Texas City: quando a pressão de produção ultrapassou as barreiras de processo

O acidente da refinaria BP Texas City, em 23 de março de 2005, mostra como uma operação pode manter procedimentos, indicadores e treinamentos enquanto as barreiras que deveriam impedir uma explosão perdem força.

Uma explosão no setor de isomerização matou 15 trabalhadores e feriu 180 pessoas. O relatório final do U.S. Chemical Safety and Hazard Investigation Board, publicado em 2007, não tratou o episódio como falha isolada de um operador. A investigação descreveu deficiências organizacionais e de segurança em diferentes níveis da BP, além de decisões que mantiveram pessoas próximas a uma unidade de processo perigosa.

Este estudo de caso não serve para transformar uma tragédia em fórmula. Ele serve para reconstruir uma sequência verificável e perguntar onde a liderança poderia ter interrompido a exposição antes da ignição. Como Andreza Araujo defende em A Ilusão da Conformidade, o registro de uma exigência não prova que a barreira funciona no campo.

Cenário inicial: um processo conhecido, uma exposição normalizada

A unidade de isomerização recebia hidrocarbonetos e utilizava uma torre de separação cuja operação podia gerar pressão e liberar material inflamável. Naquele dia, a partida da unidade foi marcada por condições operacionais anormais, instrumentos que não ofereciam informação suficiente e uma área de acomodação temporária localizada próxima ao processo.

O relatório do CSB descreve que a torre foi preenchida além do nível seguro durante a partida e que o sistema de alívio descarregou hidrocarbonetos para uma área próxima ao solo. A nuvem inflamável encontrou uma fonte de ignição, provocando a explosão. O posicionamento de trailers ocupados ampliou a gravidade do evento porque trabalhadores estavam expostos fora de uma zona que deveria ser tratada como crítica.

O cenário não pode ser reduzido à pergunta sobre quem acionou uma válvula ou leu um instrumento. O risco já estava distribuído entre projeto, partida, alarmes, supervisão, manutenção, gestão de mudanças e ocupação do terreno. Quando cada área enxerga apenas sua tarefa, a organização perde a sequência que conecta a condição perigosa à perda.

Em 23 de março de 2005, o acidente matou 15 trabalhadores e feriu 180 pessoas, segundo o relatório final do CSB.

Decisão: tratar a partida como operação de alto risco

A decisão que faltou não era apenas “seguir o procedimento”. Era reconhecer que uma partida, sobretudo depois de manutenção ou alteração de condição, exigia uma barreira específica, autoridade clara e verificação independente antes de liberar a unidade.

O CSB apontou problemas na gestão de segurança de processo, na identificação de perigos, na comunicação de riscos e no controle de ocupação de áreas próximas. Isso muda a pergunta feita à liderança. Em vez de perguntar se o procedimento existia, é preciso perguntar quais condições tornam a partida insegura, quem pode interrompê-la e qual evidência autoriza sua continuidade.

Essa leitura se aproxima da posição de Andreza Araujo em Sorte ou Capacidade. Um acidente grave não deve ser atribuído ao azar quando decisões anteriores deixaram o sistema dependente de uma sequência perfeita.

Execução: onde as barreiras deixaram de conversar

A execução da partida dependia de várias camadas. O nível da torre precisava ser controlado, o alívio deveria conduzir o material para uma condição mais segura, os alarmes precisavam chamar atenção e a equipe deveria ter critérios para interromper. A distância entre essas camadas é o que torna o caso instrutivo.

O relatório do CSB identificou limitações de instrumentos e alarmes, falhas na preparação da partida e ausência de uma análise adequada dos perigos associados à descarga. Também criticou a decisão de manter trailers ocupados perto de equipamentos de processo, porque a área de siting não refletia a consequência possível de uma liberação inflamável.

Uma barreira não é apenas um equipamento ou um documento. Ela funciona quando a informação chega a quem decide, quando a condição de parada é conhecida e quando a liderança aceita o custo de interromper a produção. Se o alarme é ignorado, se o instrumento não permite distinguir uma condição perigosa ou se o trabalhador está instalado dentro da zona de consequência, a camada existe no papel, mas perdeu sua função preventiva.

Para uma equipe de investigação, a reconstrução precisa acompanhar o tempo. O que era conhecido antes da partida? Qual mudança foi aceita? Qual alerta apareceu? Quem tinha autoridade? Que informação não chegou à decisão? Essas perguntas preservam a causalidade sem transformar o operador no único portador do risco.

Resultado mensurado: a perda revelou uma falha sistêmica

O resultado imediato foi a explosão, seguida de incêndio, com 15 mortes e 180 pessoas feridas. O resultado organizacional foi mais amplo. A investigação mostrou que os problemas não estavam restritos ao instante da ignição, pois envolviam a forma como a empresa priorizava produção, manutenção, segurança de processo, ocupação e supervisão.

O painel Baker, criado após o acidente, também concluiu que acidentes de processo poderiam ser prevenidos e recomendou mudanças na gestão da segurança. O valor desses documentos está em deslocar a análise do evento final para as decisões que mantiveram a exposição possível.

A tabela não descreve uma melhoria numérica posterior da BP. Ela organiza a diferença entre a leitura que antecedeu o acidente e a leitura exigida pelos achados oficiais. Essa distinção é importante, porque não se deve inventar um “depois” positivo quando o dado verificável é a extensão da perda e o conjunto de recomendações.

Lições generalizáveis: cinco perguntas que evitam repetir a sequência

O caso Texas City pode ser levado a outras operações sem copiar o cenário da refinaria. As lições estão na relação entre decisão, barreira e consequência.

1. A partida tem critérios diferentes da operação estável? Se a equipe usa o mesmo padrão de liberação para início, retomada e funcionamento normal, a mudança de exposição pode ficar invisível.
2. O alarme permite decidir ou apenas registrar? Um sinal que não orienta uma ação, não tem responsável definido ou chega tarde demais não constitui barreira suficiente.
3. Quem está dentro da zona de consequência? Salas, oficinas, trailers e rotas de circulação devem ser avaliados pela energia e pelo material liberado, não apenas pelo mapa administrativo.
4. Que pressão operacional modifica a escolha? Prazos, disponibilidade de equipamento e metas podem alterar a tolerância ao desvio, embora não apareçam no procedimento.
5. Qual evidência prova que a recomendação foi incorporada? Uma ação encerrada precisa mudar projeto, critério, autoridade, ocupação ou resposta; a assinatura sozinha não demonstra controle.

Essas perguntas também protegem a investigação contra uma conclusão superficial. Quando a causa termina em “erro de operação”, a organização pode fechar o relatório sem alterar o sistema que produziu a condição.

O que aplicar na sua operação: revisar as partidas antes do próximo ciclo

O primeiro passo é selecionar uma partida, retomada ou operação anormal prevista nos próximos dias e reconstruir o caminho do perigo com operação, manutenção, engenharia e liderança. A equipe deve registrar onde a energia ou o material perigoso aparece, qual sinal indica perda de controle, quem decide a interrupção e o que impede pessoas de permanecerem na zona de consequência.

Depois, teste o método no local. Não basta revisar a sequência em sala, porque distância, visibilidade, ruído, acesso, posição dos instrumentos e ocupação real podem alterar a decisão. Se o trabalhador precisa interpretar três sinais ao mesmo tempo para decidir, a barreira talvez dependa demais de atenção individual.

Por último, leve as pendências que excedem a autoridade do turno para uma reunião executiva com prazo, responsável e critério de verificação. A direção não precisa receber uma lista maior. Precisa receber as poucas condições cuja permanência pode transformar uma anormalidade em evento grave.

Veja outros estudos e práticas de investigação de acidentes para comparar essa leitura com casos de barreiras perdidas e decisões encerradas cedo demais.

Conclusão: segurança de processo precisa vencer antes da ignição

Texas City não é apenas a história de uma explosão em uma refinaria. É a demonstração de que uma organização pode ter procedimentos, especialistas e controles formais, mas ainda assim deixar uma partida perigosa avançar porque ninguém conectou os sinais em uma decisão de parada.

A prevenção começa quando a liderança trata a condição anormal como decisão de negócio e não como inconveniente operacional. A barreira mais importante é aquela que muda o curso da atividade antes que o processo produza a consequência. Conheça a abordagem de Andreza Araujo para transformar cultura, liderança e gestão de riscos em decisões verificáveis.