Modificación sustancial: cuándo ocurre en máquinas

La modificación sustancial no empieza cuando desmontas media máquina. Empieza cuando una intervención física o digital cambia el riesgo. Ese es el punto que demasiadas plantas siguen ignorando. Se pregunta cuánto se añadió, si la reforma fue grande o si «solo» se tocó el programa. Mala pregunta. La correcta es otra: ¿qué ha hecho ese cambio con la relación persona-máquina, la zona peligrosa, los parámetros de funcionamiento y la eficacia real de las medidas de protección? Si no respondes eso, no estás evaluando seguridad. Estás adivinando.

El Reglamento (UE) 2023/1230 no pone el foco en la cantidad de hierro que has añadido, sino en el efecto sobre la seguridad tras la puesta en servicio o la comercialización. Y no distingue entre acero y lógica de control: una plataforma, un resguardo, una nueva estrategia de reinicio o la integración con sistemas externos pueden llevar exactamente al mismo sitio: modificación sustancial.

Modificación sustancial: la pregunta correcta

La evaluación suele arrancar con una descripción de lo visible: un resguardo nuevo, una parada de emergencia adicional, un cambio de accionamiento, un ajuste de velocidad. Pero la seguridad no funciona así. No evaluamos lo que has añadido. Evaluamos lo que la modificación ha hecho con el riesgo.

Para que exista modificación sustancial, no basta con que el cambio sea técnicamente relevante o caro. El núcleo está en tres preguntas:

• ¿La modificación no estaba prevista por el fabricante?
• ¿Ha creado una nueva situación peligrosa o ha aumentado un riesgo existente?
• ¿Ha obligado a implantar medidas de protección adicionales que exigen modificar el sistema de mando relativo a la seguridad o adoptar medidas para garantizar la estabilidad o la resistencia mecánica?

Cuando esas tres piezas encajan, ya no estamos ante un simple ajuste de ingeniería. Estamos ante una modificación sustancial. Y ese matiz no es semántico. Cambia la responsabilidad, la evaluación de conformidad y la necesidad de demostrar diligencia debida.

Aquí conviene romper un mito muy extendido: una intervención pequeña puede tener un impacto enorme en seguridad, y una intervención grande puede no llegar a ese umbral si no altera el riesgo en ese sentido. El tamaño del cambio impresiona en una reunión. El riesgo es lo que importa cuando alguien mete la mano donde no debe, cuando la máquina reinicia sola o cuando una estructura deja de soportar lo que antes sí soportaba.

No evalúes el resguardo: evalúa el cambio

Uno de los errores más habituales es analizar la medida de protección en lugar de analizar la causa que la ha hecho necesaria. Se oye a diario:

• «Hemos añadido un resguardo».
• «Hemos puesto una parada de emergencia en medio de la línea».
• «Hemos instalado una cortina optoelectrónica».

Eso describe la consecuencia. No describe el problema. Si de repente hace falta una medida nueva, normalmente es porque antes ya ha cambiado la situación peligrosa. Ha cambiado el acceso a la zona peligrosa, la función de la máquina, sus límites de uso o la forma en que la persona interactúa con ella.

El ejemplo clásico es la parada de emergencia. Un cliente dice: «solo añadimos una parada de emergencia para reforzar la seguridad». Bien. Ahora toca la pregunta incómoda: ¿qué cambió para que esa parada de emergencia hiciera falta? En muchísimos casos la respuesta real es esta: ahora hay una persona dentro de un área donde antes no estaba, o más cerca de una fuente de peligro, o expuesta durante más tiempo.

La parada de emergencia cumple una función reactiva. Sirve para intentar detener una situación peligrosa actual o inminente. Pero no sustituye a las medidas preventivas. Si la evaluación de riesgos según ISO 12100 indica que el operario puede acceder a partes móviles, una parada de emergencia por sí sola no arregla el diseño. Puede hacer falta un resguardo con enclavamiento y bloqueo, una cortina optoelectrónica, una limitación segura del movimiento en un modo de ajuste o una lógica de permiso más robusta en el sistema de mando relativo a la seguridad.

El problema, por tanto, no era la ausencia de un pulsador. El problema era que la estructura de seguridad original ya no respondía a la nueva realidad de uso. Ese es el tipo de giro que convierte un cambio aparentemente sensato en una posible modificación sustancial.

Modificación sustancial en cambios físicos que parecen inocentes

Una plataforma hacia la zona peligrosa

Añadir una plataforma suele venderse como una mejora de ergonomía o de mantenimiento. Y puede serlo. Pero también puede abrir un acceso que antes no existía, reducir la distancia a partes móviles, alterar la visibilidad del proceso y normalizar tareas en una zona peligrosa que antes eran excepcionales o imposibles.

Cuando una plataforma cambia la forma de acceso, cambia la exposición. Y cuando cambia la exposición, cambia el riesgo. Si a partir de esa intervención necesitas un resguardo con enclavamiento y bloqueo, un dispositivo de protección adicional o una función de seguridad que limite velocidad, fuerza o recorrido en un modo concreto, ya no estás ante una mejora «de uso». Estás reconstruyendo la seguridad alrededor de una nueva situación peligrosa.

El resguardo «inocente» que complica la máquina

Añadir un resguardo parece, por definición, una buena noticia. Muchas veces lo es. Pero no siempre es un complemento inocuo. Un resguardo mal integrado puede obligar a aperturas más frecuentes, empeorar la ergonomía, reducir la visibilidad, generar puntos de atrapamiento, introducir cargas adicionales en la estructura o exigir una lógica de enclavamiento que antes no existía.

En ese momento ya no basta con atornillar chapa y seguir produciendo. Hay que revisar si el resguardo debe ser fijo, móvil, con enclavamiento o con enclavamiento y bloqueo; cómo se hace el rearme; qué ocurre si se abre en marcha; y cómo se valida la función de seguridad. Si el cambio obliga a rediseñar esa arquitectura, el debate deja de ser mecánico. Pasa a ser claramente de modificación sustancial.

Cambiar el accionamiento o sus parámetros de funcionamiento

Aquí se cometen errores serios porque la máquina «parece hacer lo mismo». Cambias el accionamiento, subes el par, modificas rampas de aceleración, alteras límites de sobrecarga o amplías el rango de movimiento. Desde el punto de vista funcional, el proceso sigue avanzando. Desde el punto de vista de seguridad, quizá ya no se comporta igual.

Un aumento de par puede impedir que una sobrecarga detenga el sistema como antes. Un cambio en aceleración puede reducir el tiempo disponible para reaccionar. Una nueva configuración puede llevar a deformaciones estructurales, pérdida de estabilidad o esfuerzos para los que la máquina no fue diseñada. Si eso obliga a introducir limitación de fuerza, revisión de frenado, nueva lógica de parada o verificación de resistencia mecánica, la alerta es clara: no estás afinando una máquina, estás alterando sus condiciones de seguridad.

Modificación sustancial en cambios digitales

Muchas organizaciones siguen asociando la modificación sustancial a hierro, soldadura y resguardos. Es una visión antigua. El Reglamento (UE) 2023/1230 alcanza también las modificaciones introducidas por medios digitales. Y en planta eso tiene una consecuencia muy simple: el programa puede cambiar la seguridad tanto como una radial.

Reinicio automático y lógica de rearme

Pocas cosas son tan peligrosas y tan infravaloradas como tocar la lógica de reinicio. Que la máquina reanude automáticamente al cerrar un resguardo, al volver la alimentación o al restablecer una comunicación puede parecer cómodo. También puede ser el paso exacto que elimina el control del operario sobre el momento de arranque.

Si después de ese cambio aparece la posibilidad de una puesta en marcha inesperada, ya no importa que mecánicamente no hayas movido un tornillo. La situación peligrosa ha cambiado. Y si para controlarla necesitas nuevas funciones de seguridad o una revisión profunda de la lógica de autorización, estás muy cerca del núcleo de la modificación sustancial.

Retocar parámetros no es «solo optimizar»

Velocidad, par, aceleración, tiempo de respuesta, recorrido, ventanas de tolerancia. Todo eso son parámetros de funcionamiento. Y tocar esos valores no es un simple ajuste de productividad cuando afectan a la energía, la dinámica o el tiempo disponible para evitar el peligro.

El discurso de «solo hemos optimizado» cae rápido cuando la máquina se mueve antes, más rápido o durante más tiempo del que contemplaban las medidas de protección existentes. Lo que cambia no es el menú de configuración. Cambia la secuencia de un posible accidente y la capacidad real de evitarlo.

Integración con sistemas externos: ERP, MES y middleware

Este punto se infravalora de forma crónica. Se conecta una línea a ERP, a MES o a una capa middleware y se da por hecho que «la máquina sigue siendo la misma». No necesariamente. En cuanto integras sistemas externos, cambias el entorno operativo de la máquina: aparecen nuevas señales, nuevas rutas de comunicación, nuevos puntos de acceso y nuevas posibilidades de modificar consignas, estados o secuencias.

Si el fabricante no había previsto esa arquitectura, la cuestión no es informática; es de seguridad. ¿Quién valida los datos? ¿Quién controla los permisos? ¿Qué pasa si una orden externa cambia parámetros de funcionamiento? ¿Qué ocurre si la comunicación cae y luego vuelve? ¿Puede un sistema superior alterar comportamientos para los que las funciones de seguridad no fueron diseñadas?

Cuando la integración con sistemas externos afecta a la lógica de control, a la integridad del programa, a la gestión de accesos o al comportamiento previsto de la máquina, el análisis ya no puede ser superficial. El hecho de que no se vea una pieza nueva no hace el cambio menos crítico. Solo lo hace menos evidente.

Cambios en el sistema de mando relativo a la seguridad

Aquí no hay zona gris cómoda. Si modificas el programa de un PLC que realiza funciones de seguridad, cambias enclavamientos, condiciones de rearme, permisos de movimiento, tiempos de supervisión o lógica de bloqueo, estás actuando directamente sobre la forma en que se ejecutan las funciones de seguridad.

Eso exige análisis, diseño y validación. No una prueba rápida en taller. Si la función cambia, su eficacia también puede cambiar. Y si hay que rediseñar o revalidar el sistema de mando relativo a la seguridad, ISO 13849 deja de ser una referencia decorativa y pasa a ser trabajo real.

Sin evaluación de riesgos no puedes descartar una modificación sustancial

Esta es la parte que muchos quieren saltarse. Quieren una respuesta rápida: «tranquilos, no es modificación sustancial». El problema es que, en muchos casos, esa afirmación no se puede hacer con honestidad sin una evaluación de riesgos seria. No por prudencia excesiva. Por estructura lógica del problema.

La modificación sustancial se define por su efecto sobre la seguridad. Y ese efecto no se determina a ojo ni con una lista simplista. Hace falta, como mínimo:

• definir los límites de la máquina en su configuración modificada,
• identificar peligros y situaciones peligrosas,
• analizar la secuencia de sucesos que puede llevar al daño,
• estimar y evaluar el riesgo,
• decidir si las medidas de protección existentes siguen siendo adecuadas,
• y verificar si las nuevas funciones de seguridad son suficientes y válidas.

Eso es evaluación de riesgos en la lógica de ISO 12100. Sin ese trabajo, decir que no hay modificación sustancial es poco más que una intuición. Y la intuición no demuestra diligencia debida. En una auditoría, en un accidente o en un conflicto de responsabilidad, lo que cuenta no es la sensación del equipo. Cuenta la evidencia.

De hecho, suele ser más fácil detectar un caso que sí apunta a modificación sustancial que descartar uno con seguridad. Un ingeniero experimentado ve rápido ciertas cadenas de causa y efecto. Lo difícil, y lo que exige más humildad, es afirmar que un cambio no ha alterado el riesgo cuando no se ha hecho el análisis completo.

Modificación sustancial y responsabilidad: aquí cambia todo

La modificación sustancial no es un detalle técnico. Es un cambio de responsabilidad. Cuando una intervención física o digital cumple los criterios del Reglamento (UE) 2023/1230, quien la introduce entra en el papel de fabricante en el alcance de esa modificación. Y eso significa obligaciones reales: asegurar la conformidad, documentar, justificar el diseño, validar las funciones de seguridad y, cuando proceda, abordar la evaluación de conformidad y el marcado CE de la configuración afectada.

No importa si el cambio parecía razonable. No importa si en el sector «siempre se ha hecho así». No importa si comercialmente era urgente. Lo que importa es algo mucho más básico y mucho más duro: después del cambio, ¿la máquina sigue siendo segura en sus nuevas condiciones de uso? ¿Puedes demostrarlo con hechos, no con opiniones?

Ese es el criterio que separa una adaptación controlada de un problema serio. Porque la seguridad no se conserva por inercia. Cada cambio de acceso, cada resguardo, cada ajuste de accionamiento, cada cambio de lógica, cada integración con ERP, MES o middleware altera algo más que una configuración. Altera límites, exposición, comportamiento y eficacia de las medidas de protección.

La pregunta final es simple y no admite maquillaje: si mañana tuvieras que justificar que la máquina modificada sigue siendo segura, ¿podrías hacerlo con una evaluación de riesgos sólida, con evidencia de conformidad y con diligencia debida demostrable? Si la respuesta es sí, vas por buen camino. Si la respuesta es no, ahí empieza el riesgo de verdad.