The summary of this accident has not yet been translated. In the meantime, please refer to the French summary :

Signalée par un message d’erreur sur l’écran de supervision de l’unité et diverses alarmes, une panne se produit à 7h53 sur l’automate de conduite des installations d’électrolyse d’une usine produisant du chlore (Cl2) et du sodium métal (Na). Ce module comprend 2 automates procédé, maître et esclave (redondance), relié par un module de synchronisation et un réseau de fibres optiques. Pour vérifier si le défaut provient des fibres optiques reliant les 2 CPU (unités centrales de traitement des automates), les électriciens d’astreinte croisent ces fibres vers 8h20 ce qui provoque l’arrêt des installations de liquéfaction du Cl2 et des 2 salles d’électrolyse. L’automate maître ne détecte pas cet arrêt, perd quelques informations de supervision, et continue de fonctionner mais de manière anormale ; 30 “événements” de fonctionnement et une centaine d’alarmes sont enregistrées en salle de conduite (fermetures inappropriée de vannes…), mais sans trace de l’arrêt des installations de liquéfaction du Cl2. L’automate de sécurité ne réagit pas à ce moment là car l’automate procédé ne s’est pas arrêté.

A 8h34, les opérateurs demandent par précaution l’arrêt des salles d’électrolyse. Un opérateur de l’unité liquéfaction, venu dégazer les compresseurs des chloroducs qui montent en pression, signale qu’un nuage de Cl2 s’est formé au dessus de l’usine. Les secours internes établissent un réseau de mesures autour du site. L’exploitant déclenche son POI à 9h35 et arrête toutes ses unités : même si les capteurs de Cl2 hors site ne détectent aucune concentration anormale, un opérateur revenant d’une ronde dans les unité est incommodé.

A 9h07, le module de synchronisation qui s’avère défectueux est remplacé et les opérateurs forcent le démarrage des CPU des automates procédé, c’est alors que l’automate de sécurité perd la communication avec l’automate procédé et met les installations en sécurité.

A 9h23, le système de conduite (automate procédé) est redémarré, suivi progressivement par les salles d’électrolyses entre 11h15 et 18 h une fois que le Cl2 résiduel a été évacué des ateliers par ventilation. Le POI est levé à 13h30.

Au redémarrage des cellules électrolytiques, une émission de fumées blanches (oxyde de sodium) plus importante que la normale est observée en raison de leur arrêt prolongé (2 h); l’endommagement des équipements est redouté mais sera écarté. Le rejet de Cl2 par la tour d’abattage résulte quant à lui d’un afflux de Cl2 liquide dans la ligne de gaz l’alimentant. La fermeture automatique de la vanne à l’entrée du piège à Cl2 n’a en effet pas fonctionné jusqu’au redémarrage de l’automate procédé. Cette vanne a en effet une logique 2 sur 3 (1 sonde de niveau et 2 sondes de température) et la température basse n’a pas été atteinte immédiatement, le niveau ne permettant pas à lui seul sa fermeture. L’exploitant évalue la quantité de Cl2 perdue à quelques kg et estime que le nuage de chlore s’est dissipé localement, car les 200 l (300kg) de Cl2 qui sont passés au delà du piège à chlore ont été majoritairement absorbés par le barbotage de la tour d’abattage.

Les fumées émises et des odeurs de Cl2 sont signalées par les riverains à 11h50 et 14h45.

Sur sa demande, le constructeur vérifie les automates sans parvenir à identifier la cause de la défaillance, mais note que plus de 100 alarmes se sont déclenchées en quelques secondes. Il demande à l’exploitant une mise à jour des logiciels de ces derniers, installés en 2006 et qui ont 6 mises à jour de retard (retard ne pouvant toutefois expliquer l’accident). La carte défaillante (coupleur optique entre les CPU des unités centrales) et les CPU des 2 unités centrales des automates sont remplacées. L’inspection des installations classées sera informée 48 h après l’accident. Suite à plusieurs épisodes d’odeurs et de fumées inhabituelles sur sa commune les mois précédents, le maire avait dès le lendemain des faits signalé des odeurs de Cl2 à l’inspection, après avoir contacté l’exploitant le jour même pour obtenir des explications. Après analyse des causes, l’exploitant revoit les seuils des paramètres déclenchant la fermeture de la vanne du piège à chlore afin d’obtenir une cinétique de fermeture compatible avec celle d’une émission accidentelle de chlore. De plus, toute intervention de maintenance sur l’automate procédé donnera lieu au basculement des installations sur l’armoire électrique de back-up, et le passage systématique en mode de conduite manuelle faute d’avoir pu reproduire et déterminer la cause exacte de la panne.