«Dos contactores y un relé de seguridad: categoría 3». En el armario todo cuadra. En la lista de materiales, también. Pero basta con que un contactor se suelde para descubrir cuánto queda de ese orden sobre la máquina real.
El operador abre el resguardo del transportador. El control desexcita la bobina de K1, pero sus contactos están soldados. El motor sigue recibiendo alimentación. La orden era correcta; el contactor, sencillamente, no la ejecutó. Un segundo contactor puede salvar la desconexión. El diagnóstico puede detectar el defecto y bloquear el siguiente arranque. Todo depende de cómo se haya diseñado el circuito.
Las Categorías de seguridad de ISO 13849-1 describen la resistencia de un subsistema frente a los defectos y su comportamiento cuando estos aparecen. La diferencia entre B, 1, 2, 3 y 4 se entiende mejor aplicándolas a una misma tarea: cortar la alimentación de un accionamiento incluso cuando algo falla. Durante la recepción, cualquier circuito sano puede parecer perfecto. Las categorías empiezan a importar cuando deja de estarlo.
Primero la tarea; después, los aparatos del armario
El operador debe corregir una pieza. La cinta tiene que detenerse antes de que pueda acceder a la zona peligrosa y permanecer parada mientras el resguardo esté abierto. El proyectista obtiene estos requisitos de la evaluación de riesgos según ISO 12100 y los documenta después en la especificación de requisitos de seguridad, SRS.
La función completa incluye detectar la apertura del resguardo, tomar una decisión en el control y desconectar el accionamiento. Cada parte puede tratarse como un subsistema. En los ejemplos siguientes cambia el subsistema de salida: los contactores, sus conexiones y su supervisión. Su subfunción consiste en cortar la alimentación del motor.
Un contactor funciona como un interruptor accionado eléctricamente. La tensión en la bobina cierra los contactos de potencia por los que circula la corriente del motor. Cuando se desexcita la bobina, un aparato sano abre esos contactos. Si se sueldan, pierde precisamente esa capacidad.
Con dos contactores K1 y K2, la corriente del motor atraviesa ambos en serie. La apertura de cualquiera de ellos interrumpe el circuito. Cada contactor, junto con su mando, forma una vía de desconexión independiente: un canal.
Categoría B: K1 se ha soldado y la alimentación continúa
El accionamiento se desconecta mediante un único contactor K1. Al abrirse el resguardo, el control desexcita la bobina, los contactos se abren y el motor queda sin alimentación. Puede funcionar así durante miles de ciclos.
En la siguiente conexión, los contactos se sueldan. El transportador sigue funcionando y el operador todavía no percibe nada anómalo. Abre el resguardo. La tensión de la bobina desaparece, pero la corriente continúa llegando al motor. No existe un segundo elemento capaz de interrumpirla. Un solo defecto ha eliminado la capacidad del subsistema para desconectar el accionamiento.
Si, en lugar de soldarse los contactos, se interrumpiera el conductor de la bobina, el contactor sano se abriría. Es otro defecto y produce otro efecto. La frase «si falla, el contactor cae» funciona de maravilla cuando quien la pronuncia se permite escoger el fallo.
La categoría B exige principios básicos de seguridad y componentes adecuados para las condiciones reales. El contactor debe soportar la carga, el número de maniobras y la temperatura del armario. La letra B no da permiso para montar lo que haya quedado en el almacén.
¿Cuándo proporciona PL a y cuándo PL b?
Dos circuitos aparentemente idénticos pueden presentar frecuencias de fallo peligroso muy distintas. Un contactor conecta el motor una vez por turno; otro lo hace con cada pieza. Mismo modelo, cantidad de maniobras completamente diferente.
El proyectista debe considerar la durabilidad del aparato y el funcionamiento real de la máquina. Así determina el MTTFD, el tiempo medio hasta un fallo peligroso. Cuanto mayor sea, menor será estadísticamente la frecuencia de esos fallos. En el canal se incluyen todos los elementos cuyo fallo pueda impedir la desconexión.
| MTTFD del canal | PFH, frecuencia media de fallo peligroso por hora | PL alcanzado |
|---|---|---|
| 10 años | 1,14 × 10−5 1/h | PL a |
| 12 años | 9,51 × 10−6 1/h | PL b |
| 20 años | 5,71 × 10−6 1/h | PL b |
Con 10 años se obtiene PL a; con 12 años, PL b. La PFH cae por debajo de 10−5 1/h. Ha cambiado la fiabilidad, pero después de soldarse el contactor ambos circuitos se comportarán igual.
El MTTFD es un parámetro estadístico. «20 años» no implica una garantía de veinte años ni fija una fecha automática de sustitución. Esa fecha debe definirse considerando las condiciones y limitaciones de uso.
Los valores indicados corresponden al subsistema de salida. En la función completa se suman la PFH de entrada, la PFH de la lógica y la PFH de salida. El resultado se compara con los intervalos de PL y, además, queda limitado por el PL más bajo de cualquiera de los subsistemas. Por eso una salida con PL b puede acabar formando una función con PL a.
La categoría B permite alcanzar como máximo PL b. Si el PLr es d, repetir una apertura correcta del resguardo durante la recepción no moverá ese límite. Todo depende de un canal, y un K1 soldado puede eliminar la protección.
Categoría 1: el mismo problema debe ocurrir con menos frecuencia
El accionamiento sigue dependiendo de un único K1. Lo que cambia es la exigencia sobre su fiabilidad y su aplicación. Además de los principios de la categoría B, se utilizan componentes de eficacia probada y principios de seguridad de eficacia probada. En el método simplificado, el MTTFD del canal debe ser alto: entre 30 y 100 años.
«De eficacia probada» se refiere a unas condiciones concretas. Un aparato que ha conmutado resistencias calefactoras durante años puede encontrarse ahora con un motor de elevada corriente de arranque y maniobras frecuentes. El logotipo sigue siendo familiar; la carga ya no.
La selección se apoya en experiencia documentada en aplicaciones similares o en propiedades demostradas mediante diseño, verificación y validación conforme a las normas aplicables. ISO 13849-2 también identifica componentes y condiciones para considerarlos de eficacia probada.
El proyectista aplica medidas destinadas a evitar defectos o reducir sus consecuencias peligrosas. Y, aun así, K1 puede terminar soldándose. Se desexcita la bobina, los contactos permanecen cerrados y el motor sigue alimentado. La categoría 1 reduce la probabilidad del suceso; no crea un segundo canal.
Más fiabilidad: de PL b a PL c
Para un MTTFD del canal de 30 años, la tabla K.1 da PL b. Con 39 años, la PFH baja de 3 × 10−6 1/h y el resultado pasa a PL c.
| MTTFD del canal | PFH | PL alcanzado |
|---|---|---|
| 30 años | 3,80 × 10−6 1/h | PL b |
| 39 años | 2,93 × 10−6 1/h | PL c |
| 100 años | 1,14 × 10−6 1/h | PL c |
El techo de la categoría 1 es PL c. Un aparato mejor falla con menos frecuencia. Pero, cuando el fallo es un contacto soldado, sigue sin existir otra vía de desconexión. La protección descansa en la fiabilidad de un único canal.
Categoría 2: el circuito comprueba si K1 ejecutó la orden
El operador abre el resguardo. El control desexcita K1 y espera la confirmación de que sus contactos se han abierto. Esta vez no basta con dar la orden: hay que comprobar su ejecución.
La información procede de un contacto espejo del contactor. Su construcción impide que se cierre si un contacto de potencia permanece soldado. El circuito puede saber si K1 ha abierto o si ha incumplido la orden.
K1 se suelda y la confirmación no regresa. La prueba detecta el defecto y activa una reacción. En este ejemplo, un contactor adicional KT, conectado en serie con K1, corta la alimentación. El control impide una nueva conexión hasta que se elimine la avería.
En la norma, el equipo de prueba se denomina TE y su salida, OTE. Aquí OTE gobierna KT. K1 pertenece al canal funcional que realiza la desconexión ordinaria. TE y OTE forman el canal de prueba, encargado de comprobar la tarea y provocar la reacción ante el defecto.
Hay dos contactores en el armario y el ejemplo sigue siendo de categoría 2. KT desconecta después de que se detecte el problema en K1. Contar aparatos ya empieza a perder la partida contra leer el esquema.
Ayer estaba bien; en la conexión de hoy ya se ha soldado
K1 supera correctamente una prueba. En la siguiente conexión, sus contactos se sueldan. Hasta la próxima comprobación, el canal funcional permanece averiado. El resultado anterior no ocultó nada: la máquina se estropeó después.
Por eso la categoría 2 puede perder la subfunción entre pruebas. El proyectista debe definir cuándo se prueba y con qué rapidez se reacciona. Si la comprobación comienza al abrir el resguardo, la detección, la apertura de KT y la parada deben completarse antes de que la persona alcance el peligro.
Cuando el PLr es d, OTE debe iniciar un estado seguro y mantenerlo hasta que se elimine el defecto. Aquí lo hace KT. Un aviso rojo en la pantalla dejaría el motor alimentado; explicaría con enorme claridad por qué la protección no funciona, pero no protegería a nadie.
El apartado 6.1.3.2.4 establece una frecuencia de prueba al menos 100 veces superior a la frecuencia de demanda de la función, o bien una prueba inmediata cuando se produce la demanda, detectando el defecto y llevando la máquina a un estado no peligroso antes del acceso a la zona peligrosa. Abrir el resguardo es, en este caso, la demanda de la función. La relación 100:1 no significa realizar cien pruebas antes de cada apertura.
El MTTFD del canal de prueba TE–OTE debe ser superior a la mitad del MTTFD del canal funcional. Cada parte del canal funcional necesita al menos una cobertura de diagnóstico baja. También se aplican los principios de la categoría B, los principios de seguridad de eficacia probada y las medidas frente a fallos de causa común entre ambos canales.
Para un PLr de hasta c, OTE también debe iniciar un estado seguro siempre que resulte razonablemente posible. Si no lo es, la norma admite que una advertencia pueda ser suficiente. Para PLr d, la reacción segura es obligatoria.
Las pruebas pueden dar PL d, pero la fiabilidad también cuenta
La DC expresa la eficacia al detectar fallos peligrosos. Para el subsistema completo se determina la cobertura de diagnóstico media, DCavg, ponderando las frecuencias de esos fallos en sus distintas partes.
Con el mismo DCavg del 90 %, la categoría 2 proporciona PL a para un MTTFD del canal funcional de 3 años, PL b con 10 años, PL c con 30 años y PL d con 100 años. La prueba existe en los cuatro casos. Lo que cambia es la frecuencia de los fallos que debe gestionar.
| MTTFD del canal funcional | PFH | PL alcanzado |
|---|---|---|
| 3 años | 1,99 × 10−5 1/h | PL a |
| 10 años | 5,14 × 10−6 1/h | PL b |
| 30 años | 1,21 × 10−6 1/h | PL c |
| 100 años | 2,29 × 10−7 1/h | PL d |
En categoría 2, la protección depende de que la prueba encuentre el defecto y de que el circuito reaccione a tiempo. El instante y la duración de esa comprobación forman parte del diseño, no son un detalle para resolver durante la puesta en marcha.
Categoría 3: K2 desconecta sin esperar el resultado de una prueba
K1 y K2 están conectados en serie en la alimentación del motor. Cuando el operador abre el resguardo, el control ordena abrir ambos. Cada contactor dispone de su propia vía de mando y cada uno puede interrumpir por sí solo la alimentación.
K1 queda soldado. K2 abre y corta la corriente. El segundo canal ejecuta la tarea de protección a pesar del defecto del primero. Esa es la diferencia esencial respecto al caso anterior. Allí, KT intervenía después de que una prueba detectara el defecto. Aquí, K2 recibe la orden porque se ha abierto el resguardo. No necesita esperar el diagnóstico de K1.
El transportador se ha parado, pero sigue haciendo falta reparar
Para el operador, el resultado parece normal: la cinta se detiene. Sin embargo, dentro del armario uno de los contactores ya no funciona. El diagnóstico detecta que no vuelve la confirmación de apertura de K1 y bloquea la siguiente conexión.
K2 ha cumplido la tarea del canal defectuoso; no lo ha reparado. Si el control permitiera continuar trabajando con el defecto detectado, la próxima desconexión dependería únicamente de K2.
La categoría 3 exige que la subfunción se mantenga después de un defecto individual. Esto afecta a los componentes y a las conexiones de todo el subsistema evaluado. Si un único defecto de mando puede mantener energizadas las dos bobinas, ambos contactores pueden ejecutar perfectamente una orden equivocada.
También se requiere al menos una cobertura de diagnóstico baja. El defecto individual debe detectarse durante la demanda de la función o antes de la siguiente, cuando resulte razonablemente posible. Algunos defectos pueden quedar sin detectar. Su acumulación posterior puede eliminar la protección, y ahí empieza la diferencia con la categoría 4.
La categoría 3 puede alcanzar PL c, PL d o PL e
Con DCavg = 90 % y un MTTFD de 10 años para cada canal, la tabla K.1 da PL c. Con 30 años, PL d; con 100 años, PL e. «Categoría 3 significa PL d» es un atajo cómodo que pierde las otras dos posibilidades.
| MTTFD de cada canal | PFH | PL alcanzado |
|---|---|---|
| 10 años | 1,36 × 10−6 1/h | PL c |
| 30 años | 2,65 × 10−7 1/h | PL d |
| 100 años | 4,29 × 10−8 1/h | PL e |
El MTTFD se aplica a cada canal por separado. Dos canales de 30 años no se convierten en uno de 60 años. Siguen siendo obligatorios los requisitos de la categoría B, los principios de seguridad de eficacia probada y las medidas frente a CCF.
K2 desconecta el accionamiento aunque K1 haya fallado. El diagnóstico decide si el circuito puede recibir autorización para otro ciclo. Parar una vez no demuestra que sea aceptable volver a arrancar.
Categoría 4: también importa el defecto que escapó al diagnóstico
Después de soldarse K1, K2 desconecta el motor y el control bloquea la siguiente conexión. Exactamente lo mismo ocurría en el ejemplo anterior. La diferencia entre las categorías 3 y 4 aparece al ampliar el análisis: ¿qué detecta el sistema, cuándo lo detecta y qué ocurre con los defectos que no ve?
En categoría 4, un defecto individual debe dejar operativa la función y detectarse durante su demanda o antes de la siguiente. Si no puede detectarse en ese intervalo, la acumulación de defectos también debe mantener eficaz la protección.
El circuito comprueba incluso si la confirmación dice la verdad
Cada contactor dispone de un contacto espejo supervisado por separado. El control vigila su respuesta durante todo el ciclo:
- Antes de conectar, ambos contactores están desexcitados y sus contactos espejo deben confirmar que los polos de potencia están abiertos.
- Después de excitar un contactor, su confirmación de apertura debe desaparecer dentro del tiempo definido.
- Tras la desconexión, la confirmación debe regresar.
Con K1 soldado, la última confirmación no vuelve. K2 desconecta el accionamiento y la lógica bloquea el rearranque.
Para la categoría 4 se exige un DCavg mínimo del 99 %. ¿Por qué comprobar también la desaparición de la confirmación? Porque los dos conductores del contacto espejo podrían cortocircuitarse. La señal afirmaría permanentemente «K1 abierto», incluso cuando el contactor acabara de conectarse.
Un circuito que solo comprobara la presencia de la señal antes del arranque aceptaría una confirmación falsa. La vigilancia de los cambios encuentra la contradicción: K1 recibió la orden de conexión, pero la indicación «abierto» no desapareció. El control desactiva las salidas y bloquea el funcionamiento. El operador puede pulsar el rearme cuanto quiera; el rearme no separa cables en cortocircuito ni contactos soldados.
Esta técnica también puede utilizarse en categoría 3. La categoría 4 no la decide un detalle aislado, sino el comportamiento del subsistema completo ante los defectos considerados y su acumulación. El análisis debe incluir el mando, la realimentación y las consecuencias de sus fallos.
Dos válvulas muestran por qué importa
V1 y V2 son válvulas de asiento conectadas en serie en la alimentación de aceite de un cilindro. Cada una puede cortar el caudal por sí sola. Unos sensores vigilan la posición de los obturadores.
La junta del asiento de V1 se deteriora. El obturador llega a la posición «cerrada», pero el aceite atraviesa la junta dañada. El sensor de posición sigue diciendo la verdad. V2, todavía estanca, detiene el caudal y en la máquina no ocurre nada.
Más tarde, por una causa independiente, V2 también empieza a tener fugas. El caudal a través de ambas válvulas basta para provocar un movimiento peligroso. En la pantalla siguen apareciendo dos confirmaciones «cerrada»: perfectamente coherentes entre sí y completamente inútiles para detectar la avería.
Esta acumulación de defectos no detectados puede eliminar la protección en categoría 3. Para una categoría 4, el diseño debe interrumpir esa secuencia: detectar a tiempo una fuga relevante o mantener la función ante la acumulación considerada.
Una prueba de estanqueidad individual comprueba justo lo que no comprueba el sensor de posición. Por ejemplo, la fuga puede elevar la presión en una cámara de prueba situada aguas abajo de la válvula y aislada del cilindro. Un sensor de presión detecta el aumento y el control bloquea la máquina.
Si se probaran las dos válvulas cerradas simultáneamente, V2 podría ocultar la fuga de V1. El umbral y el tiempo de prueba deben revelar una fuga relevante para la seguridad antes de que surja el peligro. El diseño también debe contemplar la presión residual: cortar una nueva entrada de aceite no elimina la energía que ya está almacenada aguas abajo.
El 99 % debe proceder del diagnóstico real
La categoría 4 exige un DCavg alto, como mínimo del 99 %, y un MTTFD alto en cada canal. Ese 99 % se refiere a la frecuencia de los fallos peligrosos detectados. Detectar nueve modos de fallo muy raros y omitir uno frecuente puede dar un resultado pésimo. La lista de casillas marcadas quedará preciosa; la protección, no.
| MTTFD de cada canal | PFH | PL alcanzado |
|---|---|---|
| 30 años | 9,54 × 10−8 1/h | PL e |
| 100 años | 2,47 × 10−8 1/h | PL e |
| 2.500 años | 9,06 × 10−10 1/h | PL e |
Para la categoría 4, el modelo permite un MTTFD del canal de hasta 2.500 años. Sigue siendo un parámetro estadístico. También siguen vigentes los principios de la categoría B, los principios de eficacia probada y las medidas frente a causas comunes.
El apartado 6.1.3.2.6 indica que, en la práctica, puede bastar con considerar combinaciones de dos defectos. Excluir fallos no detectados de probabilidad extremadamente baja exige un análisis documentado y verificado, por ejemplo una FMEA. El diagnóstico debe comprobar la capacidad de realizar la tarea, no limitarse a observar una señal cómoda. Una válvula puede confirmar correctamente su posición y seguir dejando pasar aceite.
En categoría 4 no basta con detectar mucho. Hay que detectar lo que realmente puede destruir la función, reaccionar a tiempo y demostrar qué ocurre cuando un defecto no detectado se encuentra con otro.
Cinco categorías y un único K1 soldado
En B y 1, K1 soldado deja el motor alimentado. En la categoría 2, KT realiza la desconexión después de que TE detecte el defecto. En las categorías 3 y 4, K2 recibe la orden al abrirse el resguardo y desconecta sin esperar el diagnóstico. Después, la supervisión revela la avería y bloquea el ciclo siguiente.
Por eso la evaluación no termina al comprobar la primera reacción segura. También hay que preguntar qué sucederá después, qué queda averiado y bajo qué condiciones podría autorizarse otro ciclo.
Dos contactores pueden perder contra el mismo cortocircuito
Hasta ahora K1 fallaba y K2 salvaba la desconexión. Pero aparece un cortocircuito aguas abajo de K2. La corriente atraviesa los dos contactores cerrados y daña ambos. El segundo canal acaba de encontrarse con la misma causa que el primero.
Eso es un CCF, un fallo de causa común. En categorías 3 y 4 afecta a los dos canales funcionales; en categoría 2, al canal funcional y al canal de prueba. El proyectista debe reducir las exposiciones comunes mediante medidas concretas.
K2 cierra primero y abre el último
Primero se cierra K2. Como K1 sigue abierto, todavía no circula corriente hacia el motor. Después K1 cierra el circuito y conecta la carga. En la desconexión se invierte el orden: K1 interrumpe la corriente y K2 abre un instante después, ya sin corriente de carga.
Durante el funcionamiento, ambos conducen la misma corriente, pero sus condiciones de conmutación son diferentes. K2 evita normalmente conectar la corriente de arranque y cortar la carga, lo que reduce el desgaste eléctrico de sus contactos. El mecanismo, sin embargo, sigue realizando todos los movimientos y conserva su desgaste mecánico.
K2 debe estar dimensionado para interrumpir por sí solo la carga completa, porque eso es exactamente lo que tendrá que hacer si K1 se suelda. Su desconexión debe producirse dentro del tiempo definido y sin esperar la confirmación de K1: cuando los contactos están soldados, esa confirmación no llegará. El retardo y los tiempos propios de los aparatos deben caber en el tiempo de reacción exigido para la función.
La protección contra cortocircuitos debe limitar el suceso común
La secuencia de maniobra diferencia las solicitaciones al conectar y desconectar. Durante un cortocircuito con ambos contactores cerrados, la corriente afecta a los dos. El dispositivo de protección F debe interrumpirla, y las consecuencias dependerán de su valor y del tiempo durante el que circule.
El proyectista debe determinar la corriente de cortocircuito prevista en el punto de instalación y comprobar la combinación completa: contactor concreto, tipo y corriente nominal de la protección, tensión y condiciones de aplicación. Los datos del fabricante permiten verificar su coordinación. La corriente nominal del motor, por sí sola, cuenta demasiado poco.
Tras actuar F, unos contactos soldados pueden continuar cerrados. El fusible interrumpe la corriente; la reparación de contactores no viene incluida. Antes de volver al servicio hay que inspeccionar ambos aparatos y corregir los daños.
IEC 60947-4-1:2019-05, apartado 8.2.5.1, admite que pueda producirse soldadura de contactos incluso con coordinación tipo 2. El fabricante especifica las actuaciones de mantenimiento pertinentes. Utilizar una protección distinta de la recomendada puede invalidar esa coordinación.
Ruta común, fuente común y sobrecalentamiento común
Los cables de ambas bobinas discurren por el mismo mazo. Si se aplasta y los dos mandos quedan cortocircuitados a +24 V, ambos canales pierden simultáneamente la capacidad de desconectar. Rutas separadas y protegidas, junto con bornes físicamente diferenciados, reducen esa posibilidad.
Una fuente común falla y entrega sobretensión. El proyectista debe conocer su comportamiento ante fallos y aplicar la limitación de tensión o protección externa adecuada para los circuitos alimentados.
Los dos contactores están instalados sobre un variador y reciben su calor. Cuando falla el ventilador, la temperatura supera el límite permitido. La distribución de los aparatos, las distancias y la refrigeración deben contemplar esa situación. Durante la recepción, un armario abierto suele disfrutar de una ventilación excelente y bastante engañosa.
Ambos canales comparten recorrido con los cables de motor del variador. La separación, el apantallamiento y las conexiones equipotenciales ayudan a reducir el efecto común de las perturbaciones electromagnéticas. La inmunidad debe corresponder a las condiciones reales de servicio.
El anexo F organiza la evaluación mediante puntuación. Este método exige al menos 65 puntos por las medidas aplicadas. Por ejemplo: separación de canales, 15 puntos; protección frente a sobreintensidades y sobretensiones adecuadas, 15; medidas contra perturbaciones electromagnéticas, 25; otros factores ambientales, 10.
La puntuación también puede justificarse con contactores idénticos. La diversidad de diseño, tecnología, carga o fabricante aporta hasta 20 puntos en una posición. Dos marcas comerciales sobre el mismo producto siguen siendo el mismo producto. Además, cada medida debe implantarse completamente en el subsistema evaluado: una aplicación parcial recibe cero puntos.
El segundo canal ayuda solo mientras una causa común no quite a los dos canales su capacidad de actuar. Duplicar componentes no equivale a duplicar independencia.
¿Dónde están los dos canales en un sensor, un relé o un PLC?
K1 y K2 pueden señalarse con el dedo. En electrónica, los canales pueden estar dentro de una misma carcasa. La norma describe la estructura lógica; el fabricante del equipo define su implementación interna.
Dos sensores en un mismo resguardo
Los sensores inductivos S1 y S2 detectan una pieza metálica asociada al resguardo cerrado. Cada uno envía su propia señal a una entrada distinta. Para permitir el funcionamiento se necesitan las dos confirmaciones de «cerrado».
S1 falla y queda indicando permanentemente «cerrado». Cuando el operador abre el resguardo, la pieza metálica se aleja de ambos sensores. S2, todavía sano, cambia de estado y el control ordena detener la máquina. Perder una sola confirmación basta para reaccionar.
Un sensor de seguridad con dos salidas OSSD
Un sensor inductivo de seguridad puede integrar diagnóstico y dos salidas electrónicas supervisadas OSSD. Al alejarse el metal, ambas se desactivan y transmiten la demanda de parada. El diagnóstico también vigila su capacidad para desconectarse.
Un sensor convencional puede tener dos salidas con otro comportamiento: una única electrónica detecta el metal y el mismo resultado gobierna ambas. La salida normalmente abierta se activa al detectar metal y la normalmente cerrada se desactiva. Si la electrónica reconoce metal erróneamente con el resguardo abierto, las dos salidas se comportarán como si estuviera cerrado. Comprobar sus estados opuestos no descubrirá el error. El control habrá recibido dos versiones del mismo fallo.
Dividir una señal única entre dos entradas produce un problema parecido. Dos conductores no convierten automáticamente la información en dos canales independientes.
Relé de seguridad y controlador
En un relé de seguridad clásico trabajan dos relés internos R1 y R2. Sus contactos de autorización están conectados en serie. Si un contacto de R1 se suelda, R2 todavía puede abrir la salida. Los contactos de control mecánicamente ligados permiten detectar la soldadura y bloquear el rearranque.
Un PLC de seguridad puede emplear dos procesadores y comparar sus resultados. Si uno calcula autorización de movimiento y el otro parada, la discrepancia provoca una reacción segura. Las pruebas también pueden cubrir la memoria, la ejecución del programa y las entradas y salidas.
Dos copias del programa en un PLC convencional pueden ejecutarse en el mismo procesador. Un fallo de ese procesador afectará a las dos. Copiar código es mucho más fácil que construir tolerancia a defectos, y el resultado no es el mismo.
Cortina de seguridad
El operador interrumpe los haces entre emisor y receptor. La cortina desactiva OSSD1 y OSSD2. Si OSSD1 queda conectada por una avería, la desconexión de OSSD2 todavía basta para que el control asociado ordene la parada.
Cada salida debe llegar a su entrada prevista. El diagnóstico incluye las salidas y sus conexiones. En la documentación del dispositivo, el proyectista comprueba el PL alcanzado, la categoría, el tiempo de reacción y el cableado exigido. Solo así puede integrar correctamente las propiedades de un subsistema ya evaluado.
El mismo PL puede ocultar comportamientos distintos tras un defecto
Un proyectista obtiene PL d con categoría 2; otro, con categoría 3. Ambos resultados pueden ser correctos. El primero ha utilizado un canal muy fiable sometido a pruebas; el segundo, dos canales funcionales.
| Categoría | MTTFD del canal | DCavg | PFH [1/h] | PL |
|---|---|---|---|---|
| 2 | 100 años | 90 % | 2,29 × 10−7 | d |
| 3 | 30 años | 90 % | 2,65 × 10−7 | d |
En categoría 2, el MTTFD indicado corresponde al canal funcional. En categoría 3, a cada uno de los dos canales. Ambas PFH están dentro de PL d, pero la categoría 2 puede perder la subfunción entre pruebas, mientras que la categoría 3 la conserva después de un defecto individual.
Si la SRS o una norma de tipo C para la máquina exige mantener la función después de un defecto individual, el proyectista debe proporcionar precisamente ese comportamiento. La letra d no decide por sí sola la arquitectura.
La misma categoría con un diagnóstico mejor
En categoría 3, con un MTTFD de 100 años para cada canal, aumentar el DCavg del 60 al 90 % desplaza el resultado de PL d a PL e.
| DCavg | PFH [1/h] | PL |
|---|---|---|
| 60 % | 1,01 × 10−7 | d |
| 90 % | 4,29 × 10−8 | e |
La mayor cobertura debe proceder de una detección más eficaz y de una reacción adecuada. Supervisar los cambios de una realimentación puede descubrir un cortocircuito que mantiene permanentemente la confirmación de apertura. Eso modifica el comportamiento real. Cambiar una casilla del 60 al 90 % en el programa de cálculo solo modifica, por el momento, el informe.
Los valores numéricos proceden de los modelos de subsistemas de ISO 13849-1:2023-09. El método del apartado 6.1.8 presupone 20 años de uso previsto, tasas de fallo constantes y medidas adecuadas frente a CCF. Para componentes que se desgasten antes deben respetarse sus límites de utilización.
En categoría 2 también son aplicables los requisitos del canal de prueba y de la frecuencia de prueba o el tiempo de reacción ante una demanda. Para pruebas periódicas, las PFH mostradas corresponden a una relación entre frecuencia de prueba y demandas de al menos 100:1. La nota 1 de la tabla K.1 permite estimar una relación mínima de 25:1 multiplicando la PFH tabulada por 1,1.
Los valores tabulados para DCavg baja, media y alta se calculan respectivamente con 60 %, 90 % y 99 %. El PL expresa el nivel de prestaciones. La categoría explica cómo afronta los defectos el circuito. Para elegir una solución hacen falta ambas informaciones.
Dos diseños pueden compartir PL y reaccionar de forma distinta cuando algo se rompe. El número final no sustituye al análisis de la arquitectura, las pruebas y el comportamiento tras el defecto.
Los contactores están listos para desconectar, pero la orden no llega
El subsistema K1–K2 alcanza PL e. Sin embargo, el sensor del resguardo informa erróneamente a la lógica de que la puerta está cerrada. El control autoriza el movimiento y ambos contactores permanecen conectados. Pueden estar sanos y magníficamente supervisados: el problema surgió antes, en la entrada.
Por eso se evalúa toda la cadena: entrada, lógica, salida y conexiones. Para una combinación en serie de subsistemas con PFH conocidas, se suman sus valores. El PL total queda limitado tanto por la suma como por el PL más bajo de cualquiera de ellos.
Tres subsistemas con 4 × 10−8 1/h cada uno suman 1,2 × 10−7 1/h: PL d. Cada subsistema, por separado, estaba dentro de PL e. La cuenta es sencilla: la función completa tiene más puntos donde puede fallar peligrosamente. El procedimiento se desarrolla en el artículo sobre el cálculo del PL según ISO 13849-1.
Después de cortar la alimentación, la cinta todavía necesita tiempo para frenar. La protección debe actuar antes de que una persona alcance el peligro. Esa relación se ve con claridad al calcular la distancia de una cortina de seguridad tras cambiar el tiempo de reacción.
Cuando se combinan subsistemas evaluados mediante métodos diferentes, también resulta útil comparar ISO 13849-1 e IEC 62061.
Dentro de unos años alguien sustituirá K1
El contactor nuevo tiene la misma corriente nominal y encaja en el carril. El técnico todavía necesita el contacto espejo correcto, los tiempos de actuación adecuados y los datos de durabilidad. Esas propiedades formaban parte del diseño. La indicación «24 V, mismos amperios» omite justo lo que necesita el diagnóstico.
La documentación debe permitir reconstruir por qué se seleccionó el aparato, qué supervisa el circuito y cómo reacciona ante un defecto. Sin ella solo queda llamar al autor del programa y confiar en que recuerde la razón de cada condición. Así, la justificación del diseño acaba dependiendo de la memoria de una persona.
| Campo | Registro |
|---|---|
| Alcance | Subsistema de salida K1–K2 con conexiones y supervisión. Tarea: cortar la alimentación del accionamiento. |
| Defecto considerado | K1 permanece cerrado pese a recibir la orden de desconexión. |
| Reacción exigida | K2 desconecta por sí solo el accionamiento. La falta de retorno de K1 revela el defecto y bloquea el rearranque. |
| Evidencia requerida | Análisis de defectos y prueba T-01: verificar la desconexión mediante K2, el tiempo de reacción, la detección y el bloqueo. El resultado debe registrarse para la versión concreta del circuito. |
La ficha completa vincula este registro con la SRS, la versión del esquema, las bases de MTTFD, DCavg y CCF y los resultados de validación. También justifica cualquier exclusión de defectos utilizada.
Descarga la ficha de justificación de la categoría (PDF, en inglés): incluye el ejemplo K1–K2 y un formulario rellenable para un proyecto propio.
Un responsable no tiene por qué calcular personalmente la PFH. Sí puede pedir al proveedor que señale un defecto en el esquema y responda cuatro preguntas: qué falla, qué sigue protegiendo a la persona, cuándo detecta el control el problema y dónde está registrado el resultado de la prueba.
Esa conversación vale mucho más que preguntar por la marca del relé. Dos contactores son una línea de la lista de materiales. Solo su funcionamiento, su diagnóstico y la justificación del diseño permiten asignar una categoría.
Fuentes
Los ejemplos del transportador, los contactores y las válvulas sirven para explicar los requisitos. Los valores de PFH y sus correspondientes PL proceden de la tabla K.1 citada a continuación.
- ISO 13849-1:2023-09: apartados 4.5, 5.1, 5.2.1 y 5.3–5.5, sobre información de la evaluación de riesgos, SRS, PLr y división en subsistemas; definiciones 3.1.45–3.1.47 y apartados 6.1.3.1–6.1.3.2.1, sobre subsistemas, canales y arquitecturas.
- ISO 13849-1:2023-09: apartados 6.1.3.2.2–6.1.3.2.6, sobre categorías B–4, reacción ante defectos, pruebas y acumulación de defectos; definiciones 3.1.49–3.1.50 y apartado 6.1.11, sobre principios y componentes de eficacia probada.
- ISO 13849-1:2023-09: tablas 2, 6 y 7; apartados 6.1.4–6.1.5 y 6.1.8; anexos C–E y tabla K.1 con notas 1–2, sobre PL, PFH, MTTFD, DC, durabilidad, número de maniobras e hipótesis de los modelos.
- ISO 13849-1:2023-09: apartado 6.1.6, anexo F y tabla F.1, sobre CCF, medidas frente a exposiciones comunes, puntuación y umbral de 65 puntos; F.3.2, sobre diversidad; F.3.3 y F.3.6, sobre protecciones, perturbaciones y ambiente.
- IEC 60947-4-1:2019-05: apartado 8.2.5.1, sobre coordinación entre contactores y protección contra cortocircuitos y coordinación tipo 2; apartados 8.2.4.3.1–8.2.4.3.2 y anexo B, sobre durabilidad mecánica y eléctrica; anexo F, sobre propiedades e identificación de contactos espejo.
- ISO 13849-1:2023-09: apartado 6.1.10, definiciones 3.1.29–3.1.30 y 3.1.51–3.1.52, anexo E y tabla E.1, sobre análisis de defectos, monitorización, pruebas y comprobación de plausibilidad; capítulo 7 y anexo N, sobre software y plataformas evaluadas previamente; apartado 13.2, sobre información para la integración.
- ISO 4413:2011: apartado 5.4.4.1, sobre estanqueidad e idoneidad de válvulas para aplicaciones relacionadas con la seguridad; apartados 5.4.7.1–5.4.7.2.1, sobre movimientos imprevistos, aislamiento de energía y disipación de presión.
- ISO 13849-1:2023-09: apartado 6.2.2 y capítulo 8, sobre combinación de subsistemas, suma de PFH y límites del PL alcanzado; apartado 5.2.2.2, sobre parada; apartados 10.1.1–10.1.2, 10.8 y capítulo 12, sobre validación, registros y documentación técnica.