Antændelse af benzindampe har forårsaget omfattende overtryksskader flere steder i verden i de seneste år. Kunne måske være undgået, hvis man havde lært af tidligere ulykker.
Inden for de sidste ti år har der været tre voldsomme eksplosioner forårsaget af benzindampe. I 2005 skete det i Buncefield England, i 2009 i Jaipur Indien og i 2009 i Puerto Rico (USA). Alle tre ulykker medførte store ødelæggelser. Fælles for dem var, at store mængder benzin fordampede og dannede en benzinsky, der langsomt spredte sig over store områder og til sidst fandt en antændelseskilde. To af tilfældene skyldtes overfyldning af en tank.
Ulykken i Buncefield
Tidligt søndag morgen den 11. december 2005, kl. ca. 6.00, eksploderede en stor sky af benzindampe med uhørt kraft i Buncefield. Her håndterede et brændstofdepot 8% af Storbritanniens olieforsyning og 40% af brændstof til Heathrow-lufthavnen. I løbet af kort tid brændte en stor del af tanklageret som en fladebrand. Det er efter sigende en af de største brande siden anden verdenskrig. Det tog fire dage at få branden under kontrol og over 2.000 personer var involveret i rednings- og opfølgningsarbejdet.
Ødelæggelserne var omfattende. Over 20 store brændstoftanke blev ødelagt, og også uden for lageret var skaderne uhørt store. Buncefield var placeret i et industriområde med omkring 630 virksomheder og 16.500 ansatte, herunder mange store kontorkomplekser. Afstanden til de nærmeste virksomheder var omkring 200 m. 20 virksomheder med samlet 500 arbejdspladser blev totalskadede, og 60 virksomheder med samlet 3.500 ansatte var ubrugelige i flere måneder efter ulykken. Nogle få beboelseshuse ganske tæt på lageret blev ødelagt, og 300 andre huse fik mindre skader. Omkostningerne ved den efterfølgende oprydning er opgjort til 1 mia. engelske pund, og det var vel at mærke før kollapset af finansielle institutioner i England fik pundet til at devaluere. I runde tal er skaderne vel omkring 11 mia. kr. Det er formentlig kun de direkte omkostninger, der er opgjort.
Ved et helt usandsynligt lykketræf var der ingen omkomne, og der var kun 43 lettere tilskadekomne. Det tilskrives, at ulykken skete tidligt søndag morgen, hvor hele området bortset fra et par vagtfolk var mennesketomt.
“Unconfined vapour cloud explosion”
Det stod hurtigt klart, at der måtte være tale om en unconfined vapour cloud explosion – UVCE. Det er imidlertid usædvanligt, at antændelse af benzindampe i det fri kan give signifikante eksplosionsovertryk. Endnu mere usædvanligt var det, at skaderne på de omkringliggende bygninger indikerede, at der havde været tale om en detonation, og ikke bare en deflagration.
Benzin, et blandingsprodukt
I den risikoanalyse, der oprindeligt blev udarbejdet for Buncefield, blev det antaget, at udslip af benzin til det fri kunne give en pølbrand. Beregninger viste, at fordampningen fra en pøl kun kunne frigive dampe i relativt begrænset omfang. Derfor blev det vurderet, at faren, for at der blev dannet en større sky af dampe var meget, meget lille. Blev en egentlig sky alligevel dannet, vurderede man, at den ville brænde som en diffusionsflamme eller en premixet flamme.
Diffusionsflammer, deflagration, detonation
Diffusionsflammer er karakteriseret ved, at koncentrationen af brændbar gas ligger over den øvre antændelsesgrænse. Forbrændingen finder sted i grænselaget mellem brændbar gas og luft og er begrænset af tilførslen (ved diffusion) af ilt. Denne type flammer giver intet overtryk. I en premixet flamme er luft indblandet, så blandingen er antændelig. Flammen bevæger sig gennem gasblandingen med en hastighed på 10-100 m/s. Mekanismen for flammepropagering er termisk stråling, idet varmestråling fra forbrændingsfronten antænder gassen umiddelbart foran fronten. Denne type forbrænding kaldes en deflagration, og den giver relativt beskedne overtryk, der dog bliver mere markante ved de højere flammehastigheder.
Under særlige omstændigheder kan flammefronten i en premixet gasblanding accelerere, hvorved der dannes en chok- og trykbølge foran flammefronten. Trykbølgen komprimerer den uantændte gasblanding. Hvis trykbølgen bliver så kraftig, at kompressionsvarmen kan antænde gassen foran flammefronten, sker der en overgang fra deflagration til detonation. Detonationsfronten kan bevæge sig med 1.000 m/s eller mere og producere markante overtryk. Det skete i Buncefield, hvor en trykbølge havde knækket store træer, efterladt fladtrykte parkerede biler flade og revet facadesten af kontorbyggeri.
En transition fra deflagration til detonation er ikke helt ukendt i røranlæg. Det er også sket i det fri hvis gasskyen befinder sig i områder med meget udstyr, hvor den ikke kan ekspandere helt frit, og turbulent strømning omkring forhindringer forstærker flammeaccelerationsprocesser
Overfyldning af benzintank
De to store spørgsmål efter Buncefield var:
1) hvordan blev der dannet så stor en sky af benzindampe?
2) hvorfor udviklede deflagrationen sig til en detonation i et relativt åbent område, hvor skyen kunne ekspandere frit?
Det stod hurtigt klart, at kilden til benzindampene var overfyldning af en tank. Tanken blev fyldt fra et fjernt raffinaderi via en 14” pipeline. Niveaumåleren satte sig fast, uden at det blev bemærket i det fjerne kontrolrum. Sikkerhedssystemet, i form af en uafhængig niveaumåler, fungerede ikke. Selve Buncefield-lageret var ubemandet og pga. en høj transferrate på 550 m3/h, der kort før eksplosionen steg til omkring 890 m3/h, blev tanken overfyldt. En stor mængde benzin, anslået 300 tons, løb ud af åbninger i tankens tag over en periode på 40 minutter.
Benzinsky og detonation
Tanktaget var forsynet med ledeplader, der skulle lede og fordele slukningsvand jævnt ud over tankvæggen i tilfælde af brand. Men benzinmængden oversteg ledepladernes kapacitet, så en veritabel fontæne af benzinstråler og ‑dråber faldt ned i tankgården. Benzinen ramte også en forstærkningsring, der var påsvejst hele tankens perimeter. Det gav yderligere plaskeri og dråbedannelse. Disse forhold var ideele for effektiv fordampning af store mængder benzin.
Spørgsmålet, om hvorfor deflagrationen blev til en detonation, var vanskeligere at besvare. Modelberegninger sandsynliggjorde, at en allé med træer og buske skabte tilstrækkeligt med turbulens til, at flammeaccelerationsmekanismer kunne få fat.
Af andre interessante forhold kan nævnes: ødelæggelse af brandslukningsudstyr, ødelæggelse af tankgårde, af rørføring, den usædvanligt hurtige eskalering til en storbrand, problemer med dræning af slukningsvand, underbemanding, forøgede pumperater, indførelse af SCADA-systemer – hver for sig små og ubetydelige ændringer – der dog samlet akkumulerede til store ubemandede brændstoflagre forsynet med højttryks- og højkapacitetsrørledninger overvåget fra fjerne kontrolrum. Læg hertil at store kontorkomplekser med næsten 20.000 arbejdspladser langsomt voksede op omkring lageret.
Jaipur, Indien, 2009
Den generelle holdning var, at Buncefield var et særtilfælde, et helt usædvanligt sammentræf af uheldige omstændigheder. Men den 29. oktober 2009 skete der en endnu kraftigere eksplosion på Indian Oil Corporation’s (IOC) terminal nær, Jaipur, Indien.
Det anslås, at der på 75 minutter lækkede omkring 1.000 tons benzin fra en ventil i sugeledningen på en tank. Udslippet af benzin blev ledt op og faldt ned som en fontæne, under omstændigheder der giver stor fordampning. Benzindampene blev antændt. Den efterfølgende detonation var så kraftig, at en stor del af lageret blev ødelagt. Der var 12 dræbte og 150 tilskadekomne. Den efterfølgende storbrand konsumerede 60 mio. liter olieprodukter.
Puerto Rico, USA, 2009
Den 23. oktober 2009, kun seks dage før Jaipur-eksplosionen, blev tankterminalen hos Caribbean Petroleum Refining (CPR) i Puerto Rico (USA) ødelagt af en voldsom eksplosion. Den efterfølgende brand varede mere end fire døgn og ødelagde 21 af terminalens 30 tanke. Der var ingen tilskadekomne. Foreløbige oplysninger indikerer, at der ligesom i Buncefield har været tale om overfyldning af en benzintank. Pga. computernedbrud kunne tankens niveau tilsyneladende ikke aflæses i kontrolrummet. Tankens alarm for højt niveau var tilsyneladende koblet ud. De meget omfattende ødelæggelser tyder på, at der også her har været tale om en detonation af benzindampe.
Pas på – sikkerhedssystemer kan medføre ulykker
Ved Buncefield-ulykken svigtede den uafhængige sekundære niveaualarm. Havde den fungeret, ville operatøren i det fjerne kontrolrum formentlig have afbrudt overpumpningen og forhindret ulykken. Den svigtede, fordi den var blevet afbrudt i forbindelse med en periodisk funktionstest. Ved en fejl havde teknikeren ikke genindkoblet alarmen, efter at han havde sikret sig, at instrumentet fungerede perfekt.
Det er ikke første gang, at en forebyggende test introducerer en fejl, der ødelægger sikkerhedssystemet. Det har ikke kun teoretisk interesse, men meget vidtrækkende praktiske implikationer. Er der installeret flere ekstra sikkerhedssystemer, så kan en glemsom eller klodset tekniker, der udfører ”forebyggende vedligehold” eller ”periodiske test” ødelægge samtlige sikkerhedssystemer på en gang.
Det er også ironisk, at den meget voldsomme fordampning af benzin ved overfyldningen i Buncefield var forårsaget af ledeplader, der var installeret for at forbedre (!) sikkerheden i tilfælde af brand i en nabotank.
Ingen læring fra tidligere eksplosioner
Den overfyldte tank i Buncefield var ejet af Chevron og Total, men udelukkende drevet af Total. En højesteretsdom afgjorde at Total var erstatningsansvarlig for skaderne, idet de havde ansvar for testprocedurer.
Denne afgørelse gav anledning til følgende kommentar fra Trevor Kletz, en engelsk risikoanalytiker, der er internationalt kendt for sine ideer om, at vi må blive bedre til at lære af tidligere fejltagelser:
”Derved har højesteret valgt kun at betragte de umiddelbare tekniske årsager, der ledte til udslip og eksplosion og ikke de bagvedliggende årsager – et ganske almindeligt problem i industrien.
Den bagvedliggende årsag til Buncefield-katastrofen var at [ingen] havde kendskab til tidligere lignende eksplosioner i Newark (USA) i 1983; i Napoli (Italien) i 1995; St. Herbain (Frankrig) i 1991. De mente, at kold benzin i det fri ikke kan eksplodere. Ejerne hævdede, at en eksplosion af kold benzin i det fri aldrig tidligere havde fundet sted.
Hvis [man] havde udført en søgning efter skete ulykker på anlæg identiske med deres eget, så ville eksplosionen formentlig ikke have fundet sted. At undlade at udføre en sådan søgning var en pligtforsømmelse af samtlige involverede organisationer, og jeg mener, at de derfor burde dele omkostningerne for skaderne.”
Ser kun på umiddelbare tekniske årsager
Men det er så afgjort nemmere kun at forholde sig til de umiddelbare tekniske årsager. I Danmark så vi det efter fyrværkerikatastrofen i Seest 2004, hvor den officielle årsag, til at en hel bydel blev ødelagt, var, at ”en ansat tabte en kasse”. Det er objektivt korrekt, at der blev tabt en kasse, men også indlysende, at det ikke er en tilfredsstillende forklaring.
Skal der ske læring af ulykker, skal der gennemføres en ordentlig undersøgelse af både tekniske årsager og bagvedliggende årsagssammenhænge. De engelske myndigheder har med den fine udredning af Buncefield-ulykken ydet et stort bidrag til, at en sådan ulykke ikke gentages. Amerikanerne laver (ofte) fremragende udredninger. Norge kan også. Vi gør det ikke selv i Danmark. Efter Seest-katastrofen brugte alle parter tiden på at undersøge og frikende sig selv, og det kulminerede med en snæver advokatundersøgelse af, hvorvidt der kunne placeres et rent juridisk ansvar. Det var en farce.
Man forstår let Kletz’ frustration, idet han mange år tidligere havde peget på netop denne fare ved benzindampe. Men dengang talte han for døve øren, og data var svært tilgængelige. I praksis må vi se i øjnene, at der er endog meget store barrierer mod at lære af tidligere ulykker. Det er en hel del vanskeligere end bare at ”udføre en søgning efter skete ulykker på identiske anlæg”, som Kletz noget polemisk antyder. Vi kan og bør dog gøre det bedre.
——————————
Kilder
Buncefield investigation. Information about the Buncefield oil storage depot disaster 2005.
www.buncefieldinvestigation.gov.uk
Fabig (2011) Caribbean Petroleum Refining (CPR) Puerto Rico – Tank farm fire. Fabig accident fact sheet.
Johnson DM (2011) Characteristics of the Vapour Cloud Explosion Incident at the IOC Terminal in Jaipur, 29th October 2009. GL Noble Denton. Report Number: 11510. August 2011
HSE (2006) Safety Alert to operators of “COMAH” oil/fuel storage sites & others storing hazardous substances in large tanks. Health and Safety Executive (HSE), UK. 4 July 2006
Kletz T (1986) Can Cold Petrol Explode in the Open Air The Chemical Engineer, June 1986, p63
Kletz T (2009) Letter to the editor. Loss Prevention Bulletin (UK) 209:5
