¿Cómo aplicamos la RAMS Ferroviaria (EN50126) en sistemas no electrónicos?

Las normativas, herramientas y estudios de fiabilidad, disponibilidad, mantenibilidad y seguridad, están normalmente muy relacionados o hechos a medida para sistemas eléctricos y electrónicos. En cambio, el objetivo de alcance de las Administraciones y Explotadoras Ferroviarias de la Ingeniería RAMS ferroviaria cada vez es mayor y, por tanto, esta está llegando a todos los sistemas, no sólo los eléctricos y electrónicos.

De este modo, cuando un fabricante de sistemas o sub-sistemas mecánicos, neumáticos o hidráulicos, etc., debe aplicar la normativa CENELEC EN 50126 "Especificación y demostración de la fiabilidad, la disponibilidad, la mantenibilidad y la seguridad (RAMS)" en una aplicación ferroviaria, se encuentra que tanto esta como el resto de normativas relacionadas (como puede ser la EN 50129), tienen una fuerte orientación hacia sistemas eléctricos o electrónicos, caracterizados por estar formados por componentes y sub-sistemas con una tasa de falla asociada de tipo estadística y en función del tiempo, por ejemplo, la MTBF (Mean Time Between Failures - Tiempo medio entre fallos). A estos fallos se les llama fallos aleatorios.

El concepto de fallo aleatorio, como comentamos, sí tiene sentido en aplicaciones eléctricas o electrónicas. Pero no tiene mucho sentido en sistemas mecánicos, neumáticos, hidráulicos o similares. Por ejemplo, si nos preguntamos, ¿cada cuanto falla una ventana de un tren?, tanto la pregunta como lo respuesta parece tener, efectivamente, poco sentido. Una ventana puede desgastarse o degradarse si pensamos por ejemplo en que esta va unida al tren mediante un componente químico de sujeción o que, debido a la radiación solar, este pierde sus propiedades de filtraje. Todos estos fallos asociados a la degradación o fatiga, no tiene sentido modelizarlos como una aproximación de tasa de fallo estadística. Tampoco tiene sentido, intentar aproximaciones absurdas como modelizar el vandalismo que puede tener una ventana de tren que la romperá y obligará a substituirla: la tasa de fallo aleatoria modeliza fallos propios de los equipos con un método estadístico y, el vandalismo, siguiendo con el mismo ejemplo, no tiene sentido modelizarlo estadísticamente.

Por tanto, podemos entender perfectamente que nos podemos encontrar con equipos, productos, sistemas o sub-sistemas que, pese a solicitarle el cumplimiento de la CENELEC EN 50126 de RAMS Ferroviaria, no tenga sentido aplicarle uno de los conceptos más importantes de dicha norma: el estudio cuantitativo de fallos aleatorios.

Una puerta o una ventana de un tren, un fuelle, un conductor de cables, un compresor, una válvula neumática, etc., son equipos que pueden tener asociados requisitos de seguridad y requerir del cumplimiento de la normativa CENELEC EN 50126, en cambio, no tienen en ningún caso, un fallo aleatorio asociado.

¿Porque es tan importante el estudio de fallos aleatorios para la EN 50126?

De forma muy resumida, la Ingeniería RAMS tiene por objetivos la gestión de los fallos sistemáticos mediante procesos robustos y probados, los fallos aleatorios mediante un diseño adecuado y en su análisis de dichos fallos y sus consecuencias y, la gestión de riesgos a los que se expone el sistema, tanto endógenos como exógenos.

En este sentido, como podemos observar el análisis más cuantitativo del estudio RAMS pasa por un conjunto de análisis y cálculos basados en los fallos aleatorios y el resto de actividades se asocian a procesos de carácter más cualitativo. Como los niveles SIL son objetivos cuantitativos de las funciones de seguridad y, por tanto, estrechamente ligadas al cálculo de fallos aleatorios de un equipo, las empresas de sistemas no electrónicos se ven sin manera de avanzar en el cumplimiento de los requisitos RAMS solicitados por sus clientes por un lado y, el cumplimiento de la normativa EN 50126 por el otro, generando una situación donde no se sabe muy bien cómo proceder, avanzar o gestionar esta discrepancia. Muchas veces, el nivel SIL es la manera de materializar un requisito de seguridad asociada a la RAMS de la EN 50126. Pongamos un ejemplo muy sencillo: Las funciones de seguridad de la puerta del tren deberán tener un nivel de integridad de la seguridad (nivel SIL), SIL-4, acorde a la normativa CENELEC EN 50126.

Un nivel SIL-4 indica efectivamente que la probabilidad de fallo en contra de las funciones de seguridad deberá ser entre 1x10-8 y 1x10-9. Por tanto, detectamos en este punto la dificultad de proceder: ¿Si no tenemos una probabilidad de fallo asociada, como garantizo a mi cliente que la probabilidad de fallo está en los rangos requeridos? La simplificación de asociar un nivel SIL-4 sólo al cumplimiento de una tasa de fallo es deliberado: en realidad, un nivel SIL-4 tiene muchas otras implicaciones, como el tipo de organización que debe tener la empresa y el equipo que ejecuta el proyecto, los procesos y actividades que deben llevarse a cabo durante todo el ciclo de la vida del proyecto, etc.

Lo primero que siempre indicamos a nuestros clientes es que es importante definir correctamente los requisitos de seguridad ya que la CENELEC EN 50126 indica explícitamente y en línea con lo comentado que, dicha norma NO permite la asignación de niveles de integridad de la seguridad a funciones no electrónicas. Es decir, los niveles SIL solamente se definen para funciones que dependen de sistemas parcial o totalmente electrónicos.

La estrategia para afrontar el cumplimiento de la EN 50126 para un sistema no electrónico

La EN 50126 permite, para los sistemas no electrónicos, la aplicación de 2 métodos adicionales para la evaluación de riesgos y cumplir correctamente con una función relacionada con la seguridad: el CÓDIGO DE BUENAS PRACTICAS y los SISTEMAS DE REFERENCIA más allá del que habitualmente conocemos como la ESTIMACIÓN EXPLÍCITA DE RIESGOS.

Un CÓDIGO DE BUENAS PRÁCTICAS, por tanto, utilizado de forma correcta, puede utilizarse para controlar uno o más peligros específicos, aceptándose la mitigación de dicho riesgo al aplicar dicho CÓDIGO y, por tanto, no debiéndose analizar más a fondo. Debemos entender un CÓDIGO DE BUENAS PRÁCTICAS como una o más normas reconocidas y aceptadas en el ámbito ferroviario y ser de aplicación para asegurar un diseño u otro proceso asociado al peligro, en el sistema en consideración.

De forma práctica, en nuestro hazard log o registro de amenazas, mitigaremos las amenazas gracias al cumplimiento del CÓDIGO DE BUENAS PRÁCTICAS, pasando a ser su cumplimiento un requisito de seguridad del sistema. Además la relaciones de las funciones de seguridad con el CÓDIGO DE BUENAS PRÁCTICAS utilizado debe indicarse y justificarse en la arquitectura del sistema. Y finalmente, durante la integración de los subsistemas y componentes del sistema, deberá darse evidencias de la conformidad de la implementación con el CÓDIGO DE BUENAS PRÁCTICAS utilizado.

Por otro lado la aplicación de un SISTEMA DE REFERENCIA deberá satisfacer como mínimo los siguientes requisitos: haber acreditado en la práctica un nivel aceptable de seguridad y seguir estando por ello autorizado en el Estado miembro donde se vaya a introducir el cambio, tener funciones e interfaces similares al sistema evaluado, utilizarse en condiciones de explotación similares al sistema evaluado y utilizarse en condiciones ambientales similares al sistema evaluado. Aparentemente este método puede ser muy útil de aplicar pero en muchas ocasiones repetir las condiciones de operación y ambientales puede llegar a ser muy complicado y tedioso.

La CENELEC EN 50126 habilita tres estrategias o principios de aceptación de riesgos: utilización de códigos de buenas prácticas, uso de un sistema similar como referencia, estimación explícita de riesgo.

En cuanto a los sistemas no electrónicos, la CENELEC EN 50126 indica explícitamente, prestar especial atención a las causas de fallos de los sistemas y funciones debido a las propiedades físicas inherentes que afectan a la vida útil del equipo, incluyendo los desgastes, degradaciones o fatigas mecánicas o la influencia del entorno como la temperatura, la radiación solar, la exposición a agentes químicos contaminantes, etc.

Por tanto, la prevención de fallos sistemáticos y aleatorios para productos no electrónicos quedarán ajustado siguiendo las siguientes aproximaciones:

• La integridad de seguridad aleatoria se logrará mediante el diseño de producto aplicando CÓDIGOS DE BUENAS PRÁCTICAS.
• La integridad de seguridad sistemática, se basará principalmente en métodos de proceso, incluida la gestión de la calidad en todo el ciclo de vida, la gestión de la seguridad y medidas de tipo organizativas.

Seguimos con el ejemplo: una puerta de un tren

Las puertas de los trenes tienen sin duda, funciones de seguridad. La más sencilla de entender es la de mantener las puertas cerradas sin no hay una orden de mando seguro que indique lo contrario. En este sentido, la seguridad estará garantizada por una cerradura mecánica y por un sistema electrónico que controla la puerta. Como hemos visto, la parte mecánica se construirá de acuerdo a un CÓDIGO DE BUENAS PRÁCTICAS. En cambio, el sub sistema electrónico de control, si podrá enfocarse con una aproximación "clásica" de la EN 50126 basado en el estudio de fallo aleatorio, pudiéndole asignar un nivel SIL a las funciones desarrolladas por dicho subsistema.

En Leedeo Engineering, somos especialistas en el desarrollo de proyectos de RAMS, dando soporte a cualquier nivel requerido a las tareas RAM y de Safety, y tanto a nivel de infraestructura o equipamiento embarcado.