UNE-EN IEC 61508 – fundamento universal de la seguridad funcional

UNE-EN IEC 61508 (ing. IEC 61508) es una norma que a menudo se considera la «base» de otros documentos sectoriales relacionados con la seguridad funcional. Define los principios para minimizar el riesgo en sistemas de control basados en tecnología eléctrica, electrónica o electrónica programable (E/E/PE). Sus disposiciones se sustentan en cuatro pilares:

1. Ciclo de vida de la seguridad (Safety Lifecycle)
   – desde el concepto inicial y el análisis de peligros, hasta la retirada del sistema del servicio.
2. Niveles de Integridad de Seguridad (SIL)
   – asignados a las funciones de seguridad para definir los requisitos de fiabilidad.
3. Gestión de la seguridad funcional
   – roles, responsabilidades, procedimientos de verificación y revisiones de competencias claramente definidos.
4. Documentación
   – elaboración, conservación y actualización de todos los datos e informes relevantes para la explotación y posibles inspecciones.

Estos supuestos hacen que la 61508 no se limite a un único sector. Al contrario: la norma se diseñó para poder adaptarse a las particularidades de distintas industrias, desde la de maquinaria, pasando por la ferroviaria y la aeronáutica, hasta la energía (también la nuclear) y la automatización de procesos (véase también Automatización industrial).

Aplicación en distintos sectores

Máquinas y líneas de producción: UNE-EN 62061 y UNE-EN ISO 13849

En lo que respecta al diseño de máquinas y de líneas de producción, a menudo recurrimos a:

• UNE-EN 62061 – «Seguridad de las máquinas – Seguridad funcional de los sistemas de mando relacionados con la seguridad de tipo eléctrico, electrónico y electrónico programable»,
• UNE-EN ISO 13849-1 – que describe el «Performance level» (PL).

Ambas normas se apoyan en gran medida en los conceptos de la 61508, especialmente cuando entran en juego la evaluación del riesgo, la determinación de la integridad de seguridad y los principios de redundancia.

Ejemplos prácticos:

• Línea automática de envasado: utilizamos cortinas fotoeléctricas y paradas de emergencia, y diseñamos el sistema de control para que, si se interrumpe el haz, se produzca una parada inmediata y segura de las máquinas.
• Robots colaborativos (cobots): requisitos adicionales sobre la respuesta ante el contacto con una persona, a menudo considerando SIL 2 o SIL 3.

Con la 61508 definimos la metodología general, y la 62061/13849-1 concretan cómo realizar, paso a paso, el análisis de riesgos y la implantación de las distintas funciones de seguridad en la máquina (véase también Diseño y construcción de máquinas).

Ferrocarril: serie EN 5012x

En el sector ferroviario, las normas de referencia son:

• EN 50126 (RAMS – Reliability, Availability, Maintainability, Safety),
• EN 50128 (software ferroviario),
• EN 50129 (sistemas electrónicos en la señalización ferroviaria).

Cada una de ellas, en el contexto de los requisitos de seguridad, remite a reglas fundamentales similares a las de la 61508. Aquí también encontramos niveles SIL (por lo general 0–4) y exigencias estrictas en cuanto a la independencia de los sistemas (redundancia de canales) y la inmunidad frente a perturbaciones (fallos de causa común).

Ejemplo:

• Control del tráfico ferroviario: ante el riesgo de colisión, los frenos se activan automáticamente. Si un sistema de este tipo está clasificado como SIL 4, debe cumplir requisitos de fiabilidad extremadamente exigentes y procedimientos de ensayo, conforme a EN 50128/50129.

Industria de procesos: UNE-EN 61511

Cuando se trata de instalaciones químicas, petroquímicas, refinerías o plantas de procesamiento de gas, recurrimos a la norma UNE-EN 61511, que deriva directamente de la 61508, pero centrada específicamente en los denominados SIS (Safety Instrumented Systems).

• Diseñamos lazos de seguridad (SIF – Safety Instrumented Function) y determinamos el SIL para cada uno de ellos.
• En el análisis de peligros de proceso, utilizamos con frecuencia el método HAZOP.
• Garantizamos que los sensores y los elementos finales de control tengan la fiabilidad adecuada y se sometan a pruebas a intervalos regulares.

Energía nuclear: IEC 61513

Cuando el riesgo de un fallo supone una amenaza para grandes áreas (centrales nucleares), las normas de seguridad funcional son aún más estrictas.

• IEC 61513 (en Polonia a veces citada como PN-IEC 61513) describe los requisitos aplicables a los sistemas de protección y control de las unidades de centrales nucleares.
• Se exige redundancia multicanal (p. ej., 2oo3, 2oo4 – «two out of three», etc.) y un control extremadamente estricto del diseño del software.

Aviación: DO-178C / DO-254

Aunque en aviación no se utiliza 61508 de forma directa, el planteamiento es convergente. Los documentos DO-178C (para software embarcado) y DO-254 (para hardware) introducen niveles de criticidad A–E, basados en las consecuencias de un fallo (desde pequeñas molestias hasta la catástrofe de la aeronave). La metodología de análisis, redundancia, ensayos y gestión de la configuración es, en esencia, muy similar a 61508, con especial énfasis en las reglas detalladas de certificación de la aviónica.

UNE-EN IEC 61508: fundamentos y su significado práctico

1. Ciclo de vida de la seguridad
   • Abarca las fases: desde la definición del concepto, pasando por el diseño detallado (hardware, software), hasta la instalación, la puesta en servicio, la explotación y las modificaciones.
   • Gracias a ello, no nos limitamos a una única auditoría al final del proyecto; la seguridad debe analizarse y confirmarse durante todo el periodo de uso.
2. Niveles de Integridad de Seguridad (SIL)
   • Hay cuatro niveles: SIL 1, el menos exigente; SIL 4, el más exigente.
   • Cada uno define los límites admisibles de la probabilidad de fallo peligroso (p. ej., PFD para el modo de demanda poco frecuente).
3. Evaluación y documentación del riesgo
   • Antes de empezar a diseñar, debes saber qué peligros existen y en qué magnitud.
   • La documentación (análisis como HAZOP, FMEA, árbol de fallos) constituye el núcleo del sistema: en caso de inspección o auditoría, puedes demostrar la racionalidad de tus decisiones de diseño.
4. Independencia y redundancia
   • La redundancia solo es eficaz si dos (o más) canales no fallan a la vez por la misma causa (fallos de causa común).
   • Un SIL alto suele requerir tecnologías diferentes, distintas alimentaciones eléctricas, etc.
5. Gestión de competencias
   • Las personas responsables del diseño y del mantenimiento de los sistemas de seguridad deben contar con cualificación y experiencia (la norma lo subraya explícitamente).

¿Qué aporta utilizar UNE-EN 61508?

1. Menos averías y paradas – gracias a un mejor control del riesgo y a la detección temprana de defectos.
2. Cumplimiento normativo – clientes, inspectores y aseguradoras a menudo exigen certificación conforme a este tipo de normas.
3. Mayor confianza – los sistemas diseñados conforme a 61508 / 61511 / 62061 / EN 5012x se perciben como más fiables.
4. Eficiencia a largo plazo – aunque la implantación puede ser costosa, permite reducir las pérdidas potenciales derivadas de accidentes o problemas legales.

UNE-EN IEC 61508: errores y trampas más frecuentes

1. Ausencia de un análisis adecuado de fallos de causa común: un sistema redundante puede fallar si los canales comparten la misma fuente de alimentación o el mismo bus de datos.
2. Limitarse a un único componente con certificado SIL: que un sensor o un controlador tenga un certificado SIL 2/3 no significa automáticamente que todo el sistema tenga ese nivel; lo que cuenta es la arquitectura completa (sensores, cableado, software, elementos de actuación).
3. Falta de pruebas periódicas: en el caso de sistemas que actúan rara vez, las pruebas en condiciones reales son obligatorias. Sin ellas, no tenemos certeza de que la función de seguridad vaya a actuar en el momento crítico.
4. Omitir la fase de modificación: si cambias aunque sea una parte del software o sustituyes una válvula, debes repetir algunos pasos del ciclo de vida de la seguridad, especialmente el análisis del impacto del cambio.
5. Desatender las competencias: desde el diseñador hasta el personal de mantenimiento, todos necesitan la formación adecuada para saber cómo cumplir los principios de la seguridad funcional.

UNE-EN 61508 es el punto de partida, y las normas sectoriales (UNE-EN 61511, 62061, EN 5012x, IEC 61513, DO-178C/254, etc.) adaptan sus principios a la especificidad de cada rama industrial. Para ti, como diseñador o usuario de sistemas de seguridad, esto significa:

• Directrices claras y coherentes sobre cómo abordar el análisis de riesgos, la determinación del SIL o las pruebas de los sistemas.
• La necesidad de elaborar documentación detallada, desde protocolos de ensayo hasta registros sobre las competencias del personal.
• Mayor seguridad de que las soluciones implantadas cumplen estándares internacionales y serán aceptables para los clientes y los organismos de supervisión.

En última instancia, aunque pueda ser un proceso costoso y que requiera tiempo, la implantación correcta de UNE-EN 61508 (o de sus «derivadas») se traduce en menor riesgo de accidentes, un funcionamiento más estable de la planta y una mejor reputación en el sector. Por tanto, estas normas no son «papel innecesario», sino una herramienta eficaz para proteger la vida, la salud y los bienes.