Una guía de seguridad funcional para maquinaria debe iniciar en el riesgo real de la planta, no en la selección aislada de un relevador, un PLC de seguridad o una cortina fotoeléctrica. Una parada de emergencia que no detiene el movimiento peligroso, un resguardo sin monitoreo o una lógica modificada sin validación pueden dejar una condición insegura y, al mismo tiempo, generar paros recurrentes, diagnósticos difíciles y exposición operativa.
La seguridad funcional establece cómo un sistema de control detecta una condición peligrosa y lleva la máquina a un estado seguro con la confiabilidad requerida. Su propósito es reducir el riesgo residual asociado a fallas de componentes, errores de control, accesos a zonas peligrosas y secuencias de operación. No sustituye el diseño mecánico seguro, los resguardos físicos, los procedimientos de bloqueo y etiquetado ni la capacitación del personal. Los complementa dentro de una estrategia de reducción de riesgos.
Qué debe resolver la seguridad funcional en una máquina
En manufactura, los peligros suelen estar ligados a atrapamiento, corte, aplastamiento, arrastre, proyección de piezas, energía neumática, movimientos de ejes, transportadores, prensas, robots y accionamientos con variadores de frecuencia. La función de seguridad debe responder a una pregunta concreta: ante una condición peligrosa, ¿qué acción debe ejecutar el sistema y en qué tiempo para reducir el riesgo a un nivel aceptable?
Por ejemplo, al abrir una puerta de acceso a una celda robotizada, la función puede requerir detener el robot, inhibir el rearranque automático y permitir el acceso solo cuando se confirme una condición segura. En una línea de transportadores, un cable de paro puede requerir eliminar el torque de los motores y evitar que la línea reinicie al restablecerse la señal. En una máquina con inercia elevada, desenergizar un contactor puede no ser suficiente: se debe evaluar el tiempo de parada, el movimiento remanente y si se requiere frenado controlado antes de retirar energía.
La solución depende del proceso, de la severidad de la lesión posible, de la frecuencia de exposición y de la posibilidad real de evitar el peligro. Por ello, dos máquinas con componentes similares pueden requerir arquitecturas de seguridad distintas.
Guía seguridad funcional maquinaria: el ciclo de ingeniería
La seguridad funcional debe gestionarse como un ciclo de vida trazable. El objetivo no es únicamente instalar dispositivos certificados, sino demostrar que la función diseñada corresponde al riesgo, que fue implementada correctamente y que se conserva durante la operación y el mantenimiento.
1. Delimitar la máquina y realizar la evaluación de riesgos
El primer entregable es una definición clara de alcance: límites físicos de la máquina, modos de operación, materiales procesados, interfaces con equipos aguas arriba y aguas abajo, personal expuesto y etapas del ciclo de vida consideradas. Conviene evaluar producción, ajuste, limpieza, cambio de formato, mantenimiento, diagnóstico y recuperación de fallas. Muchas condiciones peligrosas aparecen precisamente fuera del ciclo automático normal.
La evaluación de riesgos suele apoyarse en los principios de ISO 12100. Debe identificar peligros, estimar el riesgo y determinar medidas de reducción en un orden lógico: diseño inherentemente seguro, protecciones y medidas complementarias, e información para uso seguro. La automatización de seguridad entra cuando una función de control es parte de la medida seleccionada.
Documentar este análisis permite explicar por qué existe cada interlock, cada dispositivo de protección y cada condición de paro. También evita que una modificación posterior elimine una salvaguarda por considerarla una alarma molesta o una restricción innecesaria.
2. Especificar las funciones de seguridad
Cada función necesita una especificación funcional verificable. Debe definir el evento de entrada, la acción segura, los elementos finales involucrados, el modo de operación afectado, el tiempo máximo de respuesta, la condición de rearme y las restricciones de rearranque.
Una especificación adecuada no dice únicamente “instalar paro de emergencia”. Precisa qué zonas se detienen, si el paro es categoría 0, 1 o una condición equivalente definida para el equipo, cómo se comportan los variadores, qué realimentaciones se supervisan y quién puede restablecer la función. El rearme debe ser intencional y no debe provocar por sí mismo el arranque de la maquinaria.
En este punto también se separan las funciones de seguridad de las funciones operativas. Un HMI puede mostrar estados, alarmas y diagnósticos, pero no debe convertirse sin análisis en el único medio para ejecutar una función crítica. El diseño debe considerar fallas de comunicación, pérdida de alimentación, fallas de entradas y salidas, así como comportamiento ante reinicios del PLC o de la red industrial.
3. Determinar el nivel de desempeño requerido
Para funciones relacionadas con seguridad se utilizan metodologías como Performance Level, PL, bajo ISO 13849-1, o Safety Integrity Level, SIL, bajo IEC 62061. No son etiquetas comerciales intercambiables. Son enfoques para determinar y demostrar la capacidad de una función de seguridad frente a fallas peligrosas.
La selección entre uno u otro depende del proyecto, la normativa aplicable, la tecnología instalada y los criterios de ingeniería del usuario final. En maquinaria discreta es frecuente trabajar con ISO 13849; en sistemas eléctricos y de control más complejos puede ser apropiado aplicar IEC 62061. Lo relevante es mantener consistencia entre la evaluación de riesgos, el nivel requerido, la arquitectura, los cálculos y la validación final.
Un nivel de desempeño mayor no siempre significa una instalación mejor. Puede incrementar costo, complejidad de diagnóstico y necesidades de mantenimiento sin aportar reducción de riesgo proporcional. Por el contrario, subdimensionar la función deja una brecha técnica y legal. La decisión debe estar sustentada y documentada.
4. Diseñar arquitectura, cableado y lógica de seguridad
La arquitectura puede integrar relevadores de seguridad, controladores configurables, PLC de seguridad, E/S seguras, escáneres láser, cortinas fotoeléctricas, interruptores de puerta codificados, módulos de monitoreo de velocidad y funciones integradas en variadores, como Safe Torque Off. La elección debe considerar el número de zonas, la necesidad de diagnósticos, las expansiones previstas, la disponibilidad de refacciones y la compatibilidad con la infraestructura existente.
En una celda con múltiples accesos y modos manuales, un PLC de seguridad con comunicación segura sobre PROFINET puede facilitar la segmentación por zonas, la visualización de diagnósticos y la trazabilidad. En una máquina compacta, un relevador de seguridad correctamente seleccionado puede ser suficiente. La tecnología no corrige una especificación incompleta ni un cableado que no respeta las categorías, la detección de cortocircuitos o la realimentación requerida.
El diseño debe incluir diagramas eléctricos, lista de I/O, arquitectura de red, filosofía de operación, matriz causa-efecto y lógica documentada. También debe coordinarse con los requisitos de IEC 60204-1, NOM aplicables, prácticas NFPA cuando correspondan y las condiciones particulares de la planta. La segregación de circuitos, la selección de envolventes, el etiquetado y la capacidad de interrupción son parte de la seguridad del sistema, no detalles posteriores a la programación.
5. Verificar, validar y probar en campo
La verificación confirma que el diseño cumple la especificación. La validación demuestra, mediante revisión y pruebas, que la función reduce el riesgo como se definió. Son actividades diferentes y ambas deben quedar registradas.
Durante FAT se puede revisar lógica, señales simuladas, modos de operación, fallas esperadas y documentación. En SAT y puesta en marcha se prueban dispositivos reales, tiempos de respuesta, secuencias de paro, realimentaciones de contactores o variadores, accesos por zona, rearme, pérdida de comunicación y comportamiento después de restablecer energía. Las pruebas deben ejecutarse con procedimientos controlados y condiciones de trabajo seguras.
La documentación de validación debe incluir criterios de aceptación, resultados, desviaciones, correcciones y responsables. Esta evidencia resulta especialmente valiosa ante auditorías, ampliaciones de capacidad, incidentes o cambios de personal técnico.
Modernización: el riesgo de conservar lógicas heredadas
En proyectos de migración de PLC, HMI, tableros o variadores, copiar la lógica existente sin revisar las funciones de seguridad puede trasladar errores y supuestos obsoletos a una plataforma nueva. También es común encontrar puentes temporales convertidos en permanentes, resguardos anulados para mantener producción, diagramas desactualizados y dispositivos sin disponibilidad de refacción.
Una modernización bien ejecutada levanta la condición instalada, compara la lógica con la evaluación de riesgos, identifica brechas y define una estrategia de intervención compatible con la ventana de paro. Puede incluir ingeniería de detalle, fabricación o adecuación de tableros, programación de PLC de seguridad, pruebas FAT/SAT, I/O Check, comisionamiento y documentación As-Built. ProAIC Automatización aborda este tipo de proyectos integrando control, instrumentación, sistemas eléctricos y puesta en marcha bajo una responsabilidad técnica coordinada.
La mantenibilidad también debe formar parte del diseño. El equipo de mantenimiento necesita diagnósticos claros, planos actualizados, identificación de dispositivos, respaldos de software y capacitación sobre qué puede ajustarse sin comprometer la función de seguridad. Un bypass sin control puede reducir un paro inmediato, pero convierte una falla de producción en un riesgo para las personas.
La seguridad se conserva, no se instala una sola vez
Una función validada puede degradarse por cambios de formato, sustitución de componentes, modificaciones de software, nuevas velocidades de producción o integración de equipos adicionales. Toda modificación que afecte el peligro, la secuencia de paro, el tiempo de respuesta o la arquitectura debe pasar por control de cambios y una revisión técnica proporcional a su impacto.
El mejor momento para definir seguridad funcional es antes de liberar ingeniería y comprar equipos. El siguiente mejor momento es antes de que una falla, una auditoría o un incidente obliguen a intervenir con urgencia. Cuando la planta convierte el riesgo en requisitos claros, pruebas documentadas y mantenimiento disciplinado, protege a su personal sin sacrificar la continuidad que exige la operación.
