Zonas, conductos y niveles de seguridad

Una zona es un grupo de activos, físicos o lógicos, que comparten los mismos requisitos de seguridad: lo que una autoclave y su variador necesitan se parece entre sí y se diferencia de lo que necesita el correo de la oficina. Un conducto es el camino de comunicación entre dos zonas. Se diseña igual que una zona, porque por él pasa todo lo que cruza de un lado a otro, y se protege con los mismos criterios.

El reparto sale de la evaluación de riesgos del diseño, no de la topología de cables. Dos equipos pueden estar en el mismo armario y pertenecer a zonas distintas si lo que pasa cuando fallan es muy diferente. Y un sistema instrumentado de seguridad suele ir en una zona propia, para que lo que lo protege no dependa de lo que protege.

El nivel de seguridad objetivo de una zona se decide por la consecuencia de un fallo. Una zona cuyo fallo solo pierde datos de negocio no necesita lo mismo que otra cuyo fallo pone en riesgo a las personas o echa a perder el producto. Por eso la tabla de zonas incluye esa consecuencia al lado del nivel: sirve para entender por qué una zona tiene el nivel que tiene y no otro.

Lee la columna de consecuencias y encuentra la zona donde un fallo puede dejar una esterilización fallida.

La serie distingue tres cosas que se confunden con facilidad. El nivel objetivo (SL-T) es el que se decide que una zona necesita. El nivel de capacidad (SL-C) es el que un componente o un sistema puede dar según su diseño. El nivel logrado (SL-A) es el que de verdad tiene lo que está instalado y configurado, y se mide una vez en servicio. Los niveles van de 1 a 4 y miden contra quién se protege: el 1, contra una violación casual o accidental; el 2, contra una intencionada con medios simples y poca motivación; el 3, contra una con medios sofisticados, recursos moderados y conocimiento del sistema de control; el 4, lo mismo con recursos extensos y alta motivación.

Un nivel no mide cuánto cumple una planta ni cuánto cuesta: describe frente a qué adversario se pensó la defensa. Cuando la capacidad de un componente queda por debajo del objetivo de su zona, aparece una brecha, y la brecha se trata, no se esconde.

Encontrar la brecha es comparar dos tablas: la de zonas, que dice el objetivo, y la de componentes, que dice la capacidad declarada. En la supervisión de Tinajero el objetivo no es alto, pero eso no exime de mirar: un equipo puede estar un punto por debajo incluso de un objetivo moderado.

La cifra que resume el estado de una zona es cuántos de sus componentes no alcanzan el objetivo. En la zona de control de las autoclaves, donde el objetivo es más alto y las consecuencias más graves, esa cifra decide cuánto trabajo hay antes de poder decir que el diseño se cumple. Se saca contando, no a ojo.