SIS

Operación y Mantenimiento del SIS, el inicio de un largo (y tortuoso) viaje

Operación y Mantenimiento / /

La seguridad funcional se inicia desde las fases más incipientes de la ingeniería de un proceso, con los análisis de riesgos que permiten hacer una estimación gruesa del riesgo del proceso, considerando los equipos, tecnologías de transformación, materiales peligros, temperaturas y presiones de trabajo, personal requerido para el mantenimiento y operación entre otros.

Una vez que se tiene una estimación del riesgo del proceso, basado por supuesto en las normas aplicables o políticas corporativas, es posible cuantificar la magnitud del riesgo que se debe reducir, para hacer que el proceso sea factible desde el punto de vista económico, ambiental, social y de la seguridad. Para ello, se realiza la asignación de las capas de protección necesarias para alcanzar el riesgo meta; tales como: válvulas y/o discos de seguridad, válvulas de bloqueo, válvulas de venteo, sistemas instrumentados de seguridad, integridad mecánica, etc.

Cuando hablamos de los Sistemas Instrumentados de Seguridad (SIS), estamos indicando que hay una o más Funciones Instrumentadas de Seguridad (SIF) que lo conforman, y que cada una de ellas será diseñada para asumir la tarea de llevar y mantener el proceso a un estado seguro ante una condición o evento que le comprometa.

Una vez definidas las SIF, es necesario diseñarlas, y para ello la norma IEC/ISA 61511 nos proporciona un conjunto de lineamientos que deben ser completados de manera íntegra; estas son las Especificaciones de Requerimientos de Seguridad (SRS) para el SIS, donde se detalla todas especificaciones necesarias que aseguran que se alcanza el SIL calculado para cada SIF.

Con las SRS en mano se avanza hacia el diseño e ingeniería del SIS, es decir, diseño detallado de cada uno de los dispositivos que componen cada SIF del SIS, así como las pruebas de equipos y de integración de los mismos en fábrica (Pruebas FAT).

Luego, el sistema es instalado, arrancado, validado y entregado para entrar en la fase más larga de cualquier proyecto, Operación y Mantenimiento. Así que, hasta este momento, se han invertido muchos recursos en estudio, equipamiento y construcción. Se entrega la planta y con ella el SIS y sus especificaciones; recordando que el SIL de cada SIF debe ser mantenido durante toda esta fase hasta el desmantelamiento.

Comienza la producción, y lo que espera el inversionista es obtener la tasa de retorno de la inversión (TIR) al menor tiempo posible, pero factores como condiciones ambientales, tasa de degradación de los dispositivos, operación y mantenimiento del sistema, especificaciones de los fluidos de proceso, etc., afectan la integridad y el tiempo de misión del sistema; por lo que, es importante seguir los lineamientos técnico recomendados por la norma IEC/ISA 61511 para asegurar que las especificaciones de los sistemas de la seguridad se mantienen tal como fueron diseñados. Para ello, se necesitan los planes de operación, planes de mantenimiento, el conocimiento, disponibilidad, uso y revisión periódica de: Procedimientos de operación (bypass, reset, etc.), procedimientos de mantenimiento para actividades rutinarias y para reparaciones, procedimiento de revalidaciones, procedimiento de seguimiento del desempeño del mantenimiento, procedimientos de colección de data de demandas y parámetros de confiabilidad, procedimientos de ensayos periódicos, etc.

Para aplicar los procedimientos de manera correcta y eficaz, el SIS debe ser operado y mantenido por personal entrenado y competente con la capacidad para realizar los análisis de riesgos requeridos por cualquier modificación o cambio del sistema, colectar y registrar la data
para medir el desempeño del sistema, y tomar las acciones o decisiones (procedimientos de operación, mantenimiento inspecciones, ensayos periódicos y medidas de compensación) para asegurar que el SIL de cada SIF es mantenido y funciona durante la fase de operación y mantenimiento, tal y como fue diseñado. Como vemos, esto es un largo viaje que debemos emprender utilizando las mejores herramientas posibles.

 “Cuanto más complejo se vuelve un
sistema, más improbable resulta, más cosas pueden fallar y más esfuerzo
conlleva su mantenimiento”

Mihály Csíkszentmihályi, profesor de
psicología en la Universidad de Claremont

  

Miguel Angel Henríquez

FSEngTÜV SÜD TP17051344

Romel Rodríguez

Functional Safety Expert TÜV SÜD TP18010990 | ISA84/IEC 61511 Expert | FSEng TÜV Rheinland 575/07 | PHA Leader

 

Operación y Mantenimiento del SIS, el inicio de un largo (y tortuoso) viaje Leer más »

Todo cambia, incluido su SIS: El porqué de la necesidad de gestionar el cambio

Gestión de la Seguridad Funcional / /
En seguridad funcional, como parte del programa de integridad mecánica, se deben establecer los lineamientos, responsabilidades y actividades que permitan evaluar, registrar, comunicar e implementar todos los cambios temporales o permanentes asociados a los Sistemas Instrumentados de Seguridad (SIS). 
 
Dicho esto, una vez implementado el SIS y estando ya en operación, pueden presentarse infinidad de factores por los cuales se requiera una modificación del mismo. Los motivos pueden ir desde un diseño inadecuado (que comprometa la confiabilidad del SIS), la ampliación de un sistema que altere las condiciones iniciales hasta la migración a nuevas tecnologías para incrementar la producción, entre otros.
 
La pregunta es: ¿Cómo podemos asegurarnos de que cualquier modificación a un SIS, sea debidamente planificada, revisada y aprobada previa a la ejecución y que, aun así, se mantenga la integridad de la seguridad?
 
La respuesta es: Gestionando los cambios.
 
Debemos asegurarnos de gestionar todas las modificaciones, provenientes de solicitudes como, por ejemplo:
 
  • Incorporación de nuevos equipos o de nuevas SIF al SIS.
  • Cambios de funcionamiento de la SIF.
  • Eliminación o desmantelamiento de una SIF.
  • Modificaciones para corregir fallos sistemáticos.
  • Modificaciones para mejorar la confiabilidad de los procesos.
  • Actualizaciones o cambios de software embebido o de aplicación.
  • Modificaciones provenientes de cambios en la tasa de demanda del SIS.
  • Modificaciones a procedimientos operacionales.
  • Cambios de marca o modelo de los equipos del SIS.
  • Cambios en los requisitos de integridad para la SIF.
  • Modificaciones para corregir errores de software o firmware.

Y cualquier otro que impacte la seguridad de la instalación como se menciona en párrafos anteriores.
 
Haciendo referencia a los requisitos de la norma IEC61511 (cláusula 16), para llevar a cabo una modificación o cambio debe existir un procedimiento que indique como iniciar, planificar, documentar, revisar y aprobar un cambio a un SIS y considerar previamente:
  • Procedimientos que incluyan un método para identificar el trabajo a realizar y los peligros que pudieran presentarse.
  • Justificación o necesidad del cambio propuesto.
  • El impacto sobre la seguridad y salud de las personas e instalaciones.
  • El posible impacto en otras funciones de seguridad.
  • El tiempo durante el cual permanecerá el cambio (en caso de que sea temporal).
  • El personal responsable de autorizar el cambio (no debe comenzar la modificación sin la debida autorización).
  • El personal que debe ser notificado o capacitado para dicho cambio.
  • El impacto en los procedimientos operacionales existentes.
  • Disponibilidad de espacio de memoria y procesamiento en el sistema.
  • Efectos del tiempo de respuesta del SIS.
  • El impacto en la confiabilidad del sistema.
  • Control de la documentación de todas las modificaciones realizadas al SIS.

La revisión de la propuesta de cambio debe ser realizada por personal competente. Así mismo, el personal que será afectado por el cambio debe ser debidamente informado y capacitado antes de su implementación.
 
Es necesario revisar qué fase del Ciclo de Vida del SIS se ve afectada con el cambio y verificar que los procedimientos y la documentación afectada sea actualizada, preservando un registro de las versiones anteriores. Finalmente, antes de poner en marcha las instalaciones, se debe verificar y validar cada SIF afectada.
 
Como vemos, al disponer de un sistema de gestión para el manejo de los cambios en el SIS es que podemos garantizar:
  • Que se realice un análisis completo y apropiado antes de la implementación del cambio.
  • Que no se afecta la reducción de riesgo proporcionada por las SIF.
  • Que se obtiene la aprobación de las partes afectadas.
  • Que la documentación está completa y es consistente con la aplicación en campo.
  • Que el riesgo de la instalación no se ve afectado negativamente.

En conclusión, todo se trata de la necesidad de proteger y salvaguardar adecuadamente la integridad de la seguridad de nuestros Sistemas Instrumentados siguiendo procedimientos para un control documental apropiado, es decir, gestionar el cambio.
 
Recuerde:
“Lo único constante es el cambio”.
Heráclito (filósofo griego).
 
Ninoska La Concha
FSEng TÜV SÜD TP18051525
Romel Rodriguez
Functional Safety Expert TÜV SÜD TP18010990 | ISA84/IEC 61511 Expert | FSEng TÜV Rheinland 575/07 | PHA Leader

Todo cambia, incluido su SIS: El porqué de la necesidad de gestionar el cambio Leer más »

Las Capas de Seguridad, no sólo es una cuestión de superhéroes

Asignación del SIL / /
En el mundo de la seguridad de los procesos existe una gran variedad de literatura indicando mejores prácticas (experiencias para el desarrollo y diseño de proyectos) y definiciones de términos para lograr que los procesos obtengan un nivel de conformidad respecto a la seguridad funcional. Uno de los temas importantes en la gestión de la seguridad funcional, para el desarrollo de un sistema de seguridad, es la definición de las Capas de Protección y su capacidad de disminuir el riesgo. No basta con tomar un elemento, equipo, sistema o procedimiento y designarlo como una capa, esto no le da el superpoder de la protección.
Por definición, las Capas de Protección son: “Cualquier mecanismo independiente que reduzca el riesgo por control, prevención o mitigación. Puede ser un mecanismo de ingeniería de procesos, tales como el tamaño de los recipientes que contienen químicos peligrosos, un mecanismo mecánico como una válvula de alivio, un SIS (Sistema Instrumentado de Seguridad) o un procedimiento administrativo como un plan de emergencia contra un peligro inminente. Estas respuestas pueden ser automatizadas o iniciadas por acciones humanas.” IEC 61511:2016-3.2.57
Las Capas de Protección asociadas al proceso son identificadas en la etapa de análisis, durante el desarrollo de los estudios de Análisis de Peligros y Riesgo. Luego, durante los estudios de Asignación de las Funciones de Seguridad a las Capas de Protección se define la capacidad que tienen las mismas para lograr la reducción de riesgo. Es en esta fase donde se cuantifica el valor o “superpoder” identificado en la fase anterior y que, en lugar de utilizar un criterio subjetivo como en el caso de los superhéroes, se debe verificar qué poder es el mejor para cada situación de peligro (claro está, para los de la vieja escuela a menos que sea Superman que prácticamente los tiene todos). Así, para cada escenario de riesgo existirá una capa de protección, comportando como superhéroe para salvar el día.
Para que una Capa de Protección pueda ser ese superhéroe, debe ser por lo menos:
Específica, es decir, diseñada para la condición de peligro que se quiere evitar, así como una Válvula de Alivio de Sobrepresión (PSV) no nos serviría mucho en el caso de un escenario de muy alto nivel, tanto así no nos ayudaría Aquaman en un peligro extraterrestre en el espacio exterior.  
Efectiva, para que por sí sola sea capaz de detener la cadena de eventos que llevan a la consolidación del escenario de riesgo y llevar al proceso a un estado seguro. Una válvula PSV diseñada para alivio térmico poco servirá para un escenario de sobrepresión para descarga bloqueada o fuego externo, tanto como Flash para levantar un gran peso.
Independiente, de la causa del evento iniciador del escenario de riesgo como de las otras Capas de Protección. Una alarma configurada en el controlador del lazo de control que genera la condición de peligro posiblemente no servirá de mucho para detener el problema, tanto como si le pidiéramos ayuda a Lex Lutor.
Auditable o comprobable, es decir, que la Capa de Protección pueda demostrar la capacidad de reducción de riesgo que se le asigna. Podemos probar una PSV y hemos visto la capacidad de cada superhéroe en su misión dando fe de sus capacidades. No importa que cada elemento, equipo, sistema o procedimiento identificado como salvaguarda durante el Análisis de Peligros y Riesgo sea un superhéroe, debe haber un superhéroe adecuado para cada misión.
Durante el Estudio de los Riesgos de los Procesos se debe estar consciente que el desconocimiento o falla en la definición las capas de protección y la capacidad de las mismas para la reducción de riesgos pueden ocasionar eventos muy peligrosos, no necesariamente la destrucción de la mitad del universo por Thanos, pero puede conllevar a la ocurrencia de un evento fatal.
Gerardo Salazar
FSEng TÜV SÜD TP18051530
Romel Rodriguez
Functional Safety Expert TÜV SÜD TP18010990 | ISA84/IEC 61511 Expert | FSEng TÜV Rheinland 575/07 | PHA Leader

Las Capas de Seguridad, no sólo es una cuestión de superhéroes Leer más »

Diseño Básico del SIS: ¿Cómo saber si la tasa de falla que estamos usando es adecuada?

Diseño / /
La calidad del modelo que se crea para representar una Función Instrumentada de Seguridad (SIF) es altamente dependiente de la calidad de los datos que usemos para hacer la predicción de su comportamiento; bien sea calculando la Probabilidad de Falla en Demanda Promedio (PFDavg) o la Frecuencia de Fallas por Horas (PFH). Es una preocupación genuina, para quienes tienen la responsabilidad de cuantificar la falla aleatoria de la SIF, la necesidad de buscar el dato que les permita hacer la mejor representación posible.
 
La norma IEC-61511-2016 en su cláusula 11.9.3, describe claramente que: 

“Los datos de confiabilidad utilizados para cuantificar la tasa de fallas aleatorias deben ser creíbles, trazables, documentados y justificados y se basarán en la información de campo de dispositivos similares utilizados en entornos operativos similares”.

La intención de incluir esta cláusula en la versión 2016 es hacer énfasis justamente en la calidad del dato que se debe usar.
 
Pero, ¿qué quiere decir con que la tasa de falla sea creíble? La tasa de falla debe tener un valor que corresponda con el tipo de equipamiento y la realidad operacional donde se pretende utilizar. Usar datos que se puedan considerar muy optimistas y que resulten en modelos de SIF con prestaciones muy altas (muy bajas PFDavg /PFH o SIL muy altos) ocasionará una percepción de una reducción de riesgo errónea, exponiéndonos a un accidente potencial. Cada familia de equipamiento tiene unos valores máximos y mínimos que son considerados válidos para un ambiente operativo particular. Recordemos que una tasa de falla no es un valor único sino un valor tomado de una colección de valores (puede ser la media) que representan el comportamiento estadístico del equipo en particular. Bases de datos como OREDA, CCPS, IEEE y EXIDA pueden expresarlos de diversas maneras, una curva normal o valores máximos y mínimos. Así que la próxima vez que vea un dato muy optimista piénselo dos veces y compárelo.
 
¿Qué debemos buscar sobre la procedencia del dato?, ¿Qué quiere decir con que la tasa de falla sea trazable? Cuando una organización publica un valor de tasa de falla, tiene el deber de explicar cómo se obtuvo: Si se estimó basado en datos de campo (¿en qué condiciones operativas y ambientales?) o en base al retorno de partes a fabricantes o en predicciones basadas en técnicas como Análisis de Modos y Efectos de Fallas y Diagnósticos (FMEDA) o inclusive en técnicas combinadas de estimación y predicción (por ejemplo, usando teoremas de Bayes).
 
¿Cómo debe ser la fuente de donde obtenemos el dato? ¿Qué quiere decir con que la tasa de falla sea documentada? La organización que publica un dato no solo debe decir de dónde proviene sino, además, debe indicar cómo es el proceso mediante el cual se obtuvo. Si la tasa de falla proviene de un proceso de recolección de datos en campo, se debe indicar cuál es el esquema utilizado para documentar ese proceso (ISO 14224, IEC 60300 3-2-2004, BS 13460, PERD, OREDA) y si es de una predicción, se debe indicar qué método se utilizó (B10, FMEDA); es fundamental que se de fe que el proceso de generación del dato fue realizado de manera organizada y estructurada y permite documentar la fuente del dato, el proceso de generación y el reporte del mismo.
 
Finalmente, el uso de una tasa de falla particular es decisión de quien hace el modelado de la SIF y es éste quien tiene que justificar la escogencia de un dato en específico. La decisión es suya. Entonces, ¿qué quiere decir con que la tasa de falla sea justificada? La justificación de escogencia debe atender a la mejor representación de su realidad operacional, entorno ambiental, políticas de gestión de integridad mecánica de los sistemas, etc.
 
Como consejo final, tómese su tiempo para verificar si las tasas de falla que va a escoger podrán ser justificadas, si son creíbles, trazables, están bien documentadas y están basadas en datos de campo en condiciones operacionales similares, permitiéndole asegurar que su diseño estará conforme con el SIL objetivo.
 
Hasta una próxima oportunidad,
Autores:
José Luis Mota – SOIVEN
FSEng TÜV SÜD TP18051527
Romel Rodriguez – CSF
Functional Safety Expert TÜV SÜD TP18010990 | ISA84/IEC 61511 Expert | FSEng TÜV Rheinland 575/07 | PHA Leader

Diseño Básico del SIS: ¿Cómo saber si la tasa de falla que estamos usando es adecuada? Leer más »

Relación entre Interlock, Función de Seguridad, SIF y Permisivos en Seguridad Funcional

SRS / /
En la industria de procesos los Interlocks, Funciones de Seguridad, Funciones Instrumentadas de Seguridad (SIF) y Permisivos son utilizados en algunos de los controles empleados para evitar eventos peligrosos que representan un riesgo para la seguridad; sin embargo, es común que las personas tiendan a confundir estos términos como sinónimos. Este artículo está destinado a aclarar, tanto su significado en el marco de la seguridad funcional como la relación entre los mismos.
Comencemos mostrando algunas de las definiciones asociadas al término Interlock:
  1. Función que detecta una condición fuera de límites, anormal o una secuencia incorrecta y detiene una acción adicional o inicia una acción correctiva (Guidelines for Engineering Design for Process Safety [modified from «interlock system»]).
  2. Función que inicia una o varias acciones predefinidas en respuesta a una condición específica (CCPS-Guidelines for Safe and Reliable Instrumented ProtectiveSystem).

Cuando llevamos estas definiciones a la industria de procesos, nos referimos a un Interlock para describir una función que, al detectar una o varias condiciones anormales (desviación del proceso o de control), ejecuta una o varias acciones para evitar que un evento ponga en peligro a un equipo, sistema o proceso (según sean definidos).
En seguridad funcional, la normativa ANSI/ISA-84.01-1996 sólo utilizaba como referencia el término Interlock para facilitar la comprensión de los nuevos términos introducidos en la misma, por ejemplo:
  • Cláusula 3.1.53 – Otros términos utilizados para el Sistemas Instrumentados de Seguridad (SIS) incluyen Sistema de Parada de Emergencia (ESD, ESS), Sistema de Parada de Seguridad (SSD) y Sistema de Interlock de Seguridad.
  • Cláusula 7.2.3 – El SIS puede contener uno o más Interlocks o funciones de seguridad.
 
    Posteriormente, este término fue rechazado por el Panel de Normas de la ISA 84, siendo remplazado en las normativas actuales (ISA 61511 /IEC61511 /IEC 61508) por “Función de Seguridad”, definiéndolo como:
  1. Función que debe ser implementada por una o más capas de protección, cuyo objetivo es lograr o mantener un estado seguro para el proceso, con respecto a un evento peligroso específico” (61511-2016, 3.2.65).
  2. “Función que debe ser implementada por un sistema E/E/PE relacionado con la seguridad u otras medidas de reducción de riesgos, cuyo objetivo es lograr o mantener un estado seguro para el equipo bajo control (EUC), con respecto a un evento peligroso específico” (IEC 61508-2010, 3.5.1).
Sin embargo, se debe aclarar que a pesar que el término Interlock fue remplazado en la normativa por “Función de Seguridad”, no necesariamente significan lo mismo. Un Interlock sólo puede estar representado por funciones activas (sistema mecánico, de control o instrumentado) y puede ser definido para proteger un sistema, equipo o proceso. En cambio, una Función de Seguridad puede ser representada por diferentes capas de protección, ya sean funciones activas (una válvula de alivio o una función automatizada) o elementos pasivos (dique de contención o aislamiento térmico), en función de proteger un escenario peligroso especifico.
En caso de que una Función de Seguridad sea asignada al Sistema Instrumentado de Seguridad (SIS) durante el Análisis de Peligros y Riesgos (PHA), la función se convierte en una Función Instrumentada de Seguridad (SIF). En este momento, el sector de la industria de procesos define el término SIF como:

  1. Función de seguridad con un nivel de integridad de seguridad especificado que es necesario para lograr la seguridad funcional (ANSI / ISA-84.00.01-2004-1, cláusula 3.2.71). 
  2. Función de seguridad a ser implementada por un Sistema Instrumentado de Seguridad (SIS) (IEC 61511-1: 2016 – 3.2.66).
Para verlo de manera clara, se puede describir una SIF como una función relacionada con la seguridad que tiene por objeto prevenir o mitigar un peligro de proceso específico, mediante el uso de instrumentos y controles como son sensor(es), solucionador(es) lógico(s) y elemento(s) final(es). Cada función asociada a la seguridad y definida como una SIF debe cumplir con las siguientes características:
  • Debe ser diseñada para proteger de un escenario peligroso específico.
  • Debe actuar en un tiempo específico, dentro del tiempo de seguridad del proceso.
  • Deben asegurar que se lleve al proceso a su estado seguro, por lo que a menudo actúan de forma automática.
  • Deber pertenecer al Sistema Instrumentado de Seguridad.
  • Cada SIF debe tener asignado un Nivel de Integridad de Seguridad (SIL). Este es una característica única de la SIF, es decir, solo ella posee SIL, no el instrumento, no el proceso, no la planta, no el controlador. Solo la SIF posee un SIL determinado.
Como vemos, una Función de Seguridad que pertenece al SIS es representada por una SIF, y una SIF puede ser representada por un Interlock, siempre y cuando cumpla con todas las características de una SIF. A su vez, un Interlock puede ser representado por una o más SIF, o por una Función de Seguridad que sea automatizada.  
Adicionalmente, otro término que es comúnmente usado en la industria es el de Permisivos, algunas de sus definiciones son:
  1. Concesión de autorización para hacer algo (Collins Concise English Dictionary).
  2. Condición dentro de una secuencia lógica que debe cumplirse antes de que se permita que la secuencia pase a la siguiente fase (ANSI / ISA-84.01-1996, Cláusula 3.1.36).
El Permisivo es normalmente referido a una parte de la lógica que requiere que se cumpla una condición especifica de permitir una acción de proceso adicional y se usan a menudo para reducir la posibilidad de que un error humano cause un evento peligroso. Por ejemplo: cierre de una válvula específica antes de abrir otra o manejo del nivel de operación normal de un tanque, antes de la activación del sistema de bombeo.
 
Para cerrar, describiremos un ejemplo que nos muestre de manera simple la relación entre estos cuatro términos.
ssss
Figura 1. Sistemas de Bombeo de Crudo
provenientes del tanque de almacenamiento TK-51 a través de las bombas
centrifugas P-51A/B.
 
Comencemos identificando el Interlock encargado de proteger el sistema de bombeo, el cual puede estar relacionado a una serie de desviaciones y acciones, por ejemplo:

Desviaciones:

  • Bajo nivel en el tanque TK-51, a través del transmisor de nivel LZT-52.
  • Baja presión de succión de las bombas P-51A/B, a través del transmisor de presión PZT-52.
  • Alta presión de descarga de las bombas P-51A/B, a través del transmisor de presión PZT-53.
Acciones:
  • Apagado de las bombas P-51A/B.
  • Cierre de la válvula XV-52.
  • Alarma de activación del Interlock I en el BPCS.
En este caso, como mencionamos anteriormente, el interlock fue definido para la seguridad del sistema, es decir, la protección del activo (Bomba P-51A/B); sin embargo, se puede dar el caso de que sea definido para la protección de un escenario peligroso específico, al igual que se realiza con las funciones de seguridad.
 
Para definir las funciones de seguridad, el primer paso es identificar los escenarios de riesgo, y para cada escenario peligroso se identifican las funciones de seguridad.
 
Por ejemplo, para el escenario “Posible daño mecánico a las bombas de crudo P-51A/B producido por un evento de muy bajo nivel en el tanque TK-51” se hace necesario proteger las bombas P-51A/B; por lo que, se puede definir una función de seguridad de “Protección por muy bajo nivel bombas de crudo P-51A/B”. La misma puede ser implementada por una SIF que tenga el objetivo de detener la operación de la bomba P-51A o P-51B al detectarse muy bajo nivel en el tanque TK-01, a través del LZT-52, en un valor de tiempo determinado y que tenga asociado un SIL para cumplir con el factor de reducción de riesgo requerido.
 
Adicionalmente, el permisivo en este sistema puede ser representado por una función lógica que evite el arranque de las bombas cuando el interruptor de posición de cierre (ZZSL-52) de la válvula XV-52 se encuentre activo.
Cuando trabajamos en seguridad funcional, es importante conocer la diferencia entre estos términos así evitaremos errores que comprometerían el desarrollo del Ciclo de Vida de Seguridad del SIS; por ejemplo, una SIF definida incorrectamente implicaría una Especificaciones de los Requerimientos de Seguridad (SRS) débil, y este error se propagaría a toda la fase de Diseño e Ingeniería del SIS.
 
Responda las preguntas de comprobación aquí:
 

Relación entre Interlock, Función de Seguridad, SIF y Permisivos en Seguridad Funcional Leer más »

Las Especificaciones de los Requerimientos de Seguridad (SRS) y el Ciclo de Vida de Seguridad (CVS) del SIS

SRS / /

Figura 1. Ciclo de Vida de Seguridad
del SIS (IEC-61511-1:2016)

Como expliqué en la entrada anterior, la SRS es un documento que va más allá de garantizar el correcto funcionamiento de los equipos e instrumentos que conforman el SIS. Más que una especificación, lo describo como una Hoja de Datos de Seguridad de la SIF, debido a que contiene información detallada que aporta al diseño, construcción, instalación, operación y mantenimiento de cada SIF, y como influye en todas las fases restantes del CVS, deben ser actualizadas durante toda la vida útil del SIS (o el Ciclo de Vida de Seguridad).

 

Figura 2. Relación de las SRS, con las demás fases del CVS.

Las primeras fases del Ciclo de Vida de Seguridad del SIS son el punto de partida de las SRS. Durante la “Asignación de las Funciones de Seguridad a las Capas de Protección” se identifican todas la Funciones Instrumentadas de Seguridad (SIF) requeridas para los diferentes escenarios peligrosos, determinando su Nivel de Integridad de Seguridad (SIL) y el modo de operación (bajo demanda, alta demanda o modo continuo). Adicionalmente, esta fase aporta información necesaria para el desarrollo de las SRS, como la descripción de los escenarios peligrosos (eventos iniciadores, probabilidad de ocurrencia y consecuencias), estado seguro del proceso, peligros específicos que serán
evitados o suficientemente mitigados, entre otros.

Una vez desarrolladas, las SRS son la base para el Diseño e Ingeniería del SIS. Como bien sabemos, en todos los proyectos de ingeniería tradicional (ya sea básica, conceptual o detallada) se realizan especificaciones de todos los equipos, instrumentos y sistemas (SIS, BPCS, BMS, F&G); por lo tanto, surge la duda ¿Por qué necesito realizar una SRS?

Las especificaciones tradicionales normalmente se desarrollan soportadas en una receta prescriptiva de normativas y/o mejoras prácticas que se basan en identificar el tipo de instrumento o equipo, requisitos de construcción, requisitos generales de instalación (del equipo o instrumento en particular), entre otros; y las especificaciones del SIS normalmente son manejadas como una especificación general del controlador de seguridad. En muchos casos, se emplean filosofías de control que podrían describir cada uno de las funciones que debe realizar el SIS, a veces expresadas como “interlocks”; sin embargo, quedan muchos puntos sin contemplar y de ahí surgen las siguientes dudas ¿Qué peligros estamos evitando al realizar esa función o “interlock”?, ¿Realmente podemos garantizar la seguridad del proceso con las especificaciones “generales” del SIS? y para ser más exactos ¿Realmente podemos garantizar que las SIF son diseñadas en función de alcanzar el SIL requerido?

Al trabajar en seguridad funcional se requiere más que una serie de elementos que se desempeñen de manera adecuada, recordemos que estamos hablando de SIF que deben alcanzar y mantener una integridad determinada.

Si nos enfocamos en el diseño, las SRS aportan información detalla (tanto del hardware como del programa de aplicación), para que cada SIS y sus SIF puedan actuar de la manera correcta, con la configuración correcta, en el tiempo correcto, con el desempeño adecuado y con la integridad necesaria para que pueda alcanzar el SIL requerido. Además, establecen las bases para la verificación del SIL, como son el SIL requerido, arquitectura de votación de los subsistemas (elemento sensor, controlador, elemento final), intervalos de ensayos periódicos (Ti), tiempo de pruebas parciales, tiempo de uso de bypass, tiempo medio de reparación (MRT), entre otros.

Durante la Instalación y Recepción y Validación del SIS, la IEC 61511 establece que “se debe asegurar que las SIF se construyan, instalen y funcionen en concordancia con lo establecido en las SRS”. Para esto se realiza la Validación de Seguridad del SIS, la cual demuestra que la funcionalidad del SIS está conforme a lo establecido en las SRS, antes del arranque de la planta. En la validación se verifica contra las SRS: si se instaló el equipo correcto, si la SIF actúa de modo correcto, si se instaló y configuró la parada manual de manera adecuada, si se configuró el disparo de cada SIF de manera correcta (energizar o des-energizar para disparar), si el SIS actúa de la manera deseada ante una falla revelada, si se configuró el programa de aplicación de manera correcta, si se instalaron las fuentes de energía auxiliares adicionales, si se configuraron los bypass de manera correcta, etc.

Para la fase de Operación y Mantenimiento del SIS, las SRS establecen para cada SIF el intervalo de tiempo en que se deben realizar los ensayos periódicos, el tiempo para realizar las pruebas parciales de cada uno de los componentes, los requisitos para realizar pruebas a las SIF, los requisitos para el uso de bypass, los tiempos de reparación, los requisitos para el uso de la parada manual, acciones que deben realizar los operadores ante una falla del sistema, requisitos para el mantenimiento, requisitos para el arranque y re-arranque del SIS, etc.; los cuales son utilizados como referencia para que se mantenga de forma adecuada el SIL de cada SIF a lo largo de su vida útil y el SIS se opere y mantenga de manera que se no se degrade su integridad de seguridad.

Como vemos, la fase de Especificación de los Requerimientos de Seguridad (SRS) da como resultado la información de referencia más importante y primordial para las fases restantes del Ciclo de Vida de Seguridad (CVS). Ahora, una vez conocido el propósito de las SRS dentro del CVS, qué piensa Ud. sobre la pregunta inicial ¿Es necesario realizar unas SRS?

 Responda las preguntas de comprobación aquí:

Las Especificaciones de los Requerimientos de Seguridad (SRS) y el Ciclo de Vida de Seguridad (CVS) del SIS Leer más »

¿Se debe Considerar el Sistema de Detección de Fuego y Gas como una Función Instrumentada de Seguridad?

Sistemas de Seguridad con Requerimientos Especiales / /
Para responder esta pregunta es necesario definir el Sistema de Detección de Fuego y Gas (SDFyG). Un SDFyG es aquel diseñado e instalado para proteger contra los riesgos de fuga de gas (combustible, inflamable o tóxico) y fuego dentro de áreas monitoreadas; capaz de detectar el evento peligroso en su etapa incipiente, permitiendo tomar medidas inmediatas para su control y mitigación. La efectividad de este sistema, según el reporte técnico ISA TR84.00.07 y el Handbook de SFPE, se basa en tres (3) factores principales:
  • Cobertura de detección: Es la probabilidad que tiene el sistema de poder detectar el evento peligroso específico para el cual fue diseñado. Este factor es comúnmente descartado en las Funciones Instrumentadas de Seguridad (SIF), debido a que se da por sentado que el sensor tiene la capacidad de detectar la variable que está monitoreando (p.e. presión, temperatura, flujo, etc.), y solo fallaría en caso de problemas con la tubería de conexión, lo que usualmente es poco probable.
  • Disponibilidad de seguridad: Es la probabilidad de que el sistema actúe durante una demanda y está asociada al hardware. Se calcula de forma similar a la Probabilidad de Falla en Demanda Promedio (PFDavg) de una SIF, pudiendo utilizar las técnicas presentadas en el reporte técnico ISA TR84.00.02 considerando las tasas de falla aleatorias de los elementos sensores, controlador de lógica y los elementos finales; así como, las arquitecturas utilizadas para cada grupo de elementos, períodos de prueba, entre otros.
  • Efectividad de Mitigación: Es la probabilidad que tiene el sistema de reducir exitosamente las consecuencias del evento peligroso específico para el cual fue diseñado.
De conformidad con la norma IEC 61511: 2016, podemos decir que una SIF es aquella diseñada para alcanzar un Nivel de Integridad de Seguridad (SIL), con la intención de alcanzar y mantener un estado seguro para el proceso y trabajar en conjunto con otras capas de protección para la reducción de un riesgo específico.
En base a lo anterior, para que una Función de Seguridad (FS) del SDFyG pueda considerarse como una SIF, el mismo debe garantizar la detección del evento peligroso, alcanzar y mantener un estado seguro del proceso, estar definida para un riesgo en específico, tener asociado un SIL y, adicionalmente, debe poder definirse la Especificación de los Requisitos de Seguridad (SRS) (tiempo de respuesta, fallos de causa común, requisitos para las prioridades / las inhibiciones / los desvíos, entre otros); tal como lo establece la norma IEC 61511: 2016.
Los puntos que realmente marcan la diferencia entre una FS del SDFyG y una SIF están referidas a la capacidad de detección y la efectividad para reducir el riesgo, debido a que en el caso de un SDFyG existen muchos factores que afectan estas características; por lo que, generalmente es difícil garantizar que un SDFyG alcance y mantenga un estado seguro del proceso, así como generar una reducción de riesgo equivalente al menos de SIL 1 (10 – 100).
Entre los factores que afectan la posibilidad de que el evento peligroso se encuentre dentro del área de detección de un SDFyG, están:
  • Cambios en la dirección y velocidad del viento.
  • Puntos de ignición inesperados.
  • Objetos que desvíen el escape de material u obstaculicen el “campo de detección” del sensor.
  • Cantidad suficiente o insuficiente del material asociado a la fuga (tamaño de la nube o de la llama).
  • Inadecuado posicionamiento del sensor (distancia, altura, dirección e inclinación)
Algunos de los factores que influyen en la efectividad reducir el riesgo (o de la mitigación en este caso) son:
  • Falla del sistema automático de extinción de incendios.
  • Efectividad del método de extinción de incendios (polvo químico, agua, espuma, etc.).
  • Ocurrencia de un evento peligroso mayor al esperado.
  • Falla de la extinción manual de respaldo.
  • Afectación y vulnerabilidad del personal durante el combate del incendio.
  • Falla de la ventilación posterior a la extinción del incendio.
Para ilustrar lo antes dicho, presentamos un árbol de eventos con los factores que afectan el rendimiento de sistemas de detección de fuego y gas, considerando valores optimistas para la mayoría de los casos de detección, disponibilidad de seguridad y mitigación:
Tal y como se puede observar en el ejemplo, a pesar de usar equipos certificados y tener una disponibilidad de seguridad equivalente a SIL 2 (0,99 – 0,999), comúnmente obtenidos en el mercado, el factor de reducción de riesgos alcanzado por la FS del SDFyG es ligeramente mayor a 5, siendo menor que la banda inferior de SIL 1 (10 – 100). Este ejemplo refuerza lo antes dicho, es poco probable para la mayoría de los casos poder considerar las FS de los SDFyG como SIF, ya que es necesario que las mismas posean un nivel de desempeño elevado, el cual de acuerdo con los cálculos es una cobertura de detección y efectividad de mitigación superior a 0,90.
Sin embargo, existen excepciones en los cuales se podría considerar los SDFyG como SIFs, por ejemplo:
Una caseta de pintura, la cual impide la disipación de los gases inflamables y tóxicos, pudiendo alcanzar concentraciones potencialmente peligrosas dentro de la caseta. Una de las posibles acciones para proteger al personal contra este peligro, es tener un control de acceso, y alarma al detectarse altas concentraciones de gases inflamable y/o tóxicos. Es posible asumir que la cobertura de detección es cercana a 100% por encontrarse dentro de un área cerrada, y al realizar esta acción garantizaría que el personal no se vea afectado, siempre y cuando los dispositivos asociados al SDFyG funcionen de manera apropiada al momento de la demanda.
De forma general podemos decir que las funciones de seguridad asociadas a los SDFyG no deben ser consideradas como SIFs, salvo contadas excepciones, ya que los mismos no cumplen con todos los requisitos que exige la norma IEC 61511: 2016, siendo los más determinantes el no poder alcanzar y mantener el estado seguro del proceso; y la capacidad de detectar el evento peligroso específico para el cual se supone ha sido diseñado, lo que probablemente impedirá que alcance una reducción del riesgo en al menos un factor de 10 (SIL 1).
Se recomienda que los SDFyG tengan un Ciclo de Vida de Seguridad (CVS), dentro del cual el diseño sea realizado con un enfoque basado en desempeño. El usuario final debe garantizar que los mismos sean operados y mantenidos de forma que la reducción de riesgo que le ha sido asignada permanezca vigente durante toda su vida útil.

¿Se debe Considerar el Sistema de Detección de Fuego y Gas como una Función Instrumentada de Seguridad? Leer más »