Een knal op 20 km afstand te horen, torenhoge vlammen en brokstukken tot ver buiten het bedrijfsterrein. De explosie van een installatie van Shell Moerdijk in 2014 is de meest recente grote industriële calamiteit in Nederland, die volgens het bedrijf nooit had mogen plaatsvinden. Waarom ging het dan toch mis?

‘We hebben compleet gefaald’, erkent Paul Buijsingh, general manager van Shell Moerdijk in zijn speech op een in juni gehouden congres over veiligheid in de procesindustrie. Op 3 juni 2014 ontplofte bij Shell Moerdijk een installatie. Pikant detail: Buijsingh was toen net drie dagen in functie. Dat ‘complete falen’ bestaat er volgens hem vooral uit dat niet goed is nagegaan wat de gevolgen konden zijn van aanpassingen in het productieproces, en uit het niet goed op orde zijn van het veiligheidsmanagementsysteem van het bedrijf.

‘Heel herkenbaar’, zo noemt veiligheidshoogleraar prof.dr.ir. Hans Pasman, ook een van de keynotesprekers op het genoemde congres, desgevraagd de gebeurtenissen. ‘En heel menselijk allemaal. Maar ja, een veiligheidsmanagement systeem is er niet voor niets. Dus inderdaad, er is gefaald.’


Katalysator

De fabriek op het Shell-complex in Moerdijk produceert onder meer styreen, de basisstof voor polystyreen (piepschuim). De installatie waar het misging, verzorgt een van de stappen in de reactieketen: de voorbewerking van de grondstof voor het styreen.

Hiervoor was een katalysator nodig die moest worden opgewarmd tot 120 °C voordat die is te activeren bij circa 4 bar. Als opwarmvloeistof, en later koelvloeistof, werd ethylbenzeen gebruikt. Ethylbenzeen is brandbaar, maar gedraagt zich in een proces in de afwezigheid van zuurstof als een neutraal koel- of verwarmingsmiddel. Nu vond de explosie niet plaats bij reguliere productie, maar tijdens de voorbereidingen voor de opstart. Die was nodig omdat de reactor was voorzien van een nieuwe katalysator. Bij deze voorbereidende stap wordt de reactor eerst gevuld met ethylbenzeen. Vervolgens gaat de temperatuur in de reactor stapsgewijs omhoog tot het geheel stabiel is. Zo ver zou het die bewuste avond echter niet komen. Onverwacht liep de druk in de reactor op, eerst tot 8 bar, en vervolgens erg snel tot boven 90 bar, waarop hij ontplofte. Vervolgens barstte een buffervat met ethylbenzeen, dat de felle brand veroorzaakte.


Kwetsbare momenten

Wie thuis is in procesveiligheid, herkent in deze korte schets al direct de kwetsbare momenten. Het gebruik van een nieuwe katalysator: is er wel goed gekeken naar de mogelijke consequenties? En het opstarten van een installatie geldt per definitie als riskant, dus waren er voldoende voorzorgmaatregelen genomen? Het antwoord op beide vragen is ontkennend.

Om met de katalysator te beginnen: het ging niet om een andere stof, maar slechts om een ander type, waarvan Shell zich had overtuigd dat die beter zou werken. Daarvoor waren in het lab van Shell ook tests uitgevoerd. Wat Shell zich niet had gerealiseerd, was dat het nieuwe type, weliswaar binnen de specificaties, een andere samenstelling had dan het oude: het erin aanwezige bariumchromaat bevatte veel meer chroom VI, 5 % in plaats van 0,2 %. Dat is een fors verschil, en precies daar lag de hoofdoorzaak van de ramp. Shell ging ervan uit dat ethylbenzeen zich gedraagt als een niet-reagerende, inerte vloeistof, maar chroom VI blijkt al bij 90 °C, dus ver onder de operationele temperatuur, een reactie aan te gaan met ethylbenzeen, waarbij ook warmte vrijkomt. Buijsingh: ‘Achteraf zijn we met twee chemiehoogleraren om de tafel gaan zitten om de oorzaak van het falen te achterhalen. Binnen een uur wezen ze ons op die fatale reactie.’


De test schoot tekort

Maar die nieuwe katalysator was toch in het Shell-lab getest? Zeker, maar zonder het ethylbenzeen. Men was er zo van overtuigd dat die zich keurig als een niet-reagerende, inerte vloeistof zou gedragen, dat er alleen is gekeken naar de beoogde werking van de katalysator. De test gebeurde dus onder andere omstandigheden dan tijdens de productie.

Voor zo’n wisseling van een katalysator hanteert het veiligheidsidioom de term Management of Change. Zijn er veranderingen in het proces, onderzoek dan wat die kunnen betekenen voor het veiligheidsrisico. ‘Het gaat erom dat je een stapje terugzet’, zo legt Pasman uit. Kijk weer met een frisse blik naar je proces. Maar ook dan geldt dat iemand moet bedenken: wat is de nieuwe samenstelling van de katalysator? Hé, er zit meer chroom VI in, wat doet dat met het ethylbenzeen, wat betekent de combinatie van een sterke oxidator met een vloeistof die gemakkelijk oxideert? Punt is alleen dat niemand dit scenario bedacht, het was volkomen buiten beeld. Ethylbenzeen reageert niet, klaar! Pasman: ‘Dat is wat je vaak bij een ramp terugziet. Het scenario waarmee die zich voltrekt, is niet voorzien.’


Sproeiers

Terug naar die fatale avond in 2014. Want was er alleen de reactie van chroom VI met ethylbenzeen, en verliep alles verder volgens het boekje, dan was er mogelijk niets gebeurt, of dan hadden de operators opgemerkt dat de reactor moeite had om in een stabiele toestand te komen. Het is een bekende wijsheid: ongelukken komen vrijwel nooit alleen, maar vaak in gezelschap.

Als gezegd, de reactor wordt opgewarmd en gekoeld met ethylbenzeen, en dat gebeurt op een wat ingewikkelde manier, namelijk met een sproei-installatie – vandaar de naam trickle-bed reactor. Om ethylbenzeen via sproeiers te verdruppelen wordt onder druk stikstof ingevoerd. Die stikstoftoevoer deugde echter altijd al niet. Voor een goede werking had er 1700 kg stikstofgas per uur moeten stromen, zo berekende Shell achteraf. In het ontwerp stond dat 475 kg voldoende was. Uit de logboeken blijkt dat de toevoer tijdens de opstart hooguit 250 kg per uur bedroeg, en op een gegeven moment zelfs nul. Voor de operator was er geen signaal dat de stikstoftoevoer tekortschoot.


Hotspots

Er was dus onvoldoende sproeiwerking en daarmee een tekort aan koeling. Zo konden er in de reactor hotspots ontstaan waar ethylbenzeen wel reageerde met chroom VI, maar er niet voldoende werd gekoeld. Op die hotspots kon de temperatuur oplopen tot 180 °C. Het reactorvat heeft weliswaar een aantal thermokoppels, maar die registreren alleen hun lokale temperatuur en misten de hotspots.

Het vervelende van die hogere temperatuur is dat ethylbenzeen dan gaat reageren met het koperoxide dat volop in de katalysator aanwezig is. Ook bij die reactie komt warmte vrij, en de vloeistof wordt omgezet in gas, waardoor de druk sterk toeneemt. Het resultaat is een runaway-reactie, waar geen houden meer aan is. Nu hoeft drukopbouw ook nog niet fataal te zijn als er maar voldoende beschermingslagen zijn aangebracht, zoals hogedrukventielen. Maar bij het ontwerp was nooit het idee opgekomen dat de druk zo hoog zou kunnen oplopen, dus die ventielen waren er niet. Ook dat hogedrukscenario was niet voorzien.


Signalen niet herkend

Hotspots in de reactor, oplopende druk, waren er tijdens de opstart dan geen signalen die argwaan moesten wekken? Dat is een derde factor die de ramp zou veroorzaken: die signalen waren er wel, maar ze werden niet herkend, omdat er tijdens het opstarten altijd wel onregelmatige signalen zijn.

Het vullen van de reactor met ethylbenzeen, het rondpompen en het opwarmen, waarbij er ook nog eens twee reactoren in wisselwerking met elkaar staan, het is een proces waarbij nogal wat afstemming en precisie komt kijken. Daarom is bij het ontwerp van de fabriek besloten tijdens de opstart alle automatische regelingen uit te schakelen en de opstart volledig op handbediening te doen. Dat verschaft de operator de nodige flexibiliteit om de toestroom van ethylbenzeen en het opwarmen op elkaar af te stemmen. Dat hoeft geen probleem te zijn. Volgens het rapport dat de Onderzoeksraad voor Veiligheid over de Moerdijkramp uitbracht waren er die bewuste avond echter operators ingezet die voor het eerst een installatie zouden opstarten en er dus geen ervaring mee hadden.


Alarm niet gereset

Signalen die werden gemist, waren ongewoon drukverloop over de reactor, een sterk fluctuerende stroom ethylbenzeen, en een alarm van een controller. De dienstdoende operator verrichte nietsvermoedend handelingen die het proces zouden verergeren. Terwijl bij het ontwerp van de reactor een opwarmsnelheid van 30 °C per uur was aanbevolen, gaf de werkinstructie de operator de ruimte om dat met 50 °C per uur te doen en achteraf bleek dat zelfs met bijna 70 °C per uur te zijn gebeurd. Dat maakt de problemen door de gebrekkige koeling alleen maar erger.

Een alarm waarbij een controller automatisch de afgasleiding dichtzette, werd niet gereset, waardoor de druk in het systeem zozeer opliep dat de stikstoftoevoer naar nul zakte en de koeling vrijwel volledig verdween. Pasman: ‘Er waren dus operators aan het werk die een verkeerd idee hadden van hoe het proces verliep en daardoor de indicaties over het hoofd zagen.’ De werkinstructies schoten tekort en het ontbrak aan de aanwezigheid van ervaren operators, concludeerde de Onderzoeksraad.


Gaslek

Uiteraard is Shell zich rot geschrokken. Aan het toeval dat de ontploffing rond elf uur ’s avond gebeurde, bij het wisselen van de ploegendienst, is te danken dat er geen slachtoffers zijn gevallen. Maar het heeft wel anderhalf jaar geduurd voordat Shell de herbouwde installatie begin dit jaar weer in gebruik kon nemen.

Al met al reden voor Buijsingh om alle procedures en werkmethoden tegen het licht te houden, mede omdat er zich nadien nog andere, veel kleinere incidenten op het complex hebben voorgedaan, waaronder een langdurig onopgemerkt gaslek. Daarnaast is het ontwerp van de installatie aangepast en wordt voor het opwarmen voortaan alleen nog maar stikstof gebruikt.

Direct na een ramp staat iedereen op scherp als het gaat om de veiligheid. Zo is voor de complete opstart van de hernieuwde installatie weken de tijd genomen. Maar hoe die scherpte vast te houden? Buijsingh: ‘Door je elke dag opnieuw de vraag te stellen: wat kunnen we beter doen? Door te zorgen dat bij elke ochtendbespreking met de operators ook de mensen van veiligheid aanwezig zijn. En door iedereen te doordringen van het besef: als we niet verbeteren, dan zijn we hier bij Moerdijk over tien jaar weg.’ 

Herbouw van de installatie van Shell Moerdijk.