Nivel de integridad de seguridad

En seguridad funcional , el nivel de integridad de seguridad ( SIL ) se define como el nivel relativo de reducción de riesgo proporcionado por una función instrumentada de seguridad (SIF), es decir, la medición del rendimiento requerido de la SIF. ^{[ 1 ]}

En las normas de seguridad funcional basadas en la norma IEC 61508 , se definen cuatro niveles SIL, siendo SIL4 el más fiable y SIL1 el menos fiable. El nivel SIL aplicable se determina en función de varios factores cuantitativos combinados con factores cualitativos, como las evaluaciones de riesgos y la gestión del ciclo de vida de la seguridad . Sin embargo, otras normas pueden tener definiciones diferentes para los niveles SIL. ^{[ 2 ]}

La asignación o distribución del SIL es un ejercicio de análisis de riesgos en el que se calcula el riesgo asociado a un peligro específico, contra el cual se pretende proteger mediante un SIF, sin considerar el efecto beneficioso de reducción de riesgos que proporciona el SIF. Este riesgo no mitigado se compara con un objetivo de riesgo tolerable. Si el riesgo no mitigado es mayor que el tolerable, la diferencia entre ambos debe abordarse mediante la reducción de riesgos que proporciona el SIF. Esta cantidad de reducción de riesgos requerida se correlaciona con el objetivo del SIL. En esencia, cada orden de magnitud de reducción de riesgos requerida se correlaciona con un aumento del SIL, hasta un máximo de SIL4. Si la evaluación de riesgos determina que el SIL requerido no puede alcanzarse con un SIF SIL4, se deben diseñar medidas alternativas, como salvaguardas no instrumentadas (por ejemplo, una válvula de alivio de presión ). ^{[ 1 ]}

Existen varios métodos utilizados para asignar un SIL. Estos se utilizan normalmente en combinación y pueden incluir: ^{[ 1 ]}

• Matrices de riesgo
• Gráficos de riesgo
• Análisis de capas de protección (LOPA)

De los métodos presentados anteriormente, LOPA es, con diferencia, el más utilizado en grandes instalaciones industriales, como por ejemplo las plantas de procesamiento químico .

La asignación puede probarse utilizando enfoques tanto pragmáticos como de controlabilidad, aplicando directrices de la industria como la publicada por el HSE del Reino Unido . ^{[ 3 ]} Los procesos de asignación SIL que utilizan las directrices del HSE para ratificar asignaciones desarrolladas a partir de matrices de riesgo han sido certificados para cumplir con la norma IEC 61508 .

Existen varios problemas inherentes al uso de niveles de integridad de seguridad. Estos se pueden resumir de la siguiente manera:

• Escasa armonización de la definición entre los diferentes organismos de normalización que utilizan SIL. ^{[ 2 ]}
• Métricas orientadas a procesos para la derivación de SIL.
• Estimación del SIL basada en estimaciones de fiabilidad.
• La complejidad del sistema, en particular en los sistemas de software, hace que la estimación del SIL sea difícil o incluso imposible.

Esto da lugar a afirmaciones erróneas como la tautología «Este sistema es un sistema SIL N porque el proceso adoptado durante su desarrollo fue el proceso estándar para el desarrollo de un sistema SIL N», o al uso del concepto SIL fuera de contexto, como «Este es un intercambiador de calor SIL 3 » o «Este software es SIL 2». Según la norma IEC 61508, el concepto SIL debe estar relacionado con la tasa de fallos peligrosos de un sistema, no solo con su tasa de fallos o la de un componente, como el software. La definición de los modos de fallo peligrosos mediante el análisis de seguridad es fundamental para la correcta determinación de la tasa de fallos.

La norma IEC 61508 de la Comisión Electrotécnica Internacional (IEC) define el SIL mediante requisitos agrupados en dos grandes categorías: integridad de seguridad del hardware e integridad de seguridad del sistema . Un dispositivo o sistema debe cumplir los requisitos de ambas categorías para alcanzar un SIL determinado.

Los requisitos SIL para la integridad de seguridad del hardware se basan en un análisis probabilístico del dispositivo. Para alcanzar un SIL determinado, el dispositivo debe cumplir con los objetivos de probabilidad máxima de fallo peligroso y fracción mínima de fallo seguro. El concepto de «fallo peligroso» debe definirse rigurosamente para el sistema en cuestión, normalmente mediante restricciones de requisitos cuya integridad se verifica a lo largo del desarrollo del sistema. Los objetivos reales requeridos varían según la probabilidad de una demanda, la complejidad del dispositivo o dispositivos y los tipos de redundancia utilizados.

La PFD ( probabilidad de fallo peligroso bajo demanda ) y el RRF ( factor de reducción de riesgo ) de la operación de baja demanda para diferentes SIL, tal como se definen en la norma IEC EN 61508, son los siguientes:

Para operación continua, estos cambian a lo siguiente, donde PFH es la probabilidad de falla peligrosa por hora.

Los peligros de un sistema de control deben identificarse y analizarse mediante un análisis de riesgos. La mitigación de estos riesgos continúa hasta que su contribución global al peligro se considere aceptable. El nivel tolerable de estos riesgos se especifica como un requisito de seguridad en forma de una "probabilidad de fallo peligroso" objetivo en un período de tiempo determinado, expresada como un SIL discreto.

Los esquemas de certificación, como el Esquema CASS (Evaluación de la Conformidad de Sistemas Relacionados con la Seguridad), se utilizan para determinar si un dispositivo cumple con un SIL específico. ^{[ 4 ]} Entre los terceros que pueden proporcionar certificación se incluyen Bureau Veritas , CSA Group , TÜV Rheinland, TÜV SÜD y UL , entre otros. También es posible la autocertificación. Los requisitos de estos esquemas se pueden cumplir estableciendo un proceso de desarrollo riguroso o demostrando que el dispositivo tiene un historial operativo suficiente para argumentar que ha sido probado en uso. La certificación se logra demostrando la capacidad de seguridad funcional (FSC) de la organización, generalmente mediante la evaluación de su programa de gestión de seguridad funcional (FSM), y la evaluación del diseño y las actividades del ciclo de vida del producto a certificar, que se lleva a cabo con base en especificaciones, documentos de diseño, especificaciones y resultados de pruebas, predicciones de tasa de fallas , FMEA , etc. ^{[ 5 ]}

Los dispositivos eléctricos y electrónicos pueden certificarse para su uso en aplicaciones de seguridad funcional según la norma IEC 61508. Existen varias normas específicas para aplicaciones basadas en la IEC 61508 o adaptadas a ella, como la IEC 61511 para el sector de la industria de procesos. Esta norma se utiliza, entre otras, en las industrias petroquímica y de productos químicos peligrosos. ^{[ 5 ]}

Las siguientes normas utilizan el SIL como medida de fiabilidad y/o reducción de riesgos.

• ANSI/ISA S84 (seguridad funcional de los sistemas instrumentados de seguridad para el sector de la industria de procesos)
• IEC 61508 (seguridad funcional de sistemas eléctricos/electrónicos/electrónicos programables relacionados con la seguridad)
  • IEC 61511 (implementación de la norma IEC 61508 en el sector de la industria de procesos)
  • IEC 61513 (implementación de la norma IEC 61508 en la industria nuclear)
  • IEC 62061 (que implementa la norma IEC 61508 en el ámbito de la seguridad de las máquinas)
• EN 50128 (Aplicaciones ferroviarias: software para el control y la protección de ferrocarriles)
• EN 50129 (Aplicaciones ferroviarias: sistemas electrónicos de señalización relacionados con la seguridad)
• EN 50657 (Aplicaciones ferroviarias: software a bordo del material rodante)
• EN 50402 (sistemas fijos de detección de gases )
• ISO 26262 ( industria automotriz )
• MISRA (directrices para el análisis, modelado y programación de la seguridad en aplicaciones automotrices)

• Tan bajo como sea razonablemente practicable (ALARP)
• Sistema de protección contra sobrepresión de alta integridad (HIPPS)
• Ingeniería de confiabilidad
• Nivel de disparo erróneo (STL)

• Hartmann, H.; Thomas, H.; Scharpf, E. (2022). Selección práctica de objetivos SIL: análisis de riesgos según el ciclo de vida de seguridad IEC 61511. Exida. ISBN 978-1-934977-20-0
• Houtermans, MJM (2014). SIL y seguridad funcional en pocas palabras (2ª ed.). Primera Inteligencia. ASIN B00MTWSBG2
• Medoff, M.; Faller, R. (2014). Seguridad funcional: un proceso de desarrollo conforme a la norma IEC 61508 SIL 3 (3.ª ed.). Exida. ISBN 978-1-934977-08-8
• Punch, Marcus (2013). Seguridad funcional para la minería y las industrias basadas en maquinaria (2.ª ed.). Tenambit, NSW: Marcus Punch. ISBN 978-0-9807660-0-4

• 61508.org - La Asociación 61508
• Seguridad funcional: una guía básica
• Seguridad y seguridad funcional según la IEC - El sitio web de seguridad funcional de la IEC
• Manual del Nivel de Integridad de Seguridad ( Archivado ) - Manual SIL de Pepperl+Fuchs