Confiabilidade e Manutenção · 6 min de leitura
Quarenta vezes por dia, o mesmo alarme de falha de comunicação disparava na sala de controle de uma planta de alimentos no interior de São Paulo. O alarme estava correto. O transmissor estava bom. E o operador já tinha parado de olhar.
Quarenta vezes por dia
O alarme era de falha de comunicação de um transmissor. Disparava, normalizava, disparava de novo. Em um dia comum, eram cerca de 40 ocorrências. Com esse volume, nenhum operador consegue tratar cada uma como evento.
O que aconteceu foi o que sempre acontece. O alarme ganhou apelido, “o chorão”. O operador deixou de olhar para ele. E silenciar o chorão virou parte da rotina de início de turno, junto com conferir as receitas e ler o livro de passagem.
Esse é o ponto em que um alarme deixa de proteger a planta. Ele continua na tela, mas perdeu a única coisa que o torna útil: a atenção de quem deveria agir. E, pior, ensina o operador a tratar qualquer alarme parecido da mesma forma.
Um alarme correto pela ISA 18.2
A primeira reação diante de um alarme assim é tratá-lo como alarme mal configurado. Não era o caso. Pela ISA 18.2, ele atendia a todos os critérios: exigia ação do operador, tinha tempo de resposta definido, consequência documentada, prioridade atribuída e não duplicava nenhum outro alarme.
A ISA 18.2 é a referência para gestão de alarmes em processo, e ela existe justamente para evitar alarmes inúteis que treinam o operador a ignorar a tela. Um alarme que passa em todos os critérios da norma está dizendo algo que merece ser ouvido. Ele não é ruído de configuração: é o sistema cumprindo exatamente o papel para o qual foi projetado.
Portanto, a racionalização de alarmes não resolveria nada aqui. Suprimir, reclassificar a prioridade ou aumentar o tempo de atraso apenas esconderia o sintoma. O alarme estava certo; o problema estava em outro lugar.
O transmissor estava limpo; a causa estava uma camada abaixo
O transmissor foi testado de todas as formas. Passou em todos os testes, e continuaria passando, porque não havia nada de errado com ele. O alarme reportava falha de comunicação, e a comunicação dependia de algo que ninguém tinha medido: o segmento Profibus que o ligava ao sistema.
Medido o segmento, apareceu uma taxa de erro de CRC de 18%. Quase um em cada cinco telegramas chegava corrompido. O mestre repetia, às vezes conseguia, às vezes estourava o limite de tentativas e declarava o escravo em falha. A cada declaração, o alarme disparava; na retomada, normalizava.
A causa física era um trecho de cabo Profibus passando junto a um inversor de frequência, sem a segregação mínima de bandeja entre cabo de sinal e cabo de potência. O ruído de chaveamento do inversor acoplava no par de comunicação. Somava-se a isso um terminador com problema, que degradava a qualidade do sinal no fim do segmento e reduzia ainda mais a margem contra o ruído.
Corrigir não é silenciar
A correção levou meio dia de serviço. Reroteamos 12 m de cabo para longe do inversor, respeitando a segregação de bandeja, e trocamos um terminador. Nenhum equipamento novo, nenhuma alteração de configuração no sistema de controle. Foi a intervenção mais simples possível, feita no lugar certo.
O alarme sumiu. Não foi silenciado, suprimido ou reclassificado: ele simplesmente deixou de ter motivo para disparar. A diferença é importante, porque um alarme silenciado continua escondendo o problema, e um alarme que some porque a causa foi corrigida devolve ao operador um painel em que cada ocorrência volta a significar alguma coisa.
Na mesma investigação, encontramos o mesmo padrão de CRC alto em outros dois segmentos Profibus da planta. Nenhum deles ainda gerava alarme. Os dois foram corrigidos na mesma semana, antes de virarem os próximos chorões.
Como encontrar o próximo chorão antes que ele apareça
Os dois segmentos corrigidos na mesma semana mostram que o chorão era só o caso visível. O CRC alto existe antes do alarme; o alarme só aparece quando a taxa de erro passa do ponto em que o mestre desiste do escravo. Até lá, a rede está degradada e ninguém sabe.
Encontrar esses segmentos antes exige medição no barramento, e não no instrumento. Em uma rede Profibus, o roteiro mínimo cobre:
- Taxa de erro e contagem de retries por segmento, medidas com a planta em produção
- Forma de onda e amplitude diferencial do sinal, para ver ruído acoplado e terminação ruim
- Verificação dos terminadores nas duas extremidades de cada segmento
- Levantamento do encaminhamento dos cabos de comunicação próximos a inversores e cabos de potência
A rede grita e o CMMS anota o nome do transmissor
Alarme frequente que nunca se confirma é instrumento medindo a coisa certa no lugar errado. O transmissor media o processo corretamente; o que falhava era o caminho entre ele e o sistema. Mas o registro de manutenção não tem campo para caminho. Ele anota o nome do transmissor, e é o transmissor que vai para a bancada.
Existe uma camada entre o meio físico aprovado na entrega da obra e as aplicações que a operação vê na tela. É nela que se decide a confiabilidade de tudo o que está acima: controle, alarmes, historiador, relatórios. E é a única camada que quase nenhuma planta mede como rotina.
Para a gestão, a lição é prática. Todo alarme de comunicação recorrente deveria gerar uma medição do segmento antes de gerar uma troca de instrumento. É uma inversão pequena no procedimento, e ela muda o destino do chamado.
Artigo desenvolvido a partir das publicações de Darwin Anastacio Junior no LinkedIn.