Impacto operativo de las funciones instrumentadas de seguridad no verificadas

Los sistemas de gestión de quemadores (BMS) previenen explosiones catastróficas en hornos mediante el control de las relaciones aire-combustible, las secuencias de purga y el monitoreo de llama. Cuando estos sistemas fallan al actuar bajo demanda, las consecuencias varían desde paradas de planta no planificadas que cuestan cientos de miles en pérdida de producción hasta explosiones que destruyen activos y ponen en peligro al personal. El problema no es si su BMS fue diseñado para un nivel de integridad de seguridad (Safety Integrity Level); casi con seguridad lo fue; sino si puede demostrar que aún cumple con esa clasificación SIL después de la instalación, modificación o años de servicio.

La verificación SIL responde a una sola pregunta: ¿este sistema instrumentado alcanza la probabilidad requerida de falla bajo demanda? Sin una verificación documentada, usted opera basándose en suposiciones en lugar de evidencias. Los operadores se enfrentan al escrutinio regulatorio, las aseguradoras cuestionan la cobertura y, lo que es más crítico, la reducción real del riesgo puede estar muy por debajo de lo que supuso el análisis de peligros del proceso.

Marco normativo para la verificación SIL de BMS

El ciclo de vida de la seguridad funcional para los sistemas de gestión de quemadores se rige por la norma IEC 61511, que define los requisitos para los sistemas instrumentados de seguridad en las industrias de procesos. Esta norma exige la verificación en múltiples fases del ciclo de vida, no solo en el diseño inicial.

La norma NFPA 85 proporciona requisitos específicos para los sistemas de gestión de quemadores, incluidos enclavamientos, sistemas de supervisión de salvaguarda de llama y componentes del tren de combustible. Si bien la NFPA 85 establece requisitos funcionales y no utiliza por sí misma el marco SIL, sus requisitos suelen integrarse con la IEC 61511 para la cuantificación SIL.

El informe ISA-TR84.00.02 proporciona orientación sobre la determinación de los requisitos SIL y sobre las metodologías para calcular la probabilidad de falla bajo demanda (PFD), complementando los métodos cuantitativos de la IEC 61508-6. Este informe técnico cierra la brecha entre la teoría y la implementación en campo, particularmente para las arquitecturas comunes de la industria de procesos.

La norma IEC 61508 sirve como norma matriz, estableciendo los conceptos fundamentales de tolerancia a fallas del hardware, capacidad sistemática y restricciones arquitectónicas. Los fabricantes de equipos suelen certificar los componentes según la IEC 61508, mientras que los integradores de sistemas verifican los lazos completos según la IEC 61511.

Qué mide realmente la verificación SIL

Probabilidad de falla bajo demanda

La verificación SIL cuantifica la probabilidad promedio de que una función de seguridad falle cuando ocurre una demanda del proceso. Esta métrica —PFDavg— contabiliza las fallas aleatorias de hardware en todo el lazo de seguridad: sensores, resolvedores lógicos y elementos finales.

Cada clasificación SIL corresponde a un rango de PFDavg:

    • SIL 1: ≥ 10⁻² a < 10⁻¹
  • SIL 2: ≥ 10⁻³ a < 10⁻²
  • SIL 3: ≥ 10⁻⁴ a < 10⁻³

Componentes de la verificación

La verificación SIL abarca tres análisis distintos:

Un arreglo de votación 1oo2 (uno de dos) proporciona tolerancia a una sola falla para la seguridad, pero una menor disponibilidad (cualquier falla de un solo canal puede causar un disparo espurio). Un arreglo 2oo3 (dos de tres) también proporciona tolerancia a una sola falla para la seguridad al tiempo que reduce los disparos espurios, pero requiere diagnósticos y pruebas de comprobación más complejos.

La evaluación de la capacidad sistemática evalúa si los componentes fueron diseñados y fabricados con procesos adecuados para el SIL objetivo. La justificación por uso previo (según IEC 61511-1 Cláusula 11.5.3) requiere evidencia documentada de idoneidad en condiciones operativas similares y no es un simple atajo; los dispositivos certificados simplifican significativamente este paso.

El cálculo cuantitativo de confiabilidad determina la PFDavg utilizando datos de tasas de falla, intervalos de pruebas de comprobación, cobertura de diagnóstico, restricciones arquitectónicas y factores beta de falla de causa común. Este cálculo revela si el diseño cumple numéricamente con el SIL objetivo.

Errores comunes de verificación en instalaciones de campo

Ignorar el cableado de campo y las terminaciones

Los cálculos de diseño a menudo asumen una instalación perfecta. La realidad del campo introduce cajas de conexiones con tipos de señales mixtas, bandejas de cables con fuentes de interferencia electromagnética y terminaciones realizadas durante una parada de planta bajo presión de tiempo. Estos factores degradan la cobertura de diagnóstico e introducen fallas de causa común no capturadas en los modelos teóricos.

La verificación debe tener en cuenta las prácticas reales de instalación. Si su diseño asume una cobertura de diagnóstico del 90% pero el cableado de campo impide que los diagnósticos en línea detecten cortocircuitos, su cobertura efectiva cae sustancialmente, degradando el SIL calculado.

Procedimientos de prueba de comprobación inadecuados

El intervalo de la prueba de comprobación aparece en el denominador de los cálculos de PFD; los intervalos más largos aumentan la PFDavg. Pero la prueba de comprobación debe detectar realmente las fallas peligrosas. Muchas instalaciones realizan pruebas funcionales que confirman que el sistema se dispara, pero nunca validan la integridad de los canales individuales, la deriva de calibración de los sensores o la respuesta de carrera parcial de las válvulas.

Un procedimiento de prueba de comprobación que omite modos de falla críticos proporciona una falsa confianza. Su cálculo de verificación asumió pruebas exhaustivas; las pruebas parciales invalidan esas suposiciones.

Ignorar las fallas sistemáticas

La verificación SIL cuantitativa calcula las fallas aleatorias de hardware, pero no puede cuantificar las fallas sistemáticas: errores de diseño, errores de software, errores de especificación o errores de mantenimiento. La IEC 61511 requiere una evaluación de la capacidad sistemática precisamente porque estas fallas a menudo dominan el desempeño del sistema de seguridad en el mundo real.

Los errores de configuración en la lógica del BMS representan un modo de falla sistemática significativo. Los temporizadores de purga incorrectos, los enclavamientos puenteados o la lógica de sensores invertida no aparecerán en los cálculos de PFDavg, pero causarán una falla bajo demanda.

Verification Workflow for Existing Systems

Step 1: Define Safety Functions and SIL Targets

Extract each safety instrumented function from your process hazard analysis or layer of protection analysis. For a fired heater, typical functions include:

  • Master fuel trip on low furnace draft
  • Master fuel trip on loss of all burner flames
  • Purge sequence enforcement before ignition
  • Fuel valve closure on high furnace temperature
  • Individual burner trip on loss of flame

Each function has an assigned SIL target based on required risk reduction.

Step 2: Document As-Built Architecture

Field verification requires as-built documentation, not design intent. Walk down the installation and document:

  • Actual sensor types, locations, and mounting
  • Wiring routing, separation, and grounding
  • Logic solver configuration and firmware version
  • Final element types, actuator configurations, and fail-safe states
  • Proof test procedures actually performed

Discrepancies between design and as-built configuration are common and often significant.

Step 3: Obtain Component Reliability Data

Collect failure rate data for each component. Certified safety devices include manufacturer-provided failure rates (lambda_d for dangerous failures, lambda_s for safe failures, lambda_dd for dangerous detected failures). For non-certified components, use industry databases or conservative estimates.

Document the source of all failure rate data. Verification calculations are only as credible as the underlying data.

Step 4: Calculate PFDavg for Each Function

Use established formulas from ISA-TR84.00.02 or equivalent tools. For a simple 1oo1 architecture:

PFDavg = (λ_du × TI) / 2

Where λ_du is the dangerous undetected failure rate and TI is the proof test interval.

For redundant architectures, calculations become more complex, incorporating beta factors for common-cause failures and diagnostic coverage factors.

Step 5: Compare Against Target SIL

If calculated PFDavg falls within the target SIL range, the function passes verification. If not, identify which contributors dominate the PFD:

  • Long proof test intervals
  • Low diagnostic coverage
  • High component failure rates
  • Insufficient redundancy

Illustrative Scenario: Furnace Draft Transmitter Loop

The following is an illustrative example to demonstrate verification principles.

Consider a master fuel trip function based on furnace draft measurement. The SIL target is SIL 2 (PFDavg < 0.01).

As-designed architecture: 1oo2 draft transmitters (one-out-of-two voting, single-fault tolerant) feeding a certified SIL 3 logic solver, with two fuel shut-off valves arranged in series (2oo2 for the trip function — both must close, no fault tolerance in the final element).

Field walkdown reveals:

  • One transmitter was replaced with a non-certified unit after failure
  • Proof test procedure tests only one transmitter at a time, never simultaneously
  • Final element partial stroke testing was disabled due to nuisance trips

Corrective actions:

  • Replace non-certified transmitter or re-verify with conservative failure rates
  • Revise proof test to validate simultaneous transmitter operation
  • Implement partial stroke testing with proper configuration to prevent nuisance trips
  • Consider reducing proof test interval to 9 months

Practical Verification Checklist

Use this checklist for BMS SIL verification projects:

Documentation Review

  • [ ] Safety requirement specification defines each SIF and target SIL
  • [ ] Process hazard analysis or LOPA documents risk reduction requirements
  • [ ] As-built drawings reflect actual installation
  • [ ] Proof test procedures documented for each SIF

Component Assessment

  • [ ] All safety-critical components identified with tag numbers
  • [ ] Failure rate data obtained from manufacturers or databases
  • [ ] Systematic capability confirmed (prior use or certification)
  • [ ] Diagnostic coverage factors documented

Architecture Verification

  • [ ] Voting arrangements confirmed (1oo1, 1oo2, 2oo3, etc.)
  • [ ] Hardware fault tolerance meets SIL requirements
  • [ ] Common-cause failure potential assessed (beta factors)
  • [ ] Field wiring and separation verified

Calculation and Analysis

  • [ ] PFDavg calculated for each SIF using documented methodology
  • [ ] Proof test interval justified and achievable
  • [ ] Sensitivity analysis performed on key parameters
  • [ ] Results compared against target SIL for each function

Systematic Failure Assessment

  • [ ] Configuration logic reviewed for errors
  • [ ] Bypass and override procedures evaluated
  • [ ] Management of change procedures adequate for safety systems
  • [ ] Competency of maintenance personnel confirmed

Documentation and Approval

  • [ ] Verification report prepared with calculations and assumptions
  • [ ] Deviations from target SIL documented with risk assessment
  • [ ] Operations and maintenance informed of proof test requirements
  • [ ] Re-verification schedule established for future modifications

Maintaining Verification Over Time

SIL verification is not a one-time activity. IEC 61511 requiere la revalidación cuando:

  • Safety instrumented functions are modified
  • Components are replaced with non-identical parts
  • Proof test intervals change
  • Operating conditions exceed original design basis
  • Periodic review cycles occur (typically every 5 years)

Establish a management of change procedure that triggers re-verification. A seemingly minor component replacement can invalidate previous verification if failure rates or diagnostic capabilities differ.

Maintain a verification register documenting the current SIL status of each safety function. This register should include calculation date, key assumptions, proof test interval, and next scheduled review.

Avanzando con confianza

La verificación SIL transforma su sistema de gestión de quemadores de una colección de enclavamientos en una medida cuantificada de reducción de riesgos. El proceso de verificación revela frecuentemente brechas entre la intención del diseño y la realidad del campo, brechas que representan vulnerabilidades de seguridad reales.

Comience con sus funciones de seguridad de mayores consecuencias. Si el análisis de riesgos del proceso identificó escenarios con potencial de múltiples fatalidades o pérdida catastrófica de activos, verifique primero esas funciones SIL 3. Documente lo que encuentre, cuantifique el rendimiento real y cierre las brechas sistemáticamente.

Involucre a su grupo de instrumentación y control, al personal de operaciones y a los jefes de mantenimiento en el proceso de verificación. Ellos entienden las realidades del campo que los ingenieros de diseño pueden pasar por alto. Su compromiso garantiza que los procedimientos de prueba de comprobación se realizarán realmente según lo documentado.

Si el PFDavg calculado excede el SIL objetivo, resista la tentación de simplemente extender los intervalos de las pruebas de comprobación en el papel. Aborde las causas raíz: mejore los diagnósticos, añada redundancia donde esté justificado por el costo o implemente pruebas más frecuentes. El objetivo es la reducción real del riesgo, no el cumplimiento de trámites.

Programe revisiones de verificación antes de las inspecciones regulatorias o auditorías de seguros. La verificación proactiva demuestra el compromiso de la gerencia con la seguridad funcional y típicamente revela problemas mientras hay tiempo para una corrección ordenada en lugar de una respuesta de emergencia.

Consulte la sección completa de Reliability para más información.