13 Kazuo Miura

Prévia do material em texto

341 �
Bolet im técn ico da Produção de Pet ró leo, R io de Jane i ro - vo lume 1, nº 2 , p. 341-367 �
� Kazuo Miura � Celso Kazuyuki Morooka � José Ricardo Pelaquim Mendes � Ivan Rizzo Guilherme
The main concern with activities developed in oil and gas well 
construction is safety. The safety assessment during the well construc-
tion process is not a trivial issue. Today’s risk evaluation approaches are
based on static analyses of existent systems, not allowing a dynamic
evaluation of the risk at each alteration of circumstances. This work 
proposes the use of quantitative and dynamic risk assessment (QDRA) 
to assess the degree of safety of each planned job. The QDRA is a type
of "safe job analysis" approach, developed to quantify the degree of
safety in the entire well construction process, as well as during mainte-
nance activities. The QDRA is intended to be applied during the planning
stages of well construction and maintenance, where the effects of 
hazard on the job sequence are important unknowns. The definitions 
of "barrier" and "barriers integrated set (BIS)”, as well as a modeling 
technique showing their relationships, are presented.
(Expanded abstract available at the end of the paper).
A segurança operacional está entre as principais preocupações durante
o desenvolvimento de atividades de construção de poços de petróleo. 
A avaliação da segurança durante o processo de construção de poço não
é um assunto trivial. Os métodos atuais de avaliação de risco são baseados
em análises de sistemas estáticos, ou seja, que não alteram o seu estado
com o tempo. Esses métodos não permitem uma análise dinâmica do risco
para cada alteração do estado. Neste trabalho é apresentada uma meto-
dologia para a avaliação dinâmica e quantitativa de risco (ADQR) que per-
mite avaliar o grau de segurança para cada tarefa planejada, consideran-
PALAVRAS-CHAVE:
� perfuração
� completação
� restauração
� abandono
� poço marítimo
� segurança de poço
� barreira de segurança 
KEYWORDS:
� drilling
� completion
� restoration
� abandonment
� offshore wells
� well security
� barrier security
r esumo
abst ract
Uma metodologia para a avaliação da 
segurança operacional em poços marítimos
/Methodology to evaluate operational safety 
in offshore wells
� Uma metodolog ia para a ava l iação da segurança operac iona l em poços mar í t imos – Miura et a l .
do-se o impacto dessas tarefas na mudança do estado.
A ADQR é uma metodologia desenvolvida com o pro-
pósito de se quantificar o grau de segurança para to-
das as atividades de construção e de manutenção de
um poço. A ADQR é usada na fase de planejamento da
construção e da manutenção de poços, onde os efeitos
dos riscos numa seqüência de tarefas são desconheci-
dos. Na definição da ADQR, o conceito de “barreira de
segurança” é redefinido e um conceito novo é intro-
duzido, o de conjunto solidário de barreiras (CSB). Fi-
nalmente, uma ferramenta computacional que permite
a aplicação da ADQR foi desenvolvida e os resultados
são apresentados. 
in t rodução
As metodologias para análise de risco são ampla-
mente utilizadas na indústria de petróleo e gás. Tais
metodologias, na maioria dos casos, são utilizadas para
a análise de rentabilidade de um portafólio de projeto,
onde cada projeto é avaliado em termos de sua proba-
bilidade de alcançar a produção comercial e, conse-
qüentemente, rentabilidade (Yu et al. 1990; Suslick e
Furtado, 2001; Accioly e Chiyoshi, 2004; Divi, 2004;
Ross, 2004; Schiozer et al. 2004; Suslick e Schiozer,
2004; Walls, 2004; Zabalza-Mezghani et al. 2004). Al-
ternativamente, o termo risco pode também significar:
uma análise de viabilidade que lida com a incerteza
associada a aspectos técnicos (Ursin, 2000; Moos et al.
2003; Van der Poel e Jansen, 2004; Yeten et al. 2004a;
Yeten et al. 2004b), uma análise de confiabilidade que
lida com disponibilidade de sistemas e equipamentos
(Tanaka, 1989; Sachon e Paté Cornell, 2004) ou, ainda,
um estudo de perigos e de operabilidade de um siste-
ma como, por exemplo, uma planta de processo ope-
rada por pessoas (Schubert et al. 2002; Holand et al.
2004). Não foi verificado na literatura até o momento
um estudo relacionado ao método da "análise de tare-
fa segura"(Norwegian Technology Standards Institution,
1998), como é proposto neste trabalho. 
O desenvolvimento de um campo de petróleo ou gás
traduz-se, invariavelmente, em grandes investimentos
associados à construção de poços. Altos riscos opera-
cionais são inerentes a qualquer construção de poço,
devido às incertezas e ao desconhecimento relacionados
tanto à modelagem geológica quanto às propriedades
de rochas e fluidos na rocha-reservatório portadora de
hidrocarbonetos. Embora os riscos não possam ser elimi-
nados, eles certamente podem ser reduzidos usando-se
um método apropriado de análise de segurança durante
o projeto e o planejamento das fases. 
Em geral, as metodologias de avaliação de risco
consideram o estado do sistema como sendo estático
e consistem em quantificar os riscos para os diversos
componentes e consolidá-los para o sistema. Os méto-
dos probabilísticos são os mais utilizados para esta fi-
nalidade. Um método dinâmico de avaliação de risco é
apropriado quando o próprio sistema muda com o pas-
sar do tempo, como ocorre no caso de um poço de pe-
tróleo em processo de construção ou de manutenção.
Por exemplo, à medida que a perfuração de um poço
(sistema) avança e suas fases são finalizadas, sua pro-
fundidade total aumenta. A massa específica do fluido
de perfuração deve ser corrigida no decorrer da per-
furação, de modo a se manter no interior da janela de
perfuração que varia com a profundidade. Na primeira
fase da perfuração, o poço é perfurado através de ca-
madas superficiais que podem não ser suficientemente
competentes para resistir à pressão exercida pelo flui-
do de perfuração. Ela está associada a sua maior massa
específica, necessária para perfurar as camadas mais
profundas. Problemas de estabilidade de poço ocorre-
riam caso o revestimento de superfície não tivesse des-
cido e cimentado na profundidade apropriada.
É proposto aqui um método denominado avaliação
dinâmica e quantitativa de risco (ADQR), que visa
avaliar o grau de segurança das operações em cada
uma das atividades planejadas nas diferentes etapas da
construção ou manutenção de poço. Para se imple-
mentar a metodologia, três ações são propostas: 
• a redefinição do conceito de barreira de segurança;
• a definição de um novo conceito, o de conjunto so-
lidário de barreiras (CSB); 
• a adaptação de uma técnica de modelagem para se
explicitar as relações entre as barreiras e CSB. Desta
forma, usando-se a técnica de modelagem e conside-
rando-se um conjunto de barreiras ativas, pode-se
obter a previsão de quantos CSB serão ativados.
� 342
343 �
Bolet im técn ico da Produção de Pet ró leo, R io de Jane i ro - vo lume 1, nº 2 , p. 341-367 �
Um exemplo de aplicação é apresentado, ilustran-
do-se como a metodologia permite calcular o grau de
segurança operacional de um programa de restauração
de um poço. Neste exemplo, é calculada a quantidade
de CSB disponíveis para cada operação planejada. Note
que qualquer programa de intervenção – seja de perfu-
ração, avaliação de formação, completação, restaura-
ção ou abandono – pode ser usado neste contexto.
Finalmente, este artigo mostra o resultado do de-
senvolvimento de dois protótipos: um baseado na téc-
nica de modelagem de grafo (Miura, 1992) e outro ba-
seado no algoritmo de cálculo de CSB. Os protótipos
dão suporte ao planejador do poço nas seguintes 
atividades: 
• modelar no contexto do poço as barreiras de segu-
rança e CSB; 
• calcular, sem esforço adicional, o grau de segurança
operacional para todos os passos da intervenção do
poço;
• analisar os riscos operacionais, a cada passoda in-
tervenção do poço; 
• conhecer os riscos associados a cada intervenção. 
Resumindo, propõe-se demonstrar a eficácia do mé-
todo ADQR por meio dos seguintes passos:
1. Definir e modelar as barreiras existentes e os CSB;
2. Definir os critérios de aceitabilidade baseados nos
CSB;
3. Construir a ontologia de operação e mapear as
operações;
4. Mapear o impacto das operações nas barreiras;
5. Especificar o algoritmo de quantificação de CSB;
6. Exemplificar a aplicação da metodologia, demons-
trando sua aplicabilidade num caso real de campo.
Cada um dos tópicos listados será detalhado 
a seguir.
barre i ra de segurança 
e con junto so l idár io 
de bar re i ras (CSB)
Na engenharia de poço, o conceito de barreira de
segurança é usado desde a década de 80, com o obje-
tivo de mitigar os riscos operacionais. A indústria do
petróleo apresenta vários exemplos de conceito de bar-
reira de segurança: Takashina, 1989; Rike et al. 1993;
Chambre Syndicale de L’Exploration-Production D’Hydro-
carbures, 1998; Brasil, 2002; Petrobras, 1998; Holand,
1996; Norwegian Technology Standards Institution,
1998; International Organization for Standardization,
2003a; International Organization for Standardization,
2003b.
Um ponto comum nas definições disponíveis para
barreira de segurança é quanto ao seu objetivo. Este
pode ser traduzido como a preocupação de se identificar
uma barreira para evitar a erupção de um poço, ou seja,
um fluxo não controlado de fluido da formação para o
meio ambiente. As definições de barreira disponíveis não
permitem identificar a relação entre as diversas barreiras,
quanto à independência mútua entre elas, impossibili-
tando a quantificação das barreiras. Ou seja, utilizando
as definições existentes só é possivel realizar uma análise
qualitativa de risco. Na próxima seção, define-se o con-
ceito de barreira que supera esta restrição. 
barreira de segurança
Neste trabalho, define-se uma barreira de segurança
como sendo uma separação física, composta por um ou
mais elementos, capaz de prevenir ou isolar um evento
topo indesejável (ou evento crítico indesejável, para
mais detalhes, veja fault tree analysis em Henley e Kuma-
moto,1981), ao longo de um caminho específico entre
o sistema sob estudo e o meio ambiente.
Considerando esse conceito, define-se barreira de se-
gurança para um poço, como a separação física capaz
de prevenir fluxo de fluido não controlado de um interva-
lo permeável (formação ou zona produtora) para o meio
ambiente ou para a superfície através de um caminho
� 344
� Uma metodolog ia para a ava l iação da segurança operac iona l em poços mar í t imos – Miura et a l .
específico. A figura 1 ilustra dois exemplos de barreira de
segurança para um poço. A primeira barreira é um “tam-
pão de cimento” no caminho “poço aberto” e a segun-
da é uma válvula de segurança de subsuperfície, contro-
lada na superfície (surface controlled subsurface safety
valve – SCSSV), no caminho “interior da tubulação”.
A figura 1 também mostra todos os caminhos pos-
síveis, entre o intervalo permeável (zona ou formação
com hidrocarbonetos) e o meio ambiente. Esses cami-
nhos representam as possíveis rotas para o fluxo de flui-
do, mapeados para todas as atividades relacionadas à
construção e à manutenção de um poço. A “camada
sem competência” e a “camada permeável até a super-
fície” estão relacionadas a camadas de rochas simples-
mente atravessadas pelo poço. A “camada sem com-
petência” é, normalmente, uma camada rasa (perto da
superfície ou do fundo do mar) de rocha que não tem a
resistência mecânica suficiente para suportar as pressões
necessárias às porções mais profundas do poço, en-
quanto que a “camada permeável até a superfície” é a
passagem do poço através de uma camada permeável
que vai até a superfície, constituindo-se um caminho al-
ternativo pelo qual o fluido do poço pode escoar. O “Po-
ço aberto” é o estado do poço perfurado até uma certa
profundidade; nesta condição, o poço pode apresentar
um problema de instabilidade, e um caminho pode ser
criado entre o reservatório e o meio ambiente. O “Anu-
lar entre o revestimento e o poço” é o caminho pelo
espaço anular entre o revestimento mais externo e o po-
ço perfurado, normalmente selado (vedado) com cimen-
to para evitar qualquer fluxo de fluido. O “Anular entre
revestimentos” é o caminho pelo anular entre dois reves-
timentos concêntricos, normalmente preenchido com
cimento até uma altura de, pelo menos, 60 m. O “Inte-
rior do revestimento”, também chamado de poço reves-
tido, é o caminho mais seguro durante toda a perfura-
ção. O “Anular entre coluna e revestimento” e o “Inte-
rior da coluna” são caminhos que ocorrem quando uma
coluna é descida dentro do poço. E assim, mapeando-se
todos os possíveis caminhos e identificando-se barreiras
para cada caminho, pode-se evitar as omissões involun-
tárias e garantir a segurança de todo o sistema.
Note-se que, apesar de ter sido mapeado oito ca-
minhos possíveis, cada cenário de poço para sua cons-
trução ou sua manutenção, trata, simultaneamente, de
apenas três caminhos denominados, respectivamente,
de “coluna”, “poço” e “anular”. A coluna seria o cami-
nho do “interior da coluna”; o poço envolveria os ca-
minhos através do “interior do revestimento”, ou ain-
da, o “anular entre coluna e revestimento”; o anular
cobriria todos outros caminhos mapeados.
Um conceito necessário para a viabilização da meto-
dologia proposta é o da independência mútua das bar-
reiras. Este conceito permite identificar o limite (ou con-
torno) de uma barreira, o que a distingue das demais
para ser quantificada. Desta forma, define-se o conceito
de independência mútua entre barreiras como: “duas
barreiras são mutuamente independentes se não há
qualquer interseção entre seus componentes”.
Formalmente, dadas n barreiras B1, B2, …,Bn, com
seus conjuntos de elementos Bi={Ei1, Ei2, ..., Ein}, afirma-
se que as barreiras são mutuamente independentes se
B1 ∩ B2 ∩ … ∩ Bn= {φ}.
Se todos os caminhos entre o intervalo permeável e
a superfície fossem paralelos, como representado na
Figura 1 - Esquema com todos os caminhos
possíveis para o fluxo de fluido do poço
entre a zona com hidrocarboneto e o meio
ambiente ao redor do poço, indicando dois
exemplos de barreiras de segurança.
Figure 1 - Schematic with all possible flow
path from hydrocarbon zone to
environment around the well, showing
two examples of safety barriers.
345 �
Bolet im técn ico da Produção de Pet ró leo, R io de Jane i ro - vo lume 1, nº 2 , p. 341-367 �
figura 1, as duas definições anteriores (de barreira e de
independência mútua das barreiras) seriam suficientes
para o cálculo do grau de segurança de todo o sistema
(ou poço). No entanto, em geral, há a presença de ata-
lhos entre os caminhos.
o tratamento de atalhos
O “atalho” ou “desvio” é definido como uma jun-
ção que permite a comunicação entre caminhos inde-
pendentes, como, por exemplo, entre a coluna e o po-
ço ou entre o poço e seu anular. 
A definição proposta para barreira não previne a
ocorrência do evento topo indesejável através de ata-
lhos entre os caminhos mapeados, como mostrados na
figura 2.
Embora exista a barreira “tampão de cimento”,
como mostrado na figura 1, pode ocorrer um atalho do
caminho “poço aberto" para o caminho “camada per-
meável até a superfície” devido a uma fratura de for-
mação decorrente, por exemplo, da pressão excessiva
durante a execução do tampão de cimento.
Na figura 2 á apresentado também um outro atalho
do caminho “interior da coluna”, que apesar de ter a
barreira “SCSSV”, poderia encontrar o caminho “anu-
lar entre coluna e revestimento”, decorrente de um
vazamento na coluna abaixo da barreira.
Para se superar este problema de atalho, apresenta-
se a definição de conjunto solidário de barreiras de
segurança(CSB).
conjunto solidário de barreiras de
segurança (CSB)
O conjunto solidário de barreiras de segurança (CSB)
é definido como “um conjunto de uma ou mais bar-
reiras, com o objetivo de se prevenir que o evento de
topo indesejável ocorra, considerando-se todos os cami-
nhos possíveis entre o sistema e o meio ambiente”.
Logo, o CSB de um poço também pode ser definido
como “um conjunto de uma ou mais barreiras com o
objetivo de se prevenir o fluxo não controlado de flui-
do de um intervalo permeável (formação ou zona pro-
dutora) para o meio ambiente, em geral, ou para a su-
perfície, considerando-se todos os caminhos possí-
veis”, como pode ser visto na figura 3.
Na figura 3 é exibido o CSB mostrando que as bar-
reiras devem estar presentes para todos os caminhos
possíveis. E, além disso, também devem ser solidárias
(ou integradas) entre si, isto é, as barreiras devem tam-
bém prevenir os possíveis “atalhos” entre caminhos.
Um exemplo de CSB, durante as intervenções para
a restauração de um poço, seria o conjunto composto
de obturador (packer) de produção para o caminho
Figura 2 - Atalhos entre os caminhos.
Figure 2 - Shortcuts between the paths.
Figura 3 - Conjunto solidário de barreiras de segurança (CSB).
Figure 3 - Safety barriers integrated set (BIS).
� 346
� Uma metodolog ia para a ava l iação da segurança operac iona l em poços mar í t imos – Miura et a l .
“poço”; a válvula de pé (standing valve) com o peso de
fluido compatível com a pressão estática para o cami-
nho “coluna”; e o revestimento de produção, testado
acima do obturador para o caminho “anular”.
Outro exemplo de CSB, em um poço abandonado,
seria o tampão de cimento no revestimento para o ca-
minho “poço”; com o anular cimentado para o cami-
nho “anular”.
Com as definições de CSB e barreira de segurança,
tem-se os meios para se identificar um conjunto com-
posto de barreiras solidárias entre si, para todos os ca-
minhos possíveis. Contudo, não se pode distinguir um
CSB de outro, sem a noção de independência do CSB.
O mesmo conceito da independência de barreira
pode ser estendido para a independência de um CSB,
isto é, “dois CSB são mutuamente independentes, se a
interseção entre seus componentes (isto é, barreiras) é
um conjunto vazio". Formalmente, isso pode ser de-
finido da seguinte forma: dados n CSB CSB1, CSB2, ...,
CSBn com seus conjuntos de barreiras, CSBi = {Bi1,Bi2,
..., Bin} , então é dito que os CSB são mutuamente inde-
pendentes se CSB1 ∩ CSB2 ∩ … ∩ CSBn= {φ}.
Com a definição de barreira, de CSB e de inde-
pendência de CSB, a quantidade de CSB indepen-
dentes disponíveis para cada cenário pode ser calcula-
da. Destaca-se que as barreiras e os CSB são compos-
tos de elementos com algum tipo de relação de
dependência entre si, pois eles não são apenas conjun-
tos, mas sim sistemas, ou seja, além de serem compos-
tos por elementos, estes elementos mantêm uma rela-
ção funcional entre si dentro de um sistema. Para mo-
delar essas relações, uma técnica de representação grá-
fica denominada de "Grafo de Conjunto" é apresenta-
da na próxima seção.
modelagem de barreiras e CSB
usando "grafo de conjunto" 
A barreira e o CSB podem ser modelados por uma
técnica de representação gráfica denominada grafo de
conjunto (GC), baseada na combinação e adaptação
das técnicas de grafo de conhecimento (Miura, 1992;
Morooka et al. 1993) e da análise de árvore de falha
(fault tree analysis – FTA, Henley e Kumamoto, 1981).
A diferença principal entre o GC e a FTA está na carac-
terização do evento topo. Enquanto evento topo é de-
finido como o evento crítico indesejável na FTA, no gra-
fo de conjunto, o evento topo é definido como sendo
a disponibilidade, a prontidão ou a confiabilidade de
todo o sistema.
O modelo do GC permite decompor o CSB num
conjunto de barreiras relacionadas entre si, sendo cada
barreira composta por um conjunto de componentes
também relacionados entre si.
O GC é um grafo direcional composto de três cama-
das que representam o processo de raciocínio envolvi-
do, onde:
• cada nó na camada de entrada representa um item
de dados de entrada e corresponde à informação a
ser propagada no grafo. Os nós de entrada são re-
presentados pelo símbolo Ii;
• o único nó na camada de saída representa o resul-
tado possível do grafo. O nó de saída é representa-
do pelo símbolo O;
• os nós associativos (portas "E" e "OU") na camada
intermediária representam os operadores que agre-
gam os dados de entrada ou os resultados gerados
pela agregação de outros nós. O portão "E" é ex-
presso por um operador mínimo, multiplicação ou
qualquer T-norma. O portão "OU" pode ser expres-
so por um operador máximo, adição ou qualquer 
S-norma (Pedrycz e Gomide, 1998). Estes nós asso-
ciativos são representados pelo símbolo Ai;
• as relações entre os nós da camada de entrada e os
da camada intermediária, bem como entre os nós
da camada intermediária e o nó da camada de
saída, são representadas pelos arcos (linhas direcio-
nadas) que os unem. 
Logo, o grafo de conjunto (G) pode ser definido por
G: Ii x Aj x O → [0,1], onde os estados de elementos de
entrada {Ii } podem assumir os valores no intervalo [0,1],
que são agregados por operadores lógicos {Aj}, geran-
do um valor no intervalo [0,1], associado ao estado de
elemento de saída {O}.
O estado de barreira é conferido usando-se o con-
ceito de disponibilidade. A disponibilidade de um equipa-
mento é caracterizada pela probabilidade de tê-lo ope-
rante. Se a probabilidade de falha da barreira é definida
347 �
Bolet im técn ico da Produção de Pet ró leo, R io de Jane i ro - vo lume 1, nº 2 , p. 341-367 �
Onde:
01: conector de cabeça de poço;
02: alojamento/corpo do BOP;
03: gavetas de tubo;
04: gaveta cega e cisalhante;
05: BOP anular;
06: perfil para conector de LMRP;
07: linha de amortecimento;
08: válvulas de amortecimento;
09: linha de choke;
10: válvulas de choke.
Na figura 4 é representado um BOP submarino com
três gavetas de tubo (superior, intermediário e inferior),
uma gaveta cega cisalhante e um BOP anular. Normal-
mente, as gavetas intermediária e inferior podem fechar
(e vedar, impedindo fluxo no interior do BOP) ao redor
da mesma coluna de perfuração em operação, e a ga-
veta superior pode fechar ao redor de colunas de dife-
rentes diâmetros. O BOP anular pode fechar sobre uma
variedade de diâmetros da coluna, e até mesmo numa
situação sem coluna, portanto, é redundante com as
gavetas cega, superior de tubo, intermediária de tubo
e inferior de tubo. Há apenas uma conexão com a ca-
beça de poço para todo o conjunto BOP.
Na figura 5 é mostrado o resultado da modelagem
deste BOP submarino, aplicando-se a técnica de grafo
de conjunto para sua representação.
Na coluna do lado esquerdo da figura 5 são apresen-
tados os 16 componentes de um BOP (são os nós de en-
trada Ii). No seu lado direito está representado o conjunto
BOP por meio de um único nó (o nó de saída O). As rela-
ções entre os componentes do BOP (ou seja, os nós de as-
sociação Aj) para compor a barreira BOP estão modeladas
usando-se três portões lógicos "E" e cinco portões "OU".
A redundância mútua das gavetas de tubo interme-
diária e inferior – e a redundância do BOP anular em re-
lação a todas outras gavetas – muitas vezes são interpre-
tadas, erroneamente, como indicações de duas ou mais
barreiras independentes. Porém, o BOP sempre será uma
única barreira, apesar da quantidade de gavetas, por-
que todas as gavetas dependem de uma única conexão
com a cabeça de poço. Aumentando-se o número de
gavetas, aumenta-se a disponibilidade do BOP, mas não
se aumenta o número de barreiras.
pela variável λ, a disponibilidade é obtida pelo comple-
mento da probabilidade de sua falha, ou seja, (1-λ).
Uma vez modelado o grafo de conjunto, um valor
de disponibilidade pode ser atribuído para cadaele-
mento do conjunto: (1-λ) para elementos ativados e
valor zero para os elementos desativados. Pode-se nave-
gar por este grafo e calcular o valor da disponibilidade
para todo o conjunto. Se o resultado for um valor maior
que zero, diz-se que o grafo de conjunto está ativado
(ou disponível); o valor de zero significa que o grafo de
conjunto está desativado (ou não disponível).
exemplo de modelagem de um
conjunto preventor de erupção
(BOP – blowout preventer) 
como barreira
Uma barreira bem conhecida na engenharia de poço
é o conjunto preventor de erupção (BOP), caracterizado
por um conjunto de gavetas para interrupção de fluxo
do poço, de linhas auxiliares de fluxo e de válvulas insta-
ladas na cabeça de um poço de petróleo, com a finali-
dade de controlar o poço em caso de um influxo não
controlado de fluido da formação produtora. O desenho
esquemático de um BOP submarino, representando seus
principais componentes, é mostrado na figura 4.
Figura 4 - Esquema de um BOP submarino.
Figure 4 - Subsea BOP scheme.
� 348
� Uma metodolog ia para a ava l iação da segurança operac iona l em poços mar í t imos – Miura et a l .
Normalmente, a taxa de falha de um componente é
baseada na observação estatística de ocorrências anor-
mais (falhas) no campo ou é medida num ensaio acele-
rado no laboratório. A unidade usual para taxa de falha
é número de falhas por tempo de exposição acumulada
no ano. A ordem de grandeza da taxa de falha dos
componentes usuais da indústria é um número extre-
mamente pequeno que gira em torno de 10-3 a 10-6. 
O exemplo a seguir é fictício com taxas anormalmente
elevadas. O objetivo do exemplo é mostrar como a com-
posição de elementos, com taxa elevada de falha, pode
levar a um conjunto com uma taxa de falha menor que
seus elementos. Supondo-se que as probabilidades de
falha de todos os componentes de BOP são determina-
dos como se segue::
λ1 = λ2 = 2%
λ3 = λ5 = λ6 = λ7 = 5%
λ4 = 10%
λ8 = λ9 = λ10 = λ11 λ12 = λ13 = λ14 = λ15 = λ16 = 1%
Onde os índices de falha são os seguintes:
λ1 : controle de linhas de BOP (POD - azul);
λ2 : controle de linhas de BOP (POD - amarelo);
λ3 : gaveta de BOP, cega e cisalhante;
λ4 : BOP anular;
λ5 : gaveta superior de BOP, de tubo;
λ6 : gaveta intermediária de BOP, de tubo;
λ7 : gaveta inferior de BOP, de tubo;
λ8 : alojamento/corpo de BOP;
λ9 : flange de BOP;
λ10: conector de BOP à cabeça de poço;
λ11: válvula do choke;
λ12: linha de choke;
λ13: choke manifold;
λ14: válvula de amortecimento;
λ15: linha de amortecimento;
λ16: standpipe manifold.
Os seguintes cálculos para portões lógicos, basea-
dos na probabilidade de falha (λ), são utilizados:
• portão "E" com entradas {a,b}, conforme equação 1: 
(1-λa) • (1-λb); (1)
• portão "OU" com entradas {a,b}, conforme equação 2: 
(1-λa • λb). (2)
Desta forma, de acordo com o grafo de conjunto, o
cálculo é realizado conforme a equação 3: 
(1- λBOP) = (1- λ1 • λ2) • (1- λ3) • {1- λ4 • λ5 • [1-(1- λ6 •
λ7)]} • (1- λ8) • (1- λ9) • (1- λ10) • {1- λ11 • [1 - (1- λ12) •
(1- λ13)]} • {1- λ14 • [1- (1- λ15) • (1- λ16)]}
(3)
Substituindo-se os valores, o conjunto BOP apresen-
tará 93% de disponibilidade ou 7% de índice de falha,
um valor melhor que o elo mais fraco (BOP anular 10%).
Isto quer dizer que nem sempre o elo mais fraco repre-
senta o valor da taxa de falha do sistema, devido a re-
dundâncias implementadas. 
Figura 5 - Modelagem de BOP submarino
com base na técnica de grafo de conjunto.
Figure 5 - Subsea BOP model, based on the
graph set technique.
349 �
Bolet im técn ico da Produção de Pet ró leo, R io de Jane i ro - vo lume 1, nº 2 , p. 341-367 �
Como pode ser observado neste exemplo, se os ín-
dices de falha de todos os componentes forem conhe-
cidos, a técnica de modelagem GC permite calcular a
disponibilidade deste conjunto, com valores que variam
de 0 a 1.
Os cálculos, utilizando a função disponibilidade no
intervalo [0,1] são válidos durante todo o ciclo das bar-
reiras. Além disso, os valores considerados de probabili-
dades de falhas são extremamente pequenos (de 10-3 a
10-6). Logo, quando se desejar uma avaliação da disponi-
bilidade do CSB durante o curto tempo da intervenção
de um poço, propõe-se a simplificação proposta a seguir. 
simplificação da função 
disponibilidade do CSB
Normalmente, a função disponibilidade é aplicada ao
ciclo de vida de um sistema. O método ADQR somente
é aplicado durante as intervenções num poço, represen-
tando-se uma fração pequena da sua vida: um período
de um mês, em mais de 20 anos de produção de um
campo de petróleo, não haveria razão de se considerar a
taxa de falha (já pequena) para estes intervalos relativa-
mente curtos de tempo. 
Com a finalidade de se simplificar o cálculo de dis-
ponibilidade do CSB e permitir o uso prático do concei-
to para estas situações, propõem-se ignorar todas as
probabilidades de falha. Em outras palavras, propõe-se
que a disponibilidade de barreiras e de CSBs seja dis-
cretizada e reduzida a dois valores extremos: um (1)
quando a barreira ou CSB estiver ativado; e zero (0)
quando a barreira ou CSB estiver desativado. Essa dis-
cretização é necessária, pois o objetivo do método de
avaliação dinâmica e quantitativa de risco (ADQR) é
verificar a existência ou não de CSB logo antes de se
iniciar uma nova operação (que normalmente dura ~3
horas), dentro de uma intervenção. Num intervalo de
tempo de duração tão curta, não há sentido falar em
probabilidades.
Assim, os cálculos de disponibilidade de CSB podem
ser simplificados, com os inteiros {0,1} como resultado.
Esta simplificação está baseada no fato de que todos
esses cálculos são propostos para se verificar a variação
da disponibilidade de CSB que acontece durante o
tempo curto de uma intervenção. 
Uma vez feita a modelagem do grafo de um CSB –
e se para cada função de disponibilidade for atribuído
o valor um (1) para cada barreira ativa e zero (0) para
cada barreira desativada – a disponibilidade desse CSB
pode ser conferida navegando-se o modelo (seguindo
o modelo desde os nós de entrada até o nó de saída,
pelos arcos) e realizando-se os cálculos lógicos (as agre-
gações definidas nos nós de associação). O resultado
deve, então, ser um valor inteiro.
A modelagem dos CSB e das barreiras por meio de
grafos de conjunto é um processo de consolidação
convergente, isto é, estes modelos podem e devem ser
refinados com o decorrer do tempo. Eles devem ser
acompanhados pelo refinamento do conhecimento 
sobre CSB e pelas barreiras. Logo, os grafos de CSB 
e de barreiras devem ser inspecionados, periodica-
mente, e a obsolescência de suas dependências deve
ser verificada. 
mapeamento de CSB existentes
Todos CSB e barreiras conhecidos nas atividades de
construção e de manutenção de poços marítimos foram
Figura 6 - Relações entre barreiras e CSB
modeladas por meio do diagrama entidade-
relacionamento (DER).
Figure 6 - Relationships between barriers and
BISes, modeled as entities and relationships
diagram (ERD).
� 350
� Uma metodolog ia para a ava l iação da segurança operac iona l em poços mar í t imos – Miura et a l .
mapeados, coletados e organizados em um banco de da-
dos estruturado (Miura, 2004). No diagrama entidade-
relacionamento (DER) estão representadas as relações
entre CSB, barreira e entidades circunvizinhas (fig. 6).
Na figura 6, de acordo com a notação de DER, os
quadros representam as entidades e os arcos, a relação
entre duas entidades ligadas pelo arco. Todas as relações
modeladas no diagrama são do tipo um-para-muitos. O
círculo na extremidade do arco representa o lado “um”
da relação e o “pé-de-galinha”, na outra extremidade,
do arco representa o lado “muitos” da relação. Para
cada instância(ou elemento) no lado “um” da relação,
é possível achar várias instâncias no seu lado “muitos”. 
Os CSB estão mapeados para cada cenário (perfu-
ração, avaliação de formação, completação, produção,
restauração e abandono), enquanto as barreiras estão
mapeadas para cada caminho possível (coluna, poço e
anular). CSBs são compostos de barreiras, que se des-
membram, por sua vez, em componentes. O impacto
de cada operação no estado (ativo ou desativado) de
cada barreira pode ser mapeado em tabelas do tipo
“operação x barreira” que lidam com as mudanças dos
estados de barreiras após a realização de uma determi-
nada operação. Por exemplo, após a operação do ca-
nhoneio, o revestimento de produção canhoneado não
pode mais ser considerado uma barreira ativa, e este
revestimento assume o estado “desativado”.
Examinaram-se todos os cenários relacionados à
construção e à manutenção de um poço, tais como:
perfuração, avaliação de formação, completação, pro-
dução, restauração e abandono. Este exame identificou
16 CSB. O exame de todos os caminhos conhecidos
identificou 55 barreiras (fig. 1).
Na figura 7, cinco CSB independentes foram mo-
delados para o cenário perfuração. Os dois primeiros
CSB, o CSB “natural” e o CSB “perigos rasos”, são
principalmente usados nas atividades de início de per-
furação (ou início de poço). O CSB “fluido” é usado
durante todo cenário de perfuração e também durante
o cenário de avaliação de formação. O CSB “BOP” é
usado em cenários de perfuração, avaliação de forma-
ção, completação, restauração e abandono. O quinto
CSB, o CSB “equipamentos de perfuração com pressão
controlada”, é um conjunto de equipamentos usado
para operações especiais chamadas de perfuração a
pressão controlada.
Figura 7 - Exemplos de conjunto solidário de
barreiras (CSB) para o cenário de perfuração
(Miura, 2004).
Figure 7 - Examples of barriers integrated set
(BIS) for drilling scenario (Miura, 2004).
351 �
Bolet im técn ico da Produção de Pet ró leo, R io de Jane i ro - vo lume 1, nº 2 , p. 341-367 �
cr i té r ios de 
ace i tab i l idade de 
r i sco baseados
em CSB
Segundo a Norsok Z-013 (Norwegian Technology
Standards Institution, 2001) e Holand et al. (2004), 
os critérios de aceitabilidade de risco devem ilustrar o
nível global de risco determinado como tolerável, com
respeito a um período definido de tempo ou uma fase
definida de atividade. Eles também devem refletir os
objetivos de segurança e as particularidades da ativi-
dade em questão. Os critérios de aceitabilidade de risco
constituem uma referência para a avaliação da necessi-
dade de medidas de redução de risco, logo, devem
estar disponíveis antes de se começar uma avaliação 
de risco.
Ainda segundo a Norsok Z-013 (Norwegian Tech-
nology Standards Institution, 2001), para que os crité-
rios de aceitabilidade de risco sejam adequados, como
apoio para tomada de decisão, devem representar 
um compromisso onde as seguintes características es-
tejam satisfeitas:
• ser satisfatório para as decisões, considerando as
medidas de redução de risco;
• ser satisfatório para comunicação;
• não ser ambíguo na sua formulação, de modo que
não requeira uma interpretação extensa ou adapta-
ção para uma aplicação específica;
• não favorecer explicitamente nem implicitamente
qualquer solução conceitual particular do modo
pelo qual o risco é expresso. 
Os critérios de aceitabilidade de risco propostos a
seguir são para a aplicação no contexto “ciclo de vida
do poço marítimo de petróleo”. Em outras palavras, o
contorno do sistema que se deseja reforçar é o conjun-
to de possíveis caminhos entre a zona (formação ou
reservatório) com hidrocarbonetos e o mar (o meio
ambiente circunvizinho ao poço). O evento crítico inde-
sejável é a erupção (fluxo não controlado) de hidro-
carboneto para o ambiente. Esses critérios de aceita-
bilidade de risco devem ser aplicados ao planejamento
de qualquer intervenção de um poço, seja de perfu-
ração, de avaliação da formação, de completação, de
restauração ou de abandono. 
A comunidade da engenharia de poço, desde há
muito tempo, recomenda o uso de duas barreiras (ou
CSB, segundo a interpretação dos autores) para todas
as intervenções (Norwegian Technology Standards
Institution, 1998; Petrobras, 1998). Por outro lado, pa-
ra as intervenções de abandono, a Agência Nacional de
Petróleo, Gás Natural e Biocombustíveis (ANP) exige
três barreiras (ou, conforme presente trabalho, CSB)
independentes, basicamente compostas de tampões
de cimento no poço e em seu anular.
Logo, os critérios de aceitabilidade de risco para o
ciclo de vida de poços marítimos de petróleo podem
ser propostos como:
• em intervenções de abandono, pelo menos três CSB
independentes e testados devem estar disponíveis
para prevenir o fluxo não intencional do poço;
• durante qualquer outra intervenção no poço, exce-
to abandono, isto é, durante a intervenção de per-
furação, avaliação de formação, completação e res-
tauração, pelo menos, dois CSB independentes e
testados devem estar disponíveis para prevenir o
fluxo não intencional do poço; 
• o estado de cada CSB deve ser conhecido durante
todo o período de intervenção e verificado antes de
se realizar cada operação planejada;
• no caso de falha de um CSB, uma ação imediata
deve ser realizada no sentido de se restabelecer a
funcionalidade de dois CSB independentes. Ou seja,
nenhuma atividade deve ser realizada, exceto as ati-
vidades de restabelecimento da condição mínima
de dois CSB independentes.
Com os critérios de aceitabilidade de risco definidos,
a técnica de modelagem usando o “grafo de conjunto”
e as definições introduzidas na seção anterior, o méto-
do ADQR pode ser adotado, observando que os
impactos das operações em barreiras sejam conhecidos. 
� 352
� Uma metodolog ia para a ava l iação da segurança operac iona l em poços mar í t imos – Miura et a l .
mapeamento do 
impacto de 
operações nas 
bar re i ras
A execução de algumas operações pode ativar ou de-
sativar o estado de algumas barreiras, ainda que para
várias outras operações, o estado das barreiras possa
permanecer inalterado. Neste mapeamento é verifica-
do o impacto de cada operação em cada barreira, isto
é, a mudança de estado da barreira de um poço cau-
sada pelo impacto de cada operação envolvida.
O processo de mapeamento pode ser assim descrito:
1. gerar uma lista relacionando todas as operações
com cada uma das barreiras (operações versus bar-
reiras);
2. definir o impacto da operação sobre a respectiva
barreira para cada item mapeado no passo 1. O im-
pacto pode ser uma das três opções a seguir:
a) a operação ativa a barreira;
b) a operação desativa a barreira;
c) a operação não tem impacto sobre a barreira.
Tabela 1 - Alguns
exemplos de
impacto de oper-
ação em barreiras
(Miura, 2004).
Table 1 - Examples
of operation impact
in barriers (Miura,
2004).
353 �
Bolet im técn ico da Produção de Pet ró leo, R io de Jane i ro - vo lume 1, nº 2 , p. 341-367 �
3. Eliminar todos os itens sem impacto (opção c)
para simplificar a lista.
Note que uma operação pode impactar mais de
uma barreira, e uma barreira pode ser impactada por
várias operações. A lista de “operações versus barrei-
ras” atual, gerada pelo processo descrito, é composta
por 289 itens dos quais 224 são operações que ativam
uma barreira; e 65 itens são operações que a desativam.
Um ponto importante é que apenas 45 das 55 barreiras
sofrem algum impacto de operações. São mostrados
alguns exemplos desta lista na tabela 1.
O uso constante e a atualização periódica da lista
mostrada na tabela 1 devem fornecer uma convergên-
cia correta para as relações entre as operações e as 
barreiras.
ava l iação d inâmica e
quant i tat iva de r i sco
(ADQR)
Atualmente, existe certa limitação quanto à disponi-
bilidadede métodos quantitativos para a avaliação de
risco operacional. Raramente são realizadas análises
quantitativas de risco operacional, que costumam de-
morar em torno de seis meses para a sua realização.
Essas análises não são freqüentes devido exatamente à
morosidade dos métodos atuais.
A avaliação dinâmica e quantitativa de risco é um
método desenvolvido com o propósito de quantificar
os graus de segurança para todas as atividades de cons-
trução e manutenção do poço. O objetivo do ADQR é
conferir se o ambiente de trabalho está seguro ao
longo das intervenções de construção e manutenção
do poço.
Pretende-se que o método ADQR seja usado na fase
de planejamento de atividades de construção e manu-
tenção de um poço, onde os efeitos de perigos numa
seqüência de tarefas são desconhecidos. A característi-
ca principal deste método é que ele é rápido e expedi-
to. A ADQR se baseia nos conceitos de barreira, CSB e
independência mútua. 
O algoritmo de quantificação de CSB usa a seqüên-
cia planejada de operações como um guia para calcu-
lar o grau de segurança. Avalia o risco entre duas ope-
rações seqüenciadas, isto é, calcula o estado de CSB do
poço no limiar entre o fim de uma operação e o co-
meço da operação subseqüente.
A condição inicial, isto é, a situação de todas as bar-
reiras no começo da intervenção, deve ser definida pelo
planejador. Desta primeira situação, pode-se derivar a
situação de CSB de operações seqüentes por um cálculo
baseado no impacto de operações planejadas nas bar-
reiras. O impacto de cada operação em cada barreira de-
ve ser mapeado nesta fase. É assumido que o grau de se-
gurança está relacionado diretamente com a quantidade
disponível de CSB ativos. O método é chamado dinâmi-
co porque avalia o grau de segurança do poço para todo
o plano, no começo de cada operação planejada, acom-
panhando cada mudança no poço (contexto), devido a
estas operações, até a finalização da construção do poço.
O método – que mapeia o risco entre duas opera-
ções subseqüentes, complementado pela quantificação
e pela mitigação do risco interno da operação, basea-
da na estatística de operações realizadas – na prática,
torna-se robusto e completo (Miura, 2004).
algor i tmo de 
quant i f i cação de CSB 
A elaboração de um algoritmo para a quantificação
de um CSB inclui os seguintes passos:
1. estabelecimento do plano de intervenção do
poço com a seqüência de utilização das operações
padronizadas;
2. definição da condição inicial da intervenção, isto
é, mapeamento do estado de todas as barreiras do
poço no início da intervenção;
3. verificação da mudança no estado da barreira
após a realização de cada operação incluída na se-
qüência (passo 1), usando a lista de “operações ver-
sus barreiras”;
� 354
� Uma metodolog ia para a ava l iação da segurança operac iona l em poços mar í t imos – Miura et a l .
4. cálculo da quantidade de CSB independentes
ativos para cada operação seqüenciada, usando o
grafo de um CSB;
5. verificação de todas as operações seqüenciadas
para saber se elas estão acima do limiar de seguran-
ça requerido pelos critérios de aceitabilidade de risco;
a) correção da seqüência de operação na qual os
critérios de aceitabilidade de risco não são aten-
didos, isto é, mudança da seqüência de opera-
ção de tal modo que os critérios de aceitabili-
dade de risco sejam satisfeitos. Este passo pode
estar inserido antes da realização da operação
crítica que não passará nos critérios de aceitabili-
dade de risco, em uma ou mais operações que
ativam as barreiras necessárias. 
estudo de caso:
ap l i cando o método
ADQR a um p lano de 
res tauração de poço 
mar í t imo
Nesta parte do trabalho é apresentada a aplicação
do algoritmo de quantificação de CSB. Ela é descrita
passo a passo com objetivo de se demonstrar o uso do
método ADQR e os resultados esperados.
Tabela 2 - Um exemplo de plano de restau-
ração de poço marítimo (Miura, 2004).
Table 2 - Example of restoration plan of 
offshore well (Miura, 2004).
Tabela 3 - Barreiras ativadas no início da
restauração no poço marítimo depletado de
plataforma fixa, com árvore natal conven-
cional e BCS instalados (Miura, 2004).
Table 3 - Activated barriers in the beginning
of the restoration in the offshore well deple-
tado of fixed platform, with conventional
christmas tree and installed electrical sub-
mersible pump (ESP) (Miura, 2004).
355 �
Bolet im técn ico da Produção de Pet ró leo, R io de Jane i ro - vo lume 1, nº 2 , p. 341-367 �
estabelecendo um plano de
restauração de poço marítimo
A seqüência de operação de um plano de restau-
ração de poço marítimo é mostrada na tabela 2. Este
plano normalmente é usado para fazer a intervenção
de restauração num poço marítimo depletado de plata-
forma fixa, com árvore natal convencional (ANC) e
bomba centrífuga submersa (BCS) instaladas. 
Note que, embora um plano de restauração especí-
fico esteja sendo utilizado neste exemplo, o método de
ADQR pode ser usado em qualquer tipo de interven-
ção, como a de perfuração, de avaliação de formação,
de completação, de restauração ou de abandono. 
definindo a condição inicial da
intervenção escolhida
Neste exemplo, a condição inicial para a restauração
de poço marítimo depletado de plataforma fixa, com
ANC e BCS instaladas, é mostrada na tabela 3 (barrei-
ras ativas) e tabela 4 (barreiras desativadas), isto é, nes-
tas é mostrado o estado de todas as barreiras no início
da restauração.
As tabelas 3 e 4 são geradas pela lista de todas as
barreiras conhecidas, mapeadas para intervenções de
poços marítimos. Esta lista, atualmente, é composta
por 55 barreiras conhecidas para três caminhos possí-
veis: anular, poço e coluna.
verificando as mudanças no 
estado das barreiras após a 
realização de cada operação
seqüenciada
Neste passo, o impacto de cada seqüência da ope-
ração executada no estado de barreira é avaliado. Os
resultados são apresentados na tabela 5. É assumido
que os índices de disponibilidade são zero (0) para to-
das as barreiras desativadas e um (1) para todas as bar-
reiras ativadas, isto é, se uma barreira estiver em um
estado ativado, é assumido que o valor é “1”.
Na tabela 5 são mostrados os estados das barreiras
após a realização de cada uma das operações seqüen-
ciadas, baseados no impacto destas operações, come-
Tabela 4 - Barreiras desativadas no início da restauração no
poço marítimo depletado de plataforma fixa, com árvore natal
convencional e BCS instalado (Miura, 2004).
Table 4 - Barriers disabled in the beginning of the restoration
in the offshore well depletado of fixed platform, with conven-
tional christmas tree and installed BIS (Miura, 2004).
� 356
� Uma metodolog ia para a ava l iação da segurança operac iona l em poços mar í t imos – Miura et a l .
çando com a condição inicial, conforme mostrado na
primeira linha (linha número 0). Os códigos de barreira
estão nas colunas e cada linha é uma operação seqüen-
ciada, começando com a condição inicial. As células
com valores “0” ou “1” mapeiam o estado da barreira
de acordo com a operação seqüenciada. O valor “1”
significa que a barreira está em estado ativado, e valor
“0” significa que a barreira está em estado desativado.
Para simplificar a tabela 5, apenas as barreiras ativadas
na intervenção são exibidas neste exemplo.
calculando a quantidade de CSB
independentes e ativos para cada
operação seqüenciada (item)
Estes cálculos estão baseados nos CSB modelados
como grafos de conjunto (fig. 7), usando a tabela 5 como
entrada.
Na tabela 6 são exibidos os estados de CSB calcula-
dos após a realização de cada operação seqüenciada,
Tabela 5 - Mudanças em estado de barreira após a realização
de cada operação seqüenciada (Miura, 2004).
Table 5 - Changes in barrier state after the accomplishment of
each sequenced operation(Miura, 2004).
Tabela 6 - Mudanças no estado de CSB após a realização de
cada operação seqüenciada.
Table 6 - Changes in the state of BIS after the accomplishment
of each sequenced operation.
357 �
Bolet im técn ico da Produção de Pet ró leo, R io de Jane i ro - vo lume 1, nº 2 , p. 341-367 �
baseados em grafo de conjunto e nos estados das bar-
reiras como dados de entrada. Os códigos de CSB estão
nas colunas e cada linha é uma operação seqüenciada,
começando com a condição inicial. De forma similar à
tabela 5, as células com "0" ou "1" mapeiam os valores
dos estados de CSB de acordo com a operação seqüen-
ciada. O valor “1” significa que o CSB está em estado
ativado e o valor “0” significa que o CSB está em esta-
do desativado.
Na última coluna (quantidade de CSB) é mostrada a
quantidade de CSB em estado ativado. Para simplificar
a tabela 6, apenas os CSB ativados na intervenção
estão exibidos neste exemplo.
Na tabela 7 são apresentados todos CSB conheci-
dos atualmente, mapeados para poço marítimo. Os ce-
Tabela 7 - Lista de CSB conhecidos (Miura,
2004).
Table 7 - List of known BIS (Miura, 2004).
nários aplicáveis são: perfuração; perfuração com pres-
são controlada (PCD); avaliação de formação; comple-
tação; restauração; e abandono. O primeiro termo no
nome de CSB representa o cenário onde eles foram
mapeados, mas isto não significa que estes CSB só são
aplicáveis àquele cenário. Por exemplo, o CSB “Perfu-
ração – conjunto de barreiras BOP” é aplicável a todos
os cenários. 
verificando as operações 
seqüenciadas contra os critérios
de aceitabilidade de risco
Neste passo, verifica-se se a quantidade de CSB está
acima do limiar estabelecido pelos critérios de aceitabi-
lidade de risco.
Uma intervenção de restauração deve ter, pelo me-
nos, dois CSB para cada operação seqüenciada. Logo,
neste exemplo, pode-se declarar que tal plano de res-
tauração tem um grau de segurança adequado e não
há seqüência a corrigir, pois todas as operações se-
qüenciadas estão acima do limiar estabelecido nos cri-
térios de aceitabilidade de risco. O trabalho manual do
método proposto ainda pode ser melhorado, introdu-
zindo-se alguma automatização para o processo.
protót ipos de 
fe r ramentas 
computac iona is 
desenvolv idos para 
apoiar o método
ADQR
Dois protótipos foram desenvolvidos durante a cria-
ção do método ADQR: um para modelar barreiras e
CSB, baseado na técnica “grafo de conjunto”; e outro
para calcular a quantidade de CSB, de acordo com
algoritmo de quantificação de CSB. Tais protótipos são
detalhados abaixo. 
� 358
� Uma metodolog ia para a ava l iação da segurança operac iona l em poços mar í t imos – Miura et a l .
protótipo de ferramenta 
computacional para modelar os
grafos de barreira e de CSB
O primeiro protótipo desenvolvido para apoiar o
método é uma ferramenta de modelagem em grafo,
denominada editor de grafo. Sua tela principal é mos-
trada na figura 8.
Na figura 8 é apresentada a principal interface do
editor de grafo. Este protótipo permite a edição ou a
modelagem gráfica do grafo de conjunto (GC) para
barreiras e CSB. Os círculos na cor vermelha represen-
tam os nós de entrada, os círculos na cor azul repre-
sentam os nós de agregação que podem ser traduzidos
como portão lógico "OU" (com o ícone “+”) ou portão
"E" (com o ícone “·”). O círculo na cor verde represen-
ta o nó de saída que é o resultado ou a conclusão do
GC. A ferramenta também permite o teste, por meio
da navegação pelo GC e executa os cálculos para veri-
ficar se o nó de saída é ativado ou não, de acordo com
os valores atribuídos a cada nó de entrada. Quando
salvo, o GC é armazenado em um banco de dados que,
por sua vez, é usado pelo outro protótipo, o de cálcu-
lo de quantidade de CSB.
protótipo de ferramenta 
computacional para calcular a
quantidade de CSB
Este segundo protótipo de ferramenta computacio-
nal foi desenvolvido para calcular a quantidade de CSB
independentes e ativados. Denominado verificador de
Figura 8 - Tela principal do editor de grafo (Miura, 2004).
Figure 8 - Main screen of graph editor (Miura, 2004).
359 �
Bolet im técn ico da Produção de Pet ró leo, R io de Jane i ro - vo lume 1, nº 2 , p. 341-367 �
barreiras, este protótipo permite o armazenamento da
lista de impacto de operação nas barreiras (tabela 1) e
também a edição e o armazenamento da lista de
condição inicial (soma das tabelas 3 e 4). 
As telas de interface do usuário no protótipo “veri-
ficador de barreiras” são mostradas na figura 9 e na
figura 10. Na figura 9 o usuário pode escolher uma das
condições iniciais típica ou criar uma nova condição ini-
cial para uma determinada intervenção. No exemplo,
uma condição inicial denominada “poço marítimo de-
pletado de plataforma fixa, com árvore natal conven-
cional e BCS instaladas” é selecionada.
O quadro mostra as operações na mesma seqüência
do arquivo original com a quantidade de CSB ao final de
cada linha. O protótipo armazena automaticamente o
resultado do cálculo, criando um arquivo com o mesmo
nome original, mas com a extensão [*. sim.txt]. 
conc lusões
Este trabalho propõe um método de análise de se-
gurança operacional denominado “avaliação dinâmica
e quantitativa de risco” (ADQR). O método baseia-se
no conceito de “conjunto solidário de barreiras” (CSB).
A modelagem do CSB usa a técnica de “grafo de con-
junto” e permite a quantificação do grau de segurança
de acordo com os conjuntos solidários de barreiras que
existem entre o sistema em estudo e o meio ambiente. 
Usando a metodologia descrita aqui, todos os pro-
gramas de intervenção podem ser verificados explicita-
Figura 10 - Tela principal de verificador de
barreiras mostrando o resultado de processa-
mento (Miura, 2004).
Figure 10 - Main screen of barriers verifier
(Miura, 2004).
Figura 9 - Tela 
inicial de verificador
de barreiras com
uma condição 
inicial selecionada
(Miura, 2004).
Figure 9 - Input
screen of barriers
verifier (Miura,
2004).
� 360
� Uma metodolog ia para a ava l iação da segurança operac iona l em poços mar í t imos – Miura et a l .
mente quanto ao seu grau de segurança. Além disso,
quando se define um critério de aceitabilidade (por
exemplo, dois CSB para todas as operações planejadas)
pode-se caracterizar uma análise quantitativa de risco.
Dois protótipos de ferramenta computacional 
apóiam o método ADQR, facilitando o processo por
meio da automatização de todos os cálculos. Estes pro-
tótipos permitem que os usuários obtenham a quanti-
dade de CSB para cada operação seqüenciada. 
O esforço adicional requerido pelo método de ADQR
consiste em preparar a lista das operações seqüenciadas
para o plano de intervenção, utilizando-se nomes pa-
dronizados para as operações e, finalmente, definir o
estado de todas as barreiras no início de uma determi-
nada intervenção. 
Além do caso apresentado neste trabalho, o método
ADQR foi aplicado em outros casos mais complexos
onde foi verificada a sua validade. Esta verificação trou-
xe benefícios à engenharia de poços, pois permitiu iden-
tificar e corrigir algumas seqüências de operações que
não atendiam ao critério de aceitabilidade, contudo
eram consideradas seguras pela falta de métodos
automáticos para a averiguação.
A definições de barreira, independência mútua en-
tre barreiras, CSB e independência mútua dos CSB,
conforme proposto neste trabalho, permitiu passar de
uma avaliação qualitativa para uma avaliação quantita-
tiva de risco.
nomenc latura
Adaptador: Peça adaptadora de conexão tipo flange ou
hub/clamp, vazada, que converte duas conexões dife-
rentes. 
ADQR: Avaliação dinâmica e quantitativa de risco.
ANC: Árvore de natal convencional. Conjunto de válvu-
las, instalado em poços terrestres ou poços de plata-
forma fixa, utilizado para controledos fluidos produzi-
dos e/ou injetados e para fechamento do poço por mo-
tivos operacionais, de manutenção ou segurança.
Anular: espaço anular. Espaço no poço externo. A colu-
na de tubo que normalmente está preenchido com flui-
do de perfuração ou cimento. O espaço entre a coluna
de trabalho e a parede do poço, ou entre revestimen-
tos, ou entre a coluna de produção e o revestimento. 
BCS: Bombeio centrífugo submerso. Designação comu-
mente empregada para se referir ao tipo de bombea-
mento que consiste no método de elevação artificial de
petróleo, onde a transferência de energia ao fluido do
poço se dá por meio de uma eletrobomba centrífuga
submersível.
BIS: Barrier integrated set.
BOP: Blowout preventer.
BPV: Back pressure valve. Válvula de retenção que per-
mite a injeção de fluidos no poço, mas impede o fluxo
no sentido contrário, da formação para a superfície.
Permite a substituição e o reparo dos equipamentos de
superfície, operando como barreira mecânica de segu-
rança para o poço. Válvula que tem como função com-
bater a pressão. Tipo de tampão que pode ser assenta-
do em um perfil (profile) adequado ou rosqueado. Nor-
malmente usado para reentrada no poço. A caracterís-
tica especial desta válvula é que ela permite a comu-
nicação de fluido/pressão ao pressionar a barra de cima
para baixo.
Choke: Válvula que restringe o escoamento de retorno
do poço para controle da pressão nas operações de
controle de poço. Estrangulador de fluxo que controla
a vazão de retorno de um poço fechado pelo BOP
durante a circulação de um kick.
Choke manifold: Conjunto de válvulas para direciona-
mento dos fluidos e controle de pressão durante o kick.
Conjunto de válvulas de bloqueio, válvulas de abertura
regulável e linhas, posicionado na sonda e com pressão
de trabalho compatível com o BOP. O choke manifold
tem as funções de: controlar, restringir e direcionar fluxos
de fluidos provenientes do poço com o BOP fechado.
Conjunto de tubos, válvulas e chokes por onde os fluidos
que retornam do poço fechado são controlados e diri-
gidos para a superfície durante a circulação de um kick.
361 �
Bolet im técn ico da Produção de Pet ró leo, R io de Jane i ro - vo lume 1, nº 2 , p. 341-367 �
CSB: Conjunto solidário de barreiras.
DER: Diagrama entidade-relacionamento.
Diverter: Equipamento do sistema de segurança de
poço usado para desviar o fluxo do poço sem fechá-lo.
Sistema de baixa pressão para desvio do fluxo do inte-
rior do poço, posicionado na sonda, e abaixo da mesa
rotativa, que é composto por um elemento de selagem
do espaço anular do poço, sistema de acionamento e,
pelo menos, uma linha lateral de desvio. Esta linha é
dotada de válvulas de bloqueio e desvia possíveis fluxos
do poço para um local seguro, fora das instalações da
sonda e sua extremidade está em contato com a pres-
são atmosférica. O diverter consiste de válvula de gran-
de porte, dotado de elemento vazado, que permite
vedação em torno de diferentes tipos e diâmetros de
ferramentas no seu interior, assim como vedação sem
qualquer ferramenta.
Flange: Tipo de conexão de alta pressão dotada de anel
metálico de vedação utilizada na integração de partes
do ESCP.
FTA: Fault tree analysis.
GC: Grafo de conjunto.
Liner: Qualquer coluna de revestimento onde o topo
desta é situado abaixo da superfície.
LMRP: Lower marine riser package. Conjunto compos-
to de conector hidráulico, BOP anulares e POD, posi-
cionado na parte inferior da coluna de riser. Utilizada
no meio técnico para designar o conjunto de elemen-
tos do BOP submarino como POD, anular superior, etc.,
situados acima do BOP Stack. Complemento do BOP
que, nos poços marítimos, se instala no fundo do mar
sobre o BOP e que incorpora o preventor anular.
Packer: Elemento vedante, vazado ou tamponado, uti-
lizado em completação para isolar zonas com diferen-
tes pressurizações. Também chamado obturador. 
QDRA: Quantitative and dynamic risk assessment.
SCSSV: Surface controlled subsurface safety valve.
Sonolog: Ferramenta acústica usada em sondas de
terra ou de plataforma fixa para localizar o nível estáti-
co de fluido no poço. 
Standing valve: Válvula de pé. Permite fluxo ascenden-
te, assentamento de obturador hidráulico (packer), ve-
rificação da estanqueidade da coluna de produção e é
utilizada como barreira mecânica quando associada ao
fluido de completação, evitando dano à formação.
Standpipe manifold: Conjunto de válvulas na sonda
que recebe e direciona fluxo da bomba de lama para a
coluna de trabalho ou anular do poço.
TCP: Tubing-conveyed perforation. Canhoneio descido
com coluna.
� ACCIOLY, R. M. S.; CHIYOSHI, F. Y. Modeling dependence with copulas:
a useful tool for field development decision process. Journal of
Petroleum Science and Engineering, Amsterdam, v. 44, n. 1/2, p.
83-91, Oct. 2004.
� BRASIL.Agência Nacional de Petróleo. Resolução n° 25, de 6 de março
de 2002. Procedimentos a serem adotados no abandono de
poços de petróleo e/ou gás. Rio de Janeiro, 2002.
� CHAMBRE SYNDICALE DE L’EXPLORATION-PRODUCTION D’HYDRO-
CARBURES. Fermeture des puits petroliers recommandations.
França, 1998.
� DIVI, R. S. Probabilistic methods in petroleum resource assessment,
with some examples using data from the Arabian region. Journal of
Petroleum Science and Engineering, Amsterdam, v. 42, n. 2/4, p.
95-106, Apr. 2004.
� HENLEY, E. J.; KUMAMOTO, H. Reliability engineering and risk
assessment. Englewood Cliffs: Prentice-Hall, 1981. 562 p.
� HOLAND, P. Offshore blowouts, causes and trends. Tese (Douto-
rado) – Norwegian Institute of Technology, Trondheim, 1996.
� HOLAND, P.; JENSSEN, H. P.; MOLNES, E.; RYE, H.; RAMSTAD, S.;
JOHANSEN, O.; SKOGNES, K.; LISE, J.; RESBY, M.; HOKSTAD, J. N.;
BERNTSEN, V.; LARSSEN C. M.; VISLIE, G.; EMILSEN, M. H. Risk analy-
sis of subsea wells completed with or without a surface con-
trolled subsurface safety valve (SCSSV). Trondheim: ExproSoft,
2004. 167 p.
� INTERNATIONAL ORGANIZATION FOR STANDARDIZATION. ISO DIS
13628-1: draft International Standard, petroleum and natural gas indus-
tries, design and operation of subsea production Systems, part 1: gener-
al requirements and recommendations. Geneva, 2003a. 218 p.
� INTERNATIONAL ORGANIZATION FOR STANDARDIZATION. ISO DIS
13628-4: petroleum and natural gas industries, design and operation of
referências bibliográficas
� 362
� Uma metodolog ia para a ava l iação da segurança operac iona l em poços mar í t imos – Miura et a l .
subsea production systems, part 4: subsea wellhead and tree equip-
ment. Geneva, 2003b.
� MIURA, K. Aquisição e estruturação de conhecimento opera-
cional sobre completação de poços marítimos de petróleo. Dis-
sertação (Mestrado) – Universidade Estadual de Campinas, Campinas,
1992.
� MIURA, K. Um estudo sobre a segurança operacional na cons-
trução e reparo de poços marítimos de petróleo e gás. Tese
(Doutorado) – Universidade Estadual de Campinas, Campinas, 2004.
� MOOS, D.; PESKA, P.; FINKBEINER,T.; ZOBACK, M. Comprehensive well
stability analysis utilizing quantitative risk assessment. Journal of
Petroleum Science and Engineering, Amsterdam, v. 38, n. 3/4,
p. 97-109, June 2003.
� MOROOKA, C. K.; ROCHA, A. F.; MIURA, K.; ALEGRE, L. Offshore well
completion operational knowledge acquisition and structuring. In:
INTERNATIONAL CONFERENCE ON OFFSHORE MECHANICS AND ARC-
TIC ENGINEERING, 12., 1993, Glasgow. Proceedings… New York:
American Society of Mechanical Engineers, 1993. v. 1, p. 371-398.
OMAE-93-404.
� NORWEGIAN TECHNOLOGY STANDARDS INSTITUTION. NORSOK D-
010: Perforation and well operations. 2. rev. Oslo, 1998. 55 p.
� NORWEGIAN TECHNOLOGY STANDARDS INSTITUTION. NORSOK Z-
013: risk and emergency preparedness analysis. 2. rev. Oslo, 2001.
� PEDRYCZ, W.; GOMIDE, F. An introductionto fuzzy sets: analysis
and design. Cambridge: Massachusetts Institute of Technology Press,
1998, 33 p.
� PETROBRAS. Comissão de Normas Técnicas. N-1860: operações
simultâneas em plataformas fixas. Rio de Janeiro, 1998.
� RIKE, J. L.; WHITMAN, D. L.; RIKE, E. R.; HARDIN, L. R. Why workover
363 �
Bolet im técn ico da Produção de Pet ró leo, R io de Jane i ro - vo lume 1, nº 2 , p. 341-367 �
and drilling well control needs differ. World Oil, Houston, v. 214, n. 11,
p. 39, Nov. 1993.
� ROSS, J. G. Risk and uncertainty in portfolio characterization. Journal
of Petroleum Science and Engineering, Amsterdam, v. 44, n. 1/2, p.
41-53, Oct. 2004.
� SACHON, M.; PATÉ-CORNELL, M. E. Managing technology develop-
ment for safety-critical systems. IEEE Transactions on Engineering
Management, [Newark], v. 51, n. 4, p. 451-461, Nov. 2004.
� SCHIOZER, D. J.; LIGERO, E. L.; SUSLICK, S. B.; COSTA, A. P. A.; SAN-
TOS, J. A. M. Use of representative models in the integration of risk
analysis and production strategy definition. Journal of Petroleum
Science and Engineering, Amsterdam, v. 44, n. 1/2, p. 131-141, Oct.
2004.
� SCHUBERT, J. J.; JUVKAM-WOLD, H. C.; WEDDLE III, C. E; ALEXANDER,
C. H. HAZOP of well control procedures provides assurance of the safe-
ty of the subsea mudlift drilling system. In: IADC/SPE DRILLING CON-
FERENCE, 2002, Dallas. [Proceedings…] [Richardson]: Society of
Petroleum Engineers, 2002. (SPE 74482).
� SUSLICK, S. B.; FURTADO, R. Quantifying the value of technological,
environmental and financial gain in decision models for offshore oil
exploration. Journal of Petroleum Science and Engineering,
Amsterdam, v. 32, n. 2/4, p. 115-125, Dec. 2001.
� SUSLICK, S. B.; SCHIOZER, D. J. Risk analysis applied to petroleum
exploration and production: an overview. Journal of Petroleum
Science and Engineering, Amsterdam, v. 44, n. 1/2, p. 1-9, Oct. 2004.
� TANAKA, T. Evaluation of a dynamic reliability problem based
on order of component failure. New York: Institute of Electrical and
Electronics Engineers, 1989. (IEEE Transactions on Reability, 38).
� TAKASHINA, N. T. The reliability barriers concept in petroleum wells.
Technical Resolution, Rio de Janeiro, v. 32, n. 1/2, p. 59-66. Jun. 1989.
� URSIN, J. R. Fault block modeling: a material balance model for early
production forecasting from strongly compartmentalised gas reservoirs.
Journal of Petroleum Science and Engineering, Amsterdam, v. 27,
n. 3/4, p. 179-195, Sept. 2000.
� VAN DER POEL, R.; JANSEN, J. D. Probabilistic analysis of the value of
a smart well for sequential production of a stacked reservoir. Journal of
Petroleum Science and Engineering, Amsterdam, v. 44, n. 1/2, p.
155-172, Oct. 2004.
� WALLS, M. R. Combining decision analysis and portfolio management
to improve project selection in the exploration and production firm.
Journal of Petroleum Science and Engineering, Amsterdam, v. 44,
n. 1/2, p. 55-65, Oct. 2004.
� YETEN, B.; BROUWER, D. R.; DURLOFSKY, L. J.; AZIZ, K. Decision analy-
sis under uncertainty for smart well deployment, Journal of Petroleum
Science and Engineering, Amsterdam, v. 43, n. 3/4, p. 183-199, Aug.
2004a.
� YETEN, B.; BROUWER, D. R.; DURLOFSKY, L. J.; AZIZ, K. Decision analy-
sis under uncertainty for smart well deployment, Journal of Petroleum
Science and Engineering, Amsterdam, v. 44, n. 1/2, p. 175-191, Oct.
2004b.
� YU, J. P.; ZHUANG, Z.; KUMAR, K. H.; WATTS, R. J. A simulation
approach in economic assessment and risk analysis of the CO2 miscible
flooding process, Journal of Petroleum Science and Engineering,
Amsterdam, v. 4, n. 4, p. 359-374, Sept. 1990.
� ZABALZA-MEZGHANI, I.; MANCEAU, E.; FERAILLE, M.; JOURDAN, A.
Uncertainty management: from geological scenarios to production
scheme optimization, Journal of Petroleum Science and
Engineering, Amsterdam, v. 44, n. 1/2, p. 11-25, Oct. 2004.
re fe rênc ias b ib l iográf i cas
� 364
� Uma metodolog ia para a ava l iação da segurança operac iona l em poços mar í t imos – Miura et a l .
Kazuo Miura
� Unidade de Negócio de Exploração e
Produção da Bacia de Campos
� Gerência de Engenharia de Poço
e-mail: kazuo.miura@petrobras.com.br
Kazuo Miura é engenheiro civil, formado pela Escola Politécnica da
Universidade de São Paulo (USP) em 1979; Mestre em Engenharia de
Petróleo pela Universidade Estadual de Campinas (Unicamp) em 1992 e
Doutor em Engenharia de Petróleo pela Unicamp em 2004. Ingressou na
Petrobras em 1981 e fez Curso de Especialização em Engenharia de
Petróleo (CEP-81). Atualmente, trabalha no suporte técnico da engen-
haria de poço na Bacia de Campos.
Celso Kazuyuki Morooka
� Universidade Estadual de Campinas 
(Unicamp)
e-mail: morooka@dep.fem.unicamp.br
Celso Kazuyuki Morooka Celso Kazuyuki Morooka é engenheiro na-
val, formado pela Escola Politécnica da Universidade de São Paulo (USP)
em 1981; Mestre em Engenharia Oceânica pela Yokohama National
University em 1983 e Doutor em Engenharia Oceânica pela University of
Tokyo em 1987. Atualmente, é professor titular do Departamento de En-
genharia de Petróleo da Universidade Estadual de Campinas (Unicamp).
José Ricardo Pelaquim Mendes
� Universidade Estadual de Campinas 
(Unicamp)
e-mail: jricardo@dep.fem.unicamp.br
José Ricardo Pelaquim Mendes formou-se físico pela Universidade
Estadual de Campinas (Unicamp) em 1995; Mestre em Engenharia de
Petróleo pela Unicamp em 1998 e Doutor em Ciências e Engenharia de
Petróleo, pela mesma universidade, em 2001. Atualmente, é professor
do departamento de Engenharia de Petróleo na Unicamp.
Ivan Rizzo Guilherme
� Universidade Estadual de São Paulo
(Unesp)
e-mail: ivan@rc.unesp.br
Ivan Rizzo Guilherme formou-se em Engenharia da Computação pela
Universidade Federal de São Carlos (UFSCar) em 1985; Mestre em En-
genharia da Computação pela Universidade Estadual de Campinas (Uni-
camp) em 1990 e Doutor em Engenharia da Computação também pela
Unicamp em 1996. Atualmente, é professor na Universidade Estadual
Paulista em Rio Claro.
autores
365 �
Bolet im técn ico da Produção de Pet ró leo, R io de Jane i ro - vo lume 1, nº 2 , p. 341-367 �
expanded abst ract
Oil field development plans invariably translate into
huge investments in well construction. High risks are
inherent to any well construction because of the uncer-
tainties and unknowns in geological modeling and in
rock and fluid properties. Although risks cannot be elim-
inated, they can certainly be reduced by using an appro-
priate safety approach during the design and planning
phases. Besides this, when the system itself changes over
time, as it does in well construction and maintenance
processes, a dynamic safety analysis approach is suggest-
ed. For example, as the drilling phases are performed,
the well (system) becomes deeper and deeper. In the first
phase, the well is drilled through surface layers not capa-
ble of withstanding the higher fluid pressure of deeper
layers, and could become unstable if surface casings are
not run and cemented at the proper depth.
Usage of the term "risk analysis" varies widely in the
oil and gas industry. In most cases it denotes a prof-
itability analysis characterizing each project in terms of
its probability of reaching commercial production and
hence revenue (Yu et al. 1990; Suslick and Furtado,
2001; Accioly and Chiyoshi, 2004; Divi, 2004; Ross,
2004; Schiozer et al. 2004; Suslick and Schiozer, 2004;
Walls, 2004; Zabalza-Mezghani et al. 2004).
Alternatively, it could mean any of the following: a fea-
sibility analysis dealing with uncertainty in technical mat-
ters (Ursin, 2000; Moos et al. 2003; Van der Poel and
Jansen, 2004; Yeten et al. 2004a; Yeten et al. 2004b); a
reliability analysis dealing with equipment and system
availability issues(Tanaka, 1989; Sachon and Paté-
Cornell, 2004); or a hazard and operability study dealing
with operability of system like processing plant by
humans (Schubert et al. 2002; Holand et al. 2004). No
study covering the "safe job analysis" approach
(Norwegian Technology Standards Institution, 1998)
presented in this paper is available in the literature.
This work proposes the use of quantitative and
dynamic risk assessment (QDRA) to measure the safe-
ty degree of each planned job for the entire well con-
struction and its maintenance activities. It also extends
the concept of "safety barrier" and proposes the new
concept of "barriers integrated set (BIS)”, and its asso-
ciated modeling technique that shows the relationship
between barriers. Given a set of active barriers, the
model can predict how many BISes are activated.
A case study illustrates how this approach allows
calculating the safety degree of an entire workover
plan. Any intervention plan such as drilling, formation
evaluation, completion, workover, suspension, or plug
and abandonment plan can be used in this context.
Using an example of job planning from an offshore
well maintenance, the quantity of available BIS at each
planned operation is computed.
Finally, the paper shows computational prototypes
based on the graph modeling technique, and the BIS
calculation algorithm supporting the QDRA approach.
The prototypes allow the well planner to model the
barriers and BIS, calculate the safety degree for the
entire well intervention without additional effort, ana-
lyze the operational risks at any time during the well
interventions, and know the risks associated with each
intervention. 
quantitative and dynamic risk
assessment (QDRA)
Quantitative and dynamic risk assessment (QDRA) is
an approach developed with the purpose of quantify-
ing safety levels in the entire well construction and
maintenance activities. The objective of the QDRA is to
check whether the entire work environment is safe
throughout the well construction and maintenance
interventions.
The QDRA approach is intended to be used in the
planning stages of a well construction and mainte-
nance activities, where the effects of hazards on job
sequence are important unknowns. The main feature
of this approach is to be expedient . It is based on the
concepts of barrier, BIS, and mutual independence.
The BIS quantification algorithm uses the sequence
of planned operations as a guide for computing. It
assesses the risk between two sequenced operations,
� 366
� Uma metodolog ia para a ava l iação da segurança operac iona l em poços mar í t imos – Miura et a l .
expanded abst ract
among their components", or, "two barriers are mutu-
ally independent if the elements that compose one bar-
rier do not belong to the other one":
Given n barriers B1, B2, …,Bn with their element sets
Bi = {Ei1, Ei2, ..., Ein} then the barriers are said to be
mutually independent if B1 _ B2 _ … _ Bn= {φ }.
the problem of shortcuts
"Shortcut" or “deviation” is defined as a junction
that allows communication between independent
paths, such as between the drillstring and the well, or
between the well and the annulus.
The proposed barrier definition does not prevent the
undesirable top event (see fault tree analysis in Henley
and Kumamoto, 1981) to happen through shortcuts
among mapped paths, as shown in figure 2.
safety barriers integrated set (BIS)
The safety barriers integrated set (BIS) can be
defined as a "set of one or more barriers with the aim
of preventing the undesirable top event, considering all
the possible paths between the system under study and
the environment".
A well BIS can be defined as a "set of one or more
barriers with the aim of preventing unintentional fluid
flow from a permeable interval (formation or pay zone)
to the surface, considering all the possible paths", as
shown in figure 3.
The BIS quantifying algorithm
The BIS Quantifying Algorithm comprises the fol-
lowing steps:
1. establish the intervention plan with a sequence
using standardized operations (as defined and exempli-
fied in Miura, 2004);
2. define the intervention initial condition, i.e., map the
status of all well barriers at the beginning of the inter-
vention;
i.e., it calculates the status of well BISes at the thresh-
old between the end of an operation and the begin-
ning of the subsequent operation.
The initial conditions, i.e., the status of all barriers at
the beginning of the intervention, should be given by
the planner. From this initial status, one can derive BIS
status of sequential operations by a calculation based
on the impact of planned operations on the barriers.
The impact of each operation on each barrier should be
mapped at this stage. It is assumed that the degree of
safety is directly related to the available amounts of BIS.
The approach is called dynamic because it evaluates the
well safety level for the entire plan, at the beginning of
each planned operation, following each change in
wellbore.
This approach is fully suitable in practice, because
the operations can be monitored in the field, and the
operation inner risks can be quantified and mitigated
on the basis of both the intervention plans and the
daily bulletins.
safety barrier
We define safety barriers as "physical separations
composed of one or more elements, capable of pre-
venting or isolating an undesirable event along a spe-
cific path between the system under study and the
environment".
Applying this barrier concept to a well, it could be
defined as "a physical separation capable of preventing
unintentional fluid flow from a permeable interval (for-
mation or pay zone) to the surface through one specif-
ic path". 
Another issue to address is the concept of mutual
independence of barriers. Without this concept there is
no way of identifying the barrier contour, and there-
fore, barriers can neither be distinguished from one
another nor be quantified.
The formal definition of barrier independence can
be stated in any of the following ways: "two barriers
are mutually independent if there is no intersection
367 �
Bolet im técn ico da Produção de Pet ró leo, R io de Jane i ro - vo lume 1, nº 2 , p. 341-367 �
expanded abst ract
3. check barrier status changes after the accomplish-
ment of each operation included in the sequence (step
1), using the operations versus barriers list;
4. calculate the amount of active independent BISes for
each sequenced operation, using the BIS graphs;
5. check whether all sequenced operations exceed the
safety threshold required by the acceptance criteria:
a. correct the operation sequence where it fails the
safety acceptance criteria, i.e., change the opera-
tion sequence in such a way that safety acceptance
criteria are satisfied. This can be done by inserting,
before the critical operation which is failing the
safety acceptance criteria, one or more operations
that activate the necessary barriers.
With this BIS quantifying algorithm, the QDRA
approach is now complete.