- Primero defina las trayectorias de carga a través de soporte mecánico positivo y autorretención mecánica, luego configure la actuación y el monitoreo.
- Después de una falla, retenga la carga, detenga el movimiento peligroso, inhiba la liberación y proporcione una ruta de recuperación segura.
- Desarrollar casos de inyección de fallas de presión, válvulas, bloqueos, sensores, comunicación, desajustes y comandos de liberación no intencionados.
- Progreso desde la simulación y las cargas sustitutas hasta los paquetes de baterías reales en etapas, con registros rastreables a los requisitos de seguridad correspondientes.
00 Resumen ejecutivo
Los paquetes de baterías de tracción son pesados y tienen centros de gravedad complejos. Sus gabinetes, caras de sellado, conexiones de alto voltaje e interfaces de enfriamiento son sensibles al daño mecánico y las celdas dañadas pueden presentar riesgos adicionales. La pérdida de aire o energía eléctrica, el bloqueo incompleto, las señales incorrectas del sensor o la liberación involuntaria pueden causar una caída y dañar el gabinete, el aislamiento o el sistema de enfriamiento. GB 38031-2025 entró en vigor el 1 de julio de 2026 y especifica los requisitos de seguridad para las baterías de tracción utilizadas en vehículos eléctricos [1]. Aborda la seguridad de los productos de baterías y no reemplaza el diseño de seguridad mecánica de las herramientas de manipulación. Por lo tanto, el diseño de herramientas debe controlar los daños mecánicos y los eventos energéticos anormales.
La arquitectura a prueba de fallos combina soporte mecánico positivo, bloqueos mecánicamente autorretenedores, un enclavamiento de liberación de carga soportada y diagnóstico utilizando múltiples señales. La retención de cargas pesadas no debe depender principalmente de la fricción o de la presión continua del aire. La ruta de carga mecánica y el estado cerrado y bloqueado deben ser explícitos; El soporte debe confirmarse antes de la liberación, con la presión, la posición, el bloqueo y los estados de carga monitoreados juntos. Las funciones de control relacionadas con la seguridad pueden diseñarse según ISO 13849-1:2023 y validarse mediante análisis y pruebas según ISO 13849-2:2012 [2][3]. El nivel de rendimiento requerido está determinado por la evaluación de riesgos específica.
Principales conclusiones
- Los paquetes de baterías pesadas deberán utilizar soporte geométrico y características de autorretención mecánica como ruta de carga principal; una sola función de presión neumática, vacío o fricción no será la única medida de prevención de caídas.
- El comportamiento a prueba de fallos tiene como objetivo retener la carga, detener movimientos peligrosos e inhibir la liberación mientras se preserva una ruta de recuperación diagnosticable. La continuidad de la producción después de un fallo no debe ser el objetivo.
- La inyección de fallas debe cubrir sensores atascados, cortocircuitos/aperturas de señales, válvulas atascadas, tuberías rotas, caídas de presión, cortes de comunicaciones, discrepancias en recetas y comandos de liberación falsos.
- Progreso de energía baja a alta, cargas sustitutas a paquetes de baterías reales y fallas únicas a combinaciones de fallas justificadas.
- Los registros de validación deben vincular cada requisito de seguridad con sus supuestos de falla, pasos de prueba, señales sin procesar, resultados de evaluación y acciones correctivas para proporcionar una trazabilidad completa.
01Alcance de la investigación y objetivos de seguridad
Este estudio aborda herramientas dedicadas para módulos de batería, gabinetes inferiores, bandejas de batería y paquetes completos de baterías de tracción durante el montaje, inspección, reparación y transferencia del lado de la línea. El soporte puede ser un manipulador industrial neumático, un dispositivo de elevación, un robot o una máquina especial. El alcance cubre las herramientas y sus interfaces de control, excluyendo el diseño electroquímico de la celda, la certificación del algoritmo BMS y las regulaciones de transporte.
Los objetivos de seguridad se dividen en cuatro categorías: proteger al personal contra riesgos de caída de carga y aplastamiento; evitar daños por manipulación en la carcasa del paquete de baterías, las superficies de sellado o las interfaces más allá de los límites del producto; evitar que una sola falla en las herramientas cause directamente una liberación peligrosa; y proporcionar pasos definidos para transferir la carga a un soporte seguro durante una condición anormal. ISO 12100 requiere la identificación de peligros y la reducción de riesgos durante todo el ciclo de vida de la maquinaria [4], mientras que ISO/TR 20218-1 proporciona orientación de seguridad para el diseño y la integración de efectores finales de robots [5].
| Función de seguridad | Condición de activación | Respuesta objetivo | Registros requeridos |
|---|---|---|---|
| Confirmación de agarre/soporte | Antes de la recogida | Se prohíbe el levantamiento sin confirmación | Posición, presión/fuerza, estado bloqueado |
| Retención de carga | Pérdida de suministro de aire, pérdida de energía eléctrica, falla de válvula | Ninguna liberación peligrosa; movimiento detenido | Tiempo de retención, desplazamiento y condición estructural. |
| Liberación de carga soportada | Pieza de trabajo apoyada en una orientación permitida | Desbloqueo/desbloqueo permitido sólo después de estas comprobaciones | Registro de señal de apoyo, posición y comando |
| Prevención de desajustes | El modelo/herramienta/receta de batería es inconsistente | Sujeción y elevación inhibidas | ID, versión de receta, registro de enclavamiento |
| Recuperación de condiciones anormales | Cualquier fallo relacionado con la seguridad | Ingrese al estado de ajuste o mantenimiento controlado | Pasos de recuperación y registros de autorización |
02Arquitectura de carga y principios a prueba de fallos
02.1 Soporte mecánico positivo
Defina la ruta de soporte desde las áreas estructurales y sin contacto en la parte inferior del paquete de baterías. Preferiblemente brazos de soporte, soportes para horquillas, colocación a través de orificios de carga o rieles laterales, o puntos de agarre mecánicos aprobados por el proveedor del producto. Cuando los cilindros o motores cierran, posicionan o bloquean las herramientas, la estructura aún debe tener en cuenta la retención de carga después de la pérdida de energía y no debe perder inmediatamente toda la capacidad de retención.
Cuando la fuerza se transmite mediante sujeción por fricción, obtenga datos verificables para el coeficiente de fricción mínimo, los materiales de contacto, el estado de la superficie y la fuerza de sujeción. Evalúe también los efectos de la sujeción en el gabinete, la placa de enfriamiento, las caras de sellado y los revestimientos. Para la retención de cargas pesadas, evalúe primero el soporte mecánico positivo; El aumento de la fuerza de sujeción por sí solo no es una forma adecuada de abordar el riesgo.
02.2 Casos de carga y cálculos de ejemplo
F_eq = m · (g + a_z) + F_shock
F_design = S_L · F_eqSupongamos una masa del paquete de baterías de 650 kg y una aceleración máxima hacia arriba de 0.25 g, sin carga de impacto adicional. La carga vertical equivalente es aproximadamente 7.97 kN. Con el factor de seguridad de ejemplo S_L=2.0, la carga vertical de diseño es aproximadamente 15.9 kN; cuatro puntos de apoyo ideales, cargados uniformemente, transportan aproximadamente 4.0 kN por punto en promedio. El diseño real también debe tener en cuenta el desplazamiento del centro de gravedad, la rigidez desigual de los soportes, las tolerancias de fabricación, la inclinación, el frenado y la falla de un punto de soporte. Este ejemplo no es una clasificación de carga del proyecto ni un factor de seguridad recomendado.
Cuando el centro de gravedad está desplazado, calcular cada reacción de soporte utilizando el equilibrio estático o el análisis de elementos finitos; no divida la carga total en partes iguales. Compare la reacción máxima en cualquier soporte único entre paquetes de baterías de diferentes longitudes, masas y configuraciones de accesorios, y utilícela como entrada para respaldar el diseño.
02.3 Bloqueo y liberación
Después del cierre, el mecanismo de bloqueo deberá proporcionar un estado mecánico verificable. Si se pierde energía de accionamiento, deberá retener la carga o al menos evitar una liberación peligrosa. La liberación requiere confirmación de que la pieza de trabajo está soportada, que las herramientas están en una posición permitida, que el movimiento se ha detenido, que la zona del personal es segura y que el comando de operación es válido. Cualquier conflicto de sensores conducirá a un estado conservador en lugar de sustituir la retroalimentación real por una predeterminada de software.
03Arquitectura de seguridad neumática, eléctrica y de control
ISO 4414:2010 se aplica a sistemas y componentes neumáticos de maquinaria y aborda riesgos importantes asociados con su uso previsto [6]. Para las herramientas del paquete de baterías, el diseño neumático deberá abordar la ruptura de la línea, la desconexión de los accesorios, el agarrotamiento del carrete de la válvula, la fluctuación de la presión de suministro, la energía residual y el aislamiento del mantenimiento. Los receptores de aire o los dispositivos de retención de presión sólo pueden retrasar la pérdida de capacidad; no constituyen automáticamente una sujeción segura de la carga.
Los diagnósticos deben cubrir la presión de suministro, la presión en ambas cámaras del actuador o en los circuitos críticos, la posición de bloqueo, la posición de la mandíbula/brazo de soporte, la presencia de la pieza de trabajo, el estado de la carga soportada, la plausibilidad de la carga/peso y el estado de la comunicación. Utilice señales físicamente diversas cuando sea posible. Dos señales derivadas del mismo objetivo mecánico o transportadas por el mismo cable no pueden tratarse como redundancia independiente únicamente porque son dos.
Lift_Enable = Load_Present ∧ Clamp_Closed ∧ Lock_Confirmed ∧ Pressure_OK ∧ Recipe_Match
Release_Enable = Supported ∧ Safe_Position ∧ Motion_Stopped ∧ Operator_Command ∧ Diagnostics_OKEstas expresiones lógicas describen relaciones funcionales; no demuestran un nivel de desempeño. Diseñar y validar la arquitectura de control relacionada con la seguridad, la cobertura de diagnóstico, las medidas de fallas de causa común y el software según los estándares seleccionados del proyecto [2][3].
04Análisis de Peligros y FMEA
| Modo de falla | Causa local | Consecuencia potencial | Control de diseño | Método de verificación |
|---|---|---|---|---|
| Pérdida repentina del suministro de aire principal | Pérdida de aire en el cabezal principal o accesorio desconectado | La fuerza de sujeción disminuye y la carga se desliza | Soporte mecánico, bloqueo autorretenedor, válvula de retención y monitoreo | Inyección de falla por pérdida de aire |
| Rotura de una sola rama | Mangueras desgastadas o accesorios dañados | Fallo de una sola mandíbula y carga excéntrica | Aislamiento de zonas, redundancia de puntos de soporte y monitoreo de presión | Introducir una fuga en el lugar especificado |
| Carrete de válvula atascado en la posición de liberación | Contaminación, fallo mecánico. | Desbloqueo involuntario | Aislamiento de liberación, permiso de dos condiciones y retención mecánica | Agarrotamiento de válvula simulado |
| Bloqueo incompleto | Tolerancias, materias extrañas, desalineación | Desconexión mientras se transporta la carga | Retroalimentación de bloqueo independiente y retención mecánica positiva | Prueba de estado parcialmente bloqueado |
| Sensor atascado alto (1) | Cortocircuito de línea, congelación de software | No sujeto pero se le permite levantar | Señales complementarias y diagnóstico de temporización/plausibilidad | La señal se fuerza a 1 |
| Sensor atascado en nivel bajo (0) | Circuito abierto, desviación del objetivo | Liberación inhibida o diagnóstico de falla incorrecto | Estado de diagnóstico y mantenimiento de circuito abierto | La señal se fuerza a 0 |
| Receta modelo incorrecta | Error de lectura de código de barras, de red o de operador | Punto de transferencia de carga incorrecto e interferencia | Prueba de errores mecánicos, coherencia de ID, control de versiones | Inyección de discrepancia |
| Comando de liberación no intencionada | Interfaz hombre-máquina o error de programa | Carga suspendida caída | Enclavamiento de confirmación de soporte, posición restringida, doble acción | Comando de liberación emitido con la carga suspendida |
| Interrupción de la comunicación | Fallo del bus, reinicio del PLC | Estado desconocido | Carga retenida; el movimiento se detuvo; liberación inhibida | Desconectar/reiniciar inyección |
| Carga anormal | Dos paquetes juntos, objetos extraños o centro de gravedad anormal | Sobrecarga de estructura o mecanismo de elevación | Comprobación de plausibilidad del peso y prevención de doble selección | Prueba de carga sustituta |
Combine FMEA con un árbol de fallas o una matriz de requisitos de seguridad para analizar el evento de caída de carga superior e identificar conjuntos de corte mínimos, como "sin soporte mecánico positivo + falla de bloqueo + comando de liberación no intencional" o "falla del sensor de causa común + sin diagnóstico de software". Si una sola falla puede desencadenar el evento principal, priorice los cambios estructurales; Reducir la puntuación de ocurrencia por sí sola no es suficiente.
05Estrategia de validación de inyección de fallos
ISO 13849-2:2012 especifica la validación de funciones, categorías y niveles de rendimiento de seguridad mediante análisis y pruebas [3]. La inyección de errores es una parte de la validación; También se requiere una revisión completa del diseño, datos de los componentes, cálculos y verificación del software. Antes de realizar la prueba, complete la evaluación de riesgos, la exclusión del área de prueba, el diseño de carga sustituta, el apoyo de emergencia y los planes de recuperación.
05.1 Pruebas por etapas
- Etapa de modelo y lógica: forzar entradas en simulación o lógica fuera de línea para verificar la máquina de estados y las respuestas de alarma.
- Etapa de banco de baja energía: use herramientas vacías o sustitutos livianos para inyectar fallas de cableado, válvulas y presión.
- Etapa de carga sustituta nominal: verificar la retención, el desplazamiento y la estructura con cargas que no sean de batería de geometría y masa equivalentes.
- Etapa real del paquete de baterías: prueba únicamente la interfaz y los elementos de protección del producto no cubiertos por las etapas anteriores, bajo riesgos controlados y autorización.
- Etapa de integración del sitio: verificar enclavamientos con el manipulador, equipo de elevación, transportadores, accesorios y sistemas de seguridad.
05.2 Matriz de inyección de fallos
| No. | Fallo inyectado | Sincronización de inyección | Estado esperado del sistema | Registros clave |
|---|---|---|---|---|
| FI- 01 | Apague el suministro de aire principal | Estacionario después de levantar/durante el movimiento | Carga retenida; se detuvo el movimiento peligroso; liberación inhibida | Presión, desplazamiento, tiempo de parada |
| FI- 02 | Fuga rápida en una sola rama | Orientación al peor de los casos | Aislar la falla, emitir una alarma y mantener una condición que permita el ajuste controlado | Presión de zona y reacciones de soporte. |
| FI- 03 | Comentarios de bloqueo atascados en nivel alto (1) | Antes de cerrar | No se permite levantar | Registro de entradas/salidas y alarmas |
| FI- 04 | La respuesta del bloqueo está bloqueada en un nivel bajo (0) | Estado parcialmente bloqueado | Se activa el diagnóstico de plausibilidad; no se permite levantar | Posición, presión, contradicciones de señal. |
| FI- 05 | Comando de válvula de liberación bloqueado activo | Carga suspendida | Las capas físicas o de control previenen emisiones peligrosas | Corriente de válvula, presión, estado de bloqueo |
| FI- 06 | Falsa señal de confirmación de soporte | Antes de la colocación admitida | Cheques duales/diversos rechazan la liberación | Soporte, posición, cambios de carga. |
| FI- 07 | Reinicio del controlador/pérdida de comunicación | Durante el manejo | Las salidas entran en el estado seguro definido; carga retenida | Hora de reinicio, estado de salida |
| FI- 08 | Modelo/receta de batería incorrecta | Antes de la recogida | Se detectó una discrepancia en la receta; movimiento inhibido | ID, versión de receta, CRC/firma |
| FI- 09 | Parada de emergencia | Velocidad operativa máxima creíble | Parada sin soltar la carga | Aceleración máxima, desplazamiento de estructura/carga |
| FI- 10 | Operación incorrecta de liberación de mantenimiento | Carga no admitida | Sujeto a permisos y condiciones mecánicas | Permisos, pasos, estado de bloqueo |
Defina de antemano tres resultados posibles para cada caso: “aprobado”, “reprobado” y “se requiere revisión de ingeniería”. Además de si la carga cae, registre el desplazamiento máximo, los cambios en el bloqueo, la visibilidad de la alarma, si la recuperación requiere pasar por alto una función de seguridad y cualquier daño oculto en el paquete de baterías.
06Criterios de aceptación y registros de respaldo
Derivar los criterios de aceptación de la evaluación de riesgos del proyecto y del acuerdo técnico, especificando al menos las categorías de criterios y sus condiciones de operación. Las categorías típicas incluyen cargas nominales y en el peor de los casos, reacciones de soporte individuales, deformación permitida del gabinete, tiempo de retención, deslizamiento máximo, aceleración de parada, tiempo de detección de fallas, alarmas y reinicio, permiso de liberación y aislamiento de mantenimiento. Los valores deben reflejar el paquete de baterías, el portador y las condiciones de exposición del personal; No deben aplicarse valores universales.
| Categoría de registro | Documentos típicos | Requisitos de calidad |
|---|---|---|
| Requisitos | Especificación de requisitos de seguridad, interfaces de cliente, zonas prohibidas/restringidas del producto | Número único, versión y fuente |
| Análisis | Cálculo de carga, elementos finitos, AMEF/FTA, evaluación PL | Las suposiciones son explícitas y las condiciones de funcionamiento en el peor de los casos son rastreables. |
| Diseño | Dibujos, lista de materiales, circuito neumático/diagrama eléctrico, versión de software | Coincide con el análisis y el equipo físico. |
| Verificación | Plan de pruebas, curvas originales, fotos, registros. | Criterios de fallo, base de tiempo y evaluación totalmente registrados |
| Aprobación de liberación | Desviaciones, acciones correctivas completadas, requisitos de aprobación y mantenimiento. | Restricciones definidas para problemas no resueltos |
Registrar comandos, accionamiento de válvulas, cambios de presión, desplazamiento de bloqueo y señales de parada del transportador en una base de tiempo común para que se puedan analizar las secuencias y relaciones de respuesta a fallas. Las capturas de pantalla de HMI por sí solas no son suficientes para esta validación.
07Recuperación, mantenimiento y cambios seguros
La recuperación anormal se definirá durante el diseño. Los pasos típicos incluyen detener el transportador, confirmar la retención de la carga, establecer un soporte temporal, aislar la energía, eliminar la falla, reconfirmar el bloqueo, establecer el sistema a baja velocidad y aprobar el reinicio. El personal no deberá permanecer debajo del paquete de baterías ni depender de un soporte manual continuo. Si un bloqueo mecánico debe liberarse manualmente, la acción deberá controlarse mediante herramientas, autorización y condiciones de soporte confirmadas.
Las inspecciones de mantenimiento cubren el desgaste de la cerradura, la deformación del brazo de soporte, los sujetadores, el desgaste de la manguera, la contaminación de la válvula, los objetivos del sensor, la flexión del cable, los materiales de la almohadilla de contacto y el estado de calibración. Los cambios en la masa del paquete de baterías, el centro de gravedad, la estructura del gabinete, los puntos de soporte permitidos, los módulos de herramientas, las recetas de software o la aceleración del portador requieren una evaluación de impacto y cualquier revalidación necesaria.
08Conclusiones y requisitos de aplicación
El diseño a prueba de fallos comienza con trayectorias de carga estructurales y retención mecánica. Los sistemas neumáticos, eléctricos y de control proporcionan confirmación del estado, diagnóstico de fallas y liberación controlada. En caso de falla, el sistema debe evitar emisiones peligrosas y entrar en un estado del cual sea posible una recuperación segura, en lugar de mantener el tiempo de producción. Los casos de inyección de fallas deben corresponder a los requisitos de seguridad, FMEA/FTA, lógica de control y la estructura real, con criterios de aceptación revisables y resultados de acciones correctivas.
Los profesionales calificados deben diseñar y aprobar las solicitudes de proyectos de acuerdo con las regulaciones, estándares, requisitos del cliente y riesgos reales aplicables. La conformidad del producto con los niveles de rendimiento de GB 38031, ISO 13849, la inspección de terceros y la aceptación del cliente requieren registros de evaluación y pruebas relevantes. Este informe proporciona el método de investigación y el plan de validación.
Referencias
- GB 38031-2025 Requisitos de seguridad para baterías de energía para vehículos eléctricos. https://openstd.samr.gov.cn/bzgk/std/newGbInfo?hcno=3AB693FAFF5D9716DF61C61D6FD2187A
- ISO 13849-1:2023. Seguridad de las máquinas. Partes de los sistemas de control relacionadas con la seguridad. Parte 1: Principios generales para el diseño. https://www.iso.org/standard/73481.html
- ISO 13849-2:2012. Seguridad de las máquinas. Partes de los sistemas de control relacionadas con la seguridad. Parte 2: Validación. https://www.iso.org/standard/53640.html
- ISO 12100:2010. Seguridad de la maquinaria - Principios generales de diseño - Evaluación de riesgos y reducción de riesgos. https://www.iso.org/standard/51528.html
- ISO/TR 20218-1:2018. Robótica - Diseño de seguridad para sistemas de robots industriales - Parte 1: Efectores finales. https://www.iso.org/standard/69488.html
- ISO 4414:2010. Potencia de fluidos neumáticos: normas generales y requisitos de seguridad para sistemas y sus componentes. https://www.iso.org/standard/44790.html
- ISO/TR 14121-2:2012. Seguridad de la maquinaria - Evaluación de riesgos - Parte 2: Orientación práctica y ejemplos de métodos. https://www.iso.org/standard/57180.html
- Departamento de Transporte de EE. UU./NHTSA. Gestión de la seguridad de los sistemas de almacenamiento de energía recargables para automóviles. https://rosap.ntl.bts.gov/view/dot/38221/dot_38221_DS1.pdf
- Celebrado, M.; Bronnimann, R. ¿Celda segura, batería segura? Investigación de incendios de baterías mediante FMEA, FTA y experimentos prácticos. Fiabilidad de la microelectrónica 64, 2016. https://doi.org/10.1016/j.microrel.2016.07.051
