gestión de alarmas en la planta de olefinas de tarragona

_________________________________________________________________________________________
GESTIÓN DE ALARMAS EN LA PLANTA DE OLEFINAS DE
TARRAGONA
Salvador Pérez Asturiano
REPSOL PETRÓLEO, Refinería de Tarragona
_________________________________________________________________________________________
ABSTRACT
En este artículo se presentan los trabajos
realizados para mejorar la gestión de alarmas en
el área de Pirólisis de la planta de Olefinas de
Tarragona. La unidad dispone de un sistema de
control distribuido TDC-3000 de Honeywell. Se
exponen los resultados obtenidos tras la
racionalización de las alarmas, los criterios
seguidos para realizarla y los programas para su
gestión dinámica.
1. INTRODUCCIÓN
A comienzos de 1997, en el área de Pirólisis de la
Planta de Olefinas, se procedió a la instalación de
un sistema de control distribuido TDC-3000 de
Honeywell. Anteriormente, el sistema era un panel
analógico SPEC-200 al que se añadió un programa
de control de procesos (SETCON). Las diferencias
entre estas dos configuraciones no son solamente
tecnológicas, sino que afectan en gran manera a la
forma en que el operador de panel visualiza la
situación de la unidad y actúa, especialmente en
situaciones de emergencia. Estas diferencias hacen
que la sensación ante un proyecto de este tipo, sea
la de que se pierden una serie de facilidades: el
poder comprobar, con una simple ojeada, el estado
de toda la unidad, saber que todas las alarmas
fundamentales
se
encuentran
directamente
cableadas a los paneles de alarmas, los registros en
papel de las variables más importantes, etc…
La consecuencia directa es que en el sistema de
control distribuido se configura una gran cantidad
de alarmas a fin de no perder ninguna información
sobre el proceso. De hecho, no solamente se tiende
a repetir las alarmas que ya existían en el sistema
anterior, sino que se añaden todas aquellas que
proporciona como novedad el sistema digital
(alarmas de desviación, de BADPV, etc…). Sin
embargo, una vez en servicio el nuevo sistema, se
comprueba que tantas alarmas, lejos de ayudar a
entender la situación de la planta y de mejorar la
Conferencia de la Sección Española de ISA 1999
seguridad de la instalación, provocan confusión en
situaciones de emergencia y una carga adicional de
trabajo durante la marcha normal.
2. DESCRIPCIÓN DEL PROBLEMA
Un sistema ideal de gestión de alarmas sería aquel
que cumpliera, por lo menos, con los puntos
siguientes:
•
•
•
•
•
los valores y prioridades de alarmas se adaptan
a la situación operatoria,
existe una sola indicación de alarma por cada
situación anómala,
absoluta priorización de las actuaciones a
tomar por el operador,
velocidad
de
aparición
de
alarmas
suficientemente baja, de forma que permita su
interpretación y actuación correspondiente
y una vez detectado el problema no aparecen
otras alarmas secundarias puesto que ya son
innecesarias.
Sin embargo, a la hora de configurar un sistema de
control distribuido tropezamos con la realidad de
las limitaciones de estos equipos y la de nuestra
capacidad para realizar la necesaria definición. De
esta forma, a cada uno de los puntos anteriores se
contraponen los siguientes:
•
•
•
•
•
sistema estático configurado únicamente para la
operación normal,
las alarmas se basan en mediciones simples de
variables de proceso,
limitación en el número de prioridades
disponibles,
en situaciones de emergencia es imposible
asumir toda la información recibida,
y, a menudo, la verdadera causa del problema
queda camuflada entre la cantidad de avisos en
el sumario de alarmas
Poco tiempo después de la puesta en marcha de la
unidad se constató que el impacto de estas
1
deficiencias afectaba negativamente a la solución de
los problemas operatorios e incluso, durante la
operación normal, requería una atención excesiva
por parte del operador.
modos de operación (normal, parado, decoking y
calentamiento/enfriamiento), y los cambios entre
ellos son frecuentes. Adicionalmente, algunos de
ellos pueden procesar diferentes alimentaciones.
De esta forma, se decidió comenzar con la
depuración de las alarmas y trabajar en la
implementación de aplicaciones de gestión
dinámica que mejoraran la situación y permitieran
acercase, tanto como fuera posible, a la situación
ideal descrita más arriba.
Tanto los cambios de modo de operación como los
de alimentaciones requieren recalibración de los
instrumentos de medida y por lo tanto de las
alarmas asociadas a las mismas. El principal
beneficio en este caso es la adaptación de los
valores y prioridades de alarmas a los diferentes
modos operatorios. En este apartado trabajó todo el
grupo en conjunto utilizando una mecánica similar
al estudio HAZOP’s.
3. METODOLOGÍA DEL PROYECTO
Inicialmente se constituyó un grupo de trabajo
multidisciplinar compuesto por los miembros
siguientes: jefe de unidad, operador jefe con
experiencia y dedicación exclusiva a esta función,
ingeniero de procesos e ingeniero de control.
El objetivo marcado por el grupo consistió en la
revisión sistemática, para todos los puntos de la
unidad, de, al menos:
•
•
•
•
•
valores y prioridades de alarmas en cada uno
de los modos de operación,
acción de los controladores ante fallo de la
medida,
otros parámetros de instrumentos (clamp, etc.),
claridad de las descripciones
y determinación de aquellas alarmas para las
que sería recomendable que el operador
pudiera modificar su valor de alarma durante la
operación normal
Una vez finalizada la fase de racionalización de las
alarmas, se comenzó con la elaboración de las
herramientas para su gestión dinámica.
4.- ÁREA DE PIRÓLISIS
Para comprender las soluciones adoptadas debemos
realizar una breve descripción del área de Pirólisis
desde el punto de vista de proceso.
En el área de pirólisis de una planta de etileno se
pueden distinguir dos zonas con características
operativas bien diferenciadas, lo que hace que
también las soluciones adoptadas sean diferentes.
Éstas zonas son, por una parte, los hornos de
craking, y por la otra, el resto de las unidades.
Hornos de craking: son 14 en total y aparte de
pequeñas diferencias, responden esencialmente a
los mismos criterios operativos. Tienen varios
Conferencia de la Sección Española de ISA 1999
La solución adoptada fue la realización de un
programa específico para cada horno que hace
todos los cambios necesarios.
Resto de unidades: realizan el primer
fraccionamiento, la compresión y el lavado del gas
de craking. Comprende también los sistemas
auxiliares: caldera de recuperación de calor y redes
de vapor, de fuel-gas, de vapor de proceso, etc... No
pueden ser paradas independientemente unas de
otras. Debido a que no hay cambios de modo de
operación, el principal trabajo es determinar las
alarmas para la operación normal, y determinar
cuáles de ellas deben estar activas cuando se pare la
unidad y durante el proceso de parada o arranque.
Este trabajo corrió a cargo del operador jefe, y
posteriormente se revisó por parte del jefe de
unidad y el ingeniero de procesos.
En este caso, se hizo un programa genérico, que en
caso de parada de la unidad, una vez debidamente
configurado, desactiva los puntos cuyas alarmas no
son necesarias.
Durante el análisis, se encontraron algunos casos en
los que era necesario o muy recomendable algún
tipo de gestión dinámica de las alarmas. En un
próximo apartado se describen todos ellos,
conjuntamente
con
los
ya
mencionados
anteriormente.
5. CRITERIOS
Aunque el estudio realizado cubría todos los
medidores implicados uno a uno, se pudieron
extraer unos criterios generales de configuración.
La ventaja de esta sistematización es que el
operador conoce el comportamiento del sistema en
caso de fallo de los instrumentos. Algunos de los
criterios que se consideraron aplicables fueron los
siguientes:
2
1.
La prioridad de la alarma se asigna
dependiendo del tamaño de la perturbación que
puede producir.
2.
Las alarmas de BADPV solamente se
configuran para aquellos instrumentos que
tengan alguna otra alarma asociada, y en ese
caso, la prioridad será igual que la más alta.
Este criterio ha hecho disminuir en gran medida
el número de alarmas del sistema.
3.
Todos los controladores de nivel se configuran
por defecto con opción de “Clamp”, lo que
significa que en caso de que el instrumento
salga de rango por cualquier motivo la válvula
sigue actuando en el sentido correcto
(comportamiento equivalente al sistema de
control analógico).
4.
En caso de disponer de un controlador y un
indicador sobre la misma medida, las alarmas
se configuran en el segundo.
5.
No se trata únicamente de eliminar las alarmas
que parezcan innecesarias, el objetivo principal
es ajustarlas de forma que mejoren la seguridad
de la instalación.
Alarmas configurables por el operador: como se
ha comentado anteriormente, hay una serie de
puntos, para los que se consideró necesario que el
operador pueda, durante la marcha normal y sin
necesidad de la llave del sistema, cambiar los
valores de alarma. Este programa permite hacerlo
desde un gráfico ad-hoc. Para cada uno de los
puntos se debe definir previamente el valor normal
de alarma y el rango de variación permitido. El
gráfico muestra todos los puntos permitidos e indica
cuales de ellos han sido modificados y la fecha y
hora en que se hizo.
Resumen de alarmas: se utiliza en aquellos casos
en que no es necesario disponer de una alarma por
cada medidor, sino que es suficiente con tener una
indicación de que alguno de ellos se encuentra en
esa condición. La ventaja es que se produce una
sola alarma en lugar de todas las individuales. La
aplicación típica serían los termopares para
detección de puntos calientes a lo largo del lecho de
un reactor. Algunas características de esta
aplicación son las siguientes:
•
6. PROGRAMAS
•
Se realizaron un total de cinco programas, todos
ellos en el entorno TDC-3000 (AM), que se pasan a
detallar:
•
Programas para hornos de craking: son
completamente específicos para cada uno de ellos.
•
Modifican los valores y prioridades de las alarmas
dependiendo tanto del estado del horno como de las
alimentaciones procesadas. La activación se realiza
por medio de una entrada manual del operador, la
misma que ya debía ser introducida anteriormente
para otra serie de utilidades (programas de
severidad y de cambios de rango de medidores).
Una posible mejora sería la activación automática
ante paro del horno por medio de una entrada
digital proveniente del sistema de enclavamientos.
Programas de cambio de alarmas para el resto
de unidades: se trata de un programa
completamente genérico que adapta las alarmas a
los posibles modos de operación de cada una de las
unidades. También se activan por medio de una
entrada del operador.
Conferencia de la Sección Española de ISA 1999
Es recomendable que los medidores afectados
tengan una función equivalente y que la
actuación del operador sea la misma
independientemente del punto o puntos que
activen la alarma.
Cada punto puede tener la alarma ajustada a un
valor diferente.
La prioridad de la alarma activada puede
cambiar dependiendo del número total de
puntos en alarma. De la misma forma, cambia
el mensaje al operador.
Una vez reconocida, la alarma desaparece del
sumario; y volvería a aparecer por uno de los
siguientes motivos: que debido a que hay más
puntos en alarma se active otra de más alta
prioridad o que pase un tiempo previamente
configurado y la situación no haya mejorado.
Deshabilitación temporizada de alarmas: Debido
a diferentes situaciones operatorias, en algunas
ocasiones el operador de panel se ve obligado a
deshabilitar temporalmente todas las alarmas de
algún punto (parámetro ALENBST a DISABLE).
Ejemplos de esto podrían ser calibraciones de
instrumentos, fallos de los mismos, etc. Una vez
solucionado el problema, el operador debe volver a
habilitar la alarma del punto. Este tipo de maniobra
está expuesto al posible olvido del operador con lo
que
la
alarma
quedaría
deshabilitada
indefinidamente hasta que alguien repare en ello.
Para evitarlo, se ha desarrollado esta aplicación,
que permite al operador deshabilitar las alarmas de
cualquier punto durante un periodo de tiempo
determinado, una vez transcurrido el cual, se realiza
3
la habilitación de forma automática sin enviar
ningún tipo de aviso a la estación de operación. La
interfaz con el operador es un esquemático de TDC3000 dedicado en exclusiva a este propósito, en el
que el debe introducirse el nombre del punto.
7. RESULTADOS
Aunque no se dispone de datos reales que permitan
comparar el número de alarmas en diferentes
situaciones operatorias antes y después de la
racionalización de las mismas y de la realización de
los programas descritos, se presentarán las
estadísticas que mejor puedan ilustrar los beneficios
alcanzados: en el caso de los hornos de craking, se
hará especial énfasis en la mejora debida a la
adaptación de las alarmas al modo de operación;
mientras que para el resto de unidades veremos el
cambio habido en el número total de alarmas de
cada prioridad configuradas.
70
Hay que destacar también que, en el caso de las
alarmas de emergencia, aunque mantienen la
prioridad, cuando el horno se para, cambian de
valor por motivo de seguridad, ya que ayudarían al
operador a detectar situaciones anormales. Un
ejemplo de esto podrían ser las presiones de fuelgas, que pasan de 3.5 kg/cm2 a 1 kg/cm2.
Una forma de ilustrar los resultados obtenidos
podría ser el hecho de que cuando para un horno, el
operador deja de recibir un total de 57 alarmas
innecesarias.
Esta actuación podría ser mejorada si la actuación
de la secuencia automática fuera activada
directamente desde el sistema de enclavamientos en
caso de una actuación del mismo.
Resto de unidades: Debido a que en estas unidades
no tienen más modo de operación que en marcha o
paradas, se ofrecen los resultados en términos del
número de alarmas de cada prioridad configuradas
antes y después de la racionalización llevada a
cabo.
60
50
40
30
20
10
0
Antes
Norm
Baja
Decok Cal/enf Parado
Alta
Emergencia
Fig. 1. Número de alarmas por estado del horno
Hornos de craking: En la Fig. 1 se muestra el
número de alarmas configuradas, distribuidas por
prioridad, en cada uno de los modos de operación
para un horno de nafta y LPG. En la primera
columna se ha representado el número de alarmas
anterior a la racionalización, y que era aplicable a
todos los estados posibles del horno.
400
350
300
250
200
150
100
50
0
Antes
Baja
En marcha
Alta
Parada
Emergencia
En esta fase se revisaron un total de 601 puntos, y
en las Fig. 2 y 3 se muestran los resultados,
expresados en número absoluto y en porcentaje
respecto del total respectivamente.
Fig. 2 Resultado de la racionalización de alarmas en
número absoluto de ellas.
Se puede observar que hay grandes diferencias en el
número de alarmas necesarias en cada estado.
Conferencia de la Sección Española de ISA 1999
4
100%
90%
80%
70%
60%
50%
40%
30%
20%
10%
0%
La primera fase de este proyecto consistía en la
evaluación de la situación inicial mediante la
obtención de estadísticas de funcionamiento. El
estudio se llevó a cabo en todas las unidades de
proceso.
Antes
Baja
En
marcha
Alta
Parada
En este apartado se muestra el resultado obtenido en
el área de Pirólisis en comparación con algunas
unidades del complejo industrial de Tarragona, en
ninguna de las cuales se ha realizado la revisión
sistemática de alarmas. Se han elegido como
ejemplos las plantas más similares tanto en tamaño
como desde el punto de vista de proceso.
Emergencia
Fig. 3 Resultado de la racionalización de alarmas en
tanto por ciento del total.
El hecho más destacable es la disminución del
número total de alarmas, especialmente de las de
baja prioridad y el incremento de las de alta. El
motivo de que las de emergencia se mantengan
puede ser debido a que al afectar en mayor grado a
la seguridad de la instalación, su necesidad es más
conocida
y ya fueron configuradas con esa
prioridad desde un principio.
8. COMPARACIÓN CON OTRAS UNIDADES
Simultáneamente al desarrollo de estos trabajos, se
decidió en Repsol Petróleo la aprobación de un
proyecto encaminado a mejorar la gestión de
Número de alarmas medio
por turno
Este gráfico muestra claramente la mejor situación
del área de pirólisis respecto del resto de unidades
en cuanto al número de alarmas que aparecen en el
sistema. Sin embargo, lo más importante es que ese
menor número de alarmas es suficiente para que el
operador disponga de toda la información necesaria
para actuar correctamente.
Hay un hecho que aunque no se ve en el gráfico
adjunto es digno de ser destacado. En una de las
áreas sometidas al estudio se observó una inversión,
de forma que son más habituales las alarmas de alta
prioridad que las de baja. La explicación que se da
a este hecho es la mecánica para realizar los
cambios de prioridad: aunque la situación inicial
debía ser la contraria, tras el estudio de los
incidentes operatorios la conclusión habitual es
incrementar la prioridad de algunas alarmas de
forma que con el tiempo la situación degenera hasta
llegar a la configuración actual. Este hecho refuerza
la idea de que es conveniente realizar estudios
sistemáticos de las unidades en vez de adoptar
medidas parciales.
9. CONCLUSIONES
80
60
40
20
0
Pirólisis
Comb 1
Alta
Comb 2
Emergencia
alarmas en todas las unidades de la empresa.
Fig. 4 Comparación del área de Pirólisis (P) con el
resto de áreas.
Conferencia de la Sección Española de ISA 1999
La solución de cualquier incidencia operatoria
depende en gran medida de la rapidez con el que el
operador identifique la causa primera que la ha
provocado. Por lo tanto, toda mejora en el sistema
de alarmas redunda en una mayor seguridad de la
instalación. De hecho, este es el objetivo
perseguido, y no la mera reducción del número de
alarmas configuradas.
Los resultados ponen de manifiesto la situación
ventajosa del área en que se ha realizado la
racionalización respecto de aquellas que no se han
sometido todavía al estudio.
5
El método de trabajo más efectivo es la formación
de un grupo multidisciplinar que realice un análisis
sistemático.
La aplicación de sistemas de gestión dinámica debe
considerarse dependiendo de la cantidad de modos
de operación que tenga la unidad, de lo diferentes
que sean a efectos de alarmas y de la frecuencia de
los cambios entre ellos.
Se recomienda elaborar un documento que refleje la
filosofía del sistema de gestión de alarmas y los
criterios que deben seguirse para su configuración.
Es importante fijar un procedimiento de
modificación de los valores y prioridades de
alarmas y de mantenimiento de la documentación
generada, de forma que se evite una degeneración
del sistema después de finalizado el proyecto.
La documentación mencionada debería incluir los
motivos que han conducido a fijar las alarmas, por
lo menos en aquellas en que por la complejidad de
los motivos sea aconsejable.
Conferencia de la Sección Española de ISA 1999
6