Piper Alpha fue destruida por una explosión de gas y un incendio en la noche del 6 de julio de 1988, a unas 120 millas al noreste de Aberdeen, y murieron 167 hombres. Dos de ellos eran tripulantes de una embarcación de rescate; los otros 165 estaban entre las 226 personas que se encontraban en la plataforma esa noche, de las cuales 61 sobrevivieron. La Investigación Pública (Public Inquiry) dirigida por Lord Cullen, que presentó su informe en noviembre de 1990, dedicó buena parte de su extensión a fallas que parecen más de papeleo y procedimiento de radio que de ingeniería, razón por la cual el caso pertenece a una sección de comunicaciones y no solo a un curso de seguridad.

Qué pasó la noche del 6 de julio de 1988

Piper Alpha era una plataforma fija de acero operada por Occidental Petroleum (Caledonia) Limited, en producción desde 1976, construida originalmente para la producción de petróleo y modificada después para manejar y comprimir gas. Para 1988 funcionaba como un centro de distribución, que recibía petróleo de las plataformas Claymore y Tartan hacia su línea principal de petróleo con destino a Flotta, y que se conectaba a una línea de gas que abastecía a la plataforma colectora MCP-01. Las modificaciones habían ubicado el procesamiento de gas a alta presión cerca de la sala de control y del módulo de alojamiento, en módulos separados por paredes diseñadas para resistir incendio y no explosión.

En la noche del 6 de julio, una de las dos bombas de inyección de condensado, la bomba A, estaba fuera de servicio. Una válvula de seguridad de presión asociada a esa bomba había sido retirada durante el turno diurno para su recertificación, y la tubería abierta se había cerrado con una brida ciega (blind flange). Hacia las 21:45, la bomba en funcionamiento, la bomba B, se detuvo sin poder reiniciarse, por lo que el turno nocturno, trabajando con los permisos que tenía disponibles, puso en marcha la bomba A. El gas escapó por el conjunto de la brida ciega, lo cual hizo sonar las alarmas de gas, y hacia las diez de la noche una explosión destruyó el área y provocó un incendio de petróleo crudo.

La escalada provino de los oleoductos y gasoductos. Hacia las 22:20 aproximadamente, falló el elevador (riser) de gas proveniente de Tartan, liberando un inventario muy grande de gas a alta presión sobre un incendio ya existente, y una segunda falla de elevador ocurrió hacia las 22:50. Las válvulas de cierre de emergencia (emergency shutdown valves) de la plataforma habían sido activadas, pero no pudieron detener el gas que ya se encontraba al otro lado de ellas, en líneas que recorrían kilómetros bajo el mar. El módulo de alojamiento cayó al agua cuando la estructura colapsó, y hacia la madrugada del 7 de julio la mayor parte de Piper Alpha había desaparecido.

La gran mayoría de los muertos fueron hombres que permanecieron dentro de la estructura. El módulo de alojamiento fue izado del fondo marino en 1989, y la evidencia de la autopsia mostró que los hombres hallados en su interior habían muerto por inhalación de humo; los relatos publicados suelen señalar que alrededor de treinta de los 167 nunca fueron recuperados. Casi todos los sobrevivientes escaparon abandonando el módulo de alojamiento, bajando por la estructura hasta los niveles de 68 o 20 pies, y lanzándose al mar.

El permiso de trabajo y el relevo que nunca ocurrió

Un sistema de permiso de trabajo (permit to work) es, en esencia, un sistema de comunicaciones con una interfaz de papel. Existe para que el hombre que aisló una bomba, el hombre que retiró una válvula, el operador de la sala de control que decide qué se puede poner en marcha, y la cuadrilla que entra a las siete de la noche trabajen todos a partir de la misma descripción del estado de la planta. La Investigación Cullen (Cullen Inquiry) encontró que el sistema de Occidental en Piper Alpha no se operaba como lo describían sus propios procedimientos, y que el deterioro era rutinario y no excepcional.

Dos permisos distintos estaban en juego respecto a la bomba de condensado. Uno cubría una revisión general planeada de la bomba A, que aún no había comenzado. El otro cubría el retiro de la válvula de seguridad de presión, que ya se había hecho, dejando la brida ciega en su lugar. La investigación encontró que el permiso de la válvula había sido suspendido al final del turno diurno y dejado en la sala de control en lugar del sitio designado, que no hubo un relevo efectivo que transmitiera su contenido al turno entrante, y que los hombres que decidieron poner en marcha la bomba A no sabían que la válvula de seguridad de presión había sido retirada. Cullen concluyó que la fuente más probable de la fuga fue ese conjunto de brida ciega, una conclusión alcanzada por el peso de la evidencia, ya que la evidencia física misma había sido destruida, y quien cite un mecanismo preciso debería leer el texto mismo de la investigación y no un resumen como este.

La lección que se traslada a otros campos no tiene nada que ver con el petróleo. Una etiqueta de fuera de servicio, un bloqueo (lockout), un aparato marcado con tarjeta roja, un sitio de torre retirado del aire por mantenimiento y un grupo de habla (talkgroup) sacado de la flota dependen todos de la misma cadena: que la persona que hizo el cambio se lo comunique a la persona que controla el activo, en una forma que sobreviva a un cambio de turno y a un cambio de personal. La investigación también encontró que las auditorías de seguridad de Occidental no habían detectado la deriva, describiéndolas en términos que equivalían a superficiales y de poca utilidad práctica como herramienta de gestión, algo que debería recordar cualquier agencia que audite un sistema de permisos contando formularios completados.

La sala de control, la alarma y el anuncio que nadie hizo

El procedimiento de emergencia de Piper Alpha ponía al Gerente de Instalación Costa Afuera (Offshore Installation Manager, OIM) al mando, y dirigía las instrucciones a la cuadrilla a través del sistema de megafonía (public address) desde la sala de control. La primera explosión inutilizó esa sala en cuestión de momentos, y la investigación estableció que fue abandonada muy rápidamente, de modo que el único punto desde el cual podía darse una orden para toda la plataforma dejó de existir al comienzo de la emergencia y no durante ella. Los sobrevivientes que declararon describieron no haber escuchado ningún anuncio que les dijera qué había pasado o qué hacer.

El cierre de emergencia se activó antes de que se abandonara la sala de control, lo cual fue la acción correcta y, sin embargo, no sirvió de nada, porque el inventario de hidrocarburos que alimentaba el incendio estaba en los elevadores y en las líneas de exportación. El sistema automático de diluvio contra incendios (fire water deluge) había sido puesto en control manual, una práctica usada cuando había buzos en el agua para que las bombas de agua de mar no arrancaran por sí solas y succionaran a un buzo hacia una toma, de modo que el diluvio no se activó por sí mismo y los hombres que lo habrían encendido no pudieron llegar a los controles. La iluminación de emergencia falló temprano, en medio del humo y la oscuridad.

La plataforma sí contaba con un sistema de alerta, y el hallazgo real es que ese sistema de alerta, la posición de mando, la radio y las personas que operaban los tres elementos estaban ubicados en el mismo módulo que el peligro, de modo que se perdieron juntos en los primeros segundos. Las únicas decisiones que salvaron a alguien fueron tomadas por individuos en pasillos y escaleras, a partir de lo que podían ver frente a ellos. El diseño moderno de instalaciones costa afuera aborda esto mediante el concepto de refugio temporal seguro (temporary safe refuge), un espacio con una resistencia definida ante el fuego y la carga de humo, desde el cual el mando y las comunicaciones pueden continuar, y el concepto existe precisamente porque Piper Alpha no tenía nada parecido.

Reunión en un punto de encuentro basado en un plan que suponía helicópteros

El plan escrito de evacuación para Piper Alpha establecía que el personal se reuniría en el área del comedor del módulo de alojamiento y saldría en helicóptero desde el helipuerto, con los botes salvavidas como alternativa. Ambas rutas quedaron inutilizables en cuestión de minutos, ya que el helipuerto quedó sobre una columna de humo y llamas a la que ninguna aeronave podía aproximarse, y los botes salvavidas estaban en un nivel que el incendio ya había aislado. El módulo de alojamiento mismo no estaba sellado contra el humo, y se llenó de él.

Así que los hombres hicieron lo que se les había entrenado a hacer, que era ir al punto de reunión y esperar instrucciones, y la instrucción nunca llegó porque las personas que debían darla habían muerto o habían perdido la capacidad de hablar. La investigación escuchó evidencia de individuos y grupos pequeños que tomaron por su cuenta la decisión de romper filas y bajar por la estructura, y esas decisiones explican la mayoría de los 61 sobrevivientes. Varios sobrevivientes han dicho públicamente a lo largo de los años que se fueron porque alguien en la sala argumentó que quedarse significaba morir, lo cual es un juicio hecho por personas sin información y no un plan que funcionó.

Toda agencia que redacte un anexo de evacuación debería ponerlo a prueba frente a un escenario en el que el área de reunión designada queda del lado equivocado del peligro y la persona que debería ordenar el movimiento es inalcanzable. La pregunta que hay que responder por escrito es qué está autorizado a hacer un miembro de la cuadrilla, por su cuenta, cuando el punto de reunión se está llenando de humo y nadie ha transmitido por radio en cuatro minutos. El plan de Piper Alpha no tenía respuesta a esa pregunta, y la ausencia de respuesta resultó fatal para hombres que estaban siguiendo las reglas tal como estaban escritas.

Tartan, Claymore y quién tenía autoridad para detener el flujo

Piper Alpha ardía a plena vista de otras dos plataformas tripuladas que bombeaban hacia ella. La investigación examinó por qué la producción desde Tartan y Claymore continuó después de que comenzó el incendio, y la evidencia mostró que los responsables de esas instalaciones eran reacios a detener la producción sin autorización, en parte porque un cierre era un acto comercial significativo, en parte porque no podían establecer por radio o teléfono cuál era la situación real en Piper, y en parte porque nada en sus instrucciones les indicaba que un incendio inexplicado en una instalación conectada fuera, por sí solo, motivo suficiente para detenerse.

La consecuencia es el vínculo causal más claro de todo el caso entre una falla de comunicaciones y autoridad y el número de muertos. Los elevadores de gas fallaron porque estaban calientes y bajo presión de un inventario que no había sido aislado, y la segunda y tercera explosiones, que destruyeron la estructura y acabaron con cualquier posibilidad realista de un rescate organizado, provinieron de esas fallas. Cullen abordó el punto directamente en sus recomendaciones, y el régimen moderno otorga al Gerente de Instalación Costa Afuera tanto la autoridad como el deber de actuar en una emergencia sin pedir permiso a tierra.

En seguridad pública, la pregunta equivalente es quién puede detener algo costoso según su propio criterio a las dos de la madrugada. Un despachador ferroviario que detiene el tráfico por una zona de descarrilamiento, una empresa de servicios públicos que abre un alimentador, un sistema de agua que cierra una tubería principal, un gerente de comunicaciones que saca del aire un sitio repetidor porque está inyectando una falla al sistema, y un supervisor de un centro de atención de llamadas de emergencia (Public Safety Answering Point, PSAP) que detiene el despacho hacia una calle, todos tienen en común que alguien debe estar nombrado por escrito como capaz de hacerlo sin necesidad de una llamada de confirmación. Donde falta ese nombre, la gente sostiene el teléfono y espera mientras el peligro sigue su curso.

Las embarcaciones, el Tharos y un rescate sin comandante

Había embarcaciones en el campo, incluida la embarcación de apoyo (standby vessel) de Piper Alpha y el Tharos, una gran unidad semisumergible de alojamiento y combate de incendios que trabajaba cerca y se desplazó hacia la plataforma. El Tharos llevaba monitores de agua potentes y una pasarela telescópica, y ninguno de los dos pudo usarse con mucho efecto, porque el calor radiante impedía un acercamiento cercano y los monitores no podían dirigirse a plena fuerza hacia estructuras donde había hombres trepando. Las embarcaciones rápidas de rescate de los buques de apoyo sacaron a los sobrevivientes del agua, que es como se salvaron casi todos los 61.

Dos de los muertos eran tripulantes de la embarcación rápida de rescate del buque de apoyo Sandhaven, que estaba junto a la plataforma cuando la falla de un elevador lanzó escombros en llamas sobre el agua, destruyendo la embarcación y matando a sus tripulantes y a un sobreviviente de Piper Alpha que acababa de ser subido a bordo. Ese es el detalle que hay que retener al discutir la doctrina de rescate en torno a un incendio industrial en escalada, porque los hombres de ese bote estaban haciendo lo correcto en el momento en que el peligro creció en un orden de magnitud sin aviso de nadie en la plataforma, ya que no había nadie en la plataforma en posición de advertirles.

La imagen de la escena fue armada por personas que observaban el incendio y no por alguien que hablara con la instalación. Una vez que la sala de control desapareció, la plataforma no pudo decirles a las embarcaciones dónde se estaban reuniendo los sobrevivientes, no pudo dirigir las embarcaciones hacia un lado resguardado, y no pudo informar que un segundo elevador estaba a punto de fallar. Los arreglos que siguieron, incluidos los requisitos de planes de respuesta a emergencias que cubren la evacuación, el escape y el rescate como un problema conectado, y una relación definida entre las instalaciones y sus embarcaciones de apoyo, existen porque este desastre demostró que los activos marítimos junto a un siniestro no constituyen un sistema de rescate a menos que alguien pueda comunicarse con ellos.

Qué recomendó Cullen y en qué se convirtió el régimen

La investigación de Lord Cullen sesionó en Aberdeen desde enero de 1989 y presentó su informe en noviembre de 1990 en dos volúmenes, el primero sobre lo que ocurrió y el segundo sobre lo que debía cambiar. El informe hizo 106 recomendaciones, todas aceptadas por el gobierno y por la industria, y es el documento fundacional de la seguridad costa afuera moderna en el Reino Unido. Si va a citarlo en material de capacitación, cite el informe mismo y no un resumen secundario, porque es detallado, está ampliamente disponible, y el detalle es la parte útil.

El cambio estructural fue de titularidad regulatoria. La responsabilidad por la seguridad costa afuera se trasladó del Departamento de Energía, que también promovía la producción, a la Health and Safety Executive (HSE) en 1991, lo cual separó al regulador del departamento con interés en la producción. Las Offshore Installations (Safety Case) Regulations 1992 exigieron entonces que el operador de cada instalación preparara un caso de seguridad (safety case) que demostrara que los peligros mayores habían sido identificados y que los riesgos se habían reducido en la medida en que fuera razonablemente practicable, y que ese caso fuera aceptado por el regulador. Normas posteriores de 1995 trataron la prevención de incendio y explosión y la respuesta a emergencias, así como la gestión y administración de las instalaciones, incluida la autoridad del Gerente de Instalación Costa Afuera.

En el aspecto de ingeniería, la industria instaló válvulas de aislamiento submarino para que una plataforma en llamas no pueda ser alimentada por el inventario de todo un oleoducto o gasoducto, mejoró la separación resistente a explosión entre el proceso y el alojamiento, y adoptó el refugio temporal seguro con una resistencia declarada contra incendio y humo. En el aspecto humano, construyó entrenamiento y evaluación formal de mando para los Gerentes de Instalación Costa Afuera, y reconstruyó la práctica de permiso de trabajo en torno al aislamiento verificado y el relevo documentado. Verifique la posición regulatoria actual con la Health and Safety Executive y no con un artículo, porque las normas del caso de seguridad se han revisado más de una vez desde 1992.

Qué se traslada a una agencia terrestre

El primer hallazgo trasladable es que un sistema de permisos falla en silencio. No hay alarma cuando se salta un relevo, y la condición de la planta y la del papeleo se van distanciando gradualmente hasta que alguien pone en marcha una bomba. Cualquier agencia que etiquete equipo fuera de servicio, que saque de línea un sitio de torre o una posición de consola para trabajos, o que opere un vehículo con una reparación temporal tiene la misma exposición, y la única verificación confiable es que un supervisor compare físicamente el papeleo abierto y suspendido contra el equipo, a un intervalo fijo.

El segundo es que las posiciones de mando no deberían estar ubicadas junto al peligro que están diseñadas para gestionar. Piper Alpha puso la sala de control, la megafonía, la radio y la autoridad del gerente en un solo lugar junto a un módulo de compresión de gas, y todo ello dejó de funcionar en los primeros segundos. Las versiones terrestres de esto son un centro de despacho en una llanura de inundación con su generador en el sótano, un puesto de mando móvil estacionado cuesta arriba de una fuga de materiales peligrosos porque ahí es donde hay estacionamiento, y un canal de mando cuyo único repetidor está ubicado en el sitio que está en llamas.

El tercero es que los planes que canalizan cada decisión a través de una sola persona producen parálisis cuando esa persona es inalcanzable. Los hombres que esperaban en el comedor y los supervisores de Tartan y Claymore estaban en la misma posición por razones opuestas, ambos esperando una palabra de una fuente que no podía producirla. La autoridad permanente por escrito, con un plazo límite declarado, es lo que evita eso, y debe nombrar cargos que realmente estén ocupados de noche y no títulos que existen solo en un organigrama diurno.

El cuarto es que un siniestro que no puede hablar no puede ser ayudado eficientemente. Las embarcaciones de apoyo y las unidades de combate de incendios llegaron a Piper Alpha y tuvieron que improvisar a partir de una imagen armada a simple vista. Lo mismo ocurre cuando las compañías de ayuda mutua llegan a un incidente mayor y no encuentran a nadie en un canal funcional que les diga hacia dónde se ha movido el peligro, razón por la cual el plan de comunicaciones de radio del incidente (incident radio communications plan) y un canal de mando con personal asignado son equipo operativo y no papeleo.

Qué hacer en su agencia

• Pídale a su supervisor de mantenimiento que revise cada orden de trabajo o etiqueta de fuera de servicio actualmente suspendida en aparatos, sitios de radio, generadores de estación o posiciones de consola, y verifique físicamente este mes que el equipo esté en la condición que indica el papeleo.
• Pídale a su gerente de comunicaciones una respuesta por escrito a una pregunta: si el edificio que alberga el despacho se vuelve inhabitable en los próximos diez minutos, qué posición ordena el traslado, qué canal transporta la orden, y quién debe confirmar su recepción.
• Agregue un punto a la agenda de su próxima reunión de oficiales, nombrando los cargos autorizados para detener una operación peligrosa, retirar del aire un sitio, o suspender el despacho hacia un área sin obtener aprobación previa, y ponga la lista por escrito antes de que termine la reunión.
• Revise su anexo de evacuación o de intervención rápida contra el caso en que el punto de reunión designado queda del lado equivocado del peligro, y redacte un párrafo que indique qué está autorizado a hacer un miembro individual de la cuadrilla cuando no ha llegado ninguna instrucción por radio durante un número declarado de minutos.
• Pídale a su oficial de capacitación que confirme que cualquier referencia a Piper Alpha en su currículo de seguridad o de mando da la cifra de 167 muertos, con 165 de las 226 personas a bordo y dos tripulantes de embarcación de rescate, y 61 sobrevivientes, en lugar de una cifra redondeada.
• Pídale a sus supervisores de turno que realicen un simulacro sin aviso previo en el que la posición de mando principal deje de transmitir a mitad del incidente, y registre cuánto tiempo toma a otra persona asumir el mando por radio.

Puntos clave

• Piper Alpha fue destruida por una explosión y un incendio el 6 de julio de 1988, y murieron 167 personas, de las cuales 165 estaban entre las 226 a bordo de la plataforma y dos eran tripulantes de una embarcación rápida de rescate, con 61 sobrevivientes.
• La Investigación Cullen concluyó que la fuente más probable de la fuga inicial fue una brida ciega dejada en su lugar después de retirar una válvula de seguridad de presión, una conclusión alcanzada por el peso de la evidencia porque la evidencia física fue destruida.
• El sistema de permiso de trabajo falló como sistema de comunicaciones, con un permiso suspendido dejado en la sala de control y sin un relevo efectivo que informara al turno nocturno que la válvula había sido retirada de la bomba que pusieron en marcha.
• La primera explosión inutilizó la sala de control, que albergaba el sistema de megafonía y el punto desde el cual el Gerente de Instalación Costa Afuera debía emitir instrucciones, de modo que nunca se dio una orden de evacuación para toda la plataforma.
• El plan de evacuación escrito suponía una evacuación en helicóptero desde el helipuerto, lo cual el incendio hizo imposible, y los hombres que se reunieron en el alojamiento tal como se les había entrenado murieron por inhalación de humo, mientras que casi todos los sobrevivientes salieron por su propio criterio y se lanzaron al mar.
• La producción continuó desde las plataformas conectadas Tartan y Claymore después de que comenzó el incendio, y la investigación encontró que los responsables allí no tenían autoridad clara para detenerse por su propio criterio y no podían establecer qué ocurría en Piper por radio o teléfono.
• La escalada provino de elevadores de gas que contenían un inventario que las válvulas de cierre de emergencia de la plataforma no pudieron aislar, razón por la cual las válvulas de aislamiento submarino se volvieron estándar después.
• Lord Cullen presentó su informe en noviembre de 1990 con 106 recomendaciones, todas aceptadas, lo que condujo al traslado de la regulación de seguridad costa afuera a la Health and Safety Executive en 1991, al régimen de caso de seguridad desde 1992, al concepto de refugio temporal seguro, y a capacitación formal de mando para los gerentes de instalación.