CSB经典案例分析—美国ToscoAvon炼油厂火灾事故

CSB经典案例分析—美国ToscoAvon炼油厂火灾事故

唐彬 1 天津市居安企业管理咨询有限公司

                                                                                                                      何琛2 上海于睿商务咨询有限公司

关键词:炼油厂、石脑油泄漏、火灾、美国化学品安全与危害调查委员会(CSB)

摘要

本文结合美国化学品安全与危害调查委员会（CSB）对美国Tosco Avon炼油厂石脑油管线泄漏并导致火灾事故的调查，从技术和管理角度深刻分析总结火灾事故发生的经过和原因，以及CSB调查组提出的建议。

1.   事故简介

1999年2月10日，美国加利福尼亚州Tosco Avon炼油厂原油处理装置蒸馏塔上部的石脑油管线弯管处出现一个针孔泄漏点，Tosco人员立即关闭4个阀门试图隔离管线，装置保持运行。根据后续检测发现，石脑油管线出现大面积腐蚀减薄现象，决定更换大部分石脑油管线。但是经过多次尝试，工作人员均未成功隔离并排空石脑油管线。

2月23日，Tosco维修主管指挥工作人员采用气锯切割石脑油管线。第二次切割时，石脑油开始泄漏，维修主管指挥人员打开法兰排空管线，排空过程中石脑油突然从第一次切割位置的管线开口端泄漏出来，石脑油接触到蒸馏塔高温表面后被点燃，火焰迅速吞噬了蒸馏塔结构和附近工作人员，造成4人死亡，1人严重受伤。

2. ToscoAvon炼油厂 2.1公司简介

Avon炼油厂位于美国加利福尼亚州康特拉科斯塔县马丁内斯附近，占地约9.3km2，该炼油厂已运行80多年。Avon炼油厂主要产品是发动机燃料，例如汽油和柴油。Tosco公司从1976年开始负责管理Avon炼油厂，直到2000年被Ultramar DiamondShamrock收购，并改名为Golden Eagle炼油厂。Tosco公司是当时美国国内最大的石油产品精炼厂，共管理着国内7个炼油厂。

2.2 原油蒸馏塔和石脑油系统

Avon炼油厂工艺把原油精炼为发动机燃料，其他产品还包括丙烷、丁烷和燃料油。原油处理装置最初于1946年设计和建造，经过几次重大设备改建。

原油蒸馏是炼油工艺的第一步，把原油分离成一系列具有相似沸点的组分物流，包括石脑油、煤油、柴油和重油，重油组分输送至裂化单元进行处理。蒸馏塔内部的一系列塔盘作用是促进碳氢化合物凝结，有些塔盘用于从塔中抽出液态产品。炼油工艺是连续的，原油以稳定流速进入装置，同时产品和原料连续不断地泵入储罐或炼油厂其他装置进行进一步处理。

Avon炼油厂工艺流程中，石脑油从蒸馏塔顶部附近（高度约34m）塔盘出来进入直径约152mm的钢制管线。石脑油流经管线和一个液位控制阀，然后进入石脑油汽提塔，如图1所示。前些年，该汽提塔被用于从石脑油中除去较轻的碳氢化合物组分，事故发生时（2月23日）这种做法已停止使用。

                               
登录/注册后可看大图

图1：汽提塔液位控制阀

3.ToscoAvon炼油厂火灾事故发展过程 3.1 事故发生前

（1）石脑油管线泄漏

2月10日，原油处理装置正常运行过程中，发现上部分的石脑油管线出现一个针孔泄漏点。从地面上观察，泄漏孔很小，石脑油穿过保温层从管线中泄漏到蒸馏塔上的平台上。

（2）应急响应和检测

应急工作人员决定通过隔离管线以减缓或控制针孔泄漏，但没有关停工艺装置。操作人员降低了蒸馏塔内部压力，并把液体从石脑油塔盘转移出来。然后操作人员穿上防火服和自给式呼吸器，关闭切断阀A、切断阀C、切断阀E和石脑油汽提塔液位控制旁通阀B，如图2中所示。

                               
登录/注册后可看大图

图2：蒸馏塔和石脑油系统简化流程图

石脑油管线保温层拆除后，发现泄漏点是蒸馏塔切断阀A下游的弯管内径贯穿形成的4mm长的针孔，垂直高度约34m。通过超声波和X射线技术的详细检测发现，大部分石脑油管线已经被严重腐蚀和减薄。技术人员建议更换切断阀A至石脑油汽提塔之间的全部管线。

（3）反复泄漏

2月13日至17日，操作人员观察到同一位置又出现了泄漏，并且石脑油管线摸起来发烫。Tosco人员再次关紧隔离阀（A和B），泄漏表面看起来得到了控制。

2月10日至14日期间，石脑油汽提塔液位反复（7次）出现升高，每一次操作人员均是通过打开石脑油至储罐的流量控制阀J降低液位。最后一次，操作人员直接把流量控制阀J设置为打开状态，防止汽提塔液位升高。

2月22日，蒸馏塔区域正在进行动火作业的准备工作，计划切割一块金属甲板，便于管线拆除，操作人员发现石脑油管线原始泄漏点再次发生液体滴落，管线发烫。倒班主管发现泄漏后用一个小塞子堵住了泄漏孔。动火作业完成后，维修主管安排人员拔掉了塞子。

（4）试图排空和更换管线

2月16日和17日，操作人员尝试通过位于石脑油汽提塔液位控制阀D两侧的排凝管线（阀F和阀G）排空石脑油管线，由于排凝管线可能被堵塞，排空作业失败。

2月17日，操作人员向生产主管建议，在装置保持运行的情况下更换蒸馏塔至汽提塔之间的全部管线是不可行的，因为石脑油蒸汽返回线上没有切断阀，切断阀E下游至汽提塔之间的管线不能被有效隔离。

生产主管决定下游管线不需要马上更换，考虑到目前可用的隔离阀和排凝管线，他认为拆除蒸馏塔至控制阀D之间的管线是一个安全的方案。

2月18日，管道工再次尝试使用铰孔设备清理石脑油汽提塔液位控制阀处的排凝管线（阀F和阀G），由于管线内堵塞的坚硬物料导致铰孔设备断裂。

2月19日，维修主管安排操作人员申请拆除石脑油汽提塔液位控制阀下游的连接短管（阀D至阀E）的作业许可，这段管线内被黑色焦油状的物质塞满，还含有大块的坚硬物料。连接短管拆除后，控制阀D下游侧安装了一个带排凝阀（阀I）的盲板，切断阀E上游侧安装了一个实心盲板，如图3中所示。

                               
登录/注册后可看大图

图3: 拆除连接短管后

维修主管和作业人员决定不拆除控制阀D上游的连接短管（阀C至阀D），维修主管认为阀C被堵塞处于部分打开状态，不确定能否实现可靠隔离。根据操作人员工作日志记录，本应在2月22日进行排凝作业，但是工作人员并没有尝试排空石脑油管线。由倒班主管、操作人员和维修人员签发的切割甲板的动火作业许可显示，管线没有排空、没有锁定、没有标记。

2月23日，维修主管在作业现场安排了一辆真空槽车回收石脑油。

3.2 事故发生

（1）作业准备

2月23日，主管、操作人员和维修人员意识到管线内存在液态石脑油，作业许可已识别出需要进行排空作业。操作人员和维修人员检查了作业场地和设备条件后，签发了作业许可。

准备排空管线时，真空槽车位于距离蒸馏塔塔基约6m的位置，同时在石脑油汽提塔液位控制阀D下游排凝阀I下面放置一个金属桶，软管放在桶内并延伸至真空槽车。操作人员从控制室内缓慢打开阀D，配合通过阀I排空管线。在主管指挥下，维修人员又尝试打开控制阀上游的法兰，两次排空管线的尝试均没有成功。

维修主管告诉现场的作业人员，应该切断一段管线，然后用吊车运走。他在管线上轻敲，根据每次敲击声音的不同判断液位，并认为石脑油液位低于建议的切割位置。操作人员不同意，认为在切割管线之前应先移除石脑油。

（2）管线切割

维修主管指挥工作人员从切断阀A下游的法兰1处拆开管线，并使用气锯切割下来一小段管线，切割位置位于切断阀A下方约2.3m。切断阀A上安装一个盲板，剩余管线的切割位置处于敞开状态，并正对蒸馏塔，如图4所示。

第二次切割时，维修主管指挥工作人员从第一次切割位置下方约8m处开始，当气锯割穿管壁内径时，少量液态石脑油开始从管线中泄漏出来。操作气锯的工作人员停止切割，并被派去取管钳，试图封住泄漏点。

                               
登录/注册后可看大图

图4: 管线切割示意图

（3）石脑油泄漏

维修主管决定打开位于石脑油汽提塔液位控制阀D上游的法兰2（距离蒸馏塔不到1m），再次试图排空管线。工作人员拧松法兰2上的螺栓，使液体流出，并在下方悬挂一个塑料毯使排出的液体远离高温蒸馏塔，进入一个敞口塑料盘中，然后吸入真空槽车。

负责作业的人员没有考虑到，由于旁通阀B被严重腐蚀发生大量泄漏，导致石脑油管线被运行中的工艺装置加压。如图3所示的U型石脑油管线结构，垂直的液体体积形成的压头起到了密封作用，阻止工艺压力从切割管线开口端泄放到大气中。

当工作人员从垂直走向管线上的法兰2处排出足够量的石脑油时，运行中的工艺装置通过被腐蚀旁通阀B泄漏形成的压力超过了管线中的压降，导致液态石脑油从管线开口端突然泄漏，泄漏的石脑油接触到蒸馏塔高温表面并被点燃，发生火灾。

（4）应急响应

操作人员发现石脑油着火后，立即通过火灾监控器启动消防水系统灭火，并开始执行装置的紧急关断。几分钟内，Tosco应急响应组到达现场开始灭火，火灾持续了约20分钟。

考虑到火灾规模、再燃风险和塔上人员位置等因素，营救行动被耽误。1人当场死亡，3人在医院抢救无效死亡，还有1人从高处跳下，严重受伤。

4. ToscoAvon炼油厂火灾事故分析 4.1 非常规维护作业危险性

对于过程工业装置，危险性较高的非常规维护活动包括动火作业、带压开孔作业、燃烧着的火炬总管作业和管线切割（不能保证隔离和排空的情况下）。美国职业安全健康管理局OSHA的过程安全管理标准（29 CFR 1910.119Process Safety Management of Highly HazardousChemicals）附录C强调了负责识别工艺区域非常规维护作业危险源的人员的重要性，以及应把识别出的危险因素与负责执行相关作业的人员进行有效沟通。

1989年飞利浦休斯顿化工厂火灾和爆炸事故造成23人死亡，加快了PSM标准的发布。与1999年Tosco事故相似，两起事故都涉及到在对运行中的过程装置进行危险性较高的非常规维护作业时没有正确隔离管线以及阀门失效。

4.2工作计划

Avon炼油厂火灾事故中，泄漏事件表面上得到控制之后马上进行了准备性的维护活动，例如拆除保温层和管线检测。炼油厂的工作计划通常涉及到现场检查以及维修主管、操作主管通过讨论提前进行潜在问题的识别。然而，石脑油管线修复作业并没有开展作业计划活动。

发现泄漏事件仅仅1小时后，便签发了拆除石脑油管线保温层的作业许可，作业时没有按照Tosco公司程序规定进行管线的锁定、标记、泄压和隔离。尽管检查人员、维修人员和两名操作监督均在场，没有开会讨论潜在危险的控制问题。没有执行保温层拆除程序不是导致火灾的直接原因，但是表明了Tosco公司存在不遵守已建立的维护程序的现象。

事故发生前的13天内，大部分的准备性维护工作都没有在作业计划文件中列明，包括三次试图排空管线的作业许可，也没有提到石脑油存在严重的健康危害，需要特殊的预防措施，也没有提到管线拆除作业中使用到的吊车、真空槽车和气锯。

在工作计划过程中，Tosco管理层没有有效识别在过程装置运行时进行管线维修作业可能出现的严重危险源。虽然在火灾事故发生前的一个星期内，多次尝试排空和隔离管线的作业都没有成功，Avon炼油厂仍然计划在2月23日装置运行过程中进行管线拆除作业，而且没有控制危险源的相关计划。

4.3危险识别与评估

（1）特定作业危险分析

在历时13天的石脑油管线修复过程中，存在以下重大危险源：

l  长度约30米、直径约150mm的管线拆除，内含高度易燃的液态石脑油；

l  长度约24m的管线垂直分布在蒸馏塔旁，塔下部表面温度高于石脑油的自燃温度；

l  石脑油汽提塔液位控制阀D上游的切断阀C处于部分打开状态，可能被堵塞；

l  切断阀A下游缺少高点排放，很难吹扫石脑油管线。

Tosco将石脑油管线修复作业定为低风险的常规维护活动，管理层没有有效识别和评估管线隔离、排空过程中潜在的危险问题。

在设备维护作业开始前，排空设备除去危险物料并验证管线隔离的有效性是非常必要的安全要求。火灾事故发生前，石脑油管线在同一位置反复发生3次泄漏，而且管线表面温度较高，表明一个或者多个隔离切断阀可能发生了内漏，无法实现有效隔离，这也是石脑油汽提塔反复出现高液位的最合理解释。

另外，还有一个未被识别出来的危险源：石脑油中含有苯。由于苯属于致癌物质，Tosco程序要求设备内物料应倒至闭排系统，远离工作人员。涉及到苯的维护作业要求使用特殊危险作业许可，需要操作主管的授权。然而，Tosco管理层没有认识到石脑油管线修复作业存在苯危害，也没有执行相应的控制措施。

（2）英国石油公司Grangemouth事故

1987年，位于苏格兰的英国石油公司Grangemouth炼油厂发生一起类似事故，导致事故的背景是为了拆除一个故障阀门，试图隔离一段处于运行中的火炬管线，工作人员错误地认为管线已被有效隔离并泄压，管线打开时造成4人死亡。尽管隔离阀处于关闭位置，堵塞和阀门内漏导致管线没有被完全隔离。英国健康和安全委员会调查报告针对炼油厂安全管理提出如下建议：

l  在作业计划过程中进行详细地危险分析；

l  在批准作业许可之前，针对特定位置的隔离操作制定详细的作业指导程序，确保可燃液体被有效排空；

l  针对维护作业附近区域的潜在点火源进行严格控制。

4.4 装置关断决策

由于没有进行充分的作业计划和危险评估，Tosco Avon炼油厂管理层没有认识到石脑油管线修复作业的安全执行需要关停工艺装置。当主管们和工作人员知道管线不能被有效排空和隔离时，生产装置需要被关停，才能安全地进行修复作业。CSB调查组了解炼油厂生产装置的关停和开车也会带来一定的风险，但是当重大危险源无法控制或者作业不能推迟时，维修作业的安全执行需要生产装置关停。

尽管已有证据表明管线内含有石脑油，而且管线已被严重堵塞，操作主管仍然制定了管线拆除作业计划。多个潜在点火源距离维修作业地点最近仅0.9m。在Tosco事故中，蒸馏塔高温表面是最可能的点火源，如果提前关停生产装置，设备得到冷却，这一点火源就可以被消除。由于管线需要立即更换，因此管线修复作业不能推迟。在一个有效的维护作业评估流程中，CCPS建议管理层应仔细地考虑是否有必要彻底关停生产装置，以便安全的修复某处设备或管线。

4.5 腐蚀控制和机械完整性

（1）脱盐器效果

脱盐器在原油处理工艺中通过除去无机盐、水和悬浮颗粒等减少管线和设备的腐蚀、堵塞和污染现象。石脑油管线腐蚀速率的增加主要是因为脱盐器性能降低和过量水、腐蚀物进入蒸馏塔造成的。

事故发生前的一年内，脱盐器使用重质原油以超过设计能力40%的负荷下运转。进入装置的原油的API比重指数从1997年的平均值27.2℃下降到1998年平均值23.7℃。具有较低API比重指数的重质原油更难分离出水，严重影响了脱盐过程和脱盐效果。

尽管Tosco管理层认识到脱盐器存在严重的操作性问题，他们既没有调整相应的设备检测检验计划，也没有及时采取正确的措施阻止物料堵塞管线和抑制装置存在的腐蚀问题。

（2）腐蚀

根据操作人员工作日志中的维护记录和备注，1998年5月，石脑油汽提塔液位控制阀D不能通过足够的流量，使石脑油汽提塔维持稳定的液位。在事故发生前，旁通阀B以部分打开状态至少运行了10个月，造成旁通阀B被固体腐蚀沉淀堵塞。石脑油汽提塔液位控制阀D附近的管线和相关的排凝阀最终被彻底堵塞，旁通阀B长时间以部分打开状态使用也使得阀门易受腐蚀/侵蚀的影响。

事故调查过程中，Cal/OSHA对失效管线和部件进行了冶金学分析，发现旁通阀B腐蚀情况非常严重，处于关闭状态时泄漏速率相当于直径约38mm孔径的泄漏，如图5所示。图5左上角的放大图显示了旁通阀B处于关闭状态时阀座和阀盘之间的空隙，相当于直径约38mm的泄漏孔。

                               
登录/注册后可看大图

图5: 石脑油汽提塔液位控制旁通阀B（关闭状态）泄漏测试

分析数据显示石脑油中含有过量的氯化铵，加剧了腐蚀活动。而且通过管线残余样品的分析发现含有非常高的氯化物成分，由于进入装置的原油中含有大量水，当塔顶回流中出现过量水时，这种腐蚀性盐随之进入蒸馏塔和石脑油管线。腐蚀性盐和水在石脑油管线中结合，加速氧化过程，最终导致最初泄漏点的形成、管线堵塞以及旁通阀的腐蚀。CSB调查组确定，造成石脑油管线堵塞的物质包括氧化铁、氯化铵和硫化物等腐蚀介质或腐蚀产物。

5. Tosco Avon炼油厂火灾事故原因总结 5.1 根本原因

（1）Tosco Avon炼油厂的维护作业管理系统没有认识和控制原油处理装置保持运行情况下进行非常规修复作业带来的严重危险。

l  Tosco Avon管理没有认识到点火源、阀门泄漏、管线堵塞和无法排空石脑油管线可能带来的危险。管理层没有在作业计划阶段对管线修复作业进行危险评估，在不具备适当控制措施的情况下进行作业。

l  管理方面不具备计划和授权程序，确保作业得到正确的管理和安全人员审查、批准。

l  Tosco没能确保在作业执行过程中监督和安全人员进行足够长时间的监管。对于危险作业活动的管理监督，Tosco依赖工作人员个人来发现并停止不安全作业是不正确的。

l  Tosco作业许可程序既没有要求在打开可能含有可燃物料的设备之前应控制潜在点火源，也没有明确当安全要求（例如排空）不满足情况下应采取什么措施。

（2）Tosco安全管理监督系统没有发现并纠正维护作业进行过程中及工艺变更审查过程中存在的严重漏洞。

在火灾事故发生前3年内，Tosco公司及其旗下Avon设施管理层都没有对炼油厂的管线切割、锁定/标记和盲板程序等进行审查。定期审查很可能能够发现并纠正与安全作业实践不符合的严重偏离问题和工艺装置中的操作变更，例如：

l  含有可燃液体的管线排空前进行管线开孔作业；

l  可燃液体向敞口容器的转移；

l  危险作业活动缺少监督监管；

l  工艺变更的变更管理审查。

5.2 间接原因

（1）Tosco Avon炼油厂管理层没有针对造成石脑油管线加速腐蚀的操作性变化进行变更管理审查。

管理层没有考虑到工艺变化带来的安全问题，这些变化最终导致石脑油管线和旁通阀的加速腐蚀，影响了石脑油管线的隔离和排空。例如：

l  原油脱盐器超设计参数运行；

l  原油进料中含水量过大；

l  石脑油汽提塔液位控制旁通阀以部分打开状态长期运行。

（2）原油装置腐蚀控制程序不正确。

尽管Avon炼油厂管理层意识到了存在的操作性问题会加速石脑油管线的腐蚀，但是他们没有及时采取正确的措施防止管线堵塞和过度腐蚀。

6. CSB调查组建议

（1）根据调查报告结论对炼油厂设施进行定期安全审查，审查内容应包括非常规维护作业的安全执行、安全管理监管、变更管理程序和腐蚀控制程序，审查结果应形成书面报告，审查建议应得到有效执行和追踪。

（2）炼油厂应建立相应控制程序，确保危险性较高的非常规维护活动得到安全执行，由跨专业小组在作业计划过程中进行书面的危险源评估，并制定书面决策协议用于决定是否有必要关停生产装置以保证安全地进行维修作业。

（3）炼油厂应确保操作条件发生变化时进行变更管理审查，例如原料组分变化、装置生产量增加或者工艺物料长期通过手动旁通阀转移。

（4）炼油厂应确保腐蚀管理程序能够有效控制腐蚀速率，防止物料泄漏或工艺设备堵塞。

7. 参考文献

[1]     CSB INVESTIGATION REPORT，TOSCO AVONREFINERY FIRE INCIDENT.REPORT NO. 99-014-I-CA;

[2]     29 CFR 1910.119, Process Safety Management of Highly HazardousChemicals;

[3]     Center for Chemical Process Safety (CCPS), 2000. “Lessons LearnedFrom an On-Plot Refinery Tank Explosion,” by K. Ann Paine,Process Industry Incidents, American Institute of ChemicalEngineers (AIChE).；

[4]     Health and Safety Executive (HSE), 1989. The Fires and Explosion atBP Oil (Grangemouth) Refinery Ltd., Norwich, U.K.: HSEBooks.；

[5]     于菲菲,王廷春,高雪琦,张晓华. 炼化企业变更管理研究[J]. 安全、健康和环境,2011,(12):11-13+16.

管道腐蚀、阀门失效、管路堵塞、设施泄漏、带病运行、变更随意、冒险作业，许多教训值得借鉴

非常好的案例分享，如果能有最近几年的案例分享就更好了，谢谢作者。