Flixborough: 4 decisões que transformaram uma mudança de processo em explosão

Em 1º de junho de 1974, uma mudança provisória em uma planta química britânica terminou em uma explosão que matou 28 trabalhadores e feriu outros 36. O caso de Flixborough, documentado pelo Health and Safety Executive, continua atual porque não começou com uma falha misteriosa. Começou com uma alteração de processo que entrou em operação antes de provar que sua integridade estava preservada.

O acidente ocorreu às 16h53, na unidade da Nypro UK, em Flixborough. A ruptura liberou uma grande quantidade de ciclo-hexano inflamável, que formou uma nuvem de vapor e encontrou uma fonte de ignição. O resultado foi uma explosão de grande alcance, com danos severos à instalação e impacto também fora do local.

Este estudo não trata a decisão como um erro isolado de um projetista ou de um operador. A sequência revela quatro escolhas de gestão que permitiram que uma solução temporária fosse tratada como se já estivesse validada. A pergunta para quem lidera riscos de processo é objetiva: quem precisa interromper a mudança quando a evidência técnica ainda não fechou?

Uma mudança de processo só está controlada quando o novo arranjo foi projetado, verificado, aprovado por competência adequada e acompanhado durante a operação. Se a solução depende de improviso, prazo curto ou interpretação informal, a organização ainda não tem uma barreira; tem uma hipótese de barreira.

O cenário inicial já combinava energia e complexidade

A planta fabricava caprolactama, produto usado na produção de nylon, por meio de uma sequência que envolvia seis reatores de oxidação em série. O ciclo-hexano circulava em condições nas quais sua liberação poderia gerar incêndio ou explosão. Por isso, a continuidade entre equipamentos, tubulações, suportes e instrumentos não era um detalhe de manutenção. Era parte da contenção do processo.

O HSE registra que os reatores 4 e 5 apresentaram vazamentos em maio de 1974. O reator 5 foi retirado de serviço para reparo, e a operação precisou manter a conexão entre o reator 4 e o reator 6. A necessidade operacional era compreensível; o risco estava em transformar uma condição excepcional em uma configuração que precisava suportar pressão, vibração, temperatura e movimento sem a mesma margem do projeto original.

Essa distinção é central para a gestão de mudanças. A pergunta não é apenas se a produção pode continuar. É preciso demonstrar se a configuração modificada conserva as barreiras que tornavam aceitável o processo anterior. O caso também conversa com a tese de A Ilusão da Conformidade, de Andreza Araujo, porque um registro de aprovação não substitui a comprovação de que a condição real continua segura.

Decisão 1: aceitar uma solução temporária sem projeto completo

Para manter a continuidade do processo, a equipe instalou um desvio entre os reatores 4 e 6. Segundo o resumo do HSE, a conexão foi feita com uma tubulação de aproximadamente 20 polegadas, apoiada por uma estrutura que não havia sido concebida para aquele arranjo específico. A alteração eliminava o reator 5 da sequência, mas também mudava os esforços transferidos para o conjunto.

O ponto crítico não é que toda solução provisória seja proibida. Em muitas operações, a resposta segura precisa ser rápida. O problema aparece quando o caráter temporário vira justificativa para reduzir o rigor de engenharia. Uma solução transitória precisa ter escopo definido, limites de operação, responsável técnico, prazo de retirada e verificação compatível com a energia envolvida.

O erro de decisão foi tratar a urgência de produção como se ela diminuísse a necessidade de projeto. Na realidade, quanto maior a consequência da perda de contenção, mais clara precisa ser a prova de que a mudança não introduziu uma fragilidade estrutural.

Decisão 2: confiar em uma conexão que não havia sido validada como sistema

A tubulação de desvio não funcionava sozinha. Ela dependia de juntas, suportes, curvas e conexões próximas aos reatores, formando um sistema submetido a forças que não existiam na configuração original. O relatório público do HSE aponta que a seção instalada tinha uma curva de expansão e uma junta que não foram projetadas para receber exatamente aquele conjunto de esforços.

Essa é uma diferença importante entre verificar peças e verificar uma barreira. Um componente pode parecer adequado quando observado isoladamente, enquanto a combinação de peso, vibração, desalinhamento e pressão cria uma condição que o cálculo original não cobria. O risco nasce na interface, justamente onde a responsabilidade costuma ficar difusa.

O inventário interno de mudanças deve, portanto, registrar não apenas o equipamento alterado, mas também as interfaces afetadas. A análise precisa perguntar quais suportes recebem nova carga, que linhas deixam de estar alinhadas, quais instrumentos perdem representatividade e que cenários de vazamento foram acrescentados. Para estruturar essa leitura, a equipe pode cruzar a mudança com um processo de MOC em SST e com a seleção de método descrita em HAZOP, Bow-Tie e FMEA.

Decisão 3: liberar a operação sem uma verificação independente suficiente

A solução foi construída e colocada em serviço em um ambiente que precisava produzir, mas a verificação não teve a profundidade necessária para uma alteração com ciclo-hexano inflamável. O HSE relata que a tubulação foi submetida a testes de pressão, porém a integridade do arranjo completo e a resistência dos suportes não foram demonstradas de modo suficiente.

Teste de pressão não responde a todas as perguntas. Ele pode mostrar que uma linha suporta determinada condição naquele momento, mas não substitui a avaliação de flexibilidade, fadiga, suporte, alinhamento, vibração e comportamento durante a partida. A barreira só é liberada quando o teste escolhido responde ao modo de falha que a mudança pode criar.

Uma segunda camada de revisão também teria valor. Quem participou da pressão por manter a produção não deveria ser a única instância a declarar que a mudança estava pronta. A independência não precisa significar burocracia distante. Pode ser uma revisão curta por engenharia de processo, integridade mecânica e operação, desde que cada função tenha autoridade para dizer que a evidência ainda é insuficiente.

Decisão 4: operar com sinais fracos sem autoridade clara de parada

O histórico do acidente mostra que a planta não estava diante de um risco puramente abstrato. Havia uma sequência de reparo, mudança geométrica e retorno à operação em uma unidade com inventário inflamável. Mesmo que nenhum sinal isolado parecesse decisivo, a combinação deveria elevar o nível de cautela.

É aqui que a liderança transforma análise em controle. Se o procedimento de mudança não define quem pode interromper a partida, a equipe tende a interpretar a continuidade como decisão já tomada. A ausência de uma autoridade explícita cria uma barreira administrativa fraca, porque ninguém quer ser a pessoa que atrasa a produção sem conseguir demonstrar que o risco será aceito pela direção.

Em Muito Além do Zero, Andreza Araujo critica a dependência de indicadores que registram apenas o resultado final. Aplicado a Flixborough, o ensinamento é direto: dias sem acidente não provariam que o novo arranjo estava íntegro. A evidência relevante estava antes da partida, na qualidade do projeto, na validação das interfaces e na disposição de parar diante de uma dúvida técnica.

A explosão mostrou a diferença entre mudança aprovada e barreira funcionando

Quando a tubulação de desvio falhou, o ciclo-hexano escapou e formou uma nuvem inflamável. A explosão matou 28 pessoas no local e feriu outras 36, conforme o resumo oficial do HSE. O mesmo documento registra que pessoas fora da planta também sofreram lesões e que centenas de propriedades foram danificadas.

Esses números não servem apenas para dimensionar a tragédia. Eles mostram como uma perda de contenção em processo pode atravessar os limites da tarefa original. A decisão parecia restrita ao reparo de um reator, mas o evento envolveu estrutura, tubulação, atmosfera, fontes de ignição, ocupação do prédio e comunidade ao redor.

A investigação de um evento desse tipo não deve parar na pergunta sobre quem montou a conexão. O método precisa reconstruir quando a mudança foi definida, que premissas foram usadas, quais documentos foram revisados, que teste foi escolhido e por que a operação foi autorizada. Essa lógica é compatível com a leitura de James Reason sobre condições latentes, sem transformar o operador na explicação conveniente para uma cadeia de decisões.

O que o caso ensina para uma MOC atual

Uma gestão de mudanças madura não classifica a alteração apenas como pequena, média ou grande. Ela identifica o potencial de consequência e pergunta quais barreiras podem perder desempenho. Uma conexão temporária em processo inflamável pode exigir mais controle que uma mudança permanente de baixo impacto, justamente porque a pressão por rapidez favorece decisões incompletas.

O formulário de MOC precisa capturar quatro evidências antes da partida. A primeira é o desenho revisado, que mostra o arranjo realmente instalado. A segunda é a avaliação das interfaces, incluindo suportes, instrumentos, energia e acesso. A terceira é o teste que reproduz o modo de falha plausível. A quarta é a aprovação de quem tem competência e autoridade para suspender o retorno à operação.

Esse conjunto não elimina a incerteza, mas evita que ela fique escondida dentro de uma assinatura. A gestão de mudanças em SST precisa produzir uma decisão rastreável, e não apenas um documento arquivado.

Como aplicar a lição na operação brasileira

Imagine uma planta que precisa retirar uma bomba, instalar uma linha provisória e manter a produção durante o reparo. Antes de liberar o equipamento, o gerente de produção deveria exigir que a equipe demonstre quais forças mudaram, qual contenção foi recalculada, que cenário de vazamento foi considerado e quem acompanhou a primeira partida.

O supervisor de turno pode traduzir a exigência para o campo com três perguntas. O que foi alterado em relação ao desenho aprovado? Que barreira passou a depender de uma condição temporária? Quem pode parar a operação se a resposta não estiver comprovada? Se qualquer pergunta ficar sem resposta, a decisão prudente é escalar a dúvida, não preencher o espaço com confiança.

A verificação também precisa continuar depois da partida. Ruído, vibração, aquecimento, vazamento, instabilidade de instrumento e comportamento diferente do previsto são informações de integridade. O relatório do HSE sobre Flixborough não permite concluir que um único sinal teria evitado o desastre, mas permite afirmar que mudanças em processos de alta energia exigem acompanhamento compatível com o risco.

A decisão final pertence à evidência, não ao calendário

Flixborough não é apenas uma história antiga sobre tubulação. É um caso sobre a velocidade com que uma exceção pode adquirir aparência de rotina. Quatro decisões contribuíram para a exposição: aceitar uma solução temporária sem projeto completo, validar peças sem validar o sistema, liberar a operação sem revisão independente suficiente e operar sem autoridade clara de parada.

A lição generalizável é simples, embora sua execução exija disciplina. Quando uma mudança altera energia, contenção ou interface entre equipamentos, a organização precisa provar que a barreira continua funcionando antes de pedir que a operação confie nela. O calendário de produção pode definir a urgência; não pode definir a integridade.

Para aprofundar a aplicação, use também o roteiro de verificação de barreiras e o conteúdo sobre Bow-Tie de risco crítico. A liderança de SST ganha qualidade quando transforma a dúvida técnica em uma condição explícita de decisão.

A Andreza Araújo ajuda organizações a transformar conformidade, liderança e gestão de riscos em decisões verificáveis no campo. Conheça os conteúdos e serviços disponíveis em Andreza Araújo.