Sistemas.instrumentados.de.Seguridad

SISTEMAS INSTRUMENTADOS DE SEGURIDAD

1

CAPAS DE SEGURIDAD

Sistemas Instrumentados de Seguridad

Tema: capas de seguridad

CAPAS DE SEGURIDAD Índice 1. 2.

CAPAS DE SEGURIDAD:INTROD SEGURIDAD:INTRODUCCION UCCION CAPAS DE PREVENCION

3 4

2.1.

Diseño de Planta

4

2.2.

Sistemas de Control de Procesos

5

2.3.

Sistemas de Alarmas

6

2.4.

Sistemas Instrumenta Instrumentados dos de Seguridad

7

3.

CAPAS DE MITIGACION

7

3.1.

Sistemas de Fuego y Gas

7

3.2.

Sistemas de Contencion

8

3.3.

Planes de Emergencia

8

Curso U.Santiago

Página 2



1. CAPAS DE SEGURIDAD:INTRODUCCION Los accidentes industriales raramente suceden por una sola causa. Lo normal es que sean consecuencia de una combinación de eventos poco comunes que se piensa son independientes y que no deberían suceder al mismo tiempo. Tomar, como ejemplo, el peor accidente químico ocurrido hasta la fecha que tuvo lugar en Bhopal (INDIA) en una planta de pesticidas. Unas 3000 personas murieron de inmediato y al menos 12500 fallecieron en las semanas posteriores por inhalar gas y beber agua agua contaminada. Desde Desde entonces se estima que unas unas 25000 personas han perdido la vida por las secuelas y unos 150000 están afectados de alguna manera. El material que fugo en dicha planta fue isocionato de metilo (MIC).Dicha fuga (del orden de 40 toneladas) se produjo en un tanque de almacenamiento que contenía más cantidad de lo que establecían los procedimientos de seguridad de la compañía. Los procedimientos de operación establecían establecían asimismo usar un sistema de refrigeración para mantener la temperatura en el producto de dicho tanque en 5ºC disponiendo de una alarma cuando la temperatura subiese de 11ºC. El sistema de refrigeración estaba desconectado, el MIC se había almacenado a una temperatura cercana a los 20ºC y se había reajustado la alarma a 20ºC. Un trabajador fue requerido para lavar con agua unas tuberías y filtros que se encontraban obstruidos.El agua paso al tanque de almacenamiento del MIC a través de una fuga de una válvula produciéndose una reacción violenta con gran producción de gases.Los medidores de presión y temperatura del tanque que indicaban la situación anormal no fueron tenidos en cuenta al pensar que eran imprecisos.El separador/lavador de venteo de gases a antorcha que podía haber neutralizado neutralizado la fuga estaba fuera fuera de servicio por estar suspendida suspendida la producción producción de MIC y pensar que no era por tanto necesario.Asimismo la propia antorcha que podría haber quemado parte de dichos gases estaba fuera de servicio por mantenimiento.Finalmente hubo una serie de acontecimientos y errores en los planes de emergencia que completaron el fatal escenario de dicho accidente. Por lo explicado anteriormente, queda claro que los accidentes suelen ser una combinación combinación de raros eventos que se suelen asumir como independientes y de difícil coincidencia en el tiempo.Uno de los métodos de protegerse contra ellos es implementando múltiples e independientes capas de seguridad que hagan más difícil que dichos eventos generen en condiciones peligrosas. Es por tanto fundamental que desde el inicio de un Proyecto y en su etapa de explotación y mantenimiento se dispongan de dichas capas de protección perfectamente estructuradas , procedí mentadas mentadas y mantenidas. mantenidas. La figura que aquí aparece es (con ligeros matices) la que se representa en la mayoría de los estándares para separar las diferentes capas de seguridad que deben tenerse en cuenta en cualquier diseño y desarrollo de un proyecto.varias de estas capas son de carácter preventivo y otras de mitigación.Algunas de ellas necesitan instrumentos y otras no.En cualquier caso el concepto de separar en capas la seguridad de una planta responde a un concepto básico y simple:”No poner todos los huevos en la misma cesta”.

Curso U.Santiago

Página 3



PLANES DE EMERGENCIA MITIGACION

SISTEMAS DE CONTENCIÓN

FUEGO & GAS

S.I.S. SISTEMA DE ALARMAS PREVENCION

CONTROL DE PROCESO

PLANTA DE PROCESO Figura 1.1

2. CAPAS DE PREVENCION Son aquéllas diseñadas para prevenir y anticiparse a que un determinado peligro pueda ser efectivo y llegue a darse. Son las que se aplican en primer lugar, y las más importantes son:

2.1. Diseño de Planta El diseño de cualquier planta de proceso debe, por sí mismo, realizarse teniendo siempre en cuenta la seguridad.Saber que la mejor seguridad implica HACER BIEN LAS COSAS y esto debe incluir el uso de unas buenas especificaciones de diseño y disponer de los recursos humanos suficientes con buena formación y experiencia.Debe Curso U.Santiago

Página 4



priorizarse durante todas las fases del Proyecto de una Planta los aspectos técnicos sobre los económicos.Además de un correcto diseño conceptual y básico, la realización de un estudio de riesgos operativos, tendente a identificar, evaluar y controlar los riesgos (accidentes e incidentes) de procesos es algo que se considera básico al inicio de la ingeniería de detalle de cualquier proyecto (Ej. HAZOP). La eliminación y/o reducción de un peligro potencial suele venir como consecuencia de un diseño sencillo y claro.La alternativa de añadir elementos de protección para controlar los riesgos suele complicar la solución y crear peligros añadidos. En un diseño enfocado hacia la seguridad se suelen tener en consideración aspectos sobre la Planta tales como: La clasificación y distribución por áreas de proceso. Instalación de almacenamiento Depósitos de sustancias peligrosas. Fluidos calientes /fríos Instalaciones eléctricas Clasificación de áreas peligrosas Atex). Estructura organizativa y planes de emergencia. Etc En esta etapa los responsables principales en esta capa son ingenieros pertenecientes a diferentes disciplinas y donde los ingenieros y expertos en el Proceso son claves. · · · · · · · ·

2.2. Sistemas de Control de Procesos El sistema de control de procesos es el siguiente paso en las capas de seguridad. Es el encargado de mantener las variables de operación (presión, temperatura, caudal, nivel, etc) en sus puntos de consigna y dentro de márgenes seguros así como optimizar los consumos y guardar la calidad de los productos. La automatización de una planta no significa la eliminación total de las personas y con frecuencia lo que conlleva para las mismas es un incremento de sus tareas por los nuevos niveles de complejidad.Si los modernos Sistemas de Control Distribuidos (SCD) son usados para tomar más y más decisiones debido a que la intuición y enjuiciamiento del operador no es adecuada, entonces puede ser un error tener a dicho operador como arbitro final de cualquier evento.La experiencia ha demostrado que las personas realizan una deficiente monitorización de los sistemas automáticos y que las tareas que demandan poca acción por parte de los operadores conllevan a descuidar la vigilancia y llevar a la complacencia y excesiva confianza en dichos sistemas.Largos periodos de monitorización pasiva puede conducir a una falta de preparación a la hora de atacar cualquier tipo de emergencias.De hecho algunos advierten que “el control por ordenador convierte a lo s operadores en imbéciles”.Una manera de evitar esto es

involucrarle en decisiones de diseño y análisis de seguridad así como proporcionarle herramientas de simulación adecuadamente preparadas para asegurar su continuo entrenamiento. Un aspecto interesante, que se suele plantear con frecuencia, es el número de lazos de control que pueden ser asignados por operador de consola/área de control. A este respecto y definiendo como lazo de control una salida a válvula ó elemento final (ya sea de forma automática y/o manual ) existen recomendaciones que dependen de aspectos tales como: lugar geográfico de la Planta, nivel de modernidad de la misma, disponibildad de Control Avanzado, etc. En todo caso a nivel de Europa y en plantas modernas no se recomiendan más de 200 lazos por operador. Curso U.Santiago

Página 5



2.3. Sistemas de Alarmas Si el sistema de control falla (total ó parcialmente) y por cualquier razón, no realiza su función, el siguiente nivel corresponde a las alarmas, que alertan al operador y le posibilitan para una intervención manual. El objetivo de un sistema de alarmas es ayudar al operador a detectar los problemas que puedan aparecer en el proceso y establecer la prioridad de su respuesta. Según esto una alarma debe ser un aviso al operador de que ha ocurrido una perturbación en el proceso que requiere su acción inmediata. Esto es importante, porque elimina de la definición de alarma todas aquellas informaciones de estado, por ejemplo, “Conexión de una aplicación de control avanzado” (no así su desconexión, que puede necesitar la acción del operador), cambio

de una bomba, etc. Todo este tipo de información que el operador necesita saber, pero que no requiere ninguna acción por su parte, debería aparecer en el sumario de mensajes. Para definir correctamente las alarmas y su prioridad sería necesario contestar para cada alarma a las siguientes preguntas. ¿Cuál es el propósito de la alarma? (Qué riesgo o incidencia pretende * evitar?(La respuesta a esta pregunta definiría si es realmente necesaria la alarma) ¿Cuáles serían las consecuencias de que el operador no tomase la * acción adecuada, o no la tomase con suficiente rapidez?(la respuesta a esta pregunta definirá la prioridad de la alarma) ¿ Qué acción se requiere del operador? * ¿ Qué rapidez de respuesta se requiere por parte del operador?.(Esto * es fundamental para fijar el límite de la alarma)

En un sistema de alarmas también es necesario definir que tipo de interfaces con el operador se van a establecer. La forma en que las alarmas se presentan al operador es muy importante ya que de ello depende lo rápidamente que el podrá identificar la causa del problema que originó la alarma. Algunas de las posibilidades de presentación más estándar en un típico SCD (Honeywell) son: ·

·

·

Anunciador de alarmas . Da una visión más general de la planta que el Sumario de alarmas, lo que permite, a un operador experimentado, conocer e interpretar más rápidamente una alarma y su relación con el resto de la unidad.Este tipo de presentación sigue siendo válido en los anunciadores de alarmas en paneles locales. Sumario de alarmas . Las alarmas aparecen por orden cronológico y de prioridad. Es necesario leer la descripción de la alarma, y no permite saber cual es la causa que la ha producido. Alarm/Message Window . Software especial que permite tener un pequeño sumario de alarmas sin abandonar el gráfico de operación en el que se está operando. En la definición del sistema de alarmas es necesario decidir qué alarmas se incluyen en cada una de las interfaces (Anunciador, Sumario) y si se utiliza el software especial del Alarm Window.

Curso U.Santiago

Página 6



Una buena gestión de alarmas se inicia desde el comienzo de cualquier Proyecto racionalizando el número de las mismas.La revisión de los P&Ids debe ser realizada con detalle para asegurarse que el número de alarmas totales (independientemente de su importancia y prioridad) no supera determinados valores recomendados por las buenas prácticas de tal forma que un operador de una consola de operación no tenga más de 4 veces el número de lazos de control (salidas a válvulas).Sigue con la creación de procedimientos de mantenimiento y gestión de cambio de las mismas. Además, si el tratamiento de las alarmas por el SCD correspondiente, no impide la inundación de alarmas en determinados eventos (paradas,arranques,emergencias,etc) hay que desarrollar softwares de gestión dinámica de las mismas que haga posible una respuesta eficaz y segura por parte del operador.

2.4. Sistemas Instrumentados de Seguridad Si el sistema de control y la actuación del operador son insuficientes, y se alcanzan niveles de variables predeterminados que no deben superarse bajo ningún concepto, debe disponerse de un sistema que de forma automática realice las acciones oportunas (paradas parciales o totales de equipos y plantas) para así evitar el peligro.A estos sistemas se les ha venido denominando de varios nombres:sistemas de parada de emergencia ( E.S.D.), sistemas de enclavamientos de seguridad, sistemas de seguridad,etc aunque la forma final adoptada por Isa e IEC es el de “Sistemas Instrumentados de Seguridad” (SIS).

Estos sistemas instrumentados de seguridad están normalmente separados e independizados de los sistemas de control, incluyendo la lógica, los sensores y válvulas de campo.Asimismo requieren un alto grado de seguridad y de diagnósticos de fallos así como prevenir cambios inadvertidos y manipulaciones. El presente curso se dedica a esta capa de prevención.

3. CAPAS DE MITIGACION Son aquéllas que se diseñan para paliar o limitar las consecuencias de un peligro una vez que éste realmente ha sucedido. Las más importantes son:

3.1. Sistemas de Fuego y Gas Si el sistema instrumentado de seguridad falla y el accidente tiene lugar (explosión, fuga, incendio, etc.), los sistemas de Fuego y Gas pueden ser usados para mitigar o minimizar las consecuencias del mismo. En USA estos sistemas sólo son usados como alarma, no tomando ninguna acción automática; Fuera de USA sí suelen tomar acción automática y normalmente están integrados en las mismas plataformas que los SIS. Una interesante diferencia entre los sistemas de Fuego y Gas y los SIS es en el concepto denominado “fallo seguro” (fail safe) que estos últimos están normalmente energizados (se desenergizan para producir la parada) y los de Fuego y Gas están Curso U.Santiago

Página 7



normalmente desenergizados (se energizan para tomar acción).La razón de esto es muy simple.Los sistemas de parada se diseñan para llevar la planta a un estado seguro lo cual usualmente significa parada de producción.Los disparos intempestivos no deseados ni demandados conllevan por tanto perdidas de producción durante el tiempo de parada pero no es catastrófico desde le punto de vista de la seguridad.Actualmente ,estudios han mostrado que el tiempo empleado en operaciones de arranque y paradas de planta suponen un 4% del totaldel tiempo de operación pero el 25% de todos los accidentes suceden en ese 4% del tiempo.Los diseños de Fuego y Gas se realizan para proteger tanto el equipo como al personal.Los disparos no deseados en este tipo de sistemas pueden destrozar equipos y hasta pueden producir muertes (Ej:disparo de halón ó CO2 en una sala de control ó de Racks).Si el sistema trabaja con contactos normalmente abiertos y reles/bobinas desenergizadas tales fallos llegan a ser altamente improbables.En estos casos se puede disponer de un sistema de vigilancia de línea que nos avisa de una posible avería.

3.2. Sistemas de Contención Los sistemas de contención constituyen otra de las capas de mitigación. Ejemplos de estos sistemas son los pocetos de los tanques de productos, los edificios contenedores de reactores nucleares, etc.

3.3. Planes de Emergencia En el caso de un evento catastrófico, se deben de disponer de procedimientos y planes de emergencia internos y externos que se activen en función de la gravedad de dicho evento. Un plan de emergencia debe contemplar las líneas básicas de actuación del personal de la empresa así como la coordinación de la ayuda exterior,en caso de requerirse,ante una situación de peligro potencial para las personas e instalaciones y debe de respetar las leyes establecidas. Estas situaciones pueden originarse tanto dentro de las propias instalaciones (funcionamiento anómalo, incendio, explosión, vertido incontrolado, etc) como fuera de las mismas pero que pudieran estar involucradas. Aunque esta capa no dispone de sistemas físicos (instrumentos y equipos), salvo las sirenas, se considera una capa más de mitigación de seguridad. Nota: En la mayoría de las Plantas de Procesos existen determinados dispositivos para aliviar los excesos de presión de tanques, torres, recipientes, equipos y tuberías, etc. y evitar de esta manera roturas y fugas a la atmósfera de fluidos peligrosos evitando de esta manera riesgos de contaminación/explosión y pérdidas económicas y/o de vidas. Estos dispositivos de seguridad son generalmente denominados válvulas de alivio/seguridad y dependiendo de los autores pueden ser considerados como elementos de prevención ó elementos de mitigación.

Curso U.Santiago

Página 8


2

SISTEMAS INSTRUMENTADOS DE SEGURIDAD SIS

Sistemas Instrumentados de Seguridad Tema: Sistemas Instrumentados de Seguridad (SIS)

SISTEMAS INSTRUMENTADOS DE SEGURIDAD (SIS) Índice 1. 2.

INTRODUCCION ESTANDARES Y NORMATIVAS

3 4

2.1.

ANSI/ISA

4

2.2.

I.E.C

5

2.3.

Otras

7

3. TERMINOLOGIA Y DEFINICIONES MAS IMPORTANTES

8

3.1.

¿Qué es un Sistema Instrumentado de Seguridad (SIS)?

8

3.2.

¿Qué es un Nivel Integrado de Seguridad (SIL)?

9

3.3.

¿Qué es la probabilidad de fallo en demanda (PFD)?

10

3.4.

¿Qué es una función instrumentada de seguridad (SIF)?

11

3.5.

¿Qué es tiempo medio entre fallos (MTBF)?

13

3.6.

¿Qué es fallo seguro y fallo peligroso?

13

3.7.

Otras definiciones

14

Curso U.Santiago

Página 2


1. INTRODUCCION Sistema de enclavamientos, Sistema Instrumentado de Seguridad, Sistema de parada de emergencia, etc. la variedad de nombres parece algo ilimitado. Dentro de la Industria de Proceso, el debate continúa sobre el significado de cada uno de ellos. Incluso en el comité ISA SP84 hubo discusiones continuas (y cambios frecuentes) sobre la terminología, definición y significado de cada uno de esos términos. No obstante la confusión en la industria va más allá del propio significado. Ello afecta al propio diseño de estos sistemas. Así, nos encontraremos con muchos ejemplos y preguntas que no son fáciles de responder o que la respuesta no es la misma, dependiendo de la norma, estándar o persona que la dé. A título de ejemplo se exponen algunas: -

Selección de la tecnología a utilizar.

¿Qué tecnología deberá ser usada: relés, estado sólido, microprocesador (PLC)?. ¿Depende dicha selección de la aplicación?. Los relés son todavía usados en pequeñas aplicaciones pero ¿diseñaría un sistema de 500 entradas/salidas con relés?. ¿Es económico diseñar un sistema con 20 entradas/salidas con PLC’S redundantes?.

Algunos prefieren no usar sistemas basados en software en aplicaciones de seguridad. ¿Es una buena recomendación?. -

Selección de redundancia.

¿Cómo de redundante debería ser diseñado un sistema instrumentado de seguridad?. ¿Depende de la tecnología o del nivel de riesgo?. Si la mayoría de los sistemas basados en relés son simples, ¿Por qué son tan populares, actualmente los sistemas programables de triple redundancia?. -

Elementos de campo.

¿Deberían los elementos sensores iniciadores ser de tipo transmisor o interruptor (switch)?. Si usamos transmisores, ¿analógicos o digitales?. ¿Reducción o no en los elementos de campo?. ¿Pueden usarse los mismos elementos de campo para enclavamientos y para control?. ¿Frecuencia de prueba de dichos elementos? Un objetivo de este curso, es tratar de dar respuestas a estas preguntas y de clarificar la confusión general que sobres estos sistemas se está produciendo Curso U.Santiago

Página 3


2. ESTANDARES Y NORMATIVAS Ante todo, conviene clarificar la diferencia existente entre lo que es de obligado cumplimiento por ley y lo que simplemente es una buena práctica de diseño y trabajo recogido en especificaciones, estándares y normas. También decir que lo que puede ser obligatorio en un país (ejemplo. USA), puede no serlo en otros o viceversa. En la Unión Europea y como es lógico en España, lo obligado por ley se recoge en Directivas y su transposición a Reales Decretos. Un ejemplo (entre muchos) es la Directiva 96/82 CE (9/12/96) llamada Seveso II y su traslado al RD 1254/1999 (16 Julio 99) de “Prevención de accidentes graves en los que intervienen sustancias peligrosas”. Otro es de Directiva ATEX.

Referente a los Sistemas Instrumentados de Seguridad (SIS) no hay ninguna Directiva ni R.D. que obligue a su cumplimiento. Sí existen estándares y normas cuyo cumplimiento se considera recomendable y con visión de futuro deberá ponerse en práctica en los Proyectos y Modificaciones ya que, como en otros campos, finalmente aparecerá la Directiva que obligue a su cumplimiento. Centrándonos en el tema de los SIS, se enumeran aquéllos estándares y normas más importantes a tener en cuenta en el diseño y desarrollo de los mismos. A estos efectos, se separan en dos grupos: en el primero se enmarcan los organismos que definen los mejores estándares y prácticas de diseño e ingeniería de SIS y en el segundo, aquéllos cuyos estándares y guías, deben ser integrados con los anteriores.

2.1. ANSI/ISA En el primer grupo está la ISA (Sociedad Internacional de Automatización) y la I.E.C. (Comisión electrotécnica internacional). El estándar de ISA relacionado con los SIS es el ANSI / ISA 84.01, denominado “Aplicación de SIS para las Industrias de Proceso”.

El ISA SP84 (Comité de estándares y prácticas nº 84) ha trabajado muchos años en la elaboración y desarrollo de este estándar. Inicialmente, estaba direccionado sólo a la lógica y con posterioridad se incluyeron los elementos de campo. El documento ha sufrido muchos cambios a lo largo del tiempo y su futuro a largo plazo está condicionado al desarrollo del estándar IEC 61511. El primer documento fue editado en 1996 (actualmente está el de 2004) y ya que dentro de la IEC está representando a USA el ANSI (Instituto Nacional de Estandarización Americano), este Instituto soportará el estándar IEC 61511 y podrá reemplazar al ANSI/ISA S84.01. En cualquier caso, al día de hoy el ISA 84.01/2004 es básicamente idéntico al IEC 61511 con la inclusión de una cláusula de salvaguarda (abuelograndfather) que afecta a modificaciones en instalaciones existentes y que básicamente dice lo siguiente: Curso U.Santiago

Página 4


Para los sistemas instrumentados de seguridad existentes (SIS), diseñados y construidos de acuerdo con los códigos, normas, prácticas con anterioridad a la emisión de esta norma (por ejemplo, ANSI / ISA 84.01-1996), el propietario / operador de la planta debe determinar y documentar que el equipo está diseñado, mantenido, inspeccionado, probado y funciona de una manera segura.

2.2. I.E.C IEC tiene dos estándares relacionados con los sistemas instrumentados de seguridad: IEC 61508 “Seguridad Funcional: Sistemas Relacionados con la Seguridad” que afecta

a todo tipo de industrias y que se usa básicamente por fabricantes y suministradores. IEC formó posteriormente un grupo de trabajo para desarrollar un documento específico de SIS para el sector de las industrias del proceso y aplicable, no sólo a fabricantes y suministradores, sino también a diseñadores, integradores y usuarios. El estándar se denominó IEC 61511 “Seguridad Funcional: SIS para el Sector de la Industria del Proceso” que debe ser usado en complemento con el IEC 61508.

Por la importancia que tiene la Comisión Electrotécnica Internacional (IEC) en los Sistemas Instrumentados de Seguridad sobre todo en lo referente a las industrias de proceso con su estándar IEC 61511 haremos una exposición más detallada de dicho estándar incluyendo su historia y contenido. IEC 61511 es una norma técnica que establece las prácticas en la ingeniería de sistemas que garantizan la seguridad de un proceso industrial mediante el uso de la instrumentación. Estos sistemas se denominan Sistemas Instrumentados de Seguridad. El título de la norma es "Seguridad funcional - Sistemas instrumentados de seguridad para el sector de la industria de procesos".

Contenido: El sector de la industria de proceso incluye muchos tipos de procesos de fabricación, tales como refinerías, petroquímicas, químicas, farmacéuticas de pasta y papel, energía, etc. El estándar del sector proceso no se aplica a las instalaciones de energía nuclear o reactores nucleares. IEC 61511 cubre el uso de equipos eléctricos, electrónicos y electrónicos programables. Mientras IEC 61511 es aplicable a los equipos que utilizan sistemas hidráulicos o neumáticos para manipular elementos finales, el estándar no cubre el diseño e implementación de la lógica neumática o hidráulica. Esta norma define los requisitos de seguridad funcional establecida por la norma IEC 61508 en el sector de las industrias de proceso. IEC 61511 centra la atención en un tipo de sistema instrumentado de seguridad utilizados en el sector de proceso, el denominado Sistema Instrumentado de Seguridad (SIS). La norma no establece requisitos de otros sistemas de seguridad instrumentados, tales como sistemas contra incendios y de gas, sistemas de alarmas, etc.

Curso U.Santiago

Página 5


Historia En 1998, la IEC, que es sinónimo de “Comisión Electrotécnica Internacional” publicó

un documento, IEC 61508, titulado: "La seguridad funcional de sistemas eléctricos / electrónicos / sistemas electrónicos programables relacionados con la seguridad". Este documento establece las normas para el diseño de sistemas relacionados con la seguridad tanto del hardware como del software. IEC 61508 es la norma genérica de seguridad funcional, es la base y contiene los requisitos básicos para cada norma específica del sector. Tres normas específicas han sido realizadas con el marco de la norma IEC 61508: IEC 61511 (proceso), IEC 61513 (nuclear) e IEC 62061 (de fabricación). IEC 61511 proporciona buenas prácticas de ingeniería para la aplicación de los sistemas instrumentados de seguridad (SIS) en el sector de proceso. En Estados Unidos, ANSI / ISA 84.00.01-2004 se publicó en septiembre de 2004. Es principalmente un espejo de la IEC 61511 en su contenido con la excepción de que contiene una cláusula de derechos adquiridos llamada del abuelo (grandfather). El organismo europeo de normalización, CENELEC, ha adoptado la norma como la EN 61511. Esto significa que en cada uno de los estados miembros de la Unión Europea, la norma se publica como una norma nacional. Por ejemplo, en Gran Bretaña, que es publicado por el organismo nacional de normalización según la norma BS EN 61511. El contenido de estas publicaciones nacionales es idéntico a la de la norma IEC 61511. Debe tenerse en cuenta, sin embargo, que la IEC 61.511 no está armonizada como directiva de la Comisión Europea hasta la fecha (año 2011).

La Norma IEC 61511 cubre los requisitos de diseño y gestión de SIS desde la cuna hasta la tumba constituyendo un Ciclo de Vida completo lo que constituye el mayor valor de la misma. Su ámbito de aplicación incluye: el diseño conceptual y básico, el diseño e ingeniería de detalle, montaje e implementación, pruebas, operación y mantenimiento, modificaciones y eventualmente una eliminación de parte ó del completo SIS. Se inicia en la primera fase de un proyecto y continúa hasta la puesta en marcha. Contiene secciones que cubren las eventuales modificaciones, junto con las actividades de mantenimiento y las actividades de posibles desmantelamientos. La norma consta de tres partes: 1. Marco, definiciones, sistema y requerimientos de hardware y software 2. Directrices y guías para la aplicación de la norma IEC 61511-1 3. Orientación y guías para la determinación de los niveles requeridos de integridad de seguridad (SIL) ISA 84.01/IEC 61511 requiere un sistema de gestión para cada SIS. El SIS se compone de una combinación separada e independiente de sensores, revolvedores de lógica, elementos finales y sistemas de apoyo que se diseñan y gestionan para conseguir un nivel de integridad de seguridad especificado (SIL). Un SIS puede estar formado por una o más funciones instrumentadas de seguridad (SIFs), que son diseñadas e implementadas para hacer frente a un peligro de proceso específico o suceso peligroso. Curso U.Santiago

Página 6


El sistema de gestión del SIS debe definir cómo un propietario / operador tiene intención de evaluar, diseñar, verificar, instalar, validar, operar, mantener y mejorar continuamente sus SIS. Las funciones esenciales del personal asignado a la gestión del SIS deben estar contempladas y bien definidas en procedimientos, según sea necesario, para apoyar la ejecución coherente de sus responsabilidades. ISA 84.01/IEC 61511 utiliza un orden de magnitud métrica, el SIL, para establecer el objetivo necesario. Un análisis de riesgos operativo es parte del ciclo de vida para identificar las funciones de seguridad necesarias y la reducción del riesgo respecto a determinados eventos peligrosos. Las funciones de seguridad asignadas al SIS son las funciones instrumentadas de seguridad (SIFs), la reducción del riesgo, atribuido a cada una de ellas, se relaciona con el SIL. La base de diseño y operación se ha desarrollado para garantizar que el SIS cumple con el SIL requerido. Los datos de campo se recogen a través de actividades programadas para evaluar el rendimiento real del SIS. Cuando los rendimientos no se cumplen, deben tomarse medidas para cerrar la brecha, asegurando un funcionamiento seguro y fiable.

2.3. Otras En el segundo grupo se encuentran una serie de organismos que disponen de estándares y normas cuyas guías son de suma utilidad para complementar los anteriores de ISA e IEC. Entre ellos se encuentran: AICHE (American Institute of Chemical Engineers), con varios libros entre los que destaca el relativo a “Guías de Automatización Segura en Procesos Químicos”.

API (American Petroleum Institute). Con su práctica de recomendación RP14C de “Sistemas de Parada en Plataformas Petrolíferas”.

NFPA (National Fire Protection Association). Este Organismo dispone de estándares que aplican a calderas, hornos y sistemas de control de quemadores. OSHA (Occupational Safety and Health Administration). Con su OSHA de “Gestión de la Seguridad en el Proceso de Plantas Químicas altamente peligrosas”.

ASME, ISO, etc.

Curso U.Santiago

Página 7


3. TERMINOLOGIA Y DEFINICIONES MÁS IMPORTANTES Algunas terminologías y definiciones más usadas son:

3.1. ¿Qué es un Sistema Instrumentado de Seguridad (SIS)? Un Sistema Instrumentado de Seguridad (SIS) es un nuevo término usado en los estándares que normalmente también ha sido y es conocido por la mayoría como: Sistema de Parada de Emergencia (ESD), Sistema de Parada de Seguridad, Sistema de Enclavamientos, Sistema de Disparos de Emergencia, Sistemas de Seguridad, etc.

ANSI/ISA 84.01 define el término SIS como: “Un Sistema compuesto por sensores, lógica y elementos finales con el propósito de llevar el proceso a un estado seguro cuando determinadas condiciones preestablecidas son violadas”

IEC-61511 define el término SIS como: “Un Sistema Instrumentado usado para implementar una ó más funciones

instrumentadas de Seguridad (SIF) y se compone de una ó más combinaciones de sensores, lógica y elementos finales”

El Sistema Instrumentado de Seguridad (SIS)puede definirse por tanto como una combinación de una o más funciones instrumentadas de seguridad.

Curso U.Santiago

Página 8


SIS UnPeligro

FIS nº 1

Estado Seguro

Sensores S. Lógico Elemento final SIL UnPeligro

FIS nº 2

Estado Seguro

Sensores S. Lógico Elemento final SIL UnPeligro

FIS nº 3

Estado Seguro

Sensores S. Lógico Elemento final SIL

Fígura 3.1

3.2. ¿Qué es un Nivel Integrado de Seguridad (SIL)? La Integridad de la Seguridad indica la disponibilidad de un Sistema de Seguridad. Es decir (sic) “ La probabilidad de que un sistema relacionado con la seguridad ejecute de forma satisfactoria las funciones de seguridad requeridas en todas las condiciones especificadas en un periodo de tiempo especificado”.

Especificar la Integridad de la Seguridad no consiste en definir solo que es lo que debe hacer el sistema de seguridad, sino también en especificar la bondad con la cual dicho sistema debe llevar acabo su función.

Curso U.Santiago

Página 9


El SIL es el Nivel de Integridad de la Seguridad asociado y exigible a un Sistema de Seguridad. Se definen hasta cuatro niveles de Integridad de la Seguridad, donde el nivel 4 posee el grado más elevado de integridad de la seguridad y el nivel 1 el más bajo.

SIL 1 2 3 4

Disponibilidad 90,00 – 99,00 % 99,00 – 99,90 % 99,90 – 99,99 % > 99,99 %

En la determinación de la integridad de seguridad se deben incluir todas las causas de fallo que conducen a un estado inseguro: los fallos de hardware (tanto los aleatorios como los sistemáticos), los fallos inducidos de software y los fallos debidos a las perturbaciones eléctricas. Aunque algunos de estos tipos de fallos se pueden cuantificar (utilizando medidas como la Tasa de Fallos o la Probabilidad de Fallo de funcionamiento a la Demanda), la integridad de la seguridad depende también de muchos factores que no se pueden cuantificar con precisión, sino que solo se pueden considerar de forma cualitativa.

3.3. ¿Qué es la probabilidad de fallo en demanda (PFD)? Para calcular de una forma numérica el SIL uno de los parámetros mas utilizados es la PFDMEDIA. Este parámetro indica la probabilidad media de fallo al ejecutar, bajo demanda, la función para la cual ha sido diseñado. Supongamos una función de seguridad: cierre de la válvula de vapor al calentador de fondo cuando se detecta alta presión en la cabeza de la torre. La PFD MEDIA es la probabilidad de que cuando haya alta presión en la cabeza de la torre, el sistema cierre efectivamente la válvula de vapor. La relación de la PFD MEDIA para SIF en “modo Demanda” con los SIL es la siguiente: SIL 1 2 3 4

Curso U.Santiago

Disponibilidad 90,00 – 99,00 % 99,00 – 99,90 % 99,90 – 99,99 % > 99,99 %

PFDMEDIA 10-2 – 10-1 10-3 – 10-2 10- – 1010- – 10-

Factor Reducción de Riesgo

10 a 100 100 a 1000 1000 a 10000 >10000

Página 10


Matemáticamente, el cálculo de la PFD MEDIA es muy complejo si se intenta hacer sobre la función de seguridad en su conjunto. Para simplificarlo, lo que se hace es lo siguiente: Descomponer dicha función de seguridad en sus elementos principales. Calcular la PFD MEDIA de cada elemento. Realizar la suma de las PFD MEDIA de todos los elementos. Por ejemplo, para el caso citado se calcularían las PFD MEDIA de la parte sensora, la parte del operador lógico y la parte actuadora. La suma de todas ellas sería la PFDMEDIA de la función de seguridad:

CÁLCULO PFD DEL SIS SENSOR

LÓGICA

PDF SENSOR

PDF LÓGICA

ACTUADOR

PDF ACTUADOR

ALGEBRA BOOLE PFD= PFD i =PFD SENSOR +PFD LÓGICA +PFD ACTUADOR i

¡ DEBE CUMPLIR CON EL SIL ESTABLECIDO !

Fígura 3.2

3.4. ¿Qué es una función instrumentada de seguridad (SIF)? Función de Seguridad con un nivel de integridad de la seguridad necesario para lograr la seguridad funcional y en el que puede haber una función de protección instrumentada de seguridad o una función de control instrumentada de la seguridad. Los elementos que forman una SIF son el sensor (compuesto a su vez por un conjunto de uno ó mas elementos de medida) el sistema lógico (normalmente situado en un PLC) y el elemento final (compuesto generalmente por una o más válvulas).

Curso U.Santiago

Página 11


Estado Seguro

UnPeligro

FIS Sensores S. Lógico Elemento final SIL

Fígura 3.3 Existen dos clases de SIF las que son activadas únicamente cuando son requeridas (modo demanda ó baja demanda) y este requerimiento, ó frecuencia prevista de actuación, es muy baja respecto al posible intervalo de prueba entre test funcionales (Ejemplo: pruebas funcionales bianuales y frecuencia de demanda esperada de10 años) y aquellas funciones instrumentadas de seguridad que su frecuencia de actuación es muy alta comparada con los intervalos de pruebas (alta demanda) y que a efectos de ISA/IEC las denomina de “modo continuo”. El presente curso contemp la las SIF activadas en demanda baja que son las

normalmente requeridas en la mayoría de las Industrias de Proceso y cuya tabla se reflejo en el apartado 3.3 anterior.. Para el caso de SIFs a modo continuo el único factor que se considera para el cumplimiento del SIL es la frecuencia del fallo peligroso no detectado (!du) y en este caso ISA/IEC las

llama Funciones Instrumentadas de Seguridad/Control. Definición del SIL para alta demanda/modo continuo EN 61508

Curso U.Santiago

SIL

Rango de • du (fallos por hora)

~ Rango de MTTF (años)

4

10-9 " ! < 10 -8

100,000 # MTTF > 10,000

3

10-8 " ! < 10 -7

10,000 # MTTF > 1,000

2

10-7 " ! < 10 -6

1,000 # MTTF > 100

1

10-6 " ! < 10 -5

100 # MTTF > 10

Página 12


3.5. ¿Qué es tiempo medio entre fallos (MTBF)? El tiempo medio entre fallos (del ingles Mean Time Between Failure) es la suma del tiempo medio de fallo (MTTF) más el tiempo medio empleado en detectar el fallo y el tiempo empleado en repararlo.Normalmente el fabricante debería de dar el MTTF (mean time to fail) aunque a veces se da el MTBF como si fuera el MTTF.Realmente, los tiempos de detección y reparación son despreciables con respecto al MTTF por lo que no existe demasiada diferencia entre entre el MTBF y el MTTF. En esencia:

MTBF=MTTF+MTTR+MTDF

donde: MTBF: tiempo medio entre fallos ( mean time between failure) MTTF: tiempo medio de fallos (mean time to fail) MTTR: tiempo medio de reparación (mean time to repair) MTDF: tiempo medio de detección del fallo (mean time to detect failure)

3.6. ¿Qué es fallo seguro y fallo peligroso? Conocer la diferencia entre estos dos tipos de fallos es esencial para el uso correcto de las formulas empleadas en los cálculos de la probabilidad de fallo en damanda.Se dice que un fallo de un determinado instrumento es seguro cuando como consecuencia del mismo el proceso va a una condición segura.Si dicho fallo posibilita que, ante la necesidad ó demanda de la correspondiente función lógica,el sistema no actúa correctamente y deja al proceso en condiciones inseguras dicho fallo se denomina peligroso.

Saber que la tasa de fallo global (•) de cualquier instrumento es : 1/MTBF Asimismo de la tasa de fallo global una fracción es peligrosa (•d) y otra segura(•s). Se puede decir que •=1/MTBF ,

•d=1/MTBFd

y •s=1/MTBFs

Dependiendo del tipo de elemento/instrumento pueden existir parte de las tasas de fallo peligrosas y seguras que sean detectadas y otras que no. En este caso se añade otro subíndice a •d y a •s con las letras “u” (undetected) y “d”(detected). Como se verá más adelante esta diferencia es básica a la hora de los cálculos de la probabilidad de fallo en demanda (usa la fracción de tasa de fallo peligrosa) y del cálculo del tiempo de disparo esporius no deseado (usa la fracción de tasa de fallo segura). Asimismo estos fallos pueden ser total ó parcialmente detectados añadiendo un segundo subíndice a la tasa de fallos con las letras D (detectado) y U (no detectados). Por último añadir que tanto IEC 61508 como IEC 61511 establecen una mínima tolerancia de fallo de Hardware (HTF) ligada al fracción de fallo segura, tanto para la lógica como para los sensores y elementos finales, para el cumplimiento de un determinado SIL con independencia del cálculo de la PFDmedia y esto puede Curso U.Santiago

Página 13


depender asimismo del tipo de elemento (A ó B). Para un mejor entendimiento de este tema se ha añadido a la presente documentación del curso el documento de EXIDA referente a las Limitaciones de Arquitectura.

3.7. Otras definiciones ·

·

·

·

·

·

Arquitectura Composición de los elementos de hardware y/o software en un sistema, por ejemplo, Composición de los subsistemas del sistema instrumentado de seguridad (SIS) Estructura interna de un subsistema SIS; Composición de los programas de software. Ciclo de Vida de la Seguridad Lo conforman aquellas actividades necesarias involucradas en la implementación de la función o las funciones instrumentadas de la seguridad que se producen durante un periodo de tiempo, que se inicia en la fase conceptual y concluye cuando todas las funciones instrumentadas de seguridad ya no están disponibles para su uso. Componente Una de las piezas de un sistema, subsistema, o dispositivo que ejecuta una función específica Elemento final Parte de un sistema instrumentado de seguridad que implementa la acción física necesaria para lograr un estado seguro. Los ejemplos comprenden válvulas, dispositivos de conmutación, motores con sus elementos auxiliares incluidos, por ejemplo, una válvula solenoide y un actuador si están involucrados en la función instrumentada de seguridad. Estado seguro Estado del proceso cuando se logra la seguridad. Al pasar de una condición potencialmente peligrosa al estado seguro final, el proceso puede tener que pasar por varios estados seguros intermedios. Para algunas situaciones, existe un estado seguro sólo en la medida que el proceso sea controlado continuamente. Ese control continuo puede efectuarse por un período de tiempo breve o indefinido. Instrumento Aparato utilizado para realizar una acción (habitualmente se halla en los sistemas instrumentados). Los sistemas instrumentados en el sector de las industrias de proceso están habitualmente compuestos de sensores (por ejemplo: de presión, flujo, y transmisores de temperatura), resolvedores lógicos o sistemas de control (por ejemplo: controladores programables, sistemas de control distribuido), o elementos finales (por

Curso U.Santiago

Página 14


ejemplo: válvulas de control). Los sistemas instrumentados de seguridad son un caso particular de los sistemas instrumentados (véase definición de SIS).

·

·

·

·

·

·

·

·

Integridad de la seguridad Probabilidad promedio de que un sistema instrumentado de seguridad realice las funciones instrumentadas de seguridad requeridas bajo todas las condiciones indicadas dentro de un período de tiempo indicado. Cuanto más alto sea el nivel de integridad de la seguridad, mayor será la probabilidad de que la función instrumentada de seguridad (SIF) sea llevada a cabo. La integridad de la seguridad abarca la integridad de la seguridad del hardware y la integridad de la seguridad de la lógica utilizada. Prevención Acción que reduce la frecuencia con que se produce un evento peligroso. Mitigación Acción que reduce la(s) consecuencia(s) de un evento peligroso Modo de operación Forma en la que opera una función instrumentada de seguridad. MooN Sistema instrumentado de seguridad, o parte de ese sistema, integrado por " N" canales independientes, que están conectados de tal manera que basta activar " M" canales para que se ejecute la función instrumentada de seguridad ( M on of N ). Protección de los activos Función asignada al diseño del sistema con el objeto de evitar la pérdida de activos Prueba Funcional Pruebas realizadas con el objeto de revelar defectos no detectados en un sistema instrumentado de seguridad de manera que, si fuera necesario, se puede volver a ajustar el sistema a su funcionalidad de diseño. Reducción del Riesgo Necesaria La reducción del riesgo requerida para asegurar que éste se reduzca a un nivel tolerable. Resolvedor Lógico La parte del BPCS (Sistema de Control Básico del Proceso) o de los SIS que realiza una o más funciones lógicas.

Curso U.Santiago

Página 15


·

·

·

·

·

·

·

·

Resolvedor lógico configurado para la seguridad Resolvedor lógico electrónico y programable, para usos generales, de grado industrial, que está configurado específicamente para su utilización en aplicaciones de seguridad de acuerdo con la cláusula 11.5. de la norma IEC61511-I. Esta definición excluye las tarjetas de entrada y salida y amplificadores. Ejemplos son los relés electromecánicos y las unidades centrales de proceso (CPU) de los Sistemas electrónicos programables (PLC en general). Riesgo Individual El riesgo individual en un establecimiento en el que se desarrolle una actividad peligrosa se define como la probabilidad de que una persona genérica sin protección presente permanentemente en esa instalación muera debido a un accidente relativo a la actividad peligrosa. En sentido estricto se trata de un gráfico que representa los contornos de isolineas de riesgo alrededor del área de la actividad peligrosa. Muchas veces se utiliza, en forma conservadora, el número del punto de mayor riesgo alrededor de la zona de peligro. Riesgo del Proceso El riesgo que surge de las condiciones del proceso causado por hechos anormales (incluido el mal funcionamiento del BPCS). Riesgo social Probabilidad de que un grupo de más de N personas mueran debido a un accidente relacionado con la actividad peligrosa. El riesgo social está dado, en general, como un gráfico de la frecuencia ( F = probabilidad por año) versus el tamaño N del grupo. Si no hay personas alrededor de la instalación, el riesgo social es despreciable, aunque el riesgo individual tuviera un valor elevado. Riesgo tolerable Riesgo que es aceptado en un contexto dado, basado en los valores vigentes de la sociedad Seguridad Funcional La parte de la seguridad general relacionada con el proceso y el BPCS que depende del funcionamiento correcto de los SIS y otros sistemas protectores. Sensor Dispositivo o combinación de dispositivos, que miden la condición del proceso (por ejemplo: transmisores, transductores, interruptores de proceso, interruptores de posición). En el caso de las funciones instrumentadas de seguridad el concepto de sensor (también llamado elemento iniciador) incluye a las tarjetas de entrada y los relés de entrada al revolvedor lógico.

Sistema de Control

Curso U.Santiago

Página 16


Sistema que responde a las señales de entrada del proceso y/o de un operador y genera señales de salida que hacen que le proceso opere en la forma deseada. El sistema de control incluye los dispositivos de entrada y los elementos finales y puede ser un BPCS o un SIS o una combinación de ambos.

·

·

·

·

Sistema de Control Básico de Proceso (Basic Process control System - BPCS) Un sistema que responde a las señales de entrada del proceso, de su equipo asociado, de otros sistemas programables y/o de un operador y genera señales de salida haciendo que el proceso y su equipo asociado operen de la manera deseada pero que no tiene un buen desempeño desempeño para funciones funciones instrumentadas instrumentadas de seguridad seguridad con con un requerimiento requerimiento SIL • 1. Software de Aplicación Aplicación específica para el usuario. En general, contiene secuencias lógicas, interfases con el operador, límites límit es y expresiones que controlan las entradas, las salidas y las decisiones necesarias necesarias para cumplir con los requisitos de la función instrumentada de seguridad. Validación La actividad de demostrar que la función o las funciones instrumentadas instrumentadas de la seguridad y el sistema o los sistemas instrumentados de seguridad bajo considerac consideración ión después de la instalación cumplen en todos los aspectos con la especificac especificación ión de los requisitos de seguridad. Verificación La actividad de demostrar respecto de cada fase del ciclo de vida pertinente, mediante análisis y/o pruebas, que las entradas y las salidas específicas cumplen en todos los aspectos con los objetivos y requisitos establecidos para las fases específicas.

Curso U.Santiago

Página 17


3

CICLO DE VIDA DE SEGURIDAD


Tema: Ciclo de vida de seguridad

CICLO DE VIDA DE SEGURIDAD Índice

1. 2. 3. 4. 5. 6. 7. 8. 9. 10.

INTRODUCCION DISEÑO CONCEPTUAL ANALISIS Y EVALUACION DE RIESGOS DE PROCESO DETERMINACION DEL SIL DE CADA FUNCION (SIF) DESARROLLO DE LA ESPECIFICACION DE SEGURIDAD DISEÑO CONCEPTUAL DEL SIS Y VERIFICACIÓN DISEÑO DE DETALLE DEL SIS INSTALACION,PRUEBAS Y COMISIONADO DEL SIS MANTENIMIENTO Y EXPLOTACION DE LOS SIS MODIFICACIONES

Curso U.Santiago

3 5 5 9 15 17 19 19 24 27

Página 2



1. INTRODUCCION Es uno de los conceptos básicos de la norma. Según cita la norma, el ciclo de vida de seguridad comprende aquellas “actividades necesarias implicadas en la instalación de

sistemas relacionados con la seguridad, que se presentan durante un periodo de tiempo que empieza en la fase de diseño conceptual de un proyecto y termina cuando todos los sistemas E/E/PE relacionados con la seguridad, o los sistemas relacionados con la seguridad de otra tecnología e instalaciones de reducción del riesgo externo ya no se encuentran disponibles para su utilización”.

Incluye todas las actividades relacionadas con un SIS desde la concepción del proceso o del propio SIS hasta hasta su desinstalación. desinstalación. Como un sistema de seguridad no es un componente simple, requiere la participación de un equipo multidisciplinar y de una sistemática precisa para evitar los fallos. Lo que la Norma intenta es que el objetivo de la seguridad guíe todas las fases del diseño, la construcción, la operación y el mantenimiento de un proceso. Los datos demuestran que aunque está sistemática aumenta los costes iniciales a la larga produce un sistema mas seguro y por lo tanto un aumento en la producción. Según ANSI / ISA S84.01-2004, el ciclo de vida contempla, de forma resumida, las siguientes fases:

Curso U.Santiago

Página 3

4 a n i g á P

d a d i r u g e s e d a d i v e d o l c i C : a m e T d a d i r u g e S e d s o d a t n e m u r t s n I s a m e t s i S

o g a i t n a S . U o s r u C



2. DISEÑO CONCEPTUAL El objetivo de esta fase es diseñar una planta que sea inherentemente segura. Para ello será necesario conocer el proceso, los equipos y el entorno en suficiente profundidad. En general, esta fase suele quedar fuera del alcance del especialista en Control y depende fundamentalmente del especialista en Procesos. El diseño de cualquier planta de proceso debe, por sí mismo, realizarse teniendo siempre en cuenta la seguridad. Saber que la mejor seguridad implica HACER BIEN LAS COSAS y esto debe incluir el uso de unas buenas especificaciones de diseño y disponer de los recursos humanos suficientes con buena formación y experiencia. Deben priorizarse durante todas las fases del Proyecto de una Planta los aspectos técnicos sobre los económicos. Además de un correcto diseño conceptual y básico, la realización de un estudio de riesgos operativos, tendente a identificar, evaluar y controlar los riesgos (accidentes e incidentes) de procesos es algo que se considera básico al inicio de la ingeniería de detalle de cualquier proyecto (Ej. HAZOP). La eliminación y/o reducción de un peligro potencial suele venir como consecuencia de un diseño sencillo y claro. La alternativa de añadir elementos de protección para controlar los riesgos suele complicar la solución y crear peligros añadidos. En un diseño enfocado hacia la seguridad se suelen tener en consideración aspectos sobre la Planta tales como: La clasificación y distribución por áreas de proceso. Instalación de almacenamiento Depósitos de sustancias peligrosas. Fluidos calientes /fríos Instalaciones eléctricas Clasificación de áreas peligrosas Atex). Estructura organizativa y planes de emergencia. Etc. En esta etapa los responsables principales en esta capa son ingenieros pertenecientes a diferentes disciplinas y donde los ingenieros y expertos en el Proceso son claves. · · · · · · · ·

3. ANALISIS Y EVALUACION DE RIESGOS DE PROCESO El primer objetivo de esta fase es entender todos los riesgos asociados al proceso, ya tengan impacto sobre el personal, la producción, los equipos el medio ambiente o la imagen de la compañía. El segundo objetivo de esta fase es evaluar los riesgos identificados en el análisis anterior para establecer un ranking. La evaluación de los riesgos puede ser: Cualitativa. Cuantitativa. Existen varias técnicas de Análisis de riesgos de un proceso (PHA) tales como: What-if, Lopa, hazop, etc siendo la denominada HAZOP (Hazard and Operability) la más utilizada en Curso U.Santiago

Página 5



las industrias de proceso. En castellano se suele traducir por Análisis Funcional de Operatibilidad (AFO). Los estudios HAZOP son un método probado y bien estructurado, basado en el trabajo en equipo, para identificar los peligros existentes en el diseño de procesos o en las modificaciones que se pretendan incorporar. El sistema realiza un examen pormenorizado del proceso y de las modificaciones a realizar en instalaciones nuevas o ya existentes, con el fin de evaluar los peligros potenciales de su funcionamiento al margen de las intenciones de su diseño o de averías de partes concretas de los equipos y los efectos que éstas pudieran tener sobre el conjunto de las instalaciones. Los estudios HAZOP son dirigidos por un coordinador con experiencia. Para los proyectos en el sector de los hidrocarburos, en el equipo siempre participa personal de Procesos, Instrumentos, Maquinaria, Ingeniería de Proyectos y Operaciones, pudiendo ser necesaria la participación de técnicos de procesos, especialistas en medio ambiente y de los responsables de la empresa de seguridad e higiene y medio ambiente (HSE) en determinadas partes del trabajo. El método surgió en 1963 en la compañía Imperial Chemical Industries, ICI, que utilizaba técnicas de análisis crítico en otras áreas. Posteriormente, se generalizó y formalizó, y actualmente es una de las herramientas más utilizadas internacionalmente en la identificación de riesgos en una instalación industrial. La realización de un análisis HAZOP consta de las etapas que se decriben a continuación:

1. Definición del área de estudio Consiste en delimitar las áreas a las cuales se aplica la técnica. En una determinada instalación de proceso, considerada como el área objeto de estudio, se definirán para mayor comodidad una serie de subsistemas o líneas de proceso que corresponden a entidades funcionales propias: línea de carga a un depósito, separación de disolventes, reactores, etc.

2. Definición de los nudos En cada uno de estos subsistemas o líneas se deberán identificar una serie de nudos o puntos claramente localizados en el proceso. Por ejemplo, tubería de alimentación de una materia prima a un reactor, impulsión de una bomba, depósito de almacenamiento, etc. Cada nudo deberá ser identificado y numerado correlativamente dentro de cada subsistema y en el sentido del proceso para mejor comprensión y comodidad. La técnica HAZOP se aplica a cada uno de estos puntos. Cada nudo vendrá caracterizado por variables de proceso: presión, temperatura, caudal, nivel, composición, viscosidad, etc. La facilidad de utilización de esta técnica requiere reflejar en esquemas simplificados de diagramas de flujo todos los subsistemas considerados y su posición exacta. El documento que actúa como soporte principal del método es el diagrama de flujo de proceso, o de tuberías e instrumentos, P&ID. Curso U.Santiago

Página 6



3. Aplicación de las palabras guía Las "palabras guía" se utilizan para indicar el concepto que representan a cada uno de los nudos definidos anteriormente que entran o salen de un elemento determinado. Se aplican tanto a acciones (reacciones, transferencias, etc.) como a parámetros específicos (presión, caudal, temperatura, etc.). La tabla de abajo presenta algunas palabras guía y su significado.

Palabra guía

Significado

Ejemplo de desviación

Ausencia de la variable a la cual se No hay flujo en una aplica línea

NO

Aumento cuantitativo de una variable

MÁS

MENOS

INVERSO

Disminución cuantitativa de una variable Analiza la inversión en el sentido de la variable. Se obtiene el efecto contrario al que se pretende

Aumento cualitativo. Se obtiene ADEMÁS DE algo más que las intenciones del diseño PARTE DE

Disminución cualitativa. Parte de lo que debería ocurrir sucede según lo previsto

DIFERENTE DE

Actividades distintas respecto a la operación normal

Ejemplo de causas originadoras Bloqueo; fallo de bombeo; válvula cerrada o atascada; fuga; válvula abierta; fallo de control

Más flujo (más caudal)

Presión de descarga reducida; succión presurizada; controlador saturado; fuga; lectura errónea de instrumentos

Más temperatura

Fuegos exteriores; bloqueo; puntos calientes; explosión en reactor; reacción descontrolada

Menos caudal

Fallo de bombeo; fuga; bloqueo parcial; sedimentos en línea; falta de carga; bloqueo de válvulas

Menos temperatura

Pérdidas de calor; vaporización; venteo bloqueado; fallo de sellado

Flujo inverso

Fallo de bomba; sifón hacia atrás; inversión de bombeo; válvula antirretorno que falla o está insertada en la tubería de forma incorrecta

Impurezas o una fase extraordinaria

Entrada de contaminantes del exterior como aire, agua o aceites; productos de corrosión; fallo de aislamiento; presencia de materiales por fugas interiores; fallos de la puesta en marcha

Disminución de la composición en una mezcla

Concentración demasiado baja en la mezcla; reacciones adicionales; cambio en la alimentación

Cualquier actividad

Puesta en marcha y parada; pruebas e inspecciones; muestreo; mantenimiento; activación del catalizador; eliminación de tapones; corrosión; fallo de energía; emisiones indeseadas, etc.

4. Definición de las desviaciones a estudiar Para cada nudo se plantea de forma sistemática todas las desviaciones que implican la aplicación de cada palabra guía a una determinada variable o actividad. Para realizar un análisis exhaustivo, se deben aplicar todas las combinaciones posibles entre palabra guía y variable de proceso, descartándose durante la sesión las desviaciones que no tengan sentido para un nudo determinado. Paralelamente a las desviaciones se deben indicar las causas posibles de estas desviaciones y posteriormente las consecuencias de estas desviaciones. En la tabla anterior se presentan algunos ejemplos de aplicación de palabras guía, las desviaciones que originan y sus causas posibles.

Curso U.Santiago

Página 7



5. Sesiones HAZOP Las sesiones HAZOP tienen como objetivo la realización sistemática del proceso descrito anteriormente, analizando las desviaciones en todas las líneas o nudos seleccionados a partir de las palabras guía aplicadas a determinadas variables o procesos. Se determinan las posibles causas, las posibles consecuencias, las respuestas que se proponen, así como las acciones a tomar. Toda esta información se presenta en forma de tabla que sistematiza la entrada de datos y el análisis posterior. A continuación se presenta el formato de recogida del HAZOP aplicado a un proceso continuo. Planta: Sistema: Nud o

Palabra guía

Desviación de la variable

Posibles causas

Consecuencia s

Respuest a

Señalizació n

Acciones a tomar

Comentario s

El significado del contenido de cada una de las columnas es el siguiente: Columna

Contenido

Posibles causas

Describe numerándolas las distintas causas que pueden conducir a la desviación

Consecuencias

Para cada una de las causas planteadas, s e indican con la consiguiente correspondencia en la numeración las consecuencias asociadas

Respuesta del sistema

Se indicará en este caso: 1. Los mecanismos de detección de la desviación planteada según causas o consecuencias: por ejemplo, alarmas 2. Los automatismos capaces de responder a la desviación planteada según las causas: por ejemplo, lazo de control

Acciones a tomar

Propuesta preliminar de modificaciones a la instalación en vista de la gravedad de la consecuencia identificada o a una desprotección flagrante de la instalación

Comentarios

Observaciones que complementan o apoyan algunos de los elementos reflejados en las columnas anteriores

Ventajas e inconvenientes del método El método, principalmente cubre los objetivos para los que se ha diseñado, y además: ·

·

·

·

Es una buena ocasión para contrastar distintos puntos de vista de una instalación. Es una técnica sistemática que puede crear, desde el punto de vista de la seguridad, hábitos metodológicos útiles. El coordinador mejora su conocimiento del proceso. No requiere prácticamente recursos adicionales, con excepción del tiempo de dedicación.

Curso U.Santiago

Página 8



Los principales inconvenientes, pueden ser: ·

·

·

·

Al ser una técnica cualitativa, aunque sistemática, no hay una valoración real de la frecuencia de las causas que producen una determinada consecuencia, ni tampoco el alcance de la misma. Las modificaciones que haya que realizar en una determinada instalación como consecuencia de un HAZOP, deben analizarse con mayor detalle además de otros criterios, como los económicos. Los resultados que se obtienen dependen en gran medida de la calidad y capacidad de los miembros del equipo de trabajo. Depende mucho de la información disponible, hasta tal punto que puede omitirse un riesgo si los datos de partida son erróneos o incompletos.

4. DETERMINACION DEL SIL DE CADA FUNCION DE SEGURIDAD El objetivo de esta fase es definir el SIL requerido para cada SIF para conseguir la adecuada Reducción del Riesgo hasta un nivel aceptable. El cálculo del SIL requerido no es por tanto una medida directa del riesgo del proceso, sino una medida de la disponibilidad del sistema de seguridad que es necesario para mantener los riesgos del proceso en el nivel que hemos fijado como aceptable. Es seguramente una de las fases más complejas de realizar. El cálculo del SIL requerido se puede hacer mediante: Métodos Cualitativos. Métodos semicuantitativos Métodos Cuantitativos. Esta fase típicamente se realiza inmediatamente después de la anterior, por lo que están implicados los integrantes del mismo equipo interdisciplinario.

METODOLOGÍAS CUALITATIVAS Se tratan de técnicas de análisis crítico que no recurren al análisis numérico. Su objetivo principal es identificar: a) Riesgos. b) Efectos: incidentes y accidentes cuando se materializan los riesgos. c) Causas: orígenes o fuentes de los riesgos. Dado que los análisis cualitativos sirven, muchas veces, como base para otros semicuantitativos o cuantitativos, es importante la calidad de los primeros. A continuación describiremos uno de los métodos cualitativos más frecuentemente utilizados:

Curso U.Santiago

Página 9



Gráfico de Riesgo La aplicación de la presente metodología emplea el Gráfico que se recoge en la Norma IEC-61511 Parte 3. En dicho gráfico se expresa el índice SIL de acuerdo a la normativa alemana DIN 19250 (que lo clasifica desde AK1 a AK8). Asimismo, se detalla la relación existente entre el Índice SIL de acuerdo a dicha normativa, y el correspondiente según las normativas IEC-61508/61511 que consideran el Índice de 1 a 4. El Índice SIL se determina a partir de dicho gráfico, valorando de forma cualitativa los siguientes cuatro parámetros:

- Consecuencias (C): · C1: Daños mínimos · C2: Daños serios/permanente a una o más personas. · C3: Muerte de varias personas. · C4: Muerte de muchas personas. - Frecuencia o tiempo de exposición (F): · F1: Raro o poco expuesto en la zona de riesgo. · F2: Frecuente a permanente en la zona de riesgo.

- Posibilidad de evitar el evento (P): · P1: Posible en determinadas circunstancias. · P2: Casi imposible.

- Probabilidad de ocurrencia del evento (W): · W1: Poco probable. · W2: Probable. · W3: Muy probable.

Curso U.Santiago

Página 10



METODOLOGÍAS SEMICUANTITATIVAS Se tratan de técnicas de análisis críticos que emplean índices globales del potencial de riesgo estimados a partir de las estadísticas. Estas pueden ser de disposición general o procedentes de la experiencia de las compañías en el diseño y la operación de plantas semejantes a las que se trata de enjuiciar.

Curso U.Santiago

Página 11



Gráfico de Riesgo Calibrado

·

El gráfico de riesgo que se expone a continuación (IEC 61511 parte 3) a título de ejemplo, es el denominado como de Seguridad de personas (Graph Risk) y es el usualmente utilizado para la determinación del SIL por ser casi siempre el más restrictivo. Existen asimismo el relativo a medio ambiente y al de daños económicos. Este gráfico esta personalizado (calibrado) de una determinada manera que se explica a continuación:

W3 C1

P1

W2

W1

1

a

-

-

-

-

2

1

1

a

-

-

3

1

2

1

1

a

4

2

3

1

2

1

5

3

4

2

3

1

6

3

5

3

4

2

7

4

6

3

5

3

8

h

7

4

6

3

F1 P2

C2

P1 F2 P2

F1 C3 F2

C4

Nota: a : SIF sin requerimiento de SIL - : Sin requerimiento de SIF h : Es necesario rediseño del sistema

Donde: W : Es la frecuencia ó probabilidad de un evento no deseado pudiendo adoptar los siguientes valores: W1 : No se espera que el evento ocurra durante la vida de las instalaciones W2 : Se espera que el evento ocurra una vez durante la vida de la instalación W3 : Se espera que el evento ocurra con frecuencia durante la vida de la instalación · · ·

C : Es el parámetro de consecuencias pudiendo adoptar los siguientes valores: C1 : Daños menores a una persona que no resultan en víctimas mortales. C2 : Daños graves permanentes ó mortales a una persona. C3 : Muerte de varias personas C4 : Muerte de muchas personas · · · ·

Curso U.Santiago

Página 12



F : Es el parámetro de ocupación pudiendo adoptar los siguientes valores: F1 : Exposición rara ó ocasional en la zona peligrosa (menor del 10%).Este parámetro se suele tomar por defecto. F2 : Exposición frecuente ó permanente (más del 10%). ·

·

P : Es la probabilidad de evitar las consecuencias del evento peligroso pudiendo adoptar: P1 : Es posible bajo ciertas condiciones. Es necesario justificación sólida. P2 : Casi imposible de evitar el peligro. Este parámetro se toma por defecto. · ·

La calibración (parametrización ó personalización) de este tipo de gráficos depende de cada empresa. En el capítulo de Ejercicios y Problemas los datos de cada uno de estos parámetros están de acuerdo a REPSOL. Asimismo el dato que sale de este tipo de Matriz no supone el SIL definitivo ya que en algunos casos (depende de cada empresa) están mejorados y existen unos créditos que lo rebajan (Ejemplos: V.de seguridad, otras SIFs por encima, tiempo suficiente para actuación del operador tras una alarma, tc. ).Solo si finalmente sale un SIL3 se debe estudiar el tema de forma cuantitativa(análisis LOPA). ·

Matrices de Riesgo

La aplicación de esta metodología consiste en la valoración semicuantitativa de la probabilidad de ocurrencia de un accidente y de la severidad de sus consecuencias, para obtener mediante el uso de una Matriz de Riesgo el Índice SIL asociado. Para el uso de esta metodología, podemos emplear las matrices de riesgo que se recogen en la Norma ANSI-ISA-S84 o en el estándar IEC-61511 . Para ambos casos, la matriz de riesgos se trata de una matriz tridimensional que adicionalmente a la valoración de la probabilidad de ocurrencia y la severidad de las consecuencias, como tercer eje considera: - La efectividad de los sistemas de protección. Norma ANSI-ISA-S84. - Número de capas de protección excluyendo el SIS que vamos a clasificar. Estándar IEC-61511.

Índice SIL. Matriz de Riesgo según ANSI-ISA-S84 Curso U.Santiago

Página 13



METODOLOGÍAS CUANTITATIVAS Son técnicas de análisis críticos que incluyen estructuras y cálculos para establecer la probabilidad de sucesos complejos (siniestros) a partir de los valores individuales de la probabilidad de fallo que corresponde a los elementos (equipo y humanos) implicados en los procesos (industriales en nuestro caso).

Análisis LOPA o Análisis de las Capas de Protección De acuerdo a lo analizado en el Capítulo 1, las capas de protección en una instalación de proceso se pueden dividir en: - Aquéllas destinadas a prevenir el accidente, como pueden ser el sistema de control, las alarmas críticas, las actuaciones por parte del operador y los Sistemas Instrumentados de Seguridad (SIS). - Aquéllas destinadas a introducir medidas de mitigación, como pueden ser los Sistemas Fuego&Gas, los sistemas de alivio, de protección física, la respuesta de la planta ante emergencia o la respuesta de la población ante emergencia. De entre las metodologías para calcular el Índice SIL reflejadas en los estándares y normativas IEC 61508/61511 y ANSI-ISA-S84, el Análisis LOPA (Layer of Protection Analysis) o Análisis de la Capas de Protección se presenta como la técnica más exhaustiva por su carácter cuantitativo. Dicha técnica constituye un análisis objetivo de las distintas capas de protección de que dispone un proceso, evaluando el riesgo del mismo y comparándolo con el criterio de riesgo tolerable definido por la propiedad, para decidir si las capas de protección son adecuadas o, por el contrario, si es necesario mejorar las existentes o introducir capas adicionales. Por todo ello, el análisis LOPA se presenta como una técnica que permite una comparación directa de la contribución de las distintas capas de protección del proceso a la reducción del nivel global de riesgo. El método consiste en el desarrollo de las siguientes actuaciones: a) Identificar los eventos iniciadores de sucesos indeseados. b) Listar las causas de cada suceso. c) Estimar las frecuencias de cada evento iniciador. d) Listar las capas de protección diseñadas o existentes (control de proceso, alarmas, SIS, válvulas de seguridad, etc). e) Determinar la probabilidad de fallo en demanda de cada capa de protección. f) Calcular la frecuencia de todas las rutas que se originan desde el evento iniciador, multiplicando la frecuencia del evento iniciador por cada una de las probabilidades que apliquen. g) Comparar la frecuencia final de resultados indeseados contra el criterio de riesgo tolerable. Si no se cumple con dicho criterio, entonces adicionar capas de protección.

Curso U.Santiago

Página 14



5. DESARROLLO DE LA ESPECIFICACION DE SEGURIDAD Una vez completada la determinación del nivel integrado de seguridad ( SIL ) de cada una de las funciones instrumentadas de seguridad (SIF) se debe realizar el Diseño Conceptual del SIS correspondiente. Previamente, el diseñador (generalmente la Ingeniería de detalle) deberá disponer de una especificación de los requerimientos de seguridad (SRS) que le posibiliten realizar dicho Diseño Conceptual y posteriormente el Diseño de Detalle. Normalmente esta SRS la realiza el cliente final. Dicha SRS deberá como mínimo, contemplar aspectos de tipo general al conjunto del SIS (comunes a todas las SIFs) y los específicos de cada familia de enclavamientos y/o SIFs. Sin carácter excluyente se exponen a continuación los requisitos generales más comunes que como mínimo debería incluir la SRS dividiéndolo en dos apartados uno relativo a los aspectos físicos (no funcionales) y otro a los puramente funcionales:

Requisitos comunes físicos Se refieren a requisitos comunes físicos y no funcionales que aplican a los sensores, lógica y elementos finales integrados en un determinado SIS.Se contemplaran entre otros aspectos tales como: Pruebas Formación Repuestos Estándares y reglamentos de aplicación Hardware y Software del SIS: armarios de control, tipo de lógica (PLC, Reles, etc.), fuentes de alimentación, entradas y salidas, cableados, redundancias, respuestas a fallos,etc. Interfases con los sistemas de control, operador, gráficos, alarmas, etc. Condiciones medioambientales de los instrumentos del exterior y de los PLCs Preferencia en la selección de los elementos iniciadores.Ejemplos:sensores de contacto versus transmisores, transmisores inteligentes con capacidad de autodiagnóstico,etc Tipo de lógica: reles, PLCs,etc Uso ó no de instrumentos asociados a elementos finales para reducir la tasa de fallos peligrosa: Ej.: partial stroke test en válvulas. Requerimientos a los fabricantes/suministradores de certificados SIL. · · · · ·

· · ·

· ·

·

Requisitos comunes funcionales Como requisitos comunes funcionales a todas la SIFs se detallaran entre otros: Exigir que el diseño no solo contemple la cumplimentación del SIL sino también debe verificarse que la configuración elegida cumple con el tiempo que se defina de disparo intempestivo no deseado que debe fijarse a cada SIF. ·

·

El modo de protección por disparo no deseado debe ser “fail safe” (fallo seguro)

estando los contactos normalmente cerrados y los reles/bobinas energizadas. Curso U.Santiago

Página 15


·

·

· ·

·


Si se requieren pulsadores para realizar parada manual estos serán cableados físicamente no desde SCD. En general los SIFs dispondrán de by pass de mantenimiento con alarma en SCD y solo se permitirá un by pass por grupo de votación y a un tiempo. Detallar la política de rearmes: manuales, automaticos, en v.solenoides, etc. En general los sensores y elementos finales de campo serán independientes de los de control y la lógica se realizara con PLC redundante que cumplimente SIL 3 Fijar una guía de partida para el diseño del SIS según SIL (ver tabla como ejemplo).

SIL

Sensores

Solución Lógica

Elementos Finales

3

Se requiere Redundancia de Sensores 1002 (1 de 2) ó 2003 (2 de 3), dependiendo de los requisitos.

Se requiere PLC Redundante

Se requiere redundancia 1002 (1 de 2)

2

Se puede o no requerir redundancia. La opción inicial es no tenerla. Seleccionar redundancia sólo si el cálculo del PFDmedio lo requiere



1

Sensor Único

Relé, Estado sólido o PLC Simple

Dispositivo Único

Guías para diseño de un SIS basada en los niveles SIL

Requerimientos particulares Asimismo la SRS debe contemplar los requisitos particulares para cada familia de enclavamientos y/o SIFs de manera particular. A título de resumen se deberán incluir aquellos puntos que se describen en la siguiente tabla: Ítem Documentación y Requisitos iniciales

Requerimiento

Diagrama causa-efecto Diagramas lógicos Información de proceso de cada evento de peligro potencial que requiere un SIS.(causa del incidente,dinamicas,elementos finales,etc)

Requerido. Es suficiente la matriz causa-efecto para describir la lógica. Se precisa una descripción detallada de cómo las explosiones, fuegos o rotura de tubos pueden ocurrir y de cómo los instrumentos de protección pueden prevenir/mitigar estos sucesos. Definir la velocidad de respuesta y precisión del sistema de protección así como otros requisitos adicionales (Ej:clase de fuga y diseño a prueba de fuego de las válvulas de corte) Causas de fallos procesales por uso común de elementos así EJ:Uso de la misma placa,stanpipe,tomas,alimentaciones,etc como corrosión,obstrución,suciedad,etc Aplicación ,si procede,de otros estándares y normas que Ej:NFPA en Hornos puedan ser de uso en el SIS. Requerimientos funcionales Definir el estado seguro en que debe quedar el proceso para Curso U.Santiago

Página 16



cada uno de los eventos. Elementos iniciadores (entradas del proceso) al SIS y sus puntos de disparo El rango de operación normal de las variables de proceso y sus límites de operación. Elementos finales (salidas de proceso) del SIS y sus acciones. La relación funcional entre las entradas y las salidas incluyendo la lógica y permisivos. Selección de la filosofía de fallo seguro(failure safe) Consideración del disparo manual Acciones a tener en cuenta si falta alimentación al SIS Tiempo de respuesta de actuación del SIS para llevar el proceso al estado seguro Respuesta del operador ante un fallo evidente Interfase de operación Funciones de rearme Bypases

Fijar contactos normalmente cerrados y válvulas solenoides y circuitos energizados(en situación normal) Ej: deberán cerrarse todas las válvulas de corte.

Fijar la información que debe tener el operador y en que forma.Alarmas en el SCD ó dedicadas por cableado normal.Alarmas previas a los disparos.Disparo manual. Disponer de bypases de mantenimiento para cada SIF y de puesta en marcha si procede.Todos los bypases tendrán alarma en el SCD.

Requerimientos de seguridad integral Listar todas las funciones instrumentadas de seguridad(SIFs) y el SIL de cada una de ellas Requisitos de funciones de diagnóstico de los elementos de Los sensores de campo inteligentes (transmisores, campo para lograr el SIL requerido posicionadores,etc) disponen de capacidad de auto diagnosis y posibilidades de configurar acciones y alarmas.Hacer,por ej.que si el sensor falla su señal vaya al máximo valor y dar alarma en el SCD.Proporcionar finales de carrera en las válvulas de corte y ,si procede,un verificador de apertura parcial(partial stroke test). Requerimientos operación , mantenimiento y verificación del Fijar la frecuencia de prueba y verificación. SIS y su SIL asociado

Fijar requisitos de fiabilidad de disparos intempestivos y su peligrosidad

La cantidad de disparos intempestivos deberá calcularse para comprobar el cumplimiento del Hazop

RESUMEN DE LA INFORMACION A INCLUIR EN LA ESPECIFICACION DE REQUERIMIENTOS DE SEGURIDAD (SRS) para cada familia de enclavamientos (SE) OBTENIDA EN LAS SESIONES HAZOPS/DETERMINACION SIL

6. DISEÑO CONCEPTUAL DEL SIS Y VERIFICACION DEL SIL DE CADA FUNCION El objetivo de esta fase es desarrollar un diseño inicial del SIS que cumpla con los requisitos de seguridad y alcance el SIL requerido o establecido como objetivo. Asimismo dicho diseño deberá cumplimentar los requerimientos del tiempo prescrito de disparo intempestivo no deseado. Para este primer borrador de la configuración instrumentada de cada SIF se tendrán en cuenta todos los datos contemplados en la SRS. Durante esta fase, por tanto, se seleccionará la tecnología, la arquitectura, los intervalos de prueba, etc, teniendo en cuenta factores tales como el presupuesto, el tamaño de la aplicación, la complejidad, la velocidad de respuesta, la política de puenteos, los requisitos de comunicaciones, la interfaz con el operador, etc. Curso U.Santiago

Página 17



Esta fase entra de lleno en la responsabilidad del especialista de instrumentación de la Ingeniería de detalle. Asimismo se debe realizar en esta fase del ciclo de vida de un SIS es la de verificar que el diseño conceptual responde a las necesidades del SIL especificado para cada SIF. Asimismo se comprobará que dicho diseño está de acuerdo con el tiempo definido de disparo intempestivo. Para ello existen fórmulas adecuadas de cálculo de probabilidad de fallo en demanda para comprobación del cumplimiento del SIL y otras de tiempo medio entre fallos (MTTF) para el disparo intempestivo. Dependiendo de los tipos de instrumentos seleccionados y de la configuración elegida se utilizará la formula que corresponda para el cálculo existiendo programas informatizados de ayuda en el mismo. Ej: Exida dispone del programa denominado “SILVER” (SIL VERification).

Las formulas dadas a continuación son de tipo básico y están basadas en una simplificación del los modelos de Markov que usa el programa SILVER y normalmente son suficientemente aproximadas para poder ser usadas en las correspondientes verificaciones.

Fórmulas del cálculo del nuisance trip (disparo latoso y falso no demandado) 1oo1 1oo2 2oo2 2oo3

· · · ·

1/•s 1/ (2*•s) 1/ ( 2*(•s)² *MTTR) 1/ ( 6*(•s)² *MTTR)

Donde: MTTR=tiempo medio de reparación (mean time to repair) •

=tasa de fallo (1/MTBF)

s

=fallo seguro =fracción de tasa de fallo segura

•s

Fórmulas de cálculo PFDmedia para instrumentos con detección de fallos (autodiagnosis) · · · ·

1oo1 1oo2 2oo2 2oo3

•d * (MTTR+ (TIa/2 ) ) 2 * (• d)² * (MTTR+ (TIa/2) )² 2 * (•d) * (MTTR+ (TIa/2) ) 6* (•d)² * (MTTR+ (TIa/2) )²

Donde: TIa MTTR d

=Intervalo de diagnóstico automático (usualmente insignificante) = tiempo medio de reparación =tasa de fallo (1/MTBF) =fallo peligroso

•d

= fracción de tasa de fallo peligrosa

•

Curso U.Santiago

Página 18



Fórmulas de cálculo PFDmedia para instrumentos sin detección de fallos (fallos no detectados).

·

1oo1

·

1oo2

· ·

2oo2 2oo3

•d * (TI/2) ( (•d)² * (TI)²) /3 •d *TI (•d)² * (TI)²

Donde: TI es el intervalo de prueba manual Dependiendo del tipo de elemento/instrumento pueden existir parte de las tasas de fallo peligrosas y seguras que sean detectadas y otras que no. En este caso se añade otro subíndice a •d y a •s con las letras “u” (undetected) y “d”(detected).

Por último añadir que tanto IEC 61508 como IEC 61511 establecen una mínima tolerancia de fallo de Hardware (HTF) ligada al fracción de fallo segura, tanto para la lógica como para los sensores y elementos finales, para el cumplimiento de un determinado SIL con independencia del cálculo de la PFDmedia y esto puede depender asimismo del tipo de elemento (A ó B). Para un mejor entendimiento de este tema se ha añadido a la presente documentación del curso el documento de EXIDA referente a las Limitaciones de Arquitectura. El tema 5 de este módulo recoge un ejemplo práctico donde veremos como se aplican dichas fórmulas. Una vez comprobado lo anterior da comienzo el diseño de detalle propiamente dicho.

7. DISEÑO DE DETALLE DEL SIS Durante el mismo se deben realizar una serie de tareas, por parte de la Ingeniería de detalle, que conllevarán finalmente a disponer de todo lo necesario para poder realizar el montaje e instalación. En principio se deberán revisar las listas de instrumentos para asegurarse que están incluidos todos los necesarios en la configuración del SIS.Se revisarán los P&Ids para actualizarlos y se realizarán las requisiciones y órdenes de compra de todos los instrumentos y materiales necesarios de acuerdo a la SRS y al resto de especificaciones aplicables. El diseño, asimismo, debe incluir al menos la siguiente información: Documentos de Configuración de los equipos. Documentos de Prueba de los equipos (FAT Y SAT). Documentos de cableado e instalación de los equipos. Documentos de Operación / Mantenimiento de los equipos. Documentos de Verificación de los equipos. Esta fase es responsabilidad del especialista de instrumentación de la Ingeniería de detalle.

8. INSTALACION, PRUEBAS Y COMISIONADO DEL SIS El primer objetivo de esta fase es asegurar que el sistema se comporta conforme a los requisitos de la Especificación de seguridad. Para ello, se deben realizar las siguientes pruebas: Curso U.Santiago

Página 19



Pruebas FAT (Factory Acceptance Test). Típicamente serán pruebas del operador lógico y de la interfase del operador con independencia del tipo de tecnología que se este utilizando.Incluso si la lógica del sistema se hace con reles ó consiste en un PLC de cientos de entradas/salidas dicho sistema debería ser probado en la fábrica del suministrador antes de ser enviado a planta. El FAT se considera parte de la fase de instalación ya que las personas involucradas en el montaje y pruebas son las que deberían realizar dicho FAT. Normalmente las pruebas se realizan como mínimo: Todo el hardware de la lógica del sistema, incluyendo los módulos I/O, terminales de entrada/salida, cableado interno, módulos de comunicación, interfase de operador,etc. Redundancia Software tanto el de operación como el de aplicación. ·

· ·

Dicho FAT debe estar basado en un procedimiento bien documentado el cual debe estar por el vendedor y el usuario. Asimismo dicho FAT debería ser realizado usando los siguientes métodos: Inspección visual Generando entradas (digitales, analógicas, T/C, pulsos y observando las correspondientes respuestas Dirigir las salidas, usualmente digitales y/o 4-20ma. Creando escenarios de posibles fallos y ver los sistemas de apoyo/redundancia. · ·

· ·

La Instalación cubre el montaje en planta de todos los equipos asociados con el SIS y la realiza el contratista de montaje de Instrumentos/Electricidad. Se incluye los sensores, elementos finales, cableado de campo, cajas de unión y derivación, cabinas, PLC, interfase de operador, alarmas, y cualquier otro hardware asociado al SIS. Durante la fase de Ingeniería de detalle se habrán generado los documentos y planos, de acuerdo a las especificaciones que sean aplicables y a la SRS, que servirán al contratista para realizar adecuadamente su trabajo a modo de resumen se describen a continuación unos requisitos generales de instalación: Usualmente los trabajos de instalación de los SIS forma parte del trabajo global del Montaje de Instrumentos/Electricidad y lo puede realizar el mismo contratista. Puede ser interesante la consideración de formar un equipo independiente para realizar los trabajos de montaje de los SIS. Esto puede minimizar los errores de montaje de causa común y reforzar la importancia y criticidad de este tipo de trabajo optimizando los esfuerzos en formación y pruebas. Asegurarse que el contratista dispone de toda la información y documentación así como que los profesionales que van a realizar los trabajos de instalación tienen la formación y experiencia adecuadas. Todo el equipo y la propia instalación deben cumplir con las especificaciones y códigos/normas que le sean aplicables y el contratista debe asegurarse de cumplirlas. El material suministrado por el contratista debe ser de superior calidad siendo ,si procede, necesario darle las especificaciones de detalla necesarias. ·

·

·

·

·

Estar seguros que todos los elementos de campo son montados en sitios accesibles para operación/mantenimiento.

Curso U.Santiago

Página 20


·

·

·


Asegurarse que el contratista no realiza ningún cambio a los ajustes y puntos de actuación de los instrumentos de campo. Antes de la instalación, debe ponerse especial cuidado en la protección de los instrumentos de las condiciones medioambientales ó peligros físicos. El contratista no debería realizar ningún tipo de cambio en los diagramas y planos sin la previa autorización escrita. Estos cambios deberían ser registrados en la documentación final.

Terminada la instalación propiamente dicha y antes del SAT deben realizarse una serie de chequeos de dicho montaje.Estos chequeos nos asegurarán que el SIS se ha instalado de acuerdo con lo fijado por la Ingeniería de detalle y está preparado para el SAT. Estos chequeos de instalación suelen dividirse en dos partes: 1. Chequeos Físicos: Este chequeo sirve para comprobar que todos los elementos de campo están físicamente instalados,cableados,etiquetados,etc.Asimismo se comprobará su correcto montaje e identificación.A tal efecto se deben preparar unos formatos que faciliten dicho chequeo y que dispongan de todos los campos a chequear.Esta parte normalmente la realiza el propio contratista. 2. Chequeos Funcionales: Se trata de unas pruebas funcionales tanto de los elementos de campo como de la lógica una vez que se dispone de los equipos alimentados electricamente.Con este tipo de chequeo se debe confirmar: Las fuentes de energía son operativas. Todos los instrumentos están adecuadamente calibrados. Los elementos de campo están operativos. La lógica y las I/O están asimismo operativas. · · · ·

Esta parte la puede completar el contratista ó un grupo de trabajo independiente. Una vez completados los chequeos anteriores se debe realizar el SAT (Site Acceptance Test) a veces también llamado PSAT. Típicamente serán pruebas del sistema completo (sensores, operadores lógicos, actuadores, servicios, etc.) en la propia Planta. ANSI/ISA e IEC describen el SAT como un test que posibilita una completa prueba de la total funcionalidad del SIS de acuerdo a la SRS.A estos efectos el SAT incluirá sin ser limitativo, a confirmar lo siguiente: Comunicaciones del SIS con el BPCS (basic process control system) ó cualquier otro sistema ó red de comunicación. Sensores, lógica y elementos finales de control funcionan según lo explicitado en la SRS. Todos lo elementos de seguridad actúan en los valores especificados. Que en cada caso se activa la secuencia correcta de disparo. El SIS proporciona la adecuada información para operación y mantenimiento por medio de visualizaciones y alarmas. Que las funciones de reset funcionan según lo diseñado. Que los bypases previstos de operación y/o mantenimiento funcionan correctamente. Que los disparos manuales actúan de forma correcta. Que los procedimientos de mantenimiento y test funcionales son los adecuados. ·

·

· · ·

· · · ·

Curso U.Santiago

Página 21


·


Que toda la documentación del SIS es consistente con los procedimientos de instalación, pruebas y mantenimiento.

Para la realización del SAT se requiere una serie de documentos que dependerá de la complejidad de dicho SIS.Es esencial disponer de un procedimiento detallado para la realización de dicho SAT.Al menos el siguiente tipo de documentación es necesaria para soportar la realización del SAT: · · · · · · · · · · · · · · · ·

Copia de la SRS. Copia y listado del programa del PLC. Diagrama de bloques del sistema. Lista de I/O con direcciones físicas. P&Ids Lista de instrumentos. Hojas de las requisiciones de los instrumentos. Diagramas de lazo. Esquemas eléctricos. Configuraciones en el DCS para las I/O del SIS. Diagramas causa/efecto Esquemas de montaje. Diagramas de cableado de cajas y cabinas. Diagramas de interconexión . Diagramas neumáticos. Manuales del vendedor incluyendo requerimientos de instalación y manuales de operación/mantenimiento.

Esta fase del ciclo de vida del SIS se sumariza en el siguiente diagrama:

Curso U.Santiago

Página 22



La ejecución de esta fase compromete a recursos del suministrador del instalador así como de la empresa de supervisión del montaje y del propio cliente final.

Curso U.Santiago

Página 23



9. MANTENIMIENTO Y EXPLOTACION DE LOS SIS Para lograr un funcionamiento correcto, cada Sistema Instrumentado de Seguridad requiere un mantenimiento periódico mediante inspecciones , pruebas y chequeos que deben estar procedí mentadas y documentadas. Como veremos más adelante, la mayor prioridad es la realización de las pruebas funcionales online del conjunto de todos los elementos de cada función instrumentada del SIS.Este tipo de test es la actividad más crítica de un buen Mantenimiento preventivo. La frecuencia de dichas pruebas funcionales del SIS se fijan durante el diseño del ciclo de vida del mismo y dependen de la solución final de la configuración de cada función instrumentada de seguridad que satisfaga el SIL especificado a cada una de ellas. Dada la importancia de esta actividad se ha incluido en esta documentación un ejemplo práctico de las mismas. Como se ha visto con anterioridad, un SIS constituye la última capa de prevención de Seguridad.Si esta capa no responde a los requerimientos de su diseño se produce el evento indeseado de fuga, incendio, explosión, etc con los riesgos que esto puede conllevar en la seguridad personal, medio ambiente y daños industriales (mantenimiento y producción). Al igual que en el resto del Mantenimiento de equipos de planta, se debe garantizar una disponibilidad funcional del conjunto de los elementos que conforman cada una de las funciones instrumentadas de seguridad (SIF) en estricto acuerdo con el nivel integral de seguridad (SIL) especificado a cada una de ellas durante la fase de determinación del SIL (2º paso del ciclo de vida de un SIS). Cuando se diseña un SIS, no existe una única solución que satisfaga el SIL de cada función. Normalmente se trata de encontrar una solución que equilibre adecuadamente el coste de la inversión inicial con la exigencia de realización frecuente de pruebas funcionales en operación normal (on-line) lo que conllevaría a un esfuerzo y costos elevados de Mantenimiento. En cualquier caso la importancia del correcto mantenimiento de los SIS es vital para garantizar la adecuada disponibilidad del mismo. A tal efecto, y a título de ejemplo, el Organismo Ejecutivo de Seguridad y Salud de Inglaterra (HSE) encontró que una gran mayoría de accidentes industriales se producen por fallos en los Sistemas Instrumentados de Seguridad y que de ellos el 15% son debidos a problemas de un inadecuado Mantenimiento de los mismos. Un paso importante a considerar durante el diseño del ciclo de vida de un SIS es el relativo a las comprobaciones que se deben de realizar para asegurarse que se han tenido en cuenta todos los aspectos operacionales y de Mantenimiento que afecta a un determinado SIS.Algunos procedimientos y prácticas que deben chequearse durante el diseño son: Item Ha recibido el personal involucrado SI formación y entrenamiento en los procedimientos de operación y mantenimiento del SIS ? Están todos los procedimientos SI Curso U.Santiago

Comentarios NO

N/A

NO

N/A Página 24



adecuadamente documentados ? Existen los manuales de usuario de mantenimiento/operación del sistema ? Asegurarse que en los manuales se describe: a)Los límites de operación segura y las implicaciones de excederlos ¿ b)Como el Sistema lleva a el proceso al estado seguro? c)El riesgo asociado con fallos en el Sistema y las acciones requeridas para los diferentes fallos? Existen medios para limitar el acceso solo al personal autorizado? Se han previsto medios para bypasear las funciones de seguridad (SIFs)? Existen procedimientos documentados para el control y eliminación de los bypases? Existen procedimientos documentados para asegurar la seguridad durante el mantenimiento en operación del SIS ? Están suficientemente detallados los procedimientos de Mantenimiento para no dejar al aire interpretaciones y decisiones ? Están definidas las actividades de Mantenimiento y programadas en el tiempo, de todas las partes de un SIS? Está fijada la periodicidad de la revisión de los procedimientos? Existen medios para comprobar el tiempo de las reparaciones? Hay procedimientos de mantenimiento y operación tendentes a minimizar las causas de fallos de efecto común? Es la documentación consistente con los procedimientos?

SI

NO

N/A

SI

NO

N/A

SI

NO

N/A

SI

NO

N/A

SI

NO

N/A

SI

NO

N/A

SI

NO

N/A

SI

NO

N/A

SI

NO

N/A

SI

NO

N/A

SI

NO

N/A

SI

NO

N/A

SI

NO

N/A

SI

NO

N/A

La prueba funcional periódica de cada función instrumentada de un SIS es una actividad esencial para garantizar la integridad de un SIS, ya que constituye el único camino para asegurar que el nivel SIL de cada SIF se mantiene en el tiempo.El test tiene que incluir a la totalidad del sistema lo que significa probar sensores, lógica, elementos finales así como cableado y alarmas asociadas.Lo habitual es que esta prueba se realice simultáneamente a todos los elementos, aunque no es estrictamente necesario, pudiendo hacerlo por partes en tiempos diferentes que deben ser tenidos en cuenta en las formulas correspondientes.Asimismo dichas pruebas funcionales deberán basarse en procedimientos escritos con objetivos y responsabilidades perfectamente claros y definidos. Curso U.Santiago

Página 25



Estas pruebas funcionales deben ser realizadas en línea (on-line) bien con la planta en servicio ó en parada programada y constituyen el mejor Mantenimiento Preventivo de los SIS. Un beneficio asociado en la realización de estas pruebas en línea es el incremento del conocimiento de cada SIS por parte del personal de Mantenimiento y Operación. Asimismo, la necesidad de esta pruebas funcionales on-line para comprobar la correcta operación del SIS, es cumplimentar los requerimientos de organismos competentes en el tema tal como ISA, IEC y OSHA. A continuación, daremos una serie de Guías Generales que deben tenerse en consideración para estas pruebas funcionales: ·

·

·

·

·

·

·

·

La frecuencia de realización de las pruebas funcionales online debe satisfacer los requerimientos del SIL asignado a cada SIF.Esto significa que una vez decidida, durante el Diseño Funcional del SIS, una determinada configuración que cumplimente el SIL de cada SIF, el tiempo (frecuencia de realización) de prueba que se haya considerado en la fórmula de cálculo de la probabilidad de fallo en demanda debe ser respetado para mantener el SIL requerido en todo momento. Si la frecuencia de realización del test funcional en línea obliga a su ejecución con la planta en funcionamiento, el diseño deberá contemplar todas las facilidades que permitan realizarlo siendo accesibles todos los elementos e instrumentos involucrados en el mismo. Si existiese imposibilidad de probar con la planta en funcionamiento algún elemento del SIS (Ej.una válvula de corte, un interruptor eléctrico, etc) deberá considerarse una configuración (adecuada redundancia) que con una frecuencia de test equivalente al tiempo entre paradas programadas (Ej.4 años) satisfaga el SIL requerido.Esto permitiría mantener la disponibilidad del SIS durante el funcionamiento normal de la planta y realizar la prueba funcional online durante la parada programada. Es imprescindible disponer de los procedimientos escritos, para cada prueba funcional, los cuales deben realizarse durante el diseño del SIS y finalizarlos durante la fase de comisionado. El test es necesario para confirmar la correcta operación del sistema y debe incluir sensores, lógica, elementos finales, alarmas, alimentaciones, cableados, etc. Todos los SIS deben ser probados antes de la puesta en marcha de la planta para asegurarse la identificación de cualquier cambio realizado en el montaje y/o comisionado. Para estas pruebas funcionales debe minimizarse el uso de los interruptores de bypass de mantenimiento.En cualquier caso, si estos interruptores son instalados las entradas para información y alarmas no deberían bypasearse.Asimismo dichos bypases deberán tener sus correspondientes alarmas de activación. Debe evitarse simular entradas y/o salidas en la lógica del sistema (forzar entradas y salidas).Esto vale para pruebas de mantenimiento cuando el sistema esta fuera de servicio pero no para los tests funcionales.

Curso U.Santiago

Página 26


·


Con una periodicidad anual debería revisarse la eficacia de los programas de tests funcionales.Esto debería incluir la revisión de los procedimientos, frecuencias de prueba, análisis de los problemas encontrados, etc.

10.MODIFICACIONES El objetivo de esta fase es asegurar que todo cambio en el SIS se realiza siguiendo el mismo procedimiento que en la primera implementación. La gestión del cambio implicará que ante cada cambio, se deberá volver a la fase adecuada en el ciclo de vida del SIS. Todo cambio será debidamente documentado. Por ello es fundamental tener un estricto control de toda la documentación. Cualquier modificación y/o reparación realizada en un SIS conllevará la realización de la correspondiente prueba funcional.

Curso U.Santiago

Página 27


4

RELACION ENTRE LOS SISTEMAS DE CONTROL Y LOS DE SEGURIDAD

Sistemas Instrumentados de Seguridad Tema: Relacion entre los sistemas de control y los de seguridad

RELACION ENTRE LOS SISTEMAS DE CONTROL Y LOS DE SEGURIDAD Índice INTRODUCCION SENSORES DE CAMPO PLATAFORMAS DE LÓGICA ELEMENTOS FINALES DE CONTROL CABLEADO INTERFASE DE MANTENIMIENTO Y OPERACIÓN

Curso U.Santiago

3 4 4 5 5 6

Página 2


INTRODUCCION En el pasado, la instrumentación utilizada para realizar el control del proceso era de tipo neumática analógica siendo los lazos PIDs implementados en controladores de lazo simple (un controlador físico para cada lazo de control).Las funciones de seguridad utilizaban sensores locales de contacto (presostatos, nivostatos, etc) lógica a base de reles y los elementos finales solían ser las mismas valvulas que ejecutaban el control. Los modernos sistemas de control distribuido(SCDs) comenzarón a reemplazar a los controladores de lazo simple a finales de la decada de los 70.Asimismo los controladores lógicos programables (PLCs) comenzaron a reemplazar a los reles electromágneticos a finales de los 60.Ya que tanto los SCDs como los PLCs disponían de software de programación se considero por mucha gente las ventajas de usar la misma plataforma para realizar ambas funciones (control y seguridad) siendo en este sentido preferido el SCD. Los beneficios de usar la misma plataforma incluían tener una misma fuente de alimentación, comunicaciones integradas, reducción de repuestos y formación así como costes más reducidos.también se argumentaba que la fiabilidad y redundancia de los modernos SCDs era tan buena que permitía sin problemas dicha combinación. No obstante tanto los estandares internacionales como las propias especificaciones de los usuarios finales y las buenas prácticas recomiendan la separación de los dos sistemas. A este respecto conviene constatar una diferencia fundamental entre los Sistemas de Control y los de Seguridad para poder visionar con cierta claridad la razón de su separación. Los Sistemas de control de proceso son sistemas activos y dinámicos.Están continuamente funcionando y cualquier fallo es facilmente detectable ya que el sistema deja de trabajar no necesitando excesivo diagnóstico para la detección de tales fallos. Por el contrario los Sistemas de seguridad son pasivos estando normalmente dormidos sin realizar acción ninguna.Un ejemplo es el de una válvula de seguridad.Normalmente la válvula está cerrada.Si la presión nunca excede de su ajuste la válvula jamás abrirá.Muchos fallos de estos sistemas no son auto indicativos así si la válvula está obstruida no lo sabremos ya que no hay indicación de tal evento y el problema se presentará cuando necesite evacuar en su apertura.Esto se complica más en otros elementos asociados a los sistemas de seguridad (PLCs, v.solenoides, sensores, etc) obligando a realizar diseños fail safe (llevar el proceso a condición segura caso de algún fallo en cualquier elemento) y/o usar instrumentos con gran capacidad de autodiagnóstico. Asimismo, los sistemas de control de procesos deben ser muy flexibles para permitir frecuentes cambios así como configuraciones y ajustes lo que conlleva con cierta frecuencia a realizar determinados bypases y controlar el proceso en manual.Por el contrario los Sistemas Instrumentados de Seguridad deberían diseñarse para la mínima intervención humana y limitar sus cambios y modificaciones.Es necesario tener claro que la intervención humana debe terminar en la capa de seguridad de la Gestión de alarmas y que todos conocen que la última capa de seguridad es el SIS y esta debe ser lo más automatizada posible con accesos restringidos a la misma y mínimos bypases (solo para funciones de mantenimiento ).

Curso U.Santiago

Página 3


SENSORES DE CAMPO Se recomienda el uso de sensores de campo independientes y preferiblemente utilizando conexiones al proceso independientes. Sin embargo se pueden utilizar sensores comunes siempre que el fallo del propio sensor no produzca precisamente una situación peligrosa a través de la acción de control. En la práctica esto solamente suele ser factible para funciones con SIL= 1. La conexión adicional de los sensores del SIS al SCD ofrece la posibilidad de contraste con los sensores del SCD y por lo tanto mejora la cobertura de los diagnósticos. Conviene dejar claro en la SRS la preferencia del tipo de elementos iniciadores (sensores) que deben utilizarse para tenerlo en cuenta en el diseño conceptual de cada SIF.Esto es más importante cuando queremos alcanzar cumplimientos de SIL altos con un solo instrumento iniciador.La tendencia actual es usar como sensores transmisores inteligentes con posibilidades de un cierto autodiagnóstico de fallos y con tasas de fallo más bajas (MTBF grandes) los cuales permiten indicaciones remotas de la propia variable de proceso.Explicitando las condiciones puede ser interesante tener certificados SIL de dichos instrumentos aunque esto no es completamente indispensable.

PLATAFORMAS DE LÓGICA A este respecto los estándares de los SIS (ISA e IEC) recomiendan la total separación e independencia de las funciones de los SIS y las funciones de los SCD para que la integridad de la seguridad no se vea comprometida. En general, las razones de la separación son las siguientes: · · ·

Reducir los efectos del SCD sobre los equipos compartidos. Facilitar las operaciones del SCD (flexibilidad en los cambios, mantenimiento, pruebas, documentación, etc.) para no tener que seguir procedimientos tan rígidos. Disminuir la complejidad del SIS para facilitar la validación de la seguridad funcional.

La separación física de los diferentes elementos no es obligatoria siempre que la independencia asegure que el SIS no se vera afectado por: -

Fallos en el SCD Operaciones (mantenimiento, configuración, operación, etc.) realizadas en el SCD.

La independencia de elementos del SIS y el SCD es muy compleja en aplicaciones muy interrelacionadas (por ejemplo máquinas). Sin embargo, en sistemas con lógica sencillo y/o pocas actuaciones (por ejemplo sistemas de Fuego y Gas) no suele presentar demasiadas complicaciones o incluso no ser imprescindible. Se recomienda el uso de plataformas de lógica independientes (tanto en CPU como en tarjetas de E/S). Sin embargo se pueden tener aplicaciones de seguridad y de control en la misma CPU siempre que dichas aplicaciones sean estancas. En la práctica, las CPU del SCD no suelen alcanzar los requerimientos mínimos exigibles (tasa de fallos, cobertura de diagnósticos, fracción de fallos seguros, etc.) para aplicaciones con un SIL ³ 1. Curso U.Santiago

Página 4


Asimismo conviene fijar en la SRS el tipo de plataforma de lógica a utilizar.Actualmente se tiende a usar modernos PLCs redundantes (TRICONEX, FSCs, etc) certificados para SIL 3 (los fabricantes deben dar la PFD de dicho PLC y el tiempo medio de reparación requerido para dicha PFD).Esto posibilita el uso de dicos PLCs (única plataforma) para cualquier función instrumentada de seguridad (SIF) con independencia del SIL de cada una de ellas.

ELEMENTOS FINALES DE CONTROL Se recomienda el uso de actuadores independientes. Sin embargo se pueden utilizar actuadores comunes siempre que el fallo del propio actuador no produzca precisamente una situación peligrosa a través de la acción de control y siempre que la señal al actuador procedente del SIS tenga preponderancia sobre la señal procedente del SCD. En la práctica esto solamente suele ser factible para funciones con SIL= 1. Cuando el elemento final es una válvula de corte conviene dejar claro en la SRS la clase de fuga, la velocidad de respuesta y el tipo de válvula solenoide asociada.A veces se especifica el uso de “partial stroke test” con el objetivo de bajar la tasa de fallo peligrosa y minimizar la

PFD.La certificación SIL para estos elementos es muy difícil conseguirla por la casi imposibilidad de tener cuantificados los tipos de fallo por parte del fabricante.Por tanto si algún fabricante asume una posible certificación tendrá que especificar con absoluta claridad las condiciones de la misma. Cuando los elementos finales de una SIF son del tipo interruptor eléctrico el tema es más complejo y puede requerir un análisis más pormenorizado del asunto.

CABLEADO Se recomienda el uso de cajas y multicables independientes para señales del SCD y del SIS. Esta recomendación se torna en obligatoria cuando se trata de SIS con configuración energizada para disparo. Las bandejas, conduit y similares pueden ser comunes. La separación entre el SCD y el SIS puede realizarse de dos formas: ·

·

Identidad. Utilizando el mismo tipo de elementos que en el SCD. Tiene ventajas desde el punto de vista del diseño y el mantenimiento pero desventajas desde el punto de vista de los errores sistemáticos o fallos por causa común (corrosión, erosión, errores de software, fallos de alimentación, obstrucción de líneas de impulsión, etc.). Diversidad. Utilizando elementos de otro fabricante, de otra tecnología o que usen otro principio de operación o medida. Tiene ventajas porque disminuye los errores sistemáticos pero desventajas porque pueden aumentar los errores de mantenimiento.

Cuando los sistemas están combinados, las condiciones de arranque, disparo o parada existen dentro del mismo espacio del PLC, la determinación de cual es el estado actual es tan simple como mirar un registro. Cuando los sistemas están separados, las comunicaciones entre el SIS y el SCD son extremadamente importantes. La velocidad y fiabilidad de las comunicaciones es esencial para una operación suave. También puede tener un impacto significativo en la complejidad y el coste del SIS, debido a la cantidad de puntos que se requiera comunicar. Curso U.Santiago

Página 5


INTERFASE DE MANTENIMIENTO Y OPERACIÓN La interfase de Operación es el medio por el cual el operador se comunica con el SIS. La interfaz de operación puede ser común para el SCD y los sistemas de seguridad instrumentados. Sin embargo, no deberán ser comunes aquellas interfaces en las que el operador sea una parte de la función de seguridad (por ejemplo un disparo que necesite la autorización adicional del operador mediante un pulsador). Interfases de operación típicas son: pantallas, paneles de lámparas y pulsadores, anunciadores e impresoras. La especificación de diseño del sistema de seguridad, debe explicitar claramente las informaciones que por su relevancia deben ser mostradas al operador así como la forma de mostrarlas. Especial importancia tiene todas las señales informativas sobre el status de las diferentes partes del SIS. Es muy importante no sobrecargar de información al operador y proporcionar, si procede, programas estáticos y dinámicos que optimicen la misma. La iterfase de Mantenimiento es el medio por el cual se realizan las modificaciones en el SIS. Debe ser una interfaz independiente para cada SIS y no debe usarse como interfaz de operación. Debe tener unos protocolos de seguridad muy estrictos por que tendrá acceso a todos los parámetros de configuración del sistema (hardware y software).

Curso U.Santiago

Página 6

SISTEMAS INSTRUMENTADOS DE SEGURIDAD 5

REALIZACION DE UN CASO PRACTICO

Sistemas Instrumentados de Seguridad Tema: realización de un caso práctico

REALIZACION DE UN CASO PRACTICO Índice 1. 2. 3. 4. 5. 6. 7. 8. 9. 10. 11. 12. 13.

INTRODUCCION SISTEMA DE PARADA DE EMERGENCIA DE UN HORNO DESCRIPCION DE LOS CONTROLES BASICOS ALCANCE DEL ANALISIS DETERMINACION DEL SIL ESPECIFICACION DE REQUERIMIENTOS DE SEGURIDAD (SRS) DISEÑO CONCEPTUAL DEL SIS COSTES DEL CICLO DE VIDA VERIFICACIÓN DEL SIS VERSUS SIL DISEÑO DE DETALLE DEL SIS INSTALACION,COMISIONADO Y PRUEBAS DEL SIS PROCEDIMIENTOS DE OPERACIÓN Y MANTENIMIENTO SUMARIO

Curso U.Santiago

3 3 4 5 5 5 8 10 11 14 14 14 16

Página 2


1. INTRODUCCION El caso que vamos a resolver en este capítulo pretende ser un ejemplo ilustrativo de cómo todo lo estudiado hasta el momento puede ser usado para especificar, diseñar instalar, comisionar y mantener un típico Sistema Instrumentado de Seguridad (SIS).Para lograr los objetivos se seguira el modelo del Ciclo de Vida de un SIS. A medida que se avance en el caso y se vayan revisando las diferentes soluciones, seremos capaces de entender las técnicas y conceptos así como valorar la importancia de tener una buena documentación y resolver las dudas y malos entendidos.Asimismo, este capítulo puede ser una guía adicional y ser muy útil a todos aquellos que estan involucrados en especificar y diseñar Sistemas de seguridad. Finalmente, se aclara que los controles y la instrumentación usada como protección en este caso son simplificaciones que sirven tan solo al propósito del estudio.No reflejan, en ningún caso,lo que puede ó no requerirse en casos reales.Asimismo las soluciones y el sistema propuesto no cumplen necesariamente con todos los requisitos de algunos estandares reconocidos internacionalmente, por ejemplo, la NFPA.

2. SISTEMA DE PARADA DE EMERGENCIA DE UN HORNO El caso del Sistema Instrumentado de Seguridad (SIS) que se presenta es el de un Horno para calentamiento de la carga de una unidad de Crudo típico en una Refinería.Se trata de un estudio para mejorar los sistemas de disparos y seguridades existentes por considerarlos inadecuados, inefectivos y poco fiables.El horno en cuestión es de tiro natural y usa como combustible fuel gas de refinería.Dispone, asimismo, de pilotos encendidos de forma continua. La Fígura 12.1 muestra el diagrama del horno y los controles básicos asociados al mismo.

FC 10

L

FV 10

FT 10

CAMARA

CARGA

FC 9

L

DE COMBUST ION

FV 9

SALIDA

TT 8

FT 9

TC 8

PT

PCV 6

7

PI 7

H

L

GAS PILOTO

FC 3 PT

PI

4

4

L PI

L

FV 3

5

PT L

5

FT 3

FUEL GAS

K.O. DRUM

Curso U.Santiago

LG 1 LT

LI

2

2

H

Página 3


Fígura 12.1

3. DESCRIPCION DE LOS CONTROLES BASICOS A continuación se describen los controles básicos más relevantes de este horno. El control de la carga al horno se realiza por dos lazos de control de caudal situados en cada uno de los dos pasos de entrada al horno.Se trata de los FC-9 y FC-10 que manipulan las válvulas de control FV-9 y 10. La presión de alimentación de gas a los quemadores piloto, que se usan para el encendido del gas principal a quemadores, se lleva a cabo con una válvula autoregulada PCV-6.La temperatura de salida del horno es controlada vía caudal de Fuel Gas por medio de un típico control en “CASCADA” donde la variabl e principal (maestra) es la temperatura y la secundaria (esclava) es el caudal de fuel gas.De esta forma el controlador de temperatura TC-8 envia su salida como punto de consigna al FC-3 y este manipula la valvula de control FV-3. Los lazos de control, aquí relacionados, están implementados en un SCD en sala de Control distante 200 metros del horno.Como resultado del Analisis de Riesgos (tipo Hazop) se identificarón los siguientes riesgos para este horno (tabla 12.1).

Riesgo

Causa Posible

Consecuencia

Probabilidad

Explosión Horno Fuego en el Horno

Perdida pilotos Pérdida pilotos Baja ó nula carga al horno

Muertes (perdida vidas) Perdidas de 1 Millón de euros.

Media Media

Fallo en los tubos

Baja ó nula carga al horno Pérdidas de 1 Millón de euros

Media

Tabla 12.1 Asimismo, durante el análisis de riesgo tipo Hazop, se recomendo la instalación de una serie de instrumentación tendente a mejorar la seguridad del horno y mitigar las consecuencias de los eventos descritos en la tabla anterior. ·

·

·

Corte del fuel gas a quemadores en el caso de baja carga al horno en cualquiera de los dos pasos (con una temporización de 20 segundos). Corte de gas a pilotos y fuel gas a quemadores en el evento de una baja presión de gas pilotos. Situar, en la sala de control, un interruptor de parada de emergencia que posibilite al operador en caso de necesidad el cierre de las válvulas de corte del gas piloto y del fuel gas principal.Este interruptor debería ser dedicado a esta única función y cableado fisicamente (no por software).

Finalmente se fijo que la parada del horno bajo demanda podría ser activada cada seis meses y se indico que una parada falsa intempestiva, no demandada, por posible fallo de Curso U.Santiago

Página 4


instrumentación cada año podría ser tolerada.El coste del impacto de esta parada intempestiva se estimo en 18.000 euros.

4. ALCANCE DEL ANALISIS El alcance de este analisis incluye los siguientes pasos del Ciclo de Vida de un SIS: 1. 2. 3. 4. 5. 6. 7. 8.

Definir el SIL de cada función de seguridad (SIF) Desarrollar una especificación con los requerimientos de seguridad (SRS) Realizar el diseño conceptual del SIS Calcular los costos de cumplimentación del ciclo de Vida Verificar que el diseño conceptual del SIS está de acuerdo al SIL requerido Realizar le diseño detallado del SIS Instalar el SIS, comisionarlo y realizar las pruebas. Establecer los procedimientos de operación y Mantenimiento.

5. DETERMINACION DEL SIL El primer paso es la determinación del nivel integral de seguridad (SIL) de cada una de las funciones instrumentadas de seguridad (SIF).Como se estudio en el capítulo 10,existen diferentes métodos para su analisis bien de tipo cualitativo ó cuantitativo. En este caso, partiendo de los datos proporcionados en el estudio Hazop de la tabla 12.1,se usará el método de la matriz de riesgo de tipo cualitativo donde se consideran las consecuencias y probabilidades del evento peligroso. El SIL resultante aplicando la matriz correspondiente a cada función de seguridad se muestra en la tabla 12.2. Item 1

Funcion de seguridad Baja ó nula carga al horno

Consecuencia

Rotura tubos. 2 1 millon euros Fuego en el horno. 2 1 millon de euros Baja presión gas a Explosión. 3 pilotos Perdidas de vidas Tabla 12.2 SILs del Horno

2

Probabilidad Media

M

Media

M

Media

M

SIL 2

3

6. ESPECIFICACION DE REQUERIMIENTOS DE SEGURIDAD (SRS) Tal como se apunto en el capítulo 9, en este punto hay que realizar la especificación de los requerimientos de seguridad relativos a este horno.Se trata de especificar lo que hace el sistema (especificación funcional) y como de bien lo hace (especificación de integridad de la seguridad ).Para ello es necesario disponer de partida de una serie de documentos para poder llevar a cabo este trabajo. Para el caso de este estudio se sumariza en la siguiente tabla 12.3, la información clave requerida. Curso U.Santiago

Página 5


Item

Requerimiento

Documentación y Requisitos iniciales Requeridos. Requerido.Ver tabla 12.4 Requeridas para los elementos de campo iniciadores (FTs/PTs) y válvulas de corte. Diagramas lógicos Es suficiente la matriz causa-efecto para describir la lógica. Información de proceso de cada evento de peligro Se precisa una descripción detallada de cómo las potencial que requiere un SIS.(causa del explosiones, fuegos o rotura de tubos pueden ocurrir y incidente,dinamicas,elementos finales,etc) de cómo los instrumentos de protección pueden prevenir/mitigar estos sucesos. Definir la velocidad de respuesta y precisión del sistema de protección así como otros requisitos adiccionales (Ej:clase de fuga y diseño a prueba de fuego de las válvulas de corte) Causas de fallos procesales por La medida de crudo suele ser problemática por alta corrosión,obstrución,suciedad,etc viscosidad y un medidor en línea tipo Coriolis es preferible al uso de placa orificio.Corrosión por sulfuro de hidrógeno en la atmosfera debe ser tenida en cuenta. Aplicación,si procede,de otros estandares y normas Ej: el estandar NFPA 8501 puede ser usado como que puedan ser de uso en el SIS. referencia aunque no sea mandatorio. Requerimientos funcionales Definir el estado seguro en que debe quedar el proceso En este caso el estado seguro es cortar el gas piloto,el para cada uno de los eventos. fuel gas y la carga al horno. Elementos iniciadores (entradas del proceso) al SIS y Ver tabla 12.4 sus puntos de disparo El rango de operación normal de las variables de Ver tabla 12.4 proceso y sus límites de operación. Elementos finales (salidas de proceso) del SIS y sus Ver tabla 12.4 acciones. La relación funcional entre las entradas y las salidas Ver tabla 12.4 incluyendo la lógica y permisivos. Selección de la filosofía de fallo seguro(failure safe) Fijar contactos normalmente cerrados y válvulas solenoides y circuitos energizados(en situación normal) Consideración del disparo manual Un interruptor manual cableado normal se instalará en sala de control (HS-21) Acciones a tener en cuenta si falta alimentación al SIS Deberán cerrarse todas las válvulas de corte. Tiempo de respuesta de actuación del SIS para llevar 5 segundos en aceptable el proceso al estado seguro Respuesta del operador ante un fallo evidente Inmediata.Mantenimiento debe asignar recursos para una rápida solución al problema. Interfase de operación Fijar la información que debe tener el operador y en que forma.Alarmas en el SCD ó dedicadas por cableado normal.Alarmas previas a los disparos.Disparo manual. Funciónes de rearme Las válvulas de corte deberán disponer de v.solenoides con rearme manual. Bypases Disponer de bypases de mantenimiento para cada SIF y de puesta en marcha para los de baja carga al P&IDs Diagrama causa-efecto Hojas de datos de instrumentos

Curso U.Santiago

Página 6


horno.Todos los bypases tendrán alarma en el SCD. Requerimientos de seguridad integral Listear todas las funciones instrumentadas de Tabla 12.4 seguridad(SIFs) y el SIL de cada una de ellas Requisitos de funciones de diagnóstico de los Los sensores de campo inteligentes (transmisores, elementos de campo para lograr el SIL requerido posicionadores,etc) disponen de capacidad de autodiagnosis y posibilidades de configurar acciones y alarmas.Hacer,por ej.que si el sensor falla su señal vaya al máximo valor y dar alarma en el SCD.Proporcionar finales de carrera en las válvulas de corte y ,si procede,un verificador de apertura parcial (partial stroke test). Requerimientos operación , mantenimiento y Fijar la frecuencia de prueba y verificación. verificación del SIS y su SIL asociado Fijar requisitos de fiabilidad de disparos intempestivos La cantidad de disparos intempestivos deberá y su peligrosidad calcularse para comprobar el cumplimiento del Hazop Tabla 12.3 Sumario de información clave para SRS Tag

Descripción

FT-22

Caudal paso 2 A Caudal paso 2 B Presión gas 3 piloto Pérdida alimentación eléctrica Pérdida de aire instrumentos Disparo manual

FT-23 PT7/24

HS-21

SIL Rango instrumento 0-100

Valor Unidades Válvula de cerrada Disparo XV30A 20 M3/h X

Válvula cerrada XV30B X

Válvula cerrada XV31A

Válvula Notas cerrada XV31B 1

0-100

20

M3/h

X

X

0-2

0.3

Kg/cm²

X

X

X

X

X

X

X

X

X

X

X

X

X

X

X

X

1

Notas: 1.Temporizar 20 segundos el cierre de las válvulas de corte 2.Las válvulas solenoides deberán disponer de rearme manual Tabla 12.4 Matriz (Diagrama) Causa-Efecto

Curso U.Santiago

Página 7

2


7. DISEÑO CONCEPTUAL DEL SIS El diseño conceptual del SIS debe cumplir, inicialmente, con las especificaciones que la Compañía tenga para este tipo de sistemas.Posteriormente se comprobará y verificará si realmente cumple ó no con el SIL requerido.En cualquier caso es necesario partir de unas guías para elaborar un esquema y calcular un coste preliminar. Para el caso de este estudio las guías del diseño conceptual del SIS basadas en los diferentes niveles SIL que se proponen aparecen en la tabla 12.5 que ya fue explicada en el capítulo 9. Esta tabla formará parte de la SRS correespondiente. Tabla 12.5 Guías de diseño SIS basadas en los niveles SIL

SIL

Sensores

Solución Lógica

Elementos Finales

3




2




1

Sensor Único


Dispositivo Único

Basandonos en los criterios de la tabla anterior y en los datos aplicables de la SRS,el esquema de enclavamientos y seguridades propuesto para este horno se refleja en la fígura 12.2

FC 10

L

FV 10

FT 10

FT 22

CARGA

CAMARA DE COMBUST ION

FC 9

L

FV 9

FT 9 HS

PAL

F AL

21

24

22

F AL

SALIDA

TT

FT 23

8

PAL

23

TC 8

7

H

S/D LOGIC YC-20

XV 30A

PT 24

XV 30B

PT 7

PI 7

L

GAS PILOTO PCV 6 BV 25

BA

BA

25

26 FC 3

XV 31A

PT 4

XV 31B

L

PI 4

PI L

FV 3

5

L

PT 5

FT 3

BV 26

FUEL GAS

Curso U.Santiago

K.O. DRUM

LG 1 LT

LI

2

2

H

Página 8


Fig.12.2

El diseño conceptual debe realizarse para complementar la especificación de los requisitos de seguridad (SRS) llevada a cabo en el punto 6 anterior y debe tener en cuenta las guías, procedimientos y especificaciones de la Compañía.No olvidar que la información clave que necesitará el ingeniero del contratista para completar la ingeniería de detalle debe estar reflejada en este diseño conceptual. Asimismo, no debería haber discrepancias entre este documento y el SRS. Siguiendo con el ejemplo del caso que nos ocupa, vamos a listar los requerimientos básicos del diseño conceptual del SIS del horno en la tabla 12.6. Item Arquitectura del Sistema

Minimizar causas de fallo comunes

Consideraciones ambientales

Alimentaciones eléctricas Tierras Bypases

Seguridad Interfase de Operación

Requerimiento Debe basarse en las guías y procedimientos de la Compañía.El PLC para realizar la lógica será redundante y estar de acuerdo con la especificación correspondiente.Debe localizarse en una sala de Racks adecuada. Redundancia 1oo2 se requiere para los elementos iniciadores de la presión de gas a pilotos y para las valvulas de corte.Es necesario verificar el cumplimiento del SIL para esta SIF del gas piloto.Ver figura12.3 Para lograr esto deben seguirse lo apuntado en el capítulo 11.Deben tenerse en cuenta : el cableado del 1oo2 desde transmisores y válvulas al PLC debe ser separado del correspondiente al sistema de control,la alimentacion vía SAIs a los PLCs deben ser independientes del resto y las tomas de los transmisores deben ser diferentes. Tener en cuenta la clasificación del área donde se instalarán los instrumentos de campo y elegir el metodo de protección adecuado (Ej: seguridad intrínseca).Mantener los requisitos fijados para el PLC(humedad y temperatura). Se dispone de alimentación de 115v,50Hz desde 2 SAIs separados localizados en la sala de control Asegurarse de seguir las buenas prácticas y especificaciones de tomas a tierra Instalar bypases de mantenimiento para cada SIF y de puesta en marcha para la carga.Asimismo las válvulas de corte deberán tener válvulas de bypas.Siempre que haya un elemento baipaseado debe haber alarma en el SCD. Los requerimientos de seguridad de la Compañía para acceder al PLC y modificar la programación deben ser cumplidos Las alarmas de disparos, baipases y de diagnóstico deben conectarse al SCD. Tabla 12.6

Curso U.Santiago

Página 9


Caudal paso A FT-22 Caudal paso B FT-23

Válvulas corte gas Piloto XV-30A/B (1oo2 lógica)

PLC de seguridad Redundante.Basado en las especificaciones de la Compañía.

Válvulas corte f. gas XV-31A/B (1oo2 lógica)

Presión gas piloto PT-7/24 (1oo2 lógica)

Fig.12.3

8. COSTES DEL CICLO DE VIDA En este apartado se realiza una estimación de los costos del ciclo de vida del SIS en euros. Items costes del Ciclo de vida (20 años) Costes fijos iniciales Definicion del SIL

Realización de la SRS y diseño conceptual Ingeniería y diseño de detalle Elementos iniciadores Elementos finales

Comentarios

Material

Completado el Hazop y decidida la necesidad de un Sistema Instrumentado de seguridad, el primer coste es realizar el SIL de cada SIF. Coste total de la ingeniería y diseño de detalle Compra de los sensores de campo Válvulas y/u otros elementos finales Relés,PLCs,etc

Subtotal

1000

1000

3000

3000

20000

20000

24000

24000

6000

6000

Plataforma de lógica 30000 Varios:cables,cajas,SAIs,interfase 4000 de operación,etc Cursos de formación Cursos al personal involucrado en los diferentes pasos del ciclo FAT/instalación/SAT Costes de pruebas en 4000 fábrica,campo,instalación de equipo,etc Puesta en marcha y corrección de 1000 errores Curso U.Santiago

Mano de obra

Total

30000 4000 5000

5000

16000

20000

2000

3000

Página 10


Total costes fijos Costes anuales Curso de formación in situ Costes por modificaciones y cambios

Contratos de servicios Costes fijos de operación y Mantenimiento Repuestos Verificaciones y pruebas periódicas Costes de reparaciones Costes de falsos disparos intempestivos por fallos no deseados (spurious trips) Total coste anual Valor actual de los costes anuales

116000 Curso de refresco para operación y manten. Los cambios requieren revisar los requerimientos y actualizar la documentación Ejemplo:PLCs

1000

1000

1000

1000

2000

1000 1000

1000 1000

8000

4000 8000

4000 1000 Coste basado en el MTBF spurious del sistema y refleja los costes por pérdidas de producción.

500

1500 8000

26500 330249

Basado en el tipo presente del interes del dinero (5%)y el número de años previstos del ciclo(20 años).

446249

Total costes del ciclo de vida Tabla 12.7

9. VERIFICACIÓN DEL SIS VERSUS SIL En este paso debemos comprobar y verificar que el correspondiente SIS de cada funcion instrumentada de seguridad (SIFs) cumplimenta el SIL asignado a cada una de ellas.En este ejemplo tenemos tres disparos que son: Bajo caudal de carga por el paso A Idem por el paso B Baja presión de gas pilotos El disparo por baja presión de gas a pilotos debe cumplimentar un SIL3.Vamos a verificar que el sistema instrumentado de seguridad (SIS) previsto y diseñado para esta función cumple con dicho requisito.De igual manera lo haríamos para los disparos de baja carga (SIL2).En este ejemplo lo haremos solo para el primero de ellos (ver Fig 12.4). · · ·

Transmisores De gas piloto. Pt-7/24 (voting 1oo2)

Curso U.Santiago

PLC de seguridad Redundante según Especificaciones Compañía.

Válvulas corte XV-30A/B (Voting 1oo2) Válvulas corte XV-31A/B (voting 1oo2)

Página 11


Fig.12.4

Previamente a dicha verificación haremos una exposición de las fórmulas básicas empleadas para el cálculo de los falsos disparos (nuisances trips) no demandados por el sistema y de la probabilidad media de fallo en demanda (PFDmedia) en función de los tipos de instrumentos y configuración seleccionada.

Fórmulas del cálculo del nuisance trip (disparo latoso y falso no demandado) 1oo1 1oo2 2oo2 2oo3

· · · ·

1/•s 1/ (2*•s) 1/ ( 2*(•s)² *MTTR) 1/ ( 6*(•s)² *MTTR)

donde: MTTR=tiempo medio de reparación (mean time to repair) •

=tasa de fallo (1/MTBF)

s

=fallo seguro

•s

=fración de tasa de fallo segura

Fórmulas de cálculo de la PFDmedia con intrumentos que detectan fallos (autodiágnosis) ·

1oo1

·

1oo2

· ·

2oo2 2oo3

•d * (MTTR+ (TIa/2 ) ) 2 * (•d)² * (MTTR+ (TIa/2) )² 2 * (•d) * (MTTR+ (TIa/2) ) 6* (•d)² * (MTTR+ (TIa/2) )²

Donde: TIa MTTR d

=Intervalo de diagnóstico automático (usualmente insignificante) = tiempo medio de reparación =tasa de fallo (1/MTBF) =fallo peligroso

•d

= fracción de tasa de fallo peligrosa

•

Fórmulas de cálculo PFDmedia para instrumentos sin detección de fallos (fallos no detectados).

· · ·

1oo1 1oo2 2oo2

Curso U.Santiago

•d * (TI/2) ( (•d)² * (TI)²) /3 •d *TI Página 12

Sistemas Instrumentados de Seguridad Tema: realización de un caso práctico ·

2oo3

(•d)² * (TI)²

Donde: TI es el intervalo de prueba manual

Para el ejemplo que nos ocupa asumiremos los siguientes datos: MTTR: 8 horas Tiempo medio de activación del sistema bajo demanda: cada seis meses Intervalo de tiempo de prueba en línea: 3meses Efectos de fallos por causa común: casi nulos La fracción de tasa de fallo peligrosa incluye todos los fallos y diagnósticos La fracción de tasa de fallo seguro de todos los transmisores es la misma La tabla 12.8 refleja los datos de las tasa de fallos de los componentes del SIS Item

Fracción de tasa de fallo peligrosa

Fracción de tasa de fallo segura •s

•d

Tranmisores PT-7/24 0.01 Válvulas de corte y solenoide 0.02 XV-30A/B XV-31A/B PLC de seguridad Ver nota Nota: La PFDmedia del PLC redundante según suministrador es de .00001

0.02 0.1 0.01

Tabla 12.8

Cálculo PFDmedia Aplicando las fórmulas adecuadas: PFDmedia (sensores) = .333 * (.01)² (3/12)² =0.000002 PFDmedia (válvulas corte+solenoides) =2 * .333 * (.02)² (3/12)² =0.000016 PLC =0.00001 PFDmedia total =0.000028 Recordar que el máximo valor requerido para SIL 3 es de 0.001 Luego el SIS cumple el requerimiento de SIL3.

Cálculo del falso/no demandado disparo (nuisance trip) Todos los transmisores y válvulas deben de incluirse en este cálculo. MTTFsp (sensores) =1/(2*0.02) = 25 años MTTFsp (válvulas y solenoides) =1/ (4*0.1) = 2.5 años MTTFsp (PLC) =1/(0.01) = 100 años MTTFsp (total) =2.2 años Un disparo intempestivo cada 2.2 años es asumible

Curso U.Santiago

Página 13


10. DISEÑO DE DETALLE DEL SIS El diseño de detalle del SIS tiene que estar de acuerdo con la especificaciónde requerimientos de seguridad (SRS) y con el diseño conceptual.Para esta aplicación, contemplada en el ejemplo,debería de disponerse de una serie de documentación como parte del paquete del diseño de detalle: 1. Resultados y recomendaciones del estudio Hazop 2. Todos los cálculos de PFDmedia y MTTF. 3. Diagramas de proceso y P&Ids 4. Listas de instrumentos 5. Hojas de especificaciones y requqerimientos del PLC,transmisores y válvulas. 6. Diagramas de lazos de control y enclavamientos. 7. Matriz de causa-efecto 8. Localización de instrumentos y equipos 9. Configuración del PLC así como lista de entradas/salidas y programas. 10. Diagramas de cableado de cajas y cabinas 11. Diagramas de alimentaciones eléctricas y neumáticas. 12. Listas de repuestos 13. Documentación estandar de los vendedores (manuales instrucción,instalación,operación y mantenimiento) 14. Procedimientos y formatos de verificación y pruebas. 15. Procedimientos de chequeos en línea.

de

11. INSTALACION,COMISIONADO Y PRUEBAS DEL SIS Lo siguiente son actividades claves que deben ser tenidas en cuenta y realizadas como parte de la instalación,comisionado y pruebas antes de la puesta en operación: ·

·

·

Test de aceptación en la factoría del fabricante/vendedor del PLC (FAT).Las responsabilidades y detalles de estas pruebas deben de incluirse como parte de las actividades del diseño de detalle. Instalación en campo del sistema completo.Esta instalación debe estar conforme con los diagramas y manuales incluidos en el paquete de diseño.deben de incluirse formatos para el chequeo funcional de los diferentes elementos. Realización del Test de aceptación in situ (SAT).

12. PROCEDIMIENTOS DE OPERACIÓN Y MANTENIMIENTO Como ejemplo,describiremos un procedimiento típico de uno de los disparos de este ejemplo. Curso U.Santiago

Página 14


Nos referiremos al disparo del horno por baja presión de gas piloto.

Operación: Si la presión de cualquiera de los dos transmisores PT-7 ó PT-24 cae por debajo de 0.35 Kg/cm², las válvulas de corte XV-30A,XV-30B,XV-31A y XV-31B cerrarán completamente en alrededor de 3 segundos.

PAL

PAL

24

7

S/D LOGIC YC-20

XV

XV

30A

30B

PT

PT

PI

24

7

7

L

GAS PILOTO PCV 6 BV 25

BA 25

BA 26

XV

XV

31A

31B

FUEL GAS

BV 26

Fig.12.5 Descripción del disparo del horno por baja presión gas pilotos

PROCEDIMIENTO DE TEST DE DISPARO 1. PROPOSITO Chequear el disparo del horno por baja presión de gas piloto a traves de los transmisores PT-7 y PT-24 2. RESPONSABILIDADES DEL TEST La responsabilidad de la realización del test es del operador del horno.Un instrumentista acompañará al operador durante la realización de dicho test. 3. HERRAMIENTAS E INSTRUMETOS NECESARIOS Solo se necesita una emisora pórtatil Curso U.Santiago

Página 15


4. FRECUENCIA DEL CHEQUEO Este test debe realizarse cada tres meses 5. RIESGOS Fallos en las aperturas de las valvulas de bypas del gas piloto y del fuel gas pueden ocasionar el disparo del horno y crear un fuego ó explosión. Asimismo,fallos en el cierre de dichas válvulas al finalizar el test puede desautorizar el disparo. 6. INFORMACION DE REFERENCIA Para la prueba deben estar disponibles una serie de planos y documentos por si fueran necesarios (diagramas de lazos,hojas de datos de instrumentos y descripción del sistema de paradas del horno) 7. PROCEDIMIENTO DEL TEST PASO A PASO Referirse al fígura 12.5 para un mejor entendimiento:

Paso 1 2 3 4 5 6 7 8 9 10 11 12 13 14

Acción

Chequeo OK

Avisar,del comienzo del test, a todo el personal de operaciones afectado por el mismo Abrir la válvula de bypas de gas piloto BV-25 completamente.Verificar que la alarma BA-25 se activa en el DCS.Reconocer la alarma Abrir la válvula de bypas de fuel gas BV-26 completamente.Ver que la alarma BA26 se activa en el DCS.Reconocer la alarma. Obtener información de que la operación del horno continua estable. Cerrar la válvula de aislamiento del transmisor PT-7 y ventear suavemente el transmisor.Al llegar la presión a 0.35 Kg se deberían de cerrar las válvulas de corte de gas piloto y de fuel gas.Este cierre debería producirse en menos de 3 segundos Comprobar que en el SCD se ha activado la alarmaaPAL-7.Reconocerla Cerra el venteo del transmisor y abrir la valvula de bloqueo para que vuelva la presión a su nivel normal. Comprobar que se apaga la alarma PAL-7 Resetear el rearme manual de las válvulas solenoides.Las válvulas de corte se abrirán inmediatamente. Repetir los pasos 5,6,7,8 y 9 para el PT-24 Cerrar la válvula de bypas de gas piloto BV-25.Ver que la alarma BA-25 en el DCS desaparece Idem con la de bypas de fuel gas BA-26viendo que desaparece la alarma BA-26 Avisar al personal de operación afectado de la finalización del test. Completar,firmar,y remitir la documentación completa del test al Supervisor de la Planta.

Disparo chequeado por

Fecha

13. SUMARIO Como resumen de este ejemplo diremos que puede sernos muy útil para completar la mayor parte de los pasos de un ciclo de vida de un SIS.Pretende dar una idea conceptual de cada uno de ellos y que pueda valer como metodologia en cualquier otro que se nos presente en nuestro trabajo habitual. Curso U.Santiago

Página 16


Referencias 1. ANSI/ISA,Application of Safety Instrumented System for the Process Industries 2. Safety Shutdown System:Desing,Analysis and Justification

Curso U.Santiago

Página 17


6

EJERCICIOS Y PROBLEMAS

Sistemas Instrumentados de Seguridad Tema: Ejercicios y problemas

EJERCICIOS Y PROBLEMAS

1. INTRODUCCION 2. ALTA TEMPERATURA REACTOR 3. ALTA PRESION TORRE DESTILACION

2


1. INTRODUCCION Se realizarán dos clases de ejercicio. El primero de ellos se plantea durante un nuevo Proyecto de una unidad de desulfuración de destilados medios donde, partiendo de cero, habrá que realizar un diseño conceptual de una de las funciones instrumentadas de seguridad (SIF) que este de acuerdo al SIL que previamente se le ha determinado. En el segundo caso, se parte de una instalación existente donde tras un Hazop de la unidad y una lista de SIFs se determinan los niveles SIL de cada una de las SIF y en el caso del ejercicio se deberá de comprobar el nivel SIL que satisface una determinada configuración existente de una SIF y proponer las alternativas y modificaciones necesarias para subir dicho nivel SIL..

2. ALTA TEMPERATURA EN REACTOR En el esquema se simplifica como la carga líquida de hidrocarburos en control de caudal se mezcla con hidrógeno para que una vez calentada dicha mezcla se lleve al reactor que, en las condiciones prefijadas de presión y temperatura y en presencia de un catalizador determinado, se produzcan las reacciones necesarias para la desulfuración de dicha carga. Si debido a un mal funcionamiento del controlador de temperatura, esta aumenta de forma alarmante en la entrada al reactor propiciando un incremento en la actividad del catalizador que puede conducir a una reacción exotérmica descontrolada (Ej: por alta cantidad de hidrgenación de compuestos aromáticos) esto tendrá como consecuencia final , si no se toma ninguna acción, a la rotura de la carcasa del reactor.Esta rotura liberará a la atmósfera su contenido (producto mezcla de hidrocarburos e hidrógeno).La temperatura de autoignición de alguno de los componentes de hidrocarburos podría tener como consecuencia una gran probabilidad de inmediata ignición del producto liberado.Esto resultará en un fuego localizado en las inmediaciones de dicho reactor el cual se puede minimizar al bajar la presión consecuencia de dicha fuga. Este evento se desarrollará en alrededor de 30 minutos si no toma ninguna medida el operador. H2

TV 1

HC

R

DEPOSITO FIC 1 FT 1

TAH

SE

1

HORNO

TT 1

BOMBA

F.GAS

FIC

TIC

2

1

REACTOR FT 2

TT 2 TT 3 TT 4

Para evitar lo anterior se propuso, durante la fase de Ingeniería básica y se confirmo durante el estudio HAZOP diseñar una SIF que en caso de llegar la temperatura en el lecho del reactor a un determinado valor se cerrase la aportación de hidrógeno con lo cual el problema quedaría totalmente controlado. El ejercicio que se plantea, como parte del ciclo de vida SIS, consta de las siguientes partes: Determinar el SIL de dicha función instrumentada de seguridad (SIF). Realizar un diseño conceptual de dicha SIF Verificar que dicho diseño cumplimenta el SIL requerido · · ·

3


2.1.-Determinación del SIL Para la determinación del SIL de esta SIF usaremos la matriz de riesgo de protección personal parametrizada para este caso según lo que se especifica en Repsol.

W3 C1

P1

W2

W1

1

a

-

-

-

-

2

1

1

a

-

-

3

1

2

1

1

a

4

2

3

1

2

1

5

3

4

2

3

1

6

3

5

3

4

2

7

4

6

3

5

3

8

h

7

4

6

3

F1 P2

C2

P1 F2 P2

F1 C3 F2

C4

Matriz de protección personal Nota: a : SIF sin requerimiento de SIL - : Sin requerimiento de SIF h : Es necesario rediseño del sistema Donde:

W : Es la frecuencia ó probabilidad de un evento no deseado pudiendo adoptar los siguientes valores: W1 : No se espera que el evento ocurra durante la vida de las instalaciones W2 : Se espera que el evento ocurra una vez durante la vida de la instalación W3 : Se espera que el evento ocurra con frecuencia durante la vida de la instalación · · ·

C : Es el parametro de consecuencias pudiendo adoptar los siguientes valores: C1 : Daños menores a una persona que no resultan en víctimas mortales. C2 : Daños graves permanentes ó mortales a una ó más personas. C3 : Muerte de varias personas (rango 2 a 9). C4 : Muerte de muchas personas (10 ó más). · · · ·

F : Es el parámetro de ocupación pudiendo adoptar los siguientes valores: F1 : Exposición rara ó ocasional en la zona peligrosa (menor del 10%).Este parámetro se suele tomar por defecto. F2 : Exposición frecuente ó permanente (más del 10%). ·

·

P : Es la probabilidad de evitar las consecuencias del evento peligroso pudiendo adoptar: P1 : Es posible bajo ciertas condiciones.Es necesario justificación sólida. P2 : Casi imposible de evitar el peligro (parámetro por defecto). · ·

En el caso que nos ocupa la selección de los diferentes parámetros es la siguiente: Parámetro W : Para que dicho evento ocurra se tienen, como mínimo, que dar dos circustancias concurrentes ya que además de fallar el controlador de temperatura el operador del SCD no tome ·

4


·

·

·

ninguna acción en 30 minutos.Esto nos lleva a considerar que la probabilidad de que este evento ocurra es una vez en la vida de la instalación lo que lleva a una W2. Parámetro C : La consideración es suponer como máximo una persona muerta al ser el fuego muy localizado.Esto conlleva a una C2. Parámetro F : En este caso se supone que en el área del reactor puede haber presencia frecuente (más del 10%) lo que da un F2. Parámetro P : Es muy difícil evitar el evento peligroso ya que no suele haber señales externas localmente antes de la rotura del reactor.Por tanto se asume P2.

Entrando en la matriz con los parametros anteriores el SIL requerido para esta SIF es de 2.

2.2:-Realización diseño conceptual del SIF Normalmente, para la realización del diseño conceptual debe disponerse de una especificación de los requerimientos de seguridad (SRS) que da una serie de guías tanto generales como perticulares para poder hacer un primer borrador de la configuración propuesta. Al objeto de simplificar y posibilitar este ejercicio se resumen los aspectos más relevantes que hagan posible dicho diseño conceptual y que es perfectamente válido para los objetivos que se persiguen en este ejercicio. Resumen: Como elementos iniciadores se prefieren usar transmisores electrónicos 4-20 ma inteligentes en lugar de termostatos de contactos. Los elementos iniciadores para esta SIF serán independientes de los de control. La lógica se realizará con PLC redundante dedicado solo a los SIS. El elemento final de corte será una válvula de corte independiente y una válvula solenoide con rearme manual. Para minimizar las causas comunes de fallo se establece que el cableado de los transmisores y v.solenoide sean segregados de los correspondientes del SCD.Asimismo se dispondrán de SAIs (sistemas de alimentación inenterrumpida) separados para los diferentes elementos del SIF iy los temopozos de los termopares serán asimismo diferentes. Se proveeran bypases de mantenimiento para los transmisores con alarma en SCD. ·

· · ·

·

·

La siguiente tabla 1 sumariza una guía de diseño basada en los niveles SIL que se tomará por defecto.

SIL

Sensores

Solución Lógica

Elementos Finales

3




2




1

Sensor Único


Dispositivo Único

Tabla 1 Con todo lo anterior, la propuesta de diseño conceptual para esta SIF es:

5


PLC REDUNDANTE

ALTA TEMPERATURA REACTOR TT1,TT2,TT3 (2003 LOGICA)

VALVULA CORTE DE H2 (1001 LOGICA)

(LOGICA)

2.3.-Verificación del SIL Una vez realizado el diseño conceptual hay que verificar que dicho diseño satisface el SIL (2 en este caso) requerido.Para ello asumiremos los siguientes puntos: Los transmisores que hemos seleccionado como elementos iniciadores no tienen detección automática de fallos. La válvula de corte (elemento final) es una típica válvula todo/nada de actuación neumática con obturador de disco y clase de fuga IV (normal). La v.solenoide es de tres vías con rearme manual. El PLC redundante está certificado para SIL 3 y tiene una PFD según el vendedor de .00001 (esto es cierto si el tiempo medio de reparación es de 72 horas) Suponemos un tiempo de intervalo de prueba en línea de 24 meses las paradas programadas son cada dos años). No hay practicamente causas de fallo comunes ·

·

· ·

·

La tabla siguiente nos orientará para determinar la tasa de fallos de los elementos iniciadores y finales así como las fracciones de fallo seguro y peligroso a usar en las fórmulas.

Safety

MTTF

Tasa de Fallos

Modo de

Consecuenci a

Fracción de

Posobilidad de

Instrument

[años]

[1 / hours]

Fallo

del Fallo

Fallos [%]

deteccion autom.

S

99,90%

NO

D

0,10%

NO

S

99,90%

NO

D

0,10%

NO

Fallo Micro cerrado

D

35,00%

NO

Fallo Micro abierto

S

26,00%

NO

Descalibración

S/D

35,00%

NO

Corte de Cable

S

4,00%

NO

Fallo señal neumática

S

33,33%

NO

Contaminación Ramas

D

33,33%

NO

S/D

33,33%

NO

S

0,00%

NO

Relés Lógicos

10700

1,07E-08

Fallo abierto contacto) Fallo cerrado pegado)

Relés de Contactos

1446

7,89E-08

Switches (presostatos, nivostatos,etc)

15

7,61E-06

Transmisores neumáticos

28

4,15E-06

v.solenoide

165

6,92E-07

(contacto

Fallo abierto contacto) Fallo cerrado pegado)

Descalibración Fallo bobina

(sin

(sin

(contacto

6


Válvulas de Control

Válvulas de Corte

IS Isolator Transmisores electrónicos Temperatura en condiciones medioambientales extremas Transmisores electrónicos Presión 3051S_T In-Line

32

58

58

49

1140

3,60E-06

1,99E-06

1,99E-06

2,04E-05

Agarrotamiento

D

0,00%

NO

Fuga

S

100,00%

NO

Fuga

D

66,00%

NO

Agarrotamiento

D

34,00%

PARCIAL (90%)

Fuga

D

25,00%

NO

Agarrotamiento

D

25,00%

NO

Fallo aire instrum.

S

50,00%

NO

Fallo Micro cerrado

D

35,00%

NO

Fallo Micro abierto

S

26,00%

NO

Fallo termopar

S

95%

NO

Fallo electrónica

D

1%

NO

Descalibración

D

4%

NO

S

86%

NO

D

7%

NO

D

8%

NO

S

85%

NO

D

7%

NO

D

8%

NO

8,77E-07 Fallo electrónica

Transmisores electrónicos Presión dif., caudal y nivel. 3051S_C Coplanar

1096

9,12E-07 Fallo electrónica

Tabla 2 Notas: MTTF (tiempo medio de fallos). S: fallo seguro D: fallo peligroso

Cálculos PFDmedia : (ver tema 12 para fórmulas) y la tabla 2 anterior para datos de tasa de fallos peligrosa. Comenzaremos eligiendo un solo sensor (transmisor de temperatura 4-20 ma) y una sola v.corte con solenoide siguiendo la guía de la tabla 1. Las fórmulas a aplicar tanto para el sensor como para el elemento final son (fallos no detectados): ·

PFD media (1oo1)

= • d * (TI/2)

Donde • d es la tasa de fallo peligrosa y TI es el intervalo de prueba manual Por tanto PFD (sensores) ------------------------------ (2.04E-05*0.05) *(2*8760/2) = 0.00893 PFD (válvula corte+solenoide) ------------ (1.99E-06)*0.5*(2*8760/2) = 0.0087 PFD (PLC lógica) -------------------------------------------------------------- = 0.00001 PFD (total) --------------------------------------------------------------------- = 0.017 La PFDmedia máxima para SIL 2 es 0.01 luego nos vemos obligados a encontrar otra solución distinta.A este respecto caben varias alternativas posibles: Realizar una configuración con los sensores de 1oo2 ó de 2oo3 Bajar la tasa de fallo peligrosa en la válvula poniendo un partial stroke test para eliminar el agarrotamiento. Bajar el tiempo de test manual TI con la posible implicación de tener que bypasear la válvula para poder realizar la prueba en marcha. Poner dos válvulas de corte en serie (1oo2). · ·

·

·

En principio eligiremos la primera posibilidad con un 2oo3 en los elementos iniciadores. La fórmula para los sensores es en este caso: ·

(2oo3) PFDmedia = (•d)² * (TI)²

7


PFD (sensores) ------------------------------ (2.04E-05*0.05)²*(2*8760)² = 0.0003 PFD (válvula corte+solenoide) ------------ (1.99E-06)*0.5*(2*8760/2) = 0.0087 PFD (PLC lógica) --------------------------------------------------------------= 0.00001 PFD (total) --------------------------------------------------------------------- =0.009 El máximo requerido para SIL 2 es de 0.01.El sistema propuesto satisface el requerimiento considerando la PFDmedia. No obstante si consideramos las limitaciones de arquitectura, según IEC 61508, al ser el elemento final una válvula de corte con una tasa de fallo seguro inferior al 60% (elemento tipo A) la tolerancia de fallo de hardware es 0 y solo vale para SIL 1.Para SIL2 necesitariamos redundancia (2 válvulas en serie) ó subir la tasa de fallo seguro por encima del 60% con otro tipo de valvula ó usando un partial stroke test.

3. ALTA PRESION TORRE DE DESTILACION En este caso se parte de una instalación que lleva funcionando durante años consistente en una funcion de seguridad que al subir la presión en la cabeza de la torre a un valor predeterminado (superior al punto de consigna del controlador e inferior al set de la válvula de seguridad) se corte el vapor de calentamiento del fondo.Lo instalado, para cumplimentar esta necesidad, consta basicamente de un presostato como elemento iniciador, de un relé de contactos para realizar la lógica y como elemento final se usa la misma válvula de control de temperatura con una v.solenoide asociada. En el presente ejercicio se proponen las siguientes cuestiones: · ·

Verificar el SIL que satisface la configuración existente Proponer las modificaciones (alternativas) para que dicha configuración pueda cumplir con un nivel superior de SIL

A tal objeto se facilita la siguiente información: Tabla 2 usada en el ejercicio anterior para toma de datos suponiendo que los elementos utilizados sean instrumentos contemplados en dicha tabla. Esquemas explicativos Uso de las fórmulas de cálculo de la PFDmedia. Considerar el tiempo de test manual de 2 años Considerar las limitaciones de arquitectura según IEC61508. ·

· · · ·

8


PIC

PSV 1

1 PT 1

ANTORCHA

INTER CAMBIADOR

PSH

SE

ANTORCHA

FC

PAH

1

1

B

1

TORRE

A

DE FT

DESTILACION

DEPOSITO

1

LT

LC

2

2

HC

TY 1

TC

TT

1

1

DESTILADO

F/P

BOMBA

R LT

LC

1

1

ATMOSF.

TV

FC 2 FT

VAPOR

2

FC

INTER DESTILADO

CAMBIADOR

BOMBA

ALTA PRES ION TORRE PSH1 (1001 LOGICA)

RELE CON CONTACTOS (LOGICA)

VALVULA CORTE DE VAPOR (1001 LOGICA)

9

Sistemas.instrumentados.de.Seguridad

Recommend Documents