Liderança e Gestão

Comente 14.12.20 1156 Visualizações Imprimir Enviar
Explosão e incêndio na área de tancagem do Terminal de Combustíveis de Buncefield

Dando continuidade ao artigo recém publicado, por Gustavo Coelho de Castro, “PSM – Process Safety Management (Gestão da Segurança de Processo)“, Gustavo hoje descreve em detalhes como ocorreu a explosão e incêndio na área de tancagem do Terminal de Combustíveis de Buncefield, Inglaterra. Se você quiser ser notificado dos próximos artigos, cadastre seu e-mail aqui abaixo, em Assine o Blogtek! SEU E-MAIL NÃO SERÁ USADO POR TERCEIROS.

Buncefield – localização e características

O Terminal de armazenamento e de transferência de combustíveis de Buncefield , operando com gasoline, querosene, óleo diesel e outros derivados,  é uma extensa área de tanques localizada a aprox. 4,8 km da cidade de Hemel Hempstead, Hertfordshire, Inglaterra.

Em dezembro de 2005, havia 3 unidades operacionais no Terminal :

1- Hertfordshire Oil Storage Ltd (HOSL), uma joint venture entre a Total UK Ltd e a Chevron Ltd . A área de tanques da HOSL era dividida em área Leste e Oeste. Estocagem: 34.000 toneladas gasolina e 15.000 toneladas óleo diesel;

2- British Pipeline Agency Ltd (BPA), uma joint venture entre a BP Oil e a Shell Oil UK, embora os ativos fossem propriedade da UK Oil Pipelines Ltd (UKOP). A área de tanques também era dividida em duas : a norte e a área localizada entre o HOSL Leste e Oeste.Estocagem: 70.000 toneladas gasolina e outros combustíveis;

3- BP Oil UK Ltd, no extremo sul do Terminal. Estocagem: 75.000 toneladas gasolina.

Operações dos pipelines em Buncefield:

Os combustível são fornecidos por três sistemas de “pipelines” :

  • FinaLine pipeline (10”) – interliga a Refinaria de Lindsay Oil em Humberside e o Terminal HOSL West (Hertfordshire Oil Storage Terminal West)
  • M/B pipeline (10″) – interliga Merseyside até o Terminal BPA (British Pipeline Agency);
  • Thames / Kingsbury (T/K) pipeline (14″)  – interliga a refinaria Coryton  até BPA (British Pipeline Agency).
Buncefield - situação geográfica
Buncefield – situação geográfica
Buncefield - layout do terminal
Buncefield – layout do terminal

Buncefield – descrição da ocorrência

Em 10 de dezembro de 2005 (sábado), o tanque 912 iniciou recebimento de gasolina pelo pipeline Thames / Kingsbury, no Terminal de combustíveis HOSL Oeste.

Por volta das 05h30 do dia 11 de dezembro, o sistema de medição automática de tanque 912 (ATG- Automatic Tank Gauging) indicou que o nível permanecia estático (sem variar) em 2/3 da sua capacidade operacional (nível em 66,7%).

O sistema de segurança instalado para desligar o bombeio de gasolina, chave de nível alto  independente (Independent High Level Switch -IHLS) para evitar o transbordamento do produto havia sido desativado involuntariamente durante teste no dia anterior (10/11/20).

Importante ressaltar que os sistemas ATG e IHLS  foram concebidos para fornecer alertas e dados para o sistema de monitoramento e controle de processo SCADA da sala de controle ( SCADA- Supervisory Control and Data Acquisition ).

Em consequência do sistema de segurança de nível do tanque estar desativado, ocorreu o transbordamento de gasolina. O produto cascateou pela lateral do tanque, acumulando-se inicialmente no dique A. À medida que o transbordamento no tanque continuava, uma nuvem de vapor de gasolina (inflamável), fluia sobre o talude do dique até alcançar a área industrial próxima (Maylands Industrial Estate).

Aproximadamente 300 toneladas de gasolina (400 m3) vazaram do tanque 912, sendo que 30 toneladas eram de vapores inflamáveis de gás butano.

Às 06h01 do dia 11 de dezembro de 2005 (domingo), ocorreu a 1a de uma série de explosões (VCEs).

A explosão principal foi potente e provavelmente se concentrou no estacionamento de  Maylands Industrial Estate.

As explosões causaram um violento e extenso incêndio que envolveu 23 tanques de combustíveis , sendo que a maioria deles do Terminal de Buncefield. A intensidade do sinistro foi tal, sendo equivalente a 2,4 na escala Richter.

O fogo durou 5 dias e uma nuvem de fumaça preta surgiu na região.

Buncefield - mapa do sinistro
Buncefield – mapa do sinistro

Buncefield – o acidente e suas consequências

Buncefield - área afetada
Buncefield – área afetada
Buncefield - visão dos tanques
Buncefield – visão dos tanques

Um medidor automático de tanque (ATG) é um dispositivo eletrônico, cuja função básica é monitorar o nível de combustível no tanque durante um período de tempo para ver se o tanque está vazando. Ele também pode informar ao operador da instalação o que está acontecendo dentro do tanque (exemplo: nível de combustível, volume e temperatura, nível e volume de água, avisos de nível de combustível alto e baixo). Outros recursos podem ser adicionados ao ATG para que ele possa executar funções úteis, como monitorar os espaços intersticiais em tanques e tubulações, monitorar tubulações pressurizadas ou podem ser usados programas de monitoramento remoto e armazenamento de dados.

Buncefield - esquema do medidor de nível do tanque
Buncefield – esquema do medidor de nível do tanque
Buncefield - imagem do medidor de nível do tanque
Buncefield – imagem do medidor de nível do tanque
  • Em 10 de dezembro, às 19h00 , gasolina (butanizada) estava sendo bombeada para o tanque 912 via pipeline (550 m3 /hora).
  • Por volta da meia-noite, 24h00, foi interrompido o bombeio de combustíveis para o Terminal  e realizado procedimento verificação do estoque de produtos. Aproximadamente às 01h30 nenhuma anormalidade foi registrada.
  • Em 11 de dezembro, aproximadamente às 03h00 , não houve mais alteração da indicação de nível no tanque, apesar do bombeamento continuar com vazão de 550 m3/hora. O sistema de medição de  medição do tanque” não funcionou (ATG- Automatic Tank Gauging). A proteção contra transbordamento travou em 2/3 da da capacidade operacional operacional do tanque (nível em 66,7%). Importante ressaltar que os níveis dos tanques eram controlados em uma sala de controle por meio do sistema ATG.
  • Logo após, às 05h20 inicia o cascateamento (transbordamento) de gasolina pelo costado do tanque 912 . O sistema de segurança instalado para interromper o bombeio de gasolina, ou seja, a chave independente de nível alto ( Independent High Level Switch – IHLS ) havia sido desativada involuntariamente durante teste no dia anterior (10/11/20). A gasolina que vazava continuamente pelas 8 aberturas (“vent”),  área de abertura de 0,07 m2 cada, localizadas no teto do tanque, acumulava-se no seu dique (A) e parte vaporizava.
  • Ainda no mesmo dia, às 5h38 , o sistema de CFTV (circuito fechado de câmera de TV) mostrava uma grande nuvem visível e espessa de vapores leves da gasolina (butano)  no dique (A) do tanque. Foi avaliado que houve um transbordamento de 300 toneladas de produto (400 m3), sendo que 10% evaporou (40 m3), que inicialmente acumulou no dique porém escapou para as áreas próximas.
  • Em consequência, às 06h01, ocorreu violenta explosão no tanque 912.A seguir várias outras explosões e incêndios destruíram 23 tanques.
Buncefield - Tanque 912 antes da ocorrência
Buncefield – Tanque 912 antes da ocorrência

Buncefield – análise das causas

Causa Imediata

Transbordamento de 300 toneladas de gasolina (butanizada) do tanque 912 durante recebimento por falha do sistema de segurança instalado para desligar o bombeio. A chave independente de nível alto  independente (Independent High Level Switch -IHLS) foi desativada involuntariamente durante teste no dia anterior (10/11/20).

Também  contribuiu para o acidente a falha do sistema de medição automática de tanque 912 (ATG – Automatic Tank Gauging) , que permaneceu estático (sem variação de nível) quando atingiu 2/3 da sua capacidade operacional (nível em 66,7%).

Causa Básica

Gestão da Manutenção

O ATG travou 14 vezes no período de 31 de agosto até 11/12/2005.

O IHLS (Independent High Level Switch), chave independente de nível alto projetada, fabricada e fornecida pela TAV Engineering Ltd. , infelizmente deu falsa sensação de segurança a equipe operacional e de manutenção do Terminal. Uma vez que aqueles que instalaram e operaram a chave, a contratada Motherwell Control Services Ltd., não compreenderam como o equipamento funcionava. A chave foi deixada inoperante após um teste, no dia anterior ao sinistro no tanque 912.

Em ambos os casos , a Liderança não analisou e identificou a causa básica das falhas. Também houve falha da Supervisão e dos executantes do Terminal e da Contratada por falta de treinamento/capacitação: imperícia ou por falta de atenção durante a intervenção de manutenção: imprudência.

Gestão da Operação

A Liderança não atuou para eliminar as falhas frequentes do ATG. Também a Supervisão não investigou o problema por meio de alguma das ferramentas de análise de perigo de processo (ex.: Análise Preliminar de Risco-APR , Análise de Modos de Falhas e Efeitos – FMEA,  Árvore de Falhas, What-IF, Check-List, visando identificar a causa básica ;

A Liderança falhou por permitir o deterioramento dos taludes dos diques dos tanques

A Liderança falhou por não elaborar procedimento redundante para controlar o enchimento do tanque. O SCADA deixou de registrar os níveis durante o bombeio por fala do ATG.

Causas Raiz do Acidente de Buncefield de acordo com o Relatório COMAH (2011)

1) Falha do sistema ATG (Automatic Tank Gauging) foi a causa  imediata do acidente.

2) Falha durante teste no IHLS decorrente dos executantes da contratada, que instalaram e operaravam a chave de alto nível , não entenderam como o equipamento funcionava, ou a função desempenhada por um cadeado de bloqueio. A chave foi deixada inoperante após o teste, realizado no dia anterior ao sinistro (10/12/2005).

3) Falha do operador do Terminal que não supervisionou a intervenção de manutenção no IHLS (instalação e procedimento de teste). Embora a chave fosse testada periodicamente, nenhum dos funcionários do Terminal (HOSL) estava ciente sobre a necessidade de mudança do cadeado para que a haste de teste fosse mantida na posição correta.

4) Falha de projeto : a tela do SDCD (Sistema Digital de Controle Distribuído) da casa de controle operacional, que exibe as informações de inúmeros tanques pelo sistema ATG, somente disponibilizava o status de apenas um tanque por vez.

5) Falha de projeto do ATG : o sistema não tinha a capacidade de ser configurado para alarmar em caso de inconsistências entre as medições do nível do tanque medições e dados de preenchimento, o que teria fornecido uma forma de alertar a equipe da sala de controle para uma leitura estática “inesperada”.A falta de informação prejudicou a capacidade dos supervisores de planejar e controlar a gestão das transferências e estocagem dos combustíveis.

6) Falha Operacional :  ausência de um processo de registro de falhas (ou um sistema de indicadores de desempenho de segurança do processo) para analisar , identificar e eliminar a causa básica dos acidentes.

Buncefield – falhas nas camadas de proteção

O acidente Buncefield envolveu falhas nas camadas de proteção primárias, secundárias e terciárias para conter o combustível e as águas de incêndio associadas.

  1. As camadas primárias são os tanques, tubulações (pipeline) e vasos que contêm líquidos, e os seus dispositivos instalados para permitir que sejam operados com segurança: PSVs, alarmes, válvulas de bloqueio de inventário (Remotely Operated Shut-Off Valves – ROSOVs), Sistema de Instrumentado de Segurança (SIS), detector de gases tóxicos ou explosivos, Automatic Tank Gauging-ATG, Independent High Level Switch-IHLS, etc 
  2. As camadas de proteção secundárias são áreas fechadas em torno dos tanques (diques), projetadas geralmente por paredes de concreto ou de terra (talude do dique). Seu objetivo é conter qualquer vazamento de líquido, água ou produtos químicos usados no combate a incêndios. O sistema de Circuito Fechado de TV (CFTV) é uma camada secundária de mitigação de vazamentos
  3. As camadas de proteção terciárias são sistemas projetados para minimizar as consequências de uma falha nos sistemas de contenção primária e secundária (dique), fornecendo uma barreira adicional que evita a propagação descontrolada de líquidos (combustíveis , produtos químicos , água de combate ao fogo) na área sinistrada. Alguns exemplos de sistemas: canaletas de águas oleosas, interligação do tanque sinistrado com tanque de resíduo(slop) , revestimentos impermeáveis dos diques, barreiras flexíveis, etc.

   LOPA (Layer of Protection Analysis) é uma técnica de avaliação de risco que usa suposições  de ordem de magnitude para a gravidade da consequência, a frequência do evento inicial e a falha de todas as camadas de proteção.

Buncefield - LOPA
Buncefield – LOPA

Buncefield – fonte de ignição

A nuvem de vapores inflamáveis no momento da primeira e das demais explosões era muito extensa, que se expandia em uma área de aproximadamente 80.000 m2. As fontes de ignição não foram possíveis de serem identificadas devido à destruição de provas pelas explosões e incêndios. No entanto, existem algumas que podemos inferir:

1a) ignição interna na casa de bombas de incêndio (bem provável);

2a) ignição interna na casa do gerador de emergência (bem provável)

3a) ignição causada pela circulação de veículos durante a evolução da nuvem de inflamáveis

4a) ignição causada por trabalho a quente (ex.:corte e solda, esmerilhamento)

5a) ignição causada por eletricidade estática

6a) ignição causada por fiação elétrica em curto

7a) ignição causada por superfície quente (ex: tubulação de vapor sem isolamento ou    isolamento degradado)

8a) ignição causada por descarga atmosférica (pouco provável. A temperatura no terminal era de -1 oC. 9a) ignição causada por cigarro

Buncefield - Imagem do incêndio 1
Buncefield – Imagem do incêndio 1
Buncefield - Imagem do incêndio 2
Buncefield – Imagem do incêndio 2
Buncefield - imagem pós incêndio 1
Buncefield – imagem pós incêndio 1
Buncefield - imagem pós incêndio 2
Buncefield – imagem pós incêndio 2

Buncefield – lições aprendidas

1- O sistema de gestão de transferência (bombeio) de “pipeline” para  tanque de combustível (ex.: gasolina, querosene e diesel) era deficiente e não totalmente implementado;

2- O aumento do volume de combustível que escoava no Terminal exercia uma pressão insustentável sobre os responsáveis pela gestão da transferência (bombeio) e armazenamento, ou seja, procedimentos que careciam de informação e de monitoramento. A pressão em Buncefield foi agravada pela falta do suporte de engenharia (Análise de Perigo de Processo) e de outros conhecimentos técnicos (Operação e Manutenção);

3- A cultura desenvolvida na empresa  priorizava manter as operações em andamento, enquanto a  segurança do processos ficava em segundo plano. A Liderança desconhecia os problemas críticos  e consequentemente a confiabilidade operacional e a integridade mecânica não eram prioridades;

4-  SMS também não era valor da Liderança . Os diques dos tanques e seus taludes estavam deteriorados , o que impossibilitava a contenção de combustível e água de combate ao fogo nas emergências. A preservação do Meio Ambiente não estava no foco da gestão do Terminal.

5-  A Liderança da empresa implentou a Gestão de Segurança de Processo, a exemplo do modelo de gestão da DuPont – 14 elementos ; Segurança de Processo da OSHA – 14 elementos ;   API RP-750 – Gestão dos Riscos de Processo; “Guidelines for Implementing Process Safety Management Systems”- Chemical Process Safety (CCPS) ou tão pouco o RBPS (Risk Based Process Safety) publicado em 2007 pela AIChE/CCPS – 20 elementos

A Investigação revelou uma série de questões relativas ao projeto e operação de locais como Buncefield, onde melhorias para manter a contenção primária devem ser consideradas pela indústria, trabalhando em estreita colaboração com a Autoridade Competente.

Esses assuntos incluem:

1- o monitoramento eletrônico de tanques e tubulações, e alarmes associados que sinalizam sobre condições anormais;

2- a detecção de vapores inflamáveis nas proximidades de tanques e tubulações;

3- a resposta à detecção de condições anormais, como o fechamento  automático das  válvulas de entrada de tanque e válvulas de entrada de pipelines;

4- até que ponto a construção externa dos tanques (por exemplo, projeto da parte superior do tanque) inibe ou contribui para a formação de vapor inflamável;

5- a localização e / ou meios de proteção das instalações da Equipe de Resposta a Emergências;

6- o registro dos sistemas de monitoramento, detecção e alarme e sua disponibilidade (por exemplo, fora do site) para revisão periódica da eficácia das medidas de controle por parte do operador e da Autoridade Competente, bem como na análise da causa raiz em caso de acidente.

Buncefield - incidentes similares
Buncefield – incidentes similares

Buncefield – referências

  • The Buncefield Incident – 11 December 2005, The final report of the Major Incident – Investigation Board –Volume 1;
  • The Buncefield Incident – 11 December 2005, The final report of the Major Incident – Investigation Board –Volume 2;
  • Recommendations on the emergency preparedeness for, response to and from incidentes;
  • The Buncefield Investigation- Third progress report
  • Incidente en el depósito de combustible de Buncefield, Hertfordshire, Inglaterra (2005). Descripcion e Investigacion de Causas- Firestation 17/12/2012.
  • Process Safety – Management U.S. Department of Labor, Occupational Safety and Health Administration OSHA 3132
  • Resolução ANP No.43 de 06/12/2007  – Regulamento Técnico do Sistema de Gerenciamento da Segurança Operacional para instalações marítimas de perfuração e produção de petróleo e gás natural
  • Resolução ANP No.5 de 29/01/2014 – Regulamento Técnico ANP No.2/2014 do Sistema de Gerenciamento da Segurança Operacional para Refinarias de Petróleo
  • Safety and Environmental Standards for Fuel Storage Sites: how to enhance the Safety Integrity of an Overfill Protection System for Flammable Fuel Storage Tanks. Chemical Engeneering Transactions vol.26, 2012 – Pasquale Fanelli
  • Safety and Environmental standarts for fuel storage sites – Process Safety Leadership Group – Final report – HSE
  • Buncefield Fire and Explosion- ThinkReliability
  • Resilience based indicators – ability to ‘cope with the unexpected’ –SINTEF A22123

A cada semana, publicamos novos artigos aqui no Blogtek, sobre Gerenciamento de Projetos, Gestão da Manutenção, e tópicos sobre Liderança e Gestão. Também semanalmente publicamos um vídeo, os quais podem ser acessados em youtube.com/c/Blogtek. Para manter-se informado sobre os próximos artigos, cadastre seu e-mail em Assine o Blogtek! SEU E-MAIL NÃO SERÁ USADO POR TERCEIROS.

Clique aqui e cadastre-se para receber uma notificação por email sempre que um novo artigo for postado

Seu email não será utilizado por terceiros nem para envio de spam.
Gustavo Coelho de Castro

Gustavo é Consultor Sênior Segurança de Processo, Engenheiro Químico à UFRJ - Escola de Química, Engenheiro de Processamento de Petróleo à Petrobras – CENPRO: 1977. Foi, na Petrobras - REDUC, Engenheiro de Análise de Processo, Coordenador de Geral de Turno, Gerente Setorial - Destilação Atmosférica e a Vácuo (lubrificantes, e combustíveis), Gerente Setorial – Destilação, Desasfaltação de Resíduo de Vácuo e Transferência e Estocagem, Gerente Setorial - Destilação, Desaromatização com Furfural, Desparafinação com MIBC e Hidrotratamento de Óleos Básicos Lubrificantes, Gerente Produção - Combustíveis e Petroquímicos e posteriormente, na Sede PB, foi Gerente de Confiabilidade do Abastecimento. Tem MBA em Gestão Empresarial (IBMEC), Docente no Curso de Segurança de Processo (PUC – RJ), Docente no Curso de Segurança de Processo ANP

Newsletter

Seja notificado sempre que um novo conteúdo estiver disponível.

Não se preocupe, não temos prática de enviar spam.