The summary of this accident has not yet been translated. In the meantime, please refer to the French summary :

À 10h58, du gazole liquide s’enflamme à la sortie de la torche d’une raffinerie, lors du redémarrage de l’unité de production de gazole. D’importantes flammes ainsi qu’un panache de fumées noires sont visibles de loin. Des hydrocarbures sont projetés au sol et initient un incendie en pied de torche. Les équipes du site stoppent l’envoi de gazole à la torche au bout de 10 minutes. Le feu à sa tête s’éteint de lui-même. L’incendie au pied de l’installation est maîtrisé à 11h50. Le POI n’est pas déclenché. Le redémarrage reprend dans l’après-midi.

La quantité d’hydrocarbures envoyée à la torche est estimée à 42 m³. L’incendie impacte une trentaine de m² en pied de torche. Des irisations sont visibles à la surface du bassin entourant l’installation. Le réseau de capteurs de la qualité de l’air présent autour de la raffinerie pour mesurer d’éventuels pics de pollution (SO2, NOx, poussières notamment) n’enregistre pas de dépassement des seuils réglementaires.

L’accident s’est produit peu après le lignage de l’unité de production de gazole vers le réseau torche. À 10h17, un récipient sécheur plein a été mis en service. Son alarme de niveau haut s’active immédiatement. Un opérateur acquitte l’alarme et vérifie la mise en service de la pompe de vidange du récipient. Cependant, le débit de cette pompe est inférieur au débit entrant dans l’équipement. Celui-ci déborde et du gazole liquide s’écoule vers un ballon tampon en amont de la torche. À 10h23, l’alarme de niveau haut de ce ballon s’active. L’opérateur acquitte l’alarme et vérifie la mise en service de sa pompe de vidange. Son débit est également insuffisant. À 10h27, l’alarme de niveau très haut du ballon s’active. La pompe de vidange de secours, activée automatiquement par cette alarme, ne démarre pas. Le ballon déborde et du gazole liquide s’écoule vers la torche où il s’enflamme.

L’exploitant identifie plusieurs dysfonctionnements :

• par conception, le fond de la colonne à l’amont du récipient sécheur se remplit systématiquement en phase d’arrêt. N’étant pas équipée d’un système de purge, ce fond de gazole est transféré vers le récipient sécheur à chaque redémarrage ;
• plusieurs alarmes se sont avérées inactives ou défaillantes : certaines n’ont pas fonctionné, d’autres étaient mal paramétrées ou généraient de nombreuses fausses alarmes ;
• l’opérateur affecté à ces opérations était en même temps monopolisé par des perturbations importantes sur une autre unité. Il n’a pas averti son chef de quart, lui-même également accaparé par d’autres tâches ;
• bien qu’identifiée comme barrière importante pour la sécurité, l’alarme niveau très haut sur le ballon n’a pas été correctement interprétée par l’opérateur alors en situation de stress ;
• des procédures sont incomplètes : celle du redémarrage de l’unité gazole ne précise pas suffisamment les étapes de mise en service du récipient sécheur et celle sur la gestion des alarmes ne comporte aucune consigne pour les simples acquittements ;
• durant l’événement, la matrice de criticité déclenchant le protocole de gestion de crise de l’exploitant n’a pas été respectée.

À la suite de l’accident, l’exploitant prend différentes mesures :

• la procédure de redémarrage est complétée ;
• l’ergonomie des synoptiques de supervision est améliorée pour faciliter la détection de situations anormales ;
• le retour d’expérience de cet événement est intégré à la formation des opérateurs de conduite et une présentation est faite aux différentes équipes de la raffinerie.
• un vaste projet d’amélioration de la gestion des alarmes est initié. Il portera successivement sur l’optimisation du nombre d’alarme par pupitre de conduite, la ré-ingénierie du système d’alarme puis la consolidation des pratiques d’acquittement et d’inhibition.