儲(chǔ)i3000-156x50（2）.jpg)
對(duì)于任何在過程工業(yè)中工作的人來說，以下是一段熟知的情節(jié)：2005年3月23日，在美國(guó)德克薩斯城的煉油廠，可燃液態(tài)烴噴涌與排放煙囪釋放出來的蒸汽引燃并引起一場(chǎng)大火。其結(jié)果是：15人死亡，180人受傷。所有的遇難者當(dāng)時(shí)都處在排污罐周圍的一組辦公室拖車?yán)锩婊蚋浇．?dāng)時(shí)，德克薩斯城是由英國(guó)石油公司（BP）在運(yùn)營(yíng)，并且是其公司最大、全美國(guó)第三大煉油廠。
經(jīng)過10年的事后總結(jié)，我們學(xué)到了什么？這個(gè)影響深遠(yuǎn)的過程安全事故不是發(fā)生在具有嚴(yán)格遵守安全規(guī)程并具有悠久安全文化歷史的工廠里的一次一時(shí)糊涂。正相反，這個(gè)煉油廠在之前的30年里發(fā)生的事故一共造成了23人死亡，其中僅僅2004年就有3人死亡。對(duì)于那個(gè)發(fā)生事故的設(shè)備來說，這甚至也不是第一次發(fā)生違反安全規(guī)程的事故了。在2005年之前，發(fā)生在那個(gè)煙囪的嚴(yán)重的可燃物質(zhì)泄漏事故已經(jīng)多達(dá)8次了，可是卻一直沒有人調(diào)查其原因。
在事故發(fā)生后，美國(guó)職業(yè)安全和健康署（OSHA）調(diào)查組曾對(duì)BP公司處以2100萬美元的罰款，因?yàn)橛?01項(xiàng)故意違規(guī)行為，這也成為該公司歷史上最大的一筆罰單。諷刺的是，OSHA并沒有對(duì)現(xiàn)場(chǎng)的其他29個(gè)流程單元進(jìn)行全面的檢查。而且，在數(shù)月之內(nèi)該工廠又接連發(fā)生了兩起主要事故，導(dǎo)致超過3000萬美元的損失（盡管沒有人員死亡）。
關(guān)于事故原因的調(diào)查，一開始人們將矛頭指向了人力資源以及硬件的問題。隨后的調(diào)查報(bào)告指出更多的問題，包括幾十個(gè)設(shè)備老化的現(xiàn)象、過程控制系統(tǒng)和安全系統(tǒng)不完善、以及人員的培訓(xùn)不合格、經(jīng)驗(yàn)不足等。那些報(bào)告還指出，該公司在1999年和2005年兩次大幅削減生產(chǎn)方面的預(yù)算，員工也被減少了一些。
美國(guó)化學(xué)安全與危害調(diào)查委員會(huì)在“3.23事故”發(fā)生兩年以后發(fā)表了對(duì)這個(gè)特別事故的調(diào)查報(bào)告。該報(bào)告引述了在哥倫比亞號(hào)航天飛機(jī)失事之后由哥倫比亞事故調(diào)查委員會(huì)發(fā)表的一個(gè)非常有見解的意見。它指出，“許多事故調(diào)查在定義事故原因的時(shí)候犯了同樣的錯(cuò)誤。他們的思路是先先找到損壞或工作異常的部件，然后找出與該技術(shù)故障聯(lián)系最緊密的人員：如，分析時(shí)計(jì)算錯(cuò)誤的工程師、錯(cuò)過信號(hào)或者拉錯(cuò)開關(guān)的操作員、沒有仔細(xì)聆聽的負(fù)責(zé)人、又或者做出錯(cuò)誤決定的管理人員。如果原因鏈條僅限于技術(shù)缺陷和個(gè)人的失誤，接下來發(fā)生的以及防止未來再次發(fā)生類似事件的對(duì)策也會(huì)同樣地有限。他們的目標(biāo)是修復(fù)技術(shù)問題并替換或者再培訓(xùn)負(fù)責(zé)的人員。這樣的更正行為會(huì)引起誤導(dǎo)，并有可能引發(fā)產(chǎn)生災(zāi)難性后果的信念，即潛在的問題已經(jīng)得到了解決。”
針對(duì)這個(gè)事故，如果將其定義為殘液分離塔內(nèi)的液位儀表和安全儀表系統(tǒng)（SIS）故障，并導(dǎo)致沒有經(jīng)驗(yàn)的操作員繼續(xù)將可燃原料泵進(jìn)分離塔內(nèi)，甚至他們都不能解釋那么大的體積的原料都去了哪里，這樣的報(bào)告就簡(jiǎn)單了。將原料泵進(jìn)分離塔是與正常啟動(dòng)相違背的步驟。然而，沒有報(bào)警提醒控制室當(dāng)時(shí)正在發(fā)生什么，而且沒有SIS關(guān)停泵。
企業(yè)需要集中資源努力創(chuàng)造低風(fēng)險(xiǎn)的工廠運(yùn)行。圖片來源：ABB
錯(cuò)誤的安全衡量方法
如果一個(gè)企業(yè)的文化會(huì)忽視安全，你如何想象每天的工作？
從2005年德克薩斯城的大火中可以得到的收獲是長(zhǎng)達(dá)10年的反省，以及針對(duì)當(dāng)時(shí)工廠里的做法開展的大量討論。很難想象在那里工作的每個(gè)人會(huì)具有任何個(gè)人安全意識(shí)，對(duì)于那些大部分醒著的時(shí)間都是被包圍在大量的可燃和易爆產(chǎn)品的人員來說，對(duì)于一直存在的危險(xiǎn)一定變的麻木了。我們希望，理性的人員可以找到一種方式利用他們對(duì)于危險(xiǎn)的了解來指導(dǎo)他們的行動(dòng)并激勵(lì)他們安全地工作。也許對(duì)于現(xiàn)場(chǎng)的1800名員工和800家承包商中的很多人來說，行為安全的意識(shí)可能就足以讓他們保住性命。
事實(shí)上，根據(jù)那場(chǎng)事故之后的調(diào)查提供的眾多證據(jù)顯示，在BP公司高層方面有安全文化方面的失誤，還有它在一般的煉油廠特別是德克薩斯城的煉油廠里出現(xiàn)的安全管理的失誤。以下引述美國(guó)化學(xué)安全與危險(xiǎn)調(diào)查委員會(huì)的報(bào)告原文：
1.6.2：董事會(huì)沒有為BP公司的安全文化和主要事故預(yù)防計(jì)劃做出努力。董事會(huì)沒有負(fù)責(zé)人對(duì)于BP公司的重大事故危險(xiǎn)預(yù)防計(jì)劃進(jìn)行評(píng)估和核實(shí)。
1.6.3：相信作為安全方面的指標(biāo)，在德克薩斯城的人員低傷害率反映的并不是工藝安全績(jī)效和安全文化健康狀況的真實(shí)情況。
1.6.7：安全活動(dòng)、目標(biāo)和獎(jiǎng)勵(lì)集中在提高人員安全衡量方法和工人行為方式上，而不是在過程安全和管理安全系統(tǒng)上。由于在煉油廠所有的層面上都沒有嚴(yán)格執(zhí)行許多安全規(guī)定和做法，德克薩斯城的管理者們沒有吸取安全方面案例的經(jīng)驗(yàn)教訓(xùn)。
這并不是說在該工廠里就沒有關(guān)于安全的討論，只不過側(cè)重點(diǎn)是在職業(yè)和行為方面的元素，例如帶上你的防護(hù)眼鏡，不要留下危險(xiǎn)因素等等。在這方面，該工廠做的相對(duì)較好，管理者鼓勵(lì)每一個(gè)級(jí)別的參與者。早在2001年啟動(dòng)的一項(xiàng)名為“德克薩斯城煉油廠安全挑戰(zhàn)”的計(jì)劃中，BP公司就讓就員工們意識(shí)到不安全的行為導(dǎo)致了現(xiàn)場(chǎng)90%的人身傷害?？偟膩碚f，參與這項(xiàng)計(jì)劃的員工們?cè)?004年提交了48000份安全觀察報(bào)告。不幸的是，正如上文1.6.3中講到的，該計(jì)劃實(shí)際上忽略了過程安全系統(tǒng)以及與過程安全相關(guān)的行為。
那么這會(huì)置員工于什么境地？一方面，他們被要求匯報(bào)個(gè)人的不安全行為，可是他們忽視了一個(gè)事實(shí)：殘液分離塔內(nèi)底部的觀察孔太臟了，而且好幾年沒人讀取過了。
對(duì)于在其職業(yè)生涯中第一次進(jìn)行機(jī)組啟動(dòng)的操作員，并且在控制室里沒有其他有經(jīng)驗(yàn)的人，會(huì)發(fā)生什么狀況？幾年之前，Amoco公司已經(jīng)計(jì)算出在啟動(dòng)的時(shí)候安全事故發(fā)生的幾率要高出平常10倍。類似的，安全風(fēng)險(xiǎn)管理的基本概念也很清楚地要求在殘液分離塔經(jīng)過一段時(shí)間停機(jī)以后再次啟動(dòng)的時(shí)候，最優(yōu)秀的、經(jīng)驗(yàn)最豐富的操作員應(yīng)該在場(chǎng)。如果向塔內(nèi)注入物料的泵已經(jīng)工作3個(gè)小時(shí)，操作員應(yīng)該向上級(jí)主管匯報(bào)，“我真的不知道這些液體都去了哪里。我不能從任何儀表的讀數(shù)上解釋這種現(xiàn)象。有些地方出了錯(cuò)誤。我們一定是把塔注滿了。”這樣可能就會(huì)帶來不同的結(jié)果。除此以外，向塔內(nèi)泵入原料與啟動(dòng)步驟是相違背的。
如果一個(gè)工廠處于不良狀態(tài)，就像這個(gè)工廠當(dāng)時(shí)的狀態(tài)，唯一的補(bǔ)救辦法是請(qǐng)一些非常聰明的人來，他們可以對(duì)工作異?；蛉笔У脑O(shè)備創(chuàng)建他們自己的工作流程。對(duì)于更加有經(jīng)驗(yàn)的操作員來說，如果他不能核實(shí)泵出的物料量相匹配時(shí)，絕不會(huì)繼續(xù)向塔內(nèi)泵入物料。經(jīng)驗(yàn)豐富、了解工藝的操作員可以查看儀表并說，“那是不對(duì)的。”當(dāng)然，這種方式也僅能走到這一步。最終，即使是天賦最好的人也不能為這樣的差異做些什么。何況是正在努力學(xué)習(xí)階段的操作員，面對(duì)這種情況根本就沒有辦法。
故障和誤區(qū)
殘液分離塔沒有工作正常的液位傳感器——其危險(xiǎn)的結(jié)果是溢流。不過是什么特殊的事件引發(fā)了災(zāi)難？
在2005年3月23日，殘液分離流程在停機(jī)之后再次啟動(dòng)。該設(shè)備單元已經(jīng)在1月21日停機(jī)了，因此塔內(nèi)可能被排空、清洗并通過蒸汽清潔去除殘留物。很顯然，對(duì)于塔內(nèi)安裝的液位傳感器的檢查工作什么都沒有做，而且因?yàn)樘K很多年沒有使用的安裝在底部的觀察孔也沒有被檢查。操作員在準(zhǔn)備再次啟動(dòng)的時(shí)候曾經(jīng)報(bào)告回流罐的泄壓閥無法從控制室里操控，可是這也同樣沒有得到解決。根據(jù)BP公司的規(guī)程，僅僅那一個(gè)閥門的故障就應(yīng)該可以防止再啟動(dòng)操作，除非它被解決好了。
建立好的安全管理程序也要求在啟動(dòng)前進(jìn)行徹底的安全檢查（PSSR），但是這個(gè)要求與其他關(guān)于在啟動(dòng)期間合適的人員配備的要求一起都被跳過了。一個(gè)PSSR會(huì)檢查并驗(yàn)證所有的安全儀表及其他相關(guān)設(shè)備，不過那幾乎一定會(huì)延遲設(shè)備單元的再次啟動(dòng)運(yùn)行。而該工藝在開啟運(yùn)作之前并沒有獲得所需要的簽署?；镜倪^程安全和環(huán)境保護(hù)規(guī)程都被忽視了。
在日常運(yùn)行中，殘液分離塔會(huì)有7到9英尺深的液體，溢流會(huì)從液體上方的托盤流下來。盡管液位指示器不能正常工作，夜班的操作員還是會(huì)把分離塔注入到正常的深度。夜班的負(fù)責(zé)操作員會(huì)在分布式控制系統(tǒng)（DCS）顯示液位到了8.95英尺(99%)時(shí)停止向塔內(nèi)注入，而實(shí)際液位是13.3英尺。白班沒有經(jīng)驗(yàn)的操作員啟動(dòng)流程并向塔內(nèi)泵入原料，盡管沒有顯示有任何原料送到下游。直到上午11:50，塔內(nèi)的液位已經(jīng)達(dá)到了98英尺，而DCS的顯示仍為8.4英尺（88%）。在不到1小時(shí)的時(shí)間內(nèi)，液位升到140英尺，在下午1:14，原料開始從溢流管道流出到排污罐。到下午1:20，液體從煙囪里釋放出來，形成蒸汽云、被點(diǎn)燃、然后發(fā)生爆炸。
在這次事故中，4個(gè)液位傳感器沒有工作，所以無法了解即時(shí)系統(tǒng)中的所有液位傳感器的狀態(tài)。由于該塔是一個(gè)蒸餾塔，它不應(yīng)該像存儲(chǔ)罐那樣進(jìn)行注入。
正常運(yùn)行情況下的最高液位是不超過10英尺。正常的過程控制液位傳感器會(huì)向DCS傳送讀數(shù)，可是最終卻給出了極其不準(zhǔn)確的讀數(shù)。對(duì)這個(gè)傳感器進(jìn)行驗(yàn)證檢查的通常方式是通過觀察孔查看，可是觀察孔太臟了，很多年都沒人使用。高液位報(bào)警傳感器損壞，導(dǎo)致機(jī)械裝置鎖定而無法做出響應(yīng)。
塔內(nèi)沒有其他的液位傳感器。即使它們都工作正常，一旦液體已經(jīng)超過高液位報(bào)警傳感器，操作員就無法判斷其深度是12英尺、50英尺還是150英尺。
4個(gè)不工作的液位傳感器位于排污罐。它還有一個(gè)損壞的浮球，無法警告排污罐即將溢流。雖然這個(gè)浮球不會(huì)避免事故的發(fā)生，但是它最起碼可以啟動(dòng)報(bào)警來讓人們撤離該區(qū)域。
任憑設(shè)備的狀況惡化到?jīng)]有一個(gè)液位傳感器正常工作的地步，加上在沒有進(jìn)行充分的安全檢查的情況下就決定重啟該單元，發(fā)生事故只是早晚的事。這也反映了當(dāng)時(shí)該工廠的企業(yè)文化，即對(duì)產(chǎn)品的關(guān)注被置于安全之上。
要徹底解決德克薩斯城煉油廠的安全問題會(huì)要求相當(dāng)長(zhǎng)的一段時(shí)期內(nèi)關(guān)停該設(shè)施來進(jìn)行大的升級(jí)改造，可是沒人能夠強(qiáng)制執(zhí)行這樣的改造。作為當(dāng)時(shí)全美第三大煉油廠，停產(chǎn)帶來的每天1000萬加侖汽油的損失，將導(dǎo)致美國(guó)能源供應(yīng)鏈吃緊，而且股東們也無法接受這樣的損失。這就是現(xiàn)實(shí)。（作者：Luis Durán）
關(guān)注本刊微信訂閱號(hào)