Buncefield: quando a barreira de sobre-enchimento falha

O caso Buncefield não é apenas uma história sobre combustível inflamável que escapou de um tanque. Ele é um teste para a qualidade de qualquer investigação de acidente grave, porque obriga a equipe a seguir a cadeia de decisões que permitiu que uma barreira crítica falhasse, permanecesse sem detecção confiável e encontrasse uma fonte de ignição.

Na madrugada de 11 de dezembro de 2005, explosões ocorreram no depósito de armazenamento de óleo de Buncefield, em Hemel Hempstead, no Reino Unido. A investigação oficial conduzida pelo Health and Safety Executive e pelo Major Incident Investigation Board descreveu um evento de grande proporção, seguido por um incêndio que atingiu grande parte da instalação. O caso não terminou em fatalidades, mas deixou dezenas de pessoas feridas e provocou danos extensos, conforme os relatórios oficiais da HSE.

A tese deste estudo é direta. Uma investigação que termina em “o tanque transbordou” explica pouco. A pergunta útil é por que as camadas que deveriam impedir, detectar, conter e responder ao desvio não produziram proteção suficiente.

Cenário inicial: uma operação que parecia controlada

Instalações de armazenamento de combustíveis dependem de barreiras que precisam funcionar em sequência. O recebimento deve ser acompanhado por medição adequada, o nível precisa ser interpretado corretamente, o alarme deve ser percebido e a proteção independente contra sobre-enchimento precisa interromper a transferência quando o controle normal falha.

O cenário de Buncefield mostra o risco de confundir a existência nominal de uma barreira com sua capacidade real. Um dispositivo instalado, um teste previsto no procedimento ou uma sala com alarmes não provam, sozinhos, que a proteção está disponível no momento em que a operação precisa dela.

Esse ponto se conecta ao que Andreza Araújo defende em A Ilusão da Conformidade. A verdadeira medida de um sistema de segurança aparece no comportamento das barreiras quando ninguém está olhando, e não na quantidade de documentos que afirmam que elas existem.

Decisão: investigar a sequência, não escolher um culpado

A primeira decisão metodológica é abandonar a investigação que procura um único responsável. A equipe precisa separar fatos confirmados, hipóteses e decisões organizacionais, cuja combinação pode ter criado as condições do evento.

Em Buncefield, o ponto de partida factual era o transbordamento de um tanque durante uma operação de recebimento. A partir daí, a investigação precisava reconstruir o que o sistema indicava, o que as pessoas podiam perceber, quais alarmes estavam disponíveis e como a proteção independente deveria agir. A falha humana, caso seja identificada, entra como parte da cadeia, não como explicação completa.

A abordagem é coerente com a posição de Andreza em Sorte ou Capacidade. Acidentes graves não devem ser tratados como azar ou como consequência isolada de uma pessoa distraída. Eles resultam de condições que se acumulam até que várias camadas deixem de impedir o dano.

Execução: reconstruir o caminho até a perda de contenção

Uma investigação robusta começa com uma linha do tempo que possa ser auditada. Ela deve reunir registros de transferência, níveis do tanque, estados dos instrumentos, alarmes, comunicações, rondas, permissões, manutenção e resposta da equipe. A linha do tempo precisa mostrar o momento em que cada barreira deveria atuar e o que de fato aconteceu.

Depois, a equipe deve construir uma análise de barreiras. Para cada camada, registre sua função, seu estado antes do evento, o modo de falha, a evidência disponível e a decisão que manteve a condição. Essa disciplina evita que o relatório trate “alarme existente” como sinônimo de “alarme eficaz”. A comparação com a análise de estados das barreiras de segurança ajuda a tornar essa diferença explícita.

O relatório oficial de Buncefield examinou a sequência de eventos e as deficiências de controle que permitiram a formação de uma nuvem de vapor inflamável. A ignição ocorreu depois que o vapor se espalhou pela área, o que amplia a investigação para ventilação, layout, fontes de ignição, drenagem, ocupação e resposta emergencial. A causa não está em uma peça isolada, mas na combinação entre perda de controle e ambiente permissivo.

Essa combinação também exige preservar evidências físicas e digitais. Fotografias, registros de manutenção, alarmes históricos, posições de válvulas, versões de procedimentos e relatos de turno podem perder valor quando são coletados tarde. A rotina descrita em preservação de evidências na primeira hora é uma referência útil para impedir que a reconstrução seja feita apenas com memória.

Resultado mensurado: o que o caso permite afirmar

O resultado documentado é a dimensão do evento. A HSE registra que as explosões ocorreram no depósito de Buncefield e que um grande incêndio atingiu uma parcela significativa da instalação. A página oficial da HSE registra mais de 40 pessoas feridas e informa que não houve mortes. Esses dados definem a gravidade do caso, mas não autorizam uma conclusão simplista sobre uma única causa.

O resultado mais importante para quem investiga acidentes é outro. O caso demonstrou que uma barreira pode existir no desenho e ainda assim não entregar a função de segurança esperada. A confiabilidade depende de projeto, independência, teste, manutenção, indicação, supervisão e resposta, cuja ligação precisa ser verificada no trabalho real.

Lições generalizáveis: quatro conclusões para outras operações

A primeira lição é que a barreira crítica precisa ter dono funcional. Não basta atribuir a manutenção a uma área e a operação a outra. Alguém deve responder pela função completa, desde a detecção do desvio até a interrupção segura da transferência.

A segunda lição é que teste não é sinônimo de disponibilidade. Um teste pode confirmar que um componente responde em uma condição controlada, enquanto a operação real depende de tempo de resposta, interpretação do sinal, acesso ao comando e decisão sob pressão.

A terceira lição é que as interfaces merecem investigação própria. O risco pode crescer no espaço entre operador, manutenção, engenharia, contratada e gestão de mudanças, onde cada área cumpre sua parte sem que alguém confira a proteção do conjunto.

A quarta lição é que a ausência de fatalidade não reduz a gravidade do aprendizado. Uma barreira que falhou em um evento sem mortes continua sendo uma advertência sobre o próximo cenário, que pode envolver pessoas em posição diferente, condições climáticas distintas ou uma fonte de ignição mais próxima.

A leitura de falhas latentes ajuda a transformar essas lições em perguntas verificáveis. A investigação deve procurar decisões de projeto, recursos, supervisão e manutenção que tornaram o desvio possível, sem usar a expressão “causa raiz” como ponto final automático.

O que aplicar na sua operação nesta semana

Escolha uma barreira associada a um risco de incêndio, explosão, energia perigosa ou perda de contenção. Não comece pelo formulário. Reúna quem opera, quem mantém, quem projeta e quem decide a parada. Peça que cada pessoa descreva o que a barreira deveria fazer, como sabe que ela está disponível e qual ação pode tomar quando o sinal aparece.

Depois, selecione um cenário de falha e verifique a cadeia completa. O teste deve perguntar se o desvio é detectado, se o alerta chega a alguém, se a pessoa reconhece o significado, se existe autoridade para interromper a tarefa e se a contenção permanece possível. Quando uma resposta depender de “alguém perceber a tempo”, registre essa dependência como fragilidade, não como plano de prevenção.

A operação também pode comparar sua análise com a validação de hipóteses causais, que impede o fechamento prematuro da RCA. Uma hipótese só merece virar conclusão quando é compatível com a sequência, sustentada pelas evidências e capaz de explicar por que as barreiras não funcionaram.

Conclusão: o acidente começa antes da explosão

Buncefield ensina que o instante visível do acidente é apenas o final de uma história mais longa. A qualidade da prevenção depende de investigar a condição que antecedeu a perda de controle, a barreira que não detectou o desvio, a decisão que deixou a proteção vulnerável e a resposta que não conseguiu recuperar a situação.

Para Andreza Araújo, segurança deixa de ser discurso quando a organização transforma risco em decisão observável. Na prática, isso significa saber qual barreira protege qual consequência, quem verifica sua disponibilidade e qual autoridade existe para interromper o processo antes que uma falha pequena se torne um evento de grande proporção.