En el ferrocarril, RAMS no es un departamento ni un informe: es el proceso que decide si un sistema se puede poner en servicio. Las siglas son fiabilidad, disponibilidad, mantenibilidad y seguridad, y las tres normas que lo gobiernan en Europa son EN 50126, EN 50128 y EN 50129. Esta guía explica qué pide cada una, cómo encajan y qué se espera de ti si entras en un proyecto ferroviario.
Las tres normas y para qué sirve cada una
- EN 50126 es la norma marco. Define el proceso RAMS a lo largo del ciclo de vida completo, desde el concepto hasta el desmantelamiento. Se aplica a todo: material rodante, señalización, infraestructura y energía. Su edición vigente se publicó en 2017 en dos partes: la primera con el proceso genérico, la segunda centrada en el enfoque de seguridad.
- EN 50128 se ocupa del software de señalización y control, con requisitos escalados por nivel de integridad. Para el software embarcado en material rodante existe la norma hermana EN 50657, prácticamente equivalente en estructura.
- EN 50129 define qué debe contener la demostración de seguridad de un sistema electrónico relacionado con la seguridad, y cómo se estructura el caso de seguridad que se entrega a la autoridad.
La relación entre ellas es jerárquica: EN 50126 marca el proceso y asigna los requisitos de seguridad; EN 50129 dice cómo se demuestra que un equipo los cumple; EN 50128 dice cómo se desarrolla el software que hay dentro.
Las cuatro letras: qué significa cada una en la práctica
Fiabilidad
La probabilidad de que un elemento funcione sin fallar durante un tiempo dado. Se mide con el MTBF, el tiempo medio entre fallos. En un contrato ferroviario esto se traduce en cifras comprometidas por subsistema, y no es una declaración de intenciones: hay penalizaciones asociadas.
Disponibilidad
La proporción de tiempo en que el sistema está en condiciones de prestar servicio. Depende tanto de lo que tarda en fallar como de lo que tarda en repararse. Es la magnitud que de verdad le importa al operador, porque es la que ve el viajero.
Mantenibilidad
La facilidad con que se devuelve el sistema a servicio: MTTR, accesibilidad física, diagnóstico, disponibilidad de repuestos y formación del personal. Un equipo muy fiable pero que exige cuatro horas y un especialista para cambiarse puede dar peor disponibilidad que otro que falle más pero se sustituya en veinte minutos.
Seguridad
La ausencia de riesgo inaceptable de daño. Es cualitativamente distinta de las tres anteriores: fiabilidad, disponibilidad y mantenibilidad son atributos de servicio y se negocian; la seguridad no se negocia, se demuestra.
Y hay una tensión real entre ellas que conviene entender desde el primer día: un sistema que ante la duda se detiene es muy seguro y poco disponible. Gran parte del trabajo de ingeniería consiste en no resolver la seguridad a costa del servicio.
El ciclo de vida y el registro de peligros
EN 50126 organiza el trabajo en fases: concepto, definición del sistema y contexto, análisis de riesgos, especificación de requisitos, reparto de requisitos a subsistemas, diseño, fabricación, integración, validación, aceptación, operación y mantenimiento, y desmantelamiento.
El hilo que recorre todas esas fases es el registro de peligros. Es el documento vivo del proyecto: cada peligro identificado entra con su descripción, sus causas, su valoración, las medidas que lo reducen, quién es responsable y cuál es su estado. Un peligro no se cierra porque alguien lo diga: se cierra cuando hay evidencia de que la medida está implementada y verificada.
Si quieres saber cómo va de verdad un proyecto ferroviario, no mires el diagrama de Gantt: mira cuántos peligros hay abiertos y desde cuándo. Es el mejor indicador que existe.
De dónde sale el SIL
El SIL (Safety Integrity Level) va de 1 a 4, siendo 4 el más exigente. No se elige: se deriva de la tasa de peligro tolerable, el THR, que a su vez sale del análisis de riesgos.
La correspondencia habitual, para funciones de demanda continua, asocia SIL 4 a tasas entre 10⁻⁹ y 10⁻⁸ por hora, SIL 3 entre 10⁻⁸ y 10⁻⁷, SIL 2 entre 10⁻⁷ y 10⁻⁶, y SIL 1 entre 10⁻⁶ y 10⁻⁵. En señalización, las funciones de protección del tren suelen acabar en SIL 4.
Lo que cambia con el SIL no es solo el objetivo numérico: cambian las técnicas obligatorias de diseño y verificación, el grado de independencia de quien revisa y la cantidad de evidencia. Igual que en otros sectores, el salto de esfuerzo entre SIL 2 y SIL 4 es muy superior a lo que sugiere la diferencia de números.
El caso de seguridad según EN 50129
La norma define una estructura que conviene conocer de memoria, porque es el índice del entregable más importante del proyecto:
- Informe de gestión de calidad: cómo se ha controlado el proceso.
- Informe de gestión de la seguridad: cómo se ha organizado la seguridad, con qué roles y qué independencia.
- Informe técnico de seguridad: el núcleo. Principios de diseño, análisis de modos de fallo, medidas de seguridad, cálculos cuantitativos y condiciones de aplicación para el usuario.
- Casos de seguridad relacionados: los de los subsistemas y componentes en los que se apoya.
- Conclusión: la afirmación de que el sistema es apto para el uso previsto y bajo qué condiciones.
La parte que más problemas da en la práctica es la de condiciones de aplicación exportadas: las restricciones que el fabricante traslada a quien integra o explota el sistema. Si no se gestionan con disciplina, se pierden en el camino y aparecen en la auditoría final, cuando ya no hay margen.
Quién verifica, quién valida y quién evalúa
Tres roles distintos que se confunden constantemente:
- Verificador: comprueba que cada fase se ha hecho correctamente y que la salida corresponde a la entrada. ¿Está bien construido?
- Validador: comprueba que el sistema resultante satisface la necesidad real en su contexto. ¿Es el sistema correcto?
- Asesor independiente de seguridad: emite un juicio independiente sobre si el sistema es seguro y si el proceso ha sido adecuado.
El grado de independencia exigido crece con el SIL. En SIL 4, el asesor debe ser independiente de la organización que desarrolla. Esto tiene consecuencias de planificación: un asesor no se contrata al final, se incorpora al principio, porque sus observaciones tempranas son precisamente las que evitan rehacer trabajo.
Los análisis que se hacen y para qué sirve cada uno
- FMEA y FMECA: se recorre el sistema componente a componente y se pregunta qué pasa si cada uno falla de cada manera posible. Es de abajo arriba y sirve para encontrar fallos de punto único.
- Árbol de fallos: se parte de un suceso no deseado y se desciende buscando combinaciones que lo provocan. Es de arriba abajo y sirve para cuantificar.
- Análisis de causa común: qué fallos pueden afectar a la vez a elementos supuestamente redundantes. Alimentación compartida, mismo lote de fabricación, mismo error de diseño, mismo entorno.
- Análisis de peligros de interfaz: dónde más fallos aparecen en los proyectos reales, que es justo entre subsistemas de distintos suministradores.
Ninguno sustituye a los demás. Un árbol de fallos con un número bonito y sin FMEA detrás es un número sin respaldo; un FMEA exhaustivo sin árbol no permite demostrar el THR.
Dónde encaja la interoperabilidad
En Europa, además de las normas RAMS, está el marco de interoperabilidad: las especificaciones técnicas que permiten que un tren circule por varias redes. Para la puesta en servicio hay que combinar la demostración de seguridad propia con la verificación de conformidad frente a esas especificaciones, y ambas se tramitan ante organismos distintos.
Este doble camino —norma técnica y marco regulatorio— es lo que más desconcierta a quien llega de otro sector. Se recorre entero en el máster de interoperabilidad europea, homologación nacional y RAMS EN 50126/8/9, y en versión más centrada en material rodante, en el diplomado de RAMS ferroviario y material rodante.
Errores habituales en proyectos RAMS
- Empezar el registro de peligros tarde. Si nace cuando el diseño está cerrado, se convierte en un ejercicio de justificación en lugar de en una herramienta de diseño.
- Confiar en el MTBF del catálogo. Los datos de fiabilidad dependen del entorno: vibración, temperatura, humedad y ciclos. Un dato de laboratorio aplicado a un bogie es optimista.
- Olvidar la mantenibilidad hasta la fase de operación. Para entonces, la accesibilidad ya está decidida por el diseño mecánico y cambiarla cuesta un rediseño.
- Tratar las condiciones de aplicación como letra pequeña. Son requisitos para el que integra: si no se trasladan y se verifican, el caso de seguridad no se sostiene.
- Separar RAMS de ingeniería. Cuando el equipo RAMS no participa en las decisiones de diseño, acaba documentando riesgos en lugar de reducirlos.
Qué perfiles se contratan
Ingeniero RAMS, ingeniero de seguridad, responsable de caso de seguridad, ingeniero de fiabilidad y analista de datos de campo. Contratan fabricantes de material rodante, suministradores de señalización, operadores, administradores de infraestructura, ingenierías y organismos de evaluación.
Es, además, una especialidad con mucha transferencia: el mismo método se aplica en defensa, en energía y en industria de proceso con otras normas. Quien domina el ciclo RAMS ferroviario entra con facilidad en esos otros sectores.
Cómo se reparte un requisito de seguridad entre subsistemas
Una de las actividades menos visibles y más determinantes de EN 50126 es el reparto de requisitos. El análisis de riesgos produce objetivos a nivel de sistema —por ejemplo, una tasa tolerable para el suceso «colisión entre trenes»— y alguien tiene que decidir qué parte de ese presupuesto asume la señalización, qué parte el material rodante, qué parte la infraestructura y qué parte las reglas de explotación.
Ese reparto se hace al principio, cuando todavía hay poca información, y condiciona el coste de cada contrato. Si la señalización asume un presupuesto demasiado estricto, el suministrador tendrá que llegar a arquitecturas más redundantes y más caras. Si se asume que el personal de conducción absorberá parte del riesgo, eso tiene que aparecer en los procedimientos y en la formación, y alguien tendrá que verificar que se cumplen.
Lo que nunca puede ocurrir es que un trozo del presupuesto quede sin dueño. El hueco típico está en las interfaces: el fabricante del tren supone que cierta protección la da la vía, el de la vía supone que la da el tren, y el peligro queda sin cobertura. De ahí que los análisis de peligros de interfaz sean obligatorios y que las reuniones de interfaz entre suministradores sean, en un proyecto ferroviario, el lugar donde se gana o se pierde la seguridad.
Qué mira un asesor independiente cuando llega
Conviene saberlo antes de que llegue. Un asesor no empieza leyendo el diseño: empieza por el proceso. Las preguntas que hace casi siempre son estas cinco.
- ¿Está el registro de peligros vivo? Fechas de actualización, peligros cerrados con evidencia enlazada, responsables identificados.
- ¿Hay trazabilidad completa? De cada peligro a los requisitos que lo mitigan, de cada requisito al diseño y de ahí a las pruebas que lo verifican.
- ¿Quién ha verificado qué? Independencia real, con registros que lo demuestren, no un nombre en la portada.
- ¿Las cifras están respaldadas? De dónde sale cada tasa de fallo, con qué fuente y con qué factores de entorno aplicados.
- ¿Las condiciones de aplicación están cerradas? Y si no lo están, quién se ha hecho cargo de ellas y cómo se verificará.
Un proyecto que puede responder a esas cinco preguntas en una tarde está bien gestionado, con independencia de lo que diga el calendario. Un proyecto que necesita dos semanas para reunir las respuestas tiene un problema que acabará apareciendo en la puesta en servicio.
Preguntas frecuentes sobre RAMS ferroviario
¿SIL y ASIL son lo mismo?
Son conceptos equivalentes de integridad de seguridad, pero de normas distintas y con escalas que no se corresponden una a una. SIL viene de IEC 61508 y sus derivadas ferroviarias; ASIL es específico de automoción. No se traducen directamente.
¿Se puede certificar una persona en RAMS?
Existen esquemas de certificación personal en seguridad funcional, pero en el ferrocarril lo que se certifica son los productos y los procesos de las organizaciones. Para las personas, lo que cuenta es la experiencia demostrable en proyectos y el conocimiento del ciclo completo.
¿Qué diferencia hay entre EN 50128 y EN 50657?
El alcance. EN 50128 se escribió para software de señalización y control; EN 50657 adapta los mismos principios al software embarcado en material rodante. La estructura de niveles y requisitos es muy similar.
¿Cuánto dura un proyecto RAMS completo?
Acompaña a todo el proyecto, así que dura lo que dure este: de dos a cinco años es habitual en material rodante o señalización. El esfuerzo no es uniforme: se concentra al principio, en el análisis de riesgos, y al final, en la validación y el caso de seguridad.
Formaciones de SEIUM relacionadas con RAMS ferroviario
- Máster en Ingeniería de Cabinas Ferroviarias y Marinas
- Máster en Ingeniería de Señalización Ferroviaria Avanzada
- Máster en Ingeniería de Electrificación Ferroviaria y Subestaciones de Tracción
- Máster en Ingeniería de Material Rodante y Mantenimiento
- Máster en Ingeniería de Operaciones y Centros de Control Ferroviario
