Un réservoir qu’il n’y a plus à sauver : quatre couches de protection au lieu de réparations sans fin

Un parc de réservoirs est l’actif le plus coûteux et le plus vulnérable d’un dépôt pétrolier ou d’un terminal. C’est aussi le plus sous-estimé du point de vue de la sécurité industrielle. On pense aux réservoirs deux fois : quand on planifie le budget de peinture et quand quelque chose a brûlé sur le site voisin. Entre ces deux moments, le parc vit sa propre vie : il rouille de l’intérieur, respire des vapeurs vers l’extérieur, accumule de l’eau sur le toit flottant et de la charge statique sur les piquages.

Dans cet article, je veux examiner non pas « comment éteindre un réservoir », mais comment faire pour qu’il cesse d’être une source de dépenses permanentes et de risque permanent. Ces dernières années, des technologies sont apparues sur le marché qui changent la logique même de l’exploitation : ne pas lutter contre les conséquences de la conception, mais supprimer la cause. Nous en avons étudié une partie pour notre propre parc, nous en avons vu une autre chez des confrères. J’expose ici ce qui me paraît important pour un responsable sécurité industrielle et santé au travail, et non pour un concepteur.

Trois adversaires que nous combattons chaque année

Un réservoir en acier à toit flottant externe a trois adversaires chroniques, et tous les trois sont inscrits dans sa conception.

L’atmosphère. La neige, la pluie et l’ultraviolet agissent directement sur le toit flottant. Le toit doit bouger, et il porte de l’eau et de la glace. Les joints et les housses des mâts de guidage se dégradent au soleil en quelques saisons.

La corrosion interne et les pertes. Au-dessus du produit se trouve toujours un mélange gaz-air. Il s’échappe dans l’atmosphère lors des « grandes et petites respirations », condense l’humidité sur le métal, crée une atmosphère explosive et alimente les dépôts pyrophoriques.

L’électricité statique et la foudre. Lors du chargement, le produit accumule une charge. Un parc à ciel ouvert est une cible naturelle pour la foudre. Ces deux facteurs sont invisibles à l’œil et ne se manifestent pas avant qu’il ne soit trop tard.

Contre chacun d’eux nous avons une réponse opérationnelle : peinture, nettoyage, réparation des joints, mesures de résistance, inspections réglementaires. Tout cela est de l’OPEX qui ne finit jamais, parce que la cause reste en place.

Anatomie des défaillances du toit flottant

Lorsque nous avons dépouillé les listes de défauts de plusieurs réservoirs à toit flottant externe, quatre points revenaient d’une fois à l’autre.

Fig. 1. Quatre points de défaillance typiques d’un toit flottant externe : l’échelle roulante, les joints d’étanchéité, les tuyaux flexibles d’évacuation d’eau, les housses des mâts de guidage

Le blocage de l’échelle roulante empêche le toit de bouger. Ensuite, c’est soit un débordement, soit un ponton de travers. La déformation des joints d’étanchéité est la principale zone de sortie des vapeurs et donc la principale zone d’inflammation en cas de coup de foudre. L’obstruction des tuyaux flexibles d’évacuation lors de précipitations prolongées signifie un toit inondé. La destruction des housses des mâts de guidage sous l’ultraviolet est un détail qui ouvre la voie à l’eau et aux vapeurs.

Aucun de ces points n’est un défaut de montage ou d’exploitation. C’est la conséquence du fait qu’une seule structure tente de faire deux travaux incompatibles : protéger des intempéries et retenir les vapeurs. Tant que ces fonctions ne sont pas séparées, la liste de défauts se répétera.

Séparer les fonctions : coupole au-dessus, ponton à l’intérieur

La solution que je considère comme fondamentale est simple à énoncer : on confie la météo à un élément, les vapeurs à un autre.

Fig. 2. La coupole géodésique en aluminium encaisse les précipitations, l’ultraviolet et le vent. Le ponton interne isole la surface du produit

La coupole géodésique en aluminium est une structure légère et autoportante, assemblée par boulonnage, sans soudure et sans grues lourdes. L’aluminium ne se corrode pas dans nos conditions et ne demande pas de peinture. La coupole bloque les précipitations, l’ultraviolet et la charge de vent. Le ponton interne sous la coupole travaille au sec : il n’a besoin ni d’évacuations d’eau, ni de housses, ni de protection contre la neige. Il fait exactement une chose — il couvre la surface du produit et réduit radicalement l’évaporation.

Ce que cela donne en chiffres et sur le plan de l’organisation se résume commodément dans un tableau.

Selon les estimations des fournisseurs, la séparation des fonctions supprime environ 90 % des causes de défaillance énumérées sur la fig. 1. Je considérerais ce chiffre comme un repère plutôt que comme une garantie, mais le principe est juste : ce qui n’existe pas dans la conception ne peut pas casser.

Je souligne à part la ligne sur les travaux par point chaud. Pour un parc en exploitation, c’est souvent l’argument décisif. Un montage sans soudure signifie qu’il n’est pas nécessaire de mettre à l’arrêt et de dégazer les réservoirs voisins. Pour un terminal à flux continu, c’est la différence entre un projet d’un mois et un projet d’une saison.

Si le réservoir est déjà vieux : une membrane plutôt qu’une grande réparation

Tous les réservoirs ne vivent pas jusqu’à la modernisation du toit. Situation typique : l’expertise de sécurité industrielle a rendu un avis négatif sur le fond ou sur les viroles inférieures, les travaux par point chaud sont interdits sur le site, et le réservoir doit être en service dans quelques jours. La réponse classique, c’est une mise hors service de plusieurs mois, de la soudure, de la peinture et une nouvelle expertise.

Fig. 3. Quelle solution choisir pour un réservoir donné : trois branches selon l’état de la robe et la fenêtre de travaux disponible

L’alternative apparue dans le secteur, c’est la membrane polymère. Il s’agit d’une enveloppe étanche en PVC ou en polyuréthane thermoplastique, fabriquée sur mesure à la forme d’un réservoir donné, de 1 à 5 000 mètres cubes. Elle est introduite à l’intérieur et assume toute la fonction d’étanchéité. L’ancienne robe en acier devient une structure porteuse et non plus une capacité. Le montage prend à partir de trois jours, sans soudure. La durée de vie annoncée est de vingt ans et plus.

Deux choses comptent pour nous. La première est juridique. D’après l’expérience des fournisseurs, un réservoir équipé d’une membrane passe l’expertise de sécurité industrielle avec un avis positif sans nouveau dossier d’autorisations. Cela doit être vérifié pour son propre site avec un organisme agréé à l’avance, et non après le montage. La seconde est physique, et elle me paraît plus intéressante.

Fig. 4. À gauche : le mélange gaz-air au-dessus du produit, les pertes par « respiration » et la condensation de l’humidité. À droite : la membrane souple épouse le produit, il n’y a plus d’espace gazeux

La membrane souple épouse la surface du produit et descend avec le niveau. Il n’y a plus d’espace gazeux. Le produit est de fait emballé sous vide. Trois conséquences en découlent aussitôt : il n’y a pas de phase gaz-air, donc pas d’atmosphère explosive à l’intérieur ; il n’y a pas de condensation, donc pas d’eau de fond ; il n’y a pas de « respiration », donc pas de pertes ni d’émissions. Pour un service sécurité industrielle, cela veut dire qu’une classe entière de scénarios du plan d’urgence disparaît tout simplement du réservoir.

Le toit fixe : pourquoi il vieillit plus vite que la robe

Il y a encore un acteur auquel on pense moins souvent qu’au toit flottant et au fond. C’est le toit fixe et ses éléments porteurs. Ils supportent la charge maximale et, en été, chauffent au soleil jusqu’à 60 °C.

Fig. 5. La vitesse d’oxydation du métal et de formation des dépôts pyrophoriques croît exponentiellement avec la température. Une couche d’isolation maintient le métal du toit près de la température du produit

La chimie est simple ici. La vitesse d’oxydation et de formation des dépôts pyrophoriques dépend de la température de façon exponentielle : chaque dizaine de degrés la double environ. Le métal du toit à 60 °C vieillit un ordre de grandeur plus vite que la robe à 20 °C. Une peinture ordinaire n’arrête pas ce flux de chaleur : elle protège de l’humidité, mais pas de la température.

La solution qui me paraît juste, c’est la protection composite du toit.

Fig. 6. Le bouclier composite du toit : acier, couche de mousse polyuréthane de 50 mm, membrane polyuréthane à l’oxyde de fer micacé

Sur l’acier on applique une couche de mousse polyuréthane rigide de 50 mm d’épaisseur, et par-dessus une membrane polyuréthane additionnée d’oxyde de fer micacé. En isolation thermique, la couche de mousse remplace 100 mm de laine minérale et, grâce à sa rigidité, augmente la capacité portante du toit d’environ la moitié. La membrane forme un film dense et résistant à l’usure, insoluble dans le pétrole, et s’applique dans une large plage de conditions : de moins 5 à plus 50 °C, avec une humidité jusqu’à 98 %. Cela signifie que les travaux ne sont pas liés à une courte fenêtre estivale.

Un détail technique auquel il vaut la peine de faire attention lors du choix de l’entreprise : la densité de la mousse. À une densité de base de 50-60 kg/m³, la mousse polyuréthane absorbe les produits pétroliers. Pour bloquer complètement la pénétration, il faut soit une couche supérieure d’une densité supérieure à 80 kg/m³, soit un émail de protection par-dessus. Si ce point ne figure pas dans l’offre commerciale, posez la question vous-même. Un bonus pour les sites nordiques : quand la température baisse, le gaz des cellules fermées se contracte et l’isolation ne fait que s’améliorer.

La menace invisible : la statique et la foudre

Tout ce dont il a été question plus haut concerne les matériaux. La mise à la terre relève de la procédure, et il y a ici deux points que je porterais au niveau du responsable de service.

Fig. 7. Deux niveaux de protection : la protection du parc contre la foudre et l’écoulement de l’électricité statique. Les exigences sont fixées par le Guide de sécurité des dépôts pétroliers

Le premier point est un glissement normatif. Beaucoup de procédures d’inspection sur les sites renvoient encore à la RD 153-39.4-078-01. Les exigences en vigueur sont fixées par le Guide de sécurité des dépôts pétroliers et des entrepôts de produits pétroliers. Si votre procédure renvoie à la RD, elle est périmée, et lors d’un contrôle ce sera la première remarque. Du Guide découle un mandat d’inspection précis : les prises de terre doivent être remplacées lorsque la corrosion dépasse 25 % de la section, et l’examen des descentes et des prises de terre a lieu au moins une fois tous les cinq ans. La pratique montre qu’une prise de terre enfouie vit sa propre vie : en surface tout va bien, sous terre la section n’existe déjà plus.

Le second point, ce sont des niveaux différents pour des menaces différentes. La protection contre la foudre, c’est le macro-niveau. Pour les parcs à partir de 100 000 mètres cubes, il faut des paratonnerres isolés et non des capteurs sur le réservoir lui-même. La résistance des liaisons soudées des descentes ne doit pas dépasser 0,05 ohm. La statique, c’est le micro-niveau. Un réseau de terre unique du site avec une résistance d’écoulement de la statique inférieure à 10 ohms, la mise à la terre des camions-citernes et des wagons avant le début de l’opération, la limitation de la vitesse de chargement tant que le piquage n’est pas sous la couche de produit.

Un détail critique pour ceux qui travaillent avec du kérosène aviation : lors du chargement, les bras articulés en aluminium sont obligatoires. Une articulation en acier peut produire une étincelle dans le joint, une articulation en aluminium non. C’est un détail qui ne coûte presque rien et qui ferme l’un des scénarios les plus désagréables.

Comment cela forme un système

Chacune des technologies citées fonctionne par elle-même. Mais l’effet réel apparaît lorsqu’elles se couvrent mutuellement.

Fig. 8. Le réservoir intégré : coupole, toit composite, ponton interne ou membrane, mise à la terre à deux niveaux

La logique de la chaîne est la suivante. La coupole protège le revêtement du toit des précipitations et de l’ultraviolet, et ce revêtement dure plus longtemps. Le revêtement maintient la température du métal et renforce la capacité portante. Le ponton ou la membrane supprime l’espace gazeux, et la foudre n’a plus rien à enflammer. La mise à la terre assure l’ensemble du système au cas où l’un des maillons précédents n’aurait pas fonctionné. Aucun élément ne remplace un autre, mais chacun allège la charge du suivant.

Pour un service sécurité industrielle et santé au travail, cela change le contenu du travail. Au lieu du cycle annuel « peint, nettoyé, joint remplacé, résistance mesurée » apparaît le cycle « inspecté, consigné, planifié ». C’est une autre charge pour le personnel et une autre structure des risques dans le plan d’urgence.

Économie : investissement unique contre dépenses sans fin

La première question qu’on posera : combien cela coûte et à quoi bon, si le réservoir fonctionne déjà. Je réponds par la structure des coûts et non par des montants précis, parce que les montants sont propres à chaque parc.

Fig. 9. Un réservoir traditionnel exige des dépenses d’exploitation croissantes pendant toute sa durée de vie. Un réservoir modernisé exige un investissement unique et des inspections planifiées

Pour un réservoir traditionnel à toit flottant, les dépenses d’exploitation augmentent à mesure que l’acier vieillit : peinture plus fréquente, réparations de joints plus fréquentes, plus d’arrêts, et pendant tout ce temps le produit s’évapore. Pour un réservoir modernisé, les dépenses sont concentrées au début, ensuite viennent les inspections planifiées. Le point où les coûts cumulés s’égalisent dépend du climat, du produit et de l’état du parc, mais il existe toujours, et au-delà chaque année travaille pour la modernisation.

Trois chiffres à utiliser dans une discussion avec la direction financière. La durée de vie garantie d’un réservoir modernisé avec protection composite est de 25 ans et plus. Le volume de soudure lors du montage des coupoles et des membranes est nul, les installations voisines ne s’arrêtent pas. Les rejets de mélange gaz-air et les pertes par respiration sont proches de zéro. Le premier chiffre concerne le CAPEX, le deuxième le chiffre d’affaires perdu du terminal, le troisième les redevances environnementales et le fait que chaque mètre cube de produit évaporé a lui aussi été payé par quelqu’un.

Je conseille de ne pas commencer par le paquet complet. Prenez un réservoir dont la liste de défauts est la plus longue, calculez son OPEX annuel sur trois ans et comparez-le à une offre pour une coupole et un ponton. Cela suffit d’ordinaire pour que la discussion budgétaire passe du « pourquoi » au « dans quel ordre ».

Vérifiez-vous

• À quel document renvoie votre procédure d’inspection des dispositifs de mise à la terre : au Guide de sécurité des dépôts pétroliers, aux règles fédérales de sécurité ou à la RD 153-39.4-078-01 ?
• Quand a-t-on dégagé pour la dernière fois une prise de terre dans le sol, au lieu de mesurer simplement la résistance depuis la surface ?
• Combien de fois, ces trois dernières années, de l’eau est-elle restée sur le toit flottant après des précipitations, et cela figure-t-il au journal ?
• Quelle est la température du métal du toit à midi en juillet ? Si personne ne l’a mesurée, comptez environ 60 °C.
• Le plan d’urgence contient-il le scénario « inondation du toit flottant », et qui l’applique la nuit ?
• Si l’expertise rend demain un avis négatif sur le fond, combien de jours le réservoir sera-t-il hors service et existe-t-il un plan B ?
• Lors du chargement de kérosène aviation, utilise-t-on des bras articulés en aluminium ou en acier ?
• Quelle part du budget annuel du parc va à des travaux répétitifs qui suppriment la conséquence et non la cause ?

Conclusion

Un parc de réservoirs n’est pas une condamnation à la réparation perpétuelle. Les technologies que j’ai citées ne sont pas exotiques : les coupoles et les pontons internes sont en place depuis de nombreuses années, les membranes et les revêtements composites s’utilisent sur des terminaux en exploitation, les exigences de mise à la terre sont écrites dans le Guide, obligatoire pour tous. Il n’y a ici qu’une seule nouveauté — le regard porté sur le réservoir comme sur un système où chaque couche de protection allège la suivante.

La mission d’un service de sécurité industrielle n’est pas seulement de réagir à un incident, mais aussi de retirer de l’installation les causes qui rendent l’incident possible. Un réservoir sans espace gazeux, sans eau sur le toit et avec une mise à la terre en bon état, c’est un réservoir qui a tout simplement moins de façons de prendre feu. C’est exactement ce que j’appelle la gestion du risque.

Les caractéristiques techniques des solutions (coupole selon API 650 Annex G / AWWA D108, membranes polymères, revêtements composites de toit, exigences de mise à la terre) sont données d’après les données des fabricants et le Guide de sécurité des dépôts pétroliers et des entrepôts de produits pétroliers en vigueur. Le choix d’une solution concrète pour une installation exige une expertise de sécurité industrielle.