Marco Antonio Bayout Alvarenga D.Sc. Engenharia Nuclear (COPPE/UFRJ) CNEN 12 de agosto de 2014

1. Influência da Instrumentação e Sistemas de Controle Digitais Degradados no Desempenho dos Operadores de Reatores Nucleares Marco Antonio Bayout Alvarenga D.Sc. Engenharia Nuclear (COPPE/UFRJ) CNEN 12 de agosto de 2014

2. MOTIVAÇÃO DESTA PALESTRA I O sistema nervoso central de uma usina nuclear é a ação combinada dos operadores na sala de controle junto com a instrumentação e os sistemas de controle Através desta ação combinada, podemos monitorar e ajustar o desempenho de todos os processos da usina nuclear para resguardar as barreiras de segurança que evitam a liberação de material radioativo, no caso de acidentes e falhas diversas Instrumentação e sistemas digitais, ao contrário da tecnologia analógica, usam meios sofisticados de monitoração e controle, contém funções de diagnóstico e predição, através de algoritmos de controle implementados em software

3. MOTIVAÇÃO DESTA PALESTRA II A tecnologia digital permite a implementação através de programação de algoritmos sofisticados de controle tais como: Controle ótimo Controle não-linear Redes neuronais Lógica difusa Controle baseado em estado Controle adaptativo A tecnologia digital permite novas formas de automação com uma interação mais complexa entre seres humanos e as funções automáticas de controle

4. MOTIVAÇÃO DESTA PALESTRA III A tecnologia analógica usava controles hardwired (p.e. interruptores, botões e manoplas) e monitores (p.e. telas de alarme, medidores, escalas lineares e luzes indicadoras) organizados em painéis de controle; as ações dos operadores (em pé) nestes painéis são executadas a partir de procedimentos escritos A tecnologia digital usa estações de trabalho nos quais os operadores estão sentados monitorando e controlando a usina através de indicadores mostrados em telas de computador, incluindo o uso de procedimentos computadorizados mostrados em tela

5. SALA DE CONTROLE ANALÓGICA

6. SALA DE CONTROLE DIGITAL

7. MOTIVAÇÃO DESTA PALESTRA IV As falhas ou degradação de um sistema digital podem induzir condições de operação anormais diferentes de um sistema analógico As falhas ou degradação de um sistema digital podem não ser percebidas imediatamente pois estes sistemas podem passar por diferentes estados intermediários não perceptíveis pelos operadores antes de atingir o seu estado final de falha Ao perceber finalmente a falha de um sistema digital os operadores terão que voltar aos sistemas de backup tradicionais baseados em hardware Dados experimentais com estes tipos de tarefas complexas estão sendo ainda levantadas

8. SENSORES COMPONENTES DE UM SISTEMA DIGITAL I ELETRÔNICA -AQUISIÇÃO DE DADOS E PROCESSAMENTO DE SINAIS PROCESSADORES DE ENTRADA E SAÍDA UNIDADES LÓGICAS E MÓDULOS DE PRIORIDADE ATUADORES E DISPOSITIVOS FINAIS

9. SISTEMA DE INTERFACE HUMANO MÁQUINA DE INSTRUMENTAÇÃO E CONTROLE SUBSISTEMA SENSORIAL SUBSISTEMA DE MONITORAÇÃO – DIAGNÓSTICO E PREDIÇÃO SUBSISTEMA DE AUTOMAÇÃO E CONTROLE SUBSISTEMA DE COMUNICAÇÃO SUBSISTEMA DA INTERFACE HUMANO MÁQUINA

10. ERROS HUMANOS ENTENDIMENTO DOS MECANISMOS ATRAVÉS DOS QUAIS A TECNOLOGIA DIGITAL PODE INDUZIR ERROS HUMANOS ERROS DE OMISSÃO – NÃO COMPLETAR A AÇÃO ESPERADA DE SEGURANÇA DENTRO DO TEMPO ESPERADO ERROS DE COMISSÃO – ERROS DE MÁ INTERPRETAÇÃO DAS CONDIÇÕES DE OPERAÇÃO DISPARANDO AÇÕES ERRADAS

11. HUMAN ERROR TAXONOMY – JAMES REASON (1990) SLIPS ATTENTIONAL FAILURES UNITENTIONED ACTIONS LAPSES MEMORY FAILURES UNSAFE ACTS RULE BASED OR KNOWLEDGE BASED MISTAKES MISTAKES INTENTIONED ACTIONS ROUTINE VIOLATIONS EXCEPTIONAL VIOLATIONS SABOTAGE VIOLATIONS

12. TAREFAS PRIMÁRIAS DOS OPERADORES MONITORAR PARÂMETROS, RESPONDER AOS ALARMES, SEGUIR PROCEDIMENTOS, ALINHAR VÁLVULAS, PARTIR BOMBAS, ETC. ELEMENTOS COGNITIVOS COMUNS: MONITORAÇÃO E DETECÇÃO – SISTEMA DE ALARME ANÁLISE DA SITUAÇÃO – MODELO MENTAL PLANEJAMENTO DA RESPOSTA IMPLEMENTAÇÃO DA RESPOSTA

13. C. D. WICKENS - 1984 ATTENTION RESOURCES RESPONSE SELECTION RESPONSE EXECUTION - ACTIONS PERCEPTION SENSORY REGISTRATION DECISION MAKING WORKING MEMORY LONG-TERM MEMORY PERCEPTUAL ENCODING CENTRAL PROCESSING RESPONDING

14. RASMUSSEN’S SRK MODEL

15. TAREFAS SECUNDÁRIAS DOS OPERADORES NAVEGAÇÃO PELAS TELAS DAS ESTAÇÕES DE TRABALHO ACESSO ÀS INFORMAÇÕES NAS TELAS ORGANIZAÇÃO DE PEDAÇOS DE INFORMAÇÃO NAS TELAS GERENCIAMENTO DE INFORMAÇÕES DIVERSAS NAS TELAS

16. TAREFAS SECUNDÁRIAS DOS OPERADORES TAREFAS SECUNDÁRIAS PODEM CRIAR SOBRECARGA DE TRABALHO E DESVIAR A ATENÇÃO DE TAREFAS PRINCIPAIS, TORNANDO-AS DIFÍCEIS DE COMPLETAR I&C DEGRADADA PROVOCA AUMENTO DO GERENCIAMENTO DA INTERFACE, p.e. QUANDO AS INFORMAÇÕES ESTÃO CORROMPIDAS, FAZENDO COM QUE OS OPERADORES NAVEGUEM EM MONITORES ADICIONAIS

17. DEGRADAÇÃO DOS SUBSISTEMAS SENSORIAIS E DE MONITORAÇÃO DEGRADAÇÕES SENSORIAIS PODE FAZER COM QUE AS TELAS SEJAM DE DIFÍCIL COMPREENSÃO. TELAS GRÁFICAS, ESPECIALMENTE AS QUE UTILIZAM RECURSOS EMERGENTES, PARECEM MAIS SUJEITOS À EFEITOS DE DEGRADAÇÃO DO SENSOR DO QUE AS TELAS MAIS TRADICIONAIS OS OPERADORES TÊM DIFICULDADE EM DISTINGUIR AS FALHAS DE PROCESSO DAS FALHAS DE SENSORES .

18. DEGRADAÇÃO DOS SUBSISTEMAS SENSORIAIS E DE MONITORAÇÃO A MELHORIA DA INSTRUMENTAÇÃO PODE AJUDAR OS OPERADORES A DISTINGUIR ENTRE PROBLEMAS DE SENSORES E PERTURBAÇÕES NO PROCESSO, APOIANDO COMPARAÇÕES COM PARÂMETROS DE DESEMPENHO RELACIONADOS O DESEMPENHO DA TAREFA DOS OPERADORES PIORA À MEDIDA QUE A MAGNITUDE DO RUÍDO DOS SENSORES AUMENTA OPERADORES MUDAM SUAS ESTRATÉGIAS DE CONTROLE QUANDO O RUÍDO DO SENSOR AUMENTA

19. ESTRATÉGIAS PARA MINIMIZAR O IMPACTO DA DEGRADAÇÃO DOS SUBSISTEMAS SENSORIAIS E DE MONITORAÇÃO ANALISAR O IMPACTO DE FALHAS DE I & C EM SIHSs SISTEMAS DE SUPORTE PARA MONITORAMENTO DE I & C E DETECÇÃO DAS CONDIÇÕES DEGRADADAS ASSEGURAR A QUALIDADE DA INFORMAÇÃO NO SIHSs DISTINGUIR FONTES DE INFORMAÇÃO SENSORIADAS DIRETAMENTE DAQUELAS QUE SÃO DERIVADAS (INDIRETAS)

20. ATHEANA (MÉTODO DE SEGUNDA GERAÇÃO) CONTEXTO INDUTOR DO ERRO ANÁLISE PROBABILÍSTICA DE SEGURANÇA ERRO HUMANO Projeto Operação e Manutenção da Instalação Decisões de Gerência de Risco Fatores de Forma de Desempenho Mecanismos de Erros Ações Inseguras Eventos de Falhas Humanas Condições da Instalação (CONTEXTO) Definição do Cenário

21. DEGRADAÇÃO DOS SUBSISTEMAS DE CONTROLE/AUTOMAÇÃO E COMUNICAÇÃO I • EXCESSO DE CONFIANÇA DOS OPERADORES NOS SISTEMAS DE CONTROLE/AUTOMAÇÃO EM FACE DA SOBRECARGA DE TRABALHO – OPERADORES E SISTEMAS AUTOMÁTICOS DIVIDEM RESPONSABILIDADE EM TAREFAS INDEPENDENTES – DIFICULDADE EM RECONHECER DEGRADAÇÃO • SE A AUTOMAÇÃO FALHA INTEGRALMENTE, OS OPERADORES TERÃO QUE FAZER TUDO MANUALMENTE – DESAFIADOR PORQUE ESTÃO EM AMBIENTE NÃO FAMILIAR • TRANSIÇÕES AUTOMATISMO PARA MANUAL EXIGEM ANÁLISE DA SITUAÇÃO NÃO-FAMILIAR EM AMBIENTE DE SOBRECARGA E ESTRESSE

22. DEGRADAÇÃO DOS SUBSISTEMAS DE CONTROLE/AUTOMAÇÃO E COMUNICAÇÃO II • OS PROCEDIMENTOS COMPUTADORIZADOS (PCs) POSSIBILITAM QUE A ATIVIDADE DE SEGUIMENTO DO PROCEDIMENTO OPERACIONAL POSSA SER FEITO POR UMA PESSOA AO INVÉS DE TRÊS COMO USUALMENTE SE FAZ • A TRANSIÇÃO DE CPs PARA PROCEDIMENTOS ESCRITOS PODE SER TRAUMÁTICA, POIS EXIGIRÁ NOVAMENTE A INTERAÇÃO, COORDENAÇÃO E COMUNICAÇÃO ENTRE 3 PESSOAS, COM NOVAS RESPONSABILIDADES E TAREFAS • ERROS INVOLVENDO CONTROLE E AUTOMAÇÃO TENDE A SER MAIS CATASTRÓFICA PORQUE NORMALMENTE NÃO SE INFORMA NA INTERFACE HUMANO – SISTEMA DETALHES SOBRE OS OBJETIVOS, ATIVIDADES EM CURSO E DESEMPENHO DOS SISTEMAS AUTOMÁTICOS DE CONTROLE

23. DEGRADAÇÃO DOS SUBSISTEMAS DE CONTROLE/AUTOMAÇÃO E COMUNICAÇÃO III • OS SISTEMAS DE CONTROLE E AUTOMAÇÃO SÃO INFLUENCIADOS TAMBÉM PELO SUBSISTEMA DE COMUNICAÇÃO , PRINCIPALMENTE PELOS ATRASOS NA TRANSMISSÃO DAS INFORMAÇÕES E SOBRECARGA NA QUANTIDADE DE INFORMAÇÃO A SER TRANSMITIDA • tempo de quando uma ação de controle é executada na IHS até quando o sinal atinge o sistema de atuação - comunicação • o tempo que leva para que o sistema mude em resposta à ação de controle - processo • tempo entre a alteração na resposta do sistema e a mudança no IHS (feedback - realimentação) - comunicação

24. DEGRADAÇÃO DOS SUBSISTEMAS DE CONTROLE/AUTOMAÇÃO E COMUNICAÇÃO IV • Como os atrasos aumentam há uma diminuição no controle de circuito fechado (controle com base em feedback) e uma mudança para estratégias de controle em malha aberta mais difícil (com base em previsão) que cada vez mais desestabiliza o controle • Quando a estabilidade é boa, as respostas do sistema e entradas de controle do operador são acoplados firmemente; uma vez que diminui, a resposta do sistema progressivamente se torna mais imprevisível. • À medida que o tempo entre a entrada do operador e resposta do sistema aumenta, o controle de circuito fechado torna-se mais instável. Ou seja, existe uma queda no valor de feedback, como um meio para que os operadores possam regular as suas ações de controle.

25. DEGRADAÇÃO DOS SUBSISTEMAS DE CONTROLE/AUTOMAÇÃO E COMUNICAÇÃO (EXEMPLO I) • Um operador pode ter iniciado uma ação de controle para aumentar a velocidade da bomba para um valor especificado, mas tendo observado nenhuma mudança na velocidade por causa de um atraso de tempo, o operador pode voltar a tomar outra ação para aumentar a velocidade da bomba. As duas entradas de controle causam um aumento na velocidade da bomba para um valor muito maior do que o operador pretendia. • Consequentemente, o operador toma então uma ação de controle para reduzir a velocidade, mas, novamente, devido a atrasos de tempo, nenhuma alteração é observada; em seguida, o operador repete a mesma ação gerando uma maior diminuição na velocidade da bomba do que a desejada. O controle do operador da bomba tornou-se instável. • Quando tais atrasos desestabilizam o controle de circuito fechado, muitas vezes levam a mudar para uma estratégia de controle em malha aberta mais difícil; isto é, o controle com base em previsão, em vez de realimentação. É uma abordagem cognitivamente mais exigente, baseada no conhecimento para controlar (Wickens, 1984).

26. DEGRADAÇÃO DOS SUBSISTEMAS DE CONTROLE/AUTOMAÇÃO E COMUNICAÇÃO (EXEMPLO II) • Lorenzo (1990) deu o seguinte exemplo do efeito de feedback atrasado sobre o comportamento do operador em uma fábrica de produtos químicos: • Um sistema de controle baseado em computador foi tão sobrecarregado por um processo com grave distúrbio que deixou de atualizar os terminais de vídeo. Sem saber que a informação apresentada era imprecisa, os operadores inadvertidamente posicionaram válvulas em seus limites de totalmente abertas ou fechadas, enquanto esperavam pela exibição de alguma resposta nas telas dos terminais. As válvulas mal-posicionados pioraram o distúrbio, eventualmente causando um desligamento de emergência da unidade quando algumas válvulas de alívio atuaram.

27. ESTRATÉGIAS PARA MINIMIZAR O IMPACTO DA DEGRADAÇÃO DOS SUBSISTEMAS DE CONTROLE/AUTOMAÇÃO E COMUNICAÇÃO I 1. Suporte no treinamento para detecção e gerência de I&C degradados • entender como e por que pode degradar ou falhar • entender as implicações de tais degradações para a IHS e no seu próprio desempenho • monitorar o desempenho do sistema de I & C de modo a detectar e reconhecer degradações via sala de controle no SIHS • executar ações compensatórias/de recuperação, talvez com o uso de procedimentos • transição suave para sistemas de backup quando necessário • entender como os papéis e responsabilidades dos membros da equipe de operação e do conceito de operações são afetados

28. ESTRATÉGIAS PARA MINIMIZAR O IMPACTO DA DEGRADAÇÃO DOS SUBSISTEMAS DE CONTROLE/AUTOMAÇÃO E COMUNICAÇÃO II 2. SISTEMA DE SUPORTE PARA ATRASOS (TIME DELAYS) Para compensá-los, aos operadores são dadas telas preditivas que fornecem realimentação imediata aos operadores sobre o efeito de suas ações de controle no desempenho do sistema. As previsões são baseadas em modelos que determinam que efeitos podem ocorrer. Telas preditivas exibem efetivamente questões de desempenho humano decorrentes de atrasos (Wu, Wang, & Wang, 2006; Xiong, Li, & Xie, 2006).

29. EXEMPLOS DE FALHAS DE SISTEMAS DIGITAIS I Um incidente envolveu um erro de software com dados corrompidos em uma usina nuclear coreana Uljin, Unidade 3. A falha envolveu um circuito integrado de aplicação específica em um módulo de interface de rede do sistema de controle de planta digital (DPCS). A falha fez com que vários componentes de não segurança se comportarem de forma inesperada, por exemplo, bombas de partida e as válvulas de reposicionamento, sem que houvesse um comando para isso. Os operadores detectaram e reagiram à situação, sem quaisquer consequências negativas. O problema foi devido a um erro de software de causa comum, que foi corrigido. Além disso, um alarme foi instalado na sala de controle principal para alertar os operadores de possíveis falhas da rede, e um procedimento escrito para lidar com tais situações

30. EXEMPLOS DE FALHAS DE SISTEMAS DIGITAIS II Sinal de Injeção de Segurança Inadvertido com Falha no Restabelecimento Aqui, a falha de um único componente (diodo zener) dentro de placa lógica de um sistema de proteção causou um transiente incomum em que foram necessárias várias ações manuais locais para rearmar o sinal inválido e fixar o equipamento de segurança. O díodo de Zener que falhou foi localizado no circuito associado com a iniciação automática de um sistema de segurança. Na sala de controle principal, a equipe de operação estava ciente de que o sistema de segurança fora iniciado, e determinou que era um sinal falso (não é válido). No entanto, quando eles rearmaram o sinal de iniciação, os relés não restabeleceram tudo o que os operadores esperavam porque a tensão tinha sido degradada pelo diodo falhado. Na verdade, o sinal de iniciação para um trem de segurança de injeção não pode ser rearmado (estava "selado") A falha do diodo degradou o subsistema de automação / controle e impediu que os operadores respondessem pela tomada de ações corretivas através de seus controles. Consequentemente, eles perderam o conhecimento da situação e da sua capacidade para corrigir a situação anormal.

31. EXEMPLOS DE FALHAS DE SISTEMAS DIGITAIS III Comunicações Ethernet Degradadas A informação NRC 2007-15 (NRC, 2007) descreve um evento que envolve um sistema de comunicação Ethernet sobrecarregado ligado ao sistema de controle de uma bomba de recirculação. O sistema de comunicação colapsou por causa do tráfego de dados em excesso. Quando a degradação ocorreu, o sinal de demanda de controle de velocidade da bomba de recirculação caiu para zero e houve diminuição do fluxo da bomba, resultando em um desligamento da planta devido à alta potência, com condição de baixo fluxo. As duas unidades de freqüência variável (VFDs) que regulam a velocidade das bombas de recirculação falharam o que implicou na necessidade de um desligamento manual. Os controladores da unidade de freqüência variável (VFD), conectados à rede do sistema de computador integrada da planta, falharam devido a excesso de tráfego na rede. O subsistema de comunicação degradado afetou os controles (controles de velocidade da bomba de recirculação) e subsistemas de informação IHS; assim, o subsistema IHS não deu aos operadores nenhuma indicação de que a Ethernet estava experimentando o tráfego de dados pesado, e que podia estar degradada (ou seja, baixou a percepção da situação). A equipe também perdeu sua capacidade da implementação da resposta apropriada, porque eles não podiam controlar a velocidade e o fluxo da bomba de recirculação. A ação corretiva do Licenciado incluiu a instalação de um dispositivo de rede, firewall, que limita as conexões e tráfego para todos os dispositivos potencialmente sensíveis da rede.

32. CRITÉRIOS EM NORMAS I NUREG-0711 – Human Factors Engineering, Seção 4.4, diretriz 4, afirma que a Descrição de uma função automática deve incluir • objetivo da função • condições que indicam quando a função é necessária • parâmetros que indicam que a função está disponível • parâmetros que indicam que a função está funcionando • parâmetros que indicam que a função está atingindo o seu objetivo • parâmetros que indicam que a operação da função pode ou deve ser encerrada Estas informações devem estar disponíveis aos operadores quando do monitoramento de funções automáticas.

33. CRITÉRIOS EM NORMAS II Duez e Jamieson (2006) sugeriu a apresentação de informações em diferentes níveis de abstração para incluir: • dados sobre o propósito da automação, ou seja, a função para a qual foi projetado • dados sobre o processo da automação, isto é, como atende o seu objetivo, por exemplo, os algoritmos usados • dados sobre o desempenho da automação, ou seja, os resultados do processo de automação

34. HIERARQUIA DE FUNÇÕES – NÍVEIS DE ABSTRAÇÃO • PROPÓSITO FUNCIONAL – PRODUÇÃO E SEGURANÇA • FUNÇÃO ABSTRATA - ESTRUTURA CAUSAL COM FLUXOS DE ENERGIA, MASSA E INFORMAÇÃO • FUNÇÕES GENERALIZADAS – PROCESSOS GENÉRICOS OU “PADRÕES” • FUNÇÃO FÍSICA – PROCESSOS FÍSICOS DE COMPONENTES E SISTEMAS ELÉTRICOS, MECÂNICOS E QUÍMICOS • FORMA FÍSICA – O EQUIPAMENTO OU COMPONENTE EM SI COM AS SUAS CARACTEÍSTICAS E ESPECIFICAÇÕES • O NÍVEL ACIMA CONTÉM AS RESTRIÇÕES E O PORQUÊ (WHY); O NÍVEL ABAIXO OS MODOS (HOW) DO QUE ACONTECEU EM DETERMINADO NÍVEL (WHAT)

35. CRITÉRIOS EM NORMAS III Da mesma forma, Lee and See (2004) sugeriram que o SIHS deve fornecer informações que • garantam a confiança adequada na automação, como a confiabilidade da automação • possibilitem a avaliação do operador dos recursos da automação sob diferentes situações em que essas habilidades variam • mostram o desempenho passado da automação para o uso atual • forneçam detalhes específicos sobre como a automação está funcionando, por exemplo, o processo e algoritmos de automação de forma clara e abrangente revelando resultados intermediários para os operadores

36. CONCLUSÕES • A degradação de I & C digital ocorre regularmente, e previsivelmente aumenta em freqüência à medida que mais sistemas são utilizados • degradações ocorrem em todos os subsistemas de I & C • a deterioração de I & Cs digitais pode ter consequências importantes, ou seja, desligamentos do reator, e impactos nos sistemas de segurança • cerca de um terço dos eventos envolvendo IHS indicam a possibilidade da falha digital de I & C em reduzir a capacidade do operador para monitorar a planta e responder ao evento • impactos foram sentidos em áreas-chave, incluindo a sala de controle principal, o centro de suporte técnico e de emergência e os centros locais de operações Os sistemas digitais têm alarmes para falhas do sistema, mas os alarmes podem não sinalizar todas as condições degradadas.

37. CONCLUSÕES • Necessidade de estabelecer critérios de segurança específicos em Norma para sistemas digitais e seu impacto no desempenho humano

38. O Mundo sem Fatores Humanos AGORA, LEMBRE-SE, ESTE LIGA O AR-CONDICIONADO E ESTE AQUI DESTRÓI O MUNDO!

39. FIM