Como el sistema automatizado de control involucra la totalidad de los dispositivos dispuestos para sensar, transmitir, procesar, comunicar y actuar sobre el proceso, se entiende que el universo de componentes involucrados es muy extenso. Por ende, la probabilidad de que un evento para lo cual tales dispositivos no están preparados para tolerar arriesgue el funcionamiento del sistema total, es mayor cuanto más complejo y extenso sea el mismo.

Si dado el evento fortuito, el sistema deja de funcionar, podemos evaluar primariamente el costo del daño o del riesgo financiero del mismo con la siguiente relación:

Costo de Parada del Sistema = Costo de la hora productiva X tiempo de reparación + costo de poner el sistema nuevamente en régimen + costo eventual de pérdidas de material en proceso.

Eventualmente, podría agregarse a esta fórmula el potencial costo que significa al sistema una parada no programada, que a veces repercute en daños a las instalaciones, pérdida de materia prima y otros adicionales, como el trabajo en turno extendido de operarios y técnicos o de la contratación de servicios especiales para resolver la urgencia. Este factor será imprescindible para evaluar qué solución es la más conveniente para mitigar el costo en riesgo.

Se debe tener en cuenta que en el Tiempo de Reparación influyen la capacitación de los técnicos, la disponibilidad de la información necesaria y los tiempos de aprovisionamiento de repuestos, variables que pueden ser controladas y tenidas en cuenta para reducir estos costos.

No obstante, muchos procesos, en especial los mineros, poseen un costo productivo por hora muy alto. Asimismo, llevar el sistema nuevamente a régimen es muy extenso y costoso, por lo que el Costo de Parada del Sistema se debe mitigar de manera más extrema.

Como una solución a esta situación, en la automatización de procesos se dispone de sistemas de respaldo, que básicamente consisten en tener una reproducción del sistema de control principal, como equipo en reserva activa, disponible para entrar en funcionamiento con cierta urgencia.

Reserva Activa significa que el sistema nuevo toma el control con lo más actualizado de los datos que la tecnología de su desarrollo le permite.

La Urgencia depende de la criticidad del proceso y conlleva distintos niveles de inversión; de acuerdo a ello se dispone de dos clasificaciones desde el punto de vista del controlador que regentea el proceso:

• Hot Backup: Cuando el sistema "suplente" puede entrar en servicio en fracciones de segundo tras la detección de la caída del "titular", de manera que el proceso no sufre de la perturbación en la conmutación. Se los denomina también "sistemas H" y el manejo de la sincronización y actualización de datos se efectúa a nivel del sistema operativo del equipo.

• Warm Backup: Cuando la conmutación se confirma tras el transcurso de varios segundos. En este caso, la sincronización entre titular y suplente se realiza por bloques de software; este sistema aplica para procesos no críticos como, por ejemplo, para el monitoreo de señales distribuidas.

Sin embargo, es muy importante remarcar el hecho de que las mayores probabilidades que un sistema sufra de eventos dañinos se encuentran donde los equipos se exponen directamente a éstos, es decir, en el terreno.

Encuestas hechas por Siemens en empresas de ingeniería y clientes finales en Chile, usuarios de sistemas con redundancia, han constatado que en el 100% de las respuestas nunca ninguno de los consultados han experimentado en sus procesos el fallo de una CPU titular que hubiese demandado la intervención del sistema backup o suplente. Sin embargo, las veces que se produjeron conmutaciones, éstas se debieron a:

• Fallas de módulos interfaz (fallos de puesta a tierra).

• Corte de cables de comunicación.

• Desconexión de energía.

En estos casos, se verificó la eficiencia de disponer de un sistema completamente redundante, esto es, con alternativas de conmutación entre cables de buses, tarjetas de racks de entradas/salidas e interfaces con redes de instrumentación.

Claramente, la inversión de redundancia se justifica si ese criterio se extiende a todos los componentes del sistema de control, de tal manera que prescindir de alguno de ellos implica que el sistema garantice aún la funcionalidad para lo cual se invirtió. Poco sirve tener un sistema duplicado de CPUs si el fallo se producirá en un módulo coordinador de procesos que no contó con su correspondiente backup o si se corta el único cable de enlace entre las CPUs y la periferia, casos que algunas empresas han relatado como experiencia fallida.

Otra funcionalidad que se requiere en un sistema redundante es la de permitir la integración de equipos que deben integrarse a la planta como máquinas o procesos ya instalados, típicamente como variadores de velocidad, relés inteligentes de protección de motores para CCMs o PLCs menores. Para ello, existen interfaces que permiten convertir una red redundante en una simple integrando la funcionalidad de conmutación, denominados Y–Link; este tipo de equipo también se utiliza para integrar las redes de instrumentación (o nivel H1), ya sea en Profibus PA o Foundation Fieldbus, al sistema redundante.