ads:
Software para Avalia¸c˜ao de Confiabilidade de
Sistemas Instrumentados de Seguran¸ca
Henrique Cunha Barroso
Disserta¸c˜ao de Mestrado submetida `a Co ordena¸c˜ao do Programa de
P´os-Gradua¸c˜ao em Engenharia El´etrica da Universidade Federal de
Campina Grande - Campus de Campina Grande como parte dos
requisitos necess´arios para a obten¸c˜ao do grau de Mestre em Ciˆencias
no Dom´ınio da Engenharia El´etrica.
´
Area de Concentra¸c˜ao: Instrumenta¸c˜ao Eletrˆonica e Controle
P´ericles Rezende Barros, PhD.
Orientador
Campina Grande, Para´ıba, Brasil
c
Henrique Cunha Barroso, Mar¸co de 2009
ads:
Livros Grátis
http://www.livrosgratis.com.br
Milhares de livros grátis para download.
Software para Avalia¸c˜ao de Confiabilidade de
Sistemas Instrumentados de Seguran¸ca
Henrique Cunha Barroso
Disserta¸c˜ao de Mestrado apresentada em Mar¸co de 2009
P´ericles Rezende Barros, PhD.
Orientador
Jos´e S´ergio da Rocha Neto, Dsc., UFCG
Componente da Banca
Benemar Alencar de Souza, Dsc., UFCG
Componente da Banca
Campina Grande, Para´ıba, Brasil, Mar¸co de 2009
i
ads:
Dedicat´oria
Aos meus pais pela dedica¸c˜ao e pelo apoio incondicional em todos os momentos
de minha forma¸c˜ao.
iii
Agradecimentos
Agrade¸co aos meus pais Arnaldo e Vandete e aos meus irm˜aos Alexandre e Ro-
drigo por sempre acreditarem e investirem em mim e por compreenderem a minha
ausˆencia durante a realiza¸c˜ao deste trabalho. Agrade¸co em especial a L´ıvia Bandeira
pelo carinho, dedica¸c˜ao e pelo apoio nos momentos mais dif´ıceis.
Agrade¸co ao meu orientador P´ericles Rezende Barros pelos ensinamentos, amizade
e apoio durante o desenvolvimento deste trabalho. Por toda confian¸ca depositada
e constante incentivo ao meu desenvolvimento acadˆemico e profissional meu sincero
agradecimento.
Agrade¸co aos engenheiros Marcelo Lima e M´ario Campos do CENPES / Petro-
bras, pelas valiosas contribui¸c˜oes para o desenvolvimento deste trabalho.
Agrade¸co aos amigos George Acioli, Aretho Barbosa, Jo˜ao Batista, Marcus
Berger, Airam Sausen, Alfranque Amaral e tantos outros com os quais tive o prazer
de conviver todo este tempo.
Agrade¸co aos professores Jos´e S´ergio e Benemar Alencar pela participa¸c˜ao na
banca examinadora deste trabalho e aos grandes mestres que contribu´ıram com
minha forma¸c˜ao acadˆemica.
Agrade¸co aos funcion´arios do Departamento de Engenharia El´etrica, em especial
a Adail, Rosilda,
ˆ
Angela e Suenia, por toda paciˆencia e apoio ao longo de todo esse
tempo.
Finalmente, agrade¸co ao Conselho Nacional de Desenvolvimento Cient´ıfico e Tec-
nol´ogico (CNPQ) pelo apoio financeiro que viabilizou a realiza¸c˜ao deste trabalho.
iv
Resumo
Especificar e projetar adequadamente um Sistema Instrumentado de Seguran¸ca
para uma unidade industrial ´e uma tarefa complexa e extensa. A an´alise dos efeitos
ocasionados por eventuais falhas no processo, bem como a utiliza¸c˜ao de t´ecnicas
quantitativas para avalia¸c˜ao de seguran¸ca e confiabilidade permite a obten¸c˜ao de
um maior refinamento das medidas de prote¸c˜ao a serem adotadas para reduzir os
riscos. O software apresentado foi desenvolvido para a avalia¸c˜ao de confiabilidade
de Sistemas Instrumentados de Seguran¸ca. Ele ´e baseado no m´etodo de an´alise
de Markov e utiliza um conjunto de modelos desenvolvidos para a representa¸c˜ao
de diversas configura¸c˜oes redundantes e l´ogicas de seguran¸ca distintas. O uso do
software resulta na redu¸c˜ao do tempo despendido na avalia¸c˜ao de projetos de SIS.
v
Abstract
To properly specify and design a Safety Instrumented System for a plant is a
complex and extensive task. The analysis of the effects caused by possible process
failures, as well as the use of quantitative techniques for assessing reliability and se-
curity allows one to obtain a higher refinement of protective measures to be adopted
to reduce risks. The software tool presented was developed to evaluate the reliabil-
ity and availability of Safety Instrumented Systems. The software is based on the
Markov analysis method. It also uses a set of models developed for the representa-
tion of various redundant configurations and different security logics. The use of the
software results in the reduction of the time spent in the evaluation process of SIS
projects.
vi
Sum´ario
1 Introdu¸c˜ao 2
1.1 Contexto . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2
1.2 Revis˜ao Bibliogr´afica . . . . . . . . . . . . . . . . . . . . . . . . . . . 3
1.3 Organiza¸c˜ao do Texto . . . . . . . . . . . . . . . . . . . . . . . . . . 5
2 Confiabilidade e Seguran¸ca de Sistemas Instrumentados de Segu-
ran¸ca 6
2.1 Introdu¸c˜ao . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6
2.2 Conceitos Importantes . . . . . . . . . . . . . . . . . . . . . . . . . . 6
2.3 Sistemas Instrumentados de Seguran¸ca . . . . . . . . . . . . . . . . . 9
2.3.1 Composi¸c˜ao de um SIS . . . . . . . . . . . . . . . . . . . . . . 10
2.3.2 N´ıveis de Integridade de Seguran¸ca . . . . . . . . . . . . . . . 13
2.3.3 Arquiteturas MooN . . . . . . . . . . . . . . . . . . . . . . . . 13
2.4 Defini¸c˜ao dos
´
Indices de Confiabilidade e Seguran¸ca . . . . . . . . . . 19
2.4.1 Probabilidade M´edia de Falha na Demanda - PFDavg . . . . . 19
2.4.2 Tempo M´edio para Falhar - MTTF . . . . . . . . . . . . . . . 21
2.4.3 Tempo M´edio para Falhar de Forma Segura - MTTFs . . . . . 21
2.5 Conclus˜ao . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21
3 M´etodo de An´alise de Markov 23
3.1 Introdu¸c˜ao . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 23
3.2 Cadeias de Markov . . . . . . . . . . . . . . . . . . . . . . . . . . . . 23
3.3 Modelos de Markov . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24
3.3.1 Considera¸c˜oes sobre a modelagem . . . . . . . . . . . . . . . . 25
3.3.2 Procedimento para constru¸c˜ao do modelo . . . . . . . . . . . . 33
3.4 An´alise do Modelo . . . . . . . . . . . . . . . . . . . . . . . . . . . . 39
3.4.1 Matriz de Transi¸c˜ao . . . . . . . . . . . . . . . . . . . . . . . 40
3.4.2 C´alculo dos
´
Indices de Confiabilidade e Disponibilidade . . . . 41
3.5 Conclus˜ao . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 43
4 Software para Avalia¸c˜ao de Confiabilidade de SIS 44
4.1 Introdu¸c˜ao . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 44
4.2 Software para Avalia¸c˜ao de Confiabilidade de SIS . . . . . . . . . . . 44
4.2.1 Vis˜ao Geral . . . . . . . . . . . . . . . . . . . . . . . . . . . . 44
4.2.2 Arquitetura do Software . . . . . . . . . . . . . . . . . . . . . 45
4.2.3 Descri¸c˜ao do Software . . . . . . . . . . . . . . . . . . . . . . 46
4.3 Estudos de Caso . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 56
4.3.1 Estudo de Caso 1: Reator Qu´ımico . . . . . . . . . . . . . . . 57
4.3.2 Estudo de Caso 2: Planta de G´as Natural . . . . . . . . . . . 60
4.3.3 Estudo de Caso 3: Vaso Separador . . . . . . . . . . . . . . . 65
4.4 Conclus˜ao . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 67
5 Considera¸c˜oes Finais e Conclus˜oes 68
5.1 Conclus˜oes . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 68
5.2 Propostas de Trabalhos Futuros . . . . . . . . . . . . . . . . . . . . . 69
Referˆencias Bibliogr´aficas 70
A Guia de Usu´ario BR-SIL 73
A.1 Estrutura do BR-SIL . . . . . . . . . . . . . . . . . . . . . . . . . . . 73
A.2 Projetos . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 74
A.2.1 Criando um Novo Projeto . . . . . . . . . . . . . . . . . . . . 74
A.2.2 Abrindo um Projeto . . . . . . . . . . . . . . . . . . . . . . . 75
A.2.3 Excluindo um Projeto . . . . . . . . . . . . . . . . . . . . . . 76
A.3 Fun¸c˜oes Instrumentadas de Seguran¸ca . . . . . . . . . . . . . . . . . 76
A.3.1 Adicionando uma SIF ao Projeto . . . . . . . . . . . . . . . . 76
A.3.2 Descri¸c˜ao da Nova SIF . . . . . . . . . . . . . . . . . . . . . . 78
A.4 Verifica¸c˜ao do SIL . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 79
A.4.1 Estrutura da Aba Verifica¸c˜ao do SIL . . . . . . . . . . . . . . 79
A.4.2 Passo 1: Criando um Grupo Sensor . . . . . . . . . . . . . . . 80
A.4.3 Passo 2: Criando um Elemento Sensor . . . . . . . . . . . . . 82
A.4.4 Passo 3: Inserindo Informa¸c˜oes do Executor da L´ogica . . . . 84
A.4.5 Passo 4: Criando um Grupo Elemento Final . . . . . . . . . . 85
A.4.6 Passo 5: Criando um Elemento Final . . . . . . . . . . . . . . 86
A.4.7 Passo 5: Visualizando os Resultados . . . . . . . . . . . . . . 89
viii
A.5 Ferramenta para estimar o Fator Beta . . . . . . . . . . . . . . . . . 90
ix
Lista de S´ımbolos e Abreviaturas
β Fator b eta [%]
Λ Matriz de transi¸c˜ao de estados do modelo de Markov
λ Taxa de falha [1/h]
λ
DD
Taxa de falha perigosa detectada [1/h]
λ
DU
Taxa de falha perigosa n˜ao detectada [1/h]
λ
D
Taxa de falha perigosa [1/h]
λ
SD
Taxa de falha segura detectada [1/h]
λ
SU
Taxa de falha segura n˜ao detectada [1/h]
λ
S
Taxa de falha esp´uria [1/h]
Λ
Q
Matriz de transi¸c˜ao truncada
µ
O
Taxa de reparo on line [1/h]
µ
SD
Taxa de reparo a partir do estado de falha segura [1/h]
A(t) Fun¸c˜ao disponibilidade no instante t
C Fator de cobertura de diagn´ostico [%]
I Matriz identidade
MooN M-out-of-N
R(t) Fun¸c˜ao confiabilidade no instante t
T C Tempo de Campanha [anos]
T R Tempo de Reparo [h]
FIT Failure In Time (Falha por bilh˜ao de horas)
IEC International Eletrotechnical Commission
ISA Instrument Society of America
LT Level transmitter (Transmissor de n´ıvel)
MTBF Mean Time Between Failures (Tempo m´edio entre falhas)
MTTF Mean Time To First Failure (Tempo m´edio para falhar)
MTTFs Mean Time To Failure Spurious (Tempo m´edio para ocorrˆencia de
falha esp´uria)
MTTR Mean Time To Repair (Tempo m´edio para reparo)
N.A. Normalmente Aberto
N.F. Normalmente Fechado
PES Programmable Electronic System (Sistema eletrˆonico program´avel)
PFD Probability of Failure on Demand (Probabilidade de falha na de-
manda)
PFDavg Average Probability of Failure on Demand (Probabilidade m´edia de
falha na demanda)
PLC Programmable Logic Controller (Controlador l´ogico program´avel)
PT Pressure transmitter (Transmissor de press˜ao)
RRF Risk Reduction Factor (Fator de redu¸c˜ao de risco)
SFF Safe Failure Fraction (Fra¸c˜ao de falha segura)
SIF Safety Instrumented Function (Fun¸c˜ao Instrumentada de Seguran¸ca)
SIL Safety Integrity Level (N´ıvel de integridade de seguran¸ca)
SIS Safety Instrumented System (Sistema Instrumentado de Seguran¸ca)
xi
Lista de Tabelas
2.1 N´ıveis de Integridade de Seguran¸ca segundo a norma IEC 61508 . . . 13
2.2 N´ıveis de Integridade de Seguran¸ca - SIL . . . . . . . . . . . . . . . . 20
4.1 Parˆametros utilizados na an´alise (Caso 1). . . . . . . . . . . . . . . . 58
4.2 Taxas de falha dos equipamentos utilizados (Caso 1). . . . . . . . . . 58
4.3 Compara¸c˜ao entre os resultados obtidos (Caso 1). . . . . . . . . . . . 59
4.4 Parˆametros utilizados na an´alise (Caso 2). . . . . . . . . . . . . . . . 63
4.5 Taxas de falha dos equipamentos utilizados (Caso 2). . . . . . . . . . 64
4.6 Compara¸c˜ao entre os resultados obtidos (Caso 2). . . . . . . . . . . . 65
4.7 Parˆametros utilizados na an´alise (Caso 3). . . . . . . . . . . . . . . . 66
4.8 Taxas de falha dos equipamentos utilizados (Caso 3). . . . . . . . . . 66
4.9 Compara¸c˜ao entre os resultados obtidos (Caso 3). . . . . . . . . . . . 67
Lista de Figuras
2.1 Exemplos de Camadas de Prote¸c˜ao. . . . . . . . . . . . . . . . . . . . . 9
2.2 SIS e SIF. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11
2.3 Exemplo de planta industrial contendo SIS e BPCS. . . . . . . . . . . . . 11
2.4 Esquemas de Vota¸c˜ao MooN. . . . . . . . . . . . . . . . . . . . . . . . . 14
2.5 Exemplos de arquiteturas para sensores. . . . . . . . . . . . . . . . . . . 15
2.6 Exemplos de arquiteturas para elementos finais. . . . . . . . . . . . . . . 16
2.7 Fun¸c˜ao Instrumentada de Seguran¸ca SIL 1 . . . . . . . . . . . . . . . . . 17
2.8 Exemplo de Processo . . . . . . . . . . . . . . . . . . . . . . . . . . . . 18
2.9 Fun¸c˜ao Instrumentada de Seguran¸ca t´ıpica SIL 2 . . . . . . . . . . . . . 18
2.10 Fun¸c˜ao Instrumentada de Seguran¸ca t´ıpica SIL 3 . . . . . . . . . . . . . 19
2.11 MTTR e MTBF. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21
3.1 Simb ologia do Modelo de Markov . . . . . . . . . . . . . . . . . . . . . 25
3.2 Modelo de Markov de um sistema redundante gen´erico . . . . . . . . . . 25
3.3 Modelo de Markov erg´otico (regular) . . . . . . . . . . . . . . . . . . . . 26
3.4 Modelo de Markov n˜ao erg´otico (absorvente) . . . . . . . . . . . . . . . 26
3.5 Classifica¸c˜ao dos tipos de falha. . . . . . . . . . . . . . . . . . . . . . . 28
3.6 Classifica¸c˜ao de falhas segundo o Modelo Beta. . . . . . . . . . . . . . . 30
3.7 Modelo de Markov de um sistema redundante com ocorrˆencia de falha por
causa comum. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31
3.8 Sistema gen´erico 1oo2 com diagn´ostico de falhas. . . . . . . . . . . . . . 32
3.9 Sistema gen´erico com arquitetura 1oo2. . . . . . . . . . . . . . . . . . . 34
3.10 Diagrama de ´arvore de falta para sistema 1oo2. . . . . . . . . . . . . . . 35
3.11 Diagrama de ´arvore de falta para sistema 1oo2. . . . . . . . . . . . . . . 35
3.12 Modelo de Markov para sistema 1oo2. . . . . . . . . . . . . . . . . . . . 36
3.13 Modelo de Markov para sistema 1oo2 gen´erico com unidades idˆenticas e
diagn´ostico de falhas. . . . . . . . . . . . . . . . . . . . . . . . . . . . . 37
3.14 Diagrama de falha perigosa para sistema 1oo2 gen´erico com unidades idˆen-
ticas e diagn´ostico de falhas. . . . . . . . . . . . . . . . . . . . . . . . . 37
3.15 Diagrama de falha segura para sistema 1oo2 gen´erico com unidades idˆen-
ticas e diagn´ostico de falhas. . . . . . . . . . . . . . . . . . . . . . . . . 38
3.16 Modelo de Markov para sistema 1oo2 gen´erico com unidades distintas e
diagn´ostico de falhas. . . . . . . . . . . . . . . . . . . . . . . . . . . . . 39
3.17 Modelo de Markov modificado para c´alculo do MTTFs. . . . . . . . . . . 43
4.1 Arquitetura do software. . . . . . . . . . . . . . . . . . . . . . . . . . . 46
4.2 Tela principal do software. . . . . . . . . . . . . . . . . . . . . . . . . . 46
4.3 Criando um novo projeto - Parte 1. . . . . . . . . . . . . . . . . . . . . 47
4.4 Criando um novo projeto - Parte 2. . . . . . . . . . . . . . . . . . . . . 47
4.5 Adicionando uma SIF ao projeto. . . . . . . . . . . . . . . . . . . . . . 48
4.6 Tela de Descri¸c˜ao da SIF. . . . . . . . . . . . . . . . . . . . . . . . . . 49
4.7 Tela de Especifica¸c˜ao da SIF. . . . . . . . . . . . . . . . . . . . . . . . 49
4.8
´
Arvore de Navega¸c˜ao da SIF. . . . . . . . . . . . . . . . . . . . . . . . . 50
4.9 Diagrama do Elemento Iniciador da SIF. . . . . . . . . . . . . . . . . . . 50
4.10 Tela de especifica¸c˜ao do Grupo Iniciador. . . . . . . . . . . . . . . . . . 51
4.11 Tela de especifica¸c˜ao do elemento do Grupo Iniciador. . . . . . . . . . . . 51
4.12 Diagrama do Elemento Final da SIF. . . . . . . . . . . . . . . . . . . . 52
4.13 Tela de especifica¸c˜ao do Grupo Elemento Final. . . . . . . . . . . . . . . 52
4.14 Tela de especifica¸c˜ao do elemento do Grupo Elemento Final. . . . . . . . 52
4.15 Tela de especifica¸c˜ao do Executor da L´ogica. . . . . . . . . . . . . . . . . 53
4.16 Tela de Resultados do Grupo Sensor. . . . . . . . . . . . . . . . . . . . 54
4.17 Tela de Resultados do Grupo Elemento Final. . . . . . . . . . . . . . . . 54
4.18 Tela de Resultados da SIF. . . . . . . . . . . . . . . . . . . . . . . . . . 55
4.19 Exemplo de diagrama de blocos gerado. . . . . . . . . . . . . . . . . . . 55
4.20 Ferramenta para estima¸c˜ao do Fator Beta de Causa Comum. . . . . . . . 56
4.21 Estrutura do SIS associado ao Reator Qu´ımico. . . . . . . . . . . . . . . 57
4.22 Representa¸c˜ao da SIF do Reator Qu´ımico. . . . . . . . . . . . . . . . . . 58
4.23 Tela de resultados para o Estudo de Caso 1. . . . . . . . . . . . . . . . . 59
4.24 Diagrama simplificado do processo. . . . . . . . . . . . . . . . . . . . . 60
4.25 Diagrama do processo para cada po¸co de produ¸c˜ao. . . . . . . . . . . . . 61
4.26 Diagrama de Blocos da SIF - Estudo de Caso 2. . . . . . . . . . . . . . . 63
4.27 Tela de resultados para o Estudo de Caso 2. . . . . . . . . . . . . . . . . 64
4.28 BPCS e SIS associados ao vaso separador. . . . . . . . . . . . . . . . . . 65
xiv
4.29 Tela de resultados para o Estudo de Caso 3. . . . . . . . . . . . . . . . . 67
A.1 Tela Principal do BR-SIL . . . . . . . . . . . . . . . . . . . . . . . . . 73
A.2 Criando um Novo Projeto . . . . . . . . . . . . . . . . . . . . . . . . . 74
A.3 Tela de Edi¸c˜ao de Informa¸c˜oes do Novo Projeto . . . . . . . . . . . . . . 74
A.4 Abrir um Projeto Salvo . . . . . . . . . . . . . . . . . . . . . . . . . . 75
A.5 Listagem dos Projetos Salvos . . . . . . . . . . . . . . . . . . . . . . . . 75
A.6 Confirma¸c˜ao de Exclus˜ao do Projeto Selecionado . . . . . . . . . . . . . 76
A.7 Lista das SIFs adicionadas . . . . . . . . . . . . . . . . . . . . . . . . . 76
A.8 Criando uma SIF . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 77
A.9 SIF Adicionada . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 77
A.10 Descri¸c˜ao da SIF . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 78
A.11 Descri¸c˜ao da SIF . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 79
A.12 Estrutura da Aba Verifica¸c˜ao do SIL . . . . . . . . . . . . . . . . . . . . 80
A.13 Criando um Grupo Sensor . . . . . . . . . . . . . . . . . . . . . . . . . 80
A.14 Editando as informa¸c˜oes do Grupo Sensor . . . . . . . . . . . . . . . . . 81
A.15 Editando as informa¸c˜oes do Elemento Sensor . . . . . . . . . . . . . . . 83
A.16 Visualiza¸c˜ao dos Resultados do Grupo Sensor . . . . . . . . . . . . . . . 83
A.17 Resultados do Grupo Sensor . . . . . . . . . . . . . . . . . . . . . . . . 84
A.18 Executor da L´ogica . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 84
A.19 Configurando o Executor da L´ogica . . . . . . . . . . . . . . . . . . . . 85
A.20 Criando um Grupo Elemento Final . . . . . . . . . . . . . . . . . . . . 85
A.21 Editando as informa¸c˜oes do Elemento Final . . . . . . . . . . . . . . . . 86
A.22 Editando as informa¸c˜oes do Elemento Final . . . . . . . . . . . . . . . . 87
A.23 Editando as informa¸c˜oes do Elemento Final - Combina¸c˜ao . . . . . . . . . 88
A.24 Visualiza¸c˜ao dos Resultados do Elemento Final . . . . . . . . . . . . . . 88
A.25 Resultados Elemento Final . . . . . . . . . . . . . . . . . . . . . . . . . 89
A.26 Visualiza¸c˜ao dos Resultados da SIF . . . . . . . . . . . . . . . . . . . . 89
A.27 Resumo dos Resultados da SIF . . . . . . . . . . . . . . . . . . . . . . . 90
A.28 Ferramenta para estimar o Fator Beta . . . . . . . . . . . . . . . . . . . 90
1
Cap´ıtulo 1
Introdu¸c˜ao
1.1 Contexto
O crescimento da ind´ustria observado no s´eculo XX, norteado principalmente pela
busca do aumento da produtividade e qualidade dos produtos, apresentou como con-
seq
¨
uˆencias novos desafios operacionais resultantes dos limites de seguran¸ca e riscos
assumidos. O impacto de alguns fatores tais como o aumento da competitividade
no mercado global e o crescente ´ındice de regulamenta¸c˜oes dos processos produtivos
pode ser observado no n´ıvel cada vez maior de automa¸c˜ao e sofistica¸c˜ao das plantas
e na redu¸c˜ao da dependˆencia do elemento humano nas opera¸c˜oes das mesmas. Mu-
dan¸cas est˜ao ocorrendo no modo de opera¸c˜ao das plantas industriais, n˜ao somente
como forma de minimizar custos e reduzir a variabilidade no processo de fabrica¸c˜ao.
Seguran¸ca e confiabilidade tornaram-se parˆametros essenciais no projeto de sistemas
de controle autom´atico. Preocupa¸c˜oes acerca de fatores como seguran¸ca de pessoal,
prote¸c˜ao das instala¸c˜oes e do meio ambiente tem influenciado de forma cada vez mais
significativa a especifica¸c˜ao dos novos processos industriais. Os benef´ıcios econˆomi-
cos de um sistema seguro e confi´avel incluem menores perdas de produ¸c˜ao, maior
qualidade dos produtos, redu¸c˜ao dos gastos com manuten¸c˜ao e custos associados.
Especificar e projetar adequadamente uma planta com os componentes corretos
para otimizar a seguran¸ca ´e uma tarefa complexa e extensa. Todas as metodologias
e ferramentas empregadas para estas fun¸c˜oes tem por objetivo o aprimoramento do
projeto geral da planta, com o conseq
¨
uente aumento da eficiˆencia e redu¸c˜ao dos
custos associados `a manuten¸c˜ao e opera¸c˜ao dos sistemas de seguran¸ca de processo.
A regulamenta¸c˜ao da seguran¸ca na ind´ustria de processo iniciou-se aproximada-
mente no final dos anos 80. Nos EUA e na Europa, associa¸c˜oes de fabricantes e
organismos internacionais como a ISA (Instrument Society of America) e a IEC
(International Eletrotechnical Commission) vem elaborando e aprimorando normas
para guiar o projeto, constru¸c˜ao e manuten¸c˜ao de Sistemas Instrumentados de Se-
guran¸ca.
Atrav´es da an´alise de confiabilidade de sistemas instrumentados de seguran¸ca
busca-se avaliar o risco de n˜ao atendimento a uma demanda do processo, desde
a etapa do projeto at´e a etapa de comissionamento e opera¸c˜ao, analisando-se os
equipamentos instalados e os procedimentos operacionais adotados. Essa avalia¸c˜ao
do risco ´e realizada por meio da an´alise de ´ındices probabil´ısticos do sistema que,
combinados com um julgamento pr´oprio e sob crit´erios de decis˜ao pr´e-estabelecidos,
possibilita buscar solu¸c˜oes adequadas para contornar poss´ıveis falhas que possam vir
a comprometer a opera¸c˜ao do sistema, de forma a minimizar o risco associado ao
processo. Estes ´ındices s˜ao calculados por meio de t´ecnicas de an´alise de confiabili-
dade baseadas em princ´ıpios e conceitos matem´aticos da teoria de probabilidade.
1.2 Revis˜ao Bibliogr´afica
V´arios m´etodos podem ser utilizados para se analisar a confiabilidade de Sistemas
Instrumentados de Seguran¸ca. Alguns m´etodos bastante simples empregam t´ecnicas
de an´alise combinat´oria para an´alise de confiabilidade. No entanto, apesar da facili-
dade de utiliza¸c˜ao, estes m´etodos s˜ao bastante limitados em fun¸c˜ao de direcionarem
a an´alise de confiabilidade para um ´unico modo de falha do sistema. Em seus tra-
balhos, Goble (GOBLE, 1998), Summers (SUMMERS, 2000) e mais recentemente Guo
e Yang (GUO; YANG, 2007) discutem alguns desses m´etodos.
Outras t´ecnicas apresentam equa¸c˜oes simplificadas atrav´es de aproxima¸c˜oes ba-
seadas em modelos gen´ericos simples como apresentado por Lima e Saito em (LIMA;
SAITO, 2003). Neste, s˜ao apresentados alguns resultados de c´alculos de alguns´ındices
probabil´ısticos de confiabilidade baseados em equa¸c˜oes simplificadas propostas no
anexo B da norma IEC 61508 e na parte 2 da ISA TR84.00.02-2002. Apesar da
facilidade de implementa¸c˜ao, o uso de equa¸c˜oes simplificadas geralmente acarreta
resultados muito conservadores.
O m´etodo de Markov ´e um m´eto do no qual a confiabilidade do sistema ´e analisada
atrav´es da representa¸c˜ao de seus diferentes estados de opera¸c˜ao e falha e das prob-
abilidades de transi¸c˜ao entre esses estados. Um dos primeiros trabalhos a abordar
este m´etodo, apresentado por Bukowski e Goble (BUKOWSKI; GOBLE, 1995), discute
3
a utiliza¸c˜ao do m´etodo de Markov para analisar a confiabilidade de sistemas eletrˆoni-
cos program´aveis. Neste trabalho ´e apresentado um procedimento sistem´atico para
a constru¸c˜ao de modelos de Markov para sistemas repar´aveis tolerantes a falhas.
Em (GOBLE; BUKOWSKI, 2001a), Goble e Bukowski apresentam m´etodos baseados
no m´etodo de Markov para o c´alculo de determinados ´ındices probabil´ısticos em-
pregados na an´alise de confiabilidade de sistemas com m´ultiplos estados de falha.
S˜ao discutidos aspectos operacionais e de seguran¸ca e propostas modifica¸c˜oes nos
modelos de Markov para o c´alculo de ´ındices derivados, em fun¸c˜ao de um estado de
interesse em particular.
Comparada a outras t´ecnicas existentes, o m´etodo de Markov possibilita uma mo-
delagem completa, levando em considera¸c˜ao a maior parte dos aspectos que afetam
a confiabilidade de SIS. Al´em disso, este m´etodo possibilita a an´alise da dinˆamica
das transi¸c˜oes entre os diversos estados do sistema. Em (GOBLE; BUKOWSKI, 2001b)
e em (BUKOWSKI; LELE, 1997) s˜ao discutidos os fatores que ocasionam as falhas de-
vido a causas comuns e analisados seus efeitos em diversas arquiteturas de sistemas
redundantes. Em outro trabalho (BUKOWSKI, 2001), Bukowski utiliza modelos de
Markov para analisar os efeitos de inspe¸c˜oes peri´odicas no desempenho de sistemas
de seguran¸ca cr´ıticos.
Outros trabalhos semelhantes que podem ser enumerados s˜ao (M.; GOBLE; BROM-
BACHER, 1996) e (GOBLE; BUKOWSKI; BROMBACHER, 1998).
Apesar de todo o potencial demonstrado pelo m´etodo de markov, o tamanho
e a complexidade dos modelos desenvolvidos cresce em fun¸c˜ao do n´umero de fa-
tores inclu´ıdos e das diversas suposi¸c˜oes assumidas, o que exige grande capacidade
computacional, al´em de tornar a probabilidade de erros durante a constru¸c˜ao dos
modelos. Essas limita¸c˜oes levaram alguns estudiosos da ´area a questionar o uso do
m´eto do de Markov para a avalia¸c˜ao de confiabilidade de sistemas.
Apesar disso, alguns estudiosos da ´area questionam o uso do m´etodo de Markov
para a avalia¸c˜ao de confiabilidade de sistemas. Em seus trabalhos, Simpson e Kelly
(SIMPSON; KELLY, 2003) e Gulland (GULLAND, 2003) prop˜oem a proibi¸c˜ao da uti-
liza¸c˜ao do m´etodo de Markov, alegando para tal que as suposi¸c˜oes assumidas durante
a modelagem dos sistemas acarretam resultados incoerentes.
Em (BUKOWSKI, 2005), Bukowski rebate essas afirma¸c˜oes e demonstra atrav´es de
um estudo comparativo entre essas duas t´ecnicas que o m´etodo de Markov fornece
solu¸c˜oes exatas n˜ao apenas para modelos simples como tamb´em para modelos de
maior complexidade representativos de cen´arios mais realistas.
4
Em (KNEGTERING; BROMBACHER, 1999), Knegtering e Brombacher prop˜oem
uma forma de reduzir os esfor¸cos computacionais requeridos para solucionar modelos
de Markov de sistemas complexos. Neste, ´e descrita uma t´ecnica que combina os
m´eto dos de Markov com diagramas de blocos de confiabilidade.
Recentemente, em (GUO; YANG, 2008) foi proposta uma nova t´ecnica para cri-
a¸c˜ao autom´atica de modelos de Markov para avalia¸c˜ao de confiabilidade de Sistemas
Instrumentados de Seguran¸ca.
Nos ´ultimos anos vem se discutindo o m´erito das diversas t´ecnicas existentes
para a modelagem e an´alise de confiabilidade e disponibilidade de Sistemas Instru-
mentados de Seguran¸ca. A utiliza¸c˜ao de t´ecnicas de an´alise diferentes, que fazem
uso de metodologias de an´alise diferentes, pode acarretar na obten¸c˜ao de resulta-
dos significativamente diferentes. Uma compara¸c˜ao entre algumas dessas t´ecnicas
´e apresentada por Rouvroye e Brombacher em (ROUVROYE; BROMBACHER, 1999).
Trabalho similar foi apresentado por Rouvroye e van den Bliek (ROUVROYE; BLIEK,
2002).
1.3 Organiza¸c˜ao do Texto
Este trabalho est´a organizado da seguinte forma:
No Cap´ıtulo 1 est˜ao dispostos o contexto no qual este trabalho se insere, o obje-
tivo geral almejado e a revis˜ao bibliogr´afica realizada.
No Cap´ıtulo 2 s˜ao apresentados conceitos b´asicos de engenharia de confiabilidade
relacionados ao estudo de confiabilidade e disponibilidade. S˜ao discutidos aspectos
e conceitos referentes aos Sistemas Instrumentados de Seguran¸ca, e apresentadas
algumas das arquiteturas mais comuns utilizadas pela ind´ustria de processos.
No Cap´ıtulo 3 ´e abordado o m´etodo de an´alise de Markov a partir de crit´erios
estabelecidos para a sua utiliza¸c˜ao no desenvolvimento do algoritmo de c´alculo de
confiabilidade para o software proposto.
No Cap´ıtulo 4 s˜ao apresentadas as principais caracter´ısticas e funcionalidades do
software desenvolvido, e discutidos alguns estudos de casos onde s˜ao calculados os
principais ´ındices probabil´ısticos com base nos quais ´e feita a avalia¸c˜ao de confiabi-
lidade dos sistemas propostos.
No Cap´ıtulo 5 s˜ao apresentadas as conclus˜oes do trabalho e sugest˜oes de trabalhos
futuros.
5
Cap´ıtulo 2
Confiabilidade e Seguran¸ca de
Sistemas Instrumentados de
Seguran¸ca
2.1 Introdu¸c˜ao
Muitos enfoques diferentes podem ser adotados para se assegurar os n´ıveis de
confiabilidade e seguran¸ca desej´aveis para um Sistema Instrumentado de Seguran¸ca,
cada qual com suas pr´oprias implica¸c˜oes de custo e restri¸c˜oes de implementa¸c˜ao.
A avalia¸c˜ao de confiabilidade e seguran¸ca de Sistemas Instrumentados de Se-
guran¸ca ´e realizada por meio da an´alise de determinados ´ındices probabil´ısticos,
tanto em projetos de unidades novas, garantindo o correto dimensionamento dos
equipamentos para se obter um n´ıvel de prote¸c˜ao adequado, quanto em instala¸c˜oes
j´a existentes, visando identificar medidas que proporcionem melhoria de eficiˆencia
operacional.
2.2 Conceitos Importantes
Alguns conceitos b´asicos de engenharia de confiabilidade s˜ao necess´arios para a
compreens˜ao da an´alise proposta neste trabalho.
Confiabilidade
Confiabilidade R(t) ´e a probabilidade de um sistema desempenhar de forma
satisfat´oria uma fun¸c˜ao, sob condi¸c˜oes espec´ıficas, durante um per´ıodo de tempo
pr´e-determinado (GOBLE, 1998).
Matematicamente o parˆametro confiabilidade pode ser definido por
R(t) = P (t < T ) (2.1)
ou seja, a probabilidade de uma opera¸c˜ao ser bem sucedida em um intervalo de
tempo de zero a T , onde t corresponde ao instante de tempo de ocorrˆencia da falha.
O conceito de confiabilidade ´e bastante abrangente, e por muitas vezes vago,
uma vez que deve incluir todos os aspectos associados `a capacidade do sistema ope-
rar satisfatoriamente. A an´alise da confiabilidade de componentes e subsistemas em
fun¸c˜ao da probabilidade de ocorrˆencia de falhas ´e uma etapa importante na an´alise
de confiabilidade de um SIS.
Disponibilidade
A disponibilidade de um sistema, representada por A(t), ´e a probabilidade de que,
em um dado instante de tempo t, este sistema esteja funcionando satisfatoriamente
em um determinado ambiente. Em outras palavras, disponibilidade ´e a probabilidade
de um sistema estar dispon´ıvel quando necess´ario. De forma simplificada, diz-se que
a disponibilidade de um sistema ´e a rela¸c˜ao entre o tempo de vida ´util deste sistema
e seu tempo total de vida. Isto pode ser representado pela f´ormula abaixo:
A(t) =
V ida ´util
T empo total de vida
(2.2)
A indisponibilidade,
¯
A(t) ´e dada por:
¯
A(t) = 1 − A(t) (2.3)
Risco
O conceito de risco ´e definido como sendo o produto da freq
¨
uˆencia com que
um determinado evento ocorre pelas conseq
¨
uˆencias resultantes da ocorrˆencia desse
evento (GOBLE, 1998).
´
Indices de risco est˜ao associados a situa¸c˜oes nas quais o sistema ´e incapaz de
garantir o desempenho adequado devido a fatores incertos. Ainda que exista uma
7
grande dificuldade de se classificar o risco tido por aceit´avel, ´e poss´ıvel identificar
na literatura especializada diferentes tentativas de se estabelecer padr˜oes para clas-
sifica¸c˜ao do risco por parte de entidades governamentais e associa¸c˜oes industriais.
Taxa de Falha
A taxa de falha instantˆanea, ou simplesmente taxa de falha, ´e um parˆametro
bastante comum no campo da engenharia de confiabilidade. A taxa de falha in-
dica o n´umero de falhas por unidade de tempo de uma determinada quantidade de
componentes expostos `a falha.
λ(t) =
F alhas por unidade de tempo
Quantidade exposta
(2.4)
´
E pr´atica comum a representa¸c˜ao da taxa de falha atrav´es da utiliza¸c˜ao de uma
unidade denominada FIT - Falhas por bilh˜ao (10
9
) de horas.
Tempo M´edio de Reparo - MTTR
O Tempo M´edio de Reparo (MTTR - Mean Time To Repair) corresponde ao
valor esperado da vari´avel aleat´oria tempo de reparo, podendo ser definido alterna-
tivamente como sendo o tempo m´edio necess´ario para que um componente ou sistema
seja reparado dada a ocorrˆencia de uma falha. Essa defini¸c˜ao inclui o tempo gasto
com a detec¸c˜ao da ocorrˆencia da falha, al´em do tempo necess´ario para a corre¸c˜ao da
falha identificada (GOBLE, 1998).
Tempo M´edio entre Falhas - MTBF
O Tempo M´edio entre Falhas (MTBF - Mean Time Between Failures) corres-
ponde ao tempo m´edio entra a ocorrˆencia de duas falhas.
8
2.3 Sistemas Instrumentados de Seguran¸ca
Na ind´ustria s˜ao utilizadas diversas camadas de prote¸c˜ao para salvaguardar o
processo. O n´umero de camadas de prote¸c˜ao necess´ario depende da complexidade
do processo e severidade potencial das conseq
¨
uˆencias do cen´ario. Uma camada
de prote¸c˜ao ´e uma parte distinta de uma planta projetada com a finalidade de se
evitar a ocorrˆencia ou reduzir as conseq
¨
uˆencias de um evento espec´ıfico. Camadas
de prote¸c˜ao podem ser desde equipamentos e procedimentos operacionais a a¸c˜oes
planejadas em resposta a condi¸c˜oes adversas do processo (AICHE, 1993). Na Figura
2.1 s˜ao apresentadas alguns exemplos de camadas de prote¸c˜ao presentes em diversos
processos industriais. As camadas s˜ao apresentadas por ordem de ativa¸c˜ao esperada
dada a ocorrˆencia de uma condi¸c˜ao de perigo.
PROCESSO
Controle Básico de Processo (BCPS)
Alarmes Críticos, Intervenção do Operador
Sistema Instrumentado de Segurança (SIS)
Proteção Adicional (Dispositivos de Alívio)
Proteção Física Pós-Liberação (Diques de Contenção)
Resposta de Emergência da Planta
Resposta de Emergência da Comunidade
Figura 2.1: Exemplos de Camadas de Prote¸c˜ao.
A depender do cen´ario analisado, o sucesso na atua¸c˜ao de qualquer uma das
camadas de prote¸c˜ao deve ser obrigatoriamente suficiente para prevenir as conse-
q
¨
uˆencias avaliadas.
Observa-se que al´em dos diversos equipamentos e a¸c˜oes poss´ıveis, s˜ao utilizados
dois tipos de sistemas de controle autom´atico: Sistema de Controle Regulat´orio ou
Sistema B´asico de Controle de Processo (BPCS - Basic Process Control System)
e Sistemas Instrumentados de Seguran¸ca (SIS - Safety Instrumented System). A
diferen¸ca entre os dois est´a na fun¸c˜ao que suas l´ogicas exercem. O primeiro est´a
dedicado a manter as vari´aveis de processo controladas com o objetivo de otimizar o
9
desempenho do processo; o segundo volta-se para a seguran¸ca do processo, de forma
a garantir que estas mesmas vari´aveis estejam dentro de limites considerados seguros
para a opera¸c˜ao da unidade.
Sistemas de seguran¸ca de processo s˜ao freq
¨
uentemente dispositivos de instru-
menta¸c˜ao e controle instalados para desempenhar fun¸c˜ao de prote¸c˜ao em adi¸c˜ao ao
sistema de controle regulat´orio. Esses sistemas de seguran¸ca monitoram o status
de vari´aveis essenciais do processo, identificam situa¸c˜oes de opera¸c˜ao anormal da
planta, alertam o operador e, em alguns casos, interrompem o processo evitando a
ocorrˆencia de eventos potencialmente perigosos. Estes permanecem inativos at´e que
uma condi¸c˜ao anormal e potencialmente perigosa ocorra.
Embora um sistema de seguran¸ca seja semelhante a um sistema regulat´orio de
muitas formas, as diferen¸cas residem em requisitos ´unicos de projeto, manuten¸c˜ao e
integridade f´ısica. Para funcionar satisfatoriamente, um sistema de seguran¸ca requer
um n´ıvel de desempenho e diagn´ostico superior ao normalmente solicitado para um
equipamento gen´erico de controle de processo.
Nos ´ultimos anos, o conceito de Sistema Instrumentado de Seguran¸ca tem sido
bastante discutido e divulgado entre profissionais dos mais distintos setores da ind´us-
tria de processos, bem como no meio acadˆemico. Um SIS ´e um sistema de controle
cujo prop´osito ´e monitorar um processo industrial, detectar condi¸c˜oes potencial-
mente perigosas e executar a¸c˜oes pr´e-programadas para prevenir a ocorrˆencia de um
evento perigoso ou ainda mitigar as conseq
¨
uˆencias da ocorrˆencia de tal evento. Em
outras palavras, um SIS ´e projetado com a finalidade de levar automaticamente um
processo para um estado seguro quando condi¸c˜oes espec´ıficas de opera¸c˜ao forem vio-
ladas, ou ainda executar a¸c˜oes que reduzam as conseq
¨
uˆencias de um poss´ıvel acidente
industrial.
2.3.1 Composi¸c˜ao de um SIS
Um SIS pode ser definido como sendo um conjunto de Fun¸c˜oes Instrumentadas
de Seguran¸ca (SIF - Safety Instrumented Function), implantadas em uma unidade
de processo. Por sua vez, uma SIF ´e uma a¸c˜ao ou conjunto de a¸c˜oes adotadas por
um SIS para levar o processo ou equipamento a um estado seguro, com respeito a
um perigo esp ec´ıfico (GOBLE; CHEDDIE, 2005). Na Figura 2.2 ´e apresentado um
diagrama que exemplifica a rela¸c˜ao entre SIF e SIS.
10
SENSOR 1
SENSOR 2
SENSOR 3
EXECUTOR
DA
LÓGICA
ELEMENTO FINAL 1
ELEMENTO FINAL 2
ELEMENTO FINAL 3
SIS
SIF 1
SIF 2
Figura 2.2: SIS e SIF.
Em alguns casos a fun¸c˜ao de seguran¸ca ´e projetada para reduzir o risco diminu-
indo a probabilidade de ocorrˆencia de um perigo em potencial. Em outros casos a
fun¸c˜ao de seguran¸ca ir´a reduzir o risco diminuindo a gravidade da conseq
¨
uˆencia do
evento.
Uma SIF ´e tipicamente composta por sensor(es), executor da l´ogica de seguran¸ca
e elemento(s) atuador(es). Na Figura 2.3 ´e apresentado um exemplo t´ıpico de planta
industrial contendo um SIS e um sistema b´asico de controle.
Vaso
Separador
Válvula ESD
XV-02
S
Ar de Instrumentação
Vent
Válvula ESD
XV-01
LIC-01
SIF-15
S
Ar de
Instrumentação
Vent
Bomba
P-01
LT -1
LT-2
Figura 2.3: Exemplo de planta industrial contendo SIS e BPCS.
11
No exemplo acima ´e poss´ıvel identificar a presen¸ca de dois tipos distintos de
sistemas: BPCS e SIS. O sistema b´asico de controle ´e composto por um transmissor
de n´ıvel, um controlador industrial e uma v´alvula de controle. Por sua vez, o SIS
´e constitu´ıdo por um transmissor de n´ıvel, um CLP de seguran¸ca e dois elementos
atuadores, cada sendo composto por uma v´alvula solen´oide de 3 vias e uma v´alvula
de seguran¸ca.
O SIS ´e implementado para garantir a seguran¸ca de um vaso separador contra
um valor muito baixo do n´ıvel de l´ıquido.
´
E assumido que o l´ıquido do separador
´e bombeado de forma cont´ınua para outro vaso adjacente para posterior processa-
mento. O n´ıvel de l´ıquido no separador ´e controlado por uma malha de controle
do BPCS. Al´em disso, o g´as contido no separador ´e normalmente comprimido e
distribu´ıdo.
Dentre os perigos potenciais associados a um n´ıvel muito baixo de l´ıquido no vaso
separador pode ser destacado o fluxo de g´as sob alta press˜ao atrav´es do sistema de
bomb eamento. Algumas das poss´ıveis conseq
¨
uˆencias para esse cen´ario s˜ao:
1. Danos ao sistema de bombeamento;
2. Libera¸c˜ao de gases t´oxicos e/ou inflam´aveis para a atmosfera;
3. Perda de vidas.
A SIF analisada opera da seguinte forma: ao se detectar um n´ıvel abaixo de um
valor limite pr´e-estabelecido, as v´alvulas XV-01 e XV-02 s˜ao fechadas. Assume-se
que uma fun¸c˜ao de seguran¸ca espec´ıfica assegura a prote¸c˜ao do sistema de bombea-
mento. Essa fun¸c˜ao auxiliar n˜ao ´e analisada neste exemplo.
12
2.3.2 N´ıveis de Integridade de Seguran¸ca
O conceito de N´ıvel de Integridade de Seguran¸ca (SIL - Safety Instrumented
Level), introduzido pelas normas ISA 84.01 (ISA, 1996) e IEC 61508 (IEC, 2000),
estabelece uma ordem de grandeza para a redu¸c˜ao do risco, ou seja, o n´ıvel de
robustez necess´ario a ser implementado de forma a reduzir o risco do processo a
n´ıveis aceit´aveis.
Os n´ıveis SIL s˜ao categorias pr´e-definidas de redu¸c˜ao de risco baseadas na Pro-
babilidade de Falha na Demanda (PFD - Probability of Failure on Demand). Na
Tabela 2.1 ´e apresentada a correla¸c˜ao entre o SIL, a PFD e a disponibilidade da SIF,
conforme definido pela norma IEC 61508. Numa escala crescente de 1 a 4, quanto
maior for o SIL, mais cr´ıtico ser´a o processo.
Tabela 2.1: N´ıveis de Integridade de Seguran¸ca segundo a norma IEC 61508
SIL PFD Disponibilidade da SIF
4 < 10
−4
> 99, 99%
3 10
−4
a 10
−3
99, 90 a 99, 99%
2 10
−3
a 10
−2
99 a 99, 90%
1 10
−2
a 10
−1
90 a 99%
2.3.3 Arquiteturas MooN
Muitos enfoques diferentes podem ser adotados para se assegurar os n´ıveis de
confiabilidade e disponibilidade desej´aveis para um Sistema Instrumentado de Segu-
ran¸ca, cada qual com suas pr´oprias implica¸c˜oes de custo e restri¸c˜oes de implemen-
ta¸c˜ao.
Segundo a norma IEC 61508 (IEC, 2000), o projeto de um SIS deve atender
a certos n´ıveis m´ınimos de confiabilidade e seguran¸ca. Como forma de minimizar
o impacto de falhas de componentes do SIS e, conseq
¨
uentemente, melhorar sua
confiabilidade e disponibilidade, ´e comum a implementa¸c˜ao de um certo n´ıvel de
redundˆancia de hardware ou software que assegure ao sistema de seguran¸ca a ca-
pacidade de tolerar eventuais falhas. No entanto, a implanta¸c˜ao de redundˆancia de
hardware implica o uso de equipamentos e componentes adicionais aos que o sistema
de seguran¸ca normalmente necessitaria para desempenhar sua fun¸c˜ao.
A escolha da arquitetura mais apropriada para cada sistema exige uma an´alise
minuciosa dos crit´erios de seguran¸ca estabelecidos, al´em de informa¸c˜oes a respeito
13
dos procedimentos de opera¸c˜ao e manuten¸c˜ao adotados para o processo. Isso possi-
bilita a determina¸c˜ao de uma solu¸c˜ao que atenda da melhor forma poss´ıvel `as metas
e requisitos operacionais e de seguran¸ca do processo.
Freq
¨
uentemente na literatura especializada ´e empregada a nota¸c˜ao MooN (M-out-
of-N ) para denotar os diferentes esquemas de arquiteturas existentes. Tais esquemas
s˜ao denominados esquemas de vota¸c˜ao, ou simplesmente vota¸c˜ao. Na Figura 2.4 ´e
apresentado um diagrama que representa a l´ogica associada aos esquemas de vota¸c˜ao
mais comuns.
2oo2
1oo2
1oo1
2oo3
A
B
C
C
A
B
A
B
A B
A
Figura 2.4: Esquemas de Vota¸c˜ao MooN.
Nessa figura os elementos A, B e C representam unidades de controle respons´aveis
por energizar um processo.
A vota¸c˜ao 1oo1 representa a arquitetura mais simples. A utiliza¸c˜ao de uma ´unica
unidade A n˜ao proporciona prote¸c˜ao contra eventuais falhas do sistema.
Na vota¸c˜ao 1oo2 duas unidades A e B s˜ao dispostas numa configura¸c˜ao s´erie.
Essa configura¸c˜ao possibilita que o processo seja desenergizado na ocorrˆencia de
uma eventual falha em qualquer das duas unidades de controle. Essa vota¸c˜ao ´e
constantemente empregada quando se requer um alto n´ıvel de confiabilidade do
sistema.
Na vota¸c˜ao 2oo2 duas unidades A e B s˜ao dispostas numa configura¸c˜ao paralela.
Neste caso, para que o processo seja desenergizado ´e necess´ario que as duas unidades
falhem. A vota¸c˜ao 2oo2 proporciona um alto ´ındice de disponibilidade ao sistema.
A vota¸c˜ao 2oo3 representa uma arquitetura mais sofisticada, sendo portanto
utilizada quando se busca n´ıveis elevados de confiabilidade e disponibilidade. De
acordo com a l´ogica empregada por essa vota¸c˜ao, ´e necess´ario que duas unidades
falhem, de um total de trˆes.
14
O conceito de arquitetura redundante pode ser extendido para os elementos da
SIF, conforme apresentado a seguir.
Arquiteturas de Sensores
Na Figura 2.5 s˜ao apresentados exemplos de arquiteturas para sensores.
Sensor1
Sensor 2
Controlador
Lógica
2oo3
Sensor 3
Sensor 1
Sensor 2
Controlador
Lógica
1oo2
Sensor 1
Controlador
Lógica
1oo1
(a)
(b)
(c)
Figura 2.5: Exemplos de arquiteturas para sensores.
Na Figura 2.5a ´e apresentada uma arquitetura simples onde o equipamento ex-
ecutor da l´ogica de seguran¸ca realiza a medi¸c˜ao de apenas um equipamento sensor.
Esse tipo de vota¸c˜ao ´e denominada 1oo1.
Na Figura 2.5b s˜ao utilizados dois sensores para a medi¸c˜ao da mesma vari´avel do
processo. Uma vota¸c˜ao 1oo2 entre sensores ´e obtida atrav´es da implementa¸c˜ao de
uma l´ogica de seguran¸ca que inicie o desligamento do processo caso uma condi¸c˜ao
perigosa seja detectada por qualquer um dos dois sensores.
A configura¸c˜ao apresentada na Figura 2.5c ´e utilizada quando deseja-se comparar
a medi¸c˜ao realizada por trˆes sensores. A vota¸c˜ao 2oo3 proporciona maior prote¸c˜ao
contra desligamentos desnecess´arios decorrentes de falsas indica¸c˜oes de falha por
parte dos sensores.
15
Arquiteturas de Elementos Finais
Na Figura 2.6 s˜ao apresentados exemplos de arquiteturas para elementos finais.
Controlador
S
Ar de
Instrumentação
Vent
Atuador
S
Ar de
Instrumentação
Vent
Atuador
Controlador
S
Ar de
Instrumentação
Vent
Atuador
Válvula de
Segurança
S
Ar de
Instrumentação
Vent
Atuador
Controlador
S
Ar de
Instrumentação
Vent
Atuador
(a)
(b)
(c)
Válvula
Solenóide
Válvula
Solenóide
Válvula
Solenóide
Válvula de
Segurança
Válvula de
Segurança
Válvula de
Segurança
Válvula de
Segurança
Válvula
Solenóide
Figura 2.6: Exemplos de arquiteturas para elementos finais.
Na Figura 2.6a ´e apresentada uma arquitetura bastante simples, normalmente
utilizada para v´alvulas de fechamento seguro. Essa arquitetura, denominada 1oo1,
consiste de uma v´alvula solen´oide de 3 vias, um elemento atuador e uma v´alvula
de seguran¸ca do tipo fail close. Quando uma condi¸c˜ao perigosa ´e detectada, o
controlador desenergiza a v´alvula solen´oide, interrompendo o fornecimento de ar
para o atuador. Isso faz com que a v´alvula de seguran¸ca seja fechada.
16
Na Figura 2.6b ´e apresentada uma arquitetura 1oo2, composta por dois conjuntos
de elementos finais disposto em s´erie na linha do processo. Quando uma condi¸c˜ao
perigosa ´e detectada pelo controlador, os dois conjuntos s˜ao acionados. Qualquer
dos dois conjuntos pode interromper o processo.
Uma arquitetura 2oo2 ´e apresentada na Figura 2.6c. A depender do tipo de
processo, esse tipo de arquitetura proporciona maior disponibilidade caso ocorra
uma falha em um dos conjuntos de v´alvulas.
A seguir s˜ao apresentadas algumas configura¸c˜oes t´ıpicas de Fun¸c˜oes Instrumen-
tadas de Seguran¸ca utilizadas para os n´ıveis SIL 1, 2 e 3.
Arquitetura t´ıpica SIL 1
Na Figura 2.7 ´e apresentada uma arquitetura t´ıpica que satisfaz os requisitos de
seguran¸ca SIL 1. Ela consiste de um ´unico sensor, um controlador l´ogico program´avel
de seguran¸ca e um conjunto elemento final, formado por uma v´alvula solen´oide de
3 vias e por uma v´alvula de seguran¸ca pneum´atica.
S
CLP de
Segurança
Sensor
Ar de
Instrumentação
Vent
Válvula de
Segurança
Figura 2.7: Fun¸c˜ao Instrumentada de Seguran¸ca SIL 1
Um exemplo de processo para o qual esse tipo de arquitetura SIL 1 ´e adequada
´e apresentado na Figura 2.8. Quando a press˜ao no vaso assume um valor muito ele-
vado, superior a um valor limite de seguran¸ca operacional pr´e-estabelecido, o fluxo
de entrada deve ser interrompido atrav´es do fechamento da v´alvula de seguran¸ca.
Para a configura¸c˜ao exibida, o sistema normalmente falha de forma segura, isto ´e,
durante a opera¸c˜ao normal a v´alvula solen´oide ´e mantida continuamente energizada,
fornecendo suprimento constante de ar para que a v´alvula de seguran¸ca permane¸ca
aberta. Qualquer falha que possivelmente venha a interromper o fornecimento de
ar e/ou energia para o sistema resultar´a no fechamento da v´alvula de seguran¸ca e,
conseq
¨
uentemente, na interrup¸c˜ao do fluxo para o vaso.
17
S
CLP de
Segurança
Ar de
Instrumentação
Vent
Válvula de
Segurança
Tanque
Válvula de
Controle
PT
PIC
PT
Figura 2.8: Exemplo de Processo
Arquitetura t´ıpica SIL 2
Na Figura 2.9 ´e apresentada uma arquitetura que satisfaz os requisitos de se-
guran¸ca SIL 2. Ela consiste de dois elementos sensores, um CLP de seguran¸ca e
dois elementos atuadores. Os sensores s˜ao transmissores de press˜ao convencionais
e est˜ao dispostos numa configura¸c˜ao 1oo2, ou seja, qualquer um dos transmissores
poder´a interromper o processo dada uma situa¸c˜ao de perigo operacional ou falha do
equipamento de medi¸c˜ao. Os elementos atuadores s˜ao compostos por v´alvulas do
tipo shutdown operadas pneumaticamente atrav´es de v´alvulas solen´oides individuais
e est˜ao dispostos numa configura¸c˜ao em s´erie (vota¸c˜ao 1oo2).
S
Sensor
Ar de
Instrumentação
Vent
Válvula de
Segurança
S
Ar de
Instrumentação
Vent
Válvula de
Segurança
Sensor
Votação 1oo2
CLP de
Segurança
(Votação 1oo2)
Figura 2.9: Fun¸c˜ao Instrumentada de Seguran¸ca t´ıpica SIL 2
18
Arquitetura t´ıpica SIL 3
Na Figura 2.10 ´e apresentada uma arquitetura que satisfaz os requisitos de segu-
ran¸ca SIL 3. Ela consiste de trˆes elementos sensores, um CLP de seguran¸ca e dois
elementos atuadores. Os sensores s˜ao transmissores de press˜ao convencionais e est˜ao
dispostos numa configura¸c˜ao 2oo3, ou seja, quaisquer dois do conjunto de trans-
missores poder˜ao interromper o processo dada uma situa¸c˜ao de perigo operacional
ou falha do equipamento de medi¸c˜ao. Os elementos atuadores s˜ao compostos por
v´alvulas do tipo shutdown operadas pneumaticamente atrav´es de v´alvulas solen´oides
individuais e est˜ao dispostos numa configura¸c˜ao em s´erie (vota¸c˜ao 1oo2).
S
Sensor
Ar de
Instrumentação
Vent
Válvula de
Segurança
S
Ar de
Instrumentação
Vent
Válvula de
Segurança
Sensor
Sensor
Votação 1oo2
CLP de
Segurança
(Votação 2oo3)
Figura 2.10: Fun¸c˜ao Instrumentada de Seguran¸ca t´ıpica SIL 3
2.4 Defini¸c˜ao dos
´
Indices de Confiabilidade e Se-
guran¸ca
A an´alise de confiabilidade e seguran¸ca de Sistemas Instrumentados de Seguran¸ca
´e comp osta por alguns ´ındices probabil´ısticos. A seguir ´e apresentada a formula¸c˜ao
matem´atica associada ao c´alculo destes ´ındices.
2.4.1 Probabilidade M´edia de Falha na Demanda - PFDavg
Para sistemas de prote¸c˜ao em geral, o atributo de confiabilidade de maior in-
teresse ´e a Probabilidade de Falha na Demanda (PFD), ou seja, a probabilidade de
que o sistema encontre-se impossibilitado de atuar no sentido de impedir ou mitigar
19
uma condi¸c˜ao potencialmente perigosa (demanda) dada a ocorrˆencia de uma falha.
No caso de malhas de seguran¸ca, isto corresponde `a n˜ao atua¸c˜ao no momento da
demanda de um dos seus componentes.
O termo (P F D
avg
) ou P F D
average
´e utilizado para descrever a probabilidade
m´edia de falha em demanda, ou mais precisamente, a m´edia aritm´etica da PFD
sobre um intervalo de tempo definido. Em se tratando de sistemas de seguran¸ca,
assume-se que esse intervalo de tempo corresponde ao per´ıodo de inspe¸c˜ao e testes
do sistema.
P F D
avg
=
1
T I
T I
0
(P F D)dt (2.5)
Dado que a PFD varia em fun¸c˜ao do intervalo de opera¸c˜ao do processo, n˜ao assu-
mindo valores constantes durante esse per´ıodo, o valor m´edio da PFD mostra-se um
parˆametro de an´alise muito ´util, sendo adotado pelas diversas normas internacionais
como um parˆametro de referˆencia para se avaliar a confiabilidade de SIS.
Um outro parˆametro adicional ´e comumente utilizado para se avaliar a integri-
dade de um SIS. O Fator de Redu¸c˜ao de Risco (RRF - Risk Reduction Factor ) ´e
definido por:
RRF =
Risco inerente
Risco aceit ´avel
(2.6)
O RRF ´e obtido a partir da P F D
avg
:
RRF =
1
P F D
avg
(2.7)
Na Tabela 2.2 ´e apresentada a correla¸c˜ao entre a P F D
avg
e o RRF .
Tabela 2.2: N´ıveis de Integridade de Seguran¸ca - SIL
SIL P F D
avg
Disponibilidade da SIF RRF
4 < 10
−4
> 99, 99% > 10.000
3 10
−4
a 10
−3
99, 90 a 99, 99% 10.000 a 1.000
2 10
−3
a 10
−2
99 a 99, 90% 1.000 a 100
1 10
−2
a 10
−1
90 a 99% 100 a 10
20
2.4.2 Tempo M´edio para Falhar - MTTF
O Tempo M´edio para Falhar (MTTF - Mean Time To Failure) ´e definido como o
tempo m´edio para a ocorrˆencia de uma falha. Apesar de ser um dos parˆametros de
maior relevˆancia no estudo de confiabilidade e disponibilidade de sistemas, muitas
vezes o MTTF ´e mal interpretado como sendo o tempo m´ınimo de vida ´util garantida
do sistema. Na Figura 2.11 ´e apresentada uma representa¸c˜ao gr´afica do MTTR, do
MTBF e do MTTF.
MTTR
MTBF
MTTF
Tempo
FalhaSucesso
Figura 2.11: MTTR e MTBF.
2.4.3 Tempo M´edio para Falhar de Forma Segura - MTTFs
´
Indice derivado do MTTF, o tempo m´edio para ocorrˆencia de uma falha segura
(MTTFs - Mean Time To Failure Spurious) corresponde ao tempo m´edio de opera-
¸c˜ao a partir do estado de partida (estado de total operacionalidade) at´e a interrup¸c˜ao
do processo sob a condi¸c˜ao de interesse, ou seja, a ocorrˆencia de uma falha classi-
ficada como segura (falha esp´uria). Neste intervalo de tempo sup˜oe-se que existe a
possibilidade de que falhas ocorridas em estados que n˜ao o de interesse possam ser
corrigidas.
O MTTFs ´e um ´ındice bastante representativo para a an´alise das conseq
¨
uˆencias
de desligamentos desnecess´arios do processo decorrentes de falhas esp´urias.
2.5 Conclus˜ao
Os requisitos de confiabilidade de sistemas instrumentados de seguran¸ca podem
freq
¨
uentemente ser expressos em termos um tanto simplistas e sem uma compreens˜ao
completa das implica¸c˜oes decorrentes. Essa situa¸c˜ao pode levar ao estabelecimento
de especifica¸c˜oes de projeto inadequadas, acarretando no dimensionamento incorreto
do sistema proposto.
21
A determina¸c˜ao da melhor configura¸c˜ao para os sistemas, no que concerne ao
n´ıvel de redundˆancia necess´ario para a instala¸c˜ao de equipamentos cr´ıticos e a escolha
da melhor pol´ıtica de opera¸c˜ao e manuten¸c˜ao para a unidade devem ser pautadas
em um processo de an´alise de confiabilidade do sistema, baseado na determina¸c˜ao
de ´ındices probabil´ısticos tais como a P F D
avg
, o MT T F e o MT T F
S
. Essa an´alise
pode ser realizada tanto em projetos de unidades novas, garantindo o correto dimen-
sionamento dos equipamentos para se obter um n´ıvel de prote¸c˜ao adequado, quanto
em instala¸c˜oes j´a existentes, visando identificar medidas que proporcionem melhoria
de eficiˆencia operacional, bem como a identifica¸c˜ao da necessidade de modifica¸c˜ao
do sistema para corre¸c˜ao de p oss´ıveis falhas.
22
Cap´ıtulo 3
M´etodo de An´alise de Markov
3.1 Introdu¸c˜ao
O m´etodo de an´alise de Markov ´e apropriado sempre que o comportamento es-
toc´astico dos componentes de um sistema depende do estado dos demais compo-
nentes ou do estado do sistema. Por essa raz˜ao o m´etodo de an´alise de Markov ´e
largamente utilizado para a avalia¸c˜ao probabil´ıstica de confiabilidade e seguran¸ca de
Sistemas Instrumentados de Seguran¸ca.
Nas se¸c˜oes seguintes ser˜ao abordados os princ´ıpios b´asicos, procedimento de mo-
delagem adotado e c´alculo dos diversos ´ındices probabil´ısticos a partir dos modelos
desenvolvidos.
3.2 Cadeias de Markov
Processos estoc´asticos s˜ao de grande interesse para a an´alise da opera¸c˜ao de um
sistema em um determinado per´ıodo de tempo. Um processo estoc´astico pode ser
definido como uma cole¸c˜ao de vari´aveis aleat´orias X(t) : t ∈ T , onde X(t) representa
uma caracter´ıstica mensur´avel de interesse no tempo t. Em outros termos, a vari´avel
aleat´oria X(t) representa o estado do sistema em fun¸c˜ao do parˆametro (geralmente
tempo) t. Embora T seja freq
¨
uentemente definido como sendo o conjunto dos reais
n˜ao-negativos (T ⊆ R
+
= [0, ∞)), outros conjuntos s˜ao perfeitamente aplic´aveis.
Dentre os diversos tipos de processos estoc´asticos existentes, um processo em espe-
cial, denominado processo Markoviano, ´e abordado neste trabalho.
Um pro cesso Markoviano, ou simplesmente processo de Markov, ´e um processo
estoc´astico cujo passado n˜ao exerce influˆencia sobre o futuro se o presente ´e especi-
ficado. Isto significa dizer que se t
n−1
< t
n
, ent˜ao:
P {X(t
n
) = x
n
| x(t), t = t
n−1
} = P {X(t
n
) = X
n
| X(t
n−1
)}. (3.1)
A express˜ao (3.1) pode ser traduzida por: a probabilidade condicional de qual-
quer evento futuro dado qualquer evento passado e o estado presente X(t
k
) = x
k
´e
independente do evento passado e depende somente do estado presente.
Em outros termos, um processo estoc´astico ´e dito ser um processo Markoviano
se o estado futuro depende apenas do estado presente e n˜ao dos estados passados.
Uma vez que o passado ´e desprezado, este tipo de processo estoc´astico ´e classificado
como sendo um processo sem mem´oria.
As probabilidades condicionais s˜ao denominadas probabilidades de transi¸c˜ao e
representam, portanto, a probabilidade do estado X(k + 1) ser x
k+1
no instante
k + 1 dado que o estado X(k) ´e x
k
no instante k. A an´alise das probabilidades
de transi¸c˜ao entre os estados determina o comportamento estat´ıstico da cadeia de
Markov.
A descri¸c˜ao apresentada acima tamb´em pode ser aplicada para processos discre-
tos no tempo. Nesse caso tem-se
P {X(k+1) = x
k+1
| X(k) = x
k
, ···, X(0) = x
0
} = P {X(k+1) = x
k+1
| X(k) = x
k
},
(3.2)
onde k ´e um valor inteiro n˜ao negativo.
3.3 Modelos de Markov
Modelos de Markov constituem uma ferramenta de modelagem bastante poderosa
e flex´ıvel muito utilizada na representa¸c˜ao do comportamento de sistemas repar´aveis
tolerantes a falhas e, portanto, assumem papel de destaque no processo de an´alise
probabil´ıstica de confiabilidade de Sistemas Instrumentados de Seguran¸ca. Para o
desenvolvimento de modelos de Markov utiliza-se apenas dois tipos de s´ımbolos,
apresentados na Figura 3.1. Os c´ırculos representam estados que correspondem
ao resultado das combina¸c˜oes entre sucesso e falha da opera¸c˜ao dos componentes
do sistema. Os arcos representam as probabilidades de transi¸c˜ao entre os estados,
levando-se em considera¸c˜ao todas as poss´ıveis falhas e/ou reparos dos componentes
do sistema.
24
Estado Arco de Transição
Figura 3.1: Simbologia do Modelo de Markov
Um modelo de Markov possibilita a representa¸c˜ao de toda a opera¸c˜ao de um sis-
tema tolerante a falhas em um ´unico diagrama, incluindo o esquema de redundˆancia
entre os diferentes n´ıveis de componentes do sistema. Na Figura 3.2 ´e apresentado
um exemplo de modelo de Markov para um sistema redundante gen´erico.
Sistema OK
0
Unidade A
Falhou
1
Unidade B
Falhou
2
Falha do
Sistema
3
λ
A
λ
B
R
λ
R
λ
R
λ
R
λ
λ
B
λ
A
Figura 3.2: Modelo de Markov de um sistema redundante gen´erico
Um modelo de Markov pode ser classificado em termos de sua ergodicidade. Em
um modelo do tipo erg´otico ou regular cada estado pode ser alcan¸cado a partir de
qualquer outro estado, seja de forma direta ou indireta. Por sua vez, um modelo
´e denominado n˜ao erg´otico ou absorvente quando um ou mais estados, assim que
alcan¸cados, interrompem o fluxo do processo. Nas Figuras 3.3 e 3.4 s˜ao apresentados
exemplos de modelos regular e absorvente, respectivamente.
3.3.1 Considera¸c˜oes sobre a modelagem
O n´ıvel de detalhamento de um modelo de Markov para an´alise de confiabilidade
depende dos objetivos da modelagem proposta. Durante o processo de modelagem
deve-se dar ˆenfase a fatores relevantes e eliminar fatores de menor importˆancia, de tal
25
Sistema OK
0
Sistema
Falhou
1
λ
μ
Figura 3.3: Modelo de Markov erg´otico (regular)
Sistema OK
0
Sistema
Falhou
(Falso Trip )
1
Falha do
Sistema sob
Demanda
2
1
λ
λ
2
Figura 3.4: Modelo de Markov n˜ao erg´otico (absorvente)
forma que o modelo obtido seja consistente e apresente dimens˜oes que n˜ao dificultem
por demais sua solu¸c˜ao.
Simplifica¸c˜oes e aproxima¸c˜oes s˜ao recursos muito utilizados para se reduzir a
complexidade do modelo, facilitando sua compreens˜ao e an´alise. Entretanto, deve-
se ter cautela ao se fazer uso desses recursos pois os resultados obtidos podem ser
excessivamente otim´ısticos e possivelmente incorretos.
O primeiro passo do procedimento de modelagem corresponde `a identifica¸c˜ao
e classifica¸c˜ao das poss´ıveis falhas em fun¸c˜ao de alguns fatores e dos efeitos que
estes causam no SIS. A seguir s˜ao discutidos os fatores considerados na modelagem
apresentada neste trabalho.
26
Modos de falha
Equipamentos de instrumenta¸c˜ao podem falhar de formas diferentes. Esses tipos
de falhas podem ser classificadas primariamente de acordo com as seguintes catego-
rias:
• Falha Segura
Uma falha segura de um instrumento pode ser definida como sendo uma falha
que causa um falso Trip ou Trip esp´urio de uma Fun¸c˜ao Instrumentada de
Seguran¸ca.
Uma defini¸c˜ao mais formal, a n´ıvel de sistema, seria que uma falha segura leva
o sistema a um estado seguro ou eleva a probabilidade de o sistema ser levado
a um estado seguro.
• Falha Perigosa
Uma falha perigosa impede que a Fun¸c˜ao Instrumentada de Seguran¸ca exer¸ca
sua fun¸c˜ao de prote¸c˜ao.
Alguns autores incluem nessa classifica¸c˜ao uma outra categoria de falhas, deno-
minada Falhas em Efeito. Segundo esses autores, falhas deste tipo n˜ao causam falsos
Trips ou sequer exercem algum tip o de efeito sobre as fun¸c˜oes instrumentadas de
seguran¸ca (GOBLE; CHEDDIE, 2005).
Neste trabalho falhas sem efeito n˜ao s˜ao consideradas na modelagem proposta.
A classifica¸c˜ao aqui adotada ´e apresentada na Figura 3.5. Segundo essa classifica¸c˜ao
a taxa de falha total do sistema pode ser decomposta da seguinte forma:
λ
T otal
= λ
S
+ λ
D
, (3.3)
onde λ
S
representa uma taxa de falha segura e λ
D
representa uma taxa de falha
perigosa.
Taxas de Reparo
Em sistemas reais assume-se que se um componente falha ele ´e reparado ou
substitu´ıdo por um novo componente. Se este novo componente falha, ´e substitu´ıdo
por outro e assim por diante. O componente reparado ´e tido como no mesmo estado
que um componente novo. Entretanto, uma falha pode ocasionar desde uma simples
27
Falha Segura
Falha Perigosa
(Saídas Desenergizadas)
(Saídas Energizadas)
Figura 3.5: Classifica¸c˜ao dos tipos de falha.
degrada¸c˜ao da prote¸c˜ao do sistema at´e a interrup¸c˜ao da opera¸c˜ao do mesmo. Faz-se
necess´ario, portanto, uma distin¸c˜ao entre o tempo necess´ario para que seja realizado
um simples reparo de uma falha que n˜ao interromp e a op era¸c˜ao do sistema, e o
tempo despendido com todos os procedimentos necess´arios para que o sistema seja
posto novamente em opera¸c˜ao ap´os a detec¸c˜ao e corre¸c˜ao de uma falha.
Como forma de realizar essa distin¸c˜ao foram utilizados neste trabalho dois tipos
distintos de taxa de reparo. A primeira representa uma taxa de reparo on line,
ou seja, uma taxa de reparo para falhas detectadas, mas que n˜ao interrompem o
funcionamento do sistema (µ
O
). A segunda representa a taxa referente ao tempo
necess´ario para que o sistema seja reparado e reiniciado ap´os a ocorrˆencia de uma
falha segura (µ
SD
).
µ
O
=
1
MT T R
(3.4)
e
µ
SD
=
1
t
Start−up
, (3.5)
onde t
Start−up
representa o tempo necess´ario para que a falha seja reparada e o
sistema seja reiniciado ap´os a ocorrˆencia de um desligamento ocasionado por um
Trip esp´urio.
O tempo de reparo afeta significativamente o desempenho de um sistema tole-
rante a falhas. Muitos dos m´etodos simplificados utilizados para a an´alise probabil´ıs-
tica de confiabilidade de sistemas dispon´ıveis na literatura especializada fornecem
solu¸c˜oes aproximadas que s˜ao aceit´aveis apenas para valores baixos de taxa de falha
e intervalos de reparo curtos.
28
Falha de modo comum - O Modelo Beta
De um modo geral, os modelos de avalia¸c˜ao de confiabilidade consideram que
as falhas dos componentes s˜ao estatisticamente independentes umas das outras.
No entanto, para componentes redundantes, existe sempre a possibilidade de que
algum grau de dependˆencia entre as falhas dos componentes seja introduzido, de-
vido a problemas comuns de projeto, fabrica¸c˜ao, montagem, opera¸c˜ao, localiza¸c˜ao,
manuten¸c˜ao, entre outros. S˜ao as chamadas falhas de modo comum.
Dependendo do grau de dependˆencia entre as falhas dos componentes redun-
dantes, isto pode acarretar uma significativa redu¸c˜ao do ganho de confiabilidade
auferido pela coloca¸c˜ao da redundˆancia, resultando em um sistema bem menos con-
fi´avel do que o esperado.
Uma falha de modo comum ´e definida como sendo a falha de mais de um com-
ponente, m´odulo, unidade ou sistema devido a uma mesma causa ou fator (GOBLE,
1998).
Falhas de projeto s˜ao as principais fontes de falhas de modo comum. Procedi-
mentos operacionais e de manuten¸c˜ao incorretos tamb´em podem ocasionar esse tipo
de falha. A crescente complexidade dos sistemas instrumentados de seguran¸ca tem
elevado a probabilidade de ocorrˆencia de falhas de modo comum.
Neste trabalho foi adotado o Modelo Beta, modelo bastante difundido para re-
presentar o efeito de falhas de modo comum na an´alise de sistemas redundantes. O
Modelo Beta utiliza um fator multiplicador, denominado fator beta, para represen-
tar o percentual da taxa de falha total do componente que pode ser considerado
como falha de modo comum. O Fator Beta pode assumir valores compreendidos
numa faixa entre 0 e 100 %. Dessa forma ´e poss´ıvel classificar a taxa de falha de
cada componente do sistema em dois tipos distintos: normal (λ
N
) e devido a causa
comum (λ
C
).
λ
C
= β × λ (3.6)
e
λ
N
= (1 − β) × λ (3.7)
De onde temos que
λ
S
= λ
SC
+ λ
SN
(3.8)
29
e
λ
D
= λ
DC
+ λ
DN
(3.9)
Na Figura 3.6 ´e apresentada uma representa¸c˜ao gr´afica da classifica¸c˜ao das falhas
segundo o Modelo Beta.
Falha de um componente
β
(1-β)
Falha de dois ou
mais componentes
Figura 3.6: Classifica¸c˜ao de falhas segundo o Modelo Beta.
Ao longo dos anos e com o avan¸co dos estudos sobre a confiabilidade e seguran¸ca
dos processos industriais, profissionais da ´area tˆem proposto uma s´erie de valores
considerados adequados para o fator beta, tanto para falhas de hardware quando
para falhas de software. Na literatura especializada encontram-se publicadas diver-
sas estimativas de faixas de valores para o fator beta, obtidas em fun¸c˜ao dos mais
diferentes tipos de an´alise de projeto e implementa¸c˜ao de processos e sistemas. Uma
avalia¸c˜ao qualitativa da implementa¸c˜ao f´ısica e l´ogica do sistema pode e deve, sempre
que poss´ıvel, ser realizada para se estimar o valor adequado para o fator beta.
A seguir s˜ao apresentados de forma simplificada alguns dos crit´erios adotados
como referˆencias para essa avalia¸c˜ao, segundo o question´ario proposto pela IEC em
(IEC, 2000).
• Separa¸c˜ao f´ısica e redundˆancia;
Unidades redundantes fisicamente separadas s˜ao menos suscet´ıveis a falhas
devido a causa comum. A maioria dos efeitos de fatores ambientais fontes
desse tipo de falha variam de forma n˜ao linear em fun¸c˜ao da distˆancia de
separa¸c˜ao f´ısica.
• Diversidade;
Diversidade ´e um conceito segundo o qual unidades com projeto diferentes s˜ao
utilizadas em conjunto numa configura¸c˜ao redundante. A id´eia b´asica ´e na ver-
30
dade bastante simples: componentes com diferentes processos de manufatura
n˜ao ser˜ao afetados pelo mesmo tipo de falha ao mesmo tempo.
• Procedimentos operacionais e de manuten¸c˜ao.
Os efeitos de falhas de modo comum podem ser facilmente modelados por meio
do m´etodo de an´alise de Markov. Na Figura 3.7 ´e apresentado um modelo de Markov
que exemplifica a aplica¸c˜ao do modelo Beta para representar a ocorrˆencia de falhas
de modo comum em um sistema redundante. No estado 0 o sistema opera normal-
mente. No estado 1 ocorreu a falha de um dos equipamentos. O estado 2 representa
o cen´ario de falha do sistema. As probabilidades de reparo foram omitidas no mo-
delo para facilitar a visualiza¸c˜ao. A ocorrˆencia de uma falha devido a causa comum
´e representada pelo arco que leva o sistema do estado 0 diretamente para o estado
2, indicando a falha simultˆanea dos dois componentes e, conseq
¨
uentemente, a falha
geral do sistema.
Sistema OK
0
Falha do
Sistema
2
λ
1
λ
3
λ
2
Uma Unidade
Falhou
1
Figura 3.7: Modelo de Markov de um sistema redundante com ocorrˆencia de falha por
causa comum.
Auto Diagn´ostico de falhas
A seguran¸ca e a confiabilidade de processos podem ser substancialmente melho-
radas quando o sistema ´e capaz de detectar de maneira autom´atica poss´ıveis falhas
de componentes. A detec¸c˜ao on line de falhas traz benef´ıcios para o sistema. A
identifica¸c˜ao de falhas no momento em que estas ocorrem torna poss´ıvel a redu¸c˜ao
do tempo de reparo do sistema, uma vez que n˜ao ser´a mais necess´ario esperar por
uma parada de manuten¸c˜ao programada para que as falhas sejam descobertas.
A maior parte dos equipamentos eletrˆonicos que comp˜oem os Sistemas Instru-
mentados de Seguran¸ca modernos realiza periodicamente testes internos a fim de
31
identificar poss´ıveis falhas, ou seja, a cada sinal enviado ´e realizado um auto diag-
n´ostico e verificado se o sistema est´a ou n˜ao falho.
Para ilustrar o conceito de diagn´ostico autom´atico de falhas ser´a considerado um
sistema simples composto por duas chaves gen´ericas idˆenticas dispostas numa confi-
gura¸c˜ao em s´erie (vota¸c˜ao 1oo2). As chaves possuem pequenos m´odulos microproces-
sados respons´aveis pela detec¸c˜ao de curto-circuito nos contatos (falha perigosa). A
detec¸c˜ao desse tipo de falha ocorre da seguinte forma: em intervalos de tempo regu-
lares os m´odulos de diagn´ostico abrem os contatos durante microsegundos e verificam
a corrente que flui atrav´es destes. Se o valor da corrente n˜ao diminui ´e sinal de que
ocorreu um curto-circuito nos contatos e a falha ´e identificada.
Processo
Chave 1
Chave 2
Diagnóstico
Diagnóstico
Figura 3.8: Sistema gen´erico 1oo2 com diagn´ostico de falhas.
De modo geral, a capacidade de diagn´ostico autom´atico de um sistema possibilita
a detec¸c˜ao da maioria das falhas, embora n˜ao a totalidade das falhas poss´ıveis. Para
modelar a eficiˆencia desse auto diagn´ostico emprega-se um coeficiente denominado
Fator de Cobertura de Diagn´ostico (C), o qual representa a fra¸c˜ao da taxa de fal-
has detect´aveis pelo auto diagn´ostico. O Fator de Cobertura de Diagn´ostico pode
assumir valores compreendidos numa faixa entre 0 e 100 %.
λ
SD
= C × λ
S
(3.10)
λ
SU
= (1 − C) × λ
S
(3.11)
e
λ
DD
= C × λ
D
(3.12)
32
λ
DU
= (1 − C) × λ
D
(3.13)
Combinando os efeitos de falhas devido a causa comum com a capacidade de
diagn´ostico do sistema obt´em-se novas categorias para as taxas de falha:
λ
SDN
= (1 − β) × λ
SD
(3.14)
λ
SDC
= β × λ
SD
(3.15)
λ
SU N
= (1 − β) × λ
SU
(3.16)
λ
SU C
= β × λ
SU
(3.17)
λ
DDN
= (1 − β) × λ
DD
(3.18)
λ
DDC
= β × λ
DD
(3.19)
λ
DU N
= (1 − β) × λ
DU
(3.20)
λ
DU C
= β × λ
DU
(3.21)
3.3.2 Procedimento para constru¸c˜ao do modelo
Para a constru¸c˜ao do modelo de Markov foi utilizado um procedimento sis-
tem´atico baseado no m´etodo proposto por Bukowski e Goble em (BUKOWSKI; GOBLE,
1995). O procedimento ´e apresentado a seguir:
1. Identificar e classificar as poss´ıveis falhas do sistema e de seus componentes;
2. Determinar as taxas de falha e de reparo dos componentes do sistema;
3. Iniciar a constru¸c˜ao do modelo de Markov a partir do estado no qual todos os
componentes est˜ao operando normalmente;
33
4. Para cada tipo de falha identificado, adicionar um estado no modelo e identi-
ficar por meio de arcos de transi¸c˜ao as taxas de falha e de reparo correspon-
dentes.
Na Figura 3.9 ´e apresentado o modelo de um sistema simples, consistindo de
duas chaves gen´ericas idˆenticas dispostas numa configura¸c˜ao em s´erie (vota¸c˜ao 1oo2,
normalmente energizadas). Cada chave apresenta dois tipos distintos de falha: cir-
cuito aberto e curto-circuito. A falha do tipo circuito aberto ´e classificada como
segura, pois desenergiza o processo. A falha do tipo curto-circuito ´e classificada
como p erigosa, pois impede que o processo seja interrompido caso uma condi¸c˜ao
potencialmente perigosa ocorra.
Processo
Chave A
Chave B
Figura 3.9: Sistema gen´erico com arquitetura 1oo2.
Para que o sistema como um todo falhe de forma perigosa ´e necess´ario que ocorra
um curto-circuito em ambas as chaves, ou seja, que as duas chaves falhem de forma
perigosa. Al´em disso, deve ser considerada ainda a possibilidade de as duas chaves
virem a falhar ao mesmo tempo devido a uma mesma causa (modo comum). Esse
cen´ario encontra-se representado atrav´es do diagrama de ´arvore de falta apresentado
na Figura 3.10.
Para que o sistema falhe de forma segura basta que uma das chaves falhe de
forma segura, ou seja, basta que uma das chaves falhe aberta. Novamente deve ser
considerada a possibilidade de as duas chaves virem a falhar ao mesmo tempo devido
a uma mesma causa. Esse cen´ario encontra-se representado atrav´es do diagrama de
´arvore de falta apresentado na Figura 3.11.
O modelo de Markov correspondente a esse sistema ´e apresentado na Figura 3.12.
O estado 0 representa a situa¸c˜ao na qual o sistema opera de forma bem sucedida.
No estado 1 ocorreu uma falha perigosa em uma das chaves, mas o sistema continua
34
Falha Perigosa do
Sistema
Curto-Circuito
Chave A
Curto-Circuito
Chave B
Curto-Circuito
Chaves A e B
(Causa Comum )
Figura 3.10: Diagrama de ´arvore de falta para sistema 1oo2.
Falha Segura do
Sistema
Circuito Aberto
Chave A
Circuito Aberto
Chave B
Circuito Aberto
Chaves A e B
(Causa Comum )
Figura 3.11: Diagrama de ´arvore de falta para sistema 1oo2.
operando. No estado 2 o sistema falhou de forma segura.
´
E assumido que ao se
atingir esse estado, todas as falhas ser˜ao reparadas e retorna-se ao estado 0. O
estado 3 indica que o sistema falhou de forma perigosa.
O modelo apresentado na Figura 3.12 ´e bastante simples e desconsidera a capaci-
dade de auto-diagn´ostico de falhas do sistema. Um novo modelo, mais completo,
apresentado na Figura 3.13 apresenta dois estados adicionais, em compara¸c˜ao ao
modelo anterior. Neste novo modelo, o estado 0 continua representando a opera-
¸c˜ao bem sucedida do sistema. Os estados 1 e 2 resultam da quebra do estado que
representa a ocorrˆencia de falha perigosa em uma das chaves em dois: o estado 1
indica a ocorrˆencia de uma falha perigosa detectada; o estado 2 indica a ocorrˆencia
de uma falha perigosa n˜ao detectada. No estado 3 o sistema falha de forma segura.
35
Sistema OK
0
Falha Segura
do Sistema
2
Falha
Perigosa de
uma Unidade.
1
Falha Perigosa
do Sistema
3
μ
o
2λ
DN
μ
SD
λ
D
λ
S
λ
DC
μ
U
2
λ
S
N
λ
S
C
+
Figura 3.12: Modelo de Markov para sistema 1oo2.
Os estados 4 e 5 representam a falha perigosa do sistema, detectada e n˜ao detectada
respectivamente. Nas Figuras 3.14 e 3.15 s˜ao apresentados novos diagramas para
falhas perigosa e segura do sistema, respectivamente.
36
Sistema OK
0
Falha Segura do
Sistema
3
Falha
Perigosa
Detectada de
uma Unidade.
1
Falha Perigosa
Detectada do
Sistema
4
μ
o
μ
SD
λ
D
λ
S
Falha Perigosa
Não Detectada
do Sistema
5
Falha
Perigosa Não
Detectada de
uma Unidade.
2
+
λ
S
U
C
2
λ
S
D
N
2
λ
S
U
N
λ
S
D
C
+
+
λ
DD
λ
DU
λ
S
μ
o
λ
DDC
λ
DUC
2λ
DDN
2λ
DUN
Figura 3.13: Modelo de Markov para sistema 1o o2 gen´erico com unidades idˆenticas e
diagn´ostico de falhas.
Falha Perigosa do
Sistema
Curto-Circuito
Não Detectado
Chave A
Curto-Circuito
Não Detectado
Chave B
Curto-Circuito
Não Detectado
Chaves A e B
(Causa Comum)
Curto-Circuito
Detectado
Chave A
Curto-Circuito
Não Detectado
Chave B
Curto-Circuito
Detectado
Chaves A e B
(Causa Comum)
Curto-Circuito
Não Detectado
Chave A
Curto-Circuito
Detectado
Chave B
Curto-Circuito
Detectado
Chave A
Curto-Circuito
Detectado
Chave B
Figura 3.14: Diagrama de falha perigosa para sistema 1oo2 gen´erico com unidades idˆen-
ticas e diagn´ostico de falhas.
37
Falha Segura do
Sistema
Circuito Aberto
Detectado
Chave A
Circuito Aberto
Detectado
Chaves A e B
(Causa Comum)
Circuito Aberto
Não Detectado
Chave A
Circuito Aberto
Detectado
Chave B
Circuito Aberto
Não Detectado
Chave B
Circuito Aberto
Não Detectado
Chaves A e B
(Causa Comum)
Figura 3.15: Diagrama de falha segura para sistema 1oo2 gen´erico com unidades idˆenticas
e diagn´ostico de falhas.
Com o objetivo de minimizar a probabilidade de falha devido a uma mesma causa,
´e comum a utiliza¸c˜ao de configura¸c˜oes redundantes compostas por equipamentos
distintos. O modelo apresentado na Figura 3.13 pode ser mo dificado para representar
o comportamento de um sistema 1oo2 gen´erico formado por unidades distintas. O
novo modelo ´e apresentado a seguir na Figura 3.16.
38
Sistema OK
0
Falha Segura do
Sistema
5
Falha
Perigosa
Detectada da
Unidade A .
1
Falha Perigosa
Detectada do
Sistema
6
μ
o
Falha Perigosa
Não Detectada
do Sistema
7
Falha
Perigosa
Detectada da
Unidade B.
2
μ
o
λ
DDC
λ
DUC
Falha
Perigosa Não
Detectada da
Unidade A.
3
Falha
Perigosa Não
Detectada de
Unidade B.
4
λ
DDN
A
λ
S
B
λ
DUN
B
λ
DUN
A
λ
D
B
λ
S
A
λ
D
A
μ
o
λ
DDN
B
λ
S
A
λ
S
B
λ
DD
B
λ
DD
A
λ
DU
B
λ
DU
A
+
λ
S
U
C
λ
S
D
N
λ
S
D
C
+
+
A
λ
S
D
N
+
B
λ
S
U
N
+
A
λ
S
U
N
B
Figura 3.16: Modelo de Markov para sistema 1oo2 gen´erico com unidades distintas e
diagn´ostico de falhas.
3.4 An´alise do Modelo
Para a an´alise dos modelos desenvolvidos e o c´alculo dos ´ındices de confiabili-
dade foi utilizado um procedimento baseado nos trabalhos apresentados por Goble e
Cheddie (GOBLE; CHEDDIE, 2005) e Goble e Bukowski (GOBLE; BUKOWSKI, 2001a).
O primeiro passo para a an´alise do modelo de Markov desenvolvido ´e a sua
representa¸c˜ao em uma forma matricial.
39
3.4.1 Matriz de Transi¸c˜ao
Qualquer modelo discreto de Markov pode ser representado por uma matriz n×n,
onde n ´e igual ao n´umero de estados do modelo. Essa matriz, denominada Matriz
de Probabilidade de Transi¸c˜ao Estoc´astica, ou simplesmente Matriz de Transi¸c˜ao,
cont´em toda informa¸c˜ao necess´aria a respeito do modelo de Markov.
Dado o modelo de Markov para um sistema redundante gen´erico com unidades
idˆenticas apresentado na Figura 3.13, a matriz de transi¸c˜ao que o representa ´e dada
a seguir:
Λ =
1 −
2λ
DDN
2λ
DU N
λ
S
+ λ
SN
λ
DDC
λ
DU C
µ
0
1 −
0 λ
S
λ
D
0
0 0 1 −
λ
S
λ
DD
λ
DU
µ
SD
0 0 1 − µ
SD
0 0
µ
0
0 0 0 1 − µ
0
0
0 0 0 0 0 1
, (3.22)
onde o termo
representa a soma de todos os demais elementos da linha em quest˜ao.
Cada elemento da matriz de transi¸c˜ao representa a probabilidade de transi¸c˜ao do
sistema entre os estados do modelo. Por exemplo, na matriz Λ em (3.22) o elemento
2λ
DDN
referente `a linha 0 e coluna 1 representa a probabilidade de transi¸c˜ao entre
os estados 0 e 1 . De forma semelhante, o elemento 1−
referente `a linha 0 e coluna
0 representa a probabilidade de o sistema permanecer no estado 0. Interpreta¸c˜ao
semelhante pode ser feita para os demais elementos da matriz Λ.
O estado de partida do modelo afeta o c´alculo das probabilidades limite. Dessa
forma, as probabilidades no instante de partida do modelo s˜ao especificadas atrav´es
do vetor linha S. Esse vetor linha indica a probabilidade de que o modelo encontre-se
em qualquer um dos estados existentes no instante inicial.
Para se analisar as probabilidades de estado do modelo de Markov em fun¸c˜ao do
tempo, deve-se assumir um estado inicial para o sistema. Foi assumido que o sistema
encontra-se inicialmente no estado 0 no instante de tempo t = 0. Isto ´e equivalente
a dizer que o sistema opera normalmente imediatamente ap´os sua fase de instala¸c˜ao
e comissionamento.
40
3.4.2 C´alculo dos
´
Indices de Confiabilidade e Disponibili-
dade
PFDavg e RRF
O valor da PFD ´e calculado a partir do somat´orio dos resultados obtidos atrav´es
da multiplica¸c˜ao do vetor linha S pela matriz de transi¸c˜ao P um n´umero de vezes
correspondente ao intervalo de tempo de interesse. O valor da P F D
avg
´e obtido
simplesmente calculando-se o valor m´edio da PFD. Para o modelo apresentado na
Figura 3.13 tem-se
S = SΛ (3.23)
ou
S = S
1 −
2λ
DDN
2λ
DU N
λ
S
+ λ
SN
λ
DDC
λ
DU C
µ
0
1 −
0 λ
S
λ
D
0
0 0 1 −
λ
S
λ
DD
λ
DU
µ
SD
0 0 1 − µ
SD
0 0
µ
0
0 0 0 1 − µ
0
0
0 0 0 0 0 1
(3.24)
MTTF
Para o c´alculo do MTTF deve-se criar uma matriz truncada que contenha apenas
os estados transientes de sucesso do sistema. Isto ´e feito removendo-se as linhas e
colunas referentes aos estados absorventes e/ou estados de falha do sistema. A
matriz truncada Q para o modelo da Figura 3.13 ´e apresentada a seguir:
Q =
1 −
2λ
DDN
2λ
DU N
µ
0
1 −
0
0 0 1 −
(3.25)
Observa-se que a matriz truncada Q apresentada em (3.25) foi obtida atrav´es
da elimina¸c˜ao das linha e colunas correspondentes aos estados 3, 4 e 5 do modelo
apresentado na Figura 3.13.
41
O passo seguinte ´e subtrair a matriz truncada Q da matriz identidade I.
I − Q =
1 0 0
0 1 0
0 0 1
−
1 −
2λ
DDN
2λ
DU N
µ
0
1 −
0
0 0 1
(3.26)
Em seguida deve-se inverter a matriz obtida ap´os a subtra¸c˜ao. O resultado
dessa opera¸c˜ao ser´a uma nova matriz, denominada N. A matriz N fornece o n´umero
esperado de incrementos de tempo em que o sistema permanece em cada estado de
sucesso do modelo, em fun¸c˜ao do estado de partida.
N = [I − Q]
−1
(3.27)
O MTTF ´e obtido atrav´es da adi¸c˜ao dos elementos da linha referente ao estado
de partida do sistema. Dessa forma, assumindo que o sistema comece a operar a
partir do estado 0, o MTTF ser´a resultado da soma dos elementos da linha 0 da
matriz N.
MTTFs
Para o c´alculo do MTTFs, o modelo de Markov apresentado na Figura 3.13 deve
ser modificado. Deve-se remover o arco de transi¸c˜ao que representa a probabilidade
de reparo do estado que representa a falha segura do sistema. Dessa forma, o estado
5 passa a ser um estado absorvente. Um novo modelo ´e apresentado na Figura 3.17.
A partir do modelo modificado, o MTTFs ser´a calculado atrav´es do procedimento
apresentado anteriormente para o c´alculo do MTTF.
42
Sistema OK
0
Falha Segura do
Sistema
3
Falha
Perigosa
Detectada de
uma Unidade.
1
Falha Perigosa
Detectada do
Sistema
4
μ
o
λ
D
λ
S
Falha Perigosa
Não Detectada
do Sistema
5
Falha
Perigosa Não
Detectada de
uma Unidade.
2
+
λ
S
U
C
2
λ
S
D
N
2
λ
S
U
N
λ
S
D
C
+
+
λ
DD
λ
DU
λ
S
μ
o
λ
DDC
λ
DUC
2λ
DDN
2λ
DUN
μ
u
Figura 3.17: Modelo de Markov modificado para c´alculo do MTTFs.
3.5 Conclus˜ao
Diversos aspectos influenciam o comportamento dos sistemas e afetam direta-
mente o n´ıvel de complexidade dos modelos utilizados.
O uso de um procedimento sistem´atico para a constru¸c˜ao dos modelos e a an´alise
destes atrav´es da utiliza¸c˜ao de m´etodos num´ericos simplifica o processo de an´alise,
possibilitando a obten¸c˜ao de resultados bastante precisos.
43
Cap´ıtulo 4
Software para Avalia¸c˜ao de
Confiabilidade de SIS
4.1 Introdu¸c˜ao
O software foi desenvolvido para apoiar a execu¸c˜ao de avalia¸c˜oes de confiabili-
dade e disponibilidade de Sistemas Instrumentados de Seguran¸ca aplicados em ´areas
cr´ıticas de processos da ind´ustria qu´ımica e petroqu´ımica.
Nas se¸c˜oes seguintes s˜ao discutidas as principais caracter´ısticas e funcionalidades
do software desenvolvido e apresentados alguns estudos de casos onde o software
foi utilizado para o c´alculo de ´ındices de confiabilidade e seguran¸ca referentes a Sis-
temas Instrumentados de Seguran¸ca associados a processos bastante representativos
na ind´ustria qu´ımica e petroqu´ımica. Os resultados obtidos s˜ao comparados aos
resultados obtidos atrav´es do uso do software exSILentia do fabricante Exida.
4.2 Software para Avalia¸c˜ao de Confiabilidade de
SIS
4.2.1 Vis˜ao Geral
O software apresentado neste trabalho ´e o resultado de um projeto de P&D
firmado entre a Universidade Federal de Campina Grande (UFCG) e o Centro de
Pesquisas e Desenvolvimento Leopoldo Am´erico Miguez de Melo (CENPES/Petrobras).
Atrav´es desse projeto buscava-se inicialmente o estudo e desenvolvimento de metodolo-
gias e t´ecnicas para an´alise de confiabilidade e seguran¸ca de Sistemas Instrumentados
de Seguran¸ca implementados em unidades da Petrobras.
No entanto, no decorrer do projeto verificou-se que, a partir dos estudos reali-
zados e dos modelos de confiabilidade desenvolvidos, seria interessante desenvolver
uma ferramenta de software para auxiliar os novos projetos de SIS em atendimento a
uma demanda interna da Petrobras. O software deveria possibilitar a realiza¸c˜ao da
avalia¸c˜ao de confiabilidade atrav´es do c´alculo de determinados ´ındices de confiabi-
lidade para verifica¸c˜ao de atendimento ao SIL requerido de diferentes configura¸c˜oes
de Fun¸c˜oes Instrumentadas de Seguran¸ca que comp˜oem um SIS. Dessa forma, enge-
nheiros e especialistas da ´area poderiam facilmente determinar a melhor arquitetura
do SIS atrav´es da an´alise de diferentes configura¸c˜oes poss´ıveis.
Diferentemente de outras ferramentas de software desenvolvidas apenas para o
c´alculo do atributo de confiabilidade Probabilidade de Falha na Demanda (PFD)
com base nas equa¸c˜oes simplificadas propostas na Parte 6 da norma IEC 61508
(IEC, 2000), o software desenvolvido utiliza uma s´erie de algoritmos baseados no
m´eto do de an´alise de Markov (apresentado no cap´ıtulo 3) para o c´alculo de ´ındices
de confiabilidade e seguran¸ca, tais como PFDavg e MTTFs. Al´em das vantagens
da utiliza¸c˜ao desse m´etodo, o software ainda disponibiliza uma vasta base de dados
de taxas de falha de equipamentos utilizados em implementa¸c˜oes de SIS. Essa com-
bina¸c˜ao permite uma an´alise completa e precisa de diversos cen´arios poss´ıveis, dos
mais simples aos mais complexos.
O software disp˜oem ainda de uma s´erie de funcionalidades que facilitam o processo
de an´alise, tais como a representa¸c˜ao gr´afica atrav´es de diagramas de blocos da con-
figura¸c˜ao analisada em cada Fun¸c˜ao Instrumentada de Seguran¸ca e o c´alculo do
valor m´aximo de SIL de cada SIF, al´em de uma ferramenta para estima¸c˜ao do fator
Beta de causa comum e a gera¸c˜ao autom´atica de relat´orios com os dados utilizados
e resultados da an´alise.
4.2.2 Arquitetura do Software
O software foi desenvolvido em linguagem de programa¸c˜ao C# fazendo uso da
plataforma .NET Microsoft Visual Studio 2008, e conta ainda com uma base de
dados integrada, desenvolvida na plataforma SQL Server Compact Edition 3.5.
Concebido para utiliza¸c˜ao na plataforma Windows, o software ´e compat´ıvel com
os sistemas operacionais XP e Vista. Na Figura 4.1 ´e apresentado um diagrama que
representa a arquitetura do software desenvolvido.
45
Banco de Dados
Ferramenta de Estimação
do Fator Beta
Ferramenta de Geração
de Relatórios
Ferramenta de Geração
de Diagrama de Blocos
Módulo de Cálculo
Interface
ao
usuário
Figura 4.1: Arquitetura do software.
4.2.3 Descri¸c˜ao do Software
A interface do software foi elaborada de forma a tornar intuitiva a sua utiliza-
¸c˜ao por pessoas que j´a possuam algum conhecimento b´asico no que diz respeito ao
processo de an´alise de risco e avalia¸c˜ao de confiabilidade e disponibilidade de SIS.
Na Figura 4.2 ´e apresentada a tela principal do software desenvolvido.
Figura 4.2: Tela principal do software.
46
Nessa tela est˜ao localizados o menu principal de acesso `as diversas funcionalidades
do software.
A seguir s˜ao apresentadas as principais funcionalidades do software e as respec-
tivas telas.
Cria¸c˜ao de um novo projeto
Para criar um Novo Projeto deve-se selecionar a op¸c˜ao de menu Projeto>Novo,
conforme apresentado na Figura 4.3.
Figura 4.3: Criando um novo projeto - Parte 1.
Ser´a exibida a Tela Novo Projeto apresentada na Figura 4.4. Nesta tela devem
ser inseridas as informa¸c˜oes referentes ao novo projeto.
Figura 4.4: Criando um novo projeto - Parte 2.
47
Adicionando uma SIF ao projeto
Como visto anteriormente neste trabalho, um Sistema Instrumentado de Segu-
ran¸ca ´e composto por diversas SIFs, identificadas durante uma fase preliminar do
processo de an´alise de risco do processo. Dessa forma, a avalia¸c˜ao de confiabilidade
e disp onibilidade de um SIS ´e realizada por meio da avalia¸c˜ao das SIFs que o com-
p˜oem. Portanto, para dar in´ıcio a uma avalia¸c˜ao de SIS ´e necess´ario adicionar ao
projeto criado as SIFs previamente identificadas.
O campo SIFs existente no canto superior esquerdo da Tela Principal agrupa
todos os comandos necess´arios para essa tarefa. Para adicionar uma nova SIF ao
projeto criado, deve-se clicar no bot˜ao Adicionar. Imediatamente ser´a exibida uma
caixa na qual deve-se inserir o nome da nova SIF, conforme apresentado na Figura
4.5.
Figura 4.5: Adicionando uma SIF ao projeto.
Ap´os isso, um conjunto de abas associadas `a SIF adicionada ser´a exibido na
parte inferior da tela, conforme apresentado na Figura 4.6. Cada aba corresponde a
uma etapa do processo de avalia¸c˜ao da SIF, sendo que a primeira disponibiliza um
conjunto de campos para identifica¸c˜ao da SIF e descri¸c˜ao do cen´ario asso ciado.
48
Figura 4.6: Tela de Descri¸c˜ao da SIF.
Especificando a SIF
O passo seguinte ´e a especifica¸c˜ao dos elementos e parˆametros da SIF. Essa tarefa
´e realizada atrav´es da aba verifica¸c˜ao do SIL, apresentada na Figura 4.7.
Figura 4.7: Tela de Especifica¸c˜ao da SIF.
Uma SIF ´e composta por trˆes elementos b´asicos: sensor (iniciador), executor da
l´ogica e elemento final. Para facilitar a visualiza¸c˜ao foi adotada uma estrutura em
´arvore onde cada n´o principal referencia um dos trˆes elementos b´asicos que comp˜oem
a SIF, na seq
¨
uencia estabelecida acima. Na Figura 4.8 ´e apresentada a ´arvore de
49
navega¸c˜ao da SIF.
Figura 4.8:
´
Arvore de Navega¸c˜ao da SIF.
Ainda segundo essa estrutura, cada elemento b´asico da SIF (n´o) ´e composto por
grupos (sub-n´os) e cada um dos grupos ´e composto por elementos. At´e 4 grupos
podem ser adicionados ao n´o iniciador da SIF, sendo que cada grupo pode ser com-
posto por um n´umero m´aximo de 3 elementos. Na Figura 4.9 ´e apresentado um
diagrama de blocos que representa a estrutura adotada.
Votação MooN entre Grupos
Elemento 1 Elemento 3
Grupo Iniciador 1
Votação MooN
entre elementos
Interface Interface
Sensor Sensor
Elemento 2
Interface
Sensor
Elemento 1
Grupo Iniciador 4
Interface
Sensor
Elemento 3
Interface
Sensor
Elemento Iniciador
Votação MooN
entre elementos
Figura 4.9: Diagrama do Elemento Iniciador da SIF.
50
Na Figura 4.10 ´e apresentada a tela para edi¸c˜ao das propriedades do grupo ini-
ciador criado.
Figura 4.10: Tela de especifica¸c˜ao do Grupo Iniciador.
Nessa tela dever˜ao ser inseridos todos os parˆametros necess´arios para o c´alculo
dos ´ındices de confiabilidade e disponibilidade associados a esse grupo. Al´em disso,
´e por meio dessa tela que s˜ao adicionados os elementos pertencentes ao grupo, e
definido o esquema de vota¸c˜ao que ser´a empregado. O esquema de vota¸c˜ao adotado
corresponde ao n´umero de elementos adicionados. As op¸c˜oes de vota¸c˜ao poss´ıveis
s˜ao 1oo1, 1oo2, 2oo2, 1oo3, 2oo3 e 3oo3. Na Figura 4.11 ´e apresentada a tela para
especifica¸c˜ao dos elementos que comp˜oem o grupo.
Figura 4.11: Tela de especifica¸c˜ao do elemento do Grupo Iniciador.
Estrutura semelhante ´e adotada para o n´o referente ao elemento final da SIF.
Na Figura 4.12 ´e apresentado um diagrama de blo cos que representa a estrutura
adotada para o elemento final.
51
Votação MooN entre Grupos
Elemento 1
Elemento 3
Grupo Elemento Final 1
Interface
Atuador
Elemento 2
Grupo Elemento Final 4
Elemento 3
Elemento Final
Válvula
Interface
Atuador
Válvula
Interface
Atuador
Válvula
Elemento 1
Interface
Atuador
Válvula
Interface
Atuador
Válvula
Votação MooN
entre elementos
Votação MooN
entre elementos
Figura 4.12: Diagrama do Elemento Final da SIF.
Nas Figuras 4.13 e 4.14 s˜ao apresentadas as telas para para edi¸c˜ao das pro-
priedades do grup o elemento final e para especifica¸c˜ao dos elementos que o comp˜oem,
respectivamente.
Figura 4.13:
Tela de especifica¸c˜ao do Grupo Elemento Final.
Figura 4.14: Tela de especifica¸c˜ao do elemento do Grupo Elemento Final.
52
Assume-se que o elemento executor da l´ogica ´e ´unico em cada SIF, logo n˜ao ´e
permitida a adi¸c˜ao de grupos ao n´o referente a esse elemento b´asico. Na Figura 4.15
´e apresentada a tela para especifica¸c˜ao e edi¸c˜ao das propriedades do executor da
l´ogica.
Figura 4.15: Tela de especifica¸c˜ao do Executor da L´ogica.
Visualizando os resultados da SIF
Para visualizar os resultados obtidos para cada grupo definido, deve-se selecionar
o grupo desejado na ´arvore de navega¸c˜ao da SIF. Nas Figuras 4.16 e 4.17 s˜ao apre-
sentadas a telas de exibi¸c˜ao dos resultados dos c´alculos realizados para os grup os
Iniciador e Elemento Final, respectivamente.
Os resultados obtidos para os c´alculos referentes ao elemento executor da l´ogica
s˜ao apresentados na mesma tela de especifica¸c˜ao e edi¸c˜ao das propriedades apresen-
tada na Figura 4.15.
Ap´os a especifica¸c˜ao de todas as partes componentes da SIF, o usu´ario poder´a
visualizar os resultados finais dos c´alculos realizados e conferir se os ´ındices obtidos
encontram-se de acordo com os n´ıvel de integridade desejado. Para tal, o usu´ario de-
ver´a selecionar a op¸c˜ao Elementos da SIF localizada no topo da ´arvore de navega¸c˜ao
da SIF. Na Figura 4.18 ´e apresentada a tela de exibi¸c˜ao de resultados da SIF.
53
Figura 4.16: Tela de Resultados do Grupo Sensor.
Figura 4.17: Tela de Resultados do Grupo Elemento Final.
54
Figura 4.18: Tela de Resultados da SIF.
Visualizando a configura¸c˜ao implementada
A qualquer momento durante a etapa de especifica¸c˜ao dos componentes da SIF ´e
poss´ıvel visualizar a configura¸c˜ao implementada por meio de um diagrama de blocos.
Na Figura 4.19 ´e apresentado um exemplo de diagrama de blocos gerado.
Figura 4.19: Exemplo de diagrama de blocos gerado.
55
Ferramenta de Estima¸c˜ao do Fator Beta de Causa Comum
Outra funcionalidade incorporada no software ´e a ferramenta para estimar o Fa-
tor Beta de causa comum. Essa ferramenta permite estimar um valor adequado
para fator Beta a ser utilizado na avalia¸c˜ao atrav´es do preenchimento de um for-
mul´ario simples. Para ter acesso a esta ferramenta deve-se clicar no menu Ferra-
mentas>Estimador Beta. Na Figura 4.20 ´e apresentada a ferramenta.
Figura 4.20: Ferramenta para estima¸c˜ao do Fator Beta de Causa Comum.
4.3 Estudos de Caso
Nesta se¸c˜ao s˜ao apresentados alguns estudos de casos onde s˜ao avaliados Sistemas
Instrumentados de Seguran¸ca associados a processos bastante comuns na ind´ustria
qu´ımica e petroqu´ımica. Em cada caso s˜ao discutidos aspectos referentes `a opera-
¸c˜ao do processo e implementa¸c˜ao do SIS e calculados os ´ındices de confiabilidade e
disponibilidade atrav´es do uso do software desenvolvido. O n´ıvel SIL resultante para
cada SIF analisada ´e atribu´ıdo de acordo com classifica¸c˜ao estabelecida pela norma
IEC 61508 (IEC, 2000), em fun¸c˜ao da PFDavg calculada. Os valores adotados para
os equipamentos foram retirados da base de dados de falha de equipamentos da Ex-
ida (EXIDA, 2003). Al´em disso, todas as taxas de falha referentes aos equipamentos
selecionados e taxas de reparo utilizadas s˜ao assumidas constantes.
56
4.3.1 Estudo de Caso 1: Reator Qu´ımico
No exemplo a seguir ´e apresentada a an´alise de confiabilidade e disponibilidade
do Sistema Instrumentado de Seguran¸ca projetado para garantir a prote¸c˜ao de um
reator qu´ımico contra valores excessivos de press˜ao causados por um bloqueio no
circuito de sa´ıda do reator. Valores de press˜ao acima de limites classificados como
seguros podem ocasionar a ruptura das paredes do reator e a libera¸c˜ao de seu con-
te´udo para a atmosfera, resultando em danos a equipamentos e perdas de vidas,
dentre outras conseq
¨
uˆencias. O sistema descrito ´e apresentado na Figura 4.21.
CLP de
Segurança
Válvula de Alimentação
Reator
PT-2
PT-1
Sensor de
Pressão
Sensor de
Pressão
S
Ar de Instrumentação
Vent
XV-01
Figura 4.21: Estrutura do SIS associado ao Reator Qu´ımico.
O SIS deste exemplo ´e composto por uma ´unica Fun¸c˜ao Instrumentada de Se-
guran¸ca constitu´ıda pelos seguintes equipamentos gen´ericos: dois transmissores de
press˜ao idˆenticos PT-1 e PT-2, um CLP de seguran¸ca, uma v´alvula solen´oide de 3
vias e uma v´alvula esfera de seguran¸ca XV-01. Na Figura 4.22 ´e apresentado um di-
agrama de blocos que representa a arquitetura adotada para a fun¸c˜ao de seguran¸ca.
Quando um dos transmissores sinaliza que a press˜ao no interior do reator est´a acima
de um valor limite pr´e-estabelecido a v´alvula XV-01 ´e fechada, interrompendo a
alimenta¸c˜ao do reator.
57
Equipamento
Executor da Lógica
Medição de
Pressão
Medição de
Pressão
1oo2
Atuador e Válvula
Figura 4.22: Representa¸c˜ao da SIF do Reator Qu´ımico.
Os valores assumidos para os parˆametros utilizados nos c´alculos e as taxas de
falha dos equipamentos selecionados s˜ao apresentados nas Tabelas 4.1 e 4.2, respec-
tivamente.
Tabela 4.1: Parˆametros utilizados na an´alise (Caso 1).
Descri¸c˜ao Parˆametro Valor
Tempo m´edio de reparo MTTR 24h
Tempo de campanha TC 10 anos
Tempo de Startup T
Startup
30h
Intervalo de teste peri´odico TI 12 meses
Fator Beta β 5%
Fator de cobertura de diagn´ostico C 99%
Tabela 4.2: Taxas de falha dos equipamentos utilizados (Caso 1).
Equipamentos λ
SD
λ
SU
λ
DD
λ
DU
Transmissor de Press˜ao - 3,00E-07 - 1,00E-06
CLP de Seguran¸ca 1,12E-05 1,35E-07 4,34E-06 2,69E-07
V´alvula Solen´oide 3 Vias - 1,01E-06 - 5,85E-07
V´alvula Esfera - 5,00E-07 - 1,27E-06
Na Figura 4.23 ´e apresentada a tela de exibi¸c˜ao dos resultados obtidos a partir
da utiliza¸c˜ao do software desenvolvido para a an´alise realizado no estudo de caso 1.
58
Figura 4.23: Tela de resultados para o Estudo de Caso 1.
A partir do valor obtido para a PFDavg total ´e poss´ıvel classificar a SIF como
sendo adequada para um n´ıvel SIL 2.
Observa-se que, dentre os trˆes componentes b´asicos da SIF, o Elemento Final ´e
o componente de maior contribui¸c˜ao para a probabilidade de falha na demanda do
sistema.
Na Tabela 4.3 ´e apresentada uma compara¸c˜ao entre os resultados obtidos a partir
do uso do software desenvolvido e os resultados obtidos atrav´es do uso do software
de an´alise de confiabilidade exSILentia do fabricante Exida.
Tabela 4.3: Compara¸c˜ao entre os resultados obtidos (Caso 1).
exSILentia BR-SIL
Elementos PFDavg MTTFs (anos) PFDavg MTTFs (anos)
Elemento Sensor 2,41E-04 195,97 2,42E-04 197,03
Executor da L´ogica 1,17E-03 7,31 1,17E-03 7,51
Elemento Final 8,06E-03 76,22 8,08E-03 77,00
59
4.3.2 Estudo de Caso 2: Planta de G´as Natural
A seguir ´e realizada a an´alise de um Sistema Instrumentado de Seguran¸ca im-
plantado em uma planta de produ¸c˜ao de g´as natural. Plantas de produ¸c˜ao de ´oleo e
g´as, tanto onshore quanto offshore, operam com valores elevados de press˜ao, vaz˜ao
e temperatura e os perigos e respectivas conseq
¨
uˆencias devido a falhas operacionais
e/ou de equipamentos podem ser catastr´oficos.
Neste exemplo considera-se um campo de produ¸c˜ao formado por cinco po¸cos
localizados a uma distˆancia de aproximadamente 2 a 10 Km da esta¸c˜ao coletora. Na
Figura 4.24 ´e apresentado um diagrama simplificado que representa a interconex˜ao
entre os po¸cos e a planta de produ¸c˜ao de g´as natural.
Poço 1
Poço 2
Poço 3
Poço 4
Poço 5
Vaso
Separador
Secundário
Dispositivo de Alívio
Vaso
Separador
Principal
SDV
Header
Secundário
Header Principal
Gás
Gás
Líquido
Líquido
Dispositivo de Alívio
SDV
Secundária
Manifold
Figura 4.24: Diagrama simplificado do processo.
Os cinco po¸cos do campo est˜ao interligados a uma esta¸c˜ao coletora atrav´es de
linhas de 3”, as quais chegam `a esta¸c˜ao por um manifold de recebimento com dois
headers, um de produ¸c˜ao e outro secund´ario. O header secund´ario permite o mo-
nitoramento da produ¸c˜ao de cada po¸co de forma isolada. Ap´os a passagem pelo
manifold, o fluxo da produ¸c˜ao ´e direcionado para um vaso separador principal, onde
60
ocorre a separa¸c˜ao do condensado e outros l´ıquidos contaminantes (inclusive ´agua)
do g´as. Os processos de tratamento para o g´as e o l´ıquido resultantes da etapa de
separa¸c˜ao n˜ao s˜ao discutidos neste exemplo.
As v´alvulas de al´ıvio presentes nos vasos separadores principal e secund´ario s˜ao
conectadas a um terceiro header de seguran¸ca conectado a uma tocha (flare) para
queima do g´as. Por simplifica¸c˜ao, o header de seguran¸ca e suas respectivas conex˜oes
n˜ao s˜ao exibidos na Figura 4.24.
Na Figura 4.25 s˜ao apresentados os principais equipamentos associados a cada
po¸co e suas respectivas interliga¸c˜oes com o BPCS e o SIS.
Vaso
Separador
Principal
Alívio
Manifold de
Produção
FLV
PT 1
Suprimento
Hidráulico
S
S
UMV
LMV
ESD 1
(CLP)
PT 2
ZSO ZSC
Suprimento
Hidráulico
Gás
Líquido
S
BPCS
Válvula Principal
Superior
Válvula Principal
Inferior
Válvula de
Fundo de Poço
DSV
Válvula Choke
Válvula de
Vazão
Figura 4.25: Diagrama do processo para cada po¸co de produ¸c˜ao.
Em cada po¸co existe uma v´alvula Choke associada ao BPCS para o controle da
vaz˜ao dos fluidos produzidos. Outras quatro v´alvulas s˜ao utilizadas para a seguran¸ca
do processo. Essas v´alvulas s˜ao listadas a seguir.
• V´alvula de seguran¸ca de fundo de po¸co (DSV - Down-hole safety valve)
61
Trata-se de uma v´alvula de seguran¸ca do tipo N.A. que atua de forma au-
tom´atica, independente de sinal externo. Quando a press˜ao atinge um valor
pre-determinado, essa v´alvula sela o po¸co.
• V´alvula de Trip principal inferior (LMV - Lower master trip valve)
Localizada na linha de sa´ıda do po¸co, ´e uma v´alvula do tipo fail close operada
hidraulicamente via uma v´alvula solen´oide.
• V´alvula de Trip principal superior (UMV - Upper master trip valve)
Localizada imediatamente acima da v´alvula LMV, a UMV tamb´em ´e uma
v´alvula do tipo fail close operada hidraulicamente via uma v´alvula solen´oide.
• V´alvula de vaz˜ao (FLV - Flow-line valve)
Localizada ap´os a v´alvula Choke, a v´alvula FLV ´e uma v´alvula do tipo fail
close operada hidraulicamente via uma v´alvula solen´oide.
Observa-se que, excetuando-se a v´alvula de seguran¸ca de fundo de po¸co (DSV),
as demais v´alvulas s˜ao operadas hidraulicamente atrav´es de v´alvulas solen´oides indi-
viduais e s˜ao do tipo N.F. ou ”falha fechada”(Fail close). Assim, a perda de press˜ao
hidr´aulica de alimenta¸c˜ao ir´a ocasionar o fechamento das mesmas e, conseq
¨
uente-
mente, a interrup¸c˜ao da produ¸c˜ao.
O sistema de prote¸c˜ao implementado utiliza um CLP de seguran¸ca como equipa-
mento executor da l´ogica de seguran¸ca. Dois transmissores de press˜ao s˜ao utilizados
numa configura¸c˜ao de vota¸c˜ao 1oo2 para detec¸c˜ao de valores baixos e elevados de
press˜ao. Chaves de posi¸c˜ao sinalizam para o CLP de seguran¸ca se a v´alvula de
shutdown localizada na entrada do separador principal est´a fechada. Tamb´em para
as chaves de posi¸c˜ao foi adotado um esquema de vota¸c˜ao 1oo2. O subconjunto
elemento final do SIS ´e composto pelas v´alvulas LMV, UMV e FLV e respectivas
v´alvulas solen´oides dispostas numa configura¸c˜ao em s´erie (vota¸c˜ao 1oo3).
O foco da an´alise apresentada neste exemplo ser´a a Fun¸c˜ao Instrumentada de
Seguran¸ca implementada para salvaguardar o processo contra um valor elevado de
press˜ao na linha entre o po¸co e o manifold de produ¸c˜ao. Dentre as diversas causas
que podem levar a esse cen´ario de risco pode-se destacar:
• Causa 1 - O fechamento da v´alvula de shutdown localizada na entrada do vaso
separador principal ocasionando valores de press˜ao excessivos nas linha de
produ¸c˜ao e manifolds. A conseq
¨
uˆencia mais prov´avel associada a este cen´ario
´e a ruptura de uma flange do manifold de produ¸c˜ao.
62
• Causa 2 - Fechamento de uma v´alvula de admiss˜ao localizada na entrada do
manifold de produ¸c˜ao ocasionando sobrepress˜ao na linha. A conseq
¨
uˆencia mais
prov´avel associada a este cen´ario ´e a ruptura da linha de produ¸c˜ao em qualquer
ponto entre o po¸co e o manifold de produ¸c˜ao.
Na figura 4.26 ´e apresentado um diagrama de blocos para a Fun¸c˜ao Instrumen-
tada de Seguran¸ca para o cen´ario de sobrepress˜ao na linha entre o po¸co e a entrada
do vaso separador (causa 1).
PT-1
PT-2
ZSO
Válvula principal
superior
(UMV)
Válvula principal
inferior
(LMV)
Válvula de Fluxo
(FV)
1oo2
Votação 1oo3
1oo2
CLP de Segurança
2oo2
ZSC
Figura 4.26: Diagrama de Blocos da SIF - Estudo de Caso 2.
Os valores assumidos para os parˆametros utilizados nos c´alculos e as taxas de
falha dos equipamentos selecionados s˜ao apresentados nas Tabelas 4.4 e 4.5, respec-
tivamente.
Tabela 4.4: Parˆametros utilizados na an´alise (Caso 2).
Descri¸c˜ao Parˆametro Valor
Tempo m´edio de reparo MTTR 24h
Tempo de campanha TC 10 anos
Tempo de Startup T
Startup
30h
Intervalo de teste peri´odico TI 12 meses
Fator Beta β 5%
Fator de cobertura de diagn´ostico C 99%
63
Tabela 4.5: Taxas de falha dos equipamentos utilizados (Caso 2).
Equipamentos λ
SD
λ
SU
λ
DD
λ
DU
Transmissor de N´ıvel - 1,00E-07 - 2,90E-06
Chave de Posi¸c˜ao - 1,50E-07 - 1,00E-07
CLP de Seguran¸ca 1,12E-05 1,35E-07 4,34E-06 2,69E-07
V´alvula Solen´oide 3 Vias - 1,01E-06 - 5,85E-07
V´alvula Esfera - 5,00E-07 - 1,27E-06
Na Figura 4.27 ´e apresentada a tela de resultados para a an´alise realizada para
o estudo de caso 2.
Figura 4.27: Tela de resultados para o Estudo de Caso 2.
A partir do valor obtido para a PFDavg total ´e poss´ıvel classificar a SIF como
sendo adequada para um n´ıvel SIL 2.
Observa-se que, dentre os trˆes componentes b´asicos da SIF, o Executor da L´ogica
´e o componente de maior contribui¸c˜ao para a probabilidade de falha na demanda do
sistema.
Na Tabela 4.6 ´e apresentada uma compara¸c˜ao entre os resultados obtidos a partir
do uso do software desenvolvido e os resultados obtidos atrav´es do uso do software
de an´alise de confiabilidade exSILentia do fabricante Exida.
64
Tabela 4.6: Compara¸c˜ao entre os resultados obtidos (Caso 2).
exSILentia BR-SIL
Elementos PFDavg MTTFs (anos) PFDavg MTTFs (anos)
Elemento Sensor 2,63E-04 455,93 2,64E-04 456,71
Executor da L´ogica 1,17E-03 7,31 1,17E-03 7,51
Elemento Final 4,06E-04 26,38 4,07E-04 26,53
4.3.3 Estudo de Caso 3: Vaso Separador
A an´alise apresentada nesta se¸c˜ao est´a focalizada no trecho da planta de g´as
natural apresentada na Figura 4.24 onde se encontra o vaso separador, equipamento
respons´avel pela separa¸c˜ao da mistura l´ıquido-g´as.
Na Figura 4.28 s˜ao apresentados os principais equipamentos associados ao vaso
separador e suas respectivas interliga¸c˜oes com o BPCS e o SIS.
Vaso
Separador
Principal
Válvula ESD
XV-01
S
Ar de
Instrumentação
Vent
Bomba
P-01
LT-3
BPCS
ESD-2
(CLP)
LT -1
LT-2
S
Vent
Válvula ESD
XV-02
Gás
Válvula
FCV-01
Válvula
FCV-02
Figura 4.28: BPCS e SIS associados ao vaso separador.
O n´ıvel de l´ıquido no separador ´e controlado por uma malha de controle do BPCS.
´
E assumido que o l´ıquido proveniente do separador ´e bombeado de forma cont´ınua
para outro vaso adjacente para posterior processamento. Al´em disso, o g´as contido
no separador ´e normalmente comprimido e distribu´ıdo.
Dentre os perigos potenciais associados a um n´ıvel muito baixo de l´ıquido no vaso
separador pode ser destacado o fluxo de g´as sob alta press˜ao atrav´es do sistema de
65
bomb eamento. Algumas das poss´ıveis conseq
¨
uˆencias para esse cen´ario s˜ao:
1. Danos ao sistema de bombeamento;
2. Libera¸c˜ao de gases t´oxicos e/ou inflam´aveis para a atmosfera;
3. Perda de vidas.
A Fun¸c˜ao Instrumentada de Seguran¸ca analisada opera da seguinte forma: ao se
detectar um n´ıvel abaixo de um valor limite pr´e-estabelecido, as v´alvulas XV-01 e
XV-02 s˜ao fechadas. Assume-se que uma fun¸c˜ao de seguran¸ca auxiliar assegura a
prote¸c˜ao do sistema de bombeamento. Essa fun¸c˜ao auxiliar n˜ao ´e analisada.
Os valores assumidos para os parˆametros utilizados nos c´alculos e as taxas de
falha dos equipamentos selecionados s˜ao apresentados nas Tabelas 4.7 e 4.8, respec-
tivamente.
Tabela 4.7: Parˆametros utilizados na an´alise (Caso 3).
Descri¸c˜ao Parˆametro Valor
Tempo m´edio de reparo MTTR 24h
Tempo de campanha TC 10 anos
Tempo de Startup T
Startup
30h
Intervalo de teste peri´odico TI 12 meses
Fator Beta β 5%
Fator de cobertura de diagn´ostico C 98%
Tabela 4.8: Taxas de falha dos equipamentos utilizados (Caso 3).
Equipamentos λ
SD
λ
SU
λ
DD
λ
DU
Transmissor de N´ıvel - 1,00E-07 - 2,90E-06
CLP de Seguran¸ca 1,12E-05 1,35E-07 4,34E-06 2,69E-07
V´alvula Solen´oide 3 Vias - 1,01E-06 - 5,85E-07
V´alvula Esfera - 5,00E-07 - 1,27E-06
Na Figura 4.29 ´e apresentada a tela de resultados para a an´alise realizada para
o estudo de caso 1.
Na Tabela 4.9 ´e apresentada uma compara¸c˜ao entre os resultados obtidos a partir
do uso do software desenvolvido e os resultados obtidos atrav´es do uso do software
de an´alise de confiabilidade exSILentia do fabricante Exida.
66
Figura 4.29: Tela de resultados para o Estudo de Caso 3.
Tabela 4.9: Compara¸c˜ao entre os resultados obtidos (Caso 3).
exSILentia BR-SIL
Elementos PFDavg MTTFs (anos) PFDavg MTTFs (anos)
Elemento Sensor 1,08E-03 24,77 1,08E-03 25,23
Executor da L´ogica 1,17E-03 7,31 1,17E-03 7,51
Elemento Final 4,83E-04 39,08 4,84E-04 39,46
4.4 Conclus˜ao
Atrav´es das diferentes caracter´ısticas apresentadas ´e poss´ıvel observar que a uti-
liza¸c˜ao do software desenvolvido durante a etapa de projeto permite uma simula¸c˜ao
bastante flex´ıvel e eficiente de diversas configura¸c˜oes de equipamentos e l´ogicas de
vota¸c˜ao utilizadas em implementa¸c˜oes de SIS. Isso possibilita uma redu¸c˜ao no tempo
de an´alise necess´ario para determinar se o SIL obtido a partir da implementa¸c˜ao pro-
posta atinge o n´ıvel de redu¸c˜ao de risco requerido pelo processo.
Observa-se que os resultados obtidos a partir do uso do software desenvolvido
assemelham-se bastante `aqueles obtidos atrav´es do uso do software utilizado como
referˆencia para compara¸c˜ao.
67
Cap´ıtulo 5
Considera¸c˜oes Finais e Conclus˜oes
5.1 Conclus˜oes
A determina¸c˜ao da melhor configura¸c˜ao para um Sistema Instrumentado de Se-
guran¸ca, no que concerne ao n´ıvel de redundˆancia necess´ario para a instala¸c˜ao de
equipamentos cr´ıticos e a escolha da melhor pol´ıtica de opera¸c˜ao e manuten¸c˜ao para
a unidade devem ser pautadas em um processo de avalia¸c˜ao de confiabilidade e
disponibilidade, baseado na determina¸c˜ao de determinados ´ındices probabil´ısticos
tais como a P F D
avg
e o MT T F
S
.
Neste trabalho foi apresentado um software para avalia¸c˜ao de confiabilidade e
disponibilidade de Sistemas Instrumentados de Seguran¸ca. Desenvolvido para ser
utilizado como ferramenta durante a etapa de projeto de SIS de unidades da Petro-
bras, o software permite avaliar de forma bastante flex´ıvel e eficiente diversas configu-
ra¸c˜oes de equipamentos e l´ogicas de vota¸c˜ao poss´ıveis, proporcionando consider´avel
redu¸c˜ao do tempo despendido nesse processo.
O software conta com um algoritmo de c´alculo baseado no m´etodo de an´alise de
Markov. Isso, aliado ao conjunto de modelos desenvolvidos, possibilita a obten¸c˜ao
de resultados bastante precisos.
Verificou-se que uma base de dados atualizada ´e essencial para uma an´alise prob-
abil´ıstica precisa e coerente do SIS. A utiliza¸c˜ao de uma base de dados gen´erica
retirada de publica¸c˜oes fornecidas por fabricantes de equipamentos pode levar a re-
sultados incoerentes e muito otim´ısticos. Isso se deve ao fato de os dados de falha
serem obtidos a partir de ensaios em laborat´orio, sob condi¸c˜oes de opera¸c˜ao dife-
rentes daquelas observadas em campo. Dessa forma, a utiliza¸c˜ao de uma base de
dados espec´ıfica, obtida a partir de um acompanhamento das falhas identificadas
nas unidades ao longo dos anos, tende a reduzir a incerteza da an´alise.
Por fim, os resultados obtidos e a ado¸c˜ao e utiliza¸c˜ao por parte da Petrobras
comprovam a qualidade do software desenvolvido.
5.2 Propostas de Trabalhos Futuros
Poss´ıveis avan¸cos na linha de pesquisa incluem o estudo da combina¸c˜ao do m´etodo
de an´alise de Markov apresentado neste trabalho com outros m´etodos existentes,
como forma de possibilitar a representa¸c˜ao de cen´arios mais complexos, e o estudo
de t´ecnicas para reduzir o incremento do esfor¸co computacional resultante desse
aumento de complexidade.
Outra alternativa seria incorporar ao software desenvolvido um mecanismo de
gera¸c˜ao autom´atica dos modelos de Markov utilizados na representa¸c˜ao dos cen´arios
analisados.
69
Referˆencias Bibliogr´aficas
AICHE, C. for C. P. S. Guidelines for Safe Automation of Chemical Processes. NY:
New York: American Institute of Chemical Engineers, 1993.
BUKOWSKI, J. V. Modeling and analyzing the effects of periodic inspection on
the performance of safety-critical systems. IEEE Transactions of Reliability, v. 50,
n. 3, 2001.
BUKOWSKI, J. V. A comparison of techniques for computing pfd average. IEEE
RAMS, v. 50, n. 3, 2005.
BUKOWSKI, J. V.; GOBLE, W. M. Using markov models for safety analysis of
programmable electronic systems. ISA Transactions , v. 34, 1995.
BUKOWSKI, J. V.; LELE, A. The case for architecture-specific comon cause
failure rates and how they affect system performance. Proceedings of the Annual
Reliability and Manitainability Sysposium. IEEE, 1997.
EXIDA. Safety Equipment Reliability Handbook. [S.l.]: EXIDA, 2003.
GOBLE, W. M. Control Systems Safety Evaluation and Reliability. NC: Research
Triangle Park: ISA, 1998.
GOBLE, W. M.; BUKOWSKI, J. V. Defining mean time-to-failure in a particular
failure-state for multi-failure-state systems. IEEE Transactions on Reliability, v. 50,
n. 2, 2001.
GOBLE, W. M.; BUKOWSKI, J. V. Verifying common cause reduction rules for
fault tolerant systems via simulation using a stress-strength failure model. ISA
Transactions, v. 40, 2001.
GOBLE, W. M.; BUKOWSKI, J. V.; BROMBACHER, A. C. How diagnostic
coverage improves safety in programmable electronic systems. ISA Transactions,
v. 36, n. 4, p. 345–350, 1998.
GOBLE, W. M.; CHEDDIE, H. L. Safety Instrumented System Verification:
Pratical Probabilistic Calculation. NC: Research Triangle Park: ISA, 2005.
GULLAND, W. G. Repairable Redundant Systems and the Markov Fallacy. [S.l.],
2003.
GUO, H.; YANG, X. A simple reliability block diagram method for safety integrity
verification. Reliability Engineering and System Safety, v. 92, 2007.
GUO, H.; YANG, X. Automatic creation of markov models for reliability assessment
of safety instrumented systems. Reliability Engineering and System Safety, v. 93,
2008.
IEC. Functional Safety of Electrical / Electronic/ Programmable Electronic
Safety-related Systems. Geneva: Switzerland, 2000.
ISA. Application of Safety Instrumented Systems for the Process Industries. NC:
Research Triangle Park, 1996.
KNEGTERING, B.; BROMBACHER, A. C. Application of micro markov models
for quantitative safety assessment to determine safety integrity levels as defined
by the iec 61508 standard for functional safety. Reliability Engineering and System
Safety, v. 66, 1999.
LIMA, M. L. de; SAITO, K. Quantitative analysis fot the design of safety
instrumented system architecture. ISA Expo, 2003.
M., H.; GOBLE, W. M.; BROMBACHER, A. C. Creating markov models for
applications in the process industry. Proceedings of the 15th international conference
on computer safety, reliability and security, SAFECOMP´96, 1996.
ROUVROYE, J. L.; BLIEK, E. G. van den. Comparing safety analysis techniques.
Reliability Engineering and System Safety, v. 75, 2002.
ROUVROYE, J. L.; BROMBACHER, A. C. New quantitative standards: different
techniques, differentes results? Reliability Engineering and System Safety, v. 66,
n. 2, p. 121–125, 1999.
SIMPSON, K. G. L.; KELLY, M. Reliability Assessments of Repairable Systems -
Is Markov Modelling Correct? [S.l.], 2003.
71
SUMMERS, A. Viewpoint on isa tr84.0.02 - simplified methods and fault tree
analysis. ISA Transactions, v. 39, n. 2, p. 125–131, 2000.
72
Apˆendice A
Guia de Usu´ario BR-SIL
Este documento constitui um guia r´apido para utiliza¸c˜ao do software BR-SIL.
A.1 Estrutura do BR-SIL
A estrutura do software foi desenvolvida visando a integra¸c˜ao em uma ´unica fer-
ramenta das trˆes fases da an´alise de seguran¸ca de SIFs (Sele¸c˜ao do SIL, Especifica¸c˜ao
dos Requisitos de Seguran¸ca e Verifica¸c˜ao do SIL).
A Tela Principal do software ´e mostrada a seguir:
Figura A.1: Tela Principal do BR-SIL
A.2 Projetos
A.2.1 Criando um Novo Projeto
Para criar um Novo Projeto o usu´ario deve selecionar a op¸c˜ao de menu Pro-
jeto>Novo.
Figura A.2: Criando um Novo Projeto
Ser´a exibida a Tela Novo Projeto apresentada na figura A.3. Por meio desta tela
o usu´ario dever´a inserir as informa¸c˜oes referentes ao novo projeto.
Figura A.3: Tela de Edi¸c˜ao de Informa¸c˜oes do Novo Projeto
Caso deseje o usu´ario pode cancelar a opera¸c˜ao e retornar para a Tela Principal
do programa clicando em Cancelar.
74
A.2.2 Abrindo um Projeto
Caso o usu´ario deseje acessar um projeto previamente salvo, deve-se selecionar a
op¸c˜ao de menu Projeto>Abrir Projeto.
Figura A.4: Abrir um Projeto Salvo
Ser´a ent˜ao exibida a tela Listagem de Projetos, na qual o usu´ario dever´a se-
lecionar o projeto desejado dentre os projetos listados e clicar em Abrir. A tela
Listagem de Projetos ´e apresentada a seguir:
Figura A.5: Listagem dos Projetos Salvos
Caso deseje o usu´ario pode cancelar a opera¸c˜ao e retornar para a Tela Principal
do programa clicando em Cancelar.
75
A.2.3 Excluindo um Projeto
A exclus˜ao de um projeto salvo tamb´em ´e realizada por meio da Tela Listagem
de Projetos, apresentada na figura A.5. Para tal basta que o usu´ario selecione o
projeto que deseja descartar e clique em Excluir. Logo em seguida ser´a solicitado ao
usu´ario que confirme a opera¸c˜ao.
Figura A.6: Confirma¸c˜ao de Exclus˜ao do Projeto Selecionado
´
E importante ressaltar que ap´os a confirma¸c˜ao da opera¸c˜ao de exclus˜ao de um
projeto, todas as informa¸c˜oes referentes ao projeto exclu´ıdo s˜ao permanentemente
apagadas do bando de dados do BR-SIL n˜ao podendo, portanto, serem recuperadas.
A.3 Fun¸c˜oes Instrumentadas de Seguran¸ca
A.3.1 Adicionando uma SIF ao Projeto
Cada projeto pode conter um n´umero ilimitado de SIFs, que s˜ao listadas em um
campo existente na Tela Principal conforme apresentado na figura a seguir:
Figura A.7: Lista das SIFs adicionadas
Ap´os realizada a etapa de calibra¸c˜ao do Risco Toler´avel o usu´ario estar´a apto a
adicionar SIFs ao projeto. Isto ´e feito clicando-se no bot˜ao Adicionar localizado no
campo SIFs na Tela Principal (Figura A.8).
76
Figura A.8: Criando uma SIF
Na caixa que ser´a exibida o usu´ario dever´a inserir o nome da nova SIF e clicar
em OK. Imediatamente ap´os isso o nome da SIF criada ser´a adicionado `a lista de
SIFs que compoem o atual projeto e ser´a exibida na parte inferior da Tela Principal
a Tela de edi¸c˜ao das informa¸c˜oes referentes `a SIF criada (Figura A.10).
Figura A.9: SIF Adicionada
Para renomear uma SIF o usu´ario dever´a seleciona-la na lista de SIFs e clicar no
bot˜ao Renomear. Na caixa que ser´a exibida o usu´ario dever´a inserir o novo nome
da SIF e clicar em OK.
77
Figura A.10: Descri¸c˜ao da SIF
A.3.2 Descri¸c˜ao da Nova SIF
Na aba Descri¸c˜ao da SIF p ertencente `a tela de edi¸c˜ao das informa¸c˜oes da SIF o
usu´ario poder´a atribuir uma identifica¸c˜ao e descrever a SIF em quest˜ao, bem como
fornecer informa¸c˜oes referentes `a Causa e Consequˆencia.
78
Figura A.11: Descri¸c˜ao da SIF
A.4 Verifica¸c˜ao do SIL
Esta se¸c˜ao ir´a mostrar como percorrer todas as etapas do processo de verifica¸c˜ao
do SIL obtido com uma determinada configura¸c˜ao adotada para a SIF.
A.4.1 Estrutura da Aba Verifica¸c˜ao do SIL
As trˆes partes que comp˜oem uma SIF s˜ao Sensor, Executor da L´ogica e Elemento
Final. O BR-SIL utiliza uma estrutura em ´arvore onde cada t´opico corresponde a
uma das trˆes partes da SIF. Com isto buscou-se facilitar a visualiza¸c˜ao das partes
que comp˜oem a SIF, e guiar o usu´ario atrav´es das etapas do processo de verifica¸c˜ao
do SIL (Figura A.12).
Ainda segundo essa estrutura, cada parte da SIF ´e formada por Grupos, e cada
Grupo ´e composto por Elementos. O BR-SIL permite que o usu´ario cadastre at´e 3
grupos para cada elemento da SIF (Sensor e Elemento Final). Cada Grupo pode ser
composto por um n´umero m´aximo de 3 Elementos. O esquema de vota¸c˜ao adotado
corresponde ao n´umero de Grupos e de Elementos. As op¸c˜oes de vota¸c˜ao dispon´ıveis
s˜ao 1oo1, 1oo2, 2oo2, 1oo3, 2oo3 e 3oo3 entre Elementos e 1oo1, 1oo2, 2oo2, 1oo3 e
3oo3 entre Grupos.
79
Figura A.12: Estrutura da Aba Verifica¸c˜ao do SIL
A.4.2 Passo 1: Criando um Grupo Sensor
Na aba Verifica¸c˜ao do SIL clique no bot˜ao Adicionar no campo Grupo Sensor. O
usu´ario ir´a verificar que um novo t´opico ser´a inserido logo abaixo do t´opico Sensor
(Figura A.13).
Figura A.13: Criando um Grupo Sensor
80
Na ´arvore de navega¸c˜ao da SIF selecione o Grupo Sensor criado para exibir
o painel de configura¸c˜ao correspondente (Figura A.14). Esse painel apresenta os
seguintes campos:
•Descri¸c˜ao do Grupo - Breve descri¸c˜ao para identifica¸c˜ao do Grupo Criado;
•Vota¸c˜ao - Vota¸c˜ao que ser´a utilizada entre os Elementos do Grupo;
•Parˆametros - Parˆametros de Confiabilidade;
•Elementos - Lista os Elementos que pertencem ao Grupo.
Figura A.14: Editando as informa¸c˜oes do Grupo Sensor
Para o Grupo Sensor o usu´ario poder´a especificar os seguintes parˆametros:
•Fator Beta - β (%)
O Fator Beta ´e o percentual de falhas devido `a causa comum. O Fator Beta
deve ser um n´umero entre 0 e 100%. Consulte a se¸c˜ao A.5 para ajuda na
determina¸c˜ao do Fator Beta Apropriado.
O campo referente ao Fator Beta s´o ´e habilitado quando existe mais de um
Elemento no Grupo Sensor).
•Tempo M´edio para Reparo - MTTR (Horas)
O MTTR indica o tempo esperado para se reparar os equipamentos do Grupo
no caso de uma falha ser detectada. O MTTR deve ser um n´umero inteiro
entre 4 e 336 horas.
81
•Intervalo de Testes - TI (Meses)
Os Testes s˜ao inspe¸c˜oes peri´odicas realizadas para se detectar falhas em um sis-
tema de seguran¸ca, de forma que, se necess´ario, o sistema possa ser restaurado
para uma condi¸c˜ao totalmente operacional, tal qual um equipamento novo.
O Intervalo de Testes ´e o intervalo de tempo entre dois Testes. Ele deve ser
um n´umero inteiro entre 1 e 360 meses.
•Fator de Cobertura do Diagn´ostico - CPT (%)
O Fator de Cobertura do Diagn´ostico indica a eficiˆencia desses Testes. Um
valor de 100% significa que 100% das falhas perigosas seriam detectadas no
Teste. O Fator de Cobertura deve ser um valor inteiro entre 0 e 100%.
Em seguida o usu´ario dever´a definir os Elementos que far˜ao parte do Grupo
Sensor.
A.4.3 Passo 2: Criando um Elemento Sensor
Para criar um Elemento clique no bot˜ao Adicionar localizado no campo Elemen-
tos do painel de configura¸c˜ao do Grupo Sensor (Figura A.15). Os Elementos criados
s˜ao listados na tela. Basta selecionar um dos Elementos criados para que o painel
de configura¸c˜ao correspondente ser´a exibido (logo abaixo do painel de configura¸c˜ao
do Grupo Sensor).
O painel de configura¸c˜ao do Elemento Sensor apresenta os seguintes campos:
•Tipo de Medi¸c˜ao - Tipo de medi¸c˜ao que ser´a realizada. As op¸c˜oes dispon´ıveis
s˜ao: Press˜ao, Vaz˜ao, N´ıvel e Temperatura.
•Sensor - Equipamento Sensor que ser´a utilizado. Os ´ıtens ser˜ao exibidos nesse
campo em fun¸c˜ao do tipo de medi¸c˜ao selecionado.
•Tipo de Conex˜ao ao Processo - Tipo de conex˜ao utilizada para conectar o
equipamento sensor ao processo. As op¸c˜oes dispon´ıveis s˜ao exibidas em fun¸c˜ao
do tipo de medi¸c˜ao selecionado.
•Interface - Equipamento de Interface que ser´a utilizado.
•Configura¸c˜oes - Informa¸c˜oes que definem o funcionamento do equipamento
sensor e como este interage com o executor da l´ogica.
82
Figura A.15: Editando as informa¸c˜oes do Elemento Sensor
Para visualizar o resultado obtidos para o Grupo que foi definido, o usu´ario
dever´a selecionar o t´opico Sensor na ´arvore da SIF (Figura A.16). Ser´a exibida uma
tela com os resultados, conforme apresentado na Figura A.16.
Figura A.16: Visualiza¸c˜ao dos Resultados do Grupo Sensor
83
Figura A.17: Resultados do Grupo Sensor
A.4.4 Passo 3: Inserindo Informa¸c˜oes do Executor da L´o-
gica
Para inserir as informa¸c˜oes referentes ao Executor da L´ogica o usu´ario dever´a se-
lecionar o t´opico Executor da L´ogica na ´arvore de navega¸c˜ao da SIF (Figura A.18).
Ser´a exibido o painel de configura¸c˜ao apresentado na Figura A.19.
Figura A.18: Executor da L´ogica
No campo Dados do Elemento Executor o usu´ario poder´a especificar os parˆa-
metros de confiabilidade de forma semelhante ao apresentado para o Grupo Sensor
(ver Passo 1) e selecionar um equipamento cadastrado na base de dados do BR-SIL.
O equipamento selecionado pelo usu´ario apresentar´a uma configura¸c˜ao de hardware
padr˜ao, com CPU, Fonte de Alimenta¸c˜ao e um n´umero definido de m´odulos diversos.
84
Figura A.19: Configurando o Executor da L´ogica
A.4.5 Passo 4: Criando um Grupo Elemento Final
Na aba Verifica¸c˜ao do SIL clique no bot˜ao Adicionar no campo Grupo Elemento
Final. O usu´ario ir´a verificar que um novo t´opico ser´a inserido logo abaixo do t´opico
Elemento Final (Figura A.20).
Figura A.20: Criando um Grupo Elemento Final
Na ´arvore de navega¸c˜ao da SIF selecione o Grupo Elemento Final criado para
exibir o painel de configura¸c˜ao correspondente (Figura A.21). Esse painel apresenta
os seguintes campos:
•Descri¸c˜ao do Grupo - Breve descri¸c˜ao para identifica¸c˜ao do Grupo Criado;
•Vota¸c˜ao - Vota¸c˜ao que ser´a utilizada entre os Elementos do Grupo;
•Parˆametros - Parˆametros de Confiabilidade;
•Elementos - Lista os Elementos que pertencem ao Grupo.
Para o Grupo Elemento Final o usu´ario poder´a especificar os seguintes parˆame-
tros:
85
Figura A.21: Editando as informa¸c˜oes do Elemento Final
•Fator Beta - β (%)
O Fator Beta ´e o percentual de falhas devido `a causa comum. O valor do Fator
Beta deve ser um n´umero inteiro entre 0 e 100%. Consulte a se¸c˜ao A.5 para
ajuda na determina¸c˜ao do Fator Beta Apropriado.
•Tempo M´edio para Reparo - MTTR (Horas)
O MTTR indica o tempo esperado para se reparar os equipamentos do Grupo
no caso de uma falha ser detectada. O MTTR deve ser um n´umero inteiro
entre 4 e 336 horas.
•Intervalo de Testes - TI (Meses)
Os Testes s˜ao inspe¸c˜oes peri´odicas realizadas para se detectar falhas em um sis-
tema de seguran¸ca, de forma que, se necess´ario, o sistema possa ser restaurado
para uma condi¸c˜ao totalmente operacional, tal qual um equipamento novo.
O Intervalo de Testes ´e o intervalo de tempo entre dois Testes Totais. Ele deve
ser um n´umero inteiro entre 1 e 360 meses.
O campo referente ao Fator Beta de Causa Comum s´o ´e habilitado quando existe
mais de um Elemento no Grupo Elemento Final). O valor do Fator Beta dever´a
corresponder a um n´umero inteiro compreendido entre 0 e 100%.
Em seguida o usu´ario dever´a definir os Elementos para compor o Grupo Elemento
Final.
A.4.6 Passo 5: Criando um Elemento Final
Para criar um Elemento clique no bot˜ao Adicionar localizado no campo Elemen-
tos do painel de configura¸c˜ao do Grupo Elemento Final (Figura A.21). Os Elementos
86
criados s˜ao listados na tela. Basta selecionar um dos Elementos criados para que o
painel de configura¸c˜ao correspondente ser´a exibido (logo abaixo do painel de confi-
gura¸c˜ao do Grupo Elemento Final).
Figura A.22: Editando as informa¸c˜oes do Elemento Final
O painel de configura¸c˜ao do Elemento Final apresenta os seguintes campos:
•Tipo de Elemento Final
•Atuador
•V´alvula
•Interfaces
•Configura¸c˜oes
87
Figura A.23: Editando as informa¸c˜oes do Elemento Final - Combina¸c˜ao
Para visualizar o resultado obtidos para o Grupo que foi definido, o usu´ario
dever´a selecionar o t´opico Elemento Final na ´arvore da SIF (Figura A.24). Ser´a
exibida uma tela com os resultados, conforme apresentado na Figura A.25.
Figura A.24: Visualiza¸c˜ao dos Resultados do Elemento Final
88
w
Figura A.25: Resultados Elemento Final
A.4.7 Passo 5: Visualizando os Resultados
Ap´os a especifica¸c˜ao de todas as partes componentes da SIF, o usu´ario poder´a
visualizar os resultados finais dos c´alculos realizados e conferir se os valores obtidos
encontram-se de acordo com os n´ıvel de integridade desejado. Para tal, o usu´ario de-
ver´a selecionar a op¸c˜ao Elementos da SIF localizada no topo da ´arvore SIF, conforme
apresentado na Figura A.26.
Figura A.26: Visualiza¸c˜ao dos Resultados da SIF
Ser´a exibida uma tela correspondente `a Figura A.27.
89
Figura A.27: Resumo dos Resultados da SIF
A.5 Ferramenta para estimar o Fator Beta
Outra funcionalidade incorporada no BR-SIL ´e o estimador BETA, que funciona
como uma calculadora que determina o fator de cobertura BETA utilizado na veri-
fica¸c˜ao do SIL atrav´es do preenchimento de um formul´ario simples. Para ter acesso
a esta ferramenta basta clicar no menu Ferramentas>Estimador BETA. Na Figura
A.28 ´e apresentada a tela referente a esta ferramenta.
Figura A.28: Ferramenta para estimar o Fator Beta
90
Livros Grátis
( http://www.livrosgratis.com.br )
Milhares de Livros para Download:
Baixar livros de Administração
Baixar livros de Agronomia
Baixar livros de Arquitetura
Baixar livros de Artes
Baixar livros de Astronomia
Baixar livros de Biologia Geral
Baixar livros de Ciência da Computação
Baixar livros de Ciência da Informação
Baixar livros de Ciência Política
Baixar livros de Ciências da Saúde
Baixar livros de Comunicação
Baixar livros do Conselho Nacional de Educação - CNE
Baixar livros de Defesa civil
Baixar livros de Direito
Baixar livros de Direitos humanos
Baixar livros de Economia
Baixar livros de Economia Doméstica
Baixar livros de Educação
Baixar livros de Educação - Trânsito
Baixar livros de Educação Física
Baixar livros de Engenharia Aeroespacial
Baixar livros de Farmácia
Baixar livros de Filosofia
Baixar livros de Física
Baixar livros de Geociências
Baixar livros de Geografia
Baixar livros de História
Baixar livros de Línguas
Baixar livros de Literatura
Baixar livros de Literatura de Cordel
Baixar livros de Literatura Infantil
Baixar livros de Matemática
Baixar livros de Medicina
Baixar livros de Medicina Veterinária
Baixar livros de Meio Ambiente
Baixar livros de Meteorologia
Baixar Monografias e TCC
Baixar livros Multidisciplinar
Baixar livros de Música
Baixar livros de Psicologia
Baixar livros de Química
Baixar livros de Saúde Coletiva
Baixar livros de Serviço Social
Baixar livros de Sociologia
Baixar livros de Teologia
Baixar livros de Trabalho
Baixar livros de Turismo
