{"id":666,"date":"2019-02-06T09:57:08","date_gmt":"2019-02-06T11:57:08","guid":{"rendered":"http:\/\/www.b3bee.com.br\/site\/?p=666"},"modified":"2021-12-28T18:50:56","modified_gmt":"2021-12-28T21:50:56","slug":"risco-na-mitigacao-de-risco-quando-um-teste-provoca-o-acidente-que-ele-deveria-evitar","status":"publish","type":"post","link":"https:\/\/www.b3bee.com.br\/site\/2019\/02\/06\/risco-na-mitigacao-de-risco-quando-um-teste-provoca-o-acidente-que-ele-deveria-evitar\/","title":{"rendered":"Risco no teste da conting\u00eancia: quando ele provoca o acidente que deveria evitar"},"content":{"rendered":"\n
\"\"<\/figure>\n\n\n\n

Pode um teste do plano de conting\u00eancia provocar exatamente o que ele deveria evitar? Apesar de vers\u00f5es diferentes quanto \u00e0s responsabilidades, n\u00e3o h\u00e1 d\u00favida que o acidente da usina nuclear de Chernobyl em 1986 foi provocado durante um teste do plano de conting\u00eancia. Atrav\u00e9s desse triste exemplo, concluiremos com analogias e reflex\u00f5es para nosso dia a dia na gest\u00e3o de riscos.<\/p>\n\n\n\n

Produ\u00e7\u00e3o de calor (reator), controle (hastes) e resfriamento (condensadores)<\/strong><\/p>\n\n\n\n

Antecipamos num curto texto o funcionamento\nde uma usina nuclear<\/a> cuja fonte de fatos citamos tamb\u00e9m no final desse\ntexto (*). A fiss\u00e3o nuclear \u00e9 a quebra do n\u00facleo de um \u00e1tomo cujo processo libera\nenergia na forma de calor, numa rea\u00e7\u00e3o em cadeia sucessiva e progressiva. Para redu\u00e7\u00e3o\ndessa rea\u00e7\u00e3o em cadeia, hastes de controle m\u00f3veis (com carbono e boro, nesse exemplo\nde Chernobyl) s\u00e3o intercalados com o material radioativo (que sofre essa fiss\u00e3o).\nEsse calor gerado \u00e9 capturado para formar o vapor que aciona as turbinas que\npor sua vez alimentam os geradores de energia el\u00e9trica. Um sistema de\nresfriamento completa todo o ciclo.<\/p>\n\n\n\n

Sistema de resfriamento: bombeamento de \u00e1gua<\/strong><\/p>\n\n\n\n

Conforme o mesmo artigo citado, o sistema de resfriamento \u00e9 baseado numa\nsequ\u00eancia de condensadores de troca sucessiva de temperatura de \u00e1gua quente ou\nvapor do calor gerado dentro do reator por \u00e1gua resfriada. E bombas devem\nmanter a circula\u00e7\u00e3o desses fluxos de \u00e1gua. <\/p>\n\n\n\n

O teste planejado<\/strong> <\/p>\n\n\n\n

O teste citado consistia em manter o funcionamento dessas bombas mesmo num cen\u00e1rio de interrup\u00e7\u00e3o de sua habitual fonte de energia el\u00e9trica (1) por meio da substitui\u00e7\u00e3o de fornecimento dessa energia a partir de geradores a diesel (2). Mas como o ligamento desses geradores a diesel n\u00e3o \u00e9 imediato, as turbinas para gera\u00e7\u00e3o de sua energia s\u00e3o acionadas pelo vapor gerado pelo reator e logo depois desconectados (3). A rota\u00e7\u00e3o inercial das turbinas (afinal, logo depois s\u00e3o desconectadas do vapor do reator) \u00e9 um per\u00edodo com queda do volume de \u00e1gua bombeada. J\u00e1 havia um desligamento de rotina para manuten\u00e7\u00e3o no dia 25 de abril de 1986. A ideia era aproveitar esse desligamento e realizar o teste com pot\u00eancia menor (700MW) que o habitual de 3,2GW, para reduzir riscos e ser mais seguro (!!). O teste deveria avaliar se durante o intervalo entre o desligamento do suprimento principal de energia e o pleno funcionamento dos geradores, a rota\u00e7\u00e3o inercial das turbinas seria suficiente para manter o sistema de resfriamento. <\/p>\n\n\n\n

O teste executado:\ninconformidade com as normas<\/strong><\/p>\n\n\n\n

O \u2018caminho feliz\u2019 do teste consistia nas etapas descritas no\ndiagrama em azul (4). Mas ao iniciar o teste com atraso, a redu\u00e7\u00e3o da pot\u00eancia\nfoi feita muito r\u00e1pida (5), caindo a apenas 30MW. Foi decidido aumentar para\n200MW (6) de forma igualmente r\u00e1pida (7) e ainda retirando uma quantidade de\nhastes al\u00e9m do recomendado (8). Das 211 hastes de controle, 204 foram removidas,\nrestando apenas 7 (guia t\u00e9cnico recomendava ao menos 15 dentro do n\u00facleo do\nreator), lembrando que cada haste inserida no n\u00facleo do reator funciona como um\nfreio da fiss\u00e3o nuclear (Quanto maior a quantidade e mais profundamente inseridas,\nmenor a rea\u00e7\u00e3o e pot\u00eancia de gera\u00e7\u00e3o de calor). <\/p>\n\n\n\n

O teste executado: alta fra\u00e7\u00e3o de vazio<\/strong><\/p>\n\n\n\n

Ao iniciar o teste, durante o intervalo da redu\u00e7\u00e3o do volume\nde \u00e1gua bombeada, houve a forma\u00e7\u00e3o de bolhas de vapor dentro do sistema de\nresfriamento (9). Esse projeto tinha uma j\u00e1 conhecida alta fra\u00e7\u00e3o de vazio nos circuitos\nde \u00e1gua, isto \u00e9, alta forma\u00e7\u00e3o de bolhas de vapor. A \u00e1gua ajuda a reduzir a\nvelocidade de rea\u00e7\u00e3o, mas o vapor pela \u00f3bvia menor densidade que a \u00e1gua,\ncontribuir\u00e1 para n\u00e3o gerar esse efeito redutor.<\/p>\n\n\n\n

O teste executado: vulnerabilidade nas hastes de controle<\/strong><\/p>\n\n\n\n

Outra caracter\u00edstica do projeto s\u00e3o as pr\u00f3prias hastes de\ncontrole, uma combina\u00e7\u00e3o (de baixo para cima) de grafite, uma parte oca do tubo\npreenchido com \u00e1gua e finalmente o carbono-boro (com propriedades efetivas de\nredu\u00e7\u00e3o da velocidade da rea\u00e7\u00e3o nuclear). O grafite na parte inferior acelera\nmomentaneamente a rea\u00e7\u00e3o durante o processo de inser\u00e7\u00e3o da haste de controle no\nn\u00facleo, at\u00e9 que a parte superior com carbono-boro chegue \u00e0 sua posi\u00e7\u00e3o de\ncompleta inser\u00e7\u00e3o da haste de controle. O aumento na temperatura pode confundir\nquem n\u00e3o conhece tal comportamento, pois ao inv\u00e9s de reduzir, no in\u00edcio da coloca\u00e7\u00e3o\ndessas hastes de controle a temperatura teria efeito contr\u00e1rio por um breve\nper\u00edodo de tempo.<\/p>\n\n\n\n

Apesar de uma vers\u00e3o oficial atribuindo falha operacional e outra\nvers\u00e3o dos operadores atribuindo falha de projeto, h\u00e1 uma prov\u00e1vel combina\u00e7\u00e3o\ndas duas, cujos conceitos podemos associar ao nosso dia a dia, guardadas as\ndevidas propor\u00e7\u00f5es quanto ao impacto catastr\u00f3fico de uma usina nuclear:<\/p>\n\n\n\n

Considerar riscos em testes<\/strong><\/p>\n\n\n\n

4: O teste foi conduzido por uma chefia com menor experi\u00eancia no modelo de reator da usina. O \u2018caminho feliz\u2019 \u00e9 o projeto planejado dentro da normalidade. Nele alocamos recursos e estimamos tempo de sua execu\u00e7\u00e3o em condi\u00e7\u00f5es ideais acrescidos de uma incerteza na forma dos conceitos de risco: a probabilidade de ocorr\u00eancia e impacto no caso dessa materializa\u00e7\u00e3o, tanto sofrendo amea\u00e7as como se beneficiando de oportunidades. Testes podem sofrer menor planejamento, tempo insuficiente ou aloca\u00e7\u00e3o de recursos humanos menos experientes, com efeitos catastr\u00f3ficos no exemplo dado. Quando um teste \u00e9 feito com condi\u00e7\u00f5es ou equipamento \u2018de produ\u00e7\u00e3o\u2019, os cuidados devem ser os mesmos de uma opera\u00e7\u00e3o normal (voo experimental de um avi\u00e3o, teste de conting\u00eancia em linhas de produ\u00e7\u00e3o, etc). <\/p>\n\n\n\n

Falha na execu\u00e7\u00e3o:\ndocumenta\u00e7\u00e3o\/divulga\u00e7\u00e3o inadequada ou inconformidade operacional<\/strong><\/p>\n\n\n\n

5, 6, 7 e 8: Procedimentos executados inadequadamente. Segundo\nconstam, normas de seguran\u00e7a n\u00e3o foram seguidas no epis\u00f3dio de Chernobyl,\nindependentemente dos demais itens controversos entre a vers\u00e3o oficial e a vers\u00e3o\ndos operadores da usina. <\/p>\n\n\n\n

A organiza\u00e7\u00e3o deve, dentro de sua al\u00e7ada, evitar processos\nsem documenta\u00e7\u00e3o, desatualizados, extensos demais, mal redigidos e sem acabamento\nvisual algum. Deve divulga-los e facilitar seus acessos aos colaboradores\nadequados. Cabe \u00e0 organiza\u00e7\u00e3o investir, estimular e sobretudo priorizar,\nafinal, \u00e9 a corpora\u00e7\u00e3o que define se banca ou n\u00e3o banca o custo de tempo de\ndedica\u00e7\u00e3o a essas tarefas, inclusive no seu aculturamento.<\/p>\n\n\n\n

Caso todas medidas anteriores tenham sido adotadas e mesmo\nassim houver falha em segui-los, o monitoramento tempestivo por meio de\nindicadores ou auditoria peri\u00f3dica devem capturar essas eventuais inconformidades\nna execu\u00e7\u00e3o operacional: para antecipar e evitar desastres ou para evidenciar falha\noperacional ap\u00f3s os desastres. <\/p>\n\n\n\n

Transpar\u00eancia, divulga\u00e7\u00e3o e melhoria cont\u00ednua<\/strong><\/p>\n\n\n\n

9, 10 e 11: Desconhecimento de vulnerabilidades do projeto. Mesmo havendo vulnerabilidades em seus projetos e processos, eles devem ser reconhecidos e divulgados. Planejar investimentos em sua melhoria cont\u00ednua e divulgar recomenda\u00e7\u00f5es de precau\u00e7\u00f5es adicionais at\u00e9 que essa melhoria seja implementada. Isso visa evitar erros operacionais exatamente pelo desconhecimento dessas vulnerabilidades. <\/p>\n\n\n\n

Riscos integrados e\ncirculares retroalimentados<\/strong><\/p>\n\n\n\n

10 e 11: O calor fora de controle e a deforma\u00e7\u00e3o das hastes\nafetaram-se de forma c\u00edclica e rec\u00edproca. Com menos hastes de controle que o\nrecomendado, em clara inconformidade com as normas de seguran\u00e7a, adicionado ao\nintervalo de tempo necess\u00e1rio para sua reintrodu\u00e7\u00e3o, a coloca\u00e7\u00e3o das hastes n\u00e3o\nfoi feita a tempo com o calor j\u00e1 fora de controle. \u00c9 um exemplo de riscos\npotencializados num efeito circular: o calor a mais de 2.000\u00b0<\/a>C deformou\nas hastes que travaram na inser\u00e7\u00e3o, n\u00e3o sendo introduzidas por completo (lembrando\nque o carbono e boro ficavam na parte superior das hastes), impossibilitando reduzir\na rea\u00e7\u00e3o nuclear e respectivo calor, que era a finalidade da introdu\u00e7\u00e3o dessas\nhastes. A continuada rea\u00e7\u00e3o em cadeia s\u00f3 fez aumentar o calor at\u00e9 a explos\u00e3o\npela press\u00e3o do vapor.<\/p>\n\n\n\n

Indicadores e\nmonitoramento<\/strong>\n\nO engenheiro chefe afirmou tamb\u00e9m que medidores\nn\u00e3o acusavam anormalidade na temperatura, mas ainda um assunto controverso. N\u00e3o\nse sabe se o acionamento do desligamento total foi antes ou depois da explos\u00e3o.\nSendo antes, significa que os operadores foram alertados da temperatura. Sendo\ndepois, significaria que os operadores n\u00e3o teriam nenhuma indica\u00e7\u00e3o do calor\nfora de controle, desligando apenas j\u00e1 com a explos\u00e3o consumada.\nIndependentemente disso, nem \u00e9 preciso dizer a import\u00e2ncia de indicadores\nrepresentarem na maior clareza, fidedignidade e brevidade poss\u00edvel a situa\u00e7\u00e3o\ndaquilo que \u00e9 sua fun\u00e7\u00e3o representar.\n\n\n\n<\/p>\n\n\n\n

Homologa\u00e7\u00e3o de\nsistemas<\/strong>\n\nNovas vers\u00f5es de sistemas costumam ser testadas\nem ambientes segregados da produ\u00e7\u00e3o. No entanto, muitas vezes as evid\u00eancias para\no usu\u00e1rio identificar se ele est\u00e1 injetando informa\u00e7\u00f5es hipot\u00e9ticas do teste\nrealmente na base de homologa\u00e7\u00e3o e n\u00e3o na de produ\u00e7\u00e3o s\u00e3o muito sutis. Outro\ncen\u00e1rio pouco praticado \u00e9 reproduzir a recupera\u00e7\u00e3o do backup, validar seus\nprocedimentos e a integridade dessa restaura\u00e7\u00e3o, comparando-a com a base de\nprodu\u00e7\u00e3o. A fim de aproveitamento como treinamento, muitas vezes esses testes s\u00e3o\ndelegados a novos colaboradores. Recomenda-se apenas que sejam orientados para\nreproduzirem cen\u00e1rios suficientes e adequados para avalia\u00e7\u00e3o, ao inv\u00e9s de serem\ndeixados \u00e0 pr\u00f3pria sorte. O hist\u00f3rico de falhas conhecido por usu\u00e1rios mais\nmaduros na ferramenta torna assertiva a lista de inconformidades a serem\ntestadas e quais resultados esperados para atestar a vers\u00e3o como apta para\ncoloca\u00e7\u00e3o em produ\u00e7\u00e3o. O pr\u00f3prio processo de homologa\u00e7\u00e3o de sistema deve ser\nnormatizado com procedimentos de coleta de evid\u00eancias seguindo uma lista de\nfuncionalidades e cen\u00e1rios a serem testados, bem como seus respectivos\nresultados esperados.\n\n\n\n<\/p>\n\n\n\n

Aculturamento em riscos estimulado ap\u00f3s a materializa\u00e7\u00e3o de trag\u00e9dias<\/strong> <\/p>\n\n\n\n

Enfim, a prioriza\u00e7\u00e3o no aculturamento em gest\u00e3o de riscos muitas vezes ocorre apenas quando Chernobyl, Fukushima, P34, Mariana ou Brumadinho inundam as manchetes e fica percept\u00edvel o custo de indeniza\u00e7\u00f5es, multas, perda de receita, estrago em reputa\u00e7\u00e3o e imagem superando m\u00faltiplas vezes o custo do que n\u00e3o foi feito ou melhorado. Mas avaliar isso depois do impacto materializado \u00e9 f\u00e1cil. Dif\u00edcil \u00e9 convencer antes do estrago previsto, pois probabilidade avaliada como baixo geralmente \u00e9 sin\u00f4nimo de improv\u00e1vel. Ou porque decide-se correr o risco em fun\u00e7\u00e3o de custos, mesmo sendo considerado alto. <\/p>\n\n\n\n

(*) Fonte da sequ\u00eancia de fatos: https:\/\/pt.wikipedia.org\/wiki\/Acidente_nuclear_de_Chernobil<\/a>,\ntamb\u00e9m citada em nosso artigo anterior. Est\u00e1 alinhado com outros materiais mais\nresumidos dispon\u00edveis na rede, mas que adotamos por fornecer alguns detalhes\nt\u00e9cnicos adicionais.<\/p>\n\n\n\n

Yoshio Hada<\/p>\n\n\n\n

yoshio.hada@basileia3.com.br<\/a><\/p>\n\n\n\n

Todas publica\u00e7\u00f5es em http:\/\/b3bee.com.br\/site\/publicacoes\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

Pode um teste do plano de conting\u00eancia provocar exatamente o que ele deveria evitar? Apesar de vers\u00f5es diferentes quanto \u00e0s responsabilidades, n\u00e3o h\u00e1 d\u00favida que o acidente da usina nuclear …<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[187],"tags":[62,61,10,11],"class_list":["post-666","post","type-post","status-publish","format-standard","hentry","category-agenda-corporativa","tag-chernobyl","tag-mitigacao","tag-risco","tag-riscos"],"_links":{"self":[{"href":"https:\/\/www.b3bee.com.br\/site\/wp-json\/wp\/v2\/posts\/666","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.b3bee.com.br\/site\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.b3bee.com.br\/site\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.b3bee.com.br\/site\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.b3bee.com.br\/site\/wp-json\/wp\/v2\/comments?post=666"}],"version-history":[{"count":6,"href":"https:\/\/www.b3bee.com.br\/site\/wp-json\/wp\/v2\/posts\/666\/revisions"}],"predecessor-version":[{"id":677,"href":"https:\/\/www.b3bee.com.br\/site\/wp-json\/wp\/v2\/posts\/666\/revisions\/677"}],"wp:attachment":[{"href":"https:\/\/www.b3bee.com.br\/site\/wp-json\/wp\/v2\/media?parent=666"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.b3bee.com.br\/site\/wp-json\/wp\/v2\/categories?post=666"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.b3bee.com.br\/site\/wp-json\/wp\/v2\/tags?post=666"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}