STO (par seguro desconectado) elimina la energía que el variador envía al motor para producir par, sin cortar la alimentación de potencia; el motor queda libre y se detiene por inercia, lo que corresponde a una parada de categoría 0. SS1 (parada segura 1) frena el motor de forma controlada y, tras un tiempo o al bajar de cierta velocidad, activa el STO, lo que corresponde a la categoría 1. Ambas son funciones de seguridad de la norma IEC 61800-5-2 y se conectan a un circuito de seguridad, no al control normal.
Por qué existe una función de seguridad en el variador
El paro de un motor movido por un variador suele hacerse por software, con una orden al control del equipo. Para proteger a las personas esa vía no basta: si el control falla, el motor puede seguir recibiendo energía. Las normas de seguridad de máquinas exigen que el paro de seguridad no dependa del correcto funcionamiento del software de control, y los variadores modernos incluyen funciones específicas para ello.
La norma que define las funciones de seguridad de los accionamientos de velocidad variable es la IEC 61800-5-2. Su texto es de pago, por eso esta guía describe sus conceptos y toma los datos de la documentación pública de los fabricantes de accionamientos.
Categorías de parada
La norma de equipo eléctrico de máquinas, IEC 60204-1 (a la que en Europa corresponde la EN 60204-1), define categorías de parada que se usan para describir cómo se detiene un movimiento:
| Categoría | Qué ocurre | Ejemplo |
|---|---|---|
| 0 | Se corta la energía al actuador de inmediato; la parada es libre, por inercia o con freno mecánico | STO |
| 1 | Parada controlada: la máquina frena con energía y luego se corta | SS1 |
| 2 | Parada controlada y la energía se mantiene en el actuador | SS2 |
La categoría de parada de una función de emergencia se escoge con el análisis de riesgo: una parada libre puede ser peligrosa si la carga tiene mucha inercia, y una parada controlada puede ser inadecuada si el control mismo falla.
STO: par seguro desconectado
El STO (Safe Torque Off) impide que el variador entregue energía al motor para producir par. No corta la alimentación del variador ni el bus de CC, por lo que el variador sigue energizado, pero el inversor queda inhabilitado y el motor deja de recibir pulsos. Se implementa en hardware con dos canales redundantes que bloquean la señal de disparo de los transistores, y puede comprobarse en cada activación.
Efectos que hay que tener claros:
- El motor se detiene por inercia, o por el freno mecánico si lo hay. No hay frenado eléctrico.
- Una carga suspendida o una que empuja al motor sigue moviéndose; el STO no sostiene la carga. Se necesita freno mecánico.
- La alimentación sigue presente en el variador: el STO no reemplaza el aislamiento de energía para mantenimiento.
- Al volver a habilitarse, el variador necesita una orden de reinicio, según la lógica de seguridad definida.
SS1: parada segura 1
La SS1 (Safe Stop 1) hace una parada controlada y, al final, activa el STO. Hay dos variantes:
- SS1 con tiempo. El variador frena con la rampa que tenga configurada y, transcurrido un tiempo fijo, activa el STO.
- SS1 con rampa de velocidad. El variador monitorea que el frenado sea efectivo y activa el STO cuando la velocidad baja de un umbral. Si el frenado no ocurre como se espera, activa el STO de inmediato. Requiere conocer la velocidad de forma segura.
La SS1 es útil cuando una parada libre sería demasiado larga o peligrosa, como en cargas con mucha inercia, y se necesita frenar con control antes de cortar el par.
Otras funciones del conjunto
Los variadores con seguridad ampliada ofrecen funciones como SS2 (parada segura 2, que mantiene el motor controlado en parada), SOS (parada de operación segura), SLS (velocidad limitada segura), SBC (control seguro de freno) y otras. No todas están en todos los modelos, y su disponibilidad varía por marca y por módulo opcional.
Cómo se integra al circuito de seguridad
El STO se conecta a las entradas dedicadas del variador, normalmente dos, que no son entradas digitales comunes. Quién las gobierna es un dispositivo de seguridad y no el PLC estándar:
- Un relé de seguridad que recibe el paro de emergencia o una barrera y abre las dos entradas del STO.
- Un PLC de seguridad o un módulo de seguridad de una red de campo, cuando el variador admite seguridad por bus (por ejemplo, perfiles de seguridad sobre PROFINET o EtherNet/IP).
- Un variador con las funciones de seguridad integradas y un protocolo de seguridad, sin cableado adicional.
Principios del diseño:
- La cadena completa (sensor o botón, lógica de seguridad y variador) debe cumplir el nivel exigido por el análisis de riesgo, y se evalúa conjuntamente.
- El cableado de las dos entradas es redundante y se vigila para detectar cortocircuitos y discordancia.
- La función se valida en la puesta en servicio: se prueba que, al accionar el paro, el motor no recibe par, y que el reinicio exige la maniobra prevista.
- La parametrización de las funciones de seguridad se protege con contraseña y se registra, con una suma de verificación o firma cuando el equipo la ofrece.
Niveles de integridad
Los fabricantes declaran para cada variador y función un nivel de integridad de seguridad (SIL, de la IEC 61508 y la IEC 62061) o un nivel de desempeño (PL, de la ISO 13849). El valor depende del modelo y de la configuración; algunos alcanzan niveles altos y otros menos. Ese nivel es el del variador como componente; el de la máquina resulta del conjunto. Los conceptos generales se tratan en otra guía de esta serie sobre seguridad funcional.
Ejemplo ilustrativo
Ejemplo ilustrativo, no de una planta real. Un molino con una puerta de acceso, accionado por variador:
- Al abrir la puerta, un interruptor de seguridad envía su señal a un relé de seguridad.
- El relé abre los dos canales del STO del variador; el molino pierde el par y gira por inercia varios segundos.
- Un molino con alta inercia necesita un tiempo largo para detenerse. Por eso el diseño usa SS1: primero frena de forma controlada y activa el STO al final; la puerta tiene un enclavamiento que no libera la cerradura hasta que la velocidad es cero.
- En la puesta en servicio se prueba cada vez que el accionamiento de la puerta produce la parada esperada, y se registra el resultado.
Validación y mantenimiento de la función de seguridad
La función de seguridad de un variador no queda terminada con el cableado; se demuestra y se mantiene:
- Validación inicial. Con la máquina en condiciones seguras, se activa cada entrada de seguridad y se comprueba que el variador no entrega par, que lo indica por su señal de estado y que el reinicio requiere la maniobra definida. Se prueban también las fallas simuladas: una entrada abierta y la otra cerrada debe producir la reacción prevista, según la vigilancia de discordancia del dispositivo de seguridad.
- Tiempo de respuesta y de parada. Se mide el tiempo desde la orden hasta que el motor se detiene (o hasta que el STO actúa en SS1) con la carga real. Ese tiempo se contrasta con el que el análisis de riesgo supone para las distancias de seguridad.
- Documentación. Se conserva el esquema de la cadena de seguridad, la configuración de los parámetros de seguridad (con su suma de verificación si el equipo la genera), el informe de validación y la identificación de las versiones de hardware y software.
- Pruebas periódicas. Los fabricantes indican un intervalo de prueba de la función, que depende del nivel de integridad declarado y de la frecuencia de demanda. Se programa en el plan de mantenimiento, con registro de resultados.
- Gestión del cambio. Cualquier modificación de la lógica de seguridad, del variador o del cableado exige repetir la validación. Reemplazar un variador por otro de la misma referencia requiere revisar que la configuración de seguridad sea la validada.
- Acceso. Los parámetros de seguridad se protegen y solo personal autorizado los modifica.
Las normas aplicables dan los criterios de cálculo y de verificación. Pero la responsabilidad del integrador es demostrar que la máquina completa cumple el nivel que el análisis de riesgo pide.
Errores frecuentes
- Conectar el STO a una salida del PLC estándar en vez de a un dispositivo de seguridad.
- Puentear las entradas del STO para que el variador arranque, y dejar el puente en la entrega.
- Creer que el STO sostiene una carga suspendida.
- No considerar el tiempo de parada por inercia en el cálculo de la distancia de seguridad.
- No validar la función tras cambios de software o de cableado.
- Usar el STO como paro de emergencia sin análisis de riesgo.
- Asumir el mismo nivel de seguridad para variadores de distintas series.
Lista de verificación
- Análisis de riesgo que define las funciones y el nivel necesarios.
- Variador con las funciones de seguridad y el nivel declarado en su documentación.
- Dispositivo de seguridad (relé o PLC de seguridad) adecuado para el nivel.
- Cableado redundante de las dos entradas del STO y su vigilancia.
- Tiempo de parada medido y coherente con la distancia de seguridad.
- Freno mecánico donde la carga pueda moverse.
- Validación documentada de cada función de seguridad.
- Parámetros de seguridad protegidos y con copia de seguridad.
Cómo le ayudamos
Las funciones de seguridad exigen un diseño de conjunto y una validación documentada. En Diseño de ingeniería y estudios integramos el variador al circuito de seguridad con el nivel que el análisis de riesgo pida, y en las pruebas y puesta en servicio validamos cada función. Escríbanos por contacto.
Guías relacionadas
- Motor de inducción y sus protecciones
- CCM inteligente
- Variador Siemens SINAMICS
- Variador ABB ACS880, ACS580 y ACS6000
- Arrancador suave o variador de frecuencia
- Paro de emergencia y categorías de parada 0, 1 y 2
- Relés de seguridad: cómo funcionan y cómo se cablean
- Seguridad funcional: SIL y PL, conceptos clave
- Comunicación de variadores: Modbus, PROFINET y EtherNet/IP
- Bombeo con variador de frecuencia: aplicación y control
Referencias
- SEW-Eurodrive, documentación de funciones de seguridad STO y SS1 de accionamientos MOVIMOT.
- Synapticon, «Safe stop functions: SS1, SS2, SOS».
- IEC 61800-5-2, seguridad funcional de accionamientos eléctricos de velocidad variable (consultar la edición vigente).
- IEC 60204-1, equipo eléctrico de máquinas: categorías de parada.
Preguntas frecuentes
¿El STO sustituye al contactor de seguridad entre el variador y el motor?
En muchas aplicaciones sí, si el variador con STO está certificado para el nivel de seguridad que el análisis de riesgo exige, porque la función garantiza que el motor no recibe par. Debe validarse con el fabricante y con el análisis de riesgo de la máquina. Eso no elimina la necesidad de aislar la energía para trabajos de mantenimiento.
¿Qué diferencia hay entre STO y un paro normal del variador?
El paro normal lo ejecuta el control del variador y depende del software y de su estado. El STO es una función de seguridad de hardware redundante, con una entrada propia, que impide que el variador genere pulsos hacia el motor, aunque el control falle. Por eso se usa para la seguridad de las personas.
¿SS1 necesita encoder?
Depende de la variante. En SS1 con tiempo, el variador frena y activa el STO tras un tiempo fijo, y no necesita medir la velocidad. En SS1 con rampa de velocidad, el STO se activa al bajar de un umbral de velocidad, lo que exige conocer la velocidad, por encoder o por estimación certificada, según el equipo.
¿Un variador con STO ya cumple SIL 3 o PL e?
No automáticamente. Los fabricantes declaran el nivel que alcanza la función en su documentación, según el modelo y la configuración. El nivel final de la máquina depende de todo el lazo de seguridad: sensor, lógica y variador, y de cómo se instala.