Acidentes com

Inflamáveis
—
SUMÁRIO

1 – INTRODUÇÃO.......................................................................................................................... 3
1.1 STEP...................................................................................................................................... 5
1.2 Diagrama de Ishikawa....................................................................................................... 6
1.3 MCP....................................................................................................................................... 7
1.4 Análise dos porquês.......................................................................................................... 8
1.5 Árvore de falhas................................................................................................................. 9
2 – ANÁLISE DE ACIDENTES COM INFLAMÁVEIS................................................................12
2.1 Vents e drenos..................................................................................................................17
3 – EXEMPLOS DE ACIDENTE COM INFLAMÁVEIS..............................................................17
3.1 Acidente fatal: Refinaria Henrique Lage – Revap (São José dos Campos/SP,
Brasil)........................................................................................................................................17
3.1.2 Eventos que antecederam o acidente.................................................................18
3.1.3 Causas imediatas.....................................................................................................20
3.1.4 Causas básicas..........................................................................................................20
3.1.5 Recomendações.......................................................................................................20
3.2 Acidente fatal: REMAN (Manaus/AM, Brasil) ............................................................21
3.2.1 Causas imediatas.....................................................................................................22
3.2.2 Causa básica..............................................................................................................23
3.2.3 Recomendações.......................................................................................................23
3.3 Acidente: Valero Refinery e Texas City.......................................................................23
3.3.1 Reconstituição do evento ......................................................................................23
3.4 Acidente em Flixborough...............................................................................................26
4 – CONSIDERAÇÕES FINAIS....................................................................................................30

2 / 31
1 – INTRODUÇÃO
Neste material sobre acidentes com inflamáveis, você conhecerá a análise de causas
e as medidas de controle de acidentes com inflamáveis. Os objetivos deste curso são:

•• Definir os conceitos de acidentes, incidentes e desvios conforme os padrões

adotados pela Petrobras.
•• Aplicar o método de análise e tratamento de acidentes utilizado pela Petrobras.
•• Identificar as principais causas de acidentes.
•• Indicar medidas preventivas necessárias para evitar a ocorrência de acidentes com
inflamáveis.

Inicialmente, vamos definir alguns conceitos importantes para a compreensão

do conteúdo. Para a Petrobras, são utilizadas as seguintes definições de acidente,
incidente e desvios:

•• Acidente: evento imprevisto e indesejável, instantâneo ou não, que resultou em

dano à pessoa (incluindo doença do trabalho e doença profissional), ao patrimônio
(próprio ou de terceiros) ou ao meio ambiente.
•• Incidente: evento imprevisto e indesejável que resulta em dano à pessoa, ao
patrimônio (próprio ou de terceiros) ou ao meio ambiente.
•• Desvio: qualquer ação ou condição que tem potencial para conduzir, direta ou
indiretamente, danos a pessoas, ao patrimônio (próprio ou de terceiros) ou ao meio
ambiente e que se encontra desconforme com normas de trabalho, procedimentos,
requisitos legais ou normativos e requisitos do sistema de gestão ou boas práticas.

A Diretriz de SMS nº 13 determina os requisitos relacionados à análise de acidentes e

incidentes. Os acidentes e incidentes decorrentes das atividades da empresa devem
ser analisados, investigados e documentados de modo a evitar sua repetição e
assegurar a minimização de seus efeitos. Além disso, é preciso:

•• Implementar procedimentos que permitam a identificação, registro e análise das

causas dos acidentes e a quantificação das perdas.
•• Efetivar métodos que permitam a identificação e tratamento de não conformidades
eventualmente capazes de causar acidentes.
•• Gerar obrigatoriedade de comunicação imediata de acidentes e de pronta atuação
sobre suas consequências.

3 / 31
•• Promover a obrigatoriedade do registro de acidentes no respectivo indicador de
desempenho.
•• Incorporar às atividades da empresa as lições extraídas dos acidentes visando à
melhoria constante dos sistemas de prevenção.
•• Acompanhar as medidas corretivas e/ou preventivas adotadas.
•• Garantir que, em acidentes graves, a investigação tenha participação externa à da
unidade onde ocorreu e da área corporativa de SMS.

Ela também propõe um padrão de análise e tratamento de anomalias de SMS com

o objetivo de estabelecer os requisitos do processo de análise e tratamento de
anomalias de SMS na companhia. Este padrão se aplica à análise de tratamentos
de acidentes e incidentes e, também, de desvios correlacionados às atividades e
operações da companhia que afetem a força de trabalho, a comunidade, as instalações,
o patrimônio ou o meio ambiente.

Existem inúmeros modelos para investigar e analisar acidentes e incidentes. Neste

módulo, estudaremos os seguintes métodos:

4 / 31
1.1 STEP
STEP é a sigla de sequentially timed events plotting. Este método permite analisar
dados de forma temporal, gerando uma representação gráfica do processo como
resultado final. Ele ajuda a descrever o acidente de forma cronológica, identificando
as causas imediatas e básicas que levaram à ocorrência do acidente; além disso,
permite compreender o quê, como e por que aconteceu.

Costuma ser utilizado em acidentes mais complexos, geralmente em conjunto com

outras ferramentas de análise de acidentes. Ele consiste em representar graficamente
o processo que levou ao acidente. O processo é visto como um agente que, ao longo
do tempo, contribuiu para a ocorrência do sinistro.

Um agente somado a uma ação constitui um evento. Observe que, na linha vertical, são
plotados os agentes e, na linha horizontal, o tempo. Dispõe-se de todos os elementos
ou fatos relevantes interligados por linhas que auxiliam no exame detalhado do
acidente ou incidente.

O método STEP é vantajoso porque:

•• Organiza os dados.
•• Orienta a análise de forma temporal.
•• Valida a sequência do acidente.

5 / 31
•• Testa a hipótese de maneira objetiva e lógica.
•• Identifica diferenças entre processos atualmente utilizados e planejados.
•• Apresenta a necessidade de novas análises.
•• Auxilia na identificação de lacunas no processo de ocorrência do acidente.

1.2 Diagrama de Ishikawa

O diagrama de Ishikawa é uma forma estruturada que ajuda a identificar prováveis
causas de um problema através de uma classificação de seus fatores potenciais.

Esse diagrama funciona a partir da formulação do problema através da nomeação

do efeito, levantando posteriormente as possíveis causas através de brainstorming.
Por fim, classifica as ideias entre os 6M (método, máquinas, meio ambiente, material,
mão de obra e medição).

6 / 31
Como resultado, obtêm-se:

•• A determinação das causas que contribuíram para a ocorrência do evento

(problema).
•• A ilustração da ação recíproca entre as causas correlacionadas.
•• A identificação da causa-raiz.
•• A base para registro e avanço nas técnicas de resolução de problemas.

A partir das causas, são determinadas as ações a serem adotadas para corrigir, mitigar
ou eliminar os problemas identificados.

1.3 MCP
O modelo de causalidade de perdas (MCP) baseia-se em uma estrutura conceitual
apoiada nos conceitos de prevenção e controle de perdas. As perdas são reconhecidas
como resultado de qualquer acidente que resulte em dano pessoal, material ou
ambiental. O conceito de acidente considera a transmissão de energia ou substância
entre corpos e/ou estruturas. Portanto, um acidente ocorre quando há um contato
com uma fonte de energia ou substância acima de um patamar limítrofe a partir
do qual há danos pessoais ou perdas materiais/ambientais. Esse modelo utiliza um
checklist padrão que orienta a aplicação do método.

Inicialmente, é importante ter uma visão ampla do cenário do acidente para orientar
sobre os elementos que evidenciarão suas causas, pessoas, posições, partes e
papeis. Essa é uma maneira de classificar as evidências coletadas e observadas. A
partir da descrição do acidente ou incidente, avalia-se o potencial de perdas (caso ela
não seja controlado). Depois, é definido o tipo de contato com a fonte de energia ou
substância envolvida num acidente ou incidente. Uma vez definido o tipo de contato,
este indicará as possíveis causas imediatas que levaram à ocorrência do acidente.

As causas imediatas estão classificadas em atos abaixo do padrão e condições abaixo

do padrão. Procede-se a mesma análise para a identificação das causas básicas.
Cada causa imediata indicará possíveis causas básicas que levaram à ocorrência do
acidente ou incidente.

As causas básicas são classificadas em fatores pessoais e do trabalho. A partir da

definição das causas básicas, o formulário indicará as possíveis causas administrativas
que levaram à ocorrência do acidente. Para cada causa administrativa, deve ser

7 / 31
observada a existência de:

Programas indicativos inadequados.

Padrões inadequados do programa.
Cumprimento inadequado dos padrões.

Em relação às vantagens, o MCP identifica os fatores administrativos, possibilita uma

divisão ordenada da relação de causas e efeitos, e apresenta um checklist que facilita
os trabalhos de análise.

1.4 Análise dos porquês

A análise dos porquês é um método estruturado de aplicação simples, que permite
identificar as causas básicas que levaram à ocorrência de um acidente ou incidente
através da aplicação da pergunta “por quê?”.

8 / 31
A partir da descrição do acidente, perguntar o porquê da sua ocorrência. A partir da
resposta, seguir perguntando “por que” até alcançar a causa básica. Geralmente,
questiona-se “por que” até cinco vezes, mas não é uma regra, podendo-se identificar
a causa básica antes ou depois da quinta pergunta. É um método vantajoso pela
simplicidade de aplicação.

1.5 Árvore de falhas

A análise por árvore de falhas foi aplicada inicialmente pela indústria aeroespacial
e posteriormente adotada pela indústria nuclear para qualificar e quantificar os
perigos e riscos associados às suas operações. Após o sucesso da aplicação na
indústria nuclear, tornou-se popular na indústria química. Por ser uma técnica mais
trabalhosa, exige a aplicação de mais recursos.

9 / 31
A análise por árvore de falhas pode ser utilizada como:

•• Ferramenta de análise de riscos, do ponto de vista preventivo.

•• Método de investigação de acidentes.

A análise por árvore de falhas é um método que aplica a lógica dedutiva para determinar
as causas de um determinado evento – geralmente, indesejável. A técnica baseia-se
em um evento topo e utiliza símbolos e pictogramas para representar as causas que
levam à ocorrência desse evento topo e elucidar como elas interagem para produzi-
lo. O método utiliza a aplicação dos operadores lógicos “E” e “OU” ao longo da árvore
de falhas. No caso do portão “E”, dois ou mais eventos devem ocorrer para que o
evento intermediário ou topo aconteça. No caso do portão “OU”, basta que qualquer
um dos eventos de entrada ocorra para que haja o evento de saída intermediário.

Existem quatro etapas para o desenvolvimento da árvore de falhas:

1. Definição do sistema e suas interfaces.

2. Definição do evento topo.
3. Construção da árvore de falhas em si.

10 / 31
4. Determinação dos cortes mínimos.

Antes de seguir essas etapas, é necessário reunir toda a documentação necessária

que se assemelha àquela utilizada em outras técnicas, como APP e HAZOP, que, por
sua vez, estão representadas no módulo sobre análise de riscos.

Um exemplo simples da árvore de falha pode ser visto a seguir:

Nesse exemplo, temos 2 eventos intermediários (I1 e I2, sendo este do tipo k/N), 4
eventos básicos (B1-B4) e um evento não desenvolvido (ND), cuja ocorrência leva

11 / 31
direto ao evento topo. A letra k representa os cortes mínimos, que, por sua vez,
representam as combinações que levam ao evento topo. Os cortes mínimos são um
conjunto de eventos suficiente para provocar a ocorrência do evento topo.

No exemplo, os cortes mínimos são identificados pela letra k, e o portal k/N é igual
a 2/3. Admitindo que qualquer combinação de dois eventos entre B1, B2 e B3 leva
à ocorrência do evento I2, a combinação de I2 (resultante de k/N) com B4 leva à
ocorrência de I1 e, consequentemente, do evento topo.

2 – ANÁLISE DE ACIDENTES COM INFLAMÁVEIS

Vistas as ferramentas de análise de acidentes e incidentes, vamos analisar alguns
acidentes com inflamáveis ocorridas na indústria.

Companhia de GLP (Paulínia/SP, 1987)

Durante um teste hidrostático num tanque novo, o berço (local de sustentação do

tanque) não suportou, e o tanque caiu em cima da tubulação de gás que estava
recebendo GLP da refinaria. A tubulação rompeu, e o GLP líquido foi lançado sobre o
responsável pelo serviço, que morreu congelado.

Esse acidente ocasionou a criação de uma medida preventiva que exige que todo
teste hidrostático seja realizado após a colocação de dormentes de madeira (fogueira)
embaixo do tanque de forma que, em caso de problema no berço, o tanque seja

12 / 31
suportado por eles.

Engarrafadora de gás (Canoas/RS, 1999)

Incêndio de grandes proporções, iniciado durante um serviço de manutenção por

despreparo da equipe e falta de avaliação dos riscos da atividade. O serviço de solda
foi realizado numa área que tinha gás liquefeito de petróleo no ambiente.

A partir da investigação, identificou-se que a melhor medida a ser tomada para

prevenir esse tipo de acidente estava relacionada à emissão de PT, pois, dessa forma,
seria exigida a verificação da presença de gás no ambiente do trabalho.

San Juan Ixhuatepec (México, 1984)

Num parque de GLP, ocorreu a ruptura de um duto de recebimento de 12’’, com 400
km de comprimento. O duto rompeu na área do parque, dentro do dique existente,
e o GLP ficou retido pelos diques e inflamou-se; 6 esferas e 44 vasos explodiram,
lançando pedaços de aço e gotas inflamadas de GLP sobre a comunidade vizinha.
Mais de 650 pessoas morreram, cerca de 40.000 pessoas foram desabrigadas, e os
prejuízos materiais foram de cerca de 20 milhões de dólares.

13 / 31
Piper Alpha (Mar do Norte, 1988)

Durante a operação, direcionou-se determinado produto para um sistema que estava

em manutenção e aberto para atmosfera. Houve vazamento de gás e incêndio, e as
bombas de incêndio estavam em operação manual e não partiram. O fogo provocou
a ruptura de dutos de gás que interligavam a plataforma com outros campos. Parte
do pessoal ficou encurralado nos alojamentos. O fogo danificou a estrutura, e os
módulos de alojamento e de processo afundaram no mar. 167 pessoas morreram.

14 / 31
Fogo em tanque – transbordamento seguido de ignição

Em certa noite, um tanque de armazenamento contendo líquido inflamável começou

a transbordar. Isso não foi percebido até uma pessoa da segurança notar um cheiro
muito forte. Ele chamou imediatamente o pessoal da operação para relatar sua
preocupação. Dois operadores, num veículo, dirigiram-se à área para investigar o
caso. Em poucos minutos, ouviu-se uma explosão seguida de incêndio (acredita-se
que o veículo originou a fonte de ignição para tal explosão).

O incêndio afetou as instalações da refinaria e pessoas civis, levando um dia e meio

para se extinguir, e o fogo se espalhava de um tanque para outro, sem controle.
Dezenas de empregados foram hospitalizados, e houve prejuízo considerável.

15 / 31
O tanque de armazenamento estava sendo abastecido; porém, os operadores
desconheciam que o indicador de nível e o sistema de alarme de segurança estavam
danificados.

Eles não acompanhavam com rigor o processo de abastecimento do tanque, pois

acreditavam que ainda havia bastante capacidade do tanque a ser preenchida.
Além disso, eles não levaram a sério a pessoa da segurança, deixando de responder
prontamente ao seu aviso sobre o forte odor porque ele era novo no emprego.

Como fazer certo?

Transferir líquidos inflamáveis é sempre um risco em potencial, com consequências

consideráveis. Monitore as transferências de produto com atenção redobrada, pois só
assim você pode detectar e responder rapidamente a derramamentos e vazamentos

16 / 31
de produtos.

Nunca dirija em ambiente com nevoeiro inflamável. Veículos podem originar fontes
de ignição – como uma engrenagem do motor quente ou o escapamento, visto que
estão frequentemente com temperaturas bem acima das de ignição (ponto de fulgor)
de produtos inflamáveis.

Lembre-se: se uma atmosfera explosiva sofre ignição causada pelo veículo que você
estiver dirigindo, segue-se uma sequência de eventos, na qual você será o primeiro a
perceber e estará no centro da explosão.

Leve a sério todo relato de ocorrência fora do normal ou vazamento (cheiro de

produto) e responda rápida e completamente o chamado.

DICA: se o motor do veículo que você estiver dirigindo acelerar por si próprio,
desligue-o e saia imediatamente do local. Você pode se encontrar dirigindo em uma
atmosfera inflamável.

Se o motor do veículo que você estiver dirigindo desligar por si só, não tente ligar
novamente e saia imediatamente do local. Você pode se encontrar dirigindo em uma
atmosfera rica em inflamável.

2.1 Vents e drenos

Após vários acidentes com perda de contenção e consequentes danos pessoais,
materiais e ambientais, adotou-se a prática de sempre manter um cap na extremidade
de dreno, ou vent, quando a linha estiver em operação.

A unidade industrial deve definir, através de auditorias, aplicação de checklist, etc.,

uma sistemática que assegure que todos os vents e drenos tenham seus respectivos
tampões.

3 – EXEMPLOS DE ACIDENTE COM INFLAMÁVEIS

3.1 Acidente fatal: Refinaria Henrique Lage – Revap (São José dos

17 / 31
Campos/SP, Brasil)
Um vazamento de óleo diesel seguido de incêndio na unidade de tratamento de
instáveis 262 resultou em uma fatalidade, além de queimaduras de terceiro, segundo
e primeiro grau em trabalhadores.

3.1.2 Eventos que antecederam o acidente

Uma plataforma provisória de andaimes foi montada sobre o pipe rack, a seis metros
de altura, na região limite dos escopos das unidades 262 e 311 para atender ao serviço
de parada de manutenção, finalizada em 12 de maio.

No dia 14 de maio, a unidade 262 operava normalmente, produzindo diesel

especificado e alinhado para o tanque final. A plataforma provisória, assim como
outros andaimes, permanecia montada.

Em 17 de maio, dia do acidente, o grupo de planejamento de intervenções da refinaria

comunicou ao técnico de operação da unidade 262, no início do seu turno de trabalho,
a previsão da desmontagem da plataforma de andaime para o mesmo dia 17. O técnico
de operação realizou sua rotina diária para o início de turno e acessou a plataforma
montada para verificação, não percebendo anormalidades. Ao retornar para a casa
de controle local da unidade, o técnico de operação encontrou o encarregado de
andaimes, que pediu a liberação da permissão de trabalho para desmontagem de
andaimes da unidade 262.

Na casa de controle, o técnico de operação preencheu e liberou a PT. No campo lista

de verificação, ele considerou como não aplicáveis os riscos de correntes de falta de
tapamento de vents e drenos. O encarregado da desmontagem dos andaimes elaborou
a análise de segurança da tarefa AST no piso da unidade embaixo da plataforma a ser
desmontada; então, orientou sua equipe previamente sobre o trabalho. A AST não
mencionou riscos relativos aos vents das linhas próximas à plataforma de andaimes.
Depois de desmontados dois dos andaimes previstos na PT, instalados em outros
locais da unidade, é iniciada então a desmontagem da plataforma de andaime no
pipe rack.

Quatro montadores de andaime participaram do serviço. Um deles desmontando

o prolongamento da plataforma, passando as peças para um segundo montador e,
deste, a um terceiro montador posicionado nas linhas do pipe rack, descendo as peças
por cordas a um quarto montador localizado no piso da unidade para recolhimento e
destinação das peças de andaimes.

18 / 31
O trabalho do terceiro montador é executado muito próximo ao vent da linha de
diesel carga da unidade que estava sem cap. Cerca de 15 minutos após o início da
desmontagem, ocorreu a abertura acidental do vent. O jato de diesel atingiu um dos
montadores, espalhou no ambiente e, ao ser ignitado pela superfície de um flange
da linha de vapor de alta, inflamou. Mesmo não se soltando, o montador correu na
direção sul para se afastar ao máximo do foco de incêndio. Caiu sobre a linha e faleceu
no local.

Outro montador fugiu em direção a uma escada marinheiro próxima, mas, como
permaneceu preso ao talabarte, voltou ao foco do incêndio e se soltou; nesse
momento, teve as pernas em chamas e, com a rota para a escada já obstruída pelo
incêndio, fugiu pela direção sul do pipe rack e desceu escorregando por uma linha.
Foi socorrido por dois técnicos de operação que abriram um hidrante para apagar
as chamas. O montador que desmontava o prolongamento da plataforma conseguiu
soltar seu talabarte e fugir pela direção norte do pipe rack, percorrendo então por 30
metros sobre as linhas. Escalou para uma altura menor e saltou a cerca de 4 metros
do piso. Afastado do local do incidente, este montador sofreu queimaduras, mas não
teve o corpo em chamas.

O montador que estava no piso da unidade conseguiu se afastar do foco do incêndio

sem sofrer queimaduras. Um técnico de operação próximo à área percebeu o flash
seguido de incêndio e se comunicou via rádio com a casa de controle e com o SMS.

Técnicos de operação e de SMS chegaram ao local e iniciaram o combate ao incêndio.

Solicitaram à casa de controle a parada em emergência da unidade e o desligamento
das bombas e cargas. A brigada chegou à área e assumiu o combate e o controle da
emergência.

Os primeiros socorros foram prestados aos acidentados, que foram encaminhados

para saúde ocupacional e, posteriormente, ao hospital de tratamento de queimados.

O incêndio foi extinto, e percebido o vazamento de diesel pelo vent de linha de carga
da unidade. Sob a proteção de água neblinada, um técnico de operação em uma
plataforma elevatória fechou o vent com o auxílio de um tubo de andaime.

Às 16h45, declarou-se o término da emergência. Todo o apoio à família foi prestado.

Além disso, uma comissão foi constituída para analisar as causas do acidente. Os
técnicos visitaram o local, realizaram várias entrevistas e analisaram os documentos
e as fotos do acidente.

19 / 31
3.1.3 Causas imediatas
•• Vazamento de diesel pela abertura involuntária do vent sem cap da linha de carga
da HDT.
•• Contato do diesel vazado com superfície aquecida do flange de vapor de alta.

3.1.4 Causas básicas

•• Avaliação de riscos para a liberação do trabalho realizada no local, mas sem o uso
da lista de verificação da permissão de trabalho, com posterior liberação na CCL.
•• Toque acidental na haste da válvula do vent da linha de diesel carga em razão de
análise de segurança da tarefa não ter identificado o risco do vent sem cap em
região próxima aos montadores de andaimes.

Com base no relatório elaborado pela comissão de apuração do acidente, a área de

negócios, a despeito de já utilizar as melhores práticas de gestão de SMS e na busca
permanente dos melhores resultados nessa área, inseriu as recomendações adiante
apresentadas, sem que a adoção de tais medidas representasse uma correlação de
causa e efeito entre o resultado do acidente e as medidas adotadas.

3.1.5 Recomendações
•• Criar na lista de verificação da PT item específico para o tamponamento de vents e
drenos, retirando esta indicação da linha 6 desta lista.
•• Reforçar aos liberadores de PT quanto à importância e obrigatoriedade do
preenchimento da lista de verificação da PT no local da intervenção.
•• Revisar formulário de segurança (AST) de modo a conferir, além dos riscos
específicos da atividade, os decorrentes do processo e de instalações, explicitando
a existência de drenos e vents sem caps no entorno do local de trabalho.
•• Recomendar à CONTEC que avalie a necessidade de explicitar na N-108 suspiros
e drenos para tubulações e equipamentos, cuidados na especificação do tipo de
válvula a ser usada em vents e drenos, bem como sua instalação de forma a evitar
a abertura acidental.
•• Instituir, na fase de aceitação mecânica das instalações, item específico rastreável
que evidencie a efetiva instalação de caps em vents e drenos.
•• Designar, para o recebimento de linhas de equipamentos que sofreram
manutenção, lista de verificação específica para identificação da conformidade de
tamponamento de vents e drenos.

Atividades de operação com hidrocarbonetos fazem parte da nossa vida na companhia.

20 / 31
Vários acidentes já aconteceram em nossas instalações. O desdobramento do
aprendizado deve ser realizado em qualquer uma das instalações da Petrobras.

3.2 Acidente fatal: REMAN (Manaus/AM, Brasil)

O acidente que vamos descrever: vazamento de resíduos atmosféricos seguido de
incêndio.

20 de setembro de 2010: uma nota de falha, defeito, é aberta informando sobre

problema identificado na válvula FV 108 – válvula de controle de fluxo de resíduo
atmosférico RAT. Ela não realizava abertura total.

21 de setembro de 2010: é gerada uma ordem de manutenção para a válvula FV 108.

22 de setembro de 2010: o processo de retirada da válvula é iniciado conforme a

programação. Às 9h, liberou-se para o instrumentista a permissão para trabalho com
análise de risco nível 1 para desconectar a FV 108. Às 09h45, emitiu-se a PT com AR
nível 1 para caldeiraria retirar a válvula.

O TO bloqueia as válvulas à montante e jusante da FV 108, e não libera o sistema. O

fluxo da estação de controle de vasão é mantido pela abertura do by-pass. Os caps
são retirados, e os drenos, abertos. Os drenos obstruídos não permitem a drenagem
da tubulação. Os drenos são deixados abertos. A drenagem é então realizada entre
os flanges da válvula e os da tubulação. A válvula é retirada e levada para a oficina.
Flanges cegos são instalados, e as PTs são encerradas.

23 de setembro de 2010: por volta das 11h, a unidade de destilação apresenta

instabilidade devido à queda de tensão, causando a parada de bombas elétricas. Por
volta das 14h30, a PT com AR nível 1 para reinstalação da FV 108 foi emitida. O técnico
de operação TO, após liberar a PT em campo, não acompanhou a realização do serviço
e se reintegrou à equipe do restabelecimento da carga da unidade. Os flanges cegos
foram retirados, e foi reinstalada a FV 108.

Aproximadamente às 15h10, TO da área visualizou a conclusão da reinstalação da

FV108 pelos caldeireiros. No momento em que se dirigia para o abrigo dos operadores
para a passagem de serviço, por não encontrar o seu substituto – a técnica de
operação – a passagem de serviço foi realizada com a intermediação do TO da UFCC
que se encontrava no local.

21 / 31
Momentos depois, a TO chegou ao abrigo dos operadores para receber o serviço.
O TO da UFCC transferiu as informações recebidas do operador que saíra do turno;
entre elas, informações quanto ao restabelecimento da carga da unidade e que a
válvula FV 108 estava retornando de manutenção. Antes mesmo de deixar o abrigo
dos operadores, a TO foi abordada pelo caldeireiro que realizou a reinstalação da FV
108, solicitando o encerramento da PT. A TO realizou o encerramento.

Em seguida, a TO emitiu a PT com AR nível 1 para a instrumentação realizar a conexão

e teste da FV 108. A TO dirigiu-se, juntamente com o instrumentista, à estação de
controle a fim de liberar em campo a execução do serviço. Acompanhou o início dos
trabalhos e afastou-se a fim de realizar outras manobras operacionais de rotina. A
TO retornou e acompanhou a conclusão dos serviços. A TO executou em conjunto
com o TO de painel os testes a seco de abertura da FV 108.

Após a conclusão dos testes, iniciou o processo de retorno do operacional da FV 108.

Iniciou a abertura da válvula a montante, não verificou a condição das válvulas de
drenos e não providenciou a colocação dos caps dos drenos.

Durante a abertura da válvula de bloqueio jusante, ocorreu o vazamento pelos drenos

de resíduos atmosféricos, criando uma nuvem de vapor. Durante o vazamento, o
instrumentista conseguiu se afastar e não sofreu ferimentos. A TO permaneceu no
local na tentativa de fechar a válvula quando o incêndio foi iniciado. A técnica de
operação ficou exposta à chama e à radiação térmica, sofrendo queimaduras internas
e externas de grande extensão.
A emergência foi controlada prontamente pela EOR da refinaria. A TO foi socorrida e
encaminhada para a enfermaria da REMAN e, em seguida, para o hospital. Em 30 de
setembro, a TO faleceu após complicações. A família recebeu todo o apoio necessário.

É importante observar que se tratava de um acidente em atividade de operações

com hidrocarbonetos. Uma comissão foi constituída para investigar as causas do
acidente. Os técnicos visitaram o local, realizaram várias entrevistas e analisaram os
documentos e as fotos do acidente.

3.2.1 Causas imediatas

Não execução da verificação do status do sistema (drenos da estação de controle de
vazão) antes de colocá-lo em operação.
Vazamento de RAT pelos drenos da estação de controle da FV 108, seguido de
incêndio.

22 / 31
Permanência da técnica de operação junto à válvula de bloqueio à jusante da FV 108,
na tentativa de fechamento dela, no momento do vazamento.

3.2.2 Causa básica

•• Processo de planejamento da intervenção aplicado, porém deficiente, devido à
inexistência de procedimento formal ou planejamento operacional para liberação
e retorno da estação de controle que pudesse ser consultado pelos técnicos de
operação como referência na verificação de campo.

Com base no relatório elaborado pela comissão de apuração do acidente, a área de

negócios, a despeito de já utilizar as melhores práticas de gestão de SMS e na busca
permanente dos melhores resultados nessa área, inseriu as recomendações adiante
apresentadas sem que a adoção de tais medidas representasse uma correlação de
causa e efeito entre o resultado do acidente e as medidas adotadas.

3.2.3 Recomendações
•• Elaborar procedimento para liberação e retorno à operação de estações de controle.
•• Incluir nas ordens de serviço de reinstalação de válvulas de controle tarefa de
instalação de caps nos drenos.
•• Rever o procedimento para elaboração e aplicação do LIBRA em estações de
controle.
•• Adequar a prática de passagem de turno.
•• Garantir o cumprimento do procedimento específico para atividade de desobstrução
de drenos.
•• Aprimorar a aplicação do processo de acionamento de intervenções.

3.3 Acidente: Valero Refinery e Texas City

3.3.1 Reconstituição do evento

Em 23 de março de 2005, várias unidades da refinaria estavam desativadas para
manutenção, o que trouxe ao focal quase mil profissionais, além dos funcionários da
refinaria BP. A BP tinha colocado vários trailers junto às unidades de processamento
para as equipes responsáveis pela manutenção. Durante meses, havia 10 trailers
para trabalhadores da unidade Ultracracker, incluindo um de madeira com o dobro de
largura, com 11 escritórios usados regularmente para reuniões.

23 / 31
Apesar de estarem perto da unidade de isomerização, os trabalhadores não foram
avisados do startup, uma operação potencialmente perigosa. Às 2h15 da manhã, em
23 de março, trabalhadores começaram a inserir hidrocarbonetos líquidos, chamados
rafinados, em uma fonte fracionadora de 50 m de altura, usada para destilar e separar
componentes de gasolina. Próximo à base da torre, havia um único instrumento
para medir o líquido. Ele envia os dados a uma sala de controle localizada longe da
unidade; entretanto, esse indicador não foi projetado para medir acima de 3 m. Em
operações normais, a torre deveria conter só 2 m de líquido; no entanto, em startups,
os operadores costumavam se desviar dos padrões e ultrapassar o limite de 3m,
pensando que um nível muito baixo causaria prejuízos à fornalha.

Às 3h09 da manhã, quando o líquido chegou aos 2,5 m, um alarme disparou e soou
na sala de controle. Porém, outro alarme, um pouco mais acima da torre, falhou e
não disparou. Às 3h30, o indicador mostrava que o líquido havia chegado aos 3 m e
interromperam a alimentação.
A CSB estimou que, na verdade, o líquido estava a uma altura de 4 m. Os operadores
não sabiam o nível exato porque o indicador não media acima dos 3 m. O operador-
chefe monitorava o startup de uma sala de controle dentro da ISOM.

Às 5h, atualizou rapidamente o operador na sala de controle sobre as atividades. O

operador-chefe saiu mais cedo, 1 hora antes do fim do expediente.

Outro operador chegou aproximadamente às 6h, começando o seu 30º dia seguido de
12 horas de trabalho. Falou rapidamente com o operador de saída e leu os registros,
preparando-se para o startup. Entretanto, os registros não informavam a quantidade
de líquido na torre, nem instruíam sobre o roteamento de líquidos e produtos ao
reiniciar o startup. Havia apenas uma linha no livro de registro que dizia: “ISOM: pus
refinado na unidade, para completar refinado”. Às 7h15, o supervisor daquele turno
chegou. Mais de 1 hora atrasado, não recebeu informação formal da equipe da noite
sobre as condições de ISOM.

Às 9h51, reiniciaram o startup. A alimentação voltou a circular, enchendo mais a

torre que já ultrapassara o limite. Com a nova alimentação, o nível na torre deveria
ser regulado com a válvula automática de controle de volume, mas os operadores
receberam instruções divergentes sobre o roteamento do produto. Por isso, a válvula
fundamental continuou horas fechada, obstruindo o fluxo de saída de líquido.
Minutos depois, acenderam queimadores na fornalha para aquecer o líquido, parte do
processo de startup. Iniciado o startup, o supervisor avisou que deixaria a refinaria
antes das 11h devido a uma emergência na família.

24 / 31
Contrariando procedimentos da BP, nenhum supervisor experiente foi posto em seu
lugar, deixando um único operador de controle, sem supervisor qualificado, operando
3 unidades da refinaria, incluindo a ISOM, que demandava bastante atenção. Em 1999,
a refinaria havia eliminado o 2º operador devido a cortes orçamentários, depois que a
BP comprou a Amoco.

O startup continuava, e a torre não parava de encher, chegando aos 30 m pouco antes
do meio-dia, 15 vezes o nível normal. Mas o indicador mal calibrado mostrava aos
operadores que o líquido estava a 2,5m e diminuindo gradualmente. Além disso, o
monitor não era configurado para alertar sobre o perigo crescente. A mesma tela não
mostrava a entrada e a saída de líquidos, nem calculava a quantidade de líquido na
torre.

Enquanto isso, equipes de manutenção não envolvidas com a ISOM deixaram o local
para ir almoçar, comemorando 1 mês sem acidentes de trabalho. Às 12h41, um alarme
disparou quando o líquido comprimiu os gases no topo da torre. Sem entender a fonte
de alta pressão, os operadores abriram uma válvula manual para liberar os gases
para o sistema de purga de emergência, um tambor de purga de 1950, que liberava
vapor diretamente na atmosfera. Os operadores também desligaram 2 queimadores
para baixar a temperatura da torre, acreditando que reduziria a pressão. Ninguém
sabia que a torre estava perigosamente cheia. Os operadores ficaram preocupados
com a falta de saída de líquido e abriram a válvula para enviar líquido a tanques de
armazenamento. O líquido estava muito quente. O trocador de calor aumentou a
temperatura do líquido, que entrava na torre em 60ºC. Era em torno de 13h.

Os técnicos, sem saber do startup e do perigo iminente, voltaram do almoço e

se reuniram no trailer, na sala mais próxima ao tambor de purga. Nos minutos
seguintes, a alimentação quente fez o líquido ferver e dilatar. O líquido preencheu a
torre e se derramou pela linha suspensa de vapor, exercendo pressão nas válvulas de
emergência, 45 m abaixo. Às 13h14, as 3 válvulas de emergência se abriram, enviando
52 mil galões de líquido inflamável ao tambor de purga, do outro lado da ISOM. O
líquido encheu o tambor de purga e vazou em um esgoto de processo, disparando
alarmes na sala de controle. No entanto, o alarme de alto nível no tambor de purga
não disparou. Nenhum dos operadores sabia da catástrofe iminente na ISOM.

Quando os hidrocarbonetos encheram o tambor de purga, operadores viram líquido

e vapor eclodirem do topo da chaminé. O volume de quase um caminhão de tanque
de gasolina quente caiu sobre o terreno e começou a formar uma enorme nuvem
de gás inflamável. A nuvem de vapor espalhou em apenas 90 segundos, cobrindo a

25 / 31
unidade e os trailers com trabalhadores. A cerca de 7 m do tambor de purga, havia 2
trabalhadores em uma pick-up com motor ligado. Ao entrar na admissão de ar, o vapor
fez o motor acelerar. Os dois homens escaparam sem conseguir desligar o motor.
A seguir, o escapamento estourou, ateando fogo na nuvem de gás. Enormes explosões
varreram a área. A onda de pressão espalhou-se pela ISOM, causando destruição
maciça e incêndios por toda a área. As pessoas nos trailers estavam bem no caminho
das explosões.

Os incêndios continuaram queimando durante horas. 12 dos 20 ocupantes do

trailer de madeira morreram, além de outros 3 em outro trailer. Dezenas sofreram
queimaduras graves, fraturas e ferimentos traumáticos. Os trailers de madeira e
metal foram destruídos pela explosão. Bombeiros lutavam para resgatar feridos e
vítimas. 50 tanques de armazenamento foram danificados. A ISOM ficou fechada por
mais de 2 anos.

3.4 Acidente em Flixborough

Acidente ocorrido na Nypro Factory, em Flixborough, Inglaterra, em 1º de junho de
1974, onde ocorreu uma ruptura de tubulação, levando a um grande vazamento
de ciclohexano aquecido, que se vaporizou, originando uma nuvem de vapor que
explodiu momentos depois, destruindo totalmente a fábrica.

26 / 31
Consequências: 28 pessoas mortas e 36 feridas. O fogo queimou por cerca de 10 dias.
A fábrica foi totalmente destruída, e centenas de casas e edificações comerciais foram
danificadas. O investimento necessário para a reconstrução da planta e o custo com
as indenizações foram estimados em US$ 774 milhões (2009).

Outro acidente importante foi o de Buncefield. Em 2005, no terminal de combustíveis

de Buncefield, ocorreu o transbordamento de 300 toneladas de gasolina, que, após
processo de vaporização, formou nuvem de vapor que sofreu ignição, destruindo
completamente as instalações.

27 / 31
Esse acidente ocasionou:

•• 43 feridos e 2.000 pessoas evacuadas.

•• Quebra de vidros, danos em tetos e paredes em edificações localizadas a 8 km de
distância.
•• Incêndio envolvendo 23 tanques.
•• Extinção: 5 dias.
•• 750 mil litros de LGE consumidos.

Nas imagens seguintes, podemos observar alguns esquemas sobre o nível de produto,
a área impactada e por onde ocorreu o vazamento.

28 / 31
Veja imagens da nuvem de vapor que se formou dentro da refinaria.

29 / 31
A causa imediata do acidente foi a falha simultânea do medidor automático de nível
e do sensor de nível alto do tanque.

As causas básicas foram:

•• O sensor de nível alto do tanque foi especificado e instalado incorretamente.

•• O medidor de nível estava “travando”. Foram identificados 14 travamentos
nos últimos 5 meses. O fornecedor foi contatado, mas o problema nunca foi
completamente resolvido.
•• A tela de controle de nível mostrava apenas um tanque por vez.
•• Não havia botão de parada de emergência no sistema de controle.
•• Das três linhas de suprimento, o terminal tinha controle de apenas uma.
•• A movimentação no terminal aumentou em 4 vezes desde a sua instalação, e a
tancagem permaneceu a mesma, ocasionando trabalho mais estressante para os
operadores.
•• A unidade utilizava os alarmes de nível “alto” e “alto alto” em operações rotineiras.

4 – CONSIDERAÇÕES FINAIS
Para finalizar, duas frases do autor Trevor Kletz (1922-2013), conhecido na literatura
de investigação de acidentes:

Dizer “acidentes são causados por falhas humanas” não é inverdade, mas
não é muito útil. Isso nos encoraja a dizer às pessoas para terem mais
cuidado, ao invés de procurar modos de reduzir as oportunidades de erro.

Não é a falta de conhecimento que impede nosso desempenho de Segurança

ser melhor do que é, mas a falha em usar o conhecimento que está disponível,
muito deste conhecimento decorrente de acidentes do passado.

Estudamos aqui as principais técnicas de análise de acidentes e incidentes adotadas

na companhia. Esperamos que você as aplique no seu dia a dia.

30 / 31
31 / 31