¿CÓMO FUNCIONARÍA TU PLANTA SIN RED?
En una planta industrial moderna damos por hecho que “todo está conectado”: los sistemas de control, la producción, el seguimiento de recetas, los historiales de proceso y, en muchos casos, incluso las herramientas de optimización que viven en la nube. Eso funciona muy bien… hasta que la red, o los servicios de los que disponemos gracias a ella, fallan. Y entonces aparece la verdadera prueba de un sistema inteligente: no solo saber trabajar conectado, sino también seguir siendo útil, seguro y ordenado cuando no disponemos de las funcionalidades que nos permite la conexión.
Llegué a esta imagen gracias a esta publicación de Prannay Ikkurthy y me he decidido a desarrollar el concepto y convertirlo en una publicación para MyTips, espero que os guste.
La figura 1 resume una idea muy importante: una planta no debe diseñarse solo para el funcionamiento normal, sino también para sobrevivir a un corte de comunicaciones o a una caída de los sistemas IT.
Cuando todo va bien… hasta que nos quedamos sin los servicios que ofrece la conexión
En condiciones normales, la información circula de forma fluida entre los diferentes niveles o capas de automatización definidos en la ISA 95 :
- La capa de analítica -que probablemente reside en “la nube”- ayuda a supervisar, optimizar y a analizar datos.
- El MES, que es el responsable de la gestión de recetas, las secuencias de trabajo y/o la planificación de la producción.
- El DCS/APC ejecuta el control del proceso, leyendo las variables de proceso (temperaturas, presiones, caudales, niveles, etc) y actuando sobre él manipulando salidas analógicas (a válvulas de control, variadores de velocidad, etc) o digitales todo/nada (abrir/cerrar válvulas, arrancar/parar motores u otros elementos, etc).
- La planta física que hace el trabajo real: bombas, válvulas, reactores, motores y todo lo demás.
Dicho de forma simple: la capa digital organiza, calcula y decide; la capa de control ejecuta; y la planta responde físicamente. Es como una cocina profesional donde el jefe de cocina planifica el menú, el equipo prepara los ingredientes y finalmente éstos se cocinan en los fogones.
El problema de depender demasiado de servicios que necesitan conexión
La figura 1 muestra un caso de fallo clásico: cuando se pierde la conexión con el MES o con la infraestructura IT, la planta puede quedarse sin recetas, sin datos y sin capacidad de decidir correctamente. Esto mismo podría pasar si por ejemplo, el servidor con las aplicaciones en la nube no responde. En un escenario así, el sistema de control puede quedarse “bloqueado”, el operador pierde visibilidad y la producción sufre en retrasos o incluso la instalación se pone en riesgo.
En el mundo IT, una interrupción “sólo” significa una pausa temporal. Pero la planta no se congela por arte de magia. La física y la química que hace funcionar al proceso no se detiene ni espera a volver a tener conexión: los fluidos siguen circulando, la temperatura sigue cambiando, los equipos siguen girando y las reacciones químicas siguen avanzando.
Por eso, en automatización, una mala estrategia de continuidad puede convertir un «simple» problema de red o un servidor que se queda congelado, en un problema operativo serio. Por ejemplo, un reactor sigue necesitando mantener unas condiciones de operación (temperatura, presión), imprescindibles para lograr un rendimiento y una calidad definidas y/o para evitar unas condiciones de runaway térmico (cuando la reacción química libera energía en forma de temperatura, que al mismo tiempo favorece a la propia reacción, entrando en un círculo vicioso que puede originar un accidente).
Construir una arquitectura de la Industria 4.0 verdaderamente robusta significa que debemos diseñar pensando en la conectividad, pero también planificar para poder seguir operando de forma segura si perdemos la conexión o esos servicios de los que disponemos gracias a ella.
Esto no es una preocupación paranoica o una exageración: en octubre de 2025 un fallo de AWS, afectó a infinidad de empresas y a dispositivos conectados de todo el mundo.Más recientemente, durante el conflicto entre EEUU e Irán, este último atacó centros de datos de Amazon en Bahrein.
¿Qué significa trabajar en “Modo Isla”?
La figura 1 introduce un concepto clave: el funcionamiento en “Modo Isla”. Podemos definirlo como la capacidad de una planta o de una parte de ella para seguir operando de forma segura aunque se pierda la conexión con los sistemas superiores o estos dejen de funcionar.
No significa funcionar “a ciegas” ni dejar que todo siga como si nada. Significa contar con recursos locales para mantener la operación bajo control. Por ejemplo:
- disponiendo de una copia local de las recetas más usadas,
- tener un buffer de datos para no perder información,
- posibilidad de continuar con la secuencia de operación gracias a la intervención manual del operador.
Con un ejemplo de nuestro día a día seguro que es fácil de entender. Sería algo similar a cuando usas el GPS del móvil sin cobertura porque antes tuviste la precaución de descargarte los mapas que podrías necesitar. Es verdad que no tienes todas las funciones que te ofrece el estar conectado (por ejemplo, no tendrás información sobre el tráfico en tiempo real), pero puedes seguir moviéndote sin quedarte tirado.
Trabajar en «Modo Isla» (sin conexión), no significa funcionar “a ciegas” ni dejar que todo siga como si nada. Significa contar con recursos locales para mantener la operación bajo control.
El fallo seguro, o la importancia de diseñar para “fallar bien”
Uno de los mensajes más valiosos de la figura 1 es este: diseñar para la conexión (para aprovechar todas las ventajas que esta ofrece), pero también para la desconexión (para no comprometer la operativa o la seguridad). Esa frase debería estar en la mente de cualquier equipo de ingeniería, automatización, mantenimiento o IT/OT industrial.
Muchas veces se invierte mucho tiempo en digitalizar, conectar y optimizar, pero poco en pensar qué ocurre si la red cae, si el servidor del APC o el RTO no responden o si el sistema MES queda inaccesible. Y ahí es donde una planta realmente madura se diferencia de una planta frágil.
Una buena estrategia de continuidad no busca eliminar el fallo, porque eso es imposible. Lo que busca es que el fallo no se convierta en accidente, parada innecesaria o excesivamente larga (por ejemplo, por actuación del ESD) o pérdida de producto.
El papel del operador sigue siendo clave
La figura 1 también recuerda algo esencial: la tecnología no sustituye totalmente al factor humano. El operador sigue siendo fundamental para completar pasos, interpretar situaciones anómalas y llevar la planta a un estado seguro cuando algo se sale de lo previsto.
Esto no significa volver al “todo manual”. Significa reconocer que la automatización es una herramienta poderosa, pero no una excusa para eliminar el conocimiento operativo. En una planta bien diseñada, el operador no está para apagar incendios continuamente, sino para actuar con criterio cuando hace falta, por eso resulta fundamental mantener sus capacidades al 100%.
Automatizar mejora la eficiencia, pero también aumenta la dependencia de humanos que deben estar altamente capacitados para manejar lo inesperado. Esto lo escribía ya Lisanne Bainbridge en su paper “Ironies of Automation” publicado en 1983 en la revista Automatica y que ya ha aparecido mencionado en otros post de MyTips (ver más abajo, en la sección de artículos relacionados).
Un ejemplo sencillo
Imaginemos una línea de producción de una industria alimentaria o química. Todo funciona conectado: el MES envía la receta (qué va a producirse), el DCS regula la secuencia (introduce las cantidades adecuadas de los ingredientes en un reactor y habilita las condiciones necesarias) y la planta produce. De repente, se cae la red entre IT y OT.
Sin “Modo Isla”:
- el DCS puede quedarse esperando una orden que no llega,
- el operador no ve la receta,
- se para el lote, y con él el resto de la cadena de producción
- y puede haber pérdida de materia prima, se estropea el producto que se está fabricando.
Con “Modo Isla”:
- la receta se guarda localmente en el sistema de control,
- el control continúa con lógica segura,
- el operador confirma manualmente algunos pasos,
- y la planta mantiene la operación o, al menos, puede ir a un estado seguro sin caos, de forma controlada. Quizás pueda terminar el lote que estaba en producción cuando se produjo el fallo.
La diferencia entre ambos escenarios puede ser enorme (riesgos de seguridad, pérdidas económicas, daños reputacionales, etc).
Conclusiones
La industria moderna no debería pensar solo en conectividad, inteligencia artificial o analítica avanzada. También debe preguntarse algo mucho más básico y mucho más importante: ¿qué pasa cuando todo eso que depende de una conexión deja de estar disponible?
La respuesta a esa pregunta marca la diferencia entre una planta “inteligente” en apariencia y una planta verdaderamente robusta, segura y preparada para el mundo real.
Glosario
- APC (Advanced Process Control): Control avanzado de procesos que usa modelos matemáticos y algoritmos para optimizar variables de operación y mejorar eficiencia.
- RTO (Real-Time Optimization): Optimización en tiempo real; ajusta continuamente las condiciones del proceso para maximizar beneficios o rendimiento, basado en datos actuales.
- DCS (Distributed Control System): Sistema de control distribuido que supervisa y controla procesos industriales mediante múltiples controladores interconectados.
- MES (Manufacturing Execution System): Sistema de ejecución de manufactura que gestiona y monitorea la producción en planta en tiempo real, conectando el control con la gestión empresarial.
- ESD (Emergency Shutdown System): Sistema de parada de emergencia diseñado para detener procesos de forma segura ante condiciones peligrosas.
- SIS (Safety Instrumented System): Sistema instrumentado de seguridad que detecta condiciones de riesgo y ejecuta acciones automáticas para mantener la operación en estado seguro.