Nas últimas postagens mostramos para vocês algumas ferramentas e metodologias com as quais trabalhamos. Neste post, quero mostrar como elas se falam e, dependendo da fase de projeto em que você se encontra, como elas podem se comunicar.
Neste exercício, por simplificação, pegamos armazenamento de GLP em cilindros. Mas poderia ser uma tancagem, um navio transportador de GNL ou amônia.
Aplicando primeiro a identificação de perigos e HAZOP, hierarquia de controles alinhada ao LOPA e modelagem de consequências, por exemplo com modelagem CFD FLACS. Trabalhamos com três frentes que, isoladas, parecem disciplinas distintas: HAZOP, hierarquia de controles (com LOPA) e modelagem CFD com FLACS. Na prática, elas raramente aparecem separadas num projeto real. Elas se encaixam numa única linha de raciocínio, e o Bow Tie é a ferramenta que deixa essa conexão visível.
O cenário: cilindro de GLP e o caso de Baton Rouge
Para ilustrar, uso um cenário clássico e ainda assim exigente: um cilindro de GLP exposto a um incêndio adjacente, com potencial de escalonar para BLEVE.
Esse tipo de cenário não é só exercício teórico. O Beacon de Segurança de Processos da CCPS de agosto de 2026 traz um caso real com o mesmo mecanismo de falha: em outubro de 2024, um cilindro de amônia anidra de 68 kg explodiu numa instalação em Baton Rouge, Louisiana, ferindo gravemente quatro trabalhadores. A equipe havia envolvido a parte inferior do cilindro com uma mangueira de vapor a cerca de 149°C para aquecê-lo e aumentar o fluxo de amônia, mantendo a válvula de saída fechada. O procedimento não previa essa restrição, e o cilindro não tinha dispositivo de alívio de pressão. O aquecimento externo descontrolado elevou a pressão do líquido acima do limite do vaso, resultando num BLEVE. É essencialmente o mesmo modo de falha do nosso exemplo hipotético, só que com aporte de calor por uma fonte de vapor em vez de um incêndio adjacente, e documentado com consequências reais.
HAZOP e HAZID alimentam o topo do Bow Tie
O HAZOP, na sua forma clássica, trabalha por nós de processo e palavras-guia, e identifica os desvios internos que geram a perda de contenção primária, como falha de válvula, corrosão ou erro operacional. Uma ameaça como o fogo adjacente não nasce de um desvio de processo, ela é um evento externo ao nó analisado, e por isso, neste exemplo, pertence ao escopo do HAZID, ou é capturada diretamente na etapa de identificação de ameaças do próprio Bow Tie.
Na prática de consultoria, é comum rodar sessões híbridas HAZOP/HAZID, incluindo um nó dedicado a interfaces e eventos externos dentro da mesma sessão. No caso do GLP, é nesse nó híbrido que capturamos a ameaça mais crítica do cenário: um incêndio de poça ou um jato de fogo em equipamento vizinho atingindo o casco do vaso. Essa ameaça de impacto térmico externo é o que justifica a existência do ramo de escalonamento no Bow Tie. O caso de Baton Rouge mostra exatamente essa lacuna na prática: o procedimento de tratamento químico não tratava do risco de aquecer o cilindro com a válvula fechada, uma ameaça externa ao processo que um HAZOP restrito ao nó não teria capturado.
A hierarquia de controles decide quais barreiras entram no diagrama
Identificada a ameaça, a pergunta seguinte é: quais barreiras realmente reduzem o risco, e em que ordem de prioridade? A hierarquia de controles alinhada à segurança intrínseca orienta essa escolha, priorizando eliminação e redução na fonte antes de mitigação. No nosso cenário, isso significa avaliar primeiro afastamento e barreiras físicas (distância segura entre fontes de ignição e o vaso, PFP passiva), depois sistemas ativos (dilúvio, resfriamento por aspersão, detecção de fogo e isolamento automático), e só então os planos de resposta a emergências.
O LOPA entra aqui como a régua quantitativa dessa priorização: cada barreira do Bow Tie recebe um PFD, e a somatória das camadas independentes de proteção define se o risco residual é aceitável. Sem esse exercício, o Bow Tie vira um desenho bonito sem lastro técnico. No caso de Baton Rouge, a barreira física mais básica simplesmente não existia: o cilindro não era protegido por um dispositivo de alívio de pressão, a camada que a hierarquia de controles colocaria logo depois da eliminação da fonte de aquecimento.
O FLACS fecha o ciclo com a pergunta que resta
Definidas as barreiras, ainda falta responder a pergunta mais difícil: elas têm tempo suficiente para atuar antes da falha do vaso? É aqui que entra a modelagem CFD com FLACS. A simulação do incêndio adjacente permite estimar o fluxo de calor incidente sobre o casco, o tempo até a falha térmica (time-to-failure) e, principalmente, o efeito real da proteção passiva contra fogo na degradação dessa curva.
Na prática, o FLACS nos dá dois insumos que nenhuma tabela genérica de projeto entrega com a mesma precisão: a distância segura real entre a fonte de fogo e o vaso de GLP, calculada para o cenário específico do site, e o dimensionamento da PFP necessária para garantir a janela de tempo que o LOPA assumiu como premissa. Sem essa validação, a barreira de PFP no Bow Tie é uma suposição. Com ela, é um número defensável.
O FLACS também testa diretamente a barreira ativa de mitigação: o sistema de dilúvio dá conta sozinho de resfriar o vaso e evitar a falha térmica, ou a taxa de aplicação de água não é suficiente diante do fluxo de calor incidente? Se a simulação mostrar que o dilúvio isolado não sustenta o vaso dentro do tempo necessário, isso aponta diretamente para a necessidade de uma barreira passiva complementar, a PFP, dimensionada com base no mesmo modelo. É essa resposta, dilúvio suficiente ou PFP obrigatória, que transforma a análise de uma discussão qualitativa num requisito de engenharia.
A conexão entre as três
O que queremos mostrar com essa sequência é que essas três metodologias não competem entre si, elas se completam. O HAZOP ou HAZID identificam o que pode escalonar, tanto por dentro do processo quanto por ameaças externas. A hierarquia de controles e o LOPA decidem quais barreiras valem a pena e com que confiabilidade. O FLACS testa se essas barreiras sobrevivem ao cenário real, com números defensáveis de distância segura e de especificação de PFP.
O caso real de Baton Rouge e o nosso exemplo hipotético do GLP levam à mesma lição: a diferença entre um evento controlado e um BLEVE está nas barreiras que faltaram, e é justamente isso que o Bow Tie, a hierarquia de controles e o FLACS existem para prever antes do fato.
É esse pacote completo, do desvio de processo à simulação de consequência, que a PSM Expert Consultoria oferece. Mas não trabalhamos só com as três ferramentas amarradas assim. Elas também fazem sentido de forma independente ou separada, dependendo da fase de projeto em que você se encontra: às vezes a dúvida é pontual, e uma única ferramenta já cobre o cenário crítico que você precisa resolver.
Se quiser conhecer cada ferramenta de forma independente e mais aprofundada, confira nossas últimas postagens, uma sobre HAZOP e Bow Tie, outra sobre hierarquia de controles, e outra sobre modelagem CFD.
Tem um cenário crítico em aberto: escalonamento, BLEVE, distância segura ou especificação de PFP? Fale com a PSM Expert.
Referências: CCPS Process Safety Beacon, agosto de 2026 (versão em português); U.S. CSB, Incident Reports Volume 4, 2026 (PDF).