Mejores prácticas de diseño de HMI para silos de acero: lo que realmente funciona en planta

Un HMI bien diseñado para un sistema de silos de acero reduce el tiempo de respuesta del operador en un 40–60% durante condiciones de proceso anormales y acorta la puesta en marcha y depuración en al menos dos semanas. La diferencia entre una interfaz útil y un factor de riesgo se reduce a tres elementos: adaptar la distribución de las pantallas a la forma real en que piensan los operadores, filtrar las alarmas para que las críticas sean visibles y mostrar el inventario como masa — no solo como nivel. A continuación, compartimos lo que hemos aprendido desarrollando sistemas HMI para plantas de silos en más de 30 países.

Distribución de pantallas y arquitectura de navegación

El modelo mental del operador frente al modelo mental del ingeniero

Los ingenieros diseñan los HMI en torno a las etiquetas de equipo. Los operadores piensan en flujos de proceso. Esa desconexión es la causa principal de la mayoría de los fallos de HMI que he observado.

En un terminal de cemento en Colombia, el HMI original organizaba las pantallas por tipo de equipo: todos los transportadores en una página, todos los ventiladores en otra, todas las válvulas en una tercera. Los operadores no podían trazar una ruta de material sin saltar entre cuatro pantallas. Lo reestructuramos por línea de proceso: "Recepción," "Almacenamiento," "Despacho." Cada pantalla mostraba todos los activos de ese flujo, codificados por color según su estado. El tiempo de capacitación se redujo de tres días a cuatro horas.

La regla es sencilla: organice según lo que el operador necesita lograr, no según cómo se denomina el equipo en el P&ID.

Diagramas miméticos que realmente aportan

Un diagrama mimético debería responder tres preguntas en menos de dos segundos: por dónde circula el material, qué está en funcionamiento y si hay alguna alarma activa. Si su diagrama requiere una leyenda para interpretarlo, ya ha fracasado.

Utilizamos un máximo de cinco colores de estado. En marcha = verde. Detenido = gris. Alarma = rojo. Bloqueo por mantenimiento = azul. Pérdida de comunicación = amarillo intermitente. Nada más. He visto HMI con 14 colores, la mitad indistinguibles en una pantalla de 15 pulgadas bajo luz solar directa. Los operadores dejan de consultarlos.

Para los elementos específicos del silo en el diagrama mimético, muestre el silo como un cilindro vertical con un indicador de nivel de llenado en el lado izquierdo. Añada una lectura numérica de la masa actual en toneladas. Incluya el estado de las válvulas de entrada y salida en la parte superior e inferior. Si hay un sistema de aireación, muestre la presión de aire y el estado de cada zona de almohadilla de aireación. Limítese a un silo por pantalla de detalle — no amontone seis silos en una sola vista general y espere que alguien pueda leer los valores.

Profundidad de navegación — tres clics como máximo

ISA-101 define una jerarquía de navegación, pero el límite práctico es tres clics desde la pantalla de resumen hasta cualquier pantalla de detalle. Resumen → Área de Proceso → Detalle de Equipo. Eso es todo.

Si un operador necesita verificar la tasa de descarga de una válvula rotativa bajo el silo n.º 3, la ruta debería ser: Resumen de Planta → Área de Despacho → Detalle del Silo 3. No: Resumen de Planta → Almacenamiento → Parque de Silos → Silo 3 → Equipo de Descarga → Válvula Rotativa → Parámetros.

Utilizamos una barra de navegación persistente en la parte superior de cada pantalla con rutas de navegación (breadcrumbs). La barra muestra el conteo actual de alarmas, la prioridad más alta de alarma activa y un enlace directo al resumen de alarmas. Los operadores en una situación de estrés no buscan botones.

Gestión de Alarmas para Sistemas de Silos

El Problema de la Inundación de Alarmas que Nadie Resuelve

Durante un evento de sobrellenado de un silo, es posible que se generen entre 40 y 60 alarmas en 90 segundos. Nivel alto, nivel alto-alto, alimentador en funcionamiento, transportador en funcionamiento, diferencial alto del colector de polvo, activación del dispositivo de alivio de presión, falla del activador de tolva — todos en cascada a partir de una única causa raíz. Si cada una de esas alarmas aparece en el banner de alarmas con igual prioridad, el operador ve ruido, no información.

Implementamos el shelving y la supresión de alarmas mediante lógica de causa y efecto. Cuando se activa la alarma de nivel alto-alto en un silo, el sistema suprime automáticamente la alarma consecuente de "alimentador en funcionamiento con silo lleno" y la alarma de "transportador con carga". Esas son consecuencias, no fallos independientes. El operador ve únicamente la causa raíz y las alarmas críticas para la seguridad.

Objetivo: no más de 10 alarmas por operador por hora durante operación en régimen estable. Durante una perturbación del proceso, no más de 5 alarmas nuevas en los primeros 30 segundos. Si se supera cualquiera de estos valores, es necesario revisar la racionalización de alarmas.

Priorización que Refleja el Riesgo Real

Utilizamos tres niveles de prioridad, no cinco. Crítica (acción inmediata requerida — riesgo para la seguridad o daño al equipo), Urgente (acción requerida en un plazo de 15 minutos — desviación del proceso), Informativa (sin acción inmediata — carácter informativo). Eso es todo.

Para sistemas de silos, las alarmas críticas incluyen: nivel alto-alto (riesgo de sobrellenado), activación del dispositivo de alivio de presión, supresión de explosión del colector de polvo activada, vibración estructural por encima del umbral. Las alarmas urgentes incluyen: nivel alto, presión de aeración baja, desviación de velocidad del alimentador, deslizamiento del transportador detectado. Las alarmas informativas incluyen: recordatorios de mantenimiento pendiente, calibración vencida, indicadores de reemplazo de filtros.

Aquí es donde la mayoría de los diseños fallan: lo convierten todo en urgente porque nadie quiere ser culpable por subpriorizar. El resultado es la fatiga de alarmas. Los operadores empiezan a ignorar el banner por completo. He visto plantas donde la bocina de alarma estaba desconectada porque "sonaba con demasiada frecuencia". Ese no es un problema del operador. Ese es un problema de diseño.

Alarmas con oscilación (chattering) y ajustes de zona muerta (deadband)

Las alarmas basadas en nivel en silos son conocidas por su tendencia a oscilar. La superficie del material nunca es plana: es cónica durante el llenado, forma cráter durante la descarga y rebota durante la aeración. Una alarma de nivel alto configurada al 85% con una zona muerta del 1% oscilará cada vez que un silo de 3.000 toneladas reciba una carga de camión de 50 toneladas.

Configuramos las zonas muertas como un porcentaje del rango medido, no como un valor fijo. Para alarmas de nivel: zona muerta del 3–5%. Para alarmas de presión: zona muerta del 5–8%. Para alarmas de temperatura: zona muerta mínima de 2°C. Y aplicamos un tiempo mínimo de re-alarma de 60 segundos: si la misma condición de alarma se reactiva dentro de los 60 segundos, no se reanuncia. Permanece en el banner, pero no vuelve a parpadear ni a sonar.

En una planta de cenizas volantes en India, contabilizamos 1.200 alarmas con oscilación en un solo turno de 8 horas antes de implementar los ajustes de zona muerta y tiempo de re-alarma. Después: 47 alarmas legítimas. Mismo proceso, mismo equipo. Simplemente una mejor configuración de alarmas.

Visualización de nivel y gestión de inventario

Medición continua vs. medición puntual — Mostrando lo que importa

La medición continua de nivel (radar, radar de onda guiada o escáneres de nivel 3D) debe ubicarse en la pantalla principal de detalle del silo. Los interruptores de nivel puntual (paleta rotativa, capacitancia, horquilla vibratoria) deben ubicarse en la pantalla de configuración de alarmas y en la lógica de enclavamiento de seguridad — no en la pantalla principal del operador.

El operador necesita ver: el nivel actual como porcentaje, la masa actual en toneladas y la tasa de cambio de nivel (toneladas por hora). Este último dato es crítico. Un silo al 70% que se está llenando a 200 t/h tiene una urgencia muy diferente a un silo al 70% que se está llenando a 5 t/h. Muestre la tasa. Siempre.

Para la estimación de masa, utilizamos la tabla de geometría del silo almacenada en el PLC — el área de la sección transversal en cada incremento de altura de 0.5 metros, multiplicada por la densidad aparente ingresada por el operador. La densidad aparente varía. El cemento a 1.1 t/m³ no es lo mismo que el cemento crudo a 1.5 t/m³. El HMI debe permitir al operador ajustar la densidad aparente por tipo de material, y debe mostrar la densidad asumida junto con el cálculo de masa. De lo contrario, el número es una conjetura disfrazada de precisión.

Estimación de Masa vs. Indicación de Volumen

Algunos clientes insisten en mostrar el volumen en metros cúbicos. Entiendo por qué — es lo que el instrumento de nivel mide directamente. Pero los operadores no piensan en metros cúbicos. Piensan en cargas de camión, en días de suministro, en toneladas restantes.

Mostramos ambos, pero la masa es la indicación principal. El volumen es secundario, mostrado en texto más pequeño. Y agregamos un cálculo de "días de suministro" basado en la tasa de consumo actual. Si el silo tiene 800 toneladas de clínker y el horno está consumiendo 35 t/h, la pantalla muestra "91 horas restantes". Ese es el número que evita paradas de planta.

En una planta de molienda de escoria en Vietnam, el operador estaba observando el porcentaje de nivel y no se dio cuenta de que el silo estaba casi vacío porque la densidad aparente había cambiado después de un evento de humedad. La indicación de masa lo habría detectado de inmediato. La agregamos durante una parada de fin de semana. En el siguiente incidente cercano, el operador vio la masa descendiendo y desvió al silo de respaldo con seis horas de margen.

Compensación por Geometría del Silo

No todos los silos son cilindros. Fondos cónicos, secciones de tolva, descargas excéntricas — la geometría es relevante para la precisión del cálculo de masa. Almacenamos el perfil geométrico completo en el PLC y utilizamos interpolación lineal entre los puntos de medición.

Para un silo de cemento de 5,000 toneladas con un fondo cónico de 60°, los 4 metros inferiores del silo representan solo el 12% del volumen total pero el 22% del rango de medición de nivel. Si utiliza una aproximación cilíndrica simple, su error de masa en el tercio inferior es del 8–15%. Ese es el rango donde el riesgo de sobrelleno es mayor. Acierte ahí.

También tenemos en cuenta el ángulo de reposo durante el llenado. Un silo que se llena desde la parte superior a través de una entrada central presentará un montículo cónico — el pico es más alto que el promedio. Un escáner de nivel 3D puede medir el perfil de la superficie y calcular el volumen real. Si está utilizando un radar de punto único, aplique un factor de corrección de 0.92–0.95 para el nivel mostrado durante las operaciones de llenado. No es perfecto, pero es conservador.

Flujo de Material y Control de Descarga

Visualización del Sistema de Aireación

Los sistemas de aireación en silos de cemento y ceniza volante son la fuente más común de confusión para el operador. Múltiples zonas de placa, temporización secuencial, puntos de ajuste de presión — si el HMI no muestra lo que realmente está sucediendo, los operadores ejecutan todo de forma manual y el sistema se convierte en una decoración muy costosa.

Mostramos cada zona de aireación como un segmento en el gráfico inferior del silo. Las zonas activas son verdes. Las zonas inactivas son grises. La presión de aireación actual se muestra numéricamente, y el punto de ajuste se muestra como una línea de referencia en una pequeña gráfica de tendencia. El temporizador de secuencia — si lo hay — muestra el paso actual y el tiempo restante en ese paso.

Crítico: mostrar el caudal de aire, no solo la presión. Una zona puede mostrar una presión de 0.3 bar y caudal cero si la placa está obstruida. El operador necesita ver ambos. Utilizamos una medición de presión diferencial a través de la placa de aireación para inferir el caudal. Si la DP cae por debajo de 50 mbar mientras la zona está activa, activamos una alarma de aviso de "obstrucción de placa".

Indicación de Caudal y Totalización

Para sistemas de descarga gravimétricos (caudalímetros Coriolis o básculas de cinta), el HMI debe mostrar el caudal instantáneo, la masa totalizada del lote actual y el tamaño objetivo del lote. Para sistemas volumétricos (válvulas rotativas, alimentadores de tornillo), muestre el caudal calculado basado en la velocidad y un factor de calibración — y muestre de forma destacada la fecha de calibración.

Agregamos una métrica de "eficiencia de descarga": masa real descargada dividida por la capacidad teórica en el mismo período de tiempo. Si una válvula rotaria con capacidad nominal de 150 t/h está promediando 110 t/h, la eficiencia es del 73%. Ese número le indica al operador que algo está fallado — rotor desgazado, formación de bóveda aguas arriba o fuga de aire — antes de que se convierta en una crisis.

En un proyecto de silo de carbón en Indonesia, la pantalla de eficiencia de descarga detectó un problema de desgaste del rotor tres semanas antes de que hubiera provocado una ralentización de la planta. La eficiencia había descendido del 88 % al 71 % en un período de 10 días. El equipo de mantenimiento reemplazó el rotor durante una parada programada. Costo: $2,400. Reemplazo no programado durante la producción: $18,000 en pérdida de producción más el rotor.

Estado del Activador de Tolva y del Alimentador

Los activadores de tolva son dispositivos binarios — están encendidos o apagados —, pero la HMI debe mostrar la amplitud de vibración si el sensor está disponible. Una amplitud inferior al 60 % del valor nominal indica un problema mecánico: tornillos de montaje sueltos, resortes desgastados o acumulación de material en la pared del silo.

Para los alimentadores de banda y los alimentadores de placas, se deben mostrar la velocidad de la banda, la corriente del motor y el estado de la detección de deslizamiento de banda. El deslizamiento de banda en un alimentador de descarga de silo representa un riesgo de incendio con materiales combustibles como el carbón o la harina cruda. La alarma debe ser de prioridad crítica, no urgente.

También mostramos la marca de tiempo y la duración de la "última descarga". Si un silo no ha descargado en 72 horas y el material es sensible al tiempo (como clinker caliente o ceniza volante húmeda), la HMI muestra un aviso de "envejecimiento del material". Es un simple temporizador, pero evita muchos problemas.

Enclavamientos de Seguridad y Procedimientos de Emergencia

Pantalla de Protección contra Sobrellenado

El enclavamiento de nivel alto-alto es la función de seguridad más importante en cualquier sistema de silos. La HMI debe mostrar: el nivel actual, el punto de ajuste del enclavamiento, el estado del enclavamiento (armado o puenteado) y el estado de la salida (transportador de entrada detenido o no).

Si el enclavamiento está puenteado — por cualquier motivo —, la HMI debe mostrar un banner persistente e imposible de pasar por alto. Fondo rojo, texto blanco, sin necesidad de confirmación. Utilizamos un banner de ancho completo en la parte superior de cada pantalla que indica "ENCLAVAMIENTO DE NIVEL ALTO-ALTO DEL SILO 3 PUNTEADO" y permanece allí hasta que se elimina el puenteo. Sin desplazamiento, sin tiempo de espera, sin ocultarse detrás de un menú.

La norma EN 14491 exige que los enclavamientos críticos para la seguridad se prueben a intervalos definidos. Añadimos un campo de "fecha de última prueba" a la pantalla del enclavamiento. Si la prueba está vencida por más de 30 días, la HMI genera una alarma de aviso. No es un requisito legal en la mayoría de las jurisdicciones, pero es una buena práctica y protege a todos cuando el inspector se presenta.

Indicadores de Riesgo de Explosión de Polvo

Para materiales combustibles — carbón, cenizas volantes, alúmina, ciertos polvos químicos — el HMI debe mostrar los parámetros de riesgo de explosión de polvo. Concentración de polvo en el espacio de cabeza (si se mide), concentración de CO (para silos de carbón) y nivel de oxígeno (si se han instalado sistemas de gas inerte).

ISO 15012 y EN 14491 definen el marco para la prevención de explosiones de polvo. El HMI no necesita implementar la lógica de seguridad — eso es tarea del PLC — pero necesita mostrar al operador lo que el sistema de seguridad está detectando. Si los niveles de CO están aumentando en un silo de carbón, el operador necesita ver la tendencia, no solo la alarma. Una tendencia que pasa de 20 ppm a 80 ppm en 4 horas cuenta una historia muy distinta que una tendencia que salta de 20 ppm a 80 ppm en 10 minutos.

Mostramos las tendencias de CO en una ventana deslizante de 24 horas con umbrales de alarma en 50 ppm (informativo) y 100 ppm (crítico). Para la monitorización de oxígeno en silos inertizados, el display muestra el porcentaje actual de O₂ con una alarma crítica al 8% — el umbral típico por debajo del cual no se puede mantener la combustión.

Integración de Parada de Emergencia

Cada pantalla de detalle de silo tiene un botón de parada de emergencia. Es grande, rojo y está ubicado en el mismo lugar en cada pantalla — esquina inferior derecha, mínimo 48×48 píxeles. La memoria muscular importa cuando alguien está gritando y el polvo es visible.

La parada de emergencia debe activar una secuencia de apagado predefinida, no simplemente cortar la energía. El transportador de entrada se detiene, el alimentador de descarga se detiene, la aeración se detiene, el colector de polvo continúa funcionando durante 5 minutos para evacuar el polvo en suspensión. El HMI debe mostrar la secuencia de apagado paso a paso mientras se ejecuta, para que el operador sepa qué está ocurriendo y qué viene a continuación.

Después de una parada de emergencia, el HMI debe exigir un reinicio manual antes de que cualquier equipo pueda ponerse en marcha. La pantalla de reinicio muestra una lista de verificación: "Verificar nivel del silo por debajo del 80%. Verificar que no haya personal dentro del silo. Verificar que la causa de la parada de emergencia haya sido resuelta. Confirmar reinicio." Las tres casillas deben estar marcadas antes de que el botón de reinicio se active. Sin atajos.

Registro de Datos, Tendencias e Informes

Qué Registrar y con Qué Frecuencia

Registrar todo lo que afecta la precisión del inventario o la seguridad. Nivel: cada 10 segundos durante el llenado o la descarga, cada 60 segundos en estado estable. Masa: mismo intervalo que el nivel. Presión de aeración: cada 5 segundos. Caudal de descarga: cada 5 segundos. Eventos de alarma: cada ocurrencia con marca de tiempo al milisegundo.

No registre todo a la misma frecuencia. Un silo de 3.000 toneladas con registro cada 1 segundo en 50 etiquetas genera 4,3 millones de puntos de datos al día. Eso resulta costoso de almacenar y lento de recuperar. Utilice el registro orientado a eventos para datos en estado estable y el registro orientado a tiempo para operaciones dinámicas.

Configuramos el historizador para comprimir los datos mediante un algoritmo de puerta oscilante con una banda muerta del 0,5% para el nivel y del 1% para la presión. Esto reduce típicamente los requisitos de almacenamiento entre un 60% y un 70% sin perder información significativa.

Tendencias de visualización que los operadores realmente utilizan

Los operadores no utilizan las tendencias de visualización para contemplar datos. Las utilizan para responder a preguntas concretas: "¿Por qué el nivel descendió 2 metros entre la medianoche y las 6 de la mañana?" "¿Es estable la presión de aireación o está derivando?" "¿Cuándo funcionó por última vez el alimentador?"

Preconfiguramos cuatro tendencias estándar en cada pantalla de detalle de silo: nivel (24 horas), masa (24 horas), presión de aireación (4 horas) y caudal de descarga (4 horas). Los operadores pueden acercar y desplazar, pero la vista predeterminada responde a las preguntas más comunes sin necesidad de interacción.

Para la tendencia de nivel, superponemos los puntos de ajuste de alarma como líneas horizontales. Para la tendencia de masa, superponemos el rango objetivo de inventario. Para la tendencia de presión de aireación, superponemos el punto de ajuste y los límites de la banda muerta. El contexto importa. Una tendencia sin líneas de referencia es solo un garabato.

Informes de conciliación de inventario

Todo gerente de planta quiere saber: ¿el inventario contable coincide con el inventario físico? El HMI debe generar un informe diario de conciliación que muestre: existencia inicial, total recibido, total despachado, existencia final calculada y la variación entre la existencia final calculada y la medida.

Para un sistema bien calibrado, la variación debe ser inferior al 2%. Si es consistentemente superior al 5%, algo no funciona correctamente — desviación en la medición de nivel, error en la suposición de densidad aparente o movimiento de material no registrado. El informe marca cualquier día en que la variación supere el 3% y cualquier semana en que la variación acumulada supere el 2%.

En un terminal de cemento en los EAU, el informe de conciliación detectó una variación del 4,7% que resultó ser una compuerta desviadora con fuga. El material se estaba desviando al silo incorrecto durante el despacho. La fuga estaba perdiendo 15 toneladas al día hacia un silo que no estaba siendo monitorizado. El informe se amortizó en la primera semana.

Caso de estudio: Rediseño del HMI en terminal de ceniza volante

Una terminal de ceniza volante en el centro de China — cuatro silos de 2.000 toneladas, dos líneas de recepción por ferrocarril, tres estaciones de carga para camiones — experimentaba un promedio de 12 paradas no planificadas por mes. La causa raíz no era una falla de equipos. Era confusión por parte de los operadores.

El HMI original tenía 47 pantallas, sin estructura de navegación consistente y un promedio de 180 alarmas por turno. Los operadores pasaban más tiempo confirmando alarmas que supervisando el proceso. Durante una operación de carga de camiones, el operador tenía que navegar por cinco pantallas para iniciar la secuencia, y el progreso de la carga se mostraba en una sexta pantalla que nadie recordaba verificar.

Rediseñamos el HMI desde cero. Reducimos las pantallas a 12. Implementamos una lógica de supresión de alarmas que redujo la tasa de alarmas a 22 por turno. Creamos una única pantalla de "Carga de camiones" que mostraba toda la secuencia — selección de silo, tasa de carga, peso totalizado y posición del camión — en una sola página. Agregamos un cálculo de "días de suministro" para cada silo basado en la tasa de despacho actual.

Resultado: las paradas no planificadas disminuyeron de 12 por mes a 2. El tiempo de carga de camiones se redujo en un 18 % porque los operadores ya no navegaban por menús. El gerente de planta nos dijo que el HMI se amortizó en el primer mes. Costo total del proyecto: 34.000 USD, incluyendo modificaciones de lógica del PLC, desarrollo del HMI y puesta en marcha en sitio. Los ingresos mensuales de la planta son de 1,2 millones de USD. Una reducción del 10 % en el tiempo de inactividad vale más que el costo del proyecto cada mes.

Preguntas frecuentes

¿Cuál es el tamaño de pantalla recomendado para un panel HMI de silo?

Para un panel de control dedicado de silos, 15 pulgadas es el mínimo. 19 pulgadas es mejor. Para una sala de control central donde el HMI del silo comparte espacio con otras áreas de la planta, 24 pulgadas. Hemos utilizado paneles de 12 pulgadas en instalaciones pequeñas y funcionan, pero los operadores terminan haciendo más desplazamiento del que deberían. El espacio en pantalla es barato en comparación con el tiempo del operador.

¿Debe el HMI comunicarse directamente con el PLC o a través de un servidor OPC?

A través de un servidor OPC UA, siempre. La comunicación directa con el PLC vincula el HMI a un proveedor específico de PLC y hace que las futuras actualizaciones resulten problemáticas. OPC UA le proporciona independencia de proveedor, seguridad integrada (cumplimiento de IEC 62443) y la capacidad de añadir clientes adicionales —como un historiador de planta o un panel de control móvil— sin modificar la configuración del HMI. La diferencia de rendimiento es insignificante para aplicaciones de silos. Las tasas de actualización de 500 ms–1 s son más que suficientes para el almacenamiento de materiales a granel.

¿Con qué frecuencia debe realizarse una copia de seguridad de la aplicación del HMI?

Después de cada cambio. No diariamente, no semanalmente — después de cada cambio individual. Controlamos la versión del archivo del proyecto del HMI y lo almacenamos en una unidad de red con copia de seguridad automática. Cada versión se etiqueta con la fecha, la descripción del cambio y el nombre del ingeniero. Si algo falla a las 2 a.m., necesita saber exactamente qué cambió y quién lo cambió. "El HMI funcionaba ayer" no es una estrategia de copia de seguridad.