Cómo detectar de forma segura un sensor de máquina desconectado

Un sensor desconectado no se distingue automáticamente de un estado legítimo de APAGADO. En una entrada convencional normalmente abierta, un objetivo ausente, un conductor abierto, la pérdida de alimentación del sensor y un conector retirado pueden producir el mismo cero. La respuesta correcta comienza por definir qué hace el sensor y qué riesgo existe si ese cero se acepta como un estado correcto.

Un cableado que hace visibles las fallas mejora el diagnóstico, pero la protección del personal depende de la función de seguridad completa y validada.

Separe el diagnóstico del proceso de la seguridad funcional

Un sensor de proceso puede detectar una pieza, el nivel de un tanque, la posición de un cilindro o un atasco en un transportador. Si su cable se abre, la respuesta adecuada podría ser una alarma de mantenimiento, el bloqueo del ciclo o una parada controlada. Un dispositivo de protección, como un resguardo enclavado, una cortina fotoeléctrica o una parada de emergencia, pertenece a una función de seguridad derivada de la evaluación de riesgos de la máquina. Su arquitectura, cobertura de diagnóstico, tiempo de respuesta, comportamiento del reinicio y verificación deben cumplir el nivel de desempeño de seguridad requerido.

Una entrada de PLC estándar puede proporcionar información valiosa para el mantenimiento, pero etiquetar su lógica como «seguridad» no le confiere tolerancia certificada a fallas. Las decisiones de protección deben tomarse mediante dispositivos y lógica de seguridad adecuados. El control estándar puede recibir el estado de diagnóstico para mostrar mensajes, registrar marcas de tiempo y facilitar la resolución de problemas, sin convertirse en el único elemento que elimine el movimiento peligroso.

Las categorías de hardware pertinentes pueden consultarse en la colección de sensores del sitio y en PLC y sistemas PAC, pero el dispositivo seleccionado, el módulo de entrada y el método de cableado deben validarse como una sola aplicación.

Elija un circuito cuyo estado correcto pueda observarse

Un contacto normalmente cerrado conduce corriente en su estado de reposo correcto, por lo que un conductor roto tiende a hacer que la entrada se apague. Esto revela más fallas que un circuito normalmente abierto, aunque no constituye una protección completa. Un cortocircuito en paralelo con el contacto puede mantener la señal activada, un conductor común puede inutilizar varios canales y el software puede gestionar incorrectamente la transición.

Los dispositivos modernos de protección electrosensibles suelen utilizar dos salidas semiconductoras supervisadas, conocidas habitualmente como canales OSSD. Un controlador de seguridad compatible evalúa ambos canales, incluidos su sincronización y comportamiento de prueba. Los dispositivos electromecánicos para resguardos pueden utilizar contactos de apertura positiva en una configuración de doble canal. El objetivo no es simplemente tener «dos cables», sino detectar fallas de forma independiente, controlar el comportamiento de prueba y definir una respuesta segura.

Comprenda qué mide realmente una entrada para detectar conductores abiertos

Los módulos de entrada de diagnóstico pueden distinguir un conductor abierto esperando una pequeña corriente incluso cuando el contacto de campo está abierto. El manual actual de E/S digitales ControlLogix de Rockwell Automation indica que la detección de conductores abiertos verifica el cableado de campo y requiere una corriente de fuga mínima. En una entrada de contacto, se coloca una resistencia de fuga en paralelo con el contacto para que el módulo espere corriente durante el estado lógico APAGADO. La pérdida de esa corriente genera una falla a nivel del punto.

El 1756-IB16D es un módulo de entrada de diagnóstico de 10–30 V CC. La información de cableado publicada especifica valores de resistencia de fuga según la tensión de alimentación, incluidos 15 kΩ a 24 V CC. Esos valores son datos de ingeniería específicos del dispositivo, no una fórmula universal. Los umbrales de entrada, la tolerancia y la potencia nominal de la resistencia, la corriente de fuga del sensor en estado desactivado, los indicadores del módulo de interfaz y las variaciones de alimentación afectan la ventana de diagnóstico.

Una corriente de fuga demasiado baja puede hacer que un contacto abierto correcto parezca un conductor roto. Una corriente excesiva puede mantener activada la entrada, generar calor u ocultar otra falla. Las lámparas indicadoras y los módulos de interfaz también pueden modificar la corriente en estado desactivado. Utilice el manual exacto de la serie del módulo, calcule la corriente y la disipación en las peores condiciones y pruebe el circuito de campo ensamblado con la tensión de alimentación mínima y máxima.

Diseñe las rutas de alimentación y retorno para facilitar el diagnóstico

El diagnóstico de un punto individual no siempre puede distinguir entre un conductor de señal roto y la pérdida del retorno común o de la alimentación de campo. Si un grupo de entradas informa fallas de conductores abiertos al mismo tiempo, investigue la alimentación y el retorno compartidos antes de reemplazar varios sensores. Supervise la alimentación de campo cuando sea posible y agrupe los canales de modo que una pérdida común no cree un estado ambiguo de la máquina.

Los sensores de proximidad y fotoeléctricos de tres hilos añaden otro modo de falla: el conductor de salida puede estar intacto mientras falta la alimentación del sensor. Utilice los diagnósticos del dispositivo, el estado auxiliar, la supervisión de corriente o una arquitectura de entrada que permita detectar la pérdida de alimentación. En los sensores inteligentes conectados en red, el estado de comunicación puede aportar información adicional, pero no debe sustituir silenciosamente la ruta de protección cableada, salvo que la función de seguridad en red esté diseñada y validada específicamente para ese fin.

Defina un comportamiento determinista ante las fallas

Para cada señal, documente la respuesta segura o controlada ante un conductor abierto, un cortocircuito, una discrepancia entre canales, la pérdida de alimentación de campo, datos de red obsoletos y una falla interna del dispositivo. Una entrada de proceso puede enclavar una alarma y bloquear el siguiente ciclo automático. Una entrada de seguridad debe activar la función de seguridad definida dentro de su tiempo de respuesta permitido.

No permita que un filtro antirrebote genérico o un retardo de alarma oculte la falla. El filtrado puede ser adecuado para el rebote de contactos o el ruido eléctrico, pero el retardo debe ser inferior al que permita el riesgo del proceso. Registre los bits de diagnóstico sin procesar por separado del estado de proceso acondicionado, para que el personal de mantenimiento pueda ver por qué se detuvo la máquina.

La restauración es igualmente importante. Volver a conectar un sensor no debe provocar un reinicio inesperado. Exija las condiciones de reinicio definidas por la evaluación de riesgos, confirme que el área peligrosa esté despejada y separe el reconocimiento de la falla del comando que inicia el movimiento.

Realice pruebas de comprobación en el circuito instalado

La revisión de un diagrama no puede demostrar el comportamiento en campo. Durante la puesta en marcha, pruebe el accionamiento normal y luego desconecte el sensor en el dispositivo y en los conectores intermedios. Abra cada conductor individualmente, retire la alimentación de campo, interrumpa el retorno común y genere los casos de discrepancia entre canales permitidos por el procedimiento de prueba del fabricante. Confirme que el controlador identifique el punto esperado y que la respuesta de la máquina coincida con los requisitos de seguridad.

Cuando se utilicen dos canales, pruebe un canal a la vez, la detección de fallas cruzadas según lo especificado, el tiempo de discrepancia, el reinicio y el bloqueo del rearranque. Registre el tiempo real de parada si contribuye a la distancia de protección. Después de realizar tareas de mantenimiento o reemplazar un dispositivo, repita las pruebas de comprobación pertinentes en lugar de suponer que una asignación idéntica de pines del conector garantiza un comportamiento idéntico.

Mantenga la cobertura de diagnóstico durante toda la vida útil de la máquina

Los cambios en bloques de terminales, módulos indicadores, longitud de los cables, tarjetas de entrada, tipos de sensores o configuración del controlador de seguridad pueden modificar la ventana de corriente o los tiempos de diagnóstico. Someta esos elementos a control de cambios. Revise periódicamente los registros de diagnóstico en busca de eventos intermitentes de conductores abiertos; a menudo revelan cadenas portacables dañadas, terminales flojos, contaminación o conectores deteriorados antes de que se produzca una interrupción total.

El límite de ingeniería es claro: la detección de conductores abiertos es una excelente función de mantenibilidad y puede contribuir a la detección de fallas, pero por sí sola no constituye una función de seguridad completa. Las máquinas confiables hacen visible cada falla, le asignan una respuesta determinista y verifican esa respuesta en el dispositivo de campo real.