Las plantas de proceso modernas exigen una seguridad sólida y una alta disponibilidad de sus plataformas de control. Los integradores de sistemas deben evaluar con extrema precisión las arquitecturas de los sistemas de control distribuido (DCS) y de parada de emergencia (ESD).

Esta evaluación técnica exhaustiva detalla las especificaciones fundamentales de ingeniería, los modelos de redundancia de hardware, los requisitos de las envolventes y los parámetros de software para aplicaciones industriales críticas.

Requisitos clave de arquitectura del sistema para DCS y ESD

Una arquitectura fiable para una planta de proceso requiere hardware funcional dedicado para el control regulatorio y las funciones de seguridad. Las soluciones de control híbridas suelen comprometer la integridad operativa a largo plazo. Por lo tanto, los ingenieros deben especificar entornos independientes de hardware y software, diseñados específicamente para los sistemas DCS y ESD.

La arquitectura DCS debe utilizar una topología basada en nodos en lugar de una configuración vulnerable centrada en servidores, para evitar puntos únicos de fallo. Por el contrario, el sistema ESD debe funcionar de forma independiente con una clasificación certificada mínima de SIL-3.

Además, ambos sistemas requieren redundancia a nivel de hardware en los controladores, las fuentes de alimentación y las redes de comunicación. Aunque la redundancia de E/S sigue siendo opcional para los lazos DCS generales, los sistemas ESD requieren estrictamente canales de E/S redundantes.

Rendimiento, memoria y protección ambiental del controlador

La transferencia de alta velocidad y sin interrupciones entre los procesadores activo y en espera garantiza un control ininterrumpido durante el mantenimiento rutinario o ante fallos de hardware. El controlador principal sincroniza continuamente los datos con la unidad en espera activa y ejecuta las transiciones de conmutación por error en un plazo de 100 ms.

Asimismo, los procesadores requieren una capacidad de memoria mínima de 64 MB para gestionar lógicas de control complejas. Para soportar entornos industriales exigentes, el hardware del proveedor debe incluir un recubrimiento conformado anticorrosivo G3 que cumpla la norma ANSI/ISA S71.04-1985.

Rutinas de diagnóstico exhaustivas supervisan continuamente los canales de campo, los módulos del sistema y las unidades de alimentación. Además, el diseño debe proteger las operaciones de seguridad frente a caídas de tensión, transitorios de alimentación, corrupción de memoria y fallos de línea.

Configuraciones de módulos de E/S de hardware y normas de puesta a tierra

Una distribución adecuada de los módulos de entrada y salida evita la sobrecarga de canales y simplifica la resolución de problemas en campo. Los módulos de entrada y salida analógicas (AI/AO) no deben admitir más de 16 canales por tarjeta.

Del mismo modo, los módulos de entrada y salida digitales (DI/DO) deben limitar la capacidad a 64 canales y combinarse con placas de terminación de 32 canales.

Para mantener la capacidad de respuesta dinámica del proceso, el tiempo de exploración del procesador del DCS debe mantenerse dentro de 100 ms, incluido todo el sobrecoste de diagnóstico. Para la lógica ESD, los tiempos de exploración no deben superar los 100 ms para unidades de redundancia modular triple (TMR) ni los 250 ms para sistemas de redundancia modular cuádruple (QMR).

Los ingenieros también deben establecer tres redes de puesta a tierra aisladas y diferenciadas: tierra aislada del sistema, tierra aislada de la pantalla del cable y tierra del cuerpo del gabinete del panel.

Límites de carga del procesador, diagnósticos y redes industriales

Los diseñadores del sistema deben mantener la carga máxima de la CPU por debajo del 60 % durante las operaciones máximas de la planta. Los integradores del sistema deben presentar cálculos detallados de la carga de la CPU durante la ingeniería de detalle final.

Un temporizador de vigilancia de hardware supervisa continuamente el estado del procesador y activa señales de alarma inmediatas al detectar fallos de la CPU, la memoria o la alimentación.

La memoria no volátil protege el código crítico de la aplicación. Si se utiliza RAM volátil, una batería de respaldo dedicada debe garantizar la conservación de los datos durante al menos 30 días. El sistema debe emitir una alerta de batería baja al menos una semana antes de la descarga completa.

Para las comunicaciones de la planta, los gabinetes del sistema deben incorporar switches Ethernet industriales gestionables equipados con al menos dos puertos de fibra óptica (FO).

Diseño de paneles, envolventes y especificaciones de gabinetes

Los ingenieros deben alojar el hardware de control en gabinetes industriales independientes de fabricantes reconocidos como Rittal, Eldon o Hoffman. Los paneles requieren puertas dobles tanto en la parte frontal como en la trasera, con acceso para la entrada de cables por la parte inferior.

Los gabinetes del sistema deben mostrar de forma destacada las Unidades de Interfaz de Nodo (NIU) en la parte frontal, manteniendo al mismo tiempo una separación física estricta entre las líneas de alimentación y el cableado de señales de baja tensión. Todas las salidas digitales requieren relés intermedios para el aislamiento.

Software de ingeniería, diagnósticos y márgenes de expansión

El conjunto de software de la plataforma de control se precarga en estaciones de trabajo de ingeniería específicas y cuenta con el respaldo de medios físicos de instalación. El entorno de programación debe admitir los lenguajes estándar de lógica de escalera y diagrama de bloques de funciones (FBD) tanto para la configuración del DCS como del ESD.

Los ingenieros necesitan poder modificar la lógica de la aplicación en línea sin interrumpir las operaciones activas del proceso. El software del sistema debe mantener un registro de auditoría inalterable que rastree cada cambio de configuración, el ID de usuario y la marca de tiempo.

Por último, los proyectos requieren un servidor OPC integrado, herramientas de transferencia HART, software de gestión de activos (AMS), una interfaz de servidor web y sincronización del reloj mediante GPS. El suministro del hardware físico debe incluir un 20 % de módulos de E/S de repuesto completamente cableados e instalados.

Escenario de aplicación: Modernización de la seguridad de la compresión de gas en alta mar

Una instalación de producción de gas en alta mar necesitaba modernizar su sistema de seguridad para sustituir un sistema antiguo de parada de emergencia basado en relés y un lazo de DCS heredado.

El desafío: La instalación sufría disparos intempestivos frecuentes causados por ruido eléctrico en los lazos de campo analógicos. Además, la plataforma existente carecía de una separación adecuada de hardware entre los lazos de control y los enclavamientos de seguridad, lo que exponía la planta a riesgos operativos.

La solución: Los ingenieros implementaron un DCS redundante basado en nodos, combinado con un sistema ESD TMR SIL-3 completamente independiente. Instalaron tarjetas con recubrimiento G3 dentro de envolventes Rittal con clasificación IP52 e implementaron redes aisladas de puesta a tierra de señales en los bastidores de módulos.

El resultado: La nueva plataforma de arquitectura dual eliminó los disparos intempestivos, logró un tiempo de conmutación por fallo del control inferior a 80 ms y mantuvo la carga de la CPU por debajo del 42 %. Ahora, los técnicos de la planta ejecutan actualizaciones de la lógica en línea de forma segura mediante herramientas completas de registro de auditoría.

Acerca del autor

Liu Kang es especialista sénior en automatización industrial, con 15 años de experiencia técnica en el diseño, la puesta en servicio y la evaluación de plataformas de instrumentación de DCS, ESD, PLC y supervisión de turbinas (TSI). Está especializado en arquitecturas de control de alta disponibilidad, diseños de seguridad funcional con clasificación SIL y comunicaciones mediante bus de campo para industrias de procesos pesados en Asia y Oriente Medio.