BP炼油厂重大事故调查报告

重大事故调查报告异构化装置爆炸最终报告美国 得克萨斯州 得克萨斯城事故发生日期：2005年3月23日报告日期：2005年12月9日由事故调查组组长 J. Mogford 批准签发第129页 共129页重大事故调查报告执 行 概 要2005年3月23日，英国石油公司（BP）位于北美地区的美国得州得克萨斯城炼油厂异构化（ISOM）装置发生火灾和爆炸，此次事故共造成15人死亡、170多人受伤。为了让大家能很快汲取此次事故教训，并加速整改措施的实施，我们于5月17日发布了一份中期报告。该报告确定了此次事故的关键因素。为早日公布上述报告，中期报告中并未分析导致此次事故的下列根本原因。最终报告旨在深入了解此次事故的原因，并提出补充的整改措施，以避免类似事故的再次发生，并提高现场的安全绩效。事故调查组认为，如中期报告所述，此次事故有四个关键因素，假如没有这四个关键因素，这次事故也就不会发生、或者说事故所造成的影响也就不会象现在那样严重。l 失去控制l 残液分馏塔开车程序和知识与技巧的应用l 工作管理和临时移动办公室的建筑选址l 排放烟囱的设计和施工造成事故的原因是由于比空气重的烃类蒸汽与着火源（可能是运转的车辆引擎）接触后发生燃烧而引起的。由于塔内物料装填过满以及过度加热而造成残液分馏塔过压保护系统启动后，由液相生成的烃类开始从F20排放烟囱中溢流出来。由于未能建立塔内液体外流、且未能及时采取有效的紧急行动，最后导致爆炸前的失控。这些事实都说明操作未能遵循许多既定方针和程序。另外，装置指定的班长当时不在现场，未能监督按既定程序进行操作，而这已经是日常运行中的一项惯例。另外，许多人聚集在临时移动办公室内和其周围又加剧了事故的严重性，上述临时建筑的位置又离换班地点太近。那些受伤人员本应受到警告并离开上述危险区，但是意识到上述事件的人员并未向他们发出警告。现在还不清楚为何那些意识到工艺波动的人员未能发出警告信号。要是切断了用于轻烃类烟囱的排放并安装了本安型仪表（如果有），本可以降低此次事故的可能性。调查组没有发现任何迹象表明有人有意或故意采取行动或作出决定而将他人置于危险境地。尽管现场管理组织实施了各种整改计划，例如1000天计划等，并在整个现场范围内完成了重大事故风险评估（MAR）工作，除此之外，还在以前的事故发生后开始在培训、审查以及企业文化方面引入了许多改进措施，但是事故调查组仍然发现现场有许多方面还未按照各项程序、方针和预期行为实施各项工作。调查过程中，调查组发现许多方面的惯例亟待改进（虽然不是此次事故的关键因素），并就此提出了一些建议。调查中我们采用了BP的根本原因法，CCPS（化工工艺安全中心）指南对该法做了补充。期间我们做了文件记录作为证明，从面谈中我们收集了相关证据，独立证据都是至少从两个当事人处获得的。如未经确认，我们就会在报告中加以注明。主要原因确定如下:l 多年以来，由于对变革的抵触、缺乏诚信和动力、没有发展目标，工作环境已日趋恶化。再者，对监控和管理行为含糊不清的期望意味着不能不折不扣的按照规定行事，缺乏严厉、个别人在提供建议或提出整改措施时感觉没有发言权。l 未能建立工艺安全、操作绩效和减少系统风险为上的原则，并且在管理上未能始终如一强制贯彻执行。l 由于复杂的组织机构发生诸多变化而导致了缺乏明确的职责和有效沟通，二者共同导致了工人们对自己岗位和职责模糊不清。l 由于对危险意识不强以及对现场工艺安全理解不透彻，结果导致了人们竟然理所当然地接受了那些比同等装置风险程度高许多的风险。上述后果的一种表现就是临时移动办公室竟然布置在离排放烟囱150英尺远的范围内，而该烟囱的作用是把比空气重的烃类排放到大气中，而对此已建立的行业惯例竟未表示任何疑问。l 在竖向沟通和绩效管理程序较差的情况下，工厂内既没有足够的早期问题报警机制，也没有独立的了解标准过时的方法。事故期间所表现出来的上述行为和行动的主要原因很复杂，所以调查组在此方面花了很长时间。很显然，上述原因的形成由来已久，所以需要协力和尽职尽责的行动方能调查清楚。中期报告就下列各方面提出了建议措施；l 人员和程序l 工作管理和移动办公室的建筑选址l 设计和工程施工本报告通过一些补充的建议对上述三方面做了增补，并就管理层和主要体制方面提出了一些新的建议。目 录执行概要2主体部分1. 简 述142事故背景153事故叙述183.1 造成事故发生的事件顺序183.2 事故214证 据234.1 现场检查234.2 目击证人234.3 样品244.4 设备测试244.5 文件检查265. 证据分析285.1证据分析简介285.2 失控可能的情形285.2.1(a) 蒸汽压力/液体夹带295.2.1(b) 蒸汽生成295.2.1 (c) 氮气295.2.1 (d) 不合适的进料305.2.2 污水系统305.2.3 情形结论305.3工艺模拟305.3.1 残液分馏塔中的液体存量305.3.2 往残液分馏塔中装料325.3.3. 残液分馏塔的进料成分355.3.4 进入分馏塔的热输入355.3.5 分馏塔进料预热和进料蒸发385.3.6 排放到排污罐中的烃类数量395.3.7 排放到下水道中的烃类数量395.3.8 排放到空气中的烃类数量405.3.9 动态模拟405.3.10 技术分析的结论415.4 排放模拟415.4.1 排污罐的蒸汽扩散415.5 爆炸模拟425.6下水道455.7 样品分析455.8 操作465.8.1 控制表盘指示465.8.2 介入505.8.3 残液分馏塔塔釜液显示液位和实际液位505.8.4 液位测量的密度误差505.8.5 残液分馏塔压力控制525.8.6 结论535.8.7 排污罐的高液位报警545.8.8 卫星控制室545.8.9 外操545.8.10 超时工作555.8.11 结论555.9 危害分析555.9.1 Hazop和重审555.9.2 重大事故风险（MAR）585.9.3 行动追踪585.9.4 结论595.10 操作程序595.10.1 开车程序595.10.2 开车程序的使用615.10.3 开车程序各个步骤签字615.10.4 正常开车615.10.5 偏离开车程序635.10.6 以前历次开车中与开车程序不符的种种情况655.10.7 开车前审查665.10.8 故障排除和介入665.10.9 安全作业规程665.10.10 交接班675.10.11 操作波动/问题报告675.10.12 结论675.11 培训 （知识和技能）685.11.1 培训计划685.11.2 培训记录705.11.3 ISOM操作工705.11.4 ISOM班长（包括代班长）715.11.5 实战演习725.11.6 缺乏模拟器725.11.7 故障排除培训725.11.8 应急培训735.11.9 工艺安全知识和技能735.11.10 培训计划审核735.11.11 MOC 培训745.11.12 结论745.12 建筑选址745.12.1 规定745.12.2 行业指南745.12.3 Amoco工作规程书755.12.4 得克萨斯城的相关程序755.12.5 移动办公室755.12.6 检修用的MOC（变更管理）程序785.12.7 移动办公室的位置785.12.8 建筑选址法比较795.12.9 结论825.13 装置设计、工程和操作性825.13.1 残液分馏塔825.13.2 排污罐855.13.3 控制室885.13.4 危险区域等级885.13.5 结论895.14 设备测试895.14.1 现场测试895.14.2 车间测试925.15 维修/机械完整性945.15.1 维修计划945.15.2 残液分馏塔945.15.3 排污罐（F20）975.15.4 安全关键设备985.15.5 内部检查985.15.6 结论985.16 应急响应995.16.1 应急响应计划995.16.2 疏散警报995.16.3结论1005.17 以前历次事故回顾1005.17.1 残液分馏塔和排污罐1005.17.2 历次开车回顾1015.17.3 外部事故1025.17.4 结论1035.18 审查计划1035.18.1 PSM审查1035.18.2 gHSEr审查1045.18.3其它审查1045.18.4 纠正行动1055.18.5 结论1055.19 风险1055.19.1 风险意识1055.19.2 风险接受1065.19.3 结论1065.20 沟通1065.20.1 操作1065.20.2 工艺安全1075.20.3 结论1075.21 业务计划1075.22 测量和监控1085.23 组织机构1085.23.1操作1085.23.2 ISOM装置1095.23.3 工程1105.23.4 安全委员会1105.23.5 结论1135.24 领导1135.24.1 结论1146. 因果分析1156.1 关键因素1196.2 关键因素的原因分析1206.3 潜在文化问题1206.3.1 业务背景1206.3.2 “安全”第一1216.3.3 组织架构的复杂性及能力1226.3. 4 无能力看到风险的存在1226.3.5 缺少早期警告1237. 纠正行动建议1247.1 人员1247.1.1 管理层1247.1.2 监督1247.1.3 工作场所的环境1247.1.4 个人业绩1257.1.5 资源1257.1.6 沟通1257.1.7 操作工1257.1.8 培训1257.1.9 组织架构1267.2 程序1277.3 作业控制及移动办公室的现场布置1277.3.1 移动办公室1277.3.2 安全临界设备 (SCE)1277.3.3 建筑选址1277.3.4 危险区域等级(HAC)1277.3.5 PHAs/MOCs/Hazops1287.4 设计方案和施工1287.4.1 责任1287.4.2 ISOM的设计和施工1287.4.3报警系统1287.5 潜在系统1287.6 事故调查及报告129图图 21:残液分馏塔16图 22:事故后的排污罐和ISOM（异构化）装置17图51:图残液分馏塔的估计液位高度和时间31图52:残液分馏塔塔温度随着液位上升而增高32图53:随着分馏塔压力升高进料流速开始下降33图54:残液分馏塔塔标高34图55:泡点压力和温度35图56:事故期间再沸器燃料气流速36图57:进料/出料热交换37图58:残液分馏塔塔进料预热38图59:DCS屏幕显示残液分馏塔液位为50时未报警47图510:DCS屏上显示在液位为75时残液分馏塔液位报警48图511:所示塔底液位随着温度上升而下降52图512:LT5100 塔液位传感器测试93表表31:AU2/ISOM/NDU 装置全体操作人员18表51:进入残液分馏塔的热输入36表52:通过减压阀所排放的烃类数量39表53:流入污水系统的最大液体流量40表54:不同情形下从排放烟囱顶部出来的流量41表55:密集对爆炸过压的影响44表56:残液进料密度和温度51表57:学习和发展部培训预算69表6 - 1:因果分析115附 件1 授权调查范围2 残液分馏塔流程图3 残液分馏塔排污系统流程图4 异构化装置总图5 DP流量的零误差6 导致事故的事件时序7 残液分馏塔系统压力和液位8 残液分馏塔系统压力和温度9 损坏情况10 紧急相应时间表11 工艺样品的分析结果BSI检验报告12 文件记录13 额外证据时间表14 情形分析与评估BakerRisk风险报告15 工艺模拟PSE报告i. 导致2005年3月得克萨斯BP炼油厂安全事故的事件模拟分析16 残液分馏塔卸压机构大小评估Packer工程报告17 蒸汽云扩散的计算流体动态模拟及与观察的物理证据之间的相互关系18 爆炸模拟BakerRisk风险报告19 污水系统20 控制盘指示UOP报告21 残液分馏塔塔底液位指示22 残液分馏塔控制仪表23 报警概要24 开车历史25 残液分馏塔的指示液位和真实液位26 与ISOM事故相关的MOCs汇总27 操作工培训计划28 培训记录29 PHA检查清单、容器/换热器MAWP重新定级30 ISOM仪表问题的维修工作通知单程序31 SAP工作通知单32 以前发生的PSM审查33 组织机构图表34 因果分析35 术语表36 参考文件37 炼油厂和化工厂区占用的移动式建筑物的设计和位置实践指南签署页1. 简 述2005年3月23日星期三，英国石油公司（BP）位于北美地区的美国得克萨斯州得克萨斯城的炼油厂在异构化装置开车期间，由于临时停车而发生火灾和爆炸，此次事故共造成15人死亡、170多人受伤。现场被保护起来，第二天成立了一个死亡事故调查小组来调查事故情况、确定事故根原、提出相关建议以避免二次发生类似事故、并指出应汲取的教训。本次调查的详细授权调查范围参见附件1。得克萨斯城现场事故管理组（IMT）发出应急响应后，立即展开了事故取证工作。之后BP（英国石油公司）与承包商（雅可伯斯工程公司（JE Merit的母公司）、GE和FluorDaniel）员工成立了一个联合事故调查组，并于2005年3月26日星期六正式从得克萨斯城现场事故管理组（IMT）手中接受调查取证职责。应BP（英国石油公司）北美地区公司的要求，BP集团公司派出了一名集团公司执行长官领导该调查组，并派遣了三名炼油业务部以外的人员加入了该小组。此外，该小组成员还有得克萨斯城六名雇员，包括三名协会工作人员、三名付薪雇员，共同组成了该调查组。在BP得克萨斯城事故现场展开了为期五周的初步调查。内容包括事故现场勘查、与目击证人面谈、收集相关文件和记录等。此间进行了拍照以协助调查工作。从工艺控制系统我们拿到了硬驱动。此外，还收集了样品以进行化学分析、并付定金聘请了第三方专业公司以确证爆炸碎片和影响，并对爆炸性质和爆炸程度进行模拟。在2005年5月17日发布了中期报告。该中期报告陈述了导致此次事故的事件分析、指出了该事故的临时性关键因素、并提出了一些早期建议，以避免完成根本原因分析前发生事故重演。虽然我们认识到当时证据和分析都不全面，但是我们认为发布中期报告还是有用的，它能确保组织机构和相关行业就汲取事故教训和防止事故重演方面早日受益。自从中期报告公布以来，BP事故调查组一直在继续收集、研究和分析其它补充证据。调查组已经完成了工艺物料样品的分析和工艺以及爆炸模拟工作。另外，还完成了工艺仪表和设备的检测工作（例如液位指示器和减压阀），并对残液分馏塔做了外部检查。我们收集的所有证据都与美国化学安全委员会（CSB）和职业安全和健康管理局（OSHA）做了共享。本最终报告陈述了导致此次事故的事件分析、指出了造成该事故的一些体制原因或根本原因、并提出了一些整改措施的建议，以防止将来类似事故重演。中期报告的变化中期报告发布以来，通过进一步的调查研究我们已经确认了调查小组在中期报告中所陈述关键因素的看法。分析进一步的详细信息时，我们发现其中一处错误。在异构化装置附近有许多移动办公室，以方便对临近的超加氢裂化装置进行检修。在超加氢裂化装置南侧的F道路北面有九个移动办公室。在催化剂仓库北边异构化装置西部另外还有八间移动办公室。其中一个移动办公室宽度是其它办公室两倍，属于J.E.Merit公司。其它七个为存储间和木质建筑。2005年2月15日九个移动办公室建筑选址的变更管理（MOC）获批执行（即允许使用），对此，事故调查小组误以为是事故中所涉及的移动办公室。在进一步检查的基础上，BP调查小组现在明白了变更管理（MOC）适用于F道路北侧的九个移动办公室，而非中期报告中所述的位于异构化装置西部的移动办公室。除了J.E.Merit公司的移动办公室外，位于异构化装置西部的移动办公室就其建筑选址问题并没有按照现场程序而发起变更管理（MOC）。2事故背景得克萨斯城的炼油厂是BP公司的最大和最复杂的炼油厂，其额定能力为460000桶/每天（bpd），每天生产汽油产量达1100万加仑。此外，它还生产喷气式发动机燃料、柴油燃料和化学原料。炼油厂有30个工艺装置，占地1200英亩，拥有1800名BP正式员工。在1999年被BP公司和Amoco公司兼并前，它由Amoco公司经营管理，兼并前主要使用的是Amoco公司的安全管理体系。事故发生时另外有大约800名承包商员工在现场，正在进行大的检修工作。事故发生在异构化装置，并涉及到残液分馏塔、排污罐和排放烟囱。异构化装置把低辛烷混合原料转化成高辛烷成分以制备成无铅的普通汽油。该装置由四部分组成，Ultrafiner（超加氢精制）脱硫器、Penex（戊烷和己烷）反应器，蒸汽回收/液体循环和残液分馏塔，该分馏塔接收来自芳烃回收装置（ARU）的非芳烃物料，然后将其分馏成轻组分和重组分。事故中受伤或死亡人员大都集中在临时移动办公室中或其周围，该移动办公室的作用是支持超加氢裂化装置装置附近的检修作业。残液分馏塔残液分馏塔（分馏塔）是在1976年作为重组分超重整分馏塔（HUF）而交付使用的，作为1号超重整器的一部分，主要用于回收超重整装置所产物料中的二甲苯。1985年，超重整装置改为石脑油异构化装置，以便向政府倡导的铅淘汰计划提供所需的辛烷，而HUF分馏塔则改造为目前的用途。1987年，再次对异构化装置做了改进，为提高轻重残液的分离能力，对分馏塔做了微小的改造。改造后的分馏塔是一个单一的分馏塔，164英尺高、由70个蒸馏塔盘（从上往下数，每2英尺为一个间隔）、进料缓冲罐、加热炉再沸器、翅扇式塔顶冷凝器、以及回流罐组成。其容积大约为3700桶，可以加工来自ARU（芳烃回收装置）的45000桶/天的残液。进入该装置的总残液的40都在塔顶作为C5/C6轻组分残液而回收，并作为异构化装置的原料。剩余的重组分残液被用作烯烃裂解的原料，用以制备普通的无铅汽油。分馏塔可以与ISOM（异构化装置）结合使用，也可在异构化装置停车时单独运行而建立存量。图 21: 残液分馏塔排污系统排污系统的作用是接收、冷却和排放高温烃类蒸汽以及ISOM装置工艺波动或停车时其减压、排气和抽空系统送来的少量残余液体。排污系统由减压管道总管（两条来自ISOM装置的其它工段，加上另外一条来自分馏塔）、排污罐和烟囱（F-20）以及抽空泵组成。蒸汽从烟囱顶部扩散出去，液体流出排污罐穿过管道进入炼油厂的封闭式污水系统。F-20于二十世纪五十年代投入使用，已经历了多次改造。排污罐为立式罐，直径10英尺，带一个113英尺高的烟囱，容积大约为390bbls。分馏塔和排污系统的简略工艺流程图（PFDs）参见附件2和3。排污罐和烟囱图 22:事故后的排污罐和ISOM（异构化）装置临时办公室在得克萨斯城炼油厂和其它炼油厂，移动办公室主要用作临时办公室，例如供参与项目作业和检修的承包商作业人员使用。这种情况下，要求他们在ISOM（异构化）装置以北马路对面的超加氢裂化装置装置进行检修作业。在得克萨斯城，按照程序，要求他们建筑选址时要符合变更管理（MOC）控制程序。如果移动办公室位于工艺装置350英尺以内的距离，对此有一条特殊的要求，即需要建筑选址分析。最近的一个移动办公室是J.E. Merit公司的一间双倍宽的办公室，位于F-20基础150英尺范围内，那里就是爆炸发生时死亡人数最多的地方。还有几间事故相关的移动办公室位于两个运行装置之间，即ISOM（异构化）装置和石脑油脱硫装置（NDU）。一个不经常使用的建筑也在该区，是用来存放催化剂的。ISOM装置以及周围区域的总图参见附件4。1995年7月，当炼油厂完成被占用建筑物的综合研究，而且2002年重审期间又完成一次时，关于移动办公室的布置位置没人提出什么担心。以前，移动办公室有好几次都安放在相同的区域。3事故叙述3.1 造成事故发生的事件顺序2004年9月1日，J.E.Merit公司的一间双倍宽移动办公室安扎在ISOM装置的西侧。该移动办公室布置位置的MOC获批继续进行（即实施MOC程序以获得最终批准），10月6日进行了危险审查。事故发生前该移动办公室还未批准作业人员占用，但是从2004年10月下旬到11月上旬就已经开始使用了。随后，又有几间移动办公室布置在ISOM装置西侧，以供超加氢裂化装置检修使用，这些移动办公室包括Fluor公司、Contec（2005年1月10日）公司、Timec公司（2月4日）和Hahn &Clay 公司（2月14日）。上述移动办公室都没有启动MOC（变更管理）。2005年2月21日，由于计划性临时停车（ISOM装置的另一部分和芳烃回收装置检修），分馏塔停止运转。从2月26日到28日，分馏塔进行了蒸汽吹扫以清除烃类。停车期间进行了少量维修作业，除了F-20去污水系统的管线因腐蚀未作修理外，所有计划工作都于开车前完成。3月14日进行冷凝液低点放净，做好重新开车的准备工作。用22.5psig 的氮气加压进行气密性试验后，分馏塔于3月21号被降压。在2005年2月21至2005年3月23日临时停车期间，ISOM、NDU以及AU2装置的值班人力平时的双倍。3月22/23日的人员组成如下: 表 31:AU2/ISOM/NDU 装置全体操作人员班次岗位职责资质本报告中称作夜班值班班长 值班班长 夜班值班班长夜班内操 AU2/ISOM/NDU 装置 内操夜班内操夜班由于停车值班而享受涨薪水的操作工内操操作工A夜班2 外操 工艺技术员 无夜班4 外操外操无白班 值班班长 值班班长白班值班班长 白班内操 AU2/ISOM/NDU 装置 内操白班内操 白班由于停车值班而享受加薪的操作工内操操作工 B 白班外操- ISOM 外操 操作工 C 白班外操- ISOM 氢气装置的外操操作工 D 白班实习生外操 - ISOM无 操作工 E 白班实习生外操- ISOM无 操作工 F 白班3名外操 AU2/NDU外操不适用说明:操作工资质在第5.11.3节中有详细讨论。操作工A和B当时正享受加薪，但是不清楚临时停车期间分配他们承担此项临时任务的原因以及他们的确切职责。3月22日，得克萨斯城炼油厂生产计划部要求值班班长启动残液分馏塔。当通知仪表和电气技术员装置马上开车时，他们正在检查分馏塔上的仪表。从面谈中看出好像他们开车前还没完成所有检查工作。3月22日，3 psig（磅平方英寸）排气系统的调节阀（H-5002）动了一下，虽然从目击证人的陈述中还不清楚该阀是否能正常工作。日志中没有任何需要修理的记录或派工单。3月22/23日夜班，夜班值班班长告诉操作工A开始启动分馏塔。操作工A从交班的内操手中接管加料控制（建立液位）并选择从卫星控制室给塔加料。他把冷的进料送入分馏塔，以建立进料罐（F-1101）和塔(E-1101) 的液位、并给再沸器（B-1101）的循环回路进料。开车前，未按照程序检查塔的仪表。02:13分时，他开始以15000 桶每天的速度向塔中加入原料。到02:38分分馏塔底部液位传感器（LT-5100）开始显示逐渐上升的液位。02:44分，他打开了再沸器流量调节阀（FCV-5005），以此建立再沸器循环并向再沸器回路加入液体，结果到02:55分所示液位掉回到3（3相当于切线上大约2.9英尺高度的液位）。从那以后，分馏塔底部液位又逐渐开始上升，直到03:05分液位到达72时（相当于切线以上大约5.5英尺高度），液位指示器的高液位报警（LT-5100）启动，因为塔被注满了。操作工A承认听到了报警，并在03:08分，电话让ARU班长减少进料后，他开始将分馏塔进料速度降到大约10000 桶/小时。报警一直持续到事故发生后才得到确认，那已经是11小时后了。分馏塔装料期间，设定值为78的冗余硬连线高液位报警（LAH5102）未运行。所示分馏塔塔底液位继续上升，03:16分达到了100，03:20分ARU进料改为去储罐。操作工A关闭了分馏塔和再沸器循环的进料，把开车的其余工作留给白班去做。与NDU/AU2班长交接班后（非白班值班班长），操作工A在04:59分离开了现场。虽然操作工A从卫星控制室给分馏塔已经装料，但是他在白班内操到来之前就离开了。夜班内操与白班内操确实做了交接班，但是开车程序却还在卫星控制室。交接班时，塔的压力为4psig，塔底液位显示为100（相当于164英尺高的塔切线以上10.3英尺的高度）。关于有故障的硬连线高液位报警（LAH5102），夜班既没有口头向前来接班的白班人员报告，也没有记录在值班日志上。所以没有发出修理该报警的派工单。3月23日06:00左右，白班操作工到达后，开始正常的例行工作并检查了装置连接情况。07:13分白班值班班长进入现场。既未进行作业前的安全审查，也未详细按照操作手册进行程序预演。09:21分外操简单地打开了塔顶减压阀附近的8英寸链式排气阀，该阀将分馏塔塔中残留氮气排出去并把压力从4psig 降到标称大气压。到10:08分，上述压力又逐渐返回至0.5 psig ，这可能是由于分离器塔底低温烃类的蒸汽压力造成的。回流罐（F-1102）上的天然气接口压力设定为标称5 psig，但是没有用管道连接，所以不可能是压力源。09:41分白班内操开始了再沸器循环，09:52分以20000 bpd（桶/天）的流速恢复了分馏塔进料。在打开重残液外流调节阀（LCV5100）以确认是否已经与储罐相连后，白班内操手动关闭了该调节阀。（开车程序要求50设定值、自动模式，参见5.10节）。流量计显示重残液流量为3000到4700桶/天。这被认为是流量计的零误差，因为调节阀已经关闭，而且重残液和进料之间没有热交换。在开车开始阶段，重残液外流是唯一一条维持/控制分馏塔液位的途径，因为要把液体加热到足够高的温度使其开始产生塔顶产品需要花费时间（一般大约需要三到四小时）。大约10:00点，建立重残液外流前，点燃了再沸器火焰加热器（B-1101）中的两个主燃烧器，而该顺序与开车程序相反。之后不久，ISOM装置的白班值班班长因个人家务事离开了现场，离开之前并未确保各个步骤都符合开车程序要求。后来他陈述他已经将指挥权交给NDU/AU2的值班班长，但是无法确认该说法。11:17分点燃了加热器中另外两个主燃烧器，分馏塔塔釜液温度继续以大约每小时75F的速度上升，而开车程序规定的是每小时50F。最终点燃的主燃烧器数量不得而知，因为控制系统中没有记录，而且接受面谈的各个操作工众口不一，各自描述的是四、五或六个。这期间自始至终，分馏塔继续以大约20000桶/每天的速度进料，而重残液外流仍未打开。虽然分馏塔有持续进料输入，但是却没有液体输出。在主控室，还发生过一件有可能造成分心的事件，当时有人在11:00到11:13分以及11:15到11:50分从控制盘分机上给Galveston打了几次外线电话。早晨晚些时候，由于担心回流罐（F-1102）持续没有液位显示，所以外操检查了一下回流罐液位计底部的小孔，结果发现只有蒸汽冒出。直到13:20分前，回流罐液位变送器（LT-5006）都一直显示为0。由于没有重残液外流（并且它本应提供给进料的合成热量也增加了），加之低温液体持续进入分馏塔，所以生产塔顶轻残液的时间要比正常开车长许多。代主管和NDU/AU2装置的值班班长离开现场去打饭并于12:03分返回。代主管陈述3月23日他把75的工作时间都花在了协助ARU检修上。11:47分操作工B和实习生操作工E离开现场去给现场同事打饭，于12:05分返回。到12:20分，分馏塔塔底已经达到了开车程序所规定的目标温度275F，而分馏塔进料温度仍然只有120F。（正常的进料温度是205F）。此时进料/塔釜液换热器（C-1104A/B）中的重残液外流和进料之间还未出现换热，由此可以确认缺乏去储罐的重残液外流。11:00前进料温度从不到100F（即在量程以下）缓慢上升到120F，这是由于再沸器火焰加热器（B1101）的对流部分在加热而且进料/塔釜液交换器没有热量造成的。缺乏进料预热也延迟了分馏塔生产出轻残液塔顶产品。进料速度仍然保持20，000 桶/每天。到12:40分，分馏塔压力在塔顶冷凝器入口已经稳定上升到33 psig（正常操作压力大约是20psig），约在塔顶以下150英尺处。实习生操作工E在卫星大楼控制盘屏幕显示器上注意到了高压，并提请其它操作工注意。此时，为降低已经上升的压力，操作工C和E第二次打开了8英寸链式排气阀。操作工E报告说看到了“像是蒸汽”一样的蒸发气体从烟囱顶部冒了出来，但是操作工C告诉他不用担心，那没什么不寻常的。大约10到15分钟后，链式阀关闭，到12:55分压力降到22.6psig。到此时（12:40分），分馏塔塔底温度已经达到了302F（正常操作温度大约是275F）。该温度下，虽然上面有低温液柱压力，但是模拟还是预测到了分馏塔塔底有蒸发现象。在没有外流的情况下，分馏塔的进料继续以20000 bpd （桶/每天）的速度进行，塔中计算液位超过了130英尺。从大约12:45到13:00，在ISOM/NDU/AU2装置的控制室围着ISOM装置的控制盘召开了一次安全会议，参加人员有现场主管、各值班班长和其它20名操作和维修人员。与会人员没有一个警觉到或意识到分馏塔开车控制会有什么困难。在卫星控制盘上审查完装置状况后，操作工B打电话给白班内操，告诉他塔中需放出重残液。12:41分，白班内操打开了重残液外流调节阀（LCV5100）。但是一直到大约13:00，重残液流量才显示出流量，这点又通过高温的塔釜液和相对冷的塔进料之间所发生的热交换延迟得到进一步确认。现在不清楚为何当时该流量延迟了，但是有可能是因为重残液外流管线上的一条断流阀当时是关闭的。到13:03分，重残液流量首次与20000桶/每天的进料速度相匹配，到13:09分，稳定在31000桶/每天（该流量时，任何零误差都可以忽略，参见附件5）。分馏塔进料继续以20000桶/每天的流量进行，塔的计算液位最高达到了137英尺（采用简化计算，忽略了塔底液体蒸发的影响，所以分馏塔的实际液位要比该液位高）。如前解释，重残液外流物料与进入塔内的进料在进料/塔釜液换热器（C-1104A/B）中换热。13:01分，进料预热温度为126F，到13:10分升到260F。这一温度异常迅速上升导致进料在塔的入口迅速开始蒸发，造成了分馏塔中的成分迅速上升到进料塔盘以上。13:00点，塔中33塔盘处的温度（在进料31塔盘几英尺下方）开始迅速上升，说明热的进料正开始影响分馏塔的状况。13:02分，厂外白班值班班长从炼油厂外打电话给ISOM卫星控制室，与操作工B通话，操作工B说当时正忙，一会给他打回去。13:09分，操作工B打电话给在家中的白班值班班长，班长一听说压力趋势，立即建议打开回流罐减压阀附近的1.5英寸排气阀放出氮气。于是该排气阀被打开，到13:13分塔顶冷凝器入口压力已经从22.6 psig 降到20.5 psig。这段时期，塔入口进料速度一直保持在20000桶/每小时。还有一件有可能造成分心的事件发生了，从12:52到12:53分，从控制盘分机打出了一个电话，是打到印第安纳州的Evansville，从13:10分到13:12分，从相同的号码又收到一个电话。残液分馏塔液位如前所述，2223号的夜班已经在分馏塔中加入了进料，并把塔的塔底液位设置在（液位变送器量程内的）100，DCS设定为高液位报警模式。而白班的内操在9:52建议将进料设定为20000bpd（桶/天）。直到12:41才打开重组分残液外流调节阀（LCV5100），在大约13:00时才有重残液外流的记录。上述操作期间，在液体离开分馏塔前，液位变送器（设计是按照液气界面操作的）已经完全浸入水中，并且在DCS屏幕上有信号显示出缓慢下行至80。自始至终DCS的高液位报警一直保持在报警模式，而开车程序规定塔液位控制应当设定在50（为自动模式），但是当时却是手动模式。从9:52开始，到13:00时，大约有2500桶的液体已被加入到塔中。到13:09残液外流流量为31000bpd，超过了进料速度，但是在这么短的时间内这个流量大概只会把塔中容量降低很小一部分。13:09以前，经过简单计算表明外流量和进料量之间的差本应该可以把塔中液位每分钟减少大约4英寸，但是由于进料和塔底液体汽化不断增加的影响，所以塔中液位可能未降下去。由于在分馏塔塔液位较高（100）情况下开车（高于程序中规定的液位），并且在控制范围以外操作，因此造成了另外以20000bpd（即2500桶）的流量增加了三小时的进料量，但却没有任何外流。大约12:45时塔内液位达到了第13个塔盘的位置（有137英尺高，而正常操作液位范围为67英尺）。在上述液位下，塔内70个塔盘有57个都淹没在液体中，在第31塔盘处的进料入口已经浸入残液中。在上述情况下，分馏塔就不能作为常规的蒸馏塔来正常运行。另外，分馏塔塔釜液的高温又造成塔底烃类蒸发，从而把分馏塔液位抬高到了第13塔盘以上，但是低于塔顶管线。塔上部温度低的冷液体又把这些烃类蒸汽急冷，从而阻止了其在塔顶的蒸馏。塔内几个塔盘的温度显示确认了高温情况。11:30分时分馏塔进料和塔盘33的温度分布一致，这说明液位已经达到了第33塔盘。在12:00点，温度分布表明液位已经到达第27塔盘。到13:10分，进料预加热很快上升到260F，造成已到达进料塔盘31处的进料开始蒸发。这种情况可能已经将液位抬高到甚至高于进料塔盘以上，以至于液位很快达到了分馏塔顶部，并流入24英寸的塔顶管线。事故的详细时间线参见附件6，而描写关键工艺参数的曲线图则请参见附件7和8。3.2 事故在J.E. Merit的临时移动办公室召集了一次超加氢裂化装置检修会议，大约13:00点时参会人员已经陆续开始到达办公室。到13:00点，重残液开始从分馏塔中外流。13:13分，去塔顶冷凝器的入口压力为20.5psig (磅/平方英寸），但是开始迅速上升。该压力迅速上升可能是由于进料的预热温度上升而造成的，而预热温度则是由于与重残液外流液进行热交换而产生的，该温度将塔入口处的进料蒸发，并与塔底蒸发一起将已经过高的液位抬高至塔顶并进入塔顶管线。液体进入了位于塔顶以下150英尺处的压力变送器和减压阀上方24英寸塔顶管线。随着液柱压力在塔顶管线积聚，塔顶冷凝器的显示压力开始迅速上升。此时，操作工B打电话给白班的内操，请他降低再沸器加热器的温度，因为分馏塔底部温度已经达到了304F的高温。13:14分内操将燃料气调节阀（FCV5008，与T5025串联）从18调到了15，以降低再沸器加热器出口温度。还有一件有可能造成分心的事件发生了，13:10分到13:16分期间，ISOM/NDU/AU2控制室的值班班长电话分机接到了一个外线打入的电话，是一个当地的无线号码打来的。此外，在13:15分从控制盘的分机给PXI控制盘分机打出了一个电话，通话持续了12秒。到13:15分，去塔顶冷凝器入口压力达到了63psig (磅/平方英寸）的峰值，操作工C和E确认已经打开塔顶的减压阀（设定值为40、41和42psig）并通过一个14英寸的总管直接排入排污罐和烟囱（F-20）。13:15分时塔盘27和33处（位于进料塔盘31的两侧）温度开始迅速上升。塔盘13处的温度以及塔顶温度相当低，还不到115F，但随着进料塔盘处的液体蒸发、高温液体流往塔顶，它们的温度开始迅速上升。此时，去加热器的燃料气燃烧已经停止，操作工C和E切断了主燃烧器，并在13:19分在主控盘和卫星控制盘上都切断了燃料气控制阀。13:16分时回流罐的低低液位报警（LALL5010）清除，第一次显示出了容器中的液位，然后外操D和F在13:17分启动了回流泵（J1102A）。所显示出的流量超过了35700bpd，超出了刻度范围。在13:19分时回流泵的低液位报警（LAL5004）清除，说明容器液位已满（回流罐通常在溢流状态下工作）。DCS系统显示第二个回流泵（J1102）也于13:19分启动，虽然在事故发生后面谈过程中没有一个外操能回忆起曾经启动了该泵。大约就在此时，至少有两个目击者在对讲机中说他们看到烟囱顶部约20英尺处有液体“象喷泉一样”涌出，流到地上并在排污罐和烟囱（F20）基础附近形成了池塘。从地上的液体池塘看到有蒸汽蒸发出来。在13:20分，F-20的高液位报警（LAH5020）首次发出报警。收到对讲机信息警报并听到至少一名目击者大喊后，ISOM（异构化装置区）的一些人员立即在蒸汽燃烧前撤离了附近现场。当时未听到撤离警报。至少一名目击者看到一辆轻型载重汽车正好停在排污罐和烟囱北面，引擎还在转着而且冒着白烟。但是现在还不知道这当时是否是着火点。虽然后来的模拟试验显示只有一次爆炸，但有几个目击者说在大约13:20分听到了两次或两次以上的爆炸，第一次轻微爆炸后紧接着是一声巨响，比第一次更剧烈。爆炸严重损坏了J.E. Merit公司、Fluor公司和其它几家位于ISOM（异构化装置区）西侧的移动办公室，导致了15人死亡（11个在J.E. Merit公司的移动办公室、3个在Fluor公司的移动办公室、另外一个在附近），另有170人受伤。确切受伤人数难以查明，因为有些承包商和现场民众直接寻求医疗救治，而未参与现场急救。爆炸造成ISOM（异构化装置）损坏、引发了一些二次烃类排放和火灾。附件9有损坏情况的鸟瞰图。现场应急响应组立即发出响应，展开了搜寻和援救行动。到13:45分开始请求并动员互助力量和救生飞机展开救助。残液分馏塔的进料还未切断，在14:45分电源被炸坏时停止了进料。两小时后火势得到了控制，伤员已得到救治或送往当地医院，在16:44分时让救护车和救生飞机离开现场。大约23:00时找到了埋在残骸下的最后一具尸体。事故应急响应期间的详细时间线参见附件10。4证 据应急响应后，现场事故管理组立即展开了证据收集工作。事故发生几分钟后进行了拍照取证工作，并贯穿于整个应急响应过程。应急响应后，立即把含有工艺控制资料的硬驱动断电并于3月24日拿到硬驱动。3月24日夜调查组拿到了内操的日志本和值班班长的日志。直到4月2日方得到ISOM（异构化装置）还在使用的开车程序的硬拷贝。BP事故调查组将所有收集到的证据与职业安全和健康管理局（OSHA）以及美国化学安全委员会（CSB）进行了共享。4.1 现场检查进入ISOM（异构化装置）受到OSHA（职业安全和健康管理局）的管理，并进一步受到法院发布的禁止令的限制。2005年4月1日，调查组一名成员得到OSHA（职业安全和健康管理局）的批准进入ISOM装置。但是，未批准进入ISOM与石脑油脱硫装置（NDU）之间的区域，该区域内是那些移动办公室的所在地。主要观察结果如下:l 给塔（E1101）供应原料的三条管线中间的那条上的阀门看起来好像是位于开启位置。顶部进料管的阀门后来得到确认，其开度为四分之一，而底部管线上的阀门为关闭状态。l 3psig (磅/平方英寸）排气管在调节阀下游为阻断状态l 去F-20的8英寸链式排气阀位置为关。l ISOM（异构化装置）的爆炸损坏主要位于装置西侧l 去F-20的回流罐1-英寸排气管线上的断流阀为关闭状态。2005年4月6日，调查组的其余成员获得许可进入事故现场。主要观察结果如下:l ISOM（异构化装置）的详细火灾和爆炸损坏情况l F-20附近的火灾损坏情况，包括钢筋混凝土结构和混凝土基座的层裂情况l 从分馏塔去F-20的14英寸放泄管线上的阀门以及6英寸F-20出口管线为开启状态l 卫星控制室的损坏情况l 催化剂仓库的损坏情况l 确认了早期观察到的结果:3 psig (磅/平方英寸）排气管在调节阀下游为阻断状态l 确认了早期观察结果:8英寸链式排气阀位置为关。l 确认了有关分馏塔进料管线上阀门位置的早期观察结果l ISOM（异构化装置）和NDU（石脑油脱硫装置）之间的移动办公室损坏情况l 从F-20到排水系统的液体排放管线的腐蚀情况随后，调查组成员又多次进入现场调查了工艺容器和管线的取样情况，以及工艺仪表和控制设备的检测情况，同样还调查了工艺排水系统的损坏情况。此外，还出资聘请了几家第三方专业公司以确证和分类爆炸碎片和影响，并对爆炸性质和爆炸程度进行模拟，并允许上述专业公司深入现场调查取证。4.2 目击证人2005年3月24日，在现场事故管理组（IMT）组织下开展了首次目击证人面谈。中期调查证据收集阶段的面谈工作于2005年4月28日结束。在2005年8、9、11月又另外进行了面谈。后期的多次面谈主要是为了解决首次证词中所出现的言词不一致的情况。调查中，调查组共对73人进行了106次面谈（68位BP员工，5位承包商），收到了27份证人书面证词。大部分面谈过程中都有法庭记录员在场。4.3 样品4月12日和19日在管理机构人员到场的情况下，从各个不同的工艺物料中取样，并送到一家独立的经认证的试验室BSI Inspectorate（英国标准协会所属英斯贝克集团）进行分析化验。环境标准公司（ESI）代表BP调查小组对上述分析进行了质量保证监督。样品分为两组，一组由BSI Inspectorate （英国标准协会所属英斯贝克集团）进行分析，另外一组由BP分析。以下是所采集的样品:l 从进料泵（J-1101）入口采集了残液分馏塔烃类液体进料l 从重残液产品冷却器（C-1106）的出口采集了残液分馏塔烃类液体塔釜液l 从回流泵（J-1102）入口采集了残液分馏塔烃类回流液l 从轻残液产品冷却器出口采集了残液分馏塔塔顶产品（C-1107）l 从抽空泵（J-14A）入口采集了排污罐和烟囱的烃类液体l 从进料缓冲罐（F-1101）处采集了残液分馏塔烃类液体进料l 从流量阀（FV-5007）出口采集了残液分馏塔烃类回流液l 从流量调节阀的管线上（FCV-5106）采集了残液分馏塔塔顶产品l 从分液罐（F-452）泵（J-454A）采集了残液分馏塔塔顶水详细分析结果参见附件11。在ISOM（异构化装置）周围好几处进行了取样以检查是否含有水。但是该检查无效，因为在下述位置在一种透明液体出现的情况下我们得到了前后矛盾的报告，这些透明液体有可能是水或烃类产品。l 在第一个取样瓶中有60回流调节阀（F-5007）透明液体l 回流泵（J-1102）起初有23杯透明液体l 我们发现残液分馏塔（E-1101）的透明液体是从抽空管线上的一个-英寸的放泄塞滴出来的。4.4 设备测试对仪表项目和工艺控制设备的测试是在现场就地或有人监督情况下拆卸下来送回车间进行的。所有测试工作都是按照所编写的备忘录进行的，而该备忘录是按照设备制造商的维修步骤而编写并经过所有调查相关方的同意（包括BP、CSB、OSHA和原告的专家）。在现场按照原状就地对设备进行了测试，以评价其功能，有时还要测试仪表的信号输出情况。仪表测试包括以下内容:l 调节阀l 液位变送器l 液位开关l 流量变送器检测期间ISOM（异构化装置）没有DCS和公用工程，所以每个设备现场测试时，如果需要，则用手持计量器和瓶装压缩空气进行测试。我们聘请了第三方仪表公司Industrial I&E提供专家支持，以处理各种仪表连接、测量仪表输出并提供调节阀输入信号。在2005年6月21日到7月18日期间，相关各方都观察并记录了测试结果。拆卸下来的供测试的设备项目被送往独立的专业工程机构进行测试。减压阀下列减压阀（RVs）被拆卸下来送至一家专业的第三方测试机构，Groquip公司，以便进行测试和内部检查:l 残液分馏塔塔顶管线（RV1001A/B/C）l 回流罐（RV1002G）l 轻残液产品外流管线（RV1199G）调节阀下列各个调节阀则由Industrial I &E （英国标准协会所属英斯贝克集团）就地进行测试:l 残液分馏塔塔（LCV5100）l 轻残液跨接至重残液（PCV5012）l 残液分馏塔塔的进料 （FCV5000）l ARU残液进料（FCV5003）l 总残液进料（LCV5006）l 残液分馏塔回流罐到3 psig (磅/平方英寸）排气系统（PCV5002）l 去残液分馏塔的回流液流量（FCV5007）l 回流罐（PCV1002）l 去再沸器炉的重残液（FCV5005）下列调节阀由一专业第三方公司Stress Engineering Services拆卸后进行了车间测试和检查.l 送往塔（FCV5000）的残液进料l 去3系统的回流罐排气（PCV5002）l 残液塔重残液外流（LCV5100）仪表首先确定了一些关键仪表，然后由Industrial I &E （英国标准协会所属英斯贝克集团）就地测试，以验证PI/DCS记录的准确性。l 液位传感器 进料缓冲罐（LT5007） 残液分馏塔塔（LT5100） 回流罐（LT5008）l 流量传感器 燃料气（FT5008） 去再