BP Texas City: 4 decisões que deixaram o risco crescer antes da explosão

Em 23 de março de 2005, uma explosão na refinaria BP Texas City matou 15 pessoas e feriu cerca de 180. O número é conhecido, mas a pergunta que interessa a uma investigação de acidentes é anterior à explosão: por que uma partida de processo foi autorizada quando vários sinais indicavam que a exposição estava crescendo?

O relatório da U.S. Chemical Safety Board, a CSB, não descreve um acidente produzido por um único operador distraído. Ele reconstrói uma sequência em que decisões de gestão, condições técnicas, treinamento, supervisão e pressão por continuidade operacional se reforçaram. A leitura de James Reason ajuda a interpretar essa sequência porque distingue o ato visível das falhas latentes que tornaram o ato possível.

Este caso é útil para equipes que investigam explosões, perdas de contenção e falhas em partidas. A lição não é copiar uma lista de recomendações, mas aprender a perguntar quando uma barreira deixou de estar disponível antes que alguém percebesse.

Cenário inicial

A unidade de isomerização estava sendo preparada para voltar à operação quando a sequência de partida levou material inflamável para a torre de destilação. O nível subiu além do que a equipe conseguia acompanhar com segurança, e a descarga pelo sistema de ventilação liberou hidrocarbonetos para a área externa.

A CSB registrou que o sistema de instrumentação e os alarmes não ofereciam à equipe uma imagem confiável da condição real do processo. O procedimento de partida também não protegia adequadamente contra o enchimento excessivo da torre, enquanto a supervisão não interrompeu a sequência diante de sinais anormais.

Havia ainda trailers ocupados perto da unidade. A combinação de fonte de ignição, nuvem inflamável e pessoas em uma área vulnerável transformou uma perda de controle em múltiplas vítimas. O cenário, portanto, não era apenas de processo; envolvia também decisão de ocupação, layout e comunicação de risco.

Decisão 1: tratar a partida como rotina

Partidas e paradas não são simples extensões da operação estável. Elas concentram mudanças de nível, pressão, temperatura, configuração de válvulas e interpretação de alarmes. Quando a organização trata a partida como repetição de uma rotina conhecida, o plano perde a capacidade de responder ao que saiu do previsto.

Em Texas City, a sequência de partida deveria ter recebido uma margem de segurança maior porque a unidade apresentava condições que exigiam acompanhamento próximo. O problema não foi apenas existir um procedimento; foi aceitar um procedimento que não tornava suficientemente claro o momento de interromper a operação.

Para uma investigação, a pergunta decisiva é objetiva. Qual condição deveria ter interrompido a partida, quem tinha autoridade para ordenar a interrupção e que evidência mostra que essa autoridade era praticável naquele turno?

Decisão 2: aceitar sinais técnicos incompletos

Um instrumento que indica nível, pressão ou posição de válvula não é uma barreira completa quando sua confiabilidade é desconhecida. A informação precisa chegar a uma pessoa que reconheça o desvio e consiga agir antes que a energia perigosa alcance uma condição irreversível.

A CSB descreveu problemas em alarmes, instrumentos e controles que dificultavam a compreensão da condição da unidade. Esse tipo de fragilidade costuma ser normalizado porque o processo continua funcionando em muitos ciclos. A repetição cria familiaridade, e a familiaridade pode ser confundida com segurança.

Na reconstrução, separe três perguntas que frequentemente são misturadas. O instrumento funcionava? A equipe sabia que a indicação era limitada? Havia uma alternativa operacional para confirmar o nível antes de continuar? Cada resposta muda a conclusão sobre a barreira.

Decisão 3: manter a produção acima da margem de proteção

A continuidade operacional pesa nas decisões de uma refinaria, sobretudo quando a unidade precisa voltar a produzir. O risco aparece quando a pressão por disponibilidade transforma uma condição provisória em justificativa para seguir adiante sem restaurar controles essenciais.

O relatório da CSB relacionou o acidente a falhas de gestão de segurança de processo que já vinham sendo identificadas. A organização conhecia sinais de desempenho fraco, mas a resposta não reduziu a exposição na velocidade e na profundidade exigidas pelo perigo.

Esse ponto não autoriza uma conclusão simplista sobre intenção. A investigação precisa mostrar quais metas estavam ativas, quais recursos foram priorizados, que alertas chegaram à liderança e qual decisão teria custado tempo de produção. Só assim a análise transforma pressão operacional em evidência, em vez de usá-la como explicação genérica.

Decisão 4: colocar pessoas perto da fonte de perigo

Trailers administrativos próximos de uma unidade de processo podem parecer uma solução logística eficiente até que uma liberação inflamável atravesse a área. A distância física vira barreira apenas quando foi definida a partir do cenário de acidente plausível, não quando resulta de conveniência histórica.

Em Texas City, a localização dos trailers ampliou o número de pessoas expostas ao evento. A escolha não pertence somente à manutenção predial ou ao setor administrativo. Ela precisa entrar na gestão de mudanças, na análise de consequências e na governança da ocupação do site.

Uma investigação madura pergunta quando a ocupação foi aprovada, qual perigo foi considerado, que mudança ocorreu depois e quem tinha poder para retirar pessoas daquela zona. O risco não estava apenas no equipamento que liberou hidrocarbonetos; estava também na decisão de manter trabalhadores dentro do alcance da consequência.

Execução: como a sequência se fechou

As quatro decisões não atuaram separadamente. A partida tratada como rotina reduziu a atenção para a mudança de condição. Os sinais técnicos incompletos dificultaram a leitura do nível. A pressão por continuidade tornou a interrupção menos provável. A ocupação dos trailers aumentou a gravidade quando a nuvem encontrou uma fonte de ignição.

Essa conexão é o centro do caso. Uma organização pode possuir procedimentos, alarmes, treinamento e reuniões de segurança, mas ainda assim deixar a barreira indisponível se cada elemento for administrado como tarefa isolada. O controle precisa existir no instante em que a decisão crítica é tomada.

Por isso, a reconstrução deve seguir a linha do tempo, registrar o que cada função sabia e comparar a condição prevista com a condição observada. A equipe pode aprofundar essa técnica no artigo sobre como reconstruir a linha do tempo de um acidente e usar a separação entre fato e hipótese descrita em investigação de acidentes.

Resultado mensurado

O resultado imediato foi mensurável e irreversível. A explosão matou 15 pessoas e feriu aproximadamente 180, conforme o relatório da CSB. O dano humano também revelou que a consequência não ficou restrita ao equipamento que iniciou a liberação.

O caso produziu recomendações para a BP e para o setor, com foco em segurança de processo, gestão de partidas, confiabilidade de alarmes, controle de ocupação e responsabilidade corporativa. O indicador mais importante, porém, não é apenas a contagem de vítimas. É a distância entre o primeiro sinal de degradação e a decisão de interromper a exposição.

Lições generalizáveis

A primeira lição é que a investigação deve procurar decisões que aumentaram a exposição antes do evento, mesmo quando nenhuma delas parecia absurda isoladamente. A segunda é que uma barreira técnica precisa de uma barreira decisória, porque alguém deve reconhecer a perda de condição e agir.

A terceira é que o desempenho de segurança pessoal não prova a integridade do processo. Uma planta pode celebrar poucos acidentes registráveis e continuar acumulando fragilidades em partidas, alarmes, permissões e ocupação. A quarta é que a autoridade de parada só existe quando a liderança aceita o custo da interrupção.

A quinta lição alcança o desenho organizacional. Quando manutenção, operação, engenharia e liderança possuem pedaços diferentes da informação, o perigo pode permanecer sem dono. O papel da investigação é conectar essas informações e mostrar onde a decisão poderia ter mudado o resultado.

Essa lógica também aparece em Piper Alpha e suas falhas de barreira, embora os mecanismos do acidente sejam diferentes. A comparação ajuda a separar causa específica de padrão recorrente: informação crítica que não chega a tempo, controle que existe no papel e decisão que não escala.

O que aplicar na sua operação

Escolha as duas partidas ou paradas mais críticas da sua instalação e reconstrua a sequência com operação, manutenção, engenharia e supervisão. Não comece perguntando quem errou. Comece perguntando qual condição deveria ter produzido uma pausa e que evidência demonstraria a recuperação do controle.

Depois, registre cinco campos para cada etapa. Identifique o perigo, o sinal de degradação, o responsável por interpretar o sinal, a autoridade para interromper e a evidência de retorno à condição segura. Se um desses campos estiver vazio, a barreira ainda depende de improviso.

Faça também uma revisão das áreas ocupadas próximas a fontes de energia perigosa. A pergunta não é apenas se a distância atende a um desenho antigo. É se a ocupação continua coerente com a consequência plausível depois das mudanças de processo, layout, volume e rotina.

Para o comitê executivo, leve uma decisão, não uma coleção de indicadores. Mostre qual barreira está degradada, qual recurso a restaura, qual prazo reduz a exposição e como a liderança verificará a eficácia. Esse tipo de conversa aproxima a investigação da prevenção.

Conclusão

BP Texas City não foi apenas uma explosão durante uma partida. Foi o resultado de quatro decisões que deixaram o risco crescer enquanto a organização ainda tinha sinais, funções e oportunidades para interromper a sequência.

Uma investigação de acidentes cumpre sua função quando transforma esses sinais em escolhas concretas. A operação precisa saber quando parar, a liderança precisa aceitar o custo da pausa e a engenharia precisa manter as barreiras coerentes com a consequência. Para aprofundar essa abordagem, conheça os conteúdos de Andreza Araújo.