Las decisiones más peligrosas en el ámbito de la seguridad de las máquinas son las que se toman con la convicción de que el asunto ya ha quedado resuelto de forma definitiva.
En un proyecto aparece un peligro. Alguien propone una acción rápida: añadamos un resguardo, instalemos una cortina, implementemos una función de seguridad en el control. Da la sensación de que el problema queda cerrado. En la documentación se incorpora la medida de protección, en la tabla de evaluación del riesgo el valor baja y el equipo continúa con lo siguiente.
Y más tarde resulta que:
- un resguardo pesado genera una nueva zona de aplastamiento,
- un enclavamiento dificulta el acceso a los ajustes y fomenta su manipulación o el bypass,
- el dispositivo de protección se colocó sin verificar de manera real el tiempo de parada,
- un elemento adicional en la cadena de seguridad alteró la dinámica del sistema de una forma que nadie analizó.
No son errores por desconocimiento.
Son errores por simplificar en exceso.
Una medida de protección es una modificación de diseño. Cambia la geometría de la máquina, la accesibilidad, la forma de operación, la secuencia de actuaciones ante una incidencia, el comportamiento del accionamiento y la respuesta del sistema de control. Cualquier modificación de este tipo altera la estructura de peligros: a veces de forma evidente y, otras, de manera muy sutil.
En la práctica industrial se observa con frecuencia un planteamiento lineal: existía el peligro A → añadimos una protección → el peligro A “desapareció”. Sin embargo, la realidad no es lineal. Un cambio en un punto puede desplazar el riesgo a otras zonas menos visibles.
Y precisamente ese terreno —cuando una protección, en lugar de estabilizar el conjunto, introduce nuevas tensiones técnicas— es el que exige un análisis sereno y estrictamente ingenieril.
El primer error que suele aparecer tras “añadir una protección” es asumir que el cambio es local: que afecta solo a un peligro concreto y no impacta en el resto del sistema.
En la práctica, cualquier medida de protección interviene en la construcción de la máquina o en su control. Y eso implica que interviene en:
- la cinemática,
- la accesibilidad al espacio de trabajo,
- los tiempos de respuesta,
- la manera de realizar tareas de ajuste y mantenimiento,
- la forma de responder ante anomalías e incidencias.
Si estos cambios no se analizan de forma global, es muy fácil que se produzca un efecto de desplazamiento del riesgo.
1. El resguardo como fuente de nuevos peligros mecánicos
El ejemplo más habitual es el resguardo mecánico. Su función es evidente: limitar el acceso a la zona peligrosa. Y, en muchos casos, lo consigue de manera eficaz.
El problema aparece cuando el diseño se centra únicamente en la separación, pasando por alto las características físicas del propio resguardo.
Un resguardo abatible pesado añade masa.
Más masa implica energía potencial.
La energía potencial conlleva posibilidad de caída, atrapamiento por aplastamiento o impacto.
Si no se ha analizado el recorrido del resguardo, su sistema de soporte y su estabilidad en posición abierta y cerrada, el medio de protección pasa a ser un nuevo elemento móvil del sistema. Y genera sus propias zonas de peligro.
En la práctica, el escenario es de lo más común: el operario abre el resguardo, lo sujeta con una mano y con la otra introduce el brazo para intervenir; alguien pasa cerca y lo golpea, o bien la bisagra, tras un año de uso, empieza a trabajar con holgura. En ese momento, el resguardo deja de ser una “barrera” y se convierte en un elemento dinámico.
No se trata de un caso marginal.
Es la consecuencia directa de ignorar que el propio medio de protección puede ser, por sí mismo, una fuente de energía y movimiento.
2. Dispositivo de protección sin verificación de parámetros de seguridad
En planta se repite con frecuencia el mismo patrón: se instala una cortina fotoeléctrica, se conecta a un controlador de seguridad, se fija la distancia “según catálogo” y se da el tema por resuelto.
Sin embargo, la mera instalación de un dispositivo de protección no demuestra, por sí sola, una reducción del riesgo eficaz.
Para poder hablar de eficacia real, deben cumplirse al menos tres condiciones técnicas.
a) Verificación del tiempo real de parada
La distancia entre el dispositivo de protección y la zona peligrosa no puede fijarse “por experiencia”. Debe derivarse de cálculos conforme a la ISO 13855, basados en:
- el tiempo real de parada de la máquina (incluida la inercia del sistema),
- el tiempo de respuesta del dispositivo de protección y del sistema de control,
- del tiempo de reacción de la persona,
- y de las constantes geométricas derivadas del tipo de equipo.
Palabra clave: real.
El tiempo de parada debe determinarse mediante medición, en condiciones representativas del peor caso: con carga máxima, a la mayor velocidad, y considerando la evolución con el tiempo (desgaste de los elementos de frenado, tolerancias, temperatura). No el de catálogo. No el declarado. No un valor “típico”.
Si no se ha realizado esa medición, no existe evidencia de que la distancia de seguridad se haya definido correctamente. Y sin una distancia correcta, no hay prueba de que el dispositivo de protección evite de forma efectiva que se alcance la zona peligrosa antes de que el movimiento se haya detenido.
En estas condiciones, la protección puede funcionar de manera lógicamente correcta, pero resultar físicamente ineficaz.
b) Verificación de la función de seguridad y del Performance Level
El segundo punto es la verificación de la función de seguridad conforme a ISO 13849-1.
El dispositivo de protección es solo un eslabón de la cadena. La función de seguridad incluye:
- el sensor (p. ej., una cortina),
- la lógica (controlador de seguridad, relés),
- los elementos finales (contactores, válvulas, accionamientos),
- la estructura de la arquitectura (categoría),
- los parámetros de fiabilidad (MTTFd, DC, CCF).
Si no se han realizado los cálculos del Performance Level y no se ha demostrado que el PL alcanzado ≥ el PLr requerido derivado de la evaluación de riesgos, formalmente no hay confirmación de que la función de seguridad proporcione el nivel de reducción de riesgo exigido.
Un error habitual es asumir: “la cortina tiene PL e, por tanto estamos seguros”.
No es la cortina la que debe cumplir el nivel requerido.
Quien debe cumplirlo es la función de seguridad completa.
Si la cadena de parada incluye un componente con fiabilidad insuficiente, un único contactor sin supervisión o falta diagnóstico, el PL real puede quedar por debajo del exigido. Y en ese caso, la eficacia de la medida de protección pasa a ser una suposición, no un hecho verificado.
c) Coherencia funcional: no solo eléctrica
El tercer ámbito es la integración de la función de seguridad con el proceso productivo.
Incluso con una distancia correctamente calculada y un Performance Level verificado de forma aparentemente correcta, la medida puede no ser eficaz si:
- el rearme puede realizarse desde una posición que permite volver a acceder a la zona de peligro,
- el rearranque se produce automáticamente al liberar el dispositivo de protección,
- no se han considerado los estados transitorios (p. ej., movimientos residuales, inercia de los ejes),
- no se ha verificado el comportamiento ante un fallo parcial del sistema.
La función de seguridad no debe limitarse a estar “conectada”: tiene que ser lógicamente correcta y estar verificada para el escenario completo de funcionamiento de la máquina.
Si cualquiera de estos elementos (tiempo de parada, distancia según ISO 13855, PL/PLr según ISO 13849-1, lógica de rearme y rearranque) no se ha comprobado con rigor, no hay evidencia de una reducción del riesgo efectivamente conseguida.
Y el problema es más profundo.
En ese caso, no solo no se ha demostrado la eficacia del resguardo o del dispositivo de protección. En esta fase, además, se introducen nuevas situaciones peligrosas. El operario recibe el mensaje de que el espacio está protegido. Su comportamiento cambia: se aproxima con mayor rapidez, reduce distancias y actúa con más determinación. Pero si el tiempo real de parada es mayor que el considerado en el diseño, se genera una situación en la que la persona entra en la zona de influencia del peligro antes de que el movimiento peligroso quede detenido.
Esto constituye, en términos normativos, una situación peligrosa: una circunstancia en la que una persona está expuesta al menos a un peligro.
De forma análoga, con un Performance Level verificado de manera incorrecta: si la función de seguridad no alcanza el PLr requerido, en condiciones de fallo único o de pérdida de capacidad de diagnóstico puede producirse la pérdida de la función de parada. Entonces nos encontramos con una situación en la que:
- el peligro sigue presente,
- la persona presupone su reducción,
- y el sistema no ejecuta la función de seguridad conforme a lo previsto.
Esto no es “documentación incompleta”.
Es una situación peligrosa nueva, de carácter estructural, introducida en la fase de diseño.
3. Cuando la protección cambia la forma de trabajar — y con ella la estructura del riesgo
Cualquier medida de protección no solo modifica la geometría de la máquina o los parámetros de parada. También cambia la manera en que se realiza el trabajo.
Precisamente en este punto es donde, con mucha frecuencia, aparecen nuevas situaciones de riesgo: no porque el resguardo “no funcione”, sino porque el diseño no contempló cómo se va a utilizar realmente en planta.
a) Acceso difícil = intervenciones improvisadas
Cuando un resguardo dificulta de forma significativa el acceso para ajustes, limpieza o cambios de formato, el operario tiende a “acortar” el procedimiento:
- deja el resguardo parcialmente abierto,
- puentea el final de carrera,
- realiza tareas con movimientos residuales,
- interviene con una parada no garantizada.
Esto no es, en esencia, un problema de “falta de disciplina del trabajador”.
Es la consecuencia de un diseño que no ha tenido en cuenta la frecuencia real y la naturaleza de la tarea.
En ese momento se materializa la situación peligrosa: la persona entra en un espacio que, según el planteamiento, debía ser inaccesible durante el movimiento, y el sistema ya no es capaz de imponer condiciones seguras.
La protección no se ha retirado.
Se ha integrado su bypass en el propio proceso.
b) Una protección que desestabiliza la secuencia de trabajo
Toda función de seguridad introduce condiciones lógicas:
- paro por intrusión,
- bloqueo de arranque,
- rearme,
- confirmación de condiciones iniciales.
Si la secuencia para volver a producción es demasiado compleja, poco coherente o difícil de interpretar, aumenta la probabilidad de actuaciones fuera del escenario previsto.
Por ejemplo:
- rearme realizado sin control visual de la zona,
- puesta en marcha con movimientos residuales presentes,
- intervención en modo servicio sin desenergización completa.
Cada uno de estos casos constituye una situación peligrosa: la persona se encuentra dentro del espacio de influencia del peligro sin que se cumplan las condiciones de seguridad.
Desde el punto de vista de la evaluación de riesgos, esto no es un «error del usuario».
Es una carencia de análisis sobre cómo la medida de protección ha modificado la dinámica del conjunto.
c) Conflicto entre seguridad y ergonomía
Si una medida de protección:
- limita la visibilidad de la zona de trabajo,
- obliga a adoptar posturas corporales forzadas,
- incrementa la carga física,
- alarga el tiempo de ciclo de forma relevante desde el punto de vista operativo,
entonces aumenta la probabilidad de conductas no deseadas.
Y el aumento de la probabilidad es uno de los dos elementos que definen el riesgo.
En la práctica, se ve así:
El diseño prevé un acceso seguro con el resguardo cerrado.
El operario, para poder ver la pieza, se inclina e introduce la mano por debajo del borde inferior.
La protección existe físicamente.
La situación peligrosa sigue produciéndose.
La protección no ha eliminado el riesgo.
Ha cambiado su configuración.
4. Enfoque lineal frente a análisis sistémico
Todos los casos descritos comparten una misma causa: un enfoque lineal en la reducción del riesgo.
Peligro → medida de protección → problema resuelto.
Sin embargo, cualquier modificación constructiva en un sistema técnico debe tratarse como una nueva configuración del conjunto.
Una nueva configuración implica:
- nuevas condiciones de trabajo,
- nuevos puntos de acceso,
- nuevas trayectorias de movimiento,
- nuevos escenarios de perturbación,
- nuevas situaciones de peligro.
Si, tras implantar una medida de protección, el diseño no vuelve a la fase de identificación de peligros, la evaluación queda incompleta, aunque la documentación “tenga buena pinta”.
Ahí está la diferencia clave entre “tener un resguardo” y conseguir una reducción del riesgo real y verificable.
5. Por qué las soluciones intrínsecamente seguras son más robustas
Si se analiza con criterio la estructura típica de los fallos de diseño, aparece un patrón claro: la mayoría de los problemas surgen cuando la seguridad se “añade” al final, en lugar de integrarse desde el concepto.
Las soluciones constructivas intrínsecamente seguras no funcionan igual que las medidas de protección. No se limitan a impedir el acceso al peligro: reducen o eliminan el propio peligro en su origen.
Algunos ejemplos son muy directos:
- reducir la energía cinética limitando la velocidad o la masa,
- limitar el par a un nivel seguro en caso de colisión,
- disminuir la fuerza de apriete,
- redondear cantos en lugar de cubrirlos,
- modificar la geometría para eliminar un punto de aplastamiento,
- emplear un accionamiento con una característica de parada controlada.
En estos casos, el riesgo disminuye porque se reduce la energía disponible en una situación peligrosa o desaparece el mecanismo que permite su liberación.
Es una reducción cualitativamente distinta a la de “poner una barrera”.
Si reduces la velocidad, reduces la energía en cualquier escenario.
Si reduces la fuerza, reduces la gravedad del posible daño.
Si eliminas un punto de aplastamiento mediante la geometría, deja de existir un mecanismo concreto de lesión.
En muchos casos, eso evita tener que “construir” la seguridad a base de lógica adicional de control, rearme y secuencias complejas. La bajada del riesgo es estructural.
Por eso, por su propia naturaleza, estas soluciones resultan más robustas.
6. ¿Pueden las soluciones intrínsecamente seguras generar nuevas situaciones de peligro?
Es posible. Pero el mecanismo es distinto — y normalmente menos frecuente.
Ejemplo: una reducción de la velocidad o de la fuerza en el proceso puede incrementar el número de perturbaciones (deslizamientos, desplazamientos de la pieza, atascos más recurrentes). Como consecuencia, aumentan las intervenciones manuales. Y cuando crece el número de intervenciones, crece también el número de momentos en los que la persona entra en zonas de influencia del peligro — es decir, aparecen nuevas situaciones peligrosas.
No es un “efecto secundario” directo del diseño.
Es el resultado de cambiar la estabilidad del proceso y la frecuencia de intervención.
La diferencia, sin embargo, es que en las soluciones intrínsecamente seguras el cambio afecta a la fuente de energía o a la geometría, y no únicamente al acceso. Por eso, la cantidad de nuevas situaciones peligrosas suele ser menor que cuando se recurre a medidas añadidas a posteriori.
7. Diferencia fundamental
Una medida de protección dice:
“El peligro existe; limitaremos el acceso a ese peligro”.
Una solución intrínsecamente segura dice:
“Modificaremos el peligro o lo eliminaremos”.
El primer enfoque crea condiciones.
El segundo cambia la física del sistema.
Por eso, en la práctica de diseño, lo más seguro es empezar por reducir la energía, modificar la geometría y eliminar el mecanismo de peligro, y solo después — si es necesario — recurrir a medidas técnicas y complementarias.
No es una cuestión de filosofía.
Es una cuestión de estabilidad.
8. Los nuevos peligros forman parte del proceso. No deben ignorarse.
El problema con los llamados “riesgos secundarios” es que se tratan como algo irrelevante: una pequeña molestia tras implantar un resguardo, algo que “ya se matizará más adelante”.
Sin embargo, desde el punto de vista del método de evaluación de riesgos, no es un detalle.
Es un punto crítico del proceso.
Cualquier incorporación de una medida de protección altera la configuración del sistema. Y un cambio de configuración implica la posibilidad de que aparezcan nuevas situaciones peligrosas.
Si, tras reducir el riesgo, no se vuelve a la identificación de peligros, el proceso queda interrumpido. No está finalizado — queda abierto, sin cerrar.
En la práctica, es justo aquí donde suele abrirse la brecha: el peligro A se ha reducido formalmente, pero aparece un peligro B — menos evidente, más difícil de detectar, y a menudo vinculado a la operación, el rearme, los accesos y la dinámica de la parada.
Ignorar esta fase implica que la reducción del riesgo se queda en una aplicación parcial.
9. La iteración que no se puede «pasar por alto»
Por eso, en un proceso de reducción del riesgo bien planteado, tras cada etapa debe formularse siempre la misma pregunta:
¿Las medidas de protección aplicadas han generado un nuevo peligro?
Si la respuesta es «sí» — el análisis vuelve a la identificación.
Si la respuesta es «no» — debe ser una decisión consciente y justificada, no un simple «seguir» por inercia.
Ese es exactamente el mecanismo que SafetySoftware.eu controla de forma explícita: tras la etapa de reducción del riesgo, el sistema obliga a decidir si las medidas de protección implantadas han introducido nuevos peligros. No permite continuar sin adoptar una postura.
No es una función meramente «estética».
Es una salvaguarda del proceso frente a una simplificación lineal.
Porque los errores más graves no suelen venir de la ausencia de protecciones.
Vienen de no iterar.
Y la seguridad de máquinas empieza precisamente cuando termina el razonamiento de: «hemos añadido una protección, así que ya estamos seguros».