Como Texas City expôs falhas de barreiras em SST

Em 23 de março de 2005, uma explosão na refinaria BP Texas City matou 15 pessoas e feriu outras 180, segundo o relatório final da U.S. Chemical Safety and Hazard Investigation Board, publicado em 20 de março de 2007. O caso continua relevante porque a investigação não encontrou apenas uma decisão errada no turno; encontrou barreiras técnicas, gerenciais e organizacionais que deixaram de funcionar ao mesmo tempo.

Este estudo de caso mostra como sair da pergunta estreita, que procura o operador responsável, para uma análise capaz de revelar decisões acumuladas, sinais ignorados e controles que existiam no papel, mas não protegiam a operação. A aplicação prática serve para refinarias, plantas químicas, mineração, energia e qualquer ambiente em que uma sequência operacional possa produzir consequências graves.

Cenário inicial: o que aconteceu em Texas City?

O acidente de Texas City foi uma explosão e um incêndio na unidade de isomerização de uma refinaria, durante a partida de uma operação que envolvia hidrocarbonetos inflamáveis. A resposta direta é que a perda de contenção encontrou uma fonte de ignição enquanto trabalhadores e contratados estavam próximos da unidade, mas essa formulação ainda não explica por que tantas camadas permitiram que o cenário se formasse.

O relatório da CSB descreveu uma operação em que o risco do processo não era tratado com a mesma prioridade que produção, custos e continuidade operacional. A presença de trailers próximos à unidade aumentou a exposição das pessoas, enquanto alarmes, instrumentos, procedimentos e práticas de partida não compunham uma defesa suficientemente robusta.

15 mortes e 180 feridos foram registrados no relatório final da CSB, números que tornam inadequada qualquer explicação baseada somente em distração, pressa individual ou descumprimento de uma instrução.

O caso também é um alerta para quem investiga apenas o momento da ignição. James Reason mostrou que acidentes graves aparecem quando falhas latentes atravessam várias camadas de defesa. A pergunta útil não é apenas quem estava diante da válvula, mas quais decisões anteriores tornaram aquela condição possível.

O que a investigação encontrou antes da explosão?

A investigação encontrou sinais anteriores relacionados à integridade mecânica, à gestão de mudanças, à preparação da partida, à supervisão e à compreensão do risco de processo. Esses sinais não eram equivalentes, porém apontavam para uma organização que tratava desvios relevantes como problemas locais, sem consolidá-los em uma decisão executiva.

O achado mais importante para outras operações é que a existência de procedimentos não prova que a barreira esteja funcionando. Um procedimento pode estar atualizado e ainda assim falhar se a sequência real de trabalho for diferente, se o instrumento não for confiável, se a equipe não entender a consequência do desvio ou se a supervisão não tiver autoridade para interromper a partida.

A OSHA descreve o gerenciamento de segurança de processo como uma disciplina que combina informação do processo, análise de perigos, procedimentos, treinamento, integridade mecânica, gestão de mudanças e investigação de incidentes. A lista é útil porque impede que a organização confunda uma auditoria documental com controle efetivo.

Na prática, a investigação precisa cruzar registros que costumam ficar separados, chegando ao ponto onde a decisão operacional encontra a pressão produtiva. Ordens de manutenção, alarmes, permissões, escalas, reuniões de turno e decisões de produção podem formar uma linha de evidências mais precisa do que entrevistas isoladas, sobretudo quando a memória das pessoas foi afetada pelo trauma ou pela pressão do momento.

Decisão: por que a análise precisava sair do operador?

A decisão central de uma investigação de acidente grave, cuja qualidade define o alcance da prevenção, é estabelecer o nível correto de responsabilidade. No caso Texas City, limitar a narrativa ao comportamento de quem conduzia a partida teria preservado as escolhas que definiram o ambiente de risco, como a priorização da produção, a localização de pessoas e a aceitação de sinais incompletos.

Isso não elimina a responsabilidade individual quando existe uma violação consciente. O que muda é o método. Antes de atribuir culpa, a equipe precisa perguntar se a pessoa tinha informação suficiente, equipamento adequado, tempo compatível, supervisão presente, autoridade para parar e uma instrução que representasse o trabalho real.

Essa lógica se aproxima do que Andreza Araujo defende em Sorte ou Capacidade, livro que trata o acidente como resultado de condições e decisões que podem ser examinadas, e não como mero azar. O ganho não é aliviar a responsabilidade; é colocá-la no nível em que uma mudança realmente consegue reduzir a repetição.

O roteiro para investigador interno transformar apuração em decisão ajuda a organizar essa passagem entre evidência, hipótese e ação. Em um acidente de alto potencial, a investigação só está madura quando cada conclusão aponta para um responsável institucional, um prazo e uma forma de verificar a barreira.

Execução: como transformar achado em barreira verificável?

Um achado de investigação só produz prevenção quando se converte em uma barreira observável, com proprietário, frequência e critério de falha definidos. A recomendação genérica, como reforçar a atenção ou reciclar a equipe, não informa o que será alterado na operação nem como a liderança saberá que a mudança funcionou.

Para executar a mudança, a planta pode organizar cada ação em quatro perguntas. Qual perigo a ação pretende controlar? Em que ponto do processo ela atua? Quem precisa confirmar sua disponibilidade? Qual evidência mostrará que a proteção continua íntegra depois de semanas de pressão produtiva?

A HSE reúne orientações e relatórios sobre instalações com potencial de acidentes maiores que tratam a prevenção como demonstração contínua de que as medidas necessárias estão implantadas e funcionam. Esse princípio é mais exigente do que arquivar um plano de ação, porque exige evidência operacional.

Em uma planta química, por exemplo, a ação pode incluir a revisão da lógica de partida, a remoção de pessoas de zonas de exposição, um teste funcional de alarme e uma regra de parada que o supervisor consiga aplicar sem pedir autorização ao gerente de produção. Cada elemento precisa aparecer no campo, não apenas na matriz de riscos.

4 perguntas bastam para testar se uma recomendação virou barreira ou permaneceu como promessa administrativa: perigo controlado, ponto de atuação, proprietário da verificação e evidência de funcionamento.

Resultado mensurado: o que mudou depois do relatório?

O resultado mais importante de uma investigação como Texas City não é uma taxa isolada de acidentes; é a mudança documentada na forma como a organização governa riscos de processo. O relatório final da CSB foi aprovado em 2007 e produziu recomendações que alcançaram gestão de segurança de processo, integridade mecânica, localização de trailers, fatores humanos e supervisão corporativa.

Não seria correto transformar esse caso em promessa de que uma investigação específica reduz acidentes em um percentual universal. O dado comprovado é a dimensão do dano e a amplitude das falhas identificadas. A medida de efetividade, para outra empresa, deve ser construída a partir da sua própria linha de base, dos controles críticos e dos sinais de deterioração que consegue acompanhar.

A ISO 45001 especifica requisitos para um sistema de gestão de saúde e segurança ocupacional, incluindo liderança, identificação de perigos, avaliação de riscos, melhoria e avaliação de desempenho. O sistema não substitui a análise técnica do processo, mas oferece uma estrutura para que as ações de investigação permaneçam sob governança.

Uma organização pode considerar que houve mudança quando a liderança consegue mostrar, com registros e observação de campo, que a recomendação alterou o desenho do trabalho, que a barreira foi testada em condição real e que o indicador escolhido detecta perda de controle antes de um acidente grave.

Quais lições são generalizáveis para outras plantas?

O caso Texas City oferece cinco lições aplicáveis a operações que lidam com energia, pressão, inflamáveis, altura, espaços confinados ou qualquer outro risco com potencial de fatalidade. A primeira é que a investigação precisa examinar decisões anteriores ao turno, porque o acidente costuma começar quando uma condição perigosa é aceita como normal.

A segunda é que contratados não podem aparecer apenas na lista de presença ou no cálculo de horas trabalhadas. Quando pessoas terceirizadas estão expostas, a gestão precisa demonstrar que informação, competência, supervisão, abrigo e resposta de emergência alcançam esse grupo com a mesma qualidade.

A terceira é que indicadores de processo precisam conviver com indicadores de resultado. A HSE recomenda acompanhar indicadores de segurança de processo para verificar se sistemas destinados a controlar riscos operam como planejado. Uma taxa baixa de acidentes não confirma que uma barreira crítica esteja íntegra.

A quarta é que a pressão produtiva deve entrar na investigação como variável de risco, não como contexto neutro. Se a equipe recebeu uma meta, um prazo ou uma orientação que tornou a parada difícil, isso precisa aparecer na reconstrução da decisão.

A quinta é que a liderança deve acompanhar a implementação até o campo. Como Andreza Araujo argumenta em A Ilusão da Conformidade, cumprir o requisito formal não equivale a controlar o risco. A pergunta final é sempre operacional: o trabalho ficou mais seguro quando a rotina apertou?

O que aplicar na sua operação nos próximos 30 dias?

Nos próximos 30 dias, uma operação pode aplicar a lógica de Texas City sem esperar um acidente grave. O objetivo é testar se as barreiras críticas existem, são compreendidas e conseguem resistir à pressão normal do trabalho, começando por uma tarefa de alto potencial e não por uma auditoria ampla que produza apenas uma lista extensa.

Escolha uma tarefa com energia perigosa ou consequência severa e reconstrua sua sequência real. Compare o procedimento com o campo, converse com quem executa, verifique o histórico de alarmes e manutenção, identifique onde a produção pressiona a decisão e selecione no máximo três barreiras cuja falha mudaria o resultado.

Depois, atribua cada barreira a um responsável que tenha autoridade e recurso para mantê-la. Defina um teste semanal durante o primeiro mês, registre a evidência e leve qualquer falha recorrente à reunião de liderança. O teste precisa avaliar a condição real, não apenas perguntar se o formulário foi assinado.

O artigo sobre risco residual em manutenção ajuda a reconhecer quando uma proteção foi presumida, mas não comprovada. A análise de reconstrução da linha do tempo de um acidente complementa o exercício ao organizar fatos, decisões e mudanças de condição.

Como saber se a investigação mudou decisões?

Uma investigação mudou decisões quando a organização consegue apontar uma alteração verificável no trabalho, e não apenas uma nova apresentação sobre o acidente. A prova aparece quando uma barreira foi redesenhada, uma exposição foi removida, uma autoridade de parada foi exercida ou uma decisão de investimento foi tomada por causa do achado.

O quadro abaixo separa sinais de resposta administrativa de evidências de transformação operacional.

Esse critério também protege a organização contra a ilusão de encerramento. Um relatório pode ser aprovado, uma ação pode ser marcada como concluída e o risco permanecer intacto. A liderança precisa manter a pergunta aberta até que a mudança seja vista no trabalho que produz a exposição.

Uma investigação de alto potencial que termina em reciclagem, sem testar barreiras críticas, deixa a organização vulnerável ao mesmo mecanismo de acidente.

O aprendizado de Texas City não é copiar uma lista de recomendações de uma refinaria. É adotar um padrão de investigação que conecte dano, decisão e barreira, até que a liderança consiga demonstrar o que mudou no campo. Para a Andreza Araújo, essa passagem entre conformidade e segurança real é parte da responsabilidade de quem governa operações críticas. Conheça a abordagem da Andreza Araújo para cultura e segurança.