Buncefield: como uma barreira crítica indisponível transformou sobre-enchimento em explosão

Em 11 de dezembro de 2005, o terminal de armazenamento de combustíveis de Buncefield, no Reino Unido, sofreu uma sequência de explosões depois que uma grande quantidade de gasolina transbordou sem ser detectada. Mais de 40 pessoas ficaram feridas, embora não tenha havido mortes. O caso, investigado pelo Health and Safety Executive (HSE), continua útil porque mostra que uma instalação pode acumular instrumentos, procedimentos e inspeções sem possuir uma barreira confiável contra o cenário que mais importa.

A pergunta central não é apenas por que o tanque transbordou. É como decisões aparentemente rotineiras, distribuídas entre medição, manutenção, supervisão e gestão de riscos, permitiram que uma perda de contenção evoluísse até uma nuvem inflamável e uma explosão de grande proporção. Buncefield não é uma história sobre um operador distraído. É um estudo sobre controles críticos que existiam no papel, mas não entregavam a proteção esperada.

O que aconteceu em Buncefield?

O terminal recebia, armazenava e transferia combustíveis. Durante a operação, um tanque foi abastecido além do limite seguro. O sistema de medição de nível não impediu a progressão do enchimento, enquanto a proteção independente contra sobre-enchimento não atuou como deveria. O combustível liberado formou uma nuvem de vapor que encontrou uma fonte de ignição.

O HSE descreve o evento como uma sequência de falhas sistemáticas em monitoramento de nível, prevenção de sobre-enchimento e gestão da segurança de processo. Essa formulação é decisiva para quem atua com PGR, Bow-Tie ou análise de risco, porque desloca a investigação da pergunta “quem não percebeu?” para a pergunta “quais barreiras deveriam ter detectado, interrompido ou limitado a sequência?”. O relatório que consolidou essas conclusões também mostra por que a análise precisa considerar as condições que permitiram a falha, e não apenas o instante em que ela se tornou visível.

O estudo sobre barreiras de prevenção e mitigação ajuda a separar esses papéis. Em Buncefield, a prevenção do sobre-enchimento, a detecção da condição anormal e a mitigação das consequências não podiam ser tratadas como um único controle.

Cenário inicial: conformidade sem garantia de proteção

Antes da explosão, o terminal tinha equipamentos, rotinas de operação e dispositivos destinados a limitar o nível do tanque. O problema estava na distância entre a existência formal desses elementos e sua capacidade real de funcionar no momento necessário. Uma barreira crítica não é o componente instalado; é o conjunto formado por projeto adequado, condição física, teste, manutenção, resposta e autoridade para interromper a operação.

Essa distinção aparece em A Ilusão da Conformidade, de Andreza Araujo, que trata do risco de confundir o registro de uma exigência com a segurança efetivamente produzida. O caso Buncefield torna essa tese concreta. Um procedimento que presume a leitura correta de um instrumento não substitui uma proteção independente cuja atuação tenha sido testada sob condições representativas.

Para um gerente de SSMA, o cenário inicial deveria ser lido como uma pergunta de exposição. Se uma única falha de medição permite que o enchimento continue, qual camada interrompe a sequência? Se essa camada depende de um teste manual, quem verifica o teste, com que frequência e diante de qual critério de reprovação?

Decisão: tratar o sobre-enchimento como risco crítico

A principal mudança de decisão é reconhecer que o sobre-enchimento de um tanque de combustível não pode ser administrado como desvio operacional comum, embora a rotina de recebimento pareça estável. Ele precisa entrar no inventário de riscos como um cenário de alta consequência, com dono definido, desempenho esperado e evidência de funcionamento.

Essa decisão altera o debate de orçamento. A organização deixa de perguntar apenas quanto custa trocar um sensor e passa a comparar o investimento com a perda de contenção que o sensor, o alarme ou o desligamento independente deveria evitar. O apetite ao risco em SST só é útil quando cria limites para essa escolha, em vez de funcionar como justificativa para aceitar uma exposição conhecida.

Em uma reunião de análise, o responsável precisa registrar quatro decisões. A primeira define o cenário que a barreira deve controlar. A segunda especifica a resposta esperada. A terceira identifica quem pode interromper a operação. A quarta estabelece qual evidência permite declarar a barreira disponível. Sem essas quatro decisões, o risco fica distribuído entre departamentos e desaparece no intervalo entre uma rotina e outra.

Execução: transformar o controle em barreira verificável

A execução exige uma cadeia de verificação, não apenas uma lista de equipamentos. O primeiro passo é confirmar o ponto de medição e sua faixa de operação. O segundo é verificar se o alarme ou desligamento independente tem lógica, alimentação e atuação compatíveis com o cenário. O terceiro é testar a resposta completa, incluindo a comunicação com a sala de controle e a interrupção do recebimento.

O quarto passo é tratar a manutenção como parte da barreira, uma vez que um dispositivo que não foi testado depois de uma intervenção não deve ser contado como proteção disponível. O quinto é assegurar que a transferência de combustível tenha um critério claro para parar quando a indicação de nível, a vazão ou a comunicação entre equipes não fizer sentido.

Essa disciplina evita uma armadilha recorrente. A empresa pode ter uma análise Bow-Tie bem desenhada, com várias barreiras listadas, enquanto ninguém consegue responder em poucos minutos se cada barreira está funcionando hoje. A diferença entre controle nominal e controle operacional aparece na hora do teste, quando se precisa produzir evidência sem interromper a conversa com explicações genéricas.

O caso também reforça o valor de uma autoridade de parada protegida. Se o profissional que identifica uma indicação incoerente precisa negociar com a programação de recebimento, a barreira já depende de uma concessão. A decisão de interromper deve estar prevista antes da pressão, com papéis conhecidos e retorno formal após a condição ser esclarecida.

Resultado mensurado: o que o relatório do HSE tornou visível

O resultado mais conhecido foi a explosão de grande proporção e o incêndio que atingiu grande parte da instalação. O HSE registrou mais de 40 feridos e nenhuma fatalidade. Esses números não diminuem a gravidade do evento. Eles mostram que uma cadeia de falhas de processo pode produzir consequências severas mesmo quando o desfecho não inclui mortes.

O resultado organizacional foi ainda mais importante. A investigação tornou visível que monitoramento de nível, proteção contra sobre-enchimento e gestão de segurança precisavam ser tratados como um sistema. O problema não era resolvido apenas com a substituição de uma peça, porque a confiabilidade da barreira dependia de projeto, teste, supervisão, manutenção e decisão operacional.

A dimensão mensurável para uma operação atual não deve ser apenas o número de alarmes registrados. O painel precisa mostrar quantos testes críticos foram executados no prazo, quantas barreiras foram encontradas indisponíveis, quanto tempo levaram para voltar à condição segura e quantas operações foram interrompidas por perda de evidência. Esses indicadores revelam disponibilidade da proteção, não somente atividade administrativa.

Lições generalizáveis para gestão de riscos

A primeira lição é que independência precisa ser comprovada. Um alarme que depende da mesma medição, da mesma alimentação ou da mesma lógica que já falhou pode oferecer uma sensação de redundância sem reduzir a exposição na proporção esperada.

A segunda é que a barreira precisa ter um proprietário operacional. O gerente pode responder pela governança, mas alguém no turno deve saber qual condição exige parada, quem deve ser chamado e que registro comprova a recuperação do controle.

A terceira é que o teste deve representar o modo de falha relevante. Acionar uma função em condição conveniente não demonstra necessariamente que ela atuará no cenário de sobre-enchimento, perda de comunicação ou degradação do equipamento.

A quarta é que a investigação precisa alcançar decisões anteriores. Pressa, informação incompleta e aceitação de uma indicação incoerente podem ser sinais visíveis de um problema que começou no projeto, na manutenção, no contrato ou no planejamento da operação.

A quinta é que quase-acidentes precisam alterar barreiras. Um alarme que falha, uma leitura que diverge ou um tanque que chega perto do limite não deve terminar apenas com uma recomendação de atenção. O evento precursor precisa atualizar o risco, o teste e a decisão de liberação.

O que aplicar na sua operação na próxima revisão

O gerente de SSMA pode conduzir uma revisão de 60 minutos com operação, manutenção, engenharia e supervisão. Escolha um cenário de perda de contenção e peça que o grupo responda, sem consultar apresentações, a cinco perguntas. Qual é a primeira indicação de desvio? Qual barreira interrompe a sequência? Quem tem autoridade para parar? Qual teste prova que a barreira está disponível? O que acontece se a barreira estiver indisponível?

Depois, selecione uma barreira e acompanhe o ciclo completo no campo. Observe o componente, leia o procedimento aplicável, confira o último teste, converse com o responsável do turno e compare o registro com a condição física. Se a resposta mudar conforme a pessoa consultada, a organização ainda não tem uma barreira estável, mesmo que a auditoria documental esteja verde.

O roteiro de perguntas para a troca de turno pode apoiar essa verificação, especialmente quando a condição de uma proteção muda entre planejamento, manutenção e operação. A conversa precisa terminar com uma decisão visível, um responsável e um prazo de recuperação.

Conclusão: Buncefield foi uma falha de decisão antes de ser uma explosão

Buncefield mostra que o risco crítico cresce quando cada área cumpre sua parte sem que alguém confirme a proteção do sistema inteiro. A explosão ocorreu em 2005, mas a pergunta continua atual para qualquer operação que armazene combustível, produto químico ou energia perigosa. A barreira que não é projetada, testada, mantida e defendida na decisão de campo não deve ser contada como controle. O ponto onde a gestão de riscos se torna confiável é justamente aquele em que a condição da proteção pode ser verificada por quem decide.

Andreza Araujo resume essa lógica em Um Dia Para Não Esquecer, ao tratar a fatalidade como construção, não como acaso. Em Sorte ou Capacidade, a análise também se afasta da explicação confortável que termina no último ato do operador. A utilidade do caso está em identificar a sequência antes que ela se complete.

Em mais de 25 anos de atuação em EHS executivo, Andreza Araujo sustenta uma leitura que cabe na rotina do gerente: segurança de processo depende de decisões que tornam a proteção verificável. Para aprofundar essa abordagem, conheça os livros técnicos da Andreza Araujo e transforme cada barreira crítica em uma responsabilidade observável.