Fundamentos
Un instrumento tiene una función doble: informar el estado del proceso y, en muchos casos, actuar sobre él o protegerlo. Por eso sus fallas tienen consecuencias que no siempre se ven: un transmisor que deriva sigue entregando una señal válida, una válvula de bloqueo trabada no muestra nada hasta que se le pide cerrar, un presostato con contactos pegados es invisible hasta el día de la sobrepresión. En instrumentación, una proporción grande de los modos de falla relevantes son fallas ocultas.
La cadena de medición y control
Sensor, transmisor, cableado y comunicación (4–20 mA, HART, buses de campo, inalámbrico), sistema de control o de seguridad, y elemento final (válvula, variador, contactor). La confiabilidad de la función es la de toda la cadena: una prueba que verifica el transmisor pero no la válvula no prueba la función.
Exactitud, incertidumbre y deriva
La exactitud declarada por el fabricante es una de las contribuciones a la incertidumbre de la medición instalada; se suman la estabilidad en el tiempo (deriva), el efecto de la temperatura y la presión estática, la instalación (tomas de impulso, sellos remotos) y la incertidumbre de la calibración. JCGM 100 (GUM) es la referencia para combinarlas.
Señales normalizadas y diagnóstico
NAMUR NE 43 separa la señal de medición válida (3,8 a 20,5 mA) de la señal de falla (3,6 mA o menos, 21 mA o más). NAMUR NE 107 normaliza cuatro estados de diagnóstico de los dispositivos de campo: falla, verificación de función, fuera de especificación y mantenimiento requerido. Con HART o buses de campo, esos estados permiten pasar de calibrar por calendario a intervenir por condición.
Válvulas de control
Son el elemento con más modos de falla mecánicos del lazo: fricción y trabado del vástago, desgaste y erosión del trim, cavitación y flashing, pérdidas por empaquetadura, fallas del actuador y del posicionador. Un dimensionamiento inadecuado es una causa de falla: una válvula sobredimensionada opera casi cerrada, erosiona el asiento y controla mal. El diagnóstico del posicionador (firma de válvula, fricción, tiempo de respuesta, consumo de aire) es la principal fuente de fallas potenciales.
Sistemas instrumentados de seguridad
IEC 61511 define el ciclo de vida de las funciones instrumentadas de seguridad (SIF): análisis de riesgo, asignación del nivel de integridad (SIL), diseño, verificación, operación, pruebas periódicas y gestión del cambio. Cada SIL fija un rango de probabilidad de falla en demanda (PFD) promedio para funciones de baja demanda:
| SIL | PFD promedio | Reducción de riesgo |
|---|---|---|
| 1 | ≥ 10⁻² a < 10⁻¹ | 10 a 100 |
| 2 | ≥ 10⁻³ a < 10⁻² | 100 a 1000 |
| 3 | ≥ 10⁻⁴ a < 10⁻³ | 1000 a 10 000 |
La PFD depende de la tasa de fallas peligrosas no detectadas, del intervalo y la cobertura de las pruebas, de la arquitectura y de las fallas de causa común. Las pruebas periódicas son, en términos de RCM, tareas de búsqueda de fallas.
Gestión de alarmas
Un operador inundado de alarmas deja de responder a las importantes. ANSI/ISA-18.2 e IEC 62682 describen el ciclo de vida de la gestión de alarmas: filosofía, racionalización (cada alarma con causa, consecuencia, acción y tiempo de respuesta), implementación, monitoreo y auditoría.
Metodología
- Clasificar los instrumentos por función y criticidad: de seguridad, de control de lazos críticos, de medición fiscal, de indicación local.
- Analizar modos de falla por tipo (transmisores, analizadores, válvulas, detectores) y separar fallas evidentes de ocultas.
- Definir tareas: comparación entre redundantes y diagnóstico en línea como tareas a condición; calibración con intervalo ajustado por historial; pruebas funcionales completas para funciones de seguridad; reemplazo programado para sensores con vida limitada, como celdas electroquímicas.
- Registrar como se encontró y como se dejó en cada calibración y prueba: es el dato que permite ajustar intervalos y calcular tasas de falla reales.
- Gestionar la integridad de las SIF: seguimiento de demandas, fallas en prueba, anulaciones (bypass) y cambios.
Fórmulas clave
Conversión de la señal de 4–20 mA a variable de proceso:
Error de calibración en porcentaje del alcance y combinación de incertidumbres independientes:
PFD promedio de arquitecturas simples, con la tasa de fallas peligrosas no detectadas, el intervalo de prueba y la fracción de causa común:
Dimensionamiento de válvulas de control según IEC 60534-2-1: ver la calculadora de Cv.
Ejemplo industrial
Función instrumentada de seguridad por nivel muy alto (LSHH) en un separador: transmisor de nivel, sistema lógico y válvula de bloqueo en la entrada. Datos ilustrativos; en un proyecto se usan los datos certificados de cada dispositivo.
| Subsistema | λ_DU (h⁻¹) | Arquitectura | PFD promedio con prueba anual |
|---|---|---|---|
| Transmisor de nivel | 2,0 · 10⁻⁷ | 1oo1 | 8,8 · 10⁻⁴ |
| Sistema lógico | dato certificado | — | 1,0 · 10⁻⁴ |
| Válvula de bloqueo con actuador y solenoide | 2,5 · 10⁻⁶ | 1oo1 | 1,1 · 10⁻² |
| Total | 1,2 · 10⁻² (SIL 1) |
La válvula domina la PFD. Con dos válvulas en serie (1oo2) y 10 % de causa común, su aporte baja a 1,3 · 10⁻³ y la función llega a 2,2 · 10⁻³, dentro del rango de SIL 2. El término de causa común es casi todo ese valor: reducirlo con diversidad, separación física y pruebas escalonadas rinde más que agregar una tercera válvula. Una prueba de carrera parcial en línea, que detecta parte de las fallas peligrosas sin parar el proceso, es otra alternativa que se evalúa con su cobertura de diagnóstico.
Conversión de una señal: un transmisor de 0 a 10 bar que entrega 14,2 mA indica 6,375 bar. Si entrega 3,5 mA, no es una presión negativa: es una señal de falla según NE 43 y el sistema de control debe tratarla como tal.
Casos documentados
Buncefield, 2005. En un depósito de combustibles del Reino Unido, el indicador automático de nivel de un tanque quedó trabado mostrando un valor constante mientras el tanque se llenaba, y el interruptor independiente de alto nivel no actuó: necesitaba un candado para mantener su palanca de prueba en posición de trabajo y nadie lo había colocado. El combustible rebalsó y la nube de vapor explotó. Ver el caso.
Texas City, 2005. Durante el arranque, el transmisor de nivel de la torre indicaba un nivel descendente mientras el real subía, y la alarma de alto nivel no se activó. Había reportes previos de fallas de esos instrumentos. Ver el caso.
Three Mile Island, 1979. La indicación de la válvula de alivio del presurizador mostraba la orden enviada al solenoide y no la posición real de la válvula, que había quedado abierta. Es el caso de referencia sobre medir el estado real y no el comando. Ver el caso.
Buenas prácticas
- Tratar cada protección como una función oculta con su prueba completa, desde el sensor hasta el elemento final.
- Registrar siempre como se encontró y como se dejó; ajustar intervalos de calibración con ese historial.
- Configurar NE 43 y NE 107 en el sistema de control y usar los diagnósticos.
- Comparar transmisores redundantes con alarma por desvío.
- Revisar el dimensionamiento cuando una válvula falla por erosión o cavitación.
- Racionalizar alarmas y medir su tasa por operador.
Errores comunes
- «Probado OK» sin datos: una prueba sin valores encontrados no permite saber si el instrumento estaba fallado.
- Probar el transmisor y no la función.
- Calibrar todo con el mismo intervalo sin mirar la deriva real.
- Anulaciones de protecciones sin control de duración ni autorización.
- Ignorar las fallas de causa común en arquitecturas redundantes.
- Configurar alarmas sin acción definida, que entrenan al operador a ignorarlas.
Referencias
- IEC 61511-1:2016+A1:2017. Functional safety — Safety instrumented systems for the process industry sector.
- IEC 61508:2010. Functional safety of electrical/electronic/programmable electronic safety-related systems.
- NAMUR NE 43. Standardization of the signal level for the failure information of digital transmitters.
- NAMUR NE 107. Self-monitoring and diagnosis of field devices.
- JCGM 100:2008. Evaluation of measurement data — Guide to the expression of uncertainty in measurement.
- ANSI/ISA-18.2-2016. Management of Alarm Systems for the Process Industries.
- IEC 60534-2-1:2011. Industrial-process control valves — Sizing equations for fluid flow.
- ISO/TR 12489:2013. Reliability modelling and calculation of safety systems.
- Major Incident Investigation Board (2008). The Buncefield Incident 11 December 2005: The final report of the Major Incident Investigation Board.