Normas para la seguridad funcional

Dependiendo de la aplicación pueden utilizarse diferentes normas para considerar la seguridad funcional de los sistemas de mando.

En el ámbito de la seguridad de las máquinas cabe referirse fundamentalmente a la norma EN 954 para sistemas de mando relativos a la seguridad.

Esto se aplica, independientemente de la tecnología, para la totalidad de la cadena, desde el sensor al accionador. En base al gráfico del riesgo y a los parámetros del riesgo puede estimarse el potencial de riesgo de las zonas de peligro de las máquinas. La clasificación se realiza inicialmente sin medidas de protección reductoras del riesgo.

S = gravedad de la lesión:
1 = lesión leve (normalmente reversible)
2 = lesión grave (normalmente irreversible), incluida la muerte

F = frecuencia y/o tiempo de exposición al peligro:
1 = de raramente a bastante frecuente y/o tiempo de exposición corto
2 = frecuente a continuo y/o tiempo de exposición largo

P = posibilidades de evitar el peligro
1 = posible en determinadas circunstancias
2 = raramente posible

Los requisitos derivados del gráfico del riesgo al sistema de mando se determinan de la forma siguiente:

Las partes relacionadas con la seguridad de controles de máquinas y/o su dispositivo de seguridad, así como sus componentes, se deberán conformar, construir, seleccionar, ensamblar y combinar de acuerdo con las normas pertinentes de forma que resistan las influencias esperadas.

Las partes de los sistemas de mando relativas a la seguridad de la categoría 1 se deben diseñar y construir utilizando componentes y principios de seguridad de eficacia probada. Por seguridad probada se entiende que los componentes usados han sido utilizados en el pasado dando buenos resultados en aplicaciones similares o que han sido construidos según principios que demuestran su adecuación y fiabilidad para aplicaciones relativas a la seguridad.

Los principios de seguridad de eficacia probada son circuitos diseñados de forma que pueden evitar determinados defectos mediante la disposición y el dimensionado correspondiente de los componentes.

Observación: la ocurrencia de un defecto puede conducir a la pérdida de la función de seguridad.

Las partes de los sistemas de mando relativas a la seguridad de la categoría 2 se deben diseñar de manera que su(s) función(es) de seguridad se compruebe(n) a intervalos adecuados por el sistema de mando de la máquina. Las funciones de seguridad deben comprobarse (a) al arrancar las máquinas, antes de iniciar un estado peligroso y (b), periódicamente, durante el funcionamiento cuando el análisis del riesgo y el modo de funcionamiento demuestren que es necesario.
Esa comprobación puede llevarse a cabo automática o manualmente. La iniciación automática puede ser, por ejemplo, una señal generada en intervalos correspondientes por un sistema de mando. Se dará preferencia a la comprobación automática.

La decisión sobre el tipo de comprobación depende del análisis del riesgo y de la estimación del usuario final o constructor de la máquina.
El resultado de la comprobación permitirá el funcionamiento si no se detecta ningún defecto o generar una señal de salida que desencadena una acción de mando adecuada, si se detecta un defecto. Para esto se precisa una segunda ruta de desconexión independiente.

Observaciones: En algunos casos, la categoría 2 no es aplicable porque la comprobación de la función de seguridad no se puede aplicar a todos los componentes y aparatos. Por otra parte, la realización correcta de la categoría 2 puede comportar un gasto considerable que, por razones económicas, haga parecer más razonable la realización de otra categoría.
En general, la categoría 2 se puede obtener con técnicas electrónicas. El comportamiento del sistema permite que: la aparición de un defecto pueda conducir a la pérdida de la función de seguridad en el intervalo entre dos comprobaciones; mediante la comprobación se detecta la pérdida de la función de seguridad.

Las partes de los sistemas de mando relativas a la seguridad de la categoría 3 se deben diseñar de manera que un solo defecto en cualquiera de estas partes no conduzca a la pérdida de la función de seguridad. Siempre que sea razonablemente factible, un solo defecto se debe detectar en el momento de, o antes de, la siguiente solicitación de la función de seguridad. Esto no significa que se detecten todos los defectos. La acumulación de defectos no detectados puede entrañar una señal de salida imprevista y una situación peligrosa en la máquina.

Las partes de los sistemas de mando relativas a la seguridad se deben diseñar de forma que un solo defecto en cualquiera de estas partes no conduzca a la pérdida de las funciones de seguridad y que dicho defecto se detecte en el momento de, o antes de, la siguiente solicitación de la función de seguridad (por ejemplo, inmediatamente, al poner en marcha la máquina, al final del ciclo de funcionamiento de la máquina). Si esta detección no es posible, una acumulación de defectos no debe conducir a la pérdida de la función de seguridad.