FERRAMENTAS PARA RACIONALIZAÇÃO DE ALARMES: APLICAÇÃO EM PROJETO DE UMA UNIDADE DE REFINO DE PETRÓLEO

Transcrição

1 FERRAMENTAS PARA RACIONALIZAÇÃO DE ALARMES: APLICAÇÃO EM PROJETO DE UMA UNIDADE DE REFINO DE PETRÓLEO Luciano André Farina TriSolutions Soluções em Engenharia Ltda Santiago Sosa González TriSolutions Soluções em Engenharia Ltda Abstract Alarm Management is nowadays a reality in Brazilian industry, which looks for safety and reliability operations. This work characterize in few word the Alarm Management cycle, dealing some available tools that can help alarm rationalization, available in DCSs, but underused in industry reality. There are also presented some assumptions used in an alarm rationalization project developed in an oil refinery process unit. Resumo O Gerenciamento de Alarmes é hoje uma realidade na indústria brasileira, que busca operações seguras e confiáveis. Este trabalho descreve sucintamente as etapas com compõem o ciclo do Gerenciamento de Alarmes e apresenta uma série de ferramentas disponíveis para a racionalização de alarmes em uma unidade industrial, descrevendo os princípios e utilidades de diversas ferramentas comumente disponíveis no sistema de controle que são subutilizadas. Apresenta-se ainda uma série de premissas assumidas na racionalização de alarmes em uma unidade de refino de petróleo. Palavras chaves: Gerenciamento de Alarmes; Racionalização; Segurança Operacional; Norma ANSI/ISA Introdução O principal objetivo do gerenciamento de alarmes (GA) é otimizar o trabalho dos operadores de unidades industriais que utilizam sistemas de supervisão e controle de processos, tipicamente SDCD (Sistema Descentralizado de Controle Digital). Retomando o conceito de que um alarme deve ser um Sinal audível e/ou visível indicativo do mal funcionamento de um equipamento ou processo ou condição anormal que requer uma resposta (norma ANSI/ISA-18.2), busca-se aumentar a segurança e confiabilidade operacional. Alguma discussão sobre em que direção anda a segurança de um processo com a adição de novos alarmes pode ser verificada em (Pinto e Farina, 2007). Este trabalho traz algumas das ferramentas disponíveis para que o GA, em sua etapa de racionalização, seja efetivo no seu objetivo. Com base em uma aplicação típica, em um projeto de Racionalização em uma unidade de uma refinaria de petróleo, são apresentados casos onde se busca trazer inteligência ao sistema de alarmes. 2 Etapas do Gerenciamento de Alarmes Segundo abordagem da norma ANSI/ISA-18.2 (Management of Alarm Systems for the Process Industries, a ser publicada ainda em 2009), o ciclo que constitui o gerenciamento de alarmes é composto por filosofia de trabalho, gerenciamento de mudanças, monitoramento e auditoria e avaliação, como ilustra a figura 1. De forma semelhante o problema é abordado por outras normas, como a EEMUA 191, e a Namur NA 102.

2 Figura 1. Ciclo de vida do Gerenciamento de Alarmes segundo a norma ISA SP18.02 Para definir a filosofia de trabalho, é necessário um documento corporativo, que guie todas as ações e objetivos do GA, sendo este fundamental para o desenvolvimento das atividades. Dentro da refinaria onde o trabalho foi executado já estava estabelecido, sendo utilizado prévia e simultaneamente em outros projetos, servindo de base para a racionalização dos alarmes. As etapas corretivas devem envolver identificação de problemas, racionalização, projeto e implementação de soluções, e treinamento dos envolvidos, um bom sistema de gerenciamento de mudanças, que deve rastrear periódica e automaticamente qualquer alteração realizada no que tange o sistema de alarmes, garante o sucesso da etapa. O monitoramento dos alarmes deve ser realizado utilizando um software capaz de avaliar o sistema e gerar relatórios, permitindo a operação, treinamento, manutenção e melhoria contínua do sistema. No projeto realizado o software de GA foi o BR-AlarmExpert, desenvolvido por uma parceria entre Petrobras e UFRN, mas o mesmo serviço pode ser realizado com outros aplicativos. As funcionalidades do software podem ser conferidas em Leitão et. al (2009). A avaliação do sistema de gerenciamento de alarmes como um todo garante a melhoria contínua do processo de GA, fechando o ciclo que o constitui, conforme a Figura 1. 3 Ferramentas para a Racionalização de Alarmes Dentro das etapas do GA, a Racionalização de Alarmes se caracteriza por integrar as definições do documento corporativo de filosofia com as ferramentas disponíveis nos sistemas da empresa, dentre as quais se destaca o SDCD. Devem-se conhecer as potencialidades do sistema quanto à configuração e tratamento de alarmes. Embora os sistemas mais modernos de controle estejam andando na direção de tornar a programação de blocos configuráveis pelo usuário cada vez mais simples (ao contrário dos antigos sistemas com linguagens proprietárias para qualquer criação de lógicas no sistema), sempre que possível deve-se utilizar as ferramentas inerentes ao sistema, principalmente pela confiabilidade. Como exemplo, podemos programar um alarme em alguns SDCDs modernos utilizando um código em VBA (Visual Basic for Applications), o que nos permite personalizar cores, animações e sons, por exemplo, para apresentação do evento ao operador, porém o uso do bloco de alarmes nativo do sistema é otimizado para a função, trabalhando da melhor forma, e tendo sido exaustivamente testado pelo fabricante, logo, configura a melhor opção. Esta mesma discussão pode ser levantada para qualquer customização, sejam definição de alarmes, controladores ou qualquer outra função desejada. Nos itens a seguir são descritos os tipos de alarmes e ferramentas disponíveis no SDCD adotado pela unidade onde o projeto foi desenvolvido e uma série de premissas assumidas no projeto que permitiram a otimização dos trabalhos buscando a racionalização.

3 3.1.Tipos de alarmes nativos do SDCD Analisando configurações nativas para alarmes no SDCD adotado pela unidade onde o projeto foi conduzido, foram definidos e analisados na etapa de racionalização os seguintes tipos de alarmes, configuráveis para cada variável de processo: HI / LO Alarme absoluto: variável apresenta um valor maior (HI) ou menor (LO) que o recomendado para a operação estável do processo, caracterizando uma condição de anormalidade. HIHI / LOLO Alarme de trip: caso transcorrer um determinado tempo após o alarme de HI ou LO e as ações corretivas não surtirem o efeito de normalização das condições indesejadas, em alguns casos será ativado um alarme de HIHI ou LOLO indicando atuação automática do sistema de segurança da unidade (trip total ou parcial). Apenas em casos específicos de grandes máquinas, ocorrem alarmes de HIHI e LOLO, que não são vinculados a trip. PVBAD Alarme de valor inconsistente: indica que o transmissor enviou um sinal fora da faixa esperada (fora dos limites de 4 a 20 ma, por exemplo), e neste caso a indicação no painel não é verdadeira. Em todos os casos, quando alguma automação é associada ao transmissor, a falha do tipo PVBAD deve levar o controle para a condição segura, definida caso a caso. DVHI / DVLO - Desvio de setpoint: indica que há um desvio da variável de processo em relação ao setpoint do controlador. Este tipo de alarme é especialmente indicado, no sentido de evitar alarmes espúrios, na substituição de alarmes absolutos quando a variável em questão é controlada e seu setpoint é variável no tempo. DISCREP Alarme de discrepância: indica que dois ou mais sinais que deveriam apresentar valores coerentes entre si, não estão respondendo de acordo com o esperado. Utilização em larga escala nos alarmes de diferença entre comando de um controlador para uma válvula e a posição real da mesma e nos alarmes de inconsistência entre instrumentos que deveriam indicar o mesmo valor (mesma variável, medida no mesmo ponto por instrumentos redundantes). FALHA Falhas de atuação/comando: indica que há uma diferença entre o estado do elemento final de controle (válvula ou motor) e o comando que foi enviado a estes. STATUS Alarme ou evento de status: indica que determinado status de um elemento, normalmente discreto, foi atingido. Como na maior parte dos casos o status é apenas a confirmação de que uma ação do operador teve sucesso, as mensagens normalmente são configuradas como eventos, e não alarmes. 3.2 Ferramentas do SDCD referentes ao sistema de alarmes Várias ferramentas nativas do SDCD permitem um melhor desempenho do sistema de alarmes, porém por desconhecimento da importância das funcionalidades e dos ganhos potenciais com o uso destas acaba por subutilizar. Segue uma descrição breve de algumas destas ferramentas. FILTROS: caso houver suspeita que o sinal esteja causando ruído um filtro pode eliminar oscilações falsas do transmissor e assim reduzir a quantidade de alarmes. Deve ser implementado com cuidado, uma vez que qualquer filtro insere um atraso temporal na medição. A figura a seguir ilustra o uso de filtros em uma variável com possível redução de alarmes de processo.

4 Figura 2. Uso de filtro para redução de alarmes espúrios BANDA MORTA: é muito indicada em variáveis de valores analógicos que flutuam através do ponto de alarme por várias vezes, logo para ser útil, a banda morta deve ser maior do que o ruído ou variação do sinal. A figura a seguir ilustra o uso de banda morta em uma variável de processo. Figura 3. Uso de banda : a diferença entre os pontos de alarme (ALM) e de retorno ao normal (RTN) evita alarmes espúrios ao operador na variável de processo (PV) ON DELAY: um alarme somente será ativado caso a variável de processo permaneça acima (ou abaixo, no caso de alarme de valor baixo) do valor configurado para alarme por mais tempo do que o valor do filtro estabelecido. Bastante útil para evitar, por exemplo, alarmes de corrente alta em partida de motores. Figura 4. Uso de On Delay para evitar alarmes espúrios

5 OFF DELAY: filtro implementado para a desativação do alarme, ou seja, quando uma variável de processo volta a seu estado normal, o alarme somente será desativado caso este permaneça neste estado por mais tempo do que valor do filtro estabelecido. SUPRESSÃO AUTOMÁTICA: automaticamente, baseado em lógicas de projeto, prevenir uma ativação de alarmes para o operador quando uma condição de alarme acontece. Como exemplo, pode-se suprimir um alarme de vazão e pressão baixas quando uma bomba, a montante desta, é desligada. ECLIPSE DE ALARMES: quando uma condição do tipo HIHI ou LOLO é alcançada, o respectivo alarme de HI ou LO pode ser suprimido automaticamente, despoluindo a tela de sumário de alarmes. 3.3 Premissas assumidas no projeto para racionalização de alarmes Uma série de premissas foi assumida durante o projeto com vistas a agilizar, esclarecer e documentar o processo de racionalização dos alarmes da unidade em estudo. Algumas das principais premissas são descritas a seguir Alarmes em indicadores: Alarmes de PVBAD em indicadores onde a variável medida possui alarme tipo HI e/ou LO foram configurados com prioridade BAIXA. Eventos tipo PVBAD de indicadores que não possuíam outro alarme foram configurados como EVENTOS. Alguns casos específicos foram avaliados individualmente Figura 5. Exemplo de indicador com alarme de processo (HI) Alarmes em malhas de controle Nos casos que o setpoint da malha é variável no tempo, foi preferida a configuração de alarmes de desvio (DVHI e/ou DVLO) à configuração de alarmes de valor absoluto (HI e/ou LO). Quando o sinal da variável de processo de uma malha de controle apresenta falha (PVBAD) a malha passa para manual. Caso a malha participe de uma configuração em cascata como escrava, a malha mestra também passa para manual, caso o instrumento em falha participe da cascata como mestre, o escravo da malha passa para modo automático. Todo tag de controlador teve configurado o alarme de PVBAD, sendo avaliada caso a caso a Criticidade.

6 . Figura 6. Exemplo de alarmes em malha de controle Alarmes de sinais discretos Para este tipo de sinal não foi utilizado alarme de PVBAD. Os alarmes de posição de válvula ON/OFF foram configurados como LOG, sendo definidas as mensagens de alarme como ABERTA ou FECHADA. Figura 7. Exemplo de alarmes em válvulas ON/OFF Alarmes de intertravamento (ou trip) Os alarmes do tipo HIHI e LOLO são utilizados para indicação de alarmes de trip, total ou parcial. Todos alarmes de intertravamento possuem um alarme precedente (HI para HIHI ou LO para LOLO), no mesmo ponto de medição mas em um conjunto sensor/transmissor independente, conforme prega a norma N2595. No exemplo a seguir, temos o instrumento A com alarme de temperatura alta, e o instrumento B com alarme de valor muito alto, indicando algum trip na unidade.

7 Os valores de HI e HIHI são configurados com uma folga suficiente para que o operador possa impedir o evento de intertravamento. Figura 8. Exemplo de alarmes de trip por temperatura alta. Os alarmes de intertravamento são todos configurados em um sistema de segurança independente, impedindo assim edição indevida de valores críticos de processo pela operação. A atuação de um intertravamento envia o sinal de atuação por uma chave, assim o operador e o sistema de alarmes são informados do evento. De outra forma, os alarmes de HI ou LO são configurados no SDCD, sendo passíveis de edição por usuários autorizados. No exemplo ilustrado, a variável B é também configurada com alarme do tipo HI. Esta configuração garante o alarme de processo mesmo que o instrumento A esteja em manutenção. Para evitar alarmes redundantes, o sistema foi projetado para que qualquer um dos alarmes de HI atuado suprima o outro. Da mesma forma, o Eclipse de alarmes garante que a atuação do trip (HIHI) suprima automaticamente qualquer alarme de HI nos instrumentos A ou B Alarmes de discrepância em elementos finais de controle Para os elementos finais de controle que possuem posicionadores inteligentes (todos na unidade em estudo), para uma válvula de controle são definidos alarmes de discrepância entre o valor enviado pelo sistema de controle (OUT do FIC, no exemplo) e a posição real do elemento (FZIT no exemplo) quando eles diferirem de um determinado percentual. Os eventos foram configurados como LOG, com aviso na tela (FALHA VÁLVULA) ao lado do elemento de controle, indicando que é necessária manutenção no sistema. A figura a seguir ilustra uma malha de controle onde se tem a válvula com posicionador inteligente, possibilitando a configuração de um alarme de discrepância. Figura 9. Sistema de controle com válvula com posicionador inteligente, possilitando a configuração de alarme de falha na válvula Alarmes de discrepância em indicadores redundantes Caso dois instrumentos que medem a mesma variável em um mesmo ponto de operação indiquem valores diferentes, é acionado um alarme de discrepância. Para efeito de configuração o alarme é definido para uma diferença superior a 10% do range do instrumento. A estratégia para configuração do alarme de discrepância consiste em enviar o sinal de todos os instrumentos para um bloco de cálculo que tem como saída a maior diferença absoluta entre cada um dos valores de cada instrumento e a mediana de todos os instrumentos. No caso de PVBAD em algum dos instrumentos, o mesmo não é considerado no cálculo da mediana. A figura a seguir ilustra o caso genérico deste tipo de configuração.

8 Figura 10. Alarme de discrepância em sistema com medições redundantes Alarmes de falha de comando: São acionados quando o operador ou alguma automação/intertravamento estiver enviando um comando para um elemento final e, após um intervalo de tempo determinado, o elemento permanecer na condição inversa ao comando. Este tipo de alarme é utilizado para válvulas de bloqueio/alívio e bombas que não possuem variador de freqüência. No exemplo da figura abaixo, a válvula XV pode ser atuada pelo comando do painel XHS ou pelo PES (sistema independente de segurança e intertravamento), através do IS04. Caso seja dado o comando de abertura da válvula e ela permaneça fechada, é acionado o alarme de falha de comando (tipo FALHA). O mesmo ocorre caso o comando de abertura não seja enviado e a válvula, por algum motivo, permaneça aberta. Figura 11. Alarme de falha de comando em válvula 4 Conclusão O trabalho apresentou conceitos básicos referentes às etapas que compõem o Gerenciamento de Alarmes, enfocando as atividades que permitem o desenvolvimento da racionalização. Verifica-se que os Sistemas Digitais de Controle Descentralizado possuem uma série de ferramentas que auxiliam a otimização do sistema de alarmes, estas, porém, muitas vezes são subutilizadas. O desperdício das funcionalidades do SDCD não é calculado por falta de conhecimento a respeito dos retornos potenciais, principalmente no que diz respeito a segurança e confiabilidade de informações.

9 Com as premissas apresentadas, verifica-se que o conceito inicial de que a racionalização de alarmes veio apenas para reduzir alarmes começa a fazer parte do passado. O foco da abordagem é trazer qualidade aos alarmes, propiciando a otimização da produção pelos operadores. Referências Bibliográficas ANSI/ISA Management of Alarm Systems for the Process Industries, 2009 EEMUA Publication 191. Alarm Systems: A Guide to Design, Management and Procurement., 1999 G.P.B. Leitão; A. Pifer; J.R.S. de Araújo, L.A. Guedes, K. Saito e L. Aquino. Sistema para análise e otimização de alarmes em plantas petroquímicas, Petro&Química, n o 313, 2009, pg PETROBRAS. Comissão de Normas Técnicas. N-2595: critérios de projeto e manutenção para sistemas instrumentados de segurança em unidades industriais, Pinto, L.D. e Farina; L.A. SISTEMA DE GERENCIAMENTO DE ALARMES EM UMA INDÚSTRIA PETROQUÍMICA, ISA Show, 2007