GESTIÓN DE ALARMAS EN LA PLANTA DE OLEFINAS DE TARRAGONA Salvador Pérez Asturiano REPSOL PETRÓLEO, Refinería de Tarragona ABSTRACT En este artículo se presentan los trabajos realizados para mejorar la gestión de alarmas en el área de Pirólisis de la planta de Olefinas de Tarragona. La unidad dispone de un sistema de control distribuido TDC-3000 de Honeywell. Se exponen los resultados obtenidos tras la racionalización de las alarmas, los criterios seguidos para realizarla y los programas para su gestión dinámica. 1. INTRODUCCIÓN A comienzos de 1997, en el área de Pirólisis de la Planta de Olefinas, se procedió a la instalación de un sistema de control distribuido TDC-3000 de Honeywell. Anteriormente, el sistema era un panel analógico SPEC-200 al que se añadió un programa de control de procesos (SETCON). Las diferencias entre estas dos configuraciones no son solamente tecnológicas, sino que afectan en gran manera a la forma en que el operador de panel visualiza la situación de la unidad y actúa, especialmente en situaciones de emergencia. Estas diferencias hacen que la sensación ante un proyecto de este tipo, sea la de que se pierden una serie de facilidades: el poder comprobar, con una simple ojeada, el estado de toda la unidad, saber que todas las alarmas fundamentales se encuentran directamente cableadas a los paneles de alarmas, los registros en papel de las variables más importantes, etc La consecuencia directa es que en el sistema de control distribuido se configura una gran cantidad de alarmas a fin de no perder ninguna información sobre el proceso. De hecho, no solamente se tiende a repetir las alarmas que ya existían en el sistema anterior, sino que se añaden todas aquellas que proporciona como novedad el sistema digital (alarmas de desviación, de BADPV, etc ). Sin embargo, una vez en servicio el nuevo sistema, se comprueba que tantas alarmas, lejos de ayudar a entender la situación de la planta y de mejorar la seguridad de la instalación, provocan confusión en situaciones de emergencia y una carga adicional de trabajo durante la marcha normal. 2. DESCRIPCIÓN DEL PROBLEMA Un sistema ideal de gestión de alarmas sería aquel que cumpliera, por lo menos, con los puntos siguientes: los valores y prioridades de alarmas se adaptan a la situación operatoria, existe una sola indicación de alarma por cada situación anómala, absoluta priorización de las actuaciones a tomar por el operador, velocidad de aparición de alarmas suficientemente baja, de forma que permita su interpretación y actuación correspondiente y una vez detectado el problema no aparecen otras alarmas secundarias puesto que ya son innecesarias. Sin embargo, a la hora de configurar un sistema de control distribuido tropezamos con la realidad de las limitaciones de estos equipos y la de nuestra capacidad para realizar la necesaria definición. De esta forma, a cada uno de los puntos anteriores se contraponen los siguientes: sistema estático configurado únicamente para la operación normal, las alarmas se basan en mediciones simples de variables de proceso, limitación en el número de prioridades disponibles, en situaciones de emergencia es imposible asumir toda la información recibida, y, a menudo, la verdadera causa del problema queda camuflada entre la cantidad de avisos en el sumario de alarmas Poco tiempo después de la puesta en marcha de la unidad se constató que el impacto de estas Conferencia de la Sección Española de ISA 1999 1
deficiencias afectaba negativamente a la solución de los problemas operatorios e incluso, durante la operación normal, requería una atención excesiva por parte del operador. De esta forma, se decidió comenzar con la depuración de las alarmas y trabajar en la implementación de aplicaciones de gestión dinámica que mejoraran la situación y permitieran acercase, tanto como fuera posible, a la situación ideal descrita más arriba. 3. METODOLOGÍA DEL PROYECTO Inicialmente se constituyó un grupo de trabajo multidisciplinar compuesto por los miembros siguientes: jefe de unidad, operador jefe con experiencia y dedicación exclusiva a esta función, ingeniero de procesos e ingeniero de control. El objetivo marcado por el grupo consistió en la revisión sistemática, para todos los puntos de la unidad, de, al menos: valores y prioridades de alarmas en cada uno de los modos de operación, acción de los controladores ante fallo de la medida, otros parámetros de instrumentos (clamp, etc.), claridad de las descripciones y determinación de aquellas alarmas para las que sería recomendable que el operador pudiera modificar su valor de alarma durante la operación normal Una vez finalizada la fase de racionalización de las alarmas, se comenzó con la elaboración de las herramientas para su gestión dinámica. 4.- ÁREA DE PIRÓLISIS Para comprender las soluciones adoptadas debemos realizar una breve descripción del área de Pirólisis desde el punto de vista de proceso. En el área de pirólisis de una planta de etileno se pueden distinguir dos zonas con características operativas bien diferenciadas, lo que hace que también las soluciones adoptadas sean diferentes. Éstas zonas son, por una parte, los hornos de craking, y por la otra, el resto de las unidades. Hornos de craking: son 14 en total y aparte de pequeñas diferencias, responden esencialmente a los mismos criterios operativos. Tienen varios modos de operación (normal, parado, decoking y calentamiento/enfriamiento), y los cambios entre ellos son frecuentes. Adicionalmente, algunos de ellos pueden procesar diferentes alimentaciones. Tanto los cambios de modo de operación como los de alimentaciones requieren recalibración de los instrumentos de medida y por lo tanto de las alarmas asociadas a las mismas. El principal beneficio en este caso es la adaptación de los valores y prioridades de alarmas a los diferentes modos operatorios. En este apartado trabajó todo el grupo en conjunto utilizando una mecánica similar al estudio HAZOP s. La solución adoptada fue la realización de un programa específico para cada horno que hace todos los cambios necesarios. Resto de unidades: realizan el primer fraccionamiento, la compresión y el lavado del gas de craking. Comprende también los sistemas auxiliares: caldera de recuperación de calor y redes de vapor, de fuel-gas, de vapor de proceso, etc... No pueden ser paradas independientemente unas de otras. Debido a que no hay cambios de modo de operación, el principal trabajo es determinar las alarmas para la operación normal, y determinar cuáles de ellas deben estar activas cuando se pare la unidad y durante el proceso de parada o arranque. Este trabajo corrió a cargo del operador jefe, y posteriormente se revisó por parte del jefe de unidad y el ingeniero de procesos. En este caso, se hizo un programa genérico, que en caso de parada de la unidad, una vez debidamente configurado, desactiva los puntos cuyas alarmas no son necesarias. Durante el análisis, se encontraron algunos casos en los que era necesario o muy recomendable algún tipo de gestión dinámica de las alarmas. En un próximo apartado se describen todos ellos, conjuntamente con los ya mencionados anteriormente. 5. CRITERIOS Aunque el estudio realizado cubría todos los medidores implicados uno a uno, se pudieron extraer unos criterios generales de configuración. La ventaja de esta sistematización es que el operador conoce el comportamiento del sistema en caso de fallo de los instrumentos. Algunos de los criterios que se consideraron aplicables fueron los siguientes: Conferencia de la Sección Española de ISA 1999 2
1. La prioridad de la alarma se asigna dependiendo del tamaño de la perturbación que puede producir. 2. Las alarmas de BADPV solamente se configuran para aquellos instrumentos que tengan alguna otra alarma asociada, y en ese caso, la prioridad será igual que la más alta. Este criterio ha hecho disminuir en gran medida el número de alarmas del sistema. 3. Todos los controladores de nivel se configuran por defecto con opción de Clamp, lo que significa que en caso de que el instrumento salga de rango por cualquier motivo la válvula sigue actuando en el sentido correcto (comportamiento equivalente al sistema de control analógico). 4. En caso de disponer de un controlador y un indicador sobre la misma medida, las alarmas se configuran en el segundo. 5. No se trata únicamente de eliminar las alarmas que parezcan innecesarias, el objetivo principal es ajustarlas de forma que mejoren la seguridad de la instalación. 6. PROGRAMAS Se realizaron un total de cinco programas, todos ellos en el entorno TDC-3000 (AM), que se pasan a detallar: Programas para hornos de craking: son completamente específicos para cada uno de ellos. Modifican los valores y prioridades de las alarmas dependiendo tanto del estado del horno como de las alimentaciones procesadas. La activación se realiza por medio de una entrada manual del operador, la misma que ya debía ser introducida anteriormente para otra serie de utilidades (programas de severidad y de cambios de rango de medidores). Una posible mejora sería la activación automática ante paro del horno por medio de una entrada digital proveniente del sistema de enclavamientos. Programas de cambio de alarmas para el resto de unidades: se trata de un programa completamente genérico que adapta las alarmas a los posibles modos de operación de cada una de las unidades. También se activan por medio de una entrada del operador. Alarmas configurables por el operador: como se ha comentado anteriormente, hay una serie de puntos, para los que se consideró necesario que el operador pueda, durante la marcha normal y sin necesidad de la llave del sistema, cambiar los valores de alarma. Este programa permite hacerlo desde un gráfico ad-hoc. Para cada uno de los puntos se debe definir previamente el valor normal de alarma y el rango de variación permitido. El gráfico muestra todos los puntos permitidos e indica cuales de ellos han sido modificados y la fecha y hora en que se hizo. Resumen de alarmas: se utiliza en aquellos casos en que no es necesario disponer de una alarma por cada medidor, sino que es suficiente con tener una indicación de que alguno de ellos se encuentra en esa condición. La ventaja es que se produce una sola alarma en lugar de todas las individuales. La aplicación típica serían los termopares para detección de puntos calientes a lo largo del lecho de un reactor. Algunas características de esta aplicación son las siguientes: Es recomendable que los medidores afectados tengan una función equivalente y que la actuación del operador sea la misma independientemente del punto o puntos que activen la alarma. Cada punto puede tener la alarma ajustada a un valor diferente. La prioridad de la alarma activada puede cambiar dependiendo del número total de puntos en alarma. De la misma forma, cambia el mensaje al operador. Una vez reconocida, la alarma desaparece del sumario; y volvería a aparecer por uno de los siguientes motivos: que debido a que hay más puntos en alarma se active otra de más alta prioridad o que pase un tiempo previamente configurado y la situación no haya mejorado. Deshabilitación temporizada de alarmas: Debido a diferentes situaciones operatorias, en algunas ocasiones el operador de panel se ve obligado a deshabilitar temporalmente todas las alarmas de algún punto (parámetro ALENBST a DISABLE). Ejemplos de esto podrían ser calibraciones de instrumentos, fallos de los mismos, etc. Una vez solucionado el problema, el operador debe volver a habilitar la alarma del punto. Este tipo de maniobra está expuesto al posible olvido del operador con lo que la alarma quedaría deshabilitada indefinidamente hasta que alguien repare en ello. Para evitarlo, se ha desarrollado esta aplicación, que permite al operador deshabilitar las alarmas de cualquier punto durante un periodo de tiempo determinado, una vez transcurrido el cual, se realiza Conferencia de la Sección Española de ISA 1999 3
la habilitación de forma automática sin enviar ningún tipo de aviso a la estación de operación. La interfaz con el operador es un esquemático de TDC- 3000 dedicado en exclusiva a este propósito, en el que el debe introducirse el nombre del punto. 7. RESULTADOS Aunque no se dispone de datos reales que permitan comparar el número de alarmas en diferentes situaciones operatorias antes y después de la racionalización de las mismas y de la realización de los programas descritos, se presentarán las estadísticas que mejor puedan ilustrar los beneficios alcanzados: en el caso de los hornos de craking, se hará especial énfasis en la mejora debida a la adaptación de las alarmas al modo de operación; mientras que para el resto de unidades veremos el cambio habido en el número total de alarmas de cada prioridad configuradas. 70 60 Hay que destacar también que, en el caso de las alarmas de emergencia, aunque mantienen la prioridad, cuando el horno se para, cambian de valor por motivo de seguridad, ya que ayudarían al operador a detectar situaciones anormales. Un ejemplo de esto podrían ser las presiones de fuelgas, que pasan de 3.5 kg/cm2 a 1 kg/cm2. Una forma de ilustrar los resultados obtenidos podría ser el hecho de que cuando para un horno, el operador deja de recibir un total de 57 alarmas innecesarias. Esta actuación podría ser mejorada si la actuación de la secuencia automática fuera activada directamente desde el sistema de enclavamientos en caso de una actuación del mismo. Resto de unidades: Debido a que en estas unidades no tienen más modo de operación que en marcha o paradas, se ofrecen los resultados en términos del número de alarmas de cada prioridad configuradas antes y después de la racionalización llevada a cabo. 50 40 30 20 10 0 Antes Norm Decok Cal/enf Parado Baja Alta Emergencia 400 350 300 250 200 150 100 50 0 Antes En marcha Parada Fig. 1. Número de alarmas por estado del horno Hornos de craking: En la Fig. 1 se muestra el número de alarmas configuradas, distribuidas por prioridad, en cada uno de los modos de operación para un horno de nafta y LPG. En la primera columna se ha representado el número de alarmas anterior a la racionalización, y que era aplicable a todos los estados posibles del horno. Se puede observar que hay grandes diferencias en el número de alarmas necesarias en cada estado. Baja Alta Emergencia En esta fase se revisaron un total de 601 puntos, y en las Fig. 2 y 3 se muestran los resultados, expresados en número absoluto y en porcentaje respecto del total respectivamente. Fig. 2 Resultado de la racionalización de alarmas en número absoluto de ellas. Conferencia de la Sección Española de ISA 1999 4
Fig. 3 Resultado de la racionalización de alarmas en tanto por ciento del total. El hecho más destacable es la disminución del número total de alarmas, especialmente de las de baja prioridad y el incremento de las de alta. El motivo de que las de emergencia se mantengan puede ser debido a que al afectar en mayor grado a la seguridad de la instalación, su necesidad es más conocida y ya fueron configuradas con esa prioridad desde un principio. 8. COMPARACIÓN CON OTRAS UNIDADES Simultáneamente al desarrollo de estos trabajos, se decidió en Repsol Petróleo la aprobación de un proyecto encaminado a mejorar la gestión de 80 60 40 20 0 100% 90% 80% 70% 60% 50% 40% 30% 20% 10% 0% Antes Número de alarmas medio por turno Pirólisis Comb 1 Comb 2 Alta En marcha Emergencia Parada Baja Alta Emergencia alarmas en todas las unidades de la empresa. Fig. 4 Comparación del área de Pirólisis (P) con el resto de áreas. La primera fase de este proyecto consistía en la evaluación de la situación inicial mediante la obtención de estadísticas de funcionamiento. El estudio se llevó a cabo en todas las unidades de proceso. En este apartado se muestra el resultado obtenido en el área de Pirólisis en comparación con algunas unidades del complejo industrial de Tarragona, en ninguna de las cuales se ha realizado la revisión sistemática de alarmas. Se han elegido como ejemplos las plantas más similares tanto en tamaño como desde el punto de vista de proceso. Este gráfico muestra claramente la mejor situación del área de pirólisis respecto del resto de unidades en cuanto al número de alarmas que aparecen en el sistema. Sin embargo, lo más importante es que ese menor número de alarmas es suficiente para que el operador disponga de toda la información necesaria para actuar correctamente. Hay un hecho que aunque no se ve en el gráfico adjunto es digno de ser destacado. En una de las áreas sometidas al estudio se observó una inversión, de forma que son más habituales las alarmas de alta prioridad que las de baja. La explicación que se da a este hecho es la mecánica para realizar los cambios de prioridad: aunque la situación inicial debía ser la contraria, tras el estudio de los incidentes operatorios la conclusión habitual es incrementar la prioridad de algunas alarmas de forma que con el tiempo la situación degenera hasta llegar a la configuración actual. Este hecho refuerza la idea de que es conveniente realizar estudios sistemáticos de las unidades en vez de adoptar medidas parciales. 9. CONCLUSIONES La solución de cualquier incidencia operatoria depende en gran medida de la rapidez con el que el operador identifique la causa primera que la ha provocado. Por lo tanto, toda mejora en el sistema de alarmas redunda en una mayor seguridad de la instalación. De hecho, este es el objetivo perseguido, y no la mera reducción del número de alarmas configuradas. Los resultados ponen de manifiesto la situación ventajosa del área en que se ha realizado la racionalización respecto de aquellas que no se han sometido todavía al estudio. Conferencia de la Sección Española de ISA 1999 5
El método de trabajo más efectivo es la formación de un grupo multidisciplinar que realice un análisis sistemático. La aplicación de sistemas de gestión dinámica debe considerarse dependiendo de la cantidad de modos de operación que tenga la unidad, de lo diferentes que sean a efectos de alarmas y de la frecuencia de los cambios entre ellos. Se recomienda elaborar un documento que refleje la filosofía del sistema de gestión de alarmas y los criterios que deben seguirse para su configuración. Es importante fijar un procedimiento de modificación de los valores y prioridades de alarmas y de mantenimiento de la documentación generada, de forma que se evite una degeneración del sistema después de finalizado el proyecto. La documentación mencionada debería incluir los motivos que han conducido a fijar las alarmas, por lo menos en aquellas en que por la complejidad de los motivos sea aconsejable. Conferencia de la Sección Española de ISA 1999 6