Modelo de causalidad: Accidente de Piper Alpha

Flor de María Rivera Rivera

Jocelyn Cecilia Jiménez Fuentes

Karen Lissette Chávez Alfaro

Mónica Marcela Sibrián Pineda

HIGIENE, SEGURIDAD Y ERGONOMÍA

 Modelo de causalidad: Accidente de Piper Alpha

ANTECEDENTES

Piper Alpha era una enorme plataforma petrolera, ubicada en el Mar del Norte, a unos 180 km de la
Costa de Aberdeen. La misma era operada por la compañía “Occidental Petroleum”, trabajaban en la
misma 226 personas.

Esta planta contaba con dos partes principales para el desarrollo de la explotación de petróleo: primero
la torre de perforación donde salía el Petróleo Crudo, Propano y Gas Condensado, que se ubicaba en la
explanada Sur.

Página 2
 Modelo de causalidad: Accidente de Piper Alpha

La segunda parte es una planta procesadora central, donde se separaba el producto en sus partes
constitutivas y se las conducían a la Costa Norte mediante cañerías.

¿Qué fue lo que sucedió?

A las 22 hs. el 6 de julio de 1988 hubo una explosión seguida por un incendio y 3 horas más tarde parte
de la explanada sur donde estaba la torre de extracción/perforación de 12.000 toneladas de acero,
quedó a 140 m de profundidad al fondo del mar.

Es prácticamente seguro que fue una fuga de gas lo que causó el desastre. Ciento sesenta y seis
hombres perdieron la vida más uno al día siguiente, solo setenta y tres pudieron ser rescatados, la
mayoría con quemaduras y fracturas. El pavoroso incendio que envolvió a la gran estructura, podía
verse desde muchos kilómetros de distancia

Antecedentes a principios de julio, 1988:

1. Siguiendo el programa de trabajo, era necesario cambiar el modo de operación de Fase 2 a Fase 1.
Esta operación había sido realizada por última vez en 1984 (4 años antes).
2. El 3 de julio, se cerró la planta de gas. Antes de comenzar a operar en modo Fase 1, se aprovechó
para realizar diversas tareas de mantenimiento.

Página 3
 Modelo de causalidad: Accidente de Piper Alpha

3. El 4 de julio, la bomba C MOL tuvo un problema relacionado con alta temperatura. Así mismo, se
registraron varios pequeños derrames ese día (un problema con la válvula GTC, una tubería bajo el
GCM, interruptor LP de succión de la bomba B, rotura de una línea en cabeza de pozo)
4. En días anteriores al 6 de Julio, se registraron problemas con los separadores de producción. En
junio, tareas de soldadura había provocado algún pequeño incendio debido a presencia de gas
fugado del hidrociclón.
5. Durante la semana anterior al 6 de julio, se había reportado en diferentes ocasiones olor a gas, en
unos casos asociados a H2S y en otras a fallos en la ignición de la antorcha. El 5 de julio, los olores
a gas provocaron el cierre temporal de los compresores sumergidos.
6. El 6 de Julio, se reportaron niveles anormalmente elevados de temperatura (En modo de operación
Fase 2, el volumen de antorcha era de 1-5 MMSCFD; en modo Fase 1 de unos 30 MMSCFD). Como
consecuencia, los cilindros de oxígeno (quads) necesitaban ser enfriados.
7. Otro efecto reportado fue la aparición de hielo (una capa de 4-5 cm) en la línea que atravesaba el
dive área.

Status de Piper Alpha el 6 de julio de 1988

1. Chanter Gas riser: tareas de andamiaje y trabajos en caliente (se había emitido un permiso de
trabajo en caliente)
2. Prover loop and metering skid in B Module: al principio de la tarde, equipo de soldadura y diversas
herramientas se encontraban desperdigadas por la cubierta. El trabajo en progreso se preveía
extenso (no existía permiso de trabajo en caliente para la tarde del 6 de julio en el módulo B).
3. Producción: 138,300 BPD; flujo de condensado: 7,500 BPD.
4. No había exportación de gas desde Piper hacia MCP-1, pero la exportación de gas desde Tartan, a
través de Piper, se cifraba en: 33 MMSCFD. La circulación de ascenso de gas en Piper era de 50
MMSCFD.
5. La lectura del contenido de agua en el MOL en la sala de Control daba un valor del 10% aquella
tarde. El valor habitual era del 2% o menor.
6. Gas en el agua de producción: el mar se describía como en ebullición. Era normal la existencia de
gas en el agua de producción.

Página 4
 Modelo de causalidad: Accidente de Piper Alpha

7. Tarde del 6 de julio, dado que se estaban llevando a cabo tareas de soldadura en el nivel 68 ft, el
sistema automático de extinción fue desconectado (pasando a posición manual). A las 20:15 h, una
alarma UV saltó y fue atribuida a las tareas de soldadura en el Chanter riser. No existía ningún otro
permiso de trabajo en caliente. Los sistemas de extinción en los módulos A, B y C estaban en
automático.
8. El enlace troposférico directo entre Piper y Mormond Hill (la base on-shore) estaba caído.
9. El sistema de control de inyección de condensado de la bomba B no funcionaba adecuadamente
(la menor velocidad que se podía establecer era de 40 rpm)
10. Varios puntos de inyección de metanol de la bomba principal no estaban funcionales. Esto redujo
el flujo de metanol a la mitad aproximadamente.
11. En el momento de la primera explosión, uno de los generadores diésel de perforación se
encontraba en funcionamiento, proporcionando energía para las tareas de perforación.

Página 5
 Modelo de causalidad: Accidente de Piper Alpha

MODELO DE CAUSALIDAD

El caso de estudio: Tragedia en Piper Alpha, se analizará de acuerdo al modelo de causalidad de

pérdidas de Frank Bird, el cual se muestra a continuación:

¿POR QUÉ? ¿POR QUÉ?

¿POR QUÉ? ¿POR QUÉ?

Falta de Causas
Causas básicas Accidentes Pérdidas
control inmediatas
• Programas • Factores • Actos y • Contacto con • Personas
inadecuados personales condiciones energía o • Propiedad
• Estándares • Factores de sub- sustancias • Proceso
inadecuados trabajo estándares
del programa
• Cumplimient
o inadecuado
del programa

CAUSAS ACONTECIMIENTOS PÉRDIDAS

A continuación se analizará cada uno de los factores, partiendo de las consecuencias hasta llegar a las
causas que ocasionaron la tragedia.

Página 6
 Modelo de causalidad: Accidente de Piper Alpha

1. PÉRDIDAS OCASIONADAS

Como perdida principal es nombrar las 166 víctimas que provocó este siniestro. “También se calcularon
más de 1.700 millones de dólares en pérdidas de instalación. La virtual destrucción de la plataforma
redujo en 81.000 barriles la producción de 382.000 barriles diarios que la compañía extrae en el Mar
del Norte. Las acciones, al día siguiente del accidente, cayeron 62.5 centavos en la Bolsa de Valores de
Nueva York. Y también sufrió la empresa, de una huelga de trabajadores de las plataformas petroleras
del Mar del Norte, debido a la falta de seguridad en sus trabajos

2. ACCIDENTE

Todo comenzó con un procedimiento rutinario de mantenimiento para controlar una válvula de
seguridad en una bomba secundaria de propano condensado. La válvula fue retirada y reemplazada
por una brida ciega provisoria. No pudieron completar el trabajo durante el turno, por lo que se
autorizó a los trabajadores a completar la tarea al día siguiente.

Esa noche, más tarde, la bomba principal de condensado falló. El personal de la sala de control no sabía
que se había realizado el mantenimiento y encendieron la bomba secundaria de condensado. La brida
provisoria no estaba debidamente ajustada, por lo que se produjo una fuga de gas, y un posterior
incendio y varias explosiones.

Página 7
 Modelo de causalidad: Accidente de Piper Alpha

3. CAUSAS INMEDIATAS: ACCIONES Y CONDICIONES INSEGURAS

3.1 ACCIONES INSEGURAS.

 Mantenimiento de Bomba secundaria de cubierta de producción programado no iniciado: los

encargados de darle mantenimiento a la bomba tenían que dejar dicha obra completamente
realizada en un tiempo prudente pues en cualquier momento esa máquina va a ser utilizada ya
sea por emergencia u otra situación, sin embargo ni siquiera habían iniciado dicho
procedimiento pese a que ya estaba programado.

 Jefe de producción autoriza que se utilice la Bomba secundaria de cubierta de producción sin
poseer el mantenimiento adecuado: mediante autorización del Jefe de producción y la firma en
un documento se da la orden de utilizar esta bomba a pesar de carecer de un estado adecuado
para el funcionamiento y sin conocimiento alguno de que esa bomba no poseía su válvula
correspondiente.

 Quitan Válvula para evaluación de rutina y colocan disco sellador con

condiciones inadecuadas para soportar la presión: aunque se preocuparon
por no dejar las tuberías abiertas al momento de quitar la válvula no se
percataron que el disco sellador que colocaban no suplía la necesidad de
resistir a las altas presiones a las que podría estar expuesta la tubería ya que
se realizó la sujeción de tornillos y tuercas manualmente no con la llave
adecuada.

 Mala administración al colocar los permisos de las bombas y las válvulas en cajas separadas:
esto provoco que la bomba se colocara sin válvula porque el operario solo observó uno de los
permisos y no detallaba que dicha bomba no poseía su válvula.

 Los trabajadores que hicieron el cambio de bomba no llenaron la bomba con un poco de
condensado que es la acción que deberían de realizar antes de hacerla funcionar.

Página 8
 Modelo de causalidad: Accidente de Piper Alpha

 Los buzos colocan goma en las rejillas donde caminarían descalzos: esta acción contribuyó a
que la segunda explosión tuviera lugar porque el petróleo que cayó se hubiera ido al mar en
lugar de empozarse, si esa goma no la hubieran colocado ahí el incendio no se hubiera
propagado.

 No se realizó adecuadamente una identificación de los riesgos: al no ser identificados,

tampoco se elaboró un análisis de los riesgos detallado ni tampoco una planificación de
respuesta a los riesgos eficiente.

3.2 CONDICIONES INSEGURAS.

 Bomba secundaria fuera de servicio por estar en mantenimiento: el

equipo de emergencia debe de estar completamente disponible para
utilizarlo en cualquier incidente.

 Bomba en mantenimiento no posee válvula de seguridad.

 Bomba secundaria no posee la cantidad de condensado adecuado para su normal

funcionamiento.

 Paredes con resistencia al fuego pero no a las explosiones: las

paredes que separaban un módulo de otro de la plataforma eran de
paneles a prueba de fuego de 2.5 * 1.5 metros capaces de soportar
incendios pero las explosiones hicieron que estos paneles se
destruyeran por completo lanzando trozos que rompieron otras
tuberías.

Página 9
 Modelo de causalidad: Accidente de Piper Alpha

 El sistema de permisos establecido en Piper alpha no tenía

seriedad: puesto que se suplantó una firma, y esto fue la causa
principal de la tragedia. El permiso que indicaba que una de las
bombas no podía ser maniobrada se perdió.

 Disco sellador en una de las tuberías de poca resistencia a las presiones a las que sería
expuesto: si se le ajustaban las tuercas manualmente en lugar de utilizar una llave para ejercer
la presión adecuada.

 Carencia de otro tanque de almacenamiento de Condensado líquido: cuando los operarios se

percataron de la situación en la que se encontraban contaban con solo media hora para que el
tanque de almacenamiento de condensado líquido se llenara completamente, sin posibilidades
de desviar el llenado a otro tanque de almacenamiento de emergencia.

 Carencia de Rutas de evacuación en casos de emergencia: al momento del incendio dos de los
operarios no encontraban una ruta de evacuación pues la plataforma incendiándose cada vez
más. Tuvieron que utilizar una cuerda para descender un piso abajo y lanzarse al mar condición
que pudo ocasionarles alguna lesión.

 Sobre-presión en el sistema. Varias alarmas se disparan.

 Inadecuado control de cambios.

Página 10
 Modelo de causalidad: Accidente de Piper Alpha

4. CAUSAS BÁSICAS: FACTORES PERSONALES Y DE TRABAJO

4.1 FACTORES DE PERSONALES.

 Desgano, displicencia y ansias de regresar a casa: Probablemente por ser el último turno a
realizar por los operarios para hacer el relevo de regreso a casa, estos se tomaron la ejecución
de sus labores con desgano y displicencia en el afán de regresar con sus seres queridos, dicha
actitud pudo ser la causa por la cual no se selló bajo el estándar establecido el ducto de la
bomba tipo condensador de propano que estaba en mantenimiento.

4.2 FACTORES DE TRABAJO.

 Sistema de comunicación de alertas y emergencias deficientes: Al inicio de la cadena de

alarmas que fueron emitidas por el sistema no se alertó, ni comunicó de la situación a todos los
tripulantes para que estos tomaran precauciones y buscaran alternativas de solución y/o escape
con anticipación.

 Falta de liderazgo en situaciones de emergencia: Es evidente que en el momento de la

catástrofe no hubo una figura(s), en el lugar, que organizará y guiara con calma las acciones a
tomar para solventar el problema de forma más eficaz, además que ayudará a controlar al
personal en crisis y pánico, y al mismo tiempo salvaguardar y ayudar a evacuar a todos los
trabajadores.

 Plataforma construida con materiales no aptos para el fin de ésta: En uno de los módulos se
pudo constatar que la pared que lo delimitaba no estaba construida para soportar explosiones
en el interior de éste, siendo caso con el cual se puede concluir que no toda la plataforma había
sido construida con materiales que brindaran la seguridad necesaria. Además es importante
mencionar que habían tuberías por las cuales fluían sustancias inflamables desprotegidas pese
a la fragilidad de ellas, siendo sumamente sencillo que se quebraran o dañaran y alimentaran o
fueran fuente de un incendio.

Página 11
 Modelo de causalidad: Accidente de Piper Alpha

 Falta de vigilancia y control en las actividades de mantenimiento: Piper Alpha no contaba con
personal que estuviera a cargó de la supervisión constante de la administración del
mantenimiento en toda la planta, es decir una persona que planificara como y cuando se darían
los mantenimientos necesarios, esta persona determinaría las fechas de los mismos luego de
haber evaluado las posibles consecuencias de llevar a cabo la tarea, teniendo en cuenta que
otras maquinarias se encontrarían funcionando y cuales en mantenimiento.

 Trabajo en equipo entre áreas débil: Abonado por la mala comunicación de alertas y
emergencias, las áreas o departamentos que se veían relacionadas íntimamente entre sí con la
emergencia no tuvieron mayor comunicación al momento del desastre, por lo que la
coordinación de medidas correctivas y preventivas se volvía difícil y en un momento se
volvieron contraproducentes.

 Mala comunicación entre turnos de trabajo: Al realizarse cambios de turno, el turno saliente
no informaba correctamente de la situación actual de mantenimiento y operación al turno
entrante; haciendo propenso al turno entrante a cometer errores garrafales por falta de
conocimiento.

5. FALTA DE CONTROL

5.1 COMUNICACIÓN.

 Falla de comunicación en el traspaso del turno. Los empleados del turno noche no se enteraron
del mantenimiento realizado en la bomba secundaria.
 Durante la emergencia, no hubo comunicación alguna al personal, que sólo entró en alerta por
la explosión y el humo. El área de alojamiento, prevista como punto de reunión, no resultaba la
más indicada bajo las condiciones que se presentaron y fue donde ocurrieron la mayoría de las
fatalidades.
 Comunicación inadecuada con las plataformas cercanas. El flujo en los gasoductos se
interrumpió sólo una hora después.

Página 12
 Modelo de causalidad: Accidente de Piper Alpha

5.2 PERMISO DE TRABAJO.

 Permiso de trabajo mal controlado. Se perdieron los formularios en los cuales se informaba al
personal del turno noche el mantenimiento que se estaba realizando.
 Falta de aplicación del sistema de permiso de trabajo por parte de la gerencia (Falla
organizacional).

5.3 CAPACITACIÓN

 Capacitación y entrenamiento (ejercicios) inadecuados del personal sobre procedimientos de

emergencia.
 Preparación inadecuada de la gerencia sobre liderazgo en una situación de emergencia.

5.4 LIDERAZGO

 Occidental Petroleum sabía sobre los riesgos existentes en caso de incendio en el área de
condensado, pero no se aplicaron medidas de control para reducir los mismos.
 La gerencia no aseguró el cumplimiento de las pautas de capacitación del personal.
No se aplicó el sistema de permiso de trabajo. De haberse aplicado en forma adecuada, la
explosión inicial no se habría producido jamás.

5.6 OTROS

 Planes de capacitación ante situaciones de emergencia deficientes: El personal contaba con un

mínimo de entrenamiento y capacitación de las medidas y acciones a tomar ante una situación
caótica, y tal como pasó en el desastre la mayoría opto únicamente por refugiarse en donde un
agente externo, de rescate, a la planta les indicó.

 Sistema de gestión de mantenimiento inadecuado: El método para administrar la parte de

mantenimiento de la maquinaria de los módulos era por separado por cada módulo, por lo que no
era fácil observar y analizar la manera un trabajo de mantenimiento en un módulo podría influir en
el resto de los módulos y por ende toda la plataforma.

Página 13
 Modelo de causalidad: Accidente de Piper Alpha

 Planes de evacuación deficientes: Muy ligado a los planes de capacitación en situaciones de

emergencia, los trabajadores no conocían los puntos “seguros” dentro de la plataforma en los
cuales buscar refugio temporal ante este tipo de situaciones, y siendo más grave no estaban
capacitados para distinguir e identificar cuáles eran estos puntos seguros en el momento del
desastre si los que habían sido señalados no fungían como tales. Es importante sumar que la falta
de capacitación en este rubro y además en capacitación en situaciones de emergencia, facilita que
en el momento de la catástrofe los trabajadores entren en crisis colectiva.

 Levantamiento de riesgos en el interior de la plataforma inoperante: La empresa no contaba con

un levantamiento de riesgos adecuado, por lo que esto facilito que no se pudiera observar la
necesidad de planes de capacitación para todo el personal en temas relacionados a riesgos,
emergencias y evacuación; así como la correcta señalización de la planta.

 Auditorias de evaluación y control de riesgos: Según información que había fue recabada en las
investigaciones del juicio se pudo determinar que se llevaban a cabo auditorias en materia de
seguridad, pero que están no profundizaban grandemente el los riesgos potenciales de que la
plataforma tenia, eran muy genéricas y escuetas, dejando de lado grandes peligros existentes, los
cuales se hicieron visibles en la catástrofe que nos ocupa.

 Mal sistemas de vigilancia del cumplimiento de procedimientos y normas de seguridad: La planta

petrolera no contaba con personal designado para controlar y supervisar que los trabajadores
siguieran correctamente los procedimientos de trabajos estipulados; la falta de un supervisor que
llevará a cabo correctamente este trabajo permitió que se dieran acciones y condiciones inseguras
en la plataforma, como el incorrecto sellado de la válvula de la bomba de condensado, la cual tuvo
que haberse realizado con herramientas y no a mano.

 Gerencia y administración desinteresada por mitigar riesgos: A pesar de que las auditorias fueras
escuetas, más de algún riesgo fue detectado y ante ello, el actuar de los altos mandos de Piper
Alpha la inversión de recursos en ese tema fue bastante deficiente.

Página 14
 Modelo de causalidad: Accidente de Piper Alpha

LECCIONES APRENDIDAS

A. Preparación de un plan de comunicaciones adecuado que establezca un enlace y una

coordinación eficiente tanto entre los diferentes turnos de trabajo en la Piper Alpha como entre
las diferentes torres.
B. Elaboración de un sistema estricto de permisos sin informalidades, que actualice los cambios
que se van realizando al sistema de funcionamiento de la plataforma.
C. Realización de auditorías rutinarias exigentes para verificar que los procedimientos realizados
están en conformidad con el plan de seguridad.
D. Análisis detallado de los riesgos existentes en cada una de las áreas de trabajo para obtener un
conocimiento claro de las condiciones de trabajo y los riesgos que éstos suponen, para luego
evaluarlos, priorizarlos y proponer una respuesta a los riesgos para asegurar que los procesos
involucrados en el trabajo son realizados de forma segura o con un riesgo tolerable.
E. El sistema de extinción de incendios a operación manual no es eficiente para enfrentar este tipo
de accidentes. Resulta significativamente mejor utilizar el sistema de extinción de incendios
automático.
F. Para prevenir accidentes es importante comprometer a los trabajadores en la aplicación del
plan de seguridad. Sin esto, la seguridad no tendría sentido.
G. Elaboración de un plan de emergencia eficiente donde se considere la realización de simulacros
de emergencia y evacuación. Dada la interconexión entre las plataformas del área, debió haber
procedimientos contemplados en el plan de emergencia claramente definidos que habrían
exigido la desactivación de las operaciones de transferencia en una o más de las plataformas
conectadas.
H. Construir plataformas con paredes a prueba de explosiones, para detener la propagación del
fuego.
I. Considerar a la seguridad uno de los factores claves para el éxito de un proyecto. No se
consideró a la seguridad como una prioridad. Puesto que el reinicio de las actividades normales
de producción de la plataforma después de una paralización demora 2 días y genera millonarias
pérdidas económicas, se consideró más importante este factor que el factor de seguridad e
integridad de los trabajadores, de la flora, fauna y del mismo proyecto.

Página 15
 Modelo de causalidad: Accidente de Piper Alpha

J. Tomar en cuenta la ley de Murphy, quien postuló: “Lo que puede ir mal, irá mal y con el tiempo
irá peor”.

CONCLUSIÓN DE RESPONSABLES

A. La Gerencia: todas fueron responsabilidad de la Gerencia, ya que la seguridad es

responsabilidad de la misma. El director debe tener visiblemente un compromiso real con
la seguridad.
B. Sistema de seguridad: existía pero no funcionaba, como el Sistema de Permisos de Trabajo, o
bien no estaba. No había una evaluación sistemática de peligros importantes en el Piper.
C. Calidad de manejo gerencial de la seguridad: el problema de las bombas diesel, eran reales
como el problema de los buzos y había que resolverlo. Lo que estuvo mal era la calidad de la
decisión que se tomó, la cual puso en peligro la plataforma entera en la mitad del tiempo.
D. Ese gerente caminaba hora y media todos los días en la plataforma para controlar la seguridad.
Todos están de acuerdo que esto es bueno, pero lo hacía a las 19 hs. ya que sus ocupaciones no
le permitían hacerlo antes. Todos los trabajos cesaban a las 18 hs.
E. Auditoria: existía un análisis de auditoria de los aseguradores sobre el Piper, éste influía en la
prima pero ninguno mencionaba el problema de los rociadores, (durante los últimos 4 años).
Esto no es una auditoria de calidad.

CONCLUSIONES SOBRE SEGURIDAD E HIGIENE OCUPACIONAL

A. Aún existe una controversia sobre si hubo o no tiempo suficiente para ser más eficaces en la
evacuación de los trabajadores. La gente seguía bajando de la plataforma varias horas después
del inicio de los incendios y las explosiones.
B. El principal problema fue que la mayoría del personal que tenía autoridad para ordenar la
evacuación había muerto con la primera explosión que destruyó la sala de control donde
estaban. Esto fue consecuencia clara y directa del diseño y reforma de la plataforma,
incluyendo la ausencia de paredes anti-explosión.

Página 16
 Modelo de causalidad: Accidente de Piper Alpha

C. Otro factor decisivo fue que las plataformas Tartan y Claymore siguieron bombeando gas y
petróleo a Piper Alpha hasta la ruptura de la tubería por el calor de la segunda explosión.
D. Los responsables de las distintas operaciones y plataformas no tenían o creían que no tenían la
autoridad para cerrar los suministros aún a pesar de recibir las alarmas y que podían ver el
fuego en Piper Alpha.
E. El buque de buceo informó de la explosión inicial justo antes de las 22:00, y la segunda
explosión se produjo tan sólo veintidós minutos más tarde. Pero cuando el rescate tanto civil
como militar apareció en escena las llamas tenían más de cien metros de altura y eran visibles a
más de cien kilómetros de distancia por lo que esas pésimas condiciones de seguridad
impidieron las operaciones de rescate. El buque Tharos, especialista en lucha contra incendios,
comenzó la lucha contra el fuego pero, ante la ruptura del oleoducto de la plataforma Tartan,
se vio obligado a retirarse.

Página 17