Estrategia de Gestión de Alarmas en Silos de Acero: Lo que Realmente Funciona en Planta

Un sistema de alarmas bien diseñado previene el sobrellenado del silo, el colapso estructural y las explosiones de polvo. La estrategia que funciona es aquella que prioriza las alarmas según la gravedad de sus consecuencias, establece umbrales basados en el comportamiento real del material (no en valores genéricos predeterminados) y aplica protocolos de respuesta documentados con escalamiento temporizado. A continuación, explicamos cómo los diseñamos.

1. Por Qué Fallan la Mayoría de los Sistemas de Alarmas en Silos

He visitado plantas donde el panel de alarmas parecía un árbol de Navidad: más de 40 alarmas activas, la mayoría ignoradas. El operador había aprendido a silenciarlas. Eso no es un sistema. Eso es ruido.

El problema no son los sensores. Es la filosofía. La mayoría de las configuraciones de alarmas que heredo de otros proyectos comparten los mismos tres defectos:

1.1 Todo Es Prioridad 1

Cuando cada alarma es "crítica", nada lo es. Revisé un terminal de cemento en Indonesia donde la alarma de nivel alto, la falla del ventilador de techo y la "desalineación de la banda transportadora" activaban la misma bocina y la misma luz roja. El operador no podía distinguir cuál requería acción inmediata. Había aprendido a revisar la pantalla del SCADA después de silenciarlas, y para entonces un evento real de sobrellenado ya había comenzado.

La solución es la priorización basada en consecuencias. Una alarma de sobrellenado que podría enviar 50 toneladas de cemento a través de la ventilación del techo en 12 minutos no es lo mismo que una lectura de temperatura 2 °C por encima de lo normal en un silo de descarga lenta. No deberían compartir el mismo nivel de prioridad.

1.2 Umbral Copiados del Proyecto Anterior

Esto me vuelve loco. He visto silos de carbón con umbrales de alarma de nivel fijados en 85 % y 95 %, copiados de un diseño de silo de cemento. El carbón fluye de manera diferente. Forma puentes. Forma raberas. La densidad aparente varía entre un 15 % y un 20 % según la humedad y el tamaño de partícula. Un umbral que funciona para cemento a 1,2 t/m³ carece de sentido para carbón a 0,85 t/m³.

Cada umbral de alarma debe calcularse para el material específico, la geometría específica del silo y la tasa de llenado específica. No copiado. No estimado a ojo.

1.3 Sin Protocolo de Escalamiento

Se activa una alarma. El operador la confirma. ¿Y luego qué? Si el nivel sigue subiendo, ¿el sistema escala? ¿Activa un cierre automático de la alimentación? ¿Llama al supervisor de turno?

Sin una ruta de escalamiento documentada, la alarma es solo una sugerencia. Y las sugerencias se ignoran a las 3 a.m. cuando el turno nocturno funciona a base de café y costumbre.

2. Las Cuatro Categorías de Alarma Que Realmente Necesita

Después de 15 años y proyectos en más de 30 países, he definido cuatro categorías de alarma para sistemas de silos de acero. No seis. No doce. Cuatro. Cada una con una consecuencia clara, una metodología de umbral definida y una respuesta específica.

2.1 Alarmas de Nivel — Lo Innegociable

Las alarmas de nivel son su última línea de defensa contra el sobrellenado. No constituyen el control primario — esa función corresponde al sistema de pesaje o al radar de nivel continuo. Pero cuando estos fallan, la alarma de nivel puntual es lo que se interpone entre usted y un techo de silo cubierto con 200 toneladas de material.

Así es como las configuro:

• Nivel de advertencia (prealarma): 85 % de la capacidad utilizable. Genera una alerta en la sala de control. Sin acción automática. Esto proporciona al operador tiempo para ajustar la secuencia de llenado.
• Nivel alto (alarma): 92 % de la capacidad utilizable. Activa una alarma audible y un indicador visual en el punto de llenado. El operador debe confirmar la recepción en un plazo de 60 segundos.
• Nivel alto-alto (emergencia): 97 % de la capacidad utilizable. Desconecta automáticamente el transportador de alimentación o la línea de transporte neumático. No se permite anulación por parte del operador sin una confirmación de dos personas y un motivo registrado.

Observe el intervalo entre el 92 % y el 97 %. Es intencional. Proporciona al operador una ventana de respuesta antes de que el sistema tome el control. Pero no es tan amplio como para que un sistema de llenado rápido (por ejemplo, transporte neumático a 300 t/h) lo pueda sobrepasar. A 300 t/h, dispone de aproximadamente 4 minutos entre el 92 % y el 97 % en un silo de 3 000 toneladas. Es ajustado, pero viable.

Para el nivel alto-alto, siempre especifico un tipo de sensor redundante. Si el primario es de paleta rotativa, el respaldo es una sonda de capacitancia o un diapasón vibratorio. Principio de funcionamiento distinto, modos de fallo diferentes. Si el primario es un radar, el respaldo es un sensor de presión neumático en el techo. El punto es este: un fallo único del sensor nunca debe dejarlo sin información.

2.2 Alarmas de Presión y Vacío

Los silos de acero no son recipientes a presión. Son estructuras de pared delgada — típicamente con un espesor de coraza de 4 a 8 mm para un silo de cemento de 20 a 30 m de diámetro. Pueden soportar quizás ±50 mbar de presión interna antes de que comience a preocuparse por la deformación de la coraza. Una válvula de alivio de presión/vacío correctamente dimensionada (según EN 14491 para alivio de explosiones de polvo, o ASME para alivio de presión) maneja los casos extremos. Pero el sistema de alarma debe detectar los problemas graduales.

Configuro las alarmas de presión en los siguientes valores:

• +20 mbar de presión interna: Advertencia. Por lo general indica que el filtro de polvo en el techo se está obstruyendo. La presión diferencial del filtro de mangas debe monitorearse de forma independiente, pero esto sirve como verificación cruzada.
• +35 mbar: Alarma. Reducción automática de la tasa de llenado o cambio a un silo diferente. La válvula de alivio aún no se ha abierto, pero se está aproximando a su punto de ajuste (típicamente entre 50 y 80 mbar para un silo de cemento estándar).
• −15 mbar de vacío: Alarma. Esto ocurre durante una descarga rápida sin un suministro adecuado de aire de aireación. El colapso por vacío es menos frecuente que el sobrellenado, pero cuando ocurre, es catastrófico. He visto un silo de 15 m de diámetro pandearse hacia adentro porque la tasa de descarga superó el suministro de aire de aireación en un 40%.

El sensor de presión debe montarse en el techo, alejado del flujo directo del material, con una línea de purga para mantener el diafragma limpio. Especifico un sensor capacitivo de cerámica con un rango de ±100 mbar y una precisión de ±0,5 mbar. Los sensores piezoeléctricos presentan demasiada deriva ante las oscilaciones de temperatura que se producen en el techo de un silo — de −10 °C por la noche a +60 °C bajo el sol directo en algunos climas.

2.3 Alarmas de temperatura

El monitoreo de temperatura es importante para materiales que pueden autoinflamarse o degradarse. El carbón es el caso más evidente — el carbón bituminoso puede comenzar a oxidarse a 50-60 °C y alcanzar la combustión incontrolada a 80-100 °C si las condiciones son propicias. Pero el cemento también puede ser problemático si se almacena clinker caliente o si el silo está en un clima donde el calentamiento solar eleva las temperaturas internas por encima de los 70 °C y acelera la deshidratación del yeso.

Mi configuración estándar de alarmas de temperatura:

• Silos de carbón: Sensores RTD en tres niveles (tercio inferior, medio, tercio superior). Advertencia a 50 °C. Alarma a 65 °C. Emergencia a 80 °C — activa inertización con gas nitrógeno o inyección de CO₂ si el sistema está equipado.
• Silos de ceniza volante/cemento: Un solo sensor RTD cerca de la parte superior de la columna de material. Advertencia a 70 °C. Alarma a 85 °C. Esto se enfoca más en la detección de un bloqueo o una zona muestra donde el material ha permanecido estancado demasiado tiempo.
• Escoria y GBFS: Generalmente no son críticos en temperatura a menos que el material aún esté caliente procedente de la línea de procesamiento. En ese caso, establezco un umbral de enfriamiento — el silo no puede aceptar material nuevo hasta que el stock existente descienda por debajo de 60 °C.

Un detalle que importa: el sensor debe estar en un pozo termométrico que se extienda hacia el interior del material, no simplemente montado en la carcasa. La temperatura de la carcasa te dice el clima. La temperatura del material te dice el riesgo.

2.4 Alarmas de Detección de Gases

Para el carbón y algunos materiales de biomasa, el monitoreo de CO es esencial. El monóxido de carbono es el indicador temprano de combustión espontánea: aparece entre 24 y 72 horas antes de que la temperatura comience a elevarse de manera significativa.

Especifico sensores electroquímicos de CO con un rango de 0-500 ppm, montados en el techo del silo y en el punto de descarga. Umbrales de alarma:

• 30 ppm CO: Advertencia. Investigar. Verificar las tendencias de temperatura.
• 50 ppm CO: Alarma. Preparar para inertización. Restringir el acceso al área del silo.
• 100 ppm CO: Emergencia. Iniciar inertización con nitrógeno. Evacuar al personal no esencial de la zona del silo.

Los sensores necesitan calibración cada 6 meses. Las celdas electroquímicas se degraden. He visto plantas donde el sensor de CO no se había calibrado en dos años y estaba leyendo 15 ppm por debajo. Eso no es protección. Eso es una falsa sensación de seguridad.

3. Priorización y Racionalización de Alarmas

No puedes tener 200 alarmas en un sistema de silos. Bueno, puedes, pero las ignorarán los operadores. El estándar ISA-18.2 (Gestión de Alarmas) recomienda un máximo de 6 alarmas por hora por operador en condiciones normales, y no más de 10 por hora durante una perturbación. Para un parque típico de silos con 4 a 8 silos, eso significa que debes ser implacable sobre qué realmente genera una alarma.

3.1 La Matriz de Consecuencia-Severidad

Uso una simple matriz de 4×4. En un eje: la gravedad de la consecuencia (seguridad, medioambiental, daños al equipo, pérdida de producción). En el otro: el tiempo de respuesta (segundos, minutos, horas, días). Cada posible alarma se representa en esta matriz.

Esto es lo que resulta:

• Prioridad 1 (Emergencia): Nivel muy alto, CO >100 ppm, presión >+35 mbar. Se requiere acción automática inmediata. Tiempo de respuesta: segundos.
• Prioridad 2 (Urgente): Nivel alto, CO 50-100 ppm, alarma de temperatura. El operador debe responder en un plazo de 2 minutos. Tiempo de respuesta: minutos.
• Prioridad 3 (Informativa): Nivel de advertencia, presión diferencial del filtro alta, fallo del ventilador de aireación. El operador debe responder en un plazo de 15 minutos. Tiempo de respuesta: minutos a decenas de minutos.
• Prioridad 4 (Notificación): Antigüedad del material en el silo, rendimiento acumulado, recordatorios de mantenimiento. Registrados, sin acción inmediata. Tiempo de respuesta: horas a días.

Los elementos de Prioridad 4 no activan alarmas. Se muestran en una pantalla de tendencias o en un informe diario. Si está activando alarmas por recordatorios de mantenimiento, lo está haciendo mal.

3.2 Supresión y Suspensión de Alarmas

Existen momentos legítimos para suprimir alarmas. Durante el mantenimiento. Durante el arranque. Durante una falla conocida de un sensor. Pero la supresión debe estar controlada.

Especifico tres reglas:

1. Cualquier supresión de alarma debe registrarse con la identificación del operador, el motivo y la duración prevista. El sistema debe reactivar automáticamente la alarma una vez transcurrido el tiempo especificado.
2. Las alarmas de Prioridad 1 no pueden suprimirse sin un proceso formal de Gestión del Cambio (MOC) y una evaluación de riesgos firmada.
3. La pantalla de la sala de control debe mostrar un indicador claro de "ALARMAS SUPRIMIDAS" siempre que alguna alarma esté suspendida. No oculto en un submenú. Visible. Siempre.

Estuve en un sitio en Egipto donde la alarma de nivel alto de un silo de carbón de 5,000 toneladas había sido suprimida durante tres días porque el sensor de paleta rotatoria estaba "defectuoso". El sensor no estaba defectuoso; estaba atascado en la pared del silo debido a la acumulación de material. Nadie lo había revisado. Simplemente silenciaron la alarma. Dos días después, el silo se desbordó por la ventilación del techo. 80 toneladas de carbón en el suelo. La limpieza tardó una semana.

4. Implementación: Desde el Diseño hasta la Puesta en Marcha

4.1 el Documento de Filosofía de Alarmas

Antes de especificar un solo sensor, redacto un documento de filosofía de alarmas. Por lo general tiene entre 15 y 25 páginas. Cubre:

• Metodología de priorización de alarmas (la matriz anterior)
• Cálculo de umbrales para cada punto de alarma
• Procedimiento de respuesta para cada alarma (quién hace qué y en qué plazo)
• Ruta de escalamiento (operador → supervisor de turno → gerente de planta → servicios de emergencia)
• Reglas de supresión y aplazamiento
• Frecuencia de pruebas y criterios de aceptación

Este documento es revisado por el equipo de operaciones, el equipo de seguridad y el equipo de mantenimiento antes de que comience la construcción. No después. Aprendí esa lección por la vía difícil.

4.2 Selección de sensores y redundancia

Para las alarmas críticas (Prioridad 1 y 2), sigo el enfoque del ciclo de vida de seguridad de la norma IEC 61511, incluso cuando el silo no es formalmente un Sistema Instrumentado de Seguridad. El principio es el mismo: es necesario conocer la tasa de fallos y el intervalo de prueba de verificación.

Reglas prácticas de redundancia que utilizo:

• Nivel alto-alto: Dos sensores independientes, de tecnología diferente. Votación 1oo2 (uno de dos) para la parada de emergencia. Si cualquiera de los sensores se activa, se detiene la alimentación.
• Presión: Un sensor con una válvula de alivio de presión mecánica como capa de protección independiente. El sensor gestiona la alarma; la válvula de alivio proporciona la protección definitiva.
• Temperatura: Un RTD por punto de monitoreo, pero con un circuito de detección de sensor averiado. Si el RTD entra en circuito abierto o en cortocircuito, se activa una alarma de "fallo de sensor" — no una lectura de temperatura falsa.
• CO: Un sensor por ubicación, con un ciclo de calibración obligatorio de 6 meses. El calendario de calibración se registra en el CMMS (Computerized Maintenance Management System). La omisión de la calibración activa una alarma de advertencia.

4.3 Diseño de la HMI para la visibilidad de alarmas

La alarma tiene que ser vista y comprendida. He visto pantallas de HMI en las que el banner de alarmas era una línea de 12 píxeles de altura en la parte superior de la pantalla, con texto gris sobre fondo gris. Eso no es una decisión de diseño. Es un riesgo para la seguridad.

Mis requisitos para la visualización de alarmas en la HMI:

• Prioridad 1: Banner rojo parpadeante, de ancho completo, con un tamaño mínimo de fuente de 24 píxeles. Bocina audible (85 dB en la posición del operador). No puede silenciarse sin reconocer la alarma.
• Prioridad 2: Banner naranja fijo, timbre audible (70 dB). Se silencia automáticamente después de 10 segundos si se reconoce.
• Prioridad 3: Indicador amarillo en el resumen de alarmas. Sin alerta audible.
• Prioridad 4: Solo registrada. Disponible en el historial de alarmas y en el informe diario.

El resumen de alarmas debe mostrar: descripción de la alarma, ID de silo, prioridad, hora de activación, estado actual (activa/reconocida/despejada) y la respuesta requerida. Todo en una sola pantalla. Sin necesidad de navegar por menús.

5. Caso de estudio: Parque de silos de carbón de 6.000 toneladas — Mongolia Interior

6. Mantenimiento y pruebas de verificación

Un sistema de alarma que no se prueba es un sistema de alarma que no funciona. Así de simple.

6.1 Intervalos de prueba de verificación

Especifico las pruebas de verificación en función del Nivel de Integridad de Seguridad (SIL) requerido o, para sistemas no SIL, en función de la consecuencia de la falla:

• Nivel alto-alto (parada de emergencia): Cada 6 meses. Simular la alarma activando el sensor (p. ej., levantar la paleta rotativa, aplicar gas de prueba de CO). Verificar que la secuencia de parada se ejecute correctamente y dentro del tiempo especificado.
• Alarmas de presión: Cada 12 meses. Calibrar el sensor de presión contra un manómetro de referencia. Verificar los puntos de ajuste de alarma.
• Alarmas de temperatura: Cada 12 meses. Calibrar el RTD contra un termómetro de referencia. Verificar los puntos de ajuste de alarma.
• Sensores de CO: Cada 6 meses. Calibrar con gas de prueba certificado (50 ppm CO para span, aire cero para cero). Reemplazar la celda electroquímica cada 24-36 meses independientemente del estado de calibración.

Cada prueba de verificación queda documentada. El documento registra: fecha, nombre del técnico, método de prueba, valores medidos, resultado conforme/no conforme y cualquier acción correctiva. Esto no es burocracia. Es evidencia de que el sistema funciona. Cuando ocurre un incidente — y tarde o temprano algo ocurrirá — los registros de las pruebas de verificación son lo que demuestra que usted hizo su trabajo.

6.2 Modos de Fallo Comunes

Después de 15 años, puedo decirle exactamente cómo fallan estos sistemas:

• Sensores de nivel de paleta rotativa: Bloqueo del rodamiento por entrada de polvo. La paleta deja de girar, el sensor indica "lleno" de forma permanente. Solución: rodamientos sellados, verificaciones trimestrales de rotación.
• Sondas de capacitancia: Acumulación de material en la sonda que altera la calibración. El sensor indica un valor alto — detecta material cuando no lo hay. Solución: sondas con autocalibración o limpieza manual periódica.
• Sensores de nivel por radar: Condensación en la antena en ambientes de alta humedad. La señal se atenúa, la lectura desciende. Solución: antenas calefaccionadas o cámaras de antena con purga.
• Sensores de presión: Obstrucción del diafragma por polvo de cemento. El sensor responde con lentitud o no responde en absoluto. Solución: sensores con diafragma sellado y membrana montada a ras, más una línea de purga.
• Sensores de CO: Degradación de la celda. El sensor indica un valor bajo — subestima la concentración real de CO. Solución: programa de calibración estricto, reemplazo de la celda a tiempo.

Cada uno de estos modos de fallo es previsible con la selección adecuada del sensor y un programa de mantenimiento que realmente se cumpla.

Preguntas Frecuentes (FAQ)