Dans une raffinerie, une tuyauterie se rompt à 19h41 au niveau d’un réacteur d’un hydrocraqueur, libérant un mélange de gaz légers (méthane, butane…), d’essence, de gazole et d’hydrogène. Ce mélange s’enflamme instantanément, causant une explosion (VCE) et un incendie. Un opérateur venu contrôler la température à la base du réacteur est tué sur le coup et 46 employés ou sous-traitants sont blessés dont 13 hospitalisés.
La tuyauterie s’est rompue à cause d’une température excessive (> 760 ° C) des gaz provenant d’un catalyseur à lit fluidisé. Cette chaleur excessive provenait elle-même d’une dérive en température du réacteur commencée avec un point chaud sur le lit fluidisé précédent (probablement dû à un mauvais écoulement et une mauvaise répartition de chaleur dans le catalyseur à lit fluidisé). La dérive de température n’a pas pu être maîtrisée, car les opérateurs n’ont pas déclenché la procédure d’urgence de dépressurisation du réacteur alors que la température dépassait la limite de 426 °C indiquée dans les consignes. Ces derniers, disposant d’informations contradictoires et en l’absence d’alarme sonore à haute température, se demandaient si une augmentation de température était réellement à l’oeuvre. C’est pourquoi l’un d’entre eux est parti lire la température sous le réacteur…
L’enquête menée par l’agence pour la protection de l’environnement souligne des manquements graves à la sécurité et de management tels que :
- des conditions de fonctionnement inadaptées dues à l’absence de balance entre objectifs de performance et risques acceptables. La réticence des opérateurs à déclencher le système de dépressurisation peut s’expliquer par les conséquences négatives que de tels déclenchements ont eu par le passé sur les opérateurs (pression productive)○;
- une mauvaise conception du système de surveillance de température du réacteur : utilisation de 3 systèmes d’instrumentation de température différents, accès au point de contrôle le plus critique sous les réacteurs non reporté en salle de contrôle, système d’alarme ne permettant le déclenchement que d’une alarme à la fois, aucune distinction entre les alarmes d’urgence et celles d’exploitation… De plus, certaines données (pureté de l’hydrogène) arrivaient aux opérateurs avec un décalage de 7 min, fournissant des informations trompeuses aux opérateurs○;
- une insuffisance de contrôle et de management○: incidents ou problèmes pas toujours communiqués à la direction et celle-ci tolérait l’application incohérente des procédures d’urgence. Aucun programme de formation ou de “recyclage” des opérateurs n’avait été mis en place pour pallier tous les risques associés aux opérations de l’unité d’hydrocraquage. Aucun programme de gestion des modifications n’avait été mis en place pour suivre les divers changements mécaniques ou opérationnels (ne serait-ce que pendant les changements de catalyseur).
- une préparation opérationnelle et une maintenance insuffisante : le contrôleur de température (enregistreur de données) dans la salle de contrôle n’était pas fiable et parfois hors-service, les communications radio nécessaires pour relayer les données de température depuis l’extérieurs de la salle de contrôle n’étaient pas fiables et ne fonctionnaient pas lors de l’incident, le système de dépressurisation d’urgence n’était pas testé pour assurer sa fiabilité en cas de besoin…
- une formation insuffisante des opérateurs : matériel de formation dépassé, absence de formation spécifique (sur l’instrumentation de température ou sur les situations anormales d’exploitation…).
- des procédures périmées ou incomplètes : les recommandations élaborées suite à plusieurs incidents n’avaient pas été intégrées dans les procédures. De nombreuses opérations telles l’obtention de données de température sous les réacteurs n’étaient décrites dans aucune procédure…
- une analyse des risques très incomplète, qui ne reflétait même pas l’équipement réel et l’instrumentation utilisée dans le processus.
