Estudo de caso ACIDENTES COM INFLAMÁVEIS

Prévia do material em texto

Acidentes com 
Inflamáveis
—
2 / 31
SUMÁRIO
1 – INTRODUÇÃO ......................................................................................................................... 3
1.1 STEP ..................................................................................................................................... 5
1.2 Diagrama de Ishikawa ...................................................................................................... 6
1.3 MCP ...................................................................................................................................... 7
1.4 Análise dos porquês ......................................................................................................... 8
1.5 Árvore de falhas ................................................................................................................ 9
2 – ANÁLISE DE ACIDENTES COM INFLAMÁVEIS ...............................................................12
2.1 Vents e drenos .................................................................................................................17
3 – EXEMPLOS DE ACIDENTE COM INFLAMÁVEIS .............................................................17
3.1 Acidente fatal: Refinaria Henrique Lage – Revap (São José dos Campos/SP, 
Brasil) .......................................................................................................................................17
3.1.2 Eventos que antecederam o acidente ................................................................18
3.1.3 Causas imediatas ....................................................................................................20
3.1.4 Causas básicas .........................................................................................................20
3.1.5 Recomendações ......................................................................................................20
3.2 Acidente fatal: REMAN (Manaus/AM, Brasil) ...........................................................21
3.2.1 Causas imediatas ....................................................................................................22
3.2.2 Causa básica .............................................................................................................23
3.2.3 Recomendações ......................................................................................................23
3.3 Acidente: Valero Refinery e Texas City ......................................................................23
3.3.1 Reconstituição do evento .....................................................................................23
3.4 Acidente em Flixborough ..............................................................................................26
4 – CONSIDERAÇÕES FINAIS ...................................................................................................30
3 / 31
1 – INTRODUÇÃO
Neste material sobre acidentes com inflamáveis, você conhecerá a análise de causas 
e as medidas de controle de acidentes com inflamáveis. Os objetivos deste curso são: 
 • Definir os conceitos de acidentes, incidentes e desvios conforme os padrões 
adotados pela Petrobras.
 • Aplicar o método de análise e tratamento de acidentes utilizado pela Petrobras.
 • Identificar as principais causas de acidentes.
 • Indicar medidas preventivas necessárias para evitar a ocorrência de acidentes com 
inflamáveis.
Inicialmente, vamos definir alguns conceitos importantes para a compreensão 
do conteúdo. Para a Petrobras, são utilizadas as seguintes definições de acidente, 
incidente e desvios:
 • Acidente: evento imprevisto e indesejável, instantâneo ou não, que resultou em 
dano à pessoa (incluindo doença do trabalho e doença profissional), ao patrimônio 
(próprio ou de terceiros) ou ao meio ambiente.
 • Incidente: evento imprevisto e indesejável que resulta em dano à pessoa, ao 
patrimônio (próprio ou de terceiros) ou ao meio ambiente.
 • Desvio: qualquer ação ou condição que tem potencial para conduzir, direta ou 
indiretamente, danos a pessoas, ao patrimônio (próprio ou de terceiros) ou ao meio 
ambiente e que se encontra desconforme com normas de trabalho, procedimentos, 
requisitos legais ou normativos e requisitos do sistema de gestão ou boas práticas.
A Diretriz de SMS nº 13 determina os requisitos relacionados à análise de acidentes e 
incidentes. Os acidentes e incidentes decorrentes das atividades da empresa devem 
ser analisados, investigados e documentados de modo a evitar sua repetição e 
assegurar a minimização de seus efeitos. Além disso, é preciso:
 • Implementar procedimentos que permitam a identificação, registro e análise das 
causas dos acidentes e a quantificação das perdas.
 • Efetivar métodos que permitam a identificação e tratamento de não conformidades 
eventualmente capazes de causar acidentes.
 • Gerar obrigatoriedade de comunicação imediata de acidentes e de pronta atuação 
sobre suas consequências.
4 / 31
 • Promover a obrigatoriedade do registro de acidentes no respectivo indicador de 
desempenho.
 • Incorporar às atividades da empresa as lições extraídas dos acidentes visando à 
melhoria constante dos sistemas de prevenção. 
 • Acompanhar as medidas corretivas e/ou preventivas adotadas.
 • Garantir que, em acidentes graves, a investigação tenha participação externa à da 
unidade onde ocorreu e da área corporativa de SMS.
Ela também propõe um padrão de análise e tratamento de anomalias de SMS com 
o objetivo de estabelecer os requisitos do processo de análise e tratamento de 
anomalias de SMS na companhia. Este padrão se aplica à análise de tratamentos 
de acidentes e incidentes e, também, de desvios correlacionados às atividades e 
operações da companhia que afetem a força de trabalho, a comunidade, as instalações, 
o patrimônio ou o meio ambiente.
Existem inúmeros modelos para investigar e analisar acidentes e incidentes. Neste 
módulo, estudaremos os seguintes métodos:
5 / 31
1.1 STEP
STEP é a sigla de sequentially timed events plotting. Este método permite analisar 
dados de forma temporal, gerando uma representação gráfica do processo como 
resultado final. Ele ajuda a descrever o acidente de forma cronológica, identificando 
as causas imediatas e básicas que levaram à ocorrência do acidente; além disso, 
permite compreender o quê, como e por que aconteceu. 
Costuma ser utilizado em acidentes mais complexos, geralmente em conjunto com 
outras ferramentas de análise de acidentes. Ele consiste em representar graficamente 
o processo que levou ao acidente. O processo é visto como um agente que, ao longo 
do tempo, contribuiu para a ocorrência do sinistro. 
Um agente somado a uma ação constitui um evento. Observe que, na linha vertical, são 
plotados os agentes e, na linha horizontal, o tempo. Dispõe-se de todos os elementos 
ou fatos relevantes interligados por linhas que auxiliam no exame detalhado do 
acidente ou incidente.
O método STEP é vantajoso porque:
 • Organiza os dados.
 • Orienta a análise de forma temporal. 
 • Valida a sequência do acidente.
6 / 31
 • Testa a hipótese de maneira objetiva e lógica.
 • Identifica diferenças entre processos atualmente utilizados e planejados.
 • Apresenta a necessidade de novas análises.
 • Auxilia na identificação de lacunas no processo de ocorrência do acidente.
1.2 Diagrama de Ishikawa
O diagrama de Ishikawa é uma forma estruturada que ajuda a identificar prováveis 
causas de um problema através de uma classificação de seus fatores potenciais.
Esse diagrama funciona a partir da formulação do problema através da nomeação 
do efeito, levantando posteriormente as possíveis causas através de brainstorming. 
Por fim, classifica as ideias entre os 6M (método, máquinas, meio ambiente, material, 
mão de obra e medição).
7 / 31
Como resultado, obtêm-se:
 • A determinação das causas que contribuíram para a ocorrência do evento 
(problema).
 • A ilustração da ação recíproca entre as causas correlacionadas.• A identificação da causa-raiz.
 • A base para registro e avanço nas técnicas de resolução de problemas.
A partir das causas, são determinadas as ações a serem adotadas para corrigir, mitigar 
ou eliminar os problemas identificados.
1.3 MCP
O modelo de causalidade de perdas (MCP) baseia-se em uma estrutura conceitual 
apoiada nos conceitos de prevenção e controle de perdas. As perdas são reconhecidas 
como resultado de qualquer acidente que resulte em dano pessoal, material ou 
ambiental. O conceito de acidente considera a transmissão de energia ou substância 
entre corpos e/ou estruturas. Portanto, um acidente ocorre quando há um contato 
com uma fonte de energia ou substância acima de um patamar limítrofe a partir 
do qual há danos pessoais ou perdas materiais/ambientais. Esse modelo utiliza um 
checklist padrão que orienta a aplicação do método. 
Inicialmente, é importante ter uma visão ampla do cenário do acidente para orientar 
sobre os elementos que evidenciarão suas causas, pessoas, posições, partes e 
papeis. Essa é uma maneira de classificar as evidências coletadas e observadas. A 
partir da descrição do acidente ou incidente, avalia-se o potencial de perdas (caso ela 
não seja controlado). Depois, é definido o tipo de contato com a fonte de energia ou 
substância envolvida num acidente ou incidente. Uma vez definido o tipo de contato, 
este indicará as possíveis causas imediatas que levaram à ocorrência do acidente. 
As causas imediatas estão classificadas em atos abaixo do padrão e condições abaixo 
do padrão. Procede-se a mesma análise para a identificação das causas básicas. 
Cada causa imediata indicará possíveis causas básicas que levaram à ocorrência do 
acidente ou incidente.
As causas básicas são classificadas em fatores pessoais e do trabalho. A partir da 
definição das causas básicas, o formulário indicará as possíveis causas administrativas 
que levaram à ocorrência do acidente. Para cada causa administrativa, deve ser 
8 / 31
observada a existência de:
Programas indicativos inadequados.
Padrões inadequados do programa.
Cumprimento inadequado dos padrões.
Em relação às vantagens, o MCP identifica os fatores administrativos, possibilita uma 
divisão ordenada da relação de causas e efeitos, e apresenta um checklist que facilita 
os trabalhos de análise.
1.4 Análise dos porquês
A análise dos porquês é um método estruturado de aplicação simples, que permite 
identificar as causas básicas que levaram à ocorrência de um acidente ou incidente 
através da aplicação da pergunta “por quê?”.
9 / 31
A partir da descrição do acidente, perguntar o porquê da sua ocorrência. A partir da 
resposta, seguir perguntando “por que” até alcançar a causa básica. Geralmente, 
questiona-se “por que” até cinco vezes, mas não é uma regra, podendo-se identificar 
a causa básica antes ou depois da quinta pergunta. É um método vantajoso pela 
simplicidade de aplicação. 
1.5 Árvore de falhas
A análise por árvore de falhas foi aplicada inicialmente pela indústria aeroespacial 
e posteriormente adotada pela indústria nuclear para qualificar e quantificar os 
perigos e riscos associados às suas operações. Após o sucesso da aplicação na 
indústria nuclear, tornou-se popular na indústria química. Por ser uma técnica mais 
trabalhosa, exige a aplicação de mais recursos.
10 / 31
A análise por árvore de falhas pode ser utilizada como:
 • Ferramenta de análise de riscos, do ponto de vista preventivo.
 • Método de investigação de acidentes. 
A análise por árvore de falhas é um método que aplica a lógica dedutiva para determinar 
as causas de um determinado evento – geralmente, indesejável. A técnica baseia-se 
em um evento topo e utiliza símbolos e pictogramas para representar as causas que 
levam à ocorrência desse evento topo e elucidar como elas interagem para produzi-
lo. O método utiliza a aplicação dos operadores lógicos “E” e “OU” ao longo da árvore 
de falhas. No caso do portão “E”, dois ou mais eventos devem ocorrer para que o 
evento intermediário ou topo aconteça. No caso do portão “OU”, basta que qualquer 
um dos eventos de entrada ocorra para que haja o evento de saída intermediário.
Existem quatro etapas para o desenvolvimento da árvore de falhas:
1. Definição do sistema e suas interfaces.
2. Definição do evento topo.
3. Construção da árvore de falhas em si. 
11 / 31
4. Determinação dos cortes mínimos.
Antes de seguir essas etapas, é necessário reunir toda a documentação necessária 
que se assemelha àquela utilizada em outras técnicas, como APP e HAZOP, que, por 
sua vez, estão representadas no módulo sobre análise de riscos.
Um exemplo simples da árvore de falha pode ser visto a seguir:
Nesse exemplo, temos 2 eventos intermediários (I1 e I2, sendo este do tipo k/N), 4 
eventos básicos (B1-B4) e um evento não desenvolvido (ND), cuja ocorrência leva 
12 / 31
direto ao evento topo. A letra k representa os cortes mínimos, que, por sua vez, 
representam as combinações que levam ao evento topo. Os cortes mínimos são um 
conjunto de eventos suficiente para provocar a ocorrência do evento topo. 
No exemplo, os cortes mínimos são identificados pela letra k, e o portal k/N é igual 
a 2/3. Admitindo que qualquer combinação de dois eventos entre B1, B2 e B3 leva 
à ocorrência do evento I2, a combinação de I2 (resultante de k/N) com B4 leva à 
ocorrência de I1 e, consequentemente, do evento topo.
2 – ANÁLISE DE ACIDENTES COM INFLAMÁVEIS
Vistas as ferramentas de análise de acidentes e incidentes, vamos analisar alguns 
acidentes com inflamáveis ocorridas na indústria.
Companhia de GLP (Paulínia/SP, 1987)
Durante um teste hidrostático num tanque novo, o berço (local de sustentação do 
tanque) não suportou, e o tanque caiu em cima da tubulação de gás que estava 
recebendo GLP da refinaria. A tubulação rompeu, e o GLP líquido foi lançado sobre o 
responsável pelo serviço, que morreu congelado.
Esse acidente ocasionou a criação de uma medida preventiva que exige que todo 
teste hidrostático seja realizado após a colocação de dormentes de madeira (fogueira) 
embaixo do tanque de forma que, em caso de problema no berço, o tanque seja 
13 / 31
suportado por eles.
Engarrafadora de gás (Canoas/RS, 1999)
Incêndio de grandes proporções, iniciado durante um serviço de manutenção por 
despreparo da equipe e falta de avaliação dos riscos da atividade. O serviço de solda 
foi realizado numa área que tinha gás liquefeito de petróleo no ambiente.
A partir da investigação, identificou-se que a melhor medida a ser tomada para 
prevenir esse tipo de acidente estava relacionada à emissão de PT, pois, dessa forma, 
seria exigida a verificação da presença de gás no ambiente do trabalho.
San Juan Ixhuatepec (México, 1984)
Num parque de GLP, ocorreu a ruptura de um duto de recebimento de 12’’, com 400 
km de comprimento. O duto rompeu na área do parque, dentro do dique existente, 
e o GLP ficou retido pelos diques e inflamou-se; 6 esferas e 44 vasos explodiram, 
lançando pedaços de aço e gotas inflamadas de GLP sobre a comunidade vizinha. 
Mais de 650 pessoas morreram, cerca de 40.000 pessoas foram desabrigadas, e os 
prejuízos materiais foram de cerca de 20 milhões de dólares.
14 / 31
Piper Alpha (Mar do Norte, 1988)
Durante a operação, direcionou-se determinado produto para um sistema que estava 
em manutenção e aberto para atmosfera. Houve vazamento de gás e incêndio, e as 
bombas de incêndio estavam em operação manual e não partiram. O fogo provocou 
a ruptura de dutos de gás que interligavam a plataforma com outros campos. Parte 
do pessoal ficou encurralado nos alojamentos. O fogo danificou a estrutura, e os 
módulos de alojamento e de processo afundaram no mar. 167 pessoas morreram.
15 / 31
Fogo em tanque – transbordamento seguido de ignição 
Em certa noite, um tanque de armazenamento contendo líquido inflamável começou 
a transbordar. Isso não foi percebido até uma pessoa da segurança notar um cheiro 
muito forte. Ele chamou imediatamente o pessoal da operação para relatarsua 
preocupação. Dois operadores, num veículo, dirigiram-se à área para investigar o 
caso. Em poucos minutos, ouviu-se uma explosão seguida de incêndio (acredita-se 
que o veículo originou a fonte de ignição para tal explosão). 
O incêndio afetou as instalações da refinaria e pessoas civis, levando um dia e meio 
para se extinguir, e o fogo se espalhava de um tanque para outro, sem controle. 
Dezenas de empregados foram hospitalizados, e houve prejuízo considerável.
16 / 31
O tanque de armazenamento estava sendo abastecido; porém, os operadores 
desconheciam que o indicador de nível e o sistema de alarme de segurança estavam 
danificados.
Eles não acompanhavam com rigor o processo de abastecimento do tanque, pois 
acreditavam que ainda havia bastante capacidade do tanque a ser preenchida. 
Além disso, eles não levaram a sério a pessoa da segurança, deixando de responder 
prontamente ao seu aviso sobre o forte odor porque ele era novo no emprego.
Como fazer certo?
Transferir líquidos inflamáveis é sempre um risco em potencial, com consequências 
consideráveis. Monitore as transferências de produto com atenção redobrada, pois só 
assim você pode detectar e responder rapidamente a derramamentos e vazamentos 
17 / 31
de produtos.
Nunca dirija em ambiente com nevoeiro inflamável. Veículos podem originar fontes 
de ignição – como uma engrenagem do motor quente ou o escapamento, visto que 
estão frequentemente com temperaturas bem acima das de ignição (ponto de fulgor) 
de produtos inflamáveis. 
Lembre-se: se uma atmosfera explosiva sofre ignição causada pelo veículo que você 
estiver dirigindo, segue-se uma sequência de eventos, na qual você será o primeiro a 
perceber e estará no centro da explosão.
Leve a sério todo relato de ocorrência fora do normal ou vazamento (cheiro de 
produto) e responda rápida e completamente o chamado.
DICA: se o motor do veículo que você estiver dirigindo acelerar por si próprio, 
desligue-o e saia imediatamente do local. Você pode se encontrar dirigindo em uma 
atmosfera inflamável.
Se o motor do veículo que você estiver dirigindo desligar por si só, não tente ligar 
novamente e saia imediatamente do local. Você pode se encontrar dirigindo em uma 
atmosfera rica em inflamável.
2.1 Vents e drenos
Após vários acidentes com perda de contenção e consequentes danos pessoais, 
materiais e ambientais, adotou-se a prática de sempre manter um cap na extremidade 
de dreno, ou vent, quando a linha estiver em operação. 
A unidade industrial deve definir, através de auditorias, aplicação de checklist, etc., 
uma sistemática que assegure que todos os vents e drenos tenham seus respectivos 
tampões.
3 – EXEMPLOS DE ACIDENTE COM INFLAMÁVEIS
3.1 Acidente fatal: Refinaria Henrique Lage – Revap (São José dos 
18 / 31
Campos/SP, Brasil)
Um vazamento de óleo diesel seguido de incêndio na unidade de tratamento de 
instáveis 262 resultou em uma fatalidade, além de queimaduras de terceiro, segundo 
e primeiro grau em trabalhadores.
3.1.2 Eventos que antecederam o acidente
Uma plataforma provisória de andaimes foi montada sobre o pipe rack, a seis metros 
de altura, na região limite dos escopos das unidades 262 e 311 para atender ao serviço 
de parada de manutenção, finalizada em 12 de maio. 
No dia 14 de maio, a unidade 262 operava normalmente, produzindo diesel 
especificado e alinhado para o tanque final. A plataforma provisória, assim como 
outros andaimes, permanecia montada. 
Em 17 de maio, dia do acidente, o grupo de planejamento de intervenções da refinaria 
comunicou ao técnico de operação da unidade 262, no início do seu turno de trabalho, 
a previsão da desmontagem da plataforma de andaime para o mesmo dia 17. O técnico 
de operação realizou sua rotina diária para o início de turno e acessou a plataforma 
montada para verificação, não percebendo anormalidades. Ao retornar para a casa 
de controle local da unidade, o técnico de operação encontrou o encarregado de 
andaimes, que pediu a liberação da permissão de trabalho para desmontagem de 
andaimes da unidade 262.
Na casa de controle, o técnico de operação preencheu e liberou a PT. No campo lista 
de verificação, ele considerou como não aplicáveis os riscos de correntes de falta de 
tapamento de vents e drenos. O encarregado da desmontagem dos andaimes elaborou 
a análise de segurança da tarefa AST no piso da unidade embaixo da plataforma a ser 
desmontada; então, orientou sua equipe previamente sobre o trabalho. A AST não 
mencionou riscos relativos aos vents das linhas próximas à plataforma de andaimes. 
Depois de desmontados dois dos andaimes previstos na PT, instalados em outros 
locais da unidade, é iniciada então a desmontagem da plataforma de andaime no 
pipe rack. 
Quatro montadores de andaime participaram do serviço. Um deles desmontando 
o prolongamento da plataforma, passando as peças para um segundo montador e, 
deste, a um terceiro montador posicionado nas linhas do pipe rack, descendo as peças 
por cordas a um quarto montador localizado no piso da unidade para recolhimento e 
destinação das peças de andaimes. 
19 / 31
O trabalho do terceiro montador é executado muito próximo ao vent da linha de 
diesel carga da unidade que estava sem cap. Cerca de 15 minutos após o início da 
desmontagem, ocorreu a abertura acidental do vent. O jato de diesel atingiu um dos 
montadores, espalhou no ambiente e, ao ser ignitado pela superfície de um flange 
da linha de vapor de alta, inflamou. Mesmo não se soltando, o montador correu na 
direção sul para se afastar ao máximo do foco de incêndio. Caiu sobre a linha e faleceu 
no local. 
Outro montador fugiu em direção a uma escada marinheiro próxima, mas, como 
permaneceu preso ao talabarte, voltou ao foco do incêndio e se soltou; nesse 
momento, teve as pernas em chamas e, com a rota para a escada já obstruída pelo 
incêndio, fugiu pela direção sul do pipe rack e desceu escorregando por uma linha. 
Foi socorrido por dois técnicos de operação que abriram um hidrante para apagar 
as chamas. O montador que desmontava o prolongamento da plataforma conseguiu 
soltar seu talabarte e fugir pela direção norte do pipe rack, percorrendo então por 30 
metros sobre as linhas. Escalou para uma altura menor e saltou a cerca de 4 metros 
do piso. Afastado do local do incidente, este montador sofreu queimaduras, mas não 
teve o corpo em chamas. 
O montador que estava no piso da unidade conseguiu se afastar do foco do incêndio 
sem sofrer queimaduras. Um técnico de operação próximo à área percebeu o flash 
seguido de incêndio e se comunicou via rádio com a casa de controle e com o SMS. 
Técnicos de operação e de SMS chegaram ao local e iniciaram o combate ao incêndio. 
Solicitaram à casa de controle a parada em emergência da unidade e o desligamento 
das bombas e cargas. A brigada chegou à área e assumiu o combate e o controle da 
emergência. 
Os primeiros socorros foram prestados aos acidentados, que foram encaminhados 
para saúde ocupacional e, posteriormente, ao hospital de tratamento de queimados. 
O incêndio foi extinto, e percebido o vazamento de diesel pelo vent de linha de carga 
da unidade. Sob a proteção de água neblinada, um técnico de operação em uma 
plataforma elevatória fechou o vent com o auxílio de um tubo de andaime. 
Às 16h45, declarou-se o término da emergência. Todo o apoio à família foi prestado. 
Além disso, uma comissão foi constituída para analisar as causas do acidente. Os 
técnicos visitaram o local, realizaram várias entrevistas e analisaram os documentos 
e as fotos do acidente.
20 / 31
3.1.3 Causas imediatas
 • Vazamento de diesel pela abertura involuntária do vent sem cap da linha de carga 
da HDT.
 • Contato do diesel vazado com superfície aquecida do flange de vapor de alta. 
3.1.4 Causas básicas
 • Avaliação de riscos para a liberação do trabalho realizada no local, mas sem o uso 
da lista de verificação da permissão de trabalho, com posterior liberação na CCL.
 • Toque acidental na haste da válvula do vent da linha dediesel carga em razão de 
análise de segurança da tarefa não ter identificado o risco do vent sem cap em 
região próxima aos montadores de andaimes. 
Com base no relatório elaborado pela comissão de apuração do acidente, a área de 
negócios, a despeito de já utilizar as melhores práticas de gestão de SMS e na busca 
permanente dos melhores resultados nessa área, inseriu as recomendações adiante 
apresentadas, sem que a adoção de tais medidas representasse uma correlação de 
causa e efeito entre o resultado do acidente e as medidas adotadas. 
3.1.5 Recomendações
 • Criar na lista de verificação da PT item específico para o tamponamento de vents e 
drenos, retirando esta indicação da linha 6 desta lista.
 • Reforçar aos liberadores de PT quanto à importância e obrigatoriedade do 
preenchimento da lista de verificação da PT no local da intervenção.
 • Revisar formulário de segurança (AST) de modo a conferir, além dos riscos 
específicos da atividade, os decorrentes do processo e de instalações, explicitando 
a existência de drenos e vents sem caps no entorno do local de trabalho.
 • Recomendar à CONTEC que avalie a necessidade de explicitar na N-108 suspiros 
e drenos para tubulações e equipamentos, cuidados na especificação do tipo de 
válvula a ser usada em vents e drenos, bem como sua instalação de forma a evitar 
a abertura acidental.
 • Instituir, na fase de aceitação mecânica das instalações, item específico rastreável 
que evidencie a efetiva instalação de caps em vents e drenos.
 • Designar, para o recebimento de linhas de equipamentos que sofreram 
manutenção, lista de verificação específica para identificação da conformidade de 
tamponamento de vents e drenos.
Atividades de operação com hidrocarbonetos fazem parte da nossa vida na companhia. 
21 / 31
Vários acidentes já aconteceram em nossas instalações. O desdobramento do 
aprendizado deve ser realizado em qualquer uma das instalações da Petrobras. 
3.2 Acidente fatal: REMAN (Manaus/AM, Brasil) 
O acidente que vamos descrever: vazamento de resíduos atmosféricos seguido de 
incêndio. 
20 de setembro de 2010: uma nota de falha, defeito, é aberta informando sobre 
problema identificado na válvula FV 108 – válvula de controle de fluxo de resíduo 
atmosférico RAT. Ela não realizava abertura total. 
21 de setembro de 2010: é gerada uma ordem de manutenção para a válvula FV 108.
22 de setembro de 2010: o processo de retirada da válvula é iniciado conforme a 
programação. Às 9h, liberou-se para o instrumentista a permissão para trabalho com 
análise de risco nível 1 para desconectar a FV 108. Às 09h45, emitiu-se a PT com AR 
nível 1 para caldeiraria retirar a válvula. 
O TO bloqueia as válvulas à montante e jusante da FV 108, e não libera o sistema. O 
fluxo da estação de controle de vasão é mantido pela abertura do by-pass. Os caps 
são retirados, e os drenos, abertos. Os drenos obstruídos não permitem a drenagem 
da tubulação. Os drenos são deixados abertos. A drenagem é então realizada entre 
os flanges da válvula e os da tubulação. A válvula é retirada e levada para a oficina. 
Flanges cegos são instalados, e as PTs são encerradas.
23 de setembro de 2010: por volta das 11h, a unidade de destilação apresenta 
instabilidade devido à queda de tensão, causando a parada de bombas elétricas. Por 
volta das 14h30, a PT com AR nível 1 para reinstalação da FV 108 foi emitida. O técnico 
de operação TO, após liberar a PT em campo, não acompanhou a realização do serviço 
e se reintegrou à equipe do restabelecimento da carga da unidade. Os flanges cegos 
foram retirados, e foi reinstalada a FV 108.
 
Aproximadamente às 15h10, TO da área visualizou a conclusão da reinstalação da 
FV108 pelos caldeireiros. No momento em que se dirigia para o abrigo dos operadores 
para a passagem de serviço, por não encontrar o seu substituto – a técnica de 
operação – a passagem de serviço foi realizada com a intermediação do TO da UFCC 
que se encontrava no local. 
22 / 31
Momentos depois, a TO chegou ao abrigo dos operadores para receber o serviço. 
O TO da UFCC transferiu as informações recebidas do operador que saíra do turno; 
entre elas, informações quanto ao restabelecimento da carga da unidade e que a 
válvula FV 108 estava retornando de manutenção. Antes mesmo de deixar o abrigo 
dos operadores, a TO foi abordada pelo caldeireiro que realizou a reinstalação da FV 
108, solicitando o encerramento da PT. A TO realizou o encerramento. 
Em seguida, a TO emitiu a PT com AR nível 1 para a instrumentação realizar a conexão 
e teste da FV 108. A TO dirigiu-se, juntamente com o instrumentista, à estação de 
controle a fim de liberar em campo a execução do serviço. Acompanhou o início dos 
trabalhos e afastou-se a fim de realizar outras manobras operacionais de rotina. A 
TO retornou e acompanhou a conclusão dos serviços. A TO executou em conjunto 
com o TO de painel os testes a seco de abertura da FV 108. 
Após a conclusão dos testes, iniciou o processo de retorno do operacional da FV 108. 
Iniciou a abertura da válvula a montante, não verificou a condição das válvulas de 
drenos e não providenciou a colocação dos caps dos drenos. 
Durante a abertura da válvula de bloqueio jusante, ocorreu o vazamento pelos drenos 
de resíduos atmosféricos, criando uma nuvem de vapor. Durante o vazamento, o 
instrumentista conseguiu se afastar e não sofreu ferimentos. A TO permaneceu no 
local na tentativa de fechar a válvula quando o incêndio foi iniciado. A técnica de 
operação ficou exposta à chama e à radiação térmica, sofrendo queimaduras internas 
e externas de grande extensão.
A emergência foi controlada prontamente pela EOR da refinaria. A TO foi socorrida e 
encaminhada para a enfermaria da REMAN e, em seguida, para o hospital. Em 30 de 
setembro, a TO faleceu após complicações. A família recebeu todo o apoio necessário. 
É importante observar que se tratava de um acidente em atividade de operações 
com hidrocarbonetos. Uma comissão foi constituída para investigar as causas do 
acidente. Os técnicos visitaram o local, realizaram várias entrevistas e analisaram os 
documentos e as fotos do acidente. 
3.2.1 Causas imediatas
Não execução da verificação do status do sistema (drenos da estação de controle de 
vazão) antes de colocá-lo em operação.
Vazamento de RAT pelos drenos da estação de controle da FV 108, seguido de 
incêndio.
23 / 31
Permanência da técnica de operação junto à válvula de bloqueio à jusante da FV 108, 
na tentativa de fechamento dela, no momento do vazamento. 
3.2.2 Causa básica
 • Processo de planejamento da intervenção aplicado, porém deficiente, devido à 
inexistência de procedimento formal ou planejamento operacional para liberação 
e retorno da estação de controle que pudesse ser consultado pelos técnicos de 
operação como referência na verificação de campo. 
Com base no relatório elaborado pela comissão de apuração do acidente, a área de 
negócios, a despeito de já utilizar as melhores práticas de gestão de SMS e na busca 
permanente dos melhores resultados nessa área, inseriu as recomendações adiante 
apresentadas sem que a adoção de tais medidas representasse uma correlação de 
causa e efeito entre o resultado do acidente e as medidas adotadas.
3.2.3 Recomendações
 • Elaborar procedimento para liberação e retorno à operação de estações de controle.
 • Incluir nas ordens de serviço de reinstalação de válvulas de controle tarefa de 
instalação de caps nos drenos.
 • Rever o procedimento para elaboração e aplicação do LIBRA em estações de 
controle.
 • Adequar a prática de passagem de turno.
 • Garantir o cumprimento do procedimento específico para atividade de desobstrução 
de drenos.
 • Aprimorar a aplicação do processo de acionamento de intervenções. 
3.3 Acidente: Valero Refinery e Texas City
3.3.1 Reconstituição do evento 
Em 23 de março de 2005, várias unidades da refinaria estavam desativadas para 
manutenção, o que trouxe ao focal quase mil profissionais, além dos funcionários da 
refinaria BP. A BP tinhacolocado vários trailers junto às unidades de processamento 
para as equipes responsáveis pela manutenção. Durante meses, havia 10 trailers 
para trabalhadores da unidade Ultracracker, incluindo um de madeira com o dobro de 
largura, com 11 escritórios usados regularmente para reuniões. 
24 / 31
Apesar de estarem perto da unidade de isomerização, os trabalhadores não foram 
avisados do startup, uma operação potencialmente perigosa. Às 2h15 da manhã, em 
23 de março, trabalhadores começaram a inserir hidrocarbonetos líquidos, chamados 
rafinados, em uma fonte fracionadora de 50 m de altura, usada para destilar e separar 
componentes de gasolina. Próximo à base da torre, havia um único instrumento 
para medir o líquido. Ele envia os dados a uma sala de controle localizada longe da 
unidade; entretanto, esse indicador não foi projetado para medir acima de 3 m. Em 
operações normais, a torre deveria conter só 2 m de líquido; no entanto, em startups, 
os operadores costumavam se desviar dos padrões e ultrapassar o limite de 3m, 
pensando que um nível muito baixo causaria prejuízos à fornalha. 
Às 3h09 da manhã, quando o líquido chegou aos 2,5 m, um alarme disparou e soou 
na sala de controle. Porém, outro alarme, um pouco mais acima da torre, falhou e 
não disparou. Às 3h30, o indicador mostrava que o líquido havia chegado aos 3 m e 
interromperam a alimentação. 
A CSB estimou que, na verdade, o líquido estava a uma altura de 4 m. Os operadores 
não sabiam o nível exato porque o indicador não media acima dos 3 m. O operador-
chefe monitorava o startup de uma sala de controle dentro da ISOM. 
Às 5h, atualizou rapidamente o operador na sala de controle sobre as atividades. O 
operador-chefe saiu mais cedo, 1 hora antes do fim do expediente. 
Outro operador chegou aproximadamente às 6h, começando o seu 30º dia seguido de 
12 horas de trabalho. Falou rapidamente com o operador de saída e leu os registros, 
preparando-se para o startup. Entretanto, os registros não informavam a quantidade 
de líquido na torre, nem instruíam sobre o roteamento de líquidos e produtos ao 
reiniciar o startup. Havia apenas uma linha no livro de registro que dizia: “ISOM: pus 
refinado na unidade, para completar refinado”. Às 7h15, o supervisor daquele turno 
chegou. Mais de 1 hora atrasado, não recebeu informação formal da equipe da noite 
sobre as condições de ISOM. 
Às 9h51, reiniciaram o startup. A alimentação voltou a circular, enchendo mais a 
torre que já ultrapassara o limite. Com a nova alimentação, o nível na torre deveria 
ser regulado com a válvula automática de controle de volume, mas os operadores 
receberam instruções divergentes sobre o roteamento do produto. Por isso, a válvula 
fundamental continuou horas fechada, obstruindo o fluxo de saída de líquido. 
Minutos depois, acenderam queimadores na fornalha para aquecer o líquido, parte do 
processo de startup. Iniciado o startup, o supervisor avisou que deixaria a refinaria 
antes das 11h devido a uma emergência na família. 
25 / 31
Contrariando procedimentos da BP, nenhum supervisor experiente foi posto em seu 
lugar, deixando um único operador de controle, sem supervisor qualificado, operando 
3 unidades da refinaria, incluindo a ISOM, que demandava bastante atenção. Em 1999, 
a refinaria havia eliminado o 2º operador devido a cortes orçamentários, depois que a 
BP comprou a Amoco. 
O startup continuava, e a torre não parava de encher, chegando aos 30 m pouco antes 
do meio-dia, 15 vezes o nível normal. Mas o indicador mal calibrado mostrava aos 
operadores que o líquido estava a 2,5m e diminuindo gradualmente. Além disso, o 
monitor não era configurado para alertar sobre o perigo crescente. A mesma tela não 
mostrava a entrada e a saída de líquidos, nem calculava a quantidade de líquido na 
torre. 
Enquanto isso, equipes de manutenção não envolvidas com a ISOM deixaram o local 
para ir almoçar, comemorando 1 mês sem acidentes de trabalho. Às 12h41, um alarme 
disparou quando o líquido comprimiu os gases no topo da torre. Sem entender a fonte 
de alta pressão, os operadores abriram uma válvula manual para liberar os gases 
para o sistema de purga de emergência, um tambor de purga de 1950, que liberava 
vapor diretamente na atmosfera. Os operadores também desligaram 2 queimadores 
para baixar a temperatura da torre, acreditando que reduziria a pressão. Ninguém 
sabia que a torre estava perigosamente cheia. Os operadores ficaram preocupados 
com a falta de saída de líquido e abriram a válvula para enviar líquido a tanques de 
armazenamento. O líquido estava muito quente. O trocador de calor aumentou a 
temperatura do líquido, que entrava na torre em 60ºC. Era em torno de 13h.
Os técnicos, sem saber do startup e do perigo iminente, voltaram do almoço e 
se reuniram no trailer, na sala mais próxima ao tambor de purga. Nos minutos 
seguintes, a alimentação quente fez o líquido ferver e dilatar. O líquido preencheu a 
torre e se derramou pela linha suspensa de vapor, exercendo pressão nas válvulas de 
emergência, 45 m abaixo. Às 13h14, as 3 válvulas de emergência se abriram, enviando 
52 mil galões de líquido inflamável ao tambor de purga, do outro lado da ISOM. O 
líquido encheu o tambor de purga e vazou em um esgoto de processo, disparando 
alarmes na sala de controle. No entanto, o alarme de alto nível no tambor de purga 
não disparou. Nenhum dos operadores sabia da catástrofe iminente na ISOM.
Quando os hidrocarbonetos encheram o tambor de purga, operadores viram líquido 
e vapor eclodirem do topo da chaminé. O volume de quase um caminhão de tanque 
de gasolina quente caiu sobre o terreno e começou a formar uma enorme nuvem 
de gás inflamável. A nuvem de vapor espalhou em apenas 90 segundos, cobrindo a 
26 / 31
unidade e os trailers com trabalhadores. A cerca de 7 m do tambor de purga, havia 2 
trabalhadores em uma pick-up com motor ligado. Ao entrar na admissão de ar, o vapor 
fez o motor acelerar. Os dois homens escaparam sem conseguir desligar o motor. 
A seguir, o escapamento estourou, ateando fogo na nuvem de gás. Enormes explosões 
varreram a área. A onda de pressão espalhou-se pela ISOM, causando destruição 
maciça e incêndios por toda a área. As pessoas nos trailers estavam bem no caminho 
das explosões. 
Os incêndios continuaram queimando durante horas. 12 dos 20 ocupantes do 
trailer de madeira morreram, além de outros 3 em outro trailer. Dezenas sofreram 
queimaduras graves, fraturas e ferimentos traumáticos. Os trailers de madeira e 
metal foram destruídos pela explosão. Bombeiros lutavam para resgatar feridos e 
vítimas. 50 tanques de armazenamento foram danificados. A ISOM ficou fechada por 
mais de 2 anos.
3.4 Acidente em Flixborough
Acidente ocorrido na Nypro Factory, em Flixborough, Inglaterra, em 1º de junho de 
1974, onde ocorreu uma ruptura de tubulação, levando a um grande vazamento 
de ciclohexano aquecido, que se vaporizou, originando uma nuvem de vapor que 
explodiu momentos depois, destruindo totalmente a fábrica.
27 / 31
Consequências: 28 pessoas mortas e 36 feridas. O fogo queimou por cerca de 10 dias. 
A fábrica foi totalmente destruída, e centenas de casas e edificações comerciais foram 
danificadas. O investimento necessário para a reconstrução da planta e o custo com 
as indenizações foram estimados em US$ 774 milhões (2009).
Outro acidente importante foi o de Buncefield. Em 2005, no terminal de combustíveis 
de Buncefield, ocorreu o transbordamento de 300 toneladas de gasolina, que, após 
processo de vaporização, formou nuvem de vapor que sofreu ignição, destruindo 
completamente as instalações.
28 / 31
Esse acidente ocasionou:
 • 43 feridos e 2.000 pessoas evacuadas.
 • Quebra de vidros, danos em tetos e paredes em edificações localizadas a 8 km de 
distância.
 • Incêndio envolvendo 23 tanques.
 • Extinção: 5 dias.
 • 750 mil litros de LGE consumidos.
Nas imagens seguintes, podemos observar alguns esquemas sobre o nível de produto, 
a área impactada e por onde ocorreu o vazamento.
29 / 31
Vejaimagens da nuvem de vapor que se formou dentro da refinaria.
30 / 31
A causa imediata do acidente foi a falha simultânea do medidor automático de nível 
e do sensor de nível alto do tanque.
As causas básicas foram:
 • O sensor de nível alto do tanque foi especificado e instalado incorretamente.
 • O medidor de nível estava “travando”. Foram identificados 14 travamentos 
nos últimos 5 meses. O fornecedor foi contatado, mas o problema nunca foi 
completamente resolvido.
 • A tela de controle de nível mostrava apenas um tanque por vez. 
 • Não havia botão de parada de emergência no sistema de controle.
 • Das três linhas de suprimento, o terminal tinha controle de apenas uma.
 • A movimentação no terminal aumentou em 4 vezes desde a sua instalação, e a 
tancagem permaneceu a mesma, ocasionando trabalho mais estressante para os 
operadores.
 • A unidade utilizava os alarmes de nível “alto” e “alto alto” em operações rotineiras.
4 – CONSIDERAÇÕES FINAIS
Para finalizar, duas frases do autor Trevor Kletz (1922-2013), conhecido na literatura 
de investigação de acidentes:
Dizer “acidentes são causados por falhas humanas” não é inverdade, mas 
não é muito útil. Isso nos encoraja a dizer às pessoas para terem mais 
cuidado, ao invés de procurar modos de reduzir as oportunidades de erro.
Não é a falta de conhecimento que impede nosso desempenho de Segurança 
ser melhor do que é, mas a falha em usar o conhecimento que está disponível, 
muito deste conhecimento decorrente de acidentes do passado. 
Estudamos aqui as principais técnicas de análise de acidentes e incidentes adotadas 
na companhia. Esperamos que você as aplique no seu dia a dia. 
31 / 31