1. 事故簡介

      2015年2月18日，星期三，位于美國加利福尼亞州的?？松梨诠?/span>Torrance煉油廠的靜電除塵器發(fā)生爆炸事故。事故發(fā)生時，埃克森美孚公司正在試圖隔離設(shè)備進行維護作業(yè)，維護活動的準(zhǔn)備工作導(dǎo)致出現(xiàn)壓力偏離，造成油氣通過工藝流程回流進入靜電除塵器，并在靜電除塵器內(nèi)點燃，發(fā)生爆炸。事故中涉及的靜電除塵器是流化催化裂化裝置（FluidCatalytic Cracking Unit，FCC）中的一個污染物控制設(shè)備，使用帶電板除去再生器煙氣中催化劑顆粒，以滿足再生器煙氣排入大氣的環(huán)境要求。帶電板能夠產(chǎn)生火花，形成了潛在的點火源。

2. 工藝描述

       2015年2月18日Torrance煉油廠爆炸事故發(fā)生在煉油廠FCC裝置，如圖1所示，該裝置在熱和催化劑的作用下使高沸點的重質(zhì)油分子發(fā)生裂化反應(yīng)，轉(zhuǎn)變?yōu)檩^低沸點的裂化氣、汽油和柴油等，主要產(chǎn)品是汽油。

       裝置內(nèi)靜電除塵器爆炸前的一系列事件涉及了FCC裝置的大部分設(shè)備。為了滿足環(huán)境法規(guī)要求，再生器煙氣排入大氣前需經(jīng)靜電除塵器除去催化劑顆粒。

圖1：FCC裝置工藝流程簡圖

（1）催化劑循環(huán)

      在正常運行情況下，催化劑是以微小球形顆粒的形式在反應(yīng)器和再生器之間循環(huán)，在不改變自身性質(zhì)的條件下提高化學(xué)反應(yīng)速率。催化劑通常是經(jīng)流化的，意味著固態(tài)催化劑顆粒被夾帶在烴類蒸氣、水蒸汽或空氣中，運動行為類似液體。催化劑一方面促進裂化反應(yīng)，同時將再生器的熱量傳遞給進入反應(yīng)器提升管的重質(zhì)烴供料。

（2）分餾塔

      裂解的油氣從反應(yīng)器頂部出來，進入分餾塔。進入分餾塔的過熱油氣溫度高于其沸點，在正常運行情況下不需要額外熱量。通過分餾塔上的幾個泵循環(huán)將熱量帶走，使氣體溫度降低液化，實現(xiàn)分離。在這些泵循環(huán)過程中，換熱器將熱量傳遞給煉油廠其他工藝物料，降低返回分餾塔的物料溫度。分餾塔將反應(yīng)器過來的產(chǎn)品分離成輕質(zhì)烴、重石腦油（經(jīng)進一步處理生產(chǎn)汽油）、輕循環(huán)油和油漿。

（3）再生器煙氣

      從再生器頂部出來的氣體成分是燃燒產(chǎn)品氣和催化劑顆粒。煙氣進入氣體/催化劑分離器，從燃燒產(chǎn)品氣中除去大部分的催化劑粉塵顆粒。煙氣中仍然含有少量的催化劑粉塵，進入膨脹節(jié)，氣體膨脹做功驅(qū)動主風(fēng)機。煙氣熱量在一氧化碳鍋爐中除去（該一氧化碳鍋爐實質(zhì)上是作為換熱器使用，采用高溫的再生器燃燒產(chǎn)品氣產(chǎn)生蒸汽，供煉油廠使用。該套催化裂化裝置最初設(shè)計時，一氧化碳鍋爐用于燃燒從再生器過來的一氧化碳，但是該工藝經(jīng)過改造后，所有的一氧化碳均在再生器內(nèi)燒掉），然后進入靜電除塵器。

（4）油氣泄漏至空氣部分

      本文把FCC裝置分為兩部分：“油氣部分”和“空氣部分”，如圖1所示。油氣部分包括反應(yīng)器和分餾塔，空氣部分包括再生器及連接至靜電除塵器的再生器下游管線和設(shè)備。待生催化劑滑閥和再生催化劑滑閥用于防止空氣和油氣的意外混合，避免造成爆炸危險。事故當(dāng)天，FCC裝置處于安全停車運行模式（一種備用操作模式），這兩個滑閥通過在閥門上部維持一定量的催化劑，形成一個“塞子”，以阻止反應(yīng)器工藝蒸汽進入再生器或再生器工藝蒸汽進入反應(yīng)器，從而實現(xiàn)空氣部分和油氣部分的互相隔離。

事故發(fā)生當(dāng)天，待生催化劑滑閥沒有保持催化劑塞子現(xiàn)象，導(dǎo)致反應(yīng)器的油氣進入FCC裝置空氣部分的再生器，而在裝置安全停車模式下，再生器不具備足夠高的溫度使油氣燃燒。結(jié)果，可燃油氣最終進入靜電除塵器，與一氧化碳鍋爐風(fēng)扇吹入靜電除塵器的空氣混合。靜電除塵器內(nèi)部的火花引燃可燃混合物，發(fā)生爆炸。

3.靜電除塵器爆炸事故發(fā)生過程

3.1 事故發(fā)生前

3.1.1 膨脹節(jié)問題

       當(dāng)FCC裝置空氣部分的膨脹節(jié)開始出現(xiàn)震動問題時，是靜電除塵器爆炸事故發(fā)展的初始階段。流經(jīng)膨脹節(jié)的氣體中含有少量的催化劑顆粒，隨著長時間的運行，可能在膨脹節(jié)葉片上積聚，如圖2所示。葉片上催化劑顆粒的不均勻分布導(dǎo)致膨脹節(jié)過度震動，對膨脹節(jié)造成嚴(yán)重?fù)p壞。Torrance煉油廠儀表系統(tǒng)監(jiān)控到膨脹節(jié)的震動，當(dāng)震動增強到一定程度時，操作人員會從膨脹節(jié)葉片上清理積累的催化劑。

圖2：膨脹節(jié)葉片上積聚的催化劑顆粒

       2015年2月11日，星期三上午，FCC裝置的膨脹節(jié)震動加劇，2月12日工作人員清理了膨脹節(jié)葉片，暫時減輕了膨脹節(jié)震動現(xiàn)象。2月15日，膨脹節(jié)又開始劇烈震動。

3.1.2 2015年2月16日，星期一

（1）膨脹節(jié)劇烈震動并安全停車

      2015年2月16日，星期一上午，作業(yè)人員再次清理了膨脹節(jié)葉片，但是這一次并沒有減輕震動。煉油廠人員決定在一次計劃的裝置負(fù)荷提升（在這種情況下通過膨脹節(jié)的流量增加會減輕震動）后進一步評估膨脹節(jié)震動問題。然而，當(dāng)通過膨脹節(jié)的流量增加時反而使震動問題更加嚴(yán)重。下午12:50，震動達到上限，裝置控制系統(tǒng)自動開始緊急關(guān)斷，將裝置轉(zhuǎn)入安全停車模式，如圖3所示，過程中會發(fā)生如下變化：

• 待生和再生催化劑閥門關(guān)閉；

• 向反應(yīng)器提升管的油氣供料停止；

• 主風(fēng)機和膨脹節(jié)關(guān)閉；

• 向反應(yīng)器提升管注蒸汽的閥門打開。

分餾塔上的泵循環(huán)繼續(xù)運轉(zhuǎn)，油氣停留在分餾塔內(nèi)。另外，靜電除塵器保持帶電狀態(tài)。

圖3：FCC裝置安全停車模式

為了防止在安全停車模式發(fā)生爆炸，?？松梨诠疽揽?/span>2個保護層隔離油氣，防止裝置油氣部分的可燃油氣與裝置空氣部分的空氣混合。保護層包括：

• 在每一個關(guān)閉的滑閥上部積聚一定料位的催化劑，實現(xiàn)物理隔離；

• 向反應(yīng)器通入充足的蒸汽，在反應(yīng)器內(nèi)部形成高壓（高于分餾塔壓力），防止分餾塔油氣回流至反應(yīng)器。

在該起事故中，上述2個保護層均發(fā)生了失效，導(dǎo)致分餾塔內(nèi)的油氣進入了FCC裝置的空氣部分。

（2）無法保持反應(yīng)器催化劑料位

       2015年2月16日，當(dāng)FCC裝置自動轉(zhuǎn)入安全停車模式時，控制系統(tǒng)將兩個滑閥設(shè)置為關(guān)閉狀態(tài)。但是，由于待生催化劑滑閥經(jīng)過6年多的運行已被嚴(yán)重侵蝕，不能有效密封。結(jié)果，當(dāng)FCC裝置進入安全停車模式并且待生催化劑滑閥關(guān)閉后幾分鐘內(nèi)，反應(yīng)器內(nèi)的催化劑顆粒通過被侵蝕的待生催化劑滑閥泄漏，進入再生器內(nèi)，因此導(dǎo)致不能維持反應(yīng)器內(nèi)催化劑保護料位，反應(yīng)器和再生器之間的隔離失效。

（3）試圖重啟膨脹節(jié)

      在FCC裝置處于安全停車模式下，操作人員試圖重啟膨脹節(jié)，以使裝置重新開始運行。經(jīng)過四次嘗試均沒有成功重啟，煉油廠人員計劃制定維修膨脹節(jié)的策略。操作人員估計膨脹節(jié)無法重啟，是因為催化劑已在膨脹節(jié)葉片和膨脹節(jié)套之間積聚，影響葉片旋轉(zhuǎn)。根據(jù)?？松梨诠竟芾韺又甘荆僮魅藛T開始把膨脹節(jié)從流程中隔離，并對膨脹節(jié)內(nèi)部進行目視檢查。但是，如果采用?？松梨诠景踩僮鞒绦蛞蟮某Ｒ?guī)安全隔離方法，不能實現(xiàn)膨脹節(jié)隔離。

3.1.3 2015年2月17日，星期二

       2015年2月17日，星期二，煉油廠維保人員、設(shè)備可靠性工程師、操作主管和業(yè)務(wù)主管開會討論了2012年發(fā)生的一起類似的膨脹節(jié)運行中斷案例，當(dāng)時重啟失敗后，在裝置處于安全停車模式下進入膨脹節(jié)并檢查了其內(nèi)部情況。針對那次膨脹節(jié)進入操作，Torrance煉油廠制定了一個“偏離方案”，經(jīng)管理層批準(zhǔn)允許違背煉油廠設(shè)備隔離要求進行操作。?？松梨诠竟こ處熃?jīng)過制定、分析，并批準(zhǔn)了該膨脹節(jié)隔離方案。

     因為那次“偏離方案”應(yīng)用成功了，埃克森美孚公司決定再次使用相同的2012年“偏離方案”，隔離膨脹節(jié)進行目視檢查。

      2015年2月17日，星期二下午，操作人員根據(jù)“偏離方案”要求開始進行膨脹節(jié)隔離操作，隔離要求包括在膨脹節(jié)出口的法蘭處安裝盲板。工作人員首先打開膨脹節(jié)出口處的法蘭，以便安裝盲板。

3.2 事故發(fā)生

      2015年2月18日，星期三上午，?？松梨诠揪S保人員準(zhǔn)備接近打開的法蘭安裝盲板，但是，由于當(dāng)時蒸汽正從打開的法蘭處泄漏出來，考慮到安全問題，他們沒有安裝盲板，如圖4所示。蒸汽從法蘭處泄漏出來，說明待生催化劑滑閥沒有實現(xiàn)完全密封，而且催化劑保護層已消失。盡管已經(jīng)知道待生催化劑滑閥出現(xiàn)泄漏，?？松梨诠竟芾韺尤匀粵Q定在裝置安全停車模式下繼續(xù)隔離膨脹節(jié)。

圖4：膨脹節(jié)出口法蘭蒸汽泄漏

      由于關(guān)閉的待生催化劑滑閥上部不存在催化劑料位，反應(yīng)器蒸汽壓力成為防止分餾器油氣進入裝置空氣部分的唯一保護。?？松梨诠臼紫韧ㄟ^調(diào)整提升管蒸汽，以調(diào)整進入反應(yīng)器的蒸汽流量，同時汽提蒸汽繼續(xù)進反應(yīng)器?！捌x方案”要求在膨脹節(jié)進入操作中，反應(yīng)器蒸汽流量不應(yīng)低于907kg/h。事故當(dāng)天，在已知反應(yīng)器蒸汽正通過待生催化劑滑閥泄漏的情況下，?？松梨诠緵]有評估該最小蒸汽流量是否足夠防止油氣進入再生器。

根據(jù)要求的反應(yīng)器蒸汽最小流量907kg/h，操作監(jiān)督指示中控降低通過提升管的蒸汽流量，試圖減少膨脹節(jié)出口法蘭處泄漏的蒸汽量，以使人員可以安全地靠近法蘭。上午7:16，通過提升管的蒸汽流量已從約9072kg/h降低至約3402kg/h。然而，當(dāng)時操作人員并不知道此時反應(yīng)器壓力已太低，不足以阻止油氣從分餾塔回流至反應(yīng)器。分餾塔內(nèi)的油氣回流進入反應(yīng)器，并通過泄漏的待生催化劑滑閥進入裝置的空氣部分，如圖5所示。

圖5：油氣泄漏至靜電除塵器

      上午約8:07，FCC裝置區(qū)域的一名維修監(jiān)督攜帶的硫化氫監(jiān)測儀出現(xiàn)報警，報警還說明某個位置發(fā)生了油氣泄漏。然而，煉油廠人員繼續(xù)在膨脹節(jié)附近作業(yè)。上午約8:40，膨脹節(jié)出口法蘭周圍的多個工作人員攜帶的硫化氫監(jiān)測儀均出現(xiàn)報警，說明油氣正從膨脹節(jié)法蘭處泄漏。此時，工作人員開始從FCC裝置區(qū)域疏散人員。

操作人員將進入反應(yīng)器提升管的蒸汽流量提升至15876kg/h，但是已經(jīng)太晚了。油氣已經(jīng)進入了FCC裝置的空氣部分，并流向靜電除塵器。油氣很快到達靜電除塵器，并與從一氧化碳鍋爐風(fēng)扇通入靜電除塵器的空氣混合。上午8:48，靜電除塵器內(nèi)部的可燃物料混合物被點燃，并引發(fā)爆炸。

3.3 事故后果

       爆炸造成靜電除塵器嚴(yán)重?fù)p壞（如圖6所示），爆炸產(chǎn)生的碎片擊中靜電除塵器附近的設(shè)備，造成兩起小型火災(zāi)和多處可燃液體泄漏。爆炸碎片還擊穿了一個停用的換熱器。在附近區(qū)域作業(yè)的4名承包商人員因為在撤離過程中受傷需要急救。碎片掉落到一處操作人員經(jīng)常使用的建筑上，幸好當(dāng)時沒有人員使用。另外，據(jù)報告稱，催化劑粉塵擴散到煉油廠區(qū)域以外的附近社區(qū)。

圖6：爆炸造成靜電除塵器嚴(yán)重?fù)p壞

4. 靜電除塵器爆炸事故分析

4.1 缺少安全停車程序和可驗證的操作參數(shù)

      OSHA過程安全法規(guī)要求，化學(xué)處理設(shè)施應(yīng)針對每一個操作階段建立相應(yīng)的操作程序，包括臨時操作（例如安全停車），詳細(xì)說明安全操作限值、偏差后果和修正或避免偏差的步驟。?？松梨诠局贫岁P(guān)于進入安全停車模式以及從安全停車模式重新轉(zhuǎn)入正常操作模式的的操作程序，但是沒有制定程序詳細(xì)說明如何在安全停車模式下安全地操作FCC裝置。盡管此次事故的發(fā)生還有一些安全管理系統(tǒng)方面的原因，一套可靠的操作程序（明確了安全操作限值和需要緊急關(guān)斷的條件）的建立和執(zhí)行本來也可以阻止事故的發(fā)生。

此次事故中，?？松梨诠疽揽?/span>2個保護防止分餾塔內(nèi)的油氣進入FCC裝置阻止的空氣部分：（1）通過向反應(yīng)器通入蒸汽，使反應(yīng)器壓力高于分餾塔壓力；（2）關(guān)閉狀態(tài)的待生催化劑滑閥上部形成的催化劑屏障。但是，?？松梨诠靖鶕?jù)間接的操作參數(shù)維持這2個保護層的有效性。表1為安全停車模式下的2個保護層和?？松梨诠居糜诒O(jiān)控該保護層的間接操作參數(shù)以及?？松梨诠究梢圆扇〉闹苯硬僮鲄?shù)。

表1  埃克森美孚公司用于監(jiān)控保護層的操作參數(shù)與其他可用的操作參數(shù)對比

4.2  2012年的“偏離方案”

      2012年，Torrance煉油廠發(fā)生了一起類似的膨脹節(jié)停車事件，由于電力中斷FCC裝置進入安全停車模式。操作人員試圖重啟膨脹節(jié)，沒有成功。當(dāng)時，?？松梨诠鞠嘈攀欠e聚的催化劑阻礙了膨脹節(jié)葉片旋轉(zhuǎn)。為了驗證這個問題，煉油廠人員計劃進入膨脹節(jié)進行檢查。

      為了確保進入工藝設(shè)備（例如膨脹節(jié)）的安全，通常需要盲死與設(shè)備相連的工藝管線。但是，根據(jù)目前配置情況，膨脹節(jié)入口管線無法被盲死，而盲死膨脹節(jié)入口需要拆除一段連接短管。埃克森美孚公司認(rèn)為，拆除膨脹節(jié)入口連接短管風(fēng)險更大，而通過單個切斷閥+排凝代替盲板的方式風(fēng)險較小。

在這種情況下，需要進入受限空間時使用單個切斷閥+排凝的方式隔離設(shè)備是符合?？松梨诠景踩?guī)定的。作業(yè)前，?？松梨诠就ㄟ^建立并分析“偏離方案”的安全問題，允許了違背安全規(guī)定進行作業(yè)。因此，?？松梨诠局贫?/span>2012“偏離方案”，開展膨脹節(jié)進入作業(yè)。根據(jù)2012“偏離方案”，裝置配置情況如下（如圖7所示）：

• 膨脹節(jié)入口單個切斷閥+排凝；

• 膨脹節(jié)出口安裝盲板；

• 待生催化劑滑閥和再生催化劑滑閥處于關(guān)閉位置；

• 向反應(yīng)器通蒸汽，要求最小流量為907kg/h；

裝置處于安全停車模式，同時靜電除塵器處于帶電狀態(tài)。

圖7：2012“偏離方案”

      2015年2月，膨脹節(jié)自動停車，?？松梨诠緹捰蛷S管理層計劃進入膨脹節(jié)檢查不能重啟的原因。?？松梨诠竟芾韺記Q定再次使用2012“偏離方案”，進行受限空間進入作業(yè)。但是，2015年，?？松梨诠緵]有進行正式會議或討論2012“偏離方案”的適用性和有效性。1名FCC裝置經(jīng)理分別向5名管理層人員匯報2012“偏離方案”，征求意見。沒有人考慮到FCC裝置的情況是否和2012年一樣，沒有人針對2012年的安全保護是否滿足2015年操作要求進行安全分析。事實上，2012年工程師討論的保護層（蒸汽+催化劑屏障）對2015年的膨脹節(jié)進入作業(yè)是不足夠的。

4.3待生催化劑滑閥失效

      待生催化劑滑閥是一個用于控制反應(yīng)器至再生器的催化劑流量的控制閥。在正常操作情況下，待生催化劑滑閥內(nèi)部的閥盤處于部分打開狀態(tài)（如圖8所示），調(diào)整至再生器的催化劑流量。粗糙的催化劑連續(xù)流過部分打開的閥門時，會對閥門的閥盤和密封面造成侵蝕。

圖8：待生催化劑滑閥

       事故后，CSB調(diào)查組對待生催化劑滑閥的內(nèi)部構(gòu)件進行了檢查，發(fā)現(xiàn)閥門內(nèi)部已被嚴(yán)重侵蝕，導(dǎo)致閥門不能有效密封。經(jīng)過長達6年的運行，被侵蝕面積達到約103cm²，為催化劑通過閥門泄漏提供了通道（即使當(dāng)閥門處于完全關(guān)閉位置時）。事故當(dāng)天，閥門侵蝕導(dǎo)致的密封失效，導(dǎo)致處于關(guān)閉狀態(tài)的待生催化劑滑閥沒有建立必要的催化劑屏障。

       從該起事故可以看出，在安全停車模式下，一個待生催化劑滑閥可能不足以實現(xiàn)可靠密封并建立催化劑屏障。CSB調(diào)查組了解到，一些FCC裝置在反應(yīng)器和再生器之間設(shè)置了連續(xù)2個待生催化劑滑閥，只有當(dāng)裝置進入安全停車模式時才操作第二個待生催化劑滑閥，實現(xiàn)切斷功能，從而建立催化劑屏障。這種設(shè)計可能降低依靠一個被侵蝕的待生催化劑滑閥建立催化劑屏障的潛在可能性。

4.4 蒸汽屏障失效

      在安全停車模式下，蒸汽是FCC裝置油氣部分和空氣部分之間的第二個屏障，用于為反應(yīng)器充壓，保持反應(yīng)器壓力高于分餾塔壓力。

       2015年2月18日上午，打開的膨脹節(jié)法蘭出現(xiàn)蒸汽泄漏，?？松梨诠竟芾韺又甘局锌厝藛T降低蒸汽流量，試圖減少膨脹節(jié)出口法蘭處泄漏的蒸汽量，以使維保人員能夠安全地安裝盲板。中控人員把蒸汽流量降低至約3402kg/h，符合2012“偏離方案”的要求（最小蒸汽流量為907kg/h），但是此時反應(yīng)器壓力已低于分餾塔壓力，降低的反應(yīng)器壓力已不能阻止分餾塔油氣進入反應(yīng)器，油氣隨后進入再生器和燃料氣系統(tǒng)。

      事故當(dāng)天，盡管埃克森美孚公司知道催化劑屏障已經(jīng)失效，蒸汽成為阻止油氣和空氣混合的唯一屏障，沒有人進行相關(guān)分析去確定2012“偏離方案”規(guī)定的最小蒸汽流量907kg/h是否足夠。如果?？松梨诠具M行了保護層分析，他們就可能知道需要提高允許的最小蒸汽流量，或者決定在膨脹節(jié)維護作業(yè)能夠安全進行之前關(guān)停FCC裝置。

4.5 換熱器管程泄漏

      事故當(dāng)天，在提升管蒸汽流量降低至3402kg/h的情況下，分餾塔壓力高于正常操作壓力，造成油氣進入反應(yīng)器。此次事故中，分餾塔操作壓力約0.06MPa，約是2012年安全停車時分餾塔壓力的兩倍。

      由于分餾塔油漿泵循環(huán)上的換熱器（經(jīng)過長時間運轉(zhuǎn)）發(fā)生石腦油泄漏并進入油漿中，高溫油漿使揮發(fā)性高的石腦油蒸發(fā)，造成分餾塔壓力升高，如圖9所示。

圖9：換熱器管程泄漏

       ?？松梨诠救藛T之前認(rèn)識到換熱器管程可能出現(xiàn)腐蝕/侵蝕問題，導(dǎo)致石腦油泄漏進入油漿中，但是他們認(rèn)為這種工況的泄漏只會造成較小的經(jīng)濟損失，沒有識別出會在安全停車時造成負(fù)面的安全后果。在常規(guī)的風(fēng)險分析中，這種特定的分餾塔超壓工況很難識別出來。

4.6 FCC保持安全停車模式，并未被關(guān)停

       從膨脹節(jié)震動導(dǎo)致FCC裝置進入安全停車模式，到兩天后發(fā)生爆炸，FCC裝置均處于帶電狀態(tài)，而且油氣繼續(xù)在裝置內(nèi)循環(huán)。當(dāng)?？松梨诠救藛T發(fā)現(xiàn)待生催化劑滑閥泄漏和催化劑屏障失效，他們選擇保持裝置處于安全停車模式，并繼續(xù)執(zhí)行膨脹節(jié)進入作業(yè)。當(dāng)煉油廠人員看見打開的法蘭發(fā)生蒸汽泄漏，裝置仍處于安全停車模式，他們選擇降低蒸汽流量以控制工作人員的暴露風(fēng)險。安全停車模式下，靜電除塵器保持帶電狀態(tài)。

      CSB調(diào)查組認(rèn)為，當(dāng)發(fā)現(xiàn)待生催化劑滑閥沒有建立催化劑屏障時，?？松梨诠具x擇繼續(xù)以安全停車模式運行的原因主要有以下四點：

• FCC裝置從安全停車模式開車比從完全關(guān)停模式開車更快捷，意味著可以更早開始生產(chǎn)；

• ?？松梨诠菊J(rèn)為FCC裝置的完全關(guān)停是非常規(guī)、非穩(wěn)定狀態(tài)操作，會對煉油廠人員造成更大風(fēng)險；

• 當(dāng)?？松梨诠救藛T意識到待生催化劑滑閥保護失效后，沒有進行分析識別依靠單獨蒸汽保護的安全后果；

• ?？松梨诠镜陌踩＼嚦绦驔]有要求：如果關(guān)鍵的安全保護（例如關(guān)閉的待生催化劑滑閥上部的催化劑料位）失效時應(yīng)關(guān)停裝置。

CSB調(diào)查組認(rèn)為，埃克森美孚公司人員可能沒有重視待生催化劑滑閥保護失效對裝置整體安全的影響，主要關(guān)注點集中在如何修復(fù)膨脹節(jié)并重啟裝置。

4.7 工藝設(shè)備打開操作不符合煉油廠標(biāo)準(zhǔn)

      ?？松梨诠拘枰谘b置處于安全停車模式下對膨脹節(jié)進行維護作業(yè)，但是膨脹節(jié)周圍的管線在設(shè)計上不能實現(xiàn)膨脹節(jié)的安全隔離。但是，?？松梨诠竟芾韺舆x擇了采用不可靠的、不安全的隔離方法。

事故當(dāng)天，?？松梨诠救藛T打開了膨脹節(jié)出口法蘭，目的是安裝盲板將膨脹節(jié)與工藝隔離，以便進行受限空間進入作業(yè)。?？松梨诠緬炫粕湘i程序要求安裝盲板前應(yīng)采用“雙切斷閥+排凝”的方式隔離設(shè)備，但是也允許采用“單切斷閥+排凝”的方式（如果是唯一選擇）。

       連接至膨脹節(jié)出口法蘭的管線的設(shè)計不能實現(xiàn)“雙切斷閥+排凝”。如圖10所示的旁通閥不能用于隔離膨脹節(jié)，因為閥內(nèi)部設(shè)計了一個孔，用于超壓保護目的。因此，?？松梨诠局荒懿捎谩皢吻袛嚅y+排凝”的方式隔離膨脹節(jié)。唯一可用的隔離膨脹節(jié)出口的閥是待生催化劑滑閥和再生催化劑滑閥。但是，這兩個閥是用于催化劑節(jié)流的控制閥。?？松梨诠静话芽刂崎y作為可以用于隔離設(shè)備的能量隔離設(shè)備，控制閥通常不應(yīng)作為切斷閥使用，因為流體流過部分打開的閥門時會對閥門造成損壞，影響其密封完整性。如果埃克森美孚公司管理層遵守掛牌上鎖程序，他們就不會使用待生催化劑滑閥和再生催化劑滑閥去隔離膨脹節(jié)，膨脹節(jié)出口法蘭也就不會在裝置安全停車模式下被打開。此次事故中，打開膨脹節(jié)出口法蘭導(dǎo)致了降低反應(yīng)器蒸汽流量的決策，進而導(dǎo)致靜電除塵器爆炸。

圖10：膨脹節(jié)出口隔離方案

4.8 油氣進入燃料氣系統(tǒng)時靜電除塵器處于帶電狀態(tài)

      靜電除塵器正常操作情況下會產(chǎn)生火花，所以?？松梨诠疽螽?dāng)可燃?xì)怏w混合物可能進入靜電除塵器時，靜電除塵器應(yīng)被關(guān)停。但是，事故當(dāng)天，當(dāng)油氣進入帶電的靜電除塵器時，靜電除塵器沒有被關(guān)停。結(jié)果，靜電除塵器內(nèi)的火花點燃了可燃混合物，導(dǎo)致爆炸。

       2009年，Torrance煉油廠為FCC裝置安裝了一臺新靜電除塵器，以滿足新的環(huán)境法規(guī)要求。煉油廠委托一個工程服務(wù)公司設(shè)計并建造新靜電除塵器。2006年11月，該工程服務(wù)公司對設(shè)計進行了PHA（工藝危害分析），識別出可燃蒸汽可能進入靜電除塵器，并導(dǎo)致火災(zāi)或爆炸。但是，2006年的PHA沒有識別出可能造成可燃蒸汽進入靜電除塵器的特定場景。?？松梨诠就ㄟ^在燃料氣系統(tǒng)安裝一氧化碳分析儀監(jiān)測進入靜電除塵器的可燃?xì)怏w，關(guān)閉了建議項。當(dāng)FCC裝置內(nèi)油氣不完全燃燒時可能產(chǎn)生一氧化碳。

      ?？松梨诠具x擇安裝一氧化碳分析儀監(jiān)測可燃蒸汽，因為他們認(rèn)為燃料氣系統(tǒng)內(nèi)的任何烴類蒸汽都會伴有一氧化碳，他們相信FCC裝置內(nèi)的油氣不完全燃性，從而生成一氧化碳。2006年、2009年和2014年的PHA均沒有考慮裝置處于安全停車模式時（這種情況下熱量不足以引起燃燒反應(yīng)產(chǎn)生一氧化碳）油氣進入燃料氣管線的場景。

     事故當(dāng)天，裝置處于安全停車模式，油氣進入燃料氣系統(tǒng)，且油氣中不含一氧化碳。由于沒有監(jiān)測油氣的分析儀，沒有監(jiān)測到可燃環(huán)境。結(jié)果，帶電的靜電除塵器引燃油氣，并導(dǎo)致爆炸。Torrance煉油廠把安全停車模式下的靜電除塵器設(shè)計成帶電狀態(tài)，是為了符合環(huán)境法規(guī)（要求從排入大氣的氣體中除去催化劑粉末）。

5.事故啟示

（1）識別并確定裝置所有操作模式下的安全操作限值和能夠驗證工藝運行狀態(tài)的測量工藝條件和參數(shù)，是非常必要的。如果一套裝置依靠只能間接提供關(guān)鍵工藝參數(shù)的操作參數(shù)，則可能導(dǎo)致不能識別出工藝是否處于不安全狀態(tài)。

（2）當(dāng)需要執(zhí)行一個與現(xiàn)有程序不符合的偏差操作時，公司應(yīng)進行變更管理審查，以驗證、批準(zhǔn)技術(shù)基礎(chǔ)、執(zhí)行時間，并識別任何新的風(fēng)險和相關(guān)風(fēng)險控制措施。如果該程序偏離方案計劃保存以備將來使用，在執(zhí)行該程序偏離方案之前，公司應(yīng)對潛在的工藝條件、活動和技術(shù)假設(shè)等是否有效進行驗證。

（3）應(yīng)重視安排并執(zhí)行安全關(guān)鍵設(shè)備的維保工作，確保設(shè)備能夠有效執(zhí)行其安全關(guān)鍵功能。

（4）進行工藝危害分析時，應(yīng)考慮裝置所有的操作模式（包括非常規(guī)的操作模式，例如裝置備用）。當(dāng)進行正常、連續(xù)操作模式的工藝危害分析時，可能會忽視非常規(guī)操作模式下的事故場景。

（5）企業(yè)應(yīng)針對裝置的所有操作模式（包括裝置備用）制定相應(yīng)的操作程序，詳細(xì)地確定安全操作限值、偏離限值的后果以及工藝條件超過安全操作限值時應(yīng)采取的行動。

（6）當(dāng)需要對現(xiàn)有程序作出改變時，應(yīng)執(zhí)行可靠的變更管理審查。與PHA相似，執(zhí)行變更管理審查需要跨專業(yè)的團隊，包括不同領(lǐng)域的專家，協(xié)助辨識程序變更可能帶來的風(fēng)險。

（7）流體通過處于部分打開狀態(tài)的控制閥時會對閥門造成損壞，影響其密封完整性，所以，控制閥通常不應(yīng)作為切斷閥使用。

（8）不含一氧化碳的未燃燒的油氣可能進入FCC裝置的靜電除塵器。煉油廠應(yīng)對其FCC裝置進行評估，確定是否存在足夠的安全保護預(yù)防靜電除塵器油氣爆炸事故。

6. 總結(jié)

     Torrance煉油廠靜電除塵器爆炸事故是可以避免的。?？松梨诠?/span>Torrance煉油廠工藝安全管理方面存在的漏洞導(dǎo)致FCC裝置油氣回流，在靜電除塵器內(nèi)著火爆炸。埃克森美孚公司沒有針對安全停車模式制定針對性的操作程序，明確安全操作限值以及需要裝置關(guān)斷的工藝條件。另外，?？松梨诠緵]有充分定義安全停車模式時安全關(guān)鍵設(shè)備的功能，沒能確保安全關(guān)鍵設(shè)備執(zhí)行其安全關(guān)鍵功能。?？松梨诠疽矝]有進行充分地風(fēng)險分析，識別安全停車模式下的安全保護是否足夠。

       CSB調(diào)查組根據(jù)對2015年2月18日靜電除塵器爆炸事故的分析，識別出Torrance煉油廠FCC裝置的安全設(shè)計缺陷。再生器和靜電除塵器之間的管線和設(shè)備沒有安裝監(jiān)測油氣（不含一氧化碳）的儀表設(shè)備。由于油氣監(jiān)測儀表的溫度限制，這一點可能是行業(yè)內(nèi)廣泛存在的一個問題。另外，待生催化劑滑閥不能有效隔離FCC裝置的油氣部分和空氣部分。在安全停車模式下，?？松梨诠疽揽吭摯呋瘎┗y作為具有安全關(guān)鍵作用的隔離閥使用，但是待生催化劑滑閥設(shè)計上是一個控制閥，不能完全密封。其他煉油廠可能也以這種方式使用待生催化劑滑閥，這是超過其設(shè)計意圖的。CSB調(diào)查組呼吁各煉油廠應(yīng)從此次事故中學(xué)習(xí)經(jīng)驗，防止類似事故發(fā)生。