Seguridad funcional en automatización industrial
Una puerta de resguardo abierta, un paro de emergencia sin diagnóstico o un variador mal integrado pueden convertir una intervención rutinaria en un evento de alto riesgo. La seguridad funcional aborda precisamente esa parte del problema: asegurar que los sistemas eléctricos, electrónicos y programables ejecuten una acción segura cuando una condición peligrosa lo exige.
En SEIVARSA distribuimos Control Techniques con existencia y soporte en México, con ingeniería de aplicación incluida.
No se trata únicamente de instalar relevadores de seguridad, cortinas ópticas o interruptores en puertas. El resultado depende de la arquitectura completa: evaluación de riesgo, sensores, lógica de control, actuadores, potencia, cableado, diagnóstico, parámetros del variador y validación en campo. Para plantas, OEM e integradores, el reto consiste en conseguir una solución que proteja a las personas sin introducir paros improductivos por señales mal diseñadas o componentes incompatibles.
Qué es la seguridad funcional y qué cubre
La seguridad funcional es la capacidad de un sistema de control para reducir un riesgo hasta un nivel aceptable mediante una función de seguridad definida. Por ejemplo, al abrir una guarda, la función puede requerir detener el movimiento peligroso y evitar un rearranque inesperado hasta que el área sea liberada y se realice un reinicio manual.
Conviene separar este concepto de la seguridad física. Un resguardo fijo, una cubierta o una distancia de seguridad reducen la exposición al peligro por su construcción mecánica. La seguridad funcional interviene cuando se necesita detectar una condición, procesar una decisión y ordenar una respuesta. Ambas disciplinas deben trabajar juntas; una no sustituye a la otra.
En una máquina con transportadores, bombas, mezcladores, prensas o sistemas de elevación, las funciones habituales incluyen paro de emergencia, monitoreo de puertas, control a dos manos, detección de presencia, prevención de rearranque y paro seguro del accionamiento. Cada una debe definirse según el peligro real, la forma de acceso y el comportamiento de la carga.
El paro no siempre elimina el peligro de inmediato
Detener la orden de marcha no equivale necesariamente a alcanzar un estado seguro. Una carga con inercia puede continuar girando; un eje vertical puede requerir freno mecánico; una línea presurizada puede conservar energía; un transportador puede arrastrar material después de retirar el torque del motor.
Por ello, la función debe especificar qué significa detener, cuánto tiempo tiene para hacerlo y qué condición confirma que el peligro terminó. En aplicaciones con variadores de frecuencia, una función como Safe Torque Off, o STO, elimina la capacidad del motor para generar torque. Es una función valiosa, pero no aplica por sí sola cuando se requiere una rampa de paro controlada, retención de carga o supervisión de velocidad cero.
El análisis de riesgo define la arquitectura
La selección de un PLC de seguridad, relevador, interruptor de seguridad o variador con funciones certificadas debe ocurrir después del análisis de riesgo, no antes. Elegir componentes por disponibilidad o por costumbre puede llevar a una categoría de protección insuficiente o a un sistema más complejo de lo necesario.
El análisis identifica los peligros mecánicos, eléctricos, térmicos, hidráulicos y de proceso; estima la severidad del daño, la frecuencia de exposición y la posibilidad de evitar el peligro. A partir de esa información se determina la reducción de riesgo requerida para cada función.
En maquinaria, es frecuente trabajar con Performance Level, PL, conforme a ISO 13849-1 e ISO 13849-2, o con Safety Integrity Level, SIL, bajo IEC 62061. Para aplicaciones de seguridad funcional más amplias, IEC 61508 establece principios de ciclo de vida aplicables a sistemas eléctricos, electrónicos y electrónicos programables.
PL y SIL no son etiquetas comerciales ni una propiedad aislada de un dispositivo. Un sensor puede tener capacidad para una aplicación determinada, pero la función completa depende de la combinación de todos los elementos, de su diagnóstico, de la tolerancia a fallas, de los intervalos de prueba y de la instalación. También depende de que el software y el cableado respeten la arquitectura prevista.
Definir la función antes de seleccionar el hardware
Una especificación útil debe describir el evento iniciador, la respuesta esperada, el tiempo máximo de respuesta, el estado seguro, el método de reinicio y los medios para detectar fallas. Por ejemplo: al abrir la puerta de una celda, el sistema debe ordenar un paro controlado del eje, retirar el torque al final de la rampa, bloquear el rearranque y permitir el restablecimiento solo desde un punto con visibilidad del área.
Con esa definición es posible evaluar si conviene usar un relevador de seguridad para una función discreta o un controlador de seguridad cuando existen múltiples zonas, diagnósticos avanzados, modos de operación y comunicación con automatización. No siempre un sistema programable es la mejor opción. En una estación sencilla, una solución cableada y bien documentada puede facilitar mantenimiento y validación.
Integración de seguridad funcional con variadores y motores
Los variadores modernos incorporan funciones de seguridad que pueden reducir la necesidad de contactores de potencia en determinadas arquitecturas. Entre las más utilizadas están STO, Safe Stop 1, Safe Operating Stop y monitoreo seguro de velocidad, dependiendo de la familia y configuración del equipo. Su aplicación debe confirmarse en la documentación técnica del modelo específico y en el cálculo de la función completa.
Un variador Danfoss de las series FC, un VACON NXP, un WEG CFW500 o CFW11, o una plataforma Control Techniques Unidrive puede formar parte de una arquitectura de seguridad, pero no debe considerarse aislado del motor, la carga y el control superior. Hay que revisar la interfaz de entradas seguras, la realimentación requerida, la categoría o nivel alcanzable, los parámetros de paro y las condiciones de falla.
La compatibilidad electromagnética también merece atención. Cables de motor sin la ruta adecuada, mala puesta a tierra, pantallas mal terminadas o proximidad entre conductores de potencia y señales pueden generar disparos intermitentes, pérdida de comunicación o diagnósticos difíciles de reproducir. Un paro intempestivo no siempre implica una falla del dispositivo de seguridad; puede ser un problema de instalación que afecta la disponibilidad.
En cargas de torque variable, como ventiladores y bombas, la estrategia de paro suele diferir de una extrusora, un torno, una banda de alta inercia o un elevador. También cambian los requisitos cuando existe un motor para atmósferas peligrosas o una instalación con criterios IEC-Ex/ATEX. La función segura debe respetar tanto el proceso como las condiciones ambientales y de certificación aplicables.
Validación: donde se comprueba que el diseño funciona
El diseño no queda terminado al energizar el tablero. La validación verifica que cada función alcance el comportamiento y el nivel de desempeño previstos. Debe incluir revisión documental, inspección del montaje, pruebas funcionales, pruebas de falla razonablemente previsibles y registro de resultados.
Es necesario comprobar, entre otros puntos, la apertura de contactos, la detección de cortocircuitos cuando aplique, el tiempo total de respuesta, la secuencia de paro, la inhibición del rearranque y el comportamiento después de recuperar alimentación. Si una función depende de un encoder, freno, contactor o realimentación externa, esos elementos forman parte de la prueba.
La documentación es un componente operativo, no burocrático. Diagramas eléctricos actualizados, listas de señales, parámetros respaldados, manuales de equipo, cálculo de PL o SIL y protocolo de validación permiten a mantenimiento intervenir sin degradar la protección. También reducen el tiempo de diagnóstico cuando una máquina se detiene por una condición segura.
Mantenimiento y modificaciones sin perder la función segura
Una función de seguridad puede deteriorarse con el tiempo por desgaste mecánico, conexiones flojas, cambios de programa, sustitución de componentes o ajustes no documentados. El mantenimiento preventivo debe considerar pruebas periódicas acordes con el diseño y la criticidad de la aplicación.
Las modificaciones requieren especial disciplina. Cambiar un motor, sustituir un variador por otra referencia, añadir una derivación de señal al PLC estándar o alterar un tiempo de desaceleración puede afectar la evaluación original. Aunque el equipo nuevo parezca equivalente, deben verificarse sus funciones certificadas, el cableado, los parámetros y la respuesta real de la carga.
Para equipos de mantenimiento, conviene diferenciar una falla de proceso de una demanda de seguridad. Un diagnóstico claro en HMI, tableros identificados y procedimientos de bloqueo reducen intervenciones improvisadas. El objetivo no es evitar todos los paros, sino lograr que cada paro seguro sea comprensible, verificable y recuperable sin exponer al personal.
Ingeniería aplicada para una implementación verificable
La seguridad funcional exige coordinación entre ingeniería mecánica, eléctrica, automatización, operación y mantenimiento. El mejor componente no corrige una definición ambigua de la función, y una arquitectura correcta puede fallar si se instala sin atención al cableado, la puesta a tierra o la parametrización.
SEIVARSA puede apoyar desde la selección y dimensionamiento de variadores, motores, protección eléctrica y componentes de automatización hasta la revisión de compatibilidad VFD-motor-protección y criterios de integración. En proyectos nuevos o modernizaciones, partir del riesgo, documentar la función y validar la respuesta en campo permite proteger personas y sostener la continuidad operativa con decisiones técnicas defendibles.
La pregunta útil antes de liberar una máquina no es si tiene dispositivos de seguridad instalados, sino si cada peligro identificado tiene una función comprobada que lleve el proceso a un estado seguro cuando realmente se necesite.
