Rapport d'enquête de pipeline P94H0018

Une fuite d'éthane et un incendie se sont produits au poteau milliaire 445 du terminal Regina Diversion (terminal Diversion) sur le réseau de la Cochin Pipe Lines Ltd. (Cochin), près de Regina (Saskatchewan) vers 1 h 56, heure normale du Centre (HNC), le 10 mai 1994. L'incendie a détruit les moyens de communication entre le terminal Diversion et le centre de contrôle de Fort Saskatchewan (Alberta). Vers 2 h 50 HNC, l'opérateur du centre de contrôle a été avisé par téléphone qu'il y avait un incendie sur le réseau; la conduite a aussitôt été fermée. On a laissé le feu s'éteindre de lui-même. Personne n'a été blessé.

Le Bureau a déterminé qu'un manque d'entretien préventif d'une pompe de densimètre a causé l'usure d'un palier et des dommages au corps de la pompe qui s'est par la suite rompu.

1.1 L'accident

Vers 1 h 56 HNC, le 10 mai 1994, des messages d'alarme ont commencé à apparaître sur la console du réseau de contrôle du système et d'acquisition des données (SCADA) du réseau de la Cochin Pipe Lines Ltd. (Cochin), au centre de contrôle d'Amoco Canada Petroleum Company Ltd. (Amoco), situé à Fort Saskatchewan (Alberta). Le réseau Cochin fait partie du groupe de commercialisation des liquides de gaz naturels et du pétrole brut d'Amoco et il transportait de l'éthane au moment de l'événement. Les messages indiquaient qu'il y avait un problème au poteau milliaire 445 du terminal Regina Diversion (terminal Diversion). Juste avant l'arrivée du premier message d'alarme, à 1 h 56 HNC, la pression, la densité et la température de la canalisation principale du terminal Diversion étaient normales. La pression et la température des embranchements de propane et d'éthane du terminal Diversion étaient aussi normales.

Vers 1 h 57 HNC, un employé de la Direction générale des services des vols de Transports Canada en poste à l'aéroport de Regina a remarqué une boule de feu au sud-ouest de l'aéroport. Au même moment, toutes les communications téléphoniques entre le centre de contrôle d'Amoco et le terminal Diversion ont été coupées.

Vers 2 h 5 HNC, l'opérateur du centre de contrôle (OCC) du réseau Cochin a accusé réception des alarmes sans prendre aucune mesure additionnelle, attribuant le déclenchement des alarmes à un problème d'automate programmable du terminal Diversion.

Vers 2 h 7 HNC, l'employé de Transports Canada a communiqué avec un organisme d'urgence centralisé de la région de Regina qui a alors contacté les services d'incendie locaux. Une fois sur place, les pompiers ont bloqué les routes donnant accès au lieu de l'incident et averti les centres de contrôle de la Petroleum Transmission Company (PTC) et de la TransCanada PipeLines Limited (TCPL) puisque ces compagnies comptaient toutes deux des installations dans le secteur.

Vers 2 h 35 HNC, le centre de contrôle de la PTC, qui se trouve à Empress (Alberta), a demandé à son opérateur du terminal Richardson de vérifier s'il y avait perte de pression sur le réseau. Bien qu'il n'y avait aucun problème apparent, on a décidé, à 2 h 36 HNC, de fermer le réseau de la PTC par mesure de précaution.

Vers 2 h 40 HNC, un employé de l'installation de stockage de la Procor à Regina, située à environ huit kilomètres (km) au nord du terminal Diversion, a remarqué l'incendie et prévenu le terminal Richardson de la PTC. À 2 h 50 HNC, l'opérateur du terminal Richardson a communiqué avec l'OCC d'Amoco à Fort Saskatchewan pour l'informer qu'il y avait un incendie dans le secteur du terminal Diversion.

À 2 h 50 HNC, l'OCC d'Amoco a vérifié si l'alarme du système de détection des fuites avait été activée et a découvert que le système avait identifié et enregistré une fuite à 2 h 25 HNC au terminal Diversion.

À 3 h HNC, l'OCC d'Amoco a envoyé un technicien sur les lieux de l'incident pour faire enquête. À 3 h 4 HNC, de son poste au centre de contrôle à Fort Saskatchewan, l'OCC a arrêté la station de pompage en amont à Findlater (Saskatchewan), au poteau milliaire 407, mais a laissé en service la pompe de la station Estlin (Saskatchewan), en aval de l'incendie, au poteau milliaire 468, pour réduire la pression à la hauteur de la fuite. La station s'est fermée à cause d'une baisse de pression vers 3 h 44 HNC.

Le technicien d'Amoco est arrivé au terminal Diversion vers 3 h 16 HNC. À ce moment-là, la route juste après le terminal Diversion avait été bloquée par la Gendarmerie royale du Canada (GRC) à son extrémité sud, où elle rejoint la route transcanadienne, et à son extrémité nord. À 3 h 20 HNC, le technicien d'Amoco a demandé l'aide d'autres employés d'Amoco pour fermer les vannes de sectionnement.

À 3 h 48 HNC, un employé d'Amoco a fermé à la main la vanne de sectionnement du poteau milliaire 454, qui se trouve immédiatement en aval du terminal Diversion. À 3 h 50 HNC, un autre employé d'Amoco a fermé à la main la vanne de sectionnement du poteau milliaire 439, qui se trouve immédiatement en amont du terminal Diversion. Ces vannes ne pouvaient pas être commandées à distance. À la suite de la fermeture de ces deux vannes, les lieux étaient effectivement isolés.

Vers 3 h 54 HNC, la pression dans l'embranchement de propane est tombée à 0 kilopascal (kPa) (0 livre au pouce carré (lb/po2)). Pendant ce temps, un employé d'Amoco à l'installation de stockage de la Procor s'activait à brûler le contenu de l'embranchement d'éthane pour réduire la pression dans la canalisation.

Vers 5 h 38 HNC, une section de la canalisation principale du terminal Diversion s'est rompue, permettant à une plus grande quantité d'éthane d'alimenter l'incendie d'éthane existant. La section de canalisation entre les vannes de sectionnement des poteaux milliaires 439 et 454 avait été isolée de la canalisation principale depuis plusieurs heures.

L'incendie à l'endroit de la rupture de la canalisation principale s'est éteint de lui-même vers 11 h 30 HNC, le 10 mai 1994. Un petit incendie a continué à brûler au niveau d'une vanne de sectionnement de l'embranchement de propane parce qu'il restait des vapeurs d'hydrocarbures dans la canalisation. Vers 17 h 10 HNC, le 11 mai 1994, à la suite d'une purge à l'azote de l'embranchement, l'incendie de la vanne de sectionnement de l'embranchement de propane s'est éteint de lui-même.

La section de la canalisation principale a été réparée et remise en service à 18 h 30 HNC, le 14 mai 1994.

L'embranchement d'éthane a été doté de brides pleines et il est maintenant isolé de la canalisation principale de façon permanente. L'embranchement de propane a été mis en service manuel le 15 juillet 1994.

À ce jour, il n'est pas encore possible de commander cet embranchement à distance.

1.2 Victimes

Personne n'a été blessé à la suite de cet événement.

1.3 Dommages au matériel et perte de produit

Les vannes à tournant sphérique Borsig de huit pouces de l'embranchement de propane, de l'embranchement d'éthane et de la boucle de dérivation du propane ont été détruites. La section de canalisation principale de trois mètres (m) (10 pieds) entre les embranchements de propane et d'éthane s'est rompue sur 74 centimètres (cm) (29 pouces). Le poste de commande et son contenu, à savoir l'automate programmable (matériel d'acquisition des données), le circuit d'alimentation sans coupure et le cabinet de commande principal, ont été détruits.

Environ 2 596 mètres cubes (m3) (16 433 barils) d'éthane en provenance de la canalisation principale ont été perdus, en plus de 453 m3 (2 854 barils) de propane de l'embranchement de propane, et de 467 m3 (2 955 barils) d'éthane de l'embranchement d'éthane.

Environ quatre hectares (10 acres) de terrain du côté ouest de la route nord-sud juste après le terminal Diversion ont été brûlés, de même que 16 hectares (40 acres) du côté est de cette route.

1.4 Exploitation du productoduc

1.4.1 Généralités

Le réseau Cochin se compose d'une canalisation pour produits liquides multiples de 323,9 millimètres (mm) (12 pouces) qui s'étend sur 3 100 km (1 938 milles) entre Fort Saskatchewan et Sarnia (Ontario). La canalisation transporte en discontinu de l'éthane, du propane et de l'éthylène.

Le réseau compte 31 stations de pompage, cinq terminaux de livraison pour le propane aux États- Unis, des réservoirs de stockage souterrains à deux endroits au Canada, des installations de raccordement avec divers réseaux de canalisations américains et plusieurs installations d'injection et de livraison. L'ensemble du réseau est surveillé et commandé à partir d'un centre de contrôle central situé à Fort Saskatchewan.

1.4.2 Le terminal Diversion

1.4.2.1 Généralités

Le terminal Diversion du poteau milliaire 445 est l'une des installations d'injection et de livraison du réseau Cochin. Il s'agit d'un terminal sans opérateur, commandé à distance à partir du centre de contrôle d'Amoco à Fort Saskatchewan. Le terminal Diversion permet de recevoir ou de livrer des lots discontinus d'éthane ou de propane des cavernes des installations de stockage de la Procor de Regina, situées à environ 8 km au nord de la canalisation principale du réseau Cochin. La canalisation principale du réseau Cochin est raccordée, à la hauteur du terminal Diversion, aux cavernes de stockage par deux embranchements parallèles : l'un pour l'éthane et l'autre pour le propane.

La température et la pression de service de la canalisation principale et des embranchements sont surveillées et contrôlées par le centre de contrôle de Fort Saskatchewan. La densité des produits est aussi transmise au centre de contrôle.

Les installations du terminal Diversion comprennent des conduites au-dessus du sol, un densimètre, deux vannes de sectionnement de canalisation principale, une vanne de sectionnement sur chacun des embranchements, et une vanne de sectionnement sur la boucle de dérivation du propane.

Au moment de l'événement, la canalisation principale transportait de l'éthane; le débit était d'environ 610 m3 à l'heure (3 861 barils à l'heure), et la pression de 8 140 kPa (1 181 lb/po2). Puisqu'on ne procédait à aucune injection ou livraison à ce moment-là au terminal Diversion, les vannes de sectionnement des deux embranchements étaient fermées.

L'embranchement d'éthane ne fonctionnait pas depuis environ trois ans. La pression dans l'embranchement s'élevait à 2 821 kPa (409 lb/po2). La dernière livraison à partir de l'embranchement de propane remontait au 28 avril 1994. La pression dans l'embranchement de propane était de 3 067 kPa (445 lb/po2).

Les deux embranchements avaient un diamètre extérieur de 273,1 mm (10 pouces) et la paroi avait 7,6 mm (0,298 pouce) d'épaisseur. Les deux conduites répondaient aux exigences de la norme CAN/CSA Z245.1 de l'Association canadienne de normalisation (CSA) en vigueur à ce moment-là pour la construction des conduites de nuance 52 et de catégorie III. Les embranchements ont été construits en 1980. La conduite au-dessus du sol était recouverte d'une couche de peinture tandis que la conduite souterraine était protégée par du ruban en polyéthylène.

Dans ce secteur, la canalisation principale avait été construite en 1977 et avait subi un essai hydrostatique pour la dernière fois à ce moment. Le diamètre extérieur de la conduite était de 323,9 mm (12 pouces) et la paroi avait 12,7 mm (0,500 pouce) d'épaisseur. Elle avait été construite pour répondre aux exigences de la norme CAN/CSA Z245.1 de la CSA en vigueur à ce moment-là pour la construction des conduites de nuance 52 et de catégorie III. Les joints longitudinaux avaient été faits au moyen du procédé de soudage par résistance électrique.

À chaque fois qu'un employé d'Amoco visite le terminal Diversion, il doit remplir un formulaire de vérification de sécurité qui couvre, entre autres, l'état de la clôture périphérique, de la signalisation, de la manche à air et des vannes. La dernière vérification de sécurité remontait au 9 mai 1994. Rien d'inhabituel n'avait été remarqué à ce moment-là.

1.4.2.2 La pompe du densimètre

La pompe du densimètre était une pompe à entraînement magnétique à commande directe fabriquée par la Kontro (modèle HCOL/HSP Kontro SEAL/LESS), classée pour une pression maximale de 10,3 mégapascals (MPa) (1 500 lb/po2). Sa puissance nominale était de 3/4 HP et son débit maximal de 33,3 litres à la minute (8,8 gallons à la minute), avec une hauteur de refoulement constante de 3 m (9,8 pieds). La pompe avait pour fonction de faire circuler une quantité suffisante de produit dans le densimètre.

La pompe avait été en service continu depuis son installation en 1979 et n'avait jamais été inspectée depuis pour ce qui est de son usure. Les consignes d'entretien du fabricant recommandaient d'inspecter la pompe après 800 à 1 200 heures de service. Amoco n'avait établi aucun programme d'entretien préventif en ce qui concerne cette pompe.

1.5 Analyses de laboratoire

La pompe du densimètre et plusieurs autres composants du terminal Diversion ont été envoyés au Centre de recherche d'Amoco, à Naperville, Illinois, aux États-Unis, pour être analysés. Un représentant du Laboratoire technique du BST a été consulté au cours des analyses (rapport technique LP 77/94).

1.5.1 La pompe du densimètre

La pompe du densimètre a été démontée et chaque composant inspecté. L'arbre était très usé à deux endroits qui correspondaient aux deux points de contact du palier, du côté bague de serrage et du côté rotor. À chaque endroit, il n'y avait de l'usure que sur un côté de l'arbre. L'usure du côté bague de serrage de l'arbre se trouvait à 180 degrés de l'usure du côté rotor. Environ 0,38 mm de métal était rongé de la surface de l'arbre qui entrait en contact avec le palier du côté bague de serrage. Cette usure était sur le côté de la bague de serrage qui entrait en contact avec le corps de la pompe. Environ 0,30 mm de métal était rongé de la surface de l'arbre qui entrait en contact avec le palier du côté rotor.

Une analyse de l'arbre a révélé qu'il était en acier inoxydable de type 316. Rien n'indique que la surface ait été soumise à un traitement de durcissement quelconque visant à en améliorer la résistance.

Les paliers étaient usés de façon uniforme sur tout leur diamètre. Lorsqu'on a mesuré le diamètre intérieur des paliers, on a découvert qu'au moins 1,59 mm de métal avait été usé du palier le plus près du côté bague de serrage et qu'au moins 0,86 mm de métal avait été usé du palier le plus près du côté rotor. Les tolérances du fabricant visant l'écart entre le corps et la bague de serrage étaient de 1,48 mm à 1,58 mm.

Les paliers étaient en matériau composite à base de graphite à matrice à lubrifiants solides incorporés. Le produit refoulé par la pompe faisait refroidir les paliers et purgeait tous les débris.

Le diamètre intérieur du corps de la pompe était usé et la surface était ridée par l'usure. Lorsqu'on a mesuré la paroi du corps de la pompe, on a découvert que près des deux-tiers de la paroi ont été usés avant que le corps ne soit l'objet d'une rupture ductile.

1.5.2 Canalisation principale

La section de canalisation principale qui se trouve entre les vannes de sectionnement s'est rompue en gueule de poisson sur 74 cm, à environ 10 cm de la soudure continue. La rupture était compatible avec une rupture ductile due à une surcharge. Les cavités qui ont été observées près de la rupture dans l'acier de la conduite sont typiques des ruptures ductiles à haute température. Les essais mécaniques et les analyses chimiques ont indiqué que la conduite répondait aux exigences de la norme CSA Z245.1 pour les conduites de nuance 386 (5L de l'API, nuance X56).

1.5.3 Vanne de sectionnement de l'embranchement de propane

Les brides de la vanne ne faisaient pas partie intégrante de la vanne; elles avaient été soudées sur le corps de la vanne à l'usine. On n'a décelé aucune défaillance dans les soudures liant les brides au corps de la vanne. Les rainures de la surface de montage du joint étaient en bon état, tant sur les brides de la vanne que sur les brides correspondantes sur l'embranchement de propane. Toutes les surfaces de contact étaient essentiellement plates. Il n'y avait aucune trace de rupture de joint.

1.5.4 Analyse des contraintes par éléments finis

Une analyse par éléments finis des contraintes subies par la conduite à proximité de la vanne de sectionnement de l'embranchement de propane a été effectuée pour déterminer si le mouvement du sol avait contribué à la rupture. L'étude a été réalisée à l'aide de supports simulant des mouvements relatifs du sol de 0 mm, 25,4 mm, 50,8 mm et 76,2 mm; une pression interne de 2 970 kPa a été appliquée. On en est venu à la conclusion que la charge requise pour causer une fuite au niveau de la bride était beaucoup plus grande que celle qu'il a fallu pour rompre la conduite adjacente.

1.5.5 Joints isolants

Puisque les joints isolants du terminal Diversion ont été détruits dans l'incendie, il a fallu examiner un joint isolant provenant d'ailleurs, qui avait été en service pendant aussi longtemps et qui avait été exposé au même environnement. Le joint en question a été prélevé sur l'embranchement de propane à environ 8 km du terminal Diversion. On a aussi analysé un joint isolant inutilisé du stock de rechange pour fins de comparaison. À la suite de l'examen visuel du joint usagé, on n'a observé aucun dommage ni aucune détérioration marquante lorsque comparé au joint provenant du stock. Des essais mécaniques et physiques du joint usagé ont indiqué que ses propriétés ne s'étaient pas détériorées après 13 ans de service.

1.6 Conditions météorologiques

À 1 h HNC, le 10 mai 1994, la température ambiante était de 12,8 degrés Celsius et le ciel était couvert. Entre 1 h HNC et 7 h HNC, les vents étaient généralement du sud-est et soufflaient entre 50 et 60 km/h (30 à 36 mi/h). À 7 h HNC, les vents ont légèrement diminué d'intensité et sont devenus du nord-ouest. À partir de 9 h HNC jusqu'au moment où l'incendie s'est éteint, vers 11 h 30 HNC, les vents du nord-ouest ont augmenté jusqu'à environ 44 à 60 km/h (26 à 36 mi/h).

1.7 Surveillance et contrôle du réseau

1.7.1 Réseau de contrôle du système et d'acquisition des données (SCADA)

Amoco a modernisé le système SCADA et le logiciel de détection des fuites du réseau Cochin en 1993. À cet effet, des postes de travail télécommandés (stations de pompage, points de livraison, points d'interconnexion) ont été installés à divers endroits du réseau Cochin. Ces postes de travail sont directement reliés aux divers dispositifs de terrain qui mesurent la pression, la température, le débit et la densité. Ces postes de travail télécommandés recueillent sans arrêt des données qui sont ensuite transmises en réseau à un serveur principal situé à Fort Saskatchewan. Des signaux analogiques sont transmis à toutes les 30 secondes ou à chaque fois que les données recueillies dépassent la série de valeurs préétablies (« signalisation des écarts »); des signaux discrets sont envoyés aussitôt qu'un changement se produit dans les conditions d'exploitation. Les données en provenance des sites canadiens sont transmises par lignes téléphoniques tandis que celles des sites américains sont transmises par satellite.

Du centre de contrôle, l'opérateur a accès à deux postes de commande du système SCADA, chacun comportant deux consoles, qui lui permettent de surveiller et de commander les opérations du réseau. Les données recueillies par le système SCADA peuvent être affichées dans différentes fenêtres sur l'écran, ce qui facilite la surveillance et le contrôle. L'une des consoles du système SCADA de chaque poste de commande affiche l'ensemble du réseau tandis que l'autre affiche des renseignements ponctuels choisis par l'opérateur pour fins de surveillance ou de commande.

Les alarmes qui indiquent les changements aux conditions d'exploitation du réseau sont produites par le système SCADA. Un niveau de priorité est assigné à chaque alarme en fonction de la cause du problème. Chaque fenêtre du système SCADA, à l'exception de la fenêtre de l'ensemble du réseau, affiche en permanence un champ intitulé « Dernières alarmes de priorité » (« Newest Priority Alarms ») qui affiche les cinq dernières alarmes aux priorités les plus élevées dont on n'a pas accusé réception. Elles sont affichées par ordre de niveau de priorité puis par ordre chronologique à l'intérieur d'un même niveau de priorité. Un code de couleur permet de départager les différents niveaux selon leur importance.

Lorsque le système SCADA détecte une anomalie qui justifie une alarme, il génère un signal sonore et visuel destiné à attirer l'attention de l'opérateur. Le superviseur du centre de contrôle a toutefois souligné que, jusqu'au.

10 mai 1994, le signal sonore avait été débranché à cause des nombreux changements dans les conditions d'exploitation qui auraient déclenché l'alarme continuellement, mais qui n'auraient pas représenté une situation grave.

Au nombre des particularités du nouveau système SCADA, on compte une fenêtre intitulée « Sommaire des événements » (« Event Summary ») qui affiche tous les événements qui se produisent sur le réseau Cochin, y compris les alarmes. On qualifie d'événement tout ce qui se produit sur le réseau, incluant tout ce qui tomberait dans la catégorie des alarmes ou qui fait partie des opérations normales du réseau, comme la mise en service d'une pompe ou l'ouverture d'une vanne. Il n'y a pas de code de couleur pour classer les événements. Les données se déplacent vers le haut à mesure qu'un nouvel événement se produit.

Même si l'opérateur accuse réception d'une alarme, cela ne veut pas dire que le problème a été corrigé. Une fois que l'on a accusé réception d'une alarme, les messages n'apparaissent plus dans la fenêtre des « Dernières alarmes de priorité ». Si les circonstances qui ont entraîné l'alarme ne sont pas corrigées, les messages continuent d'apparaître dans la fenêtre des événements de l'écran d'ensemble du réseau. L'opérateur peut appeler à tout moment la fenêtre qui donne le sommaire des alarmes ou celle qui donne le sommaire des événements pour afficher respectivement toutes les alarmes dans le réseau ou tous les événements dans le système.

1.7.2 Le système de modélisation du réseau

Le système de modélisation du réseau comprend trois modules pour détecter les fuites et assurer le suivi en discontinu : le module de modélisation du transport en temps réel, le module d'estimation de l'heure d'arrivée et le module de modélisation prédictive. Le système de modélisation du réseau fait une simulation mathématique à travers le réseau à partir des données qui lui sont transmises régulièrement par le système SCADA. Chaque module fournit à l'opérateur diverses informations qui lui permettent de surveiller l'exploitation du réseau Cochin. Les renseignements émanant des modules sont affichés dans une fenêtre sur l'écran de la console du poste de commande du système de modélisation du réseau. Le poste de commande du système de modélisation du réseau est installé juste à côté de celui du système SCADA.

Le module de détection des fuites du système de modélisation du réseau, le module de modélisation du transport en temps réel, est basé sur une simulation en temps réel de l'écoulement d'un fluide dans un réseau. Il calcule la pression, la température et le débit du produit à différents points du réseau à partir des données fournies par le système SCADA. Le module de modélisation du transport en temps réel signale une fuite lorsque certaines valeurs dépassent les paramètres limites préétablis. Lorsque le module de modélisation du transport en temps réel détecte une fuite, la section du réseau où la fuite s'est produite apparaît en rouge dans la fenêtre intitulée « Affichage du stock en canalisation » (« Linefill Display »). Plusieurs autres fenêtres d'affichage du système de modélisation du réseau permettent d'évaluer la situation.

L'une de ces fenêtres, intitulée « Bilan volumique par section » (« Volume Balance Section ») est l'un des outils les plus utiles pour détecter les fuites. L'écran des tendances du « Bilan volumique par section » permet d'illustrer au moyen d'un graphique les tendances du bilan volumique et du taux de conditionnement du produit dans le réseau. On entend par bilan volumique la différence entre le débit d'entrée et le débit de sortie d'une section de pipeline, telle que mesurée par les débitmètres. On entend par taux de conditionnement la vitesse à laquelle le débit d'un produit change dans une section de pipeline donnée, telle que calculée par modélisation. Le bilan volumique et le taux de conditionnement se rapportent aux mêmes quantités. Toutefois, le bilan volumique est calculé à partir du débit réel, mesuré dans la conduite, tandis que le taux de conditionnement est calculé par le système de modélisation du réseau à partir des données sur la pression, la température et la densité du produit. Lorsque tout se déroule normalement, le bilan volumique et le taux de conditionnement devraient être parallèles. Quand une fuite survient, la courbe du taux de conditionnement devrait se mettre à chuter tandis que celle du bilan volumique devrait commencer à monter, traduisant un bilan positif au niveau du débit. Vu qu'il s'agit d'un affichage de type graphique, toute tendance positive du bilan volumique devient aussitôt évidente.

Toutes les alarmes importantes générées par le système de modélisation du réseau, telles que les alarmes de fuites, sont acheminées par l'entremise du système SCADA et sont par conséquent affichées à la fois sur les consoles du système de modélisation du réseau et celles du système SCADA. Les alarmes de fuites sont celles qui ont le plus haut niveau de priorité.

La console du système de modélisation du réseau affiche en permanence une fenêtre réservée exclusivement aux alarmes dans laquelle peuvent s'afficher jusqu'à trois événements pour lesquels un accusé de réception n'a pas été enregistré. Ces alarmes sont affichées par ordre d'arrivée, la plus récente se trouvant dans le haut. Les données affichées dans cette fenêtre se déplacent vers le haut à mesure que d'autres événements surviennent. Bien que cette fenêtre n'affiche que trois alarmes à la fois, on peut revoir les messages précédents en faisant défiler les entrées. Cependant, le 10 mai 1994, la fonction de défilement vers le haut de cette fenêtre ne fonctionnait pas.

1.7.3 Mise en service

Le nouveau système SCADA a été mis en service de façon intégrale en décembre 1993.

Entre avril et décembre 1993, le système de modélisation du réseau a fonctionné conjointement au vieux système de détection des fuites, de façon à ce que l'on puisse faire les derniers réglages sur le nouveau système et pour que les opérateurs puissent se familiariser avec celui-ci. Au cours de janvier 1994, on a commencé à se servir du système de modélisation du réseau comme principal outil de surveillance des livraisons de produit et de détection des fuites, tout en gardant le vieux système de détection en service pour fins de comparaison et comme système d'appoint. De février à la mi-mars 1994, le vieux système était disponible comme système d'appoint mais personne n'en a eu besoin.

1.8 Formation

La formation des opérateurs sur le nouveau système SCADA et sur le système de modélisation du réseau s'est déroulée en décembre 1993. Chaque opérateur devait suivre huit heures de cours théoriques. Ils ont ensuite reçu de huit à dix heures de formation individuelle au cours de plusieurs quarts de travail en soirée. Cette formation comprenait l'interprétation des informations fournies par la modélisation, y compris les tendances et les autres graphiques relatifs à la détection des fuites.

Le manuel de l'opérateur du système de modélisation du réseau donne des références rapides sur la façon de démarrer, d'arrêter et de contrôler les modules. Il y en a un exemplaire en permanence au poste de commande du système de modélisation du réseau. Chaque module est aussi doté de son propre guide de l'utilisateur qui documente en détail la façon de l'utiliser.

2.1 Introduction

Les analyses de laboratoire de la canalisation principale rompue, des brides des vannes de sectionnement de l'embranchement et des joints, de même que les essais sur les contraintes subies en raison du mouvement du sol, ont éliminé tous ces éléments comme causes possibles du déversement initial d'éthane. La séquence des événements enregistrés par le système SCADA combinée aux résultats des analyses métallurgiques sur la pompe du densimètre portent à conclure que la fuite d'éthane a été causée par la rupture du corps de la pompe.

La chute de pression de service à l'intérieur de la conduite à la suite du déversement de produit a entraîné l'envoi d'un message de fuite et le déclenchement d'une alarme au centre de contrôle de Fort Saskatchewan. L'OCC n'a toutefois pas réagi immédiatement au déclenchement de l'alarme. Conséquemment, il y a eu un délai d'environ une heure avant que l'intervention d'urgence soit mise en oeuvre et que l'on isole le terminal Diversion de la canalisation principale.

La présente analyse portera sur la rupture et sur le dossier d'entretien de la pompe du densimètre, de même que sur le système SCADA et sur les réactions de l'OCC au fur et à mesure qu'il recevait des messages.

2.2 Examen des faits

2.2.1 Analyses de laboratoire

2.2.1.1 La pompe du densimètre

D'après la géométrie des dommages relevés sur l'arbre et sur la bague de serrage, on peut conclure que l'ensemble n'était pas équilibré. En conséquence, l'arbre s'est mis à appuyer de façon préférentielle contre l'un des côtés du palier, ce qui a entraîné des contraintes plus élevées que la normale et l'usure éventuelle de la surface de l'arbre et des composants connexes.

Même si l'arbre n'avait pas été traité par durcissement, la pompe est conçue de façon à ce qu'il n'y aurait quand même pas dû y avoir de contact direct entre l'arbre et les paliers.

Les spécifications de tolérance entre le corps de la pompe et la bague de serrage n'étant que de seulement 1,48 à 1,58 mm, le fait que le palier le plus près de la bague de serrage soit usé a permis à la bague d'entrer en contact avec le corps de la pompe. Ce contact est évident au degré d'usure du corps de la pompe et de la bague de serrage.

Au degré d'usure du corps de la pompe, on peut en conclure que cette situation a persisté jusqu'à ce que la paroi ne puisse plus résister à la pression interne.

Une fois le corps de la pompe fendu, l'extrémité de la pompe renfermant le moteur d'entraînement s'est détaché et de l'éthane s'est répandu dans l'atmosphère. Lorsque le moteur s'est détaché de la pompe, les fils électriques ont été arrachés et ont vraisemblablement causé un court-circuit, ce qui a fourni la source d'allumage.

Même si l'usure excessive du corps de la pompe a probablement entraîné une diminution du débit de sortie et une chute de pression au niveau de la pompe, ces paramètres n'étaient pas contrôlés.

2.2.1.2 Autres composants

Les analyses des autres composants du terminal Diversion ont indiqué qu'ils avaient été endommagés parce qu'ils ont été exposés au feu.

2.2.2 Entretien

Le manuel d'instruction du fabricant de la pompe de densimètre recommande qu'un programme d'entretien soit établi en fonction du taux d'usure des paliers. Le fabricant suggère que les paliers soient vérifiés à toutes les 800 à 1 200 heures de service pour en contrôler l'usure, et il donne la marche à suivre pour évaluer la fin de vie utile des paliers en fonction de l'usure observée. En une année de service, la pompe du terminal Diversion aurait dépassé d'au moins cinq fois les intervalles recommandés pour l'inspection des paliers. La pompe n'avait jamais été inspectée pour en déterminer l'usure au cours de ses 15 années de fonctionnement.

La seule façon de s'apercevoir que les paliers étaient usés aurait été de démonter la pompe lors d'une inspection ou d'un entretien. Puisque ni l'un ni l'autre n'a eu lieu au cours des 15 années de fonctionnement de la pompe, l'usure s'est aggravée jusqu'à ce que la pompe se rompe. L'inspection mensuelle qui se faisait au terminal Diversion ne comprenait pas le démontage des composants.

2.2.3 Surveillance et contrôle du réseau

Les messages d'alarme qui ont commencé à apparaître à 1 h 56 HNC indiquaient qu'il y avait un problème au terminal Diversion. Misant sur son expérience et sur les renseignements qui lui parvenaient d'en amont du réseau, l'opérateur en a conclu qu'il y avait un problème au niveau de l'automate programmable du terminal Diversion. Il a donc accusé réception des alarmes, mais contrairement aux consignes d'Amoco sur les problèmes d'automate, il n'a pas immédiatement envoyé quelqu'un pour faire enquête. La consigne exige en effet que s'il se produit un problème d'automate programmable durant ou juste avant une injection ou une livraison, on doit immédiatement faire enquête sur place.

Au cours de la demi-heure suivante, les messages et les alarmes n'ont pas cessé de défiler sur l'écran du système SCADA du poste de commande du réseau Cochin où l'opérateur les évaluait au fur et à mesure. Lorsque le premier message annonçant qu'il y avait une fuite au terminal Diversion est apparu sur l'écran, plusieurs autres signaux d'alarme sont apparus en même temps.

L'opérateur avait antérieurement conclu que les messages d'alarme en provenance du terminal Diversion étaient dus à des problèmes de matériel ou d'automate. Vu que le système de détection des fuites peut générer des fausses alarmes pour toutes sortes de raisons (mauvaises lectures d'instruments défectueux, problèmes de communication ou problèmes au niveau du système SCADA), il se peut que l'opérateur ait interprété le message de fuite comme étant une autre manifestation d'un problème de matériel.

Deux des mécanismes de défense qui auraient pu avertir l'opérateur de la gravité du problème ne fonctionnaient pas :

1. les messages dans la fenêtre des « alarmes dont on n'a pas accusé réception » (« Unacknowledged Alarms ») de la console du système de modélisation du réseau ne se déplaçaient pas vers le haut comme prévu; et
2. la fonction d'alarme sonore du système SCADA avait été désactivée à la suite d'une décision de la gestion pour que l'opérateur n'ait pas à subir l'irritation des nombreuses alarmes sonores qui auraient pu être générées par le système.

Une fois l'accusé de réception de l'alarme de fuite enregistré, un message relatif à cette même fuite a continué à être affiché dans la fenêtre des événements du poste de travail du système SCADA, dans l'ordre chronologique, avec tous les autres messages du système. Par contre, il n'y avait rien sur l'écran qui aurait pu créer un impact visuel permettant de différencier ce message des autres messages du système.

Par ailleurs, il se peut aussi que la fenêtre d'« affichage du stock en canalisation », qui aurait pu indiquer à l'opérateur l'emplacement de la fuite, n'ait pas été affichée sur la console du système de modélisation du réseau au moment de l'incident.

Jusqu'à ce qu'un incendie dans les environs du terminal Diversion soit signalé à 2 h 50 HNC, il semble qu'aucun des renseignements reçus jusque-là n'ait porté l'opérateur à réévaluer son jugement initial sur le problème d'automate au terminal Diversion. C'est à ce moment-là que l'opérateur a consulté l'écran du module de modélisation du transport en temps réel, qu'il s'est rendu compte que les données confirmaient qu'il y avait bien fuite, et qu'il est intervenu conformément aux directives d'urgence d'Amoco.

2.2.4 Manuel de l'opérateur du réseau

Le manuel de l'opérateur du réseau Cochin contient les grandes lignes de la marche à suivre pour déterminer si le signal reçu est une fausse alarme. On recommande entre autres de vérifier l'écran des tendances du « Bilan volumique par section » pour voir si les tendances du bilan volumique et du taux de conditionnement suivent un cours parallèle. Lorsqu'une fuite se produit, la courbe du taux de conditionnement commence habituellement à descendre tandis que celle du bilan volumique se met à monter en raison de la chute de pression dans le réseau. Bien que l'opérateur avait reçu la formation sur la façon de consulter l'écran des tendances du « Bilan volumique par section » pour confirmer s'il y avait fuite, 30 minutes se sont écoulées, après la première alerte, avant qu'il ne le fasse.

Le manuel recommande aussi de vérifier la constance du débit, de même que la température enregistrée par les capteurs autour de l'endroit de la fuite potentielle lorsqu'une alarme de fuite se déclenche. Toutefois, aucun de ces paramètres ne pouvait être vérifié puisque l'incendie avait détruit tous les moyens de communication du terminal Diversion à l'endroit de la fuite.

3.1 Faits établis quant aux causes et aux facteurs contributifs

1. a pompe du densimètre s'est rompue parce que le corps de la pompe était usé au point de ne plus pouvoir résister à la pression interne et qu'il s'est rompu. L'extrémité de la pompe et le moteur d'entraînement se sont détachés du corps de la pompe, il y a eu déversement d'éthane dans l'atmosphère et l'éthane a pris feu.
2. Les paliers et l'arbre de la pompe du densimètre étaient usés au point que la bague de serrage pouvait entrer en contact avec le corps de la pompe, entraînant l'usure de ce dernier.
3. Le corps de la pompe s'est usé jusqu'à ce qu'il ne puisse plus résister à la pression interne et cède.
4. Rien ne porte à croire que la pompe du densimètre ait fait l'objet de quelque entretien que ce soit au cours de ses 15 années de service.
5. Quand les messages d'alarme signalant qu'il y avait un problème au terminal Diversion ont commencé à apparaître sur la console de l'opérateur du centre de contrôle (OCC) de Fort Saskatchewan, ils ont été interprétés comme étant des problèmes d'automate programmable et on y a accusé réception mais n'y a pas donné suite.
6. Des alarmes de fuite sont apparues sur la console de l'OCC de Fort Saskatchewan et on y a accusé réception sans y donner suite pour une raison inconnue jusqu'à ce qu'un message verbal d'incendie soit reçu.
7. L'OCC avait antérieurement interprété les messages d'alarme comme étant des problèmes d'automate et il se peut qu'il ait interprété les nouveaux messages comme d'autres manifestations du même problème.
8. Deux particularités du réseau de contrôle du système et d'acquisition des données (SCADA) qui auraient pu avertir l'opérateur de la gravité du problème ne fonctionnaient pas : la fenêtre d'affichage des alarmes sur la console du système de modélisation du réseau ne se déplaçait pas vers le haut à mesure que des nouvelles alarmes étaient transmises et l'alarme sonore du système SCADA avait été désactivée.

3.2 Cause

Un manque d'entretien préventif d'une pompe de densimètre a causé l'usure d'un palier et des dommages au corps de la pompe qui s'est par la suite rompu.

4.1 Mesures prises

4.1.1 Pompe du densimètre

Puisque deux autres pompes de densimètre semblables étaient en service dans la partie canadienne du réseau de la Cochin Pipe Lines Ltd., l'Amoco Canada Petroleum Company Ltd. (Amoco) a retiré ces deux pompes du service le 7 juillet 1994 pour les inspecter et les réparer ou les remplacer.

Amoco est aussi en train d'évaluer le système de densimétrie pour voir s'il n'y aurait pas lieu de faire des modifications.

4.1.2 Exploitation du centre de contrôle

4.1.2.1 Alarmes

Pour s'assurer que les alarmes sonores demeurent en service, on a limité le nombre d'alarmes qui produiront un signal sonore dans le centre de contrôle à celles qui portent sur les cas les plus graves.

On a ajouté un signal sonore à toutes les alarmes de fuite générées par le système de modélisation du réseau. Cette alarme est distincte de l'alarme générée par le réseau de contrôle du système et d'acquisition des données (SCADA).

4.1.2.2 Le système de modélisation du réseau

Amoco a modifié la configuration du logiciel du poste de travail du système de modélisation du réseau de façon à ce que les alarmes les plus récentes défilent dans la fenêtre des « alarmes actives dont on n'a pas accusé réception ».

Un deuxième poste de travail et moniteur ont été ajoutés de façon à ce qu'un moniteur affiche les écrans détaillés du système de modélisation du réseau tandis qu'un deuxième moniteur affiche les écrans de l'ensemble du réseau.

On a ajouté un nouvel écran du « Bilan volumique par section » pour l'ensemble du réseau. Cet écran affiche les renseignements sous un différent format et donne à l'opérateur des renseignements sur les emplacements des événements sur le réseau.

4.1.2.3 Vitesse de la mise à jour des données sur l'écran

La mise à jour des données sur l'écran des emplacements se fait maintenant plus rapidement.

Amoco travaille encore à améliorer le temps passé à la mise à jour des écrans tabulaires.

Le présent rapport met fin à l'enquête du Bureau de la sécurité des transports sur cet accident. La publication de ce rapport a été autorisée le 19 mai 1995 par le Bureau, qui est composé du Président, John W. Stants, et des membres Zita Brunet et Hugh MacNeil.