A te se puede definir como un conjunto de componentes interdependientes combinados de tal manera que realizan una función determinada en condiciones específicas. Una máquina es un ejemplo tangible y particularmente claro de un sistema en este sentido, pero hay otros sistemas, que involucran a hombres y mujeres en un equipo o en un taller o fábrica, que son mucho más complejos y no tan fáciles de definir. Seguridad sugiere la ausencia de peligro o riesgo de accidente o daño. Para evitar ambigüedades, el concepto general de ocurrencia no deseada será empleado. La seguridad absoluta, en el sentido de la imposibilidad de que ocurra un incidente más o menos desafortunado, no es alcanzable; de manera realista, uno debe apuntar a una probabilidad muy baja, en lugar de cero, de ocurrencias no deseadas.

Un sistema dado puede considerarse seguro o inseguro solo con respecto al rendimiento que realmente se espera de él. Con esto en mente, el nivel de seguridad de un sistema se puede definir de la siguiente manera: “Para cualquier conjunto dado de sucesos no deseados, el nivel de seguridad (o inseguridad) de un sistema está determinado por la probabilidad de que estos sucesos ocurran durante un período determinado. período de tiempo". Ejemplos de sucesos no deseados que serían de interés en el presente contexto incluyen: muertes múltiples, muerte de una o varias personas, lesiones graves, lesiones leves, daños al medio ambiente, efectos nocivos en los seres vivos, destrucción de plantas o edificios, y lesiones graves. o daños limitados al material o al equipo.

Propósito del Análisis del Sistema de Seguridad

El objeto de un análisis de seguridad del sistema es determinar los factores que inciden en la probabilidad de ocurrencias no deseadas, estudiar la forma en que se producen estas ocurrencias y, en última instancia, desarrollar medidas preventivas para reducir su probabilidad.

La fase analítica del problema se puede dividir en dos aspectos principales:

1. identificación y descripción de los tipos de disfunción o desajuste
2. identificación de la secuencias de disfunciones que se combinan unas con otras (o con sucesos más “normales”) para conducir finalmente al propio suceso no deseado, y la evaluación de su probabilidad.

Una vez estudiadas las distintas disfunciones y sus consecuencias, los analistas de seguridad del sistema pueden dirigir su atención a las medidas preventivas. La investigación en esta área se basará directamente en hallazgos anteriores. Esta investigación de medios preventivos sigue los dos aspectos principales del análisis de seguridad del sistema.

Métodos de análisis

El análisis de seguridad del sistema puede realizarse antes o después del evento (a priori o a posteriori); en ambos casos, el método utilizado puede ser directo o inverso. Se lleva a cabo un análisis a priori antes de la ocurrencia no deseada. El analista toma un cierto número de tales ocurrencias y se dispone a descubrir las diversas etapas que pueden conducir a ellas. Por el contrario, un análisis a posteriori se lleva a cabo después de que se haya producido la ocurrencia no deseada. Su finalidad es servir de orientación para el futuro y, en concreto, extraer las conclusiones que puedan ser de utilidad para los posteriores análisis a priori.

Aunque pueda parecer que un análisis a priori sería mucho más valioso que un análisis a posteriori, dado que precede al incidente, los dos son de hecho complementarios. El método que se use depende de la complejidad del sistema involucrado y de lo que ya se sabe sobre el tema. En el caso de sistemas tangibles como máquinas o instalaciones industriales, la experiencia previa suele servir para preparar un análisis a priori bastante detallado. Sin embargo, incluso entonces el análisis no es necesariamente infalible y seguramente se beneficiará de un análisis posterior a posteriori basado esencialmente en un estudio de los incidentes que ocurren en el curso de la operación. En cuanto a sistemas más complejos que involucran personas, como turnos de trabajo, talleres o fábricas, el análisis a posteriori es aún más importante. En tales casos, la experiencia pasada no siempre es suficiente para permitir un análisis a priori detallado y confiable.

Un análisis a posteriori puede convertirse en un análisis a priori a medida que el analista va más allá del proceso único que condujo al incidente en cuestión y comienza a investigar los diversos sucesos que podrían conducir razonablemente a tal incidente o incidentes similares.

Otra forma en que un análisis a posteriori puede convertirse en un análisis a priori es cuando el énfasis no se pone en la ocurrencia (cuya prevención es el objetivo principal del análisis actual) sino en incidentes menos graves. Estos incidentes, como problemas técnicos, daños materiales y accidentes potenciales o menores, de relativamente poca importancia en sí mismos, pueden identificarse como señales de advertencia de sucesos más graves. En tales casos, aunque se realice con posterioridad a la ocurrencia de incidentes menores, el análisis será un análisis a priori respecto de hechos más graves que aún no se hayan producido.

Hay dos métodos posibles para estudiar el mecanismo o la lógica detrás de la secuencia de dos o más eventos:

1. La opción de de reservaso inductivo, el método parte de las causas para poder predecir sus efectos.
2. La opción de marcha atráso deductivo, el método mira los efectos y trabaja hacia atrás hasta las causas.

La Figura 1 es un diagrama de un circuito de control que requiere dos botones (B₁ y B₂) para ser presionados simultáneamente para activar la bobina del relé (R) y poner en marcha la máquina. Este ejemplo puede utilizarse para ilustrar, en términos prácticos, la de reservas y marcha atrás métodos utilizados en el análisis de seguridad del sistema.

Figura 1. Circuito de control de dos botones

Método directo

En el método directo, el analista comienza por (1) enumerar fallas, disfunciones y desajustes, (2) estudiar sus efectos y (3) determinar si esos efectos son o no una amenaza para la seguridad. En el caso de la figura 1, pueden ocurrir las siguientes fallas:

• una rotura en el cable entre 2 y 2´

• contacto involuntario en C₁ (o C₂) como resultado del bloqueo mecánico

• cierre accidental de B₁ (o B₂)

• cortocircuito entre 1 y 1´.

Luego, el analista puede deducir las consecuencias de estas fallas, y los hallazgos se pueden presentar en forma tabular (tabla 1).

Tabla 1. Posibles disfunciones de un circuito de control de dos botones y sus consecuencias

* Ocurrencia con influencia directa en la confiabilidad del sistema
** Ocurrencia responsable de una grave reducción del nivel de seguridad del sistema
*** Suceso peligroso que debe evitarse

Ver texto y figura 1.

En la tabla 1, las consecuencias que son peligrosas o pueden reducir seriamente el nivel de seguridad del sistema pueden designarse mediante signos convencionales como ***.

Nota: En la tabla 1 una rotura en el cable entre 2 y 2´ (mostrado en la figura 1) resulta en una ocurrencia que no se considera peligrosa. No tiene efecto directo sobre la seguridad del sistema; sin embargo, la probabilidad de que ocurra tal incidente tiene una relación directa con la confiabilidad del sistema.

El método directo es particularmente apropiado para la simulación. La figura 2 muestra un simulador analógico diseñado para estudiar la seguridad de los circuitos de control de prensas. La simulación del circuito de control permite verificar que, mientras no haya falla, el circuito es realmente capaz de garantizar la función requerida sin infringir los criterios de seguridad. Además, el simulador puede permitir al analista introducir fallos en los distintos componentes del circuito, observar sus consecuencias y así distinguir aquellos circuitos bien diseñados (con pocos o ningún fallo peligroso) de aquellos mal diseñados. Este tipo de análisis de seguridad también se puede realizar usando una computadora.

Figura 2. Simulador para el estudio de circuitos prensa-control

Método inverso

En el método inverso, el analista trabaja hacia atrás desde el suceso, incidente o accidente indeseable, hacia los diversos sucesos anteriores para determinar cuál puede resultar en los sucesos a evitar. En la figura 1, el último suceso a evitar sería el arranque no intencionado de la máquina.

• El arranque de la máquina puede ser causado por una activación incontrolada de la bobina del relé (R).

• La activación de la bobina puede, a su vez, resultar de un cortocircuito entre 1 y 1´ o de un cierre involuntario y simultáneo de los interruptores C₁ y C₂.

• Cierre involuntario de C₁ puede ser la consecuencia de un bloqueo mecánico de C₁ o de la pulsación accidental de B₁. Un razonamiento similar se aplica a C₂.

Los resultados de este análisis se pueden representar en un diagrama que se parece a un árbol (por esta razón, el método inverso se conoce como "análisis de árbol de fallas"), como se muestra en la figura 3.

Figura 3. Posible cadena de eventos

El diagrama sigue operaciones lógicas, las más importantes de las cuales son las operaciones "OR" y "AND". La operación “OR” significa que [X₁] ocurrirá si [A] o [B] (o ambos) tienen lugar. La operación “AND” significa que antes de [X₂] puede ocurrir, tanto [C] como [D] deben haber ocurrido (ver figura 4).

Figura 4. Representación de dos operaciones lógicas

El método inverso se utiliza con mucha frecuencia en el análisis a priori de sistemas tangibles, especialmente en las industrias química, aeronáutica, espacial y nuclear. También se ha encontrado extremadamente útil como método para investigar accidentes industriales.

Aunque son muy diferentes, los métodos directo e inverso son complementarios. El método directo se basa en un conjunto de fallas o disfunciones y, por lo tanto, el valor de dicho análisis depende en gran medida de la relevancia de las diversas disfunciones tenidas en cuenta al principio. Visto así, el método inverso parece ser más sistemático. Dado el conocimiento de qué tipos de accidentes o incidentes pueden ocurrir, el analista puede, en teoría, aplicar este método para trabajar hacia atrás, hacia todas las disfunciones o combinaciones de disfunciones capaces de provocarlos. Sin embargo, debido a que todos los comportamientos peligrosos de un sistema no necesariamente se conocen de antemano, pueden descubrirse por el método directo, aplicado por simulación, por ejemplo. Una vez que se han descubierto, los peligros se pueden analizar con mayor detalle mediante el método inverso.

Problemas de análisis de seguridad del sistema

Los métodos analíticos descritos anteriormente no son solo procesos mecánicos que solo necesitan aplicarse automáticamente para llegar a conclusiones útiles para mejorar la seguridad del sistema. Por el contrario, los analistas encuentran una serie de problemas en el curso de su trabajo, y la utilidad de sus análisis dependerá en gran medida de cómo se propongan resolverlos. A continuación se describen algunos de los problemas típicos que pueden surgir.

Comprender el sistema a estudiar y sus condiciones de funcionamiento.

Los problemas fundamentales en cualquier análisis de seguridad de un sistema son la definición del sistema a estudiar, sus limitaciones y las condiciones bajo las cuales se supone que operará a lo largo de su existencia.

Si el analista tiene en cuenta un subsistema demasiado limitado, el resultado puede ser la adopción de una serie de medidas preventivas aleatorias (situación en la que todo está orientado a prevenir ciertos tipos particulares de ocurrencia, mientras que los peligros igualmente graves son ignorados o subestimados). ). Si, por el contrario, el sistema considerado es demasiado completo o general en relación con un problema determinado, puede resultar en una excesiva vaguedad de concepto y responsabilidades, y el análisis puede no conducir a la adopción de las medidas preventivas adecuadas.

Un ejemplo típico que ilustra el problema de definir el sistema a estudiar es la seguridad de máquinas o plantas industriales. En este tipo de situación, el analista puede verse tentado a considerar solo el equipo real, pasando por alto el hecho de que debe ser operado o controlado por una o más personas. La simplificación de este tipo es a veces válida. Sin embargo, lo que debe analizarse no es solo el subsistema de la máquina, sino todo el sistema trabajador-máquina en las diversas etapas de la vida útil del equipo (incluidos, por ejemplo, transporte y manipulación, montaje, prueba y ajuste, funcionamiento normal). , mantenimiento, desmontaje y, en algunos casos, destrucción). En cada etapa, la máquina es parte de un sistema específico cuyo propósito y modos de funcionamiento y mal funcionamiento son totalmente diferentes a los del sistema en otras etapas. Por tanto, debe estar diseñado y fabricado de forma que permita el desempeño de la función requerida en buenas condiciones de seguridad en cada una de las etapas.

De manera más general, en lo que respecta a los estudios de seguridad en las empresas, existen varios niveles de sistema: la máquina, el puesto de trabajo, el turno, el departamento, la fábrica y la empresa en su conjunto. Según el nivel del sistema que se esté considerando, los posibles tipos de disfunción y las medidas preventivas pertinentes son bastante diferentes. Una buena política de prevención debe tener en cuenta las disfunciones que se pueden producir en los distintos niveles.

Las condiciones de funcionamiento del sistema pueden definirse en términos de la forma en que se supone que funciona el sistema y las condiciones ambientales a las que puede estar sujeto. Esta definición debe ser lo suficientemente realista para tener en cuenta las condiciones reales en las que es probable que funcione el sistema. Un sistema que es muy seguro solo en un rango operativo muy restringido puede no ser tan seguro si el usuario no puede mantenerse dentro del rango operativo teórico prescrito. Por lo tanto, un sistema seguro debe ser lo suficientemente robusto para soportar variaciones razonables en las condiciones en las que funciona, y debe tolerar ciertos errores simples pero previsibles por parte de los operadores.

Modelado de sistemas

A menudo es necesario desarrollar un modelo para analizar la seguridad de un sistema. Esto puede plantear ciertos problemas que vale la pena examinar.

Para un sistema conciso y relativamente simple como una máquina convencional, el modelo se deriva casi directamente de las descripciones de los componentes materiales y sus funciones (motores, transmisión, etc.) y la forma en que estos componentes están interrelacionados. El número de posibles modos de falla de los componentes está igualmente limitado.

Las máquinas modernas como las computadoras y los robots, que contienen componentes complejos como microprocesadores y circuitos electrónicos con una integración a gran escala, plantean un problema especial. Este problema no ha sido completamente resuelto en términos de modelado o de predicción de los diferentes modos de falla posibles, debido a que hay muchos transistores elementales en cada chip y debido al uso de diversos tipos de software.

Cuando el sistema a analizar es una organización humana, un problema interesante encontrado en el modelado radica en la elección y definición de ciertos componentes no materiales o no completamente materiales. Una estación de trabajo particular puede estar representada, por ejemplo, por un sistema que comprende trabajadores, software, tareas, máquinas, materiales y entorno. (El componente de "tarea" puede resultar difícil de definir, ya que no es la tarea prescrita lo que cuenta sino la tarea tal como se realiza realmente).

Al modelar organizaciones humanas, el analista puede optar por dividir el sistema bajo consideración en un subsistema de información y uno o más subsistemas de acción. El análisis de fallas en diferentes etapas del subsistema de información (adquisición, transmisión, procesamiento y uso de información) puede ser muy instructivo.

Problemas asociados con múltiples niveles de análisis

Los problemas asociados con múltiples niveles de análisis a menudo se desarrollan porque a partir de una ocurrencia no deseada, el analista puede retroceder hacia incidentes que son cada vez más remotos en el tiempo. Según el nivel de análisis considerado, varía la naturaleza de las disfunciones que se producen; lo mismo se aplica a las medidas preventivas. Es importante poder decidir en qué nivel se debe detener el análisis y en qué nivel se deben tomar medidas preventivas. Un ejemplo es el caso simple de un accidente resultante de una falla mecánica causada por la utilización repetida de una máquina en condiciones anormales. Esto puede deberse a la falta de capacitación de los operadores oa una mala organización del trabajo. Según el nivel de análisis considerado, la acción preventiva requerida puede ser la sustitución de la máquina por otra capaz de soportar condiciones de uso más severas, el uso de la máquina sólo en condiciones normales, cambios en la capacitación del personal o una reorganización de trabajar.

La eficacia y el alcance de una medida preventiva dependen del nivel en el que se introduzca. Es más probable que la acción preventiva en las inmediaciones del suceso no deseado tenga un impacto directo y rápido, pero sus efectos pueden ser limitados; por otro lado, trabajando hacia atrás en una medida razonable en el análisis de eventos, debería ser posible encontrar tipos de disfunción que son comunes a numerosos accidentes. Cualquier acción preventiva tomada a este nivel tendrá un alcance mucho más amplio, pero su efectividad puede ser menos directa.

Teniendo en cuenta que existen varios niveles de análisis, también pueden existir numerosos patrones de acción preventiva, cada uno de los cuales lleva su parte de trabajo preventivo. Este es un punto extremadamente importante, y basta con volver al ejemplo del accidente que se está considerando para apreciar el hecho. Proponer que la máquina sea reemplazada por otra máquina capaz de soportar condiciones de uso más severas coloca la responsabilidad de la prevención en la máquina. Decidir que la máquina debe usarse solo en condiciones normales significa colocar la responsabilidad en el usuario. Del mismo modo, la responsabilidad puede recaer en la formación del personal, la organización del trabajo o simultáneamente en la máquina, el usuario, la función de formación y la función de organización.

Para cualquier nivel de análisis dado, un accidente a menudo parece ser la consecuencia de la combinación de varias disfunciones o desajustes. Según se actúe sobre una u otra disfunción, o sobre varias simultáneamente, variará la pauta de actuación preventiva adoptada.

Atras