GOP/022 21 a 26 de Outubro de 2001 Campinas - São Paulo - Brasil GRUPO IX OPERAÇÃO DE SISTEMAS ELÉTRICOS IMPACTO DOS SISTEMAS DIGITAIS NA REDUÇÃO DE FALHAS HUMANAS NA OPERAÇÃO DA CENTRAL HIDRELÉTRICA DE ITAIPU Guilherme de Oliveira Barata * ITAIPU BINACIONAL Luiz Alberto Borges ITAIPU BINACIONAL RESUMO O objetivo deste artigo é mostrar a influência da utilização dos sistemas digitais, na redução dos erros humanos oriundos da operação da Central Hidrelétrica de Itaipu, através da análise das ocorrências registradas até esta data e à luz dos requisitos técnicos e de funcionalidade do sistema de supervisão e controle digital. PALAVRAS-CHAVE: Erro Humano, Falha Humana, Operação de Centrais, Sistemas Digitais. 1.0 INTRODUÇÃO Desde o início de sua operação, em maio de 1984, a Itaipu Binacional tem mantido um rígido controle da ocorrência de erros humanos. Isto foi feito não pelo temor de uma incidência excepcional deste tipo de falha e sim pelo reconhecimento que o porte da Usina, 18 Unidades de 700 MW cada, responsável por 25% do abastecimento do Brasil e 95% do Paraguai, exigia cuidados excepcionais. Destacava-se também, a preocupação com os possíveis impactos associados à característica binacional da empresa, tais como a utilização de dois idiomas, heterogeneidade da equipe e cadeia de comando, dentre outros. Durante todos esses anos, a Central Hidrelétrica de Itaipu operou com um sistema de controle analógico. Atualmente, entretanto, está em desenvolvimento e implantação um sistema de supervisão e controle digital. A Operação, por mais de 16 anos, com um sistema convencional, o controle caso a caso da incidência de falhas humanas e a definição, já disponível, das características e requisitos do sistema digital ora em implantação, permite uma avaliação realista do impacto dos sistemas digitais na redução de falhas humanas, ou seja, torna-se possível quantificar os benefícios trazidos por um sistema digital nesse aspecto, complementando, assim, as avaliações feitas de forma apenas conceitual e, portanto, subjetivas. 2.0 ERROS HUMANOS Se há algo tipicamente humano, é o erro. Detestado pela maioria das empresas, ele é até desejado em algumas delas, pois, neste caso, o erro é encarado como uma propriedade que acresce o nosso haver. Em vez de chorar sobre ele, convém apressar-se em aproveitá-lo. Prova disso são alguns erros históricos e memoráveis: Augusto Lumière, em 1895, já dizia sobre o cinema: Meu invento pode ser explorado como uma curiosidade científica por algum tempo, mas não tem futuro comercial. Em 1900, Erasmus Wilson fez sua previsão: Depois que a Exposição de Paris chegar ao fim, ninguém mais vai ouvir falar desta tal de luz elétrica. Thomas Alva Edson detém um recorde de quase dez mil fracassos antes de chegar à lâmpada elétrica e respondia a seus críticos: não foi mais uma fracasso; na verdade descobri mais uma maneira de não inventar a lâmpada elétrica. A revista Nature sentenciou, em uma edição de 1936: O foguete é uma idéia essencialmente impraticável. Para a revista Variety, até julho próximo, o rock n roll estará fora de moda. O ano era 1956. Seis anos depois, a gravadora Decca recusava os trabalhos de um quarteto de Liverpool: Não gostamos deles. Além do mais, conjuntos com guitarras estão saindo de moda. E mais recentemente, um funcionário da 3M desenvolveu uma cola que não aderia Guilherme de Oliveira Barata Fone 45 520-2555 Fax 45 520-2706 barata@itaipu.gov.br Av Tancredo Neves, 6731 Foz do Iguaçu PR 85866-900
2 perfeitamente: nasceu o Post-it, campeão de vendas da empresa. O homem é, por natureza, sujeito a erros, restando somente procurar identificar estas potencialidades e tentar reduzir seus efeitos. Uma definição para erro humano mais adequada e aplicável à operação de sistemas elétricos pode ser: Erro humano é todo desvio de padrão de desempenho humano anteriormente estabelecido, exigido, ou esperado, que resulta em uma demora de tempo desnecessária e indesejável, em dificuldade, problema, incidente, desempenho irregular ou deficiência. As duas figuras anteriores mostram uma curiosidade: para se obter um menor risco de falha humana associado a um maior desempenho humano, não é conveniente que a pessoa esteja 100% relaxada. Um pequeno nível de stress e de atenção moderada é sempre bem-vinda. A Figura 3 mostra três tipos de erros, que podem ocorrer em situações de rotina. 3.0 FALHAS EM ROTINA E EMERGÊNCIA Muitas das falhas humanas que ocorrem poderiam ter seus efeitos reduzidos se, inicialmente, as pessoas responsáveis pelo projeto dos sistemas levassem em conta que existe uma variabilidade natural no ser humano e que o meio ambiente influi na probabilidade de falha. A performance das pessoas varia de hora para hora e de um dia para outro. Depende também do nível de stress a que está submetida. Estudos comprovam que o nível de stress tem grande influência no crescimento do risco referente ao erro humano, conforme mostra a Figura 1. Risco 10 8 6 4 2 1 baixo moderado alto muito alto Operador Inexperiente Operador Experiente Nível de stress Randômico Sistemático Esporádico FIGURA 3 - Erros em situação de rotina Os erros que ocorrem de forma randômica são dispersos em torno de um valor correto, mas com variação grande com relação a ele. Os erros sistemáticos ocorrem, por exemplo, por falha de modo comum, como calibrar vários instrumentos com um padrão errado ou executar várias manobras baseadas numa instrução errada ou mal feita. Os erros esporádicos são causados por mudanças bruscas. Por exemplo, quando algo inesperado deve ser feito, ou introduzido uma mudança na sequência de uma tarefa. Situações extremas, de baixo ou elevado grau de stress podem causar desatenção ou confusão, respectivamente, e ocasionar falhas deste tipo. Durante situações de emergência, a probabilidade de erro aumenta, conforme Figura 4. 100 90 Probabilidade de falha % FIGURA 1 - Nível de stress x Aumento do risco O desempenho humano é igualmente afetado pelo nível de stress conforme Figura 2. 10 1 5 20 Tempo para diagnóstico 30 minutos Desempenho humano Nível de stress FIGURA 2 - Nível de stress x Desempenho humano FIGURA 4 - Probabilidade de falha x Tempo diagnóstico Nestes momentos, os chamados eventos raros, muitas vezes as pessoas não acreditam que estejam vivendo a situação. É de quase 100%, por exemplo, a probabilidade de alguém errar (Alves, 1997, p.47), quando o tempo disponível para um diagnóstico é de 1 minuto e a pessoa sabe que se sua ação não tiver sucesso haverá uma grande perda. Esta probabilidade é de cerca de 90% em 5 minutos, 10% em 20 minutos e somente 1% após meia hora.
3 Existem outras situações onde a capabilidade humana é variável. A eficácia na detecção, por exemplo é praticamente nula quando a rotina de procurar algo é diária. É devido a esse fato que sempre os chefes que circulam no chão de fábrica, uma vez por semana, enxergam aquilo que as pessoas, que normalmente estão no local, não percebem. Inspeções de segurança que são feitas diariamente não são eficazes. O fenômeno da perda de vigilância ocorre, por exemplo, quando um operador precisa ficar vigiando por longo tempo um determinado instrumento ou ponto de observação estático. A probabilidade de que ele observe algo diferente, após duas horas, é abaixo de 10% (Alves, 1997, p.48). 4.0 ENFOQUE SOBRE AS FALHAS HUMANAS Na visão da Operação da Central Hidrelétrica de Itaipu, nem todas as falhas humanas apresentam o mesmo impacto na geração e transmissão de energia elétrica e tampouco provocam os mesmos danos para a empresa. Além do mais, cada falha humana apresenta uma causa diferente das demais, de maneira que, para cada falha humana registrada, é feita uma análise baseada em três enfoques diferentes: Enfoque com vistas ao impacto da falha sobre a carga afetada e consequentemente sobre produção de energia; Enfoque com vistas ao impacto da falha sobre os danos causados internamente à empresa; Enfoque com relação à classificação da falha quanto à sua causa. Para cada um destes enfoques, dividimos os impactos em quatro níveis diferentes, conforme itens a seguir. 4.1 Impacto sobre a carga afetada Nível 1 Sem consequências. Falhas que não produzem danos materiais nem pessoais e tampouco provocam desligamentos acidentais de equipamentos. Nível 2 Falhas com carga afetada, porém sem desligamentos. Nível 3 Falhas com desligamento acidental, porém sem carga afetada. Nível 4 Falhas com desligamento acidental e com carga afetada. 4.2 Impacto sobre os danos causados O objetivo é classificar as falhas conforme os danos causados internamente à empresa, sem considerar a produção de energia, cujo impacto será abordado conforme item anterior. Nível 1 Nenhum dano. Nível 2 Danos materiais. Nível 3 Danos pessoais. Nível 4 Danos materiais e pessoais. 4.3 Classificação quanto ao tipo de falha Quanto ao tipo de falha, adotamos a classificação a seguir (Reason, 1990). Nível 1 Nível 2 Nível 3 Nível 4 Lapso. Representa a falha em produzir uma ação através do esquecimento de uma etapa. Falhas relacionadas à falta de atenção. Distração. Representa a ocorrência de uma ação alternativa e incorreta, acidentalmente produzida. Falhas de memória. Engano. Representa o erro de interpretação relacionado à área do conhecimento. O indivíduo planejou exatamente aquela ação, acreditando ser a correta. Violação. Representa a não observância de norma préexistente, embora com o objetivo de agilizar ou apressar o serviço e jamais com intenção. A violação intencional é sabotagem, o que não é objeto do nosso estudo. 5.0 FALHAS HUMANAS NA OPERAÇÃO DA CENTRAL HIDRELÉTRICA DE ITAIPU NO PERÍODO DE 1984 2000 A seguir, na Tabela 1, são apresentados os dados relativos às falhas humanas ocorridas na operação da Central Hidrelétrica de Itaipu, no período de 1984 a 2000. TABELA 1 - Falhas Humanas ANO FALHAS CARGA AFETADA (MW) 1984 1 0 1985 4 2.270 1986 2 1.830 1987 14 8.860 1988 4 1.860 1989 6 980 1990 6 1.200 1991 10 4.630 1992 3 6.630 1993 4 3.300 1994 1 0 1995 4 860 1996 1 0 1997 1 667 1998 0 0 1999 0 0 2000 1 100 Total 62 33.187
4 O Gráfico 1 mostra estas falhas ao longo do tempo: GRAFICO 1 14 12 10 8 6 4 2 0 1984 Através destes dados constatamos que a média de falhas humanas por ano de operação é de 3,6 FALHAS HUMANAS / ANO. 1986 1988 1990 1992 1994 1996 1998 2000 Com a entrada em operação da última Unidade Geradora em 1991, e com a consequente e significativa redução de atividades de montagem e comissionamento, podemos dizer que somente a partir do ano de 1992 a operação da Central Hidrelétrica de Itaipu passou a ser executada em regime permanente. Considerando o exposto, este índice passaria a 1,7 FALHAS HUMANAS / ANO, sendo que nos últimos três anos foi registrada somente uma falha humana na operação da Central Hidrelétrica de Itaipu. Com relação à carga afetada constatamos também que a média de MW rejeitado por falha da operação é de 535 MW / FALHA HUMANA. 5.1 Impato das falhas sobre a carga afetada A carga afetada é um indicativo da consequência da falha humana para o cliente e a Tabela 2 mostra a distribuição das falhas dentro dos níveis de impacto causado, conforme conceitos do item 4.1. Através do Gráfico 2, constatamos que 57% das falhas humanas da operação (35 falhas), provocaram desligamentos acidentais com carga afetada. 27% das falhas não tiveram nenhuma consequência do ponto de vista de carga afetada. GRAFICO 2 c/desl c/carga 57% s/conseq 27% s/desl s/carga 11% s/desl c/carga 5% TABELA 2 - Impacto sobre a carga afetada ANO FALHAS NÍVELCARGA AFETADA 1 2 3 4 1984 1 0 0 1 0 1985 4 0 0 0 4 1986 2 0 0 0 2 1987 14 3 0 3 8 1988 4 1 0 0 3 1989 6 2 0 2 2 1990 6 4 0 0 2 1991 10 2 1 1 6 1992 3 0 0 0 3 1993 4 1 1 0 2 1994 1 1 0 0 0 1995 4 2 0 0 2 1996 1 1 0 0 0 1997 1 0 0 0 1 1998 0 0 0 0 0 1999 0 0 0 0 0 2000 1 0 1 0 0 Total 62 17 3 7 5.2 Danos causados internamente à empresa As falhas humanas, mesmo não provocando impacto sobre a produção de energia, podem trazer imensas consequências para as pessoas envolvidas, além de prejuízo financeiro para as empresas. A Tabela 3 mostra a distribuição das falhas dentro dos quatro níveis de danos propostos. TABELA 3 - Impacto sobre danos causados ANO NÍVEL DANOS CAUSADOS FALHAS 1 2 3 4 1984 1 1 0 0 0 1985 4 4 0 0 0 1986 2 2 0 0 0 1987 14 10 4 0 0 1988 4 4 0 0 0 1989 6 5 1 0 0 1990 6 5 1 0 0 1991 10 10 0 0 0 1992 3 3 0 0 0 1993 4 4 0 0 0 1994 1 1 0 0 0 1995 4 4 0 0 0 1996 1 1 0 0 0 1997 1 1 0 0 0 1998 0 0 0 0 0 1999 0 0 0 0 0 2000 1 1 0 0 0 Total 62 56 6 0 0 35
5 Felizmente, neste aspecto particular, a Itaipu Binancional é privilegiada e o Gráfico 3 mostra que jamais ocorreu uma falha humana com danos pessoais na operação da Central Hidrelétrica. Somente em aproximadamente 10% dos casos, seis falhas em sessenta e duas, ocorreram danos materias para a empresa e assim mesmo estes danos foram de pequena monta. GRAFICO 4 violação 27% lapso 10% distração 32% GRAFICO 3 danos materiais 10% engano 31% s/conseq 90% 5.3 Classificação das falhas humanas A Tabela 4 mostra a classificação das 62 falhas humanas, segundo os conceitos apresentados no item 4.3, divididas entre lapso (1), distração (2), engano (3) e violação (4). TABELA 4 - Tipos de falhas humanas ANO FALHAS TIPOS DE FALHAS 1 2 3 4 1984 1 0 0 1 0 1985 4 0 2 2 0 1986 2 0 1 1 0 1987 14 2 4 4 4 1988 4 2 1 0 1 1989 6 1 0 1 4 1990 6 1 1 3 1 1991 10 0 3 4 3 1992 3 0 3 0 0 1993 4 0 2 0 2 1994 1 0 1 0 0 1995 4 0 0 3 1 1996 1 0 1 0 0 1997 1 0 0 0 1 1998 0 0 0 0 0 1999 0 0 0 0 0 2000 1 0 1 0 0 Total 62 6 20 19 17 O Gráfico 4 mostra a proporção entre os quatro tipos apresentados, indicando uma certa distribuição randômica neste conceito, com uma pequena diminuição nas falhas por lapso. 6.0 REDUÇÃO DIRETA DOS ERROS HUMANOS EM FUNÇÃO DA INSTALAÇÃO DO SISTEMA SCADA A análise da atuação do sistema digital na redução do erro humano foi, conceitualmente, baseada em algumas premissas, dentre elas: todos os comandos disponíveis no sistema digital tem prioridade de utilização durante as manobras de rotina na Central Hidrelétrica; os comandos equivocados foram evitados durante o processo de seleção e confirmação (select before operate); todos os alarmes foram devidamente analisados antes de serem rearmados. No Gráfico 5, dentro deste conceito, é mostrado o percentual de falhas humanas que poderiam ser evitadas com o sistema SCADA, resultado da análise caso a caso de cada falha, à luz da funcionalidade e dos requisitos técnicos do sistema digital. GRAFICO 5 - Redução de falhas Não 61% Sim 39% O sistema digital de supervisão e controle poderia ter evitado 39% das falhas humanas cometidas na operação da Central Hidrelétrica de Itaipu, evitando impacto no faturamento e danos materiais à Empresa.
6 6.1 Redução das falhas e impacto causado à carga afetada Do ponto de vista de carga afetada, através da Tabela 5 constatamos que 29% das falhas sem consequências poderiam ter sido evitadas pelo SCADA. Todas as falhas com carga afetada porém sem desligamentos, poderiam ter sido evitadas. Dos 7 desligamentos acidentais sem carga afetada, somente 1 poderia ter sido evitado. Finalmente, 43% dos desligamentos acidentais com carga afetada poderiam ter sido evitados pelo sistema SCADA. TABELA 5 - Falhas evitadas x Carga afetada NIVEL CARGA AFETADA Sem consequências S/deslig c/carga afetada Desligamento s/carga afetada Desligamento c/carga afetada Total SCADA EVITARIA SIM NÃO 5 12 3 0 1 6 15 20 24 38 TOTAL 17 3 7 35 62 TABELA 7 - Falhas evitadas x Tipos de falhas CLASSIFICAÇÃO SCADA EVITARIA DAS FALHAS SIM NÃO TOTAL Lapso 1 5 6 Distração 12 8 20 Engano 8 11 19 Violação 3 14 17 Total 24 38 62 7.0 CONCLUSÃO Através da análise dos dados apresentados, concluímos que a instalação de um sistema digital de controle e aquisição de dados, além de agilizar as ações e melhorar a qualidade e a confiabilidade da operação de plantas hidrelétricas, contribui também para a redução de falhas humanas inerentes a estas atividades, numa proporção de aproximadamente 40%, evitando-se, com isto, desligamentos acidentais com carga afetada e a consequente redução na produção de energia e faturamento das empresas. 6.2 Redução das falhas e danos causados Do ponto de vista de danos causados internamente à empresa, excluindo-se os danos relativos à carga afetada, a Tabela 6 mostra que 41% das falhas sem danos poderiam ter sido evitadas pelo sistema SCADA. Somente uma falha dentre seis, com danos materiais, poderia ter sido evitada pelo SCADA. Nunca houve nenhuma falha humana com danos pessoais. TABELA 6 - Falhas evitadas x Danos causados NIVEL DANOS SCADA EVITARIA CAUSADOS SIM NÃO TOTAL Sem danos 23 33 56 Danos materiais 1 5 6 Danos pessoais 0 0 0 Mat e Pessoais 0 0 0 Total 24 38 62 6.3 Redução das falhas e tipo de falha Pela Tabela 7 constatamos que somente uma em cada seis falhas por lapso seriam evitadas pelo SCADA. Entretanto, 60% das falhas ocasionadas por distração do empregado poderiam ter sido evitadas, enquanto que 58% das falhas cometidas por engano não poderiam ter sido evitadas. As falhas por violação de regras ou normas pré-estabelecidas seriam evitadas na proporção de 18%. 8.0 BIBLIOGRAFIA (1) KLETZ, Trevor A. O que houve de errado. Makron Books, 1993. (2) REASON, J. Human error. Cambridge University Press. Cambridge, 1990. (3) KANTOWITZ, Barry H.; SORKIN, Roberto D. Human factors: understanding people-system relationship. John Wiley & Sons, 1983. (4) PEDRASSANI, Edson L. Método para registro, análise e controle de falhas humanas na manutenção de centrais hidrelétricas. Itaipu Binacional, 2000. (5) ALVES, José L. L. As falhas humanas; Revista Proteção, maio/1997. (6) LEFEVRE, Marcos A. P.; SILVEIRA, José Ricardo da. Blackouts: causas e reflexos sobre a sociedade. Itaipu Binacional, 1997. (7) REGIS, Rachel. Que mancada!; Revista Melhor, junho/2000. (8) NASCIMENTO, José P. do; BALIZA, José A..; MARTINS, Marcelo B. Falhas humanas na operação da Itaipu Binacional, 1995. (9) ITAIPU BINACIONAL. Registros de Comunicação de Ocorrência Técnica.