El mantenimiento no consiste en tocar equipos detenidos
Durante la operación normal de una fab de semiconductores, los gases de proceso y los productos químicos líquidos permanecen dentro de tuberías cerradas; las cámaras y las bombas funcionan en una secuencia definida, y la extracción, los scrubbers, los enclavamientos y las alarmas vigilan continuamente el estado de los equipos. Por lo general, el personal realiza maniobras estandarizadas desde el exterior. Sin embargo, estas premisas cambian cuando comienzan tareas como mantenimiento preventivo, sustitución de piezas, eliminación de obstrucciones, limpieza de cámaras o desconexión de tuberías. Se abren cubiertas, se retiran resguardos, se detienen secuencias automáticas y se accede a superficies internas y conexiones que normalmente no se tocan. Más que aparecer nuevos peligros, cambia al mismo tiempo el estado de varias capas de defensa que, durante la operación normal, separaban a las personas de esos peligros.
La Administración de Seguridad y Salud Ocupacional de Estados Unidos (OSHA) identifica como peligro específico la posible exposición a residuos de productos de reacción durante el mantenimiento de cámaras de reacción, bombas y equipos relacionados en la fabricación de semiconductores. Su norma de control de energías peligrosas también aborda el arranque inesperado y la liberación de energía almacenada durante el mantenimiento. Al unir ambos enfoques, la idea central queda clara: decir solo que se desconectó la energía no describe un estado seguro; hay que comprobar por separado el estado de la energía, las sustancias, los controles y las personas.
Seis cambios de estado respecto de la operación normal
1. El equipo sale de su estado operativo de diseño
En operación normal, el equipo está diseñado bajo la premisa de que las puertas están cerradas, la presión y el caudal están controlados y los sistemas de extracción y tratamiento están conectados. Durante el mantenimiento puede perderse el vacío, la cámara quedar expuesta a la atmósfera, las válvulas colocarse en posición manual o generarse un estado mixto en el que solo algunos módulos permanecen activos. Aunque se corte la electricidad, pueden quedar energía en condensadores, sistemas neumáticos e hidráulicos, vacío, resortes y gravedad, así como componentes calientes y presión química. Lanorma de control de energías peligrosasde OSHA incluye energías eléctricas, mecánicas, hidráulicas, neumáticas, químicas y térmicas, y exige eliminar o limitar de forma segura la energía almacenada o residual después del aislamiento y verificar la eficacia de este.
Por eso, “equipo detenido” y “estado seguro para trabajar” no son sinónimos. Aunque la pantalla indique OFF, debe comprobarse que el dispositivo de aislamiento de energía se ha separado físicamente, que no puede recibirse una orden de arranque automático y que no existe una vía por la que vuelva a acumularse presión. Un robot multieje o un mecanismo elevador puede moverse por gravedad incluso después de cortar la alimentación, y una zona calefactada puede no haberse enfriado lo suficiente. El sistema de vacío puede contener residuos que se desplacen o dispersen al entrar aire. El procedimiento de seguridad debe partir de la lista real de fuentes de energía, no del nombre del equipo.
2. Aunque desaparezca el material de alimentación, quedan residuos y subproductos
Cerrar la válvula de suministro del gas de proceso no limpia el interior de la cámara, la línea de extracción, la bomba de vacío ni el scrubber. Sustancias sin reaccionar, condensados, depósitos corrosivos, polvos finos y subproductos de reacción pueden permanecer en superficies o tramos muertos. También debe evaluarse si pueden liberarse o reaccionar de forma distinta cuando cambian la presión, la temperatura, la humedad o el contacto con el aire. Por eso no basta con consultar la información de materias primas de la ficha de datos de seguridad: hay que saber, equipo por equipo, qué produce realmente el proceso y dónde se acumula.
Laguía de peligros de la fabricación de dispositivos semiconductoresde OSHA explica que, en equipos como los implantadores de iones, los residuos de productos de reacción relacionados con arsénico, arsina y fosfina pueden ser fuentes potenciales de exposición para el personal de mantenimiento. NIOSH también presenta en susrecomendaciones para prevenir la exposición al arseniuro de galiomedidas como aislar la zona de limpieza de los equipos de crecimiento de cristales, abrirlos después de enfriarlos, usar extracción localizada, aspiración HEPA y limpieza húmeda. Esto no significa que “todos los equipos de una fab contienen las mismas sustancias”, sino que debe identificarse el peligro residual según el proceso, el equipo y su historial reciente, y evitar acciones como barrer en seco o usar aire comprimido, que pueden volver a suspender el polvo.
La gestión de residuos no termina al revisar el historial antes de iniciar el mantenimiento. También deben definirse las condiciones bajo las cuales filtros, forelines, trampas, aceite de bomba y residuos de limpieza se tratan como piezas o desechos contaminados. Hay que determinar a quién avisar y hasta dónde retirarse si durante el trabajo aparecen señales anormales como cambios de color, olor, calentamiento, humo o presión inesperada. La concentración peligrosa no debe juzgarse por los sentidos; cuando sea necesario, se confirma mediante detección adecuada y mediciones de higiene industrial.
3. Abrir una línea interrumpe deliberadamente el límite de contención
La apertura de líneas consiste en abrir tuberías, bridas, accesorios, mangueras o conexiones de equipos y retirar el límite que confinaba los materiales de proceso. No se puede concluir que el interior está vacío solo porque se cerró una válvula y el manómetro indica 0. Una válvula puede no cerrar herméticamente, el drenaje o el venteo pueden estar obstruidos, puede quedar líquido atrapado entre dos válvulas o producirse un retorno desde otro equipo. Un manómetro de rango alto quizá tampoco muestre correctamente una presión residual baja.
Laguía HSG253 de aislamiento seguro de equiposdel Ejecutivo de Salud y Seguridad del Reino Unido (HSE) recomienda que, inmediatamente antes de abrir el límite, una persona competente demuestre por un método apropiado que no hay fugas ni nueva acumulación de presión en el tramo aislado y registre el resultado en el certificado de aislamiento. También indica que un aislamiento mantenido durante mucho tiempo o sin vigilancia debe demostrarse de nuevo, y que los venteos y drenajes de sustancias peligrosas deben conducirse a un lugar seguro o contener cualquier descarga de forma segura.
En una fab, el gabinete de gases, la caja del manifold de válvulas, las bombas del subfab y el equipo de tratamiento pueden formar un solo flujo. Por lo tanto, el alcance del aislamiento debe trazarse desde la fuente hasta el extremo de descarga y tratamiento, no limitarse a la pieza situada frente al trabajador. Este debe colocarse lo más lejos posible del punto de apertura y planificar el primer aflojamiento de manera que cualquier presión o líquido restante no se dirija hacia él. Antes de empezar también debe comprobarse el acceso real a duchas de emergencia, lavaojos, equipos de respuesta a derrames y rutas de escape.
4. Aumentan las fronteras de información entre contratistas y turnos
En el mantenimiento de una fab pueden participar conjuntamente ingenieros del fabricante del equipo, proveedores de piezas, especialistas en tuberías, electricidad o limpieza y operadores de la fab. Cada parte puede conocer bien su propio trabajo sin comprender de la misma manera los nombres de válvulas de otra organización, el significado de las alarmas, el sistema de contacto de emergencia, el historial químico y la autoridad para aprobar la restauración. Si el trabajo abarca varios turnos, también aumenta el riesgo de que el motivo del aislamiento inicial y las medidas temporales no se transmitan suficientemente al turno siguiente.
Laguía de gestión de la seguridad de procesosde OSHA explica que, cuando contratistas realizan mantenimiento, reparación, paradas mayores o trabajos especializados cerca de procesos de alto riesgo, la empresa anfitriona debe comunicarles los peligros conocidos de incendio, explosión y liberación tóxica, así como el plan de emergencia, y controlar el acceso y el trabajo. El contratista también debe procurar que sus trabajadores comprendan las prácticas seguras y los peligros conocidos del proceso. La norma de bloqueo y etiquetado de OSHA exige que, cuando personal externo realiza mantenimiento, ambos empleadores se informen mutuamente de sus procedimientos de control de energía y que el empleador del lugar comprenda las restricciones y prohibiciones de la empresa externa.
Un buen relevo no consiste en una frase general como “trabaje con cuidado”. En una sola pantalla o documento deben coincidir el identificador único del equipo, las sustancias utilizadas recientemente, los números de los puntos de aislamiento, la ubicación de bridas ciegas y bloqueos, los peligros residuales, los enclavamientos y alarmas puenteados, los trabajos simultáneos, los criterios de parada, el contacto de emergencia y quien autoriza la restauración. El trabajador debe señalar y confirmar personalmente el estado del aislamiento; si los nombres difieren, se comparan el plano y la etiqueta de campo. En el cambio de turno se necesita un procedimiento formal de transferencia que mantenga el control personal y la responsabilidad sobre cada bloqueo.
5. Las alarmas y los enclavamientos pueden inhibirse para el mantenimiento
Para calibrar un sensor, revisar un actuador o probar un módulo determinado puede ser necesario inhibir temporalmente una alarma habitual o puentear un enclavamiento. Aunque el equipo parezca detenido, una de sus capas de protección se ha debilitado deliberadamente. Un operador que desconozca la inhibición puede confundir una pantalla silenciosa con normalidad, y un puente no restaurado después de la prueba puede permanecer oculto hasta el siguiente arranque.
Laguía sobre sistemas de controldel HSE explica que, cuando se utilizan la inhibición o el shelving de alarmas, deben controlarse para que vuelvan a activarse en el estado operativo correspondiente. Los bypass de los sistemas de protección deben gestionarse con requisitos de autorización, seguridad, registro, vigilancia, revisión y restablecimiento; después del mantenimiento deben restaurarse y someterse a una prueba de comprobación. El mismo principio se aplica en una fab. Cada bypass debe tener número único, motivo, función de protección afectada, hora de inicio y vencimiento, autorizador, medida compensatoria y responsable de confirmar la restauración.
Cuando se desactiva una alarma, debe definirse qué sustituirá la vigilancia del peligro que esa función realizaba. Las medidas compensatorias pueden incluir limitar el acceso a la zona, usar detectores portátiles, asignar un vigilante, restringir las condiciones de operación o detener equipos adyacentes. Su idoneidad, sin embargo, se decide mediante evaluación de riesgos. La lista de bypass debe ser visible tanto para la sala de control como para el personal de campo; no se debe suponer que desapareció automáticamente al cerrar el permiso, sino verificar la pantalla real y la función en campo.
6. La restauración es otra operación no rutinaria
Al terminar el mantenimiento, hay que comprobar que no queden herramientas, mangueras temporales, bridas ciegas, puentes, cables de tierra, materiales de limpieza ni residuos. También debe verificarse que la tubería desconectada se haya conectado al puerto correcto, que juntas y uniones cumplan las especificaciones y que la orientación de las válvulas y los puntos de ajuste de los sensores sean correctos. Elmaterial del HSE sobre procedimientos de mantenimientocita como ejemplos de errores no restaurar funciones de seguridad, conectar mal tuberías, omitir juntas o pernos, orientar incorrectamente válvulas y configurar mal los puntos de alarma.
El rearranque no es simplemente el último botón que vuelve a conectar la energía. Si todos los aislamientos se retiran a la vez, resulta difícil saber dónde surgió un problema. La energía debe restaurarse por etapas y deben comprobarse fugas, presión, caudal, extracción, respuesta de sensores, enclavamientos y alarmas. También hay que confirmar que todas las personas han salido de la zona peligrosa y que los operadores afectados conocen el rearranque. Si la pieza o el procedimiento modificado no constituyen una sustitución equivalente, pueden ser necesarios gestión de cambios y revisión previa al arranque.
El permiso de trabajo no es papel, sino un acuerdo sobre el estado
Laguía del HSE sobre sistemas de permisos de trabajoaborda la confirmación previa de que son suficientes el aislamiento, el drenaje, la limpieza, el monitoreo ambiental, la evaluación de riesgos y la comunicación, y la entrega formal del equipo a operaciones al finalizar. Por tanto, la función del permiso no es transferir la responsabilidad al trabajador, sino lograr que varias organizaciones acuerden el mismo estado del equipo. La firma registra el resultado de los controles; no es una barrera que sustituya la verificación en campo.
Un permiso eficaz debe responder al menos a estas preguntas:
¿Qué se hará exactamente, en qué equipo y en qué conexión?
¿Dónde se aislaron las energías eléctrica, mecánica, neumática, de vacío, térmica y química?
¿Cuáles son los residuos y subproductos y cómo se eliminarán, capturarán y desecharán?
Antes de abrir la línea, ¿quién demostró por qué método que no había presión ni fugas?
¿Qué alarmas o enclavamientos se puentearon, por qué y qué medidas compensatorias se aplican mientras tanto?
¿Cómo se afectan mutuamente los equipos adyacentes y los trabajos simultáneos?
¿Cuáles son los criterios de parada, la ruta de evacuación y el contacto de emergencia?
Si cambia el alcance o las condiciones, ¿quién reevalúa y vuelve a emitir el permiso?
¿Quién verifica independientemente la restauración y el rearranque y cómo recibe el equipo el área de operaciones?
Verificar no es “haber visto”, sino dejar un resultado
En un procedimiento de seguridad conviene distinguir entre comprobar y verificar. Ver que la manija de una válvula está cerrada es comprobar su posición. Confirmar, después de drenar adecuadamente el tramo aislado, que no vuelve a acumularse presión es verificar su desempeño. Bajar un interruptor es una maniobra; confirmar ausencia de tensión con un instrumento aprobado es una verificación. Que desaparezca de la pantalla el indicador de bypass de alarma es una indicación de estado; probar la entrada del sensor y la acción final para demostrar que la protección ha vuelto es una prueba de comprobación.
El método de verificación debe adecuarse al peligro y al equipo. No puede aplicarse mecánicamente la misma prueba de “energía cero” a toda situación, porque la propia prueba puede liberar una sustancia o mover el equipo. Por eso el procedimiento debe incluir el resultado esperado, el criterio de aceptación, el instrumento que se usará, el punto de prueba, la acción en caso de fallo y la forma de registro. Un fallo de verificación no debe tratarse como un simple retraso: hay que ampliar el alcance del aislamiento o rediseñar el método. HSG253 también recomienda devolver los puntos de aislamiento a un estado seguro y reevaluar la situación si el aislamiento no puede demostrarse satisfactoriamente.
Comprobación previa aplicable en campo
Antes de emitir el permiso, el responsable del trabajo y el de operaciones pueden realizar juntos una breve comprobación en campo.
Señalar y confirmar que coinciden el ID del equipo, la etiqueta de la tubería y el objeto del plano.
Revisar el historial reciente del proceso y las sustancias usadas, y anotar los residuos y subproductos previstos.
Marcar todas las fuentes de energía y vías de entrada o retorno y confirmar el estado de los bloqueos personales.
Confirmar los resultados del drenaje, la purga y la limpieza y las mediciones atmosféricas o superficiales necesarias.
Justo antes de abrir la línea, demostrar por el método definido que no hay presión residual ni nueva acumulación.
Comparar la lista de bypass de alarmas y enclavamientos, su vencimiento y las medidas compensatorias con el registro de la sala de control.
Compartir las interferencias con otras empresas y trabajos adyacentes, el relevo de turno y los criterios de parada.
Acordar de antemano la secuencia de restauración, la prueba de comprobación, la autorización de rearranque y los criterios de entrega a operaciones.
Esta lista no sustituye los procedimientos específicos del equipo ni los requisitos legales. Es un marco auxiliar para plantear en campo preguntas sobre el estado real que un permiso genérico puede pasar por alto. Como los productos químicos, la configuración, la detección de gases y la respuesta de emergencia varían entre fabs, deben aplicarse conjuntamente las instrucciones del fabricante, las normas internas, la evaluación de riesgos y las reglas de la autoridad competente.
La verdadera razón del aumento del riesgo
Explicar que el mantenimiento de una fab es más peligroso que la operación normal solo por falta de experiencia o atención del trabajador omite lo esencial. El mantenimiento modifica de forma planificada capas de defensa como el confinamiento, el control automático, la extracción, las alarmas, los enclavamientos y la operación estándar. Al mismo tiempo maneja residuos y energía almacenada, y exige que varias organizaciones y turnos compartan un mismo estado. Una pequeña omisión de información puede coincidir con el debilitamiento de otra capa de defensa.
Por eso, una buena gestión del mantenimiento no se diseña como tres casillas —“parada, trabajo, rearranque”—, sino como un proceso continuo: “definir el estado, aislar, eliminar, demostrar, abrir, vigilar, restaurar, probar y entregar”. El permiso conecta ese flujo y la verificación demuestra que cada etapa existe en la realidad. La pregunta más importante no es si el trabajador firmó, sino en qué estado se encuentra ahora el equipo y con qué se confirmó ese estado.