中海殼牌石油化工有限公司 郭全瑞 天津市居安企業(yè)管理咨詢有限公司 唐彬｜編譯

本文結(jié)合美國化學(xué)品安全與危害調(diào)查委員會（CSB）對2003年霍尼韋爾國際公司（簡稱霍尼韋爾）制冷劑生產(chǎn)裝置一個管殼程式換熱器內(nèi)漏導(dǎo)致的液氯泄漏事故的調(diào)查，詳細(xì)介紹了該事故發(fā)生的背景、過程與后果，從技術(shù)和管理角度綜合分析了事故致因、經(jīng)驗教訓(xùn)及建議措施。

事故背景及過程

2003年7月20日，隸屬于霍尼韋爾的一套位于Baton Rouge的制冷劑生產(chǎn)裝置的一個液氯冷卻器失效，導(dǎo)致液氯泄漏進(jìn)入制冷劑（極冷 致@G-143a，簡 稱G-143a） 系統(tǒng)，然后制冷劑系統(tǒng)本身也失效，進(jìn)而導(dǎo)致液氯泄漏進(jìn)入大氣環(huán)境中。液氯蒸發(fā)形成的氯氣經(jīng)HVAC系統(tǒng)（Heating Ventilation and Air Conditioning，供熱通風(fēng)與空調(diào)系統(tǒng)）存在的縫隙進(jìn)入控制室，迫使控制室內(nèi)的操作人員迅速撤離。

泄漏事故持續(xù)了約3.5 h，導(dǎo)致整個裝置區(qū)域緊急疏散，半徑800 m范圍內(nèi)的居民被要求采取就地避難措施。事故造成在裝置工作的7名人員受傷。

圖1 液氯供料和冷卻系統(tǒng)流程簡圖

事故背景

霍尼韋爾國際公司擁有超過200人的全職員工，Baton Rouge裝置自1945年開始投入生產(chǎn)。公司主要生產(chǎn)基于碳氟化合物的制冷劑和氯化鈣，另外還有一套用于制冷劑回收和循環(huán)再利用的裝置。

氟化氫和氯是裝置生產(chǎn)用的兩種主要基本原料。裝置中氯和氟化氫的存有量均符合美國職業(yè)安全衛(wèi)生署過程安全管理標(biāo)準(zhǔn)(OSHA PSM)和美國環(huán)保署風(fēng)險管理標(biāo)準(zhǔn)（EPA RMP）。

霍尼韋爾Baton Rouge裝置使用氯作為原料生產(chǎn)G-143a，7月20日的泄漏事故發(fā)生在為G-143a反應(yīng)器供給氯的系統(tǒng)。如圖1所示，氯從一輛軌道車中經(jīng)過一個冷卻器輸送至反應(yīng)器。該冷卻器的設(shè)計目的是確保氯始終維持液相狀態(tài)進(jìn)入反應(yīng)器。液氯軌道車設(shè)有一個緊急切斷系統(tǒng)，能夠關(guān)閉與液氯軌道車連接的設(shè)備或工藝管線的所有閥門，實現(xiàn)在意外情況下液氯軌道車的有效隔離。

液氯冷卻器是一個采用碳鋼材質(zhì)的立式管殼程換熱器，直徑約150 mm，高度約2.4 m。如圖2和圖3所示，液氯流經(jīng)管程，冷卻液流經(jīng)殼程。冷卻液采用Baton Rouge裝置生產(chǎn)的含氯氟烴制冷劑，經(jīng)過一系列設(shè)備進(jìn)行連續(xù)循環(huán)。

圖2 管殼程換熱器示意圖

圖3 液氯冷卻器現(xiàn)場

圖4 水噴淋塔

來自冷卻器的液氯經(jīng)過一個隔離閥進(jìn)入G-143a反應(yīng)器。裝置正常運行過程中，反應(yīng)器隔離閥處于打開狀態(tài)。此次事故發(fā)生時，工藝的自動關(guān)斷步驟和手動關(guān)斷程序均依靠這個隔離閥來關(guān)停液氯向流程中的供料。G-143a反應(yīng)器的關(guān)斷程序不包括液氯軌道車的關(guān)斷系統(tǒng)。

事故發(fā)生過程

2003年7月20日3∶10分左右，位于控制室內(nèi)的操作人員聞到了氯氣味兒，1名操作人員立即出去調(diào)查情況，在G-143a反應(yīng)器冷卻系統(tǒng)輸送泵處發(fā)現(xiàn)了泄漏情況。由于泄漏物料看起來像是從冷卻液泵位置泄漏出來的，所以操作人員開始只是認(rèn)為泄漏范圍只限于冷卻系統(tǒng)?？刂剖彝獾难b置人員很快意識到他們需要額外幫助和保護(hù)性設(shè)備，才能有效控制泄漏事件。然而，在他們能夠采取相應(yīng)措施之前，控制室內(nèi)部和外部的氯氣濃度已經(jīng)升高到無法控制。操作人員開始出現(xiàn)呼吸困難現(xiàn)象，在他們能夠確定氯氣從冷卻液泵泄漏的原因之前，他們被迫從現(xiàn)場區(qū)域撤離，此時，G-143a反應(yīng)器仍處于運行狀態(tài)。

3∶25分裝置人員已撤離到廠區(qū)大門處，并向當(dāng)?shù)卣畽C構(gòu)上報發(fā)生了II級事件（影響范圍限于廠區(qū)內(nèi)部，存在影響廠區(qū)外部區(qū)域的可能性）。3∶29分霍尼韋爾將事件等級升級至III級事件（影響范圍擴大至廠區(qū)外部），裝置現(xiàn)場的水噴淋塔被啟動（如圖4所示），通過噴嘴向現(xiàn)場區(qū)域噴水，控制氯蒸氣的擴散和蔓延，降低空氣中氯氣的濃度。

裝置的應(yīng)急響應(yīng)人員啟動了事件指揮系統(tǒng)，開始嘗試阻止泄漏的持續(xù)。但是，由于氯氣進(jìn)入了控制室，并影響了工藝控制系統(tǒng)，導(dǎo)致工藝控制系統(tǒng)無法正常操作，裝置應(yīng)急響應(yīng)人員只能手動關(guān)停G-143a反應(yīng)器系統(tǒng)。當(dāng)G-143a反應(yīng)器系統(tǒng)被關(guān)停后，應(yīng)急響應(yīng)人員發(fā)現(xiàn)氯氣仍在繼續(xù)泄漏，只有把液氯軌道車隔離才能停止泄漏。

6∶46分左右，霍尼韋爾應(yīng)急響應(yīng)人員手動把液氯軌道車隔離閥關(guān)閉后，氯氣泄漏才被最終控制。根據(jù)事故前后的液氯軌道車的重量進(jìn)行推算，可能泄漏了約6.5 t的液氯。

事故分析

機械完整性

如圖5所示，導(dǎo)致氯泄漏的直接原因是液氯冷卻器內(nèi)部的失效，造成液氯進(jìn)入冷卻液系統(tǒng)。由于霍尼韋爾沒有考慮到冷卻液泵可能接觸液氯的工況，所以冷卻液泵的材質(zhì)不能和液氯相容。進(jìn)而冷卻液泵失效，造成液氯泄漏進(jìn)入大氣環(huán)境中。

OSHA PSM標(biāo) 準(zhǔn) 和EPA RMP規(guī)定均要求適用范圍內(nèi)的工藝裝置應(yīng)建立機械完整性管理程序，確保工藝設(shè)備的設(shè)計、建造、安裝和維護(hù)符合相關(guān)要求，從而盡可能降低化學(xué)品意外泄漏事件發(fā)生的可能性。

圖5 液氯冷卻器失效，導(dǎo)致冷卻液泵處泄漏

圖6 液氯冷卻器管束上出現(xiàn)的2個泄漏孔

液氯冷卻器是根據(jù)美國機械工程師協(xié)會（ASME）規(guī)范發(fā)證的壓力容器，于1986年建設(shè)和安裝。液氯冷卻器內(nèi)部的管束壁厚約2.8 mm。2000年9月，對液氯冷卻器殼程的放空和排凝進(jìn)行了改造，改造符合鍋爐和壓力容器標(biāo)準(zhǔn)以及ASME規(guī)范要求，并經(jīng)有資質(zhì)的人員進(jìn)行檢查和發(fā)證。2001年7月，G-143a反應(yīng)器發(fā)生一次事件，導(dǎo)致冷卻系統(tǒng)被催化劑和其他反應(yīng)器組分污染。隨后冷卻系統(tǒng)被倒空，并重新充裝，而且對所有的相連管線均進(jìn)行了檢測，以確定污染事件是否對系統(tǒng)管線造成了破壞。當(dāng)時沒有發(fā)現(xiàn)液氯冷卻器被破壞。

根據(jù)霍尼韋爾機械完整性管理程序，液氯冷卻器每年進(jìn)行目視外觀檢測，每兩年使用磁通量泄漏檢測技術(shù)進(jìn)行檢查。磁通量泄漏檢測是一種無損檢測技術(shù)，使用磁學(xué)原理對鐵磁材料（例如碳鋼）進(jìn)行檢查。2001年對液氯冷卻器進(jìn)行的外觀目視檢查和磁通量泄漏檢測沒有發(fā)現(xiàn)管束堵塞、可測缺陷和管束壁厚減薄現(xiàn)象。

事故后，液氯冷卻器被切割，對內(nèi)部進(jìn)行了檢查。通過目視檢查發(fā)現(xiàn)管束上存在3個孔，而且腐蝕產(chǎn)物在底部聚集，如圖6所示。所有的腐蝕產(chǎn)物和泄漏孔都位于冷卻器的下部，泄漏孔起源于管束的外表面。目視檢查后，霍尼韋爾承包商進(jìn)行的磁通量檢測驗證了其中的2個泄漏孔，但是對第3個泄漏孔的檢測結(jié)果只是顯示存在明顯的管束壁厚減薄。

CSB調(diào)查組聯(lián)系了電力研究院（Electric Power Research Institute,EPRI）。EPRI研究了幾種無損檢測技術(shù)，包括磁通量技術(shù)、遠(yuǎn)場渦流檢測技術(shù)和磁偏置渦流技術(shù)。EPRI表示，針對特定的應(yīng)用，不同的無損檢測技術(shù)各有優(yōu)劣。對于較厚的碳鋼管束（例如液氯冷卻器內(nèi)部的2.8 mm厚的管束），磁通量檢測技術(shù)可能無法探測出所有的缺陷。EPRI還提醒，在選擇最合適的無損檢測技術(shù)時，應(yīng)針對性地考慮管線的厚度和材質(zhì)問題。

根據(jù)此次事故情況和CSB調(diào)查組的研究，應(yīng)根據(jù)使用經(jīng)驗和無損檢測技術(shù)的最新發(fā)展情況，對無損檢測程序進(jìn)行定期審查和完善。雖然很多公司都在使用磁通量檢測技術(shù)，此次事故說明，在涉及換熱器（例如此次事故中的液氯冷卻器）的無損檢測應(yīng)用時，磁通量檢測技術(shù)并不是最好選擇。

工藝危害分析

CCPS關(guān)于危害分析的定義為：與工藝或活動相關(guān)的危險場景的潛在風(fēng)險分析。一次常規(guī)的工藝危害分析（PHA）通過使用定性的技術(shù)方法識別潛在的工藝危害、可能導(dǎo)致的后果以及相應(yīng)的安全保護(hù)措施。根據(jù)OSHA PSM標(biāo)準(zhǔn)的要求，霍尼韋爾針對G-143a系統(tǒng)進(jìn)行了工藝危害分析。

1994年9月，霍尼韋爾使用HAZOP（危險與可操作性分析方法）和What-If （假設(shè)分析方法）針對G-143a系統(tǒng)進(jìn)行了工藝危害分析。分析小組沒有考慮氯泄漏的工況，沒有分析G-143a系統(tǒng)出現(xiàn)這類偏差時可能造成的影響，也沒有識別出液氯冷卻器管程存在泄漏的可能性。

2000年1月，同樣采用HAZOP和What-If方法對G-143a系統(tǒng)的工藝危害分析進(jìn)行了回顧。此次工藝危害分析識別了液氯供料系統(tǒng)存在泄漏工況的可能性，但是仍沒有關(guān)注特定單個設(shè)備（例如液氯冷卻器）可能泄漏的具體事故場景。分析小組認(rèn)為，液氯系統(tǒng)泄漏工況的后果可能是輕微傷害，不會對裝置外部區(qū)域造成影響。

圖7 用于密封的管道膠帶

圖8 管道孔

2002年6月，霍尼韋爾對另一套制冷劑系統(tǒng)（G-113 R-1）進(jìn)行了工藝危害分析回顧，這套系統(tǒng)使用的液氯供料系統(tǒng)和冷卻系統(tǒng)和G-143a系統(tǒng)一樣。在這次工藝危害分析中，霍尼韋爾討論了液氯冷卻器管程出現(xiàn)泄漏的可能性，并認(rèn)為液氯可能進(jìn)入冷卻液系統(tǒng)。在分析記錄文件中，“設(shè)計、檢查和檢測”被列為安全保護(hù)措施，霍尼韋爾認(rèn)為這些措施是足夠的。分析過程中，霍尼韋爾認(rèn)為液氯冷卻器的失效可能導(dǎo)致液氯冷卻系統(tǒng)被污染，但是，他們沒有進(jìn)一步評估這種污染可能導(dǎo)致的后果，也沒有討論是否需要相應(yīng)的預(yù)防和減輕措施。

在上述3次工藝危害分析工作中，PHA小組把常規(guī)的行政管理措施作為有效的安全保護(hù)層，例如，“標(biāo)準(zhǔn)操作規(guī)程”“設(shè)計”“適當(dāng)?shù)膽?yīng)急響應(yīng)程序”和“檢查和檢查”等均被列為應(yīng)對液氯供料系統(tǒng)泄漏場景的安全保護(hù)措施。通常在工藝危害分析時，需要對潛在事故場景的后果進(jìn)行充分評估后，確定現(xiàn)有的安全措施是否能夠提供足夠的保護(hù)。高級別的風(fēng)險場景則需要高級別的安全保護(hù)措施，對于管理類的保護(hù)措施（例如操作和維護(hù)程序），一般認(rèn)為是較低級別的安全保護(hù)措施。在很多的危害分析中，一般使用“保護(hù)層分析”的方法進(jìn)行評估，確保當(dāng)一層保護(hù)失效時，其他保護(hù)層還能夠提供足夠的保護(hù)。

綜上所述，霍尼韋爾的工藝危害分析工作沒有充分、有效評估液氯進(jìn)入冷卻系統(tǒng)的可能性和相應(yīng)后果，而且分析中提出的安全保護(hù)措施不足以預(yù)防、控制或減輕大型液氯泄漏事件的工況。

變更管理和液氯系統(tǒng)關(guān)斷

變更管理（MOC）用于評估工藝發(fā)生變更時可能帶來的安全問題。當(dāng)G-143a系統(tǒng)最初建成時，使用一個1 t容量的容器為裝置提供液氯。后來液氯供料系統(tǒng)進(jìn)行了改造，改造后使用已有的軌道車系統(tǒng)（本身設(shè)置了輸送關(guān)斷系統(tǒng)）為裝置提供液氯原料。該關(guān)斷系統(tǒng)包括遠(yuǎn)程操作閥門，操作人員可以在控制室內(nèi)遠(yuǎn)程手動關(guān)閉閥門，但是沒有設(shè)置氯監(jiān)控設(shè)備，不能自動關(guān)閉閥門并隔離液氯軌道車。改造工程增加了系統(tǒng)內(nèi)可用的液氯量。在液氯軌道車投用之前，進(jìn)行了變更管理審查。

變更改造時，液氯軌道車系統(tǒng)在Baton Rouge裝置其他地方已處于使用狀態(tài)，所以它的輸送關(guān)斷控制系統(tǒng)和G-143a系統(tǒng)的關(guān)斷控制是互相獨立的。正常情況下，當(dāng)G-143a系統(tǒng)被關(guān)斷時（通過標(biāo)準(zhǔn)操作程序或者自動關(guān)斷程序），不會關(guān)斷來自軌道車的液氯供料。但是，控制室內(nèi)的視頻攝像頭可以監(jiān)控液氯軌道車，如果控制室操作人員發(fā)現(xiàn)泄漏，他們可以遠(yuǎn)程關(guān)斷液氯軌道車。

由于液氯軌道車的容量較大，對于液氯軌道車的系統(tǒng)隔離要求應(yīng)更為嚴(yán)格。在變更管理審查時，進(jìn)行了一次簡單的What-If分析過程，分析認(rèn)為現(xiàn)有的軌道車關(guān)斷系統(tǒng)對于液氯泄漏工況是一個充分、有效的安全保護(hù)層，沒有建議將液氯軌道車隔離程序和G-143a系統(tǒng)關(guān)斷程序整合在一起。如果當(dāng)時把液氯軌道車隔離程序和G-143a系統(tǒng)關(guān)斷程序整合在一起的話，很可能有效降低事故中液氯的泄漏量，減輕事故后果的嚴(yán)重程度。

正壓控制室的設(shè)計和維護(hù)

由于裝置工作人員反映控制室內(nèi)有異常氣味進(jìn)入，而且通過工程分析發(fā)現(xiàn)，控制室存在高度危險物質(zhì)（氟化氫）進(jìn)入的風(fēng)險，霍尼韋爾在1998年把控制室改造成了正壓控制室?；裟犴f爾的工程設(shè)計團(tuán)隊負(fù)責(zé)了控制室改造項目。改造后，控制室可以實現(xiàn)在發(fā)生化學(xué)品泄漏的情況下為工作人員提供短時間的保護(hù)，以便人員可以在撤離前能夠安全地關(guān)停生產(chǎn)系統(tǒng)。操作人員在關(guān)停生產(chǎn)系統(tǒng)后，使用位于控制室內(nèi)的逃生呼吸器撤離。正壓控制室的設(shè)計特點包括：空氣進(jìn)氣口位于裝置區(qū)域的最高點；控制室密封，以便使HVAC系統(tǒng)維持正壓狀態(tài)；HVAC系統(tǒng)進(jìn)氣口可以手動關(guān)斷；設(shè)有低壓狀態(tài)的聲音報警。

對于此次事故，CSB調(diào)查組發(fā)現(xiàn)，氯氣是通過位于控制室頂部的HVAC進(jìn)氣管道上的孔和縫隙被吸入控制室內(nèi)部的。有些孔看起來像是在管道上鉆出來的，沒有被封堵，還有其他則是接口處的縫隙形成的。隨著長時間的使用，用于密封這些孔隙的管道膠帶逐漸變得干燥和脆弱，如圖7和圖8所示。

此次事故中，正壓控制室系統(tǒng)未能為內(nèi)部的操作人員和設(shè)備提供有效保護(hù)，存在以下缺陷：

1.針對控制室，包括HVAC系統(tǒng)管道，沒有建立相應(yīng)的維護(hù)程序；

2.用于密封HVAC系統(tǒng)管道接口的膠帶失效，長時間暴露條件下出現(xiàn)縫隙；

3.控制室設(shè)有很多入口和出口；

4.HVAC進(jìn)氣系統(tǒng)沒有設(shè)置毒性氣體報警；

5.在工藝危害分析時，正壓控制室系統(tǒng)被認(rèn)為是有效安全保護(hù)層，但是其設(shè)計和維護(hù)沒有達(dá)到應(yīng)有等級。

發(fā)生過的氯氣事件

根據(jù)CSB調(diào)查組的訪談，霍尼韋爾員工稱以前在控制室內(nèi)出現(xiàn)過幾次聞到氯氣味道的情況。當(dāng)時采取了一些措施消除了氯氣味兒的來源，但是關(guān)于氯氣如何進(jìn)入正壓控制室，沒有進(jìn)行正式的調(diào)查。

根據(jù)OSHA PSM標(biāo)準(zhǔn)和EPA RMP法規(guī)的要求，霍尼韋爾建立了關(guān)于事件和未遂事件的調(diào)查管理程序，程序中將“事件”定義為：發(fā)生了不屬于正常操作范圍的非計劃事件，可能導(dǎo)致人員傷害、設(shè)備損壞或者環(huán)境影響。

霍尼韋爾管理程序沒有把正壓控制室系統(tǒng)列為關(guān)鍵設(shè)備，也沒有明確控制室出現(xiàn)的異味事件是需要進(jìn)一步調(diào)查的。如果制定了明確的書面指導(dǎo)程序，工作人員可能就會把控制室出現(xiàn)的異味情況看作“事件”來處理，經(jīng)過相應(yīng)調(diào)查，霍尼韋爾可能就會意識到正壓控制室系統(tǒng)存在嚴(yán)重安全問題。

事故原因

根本原因

1.霍尼韋爾Baton Rouge裝置管理系統(tǒng)沒有針對液氯冷卻器內(nèi)部失效工況的保護(hù)措施，其機械完整性系統(tǒng)沒有提前發(fā)現(xiàn)液氯冷卻器管程內(nèi)漏的問題，沒有額外的針對性保護(hù)措施，例如液氯泄漏的監(jiān)測措施。定期的年度檢查也沒有發(fā)現(xiàn)任何缺陷。

2.沒有充分評估液氯泄漏進(jìn)入冷卻系統(tǒng)可能導(dǎo)致的嚴(yán)重后果。進(jìn)行工藝危害分析時，盡管意識到存在液氯泄漏的可能性，仍認(rèn)為一般性的管理措施（例如設(shè)計、維護(hù)和操作程序等）是足夠的。

間接原因

1.正壓控制室的設(shè)計和維護(hù)不當(dāng)，在氯氣被吸入時，不能提供有效的短時間保護(hù)。例如，控制室入口保護(hù)不足、缺少毒性氣體監(jiān)測器及相應(yīng)報警和聯(lián)鎖等。

2.沒有認(rèn)識到需要將液氯軌道車關(guān)斷程序與G-143a系統(tǒng)關(guān)斷程序整合在一起的必要性。當(dāng)主工藝流程被關(guān)斷時，來自軌道車的液氯仍繼續(xù)流向失效的冷卻器，最終導(dǎo)致大量氯氣泄漏進(jìn)入大氣環(huán)境。

3.控制室內(nèi)發(fā)生的幾起氯氣異味事件沒有被正式調(diào)查，以確定氯氣是如何進(jìn)入正壓控制室內(nèi)部的。

CSB建議措施

1.修訂公司的檢查和檢測管理程序，包括能夠探測和防止冷卻器泄漏的有效方法，使用合適的無損檢測技術(shù)。

2.對能夠預(yù)防換熱器失效導(dǎo)致潛在后果的已有保護(hù)層進(jìn)行分析，并采取適當(dāng)?shù)母脑齑胧?。例如，在冷卻液物料側(cè)增加監(jiān)測設(shè)備，考慮增加冷卻液物料操作壓力的可行性，從而防止換熱器內(nèi)漏工況下液氯進(jìn)入冷卻液系統(tǒng)。

3.修訂公司的時間調(diào)查管理程序，確保類似正壓控制室內(nèi)異味的事件得到正式調(diào)查，確定事件原因，并采取適當(dāng)?shù)母脑齑胧?/p>

4.對涉及液氯的裝置進(jìn)行調(diào)查，評估探測和預(yù)防液氯泄漏的關(guān)斷系統(tǒng)的有效性。至少應(yīng)確保關(guān)斷系統(tǒng)和操作程序有效整合，實現(xiàn)所有潛在液氯泄漏源的有效切斷。

5.在進(jìn)行MOC審查時，當(dāng)物料儲存方式和儲量發(fā)生變化時，應(yīng)考慮相應(yīng)的緊急停車程序是否需要改變。

6.美國無損檢測協(xié)會（American Society for Nondestructive Testing,ASNT）應(yīng)將此次事故的調(diào)查結(jié)論和建議與其會員進(jìn)行交流和分享，針對特定的設(shè)備，評估無損檢測技術(shù)的適用性和有效性。