À 4h47, l’alarme de niveau très haut d’un bac de kérosène en cours de remplissage s’active dans la salle de contrôle d’une raffinerie. Comme prévu par la procédure, un opérateur actionne l’arrêt d’urgence des pompes d’alimentation du bac, en salle. Cette action n’a pas d’effet. La vanne de pied de bac est fermée par l’automate de conduite, arrêtant le transfert. Un opérateur se rend sur place et arrête manuellement les 3 pompes. Il constate l’absence de débordement : le niveau du liquide est inférieur de 6 cm au maximum opératoire.

Dans la matinée, un mauvais positionnement du capteur mécanique de mesure du niveau très haut est constaté. Modifié 3 mois auparavant, le capteur a été placé 8 cm en dessous de sa cote théorique. Par ailleurs, le câblage de la fonction d’arrêt des pompes d’alimentation sur l’automate de sécurité avait été réalisé 2 jours avant l’événement. Les tests effectués à l’issue de cette intervention n’avaient pas été concluants : la perte d’intensité du signal au cours de sa transmission était trop importante. Une procédure temporaire, prévoyant la mise à l’arrêt des pompes par arrêt d’urgence, avait été mise en place. Il y était indiqué qu’il fallait tirer le bouton, ce qu’a fait l’opérateur, alors que le bouton en place devait être tourné puis tiré.

Dans la journée, l’exploitant corrige le positionnement du capteur de niveau très haut. Il met en place des relais électriques permettant d’amplifier le signal afin d’automatiser l’arrêt des pompes d’alimentation. Le bouton d’arrêt d’urgence est remplacé par un bouton à tirer.