CSB经典案例分析—霍尼韦尔公司制冷剂生产装置换热器内漏导致的液氯泄漏事故

摘要

本文结合美国化学品安全与危害调查委员会（CSB）对2003年霍尼韦尔公司制冷剂生产装置一个管壳程式换热器内漏导致的液氯泄漏事故的调查，详细介绍该起事故的发生背景、过程与后果，并从技术和管理角度综合分析、总结导致此次事故的各方面原因，分享CSB调查组根据事故调查结果总结的经验教训和建议措施。

关键词:制冷剂系统、换热器、液氯、泄漏、美国化学品安全与危害调查委员会(CSB)

2003年7月20日，隶属于霍尼韦尔国际公司的一套位于BatonRouge的制冷剂生产装置的一个液氯冷却器发生失效，导致液氯泄漏进入制冷剂（极冷致@G-143a）系统，然后制冷剂系统本身也发生失效，进而导致液氯泄漏进入大气环境中。液氯蒸发形成的氯气经HVAC系统存在的缝隙进入控制室，致使控制室内的操作人员迅速撤离。

泄漏事故持续了约3.5小时，导致整个装置区域紧急疏散，半径800米范围内的居民被要求采取就地避难措施。事故造成装置的7名工作人员受伤。

2.1 公司背景

霍尼韦尔国际公司BatonRouge装置自1945年开始投入生产，拥有超过200人的全职员工。主要生产基于碳氟化合物的制冷剂和氯化钙，另外还有一套用于制冷剂回收和循环再利用的装置。

氟化氢和氯是装置生产用的两种主要基本原料。装置中氯和氟化氢的存有量均符合美国职业安全卫生署过程安全管理标准(OSHAPSM)和美国环保署风险管理标准（EPARMP）。

2.2 工艺描述

霍尼韦尔BatonRouge装置使用氯作为原料生产极冷致@G-143a，7月20日的泄漏事故发生在为G-143a反应器供给氯的系统。如图1所示，氯从一辆轨道车中经过一个冷却器输送至反应器。该冷却器的设计目的是确保氯始终维持液相状态进入反应器。液氯轨道车设有一个紧急切断系统，能够关闭与液氯轨道车连接的设备或工艺管线的所有阀门，实现在意外情况下液氯轨道车的有效隔离。

图1：液氯供料和冷却系统流程简图

液氯冷却器是一个采用碳钢材质的立式管壳程换热器，直径约150mm，高度约2.4m。如图2和图3所示，液氯流经管程，冷却液流经壳程。冷却液采用BatonRouge装置生产的含氯氟烃制冷剂，经过一系列设备进行连续循环。

图2：管壳程换热器示意图

图3：液氯冷却器现场图

来自冷却器的液氯经过一个隔离阀进入G-143a反应器。装置正常运行过程中，反应器隔离阀处于打开状态。此次事故发生时，工艺的自动关断步骤和手动关断程序均依靠这个隔离阀来关停液氯向流程中的供料。G-143a反应器的关断程序不包括液氯轨道车的关断系统。

2.3 氯

氯可以被用来生产很多种产品，包括家用漂白剂、消毒剂、杀虫剂、药品、塑料管、硅芯片和汽车零部件等。在室温条件下，氯是一种青黄色气体，密度约为空气密度的2.5倍。当氯气浓度低至0.2ppm时，氯气气味就可以很容易被闻到和发现。氯对人员身体健康的影响如表1所示。人员吸入氯气会刺激鼻腔、咽喉和肺部的粘膜，皮肤和气态或液态氯的直接接触还可能导致化学灼伤。

表1：氯气对人员健康的影响

2003年7月20日早上3:10左右，位于控制室内的操作人员闻到了氯气味儿，1名操作人员立即出去调查情况，在G-143a反应器冷却系统输送泵处发现了泄漏情况。由于泄漏物料看起来像是从冷却液泵位置泄漏出来的，所以操作人员开始只是认为泄漏范围只限于冷却系统。控制室外的装置人员很快意识到他们需要额外帮助和保护性设备，才能有效控制泄漏事件。然而，在他们能够采取相应措施之前，控制室内部和外部的氯气浓度已经升高到无法控制。操作人员开始出现呼吸困难现象，在他们能够确定氯气从冷却液泵泄漏的原因之前，他们被迫不得不从现场区域撤离。他们离开时，G-143a反应器仍处于运行状态。

早上3:25时，装置人员已经撤离到厂区大门处，并向当地政府机构上报发生了II级事件（影响范围限于厂区内部，存在影响厂区外部区域的可能性）。到了早上3:29，霍尼韦尔将事件等级升级至III级事件（影响范围扩大至厂区外部）。随后，装置现场的水喷淋塔被启动（如图4所示），通过喷嘴向现场区域喷水，控制氯蒸汽的扩散和蔓延，降低空气中氯气的浓度。

图4：水喷淋塔

装置的应急响应人员启动了事件指挥系统，开始尝试阻止泄漏的持续。但是，由于氯气进入了控制室，并影响了工艺控制系统，导致工艺控制系统无法正常操作，装置应急响应人员只能手动关停G-143a反应器系统。当G-143a反应器系统被关停后，应急响应人员发现氯气仍在继续泄漏，只能把液氯轨道车隔离才能停止泄漏。

上午6:46左右，霍尼韦尔应急响应人员手动把液氯轨道车隔离阀关闭后，氯气泄漏才被最终控制。根据事故前后的液氯轨道车的重量进行推算，霍尼韦尔估算最多可能泄漏了约6.5t的液氯。

4.1 机械完整性

如图5所示，导致氯泄漏的直接原因是液氯冷却器内部的失效，造成液氯进入冷却液系统。由于霍尼韦尔没有考虑到冷却液泵可能接触液氯的工况，所以冷却液泵的材质不能和液氯相容。进而冷却液泵失效，造成液氯泄漏进入大气环境中。

图5：液氯冷却器失效，导致冷却液泵处泄漏

OSHAPSM标准和EPARMP规定均要求适用范围内的工艺装置应建立机械完整性管理程序，确保工艺设备的设计、建造、安装和维护符合相关要求，从而尽可能降低化学品意外泄漏事件发生的可能性。

液氯冷却器是根据美国机械工程师协会（ASME）规范发证的压力容器，于1986年建设和安装。液氯冷却器内部的管束壁厚约2.8mm。2000年9月，对液氯冷却器壳程的放空和排凝进行了改造，改造符合锅炉和压力容器标准以及ASME规范要求，并经有资质的人员进行检查和发证。2001年7月，G-143a反应器发生一次事件，导致冷却系统被催化剂和其他反应器组分污染。随后冷却系统被倒空，并重新充装，而且对所有的相连管线均进行了检测，以确定污染事件是否对系统管线造成了破坏。当时没有发现液氯冷却器被破坏。

根据霍尼韦尔机械完整性管理程序，液氯冷却器每年进行目视外观检测，每两年使用磁通量泄漏检测技术进行检查。磁通量泄漏检测是一种无损检测技术，使用磁学原理对铁磁材料（例如碳钢）进行检查。2001年对液氯冷却器进行的外观目视检查和磁通量泄漏检测没有发现管束堵塞、可测缺陷和管束壁厚减薄现象。

事故后，液氯冷却器被切割，对内部进行了检查。通过目视检查发现管束上存在3个孔，而且腐蚀产物在底部聚集，如图6所示。所有的腐蚀产物和泄漏孔都位于冷却器的下部，泄漏孔起源于管束的外表面。目视检查后，霍尼韦尔承包商进行的磁通量检测验证了其中的2个泄漏孔，但是对第3个泄漏孔的检测结果只是显示存在明显的管束壁厚减薄。

图6：液氯冷却器管束上出现的2个泄漏孔

CSB调查组联系了电力研究院（ElectricPower Research Institute, EPRI）。EPRI研究了几种无损检测技术，包括磁通量技术、远场涡流检测技术和磁偏置涡流技术。EPRI表示，针对特定的应用，不同的无损检测技术各有优劣。对于较厚的碳钢管束（例如液氯冷却器内部的2.8mm厚的管束），磁通量检测技术可能无法探测出所有的缺陷。EPRI还提醒，在选择最合适的无损检测技术时，应针对性的考虑管线的厚度和材质问题。

根据此次事故情况和CSB调查组的研究，应根据使用经验和无损检测技术的最新发展情况，对无损检测程序进行定期审查和完善。虽然很多公司都在使用磁通量检测技术，此次事故说明，在涉及换热器（例如此次事故中的液氯冷却器）的无损检测应用时，磁通量检测技术并不是最好的选择。

4.2 工艺危害分析

CCPS关于危害分析的定义为：与工艺或活动相关的危险场景的潜在风险分析。一次常规的工艺危害分析（PHA）通过使用定性的技术方法识别潜在的工艺危害、可能导致的后果以及相应的安全保护措施。根据OSHAPSM标准的要求，霍尼韦尔针对G-143a系统进行了工艺危害分析。

1994年9月，使用HAZOP和whatif方法对针对G-143a系统进行了工艺危害分析。分析小组没有考虑氯泄漏的工况，分析G-143a系统出现这类偏差时可能造成的影响，也没有识别出液氯冷却器管程存在泄漏的可能性。

2000年1月，同样采用HAZOP和whatif方法对G-143a系统的工艺危害分析进行了回顾。此次工艺危害分析识别了液氯供料系统存在泄漏工况的可能性，但是仍没有关注特定单个设备（例如液氯冷却器）可能泄漏的具体事故场景。分析小组认为，液氯系统泄漏工况的后果可能是轻微伤害，不会对装置外部区域造成影响。

2002年6月，霍尼韦尔对另一套制冷剂系统（G-113R-1）进行了工艺危害分析回顾，这套系统使用的液氯供料系统和冷却系统和G-143a系统一样。在这次工艺危害分析中，霍尼韦尔讨论了液氯冷却器管程出现泄漏的可能性，并认为液氯可能进入冷却液系统。在分析记录文件中，“设计、检查和检测”被列为安全保护措施，霍尼韦尔认为这些措施是足够的。分析过程中，霍尼韦尔认为液氯冷却器的失效可能导致液氯冷却系统被污染，但是，他们没有进一步评估这种污染可能导致的后果，也没有讨论是否需要相应的预防和减轻措施。

在上述三次工艺危害分析工作中，PHA小组把常规的行政管理措施作为有效的安全保护层，例如，“标准操作规程”、“设计”、“适当的应急响应程序”和“检查和检查”等均被列为应对液氯供料系统泄漏场景的安全保护措施。通常在工艺危害分析时，需要对潜在事故场景的后果进行充分评估后，确定现有的安全措施是否能够提供足够的保护。高级别的风险场景则需要高级别的安全保护措施，对于管理类的保护措施（例如操作和维护程序），一般认为是较低级别的安全保护措施。在很多的危害分析中，一般使用“保护层分析”的方法进行评估，确保当一层保护失效时，其他保护层还能够提供足够的保护。

综上所述，霍尼韦尔的工艺危害分析工作没有充分、有效评估液氯进入冷却系统的可能性和相应后果，而且分析中提出的安全保护措施不足以预防、控制或减轻大型液氯泄漏事件的工况。

4.3 变更管理和液氯系统关断

变更管理（MOC）用于评估工艺发生变更时可能带来的安全问题。当G-143a系统最初建成时，使用一个1t容量的容器为装置提供液氯。后来液氯供料系统进行了改造，改造后使用已有的轨道车系统（本身设置了输送关断系统）为装置提供液氯原料。该关断系统包括远程操作阀门，操作人员可以在控制室内远程手动关闭阀门，但是没有设置氯监控设备，不能自动关闭阀门并隔离液氯轨道车。改造工程增加了系统内可用的液氯量。在液氯轨道车投用之前，进行了变更管理审查。

变更改造时，液氯轨道车系统在BatonRouge装置其他地方已处于使用状态，所以它的输送关断控制系统和G-143a系统的关断控制是互相独立的。正常情况下，当G-143a系统被关断时（通过标准操作程序，或者自动关断程序），不会关断来自轨道车的液氯供料。但是，控制室内的视频摄像头可以监控液氯轨道车，如果控制室操作人员发现泄漏，他们可以远程关断液氯轨道车。

由于液氯轨道车的容量较大，对于液氯轨道车的系统隔离要求应更为严格。在变更管理审查时，进行了一次简单的whatif分析过程，分析认为现有的轨道车关断系统对于液氯泄漏工况是一个充分、有效的安全保护层，没有建议将液氯轨道车隔离程序和G-143a系统关断程序整合在一起。如果当时把液氯轨道车隔离程序和G-143a系统关断程序整合在一起的话，很可能有效降低事故中液氯的泄漏量，减轻事故后果的严重程度。

4.4 正压控制室的设计和维护

由于装置工作人员反映控制室内有异常气味进入，而且通过工程分析发现，控制室存在高度危险物质（氟化氢）进入的风险，霍尼韦尔在1998年把控制室改造成了正压控制室。霍尼韦尔的工程设计团队负责了控制室改造项目。改造后，控制室可以实现在发生化学品泄漏的情况下为工作人员提供短时间的保护，以便人员可以在撤离前能够安全地关停生产系统。操作人员在关停生产系统后，使用位于控制室内的逃生呼吸器撤离。正压控制室的设计特点包括：

l 空气进气口位于装置区域的最高点；

l 控制室密封，以便使供热通风和空调系统（HVAC）维持正压状态；

l HVAC系统进气口可以手动关断；

l 设有低压状态的声音报警。

对于此次事故，CSB调查组发现，氯气是通过位于控制室顶部的HVAC进气管道上的孔和缝隙被吸入控制室内部的。有些孔看起来像是在管道上钻出来的，没有被封堵，还有其他则是接口处的缝隙形成的。随着长时间的使用，用于密封这些孔隙的管道胶带逐渐变的干燥和脆弱，如图7和图8所示。

图7：用于密封的管道胶带

图8：管道孔

此次事故中，正压控制室系统未能为内部的操作人员和设备提供有效保护，存在以下缺陷：

l 针对控制室，包括HVAC系统管道，没有建立相应的维护程序；

l 用于密封HVAC系统管道接口的胶带失效，长时间暴露条件下出现缝隙；

l 控制室设有很多入口和出口；

l HVAC进气系统没有设置毒性气体报警；

l 在工艺危害分析时，正压控制室系统被认为是有效安全保护层，但是其设计和维护没有达到应有等级。

4.5 发生过的氯气事件

根据CSB调查组的访谈，霍尼韦尔员工称以前在控制室内出现过几次闻到氯气味道的情况。当时采取了一些措施消除了氯气味儿的来源，但是关于氯气如何进入正压控制室，没有进行正式的调查。

根据OSHAPSM标准和EPARMP法规的要求，霍尼韦尔建立了关于事件和未遂事件的调查管理程序，程序中将“事件”定义为：发生了不属于正常操作范围的非计划事件，可能导致人员伤害、设备损坏或者环境影响。

霍尼韦尔管理程序没有把正压控制室系统列为关键设备，也没有明确控制室出现的异味事件是需要进一步调查的。如果制定了明确的书面指导程序，工作人员可能就会把控制室出现的异味情况看作“事件”来处理，经过相应调查，霍尼韦尔可能就会意识到正压控制室系统存在严重安全问题。

5.1 根本原因

（1）霍尼韦尔BatonRouge装置管理系统没有针对液氯冷却器内部失效工况的保护措施。霍尼韦尔公司的机械完整性系统没有提前发现液氯冷却器管程内漏的问题，没有额外的针对性保护措施，例如液氯泄漏的监测措施。定期的年度检查也没有发现任何缺陷。

（2）没有充分评估液氯泄漏进入冷却系统可能导致的严重后果。进行工艺危害分析时，尽管意识到存在液氯泄漏的可能性，仍认为一般性的管理措施（例如设计、维护和操作程序等）是足够的。

5.2 间接原因

（1）正压控制室的设计和维护不当，在氯气被吸入时，不能提供有效的短时间保护。例如，控制室入口保护不足、缺少毒性气体监测器及相应报警和联锁等。

（2）没有认识到需要将液氯轨道车关断程序与G-143a系统关断程序整合在一起的必要性。当主工艺流程被关断时，来自轨道车的液氯仍继续流向失效的冷却器，最终导致大量氯气泄漏进入大气环境。

（3）控制室内发生的几起氯气异味事件没有被正式调查，以确定氯气是如何进入正压控制室内部的。

（1）修订公司的检查和检测管理程序，包括能够探测和防止冷却器泄漏的有效方法，使用合适的无损检测技术。

（2）对能够预防换热器失效导致潜在后果的已有保护层进行分析，并采取适当的改造措施。例如，在冷却液物料侧增加监测设备，考虑增加冷却液物料操作压力的可行性，从而防止换热器内漏工况下液氯进入冷却液系统。

（3）修订公司的时间调查管理程序，确保类似正压控制室内异味的事件得到正式调查，确定事件原因，并采取适当的改造措施。

（4）对涉及液氯的装置进行调查，评估探测和预防液氯泄漏的关断系统的有效性。至少应确保关断系统和操作程序有效整合，实现所有潜在液氯泄漏源的有效切断。

（5）在进行MOC审查时，当物料储存方式和储量发生变化时，应考虑相应的紧急停车程序是否需要改变。

（6）美国无损检测协会（AmericanSociety for Nondestructive Testing ,ASNT）应将此次事故的调查结论和建议与其会员进行交流和分享，针对特定的设备，评估无损检测技术的适用性和有效性。

[1]    INVESTIGATION REPORT. CHLORINERELEASE July 20, 2003 (7 Injured). REPORT NO. 2003-13-I-LA

[2]    Center for ChemicalProcess Safety (CCPS), 1995. Guidelines for Safe Process Operations andMaintenance, American Institute of Chemical Engineers (AIChE).

[3]    American Society ofHeating, Refrigeration, and Air-Conditioning Engineers, Inc. (ASHRAE), 2004.Designation and Safety Classification of Refrigerants, American NationalStandards Institute/ASHRAE Standard 34-2004.

[4]   API, 1995. ProcessInstrumentation & Control, API Recommended Practice 554 (replaced RP 550).

[5]   Coughlin, Chris,2004. “Introduction to MFL,” Nondestructive Testing Information Analysis Center(NTIAC) Newsletter, Vol. 29, April 2004, pp. 4–5.