La sécurité de papier

Dans un précédent article notre ami Roger Grollier Baron nous a montré les lacunes concernant l 'accident de l 'usine AZF de Toulouse.Reprenant la plume il se penche sur les accidents chimiques dont il est un expert reconnu et nous montre les problèmes liés à un foisonnement de textes réglementaires qui ne sont pas toujours exemplaires.

NDLR

 

Impact médiatique et administratif des accidents

Tout accident mal compris du grand public suscite des craintes d'autant plus vives que celui-ci n'est pas en mesure d'en appréhender les causes ou les conséquences,réactions indépendantes du nombre de victimes.Les accidents d'avion,de chemin de fer,de la route, les effondrements d'immeubles suite à une explosion de gaz par exemple ne génèrent de réactions dans le public que pendant un laps de temps relativement faible car,apparemment,ils n'impliquent pas de phénomènes mystérieux.

Les accidents survenant dans les industries chimiques, pétrolières ou nucléaires sont très mal perçus car ils mettent souvent en cause des phénomènes complexes, connus des seuls spécialistes. La majorité de la population, y compris des personnes, certes cultivées, mais incompétentes, n'est pas en mesure de comprendre ce qui s'est passé ou d'en évaluer objectivement des conséquences plus ou moins graves, à effet immédiat ou à long terme.

Parmi les accidents chimiques ayant eu un impact médiatique important on peut citer en exemple :

Ces accidents ne sont pas les plus graves qu'ait connu l'industrie chimique au cours du dernier demi siècle. On peut citer pour la fin de la seule année 1984, tout à fait exceptionnelle et exemplaire :

Si le public et les médias se souviennent encore de ce dernier accident et parfois le confondent avec celui de Seveso (en attribuant à ce dernier 2 500 morts !), beaucoup ont oublié celui de Mexico ;le premier est passé inaperçu pour les non initiés et n'a fait l'objet que d'un entrefilet dans la presse.

Selon l'émotion du public, la réaction des pouvoirs publics se traduit par un durcissement de la réglementation et une multitude de textes :ce fut notamment le cas pour Flixborough en Grande Bretagne, Seveso (directive du même nom au niveau de l'Union Européenne). C'est ce qui se passe en ce moment en France après l'explosion survenue à Toulouse le 21 septembre 2001.

D'un côté, les industriels, pour eux-mêmes et au sein de leurs organisations professionnelles (chloriers, exploitants de vapocraqueurs, GESIP, etc …), organisent sur le plan international le retour d'expérience, c'est-à-dire qu'ils analysent en permanence les causes des accidents et incidents survenus et en tirent des règles et recommandations pour éviter qu'ils ne se reproduisent et attirent l'attention des exploitants.

Les pouvoirs publics de leur côté élaborent des réglementations qui se traduisent par des dossiers de plus en plus volumineux (études de danger, d'impact, etc …).

Ayant eu à vivre l'évolution de cette double approche de la sécurité depuis plus de 40 ans et à analyser en détail, par exemple au titre de l'expertise judiciaire, quelques accidents catastrophiques, nous sommes surpris par l'écart entre la réalité du terrain et l'approche des administrations centrales qui ressemble plus une couverture juridique et politique qu'à une réelle gestion de la sécurité.

 

Approche théorique et administrative de la sécurité et réalité du terrain

 

Notre expérience sur le terrain nous conduit à deux types de remarques.

 

 

S'il est utile d'élaborer des règles, si possible de bon sens, il faut aussi laisser les industriels assumer leurs responsabilités en se souvenant que la compétence, combinaison du savoir et de l'expérience, est essentielle.

Les trois exemples suivant montrent l'écart entre réalité et réglementation, et que cette dernière peut mal prendre en compte voire pas du tout certains dangers des installations.

 

Premier exemple

Accident de l'usine Métaleurop à Noyelles Godault.

Dans cette usine on sépare par distillation le zinc du cadmium. Deux explosions sont survenues le 16 juillet 1993 et le 24 janvier 1994, faisant dix morts pour la première, un pour la seconde. Cette installation n'était pas classée au titre de la première directive Seveso (par contre 100 kg de nickel métallique entraînaient un classement dans cette même directive au moment de sa parution !). La distillation se faisait dans des colonnes en carborundum aggloméré chauffées de l'extérieur par des brûleurs à gaz naturel.

La première explosion a été interprétée par l'administration, l'industriel et trois experts judiciaires comme une explosion de gaz naturel. L'expertise des industriels et de l'expert nommé par les ministères a mis en évidence qu'il s'agissait d'une explosion de vapeur et d'aérosol de zinc. Après reconstruction de l'installation, l'administration, en accord avec l'industriel, a autorisé le redémarrage moyennant beaucoup de précautions notamment par une montée très lente de la température pour éviter des chocs thermiques :ces précautions furent la cause de la seconde explosion !

La cause profonde de ces accidents était la réaction de l'oxyde de zinc formé au cours du démarrage, pendant la période de chauffe avec le zinc liquide qui donnait une sorte de complexe plus ou moins visqueux ralentissant le débit de la phase liquide au travers du siphon en bas de colonne. De ce fait le niveau de zinc liquide s'élevait dans le fond de la colonne; le dégagement de bulles de vapeur de zinc provoquait des ébranlements affaiblissant la structure en carborundum et entraînait sa rupture avec émission de vapeur et d'aérosol de zinc, réagissant de façon explosive avec l'air ambiant.

En général, la durée de démarrage était suffisamment courte pour que l'augmentation de viscosité passe inaperçue. Dans le premier accident, la durée de démarrage avait été accrue par une panne électrique, dans le second, elle a été volontairement allongée à la demande des autorités pour éviter un choc thermique qui n'était nullement en cause.

Dans cet accident, on peut remarquer que le formalisme administratif ne prenait pas en compte le danger, alors que d'autres explosions étaient survenues dans le passé dans cette même industrie, à travers le monde, sans faire de victime.

Le retour d'expérience, s'il avait été effectué correctement par la profession, aurait été plus efficace que des mètres de dossiers. Une bonne connaissance de la chimie minérale aurait permis d'identifier le danger lié à la formation de complexes visqueux entre oxyde et métal fondu, phénomène que l'on rencontre avec d'autres métaux comme le plomb ou l'aluminium ainsi que le danger d'explosion des vapeurs et d'aérosol de zinc dans l'air.

 

Deuxième exemple

Explosion et incendie survenus le 2 juin 1987 dans un dépôt pétrolier du Port Edouard Herriot à Lyon -2morts.

L'incendie a duré plus de 24 heures et l'enquête technique s'est révélée longue et complexe compte tenu de l'importance des dommages. Il a fallu prendre en compte toutes les hypothèses imaginables et procéder par élimination. Celle qui est restée la plus vraisemblable est un phénomène dit de "punking"ou feu de calorifuge mettant en cause des phénomènes lents de catalyse, d'oxydation et finalement d'auto inflammation qui étaient peu connus à l'époque. Les premières publications concernant ce phénomène étaient postérieures à l'accident.

Dans ce dépôt on avait fabriqué, à titre expérimental, des additifs pour carburant par simple mélange de diverses substances. Les opérations avaient été effectuées sous le couvert de deux autorisations provisoires de la DRIRE ;l'autorisation définitive était en cours de préparation sans soulever de problème particulier.

Le jour de l'accident, la deuxième autorisation était arrivée à son terme depuis peu et l'exploitant prenait ses dispositions pour préparer l'installation définitive et procédait à des transferts de produit en attendant l'autorisation définitive.

On peut noter que sur le plan judiciaire pénal, cette affaire avait fait l'objet de deux "non-lieux". Relancée par les familles des victimes, elle a abouti à de lourdes peines pour le directeur du dépôt au motif que cette partie du dépôt était exploitée sans autorisation :si l'autorisation avait été accordée -ce n'était qu'un problème de formalisme puisque aucune difficulté n'était apparue -toutes choses égales par ailleurs, l'accident se serait produit de la même façon et l'attribution de l'autorisation ne l'aurait en rien empêché. Le danger de l'auto-inflammation dans le calorifuge n'était pas pris en compte parce qu'il n'était pas connu des exploitants en dehors de quelques rares spécialistes.

 

Troisième exemple

Lors de l'approvisionnement en propane d'un petit hôtel de 3 étages dans une station de moyenne montagne le flexible de liaison entre le camion et la citerne fixe se déchire.

Le propane émis se vaporise; refroidi sous l'effet de la détente il provoque la formation d'un brouillard opaque par condensation de l'eau atmosphérique. Le chauffeur qui ne peut s'approcher du véhicule a le temps et la présence d'esprit de faire évacuer l'hôtel abritant une trentaine de personnes, et de faire couper le gaz et l'électricité ;il revient ensuite vers son camion pour arrêter le moteur. Lorsqu'il touche la poignée de la portière il se produit une étincelle et le nuage de propane explose en déflagrant. Le chauffeur est gravement brûlé et décèdera quelques jours plus tard.

L'hôtel est complètement effondré, mais étant évacué, il n'y a pas d'autre victime.

L'étincelle est due à la dessiccation de l'atmosphère qui favorise la formation d'électricité statique sur les vêtements.

Lors de l'enquête on constate :

  • que le tuyau flexible éclaté est littéralement usé jusqu'à la corde par frottement sur le sol ou sur des clôtures, alors que la réglementation oblige à sa réforme dès qu'il présente la moindre usure ou blessure,
  • que le câble de mise en continuité électrique entre citernes fixe et mobile n'a pas été déroulé,
  • que dans ces conditions le dispositif de télécommande pneumatique de l'isolement de la citerne du camion, associé à ce câble, n'a pu être mis en œuvre :normalement le chauffeur se trouve à proximité de la citerne réceptrice et tient en main cette télécommande de façon à arrêter le pompage et fermer toutes les vannes de la citerne du camion en cas de problème,
  • que le camion est stationné sur une rampe en pente dans le sens de la montée, alors qu'il devrait être disposé dans le sens de la descente afin de pouvoir partir plus rapidement en cas de nécessité,
  • que les cales n'ont pas été mises en place sous les roues.

Ayant fait saisir tous les documents relatifs à cette affaire, il apparaît que le chauffeur est ancien dans le métier, qu'il a subi avec succès une révision de sa formation quelques semaines auparavant par un organisme connu et apprécié, qu'il disposait de tous les documents utiles, mais qu'il n'en a tenu aucun compte et a fait en sorte d'opérer le plus rapidement possible en ne respectant aucune des dispositions de sécurité prévues (négligence des procédures de sécurité).

Ayant fait saisir les pièces relatives au véhicule, nous avons pu examiner les documents d'assurance qualité établis peu de temps avant l'accident :à les lire, tout était en règle, en particulier le flexible était en parfait état.

Ces documents assez volumineux et très procéduriers comme c'est le cas en assurance qualité ont certainement demandé un temps non négligeable pour leur établissement :on peut se demander si on avait pris le temps de procéder à l'inspection qui aurait dû être réalisée ;vu l'état du flexible celui-ci n'avait sans doute pas été déroulé au moins sur une dizaine de mètres pour être examiné sur sa partie la plus vulnérable ;il y avait en outre une erreur sur la marque du camion (mais pas sur son immatriculation).

L'ensemble était géré par la filiale d'un très grand groupe pétrolier international. Plutôt que de mettre des croix sur des feuillets d'assurance qualité, n'eut-il pas mieux valu procéder à des inspections inopinées lors de dépotages. Moins de papier et plus de présence sur le terrain auraient été plus efficaces.

 

De curieuses lacunes administratives

Il existe un ensemble de textes résultant des deux directives Seveso qui sont largement suffisants pour une bonne prise en compte de la sécurité, moyennant quelques aménagements. Les complications apportées à l'occasion de l'explosion de l'usine AZF ne traitent pas les problèmes réels qui sont pourtant de bon sens.

Sans être exhaustif nous citerons quelques lacunes délibérément admises :

 

Si la réglementation est parfois surabondante, elle présente parfois de graves lacunes de bon sens.

 

Nous pourrons citer en exemple les citernes de transport de liquides sans ou sous pression. On constate une anarchie dans la disposition des piquages, les brides et raccords, la position de ceux-ci et le sens d'ouverture fermeture des vannes. Nous avons eu à connaître plusieurs accidents liés à ce manque d'homogénéité propice aux erreurs de représentation. Nous avons à plusieurs reprises proposé de remédier à cette situation, y compris à Bruxelles dans une commission de normalisation, sans aucun écho.

L'industrie du chlore a bien compris l'importance du problème. Le Bureau International du Chlore devenu Eurochlor a depuis longtemps rationalisé et normalisé les piquages et dispositifs de vannes sur les wagons de chlore au niveau européen au cours des années 50.

Depuis, le parc de wagons est devenu homogène et on ne connaît plus d'accident avec ce type de citerne.

A contrario, sur les wagons de GPL, d'ammoniac, etc. , on trouve des wagons avec des brides à 3, 4, 6 ou 8 trous qui impliquent des épaisseurs de bride et de la boulonnerie différentes. C'est ainsi que dans une usine l'opérateur de dépotage ne mettait systématiquement que 3 boulons pris au hasard dans sa caisse, jusqu'au jour où la connexion s'est rompue, entraînant la vidange totale du wagon. La même remarque s'applique aux citernes routières et aux containeurs.

La normalisation dans ce domaine éviterait ce type d'erreur de représentation que nous avons rencontré à plusieurs reprises.

 

Analyses déterministes et probabilistes

Les administrations françaises écartent les notions de probabilité dans les études de danger contrairement à la plupart des autres pays. Ceci revient à ne considérer que l'aspect déterministe du risque en recherchant l'enveloppe maximale des dommages, sans prendre en considération l'autre composante du risque qui est la probabilité du scénario correspondant.

Appliqué à l'aéronautique ou au chemin de fer par exemple, ceci pourrait conduire à l'interdiction de ces moyens de transport puisque, quoiqu'on fasse, l'un est susceptible de s'écraser et l'autre de dérailler. Si un danger doit être d'abord identifié pour être pris en compte, c'est son risque qu'il faut analyser, c'est-à-dire la probabilité et les conséquences de ce danger s'il vient à se manifester. C'est ainsi que l'on nous a demandé d'étudier la rupture totale d'un wagon de chlore stationnant ou circulant à très faible vitesse dans l'emprise très étendue d'une exploitation minière.

Compte tenu de la robustesse des wagons sous pression, le risque d'ouverture totale était tout à fait insignifiant, alors que ce même wagon circulait sur le réseau à une vitesse élevée, traversant des agglomérations où l'intervention n'aurait pas bénéficié des moyens du site industriel.

Dans la même région, l'administration ne s'inquiétait pas de voir stationnées des rames de wagons d'ammoniac sous une conduite d'acide nitrique parallèle à cette voie. Une fuite à un joint sur cette conduite aurait pu attaquer l'acier d'un wagon et provoquer une rupture totale.

C'est typiquement un danger non identifié que tout professionnel averti détecte rapidement par une simple visite des lieux. Les probabilités entre les deux sortes de ruptures n'étaient pas du tout du même ordre de grandeur.

Les volumineuses études qui sont actuellement demandées, apparemment fouillées, ne sauraient être exhaustives car il y a des causes d'accidents très subtiles qu'il est difficile d'imaginer a priori, d'autant plus que parfois il n'est pas facile de les mettre en évidence, une fois l'accident survenu.

Rappelons que le risque est le couple probabilité conséquence caractérisant la survenue d'un événement indésirable (manifestation d'un danger). L'administration se focalise sur les seules conséquences pour déterminer les zones de danger. C'est ce qu'on appelle l'approche déterministe.

Les calculs de zones dangereuses figurant dans les études de danger comportent beaucoup d'incertitudes particulièrement à cause des hypothèses simplificatrices auxquelles on doit avoir recours pour faire fonctionner les modèles décrivant les phénomènes en cause. Par exemple à l'occasion de l'élaboration d'un cahier de sécurité de l'UIC sur la dispersion gazeuse nous avons fait travailler plusieurs équipes parmi les plus compétentes de France sur un accident d'épandage de gaz liquéfié pour lequel, grâce à une soixantaine de témoins, nous avions pu dresser une carte des concentrations du gaz en fonction du temps. Les résultats ont montré des écarts d'un facteur 10 sur la concentration en un point donné, d'un facteur 3 sur les distances de dispersion à concentration donnée et une discordance non moins grande sur l'évolution du nuage gazeux dans le temps. Or les données des calculs sont utilisées sans analyse critique par l'administration ce qui peut avoir de lourdes incidences sur l'occupation des sols.

Tout calcul de risque devrait comporter une indication des imprécisions comme il est de rigueur lorsque l'on fournit des résultats scientifiques. Compte tenu du fait que l'administration française a pour habitude de considérer les hypothèses les plus pénalisantes, alors qu'à l'étranger on prend les hypothèses les plus probables pour les scénarios d'accidents, on aboutit à des résultats irréalistes et très pénalisants, propres à terroriser un public incompétent et à pousser les industriels à l'expatriation vers des pays plus raisonnables.

Tous les calculs évaluant des conséquences d'un accident devraient être accompagnés d'une analyse probabiliste évaluant la probabilité d'occurrence de la survenue du scénario correspondant de façon à évaluer non pas le danger, mais le risque.

Un avion n'est fréquentable que parce que sa probabilité de chute est très faible. Si on ne considère que les conséquences de sa chute, il ne faut pas le faire voler.

Une approche raisonnable du risque serait, comme en aéronautique, de ne tolérer que des risques n'augmentant pas sensiblement le risque que chacun court de mourir dans l'heure qui suit, par exemple.

Bien entendu, les risques liés à la malveillance ou au terrorisme ne sauraient être pris en compte dans les études de danger car ils ne relèvent pas de l'exploitation normale d'une usine, mais du pouvoir de police de l'Etat.

 

Publicité, transparence et malveillance

Un autre problème posé par l'évolution récente de la réglementation est de rendre public l'accès aux dossiers de sécurité dans un louable souci de transparence vis-à-vis de la population. Ceci est très dangereux à une époque où terrorisme et malveillance sont de plus en plus redoutés: une telle publication revient à donner le mode d'emploi et les cibles pour des terroristes.

Pour des raisons évidentes nous ne donnerons pas ici d'exemple d'actes de terrorisme faciles à commettre.

A ce propos, sauf erreur, nous n'avons trouvé nulle part pour quelle raison l'hypothèse de l'attentat ou de la malveillance a été écartée dans les deux heures suivant l'explosion de l'usine AZF à Toulouse ni pourquoi "elle n'est plus d'actualité depuis".

Lorsque l'on analyse les causes d'un accident, on recherche toutes les causes possibles, sans exception et on recherche les éléments permettant de conforter ou d'exclure telle ou telle hypothèse. Dans le cas de l'usine AZF on a proposé bien des explications plus ou moins fantaisistes, mais aucune justifiant le rejet de la malveillance !

 

Conclusion

Pour conclure, nous voulons insister sur le fait que la sécurité suppose beaucoup de modestie, beaucoup d'expérience dans le domaine concerné et que ce n'est pas en préparant des mètres de dossiers que l'on disposera d'une arme absolue.

La compétence, l'étendue des connaissances, les échanges avec les collègues, la présence sur le terrain sont infiniment plus efficaces que l'élaboration de volumineuses études, parfois établies par des sociétés de service disposant rarement des qualifications adaptées et qui font croire à des non initiés que l'on a résolu tous les problèmes.

En particulier, on peut s'étonner que de telles études soient parfois réalisées par de jeunes ingénieurs n'ayant pas assumé de responsabilité en usine et ensuite examinées par d'autres ingénieurs souvent aussi inexpérimentés. Il ne suffit pas de renforcer les effectifs de l'administration, encore faut-il que les recrues aient la compétence et l'expérience. Un diplôme de chimie ne suffit pas. A l'étranger, en Allemagne par exemple, on fait appel à des anciens de l'industrie chimique. L'identification des dangers est souvent difficile :or on ne prend aucune disposition de sécurité visà-vis d'un danger qui n'a pas été identifié et lorsque l'accident survient il n'y a pas la moindre barrière pour le contenir.

Plutôt que de consacrer un temps précieux à la préparation de dossiers apparemment exhaustifs, il vaut mieux sensibiliser et responsabiliser la chaîne des acteurs sur le terrain en veillant à une application intelligente des règlements existants qui couvrent suffisamment la plupart des risques et faire appel aux observations des exécutants qui sont souvent très pertinentes.

La chimie et le pétrole figurent parmi les activités économiques les plus sûres contrairement à une opinion largement répandue. Il est évident que le personnel des usines est le premier et le plus exposé aux dangers. Or l'examen des taux de fréquence des accidents du travail avec arrêt établis par la CNAM (Caisse Nationale d'Assurance Maladie)montrent les progrès réalisés et que la chimie avec un taux de 12 est de ce point de vue la plus performante des activités économiques (mieux que le commerce ou le vêtement), en sachant que la plupart de ses accidents ont une cause banale (chutes, brûlures, coups, etc …)et que les causes liées à la chimie proprement dite en représentent moins de 20 %.

Les entreprises chimiques adhérentes à l'UIC ont obtenu en 2000 un taux de fréquence de 8, 2. Parmi cellesci, les entreprises signataires de l'Engagement de Progrès ont obtenu un taux de fréquence de 7, 4.

Les grandes entreprises obtiennent souvent des taux de 4 à 6 et pourtant les industries chimiques et pétrolières sont considérées par le grand public, et donc les médias et les politiques, comme les plus dangereuses !

 

Roger Grollier Baron

Ingénieur en Chef de l'Armement ER (branche Poudres et Explosifs)

Expert Judiciaire (H) Cour d'Appel de Lyon

Agréé par la Cour de Cassation

Délégué Rhône &endash;Alpes de l'IEC.

 

© Institut Européen de Cindyniques -Lettre n° - 37 - Décembre 2002