Incêndio na refinaria BP-Husky, em Ohio: transbordamento de nafta e inundação de alarmes no relatório do CSB

O U.S. Chemical Safety and Hazard Investigation Board (CSB), órgão federal independente dos Estados Unidos que investiga acidentes químicos, lançou em 30 de setembro de 2026 o vídeo “Alarming Mistakes, Deadly Decisions: Fatal Fire at BP-Husky”, com a animação do incêndio repentino (flash fire) que matou dois funcionários da refinaria BP-Husky, em Oregon, Ohio, em 20 de setembro de 2022, e o vídeo resume o relatório final da investigação, publicado pelo órgão em 24 de junho de 2024.

Da perturbação de processo ao tambor cheio de líquido

Por volta das 3h20 de 20 de setembro de 2022, uma perturbação de processo na unidade de hidrotratamento de nafta provocou perda de contenção, outras unidades foram paradas e, ao longo do dia, decisões da equipe da BP levaram a nafta líquida a escoar para o tambor de mistura de gás combustível (fuel gas mix drum), um vaso pressurizado que normalmente só contém vapor de gás combustível e que alimenta fornos e caldeiras.

Pelo relatório, a nafta saiu do tambor acumulador de topo da unidade Crude 1, passou pela torre absorvedora e retificadora da planta de gás do coque e, pela tubulação de desvio (bypass) dessa planta, chegou ao tambor de mistura, que transbordou para a tubulação de vapor que segue para os fornos e as caldeiras, o que criava risco de incêndio ou explosão nesses equipamentos.

Às 18h10 o alarme de nível alto do tambor tocou no console do sistema digital de controle (DCS), mas o operador da sala de controle só chamou os operadores de campo pelo rádio alguns minutos depois, e entre 18h10 e 18h17 o console recebeu 55 alarmes, o equivalente a um a cada nove segundos, segundo o CSB.

A drenagem e a leitura falsa de nível

O operador da sala de controle pediu que o tambor fosse drenado “o mais rápido possível”, e os operadores de campo abriram a válvula de uma linha de 2” (5,08cm) para o tambor de alívio da tocha e o dreno de 2” (5,08cm) para o esgoto oleoso.

Por volta das 18h32 dois funcionários da BP, irmãos, um operador de campo e um operador em treinamento, abriram duas válvulas de sangria de 3/4” (1,91cm) para o chão, uma delas no transmissor de nível por pressão diferencial, e o CSB registra que essa abertura alterou o diferencial de pressão e fez o instrumento indicar zero por cento, dando a falsa impressão de que o tambor estava esvaziando quando ele continuava cheio.

Pouco antes das 18h39 os dois retiraram o flange cego de uma válvula de 2” (5,08cm) na lateral do tambor, que só era usada pela manutenção em paradas, e passaram a liberar o líquido direto no chão, e o relatório conclui que eles podem ter acreditado que o líquido era uma solução de amina e água, e não nafta inflamável.

O procedimento geral de drenagem da refinaria proibia drenar material para o chão e não foi seguido na emergência, e não havia instrução escrita para reagir a nível alto de líquido no tambor de mistura.

O detector que só tocava no campo

Às 18h39 um detector de gás inflamável perto do tambor chegou a 100% do limite inferior de inflamabilidade (LFL, a menor concentração de gás no ar capaz de ser inflamada por centelha ou chama), mas o alarme só funcionava no local, porque um erro de configuração no gerenciador de alarmes o mantinha desabilitado no DCS, embora a leitura analógica continuasse visível na sala de controle.

A buzina do detector aparece ao fundo de uma transmissão de rádio às 18h40, mas o CSB não achou evidência de que alguém na sala de controle soubesse que os dois funcionários estavam liberando líquido no chão.

Com a mudança do vento trazida por uma chuva que se aproximava, a nuvem de vapor provavelmente seguiu para o forno da unidade Crude 1, apontado como a provável fonte de ignição, e pegou fogo às 18h46, e os dois funcionários morreram em consequência das queimaduras.

O fogo foi extinto às 22h10, e a BP estimou que foram liberadas 23.502lb (10.660kg) de nafta e 66.889lb (30.340kg) de gás combustível.

A inundação de alarmes

O relatório usa a definição do ASM Consortium, para quem há inundação de alarmes (alarm flood) quando chegam mais alarmes do que um operador consegue tratar, e a referência aceita no setor, adotada também pela própria BP, pelo CCPS e pela norma ANSI/ISA 18.2, é de mais de 10 alarmes em 10 minutos.

No dia do acidente o console que reunia a Crude 1, o tambor de mistura e outras unidades ficou em 10 ou mais alarmes a cada 10 minutos de cerca das 7h até depois do incêndio, salvo dois intervalos, e entre 6h50 e 18h49 foram registrados 3.712 alarmes, média de 254,50 por hora.

Do início do turno da noite, por volta das 16h50, até o incêndio, o console recebeu de 24 a 281 alarmes a cada 10 minutos, de 2,4 a 28 vezes o limite, e o pico passou de 50 alarmes em 10 minutos durante as quatro horas anteriores ao acidente.

O CSB conclui que a inundação de alarmes sobrecarregou e distraiu os operadores, causou atraso e erro na resposta a alarmes críticos e prejudicou a comunicação entre turnos, e que, com menos alarmes, a equipe da noite poderia ter percebido o transbordamento pela linha em desvio e fechado o fluxo de nafta para o tambor.

O limite da norma de alarmes

A ISA 18.2 recomenda que o sistema fique em inundação menos de cerca de 1% do tempo, medido em pelo menos 30 dias de dados, e o relatório mostra que a maior parte dos meses de 2022 da refinaria estava dentro dessas metas mensais, embora o dia do acidente estivesse muito fora delas.

O CSB observa que 1% de um mês equivale a cerca de 7,2 horas, de modo que uma única perturbação de sete horas num só turno pode sobrecarregar o operador mesmo com a meta mensal cumprida, e que a norma pede a análise do número, da duração, da quantidade de alarmes e do pico de cada inundação sem fixar metas para esses itens.

Causa e recomendações

O CSB definiu como causa a abertura de válvulas e a retirada de um flange no tambor pressurizado para liberar nafta no chão, e apontou como fatores contribuintes a falta de salvaguardas preventivas eficazes contra transbordamento de torres e vasos, com dependência excessiva da ação humana, a decisão de não parar a unidade nem colocá-la em circulação, a gestão deficiente de situações anormais, a inundação de alarmes e a falha em aprender com incidentes anteriores, com semelhanças, segundo o relatório, com as explosões de 2005 na refinaria da BP em Texas City.

Entre as recomendações estão salvaguardas de engenharia contra transbordamento que não dependam só do operador, autoridade clara para parar o trabalho em situação anormal, a revisão da filosofia de alarmes da refinaria com base na publicação 191 da EEMUA e, à International Society of Automation, metas de curto prazo para cada evento de inundação de alarmes na ISA 18.2.

O vídeo de 2026 percorre os mesmos quatro temas do relatório e traz comentários da conselheira Sylvia Johnson e dos investigadores Bill Steiner e Melinda Hartz.