Casos reales

Los casos se eligieron porque cada uno deja una lección concreta para quien diseña un plan de mantenimiento, prueba una protección o decide con datos de falla. Los hechos provienen de los informes oficiales citados al pie de cada caso. Las lecturas desde la confiabilidad son interpretaciones técnicas del sitio, no conclusiones de esas investigaciones.

Nowlan y Heap: el origen del RCM

Qué pasó

A fines de los años sesenta, la llegada del Boeing 747 obligó a revisar la forma de armar los programas de mantenimiento. La práctica de la época suponía que todo componente se desgasta con la edad y que una revisión general a intervalos fijos lo devuelve a su condición original. Un grupo de trabajo de la industria y la autoridad aeronáutica desarrolló un método de decisión basado en las consecuencias de cada falla, que se aplicó al 747 (MSG-1, 1968) y luego a otros aviones. F. Stanley Nowlan y Howard Heap, de United Airlines, lo formalizaron en 1978 con el nombre de Reliability-Centered Maintenance.

El informe cuantifica el cambio. El programa inicial del Douglas DC-8 incluía revisiones generales programadas para 339 ítems; el del DC-10, desarrollado con la nueva lógica, para siete. El DC-8 requirió unos cuatro millones de horas-hombre de inspecciones estructurales mayores en sus primeras 20 000 horas de operación; el 747, unas 66 000 en el mismo período.

Por qué importa para el mantenimiento

El análisis actuarial de los datos de falla mostró que la probabilidad condicional de falla de la mayoría de los componentes no aumenta con la edad. En los datos de United Airlines, el 89 % de los ítems no tenía un patrón ligado a la edad. Para esos ítems, una revisión general programada no reduce las fallas y puede aumentarlas, porque cada intervención introduce la posibilidad de un error de montaje.

Qué aplicar hoy

• Definir cada tarea por modo de falla y por consecuencia, no por equipo ni por costumbre: RCM y el selector de estrategia.
• Verificar con datos propios si un modo de falla tiene desgaste antes de programar un reemplazo: análisis de Weibull y edad óptima de reemplazo.
• Los seis patrones de falla y su significado práctico están en el artículo ¿Los equipos fallan por viejos?.

Fuente: Nowlan, F. S. y Heap, H. F. (1978). Reliability-Centered Maintenance. United Airlines, informe AD-A066579 para el Departamento de Defensa de EE. UU.

Three Mile Island, 1979

Qué pasó

Durante un trabajo de mantenimiento en el sistema de pulido de condensado entró agua en una línea de aire de instrumentos. Las bombas de agua de alimentación se detuvieron, la turbina disparó y el reactor se apagó. Las tres bombas de agua de alimentación de emergencia arrancaron, pero no llegó agua a los generadores de vapor: una válvula de bloqueo en cada una de las dos líneas estaba cerrada. Probablemente habían quedado así después de una prueba de vigilancia dos días antes, y una tarjeta de mantenimiento tapaba las luces de posición de una de ellas.

Al mismo tiempo, la válvula de alivio del presurizador abrió como estaba previsto y quedó trabada abierta. La luz del tablero se apagó y los operadores entendieron que había cerrado, pero esa luz indicaba que el solenoide había dejado de recibir la orden, no la posición real de la válvula. El refrigerante siguió escapando durante horas.

Por qué importa para el mantenimiento

El caso reúne dos fallas ocultas introducidas o mantenidas por el propio sistema de mantenimiento. Las válvulas cerradas después de una prueba muestran que una intervención puede dejar una función de protección anulada si nadie verifica el estado en que queda el equipo. La luz de la válvula de alivio muestra que una indicación de la orden enviada no es una medición del estado: el instrumento decía lo que el sistema mandaba, no lo que pasaba.

Qué aplicar hoy

• Toda prueba o intervención sobre una protección termina con la verificación del estado final: el registro de cómo se encontró y cómo se dejó el equipo. Ver la búsqueda de fallas con error humano, donde la probabilidad de dejar la protección fallada entra en el cálculo del intervalo.
• Las señales que alimentan decisiones críticas tienen que medir la variable real, como la posición de la válvula con un final de carrera o un transmisor de posición: instrumentación industrial.
• En RCM, las funciones ocultas exigen una tarea explícita de búsqueda de fallas: RCM.

Fuente: President's Commission on the Accident at Three Mile Island (1979). The Need for Change: The Legacy of TMI. Washington.

Challenger, 1986

Qué pasó

Setenta y tres segundos después del lanzamiento, los gases calientes escaparon por una junta de campo del propulsor sólido derecho y provocaron la destrucción del vehículo. La junta tenía dos anillos de sello. La temperatura en el lanzamiento era de unos 2 °C (36 °F), muy por debajo de la del lanzamiento más frío anterior, unos 12 °C (53 °F), y los anillos pierden capacidad de recuperarse con el frío.

La Comisión Rogers documentó que la junta se había clasificado en el análisis de modos de falla con criticidad 1R, falla única con redundancia, y que en 1982 se reclasificó como criticidad 1 al reconocerse que el sello secundario podía no actuar. En vuelos anteriores ya se había observado erosión de los anillos y paso de gases. Cada evento se aceptó como un riesgo tolerable y el sistema siguió volando con excepciones.

Por qué importa para el mantenimiento

El modo de falla estaba identificado, clasificado como crítico y con evidencia de campo. El problema fue que el resultado del análisis no gobernaba la decisión. Hay además una lección de análisis de datos: en la discusión previa al lanzamiento se consideraron los vuelos con daño en los anillos y no los vuelos sin daño. Sin estos últimos la relación con la temperatura no se ve; con todos los vuelos, la dependencia es clara.

Qué aplicar hoy

• El FMEA vale por las acciones que obliga a tomar y por quién puede aceptar una excepción: FMEA y el generador FMEA.
• En un análisis de vida, las unidades que no fallaron son datos: se tratan como suspensiones y cambian el resultado. Ver el análisis de Weibull y la simulación de Weibull.
• La aceptación repetida de una anomalía como normal es una señal que un análisis de causa raíz tiene que tratar como hallazgo: RCA.

Fuentes: Presidential Commission on the Space Shuttle Challenger Accident (1986). Report to the President. Dalal, S. R., Fowlkes, E. B. y Hoadley, B. (1989). Risk analysis of the space shuttle: Pre-Challenger prediction of failure. Journal of the American Statistical Association, 84(408), 945–957.

Piper Alpha, 1988

Qué pasó

Durante el turno de día se retiró la válvula de seguridad de una de las dos bombas de condensado para recertificarla, y en su lugar se colocó una brida ciega que no quedó ajustada para contener presión. El trabajo no terminó en ese turno y el permiso correspondiente no se comunicó de forma efectiva al turno de noche. Cuando la otra bomba disparó, el turno de noche puso en servicio la bomba sin válvula. El condensado escapó por la brida y se produjo una explosión.

El incendio se extendió porque los muros cortafuego no estaban diseñados para resistir explosiones, las bombas de agua contra incendio estaban en modo manual por tareas de buceo y las plataformas vecinas siguieron enviando gas por las líneas que llegaban a Piper Alpha.

Por qué importa para el mantenimiento

La causa inmediata fue un error de comunicación, pero la investigación encontró un sistema de permisos de trabajo aplicado de manera informal, sin control efectivo de los aislamientos y con traspasos de turno deficientes. El estado de un equipo fuera de servicio por mantenimiento es información de seguridad, y tiene que estar a la vista de quien puede ponerlo en marcha.

Qué aplicar hoy

• El control del trabajo de mantenimiento, del permiso al cierre de la orden, es una barrera de seguridad: planificación y programación.
• El análisis de causa raíz tiene que llegar a las raíces latentes, como un sistema de permisos que nadie audita: RCA.

Fuente: Cullen, W. D. (1990). The Public Inquiry into the Piper Alpha Disaster. Her Majesty's Stationery Office, Londres.

Aloha Airlines, vuelo 243, 1988

Qué pasó

A 24 000 pies de altura, un Boeing 737-200 perdió una sección del techo del fuselaje. El avión tenía 19 años y cerca de 89 700 ciclos de vuelo: por operar tramos muy cortos entre islas, acumulaba ciclos de presurización mucho más rápido que horas. La NTSB atribuyó el evento a la falla del programa de mantenimiento para detectar el despegado de la unión solapada del fuselaje y el daño por fatiga en múltiples sitios, con fisuras que se iniciaron en muchos remaches a la vez y se unieron en una sola. La corrosión favorecida por el clima húmedo contribuyó al despegado.

Por qué importa para el mantenimiento

El caso deja dos lecciones. La primera es elegir bien la variable de edad: el daño por fatiga de un fuselaje presurizado avanza con los ciclos de presurización, no con los años ni con las horas, y un análisis de vida hecho con la variable equivocada subestima el riesgo. La segunda es la diferencia entre inspeccionar y detectar: el programa existía, pero las técnicas y los criterios estaban pensados para fisuras aisladas y no veían el daño distribuido.

Qué aplicar hoy

• La técnica y el intervalo se diseñan juntos. Con detección imperfecta, el intervalo se calcula con la probabilidad real de detectar: inspección con detección imperfecta y curva P-F.
• En un análisis de Weibull, la unidad de tiempo tiene que ser la que gobierna el mecanismo de daño: arranques, ciclos, toneladas o horas de operación. Ver Weibull.
• El caso dio origen al programa de envejecimiento de aeronaves: los equipos que operan más allá de su vida de diseño necesitan inspecciones complementarias revisadas con la experiencia. Ver mantenimiento predictivo.

Fuente: National Transportation Safety Board (1989). Aloha Airlines, Flight 243, Boeing 737-200, N73711, near Maui, Hawaii, April 28, 1988. Informe AAR-89/03.

Refinería de Texas City, 2005

Qué pasó

Durante el arranque de la unidad de isomerización, una torre de separación se llenó de líquido durante horas sin que saliera producto. El transmisor de nivel, calibrado para la parte inferior de la torre, indicaba un nivel descendente mientras el real subía. La alarma redundante de alto nivel no se activó. El líquido desbordó hacia un tambor de purga con venteo a la atmósfera, salió por la chimenea, formó una nube de vapor y se encendió. Las víctimas estaban en casillas temporales ubicadas cerca de la unidad.

Por qué importa para el mantenimiento

La investigación encontró instrumentos de nivel y alarmas con fallas reportadas que no se habían reparado, procedimientos de arranque desactualizados y recortes en mantenimiento e inspección. También encontró que la organización medía la seguridad por la tasa de lesiones personales, que venía mejorando, mientras se deterioraban la integridad mecánica y la seguridad de procesos, que casi nadie seguía.

Qué aplicar hoy

• Las órdenes sobre instrumentos de protección y medición crítica se priorizan por riesgo y no se cierran sin reparar la causa: priorización e instrumentación industrial.
• Los indicadores de seguridad de procesos e integridad mecánica tienen que estar en el tablero de la dirección, con indicadores adelantados además de los de resultado: indicadores de mantenimiento.
• Un análisis de causa raíz que se detiene en el error del operador no previene el próximo evento: RCA.

Fuentes: U.S. Chemical Safety and Hazard Investigation Board (2007). Refinery Explosion and Fire, BP Texas City. Informe 2005-04-I-TX. The BP U.S. Refineries Independent Safety Review Panel (2007). Report (Panel Baker).

Buncefield, 2005

Qué pasó

Durante el llenado nocturno del tanque 912 con nafta, el indicador automático de nivel quedó trabado y mostró un valor constante mientras el tanque seguía llenándose. Ese medidor se había trabado en forma intermitente desde un servicio realizado en agosto, catorce veces en los tres meses anteriores, sin que las fallas se registraran ni se investigaran. El interruptor independiente de alto nivel, segunda capa de protección, no actuó: necesitaba un candado para mantener su palanca de prueba en posición de trabajo, y como nadie en la cadena de proveedor, instalador, contratista y operador conocía esa condición, el candado nunca se colocó.

El combustible rebalsó por los venteos del techo, formó una nube de vapor de varios cientos de metros y explotó. No hubo víctimas fatales, en parte porque ocurrió un domingo temprano.

Por qué importa para el mantenimiento

Fallaron dos capas de protección por condiciones latentes. Un instrumento con fallas repetidas se resolvía cada vez en el momento, sin registro ni análisis, y un interruptor de protección nunca estuvo en condiciones de actuar sin que ninguna prueba lo detectara. Las fallas repetidas de un instrumento son datos para un análisis de causa raíz, no eventos a resetear.

Qué aplicar hoy

• La prueba de una protección verifica la función completa y el estado final en que queda: búsqueda de fallas e instrumentación industrial.
• Un registro de intervención con lo que se encontró, lo que se hizo y cómo quedó el equipo es la materia prima de cualquier análisis: ISO 14224 y RCA.

Fuentes: Buncefield Major Incident Investigation Board (2008). The Buncefield Incident 11 December 2005: The final report. Competent Authority for COMAH (2011). Buncefield: Why did it happen? Health and Safety Executive.

Deepwater Horizon, 2010

Qué pasó

Después de fallar la barrera de cemento del pozo y de interpretarse mal una prueba de presión negativa, el pozo entró en surgencia. El preventor de reventones no logró cerrarlo. La U.S. Chemical Safety Board concluyó que la tubería de perforación se pandeó por compresión efectiva en los primeros minutos, de modo que el ariete de corte ciego actuó sobre un caño descentrado y no pudo sellar. Además, el preventor no tenía capacidad para cortar de forma confiable la tubería de 6 5/8 pulgadas usada en la mayor parte del pozo, aun centrada.

El sistema de control tenía dos módulos redundantes para el accionamiento de emergencia. El azul estaba anulado por un error de cableado que agotó su batería; el amarillo tenía otro error de cableado y otra falla de batería que, por casualidad, se compensaron. La CSB señaló que ni el operador ni el contratista realizaban inspecciones o pruebas periódicas para detectar fallas latentes de esos sistemas de emergencia.

Por qué importa para el mantenimiento

La redundancia del diseño estaba anulada por fallas ocultas en las dos ramas, y ninguna prueba las había puesto en evidencia. A eso se suma un modo de falla que el diseño no contemplaba: la demanda real sobre el equipo de protección, una tubería pandeada y descentrada, era distinta de la condición de diseño.

Qué aplicar hoy

• En un sistema con redundancia, la disponibilidad depende de probar cada rama y de controlar las fallas de causa común: análisis RAM y RAM analítico.
• Las pruebas de una protección tienen que ejercitar la función completa en condiciones representativas de la demanda: búsqueda de fallas.

Fuentes: National Commission on the BP Deepwater Horizon Oil Spill and Offshore Drilling (2011). Deep Water: The Gulf Oil Disaster and the Future of Offshore Drilling. U.S. Chemical Safety and Hazard Investigation Board (2016). Drilling Rig Explosion and Fire at the Macondo Well, informe 2010-10-I-OS.

Chevron Richmond, 2012

Qué pasó

Una línea de acero al carbono de la unidad de destilación de crudo se rompió por corrosión por sulfidación. La línea tenía una pérdida y, mientras se retiraba la aislación para evaluarla, se rompió y liberó hidrocarburo que formó una nube y se encendió. Los trabajadores que estaban en la zona lograron escapar.

La sulfidación avanza más rápido en aceros al carbono con bajo contenido de silicio, y la velocidad de corrosión puede ser muy distinta entre componentes de la misma línea. El programa de inspección medía espesores en puntos representativos, que no reflejaban el componente más afectado. Recomendaciones técnicas internas previas de inspeccionar al 100 % los componentes susceptibles o reemplazarlos por materiales más resistentes no se habían implementado.

Por qué importa para el mantenimiento

La información técnica necesaria existía en la propia organización y en la bibliografía de la industria, pero el sistema de decisión no la convirtió en acciones. Es una falla de gestión de activos: el riesgo estaba identificado, el método de inspección no era capaz de detectarlo y las recomendaciones quedaron sin dueño ni plazo.

Qué aplicar hoy

• El plan de inspección se diseña a partir del mecanismo de daño: técnica, cobertura e intervalo según cómo y dónde avanza. Ver mantenimiento basado en condición.
• Las recomendaciones técnicas se gestionan como decisiones de riesgo con responsable, plazo y seguimiento: gestión de activos y matriz de criticidad.

Fuente: U.S. Chemical Safety and Hazard Investigation Board (2015). Chevron Richmond Refinery Pipe Rupture and Fire. Informe final 2012-03-I-CA.

Cómo usar estos casos

En una capacitación o en una reunión de análisis, cada caso se puede convertir en una pregunta para el propio plan de mantenimiento:

1. ¿Qué tareas de revisión general programada de la planta tienen respaldo en datos de desgaste? (Nowlan y Heap)
2. ¿Cada prueba de una protección termina con la verificación del estado final? (Three Mile Island, Buncefield)
3. ¿Qué modos de falla críticos del FMEA siguen abiertos con una excepción vigente? (Challenger)
4. ¿Cómo se comunica en el cambio de turno un equipo fuera de servicio por mantenimiento? (Piper Alpha)
5. ¿La técnica de inspección detecta realmente el defecto que se busca? (Aloha 243, Chevron Richmond)
6. ¿Qué instrumentos de protección tienen órdenes repetidas sin causa encontrada? (Texas City, Buncefield)
7. ¿Cuándo se probó por última vez cada rama de una redundancia crítica? (Deepwater Horizon)