Robots de seguridad en petroquímica: ATEX, IECEx y realidad sobria

Un robot de seguridad no entra en una refinería porque alguien lo decida en un comité, sino porque su carcasa, su electrónica y su modo de fallo pasan una clasificación que un técnico de seguridad funcional puede defender ante el regulador. Todo lo demás es literatura comercial.

En el discurso sobre robótica y vigilancia aplicada a la industria pesada se mezclan dos planos que conviene separar desde el primer párrafo. El primero es el plano de la imagen, el robot que recorre un perímetro y manda vídeo a una sala de control. El segundo es el plano de la conformidad, la directiva 2014/34/UE conocida como ATEX, el esquema internacional IECEx, las normas EN 60079 que las acompañan y la cadena de responsabilidad que se desencadena cuando una chispa eléctrica se cruza con una atmósfera explosiva. Un fabricante serio trabaja en el segundo plano y solo entonces se permite hablar del primero. En Boswau y Knauer aprendimos esa secuencia primero en obra y después en la transición hacia tecnología de seguridad. El libro "BOSWAU + KNAUER. Del oficio constructor a la tecnología de seguridad" recoge esa secuencia con detalle. Aquí la aplicamos al caso concreto de un complejo petroquímico, que es probablemente el entorno industrial donde menos margen existe para la improvisación.

Lo que ATEX clasifica y lo que el ingeniero de planta lee de verdad

La directiva ATEX divide las atmósferas potencialmente explosivas en zonas según la probabilidad y la duración de presencia de la mezcla peligrosa. Para gases, vapores y nieblas, la zona 0 corresponde a presencia continua o de larga duración, la zona 1 a presencia esperable en operación normal y la zona 2 a presencia improbable y de corta duración. Para polvos combustibles existen las zonas 20, 21 y 22, con la misma lógica. Esta clasificación, aparentemente abstracta, condiciona absolutamente todo en una refinería. Define en qué punto del camino de patrulla puede entrar un equipo eléctrico, qué tipo de protección debe tener su carcasa, qué nivel de protección del equipo o EPL debe cumplir y qué documentos debe presentar el fabricante para acompañar el producto.

El ingeniero de planta no lee la directiva. Lee el plano de zonificación de su unidad, que un equipo de proceso ha levantado con criterios de la EN 60079-10-1 para gases y la EN 60079-10-2 para polvos. En ese plano hay manchas de color que rodean bridas, válvulas de alivio, drenajes, puntos de muestreo, tanques de techo flotante, cargaderos de cisternas. Cuando el responsable de seguridad pide que un robot patrulle una unidad de hidrocraqueo, lo primero que ese ingeniero hace es superponer la ruta del robot al plano de zonas. Si la ruta toca zona 2 durante el ochenta por ciento del recorrido pero atraviesa cinco metros de zona 1 al rodear un cargadero, el robot debe ser apto para zona 1 en todo el recorrido, no en el ochenta por ciento. La conformidad no admite promedios.

Un fabricante que pretenda ofrecer plataformas móviles para entornos petroquímicos debe declarar con precisión el grupo de gas, el grupo de equipo, la categoría ATEX, el EPL, la clase de temperatura T1 a T6 y el modo de protección de cada componente eléctrico. Esa declaración no es una etiqueta, es un expediente técnico revisado por un organismo notificado europeo, con número identificativo en el marcado. Cualquier robot que se presente sin ese expediente queda fuera de la conversación antes de que empiece. El operador de planta que aceptase un equipo sin ese soporte trasladaría a su propia firma una responsabilidad que ningún seguro razonable cubriría tras un incidente.

Para qué sirve IECEx cuando ATEX ya existe

ATEX cubre el Espacio Económico Europeo. IECEx es el esquema internacional gestionado por la IEC que reconoce certificaciones equivalentes en jurisdicciones que van de Australia a México pasando por Brasil, Singapur, Emiratos Árabes Unidos o el Reino Unido tras la reordenación normativa posterior a su salida de la Unión. Un grupo petroquímico que opere en varios países necesita que su flota de robots se mueva entre activos sin tener que recertificar cada equipo en cada jurisdicción. Para eso existe IECEx, que se apoya en la misma serie de normas EN e IEC 60079 que ATEX, con un sistema de certificados aceptado por la mayoría de reguladores nacionales relevantes.

La diferencia práctica es operativa, no técnica. Un robot certificado bajo ATEX y bajo IECEx, con un certificado de conformidad ExCB emitido por un organismo reconocido, puede desplegarse en una refinería en Tarragona, otra en Houston y un complejo en Yanbu sin abrir tres expedientes paralelos. Para el fabricante, sostener esa doble certificación implica disciplina documental durante todo el ciclo de vida del producto. Cada cambio de proveedor de batería, cada actualización de cámara térmica, cada revisión de firmware que toque funciones de seguridad obliga a evaluar si el certificado sigue siendo válido o si requiere ampliación. Aquí es donde se distingue un proveedor industrial de un integrador oportunista. El segundo cambia componentes cuando el mercado se los ofrece más baratos. El primero cambia componentes cuando el procedimiento documentado se lo permite.

Para el operador petroquímico la consecuencia es directa. Antes de aceptar una propuesta debe exigir copias actualizadas de los certificados ATEX e IECEx, los informes de evaluación, las marcas de los componentes críticos y el manual de instrucciones en su versión sometida al organismo notificado. Si una de estas piezas falta, el equipo no es apto, independientemente de lo convincente que resulte la demostración en feria.

Detección de gases: el robot no sustituye, completa

Un complejo petroquímico ya tiene detección de gases. Hay sensores fijos catalíticos para metano y compuestos inflamables, sensores infrarrojos para hidrocarburos pesados, electroquímicos para sulfhídrico, monóxido de carbono y amoníaco, cámaras OGI para fugas de metano y compuestos orgánicos volátiles, y sistemas SIL 2 o SIL 3 enlazados al sistema instrumentado de seguridad que dispara enclavamientos automáticos cuando una concentración cruza un umbral. Un robot que entra en ese ecosistema no viene a reemplazar la red fija. Viene a cubrir los puntos ciegos de la red fija y a aportar movilidad allí donde un sensor estacionario costaría una obra civil completa.

La integración técnica se hace en varias capas. En la capa física, el robot embarca sensores propios, normalmente una cabeza multi-gas con celda catalítica o infrarroja para el grupo IIA o IIB según la planta, una celda electroquímica para sulfhídrico si se trata de refino con crudo amargo, y una cámara térmica o de imagen óptica de gas para visualización de penachos. En la capa de comunicaciones, el robot publica lecturas y eventos en el sistema de gestión de planta mediante protocolos industriales reconocidos, OPC UA con perfil de seguridad, MQTT sobre TLS o pasarelas a Modbus en instalaciones más antiguas. En la capa lógica, las alarmas del robot se correlacionan con las del sistema fijo para distinguir una lectura aislada de un evento real. Una concentración detectada por el robot en una zona donde el sensor fijo más cercano marca cero puede indicar una fuga local naciente, justamente el tipo de hallazgo temprano que justifica la inversión.

La frontera, y conviene marcarla con claridad, es que el robot no actúa sobre el proceso. No cierra válvulas, no dispara despresurizaciones, no activa diluvio. Esas funciones pertenecen al sistema instrumentado de seguridad, certificado bajo IEC 61511 y IEC 61508, con su propio régimen de pruebas de prueba parcial y revisiones. El robot es una fuente de información adicional para el panelista y para el equipo de operaciones, no un actuador de seguridad funcional. Confundir esta frontera lleva a arquitecturas que ningún auditor aprobaría y que tarde o temprano fallan en el peor momento.

Quién supervisa, quién decide, quién responde

En España la supervisión de la seguridad en complejos petroquímicos clasificados como establecimientos Seveso recae en autoridades autonómicas y estatales que coordinan inspecciones bajo el Real Decreto 840/2015 de accidentes graves. El CNPIC, dentro del Ministerio del Interior, mantiene además la catalogación de infraestructuras críticas y estratégicas en el sector químico, lo que añade un nivel de exigencia en planes de seguridad del operador y planes de protección específicos. INCIBE, a través de su centro de respuesta para entornos industriales, publica orientaciones sobre la convergencia entre seguridad física y ciberseguridad OT que afectan directamente al despliegue de robots con conectividad. La AEPD interviene cuando el robot captura imagen en zonas donde puede haber trabajadores propios o de contratas, lo que obliga a una evaluación de impacto y a una base jurídica clara, normalmente el interés legítimo del responsable acompañado de información adecuada.

Esta supervisión multinivel no es un obstáculo, es la arquitectura institucional que permite operar plantas con riesgo intrínseco mayor sin perder la licencia social. El operador que entiende esto trabaja con sus inspectores y con sus interlocutores en CNPIC e INCIBE antes de desplegar tecnología nueva, no después. La conversación previa convierte un despliegue potencialmente conflictivo en un caso documentado que el regulador puede revisar sin sorpresas. El fabricante que apoya esta conversación con expediente técnico completo, evaluaciones de riesgo y trazabilidad de componentes facilita la vida del cliente y la suya propia.

La cadena de responsabilidad en caso de incidente se reparte entre el operador del establecimiento, el fabricante del equipo si se demuestra defecto de origen, el organismo notificado que certificó el producto y, eventualmente, el integrador que diseñó el despliegue. Cada eslabón tiene su perímetro. El fabricante responde por el cumplimiento de la directiva en el momento de la puesta en el mercado y por la información de seguridad que acompaña al producto. El operador responde por el uso conforme al manual y por mantener las condiciones de la evaluación de riesgos. El integrador responde por la idoneidad del diseño de la ruta y la integración con los sistemas existentes. Cuando estos perímetros están escritos en contrato, un incidente se gestiona. Cuando no lo están, se litiga.

La realidad sobria del despliegue

Una refinería no acepta un robot porque la presentación comercial sea brillante. Lo acepta cuando un comité formado por seguridad de proceso, mantenimiento eléctrico, instrumentación, ciberseguridad OT y operaciones ha revisado el expediente, ha visto el equipo en una unidad similar y ha definido un periodo de prueba con criterios de éxito medibles. Ese periodo de prueba suele durar entre sesenta y noventa días y se centra en una unidad acotada, normalmente un parque de tanques o una zona de cargadero, donde el riesgo es real pero la complejidad del entorno permite aislar variables.

Los criterios de éxito que más se repiten en estos pilotos son cuatro. Primero, disponibilidad del equipo medida en porcentaje de horas planificadas efectivamente operativas, con un umbral que suele situarse por encima del noventa y cinco por ciento. Segundo, tasa de falsas alarmas, que debe mantenerse por debajo de un nivel que no degrade la atención del panelista, lo que en la práctica significa menos de un puñado de eventos no confirmados por turno. Tercero, tiempo desde la detección hasta la notificación verificada al operador de sala, idealmente por debajo del minuto en eventos de gas. Cuarto, integridad documental, que es la capacidad del sistema de generar registros que un inspector pueda revisar sin necesidad de explicaciones orales. Si los cuatro criterios se cumplen, el despliegue se escala a otras unidades. Si uno falla, se corrige antes de escalar. Si dos fallan, se replantea el caso.

Hay además una capa de coste que conviene mirar sin adornos. Un robot apto para zona 1, con sensores certificados, comunicaciones cifradas e integración OPC UA, no compite en precio con una cámara de videovigilancia convencional. Compite con el coste de tres vigilantes por turno durante todo el año, con el coste de instrumentar fijamente puntos donde la obra civil es prohibitiva y con el coste esperado de un evento que la detección temprana habría evitado. Esa comparación, hecha sobre datos reales de planta, suele justificar la inversión en complejos de cierto tamaño. En complejos pequeños, no siempre. La honestidad analítica obliga a decirlo así.

Lo que permanece

La conclusión sobria es que un robot de seguridad encaja en un complejo petroquímico cuando tres condiciones se cumplen simultáneamente. La primera es conformidad documentada bajo ATEX e IECEx con el alcance de zonas, grupos y clases de temperatura del entorno concreto, no del entorno genérico. La segunda es integración no destructiva con la detección de gas fija y con el sistema instrumentado de seguridad, manteniendo al robot como sensor móvil y no como actuador. La tercera es una cadena contractual y regulatoria clara que incluya al operador, al fabricante, al integrador, al organismo notificado y a las autoridades competentes, con CNPIC e INCIBE en el horizonte cuando la planta es infraestructura crítica. Cuando una de las tres falla, el despliegue es prematuro.

Para los operadores que estén evaluando esta tecnología, Boswau y Knauer ofrece tres caminos. Una conversación confidencial de sesenta minutos en la que un miembro de la dirección examina la situación concreta de la planta y devuelve una lectura honesta, sin compromiso posterior. Una auditoría de tres a cinco días en la que se revisan la zonificación, la red de detección existente y la viabilidad real de integrar robótica móvil, con un informe entregable. Un piloto de noventa días en una unidad acotada con criterios de éxito definidos antes de empezar. Los tres caminos están descritos con detalle en el libro "BOSWAU + KNAUER. Del oficio constructor a la tecnología de seguridad". El que corresponda en cada caso depende de dónde se encuentre el operador en su propia curva.

Preguntas frecuentes

¿Qué zonas ATEX permiten robots?

En la práctica industrial actual, los robots móviles certificados se despliegan principalmente en zona 2 para gases y zona 22 para polvos, donde la presencia de atmósfera explosiva es improbable y de corta duración. Existen equipos aptos para zona 1 y zona 21 con modos de protección reforzados, normalmente envolvente antideflagrante Ex d, sobrepresión interna Ex p o seguridad aumentada Ex e combinada. La zona 0 y la zona 20 quedan reservadas a instrumentación fija de muy alto nivel, no a plataformas móviles autónomas. La decisión depende del plano de zonificación específico de cada unidad, no de generalidades.

¿Qué hace IECEx?

IECEx es el esquema internacional gestionado por la IEC que certifica equipos para atmósferas explosivas según las normas IEC 60079, con reconocimiento por parte de reguladores en numerosos países fuera del Espacio Económico Europeo. Para un grupo petroquímico multinacional, una certificación IECEx complementa la marca ATEX y permite desplegar el mismo modelo de robot en activos situados en jurisdicciones distintas sin abrir expedientes paralelos en cada una. La base normativa es común con ATEX, lo que facilita que un mismo expediente técnico sirva para ambas certificaciones cuando el fabricante mantiene la disciplina documental.

¿Qué detectores de gas se integran?

Las configuraciones más habituales combinan una cabeza multi-gas con celda catalítica o infrarroja para hidrocarburos del grupo IIA o IIB, una celda electroquímica específica para sulfhídrico en refinos con crudo amargo, sensores de oxígeno y monóxido de carbono según el riesgo y una cámara de imagen óptica de gas o térmica para visualización de penachos. Los datos del robot se integran con la red fija de detección mediante OPC UA con perfil de seguridad o pasarelas industriales equivalentes, de modo que el panelista correlaciona lecturas móviles y fijas en una única vista operativa.

¿Quién supervisa?

En España la supervisión se reparte entre autoridades autonómicas y estatales bajo el Real Decreto 840/2015 para establecimientos Seveso, con el CNPIC interviniendo en infraestructuras catalogadas como críticas o estratégicas del sector químico. INCIBE orienta la convergencia entre seguridad física y ciberseguridad OT, especialmente relevante para robots conectados. La AEPD entra cuando hay captura de imagen en zonas con trabajadores. A nivel europeo, la ENISA publica orientaciones sectoriales y los organismos notificados son los que certifican técnicamente el equipo bajo ATEX. Cada uno tiene su perímetro, ninguno sustituye al otro.