Relatorio Investigacao P 19

RELATÓRIO DE INVESTIGAÇÃO DE INCIDENTE P-19 | SSO – ANP | 2023
RELATÓRIO DE
INVESTIGAÇÃO DE
INCIDENTE
Plataforma Petrobras 19 (P-19)
Superintendência de Segurança Operacional
280/flabele
Relatório de Investigação do Incidente - P-19 (3279101) SEI 48610.219140/2022-11 / pg. 1

RELATÓRIO DE INVESTIGAÇÃO
DE INCIDENTE
Plataforma PETROBRAS 19 (P-19)
Julho 2023
Superintendência de Segurança Operacional

Agência Nacional do Petróleo, Gás Natural e Biocombustíveis
Diretor-Geral
Rodolfo Henrique de Saboia
Diretores
Symone Christine de Santana Araújo (Diretora - Diretoria I)
Daniel Maia Vieira (Diretor – Diretoria II)
Fernando Wandscheer de Moura Alves (Diretor – Diretoria III)
Claudio Jorge Martins de Souza (Diretor – Diretoria IV)
Superintendente de Segurança Operacional

Luiz Henrique de Oliveira Bispo
Superintendente Adjunto de Segurança Operacional

Tiago Machado de Souza Jacques
Elaboração – Comissão de Investigação Revisão Aprovação

de Incidente
Daniela Goñi Coelho Luiz Henrique de
Bruna Rocha Rodrigues
Thiago da Silva Ormonde Oliveira Bispo
Bruno Alves de Oliveira – Investigador líder
Elson Meneses Correia
Caroline Pinheiro Maurieli de Morais
Gisely Lima Costa
Lívia Filgueiras de França
Revisão: 0 Emissão: julho de 2023

Rev. Descrição Elaborado Revisado Aprovado Páginas
alteradas
0 Emissão Inicial BRR DGC LHOB N/A

BAO TSO
CPMM EMC
GLC
LFF

SUMÁRIO
SUMÁRIO EXECUTIVO .............................................................................................................................................. 7
1. DESCRIÇÃO DO INCIDENTE ............................................................................................................................. 14
2. CARACTERÍSTICAS DA PLATAFORMA P-19 ...................................................................................................... 15
2.1 CONFIGURAÇÃO DO SISTEMA DE COMBATE A INCÊNDIO COM CO2...................................................................... 15
2.2 HISTÓRICO DE INCIDENTES ENVOLVENDO SISTEMA DE COMBATE A INCÊNDIO POR CO2 NAS INSTALAÇÕES DA OPERADORA
20
2.3 CONFIGURAÇÃO DA SALA DOS MOTOGERADORES DIESEL AUXILIARES .................................................................. 20
3. CRONOLOGIA DE EVENTOS ............................................................................................................................ 22
4. ÁRVORE DE FALHAS DO EVENTO .................................................................................................................... 24
4.1 FATOR CAUSAL Nº 1: LIBERAÇÃO DE CO2 NA SALA DOS MOTOGERADORES DIESEL AUXILIARES POR ACIONAMENTO ESPÚRIO
DO SISTEMA FIXO DE CO2 ..................................................................................................................................................... 26
4.2 FATOR CAUSAL Nº 2: PERMANÊNCIA DE PESSOAS NA SALA APÓS ALARME DE LIBERAÇÃO DO CO2. ............................. 29
5. HIPÓTESES DESCARTADAS E INCONCLUSIVAS ................................................................................................ 30
5.1 HIPÓTESES DESCARTADAS: .......................................................................................................................... 30
5.2 HIPÓTESES INCONCLUSIVAS: ........................................................................................................................ 31
6. CAUSAS RAÍZES .............................................................................................................................................. 32
6.1 CAUSA RAIZ Nº 1: FALHA EM PROJETO ........................................................................................................... 32
6.2 CAUSA RAIZ Nº 2: FALHA EM INSPEÇÃO, TESTE E MANUTENÇÃO PREVENTIVA......................................................... 38
6.3 CAUSA RAIZ Nº 3: FALHA NA AVALIAÇÃO DE PERIGOS NA PERMISSÃO DE TRABALHO. .............................................. 40
6.4 CAUSA RAIZ Nº 4: FALHA NA COMUNICAÇÃO DOS RISCOS. ................................................................................. 49
6.5 CAUSA RAIZ Nº 5: FALHA EM TREINAMENTO DE CONSCIENTIZAÇÃO (BRIEFING DE SEGURANÇA) ................................. 51
7. FATORES HUMANOS ...................................................................................................................................... 53
8. DESVIOS E FATORES CONTRIBUINTES ............................................................................................................. 57
9. RECOMENDAÇÕES .......................................................................................................................................... 67
10. CONCLUSÕES.................................................................................................................................................. 71
ANEXO I.................................................................................................................................................................. 73

SUMÁRIO EXECUTIVO
No dia 02 de agosto de 2022, a ANP recebeu, por meio do sistema SISO-Incidentes, a
Comunicação Inicial de Incidente 2208/000010, a qual reportou uma fatalidade na Plataforma
P-19. Segundo constava do comunicado, quatro colaboradores executavam serviço de
manutenção na sala dos motogeradores diesel auxiliares, quando houve acionamento espúrio do
sistema de combate a incêndio por dióxido de carbono (CO2), levando a óbito um dos
trabalhadores.
A plataforma Petrobras 19 (P-19), de propriedade da empresa Petróleo Brasileiro S/A –
Petrobras, é uma instalação offshore semissubmersível (SS), de bandeira do Panamá, construída
em 1982 com a finalidade de operar como uma sonda de perfuração e convertida em unidade de
produção em 1997. A plataforma P-19 está localizada a 179 km da costa de Macaé, na Bacia de
Campos, Campo de Marlim, em lâmina d'água de 770 m de profundidade. Tem capacidade de
abrigar até 204 pessoas a bordo. A capacidade de produção média da plataforma é de 16.000 m³
por dia de óleo e 3.000.000 Nm³ por dia de gás.
No dia do incidente, duas equipes de empresas terceirizadas trabalhavam em conjunto na
sala dos motogeradores diesel auxiliares, que não estavam operando naquele momento: dois
funcionários da empresa GranIHC removiam os pisos gradeados para que outros dois
funcionários da empresa Engeman realizassem a limpeza do piso da sala. Ocorre que, enquanto
realizavam suas tarefas, os trabalhadores foram surpreendidos pelo acionamento espúrio do
sistema de proteção contra incêndio, o qual inundou rapidamente a sala com CO2.
Adicionalmente, naquele dia também ocorreu um serviço de limpeza na sala que abrigava os
cilindros de CO2, com uso de jato d’água.

Os dois funcionários da Engeman conseguiram sair da sala inundada com CO2. Contudo,
os dois funcionários da GranIHC não conseguiram abandonar a sala a tempo, tendo sido
resgatados, posteriormente, pela equipe de brigadistas da plataforma. Um dos funcionários veio
a falecer.
Assim que tomou conhecimento do incidente, a ANP planejou a realização de uma ação
de fiscalização in loco na plataforma P-19, com intuito de coletar dados e informações
preliminares. A ação de fiscalização foi realizada em 10/08/2022, em conjunto com outras
autoridades federais, no âmbito da Operação Ouro Negro. A equipe de fiscalização era composta
por cinco servidores, sendo um da ANP, dois do Ministério Público do Trabalho e outros dois do
Ministério do Trabalho (fiscais do trabalho). Em decorrência do incidente, foi instaurado um
processo administrativo de investigação independente, realizado por cinco servidores da
ANP/SSM, sob o número 48610.219140/2022-11. O presente relatório é parte integrante do
referido processo e contém a descrição dos fatos, a cronologia, as causas e conclusões do
acidente, determinadas pela equipe de investigação da ANP e em conformidade com a Instrução
Normativa ANP nº 06/2021.
A comissão de investigação da ANP identificou dois fatores causais, a saber: (1) Liberação
na sala dos motogeradores por acionamento espúrio do sistema fixo de CO2 e (2) Permanência
de pessoas na sala dos motogeradores após alarme de liberação do CO2.
Causas raízes:
A comissão de investigação da ANP identificou cinco causas-raiz.
A primeira causa raiz identificada foi falha em projeto. Em 2019 havia sido estabelecida
Especificação Técnica contendo instruções para o estabelecimento da lógica de acionamento do
sistema de CO2 com “double check”, aplicável a todas as plataformas da Operadora. A lógica de

acionamento esperada era que a micro switch, ao ser energizada, abriria a válvula direcional e,
após confirmação de incêndio ou fumaça no local, o operador da sala de controle então acionaria
a botoeira virtual, abrindo as válvulas da cabeça dos cilindros e então liberando o CO2. Contudo,
quando da implementação dessa mudança na plataforma P-19, houve falha na alteração da lógica
de acionamento, tendo sido o código alterado de forma que, ao acionar o micro switch, a válvula
direcional e a botoeira virtual estavam sendo acionadas simultaneamente, sem que fosse de fato
necessária a dupla atuação (atuação da lógica mais atuação humana). Assim, resta constatado
que houve falha na falha na verificação do código e, principalmente, falha no teste, antes da
efetiva implementação da modificação. Ademais, foram constatadas falhas relacionadas ao
projeto do sistema fixo de CO2, especificamente, por conta da ausência de válvula lockout, que
impediria o acionamento espúrio do sistema; falhas relacionadas à estrutura da sala dos
cilindros de CO2, que não possui portas e parte de suas paredes eram venezianas, o que permite
entrada constante de umidade no local; falha de localização dos alarmes de CO2 na sala dos
motogeradores diesel auxiliares, que não permitia visibilidade de alguns ângulos da sala; e, por
fim, a sobreposição sonora dos alarmes de liberação de CO2 e de emergência da plataforma, os
quais, em caso de acionamento do sistema fixo de CO2, tocavam ao mesmo tempo.
A segunda causa raiz identificada foi a falha na inspeção e teste do sistema fixo de CO2.
As inspeções dos equipamentos do sistema de combate a incêndio com CO2 eram conduzidas
pelos técnicos de segurança, que realizavam inspeções visuais e executavam apenas testes de
acionamento local de algumas das válvulas, com inibição da liberação do CO2, ações insuficientes
para detecção de problemas, como corrosão, nos componentes das válvulas do sistema de CO2,
por exemplo.
A terceira causa raiz identificada foi falha na avaliação dos riscos na Permissão de
Trabalho (PT). As Permissões de trabalho emitidas para as atividades na sala dos motogeradores
9

diesel auxiliares não apresentavam análise de riscos, deixando de avaliar, consequentemente, o
fato da sala ser um local protegido por sistema fixo de CO2. De acordo com procedimento da
Operadora, essa análise mais elaborada só seria necessária caso uma pergunta da lista de
verificação da análise preliminar fosse marcada. Todavia, o tipo de PT selecionada no
procedimento da empresa foi a Permissão para Trabalho Rotineiro Específico (PTRE).,
Constatou-se, portanto, que houve falha na análise prévia dos perigos existentes no ambiente de
trabalho. Informações obtidas durante a investigação indicam que, em algumas plataformas da
mesma Operadora, quando da execução de atividades em locais protegidos por sistema fixo de
combate a incêndio com CO2, a atuação desse sistema é inativada até a conclusão do serviço a ser
realizado.
A quarta causa raiz identificada foi falha na comunicação dos riscos. Em relação à
atividade de limpeza na sala dos cilindros de CO2, não havia, na permissão de trabalho, qualquer
indicação sobre o risco de formação de névoa de água por conta do uso de jato de água, nem
ações no sentido de proteção desses equipamentos, como a instalação de cobertura, por
exemplo, ou a adoção de procedimentos específicos, de forma a reduzir a possibilidade de danos
aos componentes elétricos do sistema. Ademais, na entrada da sala dos motogeradores
auxiliares, não havia sinalização sobre o perigo de asfixia por CO2. Resta, assim, constatado que
não havia adequada sinalização (também conhecida como comunicação dos riscos) nos locais
protegidos por sistema fixo de combate a incêndio por CO2.
Por fim, a quinta causa raiz indicada foi de falha de treinamento, incluindo treinamento
de conscientização (briefing de chegada), simulados de emergência e comunicação dos riscos em
diálogos diários de segurança. As informações obtidas apontaram que houve falha ou falta de
treinamento e instruções claras sobre o sistema de combate a incêndios por CO2 e seus alarmes.
10

Ficou constatado que alguns trabalhadores não tinham conhecimento suficiente sobre o alarme
de CO2, conhecendo apenas o alarme de emergência da plataforma.
Recomendações:
A equipe de investigação da ANP elaborou as seguintes recomendações:
• Verificar o código de automação, quando da ocorrência de mudanças que alterem este.
Esta verificação deve ser feita por equipe multidisciplinar, minimamente incluindo
um engenheiro de segurança, um engenheiro de instrumentação, e especialista nas
demais áreas afetadas pela mudança considerando a Norma IEC 61131.
• Realizar looping test completo de sistemas instrumentados de segurança – antes do
retorno operacional do sistema, sempre que realizadas mudanças nesses sistemas,
considerando a Norma IEC 61511.
• Projetar e construir salas para cilindros de CO2 fechadas (protegidas de intempéries e
umidade) para novos projetos de plataformas, de forma a reduzir a possibilidade de
entrada excessiva de umidade. Para as unidades em operação, avaliar e gerenciar o
risco de não ser fechada.
• Instalar, preferencialmente, componentes eletrônicos com proteção IP65 ou superior
em locais que pode haver penetração de umidade ou realização de atividades de
limpeza com uso de jato de água.
• Instalar válvulas de lockout no sistema fixo de combate a incêndio por CO2, inclusive
em instalações já existentes (conforme já preconiza a NFPA 12).
• Estabelecer sistemática para que em casos de atualizações/revisões das normas e
melhores práticas da indústria relacionadas aos sistemas de segurança, sejam
implementadas aquelas que a própria norma preconiza ser mandatório para as
11

unidades já existentes. E, para que nas demais alterações nestas normas, seja
realizada análise de custo e benefício.
• Instalar alarmes visuais e sonoros nos ambientes protegidos por CO2 que sejam
facilmente diferenciáveis de outros alarmes da instalação, considerando as normas e
melhores práticas recomendadas da indústria.
• Avaliar a utilização de gases não asfixiantes para sistemas fixos de combate a incêndio.
• Inserir nos formulários de Permissão para Trabalho - PT, a necessidade de bloqueio
(lockout) de sistema fixo de CO2 em salas protegidas, em caso de manutenções,
inspeções ou serviços nesses ambientes.
• Não permitir o uso ou habitação contínua de salas protegidas por sistema fixo de CO2
que não foram projetadas para tal.
• Instalar, na entrada de locais protegidos por sistema fixo de CO2, placas sinalizadoras
do perigo do CO2 e precauções a serem adotadas em caso de acionamento do alarme
(conforme NFPA -12 Standard on Carbon Dioxide Extinguishing Systems ou outra
melhor prática do mercado).
• Incluir, nos Estudos de Riscos da Instalação, o cenário específico de descarga espúria
de CO2 em ambientes protegidos por sistema fixo de combate a incêndio, à luz dos
procedimentos e normas adotados pelo operador na realização das Análises de Risco.
• Aprimorar as instruções e frequência dos briefings de segurança (o briefing realizado
logo após o embarque na instalação), treinamentos e simulados, para as equipes
própria e contratada, nos diversos alarmes da Instalação, incluindo o sistema fixo de
CO2, que abordem os riscos presentes nos diversos locais da Unidade e nas ações de
segurança relacionadas.
12

• Avaliar a substituição de maleta pesada de primeiros socorros por mochila, para

permitir que ambas as mãos fiquem livres e acelerar a chegada à localização da vítima
em ambiente com muitas escadas, com o objetivo de diminuir o tempo de resposta.
• Avaliar a inclusão na equipe de primeiros socorros de pessoas que conheçam a área,
para guiar os socorristas até o local seguro próximo do local de emergência, onde são
encaminhadas vítimas resgatadas, também com o objetivo de diminuir o tempo de
resposta.
• Comunicar à ANP como quase acidente os incidentes de falha espúria no acionamento
do sistema fixo de combate a incêndio por CO2 ou outro gás asfixiante que não
causarem vítimas, conforme definido no inciso XI do artigo 2° da Resolução ANP
882/2022.
13

1. DESCRIÇÃO DO INCIDENTE
O acionamento espúrio do sistema de combate a incêndio com CO2 da sala dos
motogeradores diesel auxiliares (chamada de “sala dos EMDs” pela equipe da plataforma)
ocorreu às 09:34 do dia 02/08/2022, conforme informações da Operadora, enquanto quatro
funcionários realizavam serviços em seu interior.
No dia anterior (01/08/2022) havia sido planejada a realização da limpeza da sala dos
motogeradores diesel auxiliares, já que havia óleo no piso. Para que a limpeza fosse realizada,
seria necessária a retirada de parte do piso gradeado para acesso ao local. Assim, dois
caldeireiros da empresa GranIHC foram escalados para essa tarefa.
No dia seguinte, 02/08/2022, por volta de 09:20h, dois funcionários (jatista e auxiliar de
jatista) da empresa Engeman realizavam a limpeza do piso da sala dos motogeradores enquanto
dois funcionários (caldeireiros) da empresa GranIHC aguardavam para recolocar os pisos
gradeados no local, quando, minutos após iniciar as atividades, foram surpreendidos pelo
acionamento do alarme geral da plataforma seguido da liberação de CO2 na sala.
Nesse momento, os dois funcionários da Engeman e um funcionário da GranIHC seguiram
rapidamente por uma rota de fuga próxima, sendo que os dois colaboradores da Engeman
conseguiram sair da sala.
Quanto aos funcionários da GranIHC, esses não lograram êxito em abandonar o local. O
primeiro funcionário localizado foi encontrado desacordado e próximo à rota de fuga, na área do
piso elevado, ainda na sala dos motogeradores. Foi resgatado por brigadistas, colocado em área
segura, recebeu primeiros socorros pela equipe de socorristas, mas não recobrou a consciência,
tendo falecido a bordo. O óbito foi declarado pelo resgate aeromédico às 12:12h.
14

O segundo funcionário localizado na sala de dos motogeradores auxiliares foi resgatado
instantes após o primeiro, também por brigadistas, tendo sido encontrado desacordado e
próximo a uma das portas de saída desta sala, colocado em local seguro e recebido primeiros
socorros dos próprios brigadistas, com uso de máscara de oxigênio do equipamento de
respiração autônomo. Conseguiu recobrar a consciência, tendo assim sobrevivido.
Ao mesmo tempo que ocorreu a inundação de CO2 na sala dos motogeradores diesel
auxiliares, ocorreu, ainda, o rompimento de mangote de um cilindro de CO2 na sala dos cilindros,
a qual acabou sendo também inundada por CO2. Nesse momento, não havia ninguém no interior
desta sala.
2. CARACTERÍSTICAS DA PLATAFORMA P-19
A plataforma Petrobras 19 (P-19), de propriedade da empresa Petróleo Brasileiro S/A –
Petrobras, é uma instalação offshore semissubmersível (SS), de bandeira do Panamá, construída
em 1982 com a finalidade de operar como uma sonda de perfuração e convertida em unidade de
produção em 1997. A plataforma P-19 está localizada a 179 km da costa de Macaé, na Bacia de
Campos, no campo de Marlim, em lâmina d'água de 770 m de profundidade. Tem capacidade de
abrigar até 204 pessoas a bordo. A capacidade de produção média da plataforma é de 16.000 m³
por dia de óleo e 3.000.000 Nm³ por dia de gás.
2.1 Configuração do Sistema de Combate a Incêndio com CO2
O sistema fixo de combate a incêndio com CO2 (gás carbônico, ou dióxido de carbono) tem
como objetivo extinguir o fogo através de inundação total por gás inerte na área efetiva de risco.
Isso ocorre porque o CO2 diminui a concentração de oxigênio do ambiente, eliminando a
combustão. Em plataformas de petróleo, são empregados principalmente em locais nos quais o
15

uso de combate a incêndio por água não seria adequado, como salas contendo equipamentos
elétricos ou nos quais a utilização de água traria outros riscos, como o de inundação do local.
Conforme consta em Ficha com Dados de Segurança – FDS (até julho de 2023, esta ficha
era denominada FISPQ, Ficha de informações de segurança de produtos químicos), o dióxido de
carbono é um gás a pressão e temperatura normais, não inflamável, presente na atmosfera em
baixíssimas concentrações, comumente expressas em ppm (partes por milhão). Entretanto,
quando em concentrações mais elevadas, representadas em percentuais, apresenta riscos à
saúde humana, dos quais se destaca o efeito asfixiante. Em concentrações de 2 a 3% ocorrem
sintomas de asfixia, sonolência e vertigem; de 3 a 5% causa respiração acelerada, dor de cabeça
e ardência do nariz e garganta; até 15% causa dor de cabeça, excitação, excesso de salivação,
náuseas, vômito e perda da consciência. Em concentrações mais altas, causa rápida insuficiência
circulatória, podendo levar a coma e morte.
Dessa forma, a utilização de CO2 em sistemas de combate a incêndio é padronizada por
norma, como a NFPA 12 (Standard on Carbon Dioxide Extinguishing Systems), que estabelece
requisitos de projeto, dimensionamento, instalação, manutenção e operação desses sistemas, de
forma a atenderem o objetivo a que se destinam de forma segura. Esses sistemas são bastante
difundidos na indústria, pois as características e custos do CO2 o tornam adequado para uso
como agente extintor de fogo em sistemas de combate a incêndio, especialmente em locais
fechados e com equipamentos elétricos.
O sistema fixo de extinção de incêndio com CO2 da P-19 é composto por dois grupos de 60
cilindros de 45 kg, totalizando 120 cilindros de armazenamento; tubos coletores; válvulas de
cabeça de cilindro; válvulas direcionais; lâmpadas de sinalização; sirenes; bicos nebulizadores e
botoeiras de disparo (instaladas nas proximidades da área a proteger).
16

Este sistema cobre as seguintes áreas da P-19 – alguns deles permanentemente
habitados:
• sala de rádio;
• sala de telecomunicações;
• sala de controle de lastro;
• sala do gerador diesel de emergência;
• sala de equipamentos;
• sala dos carregadores de baterias;
• sala de controle central;
• sala de painéis essenciais;
• sala de controle dos turbocompressores;
• sala da desaeradora (fundo);
• salas de painéis nº 1, 2 e 3;
• sala da desaeradora (teto);
• sala dos motogeradores diesel auxiliares.
Existem, ainda, outras baterias, que totalizam 14 cilindros, que atendem a
compartimentos específicos, a saber: coifa da cozinha, casulo dos turbocompressores, casulo dos
turbogeradores e casulo do compressor booster.
Pode ser observada na Figura 1, parte das baterias de cilindros de CO2 da sala dos
cilindros da P-19. Conforme memória de cálculo do projeto de dimensionamento da central de
CO2, a sala dos motogeradores diesel auxiliares constitui a maior sala da plataforma atendida
pelo sistema de combate a incêndio com CO2, correspondendo ao acionamento de 60 cilindros,
ou seja, 2.700 kg (metade de capacidade do sistema de CO2).
17

Figura 1 – Foto parcial da sala dos cilindros de CO2.
De forma resumida, assim que há um acionamento externo (por sensibilização de
sensores de fogo ou fumaça, ou ainda acionamento de botoeira), os dispositivos de acionamento
do elemento iniciador do sistema instrumentado de segurança elétrico dos cilindros mestres
iniciam a descarga daquele grupo de cilindros, os quais são equipados com válvulas acionadas
por pressão. (válvulas piloto). Todos esses cilindros estão interligados por uma tubulação de
distribuição.
Para direcionar o fluxo de CO2, válvulas direcionais são responsáveis pelo alinhamento
entre a tubulação de distribuição e a área protegida. Essa válvula direcional possui um comando
elétrico composto por uma bobina solenoide com acionamento elétrico ou acionamento manual
local. Instalado no comando elétrico, há uma chave de posição (ZSH). Essas cabeças de comando
18

elétrico, instaladas nas válvulas direcionais, contam com uma micro switch elétrica com o
objetivo de confirmar a existência de comando para a direcional. Esse dispositivo é responsável
por sinalizar que existiu a movimentação do eixo de acionamento da cabeça de comando, que
pode ocorrer tanto com o comando elétrico quanto com o comando manual, diretamente no
dispositivo.
O documento de especificação técnica que determinou a filosofia de segurança da
plataforma P-19 indica que “em áreas fechadas, onde o risco de incêndio é constituído
predominantemente por equipamentos elétricos, serão protegidas por sistemas de inundação com
gás carbônico, especificados conforme NFPA 12, acionados manualmente quando o ambiente for
permanentemente assistido ou, em caso contrário, de forma automática por meios de detecção de
incêndio que comandarão a liberação do gás no ambiente afetado”.
Esse documento estabelece ainda que “a estocagem de gás dos sistemas de CO2 será
centralizada, e deverá ser dimensionada para atender o maior ambiente. Uma rede de distribuição
provida de válvulas direcionais permitirá que o gás seja descarregado somente no ambiente
solicitado. A estocagem de gás consistirá em uma bateria de cilindros de alta pressão pronta para
uso e uma outra, de mesma capacidade como reserva”.
Além disso, o documento estabelece a “necessidade de detecção confirmada (definida
como oriunda de pelo menos 2 detectores), para início da descarga de CO2 nas salas que não são
permanentemente habitadas ou por meio de comando manual, através de botoeiras
localizadas na parte exterior da sala. Já para as salas permanentemente habitadas, a descarga
deve ser iniciada somente por comando manual. A atuação automática poderá ser inibida sem
desativar a detecção de incêndio, que nesta situação passará a funcionar somente com a função de
alarmar. Os solenoides de comando das válvulas piloto e das válvulas direcionais deverão ser
normalmente desenergizadas, e os circuitos de comando deverão ter monitorização de linha
19

(continuidade e curto-circuito). A descarga de CO2 deverá ser possível por acionamento manual das
válvulas na bateria de cilindros de CO2. A descarga de CO2 deverá ser precedida por um sinal de
alarme sonoro, no interior da sala, que será acionado 20 (vinte) segundos antes da liberação do
gás. Cabe aqui destacar que, para a sala dos motogeradores diesel auxiliares, devido a sua
grande dimensão, o alarme é acionado 30 segundos antes da liberação do CO2” (grifo nosso).
2.2 Histórico de incidentes envolvendo sistema de combate a incêndio por CO2 nas
instalações da operadora
Em função do acidente em tela, esta ANP solicitou à Operadora um levantamento de
incidentes envolvendo sistema de CO2 em todas suas instalações desde 2018.
Esse levantamento apontou que, entre 2018 e 2022, foram registradas 67 ocorrências
envolvendo disparo indevido de CO2 em mais de 15 instalações diferentes.
Diante deste dado, infere-se que incidentes envolvendo disparo indevido de CO2 seriam
eventos conhecidos e comuns em plataformas dessa Operadora, comprovando que a ocorrência
de mais um disparo indevido de CO2, em P-19 não teria sido um caso isolado; contudo, dessa vez,
as consequências foram mais graves.
2.3 Configuração da Sala dos Motogeradores Diesel Auxiliares
A sala dos motogeradores diesel auxiliares (sala dos EMDs), é composta por quatro
motogeradores diesel idênticos, além de possuir uma monovia e uma pequena área de carga e
descarga. Entre os motogeradores, existe piso gradeado elevado, e indicação de uma das rotas
de fuga por um tapete de borracha de cor verde com setas brancas (Figura 2).
20

Figura 2 – Trecho de rota de fuga da sala dos motogeradores diesel auxiliares.
Na Figura 3, é apresentada uma imagem da planta baixa da sala.
Figura 3 – Trecho da planta baixa da sala dos motogeradores diesel auxiliares (Fonte: Petrobras).
21

Nesta sala, existem três conjuntos de alarmes visuais e audíveis de CO2 (composto por
autofalante e giroflex de cor vermelha), além de autofalante (boca de ferro) do alarme geral da
plataforma (Figura 4). No teto, existem vários aspersores de CO2 abrangendo toda a área.
Figura 4 – Imagem de aspersor de CO2 (à esquerda) e do conjunto de alarmes de CO2 e geral da plataforma
(à direita) na sala dos motogeradores diesel auxiliares.
A seguir serão apresentados a cronologia do acidente e os achados da investigação.
3. CRONOLOGIA DE EVENTOS
Nesta seção são apresentados os principais fatos relacionados ao acidente em questão,
com base nas oitivas realizadas durante a investigação e na documentação coletada.
A cronologia resumida de eventos relativos ao acidente é mostrada na Tabela 1.
Tabela 1 – Cronologia resumida dos eventos relacionados ao acidente na plataforma P-19.
Data Ações
15/08/2018 Emitida Especificação Técnica da lógica de acionamento de sistemas de CO 2 para toda

empresa.
27/06/2019 Aberta Gestão de Mudança para adequação de P-19 à Especificação Técnica da lógica de
acionamento de sistemas de CO2.
07/01/2021 Data efetiva da mudança, conforme documentação apresentada.
02/08/2022 Realização dos DDS (diálogos diários de segurança) nas respectivas equipes.
07:00h
22

02/08/2022 Emitida Permissão de Trabalho para limpeza industrial na sala dos cilindros de CO2 com uso
07:55h de lava jato, vassoura, lambaio e ferramentas manuais.
02/08/2022 Emitida Permissão de Trabalho para limpeza industrial na área de facilidades (sala dos
08:15h motogeradores diesel auxiliares) com utilização de máquina de lava jato e ferramentas
manuais.
02/08/2022 Emitida Permissão de Trabalho para remoção/ instalação de grade de piso em apoio a
08:50h limpeza geral na sala dos motogeradores diesel auxiliares e posterior caldeiraria dos
permutadores P-GE-514003D/P-GE-514103A (localizados na mesma sala).
02/08/2022 Acionamento do sistema de combate a incêndio com CO 2, direcionando o fluxo para a sala
09:34h dos motogeradores diesel auxiliares.
02/08/2022 Rompimento do mangote conectado a um dos cilindros de CO 2 na sala de bateria dos

09:34h cilindros, localizada no main deck, resultando em sua inundação com CO2.
02/08/2022 Comunicado no sistema de Intercom a ocorrência e tomadas as providências.

09:36h
02/08/2022 Constatado ausente no ponto de reunião da baleeira 03.

09:42h
02/08/2022 Enviada equipe de brigada para busca na sala dos motogeradores diesel auxiliares.
09:43h
02/08/2022 Equipe de brigada identifica a primeira vítima e aciona a equipe de socorristas.

09:45h
02/08/2022 Equipe de brigada resgata a segunda vítima e iniciam as tentativas de primeiros socorros,
09:46h com utilização de máscara de ar do próprio EPI.
02/08/2022 Equipe de socorristas continua prestando atendimento à primeira vítima.

09:48h
02/08/2022 Segunda vítima chega já consciente na enfermaria.

10:05h
02/08/2022 Geplat aciona apoio para o resgate aeromédico.

10:09h
02/08/2022 Resgate aeromédico na unidade marítima.

11:51h
02/08/2022 Constatação do óbito da primeira vítima pelo médico da equipe de resgate aeromédico.
12:12h
Importante registrar que, na madrugada de 03/08/2022, ocorreu novo acionamento do
alarme geral da plataforma, com sinal espúrio da válvula responsável pela inundação de CO2 do
compartimento da desaeradora da unidade (topo). Entretanto, não ocorreu disparo efetivo de
CO2 porque a bateria principal de cilindros estava descarregada após o acidente ocorrido no dia
23

anterior. A Operadora esclareceu em carta para essa Agência que não foi realizado o alinhamento
à bateria reserva de cilindros de forma proposital, visto que naquele momento não se tinha
informações técnicas ou diagnóstico do que teria ocorrido e levado ao disparo acidental de
02/08/2022.
4. ÁRVORE DE FALHAS DO EVENTO
A partir das informações coletadas durante a investigação realizada pela ANP, foram
determinados os fatores causais e as causas raízes do acidente. O método de investigação
utilizado foi o da árvore de falhas. Foram levantadas hipóteses para o acidente, que foram
descartadas ou confirmadas pelas informações coletadas. As causas raízes apontadas são
correlacionadas às falhas ou desvios do sistema de gestão do operador da instalação em relação
ao preconizado pelo Regulamento Técnico do Sistema de Gestão de Segurança Operacional
(RTSGSO), instituído pela Resolução ANP nº 43 de 2007, regulamento vigente aplicável às
instalações de produção e perfuração de petróleo e gás na data do incidente.
A técnica de investigação de árvore de falhas consiste em mapear todas as possíveis
causas que podem levar a um evento indesejado, permitindo a identificação das causas raízes.
A técnica permite que as organizações identifiquem e gerenciem riscos de forma mais
eficaz, melhorando a segurança e a confiabilidade do sistema.
24

Na Figura 5, é apresentada a árvore de falhas do evento elaborada pela comissão de investigação da ANP.
Figura 5 – Árvore de falhas do acidente.
25

Conclui-se que este acidente ocorreu devido a dois fatores causais, ou seja, ocorrências
ou condições indesejadas que, caso fossem eliminadas, evitariam a ocorrência do incidente ou
reduziria a sua severidade, a saber: (i) liberação indevida de CO2 na sala dos motogeradores
diesel auxiliares e (ii) permanência de pessoas na sala após alarme de liberação do CO2.
4.1 Fator Causal nº 1: liberação de CO2 na sala dos motogeradores diesel auxiliares por
acionamento espúrio do sistema fixo de CO2
A sala dos cilindros de CO2 da plataforma P-19 (Figuras 6 e 7) é um local com dois acessos
que não possuem portas, sem ventilação forçada e sua área é delimitada por venezianas, sem
paredes, ficando exposta, portanto, a uma grande taxa de umidade, uma vez que a instalação se
encontra em alto mar.
Figura 6 – Desenho parcial da planta baixa, foto de parte da sala dos cilindros de CO 2 onde pode-se ver ao
fundo o uso de veneziana (nota-se que o desenho indica com um ‘X’ as partes do compartimento que utilizam
venezianas ao invés de paredes de metal ou outro material que impeça a entrada de umidade).
26

Figura 7 - Foto da parte externa da sala de baterias de CO2.
Adicionalmente, informações obtidas nas oitivas apontaram que o piso dessa sala era
frequentemente lavado, com uso inclusive de lava jato, o que propicia a formação de névoa por
todo o ambiente.
Foi relatado em oitiva que as chaves micro switch das válvulas direcionais deveriam ser
substituídas a cada 5 anos, mas não foi apresentada documentação com essa diretriz.
Na Especificação Técnica do sistema de CO2 (rev. A de 15/08/2018), consta que
quinquenalmente deveria ser realizado teste de disparo, por equipe acreditada por certificadora,
verificando, entre outros itens, a abertura da válvula direcional e sua temporização.
Em relação aos componentes do sistema fixo de proteção contra incêndio com CO2 da P-19,
foi confirmado junto à Operadora da instalação que não há frequência específica para troca
desses solenóides, ou seja, esses são trocados somente por defeito/falha.
Em função da ocorrência do acidente, a Operadora encaminhou a válvula direcional XV-
5425029 para laudo pericial. Durante a inspeção e testes realizados, os peritos detectaram
(Figura 8) “indícios de penetração de umidade na caixa da cabeça de comando elétrico da válvula
direcional; sinais de oxidação nos terminais elétricos da micro switch; acúmulo de partículas
identificadas na face superior da micro switch da ZSH-5425029; e que a atuação momentânea do
27

sinal elétrico da ZSH-5425029 é suficiente para iniciar a sequência de disparo de CO2 no
compartimento dos motogeradores diesel auxiliares e que não existiram outras formas de
acionamento registradas”, chegando à conclusão de que “o estabelecimento de um curto-
circuito na micro switch de indicação de posição da cabeça de comando elétrico da válvula
ZSH-5425029 constitui hipótese válida provável para o acionamento involuntário do
sistema fixo central de combate a incêndio por CO2, com a consequente descarga e
inundação do compartimento dos motogeradores diesel auxiliares por CO2”.
Figura 8 – Imagens dos terminais elétricos e componentes internos da válvula direcional e micro switch
(Fonte: Operadora).
As normas e relatórios abaixo emitidos desde 1992 foram analisados, e em todas há a
necessidades de bloqueios para que não ocorra a injeção de CO2, quando há pessoas nas áreas e
um responsável técnico como Guardião do sistema bloqueado:
• NFPA 12/2022: Standard on Carbon Dioxide Extinguishing Systems
• Report NFPA 12 -- F97 ROP, pg. 42 1997
Norma ABNT NBR 12232 / 2015 - Execução de sistemas fixos automáticos de proteção
contra incêndio com gás carbônico (CO2) em transformadores e reatores de potência contendo
óleo isolante.
28

Ainda assim, restou constatado que no sistema em questão da Plataforma P-19, não foram
definidos os bloqueios mecânicos, elétricos e procedimentos de campo para as pessoas quando
realizavam trabalhos nas áreas de injeção de CO2.
4.2 Fator Causal nº 2: permanência de pessoas na sala após alarme de liberação do

CO2.
As instruções de segurança das Permissões de Trabalho relacionadas aos serviços a
serem executados na sala dos motogeradores diesel auxiliares e na sala dos cilindros de CO2 não
indicavam ações a serem tomadas em caso de liberação do CO2. Para essas atividades, o
procedimento da Operadora não exige elaboração de análise de riscos da tarefa, pois as
considera de baixo potencial.
Além disso, a Análise Preliminar de Riscos – APR da instalação não possui cenário
específico para casos de asfixia por CO2, nem cenário de escape e resgate de área inundada por
CO2. Entende-se que, por se tratar de sistema inserido na instalação para aumentar o nível de
segurança do processo, não faria sentido avaliar o risco de sua atuação espúria, uma vez que
ocorreria apenas em ações de emergência, desde que esse sistema tivesse sua confiabilidade
garantida.
No decurso da investigação, ficou constatado que os trabalhadores da plataforma não
tinham conhecimento suficiente sobre o alarme de CO2, conhecendo mais a fundo apenas o
alarme de emergência da plataforma.
Cabe aqui ressaltar que, por projeto, na lógica dos alarmes da P-19, o alarme de CO2 é
acionado em conjunto com o alarme de emergência da plataforma, o que pode ter confundido as
pessoas que se encontravam na sala dos motogeradores, treinadas para aguardar, quando do
acionamento do alarme de emergência, as orientações do sistema de comunicação interno
29

(Intercom/ “boca de ferro”) para então seguirem pela rota de fuga mais segura até o respectivo
ponto de encontro.
Também ficou constatado que a porta de entrada da sala dos motogeradores auxiliares
não possuía sinal de aviso de potencial presença de CO2 e tampouco sinalização de possibilidade
de morte por asfixia por CO2, conforme recomendado pela NFPA 12. Por depoimento, foi
confirmado que alguns dos trabalhadores não sabiam do risco de asfixia por CO2 ao adentrar em
alguns ambientes protegidos por este sistema.
5. HIPÓTESES DESCARTADAS E INCONCLUSIVAS
Durante o processo de investigação, foram levantadas diversas hipóteses que poderiam
ter ocasionado o acidente em tela. Contudo, algumas dessas hipóteses não foram confirmadas
em documentos ou durante as entrevistas. Nos casos em que não foi possível descartar a
hipótese, as classificamos como hipóteses inconclusivas.
5.1 Hipóteses descartadas:
Em relação à hipótese de acionamento indevido do sistema de CO2 pela sala de controle,
nos registros de comandos, não havia evidência do acionamento de botoeira virtual do sistema
de CO2 por operador da sala de controle, descartando assim essa hipótese.
Com relação à hipótese de acionamento de detectores da sala dos motogeradores diesel
auxiliares, não foram encontrados quaisquer registros de acionamento de detectores de
fogo/fumaça da sala dos motogeradores diesel auxiliares, tendo sido descartada essa hipótese.
Em relação à hipótese de acionamento de botoeira da sala dos motogeradores diesel
auxiliares, não foram encontradas evidências de acionamento de qualquer botoeira física da sala
30

dos motogeradores diesel auxiliares, encontrando-se intacta, descartando assim essa
possibilidade.
Com relação à hipótese de falha do PLC (Controlador Lógico Programável), as evidências
obtidas mostram que o painel estava funcionando corretamente durante todo o período anterior
ao acidente, permanecendo assim após, descartando assim a possibilidade de falha.
5.2 Hipóteses inconclusivas:
Durante inspeção no local e com base nas imagens obtidas, restou constatado que havia
obstáculos em rota de fuga da sala dos motogeradores diesel auxiliares. Especificamente em
relação à rota de fuga, sinalizada no piso elevado da sala por um tapete de borracha com fundo
verde e setas e listras brancas, havia na rota desnível entre duas áreas da sala (Figura 9), o que
poderia durante uma tentativa de escape do local, provocar a queda de uma pessoa, dificultando
ou até impedindo sua fuga.
Figura 9 – Desnível em rota de fuga na sala dos motogeradores diesel auxiliares.
31

Importante aqui destacar que a vítima fatal foi localizada muito próxima a este desnível.
Contudo, não é possível afirmar que essa vítima tenha tropeçado nesse desnível e caído no local.
Em relação à resposta a emergência, considerando os depoimentos, foi relatado que, logo
após o resgate da primeira vítima para local seguro, quando da chegada da equipe de socorristas,
não foram trazidos cilindro de oxigênio e máscara de respiração de imediato, e sim com certo
atraso, mas que foi utilizado equipamento para monitorar os sinais vitais, o qual não registrava
qualquer reação da vítima. Assim, não há evidências materiais que comprovem que a vítima
estava viva quando do seu resgate e que os procedimentos adotados pela equipe de socorristas
possam ter agravado a situação e, como consequência tirado alguma chance de sobrevivência.
Por esse motivo, não foi apontado fator causal ligado à resposta a emergência.
6. CAUSAS RAÍZES
Após análise de todas as circunstâncias envolvidas no acidente e dos documentos
solicitados e entrevistas realizadas, a equipe de investigação concluiu que ocorreram cinco
causas-raiz, ou seja, falhas do sistema de gestão que possibilitaram a ocorrência ou a existência
dos fatores causais do incidente investigado.
As causas-raiz, associadas a um ou mais fatores causais, serão apresentadas a seguir.
6.1 Causa raiz nº 1: Falha em projeto
A Operadora da Instalação havia constituído em 2018 um grupo de trabalho para avaliar
a adequação do sistema fixo de CO2 de suas plataformas, considerando a versão mais recente da
norma NFPA 12 (Standard on Carbon Dioxide Extinguishing Systems), a qual exige que, em locais
com possibilidade de presença de pessoas atendidos por sistema de CO2, uma segunda
verificação seja realizada para, somente após essa ação, acionar a liberação do gás.
32

Como resultado desse grupo de trabalho, foi estabelecida Especificação Técnica contendo
instruções para o estabelecimento da lógica de acionamento do sistema de CO2 com “double
check” (dupla verificação), aplicável a todas as plataformas da Operadora.
Conforme esse documento, para que o sistema de combate a incêndio com CO2 fosse
acionado, seria necessário confirmação local de fumaça ou incêndio através de detectores locais
e/ou por acionamento manual de botoeira e posterior confirmação feita em tela de supervisório
pelo operador da sala de controle. Após tais confirmações, seria realizado o acionamento de
botoeira virtual e o disparo de alarme, a partir do qual seria iniciada a contagem do tempo para
a liberação do CO2 no local desejado.
Assim, para a plataforma P-19, foi criada Gestão de Mudança para alteração da lógica do
acionamento do sistema de CO2, passando a ser necessária uma dupla verificação. Em seu plano
de ações, constava a ação “Lógica nova descarregada no PLC de F&G da P-19, com o auxílio do
ECOSMAN. O mesmo fez testes de acionamento nas botoeiras, constatando seu total
funcionamento”, concluída em 27/12/2019 e aprovada em 22/01/2020.
Conforme verificado no log da sala de controle de P-19 (Figura 10), não houve
acionamento de qualquer sensor ou botoeira local ou virtual no momento do acidente, indicando
que houve alguma falha na implementação da gestão de mudança.
33

Figura 10 – Imagem completa da tela da sala de controle com os logs de alarmes da P-19 em
02/08/2022 (Fonte: Operadora).
34

Às 09h34min05s há indicação de disparo local CO2 na zona 604, referente à sala dos
motogeradores diesel auxiliares. Às 09h34min35s há indicação do CO2 disparado na zona 604.
Fica então evidenciado que houve o intervalo de 30 segundos entre o acionamento (espúrio) do
sistema de combate a incêndio com CO2 na zona 604 e o início da inundação do local.
Foi confirmado em reunião com a Operadora que a investigação interna constatou que
houve um erro na implementação da lógica do sistema de acionamento do CO2, sendo percebido
que ao acionar a micro switch, a válvula direcional e a botoeira virtual seriam acionadas ao
mesmo tempo com um único comando. É sabido que, pela lógica correta de acionamento do
sistema, esse comando eletromecânico deveria abrir apenas a válvula direcional, sendo que a
válvula da cabeça dos cilindros somente deveria ser aberta após a confirmação pela sala de
controle e acionamento da botoeira virtual, após contagem do tempo.
Contudo, quando da implementação da gestão de mudança, por erro técnico, foi dada a
essa micro switch função de acionar tanto a válvula direcional quanto a botoeira virtual e,
consequentemente, a abertura da válvula da cabeça dos cilindros.
O regulamento técnico do sistema de gerenciamento da segurança operacional das
instalações marítimas de perfuração e produção de petróleo e gás natural estabelece, em sua
prática de gestão nº 10, que o Operador deverá “Atender aos critérios de projeto e considerar as
normas, os padrões da indústria e boas práticas de engenharia no planejamento do projeto,
construção, instalação e desativação da Instalação”.
Cabe observar que apesar de ter sido informado que foi realizado o teste na botoeira após
alteração da lógica, a boa prática para mudanças de lógica no PLC é fazer o loop test completo,
ou seja, testar o iniciador, executor e atuador do sistema instrumentado de segurança ao mesmo
tempo, e não de forma parcial.
35

Dessa forma, resta constatado ausência de sistema formal de verificação e aprovação
do código e, principalmente, falha no procedimento de teste do sistema, antes da efetiva
implementação da modificação de sistema crítico de segurança, contrariando o requisito
10.2.1 do RTSGSO.
A estrutura da Plataforma P-19 foi construída em 1982 como uma Sonda de Perfuração,
tendo sido convertida em 1997 em Plataforma de Produção. Durante o projeto de conversão,
conforme documentação apresentada pela Operadora, o sistema de combate a incêndio com CO2
foi desenvolvido com base na norma NFPA-12 vigente em 1997. Naquele período, algumas
questões de segurança para esse sistema ainda não eram requisitos da NFPA. Caso disso é a
ausência de dispositivo de lockout para o banco de baterias de CO2. Esse requisito passou a ser
exigido pela NFPA 12 a partir dos anos 2000.
Em relação ao projeto do sistema de combate a CO2 de P-19, a sala da bateria de CO2 é
abrigada, porém não tem paredes e nem portas, sendo separada dos demais ambientes da
plataforma por venezianas, permitindo assim a entrada constante de umidade em seu interior,
o que pode ter ocasionado a aceleração da corrosão na micro switch ZSH 5425029.
Pelo projeto da plataforma P-19, em caso de acionamento do sistema de combate a
incêndio com CO2, os alarmes de emergência e do acionamento do CO2 foram comissionados para
tocarem ao mesmo tempo.
Além da sobreposição sonora dos alarmes, a localização dos alarmes visuais (giroscópios)
(Figura 11) de CO2 dificultava e, em alguns pontos, a depender do local dentro da sala onde a
pessoa se encontrava até impedia a visualização. Isso porque a sala dos motogeradores diesel
auxiliares contem grande quantidade de equipamentos e estruturas - quatro grandes
motogeradores diesel; dutos de ar; monovia, vigas, entre outros.
36

Figura 11 – Imagem dos equipamentos que compõem os alarmes de CO2 (vermelhos) e de emergência na
sala dos motogeradores diesel auxiliares da P-19.
prática de gestão nº 10, que o Operador deverá “considerar, na fase de projeto, a redução da
exposição humana às consequências de eventuais falhas de equipamentos ou sistemas, que
porventura possam ocorrer durante a operação” e “fatores humanos e relativos ao ambiente de
trabalho sejam levados em consideração na fase de projeto da Instalação e em suas revisões
subsequentes nas fases de projeto, construção, instalação e desativação”. O regulamento também
estabelece que o Operador deve se certificar da adequação e disponibilidade dos recursos de
resposta a emergência.
Dessa forma, resta constatado que houve falha no projeto da sala dos cilindros de CO2,
no posicionamento e lógica de acionamento dos alarmes, com a sobreposição dos alarmes
de emergência e de CO2, assim como a má localização do alarme visual, contrariando assim os
requisitos 10.3 “a” e “b”, do RTSGSO.
37

6.2 Causa raiz nº 2: Falha em inspeção, teste e manutenção preventiva.
O laudo de avaliação técnica da válvula direcional XV-5425029 apontou sinais de
oxidação nos terminais elétricos e acúmulo de partículas na face superior da micro switch da
ZSH-5425029.
Foi verificado durante a investigação, que não existia lista de tarefa de manutenção (LTM)
para estes componentes, e tampouco eram realizadas inspeções por profissionais com
qualificação técnica, como técnicos de instrumentação.
No lugar disso, eram executadas rotinas apontadas em listas de verificação (LV) com
verificação e inspeção visual apenas da integridade das mangueiras dos cilindros, dos pesos
destes e testes de acionamento local das válvulas, com inibição da liberação do CO2 (Figura 12).
Ficou constatado, tanto por oitivas quanto por documentos obtidos junto à Operadora, que tais
verificações eram realizadas por técnicos de segurança. que realizavam inspeções visuais dos
cilindros de CO2 e de toda tubulação do sistema fixo de CO2, além de verificar a integridade dos
magotes e das cabeças de atuação.
38

Figura 12 – Imagem da lista de verificação trimestral de banco de baterias da Instalação (fonte

Operadora).
Durante as oitivas, foi confirmado que as inspeções dos equipamentos do sistema de
combate a incêndio fixo com CO2 eram realizadas pelos técnicos de segurança. Também foi
informado em oitiva que era de conhecimento da gestão que, a partir de 2020, por exigência da
Marinha do Brasil, a inspeção do sistema deveria ser realizada por empresa especializada
credenciada pela Sociedade de Classe. Ou seja, a inspeção dos componentes do sistema fixo de
combate a incêndio deveria ser realizada por 3ª parte.
Conforme informado pela Operadora da Instalação, as válvulas eram trocadas somente
por falha do componente após acionamento ou tentativa de acionamento, e não por identificação
de defeito após inspeção.
39

prática de gestão nº 13 estabelece que o Operador deverá “Estabelecer planos e procedimentos
para inspeção, teste e manutenção, a fim de buscar a integridade mecânica dos seus sistemas,
estruturas, Equipamentos e Sistemas Críticos de Segurança Operacional. Tal documentação deverá
estar alinhada com recomendações dos fabricantes, normas, padrões e boas práticas de
engenharia”.
Dessa forma, resta constatado que houve falha nas inspeções, pois as instruções eram
incompletas e insuficientes para detecção de problemas nos componentes das válvulas do
sistema de CO2, não atendendo assim boas práticas de engenharia, contrariando o requisito
13.2.1 do RTSGSO. Além das instruções de trabalho serem incompletas e insuficientes, eram
realizadas por técnicos que não possuem competência técnica para tal.
6.3 Causa raiz nº 3: Falha na avaliação de perigos na Permissão de Trabalho.
A prática de gestão nº 17 do RTSGSO estabelece que “o Operador da Instalação deverá
estabelecer um sistema de permissão de trabalho e outros meios de controle para gerenciar
atividades em áreas de risco. Na elaboração deste sistema deverá considerar: a necessidade da
análise prévia das condições de segurança para execução de tarefas, bem como dos perigos
existentes no ambiente de trabalho”.
Cabe aqui destacar que a importância da Permissão de Trabalho (PT) está em garantir a
segurança dos trabalhadores e a integridade do meio ambiente frente aos riscos da tarefa a ser
executada, estabelecendo medidas preventivas e de controle. De acordo com procedimento da
Petrobras, existem tipos diferentes de PT. A PTRE é um tipo específico de PT de uma das tarefas
que estavam sendo executadas no momento do acidente, que a Operadora define como
‘Permissão para Trabalho Rotineiro Específico’. A diferença entre a PT e a PTRE é que enquanto
a PT é uma autorização dada por escrito para execução de trabalhos de manutenção, montagem,
desmontagem, construção, inspeção e reparo de equipamentos, sistemas ou estruturas (piso,
40

guarda-corpo, etc) perfeitamente definidos e delimitados, a serem realizados nas áreas
operacionais, a PTRE é emitida para trabalho frequente, realizado de forma sistemática, em
equipamentos, sistemas e estruturas previamente definidas e cujo risco não se altera ao longo
do tempo.
A Permissão de Trabalho do local onde houve vítimas do acidente indicava que ocorreria
serviço de limpeza da sala dos motogeradores diesel auxiliares. Ao prestarem depoimentos,
testemunhas informaram que essa atividade iniciou na tarde do dia 01/08/2022, mas que,
devido à necessidade da retirada de trechos de pisos elevados gradeados, a atividade de limpeza
não foi concluída, tendo sido postergada para o dia seguinte. Este fato foi comprovado por PTRE
6430 emitida em 31/07/2022 e utilizada em 01/08/2022 (Figura 13).
Figura 13 – Trecho da PTRE 6430 de tarefa similar à do dia do acidente na sala dos motogeradores nos
dias anteriores ao acidente.
De posse da informação da necessidade de retirada dos pisos gradeados, foi aberta PT a
frio n° 6510 em 02/08/2022 (Figura 14) para que fosse realizada a retirada dos pisos gradeados
41

da sala dos motogeradores diesel auxiliares. Nota-se que, diferentemente da permissão do dia
anterior, esta não é uma PTRE, e sim uma PT – apesar de ambas serem para trabalho a frio.
Figura 14 – Trecho da PT 6510 da tarefa da sala dos motogeradores onde houve vítimas.
Concomitantemente a essas atividades, ocorria na sala dos cilindros de CO2 (MD805 –
Cilindros de CO2) atividade de limpeza, conforme PTRE 6516 de 02/08/2022 (Figuras 15 e 16),
sendo realizada por outros dois funcionários da empresa Engeman (jatista e auxiliar de jatista).
Quando do acionamento espúrio do sistema de CO2 na sala dos motogeradores diesel auxiliares,
ocorreu rompimento do mangote de um dos cilindros, levando a inundação por CO2 também na
sala dos cilindros, não habitada no momento.
42

Figura 15 – Trecho da PTRE 6516 da tarefa na sala da bateria de cilindros de CO 2.
Figura 16– Trecho da PTRE 6516 da tarefa na sala da bateria de cilindros de CO 2.
A PTRE emitida para a realização do serviço de limpeza do piso da sala dos
motogeradores diesel auxiliares e a PT para remoção/recolocação dos pisos gradeados não
43

possuíam análise de perigos realizado por equipe multidisciplinar (análise de perigo nível 2,
APN-2, conforme procedimento da Operadora), uma vez que o sistema de gestão da Operadora
considera essas atividades de baixo risco, entendendo não ser necessário elaborar análise de
risco.
De acordo com procedimento da empresa (Figura 17), essa análise mais elaborada (APN-
2) só seria necessária caso uma pergunta da lista de verificação fosse marcada como “sim” (lista
denominada como APN-1, análise de perigos nível 1, pela Operadora). Todavia, esta lista/análise
APN-1 não foi realizada, apesar do tipo de PT selecionada no procedimento da empresa ter sido
a Permissão para Trabalho ordinária, que exigia por procedimento a APN-1.. Isso demonstra que
a falta de avaliação de perigo não foi originada somente pelo emissor da PT, mas pelo grupo que
o planejou (geralmente, o planejamento das PTs é feito por gestores da plataforma no dia
anterior ao serviço, em uma reunião que analisa a simultaneidade das tarefas). Não foi informado
o motivo da ausência da APN-1, todavia, interpreta-se que este mesmo serviço já era considerado
como rotineiro e, portanto, necessitaria somente de uma PTRE – e a emissão de PTRE no dia
anterior para o mesmo serviço demonstra isso.
Figura 17 – Trecho do procedimento de permissão de trabalho da Operadora.
Abaixo, observa-se do trecho do anexo deste procedimento de permissão de trabalho
(Figura 18) que PTRE é utilizado para trabalhos rotineiros frequentes – sendo isto um indício da
44

“institucionalização” da frequência de limpeza de óleo vazado dos motogeradores auxiliares e a
frequência de limpeza das salas de bateria de CO2. Esta frequência será discutida na seção sobre
desvios e fatores contribuintes deste acidente.
Figura 18 - Anexo do procedimento de permissão de trabalho da Operadora.
Com isso, a PT emitida para o serviço na sala dos motogeradores possuía somente a lista
de verificação abaixo (Figura 19):
Figura 19 – Trecho da lista de verificação da permissão de trabalho da Operadora.
Apesar de estas atividades serem de baixo risco, o local de sua realização também deve
ser considerado quando da avaliação dos perigos envolvidos.
Sobre o local ou ambiente, outro trecho observado nesta PT é que existe uma resposta
negativa do emitente à pergunta “necessário verificação de presença de gás inflamável ou
tóxico?”, conforme Figura 20.
45

Figura 20 – Trecho da lista de verificação da permissão de trabalho da Operadora.
Nota-se que a pergunta direciona o emissor a pensar somente em gases que possam estar
no início do serviço no ambiente e não existe pergunta que faça o emitente pensar na
possibilidade de mudança de condições ou na presença de CO2 – que, de fato, não é inflamável,
nem tóxico – mas é letal por ser asfixiante em alta concentração. Ao verificar o procedimento de
permissão de trabalho da Operadora, verificou-se que este campo é descrito de forma ambígua,
ou seja, não são feitas orientações claras sobre o preenchimento do campo “análise ambiental”
neste procedimento. O mais próximo que se pôde localizar sobre o tema segue no trecho abaixo
(Figura 21):
Figura 21–Trecho do procedimento de permissão de trabalho da Operadora.
46

Além disso, mesmo sendo certo que pelo tipo de PT emitida, a identificação de perigos do
tipo APN-1 deveria ter sido realizada, repara-se que a APN-1 (Figura 22) também não possui
qualquer pergunta sobre o risco de a tarefa ser executada em sala protegida por sistema fixo de
combate a incêndio por gás asfixiante e/ou CO2. A figura abaixo mostra as perguntas que
deveriam ter sido analisadas no preenchimento da APN-1.
47

Figura 22 – Ficha para preenchimento da análise preliminar de perigos nível 1 (APN-1), esta é um anexo
do procedimento de PT da operadora na data do acidente.
A sala dos motogeradores diesel auxiliares da P-19 possui uma série de equipamentos e
estruturas em seu interior, dentre os quais quatro motogeradores diesel de grande porte, sendo
protegida por sistema de combate a incêndio por CO2.
48

Durante as oitivas, foi relatado que em algumas plataformas da mesma Operadora,
quando da execução de atividades em locais protegidos por sistema de combate a incêndio com
CO2, a ativação desse sistema é inativada até a conclusão do serviço a ser realizado.
Dessa forma, resta constatado que o sistema de permissão de trabalho implementado
pela operadora levou à falha na análise prévia dos perigos existentes no ambiente de
trabalho, contrariando assim o requisito e 17.2.1.3 do RTSGSO.
6.4 Causa raiz nº 4: Falha na comunicação dos riscos.
A comunicação adequada dos riscos envolvidos nas atividades de limpeza em locais
protegidos por sistema fixo de CO2 e contendo equipamentos elétricos sensíveis é fundamental
para garantir a segurança dos trabalhadores e a integridade dos equipamentos. Existem diversas
falhas na comunicação que podem colocar em risco a vida das pessoas e o patrimônio das
empresas.
Uma das principais falhas na comunicação do risco ocorrida neste acidente, foi a falta de
sinalização na porta de entrada de ambientes protegidos por CO2 (Figura 23), com placa de aviso
de risco de morte por asfixia, conforme recomendado pela NFPA 12 (Figura 24). Cabe observar
que essa sinalização é independente de resultado de análise de risco, a sinalização é normativa
e teria ajudado na percepção de risco dos trabalhadores, tanto emitentes da PT quanto
executores. Por depoimento, foi confirmado que alguns dos trabalhadores não sabiam do risco
de asfixia por CO2 ao adentrar em alguns ambientes protegidos por este sistema.
49

Figura 23 – Porta de entrada da sala de motogeradores, sem placa de sinalização.
Figura 24 – Placa que deve ser colocada na entrada das salas protegidas por CO 2, conforme NFPA 12.
Além disso, a falta de comunicação também ocorreu no planejamento dos serviços de
limpeza da sala protegida por CO2 (sala dos motogeradores) e da sala de bateria de cilindros de
CO2. Entende-se que, talvez, não devessem ocorrer ao mesmo tempo, o que deveria ter sido
discutido na reunião de simultaneidades, geralmente realizada um dia antes dos serviços das
PTs serem executados.
Diante dos fatos apresentados, resta constatado que não houve adequada
comunicação/sinalização dos riscos envolvidos nas atividades realizadas quando da ocorrência
do acidente, através de mecanismos de comunicação recíproca e sinalização considerada em
50

códigos e padrões relativos a aspectos de ambiente de trabalho e fatores humanos contrariando
o requisito 4.2.1.1 RTSGSO (“ Nas fases de projeto, construção, instalação e desativação,
deverão ser identificados e considerados códigos e padrões relativos aos aspectos de
ambiente de trabalho e de fatores humanos”).
Apesar da ausência de comunicação da equipe estar relacionada também à falha de
identificação dos perigos, descrito na causa raiz anterior, foi também determinante para a falha
na identificação deste perigo a ausência de sinalização já indicada em norma NFPA 12. Se esta
existisse, os emitentes da PT e os executores da tarefa teriam identificado que a sala era
protegida por CO2 e possuía risco de morte para quem a adentra.
6.5 Causa raiz nº 5: Falha em treinamento de conscientização (briefing de segurança)
As entrevistas realizadas apontaram que há falha ou a falta de treinamento e instruções
claras sobre sistema de combate a incêndio por CO2 e seus alarmes. Ficou constatado que alguns
trabalhadores não tinham conhecimento suficiente sobre o alarme de CO2, conhecendo mais a
fundo apenas o alarme de emergência da plataforma (provavelmente devido aos exercícios
simulados).
Durante a investigação desta causa raiz, foram considerados quatro níveis de
treinamento relacionados no RTSGO: o treinamento de conscientização (conhecido como
“briefing” de chegada na plataforma), treinamento geral (o que incluiria possíveis problemas na
qualidade do treinamento mandatório CBSP – curso básico de segurança de plataforma), e o
simulado de emergência (que é fortemente dependente da qualidade do plano de resposta a
emergência). Importante aqui constar que, nos simulados de emergência realizados pela
Operadora em P-19, era ressaltado para todos a bordo sobre a necessidade de aguardar as
instruções transmitidas pelo sistema interno de comunicação (boca de ferro) para que fosse
estabelecida a rota mais segura até os respectivos pontos de encontro.
51

Durante as oitivas, foi informado pelos trabalhadores que estavam no interior da sala dos
motogeradores auxiliares que, ao escutarem o alarme geral da plataforma, ficaram aguardando
as instruções da “boca de ferro”. Contudo, nesse curto período de aguardo dentro da sala,
perceberam o início da inundação pelo CO2 (que chamaram de fumaça branca).
A prática nº 3 do RTSGSO estabelece que o Operador deverá considerar treinamento de
conscientização para toda a força de trabalho, bem como para visitantes, sempre que houver
ingresso em instalações cobertas pelo regulamento. Apesar do briefing de segurança ser
bastante amplo, espera-se que esse treinamento tenha, como parte de seu conteúdo,
informações sobre todos os tipos de alarmes da plataforma, além de instruções claras para as
ações a serem adotadas para cada um.
Sobre os exercícios simulados, há de se observar que apesar de serem programados de
forma a contemplar todos os cenários previstos no Plano de Emergência da Instalação, devendo
refletir os cenários de grandes emergências dos estudos de risco análise de risco, também há a
previsão no RTSGO de que deve ser estabelecido um programa de treinamento que contemple
os procedimentos de alarme e evacuação.
Assim, resta constatado que houve falha em treinamento de conscientização para a
força de trabalho, contrariando o requisito 3.3.5.1 do RTSGSO, assim como falha no
treinamento quanto aos procedimentos de alarme e evacuação, contrariando o requisito
14.3.2 do RTSGSO. Não foi possível constatar evidências quanto à qualidade do treinamento
geral (CBSP).
52

7. FATORES HUMANOS
Os Fatores Humanos podem ser definidos como fatores que podem influenciar o que as
pessoas fazem. Eles incluem fatores organizacionais, tecnológicos e individuais – também
conhecidos como fatores influenciadores de desempenho. Para entender como tais fatores
influenciaram a ocorrência do acidente, os investigadores da ANP seguiram boas práticas de
investigação de fatores humanos emanadas pela associação internacional de óleo & gás1,
incluindo a definição da equipe de investigação, planejamento das oitivas, coleta de evidências,
análise e discussão sobre os resultados e recomendações.
Fazer esta investigação com diretivas de fatores humanos significou que todas as vezes
que os investigadores se depararam com qualquer indício de erro humano, eles não se
satisfizeram a tê-lo como causa e sim a investigar ainda mais profundamente para entender o
contexto que levou àquelas decisões e ações, baseando suas conclusões em evidências.
Entender o contexto em que uma equipe estava inserida é, portanto, entender os fatores
humanos. . Além de todo o contexto já descrito nos capítulos anteriores, faz-se necessária uma
complementação sobre alguns dados demográficos e o clima organizacional em que os
funcionários estavam inseridos.
A plataforma estava inserida, no momento do acidente, no campo de Marlim, que passou
por renovação do contrato de concessão com o órgão regulador ANP, em 2015, no qual foi
estabelecido projeto de revitalização do campo, com a troca de sete plataformas antigas (acima
1
Relatório IOGP 621 - Desmistificando Fatores Humanos: Construindo confiança na investigação de Fatores Humanos,
disponível em https://www.iogp.org/bookstore/product/iogp-report-621prt-desmistificando-fatores-humanos-
construindo-confianca-na-investigacao-de-fatores-humanos-demystifying-human-factors-building-confidence-in-
human-factors-investigation-portugues/ , acessado em 21/03/2023
53

da vida útil de projeto e em estado avançado de degradação mecânica) pela instalação de duas
novas plataformas de produção2 : a FPSO Anita Garibaldi e FPSO Anna Nery.
A plataforma estava, portanto, prevista para entrar em processo de descomissionamento.
Havia uma previsão comunicada em 2022 da Petrobras à ANP sobre o envio do plano de
descomissionamento da instalação (PDI) no primeiro trimestre de 2023. Cinco meses após o
acidente, com a plataforma ainda interditada, a Petrobras comunicou que decidiu iniciar o
processo de descomissionamento. Todavia, até a data da publicação deste relatório, ainda não
havia protocolado o pedido oficial de descomissionamento junto ao órgão regulador. Cabe
observar que foi declarado em reunião que não existe processo de venda da plataforma e a
previsão é que seja sucateada. O processo de descomissionamento dura aproximadamente entre
18 a 24 meses, depende da permanência de pessoas a bordo para procedimentos de
despressurização e limpezas de poços e linhas, o que faz com que o sistema fixo de CO2
permaneça necessário.
Além disso, em 2021 a Petrobras anunciou na mídia a tentativa de um processo de venda
de 50% de participação nas concessões do campo de Marlim do campo, onde a plataforma P-19
se encontra – todavia no mesmo ano, houve o anúncio, também na mídia, da desistência da venda
por parte da Petrobras3 - este processo não chegou a ser oficializado junto ao órgão regulador
ANP. Todavia, como mencionado anteriormente, a plataforma continuou em processo de
descomissionamento, com substituição desta por plataformas novas.
2
Plano atual de desenvolvimento do Campo de Marlim: https://www.gov.br/anp/pt-br/assuntos/exploracao-e-
producao-de-oleo-e-gas/gestao-de-contratos-de-e-p/fase-de-producao/pd/marlim.pdf
3
Notícia na mídia da desistência do processo de venda, disponível em https://petronoticias.com.br/petrobras-volta-
atras-em-processo-de-venda-e-mantera-marlim-em-seu-portfolio/
54

Cabe observar que, em processos de venda e descomissionamento de plataformas, seja
por anúncio formal ou da mídia, é sabido que a força de trabalho passa a perceber o declínio de
recursos e que precisa procurar uma outra plataforma ou outro local de trabalho para solicitar
a transferência. Apesar dos funcionários Petrobras possuírem certa estabilidade, o processo de
escolha e transferência é desgastante e com pouco suporte organizacional. Cabe acrescentar que
a força de trabalho destas plataformas descomissionadas no campo de Marlim não pode ser
aproveitada nas plataformas novas a serem instaladas por estas novas serem apenas duas
substituindo algumas plataformas (ou seja, não haveria espaço físico para todos os
trabalhadores). Outro motivo é que essas novas plataformas são afretadas (casos em que a
operadora da instalação não é a mesma empresa da Operadora da Concessão e a maioria dos
funcionários em regime de embarque são da operadora da instalação).
Outras informações gerais e demográficas sobre os funcionários da plataforma que
podem ser relevantes: a plataforma possuía no dia do acidente 156 tripulantes, sendo todos
brasileiros que possuem o Português como primeira língua. A plataforma possuía 148 homens e
8 mulheres. Havia 119 contratados a bordo, e 37 eram funcionários próprios da Petrobras.
Destes, faziam parte a equipe de liderança composta por 1 GPLAT (Gerente de plataforma), 1
COPROD (coordenador de produção), 1 COEMB (coordenador de embarcação), 1 COMAN
(coordenador de manutenção), 2 Supervisores de produção, 2 supervisores de elétrica e
instrumentação e 1 supervisor de mecânica. Esta plataforma possuía na data do acidente o posto
o operador de sala de controle (denominado como P1) trabalhando de forma remota
(controlando o supervisório do escritório em Macaé). Na data do acidente o operador de
facilidades ainda operava na plataforma, e somente após o acidente passou a ser também
remoto. Parte do planejamento de permissão de trabalho (PT) era feita em terra, em uma célula
de planejamento chamada CPP (célula de planejamento e programação), esta carrega as PTs no
sistema APLAT, que é o módulo de administração de plataforma, e só então passa por análise da
55

equipe de bordo. A emissão de PTs era dividida por zonas da plataforma: a equipe responsável
pela emissão de PTs na sala de motogeradores auxiliares era a equipe de manutenção, e a equipe
responsável pela emissão de PTs na sala de cilindros de CO2 era a equipe de embarcação. A
equipe de socorristas era composta pelo técnico de enfermagem (funcionário Petrobras, que
fazia cobertura de férias, ou seja, não era um funcionário fixo da P-19 e socorristas da área de
hotelaria. O líder da equipe de socorristas relatou não ter dormido bem na noite anterior ao
acidente, por ter tido pressentimento negativo. Todavia, cabe relatar que há indícios de
sobrecarga de trabalho deste profissional, uma vez que além de desempenhar as funções
determinadas no contrato como técnico de enfermagem, ainda possuía a função de fiscalizar a
equipe de hotelaria. Houve relatos de falta de membros da equipe de liderança durante a
pandemia. Houve relatos que todos tinham conhecimento que os simulados de emergência eram
realizados aos sábados. O briefing de segurança completo não precisa ser realizado a partir do
segundo embarque na plataforma. Há conhecimento da gestão da empresa de que existem salas
constantemente habitadas protegidas por sistema fixo de CO2 (após o acidente a empresa dispôs
de máscaras nestas salas).
Ao analisar este contexto e os fatores influenciadores de desempenho através de uma
classificação reconhecida pelo mercado (mais informações no Anexo I), chegou-se à conclusão
de que a quantidade de fatores organizacionais foi maior que a de fatores tecnológicos e
individuais, como pode ser visto no gráfico abaixo (Figura 25).
56

Figura 25 – Fatores influenciadores de desempenho.
De acordo com esta classificação foi observado ainda, que dentre os fatores
organizacionais, os mais frequentes foram: falha no projeto; alocação inadequada de tarefas e
controle inadequado de qualidade. A explicação de como cada fator foi classificado e como esses
resultados podem ser usados em projetos e análises de risco, estão dispostos no Anexo I.
8. DESVIOS E FATORES CONTRIBUINTES
Nesse item são abordados demais desvios em relação ao preconizado pelo RTSGSO
identificados pela comissão de investigação que, no entanto, não foram considerados causas para
o acidente em tela.
As manutenções a serem realizadas nos equipamentos da sala dos cilindros de CO2 eram
registradas através de Notas de Manutenção. Restou constatado através de Nota de Serviço
Cliente, aberta em 04/03/2019 e realizada em 11/03/2019, que “mangotes necessita (sic) de ser
substituídos, passado no para GEPLAT, COMAM para providência a substituição dos mesmo (sic) a
mais de 2 anos, mas ainda não chegou na unidade”.
57

Foi constatado na Nota de Serviço Cliente (inspeção trimestral), aberta em 01/06/2019
e executada em 01/07/2019, a “necessidade de substituição de alguns mangotes de cilindros de
CO2, tendo sido solicitado ao SUEIN/COMAN”.
Nota de Serviço Cliente, aberta em 02/12/2018 e executada em 21/12/2018, já relatava
“enviado nota para COMAN e GEPLAT a respeito dos mangotes que estão ressecados e vencidos de
acordo com normas, mas Plataforma ainda não providenciou a compra dos mesmo para serem
substituídos”.
Nota de Serviço Cliente aberta em 17/09/2017 e executada em 25/09/2017 relatava
“aguardando a chegada dos mangotes para a substituição dos mesmos, pois estão muito ressecados
e está faltando 1 mangote”.
Dessa maneira, ficou evidenciado que era de conhecimento das lideranças de bordo a
necessidade de substituição dos mangotes de cilindros de CO2, desde pelo menos o ano de 2017,
sem que fosse providenciado o material necessário para a troca.
O Regulamento técnico do SGSO, em seu item 1.5 estabelece que “O Operador da
Instalação deverá planejar e prover os recursos necessários para a implementação e o
funcionamento do sistema de gerenciamento da segurança operacional e para atendimento dos
demais requisitos estabelecidos neste Regulamento Técnico”.
Importante aqui relembrar que, quando do acionamento do sistema de CO2, houve o
rompimento de um dos mangotes de um dos cilindros do banco de baterias acionado no acidente,
que levou a sala dos cilindros também ter sido inundada por CO2. Este não foi um fator causal
para o acidente, uma vez que não teve influência nos fatos que resultaram no evento acidental,
contudo evidenciou falha no envolvimento dos gestores da unidade que não proveram recursos
para que a substituição dos mangotes fosse realizada em tempo adequado.
58

Ademais, como já apontado na causa raiz n° 3, apesar de a operadora alegar que os demais
componentes do sistema de CO2 possuíam planos de inspeção/manutenção que consideravam
as normas e definições dos próprios fabricantes, especificamente em relação às válvulas e seus
dispositivos acionadores restou comprovado que esses componentes somente eram
manutenidos em caso de falha, ocasião em que seriam substituídos.
Importante aqui destacar que a sala possui quatro motogeradores diesel de mesmo
modelo. Durante as oitivas foi relatado que os motogeradores diesel auxiliares comumente
vazavam óleo, o que chamavam de “suar”, exigindo constantemente a necessidade de se enviar
equipes de limpeza para a sala dos motogeradores diesel auxiliares para o recolhimento do óleo
derramado e limpeza do piso. Contudo, no documento “Engine Maintenance Manual
(Turbocharged)” é indicado que “novas juntas devem ser instaladas entre o quadro e o cárter
sempre que os quadros forem removidos do cárter ou se as juntas apresentam sinais de
vazamento”, em tradução livre (Figura 26).
Figura 26 – Recorde de parte do documento “Engine Maintenance Manual (Turbocharged)”.
O próprio documento indica a forma como todo o conjunto dever ser desmontado para
então realizar a substituição das vedações, tarefa relativamente complexa e demorada.
Em Ordem de Manutenção preventiva de 02/02/2021, para manutenção do motor diesel
MD-514003A, consta uma extensa lista de tarefas a serem executadas. Conforme consta nesse
documento, devido ao motor estar inoperante no momento pelo fato de o permutador estar
aberto para realização de teste hidrostático e inspeção, impossibilitando ligar o equipamento, e
também devido à falha no gerador, várias tarefas não puderam ser executadas, dentre as quais
59

“verificar se há vazamentos de diesel nas entradas dos bicos injetores, com o motor em marcha
lenta” e “verificar fixação e vazamentos (selos e mangueiras) da bomba de óleo lubrificante do
filtro centrifugo”. Já em 13/04/2022, foi emitida ordem de manutenção corretiva para realização
de limpeza do permutador do gerador 514003B. Essa ordem não apresenta a lista de tarefas
similar à da preventiva (como costumam ser as ordens de manutenção corretivas), limitando-se
apenas à tarefa de limpeza do permutador. Cabe aqui destacar que essas foram as duas únicas
ordens de inspeção apresentadas pela Operadora a partir de 2018. Ainda assim, pode-se
evidenciar inúmeras passagens de serviço das equipes de manutenção, produção e embarcação
relatando constantes procrastinações de resoluções dos problemas nos motogeradores
auxiliares.
Dessa forma, há comprovação de falta de priorização de recursos para funcionamento do
sistema de gerenciamento da segurança operacional, contrariando o requisito 1.5 do RTSGSO
– “O Operador da Instalação deverá planejar e prover os recursos necessários para a
implementação e o funcionamento do sistema de gerenciamento da segurança
operacional e para atendimento dos demais requisitos estabelecidos neste Regulamento
Técnico”.
Ademais, não há comprovação suficiente de que esses motogeradores fossem
adequadamente manutenidos, contrariando o requisito 13.2.1 do RTSGSO – “O Operador da
Instalação terá como atribuição estabelecer planos e procedimentos para inspeção, teste e
manutenção, a fim de buscar a integridade mecânica dos seus sistemas, estruturas,
Equipamentos e Sistemas Críticos de Segurança Operacional. Tal documentação deverá
estar alinhada com recomendações dos fabricantes, normas, padrões e boas práticas de
engenharia”. Adicionalmente, o item 13.4 do RTSGSO também foi contrariado, uma vez que o
60

problema foi diversas vezes relatado sem a devida solução – demonstrando que os resultados
das inspeções não foi adequadamente monitorado.
Durante a investigação, foi evidenciado que os técnicos de segurança eram os
responsáveis pela inspeção do sistema de combate a incêndio por CO2. Esses técnicos não são os
profissionais mais qualificados para este tipo de inspeção, na qual é necessário abrir e
inspecionar visualmente um componente elétrico. Com isso, o Operador além de não utilizar a
empresa especializada credenciada, também contrariou o requisito 3.2.2 do RTSGSO ao não
identificar o nível de competência, habilidade e conhecimento específico para executar as
tarefas afetas a uma função.
Durante a auditoria realizada pela Operação Ouro Negro, ficou constatado que a sala dos
motogeradores diesel auxiliares não possuía indicação adequada das rotas de fuga. A Operadora
havia, inclusive, instalado, a título de experiência, uma espécie de tapete de borracha em parte
do piso elevado como forma de indicar uma das rotas de fuga da sala.
Em depoimentos colhidos foi relatado que este tapete dificultou o resgate de uma das
vítimas. Dessa maneira, ficou evidenciado que foi contrariado o requisito 4.2.1.1 do RTSGSO
– “Nas fases de projeto, construção, instalação e desativação, deverão ser identificados e
considerados códigos e padrões relativos aos aspectos de ambiente de trabalho e de
fatores humanos”.
Durante a avaliação do mangote de um dos cilindros de CO2 que se rompeu durante o
acionamento do sistema de combate a incêndio, foi identificado que havia falha na instalação dos
cilindros com os mangotes ao duto central, uma vez que pelo projeto deveria formar um ângulo
de 90° e, na prática, estavam instalados formando um ângulo de aproximadamente 45°, gerando
assim ponto de concentração de tensão. Em relação à manutenção das mangueiras de conexão
dos cilindros ao duto, a prática até então utilizada era a substituição das mangueiras por
61

demanda detectada nas inspeções visuais periódicas (trimestrais ou anuais) apontando algum
dano visível. Os registros de tais substituições não eram lançados através de operações dentro
da Ordem de Serviço. Isto demonstra a falta de requisitos de garantia da qualidade na execução
de procedimentos de manutenção, contrariando o requisito 13.3.1 do RTSGSO –
“Documentar todas as atividades relacionadas com integridade mecânica desenvolvidas
a bordo.”.
Em relação à limpeza da sala de bateria de cilindros de CO2, foi constatado que eram
frequentes. Há de se relatar que é incomum que esse tipo de limpeza seja realizada neste tipo de
sala em outras plataformas, o que deveria ter indicado aos gestores que emitiam as PTs, ou
consultores de segurança especializados nas normas e padronização dos procedimentos da
empresa, sobre o desvio de projeto desta sala que continha venezianas ao invés de paredes e
ainda possuía duas entradas sem portas – levando a condições de corrosão dos componentes
elétricos deste sistema crítico de segurança. Isto demonstra falta de consideração de padrões
boas práticas de engenharia na aquisição de itens de instalação e equipamentos, na aquisição e
suprimento de venezianas para abrigar os cilindros de CO2, mesmo com indicadores como o tipo
de permissão de trabalho emitido, demonstrando a falta de monitoramento dos tipos emitidos
de permissão de trabalho por parte de consultores e especialistas em segurança na Operadora,
contrariando tanto o requisito 10.2.3 do RTSGSO – “O Operador da Instalação deverá
considerar, durante a aquisição de itens de instalação e equipamentos, o atendimento aos
padrões, normas e boas práticas de engenharia relacionadas aos assuntos de Segurança
Operacional” quanto o 17.3.1 Monitorar o desempenho das atividades em conformidade com
os requisitos estabelecidos em procedimentos aprovados, nas permissões de trabalho e nas
informações e documentação correlata..
62

Em relação às ações de resposta a emergência, restou constatado que a equipe de
socorristas, quando da mobilização para atendimento à primeira vítima localizada, não levou de
imediato o oxímetro e o cilindro de oxigênio, sendo necessário, após o início dos procedimentos
de primeiros socorros no local, solicitar que alguém fosse à enfermaria buscar tais
equipamentos. Ficou constatado que o plano de resposta a emergência (PRE) da P-19 não
possuía cenário específico de acionamento do sistema fixo de CO2 com pessoas dentro da sala
protegida. Isso porque o PRE da Petrobras continha um procedimento geral, que serviria para
todas as plataformas, e anexos que deveriam ter procedimentos específicos para cada uma das
plataformas. Todavia, o cenário de liberação de CO2 que havia no procedimento geral continha a
informação de que seria aplicável somente à plataforma P-35, e por modo falha diferente daquela
ocorrida no acidente, conforme demonstra o trecho da PRE na Figura 27. Tampouco havia
instrução de resposta específica para este ou outros cenários na plataforma P-19 (no anexo
específico, só foi localizada resposta específica para um cenário somente, o de ‘queda de homem
ao mar’, no anexo ‘PROCEDIMENTOS OPERACIONAIS DE RESPOSTA’ do PRE).
Figura 27 – cenário de vazamento de CO2 estava informado como não aplicável à P-19.
63

). Além disso, também ficou constatado que o a lista de materiais de recurso de resposta
do PRE não possuía o oxímetro nem cilindro de oxigênio na enfermaria, somente no helideck
(Figuras 28 e 29 respectivamente). As informações sobre esses recursos se encontram no
documento ‘Características das Plataformas de Produção’ anexo ao PRE.
Figura 28 – Recursos de resposta a emergência localizados na enfermaria.
64

Figura 29 – Recursos de resposta a emergência no helideck da P-19.
Por se tratar de equipamentos fundamentais para atendimento a vítima de asfixia,
constata-se falha no procedimento de resposta a emergência, contrariando o requisito
14.3.3.h do RTSGSO – “O Plano deve também contemplar equipamentos e materiais de
resposta”. Também constatado falha de previsão do cenário de resposta a emergência, este
talvez correlacionado com o fato de não haver análise de risco e premissa de que as normas NFPA
estavam adequadamente implementadas.
65

Além disso, a equipe de socorristas era composta por técnico de enfermagem e pessoas
pertencentes ao contrato de hotelaria – e por serem todos parte da tripulação que circula apenas
no casario precisaram esperar alguém que conhecia a área para chegar ao local onde se
encontrava a vítima. Isto contraria o requisito 14.2.3 a) – “O Operador da Instalação será
responsável por avaliar a capacidade de resposta a cada cenário acidental”, devido à falta
de avaliação da capacidade de resposta à cada cenário acidental, uma vez que para cenários com
atendimento imediato da vítima pela equipe de socorristas fora do casario deveria haver equipe
de socorristas que conhecem e a planta por trabalharem na planta. Também contraria o
requisito 3.2.2 – “O Operador será responsável por dimensionar o programa de
treinamento de acordo com a classificação de funções e as tarefas afetas ao cargo”, por não
identificar os níveis de habilidade e conhecimentos específicos para a função dos socorristas,
que os habilita a executar as tarefas afetas ao cargo.
Por fim, a ocorrência de 67 incidentes de acionamento espúrio do sistema de combate a
incêndio por CO2 nesta e em outras plataformas do sistema Petrobras demonstra que a empresa
não teve capacidade de aprender com a investigação dos incidentes anteriores e implementar
ações que minimizem a possibilidade de recorrência, o que contraria o requisito 9.3.2 A equipe
de investigadores deverá elaborar o relatório de investigação do incidente, que deverá
conter, além do disposto na legislação pertinente, as informações consideradas
relevantes para posterior implementação de ações que visem impedir ou minimizar a
possibilidade de recorrência do mesmo.
66

9. RECOMENDAÇÕES
• Verificar o código de automação, quando da ocorrência de mudanças que alterem este.
Esta verificação deve ser feita por equipe multidisciplinar, minimamente incluindo
um engenheiro de segurança, um engenheiro de instrumentação, e especialista nas
demais áreas afetadas pela mudança considerando a Norma IEC 61131.
• Realizar looping test completo de sistemas instrumentados de segurança – antes do
retorno operacional do sistema, sempre que realizadas mudanças nesses sistemas,
considerando a Norma IEC 61511.
• Projetar e construir salas para cilindros de CO2 fechadas (protegidas de intempéries e
umidade) para novos projetos de plataformas, de forma a reduzir a possibilidade de
entrada excessiva de umidade. Para as unidades em operação, avaliar e gerenciar o
risco de não ser fechada.
• Instalar, preferencialmente, componentes eletrônicos com proteção IP65 ou superior
em locais que pode haver penetração de umidade ou realização de atividades de
limpeza com uso de jato de água.
• Instalar válvulas de lockout no sistema fixo de combate a incêndio por CO2, inclusive
em instalações já existentes (conforme já preconiza a NFPA 12).
• Estabelecer sistemática para que em casos de atualizações/revisões das normas e
melhores práticas da indústria relacionadas aos sistemas de segurança, sejam
implementadas aquelas que a própria norma preconiza ser mandatório para as
unidades já existentes. E, para que nas demais alterações nestas normas, seja
realizada análise de custo e benefício.
67

• Instalar alarmes visuais e sonoros nos ambientes protegidos por CO2 que sejam
facilmente diferenciáveis de outros alarmes da instalação, considerando as normas e
melhores práticas recomendadas da indústria.
• Avaliar a utilização de gases não asfixiantes para sistemas fixos de combate a incêndio.
• Inserir nos formulários de Permissão para Trabalho - PT, a necessidade de bloqueio
(lockout) de sistema fixo de CO2 em salas protegidas, em caso de manutenções,
inspeções ou serviços nesses ambientes.
• Não permitir o uso ou habitação contínua de salas protegidas por sistema fixo de CO2
que não foram projetadas para tal.
• Instalar, na entrada de locais protegidos por sistema fixo de CO2, placas sinalizadoras
do perigo do CO2 e precauções a serem adotadas em caso de acionamento do alarme
(conforme NFPA -12 Standard on Carbon Dioxide Extinguishing Systems ou outra
melhor prática do mercado).
• Incluir, nos Estudos de Riscos da Instalação, o cenário específico de descarga espúria
de CO2 em ambientes protegidos por sistema fixo de combate a incêndio, à luz dos
procedimentos e normas adotados pelo operador na realização das Análises de Risco.
• Aprimorar as instruções e frequência dos briefings de segurança (o briefing realizado
logo após o embarque na instalação), treinamentos e simulados, para as equipes
própria e contratada, nos diversos alarmes da Instalação, incluindo o sistema fixo de
CO2, que abordem os riscos presentes nos diversos locais da Unidade e nas ações de
segurança relacionadas.
• Avaliar a substituição de maleta pesada de primeiros socorros por mochila, para
permitir que ambas as mãos fiquem livres e acelerar a chegada à localização da vítima
em ambiente com muitas escadas, com o objetivo de diminuir o tempo de resposta.
68

• Avaliar a inclusão, na equipe de primeiros socorros, de pessoas que conheçam a área,
para guiar os socorristas até o local seguro próximo do local de emergência, onde são
encaminhadas vítimas resgatadas, também com o objetivo de diminuir o tempo de
resposta.
• Comunicar à ANP como quase acidente os incidentes de falha espúria no acionamento
do sistema fixo de combate a incêndio por CO2 ou outro gás asfixiante que não
causarem vítimas, conforme definido no inciso XI do artigo 2° da Resolução ANP
882/2022.
Na Tabela 2, é apresentado um resumo dos achados da investigação relacionados às
causas-raiz e respectivas recomendações.
Tabela 2 – Quadro resumo dos achados da investigação relacionados às causas-raiz.

Requisito
Fator causal Causa raiz Recomendação do
RTSGSO
Verificar o código de automação, quando da
ocorrência de mudanças que alterem este; Esta
verificação deve ser feita por equipe multidisciplinar,
minimamente incluindo um engenheiro de segurança, 10.2.1
um engenheiro de instrumentação, e especialista nas
demais áreas afetadas pela mudança considerando a
Norma IEC 61131.
Projetar e construir salas para cilindros de CO2 10.3.a
fechadas (protegidas de intempéries e umidade) para
novos projetos de plataformas, de forma a reduzir a
possibilidade de entrada excessiva de umidade. Para
Liberação de CO2
as unidades em operação, avaliar e gerenciar o risco de
na sala dos
não ser fechada.
motogeradores
Instalar, preferencialmente, componentes eletrônicos 10.2.3
diesel auxiliares
Falha em projeto. com proteção IP65 ou superior em locais que pode
por acionamento
haver penetração de umidade ou realização de
espúrio do
atividades de limpeza com uso de jato de água.
sistema fixo de
Instalar válvulas de lockout no sistema fixo de 10.2.2
CO2.
combate a incêndio por CO2, inclusive em instalações
já existentes (conforme já preconiza a NFPA 12).
Estabelecer sistemática para que em casos de 10.3.c
atualizações/revisões das normas e melhores práticas
da indústria relacionadas aos sistemas de segurança,
sejam implementadas aquelas que a própria norma
preconiza ser mandatório para as unidades já
existentes. E, para que nas demais alterações nestas
normas, seja realizada análise de custo e benefício.
Instalar alarmes visuais e sonoros nos ambientes
protegidos por CO2 que sejam facilmente
69

diferenciáveis de outros alarmes da instalação,

considerando as normas e melhores práticas
recomendadas da indústria.
Realizar looping test completo de sistemas 13.2.1
Falha em inspeção, instrumentados de segurança – antes do retorno
teste e manutenção operacional do sistema, sempre que realizadas
preventiva. mudanças nesses sistemas, considerando a Norma IEC
61511.
Falha na avaliação de Inserir nos formulários de Permissão para Trabalho - 17.2.1.2
perigos na Permissão PT, avaliação da necessidade de bloqueio (lockout) de
de Trabalho. sistema fixo de CO2 em salas protegidas.
Instalar, na entrada de locais protegidos por sistema 4.2.1
Falha na comunicação fixo de CO2, placas sinalizadoras do perigo do CO2 e
dos riscos. precauções a serem adotadas em caso de acionamento
do alarme.
Permanência de
Instalar alarmes visuais e sonoros com temporização 10.3.b
pessoas na sala
adequada e sem sobreposição de som, considerando as
após alarme de Falha em projeto
normas e melhores práticas recomendadas da
liberação do CO2.
indústria.
Aprimorar as instruções e frequência dos briefings de 3.3.5.1
Falha em treinamento segurança, treinamentos e simulados, para as equipes
de conscientização própria e contratada, nos diversos alarmes da
(briefing de Instalação, incluindo o sistema fixo de CO2, que aborde
segurança) os riscos presentes nos diversos locais da Unidade e
nas ações de segurança relacionadas.
Por fim, na Tabela 3, é apresentado um resumo dos achados da investigação relacionados aos
fatores contribuintes e respectivas recomendações.
Tabela 3 – Quadro resumo dos achados da investigação relacionados aos fatores contribuintes.
Requisito
Desvios e fatores contribuintes Recomendações do
RTSGSO
Permanência contínua de pessoas em Não permitir o uso ou habitação contínua de salas
locais protegidos por sistema fixo de protegidas por sistema fixo de CO2 que não foram 4.2.1.1
combate a incêndio por CO2. projetadas para tal.
Incluir, nos Estudos de Riscos da Instalação, o cenário
Ausência de cenário específico de específico de descarga espúria de CO2 em ambientes
descarga de CO2 em alta concentração protegidos por sistema fixo de combate a incêndio, à luz dos 12.6.4
na Análise de Riscos da Instalação. procedimentos e normas adotados pelo operador na
realização das Análises de Risco.
Avaliar a substituição de maleta pesada de primeiros
Falha no procedimento de resposta a socorros por mochila, para permitir que ambas as mãos
14.3.3.h
emergência. fiquem livres e acelerar a chegada à localização da vítima
em ambiente com muitas escadas.
Avaliar a inclusão na equipe de primeiros socorros de
pessoas que conheçam a área, para guiar os socorristas até
Falha na avaliação da capacidade de
o local seguro próximo do local de emergência, onde são 14.2.3.a
resposta a cada cenário acidental.
encaminhadas vítimas resgatadas, com o objetivo de
diminuir o tempo de resposta.
Comunicar à ANP como quase acidente os incidentes de
falha espúria no acionamento do sistema fixo de combate a
Comunicação de incidentes incêndio por CO2 ou outro gás asfixiante que não causarem 9.2
vítimas, conforme definido no inciso XI do artigo 2° da
Resolução ANP 882/2022.
70

10. CONCLUSÕES
O acidente de acionamento espúrio do sistema fixo de CO2 em local com presença de
pessoas na plataforma P-19, que culminou na morte por asfixia de uma vítima, é um acidente
que poderia ter sido evitada se as melhores práticas da indústria e o Regulamento Técnico do
Sistema de Gerenciamento de Segurança Operacional da ANP tivessem sido seguidos
corretamente.
Cabe destacar que se tratou de um acidente causado pelo acionamento espúrio de um
sistema de segurança, o sistema de combate a incêndio por CO2. Ou seja, este sistema de
segurança, apesar de projetado para ser salvaguarda de cenário de risco, acabou por introduzir
riscos adicionais à operação de unidades de produção de petróleo e gás, em função das suas
falhas combinadas com falhas de outras práticas de gestão. Aplicando-se o princípio da
hierarquia de controle dos riscos, as medidas mais efetivas seriam aquelas que atuassem no
sentido da eliminação do risco. Assim, a adoção de sistemas de combate a incêndio com agentes
não asfixiantes é medida de redução de riscos necessária para evitar a recorrência de eventos
como o acidente em tela, e que deve ser avaliada pela indústria.
A investigação indicou como causas do acidente: falha na implementação de gestão de
mudanças; falhas no projeto do sistema fixo de CO2 e de posicionamento dos alarmes de CO2 e
geral da instalação; falha em inspeção e teste; falha em avaliação e comunicação dos riscos
envolvidos em atividades de limpeza nesses locais e falha em treinamento de conscientização.
Adicionalmente, apesar de não terem sido causas do acidente, durante o curso da
investigação também foram identificadas falhas relativas a: falta de recursos para substituição
dos mangotes de CO2, códigos e padrões relativos aos aspectos de ambiente de trabalho e de
fatores humanos não considerados na fase de projeto, falha no estabelecimento de requisitos de
71

garantia da qualidade na execução dos procedimentos de manutenção, falha em identificar o
nível de competência, habilidade e conhecimento específico para executar as tarefas afetas à
função de inspeção e manutenção dos componentes associados ao sistema fixo de CO2, falta de
consideração de padrões boas práticas de engenharia na aquisição de itens de instalação e
equipamentos, assim como a falta de monitoramento dos tipos emitidos de permissão de
trabalho por parte de consultores e especialistas em segurança na Operadora, e falhas no Plano
de Resposta a Emergência, o qual não contemplava equipamentos e materiais de resposta, não
avaliou corretamente a capacidade de resposta a cenário acidental no caso de atendimento de
acidentado por asfixia, e por não terem sido devidamente identificados os níveis de habilidade e
conhecimento específicos para a função dos socorristas.
Importante destacar o erro na lógica de automação como fator contribuinte,
principalmente para ambientes altamente automatizados como as plataformas de produção de
óleo e gás. Isso destaca a importância de equipes de verificação nas mudanças de lógica e,
principalmente, a importância de execução do teste completo (loop test) nos sistemas
instrumentados de segurança.
Por fim, a ocorrência de 67 incidentes de disparo espúrio de CO2 em mais de 15
instalações da Operadora entre 2018 e 2022 é motivo de alerta. Tais incidentes, ocorrendo de
forma reiterada, indicam situação de complacência e normalização de riscos conhecidos, sem
que ações eficazes sejam aplicadas a fim de assegurar que a operação dessas unidades se
mantivesse segura. A Operadora deve adotar medidas como melhorias no processo de
manutenção e treinamento para os funcionários e adotar medidas para fortalecer a cultura de
segurança e o nível de conscientização da força de trabalho a respeito dos riscos existentes em
suas instalações. A colaboração entre empresas, órgãos reguladores e outras partes interessadas
também pode ser fundamental para reduzir o risco de incidentes futuros.
72

Anexo I
Entender se os fatores humanos encontrados na investigação foram majoritariamente
organizacionais, tecnológicos ou individuais é importante para projetistas, consultores e
gestores, para auxiliar na escolha de normas tanto para projeto de plataformas quanto para sua
estrutura organizacional. Quais fatores influenciaram certas tarefas também deve ser
considerado em métodos como a análise de confiabilidade humana, que considera fatores
humanos em análise de risco das tarefas. Os dados de frequência de fatores humanos deste
relatório pode ser inclusive incorporado em banco de dados para subsidiar futuras análises de
risco.
Para guiá-los no entendimento de como as causas e fatores contribuintes descritos
anteriormente estão relacionadas a fatores humanos, foi escolhida uma classificação específica
e reconhecida nesse tema (também conhecida por taxonomia). O objetivo da escolha de uma
taxonomia foi o de utilizá-la como lista de verificação ao final da investigação, para garantir que
todos os aspectos foram verificados. A escolha da taxonomia CREAM4 (Cognitive Reliability and
Error Analysis Method) foi feita para facilitar a comparação deste acidente com outros de mesma
complexidade em um banco de dados pré-existente5, e também porque ela pode ser traduzida
para outras, como Petro-HRA, SPAR-H e HEART. No Erro! Fonte de referência não e
ncontrada. o leitor pode encontrar todas as 53 categorias desta taxonomia6.
4
A taxonomia foi proposta no livro de mesmo nome, do autor Erik Honnalgel (1993). A tradução para Português é método
de análise de erros e confiabilidade cognitiva. A taxonomia também é usada no método CREAM de análise de
confiabilidade humana.
5
Multi-Attribute Technological Accidents Dataset (MATA-D), disponível em https://datacat.liverpool.ac.uk/1018/,
acessado em 21/03/2023
6
Para uma descrição completa do significado de cada fator, o leitor deve consultar o livro CREAM, de Erik Hollnagel
(1993).
73

Utilizando-se da taxonomia CREAM foram encontrados os seguintes fatores
influenciadores (seguidos de resumo das evidências):
FATORES ORGANIZACIONAIS:
• Comunicação
o Falha de comunicação: (a) Falta de comunicação do emissor ao executantes nas
reuniões de planejamento e de emissão de PT sobre risco de CO2; (b) falta de comunicação que
levou a falta de planejamento entre as equipes que coordenaram a limpeza da sala dos
motogeradores auxiliares e as equipes que coordenaram a limpeza da sala de baterias do fixo de
CO2 – os serviços não deveriam ocorrer ao mesmo tempo; (c) falha de comunicação na equipe de
socorristas, levando a esquecimento do cilindro de O2 e oxímetro na primeira descida ao local da
vítima.
o Falta de informação: (a) Ficou constatado que a porta de entrada da sala dos
motogeradores auxiliares não possuía sinal de aviso de potencial presença de CO 2 e tampouco
sinalização de possibilidade de morte por asfixia por CO2, conforme recomendado pela NFPA 12;
(b) Nos simulados de emergência realizados na plataforma, a instrução passada era de que as
pessoas, ao ouvirem o disparo do alarme, deviam aguardar no local o pronunciamento na boca
de ferro sobre o que está ocorrendo e qual ação deverão adotar, aguardando as instruções para
qual rota de fuga seguir para seus pontos de encontro.
• Organização
o Falha na manutenção: (a) Micro switchs do sistema fixo de combate a incêndio
não eram inspecionados; (b) vazamento de óleo dos geradores de diesel auxiliares era sistêmico
com frequentes solicitações de compra de material não efetivadas.
74

o Controle de qualidade inadequado: (a) quanto à mudança na lógica do sistema
de CO2 implementada em função da adequação à versão mais recente da norma NFPA-12, houve
falha na avaliação dos perigos e do impacto global nas atividades, antes da implementação da
modificação; (b) não foi feito loop test completo do sistema instrumentado de segurança (sistema
fixo de combate a incêndio por CO2) após implementação de mudança da lógica, apenas parcial;
(c) não foi feita verificação da lógica em um sistema formal de verificação e aprovação; (d) falha
na instalação dos cilindros com os mangotes ao duto central, uma vez que pelo projeto deveria
formar um ângulo de 90° e, na prática, estavam instalados formando um angulo de
aproximadamente 45°.
o Falha no projeto: (a) ausência de válvula de bloqueio/lockout para ser fechada,
isolando o sistema de CO2 durante atividades de manutenção; (b) falhas relacionadas à estrutura
da sala dos cilindros de CO2, que era mantida aberta expondo os componentes à umidade
constante; (c) localização dos alarmes de CO2 na sala dos geradores diesel auxiliares não
permitia visibilidade de alguns ângulos da sala; (d) os alarmes de emergência e do acionamento
do CO2 foram comissionados para tocarem ao mesmo tempo.
o Alocação de tarefas inadequada: (a) os testes e a inspeção visual do sistema fixo
de CO2 do sistema era alocada para técnicos de segurança, profissionais que não possuem
competência técnica necessária para abrir e inspecionar visualmente os componentes elétricos;
(b) por exigência da Marinha do Brasil desde 2020, as inspeções dos equipamentos do sistema
de combate a incêndio com CO2 deveriam ser realizadas por empresa especializada credenciada
pela Sociedade de Classe, (c) equipe de socorristas não conhece a planta industrial, apenas o
casario, sendo necessário esperar por alguém que os guie ao local, diminuindo o seu tempo de
resposta.
75

• Treinamento
o Habilidade/experiência insuficiente: (a) de todos os integrantes das equipes
dentro da sala dos motogeradores auxiliares, o que conseguiu alcançar uma saída alternativa
mais rápida de fuga foi o membro que já trabalhava na P-19 há mais de 10 anos. Esta não era
sinalizada como rota de fuga, mas ele sabia que a porta ia para um lugar aberto. Os outros dois
sobreviventes o seguiram. O funcionário que não sobreviveu tentou sair pela mesma porta que
entrou na sala, sinalizada como rota de fuga;
o Conhecimento insuficiente: (a) falha de avaliação do perigo de asfixia por CO2 na
Permissão de Trabalho, talvez ocasionada por procedimento incompleto e por falta de
sinalização na porta de entrada; (b) categoria da permissão de trabalho não precisou de técnico
de segurança, deixando de ter a opinião de tal profissional no processo; (c) falha de treinamento,
incluindo treinamento de conscientização (briefing de segurança na chegada da plataforma),
simulados de emergência e comunicação dos riscos em diálogo diários de segurança.
Condições ambientais:
• Condições ambientais adversas: o disparo de CO2 deixa a sala com
visibilidade completamente impedida. O ambiente fica completamente branco de
forma muito repentina, sendo impossível enxergar nem um palmo à frente, não dá
para enxergar nem chão, nem parede. Talvez sinais luminosos teriam sido
visualizados.
• Condições de trabalho
o Demanda excessiva: (a) falha no planejamento e disponibilização de recursos
necessários para a implementação de manutenções corretivas do vazamento dos motogeradores
de emergência e troca de mangotes dos cilindros de CO2.
76

o Layout inadequado do local de trabalho: (a) desnível (degrau) em rota de fuga,
apesar de não ser possível afirmar que a vítima tenha tropeçado nesse desnível, ela foi
encontrada caída próxima ao local; (b) Em depoimentos colhidos, foi relatado que o tapete de
borracha com marcações da rota de fuga, que estaria em fase de teste, dificultou o resgate da
vítima – o teste ocorria para tentar substituir a marcação do piso gradeado que não permitia
uma visualização precisa da direção da seta; (c) a sala dos motogeradores diesel auxiliares não
possuía indicação adequada das rotas de fuga.
o Suporte inadequado da equipe: (a) a equipe de socorristas desceu no primeiro
momento sem o cilindro de Oxigênio - é inconclusivo se houve uma inadequada comunicação na
distribuição de tarefas dentro da equipe de socorristas ou mesmo falha de comunicação do tipo
de evento pelo comandante do incidente para a equipe de socorristas.
FATORES TECNOLÓGICOS:
• Equipamento
o Falha de equipamento: Houve um acionamento espúrio do sistema fixo de CO2
provavelmente por curto de um micro switch, que corroeu devido à umidade excessiva constante
e diária e, talvez, por névoa causada pelo lava-jato a vapor – houve um acionamento espúrio que
possui relação com a falta de manutenção/inspeção do micro switch, a falha no código, falta de
paredes.
• Procedimentos
o Procedimento inadequado: (a) Na Especificação Técnica do sistema de CO2
consta que quinquenalmente deveria ser realizado teste de disparo, por equipe acreditada por
certificadora, verificando, entre outros itens, a abertura da válvula direcional e sua
temporização; (b) procedimento de permissão de trabalho subestima atividades de limpeza, pois
apesar de serem consideradas de baixo risco, o local onde serão realizadas também deve ser
77

considerado quando da avaliação dos perigos envolvidos; (c) procedimento de permissão de
trabalho da Operadora está incompleto e ambíguo sobre o preenchimento de todos os campos
contidos numa PT, como, por exemplo, não descreve como deve ser preenchido o campo de
análise ambiental. Além disso, possui lista de verificação que inclui gases inflamáveis ou tóxicos,
entretanto não inclui gases asfixiantes como CO2 e N2.
• Interface humana-máquina permanente
o Problemas de acesso: (a) a limitação de acesso, devido a esforço e localização, fez
com que fosse necessária uma equipe de caldeiraria para deslocar o chão gradeado da sala dos
motogeradores para que a equipe de limpeza pudesse acessar o óleo a ser coletado.
FATORES INDIVIDUAIS:
• Fatores individuais temporários
o Fadiga: A velocidade de resposta da equipe de socorristas pode ter sido impactada
pela fadiga de seu líder, que teve dificuldades de dormir na noite anterior ao acidente.
• Fatores Individuais Permanentes
o Viés cognitivo: (a) a constante limpeza do chão da sala de cilindros do sistema
fixo de CO2 é algo muito incomum em outras plataformas e a alta emissão de PTs para esse fim
deveria ter sido um indicador de que algo estava errado com o projeto desta sala, que é separada
dos demais ambientes da plataforma por venezianas e possui duas aberturas onde deveriam ter
portas, permitindo assim a entrada constante de umidade e resíduos em seu interior; (b) houve
relatos que, durante a pandemia, era solicitado que, ao alarme de emergência de um simulado,
todos fossem para os camarotes ao invés de irem para seus pontos de encontro, para evitar
aglomeração.
78

Estes fatores influenciadores acima podem ter levado aos modos de erro cognitivo, como
erro de interpretação (previsão incorreta quanto ao funcionamento da lógica da mudança no
PLC), e erro de planejamento dos serviços de limpeza, que neste caso – sem as devidas
salvaguardas e com as salvaguardas existente degradadas – não deveriam ocorrer ao mesmo
tempo.
Fatores
Organanizacionais
Condições Condições de
Comunicação Organização Treinamento
ambientais trabalho
Falha na Falha na Habilidade Demanda

Som
comunicação manutenção insuficiente excessiva
Controle de Layout inadequado

Falta de Conhecimento
qualidade Humidade do ambiente de
Informação insuficiente trabalho
inadequado
Condições Suporte
Problema de
ambientais inadequado da
gerenciamento
adversas equipe
Horas irregulares
Falha de projeto Iluminação
de trabalho
Alocação
inadequada de Temperatura
tarefa
Pressão social Outros
Segue abaixo quatro diagramas com todos os 53 fatores humanos considerados na
taxonomia utilizada. Aqueles em retângulos amarelo e com o texto em negrito foram
identificados neste acidente.
79

Fatores Tecnológicos
Equipamento Procedimentos Interface temporária Interface permanente
Procedimento
Falha de equipamento Limitações de acesso Problemas de acesso
inadequado
Identificação/etiquetag
Falha no software Informação ambígua
em incorreta
Informação incompleta
80

Fatores
Individuais
Permanentes Temporários
Deficiência Falha de
Temor
funcional memória
Estilo cognitivo Distração Fadiga
Variabilidade
Falta de
Viés cognitivo de
atenção
Performance
Stess Stress
psicológico fisiológico
81

Falhas de
Cognição e
Execução
Observação Interpretação Planejamento Execução
Observação Diagnóstico Plano

Tempo errado
perdida falho inadequado
Erro de
Falsa observação Raciocício errado Tipo errado
prioridade
Identificação
Erro de decisão Objeto errado
errada
Atraso na
Lugar errado
interpretação
Previsão
incorreta
Existem outros três fatores organizacionais que a equipe de investigação entende que
podem ter contribuído para o incidente, mas não foram possíveis de serem classificados pela
taxonomia CREAM. São fatores organizacionais mais abrangentes aos quais a empresa regulada
está submetida, como sua estratégia e estrutura organizacional, assim como aspectos culturais e
regulatórios do país. Para estes, foi utilizada a taxonomias presente em SOTERIA7 - mas que
possivelmente pode ser traduzida para outras taxonomias como a utilizada em STAMP 8 . Os
fatores são: ambiente regulatório, visão, estratégia e metas organizacionais, e lima
organizacional da força de trabalho: Abaixo, as explicações alinhadas ao contexto já descrito
no capítulo de Fatores Humanos.
7
Socio-Technical Risk Analysis (SoTeRiA) Framework, disponível em
https://soteria.npre.illinois.edu/research/organizational/
8
Systems-Theoretic Accident Model and Processes, disponível em http://sunnyday.mit.edu/accidents/safetyscience-
single.pdf
82

Ambiente regulatório devido à renovação do contrato de concessão do Campo de
Marlim com o órgão regulador ANP com substituição da P-19 por novas plataformas. Visão,
estratégia e metas organizacionais porque a plataforma estava entrando em processo de
descomissionamento, e também passou por anúncio de venda alguns anos antes (que veio a ser
desfeito). Clima organizacional da força de trabalho porque em processos de venda e
descomissionamento de plataformas, a força de trabalho fica desmotivada e à procura de uma
transferência para uma nova instalação ou novo ambiente de trabalho.
83

Relatorio Investigacao P 19

Enviado por

Direitos autorais:

Formatos disponíveis

Relatorio Investigacao P 19

Enviado por

Dados do documento

Título original

Direitos autorais

Formatos disponíveis

Compartilhar este documento

Compartilhar ou incorporar documento

Opções de compartilhamento

Você considera este documento útil?

Este conteúdo é inapropriado?

Direitos autorais:

Formatos disponíveis

Relatorio Investigacao P 19

Enviado por

Direitos autorais:

Formatos disponíveis

RELATÓRIO DE INVESTIGAÇÃO DE INCIDENTE P-19 | SSO – ANP | 2023

Superintendência de Segurança Operacional

Relatório de Investigação do Incidente - P-19 (3279101) SEI 48610.219140/2022-11 / pg. 1

Superintendência de Segurança Operacional

Relatório de Investigação do Incidente - P-19 (3279101) SEI 48610.219140/2022-11 / pg. 2

Agência Nacional do Petróleo, Gás Natural e Biocombustíveis

Superintendente de Segurança Operacional

Superintendente Adjunto de Segurança Operacional

Elaboração – Comissão de Investigação Revisão Aprovação

Revisão: 0 Emissão: julho de 2023

0 Emissão Inicial BRR DGC LHOB N/A

Relatório de Investigação do Incidente - P-19 (3279101) SEI 48610.219140/2022-11 / pg. 3

Relatório de Investigação do Incidente - P-19 (3279101) SEI 48610.219140/2022-11 / pg. 4

Comunicação Inicial de Incidente 2208/000010, a qual reportou uma fatalidade na Plataforma

P-19. Segundo constava do comunicado, quatro colaboradores executavam serviço de

A plataforma Petrobras 19 (P-19), de propriedade da empresa Petróleo Brasileiro S/A –

Petrobras, é uma instalação offshore semissubmersível (SS), de bandeira do Panamá, construída

Campos, Campo de Marlim, em lâmina d'água de 770 m de profundidade. Tem capacidade de

por dia de óleo e 3.000.000 Nm³ por dia de gás.

No dia do incidente, duas equipes de empresas terceirizadas trabalhavam em conjunto na

realizavam suas tarefas, os trabalhadores foram surpreendidos pelo acionamento espúrio do

cilindros de CO2, com uso de jato d’água.

Relatório de Investigação do Incidente - P-19 (3279101) SEI 48610.219140/2022-11 / pg. 5

resgatados, posteriormente, pela equipe de brigadistas da plataforma. Um dos funcionários veio

de fiscalização in loco na plataforma P-19, com intuito de coletar dados e informações

preliminares. A ação de fiscalização foi realizada em 10/08/2022, em conjunto com outras

Ministério do Trabalho (fiscais do trabalho). Em decorrência do incidente, foi instaurado um

processo administrativo de investigação independente, realizado por cinco servidores da

ANP/SSM, sob o número 48610.219140/2022-11. O presente relatório é parte integrante do

referido processo e contém a descrição dos fatos, a cronologia, as causas e conclusões do

acidente, determinadas pela equipe de investigação da ANP e em conformidade com a Instrução

Normativa ANP nº 06/2021.

de pessoas na sala dos motogeradores após alarme de liberação do CO2.

A comissão de investigação da ANP identificou cinco causas-raiz.

Especificação Técnica contendo instruções para o estabelecimento da lógica de acionamento do

Relatório de Investigação do Incidente - P-19 (3279101) SEI 48610.219140/2022-11 / pg. 6

efetiva implementação da modificação. Ademais, foram constatadas falhas relacionadas ao

impediria o acionamento espúrio do sistema; falhas relacionadas à estrutura da sala dos

fim, a sobreposição sonora dos alarmes de liberação de CO2 e de emergência da plataforma, os

quais, em caso de acionamento do sistema fixo de CO2, tocavam ao mesmo tempo.

Relatório de Investigação do Incidente - P-19 (3279101) SEI 48610.219140/2022-11 / pg. 7

diesel auxiliares não apresentavam análise de riscos, deixando de avaliar, consequentemente, o

verificação da análise preliminar fosse marcada. Todavia, o tipo de PT selecionada no

procedimento da empresa foi a Permissão para Trabalho Rotineiro Específico (PTRE).,

trabalho. Informações obtidas durante a investigação indicam que, em algumas plataformas da

ações no sentido de proteção desses equipamentos, como a instalação de cobertura, por

exemplo, ou a adoção de procedimentos específicos, de forma a reduzir a possibilidade de danos

aos componentes elétricos do sistema. Ademais, na entrada da sala dos motogeradores

protegidos por sistema fixo de combate a incêndio por CO2.

de conscientização (briefing de chegada), simulados de emergência e comunicação dos riscos em

Relatório de Investigação do Incidente - P-19 (3279101) SEI 48610.219140/2022-11 / pg. 8

de CO2, conhecendo apenas o alarme de emergência da plataforma.

A equipe de investigação da ANP elaborou as seguintes recomendações:

• Verificar o código de automação, quando da ocorrência de mudanças que alterem este.

um engenheiro de segurança, um engenheiro de instrumentação, e especialista nas

demais áreas afetadas pela mudança considerando a Norma IEC 61131.

• Realizar looping test completo de sistemas instrumentados de segurança – antes do

retorno operacional do sistema, sempre que realizadas mudanças nesses sistemas,

considerando a Norma IEC 61511.