BP炼油厂重大事故调查报告.doc

下载

下载

56积分

70积分

下载

70积分

VIP价：56积分

重大事故调查报告 异构化装置爆炸最终报告 美国 得克萨斯州 得克萨斯城 事故发生日期：2005 年 3 月 23 日 报告日期：2005 年 12 月 9 日 由事故调查组组长 J. Mogford 批准签发 执 行 概 要 2005 年 3 月 23 日，英国石油公司（BP）位于北美地区的美国得州得克萨斯城炼油厂异构化 （ISOM）装置发生火灾和爆炸，此次事故共造成 15 人死亡、170 多人受伤。 为了让大家能很快汲取此次事故教训，并加速整改措施的实施，我们于 5 月 17 日发布了一份中期 报告。该报告确定了此次事故的关键因素。为早日公布上述报告，中期报告中并未分析导致此次事故的 下列根本原因。 最终报告旨在深入了解此次事故的原因，并提出补充的整改措施，以避免类似事故的再次发生， 并提高现场的安全绩效。 事故调查组认为，如中期报告所述，此次事故有四个关键因素，假如没有这四个关键因素，这次 事故也就不会发生、或者说事故所造成的影响也就不会象现在那样严重。  失去控制  残液分馏塔开车程序和知识与技巧的应用  工作管理和临时移动办公室的建筑选址  排放烟囱的设计和施工 造成事故的原因是由于比空气重的烃类蒸汽与着火源（可能是运转的车辆引擎）接触后发生燃烧而 引起的。由于塔内物料装填过满以及过度加热而造成残液分馏塔过压保护系统启动后，由液相生成的烃 类开始从 F－20 排放烟囱中溢流出来。 由于未能建立塔内液体外流、且未能及时采取有效的紧急行动，最后导致爆炸前的失控。这些事实 都说明操作未能遵循许多既定方针和程序。另外，装置指定的班长当时不在现场，未能监督按既定程序 进行操作，而这已经是日常运行中的一项惯例。 另外，许多人聚集在临时移动办公室内和其周围又加剧了事故的严重性，上述临时建筑的位置又 离换班地点太近。那些受伤人员本应受到警告并离开上述危险区，但是意识到上述事件的人员并未向他 们发出警告。现在还不清楚为何那些意识到工艺波动的人员未能发出警告信号。要是切断了用于轻烃类 烟囱的排放并安装了本安型仪表（如果有），本可以降低此次事故的可能性。 调查组没有发现任何迹象表明有人有意或故意采取行动或作出决定而将他人置于危险境地。 尽管现场管理组织实施了各种整改计划，例如 1000 天计划等，并在整个现场范围内完成了重大事 故风险评估（MAR）工作，除此之外，还在以前的事故发生后开始在培训、审查以及企业文化方面引入 了许多改进措施，但是事故调查组仍然发现现场有许多方面还未按照各项程序、方针和预期行为实施各 项工作。 调查过程中，调查组发现许多方面的惯例亟待改进（虽然不是此次事故的关键因素），并就此提出 了一些建议。 调查中我们采用了 BP 的根本原因法，CCPS（化工工艺安全中心）指南对该法做了补充。期间我 们做了文件记录作为证明，从面谈中我们收集了相关证据，独立证据都是至少从两个当事人处获得的。 如未经确认，我们就会在报告中加以注明。 主要原因确定如下:  多年以来，由于对变革的抵触、缺乏诚信和动力、没有发展目标，工作环境已日趋恶化。再者， 对监控和管理行为含糊不清的期望意味着不能不折不扣的按照规定行事，缺乏严厉、个别人在 提供建议或提出整改措施时感觉没有发言权。  未能建立工艺安全、操作绩效和减少系统风险为上的原则，并且在管理上未能始终如一强制贯 彻执行。  由于复杂的组织机构发生诸多变化而导致了缺乏明确的职责和有效沟通，二者共同导致了工人 们对自己岗位和职责模糊不清。  由于对危险意识不强以及对现场工艺安全理解不透彻，结果导致了人们竟然理所当然地接受了 那些比同等装置风险程度高许多的风险。上述后果的一种表现就是临时移动办公室竟然布置在 离排放烟囱 150 英尺远的范围内，而该烟囱的作用是把比空气重的烃类排放到大气中，而对此 已建立的行业惯例竟未表示任何疑问。  在竖向沟通和绩效管理程序较差的情况下，工厂内既没有足够的早期问题报警机制，也没有独 立的了解标准过时的方法。 事故期间所表现出来的上述行为和行动的主要原因很复杂，所以调查组在此方面花了很长时间。 很显然，上述原因的形成由来已久，所以需要协力和尽职尽责的行动方能调查清楚。 中期报告就下列各方面提出了建议措施；  人员和程序  工作管理和移动办公室的建筑选址  设计和工程施工 本报告通过一些补充的建议对上述三方面做了增补，并就管理层和主要体制方面提出了一些新的建 议。 目 录 执行概要 ................................................................................................................................................................2 主体部分 1. 简 述 ...............................................................................................................................................................14 2．事故背景 ........................................................................................................................................................15 3．事故叙述 ........................................................................................................................................................18 造成事故发生的事件顺序 .....................................................................................................................18 事故 .........................................................................................................................................................21 4．证 据 ..............................................................................................................................................................23 现场检查 .................................................................................................................................................23 目击证人 .................................................................................................................................................23 样品 .........................................................................................................................................................24 设备测试 .................................................................................................................................................24 文件检查 .................................................................................................................................................26 5. 证据分析 .........................................................................................................................................................28 证据分析简介 ..........................................................................................................................................28 失控－可能的情形 .................................................................................................................................28 (a) 蒸汽压力/液体夹带 ...............................................................................................................29 (b) 蒸汽生成................................................................................................................................29 (c) 氮气 .......................................................................................................................................29 (d) 不合适的进料.......................................................................................................................30 污水系统 ....................................................................................................................................30 情形结论 ....................................................................................................................................30 工艺模拟 ..................................................................................................................................................30 残液分馏塔中的液体存量 ........................................................................................................30 往残液分馏塔中装料 ................................................................................................................32 . 残液分馏塔的进料成分 ...........................................................................................................35 进入分馏塔的热输入 ................................................................................................................35 分馏塔进料预热和进料蒸发 ....................................................................................................38 排放到排污罐中的烃类数量 ....................................................................................................39 排放到下水道中的烃类数量 ....................................................................................................39 排放到空气中的烃类数量 ........................................................................................................40 动态模拟 ....................................................................................................................................40 技术分析的结论 ......................................................................................................................41 排放模拟 .................................................................................................................................................41 排污罐的蒸汽扩散 ....................................................................................................................41 爆炸模拟 .................................................................................................................................................42 下水道 ......................................................................................................................................................45 样品分析 .................................................................................................................................................45 操作 .........................................................................................................................................................46 控制表盘指示 ............................................................................................................................46 介入 ............................................................................................................................................50 残液分馏塔塔釜液显示液位和实际液位 ................................................................................50 液位测量的密度误差 ................................................................................................................50 残液分馏塔压力控制 ................................................................................................................52 结论 ............................................................................................................................................53 排污罐的高液位报警 ................................................................................................................54 卫星控制室 ................................................................................................................................54 外操 ............................................................................................................................................54 超时工作 ..................................................................................................................................55 结论 ..........................................................................................................................................55 危害分析 ...............................................................................................................................................55 Hazop 和重审 ..............................................................................................................................55 重大事故风险（MAR） ...........................................................................................................58 行动追踪 ....................................................................................................................................58 结论 ............................................................................................................................................59 操作程序 ...............................................................................................................................................59 开车程序 ..................................................................................................................................59 开车程序的使用 ......................................................................................................................61 开车程序各个步骤签字 ..........................................................................................................61 正常开车 ..................................................................................................................................61 偏离开车程序 ..........................................................................................................................63 以前历次开车中与开车程序不符的种种情况 ......................................................................65 开车前审查 ..............................................................................................................................66 故障排除和介入 ......................................................................................................................66 安全作业规程 ..........................................................................................................................66 交接班 ....................................................................................................................................67 操作波动/问题报告 ...............................................................................................................67 结论 ........................................................................................................................................67 培训 （知识和技能） .........................................................................................................................68 培训计划 ..................................................................................................................................68 培训记录 ..................................................................................................................................70 ISOM 操作工 ............................................................................................................................70 ISOM 班长（包括代班长） ....................................................................................................71 实战演习 ..................................................................................................................................72 缺乏模拟器 ..............................................................................................................................72 故障排除培训 ..........................................................................................................................72 应急培训 ..................................................................................................................................73 工艺安全知识和技能 ..............................................................................................................73 培训计划审核 ........................................................................................................................73 MOC 培训 ..............................................................................................................................74 结论 ......................................................................................................................................74 建筑选址 ...............................................................................................................................................74 规定 ..........................................................................................................................................74 行业指南 ..................................................................................................................................74 Amoco 工作规程书...................................................................................................................75 得克萨斯城的相关程序 ..........................................................................................................75 移动办公室 ..............................................................................................................................75 检修用的 MOC（变更管理）程序 ........................................................................................78 移动办公室的位置 ..................................................................................................................78 建筑选址法比较 ......................................................................................................................79 结论 ..........................................................................................................................................82 装置设计、工程和操作性 ...................................................................................................................82 残液分馏塔 ..............................................................................................................................82 排污罐 ......................................................................................................................................85 控制室 ......................................................................................................................................88 危险区域等级 ..........................................................................................................................88 结论 ..........................................................................................................................................89 设备测试 ...............................................................................................................................................89 现场测试 ..................................................................................................................................89 车间测试 ..................................................................................................................................92 维修/机械完整性 ..................................................................................................................................94 维修计划 ..................................................................................................................................94 残液分馏塔 ..............................................................................................................................94 排污罐（F－20） ....................................................................................................................97 安全关键设备 ..........................................................................................................................98 内部检查 ..................................................................................................................................98 结论 ..........................................................................................................................................98 应急响应 ...............................................................................................................................................99 应急响应计划 ..........................................................................................................................99 疏散警报 ..................................................................................................................................99 结论 .........................................................................................................................................100 以前历次事故回顾 .............................................................................................................................100 残液分馏塔和排污罐 ............................................................................................................100 历次开车回顾 ........................................................................................................................101 外部事故 ................................................................................................................................102 结论 ........................................................................................................................................103 审查计划 .............................................................................................................................................103 PSM 审查 ................................................................................................................................103 gHSEr 审查..............................................................................................................................104 其它审查 .................................................................................................................................104 纠正行动 ................................................................................................................................105 结论 ........................................................................................................................................105 风险 .....................................................................................................................................................105 风险意识 ................................................................................................................................105 风险接受 ................................................................................................................................106 结论 ........................................................................................................................................106 沟通 .....................................................................................................................................................106 操作 ........................................................................................................................................106 工艺安全 ................................................................................................................................107 结论 ........................................................................................................................................107 业务计划 .............................................................................................................................................107 测量和监控 .........................................................................................................................................108 组织机构 .............................................................................................................................................108 操作 .........................................................................................................................................108 ISOM 装置 ..............................................................................................................................109 工程 ........................................................................................................................................110 安全委员会 ............................................................................................................................110 结论 ........................................................................................................................................113 领导 .....................................................................................................................................................113 结论 ........................................................................................................................................114 6. 因果分析 .......................................................................................................................................................115 关键因素 ...............................................................................................................................................119 关键因素的原因分析 ...........................................................................................................................120 潜在文化问题 .......................................................................................................................................120 业务背景 ..................................................................................................................................120 “安全”第一 ................................................................................................................................121 组织架构的复杂性及能力 ......................................................................................................122 . 4 无能力看到风险的存在 .........................................................................................................122 缺少早期警告 ..........................................................................................................................123 7. 纠正行动建议 ...............................................................................................................................................124 人员 .......................................................................................................................................................124 管理层 ......................................................................................................................................124 监督 ..........................................................................................................................................124 工作场所的环境 ......................................................................................................................124 个人业绩 ..................................................................................................................................125 资源 ..........................................................................................................................................125 沟通 ..........................................................................................................................................125 操作工 ......................................................................................................................................125 培训 ..........................................................................................................................................125 组织架构 ..................................................................................................................................126 程序 .......................................................................................................................................................127 作业控制及移动办公室的现场布置 ...................................................................................................127 移动办公室 ..............................................................................................................................127 安全临界设备 (SCE) ..............................................................................................................127 建筑选址 ..................................................................................................................................127 危险区域等级(HAC) ...............................................................................................................127 PHAs/MOCs/Hazops .................................................................................................................128 设计方案和施工 ...................................................................................................................................128 责任 ..........................................................................................................................................128 ISOM 的设计和施工 ................................................................................................................128 报警系统 ...................................................................................................................................128 潜在系统 ...............................................................................................................................................128 事故调查及报告 ...................................................................................................................................129 图 图 2－1:残液分馏塔 ...........................................................................................................................................16 图 2－2:事故后的排污罐和 ISOM（异构化）装置 ........................................................................................17 图 5－1:图残液分馏塔的估计液位高度和时间 ................................................................................................31 图 5－2:残液分馏塔塔温度随着液位上升而增高 ............................................................................................32 图 5－3:随着分馏塔压力升高进料流速开始下降 ............................................................................................33 图 5－4:残液分馏塔塔标高 ................................................................................................................................34 图 5－5:泡点压力和温度 ....................................................................................................................................35 图 5－6:事故期间再沸器燃料气流速 ................................................................................................................36 图 5－7:进料/出料热交换 ...................................................................................................................................37 图 5－8:残液分馏塔塔进料预热 ........................................................................................................................38 图 5－9:DCS 屏幕显示残液分馏塔液位为 50％时未报警...............................................................................47 图 5－10:DCS 屏上显示在液位为 75％时残液分馏塔液位报警.....................................................................48 图 5－11:所示塔底液位随着温度上升而下降 ..................................................................................................52 图 5－12:LT－5100 塔液位传感器测试 ...........................................................................................................93 表 表 3－1:AU2/ISOM/NDU 装置全体操作人员..................................................................................................18 表 5－1:进入残液分馏塔的热输入 ....................................................................................................................36 表 5－2:通过减压阀所排放的烃类数量 ............................................................................................................39 表 5－3:流入污水系统的最大液体流量 ............................................................................................................40 表 5－4:不同情形下从排放烟囱顶部出来的流量 ............................................................................................41 表 5－5:密集对爆炸过压的影响 ........................................................................................................................44 表 5－6:残液进料密度和温度 ............................................................................................................................51 表 5－7:学习和发展部培训预算 ........................................................................................................................69 表 6 - 1:因果分析 ...............................................................................................................................................115 附 件 1． 授权调查范围 2． 残液分馏塔流程图 3． 残液分馏塔排污系统流程图 4． 异构化装置总图 5． DP 流量的零误差 6． 导致事故的事件时序 7． 残液分馏塔系统压力和液位 8． 残液分馏塔系统压力和温度 9． 损坏情况 10． 紧急相应时间表 11． 工艺样品的分析结果－BSI 检验报告 12． 文件记录 13． 额外证据时间表 14． 情形分析与评估－BakerRisk 风险报告 15． 工艺模拟－PSE 报告 i. 导致 2005 年 3 月得克萨斯 BP 炼油厂安全事故的事件模拟分析 16． 残液分馏塔卸压机构大小评估－Packer 工程报告 17． 蒸汽云扩散的计算流体动态模拟及与观察的物理证据之间的相互关系 18． 爆炸模拟－BakerRisk 风险报告 19． 污水系统 20． 控制盘指示－UOP 报告 21． 残液分馏塔塔底液位指示 22． 残液分馏塔控制仪表 23． 报警概要 24． 开车历史 25． 残液分馏塔的指示液位和真实液位 26． 与 ISOM 事故相关的 MOCs 汇总 27． 操作工培训计划 28． 培训记录 29． PHA 检查清单、容器/换热器 MAWP 重新定级 30． ISOM 仪表问题的维修工作通知单程序 31． SAP 工作通知单 32． 以前发生的 PSM 审查 33． 组织机构图表 34． 因果分析 35． 术语表 36． 参考文件 37． 炼油厂和化工厂区占用的移动式建筑物的设计和位置实践指南 签署页 1. 简 述 2005 年 3 月 23 日星期三，英国石油公司（BP）位于北美地区的美国得克萨斯州得克萨斯城的炼油 厂在异构化装置开车期间，由于临时停车而发生火灾和爆炸，此次事故共造成 15 人死亡、170 多人受伤。 现场被保护起来，第二天成立了一个死亡事故调查小组来调查事故情况、确定事故根原、提出相关建议 以避免二次发生类似事故、并指出应汲取的教训。本次调查的详细授权调查范围参见附件 1。 得克萨斯城现场事故管理组（IMT）发出应急响应后，立即展开了事故取证工作。之后 BP（英国 石油公司）与承包商（雅可伯斯工程公司（JE Merit 的母公司）、GE 和 Fluor－Daniel）员工成立了一个 联合事故调查组，并于 2005 年 3 月 26 日星期六正式从得克萨斯城现场事故管理组（IMT）手中接受调 查取证职责。 应 BP（英国石油公司）北美地区公司的要求，BP 集团公司派出了一名集团公司执行长官领导该调 查组，并派遣了三名炼油业务部以外的人员加入了该小组。此外，该小组成员还有得克萨斯城六名雇员， 包括三名协会工作人员、三名付薪雇员，共同组成了该调查组。 在 BP 得克萨斯城事故现场展开了为期五周的初步调查。内容包括事故现场勘查、与目击证人面谈、 收集相关文件和记录等。此间进行了拍照以协助调查工作。从工艺控制系统我们拿到了硬驱动。此外， 还收集了样品以进行化学分析、并付定金聘请了第三方专业公司以确证爆炸碎片和影响，并对爆炸性质 和爆炸程度进行模拟。 在 2005 年 5 月 17 日发布了中期报告。该中期报告陈述了导致此次事故的事件分析、指出了该事故 的临时性关键因素、并提出了一些早期建议，以避免完成根本原因分析前发生事故重演。虽然我们认识 到当时证据和分析都不全面，但是我们认为发布中期报告还是有用的，它能确保组织机构和相关行业就 汲取事故教训和防止事故重演方面早日受益。 自从中期报告公布以来，BP 事故调查组一直在继续收集、研究和分析其它补充证据。调查组已经 完成了工艺物料样品的分析和工艺以及爆炸模拟工作。另外，还完成了工艺仪表和设备的检测工作（例 如液位指示器和减压阀），并对残液分馏塔做了外部检查。我们收集的所有证据都与美国化学安全委员 会（CSB）和职业安全和健康管理局（OSHA）做了共享。 本最终报告陈述了导致此次事故的事件分析、指出了造成该事故的一些体制原因或根本原因、并提 出了一些整改措施的建议，以防止将来类似事故重演。 中期报告的变化 中期报告发布以来，通过进一步的调查研究我们已经确认了调查小组在中期报告中所陈述关键因素 的看法。分析进一步的详细信息时，我们发现其中一处错误。 在异构化装置附近有许多移动办公室，以方便对临近的超加氢裂化装置进行检修。在超加氢裂化装 置南侧的 F 道路北面有九个移动办公室。在催化剂仓库北边异构化装置西部另外还有八间移动办公室。 其中一个移动办公室宽度是其它办公室两倍，属于 公司。其它七个为存储间和木质建筑。2005 年 2 月 15 日九个移动办公室建筑选址的变更管理（MOC）获批执行（即允许使用），对此，事故调查小 组误以为是事故中所涉及的移动办公室。在进一步检查的基础上，BP 调查小组现在明白了变更管理 （MOC）适用于 F 道路北侧的九个移动办公室，而非中期报告中所述的位于异构化装置西部的移动办 公室。除了 公司的移动办公室外，位于异构化装置西部的移动办公室就其建筑选址问题并没有 按照现场程序而发起变更管理（MOC）。 2．事故背景 得克萨斯城的炼油厂是 BP 公司的最大和最复杂的炼油厂，其额定能力为 460000 桶/每天（bpd）， 每天生产汽油产量达 1100 万加仑。此外，它还生产喷气式发动机燃料、柴油燃料和化学原料。炼油厂 有 30 个工艺装置，占地 1200 英亩，拥有 1800 名 BP 正式员工。在 1999 年被 BP 公司和 Amoco 公司兼 并前，它由 Amoco 公司经营管理，兼并前主要使用的是 Amoco 公司的安全管理体系。事故发生时另外 有大约 800 名承包商员工在现场，正在进行大的检修工作。 事故发生在异构化装置，并涉及到残液分馏塔、排污罐和排放烟囱。异构化装置把低辛烷混合原料 转化成高辛烷成分以制备成无铅的普通汽油。该装置由四部分组成，Ultrafiner（超加氢精制）脱硫器、 Penex（戊烷和己烷）反应器，蒸汽回收/液体循环和残液分馏塔，该分馏塔接收来自芳烃回收装置 （ARU）的非芳烃物料，然后将其分馏成轻组分和重组分。 事故中受伤或死亡人员大都集中在临时移动办公室中或其周围，该移动办公室的作用是支持超加氢 裂化装置装置附近的检修作业。 残液分馏塔 残液分馏塔（分馏塔）是在 1976 年作为重组分超重整分馏塔（HUF）而交付使用的，作为 1 号超 重整器的一部分，主要用于回收超重整装置所产物料中的二甲苯。1985 年，超重整装置改为石脑油异构 化装置，以便向政府倡导的铅淘汰计划提供所需的辛烷，而 HUF 分馏塔则改造为目前的用途。1987 年， 再次对异构化装置做了改进，为提高轻重残液的分离能力，对分馏塔做了微小的改造。 改造后的分馏塔是一个单一的分馏塔，164 英尺高、由 70 个蒸馏塔盘（从上往下数，每 2 英尺为一 个间隔）、进料缓冲罐、加热炉再沸器、翅扇式塔顶冷凝器、以及回流罐组成。其容积大约为 3700 桶， 可以加工来自 ARU（芳烃回收装置）的 45000 桶/天的残液。进入该装置的总残液的 40％都在塔顶作为 C5/C6 轻组分残液而回收，并作为异构化装置的原料。剩余的重组分残液被用作烯烃裂解的原料，用以 制备普通的无铅汽油。分馏塔可以与 ISOM（异构化装置）结合使用，也可在异构化装置停车时单独运 行而建立存量。 图 2－1: 残液分馏塔 排污系统 排污系统的作用是接收、冷却和排放高温烃类蒸汽以及 ISOM 装置工艺波动或停车时其减压、排气 和抽空系统送来的少量残余液体。排污系统由减压管道总管（两条来自 ISOM 装置的其它工段，加上另 外一条来自分馏塔）、排污罐和烟囱（F-20）以及抽空泵组成。蒸汽从烟囱顶部扩散出去，液体流出排 污罐穿过管道进入炼油厂的封闭式污水系统。F-20 于二十世纪五十年代投入使用，已经历了多次改造。 排污罐为立式罐，直径 10 英尺，带一个 113 英尺高的烟囱，容积大约为 390bbls。 分馏塔和排污系统的简略工艺流程图（PFDs）参见附件 2 和 3。 图 2－2:事故后的排污罐和 ISOM（异构化）装置 临时办公室 在得克萨斯城炼油厂和其它炼油厂，移动办公室主要用作临时办公室，例如供参与项目作业和检修 的承包商作业人员使用。这种情况下，要求他们在 ISOM（异构化）装置以北马路对面的超加氢裂化装 置装置进行检修作业。在得克萨斯城，按照程序，要求他们建筑选址时要符合变更管理（MOC）控制程 序。如果移动办公室位于工艺装置 350 英尺以内的距离，对此有一条特殊的要求，即需要建筑选址分析。 最近的一个移动办公室是 . Merit 公司的一间双倍宽的办公室，位于 F-20 基础 150 英尺范围内，那里 就是爆炸发生时死亡人数最多的地方。 还有几间事故相关的移动办公室位于两个运行装置之间，即 ISOM（异构化）装置和石脑油脱硫装 置（NDU）。一个不经常使用的建筑也在该区，是用来存放催化剂的。ISOM 装置以及周围区域的总图 参见附件 4。 1995 年 7 月，当炼油厂完成被占用建筑物的综合研究，而且 2002 年重审期间又完成一次时，关于 移动办公室的布置位置没人提出什么担心。以前，移动办公室有好几次都安放在相同的区域。 排污罐和烟囱 3．事故叙述 造成事故发生的事件顺序 2004 年 9 月 1 日， 公司的一间双倍宽移动办公室安扎在 ISOM 装置的西侧。该移动办公室 布置位置的 MOC 获批继续进行（即实施 MOC 程序以获得最终批准），10 月 6 日进行了危险审查。事 故发生前该移动办公室还未批准作业人员占用，但是从 2004 年 10 月下旬到 11 月上旬就已经开始使用 了。随后，又有几间移动办公室布置在 ISOM 装置西侧，以供超加氢裂化装置检修使用，这些移动办公 室包括 Fluor 公司、Contec（2005 年 1 月 10 日）公司、Timec 公司（2 月 4 日）和 Hahn &Clay 公司（2 月 14 日）。上述移动办公室都没有启动 MOC（变更管理）。 2005 年 2 月 21 日，由于计划性临时停车（ISOM 装置的另一部分和芳烃回收装置检修），分馏塔停 止运转。从 2 月 26 日到 28 日，分馏塔进行了蒸汽吹扫以清除烃类。停车期间进行了少量维修作业，除 了 F-20 去污水系统的管线因腐蚀未作修理外，所有计划工作都于开车前完成。3 月 14 日进行冷凝液低 点放净，做好重新开车的准备工作。用 的氮气加压进行气密性试验后，分馏塔于 3 月 21 号被 降压。 在 2005 年 2 月 21 至 2005 年 3 月 23 日临时停车期间，ISOM、NDU 以及 AU2 装置的值班人力平 时的双倍。3 月 22/23 日的人员组成如下: 表 3－1:AU2/ISOM/NDU 装置全体操作人员 班次 岗位职责 资质 本报告中称作 夜班 值班班长 值班班长 夜班值班班长 夜班 内操 – AU2/ISOM/NDU 装置 内操 夜班内操 夜班 由于停车值班而享受涨薪水的操作工 内操 操作工A 夜班 2 外操 工艺技术员 无 夜班 4 外操 外操 无 白班 值班班长 值班班长 白班值班班长 白班 内操– AU2/ISOM/NDU 装置 内操 白班内操 白班 由于停车值班而享受加薪的操作工 内操 操作工 B 白班 外操- ISOM 外操 操作工 C 白班 外操- ISOM 氢气装置的外操 操作工 D 白班 实习生外操 - ISOM 无 操作工 E 白班 实习生外操- ISOM 无 操作工 F 白班 3名外操– AU2/NDU 外操 不适用 说明:操作工资质在第 节中有详细讨论。 操作工 A 和 B 当时正享受加薪，但是不清楚临时停车期间分配他们承担此项临时任务的原因以及 他们的确切职责。 3 月 22 日，得克萨斯城炼油厂生产计划部要求值班班长启动残液分馏塔。当通知仪表和电气技术员 装置马上开车时，他们正在检查分馏塔上的仪表。从面谈中看出好像他们开车前还没完成所有检查工作。3 月 22 日，3 psig（磅平方英寸）排气系统的调节阀（H-5002）动了一下，虽然从目击证人的陈述中还不 清楚该阀是否能正常工作。日志中没有任何需要修理的记录或派工单。 3 月 22/23 日夜班，夜班值班班长告诉操作工 A 开始启动分馏塔。操作工 A 从交班的内操手中接管 加料控制（建立液位）并选择从卫星控制室给塔加料。他把冷的进料送入分馏塔，以建立进料罐 （F-1101）和塔(E-1101) 的液位、并给再沸器（B-1101）的循环回路进料。开车前，未按照程序检查塔 的仪表。02:13 分时，他开始以 15000 桶每天的速度向塔中加入原料。到 02:38 分分馏塔底部液位传感 器（LT-5100）开始显示逐渐上升的液位。02:44 分，他打开了再沸器流量调节阀（FCV-5005），以此建 立再沸器循环并向再沸器回路加入液体，结果到 02:55 分所示液位掉回到 3％（3％相当于切线上大约 英尺高度的液位）。从那以后，分馏塔底部液位又逐渐开始上升，直到 03:05 分液位到达 72％时（相 当于切线以上大约 英尺高度），液位指示器的高液位报警（LT-5100）启动，因为塔被注满了。操作 工 A 承认听到了报警，并在 03:08 分，电话让 ARU 班长减少进料后，他开始将分馏塔进料速度降到大 约 10000 桶/小时。报警一直持续到事故发生后才得到确认，那已经是 11 小时后了。分馏塔装料期间， 设定值为 78％的冗余硬连线高液位报警（LAH－5102）未运行。所示分馏塔塔底液位继续上升，03:16 分达到了 100％，03:20 分 ARU 进料改为去储罐。操作工 A 关闭了分馏塔和再沸器循环的进料，把开车 的其余工作留给白班去做。 与 NDU/AU2 班长交接班后（非白班值班班长），操作工 A 在 04:59 分离开了现场。虽然操作工 A 从卫星控制室给分馏塔已经装料，但是他在白班内操到来之前就离开了。夜班内操与白班内操确实做了 交接班，但是开车程序却还在卫星控制室。交接班时，塔的压力为 4psig，塔底液位显示为 100％（相当 于 164 英尺高的塔切线以上 英尺的高度）。关于有故障的硬连线高液位报警（LAH－5102），夜班 既没有口头向前来接班的白班人员报告，也没有记录在值班日志上。所以没有发出修理该报警的派工单。 3 月 23 日 06:00 左右，白班操作工到达后，开始正常的例行工作并检查了装置连接情况。07:13 分 白班值班班长进入现场。既未进行作业前的安全审查，也未详细按照操作手册进行程序预演。09:21 分 外操简单地打开了塔顶减压阀附近的 8 英寸链式排气阀，该阀将分馏塔塔中残留氮气排出去并把压力从 4psig 降到标称大气压。到 10:08 分，上述压力又逐渐返回至 psig ，这可能是由于分离器塔底低温 烃类的蒸汽压力造成的。回流罐（F-1102）上的天然气接口压力设定为标称 5 psig，但是没有用管道连 接，所以不可能是压力源。 09:41 分白班内操开始了再沸器循环，09:52 分以 20000 bpd（桶/天）的流速恢复了分馏塔进料。在 打开重残液外流调节阀（LCV－5100）以确认是否已经与储罐相连后，白班内操手动关闭了该调节阀。 （开车程序要求 50％设定值、自动模式，参见 节）。流量计显示重残液流量为 3000 到 4700 桶/天。 这被认为是流量计的零误差，因为调节阀已经关闭，而且重残液和进料之间没有热交换。在开车开始阶 段，重残液外流是唯一一条维持/控制分馏塔液位的途径，因为要把液体加热到足够高的温度使其开始产 生塔顶产品需要花费时间（一般大约需要三到四小时）。 大约 10:00 点，建立重残液外流前，点燃了再沸器火焰加热器（B-1101）中的两个主燃烧器，而该 顺序与开车程序相反。之后不久，ISOM 装置的白班值班班长因个人家务事离开了现场，离开之前并未 确保各个步骤都符合开车程序要求。后来他陈述他已经将指挥权交给 NDU/AU2 的值班班长，但是无法 确认该说法。11:17 分点燃了加热器中另外两个主燃烧器，分馏塔塔釜液温度继续以大约每小时 75˚F 的 速度上升，而开车程序规定的是每小时 50˚F。最终点燃的主燃烧器数量不得而知，因为控制系统中没有 记录，而且接受面谈的各个操作工众口不一，各自描述的是四、五或六个。这期间自始至终，分馏塔继 续以大约 20000 桶/每天的速度进料，而重残液外流仍未打开。虽然分馏塔有持续进料输入，但是却没有 液体输出。 在主控室，还发生过一件有可能造成分心的事件，当时有人在 11:00 到 11:13 分以及 11:15 到 11:50 分从控制盘分机上给 Galveston 打了几次外线电话。 早晨晚些时候，由于担心回流罐（F-1102）持续没有液位显示，所以外操检查了一下回流罐液位计 底部的小孔，结果发现只有蒸汽冒出。直到 13:20 分前，回流罐液位变送器（LT-5006）都一直显示为 0 ％。由于没有重残液外流（并且它本应提供给进料的合成热量也增加了），加之低温液体持续进入分馏 塔，所以生产塔顶轻残液的时间要比正常开车长许多。 代主管和 NDU/AU2 装置的值班班长离开现场去打饭并于 12:03 分返回。代主管陈述 3 月 23 日他 把 75％的工作时间都花在了协助 ARU 检修上。11:47 分操作工 B 和实习生操作工 E 离开现场去给现场 同事打饭，于 12:05 分返回。 到 12:20 分，分馏塔塔底已经达到了开车程序所规定的目标温度 275˚F，而分馏塔进料温度仍然只 有 120˚F。（正常的进料温度是 205˚F）。此时进料/塔釜液换热器（C-1104A/B）中的重残液外流和进料之 间还未出现换热，由此可以确认缺乏去储罐的重残液外流。11:00 前进料温度从不到 100˚F（即在量程以 下）缓慢上升到 120˚F，这是由于再沸器火焰加热器（B－1101）的对流部分在加热而且进料/塔釜液交 换器没有热量造成的。缺乏进料预热也延迟了分馏塔生产出轻残液塔顶产品。进料速度仍然保持 20，000 桶/每天。 到 12:40 分，分馏塔压力在塔顶冷凝器入口已经稳定上升到 33 psig（正常操作压力大约是 20psig）， 约在塔顶以下 150 英尺处。实习生操作工 E 在卫星大楼控制盘屏幕显示器上注意到了高压，并提请其它 操作工注意。此时，为降低已经上升的压力，操作工 C 和 E 第二次打开了 8 英寸链式排气阀。操作工 E 报告说看到了“像是蒸汽”一样的蒸发气体从烟囱顶部冒了出来，但是操作工 C 告诉他不用担心，那没什 么不寻常的。大约 10 到 15 分钟后，链式阀关闭，到 12:55 分压力降到 。 到此时（12:40 分），分馏塔塔底温度已经达到了 302˚F（正常操作温度大约是 275˚F）。该温度下， 虽然上面有低温液柱压力，但是模拟还是预测到了分馏塔塔底有蒸发现象。在没有外流的情况下，分馏 塔的进料继续以 20000 bpd （桶/每天）的速度进行，塔中计算液位超过了 130 英尺。 从大约 12:45 到 13:00，在 ISOM/NDU/AU2 装置的控制室围着 ISOM 装置的控制盘召开了一次安全 会议，参加人员有现场主管、各值班班长和其它 20 名操作和维修人员。与会人员没有一个警觉到或意 识到分馏塔开车控制会有什么困难。 在卫星控制盘上审查完装置状况后，操作工 B 打电话给白班内操，告诉他塔中需放出重残液。12:41 分，白班内操打开了重残液外流调节阀（LCV－5100）。但是一直到大约 13:00，重残液流量才显示出流 量，这点又通过高温的塔釜液和相对冷的塔进料之间所发生的热交换延迟得到进一步确认。现在不清楚 为何当时该流量延迟了，但是有可能是因为重残液外流管线上的一条断流阀当时是关闭的。到 13:03 分， 重残液流量首次与 20000 桶/每天的进料速度相匹配，到 13:09 分，稳定在 31000 桶/每天（该流量时， 任何零误差都可以忽略，参见附件 5）。分馏塔进料继续以 20000 桶/每天的流量进行，塔的计算液位最 高达到了 137 英尺（采用简化计算，忽略了塔底液体蒸发的影响，所以分馏塔的实际液位要比该液位 高）。 如前解释，重残液外流物料与进入塔内的进料在进料/塔釜液换热器（C-1104A/B）中换热。13:01 分，进料预热温度为 126˚F，到 13:10 分升到 260˚F。这一温度异常迅速上升导致进料在塔的入口迅速开 始蒸发，造成了分馏塔中的成分迅速上升到进料塔盘以上。13:00 点，塔中 33＃塔盘处的温度（在进料 31＃塔盘几英尺下方）开始迅速上升，说明热的进料正开始影响分馏塔的状况。 13:02 分，厂外白班值班班长从炼油厂外打电话给 ISOM 卫星控制室，与操作工 B 通话，操作工 B 说当时正忙，一会给他打回去。13:09 分，操作工 B 打电话给在家中的白班值班班长，班长一听说压力 趋势，立即建议打开回流罐减压阀附近的 英寸排气阀放出氮气。于是该排气阀被打开，到 13:13 分 塔顶冷凝器入口压力已经从 psig 降到 psig。 这段时期，塔入口进料速度一直保持在 20000 桶/每小时。 还有一件有可能造成分心的事件发生了，从 12:52 到 12:53 分，从控制盘分机打出了一个电话，是 打到印第安纳州的 Evansville，从 13:10 分到 13:12 分，从相同的号码又收到一个电话。 残液分馏塔液位 如前所述，22－23 号的夜班已经在分馏塔中加入了进料，并把塔的塔底液位设置在（液位变送器量 程内的）100％，DCS 设定为高液位报警模式。而白班的内操在 9:52 建议将进料设定为 20000bpd（桶/ 天）。直到 12:41 才打开重组分残液外流调节阀（LCV－5100），在大约 13:00 时才有重残液外流的记录。 上述操作期间，在液体离开分馏塔前，液位变送器（设计是按照液气界面操作的）已经完全浸入水中， 并且在 DCS 屏幕上有信号显示出缓慢下行至 80％。自始至终 DCS 的高液位报警一直保持在报警模式， 而开车程序规定塔液位控制应当设定在 50％（为自动模式），但是当时却是手动模式。从 9:52 开始，到 13:00 时，大约有 2500 桶的液体已被加入到塔中。到 13:09 残液外流流量为 31000bpd，超过了进料速度， 但是在这么短的时间内这个流量大概只会把塔中容量降低很小一部分。13:09 以前，经过简单计算表明 外流量和进料量之间的差本应该可以把塔中液位每分钟减少大约 4 英寸，但是由于进料和塔底液体汽化 不断增加的影响，所以塔中液位可能未降下去。 由于在分馏塔塔液位较高（100％）情况下开车（高于程序中规定的液位），并且在控制范围以外操 作，因此造成了另外以 20000bpd（即 2500 桶）的流量增加了三小时的进料量，但却没有任何外流。大 约 12:45 时塔内液位达到了第 13 个塔盘的位置（有 137 英尺高，而正常操作液位范围为 6－7 英尺）。在 上述液位下，塔内 70 个塔盘有 57 个都淹没在液体中，在第 31 塔盘处的进料入口已经浸入残液中。在 上述情况下，分馏塔就不能作为常规的蒸馏塔来正常运行。另外，分馏塔塔釜液的高温又造成塔底烃类 蒸发，从而把分馏塔液位抬高到了第 13 塔盘以上，但是低于塔顶管线。塔上部温度低的冷液体又把这 些烃类蒸汽急冷，从而阻止了其在塔顶的蒸馏。 塔内几个塔盘的温度显示确认了高温情况。11:30 分时分馏塔进料和塔盘 33 的温度分布一致，这说 明液位已经达到了第 33 塔盘。在 12:00 点，温度分布表明液位已经到达第 27 塔盘。 到 13:10 分，进料预加热很快上升到 260˚F，造成已到达进料塔盘 31 处的进料开始蒸发。这种情况 可能已经将液位抬高到甚至高于进料塔盘以上，以至于液位很快达到了分馏塔顶部，并流入 24 英寸的 塔顶管线。 事故的详细时间线参见附件 6，而描写关键工艺参数的曲线图则请参见附件 7 和 8。 事故 在 . Merit 的临时移动办公室召集了一次超加氢裂化装置检修会议，大约 13:00 点时参会人员已经 陆续开始到达办公室。 到 13:00 点，重残液开始从分馏塔中外流。13:13 分，去塔顶冷凝器的入口压力为 (磅/平方 英寸），但是开始迅速上升。该压力迅速上升可能是由于进料的预热温度上升而造成的，而预热温度则 是由于与重残液外流液进行热交换而产生的，该温度将塔入口处的进料蒸发，并与塔底蒸发一起将已经 过高的液位抬高至塔顶并进入塔顶管线。液体进入了位于塔顶以下 150 英尺处的压力变送器和减压阀上 方 24 英寸塔顶管线。随着液柱压力在塔顶管线积聚，塔顶冷凝器的显示压力开始迅速上升。 此时，操作工 B 打电话给白班的内操，请他降低再沸器加热器的温度，因为分馏塔底部温度已经达 到了 304˚F 的高温。13:14 分内操将燃料气调节阀（FCV－5008，与 T5025 串联）从 18％调到了 15％， 以降低再沸器加热器出口温度。 还有一件有可能造成分心的事件发生了，13:10 分到 13:16 分期间，ISOM/NDU/AU2 控制室的值班 班长电话分机接到了一个外线打入的电话，是一个当地的无线号码打来的。此外，在 13:15 分从控制盘 的分机给 PXI 控制盘分机打出了一个电话，通话持续了 12 秒。 到 13:15 分，去塔顶冷凝器入口压力达到了 63psig (磅/平方英寸）的峰值，操作工 C 和 E 确认已经 打开塔顶的减压阀（设定值为 40、41 和 42psig）并通过一个 14 英寸的总管直接排入排污罐和烟囱 （F-20）。13:15 分时塔盘 27 和 33 处（位于进料塔盘 31 的两侧）温度开始迅速上升。塔盘 13 处的温度 以及塔顶温度相当低，还不到 115˚F，但随着进料塔盘处的液体蒸发、高温液体流往塔顶，它们的温度 开始迅速上升。 此时，去加热器的燃料气燃烧已经停止，操作工 C 和 E 切断了主燃烧器，并在 13:19 分在主控盘和 卫星控制盘上都切断了燃料气控制阀。13:16 分时回流罐的低低液位报警（LALL－5010）清除，第一次 显示出了容器中的液位，然后外操 D 和 F 在 13:17 分启动了回流泵（J－1102A）。所显示出的流量超过 了 35700bpd，超出了刻度范围。在 13:19 分时回流泵的低液位报警（LAL－5004）清除，说明容器液位 已满（回流罐通常在溢流状态下工作）。DCS 系统显示第二个回流泵（J－1102）也于 13:19 分启动，虽 然在事故发生后面谈过程中没有一个外操能回忆起曾经启动了该泵。 大约就在此时，至少有两个目击者在对讲机中说他们看到烟囱顶部约 20 英尺处有液体“象喷泉一样” 涌出，流到地上并在排污罐和烟囱（F－20）基础附近形成了池塘。从地上的液体池塘看到有蒸汽蒸发 出来。在 13:20 分，F-20 的高液位报警（LAH－5020）首次发出报警。 收到对讲机信息警报并听到至少一名目击者大喊后，ISOM（异构化装置区）的一些人员立即在蒸 汽燃烧前撤离了附近现场。当时未听到撤离警报。至少一名目击者看到一辆轻型载重汽车正好停在排污 罐和烟囱北面，引擎还在转着而且冒着白烟。但是现在还不知道这当时是否是着火点。虽然后来的模拟 试验显示只有一次爆炸，但有几个目击者说在大约 13:20 分听到了两次或两次以上的爆炸，第一次轻微 爆炸后紧接着是一声巨响，比第一次更剧烈。爆炸严重损坏了 . Merit 公司、Fluor 公司和其它几家位 于 ISOM（异构化装置区）西侧的移动办公室，导致了 15 人死亡（11 个在 . Merit 公司的移动办公室、 3 个在 Fluor 公司的移动办公室、另外一个在附近），另有 170 人受伤。确切受伤人数难以查明，因为有 些承包商和现场民众直接寻求医疗救治，而未参与现场急救。爆炸造成 ISOM（异构化装置）损坏、引 发了一些二次烃类排放和火灾。附件 9 有损坏情况的鸟瞰图。 现场应急响应组立即发出响应，展开了搜寻和援救行动。到 13:45 分开始请求并动员互助力量和救 生飞机展开救助。残液分馏塔的进料还未切断，在 14:45 分电源被炸坏时停止了进料。两小时后火势得 到了控制，伤员已得到救治或送往当地医院，在 16:44 分时让救护车和救生飞机离开现场。大约 23:00 时找到了埋在残骸下的最后一具尸体。 事故应急响应期间的详细时间线参见附件 10。 4．证 据 应急响应后，现场事故管理组立即展开了证据收集工作。 事故发生几分钟后进行了拍照取证工作，并贯穿于整个应急响应过程。应急响应后，立即把含有工 艺控制资料的硬驱动断电并于3月24日拿到硬驱动。3月24日夜调查组拿到了内操的日志本和值班班长的 日志。直到4月2日方得到ISOM（异构化装置）还在使用的开车程序的硬拷贝。 BP事故调查组将所有收集到的证据与职业安全和健康管理局（OSHA）以及美国化学安全委员会 （CSB）进行了共享。 现场检查 进入 ISOM（异构化装置）受到 OSHA（职业安全和健康管理局）的管理，并进一步受到法院发布 的禁止令的限制。2005 年 4 月 1 日，调查组一名成员得到 OSHA（职业安全和健康管理局）的批准进 入 ISOM 装置。但是，未批准进入 ISOM 与石脑油脱硫装置（NDU）之间的区域，该区域内是那些移动 办公室的所在地。主要观察结果如下:  给塔（E－1101）供应原料的三条管线中间的那条上的阀门看起来好像是位于开启位置。顶部 进料管的阀门后来得到确认，其开度为四分之一，而底部管线上的阀门为关闭状态。  3－psig (磅/平方英寸）排气管在调节阀下游为阻断状态  去 F-20 的 8 英寸链式排气阀位置为关。  ISOM（异构化装置）的爆炸损坏主要位于装置西侧  去 F-20 的回流罐 1½-英寸排气管线上的断流阀为关闭状态。 2005 年 4 月 6 日，调查组的其余成员获得许可进入事故现场。主要观察结果如下:  ISOM（异构化装置）的详细火灾和爆炸损坏情况  F-20 附近的火灾损坏情况，包括钢筋混凝土结构和混凝土基座的层裂情况  从分馏塔去 F-20 的 14 英寸放泄管线上的阀门以及 6 英寸 F-20 出口管线为开启状态  卫星控制室的损坏情况  催化剂仓库的损坏情况  确认了早期观察到的结果:3 psig (磅/平方英寸）排气管在调节阀下游为阻断状态  确认了早期观察结果:8 英寸链式排气阀位置为关。  确认了有关分馏塔进料管线上阀门位置的早期观察结果  ISOM（异构化装置）和 NDU（石脑油脱硫装置）之间的移动办公室损坏情况  从 F-20 到排水系统的液体排放管线的腐蚀情况 随后，调查组成员又多次进入现场调查了工艺容器和管线的取样情况，以及工艺仪表和控制设备 的检测情况，同样还调查了工艺排水系统的损坏情况。此外，还出资聘请了几家第三方专业公司以确证 和分类爆炸碎片和影响，并对爆炸性质和爆炸程度进行模拟，并允许上述专业公司深入现场调查取证。 目击证人 2005 年 3 月 24 日，在现场事故管理组（IMT）组织下开展了首次目击证人面谈。中期调查证据收 集阶段的面谈工作于 2005 年 4 月 28 日结束。在 2005 年 8、9、11 月又另外进行了面谈。后期的多次面 谈主要是为了解决首次证词中所出现的言词不一致的情况。 调查中，调查组共对 73 人进行了 106 次面谈（68 位 BP 员工，5 位承包商），收到了 27 份证人书面 证词。大部分面谈过程中都有法庭记录员在场。 样品 4 月 12 日和 19 日在管理机构人员到场的情况下，从各个不同的工艺物料中取样，并送到一家独立 的经认证的试验室－BSI Inspectorate（英国标准协会所属英斯贝克集团）进行分析化验。环境标准公司 （ESI）代表 BP 调查小组对上述分析进行了质量保证监督。样品分为两组，一组由 BSI Inspectorate （英 国标准协会所属英斯贝克集团）进行分析，另外一组由 BP 分析。 以下是所采集的样品:  从进料泵（J-1101）入口采集了残液分馏塔烃类液体进料  从重残液产品冷却器（C-1106）的出口采集了残液分馏塔烃类液体塔釜液  从回流泵（J-1102）入口采集了残液分馏塔烃类回流液  从轻残液产品冷却器出口采集了残液分馏塔塔顶产品（C-1107）  从抽空泵（J-14A）入口采集了排污罐和烟囱的烃类液体  从进料缓冲罐（F-1101）处采集了残液分馏塔烃类液体进料  从流量阀（FV-5007）出口采集了残液分馏塔烃类回流液  从流量调节阀的管线上（FCV-5106）采集了残液分馏塔塔顶产品  从分液罐（F-452）泵（J-454A）采集了残液分馏塔塔顶水 详细分析结果参见附件 11。 在 ISOM（异构化装置）周围好几处进行了取样以检查是否含有水。但是该检查无效，因为在下述 位置在一种透明液体出现的情况下我们得到了前后矛盾的报告，这些透明液体有可能是水或烃类产品。  在第一个取样瓶中有 60％回流调节阀（F-5007）透明液体  回流泵（J-1102）起初有 2－3 杯透明液体  我们发现残液分馏塔（E-1101）的透明液体是从抽空管线上的一个¾-英寸的放泄塞滴出来的。 设备测试 对仪表项目和工艺控制设备的测试是在现场就地或有人监督情况下拆卸下来送回车间进行的。所有 测试工作都是按照所编写的备忘录进行的，而该备忘录是按照设备制造商的维修步骤而编写并经过所有 调查相关方的同意（包括 BP、CSB、OSHA 和原告的专家）。 在现场按照原状就地对设备进行了测试，以评价其功能，有时还要测试仪表的信号输出情况。仪表 测试包括以下内容:  调节阀  液位变送器  液位开关  流量变送器 检测期间 ISOM（异构化装置）没有 DCS 和公用工程，所以每个设备现场测试时，如果需要，则用 手持计量器和瓶装压缩空气进行测试。我们聘请了第三方仪表公司－Industrial I&E 提供专家支持，以处 理各种仪表连接、测量仪表输出并提供调节阀输入信号。在 2005 年 6 月 21 日到 7 月 18 日期间，相关 各方都观察并记录了测试结果。 拆卸下来的供测试的设备项目被送往独立的专业工程机构进行测试。 减压阀 下列减压阀（RVs）被拆卸下来送至一家专业的第三方测试机构，Groquip 公司，以便进行测试和 内部检查:  残液分馏塔塔顶管线（RV－1001A/B/C）  回流罐（RV－1002G）  轻残液产品外流管线（RV－1199G） 调节阀 下列各个调节阀则由 Industrial I &E （英国标准协会所属英斯贝克集团）就地进行测试:  残液分馏塔塔（LCV－5100）  轻残液跨接至重残液（PCV－5012）  残液分馏塔塔的进料 （FCV－5000）  ARU 残液进料（FCV－5003）  总残液进料（LCV－5006）  残液分馏塔回流罐到 3 psig (磅/平方英寸）排气系统（PCV－5002）  去残液分馏塔的回流液流量（FCV－5007）  回流罐（PCV－1002）  去再沸器炉的重残液（FCV－5005） 下列调节阀由一专业第三方公司－Stress Engineering Services 拆卸后进行了车间测试和检查.  送往塔（FCV－5000）的残液进料  去 3＃系统的回流罐排气（PCV－5002）  残液塔重残液外流（LCV－5100） 仪表 首先确定了一些关键仪表，然后由 Industrial I &E （英国标准协会所属英斯贝克集团）就地测试， 以验证 PI/DCS 记录的准确性。  液位传感器 ○ 进料缓冲罐（LT－5007） ○ 残液分馏塔塔（LT－5100） ○ 回流罐（LT－5008）  流量传感器 ○ 燃料气（FT－5008） ○ 去再沸器的重残液（FT－5005） ○ 重残液外流（FT－5015） ○ 轻残液外流（FT－5106） ○ 来自 ARU 的进料（FT－5001） ○ ARU 残液（北进料）（FT－5003） ○ 来自进料罐的残液分馏塔流量（FT－5000） ○ 去残液分馏塔的回流液流量（FT－5007）  压力传感器 ○ 残液分馏塔（在塔顶冷凝器入口）（PT－5002）  报警器 ○ 残液分馏塔塔液位开关（LAH－5102，LAL－5104） ○ 残液分馏塔塔液位指示器报警器（LT－5100） ○ 进料缓冲罐的液位开关（LAH－5006） ○ 回流罐的液位开关（LAL－5004，LALL－5010） ○ 排污罐的液位开关（LAH－5020） 此外，还拆卸了下列液位变送器和开关，并由第三方专业公司－Stress Engineering Services 进行了 车间测试和检查。  残液分馏塔塔(LT-5100)  残液分馏塔塔液位开关(LSH-5102, LSL-5104)  排污罐高液位开关（LSH－5020） 容器 将残液分馏塔塔（E－1101）塔内所存物料和气体清除干净后，对塔内进行了检查。 文件检查 此外，调查组检查了各种文件、程序、记录和设计图纸，包括下列各项:  操作日志（值班班长日志、内操日志）  过去五年来的 PI 记录和事故发生前 15 天的 DCS 记录  开车程序（2005 年 3 月 23 日的开车）  移动办公室建筑选址变更管理（MOC）/设施布置平面图  证人证词和法院文本  培训记录  维修记录  MOC(变更管理)记录  危险分析记录  HSE 方针和程序  职工学习  其它一般的现场文件 事故发生后，调查组认为事故期间使用的开车程序硬拷贝在严重损坏的卫星控制室中。事故发生十 天后，即 4 月 2 日，ISOM（异构化装置）发生事故当天值班的白班值班班长将上述程序递交给了检查 组。实习操作工 E 已在上述程序上签字，但是该实习操作工在所有作业期间并不在场，他是在白班值 班班长的指示下签字的。 所检查的文件清单参见附件 12。附件 13 中我们将补充的证据按照时间顺序编制成了表格。 在审查 PI 和 Honeywell DCS 记录以及操作日志本的基础上，我们将导致事故发生的事件按照时间 先后顺序编制了一个表格（见附件 6）。对夜班和白班的值班操作工以及班长的面谈都附有说明。 另外，在审查了应急响应组（ERT）日志的基础上，我们编写了单独的应急响应时间先后事件表。 （见附件 10）。与第一位响应者面谈后我们对此做了补充，该响应者给我们提供了有关事故地点的信息 和二次火灾的情况。 5. 证据分析 证据分析简介 为了调查 2005 年 3 月 23 日发生的一系列事件，BP 调查组研究了所有收集到的数据并授权开展了 许多专业研究工作。此间，调查组还得到了专业顾问的大力支持。 分析主要包括下列领域:  详细检查 DCS 仪表数据  对工艺、烃类排放和爆炸进行模拟  把开车程序与规定的操作程序以及以前的装置记录做对比 该节描述了证据分析，从中期报告中的一些暂定情形开始分析，然后是详细的工艺模拟、爆炸模拟 以及工艺安全管理体系的要素。 BP 调查组把重点放在了所收集的实物证据和文字证据上，此外认真考虑了使用证人的证词。根据 调查指南（文件编号 4，CCPS 指导思想），不能完全依赖于个人的口头证词，除非能够通过其它方式确 证该证据的正确性，例如可以通过其它目击者的证词或实物证据。为了解决首次口头证词的不一致性， 调查组还进行了跟踪回访和/或者是寻找其它补充证据。在早期目击者面谈可能要比后期的证词可信度更 高的情况下，我们就更看重前者。目击证人可能已经与其它人谈论了该事故或者是对事件描述做了更改， 这会影响他们的感受和以后的回忆。 下列先后顺序代表了对所收集证据的重视程度:  DCS/PI 数据  纸质/电子文件  多个证人的陈述（如果一致）  目视检查（可能会受到应急响应的干扰）  工艺样品分析（可能会由于取样延迟而发生变化）  工艺设备测试（可能会由于事故而损坏或变化）  单个未经证实的目击证人陈述 失控－可能的情形 爆炸是由于排污罐和烟囱中排放烃类蒸汽引发着火而造成的。当由于压力快速上升（在 13:13 分超 过了设定压力）而打开残液分馏塔塔顶减压阀（RV－1001A/B/C）时，这些烃类被排放出来。发布中期 报告时，我们假设了下列四条出现过压的可能原因: （a） 与塔中高液位相关的过量热能导致了烃类蒸汽压力 （b） 高温下由于有水所以产生了蒸汽 （c） 气密试验时留下了非冷凝物（氮气） （d） 装置进料方式不当或者进料中有“异物” （e） 上述各条原因多选项 还有另外一种可能是：烃类蒸汽是通过污水系统扩散开的，并成为第一着火源，而这种可能性在中 期报告期间不能被排除。F-20 有一个排放口和污水系统连通在一起，所以液体烃类很可能经过油水分离 器然后进入旱季集水坑，再进入移动办公室附近的雨水排污管。 考虑了其它情形的可能性后，调查组分析了上述每个可能的能量源，以确认或排除每种情形。对此 我们委托了一家第三方评估机构对可能的情形进行评估（见附件 14）。下面我们就详细的分析展开讨论: (a) 蒸汽压力/液体夹带 随着调查组对事故情况了解的深入，这种情形发生了改变。原来假设残液分馏塔中出现高压可能是 由于塔中物料高温而产生的蒸汽压力所造成的。压力开始快速上升前，塔底温度稳定在 302˚F（比开车 程序中规定的温度高 27˚F）。分馏塔中的高液位和温度只有 126˚F，相对冷的进料可能使塔底的高温被上 面温度较低的烃类所掩盖。 随着调查组对事故情形的深入了解，这种情形变为蒸汽压力和塔顶管线中出现液柱压力共同造成的。 （请注意压力变送器位于塔顶冷凝器入口，在塔顶下方 150 英尺处）。对分馏塔进行动态工艺模拟，结 果表明较晚开始重残液外流加剧了事故的发生。塔釜液和送入塔内的进料之间所进行的快速热交换造成 了浸在液体中的分馏塔塔进料入口周围产生了蒸汽。当打开 8 英寸排气阀来降低分馏塔压力时，再沸器 加热炉出口以及塔底的高温引发了巨大的蒸发。进料蒸汽和塔底蒸汽混合在一起最后导致了液体夹带进 入塔顶管线。烃类蒸汽压力与夹带进入塔顶管网系统的液体静压共同导致了塔顶冷凝器入口和减压阀出 现高压（参见 节和附件 15）。 (b) 蒸汽生成 残液分馏塔开车期间有水出现可能造成了蒸汽释放，随着温度上升，最终造成压力快速上升。2005 年 2 月对分馏塔进行了吹扫，以把装置中的气体清除出去，虽然在装置重新开车前在许多低点都把水进 行了放净，但是我们还是假设装置中可能存有一些冷凝水。本来期望起初流入储罐的重残液会带走水分， 但是当时，直到大约 13:00 点才建立了重残液外流进入储罐。 从分馏塔低点我们收集了进入残液分馏塔的进料样品，样品显示有痕量环丁砜，说明 ARU 进料中 存在有限的水（参见 节和附件 11）。在提取代表性的工艺物料样品前，从一个或两个取样点处有透 明液体排出，但是不明确这种透明液体是水还是烃类。 残液分馏塔塔底的结构显示:当再沸器循环投用时，水是不可能积聚在塔底的。与内件设计图纸相反， 在残液分馏塔底部有一个防涡器，而非立管。所出现的水是不会积聚在塔内的，所以也不会在塔釜液循 环中乳化，因而一旦重残液外流流量建立后，就可以逐渐把水排出去。 有限的水量可以积聚在塔里的密封盘上，尤其是在上部进料塔盘上，在那里会出现从双通道塔盘到 单通道塔盘的过渡。但是容量太小，不足以造成重大的影响。 精馏塔塔盘内件没有损坏说明事故是逐渐发生的。如果有大量的水分出现，可能会突然转化为蒸汽， 从而有可能已造成塔盘变形，尤其在塔盘与塔壁相邻或密封处。 (c) 氮气 以前曾经对残液分馏塔用氮气进行过加压试验以测试其气密性，压力约为 (磅/平方英寸）。 所以减压后残液分馏塔内可能存有一些残留氮气，并由于分馏塔的高液位而有可能已经在塔顶回流系统 中浓缩。由于提高了温度来蒸馏塔顶蒸汽，所以假定氮气的出现可能会阻止蒸汽进入塔顶冷凝器（C－ 1101）的低温表面区，并防止冷凝从而提供回流。没有冷凝能力，塔的压力将会上升。出现任何氮气都 会产生分压力，从而增加了塔的总压力。 此外，还有一个天然气接管与回流罐相通，名义上设定值为 5psig (磅/平方英寸）。此接管当时没有 连接起来，并且在事故后发现被隔离起来了。如果在开车期间是打开着的，在 09:21 分当残液分馏塔压 力从 4psig (磅/平方英寸）降到 0 时，那么当压力在随后一个小时内缓慢上升时，天然气就有可能已被引 入并影响到冷凝能力。 对分馏塔进行动态工艺模拟表明，虽然非冷凝物的出现可能会产生很小的影响，但是它不是造成高 压的原因（参见 节和附件 15）。因为缺乏回流而且塔顶产品不会被看作是问题，所以排除了氮气和 天然气因素。 (d) 不合适的进料 我们假设残液分馏塔所出现的高压可能是由于往装置中加入了非常轻的烃类原料、或者是进料受到 异物的污染。对进料物料取样，结果表明残液分馏塔进料符合正常的规格范围(见 节和附件 11)。 污水系统 许多迹象表明事故期间烃类液体被排入炼油厂的污水系统。在 13:14 分当塔顶减压阀打开后，在 ISOM （异构化装置）西侧的分水箱和旱季集水坑中发生了多次烃类高液位报警。通过污水系统和腐蚀的管道 连接将烃类分布于附近区域，我们假定这种做法有可能造成了移动办公室附近出现易燃蒸汽。 由于 BP 调查组进入现场受到限制，所以无法从污水系统中取样、或者在其扰动前记录事故后的状 况。 物料平衡和动态模拟证实确实有大量物料进入下水道，所以有可能造成了二次火灾。 情形结论 我们聘请了第三方专家对工艺和爆炸进行模拟。结合工艺样品分析结果和容器内部检查情况，通过 这些模拟试验我们可以确定确实发生了哪些情形。 调查组已经确定“蒸汽压力/液体夹带”情形（(a)）是最有可能造成事故的情形，可能通过有限数 量的氮气和水加剧了上述情形。 工艺模拟 通过使用残液分馏塔动态模型和流经残液分馏塔减压阀的流量（由 Packer Engineering 公司计算（见 附件 16）），对造成事故的 DCS/PI 工艺数据进行了分析（由工艺系统公司实施（参见附件 15））。虽然 Packer Engineering 公司也估计出了进入排污管的烃类流量和烟囱的排放量，但是动态模拟仅限于残液分 馏塔塔。上述工作中有下列发现: 残液分馏塔中的液体存量 在 DCS 数据基础上，通过把分馏塔流量计在开车期间放入和拿出分馏塔塔，我们进行了物料平衡， 结果显示容器实质上填充过满。夜班期间，刚开始塔就填充过满，超过了塔底液位范围的 100％。09:52 分当重新二次开车时，进料速度提到大约 20MBPD，并以该速度保持了几乎四个小时。直到 13:00 塔釜 液才有输出（可能是由于断流阀关闭的缘故）。总结塔内液体积聚情况（参见图 5－1 下方）表明计算液 位最高达到了塔盘 13。这样就造成塔内没有任何蒸发和膨胀的裕量，因为塔内物料在塔底发生部分蒸发。 上述情况在下节的动态模拟中会详细讨论。清空分馏塔后估算出的液位得到了确认。 说明:不包括进料以及分馏塔塔底蒸发所造成的影响。 图 5－1 图残液分馏塔的估计液位高度和时间 塔内有温度指示器（TIs），正好位于塔盘 13、27、33、48 以及塔盘 59 下方（在降液管上），内操 能看见指示器上的读数，且在 DCS 上有记录。这些温度指示器进一步确认了开车期间，从 9:52 分到 13:13 压力迅速上升之间塔内液体严重满溢。进入塔内（T－5005）的进料温度逐渐从 10:00 点的 80˚F 上升到 13:00 点的 126˚F。如果把进料温度（红线）与那些塔内温度指示器相比较，则会发现温度交叉点（或岔 开）指示一定时间塔的液位，如图 5－2 所示。 E –1101 估计液位高度和时间（小时） 塔盘 13 温度指示器位置 塔盘 27 温度指示器位置 置 进料位置（塔盘 31）置 塔盘 33 温度指示器位置 容 器 高 度 （ 从 切 线 来 的 F T ） 时间（2005 年 3 月 23 日） 图 5－2:残液分馏塔塔温度随着液位上升而增高 进料塔盘位置在 31 塔盘（塔盘 1 是最上面的塔盘）。 在A点（大约11:30分左右）33＃塔盘的温度和进料温度开始岔开。之后，33＃塔盘的温度保持恒定， 而进料入口温度继续上升。这说明塔内液位已经到达此处并开始超高33＃塔盘。 在B点（大约12:00左右）27＃塔盘的温度开始上升，并接近进料温度。这说明塔内液位此时正接近 27＃塔盘。 在C点（大约12:45分左右）13＃塔盘的温度开始上升并接近进料温度。这说明此时液位接近13＃塔 盘。 温度在上述时间的交叉点可以通过塔内剩余的容积清楚地预测出来，上述剩余容积说明在大约12:45 分塔内液体积聚达到了13＃塔盘。大约13:00点，重的残液塔釜液流量被打开，因而此时塔内开始有流出 流量－所以此时可以期望塔内液位开始下降。但是，如前所述，这种简单的分析使得塔底没有蒸发和膨 胀的裕量。而这一点是很重要的因素，在动态模拟报告中做了详细讨论。从10:00点到事故期间，从加热 的再沸器处有稳定的热输入，而这很可能导致了塔底蒸发。 当重残液外流打开后，在不到十分钟的时间内进料温度迅速从126˚F上升到260˚F。31＃进料塔盘处 不正常的热量导致了液体迅速开始蒸发，而它又造成了进料塔盘以上的液位开始向塔顶上升并进入塔顶 管线。在进料塔盘压力下（包括塔盘上的液体压头），在大约255˚F时进料可能就已经开始蒸发了。 往残液分馏塔中装料 对装料流量计（F-5000）特性分析表明装置的进料速度根据分馏塔静压的不同而变化。进料泵是一 种带典型流量和压头曲线的离心泵。直到 13:01 分进料流量调节阀（FCV－5000）一直为手动模式，由 于泵的反压力上升，所以入口流量下降了。参见图 5－3。 A 点 B 点 C 点 压 力 温 度 进料温度 系统压力 系统压力 13＃ 塔盘温度 27＃塔盘温度 33＃塔盘温度 进料温度 说明；系统压力是在塔顶冷凝器如可测定的。 图5－3:随着分馏塔压力升高进料流速开始下降 上述数据表明进料入口速度通常会对反压力作出响应。由于塔的压力开始建立（因为塔被加的过 满），因此进料入口速度开始逐渐下降。由于塔被手动减压（A 点），因此进料速度开始上升。 在 13:01 分，进料调节阀（FCV－5000）投自动模式，事故期间进料缓冲罐的压力上升，但是，即 便把这点考虑进去，仍然可以很明显的看出，进料泵仍未出现在减压阀处所见到的压力迅速上升现象， 原因在于当系统压力事故期间迅速达到 63psig (磅/平方英寸）的峰值时，阀的输出没有多大变化。 塔的压力变送器（PT－5002）和减压阀都位于塔顶冷凝器的翅扇入口，大约在塔顶下 150 英尺。 加料速度 系统压力 分 流 器 加 料 速 度 减压阀的升程 进料流量调节阀 A 点 残液分流器加料速度 分流器进料流量调节阀 系统压力 分 流 器 进 料 流 量 调 节 阀 阀 位 系 统 压 力 0%关闭 100%全开 说明：系统压力是在塔顶冷凝器如可测量的。 图 5－4:残液分馏塔塔标高 压力变送器所显示出的压力高于塔的压力（可从进料泵的压力推断）的唯一一种情形是由于塔顶管 线有静压头－高达 150 英尺的液体。液体密度大约为 lbs/cu 英尺，因此此压头会形成 (磅/ 平方英寸）的压力。系统压力迅速上升前，塔的压力为 21psig (磅/平方英寸）。如果这两个数字相加 （），这就基本上与从 PI 数据上（PT－5002）所观察到的最高压力相吻合。 这说明塔顶去冷凝器的 24 英寸蒸汽管线充满了液体，该液体是由于进料蒸发以及再沸器回液/塔釜 液抬高了塔底液位而进入塔顶管线的。对回流罐液体样品进行分析（见附件 11）确证了原料曾经被带到 塔顶。相对高的静压头与 21psig (磅/平方英寸）的塔的静态压力很容易打开减压阀（同样位于与翅扇类 似的高度）。既然峰值压力是由于高的静态液体压头造成的，那么减压阀就 100％打开，从而把局部冷却 尺寸单位为英尺 压力变送器 的液体大量排出去。（见下节 ） . 残液分馏塔的进料成分 将装置的进料成分分析结果（附件 11）与历史数据对比，结果表明事故当日的进料成分没有什么大 的异常。装置进料的相关泡点压力预测参见下图 5－5 与历史数据所作的比较。 图 5－5：泡点压力和温度 上述蒸汽压力计算确证了历史进料分析和 3 月 23 日的分析十分相似。 当塔的减压阀打开时（13:14－13:20）塔顶温度（TI－5506）大约为 90˚F，后来升到 180˚F。大气压 下泡点温度大约为 170˚F，说明减压期的很大一部分时间所释放的液体都是局部冷却的液体（无闪蒸）。 当泡点压力超过大气压时（说明排污系统可能已经出现了有限的等焓闪蒸），在我们假定减压阀关闭时 存在很短的几秒钟时间。 进入分馏塔的热输入 进入残液分馏塔有三种热输入源:  塔的再沸器（火焰式）  进料出料的预热交换器  来自火焰再沸器加热器对流盘管的进料预热 残液分馏塔再沸器是一个循环式火焰加热器。开车期间的循环速度大约为 100MBPD，再沸器出口 和塔出口之间的温差大约为 10˚F。开车期间再沸器燃料气流量（绿线）情况参见图 5－6 所示: 泡点压力和温度 温度 泡 点 压 力 历 史 进 料 的 蒸汽压力 事 故 时 进 料 的蒸汽压力 图 5－6:事故期间再沸器燃料气流速 燃料气分析显示出热值（Cv）为 857btu/cu 英尺。根据燃料气流量和（Cv）热值，假定加热器效率 为 80％，再沸器传递给工艺的热能计算结果如下（表 5－1）: 表 5－1:进入残液分馏塔的热输入 分钟 燃料气 (Kscfh) 热输入 (mmBTU/hr) – 5 10 – 12 33 – 60 17 – 4 – 9 35 24 – 19 – 3 – 51 – 32 再沸器和塔釜液温度 燃 料 气 流 速 温 度 燃料气流速 炉子出口温度 塔釜液温度 系统压力 炉子加料速度 再沸器循环流量 进入再沸器的燃料气流量 系统压力 系 统 压 力 炉 子 加 料 速 度 说明；系统压力是在塔顶冷凝器入口测量的。 – 4 – 1 12 之前 0 0 0 200 平均热值 (BTU/ft3) 857 假定的加热器效率 80% 平均热输入 (mmBTU/hr) (假定 80% 的效率) 对进料进行预加热是通过进料/出料换热器（C－1104A/B）进行的。根据工艺数据我们估计出了传 热速率，然后通过对比管程和壳程的温差加以核对。 图 5－7:进料/出料热交换 塔底温度 塔的进料速度 温 度 塔 进 料 流 速 出 C-1104 的进料温度 进 C－1104 的进料温度 A 点 进入塔的进料预热 C－1104 交换器管入口温度 预加热盘管入口温度 塔进料流速 塔进料温度 塔釜液温度 C－1104 交换器管出口温度 进料/出料换热器（C－1104A/B）的热量平衡说明直到时间 A 点（在 13:00 点），管程（进料）还没 有温差。而对于壳程（重残液），壳程出料温度在规定的范围内（低于 100˚F）。由于重残液液位调节阀 （LCV－5100）在关闭的位置上（也就是说壳程没有流量），所以这一点也不奇怪。在 A 点，重残液 LCV 调节阀为打开状态，所以重残液流量很快上升到约 31MBPD。这对进料在 13:00 点到 13:10 分进入进料/ 出料换热器而使预热温度从 126˚F 上升到 267˚F 产生很大的影响。这相当于大约 热能量传递（假设没有相的变化）。从重残液壳程相应的预热传递大约为 17mmBTU/小时（前提是 302˚F 到 191˚F 的温差以及 24MBPD 的平均流量）。 当进料温度相对低（低于 126˚F）时并且还未建立重残液流量前，通过火焰式再沸器加热器盘管（对 流段）的进料预热会产生相对小的热传递，大约从 15 到 18˚F。传递速度大约为 分馏塔进料预热和进料蒸发 如前所述，一旦重残液塔釜流量被打开，则去分馏塔的进料预热就会迅速上升。从 13:00 点到 13:10 分期间，进料预热从 126˚F 上升到了 267˚F（见图 5－8）。 进料点（31＃塔盘）的估计压力为塔的操作压力加上该点的静态液柱压力。根据上述讨论，我们相 信此时液位应该已经到达 13＃塔盘－大约在进料点以上 41 英尺。此时塔压力（从 PT－5002）为 (磅/平方英寸），所以计算出进料压力为 (磅/平方英寸）。根据进料成分，据估计 (磅/平 方英寸）和 267˚F 时进料质量大约为 摩尔％（ 重量百分比）的蒸汽。 虽然有些蒸汽被上述相对低温的烃类液体所冷却，但是其数量足够把液体抬高并送入塔顶管线内。 事故后检查塔的时候，没有发现塔盘有损坏，这点说明事件发生的顺序是逐渐稳定影响造成的，持续了 六分钟，而非突然性的。 已经证实要确切模拟当时的事故场景是非常困难的，而且工艺模型的准确性（比例尺为 1/5）（15 个 塔盘代表实际塔中的 70 个塔盘）不能与其它方面的分析一样精确，例如，通过减压阀的流量。动态模 拟显示进料预热使事件的发生提前了两分钟，而且再沸器出口以及塔底的蒸发可能最终导致了液体夹带 进入塔顶管线。 图 5－8:残液分馏塔塔进料预热 系 统 压 力 塔 进 料 温 度 塔 LCV（流量调节阀）的位置 系统压力 重残液流速 说明；系统压力是在塔顶冷凝器入口测量的。 塔进料温度 系统压力 塔进料温度 重残液流速 塔 LCV（流量调节阀）的位置 重 残 液 流 速 塔 L C V （ 流 量 调 节 阀 ） 的 位 置 排放到排污罐中的烃类数量 事故发生后，进料和重残液外流一直持续了一小时二十五分钟直到 14:45 分停电为止。停电后，调 节阀立即回到故障安全位置并保持容器中的液位。事故后安装了两个经校准的压力表，以确定塔中剩余 液体的液位。剩余液体的液位（通过压差测量）大约为 英尺（在塔的切线以上），（假定液体比重 为 Packer Engineering 公司对从分馏塔减压阀（RV-1001A/B/C）流入 F-20 排污系统的流速进行了分析 （见附件 16）。分析内容包括排污罐和烟囱中所积聚的液体、以及流入污水系统的后续烃类流量。 Packer Engineering 公司考虑有可能出现下列两种情形: 1． 只排放烃类液体（这是最可能的排放情形）； 2． 另外一种排放情形就是烃类液体和氮气排出气的混合物。 下列表 5-2 对排放到 F-20（通过减压阀）的烃类数量进行了计算。 表 5－2:通过减压阀所排放的烃类数量 情形 总量 (US 加仑) 所有液体 45900 回流罐 N2 46600 根据上述模拟（100％液体放泄），估计排放到排污罐（F－20）的烃类总量为 45900 美国加仑（6100 立方英尺或 1100bbls）。根据 RV 特性所进行的简单计算得到了与上述动态模拟相似的结果（约 7600 立 方英尺）。 使用综合体积平衡法进行确证，结果表明；  事故结束时分馏塔内液体的估计存量为＝16200 立方英尺（与流量计比较）（相当于 英尺 的液体高度－接近于 13＃塔盘）  估计流入减压系统的液体流量为（由 Packer Engineering 公司实施）＝6100 立方英尺  回流罐中积聚的液体估计为＝400 立方英尺  估计分馏塔中剩余液体容积为＝16200－（6100＋400）＝9700 立方英尺 该容积相当于切线以上 78 英尺的液体高度（较简单的模拟预测剩余液体高度为 70 英尺）。 剩余液体的液位（通过差压测量）大约为 英尺（在塔的切线以上），假设液体比重为 方英尺。 所有三个数字都基本相近。 排放到下水道中的烃类数量 通过减压阀所排放的烃类液体淹没了从排污罐到下水道的整个 6 英寸排泄管。随着液位在下水道里堆积 并进入到烟囱中，排泄管上方的静液柱压力开始上升，结果增加了通过排泄管的流量。当减压阀复位六 分钟后，排污罐和烟囱中的剩余液体可能最后都排到了下水道中。 对于排放到下水道中的烃类数量 Packer Engineering 公司对此做了计算（参见附件 16），如下表所示 （表 5－3）。由于污水系统的复杂设计，所以流量计算是大约值，并且假定对流量的主要限制就是那条 通过管道而进入下水道的 6 英寸出口管线。其它别的限制有可能会降低排入下水道的流量但是却增加了 排放烟囱顶部的排放量。6 英寸的管线在地面标高处已经腐蚀，所以有些烃类有可能已经泄漏到了排污 罐的基础处。 表 5－3:流入污水系统的最大液体流量 情形 液体高度 (ft) 静压 (psig (磅/ 平方英寸）) 压力 (psia) 最大液体流量 (gpm) 底部全空 0 0 1800 底部全满 27 2900 底部和锥体满 37 25 3200 底部、锥体和烟囱满 5000 根据上述流量，通过管道流进下水道的烃类总量为 44000 美国加仑（5900 立方英尺或 1050bbls）。 该总量包括减压阀打开时的流量和减压阀关闭后排放烟囱和放泄总管出来的排水量。基于上述原因，该 总量表示的是总量的上限。 排放到空气中的烃类数量 通过减压阀排放的总量与流入下水道的流量之间的差就是从烟囱顶部排出的烃类液体的数量。因此: 排泄到排污罐（F－20）的烃类总量 = 45900 US gal 美国加仑 通过管道而进入下水道的烃类总量 = 44000 US gal 美国加仑 排放到大气中的液体量 = 1900 US gal美国加仑 如果假定排泄中存在一些氮气，则排放到大气中的流量估计还较高。总而言之，估计通过烟囱排放 到大气中的烃类液体数量大约为 2000 美国加仑（250 立方英尺或 48bbls）。该数值代表的是下限值，如 果有其它原因限制了流入下水道的排泄量和/或限制了经腐蚀了的管道而渗漏到地面上的流量都可能会 增加上述数值。 动态模拟 为了更好的地了解不同时间段残液分馏塔塔的液位，Process Systems Enterprise（PSE）（工艺系统公司） 建立了一个残液分馏塔塔的动态模型（见附件 15）。根据简单的单相体积平衡法，似乎塔中的液位只可 能上到 13＃塔盘（最上面的塔盘为 1 号）。但是，由于再沸器附近和进料位置处有蒸发（一旦进料预热 上升），所以实际液位将更复杂而且难以预测。 分馏塔动态模型包括内部塔盘（有效面积和降液管）的详细再现。同时，为了能进行开车期间塔内 完整的塔盘到塔盘的蒸汽液体平衡计算，模型还包括了进入装置的热输入。报告全文参见附件 15。主要 结果如下；  烃类液体确实完全达到了位于塔顶的塔顶管线。  底部塔盘有许多蒸汽（来自再沸器输入），该蒸汽把液体抬升到了塔顶。  进料塔盘处的蒸汽加速了液体溢流进入塔顶管线。  该模型与所观察到的峰值压力相符和，但是预测中系统峰值压力比实际峰值压力提前了几分钟 到达。这种差异可能是由于进料流量计有些小误差或者是由于模型中为简单化而只引入了一些 进料组分造成的。  为了与不同时间段的总压力累积相一致（在达到压力峰值前），模型需要打开系统的一个小排 气口。这意味着 1½英寸的排气口当时可能是开的。  没有迹象表明水在这次事故中起到了很大的作用。不用假设当时有游离水，PSE 就可以使系统 压力与实际匹配。 技术分析的结论 对事故进行技术分析得出下列主要结论:  所观察到的高峰值压力（63psig）是由于液体充满了分馏塔塔上方的 24 英寸塔顶管线造成的。 这点受到了动态模拟结果的支持并受到卸压期间进料泵的流量响应的支持。因为 RVs（减压阀） 靠近塔顶管线下部，所以从充满液体的塔顶管线出来的高静压足以超过减压阀的设定压力。  事实上所有排放出来的液体都是局部冷却的液体。  进入塔顶管线的液体是下列各种液体的混合:主塔的液体原料进料溢出、塔底液体和进料的蒸发 和膨胀 根据 Packer Engineerig 公司的估计，排放到 F－20 排污罐的液体总量为 45900 美国加仑（6100 立方 英尺或 1100bbls）。该数字与容积平衡相当一致而且得到其它模拟试验的确证。 排放模拟 排污罐的蒸汽扩散 我们对排放烟囱顶部喷射出的残液进行了模拟，目的是确定蒸汽扩散是否与观察到的爆炸损坏相一 致。对于从排放烟囱喷射出来的液体烃类所产生的蒸汽云我们建立了蒸汽云扩散计算流体动力学模型 （CFD）。（见附件 17） 模拟过程中使用了大涡模拟（LES）CFD（计算流体动力学）模型。它展示了整个 ISOM（异构化 装置）和周围区域的蒸气云运动，以及风和障碍物在蒸汽云扩散和聚集中所起的作用。模拟是在减压阀 排放六分钟的过程中实施的，从 13:14 分开始到爆炸发生时（大约 13:20 分）结束。排放源情况的支持 计算和方法（如附件 16 所示）显示烃类排放是在爆炸前大约一分钟到一分半时发生的。 气象数据是厂内和厂外的气象站提供的。厂内气象站位于北办公楼（NOB）楼顶以及烷基化 3＃工 艺装置内。北办公楼的气象站被认为是最具有代表性的，这是因为风速计放在北办公楼楼顶上方，无任 何装置阻挡，而烷基化 3＃工艺装置的气象站位于装置内部，受到工艺设备的阻挡。 表 5－4:不同情形下从排放烟囱顶部出来的流量 情形 蒸汽质量流 (lb/s) 液体质量流 (lb/s) 总质量流 (lb/s) 所有液体 425 425 N2 回流罐 14 412 426 按照总共四种不同情形做了模拟。 1． 爆炸前一分钟排放烟囱放出的液体（13:19 分） 2． 爆炸前一分钟排放烟囱放出的双相排放物（13:19 分），由于回流罐中出现氮气混合物而造成 的 3． 爆炸前一分半钟排放烟囱放出的液体（13:18:30） 4． 爆炸前一分半钟排放烟囱放出的双相排放物（13:18:30），由于回流罐中出现氮气混合物而造 成的 扩散模拟结果显示在异构化装置周围形成了易燃蒸汽云。该区的风和障碍物使蒸汽云形成了一个流 动场，结果大部分属于燃烧极限范围内的蒸汽云都滞留在承包商的移动办公室周围、异构化装置西侧的 管架周围、排放烟囱底部附近区域、以及 ISOM（异构化装置）南部被称作“球场”的地方。 预测的蒸汽云位置与爆炸模拟很吻合（见 节下面），该模拟对爆炸相关的密集区域做了估计。扩 散结果显示排放烟囱的排放情形能够形成由大量易燃物组成的易燃云，而且位置与观察到的损坏位置相 符。 模拟结果和另外进行的计算证实由于蒸汽云燃烧所形成的火球直径达到了 236 英尺并且时间上持续 了大约 6 秒。 爆炸模拟 我们聘请了 Baker Engineering and Risk Consultants, Inc. (BakerRisk)(Baker 工程和风险咨询公司)来 评估可能的爆炸情形。对以下六种可能的原因进行了评估:五种类型的爆炸和自然灾难。损坏的方式、爆 炸能量和对某些特定的设备状况进行研究都是评估爆炸类型的主要基础。所有爆炸情形都是基于 ISOM 装置内所观察到的损坏方式而预测的。 所考虑的爆炸情形包括以下方面:火焰式加热器爆炸、蒸汽云爆炸（VCE）、压力容器爆裂、沸腾液 体膨胀蒸汽爆炸（BLEVE）、以及炸弹爆炸。此外还考虑了有可能造成前四种爆炸的自然灾难。结果是 该爆炸为 VCE（蒸汽云爆炸），由于下列原因，其它所有情形都被排除（附件 18）:  火焰式加热器爆炸 ○ 加热器损坏情况与加热器内部爆炸不一致，无外部变形 ○ 与装置损坏方式不一致，损坏不在火焰加热器的中心或者加热器不是损坏最严重的 ○ 没有足够的爆炸能量 ○ 排除  VCE 蒸汽云爆炸 ○ 观察到了下列现象:从 F-20 排放烟囱排放出了燃料，以及从汇合成塘的液体中观察到蒸汽 ○ 有足够的爆炸能量 ○ 与损坏方式一致 ○ 与事件发生的顺序吻合 ○ 得到证实  压力容器爆裂 ○ 无爆裂的容器 ○ 与损坏方式不一致；爆裂容器无局部损坏 ○ 与事件发生的顺序不符；F－20 先于爆炸发生 6 分钟前有排放 ○ 排除  BLEVE (沸腾液体膨胀蒸汽爆炸) ○ 无爆裂的容器 ○ 与爆炸方式不一致；沸腾液体膨胀蒸汽爆炸无局部损坏 ○ 与事件发生的顺序不符；爆炸前没有火灾或其它条件能造成 BLEVE (沸腾液体膨胀蒸汽爆炸) ○ 排除  炸弹爆炸 ○ 与事件发生的顺序不符；F－20 先于爆炸发生 6 分钟前有排放 ○ 与装置爆炸方式不一致―――没有任何区域出现非常强烈的损坏  自然灾难（造成失控） ○ 地震－附近厂房或社区未有报告 ○ 闪电－无暴风雨或闪电报告；气候温和，风力很小 ○ 排除 VCE 蒸汽云爆炸情形研究中考虑了可能的着火源、氧化剂和燃料。结果确认排放来自 F－20 排放 烟囱、滴落的液滴和汇合成塘的液体蒸发形成了蒸汽云。 综合考虑所观察到的损坏方式、扩散模拟、目击者报告以及最终能量计算，我们确定了蒸汽云的位 置。经过检查建筑物损坏情况，选定了一些分析项目（损坏指标）。运用了建筑指标来提供距离爆炸源 的已知距离处的压力和脉冲目标值。此外，还考虑了 ISOM（异构化）装置范围内的密集区和受限区。 蒸汽云的爆炸能量一直在讨论中，直到在预测出的爆炸负荷和损坏指标的目标值之间找到一个最佳值才 确定下来。 对方向矢量进行考虑，结果显示蒸汽云延伸到了 ISOM(异构化装置)的部分区域、ISOM 西侧的管廊、 移动办公室区、以及紧靠管架西侧的车辆。声音报告很可能有两次或更多的声压级峰值，目击者可能经 历了延迟了的反射或回音，该回音延迟了足够长的时间，结果听起来像是多次爆炸。在给定的实物几何 学和损坏方式状况下，不大可能会是多次爆炸。 据估计，造成爆炸压力的上述区域内蒸汽云的能量用磅表示为 × 10 11 磅 ( × 10 10 J)，相当于 1600 lbs（730kg）（6bbls）残液原料所释放的能量。这象征着大约有两秒的估计流量流过减压阀并且达 到 F-20 烟囱排放量的八分之一。 需要注意的是估计的能量值只能算是密集区内部的能量。所以，扩散到开阔（非密集）区域的易燃 蒸汽云以及所排放的燃料要比上述估计值高。密集区外的燃料不会对爆炸负荷产生影响，但是会被火球 消耗。所排放的燃料有些会与低于可燃下限值（LFL）的空气混合并无害扩散。另外，有些燃料在着火 时还在液体池塘中，所以池塘上方的蒸汽浓度可能十分高，从而引发燃烧。综合上述因素，实际的燃料 排放可能要比爆炸能量计算所示的数量大得多。 附件 18 图 6 所示的易燃云轨迹与 CFD（计算流体动力学）扩散模拟（附件 17）基本吻合，并与爆 炸相关密集区的位置吻合。扩散结果显示 F－20 排放烟囱的排放情形能够形成足够数量的由易燃物组成 的易燃云、以及形成与观测到的损坏情况相符的特定区域。结果还显示不需要从污水系统所扩散的烃类 来补充蒸汽云，就可以造成所观察到的主要爆炸损坏。 我们通过能量分布来形成侧（非反射）压力和脉冲等值线。这些等值线在装置的总图上有所表示。 压力等值线在附件 18 的图 7 有表示，脉冲等值线参见附件 18 的图 8。 根据计算，J．E. Merit 公司的移动办公室处以及紧靠 Fluor 公司移动办公室 的侧压为 2½ psig (磅/ 平方英寸），脉冲为 430 。该脉冲很高，主要是由于移动办公室正好笼罩在蒸汽云内。蒸汽极有可 能已经进入到移动办公室内。我们知道的爆炸时在 J．E. Merit 公司移动办公室内的 22 人中有 11 人身亡、11 人受伤（五名 BP 员工、六名承包商员工）。另外一名死亡人的位置不清楚，爆炸发生时肯定不在 J．E. Merit 公司移动办公室内或附近。这相当于 J．E. Merit 公司移动办公室有 50％到 52％的死亡率。在 Fluor 公 司移动办公室有两名人员死亡，无受伤人员。第三个受到致命伤害的人最后有人看到他朝着 Fluor 公司 移动办公室，所以我们假定他在爆炸发生时在 Fluor 公司移动办公室内。这相当于 Fluor 公司移动办公 室有 100％ 的死亡率。距离排污罐 350 到 480 英尺远的其它移动办公室被多人证实有人员受伤，但无人 员死亡。 CCPS/API 以及 Amoco 的厂房建筑选址法（见 节）都是以简化筛选程序为基础的，这种程序趋 于保守，换言之，就是宁愿过多估计死亡率也不要犯错（谨慎不为过）。按照上述方法，死亡率（见 ）与木质框架的移动办公室之间的关联看起来并不像原来所认为的那样保守。Amoco 的关联法 预测在 2½ psig (磅/平方英寸）侧压（5 psig 反射压力）的死亡率为 10％，而在同样压力下 CCPS/API 预 测死亡率为 50％。显而易见，CCPS/API 的死亡率关联更接近于实际情况，但是对于在这个特定位置处 的 Fluor 公司的移动办公室而言却预测过低了。 VCE（蒸汽云爆炸）所涉及烃类数量相对来说较少，为 6bbls 残液。蒸汽云往南漂流进入 ISOM 装 置，该装置不象炼油厂某些工艺装置那样密集。随着蒸汽云的密集（由于工艺设备和管架，所以有许多 障碍）和受限（三种尺寸的围墙区域）程度的增加，一旦着火而造成 VCE（蒸汽云爆炸）强度也在上升。 正好位于排污罐和烟囱北面的超加氢裂化装置就是炼油厂内最密集的工艺装置。假如类似大小的蒸汽云 （有相同能量）当时聚集在超加氢裂化装置的密集区，那么所造成的 VCE（蒸汽云爆炸）将会在给定的 距离内从爆炸中心形成更高的爆炸过压。下列表 5－5 给我们阐述了其所造成的影响。 表 5－5:密集对爆炸过压的影响 压力等值线半径 (ft) 平均半径(最大-最小半径) 过压 (psi) 3 月 23 日事故情形 更高密集度, 同样能量下 的情形 310 (265-356)* 500 (472-519)* 385 640 535 900 970 1630 2170 3610 *最严密的等值线沿着受限/密集区域的外形形成，该区域属于爆炸源范围内，而且上述等值线不 是近似的圆周等值线；所以我们还提供了最大和最小半径。 根据 CCPS/API 法，木质移动办公室 磅 平方寸（psi）的等值线相当于土崩瓦解、残垣断壁的孤 零零的建筑物。该方法预测在此过压下屋内人员会有 10％的死亡率。上文我们已经讨论过，这个数值可 能不像原来想象的那么保守。这种情况下可以看出在较高密集度情形下，与 ISOM 装置区的事故的 300 英尺相比较， 磅 平方寸（psi）的过压延伸到了大约 500 英尺的范围。这意味着，基于该爆炸地点， 如果爆炸发生在更密集的场所，那么现场范围内的许多地点极有可能会遭受上述等级的过压损坏。将来 在决定安全建筑选址时应当考虑这点。 如果爆炸发生在更密集的场所，较低的过压（低于 磅 平方寸（psi））就会延伸到整个现场内更 远的距离。较低的过压能导致建筑物突然震动，有可能会造成窗户破碎、灯具掉落、以及靠在外墙上的 物件七零八落、散落一地。当考虑已有或新建建筑物的密集度时应注意这点。 下水道 事故后我们对 ISOM（异构化装置）周围的下水道进行了检查（参见附件 19 的总图）。发现界区内 几个区域有死水（消防水或雨水），但是未发现排水迹象。 在 ISOM 西侧，油水分离器和 2＃分水箱被火烧坏。油水分离器的集水坑泵未受损坏。17＃旱季集 水坑的检查门是开着的，坑中有一台带浮式水银开关自动启动装置的柴油泵。该柴油泵已严重损坏。旱 季集水坑的活性炭罐也严重损坏，看起来像是被挤压过一样。 闪蒸罐（F-200）西面、异构化反应器北面（D-300）的安全放空孔上的指示器已经面目全非，很难 辨认了。位于 ISOM 装置和仓库之间管廊上的安全放空孔已经被损坏，指示器已经被炸飞。下水道井盖 周围的混凝土已经破裂。井盖阻止了易燃蒸汽在下水道中造成燃烧。 在 ISOM 西面的催化剂仓库或移动办公室附近没有下水道接头或 P 形存水弯，事故期间那里可能扩 散有烃类。 根据检查结果和爆炸模拟，我们可以确定下水道不是形成最终导致爆炸的烃类蒸汽云的途径。下水 道系统所观察到的损坏情况经估计是由于主爆炸造成的二次火灾而引起的。 样品分析 4 月 12 日和 4 月 19 日在管理机构人员到场的情况下从各个不同的工艺物料中取样，并送到一家独 立的经认证的试验室－BSI Inspectorate（英国标准协会所属英斯贝克集团）进行分析化验。附件 11 附有 独立报告，内容包括存储交接、分析方法以及详细的分析结果。对样品进行了分组，分别由 BSI（英国 标准协会所属英斯贝克集团）和 BP 单独分析。 对从残液分馏塔进料缓冲罐、塔和回流罐系统采集来的样品进行了烃类种类分析，并按照碳数做了 报告。（附件 11，附录 5）。 样品分析结果证明:  分馏塔进料很标准，含有大约 53％的 C7 和重组分  回流罐和回流泵入口液体含有稍微比进料罐高的轻馏分浓度  塔釜液样品分析表明含有稍微比进料罐低的轻馏分浓度 回流样品含有大量的较重烃类（C7 和 C8），约 45％。正常运行时，塔顶产品只含 1％到 6％的 C7 以及较重的成分，平均含量大约 %。这说明残液分馏塔开车期间和爆炸发生后 22 分钟内进料基本上 没有发生分馏，当进料时，塔釜液产品以及回流液仍然在运行中。 上述结果进一步支持了下述结论:即塔进料位置上方的液体被过热的进料以及塔底液体蒸发而向上 推进并进入回流罐。当塔釜液被加热到 300˚F 而进料被加热到 260˚F 时，塔底液体中一些较轻的组分好 像是被推到了进料塔盘以上。当进料塔盘上方的液体被推往塔顶时，一些较轻的组分在塔顶闪蒸，但是 几乎没有什么蒸馏过程。 我们从一些有可能含水的地方采集了样品，包括分馏塔塔顶水分离系统、轻残液产品、通往塔里的 分馏塔回流管线、以及排污罐（F－20）。上述样品其中一个的标签字迹模糊，在报告中（附件 11）叫 做“P-4107B 泵”。该样品采自位于轻残液产品冷却器（C-1107B）出口的轻残液低点放净口。 对这些低点样品进行了环丁砜分析（见附件 11 的附录 4）。环丁砜是一种水溶性组分，用在 ARU 中抽提芳烃（苯、甲苯和二甲苯）以生产分馏塔原料所用的残液。它的出现是有水出现的征兆。 残液分馏塔样品的水中含有几百个 ppm 的环丁砜，这些环丁砜来自 ARU 的水洗塔。ARU 来的残液 应该是带水的、而且分馏塔主要是用来处理正常生产期间所产生的少量水。13:14 分当减压阀打开时， 从 ARU 来的进料中所含的上述水分不足以造成峰值压力。 所出现的痕量环丁砜使我们无法推断开车前残液分馏塔中到底可能含有多少冷凝液。为了应对临时 停车，已经做了蒸塔工作。所以冷凝液有可能已经在塔内低点和密封盘上积聚起来。开车前，当用氮气 对塔加压进行气密性试验时，打开了低点放净孔以排净所存的冷凝液。少量的水可能存在塔内的密封盘 里，但是当 13:14 分打开减压阀时，它不足以导致出现压力峰值。在检查塔内件时未发现有任何塔盘受 损，这点支持了蒸汽生成不是造成压力峰值原因的结论。 操作 控制表盘指示 白班内操有监测和控制残液分馏塔的液位、温度、压力和流量的各种仪表、控制和报警。有两个仪 表不能显示确切的数据，而其它别的仪表证实当时的状况正偏离开车程序所规定的条件。 白班内操以前参加过基本操作工培训（BOT）和工艺故障排除培训。上述培训课程强调了注意所有 参数的重要性（流量、压力、温度、液位和间接测量，例如物料和热量平衡），以确保了解实际工艺状 况并学会辨别仪表是否由于工艺状况而给出错误的指示。 白班内操已经与夜班内操完成了交接班，夜班内操未参予分馏塔进料和填料作业。操作工 A 在白班 内操到达前就离开了现场，而他对分馏塔进行了装料，并且在此之前可能已经意识到 LAH－5102 无法 报警。在日志上未发现提及到报警器失灵的记录，而且操作程序仍然在卫星控制室中。白班操作工声明 开车前他不知道残液分馏塔有任何仪表问题。 下面我们对残液分馏塔的监测和控制用的仪表、控制元件以及报警器做了讨论。此外还附有独立的 分析（参见附件 20）。 残液塔液位指示器 残液分馏塔液位指示器（LT－5100）为浮筒式设备，并且工作正常，在液位超过设计控制范围前， 它都能提供准确的塔内液位读数。图 5－9 显示的是控制盘屏幕上的液位指示。 图 5－9 :DCS 屏幕显示残液分馏塔液位为 50％时未报警 如果去液位指示器的脉冲管线被淹，则一旦塔底液体密度低于液位仪表的基准密度，那么所显示的 液位就开始下降（见附件 21）。 液位变送器显示了准确的趋势，例如当再沸器回路被填满时，它就重新上升或下降。当液位指示器 到了 100％时，操作工 A 停止了塔的装料并停止了残液在再沸器中的循环。当白班开始时，液位指示器 显示的是 100％，在 9:30 分当白班内操重新启动残液分馏塔时，显示为 97％。虽然开车程序要求 50％ 的液位，但是白班内操以 20000BPD 的流量重新开始塔的装料，直到 12:41 分仍未采取行动排出塔中的 液体。开车程序要求开车初期液位 50％时塔釜液的液位调节阀（LCV－5100）应设置为自动模式。 液位指示器的设计使其液位不能显示出高于 100％的液位。仪表读数是由浮子计给出的，该浮子在 往塔中增加液体或减少液体时会发生作用。当塔被填充到最大建议液位时，例如 100％（约 10 英尺）， 它就不起作用了。 在关闭溢流口的情况下，当液体被泵送入塔中 90 分钟后，液位指示器显示出 92％的液位。用泵再 把残液送入塔两小时后，此时压力上升，操作工打开了溢流。当残液去储罐的流量建立后，液位指示器 显示出液位为 80％。第 和 节解释了降低液体密度（通过加热液体实现）对所显示出的液位的 影响。如果在加入热量前就按照开车程序所述而建立了重残液外流，那么完全淹没液位浮子却显示出液 位逐渐下降趋势的风险本可以避免。事故后大约 3 个月，当塔的存量被排出后，液位指示器又恢复了正 常功能。内操在基础操作工培训中曾经受到有关液位指示器的培训。 塔的液位变送器 LT－5100 在现场能显示出塔的液位，刻度为 0－100％，以便外操可以了解液位情 况。开车期间白班内操看来并未要求现场的操作工去核实一下塔的液位。 LAH－5102 是残液分 流器塔釜液中一个独 立的高液位报警器。 LT－5100 显示为 50％液位。 此时它不在报警状态。控制器 显示为“手动”。 调查组找不到已经更新的液位指示器（LT－5100）仪表数据表，因为其原来显示的比重要高于重残 液的比重。原来用来校准液位指示器所用的比重为 ，相当于 lbs/立方英尺。在温度为 275/280˚F 时（该温度是塔底的正常操作条件），重残液的密度为 lbs/立方英尺。这个 8％的差值相当于正常运 行时所示液位和实际液位之间不到 5 英寸的差。在该范围上限值，即 100％液位或者高于浮筒的上排放 孔，所示液位应该是 92％。 高液位报警 集散控制系统（DCS）液位控制器（LT－5100）的高液位报警是按照设计情况工作的，其设定为当 液位到达 72％时会发生报警。3 月 23 日大约 03:00 时发出了警报而且得到了大家的确认。在随后的开车 中始终保留着警报指示，只有当清理塔存量时才清除了该指示。图 5－10 显示的控制盘屏幕上的液位变 送器在报警。 图 5－10:DCS 屏上显示在液位为 75％时残液分馏塔液位报警 还有一个冗余高液位报警（LAH－5102），设定在液位 78％时发生报警，但是当时处于故障状态。 这点未向白班报告或交代。如果该报警当时正常，应该在 3 月 23 日正好在 03:00 后发出报警。该报警 在 DCS 屏幕上也有显示，不是一个单独的报警盘，外观上与 72％的报警类似。它不属于临界报警。 当液位降到阈值以下时（在该阈值上按照程序会报警），上述两个报警都会重置归零。03:00 当再沸 器回路填料完毕，塔内液位超过上述阈值后，液位指示器再也没有降到上述阈值以下。虽然从液位指示 器上看出的数据趋势低于 100％，但是液位指示器还是继续传达显示塔内液位超过了开车程序所规定的 液位，并且按照设计状况运转。白班内操交接班时未被告知冗余的高液位报警故障。此时，液位指示器 根据所示，LT－5100 在液位指示为 %时在报警状态。颜色已经变为黄 色，能听到报警声音。 显示的是 100％液位。 附件 22 和 23 分别附有残液分馏塔的仪表清单和报警一览。 清除塔内烃类 ARU 送来的进入残液分馏塔装料罐的原料是由 ARU 控制的，所以残液分馏塔的内操无法控制它。 3 月 23 日，当进料开始时，信号清清楚楚的传递到了 DCS。来自 ARU 的进料速度从 15000 到 20000 不 等。分馏塔内操控制的是从装料罐到分馏塔塔的进料速度。 有两条途径清除塔内烃类:重残液塔釜液产品和轻残液塔顶产品。正常操作时，是按照 55/45 的塔釜 液和塔顶液比例来清除的。开车时，因为需要花很长时间缓慢加热进料，使其能产生塔顶流量，所以开 始时分馏塔残液外流的唯一一条途径是通过塔底的重残液外流口。 从 09:46 分到 12:41 分，白班内操关闭了塔釜液液位调节阀（LCV－5100），这样就阻断了一条途径。 该阀的关闭状态在控制盘的屏幕上有显示，而且重残液流量变送器（F－5015）的低流量报警一直报警 到 13:00。开车程序要求液位控制器为 50％的设定值和自动控制模式，以确保残液分馏塔塔维持在建议 的 50％液位。而在以前的开车过程中，给那些检查过的装置开始进料或之前就这些工作就已经完成了 （见附件 24）。 在步骤 后面开车程序还有一点说明，大致是说： “现在 B－1101 残液炉的再沸器部分已经建立了流量，而且重残液正在往储罐中流去。” 该说明在开车程序下一节之前，下一节的名称为：“H.加热 B－1101 残液炉和排出轻残液”。 白班内操直到操作工 B（这是一名富有经验的操作工）在卫星控制室的控制屏上检查了开车状况后 才启动自动液位控制系统。当意识到塔已经溢出时，该操作工立即在 12:40 左右打电话给白班内操，告 诉他需要排出塔底的塔釜液。白班内操试着启动残液外流并在 12:41 分打开了液位调节阀（虽然有可能 关闭了一个断流阀），然后在 13:00 将其恢复到手动模式，并开始手动打开阀门。加热早在大约 10:00 点 钟前三个小时就已经开始了。 将塔中液体清除出去的第二个途径是来自回流罐的塔顶产品。通常，在开始分馏塔顶产品前，开车 需要花 3 到 4 小时来使塔升温（按照规定的每小时 50˚F）。在此期间一直到分馏前，控制塔液位的唯一 办法就是确保有足够的重残液产品流出，以平衡进入的流量。 虽然升温速度较快（75˚F 和 50˚F 每小时相比），直到 13:16 分，爆炸前四分钟回流罐的控制仪表都 一直未显示回流罐中有液体。11:30 分到 11:45 分之间，在白班内操要求下，外操亲自检查了回流罐液 位，然后确认没有液位。而控制盘屏幕上也显示是零回流量以及去储罐的轻残液流量也是零。继续输入 冷原料一直到 13:00，此时虽然塔釜液已经为高温，但它却延缓了正常的塔顶蒸发过程。 塔釜液流量变送器显示流量为 3－4MBPD（被认为是零误差）（见附件 5），远远低于进入塔内的流 量 20MBPD。即便是白班内操认为零误差是实际流量，但是如果对塔进行物料平衡，可能会证明进入残 液分馏塔内的进料要多于输出。调节阀显示呈关闭状态，显示不正确，这点本应该得到确认。物料平衡 计算本应清楚显示整个过程图，即分馏塔内部液位异乎寻常的高。 对残液分馏塔进料进行预加热 正常开车过程中，进入分馏塔塔的残液进料温度应当分段逐渐升高。入口进料温度一直保持低温， 直到 13:00 分馏塔塔釜液液位调节阀（LCV－5100）（可能是一个关闭的断流阀）被打开后。此时，由于 残液分馏塔进料和塔釜液交换器（从 C－1104A/B）之间的热交换，所以 9 分钟的时间内塔进料温度迅 速从 126˚F 上到 260˚F。 控制盘屏幕直到 12:41 分与正常的残液分馏塔进料温度 205˚F 相比较后，此时才正确显示出温度， 仅为 100˚F 到 126˚F。到 13:00，管程（进料侧）没有温差，而壳程低于 100˚F（在范围以下）。由于重残 液 LCV（液位调节阀）直到 12:41 都一直是关闭状态，而且外流管线上一个断流阀有可能一直关闭到 13:00，所以壳程没有流量，这也就解释了造成上述温度的原因。在进一步有证据表明没有重残液产品流 入储罐（也就是说:重残液 LCV 流量调节阀为关闭位置，而且所示的 3－4MBPD 为零误差）的情况下， 内操本应该认识到进料/塔釜液之间没有热交换。 分馏塔塔进料温度清楚地表明目前状况正偏离正常的开车条件。由于没有重残液流出，如果进行了 更详细的热量平衡应该会证实残液分馏塔进料和塔釜液交换器（C-1104A/B）之间没有任何热交换。 塔釜液高温 开车程序要求残液分馏塔底部温度最高为 275˚F，最大升温速度为每小时 50˚F。控制室的仪表显示 到 12:22 分温度达到了 275˚F，峰值温度达到了 306˚F。实际的升温速度为 75˚F 每小时。虽然，减少了 部分再沸器燃料气，但是直到把扎发生前几分钟火焰仍然在继续加热塔釜液。事实上，直到另外一名内 操（操作工 B）在卫星控制室屏幕上发现塔釜液温度偏高并电话通知白班内操去降低温度时，这时才减 小了燃料用量。 即使在塔釜液温度过高时，一直到 13:16 分，控制表盘屏幕上继续正确显示出回流罐是空的。这一 点在大约 11:45 分得到了外操的确认。在给定的塔釜液温度下，当时一些轻馏分本应该已经开始分馏。 就此，调查组得出结论，塔底所生成的蒸汽由于冷进料液位高于热的塔釜液所以正被压缩和冷却。这样 就延迟了蒸汽通过塔顶进入回流罐而冷凝的过程。 介入 如前所述，当夜班操作工装填塔时，冗余的高液位报警（LAH－5102）失灵。操作工继续往塔中装料， 一直超过液位传感器的量程 100％。当关键仪表失灵时，正确的做法应当是停止开车，并与开车主管讨 论是否有可能以一种可接受的方式进行修理或减轻故障。调查组不能找到任何有关传达报警器故障的记 录或下达的维修派工单。 白班内操声明他不知道为了降低塔的压力 8 英寸链式排气阀是开的（12:40 分）。假定这一行为很重 要，外操与白班内操之间的沟通好像不完整或没有效果。 当重新恢复塔的进料几乎三小时后才对启动重残液外流所造成的工艺波动做出响应，即通过过热的 塔釜液来快速提高预热温度，这样做更加剧了波动。由于在塔的进料入口有快速蒸发，加之塔底也有蒸 发，所以对于把液体提升到塔顶并送入塔顶管线而言，这看起来好像很关键。除了实习生外，所有内操 和外操在 2000 年都受过工艺故障排除培训，但是从那以后再未受到重温培训。 残液分馏塔塔釜液显示液位和实际液位 当减压阀打开时最低指示液位为 78％，正好高于规定的自动液位控制设定值，而 DCS 高液位报警 自始至终都保持在报警模式。 就残液分馏塔塔密度变化对液位传感器和自动液位控制所造成影响，我们咨询了 Baker. Risk 公司。 他们的答复参见附件 25。 结论是液位有可能维持在塔液位传感器量程内；因此，50％时的自动液位控制设定可能可以正常运 转。由于高温时密度下降，因此，与液位调节阀（LCV）的设定值 50％相比较，在探测到最高温度时所 显示的液位估计应该大约是液位量程的 64％。在塔的实际液位超过了液位传感器固定管的上部管嘴标高 前，液位传感器还会继续检测液位变化并把反馈信号送到 LCV。 液位测量的密度误差 当使用浮筒式液位测量仪器来显示液位时，测量误差将与所用的校准或基准比重所得到的密度（比 重）误差成正比例。对于差压式而言，用英寸水柱来表示的变送器校准量程是通过采用下列距离来确定 的:上孔和下孔之间的距离、或者是到希望液位之间的距离，乘以操作温度和容器压力下工艺液体的比重。 由于用于量程的距离是不变的，所以由于蒸汽或温度变化而导致的密度变化都会造成与液位测量误差的 直接关联（也就是说:密度上发生 10％的变化会造成液位测量 10％的误差）。由于固定的浮筒有浮力，所 以浮筒式液位管会消除力的变化，因此它在密度误差和液位误差方面有相同的直接关联。浮筒力的变化 与固定浮筒和基准液体之间的密度差成正比。液位传感器是根据力的不同而校准的，即无液体浸没浮筒 和浮筒完全被工艺液体淹没两种情形。由于浮筒的密度不变，所以工艺液体方面如果有任何变化都会造 成浮筒测量力的直接变化。 无论是差压式和浮筒式液位测量仪，一旦液面上升到上基准孔以上，变送器就会分别看到最大差压 或最大力，而不会受到液位进一步上升的影响。对于浮筒式液位计而言，一旦浮筒完全被淹没，在超过 浮筒上量程后就不会进一步有任何力量上的净变化。同样参见附件 21。 在分馏塔使用浮筒式液位指示器（LT－5100）这种情况下，很难找到校准记录，而且当塔经过改进 以满足目前的残液分馏塔负荷时，看来好像没有改变仪表的基准密度。正常工艺状况下，仪表的基准密 度似乎比重残液密度高 8％，也就是说 与 立方英尺。因此，在脉冲管线完全被淹没的情况 下，如果塔底密度小于 lbs 立方英尺，仪表所显示的液位将低于 100％。下表（5－6）给出了（假 设进料质量在）不同温度下塔底液体密度的估计值。 表 5－6:残液进料密度和温度 温度 ˚F 液体密度 lbs/立方英尺 100 120 140 160 180 200 220 240 260 280 300 一旦塔底温度超过 151˚F（基准密度 实际工艺数据（图 5－11）说明该漂移是在塔底温度较低时发生的（塔底温度大约 135˚F）。这可能是由 于下列原因造成的:  由于未分馏所以分馏塔塔底残液进料成分发生变化  校准误差或轻微不同的基准密度  加热器产生的蒸发影响到了塔底密度（在工艺温度时不大可能）  轻馏分发生溶解（进料罐出来的氮气和甲烷）降低了堆密度 轻馏分溶解还有可能解释 07:00 到 09:00（当塔被隔离时）液位波动可能是因为提高了环境温度而 使容器缓慢升温造成的。 图 5－11:所示塔底液位随着温度上升而下降 残液分馏塔压力控制 正常运行时，通过回流速度来控制残液分馏塔压力。控制方案中用的是压力控制器输出来控制回流 调节阀。冷凝器/回流罐操作模式为罐被淹没、以及冷凝间接受到暴露的冷凝器表面面积控制。回流罐出 来的轻残液外流被用来控制轻残液成分，具体情况如下:  上升的分馏塔压力增加了回流量，同时降低了冷凝器的液位并且使更多的管道外露以促进冷凝， 从而降低了分馏塔压力  下降的分馏塔压力减少了覆盖在冷凝器表面的回流，结果是分馏塔压力上升。 通过对比，我们发现开车期间回流罐中并没有液体烃类，一直到塔中烃类被加热到足够高的温度可 以蒸馏塔顶液并冷凝为止才出现液体烃类。因此，必须采用其它方式来实现压力控制。 开车期间有两种关键的方式可以控制压力。第一，必须将非冷凝物从系统中吹扫出去，最好是从放 气口到离开回流罐的 3psig（磅/平方英寸）系统。当系统中有非冷凝物存在时，如果热的烃类蒸汽蒸馏 了去冷凝器的塔顶液，那么就会抑制冷凝，从而导致出现过压。如果严格执行了开车程序中规定的加热 速度，那么从开始加热时就把空气置换到 3psig 系统中将会安全地除去非冷凝物。残液分馏塔中氮气量 正好属于 3psig 排气系统所能处理的能力范围内。 第二，在再沸器出口测量的加热速度必须限制在 50˚F/小时，再沸器最高出口温度不得超过 275˚F。 这样就能实现非冷凝物的吹扫并防止热烃类蒸汽充满整个冷凝器。上述三点要求在开车程序中都有规定:  把非冷凝物吹扫到 3 号系统  以每小时 50˚F 的速度升温 塔底温度 塔底液位 温 度 压 力 （ ps ig ） (磅 /平 方 英 寸 ) 液 位 （ 百 分 比 ） 炉子出口 塔釜液 系统压力 分流器液位 说明：系统压力是在塔顶冷凝器入口测定的。  使再沸器出口温度低于 275˚F 满足上述要求就能使烃类逐渐蒸馏塔顶液，而不会形成峰值压力。 一旦冷凝开始，此时就应停止向 3 号系统吹扫，并开始建立回流。起初，回流为手动控制模式，然 后当分馏塔运行稳定时，逐渐提高回流量。一旦达到了正常的回流速度，此时压力控制就可以投自动模 式，从而按照上述步骤控制回流以便正常运行。 开车所用的 3＃排气阀的能力 对于使用 3＃排气系统，班长和操作工好像都普遍存在一个误解，因为他们都担心系统没有能力处 理氮气和/或系统的能力有限。分馏塔回流罐 3＃排气调节阀（H－5002）的设计能力很高，足够在开车 时将非冷凝物安全地从分馏塔中吹扫出去，前提是要按照开车程序作业。设计基础如下：  开车前分馏塔被降压到 3psig (磅平方英寸)。如果开车是检修后的开车（TAR），那么系统就会 有氮气，而氮气应该通过一个安全的位置排放到大气中。  排气至 3psig 会在系统中留下 30000 SCF 的非冷凝物  3＃系统在 ISOM 界区的压力为 15psig，设计计算中用的就是这一压力。通常界区内的压力为 12 到 15psig 之间。  开始加热升温前 H－5002 为 100％开度，而止回阀有效阻止了从 3＃系统到分馏塔的回流。  H－5002（在旁通阀关闭情况下）在 22psig 塔压力下能通过 16500 SCFH  H－5002（在旁通阀关闭情况下）在 30psig 塔压力下能通过 60000 SCFH  以每小时 50˚F 的加热速度，将温度从低温开始升到 275˚F 的再沸器最高出口温度，升温需要 个小时  升温开始后 3 到 个小时，热烃类蒸汽开始在分馏塔塔顶蒸馏，此时基本上所有非冷凝物已 经被吹扫干净。这样蒸汽就能开始冷凝并在回流罐建议液位，但是压力峰值又不会超过 30psig。一旦回流罐液位达到 50％，此时就应关闭 H－5002，以防止液体进入 3＃系统。 结论 开车大部分时间里，报警、物料平衡和工艺仪表都显示出塔的液位太高，以及从两条可用的途径中 塔内没有液体外流。因为正常的开车都需要 3－4 小时的时间以建议的加热速度来生成塔顶液，所以当 塔中开始通入物料时，一个关键的操作步骤是确保重残液外流速度要等于进料速度。当分馏塔塔的液位 一到达 50％而且建立了再沸器循环后，开车程序（步骤 ）就会要求： “在 Honeywell 计算机上，把 L5100 投自动模式并输入 50％的设定值”。 这个步骤把重残液外流进入储罐与进料速度相匹配，直到当随后的加热升温开始蒸馏塔顶蒸汽并产 生轻残液产品为止。 回顾 2000 年以来的 18 次开车，表明开始进料与开始建立外流之间的典型滞后时间从恢复进料前 10 分钟到恢复进料后 46 分钟不等，平均时间一般是 15 分钟以内。但是 3 月 23 日，启动重残液外流滞后 了三小时八分钟。以往的其它开车从没有一次经历过异乎寻常高的塔内液位。 回流罐内生成塔顶液的滞后是异常状况（非常高的液位）的另外一种表现。对滞后的重残液外流 （在 13:00）进行介入加速了溢流液体进入塔顶管线。正确的介入步骤本应当是切断进料，但是却从来 没有这样做。 内操持续不断地看到了各种进料速度迹象，产品外流的流速、塔盘温度以及预热换热器的温度。他 也设定/控制了塔的加料速度、外流阀的位置（液位设定值）、以及液位控制的自动模式。综合所得到的 各种信息，内操本来应该怀疑、调查、然后解释残液分馏塔液位指示器所显示的不一致数据，该液位指 示器虽然按照设计条件在正常工作，但是却错误地传出信号表示爆炸前几个小时液位正在缓慢下降。如 果根据开车程序 50％液位投了自动控制，即便在开始时液位指示器由于过量装填而被淹没的情况下，可 能也会启动重残液外流、而且塔的异常过量装填也就不会发生了。 排污罐的高液位报警 爆炸时排污罐（F－20）的高液位报警（LAH－5020）发出了报警。假如它当时能正常运转，那么 当残液分馏塔上的减压阀打开后排污罐被部分填充时，当时它本来会发生报警。当减压阀被打开时，液 体进入放泄管线和到达排污罐管道的位置需要 30 秒钟的时间。液体到达排放烟囱的顶部又需要 2 分钟。 正好设定在管道液位以下的报警本应在液体从烟囱排放出来前大约两分钟就发出报警。 分散控制系统（DCS）已经向控制室发出了警报说通过高高压报警（P－5002）已经打开了减压阀。 外操 C 听到了减压阀被打开，并且在爆炸发生时正向排污罐跑去。对讲机里也报告说有排污罐烟囱里正 在排放液体。如果在事故发生时该报警功能正常，就可能避免失控以及随后发生的爆炸和火灾。但是， 很可能他们又把它看成了另外一种迹象，即他们失去了工艺控制，所以提醒操作工拉响紧急警报。 卫星控制室 在卫星控制室还有一个 DCS 控制盘，位置正好就在残液分馏塔附近。通常该控制盘不是用来控制 分馏塔，而是供外操来监测装置工况。控制盘显示与主控室的显示完全一致。卫星控制室还是外操的避 难所。装有开车程序的三孔文件夹就放在卫星控制室，一名实习生操作工在白班值班班长授意下对里面 的开车步骤签了字。 3 月 23 日，操作工 A 决定从卫星控制盘上建立分馏塔液位和再沸器循环。好像他作出这种决定是 因为他距离分馏塔比较近。在主控室的夜班内操未参予上述作业。 白班的时候，主要的开车控制动作都是从主控制发出的。操作工 B 和其它的外操定期从卫星控制盘 上监控分馏塔开车情况。12:40 分实习生 E 注意到分馏塔压力升到了 33psig（磅/立方英寸），并提请其 它操作工注意。操作工 C 和 E 打开了 8 英寸的链式排气阀降低压力，压力降到了 。 大约在同时，操作工 B 电话给主控室的白班内操，告诉他需要建立从分馏塔出来的重残液外流。虽 然外流管线上一个断流阀有可能关着（因为没有流量出来），但是 12:41 分白班内操还是打开了重残液外 流调节阀。 白班值班班长（当时已经离开了现场）在 13:02 分打电话给卫星控制室，由于操作工 B 当时正忙， 所以他们简短地通了话。操作工 B 后来在 13:09 分又给白班值班班长打了电话，讨论关于塔的压力的事。 白班值班班长建议打开回流罐减压阀附近的 英寸排气阀，以防其中存有氮气而造成压力上升。到 13:13 分，操作工 C 和 E 打开了 英寸排气阀，将压力降到了 （磅/平方英寸）。 操作工 B 再次从卫星控制室打电话给白班内操，由于塔釜液温度高（304˚F），所以请他减少再沸器 的燃料用量。13:14 分，白班内操对此做了响应，他调整了燃料气调节阀，差不多在同时塔顶冷凝器的 压力迅速上升到了峰值。 外操 如前所述，外操把卫星控制室作为避难所，并且从那里的控制盘上能监控装置的工况。除了上面详 细叙述的各种现场作业外，外操还采取了下列措施: 3 月 23 日，下班的外操和来上班的外操之间并未就 ISOM 装置做交接班工作，而且看起来像是特别 简洁和不完全。3 月 23 日，ISOM 装置其它还在运行的唯一部分是脱硫装置，当时它和氢气压缩机一起 在稳定运行。白班操作工做了例行检查，并在 9:21 分首次打开 8 英寸链式排气阀进行分馏塔减压前检查 了装置连接情况，以清除系统中的氮气。 9:52 分恢复了分馏塔进料后，操作工 C 和 D 从大约 10:00 到 11:17 分（此时点燃了最后一个燃烧器） 点燃了再沸器炉的长明灯和主燃烧器。当上午晚些时候显示回流罐没有液位时，外操检查了液位计上的 下孔并确认只有蒸汽，现在还不清楚和谁说过。 11:47 分操作工 B 和 E 离开现场去给同事打饭，12:05 分返回现场。午饭后，操作工 E 注意到 12:40 分时分馏塔压力已上升到 33psig，并提醒其它人员注意，之后操作工 C 和 E 打开了 8 英寸的链式排气阀 来降压，然后压力降到了 。操作工 E 看到了重蒸汽从排污罐中排出，但是经验较为丰富操作工 C 告诉他别担心。 超时工作 为了支持残液分馏塔的临时停车和 ISOM 装置其它部分与催化剂更换有关的作业，许多班长和操作 工都一直在加班加点的工作。自从 2005 年 2 月 21 日分馏塔停车以来，现场许多员工都连续奋战了 30 天，每班连续 12 小时。现场的奖励制度（员工报酬和工会合同）鼓励大家超时工作，而未考虑大家身 心疲劳。在没有休假的情况下，当时对于最长许可工作时间没有任何明确的限制。 调查组不可能将事故直接归结于操作工或班长们的疲劳工作。但是，这种超时工作很明显会造成人 的注意力分散，以及对工艺波动的识别和反应迟钝。 结论 虽然排污罐的液位报警失灵，但是 DCS 的高高压力报警已经向控制室显示出减压阀被打开了。外 操 C 也听到了减压阀被打开，而且现场人员所采取的行动也说明他们意识到了烃类正朝着排放烟囱流动。 危害分析 过去十二年来，就残液分馏塔已经做了许多危害分析研究。这些分析包括根据 OSHA PSM 规定（基 本 Hazop 和五年重审）所进行的 PHAs、全厂范围的 QRA（称作重大事故风险（MAR）评估）、建筑选 址分析、以及 MOC（变更管理）的危险审查。 Hazop和重审 Hazop 被选为得克萨斯城炼油厂装置分析的最合适工艺危害分析方法（PHA）。1993 年对 ISOM 装 置进行了全面的 Hazop 分析，1998 年和 2003 年进行了五年重审。 1993 年的 Hazop 1993 年的 Hazop 就对装置减压阀系统能力提出了质疑。Hazop 报告中写到： “装置减压阀能力。装置本来是作为能力为 21200 BPSD 的超重整装置而设计的，但 是在 1985 年改为异构化装置，再后来于 1986 年又改为能力为 27000 BPSD 的 Penex 装置以及能力为 27500 BPSD 的 Ultrafiner 装置、或 125％的 ISOM 改装装置。在 Penex 改装数据书的索引中有一节是关于减压阀设计的，但是我们找不到这节。 Penex 工艺也回收和重新利用未经处理的产品。这有可能会对减压系统造成额外的 负荷。1984 年所作的有关 ISOM 改装方面的减压研究阐述了 Ultrafiner 总管已经非 常接近其最大能力了，所以任何额外的负荷上升都可能需要额外的减压能力。为保 证其有足够的减压能力，可能需要检查装置的减压系统。” 虽然该研究主要侧重于 ISOM 改装为 Penex 工艺，而非残液分馏塔，但是它还是编写了一条行动项 目（第 33 条）以确认减压阀的正确尺寸。Amoco 国际工程和建筑公司（Amoco Worldwide Engineering & Construction）受委托实施此项行动。他们作出如下结论: “作为异构化装置改装为 Penex 工艺的一部分，Litwin 工程公司对减压系统实施了完 整的、全面的评估。在装置的 Ultrafiner 部分没有发现具体的问题，而且对每个设 备的设计基础都从零开始做了评估。 作为 Hazop 解决方案的一部分，我们对卸压系统实施了简单调查，重点调查三个独 立的减压总管的最坏情况。 Hazop 研究结果和 Litwin 公司的减压阀资料表明目前的减压系统正常，不需要对总 管系统做改造。” 该解决方案还指出，由于 F－5 罐的用途发生了变更，所以需要变更 F－5 罐上的一个减压阀。该解 决方案进一步声明: “另外，我们对 F－20 排污罐做了评估，发现其正常。不需要对异构化装置的减压 总管系统或 F－20 排污罐做变更。” Hazop 还对异构化装置控制室的抗爆能力提出了质疑。Hazop 小组无法确定施工时建筑物结构所采 用的抗爆度。所以编写了一条行动项目（第 65 条）以检查是否需要改进控制室，以便有更强的抗爆性 能。1995 年以下列理由完成了该行动。 “ISOM 控制室属于建筑选址分析范围，该分析已在 1995 年第二季度完成。就蒸汽 云爆炸敏感性而言，在群体和个人风险基础上，ISOM 控制室属于二类区（可接受 风险）。” 1998 年的 Hazop 1998 年的 Hazop 重审考虑了 1995 年 5 月 8 日的事故，当时在开车期间残液分馏塔减压阀附近的 8 英寸排气阀是开着的。第 63 节指出将大量烃类排放到排污罐以及环境中的不良后果。行动是: “找出以前曾经或可能会导致灾难性排放有害物料的事故，并落实是否已经采取适 当整改措施以避免事故重演。” 以下是 Hazop 中所列的预防此类事故的保险措施: 1． 培训操作工 2． 在阀链上安装标记（针对 8 英寸旁通阀），以帮助操作工识别阀位 3． 修改开车程序，降低塔的升温速度，这样就不需要这个（8 英寸）阀门了。 从 Hazop 文件看不出来是否考虑了以前其它的工艺波动，例如导致开车期间出现高压等，因为大多 数上述波动都未被确认或报告。 由于担心其性能，Hazop 还指出了 F－20 的高液位情况。行动项目如下: “考虑将 F－20 排放烟囱鹅颈溢流管线上的阀门打开后锁定。这样可能会防止关闭 阀门，而关闭该阀门会导致排放烟囱出现高液位。” 该行动项目于 1998 年 6 月 26 日完成，当时在 F-20 管道断流阀上安装了链条和锁。 2003 年的 Hazop 最近一次 ISOM 装置的 Hazop 重审是在 2003 年 2 月 17 日到 25 日。 这次确定了一条行动项目，对 ISOM 全套装置的减压阀进行研究，以检查是否所有减压阀都按照各 自的用途而确定了正确尺寸。虽然所选的减压阀过去历年来都一直在分析它们，但是对全套 ISOM 装置 减压阀的最后一次研究却是在 1986 年完成的。这次行动项目有一个目标完成期，是在 2005 年 3 月 31 日，但是到 2005 年 3 月 23 日仍未解决，而且还未开始着手解决。 尽管在 2003 年 1 月正在更改减压阀的设定值，但是在 2003 年 HAZOP 重审期间仍未审查残液分馏 塔塔的降级 MOC（＃MOC－ISOM－2003－005）。该 MOC 直到 2004 年 3 月 3 日，Hazop 重审结束一 年后才批准执行。在此期间分馏塔一直使用重新设定的减压阀。 从 Hazop 重审文件看不出是否考虑了以前其它的工艺波动，例如导致开车期间出现高压等。 MOC 危险审查 根据良好的惯例，在得克萨斯现场所有经过 MOC 批准的变更都需要 PHAs。MOC PHA 主任就 HAZOP 和“What-If”（假设分析）/检查表技术参加了工艺安全学院的培训课程。 培训手册的第二部分指出“…..MOC PHA 应当包括:  工艺危险  以前发生的事故  工程和行政管理及二者之间的关系  控制故障的后果  建筑选址  人为因素  对工作场所所有员工可能的安全和健康影响范围进行定性评估 操作手册里有“What if”（假设分析）的详细检查表，并且建议“PHA 必需指出各种运行模式时的所 有危害，包括开车、停车、维修、停电、控制故障、旁通、当然还有正常运行”。 “What If”（假设分析）检查表和容器/换热器的最高许可压力（MAWP）降级所用的检查表不像培 训中所提供的检查表那样全面。它们没有具体的包括以下各方面的内容:  以前发生的事故  工程和行政管理及二者之间的关系  控制故障的后果  建筑选址  人为因素  对工作场所所有员工可能的安全和健康影响范围进行定性评估 各种运行模式，包括开车、停车、维修、停电、控制故障、旁通、以及正常运行很难验证 PHA 行 动的完成情况，因为 MOC 并没有要求用文件记录第三部分，即“变更要求”所述行动的实际完成情况。 实施 MOC 所批准的变更前要求进行“开车前的安全审查”（PSSR）。对于重大基本建设项目，正式 的 PSSR 要由受过培训的 PSSR 主任领导并形成文件。PSSR 期间所确定的任务优先程度分为“将耽误开 车”或“将不会耽误开车”。PSSR 原件必需送达 MOC 管理者，该管理者将把这些资料归档并把行动项目 输入到电子数据库中。有关 PSSR 要求参见当地策略（SH－PSM－）。 对于那些一般的有限范围的变更，操作主管在 MOC 表上的第四部分“授权执行”上签字即可完成 PSSR。操作主管签字意味着确认以下内容:  已完成所有要求项目  施工和设备满足设计规定  手边有完整的安全、运行、维修和应急程序 有关改装残液分馏塔而用溢流罐操作的 MOC (# MOC R-ISOM-98-09)提出了仪表行动项目。完成第 三部分“变更要求”被视为完全满足了 PSSR 要求。 2003 年有关残液分馏塔降级的 MOC(# MOC ISOM-2003-005)提出了行动项目，要求更新仪表报警 设定值并改变减压阀的设定值。2003 年的检修应该已经执行了正式 PSSR，也就是说而非只是完成第三 部分“变更要求”，但是却无法验证。当地策略（）要求检修后在开车前实施正式的 PSSR。 上述 MOC 的危险分析/检查表审查好像没有一个考虑到开车条件，诸如开车期间的实际工艺数据或 压力偏离额定值的记录等。 有关 ISOM 事故相关的 MOC 一览参见附件 26。 重大事故风险（MAR） 作为法规性要求的自愿补充，BP 在集团范围内采取了应对重大事故风险的程序。这些重大事故风险 （MAR）评估主要通过特定现场的所有潜在情形确定多死亡率（死亡人数大于 3 人）的风险来评估其社 会风险。该技术并不要求必需进行特别详细的定量风险分析（QRA），但是它确实从一个高的层次考虑 了潜在的灾难性事故和重大事故，例如火灾和爆炸等。其宗旨是在典型行业标准基础上提供被比喻为管 理报告线的全面风险评估，以强调是否风险控制策略应当成为优先考虑的事。MAR（重大事故风险）法 在 BP 的工程技术实务（ETP GP 48-50）中有叙述。 MAR（重大事故风险）的主要特点如下:  以假设的重大事故为中心  研究所有工艺装置上造成每个重大风险的情形  以历史事故数据为基础评估每种情形的可能性  使用 BP CIRRUS 后果包来计算后果，以建立火灾、爆炸和中毒对人造成的后果（作为可能的 死亡率而衡量）  综合所有事件的风险以获得现场或某项活动的累积风险图（社会风险“FN”曲线）  根据媒体的反应来估计环境风险和对当地造成的影响  对于该程序所确定的风险，现场必需采取连续的风险控制行动  MAR 特性描述的结果和风险管理计划应当报告给 BP 商务部。那些认定的潜在事件既有高频率 也会有潜在的严重后果的评估，则 MAR 风险管理计划还必需上报给集团公司。 2003 年 3/4 月对得克萨斯现场做了 MAR（重大事故风险）评估。MAR 指出了现场存在的 80 个重 要风险，但是并未确定或包括由于排污罐或 ISOM 装置所造成的风险。当时未考虑液体溢流和排放的可 能性。但是确定了相对于得克萨斯现场的其它装置，ISOM 装置没有造成重大事故风险这一事实。此外， MAR 也未指出临时移动办公室中的人员风险或定期检修人员的风险。MAR 没有使用得克萨斯现场的实 际情况来评估火灾和爆炸风险，实际上用的是一般工业数据。 MAR 指出 BP 得克萨斯现场的预计风险低于厂内风险的集团报告线（即在周围工厂装置内的厂内工 人、承包商和员工）而且正好在厂外公众风险的集团报告线以下。此外还确定了许多降低潜在风险的措 施，打算以此作为持续风险控制的当地策略的一部分。但是上述措施都未涉及到 ISOM 装置或排污罐。 行动追踪 PHAs 行动的进展情况，包括主要的 Hazop 和 MOC，都在 TRACKS（一种存取数据库）中有追踪。 另外一种数据库叫做 Traction，主要用于公司等级的报告，而 TRACKS 报告则定期发放给现场管理层。 电子邮件通知会发给相关负责人，通知它们行动项目任务，当这些项目到期时还会发出催单。此外，还 使用数据库来记录其它与检查、事故调查以及 PSC 相关的行动项目的实施情况。 每月还会生成与 PHA、检查和调查行动相关的月报告，以供操作主管和主管以上的管理层审阅。这 些报告会指出完成百分比情况，但是未按优先次序列出行动而且重点不在那些逾期未实施的行动。设备 检查、包括逾期项目，MOC 以及其它 PSM 行动都会在季度报告中指出，季度报告也是表现完成百分比 情况而没有列出优先次序。 当所有安全和环保行动项目都解决并登记在册后，此时 MOC 才完成。当建议被书面采纳后或建议 被正当拒绝后，此时可以考虑该行动已经解决。根据充分的证据，当下列各条有其中一条满足时，建议 可以被正当拒绝: 1． 建议所基于的分析具有实质性的事实错误时 2． 在保护职工或承包商职工安全和健康方面没必要采纳该建议时 3． 其它措施可能会提供更充分的保护作用时 4． 该建议在技术上或经济上不可行时 5． 设备已经报废时 当一项建议被正当拒绝后，必需通知 PHA、调查或检查组和以后的建议组。 当行动项目已完全实施或被正当拒绝而且该文件已经记录在现场的 PSM 行动项目追踪体系中，此时 该行动项目就可以标记为完成。文件不需要特别详细，但是必须对行动做确切的陈述（例如:已按建议完 成－日期；已完成培训－日期；拒绝－解决方案； 不可行－陈述原因－日期，等等）。如果支持性的文 件冗长（例如有 RV 研究、复杂的工程计算等），则必须在追踪体系中写上摘要，然后将完整的拷贝提 交现场 PSM 组。 PSM 行动项目追踪体系还有一项附加的检查。当被赋予安全或环境行动项目的个人通过解决方案和 正当理由而结束实施，以此作为对行动项目的响应时，则装置主管和 PSM 组将对此审查，以取得一致 意见。如果有任何一方对审查结果不满意，则该行动任务将返回给响应者，以便其重新考虑和作出正确 的响应。 到 2005 年 3 月 23 日，ISOM 装置有七项安全行动项目，从 2003 HAZOP 重审开始已经过期。上述 行动项目中没有一条和残液分馏塔或排污罐有直接关系。 结论 “What if”假设分析技术不可能面面俱到，它不可能考虑到各种运行模式或工艺波动的情形。如果未 考虑真正的事故和历史数据，任何审查都不适当。找出现场所存在的重大风险的能力主要取决于参予生 产的个人对风险意识的程度。如果对工艺波动/事故不报告，这样也会妨碍各种类型的风险分析。 操作程序 开车程序 残液分馏塔开车有两个标准的操作程序（SOPs）: 1． “TAR（检修）后残液装置的开车”（SOP ） 2． “临时停车后残液装置一般开车程序”（SOP ） 因为残液分馏塔用氮气做了气密性压力试验，所以 2005 年 3 月 23 日正确的开车程序是 SOP （TAR 之后的开车）。 的最后一次更新是在 2003 年 10 月 1 日，在培训协调员建议下，操作主管在上次的年度认 证（2005 年 3 月初）上确认所有操作程序都是最新的而且正确的。但是，在此之前，即 2003 年 1 月 25 日，塔顶 RVs（RV－1001A/B/C）的压力从 70 psig 分别降级到了 40/41/42 psig，但是这一变更并未在 2005 年 3 月 23 日所用的 SOP 上反映出来。然而大部分操作工的所作所为却显示他们知道这个变 更。这一降级也会影响氮气气密性试验的压力，在 SOP 上说明它需要 50psig 的压力，即高于 RVs 新设定的压力。2005 年 3 月 21 日氮气气密性试验用的压力为 psig，符合新的设定压力。 有关残液分馏塔从 75psig 降级到 40psig 的 MOC （ISOM－2003－005）中，有一项行动是对操作 人员进行培训。我们没有找到任何迹象表明已经实施了上述培训。培训指南（＃14 残液分馏塔塔塔顶系 统）未被更新，未反映操作压力和减压阀设定值方面的变更。另一个培训指南（＃13 残液分馏塔简介和 加料系统）未提及塔的压力等级或减压阀的设定值。 还有一项更新开车程序的行动项目是更新 3＃排气系统控制器的名称。1998 年进行以下改造之前， 即改为用溢流式回流罐操作和通过炉子再沸器燃料用量来控制分馏塔压力，用 P-5002 来控制 3＃排气系 统的阀。在签发将分馏塔改为溢流式回流罐的 MOC（＃R－ISOM－98－09）后，开车程序并未做相应 更新，以显示目前是 H－5002 在控制 3＃排气系统的阀门。 事故后的面谈显示那些 MOC 只是在装置会议上或黑板上用一张签字表做了一般通告。无法找到这 些通告的记录。在现场 PSM 部的文档里找不到任何记录，可以显示都采取了什么行动来完成程序和培 训要求。虽然文件声明行动已经完成，但是详细的询问又透露出并未完成有关开车程序的上述变更。 SOP 提到了事故的前三种潜在情形（见本报告的 节）中固有的危险，即过量热能、有水存 在以及非冷凝物存在（氮气和/或天然气）。上述提及的因素大部分都在开车程序的单个步骤或说明中提 到过，但是没有足够强调其危险或未包括如果出现问题后故障排除指南。但未提及塔填充过满所造成的 危险。 过量热能 作为 H 章的一部分，即“加热 B－1101 残液炉和轻残液外流”，程序中包含了升温过快的危险警告 （带阴影的粗体字），警告如下: “警告:缓慢升高系统温度，以避免 E－1101 残液塔出现过压。E－1101 残液塔的 RV （减压阀）设定值为 70 psi（磅/平方英寸）。” 有水存在 开车程序前面的“概述”部分有下列关于水的危险说明: “除去装置内的水是为了防止水和热油意外混合而造成波动。清除装置水分时通过 管线和容器上的所有低点排放孔进行放净。当水从系统中放净后，所有放净孔都要 用堵头或盲板法兰堵住。 开车程序还包括塔的操作步骤＃，它是“装置吹扫和气密性试验”这一节的一部分: “通过所有低点放净孔和抽空阀把所有蒸塔或压力试验时留下的游离水从系统中清 除出去。” 在具有相同措辞的类似步骤中也提到了残液分馏塔的其它部分，例如装料罐、残液炉和天然气系统 等。 非冷凝物的存在 开车程序中，在“拆除隔离盲板”这一节的前面还有下列开车指南: “在系统中通入气体和/或烃类前，将各个系统压力降到最低压力。这样做有助于减 少进入 3＃系统的氮气量，从而有助于将开车期间的压力问题最小化”。 开车程序还包括步骤＃F. 2，它是“装置校准”这一节的一部分，内容如下: “确保所有系统压力已经降到～1－2psi 的最低压力。这样可以除去系统中作为吹扫 介质的大部分氮气，从而有助于防止开车期间出现过压。” 最后，在“开始建立残液循环”这一节前，开车程序还有另外一段指南: “残液系统现在已经打通，可以从 ARU 进料。开车前系统压力应当为最小，这点很 重要。这样会有助于防止系统过压。” 这些警告和指导都是为了避免残液分馏塔出现过压。设计意图是蒸汽放泄（没有液体）只能通过减 压阀来放泄。 回顾过去十八次残液分馏塔开车情况（见本报告 节），表明上述开车中塔的压力有两次超过了 减压阀的设定值（40psig），其中一次在 41psig 左右。另外两次塔的压力接近 RV（减压阀）的设定值。 大部分开车都有压力偏离情况出现，但是因为压力得到了有效控制，所以只有两次导致减压阀被打开。 在塔得到了充分放净、充分吹扫和缓慢升温的情况下，都避免了出现高压。 在收集历次开车程序中有关上述方面经验过程中，开车程序的作者似乎也做了不懈的努力，虽然通 过参考发给操作工作为指南的工艺安全手册也许能更好地得到这些工艺安全提示。尽管开车程序不完全 是最新版的，但是总的来说该手册还是高质量的，有安全警告和所有关键工艺控制步骤的详细叙述。 3 月 23 日开车与过去历次开车之间的区别在于:以前的开车塔中进料没有超过三小时，而且没有不建 立重残液外流，也未导致塔中液位异常高。开车程序特别要求当塔的液位达到 50％而且建立了再沸器循 环后，分馏塔塔液位控制器要设定在 50％自动模式。这一步骤保证了一旦达到运行液位后，重残液外流 速度等于进料速度。 开车程序的使用 残液分馏塔开车程序规定操作工在每个步骤上签字时，要同时附上实施日期和时间。2005 年 3 月 21 日，白班值班班长打印出了最新版本的 SOP （TAR 之后的开车）并把它交给了外操，以便按照开 车进度记录开车程序中规定步骤的完成情况。实习生操作工 E 在白班操作工授意下在 SOP 各个步 骤上签字，虽然他还不是 ISOM 装置的一名合格的操作工，并且他并未亲眼看到所有步骤都已完成。白 班值班操作工也在一些步骤上签了字。虽然操作的初期步骤是由夜班人员完成的，但是他们好像并未在 任何步骤上签字。操作工 E 陈述有一段时间他至少有 24 小时都在已完成步骤上签字，尽管他说没有任 何步骤是在爆炸后签的。 操作工 A 是在 3 月 23 日早些时候从卫星控制盘上开始装填残液分馏塔和装料罐，并且拿到了一份 开车程序。但是，他没有在上述步骤上签字，然后就停止进料并等待白班人员到来，由他们继续开车。 夜班内操未参与加料作业。 3 月 23 日早上交接班后，白班内操说他复制了一份错误的开车程序，SOP （临时停车后的开 车），但是把资料忘在了打印机上。当内操最后拿到开车程序时，他说自己看了很少或者说几乎就没看 该资料。 开车程序各个步骤签字 总之，操作工 E 在各个步骤上签了名并署上日期，但是没有写明行动的时间。有一些步骤做了注解， 大意是该项目停止使用、仍在使用中或无该设备。其它一些有关 I&E 活动的步骤（-7），例如检查仪 表，是由白班值班班长签字的，虽然分馏塔开车前该项工作并未完成。但是，唯一关键的报警（F－20 高液位，LSH－5020）是在 2005 年 2 月 28 日停车期间检验的。 还有下面一些步骤空白未签字: 步骤 :与所有开车组人员一起进行程序的开车前审查工作 步骤 : 打开北集管上的天然气断流阀，并开始给天然气总管（1381）(2”-NG-1000).加压 步骤 :在 Honewell 计算机上，投 P5002 为手动模式，并把阀门开到 100％（此举有助于在开车 期间清除非冷凝气体），（注意 H5002 控制的是去 3＃排气系统的阀门，而非 P5002）。 步骤 : 随着 F－1102 回流罐液位上升，J－1102 和 J1102A 泵开始进料（2622－1） 以后的步骤都没有签字，可能是因为完成这一步骤后几分钟就发生了事故。 正常开车 维修结束后开车程序中（SOP ）正常开车的关键步骤（按照顺序排列）如下: 准备工作:  所有开车成员共同审查开车程序  检查仪表、报警、跳车等  如果需要，引入公用工程（蒸汽、电、冷却水）  用氮气压力进行气密试验  用氮气置换系统内空气  打开低点放净，除去系统中的水  拆掉隔离盲板 开车  检查装置连接情况  降压至 1－2psig 以排出氮气  连接 3＃排气系统，打开压力调节阀并置于手动  建立去加料罐的进料  开始给塔的进料泵供料  在加料罐建立 50％的液位  建立去塔的进料  给再沸器循环泵供料  在塔中建立 50％的液位  建立再沸器循环以填充再沸器回路  建立去储罐的重残液外流流量  设定塔的液位控制为自动，设定值为 50％  点燃再沸器炉长明灯  点燃再沸器炉主燃烧器  将再沸器炉温度控制设定为自动  以每小时 50˚F 的速度升温至 275˚F  建立回流罐液位  给回流泵供料  当液位到达 50％时建立回流流量  当回流罐低液位报警消失后关闭 3＃排气系统的压力调节阀  以 40％的给料速度建立去储罐的轻残液外流  根据样品/分析仪结果调节流量、温度等 虽然未正确按照一些步骤作业，包括检查仪表和开车前的审查，但是造成 3 月 23 日开车时塔装填 过满而溢流的关键原因还是在开车顺序中本应早些建立重残液外流，应当在塔升温前就建立。 除了准备活动外，可以在 12 小时一个轮班中完成开车步骤，从而降低由于交接班而造成的风险。3 月 23 日的开车是由两个轮班实施的，夜班把塔装到高液位后停车，然后白班又重新开始进料并在启动 去储罐的重残液外流前就开始塔的升温。这违背了上述正常开车的作业顺序。而且，似乎 3 月 23 日交 接班时互相沟通也太简短和不充分。 偏离开车程序 3 月 23 日的开车在许多方面都偏离了上述正常开车程序。虽然在将残液分馏塔与其它装置连接期间， 遵循了开车程序（SOP ）中的一些准备步骤，但是却省去了下列一些重要步骤或采取了其它不同 的行动: 开车准备活动:  开车前未测试所有报警信号（步骤 ）  开车前未测试所有跳车功能（步骤 B .6）  开车前未测试所有调节阀（步骤 ）  开车前 14 天未通知 HSE 部门（步骤 ）  未与所有开车成员进行程序审查（步骤 ）（见 节下面）  显而易见，开车前未检查装置的紧急喇叭，而且在开车期间每班上岗时也未检查（步骤 ）， 虽然这一步骤已经签字，但是在开车程序上未署名日期。  未查证是否所有仪表都还在使用中以及是否完成了功能性检查（见 SOP C 节中的许多步 骤）。对有些仪表进行了检查，但是未完成。  根据新的降级 RV（减压阀）设定值，以程序中的 和 50psig（见 SOP C 节中的 许多步骤）进行了氮气气密性试验。 在实际开车中，也省去了一些重要的步骤，或者是采取了不同的行动，例如:  连接 3＃排气系统，打开压力调节阀并置于手动，这一步骤并未实施（步骤 助于在开车期间除去非冷凝气体（氮气）。3 月 22 日打开了 3＃排气系统上的断流阀，而且调 节阀（H－5002）动了一下。但是，断流阀却又被关闭了，这样就在开车前隔离了排气系统。 虽然以前四次开车中使用了 3＃排气阀，但是在使用该系统的问题上好像操作工和班长们都有 一个很普遍的误解。这些误解源自于他们担心系统不能处理氮气和/或系统能力有限。任何一种 担心都没有确实的根据。这点前文已经论述（见 节）。  与开车程序中要求的 50％液位相比（步骤 G..11/16），夜班把分馏塔塔的液位设定超过了 100 ％。夜班没有继续建立重残液外流。这本来应该是填满外流管道和热交换器的。操作工 A 说， 如果后来管道和热交换器都被充满后，根据经验他估计塔中液位会下降。  开车程序中要求的 50％液位相比（步骤 G..11/16），白班把分馏塔塔的液位填充到超过了 100 ％。虽然 DCS 显示了高液位，并出现高液位报警，但是当白班重新开始开车时，内操仍然以 20000 bpd 的速度进料，并在未建立重残液外流的情况下继续向塔中给料。  正好到事故发生前白班才建立了去储罐的重残液外流（步骤 建立重残液外流，直到 12:41 分在另外一名操作工的提醒下才开始，但是直到 13:00 点才有流 量出现，可能是由于一个断流阀被关的缘故。延迟建立重残液外流意味着在大约三小时没有任 何外流的情况下向塔中加了 20000 bpd 的进料，直到 13:03 分外流才等于或超过了进料速度。  直到事故发生前，白班一直没有用 50％的设定值把分馏塔塔液位控制设置到自动（步骤 G..16）。开车程序要求液位控制应当在 50％液位时投自动控制，换言之，如果液位高于 50％， 调节阀就会自动打开以增加外流流量。应当在去储罐的外流流量一开始，就应立即实施程序中 的这一步骤，并且要在点燃再沸器炉燃烧器加热之前进行。直到 12:41 分白班操作工才试图建 立重残液外流。此时，液位控制设定为自动，延迟了大约三小时，但是在外流管线上一个断流 阀可能被关闭了。13:00 时，当重残液外流流量首次建立后，内操把液位控制又投到手动，然 后手动打开了阀门。  在没有首先建立去储罐的外流情况下（步骤 10:00 向分馏塔中加入热量。 开车程序明确规定要在炉子的再沸器中建立流量而且重残液流向储罐后，才能提高分馏塔温度。 但是，取而代之的是，升温先于重残液外流三个小时发生了。  与程序（步骤 ）中规定的每小时 50˚F 相比，分馏塔温度大约是以每小时 75˚F 的速度升温 的。开车程序中有一段粗体警告，即必需缓慢升高系统温度，以避免造成塔过压。主燃烧器点 燃后，内操立即控制了升温，并以规定速度的 150％开始升温。12:40 分，分馏塔塔的压力达到 了 33psig。正常操作压力为 10－20psig。手动把蒸汽放泄到排污罐后，塔的压力才稳定在 20－ 25psig 的范围。炉子燃料气的供应量也做了几次小范围的减少，但是那也只是到操作工 B 由于 炉子出口温度高而提醒白班的内操时他才那样做的。  与开车程序中的最高温度 275˚F 相比（步骤 ），再沸器炉的出口温度升到了 307˚F。内操在 点燃主燃烧器后立即开始控制升温，并将温度超出了规定极限值的 32˚F。少量减少了几次炉子 的燃料气供应量，但是直到大约 13:13 分操作工 B 因为炉子出口温度过高（超过了 300˚F）而 提醒白班内操时，他才大幅度降低了燃料气供应量。炉子出口温度过高是造成重残液外流和进 入塔内的进料之间快速换热的原因。快速的热交换又导致了进料大量蒸发、足以抬高塔内已经 超高的液位并进入塔顶管线。塔顶管线的液柱压力与塔压力最后共同造成了塔顶冷凝器入口压 力在 13:13 分快速上升，而该压力上升依次造成了减压阀打开并向排污罐内排放液体烃类。  塔顶 RV（减压阀）附近的 8 英寸排气管被打开了以控制压力。12:40 分，当压力升到 33psig 时，外操打开了 8 英寸链式排气阀。使用该阀并不是开车程序中规定的步骤，但是这好像已经 成为现场的惯例，开车时无论何时只要出现压力峰值，他们都会这样做。开车程序中特别警告 过，应缓慢升高系统温度，以防止分馏塔塔超压。自从分馏塔被改为用溢流式回流罐来操作以 来，开车期间的主要压力控制都是通过再沸器炉的加热速度实现的。为了最小化额外排气，1998 年的 Hazop 认可了每小时 50˚F 的升温速度。只是在开车时为了把系统中的残留非冷凝物（氮 气）吹扫出去时才使用 3＃排气系统。  回流罐 RV（减压阀）附近的 英寸排气阀被打开以清除氮气，而未按照开车程序规定使用 3 ＃排气系统（步骤 ）。13:09 左右，外操打开了 英寸的排气阀，此时场外的白班值班班 长通过电话提醒说出现的压力问题可能是由于有氮气存在而造成的。使用该阀并非开车程序中 的步骤。开车程序特别要求把 3＃排气系统的调节阀开到 100％手动，以此把系统中残留的非 冷凝物（氮气）清除出系统。 在许多步骤与开车程序发生不符时，导致 3 月 23 日故障的关键仪表步骤如下；  在继续给塔进料和加热塔期间，未能建立去储罐的重残液外流。 如果在重新建立进料一开始就建立重残液外流流量，事故本来不应该会发生的。对装置缺乏监督是 导致未建立重残液外流流量的原因。开车程序中有一个带圆点的说明就强调了建立再沸器流量以及去储 罐的重残液外流的重要性，重残液外流要先于塔加热这一步骤完成。 当重残液外流流量终于建立时，分馏塔塔釜液温度已经非常高了，而且塔的液位也已经很高了，以 至于后来又进入的大量额外热量更加剧了这种情况。当时那个阶段，正确的介入方法应当是停止再沸器 炉的运行，并关闭进料阀。 根据开车程序，本应当通过下列步骤实现上述操作；  将分馏塔塔液位控制设定在 50％自动，但是有些介入甚至在排放前本可以避免此次事故。 09:52 分，当重新建立进料时，显示塔的液位是 97％（虽然此时的实际液位可能正好在仪表量程 100％ 以上，也就是塔内大约 10 英尺）。大约 03:00 时，仪表顶部的孔被淹没，所以再也没有提供确切的液位 显示。但是，它却正确显示出液位比开车程序要求的液位高。 如果此时开始建立重残液外流，而且如开车程序规定的那样，液位控制器设定在 50％自动，那么调 节阀可能就已经被打开了，以增加外流流量和降低塔内液位，液位也就可能会很快回到量程以内。如果 液位在量程内，液位变送器也就可能会提供准确的液位显示了。 以前历次开车中与开车程序不符的种种情况 为了与 3 月 23 日的开车比较，我们分析了以前残液分馏塔的十八次开车情况。上述开车都是从 2000 年开始过去的五年中发生的。附件 24 有上述开车的相关数据。 上述开车与 2005 年 3 月 23 日开车的主要不同在于，以前开车中重残液外流流量都是在向塔中开始 进料前或之后不久就开始的。开始外流流量最长的一次延迟也就是 46 分钟，而 3 月 23 日的为 3 小时 8 分钟。3 月 23 日的这次延迟导致分馏塔塔内液位高达 137 英尺，相当于 13＃塔盘处的液位，接近于 70 个塔盘的塔顶。这个液位高度是根据透明液体所做的估计，并未考虑再沸器或高温进料所生成的蒸汽量。 当残液分馏塔停车后，70 个蒸馏塔盘中的液体都排到了塔底。所以当再次启动设备前（“暖”开车） 如果塔的液位变送器（LT－5100）显示出高液位那是合情合理的。底部塔盘以下有一个 100％的液位显 示，这相当于大约高出塔切线 10 英尺 3 英寸。 以前历次开车期间，有些时候如果塔的液位显示超出 100％这是正常的。有三次开车液位都在液位 变送器量程范围内，即 9－10 英尺的液位。但是，大部分开车都发生在短期停车后（“暖”开车），当时 塔盘中的液体都流到塔底，液位超过了 100％。估计液位在切线以上 11 到 35 英尺不等。最高液位（35 英尺）也就是刚淹没 9＃塔盘，但是完全在进料入口 31＃塔盘以下。上述开车从没有一个造成大的事故。 上述开车中有多次重残液外流流速都以最高流量超出了量程，但是为了估计出液位，我们取得是相 当于最大量程的流速。这也就是说，实际液位多多少少都低于附件 24 的估计液位。 3 月 23 日之前的开车过程中，升温速度和分馏塔塔压力之间都有关联。每次开车都会在首次温度上 升后出现压力峰值。内操减少了再沸器的燃料用量，以此阻止出现压力峰值，然后又再次升温。通常， 降低再沸器热量前，压力峰值的高度和升温速度以及升温时间长短有关。当压力峰值出现时，另外一个 变量是系统中非冷凝物的数量，但是，由于排气量无法确定，所以无法估计系统中的非冷凝物量。PI 数 据显示有些开车期间，与塔顶减压阀并联的 8 英寸链轮阀临时被打开，以此控制压力峰值，但是我们无 法得到 DCS 数据，所以无法给出确切的情况。最近的四次开车中好像使用了 3＃排气系统来清除系统中 的非冷凝物。 2003 年 1 月，残液分馏塔等级从 70psig 降到了 40psig，然后重新设定了塔顶减压阀。从那以后， 发生了两次压力短期超过了塔顶减压阀的设定值。减压阀打开的情况有一次是在 2003 年 2 月 21 日，还 有一次可能是在 2003 年 10 月 29 日，当时所示压力刚到 41psig。减压阀把压力释放到排污罐和烟囱中， 蒸汽扩散开了，没有发生进一步的事故。 自从塔降级后，最近三次开车都比较接近地执行规定的升温速度（50˚F/小时）和开车程序中规定的 最高再沸器出口温度（<275˚F）。这种情况下，最高压力被控制在 到 psig，远低于减压阀的设 定值 40psig 。最近四次开车好像都使用了 3＃排气系统来吹除排污罐中的非冷凝物。 总而言之，以前历次开车都证明（最高压力都控制在减压阀设定值以内的）成功开车具有以下特征:  开始进料前或进料一开始就建立重残液外流  3＃系统为打开状态，以吹除非冷凝物  缓慢升温（不超过 50˚F/每小时）  再沸器出口温度低（不超过 275˚F） 通过对比，那些最高压力接近或超过减压阀设定值的开车情况则具有相反的特征，即延迟建立外流 流量、升温速度快、再沸器出口温度高。 开车前审查 开车程序要求在使用程序前进行审查，通常称作“开车前审查”（步骤 ）。 “与所有开车成员共同对程序进行开车前的审查”。 该审查类似于实施 MOC 批准的变更之前的开车前安全审查（PSSR）要求，但是相对比较简单。MOC 之后的 PSSR（开车前安全审查）要求检查设备的设计规范、要有足够的程序、PHA 行动解决方案、以 及完成职工培训等，但是开车审查仅仅只是一个检查，即检查程序是否适合于任务以及检查开车成员是 否理解了程序。 3 月 23 日开车前，并未实施该审查活动，而且好像也没有什么监督机制来确保该项任务得以实施。 AU2/ISOM/NDU/ARU 装置的主管并不知道该项工作和其它程序步骤都未完成。 当地的现场策略要求在 TAR 后要进行正式的 PSSR（开车前安全审查）。2005 年 2 到 3 月间的残液 分馏塔停车被称作“临时停车”，它不需要 PSSR（开车前安全审查）。所以未进行 PSSR。 故障排除和介入 OSHA PSM 规程（文件编号 1）要求必需编制包含有清楚说明的书面操作程序，它写到: “操作限值:A:偏离造成的后果；和 B:纠正或避免偏离的步骤” 要求上述程序必需与工艺安全说明（PSI）一致，它还要求有关工艺技术的说明要包括下列内容: “安全上限和下限值，例如温度、压力、流量或组分；以及对偏离所造成后果的评 估，包括那些影响职工安全和健康的后果”。 残液分馏塔开车程序确实强调了危险警告，例如高压，但是未包括操作参数偏离既定范围时的故障 排除和介入说明。例如，它没有关于出现高压时该如何处置的指导说明、没有给出塔中出现高液位的具 体危险警告、或者高液位出现时的介入指导等。它依赖的是操作工的经验和培训。现场服务器中有一个 文件名为“ISOM 操作范围”的电子版操作范围，修订版 4，日期为 2004 年 2 月 26。 在现场还定期开办一个单独的培训班，目的是提高操作工的监控、评价和排除故障以及控制典型炼 油厂工艺的能力（见 节）。白班内操和操作工 B、C 以及 D 都在 2000 年 6－7 月参加了该培训班。 该培训不是具体针对 ISOM（异构化）装置的。 还有一些排除工艺故障的一般说明包含在工艺安全手册系列中（参见 SOP）。 安全作业规程 任务风险评估是最简单的危险/风险分析形式，有许多名称，包括作业安全分析（JSA）和作业危险 分析（JHA）。工业上广泛使用各种方法诸如 JSA 来帮助识别危险，并在开始执行每项新任务前指导工 人们作业，任务包括操作、维修或施工活动。残液分馏塔开车前，ISOM 装置并未进行任务风险评估或 开车程序审查。而这本来可以提供机会来强制执行开车程序、确定和警告那些开车现场附近的无关人员。 其它一些别的现场还使用危险区域等级（HAC）图纸，图上指出哪些区域的非电动点火源，例如车 辆、柴油驱动的空气压缩机等需要作业许可证（ATW，动火作业许可）。而这在得克萨斯城炼油厂不是 一项规程。现场动火作业策略（PR－2）规定: “OSBL（界区外）道路可考虑作为运行中的车辆或移动设备的自由燃烧区。静止车 辆或移动设备以及其它静止的动火作业源，如果在运转时停留在道路上、道路附近 或 ISBL（界区内）区域，且驻留时间大于一小时以上，则必需获得许可。许可证由 作业委托人签发。…. 对于车辆和移动设备进出运行装置不需要作业许可证和动火 作业许可。但是有资质的气体检测人员必需在移动设备进入作业区之前检测该空间， 并一直伴随移动设备，直到该设备与当日的动火作业许可证到达作业区或离开该装 置为止。 现场交通安全策略（ME－1）规定: “对于 TAR 和大型基建项目而言，必需制定交通管理方案。…….任何车辆不得在无 人照看的情况下使引擎空转。“无人照看”指的是驾驶员本人不在车辆司机座上控制 该设备。该规定不适用于为机械操作而提供必要电源的车辆，但不包括引擎、乘客 厢的暖气和空调；应急反应车辆视作电源。” 3 月 23 日，超加氢裂化装置检修（TAR）好像没有交通管理方案，很多车辆都停在 NDU 和 ISOM 装置之间的移动办公室附近。虽然靠近运行中的装置，但是对于车辆进入没有控制，因为该区的 HAC （危险区域等级）为“非危险区”。对 ISBL 区（界区内）的界定不清楚。 还有一些车辆停在 ISOM 以及排污罐北面和临近的路肩上。至少有一辆卡车在有人看管的情况下开 着引擎，这对爆炸来说是一个潜在的引火源。还有一辆无人看管的汽车在 ISOM 装置南面的界区内区域， 引擎好像还开着，因为爆炸中气囊被打开了。调查组不能找到任何气体检测记录或这些车辆进入 ISOM 装置的 ATW（作业许可证）。 交接班 开车程序中有以下关于良好沟通对安全的重要性说明: “在开车所有阶段，必需尽最大努力注意安全、细节和沟通。这点针对各有关装置、 轮班职工和个人。周密的计划、时间进度、和良好的判断与沟通是安全、高效开车 的保证。” 3 月 23 日，ISOM 装置停车的白班值班班长迟到，所以未从操作工 A 或夜班班长那儿得到任何交接 情况，而给塔装料是由操作工 A 完成的。外操之间的交接班是在炼油厂门口交接的，交接时间和内容好 像都不充分。 白班内操从夜班内操那儿收到了交接记录，而该夜班内操并未参予分馏塔的装料。分馏塔装料是由 操作工 A 完成的，但是他却在换班一小时前离开了现场，即 04:59 分。操作工 A 所用的开车程序放在了 卫星控制室而不在主控室。不清楚为何开车要由两个轮班实施。以前的历次开车，包括初次填料以建立 液位都是在一个班上就轻而易举的完成了。跨度两个班次，这样就产生了额外的风险，而该风险只能通 过两个轮班之间的良好沟通来控制。 操作波动/问题报告 在 ISOM 发生的工艺波动，包括打开减压阀，都未例行报告和调查。虽然系统存在着问题，而且在 这方面有可能产生后果，但是好像报告并不多。ISOM 的操作日志很少报告开车期间的压力偏离，包括 何时减压阀被打开以及何时蒸汽被排往排污罐。 而且好像给运行管理和工程部也很少反馈有关设备问题和偏离正常操作程序的情况。 结论 虽然开车程序并未完全更新，但是普遍来讲程序还是高质量的，详细提出了所有安全警告和关键工 艺控制步骤。开车未按照程序的许多步骤进行、以及程序未更新这些事实都说明它们未被看作重要的文 件。班长和主管未核实程序是否可用、正确或已被执行。不健全的交接程序意味着并未讨论风险，以及 内操并没有拿到正确的程序。 总而言之，没有程序，员工就意识不到运行风险，认为这只是个常规的操作、不需要过多的评估或 思考。最后的结果就是生产控制失败。 培训 （知识和技能） 培训计划 当地现场策略，SH-PSM-5“工艺安全培训”描述了操作工和班长培训要求。培训内容取决于员工或 承包商与所涉及工艺的相关职责和责任。 该策略要求: “参与所涉及工艺的操作或指导操作的员工必须得到有关工艺概况以及操作程序的 培训。培训必需重点强调具体的安全和健康危险、紧急操作和安全作业规程、适用 于员工的作业任务或工作环境的策略和规定。参与所涉及工艺维修或检查的员工或 承包商的培训必需包括工艺概况和适用于维修或检查任务的安全作业规程。 该策略要求各装置保证其员工每三年进行一次 OSHA PSM 和 EPA RMP 规定的培训。以下为进一步 要求: “文件签字前，培训协调员应核实是否已完成要求的培训。” 基础操作工培训班（BOT） 2002 年以前，SH－PSM－5 所要求的培训都是通过一个为期五周的基础操作工培训班（BOT）来完 成的，包括工艺安全概况、操作程序、安全作业规程、现场策略、工艺安全手册、工艺安全标准以及推 荐的良好规定等。 该培训班分为四个阶段，针对所有新员工以及工作调动而来到得克萨斯现场的人员；  第一阶段:新员工职前教育和培训 ○ 操作工的具体责任  操作工的职责和责任  环境控制和责任  烃类缺失  能量/蒸汽应用  对企业的荣誉感培训  第二阶段: 装置介绍、工艺安全概况、工艺危险和安全保障  第三阶段: 岗位资格培训，包括全面介绍工艺设备和操作参数  第四阶段: 定期重温培训 培训课包括如下内容:  炼油化学和物理  炼油厂操作、流程图和布置  炼油工艺设备 ○ 疏水器 ○ 热交换器 ○ 表面冷凝器 ○ 蒸馏、吸收和汽提 ○ 分馏 ○ 冷却塔 ○ 动设备 ○ 电机 ○ 炉子 ○ 分析仪  仪表  安全培训  安全作业规程  硫化氢  正常操作程序  炼油厂操作工职责  取样程序  开车程序  停车程序  应急程序 目前，现场的目标是只招收那些具有工艺技术专科学位或在石化工艺领域具有三年工作经验的人员。 框架继续采用四阶段法，但是根据必要教育和经验要求做了相应缩短。当前的培训计划参见附件 27。 与 3 月 23 日事故有关的合格外操以及内操都参加了为期 5 周的 BOT（基础操作工培训）班。两名 实习生，即操作工 E 和 F，都是从 Mainland 招聘来的实习生，他们接受了在职培训。 培训预算 过去五年来，得克萨斯城炼油厂学习和发展部（L&D）预算上升了，而同期部门人数却减少了。该 部门的经费和人数在 1998 年现场实施了 HiPRO 组织模式后达到了最高峰。 学习和发展部最近八年来的预算和人数（以约当全职人数计）（FTEs）如下； 表 5－7:学习和发展部培训预算 年度 实际经费 $000 人力资源配置 约当全职人数 1997 30 1998 28 1999 21 2000 ~ 2001 ~ 2002 10 2003 9 2004 8 2005 * 9 * 预算数 根据 ISOM 装置的监督，大部分培训费用都在固定成本预算范围内。但是没有一个单独的列项或成 本中心来表示与培训相关的单位具体费用。装置人员无法向 BP 调查组提供用于培训的预算或费用。 培训记录 ISOM 装置员工培训记录有两个主要来源:（1）计算机数据库，即虚拟培训管理员（VTA）和（2） 保存在工艺装置文档中的硬拷贝记录。 操作工培训记录内容包括:  虚拟培训管理员数据库中的培训结束记录  评估表样本  PSM 认证文件 培训协调员负责通过 VTA（虚拟培训管理员）分派员工参加培训课程。然后员工就会从 VTA（虚 拟培训管理员）收到一封电子邮件，上有培训班名称和预期结束时间。之后员工就进入 VTA 中的课程 并完成所分配的课程。如果是 ISOM 培训，员工从 VTA（虚拟培训管理员）打印出一份认证考核表， 与其直接班长或评估员一起手写完成评估活动。成功完成认证考核后，员工本人和班长（或评估员）要 在该表上签字并交给培训协调员。培训协调员负责评价员工在 VTA 中的记录，并在已经完成的课程上 打勾。完成的认证考核表和 VTA 记录是 PSM 认证的基础。 员工培训记录样本参见附件 28。 ISOM操作工 3 月 23 日事故相关的外操和内操都参加了 BOT（基础操作工培训）班。但是 VTA（虚拟培训管理 员）记录审查显示有些 ISOM 操作工有未完成的记录。 最大的不足出在操作工 D，在 VTA（虚拟培训管理员）或硬拷贝记录中未发现任何证据能表明他曾 被派去参加 ISOM 操作工培训。白班值班班长发了一封电子邮件说他是一名有资质的 ISOM 操作工。面 谈时，操作工 D 坚称他是一名受过培训的有资质 ISOM 外操。根据班长的电子邮件，操作工 D 有资格 从 2004 年 10 月 25 日开始在 ISOM 装置加班。操作工 D 的资质是氢气装置的操作工，在 2004 年从氢气 装置调到了 ISOM 装置。 此外，还发现了以下三个细小的例外: 培训协调员没有在操作工 B 和 C 的 VTA（虚拟培训管理员）记录上标明他们已完成各自的认证考 核。 培训协调员不正确地引用了 PSM 标准中有关 PSM 资质认证证书的 1992 年不追溯条款段，而非他 应引用的三年重温培训段。（这一管理性错误在 ISOM 装置员工的 PSM 认证书上重复出现）。  培训协调员在他自己的 PSM 资质认证证书上签字。 将 ISOM 装置人员的培训记录与现场工艺安全培训要求（SH－PSM－5）相比较，暴露了培训和培 训议题的一些不足之处，包括；  正常开车程序（TAR 后）*  正常停车程序（TAR 前）*  重要的纠正行动  PSM 策略  工艺安全手册  工艺安全标准和指导思想  推荐的良好规程 *该培训要求在实施任务前进行。 虽然调查组确实发现了培训记录中的一些不足之处，但是总的来讲，ISOM 操作工普遍具有可以安 全运行装置的必要知识和技能。然而，事故后与白班内操的面谈又使调查组得出结论，他并不完全了解 工艺或自己 3 月 23 日所采取行动或不行动所带来的潜在后果。另外一名内操，即操作工 B 提醒了白班 的内操好几次，让他采取纠正措施，例如开始重残液外流以避免塔过渡进料等。白班内操说他每隔几分 钟就提醒自己进行物料平衡，但是他的行动与此不符。 ISOM班长（包括代班长） .............................................................................ISOM 班长培训由两部分组成:技术培训和管理/监督培训。 技术培训包含在当地策略中（SH－PSM－5）。除了几点不同外，该培训通常等同于要求外操所接受 的培训，内容如下；  安全停车/应急程序  关键纠正行动程序  临时操作程序  具体的现场操作  装置一般操作  工艺安全概述  工艺安全手册  工艺安全标准和指导思想  推荐的良好规程 不同之处如下:  具体的表盘操作――补充知识  正常开车程序（TAR 后）－明白即可  正常停车程序（TAR 前）－明白即可 该策略要求代班长也要接受其临时代替岗位所要求的培训。如果一名新派来的一线班长或代理班长 是一名受过训练的并有资质的内操，根据 SH－PSM－5 的技术培训要求，他们自然就有资格当班长。 白班值班班长的技术培训记录是最新的。 调查组无法确定对于一线班长或代班长的具体管理/监督培训要求。但是，VTA（虚拟培训管理员） 记录显示有许多管理/监督培训班。有些班只有个别人参加，但是大部分（即便不是所有）ISOM 班长都 完成了下列培训:  预防工作场所侵扰  求同存异论  你有伦理道德吗？  道德规范  记录保留  资本价值过程  人力资源策略/手续/劳动关系 在每个班长的职业发展计划中，培训要求是以个人为基础实施的，但是学习和发展部的审查结果表 明 ISOM 装置并未执行该计划。 实战演习 为了将 NDU 内操责任与 AU2/ISOM 相结合，发起了 2001 MOC（变更管理）(＃MOC－NDU－2001 －002)。该 MOC 确定了一项实战演习的行动任务项目。 “给 AU2/ISOM/NDU 的控制内操岗位开发一个模拟器，或者取而代之，开展一次有 效的实战演习” 有关该行动项目的解决方案在报告中写到“已按照要求编制了实战演习计划”。但是装置培训记录中 找不到能够证明进行过实战演习的证据。 参与 D－301 装置的一次热逃逸故障调查组（＃INV－ISOM－2002－001）也曾经建议开展一次实 战演习训练。行动项目的解决方案是开展一次该情形的实战演习。通过对 ISOM 装置的培训记录审查， 我们找到了为每个轮班而编写的两种训练情形的硬拷贝文件。一次训练是 J－203 泵出现缺失，另外一 次是去 Penex 反应器的四氯乙烯泵缺失。但是没有一种情形涉及到残液分馏塔。 调查组最后得出结论，ISOM 装置没有按照上述建议行动，而且他们不应该按照已完成项目而给该 行动项目打上句号。3 月 23 日事故发生时，ISOM 装置已经在 2004 年与一家咨询公司签订了合同，委 托其编制一份 ISOM 装置的综合实战演习计划，以此响应已经确定的纠正行动。该计划包括规划工具、 情形和评论，但是即将实施。 缺乏模拟器 过去，得克萨斯现场的操作工培训很少使用模拟器。二十世纪九十年代早期，使用了两台类属型模 拟器，Foxborough 软件和 Dexter 蒸馏，通过它们操作工可以对工艺装置和参数有一个全面的了解。但 是却未继续使用下去。 由于很难用数量表示“那些不会发生的事故”和“操作工在绩效方面的进步”，所以调查组认为使用模 拟器将对现场具有很重要的意义。为了把模拟器的作用发挥到极点，需要制定一个清晰的模拟器策略， 指出最可能实现的效益和关键成功因素。这需要财力支持，从而开发出丰富多彩的、不断发展的培训和 优化计划。 故障排除培训 与 BOT（基础操作工培训）相结合，还定期举办一个为期两天的有关工艺故障排除的培训班。K&S Associates 公司设计和开发此培训班的目的在于帮助操作工应对炼油厂和化工运行中所遇到的工艺故障， 提高他们监控、评估、排除故障并控制工艺的能力。 培训所授方法可以提高操作工的能力，从而将思 想过程转化为步骤的逻辑顺序。 方法分为两个过程。一是排除故障过程，通过它操作工可以确定工艺控制因素和问题的根本原因。 二是纠正行动过程，可以帮助操作工制定计划、安全解决问题或停车，并评估问题对装置的有效和安全 运行所造成的长期影响。 借助于一套通用装置，该装置含有反应、分离、蒸馏、吸收和汽提工艺等，培训班学员会逐渐熟悉 故障排除过程和纠正行动。当装置出现异常状况时，操作工首先稳定装置、查找故障、然后制定并实施 整改行动计划。 合格的操作工具有与装置互动的知识、技巧、权利和自信，而且在正常操作过程中可以监控装置运 行、收集证据、评价和确定对工艺所作的变更是正常抑或异常。对工艺他们始终保持不变的警觉。 在异常操作期间，合格的操作工会检查效果、确定原因并发起纠正行动。他们了解关键参数的安全 上限值和下限值、知道如何缓解偏离所造成的直接后果。他们会采取直接行动稳定工艺、保证安全、并 阻止对环境有害的排放。 流量、温度、压力和液位是操作工最常见的参数。参数的指示值意义不大，除非它反应了工艺的内 部特征。合格的操作工能解释和调节流量、温度、压力和液位。操作工能证实显示是否准确，因为他们 知道上述四个参数之间的相互关联。培训并未明确地讲述过量填充塔以至于到溢流程度的风险，也未阐 明应采取何种正确的挽救行动。 ISOM 监督、内操和外操都参加了 2000/2001 年的上述工艺故障排除培训班，包括培训协调员（2000 年 8 月 31 日）、白班值班班长（2000 年 8 月 17 日）、白班内操（2000 年 6 月 15 日）、操作工 A（2000 年 7 月 13 日）、操作工 B（2000 年 7 月 24 日）、操作工 C（2000 年 7 月 27 日）和操作工 D（2000 年 6 月 29 日）。 应急培训 当地策略（HSE A－7）中有应急行动方案，包括紧急情况报告、拉响警报、操作检查、动火作业、 疏散、清点员工、组织结构和培训。对此，定期举办专门的培训课（HSEREG007）培训应急行动方案 所涉及的员工。事故前，ISOM 装置的所有操作工和班长都在 2004/2005 年受到了此类培训。 另外，2004 年举办了一次名为“应急反应救援和警报”的培训班，所有操作工和班长都受到了此次培 训。2004 年，大部分操作工和班长还多次参加了培训，该培训与一个新的应急反应培训和实战演习计划 有关，当时装置中正在发起上述活动。 工艺安全知识和技能 二十世纪九十年代早期，当 OSHA 制定 PSM 规定时，虽然为提高全面的工艺安全意识和知识做了 很多努力，但是在以往的介入行动中并未有效地重温该培训。目前，在工艺危险风险意识和识别方面操 作工和班长/管理人员几乎没有什么有关的培训。通过电子邮件和 VTA（虚拟培训管理员）都发出了 PSM 相关材料，但是这些沟通渠道好像对维持意识和知识收效甚微。所有 ISOM 装置的操作工和班长本 应参加包括工艺安全标准和 BP 的工艺安全手册方面的培训学习，其中叙述有工艺装置操作危险和事故 教训等内容，但是 VTA 中并没有上述议题的记录。 某些个人接受了有关 PSM 规定中特殊因素的培训。四名 ISOM 正式职员参加了 2002 年和 2004 年 的 PHA 领导培训，五名接受了 EPA 风险管理计划规程的培训。2004 年，大部分 ISOM 装置人员都通 过 V