Summary

  • La défaillance était au niveau du composant. La corrosion par sulfidation a attaqué beaucoup plus vite une portion d'acier au carbone à faible silicium que des pièces voisines. Une moyenne de circuit ne pouvait donc pas prouver que le point le plus fragile était sûr.

  • Les occasions d'inspection et de remplacement étaient des décisions de gouvernance. Les avertissements de spécialistes, les mesures antérieures et les choix de turnaround devaient avoir un propriétaire, une trace de report et une condition de fermeture, au lieu de se dissoudre dans la pression d'exploitation.

  • La fuite a créé un second test. Une fuite chaude de procédé doit d'abord être évaluée selon le pire scénario crédible: éloignement, isolement, arrêt et dépressurisation. Le diagnostic de terrain ne doit pas placer les travailleurs dans l'enveloppe d'une rupture possible.

  • Les dossiers juridiques ne sont pas interchangeables. Les rapports du CSB, les citations Cal/OSHA, les règlements, le plaidoyer sans contestation, la réforme californienne et les obligations fédérales doivent rester attribués à leurs instruments propres.

Le mécanisme rendait les emplacements représentatifs dangereux

Le rapport final du CSB sur l' incendie de la raffinerie Chevron de Richmond reconstruit une séquence sévère: le 6 août 2012, une conduite de 8 pouces du circuit 4-sidecut de l'unité de brut no 4 a d'abord fui, puis s'est rompue, libérant un hydrocarbure chaud qui a formé un nuage avant l'inflammation. Des travailleurs se trouvaient à proximité, plusieurs ont été enveloppés par le nuage et la communauté a reçu une alerte de niveau 3 avec consigne de confinement. Ces faits suffisent à traiter l'événement comme une quasi-catastrophe de prévention, même sans décès.

Le rapport d'enquête intermédiaire du CSB sur la rupture de tuyauterie explique le point technique qui commande le reste de l'analyse. La sulfidation à haute température peut amincir l'acier au carbone, et la résistance varie selon la composition. Dans une ligne assemblée avec des pièces d'âges et de spécifications différentes, un segment à faible silicium peut perdre de l'épaisseur bien plus vite que les composants voisins. Le circuit paraît homogène sur le dessin, mais son taux de dégradation n'est pas homogène dans l'atelier.

La conséquence est simple et dure: l'inspection d'un point choisi ne protège pas une pièce qui n'a pas été réellement bornée par ce point. Une lecture ultrason correcte au mauvais endroit reste une mauvaise preuve. Si l'identité matérielle de chaque coude, spool ou tronçon n'est pas connue, cette ignorance doit devenir une exigence de couverture: inspection composant par composant, vérification de matériau lorsque la méthode est adaptée, remplacement par alliage plus résistant ou justification de maintien en service suffisamment conservatrice.

Les documents disponibles montrent aussi les limites de la confiance dans les bases de données. Une valeur de minimum thickness ou de remaining life dépend d'un code, d'une géométrie, d'un taux de corrosion et d'une incertitude de mesure. Modifier un seuil ou extrapoler depuis des emplacements plus favorables ne remet pas du métal sur la conduite. La responsabilité de procédé exige donc une règle de décision: quand une incertitude porte sur un composant dont la rupture peut libérer un fluide dangereux, la charge de preuve pèse sur le maintien en service.

Les alertes techniques devaient devenir des travaux contrôlés

L'annonce d'enquête publiée par Chevron en 2013 et conservée par la ville de Richmond, Chevron Investigation Identifies Causes of Richmond Refinery Fire, reconnaissait des facteurs de système: documentation insuffisante de mesures antérieures, diffusion inefficace des connaissances sur le mécanisme, stratégie d'inspection insuffisante et application trop faible de l'analyse des dangers et du management of change. Cette reconnaissance de l'entreprise est utile, mais elle ne remplace pas une vérification indépendante de chaque correction annoncée.

La question centrale n'est pas de savoir si une note avait prédit exactement la rupture d'août 2012. Elle est de savoir si les connaissances disponibles ont produit une décision prudente. Les spécialistes corrosion, les inspecteurs, l'ingénierie de procédé, les responsables de turnaround et la direction tenaient chacun une partie du tableau. Un système robuste aurait consigné la recommandation, la pièce concernée, le risque accepté, le décideur du report, les mesures temporaires et la date à laquelle l'hypothèse devait être testée ou fermée.

La page Cal/OSHA sur la task force interagences des raffineries montre que l'agence a cité Chevron après enquête et a résumé des manquements allégués concernant, entre autres, le remplacement recommandé, l'arrêt d'urgence, la protection des salariés et la mise en oeuvre du PSM. Ce vocabulaire compte: au stade de la citation, les éléments sont des allégations et des pénalités proposées, pas des conclusions finales après appel.

Le paquet de citation Cal/OSHA, Citation and Notification of Penalty, donne les normes et les faits plaidés par l'agence. Il aide à voir comment un défaut technique devient une accusation réglementaire précise. Mais un article responsable ne transforme pas ce document en jugement définitif. Il dit que l'agence a cité, allégué et proposé, puis il vérifie comment le litige a été résolu.

Cette discipline évite deux erreurs opposées. Minimiser les citations parce qu'elles étaient contestables affaiblit l'utilité préventive du dossier. Les présenter comme si chaque ligne avait été jugée après procès surévalue leur statut. La responsabilité se trouve entre les deux: les citations révèlent les contrôles que l'autorité a estimés défaillants, et la résolution ultérieure montre quelles obligations ont été acceptées.

Une fuite chaude devait conduire d'abord à l'état sûr

La fuite initiale n'était pas un défaut stable sur une utilité froide. Elle provenait d'une conduite contenant un hydrocarbure chaud sous conditions de procédé. Tant que l'épaisseur restante et le mécanisme de dégradation n'étaient pas établis, enlever l'isolation, préparer un accès ou envisager un colmatage pouvait aggraver le danger. Le premier choix de commandement devait donc porter sur la distance, l'arrêt et la dépressurisation, non sur le diagnostic le plus proche possible.

Le rapport réglementaire du CSB sur la rupture et l'incendie de Richmond élargit ce constat à la surveillance publique: compétence technique des autorités, participation des travailleurs, transparence et capacité d'inspection sont des barrières, pas de simples thèmes administratifs. Pourtant, l'opérateur conserve le contrôle immédiat de l'équipement. Aucune architecture réglementaire ne peut rendre acceptable une situation où l'organisation exploitante ne sait pas qui peut ordonner l'arrêt quand une fuite peut se transformer en rupture.

Le rapport hebdomadaire de la ville de Richmond du 10 août 2012 place la réponse communautaire dans le temps: consignes publiques, canaux d'information et processus de réclamations. Ces éléments prouvent qu'une route de réponse existait. Ils ne prouvent pas que chaque plainte médicale ou matérielle a été acceptée, indemnisée de la même manière ou reliée juridiquement à une dose particulière.

Une bonne réponse à une fuite de procédé assemble immédiatement opérations, inspection, matériaux, ingénierie, pompiers industriels, sous-traitants concernés et direction sous un commandement unique. L'équipe doit se demander quelle libération est plausible si la paroi restante échoue, où le nuage pourrait aller, quels points d'isolement existent et combien de personnes se trouvent dans la zone. Si la réponse n'est pas sûre, la zone grandit et l'unité se met dans un état sûr. Le courage de terrain n'est pas une barrière suffisante contre une physique de rupture.

Les règlements et sanctions doivent rester dans leurs voies

La résolution Cal/OSHA de 2017, Cal/OSHA and Chevron Reach Settlement of Citations Appeal, est la bonne source pour le résultat de l'appel. Elle décrit un accord portant sur 17 violations, une pénalité de 1 013 200 dollars et des mesures comprenant le remplacement de tuyauteries en acier au carbone contenant des liquides corrosifs par des tuyauteries en alliage chrome, des critères de surveillance d'équipement et des formations de commandement et de sécurité des procédés. C'est plus probant sur les obligations acceptées que les montants initialement proposés.

Une autre voie est pénale. L'analyse législative californienne SB 691 indique que Chevron U.S.A. Inc. a plaidé no contest en août 2013 à six chefs et a accepté des amendes de 1,28 million de dollars ainsi que plus de 720 000 dollars de restitution à trois agences locales. Ce résultat lie l'entreprise et les accusations visées. Il ne devient pas une condamnation de personnes non poursuivies ni une évaluation de tous les dommages privés.

La ville de Richmond a eu sa propre voie civile. L'annonce conjointe de 2018 sur le règlement entre Richmond et Chevron mentionne un paiement de 5 millions de dollars à la ville pour mettre fin au litige lié à l'incendie de l'unité de brut, avec des usages publics possibles. Cette somme est distincte des réclamations individuelles, de la restitution pénale, de la résolution Cal/OSHA et des obligations fédérales.

Au niveau fédéral, la fiche EPA Chevron Settlement Information Sheet présente des allégations sous le Risk Management Program, le Clean Air Act General Duty Clause, CERCLA et EPCRA, avec une pénalité civile, des projets environnementaux supplémentaires et des améliorations de sécurité estimées. Elle donne une synthèse utile, mais la source juridiquement plus précise est le décret.

Le consent decree fédéral impose des obligations sur l'autorité technique, l'inspection de la sulfidation, le remplacement de tuyauteries, les operating windows, la formation, les rapports et la certification pour les installations couvertes. Il résout des réclamations définies selon ses propres termes. Il ne doit pas être lu comme un inventaire complet de toutes les pertes de Richmond ni comme une décision au fond sur chaque allégation.

L'annonce du Department of Justice sur le règlement national Chevron relie l'enquête déclenchée par Richmond à d'autres incidents et aux accords californiens. Cette chronologie évite le double comptage: une même obligation d'inspection, de remplacement ou de formation peut apparaître dans plusieurs récits sans devenir une réparation indépendante supplémentaire.

La réforme californienne a transformé les leçons en devoirs actuels

Le rapport de travail interagences Improving Public and Worker Safety at Oil Refineries a converti les enseignements de Richmond en programme de réforme: prévention plus forte, préparation d'urgence, participation des travailleurs, moyens des autorités et coordination. C'est une synthèse de politique publique, pas une substitution aux rapports du CSB ou aux voies d'application.

Le règlement californien Title 8, section 5189.1, donne aujourd'hui un référentiel concret: information de sécurité des procédés, damage-mechanism review, analyse de hiérarchie des contrôles, safeguard protection analysis, intégrité mécanique, management of change, analyse de cause, participation des salariés, sécurité culturelle, suivi des actions et conditions d'arrêt ou de dépressurisation avant d'exposer les salariés près d'une fuite. La règle est précieuse parce qu'elle transforme l'incertitude en obligation de méthode.

Le programme local CalARP Program 4 de Contra Costa, décrit sur la page CalARP Program 4 for petroleum refineries, ajoute une voie centrée sur le public et l'environnement: rapports de cause racine pour les incidents majeurs et indicateurs annuels de sécurité des procédés. Cette voie recoupe le PSM, mais elle ne le remplace pas.

La page actuelle Contra Costa RMP - Chevron Richmond Refinery montre un cadre de divulgation, avec substances réglementées, fiche d'installation, audit et publication d'incidents majeurs selon la définition applicable. Son intérêt est de prouver une architecture publique de suivi. Sa limite est tout aussi importante: elle ne publie pas chaque certificat matière, chaque mesure d'épaisseur, chaque exercice de fuite ou chaque exception de maintenance.

Le dossier du CSB sur la Chevron Richmond Refinery Fire enregistre les recommandations, leurs destinataires et leur statut. Des clôtures acceptables ont une valeur probante: le Board a jugé des actions soumises par rapport à une recommandation. Mais ce n'est pas une certification permanente. Une barrière de corrosion peut dériver avec les charges, les flux, les changements de personnel, les logiciels et les reports de travaux.

La preuve de responsabilité est composant par composant

La réparation durable doit donc être matérielle et vérifiable. Pour une conduite remplacée, il faut l'isométrique, le repère de terrain, le certificat matière, la vérification, les soudures, la date de mise en service et la correspondance avec la portée promise. Pour une conduite restante, il faut la raison de maintien, la couverture d'inspection, les données brutes, le taux conservateur, l'échéance suivante et le responsable de l'écart. Pour une recommandation reportée, il faut le décideur, la durée, la compensation et la condition d'arrêt.

La réponse aux fuites doit se prouver par des exercices et des événements réels: temps jusqu'au commandement, taille de la zone, briefing technique, décision d'arrêt, isolement, dépressurisation, comptage des sous-traitants, message à la communauté et clôture des constats. Un exercice qui récompense seulement l'intervention incendie manque le point principal. La réussite consiste à empêcher les personnes d'entrer dans l'enveloppe de rupture.

La bonne conclusion n'est donc pas que tous les systèmes sont sûrs parce que des règles existent, ni qu'aucune réforme ne compte parce que l'accident a été grave. Elle est plus exigeante: Chevron et ses régulateurs doivent pouvoir montrer que la pièce atypique ne disparaît plus dans une moyenne, que l'avis du spécialiste ne reste plus facultatif, que la fuite chaude déclenche un état sûr avant la réparation improvisée et que les exceptions sont visibles. Dans un procédé à haut danger, la responsabilité crédible n'est pas la confiance dans le composant moyen.

C'est la preuve que le composant extrême n'a plus d'endroit où se cacher.