Tanque considerado inapto continuou operando e matou 11 trabalhadores: lições de integridade mecânica

Antes da análise, respeito às vítimas

Onze trabalhadores perderam a vida. Outros foram gravemente queimados, famílias foram atingidas e uma comunidade inteira passou a conviver com as consequências. Este estudo de caso não utiliza a tragédia como espetáculo. O objetivo é tratar as evidências oficiais com respeito e transformar o que já foi documentado em aprendizado capaz de proteger outras pessoas.

A investigação da U.S. Chemical Safety and Hazard Investigation Board, a CSB, ainda está em andamento. Portanto, o texto diferencia fato confirmado, análise técnica e questão ainda aberta. Não atribui causa final, responsabilidade criminal ou intenção a pessoas e organizações.

Resposta direta: o que esse acidente ensina?

Inspeção sozinha não previne tragédias. Quando um equipamento é classificado como “not fit for continued service”, o alerta precisa produzir uma decisão operacional efetiva: reparo, inspeção interna, retirada de serviço, limitação de operação ou outra medida tecnicamente sustentada.

No caso do G Tank, o risco não estava invisível. A perda de espessura havia sido medida, a condição havia sido documentada e o relatório havia indicado alta probabilidade e consequência de falha. O aprendizado central é a distância perigosa entre descobrir uma anomalia e realmente controlá-la.

O que aconteceu na Nippon Dynawave

Em 26 de maio de 2026, por volta das 7h09, um tanque atmosférico de aproximadamente 1,2 milhão de galões falhou catastroficamente na fábrica de papel e celulose da Nippon Dynawave Packaging, em Longview, Washington. Aproximadamente 900 mil galões de white liquor foram liberados.

A liberação matou 11 empregados. Três outros empregados sofreram ferimentos graves; cinco empregados e um bombeiro também se feriram sem necessidade de internação. O tanque havia sido construído em 1987 com 40 chapas de aço carbono soldadas em cinco cursos e não possuía contenção secundária para capturar derramamentos.

A CSB ainda analisa o modo e as causas da falha, as práticas de integridade mecânica, as decisões sobre inspeção e reparo, gestão de mudanças, gestão de projetos, avaliação de perigos e resposta a emergências.

A cronologia operacional antes da falha

Por volta de 1h55, uma perturbação no processo retirou a unidade digestora de serviço. O fluxo de white liquor do G Tank para o digestor diminuiu e foi totalmente interrompido aproximadamente às 4h08. Mesmo assim, o líquido proveniente dos recaustificadores continuou entrando no tanque em vazão reduzida.

O nível subiu e, por volta de 6h22, o tanque estava aproximadamente 90% cheio. Próximo das 7h, empregados chegaram para o turno e aguardavam reuniões nas oficinas de manutenção elétrica e mecânica, instaladas ao redor do pátio. Às 7h09 ocorreu a falha.

Essa sequência é factual, mas ainda não autoriza afirmar que o aumento do nível foi a causa final. Ela mostra a condição do processo e a exposição existente no momento em que o tanque perdeu sua capacidade de contenção.

O que é white liquor e por que o cenário era tão severo

White liquor, ou licor branco, é uma solução alcalina usada no processo Kraft para separar a lignina das fibras de celulose. Segundo a ficha resumida pela CSB, a mistura continha principalmente água, hidróxido de sódio, sulfeto de sódio e carbonato dissódico, com pH próximo de 13.

No G Tank, o líquido era armazenado a aproximadamente 200 °F, cerca de 93 °C. Era, portanto, um grande inventário químico simultaneamente corrosivo e quente, capaz de causar queimaduras graves na pele, olhos e sistema respiratório.

O white liquor não deve ser confundido com o black liquor concentrado que aparece em outra etapa do processo. A fonte oficial descreve o white liquor como cáustico; este artigo não o classifica como produto inflamável.

O detalhe decisivo: o risco já havia sido identificado

Em julho de 2025, cerca de dez meses antes do acidente, uma inspeção visual externa e medições ultrassônicas de espessura encontraram afinamento significativo nas regiões inferiores do casco, abaixo da espessura mínima segura calculada.

O contratante de inspeção recomendou inspeção interna e reparo nos cursos 1, 2 e 3. O relatório afirmou que o tanque não estava apto a continuar em serviço — “not fit for continued service” — sem reparo e registrou “high likelihood/consequence of failure”.

Outras inspeções externas, em outubro de 2025 e fevereiro de 2026, voltaram a identificar grandes regiões abaixo da espessura mínima. Segundo a CSB, até o acidente não houve inspeção interna, reparo do casco, retirada do equipamento de operação nem derating para serviço reduzido.

O que significa espessura mínima segura

A espessura mínima segura não é uma preferência estética nem um número genérico. É a quantidade de material necessária para que o tanque atmosférico contenha a pressão da coluna de líquido, suporte seu próprio peso e responda às demais solicitações consideradas no cálculo.

A avaliação leva em conta dimensões, material de construção, substância armazenada e condições de serviço. A CSB cita o API 653 como referência para o cálculo e para critérios relacionados à inspeção, reparo, alteração e reconstrução de tanques.

Quando a espessura medida fica abaixo do mínimo calculado, a margem que justificava a continuidade nas condições usuais deixa de estar demonstrada. O ponto não é afirmar que qualquer medição abaixo do limite produzirá falha imediata; é reconhecer que seguir operando exige uma resposta técnica formal e defensável.

O caso não é apenas sobre fazer inspeções

Houve inspeção. Houve medição. Houve classificação de criticidade. Por isso, reduzir o evento a “falta de inspeção” ocultaria a falha sistêmica mais importante: o resultado técnico não se converteu em barreira efetiva antes da tragédia.

Uma organização pode ter bons instrumentos, relatórios extensos e profissionais competentes e ainda falhar se recomendações críticas entrarem em um backlog sem prazo, autoridade, responsável ou condição segura de espera.

Integridade mecânica é um sistema de decisões. Ele liga base técnica, histórico, inspeção, manutenção, operação, engenharia, risco, orçamento, parada e verificação do fechamento. Um laudo isolado não controla o perigo que descreve.

Normalização do desvio: quando o anormal passa a parecer tolerável

Uma anomalia conhecida pode ser gradualmente normalizada quando o equipamento continua funcionando sem falhar imediatamente. Cada dia de operação aparentemente normal pode ser interpretado, de maneira enganosa, como confirmação de que a situação ainda é aceitável.

A ausência de falha não prova a existência de margem. Ela pode apenas significar que a combinação crítica de nível, solicitação, degradação e exposição ainda não ocorreu. Repetir inspeções externas sem alterar a condição não equivale a reduzir o risco encontrado.

A governança precisa impedir que o calendário da produção substitua o critério de engenharia. Quanto mais grave a recomendação, mais explícitos devem ser a autoridade de parada, o prazo, a condição provisória e o nível de liderança que assume a decisão residual.

Quando um equipamento deveria sair de serviço?

Não existe uma resposta universal que dispense a engenharia. A decisão deve considerar o critério de aptidão aplicável, a extensão da anomalia, o mecanismo de degradação, a incerteza das medições, o inventário, a consequência, a exposição de pessoas e as alternativas de controle.

Em alguns cenários, uma avaliação tecnicamente fundamentada pode estabelecer redução de nível, capacidade, temperatura ou outra variável — o derating. Em outros, a única resposta defensável é retirar o equipamento de serviço para inspeção interna, reparo ou substituição.

O que não deve existir é continuidade por inércia. Se a operação prossegue após um alerta crítico, precisam estar documentados o fundamento técnico, os limites, o monitoramento, o prazo, a autoridade responsável e o plano de contingência.

O que a resposta à emergência também revelou

Após a falha, a empresa acionou por rádio sua equipe de resposta médica. A chamada, segundo a CSB, não informou que havia ocorrido liberação de white liquor. Um integrante tentou resgatar um empregado, entrou no líquido acreditando que fosse água e sofreu queimaduras químicas graves.

Esse fato mostra que emergência não se resume a disposição para ajudar. Identificar o agente, comunicar a natureza do cenário, delimitar zonas, avaliar estabilidade e impedir entrada sem proteção são componentes do próprio resgate.

Uma resposta heroica, mas desinformada, pode criar outra vítima. Inventário químico, alarme, comunicação, comando e proteção do socorrista precisam conversar antes do evento, não durante a improvisação.

Cinco lições de integridade mecânica na prática

O caso permite extrair princípios sem antecipar a causa final da falha.

• Inspeção sem plano de ação, prazo e verificação de fechamento é informação, não controle.
• Uma recomendação crítica precisa de governança proporcional à consequência possível.
• Critérios de aptidão para serviço não podem ser relativizados apenas porque o equipamento ainda opera.
• Operação, manutenção, inspeção, engenharia e liderança devem compartilhar a mesma leitura de criticidade.
• O plano de emergência precisa comunicar com precisão o agente liberado e proteger quem responde.

E no Brasil? A ponte para SST e engenharia

O caso ocorreu nos Estados Unidos e deve ser analisado pelas fontes e regras daquela jurisdição. Para empresas brasileiras, o aprendizado está na integração entre engenharia mecânica, gerenciamento de riscos ocupacionais, manutenção, gestão de mudanças, resposta a emergências e autoridade técnica.

O inventário de riscos e os procedimentos não substituem os critérios de integridade do equipamento. Da mesma forma, o laudo de engenharia não substitui a análise de exposição dos trabalhadores, o controle de acesso, o posicionamento de áreas ocupadas e a preparação para vazamentos de grande magnitude.

Mudanças de nível, produto, temperatura, capacidade, processo, ocupação no entorno ou condição estrutural precisam chegar às decisões operacionais. Quando cada disciplina trabalha isoladamente, lacunas importantes permanecem entre o equipamento e as pessoas expostas.

Esse evento seria automaticamente um caso de NR-13 no Brasil?

Não necessariamente. O equipamento foi descrito oficialmente como tanque atmosférico, não como caldeira ou tanque pressurizado. O próprio L&I de Washington informou que ele não estava sob a área estadual responsável por boilers e pressurized storage tanks.

No Brasil, o enquadramento na NR-13 depende do campo de aplicação da norma e das características reais do equipamento, conteúdo, dimensões, pressão, configuração e demais critérios pertinentes. Não se deve concluir o enquadramento apenas pela palavra “tanque”.

A principal lição não é forçar o acidente para dentro de uma norma brasileira. É garantir que todo equipamento com potencial de consequência grave tenha critérios de integridade, responsabilidades e decisões compatíveis com seu risco, seja qual for o conjunto normativo aplicável.

Checklist: um alerta técnico crítico está recebendo a resposta certa?

As perguntas abaixo não substituem um critério de engenharia. Elas ajudam a auditar a governança entre o achado e a decisão.

• O problema foi apenas identificado ou existe tratamento efetivo em andamento?
• Há responsável, prazo, criticidade e condição provisória formalmente definidos?
• O equipamento ainda demonstra atendimento aos critérios mínimos de integridade?
• É necessária inspeção interna, reparo, reavaliação ou substituição?
• Continuar operando é tecnicamente defensável e por quanto tempo?
• Há necessidade de derating ou retirada de serviço?
• Operação, manutenção, engenharia e SST receberam a mesma informação?
• A liderança foi formalmente informada da consequência possível?
• A recomendação é rastreada até evidência de fechamento?
• O cenário de emergência e a exposição das pessoas foram reavaliados?
• A equipe de resposta conhece o agente, os limites e os recursos de proteção?
• A decisão e seus fundamentos estão documentados?

Conclusão: conhecer o risco não basta

O maior fracasso nem sempre está em não enxergar o risco. Às vezes, ele está em enxergar, medir, registrar e continuar operando como se a informação não tivesse alterado a realidade.

A conclusão causal do acidente pertence à investigação oficial ainda em andamento. O que os documentos já permitem afirmar é que havia afinamento abaixo do mínimo calculado, uma recomendação de inspeção interna e reparo, uma declaração de inaptidão para continuidade sem reparo e novas medições que mantiveram o problema visível.

Integridade mecânica começa na técnica, mas só se torna proteção quando a organização transforma evidência em decisão. É nesse ponto — entre o relatório e a operação — que muitas tragédias ainda podem ser evitadas.