Fawley: como a corrosão ignorada virou uma perda de contenção em 33 horas

Uma refinaria pode operar durante anos com uma corrosão conhecida e, ainda assim, chegar a uma emergência em poucas horas. O caso da Fawley Oil Refinery, no Reino Unido, mostra essa transição com clareza: uma torre de aço sofreu colapso parcial, rompeu tubulações e liberou cerca de 2.400 kg de gás liquefeito de petróleo ao longo de 33 horas.

O acidente não produziu lesões, segundo a Health and Safety Executive (HSE), mas expôs trabalhadores a riscos de queimaduras, detritos e incêndio. A investigação encontrou corrosão desenvolvida ao longo de muitos anos, identificada desde 2010, sem ação suficiente para controlar o risco. A lição para uma planta brasileira não é copiar uma medida estrangeira. É perceber quando um achado de integridade deixou de ser manutenção pendente e passou a ser decisão de risco.

Cenário inicial: o risco estava dentro do ativo

Em 8 de novembro de 2022, uma grande torre de aço da refinaria de Fawley sofreu um colapso parcial. A estrutura se deslocou, rompeu tubulações e provocou uma liberação não controlada de gás liquefeito de petróleo. Aproximadamente 400 kg foram liberados nos primeiros trinta minutos, enquanto o restante do processo levou cerca de 33 horas para ser isolado e ventilado com segurança.

A HSE informou que trabalhadores estavam nas proximidades quando a torre colapsou. O fato de ninguém ter se ferido não reduz a gravidade do evento, porque a exposição potencial incluía queda de estruturas, queimaduras e ignição de um vapor altamente inflamável. Em instalações de processo, o resultado observado é apenas uma parte da história. A decisão precisa considerar a consequência que quase ocorreu.

O achado central da investigação foi a corrosão da torre. O mecanismo havia sido identificado em 2010, mas a resposta não controlou adequadamente a degradação. Essa distância entre identificar e controlar é onde muitos sistemas de gestão de riscos perdem força.

Decisão: por que um achado antigo exige uma escolha explícita

Um registro de corrosão não é uma fotografia neutra. Ele representa uma hipótese sobre a evolução do dano, a resistência remanescente do equipamento e a consequência de uma falha. Quando a organização arquiva o achado sem registrar quem decide, qual critério foi usado e quando a condição será verificada novamente, a pendência vira parte invisível da rotina.

A decisão correta não precisa ser sempre substituir o ativo imediatamente. Ela pode envolver reparo, redução de carga, limitação operacional, inspeção adicional, reforço temporário ou retirada de serviço. O que não pode acontecer é manter o equipamento em operação por inércia, porque a ausência de uma ocorrência anterior não prova que a barreira continua confiável.

Em A Ilusão da Conformidade, Andreza Araujo sustenta que cumprir uma exigência documental não equivale a manter uma operação segura. O caso Fawley traduz essa diferença para a integridade mecânica. Ter um registro de inspeção não demonstra, por si só, que a organização administrou o risco criado pela corrosão.

Execução: onde a barreira de integridade perdeu continuidade

A integridade de um equipamento depende de uma cadeia que inclui inspeção, avaliação de engenharia, manutenção, operação e liderança. Se uma dessas etapas registra o problema, mas a seguinte não transforma o achado em ação controlada, o sistema preserva a aparência de acompanhamento enquanto o dano continua avançando.

O caso relatado pela HSE não permite afirmar detalhes que não constam no comunicado oficial. Permite, porém, identificar uma falha de continuidade: a corrosão era conhecida havia anos e, ainda assim, não houve controle suficiente para impedir o colapso parcial da torre. Essa conclusão é mais útil do que procurar um único culpado, porque mostra a pergunta que cada planta deve fazer sobre seus próprios ativos.

O responsável pela integridade precisa conseguir responder, para cada achado relevante, qual é a consequência de falha, qual é a condição-limite, qual medida reduz a exposição enquanto a solução definitiva não chega e qual evidência encerra a decisão. Quando essas respostas ficam espalhadas em sistemas que não conversam, a organização perde a visão do risco acumulado.

Resultado mensurado: uma emergência que durou 33 horas

Os números do caso ajudam a dimensionar o custo operacional de deixar um risco de integridade atravessar a rotina. A HSE registrou uma perda de contenção de aproximadamente 2.400 kg de gás liquefeito de petróleo. Cerca de 400 kg foram liberados em pouco mais de trinta minutos, e o processo completo de isolamento e ventilação segura se estendeu por aproximadamente 33 horas.

Além da quantidade liberada e do tempo de resposta, a empresa recebeu multa de £1 milhão e foi condenada a pagar £12.277 em custos, conforme comunicado da HSE publicado em 15 de junho de 2026. O dado financeiro não é apresentado como fórmula universal para estimar uma perda. Ele mostra que o custo de uma decisão de integridade pode aparecer depois, em forma de emergência, paralisação, investigação, sanção e perda de confiança.

A tabela não transforma o caso em uma comparação simples entre dois momentos. Ela evidencia uma mudança de estado: o que era tratado como degradação localizada passou a exigir resposta de emergência, porque a barreira física deixou de cumprir sua função.

Lições generalizáveis: o que Fawley revela sobre risco acumulado

A primeira lição é que a idade do achado não reduz sua prioridade. Um problema encontrado há dezesseis anos pode ser mais perigoso, não menos, caso o mecanismo de degradação tenha continuado. O tempo precisa entrar na análise como indicador de exposição acumulada.

A segunda lição é que a decisão de manutenção precisa ter dono. A equipe que identifica a corrosão pode não ter autoridade para retirar o equipamento de serviço. Por isso, a liderança deve estabelecer o caminho para escalar achados cujo risco excede o limite operacional aceito.

A terceira lição é que a resposta de emergência não substitui a integridade do ativo. Em Fawley, medidas como cortinas de água ajudaram a reduzir a propagação do vapor, mas foram acionadas depois da perda de contenção. Uma resposta robusta reduz consequências; ela não transforma a falha da barreira em resultado aceitável.

A quarta lição é que ausência de lesão não significa ausência de falha grave. O quase-desfecho favorável pode diminuir a pressão por mudança, embora o potencial de consequência permaneça alto. James Reason descreveu essa diferença ao tratar de falhas latentes e camadas de defesa que podem se alinhar em um acidente.

O que aplicar na sua operação: transforme o achado em decisão verificável

Uma planta que quer aprender com Fawley deve começar por um inventário de equipamentos cuja falha pode liberar substâncias perigosas, energia ou partes estruturais. O inventário precisa cruzar mecanismo de degradação, consequência possível e estado da barreira, porque uma lista de ativos sem criticidade não orienta a prioridade.

Depois, escolha uma amostra de achados vencidos e faça cinco perguntas. Qual era a condição observada? Qual consequência foi considerada? Quem autorizou a continuidade? Qual controle temporário foi implantado? Que evidência comprova que o risco foi reduzido? As respostas devem estar disponíveis para operação, manutenção, engenharia e liderança, uma vez que cada área enxerga apenas uma parte da decisão.

O líder de manutenção pode usar esse roteiro em uma reunião semanal. O gerente de operações deve revisar os casos cuja condição mudou. O profissional de SST precisa verificar se a análise considera exposição das pessoas e resposta a emergência. A diretoria, por sua vez, deve perguntar quantos riscos críticos estão apenas aguardando orçamento.

Esse trabalho complementa, mas não substitui, inspeções, ensaios, critérios de engenharia, procedimentos de emergência e requisitos legais aplicáveis. A avaliação técnica de cada ativo continua indispensável. O ganho está em impedir que o laudo termine na pasta enquanto a decisão operacional segue sem dono.

Conclusão: integridade de ativos é liderança antes da emergência

O caso Fawley não ensina que toda corrosão produzirá um colapso. Ele ensina que uma corrosão conhecida precisa gerar uma decisão proporcional à consequência possível e uma verificação compatível com a velocidade da degradação. Quando a organização deixa essa escolha implícita, a emergência acaba decidindo no lugar da liderança.

Andreza Araujo resume uma abordagem de segurança baseada em engenharia, criatividade e cuidado. Aplicada à integridade de ativos, essa combinação significa conhecer o mecanismo de falha, encontrar alternativas para controlar a exposição e cuidar das pessoas que trabalham perto da barreira. Para aprofundar essa agenda, consulte os livros da loja da Andreza Araújo e conheça o trabalho da autora em cultura e liderança pela segurança.

Leia também como a barreira crítica pode existir apenas no papel, como avaliar evidências antes de aceitar uma exceção e como montar um painel de barreiras críticas para levar o risco à reunião mensal.