Trabajando en Seguridad Funcional: ¿Qué significa verificar?

 

En esta entrada estaré haciendo una colaboración en el Blog de Eliana Berroteran “Trabajando en Seguridad Funcional” para discutir sobre un punto que realmente nos parece de suma importancia cuando hablamos de trabajar el día a día de la seguridad funcional.

En el contexto de la seguridad funcional, verificar significa que debemos “demostrar mediante revisión, análisis y/o prueba que los productos requeridos satisfacen los requisitos definidos para las fases que han sido planificadas.”

Esto es, que cada tarea realizada, dentro del marco del ciclo de vida de los Sistemas Instrumentados de Seguridad, debe estar sujeta a un control de calidad respecto a los requisitos de la normativa, en nuestro caso la IEC 61511:2016 o ISA:61511:2018.

Muchas veces, las personas y las organizaciones pierden de vista este pilar básico de la gestión de la seguridad funcional; imagínense ¿cómo saber si se está cumpliendo con los requisitos de la norma si no contrastamos el trabajo con lo que ella exige?

La normativa es clara al hacer énfasis en 2 cosas: a) que la organización posea un Sistema de Gestión de la Seguridad Funcional que asegure que el trabajo se realiza de forma adecuada y según la normativa; y, b) que el personal asignado sea competente.

Colocar personas competentes a realizar el trabajo muchas veces apenas alcanza para cumplir con los principales aspectos técnicos del trabajo. El éxito sólo puede ser alcanzado a través de un Sistema de Gestión de Seguridad Funcional que, primero, vele porque el personal asignado para realizar el trabajo sea competente y, segundo, que el trabajo esté realizado de conformidad con la norma, asegurando la ejecución de tareas claves como la verificación.

Muchas veces cuando consultamos a nuestros clientes sobre los aspectos relacionados a la verificación, nos podemos dar cuenta que no existe una cultura arraigada de la realización de estas tareas; las mismas no se planifican porque ni siquiera están en las listas de tareas por hacer, contratar o supervisar, simplemente no existen. Esto se debe, por lo general, a que no poseen un Sistema de Gestión de Seguridad Funcional y, por ende, no han hecho de la verificación una parte natural de su cultura de trabajo, a pesar de ser un requisito primordial para el aseguramiento de la seguridad funcional.

A veces sólo preguntamos: ¿Cómo se pudo avanzar en una fase del ciclo de vida de seguridad si la anterior no ha sido verificada? Y la respuesta es una encogida de hombros. Esto deja la brecha que necesitan las fallas sistemáticas para colarse y hacer que el SIS falle, justo lo que la normativa, a través del ciclo de vida de seguridad, como forma de trabajo, está tratando de evitar.

Otras veces, si preguntamos por la verificación, recibimos como respuesta: “ah claro el estudio de verificación del SIL se realizó con éxito”, haciendo referencia a la cuantificación de la falla aleatoria del hardware del SIS, que si bien es importante y es uno de los ítems que se debe cumplir en la fase de diseño, pues no es la verificación a la cual estamos haciendo referencia.

En la práctica, realizar una verificación significa que, al planificar una tarea específica dentro del ciclo de vida de la seguridad funcional, (por ejemplo, la realización de un Análisis de Peligros y Riesgos (PHA), digamos un Hazop), pues todos -sí, todos sin excepción- los requisitos de la normativa para la realización de la cláusula (Process H&RA) deben ser cumplidos. Debe existir una tarea separada que se encargue de velar por revisión, análisis y/o prueba que efectivamente el trabajo fue realizado en forma correcta, respecto a los requisitos de esa cláusula.

Invitamos a nuestros lectores a hacerse estas preguntas: ¿nuestro sistema de gestión de la seguridad funcional está funcionando adecuadamente?, ¿estamos contemplando las verificaciones en nuestros proyectos?, ¿se están realizando las verificaciones en los proyectos que estamos manejando?

 

PONGA A PRUEBA SUS CONOCIMEINTOS.

Preguntas de esta entrada:

SEGURIDAD FUNCIONAL, UNA CUESTIÓN DE TIEMPO

SEGURIDAD FUNCIONAL, UNA CUESTIÓN DE TIEMPO

La palabra Tiempo está íntimamente ligada a la Seguridad Funcional que una Función Instrumentada de Seguridad (SIF) provee. En esta entrada, y sin ánimos de hacer alarde de complejas fórmulas matemáticas, expondré la relación de esta palabra con los diferentes aspectos que rodean la Seguridad Funcional.

Lo primero que debemos entender es la efectividad. Si queremos que una SIF haga su trabajo en forma efectiva, debemos asegurar que la misma sea capaz de ejecutar su tarea antes de que el escenario peligroso se consolide (transformándose en un accidente). Para esto, desde el inicio del diseño de la función, debemos tener en cuenta el Tiempo de Seguridad del Proceso (PST: Process Safety Time). Si no somos capaces de asegurar que la función lleve al proceso al estado seguro y lo mantenga allí en por lo menos la mitad del PST, no es posible ejecutar la tarea de la seguridad por ese medio y será mejor buscar una opción distinta. Entonces, calcular el Tiempo de Actuación de la función de seguridad es de suma importancia. En la figura 1 se muestra la relación entre el Tiempo de Seguridad del Proceso y el Tiempo de Actuación de la SIF. Nota para el lector ¿Cuántas veces se ha detenido a calcular la velocidad de cierre de la válvula de bloqueo respecto a las necesidades de seguridad del proceso?

Figura 1. Tiempo de Seguridad del Proceso y Tiempo de Actuación de la SIF.

Hablemos ahora de la forma en que la SIF provee seguridad. Una vez que la SIF haya sido diseñada e instalada correctamente, es necesario que esté disponible para hacer su trabajo. Ahora bien, ¿qué cosas pueden pasar para que la función no esté disponible? Veamos:

1-    Que la SIF esté en By-pass. Dependiendo del nivel de redundancia (y si no se toman las previsiones establecidas en las normativas durante ese tiempo), la colocación en By-pass de la SIF pudiera dejar a la instalación sin la reducción de riesgo necesaria. Lo cierto es que la escogencia del Tiempo del By-pass (TD: Test Duration) durante los cálculos de verificación del SIL de la SIF deben ser estimados según las políticas de la instalación y reflejar las practicas reales de la misma (¿cuántas veces al año y por cuánto tiempo estima que la SIF estará en By-pass?, ¿por qué razones?). Aunque el By-pass descrito acá es principalmente para efectos de mantenimiento, no debe descartarse que el By-pass puede ser operacional (por ejemplo, necesario para el arranque de una instalación) en cuyo caso también debe ser tomado en cuenta. La figura 2 muestra el efecto del Tiempo del By-pass (TD) sobre la disponibilidad de la SIF. Nota para el lector ¿Cuántas veces en una SIF con un sensor sin redundancia que ha sido colocado en By-pass, tomó previsiones para que la seguridad que brindaba esa SIF la provea otro medio (por ejemplo, un operador de planta apoyado por otro sensor)?

Figura 2. Efecto del TD Sobre la Disponibilidad de la SIF.

2-  Que la SIF esté en reparación. Nuevamente, dependiendo del nivel de redundancia, la reparación de algún elemento de la SIF pudiera dejar a la instalación sin la reducción de riesgo necesaria mientras la misma se está realizando. El Tiempo Medio para Reparar (MRT: Mean Repair Time) implica tanto la reparación en sí, como la obtención de los repuestos y herramientas para realizarla. Esta última por lo general es subestimada, haciendo que los cálculos de verificación del SIL de la SIF sean irreales. Este tiempo también debe ser estimado según las políticas de la instalación y reflejar las practicas reales de la misma. Un MRT de 8 horas para una falla que amerite desmontar una válvula de bloqueo (que implica detener el proceso), en muchos casos no parece muy adecuado. Adicionalmente, se debe tomar en cuenta el tiempo para detectar cual es la falla, que se incluye en el Tiempo Medio para Restaurar (MTTR: Mean Time to Restoration). En la figura 3 se muestra el efecto de las reparaciones sobre la disponibilidad de la SIF. Nota para el lector ¿Cuánto tiempo le lleva realizar una reparación promedio de un elemento de una SIF en su Instalación?

Figura 3. Efecto de las Reparaciones (MTTR y MRT) sobre la Disponibilidad de la SIF.

3-    Que la SIF esté fallada en forma peligrosa detectable por diagnóstico. Si la falla fue detectada mediante los diagnósticos de alguno de los elementos de la SIF se debe tomar en cuenta el Tiempo de Intervalo del Diagnostico Automático (TI_A: Automatic Test Interval), ya que eso determinará lo que tardará el sistema en detectar la falla para realizar la notificación. Mientras eso sucede, la SIF posiblemente estará incapacitada de realizar su función. En la figura 4 se muestra como el diagnóstico y la subsecuente reparación afectan la disponibilidad de la SIF. Nota para el lector ¿Pueden las Pruebas de Recorrido Parcial (PST: Partial Stroke Test) considerarse para la estimación del TI_A en su instalación?

Figura 4. Efecto del Diagnóstico (TI_A) sobre la Disponibilidad de la SIF.

4-   Que la SIF esté fallada en forma peligrosa no detectable por diagnóstico. La lógica en este caso es la siguiente, si la SIF está fallada en forma que no existe un diagnostico capaz de evidenciar esa falla, entonces la SIF no está disponible para ofrecer seguridad y nadie puede darse cuenta de ello a menos que se pruebe. Es decir, la única forma de revelar las fallas peligrosas ocultas es mediante las pruebas periódicas que se realizan según el Tiempo de Inspección (TI_M: Manual Test Interval) especificado en las SRS y usado en los cálculos de verificación del SIL. Este parámetro es directamente proporcional a la probabilidad de falla peligrosa de la SIF, es decir, mientras más grande el intervalo más grande es la probabilidad de que la SIF falle en el momento que se le necesite. De allí la tentación de usar TI_M irrealmente bajos en el diseño y que son imposibles de cumplir por las organizaciones en la operación. Recuerde, no es lo mismo diseñar (el papel aguanta todo) que operar y mantener. Debe haber un equilibrio entre los objetivos de producción y de seguridad, que le permita a la organización generar una política consistente para la implementación de TI_M realizables y que sean monitoreados para que se ajusten a los constantes cambios dentro de la organización sin impactar la seguridad. En la figura 5 se muestra el efecto del intervalo de pruebas periódicas sobre la disponibilidad de la SIF. Nota para el lector ¿Cada cuánto su instalación realiza una parada de planta que le permita probar apropiadamente las SIF? ¿Coincide este tiempo con el especificado en el diseño de las SIF?

Figura 5. Efecto de la Intervalo de Pruebas Periódicas (TI_M) Sobre la Disponibilidad de la SIF.

5- Que los elementos de la SIF nunca hayan sido reemplazados. Si los elementos de la SIF no han sido reemplazados, las fallas asociadas a las tasas de fallas que no pueden ser detectadas, ni por diagnósticos automáticos ni por pruebas manuales, se estarán acumulando durante la vida útil de la SIF. Por esto se debe estimar cual será el Tiempo de Misión (Mission Time) de cada componente de la SIF y el mismo debe ser respetado. En la figura 6 se muestra el efecto del Tiempo de Misión sobre la disponibilidad de la SIF. Nota para el lector ¿En cuánto tiempo tiene planificado el reemplazo de los sensores de su SIF?

Figura 6. Efecto del Tiempo de Misión sobre la Disponibilidad de la SIF.

Estos son solo algunos ejemplos, así que por favor tómese su Tiempo cuando defina las políticas en su organización para la implementación de estos parámetros.

Esta entrada fue basada en un trabajo de mi amigo Ricardo A. Vittoni, TIME- The Most Importat Parameter in SIS Fucntionality, mi reconocimiento y agradecimiento a él.

PONGA A PRUEBAS SUS CONOCIMIENTOS.

Preguntas de esta entrada: