CONCEITOS DE REDUNDÂNCIA APLICADOS AO SISTEMA DE POSICIONAMENTO
DINÂMICO DE PLATAFORMAS DE PERFURAÇÃO OFFSHORE COMO
ESTRATÉGIA DE AUMENTO DA CONFIABILIDADE
Thales Moran & Júlio Arlindo Azevedo
Resumo – Os Sistemas de Posicionamento Dinâmico
(DP) atuam no sentido de manter embarcações maríti-
mas em uma determinada coordenada e aproamento
através do controle exclusivo dos seus propulsores, sem o
auxílio de âncoras e rebocadores, e independente das
condições climáticas. O DP é parte das soluções Integra-
das de Automação Naval, onde em seus passadiços po-
dem-se realizar atividades de monitoramento e aciona-
mento de equipamentos do navio. No caso das platafor-
mas móveis de perfuração offshore a perda de posicio-
namento é traduzida na maioria das vezes como parada
de produção e altos riscos de segurança operacional. O
objetivo deste trabalho é analisar as redundâncias do
Sistema de Posicionamento Dinâmico como estratégia de
aumento da disponibilidade e confiabilidade dos seus
componentes e subsistemas.
Palavras-Chave: Sistemas de Posicionamento Dinâmi-
co, Perfuração Offshore, Sistemas de Potência, Redundân-
cia, Configuração Paralelo Simples, MODU, IAS.
I – INTRODUÇÃO
O registro da participação do petróleo na vida do homem
remonta a tempos bíblicos. Na antiga Babilônia, os tijolos
eram assentados com asfalto e o betume era largamente uti-
lizado pelos fenícios na calafetação de embarcações. Os
egípcios o usaram na pavimentação de estradas, para embal-
samar os mortos e na construção de pirâmides, enquanto os
gregos e romanos dele lançaram mão para fins bélicos[9]. O
petróleo era retirado de exsudações naturais encontradas em
todos os continentes.
Sobre o ponto de vista comercial, a “Era do Petróleo” te-
ve início no início do século XVIII com a exploração de
poços em terra (onshore) com não mais que 20 metros de
profundidade. O primeiro poço offshore que se tem notícia
foi perfurado a 30 metros da costa do Mar Cáspio através de
uma plataforma fixa[4].
Gradualmente, a indústria de perfuração avançou para
exploração offshore em águas cada vez mais profundas. Em
1897 na Califórnia foi construído o primeiro píer para co-
nectar a costa terrestre a um poço que estava distante 400
metros da terra conforme apresentado na Fig. 1[4].
Artigo apresentado no II Seminário de Automação Industrial e Sistemas
Eletro-Eletrônicos – SAISEE (ISSN 2319-0280), ocorrido em 04 de Março
na cidade de Santa Rita do Sapucaí-MG.
1
Fig.1 – Píer de Summerland para perfuração de poço costeiro.
As MODUs (Mobile Offshore Drilling Units) nasceram a
partir do desenvolvimento das plataformas auto elevatórias
(Jack-ups), o que foi considerado um marco histórico da
indústria, pois foram as primeiras sondas que permitiram
maior mobilidade em ambiente marítimo, sendo transporta-
das por rebocadores. O mecanismo auto elevatório permitiu
que as estruturas treliçadas ficassem estacionadas no fundo
do oceano enquanto que o maquinário de perfuração estives-
se suspenso acima da coluna d’água. Tipicamente essas son-
das operavam em águas rasas de não mais que 300 metros, e
ainda são largamente utilizadas, sobretudo no Mar do Norte.
Apesar do avanço, o alto custo e as dificuldades para
movimentar de um poço para outro limitou o uso das Jack-
ups. Neste contexto, surgiram em 1953 as primeiras sondas
semi submersíveis ancoradas (Moored Rigs), que como o
próprio nome sugere, necessitam para a manutenção da po-
sição, o lançamento de âncoras e cabos, ou sistemas de atra-
cação em multipontos no fundo do oceano. As sondas anco-
radas operam estavelmente com lâmina d’agua em torno de
800 metros[4].
Os pontos desfavoráveis das unidades que operam com
Sistemas de Posicionamento Fixo estão relacionados à baixa
elasticidade do sistema de ancoramento, a falta de amorte-
cimento hidrodinâmico e a exposição aos movimentos das
ondas, ventos e correntes marítimas.
Além disso, a perfuração em alto mar requeria grande
quantidade de âncoras, correntes e guinchos o que aumentou
o custo e limitou a aplicabilidade desse tipo de embarcação
para operações com profundidade maior do que 1500 me-
tros[7]. A Fig. 2 apresenta exemplos de sondas da empresa
Ensco plc que operam com Sistemas de Posicionamento
Fixo.
 Fig.2 – Jack-Up ENSCO 102 e Semi-sub. Ancorada ENSCO 5004.
Os Sistemas de Posicionamento Dinâmico surgiram com
o objetivo de fornecer grande mobilidade às embarcações
uma vez que não existia ligação física da plataforma com o
fundo do mar – exceto pela coluna de perfuração.
Os primeiros projetos de um Sistema DP com controle
automático de posição foram utilizados em 1961 com o EU-
REKA da Shell Oil Company e em 1964 pelo CALDRILL 1
da Caldrill Offshore Company, ambos nos Estados Uni-
dos[4]. A unidade da Shell foi capaz de perfurar em profun-
didades de 1300 metros, em condições ambientais adversas
com ondas de 6 metros de altura e velocidade do vento mai-
or do que 21 metros por segundo, um cenário certamente
inviável para a operação de sondas ancoradas. Ambos eram
equipados por dois dispositivos de referência Taut Wire, que
são basicamente cabos tensionados verticalmente, presos a
um peso que repousa no leito marinho[3] para determinarem
a deriva da unidade. Quatro propulsores de 300 HP eram
acionados por computador para restaurar a posição da plata-
forma.
Atualmente os navios-sonda de última geração operam
em águas profundas e ultra profundas que variam de 300 a
3.000 metros de lâmina d’agua[9]. A Fig. 3 apresenta exem-
plos da frota da empresa Odebrecht Óleo e Gás que operam
na bacia de Campos desde 2012 e que são equipados por
dispositivos de automação integrada ao sistema de posicio-
namento dinâmico.
Fig.3 – Semi-sub. ODN Delba3 e Navio-Sonda Norbe IX.
O grande desafio para uma sonda offshore é evitar que as
forças externas provocadas pelo ambiente venham a danifi-
car os equipamentos que serão descidos no poço ou até
mesmo inviabilizar a operação. Por isso, torna-se essencial
que a unidade permaneça posicionada na superfície do mar
dentro de um círculo com raio de tolerância relacionado aos
esforços máximos permitidos pelos equipamentos de subsu-
perfície – como a máxima excursão permissível para os ri-
sers (tubos ascendentes). É o que mostra a Fig. 4[6].
2
Fig.4 – Máxima excursão permissível e segurança operacional.
Os limites de trabalho seguro podem variar, dependendo
da natureza da tarefa no plano de perfuração e a influência
das correntes nos risers. Esses limites devem refletir o risco
associado a cada tarefa, por exemplo, existem diferentes
limites aceitáveis para perfuração, assentamento do revesti-
mento e teste do poço [3].
Em casos de perda do Sistema DP, dependendo da ex-
cursão da unidade em relação ao poço, a perfuração precisa
ser interrompida ou o poço deverá ser abandonado por ques-
tões de segurança operacional. Nestes casos o BOP (Blow
Out Preventer) é o equipamento de controle de poço respon-
sável por cisalhar a coluna de perfuração, isolar o poço e
permitir a desconexão da sonda em segurança.
As aplicações de sistemas DP não se limitam a apenas as
sondas de perfuração, estes dispositivos são amplamente
utilizados em rebocadores, navios cargueiros, embarcações
de lançamento de linhas, sistemas flutuantes de produção e
navios comerciais, militares e de turismo.
II – PRINCÍPIOS DO POSICIONAMENTO DINÂMICO
A IMO – The International Maritime Organization – de-
fine uma unidade marítima posicionada dinamicamente
aquela que possui a capacidade de se manter automatica-
mente em uma posição fixa ou navegar por uma rota pré-
determinada, através exclusivamente do uso dos seus pro-
pulsores (thrusters)[15].
Desta forma, a principal função de um Sistema de Posi-
cionamento Dinâmico é controlar a posição e o aproamento
(heading) da embarcação, ou seja, permitir que essas duas
propriedades se mantenham ou alterem de acordo com o
controlador (se em modo automático) ou ação do operador
(se em modo manual).
O princípio de funcionamento de um Sistema DP é base-
ado nas leis da mecânica clássica, onde se assume a premis-
sa de que um corpo em equilíbrio é aquele que está sujeito à
resultante de todas as forças atuando sobre si com valor
igual a zero. Desta forma, o controlador de um DP “perce-
be” e “calcula” a resultante das forças externas que atuam na
embarcação, e envia um comando para que propulsores cri-
em uma força resultante contrária para manter o equilíbrio.
 A principal vantagem do advento desta tecnologia está
relacionado à sua flexibilidade quando à mudança ou manu-
tenção da posição. Além disso, o fato de não depender do
uso de âncoras possibilitou a operação em águas ultra pro-
fundas. As desvantagens estão relacionadas ao maior custo
do DP em relação aos sistemas fixos, pois o investimento
inicial, consumo de combustível e o custo das instalações
são maiores. Outro ponto desfavorável do DP é a vulnerabi-
lidade em relação à falhas e blackouts, exigindo nos navios
sistemas complexos de propulsores, controladores e gerado-
res de emergência e investimentos em manutenção. Tam-
bém, as operações subaquáticas com mergulhadores e ROVs
(Remotely Operated Vehicles) ficaram limitadas devido ao
uso contínuo dos propulsores.
II.1 – Eixos de liberdade de movimento dos navios
Basicamente as forças ambientais que atuam em embar-
cações offshore são aquelas providas pela ação dos ventos,
correntes marítimas e ondas do mar, o que permite seis eixos
de movimento conforme a Fig. 5[4].
Os movimentos de translação “avanço” (Surge) e “deri-
va” (Sway) são medidos através dos sensores que fazem
parte dos sistemas de referência de posição (GPS, Laser e
Microondas), e fornecem informações quanto à posição da
unidade; a “guinada” (Yaw), por sua vez, é medida através
das bússolas magnéticas (gyros) e fornecem informações
quanto ao aproamento da unidade. Todos os movimentos de
translação são controlados através da ação de propulsores.
Sensores de vento ou “anemômetros” são essenciais para
medir a velocidade e direção dos ventos. Essa é uma das
principais variáveis de entrada necessárias para que o con-
trolador do Sistema DP possa calcular as forças que os pro-
pulsores devem produzir para estabilizar a embarcação nos
três eixos do plano horizontal[4].
Fig.5 – Representação dos graus de movimento de um navio.
Os movimentos de rotação Pitch, Roll e Heave Compen-
sation são medidos através dos sensores de referência verti-
cal (Motion Reference Units – MRUs), não sendo controla-
dos pelos propulsores. O Sistema DP, no entanto, faz o mo-
nitoramento contínuo dessas grandezas de rotação para que
elas possam ser compensadas no modelo de controle dinâ-
mico, uma vez que, estes movimentos rotacionais podem
interferir na precisão dos sistemas de referência de posi-
ção[4].
3
II.2 – Modelo de Controle Dinâmico
Para que o navio se mantenha dentro de limites específi-
cos de posição e aproamento, e que a resposta na atuação
dos propulsores seja rápida, precisa e estável, a concepção
do DP foi estruturada sobre o princípio do controle em ma-
lha fechada. A principal característica desse controle retroa-
tivo é fazer com que um sistema reaja de forma a corrigir o
desvio entre o sinal de saída e os sinais de referência e en-
trada.
Basicamente os elementos da malha de entrada do Sis-
tema DP são provenientes dos sensores; os elementos de
saída são os propulsores; e os elementos de controle são os
controladores das estações de trabalho. A Fig. 6[7] apresen-
ta de forma resumida a localização física destes três elemen-
tos que compõem a malha de controle do DP.
Fig.6 – Localização dos elementos básicos de controle do DP.
O Sistema DP deve não apenas contrabalancear a interfe-
rência das forças ambientais para manter a posição e aproa-
mento da unidade, mas também comportar-se dinamicamen-
te estável em situações de interferência por agentes externos
e transitórios, ter capacidade de predição das falhas dos sen-
sores, bem como fazer interação com o subsistema de ge-
renciamento de energia do navio. Essas características e
exigências tornam a malha de controle do Sistema de Posi-
cionamento Dinâmico mais complexa, necessitando de mais
de um loop[7], conforme a Fig. 7[4] que apresenta a mode-
lagem por blocos de controle.
O Vessel Model é a modelagem da resposta de um tipo
de embarcação para qualquer força externa, considerando a
sua aerodinâmica e hidrodinâmica[7]. Esse modelo prediz a
posição e aproamento de acordo com a comparação das for-
ças recebidas e situação anterior.
Os sensores de vento fazem a leitura da velocidade e di-
reção do vento que são convertidos em forças através do
modelo matemático Wind Model. As leituras dos gyros e
DGPS são medidas e comparadas entre seus componentes
em redundância, descartando-se aqueles que aparentemente
estão fora de uma margem aceitável de erro. Os dados de
aproamento e posição passam por um filtro (Kalman Filter)
para que sejam eliminados os ruídos para estabilização do
sistema dinâmico. O resultado é atualizado no modelo da
embarcação, e nas linguagens dos três eixos de liberdade de
movimento. O Error Computational é um filtro ”passa
baixa” que calcula as forças que não são monitoradas e
estimam a força de compensação a ser inserida no somatório
de entradas. Esse erro computacional na grande maioria das
vezes incorpora algoritmos para estimar os efeitos das
correntes marítimas e ondas[6].
 Fig.9 – Comparação entre desvios de posição e propulsão para os mo-
dos de operação de Alta e Baixa Precisão.

O acionamento dos propulsores ocorre através dos Dri-

ves de comando de máquinas VFDs (Variable Frequency
Drives) ou SCRs (Silicon-Controlled Rectifiers). O feedback
é enviado ao Thruster Model que, por sua vez, converte a
força dos propulsores em Surge, Sway e Yaw para atualiza-
ção do bloco do Vessel Model. A diferença entre o setpoint
do propulsor e o seu feedback é monitorada constantemente.

II.3 – Subsistemas do DP e Automação Integrada

O Sistema de Posicionamento Dinâmico exerce ainda a

Fig.7 – Modelagem em blocos do controle do DP.
Os ganhos estão atrelados aos diversos modos de opera-
ção do DP. Em modo manual, parte dos ganhos são proveni-
entes do Joystick analógico de comando. Existem vários
modos automáticos e cada um interfere de uma forma dife-
rente no controle de ganho representado pelo bloco “Selec-
ted Gain”. A Fig. 8[6] exemplifica alguns modos de opera-
ção do DP.
função de integração de vários subsistemas da plataforma,
onde é possível acionar equipamentos remotamente, estabe-
lecer limites de parâmetros, monitorar dados em tempo real,
obter gráficos e históricos, verificar as condições meteoro-
lógicas, checar os alarmes ativos de todo e qualquer disposi-
tivo que direta ou indiretamente interfere na gestão das ope-
rações e na segurança da unidade. A Fig. 10 apresenta um
sistema de monitoramento do Sistema Elétrico de Potência
de uma unidade marítima.

Fig.8 – Modos de Operação do DP: modo manual, modo de auto posi-

ção e modo por rota.

A Fig. 9[6] apresenta a diferença entre o modo High

Precision, que consequentemente está atrelado a um maior
consumo de energia e desgaste das máquinas e, o Relaxed
muito utilizado em condições de mar favoráveis onde a ne-
cessidade da atividade dos propulsores é menor. O modelo
carrot calcula a inércia do sistema e estima os ganhos no
Fig.10 – Tela do IHM Sistemas de Potência – Fabricante Kongsberg.
intuito de manter o navio na condição operacional medida,
sem ultrapassar os setpoints.
O Sistema DP pode ser divido em três subsistemas prin-
O Thruster Allocation verifica quanto de força de pro-
cipais: de Energia, Controle e Referência[3].
pulsão será necessária para compensar o somatório das for-
O subsistema de Energia, ilustrado pela Fig. 11[14],
ças que atuam na unidade. É neste bloco que equações con-
compreende a geração, distribuição e consumo. Fazem parte
vertem a demanda total de propulsão de acordo com as ca-
desse subsistema os geradores à diesel, cubículos de alta
racterísticas de cada propulsor[7], ou seja, determinam quais
tensão, centro de controle de motores, UPS (fonte de ali-
serão os thrusters que precisam ser acionados, a potência
mentação ininterrupta), Drives de inversores de frequência e
necessária, em qual direção da propulsão (Azimuth) e em
as cargas não essenciais e essenciais como os propulsores,
qual passo das hélices (Pitch).
motores do piso de perfuração e equipamentos de controle
de poço.
Já o bloco Power Overload Control analisa se existe
O subsistema de Controle se refere ao gerenciamento de
energia o bastante disponível. Neste diagrama ocorre a inter-
energia (PMS) automático ou manual e de posição – conso-
face com o PMS (Power Management System), onde estra-
les, computadores, redes industriais, estações de trabalho
tégias de corte de cargas não essenciais são adotadas a fim
etc.
de priorizar o suprimento de energia apenas para os subsis-
temas críticos do DP.
4

Fig. 11 – Principais componentes do subsistema de Energia.
O subsistema de Referência é representado essencial-
mente pela instrumentação do DP – anemômetros, bússolas
magnéticas, sensores de referência vertical, GPS, Sistemas
Acústicos, Microondas etc. – que fornecem um sinal de en-
trada, medem as condições ambientais e atualizam feed-
backs do modelo de controle.
Fazem parte também desse subsistema os serviços auxi-
liares que são incorporados à solução de automação integra-
da ao DP, como status dos sensores de detecção de incêndio
& gases tóxicos e o circuito fechado de monitoramento por
câmeras por exemplo.
III – CONFIABILIDADE DO SISTEMA DP
Por definição, “Confiabilidade” é a probabilidade de um
equipamento, componente ou sistema operar, sem falhas,
durante um período de tempo pré-determinado[10]. A Enge-
nharia da Confiabilidade, como uma ciência, foi impulsio-
nada pelas missões espaciais da década de 50 que devido à
complexidade e alto risco de suas operações, precisava da
implementação de estratégias que garantissem a máxima
disponibilidade, mantenabilidade e confiabilidade dos seus
subsistemas. As falhas causadas por fatores aleatórios deve-
riam ser entendidas e mitigadas a fim de não afetarem a se-
gurança de voo.
O ferramental matemático para os estudos de confiabili-
dade baseia-se em métodos estatísticos, critérios e modelos
probabilísticos. Estes métodos são utilizados para aplicações
nas fases de concepção, projeto, operação e manutenção de
qualquer sistema complexo que requeira baixa vulnerabili-
dade às falhas e máxima utilização do ciclo de vida do ativo.
Sobre o ponto de vista funcional e financeiro, o sistema
de controle das aeronaves exercia para a indústria espacial a
mesma relevância que o Sistema DP exerce hoje para a in-
dústria marítima de perfuração. Como abordado anterior-
mente, a perda do posicionamento dinâmico se traduz na
maioria das vezes em downtime e riscos para as pessoas e
meio ambiente. Motivado pelas adversidades que a perda do
posicionamento das sondas acarreta, os projetos dos Siste-
mas DP estão intrinsecamente relacionados a estudos de
confiabilidade, a fim de avaliar índices quantitativos relati-
vos às falhas, e estabelecer mecanismos que garantam o
funcionamento do DP em plena carga e de modo contínuo,
mesmo na ocorrência de falhas aleatórias em seus compo-
nentes ou subsistemas mais críticos.
5
Um dos mecanismos mais utilizados no Sistema de Posi-
cionamento Dinâmico como estratégia de aumento da confi-
abilidade é a configuração em paralelo de seus componen-
tes, ou também conhecida como o princípio da redundância.
III.1 – Configurações Paralelo Simples – Redundância
Para a modelagem de um sistema redundante, faz-se ne-
cessário o uso dos Diagramas de Blocos de Confiabilidade.
Essa técnica estabelece relações de dependência em equi-
pamentos, permitindo assim, a avaliação de sua confiabili-
dade antes mesmo de ser construído[10]. Isso é possível
porque a maioria dos subsistemas e componentes usados em
equipamentos são os mesmo que foram utilizados em proje-
tos anteriores.
A Fig. 12[11] abaixo apresenta uma configuração parale-
la simples, onde pelo menos um componente deve estar ope-
racional para que o sistema funcione. Em outras palavras
pode-se dizer que o sistema falha apenas se todas as unida-
des falharem ao mesmo tempo.
Fig.12 – Diagrama de Blocos de um sistema com n redundâncias.
Portanto pode-se dizer que a probabilidade de falha do
sistema 𝑄𝑠 é igual ao produto das probabilidades de falha de
cada componente P(𝑋𝑛 ), onde 𝑋𝑛 corresponde ao evento
“falha” do componente n.
𝑛
𝑄𝑠 = 𝑃(𝑋1 )𝑃(𝑋2 ) … 𝑃(𝑋𝑛 ) = ∏ 𝑃(𝑋𝑖 )
𝑖=1
Em casos onde a falha de um componente afeta a proba-
bilidade de falha do outro componente em paralelo, a proba-
bilidade de falha do sistema será dada com base nas teorias
de probabilidade condicional[11]. Para a determinação da
confiabilidade do sistema em redundância 𝑅𝑠 basta assumir
o inverso da probabilidade de falha desse sistema, como
demonstrado na equação:
𝑅𝑠 = 1 − 𝑄𝑠 = 1 − [(𝑄1 )(𝑄2 ) … (𝑄𝑛 )]
𝑅𝑠 = 1 − [(1 − 𝑅1 )(1 − 𝑅2 ) … (1 − 𝑅𝑛 )]
𝑛
𝑅𝑠 = 1 − ∏(1 − 𝑅𝑖 )
𝑖=1
O componente de maior confiabilidade exerce o maior
efeito na confiabilidade do sistema, uma vez que esse com-
ponente dificilmente falhará. Em geral a confiabilidade do
componente está intimamente relacionada ao seu projeto,
material, tipo de fabricação, modelo, fabricante, condições
de operação, manutenção e ambiente no qual está exposto.
Vale ressaltar que para um maior tempo de avaliação,
maior é a chance de acontecerem falhas, ou seja, maior será
a probabilidade de falha do equipamento[11]. Desta forma,
as análises de confiabilidade precisam ser mandatoriamente
feitas numa mesma base de tempo.
A medida que se aumenta o número de componentes ou
subsistemas em uma configuração em paralelo, a confiabili-
dade do sistema aumenta[11]. Essa propriedade da redun-
dância é essencial para a especificação de projetos com o
objetivo de se aumentar a tolerância a falha de um sistema
crítico. A Fig. 13[11] ilustra a alta confiabilidade que um
sistema pode atingir mesmo utilizando componentes que
possuem baixa confiabilidade, desde que, esse sistema seja
suprido por quantidade suficiente de unidades em paralelo n.
aliviadores, embarcações-guindaste, navios de acomoda-
ções, embarcações de apoio ao mergulho e unidades flutuan-
tes de produção são DP Classe 2.
 Equipamento Classe 3:
O Equipamento Classe 3 é identificado como um Classe
2 considerando também os componentes estáticos como
passíveis de falha e que haja uma redundância dedicada para
proteção contra incêndio e alagamento dos componentes do
DP. Essa é a Classe de Equipamento mais usual para navio-
sondas.
Na prática, o DP Classe 3 trata-se de um DP Classe 2
acrescido de um DP Classe 1 (backup) cujo centro de con-
trole e sensoriamento estão localizados em uma região de
emergência separada das demais, e protegida contra incên-
dio e inundações – normalmente com antepara A60 de aço
ou alumínio e portas-estanque. A Fig.14[6] ilustra uma con-
figuração DP 3 da Kongsberg Maritime.

Fig.13 – Relações entre confiabilidade do componente, do sistema e o

número de componentes em redundância.

Em Sistemas DP rotineiramente componentes em parale-

lo são retirados dos seus subsistemas, seja para o cumpri-
mento de ordens de manutenção preventiva ou devido às
falhas aleatórias. Nestes casos, momentaneamente o sistema
assume menor tolerância às falhas, o que é conhecido em
ambiente offshore como operação em estado degradado.

III.2 – Classes de Equipamentos de Sistemas DP

Fig.14 – Configuração Classe 3: K-Pos DP21 e DP11 como backup.
Desde 1994 a IMO exige que todas as embarcações DP
sejam classificadas de acordo com a sua vulnerabilidade à Uma unidade marítima receberá certificado de classe
falha, para que desta forma, as filosofias básicas de seguran- através de uma Sociedade Classificadora. Estas organiza-
ça e de regulamentação sejam discriminadas e requeridas de ções atuam como agentes autorizados de diversas bandeiras
acordo com a classe. Foram definidas três classes de equi- signatárias das convenções da IMO[12] – como por exem-
pamento como segue: plo, a IMCAM103 que preconiza diretrizes de projeto e ope-
ração de embarcações com posicionamento dinâmico – e são
 Equipamento Classe 1: responsáveis por verificar as conformidades das embarca-
A perda de posição pode ocorrer na eventualidade de ções segundo as normas e padrões técnicos através de inspe-
uma única falha[3]. Existe o controle automático da posição ções periódicas.
e aproamento, porém sem nenhuma redundância. São apli- Em todo o mundo, existem mais de 50 organizações cuja
cadas em embarcações de apoio. principal finalidade é a classificação de navios[12]. A
Fig.15[7] correlaciona as Classes de Equipamento IMO com
as classes de algumas Sociedades Classificadoras.
 Equipamento Classe 2:
A perda de posição não deve ocorrer na eventualidade
de uma única falha em qualquer componente ativo ou siste-
ma[3]. Neste caso, existe o controle automático da posição e
aproamento e redundância para os componentes ativos. En-
tende-se como “componentes ativos” os geradores, propul-
sores, painéis de acionamento de motores, válvulas de con-
trole remoto, controladores etc; e como “componentes está-
ticos” os cabos, tubulações, válvulas manuais etc. Geral-
mente embarcações de lançamento de linhas, navios tanque-

6
 Fig.15 – Notações de classe das Sociedades Classificadoras.
Para obter notação de classe de DP em determinadas so-
ciedades classificadoras, pode ser necessário realizar consi-
derações adicionais na configuração do DP, como um joys-
tick independente nas Classes 2 ou 3[3].
IV – FILOSOFIAS DE REDUNDÂNCIA NOS SUBSIS-
TEMAS DO DP
Como abordado anteriormente, as notações de classe
DP2 e DP3 exigem que as unidades marítimas tenham a
capacidade de manter a integridade do Sistema DP mesmo
na ocorrência de falhas em alguns de seus componentes. Nas
concepções dos seus projetos, para satisfazer ao requisito de
“tolerância às falhas” a teoria da redundância é amplamente
aplicada. A alocação de componentes equivalentes em para-
lelo para realização da mesma tarefa requer, em termos prá-
ticos, que estes componentes tenham os mesmos desempe-
nhos, proteções e predições[2].
Em termos de desempenho, os elementos redundantes
devem possuir a mesma capacidade técnica para realizar
funções similares. Além disso, precisam ser independentes,
mesmo operando em paralelo, o que significa dizer que,
deve existir uma filosofia de proteção para que uma falha
em um componente não afete o desempenho dos outros e
evite um desarme geral do sistema. As predições se referem
ao monitoramento dos status dos componentes – alarmes e
tomadas de decisões inteligentes, o que é relevante para sis-
temas redundantes que utilizam componentes em “espera”
(standby) ou de backup, onde existe intrinsecamente a incer-
teza se este componente estará disponível ou não quando ele
for requisitado.
Práticas comuns em inspeções periódicas de componen-
tes standby são a verificação do histórico de alarmes; da
integridade de válvulas de passagem e baterias; e a realiza-
ção de testes funcionais em dispositivos de proteção, como
por exemplo, relés, sensores de fumaça & gás e válvulas de
alívio de pressão.
Para ilustrar a concepção de redundância aplicada em
sondas de perfuração, a Fig.16[5] apresenta o sistema de
refrigeração dos VFDs e propulsores. Criteriosamente, as
bombas centrífugas devem possuir a mesma capacidade de
bombeamento, modelo e fabricante; deve haver lógica de
troca entre elas em função do horímetro, para evitar que haja
desgaste desproporcional das partes mecânicas; e em caso
de falhas na linha hidráulica, que é o ponto em comum, a
proteção deve retirar o VFD de operação (para manter a
integridade dos seus tiristores), alertar o operador e acionar
um propulsor redundante para manutenção da posição.
7
Fig.16 – Redundância das bombas centrífugas do sistema de resfria-
mento do conjunto VFD-Propulsor.
Todos os modos de falhas dos subsistemas do DP e os
efeitos dessas falhas podem ser considerados em um estudo
formal de FMEA (Failure Modes & Effect Analysis). A
apresentação de um documento FMEA é muitas vezes uma
exigência nos processos contratuais e de auditorias, além de
ser um requisito das Sociedades Classificadoras para a nota-
ção de classe[7].
O termo “modo de falha” é usado para indicar a maneira
em que um ou subsistema falha, e o termo “efeitos da falha”
se refere ao impacto do modo de falha no sistema ou naque-
les conectados ao componente. Um componente defeituoso
pode possuir vários modos de falha, e seus efeitos podem ser
relativamente simples ou podem causar até mesmo a perda
do posicionamento dinâmico. É por esse motivo que esse
estudo é extremamente necessário, pois os modos de falha
podem ser utilizados como guias para tomadas de decisões
estratégicas de manutenção, de projetos e de política de so-
bressalentes.
São apresentadas nos itens a seguir, uma visão geral das
configurações em paralelo simples e as técnicas de tolerân-
cia às falhas aplicadas aos três subsistemas do DP, como
estratégia de aumento da disponibilidade do Sistema de Po-
sicionamento Dinâmico e de atendimento à classe.
IV.1 – Configurações Redundantes no Subsistema Energia
do DP
Esquematicamente, o Subsistema Energia pode ser divi-
dido em três grupos de equipamentos principais: moto-
geradores, alternadores e sistemas auxiliares; distribuição de
energia; e inversores de frequência e propulsores.
A geração de energia de uma sonda DP é provida por al-
ternadores síncronos trifásicos acoplados e acionados por
moto-geradores a diesel. O funcionamento adequado dos
moto-geradores é suportado pelos seus sistemas auxiliares,
tais como os sistemas de refrigeração forçada à base de
água, ventilação, armazenagem e transferência do óleo com-
bustível, sistemas de lubrificação, compressores de ar para
partida do motor etc. Os alternadores convertem a energia
mecânica proveniente da combustão interna dos moto-
geradores em energia elétrica com potência em torno de
6500kW cada, e operam em paralelo sobre a mesma tensão e
frequência elétrica.
Os alternadores são conectados aos barramentos de
11kV/6.6kV e aos quadros de distribuição, que por sua vez,
possuem disjuntores que permitem o seccionamento e ma-
nobras entre os circuitos e cargas. Topologias típicas de
sondas possuem de seis a oito alternadores conectados a dois
ou três quadros de distribuição de alta tensão, separados
entre si por disjuntores de interligação[2]. Os transformado-
res abaixadores permitem a operação em níveis de tensão
industrial como 690V/440V/380V e alimentam os Centros
de Controle de Motores (CCMs); as cargas menores são
alimentadas em 220V/127V. O fornecimento em corrente
contínua a partir de baterias e UPS em 120Vdc/24Vdc e são
utilizados como backup para cargas essenciais e de emer-
gência.
Os Drilling VFDs alimentados em tensão industrial con-
trolam os motores do piso de perfuração enquanto que cada
propulsor é acionado por um Thruster VFD dedicado. As
unidades impulsoras são independentes, de forma que o ris-
co de perda de mais de uma delas seja o menor possível.
Possuem potência máxima em torno de 5500kW cada, e
foram projetados de forma que a indisponibilidade de uma
unidade não prejudique substancialmente a manutenção do
DP – dependendo obviamente das condições de mar e modo
de operação.
A Fig.17[5] correlaciona os elementos principais do sub-
sistema energia com o diagrama unifilar de geração e distri-
buição de uma embarcação. Percebe-se que a concepção de
redundância do subsistema energia do navio da Fig.17, está
primariamente na divisão dos quatro moto-geradores em
duas praças de máquinas e salas de alta tensão distintas; e no
fato dos propulsores de proa e popa serem supridos por am-
bos os sistemas de distribuição de boreste e bombordo[5].
As linhas pontilhadas representam barreiras de proteção
contra incêndio e inundações.
Fig.17 – Diagrama Unifilar Simplificado de um Navio de Apoio – Re-
dundâncias do Subsistema Energia e Layout de Propulsores.
8
No evento de uma falha inesperada em um gerador ou
propulsor, a concepção de projeto deve utilizar de mecanis-
mos para isolar o elemento danificado e inserir o componen-
te em redundância de forma que se evite a falta de forneci-
mento de energia ou propulsão. Esta substituição deverá
ocorrer em tempo hábil para que a embarcação não perca
posição além dos limites operacionais de segurança.
A configuração em paralelo simples é observada também
em todos os serviços auxiliares dos moto-geradores, pois
estes atuam sinergicamente na geração de energia. A
Fig.18[5] apresenta como exemplo, o sistema de captação
de água salgada utilizado para a refrigeração dos moto-
geradores, propulsores e casario. São dois sistemas comple-
tamente independentes que podem ser operados individual-
mente. As quatro bombas centrífugas operam paralelamente,
cada uma é capaz de fornecer 100% dos suprimentos de
água salgada da unidade[5]; as válvulas permitem manobra-
bilidade para troca de filtros (sea strainers) e manutenção
planejada.
Existem ainda neste sistema, transdutores de pressão re-
dundantes que informam quando a pressão das linhas está
abaixo dos limites de projeto e, transdutores de pressão dife-
rencial para alertarem a necessidade de troca das bombas
centrífugas. Esse tipo de filosofia é costumeiramente aplica-
da a todo e qualquer sistema que pode influenciar no funci-
onamento do DP. Como requisito de classe, os dois sistemas
de captação de água estão separados por barreiras A60.
Fig.18 – Redundâncias do Sistema de Captação de Água do Mar para
Refrigeração – Seawater Cooling System.
Conforme abordado anteriormente, as Sociedades Classi-
ficadoras avaliam a vulnerabilidade a incêndio e inundações
em componentes ativos (aqueles presentes entre as praças de
máquinas e salas de alta tensão) e estáticos como, por exem-
plo, as eletro-calhas instaladas para lançamento de cabos de
controle e potência e que podem provocar a perda total do
DP, ambos os componentes precisam ter pelo menos um
sistema dedicado e protegido para notação de classe DP3[3].
No caso específico dos quadros de distribuição de ener-
gia, quando a unidade está operando em barramento comum,
os disjuntores de interligação devem possuir lógica de inter-
travamento para proteger os barramentos sadios daqueles
que por ventura tenham falhas na geração ou curtos-
circuitos. Como existe a possibilidade de os disjuntores de
interligação não abrirem ou demorarem demais para abrir e
impedirem um blackout – devido à falha dos seus compo-
nentes internos que não são redundantes como transforma-
dores de corrente, de potencial, relés etc. – então o painel de
controle deve ser redundante para equipamentos classe
DP3[3].
Para ilustrar a filosofia básica de redundância em siste-
mas de distribuição, a Fig.19[13] mostra que ao detectar um
curto-circuito fase-terra no barramento de bombordo B1, a
unidade bloqueou o fechamento dos disjuntores de interliga-
ção para evitar que a falta se propagasse, e aumentou a ati-
vidade dos propulsores ativos no intuito de evitar perda de
posição. Devido ao aumento da demanda, os geradores ati-
vos G4 e G5 intensificaram a geração para compensar a per-
da de G1; neste caso, não foi necessário adicionar nenhum
gerador que estava em stand-by por não atingir nenhum li-
mite operacional de sobrecarga. A unidade ficou em
blackout parcial apenas no barramento B1 e preservou o
Sistema DP.
Fig.19 – Resposta da proteção e filosofia de redundância no evento de
uma falha e blackout no barramento B1.
IV.2 – Configurações Redundantes no Subsistema Referên-
cia do DP
Como abordado no diagrama de blocos do DP, para o
controle dos eixos de translação do navio, as principais vari-
áveis de entrada serão aquelas que fornecem velocidade e
direção dos ventos, aproamento em relação ao Norte magné-
tico e referência de posição – como interpretado no Diagra-
ma de Blocos da Fig.7. Apesar do DP não controlar os três
eixos de rotação do navio, estes movimentos são constante-
mente monitorados pelos sistemas de referência vertical,
instalados idealmente no centro de gravidade da embarca-
ção. Portanto, cada instrumento que faz parte do “Subsiste-
ma Referência” terá pelo menos um componente em parale-
lo como estratégia para a manutenção do DP, sendo que, não
precisam ser necessariamente do mesmo modelo, ao contrá-
rio dos outros subsistemas.
Os computadores do sistema de controle recebem os da-
dos dos sensores e sincronizam as leituras, atualizando as
respostas no modelo dinâmico. Os sensores comunicam com
os controladores enviando mensagens que normalmente
seguem padrões como o NMEA-0183 ou o do próprio fabri-
cante, cuja taxa de transmissão varia entre 4800-
19600bps[7]. Em geral fazem interface com o sistema DP
via serial link RS232/RS422 ou mesmo por sinais analógi-
cos (como é o caso dos anemômetros).
9
Para cada grupo de sensores, o operador poderá configu-
rar e estabelecer um sensor principal e os demais como re-
dundantes, desta forma, as leituras dos sensores escravos
serão desconsideradas para o modelo dinâmico; esse tipo de
função é muito útil para manutenções planejadas ou quando
a sonda opera em estado degradado, porém não é o padrão
em modo automático.
Um sensor estará disponível como principal, apenas
quando ele tiver passado por vários testes de qualificação
das suas leituras. A Fig.20[6] apresenta a gestão e monito-
ramento de instrumentos a partir da estação do operador de
DP.
Fig.20 – Gerenciamento dos sensores e PMEs do DP.
Alguns dos testes de qualificação dos instrumentos feitos
pelos computadores são as comparações entre a leitura dos
componentes em paralelo e a variância em relação à media-
na; e a relação da medida com os limites operacionais pré-
definidos, caso a leitura esteja fora dos parâmetros, os dados
deste sensor serão descartados e um alarme irá informar ao
operador, conforme análise da Fig.21[6].
Fig.21 – Teste de predição do GPS e seus limites operacionais (acima) e
teste da mediana (abaixo) entre três bússolas.
Para que se tenha alta precisão e confiabilidade nos da-
dos de posicionamento, geralmente as sondas DP dispõem
de vários sistemas diferentes de referência de posição (Posi-
tion Monitoring Equipments – PMEs), não apenas no caso
de eventual falha, mas para comparar fontes diferentes de
leituras e assim obter melhor assertividade.
O PME mais comum é o DGPS (Differential Global Po-
sitioning System), um sistema de posicionamento global via
satélites (Navstar ou GLONASS) com correção diferencial
fornecida por receptores instalados em uma localização físi-
ca para aumentar a exatidão[3]. Outro PME amplamente
empregado é o HPR (Hydroacoustic Positioning Reference),
cujo funcionamento envolve a comunicação em frequências
hidro acústicas entre transducers (geradores de pulsos acús-
ticos) instalados na plataforma e um ou mais transponders
instalados no leito marinho por ROVs e em posições conhe-
cidas; os transponders respondem às interrogações acústicas
do HPR da embarcação e informam a sua posição relativa.
Outros tipos de PMEs estão ilustrados na Fig.22[1]
Fig.22 – Principais tipos de PMEs utilizados em navios DP.
IV.3 – Configurações Redundantes no Subsistema Controle
do DP
O Subsistema Controle é o conjunto de soluções integra-
das de automação da plataforma, mais conhecido como IAS
(Integrated Automation Systems), que compreende os
hardwares, redes industriais Fieldbuses, e os sistemas inte-
ligentes para gerenciamento de energia[2].
Em termos de hardware, os controladores terão sempre
um componente principal e o outro escravo, cujo status será
continuamente monitorado e os dados sincronizados entre
ambos. Na ocorrência de uma falha no controlador principal,
o escravo assumirá o controle sem nenhuma perda de infor-
mação. Filosofia similar pode ser observada em todos os
componentes instalados na cabine de controle (DPC) como,
por exemplo, nos módulos I/O, nas fontes de alimentação,
no cabeamento, dentro outros. Os dados dos controladores
se comunicam com os computadores das estações de traba-
lho ou operação e são apresentados em múltiplos supervisó-
rios, como apresentado na Fig.23[6].
Fig.23 – Exemplos de redundâncias nas cabines dos controladores e
estações do operador – supervisório.
Concepção de hardware similar ocorre nos sistemas de
gerenciamento de energia (PMS). O objetivo do PMS é ga-
rantir que a geração de energia sempre será capaz de supor-
10
tar a demanda das cargas[5]. Para prevenir um blackout, o
PMS tem a habilidade de diminuir ou aumentar a geração
dentro dos limites e de realizar o corte das cargas não essen-
ciais para a preservação do Sistema DP. Como parte de todo
o Subsistema de Controle, o PMS também fornece a atuação
remota, gestão de alarmes e funções para a operação eficien-
te e segura da planta[5].
A arquitetura das redes duais e independentes LAN (Lo-
cal Area Network) para comunicação dos controladores com
as estações de trabalho é organizada na topologia em estrela,
e todos os aspectos de uma rede estão duplicados incluindo
o cabeamento, comutadores (switches), adaptadores ether-
net, cartões de interface de rede, dentre outros. Os switches e
conversores de fibra óptica estão localizados nas cabines de
distribuição de rede (NDU), que permitem que no evento de
uma falha na rede ou em um componente, não irá afetar a
operação do sistema, pois a comunicação irá continuar via
uma rede alternativa. Em geral não existem redundâncias
nas redes Fieldbuses entre, por exemplo, o controlador e o
CCM que aciona um motor, em uma falha deste sistema, um
sistema inteiro semelhante a este e em paralelo deverá ser
acionado.
A Fig.24[6] esquematiza a arquitetura completa do IAS
para notação de classe DP3, onde se pode observar além da
dupla redundância do Subsistema de Controle, a presença de
um sistema backup de emergência protegido contra incêndio
e inundações através da antepara A60.
Fig.24 – Arquitetura das Soluções de Automação Integradas ao DP.
V – CONCLUSÕES
A escassez dos poços e o aumento da demanda pelos de-
rivados do petróleo são os agentes geopolíticos que impulsi-
onam a indústria de óleo & gás para exploração em ambien-
tes remotos e em águas cada vez mais profundas. Neste con-
texto, os Sistemas de Posicionamento Dinâmico de plata-
formas marítimas se tornaram as tecnologias essenciais para
o processo de perfuração, onde a sua indisponibilidade está
intrinsecamente relacionada às perdas de receita e altos ris-
cos de segurança operacional para a tripulação.
Através do estudo das redundâncias dos Subsistemas de
Energia, Controle e Referência, conclui-se que a alocação
estratégica de componentes em paralelo permite maior tole- [10] PEREIRA, Mário Jorge. Engenharia de Manutenção –
rância do sistema às falhas. Sobre o aspecto de regulamenta- Teoria e Prática. 2.ed. Rio de Janeiro: Ciência Moder-
ção, satisfatoriamente, a notação de Classe da embarcação na, 2011.
está diretamente relacionada à redundância dos subsistemas [11] RELIASOFT – System Analysis Reference: Reliability,
do DP. A revisão literária mostrou ainda diferentes filosofias Availability & Optimization. Tucson: ReliaSoft Corpo-
de proteção, seletividade, tratamento inteligente de dados de ration, 2014.
entrada e resposta dinâmica como estratégia de melhoria de [12] EMÍLIO, João. Regulamentos e Direito Marítimo:
precisão e garantia de funcionamento mínimo do Sistema Classificação de Navios. Notas de Aula. Lisboa: Escola
DP mesmo quando a unidade se encontra em estado degra- Superior de Náutica Infante D. Henrique, 2013.
dado. [13] PETROBRAS – Alerta Técnico Blackout Total com
A abordagem em Diagrama de Blocos possibilitou a aná- Dificuldade de Recuperação. Macaé: SOECS-DPPS,
lise aprofundada do modelo de controle do Sistema DP, bem Emitido em 30 de Dezembro de 2014.
como a identificação dos itens críticos para o seu funciona- [14] Drilling Contractor. Disponível na Internet: URL:
mento. Este estudo apresentou todas as variáveis de entrada, http://www.drillingcontractor.org/wp-
saída e elementos de controle do modelo dinâmico e que, content/uploads/2011/09/ElectricalSystems-01.jpg,
numa escala de prioridade, são os componentes elementares 2014.
para a manutenção de posição de uma unidade DP. [15] MSC/Circ.645 – Guidelines for Vessels with Dynamic
Numa análise de probabilidade, foi possível verificar Positioning Systems. Londres: IMO - International Mar-
que, a medida que se aumenta o número de componentes em itime Organization, 1994.
paralelo têm-se que a confiabilidade de um sistema crítico
torna-se mais efetiva. Desta forma, foi possível vislumbrar BIOGRAFIA:
em trabalhos futuros, modelos matemáticos a partir das ta-
xas de falha dos componentes do DP, e estimar quantos itens Thales Moran
precisariam ser colocados em paralelo para assegurar a con- Engenheiro Eletricista pela Universidade Fe-
fiabilidade requerida do sistema, além de quantificar o risco deral de Itajubá (2011) e Pós Graduando em
quando ocorre a retirada de um destes componentes redun- Automação Industrial pelo Inatel (2012-2015).
dantes – para execução de manutenção preventiva, por Desde 2014 atua como Engenheiro de Manu-
exemplo. tenção & Confiabilidade pela Odebrecht Óleo
e Gás em Macaé/RJ. Anteriormente atuou em
Como oportunidade de garantir a máxima disponibilida- campo pela Ensco plc (2012-2014), Siemens
de da operação de perfuração, espera-se que a Engenharia de (2011) e Alcoa Alumínio (2010).
Confiabilidade seja o drive para as decisões estratégias de
manutenção, concepção de projetos e políticas de sobressa-
lentes do Sistema de Posicionamento Dinâmico de sondas Júlio Arlindo Pinto Azevedo
offshore. Engenheiro Eletricista (Inatel, 1994) e Mestre
em Engenharia Elétrica (UNIFEI, 2001). Ex-
VI – REFERÊNCIAS BIBLIOGRÁFICAS periência em campo, na docência e engenharia
de produtos para automação industrial. Atua
como Professor e Coordenador da Comissão
[1] INTERNATIONAL MARINE CONTRACTORS AS- de Estudos do COBEI na criação de normas
SOCIATION-IMCA – Introduction to Dynamic Posi- ABNT NBR IEC para equipamentos em áreas
tioning. Londres: IMCA, 2006. classificadas.
[2] IMCAM206 – A Guide to DP Electrical Power and
Control Systems. Londres: IMCA, 2010.
[3] IMCAM103 Rev1.PT – Orientações para Projeto e
Operação de Embarcações com Posicionamento Dinâ-
mico. Londres: IMCA, 2007.
[4] KONGSBERG – Dynamic Positioning (DP) Book Ref-
erence I. Rio de Janeiro: K-Pos Maintenance Course,
2008.
[5] IMCAM225 – Example Redundancy Concept and An-
nual DP Trials for a DP Class 3 Construction Vessel.
Londres: IMCA, 2014.
[6] KONGSBERG – Product Description K-Pos Dynamic
Positioning System. Oslo: Kongsberg Maritime AS, Fe-
vereiro 2006.
[7] GE POWER CONVERSION – Dynamic Positioning
System Maintenance Course Notes. Houston: 2014.
[8] LEITE, Paulo C.; LEITE, Roberto T.; PEREIRA, Dou-
glas R.; CONCER, Gustavo M. Módulo de Controle
Automático do Pitch e do Azimuth de Thrusters utiliza-
dos em Sistema de Posicionamento Dinâmico. Rio de
Janeiro: IEEE – PCIC BR, 2008.
[9] THOMAS, José Eduardo. Fundamentos de Engenharia
de Petróleo. 2.ed. Rio de Janeiro: Interciência, 2004.

11