Perda de energia em uma refinaria: shutdown, flare e o caminho até um restart seguro

O que ocorreu em Joliet

Em 13 de setembro de 2026, por volta das 15h30 no horário central dos Estados Unidos, uma interrupção elétrica levou a refinaria da ExxonMobil em Joliet, Illinois, a um shutdown geral. A empresa informou que a energia foi restaurada por volta das 19h. O sistema de flare de segurança foi acionado durante a perturbação.

No dia seguinte, a ExxonMobil dizia avaliar o estado da unidade e investigar a causa. A empresa também informou monitoramento do ar e contato com as agências competentes. Até a revalidação deste artigo, não havia resultado público detalhado dessas medições nem causa técnica divulgada.

IIR Energy afirmou à Reuters que as unidades estavam sendo estabilizadas e estimou retorno ao serviço normal até o fim da semana. Essa é uma avaliação setorial, não um compromisso oficial da ExxonMobil nem um cronograma por unidade.

A resposta curta: eletricidade restaurada não é refinaria pronta

A tensão pode voltar em segundos ou horas; o processo precisa demonstrar que está em condição conhecida. Uma perda de energia não apaga pressão, calor, inventário químico, reações, níveis ou energia mecânica armazenada. Ela também pode interromper equipamentos necessários para manter essas variáveis dentro da faixa prevista.

Por isso, restart não é o simples inverso de um blackout. É uma decisão de processo apoiada por informação confiável, equipamentos disponíveis, alinhamento correto, permissivos satisfeitos, procedimentos vigentes e pessoas preparadas.

O que uma perda de utilidades pode desencadear

Em uma planta contínua, energia elétrica, instrumentação, ar de instrumentos, água de resfriamento, vapor, combustível, lubrificação, selagem, bombeamento, compressão, ventilação, detecção e comunicação formam uma rede interdependente. Uma falha pode propagar consequências para outras funções.

Essa cadeia é conceitual. A informação pública confirma perda de energia em Joliet, mas não demonstra perda de cada utilidade, indisponibilidade de instrumento ou falha específica de equipamento. Reconstruir a sequência exigiria registros elétricos e de processo que não são públicos.

Shutdown normal, resposta de emergência e ESD não são sinônimos

Um shutdown normal segue uma sequência planejada para retirar uma unidade de serviço. Uma resposta a perturbação pode incluir intervenções operacionais e automáticas. Um sistema de emergency shutdown, ESD, leva partes definidas do processo a estados predefinidos quando determinados critérios são atingidos.

O estado seguro não significa que todas as válvulas fecham. Algumas precisam fechar, outras abrir, e equipamentos específicos podem precisar continuar funcionando. Isso depende do processo. O relato público confirma um shutdown geral, mas não revela quais ações foram automáticas, manuais ou parte de cada camada de proteção.

Por que o flare aparece durante perturbações

O flare recebe correntes que precisam ser aliviadas ou despressurizadas e as conduz para combustão controlada. Conceitualmente, a cadeia pode incluir dispositivos de alívio ou blowdown, coletor, separação de líquidos quando aplicável e a própria tocha. Ela protege o sistema contra descarte não controlado de vapores combustíveis.

Acionar flare não significa que a refinaria inteira esteja em chamas. Também não permite concluir, sozinho, que houve excesso de pressão em toda a planta. Somente dados por unidade poderiam mostrar quais correntes chegaram ao sistema e por quê.

Fumaça escura não diagnostica a causa

A aparência de uma chama ou pluma depende da vazão, composição, mistura com ar, assistência por vapor ou ar e condições de combustão. Uma imagem escura pode indicar combustão mais fuliginosa naquele período, mas não identifica a origem da interrupção elétrica nem demonstra automaticamente violação ambiental.

A ExxonMobil disse estar realizando monitoramento do ar. Sem resultados publicados, não é responsável transformar a existência do monitoramento em afirmação de que o ar estava normal ou seguro em todos os locais e momentos.

Energia de emergência preserva funções essenciais, não produção plena

Arquiteturas industriais podem usar UPS, bancos de baterias, geradores ou outras fontes para manter funções selecionadas: SIS/ESD, controle e registro, detecção de fogo e gás, alarmes, telecomunicações, iluminação de emergência, atuadores críticos, lubrificação, selagem e sistemas ambientais ou de contenção.

Esses são exemplos conceituais, não uma lista das cargas de Joliet. Fontes de emergência têm capacidade e autonomia finitas. Seu objetivo pode ser levar a planta ao estado seguro e sustentar funções críticas, não alimentar os grandes consumidores da produção normal.

Cogeração não torna uma refinaria imune

O perfil oficial confirma uma instalação de cogeração em Joliet. Isso não permite concluir que ela falhou, estava disponível, tinha capacidade para a refinaria inteira ou poderia operar ilhada. Local da falha, sincronismo, seletividade, black-start, distribuição interna e filosofia de separação não foram divulgados.

Redundância produz resiliência quando as alternativas são independentes, capazes, testadas, disponíveis e protegidas contra causa comum. Contar equipamentos ou fontes, sem conhecer dependências, não comprova continuidade.

Estabilizado ainda não significa produzindo

Estabilizar é levar pressão, temperatura, nível, inventário, circulação e equipamentos a condições controladas e compreendidas. Pode significar manter uma unidade parada com segurança, não colocá-la de volta em produção.

Depois de uma perturbação, a equipe precisa verificar danos, instrumentação, válvulas, máquinas rotativas, selos, lubrificação, utilidades, alinhamentos, permissivos, alarmes e capacidade das proteções. A lista exata depende de cada unidade e não deve ser convertida em procedimento remoto.

Restart é uma operação transitória de maior complexidade

Partidas e paradas passam por combinações de temperatura, pressão, composição e vazão diferentes do regime estável. Equipamentos entram em serviço em sequência; inventários mudam; alarmes podem crescer; e equipes precisam compartilhar a mesma imagem do estado da planta.

O CSB usa acidentes anteriores para mostrar que estados transitórios exigem procedimentos atualizados, comunicação, treinamento, gestão de mudanças e revisão de prontidão. Essas lições são gerais e não provam deficiência na refinaria de Joliet.

Prontidão e revisão pré-partida

Uma avaliação de prontidão pergunta se construção e equipamentos estão conformes, procedimentos estão disponíveis, recomendações críticas foram resolvidas, treinamento foi concluído e sistemas de proteção estão operáveis. No regime PSM da OSHA, a PSSR formal é exigida em circunstâncias definidas, especialmente instalações novas ou modificações relevantes.

Não há base pública para dizer que o evento de Joliet, isoladamente, criou uma obrigação regulatória específica de PSSR. Ainda assim, o princípio de não reiniciar antes de verificar as condições afetadas é uma referência sólida de engenharia.

Fato, estimativa e lacuna

São fatos publicados: interrupção por volta das 15h30, energia restaurada por volta das 19h, shutdown geral, acionamento do flare, avaliação do estado, investigação da causa, monitoramento do ar e contato com agências.

É informação atribuída à IIR Energy que unidades estavam sendo estabilizadas e poderiam retornar até o fim da semana. Permanecem desconhecidos: causa, origem externa ou interna, sequência de trips, unidades que aliviaram, comportamento da cogeração, fontes de emergência, resultados detalhados do ar, danos, reparos e cronograma oficial por unidade.

Paralelo brasileiro: NR-20, NR-10 e NR-13

A NR-20 oferece o paralelo mais direto ao reconhecer fases como pré-operação, operação normal, parada temporária, operação em emergência, parada normal, parada de emergência e pós-emergência. Isso reforça que cada estado merece análise e procedimentos próprios. A norma brasileira não se aplica ao evento em Illinois.

A NR-10 contribui para documentação elétrica, medidas de controle e atuação de trabalhadores qualificados e autorizados; ela não prescreve uma arquitetura universal de UPS ou geração. Em 15 de setembro de 2026, permanece vigente o texto atual até 31 de maio de 2027, com o novo texto da Portaria MTE 737/2026 entrando em vigor em 1º de junho de 2027.

A NR-13 só é um paralelo quando pressão, temperatura e inventário envolvem equipamentos efetivamente enquadrados. Ela não é uma norma geral de flare nem de sistemas elétricos.

Perguntas técnicas que ainda precisam de evidência

Perguntar não é atribuir culpa. É delimitar o que precisa ser conhecido antes de aprender com a ocorrência.

• Qual foi a origem e a extensão elétrica da interrupção?
• Quais unidades e proteções atuaram, e em que sequência?
• Quais correntes foram encaminhadas ao flare?
• Quais fontes essenciais permaneceram disponíveis e por quanto tempo?
• Qual era a condição da cogeração, sem presumir seu papel?
• Que verificações foram exigidas antes de cada restart?
• Houve dano de processo ou apenas necessidade de estabilização?
• Quais foram os resultados e limites do monitoramento do ar?

Conclusão: restaurar energia é apenas o começo

O evento de Joliet ainda não tem causa pública determinada. A imagem mais responsável é a de uma refinaria que perdeu energia, parou, utilizou uma barreira de segurança e passou a avaliar seu estado.

Em sistemas de processo, disponibilidade elétrica, condição segura, estabilidade e prontidão operacional são marcos distintos. O restart começa quando a energia volta, mas só deve avançar quando a planta consegue demonstrar — com dados, verificações e autoridade clara — que está pronta para mudar de estado.