Alarma de Inundación Durante la Restauración de Energía: Emerson Ovation e ICS Triplex TMR

Por qué la restauración de energía crea el peor escenario de alarmas

La restauración de energía activa todos los dispositivos de campo simultáneamente. Transmisores, accionamientos y módulos E/S se inician juntos. Las variables de proceso permanecen indefinidas entre 15 y 45 segundos. Un DCS típico genera entre 400 y 800 alarmas antes de que los operadores puedan responder.

Emerson Ovation R3.5 almacena las prioridades de alarma en la tabla ALMDB. Sin lógica de supresión, las alarmas de Prioridad 1 a 4 se activan en el primer escaneo. Un sistema Ovation en una refinería puede generar más de 1,200 alarmas en 90 segundos tras una caída del bus de 110 kV.

ICS Triplex TMR añade complejidad. El controlador TMR ejecuta tres canales de E/S por punto. La sincronización de canales tarda entre 8 y 12 segundos. Durante esta ventana, la calidad OPC es INCERTA. Si la lógica de alarma se activa con calidad=BAD, se dispara una segunda oleada de forma independiente.

Marco ISA-18.2: Límites de prioridad y tasas de alarma

ISA-18.2 define tasas aceptables de alarmas. Las operaciones normales deben mantenerse por debajo de 1 alarma cada 10 minutos. Durante condiciones anormales, el límite sube a 10 cada 10 minutos. La restauración de energía rutinariamente supera las 100 por minuto sin mitigación.

ISA-18.2 reconoce los estados “suprimidos” como legítimos — condiciones documentadas, limitadas en tiempo y con expiración obligatoria. El Administrador de Alarmas Emerson Ovation implementa la supresión mediante el atributo ALMSUPP. Configurarlo en TRUE mueve las alarmas a la cola suprimida. Aparecen en las auditorías pero no en las pantallas del operador. Esta distinción es importante para los lazos SIL 1 y SIL 2.

Construyendo un bloque de supresión de arranque en Ovation

Configure la siguiente lógica en Ovation Control Builder:

• Paso 1: Cree la etiqueta discreta PWRRESTORE_TRIG. Actívela en alto cuando la CPU complete la inicialización del primer escaneo. Esto ocurre entre 12 y 20 segundos después del encendido.
• Paso 2: Conecte PWRRESTORE_TRIG a un temporizador TON. Establezca PT = T#300S (5 minutos). Esta es su Ventana de Supresión de Arranque (SSW).
• Paso 3: Mientras SSW esté activa, configure ALMSUPP = TRUE para alarmas de Prioridad 3 y 4. Deje activas las Prioridades 1 y 2.
• Paso 4: Para puntos ICS Triplex, agregue supresión basada en calidad. Suprima si la calidad OPC es INCERTA o MALA. Use el bloque funcional QUALITYMASK.
• Paso 5: Al finalizar la SSW, genere una alarma de Prioridad 3: “Supresión de arranque finalizada. Verifique las alarmas suprimidas.”
• Paso 6: Registre cada alarma suprimida en el historiador con ALMSUPP_HIST=TRUE. Esto crea la auditoría ISA-18.2. Los datos diagnósticos HART del módulo de entrada analógica Ovation se incluyen en el registro de alarmas suprimidas para el seguimiento del estado del dispositivo de campo.

Sincronización de canales ICS Triplex TMR: Prevención de falsas alarmas

ICS Triplex TMR utiliza votación 2 de 3. El retraso de sincronización de canales es de 8 a 12 segundos con tasas de escaneo de 100 ms. La salida votada tiene calidad INCERTA durante la transición. El adaptador de interfaz del procesador T8120 TMR gestiona la comunicación entre canales durante esta ventana de sincronización.

La mitigación requiere dos cambios. Primero, reconfigure el Cliente OPC Ovation para tratar INCERTA como BUENA durante la SSW. Esto se accede en la Configuración del Cliente OPC bajo Anulación de Calidad de Etiqueta. Segundo, agregue TMR_SYNC_DELAY en el Configurador de Estación ICS Triplex. Establezca el retraso inicial de transmisión en 15 segundos. Esto mantiene la salida votada en HOLD_LAST_VALUE durante la alineación. La Interfaz de Comunicaciones Confiables T8151C maneja la puerta de enlace OPC entre el sistema TMR y la red DCS Ovation.

Validación de puesta en marcha: Objetivo por debajo de 10 por 10 minutos

Valide con restauración de energía simulada. Use el modo de prueba Ovation en lugar de cortes reales de energía:

• Paso 1: Active el Modo de Simulación del Controlador para áreas no críticas.
• Paso 2: Forzar entradas analógicas a valores de arranque en frío (4.00 mA = 0%).
• Paso 3: Active manualmente PWRRESTORE_TRIG. Registre la hora.
• Paso 4: Monitoree el resumen de alarmas durante 5 minutos. Registre el conteo por minuto.
• Paso 5: Verifique que la tasa de alarmas se mantenga por debajo de 10 por 10 minutos después del minuto 2.
• Paso 6: Al expirar la SSW, cuente las alarmas suprimidas liberadas. Verifique la revisión por parte del operador dentro de 3 minutos.

Un sistema bien configurado logra menos de 6 por 10 minutos después del minuto 3. Más de 15 por 10 minutos en el minuto 5 requiere una racionalización adicional.

Conclusión y recomendaciones

El exceso de alarmas durante la restauración de energía es solucionable con un diseño deliberado. Implemente una Ventana de Supresión de Arranque limitada en el tiempo en Emerson Ovation usando ALMSUPP y un temporizador de 300 segundos. Maneje la incertidumbre de calidad en ICS Triplex TMR con QUALITYMASK y un retraso de transmisión de 15 segundos. Valide con reinicio simulado y apunte a menos de 10 por 10 minutos en el minuto 5. Documente cada decisión de supresión y revise el registro de auditoría trimestralmente.