BP炼油厂重大事故调查报告

1、重大事故调查报告异构化装置爆炸最终报告美国 得克萨斯州 得克萨斯城事故发生日期： 2005年 3月 23日报告日期： 2005年 12月 9 日由事故调查组组长 J. Mogford 批准签发执行概要2005年3月23日，英国石油公司BP位于北美地区的美国得州得克萨斯城炼油厂异构化ISOM 装置发生火灾和爆炸，此次事故共造成 15人死亡、 170多人受伤。为了让大家能很快汲取此次事故教训，并加速整改措施的实施，我们于5月 17日发布了一份中期报告。该报告确定了此次事故的关键因素。为早日公布上述报告，中期报告中并未分析导致此次事故的 以下根本原因。最终报告旨在深入了解此次事故的原因，并提出补充的

2、整改措施，以防止类似事故的再次发生， 并提高现场的平安绩效。事故调查组认为，如中期报告所述，此次事故有四个关键因素，假设没有这四个关键因素，这次 事故也就不会发生、或者说事故所造成的影响也就不会象现在那样严重。失去控制残液分馏塔开车程序和知识与技巧的应用 工作管理和临时移动办公室的建筑选址 排放烟囱的设计和施工造成事故的原因是由于比空气重的烃类蒸汽与着火源可能是运转的车辆引擎接触后发生燃烧而 引起的。由于塔内物料装填过满以及过度加热而造成残液分馏塔过压保护系统启动后，由液相生成的烃类开始从 F 2 0排放烟囱中溢流出来。由于未能建立塔内液体外流、且未能及时采取有效的紧急行动，最后导致爆炸前的失

3、控。这些事实 都说明操作未能遵循许多既定方针和程序。另外，装置指定的班长当时不在现场，未能监督按既定程序 进行操作，而这已经是日常运行中的一项惯例。另外，许多人聚集在临时移动办公室内和其周围又加剧了事故的严重性，上述临时建筑的位置又 离换班地点太近。那些受伤人员本应受到警告并离开上述危险区，但是意识到上述事件的人员并未向他们发出警告。现在还不清楚为何那些意识到工艺波动的人员未能发出警告信号。要是切断了用于轻烃类 烟囱的排放并安装了本安型仪表如果有 ，本可以降低此次事故的可能性。调查组没有发现任何迹象说明有人有意或成心采取行动或作出决定而将他人置于危险境地。 尽管现场管理组织实施了各种整改方案，

4、例如 1000 天方案等，并在整个现场范围内完成了重大事 故风险评估 MAR 工作，除此之外，还在以前的事故发生后开始在培训、审查以及企业文化方面引入 了许多改良措施，但是事故调查组仍然发现现场有许多方面还未按照各项程序、方针和预期行为实施各 项工作。调查过程中，调查组发现许多方面的惯例亟待改良虽然不是此次事故的关键因素，并就此提出了一些建议。调查中我们采用了 BP的根本原因法，CCPS化工工艺平安中心指南对该法做了补充。期间我们 做了文件记录作为证明，从面谈中我们收集了相关证据，独立证据都是至少从两个当事人处获得的。如 未经确认，我们就会在报告中加以注明。主要原因确定如下多年以来， 由于对变

5、革的抵触、缺乏诚信和动力、没有开展目标， 工作环境已日趋恶化。再 者，对监控和管理行为模糊不清的期望意味着不能不折不扣的按照规定行事， 缺乏严厉、 个别 人在提供建议或提出整改措施时感觉没有发言权。未能建立工艺平安、 操作绩效和减少系统风险为上的原那么， 并且在管理上未能始终如一强制贯 彻执行。由于复杂的组织机构发生诸多变化而导致了缺乏明确的职责和有效沟通， 二者共同导致了工人 们对自己岗位和职责模糊不清。由于对危险意识不强以及对现场工艺平安理解不透彻， 结果导致了人们竟然理所当然地接受了 那些比同等装置风险程度高许多的风险。 上述后果的一种表现就是临时移动办公室竟然布置在 离排放烟囱 150

6、 英尺远的范围内， 而该烟囱的作用是把比空气重的烃类排放到大气中， 而对此 已建立的行业惯例竟未表示任何疑问。在竖向沟通和绩效管理程序较差的情况下， 工厂内既没有足够的早期问题报警机制， 也没有独 立的了解标准过时的方法。事故期间所表现出来的上述行为和行动的主要原因很复杂，所以调查组在此方面花了很长时间。很显然，上述原因的形成由来已久，所以需要协力和尽职尽责的行动方能调查清楚。中期报告就以下各方面提出了建议措施；人员和程序工作管理和移动办公室的建筑选址设计和工程施工并就管理层和主要体制方面提出了一些新的建本报告通过一些补充的建议对上述三方面做了增补，议。目录执行概要 3主体局部1. 简 述 1

7、52事故背景 173事故表达 203.1 造成事故发生的事件顺序 2.03.2 事故 2.34证 据 264.1 现场检查 2.64.2 目击证人 2.74.3 样品 2.74.4 设备测试 2.74.5 文件检查 2.95. 证据分析 315.1 证据分析简介 3.15.2 失控可能的情形 3.15.2.1(a) 蒸汽压力 / 液体夹带 325.2.1(b) 蒸汽生成 325.2.1 (c) 氮气 325.2.1 (d) 不适宜的进料 335.2.2 污水系统 335.2.3 情形结论 335.3 工艺模拟 3.35.3.1 残液分馏塔中的液体存量 335.3.2 往残液分馏塔中装料 355

8、.3.3. 残液分馏塔的进料成分 385.3.4 进入分馏塔的热输入 385.3.5 分馏塔进料预热和进料蒸发 415.3.6 排放到排污罐中的烃类数量 425.3.7 排放到下水道中的烃类数量 435.3.8 排放到空气中的烃类数量 445.3.9 动态模拟 445.3.10 技术分析的结论 455.4 排放模拟 4.55.4.1 排污罐的蒸汽扩散 455.5 爆炸模拟 4.65.6 下水道 4.95.7 样品分析 4.95.8 操作 5.05.8.1 控制表盘指示 505.8.2 介入 545.8.3 残液分馏塔塔釜液显示液位和实际液位 545.8.4 液位测量的密度误差 555.8.5

9、残液分馏塔压力控制 565.8.6 结论 585.8.7 排污罐的高液位报警 585.8.8 卫星控制室 585.8.9 外操 595.8.10 超时工作 595.8.11 结论 595.9 危害分析 6.05.9.1 Hazop 和重审 605.9.2 重大事故风险 MAR 635.9.3 行动追踪 635.9.4 结论 645.10 操作程序 6.45.10.1 开车程序 645.10.2 开车程序的使用 665.10.3 开车程序各个步骤签字 665.10.4 正常开车 675.10.5 偏离开车程序 685.10.6 以前历次开车中与开车程序不符的种种情况 705.10.7 开车前审查

10、 715.10.8 故障排除和介入 725.10.9 平安作业规程 725.10.10 交接班 735.10.11 操作波动 / 问题报告 735.10.12 结论 735.11 培训 知识和技能 7.35.11.1 培训方案 735.11.2 培训记录 765.11.3 ISOM 操作工 765.11.4 ISOM 班长包括代班长 775.11.5 实战演习 785.11.6 缺乏模拟器 795.11.7 故障排除培训 795.11.8 应急培训 795.11.9 工艺平安知识和技能 805.11.10 培训方案审核 805.11.11 MOC 培训 805.11.12 结论 805.12

11、建筑选址 8.15.12.1 规定 815.12.2 行业指南 815.12.3 Amoco工作规程书 815.12.4 得克萨斯城的相关程序 815.12.5 移动办公室 82检修用的 MOC 变更管理程序 855.12.7 移动办公室的位置 855.12.8 建筑选址法比拟 865.12.9 结论 895.13 装置设计、工程和操作性 8.95.13.1 残液分馏塔 905.13.2 排污罐 935.13.3 控制室 965.13.4 危险区域等级 965.13.5 结论 975.14 设备测试 9.75.14.1 现场测试 975.14.2 车间测试 1005.15 维修/ 机械完整性

12、1035.15.1 维修方案 1035.15.2 残液分馏塔 1035.15.3 排污罐 F20 1065.15.4 平安关键设备 1075.15.5 内部检查 1075.15.6 结论 1085.16 应急响应 1085.16.1 应急响应方案 1085.16.2 疏散警报 1095.16.3 结论 1095.17 以前历次事故回忆 1095.17.1 残液分馏塔和排污罐 1105.17.2 历次开车回忆 1115.17.3 外部事故 1125.17.4 结论 1125.18 审查方案 1135.18.1 PSM 审查1135.18.2 gHSEr 审查114其它审查 1145.18.4 纠

13、正行动 1155.18.5 结论1155.19 风险 1155.19.1 风险意识 1155.19.2 风险接受 1165.19.3 结论1165.20 沟通 1165.20.1 操作1165.20.2 工艺平安 1175.20.3 结论1175.21 业务方案 1175.22 测量和监控 1185.23 组织机构 118操作1195.23.2 ISOM 装置1195.23.3 工程1205.23.4 平安委员会 1205.23.5 结论1245.24 领导 1245.24.1 结论1256. 因果分析 1266.1 关键因素 1306.2 关键因素的原因分析 1316.3 潜在文化问题 13

14、16.3.1 业务背景 1316.3.2 “平安第一1326.3.3 组织架构的复杂性及能力 1336.3. 4 无能力看到风险的存在 1336.3.5 缺少早期警告 1347. 纠正行动建议 1357.1 人员 1357.1.1 管理层 1357.1.2 监督 1357.1.3 工作场所的环境 1367.1.4 个人业绩 1367.1.5 资源 1367.1.6 沟通 1367.1.7 操作工 1367.1.8 培训 1377.1.9 组织架构 1377.2 程序 1387.3 作业控制及移动办公室的现场布置 1387.3.1 移动办公室 1387.3.2 平安临界设备 (SCE) 1387

15、.3.3 建筑选址 1387.3.4 危险区域等级 (HAC) 1397.3.5 PHAs/MOCs/Hazops 1397.4 设计方案和施工 1397.4.1 责任 1397.4.2 ISOM 的设计和施工 140报警系统 1407.5 潜在系统 1407.6 事故调查及报告 140图 2 1:残液分馏塔 18图 2 2:事故后的排污罐和 ISOM 异构化装置 19图 51:图残液分馏塔的估计液位高度和时间 34图 5 2:残液分馏塔塔温度随着液位上升而增高 35图 53:随着分馏塔压力升高进料流速开始下降 36图 54:残液分馏塔塔标高 37图 55:泡点压力和温度 38图 56:事故期

16、间再沸器燃料气流速 39图 5 7:进料/ 出料热交换 41图 58:残液分馏塔塔进料预热 42图5- 9:DCS屏幕显示残液分馏塔液位为50%时未报警 51图5- 10:DCS屏上显示在液位为 75%时残液分馏塔液位报警 52图 5- 11:所示塔底液位随着温度上升而下降 56图 5-12:LT-5100 塔液位传感器测试 102表 3 1:AU2/ISOM/NDU 装置全体操作人员 20表 51:进入残液分馏塔的热输入 39表 5 2:通过减压阀所排放的烃类数量 43表 53:流入污水系统的最大液体流量 43表 54:不同情形下从排放烟囱顶部出来的流量 45表 5 5:密集对爆炸过压的影响

17、 48表 56:残液进料密度和温度 55表 57:学习和开展部培训预算 75表 6 - 1:因果分析 126附件1 授权调查范围2 残液分馏塔流程图3 残液分馏塔排污系统流程图4 异构化装置总图5 DP 流量的零误差6 导致事故的事件时序7 残液分馏塔系统压力和液位8 残液分馏塔系统压力和温度9 损坏情况10 紧急相应时间表11 工艺样品的分析结果 BSI 检验报告12 文件记录13 额外证据时间表14 情形分析与评估 BakerRisk 风险报告15 工艺模拟 PSE 报告i. 导致 2005年 3月得克萨斯 BP 炼油厂平安事故的事件模拟分析16 残液分馏塔卸压机构大小评估 Packer

18、工程报告17 蒸汽云扩散的计算流体动态模拟及与观察的物理证据之间的相互关系18 爆炸模拟 BakerRisk 风险报告19 污水系统20 控制盘指示 UOP 报告21 残液分馏塔塔底液位指示22 残液分馏塔控制仪表23 报警概要24 开车历史25 残液分馏塔的指示液位和真实液位26 与 ISOM 事故相关的 MOCs 汇总27 操作工培训方案28 培训记录29 PHA 检查清单、容器 / 换热器 MAWP 重新定级30 ISOM 仪表问题的维修工作通知单程序31 SAP 工作通知单32 以前发生的 PSM 审查33 组织机构图表34 因果分析35 术语表36 参考文件37 炼油厂和化工厂区占用

19、的移动式建筑物的设计和位置实践指南 签署页1. 简 述2005年3月23日星期三，英国石油公司BP位于北美地区的美国得克萨斯州得克萨斯城的炼油 厂在异构化装置开车期间， 由于临时停车而发生火灾和爆炸， 此次事故共造成 15人死亡、 170多人受伤。 现场被保护起来，第二天成立了一个死亡事故调查小组来调查事故情况、确定事故根原、提出相关建议 以防止二次发生类似事故、并指出应汲取的教训。本次调查的详细授权调查范围参见附件1。得克萨斯城现场事故管理组IMT 发出应急响应后，立即展开了事故取证工作。之后BP 英国石油公司与承包商雅可伯斯工程公司JE Merit的母公司、GE和Fluor Daniel员

20、工成立了一个联合事故调查组，并于 2005年 3 月 26日星期六正式从得克萨斯城现场事故管理组 IMT 手中接受调查 取证职责。应BP 英国石油公司北美地区公司的要求， BP集团公司派出了一名集团公司执行长官领导该调 查组，并派遣了三名炼油业务部以外的人员参加了该小组。 此外， 该小组成员还有得克萨斯城六名雇员， 包括三名协会工作人员、三名付薪雇员，共同组成了该调查组。在 BP 得克萨斯城事故现场展开了为期五周的初步调查。 内容包括事故现场勘查、 与目击证人面谈、 收集相关文件和记录等。此间进行了拍照以协助调查工作。从工艺控制系统我们拿到了硬驱动。此外， 还收集了样品以进行化学分析、 并付定

21、金聘请了第三方专业公司以确证爆炸碎片和影响，并对爆炸性质 和爆炸程度进行模拟。在 2005年 5 月 17日发布了中期报告。该中期报告陈述了导致此次事故的事件分析、指出了该事故 的临时性关键因素、并提出了一些早期建议，以防止完成根本原因分析前发生事故重演。虽然我们认识 到当时证据和分析都不全面，但是我们认为发布中期报告还是有用的，它能确保组织机构和相关行业就汲取事故教训和防止事故重演方面早日受益。自从中期报告公布以来， BP 事故调查组一直在继续收集、研究和分析其它补充证据。调查组已经 完成了工艺物料样品的分析和工艺以及爆炸模拟工作。另外，还完成了工艺仪表和设备的检测工作例 如液位指示器和减压

22、阀 ，并对残液分馏塔做了外部检查。我们收集的所有证据都与美国化学平安委员 会CSB和职业平安和健康管理局 OSHA 做了共享。本最终报告陈述了导致此次事故的事件分析、 指出了造成该事故的一些体制原因或根本原因、并提 出了一些整改措施的建议，以防止将来类似事故重演。中期报告的变化中期报揭发布以来， 通过进一步的调查研究我们已经确认了调查小组在中期报告中所陈述关键因素 的看法。分析进一步的详细信息时，我们发现其中一处错误。在异构化装置附近有许多移动办公室，以方便对临近的超加氢裂化装置进行检修。在超加氢裂化装置南侧的 F 道路北面有九个移动办公室。在催化剂仓库北边异构化装置西部另外还有八间移动办公室

23、。其中一个移动办公室宽度是其它办公室两倍，属于公司。其它七个为存储间和木质建筑。2005年2月15日九个移动办公室建筑选址的变更管理MOC 获批执行即允许使用，对此，事故调查小组误以为是事故中所涉及的移动办公室。在进一步检查的根底上，BP 调查小组现在明白了变更管理MOC 适用于F道路北侧的九个移动办公室，而非中期报告中所述的位于异构化装置西部的移动办 公室。除了 公司的移动办公室外，位于异构化装置西部的移动办公室就其建筑选址问题并没有按照现场程序而发起变更管理MOC 。2事故背景得克萨斯城的炼油厂是 BP 公司的最大和最复杂的炼油厂，其额定能力为460000桶/每天 bpd，每天生产汽油产量

24、达 1100 万加仑。此外，它还生产喷气式发动机燃料、柴油燃料和化学原料。炼油厂 有 30 个工艺装置，占地 1200 英亩，拥有 1800 名 BP 正式员工。在 1999 年被 BP 公司和 Amoco 公司兼 并前，它由 Amoco 公司经营管理，兼并前主要使用的是 Amoco 公司的平安管理体系。事故发生时另外 有大约 800 名承包商员工在现场，正在进行大的检修工作。事故发生在异构化装置，并涉及到残液分馏塔、排污罐和排放烟囱。异构化装置把低辛烷混合原料转化成高辛烷成分以制备成无铅的普通汽油。该装置由四局部组成，Penex戊烷和己烷反响器，蒸汽回收/液体循环和残液分馏塔， 的非芳烃物料

25、，然后将其分馏成轻组分和重组分。Ultrafiner 超加氢精制脱硫器、 该分馏塔接收来自芳烃回收装置ARU事故中受伤或死亡人员大都集中在临时移动办公室中或其周围， 裂化装置装置附近的检修作业。该移动办公室的作用是支持超加氢残液分馏塔残液分馏塔分馏塔是在 1976年作为重组分超重整分馏塔 HUF 而交付使用的，作为 1 号超 重整器的一局部， 主要用于回收超重整装置所产物料中的二甲苯。 1985 年，超重整装置改为石脑油异构 化装置， 以便向政府倡导的铅淘汰方案提供所需的辛烷， 而 HUF 分馏塔那么改造为目前的用途。 1987 年， 再次对异构化装置做了改良，为提高轻重残液的别离能力，对分馏

26、塔做了微小的改造。改造后的分馏塔是一个单一的分馏塔，164英尺高、由 70个蒸馏塔盘从上往下数，每 2 英尺为一个间隔、进料缓冲罐、加热炉再沸器、翅扇式塔顶冷凝器、以及回流罐组成。其容积大约为 3700 桶， 可以加工来自 ARU 芳烃回收装置的 45000桶/ 天的残液。进入该装置的总残液的 40都在塔顶作为 C5/C 6 轻组分残液而回收，并作为异构化装置的原料。剩余的重组分残液被用作烯烃裂解的原料，用以 制备普通的无铅汽油。分馏塔可以与ISOM 异构化装置结合使用，也可在异构化装置停车时单独运行而建立存量。图2- 1:残液分馏塔排污系统排污系统的作用是接收、冷却和排放高温烃类蒸汽以及IS

27、OM装置工艺波动或停车时其减压、排气和抽空系统送来的少量剩余液体。排污系统由减压管道总管两条来自ISOM装置的其它工段，加上另外一条来自分馏塔、排污罐和烟囱F-20以及抽空泵组成。蒸汽从烟囱顶部扩散出去，液体流出排 污罐穿过管道进入炼油厂的封闭式污水系统。F-20于二十世纪五十年代投入使用，已经历了屡次改造。排污罐为立式罐，直径10英尺，带一个113英尺高的烟囱，容积大约为390bbls。图2-2:事故后的排污罐和ISOM 异构化装置临时办公室在得克萨斯城炼油厂和其它炼油厂，移动办公室主要用作临时办公室，例如供参与工程作业和检修的承包商作业人员使用。这种情况下，要求他们在ISOM 异构化装置以

28、北马路对面的超加氢裂化装置装置进行检修作业。在得克萨斯城，按照程序，要求他们建筑选址时要符合变更管理MOC控制程序。如果移动办公室位于工艺装置350英尺以内的距离，对此有一条特殊的要求，即需要建筑选址分析。最近的一个移动办公室是 J.E. Merit公司的一间双倍宽的办公室，位于F-20根底150英尺范围内，那里就是爆炸发生时死亡人数最多的地方。ISOM 异构化装置和石脑油脱硫装ISOM装置以及周围区域的总图2002年重审期间又完成一次时，关于还有几间事故相关的移动办公室位于两个运行装置之间，即 置NDU 。一个不经常使用的建筑也在该区，是用来存放催化剂的。 参见附件4。1995年7月，当炼油

29、厂完成被占用建筑物的综合研究，而且移动办公室的布置位置没人提出什么担忧。以前，移动办公室有好几次都安放在相同的区域。3.事故表达3.1造成事故发生的事件顺序2004年9月1日，公司的一间双倍宽移动办公室安扎在ISOM装置的西侧。该移动办公室布置位置的MOC获批继续进行即实施MOC程序以获得最终批准，10月6日进行了危险审查。 事故 发生前该移动办公室还未批准作业人员占用，但是从 2004年10月下旬到11月上旬就已经开始使用了。 随后，又有几间移动办公室布置在ISOM装置西侧，以供超加氢裂化装置检修使用，这些移动办公室包括Fluor公司、Con tec 2005年1月10日公司、Timec公司

30、2月4日和 Hah n & Clay公司2月14 日。上述移动办公室都没有启动MOC 变更管理。2005年2月21日，由于方案性临时停车ISOM装置的另一局部和芳烃回收装置检修，分馏塔停止运转。从2月26日到28日，分馏塔进行了蒸汽吹扫以去除烃类。停车期间进行了少量维修作业，除 了 F-20去污水系统的管线因腐蚀未作修理外，所有方案工作都于开车前完成。3月14日进行冷凝液低点放净，做好重新开车的准备工作。用22.5psig的氮气加压进行气密性试验后，分馏塔于3月21号被降压。在2005年2月21至2005年3月23日临时停车期间，ISOM、NDU以及AU2装置的值班人力平时 的双倍。3

31、月22/23日的人员组成如下：表3 1:AU2/ISOM/NDU装置全体操作人员班次岗位职责资质本报告中称作夜班值班班长值班班长夜班值班班长夜班内操 -AU2/ISOM/NDU 装置内操夜班内操夜班由于停车值班而享受涨薪水的操作工内操操作工A夜班2外操工艺技术员无夜班4外操外操无白班值班班长值班班长白班值班班长白班内操-AU2/ISOM/NDU 装置内操白班内操白班由于停车值班而享受加薪的操作工内操操作工B白班夕卜操-ISOM外操操作工C白班夕卜操-ISOM氢气装置的外操操作工D白班实习生外操 -ISOM无操作工E白班实习生外操- ISOM无操作工F白班3名外操-AU2/NDU外操不适用说明：

32、操作工资质在第节中有详细讨论。操作工 A 和 B 当时正享受加薪，但是不清楚临时停车期间分配他们承当此项临时任务的原因以及 他们确实切职责。3月 22日，得克萨斯城炼油厂生产方案部要求值班班长启动残液分馏塔。当通知仪表和电气技术员装置马上开车时， 他们正在检查分馏塔上的仪表。 从面谈中看出好似他们开车前还没完成所有检查工作。 3月22日，3 psig 磅平方英寸排气系统的调节阀H-5002动了一下，虽然从目击证人的陈述中还不清楚该阀是否能正常工作。日志中没有任何需要修理的记录或派工单。3 月 22/23 日夜班，夜班值班班长告诉操作工 A 开始启动分馏塔。操作工 A 从交班的内操手中接管 加料

33、控制建立液位 并选择从卫星控制室给塔加料。 他把冷的进料送入分馏塔， 以建立进料罐 F-1101 和塔E-1101的液位、并给再沸器B-1101的循环回路进料。 开车前，未按照程序检查塔的仪表。02:13分时，他开始以15000桶每天的速度向塔中参加原料。到02:38分分馏塔底部液位传感器LT-5100 开始显示逐渐上升的液位。02:44分，他翻开了再沸器流量调节阀FCV-5005，以此建立再沸器循环并向再沸器回路参加液体， 结果到 02:55分所示液位掉回到 3 3相当于切线上大约 2.9英尺高度的液位 。 从那以后，分馏塔底部液位又逐渐开始上升，直到 03:05 分液位到达 72时相当于切

34、线以上大约5.5英尺高度，液位指示器的高液位报警LT-5100启动，因为塔被注满了。操作工 A成认听到了报警， 并在 03:08分， 让 ARU 班长减少进料后，他开始将分馏塔进料速度降到大约 10000 桶/小时。报警 一直持续到事故发生后才得到确认，那已经是 11 小时后了。分馏塔装料期间，设定值为78的冗余硬连线高液位报警 LAH 5102未运行。所示分馏塔塔底液位继续上升，03:16 分到达了 100， 03:20分 ARU 进料改为去储罐。操作工 A 关闭了分馏塔和再沸器循环的进料，把开车的其余工作留给白班去 做。与 NDU/AU2 班长交接班后非白班值班班长 ，操作工 A 在 04

35、:59 别离开了现场。虽然操作工 A 从卫星控制室给分馏塔已经装料，但是他在白班内操到来之前就离开了。夜班内操与白班内操确实做了 交接班，但是开车程序却还在卫星控制室。交接班时，塔的压力为4psig,塔底液位显示为100%相当于 164英尺高的塔切线以上 10.3英尺的高度 。关于有故障的硬连线高液位报警LAH 5102，夜班既没有口头向前来接班的白班人员报告，也没有记录在值班日志上。所以没有发出修理该报警的派工单。3 月 23日 06:00左右，白班操作工到达后，开始正常的例行工作并检查了装置连接情况。07:13分白班值班班长进入现场。既未进行作业前的平安审查，也未详细按照操作手册进行程序预

36、演。09:21 分外操简单地翻开了塔顶减压阀附近的 8 英寸链式排气阀，该阀将分馏塔塔中残留氮气排出去并把压力从 4psig 降到标称大气压。到 10:08分，上述压力又逐渐返回至 0.5 psig ，这可能是由于别离器塔底低温烃 类的蒸汽压力造成的。回流罐F-1102上的天然气接口压力设定为标称 5 psig，但是没有用管道连接，所以不可能是压力源。09:41分白班内操开始了再沸器循环，09:52分以20000 bpd 桶/天的流速恢复了分馏塔进料。在翻开重残液外流调节阀LCV 5100以确认是否已经与储罐相连后，白班内操手动关闭了该调节阀。 开车程序要求 50%设定值、自动模式，参见5.1

37、0节 。流量计显示重残液流量为3000到 4700桶/天。这被认为是流量计的零误差，因为调节阀已经关闭，而且重残液和进料之间没有热交换。在开车开始阶 段，重残液外流是唯一一条维持 /控制分馏塔液位的途径，因为要把液体加热到足够高的温度使其开始 产生塔顶产品需要花费时间一般大约需要三到四小时 。大约10:00点，建立重残液外流前，点燃了再沸器火焰加热器B-1101中的两个主燃烧器，而该顺序与开车程序相反。之后不久， ISOM 装置的白班值班班长因个人家务事离开了现场，离开之前并未 确保各个步骤都符合开车程序要求。 后来他陈述他已经将指挥权交给 NDU/AU2 的值班班长， 但是无法 确认该说法。

38、11:17分点燃了加热器中另外两个主燃烧器，分馏塔塔釜液温度继续以大约每小时75?F的速度上升，而开车程序规定的是每小时50?F。最终点燃的主燃烧器数量不得而知，因为控制系统中没有记录，而且接受面谈的各个操作工众口不一，各自描述的是四、五或六个。这期间自始至终，分馏塔继 续以大约 20000 桶/ 每天的速度进料，而重残液外流仍未翻开。虽然分馏塔有持续进料输入，但是却没 有液体输出。在主控室，还发生过一件有可能造成分心的事件，当时有人在 11:00到11:13分以及 11:15到 11:50 分从控制盘分机上给 Galveston 打了几次外线 。早晨晚些时候，由于担忧回流罐F-1102持续没

39、有液位显示，所以外操检查了一下回流罐液位计底部的小孔，结果发现只有蒸汽冒出。 直到13:20分前，回流罐液位变送器LT-5006都一直显示为0%。 由于没有重残液外流并且它本应提供给进料的合成热量也增加了，加之低温液体持续进入分馏塔，所以生产塔顶轻残液的时间要比正常开车长许多。代主管和 NDU/AU2 装置的值班班长离开现场去打饭并于12:03分返回。 代主管陈述 3月 23日他把75%的工作时间都花在了协助 ARU检修上。11:47分操作工B和实习生操作工 E离开现场去给现场同事 打饭，于 12:05分返回。到12:20分，分馏塔塔底已经到达了开车程序所规定的目标温度275?F，而分馏塔进料

40、温度仍然只有120?F。正常的进料温度是 205?F 。此时进料/塔釜液换热器C-1104A/B 中的重残液外流和进料之间 还未出现换热，由此可以确认缺乏去储罐的重残液外流。11:00前进料温度从不到 100?F即在量程以下缓慢上升到120?F，这是由于再沸器火焰加热器B - 1101的对流局部在加热而且进料 /塔釜液交换器 没有热量造成的。缺乏进料预热也延迟了分馏塔生产出轻残液塔顶产品。进料速度仍然保持20， 000 桶/ 每天。到12:40分，分馏塔压力在塔顶冷凝器入口已经稳定上升到33 psig 正常操作压力大约是 20psig,约在塔顶以下150英尺处。实习生操作工E在卫星大楼控制盘屏

41、幕显示器上注意到了高压，并提请其它操作工注意。此时，为降低已经上升的压力，操作工C和E第二次翻开了 8英寸链式排气阀。操作工 E报告说看到了“像是蒸汽一样的蒸发气体从烟囱顶部冒了出来，但是操作工C告诉他不用担忧，那没什么不寻常的。大约 10到 15分钟后，链式阀关闭，到12:55分压力降到 22.6psig。到此时12:40分，分馏塔塔底温度已经到达了302?F 正常操作温度大约是 275?F。该温度下，虽然上面有低温液柱压力，但是模拟还是预测到了分馏塔塔底有蒸发现象。在没有外流的情况下，分馏 塔的进料继续以 20000 bpd 桶/每天的速度进行，塔中计算液位超过了 130英尺。从大约 12

42、:45到 13:00，在 ISOM/NDU/AU2 装置的控制室围着 ISOM 装置的控制盘召开了一次平安 会议，参加人员有现场主管、各值班班长和其它 20 名操作和维修人员。与会人员没有一个警觉到或意 识到分馏塔开车控制会有什么困难。在卫星控制盘上审查完装置状况后， 操作工 B 打 给白班内操， 告诉他塔中需放出重残液。 12:41 分，白班内操翻开了重残液外流调节阀LCV 5100。但是一直到大约 13:00,重残液流量才显示出流量，这点又通过高温的塔釜液和相对冷的塔进料之间所发生的热交换延迟得到进一步确认。现在不清楚为何当时该流量延迟了, 但是有可能是因为重残液外流管线上的一条断流阀当时

43、是关闭的。到 13:03分,重残液流量首次与 20000桶/每天的进料速度相匹配,到13:09分,稳定在 31000桶/每天该流量时,任何零误差都可以忽略,参见附件5。分馏塔进料继续以 20000桶/每天的流量进行,塔的计算液位最高到达了 137英尺采用简化计算, 忽略了塔底液体蒸发的影响, 所以分馏塔的实际液位要比该液位高 。如前解释,重残液外流物料与进入塔内的进料在进料/ 塔釜液换热器 C-1104A/B 中换热。 13:01分，进料预热温度为126?F，到13:10分升到260?F。这一温度异常迅速上升导致进料在塔的入口迅速开始蒸发，造成了分馏塔中的成分迅速上升到进料塔盘以上。 13:0

44、0点，塔中 33塔盘处的温度在进料 31塔盘几英尺下方开始迅速上升，说明热的进料正开始影响分馏塔的状况。13:02分，厂外白班值班班长从炼油厂外打 给 ISOM 卫星控制室，与操作工 B 通话，操作工 B 说当时正忙，一会给他打回去。 13:09分，操作工 B 打 给在家中的白班值班班长，班长一听说压力 趋势， 立即建议翻开回流罐减压阀附近的 1 .5英寸排气阀放出氮气。 于是该排气阀被翻开， 到 13:13分塔 顶冷凝器入口压力已经从 22.6 psig 降到 20.5 psig。这段时期，塔入口进料速度一直保持在20000桶/ 每小时。还有一件有可能造成分心的事件发生了， 从 12:52到

45、 12:53分， 从控制盘分机打出了一个 ， 是打 到印第安纳州的 Evan sville，从13:10分到13:12分，从相同的号码又收到一个 。残液分馏塔液位如前所 述， 22 23 号的夜班 已经在分馏塔中参加了进料，并把塔的塔底液位设置在液位变送器量程内的100%, DCS设定为高液位报警模式。而白班的内操在9:52建议将进料设定为 20000bpd 桶/天。直到12:41才翻开重组分残液外流调节阀LCV 5100,在大约13:00时才有重残液外流的记录。上述操作期间，在液体离开分馏塔前，液位变送器设计是按照液气界面操作的已经完全浸入水中， 并且在DCS屏幕上有信号显示出缓慢下行至80

46、%。自始至终DCS的高液位报警一直保持在报警模式，而开车程序规定塔液位控制应当设定在 50%为自动模式 ，但是当时却是手动模式。从 9:52 开始，到 13:00时，大约有2500桶的液体已被参加到塔中。到13:09残液外流流量为 31000bpd，超过了进料速度，但是在这么短的时间内这个流量大概只会把塔中容量降低很小一局部。13:09 以前，经过简单计算说明外流量和进料量之间的差本应该可以把塔中液位每分钟减少大约4英寸,但是由于进料和塔底液体汽化不断增加的影响,所以塔中液位可能未降下去。由于在分馏塔塔液位较高 100%情况下开车高于程序中规定的液位 ,并且在控制范围以外操 作,因此造成了另外

47、以 20000bpd 即 2500 桶的流量增加了三小时的进料量,但却没有任何外流。大 约12:45 时塔内液位到达了第 13个塔盘的位置有 137英尺高,而正常操作液位范围为67英尺。在上述液位下,塔内 70 个塔盘有 57 个都淹没在液体中,在第 31 塔盘处的进料入口已经浸入残液中。 在上述情况下,分馏塔就不能作为常规的蒸馏塔来正常运行。另外,分馏塔塔釜液的高温又造成塔底烃 类蒸发,从而把分馏塔液位抬高到了第 13 塔盘以上,但是低于塔顶管线。塔上部温度低的冷液体又把 这些烃类蒸汽急冷,从而阻止了其在塔顶的蒸馏。塔内几个塔盘的温度显示确认了高温情况。 11:30 分时分馏塔进料和塔盘 3

48、3的温度分布一致, 这说 明液位已经到达了第 33塔盘。在 12:00 点,温度分布说明液位已经到达第 27塔盘。到13:10分，进料预加热很快上升到260?F,造成已到达进料塔盘 31处的进料开始蒸发。这种情况可能已经将液位抬高到甚至高于进料塔盘以上,以至于液位很快到达了分馏塔顶部,并流入24 英寸的塔顶管线。事故的详细时间线参见附件6,而描写关键工艺参数的曲线图那么请参见附件7和 8。3.2 事故在 J.E. Merit 的临时移动办公室召集了一次超加氢裂化装置检修会议,大约13:00点时参会人员已经陆续开始到达办公室。到 13:00点，重残液开始从分馏塔中外流。13:13分，去塔顶冷凝器

49、的入口压力为20.5psig 磅/ 平方英寸，但是开始迅速上升。该压力迅速上升可能是由于进料的预热温度上升而造成的，而预热温度那么 是由于与重残液外流液进行热交换而产生的， 该温度将塔入口处的进料蒸发，并与塔底蒸发一起将已经 过高的液位抬高至塔顶并进入塔顶管线。 液体进入了位于塔顶以下 150 英尺处的压力变送器和减压阀上 方 24 英寸塔顶管线。随着液柱压力在塔顶管线积聚，塔顶冷凝器的显示压力开始迅速上升。此时， 操作工 B 打 给白班的内操，请他降低再沸器加热器的温度， 因为分馏塔底部温度已经达 到了 304?F的高温。13:14分内操将燃料气调节阀FCV 5008,与T5025串联从18

50、%调到了 15%，以 降低再沸器加热器出口温度。还有一件有可能造成分心的事件发生了, 13:10分到 13:16分期间, ISOM/NDU/AU2 控制室的值班 班长 分机接到了一个外线打入的 ,是一个当地的无线号码打来的。此外,在13:15分从控制盘的分机给 PXI 控制盘分机打出了一个 ,通话持续了 12秒。到13:15分，去塔顶冷凝器入口压力到达了63psig 磅/平方英寸的峰值，操作工C和E确认已经翻开塔顶的减压阀设定值为40、41和42psig并通过一个14英寸的总管直接排入排污罐和烟囱F-20。13:15分时塔盘 27和 33处位于进料塔盘 31 的两侧温度开始迅速上升。塔盘 13

51、处的温度以及塔顶温 度相当低，还不到115?F，但随着进料塔盘处的液体蒸发、高温液体流往塔顶，它们的温度开始迅速上升。此时，去加热器的燃料气燃烧已经停止，操作工C和E切断了主燃烧器，并在 13:19分在主控盘和卫星控制盘上都切断了燃料气控制阀。13:16分时回流罐的低低液位报警LALL 5010去除，第一次显示出了容器中的液位，然后外操D和F在13:17分启动了回流泵J 1102A o所显示出的流量超过了 35700bpd,超出了刻度范围。在13:19分时回流泵的低液位报警LAL 5004去除，说明容器液位已满回流罐通常在溢流状态下工作。DCS系统显示第二个回流泵J 1102也于13:19分启

52、动，虽然在事故发生后面谈过程中没有一个外操能回忆起曾经启动了该泵。大约就在此时,至少有两个目击者在对讲机中说他们看到烟囱顶部约20 英尺处有液体“象喷泉一样涌出,流到地上并在排污罐和烟囱 F 20根底附近形成了池塘。从地上的液体池塘看到有蒸汽 蒸发出来。在13:20分，F-20的高液位报警LAH 5020首次发出报警。收到对讲机信息警报并听到至少一名目击者大喊后,ISOM 异构化装置区的一些人员立即在蒸汽燃烧前撤离了附近现场。当时未听到撤离警报。 至少一名目击者看到一辆轻型载重汽车正好停在排污 罐和烟囱北面,引擎还在转着而且冒着白烟。但是现在还不知道这当时是否是着火点。虽然后来的模拟 试验显示

53、只有一次爆炸,但有几个目击者说在大约 13:20分听到了两次或两次以上的爆炸,第一次轻微 爆炸后紧接着是一声巨响,比第一次更剧烈。爆炸严重损坏了J.E. Merit 公司、 Fluor 公司和其它几家位于ISOM 异构化装置区西侧的移动办公室，导致了 15人死亡11个在J.E. Merit公司的移动办公室、 3个在 Fluor 公司的移动办公室、另外一个在附近 ,另有 170人受伤。确切受伤人数难以查明,因为有 些承包商和现场民众直接寻求医疗救治，而未参与现场急救。爆炸造成ISOM 异构化装置损坏、引发了一些二次烃类排放和火灾。附件9有损坏情况的鸟瞰图。现场应急响应组立即发出响应,展开了搜寻和

54、援救行动。到13:45分开始请求并发动互助力量和救生飞机展开救助。残液分馏塔的进料还未切断,在 14:45分电源被炸坏时停止了进料。两小时后火势得 到了控制,伤员已得到救治或送往当地医院,在 16:44分时让救护车和救生飞机离开现场。大约 23:00 时找到了埋在残骸下的最后一具尸体。4证 据应急响应后，现场事故管理组立即展开了证据收集工作。事故发生几分钟后进行了拍照取证工作，并贯穿于整个应急响应过程。应急响应后，立即把含有工 艺控制资料的硬驱动断电并于 3月24 日拿到硬驱动。 3月24日夜调查组拿到了内操的日志本和值班班长 的日志。直到 4月2日方得到 ISOM 异构化装置还在使用的开车程序