Uma usina premiada virou catástrofe após um transbordamento silencioso derrubar o parapeito e despejar cerca de 6 bilhões de litros montanha abaixo contra um parque estadual; a investigação expôs sensores falhos, falta de vertedouro e decisões de controle remoto que redesenharam a segurança de barragens

Na madrugada de 14 de dezembro de 2005, a usina premiada de Taum Sauk transbordou enquanto uma bomba seguia enchendo o reservatório superior; sem vertedouro, com sensores deslocados e controle remoto, a água erodiu o enrocamento, derrubou o parapeito e lançou 6 bilhões de litros sobre um parque estadual inteiro.

A usina premiada de Taum Sauk, descrita como modelo de engenharia moderna e premiada por suas inovações, virou catástrofe depois de um transbordamento silencioso na madrugada de 14 de dezembro de 2005: a água ultrapassou o topo, bateu no parapeito de concreto e começou a escavar o aterro de enrocamento até derrubar a proteção e liberar cerca de 6 bilhões de litros montanha abaixo.

O episódio expôs uma sequência de decisões e fragilidades técnicas, com sensores de nível falhos, ausência de vertedouro e operação por controle remoto sem técnicos no local para comparar medições; ao investigar a falha, o escrutínio passou a redesenhar práticas de segurança de barragens ligadas a reservatórios fora do canal.

Uma madrugada de transbordamento em Taum Sauk

Na madrugada de 14 de dezembro de 2005, as bombas estavam quase terminando de encher o reservatório superior na central elétrica de Taum Sauk, marcando o fim do ciclo diário.

A água subiu até o topo do aterro de enrocamento e alcançou o muro de concreto que corria ao longo do topo da barragem.

O nível atingiu a borda, mas o enchimento não parou.

Uma das duas bombas desligou, mas a outra continuou funcionando.

Em poucos minutos, respingos viraram fluxo constante, como um riacho em cascata sobre o parapeito, desaguando contra o aterro do lado externo.

Esse transbordamento iniciou uma erosão que começou lentamente e depois acelerou.

O buraco foi ficando mais profundo e mais largo, e quando a bomba finalmente desligou, a base do parapeito já havia sido comprometida.

O muro de parapeito tombou.

A ruptura abriu caminho para uma liberação súbita de água que desceu a encosta da montanha em direção a um parque estadual.

A partir daí, a usina premiada, tratada como vitrine de engenharia moderna, entrou em um ciclo de escrutínio técnico que mudaria a forma de discutir sensores, rotinas de verificação e a presença de vertedouro em projetos semelhantes.

Como a usina premiada foi desenhada para resolver um problema de horário, não de volume

Quando foi construída na década de 1960, a usina hidrelétrica reversível de Taum Sauk era diferente de praticamente qualquer outra usina elétrica do mundo em termos de tamanho e conceito.

Ao sul de St. Louis, nas montanhas Ozark, o projeto foi desenhado para uma necessidade específica: gerir quando a eletricidade entra e sai da rede, não apenas quanto se produz.

Grandes usinas de carvão na região do Missouri poderiam gerar muita energia, mas não conseguiam aumentar ou reduzir a produção com agilidade para acompanhar demandas flutuantes ao longo do dia.

A Union Electric, que mais tarde se fundiu com a Ameren, propôs uma solução considerada inovadora para a época e comum hoje: armazenamento por bombeamento.

Na prática, a instalação funciona como uma bateria.

Ela é um consumidor líquido de eletricidade, o que parece contraintuitivo para uma usina elétrica, mas atende à lógica do sistema: quando a demanda é baixa, essa eletricidade é usada para bombear água do reservatório inferior para o superior, geralmente à noite.

Quando a demanda sobe durante o dia, a energia potencial armazenada é convertida de volta em eletricidade ao inverter o fluxo e operar as turbinas reversíveis como geradores.

Há perdas inevitáveis, com evaporação, vazamentos e perdas no bombeamento e na geração, mas o relato descreve eficiência global em torno de 70%, suficiente para justificar o enorme custo de construir e operar dois reservatórios e uma usina que não produz eletricidade própria.

Esse ponto é central para entender por que a usina premiada era celebrada: ela combinava infraestrutura hidráulica e estratégia elétrica.

O reservatório superior no topo da Montanha Proffitt e a lógica da altura

A parte mais incomum da instalação é o reservatório superior, construído no topo de uma montanha.

Trata-se de uma barragem circular, também chamada de dique anelar, contornando o reservatório no alto.

Em geral, barragens são construídas atravessando vales para que a topografia natural forme laterais e fundo; no caso de um reservatório fora do canal, como o de Taum Sauk, é preciso construir a barragem em toda a volta, elevando custos e complexidade.

A altura, porém, é parte do argumento técnico.

O relato descreve que a potência disponível em uma queda d’água depende de variáveis como vazão e diferença de altura, chamada de carga.

Para uma potência específica durante um período específico, quanto maior a diferença de altura entre os dois reservatórios, menor a quantidade de água que precisa ser movimentada, reduzindo o tamanho da infraestrutura.

As montanhas no sudeste do Missouri forneceram a localização que tornava isso possível: cerca de 750 pés, ou 230 metros, de diferença de altura entre os reservatórios superior e inferior.

O reservatório superior ficou perto do topo da Montanha Proffitt, descrita como o sexto pico mais alto do Missouri.

O projeto recebeu o nome da montanha mais alta do estado, Taum Sauk, local originalmente escolhido para o reservatório superior até que houve resistência à construção ali, motivando a transferência para um pico um pouco mais baixo nas proximidades.

Na obra, condições geológicas desafiadoras exigiram realinhamento do projeto para evitar uma área de geologia frágil.

O ajuste resultou em um formato descrito como único, semelhante a um rim. Esse detalhe é relevante porque, anos depois, a investigação listaria assentamentos e referências geométricas como parte da cadeia que levou ao transbordamento.

Enrocamento, painéis de concreto e uma operação remota sem olhos no topo

A barragem original foi construída como um aterro de enrocamento, essencialmente uma pilha longa de pedras ao redor do perímetro.

O enrocamento é resistente, não exige tanta compactação e é descrito como menos sujeito a deformações típicas de aterros de solo.

O problema é que o enrocamento não retém água bem, porque há muitos vazios entre as rochas.

Para tornar o reservatório impermeável, painéis de concreto foram instalados ao longo de toda a face interna. Um túnel ligava uma entrada do tipo Morning Glory através da montanha até a usina geradora.

A entrada foi construída em uma bacia a 6 metros, ou 20 pés, abaixo do fundo do reservatório para suprimir o potencial de formação de vórtice à medida que o sistema era drenado diariamente.

A operação remota foi outra inovação citada.

O projeto foi concebido para dispensar técnicos no local, com controle a distância.

Essa escolha, combinada com um reservatório que enchia e esvaziava com frequência, aumentou a dependência de sensores e de lógica de programação para definir quando parar o bombeamento.

Quando o transbordamento começou, a usina premiada não tinha uma presença humana imediata no topo para perceber o que estava acontecendo no parapeito.

De 100 para 300 dias de operação: ciclos, vazamentos e o ponto de inflexão de 2004

Durante a maior parte de sua existência, a estação de Taum Sauk operou em média cerca de 100 dias por ano, geralmente nos meses quentes de verão, quando a demanda por eletricidade variava mais entre noite e dia.

A desregulamentação dos mercados de energia elétrica na década de 1990 abriu a possibilidade de vender energia para outras concessionárias, elevando a operação para cerca de 300 dias por ano.

O efeito prático foi um reservatório superior subindo e descendo em ciclos, frequentemente duas vezes por dia, quase todos os dias do ano.

Esse ritmo passou a pressionar pontos frágeis conhecidos.

O reservatório superior apresentava vazamentos desde que começou a operar na década de 1960.

Ao longo do tempo, projetos foram implementados para lidar com esse vazamento, incluindo a construção de pequenos lagos ao lado do reservatório para capturar parte da água e bombeá-la de volta.

No outono de 2004, a Ameren decidiu investir mais de dois milhões de dólares para instalar um revestimento de geomembrana cobrindo todo o reservatório, medida descrita como capaz de resolver o vazamento.

A partir daí, o desafio passou a ser operar sensores de nível sem comprometer a geomembrana, mantendo a operação remota que já era marca da usina premiada.

O IEEE, a água jorrando e o alerta que não virou parada operacional

Cerca de um ano depois, em setembro de 2005, o IEEE declarou a usina um Marco da Engenharia por suas inovações.

No dia anterior à cerimônia, participantes de uma visita testemunharam água jorrando sobre o muro de proteção em um dos lados do reservatório superior.

Os operadores mudaram rapidamente do modo de bombeamento para geração para baixar o nível da água.

A explicação atribuída ao episódio foi a ação de ventos fortes ligados a uma tempestade tropical remanescente, que teriam causado o transbordamento.

Mesmo assim, a usina premiada contratou uma equipe de inspeção subaquática para verificar os sensores de nível.

A inspeção trouxe uma constatação que deslocou o foco do vento para a instrumentação: os sensores não estavam onde deveriam estar.

Sensores em cabos, conduítes flutuantes e leituras menores do que o nível real

Com a geomembrana, havia preocupação válida de que perfurações pudessem causar vazamentos no futuro.

O reservatório ainda precisava de sensores para operar remotamente.

Em vez de montar sensores diretamente no concreto e perfurar o revestimento ao longo de todo o comprimento, foi implementada uma solução alternativa: dois cabos instalados entre ancoragens no topo e na base do talude do aterro, com conduítes de sensores fixados a esses cabos para minimizar perfurações.

A descrição técnica do problema é direta: o sistema de montagem foi mal projetado.

Os conduítes eram flutuantes e sujeitos a correntes fortes conforme o reservatório enchia e esvaziava.

Em algum momento após a primavera de 2004, eles se desprenderam e foram desviados.

O resultado foi um conjunto de sensores internos fornecendo leituras inferiores ao nível real da água.

A usina premiada passou a tomar decisões de bombeamento com base em um reservatório que, eletronicamente, parecia mais baixo do que estava.

Com base nisso, operadores decidiram reprogramar o sistema de controle para subtrair dois pés do ponto de ajuste superior das bombas.

O projeto original previa dois pés, ou 600 milímetros, de borda livre entre o topo do parapeito e o nível máximo da água.

Eles calcularam que dobrar essa distância seria suficiente para evitar transbordamento até a manutenção anual, quando o reservatório seria drenado e reparos permanentes poderiam ocorrer. Esse intervalo nunca chegou.

O transbordamento de 14 de dezembro e o colapso do parapeito

Menos de três meses depois do episódio observado antes da cerimônia do IEEE, o transbordamento ocorreu de novo em 14 de dezembro, desta vez ao amanhecer, quando ninguém estava por perto para notar o fluxo sobre o parapeito.

Assim que o muro de contenção desabou, a água erodiu rapidamente através da barragem e despejou aproximadamente 6 bilhões de litros, ou 200 milhões de pés cúbicos, pela encosta íngreme da montanha em direção ao Parque Estadual Johnson’s Shut-Ins.

A onda arrancou árvores e rochas. A época do ano foi crucial: o inverno deixava o parque praticamente vazio, evitando uma tragédia com mais visitantes.

Mesmo assim, o superintendente do parque, sua esposa e três filhos, incluindo um bebê de sete meses, foram levados pela enchente quando a água destruiu sua casa.

Toda a família sobreviveu, mas com ferimentos e hipotermia, evidenciando que a catástrofe ultrapassou o âmbito técnico.

O fluxo seguiu para o reservatório inferior, para onde teria ido mais tarde naquele dia pelo ciclo normal.

Por isso, o registro indica que não houve grandes impactos a jusante, embora os impactos na encosta e no parque tenham sido severos. A usina premiada, que operava como bateria, demonstrou naquele dia a força destrutiva da água quando o controle falha.

A investigação da FERC e o retrato de uma falha em cadeia

O incidente foi investigado pela FERC. As conclusões foram descritas como surpreendentes porque mostraram que o desastre não exigiu um erro único e extraordinário, e sim uma combinação de descuidos.

Como em muitos eventos de infraestrutura, cada falha isolada poderia não ser suficiente para causar colapso.

Somadas, elas produziram centenas de milhões de dólares em danos e deixaram consequências humanas para a família atingida.

O relatório descreve uma cadeia de fragilidades: material do aterro com mais solo do que o previsto, assentamento ao longo do tempo, sensores deslocados, sondas de segurança mal posicionadas, lógica de desligamento mal programada, falta de verificação em campo e, no centro, a ausência de um vertedouro que permitisse extravasar a água de forma controlada.

O transbordamento passou a ser visto como resultado de uma arquitetura de risco, não de azar.

Assentamento do aterro e a geometria real do topo

A investigação apontou que o aterro rochoso não era tão rochoso quanto o previsto. Havia mais solo misturado, resultando em maior assentamento ao longo do tempo.

Áreas instáveis do solo na fundação do aterro não teriam sido devidamente limpas, o que agravou o assentamento.

Entre a construção e o colapso, partes do parapeito ficaram dois pés, ou 600 milímetros, mais baixas do que no início.

Esse rebaixamento tem efeito prático: a referência do nível máximo seguro muda.

O assentamento não foi levado em conta quando os sensores de nível foram substituídos após o revestimento de 2004. E, com sensores soltos e livres para se mover, os controladores lógicos não tinham como saber a elevação real da água no reservatório superior.

A usina premiada ficou dependente de um sistema de medição que não conhecia nem o nível real nem o topo real.

Sondas de segurança, local errado e a exigência de dois sinais para desligar

Sondas de segurança foram instaladas no parapeito para servir como backup e desligar as bombas se o nível ficasse alto demais.

O problema é que elas foram instaladas em um ponto mais alto do que o topo das seções assentadas. Se a água atingisse essas sondas, já poderia estar ultrapassando partes do muro em cotas mais baixas.

A segurança estava calibrada para uma parede idealizada, não para a parede assentada.

Houve ainda uma falha de programação: o desligamento exigia que ambos os sensores fossem acionados.

Na visita anterior à cerimônia do IEEE, quando água escorreu pela parede, as sondas não desligaram o sistema e ninguém teria se dedicado a verificar por que.

Em vez de checar elevações importantes em campo, como topo do parapeito e níveis dos sensores, a resposta foi adicionar margem e adiar reparo permanente.

O caso também expôs a ausência de uma rotina simples de comparação entre leituras eletrônicas e observação direta.

Foi mencionado que teria sido fácil manter alguém no local nos minutos finais do enchimento diário para comparar medições, ou instalar câmera de circuito fechado.

O proprietário também não notificou o órgão regulador na primeira vez em que houve transbordamento observado, reduzindo a supervisão sobre a resposta adotada.

Por que a ausência de vertedouro virou a lição mais repetida

O erro mais significativo citado ocorreu muito antes da geomembrana e dos sensores: o projeto original jamais construiu um vertedouro. Para um reservatório fora do canal, as entradas de água são limitadas, descritas como chuva direta e água bombeada. Com borda livre suficiente e redundâncias no controle, os projetistas consideraram que a água nunca precisaria de uma rota física para sair por cima com segurança.

A experiência mostrou o risco de depender de sistemas de controle complicados como última barreira. Sensores podem se deslocar. Programação pode ser feita com lógica inadequada. Elevações podem mudar com assentamento.

Quando isso acontece, a água busca o caminho que encontra. Um vertedouro, por outro lado, é uma peça estrutural simples: uma vez que a água chega ao topo, ela extravasa por um caminho projetado.

Vertedouro não é solução mágica e não é infalível, mas reduz a quantidade de caminhos possíveis para um transbordamento virar ruptura do parapeito.

Depois de Taum Sauk, o vertedouro passou a ser mencionado como necessidade mesmo em reservatórios fora do canal com controles redundantes. A usina premiada se tornou exemplo de como redundância eletrônica não substitui uma rota física de segurança.

Acidentes normais, Charles Perrow e a complexidade como risco

O relato introduz um conceito para interpretar o desastre: eventos assim são descritos como acidentes normais, termo associado a Charles Perrow.

A ideia é que, quando sistemas são complexos, especialmente quando medidas de segurança adicionam mais complexidade, a probabilidade de falha cresce. Em outras palavras, a falha se torna parte do comportamento esperado do sistema, não uma exceção improvável.

No caso da usina premiada, a segurança dependia de sensores de nível, conduítes, cabos, correntes internas, lógica de desligamento, parâmetros de programação e operação remota.

O vertedouro aparece como contraponto porque é simples em comparação com um sistema de controle industrial.

A história de Taum Sauk mostra como uma cadeia de pequenas falhas pode atravessar todas essas camadas e chegar à água sobre o parapeito.

Multa recorde, fundo local e acordo para restaurar Johnson’s Shut-Ins

A FERC multou o proprietário em 15 milhões de dólares, descrita como a maior penalidade já emitida. Cinco milhões foram destinados a um fundo de melhoria da área ao redor do projeto, com menção de que reportagens recentes alegaram má gestão desse dinheiro.

O estado do Missouri entrou com ação judicial e o acordo chegou a 177 milhões de dólares, com grande parte destinada à restauração do Parque Estadual Johnson’s Shut-Ins, que realizou cerimônia de reabertura em 2010.

Esse conjunto de respostas financeiras e institucionais reforça a dimensão do caso. A usina premiada não foi tratada como falha rotineira de operação, e sim como evento capaz de redefinir parque, comunidade, protocolos e expectativas sobre segurança de barragens.

Reconstrução com concreto compactado com rolo e inclusão de vertedouro

Enquanto o parque era restaurado, equipes reconstruíram o reservatório superior em Taum Sauk. Para evitar novo licenciamento, a barragem foi refeita no mesmo alinhamento e com as mesmas dimensões do projeto original.

A técnica, no entanto, mudou: em vez de reparar o aterro de enrocamento, a Ameren e consultores optaram por concreto compactado com rolo, mistura mais seca, manuseada com equipamentos de terraplenagem e compactada com rolos.

O objetivo foi resolver assentamento e vazamento e, ao mesmo tempo, aproveitar material do aterro original. O enrocamento foi britado e processado para virar agregado do concreto, reduzindo transporte para o local remoto.

O elemento central do novo projeto foi incluir um vertedouro. A estrutura foi descrita como a maior barragem de concreto compactado com rolo nos Estados Unidos.

A usina premiada foi reaberta em 2010 e reinaugurada como marco do IEEE. O projeto também recebeu o prêmio de Excelência em Projeto Construído da Sociedade Americana de Barragens.

No retorno, o vertedouro e o novo método construtivo passaram a ser apresentados como resposta direta ao transbordamento e ao colapso do parapeito.

Mudanças na supervisão e a criação de um padrão interno de segurança

Depois do colapso, a FERC implementou mudanças na supervisão da segurança de barragens. Foi criado um grupo de trabalho e emitido um documento de orientação técnica voltado aos desafios das instalações de armazenamento por bombeamento, comunicado aos proprietários.

Também foram atualizadas regras para exigir programa interno de segurança de barragens e um engenheiro chefe de segurança de barragens responsável por supervisionar o tema, cargo que a Ameren não tinha à época.

O efeito do caso se espalhou. Foi mencionado que estados distantes, como o Havaí, reforçaram seus programas.

E uma lição apareceu como síntese: a necessidade de vertedouro de transbordamento mesmo para reservatórios fora do canal com sistemas de controle redundantes desenhados para impedir que a água chegue ao topo.

Armazenamento de energia, água e o contraste com baterias

Para quem acompanha a rede elétrica, o caso Taum Sauk reaparece quando se discute armazenamento. À medida que a matriz inclui mais fontes intermitentes, equilibrar oferta e demanda se torna mais importante.

Tradicionalmente, o armazenamento por bombeamento foi a solução econômica em larga escala, mas carrega um preço: barragens são estruturas de alto risco, que falham raramente, mas quando falham liberam água com grande poder destrutivo.

O relato observa que o armazenamento por baterias está ficando mais barato e mais disseminado, e que isso pode alterar a economia do armazenamento por bombeamento.

Algumas previsões citam que, até 2030, os Estados Unidos podem ter mais de 400 gigawatts-hora de armazenamento de baterias na rede, o equivalente a mais de 100 Taum Sauks em energia armazenada.

O perfil de risco é diferente do de construir um reservatório superior no topo de uma montanha.

Mesmo com essa mudança, a usina premiada de Taum Sauk permanece como referência técnica. Ela mostra como o transbordamento pode nascer de sensores imprecisos, como a ausência de vertedouro remove uma rota física de alívio e como a operação remota exige verificação que não dependa apenas de programação e de leituras eletrônicas.

O caso Taum Sauk deixa um ponto operacional difícil de ignorar: quando a segurança depende de sensores e controle remoto, a verificação de níveis e a existência de vertedouro deixam de ser detalhe e viram barreira de sobrevivência.

Em infraestrutura energética, a lição aparece tanto no desenho técnico quanto no modelo de governança exigido depois, com programas internos de segurança e supervisão formalizada.

Se você acompanha projetos de barragens e reservatórios, vale observar como decisões de instrumentação, lógica de desligamento e rotas físicas de extravasamento são tratadas antes de qualquer consagração pública, porque o transbordamento não espera cerimônia.

Na sua opinião, o que pesou mais na catástrofe da usina premiada: sensores deslocados, a programação de desligamento, a operação remota sem checagem no topo, ou a ausência de vertedouro?