En noviembre de 2024, una línea de transportadores de rodillos fabricada en Guangdong llegó al puerto de Róterdam. La aduana la retuvo para inspección, y el envío nunca salió del puerto. El primer instinto del fabricante fue revisar el certificado CE — estaba bien, totalmente válido. El verdadero problema estaba dentro del expediente técnico: la evaluación de riesgos exigía PLd para el enclavamiento de la puerta de seguridad, pero la máquina se había construido como una arquitectura de un solo canal de Categoría 2. El informe de cálculo de SISTEMA también estaba desactualizado y ya no coincidía con el PL exigido en los documentos. La rectificación tomó dos meses. Entre las tarifas de almacenamiento en puerto y los viajes de ida y vuelta de los ingenieros, el costo podría haber comprado otra línea de transportadores corta sin más.
He pasado veinte años en la primera línea del almacenamiento en EE. UU. — dirigiendo operaciones, seleccionando equipos y sentándome frente a organismos notificados más de una vez. El "desajuste de PL" es el modo de fallo recurrente que veo en los fabricantes chinos de automatización que exportan a Europa. Un certificado se puede comprar. Una cadena de cálculo rota se detecta en minutos. Así que permítanme exponer lo que realmente importa en la norma EN ISO 13849: cómo se fija un Nivel de Prestaciones, en qué se diferencian los transportadores y los AMR, y los puntos de rectificación que los revisores señalan con más frecuencia.
De dónde sale realmente el PL
PL — Nivel de Prestaciones — va de la a a la e y mide la probabilidad de fallo peligroso por hora. Cuanto más avanza en el alfabeto, mayor es la exigencia de fiabilidad. Fijarlo es un proceso de dos pasos: primero determinar el PL requerido, el PLr, y luego calcular lo que realmente se puede lograr.
El PLr sale de la evaluación de riesgos. Eso no es negociable. Empiece por identificar cada función de seguridad — en una línea de transportadores, normalmente son la parada de emergencia, el enclavamiento de puertas de seguridad y la protección perimetral, además de cortinas de luz dondequiera que entren personas de forma rutinaria. Luego evalúe cada función en tres ejes: qué tan grave podría ser la lesión, con qué frecuencia están expuestas las personas y qué tan probable es que eviten el peligro. Esas tres dimensiones se cruzan para darle el PLr. En la práctica, las funciones de seguridad de una línea de transportadores típica caen en algún punto de la banda de PL b a PL d.
Lo que realmente se puede lograr lo deciden tres entradas: MTTFD (tiempo medio hasta fallo peligroso), DCavg (cobertura de diagnóstico promedio) y CCF (fallo por causa común, puntuado en la conocida lista de verificación de 65 puntos). Esos tres números, junto con la categoría arquitectónica — Categoría B, 1, 2, 3 o 4, con números más altos que exigen más redundancia y diagnóstico — determinan qué PL se puede reclamar legítimamente. Alcanzar PLd generalmente significa una arquitectura de doble canal a partir de Categoría 3; una construcción de un solo canal de Categoría 2 no sostendrá una reclamación de PLd. El envío de Róterdam murió exactamente en ese desajuste: PLd en papel, Categoría 2 en acero. El revisor ni siquiera necesitó leer de cerca el informe de cálculo.
Cuando no esté seguro del número de cláusula, escriba "según el texto de la norma" en lugar de inventar uno. Y vigile las ediciones: la norma EN ISO 13849-1 se republicó como edición revisada en 2023, mientras que la Parte 2, que cubre la validación, sigue siendo la edición de 2012. He visto expedientes que citaban números de cláusula de 2012 en documentos redactados contra la edición de 2023 — volvieron con tinta roja por todas partes.
Para el cálculo en sí, SISTEMA es la herramienta estándar de la industria. No es magia: introduce el MTTFD de cada componente, su DCavg estimado y su puntuación en la lista CCF, y calcula el PL alcanzado por función de seguridad usando el método de la norma. El software es la parte fácil. La parte difícil es la procedencia de cada número que teclea — el MTTFD de un componente tiene que remontarse al manual del fabricante, a una conversión B10d o a las tablas de referencia en los anexos de la norma. "El proveedor nos dijo que este relé de seguridad dura cien años" no es evidencia, y un revisor lo tratará como cero.
Un ejemplo mínimo muestra cómo se comporta la aritmética. Tome un enclavamiento de puerta de seguridad: dos interruptores de puerta en serie como entrada, un relé de seguridad como lógica, dos contactores en serie como salida. Tome el MTTFD de cada componente de su manual o de una conversión B10d, estime el DCavg para la configuración de doble canal con monitoreo cruzado, y puntúe la lista CCF punto por punto. Cuatro números entran, SISTEMA corre, el PL sale — y si a un solo número le falta la fuente, toda la función colapsa.
Los transportadores y los AMR juegan con reglas distintas
Un transportador es maquinaria de propósito general, y la ruta 13849 funciona bien. Un AMR es diferente. La máquina completa también cae bajo normas tipo C específicas de producto — ISO 3691-4, por ejemplo — que traen sus propios requisitos para los niveles de las funciones de seguridad. Donde existan, la norma de producto y el organismo notificado deciden el nivel. No invente afirmaciones absolutas como "un AMR debe alcanzar PL d" en su documentación; si lo escribe, tiene que probarlo.
He visto documentos de licitación de fabricantes chinos declarando "el sistema de seguridad de este AMR alcanza PLd" con total confianza, cuando la norma de producto pedía algo completamente distinto para esa función — o cuando la certificación del escáner láser simplemente no cubría la aplicación. Escriba el número demasiado alto y la carga de la prueba es enteramente suya. Escríbalo demasiado bajo y la norma de producto lo delata. La secuencia correcta: lea primero la norma específica de producto, confirme si cada función de seguridad está graduada allí, y solo entonces use 13849 para cubrir lo que la norma de producto deja fuera. Las dos normas se complementan; no son alternativas. Un caso de 2023 lo dejó claro. Un fabricante de AMR de Shenzhen tenía un escáner láser totalmente certificado — pero el uso previsto del certificado era protección de área fija. En un robot móvil haciendo protección de seguimiento, el organismo notificado lo rechazó. La solución fue cambiar a un escáner cuya certificación cubriera el uso móvil y rehacer la validación de la máquina completa. El proyecto se retrasó tres meses. Un componente certificado no es un componente correctamente aplicado: cada palabra del alcance del certificado tiene que coincidir con sus condiciones de operación.
Un cambio de fondo a seguir: la antigua Directiva de Máquinas era 2006/42/EC, y el Reglamento de Máquinas de la UE (UE) 2023/1230 la está reemplazando, con aplicación plena en 2027 según el texto del reglamento. Para cualquier proyecto nuevo, confirme con su organismo emisor si la ruta de certificación está bajo la directiva o bajo el nuevo reglamento — no descubra el desajuste la semana antes del envío.
Las correcciones que veo una y otra vez — y cómo esquivarlas
El primer y más común asesino es una cadena documental rota. Cuatro documentos contando cuatro historias: la evaluación de riesgos dice PLr = c, la lista de funciones de seguridad dice que el paro de emergencia es PLr = d, SISTEMA calcula PLc, y el informe de validación está copiado de la plantilla de otro proyecto. Un revisor que encuentra esto rechaza el expediente de plano — a veces sin siquiera ofrecer una ventana de rectificación.
El segundo son valores MTTFD sin procedencia. El informe lista hermosos números MTTFD, y cuando se pregunta por la fuente, nadie puede responder. La regla: manual del fabricante, conversión B10d, o las tablas del anexo de la norma — cite una por componente. Un número sin fuente cuenta como cero en una revisión.
El tercero es la lista CCF tratada como decoración. La lista de 65 puntos se puntúa punto por punto; una puntuación corta o medidas no implementadas degradan la arquitectura una categoría, y el PL cae con ella. Los revisores verifican el cableado separado y la protección contra sobretensión en planta. Eso se ve. No se puede fingir.
El cuarto es el DCavg inflado. Una arquitectura de un solo canal con un watchdog no gana alta cobertura de diagnóstico. Si no puede justificar el número, escríbalo más bajo. Reclamar PLc de forma conservadora y pasar a la primera siempre supera a reclamar PLd y que lo devuelvan.
Mi defensa permanente contra los cuatro es la tabla de trazabilidad del PL: una fila por función de seguridad, cinco columnas — nombre de la función, cadena de componentes entrada-lógica-salida, PLr, PL calculado, y los números de página en el informe SISTEMA y el informe de validación. Logre que esas cinco columnas concuerden y la mitad de su riesgo de rectificación desaparece. También rinde en mantenimiento: cambie un componente y revisa solo esa fila en lugar de reconstruir todo el expediente.
La secuencia también importa. Congele el PLr durante la evaluación de riesgos, corra un paso preliminar de SISTEMA antes de seleccionar hardware, y calcule la versión final solo después de que los componentes estén fijados. Invierta el orden — compre todo primero, rellene los cálculos después — y cada cambio de componente dispara un ciclo completo de recálculo. Así es como los cronogramas mueren en silencio.
Aquí hay algo que puede usar mañana: pida a su proveedor la fuente del MTTFD de cada componente de seguridad — la página del manual o el valor B10d. Si no puede producirlo, no firme la orden de compra, por atractivo que sea el precio. En el juego del PL, el certificado no es donde se gana o se pierde. Se gana o se pierde según si cada eslabón de la cadena de cálculo tiene una fuente.
Traducido del inglés. En caso de discrepancia, prevalece la versión en inglés.
