A ilusão de que, quando o equipamento para, o risco também para

A manutenção de parada de uma planta petroquímica, ou turnaround, é o período em que os equipamentos de produção são parados de forma planejada para inspeção, limpeza, substituição, reparo e modificação. Equipamentos normalmente difíceis de acessar são abertos para recuperar sua integridade. Mas o simples fato de o processo estar parado não torna o equipamento livre de energia e de material. Tubulações podem reter pressão e resíduos, drenos e respiros podem estar obstruídos, e outros sistemas conectados podem continuar em operação. Há também energia recém-introduzida para a manutenção, como purga com nitrogênio, sopro com vapor, limpeza, soldagem, içamento e montagem de andaimes.

Portanto, a expressão do título de que “os acidentes se concentram” não deve ser lida como uma afirmação de uma taxa específica de ocorrência. O escopo do trabalho e os critérios de agregação variam entre unidades, e estatísticas públicas por si só dificilmente generalizam a frequência de acidentes de todos os períodos de manutenção em um único número. Este artigo trata das condições estruturais que o Resumo de segurança da CSB sobre incidentes durante partidas e paradas e investigações individuais de acidentes mostram repetidamente. Durante a manutenção, estados anormais, muitos trabalhadores, configurações temporárias, vários trabalhos autorizados e decisões urgentes se sobrepõem no mesmo tempo e espaço. O risco aumenta não pelo número de tarefas isoladas, mas pela interação entre elas.

O estado transitório em que desaparecem as camadas de proteção da operação normal

Na operação normal, vazão, pressão, temperatura e nível permanecem dentro de faixas definidas, e o controle automático, os alarmes e a experiência dos operadores se acumulam em torno desse estado. Na parada e na partida, o alinhamento de válvulas muda continuamente, alguns instrumentos são desviados ou estão em manutenção, e tubulações são esvaziadas e novamente cheias. A direção do fluxo de líquidos e gases também pode diferir do normal. Esse estado é chamado de estado transitório ou de operação anormal. Não é um único ponto em que o equipamento está completamente parado: todo o percurso da operação normal à parada, da parada à manutenção e da manutenção à partida deve ser gerenciado.

A OSHA dos Estados Unidos, norma de gestão de segurança de processo 29 CFR 1910.119 determina que os procedimentos operacionais tratem separadamente da partida inicial, operação normal, operação temporária, parada de emergência, parada normal e partida após o turnaround. Isso significa que, mesmo no mesmo equipamento, os riscos e as condições permitidas diferem conforme o estado. Se instrumentos alterados durante a parada, mangueiras temporárias, blinds removidos, válvulas travadas e intertravamentos desativados não forem refletidos nos desenhos e procedimentos atualizados, a equipe de partida operará o equipamento de hoje com o desenho de ontem. O fim da manutenção não deve ser visto apenas como uma lista de tarefas concluídas, mas como uma transferência que verifica se o estado de projeto e o estado de campo voltaram a coincidir.

Operações simultâneas não são a soma de várias permissões

Em um turnaround, trabalho a quente, abertura de tubulações, entrada em espaço confinado, trabalho em altura, içamento, ensaio radiográfico, trabalho elétrico e limpeza ocorrem simultaneamente em locais próximos. Mesmo que cada tarefa cumpra isoladamente as condições da permissão, uma pode destruir as condições da outra. Faíscas de soldagem de um piso superior podem cair em uma tubulação aberta abaixo; agentes de limpeza podem gerar vapores inesperados; um guindaste móvel pode bloquear uma rota de fuga. O ventilador de uma equipe também pode deslocar uma nuvem de gás de outra equipe em direção aos trabalhadores.

A CSB, em sua divulgação da investigação do acidente de polissilício da Wacker apontou que, enquanto se apertavam parafusos em uma tubulação contendo material perigoso, outra equipe contratada executava trabalho de isolamento térmico na mesma estrutura, sem que o risco de operações simultâneas fosse avaliado. A lição é que verificar apenas a adequação de cada permissão não basta. Trabalhos cujos espaço, tempo, energia e vias de liberação se sobrepõem devem ser vistos em um único mapa; se houver conflito, a sequência deve mudar ou as áreas devem ser separadas.

Na prática, é útil colocar as permissões de trabalho sobre o mapa da área de processo na reunião de coordenação de SIMOPS antes de cada turno. Marcam-se juntos a direção do vento e o raio de impacto da abertura, a localização do trabalho a quente, as entradas de espaços confinados, o raio de içamento, as rotas de fuga de emergência e a condição de disponibilidade de detectores de gases e equipamentos de combate a incêndio. O importante não é o número de participantes, mas deixar claro quem tem autoridade para adiar ou interromper o trabalho quando um conflito é encontrado.

A abertura de tubulações começa na primeira identificação, não no último parafuso

O momento de abrir uma flange, boca de visita, dreno ou conexão de instrumento é uma fronteira em que material residual pode entrar em contato direto com pessoas. Mas o controle do risco começa ao identificar o objeto do trabalho, não imediatamente antes de soltar parafusos. Se tubulações da mesma altura e cor passam lado a lado, etiquetas ficam ocultas por guarda-corpos ou isolamento, e números do desenho diferem das marcações de campo, até um profissional experiente pode escolher outro equipamento. Ao depender de pistas indiretas, como “a flange perto do dispositivo de bloqueio”, surge a possibilidade de identificação equivocada.

O relatório sobre o vazamento de sulfeto de hidrogênio na refinaria PEMEX Deer Park em 2024, relatório final de investigação da CSB concluiu que um trabalhador contratado abriu por engano uma tubulação ativa próxima da flange pretendida. Uma permissão ampla agrupava tarefas com perigos diferentes, e as condições de ponto de parada e de presença do operador não foram executadas claramente. O relatório também apontou que não foi avaliado de forma suficiente o risco de muitos trabalhadores da unidade adjacente em manutenção ficarem na via de liberação.

Antes de abrir uma tubulação, portanto, o P&ID atualizado e a tubulação de campo devem ser comparados, e operação e manutenção devem fazer uma verificação conjunta no local, apontando com a mão o ponto exato de trabalho. Número da etiqueta, nome do fluido, direção do fluxo, pontos de bloqueio a montante e a jusante e posição do blind devem ser confirmados por dois ou mais meios independentes. A permissão deve distinguir aberturas com perigos e pontos de parada diferentes, em vez de agrupá-las amplamente como “remoção de vários blinds nesta área”. Um hold point, como a reconfirmação pelo operador antes de afrouxar alguns parafusos, não deve ser uma linha de texto, mas uma ação planejada de assinatura, presença em campo e aprovação para reiniciar o trabalho.

Isolamento não é fechar uma válvula; é provar energia zero

Fechar uma válvula de bloqueio e colocar um cadeado não completa o isolamento. A sede da válvula pode vazar, e cabeçalhos comuns, bypasses, linhas de instrumentos, expansão térmica, gravidade, pressão residual e calor de reação podem restabelecer energia. Devem ser verificados não apenas eletricidade, mas também pressão, temperatura, reação química, rotação e energia potencial. Se o risco do equipamento e a consequência do trabalho forem grandes, selecionam-se, conforme a avaliação de risco, métodos de maior confiabilidade, como duplo bloqueio e sangria, inserção de blind ou separação física.

A diretriz interpretativa de procedimentos de bloqueio e etiquetagem da OSHA explica que, na manutenção de equipamentos de processo complexos, os operadores isolam, despressurizam e limpam o sistema e depois revisam o controle de energia com a equipe de manutenção, enquanto os trabalhadores participam de um sistema de bloqueio individual ou em grupo. Ela também apresenta a gestão da abertura de tubulações por uma permissão especial emitida pela operação e supervisionada pelo operador. O ponto central é não transferir a responsabilidade pelo isolamento somente à operação ou somente à manutenção. A operação conhece o estado do processo; a manutenção conhece o ponto de trabalho onde as pessoas realmente se expõem. Esses dois conhecimentos precisam se encontrar no campo.

A lista de confirmação de isolamento deve incluir não apenas “válvula fechada”, mas confirmação de alívio da pressão residual, garantia de caminho de dreno, conclusão da purga, substância a detectar, método de confirmação de energia zero, número e orientação de instalação do blind, participantes da caixa de bloqueio e passagem de turno. Se o escopo do trabalho mudar ou o estado de um sistema adjacente for diferente, não se deve apenas prorrogar a permissão existente; o limite de isolamento deve ser revisto.

O aumento da mão de obra contratada exige projetar a transferência de informações

Na manutenção entram em grande escala profissionais especializados e trabalhadores temporários. Eles podem ser experientes em soldagem, andaimes, limpeza e inspeção, mas não conhecem automaticamente o traçado das tubulações da planta, sons de alarme, trajetos do vento, pontos de encontro para evacuação ou sistemas adjacentes que continuam operando. Uma integração comum não prova que o risco do equipamento atribuído hoje foi comunicado. Quando um trabalhador se move para outra unidade ou o escopo muda, os novos riscos de processo e medidas de proteção devem ser explicados novamente.

Também no acidente da PEMEX, trabalhadores foram realocados de uma unidade de turnaround isolada e esvaziada para uma unidade adjacente parcialmente em operação sem receber informação suficiente sobre as condições alteradas. A norma OSHA PSM também trata separadamente de contratadas que executam turnaround, manutenção e serviços especializados: exige que a contratante forneça informações sobre riscos conhecidos de incêndio, explosão, liberação tóxica e medidas de emergência, e avalie o desempenho da contratada. A contratada também deve assegurar que seus trabalhadores entendam e sigam as regras de segurança do local.

Uma boa transferência é demonstrada por perguntas de confirmação, não por uma lista de assinaturas. O trabalhador deve poder explicar com suas próprias palavras o que abrirá, que material pode permanecer, quais válvulas e blinds o protegem e para que direção evacuar se soar um alarme. Desenhos, fotografias e marcações por cores que considerem idioma e letramento também são necessários, mas uma única cor nunca deve ser o único meio de identificação.

Como a pressão de cronograma torna as camadas de proteção mais finas

Como cada dia de parada de um turnaround afeta a produção e os cronogramas contratuais, a pressão pelo andamento é grande. O cronograma em si não é causa de acidente, mas, quando se vê apenas o custo do atraso e o custo do risco desaparece da tabela de decisão, as camadas de proteção se tornam mais finas uma a uma. A verificação conjunta em campo é substituída por aprovação telefônica, trabalho que exige permissão separada é agrupado em uma permissão ampla, a próxima especialidade é mobilizada antes do resultado da inspeção e registros antigos de boas leituras de gás substituem a medição atual. Extensões noturnas e mudanças de turno podem obscurecer quem responde por qual isolamento.

A gestão do cronograma não deve ser um sistema separado em conflito com a segurança, mas uma entrada da segurança de processo. O plano de trabalho deve primeiro reservar o tempo necessário para instalação e verificação de isolamento, remoção de gás, resfriamento, resultados de amostras, gestão de mudanças e revisão de segurança pré-partida. Ao acrescentar operações simultâneas para recuperar trabalho atrasado, a avaliação de risco de SIMOPS deve ser refeita. Deve-se evitar que uma equipe que exerceu o direito de parar ou um supervisor que comunicou atraso seja penalizado, e definir pontos mínimos de retenção que os responsáveis por produção e segurança não possam liberar. Gerir, juntamente com “conclusão no prazo”, indicadores antecedentes como número de reemissões de permissões, erros de isolamento encontrados e melhorias após parada de trabalho pode reduzir a ocultação da pressão de cronograma.

Medição de gás não é carimbo de permissão; é vigilância da mudança

A medição de gases antes da abertura é uma camada de proteção importante para confirmar o que resta dentro do equipamento. Contudo, uma única leitura normal não garante todo o trabalho posterior. Se um dreno obstruído se abrir, uma válvula vazar, uma borra for perturbada ou as condições de purga e ventilação mudarem, a atmosfera muda novamente. O instrumento deve ter sensores e faixa capazes de detectar as substâncias esperadas, e antes do uso devem ser verificados o teste de função, o estado de calibração e o tempo de transporte da bomba e da mangueira. A posição de medição deve refletir não só um ponto da abertura, mas as partes superior, média e inferior, zonas mortas, a zona de respiração do trabalhador e a via prevista de vazamento.

A KOSHA, em sua diretriz técnica sobre inspeção, reparo e alteração de tanques de armazenamento atmosférico C-C-6-2025 orienta verificar riscos de incêndio, explosão, asfixia e intoxicação antes da inspeção ou reparo de tanques, trabalhar após permissão de trabalho seguro e medidas necessárias, e medir concentrações de gás e oxigênio antes de iniciar inspeção interna ou reparo. Como valores permitidos específicos devem ser definidos conforme a substância, o trabalho, a lei e os critérios da unidade, este artigo não aplica um único valor de concentração a todos os trabalhos.

O registro da medição deve conservar, junto, nome do gás, local, hora, estado do equipamento, condição de ventilação e responsável pela medição. Para trabalhos nos quais mudanças de estado podem ser fatais, como trabalho a quente, espaço confinado e abertura de substância tóxica, devem ser definidos monitoramento contínuo ou critérios de nova medição conforme a velocidade da mudança de risco. Quando o alarme dispara, o primeiro procedimento não deve ser aproximar-se para descobrir a causa, mas interromper o trabalho imediatamente, evacuar e controlar a área; só então pessoal autorizado confirma o estado de modo remoto ou protegido.

A partida não é o fim da manutenção, mas outro trabalho de alto risco

Quando a manutenção termina, os blinds removidos são restaurados, válvulas voltam à posição de operação e intertravamentos e alarmes são reativados. Nessa fase podem permanecer ocultos trabalho incompleto, reparo temporário, peças instaladas incorretamente, ferramentas e resíduos, instrumentos conectados ao contrário e drenos não fechados. Se o operador não entender o equipamento alterado, respostas erradas podem ocorrer antes de o processo entrar na faixa normal.

A diretriz de implementação do PSM Appendix C da OSHA explica que alterações que não sejam substituições equivalentes durante um turnaround devem ser tratadas pelo procedimento de gestão de mudanças, com atualização dos desenhos e procedimentos operacionais e realização da capacitação e revisão pré-partida necessárias. A revisão de segurança pré-partida não é uma reunião para fechar rapidamente uma lista de verificação. É um portão que prova no campo instalação conforme o projeto, procedimentos de segurança, operação, manutenção e emergência, ações de gestão de mudanças, conclusão da capacitação e restauração dos dispositivos de segurança. Durante a partida, apenas pessoas essenciais devem permanecer na área de risco; manutenção não essencial e trabalho a quente devem ser separados, e condições e responsáveis para interromper diante de sinais anormais devem ser definidos previamente.

Oito perguntas operacionais para romper a estrutura do acidente

O nível de controle da manutenção de parada pode ser verificado mais pela capacidade de responder às perguntas seguintes do que pelo número de documentos.

  1. Qual é hoje o estado do processo — parada total, operação parcial, purga, teste ou partida — e como ele é indicado no campo?

  2. Quem identifica, a cada turno, as operações simultâneas que se afetam e qual trabalho é interrompido em caso de conflito?

  3. Duas partes confirmaram independentemente, no desenho e no campo, o equipamento que será aberto?

  4. Como foi provado que todas as fontes de energia e vias de entrada foram bloqueadas, inclusive a ausência de pressão residual e de material residual?

  5. Quando há realocação de trabalhadores ou mudança de escopo, os riscos de processo, a evacuação e as medidas de proteção foram comunicados novamente?

  6. O objeto, local, momento e condições para nova medição de gás, bem como a ação após o alarme, correspondem ao cenário de risco?

  7. Quando o cronograma atrasa, estão garantidos os hold points que não podem ser omitidos e a autoridade para parar o trabalho?

  8. Quem confirma por fim, antes da partida, alterações, medidas temporárias, blinds, válvulas, instrumentos, intertravamentos e trabalho incompleto?

As oito perguntas não são listas independentes, mas uma rede conectada. Mesmo que a identificação da tubulação esteja correta, há perigo se o isolamento estiver errado; mesmo que o isolamento esteja certo, as condições mudam se começar trabalho a quente adjacente. Mesmo que a medição seja adequada, a equipe seguinte trabalha com premissas antigas se o estado do equipamento for omitido na passagem de turno. Por isso, a unidade central de gestão de um turnaround não é a tarefa individual, mas o estado do processo e as interfaces entre tarefas.

Conclusão: gerencie interfaces, não apenas o volume de manutenção

O risco durante a manutenção de parada não se explica numa frase como “há muitas pessoas” ou “o trabalhador errou”. Em um estado em que as condições estáveis da operação normal desapareceram, várias especialidades se sobrepõem, limites de tubulações e energia mudam continuamente e mão de obra contratada desconhecida se desloca sob pressão de cronograma. Mesmo que existam permissões e treinamentos individuais, se a conexão entre eles se rompe, abertura do equipamento errado, exposição a resíduos, ignição e atraso na evacuação podem formar uma única via de acidente.

O ponto de partida da prevenção não é aprovar todos os trabalhos mais depressa, mas tornar o estado visível. O estado operacional atual, o limite de isolamento, os conflitos de operações simultâneas, as condições de gás, os responsáveis e os pontos de parada devem estar alinhados em uma tela e numa linguagem comum de campo. Quando escopo, mão de obra, vento ou estado do processo mudarem, a permissão deve ser revista. O turnaround não é um evento de parar o equipamento, mas um período de operar uma fábrica temporária cuja configuração de riscos muda rapidamente. Só com essa perspectiva será possível gerir a conclusão da manutenção e a partida segura como o mesmo objetivo.

Referências

Foto de capa

Foto original no Pexels