ANALIS DEL METODO RBD PARA LA DETERMINACION DE LA PFD DE LOS ELEMENTOS DE

UNA FUNCION INSTRUMENTADA DE SEGURIDAD SEGÚN IEC-61508.

FSE Ing. Raúl R. Roque Y.
Santa Cruz - Bolivia
Resumen

Dentro de las actividades del Ciclo de Vida de un Sistema Instrumentado de seguridad existe la necesidad
de realizar la verificación del nivel de integridad de la seguridad SIL de cada función Instrumentada de
Seguridad (FIS) que la conforma. Por lo tanto es necesario calcular la Probabilidad de Falla en demanda
PFDavg de la función utilizando cada uno de los elementos o subsistemas que están presentes en la FIS. En
el presente documento tal como también lo hace estándar IEC-61508 Parte 6, se realiza un análisis del
método RBD (Reliability Block Diagram) para el cálculo de la PFDavg según el hardware seleccionado
para la implementación de la FIS.

1. Introducción

Los procesos o sistemas críticos aparecen en muchas y diferentes industrias tales como, la industria nuclear,
química, petróleos, etc. Cuando estos sistemas no son apropiadamente controlados o mantenidos pueden dejar
de funcionar y en tal caso llevan al proceso bajo control (EUC) a un riesgo significativo para la seguridad de
personas, medio ambiente y financiero. Ahora los sistemas instrumentados de seguridad o SIS como se los
conoce son sistemas diseñados para reducir el riesgo de procesos o sistemas críticos, cuando existen
desviaciones o malfuncionamiento de sus variables de proceso, entonces el SIS debe llevar a un estado seguro
dicho proceso.

El hardware de un SIS está compuesto por tres subsistemas, subsistema de sensado, subsistema de resolvedor
lógico y subsistema de actuación, tal como se muestra en la figura 1. Ahora el subsistema de sensado monitorea
el proceso crítico examinando condiciones potencialmente inseguras, el resolvedor lógico interpreta las entradas
del subsistema de sensado y ejecuta determinadas acciones mediante el subsistema de actuación.

El estándar IEC-61508 publicado en el año 2000 ha sido adoptado por muchos países como una norma de
carácter nacional, en este existe 2 conceptos muy importantes, el Ciclo de Vida de la Seguridad y el Nivel de
Integridad de la Seguridad (Safety integrity Level SIL). Como procedimiento dentro del ciclo de vida es
necesario realizar la verificación del SIL de cada función instrumentada de seguridad FIS que conforman el
denominado SIS, de tal manera de confirmar que la Probabilidad de Falla en demanda promedio PFDavg del
hardware diseñado cumple con el Factor de Reducción de Riesgo requerido por el proceso. En caso de no
cumplir este requerimiento es necesario realizar una modificación a dicho hardware hasta cumplir con la
Reducción de Riesgos necesaria y además tomar en cuenta también las restricciones de hardware definidas
en la norma IEC-61508 durante este proceso de verificación.
 INTERFACE DE CONTROL BASICO
USUARIO DE PROCESOS

SENSORES ACTUADORES
RESOLVEDOR
LOGICO

Fig. 1 Hardware de Sistema instrumentado de Seguridad

El proceso de verificación del SIL puede ser abordado mediante diferentes metodologías, todas basadas en
técnicas de análisis probabilístico y entre las más conocidas están: Análisis de Árbol de Fallas (FTA), Análisis
Modos de Falla y Eventos FMEA, Diagrama de bloques de Confiabilidad RBD, Análisis por Markov, técnicas
mixtas, etc. El uso de cada técnica tiene sus ventajas y desventajas

Probabilidad de Falla en Demanda

Es una medida del SIL de una función instrumentada de seguridad FIS, está definida como la probabilidad
falla de la FIS para no cumplir con la intención para la cual fue diseñada, en otras palabras es la probabilidad
con la cual la FIS es incapaz de desempeñar su función de seguridad; lo que significa que la FIS esta
inhabilitada para responder a una demanda y no podrá iniciar ninguna acción de seguridad. La PFD indica
un valor instantáneo, para su uso en seguridad es necesario expresar como PFDavg la cual indica un valor
promedio sobre el intervalo de prueba de la FIS

Ti
PFDavg   (1  e   )d ; (1)
0

entonces hay que considerar que la PFD  f ( ,  ,TI ,CC ,etc ) , es una función de la tasa de fallas  , la tasa
de reparación  , el Intervalo de prueba TI , las fallas de causa común CC , etc.

Para satisfacer los requerimientos dados en la Especificaciones de los requerimientos de la seguridad de la FIS
con un SIL objetivo obtenido del análisis de riesgo del proceso, la PFDavg de la FIS diseñada debe ser menor
al valor límite indicado en la tabla 1.

2. Diagrama de Bloques de Confiabilidad

Es una técnica de análisis gráfica, la cual expresa como está conectado el sistema y el número de componentes
de acuerdo a una relación lógica de confiabilidad.
 Tabla 1. SIL y PFDavg según IEC-61508
Los componentes conectados en serie representan una conexión lógica “and” y los conectados en paralelo son
representados mediante la conexión “or”, mientras que la combinación de componentes en serie y paralelo
representa lógica de votación. Un esquema RBD tiene un orden siempre va de izquierda a derecha, y desde el
nodo más a la izquierda hacia el nodo más a la derecha presentará las trayectorias o rutas para una operación
exitosa del sistema. Cuando un componente falla, este cortara la conexión o ruta correspondiente, a medida
que ocurren las fallas en los componentes, el sistema seguirá operando o funcionando hasta que no haya ruta
o vía valida desde el nodo más a la izquierda al nodo más a la derecha y entonces la probabilidad de falla del
sistema en estudio se puede calcular o determinar de acuerdo a principios probabilísticos, por ejemplo sea un
subsistema con votación 1oo2, esto significa que dispone de 2 canales diferentes con sus propios componentes
es decir independientes, y se requiere que con 1 canal disponible todavía puede ser confiable y cumplir con su
intención de diseño; sin embargo está claro que podría darse una falla de causa común que afectaría a ambos
componentes y en esa circunstancia el sistema deja de ser confiable por lo que ante una demanda el no podrá
llevar al proceso a modo seguro, tal esquema se muestra en la siguiente figura:

Fig. 2 RBD para un esquema de votación 1oo2 de sensores

Para el presente documentos se consideran las siguientes suposiciones para el uso del Enfoque RBD:

a) La PFDavg resultante de un subsistema se menor que 101 y también la PFH es menor a 105 .
b) La tasa de falla y reparación de los componentes se consideran constantes dentro del tiempo de vida
del sistema.
c) La tasa de falla de hardware utilizado como información para el cálculo se considera para subsistemas
con canales simples.
d) Todos los canales en un grupo de votación tienen la misma tasa de falla y la misma tasa de cobertura
de diagnóstico.
e) La tasa de falla de hardware total de un canal en un subsistema es la suma de la tasa de fallas
peligrosas y la tasa de fallas seguras y se asume iguales.
f) La prueba o test y reparación para cada función de seguridad es completa (perfecta). Esto significa
que todas las fallas que permanezcan sin detectar son detectadas por la prueba de test.
 g) El intervalo de test prueba es por lo menos una orden de magnitud mayor que el intervalo de test
de diagnóstico.
h) No se considera el estudio del efecto de la tasa de demanda y el intervalo esperado entre la demanda.
i) Para cada subsistema hay in único intervalo de prueba y un tiempo medio para la restauración.
j) Se considera que se encuentra disponible múltiples grupos de reparación para trabajar en todas las
fallas conocidas.
k) El intervalo esperado entre las demandas es por lo menos un orden de magnitud que el tiempo medio
para la reparación.

Autodiagnóstico

Hoy en día muchos equipos pueden detectar fallas por si mismos mediante el denominado diagnóstico, la
capacidad del equipo se denomina cobertura de diagnóstico (DC) y en ningún caso puede detectarse la
totalidad de las fallas, es decir que el DC nunca llega al 100%. Ahora la tasa de falla total de un equipamiento
 tal como lo muestra la figura, se divide en fallas seguras S y fallas peligrosas D , las mismas se dividen
en seguras detectadas SD , seguras no detectadas SU , así como en peligrosas detectadas DD y peligrosas no
detectadas DU . La tasa de falla seguras son justamente las que llevan a modo seguro; por otro lado las
fallas peligrosas puede detectarse mediante diagnóstico y justamente coincide con el criterio de la cobertura
de diagnóstico definido anteriormente. Por lo tanto las fallas peligrosas no detectadas son aquellas que
debemos estudiar y determinar y este valor es el que nos indica cuan confiable es el equipo para las aplicaciones
de seguridad. La norma IEC-61508 introduce el término fracción de falla segura SFF definido como:

S  DD SD  SU  DD

SFF   ; (2)
S  D SD  SU  DD  DU

para identificar las características de confiabilidad de un determinado dispositivo que será utilizado de una
función instrumentada de seguridad.

Fig.3 División de la tasa de fallas total

La probabilidad de falla en demanda está relacionada con las fallas peligrosas D  DD  DU que evitan que
el SIS funcione cuando se precise que así lo haga; es decir ante una demanda. En el análisis se puede considerar
que para cada FIS existe una prueba test de funcionamiento periódica en un tiempo Ti y también existe una
reparación perfecta, entonces todos los fallas no detectados se descubren mediante una prueba test de la FIS.
Cuando se produce una falla, se presupone que en promedio ocurre en el punto intermedio del intervalo de
test, en otras palabras la falla sigue sin detectarse durante el 50% del periodo de test. Entonces tanto para
fallas peligrosas no detectadas y peligrosas detectadas, el tiempo medio improductivo o MDT depende del
intervalo de test Ti, el tiempo medio de reparación MTR y del tiempo medio hasta el restablecimiento MTTR.

3. Calculo de la PFDavg mediante RBD

3.1 Arquitectura 1oo1

Esta arquitectura consiste de un solo canal, sin embargo como nuestro análisis está centrado al estudio de las
fallas peligrosas y estas se dividen en fallas peligrosas detectadas y fallas peligrosas no detectadas, al tener
diferente tasa de falla cada una entonces es necesario agrupar estas fallas en una arquitectura en serie, tal
como lo muestra la figura, donde Q1 representa el bloque de fallas peligrosas no detectadas (las más peligrosas)
y Q2 las fallas peligrosas detectadas y ambas dan como resultado el denominado tiempo medio improductivo
tCE cuya tasa de falla es D y es posible calcularlo sumando los tiempos medios improductivos en directa
proporción respecto a la contribución de la probabilidad de falla del canal, es decir:

DU  Ti  DD
tCE    MRT   MTTR ; (3)
D 2  D

T 
PFD  1  e  DtCE  DtCE  DU  i  MRT   DD MTTR ; (4)
2 

Fig.4 Arquitectura RBD para un esquema 1oo1

Ejemplo:

Sea un elemento del cual se desea obtener la PFDavg para diferentes valores de la cobertura de diagnóstico
DC y se conoce que la tasa de fallas peligrosa es D  5 10 , el tiempo de reparación es igual al tiempo de
8

restablecimiento MTR  MTTR  8[h ] .

D 5,00E‐08 D 5,00E‐08 D 5,00E‐08

Arquitectura Ti [h] 4380,0 Ti [h] 8760,0 Ti [h] 17520,0
MTR=MTTR[h] 8,0 MTR=MTTR[h] 8,0 MTR=MTTR[h] 8,0
DC [%] tCE PFDavg tCE PFDavg tCE PFDavg
0 2,20E+03 1,10E‐04 4,39E+03 2,19E‐04 8,77E+03 4,38E‐04
1oo1 60 8,79E+02 4,40E‐05 1,76E+03 8,78E‐05 3,51E+03 1,75E‐04
90 2,20E+02 1,10E‐05 4,39E+02 2,19E‐05 8,77E+02 4,38E‐05
99 2,20E+01 1,10E‐06 4,39E+01 2,19E‐06 8,77E+01 4,38E‐06
Mediante el uso de la ecuación 4, se puede observar a demás que la PFDavg aumenta conforme aumenta el
Intervalo de prueba Ti y reduce conforme aumenta el porcentaje de la cobertura de Diagnostico.

3.2 Arquitectura 1oo2

Esta arquitectura consiste de dos elementos conectados en paralelo, de tal manera que cualquier canal puede
ejecutar la función de seguridad, por lo tanto debería existir una falla peligrosa en ambos canales antes de
que la función de seguridad falle bajo una demanda. Se supone que cualquier test de diagnóstico solo reportará
las fallas encontradas y no cambiará a ningún estado su salida ni la votación especificada. La figura muestra
el RBD para dicha arquitectura donde Q1 ,Q2 pertenecen al equipamiento o componente 1 yQ3 , Q4 al
equipamiento o componente 2.

Fig. 5 Arquitectura RBD para un esquema 1oo2

Por otro lado el RBD contiene un bloque en serie adicional que representa las fallas de causa común
considerando que los equipos en paralelo son similares, este bloque denota la fracción de fallas no detectadas
que tienen causa común  . Ahora para el caso de fallas detectadas por diagnóstico de causa común. D .
Estos valores son fracciones que se consideran igual entre 5% al 10% del total de fallas peligrosas del
equipamiento.

El tiempo medio improductivo MDT para esta arquitectura está definida como:

DU  Ti  DD
tCEG    MRT   MTTR ; (5)
D  3  D

Donde tCE es el tiempo improductivo de cada elemento o equipamiento y se nota que con esta arquitectura
el tiempo de parada del conjunto tCEG se reduce a la mitad de tCE .

Cuando un canal o elemento falla de forma peligrosa, el conjunto pasa a un estado de operación degradada y
aun así puede desempeñar la función de seguridad especificada ante una demanda con el que queda operando,
si este segundo elemento falla de forma peligrosa entonces todo el grupo falla y la función no podrá ejecutar
la función de seguridad.

La PFDavg según indica IEC-61508 Parte 6 considerando efectos de fallas de causa común es:
 T 
PFDavgG  2  (1   )DU  (1  D )DD  tCEtCEG  DU  i  MTTR   D DD MTTR ;
2
(6)
2 

Ejemplo:

D  D [%] Ti [h] MTR=MTTR[h] DC [%] DD DU tCE tCEG PFDavg
5,00E‐08 10 5 4380 8 0 0,00E+00 5,00E‐08 2,20E+03 1,47E+03 1,10E‐05
5,00E‐08 10 5 4380 8 60 3,00E‐08 2,00E‐08 8,84E+02 5,92E+02 4,41E‐06
5,00E‐08 10 5 4380 8 90 4,50E‐08 5,00E‐09 2,27E+02 1,54E+02 1,12E‐06
5,00E‐08 10 5 4380 8 99 4,95E‐08 5,00E‐10 2,99E+01 2,26E+01 1,30E‐07
5,00E‐08 10 5 8760 8 0 0,00E+00 5,00E‐08 4,39E+03 2,93E+03 2,20E‐05
5,00E‐08 10 5 8760 8 60 3,00E‐08 2,00E‐08 1,76E+03 1,18E+03 8,80E‐06
5,00E‐08 10 5 8760 8 90 4,50E‐08 5,00E‐09 4,46E+02 3,00E+02 2,21E‐06
5,00E‐08 10 5 8760 8 99 4,95E‐08 5,00E‐10 5,18E+01 3,72E+01 2,39E‐07

El resultado de la tabla anterior nos indica un resultado similar al anterior, sin embargo se puede ver la
PFDavg se reduce notablemente cuando se utiliza arquitectura con votación.

3.3 Arquitectura 2oo2

Esta arquitectura consiste de dos elementos conectados en serie, por lo tanto ambos canales son necesarios
para ejecutar la función de salida ante una demanda. La figura muestra el RBD para la arquitectura 2oo2
por lo tanto la PFDavg está dada por:
T 
PFDavgG  2DtCE  2DU  i  MRT   2DD MTTR ; (7)
2 

Fig. 6 Arquitectura RBD para un esquema 2oo2

Ejemplo

D  D [%] Ti [h] MTR=MTTR[h] DC [%] DD DU tCE PFDavg

5,00E‐08 10 5 4380 8 0 0,00E+00 5,00E‐08 2,20E+03 2,20E‐04
5,00E‐08 10 5 4380 8 60 3,00E‐08 2,00E‐08 8,84E+02 8,84E‐05
5,00E‐08 10 5 4380 8 90 4,50E‐08 5,00E‐09 2,27E+02 2,27E‐05
5,00E‐08 10 5 4380 8 99 4,95E‐08 5,00E‐10 2,99E+01 2,99E‐06
5,00E‐08 10 5 8760 8 0 0,00E+00 5,00E‐08 4,39E+03 4,39E‐04
5,00E‐08 10 5 8760 8 60 3,00E‐08 2,00E‐08 1,76E+03 1,76E‐04
5,00E‐08 10 5 8760 8 90 4,50E‐08 5,00E‐09 4,46E+02 4,46E‐05
5,00E‐08 10 5 8760 8 99 4,95E‐08 5,00E‐10 5,18E+01 5,18E‐06

Esta arquitectura no dispone mejor PFDavg que la que tiene 1oo1.

3.4 Arquitectura 2oo3

Esta arquitectura consiste en tres elementos conectados en paralelo con un arreglo de votación mayoritario
para la salida de la señal, la misma no cambiará si solo un elemento presenta un resultado diferente en
desacuerdo con los otros dos elementos. Sin embargo en temas de seguridad, para que la función esté
disponible, con la falla de un elemento aún la función puede permitir la activación de la salida de votación
pasando a modo de operación degradado, si existiera una segunda falla entonces esta arquitectura no puede
ejecutar la función de salida por lo tanto no estará disponible la FIS y el SIS debe ir a modo seguro.

La figura 7 y 8 muestran la arquitectura para una votación 2oo3..

Fig. 7 Arquitectura RBD para un esquema 2oo3

Fig. 8 Arquitectura RBD para un esquema 2oo3

DU  Ti  DD
tCEG    MRT   MTTR ; (8)
D  3  D

DU  Ti  DD
tCEG 2    MRT   MTTR ; (9)
D  4  D

T 
PFDavgG  6  (1   )DU  (1  D )DD  tCE tCEGtCEG 2  DU  i  MTTR   D DD MTTR ;
3
(10)
2 

Ejemplo

D  D [%] Ti [h] MTR=MTTR[h] DC [%] DD DU tCE tCEG tCEG2 PFDavg
5,00E‐08 10 5 4380 8 0 0,00E+00 5,00E‐08 2,20E+03 1,47E+03 1,10E+03 1,099E‐05
5,00E‐08 10 5 4380 8 60 3,00E‐08 2,00E‐08 8,84E+02 5,92E+02 4,46E+02 4,408E‐06
5,00E‐08 10 5 4380 8 90 4,50E‐08 5,00E‐09 2,27E+02 1,54E+02 1,18E+02 1,117E‐06
5,00E‐08 10 5 4380 8 99 4,95E‐08 5,00E‐10 2,99E+01 2,26E+01 1,90E+01 1,297E‐07
5,00E‐08 10 5 8760 8 0 0,00E+00 5,00E‐08 4,39E+03 2,93E+03 2,20E+03 2,194E‐05
5,00E‐08 10 5 8760 8 60 3,00E‐08 2,00E‐08 1,76E+03 1,18E+03 8,84E+02 8,788E‐06
5,00E‐08 10 5 8760 8 90 4,50E‐08 5,00E‐09 4,46E+02 3,00E+02 2,27E+02 2,212E‐06
5,00E‐08 10 5 8760 8 99 4,95E‐08 5,00E‐10 5,18E+01 3,72E+01 2,99E+01 2,392E‐07
Vemos como la PFDavg para esta arquitectura se menor que la 1oo2, sin embargo, la misma es muy robusta
ante fallas de causa común.

4. Conclusiones

Hemos observado como la metodología RBD puede ser aplicada para la determinación cuantitativa de la
PFDavg de los elementos que participan en una FIS; aun cuando se encuentran en configuración de
votación.

El modelo de RBD refleja la estructura de confiabilidad del sistema o subsistema en estudio, también es
intuitivo y relativamente fácil de desarrollar.

Un siguiente paso es abordar el estudio de arquitecturas de votación como 1oo3, 2oo4; y como también
cuando disponen de diagnóstico como 1oo2D, 2oo3D.

5. Bibliografía

[1] Guo H., Yang X. “A simple reliability block diagram method for Safety integrity verification”.
Reliability Enginnering and Systems Safety 92 (2007). Elsevier.
[2] Creus A., “Fiabilidad y Seguridad”, Marcombo Ediciones técnicas, 2da Edicion 2005
[3] Fernandez I. et al . “Sistemas Instrumentados de Seguridad y análisis SIL”, ISA Sección España
Diaz de Santos. 2012
[4] Magnetrol. “Understanding Safety Integrity level” Special application Series.
[5] IEC 61508. “Functional safety of eléctrical/electronic/programable electronic safety-related
systems. Part 6. Guideline on the Applications of IEC-61508-2 and IEC-61508-3.
[6] IEC 61511. “Functional safety ”safety instrumented sytems for process industry sector, Part 1,
part 2 and Part 3.
Sobre el Autor

Raúl Roque nació en La Paz Bolivia, concluyó la Carrera de Ingeniería Electrónica en la Facultad de Ingeniería de la
Universidad Mayor de San Andrés el año 2002. Desde 2003 desarrolla su trabajo en el área de Instrumentación, Sistemas
de control y medición en el sector de hidrocarburos y minería. En 2015 obtiene el certificado TUV SUD de Ingeniero en
Seguridad Funcional FSE. Actualmente se desempeña como Coordinador de Mantenimiento Eléctrico e Instrumentos en
YPFB Transporte S.A., es miembro del Colegio de Ingenieros Eléctricos y Electrónicos Santa Cruz, docente para el
DICAPI de la Universidad Privada, docente de INEGAS. Su línea de investigación está centrada a Control No lineal,
Control por Modos deslizantes, Control Basado en Pasividad, Electrónica de Potencia y Sistemas Instrumentados de
Seguridad.

raul_roque_y@hotmail.com