David Bravo Segovia AUTOMATIZACIÓN DEL PROCESO …deeea.urv.cat/public/PROPOSTES/pub/pdf/2249trib.pdf · Los tipos de reactores químicos se clasifican según: Modo de operación

David Bravo Segovia

AUTOMATIZACIÓN DEL PROCESO DE REGENERACIÓN DE UN REACTOR QUÍMICO

TRABAJO FINAL DE MÁSTER

dirigido por el Prof. Alfonso Romero Nevado

Máster en Ingeniería Electrónica

Tarragona

2015

URV – AUTOMATIZACIÓN DEL PROCESO DE REGENERACIÓN DE UN REACTOR QUÍMICO 2/173

Esta página se ha dejado en blanco intencionadamente


TABLA DE CONTENIDOSIntroducción .................................................................................................................. 8

Estructura del proyecto ................................................................................................. 9

1. Descripción del proceso a automatizar....................................................................... 9

Reactor químico .................................................................................................. 10

Proceso de regeneración de un reactor químico industrial .................................... 13

Objetivo de la automatización ............................................................................. 16

2. Nomenclaturas y definiciones.................................................................................. 17

Definición de la instrumentación asociada al proceso .............................................. 17

Temporizadores ................................................................................................... 17

Botoneras software, permisos de operador (SBtn) ............................................... 17

Botoneras de campo o setas de emergencia (HS) ................................................. 18

Válvulas automáticas (ABV) y válvulas automáticas de seguridad (EBV) ........... 18

Confirmación de válvula abierta y cerrada (ZSC, ZSO) ....................................... 19

Discrepancia DIDO ............................................................................................. 19

Activación de relés y estado de relés (XY, XA, XS) ............................................ 20

Transmisores de variables de proceso analógicos (PT, TT, FT…) ........................ 21

Transmisores de variables de proceso discretos (PSH, PSL, LSL…).................... 22

Actuadores y válvulas de control (CV) ................................................................ 22

Compresor de Regeneración ................................................................................ 23

Convención de programación .................................................................................. 26

Secuencias........................................................................................................... 26

Nombres de instrumentos, válvulas y motores ..................................................... 27

Eventos y alarmas ............................................................................................... 29

Arquitecturas de disparo, enclavamiento o alarma ............................................... 29

Instrumento fuera de servicio .............................................................................. 30

Jerarquía operacional ........................................................................................... 31

Deshabilitación de disparos de seguridad LOPA .................................................. 32


Comunicación entre aplicaciones (MMS) ............................................................ 32

Interacción entre SIS y BPCS .............................................................................. 33

Disparo BPCS en LOPA ..................................................................................... 34

Alarma instrumento SIS fuera de servicio ............................................................ 34

Actuadores y motores SIS ................................................................................... 35

3. Implementación y desarrollo ................................................................................... 38

Definición de equipos asociados al sistema ............................................................. 38

Lazos de control de proceso ................................................................................ 43

Definición de la estrategia de control de proceso ..................................................... 48

Secuencias de proceso ......................................................................................... 48

Análisis LOPA particular del proceso ...................................................................... 58

Lazos de Seguridad instrumentada SIS .................................................................... 64

4. Estudio de recursos materiales y humanos ............................................................... 67

Recursos materiales ................................................................................................. 67

Recursos humanos................................................................................................... 72

5. Programación del proceso ....................................................................................... 76

6. Entrenamiento operacional ...................................................................................... 80

Formación a Operadores y responsables de planta ................................................... 80

Formación a equipos de mantenimiento ................................................................... 81

Comisionado, puesta en marcha y entrega de proyecto ............................................ 83

Anexo A: Análisis y evaluación de escenarios de seguridad ........................................ 85

Anexo B: Diseño del sistema de control .................................................................... 120

Anexo C: Estructura de código en el sistema 800xA Industrial IT ............................. 147

Anexo D: Listado y mapeado de señales de E/S ........................................................ 168

Bibliografía ............................................................................................................... 173


ILUSTRACIONESIlustración 1 Esquema del reactor a regenerar ...................................................................................... 12

Ilustración 2 Esquema del sistema de regeneración ............................................................................... 15

Ilustración 3 Diagrama de gas de sello del compresor ........................................................................... 24

Ilustración 4 Diagrama de vibraciones y temperaturas de cojinete del compresor .................................. 25

Ilustración 5 Diagrama de funciones secuencial..................................................................................... 27

Ilustración 6 Convención de programación de instrumentación SIS compartida ..................................... 35

Ilustración 7 Convención para elementos finales SIS comandados desde BPCS ....................................... 36

Ilustración 8 Diagrama del circuito de regeneración .............................................................................. 39

Ilustración 9 Detalle del lazo de control de temperatura ........................................................................ 44

Ilustración 10 Detalle del lazo de control de presión .............................................................................. 45

Ilustración 11 Detalle del lazo de control de aire.................................................................................... 46

Ilustración 12 Detalle del lazo de control de Hidrógeno ......................................................................... 47

Ilustración 13 Detalle del lazo de control de Hidrógeno ......................................................................... 57

Ilustración 14 Detalle de lazos de seguridad SIS ..................................................................................... 67

Ilustración 15 Gráfico general de proceso .............................................................................................. 78

Ilustración 16 Gráfico general deposito decantador............................................................................... 79

Ilustración 17 Gráfico general compresor de regeneración .................................................................... 80

Ilustración 18 Capas de Protección de un proceso.................................................................................. 91

Ilustración 19 Riesgo tolerable y ALARP ................................................................................................. 94

Ilustración 20 Lazos de seguridad seriados ............................................................................................ 98

Ilustración 21 Lazos de seguridad en paralelo........................................................................................ 99

Ilustración 22 Probabilidad de fallo vs. Tiempo operación .................................................................... 101

Ilustración 23 PFD vs. Test interval ...................................................................................................... 102

Ilustración 24 Disparo BPCS + SIS ........................................................................................................ 118

Ilustración 25 Disparo BPCS ................................................................................................................ 118

Ilustración 26 Arquitectura de la plataforma de control....................................................................... 120

Ilustración 27 Comunicación entre controladores y módulos E/S .......................................................... 122

Ilustración 28 Comunicación entre controladores y módulos E/S .......................................................... 124

Ilustración 29 Distribución en armario de control ................................................................................ 124

Ilustración 30 Conexión del cable RCU ................................................................................................. 125

Ilustración 31 Conexión Optical ModuleBus ......................................................................................... 126

Ilustración 32 Conexión de clústeres .................................................................................................... 127

Ilustración 33 Panel ProfiBus con selección de direcciones ................................................................... 128

Ilustración 34 Panel ProfiBus, conexión de cableado ............................................................................ 128

Ilustración 35 Distribución cableado ProfiBus ...................................................................................... 129

Ilustración 36 Esquema del SS823 ....................................................................................................... 130

Ilustración 37 Arquitectura de alimentaciones sobre los módulos de hardware .................................... 130


Ilustración 38 Arquitecturas de alimentación de módulos .................................................................... 131

Ilustración 39 Convención de alimentación de PM865 redundante ...................................................... 132

Ilustración 40 Convención de direcciones IP para la red de control ....................................................... 135

Ilustración 41 Convención de direcciones IP para la red de cliente/servidor y control ........................... 136

Ilustración 42 Conexionados típicos sobre módulos de señales analógicas de entrada ......................... 138

Ilustración 43 Convención de conexión de instrumentos pasivos .......................................................... 138

Ilustración 44 Convención de conexión de instrumentos activos........................................................... 138

Ilustración 45 Conexionados típicos sobre módulos de señales digitales de entrada ............................. 140

Ilustración 46 Convención de conexión de señales digitales de entrada ................................................ 140

Ilustración 47 Conexionados típicos sobre módulos de señales digitales de salida ................................ 143

Ilustración 48 Convención de conexión de señales digitales de salida ................................................... 143

Ilustración 49 Conexionados típicos sobre módulos de señales analógicas de salida............................. 145

Ilustración 50 Estructura de código ..................................................................................................... 148

Ilustración 51 Enlace de lectura desde campo al código de control ...................................................... 154

Ilustración 52 Enlace de escritura desde el código de control a campo ................................................. 155

Ilustración 53 Funcionamiento del objeto de lectura de una variable de proceso .................................. 157

Ilustración 54 Funcionamiento del objeto de escritura de una variable de proceso ............................... 158

Ilustración 55 Creación de un canal de comunicación MMS ................................................................. 159

Ilustración 56 Publicación de una variable en MMS ............................................................................. 160

Ilustración 57 Lectura de una variable en MMS ................................................................................... 160

Ilustración 58 Comunicación de una variable en MMS ......................................................................... 162

Ilustración 59 Comunicación entre aplicación de simulación y control a través del Hardware ............... 165

Ilustración 60 Interactuación entre variables simuladas y el hardware ................................................. 166

Ilustración 61 Funcionamiento de un objeto de simulación .................................................................. 167


TABLASTabla 1 Tiempos de regeneración .......................................................................................................... 38

Tabla 2 Equipos del sistema de regeneración ........................................................................................ 42

Tabla 3 Lazos de control de regeneración .............................................................................................. 48

Tabla 4 Pasos de la secuencia de regeneración ...................................................................................... 56

Tabla 5 Tabla 1 Análisis LOPA Proceso de regeneración ......................................................................... 59



Tabla 8 Tabla 1 Análisis LOPA Compresor de regeneración .................................................................... 62

Tabla 9 Tabla 2 Análisis LOPA Compresor de regeneración .................................................................... 63

Tabla 10 Detalle lazo instrumentado SIS 60001 ..................................................................................... 64



Tabla 13 Número de señales de E/S en controlador A (PM866) .............................................................. 68

Tabla 14 Número de señales de E/S en controlador R (PM865) .............................................................. 68

Tabla 15 Listado de materiales para zona 2 .......................................................................................... 70

Tabla 16 Listado de armarios para Zona 2 ............................................................................................. 71

Tabla 17 Listado de armarios para Zona 3 ............................................................................................. 71

Tabla 18 Lista de programas necesarios para zona 3 ............................................................................. 72

Tabla 19 Valor medio de tiempo dedicado al proyecto por señal de E/S ................................................. 74

Tabla 20 Niveles de SIL........................................................................................................................ 100

Tabla 21 Arquitecturas de disparos ..................................................................................................... 106

Tabla 22 Requerimientos para Elementos Finales ................................................................................ 108

Tabla 23 Requerimientos para Elementos Sensores ............................................................................. 109

Tabla 24 Factor de riesgo por producto químico .................................................................................. 116

Tabla 25 Factor por Evento Iniciador ................................................................................................... 117

Tabla 26 Probabilidad de Exposición ................................................................................................... 117

Tabla 27 Factor de Probabilidad de Ignición ........................................................................................ 117

Tabla 28 Clases de direcciones IP ........................................................................................................ 134

Tabla 29 Tamaño de telegramas MMS ................................................................................................ 163

Tabla 30 Listado general señales de E/S .............................................................................................. 170

Tabla 31 Distribución de señales de E/S en Controlador A .................................................................... 171

Tabla 32 Distribución de señales de E/S en Controlador R .................................................................... 172


Introducción

El proyecto presentado en este documento pretende ser una guía para la automatización

del proceso de regeneración de cualquier reactor químico, en este caso concretando

sobre un reactor de hidrocarburos ampliamente utilizado en la industria actual.

En primer lugar, analiza el proceso de regeneración de un reactor de este tipo, dando a

conocer los aspectos físico-químicos más importantes, principalmente los aspectos

automatizables del proceso y las variables físicas que son necesarias medir y controlar.

Se propone también una convención de programación, que no será más que una guía

básica a la hora de realizar el programa de control, para optimizar su rendimiento y

minimizar los fallos del sistema de control.

Como complemento y a la vez base de cualquier estudio de automatización, se analizan

los riesgos de seguridad del proceso mediante herramientas de análisis y protecciones a

tener en cuenta para evitarlos mediante lazos de seguridad instrumentados.

Utilizando estas normas, se desarrolla el programa de control y los lazos de seguridad

junto a la definición, diseño e implementación de la instrumentación asociada para el

control del proceso, teniendo en cuenta los recursos materiales y humanos asociados al

proyecto, basándose en la plataforma de control distribuido ABB Industrial IT 800xA de

la empresa Asea Brown Boveri S.A.

Por último, describe brevemente el comisionado y puesta en marcha del sistema

desarrollado, validación de lazos de seguridad y entrega de la instalación al cliente final.


Estructura del proyecto

El siguiente diagrama muestra la estructura y desarrollo del presente proyecto.

Cada una de las tareas especificadas será imprescindible para completar el proyecto en

su totalidad.

INTRODUCCIÓN

DESCRIPCIÓN DE PROCESO

ESTUDIO DE SEGURIDAD DEL PROCESO

DEFINICIÓN DE LA INSTRUMENTACIÓN

DEFINICIÓN DE LA ESTRATEGIA DE CONTROL

ESTUDIO DE RECURSOS MATERIALES Y HUMANOS

PROGRAMACIÓN

SIMULACIÓN Y VALIDACIÓN

ENTRENAMIENTO OPERACIONAL

COMISIONADO Y PUESTA EN MARCHA


1. Descripción del proceso a automatizarDefiniciones previas

Reactorquímico

Un reactor químico es un equipo tipo depósito en cuyo interior tiene lugar una reacción

química, estando éste diseñado para maximizar la conversión y selectividad de la misma

con el menor coste posible. Si la reacción química es catalizada por una enzima

purificada o por el organismo que la contiene, se habla de birreactor. El diseño de un

reactor químico requiere conocimientos de termodinámica, cinética química,

transferencia de masa y energía, así como de mecánica de fluidos, balances de materia y

energía que son necesarios y que no se tratarán en el presente proyecto. Por lo general se

busca conocer el tamaño y tipo de reactor, así como el método de operación. En base a

los parámetros de diseño se espera poder predecir con cierta certidumbre la conducta de

un reactor ante ciertas condiciones, por ejemplo un salto en escalón en la composición

de entrada.

Los tipos de reactores químicos se clasifican según:

Modo de operación

· Discontinuos: son aquellos que trabajan por cargas o “batches”, es decir, se

introduce una alimentación o carga y se espera un tiempo dado determinado por

la cinética de la reacción, tras el cual se saca el producto final.

· Continuos: reactores que trabajan de forma continua, no por “batches”.

Tipo de flujo interno

· Ideales: se describen con ecuaciones lineales sencillas y no contemplan efectos

físicos complejos o perturbaciones. Son los modelos ideales.

· No ideales: consideran el patrón de flujo, la existencia de zonas muertas dentro

del reactor donde el material no circula, además consideran una dinámica de

fluidos más compleja, suelen describirse conociendo la cinética de las

reacciones, la RTD del flujo, el tipo de mezclado pudiendo ser este tardío o


inmediato, y conociendo si el tipo de fluido es micro o macro fluido. Son los

reactores reales.

Fases que albergan

· Homogéneos: tienen una única fase, liquida o gas.

· Heterogéneos: tienen varias fases, gas-solido, liquido-solido, gas-liquido, gas-

liquido-solido.

El presente proyecto aborda la regeneración de un reactor de hidrogenación catalítica de

operación continua utilizado para la obtención de 1-buteno (1BE) de alta pureza,

mediante la hidrogenación selectiva de 1,3-butadieno (BD) y compuestos acetilénicos

sobre catalizadores de Pd/Al2O3. Se trata pues de un reactor catalítico de lecho fijo con

la mezcla de hidrocarburos e H2 fluyendo en flujo ascendente. Las temperaturas de

operación van desde valores ambientes hasta alrededor de 50-60 ºC. Las presiones son

lo suficientemente altas como para mantener los hidrocarburos en fase líquida. Después

de la purificación catalítica de esta corriente el contenido de diolefinas y compuestos

acetilénicos no debe superar las 10 ppm. Estas especificaciones deben lograrse con

mínimas pérdidas de 1BE. En la ilustración 1 se observa un diagrama del circuito

básico de proceso del reactor químico a regenerar.

Ilustración 1 Esquema del reactor a regenerar

Procesoderegeneracióndeunreactorquímicoindustrial

Durante la operación de hidrogenado, el rendimiento del catalizador utilizado disminuye

por lo que se debe regenerar para recuperar la producción completa. Este catalizador tiene

ciertos ciclos de regeneración posibles, después de los cuales debe ser reemplazado. Para

regenerar el catalizador se utiliza el sistema de regeneración del reactor.

La regeneración del catalizador consiste en quemar hidrocarburos pesados utilizando aire

para oxidar el subproducto adherido a la superficie del catalizador y la posterior reducción

del catalizador con hidrógeno para reactivar la superficie activa del mismo.

El sistema de regeneración es un sistema de ciclo cerrado. El medio de regeneración es

nitrógeno caliente. Dependiendo del paso de secuencia exacto de la regeneración, el

nitrógeno también contendrá pequeñas cantidades de aire o hidrógeno, que harán que las

moléculas de hidrocarburo adheridas al catalizador combustionen y desaparezcan, dejando

limpio el catalizador para ser utilizado de nuevo.

La regeneración se realiza circulando a contracorriente una cantidad más o menos

constante de gas de regeneración (10000 kg/h), normalmente nitrógeno a una presión de 10

kg/cm2. Esto se realiza a través de un compresor. Varios intercambiadores de calor y

calentadores proporcionan el calor necesario para conseguir la temperatura del gas de

regeneración adecuada o para enfriarlo después de que se haya finalizado la regeneración.

Las operaciones que se realizan durante el proceso de regeneración son las siguientes:

· “STRIPPING”

Se realiza recirculando nitrógeno caliente a través del reactor y arrastrando los

hidrocarburos que se desprenden más fácilmente del catalizador.

· OXIDACIÓN

El objetivo de esta operación es la combustión de los hidrocarburos que queden en

el catalizador. Para ello se recircula nitrógeno y aire caliente con hasta un 3 % de

oxígeno a través del reactor.


· REDUCCIÓN

Esta operación se realiza para reactivar los catalizadores. Se hace mediante la

recirculación de nitrógeno caliente con un % bajo de hidrógeno.

Los componentes más pesados se condensan en un enfriador de aire o ventilador y se

separan en un depósito separador.

El líquido sobrante se envía normalmente desde este depósito al depósito de recogida de

líquidos residuales de la regeneración.

Los líquidos almacenados en este depósito residual se envían a una estación de carga de

cisternas para poder eliminarlos posteriormente en un incinerador externo.

Los componentes más ligeros de la regeneración se purgan al sistema de gas de venteo para

quemarlos en la caldera o la antorcha de la planta principal, dependiendo del paso de

secuencia de la regeneración y de la situación de la caldera (si está o no en marcha).

En la ilustración 2 se observa un esquema básico del proceso de regeneración del reactor.

Ilustración 2 Esquema del sistema de regeneración

Reactor en

regeneración

Sub-área 2

Sistema de

Regeneración

Sub área 4

Impurezas del

líquido deGas de

regeneración a los

reactores

Gas de regeneración

desde reactores

D-23

Off-gas a

Sistema de fuel

Impurezas

De

Líquido

Fuel Oil

a

Sistema de Fuel

Off-Gas

a

Sistema de Fuel

Entrada

N2

Entrada

Aire

Entrada

H2

Impurezas a

estación

Carga/Descarga

URV – AUTOMATIZACIÓN DEL PROCESO DE REGENERACIÓN DE UN REACTOR QUIMICO

16/173

Objetivodelaautomatización

El proceso de regeneración de un reactor de este tipo es en cierta media manual, es decir,

requiere en gran parte de la atención e intervención del operador de planta para el arranque

del proceso y cambios entre operaciones que llamaremos pasos de secuencia de la

regeneración o “Steps”.

Los principales objetivos de la automatización de este proceso son:

· Mantener las temperaturas del reactor dentro de los rangos y limites en cada uno de

los pasos del proceso, evitando que alcancen valores que puedan dañar el reactor o

incluso incurrir en un incidente de proceso o seguridad de la planta.

· Controlar las temperaturas de reacción mediante controles de caudal de H2, O2 y

aire, consiguiendo que el catalizador se regenere de forma adecuada sin llegar a ser

dañado por exceso de temperatura o por cambios muy rápidos de las mismas.

· Reducir al máximo el tiempo del proceso de regeneración del reactor, puesto que un

reactor está pensado para producir un producto y mientras se regenera no estamos

rentabilizándolo.

· Facilitar y mejorar las maniobras del personal de operaciones, automatizando

aquellas operaciones más delicadas y peligrosas debido a la complejidad o la

situación de los elementos a utilizar.


2. Nomenclaturas y definicionesEn este apartado se definen diferentes objetos y controles utilizados en el proyecto tanto a

nivel de instrumentación como de sistema de control.

Definicióndelainstrumentaciónasociadaalproceso

Temporizadores

El temporizador será un objeto de código que permitirá retardar una determinada orden o

evento durante un tiempo establecido, devolviendo un valor de tipo lógico. Existen

diferentes tipos de temporizadores:

Temporizado a la activación (TON). Efectúa unretardo sobre su salida (Q) con respecto a su entrada(In) durante time segundos ante flanco positivo de laentrada. En caso de detección de flanco negativo desu entrada antes de time segundos, se anula elretardo. Se expresa introduciendo la condición deactivación y el retardo entre paréntesis. [TON(In,time)].

Temporizado a la desactivación (TOF). Efectúa unretardo sobre su salida (Q) con respecto a su entrada(In) durante time segundos ante flanco negativo de laentrada. El tiempo que mantiene su salida es un ciclode programa (ciclo de scan). Se expresaintroduciendo la condición de activación y el retardoentre paréntesis. [TOF(In, time)].

Temporizado pulsante (TP). Efectúa un pulso detime segundos ante detección de flanco positivo desu entrada (In). Este tipo de temporizado no reseteasu contador interno si el estado de la entrada cambiadentro del intervalo de tiempo establecido. Seexpresa introduciendo la condición de activación y elretardo entre paréntesis. [TP(In, time)].

Botonerassoftware,permisosdeoperador(SBtn)

Las botoneras implementadas por software serán accesibles desde la estación de trabajo

(OS). Serán permisos del operador para que el proceso o secuencia continúe o realice una

acción determinada.

In

ET

Q

time

In

ET

Q

time

In

ET

Q

time

In

ET

Q

time

In

ET

Q

timetime

In

ET

Q

timetime


El valor de salida de una botonera será de tipo lógico, es decir, podrá optar el valor falso o

cierto según se ordene.

Pueden ser habilitadas o inhabilitadas para operar de forma condicional. Cuando no pueda

ser operada (inhabilitado), el valor de salida será falso.

Existirán dos tipos de botoneras:

· Interruptor: Quedará fijado un valor de forma constante hasta que se solicite elcambio desde la ventana interfaz de acceso.

· Pulsador: El valor del pulsador hará cambiar el estado de la botonera durante unciclo de programa cuando se ordene desde la ventana de interfaz de acceso.Siempre seguirá la siguiente secuencia: falso, cierto, falso.

La representación en el sistema de control será similar a la esta figura:

Botonerasdecampoosetasdeemergencia(HS)

La botoneras de campo serán señales lógicas que adoptarán el valor falso o cierto

dependiendo del valor de tensión que encuentre la entrada en el módulo de E/S. Por

convención global del cliente, se establecen dos estados de tensión: 24 VDC – 0 VDC.

Las señales relacionadas con la seguridad de la instalación o las personas, irán con lógica

negada para detectar una anomalía por corte de cable y llevar a una posición de seguridad

los elementos finales relacionados.

La representación en el sistema de control será similar a la esta figura:

Válvulasautomáticas(ABV)yválvulasautomáticasdeseguridad(EBV)

La alimentación del actuador de la válvula desde el sistema de control se determinará en

dos niveles de tensión:

24 VDC – 0 VDC.

De forma general, todas las válvulas de seguridad serán válvulas de aislamiento y por

tanto, normalmente se diseñarán con la posición de seguridad a fallo cierre (FC: “Fail

Closed”). Existen también ciertas válvulas que por diseño de proceso interesa que sean

fallo abierto (FO: “Fail Open”).


Por convención del cliente, en la planta de regeneración todas las válvulas de seguridad

(EBV) tendrán vinculadas una botonera de campo y una botonera por software accesible

desde OS para llevarlas a su posición de seguridad.

Este tipo de válvulas lleva asociada una lógica de activación consistente en una serie de

condiciones de apertura anidadas que harán abrir la ABV cuando la lógica sea cierta o la

mantendrán cerrada si alguna de las condiciones no se cumple.

La representación en el sistema de control será similar a estas figuras:

Para las válvulas de seguridad con botonera de seguridad la representación será similar a

esta figura:

Confirmacióndeválvulaabiertaycerrada(ZSC,ZSO)

Para conocer el estado de las válvulas del proceso, es necesario instrumentar las válvulas

mediante los llamados finales de carrera. Los englobaremos en dos tipos: confirmación de

válvula abierta (ZSO) y confirmación de válvula cerrada (ZSC). La variable será de tipo

lógica y siempre se definirá de la siguiente forma: con interruptor cerrado, llegará tensión

de 24 VDC en bornes de la tarjeta E/S del sistema de control e indicará con cierto que la

válvula se encuentra abierta (si es ZSO) o cerrada (si es ZSC); con interruptor abierto,

llegará 0 VDC al sistema de control para indicar con falso que la válvula no se encuentra

abierta (si es ZSO) ó no se encuentra cerrada (si es ZSC).

En el sistema de control se representará por convenio en color gris la válvula cerrada y

color verde la válvula abierta, independientemente de si la válvula automática es fallo abre

o fallo cierra.

DiscrepanciaDIDO

Todas las válvulas instrumentadas tendrán una alarma vinculada para conocer si la válvula

está en buen estado o no: será la alarma de discrepancias DIDO. El uso de sufijo “DIDO”


viene dado por el uso coloquial que hace referencia a entradas discretas (DI – Digital

Input) y a salidas discretas (DO – Digital Output). Una válvula se definirá en estado

correcto cuando se cumpla cualquiera de las siguientes condiciones:

- Orden de apertura y confirmación de válvula abierta (ZSO = cierto y/o ZSC =falso)

- Orden de cierre y confirmación de válvula cerrada (ZSC = cierto y/o ZSO = falso)

Normalmente, todas la válvulas definidas a fallo cierre (FC) deberán contener una

confirmación de válvula cerrada (ZSC). Las válvulas definidas a fallo abre (FO) deberán

contener una confirmación de válvula abierta. En el caso de válvulas definidas a fallo

último estado (FL), siempre contendrán confirmaciones de abierta y cerrada.

Cuando el estado de la válvula sea una variable crítica para el proceso, se podrá disponer

de dos confirmaciones de estado para asegurar que la válvula no se encuentra a media

apertura.

Para que no aparezca la alarma de discrepancias DIDO durante la apertura o cierre, deberá

existir un temporizado de activación de la alarma dependiendo del tamaño de la válvula y

de las características del actuador eléctrico-neumático.

La misma filosofía se utilizará para conocer el estado de los motores de planta.

Activaciónderelésyestadoderelés(XY,XA,XS)

La activación de relés gestionado desde el sistema de control permite el arranque y paro de

equipos, dispositivos, sirenas de emergencia, solenoides, etc.

Cuando una señal tenga que ver con la activación de relés que gestionen avisos sonoros o

visuales de alarmas, sistemas externos dedicados a anunciar anomalías o situaciones de

emergencia, etc. desde el sistema de control, se hará uso de señales de salida discreta de 0

VDC – 24 VDC (XA).

En el caso de señales que gestionan relés para la activación de motores de bombas y

válvulas o solenoides de corte, se hará uso del mismo tipo de señal (XY).

Para conocer el estado de un equipo vía relé, se hace uso de señales discretas (0 VDC – 24

VDC) de entrada al sistema de control (XS).

En algunos casos, se hace necesario comunicar señales entre diferentes controladores de la

misma o diferente plataforma de control, siendo uno el emisario y otro el destinatario de

esa información. El uso de relés en esos casos es común. En el caso del control de motores,

en planta siempre existirá un centro de control de motores que controlará, diagnosticará y

protegerá el motor mediante relés inteligentes. A este centro de control de motores (CCM)


le llegará una señal de salida del sistema de control (XY) que indicará la petición de

arranque por parte del sistema de control. Además, el CCM enviará señales del estado del

motor, como motor en marcha (XS), potencia activa consumida (JT), o listo para arranque

(RD).

La representación en el sistema de control será similar a esta figura, 0- gris para representar

el estado FALSE y 1-verde para el estado TRUE:

Para el caso de los motores y bombas:

Aero-refrigerador Motor/Bomba

Transmisoresdevariablesdeprocesoanalógicos(PT,TT,FT…)

Los transmisores de variables de proceso formarán parte de un lazo instrumentado

alimentado a 24 VDC. Los elementos podrán ser activos, es decir, los que gobiernan la

alimentación del lazo; o bien, pasivos, es decir, la alimentación será proporcionada por el

sistema de control. Así, el instrumento efectuará la función de transducción en ambos

casos para hacer variar la corriente de lazo (entre 4 mA y 20 mA).

Normalmente, existirán los siguientes tipos de transmisores en la planta: transmisores de

presión (PT), transmisores de presión diferencial (PdT), transmisores de caudal (FT),

transmisores de temperatura (TT), transmisores de nivel (LT), transmisores de potencia

eléctrica (JT), transmisores de corriente eléctrica (IT), transmisores de concentración dada

por analizadores (AT), transmisores de vibración mecánica (VT), etc.

En el caso de disponer de transmisores con visualización en campo, se introducirá la letra

“I” en el nombre del instrumento (LIT, PIT, PdIT, FIT)


Temperatura Presión Caudal Nivel (SIS)


Analizadores Presión diferencial

Transmisoresdevariablesdeprocesodiscretos(PSH,PSL,LSL…)

Los transmisores de variables de proceso discretas son instrumentos que aportan

información sobre el estado de una determinada variable de proceso de forma discreta, es

decir, indicarán al sistema de control si una variable de proceso se encuentra por debajo o

por encima de una consigna sintonizada en el instrumento. Normalmente, se hará uso de

transmisores de variables discretos para aportar información adicional o para enclavar

equipos con el fin de protegerlos. Los transmisores de variables de proceso discretos no

son recomendados para su uso sobre lazos instrumentados de seguridad (SIS) puesto que

una variable fundamental para diseñar estos lazos es la cobertura de diagnóstico (DC). Se

puede hacer uso de transmisores de variables de proceso discretos inteligentes o utilizar

tres niveles de estado para aumentar esa cobertura de diagnóstico, pero como se ha

comentado previamente, en el proyecto se determina la convención de uso de dos estados

(24 VDC – 0 VDC).

La nomenclatura utilizada para describir un transmisor de estas características es poner

inicialmente la inicial de la variable de proceso, posteriormente la letra “S” haciendo

referencia a la palabra interruptor en inglés “Switch” y posteriormente el nivel de

detección, alto (H) o bajo (L). Los más típicos serán presostatos (PSH, PSL), levostatos

(LSH, LSL) y termostatos (TSH, TSL).

La representación en el sistema de control será similar a esta figura, 0- gris para representar

el estado FALSE y 1-verde para el estado TRUE:

Actuadoresyválvulasdecontrol(CV)

Los actuadores analógicos y válvulas de control son instrumentos que transforman las

variables de salida analógicas del sistema en posiciones de válvula, normalmente en el

rango de apertura de una válvula de control, entre 0 % y 100 % de apertura. En el sistema


ABB, 0 % significa siempre válvula cerrada y 100 % significa válvula abierta

completamente. Forman parte de un lazo instrumentado alimentado a 24VDC y comandado

por un lazo de control en corriente (4-20 mA), con detección de fallo en la propia tarjeta

del sistema de control, de forma que si desconectamos el instrumento, el sistema registra

un fallo de instrumento.

La nomenclatura utilizada para identificar una válvula de control será poner las iniciales

“IP” y a continuación el número de “tag” asignado a la válvula.

Este tipo de válvulas lleva asociada una lógica posicional de activación consistente en una

serie de condiciones de apertura anidadas que harán posicionar la CV a un valor de

apertura determinado por programa cuando la lógica sea cierta o la mantendrán por control

automático si alguna de las condiciones no se cumple.

El tanto por ciento de apertura se refleja en el sistema como relleno de la figura

correspondiente en color verde y el valor de apertura asociado.


Cerrada Abierta 100 %

CompresordeRegeneración

El compresor de regeneración es básicamente un motor eléctrico que gira a alta velocidad

impulsando una bomba centrifuga a través de una caja reductora que multiplica la fuerza

ejercida por el motor eléctrico sobre el eje de la bomba reduciendo su velocidad.

La bomba impulsa el nitrógeno que llega al conducto de aspiración y lo expulsa a mayor

presión por el conducto de impulsión, calentando también el gas debido a la compresión.

Para mantener limpia y libre de sobrecalentamiento la unión axial entre el motor y la

reductora de la bomba se usa el denominado sello “seco”, que consiste en introducir

nitrógeno a cierta presión en la caja de unión, lo que hace que no haya prácticamente

fricción entre las piezas, evitando altas temperaturas y contaminantes típicos de los sellos

“húmedos”.

La ilustración 3 representa el compresor con su instrumentación asociada en el sistema de

control:


Ilustración 3 Diagrama de gas de sello del compresor

La bomba o compresor propiamente dicho que proporciona presión al gas de proceso debe

estar lubricado constantemente con aceite lubricante para evitar las altas temperaturas

provocadas por la fricción entre las piezas del compresor. Para ello se dispone de un

circuito de lubricación compuesto a su vez por una bomba de lubricación movida por un

motor eléctrico que succiona aceite de una balsa, lo distribuye por el circuito de lubricación

hacia el compresor y retorna de nuevo a la balsa haciendo un circuito cerrado. Cualquier

fuga en el circuito de aceite es susceptible de provocar no solo contaminación del medio

ambiente, sino bloqueos y sobrecalentamiento del compresor, llegando a dañarlo en última

instancia, por lo que la presión y temperatura del circuito de lubricación debe ser

monitorizada por el sistema de control.

Otro aspecto importante a tener en cuenta en cualquier máquina rotativa son las

vibraciones. Un desalineamiento excesivo en el sistema motor-compresor puede provocar

la rotura del eje o de cualquier componente mecánico del sistema, llevando a una parada de

proceso, lo que supondrá perdidas económicas tanto en producción como en

mantenimiento. Para evitar y controlar las vibraciones, el sistema motor-compresor dispone

de una unidad de control de la empresa Bentley-Nevada externa al sistema de control que

monitoriza tanto las vibraciones midiéndolas con acelerómetros dispuestos tanto en el

motor como en el compresor, como las temperaturas de los cojinetes de apoyo de los ejes,

y envía estos datos mediante comunicación OPC al sistema principal de control de ABB. El

sistema Bentley-Nevada es un sistema de control dedicado exclusivamente a monitorizar

vibraciones y temperaturas de sistemas mecánicos rotativos, programado con lazos de

control independientes que efectuarán el paro de la máquina en caso de altas o muy altas


vibraciones y/o temperaturas de cojinetes, informando al sistema de control principal de

proceso. En la ilustración 4 observamos una representación de la instrumentación del

compresor en el sistema de control.

Ilustración 4 Diagrama de vibraciones y temperaturas de cojinete del compresor


Convencióndeprogramación

Para poder entender la estrategia de control desarrollada, en esta sección se definen

previamente una serie de normas básicas de programación a seguir en la implementación

del programa de control del proceso. Estas normas son aplicables independientemente de la

plataforma utilizada, pero en el proyecto se especifican para la plataforma de control

IndustrialIT 800xA de ABB.

Secuencias

Una secuencia define el conjunto de tareas automáticas o manuales a realizar en un proceso

determinado en un orden determinado. Se compone de pasos independientes y transiciones

entre ellos de forma que el proceso sólo podrá estar en un paso o estado determinado en

cada momento.

Se acostumbra a representar en los sistemas de control como un diagrama de funciones

secuencial (más conocido como SFC, del inglés Sequential Function Chart).

Paso o “Step”

El paso define las tareas automáticas o manuales necesarias para un momento determinado

del proceso. El desarrollo de estas tareas condicionará el avance de la secuencia en el

proceso determinado.

Transición

La transición es el nexo de unión entre pasos y determina si se cumple el conjunto de

condiciones para acceder al siguiente paso. La transición puede ser automática, manual o

automática con confirmación manual del operador.

SFC

Es el diagrama de funciones secuencial se utiliza para representar una secuencia. Su

aspecto es de la ilustración 5.


Ilustración 5 Diagrama de funciones secuencial

Con el objetivo de dar nombre a la instrumentación y a las variables de código necesarias

para definir la estrategia de control, efectuaremos una definición previa de las variables

más comunes y de ese modo, ayudar a la interpretación de la estrategia definida.

Nombresdeinstrumentos,válvulasymotores

Instrumentos, válvulas y motores

Ejemplos:

ABV60811, válvula de alimentación de gas de sello del compresor

EBV60538, válvula de bloqueo de entrada de gas al calentador

FT60533, transmisor de caudal de gas al reactor.

XY60610, Arrancar calentador eléctrico.

Instrumentos, válvulas y motores que forman parte de un lazo instrumentado de

seguridad (SIS)

Paso_2

Paso_3

Paso_4

Paso_5

Paso_1

ManualAutomática con confirmación ManualAutomática

Leyenda

Paso_2

Paso_3

Paso_4

Paso_5

Paso_1


LeyendaManualAutomática con confirmación ManualAutomática


Leyenda

XXTTT- nnn

Número de objeto

Número de equipo

Tipo de objeto[ABV, PIT, LT…]

XXTTT- nnn

Número de objeto

Número de equipo


SIS_


Ejemplos:

SIS_EBV61021, válvula de emergencia de bloqueo de alimentación de aire a planta

SIS_TT11535A, transmisor de temperatura del lecho (2A) del reactor.

Instrumentos, válvulas y motores que forman parte de un disparo acreditado en LOPA

(BPCS)

Los elementos del sistema que forman parte de un lazo LOPA se identifican en el proyecto

utilizando las iniciales “BPCS” (del inglés “Basic Process Control System”) en su

descripción en el sistema de control, y además, en los gráficos aparecen las iniciales

“LOPA” (del inglés “Layer Of Protection Analysis”) justo al lado del dibujo del

instrumento. Información detallada sobre BPCS y LOPA se encuentra en el Anexo A:

Análisis y evaluación de escenarios de seguridad de este mismo documento.

Ejemplos:

BPCS_AT60534, Analizador de O2 de alto rango.

XXTTT- nnn

Número de objeto

Número de equipo


BPCS_


Eventosyalarmas

En el sistema IndustrialIT 800xA de ABB, las alarmas se distribuyen en prioridades,

pudiendo usar hasta un máximo de 32 niveles. En el proyecto se usan 5 niveles de

prioridad, siendo 1 el más crítico y cuyas alarmas son más importantes de atender por el

operador y 5 el nivel más leve. Cada uno de estos niveles está identificado en el sistema

por un color fácilmente distinguible por el operador, así como una sonoridad diferente para

cada uno. Cuando un elemento tenga una alarma, aparecerá reflejada tanto en el indicador

de instrumento del gráfico, como en su panel individual, así como en lista de alarmas

correspondiente. Los niveles de alarma son:

1. Crítico, color rojo;

2. Disparo LOPA, tanto BPCS como ORA (del inglés “Operator Response

Alarm”), color violeta. (Ver Anexo A: Análisis y evaluación de escenarios de

seguridad)

3. Severo, color naranja

4. “Warning”, color amarillo

5. Atención requerida, color azul

Todas las alarmas son registradas e historiadas en el sistema, pudiendo ser consultadas por

el personal de planta diariamente para su análisis y mejora del rendimiento de la planta.

Asimismo, también quedan registrados los eventos e intervenciones manuales de

operación, que son operaciones, cambios de consigna, aperturas/cierres de válvulas, etc,

que no son necesariamente una alarma para el operador pero que quedan registrados para

su análisis y/o auditoria posterior.

Ejemplos:

PT61007_P_HH, alarma de muy alta presión en depósito de condensados D63.

SIS_TT11512_T_HH, disparo de seguridad SIS por muy alta temperatura en el reactor.

Arquitecturasdedisparo,enclavamientooalarma

Las arquitecturas que se utilizarán en la programación de disparos, enclavamientos o

alarmas en el proyecto serán una de las siguientes:


1oo1 – Arquitectura simple

El disparo, enclavamiento o alarma acontecerá cuando el único instrumento que forma el

elemento sensor se encuentre fuera de servicio, esté en fallo o se dé la condición de superar

la consigna de activación.

1oo2D – Arquitectura doble

El disparo, enclavamiento o alarma acontecerá cuando cualquiera de los dos instrumentos

que forman el elemento sensor se encuentre con la condición de superar la consiga de

activación. En el caso en que uno de los instrumentos se sitúe fuera de servicio o en fallo,

la arquitectura degradará a la configuración 1oo1.

En el caso que con la arquitectura degradada a 1oo1 su único instrumento que forma el

elemento sensor (pues el otro se encuentra fuera de servicio) se sitúe fuera de servicio o

fallo, el disparo, enclavamiento o alarma acontecerá.

2oo3D – Arquitectura triple

El disparo, enclavamiento o alarma acontecerá cuando dos de los tres instrumentos que

forman el elemento sensor supere la consigna de activación. En el caso en que uno de los

instrumentos se sitúe fuera de servicio o en fallo, la arquitectura se degradará a 1oo2.

La arquitectura 1oo2 efectúa la activación del disparo, enclavamiento o alarma cuando

cualquiera de los dos instrumentos supera la condición de activación o cualquiera se sitúa

fuera de servicio.

Instrumentofueradeservicio

Se definirá como instrumento fuera de servicio cuando se dé cualquiera de los siguientes

casos:

Detección de fallo de instrumento o de lazo de instrumentación.Instrumento forzado desde panel para suministrar al sistema de control un valor establecidopor operación o para situarlo fuera de servicio.

En algunos casos puede interesar considerar un instrumento fuera de servicio únicamente

cuando se detecta su estado anómalo o fallo en el lazo de corriente de instrumentación. La

intención de tener la posibilidad de forzar el instrumento es incrementar la fiabilidad de

proceso.


Forzar un instrumento tendrá el mismo efecto que se haya detectado su anomalía. En

cualquier caso, el efecto será el mismo: degradará la arquitectura utilizada para generar

disparos de seguridad, enclavamientos o alarmas; o bien lo activará en caso de utilizar la

arquitectura 1oo1.

En el caso de disponer redundancia, no se permitirá efectuar el forzado de más de un

instrumento.

Cuando un instrumento se encuentre fuera de servicio, aparecerá la alarma correspondiente

en el panel de control, así como en la lista de alarmas correspondiente.

Jerarquíaoperacional

El estado de una válvula o de un motor puede venir dado por tres tipos de órdenes

diferentes:

1. Orden de activación o desactivación de seguridad. Cuando se detecta una condición

de alarma y además es necesario enclavar o disparar la válvula o el motor en

particular, la activación de un disparo de seguridad debe situar el proceso en

situación segura.

2. Orden de activación o desactivación manual. En determinadas operaciones o en

tareas de reconocimiento y prueba de actuadores, es necesario poder ordenar de

forma manual la posición del motor o la válvula al estado deseado.

3. Orden de activación o desactivación automático. Todas las secuencias de proceso

definen cómo deben situarse los elementos vinculados para poder llevar a cabo el

proceso.

La jerarquía definida, por orden de prioridad se establece de la siguiente forma:

· La orden dada por la activación de un disparo de seguridad o enclavamiento será

prioritaria ante cualquier petición ejercida de forma manual o automática.

· La orden establecida de forma manual por operación, se antepondrá a la orden

automática dada por la secuencia. De ese modo se abre camino a operaciones

especiales o testeo de equipos.

· Finalmente, la orden automática se sitúa en el último escalón de la pirámide

jerárquica. Generalmente, los procesos se podrán llevar a cabo siempre que las

válvulas y motores se encuentren en modo automático.


DeshabilitacióndedisparosdeseguridadLOPA

En ocasiones especiales, puede ser necesario efectuar la deshabilitación de un disparo de

seguridad (SIS) o de un disparo acreditado en LOPA (BPCS). La inhabilitación de una

función de seguridad debe estar muy bien justificada y debe efectuarse una evaluación de

riesgos específica para el disparo deshabilitado en particular. La deshabilitación de un

disparo de seguridad siempre irá acompañada de un procedimiento de operación para suplir

la función de seguridad mediante la inspección y la actuación manual.

Por convención de planta, todos los elementos finales de un lazo de seguridad dispondrán

de una alarma de alta prioridad que acontecerá cuando la señal de salida del sistema de

control se haya posicionado en manual, tomando como efecto la deshabilitación del lazo de

seguridad.

Comunicaciónentreaplicaciones(MMS)

El protocolo de comunicación utilizado en gran parte de los sistemas de automatización

para enlazar datos entre diferentes aplicaciones y clientes es el conocido como MMS. El

protocolo MMS (del inglés “Manufacturing Message Specification”) fue concebido

inicialmente por la empresa General Motors hacia el año 1988 con el objetivo de integrar

los dispositivos de los diferentes fabricantes y evitar las islas de automatización generadas

por protocolos definidos de forma particular.

La normativa ISO 9506, a lo largo de sus seis partes define los servicios, protocolos y

estándares destinados a robótica, control numérico, controladores lógicos programables y

control de procesos.

El objetivo de este apartado es dar a conocer la operativa de los servicios MMS que serán

utilizados en este proyecto de automatización, así como establecer una convención

estándar para todo el conjunto de comunicaciones entre aplicaciones entre controladores.

Para más información sobre MMS consultar el Anexo B: Diseño del sistema de control en

el apartado Estructura de comunicaciones MMS en ABB Industrial IT


InteracciónentreSISyBPCS

Todos los elementos que forman parte de un lazo de seguridad instrumentado (SIS) deben

programarse en la llamada “zona de seguridad” con un nivel de integridad definido que en

nuestro caso no es mayor a un SIL-2.

Definiremos una convención para cada una de las combinaciones de comunicación

dependiendo de las características de la información a comunicar entre aplicaciones SIS y

BPCS que podemos agrupar en tres bloques: instrumentación SIS compartida con BPCS

acreditada en LOPA, instrumentación SIS compartida con BPCS no acreditada en LOPA,

órdenes establecidas en BPCS para actuar sobre actuadores SIS.

Instrumentación SIS compartida con BPCS acreditada en LOPA

Tal como se expone en el apartado Compartir elementos SIS y BPCS con crédito en LOPA

del Anexo A: Análisis y evaluación de escenarios de seguridad en ocasiones es interesante

compartir elementos de un lazo instrumentado de seguridad con la zona de código básica

de proceso (BPCS).

Compartir elementos que forman parte de lazos SIS y a su vez, son compartidos en lazos

acreditados en BPCS es una tarea delicada pues se puede poner en riesgo la integridad del

lazo de seguridad instrumentado. Por ese motivo definiremos la siguiente convención:

Instrumentación SIS compartida con BPCS no acreditada en LOPA

La necesidad de utilizar instrumentación SIS para efectuar controles o generar alarmas

informativas y enclavamientos (no acreditados en LOPA) en zona BPCS hace necesario

definir cómo tratar estas comunicaciones.

En el caso de necesitar el valor de proceso de un elemento sensor múltiple para efectuar el

control de una determinada variable de proceso actuando sobre una válvula controladora,

debemos seguir la misma convención que se definió en el apartado anterior: se tomará el

valor mayor, menor o el valor medio publicado desde SIS.

En el caso de cálculos de alarmas y disparos no acreditados, se puede hacer uso de la

misma convención comentada anteriormente o tratar cada instrumento virtual e integrarlo

con una arquitectura determinada (1oo1, 1oo2D o 2oo3D).


DisparoBPCSenLOPA

Los elementos sensores SIS serán programados en una aplicación SIS con el nivel de

integridad necesario para asumir las exigencias de LOPA (nivel de integridad configurable

en el entorno de programación) así como el disparo y el elemento final; pero también se

encargará de calcular el valor mayor y menor (arquitecturas de sensor redundante) para ser

comunicado mediante protocolo MMS hacia BPCS. Nunca se efectuará la comunicación

individual de los instrumentos que forman parte del elemento sensor SIS para realizar el

cálculo colateral en BPCS siguiendo la arquitectura redundante deseada (1oo2D o 2oo3D),

sino que se hará uso directamente del mayor, menor o valor medio y del estado global del

elemento sensor. El estado global del elemento sensor no será más que el resultado de una

función lógica que establecerá que al menos un elemento sensor se encuentra en servicio.

Así, la arquitectura que se seguirá para elementos BPCS acreditados en LOPA con

instrumentación compartida con SIS se tratará como una arquitectura 1oo1.

AlarmainstrumentoSISfueradeservicio

Un aspecto importante con respecto a los lazos instrumentados de seguridad es anunciar

correctamente cuándo un instrumento o un elemento final del lazo se encuentra fuera de

servicio para proceder a su reparación en un intervalo tiempo inferior al MTTR (del inglés

“Mean Time To Restore”) para cumplir con las exigencias del IEC-61508.

La zona de código de alta integridad (SIS) debe contener el código perteneciente al disparo

de seguridad. La programación de alarmas informativas debe efectuarse en aplicaciones

integridad normal (BPCS). Así, para anunciar que un elemento SIS se encuentra fuera de

servicio es necesario efectuar la publicación del estado de cada integrante del elemento

sensor o elemento final y programar una alarma en la zona BPCS.


Ilustración 6 Convención de programación de instrumentación SIS compartida

Definiremos como elementos virtuales aquellos elementos programados en BPCS que

representan el estado y el valor de elementos programados en SIS. En la ilustración

expresada, los elementos virtuales serán Sis_Instr 1, Sis_Instr 2 y Sis_Instr 3.

Cabe destacar que la ilustración trata de expresar la comunicación de variables desde la

perspectiva funcional y no desde la perspectiva de implementación. Tal como se ve en el

apartado Comunicación entre aplicaciones (MMS) del Anexo C: Estructura de código en el

sistema 800xA Industrial IT, no existe un canal de comunicaciones para cada variable a

comunicar sino que existe un canal que engloba todas las variables. Si no fuera así,

incurriríamos en una falta sobre la convención definida e incrementaríamos

innecesariamente la carga del controlador.

ActuadoresymotoresSIS

Un elemento final residente en zona SIS tiene una estructura que define el siguiente

comportamiento:

Una válvula o un motor programado en SIS pueden ser operados de forma manual

únicamente para situarlo en su posición de seguridad. Así, si una válvula está definida a

fallo cierre, desde la zona de código SIS la única operación manual que se puede ejercer

sobre la válvula es ordenar el cierre. Por ende, nos podemos cuestionar cómo abrir esta

válvula si resulta imposible desde SIS. La respuesta se encuentra en el uso de

comunicación MMS con la orden de apertura calculada desde BPCS.


Este comportamiento implica la definición de un objeto virtual en BPCS para ordenar la

acción que sitúe el elemento final en la situación contraria a la posición de seguridad.

El elemento SIS siempre jerarquiza su posición dependiendo de la lógica de disparo, que se

antepondrá ante peticiones desde BPCS y posiciones en manual del objeto en particular.

La operativa de gestionar manualmente el elemento se efectuará mediante peticiones desde

BPCS.

En BPCS se define una lógica de disparo y una lógica de apertura o arranque. Así, la

variable a comunicar indicará la petición de abrir o arrancar el elemento AutoCmd, ya sea

por orden automática Logic o por petición manual SBtn.

Ilustración 7 Convención para elementos finales SIS comandados desde BPCS

En la ilustración mostrada, el SafetyLogic hace referencia al resultado de una función

lógica que resume todo el conjunto de disparos y enclavamientos del elemento final (en

este caso particular, la válvula) que no son de alta integridad (SIL). El Logic hace

referencia al resultado de una función lógica que resume el conjunto de condiciones de

apertura/arranque del elemento final. Finalmente, SBtn será una botonera de apertura/cierre

o arranque/paro por petición manual de operación. Cuando AutoCmd es cierto, el elemento

final abrirá o arrancará si VoteCmd se encuentra en falso.

En el caso de válvulas de emergencia (EBV) que formen parte de lazos instrumentados de

seguridad, los pulsadores de emergencia de campo y cuadro de control vinculados se

integrarán dentro de la lógica de disparo (SafetyLogic).

Para conocer el estado del elemento final SIS y generar la alarma de discrepancias DIDO,

se publicará por MMS hacia BPCS el estado del final de carrera que llega a SIS por E/S,

Instrumento 1

Instrumento 2

Instrumento 3

Sensor

Lógica dedisparo

(2oo3)

Válvula 1

ElementoFinal

Aplicación SIS

Válvula 1

Elemento Final

Aplicación BPCS

ALM_Valv1_DIDO

AutoCmd

VoteCmd

ZSC / ZSO

AutoCmd := not SafetyLogic and(Logic or SBtn)

SBtn [Botonera por software]

Logic[Condiciones dearranque/apertura]

SafetyLogic[Condiciones dedisparo/enclavamiento]

Instrumento 1

Instrumento 2

Instrumento 3

Sensor

Lógica dedisparo

(2oo3)

Válvula 1

ElementoFinal

Aplicación SIS

Válvula 1

Elemento Final

Aplicación BPCS

ALM_Valv1_DIDO

AutoCmd

VoteCmd

ZSC / ZSO

AutoCmd := not SafetyLogic and(Logic or SBtn)

SBtn [Botonera por software]

Logic[Condiciones dearranque/apertura]

SafetyLogic[Condiciones dedisparo/enclavamiento]


teniendo en cuenta los tiempos necesarios de comunicación además del requerido por el

elemento final en cambiar de estado.

El retardo que supone la comunicación MMS, mayor de 2 s, sugiere que debemos

considerar aquellos disparos considerados como de alta velocidad. En aquellos casos en los

que un disparo no acreditado en LOPA deba efectuar el paro de un elemento final SIS en

menos de 2 s, es necesario programar en la aplicación SIS aquella instrumentación

vinculada a ese disparo como si se tratara de un disparo SIS.


38/173

3. Implementación y desarrollo

Definicióndeequiposasociadosalsistema

El sistema de regeneración necesita de una planificación detallada de utilización por parte

de operación de planta. Es el personal de operaciones quien decide cuándo se debe

regenerar el catalizador, cuando cambiar de reactor, que cantidad de aire y/o hidrógeno

introducir en el proceso, dependiendo del ciclo de desgaste del catalizador y de su uso. El

tiempo estimado para realizar la regeneración de un reactor de este tipo y la frecuencia de

las regeneraciones se refleja en la siguiente tabla:

Reactor Tiempo de regeneración (días) Tiempo entre regeneraciones(días)

R-40 30 90

Tabla 1 Tiempos de regeneración

Para entender el proceso que se describirá a continuación y con el fin de seguir la estrategia

de control detallada en forma de secuencia descrita en el siguiente apartado, es necesario

observar el diagrama específico del proceso de regeneración de la ilustración 8 con los

equipos asociados al proceso detallados.

URV – AUTOMATIZACIÓN DEL PROCESO DE REGENERACIÓN DE UN REACTOR QUIMICO 39/173

Ilustración 8 Diagrama del circuito de regeneración


40/173

En este apartado se describe de forma detallada los equipos principales del sistema de

regeneración.

Compresor

El compresor de regeneración, C-625, se utiliza para establecer el caudal necesario durante

los diferentes pasos del proceso de regeneración del catalizador del reactor. El compresor

funciona como soplante para que el caudal se mantenga durante el ciclo cerrado y

compense las pérdidas de presión del sistema.

Calentador de resistencias e intercambiador

El calentador eléctrico HTR-620 y el intercambiador de regeneración E-621 se utilizan

para calentar los gases de regeneración. E-621 se “bypasea” en la puesta en marcha y en el

paso de refrigeración.

Enfriador de aire

El enfriador de aire E-622 se utiliza para condensar los hidrocarburos y las impurezas de

los gases de regeneración. También es necesario para bajar la temperatura de succión del

compresor.

Enfriador de agua

El enfriador de agua de regeneración E-627 y el enfriador de aire de regeneración E-626 se

utilizan para enfriar los gases de regeneración que van al reactor en el paso de

enfriamiento.

Separador

El separador de regeneración D-623 se utiliza para separar los hidrocarburos, y otras

impurezas de la corriente de gases regeneración.

Bomba de regeneración

La bomba de regeneración, P-624 se utiliza para vaciar el separador de regeneración D-623

cuando está lleno de hidrocarburos, que se envían al sistema de Fuel Oil.

Analizadores

El sistema de regeneración contiene dos analizadores de oxígeno:


· Un analizador de alto rango situado en la succión del compresor. La finalidad de

este analizador es controlar el contenido de oxígeno del gas de regeneración durante

el paso de oxidación.

· Un analizador de bajo rango situado en el depósito D-623. La finalidad de este

analizador es comprobar que el contenido de oxígeno sea lo suficientemente bajo

después de purgar el sistema para pasar al paso de reducción.

Otros componentes

La conexión de hidrógeno y aire al sistema de regeneración se realiza a través de una

conexión especial: un codo movible.

El motivo de hacerlo de este modo es el de evitar el riesgo de tener H2 y O2 conectados al

mismo tiempo y, por tanto, crear una mezcla explosiva. El codo deberá sacarse de la

posición de descanso a H2 o a aire, en función de lo requiera el proceso de regeneración.

Otra línea de defensa para evitar este escenario es que el sistema siempre se purgue con

nitrógeno antes de introducir hidrógeno y que el caudal de oxígeno durante el paso de

oxidación se mantenga en niveles bajos.

En la siguiente tabla se resumen los equipos que componen el sistema de regeneración y

sus características principales:


Equipo Descripción Diseño

C-625Compresor de

regeneración.

Tipo: centrífuga politrópica. Compresor de 1 fase.

Materiales de construcción: acero al carbono.

Caudal: 11110 kg/h

Potencia: 212 kw

T/P de operación de entrada/salida:

55º C / 105º C

5.7 / 9 kg/cm2g

HTR-620Calentador eléctrico de

regeneración.

Tipo: calentador eléctrico.

Materiales de construcción: Cr-Mo

Capacidad calorífica: 0.75 Gcal/h

T/P de operación: 500 C, 9 kg/cm2g

E-621Intercambiador de

regeneración.

Tipo: intercambiador Hairpin.

Materiales de construcción: Cr-Mo


T/P de operación:

125º C/ 450 C, 9 kg/cm2g

E-622Enfriador de aire de

regeneración.

Tipo: enfriador de aire – de tiro forzado.



T/P de operación:

155 C, 9 kg/cm2g

E-626Enfriador de aire de

regeneración.

Tipo: Enfriador de aire – tiro forzado.



T/P de operación: 125º C , 9 kg/cm2g

E-627Enfriador de agua de

regeneración.

Tipo: BEM.


Capacidad calorífica: 0.15 Gcal/h.

T/P de operación:

55º C, 9 kg/cm2g

D-623Depósito de

regeneración.

Tipo: depósito vertical ASME.


Dimensiones 1.5 m x 2.5 m

T/P de operación: 40º C/ 4.7 kg/cm2g

P-624 Bomba de regeneración.

Tipo: ANSI horizontal centrífuga.

Materiales de construcción: 316 acero inoxidable.

Potencia: 2.2 kw

T/P de operación: 40º C/ 10 kg/cm2g

Tabla 2 Equipos del sistema de regeneración


Consideraciones especiales

La purga continua del sistema de regeneración se realiza a través de la válvula de control

de venteo situada en D-623. Esta purga se realiza controlando la presión y la finalidad es

evitar la acumulación de inertes (CO, CO2) en el sistema. La purga normal va a través del

sistema de venteo donde se quema en lanzas dedicadas en los quemadores de la caldera.

La purga/inertizado de nitrógeno se realiza en el ciclo abierto con nitrógeno hacia la

antorcha. Hay una línea especial de nitrógeno que pincha en la descarga del compresor para

esta purga. Es importante inertizar antes del paso de reducción, ya que existe la posibilidad

de tener una mezcla explosiva si no se hace adecuadamente.

Cuando se para el compresor de regeneración, la línea de nitrógeno que alimenta la succión

del compresor permanece abierta para mantener el caudal de nitrógeno a través del sistema

y evitar cualquier daño por altas temperaturas.

Demasiado hidrógeno u oxígeno durante la regeneración podría causar puntos calientes y

daño en el catalizador. Para evitar esto, se han limitado las adiciones de oxígeno e

hidrógeno y también hay un primer paso en ambos casos con concentración baja de

oxígeno e hidrógeno.

Lazosdecontroldeproceso

En esta sección se definen los lazos de control necesarios en la automatización del proceso

de regeneración del reactor, controles de caudal, de presión y de potencia cuya finalidad

será mantener las temperaturas del reactor dentro de los parámetros de operación

requeridos en cada paso de la secuencia de proceso.

HTR620_TC: Control de temperatura del gas de regeneración mediante un controlador PI

cuya variable de medida será la temperatura de salida del calentador TT60531 y la salida

será la potencia suministrada a las resistencias del calentador TY60518.


Ilustración 9 Detalle del lazo de control de temperatura

D623_PC_FC: Este lazo de control se divide en dos partes:

· Control de la presión del sistema de regeneración mediante un controlador PI

Maestro/esclavo cuyas variables de medida serán la presión redundante en cabeza

del depósito D-623, mediante los instrumentos PT61007 y PT61014 para el

maestro, el caudal de venteo FT61012 para el esclavo y cuya salida será actuar

sobre una válvula de control CV61013 de venteo hacia FuelGas.

· Control de la presión de nitrógeno de entrada al sistema mediante un controlador PI

Maestro/esclavo cuyas variables de medida serán el caudal de entrada de nitrógeno

FT61026 para el maestro, la presión redundante en cabeza del depósito D-623,

mediante los instrumentos PT61007 y PT61014 para el esclavo y cuya salida será

actuar sobre la válvula de control CV61027 de aporte de nitrógeno al sistema.


Ilustración 10 Detalle del lazo de control de presión

O2_FC: Control directo del caudal de aire introducido en el sistema mediante un

controlador PI cuya variable de medida será el caudal de aire FT61019, y cuya salida será

la válvula de control CV61020. Este control tiene dos limitaciones:

· Limitación por alto contenido en oxígeno, dado por el analizador de bajo rango

AT60534, que actúa sobre un controlador PI cuya salida limita la apertura de la

válvula CV61020 cuando se cumpla la condición 1 %vol O2 en el paso OXLOW o

bien 3 %vol O2 en en el paso OXHI.

· Limitación por alta temperatura en lechos del reactor, dado por la condición de que

al menos uno de los termopares de las parejas distribuidas en el reactor

(SIL_TT115XXAB) supere la temperatura máxima permitida para el paso en que se

encuentre la secuencia, que actúa sobre un controlador PI cuya salida limita la

apertura de la válvula CV61020 cuando se cumpla la condición.


Ilustración 11 Detalle del lazo de control de aire

H2_FC: Control directo del caudal de hidrogeno introducido en el sistema mediante un

controlador PI cuya variable de medida será el caudal de hidrogeno FT61016 y cuya salida

será actuar sobre la válvula de control CV61017. Este control tiene la siguiente limitación:

· Limitación por alta temperatura en lechos del reactor, dado por la condición de que

al menos uno de los termopares de las parejas distribuidas en el reactor

(SIL_TT115XXAB) supere la temperatura máxima permitida para el paso en que se

encuentre la secuencia, que actúa sobre un controlador PI cuya salida limita la

apertura de la válvula CV61017 cuando se cumpla la condición.


Ilustración 12 Detalle del lazo de control de Hidrógeno

C625_MinFC: Control del caudal mínimo del compresor mediante un controlador PI cuya

variable de medida es el caudal en la succión del compresor FT60503 y cuya salida será

actuar sobre la válvula de control CV60506 situada en la impulsión del compresor.

E671_Bypass: Este no será un control real como tal. De lo que se trata es de hacer una

transición suave del caudal a través del intercambiador hacia el bypass y viceversa,

mediante la actuación sobre las válvulas de control CV60536 de entrada al intercambiador

y CV60537 de bypass.

D623_LC: Control de nivel del depósito condensados mediante un control de banda muerta

que abre la válvula automática ABV61108 cuando se alcanza un nivel de 50 % y la cierra

cuando el nivel es del 10 % o bien cuando la secuencia está en el paso de vaciado.

En la siguiente tabla se resumen los lazos de control detallados y sus correspondientes

instrumentos


FinalidadMedida

ProcesoSalida Control Tipo control Limitaciones

HTR620_TC

Control

temperatura gas

regeneración

TT60531 TY60518 PI Simple

D623_PC_FCControl presión

gas regeneración

PT61007

PT61014

CV61013

CV61027

PI Maestro/

Esclavo

O2_FCControl caudal

aireFT61019 CV61020 PI Simple

AT60534_HH

SIL_TT115XXAB_HH

H2_FCControl caudal

HidrogenoFT61016 CV61017 PI Simple SIL_TT115XXAB_HH

C625_MinFCControl caudal

mínimo compresorFT60503 CV60506 PI Simple

E671_BypassControl caudal

intercambiador

CV60536

CV60537Bypass

D623_LC

Control nivel

deposito

condensados

ABV61108 Banda muerta

Tabla 3 Lazos de control de regeneración

Definicióndelaestrategiadecontroldeproceso

Secuenciasdeproceso

La estrategia de control del proceso de regeneración seguirá los siguientes pasos:

Mantenimiento MW (fuera de servicio): el sistema está no operativo, las alarmas

correspondientes deshabilitadas y todas las máquinas asociadas al proceso están también en

mantenimiento y paradas. Se utiliza este paso cuando no se usa el sistema o bien cuando es

necesaria alguna reparación de mantenimiento de alguno de sus componentes. La

transición desde PW a MW y viceversa se realiza por orden de operador manual desde

panel.

Espera de proceso PW: el sistema se prepara para pasarlo a mantenimiento o bien alinearlo

para ser utilizado. En este último caso, se presuriza con nitrógeno a una pequeña

sobrepresión para evitar que entre aire en el sistema. Las alarmas están habilitadas, todos


los motores se encuentran parados, todas las válvulas en posición segura excepto las

válvulas de control de presión del D-623 que mantendrán la presión de consigna.

La transición desde MW a PW y viceversa se realiza por orden de operador manual desde

panel. La transición desde VACIO a PW se realiza por orden de operador manual desde

panel y siempre que no esté el reactor en regeneración.

Purga PURGE: Antes de conectar el reactor al sistema de regeneración se debe drenar y

purgar. Se aísla el reactor de las líneas normales de proceso con doble bloqueo y purga.

Una vez alineados el reactor y el sistema de regeneración, se presuriza todo el sistema con

nitrógeno desde la descarga del compresor con la purga hacia el venteo activa. Se utiliza un

totalizador de nitrógeno para saber la cantidad introducida. Todas las alarmas están

habilitadas y los motores parados.

La transición desde PW a PURGE se realiza por orden de operador manual desde panel

siempre que se cumplan las siguientes condiciones:

· No exista fallo de ningún instrumento SIL AND

· La secuencia del reactor esté en el paso de regeneración AND

· La secuencia del sistema de aceite esté activa en RUN

Presurización PRESS: El sistema junto con el reactor está presurizado con nitrógeno a un

caudal de 100 kg/h a través de la succión del compresor. La purga hacia el venteo está

activa. Los ventiladores están en marcha. El caudal de N2 pasa a través de HTR-620 pero

el calentador está apagado. El intercambiador E-621 está “bypaseado”. La bomba P-624

arranca automáticamente si el nivel de D-623 es suficiente y por permiso de operador. El

caudal a través del bypass del calentador está bloqueado. Todas las alarmas están

habilitadas.

La transición de PURGA a PRESS se realiza por orden de operador manual desde panel


· Analizador de bajo rango de O2 =< 0.01 vol % y sin fallo AND

· Ventiladores E-622 alineados por permiso de operador AND

· Compresor C-625 alineado por permiso de operador AND

· Presión en D-623 > Presión mínima


La transición desde VACIO a PRESS para continuar el proceso de regeneración después de

una interrupción se realiza por orden de operador manual desde panel siempre que se

cumplan las siguientes condiciones:


· Ventiladores E-622 alineados por permiso de operador AND

· Compresor C-625 alineado por permiso de operador AND

· Secuencia del reactor en paso de regeneración.

Calentamiento HEAT: es el paso de “Stripping” en el que el nitrógeno introducido en el

sistema se calienta mediante el calentador HTR-620. Se pone en marcha el calentador y se

comienza a calentar con una consigna de temperatura de salida que se incremente 20 ºC por

hora hasta la consigna final de 290 ºC. Se mantiene el caudal de N2 a 100 kg/h. Cuando la

temperatura de retorno del reactor sea mayor que la de descarga del compresor +10 ºC, se

comienza a circular la corriente a través del intercambiador E-21 y cerrando el bypass

gradualmente. El control de nivel del depósito D-623 está habilitado y activo. Todas las

alarmas están habilitadas. El control de presión de purga hacia el sistema de venteo está

habilitado y activo. La bomba P-624 arranca automáticamente si el nivel de D-623 es

suficiente y por permiso de operador.

La transición desde PRESS a HEAT se realiza por orden de operador manual desde panel


· Compresor C-625 en marcha AND

· Temperatura de salida del reactor > 54 ºC AND

· Válvula Bypass E-621 > 90 %

Oxidación baja OXLOW: Es el primer paso de oxidación consistente en quemar los

hidrocarburos introduciendo aire en el sistema. En este paso se mantiene el nivel de

oxígeno al 1 % vol O2. El control de nivel del depósito D-623 está habilitado y activo.

Todas las alarmas están habilitadas. El control de presión de purga hacia el sistema de

venteo está habilitado y activo. Se mantiene el caudal de N2 a 100 kg/h. Se introduce aire

con un caudal de 80 kg/h mediante un control con limitación por alta concentración de

oxigeno que hará también que al final de la regeneración el consumo de oxigeno sea menor

(menos oxígeno en el reactor y más en el reciclo). Se realiza control del caudal de aire

introducido y de la máxima temperatura del reactor para que no sobrepase los 420 ºC.


La transición desde HEAT a OXLOW se realiza por orden de operador manual desde panel


· Temperatura de entrada al reactor >= 320 ºC AND

· Diferencia entre la máxima y la mínima temperatura del reactor =< 30 ºC AND

· Codo de entrada de Aire/Hidrógeno alineado a aire de planta AND

· Analizador de alto rango de oxigeno alineado y sin fallo AND

· Consigna de aire a introducir en el sistema correcta AND

· Secuencia del reactor en el paso de regeneración

Oxidación alta OXHI: Es la segunda etapa de la oxidación para quemar los hidrocarburos

adheridos al catalizador introduciendo aire al sistema. En este paso se aumenta el nivel de

oxígeno al 3 % vol O2. El control de nivel del depósito D-23 está habilitado y activo.

Todas las alarmas están habilitadas. El control de presión de purga hacia el sistema de

venteo está habilitado y activo. Se mantiene el caudal de N2 a 100 kg/h. Se incrementa la

temperatura de salida del calentador HTR-620 a 20 ºC/hora hasta los 380 ºC. Se realiza

control del caudal de aire introducido y de la máxima temperatura del reactor para que no

sobrepase los 420 ºC.

La transición desde OXLOW a OXHI se realiza por orden de operador manual desde panel


· Consigna de aire a introducir en el sistema correcta AND

· Temperatura de lechos del reactor >= 330 ºC AND


Inertización TEMPER: En este paso intermedio, el reactor se purga y se enfría con

nitrógeno hasta los 180 ºC antes de iniciar los pasos de reducción. El control de nivel del

depósito D-623 está habilitado y activo. Todas las alarmas están habilitadas. El control de

presión de purga hacia el sistema de venteo está habilitado y activo. Se mantiene el caudal

de N2 a 100 kg/h. Se para la introducción de aire al sistema de regeneración. El compresor

C-625 se mantiene en marcha.

La transición desde OXHI a TEMPER se realiza por orden de operador manual desde panel



· Comprobación por el operador mediante gráficos de temperaturas de que no existe

más combustión del catalizador en el reactor, las temperaturas son estables, con un

tiempo mínimo de 15 minutos.

La transición desde OXHI a TEMPER se realiza para activar un catalizador nuevo que no

necesita ser limpiado, se realiza por orden de operador manual desde panel siempre que se

cumplan las siguientes condiciones:


Reducción baja REDLOW: Este es el primer paso de la activación de la superficie del

catalizador a baja temperatura mediante la introducción de un bajo caudal de hidrogeno en

el sistema. El control de nivel del depósito D-623 está habilitado y activo. Todas las


habilitado y activo. Se mantiene el caudal de N2 a 100 kg/h. Se introduce Hidrogeno

mediante control de caudal a incrementando 0.3 kg/h por segundo hasta alcanzar los

3 kg/h. Se mantiene el control de temperatura máxima del reactor para no sobrepasar los

310 ºC.

La transición desde TEMPER a REDLOW se realiza por orden de operador desde panel



· Temperatura de entrada al reactor >= 150 ºC AND

· Diferencia entre la máxima y la mínima temperatura del reactor =< 30 ºC AND

· Codo de entrada de Aire/Hidrógeno alineado a hidrogeno de planta AND

· Consigna de hidrogeno a introducir en el sistema correcta entre 0.3 y 3.5 kg/h AND

· Consigna de nitrógeno a introducir en el sistema correcta AND


Es importante que todas las temperaturas de entrada, de lechos y de salida del reactor se

hayan estabilizado antes de entrar en este paso de la regeneración.

La máxima de cualquiera de las temperaturas de lecho del reactor hará que se pare la

regeneración.

Durante la primera reducción se producen las siguientes reacciones:

CuO + H2 à Cuº + H2O

Cu2O + H2 à 2 Cuº + H2O


Reducción alta REDHI: Este es el segundo paso de la activación de la superficie del

catalizador a alta temperatura mediante la introducción de un alto caudal de hidrogeno en

el sistema. El control de nivel del depósito D-623 está habilitado y activo. Todas las


habilitado y activo. Se mantiene el caudal de N2 a 100 kg/h. Se introduce Hidrogeno

mediante control de caudal a incrementando 0.3 kg/h por segundo hasta alcanzar los

5 kg/h. Se mantiene el control de temperatura máxima del reactor para no sobrepasar los

310 ºC. Se trata de incrementar la temperatura de salida del reactor unos 20 ºC por hora

hasta alcanzar los 270 ºC.

La transición desde REDLOW a REDHI se realiza por orden de operador manual desde

panel siempre que se cumplan las siguientes condiciones y el operador verifique que la

temperatura de lecho situada más al fondo del reactor ha alcanzado la temperatura máxima

y ha caído 20 ºC:

· Consigna de hidrogeno a introducir en el sistema correcta entre 0.3 y 5 kg/h AND

· Consigna de nitrógeno a introducir en el sistema correcta

Es importante que todas las temperaturas de entrada, de lechos y de salida del reactor se

hayan estabilizado antes de entrar en este paso de la regeneración.

La máxima de cualquiera de las temperaturas de lecho del reactor hará que se pare la

regeneración.

Enfriamiento COOL: En este paso el reactor se enfría con una corriente de nitrógeno

mientras se purga. El control de nivel del depósito D-623 está habilitado y activo. Todas las


habilitado y activo. Se introduce un caudal de N2 a 20-200 kg/h a través de la succión del

compresor C-625. Se para la alimentación de hidrogeno al sistema.

Se trata de decrementar la temperatura de salida del reactor a 20 ºC por hora hasta los

alcanzar los 100 ºC y después apagar el calentador, “bypaseando” gradualmente el E-621.

Cuando E-621 esté completamente “bypaseado”, se alinea la corriente de nitrógeno al

enfriador E-626 y se cierra la corriente al calentador HTR-620. Una vez la temperatura de

salida del reactor esté por debajo de 60 ºC, se alinea la corriente de nitrógeno al enfriador

de agua E-627 y se cierra el bypass del E-27.

La transición desde REDHI a COOL se realiza por orden de operador manual desde panel



· Tiempo definido con las temperaturas de lecho a 260 ºC cumplido AND

· Consigna de nitrógeno a introducir en el sistema correcta

Paro STOP: En este paso las válvulas se llevan a su posición segura excepto las válvulas

de control de presión a venteo hasta que la presión es de aproximadamente 1 barg.

Entonces la válvula de bloqueo de presión hacia la caldera se abre para despresurizar el

sistema, después de lo cual, el control de presurización continua activo. Todos los motores

de paran.

La transición desde COOL a STOP se realiza por orden de operador manual desde panel


· Temperaturas del lecho del reactor < 45 ºC AND

· Temperatura de salida del calentador HTR-620 < 45 ºC

Vaciado EMPTY: En este paso el depósito D-623 se drena manualmente por

procedimiento de operación. Todas las válvulas automáticas se llevan a su posición segura.

El control de presión continua activo y alineado a la caldera. Todos los motores están

parados. La bomba P-24 se arranca manualmente y se abren las válvulas para drenar el D-

623.

La transición desde STOP a EMPTY se realiza por orden de operador desde panel.

La transición desde SHUTDOWN a EMPTY se realiza por orden de operador manual

desde panel siempre que se haya reseteado las alarmas de disparo por las que la unidad

entró en el paso de SHUTDOWN.

Emergencia SHUTDOWN: El propósito de este paso es llevar la unidad a una posición

segura en caso de emergencia o necesidad del proceso, en el que todas las válvulas

automáticas irán a su posición segura y los motores se pararán. El control de caudal de

nitrógeno seguirá activo y se hace pasar el caudal de N2 a 100 kg/h a través de la descarga

del compresor C-625 cerrando el caudal a la succión. El control de presión a la caldera

seguirá activo.

La transición a este paso será automática desde cualquier paso excepto desde MW y PW

cuando se cumpla alguna de estas condiciones:

· Paro manual de emergencia, tanto hardware como software OR

· Muy alto nivel en depósito de condensados D-623 OR


· Disparo por fallo del compresor C-625

o Muy altas vibraciones OR

o Muy alta temperatura de cojinetes OR

o Muy baja presión de aceite de lubricación OR

o Muy baja presión de gas de sello OR

o Muy alta presión de gas de sello OR

o Muy alto consumo eléctrico del compresor

En la tabla 4 se resumen los pasos de la secuencia de regeneración del reactor:


Finalidad Nitrógeno Aire Hidrogeno Temperatura

MW Mantenimiento N/A

PW Espera Proceso 2.5 kg/h

PURGE Purga Reactor 2.5 kg/h

PRESSPresurización

Sistema100 kg/h

HEATCalentamiento

Sistema100 kg/h 290 ºC

OXLOWStripping a baja

temperatura100 kg/h

80 kg/h

< 1 % O2320 ºC

OXHIStripping a alta

temperatura100 kg/h

80 kg/h

< 3 % O2330 ºC

TEMPEREnfriamiento para

reducción100 kg/h 180 ºC

REDLOWReducción a baja

temperatura100 kg/h

< 0.01 %

O23 kg/h 170 ºC

REDHIReducción alta

temperatura100 kg/h

< 0,01 %

O25 kg/h 260 ºC

COOL

Enfriamiento y

purga antes de

parada

200 kg/h 160 ºC

STOP Parada del sistema 2.5 kg/h 45 ºC

EMPTY Vaciado del circuito

SHUTDOWNParada de

Emergencia100 kg/h

Tabla 4 Pasos de la secuencia de regeneración


57/173

En la ilustración siguiente se observa la secuencia completa del proceso de regeneración

con todos los steps definidos y sus transiciones:

Ilustración 13 Detalle del lazo de control de Hidrógeno


AnálisisLOPAparticulardelproceso

En este apartado se enumeran los escenarios LOPA (del inglés “Layer Of Protection

Analysis”) que podrían ocurrir durante el proceso de regeneración de un reactor de

hidrogenación de hidrocarburos, sin entrar en detalle del porqué de su definición y análisis

en LOPA, estudio mucho más extenso, delicado, laborioso y largo que corresponde a un

equipo de personas de diferentes disciplinas de seguridad, instrumentación, control y

construcción, por lo que no será objeto de estudio en el presente proyecto. Para poder

entender en que se basa un análisis LOPA particular de un proceso se hace necesario ver el

Anexo A: Análisis y evaluación de escenarios de seguridad donde se recogen las normas y

conceptos generales de este tipo de herramientas.

El análisis LOPA particular comprende dos partes diferenciadas, una de los escenarios que

afectan directamente al reactor y a la regeneración y la otra que afecta al compresor de

regeneración, máquina que se debe proteger de accidentes y eventos indeseados para no

producir derrames y/o pérdidas de económicas.

Es por ello que se realiza el análisis desde dos puntos de vista bien diferenciados:

· Análisis de escenarios de seguridad: se trata de analizar las consecuencias de un

evento o accidente que puede implicar riesgo para las personas, medio ambiente y

alrededores de la factoría.

· Análisis de escenarios de pérdidas económicas: se trata de realizar el estudio de los

escenarios que implican pérdidas económicas para la empresa, que puedan

significar paradas prolongadas de equipos o secciones de la planta, dando todo ello

lugar a pérdida de producción temporal.

Seguidamente al análisis LOPA particular se incluye una tabla particular para cada lazo de

instrumentación SIS implementado, donde se detalla datos particulares del escenario a

evitar, así como rangos de instrumentos, tolerancias, configuración de los sensores, etc.


Análisis LOPA del proceso de regeneración

Tabla 5 Tabla 1 Análisis LOPA Proceso de regeneración

Numero Descripción escenario Tipo de escenario Riesgo Evento Iniciador Evento Habilitador Probabilidad de exposición Diseño de planta BPCS Alarma Operador SIS Otras protecciones Notas

R1.1Excursión de

temperatura del reactordurante la regeneración

Daños en el reactory/o el catalizador

debido a altastemperaturas.Pérdidas del

catalizador <1MM$

Fallo del operador alfinalizar la fase de

Stripping aunque nose ha completado

Envio de N2 caliente a laatmósfera

Guia de diseño ymantenimiento

basado ennormativa IEC

SRPS760001Procedimiento crítico que

requiere Press-Depress antesde pasar N2 caliente y requiere

un tiempo mínimo de caudalcirculante

Resultado 0 Business 6 1 1 2 2

R1.2Excursión de




catalizador <1MM$

Demasiado oxigenodebido al fallo del lazo

de controlSensores:

FT61019 (1oo1)FE:

CV61020 (1oo1)




BPCS60001Ciierra válvula común deH2 y aire por detecciónde alto nivel de Oxigeno

Sensor:AT60534 (1oo1)

FE:EBV61024 (1oo1)

Cierra válvula debloqueo de aire pordetección de altas

temperaturasSIF60002_A1 to _A12

SIS SensorsTTs SIS A y B delreactor por lecho

(1oo2d)Final Element

SIS_EBV61021 (1oo1)

Instrumentación:- AT60534 Analizador Oxigeno- TT115XXA/B temperaturas lechosreactor- EBV61024- SIS_EBV61021 Aire aregeneración

Resultado 0 Business 6 1 1 2 1 1

R1.3Excursión de




catalizador <1MM$

Demasiado Hidrógenoen el step de

reducción debido alfallo del lazo de

controlSensores:

FT61016 (1oo1)FE:

CV61017 (1oo1)




BPCS60002_A1 to A12Cierre de la válvula

común de H2 y aire poraltas temperaturas del

reactorSensores:

TT's BPCS A y B delreactor por lecho

(1oo2D)FE:

EBV61024 (1oo1)

Cierra válvula debloqueo de H2 pordetección de altas

temperaturasSIF60001_A1 to _A12

SIS SensorsTTs A and B for reactor

(1oo2d)Final Element

SIS_EBV61018 (1oo1))

Instrumentación:- TT115XXA/B temperaturas lechosreactor- EBV61024- SIS_EBV61018 Hidrógeno aregeneración

Resultado 0 Business 6 1 1 2 1 1

R2.1 Oxigeno en la cabeza dela antorcha

Explosión en lacabeza de la

antorcha

Fallo del operador alalinear hacia la

antorcha cuando seestá introduciendo

aire en laregeneración

La concentraciónnormal de Oxigeno

en el step deoxidación es del 3%,por debajo del LOC



BPCS60004Cerrar válvula de aire a

regeneración pordetección de altaconcentración de

oxigenoSensor:

AT61505 (1oo1)FE:

EBV61021 (1oo1)

Instrumentación:- AT61505 analizador de oxigeno- SIS_EBV61021 Aire aregeneración

Resultado 0 Seguridad 6 1 2 2 1




R2.2Oxigeno en la cabeza de

la antorcha


antorcha

Fallo de la válvula decontrol que abre

totalmenteCV761020



BPCS760004Cerrar válvula de aire a

regeneración pordetección de altaconcentración de

oxigenoSensor:

AT61505 (1oo1)FE:

EBV761021 (1oo1)

SRPS760003Procedimiento crítico indica lasacciones a realizar en caso dealta concentración de oxigeno

para evitar enviarlo a laantorcha

Instrumentación:- AT61505 analizador de oxigeno- SIS_EBV761021 Aire aregeneración


R3.1Sobrepresión del

sistema con Hidrógeno

Envio de Hidrógenoa la atmosfera

através de PSV625

PSV625 se abre porsobrepresión

7,5Kg de H2 en 15minutos



PSV625 está tarada a 13,6Kg/cm2

Resultado 0 Seguridad 5 1 2 2

R4.1

Retroceso de H2 desdeel reactor de

regeneración hacia elsistema de N2

H2 en el sistema deN2 puede crear

atmosferasinflamables

Fallo del lazo decontrol de H2

Sensores:FT61016 (1oo1)

FE:CV61017 (1oo1)



BPCS60005Cerrar válvula de N2 poralta presión en cabeza

D623Sensores:PT61007PT61014

(3 credits SIL2+BPCS)(2oo2D)

FECV61027 (1oo1)

SIF60005Cerrar válvula de H2 poralta presión en cabeza

D623Sensores:

SIS_PT61007SIS_PT61014

(3 credits SIL2+BPCS)FE:

SIS_EBV61018 (1oo1)

Instrumentación:- SIS_PT61007- SIS_PT61014- SIS_EBV61018 hidrógeno aregeneración- CV61027 control nitrógeno aregeneración


R5.1

Muy alto set point detemperatura debido a un

error del operador, deprograma o diseño

Daños en elcatalizador que

requiere sustitución.Pérdidas del

catalizador < 1MM$

Error del operador alintroducir el SP de

temperatura



BPCS60006Alta temperatura de

salida para el calentadorSensores:

TT60531 (1oo1)FE:

EY60519A (1oo1)

OD60001Bypass del

calentador durantemás de 900 sec.

Instrumentación:- TT60531 temperatura salida delcalentador- EY60519A marcha calentador





R5.2

Muy alto set point detemperatura debido a un

error del operador, deprograma o diseño

Daños en elcatalizador que

requiere sustitución.Pérdidas del

catalizador < 1MM$

Fallo del lazo decontrol de temperatura

Sensores:TT60510 (1oo1)

FE:EY60519A (1oo1)



BPCS60007Bypass del calentador poralta temperatura de salida

Sensores:TT760531 (1oo1)

FE:EBV760915 (1oo1)

OD60001Bypass del

calentador durantemás de 900 sec.

Instrumentación:- TT60531 temperatura salida delcalentador- EY60519A marcha calentador- EBV60915


R6.1

Purga de regeneraciónalineada hacia la

antorcha cuando ocurreun disparo de caldera

puede crear una mezclaexplosiva en caso deque la purga contenga

Oxigeno


antorcha

Disparos de calderade planta

La concentraciónnormal de Oxigeno

en el step deoxidación es del 3%,por debajo del LOC



SRPS760004Procedimiento crítico que

indica com actuar en caso dedisparo de caldera mientras se

purga el sistema deregeneración

Instrumentación:- TT60531 temperatura salida delcalentador- EY60519A marcha calentador


R6.2Temperaturas de diseño

excedidas en D623,E622 y C625

Fallo del sistema deventilación E622



OD60002Alarma de alta

temperatura a lasalida del E622

alerta al operadorpara solucionar el

problema y parar laregeneración si es

necesarioSensor:

TT61008 (1oo1)

Instrumentación:- TT61008 temperatura salida delrefrigerador E622

Resultado 1 Business 5 1 2 1 Se acepta un gap de 1 crédito


Análisis LOPA del compresor de regeneración

Tabla 8 Tabla 1 Análisis LOPA Compresor de regeneración


C1.1 Daños en el compresorDaño en elcompresor.

Reparación <1MM$

Fuga de liquido enD7623 debido a fallo

del lazo de nivelSensores:LT61029LIT61002

(1oo2)FE:

ABV61108ABV61109

EY61101A (P624)(1oo2)



BPCS60003El mayor nivel detectado

en D623 entreLT61029LIT61002

(2oo2) cierra lasABV6118

ABV61109 y para elcompresorEY60501A

Instrumentación: LT61029- LT61002- ABV61108- ABV61109- EY61101A marcha compresor

Resultado 0 Business 5 2 2 1

C1.2 Alta presión de descargadel compresor

Daño en elcompresor.

Reparación <1MM$

Fallo del lazo decontrol de caudal queno abre la válvula de

controlSensores:

FT60503 (1oo1)FE:

CV60506 (1oo1)



BPCS60008Paro del compresor por

altas vibracionesSensores:VT60715VT60721VT60716VT60717VT60718VT60719

(2oo2 de cada cojinete)FE:

EY60501A (1oo1)

Instrumentación:- FT 60503- CV60506- Sensores de vibraciones BentleyNeavada- EY61101A marcha compresor


C2.1Pérdida de aceite de

lubricación en cojinetesy daños en el equipo

Daño en elcompresorReparación>100M$.

Fallo del reguladorPCV



SIF60008Paro del compresor porbaja presión de aceite

de lubricaciónSensores:PIT60604PT60603

(2oo2)FE:

EY60501A (1oo1)

Instrumentación:- PIT60604- PIT60603- EY61101A marcha compresor





Fallo mecánico de labomba de aceite

LOP625A oLOP625B



BPCS60009Arranuqe automático dela bomba de reserva porbaja presión de aceite

de lubricaciónSensores:PIT60604PT60603(2oo2)

2 creditos BPCS+SILFE:

EY60620A (1oo1)



(2oo2)FE:

EY60501A (1oo1)

Instrumentación:- PIT60604- PIT60603- EY61101A marcha compresor



Tabla 9 Tabla 2 Análisis LOPA Compresor de regeneración





Embotellamiento delos Filtros de aceite



OD60002El operadorbypasea o

reemplaza el filtropor alta presión

diferencialPDT60606 (1oo1)



(2oo2)FE:

EY60501A (1oo1)

Instrumentación:- PIT60604- PIT60603- PDT60606- EY61101A marcha compresor





Muy bajo nivel en eldepósito de aceitedebido a pérdidas

graduales



OD60003El operador añadeaceite alertado por

muy bajo nivelLIT60610 (1oo1)



(2oo2)FE:

EY60501A (1oo1)

Instrumentación:- PIT60604- PIT60603- LIT60610- EY61101A marcha compresor


C2.5

Exceso de vibracionesdel compresor o turbina.Daños en la máquina y

envio de gases a laatmosfera


Fallo mecánico de loscojinetes debido acorrosión o mala

calidad decomponentes






EY60501A (1oo1)

SRPS60005Programa de monitorización de

la calidad del aceite

Instrumentación:- Sensores de vibraciones BentleyNevada- EY61101A marcha compresor


C2.6

Exceso de vibracionesdel compresor o turbina.Daños en la máquina y

envio de gases a laatmosfera


Fallo mecánico del ejeprincipal






EY60501A (1oo1)

Instrumentación:- Sensores de vibraciones BentleyNevada- EY61101A marcha compresor



64/173

LazosdeSeguridadinstrumentadaSIS

Tabla 10 Detalle lazo instrumentado SIS 60001

Numero SIF Controlador R Nivel SIL Requerido 1Area Proceso

Descripción delescenario

Evento Inicador

Analisis de Riesgos

Capas deprotección

Idependientes

Descripción de lafunción

instrumentada deSeguridad (SIF)

Configuración del sensor:Fiabilidad requerida del sensor: 97%

Precisión requerida del sensor: +/- 2.0 %Nivel de Integridad (SIL) 1

TT11XX12A >50 Si-SIL2 72TT11XX12B >50 Si-SIL2 72

ABB AC800 HI R <= 8 YearsSimple EBV761018 >25 >100 NO 72 <=24 meses

+/- 2.0 % 310 ºC <3.6 mA+/- 2.0 % 310 ºC <3.6 mA

Demasiado Hidógeno introducido durante el paso de reducción. Fallo del lazo de control básico.Sensores: FT761016 (1oo1)Elementos Finales: CV761017 (1oo1)

Daños en el reactor y/o el catalizador debido a altas temperaturas.Pérdidas del catalizador <1MM$"Demasiado Hidrógeno debido al fallo del lazo de controlSensores: FT761016 (1oo1)FE: CV761017 (1oo1)

SIF 760001_A1_A1276R1.3Temperatura del reactor excede los limites durante la regeneraciónBusiness TF=6

Capa de Protección Descripción

Ación BPCSCerrar Válvula común de aire e Hidrógeno al reactorpor detección de altas temperaturas en lechos delreactor

Actuación de operador ante alarma con procedimiento

Ortos Sistemas de Proteción

Función SIF-A

Cerrar EBV de Hidrógeno por detección de altastemperaturas en lechos del reactorSIF 760001_A1 to _A12Sensores: Termopares de lechos del reactor12 lazos de 2 termopares (1oo2D) por reactor(diferentes sensores, mismo elemento final)FE: Válvula de bloqueo de H2 individualEBV761018 (1oo1)

Función SIF-B

MTTR(Horas)

Intervalo detesteo (TI)

Configuración del lazo SIS

Disparo por temperaturas: Cierre de la válvula de bloqueo de H2 EBV761018 (1oo1) por detección de altatemperatura en un temopar (1oo2D) de una de las 12 parejas de termopares redundantes dispuestas en cada unode los lechos del reactor.

1oo2D

Configuración Tipo de elemento Tag delinstrumento

MTTF(años)

MTTF(años)

SIS compartidocon BPCS?

Consigna defallo

TT11XX12A

ControladorVálvulas de bloqueo

Dual Termopares <=6 años

Condición defallo

Configuración del Sensor Tag del instrumento Rango decalibración

Precisiónrequerida

Consignade disparo

Datos de calibración del sensor(es) SIS

Fallo cierra

Datos de calibración del e lemeto(s) final SIS

Requerimientos deDiseño SIS

EBV761018

0-500 ºCTT11XX12B 0-500 ºC

Configuración del elemento final Tag del instrumento





Evento Inicador

Analisis de Riesgos

Capas deprotección

Idependientes




Precisión requerida del sensor: +/- 2.0 %Nivel de Integridad (SIL) 1

TT11XX12A >50 Si-SIL2 72TT11XX12B >50 Si-SIL2 72


+/- 2.0 % 430 ºC <3.6 mA+/- 2.0 % 430 ºC <3.6 mA

SIF 760002_A1_A1276R1.2Temperatura del reactor excede los limites durante la regeneraciónBusiness TF=6Demasiado Oxígeno introducido durante el paso de reducción. Fallo del lazo de control básico.Sensores: FT761019 (1oo1)Elementos Finales: CV761020 (1oo1)

Daños en el reactor y/o el catalizador debido a altas temperaturas.Pérdidas del catalizador <1MM$"Demasiado Hidrógeno debido al fallo del lazo de controlSensores: FT761019 (1oo1)FE: CV761020 (1oo1)


Ación BPCSCerrar Válvula común de aire e Hidrógeno al reactorpor detección de altas temperaturas en lechos delreactor


Función SIF-A

Cerrar EBV de Aire por detección de altastemperaturas en lechos del reactorSIF 760002_A1 to _A12Sensores: Termopares de lechos del reactor12 lazos de 2 termopares (1oo2D) por reactor(diferentes sensores, mismo elemento final)FE: Válvula de bloqueo de H2 individualEBV761021 (1oo1)

Función SIF-BOrtos Sistemas de Proteción

Disparo por temperaturas: Cierre de la válvula de bloqueo de Aire EBV761021 (1oo1) por detección de altatemperatura en un temopar (1oo2D) de una de las 12 parejas de termopares redundantes dispuestas en cada unode los lechos del reactor.


1oo2D


Configuración Tipo de elementoTag del

instrumentoMTTF(años)

MTTF(años)


MTTR(Horas)


Dual Termopares <=6 años


Configuración del Sensor


Tag del instrumento Rango decalibración

Precisiónrequerida

Consignade disparo

Consigna defallo

TT11XX12A 0-500 ºCTT11XX12B 0-500 ºC

Configuración del elemento final


Tag del instrumentoCondición de

falloEBV761021 Fallo cierra



En el sistema de control los lazos de seguridad SIS se representarán mediante gráficosdedicados a tal efecto como el que ilustra la siguiente figura:



Evento Inicador

Analisis de Riesgos

Capas deprotección

Idependientes




Precis ión requerida del sensor: +/- 2.0 %Nivel de Integridad (SIL) 2

PT761007 >50 Si-SIL3 72PT761014 >50 Si-SIL3 72


+/- 2.0 % 8 Kg/cm2 <3.6 mA+/- 2.0 % 8 Kg/cm2 <3.6 mA

SIF 76000576R4.1Retroceso de H2 desde el reactor de regeneración hacia el sistema de N2 puede crear atmósferas inflmablesSeguridad TF=6Fallo del lazo de control básicoSensores: FT761016 (1oo1)Elementos Finales: CV761017 (1oo1)

Alta presión en D7623 debido a retroceso de H2 hacia sistema de N2Sensores: FT761016 (1oo1)FE: CV761017 (1oo1)


Ación BPCSSIL2+BPCS: Cerrar válvula de N2 CV761027 (1oo1)por detección de alta presión en cabeza D7623,snesores PT761007, PT761014 (2oo2D)


Función SIF-A

SIL2+BPCS: Cerrar válvula de H2 EBV761018(1oo1) por detección de alta presión en cabezaD7623, sensores PT761007, PT761014 (2oo2D)

Función SIF-BOrtos Sistemas de Proteción

Disparo por presión: Cierre de la válvula de bloqueo de Hidrógeno EBV761018 (1oo1) por detección de altapresión en dos medidores de presión (2oo2D) redundante dispuestas en la cabeza del deposito de regeneración.


2oo2D


Configuración Tipo de elementoTag del

instrumentoMTTF(años)

MTTF(años)


MTTR(Horas)


Dual Medidores de presión <=6 años


Configuración del Sensor


Tag del instrumentoRango de

calibraciónPrecisiónrequerida

Consignade disparo

Consigna defallo

PT761007 0-10 kg/cm2

PT761014 0-10 kg/cm2

Configuración del e lemento final


Tag del instrumentoCondición de

falloEBV761018 Fallo cierra


Ilustración 14 Detalle de lazos de seguridad SIS

4. Estudio de recursos materiales y humanos

Recursosmateriales

Durante el desarrollo de este proyecto se ha indicado la instrumentación necesaria para

poder efectuar la automatización del proceso de regeneración del reactor químico, pero

en este apartado se hace mención y análisis de los recursos necesarios para llevarlo a

cabo. Todo ello se basa en la arquitectura usada por la plataforma de control 800xA

Industrial IT de ABB, detallada en el Anexo B: Diseño del sistema de control.

La distribución de señales realizada es la descrita en el apartado Error! Reference

source not found., recogido en el Anexo D: Listado y mapeado de señales de E/S, donde

se detalla también un listado de todas las señales del sistema.

En las siguientes tablas se expresa el número de señales por controlador, como por tipo

de señal, así como la cantidad de módulos de E/S de cada tipo, las señales utilizadas en

cada uno de ellos y el número de señales libres. También se refleja el tanto por ciento de


señales utilizadas de cada tipo, dato que aporta una idea de la ocupación del sistema de

control para posibles futuras ampliaciones. Observar que se sigue una cierta norma de

mantener al menos un 30 % de señales libres de ocupación en el sistema.

Tabla 13 Número de señales de E/S en controlador A (PM866)

Tabla 14 Número de señales de E/S en controlador R (PM865)

A continuación se lista el hardware requerido para la Zona 2, es decir, controladores,

tarjetas, armarios, etc.

AI845 DI840 AO845 DO840 AI845 DI840 AO845 DO840Libres 34 20 14 27 12 21 6 8

Usadas 38 28 10 21 4 11 2 8Total 72 48 24 48 16 32 8 16

Nº Modulos 9 3 3 3 2 2 1 1%Usado 52.8% 58.3% 41.7% 43.8% 25.0% 34.4% 25.0% 50.0%

BPCS ElectricasCI854

1CI854

2

A

BPCS Procso

AI880 DI880 AO880 DO880Libres 42 22 0 23

Usadas 54 10 0 9Total 96 32 0 32

Nº Modulos 12 2 0 2%Usado 56.3% 31.3% 0.0% 28.1%

R

ModuleBusSIL


El hardware requerido para la Zona 2 se lista a continuación:


Tabla 15 Listado de materiales para zona 2

Módulo Descripción Sistema A Sistema R Cantidad Coste unitario Coste total

PM865K02

El paquete incluye:-PM865, CPU, 2 unidades-TP830, Baseplate, ancho=115mm, 2 unidades-TK850, cable de expansión CEX-bus-TB807, Terminal Modulebus, 2 unidades-TK851, RCU-Link cable-Batería de memória de back-up, 1 para cada CPU

1 1 15.780,00 € 15.780,00 €

PM866K02

El paquete incluye:-PM866, CPU redundante, 2 unidades-TP830, Baseplate, ancho=115mm, 2 unidades-TK850, cable de expansión CEX-bus-TK851, RCU-Link cable-Batería de memória de back-up, 1 para cada CPU

1 1 12.130,00 € 12.130,00 €

SM810K01

Módulo para CPU de seguridad, Conexión por CEX Bus a travésdel módulo de conectividad BC810 CEX Bus.-SM810, Módulo de seguridad-TP855, Baseplate, ancho=60mm

2 2 3.905,00 € 7.810,00 €

BC810K02

Módulo extensor de CEX bus:-BC810, Unidad de interconexión, 2 unidades-TP857, Baseplate, ancho =60mmTK851, Cable de InterconexiónTB850, Terminal CEX-BUS, 2 unidades

1 1 2 603,00 € 1.206,00 €

TB840A Modem Optical Module bus 8 8 184,00 € 1.472,00 €TY801K01 Paquete de 8 shunts 11 12 23 50,00 € 1.150,00 €

CI854AK01PROFIBUS DP-V1:-CI854,Interface de communicación-TP854, Baseplate, ancho=60mm

2 2 963,00 € 1.926,00 €

TK212ACable herramienta RJ45 a Dsub-9, largo 3m para conexión PC acontrolador

1 1 2 15,00 € 30,00 €

CI840A PROFIBUS DP-V1, Interface de communicación 4 4 494,00 € 1.976,00 €

AI845

Módulo analógico de entradas.Redundante o simple 1x8ch. HART0(4)..20mA, 0(1)..%v, 12bit, 0.1%,Aislamiento 50VDistrubución de potencia limitada en corriente

11 11 580,00 € 6.380,00 €

AI880A

Módulo analógico de entradas SILRedundante o simple 1x8ch. HART0(4)..20mA, 0(1)..%v, 12bit, 0.1%,Aislamiento 50VDistrubución de potencia limitada en corriente

12 12 880,00 € 10.560,00 €

AO845

Módulo analógico de salidasRedundante o simple1x8ch. HART4..20mA, 12bit, 0.1%, Rlmax 750 ohmAislamiento 50V

4 4 690,00 € 2.760,00 €

DI840

Módulo de entradas digitalesRedundante o simple24Vdc, 1x16chAislamiento 50V

5 5 425,00 € 2.125,00 €

DI880A

Módulo de entradas digitales SILRedundante o simple24Vdc, 1x16chAislamiento 50V

2 2 425,00 € 850,00 €

DO840

Módulo de salidas digitalesRedundante o simple24Vdc, 0.5A, 2x8ch.Aislamiento 50V

4 4 515,00 € 2.060,00 €

DO880

Módulo de salidas digitales SILRedundante o simple24Vdc, 0.5A, 2x8ch.Aislamiento 50V

2 2 898,00 € 1.796,00 €

TU840 Base para módulo TB840A 7 7 200,00 € 1.400,00 €TU843 Base para módulos DI840 y DI880 13 4 17 160,00 € 2.720,00 €TU845 Base para módulos AI845 y AI880A 11 12 23 160,00 € 3.680,00 €

TK811V015 Cable fibra óptica, Largo=1.5m con conector duplex 8 8 23,00 € 184,00 €

TU846

Unidad de terminacion de Módulo, MTU para 1+1 CI840Sopòrte para redundanciaMódulos de montaje vertical, incluye:1 Conector de alimentación2 TB807 terminador ModuleBus

2 2 230,00 € 460,00 €

78.455,00 €

Hardware Zona 2

Coste Total


Los armarios donde residirán los equipos de zona 2 (ver Anexo A), serán los siguientes:

Tabla 16 Listado de armarios para Zona 2

El material requerido para la zona 3 recomendados por ABB será el siguiente:

Tabla 17 Listado de armarios para Zona 3

La distribución de los servidores será la siguiente:

· 2 servidores de conectividad (Red de control / Red Cliente Servidor)

· 3 servidores de aspectos (Red Cliente Servidor)

· 1 servidor de históricos (Red Cliente Servidor)

Los servidores y clientes requerirán del siguiente software para operar en la plataforma

de control, del cual se detallan sus precios de venta aproximados en fecha Noviembre de

2014.

Cantidad Coste unitario Coste total4 9.780,00 € 39.120,00 €8 350,00 € 2.800,00 €

41.920,00 €

Armarios y alimentaciones para Zona 2

Coste Total

DescripciónArmario Rittal 220 x 1200 x 400 mm

Fuente alimentación con sistema de diagnostico

Cantidad Coste unitario Coste total6 4.900,00 € 29.400,00 €1 440,00 € 440,00 €1 2.800,00 € 2.800,00 €2 1.950,00 € 3.900,00 €6 480,00 € 2.880,00 €2 40,00 € 80,00 €

32.640,00 €

Hardware Zona 3Descripción

Servidor DELL PowerEdge R610

Armario DELL PowerEdge 4210

Coste Total

DELL 3524 Ethernet Switch - red Servidor/Cliente

Estaciones de trabajo DELL T3500 desktop (soporte 3 monitores)Monitor DELL 2007 FP

Altavoces DELL AS501 SoundBar para Monitores DELL 2007 FP


Tabla 18 Lista de programas necesarios para zona 3

Recursoshumanos

Los recursos humanos necesarios para documentar y programar el proyecto de

automatización del presente proyecto están determinado por el intervalo de tiempo

comprendido entre el momento en que se inicia el proyecto y la entrega a operación.

El proceso del proyecto desde la perspectiva de la automatización lo podemos englobar

en los siguientes apartados:

· Creación de la estrategia de control básica. Una visión general del proceso es

importante para poder dar una idea global al equipo del proyecto. Por tanto, en

este apartado únicamente se hace mención de algunos equipos relacionados con

el proceso y algunos diagramas de instrumentación generales.

· Creación de la estrategia de control en detalle. Para implementar el código de

control según las exigencias del representante de operaciones, es necesaria una

documentación fiable y clara de cómo debe funcionar el proceso. Esta

documentación además debe integrar los lazos de seguridad instrumentada

extraídos del análisis de riesgos del proceso.

· Desarrollo de código de control que abarque soluciones específicas del proyecto.

La implementación de código específico en forma de librería propias del

proyecto para realizar determinadas funcionalidades que las librerías por defecto

instaladas en la plataforma de control no contempla, es una tarea que debe

realizarse previamente la implementación de código en las aplicaciones que

describen los procesos. Un libro de convenciones de la programación es una

Cantidad Coste unitario Coste total6 150,00 € 900,00 €8 130,00 € 1.040,00 €8 122,00 € 976,00 €8 30,00 € 240,00 €8 55,00 € 440,00 €1 8.000,00 € 8.000,00 €3 900,00 € 2.700,00 €2 1.050,00 € 2.100,00 €

2.916,00 €

Winzip con licencia para 8 usuarios (1 por servidor, 1 por cliente)

Software Zona 3Descripción

Windows 2008 Server (1 por servidor)Microsoft Excel 2010 (1 por servidor, 1 por cliente)Microsoft Word 2010 (1 por servidor, 1 por cliente)

Symantec Antivirus V15 (1 por servidor, 1 por cliente)ABB Industrial IT 800xA System version 5.2

Coste Total

Licencia para 100 CLP'sLicencia para 100 CLP's HI (SIS)


herramienta fundamental para implementar código estandarizado entre los

diferentes integrantes de un equipo de automatización.

· Desarrollo del código de control del proceso. Este apartado tiene la misión de

traducir la estrategia de control en detalle a código para que el proceso funcione

tal como se ha definido inicialmente.

· Simulación y validación del código de control con el representante de

operaciones. La realimentación por parte del representante de operaciones que

aporte una opinión y una crítica sólida hará que el resultado final del proyecto

sea el correcto. La inexistencia de esta realimentación puede desencadenar

muchos problemas cuando el proceso se encuentre en marcha, reduciendo

drásticamente la efectividad del equipo de proyecto, alargando tiempos y costes.

· Creación del material de entrenamiento y sesiones de formación operacional. La

documentación de entrenamiento servirá de material básico en la instrucción de

operadores y personal de planta. Una disciplina estricta en la actualización y

corrección de esta documentación evitará problemas a la hora de operar el

proceso. Esta documentación deberá servir de guía a modo de consulta cuando el

proyecto se haya entregado a planta.

· Comisionado de lazos de instrumentación y validación de lazos de seguridad

instrumentada. El comisionado de lazos de instrumentación asegurará que toda

la instrumentación y los actuadores de planta estarán correctamente conectados a

la plataforma de control. Toda la instrumentación será supervisada previamente

a su instalación para asegurar que los rangos establecidos en la estrategia de

control es correcta. La validación de los lazos de seguridad asegurará que tanto

los elementos sensores, la función de seguridad y los elementos finales

funcionan correctamente. Para ello se provocan las condiciones de disparo

mediante la actuación directa sobre la variable de proceso en la medida de lo

posible.

· Puesta en marcha y seguimiento. La puesta en marcha del proceso y su

supervisión será la última parte del proceso del proyecto. Se comprobará que el

proceso funciona tal como se definió por el responsable de operaciones y se

sintonizarán controladores o funciones únicamente accesibles cuando el proceso

se encuentra en marcha.


Datos experimentales

El equipo de proyecto considerará la necesidad de diferentes ingenieros de

automatización para la ejecución del proyecto, tales como:

· Ingeniero sénior (> 5 años experiencia) para implementar la estrategia de

control.

· Ingeniero sénior (> 5 años experiencia) para la implementación de código de

control.

· Ingeniero junior (> 1 año experiencia) para la implementación de gráficos y

gestión de históricos.

El tiempo de experiencia del ingeniero tendrá un impacto directo en tiempo de

ejecución, considerando que una persona con experiencia consolidada abarcará los

problemas de una forma más efectiva en la relación productividad versus el tiempo

dedicado. Sin embargo, ingenieros con menos experiencia aportarán grandes dosis de

efectividad ante tareas menos críticas pero de no menos importancia que acaparan largos

intervalos de tiempo para su desarrollo.

Una técnica para conocer qué recursos de ingeniería son necesario para el proyecto es a

través de un indicativo del volumen del proyecto. El número de señales de entrada y

salida es un indicador muy claro del volumen del proyecto.

Por experiencia y mediante el análisis de históricos de imputación de horas en función

de los diferentes apartados definidos previamente, se ha desarrollado la siguiente tabla

que indica el tiempo medio dedicado al proyecto de automatización por cada señal E/S

en proyectos ejecutados con personal sénior:

Tabla 19 Valor medio de tiempo dedicado al proyecto por señal de E/S

La tabla adjunta toma en consideración los siguientes aspectos:

· Tiene en cuenta la programación y todas las acciones relacionadas con la

consideración de lazos instrumentados de seguridad.

Creación de la estrategia de control básica. 0,2Creación de la estrategia de control en detalle 2,0Desarrollo de código de control que abarque solucines específicas del proyecto 0,2Desarrollo del código de control del proceso 1,8Simulación y validación del código de control con el representante de operaciones 0,5Creación del material de entrenamiento y sesiones de formación operacional 0,7Comisionado de lazos de instrumentación y validación de lazos de seguridad instrumentada 0,8Puesta en marcha y seguimiento 0,4

Valor medio(h/IO)Actividad

TOTAL 6,6


· Los profesionales considerados son ingenieros con más de 5 años de experiencia.

· El comisionado de los lazos de instrumentación se limita a la supervisión y al

apoyo del equipo de comisionado formado por instrumentistas y comisarios de

supervisión.

La creación de la estrategia de control se refiere a la tarea de documentar la operativa

del proceso especificado por el representante de operación y a la integración de la

instrumentación de campo con la plataforma de control.

En el caso del proyecto de automatización de la regeneración de un reactor químico, el

número total medio de horas dedicadas será:

htntt

TOTAL

IOIOhTOTAL

2880437·6.6·/

»==

El equipo de automatización de este proyecto se compondrá de un ingeniero para la

creación de la estrategia de control (960 horas) y posteriormente entrarán dos ingenieros

de automatización adicionales para abarcar el resto de tareas especificadas en la tabla

(960 horas cada ingeniero).


El objetivo de la siguiente sección es explicar la estructura de código y el formato de

las reglas que configuran el comportamiento de los objetos definidos en la aplicación

de control; no pretende desarrollar pequeños matices a tener en cuenta para procesos

particulares. Para su mejor entendimiento se recomienda consultar el Anexo C:

Estructura de código en el sistema 800xA Industrial IT, donde se detallan los

pormenores de la programación en esta plataforma de control.

5. Programación del proceso

La implementación y desarrollo de la estrategia de control definida engloba todos los

objetivos particulares que en su conjunto satisfarán las necesidades del proceso

establecidas por las diferentes disciplinas del equipo de proyecto previamente. El

proceso debe funcionar tal y como se ha definido en la estrategia de control y con el

nivel de riesgo tolerable especificado, además debe presentar gráficamente todos sus

equipos y variables de proceso de forma coherente fiel a un mismo patrón: supervisar y

controlar el proceso de forma dinámica y de la forma más efectiva posible.

La programación del código de control sobre ABB Industrial IT 800xA se efectúa en un

entorno de programación particular, denominado Control Builder M, que se basa en la

creación de objetos y reglas para definir el comportamiento de los procesos. Por tanto,

el primer paso hacia la implementación del programa será definir, mediante el uso de

librerías de código particulares, la funcionalidad básica de cada uno de los elementos

presentes en el proceso. Este paso lo definiremos como “desarrollo de soluciones

particulares del proyecto” y se limitará a implementar todas la librerías de código

necesarias que contendrán cada objeto particular como válvulas, motores o sensores de

diferentes tipos. Cada objeto podrá contener objetos denominados simples, es decir,

objetos de menor nivel de definición; o denominados objetos compuestos, es decir,

objetos definidos por un conjunto de objetos simples o compuestos.

Podemos definir un objeto simple como un conjunto de sentencias de código básicas

que determinan el valor de sus variables internas en función de otras variables internas o

externas. A modo de ejemplo, podemos citar que una alarma dispone de un

temporizador (función básica) que se activa en función del estado de las variables

externas que representan el estado de las variables de proceso. Así, el elemento


compuesto que llamamos alarma se compone de al menos tres elementos simples, un

elemento “capturador” de señal, un comparador y un temporizador.

Una vez dispongamos de las librerías específicas de nuestro proyecto, pasaremos a

efectuar la “implementación de la aplicación específica de los procesos” definidos. En

este paso se obtendrán los objetos instanciados en la aplicación y se definirán las reglas

de código para un correcto funcionamiento.

La última parte de la implementación y desarrollo del código de control será la

representación de procesos y los objetos que los constituyen en los diagramas

presentados en las pantallas de operación.

En el anexo B, se explica una breve introducción de la estructura de código del ABB

Industrial IT 800xA.

A continuación se presentan algunos gráficos generales del sistema de regeneración

programado en el sistema de control


Ilustración 15 Gráfico general de proceso


Ilustración 16 Gráfico general deposito decantador


Ilustración 17 Gráfico general compresor de regeneración

6. Entrenamiento operacional

FormaciónaOperadoresyresponsablesdeplanta

Una correcta operatividad del proceso es fundamental para evitar paros indeseados y

mantener el proceso dentro de los límites de operación segura. Así, el personal de

operación deberá ser instruido en las siguientes áreas:

· Estrategia de control. Tanto si el proceso es nuevo como si se trata de un proceso

existente modificado, el personal de operación debe ser consciente de ello.

Acompañar esta formación mediante procedimientos de operación puede ser una

buena praxis para situar en primer plano las necesidades que acontecerán una

vez el proyecto finalice.


· Plataforma de control. Tanto operadores como responsables de planta deberán

conocer el funcionamiento de la plataforma de control. Interpretar y reconocer

alarmas, configurar pantallas de tendencias para una mejor interpretación del

proceso y manipular objetos (válvulas, motores, instrumentación, etc.) son tareas

básicas que se deben conocer a la perfección.

· Conocimiento operacional aplicable de la norma IEC61508. Los operadores son

los elementos más cercanos al proceso y forma parte de su responsabilidad

llevar a cabo acciones manuales ante alarmas (acreditadas en LOPA) y

supervisar que las tareas de mantenimiento de los lazos de seguridad se cumplen.

Para ello, es imprescindible que estos operadores reciban una formación

específica sobre el concepto de lazos SIS y sobre los procedimientos de

actuación ante alarmas acreditadas.

La formación puede ser una buena herramienta para detectar posibles fallas en la

estrategia de control establecida y formas de operatividad del proceso poco amigables.

Los posibles cambios futuros no podrán resultar demasiado críticos ni embarazosos,

pero la experiencia aportada por operación puede significar una mayor confortabilidad,

y por tanto, mayor seguridad. Son tareas primordiales escuchar a operación, razonar las

decisiones tomadas sobre estrategia de control y la operatividad del proceso y tomar

acciones correctivas en caso necesario.

Formaciónaequiposdemantenimiento

El mantenimiento de la instalación es fundamental para un correcto funcionamiento del

proceso. Se debe instruir al equipo de mantenimiento del hardware de la plataforma de

control para que sea capaz de detectar, diagnosticar y reparar la posible anomalía

presentada.

El equipo de mantenimiento debe ser capaz de diagnosticar tanto anomalías sobre la

plataforma de control (incluyendo servidores y clientes) como de la instrumentación

presente en campo. El diagnóstico de las señales desde el interfaz de usuario del sistema

de control permitirá conocer rápidamente dónde se ubica el problema.

Para la revisión de instrumentos como acción surgida de necesidades de mantenimiento

de lazos de seguridad (SIS), deberá soportarse con procedimientos de mantenimiento y

procedimientos de operación. Los técnicos deben saber navegar en el proceso desde el


interfaz de usuario para poder seleccionar los equipos a revisar (tras la aprobación del

responsable de planta).

Una formación básica sobre IEC61508 ayudará a mantener los procesos dentro de los

límites de seguridad tolerable definido en el análisis de seguridad de procesos. Conocer

las frecuencias de testeo, el tipo de testeo de los equipos y los procedimientos de

revisión es básico para llevar a cabo estos trabajos.


Comisionado,puestaenmarchayentregadeproyecto

Comisionado

El comisionado del proyecto es el proceso de validación de la instrumentación y de los

elementos instalados en el proceso. La instrumentación nueva instalada debe ser

testeada individualmente por parte del departamento de mantenimiento: que el equipo

funcione de forma correcta significa que los rangos de funcionamiento, las unidades de

medida y su sistema de diagnóstico son correctos. Este proceso se efectúa en la fase de

montaje del proyecto o previamente, en la recepción del material.

Por tanto, una vez se inicia el comisionado del proyecto, los sistemas instalados deben

funcionar correctamente. El proceso de comisionado se limitará a chequear el

“timbrado” de cables, alimentaciones de equipos, rangos de funcionamiento definidos

en la plataforma de control, fusibles en cajas de interconexión, conexión a la plataforma

de control, etc.

Dentro de la etapa de comisionado se integra el proceso de Validación de lazos de

seguridad: certificación de que todos los elementos de la cadena de seguridad funcionan

correctamente. En la medida de lo posible, siempre se intentará efectuar una prueba

funcional mediante la manipulación de la variable de proceso para observar cómo

reacciona el elemento final ante la orden aportada por la función de seguridad calculada

por la lógica de control. En algunos casos, no es posible efectuar la validación del lazo

de seguridad manipulando la variable de proceso por no disponer de medios físicos para

alcanzar determinadas consignas. A modo de ejemplo, podemos citar un lazo de presión

donde la consigna de disparo por muy alta presión se ubica en los 1500 bar: no es

posible subir esa presión manualmente o con medios locales. En estos casos justificados,

es posible efectuar la validación de lazos de seguridad mediante simulación de la señal

de medida, indicando la corriente al instrumento través de comunicación HART bus,

Profibus, FOUNDATION Field bus… o bien, mediante la conexión de una fuente de

corriente reemplazando el instrumento.


Puesta en marcha

La puesta en marcha del proyecto supondrá el último paso previo a la entrega del

proyecto. Arrancar el proceso y demostrar su correcto funcionamiento será el objetivo

principal de esta etapa.

Durante un periodo de tiempo determinado en función de la complejidad del proceso,

deberá existir un soporte técnico por parte del equipo de proyecto para corregir posibles

contratiempos que puedan surgir y que no se hayan contemplado previamente.

Entrega de proyecto

La entrega definitiva del proyecto a la planta se define como el momento en que el

equipo de proyecto culmina su labor y lo entrega en condiciones óptimas para operar.

La documentación corregida con la última versión tras la puesta en marcha debe ser

suministrada tanto a planta como al equipo de mantenimiento para poder operar y

mantener la instalación de forma óptima. La actualización y puesta al día de toda la

documentación deberá ser responsabilidad de planta y mantenimiento a partir de la

entrega del proyecto.


Anexo A: Análisis y evaluación de escenarios de

seguridadEste apartado corresponde al proceso de efectuar la evaluación de riesgos y el

consecuente diseño de los lazos de seguridad del proceso.

Se divide en dos partes: la primera parte define el riesgo y lo pondera para poder ser

gestionado mediante herramientas de evaluación y cuantificación de peligros. Además,

efectúa un recorrido de los fundamentos básicos extraídos en su mayoría de la

normativa de la “International Electrotechnical Commission” IEC61508 y IEC61511,

definiendo variables que serán de utilidad para la definición de la evaluación de

riesgos particular de la regeneración del Reactor. La segunda parte de esta sección

hace referencia al estudio particular del proceso que objetiva este proyecto basándose

en una herramienta particular definida durante la primera parte de la sección.

Introducción

La Real Academia de la Lengua Española define el riesgo como contingencia o

proximidad de un daño.

Tener conciencia de qué es el riesgo no significa evitar la actividad para no encontrarnos

con el indeseado riesgo, sino que es un indicativo que muestra la necesidad de

protección sobre los elementos que interactúan en esa actividad.

El riesgo se encuentra en prácticamente todo los que nos rodea y la mejor manera de

combatirlo es reducirlo en lo máximo posible. El problema existente es que no siempre

se encuentra donde se espera que exista. Este motivo justifica la idea de una herramienta

de análisis de riesgos efectiva imperativa a la hora de pensar en realizar una determinada

actividad o proceso.

En nuestra vida cotidiana, tomamos actitudes laxas cuando nos habituamos a

determinadas circunstancias que se suceden con cierta monotonía y sin riesgos

aparentes. Esta conducta se incorpora en nuestras vidas relajando nuestros sentidos y

adormeciendo nuestros reflejos. Así, nos tornamos desatentos, descuidados y sin

capacidad de anticiparnos, prevernos y protegernos ante un acontecimiento peligroso.

En una determinada actividad o un determinado proceso funcionando bajo control, se

define el nivel de riesgo como la interacción de la frecuencia de que suceda un

determinado escenario indeseado (incidentes al año) y la consecuencia generada por esa


situación indeseada (muertes por incidente). Podemos ejemplificar con el buen

funcionamiento de un Boeing 747 con capacidad de hasta 400 pasajeros. El sistema de

impulsión, el tren de aterrizaje, el control de temperatura y presión de cabina… son

sistemas cuya fiabilidad viene impuesta por demanda de un correcto y preciso

funcionamiento de forma continuada y por el alto grado catastrófico desencadenado en

caso de anomalías humanas, eléctricas o mecánicas.

Los sistemas de protección segura para procesos industriales tienen el objetivo de

garantizar una efectiva reducción de los riesgos de una determinada actividad a unos

niveles apropiados de seguridad.

Hay que considerar que un ambicioso sistema de protección puede llegar a ser

incompatible con los costos de inversión o con la operatividad de la planta industrial.

Así, se acepta una reducción de riesgos hasta un nivel razonable o tolerable conocido

como ALARP (As Low As Reasonably Practicable) tras una minuciosa evaluación.

Evolución de las técnicas de evaluación de riesgo

El concepto de sistemas de seguridad no es algo actual. Durante los años sesenta la

industria petroquímica optó por la instalación de relés cableados, instalados donde se

identificaba la necesidad. El progreso de la electrónica de potencia durante la década de

los años 70 impulsó el uso de relés de estado sólido. Durante la década de los años 80 se

hace uso de controladores lógicos programables y se desarrolla el procedimiento para el

análisis funcional de operatividad (HAZOP). Hasta finales de los años 90 se maduran

diferentes metodologías para la identificación sistemática de peligros. Durante el año

2000 aparece el concepto de procesos basados en el ciclo de vida de lazos de seguridad

(ciclo de vida SIS): se inicia con la definición, evaluación y análisis del riesgo del

proceso, con un posterior diseño y la correspondiente implementación de los lazos de

seguridad. Posteriormente define los requisitos de operación y mantenimiento de sus

elementos y finalmente efectúa su demolición en el proceso cuando llega el final de su

ciclo.

Análisis general


Métodos de Análisis y Evaluación de riesgos

El diseño de un proceso debe contemplar todas las situaciones de riesgo y para ello,

debe efectuarse un exhaustivo análisis para determinar las consecuencias de todas las

posibles desviaciones de proceso que se sitúen fuera de las condiciones operativas

normales.

El proceso de evaluación de riesgos se puede dividir en tres fases:

Fase de identificación de peligros.

Fase de evaluación de los peligros.

Fase de cuantificación de los peligros.

Una vez identificados los peligros capaces de provocar un acontecimiento de riesgo y

evaluados en su probabilidad de ocurrencia y potencial de daño, queda definido el

requerimiento mínimo de nivel de integridad en la seguridad (SIL) exigible al sistema

de protección para reducir los riesgos al nivel apropiado de seguridad.

Proceso de evaluación de escenarios peligrosos

Identificación de peligros

El análisis de situaciones de riesgo y de dificultades operativas HAZOP (Hazard and

Operability Analysis) consiste en una técnica estructurada para identificar riesgos

debido al mal funcionamiento de un proceso. Se trata de un proceso cualitativo.

El análisis HAZOP debe ser efectuado por un equipo multidisciplinar constituido

normalmente por ingenieros de proyecto, de proceso, mecánico y de instrumentación y

soportado por especialistas químicos, de control y de seguridad.

Considerando el análisis HAZOP desde la etapa de diseño se reduce drásticamente

problemas potenciales evitando así grandes costes por modificación después de haber

construido la planta.

Evaluación y cuantificación de peligros


El análisis de peligros HAZAN (Hazard Analysis) es la aplicación de métodos

numéricos para conocer básicamente:

La probabilidad de que un peligro se manifieste, y

Las consecuencias sobre las personas, el proceso y la planta.

Para clasificar los riesgos, existen diferentes índices que permiten identificar los

peligros de forma sistemática y suministrar un método de clasificación por prioridades.

Los más conocidos son:

· Índice de Dow. Desarrollado por la compañía Dow Chemical Company para

identificar fuegos, explosiones y peligros por reacciones químicas en el diseño

de plantas.

· Índice de Mond: Desarrollado por la compañía Imperial Chemical Industries tras

el desastre de Flixborough (Junio del 1974), tiene más amplitud de alcance que

el índice de Dow.


Plataformas de protección

El concepto de plataformas o capas de seguridad define de forma fiable el sistema de

seguridad de la planta. Según las características de los elementos de protección, se

distinguen tres tipos de capas:

· Capa de protección de sistemas pasivos. Los sistemas de protección que se

encuentran en esta capa son mecanismos directos de protección física y

mecánica. Se trata de la capa de protección que actuará en caso de que las demás

hayan fallado para proteger a las personas, la instalación y al medioambiente. El

sistema de protección pasivo debe estar en sintonía con los siguientes puntos:

o Seguridad inherente. Siempre que sea posible, hay que tratar de utilizar

elementos o productos de planta que tengan una seguridad inherente o

escoger rutas de proceso que reduzcan el riesgo. Se debe evitar el uso de

elementos tóxicos o reactivos en la medida de lo posible.

o Inventario mínimo. Acumular productos químicos incrementa el riesgo,

por lo que es recomendable evitar tanques entre procesos siempre que sea

posible.

o Sistemas de contención. En el diseño del proceso se debe contemplar

elementos que permitan controlar y contener de forma segura los

productos emitidos.

o Elementos pasivos. Son elementos pasivos en el sentido de que son

puramente mecánicos y no requieren de energía exterior para proteger a

la instalación. Los discos de ruptura, válvulas de seguridad de presión o

rompedores de vacío y válvulas de retención para caudales inversos son

algunos ejemplos de elementos pasivos.

o Diseño a fallo seguro. Es muy importante efectuar un correcto diseño de

los elementos de seguridad contemplando la posición en que quedarán

cuando no exista energía exterior. Este concepto está relacionado con los

elementos que forman parte de la capa de seguridad activa, pero la

determinación de la situación a la que esos elementos tienen que ir en

caso de fallo de suministro neumático o eléctrico forma parte de la

seguridad pasiva.


o Seguridad intrínseca. La instrumentación con certificación expresa

indicando que es intrínsecamente segura se hace obligatorio para que no

suponga un riesgo en la instalación.

· Capa de protección de sistemas activos. Los elementos de protección existentes

en esta capa actuarán si la capa del sistema de control básico, conocido como

BPCS (del inglés “Basic Process Control System”) ha fallado. Los componentes

que forman parte de la capa de protección activa son:

o Alarmas, disparos y enclavamientos. Son los elementos más comúnmente

utilizados en la capa de seguridad activa.

La alarma informará al operador sobre un evento o una condición

anormal ha acontecido y reclamará su atención para tomar una acción

correctiva.

El disparo actúa de forma automática sobre un elemento final cuando una

condición anormal acontece.

El enclavamiento tiene propósito de prevención y actúa sobre un

elemento final hasta que no desaparezca un determinado evento o la

condición anormal.

o Sistemas de paro de emergencia. Cuando una situación crítica acontezca

en el proceso debido a determinadas circunstancias, puede ser necesario

un paro de emergencia del proceso de forma automática.

o Sistemas de detección de humo y gas. Ante la presencia de nubes

explosivas, inflamables o tóxicas o ante la presencia de fuego, el sistema

de detección de humo y gas inducirá la parada del proceso de forma

manual o automática.

· Capa del sistema de control básico. En condiciones normales de proceso y en la

mayoría de situaciones donde las variables de proceso se encuentren fuera de los

rangos de funcionamiento normal, el sistema control básico (BPCS) deberá

mantener la operación de planta dentro de los límites de seguridad. Así, la capa

BPCS no se considera un sistema de seguridad debido a que no es capaz de

proteger ante un fallo del mismo. De todos modos, el sistema de control aporta

una dosis de seguridad en el proceso muy importante reduciendo


considerablemente el uso de sistemas de protección mediante alarmas,

diagnósticos, controles efectivos, enclavamientos, etc.

Análisis de las capas de protección

El análisis de las capas de protección, llamado comúnmente por la industria como

LOPA (del inglés “Layer Of Protection Analysis”), es una herramienta de análisis de

riesgo de procesos.

El método se inicia efectuando un análisis de riesgos y de problemas operativos

(HAZOP) y ponderando cada riesgo identificado, teniendo en cuenta la causa que lo

provoca (Evento Iniciador) y las consecuencias desencadenadas de cada escenario

indeseado. De ese modo, el nivel de riesgo es cuantificado y permite analizar si se

requiere más o menos nivel de integridad en la seguridad del proceso. En el caso en que

se determine la necesidad de aumentar la reducción de riesgo y se justifique la necesidad

utilizar sistemas instrumentados de seguridad (SIS), la metodología LOPA permite

determinar el nivel apropiado de integridad de la seguridad (SIL) para la función de

seguridad (SIF).

Ilustración 18 Capas de Protección de un proceso

Capas de protección.

El conjunto de plataformas de protección evitará el escenario contemplado. Cada capa

de protección consiste en un conjunto de equipos y sistemas cuya finalidad es controlar

y reducir un determinado riesgo de proceso. Estas capas de protección deben incluir:


(a.1) Análisis y evaluación de riesgo para cuantificar el riesgo del proceso. La

determinación correcta de la posición de seguridad o de fallo de los equipos e

instrumentos hará el proceso inherentemente seguro.

(a.2) Identificación de las variables de proceso a ser reguladas, límites de

control, rangos de esas variables y determinación de los valores óptimos de

operación.

(a.3) Procedimientos de operación para actuar ante desviaciones del proceso y

situaciones de alarma. El personal cualificado deberá ser instruido para

identificar y actuar de forma eficiente en el momento requerido.

(a.4) Una plataforma de alarmas para alertar y reclamar la actuación de

operación ante situaciones de proceso que vayan fuera del régimen operacional

normal. Un sistema de enclavamientos ayudará a proteger y aliviar excesivas

tareas que podría hacer inviable la operación manual.

(a.5) Definición de los límites de seguridad para cada función o lazo de

protección. En caso de superar estos límites, un accionamiento automático de

protección compuesto de componentes aptos (aprobados por una empresa oficial

certificadora) deberá proteger el proceso. Estos sistemas son los llamados SIS

(del inglés “Safety Instrumented System”), que acostumbran a estar certificados

por las empresas TÜV Rheinland Group o FM Global, que cumplen con un

determinado nivel de integridad en la seguridad SIL (del inglés “Safety Integrity

Level”).

(a.6) Implementación de mecanismos directos de protección física y mecánica.

A modo de ejemplo, podemos citar los discos de ruptura o las válvulas de alivio

de presión.

Mitigación física.

Si todos los mecanismos de las capas de protección no han sido eficientes para evitar un

determinado escenario, la mitigación o contención controlada reduce la severidad del

escenario pero no previene que ocurra. Ejemplos pueden ser sistemas contra incendios,

detectores de humo, muros de contención, diques, etc.

Respuesta de Emergencia.

Procedimientos de evacuación y actuación en caso de emergencia. Es importante el

entrenamiento de todo el personal de planta mediante la ejecución de simulacros de


diferentes envergaduras, desde la activación del Plan de Emergencia Interior (PEI),

gestionado por la misma compañía; hasta la activación del Plan de Emergencia Exterior,

gestionado por la administración y protección civil. En el caso en que la actividad

industrial se encuentre próxima a poblados o ciudades, la formación y entrenamiento en

concepto de respuesta de emergencia a los ciudadanos por parte de la administración

toma especial importancia para reducir las consecuencias en caso de catástrofe.

Niveles de riesgo

En un análisis de seguridad de procesos es fundamental ponderar el riesgo para conocer

qué sistemas instrumentados de seguridad se requirieren.

El riesgo se define según la siguiente expresión:

( ) úûù

êëé

úûù

êëé=

incidentemuertes

añoincidentes ECxHRRiesgo

El riesgo (Riesgo) es el producto de la frecuencia con la que un incidente peligroso

ocurre sobre un sistema dispuesto con seguridades HR “Hazard Rate” multiplicado por

las consecuencias debidas al evento peligroso (C(E)). Normalmente, el riesgo se expresa

en muertes por año.

Teniendo en cuenta que las consecuencias debidas al evento están determinadas por las

características del proceso, por la ubicación y por los tipos de productos utilizados, el

resultado del análisis de riesgos deberá reducir al máximo la frecuencia con la que el

incidente peligroso acontezca sobre el proceso. Así, se puede expresar el ratio de riesgo

HR como el producto de la frecuencia en que ocurre un evento peligroso sobre un

sistema sin protecciones DR “Demand Rate” y la probabilidad de que el sistema de

seguridad instalado falle (PFD) en el momento requerido:

Para determinar la frecuencia de que un evento peligroso acontezca en un proceso DR se

debe conocer muy bien el proceso que estamos tratando y evaluar cada situación,

determinando la probabilidad de que un conjunto de incidentes ocurran de forma

simultánea o secuencial y provoquen el evento peligroso indeseado.

PFDxDRHRaño

incidentesúûù

êëé=


En un proceso industrial, se debe conocer la probabilidad de que acontezca un evento

indeseado inicial y la probabilidad de que el sistema de control básico no sea capaz de

llevar el proceso a una situación segura o la respuesta de operación (ante una alarma) no

haya podido proceder. Así, tal como se expresa en la Ilustración 18, los sistemas de

protección activo y pasivo deberán evitar la consecuencia indeseada.

La probabilidad de fallo en demanda PFD es una variable que depende directamente de

la fiabilidad de la capa de protección y requiere especial atención a la hora de

determinar qué nivel de integridad en la seguridad requerimos para reducir el ratio de

peligrosidad sobre un sistema HR y alcanzar el nivel de riesgo tolerable (Riesgo).

Riesgo tolerable

Una reducción de riesgos muy ambiciosa podría conducir a la inviabilidad de la

actividad industrial tanto desde la perspectiva económica como desde la perspectiva

operativa. El concepto de ALARP, acrónimo de tan bajo como razonablemente sea

practicable (“As Low As Reasonably Practicable”) hace referencia al nivel de riesgo de

un determinado proceso y define un modelo para determinar un nivel de riesgo

tolerable.

El modelo ALARP establece que existen tres regiones de riesgo en una actividad

industrial:

Ilustración 19 Riesgo tolerable y ALARP

Clase I: Riesgo intolerable. El riesgo no puede ser justificado excepto en situaciones

extraordinarias.

Región inaceptable

Región tolerable

Región ampliamente aceptable

I

II

III

Clase

Riesgo insignificante

© IEC 2002

Incr

emen

tode

riesg

osin

divid

uales

ypre

ocup

ació

nso

cial

Región inaceptable

Región tolerable


I

II

III

Clase


Región inaceptable

Región tolerable


I

II

III

Clase


© IEC 2002

Incr

emen

tode

riesg

osin

divid

uales

ypre

ocup

ació

nso

cial


Clase II: Riesgo tolerable únicamente si la reducción de riesgo es impracticable o los

costos son desproporcionados para implementarlo; o bien si la sociedad quiere

beneficiarse de la actividad asumiendo el riesgo asociado a ella.

Clase III: Riesgo ínfimo o insignificante.


Definiciones

Fiabilidad

La fiabilidad (R) se puede definir como la probabilidad de que un determinado sistema

opere correctamente a un nivel de funcionamiento establecido. Un ejemplo de criterio

de nivel de funcionamiento establecido podría ser que se estableciera que un

instrumento tenga un correcto funcionamiento siempre que trabaje con una precisión

superior al 2 % del fondo de escala.

La fiabilidad varía con el tiempo según las condiciones de operación donde se

encuentra. La pérdida de fiabilidad de un sistema (uR) es el complemento de la

fiabilidad. Siempre se cumplirá la siguiente expresión:

0.1=+ uRR

Ratio de Fallas y tiempo medio de fallo

El ratio de fallas (l) es el valor medio de fallos por sistema por unidad de tiempo. El

cálculo de este parámetro depende directamente del tiempo medio de fallo MTTF (del

inglés “Mean Time To Failure”).

Supongamos que se instala un amplio número de instrumentos idénticos nuevos en las

mismas condiciones de operación permitiendo su funcionamiento hasta que cada uno

falla, y que lo situamos fuera de servicio al detectar la anomalía. Además, supongamos

que podemos registrar los tiempos de cada uno de los instrumentos desde que se pone

en servicio hasta que se detecta el fallo. Entonces el tiempo medio de fallo será la media

de los tiempos registrados hasta que todos se encuentren en fallo.

MTTFλ 1

=

El ratio de fallas de un determinado sistema o instrumento varía a lo largo de su vida. Se

distinguen tres fases:

· Fase I: La denominada fase de “mortalidad infantil”, es aquella donde el ratio

elevado de fallas es debido a errores de fabricación o diseño. Estos errores son

detectados generalmente durante pruebas del fabricante o en tareas de

comisionado. El ratio de fallas se reduce a medida que pasa el tiempo por

experiencia adquirida.


· Fase II: La fase normal de funcionamiento o fase en servicio se caracteriza por

un ratio de fallas constante a lo largo del tiempo.

· Fase III: Existe un incremento de fallas debido a la longevidad y envejecimiento

de los sistemas o instrumentos.

Normalmente, el ratio de fallas se articula en fallos por año o en fallos por millón de

horas.

Tiempo medio entre fallos y tiempo medio de reparación

Supongamos que un número de instrumentos (n) idénticos son puestos en servicio y

testeados cada período de tiempo (T) y que cada equipo en fallo es reparado y puesto en

servicio, se define el tiempo medio entre fallos MTBF (del inglés “Mean Time Between

Failures”) como la relación del total de instrumentos instalados y los instrumentos

fallidos (nS) durante cada período determinado:

SnTnMTBF ·

=

El tiempo medio de reparación MTTR (del inglés “Mean Time To Repair”) deberá estar

incluido en el tiempo medio entre fallos para asumir la exigencia que define el tiempo

medio entre fallos (reparación de los instrumentos fallidos dentro del intervalo T). Así,

se debe cumplir la siguiente expresión:

MTBFMTTRMTTF =+

La disponibilidad A se define como la probabilidad de que un sistema funcione

correctamente en el momento requerido. De forma matemática se puede expresar como

la fracción entre el tiempo medio de fallo y el tiempo medio entre fallos:

MTTRMTBFMTBF

MTTRMTTFMTTF

MTBFMTTFA

+»

+==

La última aproximación únicamente será válida si el tiempo medio de fallo es muy

superior al tiempo medio de reparación.

Un concepto ampliamente utilizado es el complementario al de disponibilidad, la

indisponibilidad U. La indisponibilidad se puede expresar como:

MTTRMTTFMTTR

MTBFMTTFAU

+=-=-= 11


Si substituimos el tiempo medio de fallo para expresar la indisponibilidad en términos

de ratio de fallas, obtenemos una expresión más interesante desde la perspectiva de la

herramienta de cuantificación del análisis de riesgo de proceso, como observaremos más

adelante:

MTTRλMTTRλ

MTTRλU ··1

·»

+=

La aproximación únicamente será válida si el tiempo medio de fallo es muy superior al

tiempo medio de reparación.

El término indisponibilidad U es muy utilizado bajo el concepto de Probabilidad de

Fallo en Demanda PFD y es fundamental a la hora de determinar qué equipos formarán

parte de nuestros lazos de seguridad. Podemos observar además, que el tiempo medio de

reparación es una variable fundamental a la hora de determinar la PFD y por tanto, se

introduce el concepto de diagnóstico y respuesta ante anomalía del instrumento. Por

ende, que un instrumento disponga de una alta fiabilidad en situación de emergencia

(conocido como nivel de integridad en la seguridad – SIL) será contribuyente para

obtener una PFD requerida para el lazo de seguridad, pero no será el único requisito.

Así, la capacidad de diagnóstico o cobertura de diagnóstico DC (del inglés “Diagnostic

Coverage”) juega un papel indispensable a la hora de diseñar el lazo de seguridad:

D

DD

λλDC =

La cobertura de diagnóstico es la una relación entre el número de fallos peligrosos

detectados lDD y el número total de fallos peligrosos lD. El valor idóneo lógicamente es

la unidad, de modo que todos los fallos peligrosos sean detectados por el sistema para

actuar de forma segura.

Indisponibilidad de elementos en serie y en paralelo

Si consideramos que un lazo de seguridad se comprende de diferentes elementos

seriados, como los que se muestran a continuación:

Ilustración 20 Lazos de seguridad seriados

Elemento 1

l1

Elemento 2

l2

Elemento i

li

Elemento n

ln

Elemento 1

l1

Elemento 2

l2

Elemento i

li

Elemento n

ln


La disponibilidad del lazo en situación de demanda existirá siempre que exista

disponibilidad de todos y cada uno de los elementos que componen el lazo. En caso de

que cualquiera de ellos falle, obviamente no existirá disponibilidad.

Por ende, la disponibilidad del lazo de seguridad se puede obtener mediante la siguiente

expresión:

321 ·· AAAAL =

Substituyendo en términos de indisponibilidad, obtenemos:

å=

»

<<"+++++»Þ-=n

kkL

nniL

UU

UUUUUUAU

1

21 1......1

Por tanto, queda comprobado que la indisponibilidad sobre sistemas seriados será la

suma de probabilidades de que cada elemento se encuentre indisponible.

La disposición en paralelo suele estar relaciona con la arquitectura redundante de

elementos sensores y actuadores. Así, si consideramos la siguiente estructura:

Ilustración 21 Lazos de seguridad en paralelo

Existirá indisponibilidad del sistema cuando exista indisponibilidad de todos los

elementos.

Por tanto, podemos establecer:

Õ=

==n

kkniL UUUUUU

121 ·······

Elemento 1

l1

Elemento n

ln

Elemento 2

l1

Elemento i

li

Elemento 1

l1

Elemento n

ln

Elemento 2

l1

Elemento i

li


PFD y niveles de integridad

La Probabilidad de Fallo en Demanda PFD lo definiremos como la probabilidad de que

un sistema de seguridad no detecte una situación insegura en el momento requerido para

evitar un escenario indeseado. Así, la Probabilidad de Fallo en Demanda lo trataremos

como una particularización de la indisponibilidad de uno o de varios elementos que

constituyen un lazo de seguridad instrumentado SIS.

Tal como se introduce en el apartado anterior, los lazos de seguridad instrumentados se

pueden tratar como una cadena de elementos seriados constituidos por un elemento que

agrupa la función de sensado, otro elemento que determina la lógica de disparo y un

último elemento que constituye uno o varios elementos actuadores para tomar la acción

correctiva de seguridad. Tomando las expresiones justificadas en el apartado anterior,

podemos determinar la Probabilidad de Fallo en Demanda de todo el lazo de seguridad:

ALSSL PFDPFDPFDPFD ++=

Donde,

S hace referencia al sensor

LS hace referencia a la lógica de disparo

A hace referencia al elemento actuador

La normativa IEC-61508 agrupa los niveles de integridad en la seguridad (SIL) en 4

bandas, ubicando los sistemas en una banda u otra según la PFD que disponga el lazo:

SIL HRF PFD

0 >100 1 a 10-1

1 >101 10-1 a 10-2

2 >102 10-2 a 10-3

3 >103 10-3 a 10-4

4 >104 10-4 a 10-5

Tabla 20 Niveles de SIL


Donde,

SIL Nivel de Integridad en la Seguridad

HRF Factor de Reducción de Riesgo

PFD Probabilidad de Fallo en Demanda

Para determinar la PFD de un lazo, se acostumbra a acotar la máxima PFD de cada

elemento para simplificar y facilitar la determinación de un lazo instrumentado de

seguridad. Así, existen empresas que asignan unas cotas en base a la experiencia sufrida

a lo largo de un intervalo de tiempo coherente para una instrumentación y un sistema de

control específico. De forma general, si no se dispone de esa experiencia, se

acostumbran a asignar las siguientes cotas:

LLL PFDMaxA

PFDMaxLS

PFDMaxSL PFDPFDPFDPFD ·5,0·15,0·35,0 ===

++=

El sensor puede aportar un máximo del 35 % de la PFD total, la lógica de disparo hasta

un 15 % y el elemento final o actuador, el 50 %.

La PFD de un sistema se incrementa a medida que pasa el tiempo. Un dispositivo no

tendrá la misma PFD cuando acaba se ser revisado e instalado que cuando lleve un par

de años funcionando bajo determinadas circunstancias y en un entorno determinado.

Así, se define que la probabilidad de fallo en demanda depende del tiempo mediante la

siguiente expresión:tλePFD --=1

La probabilidad de fallo en demanda media la podemos obtener si asumimos que la

parte inicial de la curva es aproximadamente lineal. Esta asunción es más conservadora

que la propia definición matemática exponencial:

Ilustración 22 Probabilidad de fallo vs. Tiempo operación

Pro

babi

lidd

deFa

llo

Tiempo en operación

Aproximación: PFD= λDt

Real: PFD= 1 – e-lt

Pro

babi

lidd

deFa

llo

Tiempo en operación

Aproximación: PFD= λDt

Real: PFD= 1 – e-lt


Definiendo TI como el intervalo de chequeo del sistema que acreditará la correcta

funcionalidad hasta el próximo chequeo, tenemos:

2·1

0

TIλtδtλTI

PFD D

TI

DAV == ò

Por tanto, se observa que la PFD depende directamente del ratio de fallos peligrosos

detectados y del tiempo de chequeo del instrumento. Esta expresión será cierta

asumiendo que el tiempo medio para reparar el equipo es muy inferior al tiempo de

inspección ( TIMTTR << ).

El comportamiento de la Probabilidad de Fallo en Demanda integrando el efecto del

intervalo de testeo será el siguiente:

Ilustración 23 PFD vs. Test interval

Test Interval Test Interval Test Interval

PFD

PFDAV

TimeTest Interval Test Interval Test Interval

PFD

PFDAV

Time


Función instrumentada de seguridad en Modo de demanda y en Modo continúo

Según la normativa IEC-61511, se define cada modo de la siguiente forma:

Función instrumentada de seguridad en Modo de Demanda: en la que una acción

específica (eg. Cierre de válvula) es tomada como respuesta frente a una condición de

proceso o frente a otras demandas. En el caso de que exista una falla del lazo

instrumentado de seguridad, el peligro potencial solo acontece cuando ocurra una falla

en el proceso o en el BPCS.

Función instrumentada de seguridad en Modo Continuo: en la que al ocurrir una falla

peligrosa de la función de seguridad, el peligro potencial ocurrirá sin que se produzca

falla adicional, al menos que se tome alguna acción para prevenirlo.

El tipo de modo escogido tiene que ver con la frecuencia de demandas de operación

sobre el sistema relacionado de seguridad. El modo en demanda hace referencia a

procesos que pueden tener demanda del sistema de seguridad como máximo una vez por

año o inferior al doble del periodo de pruebas de funcionamiento TI. Éste será el modo

escogido para el proyecto de automatización de la Terminal Marina de gas natural.


Redundancia,equilibrioentreseguridadyfiabilidaddeproceso

La redundancia de elementos sensores o elementos finales aportará más integridad de

seguridad en el lazo o más fiabilidad de proceso. La fiabilidad de proceso lo

definiremos como la probabilidad de que un proceso industrial no sea interrumpido de

forma controlada por motivos de seguridad o medioambientales. En todo proceso

industrial, debe existir un balance entre fiabilidad de proceso e integridad en la

seguridad del proceso.

El objetivo de este apartado es conocer de forma conceptual el efecto de escoger una

arquitectura u otra. El análisis del cálculo de la PFD para cada arquitectura no es

inmediato (véase IEC61508-6).

Para cuantificar el efecto de asumir una arquitectura de redundancia u otra en concepto

de fiabilidad de proceso, vamos a definir las siguientes asunciones:

· Sea a la fiabilidad de proceso y m la probabilidad de paro del proceso por

detección de anomalía o demanda del lazo de seguridad, definiremos:

o μα -=1

o fd μμμ += , donde md será la probabilidad de paro por escenario de

disparo y mf será la probabilidad de paro por detección de anomalía de

lazo.

· Para el cálculo de la fiabilidad del proceso, consideraremos un DC = 1 para

simplificar ya que el objetivo de este apartado es estudiar el efecto de las

diferentes arquitecturas escogidas. Lógicamente, cuanta menos DC se disponga

en el lazo, más fiabilidad de proceso existirá y a su vez, menos nivel de

integridad en la seguridad. Cuando se efectúa la determinación del nivel de

integridad requerida, el DC se tiene en cuenta para cumplir con las exigencias de

máxima PFD permitida.

· No se contempla fallos en modo común, es decir, causas comunes que

provoquen el fallo en la respuesta de seguridad.

· El funcionamiento de cada arquitectura es la siguiente:

o 1oo1. El disparo se efectúa si:

§ La condición insegura acontece y es detectada

§ Se detecta anomalía

o 1oo2. El disparo se efectúa si:

§ La condición insegura acontece y es detectada por un sistema


§ Se detecta anomalía de una sistema

o 1oo2D. El disparo se efectúa si:

§ La condición insegura acontece y es detectada por un sistema

§ Se detecta anomalía de ambos sistemas


§ La condición insegura acontece y es detectada por ambos

sistemas

§ Se detecta anomalía de ambos sistemas


§ La condición insegura acontece y es detectada por dos sistemas

§ Se detecta anomalía de dos sistemas

· Se asume que todos los sistemas que integran cada arquitectura son idénticos.


La siguiente tabla muestra la relación de PFD y la fiabilidad de proceso según la

arquitectura escogida:

ArquitecturaProbabilidad Fallo en

DemandaFiabilidad de Proceso

1oo1 PFD fd μμ --1

1oo2 2PFD fd μμ ·2·21 --

1oo2D 2PFD2·21 fd μμ --

2oo2D PFD·2 fdfd μμμμ ·21 22 ---

2oo3 2·3 PFD[ ]

mnmn

¹Î" 3,1,

fdfd μμμμ ·6·3·31 22 ---

Tabla 21 Arquitecturas de disparos

Observando la tabla podemos llegar a las siguientes conclusiones:

Las configuraciones 1oo2 y 1oo2D (diagnóstico) aumentan la integridad del sistema

considerablemente. Si consideramos un sistema con redundancia absoluta con un nivel

de integridad unitario SIL-1, estas configuraciones incrementan el nivel de integridad en

seguridad en una unidad SIL-2.

La arquitectura 2oo2D (diagnóstico) supone la configuración con mayor fiabilidad de

proceso pero también, la que menos nivel de integridad genera. Esto implica que será

una configuración que deberá utilizarse en procesos de alta rentabilidad donde se

justifique una instrumentación más fiable y por tanto, con mayor coste económico.

La arquitectura 2oo3D aporta un muy buen nivel de integridad que dista de la

arquitectura 2oo2D. Es una solución que aporta la mejor relación entre todas las

arquitecturas en el balance de nivel de integridad y fiabilidad de proceso.

PFD1m1d

m1f

PFD1

PFD2

PFD1

PFD2

m1d

m2d

m1f

m2f

PFD1

PFD2

PFD1

PFD2

m1d

m2d

m1f m2f

m1d

m2d

m1f m2f

PFD1 PFD2

m1d m2d

m1d m2f

m1f m2d

m1f m2f

PFD1 PFD2

PFD2 PFD3

PFD1 PFD3

mmd mnd

mmf mnf

mmf mnd

mmd mnd

mmf mnf

mmf mnd


SistemasInstrumentadosdeSeguridad(SIS)

El Sistema de Seguridad actúa como una cadena de seguridad que conecta su primer

elemento (elemento sensor) y traslada su efecto a través de los diferentes elementos con

objeto de accionar un elemento final de protección. En esta analogía, podemos

establecer que la cadena será tan fuerte como el elemento más débil que se encuentre

conectado. El Sistema Instrumentado de Seguridad será tan seguro como sea su

componente más débil.

La Probabilidad de Fallo en Demanda PFD del Sistema Instrumentado de Seguridad nos

indicará el nivel de seguridad que dispone el lazo. Expresado de una forma análoga,

estableceremos el Nivel de Integridad en la seguridad del lazo (SIL). El momento de

determinar este nivel de integridad será cuando se disponga de todo el análisis LOPA

implementado aportando todos los créditos en seguridad por diseño, por probabilidades

de ocurrencia de los eventos iniciadores, tiempo de exposición del proceso, etc. Estos

detalles los abordaremos durante el próximo capítulo.

El sistema instrumentado de seguridad debe ser independiente al sistema de control de

proceso básico BPCS y a la estrategia de control. Así, la inhibición de disparos de

seguridad deberá estar estrictamente justificada y no podrá ser efectuada por el sistema

básico de control pues incrementaría el factor de riesgo fuera de lo permitido.

En el diseño del lazo instrumentado de seguridad para la Terminal Marina de gas natural

se basará en arquitecturas predefinidas con disposición de unos intervalos de testeo

prefijados para elementos sensores y elementos finales. En el caso de necesidad de

diseñar particularmente un determinado lazo de seguridad, se hará uso de las fórmulas

publicadas en el IEC 61508-6.


Tabla 22 Requerimientos para Elementos Finales

Para determina el tiempo de medio de reparación cuando existan elementos finales con

redundancia, se forzará a que el MTTR no supere el 1 % del intervalo de testeo.

Núm deElementos

FinalesModo de Operación

Intervalo de Testeo25 años MTTF*

1 Fallo seguro <= 5 Años2 en paralelo Fallo seguro <= 2,5 Años

2 en serie Ambos independientes, Fallo seguro <= 6 Años1 Fallo seguro <= 6 Meses

2 en paralelo Fallo seguro <= 3 Meses2 en serie Ambos independientes, Fallo seguro <= 5 Años2 en serie Ambos independientes, Fallo seguro <= 11 Meses

Cuando más de un elemento es utilizado para llevar a cabo la función de seguridad, el intervalode testeo debe de ser dividido entre el número de elementos finales.El intervalo de testeo puede ser doblado si existe la posibilidad de situar el elemento finalen la posicion no segura al menos más de una vez al mes.

REQUERIMIENTOS PARA ELEMENTOS FINALES

Asunciones para elementos finales

Nivel de Integridaden Seguridad (SIL)

1

2

3

MTTF = 25 años -- ajuste proporcional para diferentes MTTF (eg. 50 años MTTF resultaría en 1 año deTI para una válvula SIL-2).

Los Intervalos de Testeo pueden ser mejorados cuando existe un mayor MTTF disponible.

DC = 0%Fallo por causa común (Beta) = 2%Tiempo máximo de TI es 6 años


Tabla 23 Requerimientos para Elementos Sensores

Nivel de Integridaden Seguridad (SIL)

Configuraciónde Sensor

Arquitectura Tiempo Medio deReparación

(MTTR)

Tiempo Medio deFallo (MTTF -

años)

Intervalo deTesteo (TI)

>25>50

>100>25>50

>100>25>50

>100>25>50

>100>25 <= 1 Año>50 <= 2 Años

>100 <= 3,5 Años>25 <= 3,5 Años>50 <= 6 Años

>100 <= 6 Años>25>50 <= 6 Años

>100>25 <= 6 Meses>50 <= 1 Año

>100 <= 2 Años>25>50

>100>25 <= 8 Meses>50 <= 16 Meses

>100 <= 2,5 Años>25>50 <= 6 Años

>100>25 <= 5 Años>50 <= 6 Años

>100 <= 6 Año

NOTAS:

Tiempo máximo de TI es 6 años

Asunciones para sensoresFallo por causa común (Beta) = 2%

(*) Sin Diagnósticos(**) 70% Cobertura de Diagnóstico(***) 90% Cobertura de Diagnóstico

<= 6 Años

3Max PFD=

3.5E-04

Dual

1oo2*sin diagnóstico ----

1oo2D*** 72 horas

Triple 2oo3*** 7 Días

72 horas

Triple 2oo3*** 7 Días

<= 6 Años

2Max PFD=

3.5E-03

Simple 1oo1*

Dual

1oo2*sin diagnóstico ----

1oo2D*** 72 horas

2oo2D**

<= 3 Años<= 6 Años<= 6 Años

Dual

1oo2D** 72 horas <= 6 Años

2oo2D** 72 horas<= 5 Años<= 6 Años<= 6 Años

1Max PFD=

3.5E-02

Simple 1oo1* ----

Triple 2oo3** 7 Días

REQUERIMIENTOS PARA SENSORESTípico MTTF para caudal y nivel es 25 años, para presión y temperatura es 50 años.


La herramienta de análisis LOPA

Asunciones previas

· Debido a las características de los procesos llevados a cabo en la Terminal

Marina de gas natural, se considera el sistema de seguridad en modo de

demanda.

· El nivel de integridad en la seguridad (SIL) considerado en el análisis será el

más conservador, tratando siempre el valor máximo de la PFD del rango

establecido. Si se requiere un lazo con SIL-2 se entenderá que la PFD máxima

será 0.01; y no 0.001. (véase tabla Niveles de SIL).

· Para reducir el esfuerzo de cálculo de intervalos de testeo y la PFD se

considerarán las tablas de requerimientos para elementos sensores y elementos

finales presentadas en el apartado anterior. En el caso en que sea requerido una

evaluación específica para un determinado lazo de seguridad, se evaluará de

forma particular.

· Definimos como crédito al valor discreto que representa a una determinada

probabilidad. El uso de logaritmos para ponderar las probabilidades de

ocurrencia de un determinado factor es de gran utilidad en la tarea de cálculo.

Así, el crédito se define como:

( )( )APC log=

Donde ( )AP se define como la probabilidad de ocurrencia del evento A .

Evaluación de riesgos

Para efectuar la evaluación de riesgos del proceso, deberemos considerar los siguientes

apartados:

Número de escenario. El número de escenario se definirá con dos números naturales

separados por un punto. El primer dígito hará referencia a la consecuencia indeseada y

el segundo, indexará la causa inicial que la provocó.

Descripción del escenario. Se describirá de forma resumida pero precisa el escenario

indeseado que se quiere analizar. Se incluirá el nivel de riesgo resultante del análisis

LOPA como la diferencia entre el nivel de riesgo de la consecuencia y los elementos de

seguridad de reducción de riesgo.


Riesgo. El riesgo será el efecto de la consecuencia indeseada. Se incluirá el factor de

riesgo según las consecuencias del escenario inseguro. En función de la consecuencia

indeseada, se puede hacer uso de tres tablas diferentes:

o Tabla de factor de riesgo por producto químico específico. Se utilizará

esta tabla en el caso en que la consecuencia del escenario sea una

emisión de producto tóxico que se extienda fuera de las instalaciones.

Las unidades utilizadas serán libras (lb).

La categoría de riesgo viene determinado por la National Fire Protection

Association (NFPA) teniendo en cuenta los índices de Salud (H),

Inflamabilidad (F) y Reactividad (R).

o Tabla de factor de riesgo por consecuencia específica. Esta tabla será

utilizada para determinar la magnitud de la consecuencia de:

§ Emisión de material inflamable al medioambiente teniendo como

resultado deflagraciones.

§ Incidentes medioambientales.

§ Súbitas fugas de energía.

§ Emisión de materiales peligrosos para contacto humano o para el

medioambiente.

o Tabla de factor de riesgo por impacto económico en el negocio.

Evento iniciador. Se describirá la causa que genera el escenario inseguro. Se incluirá el

factor de reducción de riesgo basado en la frecuencia en el que puede suceder

(eventos/año) ese evento iniciador. El evento iniciador es un fallo sobre un equipo,

control de proceso, acción o inacción humana que inicia el escenario inseguro. Se tendrá

en cuenta las siguientes reglas:

o El evento iniciador son eventos singulares, es decir, no se consideran

fallos múltiples simultáneos o secuenciales.

o Un elemento que sea causa del evento iniciador no puede dar crédito

como una capa de protección en el mismo escenario. Por ejemplo, si la

causa inicial de un escenario es el error de un instrumento, este

instrumento no puede tratarse como una capa de protección en este

escenario.

o Los errores sistemáticos no se consideran como eventos iniciadores.


o El código de control no se puede considerar como un evento iniciador.

Los errores conocidos en el código deben ser reparados. Para evitar

errores de código, se utilizarán mecanismos de validación de código por

simulación.

Evento habilitador. En algunos casos, un evento iniciador puede no ser suficiente para

desencadenar el escenario indeseado, requiriendo un segundo evento. Esta segunda

condición es la denominada Evento habilitador. Se define el factor del evento

habilitador como la probabilidad de que este segundo evento acontezca. Las reglas a

aplicar para asumir el factor del Evento habilitador son las siguientes:

o Para escenarios de inflamabilidad, el valor por defecto es cero.

§ Por Probabilidad de Ignición (POI) se puede tomar 1, 2 ó 3

créditos según las características de inflamabilidad del producto

químico y el volumen emitido.

§ Por Probabilidad de Explosión (POX) se puede tomar 1 ó 2

créditos dependiendo del volumen de la nube explosiva

considerada.

§ Considérese un factor POI de 0, 1 o 2 para emisiones de vapor o

polvo dentro de edificios.

§ Considérese un factor POI de 1 si la causa de ignición es por

descarga eléctrica en depósitos subterráneos herméticos.

o Para escenarios de toxicidad, el valor por defecto será diferente de 0.

§ Considérese valores de -1, 0, 1, o 2 dependiendo del volumen de

población cercana y la efectividad de la respuesta de emergencia

de la comunidad.

Probabilidad de exposición. La probabilidad de exposición (POE) es la probabilidad

de que un número específico de personas sean expuestas a una consecuencia indeseada

dada por un evento ocurrido. Se definen las siguientes reglas:

o La aportación de 1 crédito se permite para bajas probabilidades de

exposición (menos del 10 % del año).

o La aportación de 2 créditos puede ser considerado únicamente cuando la

exposición es inferior al 1 % al año.

o No es posible la asignación de más de 2 créditos por POE.

o La POE no puede ser aplicada a puestas en marcha o paradas

programadas de planta.


Capas de protección. Los mecanismos que evitarán el escenario indeseado se integran

en las llamadas capas de protección. Un requisito indispensable en LOPA es el concepto

de independencia de las capas de protección:

Sea el evento A y B, siendo A independiente de B si y solo si la probabilidad de

A no cambia por la ocurrencia de B, dos eventos (A y B) son independientes si

la probabilidad de que los dos ocurran es el producto de sus probabilidades.

Por ende, para que exista independencia, una capa de protección debe ser capaz

de prevenir un escenario indeseado sin tener en cuenta el evento iniciador o la

acción de otra capa de protección.

Diseño de Proceso.

Corresponde a la capa de seguridad más interna de LOPA. El diseño del

proceso que tiene en cuenta unos rangos generosos de operación, teniendo la

capacidad de soportar las posibles desviaciones del proceso en unos límites

de seguridad coherentes hace que podamos evitar escenarios indeseados.

Dentro de este apartado, hay que tomar dos consideraciones: la integridad

mecánica en el diseño del proceso y el mantenimiento del mismo. Hay que

tener en cuenta que el proceso degrada su integridad mecánica a medida que

transcurre el tiempo y por tanto, tareas frecuentes de control, inspección y

mantenimiento son imprescindibles. Si la instalación efectúa el diseño y el

mantenimiento según los estándares y normativas internacionales del sector

industrial específico, puede tomar 2 créditos; en el caso en que existan

deficiencias puede tomar 1 ó 0 créditos dependiendo de la severidad.

BPCS

El sistema de control básico es una combinación de sensores, controladores

y elementos finales que regula de forma automática un proceso dentro de los

límites de operación. Las reglas a tener en cuenta para tomar crédito en

LOPA se exponen a continuación:

o Si el fallo de un lazo BPCS o uno de sus elementos es el Evento

Iniciador de un escenario, el análisis considerará que el lazo BPCS no

podrá tomar crédito.

o El crédito máximo por disparo de lazo BPCS o por actuación ante alarma

por operación será de la unidad.


o La alarma con actuación de operación que tome crédito como capa de

protección requiere un entrenamiento y un procedimiento escrito de

actuación. Deberá asegurar que el tiempo para tomar una acción

correctiva por parte de operación es el suficiente para completar el

procedimiento. El fallo del elemento final que el operador haga uso para

evitar el escenario, no se considerará como Evento Iniciador. Ese mismo

elemento final no debería considerarse como elemento final de otra capa

de protección.

o Si el escenario considera el fallo de un único elemento del lazo de

control, se deberá considerar escenarios adicionales por fallo de otros

componentes del lazo de control.

o Si el fallo del elemento sensor es el Evento Iniciador, la función BPCS

asociada a ese sensor se pierde. Ni la función BPCS ni la actuación por

operador por alarma podrán tomar crédito en este caso.

o Si el fallo del elemento final es el Evento Iniciador, la función BPCS

asociada se pierde y por tanto, no se puede tomar crédito.

o Si el fallo del controlador es el Evento Iniciador, ni la acción BPCS ni la

respuesta por Alarma serán créditos válidos.

o Únicamente se puede tomar 1 crédito por acción BPCS o 1 crédito por

Alarma para cada escenario. En el caso de disponer de sensores

redundantes, es posible utilizar los mismos sensores para tomar crédito

por acción automática y por respuesta de operador ante alarma. En este

caso, deberá tratarse como si fueran sensores pertenecientes a un lazo

SIL-2.

ORA Alarma y respuesta de operador.

La combinación de la aparición de una alarma y la actuación por parte de

operación suministrará una protección adicional. Deberá disponer de tiempo

suficiente para tomar la acción correctiva pertinente:

o No existirá crédito en LOPA cuando el operador disponga de menos de

15 min para responder.

o Se podrá tomar 1 crédito cuando el operador disponga de al menos 15

min para responder y haya sido entrenado para reconocer la alarma y

responder mediante un procedimiento escrito.


o Se podrá tomar 2 créditos cuando se disponga de al menos 24 horas de

respuesta ante la alarma. Los elementos sensores y finales deberán ser al

menos SIL-2 para asegurar la medida correctiva. La alarma debería

activar un aviso acústico o visual al menos cada dos horas.

SIS.

Un sistema instrumentado de seguridad es una combinación de sensores,

controladores y elementos finales que permiten una o más funciones de

seguridad SIF. Las reglas para aplicar un SIS en LOPA son:

o Las funciones de seguridad SIF se ponen al final y únicamente si son

necesarias cuando se ha contemplado el resto de capas de protección.

o El factor de riesgo diferente de cero y de valor positivo indicará el tipo

de SIL necesario.

o Un factor de riesgo resultante de valor nulo o negativo indicará que la

protección es adecuada.

o La funcionalidad de cada SIF será independiente del sistema de control

básico BPCS

o La aplicación de arquitecturas de disparo de funciones SIF (1oo2, 2oo2,

2oo3) tolerarán el fallo de algún componente sin la pérdida de

efectividad del SIS y evitará el paro espurio del proceso.

o La capacidad de diagnosticar y detectar anomalías sobre sensores,

controladores o elementos finales aumentará los intervalos de testeo TI.

o La posición de fallo de todos los elementos finales de un lazo SIS debe

ser fijado.

Otras protecciones.

En el caso de uso de otros mecanismos diferentes a los mencionados para

reducir el riesgo como otra capa independiente de protección, debe ser

contemplado. Puede aportar entre 1 y 3 créditos que deben ser estrictamente

justificados.


Tablas de implementación de LOPA

El factor de riesgo

La normativa del IEC no define un método de determinación del factor de riesgo. De

forma literal, se expresa lo siguiente:

<< This annex is not intended to be a definitive account of the method but is intended to

illustrate the general principles. It is based on a method described in more detail in the

following reference:

Guidelines for Safe Automation of Chemical Processes, American Institute of Chemical

Engineers, CCPS, 345 East 47th Street, New York, NY 10017, 1997, ISBN 0-8169-0554-

1 >> [4] International Electrotechnical Comission IEC-61511 Part 3

Toda compañía que pretenda implementar el uso de la herramienta LOPA en sus

instalaciones, deberá disponer de unas tablas corporativas basadas en la guía

mencionada sobre estas líneas.

Para poder ejecutar el presente proyecto, definiremos dos tipos de tablas:

Tabla de factor de riesgo por producto químico específico. Teniendo en cuenta la

cantidad y el tipo de producto emitido, se determinará el factor de riesgo específico. A

modo de ejemplo, tomaremos los siguientes factores:

Tabla 24 Factor de riesgo por producto químico

Tabla de factor de riesgo por consecuencia. Dependiendo de las bajas personales (o del

impacto medioambiental) causadas por el escenario indeseado, se determinará un factor

de riesgo comprendido entre 4 (riesgo reducido) y 10 (riesgo elevado). La

determinación de estos factores no es algo evidente y está fuera del alcance de este

proyecto, asumiendo unos factores intuitivos para el desarrollo del proyecto.

Categoríade Menor a 10 to 100 to 1.000 to 10.000 to

riesgo 10 100 1.000 10.000 100.000A 6 7 8 9 9 10B 5 6 7 8 9 9C 4 5 6 7 8 8D N/A 4 5 6 7 7E N/A N/A 4 5 5 5

Tabla de factor de riesgo por producto químico específicoCantidad de producto en la consecuencia indeseada, [lb]

> 100.000


Factores reductores del riesgo

Tabla 25 Factor por Evento Iniciador

Tabla 26 Probabilidad de Exposición

Tabla 27 Factor de Probabilidad de Ignición

Factores por Evento Iniciador

Evento Iniciador

Frecuenciadel EventoIniciador(por año)

Factor porEvento

Iniciador

Fallo de lazo instrumentado BPCS 1,E-01 1Fallo de sensor BPCS 1,E-01 1Fallo de controlador BPCS 1,E-02 2Fallo de válvula de control 1,E-01 1Regulador 1,E-01 1Fallo de código por modificación 1,E-02 2Cambio no autorizado sobre el código de control BPCS 5,E+01 -2Fallo por acción de operador superior a 1 vez por trimestre 1,E-01 1Fallo por acción de operador inferior a 1 vez por trimestre 1,E-02 2Fallo de bomba al descebarse 1,E-01 1Fallo mecánico del sello simple de bomba 1,E-01 1Fallo mecánico del sello doble de bomba con alarma 1,E-02 2Fallo del arrastre magnético de bomba 1,E-02 2Fallo de la unidad de agua de refrigeración 1,E-01 1Pérdida de potencia eléctrica 1,E-01 1Fallo general de servicios 1,E-01 1Intervención de un tercer sistema 1,E-02 2Relámpago 1,E-03 3Fallo por manguera de carga/descarga 1,E-01 1Ducto de fuga - < 100 m 1,E-03 3Ducto de fuga - >100 m 1,E-02 2Fallo de junta de expansión 1,E-02 2Núm de tubos en Intercambiador de calor <100 tubos 1,E-02 2Núm de tubos en Intercambiador de calor >100 tubos 1,E-01 1IEF=1 determinado por el centro tecnológico & Seguridad de Procesos 1,E-01 1IEF=2 determinado por el centro tecnológico & Seguridad de Procesos 1,E-02 2IEF=3 determinado por el centro tecnológico & Seguridad de Procesos 1,E-03 3

Probabilidad de Exposición para LOPA

Factor de Exposición Factor deProbabilidad

Factor deExposición

0.01 Probabilidad de Exposición 1,E-02 20.1 Probabilidad de Exposición 1,E-01 1

Tiempo en riesgo < 10% de tiempo 1,E-01 1Ninguno 0

Rango de masade la nube de gas

[lb]

Gas con pocaprobabilidad de

ignición

Gas conprobabilidad deignición normal

Gas con muchaprobabilidad de

ignición10-100 3 2 2

100-1.000 3 2 11.000-1.0000 2 1 0

10.000-100.000 1 0 0>100.000 0 0 0


Compartir elementos SIS y BPCS en LOPA

En determinadas circunstancias puede justificarse el hecho de compartir elementos de

un lazo instrumentado de seguridad con disparos que toman crédito en LOPA

ejecutados por el sistema de control básico BPCS. Esto permite una reducción de coste

al poder ahorrar la instalación de instrumentación adicional.

Si consideramos los siguientes disparos de seguridad BPCS + SIS:

Ilustración 24 Disparo BPCS + SIS

Es posible no instalar el tercer sensor correspondiente al disparo BPCS:

Ilustración 25 Disparo BPCS

Las reglas para compartir elementos entre SIS y BPCS son:

El lazo SIS puede compartir elementos sensores si existe redundancia. En caso de

que no exista redundancia, el fallo inseguro de un elemento supondría el fallo

inseguro de las dos capas de protección.

Compartir elementos sensores que forman parte de lazos instrumentados de

seguridad requiere que la plataforma que establece la Lógica de Disparo aporte

como mínimo el nivel de integridad establecida por la suma de créditos aportado

por las dos capas de protección.

Sensor

Sensor

Sensor

LogicaDisparo

ElementoFinal

LogicaDisparo

ElementoFinal

Sensor

Sensor

Sensor

LogicaDisparo

ElementoFinal

LogicaDisparo

ElementoFinal


Los elementos compartidos deberán tratarse como elementos con un nivel de

integridad en seguridad (SIL) de cómo mínimo el inmediato superior. Eso implica

que si tratamos un lazo instrumentado de seguridad SIL-n, los elementos

compartidos deberán tener un nivel de integridad para formar parte de SIL-(n+1).

La cobertura de diagnóstico (DC) debe ser como mínimo del 90 % para los sensores

compartidos.

Compartir elementos SIS con disparos BPCS acreditados en LOPA podría suponer un

atentado contra el principio de independencia si no consideráramos la exigencia de nivel

mínimo SIL. Si se dispone de un lazo SIL-1 + BPCS acreditado, los sensores

compartidos del SIS deberán ser SIL-2 y la plataforma de control debe ser capaz de

aportar 2 créditos de forma independiente SIL + BPCS o bien deberían ser programados

bajo plataforma SIL-2.

Compartir elementos supone un incremento en fiabilidad de proceso pues se evita el uso

de configuraciones 1oo1.

En el caso de compartir elementos que forman parte de alarmas y disparos acreditados

en LOPA, deberán ser tratados como SIL-2 y programados en plataformas de control

independientes o SIL-2. Una amplia cobertura de diagnóstico también será un requisito

indispensable para compartir elementos soportados bajo BPCS.


Anexo B: Diseño del sistema de controlArquitectura de la plataforma de control

La plataforma de control ABB Industrial IT con alta integridad en la seguridad SIL-2 se

puede considerar que se distribuye en diferentes zonas dependiendo del tipo de tareas y

de información que gestionan. La siguiente figura representa la distribución de zonas de

la plataforma de control:

Ilustración 26 Arquitectura de la plataforma de control

Se define cada zona de la siguiente forma:

- Zona 1: Dedicada a todos los equipos, alimentaciones y cables para poder

trasladar la información entre cuadro, las unidades de control y el proceso.

- Zona 2: Contiene la estructura necesaria para gestionar el control del proceso y

trasladar información a los servidores de gestión de datos.

Client/serverNetwork

Control Network

Fieldbus

Plant Intranet

Controllers

Servers

Workplaces(Rich clients)Router

Workplaces(Thin or richclients)

Field devices

Firewall

InternetWorkplaces(Thin clients)

Server

Zona 1

Zona 2

Zona 3

Zona 4

Client/serverNetwork

Control Network

Fieldbus

Plant Intranet

Controllers

Servers

Workplaces(Rich clients)Router

Workplaces(Thin or richclients)

Field devices

Firewall

InternetWorkplaces(Thin clients)

Server

Zona 1

Zona 2

Zona 3

Zona 4


- Zona 3: El objetivo de esta zona es historizar, representar, comunicar a la

estructura de control, etc. toda la información necesaria para llevar a cabo los

procesos de la planta.

- Zona 4: La última zona contempla una estructura para poder observar el proceso

o para controlarlo de forma remota. Además se pueden incluir sistemas de

control óptimo para tomar decisiones sobre el proceso.

Estructura de las zonas 1&2

La plataforma de control ABB Industrial IT determina una configuración específica

para instalar sistemas tanto de alta integridad en la seguridad como de control de

proceso básico. En este proyecto, la plataforma del sistema de seguridad SIS será

distinta de la del control básico BPCS. Esta exigencia viene dada por la certificación

SIL de la plataforma de ABB, que es SIL-2, lo que nos permite solamente utilizar 2

créditos LOPA en un controlador de alta integridad, de modo que para un escenario en

el que sean necesarios 3 créditos LOPA SIL-2 + BPCS, es necesario programar el lazo

BPCS en un controlador de baja integridad o BPCS que proporciona 1 crédito LOPA.

ABB certifica un nivel de integridad de hasta tres créditos (SIL-3), pero como resultado

del análisis LOPA, se obtiene que el mayor nivel requerido es SIL-2.

Controlador SIS PM865

El módulo de control que “puede” tener certificación SIL-3 es el PM865. El “puede”

viene determinado por la instalación de un módulo de seguridad (Safety Module). En el

caso en que no se instale el módulo de seguridad, el nivel de integridad en la seguridad

será básico (como si se tratara de un BPCS). En cambio, en el diseño de nuestro sistema

debemos contemplar que al menos se disponga de un SIL-2 y por tanto, se hace

obligatorio instalar una SM810. En el caso en que se requiriera un nivel SIL-3, la

instalación del mismo módulo de control junto con la SM811 sería obligatoria. Además,

se considerará redundancia de equipos para obtener más fiabilidad en el proceso.

Otra exigencia que se desprende por requerir un sistema de seguridad es el tipo de bus

de campo (FieldBus). La exigencia por parte del fabricante es utilizar el Optical

ModuleBus. Ésta comunicación únicamente será posible entre las unidades de control


(PM865) y los módems de fibra óptica instalados en cada clúster para distribuir la

información entre las diferentes tarjetas de entrada y salida.

La propuesta para el controlador de seguridad se puede observar en la siguiente

ilustración:

Ilustración 27 Comunicación entre controladores y módulos E/S

En el diseño del proyecto, no consideraremos la comunicación FCI (del inglés “Fieldbus

Communication Interface”) y la conversión a Optical ModuleBus al tener disposición de

este tipo de comunicación directamente desde los módulos de control.

Los clústeres se instalarán en armarios cercanos a la ubicación de los armarios donde

residen los módulos de control. Cada armario dispondrá de un máximo de 7 clusters. El

módem de ModuleBus óptico tiene una capacidad de gestionar hasta 6 módulos de

entrada y salida (E/S). Las unidades de E/S se comunican a través del módem (TB840)

con las unidades de control (PM865) mediante comunicación óptica ModuleBus. La

información en cada clúster fluye a través de una comunicación eléctrica ModuleBus

desde el módem hasta cada unidad de entrada y salida.

Las señales de entrada y salida irán a unas cajas de interconexión para establecer los

lazos de instrumentación con los elementos de campo.


Controlador BPCS PM866

En el caso del controlador de baja integridad BPCS para el que se elige el modelo

PM866, la comunicación con las tarjetas de entrada/salida se realiza vía ProfiBus, ya

que no es exigible Optical ModuleBus para controladores de proceso básicos.

Los clústeres se instalarán en armarios cercanos a la ubicación de los armarios donde

residen los módulos de control. Cada armario dispondrá de un máximo de 7 clusters. El

módem ProfiBus CI854 tiene una capacidad de gestionar hasta 6 módulos de entrada y

salida (E/S). Las unidades de E/S se comunican a través del módem (CI840) con las

unidades de control (PM866) mediante comunicación ProfiBus. La información en cada

clúster fluye a través de una comunicación eléctrica ProfiBus desde el módem hasta

cada unidad de entrada y salida.

La propuesta para el controlador básico de proceso se puede observar en la siguiente

ilustración:


Ilustración 28 Comunicación entre controladores y módulos E/S

Ilustración 29 Distribución en armario de control

Comunicación CEX

La comunicación interna entre las unidades de control y otros módulos de

comunicaciones se efectúa a través del CEX bus (del inglés “Communication Expansion


Bus”). La conexión se efectúa por un conector lateral situado en la unidad de control.

Para poder efectuar la expansión del bus, se recomienda la instalación del módulo de

interconexión del Bus CEX (BC810) a través del cual se efectuará la conexión del

módulo de seguridad y los que en un futuro se pudieran añadir, como módulos de

comunicación ProfiBus, MasterBus 300, etc.

La configuración redundante del sistema de control, exige que haya una correcta

conexión entre el sistema primario y el secundario. Para ello se hace uso del cable

conocido como “cable de conexión redundante” bajo el acrónimo RCU (del inglés

“Redundant Control Unit”). La conexión de las unidades será la misma que se

representa a continuación:

Ilustración 30 Conexión del cable RCU

En la figura se puede observar un ejemplo de conexión de la unidad primaria y

secundaria, donde cada unidad se compone (de derecha a izquierda) de un módulo de

control (PM865/PM866), un módulo extensor de Bus CEX (BC810), un módulo de

seguridad (SM810) y otros módulos de comunicación que en nuestro caso no serán

necesarios.


Para cerrar la comunicación interna CEX, es necesario instalar un conector de final de

bus en el último módulo conectado.

Comunicación ModuleBus

La comunicación de fibra óptica dispone de dos cables para la transmisión Tx y

recepción de datos Rx formando un anillo en todo su recorrido.

Ilustración 31 Conexión Optical ModuleBus

La comunicación de los módulos de control con los módems de fibra óptica ModuleBus

se efectuará en margarita tal como se expone en la siguiente figura:


Ilustración 32 Conexión de clústeres

Puede prestar a confusión el comentario “Maximum of 12 x IO units” ya que

previamente se ha comentado que cada clúster tenía capacidad de gestionar hasta 6

unidades. Esta simplificada afirmación hacía referencia a que la capacidad máxima de

gestión se reduce a 6 unidades de E/S en modo redundante. La expresión de la figura

trata del número total de módulos instalados (6 x 2).

Comunicación ProfiBus

La comunicación ProfiBus dispone de un cable tipo ProfiBus para la transmisión Tx y

recepción de datos Rx formando un anillo en todo su recorrido.


Ilustración 33 Panel ProfiBus con selección de direcciones

Ilustración 34 Panel ProfiBus, conexión de cableado

La comunicación redundante de los módulos de control con los módems de ProfiBus se

efectuará tal como se expone en la siguiente figura:


Ilustración 35 Distribución cableado ProfiBus

Alimentación del sistema de control

Arquitectura de la red de alimentación (zonas 1&2)

La plataforma de control irá alimentada a través de dos sistemas de alimentación

ininterrumpida SAI que toman tensión del panel de distribución principal.

La existencia de alimentaciones redundantes debe considerar un conexionado sobre la

plataforma de control que respete esta redundancia.

Desde el panel de distribución principal se distribuirá 220 VAC a los armarios donde

residirán los módulos de la plataforma de control. Los armarios estarán equipados con

una fuente de alimentación ABB SD823, que suministrarán 24 VDC/10 A.

ABB comercializa un dispositivo de gran utilidad (SS823) que se adapta perfectamente

a las exigencias de alimentación redundante que solicitamos para alimentar los

diferentes dispositivos de hardware dedicados al control del proceso.

La unidad SS823 está especialmente diseñada para ser empleada como unidad de

supervisión de alimentaciones. La salida del dispositivo es una tensión supervisada lista

para ser conectada a los módulos específicos. Además proporciona señales de

diagnóstico del estado de las alimentaciones de entrada.

El siguiente diagrama de bloques representa el funcionamiento básico de esta unidad. La

señal A+ será la entrada al módulo procedente de la fuente de alimentación SD823. La

salida L+ y L- irán conectadas a los módulos.


Ilustración 36 Esquema del SS823

Las señales de diagnóstico las llamaremos SA y SB haciendo mención al sistema A y al

sistema B respectivamente.

Los interruptores de corte o “Breakers” se instalarán en una caja de interconexión

intermedia próxima a las estaciones donde se ubicarán los sistemas de alimentación

ininterrumpida.

Ilustración 37 Arquitectura de alimentaciones sobre los módulos de hardware

En la siguiente figura se puede ver representada la configuración de los módulos

comentados para asegurar una correcta y redundante alimentación de los sistemas.


Ilustración 38 Arquitecturas de alimentación de módulos

Los dispositivos propuestos cumplen con las exigencias del IEC 61508.

Las señales de diagnóstico deben distribuirse a lo largo de todas las unidades que

constituyen la zona 1 para activar una alarma informativa y poder tomar una acción

correctiva.

Las bases donde se enclavan las unidades de control TP830 disponen de un conector que

integra una alimentación externa y dos señales de diagnóstico para cada sistema

alimentación (L+, L-, SA, SB).

Para disponer de total redundancia en alimentaciones, se efectúa la instalación de 2

módulos SS823. La conexión de estos sistemas quedará como se establece

seguidamente:


Ilustración 39 Convención de alimentación de PM865 redundante

Como se puede observar, la unión de las dos alimentaciones se efectúa en el mismo

conector de alimentación de la base donde reside el controlador TP830. Los

interruptores de seguridad electrónicos utilizados serán los Phoenix Contact ECP. Éstos

desvían a tierra su salida cortocircuitada. La función de los diodos es evitar que la red de

alimentación redundante caiga cuando acontece un cortocircuito y el contacto de

Phoenix ejecute su protección, mandando ambas alimentaciones a tierra.

La alimentación de los módems de comunicación óptica ModuleBus y ProfiBus se

efectuará de forma análoga a la expresada en la ilustración ya que en la base de los

módem para E/S redundante TU840 se dispone del mismo tipo de conector que en el

caso anterior. La diferencia básica será que existe un único conectar común para los dos

módems de modo que únicamente se conectará al borne L+ la alimentación procedente

del sistema A y la alimentación procedente del sistema B (en vez de dos alimentaciones

de cada sistema tal como se expresa en la ilustración mostrada).

Fuente dealimentación

+VCC

SS823

+ -

SAA+ L-

…

L+ L+


+VCC

SS823

+ -

SBA+ L-

…

L+ L+

…

PM865L+ L- SA SB

… …

PM865L+ L- SA SB

SAI-1 SAI-2


+VCC

SS823

+ -

SAA+ L-

…

L+ L+


+VCC

SS823

+ -

SBA+ L-

…

L+ L+

…

PM865L+ L- SA SB

… …

PM865L+ L- SA SB

SAI-1 SAI-2


Comunicaciones

La ilustración 25 mostraba el modelo de zonas de la plataforma de control. En ella se

distinguen básicamente tres redes: la red de control, la red de cliente y servidor y la red

de planta.

Red de control

La red de control es una red de área local LAN optimizada para una comunicación

fiable y de alto rendimiento. Los elementos que se conectan a la red de control son los

módulos de control y los servidores de conectividad.

La red de control se basa en el mecanismo cliente/servidor. Utiliza el protocolo MMS

(del inglés “Manufacturing Message Specification”) sobre RNRP (del inglés

“Redundant Network Routing Protocol”), desarrollado por ABB y especialmente

diseñado para sus redes de automatización. La red RNRP está basada en el protocolo

IPv4. El protocolo permite redes físicamente redundantes incluyendo tarjetas de red en

cada nodo. En el caso de aparición de un error en la red, RNRP actualiza el nodo

afectado mediante su tabla de rutina IP con la dirección correcta referente al elemento

redundante en un tiempo establecido (por defecto se define a 1 s).

Una red que utiliza RNRP está constituida por una o varias zonas de red (Network

Areas). La zona de red es una estructura plana que no requiere routers. Cada zona de red

contiene dos direcciones IP independientes distinguidas por un número de canal o path.

El canal 0 hace referencia a la red primaria y el canal 1 a la red secundaria.

Como se efectúa en cualquier nodo de una red TCP/IP, la identificación viene dada por

su dirección IP de 32 bits (4x8 bits) que suele representarse en la forma X.Y.Z.Q con

cuatro valores decimales comprendidos entre 0 y 255.

La dirección IP consiste en una parte que identifica a la red como NetID y otra IP al

nodo como HostID. La máscara de subred determina el número de bits de la dirección

IP dedicados a determinar la NetID y la HostID.

Dependiendo del valor de X, las direcciones IP se dividen en tres clases:


Tabla 28 Clases de direcciones IP

El nodo funcionando bajo RNRP se configura bajo los siguientes parámetros:

Zona de red: 0 – 31

Número de nodo: 1 – 500

Número de canal: 0 – 1

Las reglas a seguir de forma obligada para definir estos parámetros son:

1.- El número de nodo debe ser el mismo que el HostID.

2.- Todos los nodos definidos en una misma NetID deben corresponder a un mismo

canal en una zona de red determinada para poder ser observados entre ellos.

Debido a la limitación de números de nodos por red, los valores mostrados en la Tabla

28 no estarán disponibles en su totalidad. Si tomamos como ejemplo una dirección de

clase B como X.Y.12.13, el número de HostID será 12*256+13 = 3085. Debido a que

este valor es superior a 500 esta dirección no sería válida.

Por convención de proyecto, para una dirección IP A.B.C.D se definen los parámetros

RNRP de la siguiente forma:

Donde,

XXXXXXXX.XXXXXX Número de red

PP Número de canal

L Define si la red es local

AAAAA Número de zona de red

NN.NNNNNNNN Número de nodo

Calse AClase BCalse C

1-126 X Y.Z.Q X.0.0.1 - X.255.255.254 255.0.0.0128-191 X.Y Z.Q X.Y.0.1 - X.Y.255.254 255.255.0.0192-223 X.Y.Z Q X.Y.Z.1 - X.Y.Z.254 255.255.255.0

ABC

Máscara desubred

Dirección IP en formato binario

XXXXXXXX.YYYYYYYY.ZZZZZZZZ.QQQQQQQQ

Clase HostID Rango dedirecciónes HostID

Valor deX NetID

NetID HostIDNetID HostID

NetID HostID

A . B . C . DXXXXXXXX . XXXXXXPP . LAAAAANN . NNNNNNNN


Por tanto, para unos parámetros definidos como los siguientes

N1.N2 Identificador de red

Canal Canal ó “Path”

área Número de zona de red

Nodo Número de nodo

Definiremos la dirección IP como sigue:

A = N1

B = N2 + Canal

C = 4*área

D = Nodo

Convención de parámetros para el proyecto

Para la red de control, definiremos los siguientes parámetros:

Base de direcciones (Identificador de red) del canal 0 será 172.16.0.0 y 172.17.0.0 para

el canal 1, con máscara de subred de 255.255.252.0

Número de área = 1

Nodo inicial para servidores = 5

Nodo inicial para controladores = 64.

Por tanto, el nodo N tendrá la dirección 172.16.4.(63+N) para el canal 0 y

72.17.4.(63+N) para el canal 1.

Ilustración 40 Convención de direcciones IP para la red de control


Red de cliente/servidor

La red de cliente/servidor sirve para comunicar los servidores entre ellos y entre las

estaciones de trabajo y servidores. Se trata de una red privada IP que utiliza direcciones

IP estáticas.

En nuestro proyecto definiremos dos redes IP para obtener redundancia en la

comunicación. Teniendo en cuenta la recomendación de ABB para la asignación de

redes, definiremos la siguiente convención de diseño:

Dirección base de la red primaria será 164.155.130.0 y 192.168.0.0 para la secundaria

con la máscara de subred 255.255.252.0.

Número de área = 10

El nodo inicial para servidores será el 2, de modo que el nodo N tendrá la dirección

164.155.130.(2+N).

El nodo inicial para estaciones de trabajo será 21.

Ilustración 41 Convención de direcciones IP para la red de cliente/servidor y control


Lazos de instrumentación

En función del tipo de elemento conectado a la plataforma de control, estableceremos

una convención en diseño teniendo en cuenta las características y las posibilidades de

los módulos de E/S. Básicamente, trataremos con cuatro tipos de módulos:

Señales de lectura analógica

La lectura de las variables de proceso se efectuará mediante lazos de corriente variable

en el rango de 4 – 20 mA. Se debe diferenciar entre elementos pertenecientes a

funciones instrumentadas de seguridad y lazos de control del proceso. Dependiendo del

tipo de instrumento conectado, puede interesar alimentar el lazo de instrumentación

desde el módulo de E/S o disponer de una alimentación sobre el instrumento externo.

De forma general, y en la medida de lo posible, trataremos el lazo de instrumentación

dispuesto con un instrumento pasivo, es decir, instrumentación que no aporte tensión al

lazo y que efectúe una variación de la corriente en función de la medida.

La plataforma ABB Industrial IT 800xA dispone de una variedad más o menos grande

de módulos de E/S para la lectura de señales, pero nosotros consideraremos básicamente

dos tipos: AI845 para señales analógicas de entrada y AI880 para señales analógicas de

entrada de alta integridad.

El módulo AI880 será empleado en aquellas señales procedentes de instrumentos cuyo

valor y estado forma parte de una función de seguridad SIF.

Ambos módulos de entradas analógicas disponen de una capacidad de hasta 8 canales

configurables de 0…20 mA y 4…20 mA con una resolución de 12 bits. Cada canal

dispone de 24 VDC para alimentar instrumentación pasiva. En función de cómo se

efectúe el cableado de la señal de campo a la base del módulo TU845, se podrá

considerar instrumentación activa o pasiva. La siguiente figura representa los

conexionados típicos que podemos contemplar. Debido a que se utiliza la misma base en

un módulo y otro, la siguiente ilustración es extrapolable al módulo AI845.


Ilustración 42 Conexionados típicos sobre módulos de señales analógicas de entrada

En el proyecto definiremos las siguientes configuraciones para el caso activo y pasivo

respectivamente:

Ilustración 43 Convención de conexión de

instrumentos pasivos

Ilustración 44 Convención de conexión de

instrumentos activos

URV – AUTOMATIZACIÓN DEL PROCESO DE REGENERACIÓN DE UN REACTOR QUIMICO - 139/173

La alimentación proporcionada por el módulo está supervisada y dispone de un limitador

de corriente de 800 mA como máximo. La resistencia que se representa es conocida como

“Shunt” y ejerce dos funciones básicas: protección electromagnética ante presencia de

EMIs y convertidor de corriente a tensión en la entrada del módulo analógico. El valor de

esta resistencia es de 250 W.

Los cables se distribuirán a una regleta de interconexión con disposición de fusible de 100

mA como máximo conectado al positivo del lazo. En el caso de tratarse de un instrumento

pasivo, se conectará al borne Bi, en el caso de conectar un instrumento activo, en el borne

Bi+1.

Señales de lectura digital

El módulo que utilizaremos será el DI840 para señales de proceso o bien el AI880 para

señales de alta integridad. Estos módulos disponen de 16 canales para señales de 24 VDC

con fuente de corriente. El rango de tensiones de entrada es de entre 18 y 30 VDC y

corrientes de 7 mA a 24 VDC.

La siguiente ilustración muestra los conexionados típicos sobre una base TU830:


Ilustración 45 Conexionados típicos sobre módulos de señales digitales de entrada

Podemos considerar diferentes tipos de señales digitales de entrada, pero en el proyecto

únicamente trataremos con contactos pasivos. Casos típicos son el uso de contactos,

optoacopladores o interruptores de proximidad, además de relés interpuestos. La

configuración utilizada será la siguiente:

Ilustración 46 Convención de conexión de señales digitales de entrada


Del mismo modo que se efectúa en las señales de lectura analógicas, se interconectará un

fusible en el terminal positivo Bi, Bi+1 de 100 mA.

En el caso de las válvulas y motores de alta integridad, sus confirmaciones de estado irán

conexionados a módulos de lectura de señal digital pues la confirmación de marcha de un

elemento que forma parte de un lazo SIS, no forma parte del lazo de seguridad. El estado

de cómo está el elemento no forma parte de la función de seguridad, aunque sí la señal de

salida y su diagnóstico.


Señales de salida digital de alta integridad

Las señales que formen parte de un lazo de seguridad SIS requieren ser conectadas a

módulos de alta integridad. Para el caso de las señales de salida digitales se utilizará el

módulo DO880. Este módulo dispone de 16 canales de 24 VDC con capacidad de

suministrar una corriente con limitador de 500 mA. En el caso en que la carga haga exceder

los 600 mA, el suministro de corriente se corta y una alarma de diagnóstico se activará.

Para diagnosticar el estado del lazo de instrumentación, el módulo efectúa un cálculo de

impedancia en la línea para determinar si el lazo se encuentra en cortocircuito (0 W - 400

W) o bien en circuito abierto (100 W - 2000 W). Por otro lado, dispone de una consigna de

alarma por corriente para determinar si existe cortocircuito con la salida energizada

(100 mA – 160 mA) o bien en circuito abierto con la salida desenergizada (0 mA – 160

mA). Las conexiones típicas sobre la base (TU843) se efectuarán como se ilustra a

continuación:


Ilustración 47 Conexionados típicos sobre módulos de señales digitales de salida

Los elementos de salida contemplados en el proyecto serán solenoides para la actuación de

válvulas o relés que darán la orden de arranque y paro sobre centros de control de motores.

La conexión típica será la siguiente:

Ilustración 48 Convención de conexión de señales digitales de salida


Señales de salida digital

Las órdenes ejecutadas desde el sistema de control a los actuadores de válvulas todo-nada u

órdenes de arranque y paro de motores sobre un CCM que no formen parte de un lazo de

seguridad se efectuarán a través del módulo de salida digital DO840. Del mismo modo que

ocurría con el módulo de salida de alta integridad, éste dispone de 16 canales de 24 VDC

con una corriente máxima limitada hasta 500 mA. En este caso, si existe sobrecarga, la

corriente de salida será limitada pero no cortada. En el caso en que la temperatura ascienda

en esta circunstancia, la salida cortará el suministro de corriente hasta que la temperatura

del módulo no descienda de los 150 ºC. La base utilizada para este módulo es igual que la

utilizada en la AI880, con lo que la conexión de los elementos de salida será análoga a los

representados anteriormente.

Como medida de protección adicional, en este tipo de señales instalaremos un fusible de

500 mA en el terminal Cn. En el caso de las señales de alta integridad es optativo, pero la

determinación tomada por el proyecto ha sido evitar esta protección adicional y considerar

únicamente la que aporta el módulo electrónicamente.

Señales de salida analógicas de alta integridad

La plataforma de ABB Industrial IT 800xA no suministra módulos de salida analógicos de

alta integridad. Conceptualmente, el disparo de seguridad de un elemento debe ser tratar

elementos de corte para una actuación determinada. Por tanto, no tiene sentido disponer de

un módulo de salida de este tipo. En el caso en que un elemento de salida analógico debiera

formar parte de un lazo de seguridad, se debería buscar una alternativa para crear la

funcionalidad semejante a una señal de salida discreta: disparar por seguridad una válvula

controladora debería efectuarse mediante la interconexión de una solenoide que

desenergizará o extraerá la presión neumática de la válvula para llevarla a su posición de

seguridad. Obviamente, debería existir una conexión a un solenoide desde una DO880 y

tratarla con la rigurosidad merecida.

El módulo de salida AO845 suministra 8 canales de 4…20 mA con una resolución de 12

bits. La carga máxima permitida es de 750 W. La conexión que se establecerá para este tipo

de señales será la siguiente:


Ilustración 49 Conexionados típicos sobre módulos de señales analógicas de salida

Repetición de señal. Lazos particulares.

En determinadas ocasiones es necesario cablear repetidamente una misma señal a dos

controladores o más módulos de entrada y salida. La justificación de efectuar este tipo de

lazos viene dado por los siguientes puntos:

Elemento sensor compartido en diferentes lazos de seguridad programados en diferentes

plataformas de control. Las funciones que forman parte de los lazos de seguridad

instrumentados SIS pueden disponer de los mismos elementos sensores. Esta circunstancia

se dará únicamente cuando los lazos surjan en diferentes escenarios. Si no fuera de ese

modo, deberíamos tratar lazos de mayor integridad.

Elemento sensor que forma parte de un lazo de seguridad y comparte disparos no

acreditados en LOPA para proteger equipos. Todo elemento que es programado en “zona

SIS” tiene su representante, como elemento virtual, en la zona de código de proceso básico


BPCS. El retardo inducido por la comunicación MMS puede atentar contra la integridad de

un equipo. La justificación vendrá dada si una variable de proceso debe ser considerada

con alta integridad en la seguridad y la misma debe activar un disparo en otro equipo en un

intervalo de tiempo reducido (< 2 s).


Anexo C: Estructura de código en el sistema 800xA

Industrial IT

ABB Industrial IT 800xA tiene una programación orientada a objetos. Los objetos

definidos a nivel de librería, serán posteriormente instanciados en la aplicación de control.

En cada aplicación, se podrán instanciar objetos CMO (del inglés “Control Module

Object”) o definir nuevos módulos de código SCM (del inglés “Single Control Module”).

La diferencia básica entre los llamados CMO y los SCM es la repetitividad en código: si un

objeto (como puede ser una válvula) va a ser utilizado múltiples veces en la aplicación, lo

coherente sería generar una librería mediante un CMO que defina el comportamiento de la

misma; contrariamente, si únicamente hay dos tanques, y existen diferencias sustanciales

entre ambos, será más útil definir el comportamiento de cada uno mediante dos SCM, uno

para cada tanque.

La variabilidad de comportamiento de un objeto es contraria a la idea del uso de librerías

pues, considerar excesivos modos de funcionamiento hace enrevesada y complicada la

implementación de un objeto.

Cada objeto dispone de dos tipos de variables en función del destinatario de su contenido:

· Parámetros: son variables que permiten extraer información del interior de un

objeto hacia el exterior o introducir información del exterior procedente de otros

objetos o reglas calculadas en una jerarquía superior o al mismo nivel.

· Variable: Las variables internas de un objeto permiten efectuar cálculos internos

para definir el funcionamiento del objeto particular en función de parámetros u

otras variables internas. Pueden ser vistas por los hijos del objeto pero no por sus

vecinos al mismo nivel.

Como se puede apreciar, los objetos se distribuyen de forma jerárquica: los elementos más

básicos se encontrarán a menor nivel que los objetos que han sido constituidos por

múltiples objetos simples u objetos compuestos.

En el siguiente ejemplo, se puede observar la estructura jerárquica que caracteriza el

lenguaje de programación de ABB Industrial IT 800xA:


Ilustración 50 Estructura de código

El comportamiento de cada objeto se puede definir de múltiples formas: lógica de

contactos, diagramas de funciones, código estructurado, etc. Dentro de cada objeto, además

de definir los parámetros de entrada y salida y las variables internas, se define el código en

pestañas o “Sheets”. Podrán existir tantas pestañas como se requiera, pero normalmente se

definirán según el siguiente criterio:

· “Input code”: Esta pestaña de código servirá para asignar a las variables internas del

objeto el valor de los parámetros con el fin de introducir datos desde el exterior para

determinar la configuración y el funcionamiento del mismo.

· “Output code”: La información del objeto necesaria en otros objetos de su misma o

superior jerarquía deben ser enviados por parámetro hacia el exterior. Así, los

parámetros de salida tomarán por valor el estado de las variables internas calculadas

en base a los parámetros de entrada y código propio del objeto.

· “Code”: En determinadas ocasiones se hará uso de bloques de funciones definidos

en el sistema que requieren la asignación de múltiples variables y devuelven

múltiples variables. Estas funciones son los llamados “Function Blocks”. Un

ejemplo claro de este tipo de funciones son los temporizadores (Ton, Tof, etc.). No

se debe confundir los bloques de funciones con funciones básicas. Normalmente,

las funciones básicas únicamente devuelven una sola variable en función de otras.

Ejemplos de funciones básicas son las conversiones de tipo de datos (eg.

Dint_To_Bool). La asignación de parámetros al bloque de función siempre se

pondrá en esta pestaña de código.


· “Start_Init”: Cuando el nombre de la pestaña es Start_Init, el sistema entiende que

debe ejecutar este código la primera vez tras descargar el programa en el

controlador. Después, el código de esta pestaña no se volverá a ejecutar a no ser que

se reinicie el controlador. El cálculo de nombres de objetos de jerarquía inferior o

consignas de alarmas pueden residir en esta pestaña al no ser necesario el cálculo

continuado.

En determinadas ocasiones será necesario comunicar vía MMS el estado de determinadas

variables existentes a otras aplicaciones. Así, la convención de cómo efectuar esta

comunicación se detalla en el apartado Comunicación entre aplicaciones (MMS) de este

mismo anexo. Existirá un SCM dedicado exclusivamente a las funciones de comunicación

y en él se determinará, mediante dos pestañas de código, la asignación de variables a los

canales de comunicación:

· “CommIn Code”: Asignación de las variables del canal de comunicaciones a las

variables o parámetros necesarios en la aplicación.

· “CommOut Code”: Asignación a las variables de comunicación del estado de

variables o parámetros a comunicar hacia otras aplicaciones.


Los tipos de datos que se pueden tratar en el entorno de programación son los mismos que

los disponibles en la mayoría de lenguajes de programación en alto nivel. Todas las

variables ocupan 32 bits en memoria:

· “Bool”: Tipo de dato que puede tomar el valor falso o cierto. La palabra clave “on”

o el valor entero ‘1’ es equivalente al valor cierto; contrariamente, la palabra clave

“off” o el valor ‘0’ equivale al valor falso.

· “Int”: Tipo de dato entero con signo (16 bits con signo incluido) con rango -32768 a

32767.

· “Uint”: Tipo de dato entero sin signo (16 bits sin signo incluido) con rango 0 a

65535.

· “Dint”: Tipo de dato doble entero con signo (32 bits incluyendo el bit de signo) con

rango -231 a 231-1.

· Word: Tipo de dato que se refiere a una cadena de 16 bits.

· “Dword”: Tipo de dato que se refiere a una cadena de 32 bits, donde el bit de

mayor peso se gestiona como bit de signo.

· “Real”: Tipo de dato que puede contener un rango de valores comprendido entre

±10±38. La sintaxis para la representación es:

[{±}{Parte entera}{Parte fraccional} e {parte exponencial}]

· “String”: Tipo de dato que contiene una cadena de caracteres.

Los tipos de datos estructurados permiten integrar en una variable o en un parámetro un

conjunto de variables de diferentes tipos para hacer más fácil la programación de los

objetos. Normalmente, todos los objetos dispondrán de los siguientes parámetros:

· “Name”: Será una variable de tipo string[20] que determinará el nombre del objeto.

· “Description”: Será una variable de tipo string[40] que contendrá la descripción del

objeto.

· “Link”: El contenido de esta variable dispondrá de todos los parámetros de entrada

y de salida al objeto. Será un tipo de dato estructurado que variará en función del

objeto que se esté tratando. Normalmente, cada objeto dispondrá de su propio tipo

de datos.

Para el caso específico de las variables que contengan información de señales de entrada y

salida, existe un tipo de variable estructurada que engloba el estado de la señal y el valor de


medida que dispone. En función del tipo de señal de entrada y salida, se dispondrá de dos

tipos estructurados diferentes:

· “RealIO”: Tipo de dato estructurado que dispone de toda la información necesaria

para conocer, desde la aplicación de control, el estado de variables de entrada y

salida de tipo analógicas (AI y AO). Se compone de las siguientes variables:

o “IOValue”: Variable de tipo Real que contiene la medida de la señal

procedente de campo.

o “Value”: Variable de tipo Real que contiene la medida de la señal

procedente de campo filtrada o manipulada (forzada). Esta variable es la que

normalmente utiliza la aplicación de control.

o “Forced”: En ocasiones puede interesar efectuar un forzado de la señal de

entrada, falsificando su valor a uno más apropiado desde la perspectiva

operacional, sobretodo, desde la perspectiva de fiabilidad de proceso. Así,

cuando un instrumento está forzado, la variable Value toma por valor el

indicado por el operador desde la interfaz de usuario, obviando el valor de

IOValue. Esta variable de tipo Bool se indica con cierto cuándo esta señal

está siendo forzada.

o “Status”: Variable de tipo Dword que contiene el estado del módulo E/S en

una palabra de 32 bits, donde cada bit supone la activación de un flag para

suministrar información de hardware a la aplicación.

o Parameters: Variable de tipo estructurada (SignalPar) que dispone de:

§ “Max”: Variable real que indica el rango máximo de la variable

RealIO.

§ “Min”: Variable real que indica el rango mínimo de la variable

RealIO.

§ “Units”: Variable de tipo string que indica las unidades de proceso

de la variable RealIO.

· BoolIO: Tipo de dato estructurado que dispone de toda la información necesaria

para conocer, desde la aplicación de control, el estado de variables de entrada y

salida de tipo digital (DI y DO). Se compone de las mismas variables que la

RealIO, pero sin considerar la variable Parameters.

Enlace entre el hardware y la aplicación de control


La información de proceso es captada por la instrumentación distribuida en campo y

transmitida a la aplicación de control para su visualización y posterior toma de decisión, de

forma automática o por personal de operación.

El instrumento actúa como un transductor electrónico que convierte las unidades de

proceso en unidades de medida. Tal como se observó en el Capítulo 2, en Definición de la

instrumentación asociada al proceso, los tipos de lazos de instrumentación contemplados

son de corriente 4…20 mA o bien, de tensión 0-24 VDC. La factorización de las unidades

de medida a unidades de proceso se efectúa en los módulos de entrada y salida del sistema

de control, o tarjetas de I/O. Entre diferentes datos, en los módulos de E/S se definen los

siguientes parámetros para cada señal de entrada:

· Rango del instrumento y unidades de proceso. Se determina el rango de medida

activo del instrumento para efectuar la factorización de forma correcta. Se

menciona rango activo pues el instrumento puede tener posibilidad de cubrir un

amplio margen en la medida en la variable de proceso, pero sin embargo suministra

un determinado rango de medida configurado para un proceso particular.

· Consigna de saturación del instrumento. La consigna de saturación del instrumento

podrá ser habilitada o no teniendo en cuenta la inteligencia del instrumento (“Smart

Instrument”). Se define una situación de saturación del instrumento cuando la

variable de proceso está fuera de los rangos operación, enviando en este caso, un

valor de corriente comprendido entre 3.6 mA y 4 mA. Normalmente, si el

instrumento es inteligente, se definirá a 3.8 mA la consigna sobre las unidades de

medida.

· Consigna de fallo de instrumento. La consigna de fallo del instrumento permitirá

conocer cuándo el instrumento ha detectado una anomalía en su funcionamiento y

se ha puesto fuera de servicio enviando una corriente de menos de 3.6 mA. De ese

modo, el sistema de control entiende que el instrumento se encuentra fuera de

servicio y ejecuta alguna la acción de ir al lado más seguro: degrada la

configuración de disparo para el caso redundante, o dispara una alarma o una

protección en caso necesario.

Habilitación de la función raíz cuadrada sobre la señal de medida. En determinados casos

puede interesar habilitar la función raíz cuadrada sobre el valor de medida, dependiendo de

la inteligencia del instrumento. El caso típico es el de los caudalímetros de orificio muy

extendidos en el ámbito industrial. El caudal volumétrico depende de las características del


producto, de la tubería y del orificio; pero tiene una dependencia directa de la presión

diferencial:

dPKQ ·=

Existen transmisores de presión con capacidad de efectuar la raíz cuadrada y suministrar

un valor con dependencia lineal, lo cual es el caso ideal a utilizar, pero en algunos casos,

esa tarea se reserva para el sistema de control.

Las señales de salida del sistema de control serán también de naturaleza 0…20 mA o 0-

24 VDC tal como se definió en la Sección 3. Los parámetros configurables sobre el

módulo de E/S serán:

· Rango de salida y unidades de proceso. Se determina el rango de la señal de salida

y las unidades para las señales de escritura analógica.

· Asignación de salida como predeterminada OSP (del inglés “Output Set as

Predetermined”). Permite disponer de un valor de salida predefinido cuando se

detecta una anomalía en el módulo de salida o se pierde la comunicación con el

controlador. Existe la posibilidad de configurar la salida de modo que mantenga el

último valor que disponía justo antes de detectar la anomalía.

· Habilitación de señal invertida. Cuando existen elementos que funcionan con lógica

negada (como podría ser una válvula a fallo abre), el módulo permite ser

configurado para que invierta la orden recibida desde la aplicación de control. Esto

permite una misma convención para determinar siempre elemento activo y

elemento no activo en el programa de control (lógica positiva: ‘1’ activo, ‘0’ no

activo) independientemente de las características específicas del dispositivo

conectado.

La siguiente figura trata de representar el camino que lleva una variable medida en campo

hasta que se introduce en el código de control desde la perspectiva funcional:


Ilustración 51 Enlace de lectura desde campo al código de control

La señal procedente desde el instrumento entra en contacto con la plataforma de control a

través del módulo de E/S. En este módulo, la señal es factorizada en una variable de

medida y se integra en una variable de tipo RealIO. Cada una de estas variables integra el

valor de la medida de proceso, los rangos definidos, las unidades y el estado en que se

encuentra.

Desde el código de control es posible efectuar un forzado de la señal de lectura. El efecto

de forzar lo definiremos como la acción de engañar al sistema de control indicando un

valor establecido por operación a través de una ventana que hará de interfaz entre la

plataforma de control y el operador. Obsérvese que cuando se efectúa el forzado de una

señal de entrada tiene un efecto directo sobre la variable Status. Considerar el estado de

forzado de la señal de lectura es tan importante como conocer el estado del instrumento

para poder tomar acciones sobre lazos con sensores redundantes o individuales.

En el proyecto se define que un instrumento se encuentra fuera de servicio cuando se

fuerza su variable o bien en situación anómala (

Ventana interfaz de usuarioRepresentación de la lectura

Mux

IOValue

Value

Instrumento ‘0’

‘1’

Forzado

Value

Plataforma de Control

IOModule4…20 mA

ORStatus

Parameters

Status

Parameters

RealIO

b23

Real

Bool

Dword

Real

RealMax

Min

Unit

RealString

Código de controlHardware

ForcedBool

IOValueReal

IOValue

Ventana interfaz de usuarioRepresentación de la lectura

Mux

IOValue

Value

Instrumento ‘0’

‘1’

Forzado

Value


IOModule4…20 mA

ORStatus

Parameters

Status

Parameters

RealIO

b23

Real

Bool

Dword

Real

RealMax

Min

Unit

RealString


ForcedBool

IOValueReal

IOValue


Instrumento fuera de servicio); pero en otras ocasiones podría interesar diferenciar estas

dos situaciones y considerar que el instrumento se sitúa fuera de servicio únicamente

cuando está en estado anómalo, incrementando así la fiabilidad de proceso al engañar al

sistema de control indicando manualmente un valor determinado por operación. El efecto

de forzado se efectúa a través de la ventana interfaz de usuario, donde la botonera de

forzado actúa como una señal de control para seleccionar el valor procedente de campo, o

el introducido por operación desde la misma ventana.

La Ilustración 51 muestra cómo una señal de lectura analógica se transmite hasta la

aplicación de control, pero hay que tener en cuenta que existen transmisores discretos, es

decir, transmisores que aportan únicamente dos estados a través de una variable de tipo

BoolIO. El comportamiento de este tipo de señales es idéntico, salvando las distancias con

respecto a las necesidades de la señal: no es necesario incluir rangos ni unidades ya que no

existe factorización de unidades de medida en unidades de proceso.

Ilustración 52 Enlace de escritura desde el código de control a campo

Ventana interfaz de usuarioRepresentación del actuador

MuxIOValue

Value

Actuador ‘0’

‘1’

Forzado

Value


IOModule4…20 mA

ORStatus

Parameters

Status

Parameters

RealIO

b23

Real

Bool

Dword

Real

RealMax

Min

Unit

RealString


Forced Bool

IOValue Real

Ventana interfaz de usuarioRepresentación del actuador

MuxIOValue

Value

Actuador ‘0’

‘1’

Forzado

Value


IOModule4…20 mA

ORStatus

Parameters

Status

Parameters

RealIO

b23

Real

Bool

Dword

Real

RealMax

Min

Unit

RealString


Forced Bool

IOValue Real


La señal de salida es calculada en el código de control y conectada al hardware para su

transmisión hacia campo. Del mismo modo que ocurre con las señales de entrada, es

posible efectuar un forzado de la señal de salida para sobrescribir la orden establecida por

código. Esta utilidad puede ser aplicable para situaciones donde se requieren pruebas de

actuadores o cuando es necesario sobrescribir un disparo o enclavamiento bajo supervisión

y aprobación del responsable de planta.

Cuando se instancia el código de una válvula, existe un cálculo que marca el valor de la

orden de apertura o de cierre a través de una señal de tipo BoolIO. El cálculo de la orden

reside en la variable “value”; variable conectada al hardware para su transmisión a campo.

Si ponemos como ejemplo el caso en que se esté ordenando el cierre de la válvula (Value =

false), si la válvula funciona correctamente indicará con su final de carrera de cerrada que

se encuentra tal como se le ha ordenado (ZSC = cierto). Si ponemos como ejemplo que se

efectúa el forzado de la señal de salida, el multiplexor seleccionará el valor que marca el

operador desde la ventana de interfaz. Si se efectúa un forzado a cierto, la válvula abrirá y

el interruptor de válvula cerrada abrirá (ZSC = falso). Debido a que el código de control no

ha cambiado y por tanto, mantiene su orden de válvula cerrada, al percibir que el

interruptor de válvula cerrada indica lo contrario a lo que él ordena, surgirá una alarma de

discrepancias DIDO. En este ejemplo se pone de manifiesto la existencia de un

funcionamiento segregado cuando se efectúan forzados al actuar sobre el hardware

directamente, y sin cambiar el estado del código de control que gestiona las órdenes de

salida.

En el código de control se dispone de todas la variables relativas al estado de la señal de

salida. En la ilustración se muestra el caso particular de variables de salida analógicas, pero

el comportamiento para señales de salida discretas tipo Bool será exactamente el mismo,

exceptuando la necesidad de disponer de rangos y unidades.

Lectura de variables de proceso

El objeto de lectura de una señal de E/S se instancia en la aplicación de control y se vincula

directamente a la dirección de E/S donde se conecta en el módulo de entrada (AI880,

AI845, DI840, DI880). La variable de tipo RealIO vinculada a la señal de medida dispone

del IOValue determinado por el módulo de entrada. En la ventana de interfaz de usuario,

existen elementos de control y de visualización del estado de la variable de lectura.


Ilustración 53 Funcionamiento del objeto de lectura de una variable de proceso

La señal del instrumento se factoriza en unidades de medida y aloja en la variable

FieldAI.IOValue. El código de control dispone de un vínculo directo entre el objeto de

lectura y el hardware. En función de cómo se encuentre el objeto controlado desde el

interfaz de usuario, trasladará el valor del hardware a la variable pertinente para tener en

cuenta en la aplicación FieldAI.Value. En condiciones normales, el objeto de lectura no se

encontrará forzado trasladando así el valor real del instrumento. En el caso de que el

instrumento se encuentre forzado a un valor, la variable FieldAI.Value considerará el valor

determinado desde el interfaz de usuario. Finalmente, para que la siguiente lectura de la

variable de E/S sea coherente a lo establecido, el objeto de lectura escribirá sobre el

módulo de E/S el valor de Value, Status, y Forced.

El comportamiento del módulo de entrada salida está condicionado al estado ordenado por

el objeto de lectura, pero nunca reescribirá el valor IOValue ni de Parameters.

El funcionamiento del objeto de lectura de una variable de proceso digital (DI) será

exactamente el mismo que el expuesto en la Ilustración 53 , pero con la excepción de que

no existirá la variable Parameters por carecer de sentido.

[FieldAI]Obtención de

la variable desdeel Hardware

IOValue

Si instrumento Forzado entonces:FieldAI.Value := ValorOperacion;FieldAI.Forced := True;FieldAI.Status := 0xD8

Si no:FieldAI.Value := FieldAI.IOValue

FieldAI.Value RealFieldAI.IOValue RealFieldAI.Status DwordFieldAI.Parameters SignalParFieldAI.Forced Bool

[FieldAI]Escribe la

variableal Hardware

AIObject_1

El valor de Value será o bien IOValueo bien el marcado por operación sifuerza el instrumento.

Value

Instrumento

La variable FieldAI.Value es lavariable utilizada a nivel de

aplicación, aunque se disponede la FieldAI.IOValue.

Status

Parameters

Forced

4…20 mA

RealIO

RealIO



IOValue

Si instrumento Forzado entonces:FieldAI.Value := ValorOperacion;FieldAI.Forced := True;FieldAI.Status := 0xD8

Si no:FieldAI.Value := FieldAI.IOValue


[FieldAI]Escribe la

variableal Hardware

AIObject_1

El valor de Value será o bien IOValueo bien el marcado por operación sifuerza el instrumento.

Value

Instrumento

La variable FieldAI.Value es lavariable utilizada a nivel de

aplicación, aunque se disponede la FieldAI.IOValue.

Status

Parameters

Forced

4…20 mA

RealIO

RealIO


Escritura de variables de proceso

Del mismo modo que se efectúa en el objeto de lectura de variables de proceso, el objeto

de escritura de una señal de E/S se instancia en la aplicación de control y se vincula su

variable, de tipo RealIO directamente al módulo de salida (DO880, AO845, DO840). La

variable estructurada de la señal de salida RealIO dispone de la variable Value e IOValue

del mismo modo que sucede en el objeto de lectura explicado en el apartado anterior, pero

la diferencia con respecto al objeto de lectura es que ahora es IOValue la que toma por

valor Value o lo indicado por operación desde la interfaz de usuario.

Ilustración 54 Funcionamiento del objeto de escritura de una variable de proceso

La variable de tipo RealIO es leída por el objeto de escritura con el fin de conocer el

estado, los parámetros y el valor de salida de la plataforma de control. El objeto de

escritura determina el valor de salida a través de la IOValue dependiendo de si el objeto de

salida se encuentra forzado o no. Finalmente, escribe el valor sobre el módulo de salida

para transmitir la información a través del lazo 4…20 mA hasta el actuador.

Estructura de comunicaciones MMS en ABB Industrial IT

Actuador

[FieldAO]Obtención de


IOValue

Si elemento Forzado entonces:FieldAO.IOValue := ValorOperacion;FieldAO.Forced := True;FieldAO.Status := 0xD8;

Si no:FieldAO.IOValue := FieldAO.Value

[FieldAO]Escribe la

variableal Hardware

AOObject_2

El valor de IOValue será o bien Valueo bien el marcado por operación sifuerza el elemento.

Value

La variable FieldAO.Value es lavariable utilizada a nivel de

aplicación, aunque se disponede la FieldAO.IOValue.

Status

Parameters

Forced

4…20 mA

RealIO


RealIO

Actuador

[FieldAO]Obtención de


IOValue

Si elemento Forzado entonces:FieldAO.IOValue := ValorOperacion;FieldAO.Forced := True;FieldAO.Status := 0xD8;

Si no:FieldAO.IOValue := FieldAO.Value

[FieldAO]Escribe la

variableal Hardware

AOObject_2

El valor de IOValue será o bien Valueo bien el marcado por operación sifuerza el elemento.

Value

La variable FieldAO.Value es lavariable utilizada a nivel de

aplicación, aunque se disponede la FieldAO.IOValue.

Status

Parameters

Forced

4…20 mA

RealIO


RealIO


Una variable que deba ser comunicada entre diferentes aplicaciones de la misma o de

diferente unidad controladora requiere de un canal de comunicaciones. Desde el punto de

vista de usuario de un protocolo MMS, un canal de comunicaciones MMS requiere de los

siguientes elementos:

Dirección donde conectar el canal de comunicaciones.

La dirección IP del nodo donde se quiere establecer la comunicación es indispensable para

llevar a cabo la comunicación. La dirección IP se determina mediante una variable de tipo

texto de al menos 17 caracteres.

Identificador del canal. Una variable de tipo Comm_Channel_MMS distingue el canal de

comunicaciones entre los diferentes canales que puedan existir a un mismo nodo.

Ilustración 55 Creación de un canal de comunicación MMS

En la ilustración se muestra la creación de un canal de comunicación desde el nodo con IP

172.16.4.64. Desde el nodo con IP 172.16.4.65 se podrá tomar lectura de las variables

publicadas desde el primer nodo.

Una vez se dispone del canal de comunicaciones con su identificador (id) establecido, se

debe efectuar las tareas de escritura y lectura.

La escritura se basa en publicar una variable específica en el bus interno del controlador

con un identificador de tipo texto para referirse a la misma y asignando el canal de

comunicaciones determinado en la conexión (Comm_Channel_MMS). Además, se debe

incluir una vía de comunicación determinada por un número entero para distinguirla entre

diferentes vías (según la Ilustración 55, será “C”).

Bus

inte

rno

(CE

X)

IP: 172.16.4.65

IP: 172.16.4.64Id_x

Parámetros MMSNodo: 172.16.4.65Id : Id_X

12C

…

Bus

inte

rno

(CE

X)

IP: 172.16.4.65

IP: 172.16.4.64Id_x

Parámetros MMSNodo: 172.16.4.65Id : Id_X

12C

…


Ilustración 56 Publicación de una variable en MMS

Una vez se dispone de la variable particular publicada en el bus interno, para poder usarla

en la dirección de destino es necesario efectuar la lectura de la misma. Para ello,

únicamente es necesario determinar en la función de lectura los siguientes parámetros:

Dirección IP del nodo que publica la variable.

Número de canal donde se encuentra publicada la variable

El Identificador de la variable particular a leer.

Ilustración 57 Lectura de una variable en MMS

Como se puede observar en la Ilustración 57, la variable leída del bus interno no tiene por

qué tener el mismo nombre que tenía en el nodo fuente. Así pues, lo que sí se exige es que

el identificador de la variable (“VarName1”) sea el mismo para poder traerla al nodo

destino.

Bus

inte

rno

(CE

X)

IP: 172.16.4.64Id_x

Publicación MMSCanal: Id_XCanal: 1Id Variable: “VarName1”Variable: VarInt

1

…VarInt := VarInt +1;…

“VarName1”

IP: 172.16.4.65Bus

inte

rno

(CE

X)

IP: 172.16.4.64Id_x


1


“VarName1”

IP: 172.16.4.65

IP: 172.16.4.64

Bus

inte

rno

(CE

X)

Id_x


1


IP: 172.16.4.65Lectura MMSCanal: Id_XCanal: 1Id Variable: “VarName1”Variable: VarIntDest…if VarIntDest > 4 then…

IP: 172.16.4.64

Bus

inte

rno

(CE

X)

Id_x


1



Bus

inte

rno

(CE

X)

Id_x


1




Convención de código de comunicaciones MMS

Tras haber revisado el funcionamiento de la comunicación MMS desde la perspectiva

operacional, seguidamente vamos a definir una convención para efectuar la programación

de las comunicaciones en la plataforma ABB Industrial IT 800xA utilizada en el proyecto.

Según las características técnicas suministradas por ABB, el módulo PM865/866 tiene una

carga de CPU altamente dependiente de las comunicaciones de tipo MMS definidas. La

carga de CPU disminuye drásticamente si se limita el número de canales definidos. Así, se

podría definir de dos maneras diferentes las comunicaciones MMS:

Generando un canal de comunicaciones para cada variable a comunicar.Integrando la variable a comunicar en un canal único de comunicaciones preestablecido.

La única ventaja que aporta el primer método es que una comunicación anómala en un

canal específico implicaría un problema en una sola variable de comunicación. El gran

problema es el incremento de carga en CPU que supone este método limitando

drásticamente los recursos.

La forma que se escogerá será la segunda: se definirán canales de comunicación globales

entre aplicaciones con una única vía por canal, donde se publicará una variable genérica

que contendrá un número limitado de variables lógicas, variables numéricas de tipo real y

variables de tipo texto. El número de variables a comunicar dentro de un mismo canal

vendrá limitado por el ancho de banda de transmisión. En el apartado siguiente

(“Características a tener en cuenta”) entraremos en detalle del comportamiento de este tipo

de comunicación y los límites de uso que tiene.

La convención de código establecerá que existirá únicamente un módulo de código

dedicado a asignar cada variable interna de tipo genérico a la variable específica que se

quiere publicar o leer.


Ilustración 58 Comunicación de una variable en MMS

En el ejemplo mostrado, se puede observar el camino que llevará la variable

“Nivel_Tanque” desde la aplicación A donde se toma el valor de campo a través del

módulo de entrada analógico, hasta la aplicación B a través de comunicación MMS. No se

han especificado las funciones MMS al quedar claramente reflejadas en las ilustraciones

anteriores.

Características a tener en cuenta

Debemos tener en cuenta las siguientes características a la hora de diseñar la comunicación

MMS entre aplicaciones:

El comportamiento de la comunicación MMS viene condicionada por la velocidad de

transmisión, la longitud del mensaje y la carga de la aplicación.

La velocidad de transmisión que utiliza la plataforma ABB Industrial IT 800xA con AC800

M es de 10 Mbit/s con el uso de Ethernet.

Un mensaje largo toma más tiempo que uno corto, pero es mucho más eficiente utilizar

mensajes largos si se debe transmitir gran cantidad de datos.

El tamaño máximo de un mensaje permitido con protocolo MMS es de 1024 bytes.

Cada mensaje requiere una cabeza de entre 60 y 70 bytes.

Bus

inte

rno

(CE

X)

IP: 172.16.4.64Id_x

Aplicación A

1

TK10- Nivel_Tanque

MMSComm-VarComm-Nivel_Tanque…

VarComm.R01 := Nivel_Tanque.ValueVarComm.B01 := Nivel_Tanque.GTHHVarComm.Str01 := Nivet_Tanque.Units

-…

AI880

LT4..20 mA

Value, Units, GTHH, LTLL, etc.

IP: 172.16.4.65Aplicación B

TK10Comm- Nivel_Tanque


Nivel_Tanque := VarComm.R01Nivel_Tanque.GTHH := VarComm.B01Nivel_Tanque.Str01 := VarComm.Str01

…

Bus

inte

rno

(CE

X)

IP: 172.16.4.64Id_x

Aplicación A

1

TK10- Nivel_Tanque


VarComm.R01 := Nivel_Tanque.ValueVarComm.B01 := Nivel_Tanque.GTHHVarComm.Str01 := Nivet_Tanque.Units

-…

AI880

LT4..20 mA

Value, Units, GTHH, LTLL, etc.

IP: 172.16.4.65Aplicación B

TK10Comm- Nivel_Tanque


Nivel_Tanque := VarComm.R01Nivel_Tanque.GTHH := VarComm.B01Nivel_Tanque.Str01 := VarComm.Str01

…


La siguiente tabla suministrada por ABB indica el tamaño de telegrama según el tipo de

dato comunicado:

Tabla 29 Tamaño de telegramas MMS

En base a la tabla 29, definiremos dos tipos de canales:

Canal de comunicaciones con solo variables lógicas (Bool). Utilizado para comunicar

variables desde BPCS hacia aplicaciones SIS. Las variables a recepcionar desde la zona de

código SIS son peticiones de arranque o apertura de válvulas. El tamaño de este tipo de

canal será de 64 variables lógicas:

64 x 3 = 192 // 192 + 70 = 262 bytes.

Canal de comunicaciones con variables de tipo real, lógico y texto. Utilizado para

comunicar variables entre aplicaciones BPCS y desde aplicaciones SIS hacia BPCS. Se

dispondrá de 40 variables de tipo booleano, 60 variables de tipo real, 20 variables de tipo

doble word (4 bytes) y 20 variables de tipo texto con 10 caracteres:

o Tipo lógica: 40 x 3 = 120 byteso Tipo Real: 60 x 7 = 420 byteso Tipo Dword: 20 x 6 = 120 byteso Tipo texto: 20 x (4 + (10 x 1)) = 800 bytes

TOTAL: 120 + 420 + 120 + 800 + 70 = 1530 bytes


Simulación y validación

La última fase de desarrollo de la aplicación de control es el proceso de validación. La

validación consiste en la certificación del funcionamiento y de la operativa de la aplicación

de control implementada según la estrategia definida. Se trata de un proceso recurrente

basado en supervisión y corrección.

La estrategia de control, la representación del proceso y la funcionalidad de los objetos

deben ser presentadas a los representantes de planta y éstos son los que deberán dar su

aprobación para la definitiva entrega de proyecto. A pesar de encontrarse involucrados en

toda la fase de desarrollo de la estrategia de control y de la convención de programación,

pueden aparecer divergencias entre la aplicación deseable y la resultante por motivos de

“ruido” en la información o malas interpretaciones de la documentación definida. El

término ruido hace referencia a un error en la documentación debido a causas externas,

como podría ser una mala gestión de versiones en los documentos o anomalías sobre las

plataformas de almacenaje de ésta.

La validación de la aplicación de control se basa en la simulación de la funcionalidad del

proceso. Así, se requerirá de aplicaciones adicionales que simulen el comportamiento del

proceso como si estuviera “vivo”: por ejemplo, una válvula de bloqueo deberá disponer de

su correspondiente simulación, entregando una confirmación de estado (a la aplicación de

control) ante una orden recibida (a la aplicación de simulación).

El sistema ABB Industrial IT 800xA dispone de un emulador de la plataforma de control:

es el denominado softcontroller. Softcontroller es una aplicación que corre bajo PC con el

sistema operativo Microsoft Windows. Su instalación es sencilla, simplemente requiere de

un PC conectado al bus de control. El emulador dispondrá de una identidad en el bus de

control (dirección IP del PC) y deberá estar en constante ejecución para que se pueda

descargar la aplicación de control sobre el emulador.

La simulación en nuestro sistema se efectuará mediante la interactuación de tres bloques: la

aplicación de control, objetivo de la validación; la aplicación de simulación, que

determinará el comportamiento de la simulación; y el hardware simulado, que deberá

escribir sobre la aplicación de control los valores determinados en simulación.

Las aplicaciones de simulación no deben afectar a las aplicaciones de control para evitar

problemas posteriores cuando nos encontremos con el sistema real. Por ende, deberá existir

una segregación absoluta del código de simulación.


La segregación entre el grupo formado por las aplicaciones de control y hardware con

respecto a las aplicaciones de simulación se consigue de la siguiente forma:

· El hardware simulado hace de nexo de unión entre las variables de E/S simuladas y

las variables de E/S vinculadas a la aplicación de control.

· La comunicación MMS es el mecanismo utilizado para trasladar la información

entre la aplicación de simulación y el hardware simulado.

La disposición de variables de comunicación MMS definidas a nivel de controladores

permite la escritura o la lectura de las variables de E/S sobre la aplicación de control. Al

finalizar el proceso de simulación, estas variables deben ser borradas puesto que en la

aplicación real no son necesarias y también para evitar sobrecargar sin necesidad el

controlador.

Ilustración 59 Comunicación entre aplicación de simulación y control a través del Hardware

El bloque hardware, además de incluir todos los módulos de E/S y de comunicaciones

externas, tiene la posibilidad de definir variables para ser comunicadas internamente a

través de MMS. Este tipo de variables, conocidas como Variables de Acceso (“Access

Variables”) se definen a nivel de controlador. No tiene diferencia con respecto a las

variables de comunicación MMS definidas en las aplicaciones de control, pero desde el

punto de vista de estructura de código, este tipo de variables facilitan la implementación de

la simulación:

· No requieren de ningún módulo de conexión pues simplemente publican las

variables de acceso en el bus interno del controlador. La aplicación de simulación

deberá disponer de sus módulos de comunicación para leer o escribir esas variables.

· El vínculo entre las variables MMS con la aplicación de simulación se efectúa de

forma idéntica a la efectuada entre el hardware y la aplicación de control.

· La gran ventaja que aporta definir las variables de acceso a nivel de hardware es

que permite disponer de variables recibidas desde la aplicación de simulación sobre

las mismas variables de E/S vinculadas a la aplicación de control.

Aplicación decontrol

Aplicación desimulación

Hardware ComunicaciónMMS

Vínculo directo

Aplicación decontrol

Aplicación desimulación

Hardware ComunicaciónMMS

Vínculo directo


La siguiente ilustración trata de representar cómo interactúan las variables simuladas sobre

las variables de la aplicación de control vinculadas al hardware como señales E/S:

Ilustración 60 Interactuación entre variables simuladas y el hardware

El objeto de simulación (SimAIObject_1) escribe sobre la misma variable (Path), definida

con la Access Variable, que la vinculada desde el módulo AI845 (Variable). ABB

Industrial IT 800xA permite seleccionar si el hardware es simulado o no. De ese modo, no

existe un conflicto de escritura sobre la variable de E/S

(Application_1.AIObject_1.FieldAI).

El sentido bidireccional de las flechas indica que existen procesos de lectura y escritura

sobre las variables. Para entender mejor el funcionamiento de la aplicación de simulación,

a continuación se presente el diagrama de funcionamiento de un objeto de simulación:

Aplicación de control

Hardware

Aplicación_1

AIObjet_1FieldAI (RealIO)

PM865

AI845

Access Variables Name PathSimAIObject_1 Aplication_1.AIObject_1.FieldAI

Name VariableSimAIObject_1 Aplication_1.AIObject_1.FieldAI

Aplicación de simulaciónSimAplicación_1

SimAIObjet_1MMS

Aplicación de control

Hardware

Aplicación_1

AIObjet_1FieldAI (RealIO)

PM865

AI845

Access Variables Name PathSimAIObject_1 Aplication_1.AIObject_1.FieldAI

Name VariableSimAIObject_1 Aplication_1.AIObject_1.FieldAI

Aplicación de simulaciónSimAplicación_1

SimAIObjet_1MMS


Ilustración 61 Funcionamiento de un objeto de simulación

El funcionamiento del objeto de simulación de una señal de entrada se basa en tres pasos:

adquisición de la variable de entrada FieldAI por comunicación MMS mediante el uso de

variables de acceso; la aplicación de simulación, determinará el valor que deberá disponer

las FieldAISim en función del estado de otras variables y del estado del proceso; y

finalmente, la escritura de la variable de entrada FieldAI en la variable de acceso.

El comportamiento de un objeto de simulación de escritura será exactamente el mismo.

Un proceso de vital importancia en el desarrollo de lazos de seguridad SIS es el conocido

como Verificación. Entre las diferentes etapas de vida de un lazo de seguridad, tras su

definición al realizar el análisis de riesgos de proceso, se define el proceso de Verificación,

Comisionado y Validación (VCV).

El proceso de Verificación del lazo SIS es la certificación funcional del correcto

funcionamiento del lazo de seguridad. Esta certificación se efectúa mediante simulación de

la variable de proceso y observando las órdenes generadas por el sistema de control en base

a lo indicado por las funciones de seguridad programadas. Este proceso de Verificación

contempla todas las combinaciones posibles para que ocurra el disparo de seguridad. En el

caso de disponer de elementos redundantes, se deben contemplar todas las situaciones

posibles en las que esos elementos se pueden encontrar (eg. instrumentos forzados o en

fallo, elementos finales en posición manual, etc.)



MMSRead(FieldAI)

[FieldAISim, StatusSim]Determina el valorde simulación dela señal de E/S

FieldAI.IOValue := FieldAISim;FieldAI.Status := StatusSim;

FieldAI.Value RealFieldAI.IOValue RealFieldAI.Status DwordFieldAI.Parameters SignalPar

MMSWrite(FieldAI)

FieldAISim RealStatusSim Dword

[FieldAI]Escribe la

variableal Hardware

SimAIObject_1

La variable FieldAISim determinael valor de la variable simulada.La variable StatusSim se calculaen función de FieldAI.Status y de

la simulación de estado.



MMSRead(FieldAI)

[FieldAISim, StatusSim]Determina el valorde simulación dela señal de E/S

FieldAI.IOValue := FieldAISim;FieldAI.Status := StatusSim;

FieldAI.Value RealFieldAI.IOValue RealFieldAI.Status DwordFieldAI.Parameters SignalPar

MMSWrite(FieldAI)

FieldAISim RealStatusSim Dword

[FieldAI]Escribe la

variableal Hardware

SimAIObject_1

La variable FieldAISim determinael valor de la variable simulada.La variable StatusSim se calculaen función de FieldAI.Status y de

la simulación de estado.


Anexo D: Listado y mapeado de señales de E/S

AI N ICJB-A11 A.M.1.37.1.1 FT60503 A Rgen C625 Caudal en la descarga kg/h 0 20000AI N MCIJB-A21 A.M.2.37.1.1 JT60501 A Rgen C625 Potencia compresor kW 0 410AI N ICJB-A11 A.M.1.38.1.1 FT60533 A Rgen RegSys Caudal a reactor kg/h 0 20000AI N ICJB-A11 A.M.1.37.1.7 PIT60812 A Rgen C625 Presión alimentación sello kg/cm2 g 0 1,4AI N ICJB-A11 A.M.1.37.2.1 PT60504 A Rgen C625 Presión de descarga kg/cm2 g 0 20AI N ICJB-A11 A.M.1.38.2.1 TT60502 A Rgen C625 Temperatura descarga ºC 0 300AI N ICJB-A11 A.M.1.37.3.1 TT60510 A Rgen E620 Temperatura entrada ºC 0 500AI N MCIJB-A21 A.M.2.37.1.2 JT60620 A Rgen LOP625B Potencia compresor kW 0 17,9AI N ICJB-A11 A.M.1.37.1.2 TT60531 A Rgen E620 Temperatura salida ºC 0 700AI N ICJB-A11 A.M.1.38.1.2 TT60532 A Rgen E621 Temp. entrada cambiador (reciclo) ºC 0 500AI N ICJB-A11 A.M.1.37.1.8 PDT60543 A Rgen C625 Presión diferencial kg/cm2 0 2,5AI N ICJB-A11 A.M.1.37.2.2 PDT60606 A Rgen LOP625 Presión diferencial filtro kg/cm2 g 0 2,5AI N ICJB-A11 A.M.1.38.2.2 PT60603 A Rgen LOP625 Presión de aceite (2) kg/cm2 g 0 14AI N ICJB-A11 A.M.1.37.3.2 PIT60604 A Rgen LOP625 Presión_de_aceite (1) kg/cm2 g 0 14AI N MCIJB-A21 A.M.2.37.1.3 JT61101 A Rgen P624 Potencia bomba kW 0 5,31AI N ICJB-A11 A.M.1.37.1.3 PIT60616 A Rgen LOP625 Presión descarga bomba kg/cm2 g 0 14AI N ICJB-A11 A.M.1.38.1.3 TIT60608 A Rgen LOP625 Temperatura Aceite ºC 0 100AI N ICJB-A11 A.M.1.37.2.3 TIT60614 A Rgen LOV625 Temperatura tanque ºC 0 100AI N ICJB-A11 A.M.1.38.2.3 PDT60808 A Rgen C625 Presión diferencial salida sello kg/cm2 g 0 1,4AI N ICJB-A11 A.M.1.37.3.3 FT60901 A Rgen RegSys Caudal líquido lavado kg/h 0 600AI N ICJB-A11 A.M.1.37.1.4 TT60906 A Rgen E626 Temperatura salida ºC 0 300AI N ICJB-A11 A.M.1.38.1.4 VT60904 A Rgen F622 Vibraciones Ventilador mm/s 0 63,5AI N ICJB-A11 A.M.1.37.2.4 AT61030 A Rgen RegSys Analizador bajo rango O2 ppm 0 10000AI N ICJB-A11 A.M.1.38.2.4 FT61012 A Rgen D623 Caudal a venteo / antorcha kg/h 0 1000AI N ICJB-A11 A.M.1.37.3.4 FT61016 A Rgen RegSys Caudal alimentación H2 kg/h 0 25AI N ICJB-A11 A.M.1.37.1.5 FT61019 A Rgen RegSys Caudal alimentación aire kg/h 0 400AI N ICJB-A11 A.M.1.38.1.5 FT61026 A Rgen RegSys Caudal alimentación N2 kg/h 0 1200AI N ICJB-A11 A.M.1.37.2.5 TT61008 A Rgen E622 Temperatura salida ventilador ºC 0 300AI N ICJB-A11 A.M.1.38.2.5 PIT61104 A Rgen P624 Presión sello kg/cm2 g 0 20AI N ICJB-A11 A.M.1.37.3.5 LIT62008 A Rgen D640 Nivel Depósito (1) % 0 100AI N ICJB-A11 A.M.1.37.1.6 LT62009 A Rgen D640 Nivel Depósito (2) % 0 100AI N ICJB-A11 A.M.1.38.1.6 PT62003 A Rgen D640 Presión depósito kg/cm2 g 0 10AI N ICJB-A11 A.M.1.37.2.6 TT62010 A Rgen D640 Temperatura Depósito ºC 0 300AI N ICJB-A11 A.M.1.38.2.6 PIT62104 A Rgen P644 Presión sello kg/cm2 g 0 10AI N ICJB-A11 A.M.1.37.3.6 LIT60610 A Rgen LOV625 Nivel tanque % 0 100AI N MCIJB-A21 A.M.2.37.1.7 JT62101 A Rgen P644 Potencia bomba kW 0 12,99AI N ICJB-A11 A.M.1.38.1.7 PT11523 A Reactor R140A Presión entrada reactor kg/cm2 g 0 40AI N ICJB-A11 A.M.1.37.2.7 PIT60813 A Rgen C625 Presión ventilación gas sello kg/cm2 g 0 1,4AI N ICJB-A11 A.M.1.38.2.7 PDT60802 A Rgen C625 Presión diff. Entrada sello kg/cm2 g 0 1,4AI N ICJB-A11 A.M.1.37.2.8 PT11528 A Reactor R140A Presión salida reactor kg/cm2 g 0 40AI N ICJB-A11 A.M.1.38.2.8 PT12023 A Reactor R140B Presión entrada reactor kg/cm2 g 0 40AI N ICJB-A11 A.M.1.37.3.8 PT12028 A Reactor R140B Presión salida reactor kg/cm2 g 0 40AI Y ICJB-RM1 R.M.1.2.7 LIT61002 R ReactorSis D623 Nivel Depósito (1) % 0 100AI Y ICJB-RM1 R.M.1.1.1 TT11512A R ReactorSis R140A Temp bolas cerámicas (I) ºC -50 500AI Y ICJB-RM1 R.M.1.2.1 TT11536A R ReactorSis R140A Temperatura lecho (4A) ºC -50 500AI Y ICJB-RM1 R.M.1.3.1 TT11538A R ReactorSis R140A Temperatura lecho (8A) ºC -50 500AI Y ICJB-RM1 R.M.1.4.1 TT11540A R ReactorSis R140A Temperatura lecho (10A) ºC -50 500AI Y ICJB-RM1 R.M.1.5.1 TT11542A R ReactorSis R140A Temperatura lecho (7A) ºC -50 500AI Y ICJB-RM1 R.M.1.1.2 TT11543A R ReactorSis R140A Temperatura lecho (5A) ºC -50 500AI Y ICJB-RM1 R.M.1.2.2 TT11545A R ReactorSis R140A Temperatura lecho (1A) ºC -50 500AI Y ICJB-RM1 R.M.1.3.2 TT12035A R ReactorSis R140B Temperatura lecho (2A) ºC -50 500AI Y ICJB-RM1 R.M.1.4.2 TT12037A R ReactorSis R140B Temperatura lecho (6A) ºC -50 500AI Y ICJB-RM1 R.M.1.5.2 TT12039A R ReactorSis R140B Temperatura lecho (11A) ºC -50 500AI Y ICJB-RM1 R.M.1.1.3 TT12040A R ReactorSis R140B Temperatura lecho (10A) ºC -50 500AI Y ICJB-RM1 R.M.1.2.3 TT12042A R ReactorSis R140B Temperatura lecho (7A) ºC -50 500AI Y ICJB-RM1 R.M.1.3.3 TT12044A R ReactorSis R140B Temperatura lecho (3A) ºC -50 500AI Y ICJB-RM1 R.M.2.2.7 LT61029 R ReactorSis D623 Nivel Depósito (2) % 0 100AI Y ICJB-RM1 R.M.2.1.1 TT11512B R ReactorSis R140A Temp bolas cerámicas (2) ºC -50 500AI Y ICJB-RM1 R.M.2.2.1 TT11536B R ReactorSis R140A Temperatura lecho (4B) ºC -50 500AI Y ICJB-RM1 R.M.2.3.1 TT11538B R ReactorSis R140A Temperatura lecho (8B) ºC -50 500AI Y ICJB-RM1 R.M.2.4.1 TT11540B R ReactorSis R140A Temperatura lecho (10B) ºC -50 500AI Y ICJB-RM1 R.M.2.5.1 TT11542B R ReactorSis R140A Temperatura lecho (7B) ºC -50 500AI Y ICJB-RM1 R.M.2.1.2 TT11543B R ReactorSis R140A Temperatura lecho (5B) ºC -50 500AI Y ICJB-RM1 R.M.2.2.2 TT11545B R ReactorSis R140A Temperatura lecho (1B) ºC -50 500AI Y ICJB-RM1 R.M.2.3.2 TT12035B R ReactorSis R140B Temperatura lecho (2B) ºC -50 500AI Y ICJB-RM1 R.M.2.4.2 TT12037B R ReactorSis R140B Temperatura lecho (6B) ºC -50 500AI Y ICJB-RM1 R.M.2.5.2 TT12039B R ReactorSis R140B Temperatura lecho (11B) ºC -50 500AI Y ICJB-RM1 R.M.2.1.3 TT12040B R ReactorSis R140B Temperatura lecho (10B) ºC -50 500AI Y ICJB-RM1 R.M.2.2.3 TT12042B R ReactorSis R140B Temperatura lecho (7B) ºC -50 500AI Y ICJB-RM1 R.M.2.3.3 TT12044B R ReactorSis R140B Temperatura lecho (3B) ºC -50 500AI Y ICJB-RM1 R.M.1.2.8 AT60534 R ReactorSis RegSys Analizador alto rango O2 % vol 0 6AI Y ICJB-RM1 R.M.1.3.8 PT61007 R ReactorSis D623 Presión Depósito (1) kg/cm2 g 0 10AI Y ICJB-RM1 R.M.1.1.4 TT11535A R ReactorSis R140A Temperatura lecho (2A) ºC -50 500AI Y ICJB-RM1 R.M.1.5.3 TT11537A R ReactorSis R140A Temperatura lecho (6A) ºC -50 500AI Y ICJB-RM1 R.M.1.4.3 TT11539A R ReactorSis R140A Temperatura lecho (11A) ºC -50 500AI Y ICJB-RM1 R.M.1.3.4 TT11541A R ReactorSis R140A Temperatura lecho (9A) ºC -50 500AI Y ICJB-RM1 R.M.1.1.5 TT11544A R ReactorSis R140A Temperatura lecho (3A) ºC -50 500AI Y ICJB-RM1 R.M.1.5.4 TT12012A R ReactorSis R140B Temp bolas cerámicas (I) ºC -50 500

RangoMáximoApplicacion Equipo Descripción Unidades Rango

MínimoTipo IO SIL Y/N Cabina Canal IO TAG NombeControlador


AI Y ICJB-RM1 R.M.1.4.4 TT12036A R ReactorSis R140B Temperatura lecho (4A) ºC -50 500AI Y ICJB-RM1 R.M.1.3.5 TT12038A R ReactorSis R140B Temperatura lecho (8A) ºC -50 500AI Y ICJB-RM1 R.M.1.1.6 TT12041A R ReactorSis R140B Temperatura lecho (9A) ºC -50 500AI Y ICJB-RM1 R.M.1.5.5 TT12043A R ReactorSis R140B Temperatura lecho (5A) ºC -50 500AI Y ICJB-RM1 R.M.1.4.5 TT12045A R ReactorSis R140B Temperatura lecho (1A) ºC -50 500AI Y ICJB-RM1 R.M.2.3.8 PT61014 R ReactorSis D623 Presión Depósito (2) kg/cm2 g 0 10AI Y ICJB-RM1 R.M.2.1.4 TT11535B R ReactorSis R140A Temperatura lecho (2B) ºC -50 500AI Y ICJB-RM1 R.M.2.4.3 TT11537B R ReactorSis R140A Temperatura lecho (6B) ºC -50 500AI Y ICJB-RM1 R.M.2.5.3 TT11539B R ReactorSis R140A Temperatura lecho (11B) ºC -50 500AI Y ICJB-RM1 R.M.2.3.4 TT11541B R ReactorSis R140A Temperatura lecho (9B) ºC -50 500AI Y ICJB-RM1 R.M.2.1.5 TT11544B R ReactorSis R140A Temperatura lecho (3B) ºC -50 500AI Y ICJB-RM1 R.M.2.4.4 TT12012B R ReactorSis R140B Temp bolas cerámicas (2) ºC -50 500AI Y ICJB-RM1 R.M.2.5.4 TT12036B R ReactorSis R140B Temperatura lecho (4B) ºC -50 500AI Y ICJB-RM1 R.M.2.3.5 TT12038B R ReactorSis R140B Temperatura lecho (8B) ºC -50 500AI Y ICJB-RM1 R.M.2.1.6 TT12041B R ReactorSis R140B Temperatura lecho (9B) ºC -50 500AI Y ICJB-RM1 R.M.2.4.5 TT12043B R ReactorSis R140B Temperatura lecho (5B) ºC -50 500AI Y ICJB-RM1 R.M.2.5.5 TT12045B R ReactorSis R140B Temperatura lecho (1B) ºC -50 500AI Y ICJB-RM1 R.M.2.2.8 TT60509 R ReactorSis E621 Temperatura salida cambiador (reciclo) ºC 0 500AO N ICJB-A11 A.M.1.38.3.1 IP60506 A Rgen C625 Válvula control caudal mínimoAO N ICJB-A11 A.M.1.37.4.1 IP60536 A Rgen E621 Válvula control entrada cambiadorAO N MCIJB-A21 A.M.2.37.6.1 TY60518A A Rgen HTR620A Salida calentadorAO N ICJB-A11 A.M.1.38.3.2 IP60537 A Rgen E621 Válvula control bypass cambiadorAO N MCIJB-A21 A.M.2.37.6.2 TY60518B A Rgen HTR620B Salida calentadorAO N ICJB-A11 A.M.1.38.3.3 IP60902 A Rgen RegSys Válvula control caudal líquido lavadoAO N ICJB-A11 A.M.1.37.4.3 IP61013 A Rgen D623 Válvula control de presiónAO N ICJB-A11 A.M.1.38.3.4 IP61017 A Rgen RegSys Válvula control caudal alimentación H2AO N ICJB-A11 A.M.1.37.4.4 IP61020 A Rgen RegSys Válvula control caudal alimentación aireAO N ICJB-A11 A.M.1.38.3.5 IP61027 A Rgen RegSys Válvula control caudal alimentación N2AO N ICJB-A11 A.M.1.38.3.6 IP62004 A Rgen D640 Válvula control depadAO N ICJB-A11 A.M.1.37.4.6 IP62005 A Rgen D640 Válvula control padDI N MCIJB-A21 A.M.2.37.3.1 ZS60501A A Rgen C625 Carro electrico listoDI N MCIJB-A21 A.M.2.37.4.1 ZS60501B A Rgen C625 Problemas en compresorDI N ICJB-A11 A.M.1.38.4.1 HS60539 A Rgen RegSys Seta emergencia cuadro DI (1)DI N ICJB-A11 A.M.1.37.5.1 HS60540 A Rgen RegSys Seta emergencia cuadro DI (2)DI N MCIJB-A21 A.M.2.37.3.2 ZS60905A A Rgen F622 Carro eléctrico listoDI N MCIJB-A21 A.M.2.37.4.2 ZS60905B A Rgen F622 Confirmación marchaDI N ICJB-A11 A.M.1.38.4.2 HS60541 A Rgen RegSys Seta emergencia en campo DI (1)DI N ICJB-A11 A.M.1.37.5.2 HS60542 A Rgen RegSys Seta emergencia en campo DI (2)DI N ICJB-A11 A.M.1.38.4.3 ZSC60535 A Rgen RegSys Válvula analizador alto rango O2 proceso cerradaDI N ICJB-A11 A.M.1.37.5.3 ZSO60538 A Rgen E620 Entrada cambiador AbiertaDI N ICJB-A11 A.M.1.37.5.4 ZS60610 A Rgen LOV625 Confirmación calentador en marchaDI N ICJB-A11 A.M.1.38.4.5 TSH60734 A Rgen C625 Alta temperatura BNDI N ICJB-A11 A.M.1.37.5.5 TSHH60733 A Rgen C625 Muy alta temperatura BNDI N ICJB-A11 A.M.1.38.4.6 UA60735 A Rgen C625 Problemas BNDI N ICJB-A11 A.M.1.37.5.6 VSH60732 A Rgen C625 Alta vibración BNDI N ICJB-A11 A.M.1.38.4.7 VSHH60731 A Rgen C625 Muy Altas vibraciones BNDI N ICJB-A11 A.M.1.37.5.7 ZSO60913 A Rgen E627 Entrada enfriador AbiertaDI N ICJB-A11 A.M.1.38.4.8 ZSO60915 A Rgen E627 Bypass enfriador agua AbiertoDI N ICJB-A11 A.M.1.37.5.8 UA61030 A Rgen RegSys Problema analizador bajo rango O2DI N ICJB-A11 A.M.1.38.4.9 ZS61022A A Rgen RegSys Codo alimentación H2 alineadoDI N ICJB-A11 A.M.1.37.5.9 ZS61022B A Rgen RegSys Codo alimentación Aire alineadoDI N MCIJB-A21 A.M.2.37.3.10 ZS60521A A Rgen HTR620A Confirmación calentador en marchaDI N MCIJB-A21 A.M.2.37.4.10 ZS62101 A Rgen P644 Carro eléctrico listoDI N ICJB-A11 A.M.1.38.4.10 ZS61022C A Rgen RegSys Alineada linea H2 y aire plantaDI N ICJB-A11 A.M.1.37.5.10 ZSC61004 A Rgen D623 Purga a caldera CerradaDI N MCIJB-A21 A.M.2.37.3.11 ZS61101 A Rgen P624 Carro eléctrico listoDI N ICJB-A11 A.M.1.38.4.11 ZSC61024 A Rgen RegSys Linea aire planta y H2 CerradaDI N ICJB-A11 A.M.1.37.5.11 ZSC61025 A Rgen RegSys Alimimentación N2 (Descarga C625) cerradaDI N MCIJB-A21 A.M.2.37.3.12 UA60520A A Rgen HTR620A Problema en calentadorDI N MCIJB-A21 A.M.2.37.4.12 UA60520B A Rgen HTR620B Problema en calentadorDI N ICJB-A11 A.M.1.38.4.12 ZSC61028 A Rgen RegSys Alimentación N2 Aspiración C625 cerradaDI N ICJB-A11 A.M.1.37.5.12 ZSC61031 A Rgen RegSys Válvula proceso analizador bajo rango O2 cerradaDI N MCIJB-A21 A.M.2.37.3.13 ZS60521B A Rgen HTR620B Confirmación calentador en marchaDI N MCIJB-A21 A.M.2.37.4.13 ZS60620 A Rgen LOP625B Carro eléctrico listoDI N ICJB-A11 A.M.1.38.4.13 ZSC61106 A Rgen D623 Entrada fondo C2001 cerradaDI N ICJB-A11 A.M.1.37.5.13 ZSC61107 A Rgen D623 Entrada a D640 cerradaDI N ICJB-A11 A.M.1.38.4.14 ZSC61108 A Rgen D623 Salida fondo a P624 cerradaDI N ICJB-A11 A.M.1.37.5.14 ZSC61109 A Rgen D623 Bypass P624 cerradoDI N ICJB-A11 A.M.1.37.5.15 ZSO60811 A Rgen C625 Válvula alimentación gas sello abiertaDI N ICJB-RM1 R.M.3.2.1 ZSC11012 R ReactorSis MM-142 Válvula SIS Hidrógeno cerradaDI N ICJB-RM1 R.M.3.2.9 ZSC60505 R ReactorSis E621 Bypass cambiador cerradoDI N ICJB-RM1 R.M.3.2.10 ZSC61011 R ReactorSis D623 Válvula de purga a antorcha anterior cerradaDI N ICJB-RM1 R.M.3.2.11 ZSC61021 R ReactorSis RegSys Válvula alimentación aire cerradaDI N ICJB-RM1 R.M.4.2.1 ZSC11023 R ReactorSis MM-142 Válvula SIS Hidrógeno cerradaDI N ICJB-RM1 R.M.4.2.9 ZSC61005 R ReactorSis D623 Válvula de purga a antorcha posterior cerradaDI N ICJB-RM1 R.M.4.2.10 ZSC61018 R ReactorSis RegSys Alimentación H2 CerradaDI N ICJB-RM1 R.M.4.2.11 ZSO61006 R ReactorSis D623 Sangrado purga a antorcha AbiertoDI Y ICJB-RM1 R.M.4.2.14 ZSO61021 R ReactorSis RegSys Válvula abierta alimentación Aire de planta

Unidades RangoMínimo

RangoMáximoTipo IO SIL Y/N Cabina Canal IO TAG Nombe

Controlador Applicacion Equipo Descripción


Tabla 30 Listado general señales de E/S

Mapa de señales de E/S

DI N ICJB-RM1 R.M.4.2.8 UA60534 R Reactor RegSys Problema analizador alto rango O2DO N MCIJB-A21 A.M.2.37.5.1 EY60501A A Rgen C625 Poner en marchaDO N ICJB-A11 A.M.1.38.5.1 AY60534A A Rgen RegSys Válvula proceso analizador alto rango O2DO N ICJB-A11 A.M.1.37.6.1 AY60534B A Rgen RegSys Válvula calibración analizador alto rango O2DO N ICJB-A11 A.M.1.38.5.2 EV60535 A Rgen RegSys Válvula Bloqueo analizador alto rango O2 procesoDO N ICJB-A11 A.M.1.37.6.2 EV60538 A Rgen E620 Bloqueo entrada calentadorDO N MCIJB-A21 A.M.2.37.4.3 EY60501B A Rgen C625 Parar CompresorDO N MCIJB-A21 A.M.2.37.5.3 EY60905A A Rgen F622 Poner en marcha ventiladorDO N ICJB-A11 A.M.1.38.5.3 XY60610 A Rgen LOV625 Arrancar calentador eléctricoDO N ICJB-A11 A.M.1.37.6.3 XY60730 A Rgen C625 Reseteo alarmas BNDO N MCIJB-A21 A.M.2.37.4.4 EY60519BA A Rgen HTR620B Poner en marcha calentadorDO N ICJB-A11 A.M.1.38.5.4 EV60913 A Rgen E627 Bloqueo entrada enfriador aguaDO N ICJB-A11 A.M.1.37.6.4 EV60915 A Rgen E627 Bloqueo bypass enfriador aguaDO N MCIJB-A21 A.M.2.37.4.5 EY60620A A Rgen LOP625B Poner en marchaDO N ICJB-A11 A.M.1.38.5.5 AY61030A A Rgen RegSys Válvula proceso analizador bajo rango O2DO N ICJB-A11 A.M.1.37.6.5 AY61030B A Rgen RegSys Válvula calibración analizador bajo rango O2DO N ICJB-A11 A.M.1.38.5.6 EV61004 A Rgen D623 Bloqueo purga a calderaDO N ICJB-A11 A.M.1.37.6.6 EV61024 A Rgen RegSys Bloqueo linea aire planta y H2DO N ICJB-A11 A.M.1.38.5.7 EV61025 A Rgen RegSys Bloqueo alimentación N2 descarga C625DO N ICJB-A11 A.M.1.37.6.7 EV61028 A Rgen RegSys Bloqueo alimentación N2 aspiración C625DO N ICJB-A11 A.M.1.38.5.8 EV61031 A Rgen RegSys Válvula principal analizador bajo rango O2DO N ICJB-A11 A.M.1.37.6.8 EV61106 A Rgen D623 Bloqueo entrada fondo C2001DO N ICJB-A11 A.M.1.38.5.9 EV61107 A Rgen D623 Bloqueo entrada D640DO N ICJB-A11 A.M.1.37.6.9 EV61108 A Rgen D623 Bloqueo salida fondo a P624DO N ICJB-A11 A.M.1.38.5.10 EV61109 A Rgen D623 Bloqueo bypass P624DO N ICJB-A11 A.M.1.37.6.10 EV60811 A Rgen C625 ABV alimentación gas selloDO N MCIJB-A21 A.M.2.37.4.11 EY61101A A Rgen P624 Poner en marchaDO N ICJB-A11 A.M.1.37.6.11 XY60736 A Rgen C625 BN trip multiplyDO N MCIJB-A21 A.M.2.37.5.12 EY62101A A Rgen P644 Poner en marchaDO N MCIJB-A21 A.M.2.37.5.14 EY60519AA A Rgen HTR620A Poner en marcha calentadorDO Y ICJB-RM1 R.M.3.1.1 EV11012 R ReactorSis MM-142 Válvula Hidrógeno SISDO Y ICJB-RM1 R.M.3.1.10 EV61006 R ReactorSis D623 Bloqueo sangrado purga a antorchaDO Y ICJB-RM1 R.M.3.1.11 EV61018 R ReactorSis RegSys Bloqueo alimentación H2DO Y ICJB-RM1 R.M.3.1.9 EY60501C R ReactorSis C625 Parada Compresor (SIL)DO Y ICJB-RM1 R.M.4.1.1 EV11023 R ReactorSis MM-142 Válvula Hidrógeno SISDO Y ICJB-RM1 R.M.4.1.8 EV60505 R ReactorSis E621 Bloqueo bypass del intercambiadorDO Y ICJB-RM1 R.M.4.1.9 EV61005 R ReactorSis D623 Válvula de bloqueo purga a antorcha posteriorDO Y ICJB-RM1 R.M.4.1.10 EV61011 R ReactorSis D623 Válvula de bloqueo purga a antorcha anteriorDO Y ICJB-RM1 R.M.4.1.11 EV61021 R ReactorSis RegSys Bloqueo alimentación aire de planta

Tipo IO SIL Y/N Cabina Canal IO TAG NombeControlador Applicacion Equipo Descripción Unidades Rango

MínimoRangoMáximo


Tabla 31 Distribución de señales de E/S en Controlador A

AM-37-01 TU845-AI845 AM-38-01 TU845-AI845 AM-39-01 TU845-AI845 AM-37-01 TU845-AI845A.M.1.37.1.1 FT60503 A.M.1.38.1.1 FT60533 A.M.1.39.1.1 A.M.2.37.1.1 JT60501A.M.1.37.1.2 TT60531 A.M.1.38.1.2 TT60532 A.M.1.39.1.2 A.M.2.371.2 JT60620A.M.1.37.1.3 PIT60616 A.M.1.38.1.3 TIT60608 A.M.1.39.1.3 A.M.2.37.1.3 JT61101A.M.1.37.1.4 TT60906 A.M.1.38.1.4 VT60904 A.M.1.39.1.4 A.M.2.37.1.4A.M.1.37.1.5 FT61019 A.M.1.38.1.5 FT61026 A.M.1.39.1.5 A.M.2.37.1.5A.M.1.37.1.6 LT62009 A.M.1.38.1.6 PT62003 A.M.1.39.1.6 A.M.2.37.1.6A.M.1.37.1.7 PIT60812 A.M.1.38.1.7 PT11523 A.M.1.39.1.7 A.M.2.37.1.7 JT62101A.M.1.37.1.8 PDT60543 A.M.1.38.1.8 A.M.1.39.1.8 A.M.2.37.1.8A.M.1.38.1.9 A.M.1.38.1.9 A.M.1.38.1.9 A.M.1.38.1.9A.M.1.37.1.10 A.M.1.37.1.10 A.M.1.37.1.10 A.M.1.37.1.10A.M.1.37.1.11 A.M.1.37.1.11 A.M.1.37.1.11 A.M.1.37.1.11A.M.1.37.1.12 A.M.1.37.1.12 A.M.1.37.1.12 A.M.1.37.1.12A.M.1.37.1.13 A.M.1.37.1.13 A.M.1.37.1.13 A.M.1.37.1.13A.M.1.37.1.14 A.M.1.37.1.14 A.M.1.37.1.14 A.M.1.37.1.14A.M.1.37.1.15 A.M.1.37.1.15 A.M.1.37.1.15 A.M.1.37.1.15A.M.1.37.1.16 A.M.1.37.1.16 A.M.1.37.1.16 A.M.1.37.1.16AM-37-02 TU845-AI845 AM-38-02 TU845-AI845 AM-39-02 TU845-AI845 AM-37-02 TU845-AI845A.M.1.37.2.1 PT60504 A.M.1.38.2.1 TT60502 A.M.1.39.2.1 A.M.2.37.2.1A.M.1.37.2.2 PDT60606 A.M.1.38.2.2 PT60603 A.M.1.39.2.2 A.M.2.37.2.2A.M.1.37.2.3 TIT60614 A.M.1.38.2.3 PDT60808 A.M.1.39.2.3 A.M.2.37.2.3A.M.1.37.2.4 AT61030 A.M.1.38.2.4 FT61012 A.M.1.39.2.4 A.M.2.37.2.4A.M.1.37.2.5 TT61008 A.M.1.38.2.5 PIT61104 A.M.1.39.2.5 A.M.2.37.2.5A.M.1.37.2.6 TT62010 A.M.1.38.2.6 PIT62104 A.M.1.39.2.6 A.M.2.37.2.6A.M.1.37.2.7 PIT60813 A.M.1.38.2.7 PDT60802 A.M.1.39.2.7 A.M.2.37.2.7A.M.1.37.2.8 PT11528 A.M.1.38.2.8 PT12023 A.M.1.39.2.8 A.M.2.37.2.8A.M.1.38.1.9 A.M.1.38.1.9 A.M.1.38.1.9 A.M.1.38.1.9A.M.1.37.1.10 A.M.1.37.1.10 A.M.1.37.1.10 A.M.1.37.1.10A.M.1.37.1.11 A.M.1.37.1.11 A.M.1.37.1.11 A.M.1.37.1.11A.M.1.37.1.12 A.M.1.37.1.12 A.M.1.37.1.12 A.M.1.37.1.12A.M.1.37.1.13 A.M.1.37.1.13 A.M.1.37.1.13 A.M.1.37.1.13A.M.1.37.1.14 A.M.1.37.1.14 A.M.1.37.1.14 A.M.1.37.1.14A.M.1.37.1.15 A.M.1.37.1.15 A.M.1.37.1.15 A.M.1.37.1.15A.M.1.37.1.16 A.M.1.37.1.16 A.M.1.37.1.16 A.M.1.37.1.16AM-37-03 TU845-AI845 AM-38-03 TU843-AO845 AM-39-03 TU845-AI845 AM-37-03 TU843-DI840A.M.1.37.3.1 TT60510 A.M.1.38.3.1 IP60506 A.M.1.39.3.1 A.M.2.37.3.1 ZS60501AA.M.1.37.3.2 PIT60604 A.M.1.38.3.2 IP60537 A.M.1.39.3.2 A.M.2.37.3.2 ZS60905AA.M.1.37.3.3 FT60901 A.M.1.38.3.3 IP60902 A.M.1.39.3.3 A.M.2.37.3.3A.M.1.37.3.4 FT61016 A.M.1.38.3.4 IP61017 A.M.1.39.3.4 A.M.2.37.3.4A.M.1.37.3.5 LIT62008 A.M.1.38.3.5 IP61027 A.M.1.39.3.5 A.M.2.37.3.5A.M.1.37.3.6 LIT60610 A.M.1.38.3.6 IP62004 A.M.1.39.3.6 A.M.2.37.3.6A.M.1.37.3.7 A.M.1.38.3.7 A.M.1.39.3.7 A.M.2.37.3.7A.M.1.37.3.8 PT12028 A.M.1.38.3.8 A.M.1.39.3.8 A.M.2.37.3.8A.M.1.38.1.9 A.M.1.38.1.9 A.M.1.38.1.9 A.M.2.37.3.9A.M.1.37.1.10 A.M.1.37.1.10 A.M.1.37.1.10 A.M.2.37.3.10 ZS60521AA.M.1.37.1.11 A.M.1.37.1.11 A.M.1.37.1.11 A.M.2.37.3.11 ZS61101A.M.1.37.1.12 A.M.1.37.1.12 A.M.1.37.1.12 A.M.2.37.3.12 UA60520AA.M.1.37.1.13 A.M.1.37.1.13 A.M.1.37.1.13 A.M.2.37.3.13 ZS60521BA.M.1.37.1.14 A.M.1.37.1.14 A.M.1.37.1.14 A.M.2.37.3.14A.M.1.37.1.15 A.M.1.37.1.15 A.M.1.37.1.15 A.M.2.37.3.15A.M.1.37.1.16 A.M.1.37.1.16 A.M.1.37.1.16 A.M.2.37.3.16AM-37-04 TU843-AO845 AM-38-04 TU843-DI840 AM-39-04 TU845-AI845 AM-37-04 TU843-DI840A.M.1.37.4.1 IP60536 A.M.1.38.4.1 HS60539 A.M.1.39.4.1 A.M.2.37.4.1 ZS60501BA.M.1.37.4.2 A.M.1.38.4.2 HS60541 A.M.1.39.4.2 A.M.2.37.4.2 ZS60905BA.M.1.37.4.3 IP61013 A.M.1.38.4.3 ZSC60535 A.M.1.39.4.3 A.M.2.37.4.3 EY60501BA.M.1.37.4.4 IP61020 A.M.1.38.4.4 A.M.1.39.4.4 A.M.2.37.4.4 EY60519BAA.M.1.37.4.5 A.M.1.38.4.5 TSH60734 A.M.1.39.4.5 A.M.2.37.4.5 EY60620AA.M.1.37.4.6 IP62005 A.M.1.38.4.6 UA60735 A.M.1.39.4.6 A.M.2.37.4.6A.M.1.37.4.7 A.M.1.38.4.7 VSHH60731 A.M.1.39.4.7 A.M.2.37.4.7A.M.1.37.4.8 A.M.1.38.4.8 ZSO60915 A.M.1.39.4.8 A.M.2.37.4.8A.M.1.38.1.9 A.M.1.38.4.9 ZS61022A A.M.1.38.1.9 A.M.2.37.4.9A.M.1.37.1.10 A.M.1.38.4.10 ZS61022C A.M.1.37.1.10 A.M.2.37.4.10 ZS62101A.M.1.37.1.11 A.M.1.38.4.11 ZSC61024 A.M.1.37.1.11 A.M.2.37.4.11 EY61101AA.M.1.37.1.12 A.M.1.38.4.12 ZSC61028 A.M.1.37.1.12 A.M.2.37.4.12 UA60520BA.M.1.37.1.13 A.M.1.38.4.13 ZSC61106 A.M.1.37.1.13 A.M.2.37.4.13 ZS60620A.M.1.37.1.14 A.M.1.38.4.14 ZSC61108 A.M.1.37.1.14 A.M.2.37.4.14A.M.1.37.1.15 A.M.1.38.4.15 A.M.1.37.1.15 A.M.2.37.4.15A.M.1.37.1.16 A.M.1.38.4.16 A.M.1.37.1.16 A.M.2.37.4.16AM-37-05 TU843-DI840 AM-38-05 TU843-DO840 AM-39-05 TU843-AO845 AM-37-05 TU843-DO840A.M.1.37.5.1 HS60540 A.M.1.38.5.1 AY60534A A.M.1.39.5.1 A.M.2.37.5.1 EY60501AA.M.1.37.5.2 HS60542 A.M.1.38.5.2 EV60535 A.M.1.39.5.2 A.M.2.37.5.2A.M.1.37.5.3 ZSO60538 A.M.1.38.5.3 XY60610 A.M.1.39.5.3 A.M.2.37.5.3 EY60905AA.M.1.37.5.4 ZS60610 A.M.1.38.5.4 EV60913 A.M.1.39.5.4 A.M.2.37.5.4A.M.1.37.5.5 TSHH60733 A.M.1.38.5.5 AY61030A A.M.1.39.5.5 A.M.2.37.5.5A.M.1.37.5.6 VSH60732 A.M.1.38.5.6 EV61004 A.M.1.39.5.6 A.M.2.37.5.6A.M.1.37.5.7 ZSO60913 A.M.1.38.5.7 EV61025 A.M.1.39.5.7 A.M.2.37.5.7A.M.1.37.5.8 UA61030 A.M.1.38.5.8 EV61031 A.M.1.39.5.8 A.M.2.37.5.8A.M.1.37.5.9 ZS61022B A.M.1.38.5.9 EV61107 A.M.1.38.1.9 A.M.2.37.5.9A.M.1.37.5.10 ZSC61004 A.M.1.38.5.10 EV61109 A.M.1.37.1.10 A.M.2.37.5.10A.M.1.37.5.11 ZSC61025 A.M.1.38.5.11 A.M.1.37.1.11 A.M.2.37.5.11A.M.1.37.5.12 ZSC61031 A.M.1.38.5.12 A.M.1.37.1.12 A.M.2.37.5.12 EY62101AA.M.1.37.5.13 ZSC61107 A.M.1.38.5.13 A.M.1.37.1.13 A.M.2.37.5.13A.M.1.37.5.14 ZSC61109 A.M.1.38.5.14 A.M.1.37.1.14 A.M.2.37.5.14 EY60519AAA.M.1.37.5.15 ZSO60811 A.M.1.38.5.15 A.M.1.37.1.15 A.M.2.37.5.15A.M.1.37.5.16 A.M.1.38.5.16 A.M.1.37.1.16 A.M.2.37.5.16AM-38-06 TU843-DO840 AM-38-06 TU843-DI840 AM-39-06 TU843-DO840 AM-37-06 TU843-AO845A.M.1.37.6.1 AY60534B A.M.1.38.6.1 A.M.1.39.6.1 A.M.2.37.6.1 TY60518AA.M.1.37.6.2 EV60538 A.M.1.38.6.2 A.M.1.39.6.2 A.M.2.37.6.2 TY60518BA.M.1.37.6.3 XY60730 A.M.1.38.6.3 A.M.1.39.6.3 A.M.2.37.6.3A.M.1.37.6.4 EV60915 A.M.1.38.6.4 A.M.1.39.6.4 A.M.2.37.6.4A.M.1.37.6.5 AY61030B A.M.1.38.6.5 A.M.1.39.6.5 A.M.2.37.6.5A.M.1.37.6.6 EV61024 A.M.1.38.6.6 A.M.1.39.6.6 A.M.2.37.6.6A.M.1.37.6.7 EV61028 A.M.1.38.6.7 A.M.1.39.6.7 A.M.2.37.6.7A.M.1.37.6.8 EV61106 A.M.1.38.6.8 A.M.1.39.6.8 A.M.2.37.6.8A.M.1.37.6.9 EV61108 A.M.1.38.6.9 A.M.1.39.6.9 A.M.1.38.1.9A.M.1.37.6.10 EV60811 A.M.1.38.6.10 A.M.1.39.6.10 A.M.1.37.1.10A.M.1.37.6.11 XY60736 A.M.1.38.6.11 A.M.1.39.6.11 A.M.1.37.1.11A.M.1.37.6.12 A.M.1.38.6.12 A.M.1.39.6.12 A.M.1.37.1.12A.M.1.37.6.13 A.M.1.38.6.13 A.M.1.39.6.13 A.M.1.37.1.13A.M.1.37.6.14 A.M.1.38.6.14 A.M.1.39.6.14 A.M.1.37.1.14A.M.1.37.6.15 A.M.1.38.6.15 A.M.1.39.6.15 A.M.1.37.1.15A.M.1.37.6.16 A.M.1.38.6.16 A.M.1.39.6.16 A.M.1.37.1.16

CLU-A-M-1-39ICJB-A11

CLU-A-M-2-1MICJB-A21

CLU-A-M-1-37 CLU-A-M-1-38


Tabla 32 Distribución de señales de E/S en Controlador R

RM-1-01 TU845-AI880 RM-2-01 TU845-AI880 RM-3-01 TU843-DO880 RM-4-01 TU843-DO880R.M.1.1.1 TT11512A R.M.2.1.1 TT11512B R.M.3.1.1 EV11012 R.M.4.1.1 EV11023R.M.1.1.2 TT11543A R.M.2.1.2 TT11543B R.M.3.1.2 R.M.4.1.2R.M.1.1.3 TT12040A R.M.2.1.3 TT12040B R.M.3.1.3 R.M.4.1.3R.M.1.1.4 TT11535A R.M.2.1.4 TT11535B R.M.3.1.4 R.M.4.1.4R.M.1.1.5 TT11544A R.M.2.1.5 TT11544B R.M.3.1.5 R.M.4.1.5R.M.1.1.6 TT12041A R.M.2.1.6 TT12041B R.M.3.1.6 R.M.4.1.6R.M.1.1.7 R.M.2.1.7 R.M.3.1.7 R.M.4.1.7R.M.1.1.8 R.M.2.1.8 R.M.3.1.8 R.M.4.1.8 EV60505R.M.1.1.9 R.M.1.1.9 R.M.1.1.9 EY60501C R.M.1.1.9 EV61005R.M.1.1.10 R.M.1.1.10 R.M.1.1.10 EV61006 R.M.1.1.10 EV61011R.M.1.1.11 R.M.1.1.11 R.M.1.1.11 EV61018 R.M.1.1.11 EV61021R.M.1.1.12 R.M.1.1.12 R.M.1.1.12 R.M.1.1.12R.M.1.1.13 R.M.1.1.13 R.M.1.1.13 R.M.1.1.13R.M.1.1.14 R.M.1.1.14 R.M.1.1.14 R.M.1.1.14R.M.1.1.15 R.M.1.1.15 R.M.1.1.15 R.M.1.1.15R.M.1.1.16 R.M.1.1.16 R.M.1.1.16 R.M.1.1.16RM-1-02 TU845-AI880 RM-2-02 TU845-AI880 RM-3-02 TU843-DI880 RM-4-02 TU843-DI880R.M.1.2.1 TT11536A R.M.2.2.1 TT11536B R.M.3.2.1 ZSC11012 R.M.4.2.1 ZSC11023R.M.1.2.2 TT11545A R.M.2.2.2 TT11545B R.M.3.2.2 R.M.4.2.2R.M.1.2.3 TT12042A R.M.2.2.3 TT12042B R.M.3.2.3 R.M.4.2.3R.M.1.2.4 R.M.2.2.4 R.M.3.2.4 R.M.4.2.4R.M.1.2.5 R.M.2.2.5 R.M.3.2.5 R.M.4.2.5R.M.1.2.6 R.M.2.2.6 R.M.3.2.6 R.M.4.2.6R.M.1.2.7 LIT61002 R.M.2.2.7 LT61029 R.M.3.2.7 R.M.4.2.7R.M.1.2.8 AT60534 R.M.2.2.8 TT60509 R.M.3.2.8 R.M.4.2.8 UA60534R.M.1.1.9 R.M.1.1.9 R.M.1.1.9 ZSC60505 R.M.1.1.9 ZSC61005R.M.1.1.10 R.M.1.1.10 R.M.1.1.10 ZSC61011 R.M.1.1.10 ZSC61018R.M.1.1.11 R.M.1.1.11 R.M.1.1.11 ZSC61021 R.M.1.1.11 ZSO61006R.M.1.1.12 R.M.1.1.12 R.M.1.1.12 R.M.1.1.12R.M.1.1.13 R.M.1.1.13 R.M.1.1.13 R.M.1.1.13R.M.1.1.14 R.M.1.1.14 R.M.1.1.14 R.M.1.1.14 ZSO61021R.M.1.1.15 R.M.1.1.15 R.M.1.1.15 R.M.1.1.15R.M.1.1.16 R.M.1.1.16 R.M.1.1.16 R.M.1.1.16RM-1-03 TU845-AI880 RM-2-03 TU845-AI880 RM-3-03 RM-4-03R.M.1.3.1 TT11538A R.M.2.3.1 TT11538B R.M.3.3.1 R.M.4.3.1R.M.1.3.2 TT12035A R.M.2.3.2 TT12035B R.M.3.3.2 R.M.4.3.2R.M.1.3.3 TT12044A R.M.2.3.3 TT12044B R.M.3.3.3 R.M.4.3.3R.M.1.3.4 TT11541A R.M.2.3.4 TT11541B R.M.3.3.4 R.M.4.3.4R.M.1.3.5 TT12038A R.M.2.3.5 TT12038B R.M.3.3.5 R.M.4.3.5R.M.1.3.6 R.M.2.3.6 R.M.3.3.6 R.M.4.3.6R.M.1.3.7 R.M.2.3.7 R.M.3.3.7 R.M.4.3.7R.M.1.3.8 PT61007 R.M.2.3.8 PT61014 R.M.3.3.8 R.M.4.3.8R.M.1.1.9 R.M.1.1.9 R.M.1.1.9 R.M.1.1.9R.M.1.1.10 R.M.1.1.10 R.M.1.1.10 R.M.1.1.10R.M.1.1.11 R.M.1.1.11 R.M.1.1.11 R.M.1.1.11R.M.1.1.12 R.M.1.1.12 R.M.1.1.12 R.M.1.1.12R.M.1.1.13 R.M.1.1.13 R.M.1.1.13 R.M.1.1.13R.M.1.1.14 R.M.1.1.14 R.M.1.1.14 R.M.1.1.14R.M.1.1.15 R.M.1.1.15 R.M.1.1.15 R.M.1.1.15R.M.1.1.16 R.M.1.1.16 R.M.1.1.16 R.M.1.1.16RM-1-04 TU845-AI880 RM-2-04 TU845-AI880 RM-3-04 RM-4-04R.M.1.4.1 TT11540A R.M.2.4.1 TT11540B R.M.3.4.1 R.M.4.4.1R.M.1.4.2 TT12037A R.M.2.4.2 TT12037B R.M.3.4.2 R.M.4.4.2R.M.1.4.3 TT11539A R.M.2.4.3 TT11537B R.M.3.4.3 R.M.4.4.3R.M.1.4.4 TT12036A R.M.2.4.4 TT12012B R.M.3.4.4 R.M.4.4.4R.M.1.4.5 TT12045A R.M.2.4.5 TT12043B R.M.3.4.5 R.M.4.4.5R.M.1.4.6 R.M.2.4.6 R.M.3.4.6 R.M.4.4.6R.M.1.4.7 R.M.2.4.7 R.M.3.4.7 R.M.4.4.7R.M.1.4.8 R.M.2.4.8 R.M.3.4.8 R.M.4.4.8R.M.1.1.9 R.M.1.1.9 R.M.1.1.9 R.M.1.1.9R.M.1.1.10 R.M.1.1.10 R.M.1.1.10 R.M.1.1.10R.M.1.1.11 R.M.1.1.11 R.M.1.1.11 R.M.1.1.11R.M.1.1.12 R.M.1.1.12 R.M.1.1.12 R.M.1.1.12R.M.1.1.13 R.M.1.1.13 R.M.1.1.13 R.M.1.1.13R.M.1.1.14 R.M.1.1.14 R.M.1.1.14 R.M.1.1.14R.M.1.1.15 R.M.1.1.15 R.M.1.1.15 R.M.1.1.15R.M.1.1.16 R.M.1.1.16 R.M.1.1.16 R.M.1.1.16RM-1-05 TU845-AI880 RM-2-05 TU845-AI880 RM-3-05 RM-4-05R.M.1.5.1 TT11542A R.M.2.5.1 TT11542B R.M.3.5.1 R.M.4.5.1R.M.1.5.2 TT12039A R.M.2.5.2 TT12039B R.M.3.5.2 R.M.4.5.2R.M.1.5.3 TT11537A R.M.2.5.3 TT11539B R.M.3.5.3 R.M.4.5.3R.M.1.5.4 TT12012A R.M.2.5.4 TT12036B R.M.3.5.4 R.M.4.5.4R.M.1.5.5 TT12043A R.M.2.5.5 TT12045B R.M.3.5.5 R.M.4.5.5R.M.1.5.6 R.M.2.5.6 R.M.3.5.6 R.M.4.5.6R.M.1.5.7 R.M.2.5.7 R.M.3.5.7 R.M.4.5.7R.M.1.5.8 R.M.2.5.8 R.M.3.5.8 R.M.4.5.8R.M.1.1.9 R.M.1.1.9 R.M.3.5.9 R.M.4.5.9R.M.1.1.10 R.M.1.1.10 R.M.3.5.10 R.M.4.5.10R.M.1.1.11 R.M.1.1.11 R.M.3.5.11 R.M.4.5.11R.M.1.1.12 R.M.1.1.12 R.M.3.5.12 R.M.4.5.12R.M.1.1.13 R.M.1.1.13 R.M.3.5.13 R.M.4.5.13R.M.1.1.14 R.M.1.1.14 R.M.3.5.14 R.M.4.5.14R.M.1.1.15 R.M.1.1.15 R.M.3.5.15 R.M.4.5.15R.M.1.1.16 R.M.1.1.16 R.M.3.5.16 R.M.4.5.16RM-1-06 TU845-AI880 RM-2-06 TU845-AI880 RM-3-06 RM-4-06R.M.1.6.1 R.M.2.6.1 R.M.3.6.1 R.M.4.6.1R.M.1.6.2 R.M.2.6.2 R.M.3.6.2 R.M.4.6.2R.M.1.6.3 R.M.2.6.3 R.M.3.6.3 R.M.4.6.3R.M.1.6.4 R.M.2.6.4 R.M.3.6.4 R.M.4.6.4R.M.1.6.5 R.M.2.6.5 R.M.3.6.5 R.M.4.6.5R.M.1.6.6 R.M.2.6.6 R.M.3.6.6 R.M.4.6.6R.M.1.6.7 R.M.2.6.7 R.M.3.6.7 R.M.4.6.7R.M.1.6.8 R.M.2.6.8 R.M.3.6.8 R.M.4.6.8R.M.1.6.9 R.M.2.6.9 R.M.1.1.9 R.M.1.1.9R.M.1.6.10 R.M.2.6.10 R.M.1.1.10 R.M.1.1.10R.M.1.6.11 R.M.2.6.11 R.M.1.1.11 R.M.1.1.11R.M.1.6.12 R.M.2.6.12 R.M.1.1.12 R.M.1.1.12R.M.1.6.13 R.M.2.6.13 R.M.1.1.13 R.M.1.1.13R.M.1.6.14 R.M.2.6.14 R.M.1.1.14 R.M.1.1.14R.M.1.6.15 R.M.2.6.15 R.M.1.1.15 R.M.1.1.15R.M.1.6.16 R.M.2.6.16 R.M.1.1.16 R.M.1.1.16

ICJB-RM1CLU-R-M-1 CLU-R-M-2 CLU-R-M-3 CLU-R-M-4


Bibliografía

[1] “Reactores Químicos, Apuntes”, Fidel Cunill, Monserrat Iborra, Javier Tejero,

Universidad de Barcelona 2010

[2] “Periodic Operation of Chemical Reactors”, P. L. Silveston,R. R. Hudgins

[3] “Lessons in Industrial Instrumentation“, Tony R. Kuphaldt

[4] “An Industry Guide to Control System Engineering”, a Publication of

AutomationDirect.com

[5] “International Electrotechnical Commission IEC-61508”

[6] “International Electrotechnical Commission IEC-61511”

[7] “Industrial IT 800xA – Control and I/O. General Information and Installation”,

Asea Brown Boveri S.A.

[8] “Industrial IT 800xA – Control and I/O. Modules and Termination Units”, Asea

Brown Boveri S.A.

[9] “Industrial IT 800xA – Control and I/O. AC 800M – Controller hardware and

Operation”, Asea Brown Boveri S.A.

[10] “Industrial IT 800xA – Control and I/O. Communication, Protocols and Design”,

Asea Brown Boveri S.A.

Documents

David Bravo Segovia AUTOMATIZACIÓN DEL PROCESO …deeea.urv.cat/public/PROPOSTES/pub/pdf/2249trib.pdf · Los tipos de reactores químicos se clasifican según: Modo de operación