Límites de conformidad para el reinicio por Ethernet y la supervisión del estado del PLC de los dispositivos de seguridad

La fea verdad sobre la supervisión del estado del PLC

La supervisión del estado del PLC no es lo mismo que el control de seguridad. Es visibilidad. Es diagnóstico. Es una forma de saber si una cortina fotoeléctrica de seguridad está despejada, bloqueada, averiada, silenciada, lista para reinicio o pidiendo a gritos mantenimiento antes de que el supervisor de línea empiece a culpar a “problemas con los sensores”.”

Eso es peligroso.

Se vuelve peligroso cuando una planta trata tranquilamente una entrada PLC normal, un botón de reinicio HMI o una etiqueta de diagnóstico EtherNet/IP estándar como si tuvieran el mismo peso legal que un circuito de parada de seguridad, un bloque de funciones PLC de seguridad validado o un enclavamiento de reinicio aplicado correctamente. ¿Por qué siguen cometiendo ese error tantas fábricas?

Porque el tiempo de actividad seduce a la gente.

Tengo una opinión muy dura al respecto: muchas instalaciones de “seguridad inteligente” son en realidad circuitos de seguridad antiguos con pantallas más bonitas. La HMI parece moderna. El cuadro de mandos tiene iconos verdes. El equipo de mantenimiento puede ver el estado del dispositivo desde la sala de control. Pero si la ruta de restablecimiento, la respuesta a fallos y la lógica de reinicio no están integradas en una arquitectura de seguridad, el sistema no es más inteligente. Simplemente es más fácil de malinterpretar.

La propia OSHA guía del dispositivo detector de presencia dice que las cortinas fotoeléctricas deben detener la máquina cuando se interrumpe el campo de detección, deben impedir la siguiente carrera después de determinados fallos y no deben dejar puntos de entrada sin protección alrededor del peligro. Esa es la verdadera conversación sobre conformidad, no si el PLC puede mostrar “LC_CLEAR = 1”.”

Si va a elegir el hardware ahora, empiece por el dispositivo de protección propiamente dicho, no por el cuadro de mandos. A gama de productos de cortinas ópticas de seguridad le proporciona la capa de protección física; la supervisión del estado del PLC sólo informa de lo que está haciendo esa capa.

El restablecimiento de Ethernet parece eficaz. También Puede Parecer Terrible Después de una Lesión

El restablecimiento de Ethernet es una de esas funciones que suenan inofensivas en una reunión. “¿Podemos resetear el dispositivo de seguridad desde la HMI?”. “¿Puede mantenimiento borrar ese fallo de la cortina de luz a través de EtherNet/IP?”. “¿Puede el supervisor resetear el lidar de seguridad desde el panel central?”.”

Técnicamente, tal vez.

Legal y prácticamente, más despacio.

La línea que yo trazaría es sencilla: Ethernet puede ser aceptable para diagnósticos, solicitudes de reinicio supervisadas, registro de eventos y configuración de dispositivos en condiciones controladas, pero no debe convertirse en una ruta de reinicio remoto casual para movimiento peligroso. Reiniciar no es arrancar. Reiniciar no es dar permiso para moverse. El restablecimiento no es un borrador mágico para un resguardo bloqueado, un enclavamiento anulado o una persona que sigue de pie dentro de una zona protegida.

ODVA describe CIP Safety como un sistema que proporciona comunicación a prueba de fallos entre bloques de E/S de seguridad, cortinas fotoeléctricas de seguridad, interruptores de enclavamiento de seguridad y controladores de seguridad, con soporte hasta SIL 3 según IEC 61508. También explica que CIP Safety utiliza marcas de tiempo de seguridad, identificadores, métodos CRC/checksum, redundancia y protecciones de identidad de seguridad a nivel de dispositivo, en lugar de confiar ciegamente en el tráfico de red ordinario. Esta distinción es importante. La mensajería Ethernet estándar y la comunicación de red clasificada de seguridad no son el mismo animal.

Ésta es la regla interna que yo utilizo: si la señal Ethernet sólo indica el estado, debe estar en supervisión. Si la señal Ethernet puede eliminar una parada de seguridad, activar el movimiento o cambiar el comportamiento de reinicio, debe estar en un archivo de validación de seguridad documentado.

Y sí, más vale que ese expediente sobreviva a una revisión hostil.

El límite del cumplimiento: qué puede y qué no puede hacer la supervisión PLC

La supervisión del estado del PLC funciona mejor cuando se trata como un testigo, no como un juez.

Un PLC estándar puede recoger señales útiles de los dispositivos de seguridad: salidas auxiliares, retroalimentación de estado OSSD, estado EDM, indicadores de muting, condiciones de bypass, retroalimentación de relé de seguridad, estado de solicitud de reset, códigos de fallo y estado de las comunicaciones. Estos datos son esenciales para reducir los tiempos de inactividad. Ayuda al mantenimiento a detectar lentes sucias, fallos en los cables, desviaciones de alineación, reflectores inestables, sincronización incorrecta del muting y disparos molestos.

Pero tiene límites.

Función	Normalmente aceptable mediante la supervisión estándar del PLC	Requiere diseño/validación de seguridad	Por qué es importante
Estado de la cortina de luz bloqueada/despejada	Sí	No, si es de sólo lectura	Útil para el diagnóstico y la orientación del operador
Registrar los fallos del dispositivo de seguridad con marca de tiempo	Sí	No, si es de sólo lectura	Ayuda a demostrar el historial de mantenimiento
Mostrar la condición de listo para reinicio en la HMI	Sí	Depende de la arquitectura	La pantalla no es la función de reinicio
Enviar comando de reinicio remoto de Ethernet	Arriesgado	A menudo sí	El reinicio puede afectar al comportamiento de reinicio peligroso
Detener el movimiento peligroso	No	Sí	La protección del personal debe utilizar un control de seguridad
Supervisar la retroalimentación de dispositivos externos / EDM	Tal vez	Sí, cuando forma parte de la función de seguridad	Los contactores pueden soldarse; la retroalimentación debe tratarse correctamente
Modificar las zonas de seguridad o la lógica de muting a través de la red	Arriesgado	Sí	Los cambios de configuración afectan a la función de protección
Reinicie la máquina después de que el dispositivo de seguridad desaparezca	No	Sí	El reinicio automático tras el acceso puede ser mortal

El mejor movimiento de ingeniería es separar el sistema en dos capas. La capa de seguridad detiene los peligros. La capa de control explica lo ocurrido. Cuando las dos se confunden, las investigaciones se ponen feas.

Por eso importan los modelos con auténticas características orientadas a la seguridad. Por ejemplo, un cortina óptica de seguridad de alta precisión con soporte EDM es un punto de partida más serio que un sensor fotoeléctrico genérico conectado a una tarjeta de entrada normal. Lo mismo ocurre cuando un proyecto necesita dimensiones especiales, un comportamiento de doble salida o un estado orientado al PLC; un Cortina fotoeléctrica no estándar preparada para PLC tiene más sentido que forzar un sensor estándar en un marco de máquina extraño.

A los archivos de accidentes no les importa su salpicadero

Aquí es donde la conversación se vuelve menos cómoda.

En el año fiscal 2024, la OSHA incluyó la protección de máquinas según 29 CFR 1910.212 entre sus 10 normas más citadas. OSHA también informó de 34.696 inspecciones federales en el año fiscal 2024 y señaló que la agencia y los socios estatales cubren alrededor de 130 millones de trabajadores en más de 8 millones de lugares de trabajo. En otras palabras, la aplicación de la ley es escasa, pero cuando algo va mal, el rastro documental es muy ruidoso.

La Oficina de Estadísticas Laborales de EE.UU. informó de 5.070 accidentes de trabajo mortales en 2024, por debajo de los 5.283 de 2023, con un trabajador que muere cada 104 minutos por una lesión relacionada con el trabajo. No se trata de una estadística exclusiva de la protección de máquinas, pero es el telón de fondo que todo director de planta debería recordar antes de aprobar atajos en torno a la lógica de restablecimiento de la seguridad.

Mira los casos.

En septiembre de 2024, la OSHA dijo Hailiang Copper Texas se enfrenta a $253K en sanciones propuestas después de que un trabajador sufriera la amputación parcial de un brazo mientras trataba de retirar escombros cerca del equipo de bobinas de cobre. Según la OSHA, la planta no instaló los dispositivos de protección o bloqueo necesarios y expuso a los trabajadores a un contacto peligroso con las piezas móviles de las máquinas.

En diciembre de 2024, el Departamento de Trabajo dijo G&S Metal Products se enfrentó a $182K en multas después de que dos trabajadores sufrieran amputaciones en sendos incidentes con prensas mecánicas. Una de las prensas se detuvo inesperadamente mientras se realizaba el mantenimiento; otra se cerró sin previo aviso mientras se retiraba la chatarra. La OSHA citó protecciones inadecuadas, fallos de bloqueo y etiquetado, y escasa formación en seguridad de las máquinas.

En abril de 2024, el Departamento de Trabajo dijo Faurecia Emissions Control Systems se enfrenta a más de $300K en sanciones propuestas después de que un trabajador de 26 años muriera aplastado cerca de un equipo que dobla tubos de escape de vehículos. Según la OSHA, una protección adecuada de las máquinas y los procedimientos de bloqueo y etiquetado podrían haber evitado la tragedia.

Ningún inspector quedará impresionado por una brillante pantalla HMI si el movimiento peligroso puede reiniciarse desde el lugar equivocado, en el momento equivocado, sin una visión clara y verificada de la zona protegida.

Dónde ayuda realmente la supervisión de dispositivos de seguridad Ethernet/IP

No soy anti-red. Soy anti-fantasía.

La supervisión de dispositivos de seguridad EtherNet/IP puede ser excelente cuando se utiliza para las tareas adecuadas: diagnóstico de seguridad de la máquina, estado del dispositivo, estado de la zona, localización de fallos, pruebas de mantenimiento, visualización de disponibilidad de reinicio y prueba de que una demanda de seguridad se produjo a las 14:03:22 en lugar de “en algún momento antes del almuerzo”.”

Aquí es donde la supervisión del estado del PLC se gana su sustento.

Una buena arquitectura de supervisión debe mostrar:

• Nombre del dispositivo de seguridad, ubicación y zona de la máquina
• Estado OSSD o estado de salida segura
• Restablecer estado de solicitud
• Reiniciar estado de enclavamiento
• Estado de retroalimentación EDM
• Muting activo, fallo de muting o bypass activo
• Código de fallo y marca de tiempo
• Modo controlador de seguridad
• Última exigencia de seguridad
• Salud de la red, si se utiliza una comunicación clasificada de seguridad
• Historial de anulaciones de mantenimiento, si es que existe alguna.

Pero el diseño debe dejar una cosa muy clara: el PLC de supervisión no puede degradar silenciosamente la función de seguridad.

Si aún no ha seleccionado el tipo de dispositivo de protección, lea la sección guías de selección de dispositivos de seguridad antes de cablear nada. Para células más grandes, cintas transportadoras y áreas de automatización móviles, lidares de seguridad puede ser más adecuado que una cortina de luz fija. Para la retroalimentación de la posición del blanco metálico, una sensor de proximidad puede admitir diagnósticos, pero no debe confundirse con un dispositivo de protección de personal a menos que la función de seguridad completa esté diseñada con ese fin.

El problema del reajuste que nadie quiere asumir

Reajustar el diseño expone rápidamente la ingeniería débil.

Si un trabajador abre un resguardo, rompe una cortina de luz, pisa una célula robotizada o entra en una zona de prensas, la máquina no debe volver a arrancar sólo porque la señal vuelva a ser clara. Parece obvio. Sin embargo, las fábricas siguen creando sistemas en los que despejar el haz, hacer clic en un acuse de recibo de la HMI o ciclar un bit de red crea una cadena de reinicio que nadie ha probado por completo.

Pero aquí está la cuestión más difícil: restablecer la ubicación.

Por lo general, un botón de reinicio debe colocarse de modo que el operario pueda verificar que la zona de peligro está despejada antes de reiniciar la función de seguridad. Un restablecimiento Ethernet remoto desde una sala de control puede ser conveniente, pero ¿puede esa persona ver detrás de la prensa? ¿Puede ver el interior de la celda vallada? ¿Puede ver el punto ciego de alimentación del paletizador? ¿Puede ver al técnico de mantenimiento agachado junto a un atasco?

Si no es así, ¿por qué se les permite restablecerlo?

Para planificar el cumplimiento, utilice el sección de normas de seguridad de las máquinas como punto de partida y, a continuación, documente la evaluación real de riesgos de la máquina, el tiempo de parada, la distancia de seguridad, la ubicación de restablecimiento, el objetivo de nivel de rendimiento, el método de validación y el diseño del cableado. No deje que el equipo de compras reduzca el proyecto a “necesitamos Ethernet y el estado del PLC”.”

Esa frase es demasiado pequeña para el riesgo.

Una arquitectura práctica que realmente defendería

Esta es la arquitectura más limpia que yo defendería ante un responsable de seguridad, un cliente OEM o un investigador.

Capa de seguridad

Utilice dispositivos y lógica de seguridad para la protección del personal. Esto puede incluir cortinas fotoeléctricas de seguridad de tipo 4, relés de seguridad, PLC de seguridad, entradas de doble canal, EDM, desconexión de par segura, resguardos enclavados, alfombras de seguridad, lidares de seguridad y bloques de funciones de seguridad validados.

Capa de control

Utilice la capa estándar PLC, HMI, SCADA o MES para visibilidad de sólo lectura. Mostrar estado. Almacenar eventos. Aviso de mantenimiento. Tendencia de desconexiones molestas. Seguimiento de la frecuencia de reinicio. Identificar zonas con accesos repetidos. Pero no deje que esta capa se convierta en la autoridad para la parada o el reinicio seguros.

Restablecer capa

Utilice un método de restablecimiento que se ajuste a la evaluación de riesgos. El restablecimiento local por cable suele ser más limpio. El restablecimiento del PLC de seguridad puede ser aceptable cuando se valida. El restablecimiento por Ethernet debe tratarse como una excepción, no por defecto, especialmente cuando la visibilidad de la zona de peligro es incompleta.

Capa de documentación

Guarda las pruebas. Planos de cableado. Descripciones de las funciones de seguridad. Mediciones del tiempo de parada. Cálculos de la distancia de seguridad. Evaluación SISTEMA o equivalente cuando proceda. Registros de pruebas de validación. Registros de cambios. Reglas de permisos de la HMI. Política de contraseñas. Registros de autorización de anulación.

La planta que lo documenta bien parece profesional. La planta que no puede explicar quién puede restablecer qué, desde dónde y en qué condiciones parece temeraria.

Preguntas frecuentes

¿Qué es la supervisión de estado PLC para dispositivos de seguridad?

La supervisión del estado del PLC es el uso de entradas del controlador, etiquetas de seguridad, bits de diagnóstico y estados de la HMI para observar si los dispositivos de seguridad, como cortinas fotoeléctricas, enclavamientos, alfombras de seguridad y escáneres lidar, están en buen estado, bloqueados, listos para reiniciar, averiados, silenciados, anulados o exigiendo activamente una parada. Debe mejorar el diagnóstico, no sustituir al sistema de control de seguridad.

En la práctica, la supervisión del estado del PLC ayuda a los departamentos de mantenimiento y operaciones a entender por qué se ha parado una máquina. Puede reducir el tiempo de inactividad, sacar a la luz disparos repetidos y facilitar la resolución de problemas. Pero la función de parada en sí debe ser gestionada por un hardware de seguridad, una lógica validada y un comportamiento de restablecimiento documentado.

¿Puede el restablecimiento de Ethernet ser compatible con los dispositivos de seguridad?

El restablecimiento Ethernet es un comando de restablecimiento basado en la red que se envía a través de una HMI, un PLC, un controlador de seguridad o un protocolo industrial, y sólo puede considerarse conforme cuando la evaluación de riesgos, la arquitectura clasificada de seguridad, la ubicación del restablecimiento, la prevención del reinicio, el registro de validación y las normas aplicables a la máquina admiten ese método. No es automáticamente seguro porque sea digital.

El mayor riesgo es el rearme a distancia sin visibilidad. Si la persona que restablece el sistema no puede confirmar que no queda nadie en la zona de peligro, el diseño es deficiente. Un restablecimiento debe restablecer la disponibilidad; no debe crear un movimiento inesperado ni ocultar una situación insegura tras un icono verde de la HMI.

¿Por qué la supervisión estándar del estado de un PLC no basta para garantizar la seguridad de las máquinas?

La supervisión estándar del estado del PLC no es una función de seguridad porque las entradas ordinarias, los mensajes Ethernet, los bits HMI y las etiquetas de escalera no suelen estar diseñados, certificados o validados para proporcionar la tolerancia a fallos, la cobertura de diagnóstico, la reacción determinista y el comportamiento de reinicio necesarios para la protección del personal. La supervisión puede informar a las personas, pero no se puede suponer que las proteja.

Eso no significa que el PLC sea inútil. Significa que el PLC debe desempeñar el papel correcto. Que recoja los eventos, muestre el estado del dispositivo y alerte del mantenimiento. Deje que el relé de seguridad, el PLC de seguridad, el controlador de seguridad o la red de seguridad validada realicen la función de protección.

¿Cómo deben supervisar los ingenieros los dispositivos de seguridad con PLC sin crear riesgos de cumplimiento?

La supervisión segura de PLC significa separar la lógica de parada de seguridad de los diagnósticos que no son de seguridad y, a continuación, utilizar salidas auxiliares aprobadas, bits de estado del controlador de seguridad, registros de eventos e indicadores HMI de sólo lectura para informar del estado del dispositivo sin permitir que los comandos Ethernet ordinarios anulen, restablezcan o reinicien las funciones de protección. El límite debe ser intencionado, documentado y probado.

Una buena regla es sencilla: lea el estado libremente, escriba los comandos con cuidado. Cualquier comando que cambie el estado de reset, el estado de muting, el estado de bypass, la configuración de zona o el permiso de reinicio merece una revisión de seguridad. Si la función afecta a la posibilidad de que se produzca un movimiento peligroso, trátela como parte del sistema de seguridad.

¿Qué debe comprobarse antes de añadir la lógica de cumplimiento del circuito de seguridad de restablecimiento del PLC?

El cumplimiento del circuito de seguridad de restablecimiento del PLC significa que el diseño del restablecimiento debe revisarse en función de la evaluación de riesgos de la máquina, la ubicación del restablecimiento, la visibilidad de la zona de peligro, los requisitos de restablecimiento manual, la prevención de reinicio, la estructura de entrada con clasificación de seguridad, la retroalimentación EDM, la gestión de fallos, el control de acceso y los registros de validación. Un circuito de restablecimiento no es sólo un botón; es un comportamiento de seguridad controlado.

Antes de aprobarlo, prueba modos de fallo reales. Detenga el reinicio. Rompa la cortina de luz. Simule un contactor soldado. Interrumpa la comunicación de red. Apague y encienda el controlador de seguridad. Intente reiniciar desde la pantalla equivocada. Si la máquina sigue comportándose de forma predecible y segura, estará más cerca de un diseño defendible.

Sus próximos pasos

No compre la función de “restablecimiento de Ethernet” hasta que no sepa exactamente qué restablece, quién puede activarla, dónde se encuentra, qué puede ver y si la función de seguridad sigue siendo válida después de la orden.

Para una máquina nueva o una reconversión, empiece por definir el riesgo, la distancia de seguridad, el tipo de dispositivo de protección, la estructura de salida, el método de restablecimiento y las necesidades de supervisión. A continuación, adapte el producto al riesgo. Si la aplicación implica dimensiones personalizadas, diagnósticos orientados a PLC, EDM, salidas dobles, entornos difíciles o acceso por varios lados, envíe el diseño de la máquina, la altura de protección requerida, la resolución, el rango de detección, el tipo de salida, la tensión, los requisitos de cableado, el mercado objetivo y las expectativas de restablecimiento a través del Página de solicitud de presupuesto de cortinas de seguridad.