美国路易斯安那州的Sonat勘探开发公司的油气生产设施发生一起灾难性的容器失效和火灾事故
一、事故简介
2.1 Sonat公司 图2：原油分离流程简图 每一套油气分离装置都包括3台串联的分离器，设置多台分离器的目的是最大化天然气回收量。一级分离器和二级分离器的最大允许操作压力分别是9.9MPa和3.4MPa，当压力超过其最大允许操作压力时会启动位于分离器顶部的泄压阀。一级分离器和二级分离器的实际操作压力稍低，分别为6.2MPa和1.6MPa。三级分离器（虽然Sonat公司将这个失效的容器称作“蒸汽回收塔”或“储罐”，但是CSB调查组认为该容器实际上符合油气分离器的定义，称其为三级分离器的原因是它位于一级分离器和二级分离器的下游）的最大允许操作压力为常压，也是正常运行时的压力。由于物料通过一系列分离器时压力下降，物料中天然气的溶解度随之降低，分离回收的天然气比例增大。 前两级分离器设计是用于三相（油/气/水）分离，而三级分离器设计是用于两相（油/气）分离。油井物料在前两级分离器内的停留时间足以实现油相和水相的重力分离，分离器出来的天然气直接进入天然气管线，生产水直接注入地层或者暂存在储罐中。油相从一个分离器进入下一个分离器，最终进入储罐，通过槽车运至炼油厂。天然气经压缩后通过管线送到天然气处理装置。 测试装置和量产装置的三级分离器都是13.7m高，直径为1.2m，如图3所示。运行过程中，容器内存料约为80%，油井物料从约10.7m高位置进入分离器，分离的油相从约1.0m高位置出来。残余的天然气从油相中出来并在分离器顶部聚集，通过压缩机，然后与二级分离器出来的天然气汇合。 图3：三级分离器示意图 3.1 事故发生前 1998年3月4日，Sonat公司计划利用新建的量产分离装置开始Temple24-1井的生产。在正式生产前，量产装置的设备以及连接油井和设备的3200m长的管线需要进行吹扫，排出设备及管线内的空气。吹扫是油气生产工艺中的常规操作，目的是降低可燃油气造成的爆炸风险。在这次事故中，吹扫操作是通过使用其中的1口油井采出的高压井流置换设备内的空气，被置换的空气从一个敞开的储罐孔口处释放出来。当系统内的空气浓度足够低时，设备将封闭，准备开始生产。 Sonat公司监督决定通过2个阶段执行吹扫过程：（1）使用附近的Temple22-1井产流体吹扫量产装置设备；（2）使用Temple24-1井产流体吹扫连接Temple24-1井和装置的3200m长管线。每次吹扫都需要操作一系列的阀门。第一次吹扫操作（量产设备的吹扫）在事故当天的下午顺利完成。 3.2 事故发生 量产装置设备吹扫操作完成后，开始准备吹扫连接24-1井的3200m长管线。如图4所示，他们的吹扫方案如下： 由24-1井至量产装置（打开：阀1；关闭：阀23、阀24、阀26）； 由量产装置至储罐，旁通分离器和原油冷却器（打开：阀8、阀9、阀10、阀11、阀12、阀13，阀16；关闭：阀2、阀3、阀4、阀5、阀6、阀7、阀14、阀15）； 经过储罐，从敞开的顶部孔口出去（打开：阀17、孔口21；关闭：阀18、阀19、孔口20） 图4：最终的阀门设置方案 执行这个吹扫方案，至少需要手动重置11个阀门，这个过程没有书面操作程序和阀位检查表。大部分阀门是手动操作的球阀，阀12是一个通过位于三级分离器内部的液位计启动的气动阀门。该设备出现高液位时，会自动打开阀12，允许流体旁通分离器（在邻近的手动球阀11和球阀13打开的情况下）。3月4日上午，操作人员断开了连接阀12的仪表气，导致之后阀12一直处于打开状态。 当施工监督和操作人员重置了上述阀门，管线吹扫操作开始进行。Sonat公司生产监督和一名操作人员位于24-1井的附近，与施工监督通过无线电保持沟通。下午5:10，生产监督指挥操作人员打开阀22（位于油井下游的节流阀），引导流体进入3200长的管线。根据预测，初始井流将主要是天然气，后期将是天然气、油和水的多相混合物。Sonat施工监督位于阀23附近，他打开了这个小阀门，使用移动式氧气检测仪测试排出气体中的氧气浓度，氧气浓度的下降表示出吹扫操作的进度。 随着吹扫操作的进行，根据监测，阀23处的氧气浓度开始下降，施工监督关闭了阀23。他每隔几分钟打开阀23，继续定期检测氧气浓度。下午6:00左右，根据压力表27的显示，阀22下游压力约5.5MPa。下午6:10，施工监督最终检测到的氧气浓度低于3%，表示吹扫过程已接近完成。随后他乘坐汽车去检查一个距离约90m远的管线阀门的阀位，此时，之前在24-1井附近的生产监督开始开车回装置，指挥量产装置的开车操作。 下午6:15左右，量产装置的三级分离器发生灾难性的失效，从破裂的分离器中泄漏出来的可燃气体立即被点燃，在分离器位置上部形成巨大火球。位于分离器附近区域的4名操作人员当场死亡，1名距离分离器约60m的操作人员被爆炸冲击波推出2m远，施工监督从汽车里出来时也受到轻伤。 一名幸存的承包商操作人员立即启动应急关断设备，自动关闭了正向测试装置供料的22-1井。Sonat施工监督立即使用无线电指挥操作人员关闭24-1井，并向Sonat生产监督报告。施工监督然后开车去关闭了天然气计量管线阀门。虽然设备失效后24-1井很快被关断，但是3200m长的管线内还存有大量的高压天然气。天然气持续从被破坏的管线中泄漏出来，严重阻碍了火灾控制行动。应急人员最终于晚上9:47成功扑灭所有火灾。 4.1 初始事件 根据事故后对现场情况的调查发现，与计划中的阀门设置情况不同的是，阀11和阀13实际上处于关闭状态。在这两个阀门关闭的情况下，吹扫气不能按计划排放到大气中，如图5所示。三级分离器没有入口阀，导致设备出现超压。事故发生前，节流阀下游压力约5.5MPa。 图5：阀门设置情况对比分析 三级分离器设计上只能用于常压操作，吹扫气形成的高压突然导致容器发生灾难性的失效，三级分离器破裂时有4名作业人员位于其12m范围内。 目前不能确定设备发生失效时的真实压力，制造商针对分离器只在0.14MPa压力下进行过测试。CSB调查组委托OakRidge国家实验室对该分离器进行了理论研究，通过基于有限元方法的应力分析，发现当内部压力达到0.94MPa及以上时，分离器将发生失效。OakRidge国家实验室进行另一次工程设计分析预测失效压力约为1.4MPa，而事故后Sonat公司评估失效压力为2.6MPa~2.8MPa。但是，所有这些评估数值都是基于设备的设计图纸进行的，没有考虑到实际情况下下材料、尺寸和焊接质量等因素的影响。 同样，阀11和阀13的关闭时间也不能完全确定。这两个阀门在事故当天上午还处于打开状态，但是在下午早些时候（量产装置分离器吹扫前）被关闭。在事故当天，这两个阀门没有被持续监控。很可能在最终吹扫过程前这两个阀门没有按计划被重新打开，并保持关闭状态，直到设备最终超压失效。或者，这两个阀门可能在最终阀门设置时被打开了，只是后来又被手动关闭了。 4.2设备设计、安装和操作 三级分离器设计和安装方面存在的缺陷是导致此次事故的一个重要原因。可能暴露在超压危险（因为人为失误或机械失效）情况下的设备应：a）设计上能承受超压条件；或者b）安装合适的泄压系统。一套合适尺寸的泄压系统本能够阻止此次事故的发生。 API推荐标准规范涵盖了不同类型油气生产和炼化方面的应用。三级分离器符合ANSI/API12J-1992“油气分离器规范”，该规范包括了关于油田类型的油气分离器和油气水分离器的设计、建造和出厂检验的最低要求，规范中要求所有的分离器（不考虑尺寸和压力）都应安装压力保护设备，并根据ASME标准要求设置，分离器投入使用前应提供超压保护措施。 API 521“压力释放和减压系统指南”提供了更广泛的指导要求，API521列出了设备需要考虑的一系列超压场景，16个超压场景的第1个就是“容器上的封闭出口”。 Sonat公司制定了自己的泄压阀标准，建立了泄压阀及附属管线的规格、安装、维护及测试的统一要求。标准要求：应根据良好的工程规范，考虑失效的可能性和失效后果，使用泄压阀，API520可以作为泄压阀和附属管线安装的指导规范。 Sonat公司把失效的设备称作“蒸汽回收塔”，因此不属于API关于分离器标准的范围。Sonat公司把蒸汽回收塔归类为储罐。CSB调查组审查了这个问题，最终认为这个设备实际是一个分离器，因为： 设备只有一个天然气和原油混合物的入口管线，但是有两个独立的天然气和原油的出口管线，进行了两相的分离； 设备设计上不是用于固定储存原油的，相反，原油只是暂时储存在设备中，然后持续流入真正的储罐中； 设备在量产装置内的位置（在二级分离器和储罐之间）符合低压、两相分离器的角色； ANSI/API12J-1992把分离器定义为：油田使用的用于把液相从气体组分中除去的设备，分离器可以是两相的或者三相的。 在量产装置投产前，三级分离器本应根据API标准要求安装一套泄压系统。 另一个设计缺陷是三级分离器上游缺少入口切断阀。这样一个切断阀本能够把分离器与造成设备失效的高压吹扫气隔离开。三级分离器油相出口管线上的切断阀（阀15）可以实现分离器和储罐的隔离，而储罐顶部的孔口是一个排空泄压的可能途径，但是事故发生时，阀15是关闭的。三级分离器还有一个去气压机的出口管线，进入气压机的多余物料会排入火炬放空。但是，气相出口管线上也安装了一个切断阀（阀14），事故发生时，气压机处于停用状态，而且阀14处于关闭状态。 4.3工程设计审查 Sonat公司在装置的设计和建设过程中使用的是自己的工程师和咨询师，Sonat公司声称其工程师都去了22-1井现场，不幸的是，这些人没有发现蒸汽回收塔上的阀门错误问题。 Sonat公司在装置开车前进行的一系列活动没有形成有效的工程设计审查过程，一个有效的审查过程应包括至少一次在装置设计过程中进行的书面危害分析。危害识别应提出需要进行设计变更，或者有书面的回复，说明识别出的危害未被处理的原因。这个过程需要不同专业人员（包括设计工程师、工艺工程师和装置操作）的参与。设计审查过程本应提前发现并修正设计上的缺陷，包括缺少泄压阀、阀位不正确和不符合分离器设计与安装规范。在这起事故中，由于缺少正确的工程设计图纸，设计审查过程没有正确执行。 4.4操作规程 Sonat公司的书面安全操作规程涵盖了常规主题，例如进入受限空间、设备挂牌上锁等。但是，对于油气生产装置，Sonat公司没有制定书面的操作规程。Sonat公司表示更喜欢通过口头指令培训和指挥装置操作。因此，操作人员没有得到任何关于特定生产活动的书面操作规程，例如测井、装置开车、设备吹扫和分离器操作等。设备操作的程序由有经验的操作人员口头告知新员工。 书面的操作规程可以促进安全、高效的作业，还可以降低人员失误的可能性，避免造成事故。这套油气生产装置设置了很多手动操作的阀门，为了装置的安全开车，必须正确设置阀门的状态。对于非常规操作，例如装置开车或吹扫，制定书面的操作规程是非常重要的。书面操作规程（包括检查表、图表、多个操作人员之间的信息反馈等）可以降低人员失误的可能性，预防造成灾难性的后果。 4.5员工培训 Sonat公司的人员培训项目包括三部分：特定作业培训、月度内部安全会议和外部培训。特定作业培训是员工学习生产装置操作技术的最基本途径，Sonat公司高级员工为新员工提供培训。Sonat公司员工还参加每月的安全会议，包括安全培训。每次参会的人员会被记录。会上会分享学习近期发生的事故和关于风险沟通、泄压阀和设备挂牌锁定等主题的课程。另外，一些员工还会参加外部培训课程，例如压力容器操作、危险废物操作和应急响应、急救等。 Sonat公司没有建立特定作业培训的评估程序，可能导致员工接受错误的、不安全和不完整的操作规程培训，以及不理解传递给他们的信息。 4.6管理问题 如果Sonat公司油气生产设施更好、更有效地遵循了过程安全管理原则或者好的工程实践，这起事故是可以避免发生的。油气生产设施需要处理大量的可燃和有毒物料。处理类似危险物料的设施（例如炼油厂）要符合OSHA过程安全管理标准（29CFR 1910.119）的要求，标准中的2个关键要素（工艺危害和书面操作规程）是Sonat公司事故暴露的两个关键问题。 除了过程安全管理标准，还有许多其他关于良好过程安全实践的信息，包括美国化工过程安全中心的出版书籍和美国石油学会的推荐标准规范。例如，API750涵盖了过程安全的很多重要方面，包括工艺危害分析、工艺安全信息（包括工艺流程图和PID）、书面操作规程、操作人员培训和符合性审核等。 5.1根本原因 (1) Sonat公司管理层没有向操作人员提供关于装置开车和设备操作的书面操作规程。 在这起事故中，三级分离器被暴露在远超其最高允许操作压力的压力下，导致设备发生灾难性失效。在设施设计过程中，本应该进行正式的工程设计审查过程。Sonat公司在没有工艺设备设计图纸的情况下建造了生产设施。在没有正确的工程设计图纸的条件下，不能有效地进行设计审查，也不能进行有效的危害分析。 正式的设计审查和危害分析过程能提供更好的机会，分析可预见的与正常操作程序发生偏离时的后果，这一过程很可能识别出三级分离器发生灾难性超压的危险，发现设置泄压系统的必要性。 (2) Sonat公司的工程规范没有确保可能暴露在超压危害条件下的设备得到泄压装置的充足保护。 发生失效的设备符合的两相油气分离器的定义，设计上应满足相关的行业标准中关于压力泄放的要求。例如，ANSI/API12J-1992“油气分离器规范”要求分离器应安装压力泄放装置。 5.2间接原因 (1) Sonat公司管理层没有向操作人员提供关于装置开车和设备操作的书面操作规程。 装置运行的每个阶段都应制定相应的书面操作规程，针对吹扫作业，应采用书面检查表和图表验证各个阀门阀位设置的正确。 （1）Sonat公司应根据良好工程实践，针对所有的油气生产设施开展正式的工程设计审查过程和工艺危害分析。 （2）Sonat公司应建立相应程序，确保所有的可能存在超压危害的油气生产设备均安装合适的泄压系统。 （3）Sonat公司应针对油气生产设施制定书面操作规程，并确保所有的工作人员（包括承包商员工）都接受操作规程的培训，确保操作规程至少涉及了吹扫作业和开车操作，并提供了工艺相关的危害信息。 （4）API应制定并发布关于油气生产设施安全开车和操作的推荐标准规范，规范至少应涉及以下方面：项目设计审查过程（包括危害分析）、书面操作规程、员工和承包商培训和所有可能存在超压危害的设备的压力泄放要求。
来源：化工过程安全管理