Gerenciamento de alarmes na indústria de processos
Gerenciamento de alarmes industriais: guia EEMUA 191 e ISA 18.2
Fale conoscoGerenciamento de alarmes é o conjunto de processos de engenharia que garante que cada alarme apresentado ao operador seja relevante, único e acionável, reduzindo a sobrecarga e tornando a operação da planta mais segura e estável. Na prática, ele segue as metas de desempenho da EEMUA 191 e o ciclo de vida da norma ISA 18.2. Há 25 anos implementamos projetos de gerenciamento de alarmes em plantas de processo, em clientes como Petrobras e Braskem.
O que é gerenciamento de alarmes
Um alarme é um aviso, sonoro ou visual, que indica ao operador uma condição anormal que exige uma ação. Sua função é chamar a atenção a tempo de evitar que um desvio se transforme em uma emergência. O gerenciamento de alarmes é a disciplina que mantém o sistema cumprindo essa função ao longo de toda a vida da planta.
Na prática, um sistema bem gerenciado apresenta ao operador apenas os alarmes que pedem uma ação, no momento certo e com a prioridade correta. Cada alarme tem uma resposta esperada, uma consequência conhecida caso o operador não atue e um tempo máximo para agir. Quando isso se perde, o sistema deixa de proteger a planta e passa a atrapalhar a operação.
Este conteúdo trata do gerenciamento de alarmes no contexto industrial e de processos (refinarias, petroquímica, papel e celulose, mineração, energia e manufatura), em que os alarmes chegam ao operador pelo sistema de controle (SDCD ou PLC) e pelas telas de operação.
A sobrecarga de alarmes e por que ela acontece
A causa da maioria dos problemas é, curiosamente, a facilidade de configurar alarmes. Nos antigos painéis analógicos, incluir um alarme custava espaço físico, cabos e instalação, de forma que apenas os alarmes realmente necessários eram configurados. Com os sistemas digitais, criar um alarme passou a ser apenas preencher um valor em uma tabela. Sem esse custo, o número de alarmes configurados cresceu sem controle.
O resultado é a sobrecarga. É comum encontrarmos operadores recebendo cerca de 2.000 alarmes por hora, mais de 30 por minuto. Nessas condições, o operador simplesmente silencia tudo e passa a ignorar a informação, justamente nas situações anormais, quando mais precisaria de clareza para agir. O caso da refinaria de Milford Haven, no Reino Unido, é o exemplo mais citado: a investigação apontou que os operadores não conseguiram entender o que acontecia diante do enorme número de alarmes gerados, somado a telas de operação mal projetadas. Episódios como esse colocaram o gerenciamento de alarmes no centro da operação segura de qualquer processo.
Quatro problemas costumam aparecer juntos. Os bad actors são alarmes que disparam o tempo todo, mesmo em operação estável, e quase sempre um punhado deles responde pela maior parte do volume. As avalanches de alarmes acontecem quando o operador recebe mais de 10 alarmes em 10 minutos, normalmente por alarmes redundantes ou correlacionados que disparam juntos em um único evento. Os alarmes intermitentes entram e saem em intervalos muito curtos, em geral por banda morta mal ajustada. E os alarmes obsoletos, ou congelados, ficam ativos por longos períodos sem que nenhuma ação os retorne ao normal, sinal de que provavelmente são desnecessários.
As normas EEMUA 191 e ISA 18.2
Para padronizar o tratamento desses problemas, a indústria desenvolveu normas e coletâneas de boas práticas. A EEMUA 191 (Engineering Equipment and Material Users Association) é historicamente a referência mais citada e consolidou as metas de desempenho que usamos até hoje como benchmark, além dos critérios para classificar a maturidade de um sistema de alarmes.
A ISA 18.2 (Management of Alarm Systems for the Process Industries) foi publicada em 2009 e revisada em 2016, e tem como equivalente internacional a IEC 62682. Sua principal contribuição foi organizar todas as atividades em um ciclo de vida do gerenciamento de alarmes, hoje o framework de referência. Vale registrar que os materiais mais antigos ainda tratam a ISA 18.2 como norma em elaboração; ela é, na verdade, uma norma consolidada há mais de uma década.
EEMUA 191
Metas de desempenho e benchmarks por tipo de indústria
Referência consolidada
ISA 18.2
Ciclo de vida e requisitos de gestão de alarmes
Vigente (revisão de 2016)
IEC 62682
Equivalente internacional da ISA 18.2
Vigente
NAMUR NA 102
Recomendação europeia complementar
Complementar
O ciclo de vida do gerenciamento de alarmes
A ISA 18.2 trata o gerenciamento de alarmes como um ciclo de vida, e não como um projeto pontual. Cada alarme percorre etapas bem definidas e o sistema é reavaliado de forma contínua:
Filosofia de alarmes
O documento que define as regras de configuração e gestão.
Identificação
Levantamento das necessidades de alarme a partir de análises de risco, HAZOP e fluxogramas de processo.
Racionalização
Avaliação de cada alarme quanto à necessidade, prioridade, consequência e tempo de resposta.
Projeto detalhado
Definição de set points, banda morta, atrasos, prioridade e como o alarme aparece na tela.
Implementação
Configuração no sistema de controle e treinamento da operação.
Operação
O alarme cumpre sua função no dia a dia, orientando a resposta do operador.
Manutenção
Testes, reparos e tratamento de alarmes fora de serviço.
Monitoramento e avaliação
Acompanhamento dos indicadores, a etapa que sustenta a melhoria contínua.
Gestão de mudanças
Garante que nenhuma alteração desfaça o trabalho de racionalização.
Auditoria
Revisões periódicas que realimentam a filosofia e fecham o ciclo.
A filosofia de alarmes
A filosofia de alarmes é o documento que estabelece as regras do jogo e que idealmente é emitido como norma interna da planta. É ela que assegura consistência ao longo do tempo, independentemente de quem configure os alarmes.
Uma boa filosofia define o objetivo do sistema e o que caracteriza um alarme legítimo (todo alarme precisa de uma ação associada), os critérios de priorização e classificação, os papéis e responsabilidades de cada função, os indicadores que serão acompanhados e suas metas, o processo de gestão de mudanças e as diretrizes de apresentação dos alarmes nas telas de operação.
Racionalização de alarmes
A racionalização é a etapa de maior impacto na redução da sobrecarga. Nela, uma equipe multidisciplinar da planta revisa criticamente cada alarme configurado no SDCD (Sistema Digital de Controle Distribuído) à luz da filosofia: o alarme se justifica, qual ação ele exige, qual a consequência de não agir e em quanto tempo. Não se trata apenas de reduzir notificações, mas de melhorar a qualidade da informação entregue à operação, permitindo uma resposta mais rápida e precisa em situações críticas. Os alarmes que não passam por esse crivo são eliminados ou reconfigurados.
Atuar nos bad actors é uma excelente forma de começar. Com uma ferramenta de gerenciamento como o BR-AlarmExpert, identificamos os piores alarmes, que em alguns casos são acionados centenas de vezes por hora, e, corrigindo apenas poucas dezenas deles, é comum reduzir em 90% o número de alarmes ativados em poucas semanas. Outras análises completam o trabalho: alarmes intermitentes costumam ser resolvidos com ajuste de banda morta; alarmes correlacionados que sempre ocorrem em sequência podem ser substituídos por um único alarme; e a análise das ações do operador, que aponta quais malhas têm set point ou modo alterados com mais frequência, revela necessidades de sintonia de controladores PID ou oportunidades de controle avançado de processos.
Uma técnica importante é o gerenciamento dinâmico de alarmes, que ativa ou suprime conjuntos de alarmes conforme o estado da planta (partida, parada, troca de produto), evitando que alarmes irrelevantes para aquele momento poluam a tela do operador.
Indicadores (KPIs) e metas de desempenho
Não se gerencia o que não se mede. O ponto de partida é armazenar o histórico de alarmes e calcular os indicadores. As normas EEMUA 191 e ISA 18.2 recomendam que um operador não receba mais que cerca de 6 alarmes por hora, aproximadamente 1 a cada 10 minutos. Quando esse número chega às centenas, o sistema está sobrecarregado e exige ação imediata nos bad actors.
A avalanche de alarmes, configurada quando o operador recebe mais de 10 alarmes em 10 minutos, indica instabilidade no processo, em geral por redundância. Recomenda-se que o percentual de tempo nessa condição fique abaixo de 1%. Já a distribuição de prioridades deve seguir aproximadamente 80% de baixa, 15% de média e 5% de alta criticidade, um indicador que pode e deve ser avaliado ainda na fase de projeto. Outros indicadores complementam a análise, como a quantidade de alarmes intermitentes, obsoletos e a supressão não autorizada.
| Indicadorpor operador | Meta (EEMUA 191 / ISA 18.2) | Sistema sobrecarregado |
|---|---|---|
| Alarmes por horamédia | até cerca de 6 (1 a cada 10 min) | centenas, chegando a 2.000 |
| Pico de alarmes em 10 minutos | até 10 | muito acima |
| Tempo em avalanchemais de 10 em 10 min | abaixo de 1% | elevado |
| Distribuição de prioridadebaixa / média / alta | 80% / 15% / 5% | desbalanceada |
| Alarmes intermitentes e obsoletos | minimizar | frequentes |
Cruzando esses indicadores, classificamos um sistema de alarmes em cinco níveis de maturidade. Definir onde a planta está e aonde ela quer chegar orienta quais técnicas aplicar.
| Sobrecarregado | Difícil de usar na operação normal e praticamente ignorado em distúrbios. |
| Reativo | Mais estável no dia a dia, mas ainda pouco útil em emergências. |
| Estável | Bem definido para a operação normal, com melhora nas taxas média e de pico. |
| Robusto | Confiável em todos os modos: operação normal, distúrbios e emergências. |
| Preditivo | Sempre estável, entrega a informação certa na hora certa para evitar distúrbios. |
Cases: Petrobras e Braskem
Na Petrobras, realizamos um trabalho pioneiro de racionalização de alarmes em uma unidade ainda em fase de projeto, a unidade de hidrodessulfurização de nafta craqueada em Canoas, no Rio Grande do Sul. Fazer o trabalho antes da partida permitiu que a unidade já entrasse em operação com a filosofia de alarmes definida, alarmes bem configurados e número reduzido de eventos. O percentual de tempo em que o operador recebeu mais de 10 alarmes em 10 minutos ficou sempre abaixo de 0,20%, com os três principais indicadores dentro dos limites recomendados pela EEMUA 191 e pela ISA 18.2.
Na Braskem, fomos parceiros na implantação do programa corporativo de gerenciamento de alarmes, que unificou as iniciativas das diferentes unidades em um sistema centralizado de coleta e classificação. Em uma das plantas, depois da racionalização das principais áreas, a taxa média de alarmes caiu de um valor típico da petroquímica, cerca de 9 por 10 minutos por operador, para perto do recomendado pela EEMUA, cerca de 2. Em projetos desse tipo, já chegamos a reduzir em 97% os alarmes por operador.
Gerenciamento de alarmes com a Trisolutions
Há 25 anos a Trisolutions aplica o ciclo de vida da ISA 18.2 de ponta a ponta, da elaboração da filosofia de alarmes ao monitoramento contínuo dos indicadores, com a experiência de campo acumulada em refinarias, petroquímicas, mineração e energia. O acompanhamento dos KPIs e o apoio à racionalização são feitos com o BR-AlarmExpert, nosso software de gerenciamento de alarmes, que entrega de forma centralizada as métricas sugeridas pelas normas e sustenta a melhoria contínua depois do projeto.
O gerenciamento de alarmes também conversa com outras frentes da operação. A análise das ações do operador frequentemente aponta oportunidades de monitoramento e gestão de ativos e de controle avançado de processos.
Vamos avaliar o seu sistema de alarmes?
Fazemos o diagnóstico do seu sistema contra as metas da EEMUA 191 e da ISA 18.2 e desenhamos o caminho de racionalização. Fale com a nossa equipe.
Solicitar diagnósticoPerguntas frequentes (FAQ)
As referências são a EEMUA 191, que reúne as metas de desempenho e os critérios de projeto e gestão de sistemas de alarme, e a ISA 18.2, publicada em 2009 e revisada em 2016, com versão internacional na IEC 62682. A ISA 18.2 organiza o trabalho em um ciclo de vida, hoje o framework de referência.
Garantir que todo alarme tenha uma ação associada, uma consequência conhecida e um tempo de resposta definido, para que o operador receba apenas informação útil, principalmente em situações críticas. O objetivo final é uma operação mais segura e estável.
É a revisão crítica de cada alarme configurado no SDCD por uma equipe multidisciplinar, com base na filosofia de alarmes. Cada alarme é avaliado quanto à sua necessidade e prioridade; os desnecessários são eliminados e os mal configurados são corrigidos. É a etapa de maior impacto na redução da sobrecarga.
É a situação em que o operador recebe mais de 10 alarmes em 10 minutos. Costuma ocorrer em distúrbios, por alarmes redundantes que disparam juntos, e é perigosa porque consome a atenção do operador no pior momento. As normas recomendam que o tempo nessa condição fique abaixo de 1%.
É o documento que define como os alarmes são configurados e gerenciados na planta: papéis e responsabilidades, critérios de priorização, indicadores e metas, e o processo de gestão de mudanças. Pode ser emitido como norma interna.
Os principais são a taxa média de alarmes por operador, com recomendação de não passar de cerca de 6 por hora (1 a cada 10 minutos), o percentual de tempo em avalanche, que deve ficar abaixo de 1%, e a distribuição de prioridades, em torno de 80% baixa, 15% média e 5% alta. Complementam a análise a quantidade de alarmes intermitentes, obsoletos e a supressão não autorizada.