(1645) Sistemas Instrumentados de Seguridad (SIS)

VIII CAIQ2015 y 3 JASP
DISEÑO E IMPLEMENTACIÓN DE UN SISTEMA DE
SEGURIDAD DE PROCESOS EN INSTALACIONES NUEVAS
Guillermo Sosa, Martin Krenek
TECNA Estudios y Proyectos de Ingeniería
(C1107CLA) Capital Federal – Argentina
TE: (+5411) 4347-9042
www.tecna.com
1
Resumen
La correcta interpretación de las normativas existentes en materia de seguridad de
procesos y los requerimientos de los clientes, asociados a las tecnologías disponible en
el mercado, hacen que las primeras etapas de un proyecto sean críticas para el éxito del
mismo. Esta interpretación junto con los requisitos del cliente determina el alcance del
proyecto, el cual define, entre otras cosas, la tecnología a implementar.
Para abordar el caso de estudio que les presentaremos, en primer lugar, se tratarán
las principales diferencias entre un Sistema Instrumentado de Seguridad (SIS), un
Sistema Básico de Control de Procesos (BPCS) y un sistema de detección y lucha contra
incendios. Se explicará la diferencia entre el concepto de confiabilidad (nivel SIL) y el
de disponibilidad de un SIS y cómo impactan y determinan las funciones
instrumentadas de seguridad (SIF) que componen un SIS.
Luego, se describirá brevemente las áreas de procesos involucradas en nuestra
planta objeto de estudio, enfatizando las consideraciones y problemáticas al momento
de realizar el diseño del SIS y su conectividad con el resto de los sistemas.
Y para finalizar, se focalizará en los aspectos básicos y esenciales para la selección
de un Sistema de Seguridad (SS) considerando el tamaño de las instalaciones y cómo es
posible integrar varios sistemas, ya sean de Control y/o de Seguridad, utilizando varios
protocolos de comunicaciones (genérico o propietario) con distintos tipos de redes y que
rol cumple la Ciberseguridad en el diseño de la red.
Palabras clave: SIS, SIL, SIF, FGS, SS, disponibilidad, seguridad
2
Introducción
El objetivo principal es exponer los aspectos primordiales a considerar en el diseño
de un SIS, considerando el tamaño de las instalaciones objeto de estudio, la vinculación
entre los diferentes sistemas de la planta, los requisitos del cliente y la variedad de
tecnologías disponibles en el mercado.
Basándonos en nuestra experiencia, habiendo interactuado con diferentes
tecnologías y participado en diferentes soluciones para múltiples clientes en sectores de
la industria como los hidrocarburos y la energía nuclear, intentaremos transmitir los
aspectos más relevantes a la hora del diseño de un SIS, su integración con otros sistemas
dentro y fuera de la planta, y las consideraciones fundamentales de la implementación
Página 1 de 16
AAIQ, Asociación Argentina de Ingenieros Químicos - CSPQ
VIII CAIQ2015 y 3 JASP
de la Ciberseguridad para proteger la integridad de las personas, las instalaciones y los
datos.
3
3.1
Desarrollo
Diferentes Sistemas de Control
A continuación se definen algunos conceptos básicos para los sistemas de control y
seguridad:
3.1.1 Sistema básico de control de proceso (BPCS)
Es un sistema que responde a las señales de entrada de un proceso, a sus equipos
asociados, a otros sistemas programables y/o operadores de planta generando salidas
que se ajustan continuamente con el fin de controlar el proceso y operar la planta en
forma deseada, pero no realiza ninguna función instrumentada de seguridad.
Actualmente el sistema más común implementado es el sistema de control distribuido
(DCS).
3.1.2 Sistema de Seguridad (SS)
Un sistema de seguridad es una composición de sistemas y equipos que realizan
tareas de seguridad tanto en materia de prevención como de mitigación. Pueden ser de
accionar activo o pasivo, trabajando sobre la frecuencia de eventos peligrosos y/o sobre
la consecuencia del evento.
Dentro de estos sistemas y equipos encontramos a los Sistemas Instrumentados de
Seguridad (SIS), los cuales se suelen renombrar conforme a su uso o aplicación como
ESD (Emergency ShutDown), ESS (Emergency Shutdown System), FGS (Fire and Gas
System) o F&G (Fire and Gas), etc.
3.1.3 Central de detección y lucha contra incendio
La central de lucha contra incendio es un equipo que contiene un controlador
electrónico programable con manejo de entradas y salidas digitales y analógicas cuyas
función principal es actuar sobre sistemas de aviso sonoros y visuales ante una
detección de humo y/o calor, o bien, por la acción sobre un pulsador en forma manual
de alguna persona. Este equipo es parte del sistema de seguridad pero no cumple
funciones de prevención sino de mitigación, aportando a los sistemas de evacuación en
planta.
3.2
Sistemas instrumentados de seguridad (SIS)
3.2.1 Riesgo y Eventos Peligrosos
El riesgo en la industria existe siempre y ha crecido a lo largo del tiempo debido al
cambio de pequeñas operaciones (procesos simples) a grandes operaciones (procesos
complejos con varios trenes de producción).
Página 2 de 16
AAIQ, Asociación Argentina de Ingenieros Químicos - CSPQ
VIII CAIQ2015 y 3 JASP
La definición utilizada de Riesgo (R) en la industria de los sistemas de seguridad
define a éste como el producto de la probabilidad de la ocurrencia (P) y la severidad de
la consecuencia (C) de un evento peligroso. Entonces, ¿Qué es el Peligro y que se
considera un Evento Peligroso?
Existen varias definiciones de peligro; las normas IEC 61508/61511 lo definen
como la “fuente potencial de producir daño”. Un evento peligroso ocurre cuando el
daño potencial se transforma en real. Generalmente, un evento peligroso está asociado a
un escenario peligroso.
Como ejemplo podemos citar un recipiente que contiene algún agente corrosivo
(peligro), y que al contacto con la piel humana produce irritación de la misma (riesgo).
Si dicho recipiente se encuentra aislado, en un lugar donde no haya presencia de
personas, el peligro existe pero no produce riesgo, por lo tanto no hay evento ni
escenario peligroso. Por el contrario, la presencia de una persona como mínimo en el
lugar, transforma a ese agente corrosivo en una fuente real de daño y existe riesgo de
que la persona pueda lastimarse, convirtiéndose la situación en un escenario peligroso.
Lo primero que se debe hacer es identificar los peligros y si éstos pueden o no
producir eventos peligrosos. Cada evento peligroso tendrá un riesgo asociado.
Al instalar una planta nueva, el primer gran trabajo es identificar los eventos
peligrosos, definir el riesgo y catalogarlo.
Existen muchas técnicas de identificación y análisis de riesgos entre las cuales
podemos citar al HAZOP (HAZard and OPerability analysis), FMEA (Failures Modes
and Effects Analisys), FTA (Fault Tree Analysis), LOPA (Layer Of Protection
Analysis), entre otras.
Luego de la identificación y análisis de riesgos, si dichos riesgos se consideran no
tolerables será necesario realizar técnicas o procesos para reducir el riesgo.
En la práctica existen métodos activos, que trabajan tanto en la Consecuencia como
en la Frecuencia del Evento, técnicas pasivas que modifican solamente la consecuencia
del evento y aparecen los Sistemas Instrumentados de Seguridad (SIS) que trabajan a
nivel de la frecuencia de un evento peligroso.
A cada evento peligroso (que merezca reducir su riesgo) se le asociará una “función
instrumentada de seguridad” (SIF), las cuales en conjunto conformarán el SIS.
Un sistema instrumentado de seguridad (SIS: Safety Instrumented System) es un
sistema independiente compuesto por sensor/es, “logic solvers” y elemento/s final/es, y
sistemas de soporte, que realiza funciones específicas para alcanzar o mantener el
estado seguro (En inglés safety, NO security). Ejemplos: HIPPS (High Integrity
Pressure Protection System), BMS (Burner Management System), PLC de seguridad +
Transmisores + SDV (shutdown valve).
Página 3 de 16
AAIQ, Asociación Argentina de Ingenieros Químicos - CSPQ
VIII CAIQ2015 y 3 JASP
Una función instrumentada de seguridad (SIF: Safety Instrumented Function) es lo
que usualmente llamamos “un lazo de seguridad”. Cada SIF describe una función de
seguridad y está asociada a un evento peligroso al cual se debe reducir su riesgo al
punto de que sea tolerable o residual.
Un ejemplo de una SIF sería, si el “el transmisor de temperatura TT-104 supera los
65 °C, cerrar la válvula SDV-102 en un tiempo de 4 segundos con un nivel de
confiabilidad SIL2”.
Un SIS es tomado como una capa de protección independiente que cumple la
función de prevenir el evento peligroso. Junto con otras capas de protección, como ser
el diseño de planta y la intervención del operador, conforman la etapa de prevención de
una planta.
3.2.2 Confiabilidad y Disponibilidad
La confiabilidad o integridad de cada SIF es medida con el nivel de SIL que se le
asocia a esa función. En un SIS pueden existir varias funciones de seguridad y todas
ellas pueden o no coincidir en su nivel de SIL.
La definición según la norma IEC 61508/61511 define al nivel de SIL (Safety
Integrity Level) como un nivel discreto (de 1 a 4) para especificar los requerimientos
integrales de seguridad de una función instrumentada de seguridad (SIF) a ser
implementada en un sistema instrumentado de seguridad (SIS).
La integridad de seguridad consiste de dos elementos:
 Integridad de seguridad del hardware: La misma se puede calcular con un
nivel de certeza razonable en función del hardware empleado.
 Integridad de seguridad sistemática: Es difícil de calcular ya que puede ser
causada por error de diseño de hardware o error de software. La norma IEC
61508 indica los requisitos de diseño, técnicas, medidas, etc. para cada nivel
de SIL de manera de mantenerla acotada.
El SIL es la forma en que medimos el desempeño de las funciones de seguridad
ejecutadas por nuestro sistema de seguridad. El nivel de SIL debe ser considerado por:
 los “dueños de los procesos” al momento de establecer cuales funciones de
seguridad se requieren y con qué nivel de SIL,
 las empresas de ingeniería, desarrolladores de productos e integradores de
sistemas y equipos de seguridad, los cuales deberán saber cómo construir
sus dispositivos para que cumplan con el SIL requerido y,
 los operadores del proceso, que tendrán que saber cómo operar, mantener y
reparar las funciones de seguridad y sistemas para mantener los niveles de
SIL identificados.
El nivel de SIL tiene las siguientes propiedades:
 Se aplica a la función de seguridad completa.
Página 4 de 16
AAIQ, Asociación Argentina de Ingenieros Químicos - CSPQ
VIII CAIQ2015 y 3 JASP




Existen requerimientos Técnicos y No Técnicos para cada nivel de SIL
Uno de los más famosos requerimientos del SIL es la Probabilidad de Falla
en Demanda (PFD). Existen alrededor de 1000 requerimientos de SIL
(Técnicos y No Técnicos).
Existen requerimientos de SIL tanto para el Hardware como para el
Software que se implementa para ejecutar la SIF.
Un SIL más alto implica requerimientos más estrictos y que la función de
seguridad falle menos y, por lo tanto, tenga mayor disponibilidad.
Es importante diferenciar los conceptos de Disponibilidad de Seguridad y
Disponibilidad de Proceso (Availability).
La probabilidad de falla en demanda (PFD) es una medida de la disponibilidad de la
SIF (Safety Availability = 1-PFD) y No de la disponibilidad del proceso. La PFD nos
ayuda a saber qué tan probable es que la función de seguridad esté disponible, o mejor,
no esté disponible cuando la necesitamos. Desde la perspectiva del usuario final y desde
el punto de vista de la seguridad, se trata de una medida que se relaciona directamente
con la reducción de riesgo alcanzado al ejecutar el proceso. Sin embargo, una función
de seguridad no sirve de nada cuando causa demasiados disparos espurios (no
necesarios), es decir, paradas de procesos no deseadas cuando el proceso estaba
funcionando normalmente. Estos disparos innecesarios son causados por fallas internas
del o los dispositivos de seguridad debido a fallas aleatorias del hardware, fallas de
causa común o fallas sistemáticas.
Las funciones de seguridad que causan disparos espurios son indeseadas por dos
razones. En primer lugar, los aspectos más peligrosos de la ejecución de un proceso son
durante el inicio del proceso y cuando éste es detenido. Especialmente las paradas de
proceso no deseadas son críticas ya que no son paradas controladas. Una función de
seguridad que causa paradas de procesos no deseadas está provocando más problemas
de seguridad que los que resuelve. Así que debemos evitar paradas innecesarias tanto
como sea posible. En segundo lugar, una parada de planta, o parte de ella, provoca
pérdidas de producción, y por lo tanto, pérdidas económicas para la empresa.
Para un usuario final es importante tener SIF que ofrezcan altos niveles de
disponibilidad desde el aspecto de la seguridad, como así también del proceso.
Lamentablemente la disponibilidad del proceso no es tratada en las normas de
seguridad funcionales existentes como la IEC 61508 e IEC 61511. Estas normas definen
el nivel SIL pero no definen los niveles de rendimiento para los disparos espurios.
Entre las normas más utilizadas en materia de sistemas instrumentados de seguridad
a nivel mundial se encuentran:
 ISA SP-91: “Identification of Emergency Shutdown Systems and
Controls That are Critical to Maintaining Safety in Process Industry”
 ANSI/ISA S84.01-1996 (2004): “Application of Safety Instrumented
Systems for the Process Industries”.
Página 5 de 16
AAIQ, Asociación Argentina de Ingenieros Químicos - CSPQ
VIII CAIQ2015 y 3 JASP
 IEC 62061: “Safety of Machinery – Functional safety of electrical,
electronic and programmable control systems for machinery”
 IEC 61508: “Functional Safety: Related Systems”
 IEC 61511: “Functional Safety Instrumented Systems for the Process
Industry Sector”
3.2.3 Ciberseguridad
Como tema complementario al SIS y que cada vez toma mayor relevancia en la
implementación de los sistemas de seguridad y control de procesos es el de la
Ciberseguridad.
El hecho de que muchas de las plantas industriales formen parte de la
infraestructura crítica de una región o país, hacen que los hackers hayan tomado un alto
interés en vulnerar a estos sistemas y provocar daños.
Los sistemas de control en la actualidad son sistemas basados en computadoras que
se utilizan para controlar y supervisar procesos sensibles y funciones físicas. En este
caso, el término sistema de control se refiere en forma genérica a hardware, firmware,
comunicaciones y software que se encargan de supervisar y controlar las funciones
vitales de los sistemas físicos.
En este contexto, los ataques a la CiberSeguridad Industrial (ICS) se define como la
penetración en los Sistemas de Control (IACS) por cualquier vía de comunicación y/o
acceso de forma tal de manipular los procesos controlados con la intención de causar
daño o de interrumpir las operaciones de un proceso. Los ataques contra los sistemas de
control y seguridad pueden resultar en la interrupción de servicios, ocasionar daños
físicos, pérdida de vidas, perjuicios económicos severos y/o efectos en cascada
causando la interrupción de otros servicios.
La Ciberseguridad aplica a todos los niveles de un proceso:
 Nivel 0 (Capa de Campo)
 Nivel 1 (Capa de Control)
 Nivel 2 (Capa de Supervisión)
 Nivel 3 (Capa de Gestión de Procesos)
En cuanto a las normas que aplican actualmente a los temas de Ciberseguridad
podemos citar:
 IEC 62443: “Industrial Network and System Security”
 ISA 99: “Industrial Automation and Control Systems (IACS) Security”
 SP800-82: “Guide to Industrial Control Systems (ICS) Security”
 API Standard 1164: “SCADA Security”
Los IACS operan hoy en día equipamiento de plantas industriales y procesos
críticos. Los ataques a estos sistemas pueden provocar:
 Muertes, Peligros y enfermedades.
Página 6 de 16
AAIQ, Asociación Argentina de Ingenieros Químicos - CSPQ
VIII CAIQ2015 y 3 JASP




Daños ambientales severos y/o irreversibles.
Pérdidas de producción, interrupción de servicios.
Fuera de especificación y productos peligrosos.
Pérdida de secretos industriales.
La seguridad a los Sistemas Industriales consiste en prevenir que los ataques -ya sea
que sean intencionales o no- interfieran en la adecuada operación de la planta y de sus
procesos.
Los diseñadores e integradores de los sistemas de seguridad deben conocer cada vez
más los peligros que pueden surgir de estos tipos de ataques y evitar los accesos, ya
sean, físicos y/o lógicos a los sistemas de control y seguridad en el mayor grado que sea
posible. Por todo esto, es necesario considerar en nuestros diseños de planta la opción
de incorporar de un nivel 4 o capa Enterprise o Corporativa, la cual tendrá relación
directa con los sistemas de gestión de procesos.
Existen diferencias significativas entre los Sistemas de IT Corporativos y los
Sistemas Industriales, aun siendo infraestructuras críticas. Los problemas generalmente
ocurren porque las premisas adoptadas de IT no son necesariamente válidas en el
ámbito industrial. La Ciberseguridad industrial debe resolver las cuestiones relacionadas
con la Seguridad, que no es normalmente tenida en cuenta en los Sistemas Corporativos.
Podemos mencionar cinco puntos a tener en cuenta en cuestiones de Ciberseguridad,
considerando las diferentes perspectivas de los Sistemas de IT y Sistema de Control
(IACS):
a) Prioridad
IT
IACS
Mayor Prioridad
Disponibilidad
Integridad
Confidencialidad
Confidencialidad
Integridad
Disponibilidad
Menor Prioridad
b) Tiempo Real
Redes y Sistemas de IT
No son en tiempo real
La respuesta debe ser confiable
Las demoras elevadas y la
dispersión es normalmente
aceptada
Página 7 de 16
Redes y Sistemas de Control
Tiempo real
La respuesta es crítica en el tiempo
Las demoras son una verdadera
preocupación y problema
AAIQ, Asociación Argentina de Ingenieros Químicos - CSPQ
VIII CAIQ2015 y 3 JASP
c) Gestión de Cambios
Redes y Sistemas de IT
Operación programada
La fallas ocasionales son aceptadas
Productos Beta en producción son
comúnmente aceptados
Las modificaciones son posibles de
realizar con poca burocracia
Redes y Sistemas de Control
Operación continua
Las fallas son inaceptables
Los productos Beta son aceptados en
ambientes no productivos.
Se requiere una certificación formal
luego de cualquier modificación
d) Aplicaciones
Redes y Sistemas de IT
Sistemas operativos y aplicaciones
usualmente de mercado
Ya hay una gran cantidad de
soluciones a la Seguridad de IT
Redes y Sistemas de Control
Normalmente se encuentran
Sistemas Operativos y Aplicaciones
inusuales
Muchas de las soluciones de
Seguridad de IT no funcionan
correctamente. La tolerancia a fallas
es esencial
e) Gestión del Riesgo
Redes y Sistemas de IT
Redes y Sistemas de Control
La integridad de datos es
Seguridad Humana es primordial
primordial
El impacto del Riesgo es la pérdida El impacto del riesgo es la pérdida
de datos y daños al negocio
de Vidas Humanas, Equipamiento,
Producción y/o Productos
La recuperación se realiza reLa tolerancia a fallas es esencial
iniciando el sistema
En conclusión podemos decir que si bien la seguridad de los Sistemas de IT ya es un
problema atendido en todas las compañías, la aplicación en el ambiente industrial es un
desafío diferente debido a las diferentes prioridades y enfoques que se manejan en cada
una de las áreas.
La implementación de soluciones estándares de Sistemas de IT en ambientes
industriales (sin ningún tipo de filtro) podrían causar más daño que beneficios y por lo
tanto las soluciones a implementar deben considerar soluciones específicamente
pensadas para este tipo de ambientes.
Página 8 de 16
AAIQ, Asociación Argentina de Ingenieros Químicos - CSPQ
VIII CAIQ2015 y 3 JASP
4
Caso de estudio – Área a instrumentar o controlar
El proceso que tomaremos como caso de estudio consiste en una planta de
extracción, tratamiento, exportación y venta de gas y condensado (crudo). La misma se
compone de una serie de pozos los cuales abastecen a los diferentes trenes de
tratamiento ubicados en la planta.
El fluido que llega a la planta desde cada uno de los pozos de extracción es un poliproducto, compuesto por crudo, gas, agua, sales y otros productos químicos, que a lo
largo del proceso, previo a su exportación, es separado y acondicionado adecuadamente
según los estándares y requerimientos de producción que solicita el cliente final.
El producto final Gas, es comprimido y enviado a su punto de venta que se
encuentra a 100 Km de la planta principal.
El producto Condensado (crudo) es bombeado a su punto de venta a 20 Km de la
planta.
Fig. 1. Overview general de la planta objeto de estudio
La planta cuenta con un Manifold de entrada, el cual, mediante su correcta
operación, distribuye el producto entrante al separador de ensayo, o bien a los trenes de
tratamiento y producción.
El proceso cuenta con un sistema propio de extracción e inyección de agua ubicado
a 10 Km de la planta. Dicho sistema tiene su propio sistema de control y seguridad que
se vincula mediante Fibra Óptica (FO) con la planta principal.
Página 9 de 16
AAIQ, Asociación Argentina de Ingenieros Químicos - CSPQ
VIII CAIQ2015 y 3 JASP
Dentro del paquete de utilidades y servicios, encontramos Compresores de Aire,
Compresores de Propano, Compresores y Bombas de Exportación, Calentadores
eléctricos, Hornos de Hot Oil, Unidades de Nitrógeno, Centrales de Incendio, Sistema
de tratamiento de Aire acondicionado (HVAC), Unidades de potencia hidráulica (HPU),
Generadores Eléctricos a Gas, Generador de Emergencia (Diésel), entre los principales
equipos. Todos estos son vinculados con la planta mediante FO y cableado de cobre en
2 hilos, mediante protocoles industriales como Modbus TCP/IP y Modbus RTU, bajo
normas Ethernet y RS-485, respectivamente.
4.1
Consideraciones del diseño o requisitos del cliente
El sistema de control de procesos (PCS) mediante un sistema de control distribuido
(DCS) es el encargado de atender todas las funciones de control de las instalaciones,
como ser, lazos PID, lógicas de arranque y paro automático de bombas y equipos,
cálculos de compensación de caudal, integración de caudales (caudal acumulado), etc.
Este sistema es el encargado de concentrar toda la información del resto de los sistemas
(ESD, FGS, PSS) y equipos paquetes (compresores, generadores eléctricos,
calentadores, hornos, HVAC, HIPS, etc.) y presentar la misma en las estaciones de
operación ubicadas en la sala de control principal. Las comunicaciones del DCS se
realizan mediante enlaces redundantes entre todos los dispositivos que lo conforman, y
entre éste y los equipos críticos (ESD, FGS, PSS y HIPS).
El sistema de seguridad de Fuego y Gas (FGS) es el encargado de monitorear todos
los detectores de gas y fuego de las instalaciones, y ante una detección, realizar el
arranque de las bombas de lucha contra incendio y la actuación de las válvulas de
diluvio del área correspondiente. Este sistema tiene un diseño “Energize To Trip”, es
decir, que los elementos de entrada y salida deben energizarse para realizar la función
de seguridad. En estos casos, es necesario contar con módulos de entrada y salida que
tengan monitoreo de línea de modo que el sistema alerte a los operadores en caso que
exista una falla que no permita actuar la seguridad.
Este sistema debe ser completamente redundante en cuanto a alimentaciones,
procesadores, comunicaciones, módulos de entrada y salida, alcanzando una
disponibilidad mínima de 99,99% y con un nivel de confiabilidad SIL 3.
El sistema de seguridad de emergencia (ESD) es el encargado de llevar a las
instalaciones a un estado seguro en caso de emergencia, protegiendo así el personal, el
medio ambiente y los activos de la empresa. Realiza las funciones de seguridad
principales de paro de emergencia y despresurización de las instalaciones, actuando
sobre unidades de proceso principales (Nivel 1) y subunidades (Nivel 2). Este sistema
tiene un diseño “De-energize To Trip”, es decir, que los elementos de entrada y salida
deben desenergizarse para realizar la función de seguridad.
Este sistema debe ser completamente redundante en cuanto a alimentaciones,
procesadores, comunicaciones, módulos de entrada y salida, alcanzando una
disponibilidad mínima de 99,99% y con un nivel de confiabilidad SIL 3.
Página 10 de 16
AAIQ, Asociación Argentina de Ingenieros Químicos - CSPQ
VIII CAIQ2015 y 3 JASP
El sistema de seguridad de procesos (PSS) forma parte de los sistemas de seguridad
de la instalación. El mismo se encarga de llevar a cabo automáticamente la parada
segura de unidades o equipos (Nivel 3). Este sistema debe ser redundante en cuanto a
alimentaciones, procesadores y comunicaciones, no necesariamente en los módulos de
entradas y salidas, alcanzando una disponibilidad mínima de 99,97% con un nivel de
confiabilidad SIL 2.
En el caso de las locaciones remotas (pozos, gasoducto y oleoducto de exportación)
existen funciones de control, de paro de emergencia, de gas y fuego y de seguridad de
proceso. Dado que las mismas son instalaciones pequeñas, es decir que tienen una
cantidad de entradas y salidas notablemente inferior a la planta, un único sistema SIS
puede cumplir con todas las funciones, con la particularidad de que los chasis y
módulos de entrada y salida deben ser dedicados para cada sistema. Este sistema
integrado debe alcanzar una disponibilidad mínima de 99,99% y debe ser SIL 2.
Las locaciones remotas tienen dos modos de operación: uno remoto desde la sala de
control principal y otro local a través de un panel de operación (HMI). Desde este
último, el Operador puede realizar el monitoreo y control en forma totalmente
independiente de la sala de control.
Para atender los requerimientos de Ciberseguridad exigidos por la compañía, se
instalaron Firewalls para interconectar equipos de terceros con los servidores Modbus
TCP y Modbus RTU, y también para conectar las redes del cliente con los servidores de
datos e históricos ubicados en la planta. Además, todas las oficinas y sectores de la
planta cuentan con acceso restringido a través de sistemas de detección biométricos y
magnéticos, complementado con un constante monitoreo mediante cámaras de
seguridad de última generación conectadas a los diferentes puestos de control.
4.2
Implementación del caso/soluciones adoptadas
En función de los requerimientos del cliente y del diseño básico de las instalaciones
se realiza la especificación técnica del sistema de control y seguridad indicando además
requerimientos de diseño propios. La planta cuenta con una cantidad de
aproximadamente 2500 puntos de entrada/salida cableados y más de 2000 puntos
provenientes por comunicaciones. Se define así la arquitectura del sistema en la que se
expresa gráficamente lo expuesto en la especificación.
Página 11 de 16
AAIQ, Asociación Argentina de Ingenieros Químicos - CSPQ
VIII CAIQ2015 y 3 JASP
Fig. 2. Arquitectura del sistema de control y seguridad de la planta objeto de estudio
En el proyecto se definió que el sistema de ESD y FGS de la planta estén integrados
en un único SIS controlado por un único PLC. La consideración particular fue que los
chasis y módulos de entradas y salidas estén divididos de acuerdo a su sistema asociado.
Como requerimiento extra, en el caso de implementar sistema de votaciones, los
instrumentos asociados debían ser segregados en diferentes tarjetas con el fin de evitar
que la falla de una tarjeta produjera la pérdida completa de la función de seguridad.
Se decidió integrar ambos sistemas debido a que los mismos tienen una gran
cantidad de funciones de seguridad de la que ambos son parte. Esto disminuyó en gran
medida la cantidad de entradas y salidas que hubieran sido necesarias para realizar estas
funciones de seguridad entre sistemas independientes reduciendo, de esta forma, la
complejidad del sistema y sus costos asociados.
Debido a requerimientos del cliente, el sistema PSS de la planta no se pudo integrar
junto al ESD/FGS, por lo que resultó en un sistema independiente, aunque vinculado a
éste último mediante un protocolo propietario seguro con certificado SIL3.
En pozos, gasoducto y oleoducto de exportación se utilizó un único controlador
para integrar las funciones de ESD/FGS/PSS/PCS. La exigencia por parte del cliente fue
que los módulos de entrada/salida estén segregados por sistema. Integrar todas las
funciones en un solo PLC disminuyó en gran medida la cantidad de entradas y salidas
que hubieran sido necesarias para realizar estas funciones de seguridad entre sistemas
independientes, reduciendo de esta forma la complejidad del sistema y bajando costos.
Página 12 de 16
AAIQ, Asociación Argentina de Ingenieros Químicos - CSPQ
VIII CAIQ2015 y 3 JASP
Se determinó que para las comunicaciones con equipos paquetes se utilizara
protocolo Modbus (TCP o RTU según el equipo) de modo de estandarizar un único
protocolo de campo. Se eligió Modbus debido a que es un protocolo de comunicaciones
abierto y relativamente sencillo de implementar, existen muchas marcas de equipos de
sistemas de control y seguridad en el mercado que lo utilizan como protocolo estándar
de comunicación y es fácil de diagnosticar en caso de falla o mal funcionamiento.
En función de la ingeniería de detalle del proyecto (P&ID, matriz causa-efecto,
estudio HAZOP y LOPA) se dimensionó cada uno de los sistemas y se generó la lista de
señales. Se confeccionó una especificación de requerimientos de seguridad en la que se
detallan todas las funciones instrumentadas de seguridad (SIF). En base a esto y a los
requerimientos del cliente se determinó el nivel SIL de cada sistema.



ESD/FGS: SIL 3
PSS: SIL 2
Sistemas integrados de pozos, gasoducto y oleoducto de exportación: SIL 3
En este último, si bien los requerimientos iniciales del cliente señalaban que fuera
SIL 2, por los resultados obtenidos del Estudio HAZOP se determinó que debían ser
SIL 3.
Definida la especificación técnica del sistema de control y seguridad, la arquitectura
del sistema y la lista de señales, se seleccionaron la marca y modelo de cada sistema que
mejor se adecuaba a los requerimientos. Para evitar problemas de compatibilidad y para
que la integración de los sistemas fuese más sencilla, se decidió que la marca de todos
los sistemas fuera la misma. El mismo concepto se aplicó eligiendo los modelos de los
PLC para los SIS.
Determinada la marca y modelo de los sistemas se actualizan todos los documentos
de modo que especifiquen concretamente al sistema en cuestión. Si bien existen puntos
en común entre los sistemas de distintas marcas, tienen particularidades que los definen
y que deben ser debidamente documentadas.
Desde el punto de vista de la Ciberseguridad, el primer paso fue realizar un análisis
de riesgo cibernético en conjunto con el cliente, del cual se determinó, entre otras cosas,
que era necesario instalar firewall entre la red de control y la red de campo de modo de
impedir que equipos paquetes generen tráfico de datos indebido hacia el sistema de
control de la planta impidiendo su normal funcionamiento. Del mismo modo, se
determinó que deberían de ser implementados las siguientes medidas asociadas a la
seguridad física:



Sistema de Control de Acceso (ACS)
CCTV
Requerimientos globales del proyecto donde se obliga a la utilización de
bloqueo de puertas con cerradura para todos los gabinetes de infraestructura
crítica de la planta.
Página 13 de 16
AAIQ, Asociación Argentina de Ingenieros Químicos - CSPQ
VIII CAIQ2015 y 3 JASP
También se tomaron medidas en los aspectos lógicos de la seguridad informática
referidos al acceso a los equipos y programas mediante usuario y contraseña
personalizada y el hecho de mantener actualizados los antivirus y sistemas operativos
con las últimas revisiones disponibles.
4.3
Problemáticas encontradas durante la implementación

La ingeniería básica determinaba que las instalaciones de pozos y puntos de
venta deberían tener un panel de operación local para realizar funciones
básicas de operación del sitio. Dicho panel debería ser totalmente
independiente del PCS y, a su vez, comunicarse en forma directa con el
controlador local. En base a estos requerimientos se seleccionó un panel de
operación local del mismo fabricante de los sistemas implementados.
Varios meses después de adquirido los sistemas de control y seguridad
objeto de este estudio, comenzó a participar en la revisión del proyecto el
grupo de Operaciones y Mantenimiento responsable del manejo de la planta.
Este equipo requirió que estas locaciones tuvieran un modo de operación
sincronizado con el sistema de control central. Debido a que la tecnología
seleccionada anteriormente no permitía cumplir con este requerimiento en
forma estándar, se tuvieron que implementar soluciones alternativas por
medio de programación de alta complejidad.
El nivel de complejidad de la solución adoptada incrementó la necesidad de
capacitación al personal de mantenimiento y la cantidad de documentación
generada como parte de la ingeniería de detalle, lo cual no fue previsto al
inicio del proyecto, impactando en costos y cumplimiento de plazos del
programa de trabajo.

El alto volumen de información a obtener de cada instrumento de campo
solicitado en los estándares del cliente requirió una alta complejidad a la
hora de la selección del equipamiento a utilizar y de la implementación de la
solución.
Varias soluciones estándares del mercado no pudieron cumplir con el alto
nivel de requerimientos y no pudieron ser tenidas en cuenta para este
proyecto.

Uno de los principales requerimientos del cliente fue la posibilidad de que
los sistemas pudieran ser mantenidos y ampliados en el futuro con la planta
en servicio. Del mismo modo el cliente solicitó que los sistemas tuvieran un
período de obsolescencia no inferior a 15 años desde el inicio de la puesta
en marcha de la planta.
Este requerimiento disminuyó dramáticamente las alternativas disponibles
en el mercado e hizo que la selección de la solución tecnológica adecuada
fuera muy compleja por la gran cantidad de requisitos simultáneos.
Página 14 de 16
AAIQ, Asociación Argentina de Ingenieros Químicos - CSPQ
VIII CAIQ2015 y 3 JASP
Esto se consiguió con un fuerte apoyo de los proveedores preseleccionados,
donde se combinó las posibilidades de cada una de las tecnologías ofrecidas
y los requerimientos del cliente.
5
Conclusiones
A lo largo del desarrollo e implementación de las soluciones y medidas adoptadas
durante el proyecto nos encontramos con diferentes problemáticas tanto en los aspectos
técnicos como no técnicos. Luego de un análisis detallado de cada situación podemos
determinar los siguientes aspectos a considerar en futuros proyectos:





Página 15 de 16
El éxito del proyecto estuvo asociado a comprender y definir correctamente
las necesidades del cliente. Las exigencias de sus normas y procedimientos
impactaron fuertemente en las soluciones tomadas.
Derivado de este punto se pudo hacer una adecuada selección de la
tecnología a instalar, la cual tuvo que ser abordada al inicio del proyecto.
Este hecho no fue para nada menor debido a la imposibilidad de cambiar de
tecnología una vez seleccionada y adquirida la misma.
Cabe destacar que estos requerimientos fueron mucho mayores que los
estándares para este tipo de planta para otros clientes
También fue muy importante mantener una periódica comunicación con el
cliente para minimizar los desvíos, o bien, poder actuar con anticipación
ante una demanda fuera del alcance.
Establecer el alcance del proyecto con todos los interesados en el mismo
(Producción, Operaciones y Mantenimiento) y dejar en claro cuáles son los
objetivos del proyecto para cada uno de los mismos en las etapas tempranas
del proyecto.
El hecho de elegir la misma marca y familia de equipos para los sistemas
de control y de seguridad simplificó la configuración y mantenimiento de
los sistemas.
Debido a esta solución elegida, pudo ser fácilmente atendida la
complejidad de la matriz causa-efecto, ya que la misma requirió una muy
alta interacción entre los distintos sistemas de seguridad (PSS/ESD/FGS)
tanto en planta como en las locaciones remotas.
También debido a este enfoque adoptado, en la etapa de desarrollo se
reutilizaron los códigos de configuración de típicos, disminuyendo los
tiempos de aprendizaje y elaboración.
Como resultado final de la solución seleccionada, en la etapa de Operación
y Mantenimiento se redujo el tiempo de localización de los distintos tipos
de fallas.
Como desarrollador e integrador del SIS, es vital contar con la
documentación que deriva del Estudio HAZOP y requerimientos de SIL.
La misma deberá contener todas las SIF a implementar, con un nivel de
detalle que permita considerar las exigencias tecnológicas para cada SIF
especificada.
AAIQ, Asociación Argentina de Ingenieros Químicos - CSPQ
VIII CAIQ2015 y 3 JASP

6
Desde el punto de vista de la Ciberseguridad, fue muy importante el hecho
de poder conjugar la seguridad física con la seguridad informática para
lograr los niveles de exigencia del cliente al momento de proteger los
activos críticos de la planta. Este aspecto novedoso en el diseño de las
plantas se ha transformado en un punto de atención no sólo al momento del
diseño de la misma, sino principalmente durante la operación, debido a las
constantes modificaciones y desarrollos de las amenazas externas que
fuerzan una continua atención a la actualización y mantenimiento de estas
defensas.
Referencias




WiseCourses Academy (2015) “Introducción a la CibeSeguridad industrial
e Infraestructura Crítica”
Dr. M.J.M. Houtermans (2006) “Safety Availability Versus Process
Availability - Introducing Spurious Trip Levels™”
International Standard IEC 61511-01 (2003) “Functional safety – Safety
instrumented systems for the process industry sector”
International Standard IEC 61508-1 (1998) “Functional
safety of
electrical/electronic/programmable electronic safety-related systems”
Página 16 de 16
AAIQ, Asociación Argentina de Ingenieros Químicos - CSPQ