Thales Moran & Júlio Arlindo Azevedo I INTRODUÇÃO

Transcrição

1 CONCEITOS DE REDUNDÂNCIA APLICADOS AO SISTEMA DE POSICIONAMENTO DINÂMICO DE PLATAFORMAS DE PERFURAÇÃO OFFSHORE COMO ESTRATÉGIA DE AUMENTO DA CONFIABILIDADE Thales Moran & Júlio Arlindo Azevedo Resumo Os Sistemas de Posicionamento Dinâmico (DP) atuam no sentido de manter embarcações marítimas em uma determinada coordenada e aproamento através do controle exclusivo dos seus propulsores, sem o auxílio de âncoras e rebocadores, e independente das condições climáticas. O DP é parte das soluções Integradas de Automação Naval, onde em seus passadiços podem-se realizar atividades de monitoramento e acionamento de equipamentos do navio. No caso das plataformas móveis de perfuração offshore a perda de posicionamento é traduzida na maioria das vezes como parada de produção e altos riscos de segurança operacional. O objetivo deste trabalho é analisar as redundâncias do Sistema de Posicionamento Dinâmico como estratégia de aumento da disponibilidade e confiabilidade dos seus componentes e subsistemas. Palavras-Chave: Sistemas de Posicionamento Dinâmico, Perfuração Offshore, Sistemas de Potência, Redundância, Configuração Paralelo Simples, MODU, IAS. I INTRODUÇÃO O registro da participação do petróleo na vida do homem remonta a tempos bíblicos. Na antiga Babilônia, os tijolos eram assentados com asfalto e o betume era largamente utilizado pelos fenícios na calafetação de embarcações. Os egípcios o usaram na pavimentação de estradas, para embalsamar os mortos e na construção de pirâmides, enquanto os gregos e romanos dele lançaram mão para fins bélicos[9]. O petróleo era retirado de exsudações naturais encontradas em todos os continentes. Sobre o ponto de vista comercial, a Era do Petróleo teve início no início do século XVIII com a exploração de poços em terra (onshore) com não mais que 20 metros de profundidade. O primeiro poço offshore que se tem notícia foi perfurado a 30 metros da costa do Mar Cáspio através de uma plataforma fixa[4]. Gradualmente, a indústria de perfuração avançou para exploração offshore em águas cada vez mais profundas. Em 1897 na Califórnia foi construído o primeiro píer para conectar a costa terrestre a um poço que estava distante 400 metros da terra conforme apresentado na Fig. 1[4]. Artigo apresentado no II Seminário de Automação Industrial e Sistemas Eletro-Eletrônicos SAISEE (ISSN ), ocorrido em 04 de Março na cidade de Santa Rita do Sapucaí-MG. Fig.1 Píer de Summerland para perfuração de poço costeiro. As MODUs (Mobile Offshore Drilling Units) nasceram a partir do desenvolvimento das plataformas auto elevatórias (Jack-ups), o que foi considerado um marco histórico da indústria, pois foram as primeiras sondas que permitiram maior mobilidade em ambiente marítimo, sendo transportadas por rebocadores. O mecanismo auto elevatório permitiu que as estruturas treliçadas ficassem estacionadas no fundo do oceano enquanto que o maquinário de perfuração estivesse suspenso acima da coluna d água. Tipicamente essas sondas operavam em águas rasas de não mais que 300 metros, e ainda são largamente utilizadas, sobretudo no Mar do Norte. Apesar do avanço, o alto custo e as dificuldades para movimentar de um poço para outro limitou o uso das Jackups. Neste contexto, surgiram em 1953 as primeiras sondas semi submersíveis ancoradas (Moored Rigs), que como o próprio nome sugere, necessitam para a manutenção da posição, o lançamento de âncoras e cabos, ou sistemas de atracação em multipontos no fundo do oceano. As sondas ancoradas operam estavelmente com lâmina d agua em torno de 800 metros[4]. Os pontos desfavoráveis das unidades que operam com Sistemas de Posicionamento Fixo estão relacionados à baixa elasticidade do sistema de ancoramento, a falta de amortecimento hidrodinâmico e a exposição aos movimentos das ondas, ventos e correntes marítimas. Além disso, a perfuração em alto mar requeria grande quantidade de âncoras, correntes e guinchos o que aumentou o custo e limitou a aplicabilidade desse tipo de embarcação para operações com profundidade maior do que 1500 metros[7]. A Fig. 2 apresenta exemplos de sondas da empresa Ensco plc que operam com Sistemas de Posicionamento Fixo. 1

2 Fig.2 Jack-Up ENSCO 102 e Semi-sub. Ancorada ENSCO Os Sistemas de Posicionamento Dinâmico surgiram com o objetivo de fornecer grande mobilidade às embarcações uma vez que não existia ligação física da plataforma com o fundo do mar exceto pela coluna de perfuração. Os primeiros projetos de um Sistema DP com controle automático de posição foram utilizados em 1961 com o EU- REKA da Shell Oil Company e em 1964 pelo CALDRILL 1 da Caldrill Offshore Company, ambos nos Estados Unidos[4]. A unidade da Shell foi capaz de perfurar em profundidades de 1300 metros, em condições ambientais adversas com ondas de 6 metros de altura e velocidade do vento maior do que 21 metros por segundo, um cenário certamente inviável para a operação de sondas ancoradas. Ambos eram equipados por dois dispositivos de referência Taut Wire, que são basicamente cabos tensionados verticalmente, presos a um peso que repousa no leito marinho[3] para determinarem a deriva da unidade. Quatro propulsores de 300 HP eram acionados por computador para restaurar a posição da plataforma. Atualmente os navios-sonda de última geração operam em águas profundas e ultra profundas que variam de 300 a metros de lâmina d agua[9]. A Fig. 3 apresenta exemplos da frota da empresa Odebrecht Óleo e Gás que operam na bacia de Campos desde 2012 e que são equipados por dispositivos de automação integrada ao sistema de posicionamento dinâmico. Fig.4 Máxima excursão permissível e segurança operacional. Os limites de trabalho seguro podem variar, dependendo da natureza da tarefa no plano de perfuração e a influência das correntes nos risers. Esses limites devem refletir o risco associado a cada tarefa, por exemplo, existem diferentes limites aceitáveis para perfuração, assentamento do revestimento e teste do poço [3]. Em casos de perda do Sistema DP, dependendo da excursão da unidade em relação ao poço, a perfuração precisa ser interrompida ou o poço deverá ser abandonado por questões de segurança operacional. Nestes casos o BOP (Blow Out Preventer) é o equipamento de controle de poço responsável por cisalhar a coluna de perfuração, isolar o poço e permitir a desconexão da sonda em segurança. As aplicações de sistemas DP não se limitam a apenas as sondas de perfuração, estes dispositivos são amplamente utilizados em rebocadores, navios cargueiros, embarcações de lançamento de linhas, sistemas flutuantes de produção e navios comerciais, militares e de turismo. II PRINCÍPIOS DO POSICIONAMENTO DINÂMICO Fig.3 Semi-sub. ODN Delba3 e Navio-Sonda Norbe IX. O grande desafio para uma sonda offshore é evitar que as forças externas provocadas pelo ambiente venham a danificar os equipamentos que serão descidos no poço ou até mesmo inviabilizar a operação. Por isso, torna-se essencial que a unidade permaneça posicionada na superfície do mar dentro de um círculo com raio de tolerância relacionado aos esforços máximos permitidos pelos equipamentos de subsuperfície como a máxima excursão permissível para os risers (tubos ascendentes). É o que mostra a Fig. 4[6]. A IMO The International Maritime Organization define uma unidade marítima posicionada dinamicamente aquela que possui a capacidade de se manter automaticamente em uma posição fixa ou navegar por uma rota prédeterminada, através exclusivamente do uso dos seus propulsores (thrusters)[15]. Desta forma, a principal função de um Sistema de Posicionamento Dinâmico é controlar a posição e o aproamento (heading) da embarcação, ou seja, permitir que essas duas propriedades se mantenham ou alterem de acordo com o controlador (se em modo automático) ou ação do operador (se em modo manual). O princípio de funcionamento de um Sistema DP é baseado nas leis da mecânica clássica, onde se assume a premissa de que um corpo em equilíbrio é aquele que está sujeito à resultante de todas as forças atuando sobre si com valor igual a zero. Desta forma, o controlador de um DP percebe e calcula a resultante das forças externas que atuam na embarcação, e envia um comando para que propulsores criem uma força resultante contrária para manter o equilíbrio. 2

3 A principal vantagem do advento desta tecnologia está relacionado à sua flexibilidade quando à mudança ou manutenção da posição. Além disso, o fato de não depender do uso de âncoras possibilitou a operação em águas ultra profundas. As desvantagens estão relacionadas ao maior custo do DP em relação aos sistemas fixos, pois o investimento inicial, consumo de combustível e o custo das instalações são maiores. Outro ponto desfavorável do DP é a vulnerabilidade em relação à falhas e blackouts, exigindo nos navios sistemas complexos de propulsores, controladores e geradores de emergência e investimentos em manutenção. Também, as operações subaquáticas com mergulhadores e ROVs (Remotely Operated Vehicles) ficaram limitadas devido ao uso contínuo dos propulsores. II.1 Eixos de liberdade de movimento dos navios Basicamente as forças ambientais que atuam em embarcações offshore são aquelas providas pela ação dos ventos, correntes marítimas e ondas do mar, o que permite seis eixos de movimento conforme a Fig. 5[4]. Os movimentos de translação avanço (Surge) e deriva (Sway) são medidos através dos sensores que fazem parte dos sistemas de referência de posição (GPS, Laser e Microondas), e fornecem informações quanto à posição da unidade; a guinada (Yaw), por sua vez, é medida através das bússolas magnéticas (gyros) e fornecem informações quanto ao aproamento da unidade. Todos os movimentos de translação são controlados através da ação de propulsores. Sensores de vento ou anemômetros são essenciais para medir a velocidade e direção dos ventos. Essa é uma das principais variáveis de entrada necessárias para que o controlador do Sistema DP possa calcular as forças que os propulsores devem produzir para estabilizar a embarcação nos três eixos do plano horizontal[4]. Fig.5 Representação dos graus de movimento de um navio. Os movimentos de rotação Pitch, Roll e Heave Compensation são medidos através dos sensores de referência vertical (Motion Reference Units MRUs), não sendo controlados pelos propulsores. O Sistema DP, no entanto, faz o monitoramento contínuo dessas grandezas de rotação para que elas possam ser compensadas no modelo de controle dinâmico, uma vez que, estes movimentos rotacionais podem interferir na precisão dos sistemas de referência de posição[4]. II.2 Modelo de Controle Dinâmico Para que o navio se mantenha dentro de limites específicos de posição e aproamento, e que a resposta na atuação dos propulsores seja rápida, precisa e estável, a concepção do DP foi estruturada sobre o princípio do controle em malha fechada. A principal característica desse controle retroativo é fazer com que um sistema reaja de forma a corrigir o desvio entre o sinal de saída e os sinais de referência e entrada. Basicamente os elementos da malha de entrada do Sistema DP são provenientes dos sensores; os elementos de saída são os propulsores; e os elementos de controle são os controladores das estações de trabalho. A Fig. 6[7] apresenta de forma resumida a localização física destes três elementos que compõem a malha de controle do DP. Fig.6 Localização dos elementos básicos de controle do DP. O Sistema DP deve não apenas contrabalancear a interferência das forças ambientais para manter a posição e aproamento da unidade, mas também comportar-se dinamicamente estável em situações de interferência por agentes externos e transitórios, ter capacidade de predição das falhas dos sensores, bem como fazer interação com o subsistema de gerenciamento de energia do navio. Essas características e exigências tornam a malha de controle do Sistema de Posicionamento Dinâmico mais complexa, necessitando de mais de um loop[7], conforme a Fig. 7[4] que apresenta a modelagem por blocos de controle. O Vessel Model é a modelagem da resposta de um tipo de embarcação para qualquer força externa, considerando a sua aerodinâmica e hidrodinâmica[7]. Esse modelo prediz a posição e aproamento de acordo com a comparação das forças recebidas e situação anterior. Os sensores de vento fazem a leitura da velocidade e direção do vento que são convertidos em forças através do modelo matemático Wind Model. As leituras dos gyros e DGPS são medidas e comparadas entre seus componentes em redundância, descartando-se aqueles que aparentemente estão fora de uma margem aceitável de erro. Os dados de aproamento e posição passam por um filtro (Kalman Filter) para que sejam eliminados os ruídos para estabilização do sistema dinâmico. O resultado é atualizado no modelo da embarcação, e nas linguagens dos três eixos de liberdade de movimento. O Error Computational é um filtro passa baixa que calcula as forças que não são monitoradas e estimam a força de compensação a ser inserida no somatório de entradas. Esse erro computacional na grande maioria das vezes incorpora algoritmos para estimar os efeitos das correntes marítimas e ondas[6]. 3

4 Fig.9 Comparação entre desvios de posição e propulsão para os modos de operação de Alta e Baixa Precisão. O acionamento dos propulsores ocorre através dos Drives de comando de máquinas VFDs (Variable Frequency Drives) ou SCRs (Silicon-Controlled Rectifiers). O feedback é enviado ao Thruster Model que, por sua vez, converte a força dos propulsores em Surge, Sway e Yaw para atualização do bloco do Vessel Model. A diferença entre o setpoint do propulsor e o seu feedback é monitorada constantemente. II.3 Subsistemas do DP e Automação Integrada Fig.7 Modelagem em blocos do controle do DP. Os ganhos estão atrelados aos diversos modos de operação do DP. Em modo manual, parte dos ganhos são provenientes do Joystick analógico de comando. Existem vários modos automáticos e cada um interfere de uma forma diferente no controle de ganho representado pelo bloco Selected Gain. A Fig. 8[6] exemplifica alguns modos de operação do DP. O Sistema de Posicionamento Dinâmico exerce ainda a função de integração de vários subsistemas da plataforma, onde é possível acionar equipamentos remotamente, estabelecer limites de parâmetros, monitorar dados em tempo real, obter gráficos e históricos, verificar as condições meteorológicas, checar os alarmes ativos de todo e qualquer dispositivo que direta ou indiretamente interfere na gestão das operações e na segurança da unidade. A Fig. 10 apresenta um sistema de monitoramento do Sistema Elétrico de Potência de uma unidade marítima. Fig.8 Modos de Operação do DP: modo manual, modo de auto posição e modo por rota. A Fig. 9[6] apresenta a diferença entre o modo High Precision, que consequentemente está atrelado a um maior consumo de energia e desgaste das máquinas e, o Relaxed muito utilizado em condições de mar favoráveis onde a necessidade da atividade dos propulsores é menor. O modelo carrot calcula a inércia do sistema e estima os ganhos no intuito de manter o navio na condição operacional medida, sem ultrapassar os setpoints. O Thruster Allocation verifica quanto de força de propulsão será necessária para compensar o somatório das forças que atuam na unidade. É neste bloco que equações convertem a demanda total de propulsão de acordo com as características de cada propulsor[7], ou seja, determinam quais serão os thrusters que precisam ser acionados, a potência necessária, em qual direção da propulsão (Azimuth) e em qual passo das hélices (Pitch). Já o bloco Power Overload Control analisa se existe energia o bastante disponível. Neste diagrama ocorre a interface com o PMS (Power Management System), onde estratégias de corte de cargas não essenciais são adotadas a fim de priorizar o suprimento de energia apenas para os subsistemas críticos do DP. Fig.10 Tela do IHM Sistemas de Potência Fabricante Kongsberg. O Sistema DP pode ser divido em três subsistemas principais: de Energia, Controle e Referência[3]. O subsistema de Energia, ilustrado pela Fig. 11[14], compreende a geração, distribuição e consumo. Fazem parte desse subsistema os geradores à diesel, cubículos de alta tensão, centro de controle de motores, UPS (fonte de alimentação ininterrupta), Drives de inversores de frequência e as cargas não essenciais e essenciais como os propulsores, motores do piso de perfuração e equipamentos de controle de poço. O subsistema de Controle se refere ao gerenciamento de energia (PMS) automático ou manual e de posição consoles, computadores, redes industriais, estações de trabalho etc. 4

5 Um dos mecanismos mais utilizados no Sistema de Posicionamento Dinâmico como estratégia de aumento da confiabilidade é a configuração em paralelo de seus componentes, ou também conhecida como o princípio da redundância. III.1 Configurações Paralelo Simples Redundância Fig. 11 Principais componentes do subsistema de Energia. O subsistema de Referência é representado essencialmente pela instrumentação do DP anemômetros, bússolas magnéticas, sensores de referência vertical, GPS, Sistemas Acústicos, Microondas etc. que fornecem um sinal de entrada, medem as condições ambientais e atualizam feedbacks do modelo de controle. Fazem parte também desse subsistema os serviços auxiliares que são incorporados à solução de automação integrada ao DP, como status dos sensores de detecção de incêndio & gases tóxicos e o circuito fechado de monitoramento por câmeras por exemplo. III CONFIABILIDADE DO SISTEMA DP Por definição, Confiabilidade é a probabilidade de um equipamento, componente ou sistema operar, sem falhas, durante um período de tempo pré-determinado[10]. A Engenharia da Confiabilidade, como uma ciência, foi impulsionada pelas missões espaciais da década de 50 que devido à complexidade e alto risco de suas operações, precisava da implementação de estratégias que garantissem a máxima disponibilidade, mantenabilidade e confiabilidade dos seus subsistemas. As falhas causadas por fatores aleatórios deveriam ser entendidas e mitigadas a fim de não afetarem a segurança de voo. O ferramental matemático para os estudos de confiabilidade baseia-se em métodos estatísticos, critérios e modelos probabilísticos. Estes métodos são utilizados para aplicações nas fases de concepção, projeto, operação e manutenção de qualquer sistema complexo que requeira baixa vulnerabilidade às falhas e máxima utilização do ciclo de vida do ativo. Sobre o ponto de vista funcional e financeiro, o sistema de controle das aeronaves exercia para a indústria espacial a mesma relevância que o Sistema DP exerce hoje para a indústria marítima de perfuração. Como abordado anteriormente, a perda do posicionamento dinâmico se traduz na maioria das vezes em downtime e riscos para as pessoas e meio ambiente. Motivado pelas adversidades que a perda do posicionamento das sondas acarreta, os projetos dos Sistemas DP estão intrinsecamente relacionados a estudos de confiabilidade, a fim de avaliar índices quantitativos relativos às falhas, e estabelecer mecanismos que garantam o funcionamento do DP em plena carga e de modo contínuo, mesmo na ocorrência de falhas aleatórias em seus componentes ou subsistemas mais críticos. Para a modelagem de um sistema redundante, faz-se necessário o uso dos Diagramas de Blocos de Confiabilidade. Essa técnica estabelece relações de dependência em equipamentos, permitindo assim, a avaliação de sua confiabilidade antes mesmo de ser construído[10]. Isso é possível porque a maioria dos subsistemas e componentes usados em equipamentos são os mesmo que foram utilizados em projetos anteriores. A Fig. 12[11] abaixo apresenta uma configuração paralela simples, onde pelo menos um componente deve estar operacional para que o sistema funcione. Em outras palavras pode-se dizer que o sistema falha apenas se todas as unidades falharem ao mesmo tempo. Fig.12 Diagrama de Blocos de um sistema com n redundâncias. Portanto pode-se dizer que a probabilidade de falha do sistema Q s é igual ao produto das probabilidades de falha de cada componente P(X n ), onde X n corresponde ao evento falha do componente n. Q s = P(X 1 )P(X 2 ) P(X n ) = P(X i ) Em casos onde a falha de um componente afeta a probabilidade de falha do outro componente em paralelo, a probabilidade de falha do sistema será dada com base nas teorias de probabilidade condicional[11]. Para a determinação da confiabilidade do sistema em redundância R s basta assumir o inverso da probabilidade de falha desse sistema, como demonstrado na equação: n i=1 R s = 1 Q s = 1 [(Q 1 )(Q 2 ) (Q n )] R s = 1 [(1 R 1 )(1 R 2 ) (1 R n )] R s = 1 (1 R i ) n i=1 O componente de maior confiabilidade exerce o maior efeito na confiabilidade do sistema, uma vez que esse componente dificilmente falhará. Em geral a confiabilidade do componente está intimamente relacionada ao seu projeto, material, tipo de fabricação, modelo, fabricante, condições de operação, manutenção e ambiente no qual está exposto. Vale ressaltar que para um maior tempo de avaliação, maior é a chance de acontecerem falhas, ou seja, maior será a probabilidade de falha do equipamento[11]. Desta forma, as análises de confiabilidade precisam ser mandatoriamente feitas numa mesma base de tempo. A medida que se aumenta o número de componentes ou subsistemas em uma configuração em paralelo, a confiabili- 5

6 dade do sistema aumenta[11]. Essa propriedade da redundância é essencial para a especificação de projetos com o objetivo de se aumentar a tolerância a falha de um sistema crítico. A Fig. 13[11] ilustra a alta confiabilidade que um sistema pode atingir mesmo utilizando componentes que possuem baixa confiabilidade, desde que, esse sistema seja suprido por quantidade suficiente de unidades em paralelo n. Equipamento Classe 2: A perda de posição não deve ocorrer na eventualidade de uma única falha em qualquer componente ativo ou sistema[3]. Neste caso, existe o controle automático da posição e aproamento e redundância para os componentes ativos. Entende-se como componentes ativos os geradores, propulsores, painéis de acionamento de motores, válvulas de controle remoto, controladores etc; e como componentes estáticos os cabos, tubulações, válvulas manuais etc. Geralmente embarcações de lançamento de linhas, navios tanquealiviadores, embarcações-guindaste, navios de acomodações, embarcações de apoio ao mergulho e unidades flutuantes de produção são DP Classe 2. Equipamento Classe 3: O Equipamento Classe 3 é identificado como um Classe 2 considerando também os componentes estáticos como passíveis de falha e que haja uma redundância dedicada para proteção contra incêndio e alagamento dos componentes do DP. Essa é a Classe de Equipamento mais usual para naviosondas. Na prática, o DP Classe 3 trata-se de um DP Classe 2 acrescido de um DP Classe 1 (backup) cujo centro de controle e sensoriamento estão localizados em uma região de emergência separada das demais, e protegida contra incêndio e inundações normalmente com antepara A60 de aço ou alumínio e portas-estanque. A Fig.14[6] ilustra uma configuração DP 3 da Kongsberg Maritime. Fig.13 Relações entre confiabilidade do componente, do sistema e o número de componentes em redundância. Em Sistemas DP rotineiramente componentes em paralelo são retirados dos seus subsistemas, seja para o cumprimento de ordens de manutenção preventiva ou devido às falhas aleatórias. Nestes casos, momentaneamente o sistema assume menor tolerância às falhas, o que é conhecido em ambiente offshore como operação em estado degradado. III.2 Classes de Equipamentos de Sistemas DP Desde 1994 a IMO exige que todas as embarcações DP sejam classificadas de acordo com a sua vulnerabilidade à falha, para que desta forma, as filosofias básicas de segurança e de regulamentação sejam discriminadas e requeridas de acordo com a classe. Foram definidas três classes de equipamento como segue: Equipamento Classe 1: A perda de posição pode ocorrer na eventualidade de uma única falha[3]. Existe o controle automático da posição e aproamento, porém sem nenhuma redundância. São aplicadas em embarcações de apoio. Fig.14 Configuração Classe 3: K-Pos DP21 e DP11 como backup. Uma unidade marítima receberá certificado de classe através de uma Sociedade Classificadora. Estas organizações atuam como agentes autorizados de diversas bandeiras signatárias das convenções da IMO[12] como por exemplo, a IMCAM103 que preconiza diretrizes de projeto e operação de embarcações com posicionamento dinâmico e são responsáveis por verificar as conformidades das embarcações segundo as normas e padrões técnicos através de inspeções periódicas. Em todo o mundo, existem mais de 50 organizações cuja principal finalidade é a classificação de navios[12]. A Fig.15[7] correlaciona as Classes de Equipamento IMO com as classes de algumas Sociedades Classificadoras. 6

7 Fig.15 Notações de classe das Sociedades Classificadoras. Para obter notação de classe de DP em determinadas sociedades classificadoras, pode ser necessário realizar considerações adicionais na configuração do DP, como um joystick independente nas Classes 2 ou 3[3]. IV FILOSOFIAS DE REDUNDÂNCIA NOS SUBSIS- TEMAS DO DP Como abordado anteriormente, as notações de classe DP2 e DP3 exigem que as unidades marítimas tenham a capacidade de manter a integridade do Sistema DP mesmo na ocorrência de falhas em alguns de seus componentes. Nas concepções dos seus projetos, para satisfazer ao requisito de tolerância às falhas a teoria da redundância é amplamente aplicada. A alocação de componentes equivalentes em paralelo para realização da mesma tarefa requer, em termos práticos, que estes componentes tenham os mesmos desempenhos, proteções e predições[2]. Em termos de desempenho, os elementos redundantes devem possuir a mesma capacidade técnica para realizar funções similares. Além disso, precisam ser independentes, mesmo operando em paralelo, o que significa dizer que, deve existir uma filosofia de proteção para que uma falha em um componente não afete o desempenho dos outros e evite um desarme geral do sistema. As predições se referem ao monitoramento dos status dos componentes alarmes e tomadas de decisões inteligentes, o que é relevante para sistemas redundantes que utilizam componentes em espera (standby) ou de backup, onde existe intrinsecamente a incerteza se este componente estará disponível ou não quando ele for requisitado. Práticas comuns em inspeções periódicas de componentes standby são a verificação do histórico de alarmes; da integridade de válvulas de passagem e baterias; e a realização de testes funcionais em dispositivos de proteção, como por exemplo, relés, sensores de fumaça & gás e válvulas de alívio de pressão. Para ilustrar a concepção de redundância aplicada em sondas de perfuração, a Fig.16[5] apresenta o sistema de refrigeração dos VFDs e propulsores. Criteriosamente, as bombas centrífugas devem possuir a mesma capacidade de bombeamento, modelo e fabricante; deve haver lógica de troca entre elas em função do horímetro, para evitar que haja desgaste desproporcional das partes mecânicas; e em caso de falhas na linha hidráulica, que é o ponto em comum, a proteção deve retirar o VFD de operação (para manter a integridade dos seus tiristores), alertar o operador e acionar um propulsor redundante para manutenção da posição. 7 Fig.16 Redundância das bombas centrífugas do sistema de resfriamento do conjunto VFD-Propulsor. Todos os modos de falhas dos subsistemas do DP e os efeitos dessas falhas podem ser considerados em um estudo formal de FMEA (Failure Modes & Effect Analysis). A apresentação de um documento FMEA é muitas vezes uma exigência nos processos contratuais e de auditorias, além de ser um requisito das Sociedades Classificadoras para a notação de classe[7]. O termo modo de falha é usado para indicar a maneira em que um ou subsistema falha, e o termo efeitos da falha se refere ao impacto do modo de falha no sistema ou naqueles conectados ao componente. Um componente defeituoso pode possuir vários modos de falha, e seus efeitos podem ser relativamente simples ou podem causar até mesmo a perda do posicionamento dinâmico. É por esse motivo que esse estudo é extremamente necessário, pois os modos de falha podem ser utilizados como guias para tomadas de decisões estratégicas de manutenção, de projetos e de política de sobressalentes. São apresentadas nos itens a seguir, uma visão geral das configurações em paralelo simples e as técnicas de tolerância às falhas aplicadas aos três subsistemas do DP, como estratégia de aumento da disponibilidade do Sistema de Posicionamento Dinâmico e de atendimento à classe. IV.1 Configurações Redundantes no Subsistema Energia do DP Esquematicamente, o Subsistema Energia pode ser dividido em três grupos de equipamentos principais: motogeradores, alternadores e sistemas auxiliares; distribuição de energia; e inversores de frequência e propulsores. A geração de energia de uma sonda DP é provida por alternadores síncronos trifásicos acoplados e acionados por moto-geradores a diesel. O funcionamento adequado dos moto-geradores é suportado pelos seus sistemas auxiliares, tais como os sistemas de refrigeração forçada à base de água, ventilação, armazenagem e transferência do óleo combustível, sistemas de lubrificação, compressores de ar para partida do motor etc. Os alternadores convertem a energia mecânica proveniente da combustão interna dos motogeradores em energia elétrica com potência em torno de 6500kW cada, e operam em paralelo sobre a mesma tensão e frequência elétrica. Os alternadores são conectados aos barramentos de 11kV/6.6kV e aos quadros de distribuição, que por sua vez, possuem disjuntores que permitem o seccionamento e manobras entre os circuitos e cargas. Topologias típicas de sondas possuem de seis a oito alternadores conectados a dois ou três quadros de distribuição de alta tensão, separados

8 entre si por disjuntores de interligação[2]. Os transformadores abaixadores permitem a operação em níveis de tensão industrial como 690V/440V/380V e alimentam os Centros de Controle de Motores (CCMs); as cargas menores são alimentadas em 220V/127V. O fornecimento em corrente contínua a partir de baterias e UPS em 120Vdc/24Vdc e são utilizados como backup para cargas essenciais e de emergência. Os Drilling VFDs alimentados em tensão industrial controlam os motores do piso de perfuração enquanto que cada propulsor é acionado por um Thruster VFD dedicado. As unidades impulsoras são independentes, de forma que o risco de perda de mais de uma delas seja o menor possível. Possuem potência máxima em torno de 5500kW cada, e foram projetados de forma que a indisponibilidade de uma unidade não prejudique substancialmente a manutenção do DP dependendo obviamente das condições de mar e modo de operação. A Fig.17[5] correlaciona os elementos principais do subsistema energia com o diagrama unifilar de geração e distribuição de uma embarcação. Percebe-se que a concepção de redundância do subsistema energia do navio da Fig.17, está primariamente na divisão dos quatro moto-geradores em duas praças de máquinas e salas de alta tensão distintas; e no fato dos propulsores de proa e popa serem supridos por ambos os sistemas de distribuição de boreste e bombordo[5]. As linhas pontilhadas representam barreiras de proteção contra incêndio e inundações. No evento de uma falha inesperada em um gerador ou propulsor, a concepção de projeto deve utilizar de mecanismos para isolar o elemento danificado e inserir o componente em redundância de forma que se evite a falta de fornecimento de energia ou propulsão. Esta substituição deverá ocorrer em tempo hábil para que a embarcação não perca posição além dos limites operacionais de segurança. A configuração em paralelo simples é observada também em todos os serviços auxiliares dos moto-geradores, pois estes atuam sinergicamente na geração de energia. A Fig.18[5] apresenta como exemplo, o sistema de captação de água salgada utilizado para a refrigeração dos motogeradores, propulsores e casario. São dois sistemas completamente independentes que podem ser operados individualmente. As quatro bombas centrífugas operam paralelamente, cada uma é capaz de fornecer 100% dos suprimentos de água salgada da unidade[5]; as válvulas permitem manobrabilidade para troca de filtros (sea strainers) e manutenção planejada. Existem ainda neste sistema, transdutores de pressão redundantes que informam quando a pressão das linhas está abaixo dos limites de projeto e, transdutores de pressão diferencial para alertarem a necessidade de troca das bombas centrífugas. Esse tipo de filosofia é costumeiramente aplicada a todo e qualquer sistema que pode influenciar no funcionamento do DP. Como requisito de classe, os dois sistemas de captação de água estão separados por barreiras A60. Fig.18 Redundâncias do Sistema de Captação de Água do Mar para Refrigeração Seawater Cooling System. Fig.17 Diagrama Unifilar Simplificado de um Navio de Apoio Redundâncias do Subsistema Energia e Layout de Propulsores. 8 Conforme abordado anteriormente, as Sociedades Classificadoras avaliam a vulnerabilidade a incêndio e inundações em componentes ativos (aqueles presentes entre as praças de máquinas e salas de alta tensão) e estáticos como, por exemplo, as eletro-calhas instaladas para lançamento de cabos de controle e potência e que podem provocar a perda total do DP, ambos os componentes precisam ter pelo menos um sistema dedicado e protegido para notação de classe DP3[3]. No caso específico dos quadros de distribuição de energia, quando a unidade está operando em barramento comum, os disjuntores de interligação devem possuir lógica de intertravamento para proteger os barramentos sadios daqueles que por ventura tenham falhas na geração ou curtoscircuitos. Como existe a possibilidade de os disjuntores de interligação não abrirem ou demorarem demais para abrir e impedirem um blackout devido à falha dos seus componentes internos que não são redundantes como transformadores de corrente, de potencial, relés etc. então o painel de

9 controle deve ser redundante para equipamentos classe DP3[3]. Para ilustrar a filosofia básica de redundância em sistemas de distribuição, a Fig.19[13] mostra que ao detectar um curto-circuito fase-terra no barramento de bombordo B1, a unidade bloqueou o fechamento dos disjuntores de interligação para evitar que a falta se propagasse, e aumentou a atividade dos propulsores ativos no intuito de evitar perda de posição. Devido ao aumento da demanda, os geradores ativos G4 e G5 intensificaram a geração para compensar a perda de G1; neste caso, não foi necessário adicionar nenhum gerador que estava em stand-by por não atingir nenhum limite operacional de sobrecarga. A unidade ficou em blackout parcial apenas no barramento B1 e preservou o Sistema DP. Para cada grupo de sensores, o operador poderá configurar e estabelecer um sensor principal e os demais como redundantes, desta forma, as leituras dos sensores escravos serão desconsideradas para o modelo dinâmico; esse tipo de função é muito útil para manutenções planejadas ou quando a sonda opera em estado degradado, porém não é o padrão em modo automático. Um sensor estará disponível como principal, apenas quando ele tiver passado por vários testes de qualificação das suas leituras. A Fig.20[6] apresenta a gestão e monitoramento de instrumentos a partir da estação do operador de DP. Fig.20 Gerenciamento dos sensores e PMEs do DP. Alguns dos testes de qualificação dos instrumentos feitos pelos computadores são as comparações entre a leitura dos componentes em paralelo e a variância em relação à mediana; e a relação da medida com os limites operacionais prédefinidos, caso a leitura esteja fora dos parâmetros, os dados deste sensor serão descartados e um alarme irá informar ao operador, conforme análise da Fig.21[6]. Fig.19 Resposta da proteção e filosofia de redundância no evento de uma falha e blackout no barramento B1. IV.2 Configurações Redundantes no Subsistema Referência do DP Como abordado no diagrama de blocos do DP, para o controle dos eixos de translação do navio, as principais variáveis de entrada serão aquelas que fornecem velocidade e direção dos ventos, aproamento em relação ao Norte magnético e referência de posição como interpretado no Diagrama de Blocos da Fig.7. Apesar do DP não controlar os três eixos de rotação do navio, estes movimentos são constantemente monitorados pelos sistemas de referência vertical, instalados idealmente no centro de gravidade da embarcação. Portanto, cada instrumento que faz parte do Subsistema Referência terá pelo menos um componente em paralelo como estratégia para a manutenção do DP, sendo que, não precisam ser necessariamente do mesmo modelo, ao contrário dos outros subsistemas. Os computadores do sistema de controle recebem os dados dos sensores e sincronizam as leituras, atualizando as respostas no modelo dinâmico. Os sensores comunicam com os controladores enviando mensagens que normalmente seguem padrões como o NMEA-0183 ou o do próprio fabricante, cuja taxa de transmissão varia entre bps[7]. Em geral fazem interface com o sistema DP via serial link RS232/RS422 ou mesmo por sinais analógicos (como é o caso dos anemômetros). Fig.21 Teste de predição do GPS e seus limites operacionais (acima) e teste da mediana (abaixo) entre três bússolas. Para que se tenha alta precisão e confiabilidade nos dados de posicionamento, geralmente as sondas DP dispõem de vários sistemas diferentes de referência de posição (Position Monitoring Equipments PMEs), não apenas no caso de eventual falha, mas para comparar fontes diferentes de leituras e assim obter melhor assertividade. O PME mais comum é o DGPS (Differential Global Positioning System), um sistema de posicionamento global via satélites (Navstar ou GLONASS) com correção diferencial fornecida por receptores instalados em uma localização físi- 9

10 ca para aumentar a exatidão[3]. Outro PME amplamente empregado é o HPR (Hydroacoustic Positioning Reference), cujo funcionamento envolve a comunicação em frequências hidro acústicas entre transducers (geradores de pulsos acústicos) instalados na plataforma e um ou mais transponders instalados no leito marinho por ROVs e em posições conhecidas; os transponders respondem às interrogações acústicas do HPR da embarcação e informam a sua posição relativa. Outros tipos de PMEs estão ilustrados na Fig.22[1] Fig.22 Principais tipos de PMEs utilizados em navios DP. IV.3 Configurações Redundantes no Subsistema Controle do DP O Subsistema Controle é o conjunto de soluções integradas de automação da plataforma, mais conhecido como IAS (Integrated Automation Systems), que compreende os hardwares, redes industriais Fieldbuses, e os sistemas inteligentes para gerenciamento de energia[2]. Em termos de hardware, os controladores terão sempre um componente principal e o outro escravo, cujo status será continuamente monitorado e os dados sincronizados entre ambos. Na ocorrência de uma falha no controlador principal, o escravo assumirá o controle sem nenhuma perda de informação. Filosofia similar pode ser observada em todos os componentes instalados na cabine de controle (DPC) como, por exemplo, nos módulos I/O, nas fontes de alimentação, no cabeamento, dentro outros. Os dados dos controladores se comunicam com os computadores das estações de trabalho ou operação e são apresentados em múltiplos supervisórios, como apresentado na Fig.23[6]. Concepção de hardware similar ocorre nos sistemas de gerenciamento de energia (PMS). O objetivo do PMS é garantir que a geração de energia sempre será capaz de suportar a demanda das cargas[5]. Para prevenir um blackout, o PMS tem a habilidade de diminuir ou aumentar a geração dentro dos limites e de realizar o corte das cargas não essenciais para a preservação do Sistema DP. Como parte de todo o Subsistema de Controle, o PMS também fornece a atuação remota, gestão de alarmes e funções para a operação eficiente e segura da planta[5]. A arquitetura das redes duais e independentes LAN (Local Area Network) para comunicação dos controladores com as estações de trabalho é organizada na topologia em estrela, e todos os aspectos de uma rede estão duplicados incluindo o cabeamento, comutadores (switches), adaptadores ethernet, cartões de interface de rede, dentre outros. Os switches e conversores de fibra óptica estão localizados nas cabines de distribuição de rede (NDU), que permitem que no evento de uma falha na rede ou em um componente, não irá afetar a operação do sistema, pois a comunicação irá continuar via uma rede alternativa. Em geral não existem redundâncias nas redes Fieldbuses entre, por exemplo, o controlador e o CCM que aciona um motor, em uma falha deste sistema, um sistema inteiro semelhante a este e em paralelo deverá ser acionado. A Fig.24[6] esquematiza a arquitetura completa do IAS para notação de classe DP3, onde se pode observar além da dupla redundância do Subsistema de Controle, a presença de um sistema backup de emergência protegido contra incêndio e inundações através da antepara A60. Fig.23 Exemplos de redundâncias nas cabines dos controladores e estações do operador supervisório. 10 Fig.24 Arquitetura das Soluções de Automação Integradas ao DP. V CONCLUSÕES A escassez dos poços e o aumento da demanda pelos derivados do petróleo são os agentes geopolíticos que impulsionam a indústria de óleo & gás para exploração em ambientes remotos e em águas cada vez mais profundas. Neste contexto, os Sistemas de Posicionamento Dinâmico de plataformas marítimas se tornaram as tecnologias essenciais para o processo de perfuração, onde a sua indisponibilidade está intrinsecamente relacionada às perdas de receita e altos riscos de segurança operacional para a tripulação. Através do estudo das redundâncias dos Subsistemas de Energia, Controle e Referência, conclui-se que a alocação

11 estratégica de componentes em paralelo permite maior tolerância do sistema às falhas. Sobre o aspecto de regulamentação, satisfatoriamente, a notação de Classe da embarcação está diretamente relacionada à redundância dos subsistemas do DP. A revisão literária mostrou ainda diferentes filosofias de proteção, seletividade, tratamento inteligente de dados de entrada e resposta dinâmica como estratégia de melhoria de precisão e garantia de funcionamento mínimo do Sistema DP mesmo quando a unidade se encontra em estado degradado. A abordagem em Diagrama de Blocos possibilitou a análise aprofundada do modelo de controle do Sistema DP, bem como a identificação dos itens críticos para o seu funcionamento. Este estudo apresentou todas as variáveis de entrada, saída e elementos de controle do modelo dinâmico e que, numa escala de prioridade, são os componentes elementares para a manutenção de posição de uma unidade DP. Numa análise de probabilidade, foi possível verificar que, a medida que se aumenta o número de componentes em paralelo têm-se que a confiabilidade de um sistema crítico torna-se mais efetiva. Desta forma, foi possível vislumbrar em trabalhos futuros, modelos matemáticos a partir das taxas de falha dos componentes do DP, e estimar quantos itens precisariam ser colocados em paralelo para assegurar a confiabilidade requerida do sistema, além de quantificar o risco quando ocorre a retirada de um destes componentes redundantes para execução de manutenção preventiva, por exemplo. Como oportunidade de garantir a máxima disponibilidade da operação de perfuração, espera-se que a Engenharia de Confiabilidade seja o drive para as decisões estratégias de manutenção, concepção de projetos e políticas de sobressalentes do Sistema de Posicionamento Dinâmico de sondas offshore. VI REFERÊNCIAS BIBLIOGRÁFICAS [1] INTERNATIONAL MARINE CONTRACTORS AS- SOCIATION-IMCA Introduction to Dynamic Positioning. Londres: IMCA, [2] IMCAM206 A Guide to DP Electrical Power and Control Systems. Londres: IMCA, [3] IMCAM103 Rev1.PT Orientações para Projeto e Operação de Embarcações com Posicionamento Dinâmico. Londres: IMCA, [4] KONGSBERG Dynamic Positioning (DP) Book Reference I. Rio de Janeiro: K-Pos Maintenance Course, [5] IMCAM225 Example Redundancy Concept and Annual DP Trials for a DP Class 3 Construction Vessel. Londres: IMCA, [6] KONGSBERG Product Description K-Pos Dynamic Positioning System. Oslo: Kongsberg Maritime AS, Fevereiro [7] GE POWER CONVERSION Dynamic Positioning System Maintenance Course Notes. Houston: [8] LEITE, Paulo C.; LEITE, Roberto T.; PEREIRA, Douglas R.; CONCER, Gustavo M. Módulo de Controle Automático do Pitch e do Azimuth de Thrusters utilizados em Sistema de Posicionamento Dinâmico. Rio de Janeiro: IEEE PCIC BR, [9] THOMAS, José Eduardo. Fundamentos de Engenharia de Petróleo. 2.ed. Rio de Janeiro: Interciência, [10] PEREIRA, Mário Jorge. Engenharia de Manutenção Teoria e Prática. 2.ed. Rio de Janeiro: Ciência Moderna, [11] RELIASOFT System Analysis Reference: Reliability, Availability & Optimization. Tucson: ReliaSoft Corporation, [12] EMÍLIO, João. Regulamentos e Direito Marítimo: Classificação de Navios. Notas de Aula. Lisboa: Escola Superior de Náutica Infante D. Henrique, [13] PETROBRAS Alerta Técnico Blackout Total com Dificuldade de Recuperação. Macaé: SOECS-DPPS, Emitido em 30 de Dezembro de [14] Drilling Contractor. Disponível na Internet: URL: [15] MSC/Circ.645 Guidelines for Vessels with Dynamic Positioning Systems. Londres: IMO - International Maritime Organization, BIOGRAFIA: Thales Moran Engenheiro Eletricista pela Universidade Federal de Itajubá (2011) e Pós Graduando em Automação Industrial pelo Inatel ( ). Desde 2014 atua como Engenheiro de Manutenção & Confiabilidade pela Odebrecht Óleo e Gás em Macaé/RJ. Anteriormente atuou em campo pela Ensco plc ( ), Siemens (2011) e Alcoa Alumínio (2010). Júlio Arlindo Pinto Azevedo Engenheiro Eletricista (Inatel, 1994) e Mestre em Engenharia Elétrica (UNIFEI, 2001). Experiência em campo, na docência e engenharia de produtos para automação industrial. Atua como Professor e Coordenador da Comissão de Estudos do COBEI na criação de normas ABNT NBR IEC para equipamentos em áreas classificadas. 11