¿Qué es un PLC de seguridad?

Para que la tolerancia al fallo dé también Disponibilidad se utilizan las arquitecturas

Trataremos de explicarlo de una forma sencilla para los no expertos. La diferencia redundantes, en este ejemplo se consigue poniendo en paralelo dos circuitos de
fundamental con un PLC de propósito general se resume en una salida iguales como se ve en la tercera figura.
palabra “Diagnosis”. Además, hay diferencias en cuanto a la arquitectura interna, el
software y firmware, y la certificación para aplicaciones donde se requiera el Hay muchas funciones de diagnóstico en un PLC de seguridad, tanto en la CPU
cumplimiento de un cierto nivel SIL. y memorias como en las entradas, salidas y comunicaciones, y que
El PLC de seguridad incorpora muchas funciones de diagnóstico para detectar lógicamente conlleva un sobre coste como se deduce del ejemplo.
cualquier posible fallo internoen el hardware o en el firmware, de forma que un Es importante resaltar que en el diseño de un sistema de seguridad debe
fallo en el PLC no cause ninguna situación “no segura”. considerarse todo el “SIS” (Sistema Instrumentado de Seguridad), es decir: el PLC,
los dispositivos de campo, las alimentaciones, el diseño del armario de control, el
Hoy en día los software, etc. Algunos diseños se centran mucho en una de las partes descuidando
PLC estándar otras, obteniendo al final una solución con puntos débiles que debemos corregir.
van Veremos algún ejemplo en otro artículo.
incorporando
funciones de Tener en cuenta que, estadísticamente hay muchos más fallos en los sensores y
diagnóstico actuadores que en el propio PLC.
pero muchas Por último, los estándares internacionales hacen una clasificación de las
menos que aplicaciones según su nivel de riesgo: SIL-1, SIL-2, SIL-3 y SIL-4 (Safety Integrity
los PLC de Level) y que forma parte del análisis de riesgos que debe realizar el diseñador del
seguridad. SIS.
Esta En resumen, las diferencias fundamentales de un PLC de seguridad respecto al
capacidad de de propósito general son las siguientes:
diagnósticos 1-Está certificado por entidades certificadoras (Exida, TUV, etc.) para aplicaciones
disminuye los fallos peligrosos no detectados lo que reduce la probabilidad de fallo de seguridad hasta un cierto nivel SIL, siendo válido por tanto para realizar el diseño
que es uno de los requisitos del SIL. de un SIS según las Normas de diseño de Sistemas de Seguridad tales como
Esta es la esencia que vamos a explicar un poco más. Además, el PLC de seguridad la IEC61508, NFPA, FM,
cumple los estándares de diseño de los llamados “Sistemas Instrumentados de etc.
Seguridad” (abreviatura SIS) que contempla la norma internacional IEC-61508, 2-Incorpora rutinas de
IEC-61511 (industria de proceso), IEC-62061 (industria manufacturera) y otras, y está autodiagnóstico de todo
por tanto certificado. Téngase en cuenta que el PLC de seguridad es una subsistema el hardware y software
de la Función Instrumentada de Seguridad (sensor + PLC + actuador) cuyo diseño para detectar cualquier
debe realizarse para que cumpla determinado nivel SIL. Para diseñar, comparar y fallo interno peligroso. En
verificar el SIL puede utilizarse una herramienta como SILcet. caso de que ocurra, actúa
Veamos con algún ejemplo qué es esto del diagnóstico. En la primera figura vemos llevando la máquina o
un esquema simplificado de una salida digital de un PLC de propósito general. Si proceso a una situación
el transistor de salida se cortocircuita tendremos un fallo peligroso y la válvula no segura. Tiene por tanto
cerrará cuando la CPU lo ordene. menores tasas de fallos
¿Qué mejoras introduce un PLC de seguridad? Lo vemos en la segunda figura. peligrosos no detectados.
Para detectar el cortocircuito introduce una rutina de diagnóstico por medio de 3-El coste del PLC de
micropulsos y la lectura del estado de la salida. Con esto al menos es posible dar seguridad es más alto
una alarma en el caso de que se produzca el cortocircuito. en su inversión inicial
Para además actuar sobre la salida en caso de fallo se utiliza un segundo pero, sin duda, menor
transistor en serie, y además enclavándolo con el circuito de vigilancia (llamado en su ciclo de vida total.
en inglés “watchdog”) que compara el estado de ambos transistores de salida.
De esta forma se consigue un circuito de salida seguro (“fail safe”) tolerante al
fallo desde el punto de vista de la Seguridad.