Imperial Sugar: quando a poeira combustível virou risco de processo

O caso Imperial Sugar mostra que poeira combustível não deve ser tratada apenas como problema de limpeza, porque o risco nasce do desenho do processo, da manutenção dos equipamentos e das decisões que mantêm a exposição aberta.

Em 7 de fevereiro de 2008, uma explosão seguida de incêndio atingiu a refinaria da Imperial Sugar em Port Wentworth, na Geórgia, Estados Unidos. O relatório final do U.S. Chemical Safety and Hazard Investigation Board, publicado em 2009, registra 14 mortes e 36 pessoas feridas. A investigação também descreveu uma sequência de explosões secundárias alimentada por acúmulos de açúcar combustível.

O valor desse caso para a gestão de riscos está na pergunta que permanece depois da contagem das vítimas. Por que um perigo que dependia de equipamentos, transporte, limpeza e manutenção continuou sendo tratado como uma ocorrência localizada? Quando a organização olha apenas para a tarefa de varrer, ela deixa de enxergar o sistema que produz, movimenta e deposita a poeira.

Como Andreza Araujo defende em A Ilusão da Conformidade, um registro preenchido não prova que a barreira funciona. Imperial Sugar transforma essa ideia em uma leitura operacional. O risco aparecia na distância entre a condição conhecida e a decisão capaz de mudá-la.

Cenário inicial: quando o material comum escondia um risco crítico

Açúcar granulado parece inofensivo quando permanece concentrado. Em suspensão ou acumulado em determinadas superfícies, porém, o pó pode participar de uma combustão rápida quando combustível, oxigênio e fonte de ignição se combinam. A OSHA descreve a poeira combustível como um perigo que exige controle de processo, ventilação, limpeza e prevenção de fontes de ignição.

Na refinaria, o material era transportado por equipamentos e correias. O relatório do CSB identificou liberações contínuas de açúcar e poeira associadas ao projeto e à manutenção de transportadores, coletores de pó e outros equipamentos de manuseio. A poeira se acumulava em áreas que não eram alcançadas por uma rotina simples de limpeza, inclusive em espaços elevados e de difícil acesso.

O cenário inicial não era apenas uma fábrica suja. Era um processo que gerava material combustível, distribuía esse material por áreas ocupadas e dependia de controles cuja efetividade não era demonstrada no campo. A limpeza reduz a exposição imediata, mas o projeto precisa reduzir a geração e a propagação do perigo.

O evento de 7 de fevereiro de 2008 matou 14 trabalhadores e feriu 36 pessoas, segundo o relatório final do CSB.

Decisão: classificar a poeira como risco de processo

A decisão central é retirar a poeira combustível do nível exclusivo da inspeção de housekeeping. Quando o equipamento libera material de forma recorrente, o controle precisa envolver engenharia, manutenção, compras, operação e liderança executiva.

Um acúmulo recorrente, uma superfície inacessível, uma falha de captação ou uma mudança que enclausura um transportador devem ser avaliados pela possibilidade de criar um caminho de propagação, não apenas pelo tamanho visível da sujeira. O gestor pode iniciar a decisão com quatro perguntas. Onde a poeira é gerada? Em quais pontos ela pode se acumular sem ser percebida? Qual fonte de ignição continua disponível? Quem tem autoridade para parar, redesenhar ou financiar a correção?

Execução: trocar o registro pela verificação do controle

A execução começa pela reconstrução do caminho do perigo. A equipe deve mapear pontos de transferência, fontes de vazamento, superfícies de acúmulo, equipamentos de captação e locais em que a limpeza exige exposição adicional. O mapa precisa incluir operação normal, partida, parada, manutenção e condições anormais, porque a barreira pode funcionar em um turno e falhar quando o processo muda.

O segundo movimento é separar controles temporários de controles estruturais. A limpeza programada pode ser necessária enquanto uma correção de engenharia é projetada, mas não deve encerrar o problema como se o risco tivesse sido removido. O plano precisa registrar o dono da solução, o prazo, a evidência esperada e o critério que interrompe a atividade se o acúmulo retornar.

O terceiro movimento é verificar a condição no local. Uma ordem de serviço encerrada não demonstra que o ponto de liberação deixou de existir. A inspeção deve procurar vazamento, depósito, dano, obstrução, ignição potencial e dificuldade de acesso, além de ouvir quem executa a limpeza e a manutenção, cuja experiência revela falhas que o formulário não captura.

Essa lógica conversa com o artigo Barreira disponível vs barreira usada vs barreira verificada. A existência de um procedimento é apenas o primeiro estado da proteção. O controle real aparece quando a organização prova que a barreira está instalada, é usada na situação prevista e continua capaz de impedir a sequência perigosa.

O relatório final do CSB apontou uma explosão inicial seguida por explosões secundárias favorecidas pela poeira combustível acumulada.

Resultado mensurado: o que os dados permitem afirmar

O resultado mensurado de Imperial Sugar não é uma melhoria de indicador depois de uma campanha. É a dimensão concreta de uma falha de controle. O CSB registrou 14 mortes e 36 feridos, enquanto o registro público da OSHA documentou a ocorrência, as inspeções e as violações associadas ao perigo de explosão e incêndio.

Esses números não autorizam a conclusão de que uma única causa explica todo o evento. O relatório descreve uma combinação de projeto inadequado ou mal mantido, liberação de material e acúmulo favorecido por práticas insuficientes de limpeza. Cada elo precisa ser convertido em requisito verificável.

Para a liderança, o indicador mais útil não é apenas a quantidade de achados de poeira. É a combinação entre recorrência, idade da pendência, dificuldade de acesso, potencial de propagação, tempo até a proteção provisória e autoridade disponível para corrigir. Uma planta que fecha registros, mas mantém os mesmos pontos de acúmulo, pode estar medindo encerramento administrativo em vez de redução de risco.

Lições generalizáveis: cinco mudanças na leitura do risco

A primeira lição é que familiaridade não reduz consequência. O material pode estar presente há anos, a equipe pode conhecer a rotina e o indicador pode permanecer estável, embora a combinação de condições continue capaz de produzir uma perda grave.

A segunda lição é que acessibilidade faz parte da barreira. Se uma superfície não pode ser inspecionada ou limpa sem criar exposição, a organização não possui um controle robusto, ainda que o procedimento esteja assinado.

A terceira lição é que mudança de projeto precisa voltar ao gerenciamento de riscos. Enclausurar uma correia, alterar um transportador ou modificar a ventilação pode melhorar produção e, ao mesmo tempo, criar um novo caminho para o acúmulo. A alteração só é segura quando as consequências foram analisadas antes da operação.

A quarta lição é que o trabalhador não deve receber sozinho um problema criado pelo sistema. James Reason descreve como falhas latentes podem permanecer alinhadas até produzir um acidente. Essa leitura desloca a investigação da culpa individual para as condições que permitiram a permanência do perigo.

A quinta lição aparece em Sorte ou Capacidade, de Andreza Araujo. Um resultado sem acidente não comprova que a operação é capaz de controlar o risco; pode apenas significar que as condições necessárias para o evento ainda não se alinharam.

O que aplicar na sua operação: revisão em trinta dias

Na primeira semana, identifique materiais combustíveis, pontos de geração, fontes de ignição e áreas de acúmulo, usando uma caminhada de campo que inclua manutenção e operação. Registre localização, condição e facilidade de acesso, sem confundir imagem com prova suficiente de controle.

Na segunda semana, classifique os achados pelo potencial de consequência e pela recorrência. Separe o que exige limpeza imediata, o que requer proteção provisória e o que demanda mudança de engenharia. O plano que não diferencia essas situações transfere para o turno uma decisão que deveria pertencer ao sistema.

Na terceira semana, verifique os controles com a planta operando. Confirme se a captação funciona, se não há vazamento nas transferências, se a manutenção acessa os pontos críticos e se a emergência considera propagação da poeira. Compare o diagnóstico com Hierarquia de controles em SST e com revalidação de controles críticos após mudança de escopo.

Na quarta semana, leve à liderança a condição, a consequência possível, a barreira existente, a lacuna, o responsável, o prazo e a verificação prevista. A reunião deixa de ser um desfile de pendências quando cada item revela qual escolha ainda está sendo adiada.

Conclusão: o risco não termina quando a poeira deixa de aparecer

Imperial Sugar é um estudo de caso sobre o momento em que uma condição repetida deveria ter atravessado a fronteira entre a rotina do turno e a decisão de engenharia. O resultado mostra o custo de permitir que um risco de processo seja administrado como tarefa de limpeza.

Andreza Araujo sustenta, em Cultura de Segurança, que a cultura aparece nas escolhas que a organização repete quando há pressão. Quando a poeira retorna, a resposta não pode ser apenas limpar de novo; é preciso perguntar qual parte do sistema continua produzindo o perigo.

Para líderes de SST, a aplicação é direta. Classifique o risco, verifique a barreira, escale o que excede a autoridade do turno e acompanhe a recorrência até que a fonte seja modificada. O objetivo não é produzir uma pasta impecável. É impedir que uma sequência conhecida encontre as condições necessárias para se repetir.

Um risco de alta consequência não fica aceitável porque permaneceu familiar. A decisão mais segura é mudar o sistema enquanto ainda existe tempo para fazê-lo.

Conheça o trabalho de Andreza Araujo para transformar cultura, liderança e gestão de riscos em decisões verificáveis.