Dans une usine chimique, une fuite de bichlorure de soufre (SCl2) sur une canalisation équipant le bouilleur d’une colonne de distillation s’hydrolyse produisant une forte émission de chlorure d’hydrogène (HCl). Cette colonne est dans un bâtiment en bardage qui constitue une sorte de confinement. Le POI du site est déclenché. Les secours internes activent des rideaux d’eau et les pompiers externes sont alertés. Une concentration de 50 ppm en HCl est mesurée dans le bâtiment (effet irréversible pour 1 h d’exposition = 60 ppm). Elle est cependant inférieure au seuil de détection à l’extérieur. Trois pompiers internes seront placés en observation dans des hôpitaux proches. L’eau des rideaux d’abattage (100 m³) est collectée dans le bassin incendie du site. Les pertes d’exploitation internes liées aux 18 jours d’arrêt de l’unité de synthèse en aval sont évaluées à 270 keuros.
L’accident a lieu lors de la maintenance d’un capteur de pression. Celui-ci a été diagnostiqué défaillant après avoir indiqué une pression de 108 mbar en sortie de bouilleur (seuil alarme haut = 100 mbar), déclenchant ainsi la fermeture de la vanne d’alimentation SCl2 et de la vanne de régulation vapeur du système de chauffage du bouilleur. Avant remplacement du capteur, le bouilleur qui contient alors 150 kg de SCl2 ne peut être vidangé à la suite de la présence de verre issue de la dégradation de la colonne de distillation. Ce colmatage avait été identifié depuis 3 semaines sans qu’aucune mesure n’ait été prise. Par ailleurs, la vanne d’isolement du capteur de pression, solidarisée à ce dernier du fait d’un grippage de boulonnerie, ne peut être fermée ; l’opérateur est obligé de démonter l’ensemble, laissant ainsi une mise à l’air sur le piquage DN25. Le capteur n’étant pas à sécurité positive, sa déconnexion électrique provoque l’ouverture de la vanne de régulation de vapeur et le chauffage du bouilleur dont la température passera de 24 à 120 °C en 30 min, entraînant l’émission de SCl2.
Les mesures prises au titre du REX concernent notamment les procédures de surveillance et d’intervention en mode dégradé, la modification du montage vanne de barrage / capteur de pression, la mise en place d’une boucle à sécurité positive indépendante de la régulation interdisant tout redémarrage automatique après franchissement du seuil de pression haute…
Au-delà, cet accident montre qu’un système de régulation d’un procédé ne constitue aucunement un système de sécurité et ne peut être retenu comme tel. En particulier, les automates programmables de production répondent à une logique et des critères qui ne sont pas tous connus des équipes d’intervention et qui ne prennent pas forcément en compte modes dégradés et situations de consignation.
Télécharger la fiche détaillée au format .pdf (638 Ko)
