Disastro di Flixborough

Il disastro di Flixborough si è verificato il 1 giugno 1974 nello stabilimento chimico di produzione del caprolattame della Nypro UK di Flixborough, North Lincolnshire, Inghilterra, quando un'esplosione ha distrutto l'impianto provocando 28 morti e 36 feriti sul totale di 72 persone presenti sul sito in quel momento. Il numero delle vittime sarebbe potuto essere molto più elevato se l'esplosione fosse avvenuta in un giorno infrasettimanale invece che di sabato^[1][2].

A proposito dell'esplosione, è stato detto che "le onde d'urto scossero la fiducia di ogni ingegnere chimico del paese" ("the shock waves rattled the confidence of every chemical engineer in the country")^[3], mentre altri autori (come Trevor Kletz) hanno paragonato l'incidente al disastro del Tay Bridge^[4].

Flixborough ha scatenato una diffusa protesta pubblica sul tema della sicurezza degli impianti di processo; insieme all'approvazione del Health and Safety at Work Act, 1974 ha portato a un approccio molto più sistematico verso la gestione della sicurezza nelle industrie di processo del Regno Unito e, con il disastro di Seveso avvenuto due anni dopo, ha portato alla creazione della direttiva 82/501/CEE nota anche come direttiva Seveso e nel Regno Unito del Control of Major Accident Hazards Regulations (COMAH).

L'impianto chimico di proprietà Nypro UK (una joint venture tra l'olandese DSM e la britannica National Coal Board - NCB) era stato costruito in origine per produrre fertilizzanti dai sottoprodotti di un vicino centro siderurgico, ma dal 1967 è stato convertito alla produzione di caprolattame utilizzato poi per produrre il Nylon 6^[5]. Il caprolattame veniva prodotto dal cicloesanone, inizialmente ottenuto per idrogenazione del fenolo e, a partire dal 1972, anche per ossidazione parziale del cicloesano liquido ad alta temperatura, secondo il design DSM. La capacità produttiva dell'impianto era di 70.000 tonnellate all'anno anche se nel 1974 la produzione arrivava solo a 47.000^[2].

Nella sezione di impianto di design DMS, il cicloesano veniva riscaldato fino a 155 °C e poi mandato in sei reattori chimici in serie che contenevano complessivamente 145 tonnellate di liquido infiammabile a una pressione di 8,6 bar^[6]. All'interno dei reattori il cicloesano veniva ossidato progressivamente a cicloesanone e in parte anche a cicloesanolo. Il liquido di reazione si trasferiva per gravità da un reattore all'altro attraverso tubazioni da 700 mm dotate di soffietti alle estremità, essendo ciascun reattore più basso del precedente di circa 350 mm. All'uscita del reattore 6 la miscela era trattata per separare il prodotto e poi riciclata al reattore 1^[7][8].

Due mesi prima dell'incidente è stata scoperta una perdita di cicloesano dal reattore 5. L'asportazione dell'isolamento termico ha rivelato una fessura lunga circa 1,8 m nel mantello del reattore, che è stato bypassato tramite una tubazione temporanea da 500 mm per mantenere in funzione l'impianto mentre venivano eseguiti i lavori di riparazione. La tubazione temporanea, che connetteva direttamente il reattore 4 al reattore 6, ha lavorato ininterrottamente alle normali condizioni di processo fino a fine maggio, quando l'impianto è stato fermato per qualche giorno per eseguire alcune riparazioni.

Sabato 1 giugno 1974 gli operatori hanno iniziato la rimessa in marcia dell'impianto, e alle 16:53 circa si è verificata una grossa fuoriuscita di cicloesano liquido ad alta temperatura e di una nube di vapori infiammabili che hanno trovato innesco probabilmente in un forno del vicino impianto di produzione di idrogeno^[9] generando una gigantesca esplosione (Unconfined Vapour Cloud Explosion (UVCE))^[10] equivalente a 16 tonnellate di tritolo^[11].

L'impianto è stato praticamente demolito. La sala controllo dell'impianto è crollata, causando la morte di tutti i 18 occupanti. Altri 9 lavoratori sono morti a causa dell'esplosione, mentre un corriere ha avuto un infarto all'interno del suo mezzo. I feriti sono stati 36 nell'area dell'impianto e 50 al suo esterno.

L'esplosione ha provocato una serie di incendi che sono stati estinti solo una decina di giorni dopo, e ha arrecato danni a circa un migliaio di edifici nel raggio di un miglio dallo stabilimento (nei paesi di Flixborough, Burton upon Stather e Amcotts), e ad altri 800 a Scunthorpe a 3 miglia di distanza. Il rumore dell'esplosione si è sentita fino a 30 miglia di distanza, a Grimsby e Hull.

Immediatamente dopo l'incidente, il New Scientist ha auspicato che si cogliesse l'occasione per introdurre una legislazione efficace sugli impianti di processo soggetti ai grandi rischi. Il Segretario di Stato per il Lavoro (“Secretary of State for Employment”) ha nominato una Corte d'inchiesta (che ha lavorato da settembre 1974 a febbraio 1975) per indagare le cause e le circostanze del disastro e stilare una lista di lezioni da imparare per il futuro, e un Comitato di Esperti che identificasse i siti soggetti ai grandi rischi (Advisory Committee on Major Hazards) e stilasse una lista di misure per tenerli sotto controllo.

Il rapporto della Corte d'inchiesta ha evidenziato alcuni punti critici riguardanti l'installazione del by-pass del Reattore 5.

• Il management dell'azienda e dell'impianto era formato da ingegneri qualificati (“chartered engineer”), soprattutto chimici, ma il posto di Tecnico responsabile dei Lavori era vacante da gennaio 1974 a non c'erano ingegneri qualificati nella direzione dei lavori.
• Nypro aveva nominato un ingegnere meccanico senior di una consociata di NCB per dare supporto su richiesta^[12]. Tuttavia questa persona non era presente al meeting per discutere la rottura del Reattore 5 durante il quale la priorità era stata quella di ripartire con la produzione senza dedicare sufficiente tempo ed enfasi agli aspetti di sicurezza^[13] come i seguenti:

1. Dopo aver scoperto una fessurazione sulla tubazione da 8” di ingresso di aria al Reattore, era stato installato un sistema di spruzzatori d'acqua e nitrato per bloccare eventuali fuoriuscite di cicloesano ad alta temperatura. Non era stato preso in considerazione il fatto che i nitrati promuovono fenomeni di tensocorrosione (stress corrosion cracking) dell'acciaio dolce.
2. Non era stata presa in considerazione la differenza di altezza tra l'uscita del Reattore 4 e l'entrata del Reattore 5. A livello operativo era stato installato un by-pass con due angoli, con una sezione centrale inclinata saldata ad angolo a due sezioni orizzontali da 20” connesse ai due tronconi esistenti da 28”. Questo bypass era stato supportato da una scaffalatura per impedire che tutto il peso venisse retto dai soffietti, ma le spinte orizzontali o quelle dovute all'espansione termica erano state completamente trascurate^[14].
3. In generale la Corte d'inchiesta ha notato la mancanza di controllo o pianificazione nella progettazione, costruzione e installazione del by-pass. Dopo l'installazione I reattori sono stati sottoposti a un test di tenuta (“leak test”) pressurizzandoli con azoto, ma comunque a una pressione inferiore a quello di intervento delle valvole di sicurezza e a quello (30% oltre la “design pressure”) richiesto dal British Standard applicabile (BS-3351)^[15].

Sono state formulate due possibili ipotesi sulle cause del disastro:

• l'ipotesi dei 20" ("20-inch hypothesis"), sostenuta dai progettisti (DSM) e dai costruttori dell'impianto, e preferita dagli esperti tecnici della Corte d'inchiesta^[16],
• l'ipotesi di un'esplosione interna prodotta a livello della rottura preesistente sulla linea da 8" ("8-inch hypothesis"), sostenuta invece dagli esperti di parte della Nypro e delle compagnie assicurative^[16].

Dai test effettuati in laboratorio sui modelli del bypass, si è visto che a pressioni al di sotto del set-point delle valvole di sicurezza i soffietti si sono deformati, ma non si sono verificate rotture dei soffietti stessi o delle saldature ad angolo. I modelli teorici hanno mostrato che, se i soffietti fossero stati strutture rigide, si sarebbero fessurati anche a pressioni inferiori al set point delle valvole di sicurezza. Nel caso di soffietti deformabili la fessurazione era molto meno probabile, anche se durante l'avviamento dei reattori la pressione è meno sotto controllo (tra l'altro le pressioni al momento dell'incidente sono sconosciute, dato che tutti gli strumenti e le registrazioni sono andati distrutti e gli operatori sono rimasti uccisi)^[17]. La conclusione dell'inchiesta è stata quindi che l'"ipotesi dei 20"" ha una certa probabilità di essere quello che ha davvero provocato l'incidente^[18].

Gli studi di dettaglio eseguiti hanno dimostrato che il tubo da 8" si era fessurato per un fenomeno di scorrimento viscoso o creep ad alta temperatura mentre il tubo si trovava ad alta pressione. La fessurazione era stata accelerata dal contatto con zinco fuso, in un tratto di tubo che si trovava a temperatura più alta del resto^[19]. Lungo la linea c'era una valvola di non ritorno e, dopo il disastro, due dei dodici bulloni di serraggio sono stati trovati allentati. L'inchiesta ha concluso che probabilmente i due bulloni erano già allentati prima del disastro. La Nypro ha sostenuto che se i due bulloni erano allentati, allora c'era stata una lenta perdita di fluido di processo (infiammabile) sotto l'isolante, provocando un incendio che progressivamente aveva distrutto l'isolante ed esposto la linea a zinco fuso. In seguito la linea aveva ceduto dando origine a una prima esplosione che avrebbe rotto il by-pass e causato l'esplosione più grande. I test condotti non hanno confermato l'ipotesi, che è stata quindi riformulata ipotizzando la rottura iniziale di una guarnizione e l'autoignizione del rilascio di materiale infiammabile^[16].

Sebbene supportata dai racconti di alcuni testimoni e dalla posizione anomala di alcuni detriti post-incidente, l'inchiesta ha trovato difficili da spiegare alcuni passaggi nella ricostruzione dell'ipotesi degli 8". Inoltre le esplosioni spesso proiettano detriti in direzioni inattese, e i testimoni possono confondere a volte i ricordi. Il rapporto dell'inchiesta ha concluso che l'ipotesi dei 20" era più credibile in quanto dipendeva da un solo evento anche se poco probabile. Al contrario, l'ipotesi degli 8" dipendeva da una serie di eventi, la maggior parte dei quali improbabili^[20].

Il rapporto dell'inchiesta indica una serie di lezioni per il futuro, distinte in "Osservazioni generali", "Lezioni specifiche" e "Questioni da riportare al Comitato di Esperti sui grandi rischi (Advisory Committee on Major Hazards)".

• L'impianto – ove possibile – va progettato in modo tale che una rottura non porti a un disastro in un lasso di tempo troppo piccolo per permettere un'azione correttiva.
• L'impianto va progettato e gestito in modo da minimizzare la necessità di decisioni critiche da parte del management (in particolare quelle in cui si ha un conflitto tra produzione e sicurezza).
• Va assicurato che il top management capisca le responsabilità dei singoli e assicuri che il loro carico di lavoro, le loro capacità e le loro competenze permettano loro di svolgere i loro compiti in modo efficace.

• Il disastro è stato causato da un impianto ben progettato e ben costruito, ma in cui è stata introdotta una modifica impiantistica che ne ha pregiudicato l'integrità tecnica.
• Le modifiche impiantistiche vanno progettate, costruite, testate e sottoposte a manutenzione esattamente come le parti originali dell'impianto. Nel caso specifico, quando è stato installato il bypass, non c'era un responsabile dei lavori e il personale anziano dell'azienda (tutti ingegneri chimici) non sono stati in grado di identificare un semplice problema ingegneristico, e quindi di risolverlo.
• Quando è vacante una posizione importante, va prestata un'attenzione particolare quando si prendono decisioni che dovrebbero coinvolgere tale posizione.
• Tutti gli ingegneri dovrebbero imparare almeno i rudimenti di altre branche ingegneristiche (una soluzione a lungo termine piuttosto che una lezione "immediata", ma di cui era convinto il vice presidente della Corte d'inchiesta, Joseph Pope^[21]).

Nessuno, durante la progettazione e la costruzione dell'impianto, ha previsto la possibilità che un disastro si sarebbe potuto sviluppare istantaneamente^[22]. Come viene spiegato nelle pubblicazioni di una conferenza del 1973^[23], si hanno notizie di esplosioni di nubi di vapori infiammabili ("Unconfined Vapour Cloud Explosions") a partire dagli anni '30, e nei primi anni '70 il numero di tali incidenti era di circa 100, in aumento ogni anno. Onde di pressione molto significative vengono raggiunte nel caso di grossi rilasci di sostanze infiammabili e di inneschi ritardati: per esempio a Pernis nel 1968 l'esplosione aveva fatto crollare tratti di piperack. Era ormai evidente che il rischio di tali esplosioni era legato alle grandi quantità di sostanze infiammabili presenti negli stoccaggi o negli impianti di processo. Diventava quindi della massima importanza identificare gli impianti industriali che presentavano questi tipi di grandi rischi. Una volta identificati gli impianti in questione, andavano prese misure per prevenire tali disastri e per mitigarne le conseguenze se un disastro succedeva nonostante le precauzioni.^[24] Si rendeva inoltre necessario un coordinamento tra le autorità locali e l'Health and Safety Executive, in modo tale che le autorità locali fossero informate su questioni di sicurezza prima di rilasciare i permessi agli impianti in questione, e che i servizi di emergenza (Vigili del Fuoco, Ospedali, Polizia ecc.) avessero le informazioni necessarie a preparare un piano di emergenza.

• (EN) Dept. of Employment, Flixborough Disaster: Report of the Court of Inquiry, Londra U.K., Stationery Office Books, maggio 1975, ISBN 0113610750.
• (EN) Frank Lees, Lees' Loss Prevention in the Process Industries, Third Edition: Hazard Identification, Assessment and Control, 3ª, Sam Mannan, Oxford U.K., Butterworth-Heinemann, 2005, ISBN 0-7506-7555-1.

• Disastro ambientale della piattaforma petrolifera Deepwater Horizon
• Disastro di Feyzin
• Esplosione nella raffineria di Texas City
• Esplosione di gas a Guadalajara del 1992
• Esplosione di gas di Humberto Vidal a Porto Rico del 1996
• Esplosione di esano a Louisville del 1981
• Esplosione di propilene alla Formosa Plastics del 2005
• Incendio della raffineria di petrolio di Cataño del 2009

• (EN) The Flixborough Disaster, Report of the Court of Inquiry, 1975 (PDF), su icheme.org (archiviato dall'url originale il 13 marzo 2017).
• (EN) Summary of the official inquiry into the accident, su hse.gov.uk. URL consultato il 2 gennaio 2019.
• (EN) Flixborough memories on H2G2, su bbc.co.uk, bbc. URL consultato il 2 gennaio 2019.
• (EN) Flixborough: 20 years on, Loss Prevention Bulletin issue 117, 1994 ^{[collegamento interrotto]}, su unified.icheme.org, IChemE.

Portale Catastrofi

Portale Regno Unito