美國托斯科埃文煉油廠爆炸事故
一、事故經(jīng)過和危害
1997年1月21日，位于美國加利福尼亞州Martinez的托斯科埃文(Tosco Avon)煉油廠加氫裂解單元發(fā)生一起爆炸著火事故，造成1人死亡，46名工人受傷，其中13人重傷。
1月21日19時41分，Tosco Avon煉油廠，加氫裂解2段3號反應(yīng)器上的出口管破裂，輕質(zhì)氣體從管道中泄出，遇空氣立即自燃，造成一起爆炸和火災(zāi)事故。一名加氫裂解器操作工在反應(yīng)器下檢查現(xiàn)場溫度儀表時被炸死，46名工人受傷，13名重傷人員被送往當(dāng)?shù)蒯t(yī)院治療。
二、事故原因分析
為了吸取事故教訓(xùn)，預(yù)防類似事故再次發(fā)生，美國環(huán)境保護(hù)局(EPA)對此起事故原因和基本情況進(jìn)行調(diào)查。參加此起事故調(diào)查的其他調(diào)查機構(gòu)還有EPA本部、EPA的9區(qū)、加利福尼亞職業(yè)安全衛(wèi)生部(CAL OSHA)、美國職業(yè)安全衛(wèi)生署(OSHA)9區(qū)、Contra Costa縣衛(wèi)生部(CCCHSD)和加利福尼亞灣地區(qū)空氣質(zhì)量管理部(BAAQMD)。CAL OSHA在聯(lián)邦OSHA9區(qū)的協(xié)助下，同時進(jìn)行有關(guān)違反衛(wèi)生安全條例的調(diào)查以及一次過程安全管理(PSM)檢查。加利福尼亞職業(yè)安全衛(wèi)生部調(diào)查局進(jìn)行一次犯罪調(diào)查。CCCHSD進(jìn)行一次事故根本原因的調(diào)查。BAAQMD同時進(jìn)行一次可能違反空氣質(zhì)量控制條例的調(diào)查。
碳?xì)浠衔锖蜌錃庑孤├^而起火的直接原因是2段3號反應(yīng)器出口管由于極度高溫(可能超過760℃)發(fā)生破裂，該溫度是由于反應(yīng)器的溫度偏離引起的，反應(yīng)器的溫度偏離始于3號反應(yīng)器的4床，并通過下一催化劑床5床擴展，5床中產(chǎn)生的過量的熱量使反應(yīng)器出口管的溫度升高。該溫度偏離沒有得到控制，這是因為2段3號反應(yīng)器沒有遵守操作程序的規(guī)定，“反應(yīng)器溫度超過426.7℃時泄壓停車”。
溫度偏離始于3號反應(yīng)器4床中的一個熱點，該熱點極有可能是由于催化劑床層內(nèi)的流動和熱量分布不均造成的，調(diào)查人員不能夠確定分布不均的具體原因。當(dāng)反應(yīng)器內(nèi)部的某些溫度讀數(shù)達(dá)到426.7℃時，操作人員沒有啟動反應(yīng)器的緊急泄壓系統(tǒng)，是因為操作人員對實際上是否發(fā)生了溫度偏離感覺混亂，他們的混亂是由各種因素造成的，包括溫度讀數(shù)的波動、補充到2段氫氣流的非連續(xù)性、氫純度分析的誤導(dǎo)性，以及缺乏在首次高溫出現(xiàn)后附加的高溫發(fā)聲報警器。為了證實反應(yīng)器的溫度，操作人員派一名操作工到位于反應(yīng)器下方的現(xiàn)場儀表盤讀取數(shù)值，無線報話器的故障妨礙了將這些數(shù)據(jù)傳達(dá)給控制室，甚至在控制室內(nèi)的操作工注意到3號反應(yīng)器進(jìn)口溫度超過426.7℃后，仍未啟動泄壓緊急系統(tǒng)，而是開始采取措施冷卻反應(yīng)器，增加冷卻氫氣流量，降低來自平衡爐的熱量輸入。
最后，調(diào)查人員確認(rèn)下述事故根本原因和影響因素：
1．雇員以安全方式操作反應(yīng)器的力度不足
在出現(xiàn)溫度偏離時，沒有按規(guī)定要求使用緊急泄壓系統(tǒng)，管理層沒有采取有效的糾正措施以確保這些緊急程序得到遵循。這樣的操作環(huán)境致使操作工冒險操作，不顧嚴(yán)重的危險操作條件繼續(xù)生產(chǎn)。反應(yīng)器的溫度極限沒有得到一致的表述，操作工未能總是將溫度保持在其極限之內(nèi)，管理層沒有認(rèn)識到或指出可接受的操作目標(biāo)和危險之間的沖突。過去使用泄壓系統(tǒng)的負(fù)面后果可能導(dǎo)致操作工在規(guī)定時不愿執(zhí)行泄壓操作。
2．在設(shè)計和運行反應(yīng)器的溫度監(jiān)控系統(tǒng)過程中沒有很好考慮人的因素
操作人員使用3種不同的操作系統(tǒng)獲取溫度數(shù)據(jù)。不是所有的溫度數(shù)據(jù)可以立即得到，這使得操作人員不能迅速做出關(guān)鍵的決策。盡管不是設(shè)計意圖，然而最關(guān)鍵的監(jiān)測點（最高溫度）卻正好位于反應(yīng)器之下，而且無法從控制室得到數(shù)據(jù)。對于外部儀表盤裝置沒有實施變更管理，數(shù)據(jù)記錄儀上的報警系統(tǒng)在一段時間內(nèi)僅允許接受一次報警，而且緊急報警和運行報警之間沒有區(qū)分。操作員靠手動調(diào)節(jié)溫度控制系統(tǒng)控制溫度，這使得加氫裂解反應(yīng)器更加難以操作。氫純度分析數(shù)據(jù)在實際分析時間7min后才能提供給操作人員，因此誤導(dǎo)操作人員。
3．監(jiān)督管理不力
這方面存在明顯的嚴(yán)重缺陷，例如，工藝單元操作人員在本次以及以前發(fā)生的溫度偏離事件中沒有遵循規(guī)定的緊急程序。出現(xiàn)問題時常常不通知管理層，而且違反緊急程序的行為被管理層所認(rèn)可。操作人員缺乏全面培訓(xùn)以及與認(rèn)識氫裂解單元操作有關(guān)的知識。對于改變催化劑所需的機械變更或操作變更沒有實施變更管理計劃。
4．運行準(zhǔn)備和維護(hù)工作不充分
控制室內(nèi)的溫度監(jiān)控器（數(shù)據(jù)記錄儀）不可靠，有時不能使用，而反應(yīng)器的絕大部分溫度數(shù)據(jù)是靠這些儀器記錄的。在事故發(fā)生前，操作人員會不顧數(shù)據(jù)記錄儀的故障繼續(xù)運行反應(yīng)器。在反應(yīng)器某一點的溫度超過正常值10℃的情況下，數(shù)據(jù)記錄儀無法指示以便測量更高的溫度而報警。由于將現(xiàn)場儀表盤的數(shù)據(jù)傳達(dá)給控制室的無線通信器在事故期間不起作用，該單元的冷卻閥一直泄漏。緊急泄壓系統(tǒng)沒有得到過測試以保證其使用的可靠性，操作人員就是在這種條件下運行該單元的。
5．操作人員的培訓(xùn)不夠
培訓(xùn)教材過時，單元操作的培訓(xùn)僅局限于工作任務(wù)上，且沒有形成文件。未制訂單元更新培訓(xùn)計劃。操作人員在溫度儀表方面接受的培訓(xùn)是不充分的，也不理解數(shù)據(jù)記錄儀上的零缺省值可能意味著極高溫度，也不理解補充氫流量的降低是發(fā)生極高溫度偏離的征兆。缺乏異常操作情形的培訓(xùn)以及處理緊急程序的能力。
6．操作程序過時且不完善
操作程序散見于各種文件當(dāng)中，而且設(shè)備和工藝發(fā)生變化后操作程序也沒有得到更新。從幾次事故中得出的事故教訓(xùn)沒有結(jié)合進(jìn)操作程序之中。許多操作沒有制訂操作程序，例如，從反應(yīng)器下的現(xiàn)場儀表中獲取溫度數(shù)據(jù)的活動。操作程序中催化劑床運行溫度的極限存在問題。
7．工藝危險分析存在錯誤
工藝危險分析沒有指出所有的危險因素和操作缺陷，沒有反映工藝過程中實際使用的設(shè)備和儀器所存在的問題，沒有恰當(dāng)?shù)亟o出以前發(fā)生的事故可能造成的災(zāi)害性后果，如溫度偏離事故。對現(xiàn)場溫度儀表盤的安裝和使用沒有進(jìn)行過工藝危險分析。
三、同類事故預(yù)防措施
EPA，CAL OSHA和BAAQMD的調(diào)查人員對這起事故進(jìn)行調(diào)查后給出如下建議，以防類似事故在該廠和其他裝置中再次發(fā)生。加氫處理裝置應(yīng)根據(jù)自己的實際情況認(rèn)真考慮每條建議，結(jié)合實際，加以采納。
1．管理層不能只考慮成本和生產(chǎn)
管理層必須讓雇員了解運行目標(biāo)和存在的危險。生產(chǎn)裝置的管理必須設(shè)置安全的可以達(dá)到的操作極限。同樣地，管理層必須為操作人員提供一個在必要時能有效執(zhí)行的緊急停車程序。
2．在設(shè)計工藝控制儀表時應(yīng)考慮便于操作
加氫處理反應(yīng)器的溫度控制，應(yīng)將控制室內(nèi)所有可以利用的、必要的數(shù)據(jù)匯總到一起。使用某種備用溫度指示系統(tǒng)，以便在儀表發(fā)生故障時加氫處理反應(yīng)器仍可繼續(xù)安全運行。在設(shè)計報警系統(tǒng)時，應(yīng)允許將關(guān)鍵的緊急報警從其他操作報警中分出來。
3．對操作人員實行適當(dāng)?shù)谋O(jiān)督
監(jiān)督人員必須保證所有規(guī)定的程序得到遵循。監(jiān)督人員應(yīng)辨識并指出所有操作危險因素，對發(fā)現(xiàn)的問題進(jìn)行徹底的調(diào)查，找出根本原因、采取糾正措施，對與運行事故有關(guān)的設(shè)備和工作行為應(yīng)由工廠管理層提出整改措施。
4．保持設(shè)備的完好性
設(shè)備如有問題應(yīng)停止運行，加氫處理操作尤其需要可靠的溫度監(jiān)控裝置和緊急停車裝置。設(shè)備應(yīng)定期檢測，應(yīng)急技能應(yīng)定期訓(xùn)練。在設(shè)備安裝或大修后，在運行期間，應(yīng)提供維護(hù)和儀表支持。
5．加強對操作人員的培訓(xùn)
管理層必須確保操作人員在工藝單元操作和化學(xué)知識方面接受定期培訓(xùn)。對于加氫裂解器，培訓(xùn)內(nèi)容應(yīng)包括反應(yīng)動力學(xué)和發(fā)生溫度偏移的原因及控制措施。操作人員應(yīng)在工藝儀表的限制方面，以及如何處理儀表故障方面受到培訓(xùn)。企業(yè)應(yīng)確保操作人員在如何及何時使用緊急停車裝置方面接受培訓(xùn)。
6．制定操作程序
該煉油廠的管理層必須為加氫裂解操作的所有階段制定操作程序，操作程序中應(yīng)包括操作極限和偏離操作極限的后果。操作程序應(yīng)得到定期審查和更新，以反映設(shè)備、工藝化學(xué)和操作的變更。如果所提建議恰當(dāng)，操作程序還應(yīng)根據(jù)工藝危險分析和事故調(diào)查結(jié)果得出的建議及時進(jìn)行更新。
7．進(jìn)行工藝危險分析
工藝危險分析應(yīng)基于實際存在的設(shè)備和操作條件。分析中應(yīng)包括關(guān)鍵操作系統(tǒng)，如溫度監(jiān)控或緊急操作系統(tǒng)的故障。對于設(shè)備或工藝的所有變更情況，應(yīng)進(jìn)行變更管理審查，必要時還應(yīng)進(jìn)行相應(yīng)的安全評價。
1997年1月21日，位于美國加利福尼亞州Martinez的托斯科埃文(Tosco Avon)煉油廠加氫裂解單元發(fā)生一起爆炸著火事故，造成1人死亡，46名工人受傷，其中13人重傷。
1月21日19時41分，Tosco Avon煉油廠，加氫裂解2段3號反應(yīng)器上的出口管破裂，輕質(zhì)氣體從管道中泄出，遇空氣立即自燃，造成一起爆炸和火災(zāi)事故。一名加氫裂解器操作工在反應(yīng)器下檢查現(xiàn)場溫度儀表時被炸死，46名工人受傷，13名重傷人員被送往當(dāng)?shù)蒯t(yī)院治療。
二、事故原因分析
為了吸取事故教訓(xùn)，預(yù)防類似事故再次發(fā)生，美國環(huán)境保護(hù)局(EPA)對此起事故原因和基本情況進(jìn)行調(diào)查。參加此起事故調(diào)查的其他調(diào)查機構(gòu)還有EPA本部、EPA的9區(qū)、加利福尼亞職業(yè)安全衛(wèi)生部(CAL OSHA)、美國職業(yè)安全衛(wèi)生署(OSHA)9區(qū)、Contra Costa縣衛(wèi)生部(CCCHSD)和加利福尼亞灣地區(qū)空氣質(zhì)量管理部(BAAQMD)。CAL OSHA在聯(lián)邦OSHA9區(qū)的協(xié)助下，同時進(jìn)行有關(guān)違反衛(wèi)生安全條例的調(diào)查以及一次過程安全管理(PSM)檢查。加利福尼亞職業(yè)安全衛(wèi)生部調(diào)查局進(jìn)行一次犯罪調(diào)查。CCCHSD進(jìn)行一次事故根本原因的調(diào)查。BAAQMD同時進(jìn)行一次可能違反空氣質(zhì)量控制條例的調(diào)查。
碳?xì)浠衔锖蜌錃庑孤├^而起火的直接原因是2段3號反應(yīng)器出口管由于極度高溫(可能超過760℃)發(fā)生破裂，該溫度是由于反應(yīng)器的溫度偏離引起的，反應(yīng)器的溫度偏離始于3號反應(yīng)器的4床，并通過下一催化劑床5床擴展，5床中產(chǎn)生的過量的熱量使反應(yīng)器出口管的溫度升高。該溫度偏離沒有得到控制，這是因為2段3號反應(yīng)器沒有遵守操作程序的規(guī)定，“反應(yīng)器溫度超過426.7℃時泄壓停車”。
溫度偏離始于3號反應(yīng)器4床中的一個熱點，該熱點極有可能是由于催化劑床層內(nèi)的流動和熱量分布不均造成的，調(diào)查人員不能夠確定分布不均的具體原因。當(dāng)反應(yīng)器內(nèi)部的某些溫度讀數(shù)達(dá)到426.7℃時，操作人員沒有啟動反應(yīng)器的緊急泄壓系統(tǒng)，是因為操作人員對實際上是否發(fā)生了溫度偏離感覺混亂，他們的混亂是由各種因素造成的，包括溫度讀數(shù)的波動、補充到2段氫氣流的非連續(xù)性、氫純度分析的誤導(dǎo)性，以及缺乏在首次高溫出現(xiàn)后附加的高溫發(fā)聲報警器。為了證實反應(yīng)器的溫度，操作人員派一名操作工到位于反應(yīng)器下方的現(xiàn)場儀表盤讀取數(shù)值，無線報話器的故障妨礙了將這些數(shù)據(jù)傳達(dá)給控制室，甚至在控制室內(nèi)的操作工注意到3號反應(yīng)器進(jìn)口溫度超過426.7℃后，仍未啟動泄壓緊急系統(tǒng)，而是開始采取措施冷卻反應(yīng)器，增加冷卻氫氣流量，降低來自平衡爐的熱量輸入。
最后，調(diào)查人員確認(rèn)下述事故根本原因和影響因素：
1．雇員以安全方式操作反應(yīng)器的力度不足
在出現(xiàn)溫度偏離時，沒有按規(guī)定要求使用緊急泄壓系統(tǒng)，管理層沒有采取有效的糾正措施以確保這些緊急程序得到遵循。這樣的操作環(huán)境致使操作工冒險操作，不顧嚴(yán)重的危險操作條件繼續(xù)生產(chǎn)。反應(yīng)器的溫度極限沒有得到一致的表述，操作工未能總是將溫度保持在其極限之內(nèi)，管理層沒有認(rèn)識到或指出可接受的操作目標(biāo)和危險之間的沖突。過去使用泄壓系統(tǒng)的負(fù)面后果可能導(dǎo)致操作工在規(guī)定時不愿執(zhí)行泄壓操作。
2．在設(shè)計和運行反應(yīng)器的溫度監(jiān)控系統(tǒng)過程中沒有很好考慮人的因素
操作人員使用3種不同的操作系統(tǒng)獲取溫度數(shù)據(jù)。不是所有的溫度數(shù)據(jù)可以立即得到，這使得操作人員不能迅速做出關(guān)鍵的決策。盡管不是設(shè)計意圖，然而最關(guān)鍵的監(jiān)測點（最高溫度）卻正好位于反應(yīng)器之下，而且無法從控制室得到數(shù)據(jù)。對于外部儀表盤裝置沒有實施變更管理，數(shù)據(jù)記錄儀上的報警系統(tǒng)在一段時間內(nèi)僅允許接受一次報警，而且緊急報警和運行報警之間沒有區(qū)分。操作員靠手動調(diào)節(jié)溫度控制系統(tǒng)控制溫度，這使得加氫裂解反應(yīng)器更加難以操作。氫純度分析數(shù)據(jù)在實際分析時間7min后才能提供給操作人員，因此誤導(dǎo)操作人員。
3．監(jiān)督管理不力
這方面存在明顯的嚴(yán)重缺陷，例如，工藝單元操作人員在本次以及以前發(fā)生的溫度偏離事件中沒有遵循規(guī)定的緊急程序。出現(xiàn)問題時常常不通知管理層，而且違反緊急程序的行為被管理層所認(rèn)可。操作人員缺乏全面培訓(xùn)以及與認(rèn)識氫裂解單元操作有關(guān)的知識。對于改變催化劑所需的機械變更或操作變更沒有實施變更管理計劃。
4．運行準(zhǔn)備和維護(hù)工作不充分
控制室內(nèi)的溫度監(jiān)控器（數(shù)據(jù)記錄儀）不可靠，有時不能使用，而反應(yīng)器的絕大部分溫度數(shù)據(jù)是靠這些儀器記錄的。在事故發(fā)生前，操作人員會不顧數(shù)據(jù)記錄儀的故障繼續(xù)運行反應(yīng)器。在反應(yīng)器某一點的溫度超過正常值10℃的情況下，數(shù)據(jù)記錄儀無法指示以便測量更高的溫度而報警。由于將現(xiàn)場儀表盤的數(shù)據(jù)傳達(dá)給控制室的無線通信器在事故期間不起作用，該單元的冷卻閥一直泄漏。緊急泄壓系統(tǒng)沒有得到過測試以保證其使用的可靠性，操作人員就是在這種條件下運行該單元的。
5．操作人員的培訓(xùn)不夠
培訓(xùn)教材過時，單元操作的培訓(xùn)僅局限于工作任務(wù)上，且沒有形成文件。未制訂單元更新培訓(xùn)計劃。操作人員在溫度儀表方面接受的培訓(xùn)是不充分的，也不理解數(shù)據(jù)記錄儀上的零缺省值可能意味著極高溫度，也不理解補充氫流量的降低是發(fā)生極高溫度偏離的征兆。缺乏異常操作情形的培訓(xùn)以及處理緊急程序的能力。
6．操作程序過時且不完善
操作程序散見于各種文件當(dāng)中，而且設(shè)備和工藝發(fā)生變化后操作程序也沒有得到更新。從幾次事故中得出的事故教訓(xùn)沒有結(jié)合進(jìn)操作程序之中。許多操作沒有制訂操作程序，例如，從反應(yīng)器下的現(xiàn)場儀表中獲取溫度數(shù)據(jù)的活動。操作程序中催化劑床運行溫度的極限存在問題。
7．工藝危險分析存在錯誤
工藝危險分析沒有指出所有的危險因素和操作缺陷，沒有反映工藝過程中實際使用的設(shè)備和儀器所存在的問題，沒有恰當(dāng)?shù)亟o出以前發(fā)生的事故可能造成的災(zāi)害性后果，如溫度偏離事故。對現(xiàn)場溫度儀表盤的安裝和使用沒有進(jìn)行過工藝危險分析。
三、同類事故預(yù)防措施
EPA，CAL OSHA和BAAQMD的調(diào)查人員對這起事故進(jìn)行調(diào)查后給出如下建議，以防類似事故在該廠和其他裝置中再次發(fā)生。加氫處理裝置應(yīng)根據(jù)自己的實際情況認(rèn)真考慮每條建議，結(jié)合實際，加以采納。
1．管理層不能只考慮成本和生產(chǎn)
管理層必須讓雇員了解運行目標(biāo)和存在的危險。生產(chǎn)裝置的管理必須設(shè)置安全的可以達(dá)到的操作極限。同樣地，管理層必須為操作人員提供一個在必要時能有效執(zhí)行的緊急停車程序。
2．在設(shè)計工藝控制儀表時應(yīng)考慮便于操作
加氫處理反應(yīng)器的溫度控制，應(yīng)將控制室內(nèi)所有可以利用的、必要的數(shù)據(jù)匯總到一起。使用某種備用溫度指示系統(tǒng)，以便在儀表發(fā)生故障時加氫處理反應(yīng)器仍可繼續(xù)安全運行。在設(shè)計報警系統(tǒng)時，應(yīng)允許將關(guān)鍵的緊急報警從其他操作報警中分出來。
3．對操作人員實行適當(dāng)?shù)谋O(jiān)督
監(jiān)督人員必須保證所有規(guī)定的程序得到遵循。監(jiān)督人員應(yīng)辨識并指出所有操作危險因素，對發(fā)現(xiàn)的問題進(jìn)行徹底的調(diào)查，找出根本原因、采取糾正措施，對與運行事故有關(guān)的設(shè)備和工作行為應(yīng)由工廠管理層提出整改措施。
4．保持設(shè)備的完好性
設(shè)備如有問題應(yīng)停止運行，加氫處理操作尤其需要可靠的溫度監(jiān)控裝置和緊急停車裝置。設(shè)備應(yīng)定期檢測，應(yīng)急技能應(yīng)定期訓(xùn)練。在設(shè)備安裝或大修后，在運行期間，應(yīng)提供維護(hù)和儀表支持。
5．加強對操作人員的培訓(xùn)
管理層必須確保操作人員在工藝單元操作和化學(xué)知識方面接受定期培訓(xùn)。對于加氫裂解器，培訓(xùn)內(nèi)容應(yīng)包括反應(yīng)動力學(xué)和發(fā)生溫度偏移的原因及控制措施。操作人員應(yīng)在工藝儀表的限制方面，以及如何處理儀表故障方面受到培訓(xùn)。企業(yè)應(yīng)確保操作人員在如何及何時使用緊急停車裝置方面接受培訓(xùn)。
6．制定操作程序
該煉油廠的管理層必須為加氫裂解操作的所有階段制定操作程序，操作程序中應(yīng)包括操作極限和偏離操作極限的后果。操作程序應(yīng)得到定期審查和更新，以反映設(shè)備、工藝化學(xué)和操作的變更。如果所提建議恰當(dāng)，操作程序還應(yīng)根據(jù)工藝危險分析和事故調(diào)查結(jié)果得出的建議及時進(jìn)行更新。
7．進(jìn)行工藝危險分析
工藝危險分析應(yīng)基于實際存在的設(shè)備和操作條件。分析中應(yīng)包括關(guān)鍵操作系統(tǒng)，如溫度監(jiān)控或緊急操作系統(tǒng)的故障。對于設(shè)備或工藝的所有變更情況，應(yīng)進(jìn)行變更管理審查，必要時還應(yīng)進(jìn)行相應(yīng)的安全評價。