Oleoduto Leste-Oeste da Arábia Saudita: quando a redundância vira infraestrutura crítica

Uma rota criada para dar flexibilidade também pode ficar indisponível

Em 10 de setembro de 2026, múltiplos ataques atingiram áreas associadas ao East-West Pipeline nas regiões de Riyadh e Madinah. O Ministério de Energia saudita informou, por meio da Saudi Press Agency, que o oleoduto foi parado preventivamente, equipes de emergência atenderam feridos e especialistas foram mobilizados para assegurar o sistema e verificar sua segurança.

Até a revalidação feita na noite de 13 de setembro, não havia comunicado oficial confirmando retorno parcial ou total. Também não estavam publicados o mecanismo de dano, os pontos exatos atingidos, eventual perda de contenção, método de inspeção, reparo ou cronograma de restart.

A decisão de parar antes de conhecer publicamente toda a extensão do dano oferece um ponto de partida importante: integridade define se o ativo pode operar; resiliência define como o sistema continua quando ele não pode.

Fato oficial, número reportado e referência técnica não são a mesma coisa

O fato oficial é a ocorrência de ataques em 10 de setembro, a parada por precaução, o atendimento médico e a avaliação por equipes técnicas. A capacidade máxima histórica de aproximadamente 7 milhões de barris por dia vem da Aramco, que informou ter elevado o corredor a esse patamar no primeiro trimestre de 2026.

A Reuters reportou em 13 de setembro que o corredor vinha desviando cerca de 4 milhões de barris por dia para a costa do Mar Vermelho e citou estoque em Yanbu equivalente a aproximadamente cinco a sete dias de exportações no ritmo considerado. São dados e estimativas jornalísticas, não uma atualização operacional oficial da Aramco.

CISA, PHMSA e ANP entram em uma terceira camada: ajudam a estruturar o aprendizado sobre dependências e integridade. Não regulam o sistema saudita nem comprovam o que ocorreu nele.

O que é o East-West Pipeline e por que ele importa

O corredor liga instalações petrolíferas do leste saudita, incluindo a região de Abqaiq, a Yanbu, na costa do Mar Vermelho. A Aramco o apresenta com cerca de 1.200 quilômetros e capacidade máxima aproximada de 7 milhões de barris por dia.

Esse número não equivale automaticamente a exportação disponível. A apresentação do primeiro trimestre indica que aproximadamente 2 milhões de barris por dia da capacidade atendem refinarias conectadas. Capacidade física, uso efetivo, demanda interna, estoque, terminal e programação de navios formam grandezas diferentes.

A função estratégica é criar flexibilidade entre as costas leste e oeste e reduzir, para parte dos fluxos, a dependência do Estreito de Hormuz. A EIA descreve Hormuz como um dos maiores chokepoints mundiais e ressalta que os oleodutos alternativos só conseguem deslocar parte do volume que normalmente cruza o estreito.

Redundância, disponibilidade e resiliência

Redundância é a existência de um caminho, equipamento ou recurso alternativo capaz de assumir uma função. Disponibilidade é a condição de esse recurso estar apto exatamente quando necessário. Resiliência é a capacidade do sistema de preparar-se, absorver a perturbação, adaptar-se e recuperar a função.

Uma organização pode ter duas rotas no desenho e nenhuma disponível no momento crítico. Também pode preservar parte da função por estoque, reduzir throughput, reorganizar clientes e recuperar gradualmente o ativo. Redundância é arquitetura; resiliência é desempenho sob perturbação.

Por isso, dizer que a ‘redundância falhou’ seria uma conclusão apressada. A indisponibilidade do oleoduto revela uma dependência importante, mas o desempenho do sistema completo também inclui armazenamento, terminais, outras rotas, decisões operacionais e tempo de recuperação.

Capacidade instalada não é fluxo entregue

O valor de 7 milhões bpd descreve a capacidade máxima informada do corredor, não o volume necessariamente interrompido em setembro. O throughput real depende de produção disponível, estado das estações, limites hidráulicos, refinarias, estoque, terminal e demanda.

A capacidade exportável também depende do que permanece após os consumos conectados e da capacidade de Yanbu receber, armazenar e carregar. Depois do terminal, navios ainda dependem das condições do Mar Vermelho e, conforme o destino, de corredores como Bab el-Mandeb, Suez, SUMED ou rotas mais longas.

Capacidade impressiona no projeto; disponibilidade mostra quanto dela existe no cenário real.

A rota alternativa também carrega dependências

Ao reduzir a dependência de Hormuz, o East-West Pipeline passa a depender de estações de bombeamento, válvulas, energia, telecomunicações, sistemas de controle, integridade ao longo de cerca de 1.200 quilômetros, equipes, sobressalentes e logística de reparo.

No extremo oeste, Yanbu acrescenta tanques, instalações de carregamento, navios e acesso às rotas do Mar Vermelho. Uma alternativa deixa de ser suficientemente independente quando compartilha um modo de falha ou converge para outra dependência crítica.

É o chamado common-cause failure em linguagem simples: duas soluções podem ser perdidas pelo mesmo fator. Dois data centers alimentados pela mesma subestação, duas bombas ligadas à mesma sucção ou dois fornecedores dependentes do mesmo porto parecem redundantes até a dependência comum parar.

Parar, isolar e entender antes de reiniciar

Em um duto de líquido perigoso, a primeira responsabilidade após impacto externo é colocar o sistema em condição controlada. Conforme projeto e cenário, isso pode envolver interromper bombeamento, isolar segmentos, controlar acesso e ignição, verificar vazamento, coletar dados de pressão e vazão e inspecionar tubulação, estações, válvulas, instrumentação e utilidades.

Essa lista é uma referência genérica; o comunicado saudita não detalhou quais medidas específicas foram executadas. O valor da parada preventiva é preservar margem para caracterizar o estado real antes que fluxo e pressão ampliem uma consequência ainda desconhecida.

A pressa pergunta quando volta. A engenharia pergunta em que condição pode voltar.

O dano visível pode não ser todo o dano

Impactos externos podem produzir deformação, amassamento, gouge, perda de metal, trinca, dano em solda, revestimento ou proteção anticorrosiva. Também podem atingir componentes acima do solo, bombas, válvulas, suportes, energia, automação e comunicação.

Não há confirmação pública de qualquer uma dessas anomalias no East-West Pipeline. Elas aparecem apenas para explicar por que reparar o ponto visível não basta. A avaliação precisa verificar se houve perda de contenção, se os dispositivos de isolamento funcionam e se os instrumentos representam o estado físico do sistema.

Programas de integridade robustos integram histórico, inspeção, dados operacionais, risco, avaliação do defeito, critério de reparo e medidas mitigadoras. Essa é a lógica de referências como a PHMSA — um benchmark internacional, não uma regra saudita.

Restart seguro exige evidência técnica

Voltar a bombear não deve depender apenas de concluir um reparo local ou atender à urgência do mercado. A justificativa de engenharia precisa demonstrar que segmento, estações e interfaces relevantes suportam operação estável e transientes dentro de limites definidos.

Inspeção direta, ensaios não destrutivos, medição dimensional, inspeção interna instrumentada, testes funcionais e, quando tecnicamente aplicável, testes de pressão são opções que dependem do mecanismo e do projeto. Não é possível prescrever qual método serve ao caso saudita sem dados do dano.

O retorno pode ser progressivo, com pressão ou throughput definidos, monitoramento intensificado e autoridade clara para nova interrupção. Restart é uma fase operacional de risco e precisa ser tratado como tal.

• Área e segmentos afetados identificados
• Mecanismo de dano suficientemente caracterizado
• Reparos classificados, aprovados e inspecionados
• Critérios de pressão e throughput definidos
• Válvulas, isolamento, instrumentação e alarmes testados
• Perda de contenção e impacto ambiental descartados ou controlados
• Utilidades e estações disponíveis
• Contingência para degradação ou novo shutdown
• Retorno progressivo e monitoramento intensificado
• Autoridade explícita para interromper novamente

O buffer compra tempo; não recupera o ativo

Estoque pode sustentar entregas durante uma interrupção curta, reduzir a pressão por restart prematuro e criar espaço para avaliação, reparo e decisão. É uma barreira de continuidade, não uma solução de integridade.

O horizonte de cinco a sete dias atribuído pela Reuters a fontes e estimativas para Yanbu depende do ritmo de exportação adotado. A métrica útil não é apenas o número de barris armazenados, mas quantas horas ou dias de função crítica esse inventário compra no cenário real.

Quando o buffer diminui, a pressão econômica cresce. Uma governança madura impede que essa urgência reduza o padrão de evidência exigido para voltar a operar.

Tempo de recuperação transforma redundância em desempenho

Recovery time pode ser decomposto: detectar e isolar, avaliar dano, mobilizar pessoas e materiais, reparar, inspecionar, recuperar capacidade mínima e, por fim, capacidade plena. Cada etapa tem dependências e incertezas próprias.

Em abril de 2026, outro evento reduziu em cerca de 700 mil bpd a capacidade de bombeamento do East-West Pipeline. A SPA informou em 12 de abril a restauração da capacidade total aproximada de 7 milhões bpd em curto período. Isso demonstra um histórico de recuperação, mas não prevê o prazo de setembro: local, mecanismo e extensão podem ser diferentes.

Uma rota que exige semanas para retornar ainda pode ser valiosa se o sistema souber qual função mínima preservar e se o buffer cobrir o intervalo. Resiliência não exige ausência de parada; exige recuperação planejada e mensurável.

Infraestrutura crítica e efeitos em cascata

Um ativo é crítico quando sua indisponibilidade afeta funções maiores que o próprio equipamento. No East-West Pipeline, os efeitos potenciais alcançam produção, refino, terminais, estoques, navios, clientes e cadeias dependentes de energia.

A CISA destaca dependências e efeitos em cascata como elementos de planejamento de resiliência. A aplicação aqui é conceitual: mapear quais recursos sustentam a função, quais são compartilhados e onde uma falha local pode atravessar sistemas.

OT e SCADA entram como dependência operacional, não como causa do ataque. Telemetria, pressão, vazão, estado de válvulas e comunicação dão visibilidade para isolar e retomar. Não há evidência pública de ataque cibernético neste caso.

Resiliência também depende de organização

A infraestrutura sozinha não decide parar ou reabrir. Pessoas integram informações de operação, integridade, segurança, ambiente, logística e mercado; definem a autoridade de restart; protegem equipes em campo; e sustentam critérios técnicos sob pressão externa.

A equipe precisa saber qual informação chega ao decisor, em quanto tempo e com qual incerteza. O ativo precisa resistir, mas a decisão também precisa resistir à urgência.

O paralelo com BESS, data centers e comissionamento de usinas é direto: capacidade redundante perde valor quando dependências comuns, estados transitórios ou indisponibilidade de suporte não entram no planejamento.

BESS: capacidade, proteção e continuidade →

Data centers: energia e dependências críticas →

Ritom: estados operacionais e comissionamento →

Paralelo brasileiro: integridade é processo contínuo

No Brasil, a ANP mantém o Regulamento Técnico de Dutos Terrestres, instituído pela Resolução ANP nº 6/2011, para instalações dentro de seu campo de aplicação. O RTDT inclui gerenciamento da integridade com levantamento e integração de dados, avaliação de risco, avaliação de integridade, medidas mitigadoras e análise do próprio programa.

A regulação brasileira não se aplica ao oleoduto saudita. O paralelo ajuda a mostrar que integridade não é uma inspeção isolada: é um ciclo contínuo de dados, risco, verificação, reparo, operação e aprendizado.

A mesma disciplina vale para fases fora da rotina. Uma instalação parada continua apresentando riscos, como mostra o estudo sobre H2S durante o descomissionamento da Catalyst Refiners.

Veja por que uma planta parada não é automaticamente segura →

Perguntas técnicas ainda abertas

Sem resposta pública, estas perguntas devem permanecer perguntas — não virar hipóteses apresentadas como fato.

• Quais segmentos ou estações foram efetivamente atingidos?
• Houve dano na tubulação enterrada, em componentes acima do solo ou em ambos?
• Houve perda de contenção ou impacto ambiental?
• Quais dados de pressão, vazão e alarmes foram preservados?
• Que método de inspeção está caracterizando o dano?
• Quais reparos são necessários?
• Qual capacidade pode retornar primeiro e sob quais limites?
• Quais dependências externas limitam a retomada?
• Como estoques e outras rotas sustentam a continuidade?
• Qual critério formal de engenharia autorizará o restart?

Conclusão: capacidade impressiona; resiliência aparece na perturbação

O East-West Pipeline foi concebido para ampliar a flexibilidade do sistema saudita. O episódio de setembro mostra outra camada da mesma engenharia: toda redundância que se torna essencial precisa ser protegida, inspecionável, recuperável e apoiada por buffers e alternativas próprias.

Resiliência não é prometer que nada vai parar. É projetar para que, quando algo pare, a organização saiba o que preservar, quanto tempo possui, qual função mínima manter e que evidências exigirá antes de voltar.

Capacidade impressiona no projeto. Resiliência aparece quando o projeto perde uma parte importante — e ainda assim consegue proteger pessoas, conter consequências e recuperar a função sem sacrificar a integridade.