Análise Bowtie para eventos de controle de poço: Construindo um cenário de kick do zero
Um kick que passa despercebido mesmo por um curto período pode escalar para um blowout. As consequências são bem documentadas: perda de vidas, destruição do poço, danos ambientais e interdição regulatória. Apesar de décadas de melhoria na gestão de barreiras após Macondo, eventos de perda de controle de poço continuam a ocorrer em toda a indústria. A análise da IRF Offshore Safety desses eventos confirma que as barreiras destinadas a interromper a escalada frequentemente falham não porque a tecnologia esteja ausente, mas porque o status da barreira é mal compreendido, inadequadamente verificado ou não comunicado à equipe (IRF, 2020).
A análise bowtie aborda essa lacuna diretamente. Ela força a equipe de perfuração a nomear cada barreira, atribuir responsabilidades, identificar fatores de degradação e visualizar todo o caminho de escalada em uma única página. Este artigo percorre a construção de um bowtie para um cenário de kick com exemplos de barreiras concretas, não teoria abstrata.
O que um Bowtie é e o que não é
Um bowtie é um diagrama de risco baseado em barreiras. O centro estreito é o evento de topo (top event) — o momento em que o controle é perdido. O lado esquerdo mapeia as ameaças e suas barreiras preventivas. O lado direito mapeia as consequências e suas barreiras de mitigação. Fatores de escalada (às vezes chamados de fatores de degradação) situam-se nas linhas das barreiras para mostrar o que pode comprometer cada barreira.
Um bowtie não é uma árvore de falhas, não é uma avaliação quantitativa de risco e não substitui um esquema de barreiras de poço. É uma ferramenta de comunicação e verificação. Seu valor está em tornar o quadro completo de riscos visível para todos, desde o sondador até o engenheiro de integridade de poço.
O modelo OpenRisk para perda de controle de poço (OpenRisk/Presight, v.2) captura isso com precisão: o bowtie é construído em torno de barreiras preventivas, como preventores de blowout e sistemas de detecção de kick, com o reconhecimento explícito de que obter e manter o controle dessas barreiras é a tarefa central.
Definindo o Evento de Topo
Para um bowtie de controle de poço, o evento de topo é:
Fluxo descontrolado de fluidos da formação para o poço (kick não contido).
Este é o momento preciso em que o primeiro envelope de barreira do poço foi rompido e o segundo ainda não interrompeu a escalada. Não é o blowout — isso é uma consequência no lado direito. Posicionar o evento de topo corretamente é crítico; cedo demais e você perde as barreiras preventivas, tarde demais e o diagrama confunde prevenção com mitigação.
Lado Esquerdo: Ameaças e Barreiras Preventivas
Cada ameaça é uma rota crível para o evento de topo. Para um cenário de kick, as principais ameaças são:
- Peso de lama insuficiente para equilibrar a pressão da formação
- Falha em detectar influxo durante a perfuração ou manobra (tripping)
- Pressão de pistoneio (swab) durante a manobra que reduz a pressão efetiva de fundo
- Perda de circulação criando uma condição de underbalanced
- Migração de fluido no poço durante períodos estáticos (ex: cimentação)
Barreiras Preventivas para cada Ameaça
| Ameaça | Barreira Preventiva Primária | Barreira Preventiva Secundária |
|---|---|---|
| Peso de lama insuficiente | Predição de pressão de poros e programa de peso de lama | Monitoramento de pressão de poros em tempo real durante a perfuração |
| Influxo não detectado | Totalizador de volume de tanques e monitoramento de fluxo de saída | Monitoramento da tendência de pressão da coluna de perfuração |
| Pistoneio durante manobra | Velocidade de manobra controlada e procedimentos de enchimento | Monitoramento contínuo do enchimento do poço |
| Perda de circulação | Peso de lama correto e programa de LCM | Gerenciamento e monitoramento de ECD |
| Migração de fluido (estático) | Projeto de cimentação com TOC positivo | Teste de pressão do cimento e da sapata do revestimento |
Cada célula acima é uma barreira física ou procedimental — algo que, se estiver funcionando, evita que a ameaça atinja o evento de topo.
Fatores de Escalada em Barreiras Preventivas
Um fator de escalada é uma condição que degrada uma barreira sem eliminá-la. Para a barreira do totalizador de volume de tanques, os fatores de escalada incluem:
- Calibração do sensor não atualizada
- Alarme ignorado (bypassed) durante operações de cimentação sem registro formal de override
- Display não visível da posição do sondador
O artigo da SPE sobre gestão de barreiras (SPE-184668-MS, 2017) enfatiza que a verificação de barreiras — ter confiança de que a barreira funcionará quando solicitada — requer monitoramento ativo dessas condições de degradação, não apenas a confirmação de que o equipamento está instalado.
O Nó do Evento de Topo
No centro do diagrama situa-se o nó do evento de topo. Em um bowtie de controle de poço, este nó deve conter:
- O identificador do poço e a fase (ex: seção de 12¼-inch, revestimento intermediário)
- A referência do envelope de barreira (primeiro envelope rompido)
- A data do último teste de função do BOP
Esta contextualização garante que o diagrama seja um documento operacional vivo, não um modelo genérico arquivado em um sistema de gestão e nunca mais aberto.
Lado Direito: Consequências e Barreiras de Mitigação
Uma vez que um kick está no poço, a rota de escalada se ramifica em consequências distintas:
- Consequência 1: Amortecimento controlado do poço — kick circulado para fora com segurança
- Consequência 2: Liberação na superfície — gás na superfície sem ignição
- Consequência 3: Ignição e incêndio ou explosão
- Consequência 4: Blowout — fluxo descontrolado sustentado
Estes são os pontos finais do lado direito que as barreiras de mitigação devem prevenir.
Barreiras de Mitigação
| Rota de Consequência | Barreira de Mitigação | Fator de Escalada |
|---|---|---|
| Kick escala para liberação na superfície | Fechamento do BOP após detecção | Teste de função do BOP atrasado; vedações das gavetas gastas |
| Liberação na superfície escala para ignição | Detecção de gás e controle de fontes de ignição | Calibração do detector vencida; permissão de trabalho a quente não aplicada |
| Ignição escala para blowout | Procedimentos de amortecimento (método do sondador / esperar e pesar) | Equipe não treinada; folha de amortecimento não atualizada |
| Blowout escala para fatalidade | Parada de emergência e reunião (muster) | Lógica de ESD inibida; simulado de reunião não concluído |
O resultado é um ciclo fechado entre o diagrama e a atividade de campo.
Cenário Ilustrativo: Poço de Exploração no Mar do Norte (Ilustrativo)
O cenário a seguir é ilustrativo e não representa um incidente específico.
Durante uma manobra de retirada de coluna em um poço de exploração de gás de alta pressão, o sondador observa um ganho lento no tanque ativo. A barreira de detecção de kick — monitoramento do volume do tanque — está funcionando, e o ganho é identificado precocemente. O sondador fecha o preventor anular conforme o procedimento. A barreira de fechamento do BOP resiste.
No bowtie, este resultado situa-se entre o evento principal e a Consequência 1: o kick está contido e será circulado para fora. A barreira de mitigação — fechamento do BOP — funcionou. Agora considere os fatores de escalada: se o preventor anular não tivesse sido testado funcionalmente dentro do intervalo exigido, ou se o sondador não tivesse treinado os procedimentos de fechamento durante a campanha, o mesmo kick poderia ter escalado para a Consequência 2 ou além.
É precisamente isso que o bowtie torna visível: não apenas que uma barreira existe, mas se ela está em um estado funcional verificado no momento em que é necessária.
Checklist de Verificação Prática
Antes de iniciar a perfuração (spudding) ou entrar em uma nova seção do poço, o bowtie de controle de poço deve ser revisado em relação ao seguinte:
- Todas as barreiras preventivas no lado esquerdo estão identificadas para esta fase específica do poço e formação
- Cada barreira tem um responsável nomeado (cargo, não indivíduo) pela verificação
- Os fatores de escalada para cada barreira estão listados e seu status atual avaliado
- Os registros de testes de função do BOP estão em dia e os resultados documentados
- Os alarmes de detecção de kick estão ativos, calibrados e visíveis no console do sondador
- O totalizador de volume do tanque e os sensores de fluxo de saída foram zerados e aferidos para esta seção
- A folha de amortecimento (kill sheet) está preparada, verificada e afixada na estação de trabalho do sondador
- A equipe concluiu um simulado de controle de poço para esta fase do poço dentro da campanha
- Qualquer barreira degradada ou comprometida é registrada formalmente e uma medida compensatória está em vigor
- O bowtie está acessível a todos os membros da equipe, não apenas arquivado no sistema do escritório
O checklist acima foi projetado para fechar essa lacuna.
Contexto de Normas
A gestão de barreiras de controle de poço está dentro do escopo da NORSOK D-010 (Integridade de poço em operações de perfuração e de poço), que define o princípio de duas barreiras e os requisitos para verificação de elementos de barreira. A norma API aplicável para equipamentos de controle de poço é a API Standard 53 (Sistemas de Equipamentos de Prevenção de Blowout para Poços de Perfuração), que rege as frequências de teste e critérios de aceitação para sistemas BOP. Onde funções instrumentadas de segurança, como paradas automáticas de controle de poço, estão envolvidas, aplicam-se as normas de segurança funcional; estas podem incluir a IEC 61511 (Segurança funcional – Sistemas instrumentados de segurança para o setor da indústria de processo) ou IEC 61508 (segurança funcional genérica), dependendo da classificação do equipamento e jurisdição. Os requisitos de avaliação de SIL e testes de prova devem ser confirmados em relação à norma aplicável para a região de operação do poço.
Conclusão e Próximos Passos
Um bowtie para um cenário de kick só é útil se refletir as barreiras reais no poço real, com o status de verificação atual anexado a cada uma. Modelos genéricos da indústria são um ponto de partida, não um produto final.
Os passos práticos para uma equipe de perfuração são:
- Pegue o modelo de bowtie do seu sistema de gestão de controle de poço e adapte-o à formação específica, configuração de BOP e seção do poço antes do início da seção.
- Atribua a responsabilidade da barreira por cargo e integre a verificação na agenda da reunião pré-turno.
- Use o bowtie em revisões pós-kick — não apenas para confirmar o que aconteceu, mas para identificar quais fatores de escalada estavam presentes antes do evento e se eles estavam visíveis no registro de verificação de barreira.
- Insira as descobertas no próximo programa de poço para que o diagrama melhore com a experiência operacional.
Esse é o resultado que vale a pena buscar.