Dans une usine chimique, une importante fuite de nitrobenzène liquide (toxique) se produit dans l’atelier de fabrication de cette substance pour la production d’aniline. La fuite ne peut pas être stoppée. L’équipe d’intervention de l’usine confine le déversement. Une entreprise spécialisée récupère le produit déversé et nettoie la zone.

Le contenu de 2 réservoirs (colonne de distillation et vaporisateur) et d’une tuyauterie, soit 12 t d’un mélange de nitrobenzène et de dinitrobenzène se déverse sur le sol.

Cet incident se déroule au cours d’un arrêt planifié de l’atelier de fabrication de nitrobenzène. Un indicateur de niveau doit être retiré pour inspection, sur une tuyauterie reliant 2 réservoirs sous vide. Ce capteur est installé sur la phase gaz de la ligne. Le planning initial de l’arrêt de l’atelier prévoyait de vider la ligne et les réservoirs pour retirer le capteur. Le permis de travail est établi sur la base de cette condition.

En raison de contraintes de temps, la nécessité de vider la ligne est réévaluée et il est finalement décidé que le capteur peut être retiré sans vidange car il se situe sur la phase gaz. Le permis de travail n’est pas adapté sur cette nouvelle condition.

Lors de la préparation du travail un jour avant le démontage, le capteur de niveau est identifié. L’opérateur n’a pas étiqueté le capteur de niveau mais un capteur de température sur une ligne liquide reliant également les deux réservoirs sous vide juste en dessous de la ligne gaz.

Au moment du démontage des boulons, le prestataire n’a pas vu de signe de fuite car la ligne est sous vide. Quand la bride de connexion du capteur de température a été rompue, l’air a été aspiré et le contenu de la ligne et des réservoirs a été libéré provoquant l’importante fuite.

L’enquête montre que, bien que la société exige un permis de travail, il n’existait aucun contrôle de l’installation et des mesures de sécurité avant la délivrance du permis. De plus, étant donné que l’installation devait être vide mais non dégazée, l’ouverture de la ligne devait être supervisée par un opérateur, mais ne l’était pas.

Une charge de travail trop lourde sur les permis de travail pendant l’arrêt serait à l’origine de cette absence de contrôle. De plus, le permis de travail préparé n’avait pas été modifié après la décision de ne pas vider l’installation.

Plusieurs mesures sont mises en place :

• formation aux procédures de permis de travail ;
• adaptation du système de permis de travail à la situation d’un arrêt pour garantir l’applicabilité des exigences de verrouillage / étiquetage et des contrôles nécessaires avant d’autoriser les travaux et de gérer les modifications apportées à la condition d’arrêt initialement prévue ;
• adaptation de la procédure sur les effectifs minimaux, pour garantir un personnel de production suffisant pendant les périodes d’arrêt.