Analisi Bowtie per eventi di controllo del pozzo: Costruire uno scenario di kick da zero
Un kick che non viene rilevato anche per un breve periodo può degenerare in un blowout. Le conseguenze sono ben documentate: perdita di vite umane, distruzione del pozzo, danni ambientali e chiusura da parte delle autorità. Nonostante decenni di miglioramenti nella gestione delle barriere dopo Macondo, gli eventi di perdita di controllo del pozzo continuano a verificarsi in tutto il settore. L'analisi di IRF Offshore Safety su questi eventi conferma che le barriere destinate a fermare l'escalation falliscono frequentemente non perché la tecnologia sia assente, ma perché lo stato della barriera è poco compreso, verificato in modo inadeguato o non comunicato all'equipaggio (IRF, 2020).
L'analisi bowtie affronta direttamente questa lacuna. Costringe il team di perforazione a nominare ogni barriera, assegnare la responsabilità, identificare i fattori di degradazione e visualizzare l'intero percorso di escalation su una sola pagina. Questo articolo illustra la costruzione di un bowtie per uno scenario di kick con esempi di barriere concrete, non teoria astratta.
Cosa è e cosa non è un Bowtie
Un bowtie è un diagramma di rischio basato sulle barriere. Il centro stretto è il top event — il momento in cui si perde il controllo. Il lato sinistro mappa le minacce e le loro barriere preventive. Il lato destro mappa le conseguenze e le loro barriere di mitigazione. I fattori di escalation (talvolta chiamati fattori di degradazione) si trovano sulle linee delle barriere per mostrare cosa può minare ogni barriera.
Un bowtie non è un albero dei guasti, non è una valutazione quantitativa del rischio e non sostituisce uno schema delle barriere del pozzo. È uno strumento di comunicazione e verifica. Il suo valore risiede nel rendere visibile l'intero quadro del rischio a tutti, dal perforatore all'ingegnere dell'integrità del pozzo.
Il modello OpenRisk per la perdita di controllo del pozzo (OpenRisk/Presight, v.2) cattura esattamente questo: il bowtie è costruito attorno a barriere preventive come i preventori di blowout e i sistemi di rilevamento dei kick, con il riconoscimento esplicito che ottenere e mantenere il controllo di tali barriere è il compito principale.
Definizione del Top Event
Per un bowtie di controllo del pozzo, il top event è:
Flusso incontrollato di fluidi di formazione nel pozzo (kick non contenuto).
Questo è il momento preciso in cui il primo involucro della barriera del pozzo è stato violato e il secondo non ha ancora fermato l'escalation. Non è il blowout — quella è una conseguenza sul lato destro. Posizionare correttamente il top event è fondamentale; troppo presto e si perdono le barriere preventive, troppo tardi e il diagramma confonde la prevenzione con la mitigazione.
Lato sinistro: Minacce e barriere preventive
Ogni minaccia è un percorso credibile verso il top event. Per uno scenario di kick, le minacce primarie sono:
- Peso del fango insufficiente per bilanciare la pressione di formazione
- Mancato rilevamento dell'afflusso durante la perforazione o le manovre (tripping)
- Pressione di pistone (swab) durante le manovre che riduce la pressione effettiva di fondo pozzo
- Perdita di circolazione che crea una condizione di underbalanced
- Migrazione dei fluidi nel pozzo durante i periodi statici (es. cementazione)
Barriere preventive per ogni minaccia
| Minaccia | Barriera preventiva primaria | Barriera preventiva secondaria |
|---|---|---|
| Peso del fango insufficiente | Previsione della pressione dei pori e programma del peso del fango | Monitoraggio in tempo reale della pressione dei pori durante la perforazione |
| Afflusso non rilevato | Totalizzatore del volume delle vasche e monitoraggio del flusso in uscita | Monitoraggio del trend della pressione della batteria di perforazione |
| Swab durante le manovre | Velocità di manovra controllata e procedure di riempimento | Monitoraggio continuo del riempimento del foro |
| Perdita di circolazione | Peso del fango corretto e programma LCM | Gestione e monitoraggio della ECD |
| Migrazione dei fluidi (statica) | Progetto della cementazione con TOC positivo | Test di pressione del cemento e della scarpa del rivestimento |
Ogni cella sopra è una barriera fisica o procedurale — qualcosa che, se funzionante, impedisce alla minaccia di raggiungere il top event.
Fattori di escalation sulle barriere preventive
Un fattore di escalation è una condizione che degrada una barriera senza eliminarla. Per la barriera del totalizzatore del volume delle vasche, i fattori di escalation includono:
- Calibrazione del sensore non aggiornata
- Allarme bypassato durante le operazioni di cementazione senza registrazione formale dell'esclusione
- Display non visibile dalla posizione del perforatore
Il documento SPE sulla gestione delle barriere (SPE-184668-MS, 2017) sottolinea che la verifica delle barriere — avere la certezza che la barriera funzionerà quando richiesto — richiede un monitoraggio attivo di queste condizioni di degradazione, non solo la conferma che l'attrezzatura sia installata.
Il nodo del Top Event
Al centro del diagramma si trova il nodo del top event. In un bowtie di controllo del pozzo, questo nodo dovrebbe riportare:
- L'identificativo del pozzo e la fase (es. sezione da 12¼-inch, rivestimento intermedio)
- Il riferimento dell'involucro della barriera (primo involucro violato)
- La data dell'ultimo test funzionale del BOP
Questa contestualizzazione assicura che il diagramma sia un documento operativo vivo, non un modello generico archiviato in un sistema di gestione e mai più aperto.
Lato Destro: Conseguenze e Barriere di Mitigazione
Una volta che un kick è nel pozzo, il percorso di escalation si dirama in conseguenze distinte:
- Conseguenza 1: Well kill controllato — kick circolato all'esterno in sicurezza
- Conseguenza 2: Rilascio in superficie — gas in superficie senza accensione
- Conseguenza 3: Accensione e incendio o esplosione
- Conseguenza 4: Blowout — flusso incontrollato sostenuto
Questi sono gli endpoint del lato destro che le barriere di mitigazione devono prevenire.
Barriere di Mitigazione
| Percorso della Conseguenza | Barriera di Mitigazione | Fattore di Escalation |
|---|---|---|
| Il kick evolve in rilascio in superficie | Chiusura del BOP al rilevamento | Test funzionale BOP scaduto; guarnizioni dei ram usurate |
| Il rilascio in superficie evolve in accensione | Rilevamento gas e controllo delle fonti di accensione | Calibrazione rilevatore scaduta; permesso di lavoro a caldo non applicato |
| L'accensione evolve in blowout | Procedure di well kill (metodo del perforatore / wait-and-weight) | Equipaggio non addestrato; kill sheet non aggiornato |
| Il blowout evolve in fatalità | Arresto di emergenza e appello (muster) | Logica ESD inibita; esercitazione di appello non completata |
Il risultato è un ciclo chiuso tra il diagramma e l'attività in campo.
Scenario Illustrativo: Pozzo Esplorativo nel Mare del Nord (Illustrativo)
Lo scenario seguente è illustrativo e non rappresenta un incidente specifico.
Durante una manovra di estrazione in un pozzo esplorativo a gas ad alta pressione, il perforatore osserva un lento aumento nel volume delle vasche attive. La barriera di rilevamento del kick — monitoraggio del volume delle vasche — è funzionante e l'aumento viene identificato precocemente. Il perforatore chiude l'annular preventer come da procedura. La barriera di chiusura del BOP tiene.
Nel bowtie, questo esito si colloca tra l'evento principale e la Conseguenza 1: il kick è contenuto e sarà circolato all'esterno. La barriera di mitigazione — chiusura del BOP — ha funzionato. Consideriamo ora i fattori di escalation: se l'annular preventer non fosse stato sottoposto a test funzionale entro l'intervallo richiesto, o se il perforatore non fosse stato addestrato sulle procedure di chiusura durante la campagna, lo stesso kick avrebbe potuto evolvere nella Conseguenza 2 o oltre.
Questo è precisamente ciò che il bowtie rende visibile: non solo che una barriera esiste, ma se si trova in uno stato funzionale verificato nel momento in cui è necessaria.
Checklist di Verifica Pratica
Prima di iniziare la perforazione (spudding) o di entrare in una nuova sezione del foro, il bowtie di controllo del pozzo deve essere rivisto rispetto a quanto segue:
- Tutte le barriere preventive sul lato sinistro sono identificate per questa specifica fase del pozzo e formazione
- Ogni barriera ha un responsabile designato (ruolo, non individuo) per la verifica
- I fattori di escalation per ogni barriera sono elencati e il loro stato attuale è valutato
- I record dei test funzionali del BOP sono aggiornati e i risultati documentati
- Gli allarmi di rilevamento kick sono attivi, calibrati e visibili sulla console del perforatore
- Il totalizzatore del volume delle vasche e i sensori di flusso in uscita sono stati azzerati e calibrati per questa sezione
- Il kill sheet è preparato, controllato e affisso alla postazione di lavoro del perforatore
- L'equipaggio ha completato un'esercitazione di controllo del pozzo per questa fase del pozzo all'interno della campagna
- Qualsiasi barriera degradata o compromessa è registrata formalmente ed è in atto una misura compensativa
- Il bowtie è accessibile a tutti i membri dell'equipaggio, non solo archiviato nel sistema dell'ufficio
La checklist sopra riportata è progettata per colmare tale lacuna.
Contesto normativo
La gestione delle barriere di controllo del pozzo rientra nell'ambito della NORSOK D-010 (Integrità del pozzo nelle operazioni di perforazione e di pozzo), che definisce il principio delle due barriere e i requisiti per la verifica degli elementi delle barriere. Lo standard API applicabile per le attrezzature di controllo del pozzo è API Standard 53 (Sistemi di attrezzature per la prevenzione dei blowout per pozzi di perforazione), che disciplina le frequenze dei test e i criteri di accettazione per i sistemi BOP. Laddove siano coinvolte funzioni strumentate di sicurezza come gli arresti automatici del controllo del pozzo, si applicano gli standard di sicurezza funzionale; questi possono includere IEC 61511 (Sicurezza funzionale — Sistemi strumentati di sicurezza per il settore dell'industria di processo) o IEC 61508 (sicurezza funzionale generica), a seconda della classificazione dell'apparecchiatura e della giurisdizione. I requisiti di valutazione SIL e di proof-test devono essere confermati rispetto allo standard applicabile per la regione operativa del pozzo.
Conclusioni e Prossimi Passi
Un bowtie per uno scenario di kick è utile solo se riflette le barriere reali sul pozzo reale, con lo stato di verifica corrente allegato a ciascuna di esse. I modelli generici di settore sono un punto di partenza, non un prodotto finito.
I passi pratici per un team di perforazione sono:
- Prendere il modello di bowtie dal proprio sistema di gestione del controllo del pozzo e adattarlo alla specifica formazione, configurazione del BOP e sezione del foro prima dell'inizio della sezione.
- Assegnare la responsabilità della barriera per ruolo e integrare la verifica nell'agenda della riunione pre-turno.
- Utilizzare il bowtie nelle revisioni post-kick — non solo per confermare l'accaduto, ma per identificare quali fattori di escalation erano presenti prima dell'evento e se erano visibili nel record di verifica delle barriere.
- Inserire i risultati nel programma del pozzo successivo in modo che il diagramma migliori con l'esperienza operativa.
Questo è il risultato che vale la pena perseguire.