BP德克萨斯州炼油厂爆炸事故最详细的分析报告，每一个安全人都该收藏！

目前很多企业都是执行HSE管理体系，把零伤亡作为企业安全管理的目标，所以我们管理的重点自然而然就变成对人身安全的管理，但是对诸如操作工违反操作规程进行操作、报警的次数、联锁触发的次数、安全阀起跳的次数，以及企业内出现的泄漏事故关注的相对较少，但是这些看似微不足道的隐患往往最后导致了重大的过程安全事故的发生。所以我们需要重视过程安全管理，重视过程安全管理的绩效。本文通过CSB对美国BP德克萨斯州炼油厂火灾爆炸事故的分析，提出了企业应重视过程安全管理和过程安全管理绩效，并阐述过程安全管理绩效的划分和目的。

2005年3月23日13时20分左右，英国石油公司(BP)位于美国德克萨斯州(Texas)的炼油厂异构化装置发生了严重的火灾爆炸事故，该事故为美国作业场所近20年间最严重的灾难。事故造成15人死亡，180余人受伤，爆炸产生的浓烟对周围工作和居住的人们造成不同程度的伤害，直接经济损失超过15亿美元。   　

视频还原事故经过

德克萨斯州的炼油厂是BP公司最大和最复杂的炼油厂，每天生产汽油产量达1000万加仑（约占整个美国汽油销售总量的2.5%）。此外，它还生产喷气式发动机燃料、柴油燃料和化学原料。炼油厂有29个炼油工艺装置和4个化工装置，占地1200英亩，拥有1800名BP正式员工，事故发生时另外有大约800名承包商员工在现场，正在进行检修作业。

事故发生在德克萨斯州炼油厂的异构化装置检修后的开车阶段，异构化装置建于1980年，为了生产高辛烷值的无铅汽油，该装置由四部分组成：超细脱硫器、戊烷和己烷反应器，蒸汽回收/液体循环装置和残液分馏塔，异构化工艺就是在不移除或加入任何原子情况下改变原子排列，将直链的戊烷和己烷转变成高辛烷值的异戊烷和异己烷进行汽油调和。该精馏塔接收来自芳烃回收装置（ARU）的非芳烃物料，然后将其分馏成轻组分和重组分。残液分离装置包括一个进料缓冲罐、蒸馏塔、加热炉（加热炉分两部分，一部分给精馏塔再沸器加热，一部分给塔进料预热）、空冷器、回流罐、泵和换热器。总残液的40％都在塔顶作为戊烷和己烷轻组分残液而回收，并作为异构化装置的原料。剩余的重组分残液被用作烯烃裂解的原料，用以生产普通的无铅汽油。 

残液精馏塔一个立式精馏塔，内径3.8m，高52m，满塔容积为586.1m³，塔内安装有70层塔盘。

图1：残液精馏流程简图

残液通过泵从残液精馏塔的中间位置进入塔内，在进料管线上有自动流量控制回路，进料需要先通过换热器与残液精馏塔塔底出料进行换热然后在送至加热炉再次加热，精馏塔塔底重残液通过塔底泵，一部分去塔底再沸器进行加热后返回塔底，一部分给进料换热后再经过水冷却器后至规定温度后送至储罐，采出量根据塔底液位自动调节，以保证塔内液位的稳定。精馏塔装有一个液位远传，在DCS上显示，液位远传能指示塔内1.5m-2.7m的液位，精馏塔也装有两个独立的液位报警，一个报警值设置为72%（约2.3m高液位），另一个是液位报警是开关形式，报警值为78%（约2.4m高液位），精馏塔也设有低液位报警。   　　

塔顶的气相进入距塔底约8m高的空冷器进行冷凝，冷凝的液体进入回流罐，回流罐在正常生产期间进行满罐操作，回流罐的液体通过回流泵一部分从塔顶的第一块塔盘回流回塔，一部分采出经过冷却后去储罐，回流罐也设有液位高低报警和一个设定值为483Kpa的安全阀，安全阀设有旁通管线，旁通管线连接至装置的放空系统，在开车期间，不凝气、氮气等通过安全阀的旁通管线放空。    　　

为了保护精馏塔不超压，在塔顶气相管线上安装有3个并列的安全阀，安全阀出口连接至放空罐，放空罐设有一个高点放空烟囱。安全阀的设定压力分别为276Kpa、283 Kpa、290 Kpa，安全阀设有旁通阀，用于放空不凝气和系统放空。放空系统收集异构化装置的所有放空气，放空气先在放空罐中进行分液，然后高空排放。精馏塔的放空管线外径356mm、约270m长。

图2：放空总管

放空气中携带的液滴或冷凝下来的液体在放空罐底部集聚，放空罐内径3m、高8m，放空罐上有一个直径860mm，离地面高36m的烟囱直接对大气排放，放空罐中设有7块挡板，以便分离放空气中携带的液滴。放空罐底部管线上设有一个液封（见图3所示），以保证放空罐中有一定的液位，液封出口管线上设有一个手阀排放至地沟，这个手阀平常处于铁链锁开状态。见图4所示。在放空罐底部还有一根排静管线，管线上的手阀处于常关。放空罐上设有液位计以便监控液位，同时当放空罐中的液位到液封的高度时会有高液位报警。

图3：放空罐及液封

图4：液封及锁开的手阀

与异构化装置毗邻的芳烃回收装置还处于维修阶段，有大量的承包商参与维修作业，在异构化装置的西边有很多的活动板房，离放空罐距离约37m，维修作业的承包商在活动板房中办公、洗衣、更衣和淋浴。

图5：异构化装置周边布置图

在异构化装置开车前，刚刚完成了检修作业，在检修的过程中操作工分成两组进行倒班，每班工作12小时，计划在开车正常后恢复正常的倒班时间。   　　

BP有严格的开车前管理程序，其中要求在维修作业后开展开车前检查（PSSR），在事故发生两年前已经在维修作业后开展PSSR，但是由于工艺安全协调员对异构化装置不熟悉，所以在开车时没有开展PSSR。   　　

在开车前的设备检查过程中，残液精馏塔的关键仪表和设备被查出存在故障，在检修的过程中操作工指出塔底的液位远传及现场的视镜存在问题你，但是由于检修时间紧迫，只是对液位计的隔离阀进行了更换，计划等开车后再各阀门后再进行维修。

操作人员也发现回流罐上的压力控制阀存在故障，DCS对阀门进行操作，但是现场发现阀门根本没有动作，报告给直管经理时，并没有下工作单进行维修，并且在开车前直管经理还签字确认了所有的仪表都经过了测试。

3月22日夜班班组得到了残液分离塔开车的指令，夜班班长在异构化装置的现场操作室进行开车前的灌塔操作，夜班内操做中控室进行另外两套装置的操作，夜班班长没有使用开车操作程序有没有对操作进行记录，这样导致下一班接班时没有任何记录文件。   　

约23日凌晨2:15，开始给残液精馏塔进料；   　

2:27   塔底液位在开始上升；   

2:44   内操打开了再沸器流量调节阀，以此建立再沸器循环并向再沸器回路灌入残液；   

2:55   所示液位掉回到3％，然后，分馏塔底部液位又逐渐开始上升；   

3:09   液位指示器的开始高液位报警，报警一直持续到事故发生，但是高液位报名开关一直没有报警，由于没有人意识到这个高液位开关没有报警存在故障，所以在操作日志上没有任何体现，在塔内液位计再沸器等设备灌液完成后，夜班当班人员停止了进料和塔底的循环泵，塔底的液位控制阀处于设置在关状态；    

5:00   夜班班长告诉主管和内操他要离开公司，简短的介绍了他在现场操作室都做了什么工作，在中控室的操作日志上写到“异构化装置已经完成了部分进料，请继续进料”；   

6:00   白班内操来接班，与夜班内操进行了交接，但是夜班内操并没有直接进行夜间进料的操作，所以对残液精馏塔的操作情况提供的信息很少，白班内操通过阅读操作日志，以为夜班只是给塔进行了进料，并没有意识到再沸器、管道已经完成了灌液操作；    

7:15   白班主管A到达异构化装置办公室，由于来的较晚，所以没有与夜班人员进行交接和沟通；   

9:27   塔内的压力降低到0Kpa，操作规程要求在塔进料时保证塔内的压力比较低，以防止在进料时到最后塔内压力上升。外操打开了塔顶安全阀旁通的8“手阀放空泄压。   

9:40   白班内操打开塔底的液位控制阀，并保持70%开度3分钟，约有12000bpd残液排出精馏塔，当内操关闭液位控制阀时，流量显示并没有变为0，但是流量计故障指示不对，实际上并没有残液排出精馏塔。   

9:51   内操开始启动塔底循环泵进行塔底循环，并给残液精馏塔继续进料，虽然此时精馏塔已经是高液位状态；   

9:55   操作工点燃了加热炉的火嘴，对进料进行加热，对塔底物料进行加热；  

10:10   20000bpd残液加入精馏塔，塔底流量计错误的显示4100bpd残液从塔底液位控制阀排出，但是操作工意识到液位控制阀是关闭状态，CSB根据相关证据确认，塔底是没有流量的，精馏塔只是进料没有出料；   

10:47   有丰富的异构化装置操作经验的白班主管由于家里临时有事离开了公司，副主管重要精力在ARU装置的开车，且他也没有异构化装置的经验；   

11:16   操作工点燃了加热炉的另外两个火嘴，此时精馏塔的液位指示为93%（约2.64m），但是CSB根据调查，塔内的实际液位约（20m）；   

11:50   操作工增加了加热炉的燃料气流量，塔底液位计指示为88%(2.6m)，并且液位还在下降，实际上此时塔内的液位为30m；   

12:41   由于塔内液位的上升以及进料塔内的氮气被压缩的导致塔内压力上升到228Kpa，操作工认为塔内压力上升是由于塔底加热温度过高造成的，外操打开塔顶安全的旁通手阀进行泄压；   

12:42   内操和白班班长认为应该降低加热炉的加热负荷，降低了加热炉的燃料气流量，此时液位显示为80%（约2.4m），但是实际液位约43m，内操给塔底液位控制阀开度为15%，并且在接下来的15分钟内5次开这个阀门，直到1:02分，这个阀门的开度为70%，实际上塔底残液采出直到12:59分才开始有流量；  

13:02   塔底采出的残液流量为20500bpd，与进料量相等；   

13:04   塔底采出的残液流量为27500 bpd，此时操作工不知道52m高的塔内的液位已经达到48m，但是液位计读数继续下降，此时降为78%（约2.4m）；

图6：13:04分塔内的实际液位为48m，但是DCS显示为78%约2.4m

13:14   由于塔内充装过多的残液且升温太快，精馏塔开始溢流，塔内液体进入塔顶的气相管线外流；精馏塔开始加热后，塔内顶部温度低，底部温度高，见图7中B所示，气泡和气化的气从塔底上升与冷的物料进行换热，气体凝结，残液被加热，在12:59分塔底开始采出残液时又通过进料预热换热器进一步给进料加热，导致在事故发生时塔内的绝大多数残液都被加热了，只是在塔顶还有少量的未被加热的残液，见图7中C所示。

图7：残液精馏塔的进料加热

由于残液从塔溢流进入塔顶气相管线，在管线内产生了液柱的静压加上塔内的压力超过了塔顶安全阀设定值，安全阀起跳后残液进入了放空系统，见图8所示，基于安全阀的设定值、事故发生后安全阀的测试和控制系统的数据，第一个安全阀起跳的时间在13:13:56，第二个安全阀起跳的时间在13:14:10起跳，第三个安全阀起跳的时间在13:14:14，在中控室和现场控制室的操作工都看到了精馏塔的压力上升到343Kpa；   

13:15   内操降低了加热炉的燃料气用量，内操认为塔内压力升高是不凝气太多或者缺少回流造成的；   

13:16   内操完全打开了塔底液位控制阀把塔底残液送至储罐；  

13:17   外操启动了回流泵；    

13:19   操作工通过步话机知道了放空罐烟囱溢流了，根据目击者描述，残液从烟囱喷出高达6m，在听到步话机报告放空罐溢流15秒钟后，内操和白班班长开始停止燃料气进料，事故后调查发现燃料气进料阀是在爆炸前5秒钟关闭的；   

13:20:04   数百个报警响起，导致操作工没有足够时间在爆炸前去启动紧急警报就发生了爆炸。   　　

从烟囱喷出的高温残液在烟囱周边扩散，当时时速为8km/h的西北风加剧了可燃气体的扩散，如图8所示，过火面积约18581m²。

图8：异构化装置周边的颜色深遭受了严重的火灾损坏，红色箭头指向的是放空罐烟囱顶部

虽然识别了很多潜在的点火源，但是最可能的点火源是停在距放空罐约7.6m并且没有熄火的柴油皮卡车，见图8所示，有许多目击者到了皮卡车的引擎蜂鸣声，其中有一名目击者称看到了皮卡车尾部的火花，并点燃了可燃蒸汽云，虽然多名证人证实皮卡车是点火源，但是不排除存在其他点火源的可能。

图9：异构化装置北面距放空罐7.6m的没有熄火的柴油皮卡车

可燃气被点燃后，火焰迅速传播到整个蒸汽云团，并导致了爆炸，基于爆炸区域内结构损坏及分析，爆炸冲击波的影响见图9所示。

图10：爆炸冲击波影响范围

着火爆炸最终导致在活动板房内或者附近工作的15人死亡，整个爆炸域内180人受伤，其中66人重伤，爆炸冲击波迅速波及了整个异构化装置，40个活动板房、70辆汽车20个储罐被炸坏，异构化装置北面1.2km范围内的房屋或商业玻璃杯震碎。

图11：放空罐西面的爆炸损坏的活动板房

CSB的事故调查人员在3月24日早上到达事故现场，研究了物证和现场，并采访证人，分析了以下引起爆炸的原因：  

技术方面

管理方面

BP德克萨斯州炼油厂的火灾爆炸事故是由多方面的原因造成的，其中CSB明确指出BP错误地依赖于低人员受伤率作为安全绩效指标，而没有做好过程安全绩效指标。本文着重分析过程安全绩效指标的问题。

在事故发生时，德克萨斯州炼油厂的HSSE部门下面有一个过程安全部，这个部门负责过程安全执行情况的监督，小组由1名经理和4过程安全工程师组成，过程安全小组负责开展所有装置的过程安全分析、设施选址研究、监督变更管理，也负责重要装置检修后的开车前安全检查，协调过程安全审核，并确定什么样的事故按照过程安全事故进行调查。   　　

过程安全小组计划跟踪超越安全操作极限的次数、但是在事故发生之前还没有来得及执行。    　　

在2004年9月BP集团炼油板块经理会的过程安全总结里把德克萨斯州炼油厂划分为高风险，总结中提出，BP炼油厂对过程安全事故的调查不够深入和彻底，德克萨斯州炼油厂很严重的问题是没有关闭PSM事故调查项，要求的关闭率为90%，但是2004年关闭率从2002年的95%降低到79%，工艺安全经理指出关闭率是从2003年把关闭率这一指标从计算奖金的公式中拿出后开始下降的，在2004年年底，德克萨斯州炼油厂只是关闭了33%的过程安全调查项，异构化装置为31%，2004年的PSM相关的计划只完成了40%。   　　

另外，从2004年的PSM审核结果可以发现PSM绩效在划分为尤其需要重点考虑的机械完整性、培训、过程安全信息、变更管理方面的得分很低，从2003年到2004年，不是由BP跟踪的过程安全绩效中的泄漏数据显示泄漏事故由之前的每年399起增加到607起。   　　

2000年BP的格兰杰莫斯炼油厂发生了3起事故，其中1起重大的工艺装置火灾事故和2起严重的人员受伤事故，英国健康和安全执行委员会（The U.K. Health and Safety Executive） 调查了事故并发布了重大事故报告，在报告中指出BP尤其需要重视过程安全绩效指标，因为人身安全指标不能 衡量重大事故的的风险。但是BP在安全管理中没有吸取这个教训，反而花费更多的精力去衡量和奖励人身安全绩效而不是过程安全，人身安全绩效对跟踪后果不严重，可能性高的事故很重要，但不是一个很好的过程安全绩效，就如过程安全专家特雷弗克莱兹（Trevor Kletz）说的 “损失工时率不是过程安全的衡量标准”。   　　

根据上面的分析，BP需要重视过程安全绩效指标，对我们国内企业也是一样的，我们国内企业很多没有过程安全管理或者有过程安全管理同样也是以伤害率作为安全管理绩效的标准，这也是国内一些重大过程安全事故频发的原因。

虽然BP的德克萨斯州炼油厂事故及BP的格兰杰莫斯炼油厂发生后，包括英国健康和安全执行委员会、CSB等机构认为BP需要更多的关注过程安全绩效指标，但是当时在行业里并没有合适的标准来协助企业进行过程安全绩效指标的管理。    　　

直到2010年4月，美国石油协会（API- American Petroleum Institute）发布了关于炼油与石化工业过程安全绩效指标的推荐标准（RP-Recommended Practice)，编号为：754，简称为RP 754。此标准由美国国家标准协会（ANSI-American National Standards Institute）多方利益相关者磋商编制，并以来自于API和美国化工过程安全中心（CCPS-Center for Chemical Process Safety）关于指标的初步指南为基础。RP 754标准十分重要，在全球范围内得到了下游及综合性石油企业的支持和采用。   　　

由于RP 754主要针对下游生产，国际油气生产商协会（OGP- International Association of Oil &Gas Producers）认识到有必要提供进一步的指南，以支持RP 754对上游生产的适用性，于2011年11月发布了适合上游石油勘探和生产企业的过程安全绩效指标的推荐标准，标号456，简称OGP456，帮助全球的上游生产企业做好企业的过程安全管理绩效。

重大事故很少由单一原因引起，而通常是由多重保护层失效同时发生并共同导致有严重后果的意外事件。这些保护层在这里由单个“瑞士奶酪切片”进行表示，包括管理体系、物理工程防护或其它为预防事件发生而设计的保护层。    　　

下图中孔洞的排列成线代表了多个“防护层”的失效并导致第一次层容纳失效（LOPC-loss of primary containment）事件。在我们的行业中，有复杂的控制装置可对LOPC事件进行检测并减轻其后果，但对这些“增加的防护层”的孔洞仍可排列成线，并发生火灾、爆炸或其它破坏性事件而导致严重伤害。

图12：奶酪模型

本模型可用于区分两种重要类型的关键安全绩效指标（KPI-Key Performance Indicators）。记录LOPC事件的数量或记录当一个或多个防护层同时失效时实际后果的指标定义为“滞后”指标。滞后指标也可用于估量防护层中孔洞的数量和大小来评估风险控制系统中的薄弱环节、缺陷或失效的程度。反之通过衡量企业保持优秀的风险控制绩效来检查防护层的强度就是“超前”指标。   　　

滞后指标通常可追溯并以结果为导向，而超前指标通常具有前瞻性。基本上，大部分LOPC事件仍属于失效但是不产生实际后果，滞后于后果，在预测产生严重后果的重大事故的可能性时轻微后果LOPC事件可以提供超前信息，因此，超前和滞后通常非常有用，但企业需要认识到某些指标可同时提供追溯性和前瞻性。可作为超前指标也可作为滞后指标的一个很好的例子就是‘未遂事件’。    　　

为了便于对过程安全事故进行统计，API754和OGP456把过程安全事故（PSE）分为4级，如图13所示。

图13：过程安全绩效指标金字塔

第1级工艺安全事故（PSE）是最滞后的业绩指标，表明危险实际上穿越了保护层中的孔，导致重大后果。在与低级别指标结合使用时，它能为一个公司提供一个其工艺安全业绩评价。第1级PSE是后果较大的第一层容纳失效（LOPC），是非计划或失控的来自工艺的物料释放。API754中第1级工艺安全事故进行了详细的规定和实例。第1级工艺安全事故等同于职业安全金字塔的死亡和重伤，但不再完全以事故造成的损失来衡量，而是只要危险物料发生泄漏，且泄漏量达到标准规定的阈值量或者事故后果达到标准规定的后果。   　　

第2级PSE代表后果低于第1级的LOPC事故。第2级PSE表明保护系统弱点，而且可以是未来更重大的事件的潜在预兆。从这种意义上讲，第2级事件能为公司提供学习和改进其工艺安全业绩的机会。第2级PSE代表一般性泄漏事故等同于职业安全金字塔的轻伤。衡量指标为只要危险物料发生泄漏，且泄漏量达到标准规定的阈值量或者事故后果达到标准规定的后果。第二级规定的阈值量或者事故后果比第一级规定的小一些。    　　

第3级PSE通常代表对保护系统的一种挑战。第三级事故等同于职业安全金字塔的未遂事件，衡量指标包括运行参数达到装置的操作极限，SIS动作，安全释放装置启动，机械停车装置启动，微量泄漏。这级指标提供一个附加的机会，以识别和纠正保护系统内的弱点。   　　

第4级指标表示单个风险控制防护层或其组件在设施管理体系以及操作纪律中的绩效。因为4级KPI反应的是与企业维护和改进其风险控制防护层有直接关系的措施，所以这些KPI通常更加超前和主动。第4级的运行纪律和管理体系绩效指标等同于职业安全金字塔底部的不安全行为与不安全状态。职业安全金字塔的不安全行为和不安全状态主要是指一线员工的不安全操作行为以及容易造成个人伤害的不安全的状态。第4级指标如：安全关键设备按时检查完成率；变更管理（MOC）和开车前安全审查（PSSR）对要求和质量标准的满足率；紧急响应演习按时完成率等。

过程安全绩效指标目的在于识别最终能导致重大后果的事件或条件。监测和分析过程安全绩效能使公司采取必要的纠正行动。过程安全绩效指标的目的有：    　　

过程安全事故可对企业的人员、环境、财产、名誉以及财务稳定性造成严重危害。对重大事故进行记录，并对其根本原因进行仔细分析，将为我们提供经验教训以便预防其再次发生。由于此分析是追溯的并且是以相对不频发的事件为基础，企业能依靠这些经验教训来预防重大事故。因此有必要拓宽分析范围，从后果不太严重的事件和管理系统的绩效中总结经验教训，并主动对预防重大事故的防护层进行加强。通过对与管理体系和其它行动有关的绩效进行内部监控和审核，来强化过程安全防护层并减少事故的发生。过程安全绩效指标是持续改进的基础；    　　

杜绝骄傲自满，重大事故发生的概率相对比较低，所以在人们的思维中很容易就认为其它轻微后果的风险“一切都正常“，过程安全绩效指标可通过数据体现出过程安全管理体系所需的关注以及来自未遂事件和不严重事件的警告进行随时提醒；   　　

通过将过程安全绩效数据作为基准与行业平均水平进行比较和通过与其他企业分享经验教训所获得的信息，对所计算的过程安全绩效是否符合或超过行业标准进行评估；

就过程安全的重要性与职工进行沟通通常有一定的难度，但是过程安全绩效指标提供了管理重点、透明度和进步的可靠性证据，从而可支持过程安全文化和行为；    　　

通过过程安全绩效指标预防重大事故的措施和管理和使企业运营更加可靠是相互影响的，企业运营的质量和生产能力能反映出其未来的盈利能力，将直接产生经济业绩。

开放、透明地将绩效向利益相关者进行公示，例如员工、当地社区、投资者、政府和非政府机构以及广大民众，企业能有许多机会可同其利益相关者进行沟通， 并建立企业自身的信誉。

目前国内企业大多执行的是HSE体系，只是可能会在HSE体系中有各别程安全管理要素内容的体现，所以几乎没有过程安全管理，那么类似于BP德克萨斯州的事故，在没有过程安全管理的情况下关注人身安全，把”零伤亡“作为我们的管理目标，这样就会有重大过程安全事故发生的风险。　　

所以国内企业需要借鉴API RP754以及OGP456的规定在自己企业内部做出适合自己企业的过程安全事故统计方法和对应的分级标准，在做HSE隐患排查、可记录伤害事件、死亡等数据统计的同时加入过程安全管理四级过程安全绩效指标的统计，并根据统计结果进行分析，对目前的制度进行完善或提出新的给过程安全相关的制度融入在HSE体系中。并积极在企业内推进过程安全管理。

通过BP德克萨斯州的事故分析级经验教训，我们因该在企业内更多的重视过程安全管理及过程安全管理绩效指标，并对四级过程安全事故进行统计、分析，找出管理或者保护的薄弱点，然后对管理制度、保护层等进行完善，对我们的安全管系统进行改进，进而预防重大过程安全事故的发生。