Andy Garcia · dev freelance
FRENES
Volver al blog
Ingeniería

Shell contaba con 11 salvaguardas contra la explosión de un horno. Todas dependían de una persona.

20 de octubre de 2026 7 min de lectura

El 16 de septiembre de 2026, la Junta de Seguridad Química de EE. UU. (US Chemical Safety and Hazard Investigation Board, CSB) publicó su informe final sobre la explosión del horno 5 de Shell Polymers Monaca, un craqueador de etano situado a unos 48 kilómetros (30 millas) al noroeste de Pittsburgh. El 4 de junio de 2025, gas inflamable fluyó hacia atrás hasta la cámara de combustión del horno, encontró las llamas piloto encendidas y explotó. Nadie murió ni resultó gravemente herido, según el CSB. Quince empleados fueron evacuados, Shell estimó los daños en 95 millones de dólares y el horno se reinició el 22 de enero de 2026.

El CSB concluyó que la causa fue «la apertura simultánea e inadvertida de las dos válvulas motorizadas» que aislaban el horno. El resto del informe importa más. El propio equipo de investigación de Shell enumeró 11 controles con los que el sitio contaba para prevenir o mitigar este suceso. El CSB constató que todos dependían de que las personas conocieran una regla y la siguieran, y que los 11 fallaron.

No soy ingeniero de procesos. Leí este informe de 70 páginas como alguien que entrega software, porque en el centro de la historia hay una pantalla.

Por qué el gas fluyó hacia atrás

Los hornos de Monaca calientan una mezcla de etano y vapor a 1.545 °F, unos 840 °C, hasta que las moléculas se craquean en etileno, hidrógeno y subproductos. Monaca tiene siete hornos en paralelo. Sus gases se enfrían y se unen en una sola corriente que alimenta una torre de enfriamiento que opera a unos 5 psig, es decir, 5 libras por pulgada cuadrada por encima de la presión atmosférica (aproximadamente 0,34 bar).

Cada salida de horno tiene dos válvulas motorizadas de 36 pulgadas en serie: una válvula del lado del horno y luego una del lado de la torre. La cámara de combustión de un horno que no produce está cerca de la presión atmosférica, por debajo de la presión de esa corriente unida, y el gas va de la presión alta a la baja. Si se abren ambas válvulas mientras otros hornos producen, la corriente unida fluye de vuelta hacia el horno parado. El 4 de junio, cuatro hornos estaban produciendo.

Una cámara de combustión no es un recipiente a presión. El CSB da a las paredes del horno 5 un límite estructural de 0,01 psig, unos 69 pascales, la presión en el fondo de 7 milímetros de agua. Podían contener gas que se acumula, no una explosión. El etileno arde en el aire entre el 2,7 % y el 36 % en volumen, y Shell había dejado los pilotos encendidos durante el mantenimiento, contra su propio plan de aislamiento, para mantener caliente el horno y evitar la condensación.

Seis minutos

El horno 5 estaba doblemente aislado desde el 31 de mayo para vaciar su trampa de coque, por primera vez desde que la planta arrancó en noviembre de 2022. Ambas válvulas estaban cerradas y se había abierto una purga entre ellas. El panel local de campo no podía reabrir la válvula del lado de la torre. Solo un ingeniero de control de procesos podía hacerlo, anulando el sistema instrumentado de seguridad (SIS) desde una estación de trabajo de ingeniería junto a la sala de control.

En la reunión de la mañana del 4 de junio, esa tarea se asignó a un ingeniero que nunca la había hecho. La hoja de instrucciones escrita enumeraba sus pasos en desorden, así que el SIS siguió en solo lectura hasta que un colega explicó que hacía falta el modo «debug». Al entrar en ese modo se refrescó la pantalla, que volvió al principio.

Las tres válvulas del horno 5 compartían esa única pantalla con desplazamiento: la válvula del lado del horno arriba, la válvula de descoquizado en medio, la válvula del lado de la torre abajo. Sus bloques lógicos se identificaban como 511, 512 y 513. A las 14:14:28, la orden de apertura fue a 511.

Saltó una alarma: válvula en un estado inesperado. Su texto era idéntico al de la alarma de la válvula del lado de la torre salvo por el último dígito. El operador de la sala de control sabía que se estaba abriendo la válvula del lado de la torre, supuso que era esa y reconoció la alarma.

Unos dos minutos después, el ingeniero vio que la válvula del lado de la torre no se movía, concluyó (erróneamente, dice el CSB) que la válvula del lado del horno ya estaba abierta, retiró la orden y, a las 14:17:50, abrió 513. Hacia las 14:20, un operador de la sala de control vio la válvula del lado del horno abierta y la del lado de la torre abriéndose, ya al 78 %. La orden de cierre salió a las 14:20:39. El ventilador de tiro inducido de la chimenea, que había quedado en modo de control de velocidad tras una actualización de firmware, no podía evacuar el gas tan rápido como llegaba. A las 14:20:45 en la cronología del informe, unos seis minutos después de la primera orden, un volumen estimado de 641 libras (unos 290 kg) de gas craqueado en la cámara de combustión alcanzó los pilotos.

Once controles, y enclavamientos configurados para otros modos

La lista de 11 de Shell se lee como lo que escribe un equipo cuidadoso. Una política para que solo una válvula esté abierta al salir del bloqueo. Una política sobre fuentes de ignición, mientras los pilotos ardían. Respuestas del operador a las alarmas de presión de la cámara, de monóxido de carbono y de metano, todas suprimidas por diseño en el modo de solo pilotos; la alarma de CO, señala el informe, habría sonado unos 90 segundos antes de la ignición. La respuesta a la alarma de válvula, reconocida sobre la válvula equivocada. Un formulario de derivación del SIS con plan de mitigación, que el personal creía que no se aplicaba a los ingenieros; el CSB no encontró tal exención en la política. Una política de zona de exclusión, que no se activó porque salir de mantenimiento no contaba como arranque.

Nada de esto era una sorpresa. El análisis de peligros de Shell de 2023 había identificado el flujo inverso a través de estas válvulas como un escenario que podía causar varias muertes. Se apoyaba en dos controles administrativos, la alarma de metano y un procedimiento de arranque, y juzgaba que los controles de ingeniería serían «groseramente desproporcionados respecto a la reducción de riesgo». El 4 de junio, la alarma estaba suprimida y ese procedimiento no estaba en uso.

El control de ingeniería también existía. El licenciante, Selas Linde, había incorporado dos enclavamientos en el panel de campo: un enclavamiento de llaves secuenciado y un enclavamiento SIL 2 que cierra la válvula del lado del horno cuando detecta la baja presión de un reflujo. Pero una sola válvula de salida es la práctica de la industria, y Shell había pedido dos. El equipo de diseño supuso que solo una estaría cerrada a la vez, y la lógica del panel cubría modos de operación como el descoquizado, no la retirada de un doble aislamiento. Reprogramar el panel figuraba en una lista de proyectos de mejora; otros estaban mejor clasificados y financiados. Mientras tanto, la vía ingeniero más anulación había funcionado 19 veces.

Desde entonces, Shell ha hecho que las tres válvulas se puedan accionar desde el panel de campo, ha añadido lógica SIS que mantiene cerrada la válvula del lado de la torre si la del lado del horno se abre por error, ha retirado la hoja de instrucciones y ha sacado a los ingenieros de la tarea. Aun así, el CSB emitió dos recomendaciones: un diseño intrínsecamente más seguro o un control de ingeniería para cada escenario del análisis de peligros que dependa únicamente de controles administrativos y pueda causar una muerte, una lesión grave o daños sustanciales; y un control de ingeniería antirretorno para todos los modos de operación, basado en la aportación del licenciante y en prácticas como la IEC 61511. Cuando salió el informe, ambas figuraban como abiertas, a la espera de la respuesta de Shell.

Lo que saco de esto

Son analogías: una aplicación web no explota, y nada de lo que construyo lleva este peligro. Pero la forma del fallo es familiar.

  1. Un procedimiento es un control que corre sobre una persona. Para el escenario que sabes catastrófico, pon el control en el sistema. Una línea de runbook que dice «nunca ejecutes esto contra producción» es un procedimiento; el código que se niega a hacerlo es un enclavamiento. Con Claude Code, un prompt que pide al agente que sea cuidadoso es un procedimiento; una regla de permisos que deniega un comando se parece más a un enclavamiento.
  2. Las protecciones construidas para los modos normales se callan en los modos raros. El enclavamiento cubría el descoquizado, no la salida de un doble aislamiento, y las alarmas se silenciaban según el modo. El mantenimiento, las restauraciones y los scripts de emergencia son los lugares donde desaparecen los controles. Haz la lista de esas rutas y pruébalas.
  3. Pon nombres pensando en la persona bajo presión. La propia especificación de HMI de Shell pedía descripciones «lo más completas posible», dentro de 40 caracteres, y daba «CRACKED GAS DRYER A» como ejemplo. «FURNACE-SIDE MOV» tiene 16. La norma ISA-101 citada por el CSB dice que una orden que actúa directamente sobre el proceso no debería ser posible «desde una única acción de entrada inadvertida». Una confirmación que repite el objetivo con palabras cuesta un clic.
  4. Diecinueve ejecuciones limpias no son un caso de seguridad. Las pautas del CCPS citadas por el CSB advierten contra el «no ha pasado antes, así que no pasará ahora».
  5. Cuando la solución real está en el backlog, deja por escrito qué la sustituye y forma a la gente en ello. Aquí eran 11 controles en los que, según el CSB, el personal no había recibido formación adecuada.

El informe tiene límites. El CSB no es un regulador, y sus conclusiones no pueden usarse como prueba en demandas por daños. No se detiene en el error del ingeniero: cita a James Reason sobre las personas en la interfaz como «las herederas de los defectos del sistema». Y no dice que los procedimientos sean inútiles, solo que no deberían ser la única defensa contra un suceso potencialmente mortal.

Un detalle se me quedó grabado. Shell determinó que, si el operador de la sala de control hubiera seguido la respuesta aprobada a la alarma de válvula, se habría enviado a un operador de campo a revisar la válvula del lado del horno, posiblemente hacia la explosión.

Un procedimiento dice a la gente lo que no debe hacer. Un enclavamiento sigue funcionando el día en que nadie lo leyó.

Fuentes

¿Un proyecto del mismo estilo?

Diseño y despliego productos como este. Hablemos.

Hablemos