Filosofia de parada de emergência offshore e análise de evacuação para instalações expostas a furacões

Plataformas expostas a furacões têm um problema de planejamento que uma filosofia convencional de parada de emergência (ESD) não cobre totalmente. A lógica de ESD é construída para eventos rápidos: um vazamento de gás, um incêndio, uma perda de contenção. Um furacão é lento e previsível, mas retira suas opções uma a uma. Helicópteros param de voar. Embarcações não conseguem atracar. Sistemas marítimos e de energia degradam. Se o fechamento (shut-in), o desembarque de pessoal e a segurança da instalação não forem sequenciados contra essa janela que se fecha, você acaba com um de dois resultados ruins: uma parada de emergência não planejada em condições climáticas deterioradas, ou pessoas a bordo quando não resta mais um caminho seguro de saída. Ambos trazem consequências para a segurança, ativos e meio ambiente, e reiniciar após uma parada não controlada é mais lento e arriscado do que reiniciar após uma planejada.

Este artigo separa os níveis de parada, explica onde o refúgio temporário (TR) se encaixa em uma estratégia de furacão e define como construir um estudo de tempo de evacuação no qual os tomadores de decisão possam confiar.

Normas e contexto regulatório

As seguintes são as âncoras que eu utilizaria:

• A IEC 61511 cobre a segurança funcional para sistemas instrumentados de segurança na indústria de processos. Ela rege como as funções de parada são especificadas, verificadas e mantidas quando implementadas como funções instrumentadas de segurança.
• A API RP 14C cobre análise, projeto, instalação e teste de sistemas básicos de segurança de superfície para plataformas de produção offshore. É a base tradicional para a lógica de parada de processo e dispositivos de segurança em instalações reguladas pelos EUA.
• A ISO 13702 cobre o controle e mitigação de incêndios e explosões em instalações de produção offshore. É a referência comum para a filosofia de ESD, funções de TR e provisões de escape e evacuação.

Os reguladores atribuem a responsabilidade ao operador. A orientação de furacões da BSEE diz que o operador deve desenvolver e implementar planos de resposta a emergências que incluam provisões para evacuar pessoal, e deve avaliar os riscos de furacões e agir sobre eles, incluindo análise de incêndio e explosão e evacuação. O documento da Oil & Gas UK (agora OEUK) Industry Guidelines for the Management of Emergency Response for Offshore Installations, Issue 3 (2010), ainda é uma referência útil para estruturar comando, controle e competência em resposta a emergências. Nenhum dos documentos é específico para furacões, mas ambos esperam que a evacuação seja analisada, não presumida.

Hierarquia de ESD: Emergência versus Parada Preventiva

Mantenha dois modos de parada distintos

A preparação para furacões envolve dois modos diferentes, e misturá-los causa problemas.

• Parada de emergência é iniciada automaticamente ou manualmente em resposta a um evento perigoso. É rápida, prioriza o isolamento e é projetada para falhar em um estado seguro definido.
• Parada preventiva (planejada) é uma sequência em estágios, liderada pelo operador, acionada por uma previsão. É mais lenta e controlada. Os poços são fechados, o inventário do processo é gerenciado e a instalação é deixada em um estado que pode suportar a tempestade sem pessoal.

A sequência planejada deve usar os mesmos dispositivos de isolamento final que a ESD, mas não deve depender da ESD para ser realizada.

Hierarquia típica e o que ela deve proteger

Os operadores nomeiam seus níveis de forma diferente, portanto, defina os seus explicitamente no documento de filosofia. A estrutura funcional é geralmente a seguinte.

Defina o estado seguro por função

Um erro comum de projeto de ESD é assumir que "desenergizar para atuar" é o correto para cada função. Não é. O estado seguro tem que ser definido para cada função através de análise de riscos, não presumido. Uma válvula pode precisar permanecer aberta para evitar superaquecimento. Iluminação de emergência, detecção de incêndio, comunicações e sistemas de evacuação têm que continuar funcionando após o desligamento dos equipamentos de produção. Em um contexto de furacão, isso significa:

• manter a detecção de fogo e gás, o sistema de som e a energia de emergência ativos após o isolamento da produção, enquanto o pessoal permanecer a bordo;
• confirmar o que acontece com o ar de utilidade e de instrumentos quando a energia principal é perdida em uma tempestade;
• decidir se os sistemas de flare e ventilação devem permanecer disponíveis durante um longo período sem pessoal.

Unidades de posicionamento dinâmico

Para embarcações DP e MODUs, a ESD não deve permitir a perda de posição. Na temporada de furacões, isso importa muito, pois um blackout em condições climáticas severas cria uma segunda emergência. Decisões sobre desconectar ou permanecer devem seguir um plano pré-acordado, não uma chamada ad hoc. Acorde pontos de decisão por escrito, responsáveis e gatilhos antes do início da temporada.

Temporary Refuge Design in a Hurricane Context

O TR protege o pessoal contra fogo, explosão e fumaça ou gás tóxico pelo tempo necessário para concluir a resposta de emergência e a evacuação, conforme enquadrado em ISO 13702. Normalmente não é um abrigo contra furacões, e tratá-lo como tal é um erro estratégico. Uma abordagem de permanência durante a tempestade exigiria sua própria análise estrutural, de movimento, de suporte à vida e de escape, e a maioria dos projetos de TR nunca foi destinada a atender a esse padrão.

Onde a estratégia é retirar o pessoal da instalação antes da chegada do furacão à costa, o TR ainda é importante de duas maneiras:

1. Desembarque na fase final. As últimas pessoas a bordo trabalham a partir do TR, e suas comunicações, controle de reunião e detecção devem funcionar até a última partida.
2. Risco residual se a evacuação for interrompida. Se um helicóptero ou embarcação for perdido ou atrasado, as pessoas deixadas a bordo precisam de um lugar defensável para ficar. O estudo deve dizer explicitamente se o TR é aceitável para esse caso e por quanto tempo. Deixar a questão em aberto não é uma opção.

Para revisão de projeto, verifique a sobrevivência do TR contra perigos que coincidem com clima severo: perda de energia principal, rotas de escape bloqueadas pela ação do vento e das ondas em passadiços expostos e dampers ou tomadas de HVAC degradados. Também confirme se as áreas de lançamento de baleeiras e balsas salva-vidas são utilizáveis no estado de mar previsto, pois a evacuação por mar é geralmente o último recurso.

Evacuation Timing Studies

Build the timeline backward from weather

Um estudo de tempo de evacuação responde a uma pergunta. A partir do momento em que uma decisão é tomada, todos conseguem sair com segurança da instalação antes que o tempo interrompa os meios de saída? A resposta tem que ser expressa como uma margem.

O tempo necessário é a soma de elementos sequenciais:

T_required = T_decision + T_shut-in + T_mobilise + T_embark + T_transit_and_recovery

e a margem é:

Margin = T_available − T_required

T_available é o tempo desde o ponto de decisão até o início previsto das condições que interrompem os modos de evacuação escolhidos (operações de aeronaves, operações de embarcações ao lado, lançamento de embarcações de sobrevivência). Cada termo precisa de um responsável e uma base: dados históricos de treinamentos, compromissos de contratados ou simulação.

Três pontos mantêm a integridade do estudo:

• Paralelo versus serial. O fechamento (shut-in), a fixação de guindastes e itens soltos e a movimentação de pessoal se sobrepõem na prática, mas apenas onde o efetivo e as permissões o permitem. Modele as dependências reais.
• Falha de modo. Teste o caso em que o modo primário está indisponível, como uma frota de aeronaves impedida de voar ou uma embarcação atrasada, e veja qual se torna a margem.
• Incerteza da previsão. T_available vem de uma previsão de trajetória e intensidade que muda constantemente. Defina o gatilho de decisão cedo o suficiente para que a margem sobreviva a uma previsão pessimista, não apenas à central.

Modelling and optimisation

O artigo da OTC "Evacuation Procedure Modeling and Optimization for Offshore Structures" (2022) aborda FPSOs desconectáveis em regiões de furacões e ciclones, onde o procedimento de evacuação tem que ser modelado como um todo. O que um profissional extrai dele é a abordagem: tratar o procedimento como um modelo cujas etapas podem ser sequenciadas, testadas e otimizadas, em vez de um checklist estático. Sistemas desconectáveis adicionam etapas como desconexão e partida da embarcação. Essas etapas pertencem à linha do tempo e à lógica de ESD que as suporta.

Illustrative Scenario

O que se segue é uma ilustração construída, não um evento relatado.

Uma plataforma de produção fixa em uma bacia propensa a furacões usa helicópteros como seu modo de evacuação primário e uma embarcação de apoio como secundário. A equipe de operações realiza uma revisão de tempo quando uma tempestade entra no cone de planejamento.

1. A equipe lista cada elemento da linha do tempo e atribui um responsável: autoridade de decisão, fechamento da produção, isolamento submarino e de cabeça de poço, fixação do convés, mobilização de helicópteros, processamento de passageiros e partida final.
2. O fechamento da produção revela-se o elemento individual mais longo, porque vários trens têm que sair de operação em sequência e o trem de compressão de gás precisa de uma despressurização controlada. Portanto, a revisão inicia o fechamento antes do desembarque, para que os dois se sobreponham.
3. O provedor de helicópteros informa que suas aeronaves não podem operar assim que as condições ultrapassarem um limite da empresa. A equipe usa o tempo de chegada previsto dessas condições como T_available para o modo primário.
4. A margem (Margin = T_available − T_required) para a previsão central resulta positiva. Repetir o cálculo com uma previsão de chegada antecipada e uma aeronave indisponível resulta em uma margem negativa.
5. A plataforma, portanto, define seu gatilho de decisão mais cedo, e o checklist ganha o requisito de confirmar a disponibilidade da embarcação sempre que a margem da aeronave for pequena.

O segundo cálculo é o objetivo do exercício. Uma única margem positiva na previsão de melhor caso não é uma base aceitável para uma decisão.

Checklist Prático

Filosofia e lógica

• Definir a parada precaucional e a parada de emergência como modos documentados separados, com um limite claro entre eles.
• Confirmar que as matrizes de causa e efeito mostrem o estado seguro por função, com a análise de riscos por trás de cada uma.
• Verificar se a energia de emergência, detecção, comunicações e sistemas de reunião permanecem disponíveis após o isolamento do processo enquanto houver alguém a bordo.
• Para unidades DP, revisar as ações de ESD em relação às consequências de perda de posição.

Refúgio temporário e escape

• Declarar a base de projeto do TR e se ele é aceito como refúgio caso a evacuação seja interrompida.
• Verificar rotas de fuga, pontos de embarque e áreas de lançamento quanto à usabilidade na previsão do tempo.
• Confirmar o comportamento do HVAC, tomadas de ar e dampers na perda de energia principal.

Cronograma de evacuação

• Documentar cada elemento da linha do tempo com um responsável e uma base.
• Calcular a margem para a previsão central, uma previsão pessimista e um modo de evacuação degradado.
• Definir gatilhos de decisão a partir do caso pessimista e nomear a pessoa com autoridade para invocá-los.
• Alinhar por escrito os compromissos dos contratados (aeronaves, embarcações, recepção em terra) com as premissas do estudo.

Reinício e revisão

• Planejar como a instalação será deixada: posições de válvulas, inventário, equipamentos fixados e monitoramento da instalação não tripulada.
• Desenvolver um procedimento de inspeção e reentrada pós-tempestade antes do início da temporada. Qualquer trabalho que abra ou inspecione equipamentos contendo hidrocarbonetos na reentrada deve seguir isolamento, despressurização, verificação de energia zero, lock-out/tag-out, precauções de área classificada, detecção de gás e ventilação segura.
• Realizar um simulacro da linha do tempo completa e atualizar o estudo com o que o simulacro revelou.

Conclusão

Uma estratégia para furacões baseia-se em três pilares trabalhando juntos: uma filosofia de ESD que separa a parada planejada da emergencial, um TR cujo papel é definido honestamente e um estudo de cronograma de evacuação que expressa a resposta como uma margem sob condições pessimistas. Comece revisando sua filosofia atual para o limite entre precaução e emergência e os estados seguros por função. Em seguida, reconstrua a linha do tempo de evacuação de trás para frente a partir da previsão do tempo e teste-a com um modo de evacuação degradado. Onde surgirem lacunas, feche-as antes da temporada, usando IEC 61511, API RP 14C e ISO 13702 como estrutura técnica e as expectativas de planejamento de emergência do seu regulador como estrutura de conformidade.