1、BP公司“3.23”爆炸事故调查,前言,2005年3月23日下午1时20分，BP公司的德克萨斯炼油厂异构化装置的抽余液分馏塔开车过程中，分馏塔进料过多，安全阀打开，可燃液体进入放空罐，并从放空烟囱涌出后被引爆，事故造成15人死亡，180人受伤，距离德克萨斯炼油厂0.75英里外的房屋被破坏，经济损失超过15亿美元。这是美国近二十多年最严重的事故，OSHA以BP公司故意违反301条规定罚款2130万美元。,事故调查经过,2005年3月23日,事故发生炼油厂经理致员工的信,CSB成立事故调查组BP总裁见新闻媒体,BP成立事故 调查组,CSB发布事故调查报告,BP发布最终调查报告BP北美公司公布整改措
2、施,1,3月24日,2,3月26日,3,5月12日,4,12月9日,6,2007年1月16日,7,独立安全评估小组发布报告,成立独立安全评估小组,10月24日,5,BP发布初步调查报告,3月23日,8,CSB发布事故分析片,2008年3月21日,9,主要内容,一、事故经过（一）基本情况（二）发生过程二、事故分析（一）证据收集（二）证据分析（三）原因确定三、改进措施,异构化装置及周边装置平面布置图,异构化装置平面布置图,异构化装置分馏系统流程图,分馏塔放空系统流程图,分馏塔,放空系统,（二）发生过程,（二）发生过程,（二）发生过程,（二）发生过程,事故前俯视照片,事故后俯视照片,应急反应组迅速做
3、出反应，展开了搜索和营救工作。13：45，请求和动员了地方应急和救援小组。 14：45，抽余液分馏塔进料因为电源中断而停止。火势在两小时后得到控制，受伤人员得到妥善的安排或送到了当地的医院。16：44，地方救援小组离开。23：00，找到最后一具尸体。 事故共造成15人死亡（J. E. Merit移动板房12人，QA/QC移动板房3人），66人受伤比较重（其中14人属于BP公司，其他52人来自13个公司），114人受伤比较轻（其中35人属于BP公司，其他79人来自14个公司），没有一个承包商人员是异构化装置开车必须要到场的，异构化装置破坏严重，异构化装置附近的约70辆汽车损坏，超过40辆移动板房
4、损坏，其中13辆完全破坏，50个储罐遭到不同程度的破坏，附近建筑物的门窗墙也有一定程度的损坏，经济损失超过15亿美元。,（二）发生过程,（一）证据收集,现场查看目击者访谈取样分析设备测试文件收集,（一）证据收集,1. 现场查看,（一）证据收集,1. 现场查看（续）,2. 目击者访谈,（一）证据收集,（一）证据收集,3. 取样分析,（一）证据收集,4. 设备测试,控制阀,抽余液分馏塔流出控制阀（LCV-5100） 轻抽余液组分转重抽余液组分连接管控制阀（PCV-5012） 向分馏塔进料的控制阀（FCV-5000） ARU抽余液进料的控制阀（FCV-5003） 总抽余液进料控制阀（LCV-5006
5、） 分馏塔中回流罐到3psig排气系统控制阀（PCV-5002） 分馏塔回流控制阀（FCV-5007） 回流罐控制阀（PCV-1002） 重抽余液组分到加热炉的控制阀（FCV-5005） 抽余液分馏塔进料控制阀（FCV-5000） 回流罐通 3psig排气系统控制阀（PCV-5002） 重抽余液馏出控制阀（LCV-5100）,（一）证据收集,4. 设备测试（续）,流量变送器,燃料流量变送器（FT-5008）重抽余液流向加热炉流量变送器（FT-5005）重抽余液流出线流量变送器（FT-5015）轻抽余液流出线流量变送器（FT-5106）ARU原料流量变送器（FT-5001） ARU抽余液流量变送
6、器（FT-5003）分馏塔回流流量变送器（FT-5000）,（一）证据收集,4. 设备测试（续）,（一）证据收集,5. 文件收集,技术分析 管理分析,（二）证据分析,DCS/PI数据,书面/电子文件,多个目击者的证词（一致时）,在现场看到的情况（可能因应急措施改变）,操作过程的样品分析（可能因取样的延迟而变化）,工艺设备的检查（设备可能在事故中损坏）,1,2,3,4,5,6,个别未经证实的目击者证词,7,证据可靠顺序,技术分析,高压产生,物料蒸汽压/液体携带水蒸汽氮气及不凝气进料不当上述组合,（3）分馏塔进料组成,进料速率和塔内压力随时间的变化图,不同塔板温度随随时间的变化图,塔内液位随时间的
7、变化图,通过加热炉进入分馏塔的热量,进入分馏塔进料段的热量,通过物料外放移出分馏塔的热量,分馏塔内温度变化,物料失控,分馏塔液位和压力随时间的变化图,物料失控,物料失控,扩散模拟,扩散模拟,扩散模拟,爆炸模拟,可能的点火源 （1）装置北端的卡车 （2）装置西北角的开关室 （3）装置西南角的加热炉 （4）装置南端拖车卡车,异构化装置平面布置图,运行控制,（1）开车前（2）开车中（3）操作记录（4）开车程序（5）监督指导（6）人员疲劳,（1）开车前,未测试所有报警信号未测试所有调节阀未测试所有仪表及控制系统未提前14天未通知HSE部门未检查装置的应急喇叭未与所有开车人员审查开车程序未进行车辆交通控
8、制,检修交通控制图,（1）开车前,（2）开车中,成功开车：及时建立分馏塔重残液外放打开3系统为排出不凝气升温速度不超过50F/每小时加热炉出口温度不超过275F操作压力低于安全阀设定值,未将控制3排气系统的调节阀置于手动状态。未将分馏塔液位控制设在自动状态。分馏塔液位超过测量范围，仍然继续进料。分馏塔液位超过50，没有开启重残液外放。在没有重残液外放情况下，加热炉点火升温物料。当分馏塔塔底温度275F，而进料温度只有120F（正常是205F）物料加热速度超过每小时75F，加热炉出口物料温度达到307F。 分馏塔内压力快速升高，采用分馏塔安全阀附近的8寸阀控制压力。采用回流罐安全阀附近的1.5英
9、寸排出氮气控制压力。,（2）开车中,（3）操作记录,分馏塔的开车程序中还包括要求操作员在每一个操作程序上签字，并要签上操作日期和时间。白班班长在2005年3月21日打印出SOP 201.0，并把它交给室外操作员记录开工过程完成的操作规程。 3月23日凌晨，操作员A在分控制室向分馏塔和进料罐中进料，没有使用放在分控制室的操作程序，没有在完成的操作步骤签字。夜班控制台员没有参予进料。白班期间，实习操作员E在白班班长的指导下在部分程序签了字，但是只记录了日期，没有记录时间，在爆炸后没有在任何操作程序上签字。白班班长只在小部分操作程序签了字。 3月23日早晨换班之后，白班控制台操作员打印了一份错误的开
10、车程序SOP 201.1（暂时停车后的开车），将操作程序放在了打印机上，在开车过程中，他几乎没参考那份开车程序。,（4）开车程序,分馏塔开车的两个操作程序： a. “停车检修后进行抽余液分馏塔的开车”（SOP 201.0） b. “暂时停车后进行抽余液分馏塔的开车”（SOP 201.1）开车程序的变更 2003年1月25日塔顶的安全阀额定值从70 psig分别降到40/41/42psig 1998年，将用P-5002改为H5002控制3排气系统调节阀（MOC RISOM9809）,（5）监督指导,分馏塔开车的两个操作程序： a. “停车检修后进行抽余液分馏塔的开车”（SOP 201.0） b.
11、 “暂时停车后进行抽余液分馏塔的开车”（SOP 201.1）开车程序的变更 2003年1月25日塔顶的安全阀额定值从70 psig分别降到40/41/42psig 1998年，将用P-5002改为H5002控制3排气系统调节阀（MOC RISOM9809）,（6）人员疲劳,（6）人员疲劳,设施完整性,（1）分馏系统（2）放空系统（3）仪表报警（4）DCS系统（5）维护程序（6）仪表故障（7）显示设计,（1）分馏系统,（2）分馏塔 分馏塔的仪表控制简单，大部分参数都有高报警和低报警，除了燃料气超低压和流量低有关闭系统，分馏塔没有完善的紧急停车系统。 把安全阀安装在冷凝器的附近，便于安装和拆除，液
12、体夹带的可能性大就比较危险，如果塔有足够的仪表和停车保护措施，是完全可以接受的。 由于外部腐蚀使分馏塔变薄，2003年11月，安全阀额定值从由70Psig降到40、41、42Psig（塔的正常操作压力是10-20Psig）。降低的塔额定值进行的危险评估提到了压力40磅以上会导致塔的爆裂，安全措施是放空系统和操作员的安全意识，没有采取其他措施。危险评估没有考虑液体夹带到塔顶馏出线，管线液体静压力对安全阀的影响。,（1）分馏系统,（2）放空系统,（2）放空系统,（2）放空罐（F-20） 自1955年以来，频繁地对放空罐进行检查，内部腐蚀严重，在1959、1977、1981和1985年进行了维修。1
13、997年，对F-20进行了更换了烟囱、罐和内部构件。2003年最后一次检查时，F-20的挡板已经腐蚀并破裂，却决定不对其进行维修；F-20的冷却水系统是人工控制；提供冷却水；从鹅颈管连向的下水道系统的6英寸排水管接头有轻微的泄漏。 高液位报警器一直进行测试 ，由于被火烧坏了没有进行测试，液位开关的浮动机构和水银开关仍然是正常的。放空罐上的现场液位计停工以前仍在正常使用。,（2）放空系统 按照1997年第六号工艺安全标准 （PSS NO.6）要求用火炬系统代替放空罐。当附近工艺装置进行修改时，有两次机会可以连接到火炬系统，却没有实施。一次是1995年附近的AU-2装置安装新的火炬系统，另一次是2
14、002年靠近F-20的NDU装置火炬管线安装。 放空罐安装有抽空泵（ J-14A ），用来抽排入放空罐的物料，防止物料从放空烟囱顶部释放出去。J-14A是一个115#蒸汽驱动往复泵，设计容量是149加仑/分，该泵启动需要几分钟给汽缸头预热，意味着不能在紧急情况下使用。如果事故时在运行，6分钟可以从放空罐中抽出不到900加仑的物料，这样可以减少了溢出烟囱的物料量。 。,（2）放空系统,（2）放空系统 在将分馏塔内残余的油卸出，通蒸汽清除塔内油气后，2005年8月12日打开人孔，进行初步的内部检查；2005年8月17日，进行了全面的内部检查。 内部覆盖了一层看上去像碳或铁的氧化物，没有任何碎片和淤
15、泥。塔板没有遭到破坏变形，和塔的周围连接很好，塔板与塔板之间的连接也很好。有很少的几个阀卡在塔板上，阀是打开的，少数的几个阀位置移动或者没有了，这种现象在较高的塔板上有轻微增加，但过去几年装置正常操作的现象一样。,（2）放空系统,（4）安全关键设备 安全关键设备（SCE）没有单独的数据库或记录。安全关键设备是用来预防、控制和缓解主要危害的设备，需要在事故发生前或事故发生时有较高的可靠性和可用性，需要预防维护以确保其可靠性和可用性。典型的安全关键设备包括安全阀，火炬，排空烟囱，挡板式气液分离罐，减压总阀，紧急关闭系统，危险报警器，完整性保护系统，安全仪表系统，危险纠正系统，控制系统，UPS（不间
16、断电源），淹没和熄灭系统。放空罐也被定为安全关键设备。 2003年作出了不对放空罐中腐蚀的挡板进行维修的决定。在作出这个决定前既没有对挡板进行必要的检查，也没有投用已停止使用的冷却水系统。,（3）放空系统,（2）液体密度对液位测量的影响,（2）液体密度对液位测量的影响,（2）液体密度对液位测量的影响,（2）液体密度对液位测量的影响,分馏塔液位随着温度升高的变化图,分馏塔下午1：04的液位,（4）放空罐中的高液位报警器,在爆炸的时候听到了放空罐中高液位报警器（LAH-5020）的报警声。如果它正常工作的话，当抽余液分馏塔中的安全阀开始打开，放空罐中一部分装有液体的时候它就应该发出警报。当打开安全
17、阀时，需要30秒的时间将放喷管线和放空罐注满到鹅颈管的液位。然后液体还需要2分钟的时间以到达放空罐烟囱的顶部。报警器的警报液位设在鹅颈管的液位以下，应该在液体从烟囱流出前的2分钟发出警报。 如果这个报警器在事故发生时能够完全正常地起作用，那么虽然不能阻止随后发生爆炸和火灾。但是它可以指示工艺失控，促使操作员及早拉响警报器。,（4）DCS系统,（4）DCS系统,（4）DCS系统,（4）DCS系统,分馏塔主控制台是在NDU/AU2/ISOM控制室。这个控制室始建于50年代后期，随后为了安装DCS设备进行了内部改造。这个控制室不是很理想，不便于提高操作员的警惕性，例如，墙壁和地板的硬表面、与厨房和办
18、公室邻近使控制室太吵，灯光被有意调暗的以避免显示屏上令人懊恼的反射。控制室内售软饮料和小吃也分散了操作员的注意力。 3月23日12：45在控制室进行了一个15到20人的安全会议，这种性质的会议在相对较小的控制室，极易令人分心，更不用说在装置开车的关键时刻，同时一些在开车过程中打进来的外线电话也分散了注意力。,（4）DCS系统,（5）维护程序,德克萨斯炼油厂的维护程序由有计划的预防性维护和出现故障时的紧急维修组成。异构化装置的高压容器要进行基于风险的检验（RBI）。进行有计划的预防性维护的有转动设备、控制和仪表系统、安全阀、压力容器和管道系统检测。 德克萨斯炼油厂所用的SAP维护数据库只是一个项
19、目结算系统，它并不象MAXICO系统是一个维护管理系统。很难从单个的工作通知单中，得知具体进行的维护工作，只能知道工作通知单收费了，但收费可能是零部件和原料费，也可能是人工费。,变更管理,（1）制度要求 （2）拖车 （3）选址方法,变更管理,（1）制度要求 OSHA在1992年颁布了“高危险化学品的工艺安全管理”（PSM）条例 ，德克萨斯炼油厂要进行工艺危险分析 ，必须进行“设备选址”研究，至少每五年进行一次重新确认。 化学工艺安全中心（CCPS）的“评估工艺工厂建筑物外部爆炸和失火的指导”（1996）提供了实际的方法帮助辨别，评估和管理与工艺工厂建筑物的设计和选址有关的工艺安全事项。两名当时
20、的Amoco员工参与了制定CCPS指导方案。 Amoco制定了一个“设备选址手册”（1995年4月）以便执行API RP752，这个工作手册构成了德克萨斯炼油厂与拖车选址有关的变更管理（MOC）程序要求的基础。,变更管理,变更管理,其他拖车 异构化装置和石脑油脱硫装置之间停放用于加氢裂化装置检修的其他七辆拖车，任何一辆拖车都没有进行MOC评估。2002 年，在建造石脑油脱硫装置时，就有拖车被设置在石脑油脱硫装置和异构化装置之间。调查组相信即使这些拖车的进行了MOC，也有可能被停放在此，因为在这里停放拖车已经成了惯例。,变更管理,变更管理,J.E.Merit拖车 2004年9月初，J.E.Mer
21、i拖车停放在ISOM和NDU之间的区域。在现场危险区域分类图中这个区域被划为“无危险区”。2004年9月27日开始进行MOC评估。10月6日，一个代理负责人同意了MOC。MOC评估也不过是走走形式，没有进行认真的评估，一些PHA附加要求调查表中列出的问题和关注点被以“不适用”结束。11月8日，在MOC要求的一些措施没有完成情况下，如没有安装装电话开始使用了，这也没有得到装置负责人的同意。,变更管理,J. E. Merit拖车处的压力以及与该拖车紧紧相连的Flour拖车处的压力估计为2 psig，冲量为430 psi.ms。这个冲量很大，主要是因为这些拖车正处在蒸汽中。事故发生时已知J. E.
22、Merit拖车内共有22个人，其中有11个人死亡11个人受伤（包括5名BP工作人员和6名承包商员工）。这相当于J. E. Merit拖车的致命性为50%-52%。在Flour拖车内有2人死亡，无人受伤。严重受伤的第三个人最后被看到时，是朝Flour拖车走去，据推测发生爆炸时他已经在拖车内了。这相当于Flour拖车的致命性为100%。在其它的距离放空罐350到480英尺远的拖车有人受伤没有死亡。,变更管理,（3）选址方法 a. 致命性,变更管理,（3）选址方法 b. 蒸汽云爆炸频率 美国石油协会RP752规定爆炸频率应基于公司的具体经验，并为那些数据和经验不足的公司提供了一些一般的工业信息指导，
23、指导中列出了炼油厂各种生产装置的爆炸频率和所有生产装置的平均爆炸频率。由于缺乏的现场数据，德克萨斯炼油厂使用平均的频率数据，没有使用特定工艺装置的频率数据。事故调查组了解到德克萨斯炼油厂以前的一些事故，相信如果有德克萨斯炼油厂的爆炸频率数据，一定会比用平均爆炸频率数据计算的危险高。,变更管理,（3）选址方法 c. 安全距离 德克萨斯炼油厂设施选址MOC程序中规定的安全距离，是基于Amoco炼油厂设备选址参考手册，这个手册的安全距离是综合考虑5个炼油厂的情况确定。,变更管理,（3）选址方法 c. 安全距离（续） 德克萨斯炼油厂安全距离的确定存在以下三个问题：Amoco设施选址手册就不保守，即对拖
24、车采用5.0 psi的反射压力，而CCPS/API采用1.0psi的 最大侧面压力。德克萨斯炼油厂工艺装置的规模比较大，会导致比较高的爆炸压力。德克萨斯炼油厂的拖车通常被系住，以抵抗飓风，在发生爆炸时易弯曲和滚动减少。 所有的这些因素意味着德克萨斯炼油厂拖车距离工艺装置的最小安全距离应该比推荐的350英尺要大一些。,变更管理,（3）选址方法 d. 使用率 德克萨斯炼油厂对临时建筑物的设备选址分析采用“年度”的使用率数据，也就是说，当以每年为单位计算危险时，建筑物在现场的持续时间就要被考虑了。例如，如果一个拖车在现场停放3个月，使用率除以4，这样可以反映人员一年内只有一个季度在现场。在这种情况下
25、，临时建筑物的占用者的危险就可能很高，但与危险可承受标准相比较时就会被冲淡。,变更管理,（3）选址方法 e. 碎片影响 CCPS指导方针特别指出，现在的方法没有考虑爆炸碎片或抛射物对建筑内及附近人的影响。API RP 752也提到了碎片或抛射物对人的危险。德克萨斯炼油厂的几起人员伤亡事件都是由碎片的影响造成的。 发生爆炸时几乎没有办法保护室外的人员不受爆炸产生的碎片和抛射物的影响，唯一的办法就是首先阻止爆炸，或减少高危险操作期间现场的人数。但是，在工艺装置附近的建筑物设计和选址应该考虑爆炸碎片的危险。,变更管理,2004年9月，炼油厂进行了两次两天的MOC领导课程，教授参加者如何将HAZOP和
26、假设分析/ 调查表技术应用到MOC过程中，几个异构化装置的员工都参加了这个MOC领导培训。 调查小组对MOC检查，发现部分领导的水平没有达到标准要求，主要是由于缺乏能力和实践。过去的3年里，25%的MOC领导进行了90%的危险分析， 50%的MOC领导完成了其余10%的MOC危险分析，剩余25%MOC领导进行过MOC危险分析。,事故、事件报告、调查和处理,（1）炼油厂事故（2）以前的开车（3）放空系统事故,（2）以往开车,2000年以来的19次开车前18次最长延迟排出时间是46分钟，平均为15分钟，这次是3小时8分钟。大部分开车液位在50以上。液位控制为手动状态。18次开车过程液面大幅波动，操
27、作困难，15次不知道液面高度；发生74次报警，其中65次高报，合计50小时；9次低报，合计5小时。14次开车过程压力超过报警设定值32psig，9次接近或超过40psig，2次造成安全阀打开。,（2）以往开车,危害研究,（1）Hazop 和重新生效 a. 1993年Hazop b. 1998年Hazop c. 2003年Hazop d. MOC危险性评估（2）重大事故风险（MAR）,（1）放空系统（2）事故调查（3）评估审计（4） 维修记录,不符合、纠正措施和预防措施,资源,资源,（1）培训（2）意识（3）能力,能力、培训和意识,能力、培训和意识,应急管理,（1） 应急程序 （2） 应急培训（
28、3）应急演练,内部审核,（1） PSM审计 （2） gHSEr审计（3）其它审计,内部审核,（1） PSM审计 a. 2001 PSM审计 在异构化装置上没有什么重要发现，建议对操作程序进行审计，没有被采纳，因为操作程序在五年一次HAZOP重新生效期间要被审查， ISOM装置的HAZOP重新生效期是在2003年进行。 b. 2004PSM审计 主要审计了工艺危害分析、操作程序、承包商、预开车前安全检查、机械完整性，安全工作许可证和事故调查等，建议异构化装置加强对新派遣的监管人员和工程人员的培训，不容忍不遵守PSM和及时落实改正措施。,内部审核,（2） gHSEr审计 2004年的gHSEr审计
29、没有对异构化装置进行审计，也没有关于异构化装置的特殊发现。审计提出了适用于整个炼油厂的一些不足之处。主要是在制定操作程序和定期自我评估中缺乏按小时付工资的工人参与。其它差距包括危险评估和作业安全性分析形式化，改进事故报告，事故调查的独立性，及时落实改进措施以及由于原料或产品变化造成的腐蚀。 对没有将gHSEr审计结果用于推动HSE行动计划提出了关注。BP调查组没有发现一些正式的改进措施来解决这些差距，炼油厂的大部分职员似乎都不知道gHSEr审计。,内部审核,（3）其它审计 1999年1月，良好习惯推荐作法审计 2003年11月，“Big 4”审计 2004年5月 ，工作控制审查 操作员胜任保证
30、审计 2004年10月，外部的ISO14001审计,协商和沟通,（1）操作 （2）工艺安全,协商和沟通,（1）操作 装置代理负责人知道分馏塔开车，却没有到装置检查开车进展情况。这次开车没有在轮班主管的早会上被提到，以便让附近的人知道分馏塔开车，出席轮班主管会议不是强制的，讨论装置操作的时间也是有限的，只有15分钟的时间，并且大部分时间用在讨论ARU检修。 白班班长没有通知邻近的装置分馏塔开车，当时除了拖车上的人员外，还有几百名加氢裂化装置检修人员不知道分馏塔开车。白班班长在3月23日上午由于一些家庭事务离开时，没有安排任何人暂时负责他的工作。开车是由两个班组进行的，但没有做出努力保证两个班人员
31、间信息的充分交流。 装置负责人和培训协调员不知道操作员经常使用8英寸的通风系统控制压力偏离。操作员没有告知管理人员这种与操作程序的偏离，也没有任何系统来确保实际操作与操作程序保持一致。,在开车规程中包括以下关于良好的沟通对安全的重要性的注释：“在开车的所有阶段，必须在安全操作，细节及沟通这些方面给予足够的重视。而且这些必须在装置之间，班组之间和个体员工之间进行分享。好的计划、进度安排、判断力和沟通使开车有效安全地进行。” 负责异构化装置开车的白班班长3月23日上班迟到，也没有与向塔中进料的操作员A或者夜班班长进行交接班。室外操作员在装置外、炼油厂的门口进行了简单交接的，时间短、不够充分。 白班
32、控制台操作员与夜班控制台操作员进行了交接班，但是夜班控制台操作员并没有参与向塔中进料，而操作员A在04：59交接班前一小时离开了装置。,协商和沟通,协商和沟通,（2）工艺安全 PSM知识普遍比较缺乏。1992年公布了PSM标准后，没有进行培训，只是通过电子邮件发送了工艺安全知识材料。管理者、监督人和操作员很多都不知道规章要求、公司标准和满足地方惯例只是最低要求，就是地方惯例也没有严格执行，工艺安全没有被放在首位。 例如：装置负责人不同意现场停放拖车，却没有保证拖车MOC提出的措施落实。检修后，培训协调员没有更新ISOM的开车程序，装置负责人没有校验就保证开车程序是正确和最新的。培训协调员和装置
33、负责人允许操作员没有全面培训就上岗；操作员培训记录不全。 安全关键设备（F-20）在最近检查后没有进行很好的维护就继续使用，没有遵循MOC或也没有提交维修工作通知单。,策划,德克萨斯炼油厂有一个综合计划，其中HSE重点放在降低人员受伤和加强环境遵从性。例如，1000个工作日计划，内容包括不要伤害任何人、做一个好邻居、设备更可靠、创造价值、好的工作场所等。 炼油厂资本支出和操作费用在过去十年里稳步增加，但资本支出主要用来投资清洁燃料和其它环境保护项目，没有全面的计划用于系统地降低工艺危险。几个被查访者提到对ISOM装置放空烟囱的关注，考虑过对F-20进行改造，将放空系统连到一个火炬系统，但迫于首
34、先满足环境遵从性要求，没有做出放弃使用放空罐烟囱的计划。2005年初事故发生前，作为把去除F-20的远期项目，列入项目数据库系统，但并没有制定任何计划。 虽然现场培训费用过去几年都在增长，但没有任何系统地加强工人安全操作能力的计划。,目标和指标、绩效测量和监视,安全业绩考核主要集中在事后指标上，比如损工时事件数和可记录的受伤频率，这两个指标都是呈下降趋势，让人感觉安全状况得到了改善。而没有集中在事前指标上，或者至少是相关的、频率更高的小事故上，把重点放在这些指标的倾向分析上，更有可能传递准确的现场操作安全状况。例如物料失控、溢流、着火和操作偏离等，许多这样的事故都没有被正式报告，很少被调查。虽
35、然调查组没有发现任何直接的证据证明有意隐瞒事故，但炼油厂的奖励制度看起来是不恰当的。这个制度奖励发生事故少的工人，这就可能促进了报告的不及时甚至不报告。,目标和指标、绩效测量和监视,工艺安全和人员安全先导指标和结果指标BP公司的安全指标,2005 HSSE Dashboard （Shell）,组织机构和职责,（1）操作（2）异构化装置（3）工程技术（4）安全委员会,组织机构和职责,（1）操作 操作部门有多个层次，管理着如此大的生产现场。操作经理是管理层组成员之一，管理着四个生产主管（MDL），每个MDL管理着几个装置负责人，装置负责人在四个轮班中都配有执勤班长、台操作员和室外操作员，和一个培训
36、协调员。1996年，设置了优化工程师； 庞大而复杂的组织机构存在职责划分不清，并且组织内横向和纵向信息交流不通畅。 在检修或其它特殊操作中，一些人员被派去担当别的职位。例如，在ARU装置检修和ISOM装置停工期间，操作协调员担当起装置运行负责人，却没有接受有关的培训；培训协调员大部分时间都在协助ARU检修，但3月23日又负责分馏塔开车，在过去的12个月里，培训协调员仅将5%的时间用于培训。,西厂区组织结构图,组织机构和职责,组织机构和职责,（2）异构化装置 正常的AU2/ISOM/NDU装置的工作人员应该由一个值班长，一个内操，一个工艺工程师和两个外操组成。异构化装置由一个内操和一个外操组成，
37、其它的操作员负责AU2和NDU，共用一个控制室。停工的缘故，异构化装置安排了比正常操作更多的工作人员，有6名操作员。 3月23日，白班值班长在10：47时离开了现场，从那时起谁来指挥操作就不清楚了。工作人员认为是操作员B，然而代理负责人和缺席的白班值班长认为应该由ARU检修监管人负责，但ARU检修监管人否认这一点。,组织机构和职责,（3）工程技术 最优化工程师（OE）每天对操作提出建议、指导、帮助发现和维修故障。最优化工程师应密切地监视工艺装置的运行情况，特别是一些操作状态改变的过程，比如装置开车。与德克萨斯炼油厂的其它工艺装置相比，抽余液分馏塔被认为是一个相对简单的工艺装置，因此得到最优化工
38、程师较少的关注和支持。 可靠性工程师（REs）负责工艺装置的可靠性、有效性和一般维护。 项目工程师（PEs）负责大/小项目和MOCs。 还有可以短期聘用合同制工程师，一些经验丰富的工程师可以向最优化工程师和可靠性工程师提供意见和指导。,组织机构和职责,（4）安全委员会 a. 健康和安全委员会 b. HSSE程序参议会 c. HSSE程序委员会 d. 厂区HSE理事会 e. 工艺安全网络委员会（PSNC） f. 工艺安全委员会（PSC） g. 工人安全意识委员会（ESAC） h. 组织MOCs,20、领导和承诺,多年来，德克萨斯炼油厂形成了具有以下特征的氛围：员工工作缺乏动力，不能对所执行规定/
39、程序负责；炼油厂领导依赖于工作现场的中层监管人员，中层监管人员职责不清，监管工作不到位，例如，在分馏塔开车的关键时刻当班负责人不在场， MDL不知道分馏塔开车，也不清楚应该对NDU和ISOM中间安置拖车负责；领导和工人之间缺乏信任，领导和工人、雇员和承包商之间的工作关系不好，工人年度独立调查PAS得分很低，更加剧了员工士气低落和对领导者的不信任；领导缺乏足够的查证，对一些事情并不清楚，例如频繁的倒班换岗，没有更新过时或不切实际的操作程序等；装置文化狭隘的，不愿意学习接受外部的先进资源等。 领导开始认识到糟糕的工作环境和文化，并主动采取了一些措施，但这些措施还是不够充分的，不够具体，没能贯彻始终
40、，没有能足够迅速改善这种状况，避免事故发生。,事故原因分析综合表,1. BP公司事故原因分析,a. 物料失控,直接原因,个人违反规定监管人违反规定 决策不当或缺乏判断力 安全设备失效 设备不足,系统原因,判断力低 培训的不足 领导不力 调节/修理/维护工作不足 政策/标准/程序执行不力,文化问题,商业因素 安全优先 危险预见差缺乏预警(6.3.5),改进措施,领导 监管 个人行为 培训 组织 程序 基层体系,违规操作导致分馏塔进料过量，引发了安全阀超压，烃流入放空罐和放空烟道（F-20）中，并从F20溢出挥发，这些烃蒸汽被未知火源引燃。 液面和塔底温度过高，以及后来重质抽余液的排出，导致了分馏
41、塔顶部的溢流，随后造成安全阀位置的过压。开车程序后期，开启管线时，重质抽余液非常热，这使得进料发生急剧升温和气化。这也就加快了重质抽余液从分流器顶部溢出，然后流入大直径塔顶线进入安全阀。塔顶管线重液压加上相对正常的塔压，超出了安全阀的设定压力。大量液态烃自安全阀排出，淹没了放空罐。如果提早停止进料，和（或）增加采出量，（或）减少热量输入，就有可能避免该事故的发生。由于整个区域似乎没有控制，因此周围存在着很多潜在的点火源（例如机动车、拖车等）。目击者认为点火源可能是一辆卡车的引擎，但该说法目前尚无法证实。,1. BP公司事故原因分析,b. 程序与技能,直接原因,个人违反规定监管违规缺乏危害知识,
42、系统原因,疲劳判断不足机械智能化差急待解决的问题监管不当培训不足岗位/责任冲突领导不力安全会不足,文化问题,商业因素安全优先机构复杂,改进措施,领导监管工作环境个人行为对策沟通操作 培训,1. BP公司事故原因分析,b. 程序与技能（续）,直接原因,决策不当或判断失误其他干预,系统原因,参考材料和出版物不足审核/调查/监控不充分政策/标准/程序执行不力监管和人们沟通不足员工沟通不足,文化问题,危险预见差缺乏预警,改进措施,机构程序关键重点装置基层体系,1. BP公司事故原因分析,开车程序中的几个步骤被遗漏，另外一些步骤执行则出现偏差。白班控制台操作员不了解分馏塔液位的真实状况，对塔进行了大量进
43、料，重抽余液馏出晚3个小时，导致了进料过量。在重抽余液馏出之前就开始给进料加热，并且加热速度比程序规定的要快很多。另外，实际的最高温度也比程序中规定高。应急措施不充分及时，使情况变得更糟。塔的进料实际上就没有停止过，甚至在安全阀打开后还在进料。管理人员没有验证使用和遵循操作程序的正确性，并且在交接班、开车准备、进料和加热过程中不在现场。安排两个班进行开车，也增加了潜在的风险。 关键人员不在场，导致无人负责开车指挥。开车程序虽然不是全新的，如果按照程序进行了操作，或者提早采取各种应急措施，这起事故也许就不会发生了。,1. BP公司事故原因分析,c. 生产过程控制,直接原因,缺乏危害知识决策不当或
44、判断失误警告失败,系统原因,领导不力工作危险纠正不够工作危险识别不够,文化问题,商业因素安全优先机构复杂,改进措施,领导监管沟通培训程序拖车设施选址危险区域划分,1. BP公司事故原因分析,c. 生产过程控制（续）,直接原因,不关心常规操作火灾和爆炸现场布局不合理,系统原因,变更评估和/或记录不充分由于决策，政策/标准/程序补充不足不同工组沟通不够,文化问题,危险预见差缺乏预警,改进措施,PHA/MOC/HAZOP报警系统基层体系事故调查与报告,1. BP公司事故原因分析,开车期间，炼油厂其它区域的大量员工离危险源放空罐和放空烟道（F20）太近了，特别是几辆停放在异构化装置西面的拖车，是加氢裂
45、化装置检修工作人员的集合点，距离F-20在150英尺之内，在任何设施选址研究中没有被视为潜在的危险，没有考虑到大量的烃从放空烟道中释放出来的可能性。 在分馏塔开车前，没有被告知异构化装置正在开车，甚至当烃从放空烟道排出时，没有拉响撤离警报，这些人员没有及时离开拖车，他们本可以在开车前离开拖车。拖车停放位置不当，没有告知员工，都增加了事故的危害性。,1. BP公司事故原因分析,d. 设计与施工,直接原因,决策不当或判断失误设备不足,系统原因,领导不力工作危险纠正不够表现测量评估不足设计不当变更评估和/或记录不充分,文化问题,商业因素安全优先机构复杂,改进措施,领导监管沟通培训组织安全关键设备PH
46、A/MOC/HAZOP,1. BP公司事故原因分析,d. 设计与施工（续）,直接原因,现场布局不合理,系统原因,工作计划不充分审核/调查/监控不够安全和健康信息、规章、方针沟通不足,文化问题,危险预见差缺乏预警,改进措施,责任ISOM设计和施工基层体系事故调查与报告,1. BP公司事故原因分析,一般认为放空烟道在炼油厂中具有潜在的危险，因而工厂逐渐将放空烟囱改造成封闭的火炬放空系统。异构化装置的放空罐和放空烟囱（F-20）作为分馏塔减压和放空系统的一部分，过去几经改造之后，基本成了无人管理的区域。1995年到2002年，本来可以将分馏塔放空管线接入火炬系统，但没有实现；1997年F-20由于腐蚀而被替换时，该计划也未能实施。发生事故的F-20内部隔板腐蚀严重，取消了喷水灭水系统，增加了辅助入口，这都造成其工作效率降低。如果使用火炬系统或其他闭式放空系统，事故的影响很可能就会显著降低了。,
