O caso
Às 2h45 da madrugada de 22 de setembro de 1993, no nevoeiro, barcaças empurradas pelo rebocador Mauvilla atingiram a ponte ferroviária sobre Big Bayou Canot, próximo a Mobile, Alabama.
O impacto deslocou um dos vãos da ponte.
Oito minutos depois, o Sunset Limited, da Amtrak, chegou ao local. O trem atingiu a estrutura deslocada e descarrilou. Locomotivas e vagões caíram na água e houve incêndio. Quarenta e sete pessoas morreram e 103 ficaram feridas.
Há um detalhe de engenharia particularmente importante.
A colisão deslocou a estrutura e os trilhos, mas não rompeu os trilhos de forma que o sistema de sinalização detectasse a falha. O relatório do NTSB registra que o sistema continuou operando e que os sinais permaneciam livres para avanço.
Para a tripulação do trem, o sistema estava dizendo: prossiga.
A investigação do NTSB apontou entre as causas a perda de orientação do piloto do rebocador no nevoeiro e sua insuficiente competência para navegação por radar, além de falhas organizacionais e regulatórias. O NTSB também destacou a inexistência de um programa nacional de avaliação da vulnerabilidade de pontes a colisões de embarcações.
O obstáculo
Dois sistemas de transporte independentes — navegação e ferrovia — compartilhavam fisicamente a mesma infraestrutura.
O ponto crítico
O sistema ferroviário monitorava determinadas condições dos trilhos, mas o deslocamento da ponte provocado pela embarcação não interrompeu o circuito de forma suficiente para gerar um sinal de perigo.
Lição de campo
Um sistema de proteção só detecta aquilo para o qual foi projetado. Sinal verde não significa necessariamente “está tudo seguro”. Pode significar apenas “nenhuma das falhas que eu sei detectar apareceu”.
Leve para o campo
Em qualquer proteção automática, pergunte: quais modos de falha ela detecta; quais podem atravessar o sistema sem gerar alarme; existe agressão externa que não foi considerada; e uma segunda fonte independente poderia confirmar a condição segura?