El desastre de Flixborough fue una explosión en una planta química cercana al pueblo de Flixborough , en el norte de Lincolnshire , Inglaterra, el sábado 1 de junio de 1974. Mató a 28 personas y hirió gravemente a 36 de las 72 personas que se encontraban en el lugar en ese momento. Las cifras de víctimas podrían haber sido mucho mayores si la explosión hubiera ocurrido un día laborable, cuando la zona de la oficina principal habría estado ocupada. [1] [2] Un activista contemporáneo sobre seguridad de procesos escribió "las ondas de choque sacudieron la confianza de todos los ingenieros químicos del país". [3] [A]
El desastre se debió a una modificación apresurada de los equipos (y bien pudo haber sido causada por ella). Aunque prácticamente todo el personal de gestión de la planta tenía títulos de ingeniería química , no había ningún gerente de alto nivel en el lugar con experiencia en ingeniería mecánica . Los gerentes que aprobaron la modificación pasaron por alto los problemas de ingeniería mecánica relacionados con la misma y no tuvieron en cuenta la gravedad de las posibles consecuencias de su falla.
El desastre de Flixborough provocó una protesta pública generalizada por la seguridad de los procesos . Junto con la aprobación de la Ley de Seguridad y Salud en el Trabajo del Reino Unido en el mismo año, condujo a (y a menudo se cita como justificación de) un enfoque más sistemático de la seguridad de los procesos en las industrias de procesos del Reino Unido. La regulación del gobierno del Reino Unido del procesamiento en planta o el almacenamiento de grandes inventarios de materiales peligrosos se encuentra actualmente bajo el Reglamento de Control de Riesgos de Accidentes Graves de 1999 (COMAH). En Europa, el desastre de Flixborough y el desastre de Seveso en 1976 condujeron al desarrollo de la Directiva Seveso en 1982 (actualmente Directiva 2012/18/UE emitida en 2012).
La fábrica química, propiedad de Nypro UK (una empresa conjunta entre Dutch State Mines (DSM) y la British National Coal Board (NCB)) había producido originalmente fertilizantes a partir de subproductos de los hornos de coque de una acería cercana. Desde 1967, había producido en su lugar caprolactama , una sustancia química utilizada en la fabricación de nailon 6. [ a] La caprolactama se producía a partir de ciclohexanona . Esta se producía originalmente mediante la hidrogenación de fenol , pero en 1972 se añadió capacidad adicional, construida según un diseño de DSM en el que el ciclohexano líquido caliente se oxidaba parcialmente con aire comprimido. La planta estaba destinada a producir 70.000 toneladas por año (tpa) de caprolactama, pero estaba alcanzando una tasa de solo 47.000 tpa a principios de 1974. Los controles gubernamentales sobre el precio de la caprolactama pusieron aún más presión financiera sobre la planta. [2]
El desastre se produjo por un fallo en la planta de ciclohexano. Una importante fuga de líquido del circuito del reactor provocó la rápida formación de una gran nube de hidrocarburo inflamable. Cuando esta entró en contacto con una fuente de ignición (probablemente un horno de una planta de producción de hidrógeno cercana [B] ), se produjo una enorme explosión de aire y combustible . La sala de control de la planta se derrumbó, matando a los 18 ocupantes. Otros nueve trabajadores de la planta murieron y un conductor de reparto murió de un ataque cardíaco en su cabina. Se iniciaron incendios en el lugar que seguían ardiendo diez días después. Alrededor de 1.000 edificios en un radio de 1 milla (1,6 km) del lugar (en el propio Flixborough y en los pueblos vecinos de Burton upon Stather y Amcotts ) resultaron dañados, al igual que casi 800 en Scunthorpe, a 3 millas (4,8 km) de distancia; la explosión se oyó a más de 35 millas (56 km) de distancia en Grimsby , Hull y Saltfleet . Las imágenes del desastre se mostraron pronto en televisión, filmadas por los equipos de noticias de la BBC y Yorkshire Television que habían estado cubriendo la Gala Appleby-Frodingham en Scunthorpe esa tarde.
La planta fue reconstruida, pero ahora se producía ciclohexanona mediante hidrogenación de fenol (Nypro propuso producir hidrógeno a partir de GLP; [7] en ausencia de asesoramiento oportuno del Health and Safety Executive (HSE), inicialmente se concedió el permiso de planificación para el almacenamiento de 1200 te de GLP en Flixborough sujeto a la aprobación de HSE, pero HSE se opuso [8] ); como resultado de un colapso posterior en el precio del nailon, cerró unos años más tarde. El sitio fue demolido en 1981, aunque todavía permanece el bloque de administración. El sitio hoy alberga el Flixborough Industrial Estate, ocupado por varias empresas y la central eléctrica de Glanford .
Los cimientos de las propiedades gravemente dañadas por la explosión y posteriormente demolidas se pueden encontrar en un terreno entre la finca y el pueblo, en la ruta conocida como Stather Road. En 1977 se erigió un monumento a los fallecidos frente a las oficinas del lugar reconstruido. Fundido en bronce , mostraba patos silvestres posándose en el agua. Cuando se cerró la planta, la estatua se trasladó al estanque de la iglesia parroquial de Flixborough. Durante las primeras horas del día de Año Nuevo de 1984, la escultura fue robada. Nunca se ha recuperado, pero el pedestal sobre el que se encontraba, con una placa que enumera a todos los que murieron ese día, todavía se puede encontrar fuera de la iglesia.
El proceso de oxidación del ciclohexano todavía se utiliza con un diseño de planta muy similar en el Lejano Oriente. [4]
En el proceso DSM, el ciclohexano se calentó a unos 155 °C (311 °F) antes de pasar a una serie de seis reactores . Los reactores se construyeron de acero dulce con un revestimiento de acero inoxidable; cuando estaban en funcionamiento, contenían en total unas 145 toneladas de líquido inflamable a una presión de trabajo de 8,6 bar manométricos (0,86 MPa manométricos; 125 psig). [b] En cada uno de los reactores, se pasó aire comprimido a través del ciclohexano, lo que provocó que un pequeño porcentaje del ciclohexano se oxidara y produjera ciclohexanona , produciéndose también algo de ciclohexanol . Cada reactor estaba ligeramente (aproximadamente 14 pulgadas, 350 mm) más bajo que el anterior, de modo que la mezcla de reacción fluía de uno al siguiente por gravedad a través de tubos cortos de diámetro nominal de 28 pulgadas (700 mm DN) con fuelles insertados. [C] La entrada a cada reactor estaba protegida de deflectores de modo que el líquido entraba a los reactores a un nivel bajo; el líquido que salía fluía sobre un vertedero cuya cresta era algo más alta que la parte superior del tubo de salida. [9] La mezcla que salía del reactor 6 se procesaba para eliminar los productos de reacción, y el ciclohexano que no reaccionaba (solo alrededor del 6 % reaccionaba en cada paso) luego regresaba al inicio del bucle del reactor.
Aunque la presión de operación se mantenía mediante una válvula de purga controlada automáticamente una vez que la planta alcanzaba el estado estable, la válvula no podía utilizarse durante el arranque, cuando no había alimentación de aire, ya que la planta estaba presurizada con nitrógeno. Durante el arranque, la válvula de purga estaba normalmente aislada y no había ninguna vía por la que pudiera escapar el exceso de presión; la presión se mantenía dentro de límites aceptables (ligeramente más amplios que los alcanzados con el control automático) mediante la intervención del operador (operación manual de las válvulas de purga). También se instaló una válvula de alivio de presión que actuaba a un manómetro de 11 kgf/cm2 ( 11 bar; 156 psi).
Dos meses antes de la explosión, se descubrió que el reactor número 5 tenía una fuga. Cuando se le quitó el revestimiento , se vio una grieta que se extendía unos 1,8 m en la carcasa de acero dulce del reactor. Se decidió instalar una tubería temporal para desviar el reactor con fugas y permitir que la planta siguiera funcionando mientras se realizaban las reparaciones. A falta de una tubería de diámetro nominal de 700 mm (DN), se utilizó una tubería de diámetro nominal de 500 mm (DN) para fabricar la tubería de derivación que une la salida del reactor 4 con la entrada del reactor 6. La nueva configuración se probó para comprobar su estanqueidad a presión de trabajo mediante presurización con nitrógeno. Durante los dos meses posteriores a la instalación, la derivación funcionó de forma continua a temperatura y presión y no dio problemas. A finales de mayo (cuando ya se había colocado el revestimiento en la derivación), hubo que despresurizar los reactores y dejarlos enfriar para solucionar las fugas en otras partes. Habiéndose solucionado las fugas, a principios del 1 de junio se empezaron a intentar restablecer la presión y la temperatura en la planta.
El 1 de junio de 1974, a eso de las 16:53, se produjo una liberación masiva de ciclohexano caliente en la zona del reactor 5 desaparecido, seguida poco después por la ignición de la enorme nube de vapor inflamable resultante [D] y una explosión masiva [E] en la planta. La explosión prácticamente demolió el lugar. Como era fin de semana, había relativamente poca gente en el lugar: de las 72 personas que se encontraban en el lugar en ese momento, 28 murieron y 36 resultaron heridas. Los incendios ardieron en el lugar durante más de diez días. Fuera del lugar no hubo víctimas mortales, pero se informó de 50 heridos y unas 2.000 propiedades dañadas. [d]
Los ocupantes del laboratorio de la fábrica habían visto el escape y evacuado el edificio antes de que se produjera el escape; la mayoría sobrevivió. Ninguno de los 18 ocupantes de la sala de control de la planta sobrevivió, ni tampoco se conservaron registros de las lecturas de la planta. La explosión parecía haber ocurrido en el área general de los reactores y después del accidente sólo se identificaron dos posibles lugares de fugas antes de la explosión: "el conjunto de derivación de 20 pulgadas con los fuelles en ambos extremos destrozados se encontró doblado en el pedestal de abajo" y había una grieta de 50 pulgadas de largo en una tubería de acero inoxidable cercana de 8 pulgadas de diámetro nominal". [e]
Inmediatamente después del accidente, la revista New Scientist hizo comentarios proféticos sobre la respuesta oficial normal a tales eventos, pero esperaba que se aprovechara la oportunidad para introducir una regulación gubernamental efectiva de las plantas de procesamiento peligroso.
Los desastres de la magnitud de la trágica explosión del sábado pasado en Flixborough suelen provocar una breve oleada de declaraciones de que cosas así no deben volver a ocurrir. Con el paso del tiempo, estos sentimientos se diluyen en informes insulsos sobre errores humanos y sobre que todo está bajo control, como sucedió con el incendio de Summerland . En el caso de Flixborough, existe una posibilidad real de que el número de muertos pueda desencadenar cambios significativos en un aspecto descuidado de la seguridad industrial. [13]
El Secretario de Estado de Empleo creó un Tribunal de Investigación para determinar las causas y circunstancias del desastre e identificar las lecciones inmediatas que debían aprenderse, y también un comité de expertos para identificar los lugares de mayor riesgo y asesorar sobre las medidas de control adecuadas para ellos. La investigación, presidida por Roger Parker QC, sesionó durante 70 días en el período de septiembre de 1974 a febrero de 1975, y tomó declaración a más de 170 testigos. [f] Al mismo tiempo, se creó un Comité Asesor sobre Riesgos Mayores para examinar los problemas a largo plazo asociados con las plantas de procesamiento peligrosas.
El informe del tribunal de investigación criticó la instalación de la tubería de derivación por varios motivos: aunque la planta y la alta dirección eran ingenieros colegiados (en su mayoría ingenieros químicos), el puesto de ingeniero de obras, que había estado ocupado por un ingeniero mecánico colegiado, estaba vacante desde enero de 1974, y en el momento del accidente no había ingenieros profesionalmente cualificados en el departamento de ingeniería de obras. Nypro había reconocido que esto era una debilidad e identificó a un ingeniero mecánico de alto nivel en una filial de NCB como disponible para proporcionar asesoramiento y apoyo si se le solicitaba. [g] En una reunión de los directores de planta y de ingeniería para analizar el fallo del reactor 5, el ingeniero mecánico externo no estaba presente. El énfasis estaba puesto en el reinicio rápido y, según la investigación, aunque esto no condujo a la aceptación deliberada de los peligros, condujo a la adopción de un curso de acción cuyos peligros (y, de hecho, aspectos prácticos de ingeniería) no se consideraron ni comprendieron adecuadamente. Se pensaba que el principal problema era conseguir que el reactor 5 se moviera de su lugar. Sólo el ingeniero de la planta se preocupó por reiniciar antes de que se entendiera la razón de la falla y se inspeccionaran los otros reactores. [h] [F] La diferencia de elevación entre la salida del reactor 4 y la entrada del reactor 6 no se reconoció en la reunión. A nivel de trabajo, el desfase se acomodó mediante un dog-leg en el conjunto de derivación; una sección inclinada hacia abajo insertada entre (y unida con soldaduras a inglete) dos tramos horizontales de tubería de 20 pulgadas que lindaban con los cabos existentes de 28 pulgadas. Esta derivación estaba sostenida por un andamio equipado con soportes previstos para evitar que los fuelles tuvieran que soportar el peso de la tubería entre ellos, pero sin previsión para otras cargas. [G] La Investigación señaló sobre el diseño del conjunto:
Nadie se dio cuenta de que el conjunto presurizado estaría sujeto a un momento de giro que impondría fuerzas de corte sobre los fuelles para las que no están diseñados. Tampoco nadie se dio cuenta de que el empuje hidráulico sobre los fuelles (unas 38 toneladas a presión de trabajo) tendería a hacer que la tubería se combara en las juntas de inglete. No se hicieron cálculos para determinar si los fuelles o la tubería soportarían estas tensiones; no se hizo referencia a la norma británica pertinente ni a ninguna otra norma aceptada; no se hizo referencia a la guía del diseñador emitida por los fabricantes de los fuelles; no se hizo ningún dibujo de la tubería, salvo con tiza en el suelo del taller; no se realizó ninguna prueba de presión ni de la tubería ni del conjunto completo antes de su montaje. [i]
La investigación señaló además que "no hubo ningún control o planificación general del diseño, la construcción, las pruebas o el montaje del conjunto, ni se hizo ninguna comprobación de que las operaciones se hubieran llevado a cabo correctamente". Una vez instalado el conjunto, se comprobó la estanqueidad de la planta presurizando con nitrógeno a 9 kg/cm2 , es decir, aproximadamente la presión de funcionamiento, pero por debajo de la presión a la que se elevaría la válvula de alivio del sistema y por debajo del 30% por encima de la presión de diseño exigida por la norma británica pertinente. [j]
La reclamación de los expertos contratados por Nypro y sus aseguradores [3] fue que la causa del desastre fue que la derivación de 20 pulgadas no era lo que se habría producido o aceptado mediante un proceso más meditado. Se generó una controversia (y se volvió acalorada) sobre si su falla fue la falla que inició el desastre (la hipótesis de las 20 pulgadas, defendida por los diseñadores de la planta (DSM) y los constructores de la planta; y apoyada por los asesores técnicos del tribunal [3] ), o si había sido provocada por una explosión externa resultante de una falla previa de la línea de 8 pulgadas. [3]
Las pruebas realizadas en réplicas de conjuntos de derivación demostraron que la deformación del fuelle podía producirse a presiones inferiores a la de ajuste de la válvula de seguridad, pero que esta deformación no provocaba una fuga (ya fuera por daños en el fuelle o en la tubería en las soldaduras a inglete) hasta que la presión superaba con creces la de ajuste de la válvula de seguridad. Sin embargo, los modelos teóricos sugerían que la expansión del fuelle como resultado de esto haría que el contenido del reactor realizara una cantidad significativa de trabajo sobre él, y que se produciría una carga de choque considerable sobre el fuelle cuando llegara al final de su recorrido. Si el fuelle era "rígido" (resistente a la deformación), la carga de choque podría hacer que el fuelle se rompiera a presiones inferiores a la de ajuste de la válvula de seguridad; no era imposible que esto pudiera ocurrir a las presiones experimentadas durante el arranque, cuando la presión estaba menos controlada. (Las presiones de la planta en el momento del accidente eran desconocidas, ya que todos los instrumentos y registros pertinentes habían sido destruidos y todos los operadores pertinentes habían muerto). [k] La investigación concluyó que esta ("hipótesis de las 20 pulgadas") [ aclaración necesaria ] era "una probabilidad", pero una "que fácilmente podría ser desplazada si se pudiera encontrar una probabilidad mayor". [l]
Un análisis detallado sugirió que la tubería de 8 pulgadas había fallado debido a una " cavitación por fluencia " [ jerga ] a una temperatura alta mientras la tubería estaba bajo presión. El metal de la tubería habría experimentado una deformación difícil de detectar, grietas microscópicas y debilidad estructural como resultado, aumentando la probabilidad de falla. La falla se había acelerado por el contacto con zinc fundido; hubo indicios de que un codo en la tubería había estado a una temperatura significativamente más alta que el resto de la tubería. [m] El codo caliente condujo a una válvula antirretorno sostenida entre dos bridas de tubería por doce pernos. Después del desastre, se encontró que dos de los doce pernos estaban sueltos; la investigación concluyó que probablemente estaban sueltos antes del desastre. Nypro argumentó que los pernos estaban flojos y que, en consecuencia, se había producido una fuga lenta de fluido de proceso sobre el revestimiento, lo que finalmente provocó un incendio en el revestimiento, lo que empeoró la fuga hasta el punto en que una llama pasó desapercibida sobre el codo, quemó el revestimiento y expuso la línea al zinc fundido; la línea luego falló con una liberación masiva de fluido de proceso que extinguió el incendio original, pero posteriormente se encendió dando lugar a una pequeña explosión que provocó la falla de la derivación, una segunda liberación más grande y una explosión aún mayor. Las pruebas no lograron producir un incendio en el revestimiento con fluido de proceso filtrado a temperaturas de proceso; un defensor de la hipótesis de las 8 pulgadas argumentó entonces que se había producido una falla en la junta que provocó una fuga con velocidad suficiente para inducir cargas estáticas cuya descarga luego encendió la fuga. [H]
La hipótesis de las 8 pulgadas se sustentaba en relatos de testigos oculares y en la posición aparentemente anómala de algunos escombros después del desastre. El informe de la investigación opinaba que las explosiones suelen arrojar escombros en direcciones inesperadas y que los testigos oculares suelen tener recuerdos confusos. La investigación identificó dificultades en varias etapas del desarrollo del accidente en la hipótesis de las 8 pulgadas, y se consideró que su efecto acumulativo era tal que el informe concluyó que, en general, la hipótesis de las 20 pulgadas, que implicaba "un único acontecimiento de baja probabilidad", era más creíble que la hipótesis de las 8 pulgadas, que dependía de "una sucesión de acontecimientos, la mayoría de los cuales son improbables". [n]
En el informe de la investigación se identificaron "lecciones que se pueden extraer", que se presentaron bajo diversos epígrafes: "Observaciones generales" (relativas a cuestiones culturales subyacentes al desastre) y "lecciones específicas" (directamente relacionadas con el desastre, pero de aplicación general) que se describen a continuación; también se incluyeron "lecciones generales" y "lecciones diversas" de menor relevancia para el desastre. En el informe también se comentaron cuestiones que debía abordar el Comité Asesor sobre Riesgos Graves.
El desastre fue causado por una "planta bien diseñada y construida" que sufrió una modificación que destruyó su integridad mecánica.
Cuando se instaló el bypass, no había ningún ingeniero de obras en el puesto y el personal superior de la empresa (todos ingenieros químicos) era incapaz de reconocer la existencia de un simple problema de ingeniería, y mucho menos de resolverlo.
Nadie que haya participado en el diseño o la construcción de la planta previó la posibilidad de que se produjera un desastre de gran magnitud de forma instantánea. [J] Ahora era evidente que esa posibilidad existe cuando se procesan o almacenan grandes cantidades de material potencialmente explosivo. Era "de máxima importancia que se identificaran las plantas en las que existe un riesgo de desastre instantáneo en lugar de uno que se agravara. Una vez identificados, se deberían tomar medidas tanto para prevenir un desastre de ese tipo en la medida de lo posible como para minimizar sus consecuencias en caso de que ocurriera a pesar de todas las precauciones". [o] Debería haber coordinación entre las autoridades de planificación y la Dirección de Salud y Seguridad , de modo que las autoridades de planificación pudieran recibir asesoramiento sobre cuestiones de seguridad antes de conceder el permiso de planificación; de manera similar, los servicios de emergencia deberían tener información para elaborar un plan de desastre.
La investigación resumió sus conclusiones de la siguiente manera:
Creemos, sin embargo, que si se llevan a cabo las medidas que recomendamos, el riesgo de que se produzca un desastre similar, ya de por sí remoto, se reducirá. Utilizamos la frase "ya de por sí remoto" deliberadamente, ya que queremos dejar claro que no encontramos nada que sugiera que la planta, tal como se diseñó y construyó originalmente, creara un riesgo inaceptable. El desastre fue causado enteramente por la coincidencia de una serie de errores improbables en el diseño e instalación de una modificación. Es muy poco probable que se repita una combinación de errores de este tipo. Nuestras recomendaciones deberían garantizar que no vuelva a producirse una combinación similar y que, incluso si así fuera, los errores se detectarían antes de que se produjeran consecuencias graves. [p]
Los asesores de Nypro habían dedicado un esfuerzo considerable a la hipótesis de las 8 pulgadas, y el informe de la investigación se esforzó mucho en descartarla. La crítica de la hipótesis se tradujo en críticas a sus defensores: "el entusiasmo que sienten sus defensores por la hipótesis de las 8 pulgadas los ha llevado a pasar por alto defectos obvios que en otras circunstancias no habrían dejado de advertir". [q] En el informe se señalaba gratuitamente que el examen que había hecho el tribunal de uno de los defensores "estaba dirigido a garantizar que habíamos apreciado correctamente los pasos principales de la hipótesis, algunos de los cuales nos parecían estar en conflicto con hechos que estaban fuera de toda duda". [r] El informe le agradecía su trabajo en la recopilación de pruebas de testigos presenciales, pero decía que su uso de las mismas demostraba "un enfoque de las pruebas que es totalmente erróneo". [s]
El proponente de la hipótesis de la falla de la junta de 8 pulgadas respondió argumentando que la hipótesis de la junta de 20 pulgadas tenía su cuota de defectos que el informe de la investigación había decidido pasar por alto, que la hipótesis de la junta de 8 pulgadas tenía más a su favor de lo que sugería el informe y que había lecciones importantes que la investigación no había logrado identificar:
[E]l compromiso del Tribunal con la hipótesis de las 20 pulgadas lo llevó a presentar sus conclusiones de una manera que no ayuda al lector a evaluar las pruebas en contra. El Tribunal podría tener razón en que una única modificación insatisfactoria causó el desastre, pero esto no es motivo para la complacencia. Hay muchas otras lecciones. Es de esperar que el respeto que normalmente se otorga a las conclusiones de un Tribunal de Investigación no inhiba a los ingenieros químicos a mirar más allá del informe en sus esfuerzos por mejorar el ya bueno historial de seguridad de la industria química. [6]
El sitio web de HSE en 2014 decía que "Durante la tarde del 1 de junio de 1974, un sistema de derivación de 20 pulgadas se rompió, lo que pudo haber sido causado por un incendio en una tubería cercana de 8 pulgadas". [1] En ausencia de un fuerte consenso para cualquiera de las hipótesis, se han sugerido otras posibles causas inmediatas. [K]
La investigación observó la existencia de un pequeño desgarro en un fragmento del fuelle, por lo que consideró la posibilidad de que una pequeña fuga del bypass hubiera provocado una explosión que hiciera caer el bypass. Observó que esto no era incompatible con las pruebas de testigos oculares, pero descartó la hipótesis porque las pruebas de presión mostraron que el fuelle no desarrolló desgarros hasta que la presión superó con creces la de la válvula de seguridad. [t] Sin embargo, esta hipótesis se ha recuperado, ya que los desgarros se debieron a un fallo por fatiga en la parte superior del fuelle de salida del reactor 4 debido a la vibración inducida por el flujo de la línea de bypass sin soporte. Se ha llevado a cabo un análisis de elementos finitos (y se han aportado pruebas de testigos oculares adecuadas) para apoyar esta hipótesis. [9] [17]
Los reactores normalmente se agitaban mecánicamente, pero el reactor 4 había funcionado sin un agitador en funcionamiento desde noviembre de 1973; el agua de la fase libre podría haberse sedimentado en el reactor 4 sin agitación y el fondo del reactor 4 alcanzaría la temperatura de funcionamiento más lentamente que los reactores agitados. Se postuló que había habido agua a granel en el reactor 4 y que se había producido un evento de ebullición disruptiva cuando la interfaz entre este y la mezcla de reacción alcanzó la temperatura de funcionamiento. Se argumentó que las presiones anormales y el desplazamiento del licor resultantes de esto podrían haber provocado la falla de la derivación de 20 pulgadas. [18] [L] [M]
En el diseño de la planta se había asumido que la peor consecuencia de una fuga importante sería un incendio en la planta y, para protegerse contra esto, se había instalado un sistema de detección de incendios. Las pruebas realizadas por el Fire Research Establishment habían demostrado que esto era menos efectivo de lo previsto. [6] Además, la detección de incendios solo funcionaba si la fuga se encendía en el lugar de la fuga; no ofrecía protección contra una fuga importante con ignición retardada, y el desastre había demostrado que esto podía provocar la muerte de múltiples trabajadores. Por lo tanto, la planta tal como se diseñó podría destruirse por un solo fallo y tenía un riesgo mucho mayor de matar a los trabajadores de lo que los diseñadores habían previsto. Por lo tanto, a los críticos del informe de la investigación les resultó difícil aceptar su caracterización de la planta como "bien diseñada". [N] El HSE (a través del Departamento de Empleo) había elaborado una "lista de compras" de aproximadamente 30 recomendaciones sobre el diseño de plantas, [3] muchas de las cuales no habían sido adoptadas (y algunas rechazadas explícitamente [v] ) por el Informe de la Investigación; el inspector del HSE que actuó como secretario de la investigación habló después de asegurarse de que se actuara en función de las lecciones reales. [6] Más fundamentalmente, Trevor Kletz vio la planta como un síntoma de un fracaso generalizado en considerar la seguridad con la suficiente antelación en el diseño de la planta de proceso, de modo que los diseños fueran inherentemente seguros ; en lugar de eso, los procesos y la planta se seleccionaron por otros motivos y luego se agregaron sistemas de seguridad a un diseño con peligros evitables y un inventario innecesariamente alto. "Mantenemos un león y construimos una jaula fuerte para mantenerlo dentro. Pero antes de hacerlo, deberíamos preguntarnos si un cordero podría servir". [21]
Si bien la opinión pública británica se sintió en gran medida tranquila al saber que el accidente fue un hecho aislado y que no debería volver a ocurrir, algunos profesionales de la seguridad de procesos del Reino Unido no estaban tan seguros. Los críticos consideraron que la explosión de Flixborough no fue el resultado de múltiples errores básicos de diseño de ingeniería que probablemente no volverían a repetirse; los errores fueron más bien múltiples instancias de una causa subyacente: un colapso total de los procedimientos de seguridad de la planta (exacerbado por una falta de conocimientos técnicos pertinentes, pero esa falta también fue una deficiencia de procedimiento). [5]
La División de Petroquímicos de Imperial Chemical Industries (ICI) operaba muchas plantas con grandes inventarios de productos químicos inflamables en su planta de Wilton (incluida una en la que se oxidaba ciclohexano a ciclohexanona y ciclohexanol). El desempeño históricamente bueno en materia de seguridad de procesos en Wilton se había visto empañado a fines de la década de 1960 por una serie de incendios fatales causados por aislamientos/entregas defectuosas para trabajos de mantenimiento. [22] Su causa inmediata fue el error humano , pero ICI consideró que decir que la mayoría de los accidentes eran causados por errores humanos no era más útil que decir que la mayoría de las caídas eran causadas por la gravedad. [4] ICI no solo había recordado a los operadores que fueran más cuidadosos, sino que había emitido instrucciones explícitas sobre la calidad requerida de los aislamientos y la calidad requerida de su documentación. [22] Los requisitos más onerosos se justificaron de la siguiente manera:
¿Por qué necesitamos las normas de la División de Productos Químicos Orgánicos Pesados de la ICI sobre el aislamiento e identificación de los equipos para su mantenimiento? Se introdujeron hace unos dos años, pero Billingham se las arregló durante 45 años sin ellas. Durante esos 45 años, sin duda hubo muchas ocasiones en las que los instaladores irrumpieron en los equipos y descubrieron que no estaban aislados, o entraron en la línea equivocada porque no habían sido identificados positivamente. Pero las tuberías eran en su mayoría pequeñas y la cantidad de gas o líquido inflamable en la planta no era normalmente grande. Ahora las tuberías son mucho más grandes y la cantidad de gas o líquido que puede filtrarse es mucho mayor. Varios incidentes graves en los últimos tres años han demostrado que no nos atrevemos a arriesgarnos a entrar en líneas que no están adecuadamente aisladas. A medida que las plantas han ido creciendo, hemos entrado... en un nuevo mundo en el que se necesitan nuevos métodos. [23] [P]
De acuerdo con este punto de vista, después de Flixborough (y sin esperar al Informe de la Investigación), ICI Petrochemicals instituyó una revisión de cómo controlaba las modificaciones. Encontró que los proyectos importantes que requerían una sanción financiera a un alto nivel estaban generalmente bien controlados, pero para modificaciones más (financieramente) menores había menos control y esto había dado como resultado un historial pasado de "casi accidentes" y accidentes de pequeña escala, [26] pocos de los cuales podían atribuirse a ingenieros químicos. [Q] Para remediar esto, no sólo se recordó a los empleados los puntos principales a considerar al hacer una modificación (tanto en la calidad/cumplimiento de la modificación en sí como en el efecto de la modificación en el resto de la planta), sino que se introdujeron nuevos procedimientos y documentación para garantizar un escrutinio adecuado. Estos requisitos se aplicaban no sólo a los cambios en el equipo, sino también a los cambios en el proceso. Todas las modificaciones debían estar respaldadas por una evaluación de seguridad formal. Para las modificaciones importantes esto incluiría un "estudio de operatividad" ; En el caso de modificaciones menores, se debía utilizar una evaluación de seguridad basada en una lista de verificación, en la que se indicaban los aspectos que se verían afectados y, para cada aspecto, se proporcionaba una declaración del efecto esperado. La modificación y la evaluación de seguridad que la respaldaba debían ser aprobadas por escrito por el director y el ingeniero de la planta. En el caso de que se tratara de instrumentos o equipos eléctricos, también se necesitarían las firmas del especialista correspondiente (director de instrumentos o ingeniero eléctrico). Se introdujo un Código de Prácticas para Tuberías que especificaba las normas de diseño, construcción y mantenimiento de las tuberías: todas las tuberías de más de 3"nb (DN 75 mm) que manipularan material peligroso tendrían que ser diseñadas por especialistas en tuberías en la oficina de diseño. [26] El enfoque se publicitó fuera de ICI; si bien el Código de Prácticas para Tuberías por sí solo habría combatido la falla o fallas que llevaron al desastre de Flixborough, la adopción más general de controles más estrictos sobre las modificaciones (y el método por el cual esto se hizo) pronto se reconoció como una buena práctica prudente. [R] En el Reino Unido, el enfoque de ICI se convirtió en una norma de facto para las plantas de alto riesgo (en parte porque la nueva Ley de Salud y Seguridad en el Trabajo (1974) fue más allá de los requisitos específicos para los empleadores para establecer deberes generales para mantener los riesgos para los trabajadores tan bajos como sea razonablemente posible y evitar el riesgo para el público en la medida de lo razonablemente posible; bajo este nuevo régimen, la presunción era que la buena práctica reconocida sería inherentemente "razonablemente posible" y, por lo tanto, debería adoptarse, en parte porque pasajes clave en los informes de la El Comité Asesor sobre Riesgos Mayores se mostró claramente partidario de ello).
El mandato del Tribunal de Investigación no incluía ninguna exigencia de que se formularan observaciones sobre el régimen normativo en virtud del cual se había construido y operado la planta, pero estaba claro que no era satisfactorio. La construcción de la planta había requerido la aprobación del permiso de planificación por parte del ayuntamiento local; si bien "un procedimiento interdepartamental permitía a las autoridades de planificación solicitar el asesoramiento de la Inspección de Fábricas de Su Majestad al examinar solicitudes de nuevos proyectos que pudieran entrañar un riesgo importante" [27] (no existía ninguna obligación de hacerlo), dado que el ayuntamiento no había reconocido la naturaleza peligrosa de la planta [3], no habían solicitado asesoramiento. Como comentó la revista New Scientist una semana después del desastre:
En la actualidad, probablemente existan más de una docena de plantas petroquímicas británicas con un potencial de devastación similar al de las instalaciones de Nypro en Flixborough. Ni cuando se construyeron por primera vez ni ahora que están en funcionamiento, ningún organismo local o gubernamental ha ejercido un control efectivo sobre su seguridad. Para construir una planta de energía nuclear, la industria eléctrica debe proporcionar una evaluación detallada de seguridad a la Inspección Nuclear antes de recibir una licencia. Por otra parte, el permiso para plantas de procesamiento altamente peligrosas solo requiere satisfacer a un comité de planificación local técnicamente no calificado, que carece incluso de los poderes más rudimentarios una vez que la planta entra en funcionamiento. ... La Inspección de Fábricas tiene legitimidad solo cuando ha promulgado regulaciones específicas [13]
El mandato del ACMH consistía en identificar los tipos de instalaciones (no nucleares) que planteaban un riesgo importante y asesorar sobre los controles adecuados para su establecimiento, ubicación, diseño, funcionamiento, mantenimiento y desarrollo (incluido el desarrollo general en sus inmediaciones). A diferencia del Tribunal de Investigación, su personal (y el de sus grupos de trabajo asociados) contaba con una importante representación de profesionales de la seguridad, procedentes en gran medida de la industria nuclear y de la ICI (o ex-ICI).
En su primer informe [28] (publicado como base para consulta y comentarios en marzo de 1976), el ACMH señaló que el peligro no podía cuantificarse en abstracto y que, por lo tanto, era imposible dar una definición precisa de "peligro mayor". En cambio, [w] las instalaciones con un inventario de fluidos inflamables por encima de un cierto umbral o de materiales tóxicos por encima de un cierto umbral de "equivalente de cloro" deberían ser " instalaciones de notificación obligatoria ". Se debería exigir a una empresa que explote una instalación de notificación obligatoria que evalúe su potencial de peligro e informe a HSE sobre los peligros identificados y los procedimientos y métodos adoptados (o que se adoptarán) para abordarlos.
En algunos casos (que generalmente implican un alto riesgo o una tecnología novedosa), HSE podría optar por exigir la presentación de una evaluación más elaborada que cubra (según corresponda) "el diseño, la fabricación, la construcción, la puesta en servicio, el funcionamiento y el mantenimiento, así como las modificaciones posteriores, ya sea del diseño o de los procedimientos operativos o de ambos". La empresa tendría que demostrar que "posee el sistema de gestión adecuado, la filosofía de seguridad y el personal competente, que tiene métodos eficaces para identificar y evaluar los peligros, que ha diseñado y opera la instalación de acuerdo con las normas, los estándares y los códigos de práctica adecuados, que tiene procedimientos adecuados para hacer frente a las emergencias y que hace uso de controles independientes cuando corresponde".
Para la mayoría de las "instalaciones notificables" no deberían ser necesarios más controles explícitos; HSE podría asesorar y, de ser necesario, hacer cumplir las mejoras en virtud de los poderes generales que le otorga la Ley de Salud y Seguridad en el Trabajo de 1974 (HASAWA), pero para unos pocos sitios podría ser apropiado un licenciamiento explícito por parte de HSE; [y] sin embargo, la responsabilidad por la seguridad de la instalación permanece siempre y totalmente en manos del licenciatario.
HASAWA ya exigía a las empresas que tuvieran una política de seguridad y un plan integral para implementarla. ACMH consideró que para las instalaciones de riesgo mayor [z] el plan debería ser formal e incluir
Se necesitaban documentos de seguridad tanto para el diseño como para la operación. La administración de instalaciones con riesgo mayor debe demostrar que posee y utiliza una selección de técnicas adecuadas de reconocimiento de riesgos, [S] tiene un sistema adecuado para la auditoría de características de seguridad críticas y utiliza una evaluación independiente cuando corresponde.
La ACMH también pidió una disciplina estricta en el funcionamiento de plantas de riesgo mayor:
La rareza de los grandes desastres tiende a generar complacencia e incluso desprecio por las instrucciones escritas. Creemos que las normas relativas a la seguridad deben ser normas de trabajo cotidianas y considerarse parte esencial de la práctica laboral diaria. Las normas, diseñadas para proteger a quienes las redactaron si algo sale mal, se pasan por alto fácilmente en el trabajo diario. Cuando la dirección establece normas de seguridad, también debe asegurarse de que se cumplan. Creemos que para ello es esencial una formalidad considerable en relación con cuestiones como los permisos de trabajo y los certificados de autorización para entrar en los buques o en las zonas de la planta. Para mantener un control estricto en la planta, el nivel de autoridad para las autorizaciones debe estar claramente definido. Del mismo modo, el nivel de autoridad para la aprobación técnica de cualquier modificación de la planta también debe estar claramente definido. Para evitar el peligro de que se pasen por alto los sistemas y procedimientos, debería existir un requisito de una forma periódica de auditoría de los mismos. [aa]
El segundo informe del ACMH (1979) rechazó las críticas de que, dado que los accidentes que causaban múltiples fatalidades estaban asociados con daños extensos y costosos a las plantas, los operadores de sitios de riesgo mayor tenían todos los incentivos para evitar tales accidentes y, por lo tanto, era excesivo exigir que los sitios de riesgo mayor demostraran su seguridad a un organismo gubernamental con tanto detalle:
No discutiremos que las empresas mejor administradas alcanzan altos estándares de seguridad, pero creemos que esto se debe a que han logrado lo que quizás se pueda describir mejor como disciplina técnica en todo lo que hacen. Creemos que todas las empresas deben seguir las mejores prácticas y que hemos alcanzado un estado de desarrollo tecnológico en el que, en áreas de alto riesgo, no basta con que los empleadores se demuestren a sí mismos que todo está bien. Ahora se les debería exigir que demuestren a la comunidad en su conjunto que sus plantas están diseñadas adecuadamente, bien construidas y funcionan de manera segura. [11]
El enfoque propugnado por la ACMH fue ampliamente seguido en la legislación y las medidas reglamentarias posteriores del Reino Unido, pero tras la liberación de clordioxinas por una reacción química descontrolada en Seveso, en el norte de Italia, en julio de 1976, las "plantas de riesgo mayor" se convirtieron en un problema a escala de la UE y el enfoque del Reino Unido quedó absorbido en iniciativas a escala de la UE (la Directiva Seveso en 1982, sustituida por la Directiva Seveso II en 1996). Se emitió un tercer y último informe cuando se disolvió la ACMH en 1983.
Las imágenes del incidente aparecieron en la película Days of Fury (1979), dirigida por Fred Warshofsky y presentada por Vincent Price . [29]
{{cite web}}: CS1 maint: nombres numéricos: lista de autores ( enlace )53°37′N 0°42'W / 53,62°N 0,70°W / 53,62; -0,70