Desastre de Flixborough

El desastre de Flixborough fue una explosión en una planta química cerca del pueblo de Flixborough, en el norte de Lincolnshire, Inglaterra, el sábado 1 de junio de 1974. Mató a 28 e hirió gravemente a 36 de las 72 personas. en el sitio en ese momento. Las cifras de víctimas podrían haber sido mucho mayores si la explosión hubiera ocurrido en un día laborable, cuando la zona de oficinas principal habría estado ocupada. Un defensor contemporáneo de la seguridad de los procesos escribió que "las ondas de choque sacudieron la confianza de todos los ingenieros químicos del país".

El desastre implicó (y bien pudo haber sido causado por) una modificación apresurada del equipo. Aunque prácticamente todo el personal administrativo de la planta tenía calificaciones en ingeniería química, no había ningún gerente senior en el sitio con experiencia en ingeniería mecánica. Los gerentes que la aprobaron pasaron por alto los problemas de ingeniería mecánica relacionados con la modificación y no tuvieron en cuenta la gravedad de las posibles consecuencias debido a su falla.

Flixborough provocó una protesta pública generalizada sobre la seguridad de los procesos. Junto con la aprobación de la Ley de Salud y Seguridad en el Trabajo del Reino Unido en el mismo año, condujo a (y a menudo se cita para justificar) un enfoque más sistemático para la seguridad de los procesos en las industrias de procesos del Reino Unido. La regulación gubernamental del Reino Unido sobre el procesamiento o almacenamiento de grandes inventarios de materiales peligrosos en plantas se encuentra actualmente bajo el Reglamento de Control de Riesgos de Accidentes Mayores de 1999 (COMAH). En Europa, el desastre de Flixborough y el desastre de Seveso en 1976 llevaron al desarrollo de la Directiva Seveso en 1982 (actualmente la Directiva 2012/18/UE emitida en 2012).

Descripción general

La planta química, propiedad de Nypro UK (una empresa conjunta entre Dutch State Mines (DSM) y la British National Coal Board (NCB)) había producido originalmente fertilizantes a partir de subproductos de los hornos de coque de una acería cercana. Desde 1967, producía caprolactama, una sustancia química utilizada en la fabricación de nailon 6. La caprolactama se producía a partir de ciclohexanona. Originalmente se producía mediante hidrogenación de fenol, pero en 1972 se añadió capacidad adicional, construida según un diseño DSM en el que el ciclohexano líquido caliente se oxidaba parcialmente con aire comprimido. Se pretendía que la planta produjera 70.000 toneladas por año (tpa) de caprolactama, pero a principios de 1974 alcanzaba una tasa de sólo 47.000 tpa. Los controles gubernamentales sobre el precio de la caprolactama ejercieron mayor presión financiera sobre la planta.

Fue un fallo de la planta de ciclohexano lo que provocó el desastre. Una importante fuga de líquido del circuito del reactor provocó la rápida formación de una gran nube de hidrocarburos inflamables. Cuando esto se encontró con una fuente de ignición (probablemente un horno en una planta de producción de hidrógeno cercana) se produjo una explosión masiva de combustible y aire. La sala de control de la planta se derrumbó, matando a sus 18 ocupantes. Otros nueve trabajadores de la obra murieron y un repartidor murió de un ataque cardíaco en su taxi. En el lugar se produjeron incendios que aún persistían diez días después. Alrededor de 1.000 edificios dentro de un radio de 1 milla (1,6 km) del sitio (en el propio Flixborough y en las aldeas vecinas de Burton upon Stather y Amcotts) resultaron dañados, al igual que casi 800 en Scunthorpe, a 3 millas (4,8 km) de distancia; La explosión se escuchó a más de 56 kilómetros (35 millas) de distancia en Grimsby, Hull y Saltfleet. Pronto se mostraron en televisión imágenes del desastre, filmadas por los equipos de noticias de filmstock de la BBC y Yorkshire Television que habían estado cubriendo la Gala Appleby-Frodingham en Scunthorpe esa tarde.

La planta fue reconstruida, pero ahora se producía ciclohexanona mediante hidrogenación de fenol (Nypro propuso producir hidrógeno a partir de GLP; ante la falta de asesoramiento oportuno del Ejecutivo de Salud y Seguridad (HSE), se autorizó el almacenamiento de 1.200 te Inicialmente se concedió GLP en Flixborough sujeto a la aprobación de HSE, pero HSE se opuso); como resultado de un posterior colapso del precio del nailon, cerró unos años más tarde. El sitio fue demolido en 1981, aunque aún se conserva el bloque administrativo. El sitio hoy alberga el polígono industrial de Flixborough, ocupado por varias empresas y la central eléctrica de Glanford.

Los cimientos de las propiedades gravemente dañadas por la explosión y posteriormente demolidas se pueden encontrar en el terreno entre la finca y el pueblo, en la ruta conocida como Stather Road. En 1977 se erigió un monumento a los que murieron frente a las oficinas en el sitio reconstruido. Fundido en bronce, mostraba ánades reales posándose sobre el agua. Cuando se cerró la planta, la estatua se trasladó al estanque de la iglesia parroquial de Flixborough. Durante la madrugada del día de Año Nuevo de 1984, la escultura fue robada. Nunca se ha recuperado, pero el pedestal sobre el que se encontraba, con una placa con la lista de todos los que murieron ese día, todavía se puede encontrar fuera de la iglesia.

El proceso de oxidación del ciclohexano todavía se opera con el mismo diseño de planta en el Lejano Oriente.

El desastre

La planta

En el proceso DSM, el ciclohexano se calentó a aproximadamente 155 °C (311 °F) antes de pasar a una serie de seis reactores. Los reactores se construyeron con acero dulce con un revestimiento de acero inoxidable; cuando estaban en funcionamiento, contenían en total alrededor de 145 toneladas de líquido inflamable a una presión de trabajo de 8,6 bar (0,86 MPa; 125 psig). En cada uno de los reactores, se hizo pasar aire comprimido a través del ciclohexano, lo que provocó que un pequeño porcentaje del ciclohexano se oxidara y produjera ciclohexanona, produciéndose también algo de ciclohexanol. Cada reactor era ligeramente (aproximadamente 14 pulgadas, 350 mm) más bajo que el anterior, de modo que la mezcla de reacción fluyó de uno al siguiente por gravedad a través de tubos cortos de diámetro nominal de 28 pulgadas (700 mm DN) con fuelles insertados. La entrada a cada reactor estaba desconcertada para que el líquido entrara a los reactores a un nivel bajo; el líquido saliente fluía sobre un vertedero cuya cresta era algo más alta que la parte superior del tubo de salida. La mezcla que salía del reactor 6 se procesó para eliminar los productos de reacción, y el ciclohexano sin reaccionar (solo aproximadamente el 6% reaccionó en cada paso) luego regresó al inicio del circuito del reactor.

Aunque la presión de funcionamiento se mantenía mediante una válvula de purga controlada automáticamente una vez que la planta alcanzaba el estado estable, la válvula no se podía utilizar durante el arranque, cuando no había alimentación de aire, estando la planta presurizada con nitrógeno. Durante el arranque, la válvula de purga normalmente estaba aislada y no había ninguna ruta para que escapara el exceso de presión; La presión se mantuvo dentro de límites aceptables (ligeramente más amplios que los logrados bajo control automático) mediante la intervención del operador (operación manual de las válvulas de ventilación). También se instaló una válvula de alivio de presión que actúa a 11 kgf/cm² (11 bar; 156 psi).

El reactor 5 tiene fugas y se pasa por alto

Dos meses antes de la explosión, se descubrió que el reactor número 5 tenía una fuga. Cuando se le quitó el revestimiento, se vio una grieta que se extendía aproximadamente 6 pies (1,8 m) en la carcasa de acero dulce del reactor. Se decidió instalar una tubería temporal para evitar el reactor con fugas y permitir la operación continua de la planta mientras se hacían las reparaciones. En ausencia de una tubería de diámetro nominal de 28 pulgadas (DN 700 mm), se usó una tubería de diámetro nominal 20 pulgadas (DN 500 mm) para fabricar la tubería de derivación para conectar la salida del reactor 4 con la entrada del reactor 6. Se probó la estanqueidad de la nueva configuración a presión de trabajo mediante presurización con nitrógeno. Durante dos meses después de la instalación, el bypass funcionó continuamente a temperatura y presión y no dio problemas. A finales de mayo (cuando el bypass ya estaba retrasado), hubo que despresurizar los reactores y dejarlos enfriar para hacer frente a las fugas en otros lugares. Una vez solucionadas las fugas, a principios del 1 de junio comenzaron los intentos de restablecer la presión y la temperatura de la planta.

La explosión

Aproximadamente a las 16:53 del 1 de junio de 1974, hubo una liberación masiva de ciclohexano caliente en el área del desaparecido reactor 5, seguida poco después por la ignición de la enorme nube resultante de vapor inflamable y una explosión masiva en la planta. La explosión prácticamente destruyó el lugar. Como era fin de semana, había relativamente poca gente en el lugar: de las 72 personas que se encontraban en el lugar en ese momento, 28 murieron y 36 resultaron heridas. Los incendios ardieron en el lugar durante más de diez días. Fuera del lugar no hubo víctimas mortales, pero se reportaron 50 heridos y unas 2.000 propiedades dañadas.

Los ocupantes del laboratorio de obras habían visto el escape y evacuaron el edificio antes de que se encendiera el escape; la mayoría sobrevivió. Ninguno de los 18 ocupantes de la sala de control de la planta sobrevivió, ni tampoco ningún registro de las lecturas de la planta. La explosión parecía haber ocurrido en el área general de los reactores y después del accidente sólo se identificaron dos posibles sitios de fugas antes de la explosión: "Se encontró el conjunto de derivación de 20 pulgadas con los fuelles en ambos extremos rotos". acuchillado en el pedestal debajo" y había una división de 50 pulgadas de largo en una tubería cercana de acero inoxidable de diámetro nominal de 8 pulgadas.

Tribunal de Instrucción

Inmediatamente después del accidente, New Scientist comentó proféticamente sobre la respuesta oficial normal a tales eventos, pero esperaba que se aprovechara la oportunidad para introducir una regulación gubernamental efectiva de las plantas de procesos peligrosos.

Los desastres a escala de la trágica explosión del sábado pasado... en Flixborough tienden a provocar una breve ola de declaraciones que tales cosas nunca deben suceder de nuevo. Con el paso del tiempo estos sentimientos se diluyen en informes bland sobre el error humano y todo estar bien bajo control – como sucedió con el fuego de Summerland. En el caso Flixborough, existe la posibilidad real de que el número de muertos pueda provocar cambios significativos en un aspecto descuidado de la seguridad industrial.

El Secretario de Estado de Empleo creó un tribunal de investigación para establecer las causas y circunstancias del desastre e identificar las lecciones inmediatas que se deben aprender, y también un comité de expertos para identificar los principales lugares peligrosos y asesorar sobre las medidas de control adecuadas. para ellos. La investigación, presidida por Roger Parker QC, duró 70 días en el período comprendido entre septiembre de 1974 y febrero de 1975, y tomó pruebas de más de 170 testigos. Paralelamente, se creó un Comité Asesor sobre Peligros Mayores para examinar los problemas a largo plazo asociados con las plantas de procesos peligrosos.

Circunstancias del desastre

El informe del tribunal de instrucción criticaba la instalación de las tuberías de derivación por varios motivos: aunque la planta y la alta dirección eran ingenieros colegiados (en su mayoría ingenieros químicos), el puesto de ingeniero de fábrica que había sido ocupado por un El puesto de ingeniero mecánico colegiado estaba vacante desde enero de 1974 y en el momento del accidente no había ingenieros profesionalmente calificados en el departamento de ingeniería de obras. Nypro había reconocido que esto era una debilidad e identificó a un ingeniero mecánico senior en una subsidiaria de NCB disponible para brindar asesoramiento y apoyo si fuera necesario. En una reunión de directores de planta y de ingeniería para discutir el fallo del reactor 5, el ingeniero mecánico externo no estuvo presente. El énfasis estaba en un reinicio rápido y, según la investigación, aunque esto no condujo a la aceptación deliberada de los peligros, condujo a la adopción de un curso de acción cuyos peligros (y de hecho los aspectos prácticos de ingeniería) no fueron considerados ni comprendidos adecuadamente. Se pensaba que el principal problema era sacar del camino el reactor 5. Sólo el ingeniero de la planta estaba preocupado por la puesta en marcha antes de que se comprendiera el motivo del fallo y se inspeccionaran los demás reactores. En la reunión no se reconoció la diferencia de elevación entre la salida del reactor 4 y la entrada del reactor 6. A nivel de trabajo, la compensación se acomodaba mediante una pata de perro en el conjunto de derivación; una sección inclinada hacia abajo insertada entre (y unida mediante soldaduras a inglete) dos tramos horizontales de tubería de 20 pulgadas que lindan con los trozos existentes de 28 pulgadas. Este bypass estaba sostenido por un andamio provisto de soportes previstos para evitar que los fuelles tuvieran que soportar el peso de las tuberías entre ellos, pero sin previsión contra otras cargas. La investigación señaló sobre el diseño del conjunto:

Nadie apreció que la asamblea presurizada estuviera sujeta a un momento de inflexión, imponiendo fuerzas de corte en los huecos para los cuales no están diseñados. Tampoco nadie apreció que el empuje hidráulico en los fuelles (unas 38 toneladas a presión de trabajo) tendería a hacer la hebilla de la tubería en las articulaciones de mitra. No se hicieron cálculos para determinar si las campanas o tuberías soportarían estas cepas; no se hizo referencia a la norma británica pertinente, o a cualquier otro estándar aceptado; no se hizo referencia a la guía del diseñador emitida por los fabricantes de los fuelles; no se hizo ningún dibujo de la tubería, aparte de la tiza en la planta del taller; no se hizo ninguna prueba de presión ni de la tubería ni de la asamblea completa antes de que fuera instalado.

La investigación señaló además que "no hubo ningún control o planificación general del diseño, construcción, prueba o montaje del conjunto ni se realizó ninguna verificación de que las operaciones se hubieran llevado a cabo correctamente". Una vez instalado el conjunto, se comprobó la estanqueidad de la planta presurizándola con nitrógeno a 9 kg/cm²; es decir, presión de funcionamiento aproximada, pero por debajo de la presión a la que se levantaría la válvula de alivio del sistema y por debajo del 30% por encima de la presión de diseño exigida por la norma británica pertinente.

Causa del desastre

La afirmación argumentada por los expertos contratados por Nypro y sus aseguradoras fue que la causa del desastre fue que el desvío de 20 pulgadas no era lo que se habría producido o aceptado mediante un proceso más considerado, pero la controversia se desarrolló (y se volvió enconada) a medida que a si su fallo fue el fallo iniciador del desastre (la hipótesis de las 20 pulgadas, defendida por los diseñadores de la planta (DSM) y los constructores de la planta; y favorecida por los asesores técnicos del tribunal), o había sido provocada por un Explosión externa resultante de una falla previa de la línea de 8 pulgadas.

La hipótesis de las 20 pulgadas

Las pruebas en réplicas de conjuntos de derivación mostraron que la deformación de los fuelles podría ocurrir a presiones por debajo del ajuste de la válvula de seguridad, pero que esta deformación no provocó una fuga (ya sea por daños a los fuelles o por daños a la tubería en el inglete). soldaduras) hasta muy por encima del ajuste de la válvula de seguridad. Sin embargo, los modelos teóricos sugirieron que la expansión de los fuelles como resultado de esto daría lugar a una cantidad significativa de trabajo realizado sobre ellos por el contenido del reactor, y habría una carga de choque considerable sobre los fuelles cuando llegaran al final de su recorrido. . Si el fuelle fuera 'rígido' (resistente a la deformación), la carga de impacto podría causar que el fuelle se rompa a presiones por debajo del ajuste de la válvula de seguridad; No era imposible que esto pudiera ocurrir a las presiones experimentadas durante el arranque, cuando la presión estaba menos controlada. (Se desconocían las presiones de la planta en el momento del accidente ya que todos los instrumentos y registros relevantes habían sido destruidos y todos los operadores relevantes habían muerto). La investigación concluyó que esto ("la hipótesis de las 20 pulgadas") era 'una probabilidad' pero uno 'que fácilmente sería desplazado si alguna probabilidad mayor' pudo ser encontrado.

La hipótesis de las 8 pulgadas

Un análisis detallado sugirió que la tubería de 8 pulgadas había fallado debido a "cavitación por fluencia" a alta temperatura mientras la tubería estaba bajo presión. Como resultado, el metal de la tubería habría experimentado deformaciones difíciles de detectar, grietas microscópicas y debilidad estructural, lo que aumentó la probabilidad de falla. El fracaso se había acelerado por el contacto con el zinc fundido; Había indicios de que un codo en la tubería había estado a una temperatura significativamente más alta que el resto de la tubería. El codo caliente conducía a una válvula de retención sujeta entre dos bridas de tubería mediante doce pernos. Después del desastre, se descubrió que dos de los doce tornillos estaban flojos; la investigación concluyó que probablemente estaban sueltos antes del desastre. Nypro argumentó que los pernos se habían aflojado y que, en consecuencia, se había producido una lenta fuga de fluido de proceso sobre el revestimiento, lo que finalmente provocó un incendio en el revestimiento, que había empeorado la fuga hasta el punto en que una llama había pasado desapercibida sobre el codo y había quemado el revestimiento. y expuso la línea al zinc fundido, la línea luego falló con una liberación masiva de fluido de proceso que extinguió el incendio original, pero posteriormente se encendió provocando una pequeña explosión que había causado la falla del bypass, una segunda liberación más grande y una explosión más grande. Las pruebas no lograron producir un incendio retardado con una fuga de fluido de proceso a las temperaturas del proceso; Un defensor de la hipótesis de las 8 pulgadas argumentó entonces que había habido una falla en la junta que había provocado una fuga con velocidad suficiente para inducir cargas estáticas cuya descarga había encendido la fuga.

La conclusión de la investigación

Se afirmó que la hipótesis de las 8 pulgadas estaba respaldada por relatos de testigos presenciales y por la posición aparentemente anómala de algunos escombros después del desastre. El informe de la investigación consideró que las explosiones suelen arrojar escombros en direcciones inesperadas y los testigos presenciales a menudo tienen recuerdos confusos. La investigación identificó dificultades en varias etapas del desarrollo del accidente en la hipótesis de 8 pulgadas, y se consideró que su efecto acumulativo era tal que el informe concluyó que, en general, la hipótesis de 20 pulgadas involucraba "un evento único de baja probabilidad". ; era más creíble que la hipótesis de las 8 pulgadas dependiendo de "una sucesión de acontecimientos, la mayoría de los cuales son improbables".

Lecciones que aprender

El informe de investigación identificó 'lecciones por aprender' que presentó bajo diversos títulos; 'Observación general' (relacionados con cuestiones culturales subyacentes al desastre), 'lecciones específicas' (directamente relacionados con el desastre, pero de aplicabilidad general) se informan a continuación; También hubo 'generales' y 'lecciones varias' de menor relevancia para el desastre. El informe también comenta los asuntos que serán cubiertos por el Comité Asesor sobre Peligros Mayores.

Observación general

• La planta –si es posible – debe diseñarse para que el fracaso no lleve al desastre en un tiempo demasiado corto para permitir la acción correctiva.
• La planta debe diseñarse y ejecutarse para minimizar la tasa a la que surgen las decisiones de gestión crítica (en particular las en las que surgen conflictos de producción y seguridad).
• La retroalimentación de la estructura de gestión debe garantizar que la administración superior comprenda las responsabilidades de las personas y pueda asegurar que su volumen de trabajo, capacidad y competencia les permitan hacer frente eficazmente a esas responsabilidades

Lecciones específicas

El desastre fue causado por 'una planta bien diseñada y construida' sufriendo una modificación que destruyó su integridad mecánica.

• Las modificaciones deben diseñarse, construirse, probarse y mantenerse a los mismos estándares que la planta original

Cuando se instaló el bypass, no había ningún ingeniero de obras en el personal superior de la compañía (todos los ingenieros químicos) eran incapaces de reconocer la existencia de un simple problema de ingeniería, y mucho menos resolverlo

• Cuando un puesto importante esté vacante, deberá prestarse especial atención cuando se deban tomar decisiones que normalmente serían tomadas por el titular del puesto vacante o bajo el consejo de éste.
• Todos los ingenieros deben aprender al menos los elementos de las ramas de la ingeniería que no sean sus propios

Asuntos que se remitirán al Comité Asesor

Nadie involucrado en el diseño o construcción de la planta previó la posibilidad de que ocurriera instantáneamente un desastre importante. Ahora quedó claro que tal posibilidad existe cuando se procesan o almacenan grandes cantidades de material potencialmente explosivo. Era "de la mayor importancia que se identificaran las plantas en las que existe un riesgo de desastre instantáneo, en lugar de un desastre creciente". Una vez identificado, se deben tomar medidas tanto para prevenir tal desastre en la medida de lo posible como para minimizar sus consecuencias en caso de que ocurra a pesar de todas las precauciones.' Debería haber coordinación entre las autoridades de planificación y el Ejecutivo de Salud y Seguridad, de modo que las autoridades de planificación puedan recibir asesoramiento sobre cuestiones de seguridad antes de conceder el permiso de planificación; Del mismo modo, los servicios de emergencia deberían disponer de información para elaborar un plan de catástrofe.

Conclusión

The inquiry summarised its findings as follows:

Creemos, sin embargo, que si los pasos que recomendamos se llevan a cabo, se reducirá el riesgo de cualquier desastre similar, ya remoto. Usamos la frase "ya remota" aconsejablemente para que quede claro que no encontramos nada que sugiera que la planta como originalmente diseñada y construida creaba ningún riesgo inaceptable. El desastre fue causado totalmente por la coincidencia de varios errores improbables en el diseño e instalación de una modificación. Tal combinación de errores es muy poco probable que se repita nunca. Nuestras recomendaciones deben garantizar que no se produzca una combinación similar de nuevo y que, incluso si lo hace, los errores se detectarían antes de que surgieran consecuencias graves.

Informe de respuesta a la consulta

Controversia sobre la causa inmediata

Los asesores de Nypro habían puesto un esfuerzo considerable en la hipótesis de las 8 pulgadas, y el informe de la investigación hizo un esfuerzo considerable para descartarla. La crítica de la hipótesis desembocó en una crítica a sus defensores: "el entusiasmo que sienten sus defensores por la hipótesis de las 8 pulgadas les ha llevado a pasar por alto defectos obvios que en otras circunstancias no habrían dejado de darse cuenta" . De uno de los proponentes, el informe señalaba gratuitamente que su examen por parte del tribunal "tenía como objetivo garantizar que habíamos apreciado correctamente los principales pasos de la hipótesis, algunos de los cuales nos parecían en conflicto con hechos que estaban fuera de toda duda". El informe le agradeció su trabajo en la recopilación de pruebas de testigos presenciales, pero dijo que su uso mostró "una aproximación a las pruebas que es totalmente errónea".

El proponente de la hipótesis de la falla de la junta de 8 pulgadas respondió argumentando que la hipótesis de 20 pulgadas tenía su parte de defectos que el informe de investigación había decidido pasar por alto, que la hipótesis de 8 pulgadas tenía más a su favor que el informe. sugirió, y que había lecciones importantes que la investigación no había logrado identificar:

[T]he El compromiso de la corte por la hipótesis de 20 pulgadas les llevó a presentar sus conclusiones de una manera que no ayuda al lector a evaluar pruebas contrarias. La Corte podría tener toda la razón de que una única modificación insatisfactoria causó el desastre, pero esta no es razón para la complacencia. Hay muchas otras lecciones. Es de esperar que el respeto que normalmente se concede a las conclusiones de un Tribunal de Investigación no inhiba a los ingenieros químicos a mirar más allá del informe en sus esfuerzos por mejorar el ya bueno historial de seguridad de la industria química.

El sitio web de HSE de 2014 decía que "Durante la tarde del 1 de junio de 1974 se rompió un sistema de derivación de 20 pulgadas, lo que pudo haber sido causado por un incendio en una tubería cercana de 8 pulgadas". A falta de un fuerte consenso para cualquiera de las hipótesis, se han sugerido otras posibles causas inmediatas.

Ingeniería forense posterior a la investigación: ruptura del bypass en dos etapas

La investigación observó la existencia de un pequeño desgarro en un fragmento de fuelle y, por lo tanto, consideró la posibilidad de que una pequeña fuga en el bypass hubiera provocado una explosión que derribó el bypass. Señaló que esto no contradecía la evidencia de los testigos presenciales, pero descartó el escenario porque las pruebas de presión mostraron que los fuelles no se rompieron hasta muy por encima de la presión de la válvula de seguridad. Sin embargo, esta hipótesis se ha revivido, ya que los desgarros fueron causados por una falla por fatiga en la parte superior del fuelle de salida del reactor 4 debido a la vibración inducida por el flujo de la línea de derivación sin soporte. Se ha llevado a cabo un análisis de elementos finitos (y se han aportado pruebas de testigos presenciales adecuadas) para respaldar esta hipótesis.

Ingeniería forense posterior a la investigación: la 'hipótesis del agua'

Los reactores normalmente se agitaban mecánicamente, pero el reactor 4 había funcionado sin agitador desde noviembre de 1973; El agua de la fase libre podría haberse sedimentado en el reactor 4 sin agitar y el fondo del reactor 4 alcanzaría la temperatura de funcionamiento más lentamente que los reactores agitados. Se postuló que había habido agua a granel en el reactor 4 y que se había producido un evento de ebullición disruptivo cuando la interfaz entre éste y la mezcla de reacción alcanzó la temperatura de funcionamiento. Las presiones anormales y el desplazamiento del licor resultante de esto (se argumentó) podrían haber provocado la falla del bypass de 20 pulgadas.

Insatisfacción con otros aspectos del Informe de investigación

El diseño de la planta había asumido que la peor consecuencia de una fuga importante sería un incendio en la planta y, para protegerse contra esto, se había instalado un sistema de detección de incendios. Las pruebas realizadas por el Fire Research Establishment demostraron que esto era menos efectivo de lo previsto. Además, la detección de incendios sólo funcionó si la fuga se encendió en el lugar de la fuga; no ofrecía protección contra una fuga importante con encendido retardado, y el desastre había demostrado que esto podría provocar múltiples muertes de trabajadores. Por lo tanto, la planta tal como fue diseñada podría ser destruida por un solo fallo y tenía un riesgo mucho mayor de matar a los trabajadores de lo que los diseñadores habían previsto. Por lo tanto, a los críticos del informe de investigación les resultó difícil aceptar su caracterización de que la planta estaba "bien diseñada". El HSE (a través del Departamento de Empleo) había elaborado una 'lista de compras' de unas 30 recomendaciones sobre diseño de plantas, muchas de las cuales no habían sido adoptadas (y algunas rechazadas explícitamente) en el Informe de Investigación; El inspector de HSE que actuó como secretario de la investigación habló después de asegurarse de que se aplicaran las verdaderas lecciones. Más fundamentalmente, Trevor Kletz vio la planta como un síntoma de una falla general en considerar la seguridad lo suficientemente temprano en el diseño de la planta de procesos, de modo que los diseños fueran inherentemente seguros; en lugar de eso, los procesos y la planta se seleccionaron por otros motivos y luego los sistemas de seguridad se incorporaron a un diseño con riesgos evitables. peligros y un inventario innecesariamente alto. "Tenemos un león y construimos una jaula fuerte para guardarlo. Pero antes de hacerlo debemos preguntar si un cordero podría servir".

Si bien el público del Reino Unido se tranquilizó en gran medida al saber que el accidente fue único y no debería volver a ocurrir, algunos profesionales de la seguridad de procesos del Reino Unido se mostraron menos confiados. Los críticos sintieron que la explosión de Flixborough no fue el resultado de múltiples errores de diseño de ingeniería básica que probablemente no volverían a coincidir; los errores fueron más bien casos múltiples de una causa subyacente: una falla total de los procedimientos de seguridad de la planta (exacerbada por la falta de experiencia en ingeniería relevante, pero esa falta también fue una deficiencia de procedimiento).

Respuesta de ICI Petroquímica

La División de Petroquímicos de Imperial Chemical Industries (ICI) operaba muchas plantas con grandes inventarios de productos químicos inflamables en su sitio de Wilton (incluida una en la que el ciclohexano se oxidaba a ciclohexanona y ciclohexanol). El desempeño históricamente bueno de seguridad de procesos en Wilton se vio empañado a fines de la década de 1960 por una serie de incendios fatales causados por aislamientos/traspasos defectuosos para trabajos de mantenimiento. Su causa inmediata fue el error humano, pero ICI consideró que decir que la mayoría de los accidentes fueron causados por errores humanos no era más útil que decir que la mayoría de las caídas son causadas por la gravedad. ICI no se limitó a recordar a los operadores que fueran más cuidadosos, sino que emitió instrucciones explícitas sobre la calidad requerida de los aislamientos y la calidad requerida de su documentación. Los requisitos más onerosos se justificaron de la siguiente manera:

¿Por qué necesitamos las reglas [ICI Heavy Organic Chemicals Division] sobre el aislamiento e identificación del equipo para el mantenimiento? Fueron introducidos hace unos dos años, pero Billingham logró 45 años sin ellos. Durante esos 45 años no había duda de muchas ocasiones en que los calzoncillos entraron en equipo y encontraron que no había sido aislado, o irrumpido en la línea equivocada porque no se había identificado positivamente. Pero las tuberías eran en su mayoría pequeñas, y la cantidad de gas inflamable o líquido en la planta no era generalmente grande. Ahora las tuberías son mucho más grandes y la cantidad de gas o líquido que puede filtrarse es mucho mayor. Varios incidentes graves en los últimos tres años han demostrado que no nos atrevemos a arriesgarnos a romper líneas que no están debidamente aisladas. Como las plantas han crecido, nos hemos mudado a un nuevo mundo donde se necesitan nuevos métodos.

De acuerdo con este punto de vista, después de Flixborough (y sin esperar el informe de la investigación), ICI Petrochemicals instituyó una revisión de cómo controlaba las modificaciones. Encontró que los proyectos importantes que requerían una sanción financiera de alto nivel estaban generalmente bien controlados, pero para modificaciones (financieramente) menores había menos control y esto había resultado en una historia pasada de 'casi accidentes' y accidentes de pequeña escala, pocos de los cuales podrían atribuirse a los ingenieros químicos. Para remediar esto, no sólo se recordó a los empleados los principales puntos a considerar al realizar una modificación (tanto sobre la calidad/cumplimiento de la modificación en sí como sobre el efecto de la modificación en el resto de la planta), sino que también se implementaron nuevos procedimientos y documentación. se introdujeron para garantizar un control adecuado. Estos requisitos se aplicaban no sólo a los cambios de equipo, sino también a los cambios de proceso. Todas las modificaciones debían estar respaldadas por una evaluación de seguridad formal. Para modificaciones importantes, esto incluiría un 'estudio de operación'; para modificaciones menores se utilizaría una evaluación de seguridad basada en una lista de verificación, indicando qué aspectos se verían afectados y, para cada aspecto, se daría una declaración del efecto esperado. La modificación y su correspondiente evaluación de seguridad debían ser aprobadas por escrito por el director y el ingeniero de la planta. Cuando estuvieran involucrados instrumentos o equipos eléctricos, también se necesitarían las firmas del especialista correspondiente (gerente de instrumentos o ingeniero eléctrico). Se introdujo un Código de prácticas de tuberías que especifica las normas de diseño, construcción y mantenimiento de tuberías: todas las tuberías de más de 3"nb (DN 75 mm) que manejen materiales peligrosos tendrían que ser diseñadas por especialistas en tuberías de la oficina de diseño. El enfoque se publicó fuera de ICI; Si bien el Código de prácticas de tuberías por sí solo habría combatido la falla o fallas que condujeron al desastre de Flixborough, pronto se reconoció que la adopción más general de controles más estrictos sobre las modificaciones (y el método mediante el cual se hacían) era una buena práctica prudente. . En el Reino Unido, el enfoque ICI se convirtió en un estándar de facto para plantas de alto riesgo (en parte porque la nueva Ley de Salud y Seguridad en el Trabajo (1974) fue más allá de los requisitos específicos para los empleadores al establecer deberes generales para mantener los riesgos para los trabajadores tan bajos como sea razonablemente posible y evitar riesgos para el público en la medida de lo posible; bajo este nuevo régimen, la presunción era que las buenas prácticas reconocidas serían inherentemente "razonablemente factibles" y, por lo tanto, deberían adoptarse; , en parte porque pasajes clave de los informes del Comité Asesor sobre Peligros Mayores eran claramente favorables).

Comité Asesor de Riesgos Mayores

Insatisfacción con el régimen regulatorio existente

Los términos de referencia del Tribunal de Investigación no incluían ningún requisito para comentar sobre el régimen regulatorio bajo el cual se había construido y operado la planta, pero estaba claro que no era satisfactorio. La construcción de la planta requirió la aprobación del permiso de planificación por parte del ayuntamiento; mientras que "un procedimiento interdepartamental permitió a las autoridades de planificación solicitar el asesoramiento de la Inspección de Fábricas de Su Majestad al considerar solicitudes para nuevos desarrollos que pudieran implicar un peligro importante" (no estaban obligados a hacerlo), como el ayuntamiento no había reconocido la naturaleza peligrosa de la planta, no solicitaron asesoramiento. Como comentó el New Scientist una semana después del desastre:

Ahora hay probablemente más de una docena de plantas petroquímicas británicas con un potencial de devastación similar a las obras de Nypro en Flixborough. Ni cuando fueron construidos por primera vez, ni ahora que están en funcionamiento, ningún organismo local o gubernamental ejerció un control efectivo sobre su seguridad. Para construir una central nuclear, la industria eléctrica debe proporcionar una evaluación detallada de la seguridad a la Inspección Nuclear antes de recibir una licencia. Por otro lado, el permiso para las plantas de procesos altamente peligrosas sólo implica satisfacer un comité de planificación local técnicamente no cualificado, que carece incluso de los poderes más rudimentarios una vez que la planta se enciende.... The Factory Inspectorate has standing only where it has promulgated specific regulations

Términos de referencia y personal

Los términos de referencia del ACMH eran identificar tipos de instalaciones (no nucleares) que plantean un peligro importante y asesorar sobre los controles apropiados en su establecimiento, emplazamiento, distribución, diseño, operación, mantenimiento y desarrollo (incluidos desarrollo general en sus alrededores). A diferencia del Tribunal de Investigación, su personal (y el de sus grupos de trabajo asociados) tenía una representación significativa de profesionales de la seguridad, provenientes en gran medida de la industria nuclear y de ICI (o ex-ICI)

Marco regulatorio sugerido

En su primer informe (publicado como base para consultas y comentarios en marzo de 1976), el ACMH señaló que el peligro no se podía cuantificar en abstracto y que era necesaria una definición precisa de 'peligro mayor' era por tanto imposible. En cambio, las instalaciones con un inventario de fluidos inflamables por encima de un determinado umbral o de materiales tóxicos por encima de un determinado 'equivalente de cloro' el umbral debe ser ' instalaciones declarables '. Se debe exigir a una empresa que opere una instalación notificable que estudie sus riesgos potenciales e informe a HSE sobre los peligros identificados y los procedimientos y métodos adoptados (o por adoptar) para abordarlos.

HSE podría optar entonces, en algunos casos (que generalmente implican alto riesgo o tecnología novedosa), exigir la presentación de una evaluación más elaborada, que cubra (según corresponda) "diseño, fabricación, construcción, puesta en servicio, operación y mantenimiento". , así como modificaciones posteriores ya sean del diseño o de los procedimientos operativos o de ambos". La empresa tendría que demostrar que "posee el sistema de gestión adecuado, la filosofía de seguridad y personas competentes, que tiene métodos eficaces para identificar y evaluar los peligros, que ha diseñado y opera la instalación de acuerdo con las regulaciones apropiadas, normas y códigos de práctica, que cuente con procedimientos adecuados para hacer frente a emergencias y que utilice controles independientes cuando corresponda"

Para la mayoría de las 'instalaciones notificables' no deberían ser necesarios más controles explícitos; HSE podría asesorar y, si fuera necesario, hacer cumplir mejoras en virtud de los poderes generales que le otorga la Ley de Salud y Seguridad en el Trabajo de 1974 (HASAWA), pero para muy pocos sitios podría ser apropiada una licencia explícita por parte de HSE; La responsabilidad de la seguridad de la instalación recaerá siempre y totalmente en el titular de la licencia.

Garantizar la seguridad de las zonas de 'peligro mayor' instalaciones

HASAWA ya exigía a las empresas que tuvieran una política de seguridad y un plan integral para implementarla. ACMH consideró que para instalaciones de riesgo mayor el plan debería ser formal e incluir

• La regulación por procedimientos de seguridad de las empresas (como: identificación de peligros, control de mantenimiento (a través de certificados de autorización, permisos de trabajo, etc.), control de modificaciones que podrían afectar la integridad de las plantas, procedimientos operativos de emergencia, control de acceso)
• Funciones claras de seguridad (por ejemplo, el equipo de diseño y desarrollo, la gestión de la producción, los oficiales de seguridad)
• Capacitación para la seguridad, medidas para fomentar la sensibilización sobre la seguridad y información sobre cuestiones de seguridad

Se necesitaban documentos de seguridad tanto para el diseño como para el funcionamiento. La gestión de instalaciones de riesgo mayor debe demostrar que poseía y utilizaba una selección de técnicas apropiadas de reconocimiento de peligros, tenía un sistema adecuado para auditar las características críticas de seguridad y utilizaba evaluaciones independientes cuando correspondía.

El ACMH también pidió una estricta disciplina en la operación de plantas de alto riesgo:

La rareza de los grandes desastres tiende a reproducir la complacencia e incluso un desprecio por las instrucciones escritas. Creemos que las normas pertinentes a la seguridad deben ser reglas de trabajo cotidianas y ser consideradas como una parte esencial de la práctica de trabajo cotidiana. Las reglas, diseñadas para proteger a aquellos que los dibujaron si algo sale mal, son fácilmente ignoradas en el trabajo cotidiano. Cuando la administración establece normas de seguridad, también debe asegurarse de que se llevan a cabo. Creemos que para ello es esencial una formalidad considerable en relación con cuestiones tales como los permisos de trabajo y certificados de autorización para entrar en buques o zonas de planta. Para mantener un control fuerte en la planta, se debe definir claramente el nivel de autoridad para las autorizaciones. Asimismo, debe definirse claramente el nivel de autoridad para la aprobación técnica de cualquier modificación de la planta. Para evitar el peligro de que se ignoren los sistemas y los procedimientos, debe exigirse una forma periódica de auditoría de esos sistemas.

El segundo informe de la ACMH (1979) rechazó las críticas de que, dado que los accidentes que causaban múltiples muertes estaban asociados con daños extensos y costosos a las plantas, los operadores de los sitios de mayor riesgo tenían todos los incentivos para evitar tales accidentes y, por lo tanto, era excesivo exigir sitios de mayor riesgo para demostrar su seguridad ante un organismo gubernamental con tal detalle:

No nos atreveríamos a cuestionar que las mejores empresas de carrera alcanzan altos estándares de seguridad, pero creemos que esto es porque han logrado... lo que es quizás mejor descrito como disciplina técnica en todo lo que hacen. Creemos que las mejores prácticas deben ser seguidas por todas las empresas y que hemos alcanzado un estado de desarrollo tecnológico donde no es suficiente en áreas de alto riesgo para los empleadores simplemente demostrar a sí mismos que todo está bien. Ahora deben ser obligados a demostrar a la comunidad en su conjunto que sus plantas están correctamente diseñadas, bien construidas y operadas con seguridad.

El enfoque defendido por el ACMH se siguió en gran medida en la legislación y las medidas reglamentarias posteriores del Reino Unido, pero tras la liberación de clordioxinas por una reacción química desenfrenada en Seveso, en el norte de Italia, en julio de 1976, se crearon 'plantas de alto riesgo' se convirtió en una cuestión a nivel de toda la UE y el enfoque del Reino Unido quedó subsumido en iniciativas a nivel de toda la UE (la Directiva Seveso en 1982, reemplazada por la Directiva Seveso II en 1996). Se emitió un tercer y último informe cuando se disolvió el ACMH en 1983.

Las imágenes del incidente aparecieron en la película Days of Fury (1979), dirigida por Fred Warshofsky y presentada por Vincent Price.