Explosion mortelle @Total Carling 2009

1. Par Fj guillou, Expert de Justice
Revision Mars 2020
Explosion mortelle , site
Pétrochimique de Total à Carling en
Moselle , le 15 juillet 2009
Four de Vapocraqueur, synthèse de
l’accident ,du procès pénal de mars
2016

2. Explosion d’un four surchauffeur de
Vapocraqueur à Total Carling , Moselle le 15 juillet
2009, synthèse

3. Les 2 vapocraqueurs de
Total a Carling
( oléfines craqueur #
570Kt / an Ethylène
C2H4 )/ en 1980

4. La Dualité
permanente
du Risque

5. L’explosion du four de Carling en 2009
• Le 15 juillet 2009 à 15h, lors d’un redémarrage
• 2 morts, 6 blessés
• Procès Pénal mars 2016 , Jugement sans Appel du Tribunal
Correctionnel ,TGI de Sarreguemines en juin 2016
( +1200 cotes penales)
• Procès civil en cours en 2017
condamnations penales :
Faute professionnelle inexcusable ayant engendré un
accident grave et des homicides involontaires
• 200,000 € d’amende pour Total Petrochemicals
• 1 an de prison avec sursis et 20,000€ pour le directeur du
site

6. Les conditions de l’explosion

7. Le process en cause
• 2 fours surchauffeurs vapeur de T°380 c à 525c à 110 bars eff
produisent la vapeur sèche d’alimentation de la turbine du turbo
compresseur des gaz craqués sortant des fours du vapocraqueur
(charge de naphta et vapeur ) (vapeur saturée110 b à 320 °c)
• Une vanne d’équilibrage régule le débit de vapeur en sortie de chacun
des 2 surchauffeurs vers l’aspiration du compresseur
• Le dysfonctionnement de cette vanne entraine une augmentation de Tc
de la vapeur d’un des 2 surchauffeurs par déséquilibrage du débit
vapeur et le déclenchement des sécurités: TSH 542°, TSHH 545°,
TSHH 600° avec l’arret séquentiel progressif puis total des
bruleurs et des fours , puis du turbo compresseur aval 110b
• L’arret du turbo compresseur par manque de vapeur provoque l’envoi
des gaz craqués provenant des fours , a la torche d’urgence ( perte de la
totalité de la charge pendant plusieurs heures…)
• Le (re)demarrage d’un four est une opération dangereuse

8. schema de principe du train chaud des gaz craqués des fours au turbo
compresseur vapeur 110 bars @ T= 525°c

9. Exemple de turbo compresseur de vapo craqueur (olefins
cracker) vapeur 110 bars @ T=525°c, 17 MW

10. Envoi a la Torche des gaz
craqués suite a
déclenchement du turbo
compresseur vapeur 110
bars @ T< 400°c

11. Pid du four concerné par l’explosion

12. Zoom sur la sortie vapeur sèche 525°c , 110bars
la vanne d’equilibrage grippée, MV 6101
les sécurités de température TSH à 542°,TSHH à 545°

13. Zoom sur les lignes de combustible et les 7 bruleurs
Nota : Il n’y a pas de vanne de sécurité de sectionnement des brûleurs n° 4 et 7.
Cela implique un ordre d’allumage manuel des brûleurs défini et reproductible.

14. • 2 fours surchauffeurs en parallèle communs aux 6 fours de chaque
vapocraqueur , 7 brûleurs de sole chacun, surchauffe de vapeur à 110
bars de 380 à 525°c pour alimentation turbine HPducompresseurdes gaz
craqués (coupesC1aC8+)
• Les détections de présence flamme pilote/veilleuse des bruleurs sont
shuntées officiellement depuis 1995 car non fiables, trop proches et
gênées par la vapeur provenant de la fosse de décokage des tubes de
fours (scenario non remonté dans l’EdD). Mesure compensatoire:
« surveillance visuelle accrue »
• La vanne d’équilibrage du débit vapeur en aval de chacun des 2
surchauffeurs n’avait pas été révisée lors du dernier grand arrêt 2008 ,
1 an auparavant
• Plusieurs déclenchements par température haute TSH 542°,suite à
blocage /grippage de cette vanne , avaient eu lieu depuis l’arret 2008
• Brûlures et passages à l’infirmerie suite à ces déclenchements et 5
explosions mineures dans les dernières 36h avant l’accident
L’explosion du four de Carling en 2009

15. 300,00
350,00
400,00
450,00
500,00
550,00
600,00
14:16:48 14:24:00 14:31:12 14:38:24 14:45:36 14:52:48 15:00:00
Température(°C)vapeur110b
15 juillet (heures IMAC)
Température vapeur 110 b à la sortie du surchauffeur BF 601A
T vapeur 110 b BF601A
1TSH6101
1TSHH6101
1TSH6184R
1TSHH6184R
1TSHH6184R
1TSH6184R
542°C
545°C
Graphique N°12/2 (15/7)
15
Déclenchement turbo compresseur des gaz craqués à T°c < 400°
Soit ici vers 14h 50
Temporisation des températures associées aux alarmes TSH6101/TSHH6101,
TSH6182/TSHH6182 et TSH6183/TSHH6183

16. • Déclenchement arrêt four par TSHH , une nouvelle fois
• Arrêt brûleurs mais pas des pilotes (veilleuses) , au contraire du
TSHHH
• Isolement/extinction des pilotes par erreur / incompréhension
• Difficulté de rallumage des pilotes (cause supra)
• Décision de rallumage rapide ( car four encore chaud) via brûleurs
directement et sans balayage vapeur , pour éviter l’arrêt du turbo
compresseur aval
• Shunt (bypass ) de la sécurité générale pour ouvrir la XV (vanne
interlock) de gaz ( sécurité par manque de détection flamme
pilote/veilleuse ) , commande centrale en salle de contrôle
1 La séquence des opérations avant
l’explosion du four

17. • Décollage vanne manuelle gaz vers brûleurs par operateur passerelle
• Un opérateur sur la passerelle, un sous la sole, et un autre
sur le coté, le 1er guide le second qui tient une longue canne
d’allumage piézo electrique, passant au travers des vantelles d’air
aspiration d’un des 7 bruleurs
• prise de gaz préventive ( en % LIE) non efficace et inadéquate
• opération faite en aveugle car aucune visibilité a l’interieur du
four par les trappes de visite
• 1ère expérience de démarrage de four pour les deux jeunes
operateurs en contrat de qualification
2 La séquence des opérations avant
l’explosion du four

18. • Explosion de type déflagration de 12 kgs de gaz ,( soit # une
bouteille ) surpression interne en zone de radiation de 200 à 300
mbars environ )
• Les trappes d’explosion s’ouvrent mais ne sont pas suffisantes pour
éliminer la surpression
• La lourde sole ( force de surpression de 50 t) frangible du four est
projetée vers le sol et écrase l’opérateur situé en dessous, tué sur le
coup (autopsie)
• L’opérateur sur le coté , est transformé en torche vivante ,et décède de
l’effet du souffle /blast et de ses brulures (autopsie)
• Projections de missiles ( briques réfractaires ) sur un rayon de 50 à
100m
• 6 personnes aux alentours gravement blessées par les projectiles
/missiles (séquelles)
L’explosion du four de Carling en 2009

20. • Le gaz naturel est plus lourd que l’air malgré le tirage de la
ventilation : vantelles et registre ouvert , il s’accumule en zone basse
de radiation ( dépression due a l’orage)
• Explosion avec surpression interne en zone de radiation # 300 mbars
vitesse de propagation V # 300m / sec)
• les composantes Ps statique et Pd dynamique de pression de l’onde de
choc Pd= av²/2g et Ps=b/V v vitesse de propagation V volume de
gaz naturel occupé dans le four avant l’explosion type déflagration
• contraintes σa axiales ( effet de fond) et σt tangentielles
(circonférentielles de virole ) de paroi du four tel que
σt = 2 σa aurait du favoriser la rupture de la virole et non du fond
• Barrières de sécurité defaillantes de protection : virole Frangible du
four , trappes/disques d’explosions , soupapes, registre
• La sole est arrachée (rupture semi fragile ) sous l’effet de la
surpression dynamique ajoutée a son propre poids
Eléments de Mécanisme de l’explosion du four

21. L’explosion du four de Carling en 2009

22. L’explosion du four de Carling en 2009

23. L’analyse des causes

24. • Une région sinistrée , des installations âgées ( #40 ans) et en fin de vie, un
site menacé, des fermetures d’atelier , une rentabilité en question , une
pression importante sur les frais fixes , couts et délais
• Disparition des sauvegardes informatiques / historique des opérations des 72h
précédent l’explosion (volontaire ou accidentelle ?) suite à un orage
magnétique avec foudre et inondation en salle de contrôle du 14 juillet 2009)
• Pas de réponse claires des cadres usine aux questions des 4 experts
judiciaires, sur probables consignes de mutisme de la direction de Total ,
idem constaté lors des auditions contradictoires lors du procès en mars 2016
• Fort traumatisme des employés lors des audits de l’enquete judiciaire
• Absence de délégation de pouvoir du directeur usine déresponsabilisant le
mid management qui « ne savait rien » …
• Strategie de la defense de faire porter la responsabilité de l’accident sur
une erreur humaine des operateurs
• Clivage historique fort entre cadres et non cadres rendant difficile la
recherche des informations nécessaires a l’arbre des causes
Environnement et Difficultés de l’Expertise Judiciaire
Penale

25. Analyse des Barrieres de securite par le modele Tripod beta

26. Analyse des Barrières de sécurité et le modèle Tripod beta

27. Barrières de prevention en amont de l’ explosion
1. Shunt volontaire et organisé des sécurités BSL des 7 bruleurs( la cause
racine)
2. Non respect mode opératoire redémarrage :
a. extinction volontaire des flammes pilotes de bruleur
b. Décision de rallumer directement les bruleurs sans pilotes
c. Décollage vanne manuelle vers brûleurs sans présence flamme
pilote
d. Non balayage vapeur sécurité de la sole , avant mise a feu
e. Pas de prise de gaz effective avant et pendant le démarrage
f. Opération en aveugle (ref: mmr surveillance visuelle accrue )
3. Shunt volontaire de la sécurité générale( en SdC) pour ouvrir la XV
(vanne interlock) de débit gaz ( sécurité par manque de détection
flamme pilote)
Barrieres de protection en aval de l’ explosion
1. Déficience du design du four, sous dimensionnements trappes
2. Frangibilité sole et non chambre de combustion
Les 10 barrières de sécurité en cause :
8 transgressées, 2 défaillantes

28. Facteurs organisationnels
• Gestion de la sécurité de procédés Seveso insuffisante :
MOC, PHA, EDD,SGS , analyses de risques ,barrières de sécurité
• Manque de rigueur des procédures /modes opératoires
• Shunt volontaire organisé des sécurités BSL des 7 bruleurs du four
Facteurs techniques
• Non Fiabilité des barrières de sécurité ( BSL/ SIL)
• Déficience du design du four, sous dimensionnements
• Frangibilité sole et non chambre de combustion
• Dégradation maintenance des équipements
• Absence de contrôle et de prise de gaz , effectives
Facteurs humains
• Manques de compétence / expérience / formation du personnel
• Erreurs humaines ( slips/lapses + erreurs volontaires ,violations )
• Objectifs incompatibles( securité ,couts, production )
• Conditions de travail ( pression, delais ,precipitations ,etc..) ou Errors
enforcing conditions .Quand on est soumis a la pression ll faut savoir
rester soudés pour mieux resister aux epreuves( fjg) i.e : peur panique
des employés
L’explosion du four de Carling en 2009, les causes :

29. Facteurs des causes organisationnelles

30. Analyse des Facteurs organisationnels (1à 11)
Les 10 premiers facteurs organisationnels du modèle tripod beta, (voir slide
précédent ) ,ont été cités au moins une fois dans cette expertise judicaire
Plusieurs alertes sur incidents similaires ( retours de flamme ,déflagrations ,back
draft ) n’avaient pas fait l’objet d’une analyse tel qu’exigé par le SGS ( système de
gestion de la sécurité) des sites soumis classés Seveso AS
Il avait été constaté un manque très net , un fossé , dans la communication de
travail (7) entre « le Bureau / et le Terrain/salle de contrôle »
Les conditions de travail causant des erreurs (4) et les objectifs incompatibles (8)
ont joué un rôle primordial sur le facteur comportement humain précédant
l’accident
impact sur une culture de sécurité terrain défaillante , malgré les systemes en
place ISRS, directive SEVESO , une culture de sécurité orientée papier
L’explosion du four de Carling en 2009, les
causes :

31. Des accidents de fours / chaudières aux Usa
31
Circonstances Causes (invoquées dans le rapport)
Lieu Date Start-
up?
Victimes Procédures/
Formation
Bypass poss./
Insuff. sécurités
Défaut
PHA
Défaut O2 /
CO mètre
Morris 03/02 OUI NON Procédures Bypass XVs
NOVA
Chemicals
06/03 NON NON Procédures Pas de BSLs PHA
déficiente
Pas de
CO/O2 mêtre
Congrès
ASME
09 ? OUI NON Conception
sécurités
Pas de
PHA
Channelview 08/10 OUI NON Respect
procédures
Bypass
sécurités BSLs
Chevron
Mississipi
11/13 OUI 1 décès Formation Pas de CO
mêtre
Philips 66
New Jersey
11/16 NON NON Formation Pas de CO,
déft réception
Corpus
Christi
01/17 OUI 1er soin Respect
procédures
Bypass
sécurités XVs
Carling 09/07 OUI 2 décès Procédures
& Formation
Bypass sécur.
XVs + BSLs
PHA
déficiente
Pas de
balayage vap
- Souvent pendant un (re) démarrage
- Formation/procédures/ personnel presque toujours en cause

32. Les solutions , la prévention des
risques ,exemples

33. 1- Explosion d’un four a soudure verticale de virole frangible ,
sole intacte, souffle dirigé, double barrière de protection

34. 2- Explosion d’un four a soudures / assemblages verticaux de
virole frangible , sole intacte, trappes d’explosion effectives
souffle dirigé, peu de fragments

35. Two Olefins Crackers @ USA; Top 5 world size ,
>2 Millions t/y C2H4
feed stock upgrading projects @Turnaround

36. Olefins Cracker 1> Million t/y Ethylene C2H4
Process Safety Fully Implemented PHA,HAZID
HAZOP,LOPA, RBI, FMECA with MOC…
(Seveso: EDD,SGS ,Hazop, Rbi , Amdec,Lopa , MOC ,etc …

37. INTEGRITY :
HIRARC/AIPSRM
Assets Integrity
Process Safety risk
management
implemented with
management of
change MOC
Copyright fjguillou

38. Brave loin
du Danger

39. « Quand on est soumis à la pression , il
faut savoir rester soudés , pour mieux
résister aux épreuves » …
une devise de la vie, de ses contraintes et risques ,
par analogie à l’inspection/sureté en Pétrochimie ,
(i.e. directive pression et contrôles non destructifs)
par fjguillou
corollaire :
« surtout après avoir été roulés », notamment par
des « serial cost killers », une race inextinguible qui
ne cessera de mettre pression , fièvre et stress , sur
la sureté des usines … , en plus des Cnd , il nous faut
donc aussi soupape de sureté ,résilience, relaxation
,et sang froid pour surmonter les épreuves …

40. Goal Zero
Accidents