Diseño de circuitos de E-STOP según ISO 13850: ¿cuándo procede el rearme manual y cuándo el automático?

La decisión de aplicar un reset manual o automático tras la actuación del paro de emergencia conviene tomarla ya en la fase conceptual. Más adelante, esta decisión deja de ser un simple ajuste en el programa y pasa a influir al mismo tiempo en la arquitectura del control, el comportamiento de los accionamientos y de los servicios auxiliares, las pruebas de aceptación, el manual de instrucciones y la forma de gestionar las incidencias. En la práctica, por tanto, no se trata solo de elegir el tipo de reset, sino de definir qué estado alcanza la máquina después de desbloquear el E-STOP y si ese estado es seguro sin una acción adicional y consciente por parte de una persona.

El reset no es un detalle

La cuestión del reset tras un E-STOP suele plantearse demasiado tarde. Cuando la lógica de la máquina ya está cerrada, las secuencias del proceso ya están programadas y el sistema de control ya tiene definidos los supuestos sobre los estados de los accionamientos y de las señales tras la pérdida de la función de seguridad, cambiar el modo de reset deja de ser una corrección menor. Empieza a afectar al programa del controlador, a las funciones de seguridad en la automatización industrial, a las pruebas funcionales, a la documentación y a las condiciones de aceptación. Por eso, la forma de actuar después de un paro de emergencia no debería venir determinada por los hábitos del diseñador ni por la presión para acortar la parada.

Es una decisión de arquitectura. Debe vincularse a la respuesta de dos preguntas: qué estado debe alcanzar la máquina tras desbloquear el dispositivo de paro de emergencia y si ese estado es únicamente un estado seguro o ya un estado de preparación para el movimiento. Precisamente aquí es donde aparece con más frecuencia el error. No consiste en elegir un reset manual o automático, sino en no analizar si, tras liberar el E-STOP, la máquina puede pasar a un estado que el operario no espera.

Si al soltar el pulsador no solo se anula la función de parada, sino que además se restablece la disponibilidad de los accionamientos, se recupera la alimentación neumática o la lógica del proceso vuelve a una etapa desde la que el movimiento puede iniciarse con una sola señal de arranque, no se puede valorar esto únicamente desde la comodidad de uso. Hay que analizar el rearranque previsto, la prevención de la puesta en marcha inesperada y la ergonomía de la operación: quién realiza el reset, desde qué lugar y si desde esa posición realmente tiene visibilidad de la zona peligrosa.

Lo importante es el comportamiento del conjunto del sistema tras la intervención, no solo el propio pulsador de E-STOP. Hay que saber si los accionamientos permanecen desconectados, si los servaccionamientos vuelven al estado de disponibilidad al liberar el paro, si el sistema neumático vuelve a alimentarse después de la despresurización, si las señales en el controlador se mantienen y en qué orden se producen las confirmaciones y los desbloqueos. No se evalúa igual una máquina que, tras liberar el paro de emergencia, permanece inmóvil y requiere una orden de arranque independiente y consciente, que otra que vuelve a una etapa intermedia del proceso y reconstruye casi automáticamente las condiciones para el movimiento.

Aquí aparece el criterio de diseño más importante: no preguntarse primero qué está formalmente permitido aplicar, sino qué estado real tendrá la máquina después de desbloquear el E-STOP y si ese estado es seguro sin una acción adicional de una persona. La referencia normativa ayuda a ordenar esta evaluación, pero no la sustituye. El foco no está en la comodidad de uso, sino en que el reset no provoque por sí mismo una situación peligrosa.

Dónde aumentan realmente el riesgo y el coste

La mayoría de los errores de diseño no aparecen allí donde la máquina, tras actuar el E-STOP, simplemente queda parada, sino allí donde la parada se produce en un estado intermedio. Esto afecta especialmente a líneas de producción y sistemas tecnológicos, celdas robotizadas, sistemas con apriete, accionamientos multieje y circuitos con energía acumulada en la neumática, la hidráulica o los elementos mecánicos. En este tipo de sistemas, eliminar la causa de la parada no significa todavía que se pueda volver al trabajo con seguridad.

El producto puede quedar atascado, un eje puede detenerse fuera de una posición segura, una pinza puede seguir sujetando la pieza y la presión o el par pueden seguir actuando sobre el mecanismo. En esa situación, la elección entre reset manual y automático no tiene que ver con la comodidad del operario, sino con qué estado real se genera en la máquina tras liberar el E-STOP y si la persona lo interpreta correctamente.

Desde el punto de vista del diseño, las soluciones intermedias son las más peligrosas. Formalmente no inician el ciclo, pero en la práctica restablecen la capacidad de la máquina para ejecutar un movimiento o provocan un movimiento auxiliar. El reset automático resulta tentador allí donde cuentan la disponibilidad y el rápido retorno a la producción; sin embargo, al liberar el E-STOP, el controlador puede restablecer la disponibilidad de los accionamientos, habilitar salidas, recuperar la presión o liberar frenos. En ese momento, el operario sigue viendo la máquina como detenida, aunque desde el punto de vista de la energía y de la lógica de control ya no sea un sistema pasivo.

Son precisamente estos comportamientos semiautomáticos los que más a menudo generan controversias en la aceptación. La máquina no arranca por sí sola un ciclo completo, pero recupera energía, aprieta un elemento, se desplaza hasta la posición de referencia o activa una función auxiliar. Desde la perspectiva del diseño, no se trata de detalles de interfaz, sino de decisiones sobre el límite entre una recuperación admisible del estado de disponibilidad y una reanudación inadmisible del funcionamiento.

En la práctica, el problema suele ser mixto, porque combina la seguridad con la organización del trabajo. El rearme manual reduce el riesgo de una reanudación inesperada, pero si está mal diseñado genera rápidamente sus propios costes. Si el pulsador de reset se ha colocado fuera del campo de visión de la zona, exige un acceso adicional o no está claramente separado del desbloqueo del E-STOP y de la orden de arranque, el personal empieza a percibir el procedimiento como un obstáculo. Entonces aparecen soluciones de compromiso, intervenciones de mantenimiento, correcciones de las instrucciones y formación adicional. Si el usuario no puede distinguir con claridad entre el desbloqueo del pulsador tipo seta, el reset del circuito de seguridad y el nuevo arranque del proceso, el problema no está solo en el contenido de la norma, sino en toda la arquitectura de operación, incluidos los mensajes del HMI y la división en zonas de la máquina.

Un buen ejemplo es una célula con transportador y pinza neumática. Tras la actuación del E-STOP, el transportador se detiene, la pinza queda en una posición intermedia y la pieza no se deposita. Al liberar el E-STOP, el control restablece la alimentación neumática, porque no existe una lógica independiente de descarga segura del sistema. Formalmente no se ha dado ninguna orden de arranque, pero el cilindro recupera energía y el actuador realiza un movimiento breve e inesperado debido únicamente al retorno de la presión. Este tipo de caso puede ser difícil de reproducir durante las pruebas, pero destruye muy rápidamente la confianza del usuario en la máquina.

Las consecuencias van más allá del propio riesgo de lesión. Aparecen intervenciones de mantenimiento, una puesta en servicio más larga, correcciones del programa, incorporación de excepciones en las instrucciones y discusiones sobre si, tras un E-STOP, debe descargarse la presión o el par de accionamiento, o si basta con bloquear nuevas órdenes de movimiento. Problemas similares se presentan con el referenciado automático después de una parada y con un circuito central de E-STOP que abarca zonas con distinta visibilidad y diferentes efectos al restablecerse la energía.

En esta fase, la referencia a PN‑EN ISO 13850 y los requisitos del dispositivo de parada de emergencia ayuda a ordenar el análisis. El mero hecho de que, al liberar el E-STOP, no se produzca el arranque completo del ciclo no determina todavía si la solución es aceptable. Hay que evaluar si el retorno de la energía, la recuperación de la disponibilidad de los accionamientos, la actuación de la pinza, el desbloqueo del freno de un eje o el movimiento hacia la posición de referencia no generan una situación peligrosa o confusa para el operador. Por eso, en la práctica, no debe analizarse solo la señal de reset, sino toda la secuencia.

Cómo tomar una decisión de diseño

La decisión sobre el reset tras la actuación de una parada de emergencia conviene empezarla describiendo los estados de la máquina, y no preguntándose por la comodidad de uso. Hay que detallar de forma inequívoca qué ocurre al pulsar el E-STOP y qué ocurre al desbloquearlo: qué vías de energía se desconectan, cuáles permanecen alimentadas, si vuelve la disponibilidad de los accionamientos, si se liberan los frenos de los ejes, si los cilindros pueden completar el movimiento por efecto de la presión residual, la gravedad o la energía elástica, y si al restablecerse la disponibilidad existe alguna secuencia automática.

Solo sobre esa base puede responderse si la simple liberación del pulsador tipo seta es neutra desde el punto de vista de la seguridad o si ya constituye un cambio de estado que puede exponer a una persona. Si el desbloqueo del E-STOP restablece la energía de una forma cuyos efectos el operador no puede ver por completo o que puede modificar la posición de los actuadores, el punto de partida pasa a ser el reset manual. En cambio, si el desbloqueo no provoca movimiento, no restablece energía peligrosa y no inicia ninguna secuencia, puede considerarse el retorno automático al estado de disponibilidad, pero solo cuando el arranque posterior del proceso requiera una orden independiente e inequívoca.

En la práctica, ayuda separar tres acciones que con demasiada frecuencia se mezclan en una sola señal o en un único mensaje para el operador. El desbloqueo del dispositivo de parada de emergencia es una acción mecánica y solo significa que el pulsador ha vuelto a la posición de disponibilidad. El reset de la función de seguridad es una confirmación aparte de que las condiciones de seguridad pueden volver a considerarse cumplidas. El arranque del proceso es otra cosa distinta: la decisión de iniciar el movimiento o reanudar el ciclo.

Si estos niveles se solapan, el usuario deja de entender si la liberación del E-STOP ya pone algo en marcha o si solo elimina un bloqueo, y el equipo de diseño pierde la posibilidad de defender la lógica adoptada durante la evaluación de conformidad. Por la misma razón, la ubicación del pulsador de reset tiene importancia de diseño y no meramente estética. La persona que realiza el reset debe poder evaluar la zona para la que restablece la disponibilidad, o bien el sistema debe proporcionar otro método fiable de confirmación del estado.

En líneas más complejas, esto puede significar un reset local para una zona concreta manteniendo la disponibilidad del resto de la instalación, pero solo cuando los límites de las zonas, las dependencias entre accionamientos y los efectos del restablecimiento de la energía estén claramente definidos. Esta decisión debe derivarse del análisis funcional, y no del deseo de simplificar la operación.

Una buena prueba para tomar la decisión es describir la secuencia, no solo el esquema eléctrico. El equipo debe ser capaz de responder a varias preguntas de control:

• si al liberar el E-STOP vuelve la energía o la disponibilidad de actuación de una forma perceptible para la máquina,
• si puede producirse algún movimiento sin una orden de arranque independiente,
• si la persona que realiza el reset ve toda la zona y puede descartar la presencia de una persona y un estado intermedio del proceso.

Si la respuesta a cualquiera de estas preguntas no es inequívocamente segura, el retorno automático pasa a ser una solución difícil de justificar. Esto se aplica especialmente a sistemas en los que, tras la parada, la pieza permanece en la sujeción, el cilindro se ha detenido en una posición intermedia, el eje se mantiene por par, y la pérdida del bloqueo puede provocar una caída o un desplazamiento. En estos casos, el rearme manual no es un mero formalismo, sino que obliga a verificar conscientemente la situación antes de restablecer el estado de disponibilidad.

En cambio, allí donde, al desbloquear el E-STOP, el sistema permanece inactivo y el inicio del movimiento requiere una acción independiente del operador o una secuencia superior, el retorno automático puede reducir los tiempos de parada sin empeorar el nivel de seguridad. Un ejemplo puede ser un puesto con zona de trabajo resguardada y un accionamiento que, tras el E-STOP, pierde la capacidad de movimiento, pero que al desbloquearse recupera la alimentación de control y el estado de disponibilidad sin ejecutar ningún movimiento de eje ni de cilindro. Sin embargo, ese mismo ajuste en el controlador resulta cuestionable en una máquina transfer, donde la liberación del E-STOP desactiva el freno de un eje, restablece la presión en las válvulas distribuidoras o permite completar un paso interrumpido de la secuencia.

Por eso, la decisión debe quedar reflejada no solo en el código, sino también en la documentación de diseño y construcción de máquinas: en los esquemas, la matriz de estados, la descripción de la secuencia de reinicio, los mensajes del HMI, los procedimientos de desatasco y los escenarios de las pruebas de aceptación. Si esta lógica no puede explicarse al usuario con una única descripción coherente —qué hace la liberación del E-STOP, qué hace el reset y qué pone en marcha el proceso—, normalmente es señal de que la división de funciones es incorrecta o demasiado compleja.

Primero la práctica, después la referencia normativa

En la práctica, la forma de reset tras la actuación de la parada de emergencia no la determina el nombre de la función, sino la respuesta a una pregunta sencilla: qué ocurrirá exactamente con la máquina al liberar el pulsador de seta y si ese estado es inequívocamente seguro. Se trata de una decisión de diseño, no de una preferencia del usuario ni de un atajo mental heredado de una realización anterior.

El equipo debe ser capaz de describir toda la cadena de acontecimientos: parada, eliminación de la energía hasta el nivel exigido por la evaluación de riesgos, desbloqueo del dispositivo, reset de la función, confirmación del estado de disponibilidad y solo entonces nuevo arranque. Si cualquiera de estas etapas se solapa con otra o depende del comportamiento por defecto del controlador, se abre la puerta a controversias en la aceptación y a errores de explotación que después no pueden corregirse únicamente con la instrucción.

Esto se aprecia claramente en la modernización de una célula existente, en la que el usuario espera paradas más cortas tras eliminar pequeñas incidencias, mientras que el integrador propone un retorno automático al liberar el E-STOP para simplificar la operación. A nivel de descripción general, la solución parece razonable: el operador elimina la causa de la parada, desbloquea el dispositivo y la máquina vuelve al estado de disponibilidad sin necesidad de un pulsador adicional de reset. El problema solo aparece en el estado intermedio.

Si, al restablecer el fluido de trabajo, el cilindro recupera presión en una posición tal que puede ejecutar una carrera, un avance o la descarga de la pinza sin una nueva intención del operador, entonces el retorno al estado de disponibilidad deja de ser un estado lógico neutro. En realidad, pasa a convertirse en una parte del movimiento del proceso, solo que oculta bajo otro nombre. Un caso así suele requerir no un simple retoque del programa, sino volver a la arquitectura de funciones: separar el desbloqueo del reset, exigir una confirmación explícita del estado de disponibilidad o rediseñar la secuencia de despresurización y de nueva aplicación de energía.

Este ejemplo también muestra qué evidencias de diseño son realmente importantes. No basta con declarar que, tras la liberación, no se pone nada en marcha, si en las pruebas de aceptación no se ha verificado el comportamiento de accionamientos, válvulas, frenos y pasos de secuencia exactamente en el momento de desbloquear el E-STOP. En la documentación técnica y la certificación CE de máquinas debe existir un registro del análisis de riesgos para este escenario, la descripción de estados en el HMI, el escenario de prueba tras liberar la parada de emergencia y una confirmación clara por parte del usuario de la lógica de reinicio acordada. Es precisamente en estos materiales donde después se evalúa la coherencia de la solución: en la aceptación de la máquina, al actualizar los procedimientos de acceso a la zona o los procedimientos LOTO, en las excepciones para el modo de ajuste y de servicio y, en caso de incidente, también al aclarar si el operador podía prever el comportamiento del sistema.

Solo sobre esta base merece la pena remitirse a ISO 13850. La norma ordena el papel de la parada de emergencia: debe servir para detener un proceso peligroso o limitar los efectos de un peligro, y el desbloqueo del dispositivo no puede, por sí mismo, crear un nuevo estado peligroso. Para el diseñador, la conclusión práctica es simple: el mero retorno del dispositivo E-STOP a la posición desbloqueada no puede sustituir una acción consciente exigida por el concepto de seguridad de la máquina.

Sin embargo, en el contexto polaco y de la Unión Europea no se trata únicamente de una conformidad lógica con la norma. Igual de importante es la coherencia de toda la solución con la documentación técnica conforme con la Directiva de Máquinas, la instrucción de uso, los resultados de la evaluación de riesgos y, tras la modernización, con el alcance de la actualización de la validación de las funciones de seguridad. Son estos elementos los que después se examinarán en la relación proveedor–usuario, y no una anotación aislada en el programa del controlador.

La conclusión práctica es inequívoca. Si el diseñador no es capaz de mostrar qué ocurre tras liberar el E-STOP, qué energías se restablecen, qué elementos pueden cambiar de posición y por qué ese estado es seguro, no deben añadirse excepciones de procedimiento del tipo «el operario no debe permanecer entonces en la zona». Hay que volver a la función, a la secuencia y al reparto de responsabilidades entre el desbloqueo, el reset y el nuevo arranque. Solo una solución que pueda justificarse en el esquema, en las pruebas de aceptación, en la instrucción y en la evaluación de riesgos puede considerarse técnicamente madura.