Tesoro Anacortes: quando uma barreira técnica falhou

Em 2 de abril de 2010, uma explosão na refinaria Tesoro Anacortes matou sete trabalhadores depois da ruptura catastrófica de um trocador de calor com quase quarenta anos de operação. O caso mostra por que uma investigação de acidente precisa examinar integridade mecânica, decisões de manutenção e sinais normalizados, não apenas a última ação antes da perda.

O relatório final do U.S. Chemical Safety and Hazard Investigation Board, aprovado em 2014, descreve uma falha técnica associada ao ataque por hidrogênio em alta temperatura. A lição útil para outras operações não é copiar uma recomendação, mas aprender a reconhecer quando uma barreira degradada continua sendo tratada como parte normal do processo.

Cenário inicial: qual operação estava em risco?

A unidade de hidrotratamento de nafta da refinaria usava dois bancos paralelos, cada um com três trocadores de calor, para aquecer o fluido antes da etapa de reação. A configuração oferecia redundância operacional, mas também criava uma decisão crítica. Para retirar um banco de serviço, a equipe precisava transferir o fluxo sem perder o controle da condição do processo.

O equipamento que rompeu tinha quase quatro décadas de uso. A idade, isoladamente, não prova que uma falha ocorrerá; ela aumenta, porém, a necessidade de conhecer o mecanismo de deterioração, o histórico de inspeções e os limites que tornam uma operação segura. A investigação do CSB identificou ataque por hidrogênio em alta temperatura, mecanismo que trincou e enfraqueceu os tubos de aço-carbono do trocador.

O ponto central para o investigador é separar o fato técnico da explicação curta. A pergunta não deve ser apenas “qual peça rompeu?”. Ela precisa incluir “que sinais estavam disponíveis, quem tinha autoridade para interromper a operação e por que a barreira continuou aceita?”. Essa abordagem se conecta à leitura de falhas latentes entre a decisão e o acidente.

O que a ruptura revelou sobre a barreira técnica?

O dano não nasceu no instante da explosão. O ataque por hidrogênio em alta temperatura é uma condição de degradação que pode avançar dentro do equipamento até reduzir sua resistência. Por isso, a barreira técnica dependia de uma cadeia composta por seleção adequada de material, inspeção capaz de encontrar o mecanismo, avaliação de engenharia, decisão de reparo e liberação operacional coerente.

Quando uma dessas etapas registra apenas a existência do equipamento, mas não verifica sua capacidade atual, a organização conserva a aparência de controle enquanto perde a proteção real. O relatório do CSB apontou que a gestão da unidade não tratou de modo suficiente os problemas relacionados aos trocadores, incluindo condições perigosas que se tornaram familiares para a rotina.

Essa diferença entre documento e proteção aparece também em acidentes de processo já analisados no blog. O caso Buncefield mostra como uma barreira crítica indisponível pode permanecer inserida no processo até que a consequência ultrapasse a capacidade de resposta.

Por que os sinais não produziram uma decisão?

Um sinal só funciona como alerta quando existe um caminho decisório para tratá-lo. Vazamento, corrosão, alteração de temperatura, reparo provisório ou recomendação vencida podem aparecer em registros distintos e, ainda assim, não formar uma imagem única para quem decide.

O CSB descreveu deficiências de cultura de segurança de processo na refinaria, incluindo a normalização de condições perigosas e o uso de vapor para lidar com vazamentos. A conclusão não autoriza afirmar que cada trabalhador ignorou um risco evidente. Ela indica que a organização não converteu sinais recorrentes em uma decisão proporcional sobre a continuidade da operação.

James Reason ajuda a interpretar essa sequência ao distinguir falhas ativas de condições latentes. A pessoa que executa a última manobra pode estar apenas encontrando uma barreira já enfraquecida por projeto, inspeção, manutenção, supervisão e pressão operacional. Andreza Araujo desenvolve uma posição convergente em Sorte ou Capacidade, ao rejeitar a ideia de que acidentes graves sejam explicados por azar isolado.

Como a manutenção deveria ter entrado na análise?

Em uma operação de processo, manutenção não é apenas uma agenda de troca de peças. Ela precisa responder se o equipamento continua adequado ao serviço, se o mecanismo de dano foi compreendido e se a inspeção adotada consegue detectar a deterioração antes da perda de contenção.

Uma análise robusta deveria reunir, no mínimo, histórico de espessura e inspeção, alterações de processo, temperatura e pressão de operação, ocorrências de vazamento, recomendações de engenharia e critérios formais para retirar o equipamento de serviço. O objetivo não é criar um arquivo maior. É permitir que a liderança compare a exposição atual com a capacidade comprovada da barreira.

Em seus trabalhos sobre cultura e prevenção, Andreza Araujo insiste que a conformidade registrada não equivale à segurança real. Essa tese, presente em A Ilusão da Conformidade, é especialmente relevante quando um procedimento existe, mas não responde ao mecanismo de falha que está deteriorando o ativo.

Qual foi o resultado mensurado do caso?

O resultado imediato foi a morte de sete trabalhadores em uma explosão e incêndio. O evento ocorreu em 2010, enquanto o relatório final do CSB foi aprovado quatro anos depois, em 1º de maio de 2014, após a investigação examinar o equipamento, as decisões da unidade e as condições organizacionais que permitiram a degradação.

O caso também deixa uma medida técnica concreta. O equipamento crítico fazia parte de uma configuração com dois bancos de três trocadores, mas a existência de seis unidades no conjunto não eliminava o risco de uma falha localizada. Redundância operacional não substitui a comprovação da integridade de cada barreira nem define, sozinha, quando a transferência de fluxo deve ser interrompida.

Para a liderança, esses números têm funções diferentes. Sete mortes dimensionam a gravidade humana. Quatro anos mostram a distância entre o acidente e a conclusão formal. Dois bancos e seis trocadores descrevem a arquitetura do processo. Nenhum deles, isoladamente, explica a causa; juntos, ajudam a impedir que a investigação reduza tudo a uma peça rompida.

Que lições são transferíveis para outras operações?

A primeira lição é que mecanismo de dano precisa aparecer na decisão operacional. Não basta afirmar que um equipamento foi inspecionado; é preciso demonstrar que o método utilizado era capaz de encontrar o dano relevante.

A segunda é que vazamento recorrente não pode ser tratado como inconveniente de rotina. Quando uma equipe usa uma medida provisória para manter a produção, a organização precisa definir prazo, responsável, critério de parada e escalada executiva.

A terceira é que a investigação deve conectar engenharia e liderança. O técnico identifica a condição, a manutenção traduz a intervenção necessária e o gestor decide se há recurso, tempo e autoridade para interromper o processo. Se uma dessas partes fica fora da conversa, a barreira perde consistência.

A quarta é que a aprendizagem precisa produzir mudança verificável. O relatório não deve terminar com “reforçar a atenção”. Deve registrar qual barreira será alterada, qual indicador mostrará a execução e quem verificará se o novo controle funciona em campo.

Como aplicar o aprendizado na sua operação?

Uma equipe de investigação pode começar por uma reunião de noventa minutos com manutenção, operação, engenharia e liderança. O grupo deve selecionar um ativo de alto potencial de perda e reconstruir a história da barreira, desde o projeto até a última decisão de liberação.

Depois, faça quatro perguntas. Qual mecanismo de degradação é plausível? Que evidência comprova a integridade atual? Qual sinal exige parada ou redução de exposição? Quem tem autoridade para decidir antes que a condição se agrave?

A resposta precisa ser registrada em uma matriz simples, com ativo, mecanismo de dano, barreira preventiva, barreira mitigadora, responsável, prazo e evidência de verificação. Essa matriz não substitui uma análise de engenharia; ela evita que a informação crítica fique dispersa entre ordens de serviço, atas e relatórios que ninguém consulta na hora da decisão.

Quando a organização quiser aprofundar a relação entre achado e controle, o artigo sobre lições aprendidas em SST oferece um caminho complementar para transformar investigação em barreira verificável.

Quais indicadores mostram que a barreira está viva?

Indicadores de resultado, como fatalidades e perdas de contenção, continuam necessários, mas chegam tarde para orientar a prevenção. Para ativos críticos, acompanhe a proporção de inspeções executadas no prazo, a idade das recomendações vencidas, o tempo de permanência de reparos provisórios, a quantidade de vazamentos repetidos e o percentual de ações cuja eficácia foi verificada.

Esses indicadores não devem virar uma coleção de números verdes. A diretoria precisa observar se o painel registra exposição, decisão e evidência. Uma inspeção feita no prazo não prova que o método encontrou o mecanismo de dano. Uma ação encerrada não prova que o controle reduziu o risco. A liderança precisa confrontar o indicador com a realidade do equipamento.

Andreza Araujo trata essa diferença entre número confortável e proteção efetiva em Muito Além do Zero. A métrica mais útil é aquela que muda uma decisão antes do acidente, não aquela que apenas confirma que o período terminou sem registro de perda.

O que a diretoria deve levar para a próxima reunião?

A diretoria não precisa memorizar todos os detalhes do caso Tesoro Anacortes. Precisa verificar se a própria operação sabe responder quatro pontos: qual ativo pode produzir uma perda catastrófica, qual mecanismo de dano ameaça esse ativo, qual evidência comprova a integridade e quem interrompe a produção quando a evidência deixa de existir.

O caso mostra que uma barreira pode estar instalada, documentada e integrada ao processo sem estar realmente disponível. A investigação madura busca a decisão que deveria ter acontecido antes da ruptura, identifica por que ela não aconteceu e transforma o achado em autoridade, prazo e verificação.

Essa é a síntese que Andreza Araujo sustenta em sua abordagem de cultura de segurança: prevenção não é a soma de formulários corretos, mas a coerência entre risco conhecido, decisão de liderança e controle que permanece vivo na operação.