ARCHIVÉ - Enquête en vertu de la Loi sur l’Office national de l’énergie relativement à la fuite du réservoir 121 situé au terminal Sumas de Trans Mountain Pipeline ULC, survenue le 24 janvier 2012

Cette page Web a été archivée dans le Web

L’information dont il est indiqué qu’elle est archivée est fournie à des fins de référence, de recherche ou de tenue de documents. Elle n’est pas assujettie aux normes Web du gouvernement du Canada et elle n’a pas été modifiée ou mise à jour depuis son archivage. Pour obtenir cette information dans un autre format, veuillez communiquer avec nous.

Enquête en vertu de la Loi sur l’Office national de l’énergie relativement à la fuite du réservoir 121 situé au terminal Sumas de Trans Mountain Pipeline ULC, survenue le 24 janvier 2012 [PDF 1086 ko]

FAQ - Rapport final d’enquête sur la fuite du réservoir 121 au terminal Sumas de Trans Mountain Pipeline ULC

Novembre 2012

Droit d’auteur et droit de reproduction

Table des matières

Liste des annexes

Abréviations et définitions

1. Résumé

2. Portée et objectifs de l’enquête menée en vertu de la Loi sur l’Office national de l’énergie (Loi sur l’ONÉ)

3. Données factuelles

4. Résultats de l’enquête menée en vertu de la Loi sur l’ONÉ

5. Conclusions

Liste des annexes

I Cartes

II Évolution du niveau et du volume dans le réservoir 121

Abréviations et définitions

Abréviations et définitions
API American Petroleum Institute
ASME American Society of Mechanical Engineers
CSA Z662-11 Norme Z662 de l’Association canadienne de normalisation intitulée Réseau de canalisations de pétrole et de gaz
COU centre des opérations d’urgence
°C degrés Celsius
HNP heure normale du Pacifique
HNR heure normale des Rocheuses
H2S sulfure d’hydrogène
LIE limite inférieure d’explosivité
OCC opérateur du centre de commande
Office ou ONÉ Office national de l’énergie
O2 oxygène
PCI poste de commandement du lieu d’incident
PFCC procédures et formation du centre de commande
RPT-99 Règlement de 1999 sur les pipelines terrestres
SCADA Système d’acquisition et de contrôle des données
SCI système de commandement en cas d’incident
système d’essai système de contrôle SCADA d’EXCOS
Système existant système de contrôle SCADA 6.2
TMPU Trans Mountain Pipeline ULC

Chapitre 1 - Résumé

Le 24 janvier 2012, 90 m³ de pétrole brut se sont échappé dans l’enceinte de confinement secondaire du réservoir 121 au terminal Sumas de Trans Mountain Pipeline ULC (TMPU) situé à Abbotsford, en Colombie-Britannique. L’enquête a révélé que la fuite avait été causée par la défaillance du joint d’étanchéité placé dans un raccord à brides de l’égout de toit du réservoir 121, par suite du gel de l’eau dans le dispositif de vidange.

Malgré l’adoption d’une nouvelle procédure par TMPU, exigeant que la vanne de vidange de l’égout de toit du réservoir soit généralement fermée, celle-ci était ouverte lors de l’incident. Cela a été un facteur contributif. L’enquête a aussi exposé des lacunes dans la gestion du changement apporté à la procédure relative à la position normale de la vanne.

La fuite a été détectée plus tard qu’elle aurait dû l’être. Ce retard s’explique par le manquement, à deux reprises, de l’opérateur du centre de commande (OCC) à la procédure de TMPU pour l’activation de l’alarme et la réponse à une alerte, et son incapacité à prendre conscience qu’il y avait une fuite. L’enquête a aussi démontré que l’alarme du nouveau système d’acquisition et de contrôle des données (SCADA) de TMPU était mal paramétrée, une situation qui peut expliquer, en partie, la réponse inappropriée de l’OCC aux déclenchements des alarmes.

L’Office national de l’énergie (Office ou ONÉ) considère la sécurité des Canadiens et Canadiennes et la protection de l’environnement comme des priorités absolues. L’Office exige des compagnies pipelinières qu’elles prévoient, préviennent, gèrent et atténuent les conditions potentiellement dangereuses associées à l’exploitation de leurs pipelines. TMPU a identifié les mesures correctives nécessaires pour éliminer la cause de l’incident et les facteurs y ayant contribué qui sont cernés dans ce rapport d’enquête. L’Office estime que ces mesures sont suffisantes pour prévenir la répétition d’incidents semblables à l’avenir.

Chapitre 2 - Portée et objectifs de l’enquête menée en vertu de la (Loi sur l’ONÉ)

La portée de l’enquête menée par l’Office en rapport avec cet accident a été déterminée conformément au mandat de l’Office défini dans la Loi sur l’ONÉ, plus précisément au paragraphe 12(1.1) :

12(1.1) L’Office peut enquêter sur tout accident relatif à un pipeline, une ligne internationale ou toute autre installation dont la construction ou l’exploitation est assujettie à sa réglementation, en dégager les causes et facteurs, faire des recommandations sur les moyens d’éliminer ces accidents ou d’éviter qu’ils ne se reproduisent et rendre toute décision ou ordonnance qu’il lui est loisible de rendre.

Compte tenu du pouvoir conféré à l’Office en vertu du paragraphe 12(1.1) de la Loi, l’enquête menée comportait les objectifs suivants : rassembler tous les éléments de preuve concernant l’accident, analyser les éléments de preuve, dégager la cause de l’accident ou les facteurs y ayant contribué, faire des recommandations sur les moyens de prévenir d’autres accidents du genre et rendre toute décision ou ordonnance relevant de la compétence de l’Office, au besoin, pour prévenir d’autres accidents semblables.

Chapitre 3 - Données factuelles

3.1 Description de l’incident

Le matin du 24 janvier 2012, une fuite de pétrole brut s’est produite dans le réservoir 121 du terminal Sumas de TMPU à Abbotsford, en Colombie-Britannique (voir les cartes 1, 2 et 3 à l’annexe I). Environ 90 m³ de pétrole brut ont fuit du réservoir 121 vers son enceinte de confinement secondaire. À 6 h 50 (HNP),Note de bas de page 1 un technicien de TMPU est arrivé sur les lieux et a constaté la fuite. Il a aussitôt fermé la vanne de vidange de l’égout de toit du réservoir 121, ce qui a mis fin à la fuite. Le mécanisme d’intervention en cas d’incident de la compagnie a été enclenché, et un poste de commandement du lieu d’incident (PCI) a été établi à la station de pompage Sumas située tout près. L’Office a été informé de l’incident à 8 h 16. Peu après, il a mis en place son centre des opérations d’urgence (COU). Le personnel de l’Office est arrivé au PCI de TMPU à 17 h, le 24 janvier 2012. La phase d’intervention d’urgence a pris fin à 12 h 50 le lendemain, avec l’élimination du pétrole libre restant de l’enceinte de confinement secondaire. L’incident n’a fait aucune victime, et les effets sur l’environnement ont été limités à la contamination du gravier de l’enceinte de confinement secondaire et des émissions atmosphériques. La membrane de l’enceinte de confinement secondaire a empêché toute fuite du pétrole au delà de celle-ci. La figure 1 montre le déversement de pétrole dans l’enceinte de confinement secondaire du réservoir 121 après que la plus grande partie du pétrole libre a été récupérée. Un tapis de mousse recouvre le pétrole encore présent; la partie plus foncée du gravier indique jusqu’où s’étendait le déversement initial de pétrole.

Figure 1 : Rejet dans l’enceinte de confinement secondaire du réservoir 121

Figure 1 : Rejet dans l’enceinte de confinement secondaire du réservoir 121

3.2 Chronologie des événements ayant mené à la découverte du rejet

Selon le rapport d’enquête de TMPU, pendant les jours qui ont précédé l’incident, la région d’Abbotsford a connu du temps inhabituellement froid; la température la plus basse de -14,8 °C a été atteinte le 18 janvier. Tout au long de cette épisode, le réservoir 121 est demeuré inactif, et le pétrole brut à l’intérieur est resté à un bas niveau de 1,2 m. Pendant cinq jours et demi, la température du pétrole brut n’a pas monté au-dessus du point de congélation, variant de 0 °C à -1,7 °C. Le 23 janvier 2012, entre 20 h 37 et 22 h 26, un arrivage prévu de 3 400 m³ de pétrole brut a été transféré dans le réservoir 121. Durant l’opération, le niveau du pétrole brut dans le réservoir est passé de 1,2 m à 7,0 m, et la température a augmenté de -0.1 °C à 9.7 °C.

Grâce à un système SCADA, les réservoirs du terminal Sumas sont constamment surveillés par un OCC en poste au centre de commande de TMPU à Edmonton, en Alberta. Le journal du SCADA pour le réservoir 121 a enregistré les événements suivants dans la nuit de l’incident :

  • 22 h 26, 23 janvier - Après que le pétrole a été transféré dans le réservoir 121, l’OCC a activé l’alarmeNote de bas de page 2 de fluage du système d’essaiNote de bas de page 3.
  • 01 h 11, 24 janvier - L’OCC a activé l’alarme de fluage du système existantNote de bas de page 4 pour le réservoir 121.
  • 02 h 39, 24 janvier - L’alarme de fluage du réservoir 121 s’est mise en marche une première fois. Elle provenait du système existant. L’OCC a vérifié l’évolution du volume dans le réservoir 121, mais n’a pas constaté qu’il avait baissé. Il a jugé qu’il s’agissait d’une fausse alarme, causée par de forts vents.
  • 03 h 11, 24 janvier- L’alarme de fluage du réservoir 121 s’est mise en marche une deuxième fois. Elle provenait du système d’essai. L’OCC ignorait qu’elle avait été déclenchée selon des paramètres différentsNote de bas de page 4 et, comme les deux alarmes étaient rapprochées, il a conclu qu’il s’agissait d’une autre fausse alarme, elle aussi causée par les forts vents.
  • 04 h 11, 24 janvier - L’alarme de fluage s’est mise en marche une troisième fois. Elle provenait du système existant. L’OCC a jugé qu’elle était importante et a vérifié l’évolution du niveau de pétrole dans le réservoir 121. Ne constatant pas de changement marqué du niveau du pétrole brut, il a préparé une note à l’intention de l’équipe de jour pour qu’elle fasse un suivi.
  • 05 h 00, 24 janvier - Il y a eu changement d’équipe de travail. L’équipe de jour a vérifié les niveaux de pétrole dans le réservoir 121 et a commencé à assumer ses tâches habituelles. Après une quinzaine de minutes, l’OCC a vérifié le niveau de pétrole du réservoir 121 et s’est rendu compte qu’il y avait des variations (environ 1 m³) quoique à l’intérieur de la marge d’erreur de l’appareil de mesure (± 1 m³ du radar SAAB).
  • 05 h 47, 24 janvier - L’alarme de fluage s’est mise en marche une quatrième fois. Elle provenait du système existant. L’OCC de jour a fait une nouvelle vérification de l’évolution pour le réservoir 121.
  • 05 h 50, 24 janvier - L’OCC de jour a appelé son homologue au terminal de Sumas et lui a demandé de se rendre sur les lieux pour tenter de découvrir la cause du déclenchement de l’alarme.
  • 06 h 50, 24 janvier - À son arrivée sur les lieux, il a vite constaté l’existence d’une fuite et a aussitôt fermé la vanne de vidange de l’égout de toit, ce qui a eu comme effet d’isoler la source de la fuite.
  • 07 h 00, 24 janvier - La première plainte concernant des odeurs liées à cet incident est parvenue au centre de commande. Au même moment, l’OCC de jour a reçu la confirmation de l’opérateur du terminal qu’il y avait un rejet.

3.3 Intervention en cas d’urgence

Après avoir isolé le rejet, la planification et la mise en œuvre des opérations d’intervention en cas d’incident ont commencé. À 8 h 01, un avis de situation d’urgence a été envoyé à l’équipe de gestion des opérations de TMPU, et une conférence téléphonique visant à planifier et à exécuter l’intervention a commencé à 8 h 15.

Des appels ont été acheminés aux organismes suivants pour les informer de la situation :

  • Bureau de la sécurité des transports Canada (8 h 10)
  • Office national de l’énergie (8 h 16)
  • Directeur de l’Auguston Traditional School (8 h 48)
  • Bureau des signalements des incidents de la police d’Abbotsford (9 h 15)
  • Programme d’urgence d’Abbotsford, répartition des services d’incendie (9 h 15)
  • Directeur des communications d’Abbotsford (9 h 23)
  • Programme d’urgence du district régional de la vallée du Fraser (FVRD) (9 h 28)
  • Bureau des signalements des incidents de la police d’Abbotsford (9 h 38)
  • Beautiworld Development (promoteur d’Auguston) (9 h 47)
  • Autorité de la santé de Fraser (9 h 50)
  • Jon Van Dongen, député provincial (9 h 54)
  • Randy Hawes, député provincial (9 h 56)

Le système de commandement en cas d’incident (SCI) a été activé, et un PCI a été établi à la station de pompage Sumas située tout près.

Selon les documents émanant du SCI de TMPU, des camions-citernes sous vide ont été appelés sur les lieux avant 10 h 00, le 24 janvier, et, à 10 h 30, trois de ces camions étaient au terminal Sumas pour récupérer le pétrole accumulé dans l’enceinte de confinement secondaire du réservoir 121.

Le personnel de TMPU a dispersé une mousse extinctrice sur le pétrole libre pour réduire les vapeurs et les odeurs qui en découlent, sans toutefois réussir complètement.

Pendant toute l’opération, un contrôle de la pollution atmosphérique a été assurée. Des membres du personnel de TMPU ont été affectés à cette tâche (LIE, O2,H2S, benzène et composés organiques volatils totaux) près de la zone de confinement et autour du terminal Sumas.

D’autres ont distribué des avis écrits à une centaine de résidents du voisinage.

Un expert a mené un programme de contrôle de la pollution atmosphérique à l’échelle locale, comprenant des activités d’échantillonnage et de surveillance. L’opération a commencé à 16 h, le 24 janvier, et a consisté en des contrôles périodiques dans des endroits situés dans les environs du terminal Sumas, afin de détecter les contaminants susceptibles de provenir du rejet et des activités de nettoyage du pétrole brut. Huit points se trouvant près des quartiers résidentiels et d’une école élémentaire ont été choisis pour les contrôles. Des données sur le H2S, le benzène, les composés organiques volatils totaux, la LIE, l’oxygène, le monoxyde et le dioxyde de carbone ont été collectées.

Les opérations de récupération du pétrole se sont poursuivies jusqu’à la brunante, le 24 janvier. La presque totalité du pétrole libre avait alors été récupérée. Un contrôle de la sécurité et une surveillance ont été maintenues toute la nuit au terminal Sumas.

Les opérations ont repris le lendemain matin (25 janvier), et la phase urgente a pris fin à 12 h 50, lorsque le pétrole libre de l’enceinte de confinement secondaire fut complètement récupéré. Les opérations de nettoyage ont aussitôt commencé.

Le réservoir 121 a cessé d’être utilisé dès la découverte de la fuite. Le pétrole dans le réservoir a été transféré, jusqu’à ce que le réservoir soit presque complètement vide, à 20 h, le 24 janvier. Le réservoir est resté hors service jusqu’à ce qu’il puisse être inspecté et réparé. Il a été remis en service le 1er mars 2012.

Chapitre 4 - Résultats de l’enquête menée en vertu de la Loi sur l’ONÉ

La présente section expose les résultats de l’enquête qui a été menée en vertu de la Loi sur l’ONÉ relativement à ce qui suit :

  • les constatations concernant la cause de l’accident et les facteurs y ayant contribué, aux termes de l’alinéa 12(1.1) a) de la Loi sur l’ONÉ;
  • les mesures correctives prises par TMPU.

4.1 Mécanisme de défaillance de l’égout de toit du réservoir

En février 2012, TMPU a vidé et nettoyé le réservoir 121 pour y entrer et tenter de découvrir la cause de la défaillance de l’égout de toit du réservoir. Des représentants du fournisseur de l’égout de toit étaient présents sur les lieux. Comme le montre la figure 2 ci-dessous, l’égout de toit du réservoir 121 est de type Pivot Master et comporte un puisard fixé à la fois au toit flottant et à la tuyauterie en acier par des raccords flexibles. Ce système transporte l’eau qui s’accumule sur le toit jusqu’au bas du réservoir, où elle est évacuée. Une vanne de vidange disposée juste à l’extérieur de la paroi du réservoir sur l’égout de toit évacue l’eau vers l’enceinte de confinement secondaire quand elle est ouverte.

Figure 2 : Schéma de l’égout de toit de type Pivot Master du réservoir 121Note de bas de page 5

Figure 2 : Schéma de l’égout de toit de type Pivot Master du réservoir 121

Légende :
Floating Roof - Toit flottant
Sump - Puisard
Tank Wall - Paroi du réservoir
Drain Valve - Vanne de vidange

Au terme de son inspection visuelle de l’égout de toit, TPMU a conclu que la fuite avait été causée par un joint d’étanchéité endommagé dans le couple de brides identifié par flèche rouge sur la figure 2. Ce raccord a été démonté, et la figure 3 ci-dessous montre le joint d’étanchéité endommagé. Selon TMPU, les dommages au joint d’étanchéité semblent résulter d’une pression excessive, vraisemblablement causée par le gel. Dans son rapport, TMPU a expliqué que l’effet combiné du froid inhabituel et du bas niveau de pétrole dans le réservoir 121 pendant les deux semaines qui ont précédé la fuite pourrait avoir entraîné le gel de l’eau dans l’égout de toit (de plus amples renseignements sur les conditions météorologiques sont fournis à la section 3.2). TMPU a indiqué qu’elle soupçonnait les fluctuations de température durant la journée et dans le réservoir d’avoir engendré un cycle gel-dégel de l’eau sur le toit du réservoir et dans l’égout de toit, qui s’est traduit par une accumulation d’eau et de glace dans celui-ci, en dépit du fait que la vanne de vidange était ouverte et que la pente de l’égout de toit soit calculée pour prévenir une telle accumulation d’eau. Le gel de l’eau dans l’égout de toit aurait provoqué une pression interne excessive qui serait à l’origine des dommages subis par le joint et de la fuite de pétrole à l’extérieur l’égout de toit. Le 23 janvier 2012, un arrivage de 3 400 m³ de pétrole a été transféré dans le réservoir 121, avec comme effet que la température du contenu du réservoir est passée de -0,1 °C à 9,7 °C. Cette hausse de température a fait fondre la glace qui s’était formée dans l’égout de toit et a permis au pétrole dans le réservoir de s’infiltrer dans celui-ci par le joint endommagé. Puisque la vanne de vidange de l’égout de toit était ouverte, le pétrole a pu ensuite fuir vers l’enceinte de confinement secondaire du réservoir 121.

Figure 3 : Photo du joint endommagé (droite) et d’un joint en bon état (gauche)Note de bas de page 6

Figure 3 : Photo du joint endommagé (droite) et d’un joint en bon état (gauche)

Selon TMPU, la pression excessive créée par la dilatation résultant de la formation de glace dans la tuyauterie est le seul facteur ayant entraîné la défaillance du raccord à bride. TMPU a aussi confirmé qu’aucun autre dommage n’avait été constaté à l’égout de toit du réservoir 121 lors de son inspection visuelle. Le joint d’étanchéité en cause a été remplacé, et l’égout de toit a été soumis à un essai de pression pour en vérifier l’intégrité avant la remise en service du réservoir 121.

Construit en 1963, ce réservoir est inspecté conformément à la norme 653 de l’American Petroleum Institute (API) intitulée Tank Inspection, Repair, Alteration, and Reconstruction (inspection, réparation, modification et reconstruction d’un réservoir). Cette norme d’inspection obligatoire est citée dans la clause 10.9.2.1 de la norme CSA Z662-11 pour les réservoirs de stockage en acier. La dernière inspection du réservoir 121 remontait à 1995, au moment où l’égout de toit a été installé. TMPU a expliqué que le joint d’étanchéité, qui est conforme à la norme B16.21 de l’American Society for Mechanical Engineers (ASME) intitulée Non-Metallic Flat Gaskets for Pipe Flanges (joints plats non métalliques pour les brides de tuyauterie), et la norme de TMPU intitulée Bolted Flange Joint Assembly (brides de tuyauterie boulonnées), est considéré extrêmement fiable pour ce genre d’utilisation. La compagnie a indiqué qu’il s’agissait de la première défaillance du genre dans ses installations.

Par conséquent, en se fondant sur les données factuelles suivantes :

  • l’effet combiné du temps froid (bien en-dessous du point de congélation) et du bas niveau de pétrole dans le réservoir 121 pendant les jours ayant précédé la fuite a fait en sorte que la température du pétrole dans le réservoir 121 est descendue sous le point de congélation pendant plus de cinq jours et jusqu’à l’arrivage de pétrole le 23 janvier 2012;
  • la fuite est survenue immédiatement après le transfert de pétrole plus chaud dans le réservoir durant la nuit du 23 au 24 janvier 2012;
  • les dommages subis par le joint d’étanchéité visibles sur la figure 3 semblent découler d’une pression excessive, ce qu’a établi l’enquête de TMPU;
  • l’égout de toit n’est généralement pas soumis à de fortes pressions, la seule véritable pression qu’il subit étant la charge hydrostatique du liquide dans le réservoir ou de l’eau qui peut s’accumuler dans l’égout de toit lui-même quand la vanne est fermée;

et en tenant compte du fait qu’il n’existe aucune preuve de l’existence d’autre mécanisme de défaillance, l’Office accepte la conclusion de TMPU selon laquelle le mécanisme de défaillance de l’égout de toit semble avoir été une pression interne excessive causée par le gel de l’eau dans l’égout de toit.

Constatation 1
Constatation 1 Le mécanisme de défaillance de l’égout de toit semble être une pression interne excessive causée par le gel de l’eau dans l’égout de toit.

4.2 Facteur contributif : vanne de vidange de l’égout de toit ouverte

Le fait que la vanne de vidange de l’égout de toit ait été ouverte au moment de l’incident a contribué au rejet de pétrole dans l’enceinte de confinement secondaire du réservoir 121. Cela a permis au pétrole de s’infiltrer dans l’enceinte de confinement secondaire par le joint d’étanchéité endommagé de l’égout de toit.

Constatation 2
Constatation 2 La pratique qui consiste à maintenir les vannes de vidange de l’égout de toit ouvertes a contribué à l’incident.

En raison du niveau élevé et souvent intense des pluies aux terminaux Sumas et Burnaby, les vannes de vidange de l’égout de toit restent généralement ouvertes pour permettre l’évacuation continue de l’eau qui s’accumule sur le toit des réservoirs. Cette pratique est différente de celle utilisée par TMPU dans les endroits régulièrement soumis à du gel, où les égouts de toit sont isolés et aménagés pour l’hiver pour prévenir tout dommage. Aux terminaux Burnaby et Sumas, où les pluies sont abondantes durant les hivers plus doux, les égouts de toit sont utilisés toute l’année.

Néanmoins, avant l’incident, TMPU avait jugé bon de modifier sa procédure à l’égard des vannes de vidange. Le 24 novembre 2011, une procédure de gestion du changement suite à une demande de modification des installations avait été entreprise pour modifier la procédure de TMPU relative à l’enlèvement de l’eau des toits flottants extérieurs, de manière que les vannes de vidange restent habituellement fermées. Ce changement exigeait plus de temps et d’attention du personnel du terminal en ce qui a trait à la gestion de l’accumulation de l’eau de pluie, mais il fournissait aussi une protection contre une défaillance de l’égout de toit. TMPU a approuvé la modification le 1er décembre 2011. Un bon de travail a été délivré le 12 décembre 2011 pour mettre la procédure à jour, ce qui a été fait la même journée. Toutefois, le personnel sur le terrain n’a pas été officiellement informé de ce changement de procédure. TMPU a indiqué que les personnes-clés sont habituellement informées par courriel des modifications à une procédure, mais que, dans ce cas-ci, cela n’avait pas été fait. Même si le superviseur au terminal Sumas savait que l’on envisageait de modifier la procédure, il ignorait que le changement avait effectivement été fait, ce qui explique que le personnel sur le terrain continuait de laisser la vanne de vidange ouverte, comme l’exigeait l’ancienne méthode. Ni la procédure de gestion du changement relative à la demande de modification des installations, ni le processus de bon de travail en place au moment de l’incident n’exigeaient d’informer le personnel sur le terrain de tout changement de procédure. Le processus utilisé par TMPU pour gérer le changement concernant la position de la vanne de vidange de toit était déficient, parce qu’il n’exigeait pas qu’on s’assure que le personnel sur le terrain – qui est directement touché par le changement - en soit informé. Par ailleurs, le fait que le personnel sur le terrain de TMPU n’ait pas été informé de la nouvelle procédure est non conforme à l’article 28 du Règlement de 1999 sur les pipelines terrestres (RPT-99) qui précise :

« La compagnie doit informer toutes les personnes qui s’occupent de l’exploitation du pipeline des pratiques et procédures à appliquer et mettre à leur disposition les parties pertinentes des manuels ».

Il est raisonnablement s’attendre à ce que le personnel sur le terrain soit informé de tout changement à la procédure peu après le 12 décembre 2011 et que la nouvelle procédure soit mise en œuvre avant que l’incident se produise.

Constatation 3
Constatation 3 Le processus utilisé par TMPU pour gérer le changement concernant la position de la vanne de vidange de l’égout de toit était déficient, parce qu’il n’exigeait pas que l’on s’assure que le personnel sur le terrain - qui est directement touché par le changement - en soit informé. En outre, le fait que le personnel de TMPU sur le terrain n’ait pas été informé de la nouvelle procédure n’est pas conforme à l’article 28 du (RPT-99).

4.3 Facteur contributif : Détection tardive de la fuite

4.3.1 Activation par l’OCC des alarmes de fluage et réaction à leur déclenchement

La détection tardive de la fuite figure parmi les facteurs ayant contribué au volume plus élevé du pétrole brut rejeté dans l’enceinte de confinement secondaire du réservoir 121. Une première erreur est survenue quand l’OCC, qui surveillait le terminal Sumas durant la nuit à partir du centre de commande de TMPU à Edmonton, n’a pas activé l’alarme de fluage du système existant dans les 15 minutes suivant le transfert du pétrole brut dans le réservoir 121, comme le prévoit la procédure de TMPU (5.2 SCADA System Creep Alarms). L’opérateur a bel et bien activé l’alarme de fluage après le transfert du pétrole dans le réservoir 121, mais c’était celle du système d’essai. Or, des directives avaient été données oralement de continuer d’utiliser le système existant comme système de base jusqu’à ce que la transition au système d’essai soit faite. Les OCC devaient se familiariser avec le nouveau système, puis, une fois à l’aise avec celui-ci, dédoubler les commandes pour confirmer la cohérence du nouveau système avec le système existant. L’OCC de nuit a activé l’alarme de fluage du système existant à 1 h 11, le 24 janvier, soit 2 heures et 45 minutes après le transfert du pétrole brut dans le réservoir 121, lequel a pris fin à 22 h 26 le 23 janvier.

Ce délai est non conforme à la procédure de TMPU, qui précise que l’alarme de fluage du système existant doit être activée dans les 15 minutes suivant la fin du transfert de pétrole brut dans le réservoir 121. Il est aussi non conforme au paragraphe 4(2) du RPT-99, qui précise :

« ... que la compagnie doit veiller à ce que le pipeline soit conçu, construit et exploité, ou que son exploitation cesse, selon la conception, les exigences techniques, les programmes, les manuels, les procédures, les mesures et les plans établis et appliqués par elle conformément au présent règlement. »

Constatation 4
Constatation 4 L’OCC de nuit n’a pas respecté la procédure de TMPU en n’activant pas l’alarme de fluage du système existant dans les 15 minutes suivant le transfert de pétrole brut dans le réservoir 121. Ce manquement à la procédure de TMPU est aussi un non-respect du paragraphe 4(2) du RPT-99.

Comme cela est expliqué à la section 3.2, trois alertes ont été transmises à l’OCC de nuit entre 2 h 39 et 4 h 11 : deux du système existant et une provenant du système d’essai. Dans aucun de ces cas, il n’a envisagé la possibilité d’une fuite après avoir vérifié l’évolution du volume dans le réservoir 121. L’annexe II montre l’évolution du niveau et du volume de pétrole dans le réservoir 121. À 2 h 39, lors du déclenchement de la première alarme, les évolutions du niveau et du volume de pétrole montrent une baisse observable du niveau et du volume par rapport à la fin du transfert du pétrole. L’OCC de nuit pouvait consulter les évolutions du niveau et du volume du réservoir 121, lesquelles montrent tous les deux une évolution comparable. L’OCC s’est cependant limiter à vérifier l’évolution du volume provenant du système existant et du système d’essai. TMPU a indiqué que l’évolution du volume était correctement affichée et que l’OCC de nuit en avait pris connaissance. Cependant, puisque la variation initiale du volume était relativement faible, il avait conclu qu’elle était attribuable aux conditions météorologiques et non à une fuite. L’OCC de nuit aurait aussi pu vérifier les données analogiques (numériques) sur le niveau ou le volume dans le réservoir 121, mais il ne l’a pas fait. Le SCADA permet aussi de modifier l’échelle du volume pour l’accentuer, mais l’OCC n’a pas utilisé cette fonction.

Constatation 5
Constatation 5 L’OCC de nuit a été incapable de reconnaître qu’il pouvait y avoir une fuite à partir des données sur l’évolution du volume dans le réservoir 121.

Une fois encore, l’OCC de nuit n’a pas respecté la procédure de TMPU en interprétant les alarmes comme fausses sans dépêcher un technicien sur les lieux pour vérifier ce qu’il en était. Le point 2.2.3.5 de la procédure de TMPU (2.2.3.5 Unexpected Tank Level Deviation) exige qu’une variation de niveau ne pouvant être considérée comme normale doit donner lieu à une vérification par un technicien sur le terrain. Dans le cas présent, l’OCC a jugé que les alertes - qui sont un signal dénotant une variation du niveau de pétrole dans le réservoir - avaient été causées par les vents forts, mais il n’a pas dépêché de technicien sur les lieux pour faire une vérification. TMPU a confirmé que de forts vents peuvent entraîner de fausses alertes, mais que cette situation ne saurait être considérée comme normale. La compagnie ne dispose d’aucun instrument mesurant et enregistrant les vents au terminal Sumas, et l’OCC n’avait donc aucun moyen de connaître la vitesse des vents à cet endroit si ce n’est en dépêchant quelqu’un sur les lieux. Si l’OCC de nuit avait respecté la procédure 2.2.3.5 de TMPU, la fuite aurait pu être arrêtée plus tôt, puisqu’un technicien se serait rendu sur place dès la première alerte.

Constatation 6
Constatation 6 L’OCC de nuit n’a pas respecté la procédure de TMPU en ne dépêchant pas sur les lieux un technicien pour vérifier le niveau dans le réservoir et établir la cause du déclenchement de l’alarme de fluage qui ne pouvait être considéré comme un fonctionnement normal. Le fait que l’OCC n’ait pas respecté la procédure de TMPU n’est pas conforme au paragraphe 4(2) du RPT-99.

Les trois erreurs exposées dans les constatations 4, 5 et 6 ont contribué à accroître le volume du rejet de pétrole brut dans l’enceinte de confinement secondaire du réservoir 121.

L’OCC de nuit possède les compétences nécessaires pour occuper ce poste depuis juin 2011. TMPU a confirmé qu’il avait suivi toutes les formations exigées, et son dossier de formation confirme qu’il a été formé sur les procédures relatives aux alarmes de fluage du système SCADA (5.2 SCADA System Creep Alarms) et celles concernant les variations inattendues du niveau de pétrole dans les réservoirs (2.2.3.5 Unexpected Tank Level Deviation). Ce dossier de formation révèle qu’en janvier 2011, l’OCC de nuit a été évalué sur les procédures 5.2 et 2.2.3.5. Cette évaluation est menée par un OCC compétent ou le superviseur des procédures et de la formation du centre de commande (PFCC); elle vise à attester que le candidat comprend toutes les étapes de la procédure. Une seconde évaluation a eu lieu en juin 2011, avant l’examen exigé pour établir la compétence du candidat à superviser le poste de commande du terminal Sumas. Le dossier des résultats de l’OCC de nuit indique que celui-ci a répondu correctement aux questions portant sur les procédures 5.2 et 2.2.3.5 de TMPU. L’une de ces questions avait trait à l’exigence de dépêcher un technicien sur les lieux d’une alerte pour essayer d’expliquer une variation du niveau du pétrole dans le réservoir qui ne peut être considérée comme normale. L’OCC de nuit avait répondu correctement à cette question aussi. Les deux évaluations et le contrôle final des compétences ont été faits par le superviseur des PFCC.

4.3.2 Seuil de déclenchement de l’alarme de fluage du système d’essai

Un autre facteur ayant pu contribuer à la détection tardive de la fuite est la valeur du seuil de déclenchement de l’alarme de fluage du système d’essai, qui était incorrecte. Sur ce système, l’alarme devait se déclencher quand le niveau variait de 100 millimètres, soit une fluctuation du volume de 59 m³. L’alarme aurait dû se mettre en marche dès la détection d’une fluctuation du volume de 10 m³, soit un changement de niveau de 17 mm. Le seuil de 100 mm constitue la valeur par défaut du système d’essai. Les OCC peuvent modifier celle-ci, mais l’OCC de nuit ne l’avait pas fait. Le rapport d’enquête de TMPU a révélé que l’OCC de nuit ignorait que le seuil de déclenchement de l’alarme de fluage du système d’essai était différent. S’il avait été juste, le système aurait déclenché l’alarme avant la première alerte du système existant. Le fait que le système d’essai - sur lequel l’OCC a compté pendant 2 heures et 45 minutes, soit jusqu’à l’activation de l’alarme du système existant -, n’ait pas déclenché d’alarme avant l’alerte initiale du système existant a potentiellement fourni des renseignements contradictoires à l’OCC de nuit. Cela pourrait aussi expliquer son interprétation des alertes qu’il a considérées comme fausses. Dans son rapport d’enquête, TMPU a conclu que l’activation des alarmes de fluage par l’OCC et sa réaction aux alertes avaient été aggravées par la valeur incorrecte du seuil de l’alarme de fluage du système d’essai.

Constatation 7
Constatation 7 La valeur de seuil de l’alarme de fluage du système d’essai était incorrecte. L’OCC de nuit ignorait ce fait, ce qui peut expliquer en partie sa réaction inappropriée aux alertes.

4.4 Mesures correctives

La présente section renferme les mesures correctives prises ou à prendre par TMPU pour éviter un nouvel incident du genre. Les mesures correctives sont présentées pour chaque constatation.

4.4.1 Mesures correctives pour la première constatation

Constatation 1
Constatation 1 Le mécanisme de défaillance de l’égout de toit semble être une pression interne excessive causée par le gel de l’eau dans l’égout de toit.
Première mesure corrective
  • TMPU a modifié sa procédure relative à l’aménagement pour l’hiver des égouts des toits flottants (General Operating Procedure 2.2.4 Winterization of External Floating Roof Drain Systems) en incluant comme exigence que l’embouchure et l’égout de toit soient être chauffés et isolés dans les régions où de fortes pluies en hiver compliquent le recours à des méthodes d’aménagement pour l’hiver. Après avoir pris connaissance de la procédure modifiée, l’Office estime que cette mesure corrective redresse la situation relevée dans la première constatation.

Il se peut que cette mesure n’élimine pas complètement le risque de gel de l’eau dans le système d’égout de toit placé dans le réservoir. Cependant, elle réduira considérablement le risque de gel de l’eau dans la vanne de vidange et dans l’embouchure extérieure qui, si la vanne de vidange reste normalement fermée (voir la deuxième mesure corrective), contiendra le pétrole brut dans les composantes internes de l’égout de toit en cas d’une nouvelle défaillance.

TMPU a indiqué qu’elle ne modifierait pas son programme d’inspection interne à la suite de cet incident, puisque le mécanisme de défaillance en cause ne permet pas de croire qu’une modification de la portée ou de la fréquence de ses inspections permettrait de prévenir un nouvel incident.

4.4.2 Mesures correctives pour la deuxième constatation

Constatation 2
Constatation 2 La pratique qui consiste à maintenir les vannes de vidange de l’égout de toit ouvertes a contribué à l’incident.
Deuxième mesure corrective
  • Depuis l’incident, TMPU a instauré sa nouvelle procédure établissant la position fermée comme la position normale de fonctionnement de toutes les vannes de vidange des égouts de toit. Cette procédure exige aussi que le personnel de TMPU contrôle l’évacuation de l’eau du toit et que, si l’on détecte la présence de pétrole, la vanne de vidange soit fermée. L’Office estime que cette mesure corrective redresse la situation relevée dans la deuxième constatation.

4.4.3 Mesures correctives pour la troisième constatation

Constatation 3
Constatation 3 Le processus utilisé par TMPU pour gérer le changement concernant la position de la vanne de vidange de l’égout de toit était déficient, parce qu’il n’exigeait pas que l’on s’assure que le personnel sur le terrain - qui est directement touché par le changement - en soit informé. En outre, le fait que le personnel de TMPU sur le terrain n’ait pas été informé de la nouvelle procédure n’est pas conforme à l’article 28 du RPT-99.
Troisième mesure corrective
  • TMPU a modifié sa procédure de gestion du changement concernant une demande de modification des installations pour éliminer la lacune relevée dans la troisième constatation relativement aux communications. La nouvelle procédure exige qu’un bon de travail soit émis pour assurer une communication directe avec le personnel touché, quand un changement de procédure important survient. TMPU a soumis la nouvelle procédure à l’examen de l’Office le 31 mai 2012, qui estime qu’elle redresse la situation relevée dans la troisième constatation.

4.4.4 Mesures correctives pour la quatrième constatation

Constatation 4
Constatation 4 L’OCC de nuit n’a pas respecté la procédure de TMPU en n’activant pas l’alarme de fluage du système existant dans les 15 minutes suivant le transfert de pétrole brut dans le réservoir 121. Ce manquement est un un non-respect du paragraphe 4(2) du RPT-99.
Quatrième mesure corrective
  • TMPU a réexaminé l’usage du système existant comme système de base et son processus de mise en service et d’essai du système d’essai (le nouveau système SCADA) avec tous les OCC, en portant une attention particulière aux exigences et aux mesures relatives aux alertes touchant les réservoirs. L’Office estime que cette mesure corrective redresse la situation relevée dans la quatrième constatation.

4.4.5 Mesures correctives pour la cinquième constatation

Constatation 5
Constatation 5 L’OCC de nuit a été incapable de reconnaître qu’il pouvait y avoir une fuite à partir des données sur l’évolution du volume dans le réservoir 121.
Cinquième mesure corrective

TMPU a pris les mesures correctives suivantes pour assurer, à l’avenir, un diagnostic exact et en temps opportun :

a) Communications officielles avec les OCC : Cet événement a fait l’objet de discussions avec les OCC dans le cadre d’une réunion sur la sécurité au centre de commande et d’une entrevue d’un groupe de discussions.

b) Révision de la procédure 2.2.3.5 sur les variations de niveau inattendues dans les réservoirs (Procedure 2.2.3.5: Unexpected Tank Level Deviation), afin d’y ajouter les mesures correctives suivantes, qui ont toutes été mises en oeuvre :

i. nouvelles exigences d’évaluation au moment de la recherche de la cause d’une variation;

ii. démarche pour veiller à ce que l’OCC utilise la bonne échelle du système SCADA pour déterminer l’ampleur de la variation;

iii. révision de la procédure pour inciter l’OCC à dépêcher plus rapidement un technicien de terrain sur les lieux d’un incident afin d’examiner ce type de situations.

La lecture et l’acceptation de la procédure 2.2.3.5 par les OCC ont pris fin le 30 septembre 2012. L’Office estime que ces mesures correctives redressent la situation relevée dans la cinquième constatation.

4.4.6 Mesures correctives pour la sixième constatation

Constatation 6
Constatation 6 L’OCC de nuit n’a pas respecté la procédure de TMPU en ne dépêchant pas sur les lieux un technicien pour vérifier le niveau dans le réservoir et établir la cause du déclenchement de l’alarme de fluage qui ne pouvait être considéré comme un fonctionnement normal. Le fait que l’OCC n’ait pas respecté la procédure de TMPU n’est pas conforme au paragraphe 4(2) du RPT-99.
Sixième mesure corrective

a) TMPU entreprend une étude des alarmes de fluage dans le but de connaître la fréquence des fausses alertes causées par un mouvement du toit. Le but est d’améliorer la détection des rejets des réservoirs. L’étude consistera à surveiller les instruments de mesure du réservoir sous diverses conditions, à mettre au point et à tester un automate programmable industriel à base d’un algorithme pour détecter les variations anormales du niveau de pétrole dans le réservoir (tout en filtrant les fausses alertes) et à préciser les directives à l’intention des OCC pour déclencher un examen sur le terrain quand une alarme de baisse inexpliquée de volume dans un réservoir survient. Cette étude et les modifications appropriées seront achevées avant la fin de 2012.

b) TMPU mettra à l’essai sur le puisard de l’une de ses enceintes de confinement secondaire au terminal Sumas un détecteur de gaz de pétrole pour voir si cet appareil permet d’améliorer le rendement de son équipement de détection actuel. La planification de cette installation est en cours, et l’appareil devrait être en service avant la fin de 2012.

L’Office estime que cette mesure corrective redresse la situation relevée dans la sixième constatation.

4.4.7 Mesures correctives pour la septième constatation

Constatation 7
Constatation 7 La valeur de seuil de l’alarme de fluage du système d’essai était incorrecte. L’OCC de nuit ignorait ce fait, ce qui peut expliquer en partie sa réaction inappropriée aux alertes.
Septième mesure corrective
  • TMPU a modifié les valeurs du seuil de l’alarme de fluage du système d’essai de tous ses réservoirs, pour les établir à une variation de volume de 10 m³. En outre, ces valeurs ne sont plus fixées manuellement par les OCC. L’Office estime que cette mesure corrective redresse la situation relevée dans la septième constatation.

Chapitre 5 - Conclusions

L’Office exige des sociétés assujetties à sa réglementation qu’elles élaborent et mettent en œuvre des systèmes de gestion qui énoncent les politiques, les processus et les procédés sur la planification et l’exécution des activités essentielles de l’organisation en matière de gestion de la sécurité des personnes et de la protection de l’environnement. L’enquête de l’Office a révélé que plusieurs facteurs ont contribué à l’incident. Le mécanisme de défaillance semble être une pression excessive causée par le gel de l’eau dans l’égout de toit. Le rejet de 90 m³de pétrole brut dans l’enceinte de confinement secondaire du réservoir 121 aurait peut-être pu être évité ou atténué si TMPU avait veillé à la mise en place de la procédure relative à la position normale de la vanne de vidange de l’égout de toit et si la fuite avait été détectée plus tôt. La fuite aurait pu être détectée plus tôt si les alarmes du système SCADA avaient été programmées correctement et si les actions appropriée avaient été prises lors des alertes.

L’ONÉ attend des compagnies qu’elles démontrent, dans leurs systèmes de gestion, un engagement à constamment améliorer la sûreté, la sécurité et la protection de l’environnement, ainsi qu’à promouvoir une culture de sécurité positive et la mise en place de systèmes solides. L’Office estime que les mesures correctives prises par TMPU sont suffisantes pour prévenir la répétition d’incidents semblables à l’avenir. L’Office effectuera des vérifications auprès de la compagnie pour s’assurer que TMPU a mis en place correctement toutes les mesures correctives indiquées dans le présent rapport.

Annexe I

Cartes

Carte 1 : Terminal Sumas - Vue de la région

Carte 1 : Terminal Sumas - Vue de la région

Carte 2 : Terminal Sumas - Vue du secteur

Carte 2 : Terminal Sumas - Vue du secteur

Carte 3 : Terminal Sumas - Réservoir 121

Carte 3 : Terminal Sumas - Réservoir 121

Annexe II

Évolution du niveau et du volume dans le réservoir 121

Évolution du niveau

Le graphique ci-dessous présente l’évolution du niveau de pétrole dans le réservoir 121 à partir d’un point antérieur au transfert de pétrole brut dans le réservoir, le 23 janvier 2012, jusqu’à un point postérieur à la découverte et à l’arrêt de la fuite par un technicien sur le terrain, le matin du 24 janvier 2012. Les heures indiquées dans ce graphique correspondent au fuseau horaire des Rocheuses et celles indiquées dans le rapport, à celui du Pacifique.

Évolution du niveau dans le réservoir 121

Évolution du niveau dans le réservoir 121 Évolution du volume d’après le système d’essai

Le graphique ci-dessous indique l’évolution du volume provenant du système d’essai consulté par l’OCC de nuit. Les heures indiquées dans ce graphique correspondent au fuseau horaire des Rocheuses et celles indiquées dans le rapport, à celui du Pacifique.

Évolution du volume dans le réservoir 121 d’après le système d’essai

Évolution du volume dans le réservoir 121 d’après le système d’essai Évolution du volume d’après le système existant

Le graphique ci-dessous indique l’évolution du volume provenant du système existant consultée par l’OCC de nuit. Les heures indiquées dans ce graphique correspondent au fuseau horaire des Rocheuses et celles indiquées dans le rapport, à celui du Pacifique.

Évolution du volume dans le réservoir 121 d’après le système existant

Évolution du volume dans le réservoir 121 d’après le système existant
Date de modification :