya eficazmente probadas.

Fallos sistemáticos
La seguridad funcional es la rama de la ingenierí­a que trata de las caracterí­sticas y de los requisitos de los mandos relativos a la seguridad de las máquinas. La seguridad funcional es a su vez, la aptitud o fiabilidad de las partes de los mandos relativas a la seguridad de desempeñar una función de seguridad en las condiciones previsibles. De acuerdo con la Norma internacional ISO 13849-1 esta aptitud depende de las caracterí­sticas de las partes de los mandos relativas a la seguridad:

• Probabilidad de fallo de sus elementos                        (fiabilidad)
• Posibilidad de detección de fallos                    (diagnóstica)
• Comportamiento ante fallos                             (estructura)
• Diseño adecuado                                            (proceso)

Los sistemas de mando han de diseñarse y fabricarse de manera que se evite cualquier situación peligrosa en la maquinaria o el equipo al aparecer un fallo en uno de sus componentes. En particular, se deben diseñar y fabricar de manera que un fallo en el soporte material o en el soporte lógico del sistema de mando no provoque situaciones peligrosas o un aumento del riesgo.

Los métodos a usarse para cumplir este requisito son generalmente:

• La exclusión de defectos mediante la aplicación de principios de seguridad fundamentales.
• La reducción de la probabilidad de defectos o fallos empleando elementos y componentes particularmente fiables.
• La aptitud de los componentes utilizados para reducir el riesgo.
• El uso de componentes estándares chequeando su función correcta a intervalos adecuados.
• La aplicación de la redundancia para evitar que el defecto de un elemento lleve al fallo del sistema de mando.
• El uso de la diversidad técnica para evitar fallos de causa común.
• El autocontrol para la detección de defectos o fallos resultando en una respuesta adecuada (parada, alarma etc.).

• La función de componentes de las partes de los sistemas de mandos relativas a la seguridad está unida a sus caracterí­sticas fí­sicas y éstas definen causas que determinan fallos especí­ficos de dichos componentes, denominados fallos sistemáticos. Los fallos sistemáticos solo pueden eliminarse cambiando el diseño o el método de producción del componente o del sistema de mando. Un fallo sistemático es reproducible ya que se puede inducir al simular su causa.

• Las medidas de diseño fundamentales se basan por una parte en evitar o controlar los efectos de la perdida de la alimentación de energí­a o sus variaciones, como sobrepresiones en sistemas hidráulicos o caí­das de tensión en sistemas eléctricos. En el caso ideal el diseño puede predeterminar el comportamiento de los componentes ante estas situaciones de manera que estos cambien a un estado seguro o lo mantengan (fail safe).

• Por otra parte, el mismo efecto se desea ante la influencia de efectos fí­sicos del medio ambiente como la temperatura, humedad, presión atmosférica, las vibraciones etc. En sistemas de mando eléctricos y electrónicos se han de tener en cuenta las posibles interferencias causadas por campos eléctricos y electromagnéticos.

• Tambien se deben controlar las secuencias del programa para detectar situaciones en las que los elementos del programa se procesan de forma en secuencias erroneas o defectuosas o cuando los tiempos de proceso del ciclo se alargan de manera inapropiada.

• La Norma ISO 13849-2 contiene en sus anexos A, B, C y D listas de las medidas adecuadas a cada tecnologí­a (mecánica, neumática, hidráulica y eléctrica) y que se dividen en los denominados “principios básicos de seguridad” y “principios de eficacia probada”. Estos principios son prerequisitos para las así­ denominadas “arquitecturas designadas” en las que se basan los diseños de sistemas de mando relativas a la seguridad según ISO 13849-1.

Selección de dispositivos de protección
La revisión de la antigua norma ISO 13849-1 (~EN 954-1) de 2006 toma en consideración la probabilidad de fallo de los componentes de las partes de los mandos relativas a la seguridad, las medidas para detectar estos fallos o resistir estos, así­ como la aplicación de medidas para evitar los fallos con causa común.

Mientras que ISO 13849-1 acentúa la consideración de los efectos de variaciones o interrupciones en la alimentación de energí­a y en errores de programa y defectos de secuencias, el efecto fí­sico del medio ambiente sobre un equipo o componente y sobre su aptitud para desarrollar su función no se toma en cuenta en la Norma. Especialmente para la selección y aplicación de dispositivos de protección (resguardos con enclavamiento, dispositivos electrosensibles) la consideración de los aspectos sistemáticos es fundamental y el diseñador ha de tener en cuenta otras Normas (Normas tipo-B2) originalmente redactadas para los fabricantes de dichos componentes.

Independientemente si se trata de un sensor sensible a la presión como puede ser una alfombra de seguridad o un sensor opto-electrónico como una cortina óptica o un escáner láser, el efecto de los parámetros medioambientales (p.e. atmósferas agresivas o potentes fuentes de radiación) ha de tenerse en cuenta cuidadosamente para asegurar la función protectora deseada, en este caso la detección fiable de personas en áreas de peligro.

Diferente a dispositivos más sencillos, como puedan ser sensores electrónicos de proximidad o interruptores de posición de enclavamientos, para los dispositivos electrosensibles de protección se deben de considerar criterios adicionales. Estos incluyen la necesaria fiabilidad de la función de detección que resulta del principio óptico de detección aplicado.

Para los dispositivos electrosensibles de protección existe una clasificación en tipos según la Norma IEC 61496-1. Además de los aspectos estructurales, como en las categorí­as o arquitecturas designadas, en la clasificación por tipos se definen también los requisitos en materia de compatibilidad electromagnética (CEM), condiciones ambientales y parámetros del sistema óptico. De estos últimos es especialmente importante su comportamiento frente a fuentes de perturbaciones o interferencias inducidas por radiación solar, lámparas o dispositivos del mismo tipo. El ángulo de abertura de las ópticas en el caso de las cortinas y barreras fotoeléctricas de seguridad (AOPD) también influye en la aptitud para desarrollar la función de protección, de manera que los requisitos para los dispositivos de tipo 4 son más estrictos que para los del tipo 2.

La primera parte de la norma IEC 61496 contiene los requisitos generales para dispositivos electrosensibles de protección independientemente de su tecnologí­a. Las partes siguientes de esta Norma contienen los requisitos generales y los procesos de verificación para dispositivos ópticos activos (AOPD), para los dispositivos que usan la reflexión difusa (AOPDDR) y los que usan tecnologí­as de visión (VBPD).

Parte 1: establece que los dispositivos electrosensibles de protección no sólo debe cumplir con los requisitos funcionales, sino también con los requisitos para el diseño y los aspectos ambientales, Mientras que los requisitos de diseño están destinados a reducir la influencia de un posible fallo de causa común, los requisitos ambientales son en su mayorí­a dirigidos a evitar la influencia de los fallos sistemáticos. Además, la norma también establece la relación entre los diferentes tipos de dispositivos y el máximo nivel de fiabilidad (PL o SIL) que pueden alcanzar las funciones que los aplican. Los requisitos básicos de seguridad funcional describen las arquitecturas necesarias, que de hecho son idénticas a las de la norma ISO 13849-1. La norma también contiene los requisitos de detección de fallos y las reacciones correspondientes en función de los diferentes tipos de dispositivo.

Las figuras 1 y 2 muestran que un gran ángulo efectivo de apertura de la cortina óptica de protección (EAA – effective aperture angle) puede llevar a la perdida de la función de detección. En la figura 1, la persona que entra en la zona de peligro interrumpe el haz del dispositivo. En la figura 2, aunque el centro del haz se interrumpe, los lóbulos secundarios (haces laterales) no se interrumpen ya que la luz emitida se refleja en la superficie del equipo (p.e. un armario) posicionado cerca del haz y alcanzan al receptor, evitando la detección adecuada y haciendo que la función de protección deseada quede inoperante.

La figura 3 muestra un problema similar que puede ocurrir si varios dispositivos se ponen a funcionar muy próximos entre sí­. El haz del primer emisor (S1) puede llegar al receptor del segundo dispositivo (R2). Una persona puede acceder a la zona de peligro interrumpiendo el haz del segundo emisor (S2), pero el receptor correspondiente R2) puede ser iluminado por el primer emisor (S1) lo que impide la detección de la persona y conduce a la pérdida de la función de protección.

Parte 2 de la Norma IEC 61496  contiene los requisitos genéricos para los AOPD, especificando el rendimiento óptico correspondiente a la fiabilidad requerida de la detección. Los dispositivos ópticos deben ser diseñados y construido para:

• Limitar la posibilidad de incumplimiento de cualquier peligro derivado de reflejos externos.
• Limitar la desalineación para la operación normal.
• Limitar la posibilidad de mal funcionamiento debido a la exposición a luz extranea en un determinado rango de frecuencia.
• Controlar el tamaño del haz emisor con el fin de minimizar los efectos negativos sobre otros equipos.

Estos requisitos pueden cumplirse garantizando que el ángulo de apertura efectiva (EAA) de cada emisor y cada elemento receptor no supere ciertos valores definidos en la norma o por otra técnica alternativa para la restricción del EEA que conduzca a un comportamiento óptico equivalente. La restricción del ángulo máximo de apertura de la óptica de dispositivos del tipo 4 a solo 5 ° reduce la probabilidad de la perdida de la detección de objetos debido a efectos de reflexión (interferencia óptica) y por tanto también la probabilidad de un fallo potencialmente peligroso.

Para evitar que interferencias causadas por la luz extranea puedan conducir a la pérdida de la función de protección la IEC 61496-2 contiene requisitos especí­ficos. Los dispositivos receptores no pueden fallar peligrosamente cuando se sometan a:

• Luz incandescente (luz de dí­a simulada utilizando una lámpara de cuarzo).
• Luz estroboscópica.
• Luz fluorescente operado con alimentador electrónico de alta frecuencia.
• Desalineación.(principalmente relacionado con las superficies reflexivas cercanas).
• Luz de un elemento emisor de idéntico diseño para AOPD de tipo 4

  Además de estos requisitos ópticos de la norma también se establecen otros relacionados con inmunidad electromagnética, humedad relativa del aire, temperatura ambiental, etc. Sin embargo los usuarios de estos dispositivos o los miembros de los comités de normalización de Normas tipo-C no pueden asumir qué dispositivos de acuerdo con estas normas proporcionen la suficiente consideración de los fallos sistemáticos para una aplicación particular, ya que las normas definen diferentes tipos con diferentes requisitos. Como resultado, los usuarios tienen que comparar los requisitos de los diferentes tipos con las caracterí­sticas de la máquina el entorno y el uso previsible para seleccionar el dispositivo adecuado. Esto no parece muy realista, debido que la norma está dirigida principalmente a los fabricantes de estos dispositivos de protección. La futura Norma de aplicación de dispositivos electrosensibles IEC 62046 [5] proporcionará la guí­a adecuada para su uso seguro y contiene requisitos prácticos para evitar los fallos sistemáticos.