IEC 61508 es una norma internacional publicada por la Comisión Electrotécnica Internacional (IEC) que consta de métodos sobre cómo aplicar, diseñar, implementar y mantener sistemas de protección automáticos llamados sistemas relacionados con la seguridad. Se titula Seguridad funcional de sistemas eléctricos/electrónicos/electrónicos programables relacionados con la seguridad ( E/E/PE o E/E/PES ).
IEC 61508 es una norma básica de seguridad funcional aplicable a todas las industrias. Define la seguridad funcional como: “parte de la seguridad general relacionada con el EUC (Equipo Bajo Control) y el sistema de control EUC que depende del correcto funcionamiento de los sistemas relacionados con la seguridad E/E/PE, otros sistemas tecnológicos relacionados con la seguridad y mecanismos externos de reducción de riesgos”. El concepto fundamental es que cualquier sistema relacionado con la seguridad debe funcionar correctamente o fallar de forma predecible (segura).
La norma tiene dos principios fundamentales:
El ciclo de vida de la seguridad tiene 16 fases que, a grandes rasgos, se pueden dividir en tres grupos de la siguiente manera:
Todas las fases tienen que ver con la función de seguridad del sistema.
La norma tiene siete partes:
Un elemento central de la norma son los conceptos de riesgo probabilístico para cada función de seguridad. El riesgo es una función de la frecuencia (o probabilidad) del evento peligroso y la gravedad de sus consecuencias. El riesgo se reduce a un nivel tolerable mediante la aplicación de funciones de seguridad que pueden consistir en E/E/PES, dispositivos mecánicos asociados u otras tecnologías. Muchos requisitos se aplican a todas las tecnologías, pero se hace especial hincapié en la electrónica programable, especialmente en la Parte 3.
IEC 61508 tiene las siguientes opiniones sobre los riesgos:
Técnicas específicas garantizan que se eviten errores durante todo el ciclo de vida. Los errores introducidos desde el concepto inicial, el análisis de riesgos, las especificaciones, el diseño, la instalación, el mantenimiento y hasta la eliminación podrían socavar incluso la protección más fiable. IEC 61508 especifica las técnicas que deben utilizarse para cada fase del ciclo de vida. Las siete partes de la primera edición de IEC 61508 se publicaron en 1998 y 2000. La segunda edición se publicó en 2010.
La norma exige que se lleve a cabo una evaluación de peligros y riesgos para sistemas personalizados: "El riesgo EUC (equipo bajo control) se evaluará o estimará para cada evento peligroso determinado".
La norma advierte que "se pueden utilizar técnicas de análisis de riesgos y peligros cualitativas o cuantitativas" y ofrece orientación sobre una serie de enfoques. Uno de ellos, para el análisis cualitativo de los peligros, es un marco basado en 6 categorías de probabilidad de ocurrencia y 4 de consecuencia.
Categorías de probabilidad de ocurrencia
Categorías de consecuencias
Por lo general, estos se combinan en una matriz de clases de riesgo.
Dónde:
El nivel de integridad de seguridad (SIL) proporciona un objetivo a alcanzar para cada función de seguridad. Un esfuerzo de evaluación de riesgos produce un SIL objetivo para cada función de seguridad. Para cualquier diseño determinado, el SIL alcanzado se evalúa mediante tres medidas:
1. Capacidad Sistemática (SC), que es una medida de la calidad del diseño. Cada dispositivo del diseño tiene una clasificación SC. El SIL de la función de seguridad se limita a la clasificación SC más pequeña de los dispositivos utilizados. Los requisitos para SC se presentan en una serie de tablas en las Partes 2 y 3. Los requisitos incluyen control de calidad apropiado, procesos de gestión, técnicas de validación y verificación, análisis de fallas, etc., de modo que se pueda justificar razonablemente que el sistema final alcanza el SIL requerido. .
2. Restricciones de arquitectura, que son niveles mínimos de redundancia de seguridad presentados mediante dos métodos alternativos: Ruta 1h y Ruta 2h.
3. Análisis de probabilidad de falla peligrosa [1]
La métrica de probabilidad utilizada en el paso 3 anterior depende de si el componente funcional estará expuesto a una demanda alta o baja :
Note la diferencia entre función y sistema. El sistema que implementa la función puede estar en funcionamiento con frecuencia (como una ECU para desplegar una bolsa de aire), pero la función (como el despliegue de una bolsa de aire) puede estar en demanda de forma intermitente.
La certificación es una certificación de un tercero de que un producto, proceso o sistema cumple con todos los requisitos del programa de certificación. Esos requisitos se enumeran en un documento llamado esquema de certificación. Los programas de certificación IEC 61508 son operados por organizaciones externas imparciales llamadas organismos de certificación (CB). Estos CB están acreditados para operar siguiendo otros estándares internacionales, incluidos ISO/IEC 17065 e ISO/IEC 17025. Los organismos de certificación están acreditados para realizar el trabajo de auditoría, evaluación y prueba por parte de un organismo de acreditación (AB). Generalmente hay un OA nacional en cada país. Estos AB operan según los requisitos de ISO/IEC 17011, una norma que contiene requisitos para la competencia, coherencia e imparcialidad de los organismos de acreditación al acreditar organismos de evaluación de la conformidad. Los AB son miembros del Foro Internacional de Acreditación (IAF) para trabajar en sistemas de gestión, productos, servicios y acreditación de personal o de la Cooperación Internacional de Acreditación de Laboratorios (ILAC) para la acreditación de laboratorios. Un Acuerdo de Reconocimiento Multilateral (MLA) entre los OA garantizará el reconocimiento global de los OC acreditados. Varios organismos de certificación globales han establecido programas de certificación IEC 61508. Cada uno ha definido su propio esquema basado en IEC 61508 y otros estándares de seguridad funcional. El esquema enumera los estándares a los que se hace referencia y especifica procedimientos que describen sus métodos de prueba, política de auditoría de vigilancia, políticas de documentación pública y otros aspectos específicos de su programa. Los programas de certificación IEC 61508 los ofrecen a nivel mundial varios CB reconocidos, incluidos Intertek , SGS-TÜV Saar , TÜV Nord, TÜV Rheinland, TÜV SÜD y UL .
ISO 26262 es una adaptación de IEC 61508 para sistemas eléctricos/electrónicos automotrices. Está siendo ampliamente adoptado por los principales fabricantes de automóviles. [2]
Antes del lanzamiento de ISO 26262, el desarrollo de software para sistemas automotrices relacionados con la seguridad estaba cubierto predominantemente por las directrices de la Motor Industry Software Reliability Association (MISRA). [3] El proyecto MISRA fue concebido para desarrollar directrices para la creación de software integrado en sistemas electrónicos de vehículos de carretera. [3] En noviembre de 1994 se publicó un conjunto de directrices para el desarrollo de software basado en vehículos. [4] Este documento proporcionó la primera interpretación de la industria automotriz de los principios de la entonces emergente norma IEC 61508. [3]
Hoy en día, MISRA es más conocida por sus directrices sobre cómo utilizar los lenguajes C y C++. [5] MISRA C se ha convertido en el estándar de facto para la programación C integrada en la mayoría de las industrias relacionadas con la seguridad, y también se utiliza para mejorar la calidad del software incluso cuando la seguridad no es la consideración principal.
IEC 62279 proporciona una interpretación específica de IEC 61508 para aplicaciones ferroviarias. Su objetivo es cubrir el desarrollo de software para el control y la protección ferroviaria, incluidos los sistemas de comunicaciones, señalización y procesamiento. EN 50128 y EN 50657 son normas CENELEC equivalentes a IEC 62279. [6]
El sector de la industria de procesos incluye muchos tipos de procesos de fabricación, como refinerías, petroquímicos, químicos, farmacéuticos, pulpa y papel, y energía. IEC 61511 es una norma técnica que establece prácticas en la ingeniería de sistemas que garantizan la seguridad de un proceso industrial mediante el uso de instrumentación.
IEC 61513 proporciona requisitos y recomendaciones para la instrumentación y control de sistemas importantes para la seguridad de las centrales nucleares. Indica los requisitos generales para sistemas que contienen equipos convencionales cableados, equipos basados en computadora o una combinación de ambos tipos de equipos. ISO publica una lista general de normas de seguridad específicas para centrales nucleares. [7]
IEC 62061 es la implementación específica de maquinaria de IEC 61508. Proporciona requisitos que son aplicables al diseño a nivel de sistema de todo tipo de sistemas de control eléctrico relacionados con la seguridad de maquinaria y también para el diseño de subsistemas o dispositivos no complejos.
Es posible que sea necesario probar la unidad del software escrito de acuerdo con IEC 61508 , dependiendo del SIL que deba alcanzar. El principal requisito en las pruebas unitarias es garantizar que el software se pruebe completamente a nivel de función y que se tomen todas las ramas y rutas posibles a través del software. En algunas aplicaciones de nivel SIL superior , el requisito de cobertura del código de software es mucho más estricto y se utiliza un criterio de cobertura de código MC/DC en lugar de una simple cobertura de rama. Para obtener la información de cobertura de MC/DC (cobertura de decisión/condición modificada), se necesitará una herramienta de prueba unitaria, a veces denominada herramienta de prueba de módulo de software.