Principio general de protección contra fallas - I

El estado resultante de un sistema, en caso de falla de alguno de sus componentes, debe quedar en un modo seguro. 

Por lo regular, los sistemas o subsistemas tienen dos modos: activo o inerte. En la mayor parte de las máquinas, el modo inerte es el más seguro; por lo tanto, la ingeniería de seguridad de los productos es bastante simple: si se "desconecta" la máquina, no lastimará a nadie. Pero el modo inerte no es siempre el más seguro. Suponga que el sistema es complicado, con subsistemas integrados para proteger al operador y a los demás dentro del área en caso de falla. En este caso, desconectar la máquina desactivaría tales subsistemas esenciales de seguridad. En estos sistemas, desconectar la comente puede hacerlos más inseguros que conectados. 

Los ingenieros de diseño tienen que seguir el principio general de protección contra fallas de forma que se aseguren de que una falla del sistema terminará en un modo seguro: por eso. quizá haga falta energía de respaldo para un funcionamiento adecuado de los subsistemas de segundad. Los casos 3.4 y 3.5 ilustran el pnncipio.