Modos de operación, quién puede parar la lógica

Un controlador industrial tiene, con nombres que cambian de un fabricante a otro, tres situaciones básicas. En marcha ejecuta su lógica en un ciclo corto y gobierna las salidas: bombas, válvulas, calentamiento. En parada la lógica no se ejecuta y las salidas quedan en el estado que se configuró para ese caso. En programación se permite cargar o cambiar la lógica, y mientras dura ese modo la lógica de control no está gobernando el proceso.

La consecuencia para seguridad es directa: el modo es una palanca sobre el proceso. Cambiarlo no roba ningún dato, pero puede dejar una línea sin control o dejarla lista para recibir una lógica distinta. Por eso no se mira solo qué hace el controlador, sino quién puede moverle el modo. En el laboratorio, el glosario modos-de-operacion.txt fija el sentido de cada uno.

El selector físico y la orden por la red son las dos formas de cambiar el modo. Un buen registro dice cuál se usó y quién lo hizo. Abre registro-de-cambios-de-modo.log y fíjate en las filas cuyo origen es la red, no el selector, y contrástalas con ordenes-de-trabajo.txt: un cambio de modo sin orden de trabajo es lo que una revisión señala primero.

Las dos filas del cambio por la red marcan cuándo salió el controlador de MARCHA y cuándo volvió. La duración no está escrita en el registro: sale de restar las dos horas. Importa porque, mientras dura, la lógica no gobernaba el proceso, y ese tiempo es la ventana de exposición que se anota en el hallazgo.

La ficha dice tres cosas a la vez: el selector está en MARCHA, la llave está puesta colgada del propio selector y el controlador acepta cambios de modo desde la red. Juntas, quitan el único freno físico y dejan la puerta de red abierta.

La medida de fondo no apaga ni desconecta nada: se cierra la puerta que sobra y se deja un procedimiento para los trabajos autorizados. Y como cualquier cambio sobre un controlador en marcha, la aplica el equipo de la planta, con operaciones, en una ventana acordada.