Desastre de Flixborough - Flixborough disaster

Memorial aos que morreram no desastre

O desastre de Flixborough foi uma explosão em uma fábrica de produtos químicos perto da vila de Flixborough , North Lincolnshire , Inglaterra , no sábado, 1 de junho de 1974. Matou 28 pessoas e feriu gravemente 36 de um total de 72 pessoas no local na época. O número de vítimas poderia ter sido muito maior se a explosão tivesse ocorrido em um dia de semana, quando a área do escritório central estaria ocupada. Um ativista contemporâneo sobre segurança de processo escreveu "as ondas de choque abalaram a confiança de todos os engenheiros químicos do país".

O desastre envolveu (e pode muito bem ter sido causado por) uma modificação precipitada do equipamento. Embora praticamente todo o pessoal de gerenciamento da fábrica tivesse qualificações em engenharia química, não havia nenhum gerente sênior no local com experiência em engenharia mecânica. Problemas de engenharia mecânica com a modificação foram negligenciados pelos gerentes que a aprovaram, e a gravidade das consequências potenciais devido à sua falha não foi levada em consideração.

Flixborough levou a um clamor público generalizado sobre a segurança do processo . Junto com a aprovação da Lei de Saúde e Segurança no Trabalho do Reino Unido no mesmo ano, levou a (e é freqüentemente citado como justificativa de) uma abordagem mais sistemática para a segurança de processo nas indústrias de processo do Reino Unido. A regulamentação do governo do Reino Unido para o processamento de plantas ou armazenamento de grandes estoques de materiais perigosos está atualmente sob a Regulamentação de Controle de Riscos de Acidentes Graves de 1999 (COMAH). Na Europa, o desastre de Flixborough e o desastre de Seveso em 1976 levaram ao desenvolvimento da Diretiva Seveso em 1982 (atualmente Diretiva 2012/18 / UE emitida em 2012).

Visão geral

Outra vista do memorial

A fábrica de produtos químicos, de propriedade da Nypro UK (uma joint venture entre a Dutch State Mines (DSM) e a British National Coal Board (NCB)), originalmente produziu fertilizantes a partir de subprodutos dos fornos de coque de uma siderúrgica próxima. Desde 1967, em vez disso, ela produzia caprolactama , um produto químico usado na fabricação de náilon 6 . A caprolactama foi produzida a partir da ciclohexanona . Este foi originalmente produzido por hidrogenação de fenol , mas em 1972 foi adicionada capacidade adicional, construída em um projeto DSM no qual o ciclohexano líquido quente foi parcialmente oxidado por ar comprimido. A planta deveria produzir 70.000 tpa (toneladas por ano) de caprolactama, mas estava atingindo uma taxa de apenas 47.000 tpa no início de 1974. Os controles governamentais sobre o preço da caprolactama colocaram mais pressão financeira sobre a planta.

Foi uma falha da planta de ciclohexano que levou ao desastre. Um grande vazamento de líquido do circuito do reator causou a rápida formação de uma grande nuvem de hidrocarboneto inflamável. Quando este encontrou uma fonte de ignição (provavelmente uma fornalha em uma usina de produção de hidrogênio próxima ), houve uma enorme explosão de combustível-ar . A sala de controle da usina desabou, matando todos os 18 ocupantes. Nove outros trabalhadores do local morreram e um motorista de entrega morreu de ataque cardíaco em seu táxi. Os incêndios começaram no local que ainda estavam queimando dez dias depois. Cerca de 1.000 edifícios em um raio de uma milha do local (em Flixborough e nas aldeias vizinhas de Burton upon Stather e Amcotts ) foram danificados, assim como quase 800 em Scunthorpe (três milhas de distância); a explosão foi ouvida a mais de trinta e cinco milhas de distância em Grimsby , Hull e Saltfleet . Imagens do desastre logo foram mostradas na televisão, filmadas pelas equipes de notícias do filmstock da BBC e da Yorkshire Television que estavam cobrindo o Appleby-Frodingham Gala em Scunthorpe naquela tarde.

A planta foi reconstruída, mas a ciclohexanona agora era produzida por hidrogenação de fenol (Nypro propôs produzir o hidrogênio a partir do GLP; na ausência de aconselhamento oportuno do Health and Safety Executive (HSE), permissão de planejamento para armazenamento de 1200 te LPG em Flixborough foi inicialmente concedido sujeito à aprovação HSE, mas HSE objetou); como resultado de uma queda subsequente no preço do náilon, ela fechou alguns anos depois. O local foi demolido em 1981, embora o bloco administrativo ainda permaneça. O local hoje abriga a Flixborough Industrial Estate, ocupada por várias empresas e a Central Elétrica de Glanford .

As fundações das propriedades severamente danificadas pela explosão e posteriormente demolidas encontram-se em terrenos entre a fazenda e a vila, na rota conhecida como Stather Road. Um memorial aos que morreram foi erguido em frente aos escritórios no local reconstruído em 1977. Fundido em bronze , ele mostrava patos selvagens pousando na água. Quando a fábrica foi fechada, a estátua foi movida para o lago na igreja paroquial em Flixborough. Durante as primeiras horas do dia de Ano Novo de 1984, a escultura foi roubada. Nunca foi recuperado, mas o pedestal onde ficava, com uma placa listando todos os que morreram naquele dia, ainda pode ser encontrado fora da igreja.

O processo de oxidação do ciclohexano ainda é operado com o mesmo projeto de planta no Extremo Oriente.

O desastre

A planta

No processo DSM, o ciclohexano foi aquecido a cerca de 155 ° C (311 ° F) antes de passar para uma série de seis reatores . Os reatores foram construídos em aço-carbono com revestimento em aço inoxidável; durante a operação, eles continham no total cerca de 145 toneladas de líquido inflamável a uma pressão de trabalho de 8,6 bar (0,86 MPa; 125 psig). Em cada um dos reatores, o ar comprimido foi passado através do ciclohexano, fazendo com que uma pequena porcentagem do ciclohexano oxidasse e produzisse ciclohexanona , algum ciclohexanol também sendo produzido. Cada reator era ligeiramente (aproximadamente 14 polegadas, 350 mm) mais baixo do que o anterior, de modo que a mistura de reação fluía de um para o outro por gravidade através de tubos de ponta de diâmetro nominal de 28 polegadas (700 mm DN) com fole inserido. A entrada de cada reator foi interrompida para que o líquido entrasse nos reatores em um nível baixo; o líquido que saía fluía por um açude cuja crista era um pouco mais alta que o topo do tubo de saída. A mistura que sai do reator 6 foi processada para remover os produtos da reação e o ciclo-hexano que não reagiu (apenas cerca de 6% reagiu em cada passagem), em seguida, retornou ao início do ciclo do reator.

Embora a pressão de operação fosse mantida por uma válvula de sangria controlada automaticamente quando a planta atingisse o estado estacionário, a válvula não podia ser usada durante a partida, quando não havia alimentação de ar, a planta sendo pressurizada com nitrogênio. Durante a inicialização, a válvula de sangria estava normalmente isolada e não havia caminho para o escape do excesso de pressão; a pressão foi mantida dentro de limites aceitáveis ​​(ligeiramente mais amplos do que aqueles alcançados sob controle automático) pela intervenção do operador (operação manual das válvulas de ventilação). Uma válvula de alívio de pressão atuando a um manômetro de 11 kgf / cm 2 (11 bar; 156 psi) também foi instalada.

O reator 5 vaza e é contornado

Dois meses antes da explosão, descobriu-se que o reator número 5 estava vazando. Quando o revestimento foi removido dele, uma rachadura se estendendo por cerca de 6 pés (1,8 m) era visível na carcaça de aço macio do reator. Foi decidido instalar um tubo temporário para contornar o reator com vazamento para permitir a operação contínua da planta enquanto os reparos eram feitos. Na ausência de tubo de furo nominal de 28 polegadas (700 mm DN), tubo de furo nominal de 20 polegadas (500 mm DN) foi usado para fabricar o tubo de desvio para ligar a saída do reator 4 à entrada do reator 6. A nova configuração foi testada quanto à estanqueidade à pressão de trabalho por pressurização com nitrogênio. Durante dois meses após a instalação, o bypass foi operado continuamente em temperatura e pressão e não deu problemas. No final de maio (quando o desvio já estava atrasado), os reatores tiveram que ser despressurizados e resfriados para lidar com vazamentos em outros lugares. Resolvidos os vazamentos, no início de 1º de junho, começaram as tentativas de colocar a planta de volta à pressão e temperatura.

A explosão

Por volta das 16:53 no sábado, 1 ° de junho de 1974, houve uma liberação maciça de ciclohexano quente na área do reator 5 ausente, seguida logo pela ignição da nuvem de vapor inflamável resultante e uma explosão massiva na planta. Ele praticamente demoliu o site. Como o acidente ocorreu em um fim de semana, havia relativamente poucas pessoas no local: dos que estavam no local na época, 28 morreram e 36 ficaram feridos. Os incêndios continuaram no local por mais de dez dias. Fora do local, não houve mortes, mas 50 feridos foram relatados e cerca de 2.000 propriedades danificadas.

Os ocupantes do laboratório de trabalho viram o vazamento e evacuaram o prédio antes que o vazamento ocorresse; a maioria sobreviveu. Nenhum dos 18 ocupantes da sala de controle da planta sobreviveu, nem qualquer registro de leituras da planta. A explosão parecia ter ocorrido na área geral dos reatores e após o acidente apenas dois locais possíveis para vazamentos antes da explosão foram identificados: "o conjunto de desvio de 20 polegadas com o fole em ambas as extremidades rasgado foi encontrado com uma faca no plinto abaixo "e havia uma divisão longa de 50 polegadas na tubulação de aço inoxidável de diâmetro nominal de 8 polegadas".

Tribunal de Inquérito

Imediatamente após o acidente, a New Scientist comentou prescientemente sobre a resposta oficial normal a tais eventos, mas esperava que a oportunidade fosse aproveitada para introduzir uma regulamentação governamental eficaz de plantas de processos perigosos.

Desastres na escala da trágica explosão do último sábado ... em Flixborough tendem a provocar uma breve onda de declarações de que tais coisas nunca devem acontecer novamente. Com o passar do tempo, esses sentimentos são diluídos em relatos insípidos sobre o erro humano e tudo estando bem sob controle - como aconteceu com o incêndio de Summerland . No caso de Flixborough, há uma chance real de que o número de mortos possa desencadear mudanças significativas em um aspecto negligenciado da segurança industrial.

O Secretário de Estado do Trabalho criou um Tribunal de Inquérito para estabelecer as causas e circunstâncias do desastre e identificar quaisquer lições imediatas a serem aprendidas, e também um comitê de especialistas para identificar locais de risco maior e aconselhar sobre medidas de controle apropriadas para eles. O inquérito, presidido por Roger Parker QC, durou 70 dias no período de setembro de 1974 a fevereiro de 1975, e obteve depoimentos de mais de 170 testemunhas. Paralelamente, um Comitê Consultivo sobre Riscos Graves foi criado para examinar as questões de longo prazo associadas às fábricas de processos perigosos.

Circunstâncias do desastre

O relatório do tribunal de inquérito criticava a instalação da tubagem de desvio em vários aspectos: embora a fábrica e a gestão sénior fossem engenheiros licenciados (principalmente engenheiros químicos), o posto de Engenheiro de Obras que tinha sido ocupado por um engenheiro mecânico licenciado estava vago desde janeiro de 1974 e, no momento do acidente, não havia engenheiros qualificados profissionalmente no departamento de engenharia de obras. A Nypro reconheceu que isso era uma fraqueza e identificou um engenheiro mecânico sênior em uma subsidiária da NCB como disponível para fornecer aconselhamento e suporte, se solicitado. Em uma reunião de gerentes de planta e engenharia para discutir a falha do reator 5, o engenheiro mecânico externo não estava presente. A ênfase estava no reinício imediato e - a investigação sentiu - embora isso não tenha levado à aceitação deliberada dos riscos, levou à adoção de um curso de ação cujos riscos (e, de fato, aspectos práticos de engenharia) não foram adequadamente considerados ou compreendidos. O principal problema era tirar o reator 5 do caminho. Apenas o engenheiro da planta estava preocupado em reiniciar antes que o motivo da falha fosse compreendido e os outros reatores inspecionados. A diferença na elevação entre a saída do reator 4 e a entrada do reator 6 não foi reconhecida na reunião. Em um nível de trabalho, o deslocamento foi acomodado por um dog-leg no conjunto de bypass; uma seção inclinada para baixo inserida entre (e unida por soldas de esquadria) dois comprimentos horizontais de tubo de 20 polegadas confinando com as pontas existentes de 28 polegadas. Este bypass era suportado por andaimes dotados de suportes previstos para evitar que os foles tivessem de aguentar o peso da tubagem entre eles, mas sem qualquer protecção contra outros carregamentos. O inquérito observado no projeto da montagem:

Ninguém percebeu que o conjunto pressurizado estaria sujeito a um momento de viragem impondo forças de cisalhamento sobre os foles para os quais não foram projetados. Nem ninguém percebeu que o empuxo hidráulico no fole (cerca de 38 toneladas na pressão de trabalho) tenderia a fazer o tubo entortar nas juntas de esquadria. Nenhum cálculo foi feito para determinar se o fole ou o tubo resistiriam a essas tensões; nenhuma referência foi feita ao British Standard relevante, ou qualquer outro padrão aceito; nenhuma referência foi feita ao guia do projetista emitido pelos fabricantes dos foles; nenhum desenho do cachimbo foi feito, a não ser em giz no chão da oficina; nenhum teste de pressão do tubo ou da montagem completa foi feito antes de ser instalado.

O Inquérito observou ainda que "não houve controle geral ou planejamento do projeto, construção, teste ou montagem da montagem, nem foi feita qualquer verificação de que as operações foram realizadas corretamente". Depois que a montagem foi instalada, a planta foi testada quanto à estanqueidade, pressurizando com nitrogênio a 9 kg / cm 2 ; isto é, pressão operacional aproximada, mas abaixo da pressão na qual a válvula de alívio do sistema levantaria e abaixo dos 30% acima da pressão de projeto exigida pelo padrão britânico relevante.

Causa do desastre

O bypass de 20 polegadas, portanto, claramente não era o que teria sido produzido ou aceito por um processo mais considerado, mas a controvérsia se desenvolveu (e tornou-se acirrada) sobre se sua falha foi a falha inicial no desastre (a hipótese de 20 polegadas, argumentou pelos projetistas da planta (DSM) e pelos construtores da planta; e favorecida pelos consultores técnicos do tribunal), ou foi desencadeada por uma explosão externa resultante de uma falha anterior da linha de 8 polegadas (argumentado por especialistas contratados pela Nypro e suas seguradoras )

A hipótese de 20 polegadas

Testes em conjuntos de bypass de réplica mostraram que a deformação do fole pode ocorrer em pressões abaixo da configuração da válvula de segurança, mas que essa deformação não levou a um vazamento (seja por danos ao fole ou por danos ao tubo nas soldas de esquadria) até bem acima da configuração da válvula de segurança. No entanto, a modelagem teórica sugeriu que a expansão do fole como resultado disso levaria a uma quantidade significativa de trabalho sendo feito neles pelo conteúdo do reator, e haveria uma carga de choque considerável no fole quando eles alcançassem o final de sua viagem . Se o fole fosse 'rígido' (resistente à deformação), a carga de choque poderia fazer com que o fole se rasgasse em pressões abaixo do ajuste da válvula de segurança; não era impossível que isso pudesse ocorrer nas pressões experimentadas durante a inicialização, quando a pressão era controlada com menos rigidez. (As pressões da planta no momento do acidente eram desconhecidas, uma vez que todos os instrumentos e registros relevantes foram destruídos e todos os operadores relevantes mortos). O Inquérito concluiu que esta ("hipótese de 20 polegadas") era 'uma probabilidade', mas uma 'que seria prontamente substituída se alguma probabilidade maior' pudesse ser encontrada.

A hipótese de 8 polegadas

Uma análise detalhada sugeriu que o tubo de 8 polegadas havia falhado devido à " cavitação por fluência " em alta temperatura enquanto o tubo estava sob pressão. O metal do tubo teria experimentado deformação difícil de detectar, rachaduras microscópicas e fraqueza estrutural como resultado, aumentando a probabilidade de falha. A falha foi acelerada pelo contato com zinco fundido; havia indicações de que um cotovelo no tubo estava em uma temperatura significativamente mais alta do que o resto do tubo. O cotovelo quente levava a uma válvula de retenção presa entre dois flanges de tubo por doze parafusos. Após o desastre, dois dos doze parafusos foram encontrados soltos; a investigação concluiu que eles provavelmente estavam soltos antes do desastre. Nypro argumentou que os parafusos estavam soltos, consequentemente, houve um vazamento lento de fluido de processo para o retardamento, levando eventualmente a um incêndio de retardamento, que piorou o vazamento a ponto de uma chama ter tocado sem ser detectada no cotovelo, queimando seu retardamento e expôs a linha ao zinco fundido, a linha então falhando com uma liberação em massa de fluido de processo que extinguiu o fogo original, mas posteriormente acendeu, dando uma pequena explosão que causou a falha do bypass, uma segunda liberação maior e uma explosão maior. Os testes falharam em produzir um incêndio retardado com vazamento de fluido de processo nas temperaturas de processo; um defensor da hipótese de 8 polegadas então argumentou que houve uma falha na gaxeta, causando um vazamento com velocidade suficiente para induzir cargas estáticas, cuja descarga então provocou o vazamento.

A conclusão do inquérito

A hipótese de 8 polegadas foi alegada como apoiada por relatos de testemunhas oculares e pela posição aparentemente anômala de alguns destroços após o desastre. O relatório do inquérito considerou que as explosões frequentemente jogam destroços em direções inesperadas e as testemunhas muitas vezes confundem as lembranças. O inquérito identificou dificuldades em vários estágios do desenvolvimento do acidente na hipótese de 8 polegadas, seu efeito cumulativo sendo considerado tal que o relatório concluiu que, em geral, a hipótese de 20 polegadas envolvendo 'um único evento de baixa probabilidade' era mais crível do que a hipótese de 8 polegadas dependendo de 'uma sucessão de eventos, muitos dos quais são improváveis'.

Lições a serem aprendidas

O relatório de inquérito identificou 'lições a serem aprendidas' que apresentou sob vários títulos; 'Observação geral' (relacionada a questões culturais subjacentes ao desastre), 'lições específicas' (diretamente relevantes para o desastre, mas de aplicabilidade geral) são relatadas abaixo; havia também lições 'gerais' e 'diversas' de menos relevância para o desastre. O relatório também comentou sobre os assuntos a serem tratados pelo Comitê Consultivo de Riscos Graves.

Observação geral

  • A planta - quando possível - deve ser projetada de forma que a falha não leve a um desastre em uma escala de tempo muito curta para permitir uma ação corretiva.
  • A planta deve ser projetada e operada para minimizar a taxa na qual surgem decisões críticas de gerenciamento (particularmente aquelas em que a produção e a segurança entram em conflito).
  • O feedback dentro da estrutura de gestão deve garantir que a alta administração entenda as responsabilidades dos indivíduos e possa garantir que sua carga de trabalho, capacidade e competência lhes permitam lidar efetivamente com essas responsabilidades

Aulas específicas

O desastre foi causado por 'uma planta bem projetada e construída' passando por uma modificação que destruiu sua integridade mecânica.

  • As modificações devem ser projetadas, construídas, testadas e mantidas com os mesmos padrões da planta original

Quando o bypass foi instalado, não havia engenheiro de obra no posto e o pessoal sênior da empresa (todos engenheiros químicos) era incapaz de reconhecer a existência de um simples problema de engenharia, muito menos de resolvê-lo

  • Quando um cargo importante está vago, deve-se ter cuidado especial quando decisões tiverem que ser tomadas, o que normalmente seria feito por ou a conselho do titular do cargo vago
  • Todos os engenheiros devem aprender pelo menos os elementos dos ramos da engenharia além dos seus próprios

Assuntos a serem encaminhados ao Comitê Consultivo

Ninguém preocupado com o projeto ou construção da usina previu a possibilidade de um grande desastre acontecer instantaneamente. Agora era evidente que essa possibilidade existe quando grandes quantidades de material potencialmente explosivo são processadas ou armazenadas. Era 'da maior importância que as plantas nas quais houvesse um risco instantâneo em oposição à escalada de desastres fossem identificadas. Uma vez identificadas, devem ser tomadas medidas para prevenir tal desastre, tanto quanto possível, e para minimizar suas conseqüências caso ocorra, apesar de todas as precauções. ' Deve haver coordenação entre as autoridades de planejamento e o Executivo de Saúde e Segurança , de modo que as autoridades de planejamento possam ser informadas sobre questões de segurança antes de conceder permissão de planejamento; da mesma forma, os serviços de emergência devem ter informações para traçar um plano de desastre.

Conclusão

O inquérito resumiu suas conclusões da seguinte forma:

Acreditamos, no entanto, que se forem cumpridos os passos que recomendamos, o risco de qualquer desastre semelhante, já remoto, será diminuído. Usamos a frase "já remoto" deliberadamente, pois desejamos deixar claro que não encontramos nada que sugira que a planta originalmente projetada e construída cria qualquer risco inaceitável. O desastre foi causado inteiramente pela coincidência de uma série de erros improváveis ​​no projeto e na instalação de uma modificação. É muito improvável que essa combinação de erros se repita. Nossas recomendações devem garantir que nenhuma combinação semelhante ocorra novamente e que, mesmo que ocorresse, os erros seriam detectados antes que quaisquer consequências graves ocorressem.

Resposta ao Relatório de Consulta

Controvérsia quanto à causa imediata

Os conselheiros da Nypro fizeram um esforço considerável na hipótese de 8 polegadas e o relatório do inquérito fez um esforço considerável para descartá-la. A crítica da hipótese transbordou para a crítica de seus defensores: 'o entusiasmo pela hipótese de 8 polegadas sentido por seus proponentes os levou a ignorar defeitos óbvios que em outras circunstâncias eles não teriam deixado de perceber'. De um proponente, o relatório observou gratuitamente que seu exame pelo tribunal "foi direcionado para garantir que havíamos apreciado corretamente os principais passos da hipótese, alguns dos quais nos pareciam estar em conflito com fatos indiscutíveis". O relatório agradeceu por seu trabalho na coleta de evidências de testemunhas oculares, mas disse que seu uso mostrou "uma abordagem das evidências que é totalmente incorreta".

O proponente da hipótese de falha da gaxeta de 8 polegadas respondeu argumentando que a hipótese de 20 polegadas teve sua parcela de defeitos que o relatório de inquérito decidiu ignorar, que a hipótese de 8 polegadas teve mais a seu favor do que o relatório sugeriu, e que havia lições importantes que o inquérito não conseguiu identificar:

O compromisso da Corte com a hipótese de 20 polegadas levou-os a apresentar suas conclusões de uma forma que não ajuda o leitor a avaliar evidências contrárias. O Tribunal ainda pode estar certo ao dizer que uma única modificação insatisfatória causou o desastre, mas isso não é motivo para complacência. Existem muitas outras lições. É de se esperar que o respeito normalmente concedido às conclusões de um Tribunal de Inquérito não iniba os engenheiros químicos de olhar além do relatório em seus esforços para melhorar o já bom histórico de segurança da indústria química.

O site da HSE em 2014 disse que "Durante o final da tarde em 1 de junho de 1974, um sistema de desvio de 20 polegadas rompido, o que pode ter sido causado por um incêndio em um tubo próximo de 8 polegadas". Na ausência de um forte consenso para qualquer uma das hipóteses, outras possíveis causas imediatas foram sugeridas.

Engenharia forense pós-investigação - ruptura em dois estágios do desvio

O inquérito constatou a existência de um pequeno rasgo em um fragmento de fole e, portanto, considerou a possibilidade de um pequeno vazamento do bypass ter levado a uma explosão que derrubou o bypass. Ele observou que isso não era inconsistente com a evidência de uma testemunha ocular, mas descartou o cenário porque os testes de pressão mostraram que o fole não desenvolveu rasgos até bem acima da pressão da válvula de segurança. No entanto, esta hipótese foi revivida, com os rasgos sendo causados ​​por falha de fadiga no topo do fole de saída do reator 4 devido à vibração induzida pelo fluxo da linha de desvio sem suporte. A análise de elementos finitos foi realizada (e evidências adequadas de testemunhas oculares apresentadas) para apoiar esta hipótese.

Engenharia forense pós-inquérito - a 'hipótese da água'

Os reatores eram normalmente agitados mecanicamente, mas o reator 4 operava sem um agitador de trabalho desde novembro de 1973; a água em fase livre poderia ter sedimentado no reator não agitado 4 e o fundo do reator 4 atingiria a temperatura de operação mais lentamente do que os reatores agitados. Foi postulado que havia água a granel no reator 4 e um evento de ebulição disruptiva ocorreu quando a interface entre ele e a mistura de reação atingiu a temperatura operacional. Pressões anormais e deslocamento de licor resultante disso (foi argumentado) poderiam ter desencadeado a falha do desvio de 20 polegadas.

Insatisfação com outros aspectos do Relatório de Inquérito

O projeto da planta assumiu que a pior consequência de um grande vazamento seria um incêndio na planta e, para proteger contra isso, um sistema de detecção de incêndio foi instalado. Testes do Fire Research Establishment demonstraram que isso é menos eficaz do que o pretendido. Além disso, a detecção de incêndio só funcionou se o vazamento se iniciasse no local do vazamento; não dava proteção contra um grande vazamento com ignição retardada, e o desastre havia mostrado que isso poderia levar à morte de vários trabalhadores. A planta projetada, portanto, poderia ser destruída por uma única falha e tinha um risco muito maior de matar trabalhadores do que os projetistas pretendiam. Os críticos do relatório de inquérito, portanto, acharam difícil aceitar sua caracterização da planta como "bem projetada". O HSE (por meio do Departamento de Emprego) apresentou uma 'lista de compras' de cerca de 30 recomendações sobre o projeto da planta, muitas das quais não foram adotadas (e algumas rejeitadas explicitamente) pelo Inquiry Report; o inspetor de HSE que atuou como secretário do inquérito falou posteriormente em garantir que as lições reais fossem postas em prática. Mais fundamentalmente, Trevor Kletz viu a planta como um sintoma de uma falha geral em considerar a segurança cedo o suficiente no projeto da planta de processo, de modo que os projetos eram inerentemente seguros - em vez disso, os processos e a planta foram selecionados por outros motivos, em seguida, os sistemas de segurança aparafusados ​​a um projeto evitável perigos e estoque desnecessariamente alto. 'Nós mantemos um leão e construímos uma gaiola forte para mantê-lo dentro. Mas antes de fazermos isso, devemos perguntar se um cordeiro serve.'

Se o público do Reino Unido ficasse bastante tranquilo ao saber que o acidente foi único e nunca deveria acontecer novamente, alguns profissionais de segurança de processos do Reino Unido ficaram menos confiantes. Os críticos sentiram que a explosão de Flixborough não foi o resultado de vários erros básicos de projeto de engenharia que provavelmente não coincidem novamente; os erros eram, em vez de múltiplas instâncias de uma causa subjacente: um colapso completo dos procedimentos de segurança da planta (exacerbado pela falta de especialização de engenharia relevante, mas essa falta também era uma lacuna de procedimento).

Resposta da ICI Petrochemicals

A Divisão Petroquímica da Imperial Chemical Industries (ICI) operou muitas fábricas com grandes estoques de produtos químicos inflamáveis ​​em seu site Wilton (incluindo um em que o ciclohexano foi oxidado a ciclohexanona e ciclohexanol). Historicamente, o bom desempenho de segurança do processo em Wilton foi prejudicado no final da década de 1960 por uma onda de incêndios fatais causados ​​por isolamentos / transferências defeituosas para trabalhos de manutenção. A causa imediata foi o erro humano, mas a ICI sentiu que dizer que a maioria dos acidentes foi causada por erro humano não era mais útil do que dizer que a maioria das quedas são causadas pela gravidade. O ICI não apenas alertou os operadores para serem mais cuidadosos, mas emitiu instruções explícitas sobre a qualidade exigida dos isolamentos e a qualidade exigida de sua documentação. Os requisitos mais onerosos foram justificados da seguinte forma:

Por que precisamos das regras HOC sobre isolamento e identificação de equipamentos para manutenção? Eles foram introduzidos há cerca de 2 anos, mas Billingham conseguiu por 45 anos sem eles. Durante esses 45 anos, sem dúvida, houve muitas ocasiões em que os instaladores invadiram o equipamento e descobriram que ele não havia sido isolado, ou invadiram a linha errada porque não havia sido identificado positivamente. Mas as tubulações eram em sua maioria pequenas e a quantidade de gás ou líquido inflamável na usina geralmente não era grande. Agora, as tubulações são muito maiores e a quantidade de gás ou líquido que pode vazar é muito maior. Vários incidentes graves nos últimos 3 anos mostraram que não ousamos arriscar quebrar em linhas que não estão devidamente isoladas. À medida que as plantas cresceram, mudamos ... para um novo mundo onde novos métodos são necessários.

De acordo com essa visão, após Flixborough (e sem esperar pelo Relatório de Investigação), a ICI Petrochemicals instituiu uma revisão de como controlava as modificações. Constatou que grandes projetos que exigiam sanção financeira em alto nível eram geralmente bem controlados, mas para modificações menores (financeiramente) havia menos controle e isso resultou em um histórico de "quase acidentes" e acidentes de pequena escala, poucos deles podem ser atribuídos aos engenheiros químicos. Para remediar isso, não apenas os funcionários foram lembrados dos principais pontos a serem considerados ao fazer uma modificação (tanto na qualidade / conformidade da modificação em si e no efeito da modificação no resto da planta), mas novos procedimentos e documentação foram introduzidos para garantir um escrutínio adequado. Esses requisitos se aplicavam não apenas às mudanças no equipamento, mas também às mudanças de processo. Todas as modificações deveriam ser apoiadas por uma avaliação formal de segurança. Para modificações maiores, isso incluiria um 'estudo de operabilidade' ; para pequenas modificações, uma avaliação de segurança baseada em lista de verificação deveria ser usada, indicando quais aspectos seriam afetados, e para cada aspecto fornecendo uma declaração do efeito esperado. A modificação e sua avaliação de segurança de apoio tiveram que ser aprovadas por escrito pelo gerente e engenheiro da fábrica. Quando instrumentos ou equipamentos elétricos estivessem envolvidos, as assinaturas também seriam necessárias do respectivo especialista (gerente de instrumentos ou engenheiro elétrico). Um Código de Prática de Tubulação foi introduzido especificando os padrões de projeto de construção e manutenção para tubulações - todas as tubulações acima de 3 "nb (DN 75 mm) que manuseiam materiais perigosos teriam que ser projetadas por especialistas em tubulações no escritório de projeto. A abordagem foi divulgada fora do ICI ; enquanto o Código de Prática de Tubulação por si só teria combatido a falha ou falhas que levaram ao desastre de Flixborough, a adoção mais geral de controles mais rígidos sobre as modificações (e o método pelo qual isso foi feito) logo foi reconhecida como sendo prudente prática. No Reino Unido, a abordagem ICI tornou-se um padrão de facto para fábricas de alto risco (em parte porque a nova Lei de Saúde e Segurança no Trabalho (1974) foi além dos requisitos específicos dos empregadores para declarar deveres gerais para manter os riscos para os trabalhadores. tão baixo quanto razoavelmente praticável e para evitar risco para o público, na medida do razoavelmente praticável; sob este novo regime, a presunção era de que uma boa prática reconhecida seria herdada ser 'razoavelmente praticável' e, portanto, deve ser adotado, em parte porque as passagens-chave nos relatórios do Comitê Consultivo sobre Riscos Graves foram claramente favoráveis).

Comitê Consultivo de Riscos Graves

Insatisfação com o regime regulatório existente

Os termos de referência do Tribunal de Inquérito não incluíam qualquer exigência de comentários sobre o regime regulamentar sob o qual a usina havia sido construída e operada, mas estava claro que não era satisfatório. A construção da planta exigiu a aprovação da permissão de planejamento pelo conselho local; enquanto "um procedimento interdepartamental permitiu às autoridades de planejamento recorrer ao conselho da Inspetoria de Fábrica de Sua Majestade ao considerar os pedidos de novos desenvolvimentos que possam envolver um risco grave" (não havia nenhuma exigência para que o fizessem), uma vez que o conselho não reconheceu o natureza perigosa da planta, eles não haviam pedido conselhos. Como o New Scientist comentou uma semana após o desastre:

Há agora provavelmente mais de uma dúzia de usinas petroquímicas britânicas com potencial de devastação semelhante ao da fábrica de Nypro em Flixborough. Nem quando foram construídos pela primeira vez, nem agora que estão em operação, nenhuma agência local ou governamental exerceu controle efetivo sobre sua segurança. Para construir uma usina nuclear, a indústria de eletricidade deve fornecer uma avaliação detalhada de segurança à Inspetoria Nuclear antes de receber uma licença. Por outro lado, a permissão para plantas de processo altamente perigosas envolve apenas a satisfação de um comitê de planejamento local tecnicamente não qualificado, que carece até mesmo dos poderes mais rudimentares quando a planta entra em operação. ... A Inspetoria de Fábrica tem posição apenas onde promulgou regulamentos específicos

Termos de Referência e pessoal

Os termos de referência do ACMH visavam identificar os tipos de instalações (não nucleares) que representam um perigo grave e aconselhar sobre os controles apropriados sobre seu estabelecimento, localização, layout, projeto, operação, manutenção e desenvolvimento (incluindo o desenvolvimento geral em suas proximidades). Ao contrário do Tribunal de Inquérito, o seu pessoal (e o dos seus grupos de trabalho associados) tinha uma representação significativa de profissionais de segurança, oriundos em grande parte da indústria nuclear e da ICI (ou ex-ICI)

Estrutura regulatória sugerida

Em seu primeiro relatório (emitido como base para consulta e comentários em março de 1976), o ACMH observou que o perigo não podia ser quantificado em abstrato e que uma definição precisa de “perigo grave” era, portanto, impossível. Em vez disso, as instalações com um inventário de fluidos inflamáveis ​​acima de um certo limite ou de materiais tóxicos acima de um certo limite de 'equivalente de cloro' devem ser ' instalações notificáveis '. Uma empresa que opera uma instalação notificável deve ser solicitada a pesquisar seu potencial de risco e informar a HSE sobre os riscos identificados e os procedimentos e métodos adotados (ou a serem adotados) para lidar com eles.

O HSE poderia então escolher - em alguns casos (geralmente envolvendo alto risco ou tecnologia nova) - exigir a apresentação de uma avaliação mais elaborada, cobrindo (conforme apropriado) "projeto, fabricação, construção, comissionamento, operação e manutenção, bem como modificações subsequentes seja do projeto, seja dos procedimentos operacionais ou de ambos ". A empresa teria que mostrar que "possui o sistema de gestão adequado, filosofia de segurança e pessoas competentes, que possui métodos eficazes de identificação e avaliação de perigos, que projetou e opera a instalação de acordo com os regulamentos, normas e códigos apropriados de prática, que tem procedimentos adequados para lidar com emergências, e que faz uso de verificações independentes quando apropriado "

Para a maioria das 'instalações notificáveis', nenhum controle explícito adicional deve ser necessário; O HSE poderia aconselhar e, se necessário, impor melhorias sob os poderes gerais que lhe foram conferidos pela Lei de Saúde e Segurança no Trabalho (HASAWA) de 1974, mas para muito poucos locais o licenciamento explícito pelo HSE pode ser apropriado; a responsabilidade pela segurança da instalação permanece sempre e totalmente com o licenciado.

Garantindo a segurança das instalações de 'risco maior'

A HASAWA já exigia que as empresas tivessem uma política de segurança e um plano abrangente para implementá-la. ACMH sentiu que para instalações de risco maior, o plano deve ser formal e incluir

  • a regulamentação dos procedimentos da empresa de questões de segurança (tais como: identificação de perigos, controle de manutenção (por meio de certificados de liberação, autorizações de trabalho etc.), controle de modificações que podem afetar a integridade da planta, procedimentos operacionais de emergência, controle de acesso)
  • funções de segurança claras (por exemplo, a equipe de design e desenvolvimento, gestão de produção, oficiais de segurança)
  • treinamento para segurança, medidas para promover a conscientização sobre segurança e feedback de informações sobre questões de segurança

Documentos de segurança eram necessários tanto para o projeto quanto para a operação. O gerenciamento de instalações de risco maior deve mostrar que possuía e usava uma seleção de técnicas de reconhecimento de perigo apropriadas, tinha um sistema adequado para auditoria de recursos críticos de segurança e usava avaliação independente quando apropriado.

O ACMH também pediu disciplina rígida na operação de usinas de risco maior:

A raridade de grandes desastres tende a gerar complacência e até mesmo desprezo por instruções escritas. Acreditamos que as regras relevantes para a segurança devem ser regras de trabalho diárias e ser vistas como uma parte essencial da prática de trabalho do dia a dia. Regras, destinadas a proteger aqueles que as elaboraram se algo der errado, são prontamente ignoradas no trabalho do dia-a-dia. Quando a gestão estabelece regras de segurança, também deve garantir que elas sejam cumpridas. Acreditamos que, para este fim, uma formalidade considerável é essencial em questões como licenças de trabalho e certificados de liberação para entrada de navios ou áreas de fábricas. Para manter um forte controle na planta, o nível de autoridade para autorizações deve ser claramente definido. Da mesma forma, o nível de autoridade para aprovação técnica para qualquer modificação da planta também deve ser claramente definido. Para evitar o perigo de sistemas e procedimentos serem desconsiderados, deve haver um requisito para uma forma periódica de auditoria deles.

O segundo relatório do ACMH (1979) rejeitou as críticas de que, uma vez que os acidentes que causam múltiplas fatalidades estavam associados a danos extensos e caros às instalações, os operadores de locais de risco maior tinham todos os incentivos para evitar esses acidentes e, portanto, era excessivo exigir que os locais de risco maior demonstrassem sua segurança a um órgão governamental em tais detalhes:

Não contestaríamos que as empresas mais bem administradas alcançam altos padrões de segurança, mas acreditamos que isso ocorre porque ... alcançaram o que talvez seja melhor descrito como disciplina técnica em tudo o que fazem. Acreditamos que as melhores práticas devem ser seguidas por todas as empresas e que atingimos um estado de desenvolvimento tecnológico em que não é suficiente para os empregadores, em áreas de alto risco, simplesmente demonstrar a si próprios que está tudo bem. Eles agora devem ser obrigados a demonstrar à comunidade como um todo que suas plantas foram projetadas de maneira adequada, bem construídas e operadas com segurança.

A abordagem defendida pelo ACMH foi amplamente seguida na legislação e ação regulatória do Reino Unido subsequente, mas após a liberação de clordioxinas por uma reação química descontrolada em Seveso, no norte da Itália, em julho de 1976, 'plantas de risco grave' se tornaram um problema em toda a UE. A abordagem do Reino Unido foi incluída em iniciativas em toda a UE (a Diretiva Seveso em 1982, substituída pela Diretiva Seveso II em 1996). Um terceiro e último relatório foi emitido quando o ACMH foi dissolvido em 1983.

As imagens do incidente apareceram no filme Days of Fury (1979), dirigido por Fred Warshofsky e apresentado por Vincent Price .

Veja também

Notas

Referências

Relatório do Tribunal de Inquérito

Outras referências

Leitura adicional

  • Prevenção de Perdas de Lees nas Indústrias de Processo: Identificação, Avaliação e Controle de Perigos (3ª Edição) ed Sam Mannan, Butterworth-Heinemann, 2004 ISBN  0750675551 , 9780750675550

links externos

Coordenadas : 53,62 ° N 0,70 ° W 53 ° 37′N 0 ° 42′W /  / 53,62; -0,70