Filosofía de parada de emergencia offshore y análisis de evacuación para instalaciones expuestas a huracanes

Las plataformas expuestas a huracanes enfrentan un problema de planificación que una filosofía de parada de emergencia (ESD) convencional no cubre por completo. La lógica ESD está diseñada para eventos rápidos: una fuga de gas, un incendio, una pérdida de contención. Un huracán es lento y previsible, pero va eliminando opciones una a una. Los helicópteros dejan de volar. Las embarcaciones no pueden atracar. Los sistemas marinos y de potencia se degradan. Si el cierre (shut-in), el desembarco de personal y el aseguramiento de la instalación no se secuencian frente a esa ventana que se cierra, se termina en uno de dos malos resultados: una parada de emergencia no planificada con clima deteriorado, o personas a bordo cuando ya no queda una vía de escape segura. Ambos conllevan consecuencias para la seguridad, los activos y el medio ambiente, y reiniciar después de una parada no controlada es más lento y riesgoso que hacerlo tras una planificada.

Este artículo separa los niveles de parada, explica dónde encaja el refugio temporal (TR) en una estrategia contra huracanes y establece cómo construir un estudio de tiempos de evacuación en el que los tomadores de decisiones puedan confiar.

Estándares y contexto regulatorio

Estos son los pilares que yo utilizaría:

• IEC 61511 cubre la seguridad funcional para sistemas instrumentados de seguridad en la industria de procesos. Rige cómo se especifican, verifican y mantienen las funciones de parada cuando se implementan como funciones instrumentadas de seguridad.
• API RP 14C cubre el análisis, diseño, instalación y prueba de sistemas básicos de seguridad de superficie para plataformas de producción offshore. Es la base tradicional para la lógica de parada de proceso y dispositivos de seguridad en instalaciones reguladas por EE. UU.
• ISO 13702 cubre el control y la mitigación de incendios y explosiones en instalaciones de producción offshore. Es la referencia común para la filosofía ESD, las funciones del TR y las disposiciones de escape y evacuación.

Los reguladores asignan la responsabilidad al operador. La guía de huracanes de la BSEE establece que el operador debe desarrollar e implementar planes de respuesta a emergencias que incluyan disposiciones para evacuar al personal, y debe evaluar los riesgos de huracanes y actuar en consecuencia, incluyendo análisis de incendios, explosiones y evacuación. Las Industry Guidelines for the Management of Emergency Response for Offshore Installations de Oil & Gas UK (ahora OEUK), Edición 3 (2010), siguen siendo una referencia útil para estructurar el mando, el control y la competencia en respuesta a emergencias. Ninguno de los documentos es específico para huracanes, pero ambos esperan que la evacuación sea analizada, no supuesta.

Jerarquía de ESD: Parada de emergencia frente a parada preventiva

Mantener diferenciados los dos modos de parada

La preparación para huracanes involucra dos modos diferentes, y confundirlos causa problemas.

• Parada de emergencia se inicia automáticamente o a mano en respuesta a un evento peligroso. Es rápida, prioriza el aislamiento y está diseñada para fallar a un estado seguro definido.
• Parada preventiva (planificada) es una secuencia escalonada, dirigida por el operador y activada por un pronóstico. Es más lenta y controlada. Los pozos se cierran, se gestiona el inventario del proceso y la instalación se deja en un estado que pueda soportar la tormenta sin personal.

La secuencia planificada debe utilizar los mismos dispositivos de aislamiento final que la ESD, pero no debe depender de la ESD para llevarse a cabo.

Jerarquía típica y qué debe proteger

Los operadores nombran sus niveles de manera diferente, así que defina los suyos explícitamente en el documento de filosofía. La estructura funcional es generalmente la siguiente.

Definir el estado seguro por función

Un error común de diseño de ESD es asumir que el "desenergizar para actuar" es correcto para cada función. No lo es. El estado seguro debe definirse para cada función mediante un análisis de riesgos, no suponerse. Una válvula puede necesitar permanecer abierta para evitar el sobrecalentamiento. La iluminación de emergencia, la detección de incendios, las comunicaciones y los sistemas de evacuación deben seguir funcionando después de que el equipo de producción se detenga. En el contexto de un huracán, esto significa:

• mantener vivos la detección de fuego y gas, el perifoneo y la energía de emergencia tras aislar la producción, mientras el personal permanezca a bordo;
• confirmar qué sucede con el aire de servicios e instrumentos cuando se pierde la energía principal en una tormenta;
• decidir si los sistemas de tea y venteo deben permanecer disponibles durante un largo periodo sin personal.

Unidades de posicionamiento dinámico

Para embarcaciones DP y MODUs, no se debe permitir que la ESD cause una pérdida de posición. En temporada de huracanes esto importa mucho, porque un apagón con mal tiempo crea una segunda emergencia. Las decisiones sobre desconectar o quedarse deben seguir un plan acordado previamente, no una llamada ad hoc. Acuerde puntos de decisión por escrito, responsables y activadores antes de que comience la temporada.

Temporary Refuge Design in a Hurricane Context

El TR protege al personal contra incendios, explosiones y humo o gases tóxicos durante el tiempo necesario para completar la respuesta a emergencias y la evacuación, según se define en ISO 13702. Normalmente no es un refugio contra huracanes, y tratarlo como tal es un error estratégico. Un enfoque de permanencia durante la tormenta requeriría su propio análisis estructural, de movimiento, de soporte vital y de escape, y la mayoría de los diseños de TR nunca fueron concebidos para cumplir con ese estándar.

Cuando la estrategia consiste en evacuar la instalación antes de que el huracán toque tierra, el TR sigue siendo importante de dos maneras:

1. Evacuación en la etapa final. Las últimas personas a bordo trabajan desde el TR, y sus comunicaciones, control de reunión y detección deben funcionar hasta la última salida.
2. Riesgo residual si se interrumpe la evacuación. Si se pierde o retrasa un helicóptero o una embarcación, las personas que quedan a bordo necesitan un lugar defendible donde estar. El estudio debe indicar explícitamente si el TR es aceptable para ese caso y por cuánto tiempo. Dejar la pregunta abierta no es una opción.

Para la revisión del diseño, verifique la supervivencia del TR frente a peligros que coinciden con condiciones climáticas severas: pérdida de energía principal, rutas de escape bloqueadas por la acción del viento y las olas en pasarelas expuestas, y degradación de los amortiguadores o tomas de HVAC. También confirme que las áreas de lanzamiento de botes y balsas salvavidas sean utilizables en el estado del mar previsto, porque la evacuación por mar suele ser el último recurso.

Evacuation Timing Studies

Build the timeline backward from weather

Un estudio de tiempos de evacuación responde a una pregunta: desde el momento en que se toma una decisión, ¿pueden todos salir de la instalación de manera segura antes de que el clima inhabilite los medios de salida? La respuesta debe expresarse como un margen.

El tiempo requerido es la suma de elementos secuenciales:

T_required = T_decision + T_shut-in + T_mobilise + T_embark + T_transit_and_recovery

y el margen es:

Margin = T_available − T_required

T_available es el tiempo desde el punto de decisión hasta el inicio previsto de las condiciones que detienen los modos de evacuación elegidos (operaciones de aeronaves, operaciones de embarcaciones al costado, lanzamiento de embarcaciones de supervivencia). Cada término necesita un responsable y una base: datos históricos de simulacros, compromisos de contratistas o simulación.

Tres puntos mantienen la integridad del estudio:

• Paralelo frente a serie. El cierre (shut-in), el aseguramiento de grúas y objetos sueltos, y el movimiento de personal se superponen en la práctica, pero solo donde la dotación y los permisos lo permiten. Modele las dependencias reales.
• Falla de modo. Pruebe el caso en el que el modo primario no está disponible, como una flota de aeronaves en tierra o una embarcación retrasada, y vea en qué se convierte el margen.
• Incertidumbre del pronóstico. T_available proviene de un pronóstico de trayectoria e intensidad que cambia constantemente. Establezca el activador de la decisión lo suficientemente temprano para que el margen sobreviva a un pronóstico pesimista, no solo al central.

Modelling and optimisation

El documento de OTC "Evacuation Procedure Modeling and Optimization for Offshore Structures" (2022) aborda las FPSO desconectables en regiones de huracanes y ciclones, donde el procedimiento de evacuación debe modelarse como un todo. Lo que un profesional obtiene de él es el enfoque: tratar el procedimiento como un modelo cuyas etapas pueden secuenciarse, probarse y optimizarse, en lugar de como una lista de verificación estática. Los sistemas desconectables añaden pasos como la desconexión y la salida de la embarcación. Esos pasos pertenecen a la línea de tiempo y a la lógica de ESD que los respalda.

Illustrative Scenario

Lo siguiente es una ilustración construida, no un evento reportado.

Una plataforma de producción fija en una cuenca propensa a huracanes utiliza helicópteros como modo de evacuación primario y una embarcación de reserva como secundario. El equipo de operaciones realiza una revisión de tiempos cuando una tormenta entra en el cono de planificación.

1. El equipo enumera cada elemento de la línea de tiempo y asigna un responsable: autoridad de decisión, cierre de producción, aislamiento submarino y de cabezal de pozo, aseguramiento de cubierta, movilización de helicópteros, procesamiento de pasajeros y salida final.
2. El cierre de producción resulta ser el elemento individual más largo, porque varios trenes deben salir de servicio en secuencia y el tren de compresión de gas necesita una despresurización controlada. Por lo tanto, la revisión inicia el cierre antes que la evacuación, para que ambos se superpongan.
3. El proveedor de helicópteros informa que sus aeronaves no pueden operar una vez que las condiciones superan un límite de la compañía. El equipo utiliza la hora de llegada prevista de esas condiciones como T_available para el modo primario.
4. El margen (Margin = T_available − T_required) para el pronóstico central resulta positivo. Al repetir el cálculo con un pronóstico de llegada más temprana y una aeronave no disponible, el margen resulta negativo.
5. Por lo tanto, la plataforma establece su activador de decisión más temprano, y la lista de verificación gana el requisito de confirmar la disponibilidad de la embarcación siempre que el margen de la aeronave sea escaso.

El segundo cálculo es el objetivo del ejercicio. Un único margen positivo en el mejor de los casos del pronóstico no es una base aceptable para una decisión.

Lista de verificación práctica

Filosofía y lógica

• Definir la parada precautoria y la parada de emergencia como modos documentados separados, con un límite claro entre ellos.
• Confirmar que los diagramas de causa y efecto muestren el estado seguro por función, con el análisis de riesgos detrás de cada uno.
• Verificar que la energía de emergencia, detección, comunicaciones y sistemas de reunión permanezcan disponibles después del aislamiento del proceso mientras haya personal a bordo.
• Para unidades DP, revisar las acciones de ESD frente a las consecuencias de pérdida de posición.

Refugio temporal y escape

• Establecer la base de diseño del TR y si se acepta como refugio si se interrumpe la evacuación.
• Comprobar las rutas de escape, los puntos de embarque y las zonas de lanzamiento para verificar su usabilidad en el clima pronosticado.
• Confirmar el comportamiento de HVAC, tomas de aire y compuertas ante la pérdida de energía principal.

Tiempos de evacuación

• Documentar cada elemento del cronograma con un responsable y una base.
• Calcular el margen para el pronóstico central, un pronóstico pesimista y un modo de evacuación degradado.
• Establecer disparadores de decisión a partir del caso pesimista y nombrar a la persona con autoridad para invocarlos.
• Alinear por escrito los compromisos de los contratistas (aeronaves, embarcaciones, recepción en tierra) con los supuestos del estudio.

Reinicio y revisión

• Planificar cómo se deja la instalación: posiciones de válvulas, inventario, equipos asegurados y monitoreo de la instalación no tripulada.
• Desarrollar un procedimiento de inspección y reingreso post-tormenta antes de que comience la temporada. Cualquier trabajo que abra o inspeccione equipos que contengan hidrocarburos al reingresar debe seguir el aislamiento, despresurización, verificación de energía cero, lock-out/tag-out, precauciones de área clasificada, detección de gas y venteo seguro.
• Realizar un simulacro del cronograma completo y actualizar el estudio con lo revelado en el simulacro.

Conclusión

Una estrategia ante huracanes se basa en tres elementos que trabajan juntos: una filosofía de ESD que separa la parada planificada de la de emergencia, un TR cuyo papel está definido honestamente y un estudio de tiempos de evacuación que expresa la respuesta como un margen bajo condiciones pesimistas. Comience revisando su filosofía actual para el límite entre lo precautorio y lo de emergencia y los estados seguros por función. Luego reconstruya el cronograma de evacuación hacia atrás desde el clima y pruébelo con un modo de evacuación degradado. Donde aparezcan brechas, ciérrelas antes de la temporada, utilizando IEC 61511, API RP 14C y ISO 13702 como marco técnico y las expectativas de planificación de emergencia de su regulador como marco de cumplimiento.