5 Lições aprendidas de segurança em gerenciamento de alarmes com o incidente de Milford Haven

Conheça as principais causas do acidente, descubra como poderia ter sido evitado e entenda as principais lições do incidente que revolucionou a segurança em gerenciamento de alarmes

Uma das melhores formas de aprender é errando, mas pode ser melhor se for a partir dos erros dos outros. Por isso, pretendemos compartilhar as lições aprendidas de segurança em gerenciamento de alarmes do acidente da refinaria de Milford Haven.

Esse acidente que envolveu segurança em gerenciamento de alarmes teve prejuízos aproximados de 48 milhões de euros na reconstrução da refinaria. Por sorte, o acidente ocorreu em um domingo e apenas 26 pessoas ficaram levemente feridas.

Além disso, teve uma perda imensurável de produção enquanto a refinaria ficou parada. A explosão ainda conseguiu atingir a cidade que estava a 3km de distância, quebrando alguns vidros de lojas.

Isso aconteceu 1994, quando a refinaria da Texaco em Milford Haven explodiu, mas como em qualquer acidente, até a explosão houve uma sequência de eventos.

Nesse acidente destacam-se então os diversos problemas relacionados a ineficiência do sistema de alarmes pela falta de um gerenciamento de alarmes.

Ao sair o relatório de investigação do acidente, percebeu-se que os problemas relacionados a falta de gerenciamento de alarmes foram decisivos para a explosão. Futuramente, a comunidade percebeu que esses problemas eram comuns em várias indústrias.

Foi a partir disso que as grandes indústrias começaram a se preocupar com a prática de gerenciamento de alarmes. Hoje, já temos boas práticas e normas bem definidas através da EEMUA 191 e ISA 18.2.

Portanto, aqui neste artigo nós vamos apresentar ainda:

• Como ocorreu o incidente;
• Principais causas e falhas responsáveis;
• Lições aprendidas sobre segurança em gerenciamento de alarmes.

Como ocorreu o incidente?

Tudo começou quando raio atingiu uma unidade industrial, mas ele não foi a causa principal da explosão. O raio desencadeou uma combinação de falhas em gerenciamento, equipamentos e sistemas de controle. Tudo isso ocorreu durante as próximas cinco horas até o momento da explosão.

O raio atingiu a unidade de destilação bruta que alimentava as unidades da refinaria de petróleo Pembroke Cracking Company (PCC) e causou um incêndio. Consequentemente, a unidade de destilação bruta foi desativada e causou uma série de perturbações na planta.

A explosão foi causada pelo fluido inflamável de hidrocarbonetos que era bombeado continuamente em um reservatório. Porém, devido a um mau funcionamento da válvula, a saída do fluido estava fechada enquanto o sistema de controle indicava aberto.

O único meio de escapar desse fluido, já que o reservatório estava cheio, era através do sistema de alívio de pressão e depois ser alinhado para o flare para ser queimado.  Por sua vez, o sistema não foi ligado e devido ao avanço de líquido ocorreu um vazamento na tubulação de saída.

Um total de 20 toneladas desse fluido foi então liberado e acabou encontrando uma fonte de ignição em 110 metros que causou a explosão.

Após isso, o instituto HSE (Health and Safety Executive) investigou o acidente e concluiu que houveram duas causas principais:

• Divergência entre posição da válvula reportada pelo sistema de supervisão e sua posição real;
• O painel gráfico de supervisão não ofereceu a visão geral necessária do processo. O excesso do número de alarmes em situação de emergência reduziu a efetividade de resposta do operador.

É possível concluir então que um sistema de alarmes efetivo poderia ter mudado a história completamente. O sistema existente falhou em identificar diversas falhas que ocorreram durante cinco horas após atingimento do raio por estar sobrecarregado em estado de distúrbio.

Principais causas e falhas encontradas

Sabemos que vários acontecimentos foram responsáveis pela explosão final, mas vamos enfatizar mais a segurança em gerenciamento de alarmes. Portanto, vamos discutir agora as principais falhas encontradas no relatório de investigação.

1- Altíssima taxa de alarmes

Foi percebido que com a forma como o sistema de alarmes estava configurado no dia da explosão, as chances dos operadores restaurarem o controle por intervenção manual diminuía quanto mais a condição de distúrbio persistia.

Isso aconteceu porque os operadores foram progressivamente sobrecarregados com uma crescente sinalização de alarmes. Os registros dos alarmes indicavam que os operadores recebiam novas sinalizações de alarmes numa taxa de um a cada 2 a 3 segundos.

Essa frequência de alarmes resultou então no cancelamento desses alarmes por parte dos operadores, sem necessariamente entender o significado deles. A nível de comparação, a ISA 18.2 indica que o máximo permitido são de 2 alarmes a cada 10 minutos por operador.

O relatório apresenta que nos 10 minutos anteriores a explosão, dois operadores precisaram reconhecer e tomar a ação apropriada em 275 alarmes.

2- Priorização de alarmes deficiente

Foi possível observar no relatório de investigação que a priorização de alarmes da refinaria era deficiente. Dos alarmes configurados no DCS, 87% era de prioridade alta e 13% de prioridade baixa.

A nível de comparação a ISA 18.2 classifica como ideal dividir a prioridade em quatro categorias. A proporção é 80% como prioridade baixa, 15% média, 5% alta e 1% de prioridade crítica.

Em uma situação como essa encontrada em Milford Haven onde você tem uma avalanche de alarmes e 87% dos seus alarmes são considerados prioridade alta, o operador fica completamente confuso e não sabe qual alarme dar a devida importância.

Não existia nenhuma filosofia de alarmes que determinasse qual a prioridade de um alarme, bem como não existia um controle sobre o número de alarmes no sistema.

Lições aprendidas sobre segurança em gerenciamento de alarmes

Depois de observar todas essas falhas encontradas sobre segurança em gerenciamento de alarmes na refinaria da texaco em Milford Haven, qual foi o legado deste acidente?

Vamos agora tirar as lições aprendidas e sugerir algumas recomendações a fim de evitar novas ocorrências desse tipo.

Um dos principais problemas encontrados foi que o sistema de alarmes estava muito sobrecarregado. Sendo assim, avisos de problemas cruciais eram perdidos em meio a abundância de alarmes não-relevantes.

O outro problema, que está relacionado com o primeiro, foi a priorização de alarmes. No sistema de controle, apenas um alarme era de prioridade emergencial. O resto dos alarmes eram 87% de prioridade alta e 13% prioridade baixa.

Com alarmes sinalizando a cada três segundos, os operadores não conseguiam reagir apropriadamente para cada um. Nesse contexto, conseguimos tirar as seguintes lições:

1- Cada alarme precisa ter um propósito bem definido

Um dos pontos mais críticos diagnosticados foi a alta taxa de alarme encontrada no período de distúrbio da planta. Sendo muito desses alarmes não-relevantes e que estavam apenas confundindo o operador.

Para evitar que alarmes importantes não passem despercebidos, é necessário garantir que todos os alarmes cumprem de fato a definição de um alarme industrial.

Além disso, outra maneira de diminuir o número de alarmes não-relevantes é certificar-se de ter uma filosofia de alarmes bem definida e realizar o processo de racionalização de alarmes.

2- Categorizar os diferentes alarmes

Uma das falhas encontradas de segurança em gerenciamento de alarmes em Milford Haven foi que os alarmes apresentados no painel de controle não eram diferenciados quanto ao tipo.

É recomendado então que, na configuração dos alarmes, os alarmes críticos de segurança sejam distinguidos dos outros alarmes operacionais. Dessa forma, facilita o rápido reconhecimento do operador e mais agilidade nas ações prioritárias, como segurança.

Os alarmes precisam ser divididos em diferentes categorias. Por exemplo: alarme de segurança, falha no equipamento, condição anormal do processo ou qualidade do produto. Preferencialmente, o número de alarmes críticos de segurança precisam ser mínimos.

3- Ter uma regra de priorização bem definida

Além de categorizar os alarmes, é essencial ter uma regra de priorização bem definida. Isso facilita a identificação dos alarmes mais críticos em meio a uma abundância de alarmes não-relevantes.

Você pode ler mais sobre como priorizar seus alarmes corretamente neste artigo.

4- Limitar o número de alarmes por operador

Foi observado uma grande quantidade de alarmes registrados no sistema de controle que superava em muito a capacidade que um operador consegue suportar.

O número de alarmes precisa ser limitado para um número que o operador consiga monitorar efetivamente. Não adianta sobrecarregar a quantidade de alarmes se o operador reconhece, mas não possui tempo para realizar a ação corretiva.

5- Possuir um sistema automático de segurança

Por fim, a segurança máxima da planta não pode depender da resposta de um operador. É necessário também garantir o bom desempenho do sistema instrumentado de segurança para que possa intervir em casos onde a operação não conseguiu contornar o distúrbio a tempo.

Por isso, é necessário ter um sistema de parada automática para garantir a segurança da planta.

Conclusão

Esperamos com esse artigo que tenha ficado claro como a segurança e gerenciamento de alarmes estão totalmente interligados. Ter um processo de gerenciamento de alarmes bem definido pode trazer então um grande impacto para sua indústria.

Aqui nós vimos como uma sequência de eventos em conjunto com uma alta taxa de alarmes e uma priorização deficiente foi capaz de causar danos na ordem de milhões de euros para uma refinaria da Texaco.

É importante lembrar que apesar desse artigo ter focado na questão da segurança, a prática de gerenciamento de alarmes não só previne acidentes, como também aumenta a eficiência operacional da planta e reduz perdas financeiras por condições anormais do processo.

Como sempre gostamos de compartilhar bons conteúdos para os nossos leitores, também apresentamos as lições aprendidas e a resolução desses problemas. Se ainda ficou alguma dúvida sobre:

• Ter um alarme de propósito bem definido;
• Categorizar os diferentes alarmes;
• Ter uma regra de priorização bem definida;
• Limitar o número de alarmes por operador;
• Possuir um sistema automático de segurança.

Para se aprofundar ainda mais em gerenciamento de alarmes, preparamos um guia completo para você. Baixe então o nosso ebook gratuito O Guia Completo do Gerenciamento de Alarmes.

Pode entrar em contato comigo pelo matheus.romano@logiquesistemas.com.br. Fico completamente disponível para tirar qualquer dúvida e auxiliar a resolver esses problemas na sua indústria.

Se você acredita que esse conteúdo sobre segurança em gerenciamento de alarmes seria interessante para algum amigo, compartilhe com ele!