Acciones e intervenciones del operador en sistemas de seguridad funcional
Las decisiones del operador siguen siendo un factor crítico en el desempeño de la seguridad funcional. Este artículo examina cómo las metodologías IEC 61511 y LOPA clasifican las acciones del opera...
El factor humano aún determina la seguridad de los procesos
Los sistemas de automatización siguen evolucionando en refinerías, centrales eléctricas, unidades químicas e instalaciones marinas. Sin embargo, los operadores experimentados siguen siendo una de las variables más influyentes en la seguridad de las plantas. Sus decisiones pueden detener la escalada antes de que reaccione la automatización o activar involuntariamente condiciones peligrosas del proceso.
La ingeniería de seguridad funcional moderna ya no considera la interacción humana una cuestión secundaria. Las normas internacionales ahora definen las acciones del operador como contribuciones medibles en la verificación SIL, los cálculos LOPA y la gestión del ciclo de vida de la seguridad.
Figura 1. Las relaciones de temporización de la seguridad determinan si la respuesta del operador puede evitar eficazmente la escalada.
Por qué son importantes las acciones del operador en las evaluaciones SIL
Los estudios de seguridad funcional distinguen entre las acciones del operador que crean condiciones peligrosas y las intervenciones que evitan la escalada. Esta distinción influye directamente en los cálculos de reducción de riesgos y en los objetivos SIL requeridos.
En términos prácticos, un operador de sala de control puede iniciar una desviación mediante una secuencia incorrecta de válvulas, la activación de un bypass o una respuesta tardía. Por el contrario, el mismo operador también puede actuar como barrera de protección al responder a alarmas o iniciar manualmente procedimientos de parada.
Estos escenarios parecen similares desde el punto de vista operativo, pero se tratan de manera muy diferente en las metodologías IEC 61511 y LOPA del CCPS.
Acción del operador frente a intervención del operador
La acción del operador suele ser intencional y estar definida por un procedimiento. Puede implicar poner en marcha equipos, confirmar permisos de operación o activar un comando de parada de emergencia. Una intervención suele producirse después de que se desarrolla una condición anormal.
Por ejemplo, presionar un pulsador ESD cableado forma parte de la propia función de seguridad. Responder a una alarma de alta temperatura antes de que se desarrollen condiciones de descontrol puede considerarse una capa de protección independiente.
El desafío de ingeniería consiste en determinar si existen tiempo, independencia y confiabilidad suficientes para la respuesta humana.
Cuando el error humano se convierte en el evento iniciador
La norma IEC 61511 define un evento iniciador como la desviación que lleva un proceso hacia una condición peligrosa. El error humano cumple con frecuencia esta definición.
Una válvula de derivación abierta incorrectamente, una anulación de mantenimiento inadecuada o la falta de restablecimiento de los enclavamientos después de las pruebas pueden generar demandas del proceso sobre los sistemas de protección.
En los estudios LOPA, estas acciones reciben una frecuencia de eventos iniciadores (IEF). La frecuencia asignada refleja la frecuencia con la que un error humano específico puede producirse de forma realista durante la operación de la planta.
La fiabilidad humana nunca es constante
El desempeño del operador cambia bajo estrés, fatiga, una gestión deficiente de las alarmas o condiciones de alta carga de trabajo. Debido a esta variabilidad, los estudios de seguridad aplican supuestos conservadores a la fiabilidad humana.
Los procedimientos sencillos y practicados pueden tener frecuencias iniciadoras bajas. Las intervenciones complejas durante condiciones operativas anormales reciben valores significativamente más altos.
Figura 2. Las acciones humanas influyen tanto en los eventos iniciadores como en las respuestas de protección dentro de los estudios de seguridad.
Las plantas que operan con sistemas de control distribuido antiguos suelen afrontar riesgos adicionales relacionados con factores humanos debido a la saturación de alarmas y a diseños incoherentes de las interfaces HMI. Muchas instalaciones que actualizan plataformas heredadas ahora integran modernos sistemas de control DCS para mejorar la priorización de alarmas y la visibilidad del operador.
¿Se puede reconocer a los operadores como capas de protección independientes?
La intervención manual puede considerarse una IPL únicamente bajo condiciones estrictas. La respuesta debe ser independiente de la causa iniciadora, producirse dentro del tiempo de seguridad del proceso disponible y seguir procedimientos operativos validados.
Normas como ISA TR84 y las directrices del CCPS suelen limitar el reconocimiento de crédito de IPL para la intervención manual, porque el desempeño humano es inherentemente inconsistente. En muchas instalaciones, el factor de reducción de riesgo máximo aceptado para la respuesta del operador sigue siendo 10.
El tiempo de seguridad del proceso define la viabilidad
El tiempo de seguridad del proceso disponible determina si la intervención del operador es realista. Si los operadores tienen varios minutos para reaccionar ante una desviación del proceso, la respuesta manual puede seguir siendo aceptable.
Si el proceso alcanza condiciones inseguras en cuestión de segundos, la automatización se vuelve obligatoria. Ningún programa de capacitación realista puede garantizar sistemáticamente una intervención manual exitosa durante intervalos de respuesta extremadamente breves.
Esta distinción explica por qué los sistemas de turbinas de alta velocidad, las aplicaciones de gestión de quemadores y la protección de compresores dependen cada vez más de plataformas de seguridad dedicadas, en lugar de depender únicamente de la intervención mediante procedimientos.
Acciones de parada manual dentro del límite de la SIF
Muchos ingenieros clasifican incorrectamente las acciones de parada manual como eventos iniciadores. En realidad, la activación deliberada de la parada de emergencia suele formar parte de la propia SIF.
La norma IEC 61511 establece claramente que, cuando una acción manual inicia una función de seguridad, todos los elementos de apoyo pertenecen al límite de la SIF. Esto incluye pulsadores, cableado, solucionadores lógicos, procedimientos operativos y requisitos de capacitación.
Consideremos un aumento de la presión del reactor detectado antes de alcanzar el umbral de disparo automático. Un operador puede reconocer una fuga anormal y activar manualmente la parada antes de que se produzca una escalada.
En esta situación, el operador no crea el peligro. La acción reduce activamente el riesgo y, por lo tanto, forma parte del diseño de la función de seguridad.
Figura 3. La capacidad de parada manual suele operar como parte de la función instrumentada de seguridad general.
Las instalaciones que utilizan controladores de seguridad integrados, como los sistemas de seguridad Triconex, suelen implementar rutas de parada dedicadas cableadas para reducir la dependencia de las capas de control de procesos estándar.
Conexión de las acciones humanas con los cálculos LOPA
El análisis LOPA convierte los escenarios operativos en relaciones numéricas de riesgo. Las frecuencias de error humano, el desempeño de las IPL y las frecuencias objetivo de los eventos determinan conjuntamente la integridad requerida de la SIF.
En los proyectos prácticos, los errores del operador suelen determinar la frecuencia con la que se produce una demanda de protección. Los sistemas de seguridad proporcionan entonces la reducción de riesgos necesaria para alcanzar frecuencias aceptables de eventos tolerables.
Figura 4. Las acciones humanas influyen en las tasas de demanda iniciadora y en los niveles de integridad de seguridad requeridos.
La realidad de la ingeniería en plantas operativas
Los estudios de seguridad en condiciones reales rara vez fallan únicamente por las matemáticas. Fallan cuando los supuestos sobre el desempeño de los operadores dejan de ser realistas.
A veces, los ingenieros sobreestiman la calidad de la respuesta a las alarmas sin tener en cuenta la carga de trabajo, los eventos simultáneos o los retrasos en la comunicación durante condiciones perturbadas. Una IPL teóricamente válida puede fallar en la práctica si el entorno de la sala de control se sobrecarga.
Esta cuestión se ha vuelto más visible a medida que las plantas buscan mayores ritmos de producción con modelos de dotación de personal más ajustados.
La seguridad funcional está cada vez más centrada en las personas
La próxima fase del desarrollo de la seguridad funcional se centrará en gran medida en la interacción persona-máquina, en lugar de hacerlo únicamente en el hardware. La racionalización de alarmas, el diseño ergonómico de HMI y el apoyo a la toma de decisiones de los operadores influyen ahora en el desempeño de la seguridad tanto como los sensores y los solucionadores lógicos.
Las arquitecturas SIS modernas ya integran diagnósticos predictivos, control del archivado de alarmas y sistemas de orientación para operadores. Sin embargo, los operadores experimentados siguen aportando un criterio que la automatización no puede reproducir plenamente durante condiciones de proceso inciertas.
La tendencia del sector es clara: la automatización gestiona la velocidad y la coherencia, mientras que los operadores aportan razonamiento adaptativo durante eventos anómalos.
Opinión del autor
Muchos estudios SIL siguen subestimando la complejidad del comportamiento humano durante condiciones operativas anómalas. Asignar supuestos optimistas sobre la respuesta de los operadores puede reducir inicialmente el coste del proyecto, pero introduce un riesgo operativo oculto.
Las instalaciones que buscan una mayor fiabilidad deberían reservar la intervención manual para escenarios de respuesta prolongada y operaciones de baja demanda. Los procesos de alto riesgo requieren acciones protectoras automáticas respaldadas por procedimientos operativos disciplinados, no dependientes de ellos.
Las estrategias de seguridad más sólidas combinan automatización, una filosofía operativa clara, una gestión realista de alarmas y el desarrollo continuo de las competencias de los operadores.
Oliver Grant | Analista sénior de seguridad funcional
Oliver Grant cuenta con más de 14 años de experiencia en ingeniería de seguridad de procesos, verificación SIL e integración de sistemas de parada. Su trayectoria incluye proyectos del ciclo de vida de la seguridad con plataformas de Honeywell, Yokogawa, Emerson DeltaV, HIMA y Rockwell Automation en instalaciones de refino, GNL y generación eléctrica.