Dans une raffinerie en phase de redémarrage après un grand arrêt, un opérateur détecte vers 6 h, au cours d’une ronde une odeur de gaz à proximité d’un bac atmosphérique à toit fixe (bac de slops) recevant les eaux usées issues d’un réservoir décanteur de 50 m³ traitant les effluents chargés d’hydrocarbures du débutaniseur (colonnes de distillations atmosphériques). Il effectue une mesure d’explosimètre qui se révèle négative mais pose un balisage à 45 m du bac interdisant le passage de véhicule à proximité. A 7 h, un ouvrier soudeur sous-traitant arrête son véhicule moteur allumé au niveau du balisage quand une explosion se produit. Un opérateur témoin donne l’alerte, l’ouvrier brûlé au 3ème degré est évacué sur un hôpital, l’arrivée d’eau au bac est arrêtée et son contenu envoyé à la torche. Des flammes sortent des évents et le toit doit être arrosé massivement. A 10 h, les autorités organisent une cellule de crise, ferment à titre préventif la RD 37 distante de 400 m et demandent le confinement des écoles, ainsi que d’un centre hospitalier situés à moins de 1 km. De l’azote est injecté par le toit du décanteur à partir de 12 h, ce qui éteint le foyer en 20 min, puis le réservoir est vidangé jusqu’à 22h20. L’intervention a mobilisé une trentaine de pompiers (internes + externes).

L’enquête montre que, la veille de l’accident, la vanne de by-pass de la vanne régulant le passage des eaux usées entre le ballon des débutaniseurs et le décanteur est fuyarde : le passage d’hydrocarbures fait monter la pression dans le décanteur et une sécurité pression haute provoque la fermeture d’une électrovanne de sécurité en amont de la vanne de régulation et de son by-pass. La baisse de pression qui s’ensuit dans le décanteur provoque la réouverture de cette électrovanne et la reprise de la fuite. Ce cycle se reproduit plusieurs centaines de fois la veille de l’accident dans l’après midi, révélé par l’examen des enregistrements des paramètres d’exploitation. Vers 20h30, l’électrovanne de sécurité tombe en panne par échauffement, elle se replie en position fermée (sécurité positive) mais reste bloquée en position intermédiaire. Le report en salle de contrôle affiche une position fermée car l’automate n’enregistre que l’ordre de fermeture et non la position réelle de la vanne : la fuite par la vanne de by-pass vers le décanteur reprend en continue à un débit de 5 m³/h, alors que la pompe de reprise du décanteur vers le bac ne soutire que 2,5 m³/h. Dans le décanteur fonctionnant par séparation eau/hydrocarbures, les hydrocarbures accumulés dans le compartiment hydrocarbures débordent en début de matinée dans le compartiment des eaux usées, puis sont envoyés dans le bac de stockage pendant 2 h, soit un volume d’hydrocarbures transféré de 2 à 7 m³. Ceux-–ci s’évaporent par les évents du bac et forment un nuage explosible qui s’enflamme sur le moteur de la voiture (point chaud).

Un opérateur avait détecté à 6 h que l’électrovanne était bloquée, mais son signalement en salle de contrôle n’a pas donné de suites. L’échelle d’affichage de la pression dans le décanteur sur les écrans de contrôle de l’unité est trop réduite, rendant difficile la détection du cycle de surpression. Le démarrage d’une autre unité à 19h30 la veille avait monopolisé l’attention des opérateurs de conduite et du chef de quart qui n’a pas vérifié les alarmes de pression en cours dans le décanteur. A partir de 20h30, des alarmes de pression deviennent récurrentes et déclenchent un bandeau sur le synoptique des équipements prioritaires et un klaxon. Pendant plus de 15 h, l’opérateur de quart, également en charge de 3 autres synoptiques, acquitte ces alarmes sans chercher à comprendre leurs conséquences sur le procédé. Il n’existait pas de consigne hiérarchisant les alarmes et priorisant leur traitement.

L’exploitant revoit l’activation de l’électrovanne de sécurité (déclenchement sur niveau eau/hydrocarbure) et redéfinit les actions de sécurité associées aux courbes d’évolution des paramètres de conduite de l’unité.