MundoCalidad | Historia industrial, seguridad de procesos, ingeniería y gestión de riesgos
Una instalación estratégica para el abastecimiento de combustible
A comienzos del siglo XXI, el Reino Unido dependía de una extensa red de instalaciones dedicadas al almacenamiento y distribución de combustibles.
Estas terminales recibían gasolina, diésel y otros productos derivados del petróleo mediante oleoductos, para posteriormente distribuirlos a estaciones de servicio, aeropuertos y otros consumidores.
Buncefield: alarmas instaladas, protección ausente
Un tanque de gasolina se llenó durante la noche. El medidor se quedó inmóvil y la protección independiente no estaba operativa. A las 06:01 explotó una nube de vapor de enormes proporciones.
Del llenado habitual a la explosión
Buncefield, a unos 40 km al noroeste de Londres, era una terminal estratégica de combustibles. Recibía gasolina, diésel y otros derivados por oleoducto y los distribuía a estaciones de servicio y aeropuertos. El tanque 912 empezó a llenarse con gasolina sin plomo el sábado 10 de diciembre, hacia las 19:00.
- Comienza el llenado del tanque 912.
Operación rutinaria, supervisada desde la sala de control.
- El medidor deja de registrar el aumento de nivel.
La pantalla muestra un valor fijo mientras la gasolina sigue entrando.
- El tanque alcanza su capacidad y se desborda.
El combustible cae por las paredes, se fragmenta y forma vapores inflamables. El flujo no se detiene.
- La nube avanza por el recinto.
Las cámaras la registran: ya alcanza unos dos metros de altura en algunas zonas.
- Explosión de enormes proporciones.
Le siguen otras explosiones y un incendio que se extiende durante cinco días.
Tres barreras, tres fallas
La idea de las barreras de protección es que ninguna falla aislada provoque un accidente grave. En Buncefield, cada capa tenía un problema sin resolver.
Un dispositivo instalado no es una barrera eficaz. Debe estar bien diseñado, instalado, configurado, probado y mantenido, y ser independiente de las demás protecciones.
El problema era mayor que un sensor
La investigación del HSE y la Environment Agency, resumida en Buncefield: Why did it happen? (2011), señaló causas técnicas y organizacionales acumuladas durante meses y años.
Dos mecanismos se repiten en muchos accidentes industriales. El primero es la normalización de la anomalía: una falla recurrente se acepta como parte de la operación diaria. Repetirse no la vuelve segura, solo indica que aún no produjo todas sus consecuencias. El segundo es el crecimiento sin refuerzo: el volumen de combustible aumentó y los operadores tenían poco control sobre caudales y horarios de llegada, sin que crecieran al mismo ritmo los recursos de seguridad.
Qué dejó el accidente
La explosión ocurrió un domingo temprano, lo que limitó la exposición de personas en las zonas comerciales cercanas. Se cerraron tramos de la autopista M1. Después de Buncefield se revisaron las prácticas de prevención de sobrellenado, la independencia de los sistemas de parada, la contención y la planificación de emergencias. También se entendió mejor la explosión de grandes nubes de vapor en espacios relativamente abiertos.
Las pruebas funcionales son la respuesta práctica: comprobar la cadena completa (sensor, lógica, señal, válvula y elemento final), con procedimientos adecuados, personal competente y resultados documentados.
Siete enseñanzas
Un instrumento defectuoso compromete el proceso
Las mediciones que guían decisiones deben ser confiables.
Una alarma instalada no protege por sí sola
Hay que comprobar que los dispositivos críticos funcionan.
Investigar las fallas recurrentes
Acostumbrarse a una anomalía deja crecer el riesgo.
La seguridad acompaña el crecimiento
Más actividad exige más controles y recursos.
Independencia y verificación
Muchos dispositivos no garantizan que todos respondan.
La contención ambiental es seguridad
Debe cubrir el accidente y también la respuesta a él.
La dirección crea las condiciones
Recursos, competencias, procedimientos y una cultura que actúe ante las señales.
Normas relacionadas
Los sistemas de gestión ISO ayudan a leer el caso, pero no reemplazan las normas técnicas específicas ni los requisitos legales de cada instalación.
| Norma | Qué aporta al caso |
|---|---|
| ISO 9001:2015 | Control de procesos, seguimiento y medición, y acciones correctivas ante no conformidades. |
| ISO 45001:2018 | Identificación de peligros, competencia, control operacional, gestión del cambio y emergencias. |
| ISO 14001:2015 | Aspectos ambientales y emergencias, incluidas las consecuencias posteriores al incendio. |
| ISO 31000:2018 | Considerar escenarios graves poco probables y verificar que el tratamiento del riesgo siga siendo eficaz. |
| ISO 55001 | Gestión de tanques, instrumentos y válvulas como activos durante su vida útil. |
| IEC 61511 · IEC 61508 | Sistemas instrumentados de seguridad y seguridad funcional. |
| API 2350 · COMAH | Protección contra sobrellenado de tanques y regulación británica de accidentes mayores. |
La seguridad no consiste en tener sensores, alarmas y procedimientos, sino en demostrar que funcionan cuando se necesitan.
Un sistema de protección que existe solo sobre el papel no es una barrera contra el peligro.
Acerca del autor
