Ningún diseño de sistema de seguridad neumático puede demostrar una reducción universal del 98 % de las lesiones graves. Un diseño defendible empieza por el peligro de la máquina, define el estado seguro requerido, selecciona una arquitectura de control adecuada y valida la función de seguridad completa. Las válvulas rápidas, la redundancia, los diagnósticos, la retención de cargas y el bloqueo pueden ser importantes, pero resuelven problemas distintos.
OSHA estima que el cumplimiento de su norma de bloqueo y etiquetado evita 120 muertes y 50.000 lesiones cada año. Esa cifra se refiere al control de energías peligrosas en distintos sectores, no a un circuito o una disposición de válvulas neumáticas concretos (hoja informativa de OSHA sobre bloqueo y etiquetado, 2022).
Puntos clave
- Ninguna norma respalda una promesa universal de reducción del 98 % de las lesiones.
- Defina el estado seguro antes de seleccionar válvulas o bloqueos de vástago.
- Use el tiempo total de parada, no solo la respuesta de la válvula, para calcular la distancia de separación.
- Valide la función de seguridad instalada y mantenga separado el LOTO de mantenimiento.
¿Puede algún diseño de sistema de seguridad neumático garantizar la prevención del 98 % de las lesiones?
OSHA atribuye aproximadamente 120 muertes evitadas y 50.000 lesiones evitadas al año al cumplimiento de su norma sobre energías peligrosas, pero no asigna un resultado del 98 % al diseño de seguridad neumático. Ninguna norma ISO o IEC de seguridad de maquinaria proporciona ese porcentaje universal (hoja informativa de OSHA sobre bloqueo y etiquetado, 2022).
Tratar un porcentaje como objetivo de diseño oculta las variables que importan. El riesgo de lesión depende del peligro, la exposición, la gravedad posible, el acceso, el modo de operación, el comportamiento humano, la respuesta de la máquina, la fiabilidad de los componentes y la eficacia de las medidas de reducción de riesgos. Una cifra obtenida en una planta o máquina no se transfiere automáticamente a otra.
La reducción de riesgos es el proceso de disminuir el riesgo mediante un diseño inherentemente seguro, resguardos y medidas de protección complementarias, además de información para el uso. ISO 12100 lo describe como un proceso iterativo, no como un atajo para seleccionar productos (ISO 12100:2010).
Formule una pregunta medible: ¿la máquina alcanza y mantiene su estado seguro definido antes de que una persona pueda encontrarse con el peligro, incluidos los fallos que la arquitectura seleccionada debe tolerar? Los cálculos, los datos de componentes, los ensayos y los registros pueden responderla.
Haga que la afirmación resultante sea limitada. Por ejemplo: «Al abrirse el resguardo A, el movimiento peligroso de la mordaza se detiene antes de cruzar la distancia de separación calculada y un fallo de salida detectado impide el reinicio automático». Eso se puede auditar. «Nuestro sistema evita el 98 % de las lesiones» no.
Definir la función de seguridad antes de elegir una válvula
Defina cada función de seguridad antes de seleccionar una válvula. ISO 12100:2010 es una norma de seguridad de maquinaria de 77 páginas, confirmada como vigente en 2022, que comienza con la identificación de peligros y la reducción iterativa de riesgos. La demanda de la función, el estado seguro, el comportamiento ante fallos y los criterios de aceptación deben formar parte de la especificación (ISO 12100:2010).
Una función de seguridad es una respuesta especificada de la máquina que reduce el riesgo cuando ocurre un evento definido. «Instalar una válvula de descarga supervisada» es una instrucción sobre un componente, no una función de seguridad completa. La especificación debe indicar qué inicia la respuesta, qué comportamiento peligroso debe detenerse o evitarse y cómo se verificará el resultado.
Empiece con seis preguntas:
- ¿Qué movimiento, presión, carga gravitatoria, vacío, fuerza de muelle o energía almacenada puede causar daño durante la operación, la parada, la pérdida de alimentación, el mantenimiento y la recuperación de una interrupción?
- ¿Quién puede quedar expuesto y en qué modos de operación y mantenimiento?
- ¿Qué condición física constituye el estado seguro?
- ¿Con qué rapidez debe alcanzarse ese estado y cuánto tiempo debe mantenerse?
- ¿Qué fallos deben detectarse o tolerarse?
- ¿Qué comportamiento de rearme y reinicio evita un nuevo peligro?
Los estados seguros pueden ser distintos dentro de una misma máquina. Una mordaza horizontal puede necesitar que se elimine la presión. Un eje vertical puede necesitar que su carga quede apoyada antes de descargar el aire. Una pinza puede tener que conservar una pieza hasta terminar una secuencia de depósito segura. ¿Por qué suponer que «aire desconectado» siempre significa «seguro»?
| Condición peligrosa | Posible requisito del estado seguro | Evidencia necesaria |
|---|---|---|
| Un cilindro horizontal puede aplastar a un operario | Detener el movimiento, bloquear la alimentación y reducir la presión atrapada | Prueba de tiempo total de parada y presión residual |
| Una carga vertical puede caer al desaparecer la presión | Sostener o apoyar mecánicamente la carga antes de descargar el aire | Datos de sujeción nominal y prueba con la carga instalada |
| Una pinza de vacío puede dejar caer una pieza | Mantener la sujeción o mover la pieza a una ubicación controlada | Prueba de pérdida de alimentación y supervisión de carga |
| Un actuador con retorno por muelle se mueve durante la descarga | Controlar o restringir el movimiento de retorno | Verificación de carrera, fuerza y zona de acceso |
| Un técnico entra para realizar mantenimiento | Aislar la energía, bloquearla y disipar o sujetar la energía almacenada | Procedimiento LOTO específico de la máquina y comprobación del aislamiento |
La guía del circuito de control de seguridad a dos manos muestra cómo una tecnología de entrada encaja en esta cadena más amplia de entrada, lógica, salida y validación.
¿Por qué es inseguro un objetivo universal de válvula de 15 a 50 ms?
La respuesta de la válvula por sí sola no puede definir una distancia de separación segura. ISO 13855:2024 es una norma de 72 páginas que basa la posición de los resguardos en el rendimiento total de parada. El sensor, la lógica, la salida, la caída de presión, el movimiento del actuador, el comportamiento de la carga y la desaceleración mecánica contribuyen al resultado específico de la aplicación (ISO 13855:2024).
El tiempo de desplazamiento de la válvula es solo un intervalo. Una válvula puede moverse en 20 ms mientras un volumen grande aguas abajo tarda mucho más en despresurizarse. Un cilindro también puede continuar moviéndose por la presión atrapada, la inercia, la gravedad, un muelle externo o la energía mecánica almacenada.
Para muchas aplicaciones de ISO 13855, la relación general de distancia de separación es:
Aquí, S es la distancia mínima de separación en milímetros, K es el parámetro aplicable de velocidad de aproximación humana en milímetros por segundo, T es el rendimiento total de parada en segundos y C es el margen de intrusión o alcance en milímetros. Los valores y condiciones exactos dependen del resguardo, el tipo de aproximación, la norma de la máquina y la aplicación.
Represente el presupuesto de tiempo completo como:
Cada término es una contribución del peor caso, desde la detección hasta la detención final de la función peligrosa. Los datos del fabricante sobre el tiempo de respuesta pueden respaldar los primeros cálculos, pero el rendimiento de parada instalado todavía necesita medición. La guía de aplicación de seguridad de Rockwell de 2026 también indica que el cálculo final debe utilizar el sistema de seguridad específico y el tiempo de parada medido de la máquina (Rockwell Automation, 2026).
Mida la señal y el resultado físico sobre una misma base temporal:
- registre la demanda del resguardo;
- capture las transiciones de entrada y salida del controlador de seguridad;
- supervise la realimentación del elemento final, cuando exista;
- mida la presión en los puertos relevantes del actuador;
- registre el último movimiento peligroso, no solo el movimiento de la corredera de la válvula;
- repita la prueba con la carga, la presión, la temperatura, el modo de operación, la restricción de escape y el estado de contaminación aprobados que puedan ralentizar la respuesta física.
Si el objetivo de seguridad es la caída de presión, defina la presión aguas abajo que constituye la condición segura y el tiempo permitido para alcanzarla. Si el objetivo es sujetar la carga, la caída de presión puede ser secundaria. El límite de aceptación debe seguir a la función de seguridad.
Para ejes que continúan moviéndose después de retirar la energía, la guía de dinámica de parada de emergencia analiza la inercia, las cargas externas y la diferencia entre desenergizar y detener físicamente el movimiento.
Seleccionar PL o SIL para la seguridad de maquinaria
Elija el marco aplicable antes de calcular la fiabilidad. ISO 13849-1:2023 contiene 152 páginas y cubre controles de seguridad de alta demanda o continuos que utilizan tecnologías neumáticas y otras; IEC 62061:2021 proporciona un método de maquinaria basado en SIL. Los requisitos del proyecto determinan qué método rige (ISO 13849-1:2023; IEC 62061:2021).
Performance Level, o PL, es la medida de ISO 13849 utilizada para describir la capacidad de un sistema de control relacionado con la seguridad de ejecutar una función de seguridad bajo condiciones previsibles. Safety Integrity Level, o SIL, es el concepto de integridad correspondiente que IEC 62061 utiliza para los sistemas de control relacionados con la seguridad de maquinaria.
Ninguna de las dos etiquetas pertenece a una válvula de forma aislada cuando la afirmación se refiere a la máquina completa. La certificación de un elemento final puede aportar datos útiles de fallo y características de arquitectura, pero el PL o SIL alcanzado también depende de los dispositivos de entrada, la lógica, las interfaces, los diagnósticos, los controles de causas comunes, las condiciones de aplicación y la validación.
No calcule ambos marcos y publique el resultado que parezca más favorable. Seleccione el método exigido por la vía normativa del proyecto, la norma de la máquina, la especificación del cliente y el proceso de ingeniería. Documente los supuestos, los límites de los subsistemas, el tiempo de misión, la tasa de demanda, los datos de fiabilidad de los componentes, las exclusiones de fallos y la cobertura de diagnóstico.
Para los detalles de cálculo, la guía de circuitos de seguridad neumáticos según ISO 13849 cubre PLr, categoría, MTTFd, DCavg, CCF y SISTEMA. Este artículo se mantiene en el nivel de decisión del sistema: ¿qué debe hacer realmente la salida neumática y cómo lo demostrará la máquina instalada?
¿Cómo debe elegirse el estado seguro neumático?
Seleccione el estado seguro a partir del análisis de peligros, no de una orden predeterminada de descarga. ISO 14118:2017 es una norma de 11 páginas que aborda el arranque inesperado por alimentación neumática, gravedad, muelles e influencias externas, y no asigna PL ni SIL a una máquina específica (ISO 14118:2017).
Un estado seguro neumático es la condición física en la que las energías neumáticas y mecánicas almacenadas identificadas ya no crean un riesgo inaceptable. Puede requerir una acción o una secuencia coordinada.
Las opciones habituales incluyen:
- Bloquear y descargar: aislar la alimentación y ventear un circuito que no soporte cargas.
- Sujetar antes de descargar: activar una retención de carga o restricción mecánica cualificada, confirmar el enclavamiento y después descargar el volumen correspondiente.
- Evitar la pérdida de presión: conservar temporalmente la presión cuando la pérdida de vacío o de fuerza de agarre dejaría caer una pieza, mientras se supervisa la energía almacenada.
- Retorno controlado: mover un actuador a una posición segura verificada antes de aislar la alimentación.
- Soporte mecánico: bloquear un elemento elevado con una retención cualificada para su masa, dirección de carga, condiciones de acceso y actividad de mantenimiento previsible, de modo que la condición segura no dependa del aire comprimido ni de una señal de control.
Evite tratar el «mecanismo de bloqueo de doble presión» como una categoría universal de dispositivo de seguridad. Especifique el mecanismo real: bloqueo de vástago aplicado por muelle, freno dinámico, conjunto de válvula de retención pilotada, método de contrabalanceo, bloqueo mecánico externo u otra retención validada. La sujeción estática y el frenado de emergencia son funciones distintas.
Use la guía de integración de válvulas de escape de seguridad cuando el resultado requerido sea reducir la presión. Para cargas retenidas, la guía de bloqueos de vástago neumáticos explica por qué la capacidad de sujeción estática no demuestra automáticamente la capacidad de parada dinámica.
La guía de cilindros con enclavamiento cubre otro enfoque para conservar la posición, pero sus límites de producto deben evaluarse dentro de la función de seguridad completa.
Una válvula de venteo bloqueable puede contribuir al aislamiento de la energía neumática, pero el procedimiento completo también debe abordar la presión atrapada, las cargas gravitatorias, las demás fuentes de energía, la verificación y el reinicio.
¿Qué deben demostrar la redundancia y los diagnósticos?
La redundancia debe sobrevivir a los fallos que se declaran en el análisis de seguridad. ISO 13849-1:2023 se aplica a una metodología de 152 páginas que cubre elementos neumáticos, mecánicos, eléctricos, hidráulicos y de software. Dos válvulas que comparten una alimentación, una orden o un recorrido de escape vulnerable todavía pueden fallar juntas (ISO 13849-1:2023).
La redundancia solo ayuda cuando un canal todavía puede ejecutar la respuesta requerida después de un fallo relevante en el otro. Los diagnósticos solo ayudan cuando detectan los fallos considerados en el análisis de seguridad y provocan una reacción definida antes de que los fallos acumulados inutilicen la función.
¿Qué podría inutilizar ambos canales? Aire contaminado, humedad congelada, un silenciador subdimensionado, una alimentación eléctrica común, un mantenimiento incorrecto, una salida común del controlador, un atasco mecánico o un fallo de montaje pueden eludir la independencia nominal de los canales. La separación física por sí sola no resuelve el fallo de causa común.
En nuestra experiencia al revisar conceptos de seguridad neumática, la forma más rápida de descubrir una redundancia débil es seguir la energía y las órdenes en lugar de contar componentes. Preguntamos qué alimenta ambos canales, qué impide que ambos descarguen, qué realimentación demuestra el estado físico y qué único error de mantenimiento puede afectar a los dos a la vez.
Documente lo siguiente en el expediente de ingeniería:
- el peligro, el evento iniciador, la función de seguridad exacta, el estado seguro físico, el límite de tiempo de respuesta y el PLr o SIL requerido;
- la arquitectura y los límites de los subsistemas;
- los datos B10d, MTTFd, tasa de fallos, uso y entorno del fabricante junto con todos los supuestos aplicados;
- la cobertura de diagnóstico, la tasa de prueba, la respuesta ante fallos y la magnitud física que cada diagnóstico observa o no puede observar;
- las medidas contra causas comunes, las exclusiones de fallos y su justificación;
- la tasa de ciclos prevista, el tiempo de misión y las restricciones de mantenimiento;
- la respuesta de la máquina a un fallo detectado, las condiciones de rearme y la evidencia necesaria antes de reanudar la producción.
La realimentación de la posición de la corredera confirma la posición de la corredera, no la presión aguas abajo ni el movimiento del cilindro. Un presostato confirma la presión en su puerto, no la sujeción mecánica. Un sensor del cilindro confirma la ubicación del pistón, no necesariamente la carga externa. Elija una realimentación próxima al resultado físico perdido de la función de seguridad.
¿Cómo debe validarse la función de seguridad instalada?
La validación debe demostrar la función especificada en la máquina instalada. ISO 13849-2:2012 dedica 79 páginas a la validación mediante análisis y ensayos de las funciones de seguridad, la categoría alcanzada y el nivel de prestaciones alcanzado; el certificado de un componente por sí solo no es evidencia del sistema (ISO 13849-2:2012).
Cree el plan de validación antes de la puesta en marcha. Vincule cada requisito con un método, un límite de aceptación, una condición de prueba, una persona responsable y un registro. Si el requisito dice «escape rápido» sin indicar el punto medido, el umbral de presión, la referencia temporal y el volumen del peor caso, todavía no es comprobable.
| Objetivo de validación | Medición o inspección | Desafío representativo | Evidencia de aceptación |
|---|---|---|---|
| Detener el movimiento peligroso | Traza sincronizada de demanda y movimiento | Velocidad y carga máximas aprobadas | Tiempo de parada medido dentro del límite de diseño |
| Alcanzar una presión segura | Traza de presión-tiempo aguas abajo | Volumen mayor y recorrido de escape más restrictivo | Umbral alcanzado dentro del tiempo especificado |
| Sujetar una carga gravitatoria | Posición o desplazamiento a lo largo del tiempo | Pérdida de alimentación y fallos individuales relevantes | El movimiento permanece dentro del límite aprobado |
| Detectar un fallo de salida | Registro de realimentación y del controlador de seguridad | Una salida impedida de cambiar de estado | Fallo detectado y reinicio bloqueado |
| Evitar un reinicio inesperado | Observación de órdenes, rearme y actuador | Cierre del resguardo o recuperación de la alimentación | Ningún movimiento peligroso antes del rearme deliberado |
| Mantener el aislamiento durante el servicio | Verificación del aislamiento de energía | Presión atrapada o que vuelve a acumularse | Todas las fuentes de energía aisladas o sujetas |
Pruebe los fallos previsibles sin crear una exposición incontrolada. Use útiles adecuados, zonas de exclusión, instrumentos calibrados, cargas apoyadas y un procedimiento de ensayo autorizado. Algunos fallos pueden simularse desconectando la realimentación o inhibiendo un canal; otros requieren análisis porque introducirlos físicamente sería inseguro o destructivo.
Una parada correcta no constituye un programa de validación. Repita las mediciones con la tolerancia de alimentación, el rango de cargas, el modo de operación, la temperatura, la restricción de escape y los estados de componentes que produzcan la respuesta más lenta. Registre los valores máximos observados y la incertidumbre de medición. ¿La función seguiría superando la prueba si la siguiente parada fuera ligeramente más lenta?
Vuelva a validar después de cambiar la válvula, el silenciador, los tubos, la temporización del controlador, el software, la carga, el resguardo, el cilindro, el bloqueo de vástago, el ajuste de presión o el método de ensayo. Llamar a un repuesto «equivalente» no demuestra que sus datos de seguridad o su comportamiento dinámico sean idénticos.
LOTO y los límites de la seguridad del sistema de control
El LOTO rige el mantenimiento cubierto cuando debe controlarse la energía peligrosa. OSHA 29 CFR 1910.147 incluye explícitamente la energía neumática y exige aislar, tratar la energía almacenada o residual y verificar antes de trabajar. Una parada de emergencia o una salida del PLC de seguridad no puede sustituir ese proceso (OSHA 1910.147).
Las funciones de parada de emergencia y resguardo contribuyen a la reducción de riesgos durante la operación. El LOTO controla la energía peligrosa durante el mantenimiento cubierto. Pulsar un botón de parada de emergencia normalmente cambia el estado de control; puede no aislar físicamente la alimentación eléctrica, el suministro neumático, los acumuladores, la presión atrapada en las cámaras, la gravedad o los muelles.
La secuencia de OSHA exige preparar, detener ordenadamente, aislar las fuentes de energía, aplicar bloqueos o etiquetas, controlar la energía almacenada y verificar. La verificación neumática puede incluir comprobar un indicador de presión, accionar un mando normal cuando esté permitido para confirmar el aislamiento, probar la presión atrapada y confirmar que los elementos elevados están bloqueados o sujetos de otra manera.
Una válvula de venteo bloqueable puede ser un dispositivo de aislamiento de energía. No identifica todas las fuentes de energía ni demuestra que un paso bloqueado no pueda volver a acumular presión. Los procedimientos específicos de la máquina deben definir la posición de la válvula, el punto de bloqueo, los puntos de purga, el método de sujeción, el paso de verificación y la secuencia de restauración.
OSHA también exige inspeccionar periódicamente cada procedimiento de control de energía al menos una vez al año conforme a 1910.147(c)(6). Ese intervalo se aplica a la inspección del procedimiento, no automáticamente a cada prueba de funcionamiento de una válvula de seguridad. Los intervalos de prueba del componente y de la función de seguridad proceden de la norma aplicable, los datos del fabricante, el cálculo de fiabilidad, la evaluación de riesgos y el estado observado.
Preguntas frecuentes sobre sistemas de seguridad neumáticos: ¿qué deben verificar los ingenieros?
Los ingenieros deben verificar tres resultados distintos. ISO 13849-1:2023 cubre controles de seguridad de alta demanda y continuos, ISO 14118:2017 aborda el arranque inesperado desde múltiples fuentes de energía y OSHA 1910.147 rige el mantenimiento cubierto. La integridad del control, el estado seguro físico y el aislamiento de energía deben funcionar como requisitos coordinados.
¿Una válvula de parada de emergencia debe cerrarse en menos de 50 ms?
No existe un límite universal de 50 ms para todas las máquinas neumáticas. El resultado requerido procede de la evaluación de riesgos, la definición del estado seguro y el cálculo del rendimiento total de parada. Mida toda la cadena, desde el dispositivo iniciador hasta la lógica, la respuesta de la válvula, el cambio de presión, el comportamiento del actuador y la detención del movimiento peligroso. Compare el peor resultado con el límite de aceptación documentado.
¿Una válvula PL e o SIL 3 hace que toda la máquina cumpla la normativa?
No. El certificado de un componente describe su comportamiento dentro de las condiciones y arquitecturas indicadas. La función de seguridad completa también incluye sensores, lógica, interfaces, salidas neumáticas, comportamiento mecánico, diagnósticos, control de causas comunes, software, instalación y validación. Verifique el PL o SIL alcanzado por el límite del sistema definido; no transfiera a la máquina la clasificación de un solo componente.
¿Todos los circuitos neumáticos deben descargar el aire cuando se abre un resguardo?
No. Descargar la presión puede crear un peligro de caída de carga, retorno por muelle, pérdida de vacío o movimiento incontrolado. Defina primero el estado seguro de cada función peligrosa. Algunos circuitos deben descargar; otros pueden necesitar un bloqueo de vástago, un soporte mecánico, presión retenida con supervisión o un retorno controlado. Valide toda la secuencia en condiciones normales y de fallo.
¿Un bloqueo de vástago puede sustituir el bloqueo mecánico o el LOTO?
No automáticamente. Un bloqueo de vástago puede sostener una carga estática dentro de sus condiciones especificadas, mientras que el frenado dinámico, la protección de las personas y el aislamiento de energía son funciones distintas. Confirme la capacidad del producto, la secuencia de enclavamiento, la dirección de carga, el estado del vástago, el comportamiento ante fallos y la documentación de seguridad. Durante el mantenimiento cubierto, siga el procedimiento LOTO específico de la máquina y soporte las cargas peligrosas por gravedad cuando sea necesario.
¿Con qué frecuencia debe probarse una función de seguridad neumática?
No existe un intervalo universal mensual, trimestral o anual para todas las funciones de seguridad neumáticas. Aplique la norma correspondiente, el cálculo de fiabilidad, las instrucciones del fabricante, los ciclos de operación, los diagnósticos, el entorno y la evaluación de riesgos. OSHA exige por separado una inspección al menos anual de cada procedimiento de control de energía. Vuelva a validar cualquier cambio que pueda afectar la función de seguridad o sus supuestos.
Fuentes y referencias técnicas
- Hoja informativa de OSHA sobre bloqueo y etiquetado, estimación de muertes y lesiones evitadas, tipos de energía cubiertos y formación de trabajadores. Consultado el 27 de julio de 2026.
- OSHA 29 CFR 1910.147, control de energías peligrosas, tratamiento de energía almacenada, verificación del aislamiento e inspección periódica de procedimientos. Consultado el 27 de julio de 2026.
- ISO 12100:2010, evaluación de riesgos de maquinaria y reducción iterativa de riesgos. Consultado el 27 de julio de 2026.
- ISO 13850:2015, principios de la función de parada de emergencia. Consultado el 27 de julio de 2026.
- ISO 13855:2024, posición de los resguardos y aproximación humana. Consultado el 27 de julio de 2026.
- ISO 13849-1:2023, diseño e integración de partes de sistemas de control relacionadas con la seguridad. Consultado el 27 de julio de 2026.
- ISO 13849-2:2012, validación mediante análisis y ensayos. Consultado el 27 de julio de 2026.
- IEC 62061:2021, seguridad funcional de sistemas de control relacionados con la seguridad de maquinaria. Consultado el 27 de julio de 2026.
- ISO 14118:2017, prevención del arranque inesperado por energía suministrada y almacenada. Consultado el 27 de julio de 2026.
- ISO 4414:2010, requisitos de seguridad de sistemas neumáticos durante el diseño, la instalación, la operación y el mantenimiento. Consultado el 27 de julio de 2026.
- Técnica de aplicación de seguridad de Rockwell Automation, distancia de separación específica de la aplicación, temporización de la cadena de respuesta completa, medición del tiempo de parada de la máquina y advertencia expresa de que el cálculo final debe utilizar la instalación real. Consultado el 27 de julio de 2026.