Desmitificando los estados operativos de los PLC y las secuencias de arranque

Los controladores lógicos programables modernos gestionan la ejecución mediante distintos estados operativos: Run, Stop, Start-Up y Hold. Durante el encendido, el controlador inicializa los registros de memoria en el modo Stop antes de pasar brevemente al modo Start-Up. En esta fase, los autodiagnósticos internos evalúan la integridad del sistema, tanto del hardware como de los programas del usuario. Si el controlador no detecta fallos críticos, pasa al modo Run para ejecutar continuamente el programa de control. Sin embargo, cualquier anomalía grave del sistema hace que la CPU vuelva inmediatamente al modo Stop para evitar un comportamiento errático de la maquinaria en toda la planta.

Anomalías de hardware y condiciones de fallo de los módulos

Los fallos críticos de hardware suelen hacer que los controladores salgan del modo Run. Los cortocircuitos en los buses de alimentación del plano posterior, las pérdidas graves de comunicación con los módulos o las fluctuaciones de la fuente de alimentación provocan que la CPU se desconecte inmediatamente por fallo. Las incompatibilidades no críticas entre tarjetas quizá solo generen avisos sin interrumpir el procesamiento. Sin embargo, los fallos catastróficos de los módulos o las conexiones dañadas del bastidor activan rutinas de apagado de protección para proteger los equipos de campo. En mis 15 años prestando servicio en plantas industriales, he comprobado que instalar fuentes de alimentación redundantes para el plano posterior y protección contra sobretensiones de alta calidad reduce drásticamente las desconexiones imprevistas de la CPU causadas por el hardware.

Excepciones de la lógica del software y errores de gestión de memoria

Los errores no controlados durante la ejecución del software son otro desencadenante importante de apagados imprevistos de los controladores. Entre los descuidos de programación más comunes se incluyen las operaciones matemáticas de división por cero, el desbordamiento de índices de matrices, los bucles infinitos y los tiempos de espera agotados del temporizador de vigilancia. Cuando la lógica de ejecución encuentra una excepción no gestionada, el procesador detiene la ejecución para evitar que se corrompa el estado de las salidas. Además, si no se guardan los cambios realizados en tiempo de ejecución en la RAM no volátil, pueden producirse discrepancias en las sumas de comprobación de la memoria durante los reinicios del sistema. Por ello, los ingenieros de control deben implementar bloques de organización para la gestión de errores (OB) a fin de interceptar las fallas de software de forma controlada antes de que provoquen la caída de la CPU.

Desencadenantes externos, interruptores físicos y anulaciones por red

Las intervenciones físicas y por red también pueden hacer que los controladores pasen al modo Stop. Muchas CPU industriales tienen interruptores de llave físicos o entradas digitales específicas configuradas como señales externas de parada de seguridad. Girar el selector físico o activar un bit de seguridad designado detiene la ejecución al instante. Además, los controladores modernos incorporan servidores web e interfaces de gestión remota. Los operadores pueden activar accidentalmente comandos de parada remota a través de redes Ethernet industriales. Por lo tanto, los ingenieros de automatización deben aplicar una autenticación estricta de usuarios basada en roles y reglas de firewall en todas las conexiones de la red de control.

Escenario de aplicación real: recuperación de una columna de destilación petroquímica

Durante una revisión de emergencia en una planta de refinación química de operación continua, el controlador de una columna de destilación principal sufría repetidas paradas aleatorias en modo Stop. El equipo de ingeniería analizó los registros del búfer de diagnóstico del procesador y descubrió una excepción de división por cero no gestionada en una rutina de compensación de caudal sin calibrar. Al reescribir el algoritmo para limitar los valores inferiores del divisor e incorporar módulos de gestión de fallos, los ingenieros restablecieron por completo la estabilidad del controlador. La planta reanudó la operación continua las 24 horas, los 7 días de la semana, sin riesgo de interrupciones imprevistas de la producción ni de peligros para la seguridad química.

Acerca del autor

Li Shengjie es arquitecto principal de sistemas de automatización y cuenta con 15 años de experiencia internacional sobre el terreno, especializado en diagnóstico y resolución de problemas de PLC, diseño de sistemas DCS tolerantes a fallos, monitorización de vibraciones TSI y automatización de sistemas eléctricos. Publica regularmente documentos técnicos y guías de buenas prácticas de ingeniería para publicaciones internacionales sobre automatización industrial.