Una válvula neumática de seguridad monitorizada es un subsistema redundante de control de potencia que solo suministra aire cuando ambos canales funcionan correctamente; cuando se solicita la función de seguridad, bloquea la alimentación y descarga la presión aguas abajo. La realimentación indica al controlador de seguridad si los elementos han alcanzado el estado esperado. Cualquier discrepancia retira la orden y puede impedir el reinicio hasta que se elimine el fallo.
La categoría 3 o la categoría 4 no corresponde únicamente a la etiqueta de la válvula. La categoría describe la arquitectura y el comportamiento ante fallos del sistema de mando completo relacionado con la seguridad. En conjunto, la válvula, los sensores, la lógica de seguridad, el cableado, el circuito neumático, el diagnóstico, el comportamiento de rearme y la respuesta física de la máquina deben alcanzar el nivel de prestaciones requerido.
Puntos clave
- ISO 13849-1:2023 se aplica a sistemas de mando relacionados con la seguridad eléctricos, hidráulicos, neumáticos, mecánicos y basados en software.
- Dos elementos de válvula redundantes pueden conservar el escape seguro después de que falle uno de ellos.
- La realimentación debe concordar con la orden dentro de la ventana temporal documentada para el producto.
- Una válvula monitorizada no demuestra que la máquina haya alcanzado un estado seguro.
¿Qué significan las categorías 3/4 para una válvula neumática de seguridad?
ISO 13849-1:2023 es una metodología de 152 páginas para sistemas de mando relacionados con la seguridad, no una tabla de selección de productos que asigne un PLr a cada aplicación de válvula. Se aplica a tecnologías neumáticas y de otros tipos, pero no especifica expresamente la función de seguridad ni el nivel de prestaciones requerido para una máquina concreta (ISO, 2023).
Los fabricantes pueden declarar que un producto es apto para utilizarse hasta la categoría 4, PL e, bajo condiciones definidas. Esta declaración aporta pruebas del componente o subsistema, pero no certifica la máquina terminada. Los integradores todavía deben definir la función de seguridad, determinar el PLr, modelar la arquitectura real, seguir el manual de seguridad y validar la respuesta instalada. La categoría describe los requisitos estructurales y de comportamiento ante fallos. El nivel de prestaciones (PL) describe la capacidad del sistema de mando relacionado con la seguridad para ejecutar su función de seguridad en condiciones previsibles. La categoría contribuye al PL, pero también influyen la fiabilidad de los componentes, la cobertura del diagnóstico, las medidas contra fallos de causa común, las medidas sistemáticas, el software y las interfaces entre subsistemas.
Esta distinción evita un error habitual de especificación: pedir una «válvula de categoría 4» sin definir qué debe quedar en condiciones seguras. Según el peligro, una máquina puede necesitar escape seguro, prevención de una presurización inesperada, retorno controlado, retención segura de la carga o una combinación de estas funciones. Descargar el aire puede crear un nuevo peligro si cae una carga vertical o se libera una mordaza.
Para el proceso de diseño a nivel de sistema, consulte las guías sobre circuitos neumáticos de seguridad conforme a ISO 13849 y sobre la integración de válvulas de escape de seguridad en los resguardos de máquinas. Este artículo se mantiene dentro de los límites del funcionamiento y la monitorización de la válvula.
Los dos estados de funcionamiento de una válvula de escape de seguridad monitorizada
La P33 de Parker con monitorización externa utiliza dos solenoides de accionamiento que deben activarse juntos, con un límite de sincronismo documentado de 150 ms para ese producto. Su función 3/2 conecta el puerto de alimentación 1 con el puerto de salida 2 cuando está activada; al desactivarse, bloquea el puerto 1 y conecta el puerto de salida 2 con el puerto de escape 3 (Parker, consultado en 2026).
Esta secuencia ilustra la lógica de funcionamiento habitual de una válvula de escape de seguridad redundante:
| Estado de la válvula | Orden eléctrica | Vía de alimentación | Vía de escape | Realimentación esperada |
|---|---|---|---|---|
| Seguro, sin energía | Ambas salidas de seguridad desactivadas | Alimentación bloqueada | Circuito aguas abajo conectado al escape | Ambos elementos indican el estado seguro |
| Transición a alimentación | Ambas salidas se activan | Solo se abre después de que conmuten ambos elementos | Se cierra a medida que conmutan los elementos | Ambas señales cambian dentro de la ventana permitida |
| Alimentación normal | Ambas salidas activadas | Alimentación conectada aguas abajo | Escape cerrado | Ambos elementos indican el estado de alimentación |
| Demanda de seguridad | Ambas salidas se desactivan | La alimentación se cierra | El circuito aguas abajo se abre al escape | Ambas señales regresan al estado seguro |
| Discrepancia | Las órdenes y la realimentación no concuerdan | Reacción segura dependiente del producto | Reacción de escape dependiente del producto | Se declara un fallo y se inhibe el reinicio según lo especificado |
«Normalmente cerrada» se refiere a la vía de alimentación. Cuando se retira la energía eléctrica, los muelles conducen los elementos de la válvula hacia el estado que bloquea el aire de entrada y abre al escape el circuito aguas abajo. Algunos productos añaden una función de arranque progresivo durante la represurización, pero debe utilizarse exactamente como se describe en la documentación de seguridad del producto.
Desenergizar la válvula no sitúa automáticamente la máquina en su estado seguro. Las válvulas antirretorno, las válvulas distribuidoras de centro cerrado, los acumuladores, las cámaras de los cilindros, los multiplicadores y los colectores largos pueden retener presión después de la válvula de escape. La gravedad, los muelles, la inercia o el vacío todavía pueden mover el mecanismo cuando disminuye la presión aguas abajo. Cuando la pérdida de presión pueda soltar una carga vertical, evalúe el comportamiento de los bloqueos de vástago y sus límites de aplicación.
¿Cómo detecta un fallo de válvula la monitorización externa?
La RSe de ROSS utiliza dos sensores de proximidad PNP y declara una cobertura del diagnóstico del 99 % cuando ambos sensores se supervisan en cada activación y desactivación dentro de la arquitectura de control externo documentada. Cada sensor observa un elemento de válvula, mientras que el controlador de seguridad externo compara los dos estados de realimentación con el estado ordenado (ROSS Controls, consultado en 2026).
La monitorización externa separa los elementos neumáticos de potencia de la lógica de diagnóstico. Unas señales de realimentación independientes describen los dos elementos de válvula. Un relé de seguridad o PLC de seguridad externo proporciona ambas órdenes, comprueba las transiciones de la realimentación, aplica el tiempo de discrepancia permitido, detecta cortocircuitos o cruces de circuitos cuando sea necesario y determina si se permite el reinicio.
La tecnología de realimentación varía según el producto. ROSS detecta la posición de la corredera en el ejemplo citado, mientras que la guía de monitorización externa de la P33 de Parker describe sensores de presión de estado sólido asociados a sus elementos redundantes. Ningún método es universal, y un programa de controlador escrito para la tabla de verdad de señales de una válvula no puede transferirse a otra sin revisar el nuevo manual de seguridad. Las válvulas con monitorización interna ejecutan dentro del conjunto una parte o la totalidad de la lógica de comparación y bloqueo por fallo. Algunas proporcionan una salida de estado combinada y requieren una entrada de rearme específica. La monitorización interna reduce la lógica de comparación que debe programar el usuario, pero el controlador de la máquina aún debe evaluar el estado, impedir un reinicio inesperado y validar el estado físico seguro.
Compare las dos configuraciones de este modo:
| Configuración de monitorización | La válvula proporciona | El sistema de seguridad externo debe proporcionar |
|---|---|---|
| Monitorización externa | Realimentación independiente de los elementos y reglas temporales del producto | Salidas seguras, comparación de canales, temporización de discrepancia, enclavamiento de fallo y lógica de rearme |
| Monitorización interna | Comparación interna, reacción ante fallos y señales de estado definidas | Interfaz de órdenes correcta, evaluación de estado, control de rearme y validación a nivel de máquina |
Un diagnóstico sólido observa el fallo peligroso que se pretende detectar. La detección de presión puede confirmar un estado de presión interno sin demostrar el recorrido completo del elemento de válvula. La detección de posición puede confirmar el recorrido de la corredera sin demostrar que la presión aguas abajo haya atravesado una válvula de centro cerrado. La cobertura diagnóstica atribuida debe corresponder al modo de fallo que realmente puede detectar.
¿Qué cambia entre la categoría 3 y la categoría 4?
La comparación de categorías de IFA atribuye tolerancia a un solo fallo tanto a la categoría 3 como a la categoría 4, mientras que la categoría 4 exige además una cobertura media del diagnóstico alta y considerar la acumulación de fallos. La categoría 3 permite una cobertura del diagnóstico baja o media, por lo que algunos fallos pueden permanecer sin detectar y los fallos acumulados pueden anular la función de seguridad (IFA, 2017).
La arquitectura, y no el número impreso en el cuerpo de la válvula, determina el comportamiento ante fallos:
| Requisito | Categoría 3 | Categoría 4 |
|---|---|---|
| Arquitectura redundante | Obligatoria | Obligatoria |
| Un fallo provoca la pérdida inmediata de la función de seguridad | No | No |
| Detección de fallos | Cuando sea razonablemente viable | En el momento de la siguiente demanda o antes, cuando sea razonablemente viable |
| Cobertura del diagnóstico | Baja a media | Alta |
| Fallos acumulados no detectados | Pueden provocar la pérdida de la función de seguridad | No deben provocar la pérdida de la función de seguridad |
| PL alcanzado | Depende de la evaluación completa | Depende de la evaluación completa |
Dos bobinas no demuestran la existencia de dos canales independientes. Identifique el aire de pilotaje compartido, los conductos de escape comunes, los conectores comunes, las salidas de software, las fuentes de alimentación, el montaje, la exposición a contaminación y los errores de mantenimiento. La redundancia puede quedar anulada cuando ambos elementos comparten una causa que el diseño no ha controlado. La categoría por sí sola tampoco establece un PL d o un PL e. Utilice los datos de fiabilidad declarados y las restricciones de la válvula, el sensor, el controlador y las interfaces exactos. Después documente la cobertura del diagnóstico, las medidas contra fallos de causa común, los controles sistemáticos, el tiempo de misión, la frecuencia de conmutación y la frecuencia media de fallo peligroso de la función de seguridad completa.
Las comprobaciones frecuentes de señales no refuerzan por sí solas una declaración de categoría 4. El diagnóstico debe detectar los fallos peligrosos pertinentes con suficiente antelación, y la acumulación de fallos no detectados no debe anular el escape seguro ni la prevención de una presurización inesperada.
¿Qué puede demostrar la realimentación de la válvula y qué puede pasar por alto?
ROSS indica que su válvula RSe no puede descargar la energía neumática atrapada aguas abajo de obstáculos como válvulas antirretorno y válvulas de centro cerrado. Esta limitación del producto ilustra por qué la realimentación de los elementos de válvula no puede demostrar el estado de presión, movimiento o carga en toda una máquina (ROSS Controls, consultado en 2026).
La realimentación puede respaldar afirmaciones concretas:
- Uno o ambos elementos de válvula han alcanzado la posición concreta observada por el sensor instalado, dentro de la ventana de transición documentada, y el controlador ha recibido esa señal sin fallos de entrada.
- La presión interna en un punto de detección definido ha cruzado el umbral del producto.
- Los dos canales han cambiado de estado dentro de la ventana temporal permitida.
- La realimentación está bloqueada, ausente, es contradictoria o no concuerda con la orden.
- La válvula ha entrado en un estado de fallo o bloqueo definido por el producto.
La realimentación no puede demostrar automáticamente:
- Que todas las ramas aguas abajo se hayan despresurizado, incluidas las cavidades aisladas situadas después de válvulas antirretorno, válvulas de centro cerrado y reguladores, al umbral de presión y dentro del tiempo definidos por el requisito de seguridad de la máquina.
- Que un silenciador o tubo de escape deje pasar el caudal requerido.
- Que la distancia de parada del cilindro cumpla el límite de aceptación de la máquina.
- Que una carga vertical permanezca sostenida después de retirar el aire.
- Que una válvula antirretorno, un regulador, un multiplicador o una cavidad del colector haya liberado la presión atrapada.
- Que cerrar un resguardo y restablecer el aire no pueda reiniciar un movimiento peligroso.
Añada detección de presión en el volumen pertinente para el peligro cuando el descenso de presión forme parte del criterio de aceptación. Añada detección de movimiento o posición en el mecanismo peligroso cuando la máquina deba detenerse o permanecer dentro de una posición definida. El estado de la válvula es una entrada para esa validación, no un sustituto. Los sistemas rotativos presentan el mismo límite, como se explica en la guía sobre la integración de actuadores rotativos en circuitos de seguridad ISO 13849. El escape seguro también es distinto de una función estándar de escape rápido. Las válvulas de escape rápido estándar acortan el recorrido de escape de un actuador, pero normalmente no proporcionan arquitectura redundante, datos de seguridad, realimentación de diagnóstico ni una respuesta controlada ante fallos. Consulte la guía de válvulas de escape rápido para conocer esa función de caudal sin tratarla como componente de seguridad.
Respuesta ante fallos y lógica de rearme
Parker exige que las dos salidas de sensor de la P33 cambien con una diferencia máxima de 150 ms en su ejemplo de monitorización externa y desaconseja el rearme automático. Cuando las señales no concuerdan más allá del tiempo permitido, la lógica de monitorización debe retirar la alimentación de los solenoides e impedir otro intento de accionamiento hasta que se rearme el sistema de seguridad (Parker, consultado en 2026).
Utilice los valores temporales y la tabla de verdad exactos del producto seleccionado. La temporización específica del producto es importante: la cifra de 150 ms de Parker no es un límite universal para la categoría 3 o la categoría 4. Otras válvulas pueden utilizar sensores, secuencias de conmutación, restricciones de pruebas por impulsos, configuraciones de rearme y condiciones de recuperación de fallos diferentes.
La lógica del controlador suele seguir estas decisiones:
- Retirar ambas órdenes de la válvula cuando se solicita la función de seguridad.
- Confirmar que ambos canales de realimentación alcanzan a tiempo sus estados seguros documentados.
- Declarar un fallo si alguna señal falta, llega tarde, es contradictoria o está bloqueada.
- Mantener desactivadas las órdenes de la válvula después de detectar una discrepancia.
- Exigir la eliminación del fallo especificada y unas condiciones de rearme deliberado.
- Verificar que el rearme no inicia un movimiento peligroso ni represuriza automáticamente una zona insegura.
| Ejemplo de fallo | Qué detecta la monitorización | Respuesta técnica requerida |
|---|---|---|
| Una bobina pierde alimentación | Un canal no realiza la transición | Retirar ambas órdenes e impedir el reinicio |
| Un elemento conmuta lentamente | La discrepancia de realimentación supera el límite del producto | Entrar en el estado de fallo documentado e investigar la contaminación, la presión o el hardware |
| Una señal de realimentación queda bloqueada | La señal entra en conflicto con la orden durante una transición | Tratar el canal como averiado e impedir el siguiente ciclo peligroso |
| La vía de escape está restringida | La realimentación de la válvula puede parecer normal aunque la presión disminuya demasiado despacio | Detectarlo mediante la validación de presión o movimiento de la máquina, no solo con la realimentación de la válvula |
| El aire regresa después de un corte | La realimentación puede volver a su condición inicial | Impedir el movimiento peligroso automático mediante la lógica de rearme y arranque |
El rearme concede permiso para reanudar la evaluación, no demuestra que el fallo haya desaparecido. El programa debe verificar las entradas seguras, una realimentación válida, el estado de presión permitido y cualquier acción manual requerida antes de habilitar el siguiente ciclo. Un pulsador de rearme no debe servir también como orden de arranque de la máquina si ello genera un movimiento peligroso.
¿Cómo debe validarse la función de seguridad instalada?
ISO 13849-2:2012 es la norma de validación publicada y vigente, de 79 páginas, a julio de 2026, aunque ISO indica que se está elaborando un proyecto para sustituirla. Exige validar mediante análisis y ensayos las funciones de seguridad especificadas, la categoría alcanzada y el nivel de prestaciones alcanzado, por lo que la ficha técnica de una válvula no basta para completar la validación (ISO, consultado en 2026).
Defina criterios de aceptación medibles antes de la puesta en servicio. Registre sobre la misma base temporal la demanda de seguridad, las salidas del controlador, ambos canales de realimentación de la válvula, la presión aguas abajo y el movimiento peligroso. Ensaye la peor presión de alimentación verosímil, el volumen aguas abajo, la temperatura, los accesorios de escape permitidos, la carga de la máquina y el modo de funcionamiento.
La validación debe abarcar, como mínimo:
- Energización normal, escape seguro, rearme deliberado y confirmación de que el rearme por sí solo no inicia un movimiento peligroso en cada modo de funcionamiento en el que una persona pueda acercarse al peligro.
- Un canal de salida de la válvula impedido para cambiar de estado.
- Cada canal de realimentación bloqueado en estado activo, bloqueado en estado inactivo, abierto, cortocircuitado o conectado de forma cruzada, según corresponda a la interfaz del producto.
- Transiciones de realimentación fuera de la ventana de discrepancia permitida.
- Pérdida y restablecimiento de la alimentación eléctrica y neumática.
- Escape restringido cuando sea previsible y pueda ensayarse con seguridad.
- Presión atrapada después de válvulas antirretorno o válvulas distribuidoras de centro cerrado.
- Posición y carga más desfavorables del cilindro o mecanismo.
- Prevención de un reinicio inesperado después de una demanda, un fallo y el restablecimiento de la alimentación.
No invente un único intervalo universal de inspección o prueba. Festo, por ejemplo, especifica un procedimiento mínimo mensual de conmutación forzada para determinadas variantes MS6-SV cuando el proceso no las conmuta ya con esa frecuencia (Festo, 2023). Este requisito corresponde a las variantes indicadas, no a todas las válvulas monitorizadas. Mantenga bajo control de configuración el modelo y la revisión de la válvula, el manual de seguridad, los datos de seguridad declarados, la suma de comprobación del programa del controlador de seguridad, el esquema neumático, el plano de cableado, los valores de parámetros, los umbrales de sensores, los silenciadores, el equipo de ensayo, los registros sin procesar y el registro de aprobación. Sustituir la válvula o modificar la vía de escape puede exigir un nuevo cálculo y una revalidación.
ISO 4414:2010 sigue siendo la norma general vigente sobre seguridad de sistemas neumáticos después de su confirmación en 2021, y abarca el diseño, la construcción, la modificación, la instalación, el funcionamiento y el mantenimiento (ISO, consultado en 2026). Este alcance refuerza el límite del sistema: una instalación segura de válvulas debe abordar los peligros de todo el circuito neumático.
Preguntas frecuentes sobre válvulas neumáticas de seguridad monitorizadas
Parker documenta versiones con monitorización tanto interna como externa de una misma familia de válvulas P33, lo que demuestra por qué «válvula monitorizada» no identifica un único circuito universal. Estas respuestas definen los límites del componente, la declaración de categoría, la función de la realimentación, el comportamiento ante fallos y los límites de mantenimiento que los compradores deben aclarar antes de seleccionar o adaptar una válvula (Parker, 2024).
¿La categoría 3 o la categoría 4 es una clasificación de la válvula?
No, por sí sola no. Un fabricante puede declarar que una válvula o un subsistema es apto para una arquitectura de categoría 3 o categoría 4 bajo condiciones especificadas. La categoría y el PL alcanzados corresponden a la función de seguridad completa, una vez evaluados y validados la válvula, el diagnóstico, el controlador, las interfaces, las hipótesis de fallo y la respuesta de la máquina.
¿Qué ocurre si un elemento de la válvula no conmuta?
Un diseño redundante adecuado está concebido para conservar la función de seguridad después de un fallo. La realimentación debe revelar la discrepancia, el sistema de monitorización debe retirar ambas órdenes y el reinicio debe quedar inhibido conforme al manual de seguridad. La reacción neumática exacta, la ventana temporal, los estados de señal y la secuencia de rearme dependen del producto.
¿La realimentación de la válvula demuestra que la presión aguas abajo es segura?
No. Solo demuestra el estado medido por ese método de realimentación en su punto de detección. Puede quedar presión atrapada después de una válvula antirretorno, una válvula de centro cerrado, un regulador o una cavidad aislada. Valide la presión en el volumen aguas abajo pertinente y mida el movimiento peligroso cuando el requisito de seguridad incluya la parada o la retención de la carga.
¿Una válvula de escape de seguridad monitorizada sustituye al bloqueo y etiquetado?
No. OSHA 1910.147 abarca las tareas de mantenimiento en las que una energización o puesta en marcha inesperada, o la liberación de energía almacenada, puede causar lesiones. Exige procedimientos de control de energías peligrosas y dispositivos de aislamiento de energía; los pulsadores y los dispositivos del circuito de mando no son dispositivos de aislamiento de energía (OSHA, consultado en 2026).
¿Qué deben recordar los ingenieros?
ISO 13849-1:2023 abarca cinco ámbitos tecnológicos indicados en su alcance: sistemas de mando relacionados con la seguridad eléctricos, hidráulicos, neumáticos, mecánicos y basados en software. Esta amplitud es la prueba definitiva de que las prestaciones de las categorías 3/4 no pueden reducirse a una sola válvula neumática monitorizada ni a un solo contacto de realimentación (ISO, 2023).
Trate la válvula como un subsistema definido. Confirme sus dos estados de funcionamiento, la función de seguridad, el método de monitorización, los límites temporales, la reacción ante fallos, los requisitos de rearme, los datos de fiabilidad, los accesorios permitidos y las hipótesis de diagnóstico. Después verifique que la máquina completa alcanza su estado especificado de presión y movimiento ante demandas normales y fallos verosímiles. La pregunta de compra más segura no es «¿Esta válvula tiene categoría 4?». Pregunte en su lugar: «¿Qué función de seguridad y qué modos de fallo admite esta válvula concreta, bajo qué condiciones de integración y qué pruebas debemos validar en la máquina instalada?»