Data centers também usam diesel: o vazamento da Equinix e os riscos por trás da infraestrutura da nuvem

A nuvem é física — e também armazena combustível

Você abre um aplicativo, envia um arquivo ou participa de uma reunião online. Na tela, tudo parece leve. Nos bastidores, há concreto, cabos, equipamentos elétricos, climatização, baterias, motores e fluidos. Um data center é uma instalação de infraestrutura crítica: os servidores dependem de sistemas físicos para continuar funcionando.

O vazamento registrado em 11 de setembro de 2026 no Equinix NY2, em Secaucus, Nova Jersey, torna essa dependência visível. A pauta não exige imaginar uma instalação dedicada à inteligência artificial. O aprendizado está na relação entre continuidade operacional e integridade dos equipamentos que armazenam e movimentam diesel.

Para quem projeta ou opera uma instalação assim, a pergunta vai além de manter os serviços online: se uma bomba, válvula ou rota de transferência apresentar defeito, quais barreiras impedem que combustível saia da área controlada?

O que aconteceu em Secaucus: informações que evoluíram

O evento envolveu um tanque externo e diesel No. 2. Os relatos públicos iniciais trabalharam com estimativas entre 5.000 e 5.500 galões americanos, aproximadamente 19 a 21 mil litros. A conversão arredondada ajuda a visualizar a escala; não transforma a estimativa em balanço pericial.

A Equinix informou à News 12 que a equipe identificou a liberação, interrompeu o vazamento, acionou o Corpo de Bombeiros de Secaucus e mobilizou a Clean Harbors. A reportagem registrou comunicação com o NJDEP e a autoridade regional de saúde. Esses são relatos atribuídos, não horários operacionais auditados.

Há uma correção relevante de localização. A cobertura inicial situou o combustível em Anderson Creek. Em 16 de setembro, o porta-voz do NJDEP informou ao Gothamist que o impacto estava em um afluente menor, sem nome, próximo ao creek, e que não havia impacto no Hackensack River, em Anderson Creek ou em suas áreas úmidas. É preciso preservar a data e a atribuição dessa declaração.

Em 5 de outubro, Nellie Pou divulgou um pedido de esclarecimentos ao NJDEP; o PDF do ofício é datado de 2 de outubro e solicita respostas até 9 de outubro. Ele pergunta, entre outros pontos, sobre alcance ao Hackensack e previsão de relatório final. Na pesquisa de 7 de outubro, não localizamos resposta pública ou relatório final. Isso não demonstra que documentos internos inexistam.

Declarações posteriores da Equinix e do NJDEP ao Gothamist →

News 12: relato inicial e resposta →

Ofício de Nellie Pou: documento de 2 de outubro →

Divulgação do ofício em 5 de outubro →

Por que um data center guarda diesel?

A rede elétrica é a fonte normal, mas a continuidade precisa sobreviver a determinadas interrupções. Geradores de emergência convertem energia química do combustível em energia elétrica. O estoque dá autonomia enquanto a rede não retorna ou enquanto uma estratégia de abastecimento é executada.

A página oficial do NY2 informa redundância N+1 de UPS e de geradores, além de autonomia de geração de 30 horas ou mais em carga plena. São características declaradas do site, não dados que permitam calcular o tanque envolvido no vazamento.

N representa a capacidade necessária para a demanda de projeto; +1 indica uma unidade adicional dentro da arquitetura indicada. Isso não significa que qualquer componente do sistema de combustível possa falhar sem consequência. Uma válvula compartilhada, uma rota comum ou uma condição de manutenção pode limitar a independência entre equipamentos.

Também não se deve converter 30 horas em volume de tanque, consumo por hora ou potência sem os dados correspondentes. A capacidade total, a carga considerada, o combustível utilizável e as condições de operação precisam ser conhecidos.

Equinix NY2: especificações oficiais →

UPS, transferência e geradores: funções diferentes

UPS é a fonte de alimentação ininterrupta que sustenta cargas críticas durante transições e condiciona a alimentação conforme a tecnologia. Baterias podem armazenar energia para essa ponte; existem também outras tecnologias. Sua autonomia depende do dimensionamento e da carga.

Os geradores oferecem uma fonte de maior duração, condicionada ao combustível e à disponibilidade dos sistemas auxiliares. A partida, a estabilização e a transferência precisam conversar com a proteção e a distribuição elétrica.

ATS, STS e conjuntos de manobra não são nomes intercambiáveis. Uma chave automática de transferência, uma transferência estática e um switchgear têm aplicações diferentes. O desenho didático deste artigo mostra funções, não uma topologia universal nem o circuito elétrico real do NY2.

BMS predial, EPMS e SCADA podem monitorar e coordenar equipamentos. Automatização não significa inteligência artificial, e um comando enviado não comprova que o equipamento chegou ao estado esperado.

Fuel polishing: manutenção também movimenta risco

Fuel polishing é o tratamento do combustível armazenado, normalmente por recirculação com filtragem e separação. Água, sedimentos e contaminação microbiológica podem comprometer a confiabilidade do combustível; a avaliação deve incluir amostragem e critérios de qualidade.

O Uptime Institute destaca tratamento de combustível como característica operacional importante e chama atenção para acessibilidade de válvulas e controles. O projeto deve permitir manutenção sem comprometer os objetivos de disponibilidade definidos para a instalação.

Em um esquema genérico, o combustível sai do tanque, passa por bomba, filtros ou separadores e retorna. A rota tem válvulas, instrumentos e condições de operação. Verificar retorno, alinhamento e limites de transferência faz parte da análise, mesmo quando a finalidade é melhorar a qualidade do diesel.

O circuito ilustrado aqui é didático. Não dispomos do piping do NY2 e não sabemos publicamente como suas duas válvulas estavam instaladas. Um processo auxiliar de manutenção merece o mesmo cuidado de engenharia dedicado ao equipamento principal.

Uptime Institute: projeto e confiabilidade do combustível →

Do relato de computador à informação de duas válvulas

O prefeito usou inicialmente a expressão computer glitch, registrada pela News 12. Depois, a Equinix informou ao Gothamist uma falha mecânica de duas válvulas associadas à filtragem. A empresa ainda finalizava o relatório naquele momento.

Essas informações não permitem afirmar que um software ordenou uma abertura, que houve erro de operador ou que as válvulas falharam abertas. Relato preliminar, componente identificado e causa raiz são níveis diferentes de evidência.

Uma investigação deve distinguir medição, lógica de controle, comando, atuador, posição real, estanqueidade e caminho hidráulico. Uma tela pode indicar comando de fechamento enquanto uma válvula está travada; uma posição confirmada pode não demonstrar vedação interna. Esses são exemplos gerais, não conclusões sobre o acidente.

O objetivo é reconstruir a sequência com registros, inspeção e testes, incluindo por que outras barreiras não limitaram o evento. A identificação de um componente não encerra automaticamente o aprendizado organizacional.

Declarações posteriores da Equinix e do NJDEP ao Gothamist →

News 12: relato inicial e resposta →

Como o tanque reconhece que chegou ao limite?

Medição contínua ajuda a conhecer o nível. Um alarme alto solicita atenção; um alto-alto pode iniciar proteção definida no projeto. Para que exista independência real, é preciso avaliar sensor, lógica, energia, elemento final e falhas comuns, não apenas instalar dois avisos na mesma tela.

Permissivos autorizam a partida quando condições necessárias estão satisfeitas. Intertravamentos impedem ou interrompem uma operação em condição perigosa. Feedback de posição informa uma condição real medida; um sinal de comando informa apenas o que foi solicitado.

Uma arquitetura pode prever parada de bomba e isolamento automático por caminhos independentes, limites de tempo ou volume, detecção de vazamento e parada local acessível. A escolha depende da análise de riscos, das características do circuito e do estado seguro pretendido.

Fail-safe significa caminhar para um estado definido como seguro diante de falhas especificadas. Fechar sempre não é uma receita universal: pode haver caminhos de retorno, pressão aprisionada e outras condições a avaliar. Ensaios funcionais devem demonstrar a ação completa, inclusive o elemento final.

Bow-tie: antes e depois da perda de contenção

O bow-tie organiza ameaças, um evento central e consequências. Neste modelo genérico, o evento central é perda de contenção ou transbordamento durante transferência ou recirculação. Ameaças podem incluir componente degradado, rota incorreta, sinal inadequado ou obstrução.

À esquerda ficam barreiras preventivas: limites de nível, permissivos, isolamento, teste e verificação de alinhamento. À direita, barreiras mitigadoras: contenção secundária, drenagem isolável, detecção e resposta. A função define o lugar da barreira; sua presença no desenho não demonstra eficácia.

Cada barreira precisa de responsável, critério de desempenho e evidência. Duas proteções que dependem do mesmo sensor ou da mesma alimentação podem falhar juntas. Uma barreira indisponível em manutenção exige controle compatível com a exposição temporária.

O diagrama não reconstrói o NY2 nem afirma que faltava alguma dessas medidas. Ele ajuda a formular perguntas para instalações que armazenam combustível e para avaliar o que realmente impede a propagação de um defeito local.

MRPL: perda de contenção e segurança de processo →

Drenagem: o caminho da água também pode transportar diesel

Piso, declividade, canaletas, caixas de coleta e conexões determinam para onde um líquido liberado seguirá. Um dreno pluvial pode acelerar a chegada ao ambiente quando recebe produto fora de sua função prevista. O mapa de drenagem deve ser tão conhecido quanto o mapa dos tanques.

Drenagem pluvial, drenagem oleosa e bacia de contenção têm finalidades diferentes. Uma bacia guarda produto numa fronteira controlada; uma rede transporta fluidos. Um separador também tem limites de vazão, manutenção e eficiência, e não transforma qualquer descarga em água segura.

O projeto deve considerar segregação, pontos de bloqueio, acesso, chuva, volume disponível, impermeabilidade e materiais compatíveis. Um dreno mantido aberto dentro da contenção pode criar um caminho de fuga; sua operação precisa ser controlada e verificada.

No caso de Secaucus, reportagens descrevem uma rota até um tributário. Não temos o desenho de drenagem do site. O infográfico apresenta uma rota potencial e marca a declaração posterior do NJDEP sobre o corpo d’água afetado, sem declarar chegada ao Hackensack.

Contenção secundária: o defeito precisa ficar dentro de um limite

A contenção primária é formada pelo tanque, tubulação e equipamentos que mantêm o produto em operação normal. A secundária recebe uma liberação quando essa primeira fronteira falha. Ela pode envolver bacias, curbs, áreas comuns de coleta e outros arranjos tecnicamente justificados.

Dimensionar exige considerar cenários, maior recipiente quando aplicável, precipitação, deslocamento por equipamentos e volume útil. Altura de parede sem cálculo de capacidade, impermeabilidade e rotas de fuga não demonstra proteção suficiente.

Inspeções precisam procurar fissuras, passagens de tubulação, pontos baixos e alterações do local. Uma instalação pode ter projeto adequado e perder capacidade por material armazenado, modificações ou drenagem sem controle.

A avaliação deve verificar a condição real e documentar o desempenho necessário. A ocorrência de um vazamento, isoladamente, não prova ausência de bacia no NY2 nem permite julgar sua conformidade.

EPA: contenção secundária →

Resposta ambiental: parar, conter, recuperar e acompanhar

A resposta começa com identificação e acionamento conforme o plano. Equipes habilitadas precisam interromper a fonte quando seguro, controlar acesso, avaliar incêndio e exposição, notificar os órgãos competentes e limitar a propagação. A sequência prática depende da emergência e dos recursos disponíveis.

Barreiras flutuantes, absorventes e caminhões de sucção podem integrar a recuperação. Correnteza, maré, chuva, acessibilidade e comportamento do produto influenciam a escolha. A atuação em água exige coordenação especializada; improvisar pode ampliar exposição e dispersão.

Recuperar mistura de água e óleo não significa medir o mesmo volume de diesel puro. Um balanço final precisa distinguir produto, líquidos misturados, solo e outros resíduos. Não localizamos um balanço final público que permita informar volume total recuperado deste evento.

Amostragem, rastreabilidade de resíduos, destinação e critérios de encerramento completam o trabalho. A declaração inicial de ausência de impacto observado não equivale a prova de ausência de qualquer efeito posterior. Resposta limita consequências; prevenção busca impedir a liberação.

SPCC e NFPA 110: dois escopos nos Estados Unidos

A EPA descreve SPCC como um conjunto de prevenção e controle de descargas de óleo para instalações abrangidas pelos critérios da regra. Entre eles estão natureza da instalação, possibilidade de descarga em águas ou margens e capacidade de armazenamento. O limiar geral acima do solo é superior a 1.320 galões americanos, com exclusões e outras condições.

Para determinadas instalações de armazenamento a granel, a referência de contenção inclui a capacidade do maior recipiente e espaço para precipitação. A aplicabilidade precisa ser avaliada com os documentos do local; este artigo não declara conformidade ou infração do NY2.

NFPA 110, edição 2025 consultada, trata sistemas de energia de emergência e standby: prontidão, desempenho e confiabilidade da fonte alternativa. Ela não substitui a análise ambiental de armazenamento e drenagem.

Continuidade elétrica e prevenção ambiental se encontram no mesmo equipamento, mas têm escopos próprios. Um teste de gerador bem-sucedido não comprova que uma liberação de combustível ficará contida.

EPA: critérios de aplicação do SPCC →

NFPA 110: energia de emergência e standby →

E no Brasil: NR-20, projeto e licenciamento

A NR-20 aborda trabalho com inflamáveis e combustíveis sem depender de um único setor econômico. O enquadramento concreto exige produto, volumes, atividades, localização e configuração. Chamar o local de data center não responde essas perguntas.

Na consulta de 7 de outubro, a página oficial do MTE apresenta o texto com alteração pela Portaria MTE nº 60, de 21 de janeiro de 2025. O Anexo III exige atenção específica para tanques no interior de edifícios e suas condições de exceção. Uma regra destinada a edifícios não deve ser transplantada para qualquer instalação.

Licenciamento ambiental, exigências do Corpo de Bombeiros e normas técnicas aplicáveis precisam ser identificados para a jurisdição e o projeto. SPCC e NFPA não se tornam automaticamente lei brasileira; a avaliação local não pode ser feita apenas por comparação de nomes.

GRO/PGR, análise de riscos, inspeção, manutenção, capacitação e plano de emergência devem conversar. Contratadas que filtram ou transferem combustível precisam conhecer limites operacionais, comunicação e recursos de parada. Segurança do trabalho e gestão ambiental compartilham interfaces concretas.

MTE: NR-20 oficial e atualizações →

Checklist: o backup está pronto também para uma falha?

Use as perguntas abaixo em uma revisão multidisciplinar com operação, engenharia, manutenção e responsáveis ambientais. O resultado deve ser uma lista de evidências e ações com responsáveis, não apenas respostas sim ou não.

Verifique inventário e capacidade dos tanques; qualidade do combustível; desenhos de transferência e retorno; nível e proteção independente; posição real das válvulas; parada local; testes de falha; volume útil da contenção; destino dos drenos; resposta e comunicação; rastreabilidade dos resíduos; requisitos aplicáveis.

Em testes, registre a condição de entrada, o resultado esperado, a atuação real e o retorno seguro à operação. Uma proteção sinalizada como saudável deve demonstrar o desempenho necessário. Mudanças de circuito, sensores ou lógica precisam passar por avaliação e atualização dos documentos.

• Há inventário dos tanques e capacidade útil documentada?
• As rotas de transferência e retorno estão atualizadas e verificadas?
• Qualidade do combustível e água/sedimentos são avaliados?
• O nível alto-alto atua por caminho com independência demonstrada?
• Existe confirmação de posição e verificação de vedação conforme a função?
• Parada local, intertravamentos e elementos finais foram testados?
• A contenção tem capacidade útil, impermeabilidade e drenagem controlada?
• O destino de cada dreno é conhecido e a isolação é acessível?
• Contratadas conhecem permissivos, limites e comunicação de desvios?
• O plano integra notificações, recursos, resíduos e critérios de encerramento?

Sustentabilidade também inclui os sistemas auxiliares

Eficiência energética, fontes renováveis e digitalização têm valor, mas não eliminam riscos de óleo, combustível, baterias, água e resíduos. O sistema precisa ser observado ao longo da operação, manutenção, emergência e recuperação.

Moss Landing ajuda a entender energia residual em baterias; BP-Husky mostra a importância de informação e capacidade de resposta; casos de refinarias mostram perda de contenção e barreiras. A tecnologia muda, mas a necessidade de verificar interfaces permanece.

A nuvem pode ser virtual para quem usa. Para quem a protege, é concreto, cobre, motores, fluidos, válvulas, sensores e pessoas. Resiliência digital começa na engenharia física: disponibilidade, manutenção, segurança e meio ambiente precisam funcionar juntos.

Moss Landing: energia residual em baterias →

BP-Husky: alarmes e capacidade de resposta →