BP“3.23”事故調(diào)查處理

BP公司“3.23”爆炸事故調(diào)查前言

2005年3月23日下午1時20分，BP公司的德克薩斯煉油廠異構(gòu)化裝置的抽余液分餾塔開車過程中，分餾塔進料過多，安全閥打開，可燃液體進入放空罐，并從放空煙囪涌出后被引爆，事故造成15人死亡，180人受傷，距離德克薩斯煉油廠0.75英里外的房屋被破壞，經(jīng)濟損失超過15億美元。這是美國近二十多年最嚴(yán)重的事故，OSHA以BP公司故意違反301條規(guī)定罰款2130萬美元。事故調(diào)查經(jīng)過2005年3月23日事故發(fā)生煉油廠經(jīng)理致員工的信CSB成立事故調(diào)查組BP總裁見新聞媒體BP成立事故調(diào)查組CSB發(fā)布事故調(diào)查報告BP發(fā)布最終調(diào)查報告BP北美公司公布整改措施13月24日23月26日35月12日412月9日62007年1月16日7獨立安全評估小組發(fā)布報告成立獨立安全評估小組10月24日5BP發(fā)布初步調(diào)查報告3月23日8CSB發(fā)布事故分析片2008年3月21日9主要內(nèi)容一、事故經(jīng)過

（一）基本情況（二）發(fā)生過程二、事故分析

（一）證據(jù)收集（二）證據(jù)分析（三）原因確定三、改進措施

異構(gòu)化裝置及周邊裝置平面布置圖異構(gòu)化裝置平面布置圖異構(gòu)化裝置分餾系統(tǒng)流程圖分餾塔放空系統(tǒng)流程圖分餾塔放空系統(tǒng)班次人員基本情況22日夜班操作工A23日凌晨進行開車操作。23日白班班長120年ISOM工作經(jīng)驗。班長2無ISOM工作經(jīng)驗，主要工作協(xié)調(diào)裝置檢修工作。內(nèi)操6年內(nèi)操工作經(jīng)驗，參加了過去5年4次開車。操作工B15年ISOM工作經(jīng)驗，9年內(nèi)操，6年外操，當(dāng)天主要工作是協(xié)調(diào)檢修，培訓(xùn)實習(xí)生，完成檢修資料存檔。操作工C15年ISOM工作經(jīng)驗，無內(nèi)操經(jīng)驗。操作工D2004.7從制氫氣裝置調(diào)入，2004.10.25，上崗。操作工E大學(xué)畢業(yè)，實習(xí)生，化工專業(yè)，進行崗位培訓(xùn)。操作工F大學(xué)畢業(yè)，實習(xí)生，化工專業(yè)，進行崗位培訓(xùn)。（二）發(fā)生過程（二）發(fā)生過程（二）發(fā)生過程（二）發(fā)生過程事故前俯視照片事故后俯視照片應(yīng)急反應(yīng)組迅速做出反應(yīng)，展開了搜索和營救工作。13：45，請求和動員了地方應(yīng)急和救援小組。14：45，抽余液分餾塔進料因為電源中斷而停止?；饎菰趦尚r后得到控制，受傷人員得到妥善的安排或送到了當(dāng)?shù)氐尼t(yī)院。16：44，地方救援小組離開。23：00，找到最后一具尸體。事故共造成15人死亡（J.E.Merit移動板房12人，QA/QC移動板房3人），66人受傷比較重（其中14人屬于BP公司，其他52人來自13個公司），114人受傷比較輕（其中35人屬于BP公司，其他79人來自14個公司），沒有一個承包商人員是異構(gòu)化裝置開車必須要到場的，異構(gòu)化裝置破壞嚴(yán)重，異構(gòu)化裝置附近的約70輛汽車損壞，超過40輛移動板房損壞，其中13輛完全破壞，50個儲罐遭到不同程度的破壞，附近建筑物的門窗墻也有一定程度的損壞，經(jīng)濟損失超過15億美元。（二）發(fā)生過程（一）證據(jù)收集現(xiàn)場查看目擊者訪談取樣分析設(shè)備測試文件收集（一）證據(jù)收集1.現(xiàn)場查看查看結(jié)果分餾塔（E-1101）進料管線上的閥門完全打開，塔頂回流管線上閥門部分打開，塔底回流管線上閥門關(guān)閉。3psig排氣管控制閥關(guān)閉去F-20的8英寸鏈?zhǔn)绞謩娱y關(guān)閉異構(gòu)化裝置的爆炸破壞主要在裝置西部

去F-20的1.5英寸排氣管控制閥關(guān)閉2005年4月6日，調(diào)查小組被允許進入事故現(xiàn)場，主要發(fā)現(xiàn)以下幾點：爆炸和火災(zāi)主要造成了對異構(gòu)化裝置的破壞大火燒毀了F-20周圍的堅固的混凝土建筑（一）證據(jù)收集1.現(xiàn)場查看（續(xù)）查看結(jié)果分餾塔到F-20的14英寸管線上的閥門和F-20的6英寸出口閥都是關(guān)閉分控制室遭到了破壞

催化劑儲藏室遭到了破壞

確定了上次調(diào)查的3psig排氣管控制閥關(guān)閉

確定了上次調(diào)查的8英寸手動閥關(guān)閉

損壞拖車主要集中在異構(gòu)化裝置和石腦油脫硫裝置之間。

有液體從F-20流向下水道2.目擊者訪談訪談情況2005年3月24日，調(diào)查小組開始組織對目擊者進行訪談2005年4月28日，對階段報告調(diào)查收集的證據(jù)和進行的采訪作了總結(jié)2005年8月、9月和10月，為了解決最初那些證據(jù)中相互矛盾的地方，做了進一步的訪談。大多數(shù)的訪談都是在CSB的記錄員在場的情況下進行的。在調(diào)查過程中，對73個人（68名BP公司的員工，5名雇用工人）進行了106次訪談，收到了27封目擊者的陳述信。（一）證據(jù)收集（一）證據(jù)收集3.取樣分析取樣點進料泵（J-1101）入口管線收集分餾塔進料

重抽余液冷凝器（C-1106）收集分餾塔底部抽余液

回流泵（J-1102）入口管線收集分餾塔回流液分餾塔塔頂冷凝器（C-1107）收集塔頂餾出物

抽出泵（J-14A）入口管線收集抽余液

原料緩沖罐（F-1101）收集分餾塔進料

從流量閥（FV-5007）出口收集分餾塔塔頂回流液

從流量調(diào)節(jié)閥（FCV-5106）收集分餾塔塔頂產(chǎn)品

（一）證據(jù)收集4.設(shè)備測試安全閥

分餾塔塔頂安全閥（RV-1001A/B/C）

回流罐安全閥（RV-1002G）

輕組分產(chǎn)品流出線安全閥（RV-1199G）

控制閥抽余液分餾塔流出控制閥（LCV-5100）

輕抽余液組分轉(zhuǎn)重抽余液組分連接管控制閥（PCV-5012）

向分餾塔進料的控制閥（FCV-5000）

ARU抽余液進料的控制閥（FCV-5003）

總抽余液進料控制閥（LCV-5006）

分餾塔中回流罐到3psig排氣系統(tǒng)控制閥（PCV-5002）

分餾塔回流控制閥（FCV-5007）

回流罐控制閥（PCV-1002）

重抽余液組分到加熱爐的控制閥（FCV-5005）

抽余液分餾塔進料控制閥（FCV-5000）回流罐通3psig排氣系統(tǒng)控制閥（PCV-5002）重抽余液餾出控制閥（LCV-5100）

（一）證據(jù)收集4.設(shè)備測試（續(xù)）液位變送器進料平衡罐液位變送器（LT-5007）抽余液分餾塔液位變送器（LT-5100）回流罐液位變送器（LT-5008）

流量變送器燃料流量變送器（FT-5008）重抽余液流向加熱爐流量變送器（FT-5005）重抽余液流出線流量變送器（FT-5015）輕抽余液流出線流量變送器（FT-5106）ARU原料流量變送器（FT-5001）

ARU抽余液流量變送器（FT-5003）分餾塔回流流量變送器（FT-5000）（一）證據(jù)收集4.設(shè)備測試（續(xù)）壓力變送器

塔頂冷凝器壓力變送器（PT-5002）報警器分餾塔液位開關(guān)（LAH-5102，LAL-5104）報警器分餾塔液位指示（LT-5100）報警器原料緩沖罐液位開關(guān)（LAH-5006）報警器回流罐液位開關(guān)（LAL-5004，LALL-5010）報警器放空罐液位開關(guān)（LAH-5020）報警器容器抽余液分餾塔（LT-5100）抽余液分餾塔液位開關(guān)（LSH-5102，LSL-5104）放空罐高液位開關(guān)（LSH-5020）（一）證據(jù)收集5.文件收集文件操作記錄（包括值班長記錄，內(nèi)操記錄）過去5年的PI記錄和事故發(fā)生前15天的DCS記錄開車程序（2005年3月23日）拖車的MOC/設(shè)備選址計劃目擊者的陳述的記錄培訓(xùn)記錄維修記錄MOC記錄危險性分析記錄HSE的政策和方法人員配備其它的工廠文件技術(shù)分析管理分析（二）證據(jù)分析DCS/PI數(shù)據(jù)書面/電子文件多個目擊者的證詞（一致時）在現(xiàn)場看到的情況（可能因應(yīng)急措施改變）操作過程的樣品分析（可能因取樣的延遲而變化）工藝設(shè)備的檢查（設(shè)備可能在事故中損壞）123456個別未經(jīng)證實的目擊者證詞7

證

據(jù)

可

靠

順

序技術(shù)分析高壓產(chǎn)生物料蒸汽壓/液體攜帶水蒸汽氮氣及不凝氣進料不當(dāng)上述組合（3）分餾塔進料組成進料速率和塔內(nèi)壓力隨時間的變化圖不同塔板溫度隨隨時間的變化圖塔內(nèi)液位隨時間的變化圖通過加熱爐進入分餾塔的熱量進入分餾塔進料段的熱量通過物料外放移出分餾塔的熱量分餾塔內(nèi)溫度變化物料失控分餾塔液位和壓力隨時間的變化圖物料失控物料失控擴散模擬擴散模擬擴散模擬爆炸模擬可能的點火源

（1）裝置北端的卡車（2）裝置西北角的開關(guān)室（3）裝置西南角的加熱爐（4）裝置南端拖車卡車異構(gòu)化裝置平面布置圖運行控制（1）開車前（2）開車中（3）操作記錄（4）開車程序（5）監(jiān)督指導(dǎo)（6）人員疲勞（1）開車前未測試所有報警信號未測試所有調(diào)節(jié)閥未測試所有儀表及控制系統(tǒng)未提前14天未通知HSE部門未檢查裝置的應(yīng)急喇叭未與所有開車人員審查開車程序未進行車輛交通控制檢修交通控制圖（1）開車前（2）開車中成功開車：及時建立分餾塔重殘液外放打開3＃系統(tǒng)為排出不凝氣升溫速度不超過50?F/每小時加熱爐出口溫度不超過275?F操作壓力低于安全閥設(shè)定值未將控制3＃排氣系統(tǒng)的調(diào)節(jié)閥置于手動狀態(tài)。未將分餾塔液位控制設(shè)在自動狀態(tài)。分餾塔液位超過測量范圍，仍然繼續(xù)進料。分餾塔液位超過50％，沒有開啟重殘液外放。在沒有重殘液外放情況下，加熱爐點火升溫物料。當(dāng)分餾塔塔底溫度275?F，而進料溫度只有120?F（正常是205?F）物料加熱速度超過每小時75?F，加熱爐出口物料溫度達到307?F。

分餾塔內(nèi)壓力快速升高，采用分餾塔安全閥附近的8寸閥控制壓力。采用回流罐安全閥附近的1.5英寸排出氮氣控制壓力。（2）開車中（3）操作記錄分餾塔的開車程序中還包括要求操作員在每一個操作程序上簽字，并要簽上操作日期和時間。白班班長在2005年3月21日打印出SOP201.0，并把它交給室外操作員記錄開工過程完成的操作規(guī)程。3月23日凌晨，操作員A在分控制室向分餾塔和進料罐中進料，沒有使用放在分控制室的操作程序，沒有在完成的操作步驟簽字。夜班控制臺員沒有參予進料。白班期間，實習(xí)操作員E在白班班長的指導(dǎo)下在部分程序簽了字，但是只記錄了日期，沒有記錄時間，在爆炸后沒有在任何操作程序上簽字。白班班長只在小部分操作程序簽了字。

3月23日早晨換班之后，白班控制臺操作員打印了一份錯誤的開車程序SOP201.1（暫時停車后的開車），將操作程序放在了打印機上，在開車過程中，他幾乎沒參考那份開車程序。

（4）開車程序分餾塔開車的兩個操作程序：

a.“停車檢修后進行抽余液分餾塔的開車”（SOP201.0）

b.“暫時停車后進行抽余液分餾塔的開車”（SOP201.1）開車程序的變更2003年1月25日塔頂?shù)陌踩y額定值從70psig分別降到40/41/42psig1998年，將用P-5002改為H－5002控制3＃排氣系統(tǒng)調(diào)節(jié)閥（MOC＃R－ISOM－98－09）

（5）監(jiān)督指導(dǎo)分餾塔開車的兩個操作程序：

a.“停車檢修后進行抽余液分餾塔的開車”（SOP201.0）

b.“暫時停車后進行抽余液分餾塔的開車”（SOP201.1）開車程序的變更2003年1月25日塔頂?shù)陌踩y額定值從70psig分別降到40/41/42psig1998年，將用P-5002改為H－5002控制3＃排氣系統(tǒng)調(diào)節(jié)閥（MOC＃R－ISOM－98－09）

操作工A2.18－3.23（33天）

內(nèi)操2.23－3.23（29天）

操作工B2.14－3.23（37天）操作工C2.21－3.23（31天）（6）人員疲勞（6）人員疲勞設(shè)施完整性（1）分餾系統(tǒng)（2）放空系統(tǒng)（3）儀表報警（4）DCS系統(tǒng)（5）維護程序（6）儀表故障（7）顯示設(shè)計（1）分餾系統(tǒng)

（2）分餾塔分餾塔的儀表控制簡單，大部分參數(shù)都有高報警和低報警，除了燃料氣超低壓和流量低有關(guān)閉系統(tǒng)，分餾塔沒有完善的緊急停車系統(tǒng)。把安全閥安裝在冷凝器的附近，便于安裝和拆除，液體夾帶的可能性大就比較危險，如果塔有足夠的儀表和停車保護措施，是完全可以接受的。由于外部腐蝕使分餾塔變薄，2003年11月，安全閥額定值從由70Psig降到40、41、42Psig（塔的正常操作壓力是10-20Psig）。降低的塔額定值進行的危險評估提到了壓力40磅以上會導(dǎo)致塔的爆裂，安全措施是放空系統(tǒng)和操作員的安全意識，沒有采取其他措施。危險評估沒有考慮液體夾帶到塔頂餾出線，管線液體靜壓力對安全閥的影響。（1）分餾系統(tǒng)（2）放空系統(tǒng)（2）放空系統(tǒng)

（2）放空罐（F-20）自1955年以來，頻繁地對放空罐進行檢查，內(nèi)部腐蝕嚴(yán)重，在1959、1977、1981和1985年進行了維修。1997年，對F-20進行了更換了煙囪、罐和內(nèi)部構(gòu)件。2003年最后一次檢查時，F(xiàn)-20的擋板已經(jīng)腐蝕并破裂，卻決定不對其進行維修；F-20的冷卻水系統(tǒng)是人工控制；提供冷卻水；從鵝頸管連向的下水道系統(tǒng)的6英寸排水管接頭有輕微的泄漏。高液位報警器一直進行測試，由于被火燒壞了沒有進行測試，液位開關(guān)的浮動機構(gòu)和水銀開關(guān)仍然是正常的。放空罐上的現(xiàn)場液位計停工以前仍在正常使用。

（2）放空系統(tǒng)按照1997年第六號工藝安全標(biāo)準(zhǔn)（PSSNO.6）要求用火炬系統(tǒng)代替放空罐。當(dāng)附近工藝裝置進行修改時，有兩次機會可以連接到火炬系統(tǒng)，卻沒有實施。一次是1995年附近的AU-2裝置安裝新的火炬系統(tǒng)，另一次是2002年靠近F-20的NDU裝置火炬管線安裝。放空罐安裝有抽空泵（J-14A），用來抽排入放空罐的物料，防止物料從放空煙囪頂部釋放出去。J-14A是一個115#蒸汽驅(qū)動往復(fù)泵，設(shè)計容量是149加侖/分，該泵啟動需要幾分鐘給汽缸頭預(yù)熱，意味著不能在緊急情況下使用。如果事故時在運行，6分鐘可以從放空罐中抽出不到900加侖的物料，這樣可以減少了溢出煙囪的物料量。

。

（2）放空系統(tǒng)

（2）放空系統(tǒng)在將分餾塔內(nèi)殘余的油卸出，通蒸汽清除塔內(nèi)油氣后，2005年8月12日打開人孔，進行初步的內(nèi)部檢查；2005年8月17日，進行了全面的內(nèi)部檢查。內(nèi)部覆蓋了一層看上去像碳或鐵的氧化物，沒有任何碎片和淤泥。塔板沒有遭到破壞變形，和塔的周圍連接很好，塔板與塔板之間的連接也很好。有很少的幾個閥卡在塔板上，閥是打開的，少數(shù)的幾個閥位置移動或者沒有了，這種現(xiàn)象在較高的塔板上有輕微增加，但過去幾年裝置正常操作的現(xiàn)象一樣。（2）放空系統(tǒng)（4）安全關(guān)鍵設(shè)備

安全關(guān)鍵設(shè)備（SCE）沒有單獨的數(shù)據(jù)庫或記錄。安全關(guān)鍵設(shè)備是用來預(yù)防、控制和緩解主要危害的設(shè)備，需要在事故發(fā)生前或事故發(fā)生時有較高的可靠性和可用性，需要預(yù)防維護以確保其可靠性和可用性。典型的安全關(guān)鍵設(shè)備包括安全閥，火炬，排空煙囪，擋板式氣液分離罐，減壓總閥，緊急關(guān)閉系統(tǒng)，危險報警器，完整性保護系統(tǒng)，安全儀表系統(tǒng)，危險糾正系統(tǒng)，控制系統(tǒng)，UPS（不間斷電源），淹沒和熄滅系統(tǒng)。放空罐也被定為安全關(guān)鍵設(shè)備。

2003年作出了不對放空罐中腐蝕的擋板進行維修的決定。在作出這個決定前既沒有對擋板進行必要的檢查，也沒有投用已停止使用的冷卻水系統(tǒng)。（3）放空系統(tǒng)（2）液體密度對液位測量的影響（2）液體密度對液位測量的影響（2）液體密度對液位測量的影響（2）液體密度對液位測量的影響分餾塔液位隨著溫度升高的變化圖分餾塔下午1：04的液位（4）放空罐中的高液位報警器在爆炸的時候聽到了放空罐中高液位報警器（LAH-5020）的報警聲。如果它正常工作的話，當(dāng)抽余液分餾塔中的安全閥開始打開，放空罐中一部分裝有液體的時候它就應(yīng)該發(fā)出警報。當(dāng)打開安全閥時，需要30秒的時間將放噴管線和放空罐注滿到鵝頸管的液位。然后液體還需要2分鐘的時間以到達放空罐煙囪的頂部。報警器的警報液位設(shè)在鵝頸管的液位以下，應(yīng)該在液體從煙囪流出前的2分鐘發(fā)出警報。如果這個報警器在事故發(fā)生時能夠完全正常地起作用，那么雖然不能阻止隨后發(fā)生爆炸和火災(zāi)。但是它可以指示工藝失控，促使操作員及早拉響警報器。

（4）DCS系統(tǒng)（4）DCS系統(tǒng)（4）DCS系統(tǒng)（4）DCS系統(tǒng)分餾塔主控制臺是在NDU/AU2/ISOM控制室。這個控制室始建于50年代后期，隨后為了安裝DCS設(shè)備進行了內(nèi)部改造。這個控制室不是很理想，不便于提高操作員的警惕性，例如，墻壁和地板的硬表面、與廚房和辦公室鄰近使控制室太吵，燈光被有意調(diào)暗的以避免顯示屏上令人懊惱的反射?？刂剖覂?nèi)售軟飲料和小吃也分散了操作員的注意力。3月23日12：45在控制室進行了一個15到20人的安全會議，這種性質(zhì)的會議在相對較小的控制室，極易令人分心，更不用說在裝置開車的關(guān)鍵時刻，同時一些在開車過程中打進來的外線電話也分散了注意力。（4）DCS系統(tǒng)（5）維護程序德克薩斯煉油廠的維護程序由有計劃的預(yù)防性維護和出現(xiàn)故障時的緊急維修組成。異構(gòu)化裝置的高壓容器要進行基于風(fēng)險的檢驗（RBI）。進行有計劃的預(yù)防性維護的有轉(zhuǎn)動設(shè)備、控制和儀表系統(tǒng)、安全閥、壓力容器和管道系統(tǒng)檢測。德克薩斯煉油廠所用的SAP維護數(shù)據(jù)庫只是一個項目結(jié)算系統(tǒng)，它并不象MAXICO系統(tǒng)是一個維護管理系統(tǒng)。很難從單個的工作通知單中，得知具體進行的維護工作，只能知道工作通知單收費了，但收費可能是零部件和原料費，也可能是人工費。變更管理（1）制度要求（2）拖車（3）選址方法變更管理（1）制度要求

OSHA在1992年頒布了“高危險化學(xué)品的工藝安全管理”（PSM）條例，德克薩斯煉油廠要進行工藝危險分析，必須進行“設(shè)備選址”研究，至少每五年進行一次重新確認(rèn)。化學(xué)工藝安全中心（CCPS）的“評估工藝工廠建筑物外部爆炸和失火的指導(dǎo)”（1996）提供了實際的方法幫助辨別，評估和管理與工藝工廠建筑物的設(shè)計和選址有關(guān)的工藝安全事項。兩名當(dāng)時的Amoco員工參與了制定CCPS指導(dǎo)方案。Amoco制定了一個“設(shè)備選址手冊”（1995年4月）以便執(zhí)行APIRP752，這個工作手冊構(gòu)成了德克薩斯煉油廠與拖車選址有關(guān)的變更管理（MOC）程序要求的基礎(chǔ)。

變更管理變更管理

其他拖車異構(gòu)化裝置和石腦油脫硫裝置之間停放用于加氫裂化裝置檢修的其他七輛拖車，任何一輛拖車都沒有進行MOC評估。2002年，在建造石腦油脫硫裝置時，就有拖車被設(shè)置在石腦油脫硫裝置和異構(gòu)化裝置之間。調(diào)查組相信即使這些拖車的進行了MOC，也有可能被停放在此，因為在這里停放拖車已經(jīng)成了慣例。

變更管理變更管理

J.E.Merit拖車2004年9月初，J.E.Meri拖車停放在ISOM和NDU之間的區(qū)域。在現(xiàn)場危險區(qū)域分類圖中這個區(qū)域被劃為“無危險區(qū)”。2004年9月27日開始進行MOC評估。10月6日，一個代理負(fù)責(zé)人同意了MOC。MOC評估也不過是走走形式，沒有進行認(rèn)真的評估，一些PHA附加要求調(diào)查表中列出的問題和關(guān)注點被以“不適用”結(jié)束。11月8日，在MOC要求的一些措施沒有完成情況下，如沒有安裝裝電話開始使用了，這也沒有得到裝置負(fù)責(zé)人的同意。變更管理J.E.Merit拖車處的壓力以及與該拖車緊緊相連的Flour拖車處的壓力估計為2?psig，沖量為430psi.ms。這個沖量很大，主要是因為這些拖車正處在蒸汽中。事故發(fā)生時已知J.E.Merit拖車內(nèi)共有22個人，其中有11個人死亡11個人受傷（包括5名BP工作人員和6名承包商員工）。這相當(dāng)于J.E.Merit拖車的致命性為50%-52%。在Flour拖車內(nèi)有2人死亡，無人受傷。嚴(yán)重受傷的第三個人最后被看到時，是朝Flour拖車走去，據(jù)推測發(fā)生爆炸時他已經(jīng)在拖車內(nèi)了。這相當(dāng)于Flour拖車的致命性為100%。在其它的距離放空罐350到480英尺遠的拖車有人受傷沒有死亡。變更管理（3）選址方法a.致命性

變更管理（3）選址方法b.蒸汽云爆炸頻率

美國石油協(xié)會RP752規(guī)定爆炸頻率應(yīng)基于公司的具體經(jīng)驗，并為那些數(shù)據(jù)和經(jīng)驗不足的公司提供了一些一般的工業(yè)信息指導(dǎo)，指導(dǎo)中列出了煉油廠各種生產(chǎn)裝置的爆炸頻率和所有生產(chǎn)裝置的平均爆炸頻率。由于缺乏的現(xiàn)場數(shù)據(jù)，德克薩斯煉油廠使用平均的頻率數(shù)據(jù)，沒有使用特定工藝裝置的頻率數(shù)據(jù)。事故調(diào)查組了解到德克薩斯煉油廠以前的一些事故，相信如果有德克薩斯煉油廠的爆炸頻率數(shù)據(jù)，一定會比用平均爆炸頻率數(shù)據(jù)計算的危險高。變更管理（3）選址方法c.安全距離

德克薩斯煉油廠設(shè)施選址MOC程序中規(guī)定的安全距離，是基于Amoco煉油廠設(shè)備選址參考手冊，這個手冊的安全距離是綜合考慮5個煉油廠的情況確定。變更管理（3）選址方法c.安全距離（續(xù)）

德克薩斯煉油廠安全距離的確定存在以下三個問題：Amoco設(shè)施選址手冊就不保守，即對拖車采用5.0psi的反射壓力，而CCPS/API采用1.0psi的最大側(cè)面壓力。德克薩斯煉油廠工藝裝置的規(guī)模比較大，會導(dǎo)致比較高的爆炸壓力。德克薩斯煉油廠的拖車通常被系住，以抵抗颶風(fēng)，在發(fā)生爆炸時易彎曲和滾動減少。

所有的這些因素意味著德克薩斯煉油廠拖車距離工藝裝置的最小安全距離應(yīng)該比推薦的350英尺要大一些。

變更管理（3）選址方法d.使用率

德克薩斯煉油廠對臨時建筑物的設(shè)備選址分析采用“年度”的使用率數(shù)據(jù)，也就是說，當(dāng)以每年為單位計算危險時，建筑物在現(xiàn)場的持續(xù)時間就要被考慮了。例如，如果一個拖車在現(xiàn)場停放3個月，使用率除以4，這樣可以反映人員一年內(nèi)只有一個季度在現(xiàn)場。在這種情況下，臨時建筑物的占用者的危險就可能很高，但與危險可承受標(biāo)準(zhǔn)相比較時就會被沖淡。變更管理（3）選址方法e.碎片影響

CCPS指導(dǎo)方針特別指出，現(xiàn)在的方法沒有考慮爆炸碎片或拋射物對建筑內(nèi)及附近人的影響。APIRP752也提到了碎片或拋射物對人的危險。德克薩斯煉油廠的幾起人員傷亡事件都是由碎片的影響造成的。發(fā)生爆炸時幾乎沒有辦法保護室外的人員不受爆炸產(chǎn)生的碎片和拋射物的影響，唯一的辦法就是首先阻止爆炸，或減少高危險操作期間現(xiàn)場的人數(shù)。但是，在工藝裝置附近的建筑物設(shè)計和選址應(yīng)該考慮爆炸碎片的危險。變更管理2004年9月，煉油廠進行了兩次兩天的MOC領(lǐng)導(dǎo)課程，教授參加者如何將HAZOP和假設(shè)分析/調(diào)查表技術(shù)應(yīng)用到MOC過程中，幾個異構(gòu)化裝置的員工都參加了這個MOC領(lǐng)導(dǎo)培訓(xùn)。調(diào)查小組對MOC檢查，發(fā)現(xiàn)部分領(lǐng)導(dǎo)的水平?jīng)]有達到標(biāo)準(zhǔn)要求，主要是由于缺乏能力和實踐。過去的3年里，25%的MOC領(lǐng)導(dǎo)進行了90%的危險分析，50%的MOC領(lǐng)導(dǎo)完成了其余10%的MOC危險分析，剩余25%MOC領(lǐng)導(dǎo)進行過MOC危險分析。事故、事件報告、調(diào)查和處理（1）煉油廠事故（2）以前的開車（3）放空系統(tǒng)事故（2）以往開車2000年以來的19次開車前18次最長延遲排出時間是46分鐘，平均為15分鐘，這次是3小時8分鐘。大部分開車液位在50％以上。液位控制為手動狀態(tài)。18次開車過程液面大幅波動，操作困難，15次不知道液面高度；發(fā)生74次報警，其中65次高報，合計50小時；9次低報，合計5小時。14次開車過程壓力超過報警設(shè)定值32psig，9次接近或超過40psig，2次造成安全閥打開。（2）以往開車危害研究（1）Hazop

和重新生效a.1993年Hazop

b.1998年Hazopc.2003年Hazopd.MOC危險性評估（2）重大事故風(fēng)險（MAR）（1）放空系統(tǒng)（2）事故調(diào)查（3）評估審計（4）維修記錄不符合、糾正措施和預(yù)防措施資源資源（1）培訓(xùn)（2）意識（3）能力能力、培訓(xùn)和意識能力、培訓(xùn)和意識應(yīng)急管理（1）應(yīng)急程序（2）應(yīng)急培訓(xùn)（3）應(yīng)急演練內(nèi)部審核（1）PSM審計（2）gHSEr審計（3）其它審計內(nèi)部審核（1）PSM審計

a.2001PSM審計在異構(gòu)化裝置上沒有什么重要發(fā)現(xiàn)，建議對操作程序進行審計，沒有被采納，因為操作程序在五年一次HAZOP重新生效期間要被審查，ISOM裝置的HAZOP重新生效期是在2003年進行。b.2004PSM審計主要審計了工藝危害分析、操作程序、承包商、預(yù)開車前安全檢查、機械完整性，安全工作許可證和事故調(diào)查等，建議異構(gòu)化裝置加強對新派遣的監(jiān)管人員和工程人員的培訓(xùn)，不容忍不遵守PSM和及時落實改正措施。內(nèi)部審核

（2）gHSEr審計2004年的gHSEr審計沒有對異構(gòu)化裝置進行審計，也沒有關(guān)于異構(gòu)化裝置的特殊發(fā)現(xiàn)。審計提出了適用于整個煉油廠的一些不足之處。主要是在制定操作程序和定期自我評估中缺乏按小時付工資的工人參與。其它差距包括危險評估和作業(yè)安全性分析形式化，改進事故報告，事故調(diào)查的獨立性，及時落實改進措施以及由于原料或產(chǎn)品變化造成的腐蝕。對沒有將gHSEr審計結(jié)果用于推動HSE行動計劃提出了關(guān)注。BP調(diào)查組沒有發(fā)現(xiàn)一些正式的改進措施來解決這些差距，煉油廠的大部分職員似乎都不知道gHSEr審計。內(nèi)部審核（3）其它審計1999年1月，良好習(xí)慣推薦作法審計2003年11月，“Big4”審計2004年5月，工作控制審查操作員勝任保證審計2004年10月，外部的ISO14001審計協(xié)商和溝通（1）操作

（2）工藝安全協(xié)商和溝通（1）操作

裝置代理負(fù)責(zé)人知道分餾塔開車，卻沒有到裝置檢查開車進展情況。這次開車沒有在輪班主管的早會上被提到，以便讓附近的人知道分餾塔開車，出席輪班主管會議不是強制的，討論裝置操作的時間也是有限的，只有15分鐘的時間，并且大部分時間用在討論ARU檢修。白班班長沒有通知鄰近的裝置分餾塔開車，當(dāng)時除了拖車上的人員外，還有幾百名加氫裂化裝置檢修人員不知道分餾塔開車。白班班長在3月23日上午由于一些家庭事務(wù)離開時，沒有安排任何人暫時負(fù)責(zé)他的工作。開車是由兩個班組進行的，但沒有做出努力保證兩個班人員間信息的充分交流。裝置負(fù)責(zé)人和培訓(xùn)協(xié)調(diào)員不知道操作員經(jīng)常使用8英寸的通風(fēng)系統(tǒng)控制壓力偏離。操作員沒有告知管理人員這種與操作程序的偏離，也沒有任何系統(tǒng)來確保實際操作與操作程序保持一致。

在開車規(guī)程中包括以下關(guān)于良好的溝通對安全的重要性的注釋：“在開車的所有階段，必須在安全操作，細(xì)節(jié)及溝通這些方面給予足夠的重視。而且這些必須在裝置之間，班組之間和個體員工之間進行分享。好的計劃、進度安排、判斷力和溝通使開車有效安全地進行?！?/p>

負(fù)責(zé)異構(gòu)化裝置開車的白班班長3月23日上班遲到，也沒有與向塔中進料的操作員A或者夜班班長進行交接班。室外操作員在裝置外、煉油廠的門口進行了簡單交接的，時間短、不夠充分。白班控制臺操作員與夜班控制臺操作員進行了交接班，但是夜班控制臺操作員并沒有參與向塔中進料，而操作員A在04：59交接班前一小時離開了裝置。協(xié)商和溝通協(xié)商和溝通（2）工藝安全

PSM知識普遍比較缺乏。1992年公布了PSM標(biāo)準(zhǔn)后，沒有進行培訓(xùn)，只是通過電子郵件發(fā)送了工藝安全知識材料。管理者、監(jiān)督人和操作員很多都不知道規(guī)章要求、公司標(biāo)準(zhǔn)和滿足地方慣例只是最低要求，就是地方慣例也沒有嚴(yán)格執(zhí)行，工藝安全沒有被放在首位。例如：裝置負(fù)責(zé)人不同意現(xiàn)場停放拖車，卻沒有保證拖車MOC提出的措施落實。檢修后，培訓(xùn)協(xié)調(diào)員沒有更新ISOM的開車程序，裝置負(fù)責(zé)人沒有校驗就保證開車程序是正確和最新的。培訓(xùn)協(xié)調(diào)員和裝置負(fù)責(zé)人允許操作員沒有全面培訓(xùn)就上崗；操作員培訓(xùn)記錄不全。安全關(guān)鍵設(shè)備（F-20）在最近檢查后沒有進行很好的維護就繼續(xù)使用，沒有遵循MOC或也沒有提交維修工作通知單。策劃德克薩斯煉油廠有一個綜合計劃，其中HSE重點放在降低人員受傷和加強環(huán)境遵從性。例如，1000個工作日計劃，內(nèi)容包括不要傷害任何人、做一個好鄰居、設(shè)備更可靠、創(chuàng)造價值、好的工作場所等。煉油廠資本支出和操作費用在過去十年里穩(wěn)步增加，但資本支出主要用來投資清潔燃料和其它環(huán)境保護項目，沒有全面的計劃用于系統(tǒng)地降低工藝危險。幾個被查訪者提到對ISOM裝置放空煙囪的關(guān)注，考慮過對F-20進行改造，將放空系統(tǒng)連到一個火炬系統(tǒng)，但迫于首先滿足環(huán)境遵從性要求，沒有做出放棄使用放空罐煙囪的計劃。2005年初事故發(fā)生前，作為把去除F-20的遠期項目，列入項目數(shù)據(jù)庫系統(tǒng)，但并沒有制定任何計劃。

雖然現(xiàn)場培訓(xùn)費用過去幾年都在增長，但沒有任何系統(tǒng)地加強工人安全操作能力的計劃。目標(biāo)和指標(biāo)、績效測量和監(jiān)視安全業(yè)績考核主要集中在事后指標(biāo)上，比如損工時事件數(shù)和可記錄的受傷頻率，這兩個指標(biāo)都是呈下降趨勢，讓人感覺安全狀況得到了改善。而沒有集中在事前指標(biāo)上，或者至少是相關(guān)的、頻率更高的小事故上，把重點放在這些指標(biāo)的傾向分析上，更有可能傳遞準(zhǔn)確的現(xiàn)場操作安全狀況。例如物料失控、溢流、著火和操作偏離等，許多這樣的事故都沒有被正式報告，很少被調(diào)查。雖然調(diào)查組沒有發(fā)現(xiàn)任何直接的證據(jù)證明有意隱瞞事故，但煉油廠的獎勵制度看起來是不恰當(dāng)?shù)?。這個制度獎勵發(fā)生事故少的工人，這就可能促進了報告的不及時甚至不報告。

目標(biāo)和指標(biāo)、績效測量和監(jiān)視工藝安全和人員安全先導(dǎo)指標(biāo)和結(jié)果指標(biāo)BP公司的安全指標(biāo)2005HSSEDashboard（Shell）measureunitweightthresholdontargetoutstandingPROACTIVE(50%)PotentialIncident(PI)number1090013001600Overdueauditactionsnumber10

0

MgtHSSEWalkaboutnumber10101214HSECaseRAPreviewDate(seenote1)103.0-3.53.5-4.5over4.5Medium/Highauditnumber10251510REACTIVE(30%)LTInumber5000TRCnumber10210TROInumber3210FACnumber2542CODAvgmg/l5604030NaturalGasEffificencyAvg

mmBTU/t5989490INITITIVES(20%)BehaviouralSafetymilestones1075%SM-GPstafftrainedAllSM-GPstafftrainedOn-target+AllonsiteContractorsContractorsHSSEManagementmilestones10SMDSContractorHSEMgtProcIssuedSMDSContractorHSEMgtProcImplementedSMDSContractorHSEMgtProcImplemented&reviewed組織機構(gòu)和職責(zé)（1）操作（2）異構(gòu)化裝置（3）工程技術(shù)（4）安全委員會組織機構(gòu)和職責(zé)

（1）操作操作部門有多個層次，管理著如此大的生產(chǎn)現(xiàn)場。操作經(jīng)理是管理層組成員之一，管理著四個生產(chǎn)主管（MDL），每個MDL管理著幾個裝置負(fù)責(zé)人，裝置負(fù)責(zé)人在四個輪班中都配有執(zhí)勤班長、臺操作員和室外操作員，和一個培訓(xùn)協(xié)調(diào)員。1996年，設(shè)置了優(yōu)化工程師；龐大而復(fù)雜的組織機構(gòu)存在職責(zé)劃分不清，并且組織內(nèi)橫向和縱向信息交流不通暢。

在檢修或其它特殊操作中，一些人員被派去擔(dān)當(dāng)別的職位。例如，在ARU裝置檢修和ISOM裝置停工期間，操作協(xié)調(diào)員擔(dān)當(dāng)起裝置運行負(fù)責(zé)人，卻沒有接受有關(guān)的培訓(xùn)；培訓(xùn)協(xié)調(diào)員大部分時間都在協(xié)助ARU檢修，但3月23日又負(fù)責(zé)分餾塔開車，在過去的12個月里，培訓(xùn)協(xié)調(diào)員僅將5%的時間用于培訓(xùn)。西廠區(qū)組織結(jié)構(gòu)圖組織機構(gòu)和職責(zé)組織機構(gòu)和職責(zé)（2）異構(gòu)化裝置

正常的AU2/ISOM/NDU裝置的工作人員應(yīng)該由一個值班長，一個內(nèi)操，一個工藝工程師和兩個外操組成。異構(gòu)化裝置由一個內(nèi)操和一個外操組成，其它的操作員負(fù)責(zé)AU2和NDU，共用一個控制室。停工的緣故，異構(gòu)化裝置安排了比正常操作更多的工作人員，有6名操作員。3月23日，白班值班長在10：47時離開了現(xiàn)場，從那時起誰來指揮操作就不清楚了。工作人員認(rèn)為是操作員B，然而代理負(fù)責(zé)人和缺席的白班值班長認(rèn)為應(yīng)該由ARU檢修監(jiān)管人負(fù)責(zé)，但ARU檢修監(jiān)管人否認(rèn)這一點。組織機構(gòu)和職責(zé)

（3）工程技術(shù)最優(yōu)化工程師（OE）每天對操作提出建議、指導(dǎo)、幫助發(fā)現(xiàn)和維修故障。最優(yōu)化工程師應(yīng)密切地監(jiān)視工藝裝置的運行情況，特別是一些操作狀態(tài)改變的過程，比如裝置開車。與德克薩斯煉油廠的其它工藝裝置相比，抽余液分餾塔被認(rèn)為是一個相對簡單的工藝裝置，因此得到最優(yōu)化工程師較少的關(guān)注和支持。可靠性工程師（REs）負(fù)責(zé)工藝裝置的可靠性、有效性和一般維護。項目工程師（PEs）負(fù)責(zé)大/小項目和MOCs。還有可以短期聘用合同制工程師，一些經(jīng)驗豐富的工程師可以向最優(yōu)化工程師和可靠性工程師提供意見和指導(dǎo)。組織機構(gòu)和職責(zé)（4）安全委員會

a.健康和安全委員會b.HSSE程序參議會c.HSSE程序委員會

d.廠區(qū)HSE理事會

e.工藝安全網(wǎng)絡(luò)委員會（PSNC）

f.工藝安全委員會（PSC）

g.工人安全意識委員會（ESAC）

h.組織MOCs

20、領(lǐng)導(dǎo)和承諾多年來，德克薩斯煉油廠形成了具有以下特征的氛圍：員工工作缺乏動力，不能對所執(zhí)行規(guī)定/程序負(fù)責(zé)；煉油廠領(lǐng)導(dǎo)依賴于工作現(xiàn)場的中層監(jiān)管人員，中層監(jiān)管人員職責(zé)不清，監(jiān)管工作不到位，例如，在分餾塔開車的關(guān)鍵時刻當(dāng)班負(fù)責(zé)人不在場，MDL不知道分餾塔開車，也不清楚應(yīng)該對NDU和ISOM中間安置拖車負(fù)責(zé)；領(lǐng)導(dǎo)和工人之間缺乏信任，領(lǐng)導(dǎo)和工人、雇員和承包商之間的工作關(guān)系不好，工人年度獨立調(diào)查PAS得分很低，更加劇了員工士氣低落和對領(lǐng)導(dǎo)者的不信任；領(lǐng)導(dǎo)缺乏足夠的查證，對一些事情并不清楚，例如頻繁的倒班換崗，沒有更新過時或不切實際的操作程序等；裝置文化狹隘的，不愿意學(xué)習(xí)接受外部的先進資源等。領(lǐng)導(dǎo)開始認(rèn)識到糟糕的工作環(huán)境和文化，并主動采取了一些措施，但這些措施還是不夠充分的，不夠具體，沒能貫徹始終，沒有能足夠迅速改善這種狀況，避免事故發(fā)生。

事故原因分析綜合表1.BP公司事故原因分析a.物料失控直接原因個人違反規(guī)定監(jiān)管人違反規(guī)定

決策不當(dāng)或缺乏判斷力

安全設(shè)備失效

設(shè)備不足

系統(tǒng)原因判斷力低

培訓(xùn)的不足

領(lǐng)導(dǎo)不力

調(diào)節(jié)/修理/維護工作不足

政策/標(biāo)準(zhǔn)/程序執(zhí)行不力

文化問題商業(yè)因素

安全優(yōu)先

危險預(yù)見差缺乏預(yù)警(6.3.5)

改進措施領(lǐng)導(dǎo)

監(jiān)管

個人行為

培訓(xùn)

組織

程序

基層體系

違規(guī)操作導(dǎo)致分餾塔進料過量，引發(fā)了安全閥超壓，烴流入放空罐和放空煙道（F-20）中，并從F－20溢出揮發(fā)，這些烴蒸汽被未知火源引燃。液面和塔底溫度過高，以及后來重質(zhì)抽余液的排出，導(dǎo)致了分餾塔頂部的溢流，隨后造成安全閥位置的過壓。開車程序后期，開啟管線時，重質(zhì)抽余液非常熱，這使得進料發(fā)生急劇升溫和氣化。這也就加快了重質(zhì)抽余液從分流器頂部溢出，然后流入大直徑塔頂線進入安全閥。塔頂管線重液壓加上相對正常的塔壓，超出了安全閥的設(shè)定壓力。大量液態(tài)烴自安全閥排出，淹沒了放空罐。如果提早停止進料，和（或）增加采出量，（或）減少熱量輸入，就有可能避免該事故的發(fā)生。由于整個區(qū)域似乎沒有控制，因此周圍存在著很多潛在的點火源（例如機動車、拖車等）。目擊者認(rèn)為點火源可能是一輛卡車的引擎，但該說法目前尚無法證實。1.BP公司事故原因分析b.程序與技能直接原因個人違反規(guī)定監(jiān)管違規(guī)缺乏危害知識系統(tǒng)原因疲勞判斷不足機械智能化差急待解決的問題監(jiān)管不當(dāng)培訓(xùn)不足崗位/責(zé)任沖突領(lǐng)導(dǎo)不力安全會不足文化問題商業(yè)因素安全優(yōu)先機構(gòu)復(fù)雜改進措施領(lǐng)導(dǎo)監(jiān)管工作環(huán)境個人行為對策溝通操作

培訓(xùn)1.BP公司事故原因分析b.程序與技能（續(xù)）直接原因決策不當(dāng)或判斷失誤其他干預(yù)系統(tǒng)原因參考材料和出版物不足審核/調(diào)查/監(jiān)控不充分政策/標(biāo)準(zhǔn)/程序執(zhí)行不力監(jiān)管和人們溝通不足員工溝通不足文化問題危險預(yù)見差缺乏預(yù)警改進措施機構(gòu)程序關(guān)鍵重點裝置基層體系

1.BP公司事故原因分析開車程序中的幾個步驟被遺漏，另外一些步驟執(zhí)行則出現(xiàn)偏差。白班控制臺操作員不了解分餾塔液位的真實狀況，對塔進行了大量進料，重抽余液餾出晚3個小時，導(dǎo)致了進料過量。在重抽余液餾出之前就開始給進料加熱，并且加熱速度比程序規(guī)定的要快很多。另外，實際的最高溫度也比程序中規(guī)定高。應(yīng)急措施不充分及時，使情況變得更糟。塔的進料實際上就沒有停止過，甚至在安全閥打開后還在進料。管理人員沒有驗證使用和遵循操作程序的正確性，并且在交接班、開車準(zhǔn)備、進料和加熱過程中不在現(xiàn)場。安排兩個班進行開車，也增加了潛在的風(fēng)險。關(guān)鍵人員不在場，導(dǎo)致無人負(fù)責(zé)開車指揮。開車程序雖然不是全新的，如果按照程序進行了操作，或者提早采取各種應(yīng)急措施，這起事故也許就不會發(fā)生了。1.BP公司事故原因分析c.生產(chǎn)過程控制直接原因缺乏危害知識決策不當(dāng)或判斷失誤警告失敗系統(tǒng)原因領(lǐng)導(dǎo)不力工作危險糾正不夠工作危險識別不夠文化問題商業(yè)因素安全優(yōu)先機構(gòu)復(fù)雜改進措施領(lǐng)導(dǎo)監(jiān)管溝通培訓(xùn)程序拖車設(shè)施選址危險區(qū)域劃分1.BP公司事故原因分析c.生產(chǎn)過程控制（續(xù)）直接原因不關(guān)心常規(guī)操作火災(zāi)和爆炸現(xiàn)場布局不合理系統(tǒng)原因變更評估和/或記錄不充分由于決策，政策/標(biāo)準(zhǔn)/程序補充不足不同工組溝通不夠文化問題危險預(yù)見差缺乏預(yù)警改進措施PHA/MOC/HAZOP報警系統(tǒng)基層體系事故調(diào)查與報告1.BP公司事故原因分析開車期間，煉油廠其它區(qū)域的大量員工離危險源放空罐和放空煙道（F－20）太近了，特別是幾輛停放在異構(gòu)化裝置西面的拖車，是加氫裂化裝置檢修工作人員的集合點，距離F-20在150英尺之內(nèi)，在任何設(shè)施選址研究中沒有被視為潛在的危險，沒有考慮到大量的烴從放空煙道中釋放出來的可能性。在分餾塔開車前，沒有被告知異構(gòu)化裝置正在開車，甚至當(dāng)烴從放空煙道排出時，沒有拉響撤離警報，這些人員沒有及時離開拖車，他們本可以在開車前離開拖車。拖車停放位置不當(dāng)，沒有告知員工，都增加了事故的危害性。1.BP公司事故原因分析d.設(shè)計與施工直接原因決策不當(dāng)或判斷失誤設(shè)備不足系統(tǒng)原因領(lǐng)導(dǎo)不力工作危險糾正不夠表現(xiàn)測量評估不足設(shè)計不當(dāng)變更評估和/或記錄不充分文化問題商業(yè)因素安全優(yōu)先機構(gòu)復(fù)雜改進措施領(lǐng)導(dǎo)監(jiān)管溝通培訓(xùn)組織安全關(guān)鍵設(shè)備PHA/MOC/HAZOP1.BP公司事故原因分析d.設(shè)計與施工（續(xù)）直接原因現(xiàn)場布局不合理系統(tǒng)原因工作計劃不充分審核/調(diào)查/監(jiān)控不夠安全和健康信息、規(guī)章、方針溝通不足文化問題危險預(yù)見差缺乏預(yù)警改進措施責(zé)任ISOM設(shè)計和施工基層體系事故調(diào)查與報告

1.BP公司事故原因分析一般認(rèn)為放空煙道在煉油廠中具有潛在的危險，因而工廠逐漸將放空煙囪改造成封閉的火炬放空系統(tǒng)。異構(gòu)化裝置的放空罐和放空煙囪（F-20）作為分餾塔減壓和放空系統(tǒng)的一部分，過去幾經(jīng)改造之后，基本成了無人管理的區(qū)域。1995年到2002年，本來可以將分餾塔放空管線接入火炬系統(tǒng)，但沒有實現(xiàn)；1997年F-20由于腐蝕而被替換時，該計劃也未能實施。發(fā)生事故的F-20內(nèi)部隔板腐蝕嚴(yán)重，取消了噴水滅水系統(tǒng)，增加了輔助入口，這都造成其工作效率降低。如果使用火炬系統(tǒng)或其他閉式放空系統(tǒng)，事故的影響很可能就會顯著降低了。2.CSB事故原因分析15人死亡，180人受傷傷亡人員在現(xiàn)場爆炸火災(zāi)蒸氣云形成現(xiàn)場點火源氧氣受限空間正常正常正常裝置設(shè)備活動板房管廊液體揮發(fā)易燃液體從放空煙囪中流出危險區(qū)域附近的活動板房正常正常正常裝置操作工裝置附近車?yán)锖椭車娜搜b置內(nèi)工作的其他人員裝置附近板房內(nèi)工作人員裝置附近工作人員沒有撤離的人員操作工沒有時間拉響警報沒有執(zhí)行BPPSSR政策板房位于NDU和ISOM之間沒有執(zhí)行BPPSSR政策在ULC和ISOM從事TAR人員設(shè)施選址分析BP政策允許進行選址分析后將板房設(shè)在危險區(qū)域MOC實施后允許在危險區(qū)域設(shè)置板房設(shè)置板房便于ULC檢修裝置附近道路上人員停車休息或工作的人員未執(zhí)行TAR交通管理制度缺乏BPTAR管理組監(jiān)督開車人員沒有嚴(yán)格執(zhí)行開車交通管理2.CSB事故原因分析正常放空罐和煙囪溢出液態(tài)烴放空煙囪直通大氣放空罐體積小未設(shè)想到最壞情形最近沒有做卸壓閥和集管研究因為成本推遲研究計劃分餾頂卸壓閥打開卸壓閥壓力超過設(shè)定壓力40－42psig分餾塔塔內(nèi)壓力20psig塔頂餾出線垂直管積聚液體BP因成本沒有實施本質(zhì)安全的放空系統(tǒng)以前的泄漏沒有報告調(diào)查設(shè)計沒有評估超裝或者多個卸壓閥打開的影響放空罐和煙囪設(shè)計BP在1997年沒有進行煙囪更換以符合RAGAGEPAPI521沒有設(shè)計有關(guān)設(shè)計問題2.CSB事故原因分析裝置界區(qū)內(nèi)車輛裝置內(nèi)行駛車輛點著火的爐子開關(guān)的電火花BP政策允許汽車開著發(fā)動機停在裝置區(qū)內(nèi)缺乏培訓(xùn)培訓(xùn)部門資源由爆炸分析排除檢查表沒有借鑒選址分析程序傷害程度的基礎(chǔ)標(biāo)準(zhǔn)不合適PSM部門對MOC缺乏有效監(jiān)督年使用率沒有考慮風(fēng)險暴露沒有執(zhí)行BP建筑物分析程序裝置350英尺范圍內(nèi)的建筑做選址分析BP選址分析的基礎(chǔ)是API5122.CSB事故原因分析正常正常物料超裝溢入塔頂餾出線下午1點塔進料至158英尺塔內(nèi)進料量超過液位測量范圍開車程序的下一步做出向塔內(nèi)進料的決定程序和設(shè)備變更沒有進行MOC向塔內(nèi)進料達3小時物料未外排達3小時加熱進料物料膨脹液面上升盡管儀表和設(shè)備不正常仍然開車對程序和設(shè)備缺陷給開車帶來的風(fēng)險缺乏認(rèn)識缺乏監(jiān)督偏離程序已成習(xí)慣以前就采取迅速加熱開車進料換熱升溫下午1點后塔內(nèi)物料汽化液面升高塔底液體被迅速加熱未執(zhí)行操作程序進料溫度在10min內(nèi)升到泡點溫度140℃閥門開到70％，流量從0立刻達到30000桶/天，大量物料外放2.CSB事故原因分析工長人員不理解塔內(nèi)物料超裝的危害規(guī)程沒有涉及在兩個班次之間進料后停6個小時再開車的規(guī)定規(guī)程沒有塔內(nèi)進料偏離規(guī)定液位的危害培訓(xùn)沒有塔內(nèi)高液位范圍的規(guī)定管理者和操作工在外放接料罐和進料指令方面溝通不足沒有調(diào)查以前液位偏離情況缺乏監(jiān)管未遂事件報告不足未遂事件定義模糊害怕責(zé)備和處罰2.CSB事故原因分析正常BP操作工非正式的交接班信息交流不充分交接班內(nèi)外操之間信息交流外放物料的指令沒有寫在操作記錄、程序或者其他文檔上內(nèi)操相信被指示外放物料到儲罐在開車或者異常處理時內(nèi)操不足內(nèi)操疲勞缺乏防疲勞政策DCS沒有提供物料平衡計算方法DCS沒有將進出裝置的物料量顯示在同一屏幕內(nèi)培訓(xùn)內(nèi)操不懂物料平衡計算液位指示沒有超過99.9％3小時內(nèi)液位指示不斷下降當(dāng)班操作工不知道高液位報警器失效內(nèi)操相信有關(guān)設(shè)備正在進料加熱爐點火前液位控制閥沒有設(shè)在自控狀態(tài)報警器沒有激活在開車關(guān)鍵階段控制室內(nèi)沒有經(jīng)驗豐富的ISOM值班長或技術(shù)員操作工不明白實際液位超過100％2.CSB事故原因分析歷史上多次發(fā)生偏離程序沒有強化程序的嚴(yán)格執(zhí)行程序變更沒有進行風(fēng)險評價MOC沒有進行強化缺乏管理層監(jiān)督未落實分餾塔MOC提出的措施缺乏管理層監(jiān)督事故調(diào)查規(guī)程制定未分析開車過程沒有全面執(zhí)行操作限程序生產(chǎn)壓力缺乏風(fēng)險意識缺少PSM協(xié)調(diào)員認(rèn)為手動控制使開車更平穩(wěn)高液位以防加熱爐損壞或停止加熱液位控制不穩(wěn)規(guī)程被看作指導(dǎo)性文件規(guī)程聲明是指導(dǎo)文件PSM資源不足，現(xiàn)有人員工作任務(wù)過重負(fù)責(zé)規(guī)程修改的人同時也負(fù)責(zé)規(guī)程認(rèn)證規(guī)程沒有更新，操作工認(rèn)為有不準(zhǔn)確的地方過時的規(guī)程被認(rèn)證使用以前的事故教訓(xùn)沒有納入培訓(xùn)指導(dǎo)閥門沒有設(shè)在自控狀態(tài)進料的后果沒有寫入規(guī)程2.CSB事故原因分析經(jīng)驗豐富的ISOM值班長因家事離開現(xiàn)場，沒有經(jīng)驗豐富的值班長或者工程師可用或指派未執(zhí)行開車過程中有經(jīng)驗的值班長或工程師在現(xiàn)場的規(guī)定可用值班長無經(jīng)驗對值班長的工作要求和培訓(xùn)程序低估ISOM裝置開車危害沒有增加額外員工其他有經(jīng)驗的員工安排到其他裝置處理問題2.CSB事故原因分析在主控室內(nèi)沒有夜班開車使用的操作程序在夜班和白班內(nèi)操的操作記錄上無有效的文字交接內(nèi)操沒有開車經(jīng)驗，在接班前，塔已進料，外放泵關(guān)閉交接班BP操作工非正式的交接班信息交流不充分夜班的開車過程在分控室進行規(guī)程中沒有在兩個控制室開車的規(guī)定沒有政策、程序或要求防止在不同控制室進行開車操作沒有正式的交接班政策或要求內(nèi)操之間沒有充分交流塔和設(shè)備信息沒有在不同班次之間進行開車操作的程序2.CSB事故原因分析液位報警器失效開車前沒有檢查報警器問題一直沒有解決生產(chǎn)壓力值班長拒絕延遲開車的要求沒有遵守開車程序沒有進行開車前安全檢查2003/04年工作指令已關(guān)閉，但沒有維修泄漏截止閥無法進行在線維修機械完整性培訓(xùn)不清楚哪個開車程序有效設(shè)計系統(tǒng)具有自動完成指令關(guān)閉功能溝通中斷沒有確認(rèn)維修完成就關(guān)閉了工作指令工作指令沒有列入TAR單軟件系統(tǒng)沒有跟蹤指令完成情況的功能2.CSB事故原因分析生產(chǎn)壓力沒有規(guī)定要求在開車前修好轉(zhuǎn)換器對轉(zhuǎn)化器讀數(shù)不準(zhǔn)的危害認(rèn)識不足液位轉(zhuǎn)換器失效管理人員決定開車以后維修液位轉(zhuǎn)換器已知的失效液位轉(zhuǎn)換器在檢修過程中沒有維修工藝改變沒有更新工藝安全信息儀表數(shù)據(jù)單不正確液位轉(zhuǎn)換器校正密度不正確無中心數(shù)據(jù)庫或數(shù)據(jù)單倉庫數(shù)據(jù)單不易得到液位轉(zhuǎn)換器未校正到正常操作條件下的液體密度最近沒有校正液位轉(zhuǎn)換器截止閥泄漏無法校正玻璃管視鏡臟預(yù)防性維修2.CSB事故原因分析2001年變更管理建議在開車過程中增加員工內(nèi)操負(fù)責(zé)三套裝置生產(chǎn)操作，工作負(fù)荷大集團公司減員壓力降低成本減少開支2.CSB事故原因分析安全文化商業(yè)氛圍資源共享員工素質(zhì)組織機構(gòu)核心價值行為準(zhǔn)則3.安全文化3.安全文化a.商業(yè)因素缺乏對德克薩斯煉油廠商業(yè)發(fā)展優(yōu)先的定義和充分理解。調(diào)查組不能確定煉油廠在主要生產(chǎn)過程中具有安全優(yōu)先的觀念，也不能確定其長遠規(guī)劃。煉油廠重視環(huán)境保護和人身安全，不重視生產(chǎn)工藝安全；整個組織機構(gòu)缺乏生產(chǎn)工藝安全管理的理解；沒有優(yōu)先考慮員工的個人發(fā)展，對其培訓(xùn)不充分；員工們認(rèn)為沒有前途。造成整個煉油廠內(nèi)部缺乏工作動力，監(jiān)督/管理工作的目標(biāo)不明確，沒有清晰的獎勵機制，員工和承包商之間、員工和管理者之間缺乏信任，思想狹隘，不愿意接受外部的先進事物。

安全優(yōu)先安全是通過良好的生產(chǎn)操作來實現(xiàn)，并通過正確的安全文化和價值觀得以加強。很多受訪者指出安全問題似乎并沒有被優(yōu)先考慮，特別是和成本管理相比，如曾考慮對F-20進行改進，將其聯(lián)入火炬系統(tǒng)，但由于更為關(guān)注的是環(huán)境達標(biāo)問題而被取消。盡管領(lǐng)導(dǎo)層強調(diào)“安全第一”，但事實并不表明如此，很多員工也并不相信，領(lǐng)導(dǎo)很少出現(xiàn)在工作場所。很多物料失控事故和生產(chǎn)過程的嚴(yán)重偏離沒有報告和調(diào)查。對操作人員和管理人員的培訓(xùn)和發(fā)展計劃非常少，甚至沒有。

3.安全文化c.機構(gòu)復(fù)雜德克薩斯煉油廠規(guī)模大，布局復(fù)雜，為了管理這么一個大廠，整個組織機構(gòu)內(nèi)部層次多、界面多，且頻繁變動，橫向和縱向責(zé)任不清，信息交流不暢，各種各樣委員會使工作環(huán)境變得更加混亂。大量事例顯示出了各部門之間責(zé)任的不明確性，當(dāng)問到誰負(fù)責(zé)異構(gòu)化裝置和NDU裝置之間拖車的停放工作時，得到的答案五花八門。沒有證據(jù)表明分餾塔開車時和鄰近的裝置進行了溝通。交接班負(fù)責(zé)人會議是非強制參加的會議，被壓縮到大約15分鐘內(nèi)。培訓(xùn)實踐方面投入不足，導(dǎo)致領(lǐng)導(dǎo)個人水平低下

3.安全文化d.危險預(yù)見差由于危險預(yù)見能力差，從而能夠容忍很大的風(fēng)險。這在很大程度上是由管理人員和員工缺乏風(fēng)險辨識能力所致，再加之對生產(chǎn)工藝安全缺乏了解。沒有任何正在施行的、面向操作人員和監(jiān)督/管理人員的關(guān)于生產(chǎn)過程風(fēng)險辨識的培訓(xùn)計劃，以前的培訓(xùn)也沒有得到有效的更新。沒有制定出有效的計劃來系統(tǒng)性地降低煉油廠中存在的風(fēng)險。廠區(qū)內(nèi)大量停放機動車輛，員工對事故習(xí)以為常，生產(chǎn)過程中出現(xiàn)異常時缺乏報告，不按照程序開車，關(guān)鍵環(huán)節(jié)監(jiān)管人員不到現(xiàn)場等，都表明了對高風(fēng)險的容忍，也就無法預(yù)見生產(chǎn)過程中的工藝危險。

3.安全文化e.缺乏預(yù)警各項安全措施中首要關(guān)注的是職業(yè)安全措施，例如可記錄的工傷和損失工時的工傷。對人身安全的關(guān)注使人們覺得工廠中的安全度在提升。沒有顯著的關(guān)注工藝安全的措施，例如對失控事故的后續(xù)指標(biāo)、烴反應(yīng)引發(fā)的火災(zāi)、以及工藝過程失常等。未能對失控事故和生產(chǎn)過程中的事故引起足夠的重視，甚至對其中的很多事故沒有報告或進行調(diào)查，從而無法提出改進措施。調(diào)查組復(fù)查了大量的審計報告，發(fā)現(xiàn)這些審計只是例行公事。這些審計關(guān)注的多是程序文件。除“Big4”安全工作制度審查之外，沒有任何審查程序文件落實情況。3.安全文化三、改進措施改進措施人員管理設(shè)計施工基層體系事故管理操作程序生產(chǎn)控制1.領(lǐng)導(dǎo)層通過有感領(lǐng)導(dǎo)，確保員工能盡職盡責(zé)，遵守程序規(guī)定。制定清晰、明確的責(zé)任制度和指揮系統(tǒng)機構(gòu)圖。為重大災(zāi)難事故制定明確的預(yù)防指標(biāo)和后果指標(biāo)，提供明確的測定法，并用來管理操作。為檢修人員高工作量期間制定計劃必須考慮疲勞影響。詳細(xì)規(guī)定領(lǐng)導(dǎo)層和監(jiān)管層工作內(nèi)容、應(yīng)盡的責(zé)任和義務(wù)，包括發(fā)出緊急警報的明確規(guī)定。工廠管理人員必須明確并傳達在生產(chǎn)和成本方面優(yōu)先考慮安全的方針，同時必須確保有足夠的資源和投資用于工廠全面管理和風(fēng)險規(guī)避。重新考慮生產(chǎn)線管理優(yōu)先權(quán)，以使管理組成員能有更多時間深入到車間，并定期鼓勵員工進行面對面的溝通。（一）人員管理（一）人員管理1.領(lǐng)導(dǎo)層（續(xù)）在整個工廠范圍內(nèi)進行高級安全復(fù)核（ASA），要設(shè)定明確的目標(biāo)，根據(jù)各級需要進行全方位培訓(xùn)。制定、預(yù)算并實施工廠風(fēng)險降低計劃，應(yīng)包括對重大風(fēng)險的重新評估。確保所有工作與工廠優(yōu)先權(quán)一致，鼓勵改進計劃和控制機制，保持以優(yōu)先權(quán)為中心。制定并執(zhí)行一項行動計劃以改善與執(zhí)法機構(gòu)的關(guān)系，使該工廠從職業(yè)安全與衛(wèi)生管理局的強制執(zhí)行計劃中除去。建立各種機制，公開鼓勵將BP公司最好的制度引進到德克薩斯煉油廠，例如安全黃金法規(guī)。（一）人員管理2.監(jiān)管人員監(jiān)督人員在交接班時必須在裝置現(xiàn)場，以確保操作程序是正確的和最新的。另外，在裝置開車和停車的關(guān)鍵環(huán)節(jié)，管理人員交接班時必須在場，值班長必須在整個操作過程中不離現(xiàn)場。必須始終保持指揮環(huán)節(jié)的暢通，指揮系統(tǒng)的任何變更都必須經(jīng)生產(chǎn)交付領(lǐng)導(dǎo)人掌握和批準(zhǔn)。（一）人員管理3.工廠環(huán)境

在工廠內(nèi)部重新樹立員工的信心，制定并執(zhí)行計劃來增強員工的工作動力，并將員工獨立調(diào)查分值作為監(jiān)督工作的評估。將安全和員工管理作為評估管理工作時優(yōu)先考慮的對象。使員工相信工廠對安全的關(guān)注將會增強，而且不用擔(dān)心對存在安全隱患的操作提出質(zhì)疑會遭到報復(fù)。建立確認(rèn)機制以確保操作工序的徹底完成而不只是簽字結(jié)束。詳細(xì)規(guī)定員工升至監(jiān)督職位或更高的管理職位要求，員工升任后應(yīng)確保清楚掌握指揮系統(tǒng)，將事故發(fā)生率降至最低。除加強工廠內(nèi)部信息交流之外，還要宣傳和積極鼓勵更廣泛的公開對話，以確保能夠及時發(fā)現(xiàn)并解決工廠中存在的問題。（一）人員管理4.員工業(yè)績通過制定員工工作業(yè)績評估和發(fā)展計劃，來完善整體性員工能力評估（包括工作技能、工作態(tài)度和工作表現(xiàn)），從而提高員工的工作技能和工作業(yè)績。由監(jiān)督/生產(chǎn)管理人員在第三方監(jiān)督之下進行該評估。同時還應(yīng)將員工工作業(yè)績評估和資格評估列入員工工作業(yè)績發(fā)展計劃之中。（一）人員管理5.資源因為很多人身兼多職，或臨時遷升他職而沒有完全承擔(dān)所有責(zé)任，所以要進行獨立、全面的員工配備研究，準(zhǔn)確估算出所有支持部門的人員。特別是在生產(chǎn)工藝安全、培訓(xùn)和HSE領(lǐng)域。確定需要增加員工的情況，例如，需要兩名監(jiān)督人員或兩名操作人員。在整個工廠范圍內(nèi)為全體BP司員工和合同工制定加班制度，例如，規(guī)定每日最長加班時長、每周最長加班天數(shù)以及每月最長加班天數(shù)。（一）人員管理6.溝通建立每天召開工作會議制度，并規(guī)定必須出席和參加人員，因為當(dāng)前交接班負(fù)責(zé)人召開的會議效率低下，而且首要關(guān)注的是商業(yè)問題。明確規(guī)定出如何交接班，應(yīng)注重面對面溝通，并復(fù)查所有正在進行的書面操作程序。建立至少兩個明確的機制，確保某裝置開車時通知臨近的裝置/人員。制定明確的政策，及時將某裝置開車的情況上報。進一步完善德克薩斯煉油廠主頁建設(shè)，為用戶創(chuàng)造一個友好的界面和穩(wěn)定的格式。（一）人員管理7.操作員完善對控制臺操作人員崗位和工作環(huán)境的人員影響因素評估，確定差距，進行工作輪換優(yōu)化，確保控制臺操作人員在戶外工作中保持操作清醒。保證控制室不受外部干擾。（一）人員管理8.培訓(xùn)對所有的ISOM培訓(xùn)進行復(fù)查，確保是最新的和正確的。制定并實施一項危險判別計劃來提高德克薩斯煉油廠員工對危險判斷的了解和技能，這包括潛在的災(zāi)難性危險和不同裝置同時運行。制定一套系統(tǒng)培訓(xùn)方案，涵蓋對各級員工培訓(xùn)的明確要求對全體員工進行生產(chǎn)工藝安全培訓(xùn)來提高他們對PSM，特別是對危險/風(fēng)險判別、并行生產(chǎn)過程、MOC和相關(guān)規(guī)定的理解和掌握。對PHA領(lǐng)導(dǎo)人和MOC領(lǐng)導(dǎo)人進行強化危險分析培訓(xùn)。提供生產(chǎn)過程模擬，合并對控制臺操作人員、工藝技師和值班長的培訓(xùn)，并用來增加對戶外操作人員的培訓(xùn)。為培訓(xùn)部門提供足夠的資源，并確保培訓(xùn)協(xié)調(diào)員不會因為執(zhí)行其他任務(wù)而脫離崗位，預(yù)算要充足而且要用于培訓(xùn)工作。（一）人員管理8.培訓(xùn)增加教室和現(xiàn)場培訓(xùn)，進一步強調(diào)異常/故障檢修訓(xùn)練和演練、理解和能力的表現(xiàn)，而不僅僅是通過VTA測試。要確定對演練的明確目標(biāo)，演練過程中需要一名觀察員以確保在不斷改進中吸取經(jīng)驗。確保所有的臨時升任人員和代職人員和接替人員具有與被代替人員相同的工作能力，并確保由負(fù)責(zé)生產(chǎn)的管理人員進行MOC分析。制定一個新上崗工程師PSM培訓(xùn)計劃，并分派一名輔導(dǎo)員。用新的工程師作為抄寫員，這樣他們可以學(xué)習(xí)工藝和風(fēng)險。（一）人員管理9.機構(gòu)精簡機構(gòu)，明確責(zé)任，重點關(guān)注施工、維護