導讀

過程安全管理，曾稱工藝安全管理，是歐美國家從災難性化工事故中形成的一種先進管理體系和方法。半個多世紀以來，歐美國家率先加強危化企業的工藝安全管理，尤其是近30年來，各國相繼出臺了一些相關管理法規。如1992年美國職業安全與健康管理局(OSHA)發布了PSM法規(29CFR1910.119)。AQ/T3034-2010《化工企業工藝安全管理實施導則》的發布，標志著中國建立過程(工藝)安全體系的起步，并且已經開始注重從事故源頭抓起和從本質安全上控制的做法。

過程安全管理體系

按照美國化學工程師協會化工過程安全中心(AIChE CCPS)的定義：過程(工藝)安全管理體系(PSM)，是指一個重點針對與某設施工藝過程相關的化學品或能量的災難性釋放進行預防、緩解、響應和恢復的管理系統。

按照美國杜邦公司的定義，它是指應用于危害工藝和操作的管理控制過程，通過其對危害的識別、理解和有序控制，從而消除與過程有關的傷害和事故。

美國OSHAPSM體系由14個要素構成，具體要素名稱見圖1。

在不同的體系中要素名稱和數量可能不同，如中國“化工企業工藝安全管理實施導則”具有12個要素，與OSHAPSM標準相比，缺少“員工參與”和“商業機密”兩個要素，總體上中國PSM體系基本涵蓋在OSHAPSM體系之中。CCPS將PSM體系擴展成20個要素，除與OSHA14個要素均有相應的要素對應之外，還增加了“遵從標準、過程(工藝)安全能力、影響利益相關方、操作守則、測量和指標、管理評審和持續改進”6個要素，對OSHA體系進行了補充和細化。

BPTexas裝置工藝過程和事故簡介

事故概況：2005年3月23日13：20，在裝置檢修之后開車過程中，BP Texas煉油廠異構化裝置(ISOM)發生爆炸和火災事故，導致15人死亡和170人受傷。ISOM裝置和附近裝置遭受重大損壞。

工藝流程如圖2所示。

重石腦油原料經過與塔釜出料預熱及明火加熱爐加熱之后，進入抽余油分離塔分離，塔頂和塔釜輕、重組分采出后分別送往罐區。該塔按老式設計設置了泄壓系統，經過安全閥泄壓之后進入排放罐直接向大氣排放(非密閉向火炬排放系統)，同時塔頂回流罐不凝氣送往裝置3號氣體系統。事故簡要經過和原因概述：抽余油分離塔發生了超壓和液體溢流，導致塔頂管線上安全閥起跳，經排放罐直接向環境中排放，噴射出大量氣相和液相可燃物料，被引燃后導致著火爆炸事故。

經過事故調查與現場分析證實，原項目沒有識別出可能向現場大量排液的危害，因而設計沒有考慮相應的保護措施；排放罐位置存在隱患，沒有接入火炬系統和相關變更沒有得到有效管理；安全閥安裝位置存在隱患，在滿塔時入口管線存在45m液封；沒有執行開車程序，且操作程序不完善和操作人員經驗技能不足等等，這些都是導致此次事故的關鍵原因。另外，現場可移動臨時辦公室附近承包商員工較多，以及事故應急處置不當，加劇了此次事故的嚴重后果。

事故PSM要素分析

以美國OSHAPSM體系14個要素為基礎，對BPTexas煉油廠事故進行分析。針對嚴重不符合體系要求的8個要素具體分析過程如下。

(1)工藝危害分析(PHA)

裝置曾進行了危害與可操作性分析(HAZOP)和定量風險分析(QRA)，但是沒有識別出以下危害，因而原設計沒有考慮相應的保護措施，是導致此次事故的關鍵原因。

第一，安全閥安裝在塔頂氣相管道45m垂直管段下方，當分離塔滿塔，超過了安全閥定壓值，存在向環境排放大量可燃液體的風險。

第二，按照APIRP521標準規定，泄放物料向大氣排放不能形成可燃混合物，但沒有證據表明進行了該項評估。

第三，QRA沒有妥當地評估現場臨時辦公室位置風險，沒有識別出檢修運維人員及車輛停放與裝置太近等重大風險。由于變更導致了排放罐使用頻率增加，冷卻系統停用，也未進行充分風險評估。

(2)機械設備完整性(IM)

排放罐為老式設計，存在很多缺陷，如早已發現分離擋板被腐蝕損壞，但未制定修復計劃；沒有當作安全關鍵設備管理，導致向現場大量排液。

在開車前和開車過程中沒有對儀表進行全面和及時檢查處理，應該在滿刻度78%發出高液位報警的塔釜液位開關沒有動作，排放罐高液位報警在報警前沒有顯示。尤其是重抽余液到罐區的關鍵儀表出現故障，造成了操作人員盲目操作。

(3)變更管理(MOC)

企業變更程序沒有得到全面執行。一是程序要求對臨時建筑物及其附近人員的危險進行評估，特別是木質框架拖車活動房。明確規定如果沒有經過現場分析，則不得位于距離工藝裝置100m以內，但實際距離最近的只有45m，也未進行評估。二是排放罐急冷水停止使用，沒有經過MOC流程審批；塔頂“安全閥定壓值修改”沒有及時納入操作程序。

(4)操作程序(SOP)

違反操作程序和操作失誤是對該要素最嚴重的偏離，是導致該事故最主要的直接原因。按照開車程序，每一個步驟均要簽字確認，沒有得到落實。開車無人監督，日班主管離開崗位去做個人事務；交接班管理也存在嚴重問題，如夜班人員發現了塔釜滿液位和獨立液位開關未報警，并沒有對問題及時分析和處理。具體以下諸多方面存在問題。

第一，按照開車程序，超壓則向3號燃料氣系統自動泄放，但是操作人員按習慣操作，打開用鏈條操作的8號安全閥旁路閥門，采用放空罐泄壓并向系統中引入N2，這是形成系統超壓的重要原因之一。

第二，按照規定分離塔底部加熱升溫速度應不大于100℃/h，而實際在240℃/h以上，導致排放氣液量過大。第三，按照開車程序要求，正常塔底液位控制在50%，而實際液位已達100%，到發生事故時，分離塔液位已經上升到大約42m，淹沒了57到70塊塔盤。而且在72%發出高液位報警，但是獨立液位報警儀未在設定值78%發出報警，導致操作人員判斷失誤。總之，違反操作程序達11次之多。

(5)培訓(Training)

操作人員開車操作能力不足和培訓不到位，也是導致事故的關鍵原因。

在分離塔底部液位與進料流量控制指示存在較大偏差時，控制室內操沒有考慮到裝置物料和能量平衡問題。同時，外操在可以看到分離塔底泵的吸入口壓力上升而回流罐沒有建立液位的情況下，也沒有意識到物料可能沒有采出的問題。

2003年和2004年沒有裝置培訓計劃和操作人員個人培訓計劃。裝置培訓協調員在培訓活動中所花費的時間僅為其工作時間的5%。對于已經更新的操作程序，內外操不清楚，沒有組織班組集體學習。操作工認為開車是一次日常的操作，沒有意識到不遵守程序所帶來的風險。

(6)應急預案與響應(ERPR)

SOP沒有包括在該種工藝狀態混亂、緊急條件下立即停車的指令。操作工在切斷再沸器加熱爐燃料氣時行動緩慢，而且沒有停止分離塔的進料，在爆炸后1.5h停電時才停止。應急預案缺乏實戰演習和模擬訓練。

在塔頂安全閥起跳后，裝置沒有發出疏散報警。如果當時響起疏散警報，有可能使更多的人從附近撤離。該要素的嚴重不符合擴大了事故影響范圍，加重了災難后果。

(7)開車前安全審查(PSSR)

在開車前沒有對儀表進行全面檢查，沒有對分離塔進料表和現場液位計及時確認，沒有發現作為獨立液位開關的問題，沒有識別出操作員工培訓不到位、操作程序不完善和現場施工和維護人員過多，以及現場活動辦公室距離裝置太近等問題，沒有發揮出PSSR的有效作用。

(8)符合性審核(CR)

在該方面主要存在審計深度不夠，以及行動項沒有得到落實的問題。

第一，缺乏深層次的專業審計，如在企業過程安全標準(PSS)明確規定禁止安裝任何新的排放罐，并要求將現有的排放罐在裝置擴能或重大變更時予以更換，錯過了兩次在該裝置附近安裝火炬系統的整改機會，審計未曾發現這些問題。

第二，審計提出的建議項基本集中在現場操作程序、文件記錄管理系統和流程等方面，沒有發現安全閥設定值的變更問題。同時很多以往的行動項沒有及時關閉，而且幾乎沒有工藝主管和裝置經理進行現場驗證。

為了比較分析方便，將14個要素存在的問題和對其符合性評估情況納入表1，構成該事故PSM要素符合性矩陣評估表。

從以上分析過程和表1看出，在OSHA14個要素中8個要素長期嚴重不符合是導致該事故的關鍵原因。直接原因為違反操作程序和操作失誤、進料流量儀表和塔釜高液位開關故障、安全閥安裝位置不當，以及排放罐從現場直接排放和內件損壞5項問題。拖車活動房位置、現場人員控制以及事故應急響應緩慢等問題加劇了事故的嚴重性。該結論與兩個事故報告的結論是一致的。