美國托斯科埃文煉油廠(chǎng)爆炸事故
一、事故經(jīng)過(guò)和危害
1997年1月21日，位于美國加利福尼亞州Martinez的托斯科埃文(Tosco Avon)煉油廠(chǎng)加氫裂解單元發(fā)生一起爆炸著(zhù)火事故，造成1人死亡，46名工人受傷，其中13人重傷。
1月21日19時(shí)41分，Tosco Avon煉油廠(chǎng)，加氫裂解2段3號反應器上的出口管破裂，輕質(zhì)氣體從管道中泄出，遇空氣立即自燃，造成一起爆炸和火災事故。一名加氫裂解器操作工在反應器下檢查現場(chǎng)溫度儀表時(shí)被炸死，46名工人受傷，13名重傷人員被送往當地醫院治療。
二、事故原因分析
為了吸取事故教訓，預防類(lèi)似事故再次發(fā)生，美國環(huán)境保護局(EPA)對此起事故原因和基本情況進(jìn)行調查。參加此起事故調查的其他調查機構還有EPA本部、EPA的9區、加利福尼亞職業(yè)安全衛生部(CAL OSHA)、美國職業(yè)安全衛生署(OSHA)9區、Contra Costa縣衛生部(CCCHSD)和加利福尼亞灣地區空氣質(zhì)量管理部(BAAQMD)。CAL OSHA在聯(lián)邦OSHA9區的協(xié)助下，同時(shí)進(jìn)行有關(guān)違反衛生安全條例的調查以及一次過(guò)程安全管理(PSM)檢查。加利福尼亞職業(yè)安全衛生部調查局進(jìn)行一次犯罪調查。CCCHSD進(jìn)行一次事故根本原因的調查。BAAQMD同時(shí)進(jìn)行一次可能違反空氣質(zhì)量控制條例的調查。
碳氫化合物和氫氣泄漏繼而起火的直接原因是2段3號反應器出口管由于極度高溫(可能超過(guò)760℃)發(fā)生破裂，該溫度是由于反應器的溫度偏離引起的，反應器的溫度偏離始于3號反應器的4床，并通過(guò)下一催化劑床5床擴展，5床中產(chǎn)生的過(guò)量的熱量使反應器出口管的溫度升高。該溫度偏離沒(méi)有得到控制，這是因為2段3號反應器沒(méi)有遵守操作程序的規定，“反應器溫度超過(guò)426.7℃時(shí)泄壓停車(chē)”。
溫度偏離始于3號反應器4床中的一個(gè)熱點(diǎn)，該熱點(diǎn)極有可能是由于催化劑床層內的流動(dòng)和熱量分布不均造成的，調查人員不能夠確定分布不均的具體原因。當反應器內部的某些溫度讀數達到426.7℃時(shí)，操作人員沒(méi)有啟動(dòng)反應器的緊急泄壓系統，是因為操作人員對實(shí)際上是否發(fā)生了溫度偏離感覺(jué)混亂，他們的混亂是由各種因素造成的，包括溫度讀數的波動(dòng)、補充到2段氫氣流的非連續性、氫純度分析的誤導性，以及缺乏在首次高溫出現后附加的高溫發(fā)聲報警器。為了證實(shí)反應器的溫度，操作人員派一名操作工到位于反應器下方的現場(chǎng)儀表盤(pán)讀取數值，無(wú)線(xiàn)報話(huà)器的故障妨礙了將這些數據傳達給控制室，甚至在控制室內的操作工注意到3號反應器進(jìn)口溫度超過(guò)426.7℃后，仍未啟動(dòng)泄壓緊急系統，而是開(kāi)始采取措施冷卻反應器，增加冷卻氫氣流量，降低來(lái)自平衡爐的熱量輸入。
最后，調查人員確認下述事故根本原因和影響因素：
1．雇員以安全方式操作反應器的力度不足
在出現溫度偏離時(shí)，沒(méi)有按規定要求使用緊急泄壓系統，管理層沒(méi)有采取有效的糾正措施以確保這些緊急程序得到遵循。這樣的操作環(huán)境致使操作工冒險操作，不顧嚴重的危險操作條件繼續生產(chǎn)。反應器的溫度極限沒(méi)有得到一致的表述，操作工未能總是將溫度保持在其極限之內，管理層沒(méi)有認識到或指出可接受的操作目標和危險之間的沖突。過(guò)去使用泄壓系統的負面后果可能導致操作工在規定時(shí)不愿執行泄壓操作。
2．在設計和運行反應器的溫度監控系統過(guò)程中沒(méi)有很好考慮人的因素
操作人員使用3種不同的操作系統獲取溫度數據。不是所有的溫度數據可以立即得到，這使得操作人員不能迅速做出關(guān)鍵的決策。盡管不是設計意圖，然而最關(guān)鍵的監測點(diǎn)（最高溫度）卻正好位于反應器之下，而且無(wú)法從控制室得到數據。對于外部?jì)x表盤(pán)裝置沒(méi)有實(shí)施變更管理，數據記錄儀上的報警系統在一段時(shí)間內僅允許接受一次報警，而且緊急報警和運行報警之間沒(méi)有區分。操作員靠手動(dòng)調節溫度控制系統控制溫度，這使得加氫裂解反應器更加難以操作。氫純度分析數據在實(shí)際分析時(shí)間7min后才能提供給操作人員，因此誤導操作人員。
3．監督管理不力
這方面存在明顯的嚴重缺陷，例如，工藝單元操作人員在本次以及以前發(fā)生的溫度偏離事件中沒(méi)有遵循規定的緊急程序。出現問(wèn)題時(shí)常常不通知管理層，而且違反緊急程序的行為被管理層所認可。操作人員缺乏全面培訓以及與認識氫裂解單元操作有關(guān)的知識。對于改變催化劑所需的機械變更或操作變更沒(méi)有實(shí)施變更管理計劃。
4．運行準備和維護工作不充分
控制室內的溫度監控器（數據記錄儀）不可靠，有時(shí)不能使用，而反應器的絕大部分溫度數據是靠這些儀器記錄的。在事故發(fā)生前，操作人員會(huì )不顧數據記錄儀的故障繼續運行反應器。在反應器某一點(diǎn)的溫度超過(guò)正常值10℃的情況下，數據記錄儀無(wú)法指示以便測量更高的溫度而報警。由于將現場(chǎng)儀表盤(pán)的數據傳達給控制室的無(wú)線(xiàn)通信器在事故期間不起作用，該單元的冷卻閥一直泄漏。緊急泄壓系統沒(méi)有得到過(guò)測試以保證其使用的可靠性，操作人員就是在這種條件下運行該單元的。
5．操作人員的培訓不夠
培訓教材過(guò)時(shí)，單元操作的培訓僅局限于工作任務(wù)上，且沒(méi)有形成文件。未制訂單元更新培訓計劃。操作人員在溫度儀表方面接受的培訓是不充分的，也不理解數據記錄儀上的零缺省值可能意味著(zhù)極高溫度，也不理解補充氫流量的降低是發(fā)生極高溫度偏離的征兆。缺乏異常操作情形的培訓以及處理緊急程序的能力。
6．操作程序過(guò)時(shí)且不完善
操作程序散見(jiàn)于各種文件當中，而且設備和工藝發(fā)生變化后操作程序也沒(méi)有得到更新。從幾次事故中得出的事故教訓沒(méi)有結合進(jìn)操作程序之中。許多操作沒(méi)有制訂操作程序，例如，從反應器下的現場(chǎng)儀表中獲取溫度數據的活動(dòng)。操作程序中催化劑床運行溫度的極限存在問(wèn)題。
7．工藝危險分析存在錯誤
工藝危險分析沒(méi)有指出所有的危險因素和操作缺陷，沒(méi)有反映工藝過(guò)程中實(shí)際使用的設備和儀器所存在的問(wèn)題，沒(méi)有恰當地給出以前發(fā)生的事故可能造成的災害性后果，如溫度偏離事故。對現場(chǎng)溫度儀表盤(pán)的安裝和使用沒(méi)有進(jìn)行過(guò)工藝危險分析。
三、同類(lèi)事故預防措施
EPA，CAL OSHA和BAAQMD的調查人員對這起事故進(jìn)行調查后給出如下建議，以防類(lèi)似事故在該廠(chǎng)和其他裝置中再次發(fā)生。加氫處理裝置應根據自己的實(shí)際情況認真考慮每條建議，結合實(shí)際，加以采納。
1．管理層不能只考慮成本和生產(chǎn)
管理層必須讓雇員了解運行目標和存在的危險。生產(chǎn)裝置的管理必須設置安全的可以達到的操作極限。同樣地，管理層必須為操作人員提供一個(gè)在必要時(shí)能有效執行的緊急停車(chē)程序。
2．在設計工藝控制儀表時(shí)應考慮便于操作
加氫處理反應器的溫度控制，應將控制室內所有可以利用的、必要的數據匯總到一起。使用某種備用溫度指示系統，以便在儀表發(fā)生故障時(shí)加氫處理反應器仍可繼續安全運行。在設計報警系統時(shí)，應允許將關(guān)鍵的緊急報警從其他操作報警中分出來(lái)。
3．對操作人員實(shí)行適當的監督
監督人員必須保證所有規定的程序得到遵循。監督人員應辨識并指出所有操作危險因素，對發(fā)現的問(wèn)題進(jìn)行徹底的調查，找出根本原因、采取糾正措施，對與運行事故有關(guān)的設備和工作行為應由工廠(chǎng)管理層提出整改措施。
4．保持設備的完好性
設備如有問(wèn)題應停止運行，加氫處理操作尤其需要可靠的溫度監控裝置和緊急停車(chē)裝置。設備應定期檢測，應急技能應定期訓練。在設備安裝或大修后，在運行期間，應提供維護和儀表支持。
5．加強對操作人員的培訓
管理層必須確保操作人員在工藝單元操作和化學(xué)知識方面接受定期培訓。對于加氫裂解器，培訓內容應包括反應動(dòng)力學(xué)和發(fā)生溫度偏移的原因及控制措施。操作人員應在工藝儀表的限制方面，以及如何處理儀表故障方面受到培訓。企業(yè)應確保操作人員在如何及何時(shí)使用緊急停車(chē)裝置方面接受培訓。
6．制定操作程序
該煉油廠(chǎng)的管理層必須為加氫裂解操作的所有階段制定操作程序，操作程序中應包括操作極限和偏離操作極限的后果。操作程序應得到定期審查和更新，以反映設備、工藝化學(xué)和操作的變更。如果所提建議恰當，操作程序還應根據工藝危險分析和事故調查結果得出的建議及時(shí)進(jìn)行更新。
7．進(jìn)行工藝危險分析
工藝危險分析應基于實(shí)際存在的設備和操作條件。分析中應包括關(guān)鍵操作系統，如溫度監控或緊急操作系統的故障。對于設備或工藝的所有變更情況，應進(jìn)行變更管理審查，必要時(shí)還應進(jìn)行相應的安全評價(jià)。
1997年1月21日，位于美國加利福尼亞州Martinez的托斯科埃文(Tosco Avon)煉油廠(chǎng)加氫裂解單元發(fā)生一起爆炸著(zhù)火事故，造成1人死亡，46名工人受傷，其中13人重傷。
1月21日19時(shí)41分，Tosco Avon煉油廠(chǎng)，加氫裂解2段3號反應器上的出口管破裂，輕質(zhì)氣體從管道中泄出，遇空氣立即自燃，造成一起爆炸和火災事故。一名加氫裂解器操作工在反應器下檢查現場(chǎng)溫度儀表時(shí)被炸死，46名工人受傷，13名重傷人員被送往當地醫院治療。
二、事故原因分析
為了吸取事故教訓，預防類(lèi)似事故再次發(fā)生，美國環(huán)境保護局(EPA)對此起事故原因和基本情況進(jìn)行調查。參加此起事故調查的其他調查機構還有EPA本部、EPA的9區、加利福尼亞職業(yè)安全衛生部(CAL OSHA)、美國職業(yè)安全衛生署(OSHA)9區、Contra Costa縣衛生部(CCCHSD)和加利福尼亞灣地區空氣質(zhì)量管理部(BAAQMD)。CAL OSHA在聯(lián)邦OSHA9區的協(xié)助下，同時(shí)進(jìn)行有關(guān)違反衛生安全條例的調查以及一次過(guò)程安全管理(PSM)檢查。加利福尼亞職業(yè)安全衛生部調查局進(jìn)行一次犯罪調查。CCCHSD進(jìn)行一次事故根本原因的調查。BAAQMD同時(shí)進(jìn)行一次可能違反空氣質(zhì)量控制條例的調查。
碳氫化合物和氫氣泄漏繼而起火的直接原因是2段3號反應器出口管由于極度高溫(可能超過(guò)760℃)發(fā)生破裂，該溫度是由于反應器的溫度偏離引起的，反應器的溫度偏離始于3號反應器的4床，并通過(guò)下一催化劑床5床擴展，5床中產(chǎn)生的過(guò)量的熱量使反應器出口管的溫度升高。該溫度偏離沒(méi)有得到控制，這是因為2段3號反應器沒(méi)有遵守操作程序的規定，“反應器溫度超過(guò)426.7℃時(shí)泄壓停車(chē)”。
溫度偏離始于3號反應器4床中的一個(gè)熱點(diǎn)，該熱點(diǎn)極有可能是由于催化劑床層內的流動(dòng)和熱量分布不均造成的，調查人員不能夠確定分布不均的具體原因。當反應器內部的某些溫度讀數達到426.7℃時(shí)，操作人員沒(méi)有啟動(dòng)反應器的緊急泄壓系統，是因為操作人員對實(shí)際上是否發(fā)生了溫度偏離感覺(jué)混亂，他們的混亂是由各種因素造成的，包括溫度讀數的波動(dòng)、補充到2段氫氣流的非連續性、氫純度分析的誤導性，以及缺乏在首次高溫出現后附加的高溫發(fā)聲報警器。為了證實(shí)反應器的溫度，操作人員派一名操作工到位于反應器下方的現場(chǎng)儀表盤(pán)讀取數值，無(wú)線(xiàn)報話(huà)器的故障妨礙了將這些數據傳達給控制室，甚至在控制室內的操作工注意到3號反應器進(jìn)口溫度超過(guò)426.7℃后，仍未啟動(dòng)泄壓緊急系統，而是開(kāi)始采取措施冷卻反應器，增加冷卻氫氣流量，降低來(lái)自平衡爐的熱量輸入。
最后，調查人員確認下述事故根本原因和影響因素：
1．雇員以安全方式操作反應器的力度不足
在出現溫度偏離時(shí)，沒(méi)有按規定要求使用緊急泄壓系統，管理層沒(méi)有采取有效的糾正措施以確保這些緊急程序得到遵循。這樣的操作環(huán)境致使操作工冒險操作，不顧嚴重的危險操作條件繼續生產(chǎn)。反應器的溫度極限沒(méi)有得到一致的表述，操作工未能總是將溫度保持在其極限之內，管理層沒(méi)有認識到或指出可接受的操作目標和危險之間的沖突。過(guò)去使用泄壓系統的負面后果可能導致操作工在規定時(shí)不愿執行泄壓操作。
2．在設計和運行反應器的溫度監控系統過(guò)程中沒(méi)有很好考慮人的因素
操作人員使用3種不同的操作系統獲取溫度數據。不是所有的溫度數據可以立即得到，這使得操作人員不能迅速做出關(guān)鍵的決策。盡管不是設計意圖，然而最關(guān)鍵的監測點(diǎn)（最高溫度）卻正好位于反應器之下，而且無(wú)法從控制室得到數據。對于外部?jì)x表盤(pán)裝置沒(méi)有實(shí)施變更管理，數據記錄儀上的報警系統在一段時(shí)間內僅允許接受一次報警，而且緊急報警和運行報警之間沒(méi)有區分。操作員靠手動(dòng)調節溫度控制系統控制溫度，這使得加氫裂解反應器更加難以操作。氫純度分析數據在實(shí)際分析時(shí)間7min后才能提供給操作人員，因此誤導操作人員。
3．監督管理不力
這方面存在明顯的嚴重缺陷，例如，工藝單元操作人員在本次以及以前發(fā)生的溫度偏離事件中沒(méi)有遵循規定的緊急程序。出現問(wèn)題時(shí)常常不通知管理層，而且違反緊急程序的行為被管理層所認可。操作人員缺乏全面培訓以及與認識氫裂解單元操作有關(guān)的知識。對于改變催化劑所需的機械變更或操作變更沒(méi)有實(shí)施變更管理計劃。
4．運行準備和維護工作不充分
控制室內的溫度監控器（數據記錄儀）不可靠，有時(shí)不能使用，而反應器的絕大部分溫度數據是靠這些儀器記錄的。在事故發(fā)生前，操作人員會(huì )不顧數據記錄儀的故障繼續運行反應器。在反應器某一點(diǎn)的溫度超過(guò)正常值10℃的情況下，數據記錄儀無(wú)法指示以便測量更高的溫度而報警。由于將現場(chǎng)儀表盤(pán)的數據傳達給控制室的無(wú)線(xiàn)通信器在事故期間不起作用，該單元的冷卻閥一直泄漏。緊急泄壓系統沒(méi)有得到過(guò)測試以保證其使用的可靠性，操作人員就是在這種條件下運行該單元的。
5．操作人員的培訓不夠
培訓教材過(guò)時(shí)，單元操作的培訓僅局限于工作任務(wù)上，且沒(méi)有形成文件。未制訂單元更新培訓計劃。操作人員在溫度儀表方面接受的培訓是不充分的，也不理解數據記錄儀上的零缺省值可能意味著(zhù)極高溫度，也不理解補充氫流量的降低是發(fā)生極高溫度偏離的征兆。缺乏異常操作情形的培訓以及處理緊急程序的能力。
6．操作程序過(guò)時(shí)且不完善
操作程序散見(jiàn)于各種文件當中，而且設備和工藝發(fā)生變化后操作程序也沒(méi)有得到更新。從幾次事故中得出的事故教訓沒(méi)有結合進(jìn)操作程序之中。許多操作沒(méi)有制訂操作程序，例如，從反應器下的現場(chǎng)儀表中獲取溫度數據的活動(dòng)。操作程序中催化劑床運行溫度的極限存在問(wèn)題。
7．工藝危險分析存在錯誤
工藝危險分析沒(méi)有指出所有的危險因素和操作缺陷，沒(méi)有反映工藝過(guò)程中實(shí)際使用的設備和儀器所存在的問(wèn)題，沒(méi)有恰當地給出以前發(fā)生的事故可能造成的災害性后果，如溫度偏離事故。對現場(chǎng)溫度儀表盤(pán)的安裝和使用沒(méi)有進(jìn)行過(guò)工藝危險分析。
三、同類(lèi)事故預防措施
EPA，CAL OSHA和BAAQMD的調查人員對這起事故進(jìn)行調查后給出如下建議，以防類(lèi)似事故在該廠(chǎng)和其他裝置中再次發(fā)生。加氫處理裝置應根據自己的實(shí)際情況認真考慮每條建議，結合實(shí)際，加以采納。
1．管理層不能只考慮成本和生產(chǎn)
管理層必須讓雇員了解運行目標和存在的危險。生產(chǎn)裝置的管理必須設置安全的可以達到的操作極限。同樣地，管理層必須為操作人員提供一個(gè)在必要時(shí)能有效執行的緊急停車(chē)程序。
2．在設計工藝控制儀表時(shí)應考慮便于操作
加氫處理反應器的溫度控制，應將控制室內所有可以利用的、必要的數據匯總到一起。使用某種備用溫度指示系統，以便在儀表發(fā)生故障時(shí)加氫處理反應器仍可繼續安全運行。在設計報警系統時(shí)，應允許將關(guān)鍵的緊急報警從其他操作報警中分出來(lái)。
3．對操作人員實(shí)行適當的監督
監督人員必須保證所有規定的程序得到遵循。監督人員應辨識并指出所有操作危險因素，對發(fā)現的問(wèn)題進(jìn)行徹底的調查，找出根本原因、采取糾正措施，對與運行事故有關(guān)的設備和工作行為應由工廠(chǎng)管理層提出整改措施。
4．保持設備的完好性
設備如有問(wèn)題應停止運行，加氫處理操作尤其需要可靠的溫度監控裝置和緊急停車(chē)裝置。設備應定期檢測，應急技能應定期訓練。在設備安裝或大修后，在運行期間，應提供維護和儀表支持。
5．加強對操作人員的培訓
管理層必須確保操作人員在工藝單元操作和化學(xué)知識方面接受定期培訓。對于加氫裂解器，培訓內容應包括反應動(dòng)力學(xué)和發(fā)生溫度偏移的原因及控制措施。操作人員應在工藝儀表的限制方面，以及如何處理儀表故障方面受到培訓。企業(yè)應確保操作人員在如何及何時(shí)使用緊急停車(chē)裝置方面接受培訓。
6．制定操作程序
該煉油廠(chǎng)的管理層必須為加氫裂解操作的所有階段制定操作程序，操作程序中應包括操作極限和偏離操作極限的后果。操作程序應得到定期審查和更新，以反映設備、工藝化學(xué)和操作的變更。如果所提建議恰當，操作程序還應根據工藝危險分析和事故調查結果得出的建議及時(shí)進(jìn)行更新。
7．進(jìn)行工藝危險分析
工藝危險分析應基于實(shí)際存在的設備和操作條件。分析中應包括關(guān)鍵操作系統，如溫度監控或緊急操作系統的故障。對于設備或工藝的所有變更情況，應進(jìn)行變更管理審查，必要時(shí)還應進(jìn)行相應的安全評價(jià)。