SISTEMA DE GESTÃO DE SEGURANÇA DE PROCESSO BASEADA EM RISCO NA INDÚSTRIA DO PETRÓLEO

Transcrição

1 SISTEMA DE GESTÃO DE SEGURANÇA DE PROCESSO BASEADA EM RISCO NA INDÚSTRIA DO PETRÓLEO Felipe Silva Lobo Leite Projeto de Graduação apresentado ao Curso de Engenharia de Petróleo da Escola Politécnica, Universidade Federal do Rio de Janeiro, como parte dos requisitos necessários à obtenção do título de Engenheiro de Petróleo. Orientador: Carlos André Vaz Junior Co-orientador: Regis da Rocha Motta Rio de Janeiro Agosto de 2018

2 ii

3 Leite, Felipe Silva Lobo SISTEMA DE GESTÃO DE SEGURANÇA DE PROCESSO BASEADA EM RISCO NA INDÚSTRIA DO PETRÓLEO / Felipe Silva Lobo Leite Rio de Janeiro: UFRJ / Escola Politécnica, XIV, 67 p.: il.; 29,7 cm Orientador: Carlos André Vaz Junior Projeto de Graduação UFRJ / Escola Politécnica / Curso de Engenharia de Petróleo, Referências Bibliográficas: p Segurança de Processo. 2. Indicador de desempenho. 3. Gerenciamento de Risco. 4. Petróleo. I. Junior, Carlos André Vaz. II. Universidade Federal do Rio de Janeiro, Escola Politécnica, Curso de Engenharia de Petróleo. III. SISTEMA DE GESTÃO DE SEGURANÇA DE PROCESSO BASEADA EM RISCO NA INDÚSTRIA DO PETRÓLEO. iii

4 Não se melhora o que não se mede (Autor desconhecido) iv

5 AGRADECIMENTO Primeiramente, a minha família, por me guiar e acreditar em mim. momentos. A meus irmãos Gabriel e Gustavo, pelo amor e apoio durante todos os À Luciene, pelo companheirismo e amor diários e ininterruptos. Ao Fridão, pelos momentos únicos. Ao querido amigo Pedro Ivo, pela amizade e parceria em toda nossa história. Ao amigo Tiago Jacques, pelas orientações e apoio ao longo do trabalho e diariamente na ANP. Ao Prof. Carlos André Vaz, pela oportunidade, dedicação e apoio imprescindível para a realização desse trabalho. Aos amigos da faculdade, pelos momentos de estudo, de diversão e descontração ao longo do curso. À equipe da ANP, pela confiança e aprendizados diários. v

6 RESUMO Resumo do Projeto de Graduação apresentado à Escola Politécnica / UFRJ como parte dos requisitos necessários para a obtenção do grau de Engenheiro de Petróleo. SISTEMA DE GESTÃO DE SEGURANÇA DE PROCESSO BASEADA EM RISCO NA INDÚSTRIA DO PETRÓLEO Felipe Silva Lobo Leite Agosto/2018 Orientador: Carlos André Vaz Junior Co-orientador: Regis da Rocha Motta Curso: Engenharia de Petróleo As atividades da indústria do petróleo são essenciais para a economia do Brasil. Expectativas positivas apontam para um crescimento dos níveis de atividade no setor para os próximos anos, devido às descobertas do pré-sal. Entretanto, o risco de acidentes de grandes proporções pode ameaçar o desenvolvimento do setor, impactando a sociedade. Nesse contexto, vê-se a importância do estabelecimento de um sistema de gestão de segurança de processo eficiente para a continuidade das operações, proteção da vida humana e do meio ambiente. O presente trabalho visa avaliar a abordagem da implantação de um Sistema de Gestão de Segurança de Processo Baseada em Risco nas instalações, com o estabelecimento de um processo de gerenciamento de riscos e métricas e indicadores de segurança. Concluiu-se que a implementação de um sistema de gestão e o gerenciamento de riscos, auxiliados à medição do desempenho, avaliam a eficácia com que os riscos estão sendo controlados e permite aferir o desempenho das ações e projetos do sistema de gestão. Usados de forma eficaz, os indicadores de vi

7 segurança de processo podem fornecer um aviso antecipado, antes de uma falha catastrófica. Palavras-chave: Segurança de Processo, Indicador de desempenho, Gerenciamento de Risco, Petróleo. vii

8 ABSTRACT Abstract of Undergraduate Project presented to Escola Politécnica/UFRJ as a partial fulfillment of the requirements for the degree of Petroleum Engineer. Risk-Based Process Safety Management System in the Petroleum Industry Felipe Silva Lobo Leite August/2018 Advisor: Carlos André Vaz Junior Co-advisor: Regis da Rocha Motta Course: Petroleum Engineering The activities of the petroleum industry are essential for the Brazilian economy. Positive expectations point to a growth in the activity level of the sector in the next few years due to pre-salt discoveries. However, the risk of major accidents can threaten the development of the sector, impacting the society. In this context, it is important to establish an efficient process safety management system for the continuity of operations, protection of human life and the environment. The present work aims to evaluate the approach of the implementation of a Risk-Based Process Safety Management System in the facilities, with the establishment of a risk management process and metrics and process safety indicators. It was concluded that the implementation of a management system and risk management, with the contribution of the measurement of performance, can evaluate the effectiveness which risks are being controlled and allow evaluating the performance of the actions and projects of the viii

9 management system. Used effectively, process safety indicators can provide early warning before a catastrophic failure. Keywords: Process Safety, Performance Indicators, Risk Management, Petroleum. ix

10 SUMÁRIO I. Introdução e Motivação... 1 I.1 Metodologia... 2 I.2 Objetivo... 2 I.3 Estrutura do trabalho... 2 II. Aspectos Gerais da Indústria do Petróleo... 4 II.1 A Evolução da Indústria do Petróleo... 4 II.2 Acidentes na Indústria do Petróleo... 8 II.2.1 Plataforma P II.2.2 FPSO Cidade de São Mateus II.2.3 Refinaria de Texas City II.2.4 Piper Alpha II.2.5 Deepwater Horizon II.3 Considerações III. Segurança de Processo III.1 Introdução III.2 Gestão da Segurança de Processo baseado em Padrões III.3 Gestão da Segurança de Processo baseada na conformidade III.4 Gestão da Segurança de Processo baseada em melhoria contínua III.5 Gestão da Segurança de Processo Baseada em Risco III.5.1 Cultura de Segurança de Processo III.5.2 Conformidade com Padrões e Normas III.5.3 Competência em Segurança de Processo III.5.4 Participação da Força de Trabalho III.5.5 Abrangência às Partes Interessadas III.5.6 Gestão do Conhecimento de Processo III.5.7 Identificação de Perigos e Análise de Risco III.5.8 Procedimentos Operacionais III.5.9 Práticas de Trabalho Seguro III.5.10 Integridade de Ativos e Confiabilidade III.5.11 Gestão de Contratadas III.5.12 Treinamento e Competência III.5.13 Gestão de Mudanças (MOC) III.5.14 Prontidão Operacional III.5.15 Realização das Operações III.5.16 Gestão de Emergências x

11 III.5.17 Investigação de Incidentes III.5.18 Auditoria III.5.19 Métricas e Indicadores III.5.20 Análise da Gestão e Melhoria Contínua III.6 Considerações finais IV. Gerenciamento de Riscos IV.1 Processo de Gerenciamento de Riscos IV.2 Estabelecimento do contexto IV.3 Identificação de riscos IV.4 Análise de riscos IV.4.1 Análise Preliminar de Riscos (APR) IV.4.2 Hazard and Operability Studies (HAZOP) IV.4.3 Layer of Protection Analysis (LOPA) IV.4.4 Análise Quantitativa de Riscos (AQR) IV.5 Avaliação de riscos IV.6 Tratamento de riscos IV.7 Comunicação e consulta IV.8 Monitoramento e análise crítica IV.9 Considerações V. Métricas e Indicadores de Segurança V.1 Introdução V.2 Indicadores proativos e reativos V.3 Indicadores de segurança na Indústria do Petróleo V.4 Indicadores de Segurança de Processo Baseada em Risco V.4.1 Exemplos de indicadores V.5 Considerações finais VI. Conclusão VII. Bibliografia xi

12 LISTA DE FIGURAS Figura 1. Conceito de acidente e quase acidente como tipos de incidentes Figura 2. Evolução das estratégias de Segurança de Processo Figura 3. Processo de Gerenciamento de Riscos Figura 4. Diagrama de fluxo da metodologia HAZOP Figura 5. Diagrama do modelo do queijo suíço Figura 6. Pirâmide de hierarquização de eventos de segurança de processo Figura 7. Etapas do processo de seleção e revisão de indicadores de segurança de processo xii

13 LISTA DE TABELAS Tabela 1. Reservas provadas de petróleo no mundo Tabela 2. Princípios de Segurança de Processo Baseada em Risco Tabela 3. Técnicas de análise de riscos Tabela 4. Planilha de Análise Preliminar de Riscos Tabela 5. Categorias de frequência Tabela 6. Categorias de severidade Tabela 7. Categorias de risco Tabela 8. Matriz de tolerabilidade de risco Tabela 9. Lista de possíveis desvios de processo Tabela 10. Exemplo de planilha de LOPA xiii

14 LISTA DE GRÁFICOS Gráfico 1. Reservas provadas de petróleo no mundo por continente xiv

15 I. Introdução e Motivação O petróleo é um produto de grande importância para a sociedade atual, visto que, além de sua utilização como fonte de energia, é matéria-prima para a fabricação de diversos materiais. Segundo a US Energy Information Administration (EIA) (2016), nos próximos 25 anos os consumos de gás natural e petróleo ao redor do mundo irão aumentar, respectivamente, 50% e 20%. No contexto brasileiro, os reservatórios dos prospectos em regiões de pré-sal aumentaram as reservas petrolíferas e introduzem novos anseios para um mercado em expansão. Os desafios tecnológicos introduzidos pela indústria do petróleo em condições fora do comum no mundo implicam em investimentos para o desenvolvimento tecnológico e estratégico. Entretanto, com o crescimento das atividades, aumenta-se o risco de eventos acidentais de grandes proporções, tais como o da plataforma P-36, no Brasil e o da plataforma Piper Alpha, no Reino Unido, impactando negativamente a indústria do petróleo, causando perdas de um número considerável de vidas e danos significativos ao meio ambiente. Recentemente, o acidente com a plataforma Deepwater Horizon aumentou drasticamente as preocupações da sociedade acerca do nível de segurança das atividades petrolíferas. Este acidente gerou prejuízos estimados em cerca de 37 bilhões de dólares à empresa British Petroleum (BP), contabilizando apenas os gastos com a contenção do derramamento e demais compensações diretas pelo ocorrido, no entanto, sem ponderar os prejuízos referentes à desvalorização do valor de mercado da empresa, por exemplo (SMITH, L.; SMITH,M.; ASHCROFT, 2010). De acordo com a AIChE (2007), a ocorrência de grandes acidentes demonstra que, quando em sincronia, as falhas resultantes de um sistema de gerenciamento de riscos mal implementado ou inexistente em uma organização resultam em grandes perdas. Diante desse cenário, ao longo dos anos algumas ferramentas foram desenvolvidas para que quando implementadas em conjunto, consistam um sistema de gestão de segurança, com foco no gerenciamento dos riscos envolvidos na operação da instalação. Dessa forma, a implementação de um sistema de gestão efetivo e eficiente evita a ocorrência de perdas relacionadas com os acidentes, através da identificação e 1

16 manutenção de salvaguardas e a identificação de desvios para o estabelecimento de ações corretivas e preventivas, mantendo assim a melhoria contínua das operações. I.1 Metodologia A metodologia utilizada para a elaboração deste documento foi a realização de uma ampla pesquisa bibliográfica sobre o tema em questão. Buscou-se referências em diretrizes e normas recomendadas da indústria, regulamentações, tanto do Brasil quanto de outros países, bem como em dissertações, teses e artigos científicos. I.2 Objetivo O presente trabalho tem o objetivo de descrever e demonstrar a importância de um sistema de gestão de segurança de processo numa organização baseado em: (i) gerenciamento de riscos; (ii) indicadores de desempenho preventivos e reativos. Para tal, utiliza-se a abordagem do Center for Chemical Process Safety (CCPS), pertencente à American Institute for Chemical Engineers (AIChE), que estabeleceu a Segurança de Processo Baseada em Risco (RBPS) como alicerce para a gestão de segurança de processo. Por sua vez, os objetivos específicos buscam: Avaliar o nível de alinhamento internacional entre os diversos atores da indústria do petróleo: agências reguladoras, associações, operadores, entre outros. Descrever as etapas do processo de Gerenciamento de Riscos e as principais técnicas de análise de riscos. Apresentar os indicadores de segurança de processo mais praticados internacionalmente. I.3 Estrutura do trabalho A introdução do trabalho apresenta uma visão geral do tema estudado, os objetivos gerais e específicos, além da estrutura deste projeto. No capítulo II elaborou-se a fundamentação teórica relativa aos conceitos fundamentais do estudo, como a evolução da indústria do petróleo São abordados, ainda, o contexto brasileiro e o histórico de acidentes catastróficos. 2

17 No capítulo III estão dispostos os fundamentos de Segurança de Processo com foco na abordagem da Segurança de Processo Baseada em Risco, identificando sua relevância em normas, guidelines e regulamentações mundiais. No capítulo IV tem-se por objeto, apresentar o processo de gerenciamento de riscos, onde são apresentadas as etapas do processo e as principais técnicas aplicadas à análise dos riscos das instalações. O capítulo V está disposto à análise das métricas e indicadores de segurança de processo. Apresenta-se, ainda, exemplos de indicadores reativos e preventivos mais difundidos na indústria. Os resultados serão apresentados e analisados no capítulo VI, onde serão feitas as considerações finais concluindo sobre a importância da implantação de um sistema de gestão de RBPS, que se apresenta como uma oportunidade de correção de deficiências e aprimoramento da gestão da segurança de processo, além de permitir a priorização da alocação de recursos nos riscos mais significativos. Ao final são apresentadas as referências bibliográficas utilizadas. 3

18 II. Aspectos Gerais da Indústria do Petróleo Neste capítulo são apresentadas informações gerais sobre a indústria do petróleo e seu desenvolvimento ao longo dos anos, de forma a contextualizar a importância deste setor no Brasil e no mundo. Além disso, são apresentados alguns acidentes catastróficos que ocorreram nessa indústria ao longo de sua história. II.1 A Evolução da Indústria do Petróleo A história do petróleo no mundo teve seu início na década de 1860, nos Estados Unidos, com a descoberta da primeira jazida comercial, no estado da Pensilvânia. Edwin L. Drake descobriu vestígios de petróleo ao perfurar um poço rudimentar de pouca profundidade. Quase 80 anos depois da descoberta de Edwin Drake, que o petróleo teve sua primeira descoberta no Brasil. Foi em Lobato, no Recôncavo Baiano, em 1939, que ocorreu a descoberta da primeira acumulação de petróleo em solo brasileiro (MORAIS, J., 2013). A partir dessa primeira acumulação, dezesseis novos poços foram perfurados em Lobato. Posteriormente, essa área em volta de Lobato foi nacionalizada pelo governo federal como área petrolífera para efeito de continuidade das explorações. Essa descoberta deu início a uma extensa atividade de exploração e extração no Brasil, o que gerou descobertas nos Campos de Candeias, Itaparica e Aratu, em , e outros campos no estado da Bahia. Segundo o autor, naquela época, o que se viu foi uma busca intensa pela autossuficiência do petróleo. Porém, somente 35 anos depois das descobertas iniciais que se revelou a possibilidade de se produzir petróleo em volumes capazes de viabilizar a autossuficiência brasileira na produção, com a revelação dos primeiros campos de petróleo na Bacia de Campos, em (MORAIS, J., 2013). Em seu artigo A Idade de Petróleo, ROSA (2004) rotula a era do petróleo como uma segunda revolução industrial, com suas grandes realizações técnicas e a organização de grandes setores industriais. Além disso, este autor situa a indústria petrolífera como sendo o centro do sistema produtivo contemporâneo, e explica: o petróleo é (ainda) a principal fonte de energia que move a produção material quer porque vários e muito poderosos setores industriais se desenvolveram sobre ela: automóvel, aeronáutica, química, materiais sintéticos, dentre outros. 4

19 A importância do petróleo e de seus derivados é reforçada devido ao caráter estratégico associado aos países que detêm essa matéria prima, as tecnologias e estruturas para produção e refino do petróleo. Em termos de vantagens estratégicas, os ganhos são relativos à importância na geopolítica mundial, segurança interna nos setores de transporte e geração de energia elétrica (ANEEL, 2008). A maior parte das reservas provadas 1 de petróleo no mundo encontra-se na região do Oriente Médio. Essa região é responsável por 47,7% das reservas mundiais. A região com a segunda maior concentração de jazidas de petróleo é a região da América do Sul e América Central, com 19,2% das reservas, seguido pela América do Norte e Europa & Eurásia, com 13,3% e 9,5%, respectivamente (Gráfico 1). Dentre as maiores reservas, os países que se destacam são os participantes da OPEP Organização dos Países Exportadores de Petróleo: Venezuela (17,6%), Arábia Saudita (15,6%), Irã (9,3%) e Iraque (9,0%). O Canadá, com 10,0% das reservas, é o único país não pertencente à OPEP com concentração expressiva das reservas petrolíferas mundiais. O Brasil ficou na 16ª posição no ranking mundial de reservas provadas de petróleo, com um volume de 12,6 milhões de barris (Tabela 1). No que se refere à produção de petróleo, em 2016, a produção brasileira ficou em torno de 2,6 milhões de barris diários, de modo que o país alcançou a 10ª posição no ranking dos produtores mundiais. Em comparação com o ano de 2015, a produção nacional apresentou um aumento de 3,2% (ANP, 2017). O crescimento da produção de petróleo brasileira está vinculado à elevação da produção no pré-sal, que aumentou 33,1% em relação a Segundo a Agência Nacional do Petróleo, Gás Natural e Biocombustíveis (ANP), a produção de petróleo no pré-sal passou de 280,1 milhões de barris em 2016, representando 40,6% da produção nacional total. 1 Segundo o BP Statistical Review, 2017, reservas provadas são as quantidades de petróleo que, com razoável certeza, podem ser produzidas no futuro com a utilização de condições operacionais e econômicas existentes atualmente. Com a evolução na tecnologia e qualidade das informações, essas reservas podem mudar ao longo do tempo, aumentando ou diminuindo a estimativa de produção de uma área. 5

20 Tabela 1. Reservas provadas de petróleo no mundo (Modificado de BP Statistical Review, 2017). País / Região 1996 (bilhões de barris) 2006 (bilhões de barris) 2015 (bilhões de barris) 2016 Bilhões de barris % total Estados Unidos 29,8 29,4 48,0 48,0 2,8 Canadá 48,9 179,4 171,5 171,5 10,0 México 48,5 12,8 8,0 8,0 0,5 América do Norte 127,3 221,7 227,5 227,5 13,3% Argentina 2,6 2,6 2,4 2,4 0,1 Brasil 6,7 12,2 13,0 12,6 0,7 Colômbia 2,8 1,5 2,3 2,0 0,1 Equador 3,5 4,5 8,0 8,0 0,5 Peru 0,8 1,1 1,2 1,2 0,1 Trinidad & Tobago 0,7 0,8 0,7 0,2 < 0,005 Venezuela 72,7 87,3 300,9 300,9 17,6 Outros 1,0 0,8 0,5 0,5 < 0,005 América do Sul e Central 90,7 110,8 329,0 327,9 19,2% Azerbaijão 1,2 7,0 7,0 7,0 0,4 Dinamarca 0,9 1,2 0,5 0,4 < 0,005 Itália 0,8 0,5 0,6 0,5 < 0,005 Cazaquistão 5,3 9,0 30,0 30,0 1,8 Noruega 11,7 8,5 8,0 7,6 0,4 Romênia 1,0 0,5 0,6 0,6 < 0,005 Rússia 113,6 104,0 102,4 109,5 6,4 Turcomenistão 0,5 0,6 0,6 0,6 < 0,005 Reino Unido 5,0 3,6 2,5 2,5 0,1 Uzbequistão 0,6 0,6 0,6 0,6 < 0,005 Outros 2,4 2,2 2,1 2,1 0,1 Europa e Eurásia 142,8 137,6 154,9 161,5 9,5% Irã 92,6 138,4 158,4 158,4 9,3 Iraque 112,0 115,0 142,5 153,0 9,0 Kuwait 96,5 101,5 101,5 101,5 5,9 Omã 5,3 5,6 5,3 5,4 0,3 Qatar 3,7 27,4 25,2 25,2 1,5 Arábia Saudita 261,4 264,3 266,6 266,5 15,6 Síria 2,5 3,0 2,5 2,5 0,1 Emirados Árabes 97,8 97,8 97,8 97,8 5,7 Iêmen 2,0 2,8 3,0 3,0 0,2 Outros 0,2 0,1 0,2 0,2 < 0,005 Oriente Médio 674,0 755,9 803,0 813,5 47,7% Argélia 10,8 12,3 12,2 12,2 0,7 Angola 3,7 9,0 11,8 11,6 0,7 6

21 Tabela 1. Reservas provadas de petróleo no mundo Continuação (Modificado de BP Statistical Review, 2017). País / Região 1996 (bilhões de barris) 2006 (bilhões de barris) 2015 (bilhões de barris) 2016 Bilhões de barris % total Chade - 1,5 1,5 1,5 0,1 República do Congo 1,6 1,6 1,6 1,6 0,1 Egito 3,8 3,7 3,5 3,5 0,2 Guiné Equatorial 0,6 1,8 1,1 1,1 0,1 Gabão 2,8 2,2 2,0 2,0 0,1 Líbia 29,5 41,5 48,4 48,4 2,8 Nigéria 20,8 37,2 37,1 37,1 2,2 Sudão do Sul - - 3,5 3,5 0,2 Sudão 0,3 5,0 1,5 1,5 0,1 Tunísia 0,3 0,6 0,4 0,4 < 0,005 Outros 0,7 0,7 3,7 3,7 0,2 África 74,9 116,9 128,2 128,0 7,5% Austrália 3,8 3,5 4,0 4,0 0,2 Brunei 1,1 1,2 1,1 1,1 0,1 China 16,4 20,2 25,7 25,7 1,5 Índia 5,5 5,7 4,8 4,7 0,3 Indonésia 4,7 4,4 3,6 3,3 0,2 Malásia 5,0 5,4 3,6 3,6 0,2 Tailândia 0,2 0,5 0,4 0,4 < 0,005 Vietnã 0,9 3,3 4,4 4,4 0,3 Outros 1,3 1,4 1,3 1,3 0,1 Ásia Pacífico 39,0 45,5 48,8 48,4 2,8% Total no mundo 1148,8 1388,3 1691,5 1706,7 100% (-) Informação indisponível Gráfico 1. Reservas provadas de petróleo no mundo por continente (Elaboração própria com base em BP Statistical Review, 2017). 60,00% 50,00% 40,00% 30,00% 20,00% 10,00% 0,00% América do Norte América do Sul e Central Europa e Eurásia Oriente Médio África Ásia Pacífico 7

22 De acordo com a Empresa de Pesquisa Energética (EPE) ligada ao Ministério de Minas e Energia (2017), a previsão para 2026 é que a produção brasileira de petróleo atinja o patamar de 5,2 milhões de barris por dia, representando o dobro do valor registrado em Além disso, espera-se que o pré-sal responda por cerca de 74% da produção nacional. O petróleo no Brasil é responsável por 33% da matriz energética brasileira, e o gás natural por 7,2%. Dessa forma, apesar de buscas por fontes alternativas de energia, o petróleo, gás natural e o carvão continuam as principais fontes de energia, no cenário atual. Com isso, por sua relevância na matriz energética brasileira, a produção de petróleo deve atender a critérios de sustentabilidade, uma vez que os incidentes têm alto impacto para as empresas e para a sociedade (CHIANCA, M. 2010). II.2 Acidentes na Indústria do Petróleo Por se tratar de uma indústria com processos de alta complexidade e envolvimento de substâncias perigosas, qualquer tipo de vazamento pode surtir grande impacto na vida marinha e nos seres humanos. Eventualmente, devido a causas distintas, podem ocorrer acidentes catastróficos, como por exemplo uma explosão. Geralmente incidentes desse porte são decorrentes de uma série de eventos precursores não controlados, que escalonaram para eventos de grandes proporções. A seguir, serão apresentados grandes acidentes na indústria do petróleo. Para a elaboração deste trabalho, considera-se a terminologia da área de segurança operacional para incidente, conforme definição da Resolução ANP nº 44/2009: Incidente é qualquer ocorrência, decorrente de fato ou ato intencional ou acidental, envolvendo: risco de dano ao meio ambiente ou à saúde humana; dano ao meio ambiente ou à saúde humana; prejuízos materiais ao patrimônio; ocorrência de fatalidades ou ferimentos graves; ou interrupção não programada das operações por mais de 24 (vinte e quatro) horas. Para os termos acidente e quase acidente considera-se a definição da Resolução ANP nº 43/2007: Acidente é qualquer ocorrência indesejada que cause consequências negativas, tais como poluição ou danos ao meio ambiente, à saúde humana, ao patrimônio (próprio ou de terceiros) ou descontinuidade operacional. 8

23 Quase acidente é qualquer ocorrência indesejada que tenha potencial de causar consequências negativas, tais como poluição ou danos ao meio ambiente, à saúde humana, ao patrimônio (próprio ou de terceiros) ou descontinuidade operacional, embora não as tenha causado, tendo em vista que não houve elementos ou circunstâncias suficientes para tal. Portanto, incidente representa o conjunto de acidentes e quase acidentes, conforme demonstrado de forma resumida na Figura 1. Dessa forma, uma explosão com fatalidades (acidente) e uma queda de objeto que não gerou consequências (quase acidente) são denominados incidentes. Figura 1. Conceito de acidente e quase acidente como tipos de incidentes. Acidente Incidente Quase acidente II.2.1 Plataforma P-36 Ocorrido em março de 2001, esse acidente pode ser considerado um dos maiores da história da indústria. Na época do acidente esta era a maior plataforma de produção de petróleo offshore em operação no mundo. A unidade P-36 situava-se no Campo de Roncador, na Bacia de Campos. O acidente ocorreu devido a explosões em tanques de óleo e gás. Identificou-se o evento crítico como sendo a pressurização excessiva no tanque de popa boreste da unidade, que foi gerada por falhas operacionais. O acidente acarretou em onze fatalidades, sendo todos integrantes da equipe de emergência, que estavam próximos ao local em que ocorrera uma das explosões (ANP, 2001). Com as explosões, diversos módulos da unidade foram alagados com água, óleo e gás, o que acabou provocando uma inclinação de 16 graus na plataforma. Durante a emergência foi possível evacuar 138 pessoas e mantidas a bordo apenas a equipe responsável pela resposta à emergência. 9

24 De forma a compensar a inclinação da plataforma, operadores da Petrobras admitiram água em tanque situado no lado oposto aos módulos que haviam sido alagados com a explosão. Essa medida acarretou no aumento indesejável do calado 2 e na submersão contínua da unidade. Após verificarem que as possibilidades de manter a plataforma nivelada havia se esgotado, a equipe de resposta à emergência abandonou a plataforma. Diversas tentativas de reverter a situação e reflutuar a unidade ocorreram, como por exemplo, a injeção de nitrogênio e ar comprimido para expulsar a água dos compartimentos alagados, porém elas não tiveram êxito. A submersão total da unidade ocorreu no dia 20 de março de Após investigação, a Agência Nacional do Petróleo, Gás Natural e Biocombustíveis (ANP) concluiu que as causas do acidente foram não conformidades identificadas quanto a procedimentos operacionais, de manutenção e de projeto. Ainda segundo a ANP, o acidente foi causado por uma série de fatores que, isoladamente, não seriam suficientes para determiná-lo. II.2.2 FPSO Cidade de São Mateus Ocorrido em fevereiro de 2015, o acidente do FPSO Cidade de São Mateus (CDSM) é aquele de grandes proporções mais recente ocorrido no Brasil. O FPSO 3 era operado pela empresa BW Offshore, sob concessão da Petrobras e situava-se nos campos de Camarupim e Camarupim Norte, na Bacia do Espírito Santo. O acidente ocorreu devido a vazamento de condensado de gás natural na casa de bombas da unidade. Com o vazamento, detectores de gás foram sensibilizados e alarmos sonoros e visuais da plataforma foram ativados. Com a presença confirmada de atmosfera explosiva na casa de bombas, três equipes distintas foram enviadas até o local em momentos diferentes, a fim de investigarem a origem da ocorrência, limpar a poça de líquido no local e apertar os parafusos da conexão que apresentava vazamento. No momento da descida da terceira equipe de emergência, houve uma grande explosão. 2 É a designação dada à profundidade que se encontra o ponto mais baixo de uma embarcação a partir da superfície da água. 3 Unidade flutuante de produção, processamento, armazenagem e transferência de petróleo e gás natural. 10

25 Após investigação, a ANP concluiu que a causa do acidente foi a falta de estruturação da empresa concessionária e da operadora da instalação para o gerenciamento da segurança operacional da unidade. O processo de investigação do acidente indicou 61 recomendações mandatórias para a indústria no segmento de produção de petróleo e gás natural. Tais recomendações possuem o objetivo de evitar a recorrência de acidentes semelhantes. Além de nove vítimas fatais, o acidente também resultou em 26 feridos. II.2.3 Refinaria de Texas City Ocorrido em março de 2005, o acidente na refinaria da British Petroleum (BP) na cidade de Texas é considerado uma das maiores catástrofes industriais dos Estados Unidos (EUA). A refinaria, na época, era a terceira maior dos Estados Unidos. O acidente ocorreu devido a um transbordamento de torre de destilação com hidrocarbonetos, que gerou explosões (CSB, 2007). Alarmes críticos e instrumentos de controle falharam e não foram capazes de alertar os operadores da unidade sobre o nível excessivo de hidrocarbonetos na torre. O transbordamento gerou vazamento e uma liberação de líquido inflamável para a atmosfera. Após investigação, o CSB concluiu que o desastre de Texas City foi causado por diversos desvios de segurança de processo e organizacionais em todos os níveis da empresa. Ademais, o CSB também observou que: Sinais de um possível desastre estiveram presentes por diversos anos, porém gestores da empresa não interviram de forma eficiente para prevenir o acidente. (BP Texas City Final Investigation Report página 18) O acidente resultou em quinze fatalidades, além de 180 feridos. Muitas das vítimas estavam dentro ou perto de estações de trabalho que situavam-se próximas à torre de destilação que originou a explosão. II.2.4 Piper Alpha Ocorrido em 1988, a explosão na plataforma Piper Alpha, no Mar do Norte, é considerado o maior acidente da indústria do petróleo. No dia 6 de julho de 1988, ocorreu um grande vazamento de condensado de gás na plataforma. Este entrou em ignição, causando uma explosão que gerou incêndio de grandes proporções. A 11

26 plataforma Piper Alpha era conectada a outras plataformas por meio de dutos de transferência de óleo e gás. A explosão inicial rompeu os dutos e destruiu a sala de controle da unidade (Oil & Gas UK, 2008). Devido à destruição, a comunicação com instalações vizinhas não foi estabelecida, de forma que a Piper Alpha continuou a receber hidrocarbonetos provenientes de dutos. Com isso, o calor do incêndio inicial auxiliado pelo inventário constante de gás proveniente das instalações vizinhas gerou uma nova explosão, também de enormes proporções. O desastre foi de escala catastrófica. No total, 167 pessoas morreram e apenas 62 sobreviveram. No Reino Unido, uma comissão presidida pelo juiz escocês William Cullen foi estabelecida para investigar o acidente. Segundo o relatório de Cullen, as causas do acidente foram falha na gestão de integridade da unidade, falta de treinamento dos trabalhadores em certos procedimentos operacionais e gestão de riscos ineficiente. O relatório fez 106 recomendações para a indústria, com o objetivo de alterar os procedimentos de segurança do Mar do Norte. Entre as recomendações mais importantes está a designação do órgão de Saúde e Segurança do Reino Unidade (Health and Safety Executive HSE) como responsável pela regulação e supervisão das operações no Mar do Norte; e a introdução do Safety Case, documento que Operadores devem submeter ao HSE antes da instalação entrar em operação. Este documento deve evidenciar, com detalhes, que a gestão da segurança operacional e o controle de acidentes graves serão efetivos. De forma resumida, segundo Oil & Gas UK : O Safety Case, por exemplo, deve demonstrar que a empresa possui um sistema de gestão da segurança operacional, identificou os riscos e os reduziu ao nível mais baixo possível, introduziu sistemas de controle, providenciou um refúgio temporário na instalação e providenciou rotas de fuga. II.2.5 Deepwater Horizon Ocorrido em 2010, o acidente com a sonda de perfuração Deepwater Horizon no Golfo do México é considerado a maior catástrofe ambiental dos Estados Unidos. No dia 20 de abril de 2010, um evento de perda de controle de poço gerou um vazamento de hidrocarbonetos, resultando em explosões e incêndios na sonda. O incêndio continuou por 36 horas até o momento em que a sonda afundou. Porém, o vazamento 12

27 continuou por 87 dias, descarregando mais de 4,9 milhões de barris de óleo no mar. No total, onze trabalhadores morreram devido à explosão (BP, 2010). Segundo o relatório de investigação do acidente, emitido em setembro de 2010 pela British Petroleum, empresa que era operadora do contrato do bloco de exploração, desafios tecnológicos e ambientais do poço Macondo, decisões críticas dos engenheiros de perfuração e falhas na gestão da indústria, foram definidas como causas raiz do evento. O relatório fez diversas recomendações, que se dividem a necessidade de implementação de um Sistema de Gestão e relacionadas à BP e sua gestão de serviços e empresas contratadas. Dentre as recomendações supracitadas, destaca-se a recomendação 4.1, referente à Gestão da Segurança de Processo, no qual se preconiza o estabelecimento de indicadores reativos e proativos. A regulação da segurança offshore nos Estados Unidos foi profundamente modificada após serem analisadas as conclusões das investigações do acidente, com a adoção de regulação baseada em desempenho após a publicação do Code of Federal Regulation 30 CFR part 250, subpart S. Este regulamento estabelece como mandatória a implantação de um Sistema de Gestão de Segurança e Meio Ambiente (SEMS) em todas as operações offshore nos Estados Unidos da América. II.3 Considerações Frente ao exposto, a indústria do petróleo apresenta papel fundamental na sociedade atual, porém precisa garantir que as atividades da Indústria do Petróleo ocorram de forma controlada e com o mínimo de impacto social, ambiental e econômico. Com isso, de forma a prevenir acidentes como os expostos, a adoção das melhores práticas da indústria, em especial a implantação de um Sistema de Gestão de Segurança de Processos e um processo de Gerenciamento de Riscos torna-se primordial, inclusive para a sustentabilidade das empresas. 13

28 III. Segurança de Processo A Occupational Safety and Health Administration (OSHA), órgão americano responsável pela segurança do trabalhador, define Segurança de Processo como responsável pela prevenção de possíveis incidentes, e se utiliza de técnicas para identificação dos riscos presentes e mitigação desses antes que um incidente ocorra. A gestão da Segurança de Processo é amplamente reconhecida como responsável pela redução do risco de acidentes de grandes proporções e pelo processo de melhoria do desempenho da indústria. (AIChE/CCPS, 2007). A Norma Técnica CETESB P4.261 (2011) define perigo como uma ou mais condições físicas ou químicas com potencial para causar danos às pessoas, à propriedade e ao meio ambiente e risco como medida de danos à vida humana, resultante da combinação entre frequência da ocorrência de um ou mais cenários acidentais e a magnitude dos efeitos físicos associados a esses cenários. Para o presente trabalho, considera-se risco não só como uma medida de danos à vida humana, mas também o dano ao meio ambiente e ao patrimônio. Assim sendo, neste capítulo apresentam-se os fundamentos de Segurança de Processo, abordando com mais detalhe a filosofia da Segurança de Processo Baseada em Risco. III.1 Introdução A Segurança de Processo faz parte da Gestão de Segurança e está direcionada às preocupações com os riscos de grandes impactos aos seres humanos, segurança, danos ao meio ambiente e prejuízos materiais (API RP 75, 2004). É importante entender que, mesmo com objetivos próximos, a Segurança Ocupacional (ou segurança do trabalho) é diferente da Segurança de Processo. Riscos pessoais ou ocupacionais, tais como escorregões, quedas e cortes, costumam produzir efeitos sobre um único trabalhador. Por outro lado, riscos de processo podem ocasionar acidentes maiores, envolvendo liberação de materiais com alto potencial de dano, incêndios e explosões (AIChE/CCPS, 2008). Os incidentes de segurança de processo podem ter efeitos catastróficos e podem resultar em múltiplas mortes e feridos, assim como danos à economia, à propriedade e ao meio ambiente. Além disso, diferente de incidentes individuais, incidentes de 14

29 segurança de processo podem causar dano tanto aos trabalhadores no interior de uma unidade, quanto nas pessoas que vivem próximas, comunidades vizinhas, por exemplo. As práticas de Segurança de Processo e os sistemas de gestão de segurança estão em vigor, em algumas empresas, há muitos anos. Porém, muitas vezes, devido à maior frequência e facilidade na avaliação das lesões dos trabalhadores, os recursos das empresas são desproporcionais, focando em segurança do trabalho ou ocupacional ao invés da segurança de processo (AIChE/CCPS, 2007). Ao longo dos anos, as indústrias desenvolveram diversas abordagens relacionadas à Segurança de Processo. A seguir, na Figura 2, é apresentada a evolução dessas estratégias. Figura 2. Evolução das estratégias de Segurança de Processo (Adaptado de AIChE/CCPS, 2007). Estratégia Baseada em Padrões Estratégia Baseada na Conformidade Estratégia Baseada na Melhoria Contínua Estratégia Baseada em Risco III.2 Gestão da Segurança de Processo Baseada em Padrões A primeira estratégia na gestão da segurança de processo, que perdurou durante um longo período na indústria, dependia apenas das normas baseadas na experiência. Como experiência, incluíam-se tanto práticas internas da empresa, quanto padrões reconhecidos da indústria, como as normas do Instituto Nacional Americano de Padrões (ANSI) e do Instituto Americano do Petróleo (API). Utilizando-se de uma estratégia baseada em Padrões e experiência, a organização depende da aplicação das práticas amplamente comprovadas, que evoluíram e foram desenvolvidas, muitas vezes, após acidentes e eventos de perdas. Entretanto, incidentes de Segurança de Processo costumam ser pouco frequentes e, dessa forma, apenas a experiência passada não é o suficiente na prevenção de acidentes futuros (AIChE/CCPS, 2007). 15

30 III.3 Gestão da Segurança de Processo Baseada na Conformidade Com o passar do tempo, preocupados com os potenciais acidentes na indústria de processos químicos, agências governamentais começaram a estabelecer regulamentações definindo requisitos mínimos de atividades de prevenção de acidentes. Regulamentações baseadas em desempenho, incluindo as normas da ANP para o Sistema de Gerenciamento de Segurança Operacional (SGSO), norma OSHA 3231 dos EUA e a norma Offshore Petroleum and Greenhouse Gas Storage Act 2006 (OPGGS Act) da NOPSEMA 4, estabelecem requisitos para implementação de um sistema de gerenciamento de segurança pela adoção de práticas não prescritivas. Esta abordagem não cria entraves ao avanço à inovação e ao avanço tecnológico da indústria, permitindo que os operadores moldem suas próprias ações de Segurança de Processo ao nível de risco apropriado. A norma OSHA 3231 (2000), por exemplo, estabelece que os operadores possuam uma Process Safety Management (PSM), em português, Gestão de Segurança de Processo. O principal foco da PSM é a análise de riscos, preconizando que operadores identifiquem os cenários de maiores riscos e realizem uma avaliação e tratamento desses riscos. Além disso, essa norma prevê o uso de um sistema de gestão composto por 14 elementos, que são aplicáveis durante toda a vida útil da instalação. O sistema auxilia na prevenção e mitigação dos efeitos de liberações indesejadas de produtos químicos e energia, provenientes de um processo contendo produtos perigosos. No Brasil, o Regulamento Técnico do SGSO é aplicável às instalações marítimas de perfuração e produção de petróleo e gás natural. O SGSO é composto por 17 práticas de gestão orientadas ao desempenho e à gestão de risco, conduzindo o processo de melhoria contínua na operação das instalações. De acordo com a ANP (2007), a supervisão da segurança operacional das instalações tem o objetivo de identificar se o operador cumpre as boas práticas de gestão, e estabelece a cultura de segurança nas operações. Instalações petrolíferas offshore e atividades ou operações correlacionadas nas águas jurisdicionais australianas são reguladas pelo Offshore Petroleum and 4 National Offshore Petroleum Safety and Environmental Management Authority (NOPSEMA) atua como órgão regulador da Austrália, com atribuição de regular os aspectos de saúde e segurança, integridade de poço e gerenciamento ambiental das operações offshore de petróleo e gás. 16

31 Greenhouse Gas Storage Act 2006 OPGGSA, que trata sobre exploração e desenvolvimento de todas as atividades de petróleo offshore da Austrália, e inclui três documentos: o Environment Plan, Safety Case e Well Operations Management Plan. É uma legislação predominantemente não prescritiva, baseada em desempenho, com exceção à parte de segurança ocupacional, que também consta no Safety Case, e possui parâmetros prescritivos. No Brasil, segurança ocupacional é de competência do Ministério do Trabalho e Emprego, e também é predominantemente prescritiva. Segundo o AIChE/CCPS (2007), as regulamentações da Gestão da Segurança de Processo estabelecem exigências mínimas que, em determinadas situações, podem não ser suficientes para gerenciar riscos adequadamente, enquanto, em outros casos, podem forçar as empresas a dar atenção excessiva às questões da Segurança de Processo. III.4 Gestão da Segurança de Processo Baseada em Melhoria Contínua As expectativas da sociedade no que concerne à segurança aumentam constantemente. De forma a cumprir com essas expectativas, as empresas passaram a incorporar padrões de melhoria contínua referentes à segurança, saúde e políticas ambientais, uma abordagem semelhante aquela já adotada em sistemas de qualidade, por exemplo (AIChE/CCPS, 2007). De acordo com a ISO 9001 (2008), referente à Sistema de Gestão da Qualidade, um modelo de gestão baseado em melhoria contínua deve utilizar indicadores de desempenho (métricas) para conduzir mudanças. Entretanto, esta estratégia pode não ser a mais adequada para gerenciar a Segurança de Processo, já que muitos indicadores são reativos, baseados em incidentes de baixa frequência e de consequências elevadas, o que não necessariamente indicam o nível de segurança de uma unidade. III.5 Gestão da Segurança de Processo Baseada em Risco A abordagem de Segurança de Processo Baseada em Risco (RBPS) combina as estratégias anteriores, cumprindo as exigências regulatórias, aplica as lições aprendidas através da experiência na empresa ou na indústria, e utiliza os indicadores de desempenho na condução da Segurança de Processo. Além disso, utiliza de um programa de gerenciamento de riscos e indicadores de tendência (indicadores proativos), ajudando a medir e antever, de modo confiável, o desempenho dos diversos 17

32 aspectos do sistema de segurança, independentemente de quaisquer eventos de perda (AIChE/CCPS, 2007). A Tabela 2 apresenta os quatro pilares do Sistema de Gestão de Segurança de Processo Baseada em Risco proposto pelo AIChE/CCPS (2007). Tabela 2. Princípios de Segurança de Processo Baseada em Risco (Adaptado de Diretrizes para Segurança de Processo Baseada em Risco, AIChE/CCPS, 2007). Pilares do Sistema de Gestão de Segurança de Processo Baseada em Risco Comprometimento com a Segurança de Processo Cultura de Segurança de Processo Conformidade com Padrões e Normas Competência em Segurança de Processo Participação da Força de Trabalho Abrangência às Partes Interessadas Compreensão dos Riscos e Perigos Gestão do Conhecimento de Processo Identificação de Perigos e Análise de Risco Gestão de Risco Procedimentos Operacionais Práticas de Trabalho Seguro Integridade de Ativos e Confiabilidade Gestão de Contratadas Garantia de Treinamento e Competência Gestão de Mudanças (MOC) Prontidão Operacional Realização das Operações Gestão de Emergências Aprender com a experiência Investigação de Incidentes Auditoria Medição e Métricas Análise da Gestão e Melhoria Contínua 18

33 III.5.1 Cultura de Segurança de Processo O HSE 5 (2005) define Cultura de Segurança como sendo o conjunto de valores individuais e de grupo, atitudes, percepções, competências e padrões de comportamento que determinam o compromisso e a competência referentes à saúde e segurança de uma organização. Organizações com uma cultura de segurança bem desenvolvida são caracterizadas por comunicações baseadas na confiança mútua, compreensão da importância da segurança e pela confiança na prevenção de acidentes. Fraquezas comuns na cultura de segurança de processos foram identificadas no acidente de Piper Alpha. Após investigações, foram apontadas ausências em características essenciais de uma cultura adequada, como a falta da conscientização dos riscos e a falha da comunicação e confiança (AIChE/CCPS, 2007). Decisões de gerenciamento que aparentam colocar produção ou custo antes da segurança, e violações sistemáticas generalizadas de procedimentos são alguns sintomas de fatores culturais de segurança mal desenvolvidos (HSE, 2005). III.5.2 Conformidade com Padrões e Normas A operação segura das instalações industriais exige que os sistemas de gestão de segurança de processo permaneçam em conformidade com regulamentos e leis aplicáveis, assim como com padrões e normas, incluindo padrões adotados de forma voluntária pela empresa. Vale ressaltar que mesmo com a aplicação das melhores práticas e padrões, sem uma cultura apropriada, as operações não acontecerão conforme as normas e códigos (AIChE/CCPS, 2007). III.5.3 Competência em Segurança de Processo O elemento de Competência em Segurança de Processo aplica práticas de gestão para identificar de forma proativa necessidades de aprendizagem para a segurança de processo, compartilhando experiências e desenvolvendo competências no auxílio à tomada de decisão baseada em risco. 5 O Health and Safety Executive (HSE) é o órgão responsável pela regulamentação e aplicação de diretrizes relacionadas a saúde, segurança e bem-estar no Reino Unido. 19

34 Uma Gestão da Segurança de Processo baseada em risco preconiza que os seguintes princípios fundamentais devem ser desenvolvidos na organização: I. Prática segura II. Manutenção e aperfeiçoamento da competência em segurança de processo III. Avaliação e compartilhamento dos resultados desenvolvendo a aprendizagem na organização e na indústria. III.5.4 Participação da Força de Trabalho Outro elemento importante do pilar de comprometimento com a Segurança de Processo é a participação ativa da Força de Trabalho 6. De acordo com o HSE (2005), a gestão deve desenvolver uma cultura de segurança no qual os funcionários lembrem-se de que a segurança é papel de todos e que depende da participação de cada um. O envolvimento da Força de Trabalho no compromisso com a segurança teve seu desenvolvimento no Reino Unido após relatório da Comissão de Inquérito em Segurança e Saúde no Trabalho, no qual se derivou uma recomendação fundamental que previa a mudança da ênfase da segurança do governo para a auto regulação, exigindo que os operadores colaborassem na criação de ambientes de trabalho mais seguros (CULLEN REPORT, 1990). No Brasil, a ANP (2007) preconiza que o Operador da Instalação é responsável por estabelecer condições para que haja participação da força de trabalho no desenvolvimento do sistema de gestão de segurança de processo. Além disso, o Operador deve promover atividades de conscientização e informação relacionadas com a segurança das operações, propiciando oportunidades para participação dos operadores conforme seu envolvimento. III.5.5 Abrangência às Partes Interessadas O próximo elemento refere-se ao gerenciamento das partes interessadas. Este elemento tem como objetivo assegurar que uma instalação possua um relacionamento 6 A definição de Força de Trabalho de acordo com o Regulamento Técnico do SGSO da ANP (2007) é Todo o pessoal envolvido na operação da Instalação, empregados do operador ou contratadas. 20

35 com os acionistas, grupos industriais, governamentais e públicos relevantes (AIChE/CCPS, 2007). III.5.6 Gestão do Conhecimento de Processo Primeiro elemento do pilar de Compreensão dos Riscos e Perigos, a gestão do conhecimento de processo tem como objetivo definir procedimentos de elaboração, divulgação, atualização, controle e acesso à documentação relativa ao processo. Segundo o AIChE/CCPS (2007), o Operador deve desenvolver, documentar e manter o conhecimento do processo de maneira estruturada durante todo o ciclo de vida da instalação. A Gestão do Conhecimento de Processo deve estar alinhada à participação da Força de Trabalho. A Organização deve garantir o acesso às informações, na medida em que são desenvolvidas e alteradas, para a Força de Trabalho. III.5.7 Identificação de Perigos e Análise de Risco A Identificação de Perigos e Análise de Risco é um elemento essencial do RBPS. A prática de identificação e análise de riscos que podem resultar em eventos, deve ser conduzida em todas as fases do ciclo de vida da instalação. Muitas técnicas para identificar riscos existem, porém em todos os casos, a pergunta básica O que pode dar errado? deve ser respondida. Devido à importância de um processo de Gerenciamento de Riscos, o capítulo IV abordará com mais profundidade esse elemento. III.5.8 Procedimentos Operacionais O primeiro elemento do pilar de Gestão de Riscos é o de Procedimentos Operacionais. Esse elemento prevê que para, gerenciar o risco, o Operador deve focar em desenvolver procedimentos que descrevam de forma segura como iniciar, operar e encerrar processos. Deve ainda disponibilizar procedimentos específicos instruindo operadores a como abordar condições perigosas e anormais (AIChE/CCPS, 2007). A abordagem de Procedimentos Operacionais também existe em normas e regulamentos. A PSM possui um elemento específico sobre procedimentos operacionais, que se refere ao desenvolvimento e implementação de procedimentos 21

36 operacionais escritos para os processos químicos, incluindo procedimentos para cada fase operacional, limitações e faixas de operação e considerações de segurança e saúde (OSHA, 2000) A norma API RP 75 (2004) estabelece que o sistema de gestão deve incluir requisitos para procedimentos operacionais, projetados para tornar as operações mais eficientes, seguras e ambientalmente saudáveis. Além disso, uma organização pode aplicar um mesmo procedimento para múltiplas instalações, desde que previamente avaliados e com todas as diferenças estudadas. O nível de detalhamento necessário de um procedimento deve estar adequado ao risco associado à tarefa. Procedimentos ou atividades que são de alto risco ou alto perigo, necessitam de um escopo mais minucioso e um nível maior de detalhes (AIChE/CCPS, 2007). A gestão ineficiente do elemento de Procedimentos Operacionais foi uma das causas raiz identificadas na investigação do acidente do FPSO Cidade de São Mateus. A causa raiz CR14 refere-se a procedimento operacional incompleto e com ausência de instruções claras (ANP, 2015). Dessa causa raiz, derivaram-se três recomendações mandatórias para a indústria, estabelecendo que: I. Os procedimentos operacionais devem possui instruções e proibições bem definidas. II. Devem garantir a integridade e clareza das informações traduzidas. III. Deve-se estabelecer em procedimento escrito os limites e valores de parâmetros operacionais manipuláveis a serem considerados na operação dos sistemas para o controle de riscos operacionais. A ANP (2007), por meio do Regulamento Técnico do SGSO, estabelece a terminologia procedimento crítico. Um procedimento é considerado crítico quando essencial para a prevenção ou mitigação ou que, em caso de falha, possa provocar um acidente operacional. Portanto, o Operador, a partir da identificação de perigos e análise de risco, deve identificar os procedimentos críticos da instalação. De acordo com a ANP, o gerenciamento e controle desses procedimentos devem aplicar mais esforços e recursos do Operador, de forma a serem priorizados. 22

37 III.5.9 Práticas de Trabalho Seguro O elemento de Práticas de Trabalho Seguro tem o objetivo de estabelecer um sistema de controle para gerenciar atividades em ambientes de perigo. As atividades que forem identificadas em áreas de risco devem contemplar medidas adicionais de precaução e mitigação, para que o trabalho seja realizado com segurança. Além disso, o Operador deve estabelecer um sistema de inspeção nas áreas de trabalho para determinar se os procedimentos estão sendo seguidos, se as condições da permissão de trabalho estão sendo seguidas e se permanecem apropriadas. As Práticas de Trabalho Seguro devem ser projetadas para minimizar os riscos associados à operação, manutenção, atividades de modificação e manuseio de materiais e substâncias que possam afetar a segurança ou o meio ambiente. Além disso, fatores humanos devem ser considerados no desenvolvimento de práticas seguras (API RP 75, 2004). A falta de medidas adicionais de precaução de trabalhos foi observada como uma das causas do acidente de Piper Alpha. O Relatório de Lord Cullen (1990) destacou que o sistema de Permissão para Trabalho (PT) não era estabelecido conforme o procedimento. O Relatório destaca como exemplo o fato dos responsáveis pelo monitoramento dos locais de trabalho não inspecionarem o local de trabalho durante as atividades. Destaca ainda ocasiões em que os supervisores frequentemente deixavam os documentos da PT na sala de controle, em vez de devolvê-los ao representante de operações responsável, conforme exigido pelo procedimento. Os procedimentos operacionais e as práticas de trabalho seguro se complementam. Os procedimentos fornecem detalhes sobre a execução do trabalho. As permissões devem descrever os perigos específicos e as salvaguardas do trabalho. Ambos os elementos ajudam a garantir que a Força de Trabalho entenda os perigos e tomem as medidas necessárias para gerenciar os riscos durante atividades não rotineiras (AIChE/CCPS, 2007). III.5.10 Integridade de Ativos e Confiabilidade As atividades de integridade dos ativos consistem na implantação sistemática de atividades de inspeção e manutenção de equipamentos para garantir a integridade mecânica. 23

38 A Prática de gestão nº 13, do RT-SGSO da ANP (2007) descreve requisitos para o planejamento de inspeção, teste, manutenção e suprimento de materiais, a fim de buscar a integridade mecânica dos sistemas, estruturas e equipamentos. É importante ressaltar que essa prática de gestão possui uma das maiores frequências de não conformidades apontadas em auditorias realizadas em 2016 em sondas e instalações de produção marítimas (ANP, 2016). Segundo a API RP 75 (2004), o gerenciamento da integridade deve incluir os seguintes aspectos: a. Procedimentos e práticas de trabalho de forma a manter a integridade mecânica dos equipamentos. b. Treinamento da Força de Trabalho responsável pelas inspeções, testes e manutenções na aplicação de procedimentos, riscos das tarefas e práticas de trabalho seguras. c. Procedimentos de controle de qualidade para verificar o atendimento às especificações de projeto. d. Procedimentos para verificação de mudanças na instalação. Inspeções e testes devem ser realizados em conformidade com procedimentos que seguem boas práticas reconhecidas da indústria. A frequência das inspeções e testes de equipamentos devem seguir as recomendações dos fabricantes e as boas práticas, ou caso determinado por experiência operacional prévia. Cada inspeção e teste deve ser documentado, identificando a data da inspeção ou teste, o nome do responsável pela execução, o número de identificação do equipamento, uma descrição da inspeção ou teste realizado e os resultados (OSHA, 2000). Falhas na gestão da integridade foram observadas no acidente de Texas City. De acordo com o Relatório de investigação produzido pelo CSB (2007), vários instrumentos estavam em falha, provavelmente devido a manutenção e testes inadequados, contribuindo para o incidente. Instrumentos com histórico de problemas, como o alarme de nível alto da torre, não foram rastreados para garantir a ação adequada e evitar a manutenção corretiva. As deficiências de integridade mecânica da unidade resultaram no start-up da torre de destilação sem um transmissor de nível devidamente calibrado, sem um alarme de nível alto da torre em funcionamento, sem um visor de nível e sem um alarme de nível alto no tambor de purga (CSB, 2007). 24

39 A NORSOK Z-013 (2001) apresenta uma metodologia muito utilizada na indústria que tange a Gestão de Integridade, que é a Risk Based Inspection (RBI). A RBI é uma metodologia que visa estabelecer um programa de inspeção baseado em mecanismos de falha que pode estar sujeito a inspeção (corrosão, vibração, etc.). A metodologia combina uma análise de risco ao processo de inspeção. A entrada para a análise é a probabilidade de falha do equipamento e a consequência para os ativos. A RBI fornecerá informações sobre os mecanismos e frequências de falha, provendo dados para a otimização dos programas de inspeção. III.5.11 Gestão de Contratadas Uma parte importante do pilar de gestão de riscos é o gerenciamento de contratadas ou terceirizadas. De acordo com a ANP (2007), o Operador deve conduzir uma prática de gestão de modo a estabelecer parâmetros para a seleção e avaliação de contratadas, considerando aspectos de segurança operacional nas atividades. A PSA 7 (2017) estabelece, em sua regulamentação, que o Operador deve garantir que os contratados e fornecedores estejam qualificados para cumprir a regulamentação relativa à saúde, segurança e meio ambiente. Além disso, o Operador deve assegurar que quaisquer deficiências no sistema de gestão das contratadas sejam corrigidas e os ajustes necessários sejam feitos, para assegurar a uniformidade necessária. III.5.12 Treinamento e Competência De acordo com a OSHA (2000), a implantação de um programa de treinamento eficiente é uma das etapas mais importantes na gestão da segurança de processo baseada em risco. A PSM exige que a Força de Trabalho envolvida na operação de um processo deve ser treinada em uma visão geral do processo e em seus procedimentos operacionais. O treinamento deve focar na conscientização dos riscos de segurança de processo, operações de emergência, incluindo operações de Emergency Shutdown, e outras práticas de trabalho que se aplicam às tarefas do operador. 7 Petroleum Safety Authority (PSA) atua como órgão regulador na Noruega, sendo responsável pela segurança, resposta à emergência e ambiente de trabalho nas atividades da indústria do petróleo na Noruega. 25

40 A partir do relatório de investigação do acidente da Deepwater Horizon (2010), destaca-se a recomendação referente a gestão de treinamento. Essa recomendação estabelece que o Operador deve desenvolver um programa avançado de treinamento em controle de poços em águas profundas, de forma que os resultados dos treinamentos desenvolveriam uma maior capacidade de resposta e um entendimento mais profundo das condições exclusivas de controle de poço existentes na perfuração em águas profundas. Atualmente diversas empresas trabalham com o conceito de Matriz de Treinamentos. A matriz relaciona o cargo com os treinamentos necessários, especificando ainda o grau de profundidade requerido em cada caso (ex: treinamento introdutório, intermediário, ou avançado). De forma a alcançar altos níveis de confiabilidade humana, os elementos de Procedimentos, Treinamento e Cultura devem estar alinhados. Os procedimentos operacionais documentados, atuais e precisos ajudam a garantir que cada equipe e operador execute sua função de modo seguro e consistente. Entretanto, nada disso será eficaz caso o elemento de Cultura de Segurança não englobe a utilização de sistemas de gestão confiáveis e o treinamento da Força de Trabalho nos procedimentos não seja realizado periodicamente (AIChE/CCPS, 2007). A identificação de perigos e análise de riscos tem papel fundamental na gestão de treinamentos. A partir dos cenários de acidentes identificados, definem-se diversas características do sistema de gestão, tais como: periodicidade do treinamento, tipo de treinamento, entre outros. III.5.13 Gestão de Mudanças (MOC) Um dos principais elementos do pilar de Gestão de riscos, e toda a Gestão da Segurança de Processos baseada em Risco (RBPS) é o de Gestão de Mudanças ou MOC. Esse elemento prevê que o Operador deve garantir que as mudanças não aumentem os riscos existentes (AIChE/CCPS, 2007). Uma instalação está sujeita a mudança contínua para aumentar a eficiência, melhorar as operações e acomodar inovações tecnológicas. Reparos, conexões e outras modificações podem ser realizados por necessidade operacional. Dessa forma, qualquer mudança, não originalmente prevista e analisada, pode introduzir novos riscos, comprometer as salvaguardas existentes, etc. 26

41 O sistema de gestão deve estabelecer procedimentos para identificar e controlar os perigos associados às mudanças, sendo elas tanto mudanças nas instalações, quanto mudanças na Força de Trabalho (API RP 75, 2004). Mudanças de fornecedores de matérias-primas ou equipamentos também são consideradas. Mudanças de diretores, gerentes, compras, aquisições e fusões também devem ser gerenciados em MOC. Os tipos de alterações que exigem o uso do procedimento de Gestão de Mudanças devem ser definidos pelo procedimento (AIChE/CCPS, 2011). Normalmente incluem-se: Alterações nos equipamentos, instalações e parâmetros operacionais fora dos limites definidos pelos estudos e documentos de segurança de processo da instalação. Modificações no controle de processos. Introdução de novos produtos químicos. Alterações nas especificações químicas ou fornecedores. Locais de construção e padrões de ocupação. Questões organizacionais, como níveis de pessoal e atribuições de trabalho. Dependendo da natureza da mudança, o Operador deve escolher uma ou mais técnicas a serem utilizadas para a análise dos riscos. Entretanto, a análise de riscos, para mudanças mais simples, podem se resumir ao preenchimento de checklists se precisamente definidos, que a depender dos critérios, pode dispensar a necessidade de análises robustas. A partir das causas raiz identificadas, a ANP (2015) estabeleceu recomendações consideradas necessárias para evitar a recorrência de acidentes semelhantes ao do FPSO Cidade de São Mateus. Dentre as recomendações oriundas da investigação do acidente, as recomendações R01 e R11 referem-se à prática de gerenciamento de mudanças, já que duas das causas raiz identificadas no acidente foram o gerenciamento de mudanças não realizado (R01) e ausência do gerenciamento de mudança de pessoas (R11): R01: Garantir que o gerenciamento de mudanças seja prática realizada em todas as fases do ciclo de vida de uma unidade, incluindo o seu projeto, construção e comissionamento. 27

42 R11: Garantir a aplicação do processo de gerenciamento de mudanças de pessoas, incluindo os casos de redução, aumento e acúmulo de funções, entrada e saída de pessoas. Além do relatório de investigação de São Mateus, o relatório de investigação realizado pelo CSB (2007) referente ao acidente na refinaria de Texas City também observou diversas aplicações erradas no processo de Gestão de Mudanças. Entre essas aplicações erradas, o CSB destaca que uma válvula de controle de pressão encontravase fora de operação, entretanto, a partida da torre de destilação prosseguiu sem iniciar o processo de gestão de mudança. Várias mudanças também foram realizadas nos procedimentos de start-up da torre de destilação sem um gerenciamento adequado. O CSB também apontou diversas alterações de projeto e equipamento para os vasos e tambores que não foram avaliados sobre a política de MOC, embora estes equipamentos tenham sido designados pela refinaria como sendo críticos para a segurança. Outro ponto de falha no gerenciamento de mudanças referente ao acidente de BP Texas City foram os trailers temporários localizados próximos à planta de processo. Um processo de MOC eficaz seria capaz de analisar previamente os riscos da utilização dos trailers adjacente à planta, identificando assim a localização mais favorável destas habitações na qual a exposição humana aos perigos pudesse ser reduzida. III.5.14 Prontidão Operacional De acordo com o elemento de Prontidão Operacional, o sistema de gestão deve garantir que os processos que foram desligados sejam reinicializados de forma segura. Esse elemento é especialmente relevante para processos sazonais, que não operam o ano todo. O Operador deve assegurar que o processo de shutdown da instalação seja avaliado para saber se as condições estão seguras para a reinicialização (AIChE/CCPS, 2007). III.5.15 Realização das Operações A condução das operações de forma confiável é um dos elementos do pilar de gestão de riscos. De acordo com o AIChE/CCPS (2007), quando implementado 28

43 adequadamente, a gestão das operações deve trabalhar junto com o projeto, o treinamento, a manutenção e a engenharia, fornecendo resistência contra perdas. III.5.16 Gestão de Emergências Apesar do melhor planejamento, caso ocorra um incidente, é essencial que a Força de Trabalho seja capaz de executar as ações adequadas. Dessa forma, um Plano de Emergência deve ser desenvolvido e estabelecido (OSHA, 2000). De acordo com a ANP (2007), o Operador deve assegurar o adequado planejamento e gerenciamento de grandes emergências que possam ocorrer durante a operação da Instalação, incluindo implantar um Plano de Emergência para a Unidade, gerenciar recursos de resposta, e estabelecer exercícios simulados. Segundo o HSE (2016), a resposta de emergência abrange a ação em resposta a possíveis acidentes graves e também para alguns incidentes menores, especialmente observados em operações offshore. Por exemplo, pessoas ao mar, doença ou ferimentos a pessoas que necessitem de evacuação urgente da instalação para tratamento médico ou recuperação. A Gestão de Emergências está diretamente relacionada ao elemento do risco. Para que sejam desenvolvidos planos de resposta a emergência, a identificação dos cenários plausíveis de acidentes faz-se necessária. Os produtos do trabalho do elemento de risco devem ser utilizados para limitar a faixa de acidentes que podem ocorrer (AIChE/CCPS, 2007). Ao se desenvolver planos para situações de emergência, é importante questionar três pontos essenciais do risco (AIChE/CCPS, 2007): I. O que pode dar errado? Esse questionamento fornece informações dos tipos de emergências que devem ser planejadas. II. Quão severo pode ser? Esse questionamento induz a identificação das medidas necessárias de contingência. III. Com que frequência pode acontecer? Esse questionamento reflete se a probabilidade de um determinado cenário é suficiente para justificar as ações. O elemento de Gestão de Emergências foi muito abordado no relatório da Comissão de Sindicância sobre o acidente da P-36. Dentre os itens passíveis de atenção, 29

44 na parte que versa sobre o aprimoramento dos procedimentos e planos de emergência, o relatório aponta a ida da brigada de incêncio diretamente para o local da ocorrência. O relatório sugere como medidas a serem adotadas o uso de detectores portáteis de gás e de sistemas de comunicação durante as emergências (ANP, 2001). III.5.17 Investigação de Incidentes O primeiro elemento do pilar de Aprender com a Experiência é o de Investigação de Incidentes. Segundo o AIChE/CCPS (2007), a investigação de incidentes é uma forma de aprender com os incidentes que ocorrem ao longo da vida de uma instalação, e de comunicar as lições aprendidas para o pessoal interno e de outras partes interessadas. A API RP 75 (2004) preconiza que um sistema de gestão de Segurança de Processo deve estabelecer procedimentos para investigação de todos os incidentes de sérias consequências para a segurança ou o meio ambiente. Ainda segundo a API, a investigação de um incidente deve abordar: I. A natureza do incidente. II. Os fatores que contribuíram para o início do incidente e seu desenvolvimento. III. Recomendações para melhorias no sistema de gestão, visando evitar a ocorrência de eventos similares. A OSHA 3132, por meio da Process Safety Management (2000) possui requisitos mandatórios relacionados à investigação de incidentes. Entre os requisitos, destaca-se a obrigatoriedade de que a investigação do incidente deve ser iniciada tão prontamente quanto possível, mas não depois de 48 horas após o incidente. Além disso, a investigação deve ser realizada por uma equipe composta por pelo menos uma pessoa que conheça os processos envolvidos, de forma que a equipe deve possuir pessoas com conhecimento e experiência apropriados para investigar e analisar o incidente. Em relação ao elemento de Investigação de Incidentes, o Regulamento Técnico do Sistema de Gestão de Segurança Operacional da ANP (2007) estabelece que o Operador da Instalação será responsável por estabelecer, documentar e instituir ações corretivas para minimizar as consequências imediatas dos incidentes e ações preventivas para evitar recorrências. 30

45 III.5.18 Auditoria O elemento de Auditoria refere-se a um processo capaz de avaliar a eficácia da implantação e do funcionamento do sistema de gestão. O processo de auditoria deve identificar e corrigir de maneira proativa as deficiências no projeto e no gerenciamento da segurança (AIChE/CCPS, 2007). A OSHA 3132 (2000) estabelece que os operadores devem avaliar o cumprimento de suas disposições pelo menos a cada três anos, para que se tenha certeza de que a gestão da segurança de processo é eficaz. Essas auditorias verificarão se os procedimentos e as práticas desenvolvidas são adequadas e estão sendo seguidas. Segundo a ANP (2007), a execução das auditorias deve utilizar informações sobre auditorias anteriores, avaliações de desempenho, investigações de acidentes e o risco da unidade. A API RP 75 (2004) preconiza que o escopo das auditorias deve incluir o seguinte: I. Determinação se os elementos do programa de gerenciamento estão adequados e incorporam os componentes necessários. II. Avaliação do sistema de teste quanto à eficácia do sistema de gestão. III. Identificação de pontos de melhoria na segurança e no gerenciamento da segurança de processo. III.5.19 Métricas e Indicadores Este segundo elemento do pilar de Aprender com a Experiência possui o objetivo de promover a melhoria contínua das condições de segurança das instalações. Isso deve ser o resultado de um processo de estabelecimento e monitoramento de métricas e indicadores de desempenho, assim como metas que avaliem a eficácia do sistema de gestão. Idealmente, as instalações, em vez de esperar pelo acontecimento de acidentes ou a realização de auditorias, devem monitorar o desempenho em tempo real. Somente assim é possível identificar falhas antes que acidentes ocorram, permitindo que medidas sejam tomadas (ANP, 2007). As características essenciais das métricas e indicadores são descritas mais detalhadamente no Capítulo V. 31

46 III.5.20 Análise da Gestão e Melhoria Contínua A avaliação periódica do sistema de gestão, buscando o desempenho pretendido e o alcance de metas, é preconizada pelo elemento de Análise da Gestão e Melhoria Contínua (AIChE/CCPS, 2007). Os resultados das análises da gestão devem ser monitorados ao longo do tempo, e, em caso de oportunidades de melhoria, ou problemas evidentes, revisões do sistema de gestão devem ser realizadas. De forma geral, durante análise de gestão, o Operador deve ser capaz de responder as seguintes questões: Qual é a qualidade do nosso sistema de gestão da segurança de processo? Estes são os resultados que queremos? Estamos trabalhando nas circunstâncias certas? III.6 Considerações finais Neste capítulo, observa-se que a Gestão da Segurança de Processo Baseada em Risco (RBPS) é difundida em toda a indústria, seja por meio de normas e guidelines mundiais, como a API RP 75 e as Diretrizes para Segurança de Processo Baseada em Risco, seja por meio de Regulamentações, como as diversas citadas. Entretanto, os acidentes ocorridos na indústria do petróleo demonstram que, apesar das instalações gerenciarem a segurança, muitas vezes as organizações não estabeleceram métodos para a identificação de falhas latentes do sistema de gerenciamento da segurança, e nem estabelecem suas respectivas ações de melhoria contínua. Alguns acidentes comprovam a mera passividade da gestão da segurança, já que a organização não atua pró-ativamente, por meio de indicadores preventivos que avaliam a confiabilidade do sistema de gestão. Além disso, faz-se necessário o estabelecimento de um conjunto de indicadores de desempenho de segurança para garantir que os riscos estão sendo controlados. Nesse sentido, os elementos de Identificação de Perigos e Análise de Riscos, e Métricas e Indicadores serão descritos com mais detalhes nos capítulos 3 e 4, respectivamente. 32

47 IV. Gerenciamento de Riscos Sistemas de Gestão eficazes são necessários nas operações com hidrocarbonetos para assegurar a segurança do processo, a saúde dos trabalhadores e a proteção do meio ambiente. Nesse contexto, a indústria do petróleo deve investir na segurança e na prevenção de eventos indesejados, fazendo uso de tecnologias propícias à identificação dos perigos presentes em uma planta industrial e a eliminação ou redução dos cenários acidentais relacionados a estes perigos. Neste capítulo apresenta-se o conceito de Gerenciamento de Riscos, de forma a contextualizar a importância da redução e mitigação dos riscos envolvidos nos processos da indústria de petróleo. IV.1 Processo de Gerenciamento de Riscos Um processo de gerenciamento de riscos permite entende-los, identificar possíveis cenários acidentais e avaliar suas probabilidades e consequências, de forma a auxiliar na mitigação dos riscos. O grande objetivo no gerenciamento de riscos é orientar a destinação equilibrada dos recursos para controlar e mitigar os riscos, reduzindo os riscos para níveis toleráveis aceitáveis. A Norma CEPRAM Nº 4578 (2017) define Programa de gerenciamento de Riscos como Aplicação sistemática de políticas de gerenciamento, procedimentos e práticas de análises, avaliação e controle dos riscos para empreendimentos que processam, produzem, armazenam, transportam ou, de alguma forma, utilizam as substâncias que possam representar potencial de dano à integridade física das pessoas, com o objetivo de proteger os funcionários, o público em geral, o meio ambiente e as instalações, evitando a interrupção do processo. De forma geral, Gerenciamento de Riscos é um processo que envolve a identificação, análise e avaliação dos riscos. Após a etapa de avaliação de riscos, o tratamento e mitigação, visando controlar os riscos identificados, são fundamentais no processo de gerenciamento de riscos, conforme demonstra a Figura 3 (ISO 31000, 2009). 33

48 Figura 3. Processo de Gerenciamento de Riscos (Adaptado de ISO 31000, 2009). Estabelecimento do contexto Identificação de riscos Comunicação e consulta Análise de riscos Monitoramento e análise crítica Avaliação de riscos Tratamento de riscos IV.2 Estabelecimento do contexto Para gerenciar riscos é necessário entender o contexto, considerando parâmetros internos e externos à organização, como por exemplo, fatores culturais, políticos, regulatórios, financeiros, entre outros. Nessa etapa, a organização deve definir os objetivos da avaliação dos riscos, os critérios de aceitação de risco. IV.3 Identificação de riscos Segundo a IEC/ISO (2009), identificar riscos é o processo de identificar, reconhecer e registrar riscos. O processo de identificação de riscos tem objetivo de identificar o que pode acontecer ou situações vulneráveis que podem afetar um sistema, incluindo apontar as causas e origens do risco. Ou seja, visa identificar os cenários acidentais. IV.4 Análise de riscos De acordo com o American Institute of Chemical Engineers (AIChE), a identificação e análise de riscos deve ser aplicada a cada fase do ciclo de vida de uma 34

49 instalação, através do uso de uma ou mais técnicas. Entretanto, é importante que a identificação e análise de riscos sejam feitas o mais cedo possível, já que é relativamente mais fácil e barato realizar modificações no início do ciclo de vida de uma instalação, quando as mudanças podem ser incorporadas com menos impacto no custo e no cronograma (AIChE/CCPS, 2008). Uma análise completa e precisa dos perigos potenciais de uma instalação controla o risco de impactos às pessoas, perda de equipamento e dano ao meio ambiente (API RP 14J, 2001). A Tabela 3 lista algumas técnicas de análise de risco classificadas de acordo com sua finalidade e, usualmente, utilizadas na indústria do petróleo. Tabela 3. Técnicas de análise de riscos (Adaptado de AIChE/CCPS, 2008). Finalidade Identificação de perigos Avaliação qualitativa de riscos Análise de consequências Avaliação quantitativa de riscos Avaliação semi-quantitativa de riscos Técnicas aplicáveis Análise histórica Checklist (Lista de verificação) What if ( E se? ) Hazard identification (HAZID) Hazard and Operability Studies (HAZOP) Análise Preliminar de Perigos (APP) Failures Mode and Effect Analysis (FMEA) Análise Preliminar de Riscos (APR) Hazard and Operability Studies (HAZOP) Análise Preliminar de Riscos (APR) Failure mode, effects and criticality analysis (FMECA) Event Tree Analysis (ETA) Modelagem de efeitos físicos Modelagem de vulnerabilidade Análise Quantitativa de Riscos (AQR) Layer of Protection Analysis (LOPA) As técnicas de análise de riscos podem ser classificadas como: qualitativas, semi-quantitativas ou quantitativas. 35

50 Técnicas qualitativas definem consequência, probabilidade e nível de risco, com o objetivo de priorizar e determinar o conjunto de cenários que demandam mais recursos para mitigação (IEC/ISO, 2009). Métodos quantitativos são aplicados utilizando valores para probabilidade de o evento acontecer, e para sua consequência. A consequência pode ser expressa em termos de impactos humanos, impactos ambientais e impactos econômicos. A qualidade de uma análise quantitativa de riscos depende da exatidão dos dados numéricos e na validação dos modelos (AS/NZS 4360, 2004). A seguir serão apresentadas algumas das técnicas de Análise de risco que são mais disseminadas e utilizadas no mundo. IV.4.1 Análise Preliminar de Riscos (APR) A Análise Preliminar de Riscos (APR), do inglês Preliminary Hazard Analysis (PHA), é uma técnica para identificação de cenários acidentais potenciais de uma instalação. A APR deve analisar todos os possíveis cenários de acidentes na unidade, incluindo as falhas intrínsecas de equipamentos, instrumentos e materiais, e erros humanos (CETESB, 2011). Esta técnica pode ser utilizada em todas as fases do ciclo de vida de uma instalação, permitindo, para unidades já em operação, a realização de uma revisão dos aspectos de segurança existentes. Durante a análise são levantadas as causas e consequências de cada um dos cenários identificados, avaliando qualitativamente a probabilidade em que o acidente pode ocorrer, a severidade das consequências e, logo, o risco associado. Além disso, são analisadas as salvaguardas 8 existentes e são propostas medidas adicionais (recomendações). Por se tratar de uma técnica qualitativa de análise de risco, a APR não fornece estimativas numéricas (DNV GL, 2006). Após o levantamento das informações supracitadas, no desenvolvimento da análise realiza-se o preenchimento de uma planilha estruturada, como ilustrado na Tabela 4. 8 Salvaguardas são dispositivos, sistemas ou ações capazes de interromper a cadeia de eventos gerada a partir de um evento iniciador (AIChe, 2008). 36

51 Tabela 4. Planilha de Análise Preliminar de Riscos (Adaptado de Resolução CEPRAM Nº 4578/2017). Perigo Causa Consequências Salvaguardas Probabilidade Severidade Riscos Recomendações De acordo com a metodologia da Análise Preliminar de Riscos, os cenários de acidente devem ser classificados em categorias de frequência, as quais fornecem uma indicação qualitativa da frequência esperada de ocorrência para cada um dos cenários identificados. A Tabela 5 apresenta um exemplo de categorização para a frequência de ocorrência do cenário. Tabela 5. Categorias de frequência (Adaptado de AIChE/CCPS, 2008). Frequência Extremamente Remota Pouco provável Possível Frequente Característica Conceitualmente possível, mas sem referências na indústria. Não esperado ocorrer, apesar de haver referências em instalações similares na indústria. Pouco provável de ocorrer durante a vida útil de um conjunto de instalações similares. Possível de ocorrer uma vez durante a vida útil da instalação. Possível de ocorrer muitas vezes durante a vida útil da instalação. Também de acordo com a metodologia da APR, os cenários de acidente devem ser classificados em categorias de severidade, fornecendo uma indicação do grau de severidade das consequências de cada evento, conforme exemplo apresentado na Tabela 6. 37

52 Tabela 6. Categorias de severidade (Adaptado de CETESB, 2011). Severidade Desprezível Moderada Crítica Catastrófica Característica Sem lesões ou no máximo caso de primeiros socorros sem afastamento; Sem dados ou danos insignificantes aos equipamentos ou instalações; Sem danos ou danos mínimos ao meio ambiente; Sem impacto à imagem da empresa. Lesões leves em funcionários e terceiros; Ausência de lesões extramuros. Danos leves aos equipamentos ou instalações; Danos devido a situações ou valores considerados toleráveis entre nível mínimo e médio; Impacto local à imagem da empresa. Lesões de gravidade moderada em pessoas intramuros; Lesões leves em pessoas extramuros; Dados severos a equipamentos ou instalações; Danos devido a situações ou valores considerados toleráveis entre nível médio e máximo; Impacto regional à imagem da empresa. Provoca morte ou lesões graves em uma ou mais pessoas; Danos irreparáveis a equipamentos ou instalações; Danos devido a situações ou valores considerados acima dos níveis máximos toleráveis; Impacto nacional ou internacional à imagem da empresa. Assim como frequência e severidade, os riscos também são classificados qualitativamente. Combinando-se as categorias de frequência com as de severidade obtém-se uma Matriz de Riscos, que fornece classificações de risco de cada cenário identificado na análise. A Tabela 7 apresenta as categorias de riscos e a Tabela 8 apresenta um exemplo de Matriz de Risco. 38

53 Severidade Tabela 7. Categorias de risco (Adaptado de DNV GL, 2006). Categoria de risco Tolerável Moderado Não Tolerável Descrição do nível de controle necessário Sem necessidade de medidas adicionais. A monitoração é necessária para assegurar que os controles sejam mantidos. Controles adicionais devem ser avaliados com o objetivo de reduzir riscos. Estas modificações deverão considerar a viabilidade econômica do projeto e a relação custo-benefício obtida. Ou seja, os riscos serão mitigados de forma a torna-los o menor possível. Controles insuficientes. Métodos alternativos devem ser considerados para reduzir a probabilidade de ocorrência ou a severidade das consequências, de forma a deslocar os riscos para regiões de menor magnitude. Tabela 8. Matriz de tolerabilidade de risco (Adaptado de AIChE/CCPS, 2008). Frequência Matriz de Risco Extremamente remota Remota Pouco provável Possível Frequente Catastrófica Moderado Moderado Não Tolerável Crítica Tolerável Moderado Moderado Não Tolerável Não Tolerável Não Tolerável Não Tolerável Moderada Tolerável Tolerável Moderado Moderado Moderado Desprezível Tolerável Tolerável Tolerável Moderado Moderado IV.4.2 Hazard and Operability Studies (HAZOP) Outra técnica de análise qualitativa de risco é o HAZOP, em português Estudo de Perigos e Operabilidade. O objetivo principal de um HAZOP é investigar de forma metódica cada segmento de um processo, visando determinar todos os possíveis desvios das condições normais de operação. A partir disso, identificam-se as causas responsáveis por tais desvios e as respectivas consequências. Com isso, a metodologia propõe medidas visando a eliminação ou controle dos riscos ou de forma corrigir o problema de operabilidade da instalação (AIChE/CCPS, 2008). 39

54 Esta metodologia utiliza um procedimento estruturado que gera perguntas sistemáticas através do uso apropriado de um conjunto de palavras-guia durante a análise. Fundamentalmente, a técnica realiza uma busca estruturada das causas de possíveis desvios em variáveis de processo, por exemplo, temperatura, pressão, vazão ou composição, em diferentes pontos do sistema. Esses pontos analisados são denominados de nós (DNV GL, 2006). As palavras-guia e as variáveis de processo são aplicadas a cada nó analisado, de forma a determinar possíveis desvios nessas seções. Exemplificando: se utilizar a palavra-guia Mais e combiná-la com o parâmetro de processo Nível, resulta-se na possibilidade de um possível desvio de Nível Alto em um determinado caso (nó) (API RP 14J, 2001). A Tabela 9 apresenta outros exemplos da combinação de palavras-guia com variáveis de processo na estipulação de desvios de processo. Tabela 9. Lista de possíveis desvios de processo. Palavras-guia Parâmetro Desvio Nenhum + FLUXO = Nenhum fluxo Mais + FLUXO = Mais fluxo Reverso + FLUXO = Fluxo reverso Menos + NÍVEL = Nível baixo Mais + NÍVEL = Nível alto Menos + PRESSÃO = Pressão baixa Mais + PRESSÃO = Pressão alta Menos + TEMPERATURA = Temperatura baixa Mais + TEMPERATURA = Temperatura alta Menos + VISCOSIDADE = Viscosidade baixa Mais + VISCOSIDADE = Viscosidade alta Após determinar os desvios, a próxima etapa do HAZOP consiste na análise das possíveis causas e consequências. A premissa para a determinação das consequências é que não há salvaguarda ou que todas as salvaguardas tenham falhado. Devem-se avaliar as salvaguardas existentes no processo e, caso não sejam adequadas para garantir o nível de risco adequado, devem ser desenvolvidas recomendações. A Figura 4 apresenta o diagrama de fluxo da metodologia HAZOP. 40

55 De forma análoga à APR, o registro de um HAZOP é em forma de planilha. Suas colunas são comumente compostas pelas palavras-guia, desvios, causas, consequências, salvaguardas e medidas de controle adicionais. Figura 4. Diagrama de fluxo da metodologia HAZOP (Adaptado de AIChE/CCPS, 2008). Seleção de seção do processo (nó) Repetir para todas as palavras-guia, variáveis de processo e nós Seleção de variável de processo Proposição de recomendações Aplicação de palavras-guia para determinar possível desvio Avaliação de salvaguardas existentes Avaliação de consequências associadas ao respectivo desvio Identificação de salvaguardas existentes Listagem de possíveis causas do desvio IV.4.3 Layer of Protection Analysis (LOPA) A técnica Layer of Protection Analysis (LOPA), em português Análise de Camadas de Proteção, é uma metodologia semi-quantitativa que analisa as salvaguardas existentes em um processo para avaliar os riscos dos cenários existentes. Essa técnica pode ser usada em qualquer ponto no ciclo de vida de um processo ou planta, porém é mais utilizada na fase de projeto e situações que haja modificações em um processo existente ou de sistemas de controle e segurança (SUMMERS, A. E., 2007). A LOPA é comumente aplicada em um conjunto com uma análise qualitativa de riscos (APR, HAZOP, etc.) avaliando alguns dos cenários identificados. É muito 41

56 aplicada quando se avalia que um cenário de alta complexidade em termos de frequência, ou quando as consequências são muito severas, ou o risco intolerável. A LOPA é uma abordagem prévia antes da execução de uma Avaliação Quantitativa de Riscos. Um conceito muito importante utilizado nessa técnica é o conceito de Camada de Proteção Independente, do inglês, Independent Protection Layers (IPL). O AIChE/CCPS (2008) define uma Camada de Proteção Independente como um dispositivo, equipamento, sistema ou ação que é capaz de impedir que a consequência indesejada de um cenário ocorra, independente do evento iniciador ou da ação de qualquer outra camada de proteção desse cenário. Para que uma salvaguarda seja considera uma IPL, ela deve respeitar os seguintes critérios: I. Deve ser eficaz na prevenção da consequência. Ou seja, basta que apenas uma IPL atue para que o cenário seja evitado; II. Deve ser independente do evento iniciador e da ação de qualquer outra camada de proteção existente nesse cenário; III. Deve ser auditável. A eficácia de uma IPL é medida em termos da sua probabilidade de falha na demanda (PFD), definida como a probabilidade de um sistema (neste caso a IPL) falhar quando é demandada sua atuação. Dessa forma, quanto menor o valor do PFD, maior será a confiança de que a IPL executará sua função corretamente (AIChE/CCPS, 2008). O propósito primário da LOPA é determinar se as Camadas de Proteção Independentes de um evento são suficientes, de forma a proporcionar um nível de risco adequado. Inicialmente, avaliam-se os cenários. A consequência é identificada por meio de uma análise qualitativa de riscos. Após, estima-se a frequência do evento iniciador desse cenário. A base de dados para a estimação dessa frequência pode vir de dados da indústria, experiência da empresa ou dados de fabricantes. A próxima etapa é a identificação das Camadas de Proteção Independentes disponíveis e a definição da Probabilidade de Falha na Demanda de cada uma. Com isso, é possível calcular a frequência do cenário, combinando a probabilidade de falha na demanda das Camadas de Proteção Independentes com a frequência do evento 42

57 iniciador. A partir disso, avalia-se o risco e, caso necessário, avaliam-se sugestões adicionais de redução de risco. As informações obtidas durante o processo de LOPA são documentadas em forma de tabela. A seguir, a Tabela 10 apresenta um exemplo de tabela utilizada para o desenvolvimento completo de um cenário (AIChE/CCPS, 2008). Cenário número 1 Tabela 10. Exemplo de planilha de LOPA (Adaptado de AIChE/CCPS, 2008). Cenário: Falha na água de refrigeração com reação de fuga e potencial para sobre pressão do reator, vazamento, ruptura, ferimentos e fatalidades. Data: ##/##/#### Descrição Probabilidade Consequência Critério de Tolerância de risco Reação de fuga e potencial para sobre pressão do reator, vazamento, ruptura, ferimentos e fatalidades. Inaceitável (Maior que) Tolerável (Menor ou igual que) Frequência (por ano) 1 x x 10-6 Evento iniciador Perda de água de refrigeração 1 x 10-1 Condição/Evento habilitador Modificadores condicionais (se aplicável) Probabilidade que reator com reação de fuga possa acontecer durante perda de água de refrigeração Probabilidade de ignição Probabilidade de trabalhadores estarem em local afetado Probabilidade de fatalidade Outros 0,5 (por reator) Frequência da consequência não mitigada 5 x 10-2 Camadas de Proteção Independentes (IPL) Alarme e ação humana Adição de interrupção no alarme de temperatura do reator 1 x 10-1 Válvulas de alívio de pressão (PSV) Necessárias modificações no sistema (Ver ações) 1 x 10-2 Função Instrumentada de SIF para atuar válvulas de alívio (Ver ações para detalhes) 1 x 10-3 Segurança (SIF) Salvaguardas não- IPL's Ação do operador. Outras ações de operadores não são independentes. Sistema de resfriamento de emergência. Não creditado como uma IPL já que possui muitos elementos em comum (tubulações, válvulas, etc.) que poderiam ter iniciado a falha na água de resfrigeração. Total da Probabilidade de Falha na Demanda para todas IPL's 1 x 10-6 Frequência da consequência mitigada 5 x 10-8 Ações necessárias para atender ao critério de tolerância de risco Observações Critério de Tolerância de Risco é atendido? (SIM/NÃO): Sim com adição de SIF's Adicionar SIS para todos os 3 reatores. Instalar SIF com PFD mínimo = 1 x 10-3 para atuação de válvulas de alívio em condição de alta temperatura. Separar juntas e tubulações para cada PSV para minimizar o bloqueio e a falha simultânea. Considerar purgas de nitrogênio sob todas as PSVs. Grupo responsável / Pessoa / Data: Técnico da Planta / J. Doe / ## de janeiro Garantir que a resposta do operador à condição de alta temperatura atenda aos requisitos para IPL. Assegurar que o projeto, instalação e manutenção das válvulas satisfaçam os requisitos para PFD 1 x 10-2, no mínimo. N/A N/A N/A N/A 43

58 IV.4.4 Análise Quantitativa de Riscos (AQR) A Análise Quantitativa de Riscos (AQR) é comumente utilizada após análises qualitativa de riscos, análise de vulnerabilidade e LOPA. Pedroso (2007) afirma que o resultado principal da execução de uma análise qualitativa é a obtenção de uma classificação de riscos, que será a entrada do processo de Análise Quantitativa. Um dos marcos na utilização da AQR na indústria de petróleo foi em 1981, quando foi publicado pela Norwegian Petroleum Directorate (NPD), diretrizes para a Avaliação de projetos de plataformas, do inglês, Guidelines for safety evaluation of platform conceptual design. Essas diretrizes estabeleciam que uma análise quantitativa de riscos deveria ser realizada para todas os novos projetos de instalações offshore na Noruega (NPD, 1981). Outro marco no desenvolvimento da AQR na indústria foi resultado da investigação do acidente de Piper Alpha. O relatório de Lord Cullen (1990) emitiu recomendações da utilização da AQR e de sua implementação na legislação britânica. A NASA (2015) define a AQR como uma metodologia sistemática para determinar a probabilidade de ocorrência e severidade de um evento indesejável e avaliar o custo caso esse evento ocorra. Como o risco é função das consequências e frequências de eventos indesejáveis ocorrerem, faz-se necessário estabelecer valores para as frequências de cada uma das hipóteses acidentais. Para definição das frequências, são utilizados bancos de dados que, assim como na LOPA, podem ser provenientes da indústria, experiência da empresa ou dados de fabricantes. Diferentemente da LOPA, na AQR, além da frequência, avaliam-se os cenários de forma a mensurar suas severidades. IV.5 Avaliação de riscos De acordo com a ISO (2009), a etapa de avaliação de riscos tem o objetivo de auxiliar a tomada de decisão baseada nos resultados das análises, de forma a definir quais riscos necessitam de tratamento e priorizar recursos durante o processo de tratamento e mitigação, ou seja, investir mais e de forma prioritária nos cenários de risco mais elevado. A avaliação de riscos deve comparar o nível de risco encontrado com os critérios de risco estabelecidos quando o contexto foi considerado. 44

59 IV.6 Tratamento de riscos O processo de tratamento de riscos envolve a identificação das diversas opções para a mitigação de riscos. Essas opções são avaliadas e preparadas, e a implementação das ações ocorre por meio de planos para o tratamento (AS/NZS 4360, 2004). Segundo a ISO (2009), as opções para o tratamento de riscos podem incluir os seguintes aspectos: I. Ação de evitar o risco, tomando a decisão de não iniciar ou descontinuar a atividade que dá origem ao risco; II. Ação de remover a fonte de risco; III. Ação de alterar a probabilidade do risco; IV. Ação de alterar a severidade do risco; V. Ação de compartilhar o risco com outra parte ou partes; VI. Ação de reter o risco, por meio de decisão técnica consciente. De forma geral, as medidas de mitigação e tratamento de riscos devem incluir ações para prevenir incidentes (isto é, reduzir a probabilidade de ocorrência), controlar incidentes (isto é, limitar a extensão e a duração de um evento indesejável) e mitigar os efeitos (isto é, reduzir as consequências) (ISO/DIS 10418, 2015). IV.7 Comunicação e consulta Comunicação e consulta são importantes e devem permear cada etapa do processo de gerenciamento de riscos. De acordo com a AS/NZS 4360 (2004), uma comunicação interna e externa eficaz é importante para assegurar que os responsáveis pela implementação do processo de gerenciamento de riscos, e aqueles com interesse, entendam a base sobre a qual decisões são tomadas e as causas das ações específicas necessárias. IV.8 Monitoramento e análise crítica Monitoramento contínuo e análise crítica são essenciais no processo de gerenciamento de riscos. A checagem e análise devem acontecer de forma regular, ou em resposta a um evento específico. 45

60 O monitoramento pode ocorrer por meio de verificações periódicas, com o uso de indicadores de desempenho. A partir da análise dos indicadores, quando verificado desempenho abaixo da meta, ou desvios em relação ao procedimento definido, a organização deve estabelecer ações corretivas e preventivas. A análise crítica dos resultados da implementação dos planos de tratamento de riscos proporciona uma medida de desempenho e seus resultados devem ser registrados e reportados externa e internamente (AS/NZS 4360, 2004). IV.9 Considerações Diante do exposto, uma compreensão dos perigos e dos riscos das instalações e de suas operações é primordial para garantir a segurança. Dessa forma, os perigos e o nível de risco associado com as operações devem ser a primeira etapa a ser considerada no projeto e na melhoria das atividades de Gestão da Segurança de Processo. Entretanto, a simples identificação de perigos e análise de risco não basta. É preciso que tal estudo se transforme em melhorias reais, de forma que os riscos sejam controlados e mitigados. Portanto, o elemento de Identificação de Perigos e Análise de Riscos deve ser usado em conjunto com outros elementos do RBPS para aumentar a eficácia e a confiabilidade do Sistema de Gestão. Como o foco é o gerenciamento da Segurança de Processo, então indicadores específicos e relacionados ao gerenciamento de riscos de processo devem ser utilizados. Este é o tópico do próximo capítulo, que descreverá o elemento de Métricas e Indicadores de Segurança de Processo. 46

61 V. Métricas e Indicadores de Segurança A utilização de indicadores é o único modo de medir a melhoria contínua do desempenho do processo. Neste sentido, mensurar os resultados dos elementos do sistema de gestão é fundamental. O uso de indicadores de desempenho permite ao Operador acompanhar a performance das práticas e aprimorar a tomada de decisão e o gerenciamento de recursos. Este capítulo expõe o conceito de Indicadores de Segurança, além de demonstrar suas aplicações na indústria do petróleo. V.1 Introdução A medição é um passo fundamental em qualquer processo de gestão e forma a base de melhoria contínua. Se a medição não for realizada corretamente, a eficácia do sistema de gestão de segurança de processo é prejudicada e perde-se o controle sobre os riscos. Indicadores são utilizados em diversos ramos da indústria para a medição do grau de satisfação de determinado processo. Medir é uma parte aceita do gerenciamento do processo de melhoria contínua como planejar-fazer-checar-agir (PDCA). A medição do desempenho deve ser parte integrada de um sistema de gestão de segurança e saúde (HSE, 2001a). De acordo com Mitchel (2004), indicador é definido como um instrumento que possibilita a obtenção de informações sobre um dado processo, sendo caracterizado pelo poder de sintetizar informações variadas, preservando apenas o significado essencial dos aspectos analisados. Bullen (1991) preconiza que um indicador de desempenho define uma medição de uma informação importante e útil sobre o desempenho de algo, expresso numericamente, que é monitorada em intervalos regulares e comparada a um ou mais critérios. Segundo a Organization of Economic Cooperation and Development (OECD), a aplicação sistemática de um programa de indicadores de segurança é o caminho para a obtenção dos seguintes resultados (OECD, 2008): I. Redução de riscos de instalações. II. Redução da ocorrência de acidentes e quase acidentes. III. Redução de ferimentos e fatalidades. IV. Redução de impactos ambientais. V. Redução da área de impacto do acidente. 47

62 VI. VII. VIII. Redução do número de pessoas impactadas pelos incidentes. Extensão de iteração e colaboração de autoridades públicas e indústria, levando à melhoria da segurança da instalação. Melhoria da resposta a acidentes (redução do atraso e melhoria da eficiência). Incidentes de segurança de processo raramente são causados por uma única falha catastrófica, mas frequentemente por múltiplos eventos ou falhas (fatores contribuintes) que são coincidentes (API RP 754, 2016). Dessa forma, há que se implementar e monitorar as camadas de proteção para a redução do risco da ocorrência de incidentes. O modelo mostrado na Figura 5 explicita o conceito de camadas. Para que um dano seja causado, várias falhas (desvios) devem ocorrer nos diferentes elementos implementados do sistema de gestão de segurança de processo. Esta representação visual é chamada de queijo suíço, sendo usada em vários relatórios de acidentes. Cada fatia do queijo é uma camada preventiva, ou salvaguarda. Cada furo é uma falha, muitas vezes desconhecida, dessa camada. É o alinhamento das falhas que permite o acidente. Se apenas uma das camadas funcionam isso já basta para evitar o acidente. Figura 5. Diagrama do modelo do queijo suíço (Carvalho, 2009). 48

63 Garcia (2013) descreve que estas falhas geralmente não são conhecidas e estabelece que para evitar um acidente devem ser desenvolvidos e monitorados conjuntamente indicadores proativos e indicadores reativos. V.2 Indicadores proativos e reativos Hopkins (1994) define indicadores proativos (Leading indicators) como sendo aqueles capazes de medir resultados e fazer prognósticos de maneira antecipada possibilitando interromper a evolução de um evento, reverter o processo e evitar o fato. Já os indicadores reativos (Lagging Indicators) são aqueles capazes de medir resultados após a ocorrência de eventos. Os indicadores proativos devem atuar com condições, eventos e medidas que precedam um evento indesejável e que tenham valor na predição da proximidade destes eventos (acidentes, quase acidentes ou estados indesejáveis de segurança). Os indicadores reativos tem a tendência de refletir a experiência do passado, os eventos passados, e possuem relação com a adoção de medidas corretivas de controle, de forma a evitar a recorrência de tais eventos. Indicadores reativos precisam ser estabelecidos e utilizados em conjunto com indicadores proativos, já que eventos acidentais em Segurança de Processo não são frequentes (VINNEM, 2006). De acordo com o guia A Guide to Measuring Health & Safety Performance do HSE (2001a), nem todos os danos e falhas devem ser registrados como dados reativos. Segundo o HSE, a falha de um alarme quando demandado, que permite a ocorrência ou propagação de um acidente, é uma medida reativa. Já quando esse mesmo alarme falha em teste de funcionalidade, essa é uma medida proativa. V.3 Indicadores de segurança na Indústria do Petróleo Na indústria do petróleo, a API, por meio da API RP 754 (2016), desenvolveu uma pirâmide de hierarquização de eventos de segurança de processo. Essa pirâmide representa dois conceitos-chave. Uma é que os eventos de segurança de processo podem ser classificados conforme o nível de severidade, e o segundo é que ocorreram muitos incidentes de consequências menores para cada incidente ocorrido com maiores consequências. A Figura 6 apresenta a pirâmide hierárquica de eventos de segurança de processo. 49

64 Figura 6. Pirâmide de hierarquização de eventos de segurança de processo (API RP 754, 2016) Tier 1 (T1) e Tier 2 (T2) são indicadores de performance reativos (Lagging indicators) bem definidos, baseados no registro de incidentes de segurança de processo que envolvem perdas de contenção, do inglês Loss of Primary Containment 9 (LOPC), que excedam níveis definidos de liberação de gás ou líquido, ou consequências graves, como ferimentos ou incêndio. Uma liberação de grande quantidade de gás inflamável, por exemplo, mesmo que não resulte em fatalidades ou feridos, é um evento Tier 1. Ou seja, avalia-se o potencial do evento, não pelo dano em si. Por outro lado, eventos LOPC de pequena quantidade vazada (Tier 3) proporcionam resultados preventivos quando são utilizados para a predição de grandes acidentes. Indicadores T3 e T4 fornecem um conceito mais amplo, com o objetivo de encorajar os Operadores a introduzirem indicadores Leading, que representam indicadores proativos. O International Association of Oil&Gas Producers (IOGP) adota definições similares à norma API RP 754 (2016). De acordo com o IOGP (2016), a seleção de indicadores de segurança é um árduo desafio, ainda mais quando tratam-se de dados preventivos que pretendem melhorar pró-ativamente o nível de segurança dos ativos. 9 O trecho correspondente na tradução é: Perda de Contenção Primária. 50