153

ao ergonmica volume 10, nmero 1

PENSAMENTO SISTMICO E ENGENHARIA DE RESILINCIA APLICADOS SEGURANA DE PROCESSOS DE

EXPLORAO E PRODUO DE PETRLEO - ESTUDO DE CASO DEEPWATER HORIZON
Rogrio Ferreira Pereira
Programa de Engenharia Ambiental - UFRJ
rfpereira@gmail.com
Claudia do Rosrio Vaz Morgado
Programa de Engenharia Ambiental - UFRJ
cmorgado@poli.ufrj.br
Paulo Victor Rodrigues de Carvalho
Instituto de Engenharia Nuclear - IEN
paulov195617@gmail.com
Isaac Jose Antnio Luquetti dos Santos
Instituto de Engenharia Nuclear - IEN
luquetti@ien.gov.br
Resumo: O objetivo deste estudo a identificao, modelagem e anlise das principais relaes entre as variveis que exercem
influencia na segurana de processos das atividades de explorao e produo de Petrleo, sendo utilizado como referncia o
acidente da Deepwater Horizon, ocorrido em 20 de abril de 2010 no golfo do Mxico. Como explorao e produo de
petrleo fazem parte de um sistema scio-tcnico complexo, foi utilizada neste estudo a metodologia STAMP (LEVESON,
2004), baseada na teoria de sistemas, fundamentada no pensamento sistmico, e na engenharia de resilincia.
O acidente da Deepwater Horizon, ocorrido em 20 de abril de 2010 foi escolhido como estudo de caso devido a sua
importncia para a indstria, sendo reconhecido por alguns autores como o maior acidente da histria do Petrleo. A
metodologia STAMP, adotada nesta pesquisa, baseia-se na teoria de sistemas e os trs pilares do mtodo so: restries de
segurana, estrutura hierrquica de controle e modelo de processo.
Os resultados demonstram, atravs de modelagem da aplicao da teoria de sistemas, as inter-relaes e possveis descontroles
entre as principais variveis que podem influenciar a segurana de processo das atividades de explorao e produo, tomando
como referncia as publicaes tcnicas e os relatrios dos rgos regulamentadores referentes ao acidente da Deepwater
Horizon. O estudo no buscou identificar falhas humanas ou tecnolgicas especficas, pois uma abordagem baseada
unicamente nas falhas poderia ser reducionista, ignorando todas as condies que permitiriam o processo funcionar sem falhas
apesar das variabilidades normais dos processos de explorao e produo de petrleo.
Palavras Chave: Deepwater Horizon, Petrleo
Abstract: The aim of this study is the identification, modeling and analysis of the main relationships among variables
performing influence on the process safety of Petroleum exploration and production , We used as the reference the Deepwater
Horizon accident, which occurred on April 20, 2010 in the Gulf of Mexico. As exploration and production of oil are part of a
complex socio-technical system, was used in this study STAMP (Leveson, 2004) methodology, based on systems theory,
systems thinking, and resilience engineering.
The Deepwater Horizon accident, which occurred on April 20, 2010 was chosen as a case study due to its importance for the
industry, being recognized by some authors as the largest accident in the history of Oil. The STAMP methodology adopted in
this research is based on systems theory and the three pillars of the method are: security restrictions, hierarchical control
structure and process model.
The results demonstrate, through modeling of the application of systems theory, the interrelationships and possible out of
control situations among the main variables that may influence the security of the process of exploration and production
activities, using technical publications and reports of the organs regulators related to the Deepwater Horizon accident as
reference. The study doesn't tried to identify specific human or technological failures, because an approach based solely on
failures could be reductionist, ignoring all the conditions that would allow the process to work flawlessly despite the normal
variability of the processes of exploration and production of oil
Keywords: Deepwater Horizon, Petrleo

154

aspectos que eventualmente possam contribuir para

1. INTRODUO
Um dos maiores desafios da indstria do petrleo
na atualidade a segurana dos processos de explorao e
produo. Estes desafios envolvem a intolerncia dos
atuais processos a acidentes nicos devido a quantidade de
energia envolvida, a complexidade do sistema sciotcnico, as interferncias externas, combinaes no
previstas de variveis e o prprio avano tecnolgico que
impe dificuldades no aprendizado com os eventos do
passado, pois circunstancias mudam muito rapidamente o
tempo todo. Com o desafio da segurana surge uma
necessidade clara de avaliarmos se as metodologias que
utilizamos para anlise de riscos e acidentes em
explorao e produo de petrleo continuam atualizadas
face aos sistemas complexos atuais.

acidentes ocupacionais e de processo ao mesmo tempo.

Com todos estes desafios, h uma necessidade evidente de
investirmos na melhoria contnua das metodologias de
anlise de acidentes e riscos para que sejam atualizadas
aos desafios atuais.
O objetivo deste trabalho a anlise de segurana
do processo de explorao e produo de petrleo por
meio da modelagem sistmica com base na metodologia
STAMP, fundamentada no pensamento sistmico e na
engenharia de resilincia, sendo utilizado como estudo de
caso o acidente Deepwater Horizon Blowout no Golfo do
mxico, ocorrido em 20 de abril de 2010. Como este foi
um dos maiores acidentes ambientais da histria, este
estudo buscou realizar uma anlise de resilincia dos

De acordo com (RICKLES; HAWE; SHIELL,

2007), sistemas complexos so aqueles que possuem a
caracterstica de comportamento dinmico atravs da
simples interao de um grande conjunto de variveis. Este

aspectos da atividade de explorao e produo de

petrleo em guas profundas, pois este continua sendo um
desafio relevante e atual.

2. PENSAMENTO SISTMICO

comportamento dinmico evidente na indstria do

petrleo, uma vez que os atuais sistemas possuem um

Quando

estudamos

um

problema

complexo,

conjunto de variveis e interaes que tornam difcil

geralmente buscamos dividi-lo em partes menores para

qualquer tentativa de gerenciar intelectualmente as inter-

facilitar

relaes

esta

conhecimento sobre o funcionamento das partes, buscamos

complexidade, a indstria qumica e do petrleo tem

atuar sobre elas para alcanar os resultados desejados no

investido seus recursos na elaborao de guias e normas

todo. A estratgia de partir das partes para o todo permite

focados em segurana de processo (OECD, 2008), (CCPS,

um conhecimento aprofundado em determinados aspectos

2007), (HSE, 2006), (CEFIC, 2011). Estes guias partem da

estudados, todavia, para que isso seja possvel, acabamos

premissa de que segurana de processos diferencia-se da

perdendo o entendimento do todo para as partes, ou seja,

segurana ocupacional, pois a segurana de processos

perdemos o entendimento de que as variveis estudadas

estaria focada em acidentes com um grande nmero de

podem se comportar de forma diferente e gerar resultados

vtimas devido aos processos qumicos e a integridade das

desproporcionais quando combinadas com o todo ou

instalaes, enquanto a segurana ocupacional estaria

podem ao longo de um intervalo de tempo gerar resultados

focada na preveno de leses e doenas aos trabalhadores

que levem o todo a um descontrole.

entre

as

variveis. Para

lidar

com

entendimento.

Aps

desenvolvermos

(KHAN; ABUNADA; JOHN, 2010). Apesar da tentativa

de desenvolver modelos especficos de segurana de

A dificuldade em enxergar o todo por mtodos

processos para lidar com a complexidade, o enfoque

reducionistas torna-se ainda mais acentuada quando

especfico em processos qumicos pode tirar o foco de

lidamos com problemas complexos, nos quais h grande

155

interao entre variveis e muitas combinaes possveis,

e

As setas na figura indicam o sentido do fluxo e os

tecnolgicas ao longo do tempo. Alm da complexidade

sinais "+" ou "-" indicam se a varivel aumenta ou diminui

das decises humanas, os microprocessadores e sistemas

a varivel que recebe influncia. Os dois traos na seta

baseados em software tornam-se bastante complexos ao

indicam um atraso entre a alterao na varivel que exerce

ponto de tonar difcil a compreenso dos modelos de

influncia e o impacto sobre a varivel influenciada.

incluindo

interaes

entre

atividades

humanas

processos neles estabelecidos. O trabalho de

(SENGE,

1990, p. 8) utiliza as palavras do fsico David Bohm para

Os modelos construdos permitem entendimento de

definir a estratgia de enxergar o todo pelo estudo das

situaes como a descrita na figura 1, na qual possvel

partes em um sistema complexo, no qual segundo Bohm,

observar situaes de interao entre variveis de forma

no teria utilidade, pois seria como juntar os pedaos de

abrangente. O caso da figura demonstra que uma simples

um espelho quebrado para enxergar uma imagem

reduo no nmero de incidentes leva reduo da

verdadeira.

preocupao das pessoas com a segurana, em longo

prazo, e leva a uma futura reduo na segurana das

Para solucionar esta dificuldade no entendimento

instalaes. Em todos os modelos desenvolvidos possvel

de sistemas complexos, um conjunto de metodologias foi

observar

desenvolvido ao longo dos anos a partir dos trabalhos

consequncias desproporcionais, tornando-se cada vez

pioneiros de (FORRESTER, 1961) e (BERTALANFFY,

mais necessria a aplicao de metodologias que ajudem a

1969) nos quais busca-se representar os processos por

explicar mais claramente os fenmenos complexos e que

meio de loops de controle e retroalimentaes e tenta-se

as anlises no sejam reducionistas ou compartimentadas.

compreender

A aplicao do pensamento sistmico demonstra ser uma

importncia

da

viso

holstica

entendimento do todo em oposio ao estudo isolado das

que

interao

entre

variveis

leva

possvel alternativa.

partes. Este conjunto de metodologias e conceitos gerou

um grande nmero de aplicaes na indstria e na busca

Como o processo de explorao e produo de

complexos

petrleo um sistema complexo e sistemas complexos

(STERMAN, 2000). A figura 1 um exemplo de aplicao

geralmente falham de forma complexa, a hiptese desta

da teoria sistemas, modelada atravs da dinmica de

pesquisa baseou-se no afirmao de que a teoria de

sistemas, a qual elaboramos com apoio do software

sistemas, fundamentada no pensamento sistmico, uma

VENSIM e adaptao de modelos padronizados de

ferramenta til para a compreenso de acidentes de

dinmica de sistemas desenvolvidos nos estudos de

segurana de processos de explorao e produo de

(MARAIS, SALEH e LEVESON, 2006).

petrleo. Para que seja possvel o desenvolvimento de

por

solues

de

problemas

sociais

modelos, torna-se necessria uma melhor compreenso do

significado de segurana de processo para a indstria do

Avanos
tecnolgicos

Entendimento da
tecnologia empregada

Segurana das
instalaes
+

Preocupao com a
segurana +

petrleo
Programa de reduo
de incidentes

+
Produtividade
+

Nmero de
incidentes -

Figura 1- Diagrama de enlace Segurana de Instalaes

3. SEGURANA DE PROCESSO
De acordo com (CCPS, 2007), a segurana de processos
diferencia-se da abordagem tradicional de segurana
ocupacional. Enquanto a segurana ocupacional est muito
mais fortemente empenhada em evitar leses e doenas do

156

trabalhador, a abordagem de Segurana em processos est

atualizadas ou necessitam de novas abordagens para

voltada para a necessidade de prever possveis falhas em

encararmos os desafios do futuro.

processos para evitar acidentes com um grande nmero de

vtimas ou at mesmo catstrofes ambientais. Apesar de

4. MODELOS

serem complementares, a abordagem de um sistema de

DE

ANLISE

DE

ACIDENTES E RISCOS

gesto com indicadores diretos e aes para melhorias

pode ser interessante para segurana ocupacional, mas no

A estratgia de preveno de acidentes e resposta aos

muito aplicvel para segurana em processos, pois os

desastres dependem da escolha correta e aplicao de

eventos diretos de segurana em processos ocorrem menos

modelos de anlises de acidentes e avaliao de riscos,

frequentemente para que possam ser definidas aes

pois eles vo ajudar a explicar porque os acidentes

corretivas. Alm de pouco frequentes, um nico evento

ocorrem, e determinar as medidas que devemos tomar para

pode significar uma catstrofe de grandes propores do

preveni-los

ponto de vista da segurana de processo e tambm

HOLLNAGEL, 2009).

ambiental. Ainda segundo (HSE, 2006), gesto de

bastante para representar com perfeio a realidade,

segurana de processo trata-se de um sistema de gesto

entretanto importante que a escolha do modelo de anlise

focado em acidentes maiores. Para que seja possvel

leve em considerao a complexidade do processo

realizar esta gesto, o guia (OGP, 2011) define que

estudado e permita entende-lo de forma abrangente,

segurana de processos um framework para gerenciar a

considerando suas inter-relaes e fontes de variao.

integridade da operao de sistemas e lidar com

Os modelos de acidentes e riscos normalmente utilizados

substncias perigosas.

na indstria de explorao e produo de petrleo

(LUNDBERG;

ROLLENHAGEN;

Nenhum modelo completo o

Conforme as definies apresentadas, possvel

baseiam-se no princpio de que os acidentes ocorrem

observar que um dos maiores desafios da segurana de

atravs de eventos bem definidos e encadeados, os quais

processos est na intolerncia dos atuais processos a

geram um resultado indesejado. De acordo com este

acidentes nicos, devido a quantidade de energia

modelo possvel identificar uma ou mais causas como

envolvida. Alm deste desafio, a velocidade dos avanos

raiz,

tecnolgicos torna difcil a tarefa de manter atualizada

evento indesejado. As tradicionais ferramentas de anlise

uma abordagem de segurana baseada na confiabilidade de

riscos ou acidentes na indstria de Petrleo e Gs como

componentes. O desafio da confiabilidade torna-se ainda

HAZOP, FMEA e arvore de falhas partem do modelo de

mais

cadeia de eventos ou variaes deste. Os modelos de

difcil

quando

percebemos

que

as

pessoas

as quais seriam responsveis por desencadear o

cadeia de eventos so bastante teis para sistemas tcnicos,

eventualmente falham. Adicionalmente, os processos

todavia quando inclumos possveis falhas humanas e as

tambm esto sujeitos a interferncias do meio externo, e o

recombinaes e retroalimentaes ao longo do tempo,

prprio

na

comeamos a tornar nosso modelo pouco adequado. No

atividade de aprendizado com os eventos do passado, pois

contexto dos sistemas complexos, identificar o evento

circunstancias mudam muito rapidamente o tempo todo.

gerador torna-se tambm uma atividade extremamente

desempenham

avano

papel

importante

tecnolgico

neste

impe

conjunto

dificuldades

Com o desafio da segurana de processos surge

subjetiva, uma vez que o sistema dinmico, variando e

tambm uma necessidade clara de avaliarmos se as

gerando combinaes ao longo do tempo. As vezes

metodologias que utilizamos para anlise de riscos e

apontamos a falha humana como evento causador, quando

acidentes em explorao e produo de petrleo continuam

na verdade temos dificuldade em identificar os fatores que

moldaram o comportamento.

157

baixos esto mais prximos da estrutura fsica onde ocorre

A complexidade dos sistemas de segurana retratada por

o acidente. Cada nvel acima possui mecanismos para

(PERROW, 1981), o qual chegou a utilizar a expresso

reforar as restries de segurana dos nveis abaixo e ter

"acidentes normais" em suas publicaes para fazer

retroalimentao para avaliar se as restries impostas

referncia a dificuldade na preveno de acidentes que

esto sendo bem sucedidas ou falhando. Para que as aes

ocorrem quando a combinao de variveis normais de

de controle sejam possveis, o controlador de cada nvel

processo leva a consequncias desproporcionais. Neste

estabelece um modelo de processo, o qual permite a

contexto, esta pesquisa adotou como metodologia uma

identificao de como o processo deve se comportar ao ser

abordagem baseada na teoria de sistemas e engenharia de

aplicada a restrio de controle (LEVESON, 2011).

resilincia chama de STAMP Systems-Theoretic Accident

Enxergando acidentes como problema de controle, temos

Model and Processes (LEVESON, 2004), na qual os

as seguintes classificaes de falhas possveis:

acidentes no so vistos como eventos especficos que

de controle e modelo de processo. De acordo com o

Tabela 1 : Classificao de Falhas de controle

(LEVESON, 2004)
1 - Inadequao da imposio de restries para
implantao das aes de controle (aes de Controle)
1.1 - Perigos no identificados
1.2 - Perda, ineficcia ou inadequao de aes de controle
para fatores de risco identificados
1.2.1 - Projeto do algoritimo de controle (processo) no
impe restries.
- Falhas na criao do processo.
- Mudana de processo sem a correspondente mudana no
algortimo de controle (assincronia de evolues).
- Modificao ou adaptao incorreta
1.2.2 - Modelo de processo inconsistente, incompleto ou
incorreto,
- Falhas na criao de processo.
- Falhas na atualizao de processo (evoluo assincrona).
- Defasagem de tempo
- Impresies de medio no contabilizadas
1.2.3 - Coordenao inadequada entre controladores e
tomadores de deciso (reas de fronteira entre atividades e
co-atividades
2 - Inadequao da execuo de aes de controle:
2.1 - Falha de comunicao
2.2 - Operao inadequada do operador
2.3 - defasagem de tempo
3 - Perda de retroalimentao ou retroalimentao
inadequada
3.1 - No fornecida no projeto do sistema
3.2 - Falha de comunicao
3.3 - defasagem de tempo
3.4 - Operao inadequada do sensor (informao
incorreta ou no fornecida)
A metodologia de investigao de acidentes utilizando

mtodo, as restries de segurana devem ser reforadas

STAMP chamada CAST - Causal Analysis using System

atravs de controles, os quais utilizam mecanismos de

Theory. Para que seja possvel entender acidentes atravs

realimentao e buscam garantir a segurana do sistema

da aplicao da metodologia CAST, so realizados os

observando as mudanas e readaptando o controle quando

passos de investigao a seguir, de acordo com

necessrio. O controle hierrquico significa que possvel

(LEVESON, 2011):

falham, mas so tratados como problema de controle e de

resilincia. De acordo com o mtodo adotado para a
realizao desta pesquisa, a variabilidade existe e
intrnseca ao processo, todavia os controles devem ser
robustos

suficiente

para

manter

os

processos

funcionando, mesmo com as variabilidades impostas.

Neste sentido, segurana seria a capacidade de manter o
processo funcionando, mesmo com as variaes normais
de processo e no somente como a ausncia de acidentes e
incidentes (LEVESON, 2011) (HOLLNAGEL; WOODS;
WREATHALL, 2010). O exemplo da Deepwater Horizon
nos ajuda a justificar esta abordagem, uma vez que de
acordo com (GRAHAM et al., 2011, p. 22) a plataforma
estava h mais de 7 anos sem ocorrncia de acidentes com
afastamento no momento em que um descontrole de poo
gerou um dos maiores acidentes da histria do Petrleo.

5. METODOLOGIA
O modelo STAMP (LEVESON, 2004) adotado nesta
pesquisa baseia-se na teoria de sistemas e os trs pilares do
mtodo so: restries de segurana, estrutura hierrquica

estabelecer nveis de controle, nos quais os nveis mais

158

1.

Identifique os acontecimentos prximos ao evento

Transocean e operando para a BP - British Petroleum, deu

2.

Identifique o perigo do sistema violado e as restries

incio ao que registrado como um dos mais graves

projetadas para o sistema de segurana.

acidentes do setor de Explorao e Produo de Petrleo.

Construa a estrutura de controle como ela foi projetada

O acidente provocou a morte de 11 trabalhadores, feriu 17

para funcionar.

e deixou um enorme vazamento de leo que durou 87 dias,

Para cada componente, determine se ele preenche todas

provocando a maior catstrofe ambiental da indstria do

as responsabilidades ou fornece controle inadequado.

Petrleo nos estados unidos. A causa do enorme desastre

Examine a coordenao e comunicao.

foi um descontrole do poo, chamado de Blowout pela

Considere a dinmica e migrao para riscos maiores.

indstria de Petrleo (GRAHAM et al., 2011). Para

Determine as mudanas que poderiam eliminar o

entender melhor como o acidente aconteceu, necessrio

controle inadequada (falta de reforo nas restries) no

conhecer um pouco sobre o processo de explorao de

futuro.

petrleo e por este motivo este artigo buscou explicar

Elabore recomendaes.

resumidamente esta atividade to complexa.

3.
4.

5.

Como o principal objetivo de uma anlise de acidentes a

Antes de iniciar as atividades de perfurao so realizados

preveno de recorrncias futuras, o enfoque da anlise

diversos estudos ssmicos para conhecer a formao

utilizando o CAST identificar as fragilidades do sistema

rochosa e o potencial de explorao de petrleo da

de controle e promover melhorias para garantir que o

provvel reserva. De posse destes estudos, o poo de

sistema de controle continue funcionando mesmo com

petrleo ento construdo em etapas com o apoio de uma

variaes semelhantes no futuro. As mudanas no sistema

broca rotativa que perfura o leito do mar. A broca

de controle visam garantir que a estrutura de restrio e

conduzida at o local de perfurao atravs de imensas

retroalimentao permitam que a estrutura seja capaz de se

plataformas onde ficam todos os equipamentos necessrios

adaptar ao longo do tempo, conforme as variveis de

para perfurao. Para que a plataforma no fique em

resposta obtidas pela retroalimentao.

movimento durante a perfurao e dificulte os trabalhos,

Algumas vezes as causas chegam a ser atribudas a falhas

utilizado um sofisticado sistema de posicionamento via

humanas, entretanto o mtodo CAST de anlise sugere que

satlite e poderosos motores que conseguem manter a

a investigao v alm, buscando entender os fatores que

posio da plataforma nas diversas situaes de trabalho.

moldam o comportamente para identificar como o sistema

Para tornar a perfurao possvel tambm utilizado um

de controle poderia impor restries para que os possoas

fluido de perfurao

tivessem

broca, limpeza do poo e conteno dos hidrocarbonetos

condies

de

tomar

decises

melhores.

Adicionalmente avaliasse tambm toda a estrutura de

como meio para lubrificao da

(SKALLE, 2012).

controle dos nveis superiores para identificar porque as

restries de controle e retroalimentaes no foram

A conteno dos hidrocarbonetos se faz necessria, pois

capazes de prevenir a degradao do sistema adaptando-se

conforme ocorre a perfurao,

as mudanas.

podem invadir o poo e dificultar a perfurao ou provocar

as reservas nas rochas

acidentes. Esta conteno realizada por meio do controle

5.1 The Deepwater Horizon Blowout

de densidade do fluido de perfurao, o qual exerce

No dia 20 de Abril de 2010, por volta das 21h local, no

presso sobre os hidrocarbonetos da formao, mantendo

Golfo do Mxico, uma exploso na plataforma de

eles controlados dentro do poo. Devido a funo

perfurao Deepwater Horizon, de propriedade da empresa

importante do fluido de perfurao, o mesmo

159

desenvolvido atravs de um conjunto de compostos para

identificou a cimentao como uma das provveis

que tenha uma densidade adequada para no ser pouco

causas do acidente.

densa demais ao ponto de no conseguir conter os

equipe

de

investigao

concluiu

que

hidrocarbonetos e evitar que eles retornem pelo poo, ou

posteriormente os hidrocarbonetos entraram no

muito densa, ao ponto de fraturar as formaes, podendo

poo atravs da Shoe-Track, e no atravs de uma

provocar vazamentos de hidrocarbonetos atravs da

falha no prprio revestimento de produo ou at

formao.

o anel do poo e atravs do conjunto de vedao.

O teste de presso negativa foi aceito apesar de

Aps algumas etapas de perfurao, um tubo de ao

integridade do poo no ter sido identificada

posicionado no poo e realizada uma cimentao para

adequadamente. Aps a realizao de testes, a

evitar a invaso de hidrocarbonetos atravs da formao.

tripulao entendeu que divergncias nos valores

Na entrada do poo posicionado um equipamento de

identificados de presso eram devido a "um efeito

proteo

bexiga".

chamado

BOP

(Blowout

Prevent).

Este

equipamento possui um conjunto complexo de vlvulas, o

qual permite fechar o poo em caso de presses anormais

de hidrocarbonetos ou situaes de emergncia, podendo

Fluxo desconhecido de hidrocarbonetos estava

Riser.

As

aes

de

resposta

invaso

de

chegar at a selar o poo no leito do mar e desconectar a

hidrocarbonetos falharam. As primeiras aes de

plataforma, como ltimo recurso.

controle foram fechar o BOP e desviar os fluidos

que saem do riser para o separador de gs da lama

O fechamento pode ser manual ou automtico em caso de

acidentes e desconexo da plataforma. H um "kick"

em vez de para a linha de desvio para o mar.

quando ocorre uma invaso de hidrocarbonetos no poo

atravs da formao. Quando no possvel controlar o

resultou na libertao de gs para a plataforma.

"kick" atravs dos mecanismos supracitados, o poo estar

fora de controle e isso chamado de Blowout.

Redirecionamento para o separador de gs e lama

Os sistemas de incndio e gas no preveniram a
inginio dos hidrocarbonetos

O BOP falhou na tentativa de selar o poco.

5.2 CAST
5.2.1. Identificao dos Fatos Prximos ao
Evento.

5.2.2 Identificao do perigo do Sistema

Violado e as Restries Projetadas Para o
Sistema de Segurana.

De acordo com (BP, 2010) e (GRAHAM et al.,

Como estamos considerando o acidente da

2011) os passos que antecedem o acidente da Deepwater

Deepwater Horizon, foram definidos os perigos e

Horizon foram:

restries de segurana para a fase de explorao,

Um dia antes do acidente foi realizada a

conforme o andamento no momento do acidente, todavia

cimentao do poo atravs do bombeamento de

importante salientar que os perigos e restries de

uma pasta leve de cimento para prevenir que

segurana mudam conforme as mudanas de atividades.

hidrocarbonetos invadissem o poo. A pasta

Em todos os casos, os controles de processo devem alterar

precisaria ser leve para reduzir a presso da

os algoritmos de controle e as restries de acordo com as

coluna

mudanas.

de

cimentao

Posteriormente

sobre

equipe

de

formao.
investigao

Perigo: Blowouts e vazamento de hidrocarbonetos

para o poo.

160

Restries de segurana: Prevenir o fluxo de

hidrocarbonetos da reserva para o poo.

estrutura, incluindo suas restries, para os nveis

superiores. A organizao das informaes em tabelas

Partindo destas premissas, so avaliados os controles

existentes e como eles falharam na misso de reforar esta
restrio.

5.3. Construo da Estrutura de Controle Como ela

facilitam a anlise posterior.

Tabela 2 : Responsabilidades e condies de controle
Componente

Responsabilidade
de Segurana

Ao de
Controle
Inadequado

Contexto em que
a deciso foi
tomada

Driller /
Mudddloger

Assegurar a
integridade do
Poo,
Avaliar as
informaes de
fluxo/presso e
operar em
conformidade
com os
procedimentos,
Operar o poo em
conformidade
com a agenda da
gesto da
plataforma,
Detectar e
controlar Kicks
durante a
perfurao,

Interpretao
incorreta das
informaes dos
sensores,
direcionamento
inadequado do
fluxo do poo
para os
separadores de
gas/lama, BOP
falhou quando
acionado

mudana de
turno, Atrasos nas
atividades
programadas para
a plataforma,
Presso para
reduo de
custos, ausncia
de procedimento
formal para
anlise de
informaes de
presso dos testes

Foi Projetada Para Funcionar

Congresso e
Legisladores
Relatrios do governo,
Lobbies, audincias e
reunies abertas, acidentes

Legislao

Minerals Management
Service (MMS)

Relatrios Operacionais,
relatrios de problemas,
relatrios de auditorias

Relatrios de acidentes / incidentes,

relatrios operacionais, relatrios de
atualizao, relatrios de modificaes,
Denncias

CFRs (regulamentao/Lei),
Multas, Penalidades,
Permisses, Fiscalizao

Relatrios Operacionais,
relatrios de problemas,
relatrios de auditorias

Falha de
processo ou
modelo
mental
Entendimento
incorreto de
que as
informaes
de
divergncia
de presso
identificadas
em testes
eram
causadas por
"efeito
bexiga".

British Petroleum (BP)

Transocean

Poltica de Segurana,
Procedimentos, Recursos

Halliburton

Relatrios
Operacionais

Instrues de
trabalho

Instrues de
trabalho

Requisitos contratuais,
Procedimentos, Auditorias,
Poltica de Segurana

Solitaes de mudanas,
Relatrios de auditorias,
Relatrios de problemas

Gesto da Plataforma

Requisitos contratuais,
Procedimentos, Auditorias,
Poltica de Segurana

Solitaes de mudanas,
Relatrios de auditorias,
Relatrios de problemas

Instrues de
Trabalho

Solitaes de mudanas,
Relatrios de auditorias,
Relatrios de problemas

Driller / Mudlogger

Sistemas
Informatizados

Gesto da
Plataforma

sensores

Atuadores

Poo

Figura 2 - Estrutura de Controle Deepwater Horizon

A estrutura de controle foi montada com os principais
envolvidos no acidente, todavia uma anlise mais robusta
poderia ser feita com outras incluses. possvel observar
nas setas do modelo as restries de segurana e as
retroalimentaes

recebidas

por

cada

um

dos

controladores. O objetivo do sistema de controle reforar

a restrio identificada no item 5.2.2
BP

5.4. Para Cada Componente, Determine se Ele

Preenche Todas as Responsabilidades ou Fornece
Controle Inadequado.

Com o objetivo de demonstrar aplicao do CAST,

avaliaremos

as

responsabilidades

controles

dos

principais componentes. A avaliao dos controles

realizada normalmente partindo do nvel mais inferior da

MMS

Assegurar o
cumprimento da
agenda da
plataforma,
estabelecer
controles de
acordo com as
condies do
poo, Operar em
conformidade
com o plano de
trabalho
estabelecido pela
BP e Contratadas,
Aplicar as
polticas de
segurana da BP,
Assegurar a
integridade
estrutural da
plataforma
Estabelecer o
programa de
perfurao,
atender a
legislao,
encaminhar
informaes
Operacionais ao
MMS, estabelecer
o plano de
trabalho em
conformidade
com as condies
de perfurao,
Avaliar
fornecedores,
verificar
cumprimento dos
procedimentos,
fornecer recursos,
realizar
treinamentos,
monitorar as
operaes,
estabelecer
poltica de
segurana.

Fiscalizar BP,
fornecer
autorizaes para
mudanas,
fornecer
regulamentao
ao setor

No houve
disponibilizao
de procedimento
formal para
anlise de
informaes de
presso dos
testes, Padres
de trabalho no
garantira
funcionamento
do BOP,
Liberao da
equipe de
cimentao sem
a realizao de
testes de
integridade,

Mudana de
turno, Atrasos nas
atividades
programadas para
a plataforma,
Presso para
reduo de
custos,

Falha no
atendimento a
CFRs do MMS,
ausncia de
padres para
testes de
integridade

Atrasos nas
atividades
programadas para
a plataforma,
Presso para
reduo de
custos,

No h
regulamentao
com as
especificidades
de guas
profundas,
Testes de BOP
liberados com
requisitos
divergentes do
local para onde
seria aplicado

Equipe
subdimensionada,
presso por
mudanas na
estrutura

Entendimento
incorreto de
que as
informaes
de
divergncia
de presso
identificadas
em testes
eram
causadas por
"efeito
bexiga".
Entendimento
de que no
eram
necessrios os
testes de
cimentao

Cultura antiregulatria

161

ter moldado o comportamento das pessoas e influenciado

Com a elaborao do modelo, possvel identificar que

as decises.

em alguns casos, como o no funcionamento do BOP, um

conjunto

de

restries

dos

nveis

superiores

no

7. REFERNCIAS

funcionaram, chegando at o nvel mais elevado da

estrutura que no nosso caso foi o MMS, o qual no possua
regulamentao adequada para guas profundas. Desta
forma possvel estabelecer controles nos nveis mais
baixos e subirem na estrutura com mecanismos que
reforcem estes controles. O fato de o modelo ser

BERTALANFFY, L. VON. General System Theory:

Foundations, Development, Applications. 1. ed. New
York: George Braziller Inc, 1969. p. 296
BLYTHE, B. J. et al. SUBSEA DRILLING , WELL
OPERATIONS AND COMPLETIONS Prepared by the
Offshore Operations Subgroup. p. 145, 2011.

hierrquico no significa que seja linear, permitindo assim

que os sistemas se inter-relacionem e adaptem o controle
em conformidade com a retroalimentao recebida.

6. CONCLUSES
De acordo com a anlise do acidente utilizando CAST,
podemos concluir que a teoria de sistemas fornece uma
abordagem que vai alm das formas tradicionais lineares
de anlise de acidentes. O enfoque no controle fornece
informaes que podem auxiliar o estabelecimento de
aes e manuteno dos processos de forma mais direta,

BP, B. P. Deepwater Horizon Accident Investigation

Report. Houston: British Petroleum, 2010. p.
192Disponvel
em:
<http://books.google.com/books?hl=en&lr=&id=oJnW9R
4m_3sC&oi=fnd&pg=PA9&dq=Deepwater+Horizon+Acc
ident+Investigation+Report&ots=nWwKTkKXrR&sig=f6
5MoVDdRY0qIdMp4QtMO0iKbG0>. Acesso em: 12 fev.
2014.
CCPS, C. FOR C. P. S. Guidelines for risk based process
safety. 1. ed. Hoboken: [s.n.], 2007. p. 768Disponvel em:
<http://books.google.com/books?hl=en&lr=&id=xdU1Xf
HiNLQC&oi=fnd&pg=PR29&dq=Guidelines+for+Risk+
Based+Process+Safety&ots=omUf8IkycA&sig=F7uYE6ra
1RQDvUTG-GscW3Nya5o>. Acesso em: 26 nov. 2013.

entretanto o mtodo no gera informaes probabilsticas

para auxiliar a tomada de deciso pelos rgos
fiscalizadores e no permitem a indicao de um culpado
especfico para aes judiciais. Um dos maiores desafios
neste tipo de anlise est na elaborao de um mapa
mental comum para toda a equipe que trabalha na
investigao acidentes, entretanto evidente que o
investimento no estudo de alternativas para atualizarmos
os tradicionais modelos de anlises de acidentes e riscos,
em busca de uma melhoria contnua, continua sendo um
desafio relevante e atual.
Partindo da informao dos controles existentes e de como
falharam/podem falhar possvel estabelecer controles
adicionais ou novos que se atualizem automaticamente de
acordo com as informaes recebidas do processo
(feedback). A coluna que apresenta o contexto em que a
deciso foi tomada tambm representa uma fonte rica de
informaes que permitem uma atuao para tornar o
processo mais resiliente, pois indicam fatores que podem

CEFIC. Guidance on Process Safety Performance

Indicators. 2. ed. Brussels: [s.n.], 2011. v. 2. p.
50Disponvel
em:
<http://doi.wiley.com/10.1002/prs.10418>.
FORRESTER, J. W. Industrial Dynamics. 1. ed.
Cambridge: The M.I.T. Press, 1961. p. 484
GRAHAM, B. et al. Deepwater - The Gulf Oil Disaster
and the Future of Offshore Drilling. Vasa. Washington,
DC:
[s.n.],
2011.
Disponvel
em:
<http://medcontent.metapress.com/index/A65RM03P4874
243N.pdf>. Acesso em: 25 fev. 2014.
HOLLNAGEL, E.; WOODS, D. D.; WREATHALL, J.
Resilience Engineering in Practice. 1. ed. farnham:
Ashgate Publishing Limited, 2010. p. 363
HSE, S. E. Developing process safety indicators - HSG
254. 1. ed. [S.l.]: HSE books, 2006. p. 59
KHAN, F.; ABUNADA, H.; JOHN, D. Development of
Risk-Based Process Safety Indicators. v. 29, n. 2, p. 133
143, 2010.

162

LEVESON, N. A new accident model for engineering

safer systems. Safety Science, v. 42, n. 4, p. 237270, abr.
2004.
Disponvel
em:
<http://linkinghub.elsevier.com/retrieve/pii/S09257535030
0047X>. Acesso em: 30 abr. 2014.
LEVESON, N. Engineering a Safer World. 1. ed.
Cambridge: Library of Congress, 2011. p. 555
LUNDBERG, J.; ROLLENHAGEN, C.; HOLLNAGEL,
E.
What-You-Look-For-Is-What-You-Find

The
consequences of underlying accident models in eight
accident investigation manuals. Safety Science, v. 47, n.
10, p. 12971311, dez. 2009. Disponvel em:
<http://linkinghub.elsevier.com/retrieve/pii/S09257535090
00137>. Acesso em: 21 out. 2013.
OECD. Guidance on Developing Safety Performance
Indicator. Second Edi ed. Paris: [s.n.], 2008. p.
156Disponvel em: <www.oecd.org/ehs/>.
OGP, I. A. OF O. & G. P. Process Safety Recommended
Practice on Key Performance Indicators Table of
Contents. 1. ed. London: 1, 2011. p. 36Disponvel em:
<www.ogp.org.uk>.
PERROW, C. Normal accident at three Mile Island.
Society, v. 18, n. 5, p. 1726, jul. 1981. Disponvel em:
<http://link.springer.com/10.1007/BF02701322>. Acesso
em: 25 fev. 2014.
RICKLES, D.; HAWE, P.; SHIELL, A. A simple guide to
chaos and complexity. Journal of epidemiology and
community health, v. 61, n. 11, p. 9337, nov. 2007.
Disponvel
em:
<http://www.pubmedcentral.nih.gov/articlerender.fcgi?arti
d=2465602&tool=pmcentrez&rendertype=abstract>.
Acesso em: 20 jan. 2014.
SENGE, P. M. The Fifth Discipline. 1. ed. New York:
Library of Congress, 1990. p. 412
SKALLE, P. Pressure control during oil well drilling.
[S.l.]: bookboon, 2012. p. 145Disponvel em:
<http://books.google.com/books?hl=en&lr=&id=LslW1Iw
OcI0C&oi=fnd&pg=PA7&dq=Pressure+Control+During+
Oil+Well+Drilling&ots=fQSF1KhIqS&sig=dvswgbCcXY
YsWa7NRUVKFZS4WdA>. Acesso em: 27 fev. 2014.
STERMAN, J. D. Business Dynamics - Systems Thinking
and Modeling for a Complex World. 1. ed. Cambridge:
McGraw-Hill/Irwin, 2000. p. 1008