Qué exige realmente la norma ISO 13849 para las funciones de arranque, parada y reinicio

La mayoría de los equipos malinterpretan la norma ISO 13849 antes de echar el primer cable.

Aquí está la trampa.

Tratan “start”, “stop” y “reset” como tres verbos ordinarios del panel de control, cuando en realidad la norma ISO 13849-1:2023 plantea una pregunta más fría: ¿cuál de estas acciones forma parte de una función de seguridad, qué Nivel de Prestaciones requerido - PLr - ha asignado la evaluación de riesgos, y pueden las partes del sistema de control relacionadas con la seguridad, el SRP/CS, demostrar ese comportamiento en condiciones de fallo?

Eso lo cambia todo, ¿no?

Página propia de ISO para ISO 13849-1:2023 dice que la norma abarca el diseño y la integración de las partes relacionadas con la seguridad de los sistemas de control que realizan funciones de seguridad, incluido el software, en tecnologías eléctricas, hidráulicas, neumáticas y mecánicas. También dice algo que los compradores suelen ignorar: ISO 13849-1 no no especificar las funciones de seguridad necesarias o PLr para una máquina determinada. Esto se deriva de la evaluación de riesgos, las normas de tipo C, el diseño de la máquina y el peligro real.

Por eso, cuando alguien pregunta si la norma ISO 13849 exige un botón de reinicio, mi respuesta suele ser: pregunta equivocada.

La mejor pregunta es ésta: tras una parada de protección, un disparo del enclavamiento, una interrupción de la barrera inmaterial, una parada de emergencia, una pérdida de alimentación o un fallo, ¿puede la máquina volver a arrancar de forma que exponga a una persona a un movimiento peligroso?

En caso afirmativo, el reset no es un botoncito de cortesía. Forma parte del argumento de seguridad.

La norma no bendice sus pulsadores

Tengo una opinión muy firme al respecto: demasiados paneles de control están construidos como si el diseñador hubiera copiado un diseño antiguo y luego le hubiera espolvoreado etiquetas de seguridad. Arranque verde. Parada roja. Azul reset. Tal vez un selector con llave si el presupuesto sobrevive a la compra.

Teatro fino.

Pero los requisitos de la ISO 13849 no tienen que ver con el color, las placas de etiquetas o si la tapa del botón tiene un aspecto “suficientemente industrial”. La norma se preocupa por la función de seguridad: la entrada del sensor, el procesamiento lógico, la conmutación de salida, la detección de fallos, la cobertura de diagnóstico, la resistencia a fallos de causa común, el tiempo de respuesta y las pruebas de validación.

Eso significa que un botón de inicio suele no una función de seguridad por sí misma. Una función de parada puede serlo. Una función de reinicio a menudo se convierte en función de seguridad cuando restablece el permiso para funcionar después de una demanda de seguridad.

El resumen del DGUV de la cuarta edición de la norma EN ISO 13849-1 señala que la especificación de los requisitos de seguridad debe incluir elementos como el estado seguro, el PLr, el tiempo de respuesta permitido, los modos de funcionamiento activos, las interfaces de control de la máquina, el comportamiento tras la pérdida de energía y las condiciones que permiten el reinicio después de que se haya solicitado una función de seguridad. También establece que el restablecimiento manual necesita ahora un cambio de señal supervisado -prácticamente, un flanco ascendente o descendente- para reducir el mal uso previsible en el Resumen de la cuarta edición del DGUV.

La última frase es importante.

Un contacto de rearme soldado mantenido permanentemente alto no debe autorizar silenciosamente el reinicio. Una entrada de rearme atascada no debe convertirse en un puente mágico alrededor de un peligro. ¿Y una estación de rearme dentro de la zona de peligro? No me importa lo ordenado que parezca el diagrama de cableado; así es como se defienden las máquinas malas con dibujos bonitos.

Start, Stop, and Reset: La mesa que nadie quiere en la revisión del diseño

Antes de que nadie discuta sobre la Categoría 3 frente a la Categoría 4, o PL d frente a PL e, obligue al equipo a definir qué hace realmente cada función. Yo utilizaría esta tabla en la primera revisión del diseño, no en la última.

Función	Lo que la gente cree que significa	Lo que la norma ISO 13849 obliga a preguntarse	Riesgo típico de diseño	Pruebas que esperaría
Inicio / Reinicio	“Haz funcionar la máquina”	¿Puede una orden de arranque crear un movimiento peligroso después de que se haya solicitado una función de seguridad?	La orden de inicio se duplica como permiso de reinicio involuntario	Evaluación de riesgos, lógica del modo de funcionamiento, diseño del enclavamiento de rearranque, prueba de validación
Función de parada de seguridad	“Parar cuando no sea seguro”	¿Qué estado seguro debe alcanzarse, en qué tiempo de respuesta, con qué PLr?	La vía de parada depende de un único contactor o válvula no supervisados	Cálculo de PL, prueba de tiempo de parada, DCavg, MTTFD, puntuación CCF, exclusiones de fallos
Función de rearme manual	“Desactivar la alarma”	¿El restablecimiento restablece la disponibilidad de las funciones de seguridad sin iniciar un movimiento peligroso?	El reinicio se convierte en una orden de arranque indirecto	Restablecimiento del borde supervisado, ubicación externa del restablecimiento, visibilidad de la zona de peligro
Parada de emergencia	“Gran botón rojo”	¿Anula el arranque y mantiene la parada hasta una secuencia deliberada de reinicio?	La parada de emergencia reinicia la máquina o enmascara un fallo	IEC 60204-1 revisión lógica, registro de validación, procedimiento de pruebas periódicas
Interrupción de la cortina fotoeléctrica	“Viga rota, máquina parada”	¿Alcanza la ruta OSSD el PLr requerido y evita el reinicio automático?	El campo de protección desaparece y la máquina se reinicia mientras la persona sigue expuesta.	Distancia de seguridad, tiempo de respuesta, cableado OSSD, bloqueo de rearranque

¿La versión corta? No.

No se permite que una orden de arranque se convierta en un resquicio para eludir una exigencia de seguridad, y no se permite que el reinicio actúe como “arranque con mejores modales”, especialmente en máquinas en las que una persona puede estar todavía dentro de una zona protegida, despejando un atasco, asomándose por una puerta o de pie detrás de un punto de acceso de varios lados.

Aquí es donde un verdadero selección de cortinas ópticas de seguridad para máquinas la discusión se convierte en mucho más que elegir el paso del haz y la altura de protección. Si el dispositivo sólo interrumpe el movimiento pero la lógica de reinicio es chapucera, se culpa al hardware óptico de un fallo de los controles.

La cruda realidad sobre las funciones de parada relacionadas con la seguridad

Una función de parada relacionada con la seguridad no es lo mismo que pulsar stop en la HMI.

Debe llevar la máquina a un estado seguro definido cuando se solicite la función de seguridad, y tiene que cumplir el PLr asignado para el riesgo. Esto puede significar canales redundantes, contactores supervisados, lógica PLC de seguridad, desconexión de par segura, válvulas de descarga hidráulicas, escape neumático, frenos mecánicos o una combinación de todo ello.

OSHA guía de protección de máquinas hace referencia a un punto más amplio en un lenguaje normativo más sencillo: la protección protege a los trabajadores de las zonas peligrosas de las máquinas, y el bloqueo/etiquetado tiene que complementar la protección durante el servicio y el mantenimiento. No se trata de terminología ISO, pero el solapamiento práctico es evidente. Una función de parada que funciona durante la producción puede no proteger a alguien durante la eliminación de atascos, el ajuste, la limpieza o el mantenimiento.

He visto el mismo error repetido en los expedientes de incidentes: la gente diseña para el ciclo normal y luego se sorprende cuando la lesión se produce durante un trabajo anormal.

Claro que sí.

Las máquinas hieren a las personas durante el despeje, la recuperación, el cambio, la derivación, el reinicio y “sólo un ajuste rápido”. Ésa es exactamente la razón por la que los requisitos de reinicio de arranque y parada de la norma ISO 13849 deben vincularse a los modos de funcionamiento, el mal uso previsible y el comportamiento de mantenimiento, y no sólo al ciclo automático.

Si se abre un resguardo, se dispara una cortina óptica o se detecta la presencia de una alfombra de seguridad, la máquina no debe detenerse simplemente. Debe detenerse mediante una ruta de control relacionada con la seguridad que siga comportándose en caso de fallos creíbles.

Esa es la línea que separa una función de control industrial de una función de seguridad.

Reiniciar es donde se esconden los malos diseños

El reinicio parece inofensivo. No lo es.

Una función de seguridad de restablecimiento manual según la norma ISO 13849 debe restablecer la función de seguridad después de que se haya eliminado la causa de la parada; no debe iniciar un movimiento peligroso por sí misma. Lo repetiré porque es la frase que yo pondría en la pared de todos los talleres de cuadros eléctricos: restablecer prepara; iniciar comandos.

Una función de reinicio ISO 13849 adecuada suele necesitar cuatro cosas:

1. La condición peligrosa ha sido eliminada.
2. El dispositivo de rearme está fuera de la zona de peligro.
3. El operador puede verificar que la zona de peligro está despejada.
4. La entrada de reset se controla como un cambio de señal deliberado, no como un permisivo mantenido permanentemente.

Por eso es tan importante el puesto de reinicio en las máquinas multientrada. Si una persona puede permanecer detrás de la cortina, alrededor de la luminaria o dentro de la celda mientras otra persona reinicia desde una ubicación ciega, no tiene un problema de reinicio. Tienes un problema de cuerpo en la zona.

Para las máquinas con varios puntos de acceso, un cortina fotoeléctrica de protección de accesos por varios lados puede reducir las rutas de aproximación ciegas, pero sigue sin poder reparar una mala lógica de reinicio. El hardware ve. La lógica decide.

Y la lógica es donde las empresas quedan al descubierto.

Expedientes: La industria sigue aprendiendo la misma lección

Dejemos de fingir que esto es teoría.

El 26 de agosto de 2022, según un Expediente de accidente OSHA en una máquina maderera Sharp Chain Modelo 3916-001, Un trabajador de 44 años entró en la máquina para eliminar una obstrucción en un sensor de lente fotoeléctrica/cabezal perfilador. Cuando despejó la obstrucción, la máquina se activó. Quedó atrapado y aplastado entre el perfilador y el bastidor y murió a causa de las laceraciones provocadas por las cuchillas y el traumatismo por objeto contundente.

Es la lógica de inicio/reinicio escrita con sangre.

El 9 de mayo de 2021, la OSHA registró otro caso de reinicio automático en el que un empleado intentó volver a poner en marcha una cerradora mecánica automatizada tras un desajuste del producto. La cortina de luz se desactivó, la máquina volvió a activarse y la mano izquierda del empleado quedó atrapada en la cuchilla de corte, lo que le provocó la amputación del dedo índice, según la Detalle de accidente OSHA para la cerradora mecánica automatizada.

Máquina diferente. Mismo patrón.

Y luego está United Hospital Supply. La OSHA declaró que los supervisores y empleados se saltaron deliberadamente una cortina de luz de la prensa plegadora antes de que un trabajador de primer día sufriera la amputación de tres dedos. La empresa se enfrentaba a $498.464 en sanciones propuestas y fue incluida en el Programa de Cumplimiento de Infracciones Graves, según el informe de la OSHA sobre la infracción. 17 de mayo de 2023 Liberación de United Hospital Supply.

Esa debería hacer callar todas las conversaciones sobre “bypass temporal”.

En 2023, la BLS registró 226 accidentes mortales en los que se vieron implicados trabajadores golpeados, atrapados o comprimidos por equipos motorizados en funcionamiento; 48 de ellos estaban relacionados con tareas de mantenimiento, limpieza o pruebas, y 53 con trabajadores atrapados o enredados en equipos motorizados en funcionamiento en BLS CFOI Tabla A-9 para 2023. No se trata de casos excepcionales. Son un patrón industrial con facturas, citaciones, amputaciones, funerales y abogados.

Requisitos de la norma ISO 13849: Qué debe decir realmente el SRS

La especificación de requisitos de seguridad - SRS - es donde los equipos se sinceran o empiezan a construir ficción.

Para las funciones de arranque, parada y reinicio, esperaría que el SRS definiera:

• Peligro máquina: aplastamiento, cizallamiento, enredo, corte, arrastre, impacto, exposición a personas atrapadas.
• Evento desencadenante: resguardo abierto, OSSD desactivado, parada de emergencia pulsada, pérdida de presión, fallo de servo, fallo de enclavamiento, cambio de modo, restablecimiento de la alimentación.
• Estado seguro: STO activa, presión hidráulica eliminada, energía neumática agotada, freno accionado, movimiento detenido, herramienta retenida, velocidad peligrosa reducida.
• PLr: PL c, PL d o PL e, en función de la evaluación de riesgos.
• Arquitectura: Categoría B, 1, 2, 3 o 4.
• Cobertura de diagnóstico: Valor DCavg y método de control.
• MTTFD supuestos: contactor B10d, datos de la válvula, datos del relé, datos del sensor, ciclos de funcionamiento.
• Puntuación CCF: separación, diversidad, protección contra la contaminación, CEM, sobretensión, formación, revisión del diseño.
• Tiempo de respuesta: respuesta del sensor + lógica de seguridad + dispositivo de salida + tiempo de parada de la máquina.
• Comportamiento del reinicio: activado por flanco, deliberado, visible desde la posición segura, sin movimiento peligroso sólo por reinicio.
• Condiciones de reinicio: orden de arranque independiente, borrado de zona, restablecimiento de todas las funciones de seguridad, borrado de fallos.

No se trata de hacer papeleo por hacer papeleo. Es cómo evitar que una revisión de diseño se convierta en una lucha de opiniones.

Si está especificando la protección óptica, empiece por el riesgo. La protección de los dedos puede empujarle hacia una resolución de 10 mm o 14 mm. La protección de las manos puede permitir una resolución más amplia, en función de la distancia y el riesgo. Para puntos de acceso más pequeños o maquinaria de precisión, una cortina de luz de alta precisión discusión puede estar justificada. Para prensas, maquinaria hidráulica y puntos de acceso amplios, un cortina de luz para maquinaria pesada puede ajustarse mejor a la realidad mecánica.

Pero no hay que confundir la selección del producto con el diseño de la seguridad funcional.

Una cortina de luz de tipo 4 conectada a una cadena de rearme/rearranque mal diseñada es como un casco al que se le ha cortado la correa de la barbilla. Parece responsable hasta el impacto.

Los equipos de adquisición de detalles de la OSSD siguen sin aparecer

Las salidas OSSD no son decoración.

Una cortina óptica de seguridad OSSD doble puede alimentar un relé de seguridad o un PLC de seguridad con señales redundantes y supervisadas. Esto es importante cuando el objetivo de la función de seguridad es lo suficientemente alto como para requerir detección y tolerancia de fallos. Es una de las razones por las que una cortina óptica de seguridad de doble salida con redundancia OSSD pertenece a la conversación cuando el riesgo de la máquina apunta hacia un PLr más alto.

Pero aquí está el mal hábito de la industria: la contratación pide OSSD y luego ignora el resto del SRP/CS.

La OSSD por sí sola no le proporciona PL e. Un PLC de seguridad por sí solo no le proporciona PL e. Un relé con carcasa amarilla no le proporciona PL e. La cadena completa importa: entrada, lógica, salida, cableado, diagnóstico, supuestos ambientales, validación y disciplina de mantenimiento.

Por eso, la propia comparación del sitio de cortinas ópticas de seguridad frente a cortinas ópticas que no son de seguridad es un enlace interno útil. La distinción no es cosmética. Una categoría de dispositivos está pensada para detectar cosas. La otra está pensada para ayudar a mantener a las personas alejadas de movimientos peligrosos cuando se integra adecuadamente.

Tipo 2, tipo 4, PLr y la mentira del coste a la baja

Esta es mi controvertida opinión: muchos de los debates entre Tipo 2 y Tipo 4 no son debates técnicos. Son presiones de costes disfrazadas de ingeniería.

Si la lesión creíble es leve, la exposición está controlada y la evaluación de riesgos lo respalda, las funciones de seguridad de menor rendimiento pueden ser válidas. Pero si la lesión creíble es la amputación, el aplastamiento o la muerte, quiero ver un argumento escrito muy serio antes de que alguien especule.

La guía interna sobre Cortinas fotoeléctricas de seguridad de tipo 2 y 4 encaja naturalmente aquí porque la ISO 13849 no pregunta: “¿Qué dispositivo es más barato?”. Pregunta si la función de seguridad alcanza el PLr.

Y PLr no es una vibración.

Se deriva de la gravedad de la lesión, la frecuencia o duración de la exposición y la posibilidad de evitar el peligro. Una vez fijado el PLr, el diseño del SRP/CS tiene que alcanzarlo mediante controles de arquitectura, MTTFD, DCavg y CCF.

Esto significa que la lógica de arranque, parada y restablecimiento no puede evaluarse de forma aislada. Deben evaluarse como comportamiento dentro de la función de seguridad.

Qué significa “requiere realmente” en el lenguaje del taller

Entonces, ¿qué exige realmente la norma ISO 13849 para las funciones de arranque, parada y reinicio?

Requiere pruebas, no esperanzas.

Para una función de parada relacionada con la seguridad, necesita un estado seguro definido y una arquitectura de control que alcance el PLr requerido. Para una función de restablecimiento manual, necesita una acción deliberada que restablezca la disponibilidad sin iniciar un movimiento peligroso. Para una función de arranque/rearranque, es necesario evitar un rearranque inesperado o automático tras una demanda de seguridad, a menos que se cumplan intencionadamente las condiciones de arranque y rearme.

Esta es la versión reducida.

La versión más profunda es más fea: hay que diseñar contra el operario que despeja un atasco a las 2 de la mañana, el supervisor que quiere que la línea vuelva a funcionar, el técnico que graba un sensor “sólo para probarlo”, el integrador que asume que el programa del PLC es problema de otro y el comprador que piensa que la cotización de la cortina de luz es el plan de seguridad.

No lo es.

Si su máquina puede volver a arrancar después de que se despeje un bloqueo, después de que vuelva la corriente, después de que se cierre un resguardo o después de que se restablezca un campo de cortina de luz sin una secuencia segura deliberada, entonces la norma ISO 13849 no es su mayor problema. Lo es la física.

Preguntas frecuentes

¿Cuáles son los requisitos de la norma ISO 13849 para las funciones de arranque, parada y reinicio?

Los requisitos de la norma ISO 13849 para las funciones de arranque, parada y reinicio son tareas de diseño y validación para el comportamiento de control relacionado con la seguridad, que requieren que el fabricante de la máquina defina cada función de seguridad, asigne PLr, diseñe el SRP/CS, verifique la respuesta a fallos y evite que la lógica de reinicio o reinicio cree movimientos peligrosos.
En términos prácticos, el botón de arranque no debe anular una demanda de seguridad, la función de parada debe alcanzar el estado seguro definido, y el restablecimiento debe restaurar el permiso sólo después de que se haya eliminado la condición peligrosa.

Según la norma ISO 13849, ¿una función de restablecimiento está siempre relacionada con la seguridad?

Una función de restablecimiento está relacionada con la seguridad cuando restablece o habilita una función de seguridad después de una parada de protección, fallo, disparo por enclavamiento, interrupción de la barrera inmaterial o parada de emergencia, especialmente cuando un restablecimiento incorrecto podría permitir un movimiento peligroso o exponer a una persona dentro de la zona de peligro.
Si el reinicio sólo borra un mensaje de diagnóstico que no es de seguridad, puede que no forme parte del SRP/CS. Pero si el restablecimiento afecta al permiso de reinicio, trátelo con recelo y documente la lógica.

¿Puede una máquina reiniciarse automáticamente tras la desaparición de una cortina fotoeléctrica?

Una máquina no debe reiniciarse automáticamente después de que se despeje una cortina fotoeléctrica cuando una persona todavía pueda estar expuesta a un movimiento peligroso, porque el reinicio normalmente requiere la confirmación de la zona segura, el restablecimiento de la función de seguridad y una acción de arranque deliberada por separado después de cualquier restablecimiento manual necesario.
Esta es la diferencia entre “el haz está despejado” y “la máquina es segura para funcionar”. No son la misma frase.

¿Cuál es la diferencia entre parada y parada de emergencia en el diseño ISO 13849?

Una parada relacionada con la seguridad es una función de seguridad definida que lleva la máquina a un estado seguro en condiciones y PLr especificados, mientras que la parada de emergencia es una función de protección suplementaria destinada a la intervención humana urgente y no debe sustituir a la protección adecuada ni a la reducción normal de riesgos.
En un buen diseño, las funciones de parada anulan las funciones de arranque relacionadas, pero la parada de emergencia no debe utilizarse como parada principal de la producción ni como compensación por una protección deficiente.

¿Qué documentos demuestran la conformidad con la norma ISO 13849 para la lógica de reinicio y rearme?

El cumplimiento de la norma ISO 13849 para la lógica de restablecimiento y reinicio se apoya normalmente en una evaluación de riesgos, la especificación de requisitos de seguridad, la determinación de PLr, la arquitectura SRP/CS, los datos de fiabilidad de los componentes, las hipótesis de cobertura de diagnóstico, la puntuación CCF, los diagramas de circuitos, la revisión del software, las pruebas de validación y las comprobaciones registradas del comportamiento de reinicio.
Si el archivo no puede mostrar cómo se comporta el restablecimiento tras fallos, pérdida de alimentación, apertura de protecciones, interrupción de OSSD y cambios de modo, no está terminado. Simplemente está montado.

Su próximo paso antes de que la máquina vote

No empieces pidiendo una cortina de luz más barata.

Empieza por escribir la función de seguridad.

Defina el peligro, el estado seguro, el PLr, el tiempo de parada, la secuencia de reinicio, las condiciones de reinicio, los modos de funcionamiento, los puntos de acceso y las pruebas. A continuación, elija el hardware que pueda soportar ese diseño: relé de seguridad, PLC de seguridad, contactores, válvulas, accionamientos STO, cortinas ópticas OSSD, enclavamientos o protección multilateral.

Si su equipo ya está revisando una máquina con un comportamiento de arranque/rearranque poco claro, utilice la función interna recursos para la selección de dispositivos de seguridad y luego solicitar una revisión de ingeniería a través de Página de contacto de Safety Curtain. Traiga la disposición de la máquina, los datos de tiempo de parada, la altura de protección requerida, la resolución, el rango de detección, el tipo de salida, la tensión, los requisitos de cableado y el mercado objetivo.

Porque la verdad es simple: A la norma ISO 13849 no le importa que la máquina “funcione normalmente”. Le importa lo que ocurre cuando ocurre lo incorrecto en el momento incorrecto.