ISO 13849

La norma ISO 13849 es una norma de seguridad que se aplica a las partes de los sistemas de control de maquinaria que están asignadas a proporcionar funciones de seguridad (llamadas partes relacionadas con la seguridad de un sistema de control). ^[1] La norma forma parte de un grupo de normas de seguridad funcional específicas del sector que se crearon para adaptar los enfoques genéricos de confiabilidad del sistema, por ejemplo, IEC 61508 , MIL-HDBK-217, MIL-HDBK-338, a las necesidades de un sector en particular. La norma ISO 13849 está simplificada para su uso en el sector de la maquinaria.

La norma consta de dos partes:

• ISO 13849-1, Parte 1: Principios generales para el diseño, proporciona requisitos de seguridad y orientación sobre los principios de diseño e integración de partes relacionadas con la seguridad de los sistemas de control (hardware o software).
• La norma ISO 13849-2, Parte 2: Validación , especifica los procedimientos a seguir para validar mediante análisis o pruebas, las funciones de seguridad del sistema, la categoría alcanzada y el nivel de rendimiento alcanzado. ^[2]

La norma ISO 13849 está diseñada para su uso en maquinaria con tasas de demanda altas o continuas. Según la norma IEC 61508 , una tasa de demanda ALTA es una o más veces al año de funcionamiento, y una tasa de demanda CONTINUA es mucho, mucho más frecuente que ALTA. Para sistemas con una tasa de demanda BAJA, es decir, menos de una vez al año, consulte la norma IEC 61508 o la norma específica del sector correspondiente, como la IEC 61511 .

La norma es desarrollada y mantenida por ISO/TC 199, Seguridad de la maquinaria , Grupo de trabajo 8 — Sistemas de control seguro . ^[3] El alcance de la norma ISO 13849 incluye sistemas de control que utilizan tecnologías mecánicas, eléctricas, electrónicas y fluídicas (hidráulicas y neumáticas).

Según una encuesta informal a las partes interesadas realizada en 2013, más del 89% de los fabricantes de maquinaria y más del 90% de los fabricantes de componentes y proveedores de servicios utilizan la norma ISO 13849 como estándar de seguridad funcional principal para sus productos. ^[4]

La norma ISO 13849-1 tiene sus orígenes a mediados de la década de 1990 cuando el Comité Europeo de Normalización (CEN) publicó la norma EN 954-1, Seguridad de las máquinas — Partes de los sistemas de control relacionadas con la seguridad — Parte 1: Principios generales para el diseño ^[5] en 1996. En 1999, la norma EN 954-1 se transfirió a ISO para su desarrollo continuo bajo el Acuerdo de Viena.

EN 954-1 introdujo las cinco categorías estructurales originales, B, 1-4.

La norma prEN 954-2:1999, Seguridad de las máquinas. Partes de los sistemas de control relacionadas con la seguridad. Parte 2: Validación , es el documento precursor que finalmente se convirtió en la norma ISO 13849-2 en 2003. Este documento nunca se publicó como norma final. El "pr" en "prEN" indica que el documento era una norma previa europea.

En 1999, la ISO publicó la primera edición de la norma ISO 13849-1, Seguridad de las máquinas. Partes de los sistemas de control relacionadas con la seguridad. Parte 1: Principios generales para el diseño . La primera edición era técnicamente idéntica a la norma EN 954-1. Un año después de su publicación, el ISO/TC 199 lanzó una nueva propuesta de trabajo para la revisión de la norma. El objetivo era añadir requisitos probabilísticos a la norma existente.

En 2003 se publicó la norma ISO 13849-2, Seguridad de las máquinas – Partes de los sistemas de control relacionadas con la seguridad – Parte 2: Validación . Esta norma incluía todos los detalles relacionados con la validación de la seguridad funcional de un diseño. Además, los Anexos AD incluían información clave sobre principios de seguridad básicos y probados, componentes probados y fallas comunes de componentes mecánicos, hidráulicos, neumáticos y eléctricos.

La segunda edición de la norma ISO 13849-1 se publicó en 2006. En esa edición se introdujeron por primera vez los valores MTTF _d , DC _{avg y CCF. Las revisiones incorporaron las recomendaciones desarrolladas a través del proyecto STSARCES de la UE.} ^[6] y ^[7]

En 2012 se publicó la norma ISO 13849-2, Seguridad de las máquinas. Partes de los sistemas de control relacionadas con la seguridad. Parte 2: Validación. Esta edición se reafirmó en 2017 y sigue vigente.

La tercera edición de la norma ISO 13849-1 se publicó en 2015. La revisión incluyó explicaciones técnicas adicionales y aclaraciones sobre los métodos analíticos. Esta edición se reafirmó en 2020, al tiempo que se inició una nueva revisión.

La cuarta edición de la norma ISO 13849-1 se publicó en 2023. La revisión se centra en la integración del contenido de la norma ISO 13489-2, aunque todavía se utilizan algunos anexos específicos del documento ISO 13489-2.

De acuerdo con la norma ISO 13849-1, el diseño del sistema de seguridad se basa en una evaluación de riesgos realizada por el fabricante de la máquina. ^[8] La evaluación de riesgos identifica las funciones de seguridad necesarias para mitigar el riesgo y el nivel de rendimiento que estas funciones deben cumplir para mitigar adecuadamente los riesgos identificados, ya sea por completo o en combinación con otras medidas de seguridad, por ejemplo, protecciones fijas o móviles u otras medidas.

El árbol de decisiones del Anexo A, Figura A.1, se proporciona como un ejemplo de cómo se puede determinar el PL _r . El método del Anexo A no es una herramienta de evaluación de riesgos ya que el resultado de la herramienta se expresa en términos de Nivel de Desempeño, no de riesgo. La Figura A.1 no se puede utilizar para la evaluación de riesgos. En la norma ISO/TR 14121-2 se ofrecen ejemplos de una matriz de riesgos y un árbol de decisiones de riesgos. ^[9] La evaluación de riesgos se realiza normalmente en al menos dos ciclos, el primero para determinar el riesgo intrínseco y el segundo para determinar la reducción de riesgos lograda por las medidas de control implementadas en el diseño.

Una función de seguridad es una función del sistema de control cuyo fallo provocará un aumento inmediato del riesgo. ^[8] La norma ISO 13849-1 incluye descripciones de varias funciones de seguridad comunes, entre ellas:

• parada relacionada con la seguridad
• iniciar/reiniciar
• reinicio manual
• control local
• silenciamiento
• Tiempo de respuesta
• parámetro(s) relacionado(s) con la seguridad
• Fluctuación, pérdida y restablecimiento de fuentes de energía.

A cada función de seguridad identificada en la evaluación de riesgos se le asigna un nivel de rendimiento (PL _r ) requerido en función del riesgo intrínseco determinado a través de la evaluación de riesgos. El riesgo intrínseco es el riesgo que plantea la máquina si no existen medidas de control de riesgos o si las medidas de control de riesgos fallan o son anuladas por el usuario.

Un nivel de rendimiento es una banda de tasas de fallos, representada como a, b, c, d, e. Estas tasas de fallos se cuantifican como la probabilidad de fallo peligroso por hora, PFH _d . Los valores numéricos para PFH _d se dan en el Anexo K. El rango de PL para cada banda tiene una tolerancia del 5%. El PFH _d cubierto por la norma ISO 13849-1 va desde la tasa de fallos más alta en PL _a < 1 × 10 ⁻⁴ hasta la tasa de fallos más baja en PL _e en ≥ 1 × 10 ⁻⁸ .

El nivel de desempeño de una función de seguridad está determinado por las características arquitectónicas del controlador (clasificado según categorías arquitectónicas designadas, Categoría B, 1, 2, 3, 4), el MTTF _D de los componentes en el canal o canales funcionales del sistema, la cobertura de diagnóstico promedio (DC _avg ) implementada en el sistema y la aplicación de medidas contra fallas de causa común (CCF). Las arquitecturas de categoría B, 1 y 2 son de un solo canal y, por lo tanto, no ofrecen tolerancia a fallas.

Las arquitecturas designadas incluyen tres estructuras monocanal y dos redundantes. Las estructuras son la base de los cálculos utilizados para determinar los valores PFH _{d que se indican en el Anexo K.}

Cada arquitectura designada tiene un diagrama de bloques asociado . Al analizar los diseños de SRP/CS, se debe desarrollar un diagrama de bloques para ayudar al analista a calcular el MTTF _D de los canales funcionales.

La categoría B representa la categoría básica. Esta categoría es de un solo canal y puede incluir componentes con MTTF _D = Bajo o Medio. Los componentes deben ser adecuados para su uso en la aplicación y estar especificados adecuadamente para las condiciones de uso, es decir, voltaje, corriente, frecuencia, frecuencia de conmutación, temperatura ambiente, clase de contaminación, golpes, vibración, etc. Dado que la categoría B es de un solo canal, el _promedio de CC = NINGUNO. La CCF no es relevante en esta categoría.

El PL máximo = b.

La categoría 1 logra una mayor confiabilidad en comparación con la categoría B mediante el uso de componentes MTTF _D = Alto. Estos componentes se consideran "componentes de eficacia probada" y se enumeran en la norma ISO 13849-2, Anexos A a D. Además, los componentes que han sido probados por el fabricante y aprobados de acuerdo con la norma de seguridad de componentes correspondiente, por ejemplo, IEC 60947-5-5, también se consideran de eficacia probada. Dado que la categoría 1 es de un solo canal, _{la media de} CC = NINGUNA. La CCF no es relevante en esta categoría.

El PL máximo = c.

La categoría 2 es una arquitectura de un solo canal que logra una mayor confiabilidad al basarse en la categoría B, usar componentes con MTTF _D = Bajo a Alto y agregar capacidad de diagnóstico mediante el uso de equipo de prueba. El _{promedio de} CC para la categoría 2 puede ser Bajo a Medio, es decir, 60% ≤ CC < 99%. La frecuencia de diagnóstico depende de la tasa de demanda de la función de seguridad y del PL _r que se debe lograr. Se requiere una puntuación CCF mínima de 65, consulte el Anexo F.

El PL máximo = d.

La categoría 3 es la primera arquitectura con una estructura redundante. Basándose en la categoría B y utilizando componentes con MTTF _D = Bajo a Alto, esta arquitectura introduce un monitoreo cruzado entre los dos canales activos, así como un monitoreo cíclico de los dispositivos de salida. La categoría 3 requiere un _promedio de CC de Bajo a Medio, es decir, 60 % ≤ CC < 99 %. Se requiere un puntaje CCF mínimo de 65, consulte el Anexo F.

En la categoría 3, no se permite que ningún fallo de un solo componente provoque la pérdida de la función de seguridad.

El PL máximo = e.

La categoría 4 también es una arquitectura redundante que se basa en la categoría B. Esta arquitectura, que utiliza componentes limitados a MTTF _D = Alto, incluye monitoreo cruzado entre los dos canales activos, así como monitoreo cíclico de los dispositivos de salida. La categoría 4 requiere un promedio de CC _ALTO , es decir, ≥ 99 %. Se requiere un puntaje CCF mínimo de 65, consulte el Anexo F.

En la categoría 4, no se permite que ningún fallo de un solo componente provoque la pérdida de la función de seguridad.

El PL = e.

Las principales diferencias entre la Categoría 3 y 4 son que la Categoría 4 requiere:

• Componentes MTTF _D en los canales funcionales
• _{Promedio de} CC ≥ 99 %
• La acumulación de fallos entre ciclos de diagnóstico no puede provocar la pérdida de la función de seguridad.
• Todos los fallos que se producen entre los ciclos de diagnóstico deben detectarse cuando se ejecutan los diagnósticos.

Las partes de los sistemas de control relacionadas con la seguridad (SRP/CS) requieren validación. La norma ISO 13849-2 incluye todos los detalles necesarios para la validación mediante técnicas analíticas (incluidos FMEA , FMECA , FMEDA , IFA SISTEMA o cualquiera de las otras herramientas analíticas disponibles), pruebas funcionales y documentación en un registro de validación.