“Si surge un peligro, el operador pulsará la seta”. Así se intenta cerrar demasiadas veces una conversación sobre seguridad. El pulsador está instalado, el circuito responde y, durante la prueba, la máquina se detuvo. Solo queda suponer que alguien advertirá el peligro, reaccionará a tiempo y hará lo que antes no se garantizó mediante el diseño o la protección del puesto.
El proyectista no puede utilizar los reflejos del operador para compensar protecciones ausentes. Una función preventiva de seguridad debe impedir un suceso peligroso concreto. La función de parada de emergencia permite intervenir ante una situación de emergencia existente o inminente, frenar su evolución y limitar sus consecuencias. Puede evitar una lesión, pero eso no la convierte en sustituta de la protección destinada a impedir que el suceso llegue a producirse.
Es la diferencia entre proporcionar protección y confiar en que la intervención salga bien. No debe desaparecer bajo la frase genérica “se ha instalado un sistema de seguridad” dentro de la evaluación del riesgo. ISO 13850 define la parada de emergencia como una medida de protección complementaria. No porque sea poco importante, sino porque complementa las demás medidas; no justifica su ausencia.
El segundo malentendido empieza con otra afirmación rotunda: “Al pulsar, cortamos todo”. Suena convincente. El problema es que una máquina detenida no tiene por qué ser una máquina segura. Una persona puede seguir atrapada y la desconexión de un equipo que debía protegerla puede empeorar la situación. La ausencia de movimiento, por sí sola, no demuestra que el peligro esté controlado.
La función de parada de emergencia no consiste en desconectar el mayor número posible de equipos. Hay que determinar qué movimientos y acciones peligrosas deben cesar, en qué orden y qué debe continuar funcionando para proteger a las personas. En determinadas aplicaciones harán falta otras acciones de protección además de la detención.
El operador debe poder iniciar la reacción con una sola acción. No debería preguntarse, justo antes de pulsar, si las consecuencias serán peores que el peligro actual. Eso debe resolverse durante el diseño. Cuanto más sencilla deba ser la intervención humana, menos espacio puede dejarse a efectos imprevistos de la máquina.
Si la prueba de recepción se limita a comprobar que el accionamiento se detiene, podremos confirmar la detención sin responder a la pregunta esencial: ¿se ejecutó la acción adecuada frente a la situación de emergencia? Anotar “E-STOP funciona” no explica qué evita la protección preventiva ni qué le ocurrirá a la persona después de pulsar. Poder detener una máquina no demuestra que la protección sea adecuada. Y detener el movimiento no siempre pone fin al peligro.
El pulsador de parada de emergencia puede detener una máquina. No puede convertir en buen diseño una protección que nunca se instaló.
1. Prevención y reacción de emergencia no son dos formas de hacer lo mismo
“La cortina detiene la máquina. El pulsador también. ¿Para qué complicarlo?” Si la eficacia dependiera únicamente de que al final se parase el motor, la pregunta sería razonable. Bastaría comparar dos esquemas, localizar el mismo contactor y concluir que la principal diferencia está en el precio.
Solo faltaría considerar cuándo se detiene la máquina y qué puede ocurrirle a la persona hasta ese momento. Una función preventiva debe impedir un suceso peligroso determinado. La parada de emergencia debe contrarrestar una situación de emergencia existente o inminente. En ambos casos puede ser necesario detener el movimiento, pero no se está resolviendo el mismo problema.
La cortina no sirve para avisar de que alguien ya ha alcanzado la herramienta
Pensemos en un puesto donde una persona puede alcanzar una herramienta móvil. Supongamos que el acceso puede protegerse con una cortina fotoeléctrica de seguridad: el movimiento peligroso puede detenerse durante el ciclo y no es posible alcanzar la herramienta evitando el campo de detección.
La cortina detecta la mano e inicia la detención. Su separación respecto a la herramienta considera el tiempo de respuesta de todo el sistema y la distancia de parada de la máquina. El movimiento peligroso debe cesar antes de que la persona pueda alcanzarlo. Esa es la tarea de la función. No basta con conmutar salidas ni con mostrar “parada de seguridad” en el panel.
Si la mano puede llegar a la herramienta mientras aún se mueve, no existe protección efectiva frente al contacto. Esto sigue siendo cierto aunque la cortina haya respondido correctamente, el sistema de mando haya recibido la señal y el accionamiento haya ejecutado la orden. Todos los componentes pueden funcionar exactamente como fueron diseñados y, aun así, el diseño puede ser erróneo.
Por eso, verificar una cortina no consiste solo en interrumpir sus haces. Debe demostrarse que la detección y la detención impiden realmente el suceso frente al que debían proteger.
En una parada de emergencia, una persona debe iniciar la intervención
El dispositivo de parada de emergencia no asume la detección del acceso. Permite que una persona inicie la reacción prevista ante una situación que exige una intervención inmediata. No es necesario que ya se haya producido una lesión. ISO 13850 también contempla una situación inminente: alguien puede advertir una evolución peligrosa y pulsar antes de que se produzca el daño. También puede necesitar intervenir cuando la acción peligrosa ya está en curso.
En el primer caso, la protección se activa al detectar la mano. En el segundo, una persona debe reconocer la necesidad de intervenir y actuar. La frase “ambos detienen” no elimina esa diferencia.
Si retiramos la cortina del ejemplo y dejamos únicamente el pulsador, ya no existe una detención automática al detectar la mano. La persona debe detectar el problema e iniciar la reacción. Se ha eliminado la detección del proyecto y se ha añadido que el operador está formado. El ahorro es real. La equivalencia entre protecciones es imaginaria.
Por eso ISO 13850 considera la parada de emergencia una medida de protección complementaria y prohíbe utilizarla como sustituta de las medidas técnicas de protección y demás funciones necesarias. La parada de emergencia también es una función relacionada con la seguridad. Eso no significa que pueda asignársele cualquier objetivo de protección.
El mismo relé no elimina la diferencia
Varias funciones pueden compartir elementos del sistema de mando si se satisfacen los requisitos aplicables. No tiene sentido multiplicar equipos por el simple hecho de multiplicarlos. Pero sí hay que especificar por separado qué inicia cada función y qué objetivo debe cumplir.
En una cortina se verifica la protección frente al contacto peligroso. En una parada de emergencia se verifica la reacción correcta ante la situación considerada, que no siempre se limita a alcanzar la inmovilidad. Pulsar el dispositivo no demuestra que una persona no pueda llegar hasta una herramienta móvil. Del mismo modo, una cortina correctamente instalada no responde a todas las preguntas sobre una intervención de emergencia.
Puede justificarse un contactor común. Lo que no puede copiarse es un único “cumple” para dos tareas diferentes.
Si el proyecto necesita que el operador vea antes, piense más rápido y alcance mejor, no se ha añadido seguridad. Se ha añadido fe.
2. “El operador llegará a tiempo” no es una protección de la máquina
Supongamos que, junto a un puesto de alimentación manual, queda accesible un accionamiento por cadena. Se reconoce el riesgo de atrapamiento y se anotan como medidas de protección un pulsador de parada de emergencia, señalización y formación del operador. Tras considerarlas, el riesgo se declara aceptable.
La cadena continúa accesible. La persona sigue trabajando junto a ella de la misma manera. Lo único que ha cambiado es el color de una celda en la hoja de cálculo. No había presupuesto para el resguardo. Los reflejos del operador se anotaron gratis.
¿Qué ha reducido realmente el riesgo?
Instalar el pulsador no ha limitado el acceso al accionamiento. No ha reducido la frecuencia de trabajo en sus proximidades ni ha eliminado la capacidad del mecanismo para atrapar. Se ha proporcionado una forma de iniciar la parada de emergencia. Ahora falta demostrar en qué circunstancias esa intervención puede ayudar.
¿Quién advertirá el peligro? ¿Cómo lo reconocerá? ¿Podrá alcanzar el dispositivo? ¿Quedará tiempo suficiente entre la detección de la situación y la aparición del daño? Responder “el operador ha recibido formación” solo resuelve una parte. Confirma una preparación para determinadas acciones, pero no demuestra que exista la posibilidad física de ejecutarlas en la situación considerada.
Una firma en el registro de formación no reduce la distancia de parada ni amplía el tiempo disponible antes del atrapamiento. La parada de emergencia puede mejorar la posibilidad de evitar o limitar el daño, por lo que no carece de valor en la evaluación del riesgo. Pero ese beneficio debe relacionarse con una secuencia concreta de acontecimientos, no concederse automáticamente por la presencia de un pulsador rojo.
Si no se ha demostrado que la intervención sea posible y eficaz, la mención “E-STOP y formación” no justifica una protección suficiente frente al atrapamiento.
Se midió desde la pulsación, no desde el inicio del peligro
Durante una prueba, la persona encargada permanece junto al dispositivo, sabe qué va a hacer e inicia voluntariamente la detención. La medición muestra el tiempo transcurrido entre la activación y el cese del movimiento peligroso. Es un resultado necesario, pero no incluye lo que debe ocurrir antes en una emergencia real: advertir el peligro, reconocer que hace falta intervenir y ejecutar la acción.
Se ha definido el tiempo de respuesta del sistema de mando. Para el operador se ha supuesto que llegará a tiempo. En una situación real puede tener ambas manos ocupadas alimentando una pieza. Puede encontrarse fuera del alcance del pulsador o necesitar ayuda precisamente porque ya no puede iniciar la parada.
Suponer que actuará otra persona también exige verificación. Esa segunda persona debe estar presente, ver lo que ocurre y poder intervenir. No aparece junto al puesto por escribir “ayuda de un compañero” en la evaluación.
La accesibilidad del dispositivo debe comprobarse desde los lugares y durante las tareas en las que puede ser necesario intervenir, no solo desde la posición cómoda de quien permanece frente al pupitre durante la recepción. Un sistema en perfecto estado puede no recibir la orden a tiempo. No es un fallo del relé detectable por diagnóstico. Es una hipótesis no comprobada sobre la intervención humana.
Reducir el tiempo de respuesta del controlador no corrige el problema si la demora decisiva aparece antes de pulsar.
“Extremar la precaución”. Preferiblemente durante todo el turno
Junto al puesto aparece una recomendación: “El operador deberá extremar la precaución, observar continuamente la máquina y utilizar inmediatamente la parada de emergencia si surge un peligro”. La frase sirve para casi cualquier máquina. Precisamente por eso explica tan poco.
Supongamos que el operador debe recoger los productos terminados, comprobar su calidad y depositarlos en un contenedor situado detrás. Al mismo tiempo, el manual exige una “observación ininterrumpida de la zona peligrosa”. Para dejar la pieza, la persona tiene que girarse. No está ignorando las instrucciones, hablando por teléfono ni inventando un método de trabajo. Está realizando una tarea prevista por el proyectista. El mismo proyectista que hizo depender la seguridad de mirar en la dirección contraria.
El puesto se diseñó para una persona. La atención exigida, aparentemente, para dos. La orden “detener inmediatamente” no resuelve nada si antes nadie puede advertir que la detención es necesaria. Cuando el concepto de protección depende de una observación continua y las tareas previstas interrumpen esa observación, las premisas son incompatibles.
Añadir “extrema” delante de “precaución” no elimina la contradicción. Solo eleva la exigencia sobre el operador sin modificar las condiciones en las que debe cumplirla.
No se trata de eliminar las advertencias de las instrucciones. Se trata de no encargarles el trabajo que no se hizo durante el diseño. La información para el usuario ocupa un lugar en la reducción del riesgo, pero no sustituye la aplicación correcta de medidas de diseño y protección. La parada de emergencia tampoco puede trasladar a la vigilancia humana la tarea de una protección ausente.
El puesto debe seguir siendo evaluado cuando el operador realiza correctamente una tarea que aparta su atención de la máquina. No después de un accidente, preguntando por qué no estaba mirando. “Tenga cuidado” puede ser una advertencia. No es una protección técnica suministrada en forma de frase.
La velocidad puede caer a cero y la presión seguir aplastando. La máquina no lee la etiqueta “estado seguro” que alguien puso en el programa.
3. Una máquina detenida todavía puede poner en peligro a una persona
La especificación de una función afirma: “Al activar la parada de emergencia, se detienen los accionamientos y la máquina pasa a un estado seguro”. La primera parte puede comprobarse: los accionamientos dejan de generar movimiento peligroso. La segunda exige identificar qué peligros existen además del movimiento y qué ha ocurrido con ellos.
Es fácil escribir “estado seguro” después de “detención”. En la máquina, esa relación no nace de una coma. El cese del movimiento puede interrumpir la evolución de la emergencia y, al mismo tiempo, dejar a una persona sometida a presión, bloqueada o sin posibilidad de salir. La máquina no necesita iniciar otro ciclo para seguir causando daño.
La velocidad cayó a cero. La fuerza de apriete quizá no
Consideremos un sistema de rodillos en el que unos muelles mantienen la presión. Una extremidad queda atrapada, se activa el E-STOP y se detiene la rotación. El arrastre deja de avanzar, pero los rodillos permanecen apretados. El accionamiento ha cumplido la orden. Los muelles también funcionan conforme al diseño. La persona sigue comprimida.
Esto no significa que la parada fuera inútil para interrumpir el arrastre. Significa que no resolvió toda la situación. Detener el movimiento peligroso y permitir la liberación son dos tareas distintas que deben coordinarse.
Si se ha considerado un atrapamiento, también debe determinarse cómo podrá liberarse a la persona. Según la construcción, puede ser necesario separar elementos, aliviar la presión o disponer de un movimiento inverso correctamente diseñado. Ninguna de estas acciones es universalmente válida. El problema no queda resuelto porque, una vez detenido, ya no se mueva.
ISO 13850 no reduce la reacción de emergencia a la inmovilidad
La norma permite que la función de parada de emergencia inicie funciones distintas de la mera detención, como invertir o limitar un movimiento. El objetivo es reducir la posibilidad de daño, no conseguir el mayor número posible de salidas desconectadas. Deben detenerse los movimientos y acciones peligrosos, pero eso no convierte en inadmisible cualquier movimiento realizado como parte de la reacción de emergencia.
Un desplazamiento correctamente diseñado puede proteger a la persona. La palabra “correctamente” importa. Antes de prever una inversión hay que comprobar si el movimiento inverso ayuda en el atrapamiento analizado, si puede agravar la lesión, si crea otro punto de atrapamiento, qué ocurre con la presión y qué recorrido, velocidad y modo de mando son necesarios.
Cambiar el signo de la velocidad programada todavía no es diseñar una función de rescate, aunque en el programa ocupe una sola línea. ISO 13850 contempla estas acciones, pero no establece todos los requisitos detallados para ejecutarlas. Citar la norma no demuestra que cualquier inversión o apertura sea segura. Hay que evaluar la solución concreta.
La detención no debe eliminar la posibilidad de liberación
Debe distinguirse entre una acción adicional integrada en la reacción al E-STOP y una función separada para liberar a la persona después de la detención. En el primer caso, la acción forma parte de la respuesta de emergencia diseñada. En el segundo, la parada no completa la liberación, pero conserva la posibilidad de realizarla mediante los medios adecuados.
No todas las máquinas deben separar automáticamente sus elementos o invertir el movimiento al pulsar. ISO 13850 sí exige que la parada de emergencia no perjudique otras funciones de protección y menciona expresamente la liberación de personas atrapadas.
Esto resulta importante cuando alguien explica: “Se puede liberar, pero antes hay que restablecer el funcionamiento normal”. Una función de liberación debe permitir rescatar a la persona, no rehabilitar todos los movimientos productivos esperando que solo se utilice el correcto. Las condiciones de activación, los movimientos disponibles y sus limitaciones deben resolverse durante el diseño, no cuando alguien ya necesita ayuda.
Después de detener hay que responder a algo más que “¿qué está parado?”. También hay que saber qué acción peligrosa continúa y qué se ha previsto para controlarla. Un estado seguro no aparece por dar ese nombre a una variable del controlador. Debe conseguirse físicamente en la máquina, también para quien no puede liberarse por sí mismo.
“Cortar todo” es una orden sencilla. La gravedad, la presión residual y el fuego no tienen obligación de obedecerla.
4. Por qué desconectarlo todo puede empeorar la situación
“Al pulsar, desactivamos todas las salidas”. La especificación es sencilla. El programa también. Durante la recepción es fácil comprobar que todo se ha apagado. Pero una salida puede alimentar el accionamiento que origina el peligro y otra el equipo que protege frente a otro riesgo. Desconectar ambas no proporciona el doble de seguridad.
ISO 13850 exige que la parada de emergencia tenga prioridad, pero también prohíbe que reduzca la eficacia de otras funciones de protección. Incluso puede ser necesario mantener operativos equipos auxiliares, como dispositivos de sujeción electromagnética o frenos. No hay contradicción. Hay una obligación de averiguar qué depende de la alimentación antes de dibujar un corte común.
Hay que detener el accionamiento sin dejar caer la carga
Supongamos que una máquina transporta una pieza de acero mediante un dispositivo electromagnético que necesita alimentación continua. La retención de la carga depende de ese dispositivo y no existe una protección independiente frente a su liberación.
El proyectista incluye en el mismo corte los accionamientos de movimiento y la alimentación del dispositivo de sujeción. Al activar el E-STOP, los accionamientos se desconectan y el dispositivo deja de sostener la carga. La orden se ha ejecutado sin errores, incluida la parte que retiraba la sujeción.
No ha fallado el pulsador ni se ha pegado un contactor. El equipo ha hecho exactamente lo que se diseñó. El error consiste en tratar de la misma forma todos los receptores porque todos utilizan energía eléctrica.
El objetivo correcto es detener el desplazamiento peligroso y conservar una retención segura de la carga. La solución debe seleccionarse y verificarse para la construcción concreta. No existe una regla universal que ordene mantener energizado un circuito determinado; sí existe la obligación de conservar la eficacia de la sujeción.
“Pero después del E-STOP no debería quedar energía”. La gravedad no pasa por nuestro contactor. No va a desconectarse con él.
El sistema de extinción también puede desconectarse impecablemente
Veamos otro caso. Una máquina dispone de un sistema de extinción cuyo accionamiento requiere alimentación eléctrica. El mando y el elemento que libera el agente extintor se conectan al circuito interrumpido por el E-STOP.
El material se inflama. El operador activa la parada de emergencia. Los accionamientos se detienen, pero el material sigue ardiendo. El sistema de extinción ya no puede actuar porque acaba de perder su alimentación. Está en perfecto estado. Solo habría que conseguir que, durante un incendio, nadie utilizara antes la parada de emergencia. Esa condición no debe existir en el proyecto.
ISO 13850 cita expresamente la extinción de incendios como ejemplo de función de protección que no debe verse perjudicada. Eso no significa que durante un incendio el proceso deba continuar sin cambios. Hay que especificar qué acciones se interrumpen, qué fuentes de peligro se aíslan y cómo se mantiene la eficacia de la protección contra incendios.
“Desconectar todo” no resuelve esas cuestiones. Las evita con una sola orden.
La categoría 0 no significa “toda la máquina sin tensión”
ISO 13850 contempla una parada de emergencia de categoría 0 o 1, seleccionada a partir de la evaluación del riesgo. En la categoría 0, la energía de los elementos de accionamiento se elimina de inmediato. Esto no implica que el movimiento cese instantáneamente; puede ser necesario un frenado adicional.
En la categoría 1, la energía permanece disponible durante la detención y se elimina una vez alcanzada la parada. La categoría describe la forma de detener. No es una orden para desconectar todos los equipos que aparecen en el mismo esquema.
Elegir una categoría no evita tener que comprobar el dispositivo de sujeción, el freno o el sistema de extinción. Tampoco el tiempo de caída de un contactor demuestra por sí solo que el movimiento peligroso haya cesado de la forma adecuada ni que la detención no haya creado otro peligro.
No se trata de mantener acciones peligrosas bajo el pretexto de conservar la protección. Se trata de separar dos objetivos: interrumpir lo que amenaza y no inutilizar lo que debe seguir protegiendo. Lo apagaron todo. Con tanto cuidado que también apagaron la protección de la persona. La frase “parada de emergencia conforme a norma” no arregla eso.
En una emergencia no se convoca una reunión entre el diseñador, el programador y el responsable del proceso. Esa reunión debía haberse celebrado antes.
5. El operador no debería adivinar si pulsar empeorará la situación
“El operador sabe qué debe desconectar y en qué orden”. Puede ser una descripción válida para preparar una parada planificada. Como explicación de la parada de emergencia significa que parte de la tarea del sistema de mando se ha delegado en la memoria humana.
La persona debe reconocer el peligro, recordar las dependencias entre equipos y ejecutar la secuencia correcta, preferiblemente sin equivocarse porque el orden afecta a la seguridad. Se automatizó todo el ciclo productivo, pero para detenerlo de forma segura se decidió confiar en una operación manual.
ISO 13850 exige que la decisión de activar un dispositivo de parada de emergencia no requiera valorar previamente las consecuencias de su uso. La persona debe reconocer la necesidad de intervenir. No debería tener que calcular además si pulsar empeorará la situación.
Una acción humana no significa una sola acción de la máquina
La función se inicia mediante una sola acción humana. Después, los movimientos y acciones peligrosos deben detenerse de la manera prevista, sin que sea necesaria otra intervención. Esto puede exigir una secuencia predefinida. Una sola pulsación puede iniciar varias acciones coordinadas.
No existe obligación de desconectar todo al mismo tiempo ni permiso para que el operador complete manualmente lo que falta. Si la seguridad requiere un orden concreto, debe definirse durante el diseño. También deben especificarse las acciones que cesan, lo que permanece operativo y el estado que debe alcanzarse.
Escribir “parada secuencial” no responde por sí solo a esas preguntas. Tampoco se trata de automatizar cada operación posterior de rescate. El requisito de detener sin intervención adicional afecta a las acciones peligrosas de la máquina. Los medios independientes de liberación pueden requerir una operación consciente y controlada.
Una cosa es accionar una función prevista para liberar a una persona. Otra muy distinta es necesitar un segundo pulsador para detener un movimiento que sigue amenazándola.
Cada proveedor detuvo lo suyo. La alimentación continuó
Consideremos una línea que procesa perfiles largos. La máquina de mecanizado y el alimentador tienen sistemas de mando independientes. El dispositivo situado junto a la máquina detiene la herramienta, pero no el alimentador, que continúa introduciendo el perfil en la zona de trabajo.
Supongamos que ese avance puede aplastar a una persona. La herramienta ya está inmóvil. El material sigue desplazándose. La explicación del proveedor es clara: “El alimentador tiene su propio pulsador”. Es cierto. Pero la persona acaba de utilizar el dispositivo situado junto al peligro y no ha obtenido la reacción necesaria.
El reparto contractual entre proveedores está perfectamente delimitado. Solo falta conseguir que la emergencia también respete esos límites.
El análisis debe abarcar la interacción entre los equipos. Si la continuación de la alimentación mantiene el peligro considerado, la parada debe incluirla. Comprobar que cada máquina responde individualmente a su pulsador no demuestra la eficacia de la reacción de toda la línea.
Esto no significa que cada dispositivo deba detener toda la fábrica. Significa que el área de actuación no se define por el límite de un armario eléctrico ni por la empresa que escribió el programa.
“¿Qué pulsador?” debe resolverse antes de la emergencia
El punto de partida de ISO 13850 es que el dispositivo actúe sobre toda la máquina. La norma admite dividirla en áreas de actuación, por ejemplo, cuando detener todas las máquinas conectadas podría generar peligros adicionales o afectar innecesariamente a la producción.
La división exige una evaluación de la disposición de las máquinas, de la posibilidad de reconocer el peligro, de las consecuencias para el proceso y de los riesgos asociados. Las áreas pueden solaparse. Activar la parada en una de ellas no debe aumentar el riesgo en otra ni impedir que allí se active una parada de emergencia.
Evitar una interrupción innecesaria de la producción es legítimo. Mantener una alimentación peligrosa no se convierte por ello en optimización productiva.
La persona también debe poder asociar cada dispositivo con el peligro y reconocer su área de actuación. La norma permite utilizar la ubicación y los pictogramas, y recomienda evitar que sea necesario leer instrucciones o memorizar previamente la división. La identificación “S14” ayuda a localizar un pulsador en el esquema, pero no explica a quien está frente a la máquina qué equipos se detendrán.
La documentación eléctrica puede consultarse en una mesa. Durante una emergencia conviene que esa parte del proyecto ya esté resuelta. Cuanto más sencilla deba ser la acción humana, más precisa debe ser la reacción previamente diseñada.
Una interfaz sencilla no elimina el análisis. Debe ser su resultado.
Primero se define qué debe conseguir la función. Después se prueba. Si el criterio se escribe al final, cualquier máquina puede aprobar.
6. Anotar “E-STOP funciona” no sustituye la evaluación de la protección
“Se han comprobado todos los pulsadores. Resultado positivo”. El acta incluye referencias, fechas y firmas. Después de cada pulsación, la máquina se detuvo. Solo falta indicar qué se consideró una reacción correcta, además de que nada siguiera desplazándose.
El dispositivo se comprobó por su referencia en el esquema. A la función todavía había que imponerle requisitos.
Primero el criterio; después, el resultado positivo
Antes de probar hay que saber qué efecto debe alcanzarse. ¿Qué acciones deben cesar, en qué tiempo, dentro de qué área y bajo qué condiciones? ¿Qué debe seguir operativo? ¿Qué comportamiento indicará que los requisitos no se han cumplido?
Sin esas respuestas resulta fácil declarar correcto exactamente lo que se observó. ¿El accionamiento tardó varios segundos? Entonces, aparentemente, así debía detenerse. ¿La sección vecina siguió funcionando? Seguramente no pertenecía al área. Si la documentación no define nada, el resultado no puede contradecirla.
Cuando el criterio se redacta después de la prueba, es muy sencillo diseñar una máquina que siempre apruebe: basta con no exigir más de lo que acaba de hacer.
En la práctica, la comprobación puede organizarse así:
| Área | Qué debe determinarse | Qué debe documentarse o identificarse |
|---|---|---|
| Situación de emergencia | ¿Ante qué situación existente o inminente hace falta intervenir? ¿Quién puede iniciar la intervención? | Escenario, tareas humanas, estado de la máquina y ubicación del dispositivo de parada de emergencia accesible. |
| Efecto protector esperado | ¿Qué debe cambiar al activar la función? ¿Qué acción peligrosa debe interrumpirse o limitarse? | Estado requerido y condiciones para alcanzarlo; cuando proceda, acciones adicionales de protección y medios de liberación. |
| Reacción de la máquina | ¿Qué se detiene, en qué orden, dentro de qué tiempo y en qué área? | Descripción de la función, categoría de parada, secuencia, límites temporales e interacciones con otros equipos. |
| Protección restante | ¿Qué debe continuar funcionando? ¿La reacción crea otro peligro o empeora la situación en otra área? | Requisitos de las funciones conservadas, justificación de la solución y comprobación de su interacción. |
| Confirmación | ¿Cómo se ha demostrado que la ejecución satisface los requisitos definidos? | Resultados de análisis, ensayos y mediciones, condiciones de ejecución, configuración identificada y resolución de las desviaciones. |
Esta tabla es una propuesta para organizar la comprobación. No es un formulario de ISO 13850 ni un plan completo de validación. El alcance de análisis y ensayos debe adaptarse a la función, la máquina y el método de evaluación utilizados.
PL y SIL no completan una función mal especificada
ISO 13850 exige que las partes del sistema de mando relacionadas con la seguridad que ejecutan la parada de emergencia satisfagan los requisitos aplicables de ISO 13849-1 y/o IEC 62061. También establece un mínimo: PLr c o SIL 1.
Un mínimo no significa que ese nivel sea suficiente para cualquier aplicación. El nivel requerido debe determinarse para la función concreta, considerando su finalidad y los requisitos particulares aplicables. No basta con copiar el PL e de la ficha de un relé. Hay que evaluar la función, no solo uno de sus componentes.
Incluso un cálculo correcto del conjunto no sustituye la validación. ISO 13849-1:2023 diferencia entre comprobar el PL alcanzado y validar mediante análisis y ensayos. También exige comprobar que la especificación de la función sea completa y coherente con el uso previsto.
Ese punto es decisivo. La norma no pide limitarse a comprobar si el programador ejecutó fielmente una tarea mal planteada. También hay que verificar si la tarea estaba bien definida.
El resultado debe corresponder a la máquina construida
La comprobación no termina cuando cesa el movimiento. La función debe ser eficaz en todos los modos de funcionamiento, mantener la detención e impedir que una orden de puesta en marcha reinicie las acciones detenidas. El desbloqueo del dispositivo no debe provocar por sí mismo el rearranque. Estas condiciones también requieren comprobaciones apropiadas.
A cada conclusión conviene asociar pruebas que confirmen el funcionamiento de la función: la entrada correspondiente del acta, una medición, un análisis y las versiones del esquema y del programa. Un archivo titulado “prueba de seguridad” no basta si no indica qué se comprobó ni con qué criterio se declaró correcto.
Los ensayos deben planificarse sin exponer a las personas. No se reproduce un atrapamiento con un ser humano para verificar la liberación. Se eligen métodos seguros de ensayo, análisis y simulación adecuados a la solución evaluada.
No haber comprobado algo no equivale a un resultado positivo, aunque el formulario solo ofrezca una casilla.
Y después de confirmar la reacción de emergencia sigue pendiente una pregunta distinta: ¿es adecuada la protección preventiva? Un E-STOP bien ejecutado no satisface el requisito que debía cumplir un resguardo ausente o un acceso diseñado de otra manera.
Si el acta no pregunta qué ocurrió con el peligro, el resultado positivo no debería tranquilizar demasiado a nadie.
Comprobar que la máquina se detuvo es comprobar una detención. La seguridad de la persona puede seguir pendiente.
7. Una protección no es la promesa de que habrá algo que pulsar
Una función preventiva de seguridad debe evitar un suceso peligroso determinado. La función de parada de emergencia debe permitir una intervención adecuada cuando la situación ya existe o es inminente. Ambas requieren diseño y comprobación. Una no realiza la tarea de la otra solo porque las dos puedan detener un accionamiento.
Un proyecto no queda completo por incorporar un pulsador de parada de emergencia si carece de protección frente a un suceso previsible. No lo completan la formación del operador, un PL elevado ni una prueba favorable limitada al cese del movimiento.
La propia intervención de emergencia exige más que decidir qué salidas desconectar. Debe especificarse una detención apropiada, conservar la protección necesaria y prever las acciones requeridas para controlar la situación. Es trabajo de diseño. La persona que está junto a la máquina no debería tener que terminarlo en el momento del peligro.
No se trata de restar importancia al E-STOP. Se trata de no atribuirle una protección que no proporciona y de no privarlo de las acciones que puede necesitar una intervención eficaz.
La parada de emergencia debe ayudar a controlar una situación peligrosa. No justificar la falta de protección frente a su aparición. Si, después de toda la evaluación, solo podemos afirmar “la máquina se detuvo”, habremos verificado la detención. Para proteger a la persona quizá todavía quede bastante trabajo.
La parada de emergencia complementa la protección. No compra, con un pulsador rojo, permiso para prescindir de ella.
Fuentes y notas
La base del análisis es ISO 13850:2015. Las referencias siguientes identifican las disposiciones utilizadas en el artículo. Los enlaces conducen a las fichas en inglés del editor, no a copias públicas del texto completo. Los artículos relacionados de Safety Software amplían algunos temas, pero no sustituyen las fuentes normativas.
[1] Finalidad de la función y carácter complementario. ISO 13850:2015, apartados 3.1, 3.5, 3.8 y 4.1.1.1–4.1.1.3: finalidad de la parada de emergencia, inicio por una persona, conceptos de función de seguridad y situación de emergencia, y prohibición de sustituir las demás medidas de protección. La distinción del artículo se refiere a la tarea preventiva de una función y a la intervención de emergencia; no excluye la parada de emergencia de las funciones relacionadas con la seguridad.
[2] Cortina y detención antes del contacto peligroso. ISO 12100:2010, apartados 6.3.2.5.1–6.3.2.5.2: condiciones para utilizar equipos de protección sensibles, posibilidad de detener, posición del campo de detección e interacción con el sistema de mando. La norma remite a ISO 13855 para el posicionamiento. El ejemplo no constituye un cálculo de distancia ni una selección completa de cortina.
[3] Posibilidad de intervención humana y límites de las instrucciones. ISO 12100:2010, apartados 5.5.2.3.3 y 6.1: factores que influyen en la posibilidad de evitar o limitar el daño y prohibición de sustituir las medidas de protección adecuadas por información para el usuario. ISO/TR 14121-2:2012, apartado 8.4, presenta la parada de emergencia como ejemplo de medida que actúa principalmente sobre la posibilidad de evitar o limitar el daño. Es una orientación de un informe técnico, no una base para reducir automáticamente un valor en un gráfico de riesgo. Para la accesibilidad de los dispositivos, véase ISO 13850:2015, apartados 4.3.1–4.3.2.
[4] Acciones adicionales y liberación de personas. ISO 13850:2015, objeto y campo de aplicación, apartados 4.1.1.2 y 4.1.1.5: conservación de la eficacia de otras funciones de protección y posibilidad de iniciar acciones distintas de la detención. Los requisitos detallados de esas acciones no forman parte del alcance de ISO 13850. ISO 12100:2010, apartados 6.3.5.2–6.3.5.3, diferencia la parada de emergencia de los medios destinados a liberar y rescatar personas atrapadas.
[5] Conservación de otras protecciones y categorías de parada. ISO 13850:2015, apartados 4.1.1.2, 4.1.1.4–4.1.1.5 y 4.1.3. La norma menciona, entre otros ejemplos, la liberación de personas, la extinción de incendios y la posible necesidad de mantener operativos dispositivos electromagnéticos de sujeción o frenos. La descripción de las categorías 0 y 1 no implica que todo el equipo deba aislarse de todas las fuentes de energía.
[6] Una acción humana, secuencias y áreas de actuación. ISO 13850:2015, apartados 4.1.1.1, 4.1.1.5–4.1.1.6 y 4.1.2–4.1.2.1: reacción adecuada sin otra intervención para detener, posibilidad de una secuencia definida, diseño de los efectos del dispositivo y condiciones para dividir áreas. El análisis de la interacción entre distintos proveedores es una aplicación práctica de estos requisitos.
[7] PL, SIL, mantenimiento de la parada y rearme. ISO 13850:2015, apartado 4.1.5.1: aplicación de ISO 13849-1 y/o IEC 62061, mínimo PLr c o SIL 1 y posibilidad de compartir elementos. Los apartados 4.1.1.2 y 4.1.4 establecen la disponibilidad de la función, el mantenimiento de la parada y un rearme que no provoque el rearranque. En una aplicación concreta también deben considerarse los requisitos particulares aplicables, incluida la norma de tipo C correspondiente.
[8] Requisitos de la función y validación. ISO 13849-1:2023, capítulo 8 y apartados 10.1.1, 10.2 y 10.4.1: comprobación del PL alcanzado, validación mediante análisis y ensayos, comprobación de integridad y coherencia de la especificación, y definición previa del plan de ensayos y los resultados esperados. La tabla del artículo es una propuesta de organización de la información, no un plan completo de validación aplicable sin adaptación.
[9] Contexto jurídico de la Unión Europea. Directiva 2006/42/CE — texto en inglés en EUR-Lex, anexo I, apartados 1.2.4.3–1.2.4.4, y Reglamento (UE) 2023/1230 — texto en inglés en EUR-Lex, anexo III, apartados 1.2.4.3–1.2.4.4: carácter complementario de la parada de emergencia, ausencia de riesgos adicionales, movimientos de protección y detención de equipos relacionados cuya continuación pueda resultar peligrosa. La aplicación general del Reglamento comienza el 20 de enero de 2027; sus artículos 52 y 54 establecen las disposiciones transitorias y la fecha. La mera referencia a una norma no constituye una afirmación sobre su armonización respecto de un acto jurídico concreto.
Carácter de los ejemplos y límites de aplicación. Los puestos, sistemas de alimentación, anotaciones documentales y declaraciones utilizados son ejemplos teóricos. No describen un accidente investigado ni constituyen instrucciones de rescate para una máquina específica. La separación de elementos, la liberación de presión y la inversión de movimiento requieren un diseño adecuado y una evaluación de sus consecuencias. El artículo analiza la función y la lógica de la parada de emergencia, pero no reproduce todos los requisitos de ISO 13850; su alcance y excepciones se establecen en el capítulo 1 de la norma.