Algoritmos para Análise de Alarmes em Processos Petroquímicos

Transcrição

1 UNIVERSIDADE FEDERAL DO RIO GRANDE DO NORTE CENTRO DE TECNOLOGIA CT CENTRO DE CIÊNCIAS EXATAS E DA TERRA CCET PROGRAMA DE PÓS-GRADUAÇÃO EM CIÊNCIA E ENGENHARIA DE PETRÓLEO - PPGCEP DISSERTAÇÃO DE MESTRADO Algoritmos para Análise de Alarmes em Processos Petroquímicos Gustavo Bezerra Paz Leitão Orientador: Prof. Dr. Luiz Affonso Henderson Guedes de Oliveira Natal / RN, Novembro de 2008

2 Algoritmos para Análise de Alarmes em Processos Petroquímicos Gustavo Bezerra Paz Leitão Natal / RN, Novembro de 2008

3 Gustavo Bezerra Paz Leitão Algoritmos para Análise de Alarmes em Processos Petroquímicos. Dissertação de Mestrado apresentada ao Programa de Pós- Graduação em Ciência e Engenharia de Petróleo PPGCEP, da Universidade Federal do Rio Grande do Norte, como parte dos requisitos para obtenção do título de Mestre em Ciência e Engenharia de Petróleo. Aprovado em de de Prof. Dr. Luiz Affonso Henderson Guedes de Oliveira Orientador UFRN Prof. Dr. Adrião Duarte Dória Neto Membro Interno - UFRN Prof. Dr. Jorge Dantas de Melo Membro Interno - UFRN Dr. Mário Cesar Mello Massa de Campos Membro Externo CENPES/PETROBRAS

4 LEITÃO, Gustavo Bezerra Paz - Algoritmos para Análise de Alarmes em Processos Petroquímicos. Dissertação de Mestrado, UFRN, Programa de Pós-Graduação em Ciência e Engenharia de Petróleo. Área de Concentração: Pesquisa e Desenvolvimento em Ciência e Engenharia de Petróleo. Linha de Pesquisa: Automação na Indústria de Petróleo e Gás Natural, Natal RN, Brasil. Orientador: RESUMO Transformar o crescente volume de dados provenientes dos sensores do chão-defábrica de uma indústria em informação útil e relevante, sem dúvidas, é um dos grandes desafios da automação industrial moderna. Nos últimos anos, houve um significativo acréscimo do monitoramento dos processos industriais, levando a um aumento da quantidade de variáveis monitoradas através de alarmes. Muitos desses alarmes foram configurados e inseridos sem uma metodologia formal, gerando um excesso de alarmes. Os sistemas de alarmes, por sua vez, não estavam preparados para lidar com tamanha quantidade de informação, principalmente em processos industriais complexos, o que acarretou em acidentes industriais catastróficos, como a explosão da refinaria da Texaco na cidade de Milford Haven, em julho de Diante da relevância do tema, este trabalho visa propor um conjunto de análises e seus algoritmos que deverão ser utilizados com dados históricos de alarmes e evento e têm como objetivo encontrar problemas em configurações de alarmes, alarmes desnecessários além de realizar o acompanhamento do desempenho do sistema de alarmes. Palavras-Chaves: Automação industrial, Sistemas de gerenciamento de alarmes, Racionalização.

5 ABSTRACT To transform the ascending data volume derived from the factory-floor sensors of an useful and relevant industry is, undoubtly, one of the greatest challenges of the modern industrial automation. During the last years, there has been a meaningful increasing on the industrial processes monitoring, leading to the raise of the quantity of variables monitored through alarms. Many of these alarms were set up and inserted without a formal methodology, generating an excess of redundant or intermittent alarms. The alarm systems, on the other hand, were not prepared to deal with such quantity of information, specially during complex industrial processes, entailing catastrophic industrial accidents, such as the explosion of the Texaco refinery in the city of Milford Haven, in July This study aims to develop an alarm management system with the purpose of aiding the alarms rationalization task, identifying - by analyzing the historical data - bad configured alarms. Also, intends to make avaible a visual environment to the development and validation of alarm rules, allowing the insertion and documenting of the process knowledge of the system s operator and/or engineer. Facing the relevance of the theme, this paper aims to propose a group of analysis and their algorithms that shall be used with historical data of alarms and events, and have as goal finding problems on alarms configurations, unnecessary alarms besides the fact of accompanying the performance of the alarm systems. Keywords: Industrial automation, Alarm management system, Rationalization.

6 AGRADECIMENTOS Ao meus pais e irmãs, por todo apoio dedicado. À Larissa Marinho, em especial, por estar sempre ao meu lado. Ao meu orientador, Prof. Luiz Affonso, pela orientação e excelente convivência estabelecida neste período. Aos meus colegas de trabalho, pela ajuda no desenvolvimento deste tema. À Petrobras pelo incentivo ao trabalho e apoio financeiro.

7 Sumário Sumário Lista de Figuras Lista de Tabelas Lista de Abreviaturas i iii v vi 1 Introdução Objetivo da Dissertação Estrutura do Trabalho Gestão de Alarmes Sistemas de Gerenciamento de Alarmes Ineficácia em Sistemas de Alarmes Incidentes Normas Norma EEMUA Norma ISA-SP Algoritmos para Análises de Alarmes Ciclo de Vida do Alarme Pré-processamento dos Dados Algoritmos para Análise de Alarmes Análises de Freqüência Análises de Duração Análises Avançadas i

8 4 Resultados Experimentais Resultado das Análises de Freqüência Resultado das Análises de Contagem de Bad-Actors Resultados da Análise de Distribuição de Prioridades Resultados das Análises de Duração Resultados de Análises do Tempo de Duração do Alarme Resultados de Análises do Tempo de Reconhecimento dos Alarmes Resultados das Análises Avançadas Resultado das Análises de Ocorrência Resultados de Análises de Interrelação Análise de Alarmes Recorrentes Resultados das Análises de Alarmes Intermitentes Resultados da Identificação de Períodos de Avalanches Considerações Finais 74 Referências bibliográficas 76

9 Lista de Figuras 1.1 Modelo em camadas de um Sistema de Automação Aumento do número de alarmes controlados por operador ao longo dos anos Limites de alarmes bem ajustados Limites de alarmes bastante próximos Limites de alarmes bastante afastado ISA-SP18 Ciclo de Vida do Gerenciamento de Alarmes Ciclo de gestão Comportamento de uma variável de processo e seus níveis de alarme Ciclo simplificado de vida de um alarme Diagrama de Estados para Alarmes Exemplo de Gráfico da Análise de ocorrências Ilustração do procedimento para cálculo da Análise de Interrelação Exemplo de resultado em grafo para a análise de interrelação Ilustração do procedimento para o cálculo da análise de recorrência Exemplo de resultado via forma gráfica para a análise de recorrência Ilustração do procedimento para o cálculo da análise de intermitência Exemplo de resultado via forma gráfica para a análise de intermitêcia Ilustração do procedimento para o cálculo da análise de avalanche Exemplo de resultado via forma gráfica para a análise de avalanche Distribuição de ocorrências em uma Planta de Exploração Distribuição de ocorrências em uma planta de transporte de óleo e gás Distribuição de ocorrências em uma planta de refino Bad-actors em uma planta de exploração Bad-actors em uma planta de transporte de óleo e gás Bad-actors em uma planta de refino iii

10 4.7 Distribuição de prioridade em uma planta de exploração Distribuição de prioridade em uma planta de transporte Vinte alarmes com maior tempo médio de duração Vinte alarmes com menor tempo médio de duração Vinte alarmes com maior tempo médio de reconhecimento Vinte alarmes com menor tempo médio de reconhecimento Resultado da Análise Avançada de Ocorrência para o alarme EMED-OLEO Visualização aproximada das ocorrências do alarme EMED-OLEO Resultado da Análise Avançada de Ocorrência para o alarme LI Resultado da Análise Avançada de Interrelação para o alarme B Resultado da Análise Avançada de Interrelação para o alarme PDIT Resultado da Análise Avançada de Interrelação para o alarme PDIT em um período de quatro meses Resultado da Análise Avançada de Recorrência com os parâmetros de 10 alarmes em 10 minutos Resultado da Análise Avançada de Recorrência com os parâmetros de 30 alarmes em 10 minutos Visualização de um trecho aproximado do resultado da Análise Avançada de Recorrência com os parâmetros de 30 alarmes em 10 minutos Resultado da Análise Avançada de Intermitência com os parâmetros de 15 alarmes e 15 dias Resultado da Análise Avançada de Intermitência com os parâmetros de 15 alarmes e 20 dias Resultado da Análise Avançada de Intermitência com os parâmetros de 20 alarmes e 30 dias Resultado da Análise Avançada de Avalanche com os parâmetros de 55 alarmes e janela de 10 minutos Resultado aproximado da Análise Avançada de Avalanche com os parâmetros de 55 alarmes e janela de 10 minutos

11 Lista de Tabelas 3.1 Alarmes sem processamento recebidos do supervisório Alarmes sem processamento recebidos do sistema supervisório Alarmes processados Resultado Genérico para uma análise de bad-actors Resultado genérico para uma análise de distribuição de prioridade Resultado genérico para uma análise de histórico de alarmes Resultado genérico para uma análise de histórico de alarmes Exemplo de resultado para uma análise de tempo médio de duração de alarmes Exemplo de resultado em tabela para a análise de interrelação Exemplo de resultado em tabela para a análise de recorrência v

12 Lista de Abreviaturas ASM CLP CCPS DCS EEMUA EPS ERP ESS FPS FSA GUI HAZOP HI/LO HIHI/LOLO HSE IEC IO IOP ISA MOC ODBC OLE OPC PES SCADA SIGA Abnormal Situation Management Controlador Lógico Programável Center for Chemical Process Safety Distributed Control System Engineering Equipment and Materials Users Association Enterprise Production Systems Enterprise Resource Planning Emergency Shutdown System Failure Protection System Function Safety Assessment Graphical User Interface Hazard and Operability Studies High/Low High High/Low Low Health and Safety Executive International Electrotechnical Commission Input/output Input-Open Instrumentation, Systems and Automation Society Management of Change Open Data Base Connectivity Object Linking Embedding OLE For Proccess Control Programmable Electronic System Supervisory Control and Data Acquisition Sistema Inteligente de Gerenciamento de Alarmes

13 Capítulo 1 Introdução Automação (do inglês Automation) é um sistema automático de controle pelo qual os mecanismos verificam seu próprio funcionamento, efetuando medições e introduzindo correções, sem a interferência do homem [de Holanda Ferreira 1993]. A automação foi, sem dúvida, uma das grandes revoluções tecnológicas do século XX, pois possibilitou otimizar processos antes realizados pela força humana e desempenhar tarefas antes impossíveis para o homem. Um sistema de automação atual pode ser melhor compreendido se o dividirmos em níveis, como ilustra a Figura 1.1. Figura 1.1: Modelo em camadas de um Sistema de Automação. Na base da pirâmide encontra-se o nível de sensores e atuadores. Estes são responsáveis pela interação direta com o processo, fazendo a leitura das variáveis relevantes através dos sensores e interferindo no processo por intermédio dos atuadores. No nível imediatamente acima, encontram-se os controladores lógico programáveis (CLP) e os Su-

14 CAPÍTULO 1. INTRODUÇÃO 2 pervisory Control and Data Acquisition (SCADA), que realizam o controle regulatório e supervisão, respectivamente. O terceiro nível, Enterprise Production Systems (EPS), é o responsável pela gerência de informação. Neste nível, são armazenados dados referentes aos processos que podem ser utilizados como informação útil. No topo da pirâmide estão os sistemas responsáveis pela transformação desses dados em informação de negócio, Enterprise Resource Planning (ERP) [Souza et al. 2005]. A integração das informações de chão-de-fábrica aos sistemas corporativos possibilita a otimização da gerência, refletindo positivamente nos aspectos financeiros. Dentre os vários benefícios existentes nessa integração, podemos destacar: a disponibilidade para comprometimento, redução do tempo de produção e a implantação e otimização da cadeia de suprimentos. Com o advento de equipamentos de campo cada vez mais inteligentes e baratos, uma grande variedade de dados provenientes desses equipamentos pôde ser disponibilizada em tempo real para os sistemas supervisórios ou mesmo para outras aplicações. Assim, o grande desafio atual da automação industrial é transformar esse grande volume de dados em informação útil à tomada de decisão, de modo que venha a contribuir efetivamente na melhoria da operação e planejamento do processo como um todo. Nesse cenário, podem-se incluir os procedimentos para gerenciamento de informação proveniente do monitoramento em tempo real de eventos ocorridos no sistema. Em muitos casos, os sistemas supervisórios são programados para gerarem sinalizações quando detectado algum comportamento anormal no funcionamento da planta, auxiliando, assim, os operadores na efetiva identificação e resolução dos possíveis problemas. Entretanto, a complexidade das operações envolvidas no sistema de produção e refino de petróleo resulta em um grande conjunto de dispositivos de sensores usualmente projetados e implantados sem uma filosofia formal para sua gerência em conjunto. Este é o caso dos sinais de alarmes e eventos gerados durante a operação de um processo. Em geral, a utilização da metodologia para gestão de alarmes baseada, tão somente, na intuição e no conhecimento prévio dos funcionários envolvidos nesses processos, tem como conseqüência a ocorrência de eventos que desencadeiam a geração de falsos alarmes, que, por sua vez, podem acarretar em incidentes que impactam de maneira negativa na produção da planta, elevando os custos de operação e originando a perda de equipamentos, danos pessoais e ao meio ambiente, além do descrédito do sistema de alarmes. Esse problema é melhor visualizado quando se compara a evolução nos sistemas de alarmes utilizados e analisam-se as causas dos incidentes decorrentes de falhas em sistemas de alarmes. Inicialmente, os sistemas de alarmes eram formados por painéis com um número reduzido de dispositivos luminosos (aproximadamente 50), fixados em de-

15 CAPÍTULO 1. INTRODUÇÃO 3 terminada ordem específica o que facilitava a memorização, por parte do operador, dos alarmes existentes e suas respectivas ações corretivas. Com a adoção dos PES (sistemas eletrônicos programáveis), a adição de novos alarmes tornou-se uma tarefa de baixo custo, resultando no acréscimo de inúmeras informações, que dependendo do estado de operação da planta representam conhecimentos desnecessários ao operador. Estima-se, hoje, que um operador manipule cerca de 3500 alarmes (aproximadamente 1500 variáveis de processo) e/ou eventos geralmente organizados em tabelas nem sempre visíveis ou facilmente acessíveis (ver Figura 1.2 para a evolução do número de alarmes controlados por um operador) [Habibi & Hollifield 2006, Venkatasubramanian 2003, White 2003]. Figura 1.2: Aumento do número de alarmes controlados por operador ao longo dos anos. Devido a esse rápido crescimento no número de alarmes controlados por um operador, o gerenciamento correto do alarme ganhou bastante importância no ambiente industrial, despertando, na indústria, a necessidade em adotar uma metodologia capaz de realizar a manutenção e avaliação periódica do sistema de alarmes. Para essa avaliação muitas corporações optam pelo uso de sistemas auxiliares chamados de sistemas de gerenciamento de alarmes. Os sistemas de gerenciamento alarmes enquadram-se na categoria EPS da pirâmide de automação, Figura 1.1, e são responsáveis pela gestão dos alarmes no processo. No próximo capítulo, os sistemas de gerenciamento de alarmes serão descritos, a fim de con-

16 CAPÍTULO 1. INTRODUÇÃO 4 textualizar o tema que inclui o desenvolvimento de algoritmos e técnicas para auxílio na gestão do alarme. 1.1 Objetivo da Dissertação O objetivo principal do desenvolvimento deste tema de dissertação é propor um conjunto de análises e seus algoritmos com o intuito de ajudar em todo o ciclo de gestão do alarme: criação, configuração e auditoria. Atualmente muitas indústrias criam e configuram alarmes sem uma metodologia formal, o que acaba por inundar as telas dos supervisórios com alarmes, que são muitas vezes falsos. Devido a esses acontecimentos, os alarmes vêm perdendo cada vez mais o sentido de alertar para alguma anormalidade, passando a ser um incomodo na vida do operador. Desta forma, muitos sistemas de visualização de alarmes acabam por cair em descrédito, já que, informam falsos alarmes demasiadamente. Sem dúvidas, este descrédito implica em um aumento da insegurança do processo gerando riscos para a segurança pessoal, meio-ambiente e produção. A solução para problemas deste tipo não é trivial. Além de técnicas avançadas de filtragem em tempo real, é necessário que sejam identificados todos os alarmes mal configurados, intermitentes, redundantes e desnecessários. Desta forma, possibilitando agir no processo num ciclo constante de ajuste e melhoramento das configurações dos alarmes. Neste sentido, esta dissertação visa o desenvolvimento de técnicas de identificação de alarmes problemáticos e que por isso necessitam de atenção especial. O objetivo principal é possibilitar o saneamento de alarmes fazendo com que os sistemas de monitoramento possam mostrar em suas telas apenas alarmes relevantes, tornando a operação mais confiável e segura. 1.2 Estrutura do Trabalho Esta dissertação encontra-se estruturada de acordo com os itens subseqüentes: No Capítulo 2 é apresentada a fundamentação teórica necessária para uma melhor contextualização do tema. São abordadas informações sobre gestão de alarmes, características dos sistemas de gerenciamento de alarmes, ineficácia dos sistemas atuais e apresentação das normas regulamentadoras.

17 CAPÍTULO 1. INTRODUÇÃO 5 No Capitulo 3 são descritas as análises que devem ser realizadas em dados históricos de alarmes com o intuito de avaliar a situação geral de alarmes em uma planta industrial. No Capitulo 4 são apresentados os resultados experimentais com a utilização destas análises em plantas de exploração, transporte e refino de petróleo. No Capitulo 5 são expostas as considerações finais do trabalho.

18 Capítulo 2 Gestão de Alarmes Um alarme é uma notificação ao operador sobre a ocorrência de uma anormalidade que necessita de uma ação a ser tomada, mesmo que mental [EEMUA 1999]. Sistemas de alarmes têm a função de receber essas notificações e apresentá-las ao operador. No entanto, muitas vezes é necessário, para a correta identificação de uma anormalidade, a interpretação de múltiplos alarmes. Associado a este problema temos que um operador de uma planta petroquímica normalmente está sujeito a uma grande quantidade de alarmes, o que dificulta a associação eficiente de múltiplos alarmes. Alguns estudos mostram que, em média, um operador de uma planta petroquímica está sujeito a 1500 alarmes por dia, um número bastante alto e bem distante do ideal de 144 recomendados pela norma EEMUA Em horários de pico um operador de planta petroquímica normalmente está sujeito a até 100 alarmes em 10 minutos, longe dos 9 recomendados [Katzel 2007]. Segundo a norma EEMUA 191, um dos principais fatores deste número elevado de alarmes em plantas petroquímicas é a falta de uma filosofia de criação e manutenção das configurações de alarmes. Esta carência, acaba por gerar diversos tipos de alarmes que não necessitam de ação operacional e, por isso, acabam contribuindo para poluir as telas de operação, desviando do operador alarmes que retratam problemas operacionais. 2.1 Sistemas de Gerenciamento de Alarmes Os sistemas de alarmes constituem um elemento fundamental em quase todos os modernos sistemas industriais, incluindo refinarias de petróleo, centrais elétricas, indústrias 1 EMMUA Norma técnica que descreve as boas práticas de gestão de alarmes. Será tratada em detalhes na Seção 2.3.1

19 CAPÍTULO 2. GESTÃO DE ALARMES 7 químicas, entre outras. Tradicionalmente a indicação de alarmes era baseada em lâmpadas indicativas e painéis, porém o avanço computacional impulsionou a utilização de sistemas com a finalidade de apresentar ao operador as anormalidades presentes na planta através de representações gráficas e/ou listas de alarmes. Nascia, então, os sistemas de alarmes [EEMUA 1999]. Segundo a norma EMMUA 191, os sistemas de alarmes são um meio importante para monitoração automática da planta, atraindo a atenção do operador para significativas mudanças do processo que necessitam de avaliação ou ação. Eles auxiliam ao operador a: Manter a planta dentro de uma faixa segura de funcionamento. Um bom sistema de alarmes orienta ao operador sobre situações potencialmente perigosas antes que o ESS (Emergency Shutdown System) seja forçado a intervir. Isto melhora a avaliação da planta e ajuda a diminuir a demanda do ESS, aumentando a segurança. Reconhecer e agir para evitar situações perigosas. É o papel dos sistemas ESS intervir em uma situação perigosa, entretanto podem existir casos onde a planta desvie das suas condições de projeto para um estado onde o ESS não é capaz de agir eficientemente, como durante o start-up de uma planta. Identificar desvios de condições operacionais que poderia levar a perdas financeiras, tais como, produtos fora de especificação ou custo excessivamente alto. Compreender as complexas condições do processo. Alarmes podem ser uma importante ferramenta de diagnóstico e são uma das várias fontes de informação que um operador pode utilizar durante uma perturbação no processo. Neste trabalho, sistemas de alarmes referem-se a todo o sistema para geração e visualização de alarmes. Isso inclui todos os equipamentos (hardwares e softwares) tais como os equipamentos de campo, transmissão de sinais, processamento de alarme e visualização. Por outro lado, os sistemas de gerenciamento de alarmes são os sistemas auxiliares responsáveis por funcionalidades adicionais que visam ajudar em todo o processo de gestão de alarmes. Atualmente, diante da ineficiência apresentada pelos sistemas de alarmes, conforme será descrito na Seção 2.2, algumas indústrias já adotam sistemas de gerenciamento de alarmes independentes dos sistemas supervisórios (DCS/SCADA). Esses sistemas, em geral, implementam algumas funcionalidades para análise e filtragem dos alarmes gerados. Algumas das principais funcionalidades desses sistemas, estão descritas a seguir: Contagem de alarmes: Realiza a contagem de alarmes para encontrar os alarmes mais freqüentes. Segundo a norma EMMUA, descrita na Seção 2.3.1, em média

20 CAPÍTULO 2. GESTÃO DE ALARMES 8 os alarmes mais freqüentes são responsáveis pela maior parte das ocorrência de alarmes, em um típico processo industrial. Estes alarmes são conhecidos como Bad Actors. Identificá-los, para tomar possíveis ações, é o papel deste tipo de análise. Contagem de duração de alarmes: Realiza a contagem do tempo médio de duração de cada alarme. Esta análise permite identificar alarmes que ficaram ativo por períodos muito prolongados ou alarmes com tempo de atividade extremamente curto. Alarmes Recorrentes: Esta análise tenta encontrar alarmes que se tornam ativos um número elevado de vezes em um curto período de tempo. É uma das maneiras de identificar alarmes com thresholds mal configurados e por esta razão entram e saem periodicamente em atividade. Correlação entre Alarmes: Realiza a correlação estatística entre as ocorrências de alarmes, a fim de encontrar qual a influência de um alarme com relação aos demais. Essas análises podem ser realizadas tanto off-line como on-line e têm como principal objetivo identificar alarmes problemáticos. Uma vez identificados esses alarmes problemáticos, cabe à equipe de gestão tomar as devidas soluções. O gerenciamento de alarmes é uma atividade constante que deve ser executada periodicamente, a fim de manter os equipamentos de monitoramento da planta cada vez mais bem configurados, desta forma, reduzindo a curto e médio prazo, o aparecimento de possíveis problemas com impactos econômicos, pessoal e na segurança do processo [Habibi & Hollifield 2006]. 2.2 Ineficácia em Sistemas de Alarmes Atualmente os sistemas de alarmes não estão totalmente preparados para lidar com o grande volume de dados recebidos durante uma situação anormal do processo. Quando submetidos a situações de perturbação da planta, os sistemas geram uma grande quantidade de alarmes, tornando a situação inoperável [Mattiasson 1999, Liu et al. 2001, Grosdidier et al. 2003, Rothenberg & Wilson 2003]. Uma investigação em Scanraff [Mattiasson 1999] mostrou que durante a operação normal de uma planta, a média do número de ações do operador por hora é de 3,1 via o sistema de alarmes (em uma semana aleatória). No entanto, durante uma perturbação no processo, esta média de ações do operador aumenta para 52,8 por hora, o que é quase uma ação por minuto. As ações do sistema devem ainda ser realizadas em conjunto com discussões e instruções passadas via rádio e telefone, tornando ainda mais complicado a operação desses sistemas sob operação anormal.

21 CAPÍTULO 2. GESTÃO DE ALARMES 9 Um outro estudo conduzido pelo HSE [EEMUA 1999], com objetivo de levantar as deficiências na área, apontou resultados semelhantes. A pesquisa feita com 96 operadores de 13 plantas, mostrou que sob operação normal um operador recebe em média um alarme a cada dois minutos. Cerca de 50% desses alarmes são alarmes que o operador já visualizou nos últimos 5 minutos. Porém, sob operação anormal, após um grande distúrbio na planta, ocorre tipicamente aproximadamente 90 alarmes no primeiro minuto e mais 70 nos 10 minutos subseqüentes. Diante destes números, fica evidente observar que os alarmes vêm demasiadamente rápido, tornando impossível ao operador compreendê-los em tempo hábil. Aproximadamente 50% dos operadores admitiram que se sentiram forçados a aceitar um alarme durante o processo de mudança de set-point, sem sequer lê-los ou entendê-los. Estes problemas são, normalmente, causados por alarmes ruidosos (que se tornam recorrentes), alarmes de alta duração e avalanches de alarmes. Muitas vezes estes alarmes ocorrem quando não há uma situação anormal ou quando nenhuma ação operacional é necessária. Os alarmes ruidosos são aqueles alarmes que ocorrem devido a problemas de ajustes no set-point do alarme. São causados, na maioria das vezes, por problemas de manutenção e normalmente não precisam de ação operacional. Estes alarmes ocorrem, em geral, por falha na concepção dos limites dos alarmes os quais devem ser configurados de tal maneira que não fiquem demasiadamente próximos do ponto de operação, nem muito distante ao ponto de prejudicar a detecção de uma situação anormal. Além disso, os alarmes ruidosos acabam reduzindo o tempo de resposta do operador aos alarmes reais [Dunn & Sands 2005a, Larsson 2000]. A Figura 2.1 mostra um exemplo onde os limites de alarmes, representados pelas linhas horizontais, estão bem ajustados. Neste caso, quando o sinal apresenta um comportamento atípico, representado a partir do instante 250, a anormalidade pode ser facilmente detectado pelos limites estabelecidos. Na Figura 2.2 os limites estão demasiadamente próximos e qualquer ruído do sinal irá gerar alarmes repetidamente. Já na Figura 2.3 mostra um caso quando os limites de alarmes estão bastante distantes. Neste caso, uma anormalidade pode não ser detectada, como ocorre no instante 250 do nosso exemplo. Outro problema comum são os alarmes com duração muita elevada. Estes permanecem ativos por um longo período de tempo, geralmente, por não necessitarem de nenhuma ação operacional ou por não ter retornado ao seu estado normal após as ações corretivas dos operadores. Estes alarmes problemáticos acabam inundando as telas de alarmes, podendo mascarar outros alarmes ao operador [Dunn & Sands 2005a]. Por fim, um dos mais perigosos problemas com os sistemas de alarmes, e mais com-

22 CAPÍTULO 2. GESTÃO DE ALARMES 10 Figura 2.1: Limites de alarmes bem ajustados. Figura 2.2: Limites de alarmes bastante próximos.

23 CAPÍTULO 2. GESTÃO DE ALARMES 11 Figura 2.3: Limites de alarmes bastante afastado. plexo de se resolver, são as avalanches de alarmes. As avalanches sobrecarregam os operadores tornando bastante difícil a tarefa de determinar a causa da anormalidade [Dunn & Sands 2005a]. A ineficácia dos sistemas de alarmes acontece, geralmente, pela falta de uma filosofia de análise e manutenção das configurações dos alarmes e, também, pelo grande volume de dados gerado pelas complexas plantas modernas, principalmente as petroquímicas. Estas plantas demandam funcionalidades específicas para tornarem os sistemas de alarmes operáveis e confiáveis, para as situações em que eles são realmente fundamentais: operação anormal do processo Incidentes Inúmeros incidentes são provocados anualmente pela sobrecarga de alarmes e/ou informação aos operadores. Muitos desses incidentes poderiam ser evitados se a anormalidade que o gerou fosse identificada eficientemente e os operadores pudessem agir adequadamente em tempo hábil. Neste contexto, nesta seção serão apresentados alguns incidentes os quais a gerência ineficiente de alarmes esteve de alguma forma relacionado com as causas destas fatalidades. Um dos mais famosos reportados na literatura foi a explosão da refinaria em Milford Haven, em julho de 1994, a qual teve como principal causa a queda de um raio.

24 CAPÍTULO 2. GESTÃO DE ALARMES 12 O raio atingiu a refinaria da Texaco cinco horas antes da explosão, porém durante este período os operadores não foram capazes de identificar a causa do problema. O sistema de alarmes gerava uma nova ocorrência, em média, a cada dois segundos, tornando impossível processá-las para identificar a causa raiz das ocorrências. A ineficiência em priorizar os alarmes (87% dos alarmes possuíam alta prioridade) e as características da interface gráfica também contribuíram de forma determinante para a ocorrência do episódio. O incidente poderia ser evitado se os operadores desligassem a planta, porém o descrédito do sistema de alarmes associado com a incapacidade de encontrar uma causa para as ocorrências de alarmes impossibilitaram tal ação [Bransby 1998, Bransby & Jenkinson 1998, Wilson 1998, HSE 1997]. O acidente em Milford Haven acarretou 48 milhões de libras em decorrência de danos materiais causados pela explosão, além de multas e processos judiciais envolvendo os 26 funcionários feridos durante esse episódio. Outro incidente famoso na literatura foi o incêndio ocorrido no euro túnel ligando França e Inglaterra, em 1996, o qual foi originado pela incorreta formulação dos procedimentos e sistemas que propiciaram uma sucessão de erros que dificultaram a identificação do incêndio e posteriores ações de resposta [Wilson 1998]. Mais recentemente, em junho de 2000, ocorreu a explosão da refinaria Mina Al- Ahmedhi no Kuwait. Felizmente a tragédia não deixou muitos feridos, porém financeiramente o incidente trouxe um prejuízo na ordem de 400 milhões de dólares. No Brasil, ocorreu a explosão de uma plataforma da Petrobras em março de 2001, incidente este com bastante repercussão. Além de onze mortos, o incidente deixou um prejuízo da ordem de 5 bilhões de dólares. Por fim, em setembro de 2001 houve uma grande explosão na petroquímica AZF em Toulouse, França, que matou várias pessoas além de deixar centenas de feridos [Venkatasubramanian 2003]. Diante deste fatos fica evidente a necessidade de rever os atuais mecanismos de seguranças das plantas industriais, principalmente as petroquímicas. O gerenciamento eficiente de alarmes pode ajudar a reduzir riscos de acidentes, aumentando a confiabilidade do processo. Para isso é necessário adotar mecanismos formais de planejamento, implementação, controle e manutenção do sistemas de alarmes, bem como, a adoção de algoritmos inteligentes interligados aos sistemas supervisórios que possam efetuar a identificação, correlação, agrupamentos, classificação, filtragem de eventos e apoio a decisão, gerenciando de forma efetiva a geração de alarmes produzidos pelos sistemas de supervisão.

25 CAPÍTULO 2. GESTÃO DE ALARMES Normas Os incidentes ocorridos nas indústrias, alguns deles apresentados na Seção 2.2.1, estimularam a criação de projeto de estudos para os sistemas de alarmes. Um dos primeiros estudos realizados para a indústria química e de energia no gerenciamento de alarmes foi desenvolvido pela HSE - Health and Safety Executive, órgão britânico responsável por elaborar as leis, procedimentos referentes a segurança no trabalho e bem-estar dos empregados. Esse estudo demonstrou que as deficiências encontradas no sistema de alarmes da refinaria Milford Haven eram comuns a outros sistemas de alarmes adotados em diferentes companhias e que algumas empresas já estavam adotando políticas de melhoramento destes sistemas [Bransby 2000]. O documento serviu de ponto de partida para construção de roteiros de boas práticas, caso da norma EEMUA 191 e normas de padronização de sistemas relativos à segurança para as indústrias químicas e farmacêuticas (IEC 61508, IEC 61511, ISA e ISA ). Na próxima seção serão descritas com mais detalhes as normas EMMUA 191 e ISA SP 18, atualmente as mais utilizadas para a regulamentação dos procedimentos e sistemas de gerenciamento de alarmes Norma EEMUA 191 Em 1999, a EEMUA - The Engineering Equipment and Materials Users Association conjuntamente com representantes da HSE publicaram um guia de boas práticas para a construção, implementação e manutenção de sistemas de alarmes. Todos os tópicos e etapas exploradas nessa norma são fundamentados em quatro princípios básicos, descritos a seguir: 1. Manuseabilidade: Os sistemas de alarmes devem ser desenvolvidos de forma a satisfazer às necessidades do usuário, considerando-se sua capacidade de compreensão e manipulação das informações. De uma outra maneira, tem-se que as informações apresentadas devem ser relevantes para o usuário (operador) no momento em que são mostradas, de fácil compreensão (clareza na apresentação), com taxa de amostragem e tempo de amostragem (relação de antecedência entre causa e efeito) suficientes para a manipulação da informação por parte do operador.

26 CAPÍTULO 2. GESTÃO DE ALARMES Segurança: A existência de um sistema de alarmes deve estar vinculada à necessidade em se proteger os funcionários, equipamentos da planta e meio ambiente. Sempre baseando-se nos princípios e normas estabelecidos pela sociedade. 3. Monitoramento de Desempenho: O desempenho do sistema de alarmes deve ser monitorado continuamente de maneira a garantir sua efetividade durante todas as condições (estados) de operação da planta. 4. Investimentos: Todo novo alarme a ser adicionado ao sistema corrente ou novo sistema a ser adotado deve ter por princípio um alto grau de qualidade nos mecanismos de escolha, gerenciamento e manutenção. Por isso, todo o seu desenvolvimento deve seguir uma metodologia estruturada pré-definida, levando-se em consideração sua correta implantação e necessidade. A norma EEMUA 191 define um alarme como sendo um sinal visual e/ou sonoro que indica ao operador da planta a ocorrência de uma mudança de comportamento das variáveis do processo que necessitam atenção ou a realização de uma ação de resposta. Como os operadores possuem uma vasta quantidade de atividades, que não se limitam apenas a gerência de alarmes, e como a essência dos sistemas de alarmes é auxiliar os operadores em suas tarefas, um alarme necessita obrigatoriamente, segundo a EEMUA: 1. alertar, informar e conduzir o operador sobre o problema apresentado. 2. ser útil e relevante para o trabalho do operador. 3. possuir uma resposta, mesmo que esta seja um procedimento mental. 4. ser apresentado em tempo suficiente para a adoção de um procedimento de resposta. 5. ser projetado considerando-se as limitações humanas. Portanto, para satisfazer aos cinco atributos descritos anteriormente, é necessário que um bom sistema de alarmes tenha como características:

27 CAPÍTULO 2. GESTÃO DE ALARMES 15 Relevância As informações irrelevantes ou espúrias às atividades desempenhadas pelo operador devem ser ignoradas. Se nenhuma resposta, mesmo que mental, está associada ao sinal gerador do alarme, este sinal não deve ser um alarme. Singularidade Uma mesma informação não deve ser representada por dois diferentes tipos de alarmes. Esta característica visa evitar a duplicidade de procedimentos de resposta que possam confundir o operador. Precisão Nenhum alarme deve ser apresentado com muita antecedência a sua resposta ou muito tarde para que uma medida corretiva seja executada. Alarmes que são apresentados com muita antecedência acabam por ser ignorados pelos operadores e, portanto, acabam não tendo suas ações corretivas sendo executadas. Importância Todo alarme deve ser munido de um grau de prioridade, facilitando, assim, a tomada de decisões do operador. Clareza Os procedimentos de resposta e os dados informativos sobre os alarmes devem ser de fácil compreensão. Diagnóstico Todo alarme deve identificar o problema ocorrido. Consultivo O conjunto de respostas a serem tomadas deve estar disponível. Focado Apresentar somente as informações mais importantes para o correto funcionamento da planta naquele estado. Pretende-se, assim, controlar as informações de acordo com as limitações de operação de cada operador.

28 CAPÍTULO 2. GESTÃO DE ALARMES 16 Os atributos necessários em um alarme e as características de um sistema de alarmes descritas anteriormente definem a filosofia para construção de um sistema de alarmes da especificação EEMUA 191. Na especificação também são identificados os princípios de modelagem de um sistema de alarmes ressaltando a necessidade de planejamento do sistema de alarmes, ou mesmo de um alarme individual, considerando-se fatores de importância, confiabilidade, estrutura e operabilidade utilizando-se, para tal, regras e formulários padronizados. Segundo a EEMUA, esses princípios devem ser seguidos tanto na definição de novos sistemas quanto para aqueles que já se encontram em operação, dividindo-se a modelagem, devido à complexidade das tarefas e fatores humanos envolvidos, nas seguintes atividades: Classificação de Riscos Planejamento do plano de segurança, detalhando as funções dos operadores relacionadas à segurança e identificando os alarmes que compõem o sistema de segurança, dimensionando-se cada um desses alarmes e o nível de redução de riscos com a adoção dos mesmos. Os documentos de classificação de riscos devem ser gerados considerando-se as normas e legislações e são baseados em ferramentas como: Fault Tree Analysis, Event Tree Analysis, Human Error Quantification e HAZOP. Ergonomia Identificação do número de operadores existentes e qual as tarefas a serem desenvolvidas por estes. Desenvolvimento da interface gráfica para os alarmes e informações considerando as cores a serem utilizadas, apresentação e acesso das informações e procedimentos de resposta. Projeto Individualizado do Alarme Revisão dos alarmes propostos que não são parte integrante da etapa de classificação de riscos, identificação dos alarmes que necessitam tratamento diferenciado quanto à integridade e dispositivos de visualização, geração de formulários formais contendo os dados, procedimentos de resposta e projetos de implementação referentes a cada um dos alarmes Projeto de Integração Racionalização das listas de alarmes propostos de maneira a satisfazer os princípioschave do projeto de um sistema de alarmes descritos nos atributos e características.

29 CAPÍTULO 2. GESTÃO DE ALARMES 17 Configuração do Sistema de Alarmes Instalação e configuração dos dispositivos físicos e lógicos (hardware/software) do sistema de alarmes, realizando-se a combinação lógica e armazenando as informações históricas dos alarmes. Teste e Otimização Realização de testes com os alarmes, verificando-se o funcionamento dos sensores e dos meios de comunicação (físico/lógico), avaliação das configurações, dos requisitos de ergonomia, medição dos parâmetros de desempenho, determinação de novos procedimentos de testes e implantação de medidas de otimização. Uma outra característica importante da modelagem deve ser a multidisciplinaridade da equipe composta para realização do plano estratégico de desenvolvimento do sistema de alarmes. Desta forma, torna-se possível uma melhor identificação dos problemas e de suas respectivas soluções. O primeiro passo para uma correta modelagem do sistema é a identificação das causas geradoras de recomendações para a criação de alarmes. Dentre essas fontes podem-se citar: Uso e prática; Especificação do equipamento; Relatório de falhas de equipamentos e sistemas; Legislação do Estado ou Regulamentação da empresa; Planejamento, principalmente de novos sistemas; Redução de custos e complexidade de sistemas de controle; Simulações; Análise de tarefas; Revisões de segurança e Análise quantitativa e qualitativa de riscos. Como muitas dessas causas são decorrentes de processos informais, pouco documentados ou com acesso limitado a informação, é necessário que todo alarme independente da fonte de origem, seja justificado, corretamente planejado e consistente com a política de classificação de riscos A EEMUA 191 referencia o sistema de alarmes como uma das inúmeras ferramentas existentes na redução de incidentes nas plantas e utiliza das normas IEC e IEC como padronização dos alarmes relacionados à segurança. Esta norma destaca

30 CAPÍTULO 2. GESTÃO DE ALARMES 18 que a execução dos sistemas de alarmes deve ser realizada de maneira independente e separada do sistema de controle de processos, e que os alarmes devem ser classificados em função da sua prioridade. Também se destaca que a redução de riscos é dependente do fator de confiabilidade nos equipamentos e na resposta apropriada do operador ao alarme. Sendo que este último é dependente de uma série de fatores como: Forma em que o alarme é apresentado; Tempo disponível para a interpretação e ação do operador; Nível de stress do operador e Fatores básicos de desconfiança no desempenho do operador (Ex. distração, preguiça, negligência ou esquecimento). É necessário que, além do índice de confiabilidade dado pelos dispositivos físicos que compõem o sistema de alarmes, esses sistemas tenham, também, as seguintes características para definição do nível de confiabilidade: Sobrecarga de alarmes - O sistema de alarmes não deve sobrecarregar o operador com alarmes em qualquer estágio de operação da planta (inicialização, operação normal, desligamento). Desempenho do sistema - Deve-se periodicamente monitorar o desempenho dos parâmetros de configurações dos alarmes de modo a garantir a não ocorrência de sobrecarga. Interface de visualização - Todos os alarmes devem ser apresentados de forma a facilitar a operação e execução de procedimentos de resposta do operador. Treinamento - Cada operador deve ser corretamente treinado nas atividades a serem desempenhadas no sistema de alarmes. Prioridade - Os alarmes devem estar corretamente priorizados. A análise de todas essas características de confiabilidade tem por objetivo garantir que em qualquer cenário de operação o número máximo de alarmes relacionados à segurança não ultrapasse a taxa de operabilidade do operador. Como descrito anteriormente, um dos princípios fundamentais da norma EEMUA 191 é a manuseabilidade do sistema de alarmes. Esta, por sua vez, é dependente dos alarmes gerados durante o planejamento da planta, dos parâmetros de ajustes dos mesmos e dos níveis prioridade definidos para cada alarme. Usualmente os valores escolhidos como limiares dos alarmes são conservadores e como conseqüência, tem-se a ativação de múltiplos alarmes quando da ocorrência de pequenas flutuações nos estados de operação da

31 CAPÍTULO 2. GESTÃO DE ALARMES 19 planta que acarretam em um primeiro momento em incômodo ao operador e em um segundo estágio acabam sendo ignorados ou desligados perdendo a sua razão de existir. Portanto, um alarme é mais efetivo quando este marca corretamente a faixa onde o operador deve agir. Na prática, o ajuste dos alarmes são decorrentes dos seguintes fatores: Dinâmica da planta; Limite onde o sistema automático de operação inicializa; Taxa de variação durante as condições de perturbação e Tempo necessário para resposta. Algumas vezes as variações dos limites dos alarmes são conflitantes e inviabilizam configurações que reduzam o aparecimento de alarmes gerados por pequenas flutuações. Nestes casos, pode-se adotar estudos auxiliares para a seleção dinâmica de parâmetros, revisões de margens de segurança e custos de penalização quando a adoção de parâmetros conservativos que acarretam um alto custo de operação. Sendo assim, a norma determina que todos os parâmetros de ajustes, de cada um dos alarmes, devam ser sistematicamente determinados, documentados e justificados durante o planejamento da planta, operação e otimização. A utilização de medidas de prioridade auxilia a tomada de decisões por parte dos operadores ao determinar a ordem em que os alarmes devem ser tratados, principalmente em períodos de distúrbio nos estados de operação da planta. Essas medidas de prioridade são determinadas pelo: Grau de severidade das conseqüências e Tempo disponível para uma resposta. Ambos os fatores são dependentes do estado de operação da planta e, portanto, é desejável que os valores de prioridade dos alarmes sejam determinados dinamicamente de acordo com o estágio de operação da planta. Na prática, adota-se três categorias de prioridade para cada estágio de operação com predomínio de importância daqueles alarmes disparados em estados mais críticos e níveis de prioridade consistentes entre os sistemas. A norma EEMUA 191 especifica que: Regras escritas para a adoção do grau de prioridade de cada alarme sejam adotadas, aplicando-as de forma consistente em todos os sistemas de alarmes. Alarmes devem ser úteis em todos os estados de operação da planta no qual são apresentados.

32 CAPÍTULO 2. GESTÃO DE ALARMES 20 Porém, apenas o sistema de alarme bem configurado não é suficiente. Os equipamentos de campo utilizados na geração de alarmes têm um impacto crítico no sistema de alarmes e geralmente na prática pouca ou nenhuma atenção especial é dada ao seu planejamento e instalação. A negligência na escolha dos dispositivos de campo e implementação dos mesmos tem como conseqüência a geração de uma enormidade de alarmes incômodos. São causas de alarmes em equipamentos de campo: Escolha de sensores e chaveadores; Localização física dos sensores; Banda de ação (limiares) do sensor; Validação dos sinais nos sensores de alarme; Transmissão dos sinais de alarme e Falhas nos sensores de alarme. A norma salienta que a maioria dos sistemas de alarmes implementados são oriundos de pacotes proprietários de sistemas DCS e SCADA e acabam compartilhando recursos com outros processos de controle e informações desses sistemas. Também evidencia que a segunda abordagem mais comum é a utilização de sistema de alarmes dedicados e que ambas, tanto sistemas de alarmes oriundos de sistemas DCS e SCADA quanto os sistemas de alarmes dedicados, acarretam em um alto custo de especialização e atualização visto que somente funcionalidades padrões encontram-se implementadas. Portanto, a compra de pacote comercial deve ser conduzida com o máximo de cuidado de maneira a garantir que os requisitos atuais e futuros possam ser atendidos. É muito importante que o comprador desenvolva, anteriormente à compra, uma estratégia formal de desenvolvimento do sistema de alarmes, para que possa ser utilizada como base na escolha do pacote comercial. Um bom sistema de alarmes deve ser desenvolvido de tal maneira que uma falha seja óbvia para o operador e que suas implicações possam ser assinaladas, bem como os procedimentos de resposta a serem desempenhados pelo operador. Dispositivos de Visualização Os dispositivos de visualização de alarmes têm por finalidade chamar a atenção do operador para a ocorrência de novos alarmes, providenciando facilidades para a observação do estado da planta, informações importantes e informativos de ações de resposta para o operador. Existem basicamente duas formas de visualização de alarmes: as listas de alarmes e esquemas de plantas.

33 CAPÍTULO 2. GESTÃO DE ALARMES 21 As listas de alarme têm seu uso difundido por possibilitar a apresentação de diferentes tipos de alarmes de diferentes locais através de um canal único de comunicação. É crucial que essas sejam projetadas de maneira que seu uso não seja impossibilitado pela repetição no aparecimento de um mesmo alarme. Já os esquemas de plantas melhoram a comunicação do sistema com o operador, identificando a localização da falha dentro da planta. Porém, seu uso deve ser limitado a alarmes importantes e críticos e informações do estado geral da planta, visto a impossibilidade em se apresentar todos os esquemas simultaneamente ao operador sem causar confusão e transtorno. Os dispositivos de visualização também devem ser construídos considerando-se os fatores humanos, por exemplo: as intensidades das cores aplicadas devem refletir o estado e prioridade do alarme. A norma aconselha o treinamento dos operadores no sistema de alarmes objetivandose melhorar o desempenho nas atividades realizadas pelos mesmos. Dessa forma, o treinamento deve cobrir com realismo o uso do sistema de alarmes em processo de operação Dentre as recomendações apresentadas pela norma, a existência de procedimentos de resposta formalizados (escritos), contendo passos simples e lógicos, é uma das mais importantes para a efetividade do operador. A EEMUA 191 também define dois tipos básicos de procedimentos, são eles: Informativo: Fornece informações de como o alarme foi gerado e quais as possíveis fontes causadoras do alarme. Esse tipo de procedimento deve conter: descrição do alarme, condições em que o alarme é relevante, prováveis causas, valores de configuração, precauções e limitações relacionadas ao alarme, número de referência no qual está vinculado, localização dos sensores e identificação de variações. Instrutivo: Apresenta informações sobre os passos a serem seguidos pelo operador na aplicação de respostas ao alarme e dados históricos sobre modificações e datas. Procedimentos e estratégias sobre a realização de testes também devem ser gerados para aumentar a efetividade do sistema de alarmes. Os capítulos quatro e cinco da norma EEMUA 191 destacam a necessidade de medidas de desempenho e programas de melhoramento, evidenciando ferramentas de análise, culturas de melhoria, composição das equipes, revisões técnicas e controles de modificação (MOC - Management of Change).

34 CAPÍTULO 2. GESTÃO DE ALARMES 22 Em resumo, podemos dizer que a norma EEMUA 191 foi a primeira a se preocupar em descrever boas práticas para a completa implantação de sistemas de gerenciamento de alarmes, construindo índices e procedimentos que hoje são seguidos pelas maiores industriais do mundo. Dado a sua relevância, esta norma serve como base para todo o estudo desenvolvido neste trabalho Norma ISA-SP18 Durante a ISA Expo de 2003 realizada em Houston, o comitê de Práticas e Padronização 18 (SP18 - Standards & Practices Committee) iniciou seus trabalhos para o desenvolvimento de uma documentação que auxiliasse a indústria de processamento na adoção de sistemas de alarmes, estendendo-se por todas as etapas do seu ciclo de vida, desde o planejamento inicial até o gerenciamento de desempenho [Dunn & Sands 2005b]. Com um grande número de consultores, usuários de indústrias e fabricantes de dispositivos, a norma consiste em definições de terminologias, modelos e processos para efetiva implementação e gerenciamento de sistemas de alarmes desenvolvidos, única e exclusivamente, em sistemas computacionais, excluindo-se do seu escopo dados de processos e eventos, dispositivos de controle finais e processo de sensores e sistemas instrumentais de segurança (exceto os alarmes gerados desses sistemas). A utilização do ciclo de vida auxilia na identificação dos requisitos e regras necessários para a implementação de um sistema de gerenciamento de alarmes, sendo o ciclo de gerência de alarmes definido pela norma ISA-SP18 composto pelas seguintes etapas básicas (ver figura 2.4): Filosofia: Determina-se a abordagem a ser adotada para o gerenciamento de alarmes. Estão incluídos nesta etapa definições e princípios para um sistema de alarmes, detalhamento e práticas dos procedimentos necessários em cada uma das etapas do ciclo de vida. A não adoção de uma filosofia formal documentada para o gerenciamento de alarmes geralmente resulta em retrabalho e desempenho insatisfatório do sistema de alarmes, resultando em, por exemplo, sobrecarga de alarmes ou surgimento de alarmes incômodos. Identificação: Apesar de ser um tópico de extrema importância para a identificação de possíveis novos alarmes ou ponto de partida para remoção de alarmes existentes que

35 CAPÍTULO 2. GESTÃO DE ALARMES 23 Figura 2.4: ISA-SP18 Ciclo de Vida do Gerenciamento de Alarmes.

36 CAPÍTULO 2. GESTÃO DE ALARMES 24 não satisfaçam os requisitos na etapa de racionalização, o comitê SP18 não detalha os métodos utilizados nesta etapa, com a exceção de problemas em alarmes de monitoramento de rotinas. Para a identificação dos demais alarmes, pode-se utilizar os diversos métodos encontrados na literatura, como: Investigação de Incidentes e Análise de Processos de Risco. Racionalização: Realiza-se o casamento entre os princípios e requisitos definidos na etapa de filosofia com os alarmes levantados na etapa de identificação. Ou seja, procura-se fazer com que cada alarme identificado na segunda etapa do ciclo de vida seja documentado de forma racional informações básicas sobre as atividades do operador, tempo de resposta e conseqüências em caso de falhas daquele alarme obedecendo os critérios e procedimentos definidos durante a etapa de filosofia. A documentação desses dados de maneira formal permite determinar as prioridades de cada alarme em função do tempo de resposta e conseqüências dos incidentes, montando-se uma matriz de prioridades de acordo com a filosofia abordada para a gerência de alarmes. Projeto: São incluídos nesta fase as configurações básicas de cada alarme, definidos a interface de visualização e acesso aos alarmes pelo operador e métodos avançados de gerenciamento. Cada um dos procedimentos abordados nesta etapa deve ser conduzido por um documento formal que indique os procedimentos de implementação. Implementação e Treinamento: Durante a fase de implementação, as atividades, configurações e definições da etapa de projeto são alocadas na prática. Em concomitância, atividades de treinamento dos operadores no sistema devem ser realizadas com o objetivo de esclarecer as funcionalidades de cada um dos alarmes no sistema e prioridades na execução das soluções. Operação: Nesta etapa do ciclo de vida, o sistema de alarmes encontra-se em execução e

37 CAPÍTULO 2. GESTÃO DE ALARMES 25 anomalias no funcionamento de cada alarme gravadas na base de dados. Manutenção: A prática demonstra que os dispositivos de medição ou mesmo alguns componentes dos sistema de alarmes necessitam de ajustes de calibragem ou reparo, tornando a manutenção uma fase necessária em qualquer ciclo de vida de gerência de alarmes. O período de execução da manutenção pode ser definido através do monitoramento dos equipamentos ou através de agendamento programado segundo as especificações dos dispositivos. Processos de verificação e testes também são consideradas atividades de manutenção e durante esta etapa, todos os alarmes envolvidos devem ser definidos como em manutenção. Estimativa: Executa-se auditorias do sistema de alarmes e dos processos detalhados durante a fase de filosofia do sistema de alarmes. Os resultados são utilizados na recomendação de mudanças nos procedimentos, no projeto ou mesmo na filosofia adotada. Monitoramento de Desempenho: Analisa-se freqüentemente os dados gerados pelo sistema de alarmes durante a etapa de operação de maneira a identificar problemas com os parâmetros adotados que geram, por exemplo, sobrecarga de alarmes. A remoção desta fase do ciclo de gerência de alarmes, torna a manutenção efetiva do sistema impraticável. Gerenciamento de Mudanças: Controla-se de maneira estruturada os processos de alteração, remoção ou adição de novos alarmes e suas configurações no sistema de alarmes. Devido à grande variedade de fontes geradoras de sugestões para modificações no sistema de alarmes, esta etapa deve formalizar e documentar todos os procedimentos para que todas as alterações estejam em conformidade com a filosofia de alarmes adotada. Além das normas referidas acima, existe outras definidas por grupos específicos de associação de indústrias e/ou regulamentações de segurança internas que visam gerenciar os

38 CAPÍTULO 2. GESTÃO DE ALARMES 26 sistemas de alarmes. Dentre essas, pode-se citar: NA 102 Alarm Management, criada em 2003 pela Associação de Usuários de Controle de Processos Tecnológicos em Química e Indústrias Farmacêuticas (NAMUR - User Association of Process Control Technology in Chemical Pharmaceutical Industries), os guias de boas práticas e resposta a incidentes em plantas criado pelo Consórcio de Gerenciamento de Situações Anormais (ASM - Abnormal Situation Management) e a norma Petrobras N-2595.

39 Capítulo 3 Algoritmos para Análises de Alarmes Atualmente os operadores de sistemas de gerenciamento de alarmes de grandes indústrias são submetidos a uma grande sobrecarga de alarmes, tornando muitas vezes a tarefa de identificação da causa do problema bastante complexa ou até mesmo impossível de ser realizada em tempo hábil. Os três principais geradores dessa sobrecarga são, basicamente: [Dunn & Sands 2005a] Alarmes ruidosos; Falsos Alarmes e Avalanche de alarmes. Os alarmes ruidosos são na maioria das vezes frutos da má configuração dos thresholds dos alarmes. Em muitos casos esses limites são configurados sem uma análise aprofundada do processo, o que acarreta na ocorrência de alarmes que nem sempre estão associados com uma ação operacional por parte do operador. Outro grande problema ocorre quando os thresholds são configurados levando-se em conta apenas o funcionamento normal do processo, sem considerar, por exemplo, os estados transitórios da planta. Alguns estudos apontam que a maioria dos thresholds tem comportamento dinâmico, sendo então necessário a atribuição dinâmica para tratar adequadamente este problema [Arzén 1996]. Já os falsos alarmes podem ser acionados, por exemplo, pelo desligamento de um equipamento para manutenção sistemática. Se um controlador, por exemplo, tentar executar uma rotina de controle, ficará sem resposta acionando um alarme. Na verdade, este será um falso alarme, uma vez que não existe ação a ser tomada pelo operador a não ser ignorá-lo [A. Ghariani 2002]. Outro importante problema encontrado na indústria é o de avalanche de alarmes. As avalanches de alarmes nada mais são do que a sobrecarga de alarmes imposta ao operador

40 CAPÍTULO 3. ALGORITMOS PARA ANÁLISES DE ALARMES 28 além de sua capacidade de processamento da informação. Essas avalanches são causadas na maioria das vezes pela propagação de uma falha pelo processo, o que gera diversos alarmes relacionados com uma única causa raiz [Mattiasson 1999]. Na literatura há vários trabalhos sobre gerência de alarmes [Reising & Montgomery 2005, Katzel 2007, Liu et al. 2003, Seng & Srinivasan 2004], porém esses trabalhos não descrevem os algoritmos utilizados para mensurar os diversos índices de interesse, como bad actors, intermitência, avalanches, duração de alarmes etc. Há também vários produtos de software no mercado, como o LogMate R da Tips TM e o Alarm Manager R da Matrikon TM.Porém esses softwares são proprietários e não disponibilizam a documentação de seus algoritmos. Figura 3.1: Ciclo de gestão. Diante desta realidade, neste capítulo serão propostos algoritmos destinados a identificar alarmes em períodos problemáticos, que necessitam de atenção especial por parte da equipe de otimização do processo. Esses algoritmos foram concebidos de modo a mensurar índices indicadores na norma EMMUA 191, além de, ter como princípio o ciclo de gestão do alarme descrito na Seção e ilustrado simplificadamente na Figura 3.1. A aplicação desses algoritmos e seus resultados serão mostrados com base em dados de alarmes gerados em processos petroquímicos, tanto de refino de petróleo como de exploração. Este capítulo está organizado em três seções, sendo a próxima seção de caráter introdutório e apresentará o funcionamento básico do ciclo de vida de um alarme, a fim de, contextualizar a seção seguinte que trata do pré-processamento dos dados de alarmes. Este

41 CAPÍTULO 3. ALGORITMOS PARA ANÁLISES DE ALARMES 29 pré-processamento tem a finalidade de facilitar as análises computacionais posteriores as quais serão apresentadas na Seção Ciclo de Vida do Alarme Para o melhor entendimento do funcionamento das análises dos alarmes faz-se necessário o entendimento do ciclo de vida de um alarme e como os operadores interagem nesse ciclo. Para começar, vamos analisar a Figura 3.2, que ilustra o comportamento de uma variável de temperatura. Todas as vezes que o valor da variável ultrapassar um determinado nível, representado pelas linhas vermelhas na Figura 3.2, é gerado um sinal indicativo de alarme. Os pontos de ativação de cada nível, denominados thresholds, são previamente configurados, cabendo ao responsável por tal configuração decidir quantos níveis de alarmes serão utilizados e seus respectivos pontos de ativação. No exemplo da Figura 3.2 foram utilizados quatro níveis de alarmes: HIGH para representar o nível alto, com ponto de ativação a 35 o ; HIHI para representar o nível muito alto, com ponto de ativação a 45 o ; LOW para representar o nível baixo, com ponto de ativação a 15 o e por fim LOLO que representa o nível muito baixo, com ponto de ativação a 5 o. Figura 3.2: Comportamento de uma variável de processo e seus níveis de alarme. Dando prosseguimento à análise da Figura 3.2, percebemos que no instante t1 o nível de alarme HIGH é atingido, o que gera uma mensagem ao operador notificando esta anormalidade. A temperatura, no entanto, continua a subir e no instante t2 um novo nível

42 CAPÍTULO 3. ALGORITMOS PARA ANÁLISES DE ALARMES 30 Tabela 3.1: Alarmes sem processamento recebidos do supervisório. Instante de Tempo Tag Nível Estado t1 TAG X HIGH ATIVO t2 TAG X HIGH INATIVO t2 TAG X HIHI ATIVO t3 TAG X HIHI INATIVO t3 TAG X HIGH ATIVO t4 TAG X HIGH INATIVO de alarme é atingido gerando uma nova ocorrência, porém para o nível HIHI. No instante t3 a variável deixa o nível HIHI e volta ao nível HIGH, o que gera uma nova ocorrência para o nível HIGH. Por fim, no instante t4 a variável sai do nível HIGH voltando ao seu estado de normalidade, gerando também uma notificação ao operador. A Tabela 3.1 mostra a seqüência de informação gerada para a situação ilustrada na Figura 3.2. Portanto, cada vez que um nível de alarme é ultrapassado é gerada uma notificação para o operador. O operador, no entanto, confirma o recebimento de tal informação, se manifestando ciente da anormalidade, através de um comando de reconhecimento. O ciclo básico de vida de um alarme pode ser então resumido em: ativação, reconhecimento e inativação. A Figura 3.3 (a) ilustra o ciclo básico de um alarme descrito anteriormente. O início do ciclo ocorre no instante em que um alarme se torna ativo, instantes mais tarde o operador informa ao sistema o conhecimento deste alarme, gerando ao sistema a informação de reconhecimento do alarme e, por fim, quando a variável de processo monitorada pelo alarme volta ao normal, o alarme passa para o estado de inativação. Algumas vezes o reconhecimento pode ocorrer após o alarme ter voltado ao seu estado normal como mostra a Figura 3.3 (b), ou ainda, não ser reconhecido pelo operador, neste caso o evento de reconhecimento não ocorre. Chamaremos de tempo de duração do alarme ao tempo que o alarme leva desde a sua ativação até o retorno ao estado normal, representado na Figura 3.3 por TD. Já o tempo entre a ativação do alarme e seu reconhecimento, chamaremos de tempo de reconhecimento do alarme, representado na Figura 3.3 por TR. De maneira mais detalhada, para um estado de alarme estar bem definido são necessárias três informações básicas: Habilitado/Desabilitado - Representa se a variável está sendo ou não monitorada para geração de alarmes. Alguns alarmes são desabilitados, temporariamente,

43 CAPÍTULO 3. ALGORITMOS PARA ANÁLISES DE ALARMES 31 (a) (b) Figura 3.3: Ciclo simplificado de vida de um alarme. quando por algum motivo não se deseja mais reportar ao operador as ocorrência deste alarme. Ativo/Inativo - Representa se uma determinada variável de processo encontra-se em alarme ou não. Reconhecido/Não Reconhecido - Representa se um determinado alarme está reconhecido pelo operador ou não. Os estados possíveis e suas transições estão representadas através do diagrama de estado ilustrado na Figura 3.4. Como pode ser observado nesse diagrama, o estado inicial para um alarme é o de Inativo, Reconhecido e Habilitado. Deste estado partem apenas duas transições possíveis: a de ativar o alarme e a de desabilitá-lo. Analisaremos apenas as transições que não leva o alarme ao estado de desabilitado, já que isto pode ocorrer a qualquer momento. Ocorrendo a ativação do alarme, o mesmo sai do seu estado inicial para o estado de Ativo, Não Reconhecido e Habilitado (representado pelo estado 2 na Figura 3.4) podendo, neste estado, ser reconhecido, o que o leva ao estado 3, ou mesmo voltar a seu estado de inatividade representado pelo estado 4. Acontecendo uma inati-

44 CAPÍTULO 3. ALGORITMOS PARA ANÁLISES DE ALARMES 32 vação para o estado 3 ou um reconhecimento para o estado 4, os mesmos voltam para o seu estado inicial: Inativo, Reconhecido e Habilitado, representado pelo estado 1, dando reinício ao ciclo [Foundation 2002]. Figura 3.4: Diagrama de Estados para Alarmes. Podemos agora incrementar a Tabela 3.1 com informações de estado e reconhecimento, que nos leva a Tabela 3.2. É importante ressaltar que essas informações estão disponíveis nos sistemas supervisórios comerciais. 3.2 Pré-processamento dos Dados Os dados gerados pelo sistema de gerenciamento de alarmes obedecem, em sua maioria, a estrutura mostrada na Tabela 3.2. Porém, a fim de facilitar o cálculo das análises que serão executadas posteriormente, é importante que tais dados sejam preliminarmente processados [Kordic et al. 2007]. A necessidade de um pré-processamento fica mais fácil de ser entendida se observarmos a Tabela 3.2 que representa um trecho de informação, simplificada, vinda de um

45 CAPÍTULO 3. ALGORITMOS PARA ANÁLISES DE ALARMES 33 Tabela 3.2: Alarmes sem processamento recebidos do sistema supervisório. Instante de Tempo Tag Nível Estado t1 TAG X HIGH ATIVO/NÃO RECONHECIDO t1 + t1 TAG X HIGH ATIVO/RECONHECIDO t2 TAG X HIGH INATIVO/RECONHECIDO t2 TAG X HIHI ATIVO/ NÃO RECONHECIDO t2 + t2 TAG X HIHI ATIVO/RECONHECIDO t3 TAG X HIHI INATIVO/RECONHECIDO t3 TAG X HIGH ATIVO/NÃO RECONHECIDO t3 + t3 TAG X HIGH ATIVO/RECONHECIDO t4 TAG X HIGH INATIVO/RECONHECIDO Tabela 3.3: Alarmes processados. Instante de Tempo Tag Nível TR TD t1 TAG X HIGH t1 t2-t1 t2 TAG X HIHI t2 t3-t2 t3 TAG X HIGH t3 t4-t3 sistema de alarmes. Esta forma de representar o alarme não é a mais adequada para realizar cálculos de análises, visto que, cada alarme é representado por um conjunto de ocorrências. Diante deste fato, justifica-se o pré-processamento como uma etapa importante para o agrupamento das ocorrências de um mesmo alarme. Este agrupamento, gera uma nova estrutura de informações de alarmes, ilustrada na Tabela 3.3. Como pode ser visto na Tabela 3.3, as informações foram agrupadas sem perda de informação. Cada alarme, agora, é representado por uma única ocorrência na base de dados. As informações do estado de reconhecimento e inatividade foram condensadas nos campos TR e TD, representando o tempo (em segundos) que o alarme levou até ser reconhecido e o tempo que ficou ativo, respectivamente. O pré-processamento além de facilitar o cálculo das análises, também realiza uma compactação da informação da ordem de 50% a 65%. Isto ocorre devido à natureza dos dados de alarme: no melhor caso a cada três ocorrências (ativação, reconhecimento e inativação) apenas um único novo registro será gerado na base de dados. Por outro lado, no pior caso, quando o evento de reconhecimento não ocorre, a cada duas ocorrências um novo registro será gerado. Esta compactação se torna bastante importante principalmente quando se trabalha com uma quantidade de dados elevada, o que comumente acontece no ambiente industrial.

46 CAPÍTULO 3. ALGORITMOS PARA ANÁLISES DE ALARMES Algoritmos para Análise de Alarmes Nesta Seção serão apresentados as análises e seus algoritmos que deverão ser utilizadas para avaliar e acompanhar o desempenho do sistema de alarmes de uma planta industrial. Essas análises estão organizadas em três grandes grupos: Análises de Freqüência, Análises de Duração e Análises Avançadas. As Análises de Freqüência são responsáveis por realizar totalizações de uma ou mais variáveis de alarme. Com este tipo de análise, se torna possível, por exemplo, levantar a quantidade de alarmes ocorridos, a distribuição de prioridades, a quantidade de alarmes por áreas da planta, bem como, realizar comparações entre períodos de tempo. As análises de Duração, por sua vez, são responsáveis por analisar o tempo de duração e reconhecimento dos alarmes. Já as análises avançadas, englobam um conjunto qualitativo de análises que além de outras funcionalidades, procuram encontrar relações entre alarmes, alarmes intermitentes e alarmes recorrentes Análises de Freqüência Um bom ponto de partida para encontrar problemas de configuração dos alarmes são as análises estatísticas de freqüência. Estas análises além de permitir a contagem do número de alarmes em um período de tempo pré-estabelecido, devem também ser capazes de realizar totalização de qualquer outra variável associada ao alarme, como por exemplo, prioridade, tipo do alarme, etc. Como forma de organização do entendimento, classificaremos tais análises em dois grandes grupos: Análises de contagem; Análises de histórico. As análises de contagem, como o próprio nome explicita, devem contar a quantidade de um determinado parâmetro do alarme em um período de tempo pré-estabelecido. Estas análises devem também ser capazes de mostrar discriminadamente a distribuição das ocorrências no período escolhido. Por exemplo, se o usuário selecionar como parâmetro para contagem o tag do alarme no ano de 2008, a análise deverá mostrar todos os tags que ocorreram no período de 2008 e sua respectiva quantidade. Já as análises de histórico, assim como as de contagem, realizam também a totalização de uma variável do alarme. A diferença é que em vez de discriminar a distribuição da

47 CAPÍTULO 3. ALGORITMOS PARA ANÁLISES DE ALARMES 35 variável no período, estas análises deverão fazer um comparativo da totalização para períodos distintos. Com este tipo de análise se torna possível, então, realizar um comparativo das ocorrências de alarmes (ou de qualquer outra variável) entre anos, meses, dias e até horas. Estes dois grandes grupos de análises de freqüência são suficientes para levantar a totalização de qualquer variável, mostrar sua distribuição no tempo e ainda realizar comparativos entre períodos distintos. A seguir, serão mostradas algumas análises de freqüências que são importantes para a identificação de situações problemáticas em uma planta industrial. Análise de Contagem de Bad-Actors Trata-se de uma análise de contagem onde a variável escolhida para totalização é o tag do alarme. Segunda a norma EEMUA N o 191 (1999), a distribuição de alarmes em uma planta se comporta de maneira muito parecida com uma exponencial decrescente, onde os primeiros alarmes mais freqüentes geralmente são responsáveis por até 80% das ocorrências de alarmes. Esses alarmes são chamados de bad-actors e tratá-los significa poder reduzir boa parte das ocorrências de alarmes em uma planta [Reising & Montgomery 2005]. A forma de visualização desta análise pode ser em forma de gráfico ou tabela, porém para facilitar a identificação dos bad-actors é importante que a informação venha ordenada decrescentemente pelo valor da totalização. Outra importante informação a ser analisada é o valor do acumulado percentual, ou seja, a magnitude que o tag em questão somado com os tags anteriores representa em relação ao total. Esta última informação permite fazer uma estimativa do quão distribuído estão as ocorrências de alarmes. A Tabela 3.4 ilustra um resultado genérico para esta análise. Esta análise, por tanto, é um bom ponto de partida, porém deve ser utilizada em conjunto com outras capazes de analisar mais profundamente o porquê que tais alarmes se tornaram bad-actors no período em questão. Análise de Distribuição de Prioridades Um importante índice a ser acompanhado é o de distribuição de prioridade dos alarmes de uma planta. Um sistema de alarmes bem configurado deve sempre priorizar os alarmes mais importantes em relação aos menos, para que o operador possa escalonar suas atividades ordenadamente de acordo com tal informação. Por outro lado, um sistema mal configurado com relação à distribuição das prioridades dos alarmes, levará fatalmente

48 CAPÍTULO 3. ALGORITMOS PARA ANÁLISES DE ALARMES 36 Tabela 3.4: Resultado Genérico para uma análise de bad-actors. TAG TOTALIZAÇÃO ACUMULADO TAG ,7% TAG ,4% TAG % TAG ,1% TAG % TAG ,9% TAG ,2% TAG % TAG % TAG % a uma dificuldade em priorizar as atividades sinalizadas pelos alarmes. Num cenário de avalanche de alarmes, esse problema se torna bem mais evidente. A explosão da refinaria em Milford Haven, em julho de 1994, descrita na Seção 2.2, teve como uma das suas causas justamente a ineficiência em priorizar os alarmes. No momento do acidente ocorria uma avalanche de alarmes e destes, 87% eram alta prioridade, impossibilitando ao operador identificar quais daquelas centenas de alarmes eram realmente importante serem tratados rapidamente [Bransby 1998, Bransby & Jenkinson 1998, Wilson 1998]. Neste cenário, a análise de prioridades tem como finalidade acompanhar a distribuição de prioridade dos alarmes gerados em um período pré-definido. É importante notar que uma planta bem configurada deve possuir poucos alarmes de alta prioridade em relação aos alarmes de baixa prioridade. A norma da EEMUA N o 191 (1999) estabelece 5% alarmes de alta prioridade para 80% de baixa e 15% prioridade média. Esta análise também se adequa como uma análise de contagem onde a variável escolhida para a totalização é a prioridade dos alarmes. Pode ser apresentada em forma de gráfico ou em tabela e é sempre importante que além de mostrar a quantidade de alarmes gerados por cada prioridade, seja exibido o percentual em relação ao total que esta totalização representa. A Tabela 3.5 ilustra um resultado genérico esperado para uma análise de prioridade. Análise de Histórico de Alarmes A monitoração do desempenho - etapa do ciclo de gestão descrito na Seção é uma tarefa bastante importante e deve ser realizada sistematicamente a fim de avaliar se as decisões tomadas na etapa de racionalização foram acertadas.

49 CAPÍTULO 3. ALGORITMOS PARA ANÁLISES DE ALARMES 37 Tabela 3.5: Resultado genérico para uma análise de distribuição de prioridade. PRIORIDADE TOTALIZAÇÃO PERCENTUAL Baixa % Média % Alta 50 5% Tabela 3.6: Resultado genérico para uma análise de histórico de alarmes. Mês TOTALIZAÇÃO Janeiro 157 Fevereiro 150 Março 138 Abril 185 Maio 251 Junho 124 Julho 362 Agosto 178 Setembro 196 Outubro 132 Novembro 458 Dezembro 800 Diante disto, a análise de histórico de alarmes, possibilita fazer este acompanhamento. Para tal, realiza-se uma totalização dos tags (ou de qualquer outro atributo) de alarmes por um período específico. Desta forma, possibilita-se realizar o monitoramento do desempenho das ocorrências de alarmes, através de comparativos da totalização de alarmes entre períodos de tempo. A Tabela 3.6 ilustra um exemplo de resultado para uma análise de histórico entre os meses do ano. É de suma importância, também, que tal análise seja flexível o suficiente para realizar comparativos entre anos, meses, semanas, dias e até horas. Outro fator importante a ser levado em consideração é o de permitir filtros onde seja possível acompanhar individualmente o desempenho dos alarmes de uma área da planta ou até mesmo de uma tag isoladamente. Análise de Histórico de Distribuição de Prioridades Semelhantemente à análise de histórico de alarmes, esta análise tem como função avaliar a atividade de racionalização dos alarmes com relação à distribuição de prioridade

50 CAPÍTULO 3. ALGORITMOS PARA ANÁLISES DE ALARMES 38 Tabela 3.7: Resultado genérico para uma análise de histórico de alarmes. Ano Baixa Média Alta TOTAL (21%) 452(25%) 985(54%) (31%) 510 (30%) 650 (39%) (42%) 525 (35%) 325 (23%) 1474 a que o operador está sendo submetido ao longo do tempo. Muito se assemelha com a análise de histórico de alarmes, porém com uma informação a mais: como as prioridades estiveram distribuídas em relação ao total de ocorrências. A Tabela 3.7 ilustra um exemplo do resultado para a comparação entre três anos Análises de Duração Como mostrado na Seção 3.1, as ocorrências de alarmes possuem tempos de duração associados. A análise destes tempos é um importante parâmetro que deverá ser levado em consideração na etapa de identificação do ciclo de gestão. Tanto o tempo de atividade como o tempo em que o operador levou até reconhecer o alarme devem ser mensurados. Portanto, estas análises podem ser divididas em dois grupos: Análises do Tempo de Duração e Análises do Tempo de Reconhecimento. Em conjunto com as análises de freqüência descritas anteriormente na Seção 3.3.1, as análises de tempo de duração fornecem fortes indícios de alarmes com problemas em suas configurações, tornando-os muitas vezes recorrentes ou persistentes. As subseções que seguem mostrarão como devem ser tais análises para que possam extrair dos dados este tipo de informação. Análise de Tempo Médio de Duração A análise de tempo médio de duração dos alarmes é responsável pelo cálculo do tempo médio em que cada alarme ficou ativo na tela do operador, ou seja, o tempo em que a causa que originou aquela ocorrência de alarme levou até ser sanada. Este parâmetro permite localizar alarmes com duração média bastante elevada ou muito curta. Em ambos os casos tais alarmes devem ser identificados. Como forma de visualização, esta análise pode ser exposta em forma de gráfico ou tabela, ver Tabela 3.8 para exemplo de resultado.

51 CAPÍTULO 3. ALGORITMOS PARA ANÁLISES DE ALARMES 39 Tabela 3.8: Exemplo de resultado para uma análise de tempo médio de duração de alarmes. Alarme Tempo Médio de Duração TAG X : HIGH 2m:34s TAG Y : LOW 1m:51s TAG W : HIHI 1m:21s TAG Z : LOLO 58s No caso de duração média muito elevada pode se configurar uma falta de estratégia de inibição dos alarmes de equipamentos em manutenção ou mesmo uma falha na concepção do seu ponto de ativação. Alarmes que perduram por dias ativos possivelmente precisam ser revistos quanto à sua necessidade. Estes alarmes, normalmente não deveriam estar em monitoramento neste período, porém deixá-los polui a tela de operação dificultando o tratamento daqueles que realmente precisam de atenção do operador naquele momento. Outro fator importante, e causador do tempo prolongado de atividade, é a falha na concepção do ponto de ativação do alarme. Como exemplo, vamos supor um vaso separador que tem como ponto de operação de nível em regime permanente o valor de 1 metro e alarme de nível alto com ponto de ativação em 0,8 metro. Fatalmente este alarme perdurará por horas ou até dias na tela de operação. Apesar de óbvio, este erro é bastante comum de ocorrer num ambiente industrial complexo e mutável quanto às configurações operacionais. Diante disto, é sempre importante o monitoramento deste parâmetro a fim de identificar alarmes com erros de configuração desta natureza. Por outro lado, os alarmes que possuem duração média muito curta são fortes candidatos a serem alarmes recorrentes, ou seja, alarmes que entram e saem da tela de operação freqüentemente. Tais alarmes oferecem sérios riscos à operação, pois leva, gradualmente, ao descrédito do sistema de alarmes. Normalmente isto ocorre devido ao ponto de ativação destes alarmes se localizarem bastante próximo do ponto de operação da variável, assim, qualquer flutuação da variável em relação a seu ponto de operação implica na geração de uma nova ocorrência de alarme. Como a média isoladamente pode não ser conclusiva, é importante utilizar esta análise em conjunto com análises de freqüência e/ou análises mais aprofundadas como as que serão expostas na Seção

52 CAPÍTULO 3. ALGORITMOS PARA ANÁLISES DE ALARMES 40 Análise de Tempo Médio de Reconhecimento Esta análise é bastante semelhantemente à análise de tempo médio de duração do alarme, porém o parâmetro a ser mensurado corresponde ao tempo em que o operador levou para se manifestar ciente da ocorrência do alarme através do comando de reconhecimento. A análise deste parâmetro permite visualizar como os operadores estão respondendo aos alarmes que lhe são apresentados. Assim como a análise do tempo médio de duração, tanto o tempo prolongado como bastante reduzido do reconhecimento podem revelar situações indesejadas. Alarmes com tempo médio de reconhecimento bastante elevado pode ser um forte indício de alarme que caíram em descrédito pelo operador. O operador já não o trata como um alarme, tornando-se apenas um incômodo e, portanto, deixado de lado pela operação. Por outro lado, alarmes com tempo médio de reconhecimento bastante reduzido normalmente são frutos da recorrência do alarme. São alarmes que o operador já teve contato nos últimos minutos e por isso o reconhece assim que o mesmo se torna ativo. Portanto, acompanhar este parâmetro também pode ajudar a encontrar problemas de configurações, os quais poderiam não ser evidenciados pelas outras análises apresentadas até então Análises Avançadas As análises que serão apresentadas nesta seção têm como objetivo agrupar um conjunto qualitativo de informações. Neste cenário, algumas suspeitas reveladas pelas análises de freqüência e duração podem ser corroboradas com a ajuda destas análises. Além disto, visa tornar possível uma maior compreensão sobre a dinâmica do processo (do ponto de vista de ocorrência de alarmes) e ainda identificar períodos de sobrecarga de alarmes aos operadores. Desta forma, este conjunto de análises, descritas aqui como avançadas, deverá ser utilizado na etapa de identificação do ciclo de gestão para, então, subsidiar a etapa seguinte do ciclo, tornando as decisões bem embasadas. Tal conjunto é composto pelas seguintes análises: Análise de Ocorrência; Análise de Interrelação; Análise de Recorrência; Análise de Intermitência e

53 CAPÍTULO 3. ALGORITMOS PARA ANÁLISES DE ALARMES 41 Análise de Períodos de Avalanche. Análise de Ocorrências A Análise de Ocorrências tem como objetivo apresentar o comportamento de um alarme em específico no decorrer do tempo. Deverá, portanto, mostrar o comportamento de ativação, duração e desativação de um tag de alarme específico ao longo do período pré-definido pelo usuário. Esta análise se torna mais interessante se utilizada em conjunto com a análise de badactors descrita na Seção Portanto, de posse de tais bad-actors, esta análise pode averiguar o comportamento individualizado de um conjunto de alarmes a fim de observar se tais alarmes realmente apresentam comportamento problemático. Portanto, com esta análise, torna-se possível observar como as ocorrências de um determinado alarme estiveram distribuídas no decorrer do tempo. Sendo possível, desta forma, identificar grupos de ativações de um mesmo alarme, identificar se um determinado alarme foi intermitente no período e ainda encontrar padrões de ativação. A intermitência pode ser identificada através de alarmes que possuem suas ocorrências distribuídas durante todo o período. Além da intermitência, outros padrões podem ser observados como, por exemplo, a falha na configuração dos pontos de ativação dos níveis de alarmes. Tal fenômeno resulta em gráficos semelhantes para os diversos níveis, ou seja, a cada alarme de um determinado nível corresponde a uma ativação de outro nível quase que instantaneamente. Neste caso, todos estes alarmes necessitam de ajustes em suas configurações. A forma mais adequada para a visualização deste tipo de análise é o de gráfico de linha, semelhantemente aos gráficos que ilustram o comportamento de uma determinada variável de processo. No entanto, a diferença consiste que a variável de alarme é digital por natureza, tornando o gráfico semelhante ao de uma onda quadrada de freqüência variável. É importante ainda que seja ilustrado o comportamento de cada nível do alarme em linhas disjuntas. Um exemplo e sugestão para gráfico desta análise é ilustrada na Figura 3.5. Análise de Interrelação Outro fator bastante importante de ser observado na etapa de identificação é o quanto as ocorrências de alarmes estão relacionadas, ou seja, responder, por exemplo, as seguintes perguntas: dado que um determinado alarme ocorreu quais outros alarmes estiveram relacionados com esta ocorrência? Que impacto um alarme trás aos demais? Existem

54 CAPÍTULO 3. ALGORITMOS PARA ANÁLISES DE ALARMES 42 Figura 3.5: Exemplo de Gráfico da Análise de ocorrências. alarmes redundantes? Muitas vezes a falta de uma metodologia formal em gerenciamento de alarmes na etapa de projeto, faz com que alarmes sejam incluídos a esmo sem uma crítica mais apurada. Assim, acaba-se preferindo pecar pelo excesso do que pela falta de monitoramento, porém este comportamento também trás sérios riscos à operação, pois acaba por sobrecarregá-la de informações muitas vezes desnecessárias, levando-se ao descrédito dos sistemas de alarmes. Por estas razões é vital que se tenha em mãos uma análise que seja capaz de identificar relações entre alarmes. Tendo isso em vista, a Análise de Interrelação se propõe a realizar esta tarefa. Para o cálculo desta análise se faz necessário escolher um alarme de referência, o qual se deseja encontrar as relações com os demais e uma janela de tempo de ativação. Esta janela deve ser dimensionada por pessoas conhecedoras do processo, pois o valor da janela consiste em quanto tempo após o alarme ter ocorrido será verificado a perpetuação dos seus efeitos no processo. O cálculo, no entanto, consiste em buscar todas as ativações do alarme escolhido e verificar quais outros alarmes aconteceram durante a janela de tempo fornecida. A janela, por sua vez, é posicionada a partir da ativação do alarme selecionado em diante. Uma vez identificados os alarmes que se ativaram dentro da janela, estes são contabilizados em relação ao total de ocorrências do alarme escolhido para a efetuação do cálculo da relação. A ilustração da Figura 3.6 (a) mostra um exemplo do cálculo. Nota-se que existem

55 CAPÍTULO 3. ALGORITMOS PARA ANÁLISES DE ALARMES 43 duas ocorrências do alarme escolhido e nas duas ocorrências (dentro da janela de tempo) se tornou ativo o alarme X e o alarme Y. O resultado para este exemplo seria uma relação de 100% do alarme em questão com o alarme X e com o alarme Y, já que todas as ativações do alarme escolhido estiveram acompanhadas da ativação do alarme X e do alarme Y (na janela de tempo especificada). (a) (b) (c) Figura 3.6: Ilustração do procedimento para cálculo da Análise de Interrelação. No exemplo da Figura 3.6 (b), o alarme X só se tornou ativo na primeira ocorrência do alarme selecionado, enquanto o alarme Y se tornou ativo para as duas ocorrências. O resultado para este caso seria uma relação de 50% para o alarme X e 100% para o alarme Y. Já no exemplo da Figura 3.6 (c), o alarme X só se tornou ativo na primeira ocorrência do alarme em questão, porém o alarme Y se tornou ativo nas duas ocorrências, no entanto na segunda o mesmo ativou e desativou duas vezes dentro da mesma janela de tempo.

56 CAPÍTULO 3. ALGORITMOS PARA ANÁLISES DE ALARMES 44 Tabela 3.9: Exemplo de resultado em tabela para a análise de interrelação. Alarme Relação TAG X : HIGH 100% TAG Y : LOW 40% TAG W : HIHI 30% TAG Z : LOLO 10% Esta situação é bastante comum quando se trata de alarmes recorrentes. Com a finalidade de não contabilizar esta recorrência, o número de ativações dentro de uma mesma janela não é levado em consideração e sim apenas se houve pelo menos uma ativação. Portanto, o resultado deste exemplo seria exatamente igual ao resultado para o exemplo da Figura 3.6 (b). Figura 3.7: Exemplo de resultado em grafo para a análise de interrelação. Por fim, o resultado desta análise pode ser ilustrada em forma de tabela como mostra a Tabela 3.9 ou em forma de grafo. Nesta última, os pesos das arestas que unem o alarme escolhido ao que foi encontrada uma relação, corresponde ao resultado do cálculo da relação, como ilustrado na Figura 3.7. Análise de Recorrência Alguns alarmes ocorrem múltiplas ativações em um curto intervalo de tempo. Mesmo em casos onde a falha geradora do alarme ocorre apenas uma vez, o alarme que monitora tal variável de processo pode ser ativado e desativado constantemente. Essa situação é bastante indesejada, pois polui a tela da operação com uma informação desnecessária,

57 CAPÍTULO 3. ALGORITMOS PARA ANÁLISES DE ALARMES 45 já que o operador já se encontra ciente da anormalidade geradora deste alarme, porém o mesmo torna a ocorrer sistematicamente. Este fato ocorre não por que a falha tornou a acontecer e sim pelas suas configurações mal equalizadas. Este tipo de alarme é chamado alarme recorrente e identificá-los é objetivo desta análise. Para o cálculo desta análise deve ser informada, ao algoritmo, uma janela de tempo e uma quantidade mínima de ocorrências para o mesmo ser considerado recorrente, além de um período de tempo de análise. A janela de tempo representa o intervalo de tempo em que serão contabilizados a quantidade de ativações de cada alarme. A quantidade mínima representa o threshold inferior onde a partir dele os alarmes serão considerados recorrentes. Já o período de tempo, compreende todo o espaço de tempo que se deseja analisar. O cálculo consiste no deslocamento da janela configurada pelo usuário no decorrer do período de tempo selecionado. Inicialmente a janela é posicionada a partir da primeira ocorrência de alarme do período. Caso nesta janela seja verificado um número maior do que a quantidade escolhida de um mesmo alarme, este satisfará a condição e entrará na lista de alarmes recorrentes. A janela de tempo é sempre deslocada para a próxima ocorrência de qualquer alarme no período e o cálculo refeito, até que se tenha percorrido todo o período de tempo ou não haja mais ocorrências de alarmes a serem verificadas. Portanto, o deslocamento da janela não é fixo. Ele é dependente das ocorrências de alarmes. Este modo de calcular garante que todas as ocorrências serão contabilizadas e ao mesmo tempo não realiza deslocamentos onde nenhum alarme seja contemplado. A Figura 3.8 mostra um exemplo de cenário para ilustrar o resultado apresentado pelo cálculo, dada uma situação similar. Para este exemplo vamos considerar dois alarmes distintos, onde o representado pela cor vermelha será chamado de Alarme X e o representado pela cor verde de Alarme Y. Para efeito de cálculo, consideraremos oito alarmes para quantidade mínima a se configurar uma recorrência. Dando início ao processo de cálculo, a janela localiza-se a partir da primeira ocorrência de um alarme. A seguir são contabilizados todos os alarmes que estão no interior da janela. No exemplo ilustrado, a totalização do alarme X resulta numa quantidade de 8 o que satisfaz a condição de quantidade mínima, portanto este alarme é considerado recorrente neste período e adicionado a lista de resultado final. Já o alarme Y na primeira janela totaliza a quantidade de apenas um alarme, o que não satisfaz a condição. Em seguida, a janela é deslocada para a próxima ocorrência e o cálculo refeito. Neste caso, nenhum alarme satisfaz à condição, já que o alarme X totaliza sete ocorrências na janela e o alarme Y apenas duas. O cálculo segue interativamente até o final do período de análise ou até não existir mais nenhuma ocorrência a ser computada.

58 CAPÍTULO 3. ALGORITMOS PARA ANÁLISES DE ALARMES 46 Figura 3.8: Ilustração do procedimento para o cálculo da análise de recorrência. Tabela 3.10: Exemplo de resultado em tabela para a análise de recorrência. Alarme Instante de Tempo TAG X t1 TAG X t2 TAG X t3 TAG X t4 TAG X t5 TAG X t6 TAG X t7 TAG X t8 O resultado desta análise pode ser exposto em forma de tabela ou ainda em forma gráfica. Para tal, apenas as ocorrências que geraram a recorrência são mostradas como resultado desta análise. A Tabela 3.10 ilustra o resultado para o exemplo discutido e a Figura 3.9 mostra o mesmo resultado, porém via gráfico. Figura 3.9: Exemplo de resultado via forma gráfica para a análise de recorrência.

59 CAPÍTULO 3. ALGORITMOS PARA ANÁLISES DE ALARMES 47 Análise de Intermitência Os alarmes intermitentes são aqueles que se tornam ativos constantemente, durante longos períodos de tempo, porém não demandam uma ação operacional. São eles os grandes responsáveis por poluir a tela de operação com informações que poderiam ser poupadas. A intermitência é um problema bastante comum na operação de grandes plantas industriais e ocorre principalmente devido à falha na configuração do ponto de ativação do alarme ou à falta de entendimento filosófico sobre o que significa um alarme. A falha de configuração faz com que o alarme sempre se torne ativo em determinado estágio de operação da planta, gerando-se uma nova ocorrência do alarme periodicamente. Neste contexto, é, sem dúvidas, bastante importante uma análise capaz de identificar tais alarmes na etapa de identificação do ciclo de gestão. Portanto, a Análise de Intermitência, que será descrita em seguida, tem este objetivo. O cálculo para encontrar a intermitência consiste em buscar todos os alarmes que se tornaram ativos várias vezes em dias consecutivos. A quantidade de dias consecutivos é um parâmetro da análise bem como o número de vezes que o alarme deve ter sido ativado por dia. Para realizar este cálculo, o algoritmo proposto varre as ocorrências de alarmes com duas janelas temporais. A primeira janela, que chamaremos de janela interna, é sempre do tamanho de um dia (24h) tendo início à 00:00:00 do dia e fim às 23:59:59 e a segunda janela, que chamaremos de janela externa, tem o tamanho da quantidade de dias passada como parâmetro para a análise. Ambas inicialmente são posicionadas no mesmo ponto de partida, como ilustra a Figura Inicialmente, a janela interna, posicionada no mesmo local da externa, contabiliza o total de ativação de um mesmo alarme e verifica se este total é maior ou igual ao parâmetro de quantidade por dia. Caso seja, estas ocorrências de alarme são adicionadas à lista de resultado parcial e a janela interna desloca-se para o próximo dia. A partir da segunda janela interna, apenas os alarmes que já se encontram na lista de resultado parcial são verificados quanto à sua quantidade, pois os outros já não podem mais satisfazer a condição de intermitência. Caso a quantidade de um mesmo alarme na segunda janela ainda ultrapasse o limite de quantidade, tais ocorrências são adicionadas na lista de resultado parcial, porém se o limite não é alcançado todas ocorrências daquele alarme são removidas da lista de resultado. Após a janela interna ter se deslocado em todo o período da janela externa, o resultado parcial é adicionado à lista de resultado final, a janela externa é deslocada de um dia e o cálculo refeito. Após a janela externa ter se deslocado durante todo o período

60 CAPÍTULO 3. ALGORITMOS PARA ANÁLISES DE ALARMES 48 da análise, a lista de resultado contém todos os alarmes considerados intermitentes. Para um melhor entendimento, vamos tomar como exemplo o cenário de alarmes exposto pela Figura 3.10, três dias como parâmetro de quantidade de dias e quatro alarmes como parâmetro de quantidade por dia. (a) (b) (c) Figura 3.10: Ilustração do procedimento para o cálculo da análise de intermitência. Inicialmente, a janela externa e interna são posicionadas no mesmo ponto e são contabilizados todos os alarmes que se tornaram ativos dentro da janela interna verificando se ultrapassam o parâmetro de alarmes por dia. No caso do exemplo da Figura 3.10 (a), temos que o alarme X se tornou ativo seis vezes e, portanto, ultrapassou o limite de quatro alarmes. Tais alarmes são, então, colocados na lista de resultado parcial e a janela interna é deslocada para o próximo dia, como ilustrado pela Figura 3.10 (b). Nesta segunda janela, apenas a quantidade do alarme X é verificada, pois os demais alarmes já

61 CAPÍTULO 3. ALGORITMOS PARA ANÁLISES DE ALARMES 49 não podem satisfazer à condição de intermitência neste período (janela externa). Para a segunda janela, são contabilizados cinco alarmes ativos para o alarme X e, portando, essas ocorrências são postas na lista de resultado parcial. Na última janela, Figura 3.10 (c), temos quatro ativações do alarme X e novamente suas ocorrências são colocadas na lista de resultado parcial, já que a totalização não é menor que o limite de quatro préestabelecido. Como foi percorrida toda janela externa, o resultado parcial é adicionado à lista de resultado final, a janela externa deslocada de um dia e o cálculo refeito até que se tenha percorrido todo o período de análise. Como melhoria de desempenho, caso em uma das janelas interna seja verificado que o resultado parcial não contém nenhum alarme, o algoritmo automaticamente não verifica as demais janelas internas, desloca a janela externa em um dia e reinicia o cálculo para o novo período. O resultado do cálculo de intermitência, assim como o cálculo de recorrência, pode ser exposto via tabela ou gráfico. Tal resultado consiste em mostrar todas as ocorrências que satisfazem a condição de intermitência no período de análise. A Figura 3.11 mostra o resultado em forma gráfica para o exemplo da Figura Figura 3.11: Exemplo de resultado via forma gráfica para a análise de intermitêcia. Análise de Períodos de Avalanche Em um processo industrial as suas várias etapas de produção estão interligadas. Assim, uma falha que ocorra em uma destas etapas poderá ser propagada para as demais. Por exemplo, imaginemos que um determinado tanque de suprimento se torne vazio devido a um vazamento. Todos os outros processos que precisam deste suprimento irão parar de funcionar, assim como as etapas seguintes. A falha, deste modo, pode então se propagar de forma encadeada. Cada etapa poderá gerar diversos alarmes e a propagação da falha pode levar, então, a geração de centenas ou até milhares de alarmes. Esse fenômeno é conhecido na literatura como avalanche de alarmes.

62 CAPÍTULO 3. ALGORITMOS PARA ANÁLISES DE ALARMES 50 Este fato é bastante problemático visto que apenas um único problema pode ser gerador de diversos alarmes. Para a operação, torna-se bastante difícil e árduo descobrir a falha que desencadeou todos estes alarmes. O ideal seria que apenas a falha geradora de todos os eventos seguintes fosse apontada pelo sistema de alarmes, porém não é o que acontece na prática, ficando para o operador a função de correlacionar mentalmente todos os alarmes ativos no momento e inferir uma causa provável, o que nem sempre é possível. Diante deste fato, fica fácil perceber que as avalanches de alarmes são bastante problemáticas para a operação de processos industriais. Portanto, identificar os períodos em que os operadores estiveram submetidos a avalanches de alarmes ou sobrecarregados é um tipo de análise muito importante pois a partir da identificação destes períodos podem ser realizadas outras análises a fim de identificar as causas para a ocorrência destas avalanches. Aqui, o cálculo desta análise consiste em deslizar uma janela de tempo em um período, verificando a quantidade de alarmes ativos. Caso o número de alarmes ativos supere um limite superior pré-estabelecido, tem-se início a um período de avalanche de alarmes até que a quantidade de alarmes ativos caia até um limite inferior pré-estabelecido. Portanto, para o cálculo desta análise são necessários quatro parâmetros: período de tempo de análise, tamanho da janela, deslocamento da janela, limite superior de alarmes ativos e limite inferior de alarmes ativos. Os alarmes considerados ativos devem ser não apenas os alarmes que se ativaram durante a janela de tempo, mas também os alarmes que se ativaram anteriormente, porém ainda não cessaram. Para um melhor entendimento, vamos tomar como exemplo o cenário de alarmes exposto pela Figura 3.12, onde tem-se oito alarmes como parâmetro de limite superior e seis alarmes como parâmetro de limite inferior, janela de tempo e deslocamento como exposto na figura. Como pode ser visto na Figura 3.12 (a), a primeira janela de tempo contabiliza 8 alarmes ativos. Esta totalização leva em conta tanto os alarmes que se ativaram durante a janela, como também os alarmes que se ativaram em um momento anterior, porém ainda se mantém em estado de alarme, como é o caso do alarme representado na cor azul. Como o valor da totalização é maior ou igual ao limite superior de oito pré-estabelecido, então nesse instante inicia-se um período de avalanche. O cálculo procede e a janela, neste caso, é deslocada do seu próprio tamanho como ilustra a Figura 3.12 (b). Novamente é realizada a totalização, que neste caso resulta também em oito unidades e, portanto, o período de avalanche é mantido. Em seguida a janela é novamente deslocada e a totalização realizada como ilustra a Figura 3.12 (c). Neste momento a totalização resulta em um valor menor

63 CAPÍTULO 3. ALGORITMOS PARA ANÁLISES DE ALARMES 51 (a) (b) (c) Figura 3.12: Ilustração do procedimento para o cálculo da análise de avalanche. ou igual ao limite inferior de seis pré-estabelecido. Portanto, neste instante, tem-se o fim do período de avalanche de alarmes. O cálculo prossegue até o fim do período de análise escolhido. O resultado desta análise pode ser em forma gráfica ou via tabela onde a informação a ser apresentada deve ser o início e o fim dos períodos de sobrecarga encontrados pelo algoritmo a partir dos parâmetros fornecidos. A Figura 3.13 ilustra um exemplo de resultado via forma gráfica, onde são mostrados dois períodos de avalanches de alarmes, bem como o comportamento da quantidade de alarmes durante estes períodos. Analisando-se a Figura 3.13, observa-se facilmente que houve duas avalanches: uma compreendida entre o período t1 e t2 e outra compreendida entre t3 e t4. A partir desta identificação é possível uma análise mais minuciosa nestes períodos através das outras análises apresentadas

64 CAPÍTULO 3. ALGORITMOS PARA ANÁLISES DE ALARMES 52 Figura 3.13: Exemplo de resultado via forma gráfica para a análise de avalanche. nesta dissertação para, então, poder encontrar a razão destas avalanches. Com o intuito de validar os algoritmos propostos neste capítulo, no próximo capítulo serão apresentados os resultados obtidos a partir de dados reais de alarmes provenientes de sistemas supervisórios de processos de refino e produção de petróleo, que foram gentilmente cedidos pela Petrobras.

65 Capítulo 4 Resultados Experimentais Neste capítulo apresentaremos os resultados da utilização das análises descritas no Capítulo 3. Tais análises têm a finalidade de identificar os alarmes problemáticos e que por tanto merecem ser reavaliados quanto à sua necessidade e configurações. Esta atividade de identificar tais alarmes, reavaliá-los e propor melhorias é conhecida como racionalização de alarmes cujo ciclo de gestão foi apresentado na Seção A avaliação e validação destas análises foi realizada com dados reais de processos de refino, transporte e exploração de petróleo cedidos gentilmente pela Petrobras. 4.1 Resultado das Análises de Freqüência Nesta seção analisaremos as informações extraídas com a utilização das análises de freqüência apresentadas neste trabalho. Para isto serão considerados os dados de plantas de exploração, refino e transporte de petróleo, os quais foram cedidos pela Petrobras Resultado das Análises de Contagem de Bad-Actors Como descrito na Seção 3.3.1, um excelente ponto de partida para encontrar alarmes problemáticos é a Análise Contagem de Bad Actors. Com esta análise fica possível focar o trabalho nos alarmes mais freqüentes da planta realizando uma análise crítica em cada um destes. Normalmente os bad-actors são responsáveis por um alto percentual de ocorrências em relação ao total. Por este motivo, tratar estes alarmes pode significar reduzir bastante o número de ocorrências de alarmes apresentadas ao operador [EEMUA 1999]. As Figuras 4.1, 4.2 e 4.3 mostram resultados da contagem geral de alarmes em um período de 30 dias em três diferentes tipos de plantas petroquímicas. O gráfico em linha

66 CAPÍTULO 4. RESULTADOS EXPERIMENTAIS 54 representa o acumulado percentual, ou seja, a soma dos percentuais de cada alarme até o alarme em questão. O gráfico em barra representa a quantidade de cada alarme individualmente. Os tags dos alarmes foram omitidos devido à grande massa de informação, que impossibilita na legibilidade. De posse destes gráficos podemos observar que os 20 alarmes mais freqüentes são responsáveis por uma grande parcela do total de ocorrências. Em alguns casos, como o apresentados pelo resultado da análise na planta de refino, este valor chega a mais de 80% reforçando a idéia de focar o trabalho de racionalização nestes alarmes. Figura 4.1: Distribuição de ocorrências em uma Planta de Exploração. Figura 4.2: Distribuição de ocorrências em uma planta de transporte de óleo e gás. Diante disto, os bad-actors podem ser identificados através da Análise Contagem de Bad Actors apresentada na Seção Para a melhor visualização, foi estabelecido um limite de 20 alarmes, ou seja, apenas os 20 mais freqüentes serão apresentados no gráfico.

67 CAPÍTULO 4. RESULTADOS EXPERIMENTAIS 55 Figura 4.3: Distribuição de ocorrências em uma planta de refino. O resultado pode ser visualizado através das Figuras 4.4, 4.5 e 4.6 e foi obtido no mesmo período dos gráficos apresentados nas Figuras 4.1, 4.2 e 4.3, respectivamente. Figura 4.4: Bad-actors em uma planta de exploração. Pode-se observar pela análise destes resultados que independentemente do tipo de planta petroquímica analisada, os bad-actors representam uma grande parcela do total de alarmes. Em todos os casos apresentados, as ocorrências de alarmes se comportam similarmente a uma função exponencial decrescente, como previsto na norma EMMUA 191.

68 CAPÍTULO 4. RESULTADOS EXPERIMENTAIS 56 Figura 4.5: Bad-actors em uma planta de transporte de óleo e gás. Figura 4.6: Bad-actors em uma planta de refino.

69 CAPÍTULO 4. RESULTADOS EXPERIMENTAIS Resultados da Análise de Distribuição de Prioridades Outro importante índice de freqüência a ser acompanhado é a distribuição de prioridades dos alarmes, que pode ser obtida através da Análise de Distribuição de Prioridade descrita na Seção Este índice ajuda a acompanhar a confiabilidade dos alarmes, visto que, numa situação de avalanche o operador deve ser capaz de priorizar suas ações com base nas prioridades dos alarmes gerados. Uma planta bem configurada deve possuir mais alarmes de baixa prioridades em relação aos de alta prioridades [EEMUA 1999]. Neste contexto, foi realizado o cálculo de distribuição de prioridades para as plantas de exploração e transporte no mesmo período da Análise Contagem de Bad Actors apresentada anteriormente. Os resultados podem ser visto através das Figuras 4.7 e 4.8. Figura 4.7: Distribuição de prioridade em uma planta de exploração. No resultado da Figura 4.7, os alarmes de prioridade crítica estão representados pela legenda "15-CRITICAL", os alarmes de prioridade baixa pela legenda "11-WARNING"e os de média pela legenda "07-ADVISORY". Como comentado na Sessão 3.3.1, a norma EEMUA N o 191 (1999) recomenda que até 5% dos alarmes sejam críticos em contraste com o resultado observado de 51% das ocorrências. Já os alarmes de prioridade média e baixa que juntos deveriam somar 95%, foram responsáveis apenas por 49% das ocorrências. A maior discrepância, neste caso, foram os alarmes de prioridade média, representados por menos de 1% das ocorrências neste período e que segundo a norma deveriam estar em torno de 15%. De posse desses resultados, podemos ver que várias mudanças devem ser providenciadas na configuração de priorização do alarmes pela equipe de gestão da unidade de exploração.

70 CAPÍTULO 4. RESULTADOS EXPERIMENTAIS 58 Figura 4.8: Distribuição de prioridade em uma planta de transporte. De maneira similar, a Figura 4.8 mostra o resultado da distribuição de prioridades dos alarmes para o processo de transporte de óleo e gás. Neste caso, podemos ver que existem vários níveis de priorização de alarmes, no entanto, tal fato não é bem visto pela norma EMMUA 191 que diz que apenas três níveis de priorização de alarmes são necessários. Ainda assim, a distribuição também não se comporta de maneira adequada: os alarmes de baixa prioridades, representados pelos números 1 e 100, somam 16% em relação ao total quando deveriam estar em torno de 85%, os alarmes de prioridade média, representados pelos números 200 e 300, somam 85% das ocorrências em contraste com os 15% estabelecidos na norma EMMUA. Apenas os alarmes de alta prioridade, com sua totalização de 4%, representado pelo número 900, encontram-se em conformidade com os 5% desejados. 4.2 Resultados das Análises de Duração Nesta seção analisaremos as informações extraídas com a utilização das análises de duração apresentadas neste trabalho. Para isto serão considerados os dados de uma planta de exploração de petróleo, cujo os dados foram cedidos pela Petrobras Resultados de Análises do Tempo de Duração do Alarme O tempo de duração do alarme é também um importante parâmetro a ser considerado na etapa de identificação de alarmes problemáticos. Como dito na Seção 3.3.2, os alarmes

71 CAPÍTULO 4. RESULTADOS EXPERIMENTAIS 59 que perduram por muito tempo são fortes candidatos, por exemplo, a alarmes de plantas em manutenção e que deveriam estar inibidos durante este processo. Da mesma forma, alarmes que duram muito pouco podem ser recorrentes e portanto devem ser questionados quanto à sua necessidade e configuração. Figura 4.9: Vinte alarmes com maior tempo médio de duração. Na Figura 4.9 são mostrados os alarmes que possuem, em média, tempos de duração elevados em uma planta de exploração de petróleo no período de análise de 30 dias. Como pode ser observado, existem alarmes que perduram por até 15 dias ativos, poluindo a tela da operação. Esses alarmes devem ser observados pela equipe de gestão de alarmes a fim de levantar as causas para este distúrbio. Estes alarmes não seriam identificados pela Análise Contagem de Bad-Actors visto que sua atividade prolongada implica em uma baixa quantidade de ocorrências no período. Devido a este fato, esta análise também deve ser levada em conta em uma atividade de gestão de alarmes. Já na Figura 4.10 estão dispostos os alarmes com tempo de duração, em média, bastante curtos. Este resultado foi obtido para o mesmo período dos alarmes com duração elevada, porém considerando os 20 alarmes com os menores tempos de duração. Como pode ser visto, existem alarmes que possuem tempo de duração em média menor que cinco segundos, impossibilitando qualquer ação durante este período por parte do operador. Este fato ocorre normalmente em alarmes recorrentes onde o ponto de ativação do alarme não se encontra bem ajustado e que por isso ocorre uma flutuação da variável de processo em torno do valor de ativação do alarme, emitindo várias notificações deste

72 CAPÍTULO 4. RESULTADOS EXPERIMENTAIS 60 Figura 4.10: Vinte alarmes com menor tempo médio de duração. mesmo alarme. Esta hipótese pode ser evidenciada se os alarmes apresentados por esta análise também aparecerem na lista de bad-actors no mesmo período. Este fato reforça a idéia de que existiu várias notificações do alarme em curtos intervalos de tempo. Para o nosso exemplo o alarme EMED-OLEO da Figura 4.10 satisfaz esta condição e por tanto possivelmente trata-se de um alarme recorrente. Cabe à equipe responsável pela gestão, questionar a necessidade e a configuração de tais alarmes de posse destas informações Resultados de Análises do Tempo de Reconhecimento dos Alarmes De maneira análoga à análise de tempo de duração e como apresentado na Seção 3.3.2, a análise de tempo de reconhecimento é responsável por calcular o tempo em que o operador levou, em média, até manifestar-se ciente da existência do alarme. A Figura 4.11 mostra os alarmes que levaram muito tempo até serem reconhecidos. Para este cálculo foi levado em consideração o mesmo período e os mesmo dados de exploração de petróleo dos utilizado na Análise de Tempo de Duração. A Figura 4.11 mostra que alguns alarmes, em média, demoraram mais de uma hora até serem reconhecidos. A importância de identificar tais alarmes deve-se à necessidade de se levantar o porquê esses alarmes foram ignorados pela operação. Afinal, a credibilidade do operador no sistema de gerenciamento de alarmes é condição sine qua non para a segurança do processo.

73 CAPÍTULO 4. RESULTADOS EXPERIMENTAIS 61 Figura 4.11: Vinte alarmes com maior tempo médio de reconhecimento. Figura 4.12: Vinte alarmes com menor tempo médio de reconhecimento.

74 CAPÍTULO 4. RESULTADOS EXPERIMENTAIS 62 Já os alarmes que possuem o seu tempo de reconhecimento bastante reduzido, como mostrado na Figura 4.12, devem também ser identificados. Alguns alarmes chegam a possuir seu tempo médio de reconhecimento abaixo dos 20 segundos. Portanto, estes alarmes são candidatos a serem recorrentes, os quais o operador já obteve contato nos últimos instantes e por esta razão o reconhece imediatamente. 4.3 Resultados das Análises Avançadas Nesta seção analisaremos as informações extraídas com a utilização das análises avançadas apresentadas na Seção Com estas análises é possível identificar alarmes recorrentes, intermitentes, períodos de avalanche, relação entre alarmes e ainda observar o comportamento do alarmes no tempo. Acreditamos que este conjunto de análises, somados as análises de freqüência e duração expostas anteriormente, possa formar um conjunto qualitativo de informações que ajudem na tomada de decisão. Para mostrar os resultados que podem ser obtidos com o uso destas análises, serão utilizados dados de uma planta de exploração de petróleo que foram cedidos pela Petrobras Resultado das Análises de Ocorrência A Análise Avançada de Ocorrência tem por objetivo analisar o comportamento de um determinado alarme no tempo. É uma importante análise quando se deseja observar como foi a distribuição de ativação, duração e desativação de um determinado alarme. Por este motivo, de posse do resultado da Análise de Contagem de Bad-Actors, esta análise ajuda a esclarecer o motivo pelo qual um determinado alarme se tornou bad-actor. Para apresentar os resultados, serão analisados as ocorrências de dois bad-actors da lista apresentada na Figura 4.4: EMED-OLEO e LI O alarme EMED-OLEO foi o sexto mais freqüente no período de 30 dias, como mostrou a Análise Contagem de Bad-Actors. Para o entendimento de como esteve distribuídas as ocorrências deste alarme, a Figura 4.13 ilustra o resultado da Análise de Ocorrências para o mesmo período. Como pode ser observado no resultado da Figura 4.13, o alarme EMED-OLEO teve suas ocorrências distribuídas durante todo o período de análise. Esta fato, nos fornece um forte indício que trata-se um alarme intermitente e, portanto, necessita de uma avaliação. Uma análise mais minuciosa, através de um zoom no gráfico (Figura 4.14) mostrou que o alarme tem uma periodicidade bastante precisa em intervalos de uma hora. Diante deste fato, é possível concluir que este alarme não apenas é intermitente, mas também

75 CAPÍTULO 4. RESULTADOS EXPERIMENTAIS 63 Figura 4.13: Resultado da Análise Avançada de Ocorrência para o alarme EMED-OLEO. Figura 4.14: Visualização aproximada das ocorrências do alarme EMED-OLEO.

76 CAPÍTULO 4. RESULTADOS EXPERIMENTAIS 64 está pré-programado para se ativar de uma em uma hora. Portanto, trata-se de um alarme previsível, o que vai de encontro à definição filosófica do papel de um alarme, como explicitado na Seção Pode se concluir que este alarme provavelmente não representa um problema ou falha de processo e, portanto, precisa ser revisto quanto à sua necessidade. Outro alarme que chamou bastante atenção com a Análise de Ocorrência foi o LI , segundo da lista de bad-actors. O seu comportamento pode ser observado através da Figura Figura 4.15: Resultado da Análise Avançada de Ocorrência para o alarme LI Como pode ser visto, o comportamento do alarme de nível HI_ALM é muito similar ao alarme de nível HI_HI_ALM. Esta evidência fornece indícios de que tais limites estão configurados muito próximos, o que leva a uma duplicação da ocorrência do alarme. Diante desta informação cabe à equipe de gestão de mudanças realizar um processo de racionalização sobre esses alarmes Resultados de Análises de Interrelação Outra importante informação a ser extraída é o quanto os alarmes estão relacionados entre si. Ou seja, dado que um determinado alarme ocorreu, qual a relação encontrada entre este alarme e os demais? A partir do resultado desta análise é possível estimar o impacto de um determinado alarme aos demais bem como encontrar alarmes redundantes. Para o cálculo desta análise é necessário que seja informado um determinado alarme e o tamanho da janela de tempo a ser analisada. A janela limita, no cálculo, o tempo em que o alarme escolhido afeta os demais. É importante que este parâmetro seja escolhido cau-

77 CAPÍTULO 4. RESULTADOS EXPERIMENTAIS 65 telosamente pela equipe de gestão, pois se for grande demais abrangerá todos os alarmes, por outro lado se for muito pequeno poderá omitir uma relação importante. Para o nosso exemplo foi escolhido o alarme B FAIL_ALM, que representa um alarme de falha em uma bomba de processo, quinto lugar na lista dos bad-actors. Para o cálculo, foi escolhida uma janela de tempo de 10 minutos. O resultado para este cálculo pode ser visualizado através da Figura 4.16 onde o alarme escolhido é representado pela cor vermelha e está ligado aos demais alarmes por intermédio de uma aresta, que por sua vez, indica a relevância da relação. A relevância da relação é indicada através de um quociente que possui no numerador a quantidade do alarme relacionado e no denominador a quantidade total do alarme escolhido, para análise, no período. Figura 4.16: Resultado da Análise Avançada de Interrelação para o alarme B Como pode ser observado, para estes parâmetros o alarme B FAIL_ALM apresentou 96,36% de relação com a mesma tag, porém de nível STATUS_6, 92,73% com o nível STATUS_12 e 85,45% com o STATUS_14. Neste cenário, uma causa provável para este tipo de relação, encontrada com o mesmo tag com níveis de STATUS diferentes, é o efeito da ação dos operadores em decorrência da falha na bomba. Muitas vezes essas ações são configuradas como alarme e a medida que os operadores agem no processo tentando corrigir o problema apresentado, as ações vão aparecendo na tela da operação, quando na verdade deveriam ser encaradas apenas como evento e, por isso, não sendo necessário aparecer na tela de alarmes. Além deste resultado, observou-se também uma forte relação com o alarme PI

78 CAPÍTULO 4. RESULTADOS EXPERIMENTAIS 66 HI_ALM, que no caso representa um alarme de pressão alta. Este sim, provavelmente, representa uma relação entre a falha na bomba e a propagação da falha através do processo. Uma boa estratégia de inibição de alarmes, uma vez confirmado que este alarme ocorreu em decorrência da falha na bomba, seria inibí-lo assim como todos os alarmes que acontecerem em decorrência desta falha. Desta forma, evitando aparecer as avalanches de alarmes devido a uma única falha. Figura 4.17: Resultado da Análise Avançada de Interrelação para o alarme PDIT Outro exemplo pode ser observado através da Figura 4.17, que ilustra o mesmo cálculo com a mesma fonte de dados e com os mesmos parâmetros, porém realizado para outra área da planta. Como pode ser visto, o alarme PDIT nível COMM_ALM apresentou uma relação de 95,61% com o PDI do nível PVBAD_ALM. Este resultado nos fornece uma forte relação entre esses dois alarmes no período da análise. A fim de reforçar e verificar a veracidade desta relação, foi realizado o mesmo cálculo, porém para um período quatro vezes maior (120 dias). Como mostra a Figura 4.18, a relação entre tais alarmes se manteve ainda bastante forte - 95,09% - reafirmando a relação entre eles. Cabe então à equipe de gestão de alarmes do local, de posse dessa informação, verificar a necessidade dos dois alarmes, avaliar e tomar as devidas medidas Análise de Alarmes Recorrentes A análise de recorrência descrita na Seção mostra os alarmes que acontecem repetidas vezes em um curto intervalo de tempo. A identificação de tais alarmes possibilita

79 CAPÍTULO 4. RESULTADOS EXPERIMENTAIS 67 Figura 4.18: Resultado da Análise Avançada de Interrelação para o alarme PDIT em um período de quatro meses. a reflexão quanto ao ajuste do ponto de ativação do alarme. Não é desejado que um alarme ocorra diversas vezes para que um único problema seja reportado. Por este motivo, identificar estes alarmes é de suma importância na atividade de racionalização. Para este cálculo, foram utilizados dados de uma planta de exploração em um período de 30 dias. Para os parâmetros, numa primeira etapa consideramos recorrentes os alarmes que aconteceram pelo menos 10 vezes em um intervalo de 10 minutos. O resultado pode ser visualizado através da Figura Cada linha no gráfico representa a ocorrência de um alarme recorrente, a localização da linha no eixo das abscissas informa o seu instante de tempo, a altura o tipo do alarme e sua cor representa o tag. Como pode ser visto, vários alarmes satisfizeram a condição de recorrência estabelecida. Um outro resultado pode ser visualizado através da Figura 4.20 no qual foi utilizado o parâmetro de 30 alarmes em 10 minutos. Como pode ser visto, o resultado apresentado é um subconjunto do resultado da Figura 4.19 sendo estes últimos alarmes bem mais recorrentes. Para a melhor visualização, foi feita uma aproximação em um trecho do gráfico para que a recorrência possa ser mostrada com clareza, Figura É possível ver com esta aproximação que este alarme chegou a ocorrer mais de oito vezes em um intervalo de um único minuto. Portanto, podemos ver que estes alarmes precisam ser analisados e verificados quanto

80 CAPÍTULO 4. RESULTADOS EXPERIMENTAIS 68 Figura 4.19: Resultado da Análise Avançada de Recorrência com os parâmetros de 10 alarmes em 10 minutos. Figura 4.20: Resultado da Análise Avançada de Recorrência com os parâmetros de 30 alarmes em 10 minutos.

81 CAPÍTULO 4. RESULTADOS EXPERIMENTAIS 69 Figura 4.21: Visualização de um trecho aproximado do resultado da Análise Avançada de Recorrência com os parâmetros de 30 alarmes em 10 minutos. aos seus ajustes de ativação, visto que ocorreram acompanhados de uma série de ativações contribuindo para o estresse da operação bem como para o aumento da totalização de ocorrências, além de ir de encontro à filosofia de alarmes, que estabelece que um falha deve ser reportada apenas por um único alarme [EEMUA 1999] Resultados das Análises de Alarmes Intermitentes Esta análise tem por objetivo ajudar a encontrar os alarmes intermitentes em um determinado período. Para tal, o seu cálculo consiste em buscar alarmes que acontecem repetidas vezes em dias consecutivos, como detalhado na Seção Para os nossos testes o algoritmo foi aplicado ao mesmo conjunto de dados utilizado para encontrar os bad-actors da planta de exploração (ver Figura 4.4). Esta escolha foi feita com o intuito de identificar se algum alarme entrou na lista de bad-actors devido ao seu comportamento intermitente. Para o cálculo, em uma primeira etapa foi considerado intermitente o alarme com pelo menos 15 ocorrências diárias em 15 dias consecutivos. O resultado pode ser visualizado através da Figura A representação gráfica segue a mesma linha para a análise de recorrência descrita anteriormente. Como pode ser visto com o resultado da Figura 4.22, os alarmes EMED-OLEO, FAL20_ALM, LI e XA foram considerados intermitentes neste período. Além disso, todos eles estão na lista de bad-actors apresentada na Figura 4.4. A

82 CAPÍTULO 4. RESULTADOS EXPERIMENTAIS 70 Figura 4.22: Resultado da Análise Avançada de Intermitência com os parâmetros de 15 alarmes e 15 dias. intermitência do alarme EMED-OLEO foi também observada através da Análise Avançada de Ocorrência e agora através desta análise pôde ser confirmada. Além do resultado exposto acima, a análise foi também calculada com parâmetros mais restritivos. Na Figura 4.23 é mostrado o resultado para alarmes que tiveram pelo menos 15 ativações em 20 dias consecutivos e na Figura 4.24 os que tiveram no mínimo 20 ocorrências em trinta dias consecutivos. Neste caso, apenas os alarmes EMED-OLEO e FAL20_ALM satisfizeram a condição de intermitência, o que mostra que foram intermitentes durante todo o período. Os alarmes encontrados neste resultados, precisam ser ajustados ou até mesmo revistos quanto à sua necessidade. Possivelmente, alguns deles não estão de acordo com as bases filosóficas de um alarme, cujo princípio básico consiste em alertar para que uma ação operacional seja tomada [EEMUA 1999]. Cabe à equipe de gestão de alarmes, avaliar estes resultados e realizar as ações necessárias Resultados da Identificação de Períodos de Avalanches Esta análise tem como principal objetivo encontrar períodos de sobrecarga de alarmes. Para isso, é necessário que sejam informados alguns parâmetros: a quantidade mínima de alarmes para que se tenha início uma avalanche, uma janela de tempo a ser considerada e um quantidade de alarmes para que tenha a finalização da avalanche, como detalhado na Seção

83 CAPÍTULO 4. RESULTADOS EXPERIMENTAIS 71 Figura 4.23: Resultado da Análise Avançada de Intermitência com os parâmetros de 15 alarmes e 20 dias. Figura 4.24: Resultado da Análise Avançada de Intermitência com os parâmetros de 20 alarmes e 30 dias.

84 CAPÍTULO 4. RESULTADOS EXPERIMENTAIS 72 Para o resultado apresentado na Figura 4.25 foi considerado avalanche de alarmes quando a quantidade de alarmes ativos ultrapassar o valor de 55 em uma janela de 10 minutos e 35 alarmes como limite inferior. No eixo das ordenadas está representada a quantidade de alarmes ativos e no eixo das abscissas o tempo. Quanto maior a largura do gráfico, maior o período de tempo em que a avalanche perdurou. Este parâmetro pode ser melhor observado através de uma aproximação nos pontos de picos apresentados no gráfico. Figura 4.25: Resultado da Análise Avançada de Avalanche com os parâmetros de 55 alarmes e janela de 10 minutos. O resultado da Figura 4.25 foi obtido com o período de 30 dias de dados e foi observado que neste intervalo de tempo ocorreram seis períodos de sobrecarga, para estes parâmetros, sendo a terceira a mais duradoura. Uma aproximação feita na terceira avalanche (ver Figura 4.26) mostra que a mesma começou às 7:55h do dia 19 de Abril até aproximadamente 12:15 do mesmo dia. Foram mais de quatro horas de sobrecarga de alarmes aos operadores, dificultando a identificação dos problemas. Pela norma EEMUA N o 191 (1999), para um sistema ser considerado gerenciável deve ocorrer no máximo um alarme a cada cinco minutos por operador. A norma ainda estabelece, que mais de 10 alarmes a cada 10 minutos é considerado inaceitável e caso esse número ultrapasse os 100 alarmes em 10 minutos, o operador pode ser levado a abandonar o sistema. Diante disto, esta análise é uma forma de mensurar a sobrecarga de alarmes imposta aos operadores e diante da identificação desta sobrecarga, tomar ações corretivas. Uma

85 CAPÍTULO 4. RESULTADOS EXPERIMENTAIS 73 Figura 4.26: Resultado aproximado da Análise Avançada de Avalanche com os parâmetros de 55 alarmes e janela de 10 minutos. vez identificado os períodos de sobrecarga pode-se utilizar as demais análises propostas neste trabalho como medida de encontrar o motivo que gerou esta sobrecarga, realizando, por exemplo, análises de freqüência, recorrência e ocorrência. Como extensão deste trabalho propomos a incorporação de dados de eventos, estado da planta e variáveis de processos de modo que se possa realizar análises ainda mais completas facilitando a extração de mais informação sobre características de um determinado processo industrial. Outro ponto a ser explorado é a elaboração de métricas de desempenho em alarmes de uma determinada planta industrial a partir de índices extraídos das análises aqui propostas. Desta forma, a realização de comparativos entre plantas industriais e com padrões de referência pré-estabelecidos, ficaria facilitada.