Fundamentos de la seguridad funcional en maquinaria
Funciones de seguridad
Una función de seguridad es una función específica que el sistema de control debe ejecutar para mantener la máquina en un estado seguro o para llevarla a un estado seguro. Ejemplos típicos son la función de parada de emergencia — llevar la máquina a estado de reposo ante la activación de la seta de emergencia —, la función de habilitación de acceso — detener el movimiento peligroso antes de que el operario pueda alcanzarlo al abrir una puerta —, o la función de velocidad segura — limitar la velocidad del robot a un valor que permite la intervención del operario con riesgo reducido.
Niveles de prestación y niveles de integridad de seguridad
ISO 13849-1 define cinco niveles de prestación — PL a, b, c, d, e — que cuantifican la capacidad de reducción del riesgo de una función de seguridad en términos de la probabilidad de fallo peligroso por hora (PFHd). IEC 62061 define tres niveles de integridad de seguridad — SIL 1, 2, 3 — con una métrica equivalente. El nivel requerido para cada función de seguridad — PLr o SIL requerido — se determina a partir de la evaluación de riesgos de la máquina.
Arquitecturas de los sistemas de seguridad
ISO 13849-1 define cinco categorías de arquitectura — B, 1, 2, 3, 4 — que determinan el comportamiento del sistema ante un fallo en uno de sus componentes. Las categorías superiores — 3 y 4 — requieren arquitecturas redundantes donde un único fallo no provoca la pérdida de la función de seguridad. La combinación de la categoría arquitectónica con los parámetros de fiabilidad de los componentes — MTTF, DC — determina el nivel de prestación alcanzado.
Plataformas Safety con las que trabajamos
Para maquinaria de nueva fabricación el proceso de marcado CE sigue una secuencia que en Jomar gestionamos de principio a fin cuando somos responsables del proyecto completo, o en la que colaboramos con el fabricante cuando nuestra intervención se limita al sistema de seguridad:
La plataforma de seguridad integrada de Siemens es nuestra solución principal para aplicaciones de seguridad funcional en entornos con arquitectura Siemens. Las CPUs S7-1500F y S7-1200F integran en el mismo controlador el programa estándar y el programa de seguridad, que se desarrollan en entornos separados dentro de TIA Portal con las herramientas de programación y verificación específicas para funciones de seguridad.
Las funciones de seguridad integradas en los drives Siemens — STO (Safe Torque Off), SS1 (Safe Stop 1), SS2 (Safe Stop 2), SOS (Safe Operating Stop), SLS (Safely Limited Speed), SDI (Safe Direction), SLP (Safely Limited Position) — permiten implementar funciones de parada segura y velocidad segura sin necesidad de contactores de corte de potencia externos, simplificando la arquitectura del sistema y mejorando el tiempo de respuesta. Las combinaciones de funciones Safety en drives G120 y S120 con CPU F permiten alcanzar PLd o SIL 2 sin hardware de seguridad adicional en muchas aplicaciones.
Para proyectos en entornos con arquitectura Omron, implementamos controladores de seguridad de la serie NX que integran el control estándar y las funciones de seguridad en la misma red. Todo el sistema se centraliza y programa mediante el entorno de desarrollo Sysmac Studio. Los módulos de E/S de seguridad de la familia NX y los servoaccionamientos con funciones integradas Safety son los componentes habituales del sistema en este tipo de aplicaciones.
Para funciones de seguridad de complejidad baja a media que no requieren la flexibilidad de un PLC Safety — parada de emergencia simple, enclavamiento de una sola puerta — integramos relés de seguridad Siemens SIRIUS 3SK y módulos de evaluación Leuze MSI con la arquitectura redundante y los parámetros de diagnóstico necesarios para el nivel de prestación requerido.
Funciones de seguridad más habituales
Parada de emergencia (STO / SS1 / SS2)
La función de parada de emergencia es la función de seguridad más universal en maquinaria industrial. Dependiendo del proceso y de la energía cinética de la máquina, la parada puede ser inmediata por corte de energía (STO — Safe Torque Off), parada controlada con corte posterior de energía (SS1 — Safe Stop 1), o parada controlada con mantenimiento del par de frenado (SS2 — Safe Stop 2). La selección entre estas opciones depende del análisis de riesgos y de las consecuencias de una parada incontrolada sobre el proceso y sobre el propio operario.
Habilitación de acceso a zona peligrosa
Cuando un operario abre una puerta para acceder a la zona de trabajo, el movimiento peligroso debe detenerse antes de que el operario pueda alcanzarlo. El tiempo de parada real de la máquina — medido en las condiciones más desfavorables de operación — determina la distancia mínima a la que debe instalarse el dispositivo de detección del acceso, conforme a EN ISO 13855. La función de seguridad gestiona la detección del acceso, la parada del movimiento peligroso, la verificación de la parada antes de permitir el acceso completo y el rearme controlado del sistema.
Velocidad segura (SLS — Safely Limited Speed)
En aplicaciones donde el operario necesita estar dentro de la zona de trabajo durante la operación — ajuste de herramientas, enseñanza de robots, mantenimiento con máquina en movimiento controlado — la función de velocidad segura limita la velocidad del accionamiento a un valor que reduce el riesgo a un nivel aceptable. La velocidad segura se activa por un dispositivo habilitador (dispositivo de tres posiciones) y se monitoriza por el sistema de seguridad: si la velocidad supera el límite definido, la función de parada se activa inmediatamente.
Dirección segura (SDI) y posición segura (SLP)
La función de dirección segura impide el movimiento en una dirección específica independientemente de la orden de control. La función de posición segura limita el rango de posición del accionamiento a una zona definida. Ambas funciones se aplican en aplicaciones donde el movimiento en una dirección o fuera de un rango determinado presenta riesgo independientemente de la velocidad.
Proceso de diseño de un sistema de seguridad funcional
Solicitar evaluación técnicaEspecificación de los requisitos de seguridad
A partir de la evaluación de riesgos de la máquina definimos las funciones de seguridad necesarias, el nivel de prestación requerido para cada una (PLr) y las condiciones de operación bajo las que debe funcionar: tiempos de respuesta máximos, modos de operación en los que es activa, condiciones de rearme y condiciones de bypass controlado cuando aplican. La especificación de requisitos es el documento que guía todo el diseño y que sirve de referencia para la validación final.
Selección de la arquitectura y los componentes
Seleccionamos la arquitectura del sistema — categoría según ISO 13849-1 — y los componentes que la implementan, verificando que la combinación alcanza el PLr requerido. Utilizamos las herramientas de cálculo de los fabricantes — SISTEMA para cálculo de PL, software de cálculo Siemens Safety Integrated — y verificamos los resultados con cálculo manual cuando la arquitectura es compleja. La selección de componentes tiene en cuenta los valores de MTTF, DC y CCF declarados por el fabricante en su documentación de seguridad.
Programación de las funciones de seguridad
La programación de un PLC Safety tiene requisitos específicos que la diferencian de la programación estándar: uso exclusivo de bloques de función certificados para seguridad, estructura del programa que facilita la verificación, gestión explícita de los estados de seguridad y documentación de cada función implementada. En TIA Portal, el programa de seguridad se desarrolla en la interfaz F-FBD o F-LAD con los bloques de función de la biblioteca de seguridad certificada, bajo los requisitos del estándar IEC 61508.
Verificación y validación
La verificación comprueba que el diseño implementado corresponde a la especificación de requisitos: que cada función de seguridad responde correctamente a todos los eventos que deben activarla, bajo todas las condiciones de operación definidas en la especificación. La validación demuestra que el sistema completo — hardware y software de seguridad integrados — cumple con los requisitos de la especificación en las condiciones reales de la máquina. Documentamos el proceso de validación en un protocolo que forma parte del expediente técnico de la máquina.
Sectores de aplicación
La programación de PLCs que ejecutamos no es genérica. Conocemos los procesos de los sectores donde trabajamos y eso se refleja en la calidad del software:
En robótica industrial
La seguridad funcional gestiona los modos de operación del robot — automático, manual reducido, manual a máxima velocidad — con las funciones de velocidad segura, espacio de trabajo seguro y parada segura que permiten la intervención del operario en la zona de trabajo del robot bajo condiciones de riesgo controlado, conforme a EN ISO 10218.
En metalgráfica y prensas
Las funciones de seguridad de las prensas — habilitación del ciclo de golpe, monitorización de la posición del émbolo, detección del modo de operación — son funciones de alta consecuencia que requieren niveles de prestación PLd o PLe. La programación en Safety PLC garantiza la integridad de estas funciones frente a fallos de software que podrían no detectarse en un sistema convencional.
En motion control y servoaccionamientos
Las funciones Safety integradas en los drives — STO, SS1, SLS — permiten implementar sistemas de seguridad de respuesta rápida sin la latencia de los sistemas de corte de potencia externos, lo que es especialmente relevante en aplicaciones con alta dinámica donde el tiempo de parada es crítico para la distancia de seguridad.
Preguntas Frecuentes
¿Qué diferencia práctica hay entre un relé de seguridad y un PLC Safety?
Un relé de seguridad implementa funciones de seguridad fijas mediante hardware — una seta de emergencia, un enclavamiento de puerta — con poca flexibilidad para modificaciones futuras. Un PLC Safety implementa las funciones de seguridad en software sobre hardware certificado, lo que permite funciones complejas, múltiples modos de operación, gestión dinámica de zonas de seguridad y modificación de las funciones sin cambiar el hardware. Para máquinas con requisitos de seguridad complejos o con múltiples modos de operación, el PLC Safety es generalmente la solución más robusta y más flexible.
¿Puedo modificar el programa de seguridad yo mismo después de la entrega?
Sí, si dispones de la herramienta de programación y de la formación necesaria. Sin embargo, cualquier modificación del programa de seguridad requiere re-verificar y re-validar las funciones de seguridad afectadas. Una modificación del programa de seguridad sin la verificación y validación correspondiente invalida la conformidad del sistema con la norma, independientemente de que el sistema siga funcionando correctamente.
¿Qué ocurre si un fallo en el PLC safety provoca una parada de emergencia no deseada?
Los sistemas de seguridad están diseñados para fallar en modo seguro — si hay un fallo, la máquina se detiene. Una parada no deseada es siempre preferible a una falta de parada cuando hay peligro real. Sin embargo, una tasa elevada de paradas no deseadas por fallos o por falsas activaciones del sistema de seguridad indica un problema de diseño — en la distancia de instalación de los dispositivos, en la configuración de las zonas de detección o en la lógica del programa — que debe corregirse.
¿Es necesario recalcular el nivel de prestación si se sustituye un componente del sistema de seguridad por uno de otro fabricante?
Sí. El nivel de prestación del sistema depende de los parámetros de fiabilidad — MTTF, DC — de cada componente. Si se sustituye un componente por otro de distintas características, el cálculo debe rehacerse con los datos del nuevo componente para verificar que el sistema sigue alcanzando el PLr requerido.
