Deux décès dus à un nuage toxique · ARIA #21964

À 10h12, une fuite de tétrachlorure de titane (TiCl4) se produit lors de travaux de maintenance sur un évaporateur pendant la mise à l'arrêt de l'installation d'oxyde de titane (TiO2).En raison des impuretés solides, les installations ne sont pas vidées et les pompes de circulation sont maintenues en action pour empêcher le blocage de l'équipement, même lorsque les installations sont arrêtées pour entretien.Pendant l'arrêt, les employés effectuent une inspection de l'appareil de mesure de niveau de l'évaporateur de TiCl4. Suite à la déconnexion du câblage du dispositif de mesure de niveau, le calculateur du procédé répond à l'absence de signal par la commande correspondant à un signal "niveau vide" ; par conséquent, il commande l'ouverture de la soupape de remplissage de l'évaporateur. Ce dernier n'a pas été isolé avant le début des travaux à cause d'un mauvais système de permis de travail, de sorte qu'il se remplit de TiCl4 sans que personne ne s'en aperçoive... Les travailleurs observent des vapeurs et se rendent à la salle de contrôle pour vérifier le système d'aspiration quand l'évaporateur déborde, libérant du TiCl4 sur les 2 étages sous le réacteur.Au contact de l'eau (humidité de l'air), le TiCl4 se décompose et produit de l'acide chlorhydrique (HCl) : un épais nuage toxique blanc se forme à l'intérieur du bâtiment. Deux sous-traitants qui travaillaient au premier étage ne parviennent pas à localiser l'échelle de secours. Pris au piège dans une installation inconnue et avec une visibilité nulle, ils décèdent par intoxication des vapeurs de chlore. Un employé et 2 intervenants d'urgence sont blessés. La circulation est interrompue sur les routes entourant l'installation et les habitants voisins sont invités à rester confinés. L'usine voisine est évacuée.L'accident est dû à plusieurs facteurs :un système de permis de travail inefficace - l'installation n'a pas été isolée avant les travaux.un système d'information des sous-traitants insuffisant - les victimes n'ont pas reçu les informations de sécurité concernant l'installation, dont les issues de secours.absence de système de verrouillage pour éviter le débordement de l'évaporateur. L'alarme sur détection de niveau haut avait été shuntée par le tableautiste sans action.erreur de conception du calculateur de processus qui ne différencie pas l'absence de signal de celui de niveau 0.