1

CONCEITOS DE REDUNDÂNCIA APLICADOS AO SISTEMA DE POSICIONAMENTO

DINÂMICO DE PLATAFORMAS DE PERFURAÇÃO OFFSHORE COMO

ESTRATÉGIA DE AUMENTO DA CONFIABILIDADE

Thales Moran & Júlio Arlindo Azevedo

Resumo – Os Sistemas de Posicionamento Dinâmico

(DP) atuam no sentido de manter embarcações maríti-

mas em uma determinada coordenada e aproamento

através do controle exclusivo dos seus propulsores, sem o

auxílio de âncoras e rebocadores, e independente das

condições climáticas. O DP é parte das soluções Integra-

das de Automação Naval, onde em seus passadiços po-

dem-se realizar atividades de monitoramento e aciona-

mento de equipamentos do navio. No caso das platafor-

mas móveis de perfuração offshore a perda de posicio-

namento é traduzida na maioria das vezes como parada

de produção e altos riscos de segurança operacional. O

objetivo deste trabalho é analisar as redundâncias do

Sistema de Posicionamento Dinâmico como estratégia de

aumento da disponibilidade e confiabilidade dos seus

componentes e subsistemas.

Palavras-Chave: Sistemas de Posicionamento Dinâmi-

co, Perfuração Offshore, Sistemas de Potência, Redundân-

cia, Configuração Paralelo Simples, MODU, IAS.

I – INTRODUÇÃO

O registro da participação do petróleo na vida do homem

remonta a tempos bíblicos. Na antiga Babilônia, os tijolos

eram assentados com asfalto e o betume era largamente uti-

lizado pelos fenícios na calafetação de embarcações. Os

egípcios o usaram na pavimentação de estradas, para embal-

samar os mortos e na construção de pirâmides, enquanto os

gregos e romanos dele lançaram mão para fins bélicos[9]. O

petróleo era retirado de exsudações naturais encontradas em

todos os continentes.

Sobre o ponto de vista comercial, a “Era do Petróleo” te-

ve início no início do século XVIII com a exploração de

poços em terra (onshore) com não mais que 20 metros de

profundidade. O primeiro poço offshore que se tem notícia

foi perfurado a 30 metros da costa do Mar Cáspio através de

uma plataforma fixa[4].

Gradualmente, a indústria de perfuração avançou para

exploração offshore em águas cada vez mais profundas. Em

1897 na Califórnia foi construído o primeiro píer para co-

nectar a costa terrestre a um poço que estava distante 400

metros da terra conforme apresentado na Fig. 1[4].

Artigo apresentado no II Seminário de Automação Industrial e Sistemas

Eletro-Eletrônicos – SAISEE (ISSN 2319-0280), ocorrido em 04 de Março

na cidade de Santa Rita do Sapucaí-MG.

Fig.1 – Píer de Summerland para perfuração de poço costeiro.

As MODUs (Mobile Offshore Drilling Units) nasceram a

partir do desenvolvimento das plataformas auto elevatórias

(Jack-ups), o que foi considerado um marco histórico da

indústria, pois foram as primeiras sondas que permitiram

maior mobilidade em ambiente marítimo, sendo transporta-

das por rebocadores. O mecanismo auto elevatório permitiu

que as estruturas treliçadas ficassem estacionadas no fundo

do oceano enquanto que o maquinário de perfuração estives-

se suspenso acima da coluna d’água. Tipicamente essas son-

das operavam em águas rasas de não mais que 300 metros, e

ainda são largamente utilizadas, sobretudo no Mar do Norte.

Apesar do avanço, o alto custo e as dificuldades para

movimentar de um poço para outro limitou o uso das Jack-

ups. Neste contexto, surgiram em 1953 as primeiras sondas

semi submersíveis ancoradas (Moored Rigs), que como o

próprio nome sugere, necessitam para a manutenção da po-

sição, o lançamento de âncoras e cabos, ou sistemas de atra-

cação em multipontos no fundo do oceano. As sondas anco-

radas operam estavelmente com lâmina d’agua em torno de

800 metros[4].

Os pontos desfavoráveis das unidades que operam com

Sistemas de Posicionamento Fixo estão relacionados à baixa

elasticidade do sistema de ancoramento, a falta de amorte-

cimento hidrodinâmico e a exposição aos movimentos das

ondas, ventos e correntes marítimas.

Além disso, a perfuração em alto mar requeria grande

quantidade de âncoras, correntes e guinchos o que aumentou

o custo e limitou a aplicabilidade desse tipo de embarcação

para operações com profundidade maior do que 1500 me-

tros[7]. A Fig. 2 apresenta exemplos de sondas da empresa

Ensco plc que operam com Sistemas de Posicionamento

Fixo.

2

Fig.2 – Jack-Up ENSCO 102 e Semi-sub. Ancorada ENSCO 5004.

Os Sistemas de Posicionamento Dinâmico surgiram com

o objetivo de fornecer grande mobilidade às embarcações

uma vez que não existia ligação física da plataforma com o

fundo do mar – exceto pela coluna de perfuração.

Os primeiros projetos de um Sistema DP com controle

automático de posição foram utilizados em 1961 com o EU-

REKA da Shell Oil Company e em 1964 pelo CALDRILL 1

da Caldrill Offshore Company, ambos nos Estados Uni-

dos[4]. A unidade da Shell foi capaz de perfurar em profun-

didades de 1300 metros, em condições ambientais adversas

com ondas de 6 metros de altura e velocidade do vento mai-

or do que 21 metros por segundo, um cenário certamente

inviável para a operação de sondas ancoradas. Ambos eram

equipados por dois dispositivos de referência Taut Wire, que

são basicamente cabos tensionados verticalmente, presos a

um peso que repousa no leito marinho[3] para determinarem

a deriva da unidade. Quatro propulsores de 300 HP eram

acionados por computador para restaurar a posição da plata-

forma.

Atualmente os navios-sonda de última geração operam

em águas profundas e ultra profundas que variam de 300 a

3.000 metros de lâmina d’agua[9]. A Fig. 3 apresenta exem-

plos da frota da empresa Odebrecht Óleo e Gás que operam

na bacia de Campos desde 2012 e que são equipados por

dispositivos de automação integrada ao sistema de posicio-

namento dinâmico.

Fig.3 – Semi-sub. ODN Delba3 e Navio-Sonda Norbe IX.

O grande desafio para uma sonda offshore é evitar que as

forças externas provocadas pelo ambiente venham a danifi-

car os equipamentos que serão descidos no poço ou até

mesmo inviabilizar a operação. Por isso, torna-se essencial

que a unidade permaneça posicionada na superfície do mar

dentro de um círculo com raio de tolerância relacionado aos

esforços máximos permitidos pelos equipamentos de subsu-

perfície – como a máxima excursão permissível para os ri-

sers (tubos ascendentes). É o que mostra a Fig. 4[6].

Fig.4 – Máxima excursão permissível e segurança operacional.

Os limites de trabalho seguro podem variar, dependendo

da natureza da tarefa no plano de perfuração e a influência

das correntes nos risers. Esses limites devem refletir o risco

associado a cada tarefa, por exemplo, existem diferentes

limites aceitáveis para perfuração, assentamento do revesti-

mento e teste do poço [3].

Em casos de perda do Sistema DP, dependendo da ex-

cursão da unidade em relação ao poço, a perfuração precisa

ser interrompida ou o poço deverá ser abandonado por ques-

tões de segurança operacional. Nestes casos o BOP (Blow

Out Preventer) é o equipamento de controle de poço respon-

sável por cisalhar a coluna de perfuração, isolar o poço e

permitir a desconexão da sonda em segurança.

As aplicações de sistemas DP não se limitam a apenas as

sondas de perfuração, estes dispositivos são amplamente

utilizados em rebocadores, navios cargueiros, embarcações

de lançamento de linhas, sistemas flutuantes de produção e

navios comerciais, militares e de turismo.

II – PRINCÍPIOS DO POSICIONAMENTO DINÂMICO

A IMO – The International Maritime Organization – de-

fine uma unidade marítima posicionada dinamicamente

aquela que possui a capacidade de se manter automatica-

mente em uma posição fixa ou navegar por uma rota pré-

determinada, através exclusivamente do uso dos seus pro-

pulsores (thrusters)[15].

Desta forma, a principal função de um Sistema de Posi-

cionamento Dinâmico é controlar a posição e o aproamento

(heading) da embarcação, ou seja, permitir que essas duas

propriedades se mantenham ou alterem de acordo com o

controlador (se em modo automático) ou ação do operador

(se em modo manual).

O princípio de funcionamento de um Sistema DP é base-

ado nas leis da mecânica clássica, onde se assume a premis-

sa de que um corpo em equilíbrio é aquele que está sujeito à

resultante de todas as forças atuando sobre si com valor

igual a zero. Desta forma, o controlador de um DP “perce-

be” e “calcula” a resultante das forças externas que atuam na

embarcação, e envia um comando para que propulsores cri-

em uma força resultante contrária para manter o equilíbrio.

3

A principal vantagem do advento desta tecnologia está

relacionado à sua flexibilidade quando à mudança ou manu-

tenção da posição. Além disso, o fato de não depender do

uso de âncoras possibilitou a operação em águas ultra pro-

fundas. As desvantagens estão relacionadas ao maior custo

do DP em relação aos sistemas fixos, pois o investimento

inicial, consumo de combustível e o custo das instalações

são maiores. Outro ponto desfavorável do DP é a vulnerabi-

lidade em relação à falhas e blackouts, exigindo nos navios

sistemas complexos de propulsores, controladores e gerado-

res de emergência e investimentos em manutenção. Tam-

bém, as operações subaquáticas com mergulhadores e ROVs

(Remotely Operated Vehicles) ficaram limitadas devido ao

uso contínuo dos propulsores.

II.1 – Eixos de liberdade de movimento dos navios

Basicamente as forças ambientais que atuam em embar-

cações offshore são aquelas providas pela ação dos ventos,

correntes marítimas e ondas do mar, o que permite seis eixos

de movimento conforme a Fig. 5[4].

Os movimentos de translação “avanço” (Surge) e “deri-

va” (Sway) são medidos através dos sensores que fazem

parte dos sistemas de referência de posição (GPS, Laser e

Microondas), e fornecem informações quanto à posição da

unidade; a “guinada” (Yaw), por sua vez, é medida através

das bússolas magnéticas (gyros) e fornecem informações

quanto ao aproamento da unidade. Todos os movimentos de

translação são controlados através da ação de propulsores.

Sensores de vento ou “anemômetros” são essenciais para

medir a velocidade e direção dos ventos. Essa é uma das

principais variáveis de entrada necessárias para que o con-

trolador do Sistema DP possa calcular as forças que os pro-

pulsores devem produzir para estabilizar a embarcação nos

três eixos do plano horizontal[4].

Fig.5 – Representação dos graus de movimento de um navio.

Os movimentos de rotação Pitch, Roll e Heave Compen-

sation são medidos através dos sensores de referência verti-

cal (Motion Reference Units – MRUs), não sendo controla-

dos pelos propulsores. O Sistema DP, no entanto, faz o mo-

nitoramento contínuo dessas grandezas de rotação para que

elas possam ser compensadas no modelo de controle dinâ-

mico, uma vez que, estes movimentos rotacionais podem

interferir na precisão dos sistemas de referência de posi-

ção[4].

II.2 – Modelo de Controle Dinâmico

Para que o navio se mantenha dentro de limites específi-

cos de posição e aproamento, e que a resposta na atuação

dos propulsores seja rápida, precisa e estável, a concepção

do DP foi estruturada sobre o princípio do controle em ma-

lha fechada. A principal característica desse controle retroa-

tivo é fazer com que um sistema reaja de forma a corrigir o

desvio entre o sinal de saída e os sinais de referência e en-

trada.

Basicamente os elementos da malha de entrada do Sis-

tema DP são provenientes dos sensores; os elementos de

saída são os propulsores; e os elementos de controle são os

controladores das estações de trabalho. A Fig. 6[7] apresen-

ta de forma resumida a localização física destes três elemen-

tos que compõem a malha de controle do DP.

Fig.6 – Localização dos elementos básicos de controle do DP.

O Sistema DP deve não apenas contrabalancear a interfe-

rência das forças ambientais para manter a posição e aproa-

mento da unidade, mas também comportar-se dinamicamen-

te estável em situações de interferência por agentes externos

e transitórios, ter capacidade de predição das falhas dos sen-

sores, bem como fazer interação com o subsistema de ge-

renciamento de energia do navio. Essas características e

exigências tornam a malha de controle do Sistema de Posi-

cionamento Dinâmico mais complexa, necessitando de mais

de um loop[7], conforme a Fig. 7[4] que apresenta a mode-

lagem por blocos de controle.

O Vessel Model é a modelagem da resposta de um tipo

de embarcação para qualquer força externa, considerando a

sua aerodinâmica e hidrodinâmica[7]. Esse modelo prediz a

posição e aproamento de acordo com a comparação das for-

ças recebidas e situação anterior.

Os sensores de vento fazem a leitura da velocidade e di-

reção do vento que são convertidos em forças através do

modelo matemático Wind Model. As leituras dos gyros e

DGPS são medidas e comparadas entre seus componentes

em redundância, descartando-se aqueles que aparentemente

estão fora de uma margem aceitável de erro. Os dados de

aproamento e posição passam por um filtro (Kalman Filter)

para que sejam eliminados os ruídos para estabilização do

sistema dinâmico. O resultado é atualizado no modelo da

embarcação, e nas linguagens dos três eixos de liberdade de

movimento. O Error Computational é um filtro ”passa

baixa” que calcula as forças que não são monitoradas e

estimam a força de compensação a ser inserida no somatório

de entradas. Esse erro computacional na grande maioria das

vezes incorpora algoritmos para estimar os efeitos das

correntes marítimas e ondas[6].

4

Fig.7 – Modelagem em blocos do controle do DP.

Os ganhos estão atrelados aos diversos modos de opera-

ção do DP. Em modo manual, parte dos ganhos são proveni-

entes do Joystick analógico de comando. Existem vários

modos automáticos e cada um interfere de uma forma dife-

rente no controle de ganho representado pelo bloco “Selec-

ted Gain”. A Fig. 8[6] exemplifica alguns modos de opera-

ção do DP.

Fig.8 – Modos de Operação do DP: modo manual, modo de auto posi-

ção e modo por rota.

A Fig. 9[6] apresenta a diferença entre o modo High

Precision, que consequentemente está atrelado a um maior

consumo de energia e desgaste das máquinas e, o Relaxed

muito utilizado em condições de mar favoráveis onde a ne-

cessidade da atividade dos propulsores é menor. O modelo

carrot calcula a inércia do sistema e estima os ganhos no

intuito de manter o navio na condição operacional medida,

sem ultrapassar os setpoints.

O Thruster Allocation verifica quanto de força de pro-

pulsão será necessária para compensar o somatório das for-

ças que atuam na unidade. É neste bloco que equações con-

vertem a demanda total de propulsão de acordo com as ca-

racterísticas de cada propulsor[7], ou seja, determinam quais

serão os thrusters que precisam ser acionados, a potência

necessária, em qual direção da propulsão (Azimuth) e em

qual passo das hélices (Pitch).

Já o bloco Power Overload Control analisa se existe

energia o bastante disponível. Neste diagrama ocorre a inter-

face com o PMS (Power Management System), onde estra-

tégias de corte de cargas não essenciais são adotadas a fim

de priorizar o suprimento de energia apenas para os subsis-

temas críticos do DP.

Fig.9 – Comparação entre desvios de posição e propulsão para os mo-

dos de operação de Alta e Baixa Precisão.

O acionamento dos propulsores ocorre através dos Dri-

ves de comando de máquinas VFDs (Variable Frequency

Drives) ou SCRs (Silicon-Controlled Rectifiers). O feedback

é enviado ao Thruster Model que, por sua vez, converte a

força dos propulsores em Surge, Sway e Yaw para atualiza-

ção do bloco do Vessel Model. A diferença entre o setpoint

do propulsor e o seu feedback é monitorada constantemente.

II.3 – Subsistemas do DP e Automação Integrada

O Sistema de Posicionamento Dinâmico exerce ainda a

função de integração de vários subsistemas da plataforma,

onde é possível acionar equipamentos remotamente, estabe-

lecer limites de parâmetros, monitorar dados em tempo real,

obter gráficos e históricos, verificar as condições meteoro-

lógicas, checar os alarmes ativos de todo e qualquer disposi-

tivo que direta ou indiretamente interfere na gestão das ope-

rações e na segurança da unidade. A Fig. 10 apresenta um

sistema de monitoramento do Sistema Elétrico de Potência

de uma unidade marítima.

Fig.10 – Tela do IHM Sistemas de Potência – Fabricante Kongsberg.

O Sistema DP pode ser divido em três subsistemas prin-

cipais: de Energia, Controle e Referência[3].

O subsistema de Energia, ilustrado pela Fig. 11[14],

compreende a geração, distribuição e consumo. Fazem parte

desse subsistema os geradores à diesel, cubículos de alta

tensão, centro de controle de motores, UPS (fonte de ali-

mentação ininterrupta), Drives de inversores de frequência e

as cargas não essenciais e essenciais como os propulsores,

motores do piso de perfuração e equipamentos de controle

de poço.

O subsistema de Controle se refere ao gerenciamento de

energia (PMS) automático ou manual e de posição – conso-

les, computadores, redes industriais, estações de trabalho

etc.

5

Fig. 11 – Principais componentes do subsistema de Energia.

O subsistema de Referência é representado essencial-

mente pela instrumentação do DP – anemômetros, bússolas

magnéticas, sensores de referência vertical, GPS, Sistemas

Acústicos, Microondas etc. – que fornecem um sinal de en-

trada, medem as condições ambientais e atualizam feed-

backs do modelo de controle.

Fazem parte também desse subsistema os serviços auxi-

liares que são incorporados à solução de automação integra-

da ao DP, como status dos sensores de detecção de incêndio

& gases tóxicos e o circuito fechado de monitoramento por

câmeras por exemplo.

III – CONFIABILIDADE DO SISTEMA DP

Por definição, “Confiabilidade” é a probabilidade de um

equipamento, componente ou sistema operar, sem falhas,

durante um período de tempo pré-determinado[10]. A Enge-

nharia da Confiabilidade, como uma ciência, foi impulsio-

nada pelas missões espaciais da década de 50 que devido à

complexidade e alto risco de suas operações, precisava da

implementação de estratégias que garantissem a máxima

disponibilidade, mantenabilidade e confiabilidade dos seus

subsistemas. As falhas causadas por fatores aleatórios deve-

riam ser entendidas e mitigadas a fim de não afetarem a se-

gurança de voo.

O ferramental matemático para os estudos de confiabili-

dade baseia-se em métodos estatísticos, critérios e modelos

probabilísticos. Estes métodos são utilizados para aplicações

nas fases de concepção, projeto, operação e manutenção de

qualquer sistema complexo que requeira baixa vulnerabili-

dade às falhas e máxima utilização do ciclo de vida do ativo.

Sobre o ponto de vista funcional e financeiro, o sistema

de controle das aeronaves exercia para a indústria espacial a

mesma relevância que o Sistema DP exerce hoje para a in-

dústria marítima de perfuração. Como abordado anterior-

mente, a perda do posicionamento dinâmico se traduz na

maioria das vezes em downtime e riscos para as pessoas e

meio ambiente. Motivado pelas adversidades que a perda do

posicionamento das sondas acarreta, os projetos dos Siste-

mas DP estão intrinsecamente relacionados a estudos de

confiabilidade, a fim de avaliar índices quantitativos relati-

vos às falhas, e estabelecer mecanismos que garantam o

funcionamento do DP em plena carga e de modo contínuo,

mesmo na ocorrência de falhas aleatórias em seus compo-

nentes ou subsistemas mais críticos.

Um dos mecanismos mais utilizados no Sistema de Posi-

cionamento Dinâmico como estratégia de aumento da confi-

abilidade é a configuração em paralelo de seus componen-

tes, ou também conhecida como o princípio da redundância.

III.1 – Configurações Paralelo Simples – Redundância

Para a modelagem de um sistema redundante, faz-se ne-

cessário o uso dos Diagramas de Blocos de Confiabilidade.

Essa técnica estabelece relações de dependência em equi-

pamentos, permitindo assim, a avaliação de sua confiabili-

dade antes mesmo de ser construído[10]. Isso é possível

porque a maioria dos subsistemas e componentes usados em

equipamentos são os mesmo que foram utilizados em proje-

tos anteriores.

A Fig. 12[11] abaixo apresenta uma configuração parale-

la simples, onde pelo menos um componente deve estar ope-

racional para que o sistema funcione. Em outras palavras

pode-se dizer que o sistema falha apenas se todas as unida-

des falharem ao mesmo tempo.

Fig.12 – Diagrama de Blocos de um sistema com n redundâncias.

Portanto pode-se dizer que a probabilidade de falha do

sistema 𝑄𝑠 é igual ao produto das probabilidades de falha de

cada componente P(𝑋𝑛), onde 𝑋𝑛 corresponde ao evento

“falha” do componente n.

𝑄𝑠 = 𝑃(𝑋1)𝑃(𝑋2) … 𝑃(𝑋𝑛) = ∏ 𝑃(𝑋𝑖)

𝑛

𝑖=1

Em casos onde a falha de um componente afeta a proba-

bilidade de falha do outro componente em paralelo, a proba-

bilidade de falha do sistema será dada com base nas teorias

de probabilidade condicional[11]. Para a determinação da

confiabilidade do sistema em redundância 𝑅𝑠 basta assumir

o inverso da probabilidade de falha desse sistema, como

demonstrado na equação:

𝑅𝑠 = 1 − 𝑄𝑠 = 1 − [(𝑄1)(𝑄2) … (𝑄𝑛)]

𝑅𝑠 = 1 − [(1 − 𝑅1)(1 − 𝑅2) … (1 − 𝑅𝑛)]

𝑅𝑠 = 1 − ∏(1 − 𝑅𝑖)

𝑛

𝑖=1

O componente de maior confiabilidade exerce o maior

efeito na confiabilidade do sistema, uma vez que esse com-

ponente dificilmente falhará. Em geral a confiabilidade do

componente está intimamente relacionada ao seu projeto,

material, tipo de fabricação, modelo, fabricante, condições

de operação, manutenção e ambiente no qual está exposto.

Vale ressaltar que para um maior tempo de avaliação,

maior é a chance de acontecerem falhas, ou seja, maior será

a probabilidade de falha do equipamento[11]. Desta forma,

as análises de confiabilidade precisam ser mandatoriamente

feitas numa mesma base de tempo.

A medida que se aumenta o número de componentes ou

subsistemas em uma configuração em paralelo, a confiabili-

6

dade do sistema aumenta[11]. Essa propriedade da redun-

dância é essencial para a especificação de projetos com o

objetivo de se aumentar a tolerância a falha de um sistema

crítico. A Fig. 13[11] ilustra a alta confiabilidade que um

sistema pode atingir mesmo utilizando componentes que

possuem baixa confiabilidade, desde que, esse sistema seja

suprido por quantidade suficiente de unidades em paralelo n.

Fig.13 – Relações entre confiabilidade do componente, do sistema e o

número de componentes em redundância.

Em Sistemas DP rotineiramente componentes em parale-

lo são retirados dos seus subsistemas, seja para o cumpri-

mento de ordens de manutenção preventiva ou devido às

falhas aleatórias. Nestes casos, momentaneamente o sistema

assume menor tolerância às falhas, o que é conhecido em

ambiente offshore como operação em estado degradado.

III.2 – Classes de Equipamentos de Sistemas DP

Desde 1994 a IMO exige que todas as embarcações DP

sejam classificadas de acordo com a sua vulnerabilidade à

falha, para que desta forma, as filosofias básicas de seguran-

ça e de regulamentação sejam discriminadas e requeridas de

acordo com a classe. Foram definidas três classes de equi-

pamento como segue:

Equipamento Classe 1:

A perda de posição pode ocorrer na eventualidade de

uma única falha[3]. Existe o controle automático da posição

e aproamento, porém sem nenhuma redundância. São apli-

cadas em embarcações de apoio.

Equipamento Classe 2:

A perda de posição não deve ocorrer na eventualidade

de uma única falha em qualquer componente ativo ou siste-

ma[3]. Neste caso, existe o controle automático da posição e

aproamento e redundância para os componentes ativos. En-

tende-se como “componentes ativos” os geradores, propul-

sores, painéis de acionamento de motores, válvulas de con-

trole remoto, controladores etc; e como “componentes está-

ticos” os cabos, tubulações, válvulas manuais etc. Geral-

mente embarcações de lançamento de linhas, navios tanque-

aliviadores, embarcações-guindaste, navios de acomoda-

ções, embarcações de apoio ao mergulho e unidades flutuan-

tes de produção são DP Classe 2.

Equipamento Classe 3:

O Equipamento Classe 3 é identificado como um Classe

2 considerando também os componentes estáticos como

passíveis de falha e que haja uma redundância dedicada para

proteção contra incêndio e alagamento dos componentes do

DP. Essa é a Classe de Equipamento mais usual para navio-

sondas.

Na prática, o DP Classe 3 trata-se de um DP Classe 2

acrescido de um DP Classe 1 (backup) cujo centro de con-

trole e sensoriamento estão localizados em uma região de

emergência separada das demais, e protegida contra incên-

dio e inundações – normalmente com antepara A60 de aço

ou alumínio e portas-estanque. A Fig.14[6] ilustra uma con-

figuração DP 3 da Kongsberg Maritime.

Fig.14 – Configuração Classe 3: K-Pos DP21 e DP11 como backup.

Uma unidade marítima receberá certificado de classe

através de uma Sociedade Classificadora. Estas organiza-

ções atuam como agentes autorizados de diversas bandeiras

signatárias das convenções da IMO[12] – como por exem-

plo, a IMCAM103 que preconiza diretrizes de projeto e ope-

ração de embarcações com posicionamento dinâmico – e são

responsáveis por verificar as conformidades das embarca-

ções segundo as normas e padrões técnicos através de inspe-

ções periódicas.

Em todo o mundo, existem mais de 50 organizações cuja

principal finalidade é a classificação de navios[12]. A

Fig.15[7] correlaciona as Classes de Equipamento IMO com

as classes de algumas Sociedades Classificadoras.

7

Fig.15 – Notações de classe das Sociedades Classificadoras.

Para obter notação de classe de DP em determinadas so-

ciedades classificadoras, pode ser necessário realizar consi-

derações adicionais na configuração do DP, como um joys-

tick independente nas Classes 2 ou 3[3].

IV – FILOSOFIAS DE REDUNDÂNCIA NOS SUBSIS-

TEMAS DO DP

Como abordado anteriormente, as notações de classe

DP2 e DP3 exigem que as unidades marítimas tenham a

capacidade de manter a integridade do Sistema DP mesmo

na ocorrência de falhas em alguns de seus componentes. Nas

concepções dos seus projetos, para satisfazer ao requisito de

“tolerância às falhas” a teoria da redundância é amplamente

aplicada. A alocação de componentes equivalentes em para-

lelo para realização da mesma tarefa requer, em termos prá-

ticos, que estes componentes tenham os mesmos desempe-

nhos, proteções e predições[2].

Em termos de desempenho, os elementos redundantes

devem possuir a mesma capacidade técnica para realizar

funções similares. Além disso, precisam ser independentes,

mesmo operando em paralelo, o que significa dizer que,

deve existir uma filosofia de proteção para que uma falha

em um componente não afete o desempenho dos outros e

evite um desarme geral do sistema. As predições se referem

ao monitoramento dos status dos componentes – alarmes e

tomadas de decisões inteligentes, o que é relevante para sis-

temas redundantes que utilizam componentes em “espera”

(standby) ou de backup, onde existe intrinsecamente a incer-

teza se este componente estará disponível ou não quando ele

for requisitado.

Práticas comuns em inspeções periódicas de componen-

tes standby são a verificação do histórico de alarmes; da

integridade de válvulas de passagem e baterias; e a realiza-

ção de testes funcionais em dispositivos de proteção, como

por exemplo, relés, sensores de fumaça & gás e válvulas de

alívio de pressão.

Para ilustrar a concepção de redundância aplicada em

sondas de perfuração, a Fig.16[5] apresenta o sistema de

refrigeração dos VFDs e propulsores. Criteriosamente, as

bombas centrífugas devem possuir a mesma capacidade de

bombeamento, modelo e fabricante; deve haver lógica de

troca entre elas em função do horímetro, para evitar que haja

desgaste desproporcional das partes mecânicas; e em caso

de falhas na linha hidráulica, que é o ponto em comum, a

proteção deve retirar o VFD de operação (para manter a

integridade dos seus tiristores), alertar o operador e acionar

um propulsor redundante para manutenção da posição.

Fig.16 – Redundância das bombas centrífugas do sistema de resfria-

mento do conjunto VFD-Propulsor.

Todos os modos de falhas dos subsistemas do DP e os

efeitos dessas falhas podem ser considerados em um estudo

formal de FMEA (Failure Modes & Effect Analysis). A

apresentação de um documento FMEA é muitas vezes uma

exigência nos processos contratuais e de auditorias, além de

ser um requisito das Sociedades Classificadoras para a nota-

ção de classe[7].

O termo “modo de falha” é usado para indicar a maneira

em que um ou subsistema falha, e o termo “efeitos da falha”

se refere ao impacto do modo de falha no sistema ou naque-

les conectados ao componente. Um componente defeituoso

pode possuir vários modos de falha, e seus efeitos podem ser

relativamente simples ou podem causar até mesmo a perda

do posicionamento dinâmico. É por esse motivo que esse

estudo é extremamente necessário, pois os modos de falha

podem ser utilizados como guias para tomadas de decisões

estratégicas de manutenção, de projetos e de política de so-

bressalentes.

São apresentadas nos itens a seguir, uma visão geral das

configurações em paralelo simples e as técnicas de tolerân-

cia às falhas aplicadas aos três subsistemas do DP, como

estratégia de aumento da disponibilidade do Sistema de Po-

sicionamento Dinâmico e de atendimento à classe.

IV.1 – Configurações Redundantes no Subsistema Energia

do DP

Esquematicamente, o Subsistema Energia pode ser divi-

dido em três grupos de equipamentos principais: moto-

geradores, alternadores e sistemas auxiliares; distribuição de

energia; e inversores de frequência e propulsores.

A geração de energia de uma sonda DP é provida por al-

ternadores síncronos trifásicos acoplados e acionados por

moto-geradores a diesel. O funcionamento adequado dos

moto-geradores é suportado pelos seus sistemas auxiliares,

tais como os sistemas de refrigeração forçada à base de

água, ventilação, armazenagem e transferência do óleo com-

bustível, sistemas de lubrificação, compressores de ar para

partida do motor etc. Os alternadores convertem a energia

mecânica proveniente da combustão interna dos moto-

geradores em energia elétrica com potência em torno de

6500kW cada, e operam em paralelo sobre a mesma tensão e

frequência elétrica.

Os alternadores são conectados aos barramentos de

11kV/6.6kV e aos quadros de distribuição, que por sua vez,

possuem disjuntores que permitem o seccionamento e ma-

nobras entre os circuitos e cargas. Topologias típicas de

sondas possuem de seis a oito alternadores conectados a dois

ou três quadros de distribuição de alta tensão, separados

8

entre si por disjuntores de interligação[2]. Os transformado-

res abaixadores permitem a operação em níveis de tensão

industrial como 690V/440V/380V e alimentam os Centros

de Controle de Motores (CCMs); as cargas menores são

alimentadas em 220V/127V. O fornecimento em corrente

contínua a partir de baterias e UPS em 120Vdc/24Vdc e são

utilizados como backup para cargas essenciais e de emer-

gência.

Os Drilling VFDs alimentados em tensão industrial con-

trolam os motores do piso de perfuração enquanto que cada

propulsor é acionado por um Thruster VFD dedicado. As

unidades impulsoras são independentes, de forma que o ris-

co de perda de mais de uma delas seja o menor possível.

Possuem potência máxima em torno de 5500kW cada, e

foram projetados de forma que a indisponibilidade de uma

unidade não prejudique substancialmente a manutenção do

DP – dependendo obviamente das condições de mar e modo

de operação.

A Fig.17[5] correlaciona os elementos principais do sub-

sistema energia com o diagrama unifilar de geração e distri-

buição de uma embarcação. Percebe-se que a concepção de

redundância do subsistema energia do navio da Fig.17, está

primariamente na divisão dos quatro moto-geradores em

duas praças de máquinas e salas de alta tensão distintas; e no

fato dos propulsores de proa e popa serem supridos por am-

bos os sistemas de distribuição de boreste e bombordo[5].

As linhas pontilhadas representam barreiras de proteção

contra incêndio e inundações.

Fig.17 – Diagrama Unifilar Simplificado de um Navio de Apoio – Re-

dundâncias do Subsistema Energia e Layout de Propulsores.

No evento de uma falha inesperada em um gerador ou

propulsor, a concepção de projeto deve utilizar de mecanis-

mos para isolar o elemento danificado e inserir o componen-

te em redundância de forma que se evite a falta de forneci-

mento de energia ou propulsão. Esta substituição deverá

ocorrer em tempo hábil para que a embarcação não perca

posição além dos limites operacionais de segurança.

A configuração em paralelo simples é observada também

em todos os serviços auxiliares dos moto-geradores, pois

estes atuam sinergicamente na geração de energia. A

Fig.18[5] apresenta como exemplo, o sistema de captação

de água salgada utilizado para a refrigeração dos moto-

geradores, propulsores e casario. São dois sistemas comple-

tamente independentes que podem ser operados individual-

mente. As quatro bombas centrífugas operam paralelamente,

cada uma é capaz de fornecer 100% dos suprimentos de

água salgada da unidade[5]; as válvulas permitem manobra-

bilidade para troca de filtros (sea strainers) e manutenção

planejada.

Existem ainda neste sistema, transdutores de pressão re-

dundantes que informam quando a pressão das linhas está

abaixo dos limites de projeto e, transdutores de pressão dife-

rencial para alertarem a necessidade de troca das bombas

centrífugas. Esse tipo de filosofia é costumeiramente aplica-

da a todo e qualquer sistema que pode influenciar no funci-

onamento do DP. Como requisito de classe, os dois sistemas

de captação de água estão separados por barreiras A60.

Fig.18 – Redundâncias do Sistema de Captação de Água do Mar para

Refrigeração – Seawater Cooling System.

Conforme abordado anteriormente, as Sociedades Classi-

ficadoras avaliam a vulnerabilidade a incêndio e inundações

em componentes ativos (aqueles presentes entre as praças de

máquinas e salas de alta tensão) e estáticos como, por exem-

plo, as eletro-calhas instaladas para lançamento de cabos de

controle e potência e que podem provocar a perda total do

DP, ambos os componentes precisam ter pelo menos um

sistema dedicado e protegido para notação de classe DP3[3].

No caso específico dos quadros de distribuição de ener-

gia, quando a unidade está operando em barramento comum,

os disjuntores de interligação devem possuir lógica de inter-

travamento para proteger os barramentos sadios daqueles

que por ventura tenham falhas na geração ou curtos-

circuitos. Como existe a possibilidade de os disjuntores de

interligação não abrirem ou demorarem demais para abrir e

impedirem um blackout – devido à falha dos seus compo-

nentes internos que não são redundantes como transforma-

dores de corrente, de potencial, relés etc. – então o painel de

9

controle deve ser redundante para equipamentos classe

DP3[3].

Para ilustrar a filosofia básica de redundância em siste-

mas de distribuição, a Fig.19[13] mostra que ao detectar um

curto-circuito fase-terra no barramento de bombordo B1, a

unidade bloqueou o fechamento dos disjuntores de interliga-

ção para evitar que a falta se propagasse, e aumentou a ati-

vidade dos propulsores ativos no intuito de evitar perda de

posição. Devido ao aumento da demanda, os geradores ati-

vos G4 e G5 intensificaram a geração para compensar a per-

da de G1; neste caso, não foi necessário adicionar nenhum

gerador que estava em stand-by por não atingir nenhum li-

mite operacional de sobrecarga. A unidade ficou em

blackout parcial apenas no barramento B1 e preservou o

Sistema DP.

Fig.19 – Resposta da proteção e filosofia de redundância no evento de

uma falha e blackout no barramento B1.

IV.2 – Configurações Redundantes no Subsistema Referên-

cia do DP

Como abordado no diagrama de blocos do DP, para o

controle dos eixos de translação do navio, as principais vari-

áveis de entrada serão aquelas que fornecem velocidade e

direção dos ventos, aproamento em relação ao Norte magné-

tico e referência de posição – como interpretado no Diagra-

ma de Blocos da Fig.7. Apesar do DP não controlar os três

eixos de rotação do navio, estes movimentos são constante-

mente monitorados pelos sistemas de referência vertical,

instalados idealmente no centro de gravidade da embarca-

ção. Portanto, cada instrumento que faz parte do “Subsiste-

ma Referência” terá pelo menos um componente em parale-

lo como estratégia para a manutenção do DP, sendo que, não

precisam ser necessariamente do mesmo modelo, ao contrá-

rio dos outros subsistemas.

Os computadores do sistema de controle recebem os da-

dos dos sensores e sincronizam as leituras, atualizando as

respostas no modelo dinâmico. Os sensores comunicam com

os controladores enviando mensagens que normalmente

seguem padrões como o NMEA-0183 ou o do próprio fabri-

cante, cuja taxa de transmissão varia entre 4800-

19600bps[7]. Em geral fazem interface com o sistema DP

via serial link RS232/RS422 ou mesmo por sinais analógi-

cos (como é o caso dos anemômetros).

Para cada grupo de sensores, o operador poderá configu-

rar e estabelecer um sensor principal e os demais como re-

dundantes, desta forma, as leituras dos sensores escravos

serão desconsideradas para o modelo dinâmico; esse tipo de

função é muito útil para manutenções planejadas ou quando

a sonda opera em estado degradado, porém não é o padrão

em modo automático.

Um sensor estará disponível como principal, apenas

quando ele tiver passado por vários testes de qualificação

das suas leituras. A Fig.20[6] apresenta a gestão e monito-

ramento de instrumentos a partir da estação do operador de

DP.

Fig.20 – Gerenciamento dos sensores e PMEs do DP.

Alguns dos testes de qualificação dos instrumentos feitos

pelos computadores são as comparações entre a leitura dos

componentes em paralelo e a variância em relação à media-

na; e a relação da medida com os limites operacionais pré-

definidos, caso a leitura esteja fora dos parâmetros, os dados

deste sensor serão descartados e um alarme irá informar ao

operador, conforme análise da Fig.21[6].

Fig.21 – Teste de predição do GPS e seus limites operacionais (acima) e

teste da mediana (abaixo) entre três bússolas.

Para que se tenha alta precisão e confiabilidade nos da-

dos de posicionamento, geralmente as sondas DP dispõem

de vários sistemas diferentes de referência de posição (Posi-

tion Monitoring Equipments – PMEs), não apenas no caso

de eventual falha, mas para comparar fontes diferentes de

leituras e assim obter melhor assertividade.

O PME mais comum é o DGPS (Differential Global Po-

sitioning System), um sistema de posicionamento global via

satélites (Navstar ou GLONASS) com correção diferencial

fornecida por receptores instalados em uma localização físi-

10

ca para aumentar a exatidão[3]. Outro PME amplamente

empregado é o HPR (Hydroacoustic Positioning Reference),

cujo funcionamento envolve a comunicação em frequências

hidro acústicas entre transducers (geradores de pulsos acús-

ticos) instalados na plataforma e um ou mais transponders

instalados no leito marinho por ROVs e em posições conhe-

cidas; os transponders respondem às interrogações acústicas

do HPR da embarcação e informam a sua posição relativa.

Outros tipos de PMEs estão ilustrados na Fig.22[1]

Fig.22 – Principais tipos de PMEs utilizados em navios DP.

IV.3 – Configurações Redundantes no Subsistema Controle

do DP

O Subsistema Controle é o conjunto de soluções integra-

das de automação da plataforma, mais conhecido como IAS

(Integrated Automation Systems), que compreende os

hardwares, redes industriais Fieldbuses, e os sistemas inte-

ligentes para gerenciamento de energia[2].

Em termos de hardware, os controladores terão sempre

um componente principal e o outro escravo, cujo status será

continuamente monitorado e os dados sincronizados entre

ambos. Na ocorrência de uma falha no controlador principal,

o escravo assumirá o controle sem nenhuma perda de infor-

mação. Filosofia similar pode ser observada em todos os

componentes instalados na cabine de controle (DPC) como,

por exemplo, nos módulos I/O, nas fontes de alimentação,

no cabeamento, dentro outros. Os dados dos controladores

se comunicam com os computadores das estações de traba-

lho ou operação e são apresentados em múltiplos supervisó-

rios, como apresentado na Fig.23[6].

Fig.23 – Exemplos de redundâncias nas cabines dos controladores e

estações do operador – supervisório.

Concepção de hardware similar ocorre nos sistemas de

gerenciamento de energia (PMS). O objetivo do PMS é ga-

rantir que a geração de energia sempre será capaz de supor-

tar a demanda das cargas[5]. Para prevenir um blackout, o

PMS tem a habilidade de diminuir ou aumentar a geração

dentro dos limites e de realizar o corte das cargas não essen-

ciais para a preservação do Sistema DP. Como parte de todo

o Subsistema de Controle, o PMS também fornece a atuação

remota, gestão de alarmes e funções para a operação eficien-

te e segura da planta[5].

A arquitetura das redes duais e independentes LAN (Lo-

cal Area Network) para comunicação dos controladores com

as estações de trabalho é organizada na topologia em estrela,

e todos os aspectos de uma rede estão duplicados incluindo

o cabeamento, comutadores (switches), adaptadores ether-

net, cartões de interface de rede, dentre outros. Os switches e

conversores de fibra óptica estão localizados nas cabines de

distribuição de rede (NDU), que permitem que no evento de

uma falha na rede ou em um componente, não irá afetar a

operação do sistema, pois a comunicação irá continuar via

uma rede alternativa. Em geral não existem redundâncias

nas redes Fieldbuses entre, por exemplo, o controlador e o

CCM que aciona um motor, em uma falha deste sistema, um

sistema inteiro semelhante a este e em paralelo deverá ser

acionado.

A Fig.24[6] esquematiza a arquitetura completa do IAS

para notação de classe DP3, onde se pode observar além da

dupla redundância do Subsistema de Controle, a presença de

um sistema backup de emergência protegido contra incêndio

e inundações através da antepara A60.

Fig.24 – Arquitetura das Soluções de Automação Integradas ao DP.

V – CONCLUSÕES

A escassez dos poços e o aumento da demanda pelos de-

rivados do petróleo são os agentes geopolíticos que impulsi-

onam a indústria de óleo & gás para exploração em ambien-

tes remotos e em águas cada vez mais profundas. Neste con-

texto, os Sistemas de Posicionamento Dinâmico de plata-

formas marítimas se tornaram as tecnologias essenciais para

o processo de perfuração, onde a sua indisponibilidade está

intrinsecamente relacionada às perdas de receita e altos ris-

cos de segurança operacional para a tripulação.

Através do estudo das redundâncias dos Subsistemas de

Energia, Controle e Referência, conclui-se que a alocação

11

estratégica de componentes em paralelo permite maior tole-

rância do sistema às falhas. Sobre o aspecto de regulamenta-

ção, satisfatoriamente, a notação de Classe da embarcação

está diretamente relacionada à redundância dos subsistemas

do DP. A revisão literária mostrou ainda diferentes filosofias

de proteção, seletividade, tratamento inteligente de dados de

entrada e resposta dinâmica como estratégia de melhoria de

precisão e garantia de funcionamento mínimo do Sistema

DP mesmo quando a unidade se encontra em estado degra-

dado.

A abordagem em Diagrama de Blocos possibilitou a aná-

lise aprofundada do modelo de controle do Sistema DP, bem

como a identificação dos itens críticos para o seu funciona-

mento. Este estudo apresentou todas as variáveis de entrada,

saída e elementos de controle do modelo dinâmico e que,

numa escala de prioridade, são os componentes elementares

para a manutenção de posição de uma unidade DP.

Numa análise de probabilidade, foi possível verificar

que, a medida que se aumenta o número de componentes em

paralelo têm-se que a confiabilidade de um sistema crítico

torna-se mais efetiva. Desta forma, foi possível vislumbrar

em trabalhos futuros, modelos matemáticos a partir das ta-

xas de falha dos componentes do DP, e estimar quantos itens

precisariam ser colocados em paralelo para assegurar a con-

fiabilidade requerida do sistema, além de quantificar o risco

quando ocorre a retirada de um destes componentes redun-

dantes – para execução de manutenção preventiva, por

exemplo.

Como oportunidade de garantir a máxima disponibilida-

de da operação de perfuração, espera-se que a Engenharia de

Confiabilidade seja o drive para as decisões estratégias de

manutenção, concepção de projetos e políticas de sobressa-

lentes do Sistema de Posicionamento Dinâmico de sondas

offshore.

VI – REFERÊNCIAS BIBLIOGRÁFICAS

[1] INTERNATIONAL MARINE CONTRACTORS AS-

SOCIATION-IMCA – Introduction to Dynamic Posi-

tioning. Londres: IMCA, 2006.

[2] IMCAM206 – A Guide to DP Electrical Power and

Control Systems. Londres: IMCA, 2010.

[3] IMCAM103 Rev1.PT – Orientações para Projeto e

Operação de Embarcações com Posicionamento Dinâ-

mico. Londres: IMCA, 2007.

[4] KONGSBERG – Dynamic Positioning (DP) Book Ref-

erence I. Rio de Janeiro: K-Pos Maintenance Course,

2008.

[5] IMCAM225 – Example Redundancy Concept and An-

nual DP Trials for a DP Class 3 Construction Vessel.

Londres: IMCA, 2014.

[6] KONGSBERG – Product Description K-Pos Dynamic

Positioning System. Oslo: Kongsberg Maritime AS, Fe-

vereiro 2006.

[7] GE POWER CONVERSION – Dynamic Positioning

System Maintenance Course Notes. Houston: 2014.

[8] LEITE, Paulo C.; LEITE, Roberto T.; PEREIRA, Dou-

glas R.; CONCER, Gustavo M. Módulo de Controle

Automático do Pitch e do Azimuth de Thrusters utiliza-

dos em Sistema de Posicionamento Dinâmico. Rio de

Janeiro: IEEE – PCIC BR, 2008.

[9] THOMAS, José Eduardo. Fundamentos de Engenharia

de Petróleo. 2.ed. Rio de Janeiro: Interciência, 2004.

[10] PEREIRA, Mário Jorge. Engenharia de Manutenção –

Teoria e Prática. 2.ed. Rio de Janeiro: Ciência Moder-

na, 2011.

[11] RELIASOFT – System Analysis Reference: Reliability,

Availability & Optimization. Tucson: ReliaSoft Corpo-

ration, 2014.

[12] EMÍLIO, João. Regulamentos e Direito Marítimo:

Classificação de Navios. Notas de Aula. Lisboa: Escola

Superior de Náutica Infante D. Henrique, 2013.

[13] PETROBRAS – Alerta Técnico Blackout Total com

Dificuldade de Recuperação. Macaé: SOECS-DPPS,

Emitido em 30 de Dezembro de 2014.

[14] Drilling Contractor. Disponível na Internet: URL:

http://www.drillingcontractor.org/wp-

content/uploads/2011/09/ElectricalSystems-01.jpg,

2014.

[15] MSC/Circ.645 – Guidelines for Vessels with Dynamic

Positioning Systems. Londres: IMO - International Mar-

itime Organization, 1994.

BIOGRAFIA:

Thales Moran Engenheiro Eletricista pela Universidade Fe-

deral de Itajubá (2011) e Pós Graduando em

Automação Industrial pelo Inatel (2012-2015).

Desde 2014 atua como Engenheiro de Manu-

tenção & Confiabilidade pela Odebrecht Óleo

e Gás em Macaé/RJ. Anteriormente atuou em

campo pela Ensco plc (2012-2014), Siemens

(2011) e Alcoa Alumínio (2010).

Júlio Arlindo Pinto Azevedo Engenheiro Eletricista (Inatel, 1994) e Mestre

em Engenharia Elétrica (UNIFEI, 2001). Ex-

periência em campo, na docência e engenharia

de produtos para automação industrial. Atua

como Professor e Coordenador da Comissão

de Estudos do COBEI na criação de normas

ABNT NBR IEC para equipamentos em áreas

classificadas.