La ilusión de que, cuando el equipo se detiene, el riesgo también se detiene

El mantenimiento de parada de una planta petroquímica, es decir, el turnaround, es el periodo en que los equipos de producción se detienen de forma planificada para realizar inspección, limpieza, sustitución, reparación y modificación. Se abren equipos de difícil acceso habitual para recuperar su integridad. Sin embargo, el hecho de que el proceso se haya detenido no convierte por sí solo el equipo en un estado sin energía ni materiales. Las tuberías pueden conservar presión y residuos; los drenajes y venteos pueden estar obstruidos, y otros sistemas conectados pueden seguir funcionando. También se introduce energía nueva para el mantenimiento, como purga con nitrógeno, soplado con vapor, limpieza, soldadura, izado y montaje de andamios.

Por tanto, la expresión del título de que «los accidentes se concentran» no debe entenderse como una afirmación de una tasa de incidencia concreta. El alcance del trabajo y los criterios de agregación difieren entre centros, y con las estadísticas públicas resulta difícil generalizar la frecuencia de accidentes de todos los periodos de mantenimiento en una sola cifra. Aquí se abordan las condiciones estructurales que muestran repetidamente el Resumen de seguridad de la CSB sobre incidentes durante arranques y paradas y las investigaciones individuales de accidentes. Durante el mantenimiento coinciden en el mismo tiempo y espacio estados anormales, muchos trabajadores, configuraciones temporales, varios trabajos con permiso y decisiones urgentes. El riesgo aumenta no por el número de tareas aisladas, sino por la interacción entre ellas.

El estado transitorio en el que desaparecen las capas de protección de la operación normal

En la operación normal, el caudal, la presión, la temperatura y el nivel se mantienen dentro de rangos definidos, y el control automático, las alarmas y la experiencia de los operadores se acumulan en torno a ese estado. Durante la parada y el rearranque, la alineación de válvulas cambia continuamente, algunos instrumentos quedan puenteados o en mantenimiento y las tuberías se vacían y vuelven a llenarse. La dirección de flujo de líquidos y gases también puede diferir de la habitual. Este estado se denomina estado transitorio u operación anormal. No se trata de un único punto en que el equipo está completamente detenido: debe gestionarse todo el recorrido desde la operación normal hasta la parada, de la parada al mantenimiento y del mantenimiento al rearranque.

La OSHA de Estados Unidos, norma de gestión de seguridad de procesos 29 CFR 1910.119 exige que los procedimientos operativos aborden por separado el arranque inicial, la operación normal, la operación temporal, la parada de emergencia, la parada normal y el rearranque tras un turnaround. Esto significa que incluso en el mismo equipo los riesgos y las condiciones permitidas cambian según el estado. Si los instrumentos modificados durante la parada, las mangueras temporales, los blinds retirados, las válvulas bloqueadas y los enclavamientos desactivados no se reflejan en los planos y procedimientos actualizados, el equipo de rearranque operará el equipo de hoy con el plano de ayer. El final del mantenimiento no debe verse solo como una lista de tareas terminadas, sino como una entrega que confirma que el estado de diseño y el estado en campo vuelven a coincidir.

Las operaciones simultáneas no son la suma de varios permisos

En un turnaround, el trabajo en caliente, la apertura de tuberías, la entrada en espacios confinados, el trabajo en altura, el izado, los ensayos radiográficos, el trabajo eléctrico y la limpieza se realizan simultáneamente en lugares próximos. Aunque cada tarea cumpla por sí sola las condiciones de su permiso, puede destruir las condiciones de otra. Las chispas de soldadura de un nivel superior pueden caer a una tubería abierta abajo; los agentes de limpieza pueden generar vapores inesperados, y una grúa móvil puede bloquear una ruta de evacuación. El ventilador de un equipo también puede desplazar una nube de gas de otro equipo hacia los trabajadores.

La publicación de la investigación de la CSB sobre el accidente de polisilicio de Wacker señaló que, mientras se apretaban pernos en una tubería con sustancias peligrosas, otro personal contratista realizaba trabajos de aislamiento térmico en la misma estructura, sin que se evaluara el riesgo de operaciones simultáneas. La lección es que no basta con comprobar la adecuación de cada permiso por separado. Los trabajos cuyos espacio, tiempo, energía y vías de liberación se superponen deben verse en un único mapa; si hay conflicto, debe cambiarse la secuencia o separarse las zonas.

En la práctica, resulta útil colocar los permisos de trabajo sobre el plano del área de proceso en la reunión de coordinación de SIMOPS antes de cada turno. Se señalan conjuntamente la dirección del viento y el radio de impacto de la apertura, la ubicación del trabajo en caliente, las entradas de espacios confinados, el radio de izado, las rutas de evacuación de emergencia y el estado de disponibilidad de detectores de gas y equipos contra incendios. Lo importante no es el número de asistentes, sino dejar claro quién tiene autoridad para aplazar o detener el trabajo cuando se detecta un conflicto.

La apertura de tuberías comienza con la primera identificación, no con el último perno

El momento de abrir una brida, boca de hombre, drenaje o conexión de instrumento es una frontera en la que el material residual puede entrar en contacto directo con las personas. Pero el control del riesgo comienza al identificar el objeto de trabajo, no justo antes de aflojar los pernos. Si tuberías de la misma altura y color discurren en paralelo, las etiquetas quedan ocultas por barandillas o aislamiento y los números del plano difieren de las marcas de campo, incluso una persona experimentada puede elegir otro equipo. Al depender de indicios indirectos, como «la brida cerca del dispositivo de bloqueo», aparece la posibilidad de una identificación errónea.

El informe final de investigación de la CSB sobre la fuga de sulfuro de hidrógeno de la refinería PEMEX Deer Park en 2024 concluyó que un trabajador contratista abrió por error una tubería activa situada a poca distancia de la brida prevista. Un permiso de trabajo amplio agrupaba tareas con peligros diferentes, y las condiciones de punto de parada y presencia del operador tampoco se ejecutaron con claridad. El informe señaló asimismo que no se evaluó suficientemente el riesgo de que numerosos trabajadores de una unidad adyacente en mantenimiento quedaran en la vía de liberación.

Por ello, antes de abrir una tubería deben compararse el P&ID actualizado y la tubería de campo, y las partes de operación y mantenimiento deben realizar una verificación conjunta en el lugar señalando con la mano el punto exacto de trabajo. El número de etiqueta, el nombre del fluido, la dirección de flujo, los puntos de corte aguas arriba y aguas abajo y la posición del blind deben confirmarse mediante dos o más medios independientes. El permiso debe distinguir aperturas con peligros y puntos de parada distintos, en lugar de agruparlas ampliamente como «retirada de varios blinds en esta zona». Un hold point, como la reconfirmación por el operador antes de aflojar algunos pernos, no debe ser una línea de texto, sino una acción diseñada de firma, presencia en campo y autorización para reanudar el trabajo.

El aislamiento no consiste en cerrar una válvula, sino en demostrar energía cero

Cerrar una válvula de corte y poner un candado no completa el aislamiento. El asiento de la válvula puede tener fugas, y los colectores comunes, bypasses, líneas de instrumentos, expansión térmica, gravedad, presión residual y calor de reacción pueden volver a generar energía. Deben verificarse no solo la electricidad, sino también la presión, la temperatura, la reacción química, la rotación y la energía potencial. Si el riesgo del equipo y las consecuencias del trabajo son elevados, deben seleccionarse, según la evaluación de riesgos, métodos de mayor fiabilidad como doble bloqueo y purga, inserción de blind o separación física.

La guía interpretativa de procedimientos de bloqueo y etiquetado de OSHA explica que, en el mantenimiento de equipos de proceso complejos, los operadores aíslan, despresurizan y limpian el sistema y después revisan el control de energía con el equipo de mantenimiento, mientras que los trabajadores participan en un sistema de bloqueo individual o grupal. También presenta la gestión de la apertura de tuberías mediante un permiso especial emitido por el departamento de operación y supervisado por el operador. La clave es no trasladar la responsabilidad del aislamiento solo al equipo de operación ni dejarla solo al de mantenimiento. Operación conoce el estado del proceso; mantenimiento conoce el punto de trabajo donde las personas se exponen realmente. Ambos conocimientos deben encontrarse en el campo.

La lista de confirmación de aislamiento debe incluir no solo «válvula cerrada», sino la confirmación de alivio de presión residual, la disponibilidad de la vía de drenaje, la finalización de la purga, la sustancia que se debe detectar, el método para confirmar energía cero, el número y la orientación de instalación del blind, los participantes de la caja de bloqueo y la entrega entre turnos. Si cambia el alcance del trabajo o el estado de un sistema adyacente, no debe prorrogarse sin más el permiso existente: hay que revisar de nuevo el límite de aislamiento.

El aumento de mano de obra contratista exige diseñar la transferencia de información

Durante el mantenimiento entran en gran número oficios especializados y trabajadores temporales. Aunque tengan experiencia en soldadura, andamiaje, limpieza o inspección, no conocen automáticamente la disposición de tuberías de esa planta, las alarmas sonoras, los recorridos del viento, los puntos de reunión de evacuación ni los sistemas adyacentes que siguen operando. Una formación común de acogida no prueba que se haya transmitido el riesgo del equipo asignado hoy. Si un trabajador se desplaza a otra unidad o cambia el alcance del trabajo, deben explicarse de nuevo los nuevos peligros de proceso y las medidas de protección.

También en el accidente de PEMEX se reasignó de forma repentina a trabajadores desde una unidad de turnaround aislada y vaciada a una unidad adyacente parcialmente en operación, pero no recibieron información suficiente sobre las condiciones cambiadas. La norma OSHA PSM también trata por separado a los contratistas que realizan turnaround, mantenimiento y trabajos especializados: exige que la empresa contratante proporcione información sobre peligros conocidos de incendio, explosión y liberación tóxica, así como medidas de emergencia, y que evalúe el desempeño del contratista. El contratista, a su vez, debe garantizar que sus trabajadores comprendan y cumplan las normas de seguridad del lugar.

Una buena entrega se demuestra con preguntas de comprobación, no con una lista de firmas. El trabajador debe poder explicar con sus propias palabras qué abrirá, qué sustancia puede quedar, qué válvulas y blinds le protegen y hacia dónde evacuar si suena una alarma. También se necesitan planos, fotografías y señalización por colores que consideren el idioma y el nivel de alfabetización, pero un solo color nunca debe ser el único medio de identificación.

Cómo la presión de calendario adelgaza las capas de protección

Como cada día de parada de un turnaround afecta a la producción y a los calendarios contractuales, la presión por avanzar es elevada. El calendario no es en sí mismo una causa de accidente, pero cuando solo se ve el coste del retraso y el coste del riesgo desaparece de la tabla de decisión, las capas de protección se vuelven más finas una a una. La verificación conjunta en campo se sustituye por una aprobación telefónica, trabajos que requieren permiso separado se agrupan en un permiso amplio, se moviliza al siguiente oficio antes de que llegue el resultado de inspección y un registro pasado de buenas lecturas de gas sustituye a la medición actual. Las prolongaciones nocturnas y los cambios de turno pueden difuminar quién es responsable de cada aislamiento.

La gestión del calendario no debe ser un sistema separado que se opone a la seguridad, sino una entrada de la seguridad de procesos. El plan de trabajo debe reservar primero el tiempo necesario para instalar y verificar el aislamiento, eliminar gas, enfriar, obtener resultados de muestras, gestionar cambios y realizar la revisión de seguridad previa al rearranque. Cuando se añadan operaciones simultáneas para recuperar trabajo retrasado, debe repetirse la evaluación de riesgos de SIMOPS. Debe evitarse que un equipo que ejerció su derecho a detener el trabajo o un supervisor que informó de un retraso sea perjudicado, y deben definirse puntos mínimos de parada (hold points) que los responsables de producción y seguridad no puedan levantar. Gestionar, junto con «terminar a tiempo», indicadores adelantados como el número de reemisiones de permisos, los errores de aislamiento detectados y las mejoras tras una detención de trabajo puede reducir que se oculte la presión de calendario.

La medición de gases no es un sello de permiso, sino vigilancia del cambio

La medición de gas antes de una apertura es una importante capa de protección para confirmar qué queda dentro del equipo. Sin embargo, una sola lectura normal no garantiza todo el trabajo posterior. Si se abre un drenaje que estaba obstruido, una válvula tiene fugas, se altera lodo o cambian la purga y la ventilación, la atmósfera vuelve a cambiar. El detector debe tener sensores y rangos que puedan detectar las sustancias previstas, y antes de usarlo deben comprobarse su funcionamiento, el estado de calibración y el tiempo de transporte de la bomba y la manguera. El punto de medición tampoco debe limitarse a un punto de la abertura: debe reflejar las zonas superior, media e inferior, los rincones, la zona de respiración del trabajador y las vías de fuga previstas.

La Agencia Coreana de Seguridad y Salud en el Trabajo, Directriz técnica sobre inspección, mantenimiento y modificación de tanques de almacenamiento atmosférico C-C-6-2025 indica que antes de inspeccionar o reparar un tanque deben confirmarse los peligros de incendio, explosión, asfixia e intoxicación; el trabajo debe realizarse tras obtener el permiso de trabajo seguro y adoptar las medidas necesarias, y deben medirse las concentraciones de gas y oxígeno antes de iniciar una inspección o reparación interna. Los valores admisibles concretos deben establecerse según la sustancia, el trabajo, la legislación y los criterios del centro, por lo que este artículo no aplica una sola cifra de concentración a todos los trabajos.

En los registros de medición deben constar el nombre del gas, el lugar, la hora, el estado del equipo, las condiciones de ventilación y la persona que mide. Para trabajos en los que un cambio de estado sea crítico, como trabajo en caliente, espacio confinado o apertura de sustancias tóxicas, deben fijarse criterios de vigilancia continua o de nueva medición acordes con la velocidad del cambio de riesgo. Cuando suene una alarma, debe activarse primero un procedimiento que suspenda el trabajo de inmediato, evacúe y controle la zona, y solo después permita que personal autorizado confirme el estado de forma remota o protegida; no un procedimiento de acercarse para buscar la causa.

El rearranque no es el final del mantenimiento, sino otra tarea de alto riesgo

Al terminar el mantenimiento se restauran los blinds retirados, se devuelven las válvulas a posición de operación y se reactivan los enclavamientos y las alarmas. En ese momento pueden quedar ocultos trabajos inacabados, reparaciones temporales, componentes instalados incorrectamente, herramientas y restos, instrumentos conectados al revés o drenajes que no se cerraron. Si los operadores no comprenden el equipo modificado, pueden producirse respuestas equivocadas antes de que el proceso entre en su rango normal.

La guía de aplicación del Apéndice C de PSM de OSHA explica que los cambios que no son sustituciones equivalentes durante un turnaround se tratan mediante el procedimiento de gestión del cambio, se actualizan planos y procedimientos operativos y se realizan la formación necesaria y la revisión previa al rearranque. La revisión de seguridad previa al rearranque no es una reunión para cerrar deprisa una lista de comprobación. Es una instancia de verificación en campo que demuestra la conformidad de la instalación con el diseño, la disponibilidad de los procedimientos de seguridad, operación, mantenimiento y emergencia, la ejecución de las acciones de gestión del cambio, la formación completada y la restitución de las salvaguardas. Durante el rearranque deben permanecer en la zona de riesgo solo las personas imprescindibles, separarse el mantenimiento no esencial y el trabajo en caliente, y definirse de antemano las condiciones y la persona responsable para detenerse si aparecen señales anormales.

Ocho preguntas operativas para romper la estructura del accidente

El nivel de control del mantenimiento de parada puede comprobarse no por el número de documentos, sino por la capacidad de responder a las siguientes preguntas.

  1. ¿Cuál es hoy el estado del proceso: parada completa, operación parcial, purga, prueba o rearranque, y cómo se indica en campo?

  2. ¿Quién identifica en cada turno las operaciones simultáneas que se afectan entre sí y qué trabajo se detiene si hay conflicto?

  3. ¿Dos partes han confirmado de forma independiente el equipo que se abrirá, tanto en el plano como en el campo?

  4. ¿Con qué método se ha demostrado que se han aislado todas las fuentes y vías de entrada de energía y que no quedan presión ni residuos?

  5. ¿Se han comunicado de nuevo los peligros de proceso, la evacuación y las medidas de protección cuando se reasigna a trabajadores o cambia el alcance?

  6. ¿El objeto, el lugar, el momento y las condiciones de nueva medición de gases, así como la acción tras una alarma, se ajustan al escenario de riesgo?

  7. ¿Están garantizados los hold points que no pueden omitirse y la autoridad para detener el trabajo cuando el calendario se retrasa?

  8. ¿Quién verifica finalmente los cambios, medidas temporales, blinds, válvulas, instrumentos, enclavamientos y trabajos inacabados antes del rearranque?

Las ocho preguntas no son una lista de comprobación independiente, sino una red conectada. Aunque la identificación de la tubería sea correcta, hay peligro si el aislamiento es erróneo; aunque el aislamiento sea correcto, las condiciones cambian si comienza un trabajo en caliente adyacente. Aunque la medición sea adecuada, el siguiente equipo trabaja con una premisa antigua si el estado del equipo se omite en la entrega entre turnos. Por ello, la unidad clave de gestión en un turnaround no es una tarea individual, sino el estado del proceso y las interfaces entre trabajos.

Conclusión: gestione las interfaces, no el volumen de mantenimiento

El riesgo durante el mantenimiento de parada no se explica en una sola frase como «hay mucha gente» o «un trabajador cometió un error». En un estado en que desaparecen las condiciones estables de la operación normal, se solapan varios oficios, cambian continuamente las fronteras de tuberías y energía y personal contratista poco familiar se mueve bajo presión de calendario. Aunque existan permisos y formación individuales, si se rompe la conexión entre ellos, la apertura del equipo equivocado, la exposición a residuos, la ignición y el retraso en la evacuación pueden conectarse en una sola vía de accidente.

El punto de partida de la prevención no es aprobar todos los trabajos con mayor rapidez, sino hacer visible el estado. Deben alinearse en una misma pantalla y un mismo lenguaje de campo el estado operativo actual, el límite de aislamiento, los conflictos de operaciones simultáneas, las condiciones de gas, las personas responsables y los puntos de parada. Además, deben revisarse de nuevo los permisos cuando cambien el alcance, el personal, el viento o el estado del proceso. Un turnaround no es un acto de detener equipos, sino un periodo de operación de una fábrica temporal cuya configuración de riesgos cambia con rapidez. Solo con esa perspectiva pueden gestionarse como un mismo objetivo la terminación del mantenimiento y un rearranque seguro.

Referencias

Foto de portada

Foto original de Pexels