Andy Garcia · dev freelance
FRENES
Retour au blog
Ingénierie

Shell comptait sur 11 garde-fous contre l'explosion d'un four. Tous dépendaient d'une personne.

20 octobre 2026 7 min de lecture

Le 16 septembre 2026, le Conseil américain de la sécurité chimique (US Chemical Safety and Hazard Investigation Board, CSB) a publié son rapport final sur l'explosion du four 5 de Shell Polymers Monaca, un vapocraqueur d'éthane situé à environ 48 kilomètres (30 miles) au nord-ouest de Pittsburgh. Le 4 juin 2025, du gaz inflammable a reflué dans la chambre de combustion du four, a rencontré les flammes pilotes allumées et a explosé. Personne n'a été tué ni gravement blessé, selon le CSB. Quinze employés ont été évacués, Shell a estimé les dégâts à 95 millions de dollars, et le four a redémarré le 22 janvier 2026.

Le CSB a établi que la cause était « l'ouverture simultanée par inadvertance des deux vannes motorisées » qui isolaient le four. Le reste du rapport compte davantage. L'équipe d'enquête de Shell a elle-même listé 11 contrôles sur lesquels le site comptait pour empêcher ou atténuer cet événement. Le CSB a constaté que chacun d'eux reposait sur des personnes qui connaissaient une règle et la suivaient, et que les 11 ont échoué.

Je ne suis pas ingénieur procédés. J'ai lu ce rapport de 70 pages en tant que quelqu'un qui livre du logiciel, parce qu'au centre de l'histoire il y a un écran.

Pourquoi le gaz a reflué

Les fours de Monaca chauffent un mélange d'éthane et de vapeur à 1 545 °F, soit environ 840 °C, jusqu'à ce que les molécules se craquent en éthylène, hydrogène et sous-produits. Monaca compte sept fours en parallèle. Leurs gaz sont refroidis et réunis en un seul flux qui alimente une tour de trempe fonctionnant à environ 5 psig, soit 5 livres par pouce carré au-dessus de la pression atmosphérique (environ 0,34 bar).

Chaque sortie de four comporte deux vannes motorisées de 36 pouces en série : une vanne côté four, puis une vanne côté tour. La chambre de combustion d'un four qui ne produit pas est proche de la pression atmosphérique, donc sous la pression de ce flux réuni, et le gaz va de la haute pression vers la basse. Si on ouvre les deux vannes pendant que d'autres fours produisent, le flux réuni reflue dans le four à l'arrêt. Le 4 juin, quatre fours produisaient.

Une chambre de combustion n'est pas un appareil à pression. Le CSB donne aux parois du four 5 une limite structurelle de 0,01 psig, soit environ 69 pascals, la pression au fond de 7 millimètres d'eau. Elles pouvaient contenir du gaz qui s'accumule, pas une explosion. L'éthylène brûle dans l'air entre 2,7 % et 36 % en volume, et Shell avait laissé les pilotes allumés pendant la maintenance, contrairement à son propre plan d'isolement, pour garder le four chaud et éviter la condensation.

Six minutes

Le four 5 était doublement isolé depuis le 31 mai pour vider son piège à coke, pour la première fois depuis le démarrage de l'usine en novembre 2022. Les deux vannes étaient fermées et une purge ouverte entre elles. Le panneau local de terrain ne pouvait pas rouvrir la vanne côté tour. Seul un ingénieur de conduite de procédé le pouvait, en contournant le système instrumenté de sécurité (SIS) depuis un poste de travail d'ingénierie voisin de la salle de contrôle.

À la réunion du matin du 4 juin, cette tâche a été confiée à un ingénieur qui ne l'avait jamais faite. La fiche de travail écrite listait ses étapes dans le désordre, si bien que le SIS est resté en lecture seule jusqu'à ce qu'un collègue explique qu'il fallait le mode « debug ». Entrer dans ce mode a rafraîchi l'écran, qui est remonté tout en haut.

Les trois vannes du four 5 partageaient ce seul écran à défilement : la vanne côté four en haut, la vanne de décokage au milieu, la vanne côté tour en bas. Leurs blocs logiques étaient identifiés 511, 512 et 513. À 14:14:28, la commande d'ouverture est partie vers 511.

Une alarme s'est déclenchée : vanne dans un état inattendu. Son texte était identique à celui de l'alarme de la vanne côté tour, à l'exception du dernier chiffre. L'opérateur de la salle de contrôle savait que la vanne côté tour était en cours d'ouverture, a supposé que c'était elle, et a acquitté.

Environ deux minutes plus tard, l'ingénieur a vu que la vanne côté tour ne bougeait pas, a conclu (à tort, selon le CSB) que la vanne côté four était déjà ouverte, a retiré la commande et, à 14:17:50, a ouvert 513. Vers 14:20, un opérateur de la salle de contrôle a vu la vanne côté four ouverte et la vanne côté tour en train de s'ouvrir, alors à 78 %. La commande de fermeture est partie à 14:20:39. Le ventilateur de tirage induit de la cheminée, laissé en mode régulation de vitesse après une mise à jour du firmware, ne pouvait pas évacuer le gaz aussi vite qu'il arrivait. À 14:20:45 dans la chronologie du rapport, environ six minutes après la première commande, un volume estimé à 641 livres (environ 290 kg) de gaz craqué dans la chambre de combustion a atteint les pilotes.

Onze contrôles, et des verrouillages réglés pour d'autres modes

La liste de 11 de Shell ressemble à ce qu'écrit une équipe soigneuse. Une règle disant qu'une seule vanne doit être ouverte à la sortie du verrouillage. Une règle sur les sources d'ignition, alors que les pilotes brûlaient. Des réponses d'opérateur aux alarmes de pression de la chambre, de monoxyde de carbone et de méthane, toutes supprimées par conception en mode pilotes seuls ; l'alarme CO, note le rapport, aurait retenti environ 90 secondes avant l'ignition. La réponse à l'alarme de vanne, acquittée sur la mauvaise vanne. Un formulaire de contournement du SIS avec plan d'atténuation, que le personnel croyait inapplicable aux ingénieurs ; le CSB n'a trouvé aucune exemption de ce genre dans la politique. Une règle de zone d'exclusion, non déclenchée parce que la sortie de maintenance ne comptait pas comme un démarrage.

Rien de tout cela n'était une surprise. L'analyse des dangers de 2023 chez Shell avait identifié le reflux à travers ces vannes comme un scénario pouvant causer plusieurs morts. Elle s'appuyait sur deux contrôles administratifs, l'alarme méthane et une procédure de démarrage, et jugeait que des contrôles d'ingénierie seraient « grossièrement disproportionnés par rapport à la réduction de risque ». Le 4 juin, l'alarme était supprimée et cette procédure n'était pas utilisée.

Le contrôle d'ingénierie existait aussi. Le concédant de licence, Selas Linde, avait intégré deux verrouillages au panneau de terrain : un verrouillage à clés séquencé, et un verrouillage SIL 2 qui ferme la vanne côté four lorsqu'il détecte la basse pression d'un reflux. Mais une seule vanne de sortie est la pratique de l'industrie, et Shell en avait demandé deux. L'équipe de conception a supposé qu'une seule serait fermée à la fois, et la logique du panneau couvrait des modes de fonctionnement comme le décokage, pas le retrait d'une double isolation. Reprogrammer le panneau figurait sur une liste de projets d'amélioration ; d'autres étaient classés plus haut et financés. Entre-temps, la voie ingénieur plus contournement avait fonctionné 19 fois.

Depuis, Shell a rendu les trois vannes manoeuvrables depuis le panneau de terrain, ajouté une logique SIS qui garde la vanne côté tour fermée si la vanne côté four est ouverte par erreur, retiré la fiche de travail et écarté les ingénieurs de cette tâche. Le CSB a tout de même émis deux recommandations : une conception intrinsèquement plus sûre ou un contrôle d'ingénierie pour chaque scénario de l'analyse des dangers qui repose uniquement sur des contrôles administratifs et pourrait causer un décès, une blessure grave ou des dégâts importants ; et un contrôle d'ingénierie anti-reflux pour tous les modes de fonctionnement, fondé sur l'avis du concédant et sur des pratiques comme l'IEC 61511. À la publication du rapport, les deux figuraient comme ouvertes, en attente de la réponse de Shell.

Ce que j'en retiens

Ce sont des analogies : une application web n'explose pas, et rien de ce que je construis ne porte ce danger. Mais la forme de la défaillance est familière.

  1. Une procédure est un contrôle qui tourne sur une personne. Pour le scénario que tu sais catastrophique, mets le contrôle dans le système. Une ligne de runbook disant « ne jamais lancer ça contre la production » est une procédure ; du code qui refuse de le faire est un verrouillage. Avec Claude Code, un prompt qui demande à l'agent d'être prudent est une procédure ; une règle de permission qui refuse une commande se rapproche d'un verrouillage.
  2. Les protections conçues pour les modes normaux se taisent dans les modes rares. Le verrouillage couvrait le décokage, pas la sortie d'une double isolation, et les alarmes étaient mises en sourdine selon le mode. La maintenance, les restaurations et les scripts de dernier recours sont les endroits où les contrôles disparaissent. Liste ces chemins et teste-les.
  3. Nomme les choses pour la personne sous pression. La spécification IHM de Shell demandait des descriptions « aussi complètes que possible », en 40 caractères au maximum, et donnait « CRACKED GAS DRYER A » en exemple. « FURNACE-SIDE MOV » en compte 16. La norme ISA-101 citée par le CSB dit qu'une commande agissant directement sur le procédé ne devrait pas être possible « à partir d'une seule action de saisie par inadvertance ». Une confirmation qui répète la cible en toutes lettres coûte un clic.
  4. Dix-neuf passages sans incident ne font pas un dossier de sécurité. Les lignes directrices du CCPS citées par le CSB mettent en garde contre « ça ne s'est pas produit avant, donc ça ne se produira pas maintenant ».
  5. Quand le vrai correctif est dans le backlog, écris ce qui le remplace, et forme les gens dessus. Ici, c'étaient 11 contrôles sur lesquels, selon le CSB, le personnel n'avait pas été formé de façon adéquate.

Le rapport a des limites. Le CSB n'est pas un régulateur, et ses conclusions ne peuvent pas servir de preuve dans des procès en dommages. Il ne s'arrête pas à l'erreur de l'ingénieur : il cite James Reason sur les personnes à l'interface comme « les héritières des défauts du système ». Et il ne dit pas que les procédures sont inutiles, seulement qu'elles ne devraient pas être l'unique défense contre un événement potentiellement mortel.

Un détail m'est resté. Shell a déterminé que si l'opérateur de la salle de contrôle avait suivi la réponse approuvée à l'alarme de vanne, un opérateur de terrain aurait été envoyé vérifier la vanne côté four, peut-être vers l'explosion.

Une procédure dit aux gens ce qu'il ne faut pas faire. Un verrouillage fonctionne encore le jour où personne ne l'a lue.

Sources

Un projet du même genre ?

Je conçois et déploie des produits comme celui-ci. Parlons-en.

Discutons