事故和灾难经常出现于世界各大新闻媒体和书刊，这些事故造成巨大的生命和财产损失。为保障安全，人们投入了大量的人力物力，但事故还是屡屡发生。事故发生的真正原因是什么呢？本书的作者长期从事石油化工企业的生产过程管理和保护工作，有较深的理论造诣和丰富的管理经验。书中收集了世界各国石油化工企业生产过程中发生的典型事故案例，并对事故的原因和后果进行了深入细致的分析研究，得出的结论是大多事故是可以避免的，同时对避免类似的灾难提出了指导性的意见。本书的一大特点是科学地提出了危险性的分析方法，对动改和新建项目实施的各个阶段进行控制，将事故隐患消除在萌芽之中。从他人的错误中学习，本书介绍许多应汲取的重大教训，令人深省，其指导意义远不止于石油化学工业……。
本书共分二十二章，并附有三个附录，内容十分丰富，分别对石油化工生产厂常见事故进行了分类论述，在第四版增加了20％全新的内容，用十五幅图片和照片帮助读者更好地认识危险。参考资料详实是本书的又一特点。
本书通俗易懂，可作为项目危险性分析和工艺设计的校验表，可供工艺设计、安全／预防损失和操作（生产）工程师学习参考。也可作为石油化工企业生产装置操作人员的培训教材。本书是石油化工系统安全生产监察、监督管理人员必备的备忘录和警示参考书。
全书由王力、王力健、郭其新翻译；李振杰、李荫中审校。在翻译过程中温洪软、李强等同志给予了很大的支持，并提出了许多意见和建议，在此一并表示感谢。
前言
在生产部门工作多年后，1968年我被认命为皇家化学工业有机化学部，也就是后来石化部的安全顾问。我的任职是在20世纪60年代发生了多起火灾事故后，所以，我的重点工作是研究过程灾难，而不是机械事故。
我的工作之一是调查事故设计方面的原因和操作员工的工作细节，以及应该汲取的教训。本书包含我从一些公司收集的事故报告。虽然大多数报告以前已发表过，但它们刊登在不同的出版物中，而这些出版物的影响力不大。
本书的目的是要说明过去什么出了错，将来防止事故的发生又是多么简单。不幸的是，加工工业史表明，事故在间隔几年之后又会重复出现。随着时间的流逝，人们忘记了事故的教训，本书将帮助人们对事故保持鲜活的记忆。
在此诚恳地提出建议，但不做担保。读者在实际工作中应用这些建议会取得满意的效果。客观地讲，你也许感到我提出的一些建议在贵公司不适用。事情相当清楚，如果贵公司可能发生事故，而你又不希望采纳我的建议，那么务需采取其它措施，不管怎样不能忽视事故。
现引用John Bunyan写于300年前的忠告：
即便是在要抛弃的废渣中，
只要你精心寻找，也会得到黄金，
黄金总是裹藏在矿石中的。
要想得到果核，就不能扔掉整个苹果，
即便是你在不假思索要扔掉一切的时候。
……
我将会告诉你发生的一切。
你也许不会相信在自己的工厂内会发生事故，因为工厂内的许多安全系统在起作用。我在此叙述出现事故的工厂都有这样的安全系统，但这些系统并不是永远起作用。因为有许多管理方面的原因，问题出现了：没有使人们相信使用这些系统的重要性，没有发现以前的违章行为（通过审计、抽查或注意观察的方法），或为了避免冲突或为了加快工作进度对问题视而不见。当人们对一块遗漏的盲板视而不见时，人们就向事故迈进了一步。
本书所描述的事故在许多不同类型的工厂里都会发生，因而具有深远的意义。有些事故是在维修和调试设备时发生的，有些与广泛使用的设备有关，如储罐和软管。有些与所有的工厂和过程的基本要素——人有关。有些需通过技术进步来解决，如对灾害和可操作性的研究。有些与保护设备有关，如紧急切断阀。
人们会注意到大多数事故非常简单，要防止这些事故，不需要深奥的知识和深入的研究，人们只需要了解以前发生了什么，而这些在本书中都有叙述。
只有少数事故会因关键的元件失灵而发生，而大多数事故源自不重要元件的缺陷。一只仪表也许失灵或不可信，或程序不对，或没执行正常的操作程序。因为一件小事，全盘皆失。
许多事故可在不同的情况下讨论，因而可相互参考。
如果引用的事故在贵公司发生过，你可能会注意到其中的一两个细节有所不同。有时人们很难说清楚事故发生的根源。有时事故被简化，但不影响基本事实。有时——也是最可能的——事故在贵公司根本没有发生过。但另一个工厂却有类似的事故。
许多事故实际上不会导致死亡、重伤、重大损失——属于轻微损失。但是它们可能已经造成了更加严重的后果。我们可以从这些轻微损失以及严重的损失中汲取教训。本书所述的大多数损失发生在所谓的极危险的装置或储存设施中——即存有大量可燃、易爆或毒性化学物品的装置或储存设备。汲取的教训可实际应用到这些装置中。但是大多数事故可能发生在处理量较小的或危险性不大的装置中，其后果虽然小些，但后果十分严重。在一个极危险的装置中开启一台没有隔离的泵可能会引发(或已经引发)一场大火或一次大爆炸。而在另一个装置中可能只引发一场小火灾或释放出一些腐蚀性的化学物质——但这足以导致现场工作人员的伤亡事故。即使这些释放的物质无害，也浪费了原料。因而，学到的教训可应用到整个石油化工工业。
在本书的第二版中，作者增加了事故案例，扩充了有关博帕尔(Bhopal)和墨西哥市的内容，增加了鲜为人知但十分普遍的灾害和关于计算机控制装置的事故。
在本书的第三版中，作者增加了有关换热器、加热炉、基础安全设计、失控反应以及其它一些内容。自从第一版发行以来，虽然作者阅读了许多事故报告，但大多数只是加大说服力，而增加的内容告诉读者一些新的事故。
本书分析了引发事故的直接技术原因，论述了为防止事故的再次发生在设计和程序上所做的变化。分析事故发生的其他原因——管理体制不严，如没能从过去的事故中汲取教训，审计不严和对事故的调查不彻底，以及如何组织以避免事故的发生等内容见作者的其他著作，如《从灾难中汲取教训》(化学工程师学院/海湾出版公司，1993年)、《从事故中汲取教训》(第二版)。
书中引用的大多数事故都源自没有遵循完善的工程实践。有些违反法律，有些事故如果发生在今天，将是严重违法事件。在荚国，它们违反《关于危险能量控制(LOCKOUT／TACOUT)OSHAl910．147(1990)法》和自1992年执行的《过程安全管理法》(PSM)(OSHAl910．119)，法案适用于所列的超过极限量的化学物质。PSM法要求公司遵循完善的工程实践、法典、工业通用标准、公司内部的标准。按OSHA(美国联邦政府安全与卫生委员会)规定，如果不遵守上述要求，就是违规。
在英国，按《劳动安全和卫生法》(1974)及有关规定，“所有者”应提供一个安全的工作场所，建全工作、指导、培训、监督机制。欧共体要求主要危险场所的所有者制定一套安全事例，用以说明怎样处理和控制危险情况。尽管执行的情况各异，许多国家都有类似规定。随着OSHAl910．119和类似规定的执行，人们对过程安全管理系统及相关出版物的重视程度在增加，但是我们不能忘记它们的局限性。有些管理者认为，一套完善的系统可足以保证安全。可是一套系统所能做的只是利用人们的知识的经验。如果知识和经验不足，这套系统工程就显得很空洞。不成系统的知识和经验不能发挥其潜力。没有知识和经验，系统也无从谈起。我们不反对淡化一些事情，但是我们应确信，不能忘记过去的教训。本书的目的即在于此。
如何使用这本书？
1．通读这本书，问问自己这些事故是否在自己的工厂中发生过，如果发生过，写写你如何避免事故。
2．把本书当作安全方面的必备书，有空时浏览一下，或在员工会议、安全委员会、公告栏、厂内检查上作为谈论的主题。
3．当调查事故的原因、职责发生变化时、或在设计时遇到新问题，并对新出现的事情感兴趣时，也可查阅本书。但是，本书不能用于全面地评价过程安全和避免损失。
4．用事故案例教育新员工、经理、领班、操作员，使他们认识到若不遵守规定的操作程序和可行的操作方法，将会出现什么问题。
5．如果你是一位教师，使用这些案例告诉学生事故为什么会发生，并演示科学原理。
无论用在工厂培训，还是用在教学中，本书都可以用作讲义或讨论材料。通过讨论使学员达成共识——应该采取什么措施防止类似事故的再次发生。
6．如果某人放任所述事故的发生，你可以拿起这本书，翻到某一页让他看，也许会防止事故进一步扩大。
本书引用的资料是以损失惨重，许多人失去了生命，数十亿美元的设备被毁坏为代价的。而你却可以用一本书的费用得到这些资料。
如果你使用本书的资料，在你的工厂内防止了类似事故的发生，那么你就做成了一笔最成功的交易。
答谢
对出事故公司的员工深表谢意，是他们允许我描述他们的失误，感谢过去和现在的许多同事，尤其是F．P．Lees，他提出了许多建议和忠告，我还要对英国科学工程研究院和Leverhulme托拉斯的财政支持表示感谢。
Trevor Kletz
14．7 联锁装置只用于紧急状态，不能经常使用................................................................... 204
18．1 从产品收集器或吹扫线回流到装置里.......................................................................... 235
Randall(工厂检查员)曾经说过，当他了解到厂内的安全文件非常完善时，感到非常吃惊。不幸的是人们没遵守它——《劳动安全卫生》。
本章将讲述的是在维修设备时没有做好准备工作而引发的事故案例。一些是因需修理的设备没有与危险物隔开；另一些则是在没有判明原因的情况下，错误地打开了设备；还有一些是因为没有排尽危险物质。
1．1 隔离
1．1．1没有隔离
一台泵被打开，当拆下泵盖时，超过自燃点的热油流了出来而着火引发火灾。当场造成3人死亡，工厂被毁。火灾后的事故调查表明，事故的原因是泵的入口阀是打开的，而放空阀是关着的。
火灾当天上午8：00，签发了允许作业通知单。此时，这台待修的泵已停放好几天了。发放作业通知单的检查员应事先检查泵的入口阀是否关闭，泵的放空阀是否关闭。检查员辩称道他已经这么做了。或者是他的回忆有误，或者是在他检查后，维修工作开始前，有人打开了入口阀，关上了放空阀。当关上这些阀时，没有留下说明关闭原因的记录。操作员也许为了尽快使这台泵投入使用，已经将入口阀打开，关闭放空阀。
事故发生的另一个原因是维修的项目原来只打算维修泵的轴承，当他们发现必须将泵打开时，就通知了操作人员，没有进一步检查泵的隔离情况。
 |
用盲板隔离维修设备不是该公司的常规做法，他们的做法是关闭阀门。在火灾事故发生后，该公司制订了下列规定：
(a) 除非维修工作可以很快完成或者安装盲板(或断开管路)占用的时间太长，或有其它危险。在维修状态下的设备必须用盲板隔开，或彻底断开。如果热流体有可能流出或者人员需进入设备内部则必须执行加装盲板，或断开管路的要求。
(b) 隔断设备的阀门，包括加装盲板(或断开管路)后必须关闭的阀门，必须用挂锁和链条或类似的器具锁闭。不允许只在阀上挂警示。
(c) 当流体的压力超过600psi(4MPa)或温度接近以及高于其自燃点时，应安装双隔断阀和放空阀，其目的不是用于隔离，而是为了安全地加装盲板(图1-1)。
(d) 如果工作的内容发生了变化，必须将发出的允许工作单收回，重新核发一张新的工作单。
1989年，一家乙烯厂发生一次类似且更为严重的事故。为了清除堵塞物，人们拆除一条抽出线。与反应器回路隔开的8〞阀门(在图1-2中的Decmo阀门)是打开的，热的乙烯料在压力的作用下流出，发生了爆炸，炸死23人，伤130多人，并造成重大的破坏。碎片被抛到6英里(9.6km)外，大火引爆了两个液化石油气罐。
 |
这台阀用压缩空气控制，接有两条软管，一条用来打开阀门，一条用来关闭阀门，但是它们被接反了。两个接口在尺寸和设计形式上应有所不同，以避免上述情况的发生。此外，它们没有被断开，阀上的锁定装置(一种机械止动方法)已经被拆除了。用单一的隔断阀隔离带压、高温可燃气体的做法不可取。为了安全地加装盲板(图1-1)应安装双隔断阀和放空阀。
两起事故有相似之处，都是准备对设备进行维修，为了让维修人员作业，设备停放了数天。在停放期间，人们重新接上了风线，拆除了锁定装置，打开隔断阀。
在这两起事故中，本身不完善的操作程序也没有得到执行。这些事故不是偶然发生的。如果经理们负责，他们会注意到违规作业的情况。
1988年北海Piper AlPha石油平台发生的大火和爆炸，造成163人死亡，也是因隔离不当引起的。当班工人将准备维修的安全阀拆下，在开口处加装了盲板，接班的工人不知道安全阀已经拆下，就启动了该泵，盲板没把紧，轻油从缝隙中漏出，在有限的作业区内发生了爆炸。官方报告得出的结论是：“操作工人没有按程序作业；操作程序被有意识并彻底地放在一边。”Piper AlPha石油平台事故的生命损失比另两起事故大得多，其原因是石油平台非常拥挤，不易逃生。
其它类似的事故在18．1中有所叙述。
1．1．2除去隔离太早
一台乙烯压缩机停机进行维修，已用盲板正确地隔离。当维修工作完成后，在试机前人们拆除了盲板。在试机过程中，部分乙烯料通过关闭的隔离阀泄漏到压缩机中，乙烯／空气的混合物在压缩机中的热点处或在铜阀盖上铜基乙炔化合物处被点燃，压缩机受到严重损坏。
维修工作完成以后才能拆除隔离。正确的做法是发放三个作业许可证——一个用于安装盲板(或断开管路)，一个用于主项工作，一个用于拆除盲板(或恢复断开的管路)。
类似的事故在固体干燥器上也发生过。在维修工作开始前，封头已打开，入口管线被断开。当维修工作完成后，回装上封头，同时接上入口管线。最后一项工作是用切割机切去封头上的导管。人们检测了干燥器之外(而不是干燥器之内)的气体，没有发现可燃气体。但在进行切割时，干燥器内发生了爆炸。原因是有些溶液已经泄漏到入口管线中，然后被排到干燥器中。因此在割去导管前，不能将入口管线接上。
1．1．3隔离方法不正确
准备对一台反应器进行维修和洗净。没有任何焊接工作，也不需要进入反应器，所以人们决定不加盲板，而用阀门隔开反应器。一些可燃的蒸汽通过关闭的阀门泄漏到反应器中，当人们用高速旋转的砂轮机切割一条附属管线时，引燃了可燃气体。反应器的顶被炸去，并夺去了两个人的生命。具估算，7kg的碳氢化合物蒸汽就可引起爆炸。
事故发生后，人们在车间里进行了演示切割，发现当切割轮磨穿管壁时可引发小火焰，管子本身变成暗红色。
人们通过加装盲板或彻底断开反应器，就可以避免发生爆炸。事故本身说明用阀门隔离不是一种好方法。
1．1．4操作管线的隔离
一名维修工在蒸汽罐内工作时，被烟雾薰倒，原因是从罐内引出的一条蒸汽线通到汽提塔，其操作压力为30psi(0.2MP9)表压。接到塔上管线的阀门是关闭的，但没有用盲板隔开。当蒸汽压力放掉时，来自塔的蒸汽通过泄漏的阀门反串到蒸汽线中(图1-3)。
 |
该公司通常的做法是用盲板隔开维修设备，但在上述事故中，因为这仅仅是一条蒸汽管线，所以没加装盲板。厂区内的或其它辅助系统管线很容易受到工艺的污染，尤其是当管线直接接到工艺设备上时。在这种情况下，维修设备应用盲板隔开，或在维修前彻底断开。
一个工厂停用后，冷却水管中充满了水，拆卸工作在近20年后开始。当一位技工用气焊割开一条冷却水线时，引发一场小火。原因是细菌降解了水中的杂质，产生了氢气和甲烷。
当设备要封存或留到以后拆卸时，应将设备排空。除上述危险情况外，水会冻结，从而造成管线破裂(见9．1．1)。
多年前，人们在一座大型煤油储罐中用河水作水封，细菌分解了水中的杂质，产生了甲烷，而甲烷会爆炸。虽然事故频发，人们却没有找到着火的根源。
1．1．5隔离措施没有拆除
某套装置正在运行，操作员在检查时注意到罐的放空口上有一块盲板。这块盲板是在维修罐时用来隔离放空系统的。而当维修工作完成后，盲板却被忽略了。幸运的是这台罐是一台老罐，其设计压力远比工况条件高得多，否则将会破裂。
如果罐与放空管线需要隔开，不要使用盲板，断开它并将其直接对大气(如图1-4所示)。
如果放空管线是放空系统的一部分，必须加装盲板，防止吸人空气。保证盲板加装在断开火炬一侧，而不是在罐侧(见图1-4)。注意：如果需要作业人员进入罐中，应该与相联最近的罐断开。
如果需要插入盲板的放空管线因为太硬不能移动时，那么该放空管线应该最后加盲板，最先拆盲板。所有加装的盲板都应登记在册，这样被忽略的可能性很小。
1．1．6在维修时与隔离有关的一些事故
(a) 一个盲板安装就位也许已经长达数月甚至于几年，几乎被腐蚀穿了还被用来隔离设备(见图1-5)。长时间安装的盲板应及时拆除，在用于隔离设备前应先做检查(这些盲板应登记造册，每隔一段时间检查一次)。
(b) 一个盲板的标签如果很短，当工作完成后，很容易被遗留在安装位置。所以在小于或等于6in直径的管线上，标签的长度至少130mm，在更粗的管线上，标签的长度至少为150mm。“8”字形盲板比普通盲板好，人们很容易看见盲板的位置。在经常性加装盲板的管线上应该使用“8”字形盲板。虽然开始时的费用高些，但在工作中使用方便，而普通盲板容易丢失，必须经常更换。
(c) 在有些情况下，小口径支线被保温层覆盖着，容易被忽视，没能隔离。
(d) 有时使用的盲板太薄，盲板变形，拆除有困难。图1-6显示一支薄盲板在470psi(3.2Mh)(表)压力下使用后的情形。正常情况下，盲板的设计压力应与管道的压力相同。然而一些老厂没有按厚盲板设计，不可能安装厚盲板，所以只能安装薄盲板。
(e) 维修丁烷泵时只用阀门隔离。当打开泵时，人们发现泵和连接管线中充满了水合物(一种水和丁烷的化合物，在冰点以上，呈固态)。人们用蒸汽软管清除这些阻塞物，然而入口阀由于被冰堵住，当时实际处于打开的位置，当蒸汽熔化阻塞物后，丁烷开始泄漏，远在40米外的加热炉引燃了丁烷，发生爆炸。如果在维修工作前你不能确认所有的隔断阀都用盲板隔离，那至少应隔断那些可先变成固体，然后熔化的物质的管线上的阀门。
1．1．1电隔离
在隔离电源时，通常的正确做法是检查开关是否被锁住，或偿试着卸下保险的设备还能否启动，但这样做并不能防止愚蠢的行为，请看下面的事故。
其中一例是隔开了错误的电路，应隔离的电路因电源故障没有电。当人们正在工作时，供电回路都联通了。另一个例子是需隔离的供外部照明的回路因受光眼控制电路的控制不带电。
有时，维修人员没有认识到在断开电路的同时，也断开了他们仍然需要使用的设备。有这样一种情况，人们隔离了伴热带，但没认识到也隔离了通风扇，因为实际的接线与图纸不一致。在另一种情况下，维修人员断开了电源，但没有认识到他们同时也断开了氮封设备、氧分析仪和警报器的供电，检测设备没有投用，无法检测漏进系统内的空气，结果发生了爆炸。一名电工拉扯一条从接线箱中引出的电缆时，发生了一起接错线的事故，他认为他拉松了电缆，所以重新接线。但这条线原来根本就没接。
1．2 标识
1．2．1标识要准确、明显
在有些情况下，管线或设备部件被错误地断开，例如：
(a) 人们常用粉笔标识需要断开的接点。一位技工断开了另一个接点，因为在它上面有旧的粉笔标记。腐蚀性的介质飞溅到这位技工的身上。
(b) 人们用粉笔在一条不用管线的切除点上做了标记，在技工开始干活前，一场大雨冲去了粉笔标记。这位技工凭记忆判断粉笔标记的位置，结果人们发现他正用钢锯锯一条含危险化学品的管线。
(c) 水从管子的接口处滴在管排上，人们搭起脚手架准备进行维修。现场负责人为了不上脚手架，从地面上指示泄漏点，并要求一名技工在这条“水线”上重做接点。这个接点实际上是在一条一氧化碳的管线上。当技工断开接点时失去了知觉，因为通路不畅，援救工作十分困难。
如果现场负责人上了脚手架，查看了管带上装有标识牌的接口，他就会认识到水是从一氧化碳的管线中滴出的。
(d) 阀盖必须从蒸汽阀上卸下。这条指令从地面上向技工下达。技工走下梯子，从侧面接近阀门，但他拆的是一只压缩空气阀，阀盖飞了出去，撞伤了技工的脸。
(e) 当作业人员需进入一个储罐时，要加装6块盲板。当完成罐内的工作后，应该将这6块盲板拆除。不幸的是被拆除的其中一块是为防止污染而装的一块永久盲板，临时盲板却留了下来。
(f) 一位技工按要求修理3#高压釜。他卸下上部人孔盖，然后回到地面，卸下下部的人孔盖。然而他卸下的不是3#高压釜的人孔盖，而是卸下了4#压釜的人孔盖。4#高压釜中有氯乙烯以及压力为70psi(表)(0.5MPa)的氮气。由于在人孔周围和人孔内形成了聚合物，在他卸下螺栓时，并没有感觉到罐中存在压力的迹象。几乎同时，压力炸掉了盖子，技工和另外两人被炸到地面上，失去了生命，氯乙烯被引燃。
(g) 一个人试图打开楼内的通风扇时，他发现控制柜和配电盘已经被卸下了。承包人当时正在拆剩余的设备，他认为这些配电盘应该卸除了。保留的设备应该做出明显的标记。
(h) 一段氯气管线进行更新后要做热处理。一名处理这条管线并发放作业许可证的操作员误解了指示，认为要处理的是一条放空管线。这样就在没有扫净管内瓦斯气的情况下开始了作业。随着工作的进行，在真正要处理的管线上，铁与氯气发生了反应，一段0.5m长的管线被烧毁，放出了350kg的氯气。事后的报告指出：“事发当天，作业许可证发放人或工厂管理人员[在大多数美国公司称为检查人员]，没有对任何一道工序进行彻底的检查”。工厂管理人员检查了许可证和热处理设备，但是没有去现场。他没有任何理由怀疑操作员的判断——要处理的管线是放空管线。如果使用标签，就会防止热处理充满氯气管线的事。
像这些或其它一些更多的事故是可以避免的，具体的做法是在接头或阀门上挂上写有编号的标签，并在工作许可单上填上编号。在事故(C)中，现场负责人应当登上脚手架挂标牌。尽管使用了挂牌程序，但事故还是发生了。
有一家工厂，一名技工没检查标牌号，就断开了接头。接头上标牌挂的是上次工作遗留在现场的标牌。因此当工作完成后，应将标牌摘掉。
 |
在另一家工厂中，一名现场负责人让下属为他挂标牌，事后也没检查标牌是否挂在正确的设备上。结果，这名现场负责人准备维修一条管线，却发现标牌挂在另一台设备上。
1．2．2标识应清楚明确
(a) 排成一列的泵按图1-7所示做了标识。一名技工按要求修理第7号泵，他顺理成章地认为该泵应当是最头上的一台。当他拆开泵时，热油从泵中流出。
(b) 一个工厂有四台结晶器，其中三台旧的，一台新安装的。一名工人按要求修理结品器A。当他工作时，发现其中两台设备标有B和c，而另外两台没标识。他错误地认为A设备应是一台旧的没标识的结晶器，并开始了修理工作。实际上，A设备是新的。旧的三台设备编号分别是B、C和D。A设备的位置是当时人们为将来增加设备预留的(图1-8)。
(c)两台空冷器上的标识按图(1-9)所示。在冷却器B侧的B标识离B风扇最远，距A风扇较近。维修工人不假思索地认为所要检查的B风扇是靠近B标识的那一台，并开始工作。维修中的风扇没断电。幸运的是，当有人启动风扇时，维修工作几乎完成了。
(d)将标识印在联轴器护罩上。不久，在相邻两台泵的联轴器进行了维修工作，你能想像到发生了什么事情。现在标识印在泵体上，如果将编号印在方形基础上，情况会更好些。
(e)在一套装置里，泵和压缩机的按J1001向下编号，当装置的位号不够用时，就用JAl001继续往下编。J1001和JAl001的发音相近(大声地念)。一名操作员按要求为JAl001——一台小泵——的维修做准备，他认为现场负责人说的是J1001，就准备工作。J1001是一台40000hp(29828kW)的压缩机。幸运的是，庞大的机体使其犹豫不决。他问负责人是否真想停下压缩机。
1．2．3指示明确
(a) 工作的内容是修整房间的墙壁，但工人对天花板也做了改动，结果切断了带电的电缆。
(b) 罐从工厂运出后，要求只能在罐的顶部焊接。但在工作时，焊工们却将罐翻了过来，罐的另一部分成为顶部，被水封住的残渣起火。
(c) 由于氯储存装置主操作员工作繁忙，他要求第二操作员发放一条管线热处理的工作许可证。第二操作员误解了他的指示，要求对一条错误的管线进行热处理。主操作员的上级检查了作业许可证和热处理设备，但没检查管线。实际进行热处理的管线含有氯气，加热管线足以使氯和铁反应，在管线上“烧”了一个洞，放出了350kg的氯气。事后主操作员说，很明显需要进行热处理的是昨天刚换上的那条管线。
(d) 一名电工按书面要求拆下标号为FU-5的熔断器。不幸的是，他拆下的是向操作室供电的熔断器板上的FU-5，而不是向设备室供电的熔断器板上的PU-5L。电工接到的指示不明确，标识系统也存在问题。
(e) 需要对一台设备进行调试，主操作员要求电工断开向其供电的电缆。该操作员检查了电工的执行情况，发放作业许可证。第二位操作员核对了准备情况。
当调试人员用电流计来检查电缆时，发现断开的电缆不对，进一步又发现主操作员接到的电工书面报告不正确，对电缆的描述不清楚，但操作员并没有提出质询，认为他的指示没错，要求电工断开电缆。而第二操作员或检查员没有受过检查电缆的专业培训。
这起事故说明检查程序存在的漏洞。主操作员也许会认为，如果他出了错误，检查员会帮他查出。检查人员也许会大意，因为他从没意识到主操作员会出错误(见3．2．7章)。
1．2．4鉴定安全阀
在停工期间将两台外表一样的安全阀从装置上卸下，送到车间检查。一台安全阀设定值是15psi(表)(0.1MPa)，另一台设定值是30psi(表)(0.2MPa)。设定的压力打印在法兰上，但这种做法不能避免阀被互换。
其它工厂也出现过类似的事故。
当从装置卸下安全阀时，在阀门和法兰上栓上写有同样编号的标签，可以避免这些事故的发生，至少可将事故的发生降到最低限度。
1．2．5确定找到正确的管线
一条向工厂输送蒸汽的管线上有一个漏点，为避免停车，人们实施带压堵漏作业，即将管线旁路，关闭泄漏部分(加塞堵)。这项工作做得很成功，但是，仍有泄漏。实际上，蒸汽线根本没有泄漏，发生泄漏的是边上一条热凝结水线。凝结水溅得到处都是，使人们误认为是蒸汽管线泄漏。
1．3 排除危险
虽然人们采取了隔离措施，但是并没有完全将设备与危险物隔开，或将设备中的压力完全卸掉，而作业人员没认识到上述问题，许多事故就这样发生了。
13．1没有完全将危险气体排净
在进行维修工作，尤其是在焊接或其它热工作业时，一般的做法是用可燃气体检测仪检查是否有可燃气体或油蒸汽。下列事故说明，如果不进行上述检测，或检测不彻底时会出现的情况。对于大型设备或形状复杂的设备，检测工作应在几个区域进行，必要时使用长杆探头(见5．4．2)。
(a) 1973年10月，英国谢菲尔德(Sheffield)气体工厂一个4000m3的地下储罐发生爆炸。造成6人死亡，29人受伤，储罐被毁的重大损失。罐顶被抛到空中，翻了过来，面向上落在罐底。
罐中装着轻石脑油，在修理工作开始前没能彻底清干净。人们在罐中加满了水，然后再排空，但轻石脑油仍留在各个隐蔽和裂隙处。(轻石脑油通过微孔、裂隙进入空的顶支撑，但当罐被排空时，又流了出来)。工作前没有用可燃气体检测仪检查。人们最终得知油汽是被在打开的通气孔附近的电焊引爆的。人们在l00ft．(30m)高的气柜顶找到焊工的尸体时，他的手中仍拿着焊枪。
根据事故报告，瓦斯生产部门和承担维修工作的承包商之间没有明确的责任分工，“在这种情况下，因为所进行作业的性质发生特殊危险的可能性很大，业主有这方面的专业知识，所以业主必须对作业进行严格控制，以确保作业人员不发生危险。
(b) 从仍然留有汽油蒸汽的空罐打开底部人孔。蒸汽从人孔泄漏出来时着了火。当汽油蒸汽燃烧时，空气被从通气孔中吸人到罐中，直到发生爆炸，罐被炸开。
(c) 在停工期间，必须在安全阀的尾管上进行焊接作业。断开阀的两端，4小时后，在安全阀的最远端用可燃气体检测仪测量，测量时尽可能将探头伸到尾管中。因为没测出危险气体，开了作业许可证。当安全阀的排放法兰着地时，在尾管的另一端，火光一闪，并发出巨响。幸好没有人受伤。尾管(20m长，并带一些弯头)中的气体没有扩散，所以在管子的另一端没有测出可燃气体。
在一条含有(或可能含有)可燃气体(或液体)的管子上进行焊接(或类似)的作业时，(1)从管子的一端到另一端用蒸汽或氮气扫线，(2)在将进行焊接作业的点上测可燃气体。如有必要可以在管子上钻一个孔。
(d) 在罐中的固体物质可“留住”缓慢释放的气体。一台待修的反应器中含有丙烯和1～1.5m厚的聚丙烯小颗粒。在用氮气冲洗了六次后，测得人孔附近只有微量的丙烯，低于低爆限(LEL)的5%。但是当充满水后，放出了气体，周围的气体检测器测到的值达LEL的60%，以前已对该该反应器进行了三次类似的维修工作，但反应器中的小颗粒要少得多。
(e) 在空的罐上焊标识时，由于罐是全新的所以没有采取预防措施，也没有对其进行检测。结果罐发生爆炸时炸断了焊工的腿。生产厂家在用可燃溶剂清洗罐后，没有将可燃气体排净，也没有警告用户。
(f) 1992年，人们为了移走一些罐，用气割切下这些罐上的通道和梯子。一台曾经装过酒精的罐发生爆炸，炸死三人。乙醇从泄漏的仪表管口漏出，被火焰点着，火回到罐中。被炸死的人手中拿着现场可燃气体检测仪，但是没人知道使用检测仪的方法是否正确，或根本就没有使用过。在发放作业许可证前，应由施工队实施检测工作，在移动罐之前必须保证罐中没有可燃气体，所以检测工作应在动火前进行。
(e) 在催化裂化装置中，空气被送人再生器中烧掉催化剂上的碳。再生器向大气排放，所以在维修工作前没有检测，也没有隔开再生器。但在装置停下50小时打开人孔盖之时，器内发生了爆炸。火焰从接在再生器的各个接口中喷出。
在停装置前，碳通常已被烧净。当风机出现故障时，必须立即停装置，向再生器内吹蒸汽，可除去大部分的催化剂。可是蒸汽与剩余催化剂上的碳反应，生成氢气和一氧化碳。当打开入孔时，空气进入再生器中，发生爆炸。火源是热的催化剂，此时催化剂的温度仍在600℃左右。老式的再生器配有备用风机，有些生产厂在风机出故障时，将其它风机切入。在危险和可操作性研究中，这一事例说明了考虑正常和非正常情况(如公共系统出问题)的重要性。
1．3．2检测后，条件仍有可能发生变化
如上所述，在维修工作前，通常的做法是用可燃气体检测仪测可燃气体或含油蒸汽的浓度，在动火时更应该这样做。下面几起事故是在检测工作刚完成几小时后，条件发生了变化而引起的。
(a) 一条停用12年的丙烯线在重新利用前要进行维修。近两年来，管线的一头开敝着，另一头装了盲板。维修工作从在管子的一端焊上盲板开始，没有出问题。第二步工作是在离管子开口端60米处加一段1英寸的支管，先在管子上钻了一个孔，并检测了管子的内部，没有测到危险气体。幸运的是几小时之后，几乎在焊接工作开始前，再次对管子内部进行测试时测到了可燃气体。也就是说这部分气体已经在管子中保留了12年，当温度稍稍上升时，它就会沿管子流动。
有些人也许会做出这样的决定，停用12年的管子根本就不用检测，幸好有关人员不持这种观点，他们在开始工作前再次检测了管子内部。
(b) 在开始工作前8小时测量空气中苯的含量。在这段时间内，苯的浓度上升了。
(c) 准备在一台酸罐上进行焊接作业，发放了作业许可证40天后，施工队才能开展工作。在这期间，留在罐中的酸液腐蚀金属，产生氢气。因为没有再次测量危险气体，当开始作业时发生了爆炸。
(d) 在靠近地面的管线上焊一段支管。人们挖了一个0.5～1m深的坑，作为在管线上作业的通路。人们用可燃气体检测器检查了坑内的气体。因为没有测到危险气体，就发出了作业许可证。焊接工作开始后半小时，有些碳氢化合物漏到地面上，坑中着起了小火。这些事故说明只在焊接工作开始前检查还不足以解决问题。在这情况下，有必要使用便携式可燃气体检测仪报警。
(e) 化工厂的下水道通到河中。河岸衬有钢板，为了用起重机移走钢板，一名焊工在下水道出口附近的一块钢板上要烧出一个洞来。动工前，用可燃气体检测仪测了现场的大气。在短暂的休息后，焊工又开始工作。只见火光一闪，虽然时间不长，但夺去了焊工的生命。一条管线正在泄漏，漏出的液体集中在污水坑中，然后溢到下水道里。
11．5讲述了另一个因危险化学物质在排放系统中引起的事故。
1．3．3在排水沟、通风口和其它开口处发生的危险
在工作过程中，因气体或蒸汽从排水沟或通风口排出，引发了一些事故，例如：
(a) 在地面上一条6米长的管线上进行焊接。检测管线内部和附近都达到要求，就发放了作业许可证。焊接时，一块焊渣从管线上弹开，落在一个在管线下6米，离管线2.5米的污水池中。污水池的盖子不严，池中的油被引燃。焊接工作应在一个用防火板做成的封闭空间内进行，然而一些火星或焊渣仍有可能落到地面，所以应将排水沟和污水池盖起来。
(b) 当一名电工在楼外的墙上接一支新的照明灯时，受到从0.6米外通风管排出的烟气的影响。在做计划时，人们考虑到了触电的危险，考虑了在梯子上作业的危险，但任何人都没有想到从通风管排出的有害或令人不快的烟气。而通风系统原本就是用来排烟气的。
(c) 人们在屏蔽室中遥控，将放射性的物质转移到运输罐里。检测表明室外的放射性水平较低，但是没人考虑到房顶。几年之后，一名技术人员走过平房顶时，屋下正在进行转移工作。幸运的是她带了一台放射性检测仪。房顶的辐射强度大于50msv/h。这名技术人员受到约1msv的照射剂量。国际辐射防护委员会的标准是，个人在一年内受到的照射剂量不能超过50msv，或平均5年以上不能超过20msv/y(2rem/r)。在实际不工作中，从事放射性工作的人受到的剂量远远低于此值。几个类似的事故已经被报道。
读者接触放射性物质的机会很少。但是事故却说明了忽视一些有害物质泄漏通道是多么得容易。
1．3．4液体可能留在管线中
在排空或吹扫管线后，在管线的低处仍可能存有一些液体，管子断开时，液体就会流出来。如果是高架管线，危险性更大。为防止液体溅落在地面上。应使用软管和漏斗接住流出物。
如有可能，管线的排放口应装在低处，盲板应装在高处。
1．3．5备用管线中可能有危险性的物质
在1．1．4中叙述了因没有很好地隔离蒸汽罐，油汽串人的事故。即使备用管线没有直接与工艺介质管线连接，在开始维修前也要做检测工作，尤其是在要动火时。下列事故说明了这一点：
(a) 蒸汽管线放空，并冷割下来，开口处用盲头焊死。一名焊工引弧准备焊上盲头，这时管线爆炸，盲头从管线上炸出去，焊工幸运地逃过了这一劫。事故原因是酸液通过酸罐中被腐蚀的加热盘管漏到管线里与蒸汽管线壁发生反应，生成了氢气。
(b) 一名焊工在一条通向废热锅炉的水线上作业时，气体从破裂的接头处漏出，引起着火，焊工被烧伤。废热锅炉里有一条泄漏的管子。在正常的情况下，水漏到工艺介质中。可是停工后，水侧压力已卸掉，然后才卸工艺介质一侧的压力，因而泄漏的方向反过来了。水侧应当保持压力，直到工艺介质一侧卸压。此外，应该用可燃气体检测仪检测水线的内部。
1．3．6憋压
即使用“8”字盲板将设备隔离，压力仍然能够通过阀门，或裂开的接口释放，在设备的任何地方都有可能憋压。请看下列事故：
(a) 本次事故发生在一条焊好的管线上。装上阀门后，为了清除堵塞，一名装配工卸下阀盖和阀的内构件，当他看见阀座被固体物质塞住后，就准备将其除去。当他开始工作时，含有强腐蚀性化学品在压力的作用下喷到他的脸上，将防护镜打到一边进到眼睛里。
(b) 要拆除一条旧酸管线，打开第一个接口没有出现任何问题，当打开第二个接口时，酸在压力的作用下喷在装配工和他的助手脸上。酸液腐蚀管线，在管线的某处聚积起气体压力，它可能被淤泥堵在其它什么地方。
(c) 一条酸管线被堵塞，人们将管线上的法兰小心地断开，但是只有酸液滴出来。又卸下几个螺栓，将法兰轻轻分开，仍没有见到更多的酸液流出来。但当卸下最后一个螺栓，将法兰彻底分开时，压力突然释放，酸液喷到装配工的脸上。
在上述三起事故中，已将管线与操作设备正确隔离。工作许可单要求配戴护目镜，并提醒“注意憋压”。
为了避免因此造成的伤害，在带压进行含有腐蚀性液体管线接口断开作业时，应使用防护器具或头盔(压力的产生是因为压力无法通过阀门放掉，或管线里含有固体沉积物)。
17．1和17．2讲述了其它一些因为憋压和疏通堵塞引起的事故。
1．3．7送到装置外的设备
当一件设备送到车间或其它公司进行修理或动改时，我们应尽可能保证设备在运离开装置前整洁干净。承包商一般不熟悉化学品，不知道怎样进行处理。
可是在有些情况下，我们无法确定设备是否整洁干净，尤其是这些设备曾经装过渣油或者可能聚合的物质时。如果是这种情况，当我们对设备的洁净程度有怀疑时，应当通知车间或公司并采取必要的防范措施，这可以通过附上设备的证明得以实现。这个证明不是工作许可单，不授权做任何工作，只是描述设备的状态，向其它公司提供详细的资料，以使他们能够安全地完成修理和动改工作。在发出证明前，主管工程师应和维修公司讨论建议使用的方法。如果问题很复杂，装置的员工应到公司现场指导。下列事故说明采取预防措施的必要性。
(a) 一台大型换热器直径2.6米，长2.4米，装有800根2½英寸的管子，有大约80根管子被堵住，要送到另一家公司换管。管程的工艺介质易堵塞，而壳程则是水蒸汽。
在换热器送走之前，没堵塞的管子曾用高压水进行冲洗。而堵塞的管子则钻一个⅜英寸的小孔，将憋住的压力释放出来，但是所开的小孔不够大，不能进行清洗。
一份证明附到换热器上，说明只能在壳程中进行焊接和动火。承包商在抽出大部分管子后，决定派人进到壳程里，磨开堵塞的管子。他打电话到生产装置里，问派人进到壳程里是否安全，但是没有说进去干什么。
接电话的装置工程师说壳程很干净，进去是安全的，他不知道工人进去是要磨开一些管子。
两个人进到壳程里开始作业，由于受到烟气的影响，工作留到第二天去做。另外三个人再次进去工作，由于受到很大毒害大被送进医院，幸运的是他们很快就康复了。
当换热器送出修理时，附在换热器上的证明应包括更多的内容，应当说明堵住的管子没有进行清洗，里面有一种化学物质在受热时会放出烟气。最好的方法是将管子打开进行清洗。承包商必须除去塞子，可是什么不在离开装置前将它们除去呢？
(b) 当废金属经销商用气割拆除装有钛管的换热器时，至少引起两起严重的钛着火事故。一旦钛熔化(熔点约在1660℃)，在空气中很容易燃烧。送去做废料的钛应清楚地标有警示性说明。
您发出的指令包括本节中所提到的这些内容吗？
在对设备进行维修以前，常见的方法是给维修队一个允许工作通知，内容包括：
1．工作内容。
2．设备隔离和认证的方法。
3．存在的危险。
4．应当采取什么预防措施。
本节讲述一些因为发放作业许可证过程存在的漏洞，或不遵守操作程序造成的一些事故，两者之间没有明显的界线。通常操作程序没有或似乎涵盖了所有的情况，相关的人员把这作为一种走捷径的理由或借口，如下列两起事故所示：
1．4．1在许可证发出以后使用设备
(a) 一名管工队的负责人收到作业许可证，要对一条管线进行动改。下午4：00管工们回家去了，准备第二天在完成这项工作。晚上，工艺负责人想使用管工们正在作业的管线，他检查后认定使用这条线很安全，要求当班的维修人员取消作业许可证。第二天早上，管工们不知道作业许可证已经被取消，开始对这条正在使用的管线进行作业。
为了防止类似的事故发生，(1)应明确规定作业许可证只能由接收许可证的人取消(或接过这个人责任的人取消)，(2)许可证应有两个副本，一本由维修队持有，另一份存在工艺人员的登记簿上。
(b) 为了再加一些催化剂，要将反应器的人孔打开。打开人孔后发现到第二天才能配齐必要的劳动力，所以决定再装上人孔盖，连夜再生催化剂。到这时已经是晚上了，维修队的负责人下班回家，将作业许可证放在办公室里，办公室的门被锁住。因而反应器被封了起来，催化剂再生的许可证生效。第二天，一名装配工也带着作业许可证，准备再次打开人孔。他一打开人孔就被液态工艺介质湿透了，幸好液体大部分是水，他没有受伤。
在收回原来的作业许可证以前，不应当将反应器封住，并投入使用。如果作业许可证被锁起来，那么应将维修队的负责人叫来。除了在紧急情况下，当有关设备的作业许可证仍然有效时，不能操作装置。
1．4．2没有穿防护衣
下列是一引起典型的事故：
(a) 在一条酸线上作业的许可证中，要求工作时必须戴护目镜。虽然管线已经被排空了，但是里面可能存有压力(见1．3．6)。做这项工作的人没有戴护目镜，眼睛里溅进去了东西。
最初，受伤事故似乎完全是受伤人的过错，其他人无法防止事故的发生。可是，通过进一步的调查发现，所有发出的作业许可证都要求配戴护目镜，甚至是修理水线。因此，工人经常忽视这些要求，管理人员也视而不见。没有人告诉安装工人，在做上述工作时确实必须配戴护目镜。
如果作业许可证包罗万象，要求穿戴比实际需求更多的防护服不是一种好的管理方法。应当只要求什么是必须的，然后坚持这个必须。
为什么管理人员要求穿戴的比实际需要的更多呢？可能担心因为如果自己要求穿戴的防护服比负责人要求要少，会受到负责人批评。为了保护他们自己，每次都提出各种要求。如果我们让大家来决定什么是必须的，那么很可能得出与我们意见不一致的结论。我们应当与他们进行讨论。提出具体的要求。
(b) 两名工人在修理硫化氢压缩机时，按要求要戴上空气面罩。尽管已经用氮气吹扫了压缩机，但是里面仍残留有少量的硫化氢气体。其中一个工人在处理靠近地面很重的阀时感到很费力，就摘下了面罩，结果他被硫化氢气体醺倒，也可能是被氮气醺昏过去的。
再重复一遍，人们很容易指责这个人，但他戴空气面罩来完成工作是十分困难的。厂里的负责人认为不要轻易指责他们，应该寻求更合适的装备。
3．2讨论了类似的事故，我们不应当指责犯错误或不遵守指示的工人，而是应当通过改变工作条件，消除犯错误的机会，即改变设计或操作方法。
(c) 作业许可证要求配戴护目镜，但是工人并不总是服从，不可避免地造成一些人受伤。这起事故不同于(a)所讲的，这套装置必须永远配戴护目镜。
调查表明，负责人和管理人员知道工人并不总是戴着护目镜。但是，为了避免争执和耽误工作，他们对此视而不见。工人们看到这种情况，心里想到“戴护目镜并不重要”。因而，负责人和管理人员要对这种不可避免的受伤负责任。做日常工作的人变得不细心，负责人和管理人员不可能进行全程监督，但是他们能进行抽查，看看是否采取了正确的预防措施。当他们看到违犯规定的现象时，能够发表自己的看法。事故之前的亲切话语比事故之后的惩罚措施更好。
1．4．3装置边界处的工作
在发放焊接或其它动火作业许可证以前，正常的工作程序是要确定附近没有可燃气体和液体泄漏，不存在有可能导致发生泄漏的非正常情况。“附近”的意义取决于可能泄漏物质的特性、地面的坡度等等，对于高易燃液体，“附近”的范围应扩大到15米。
因为在一套装置里的泄漏物质被邻近装置进行的焊接作业引燃，已经发生了多起火灾事故。在装置边界内，比如说15米内进行焊接或其它动火作业前，邻近装置的负责人要联签作业许可证。
当属于一套装置的管线通过另一套装置时，发生过类似的事故。
假如属于A区的管线通过B区，而这条管线要在B区断开(图1-10)。
做这项工作的人面临两种不同的危险：由于管线中的介质带来的危险(A区的负责人了解这种情况)，由于在B区作业带来的危险(D区的负责人清楚)。如果对这条管线进行作业的许可证由A区的负责人发出，那么B区的负责人应当联签。如果由B区发出，那么A区应当联签。这套工作程序应包含来自作业区的要求，并被清楚理解。
因为A区的负责人发放了在B区管绒流量变送器作业的许可证，造成一次事故的发生。B区的负责人发出了在D区进行研磨的许可证。他检查没有可燃气体存在，将排水沟也都盖了起来，但是他不知道有关流量计的事。一个火星将敞开的流量计排放管线引燃。
贵厂将会发生什么事呢？
1．4．4水上维修工作
一名焊工正在管沟里安装一条新的管线，20米外正拆除另一条管线上的盲板，管线里装着轻油。虽然管线已经用氮气吹扫，人们都知道当断开管线的法兰时有可能流出少量的油，但是相信油蒸气不会扩散到焊接作业区。不幸的是，大雨将管沟淹没，油在水面上扩散，被焊工的焊枪点燃。一名在20米外拆除盲板的人被严重烧伤，不久后死去。
从这起事故中应汲取的第一个教训是，不允许在大的水面上进行焊接作业，远处的溢出物有可能被引燃。1970年，35吨汽油流到英国曼彻斯特船闸中，两个半小时后，远在一公里外，汽油被引燃，造成6人死亡。
第二个教训是，当要定期断开大的接口时，应当准备一种适当的排空管线的方法，当接口断开时，不允许将管子里的介质溢到地面上。
为什么在拆除离焊接点20米外的盲板时要发放作业许可证？虽然蒸气正常情况下不会喷这么远，但两项作业靠得相当近。
发放两项作业许可证的负责人主要负责操作相当一段距离以外的装置。因为他们忙于操作装置，不可能像通常那样去察看管沟。如果在允许拆除盲板作业以前，他们能直接去察看管沟就会认识到两项工作离得太近了，也许能意识到油会通过管沟里的水扩散。
在事故发生之后，任命了几名特定时期的负责人监督建设工作，介入施工队的工作。施工队很喜欢这种做法，因为他们只对一名工艺负责人，而不是四个班的负责人。
有关施工队的另一起事故，见5．4．2(b)。
1．4．5误解
许多事故的发生是因为误解了词和短语的含义，下列事故很具有代表性：
(a) 在发出了拆除泵的修理许可证，并把泵里的油排空后，将泵拆开，然后封住泵的两端。第二天早上，维修负责人签发作业许可证，表明拆除泵的工作已经完成。早班的主操作员看了一眼许可证，看见工作完成后，他要求电气技师换熔断器。电气技师换好后签了许可证，表明他已经完成工作。到这时，下午班的主操作员上班，当他出去检查泵时，发现泵已经不在了。
作业许可证上要求的工作是拆开泵进行修理。有时许可证要求拆除泵、修理后再装上。但在这种情况下，许可证只是针对拆开(见1，1．2)。当维修负责人在许可证上签字表明的工作已经完成是指拆卸工作已经完成。而主操作员没有完整地看完许可证，就认为维修工作已经完成。
主要的教训很明显：仔细阅读许可证；不要只是扫上一眼。
维修人员在许可证上签字，表示工作已经完成时，表明他已经完成了他要做的工作，但这也许不同于期望他应做的工作。因而工艺负责人总是要检查工作的完成情况，确保预计的工作已经完成。
在移交或退回许可证时，维修和工艺人员应当交换意见。把许可证留在桌子上让人签字不是一种稳妥的做法。
(b) 当发出作业许可证，要求挖开地面时，正确的做法是找电气技师确认地下没有埋着的电缆。但挖掘是指什么？一名承包商要求并收到一份作业许可证，说明是“平整和修刮地面”，由于没有提及挖掘工作，所以工艺负责人没有与电气技师协商。结果承包商使用机械铲，从地面上挖了几英尺的土，刺穿了带电的电缆。单词“挖掘”需要仔细定义。
(c) 一名技师为了更换空气供给系统的过滤器，空气供应中断，而此时一名建筑工人正穿着配有呼吸空气的塑料保护服。幸好他得到及时救助，没有受伤。有关人员认为该厂有完善的管理系统：在任何人使用呼吸空气或在空气系统上作业时，相关人员都应通知主控室。不幸的是监督人员和旁边的操作人员都认为应由对方向主控室报告。技师在开始工作前的确与控制室取得了联系，但控制室的人告诉他没有人使用呼吸气，为了保险起见，技师和控制室的人还四处进行了察看，然而检查进行地相当随意，因为他们每个人都期望没有发现任何人。空气的使用点不在路边上，他们都没有注意到有人使用呼吸气。
这种工作方法并不是非常好的。没有作业许可证，不能在呼吸系统(或任何其它系统)上进行作业，因为人们说OK比签字考虑地更少。使用呼吸气的人应在控制室里签字，或取标签，而不能只是告诉某人他们正在使用呼吸气。
(d) 为了更换电气设备，切断了锅炉和水处理装置的电源。负责这项工作的负责人通过无线电与两套装置保持联系。在更换工作开始后，他收到试验已经完成的信息。这条信息实际上是指水处理装置试验已经完成，这位负责人认为两套装置的试验都已完成。因而他用无线电通知恢复这两套装置的电力供应。在锅炉装置作业的人员没有听到这条信息，继续进行试验。当电力供应恢复后，在锅炉装置的试验点上产生电弧。幸好电气技师在进行试验时戴着耐高压手套和护目镜，否则，他会被杀死。
报告指出，用无线电通迅时，在信息得到证实之前，不能采取行动，但这还不够，只有当在两套装置作业的人员都已经签完作业许可证后，才能恢复电力供应。只靠语言交谈是不够的。
(e) 当有人复写工作许可单时，复写纸下面的复写副本移位，出现错行。这个复写副本被送到修理设备的人手里，这种错误造成他认为装置里没有酸液。当他打开接头时，硫酸喷了出来，把他的脸和脖子烧伤。
1．4．6挖掘
一份来自美国能源部(DOE)的报告说，有关在挖掘或开沟作业中意外发现地下设施的情况时有发生。有几起事件导致电击事故，一起造成严重受伤，其它一些几乎都造成损失。受伤事故发生在楼房的地基里建一个1米深的污水池时，一台压缩空气锤击中了一条13200V的电力线。在授权进行任何挖掘(或平整地面，见1．4．5b)前，电力部门应证实地下没有电缆，或者如果有电缆也已经被隔断。如果地下有管线，应在图上予以确认，或用金属探测器进行确认，在附近挖掘时(比如说1米以内)应用人工进行。
在另一起事故里，一台农耕机械挖断了一条3英寸的聚乙烯制的天然气管线，幸运的是天然气没有着火。图纸复杂而又混乱，承包商没有注意到这条管线，也没有使用金属探测器。因为管线上有金属丝，很容易测到这条管线的存在。在第三起事故中，一名工人人工挖一条沟，当人们认为有导电体存在时发觉这条线实际上是放射性废料的转运线。他受到小剂量的放射性照射。
1．4．7发出危险工作的许可证吗？
许可证制度对维修工作的安全行为很有必要。但是，发放许可证本身并不能使工作性质安全，它只是提供了检查所做的工作，使设备安全的机会，评估预防措施的必要性，通知完成这项工作的人。援引官方的报告来说明谈论这个话题的必要性：
“……他们自己发现需要调整滚筒上的某些刮刀。这家公司的结论是发出一份工作许可证，但实际上这是一份与危险相伴的许可证，而不是安全作业的许可证。它允许安装工人卸下防护罩在转动的机器上作业。第二份许可证发给急救人员，使他靠近死神，当这名可怜的安装工被拖进机器里时，准备实施救援，或死在救援工作中。事实上，有一种简单的方法即在防护外完全可以扩大调整控制，以便在机器转动时，从一个安全的地方调整机器。
1．5 维修的质量
由于维修工作不符合完善的工程规范(通常不以书面的形式)，已经引起了许多事故，如下列事故和10．4．5所示。
1．5．1断开接头正确和错误的方法
(a) 1．1．1讲述的火灾事故的主要原因之一是断开接口的方法不正确。装配工卸下泵盖上所有的螺母后，用扁铲撬开紧紧卡在螺栓上的泵盖。当突然打开泵盖时，热油流了出来。正确断开接口的方法是稍微松开螺栓，然后轻轻打开接口的端面，如有必要可使用扁铲。慢慢泄放压力，当发现压力较大时重新拧紧螺栓。
(b) 事故是因为交接不清造成的。一只阀门必须进行更换，先将阀门两端的
隔断阀门关闭，再将中间的排放阀打开。排放阀排放的情况说明其中一只隔断阀泄漏，所以重新关闭排放阀，并将这一信息留给下一班的操作人员，要求他们在开始作业前，应先打开排放阀。在工作许可证上没有任何书面的纪录。然而这条信息没有被传下来，下一班的作业人员没有打开排放阀，装配工用错误的方法断开接口，卸下了所有的螺栓，接口被炸开，装配工头部受伤。
(c) 引起事故的不只是可燃性的油，在另一起事故里，两名工人在卸开热水线上一支大型阀门的阀盖时，被严重烫伤，虽然压力只有9英寸水柱(0.33psi或2.3kPa)。他们卸下了所有的螺栓，把盖子吊在起重设备上，想把它吊起来。为了松动盖子，他们试着摇动盖子。当盖子突然松开时，热水流到工人的腿上。
1．5．2用力过度
在8〞的管线进行改造工作，管线中充有热溶剂，接口两侧为3/4英寸的管线。当时装置里有起重机，所以决定用它来稍微吊起一条管线。吊绳系在一根¾〞的短管上，结果将其折断(图1-11)。
当管线里充满工艺介质时，使用起重机完成这项工作，不是一种好办法。虽然附近正在进行挖掘排水工作，但是幸好泄漏的油汽没有被引燃。现场正在使用一台柴油泵，仅在事故之前几个月，刚刚禁止使用它。
2．11．1讲述了因螺母出问题造成的爆炸事故，这些螺母被拧得过紧。
1．5．3忽视材料的强度
(a) 在经过短暂的停工检修后，装置重新开工，一些法兰上使用了双头螺栓和螺母，而不是用普通的单头螺栓和螺母把紧。有些双头螺栓一头比另一头留得更长，在有些法兰上，一个螺母只拧上了几圈丝扣(图1-12)。
没有人知道为什么这样做，也许两个螺母松紧不一样，在拧紧每个螺母时，另一只螺母并没有完全满帽。无论什么原因都造成了危险情况，因为这造成了法兰不同部位受力不均衡。此外，双头螺栓不应与普通螺栓不加选择地混合使用，它们经常是用不同的材料制造的，其应力也不相同。在某装置里，一个8孔法兰，一次只换了一个螺栓。一个4孔法兰用带压堵漏夹具夹紧直到下一次停工。
图1-11 当起重机吊起一条在用的管线时，短管被折断
(b) 套大型燃料气系统在气柜的压力下操作发生泄漏。为了避免停工，人们在泄漏点建起木盒子，里面灌上混凝土。原来只是作为一项临时性措施，但这种方法很成功，一直沿用了好几年。
在其它情况下，泄漏被成功地用盒子包起来，或包在混凝土中。但是，操作只能在低压下进行，应当听取专家的意见，如下列事故所示。
图1-12
螺母没有正确地装在双头螺栓上
一只3in的蒸汽阀的填料函发生严重泄漏，当时的表压为300psi(2.0MPa)。试图压紧填料函压盖的方法没有起作用，所以当班人员决定将阀门包在盒子里。他们用钢板做了了一个36in长，24in宽，14in高的盒子。这样厚度的钢板强度很大，但是形状不适于承受压力，
几乎不能承受大于50psi(0.3MPa)表压的压力，即使完全焊透，也耐不住这么高的压力(图1-13)。
图1-13 这个钢制的盒子根本不能承受表压为300psi的蒸汽压力
盒子上装了放空管线和阀门。当阀门关闭时，盒子开始鼓起来，阀门很快被打开。为了加强盒子的强度，他们在盒子的四周焊上了2×2in的角铁，然后关闭放空阀，几分钟后，盒子爆炸了。幸好这位技师——如果他称职的话，已经离开现场。这起事故不是发生在一家小公司，而是发生一家著名的国际公司。这起事故说明需要时刻保持警惕。我们不能做这样的假设，因为我们已经雇用了合格的技师和工程师，他们不会采用愚蠢或不安全的方法完成修理任务。
1．5．4 不理解工作原理和结构
(a) 在拆除执行机构时，错误地将固定阀盖的螺栓卸下，导致几起溢流事故的发生。图1-14和图1-15演示两起事故是如何发生的。第二种结构尤其容易出现问题，因为在试图松开安装执行机构支架的螺母时，双头螺栓也许会松开下面的螺母，这起事故能归类为设计不当。
第一起事故漏出了70～100t氯乙烯。当时没有风，蒸气和雾团慢慢地来回飘移。一个小时被引燃后，雾团扩大到240m，有1.50m厚。部分氯乙烯已经扩散到建筑物里，爆炸发生后将建筑物摧毁。剩下的氯乙烯在外面燃烧，引起另外几个氯乙烯罐爆炸，增强了火势。引人注目的是，只造成一人死亡。受伤的人员包括到现场查看火情
的检查员。
(b) 一支球阀发生了一起类似的事故。两名工人按要求在
阀
门下面安装排放线。因为空间太小，他们决定拆除他们认为是阀门下面适配器的短管，但实际上这段短管是阀门下部的组成部分(图1-16)。当他们卸下三个螺栓，开始卸第四个时，天色暗了下来，他们把这项工作留到第二天去做。
|
这支阀门是一台小型液化石油气(LPG)储罐的排放阀，在两三个小时的时间里放出了5t的液化气，幸好没有着火。但是，2000名住在附近的人被迫撤离家园。
图1-16
错误地拆卸阀门
(c) 屏蔽电机的运动部件(转子)被浸在工艺介质中，没有密封函，不可能发生密封函泄漏。电动机的固定部分(定子)没有浸在工艺介质中，通过不锈钢套与转子隔开(图1-17)。
如果罐上有一个洞，工艺介质将进到定子室内。因而在这个室内安装一个压力释放丝堵，在打开该室修理定子前使用这个丝堵。提醒人们打开丝堵的警告牌通常装在泵上。
在没有使用压力释放丝堵的情况下打开泵定子室。因为套上有一个洞，使定子室内存有压力。当松开盖子上的螺栓时，盖子被炸出，击中了2m高处的脚手架杆，在继续向上飞的途中，击中了一个人的膝盖，放出的工艺介质引起眼睛发炎。在泵上作业的人员不知道这个丝堵的用途，也没有看到警告牌。有关屏蔽泵更详细的图纸和描述，见参考资料12。
(d) 某些情况下，修理工要拆除热电偶套管，他们没有意识到这样做会引起泄漏。他们没有认识到热电偶套管(热电偶或其它测温元件插在里面的护套)直接与工艺介质接触。参考资料13讲述了由此引起的一起严重的火灾。
(e) 一台高压往复氨泵过去已经运行了23年，没有出过严重的问题。当曲轴由于疲劳突然断裂时，活塞从缸体穿了出来，有两人被氨醺死。没有人认识到运动部件的故障会导致大量的氨泄漏。如果当时人们认识到这一点，他们会安装遥控的紧急切断阀(见7．2．1)。这样会大大减少泄漏量，但仍然不能快到能防止灾难的发生。
1．5．5治标不治本
下列事故说明，如果我们仅仅单纯地修正错误，不去查明错误发生的原因将会出现的情况。
(a) 一台高压压缩机缸体的衬里在9年的时间里换了27次。其中11次是衬里出现裂缝，另外16次是因为衬里受到磨损。没有人去查明频繁换衬里的原因。每个人所做的工作就是换衬里。最后一小块衬里卡在活塞和缸体之间，将缸体撑裂。
(b) 一个人在松开几根3/4in的螺栓时，其中的一根被拧断。由于用力过猛，突然一闪，造成背部损伤，不能工作。在事故调查中，在附近找到7个以前被拧断的螺栓。很明显，螺栓经常被拧断。如果作业人员不是简单地继续更换继续使用，而是报告断裂的情况，那就能找到更适合的螺栓材料。
为什么工人没有报告螺栓断裂的情况？如果他们报告了，又会采取些什么措施？如果领班或工程师在巡查装置时注意到断裂的螺栓，查清为什么会有如此多的断螺栓，这起事故就可以避免。
(c) 管线经常被堵塞。由于要疏通堵塞，有些地方的管线几乎被敲扁了。更好的方法是换一根直径较大的管线、或管线有更大的落差、大半径的弯头以及多处放空检查点。
1．5．6防火电气设备
在有些情况下，详细检查防火电气设备时会发现存在很多问题。例如，在一套装置里，粗略一看没有发现什么问题。然而经过更彻底地检查，尤其是注意检查不易靠近的设备，或只能爬上梯子才能进行检查的设备，发现在121项检查内容中，有33项需要整改。问题包括螺丝丢失和松动，间隙太大，玻璃破碎和密封管使用不当等问题。并不是所有问题都能使设备成为引火源，但有一些确实如此。
为什么会存在如此多的问题？在这次检查前，过去一直没有进行定期检查。许多电气技师不明白为什么要使用防火设备，如果不注意维护会造成什么后果。库房里没有备用螺丝和专用的螺丝刀，所以无法更换丢失的螺丝。
应建立定期检查制度，应对电气技师进行使用防火设备的培训，储备一定数量的备件。当然也发现在有些地方没有必要使用防火设备，可以用2区设备代替(价格便宜，容易维护)。
1．5．7修补
在1．5．3(a)已讲述了一项修补工作后，此处再举两个例子。
(a) 一台压力容器装有一个直径loin的快开盖子，用四个环首螺栓把紧(图1-18)。因为螺纹受到腐蚀，必须进行更换。他们没有更换整个环首螺栓，一个人为了节省时间，割去了环首，在上面又焊了一个新的螺栓。容器刚一加压(用压缩空气)，这个新的螺栓(在焊接时变脆了)断裂，盖子飞了出去。幸好有一根短链子拉住它，没有飞得很远(快开盖的危险见13．5和17．1)。
(b) 一台卡车在进行修理后，一把螺丝刀留在卡车的驾驶杆里。这台卡车与半拖车发生碰撞，修理公司必须付250000美元的损失费。援引报告的话说，“车间应像航空和医疗工业一样严格，在维修工作完成后，应清点所有的工具。
1．5．8谁决定进行修理的方法
下列报告提出了两个有趣的问题：
●谁决定如何进行修理工作？
●怎样疏通小管径里的堵塞？
两台水泵入口线上的取样点被堵塞，要求维修工来疏通。没有告诉他如何完成这项工作——技工们不喜欢其它部门的人告诉他们如何完成工作，操作员认为他会用水冲或用棍子疏通。但是他使用表压为115psi(0.8MPa)的压缩空气，空气团使泵失去了吸力(图1-19)。
这起了事故的后果并不严重。这两台泵提供水冷却离开焚化炉的热气；当水流停止后，高温断路系统关闭了火嘴。焚化炉是新安装的，正在进行调试，这项工作以前没有做过。实际上水在循环使用时，水里的灰能引起堵塞。
图1-18没有更换环首螺栓，在螺纹部分焊上一个新的螺栓。
螺栓在焊接时变脆，在使用中断裂。幸好有链子拉住，盖子没有飞出去
报告指出，应该给维修工更详细的指示。但是报告同时也指出，有些技能是工艺技能；我们应该能够假设技工们熟悉这些技能，不需要每次都给他们详细的指示。例如，当要求技工们断开接头时，我们不需要每次都告诉他们如何断开接头(但请参见1．5，1)。然而，如果有一些维修工没有掌握这些技能呢？
作为安全教育的一部分，应当教育工人(和操作员)不能用压缩空气疏通堵塞，压缩空气的动能很大，它能把堵塞物加速到很高的速度，如果管子是敞口的，它速度很快地射出去。如果击中弯头处，会损坏管线(见17．2)。
如果我们把它当作学习经验来对待，我们就能从简单的事件中学到很多东西，我们不能说“没有人受伤，也没有损失，让我们忘了它吧”。
图1-19焚化炉急冷循环系统简图(美国能源部供图)
1．6 个人笔记
本章中提出的建议远远超出有些公司认为必要的范围。例如，有些公司在阀门上放上“不能使用”的通知，而不是将阀门锁住，或为了节省时间，他们对省略的工序视而不见。然而，惨痛的教训使我认识到这些建议很有必要。
1968年，在生产部门工作了16年后，我转到一个新的安全岗位工作。以我的背景，当时对于某些人来说，这是一次不寻常的调动，但是在三年的时间里，发生三起严重的火灾，死了5个人，其中两人是因为没有做好维修准备，这才使高级管理人员相信，应当在安全方面投入更多力量，不能把安全工作留给非技术人员和年长的领班。从那时起，我阅读了大量关于因为这个原因引起的其它事故的报告。有些事故很严重，几乎造成损失。
当我从产业部门退休时，我的主要工作之一是将过去收集的事故报告分类。到目前为止，最厚的一个文件夹是关于维修准备的。从这个文件夹中选出一些，结合最近发生的一些事故，在上面做了讲述。
如果您认为我的建议对您的部门不适用，请不要忽视我所讲述的事故。检查您的操作程序会防止事故，否则事故会再次发生。
我认为有知识的人应在图书馆取得进步，但这种进步就应由适当的评判人适时地予以评判。
——乔治史蒂芬森，1841
因为人们对装置和工艺进行了一些改造，同时又没有预见到这些改造对所带来的负面影响，出了一些事故。在本章中叙述了这样一些事故，讨论在将来如何防止发生类似事故的发生。有些事故摘自参考资料1和2，在参考资料中还讲述了其它一些事故。
2．1 开工时的动改
开工动改是指对装置进行一些改动之后的一段时间，在这段时间内工作压力很大。因而在开工期间所做的一些调整会产生一系列不可预见的后果。
一家工厂在开工一年后，重复进行了一次泄压和放空评价。开工小组意识到需要查找改动后所带来的结果，过去只要有动改一直这样做。然而这次重复评价却发现了12种情况，其中原来评价所做的假设出现偏差，需要动改和加大安全阀，或改变安全阀的位置。见图2-1。
尽管开工期间工厂员工的压力很大，他们一直更新单线图，这使得重复评价泄压和放空很容易进行。工厂员工对结果印象很深，所以决定在隔年后再进行一次评价。
 |
图2-1第一年对管线泄压系统所做的一些改动
 |
图2-1第一年对管线泄压做的一些改动
5．5．2(c)讲述了在设计中新进行了一次修改，但没预见到后果的情况。
 |
*
2．2 小动改
这条术语是指动改所需的资金很少，以至于不需要财务批复，或很容易得到批复。所以所受到的重视程度不如费用较高的大改动。
(a) 只需要发出工作许可单的一项非常简单的动改，结果导致罐的端面被炸飞，在现场的两名工人受了致命的伤。
这台罐用来储存熔点为97℃的液态产品，因而用蒸汽盘管加热，蒸汽的表压为100psi。(0.7MPa)。在事故发生时，该罐几乎是空的，准备用来储存产品。
为保证入口管线干净，在装罐前，正常的工作程序是用压缩空气进行吹扫。但压缩空气无法通过，操作员认为管线堵塞。
实际上是罐上的放空管线堵塞了。压缩空气的压力(75psi或0.5MPa)足以使罐(设计表压5psi或30kPa)爆裂。原来这台罐有一条3in(76mm)的放空管线，但在有些情况下被加上盲板，用一条垂管(DIPBRANCH)代替。
还有其它几项错误，如没有加热放空管线，其所处的位置不便于检查，最重要的是经理、监督人员和操作员都没有认识到，如果放空管线受阻，压缩空气的压力足以使罐爆裂。然而如果6英寸的放空管线没盲死，事故就不会发生(还可见12．1)。
(b) 在反应器上装了一条旁路线(见图2-2b)。遥控阀A．、B、C受联锁控制，使阀A、D关闭前，阀c打开。因为发现阀泄漏，所以分别在系统中装有手控隔断阀配合使用(图2-2b)。
(a) 原有反应器旁路
(b) 动改后的反应器旁路
图2-2
在关闭阀A、B后，操作员接到指令关闭相应的手阀a、b，这使得联锁不起作用。一天，一名操作员没有关闭阀A、B，过去已经忘记了打开阀C。他认定阀A、B出了故障，就关闭了阀a、b。炉管中的物料不流动，造成炉管过热，一条炉管破裂，其它炉管的使用寿命缩短。
(c) 一只下行阀起瓶颈作用，所以人们并列增加了另一只阀门(见图2-3)。在安装期间，一只止回阀在保温层下，没有被发现。因为在止回阀原有管线的下游有一条便用接管，所以并行管线就接在此处。上游设备直接与下游设备相连，安全阀被旁路。
图2-3 第二只(下方)下游阀接到止回阀原有管线的下游
(当这只下游阀泄漏时下游设备超压)
下游流动不畅，新装的下游阀泄漏，下游设备超压、破裂。
在设计动改时，设计人员假设新的管线直接接到安全阀后的原有管线上。如果他们认识到这项工作的重要性，就会重视，且检查设计动改是否正确。
在动改被批准前，应在连线图上做出标识，授权动改的人员必须检查动改是否满足要求。
(d) 为防止有害气体进入控制中心的三个房间，必须保持室内正压。鼓风机将空气吹人房间1，空气通过百叶窗进入房间2，然后进入房间3。压力控制器测量房间1内的压力。由于不明原因，房间1和房间2的百叶窗被关闭。六年过去了，没有人注意到其它两个房间的压力不受控制。公司有相关的动改控制程序，但在关闭百叶窗时没有应用，也许相关的人认为这些程序只用于工厂设备中而不是用于建筑物上。在您的工厂内情况怎样？
在另一幢建筑物里，阵风使建筑物内的压力增加，通风扇停止运行，解决的办法是增加鼓风机的转速。不幸的是增加的冷风使消防水主管线结冰，造成管线破裂。
(e) 其它对装置安全影响较大的小型动改有：
1．摘除介质流到容器的限制板，而该限制板确定了容器的安全阀。由于小口径的管子不易摘除，所以用小口径短管比用限流板安全。
2．当调节器限制介质流向容器的流量，并确定容器的安全阀时，加大控制阀的调节器。
3．安装不合格的排放阀(见8．2a)。
4．用软管代替金属管或管子(见15．3)。
5．用金属刀具从刨片机(一种旋转的钢筒)上刮掉固体物质。当用塑料刀具代替钢制刀具后，发生爆炸，也许是因为产生的粉尘太多。
6．没有向制造厂家咨询，业主对热取压装置进行一项小改动：为加快使用速度，在取压装置上安装了一台更大的放空阀。其结果是取压装置不能承受4MPa(600psi)(表)压力，从操作管线上猛烈地射出去。
7．对阀轴做小改动，因而改变了阀固有的振动频率(9．1．2a)。
8．改变容器里的液位(2．6．i，22．2d和e)。
2．3 在维修期间进行动改
即使建立了完善的动改控制机制，在维修期间所做的动改往往会不受检查。(有些人出于善意，决定做一些动改)。
许多年前，人们建立了一套专供空气面具使用的空气管网。管网投用后，人们从压缩空气主管线的上部接出一条支管(见图2-4)。
这套系统一直用了30年，没有出现问题。然而有一天，当一名工人在罐内戴空气面具时，被喷得满脸是水。幸运的是他能向旁边的人示意供气系统出了问题，在受伤害前得到及时救助。
事后的调查发现压缩空气的主管线已更新，空气面具专用网络的接管被移到主管线的下部。当一股水流到主管线里时，集中在集水罐里，因水流进的速度比排放快，液面很快上升。不幸的是每一个人都忘记了为什么支管要从主管线的上部接出，也没有人认识到这种接法的重要性。 图2-4空气管线原来的接法
燃料气系统发生了一次非常类似的事故。当更新一条腐蚀的干线时，从干线的底部而不是从上部接出一条通向炉子的接管，一股液体充满了集水罐，熄灭了燃烧器。
弹簧支吊架支撑温度大约在300℃的管道工程管，当其受热或冷却时应力最小。周围环境的气体具有腐蚀性，弹簧支吊架受到削弱。当拆除支吊架后，剩下的管道工程管起硬性支撑作用。但是它不能承受应力的作用，冷凝器破裂，热传导油漏出，引起大火。
似乎是没任何一个人认识到支撑的重要性。与管道工程管不同，支撑没有保护，不能抵抗腐蚀作用，被除去时人们很少或根本就没有想到所产生后果。
因压缩机出了一些问题，人们对轴的迷宫密封设计做了一些修改。新的密封被购买并安装使用，但旧的密封备件留在库房里。八年之后，员工换了，备件也要更换，您可能已经猜到所发生的事情，旧的备件从库房取出，装在设备上。
类似事故在锅炉上也发生过。在炉子顶部炉管几次出现问题后，人们用厚壁管替换，并在图上做了标记。使用一段时间后，在这段管子上又有泄漏，必须替换。没有人查看图纸，就将一段0.5米长的管子焊接上了，管子的不连续性产生了流体紊乱，局部过热，很快报废。
人员调动是一项很少考虑后果的调整。
2．4 临时性动改
(a) 最有名的一次动改是1974年英国Flixborough的Nypro工厂所进行临时
性管线安装。两个月之后出了问题，泄漏出大约50t热的环己胺，环己胺与空气
混合发生爆炸，炸死28人，工厂被破坏。
Flixborough工厂六台反应器组成一个系列。利用重力使液体通过φ28in(0．7m)的接管从反应器1流到反应器6，每台反应器略低于前面反应器(图2-5)。考虑到管子的膨胀，每根28in的管子接有一个波纹管(膨胀节)。
其中一台反应器因有裂缝而需要拆除(裂缝也是工艺动改的后果；见2．6b)，用一条20in的临时管线代替，为满足高度差的要求，管线上有两段弯管。原有的膨胀节留在原处，接在临时管线的两端(见图2-5)。
管线和支撑的设计留有许多问题需要考虑。管线没有适当支撑，只是放在脚手架上。因为在管子的两端有膨胀节，所以当压力稍高于正常值时，管于可以自旋转和“蠕动”，这使得膨胀节出问题。
接临时管线时，工厂里没有专业的有资质的工程师。很难用设计这个词，因为设计人员只是用粉笔在车间的地面上画了一幅草图，他们不知道怎样设计在高温(150℃)高压(150psi或1MPa表)下操作的大管线。几乎没有专业工程师懂得如何设计高应力管线。此外，Flixborough工厂的工程师不知道专家设计的必要性。他们不知道他们不懂的事情。
图2-5 Fixbomugh工厂临时管线和反应器布置
(b) 一台反应器用流过夹套的盐水冷却。修理时必须将盐水系统关闭，用城市供水代替。城市供水的压力(130psi或0.9MPa表)高于盐水的压力，反应器倒塌了。
在动改之前，履行了审批程序，提出20项问题，但这只是一种形式，回答问题敷衍了事。
另一项临时改动见5．5．1．
2．5 资金调整
资金调整是用来描述资金已经由高级管理人员或委员会授权后所进行的调整。因而调整工作不能匆忙进行。必须写出书面理由做说服工作。虽然现在(或过去一直)主要有几种管理系统控制费用，而不是安全，但是这些管理系统工程要求专业人员对提出的建议进行仔细地评估。虽然并不总是能预测到不可预知的结果，但会引起人们的注意。有时在得到批文以前，设计工作已在进行中，设计工作避开仔细审查过程。然而，人们很难找出因资金调整所引起的严重事故。下例情况也许可以列在开工调整中，它发生在初步设计被审查和批准后。
(a) 低压冷藏乙烯罐上装有一套表压为1.5psi(10kPa)的泄压阀向烟囱中排放。在完成设计工作后，人们想到冷的气体从烟囱排出后，在速度较低时，将向地面沉降，容易被引燃。烟囱太低不能用做火炬——地面的热辐射太强——如果加高烟囱，其强度又不够。能做什么工作呢？
有些人建议用蒸汽从烟囱里向上吹，以驱散冷的乙烯蒸气。这似乎是一条好建议，所以被采纳了(见图2-6)。
当冷的乙烯蒸气向上运动时与冷凝物相遇，冷凝物结冰，将直径8in的烟囱完全堵塞。储罐过压破裂。所幸的是裂口不大，漏出的乙烯气体没有被引燃。漏出的乙烯气在储罐倒空后，用蒸汽驱散。
图2-6
液态乙烯罐放空布置图
设计小组能预见到凝结物会结冰吗？一项危险性和可操作性研究(见第十八章)已经引起人们对危险情况的重视。
罐被修好后，用火炬代替放空烟囱(见3．3．1b，6．2b，8．1，6和9．2．1g．)。
(b) 人们建成一个新的装车台，用于石油液化汽装车。地面有斜坡，以便溢出物从罐装卡车下流走。如果着火，罐装卡车也不会受热。设计上的修改所产生的结果是，罐装卡车停在斜坡上时，液位计读数不准确。人们再次对设计进行修改，以使车轮处在一个平面上，但轮子中间和周围的地面仍是斜面。
(c) 一幢“碳精样板”厂房的楼层间距是3m，而不是2.8m，因为3m是公司的标准，高度的增加影响对流，效率降低。
(d) 当一座核电站施工正在顺利进行时，顾问委员会提出在部分冷却回路中增加锆衬里。施工单位认为没必要增加衬里，但安装费用不高。证明没有必要增加衬里所需的费用比安装衬里高，所以施工单位增加了衬里。有几块衬里松动，堵塞了冷却回路，反应器过热受到损坏，但是没有释放出放射性物质。检修反应器时，没有更换衬里。
一名工厂的操作员，虽不是一个顾问委员会委员(无论多么有名气)，但应对工厂的安全负责，不应当为了节省费用，或避免争论而采纳错误的建议。
其它的批准的调整见12．4．6。
2．6 工艺调整
到目前为止我们一直讨论对工厂设备的动改。因为改变工艺材料和条件没有预测到结果，可能会引发一些事故，如下述事例和19．5所示：
(a) 一台加氢反应器的压降增加，在找到真正的原因前，人们分析了各种因素——催化剂的质量、尺寸、分布、活性，反应物的质量、分布和降解。反应所用的氢气来自另一家工厂，在出厂前通过一个木炭过滤器滤去其中少量的油。过滤器中的木炭更换并不频繁，原装的木炭已用了好几年。再次订货的木炭颗粒比原装木炭颗粒更细，装到过滤器里后，人们没有认识到这种变化所带来的影响。经过一段时间的使用后，新装的木炭穿过支撑层，通过管子进入其它工厂。少量的木炭部分阻塞了催化剂支撑盘上3／8in的分布孔(图2—7)，造成很大生产损失。
因为变化的原因发生在其它厂，所以很难查找压降产生原因。
图2-1氢气净化系统
(b) 在一段时期内，当设备过热或冒烟时，常用的方法是往设备上浇水。从最近处方便的水源取水。在Flixborougb工厂，环己胺蒸气从一台反应器搅拌器的密腔漏出，为了浓缩漏出的蒸汽，冷却水使用便利，人们往反应器上浇冷却水。
不幸的是水中含有硝酸盐，硝酸盐使低碳钢制造的反应器产生应力腐蚀裂缝。反应器被卸下修理，代替它的临时管线后来出了问题，结果发生爆炸(见2．4)。
硝酸盐诱发的裂缝为冶金学家所熟知，在当时对其它专业的工程师却很陌生。在向设备上浇水前——紧急情况除外——您是否想过问自己，水中含有什么杂质？对设备是否有影响？
往设备上浇水与正常的操作方法不同，应该视为一个动改。有关硝酸盐诱发低碳钢裂缝的资料，见参考资料4。
(c) 下面事故说明要预测一项动改所产生的所有结果是多么困难，要预测在相隔很远的下游所做的动改带来的影响就更加困难：
一些放射性的溴(半衰期为36h)，以溴化铵的形式加到盐水中，作为放射性示踪剂。在相隔30km的另一家工厂里，电解盐水生产氯气。放射性的溴进入氯的物流中，接下来集中在分馏塔的底部，随重组分流出。塔上装有一台放射性料位计，设定在低液位时关闭塔底部的阀。放射性溴影响液位计的使用，发生淹塔事故，虽然没有人员伤亡，但生产因此受影响。
(d) 对操作条件做微小的调整可能产生破坏性的结果。在低温下进行硝化反应，然后将反应器的温度增加到90℃，并保持30min，然后再冷却。这样操作一年后，有人决定一旦温度达到90℃，就让反应器中的物料向环境散热，不用人照看。结果发生爆炸，建筑物毁坏，在75m外都找到了反应器的碎片。
(e)为了检修，建筑物内的供热系统需要关闭一周的时间。人们担心喷淋系统中的水会冻结，所以用乙醇代替。结果着火时，喷头还在加燃料！
(f) 为了减少腐蚀，向装置内添加氨水。侵蚀不再发生，但液滴引起侵蚀，一条管线漏了，接着起火。
(g) 三台蒸馏器装有射流喷嘴，直接与凝结器相连。水在一个小型冷却塔里冷却，循环使用，少量的蒸汽从分馏器中带出，消散在冷却塔里。冷却塔装有一台风扇，但操作员为了省电，将其关掉后，并发现不影响冷却效果。可是从蒸馏器来的可燃气体不再有效地扩散。当一名操作员要点燃几米外的炉子时，在按常规用可燃气体检测仪测炉内的气体时，发现有可燃气体，这时才发现存在问题。
在选定炉子的位置时，没有人认识到可燃气体能从冷却塔里跑出来。直接与凝结器连接的做法也不常见，如果水冷式换热器发生泄漏，在冷却塔中就有可燃气体。这次事故发生后，在加热炉和冷却塔之间永久性地安装了一台可燃气体检测器(图2-8)。
(h) 为满足环境保护部门的新要求，两台紧急柴油发电机所用的燃料油换成低硫等级的燃油(从最大0.3%降到最大0.05%)。润滑油中含有一种添加剂，用来中和在燃烧过程中产生的硫酸。由于产生的酸较少，过量的添加剂生成碳沉积，在活塞环处堆积，损坏汽缸壁。幸运的是，在紧急情况下需要启动发电前，在机器试运行后发现了问题，更换了润滑油。
(i) 拆下喷头检查时，发现喷头已经腐蚀，虽然以前已经用了30年，以前却从不知道发生腐蚀。问题的原因是罐里的液位发生变化，喷头重复地被浸湿，然后又干燥。
(j) 一家小型清洁剂厂每周要清洗一次储罐，少量的稀释液可流到排水沟里，然后流到排水系统中。从事清洗工作的人员必须站在沟里，他们的双脚是湿的，他们将软管的一端接到排放阀上，另一头放到下水道里，工作完成后就把软管放在那儿了。您又猜对什么事情发生了。几个月之后，有人让排放阀打开着，当罐被充满后，20m3的清洗剂被排出。污水厂没有那么大的处理量，3m高的泡沫墙顺着当地的河水向下游流去。
(k) 一家公司宾馆的鸭溏里长满了杂草，就向公司的水化学专家请教。他向池溏里加了一些除草剂，除草剂也是一种清洗剂，结果清洗剂润湿了鸭子的羽毛，鸭子沉到塘底。
图2-8 当关掉冷却塔的风扇后，气体进入到加热炉中
2．7 新工具
使用新工具也可能产生不可预见的负面影响：
(a) 在有些情况下，焊接时射线探伤对放射性料位计的影响距离可达70m。
(b) 在加工工业中使用新工具一般不会发生意外，但在下面的例子中使用新工具却引发了不可预见的危险：
一个天然气公司雇用一个合同商沿街安装一条2英寸的天然气主干线，操作压力60psi(0.4MPa)(表)。合同商使用气动钻孔技术，在钻孔时刚好钻透一条6英寸的街道上住户使用的下水管线。
一个住户发现他的下水道堵塞后，请另一家合同商为其疏通。工作时使用螺丝钻，结果塑料管线破裂。在几分钟内，天然气沿下道管线向上窜了12m进人房子里，发生爆炸，造成两人死亡，四人受伤。房子被毁坏，两边的房屋受损。
爆炸之后，人们发现天然气管线在其它几条下水道线中穿过。
2．8 组织变化
组织变化也有不可预见的负面影响，下列事故说明了这一点。
(a) 一家工厂所用的硫酸和苛性钠量不大，所以用一种叫做聚合篓(POLY-CRATES)(见图2-9)的塑料容器储存。操作员没上班时，有人认定在每边各放一桶酸和碱(见图2-10)更方便些。当操作员回来时没有人告诉他桶位置的变化。他也没有检查标签就向碱桶中加了一些过量的酸。酸和碱发生剧烈的反应，溅到操作员的脸上，幸好操作员戴着眼镜。
我们应当告诉有关人员，当他们不在岗位时所做的一些变化。此外，在同一装置要处理不宜放在一起的物质时，要尽一切可能使容器的尺寸、形状、颜色有所区别，标签应做得足够大，放在眼睛平视时容易看见的位置。
(b) 工厂的职员决定将作业许可证展示出来，以使在位的工人能更加容易地查看——一种好方法。
一般的做法是将作业许可证装在塑料袋里，拴在设备上。但有时将作业许可证卷起来，插到脚手架杆端面的开口处。
一天，一名工人将作业许可证插在一条管子的开口处，他认为这是一根脚手架杆或一条废弃的管线。不幸的是这是一条空气向减压系统流动的管线。空气的流量受电动阀的控制，工作许可证被吸到阀里，将阀堵住。系统中的负压仍然存在，所以产品被吸到减压系统中。为清除减压系统中的产品，工厂停工两天。
(c) 2．3讲述了人员变动所带来的影响。
2．9 渐进的变化
渐进的变化是最难控制的。通常我们认识不到这种变化，当发现时已经太迟了。例如，几年来工厂里蒸汽的用量一直在减少，主干线里物料的流量太低不能阻止凝聚物的积累。在其中一条主干线上，一个不易使用的疏水器被隔断，另一条主干线安装时也没有加固好，随着凝结水的增加，主干线因水击现象而断裂。一些油田最初产的石油和气体不含硫，但随着生产的延续，其油品和气体中的含硫量会增加。如果不及时检测，就会冒人员生命和设备腐蚀的危险。
氨生产厂的炉管端头接有胀管——一种可变形的管子，可使管子发生膨胀。有一家工厂几年来对胀管的设计做了许多小改动。总的变化是缩短了弯曲部分的长度，因而管子的应力增加。最终54根管子全部出问题，发生严重的火灾。
在英国小轿车的高度一般为53in(1.35m)。二十世纪九十年代，生产了一些车身更高的车型，其高度为62～70in(1.6～1.8m)。这种车视野好，但随着车体重心的增高，车子在转弯时很不稳定。结果，必须将一种昂贵的车型撤下进行修改。
以前出了很多事故。1906年，在英国Salisburg车站外的铁路线上有一处很弯曲的地方。火车限速为30mile/h(48km/h)，但是不停靠此站的火车在通过这段弯道时速度很快。使用新设计的车型后，虽然变化不大，但锅炉加大了，车的重心也升高了。当火车超速驶过弯曲处时，火车脱轨，造成28人死亡。事故发生后，所有路过此处的火车都必须停靠这个车站。
2．10 不断动改
人们可能对装置和新设计做一些小动改。几周或几个月之后，这些动改可能已经或将要产生一些以前没有料到的结果，又要做进一步的动改。过了一段时间又要动改。最终，我们也许希望什么动改也没做，但要走回头路已经太迟了。
例如，安全阀泄漏会带来污染问题，所以要在安全阀下装爆破膜(图2-11a)，有时为了防止安全阀腐蚀也要装爆破膜。人们不久就认识到如果在爆破膜上有针孔，在膜和安全阀之间的压力就会上升，直到与膜下的压力相同时为止。当膜下的压力升到设计爆破压力的两倍时，膜就会破裂。因而，为防止空隙里的压力升高，在爆破膜和安全阀之间接有一要小放空管(图2-11b)。
如果将爆破膜装在此处是为了防腐，那么没有问题，但要防止产生污染就不行了。因而在放空管上安装压力表，要操作员每隔几小时查看一次表(图2-11c)。
许多安全阀装在蒸馏塔的顶部和其它高点处，操作员不愿查看表的读数，所以把压力表装在地面处，用一条细长的管线连接放空管(图2-11d)。
长管线容易造成断裂、缠绕，液体也可能积在管内。有时操作员断开管线，所以压力表的读数总是为零，因而用一支过流量阀代替压力表和长管线，这支阀可将针孔泄漏放空，但在爆破膜破裂时关闭(图11-2e)。
令人遗憾的是，这支过流量阀用阴螺纹连接，许多操作员接受的训练是如果看见开口的阴螺纹就要加丝堵，所以许多过流量阀都加了丝堵。
所以在过流量阀处加了压力变送器(可在操作室内报警)(图2-11f)，这种方法很不经济。为了不用爆破膜，并防止向大气泄漏，更好的方法也许是注意阀的机加工和研磨过程。
装运石油液化汽的罐装卡车在安全阀下装有爆破膜，在阀和膜之间装有压力表。当车到达泰国的目的地时，客户给远在荷兰的供货商打电话说罐是空的，因为压力表的读数为零。
其它不断动改的例子见参考资料11和12。
 |
图2-11 一种不断动改——安全阀下爆破膜
2．11 为改善环境进行的动改
为改善环境进行的动改有时也会产生无法预见的危险。我们并不是要试着改变环境，但在做任何动改以前，要设法分析结果(见2．12)。
2．11．1压缩机房里发生爆炸
因可燃气体或蒸汽泄漏，已经发生多起压缩机厂房被毁或严重损坏、人员伤亡的事故。在屋内，几十公斤可燃气体爆炸可摧毁建筑物，在屋外，则需几吨或几十吨。二十世纪六十年代和七十年代，大多数处理可燃物质的压缩机厂房和建筑物四周都没有墙，以便有泄漏发生时，靠自然通风驱散泄漏物，为此原有的墙也被拆除。
最近几年，为了满足新的噪声规定，又建了一些封闭型厂房。建筑物内装有强制通风设备，强制通风的效果不如自然通风，其作用通常主要是为了操作员舒适，而不是为了驱散泄漏物。
可用其它方法降低压缩机产生的噪声，例如用隔音材料围住压缩机，用空气吹扫压缩机与隔离物之间的间隙。
一般情况下，导致压缩机厂房爆炸的泄漏不是来自压缩机本身，而是来自其它设备，如管子接头。泄漏的原因可能是作为一项临时(七年前)措施，用石棉垫片代替缠绕垫片。一旦垫片装上后，在以后的维修中可能一直使用这种垫片。
因管帽拧得太紧产生疲劳所致，紧固压缩机入口旁路管帽八个螺帽中的五个不起作用，结果发生爆炸，一人死亡，五台天然气压缩机和厂房被毁。当测到可燃气体时，紧急停车系统没有起作用，用手动操作时，这套系统也没有起作用。一年只对紧急停车系统检查一次，人们认为氮气源属于驱动压缩机的气轮机上的电子设备。
最近几年，热电联合厂(cHP)和联合气轮机(CCGT)厂的数量一直在迅速增长，主要由使用天然气的气体透平驱动，有时用液体燃料作为辅助。政府部门一直鼓励建这样的厂，因为它们效率高，产生的二氧化碳比燃煤和燃油电站少。可是也存在一定的危险，因为气体透平噪声大，一般要封闭起来。此外，这些电厂通常在燃料供应线上设有装隔离阀，其结果是不能对管线连接进行泄漏检测。在实际工作中，检测工作尽可能在生产厂家进行，在现场不做检测工作。参考资料32回顾了所发生的燃料泄漏事故，包括英国一家CCGT厂1966年由于石脑油从管子连接件漏出所引发的大爆炸。在爆炸中，一人被严重烧伤，一台600m3的气柜从基座上炸起。参考资料还评述了应该采取的预防措施，包括厂址应选取在对噪声要求不严的地方，或选在不用封闭就能减少噪声的地方。如果必须采取封闭措施，就要增大通风量。通风量的选择主要是为了冷却压缩机，远不能达到驱散泄漏气体的要求。必须采取措施，避免使用不能活动的外套。
反应有时不正常，会通过排空线将蒸汽排到周围的建筑物里。蒸汽凝聚后形成可燃的雾状物，人们并不知道它会被引燃，但是公司提出一项强烈但没有约束力的推荐意见，要求拆除建筑物的墙，工厂没采纳。其结果是大部分墙壁被炸掉，起火的原因至今没有查明。
2．11．2 CFCs用作气雾剂和用于其它用途
二十世纪八十年代，人们认识到广泛用于气雾剂的氯氟烷烃(CFCs)正在破坏臭氧层，要求气雾剂生产厂家使用其它的助喷剂。一些厂家已经开始使用一种比较便宜叫丁烷的物质，其它厂家也开始使用。结果发生了一系列火灾和爆炸事故。人们没有仔细考虑就改用了丁烷，有关火灾的报告指出事故出在对危险程度的理解不深，缺乏必要的防护措施。一家英国公司因没有针对丁烷危险性对员工进行培训，火灾撤离程序和紧急停车系统不完善而受到起诉。如果使用CFCs，上述工作根本没有必要或必要性不大。事故之后检查员检查了其它气雾剂厂，发现有许多工作有待改进。丁烷加装机的生产厂家同意做一些调整，使机器更适合于处理丁烷。显然，人们以前没有考虑这种因素。
CFCs因其不可燃和毒性低，一直广泛应作清洗溶剂。现在可燃溶剂的使用重新受到青睐，生产厂家将其描述为“一种新的对臭氧友好的电子工业清洗工艺，使用独特的碳氢—乙醇配方”，却没有提醒用户这种混合物是可燃的，在使用前应该检查对设备和工序是否适用。
溴氯氟碳(BCFs或halons)一直用于灭火。第一次使用后，被认为是一种神奇的化学物质，虽然其存货仍在使用，但是已经停止生产了。作为替代品，像氟化烃这样一类物质，虽然效果差些，但是可以使用。我们不希望再用二氧化碳自动保护电子设备室。有人在室内时，如果意外排出二氧化碳，人就会窒息，如果排出halons就不会引起严重的伤害。当然，人员进入室内前，控制程序要求隔离二氧化碳，但违规操作的现象时有发生。
一套用CFCs作制冷剂的冷冻系统被用来冷却液态氯罐。1976年当地管理部门决定用氨作制冷剂。管理层不知道氨和氯反应生成具有爆炸性的三氯化氮。有一部分氨泄漏到氯气中，生成的三氯化氮在连接到罐的的管线中发生爆炸，造成6人死亡，虽然事故报告没有说死亡的原因是因为爆炸，还是因为氯气。
2．11．3放空系统
在二十世纪七、八十年代，从储罐放空管、汽油罐放空管等中回收排放物的呼声越来越高，这些排放的气体或被分解或被吸收，而不应直接排放到大气中，尤其是在产生石化烟雾的地区。一份1976年的报告指出，自从在圣地亚哥区安装了汽油回收系统后，在四个月的时间里发生了20多起火灾。最终问题得以解决，事故的起因似乎是回收系统引入得太快，并且没有进行充分的试验。
因为放空系统正常情况下含有蒸汽／空气的混合物，从本质上讲是不安全的。正常情况下在防爆区以外使用，并采取一些预防措施使其与防爆区隔开，但要考虑到每一项可能出错的原因困难很大。例如，一套系统从几台罐的放空管中收集可燃气体和空气的混合物后，用作加热炉的燃料。这套系统设计指标是在低于爆炸极限10%操作，但是系统被错误地隔开后，蒸汽的浓度增加了。当流量恢复后，一股富气流到加热炉中，当它与空气混合后发生爆炸。参考资料34描述了其它十起事故。
在其它时期，为了节省燃料，人们将废料在加热炉中烧掉，产生的污染引起腐蚀和炉管破裂。
1991年8月在澳大利亚墨尔本的科得岛上，一座大型存储设施发生火灾，造成巨大损失，人们对烟灰造成的污染怨声载道，但是没有人员伤亡。罐的排空管被接在一起，用一条管线输送到碳床蒸汽回收系统。管路上没有装阻火器，不管起火或爆炸的原因是什么，把排空管接在一起，可使火势从一个罐扩大到另一个罐。
过去很难通过放空系统防止爆炸的扩散，因为阻火器只有装在管线的端头时才起作用。现在有了高效内装式阻爆器。像所有的阻火器一样，阻爆器需要定期清理，这往往被人们忽略。再举一些例子，当储罐装得过满时，液体通过放空系统污染其它储罐，这会引起反应失控。
碳床通常被用来吸收放空系统中的蒸汽，但吸收过程产生热量，床层也许会着火，尤其是吸附酮、醛、有机酸、有机硫化合物时。参考资料35～37讲述了一些火灾事故和防止火灾发生的措施。
1984年，英国一座修道院所在地的水泵站发生爆炸，造成16人死亡，大多数是参观工厂的当地居民，水通过渠道从—条河泵送另一条河里。当停泵时，可以从渠道内排出一部分水，所以在渠道里就留下空间。从岩石下放出的甲烷气体聚积在空腔内。当再次启动泵时，甲烷通过放空阀进入阀腔里发生爆炸。
令人费解的是放空管线接到地下泵房里，这也许是因为当地政府不同意安装有碍风景的放空管线。
英国一家小工厂坐落在居民区里，用蒸馏的方法回收溶剂。冷凝器的供水几周来一直不正常，最后停止了，热蒸汽通过放空管向建筑物内排放。蒸汽发生爆炸，造成1人死亡，一人受伤，工厂受到严重破坏，周围的房屋受到影响。5台罐落在工厂外，1台落到房子上。
工厂没有操作和紧急情况下的指示说明，没有冷却水流程图，罐放置点太靠近建筑物。不管怎样，到目前为止最严重的错误是放空管向楼内排放。如果向室外排放，蒸汽会无害地扩散掉，最多在放空管口处着一点小火。放空管线是用来放空的，所以不属于没有预料到的泄漏问题。为了使气味降到最低，避免引起抱怨，放空管线一直装在室内。
在工业中，安全、卫生和环保问题正成为同一SHE部门的工作内容。这将避免2．11所述事故的发生。遗憾的是在政府部门很少出现类似合并的事。
2．12 动改的控制
怎样才能防止动改所带来的不可预测和不期望的负面影响呢？参考资料1、2提出了一项三叉途径：
(1) 在对装置或工艺或安全程序做任何动改前，无论费用多低，无论是临时的，还是永久性的都应有书面的授权书，授权人应是工艺工程师(英国称为装置经理)或专业化的有资质的职员，通常是一流的有资质肿职员发出。在发出授权书前，他们应当确信动改不存在不可预见影响，动改符合工程和安全标准。在动改完成后，他们应该进行检查，确认他们的要求得到满足，动改工作“看上去正确”，看上去不正确的工作，一般都有问题，应该进行检查。
(2) 不能期望授权动改的工程和经理盯着图纸就希望所有的问题尽显眼前。他们也要得到帮助，比如要回答一系列的问题。这样的帮助见参考资料1、2。大而复杂的动改要进行危险性和可行性研究(见第十八章)。
(3) 只发布(1)中的指示，得到(2)中的帮助还不够。我们必须使有关人员，尤其是领导者相信，不能执行未经授权的动改。通过讨论典型的事故就可实现这一点，这些事故在本书中有所叙述，在英国化学工程师院的安全培训手册第025卷，动改——改动的管理中也有叙述，或更进一步讨论自己工厂里发生的事故。
用一个古老的寓言来描述：迈达斯请求众神使他触到的每样东西都变成金子。众神满足了他的要求。结果，当他碰到食物时，食物也变成了金子，他不得不请众神收回他们的恩赐。
主啊，教我们接受人类的局限性吧。
——Forms Of Prayer forJewish Worship
3．1 前言
本章讲述一些可能受过很好的训练，并且非常积极的人员因为注意力不集中时常造成的事故。例如，他们忘了关阀门，或关错了阀门，他们知道应该做什么，也想去做，在体力和精力上也能够做到，但是他们忘记了他们应该做的工作。劝告、惩罚、或进一步培训效果都不明显。我们或者接受一次偶然发生的错误，或者调换工作岗位，以便消除发生错误的机会，使错误更不容易发生。
这些错误的发生并不因为有些人没有受到很好的培训，而正是因为他或她受过很好的培训。日常的操作交给学历更低的人员去做，而不是自觉性很强的人员进行连续监测。我们每天不会对每件事情都投入全部的注意力。当正常的行动方式和程序受到任何原因的影响时，错误很可能会发生。这类事故类似于我们日常生活中犯的一些错误。Reason和MycielskaL已经描述了这些事故的心理状态。
我们进而讲述一些因为雇员没有受到适当的培训所造成的一些事故(错误)，有些是因为他们缺乏基本的知识，有些是因为他们缺乏全面的技能。
有些错误是因为人们故意不执行指令造成的，他们认为这些指令没有必要或不正确，这些属于违规行为。例如，他们不按工作许可单上的要求穿所有的保护服，或采取其它的预防措施(如在1．4．2中所述)。在这类事故发生前和发生后，我们应当问下列问题：
● 知道和理解有关规定吗？有可能执行这些规定吗？
● 这些规定，如穿防护衣有必要吗？见1．4，2a。
● 能够将工作简化吗？如果使用正确的方法有困难，而使用不正确的方法容易，那么人们就可能使用不正确的方法。
● 人们理解制定有关规定的原因吗？我们并不是生活在一个社会里，在这个社会中只是因为要求人们做什么，人们将会去做什么。
● 在过去是否忽视了违规现象？
● 在主动性和违规之间有一条很窄的界线，如果过去没有发生过事故，情况会怎样呢？
3．2 因漫不经心引起的事故
3．2．1“设计上没有错误，设备安装有问题”
在一台设备出故障时，设计人员经常说这一句话吗？一般情况下，设计人员是对的，只要有可能，我们应当使用不能(或难于)错误安装的设计方法，或如果没有正确安装，也不可能出问题的设计方法。例如：
(a) 在有些压缩机中，有可能将入口阀和出口阀互换，其结果会造成设备损坏和泄漏。应设计阀门使之不能互换。
(b) 螺纹锁定的联轴器与加压式的联轴器有多种型式，很容易使用错误卡环，从而引发事故。除了在输送没有危险性介质的小口径管线上，均应使用法兰和焊接连接。
(c) 安装活套式法兰比安装固定式法兰应更加注意，所以应多使用固定式法兰。
(d) 在安装膨胀节(波纹管)时应特别注意，因为除非专门设计，膨胀节不能承受侧向推力。因而在处理危险性物质时，应避免使用膨胀节，而应在管路里设计膨胀弯管。
(e) 在聚合反应器里发生失控反应。因为防爆膜装在真空支承错误的一侧，在压力由10bar(1MPa)上升到27bar(2.7MPa)后防爆膜没有爆破(图3-1a和3-1b)。棕色的聚合物从法兰连接处泄漏出来，将的反应器遮盖在里面，聚合物看上去像糖果(太妃糖)。反应器法兰为150#，如果压力过大，螺栓将会被拉长进而引发泄漏，所以应防止反应器破裂(即使压力升得不快)。使用更高等级的法兰，这种情况就不会发生。
防止这类事故最好的方法是使用防爆膜，在安装时不会出现错误，在安装之后还可以对安装的正确性进行检查。可由制造商将防爆膜永久地安装到真空支撑上，并装在凸出支座上，支座的一侧标有“放空端”的字样，支座有一定的压力等级。一个小的防爆膜没有起作用，事后发现供应商无意中提供了两个膜，一个叠在另一个的上面，看起来像是一个。大多数的膜是单独装的，但有一些是成叠提供的，应仔细进行检查。一些小防爆膜上配有垫片，看上去像是粘在一起的(见5．3e和9．1．3)。
(b) 由于防屠摸蓑在真空支承错误的一侧，法兰泄漏，在反应器上霞盖了一层“糖果”
图3-1
3．2．2开错阀
加热炉管的进料泵出现故障。操作员关闭油阀，打开蒸汽阀门吹扫炉管。他开错了阀门，没有用蒸汽吹扫，炉管过热倒塌。
在过去，这是一个典型的因为人为错误引起的事故——其他人不可能，只有操作员才能犯的错误，调查表明实际上是：
1．蒸汽阀门不易靠近，很难看清是哪支阀门；
2．在操作室里没有任何显示，表明没有介质流过加热炉盘管；
3．加热炉上没有低流量报警和联锁断路系统。
3．2．3你是爬过管子还是走90m？
要修一台流量表，修理工要在孔板和变送器之间往返六次。他要走过跨跃直径为30in(0.76m)的管线上的人行桥，走过去为45m，回来再走45m。完成这项工作要走540m。但他为回避90m路途，采取了爬管线的办法。在爬管线时，他的背部受伤。是走90m合理还是爬管子合理呢？
3．2．4试验联锁断路系统A时出现的错误
两台加热炉，每台都装了一台温度纪录控制器和一套高温断路系统，两台纪录仪并排装在控制室的仪表盘上，A炉的记录仪在左侧(图3-2)。
图3-2 在表盘上的布置图
一名仪表技师要求试验A炉的断路系统，他将控制器打到手动位置，然后走到表盘后面。他下一步的工作是打开控制柜的后面门板，断开一条导线，用分压计逐步增加电压，记录使用自动控制时，断路器动作的读数。
这名技师以前多次做过这项工作，这次取下了B加热炉的后面门板(图3-3)，断开一条导线，其效果相当于记录仪记录了一个高的温度。控制器切断燃料气进料，使加热炉和其它装置停工。
我们都知道从仪表盘的正面看时，记录仪在左边，当从记录仪的背面看时，记录仪在右边，但仪表技师已经将他的思维定位在“左边那一台”。
在两台记录仪的背面应当贴有大写字母A和B的标签，更好的方法是在仪表盘的前面接线。
B A
图3-3 仪表盘背面布置图
3．2．5仪表布置不当
一次间歇式调合出现错误，调查发现操作员将一种调合剂加了104kg，而不是104g(0.104kg)。
给操作员的指令按表3-1的形式发出(一种组份的名称被换了)：
表3-1操作员指令
|
调合剂 |
量／t |
调合剂 |
量／t |
|
柠檬果酱 牛尾汁 胡椒粉 |
3.75 0.250 0.104kg |
烤豆 悬勾子 |
0.020 0.006 |
像这样的指令很容易使操作员迷惑。
3．2．6没有注意到高位温度仪表的不准确读数
一台反应器开始被启用，从另一台反应器(在线)向里面加反应的混合物，操作员看着记录仪表显示的温度，逐渐加大进料量，记录仪的高度与眼睛平齐，使用很方便。只要温度升高，操作员就打开反应器的冷却水流——常规的做法。不幸的是，温度记录仪出现故障，虽然温度实际上升了，但没有指示出来，其结果是：反应失控。
但是，在仪表盘下部的六点式温度记录仪指示温度上升，但操作员没有注意到(图3-4)。
这起事故一个有趣的特点是，没有人指责操作员。管理人员说，由于对照仪表的位置较低(地面上1m)，他自己也许会犯同样的错误，除非实际看到对照仪表上温度的变化，因为在那个位置上六点温度记录仪上温度不易观察到。这不是一件用眼睛的余光能看到一件事情。
3．2．7误关阀门
(a) 图3-5显示五台反应器并列放置的部分装置，在反应之间有两条进料线交叉连接。同时也向反应器里加氧气，但是没有画出氧气线。事故发生时，只有两台反应器——第1和第4正在线使用。
操作员认为阀门B是打开的，所以关了阀门A，切断了第1反应器的气体进料，发生爆炸。爆炸不是发生在反应器里，而是发生在下游的废热锅炉里，有四人被炸死。
在此，我们了解到的情况是，由于操作员的一个小小的错误引起的严重后果。但是爆炸不是操作员的错误，而是因为设计不合理和没有保护装置引起的。
我们决不会故意容忍因为意外操作阀门，而导致容器过压的事故发生，我们会安装安全阀。同样我们也不允许阀门意外操作，导致爆炸和反应失控。
(b) 为了防止意外隔断，即使在停工期间，向安全联锁系统供电的电闸也被锁定在闭合位置上。一天，一名操作员按要求将电闸放在断开的位置上，他是如此地习惯于锁在闭合位置上，以至于他锁错了位置。打破一种习惯很困难。另一名按要求检查的操作员没有发现这个错误。像在1．2．3(e)和14．5(c)中介绍的那
样，检查一般是没有效果的，因为检查人员希望发现每件事情都状态良好。根据事故报告，操作员受过严格的训练，但这并不能防止事故的发生，因为不是故意犯得错误。一种比较好的工作方法是使用一把钥匙，只有在一定的位置时，才能将钥匙取出。
图3-4 注意不到的眼睛位置下的温度
图3-5 一只阀门意外关闭引起爆炸
这起事故发生在核电站，但在加工工业中也容易发生。
3．2．8间歇式反应器发生的一起蠕炸事故
图3-6显示一个间歇式反应系统。一批甘油被加到反应器里，通过换热器循环，这台换热器可以作为加热器，也可以用作冷却器。开始时用作加热器，当温度升到150℃时，开始加入乙烯氧化物。反应是放热反应，此时换热器用作冷却器。
图3-6反应器循环系统布置图
不能启动乙烯氧化物泵，除非：
1．循环泵正在运行。
2．温度在150℃以上，否则乙烯氧化物不反应。
3．温度低于125t，否则反应太快。
尽管采取了许多预防措施，但还是发生了爆炸事故。一天，当开始加乙烯氧化物时，反应器里的压力上升，这表明乙烯氧化物没有反应。操作员认为温度点设低了，或多加一点热量才能启动反应，所以他调断路设定点，允许温度升到200℃，压力依然没有降下来。
这时，他开始怀疑自己的理论可能是错的。他怎么能忘了打开反应器底部的阀门呢？他发现阀门仍关着后，就把阀门打开了。3t没有反应的乙烯氧化物，加上甘油通过加热器和催化剂，发生了猛烈的失控反应。反应器破裂，泄漏出来的气体发生爆炸。有两人受伤，其中一人远在160m外，被飞来的碎片击中，另一人从罐装卡车上炸出去。
虽然指示的温度已经上升，但反应器里介质的温度没有上升。泵J2在入口阀关闭时仍在运行，泵体发热。发出的热量影响了泵附近的温度测量点。
为什么会出错？
1．爆炸的直接原因是操作员忘记打开阀门。错误不是因为缺乏知识、训练、或指示，而是受过良好训练的，积极主动的、有能力的人经常犯的另一个错误。
2．如果操作员发现阀门关着时不打开它，爆炸可能不会发生。但是很难指责他，因为他的行动是本能的。如果你发生某种一定时间应做，但你又没做的事情，你该怎么办呢？
3．爆炸是由于没有注意报警信号，压力升高是一个早期的报警，但操作员有其它的理论进行解释，直到不利的证据明显增强前，他坚持他的理论。这被称为思想固化或视野狭窄。
其它的温度也能帮助操作员查明问题，但他没有查看这些温度。他也许认为没有必要那样做，所有温度应该是一样的。用另一个温度点的读数检查一个温度一直是操作员的培训内容。
4．爆炸是由于没能直接测量我们期望知道的特性参数引起的。温度测量点没有测量反应里的温度，而是测量泵附近的温度。这台泵因为入口阀门关闭运行而发热。同样，J2上的断路启动器显示它的电机已经耗电，但这并不能证明有流量。
5．因为关键的仪表没有保持在正常的工作状态，引起一起爆炸事故。流量指示器和低流量报警(FIA)都出了故障，它们过去经常出故障，操作人员发现不使用这些仪表也能操作装置。他们想，如果没有流量，J2将会动作，进而停止J1。
6．操作员不应当调高联锁的设定值，虽然这样做不是引发事故的根本原因。(但是，他想利用他的聪明才智，思考为什么反应没有进行下去呢？很不幸，他错了。)
我们应当做些什么呢？
告诉操作员要更加细心根本没有用处。我们必须认识到犯错误的可能性——忘了打开阀门——在当时的工况下是不可避免的。如果我们想防止犯错误，我们必须改变工况。即，改变设计及／或操作方法——硬件及／或软件。
原来的报告将爆炸的责任归到操作员身上，但他没有打开阀门是可以预见到的。
1．应当测量反应器里的温度，或尽量靠近反应器的温度，我们永远要试着直接测量希望知道的特性参数，而不是测量其它的特性，从中再推导出期望的特性参数。
设计人员假设泵附近的温度应与反应器里的温度相同，如果没有介质不进行循环，情况就不是这样的。
设计人员假设，如果给泵加载，液体就进行循环，但情况并不总是这样。
2．不能允许操作员随意改变断路系统的设定位，即便要调整，也要由接到书面工作许可的人员来完成。
3．应进一步做工作使流量计报警保持在良好的工作状态。
4．在反应器上安装高压断路系统。
5．应对操作员进行培训，当他们发现阀门设置错误时，“三思而后行”。参见3．3．5(a)。因为操作员没有执行简单的任务，引起了其它的一些事故，在13．5和17．1中有叙述。
3．3 通过更好的培训能够防止的事故
如我们看到的，许多事故的发生不是因为缺乏全面的培训，而是忽视了工作的基本要求，忽视将要进行处理的材料和设备的基本特性。
3．3．1忽视读数
许多事故的发生显然是因为操作员认为，他们的工作只是纪录读数，而不是对读数做出回应。
(a) 下午5点，蒸馏塔底的温度控制器出现故障，画出一条直线，人们没有注意到这种现象。在接下来的7小时内，下列读数也不正常：
1．6层塔盘的温度(其中一层从145℃上升到255℃)
2．蒸馏塔底的液位(低)
3．回流罐里的液位(高)
4．回流罐里的取出量(高)
大部分参数都记录在仪表盘上，所有的数据都由操作员记在记录表上。
最后，在中午12点，回流罐溢流，溢出了可燃性的油。从上午7点开始，一名实习生当操作员，但主操作人员在场，领班一次又一次到控制室巡视。
(b) 2．5(a)讲述了一起事故，当放空管线被冰堵塞时，低压液化乙烯从储罐里溢出。在溢出前11小时，罐里的表压为2psi(13kPa)。压力高于安全阀的设定点(1．5psi表压，或lOkPa)，已经达到压力表的全量程读数。操作员将数据记录在记录表上，但是没有采取进一步的行动，当领班或负责人巡视控制室时，没有引起他们的注意。8．1．6讲述了一起类似的事故。
(c) 汽轮机的调速器总成和保护装置爆炸时发出很大的响声，地面上到处都是碎片，幸运的是没有人受伤。事后发现至少几个月前润滑油系统的表压一直只有8psi(50kPa)，而不是25psi(170kPa)。在这起事故中，没有将该压力记在操作记录上。
(d) 进料罐的液位测量仪表和报警出现故障，所以每班手工测量罐里的油量。当装置停工时，操作员不再进行手工测量。提供进料的装置并没有停下来，它继续向进料罐里提供进料，直到罐发生溢流。在这起事故中，没有忽视读数，只是没有记录。料单上有更多的错误，罐里的料比预计的要多。但是，如果每班操作员继续手工测量罐里的油量，在发生溢流事故前，就可以发现错误。
怎样才能防止类似事故的发生呢？
1．在操作员培训中应强调当出现异常读数时，操作员应采取行动，而不只是将其记录下来，确保让他们知道采取什么行动。
2．在记录纸上用红色标出控制限度。如果读数超出这些限度，应采取某项行动。
3．继续记录读数，如罐的液位，即使装置已经停工。当需要罐里的液位稳定时，罐里的液位特别容易上升或下降。
3．3．2报警被忽视
当接到报警时，许多操作员常常认为是报警系统出了故障，因而常常忽视报警，派人去找仪表技师。到仪表技师证实报警是正确的时候，已经太迟了，例如：
(a) 在早晨交换班时，一名操作员注意到一台罐的液位比通常下降得快。就报告液位计出了故障，要求仪表技师进行检查。在仪表技师检查完仪表时已是当天下午了，技师报告仪表工作正常。操作员然后出去巡检，发现有一只安全阀泄漏，损失了十吨的原料。
(b) 在对泵做了一些改动后，这台泵被用来输送某种液体。当输送工作完成后，操作员按下控制盘上的停止按钮，看到泵运行灯熄灭。他同时关闭了泵出口线上的遥控操作阀。
几个小时后，这台泵发出高温报警信号。因为操作员已经停泵，并看见泵运行灯熄灭，所以认为是误报警，没有在意。不久后泵发生爆炸。
当对泵进行改装时，在电路系统中引入了一项错误内容，其结果是，按下停止按钮，不能将泵停下来，是关闭泵的运行灯。当出口阀门关闭时，泵继续运行导致过热，泵里的物料发生爆炸性分解。
在对操作员进行培训时，应当强调对报警做出反应的重要性。报警很可能是正确的。操作员忽视报警，也许是经验告诉他们报警是不可靠的。你们的报警系统得到适当的维护了吗(见17．10)？
(c) 在游乐场里，一辆轨道车出现故障，系统被自动关闭。操作员看不见抛锚的小车，认为断路系统报的是假信号，再次启动行驶。结果发生几辆车碰撞，有六人受伤。这家公司受到罚款，因为操作员的训练“极为不理想”。
(d) 用来照射癌症病人的电子束加速器出现故障。在修理后，当能量选择键设在低挡时，能量指示器显示36MeV。操作员假设指针卡在36MeV，继续进行操作。
指针并没有被卡住，无论选择哪一挡能量，机器都提供36MeV，病人受到比医生处方量多3～7倍的照射量。电子束更窄，照射得更深。错误是怎样发生的呢？除了操作员忽视警告读数外，还有其它几项错误：
● 虽然不清楚修理人员是否懂修理，或简单地进行快速安装，但是过去的修理工作做得一团糟。
● 人们认为医院的专业人员在修理之后，要进行检查，选择的能量和能量指示应得到他们的认可。但他们没有进行检查，因为没有人告诉他们设备进行修理的事情。
● 人们同时也认为专业人员每天对设备进行常规的检查，但是几乎没有发现错误，试验的间隔被增加到一个月。我怀疑是否有人计算过导致死亡的时间或危险频率，报告中没有说明。
● 在选择的能量和指示的能量之间有差异，应断开机器，然而通过将自动控制切换到手动控制，把联锁旁路很容易。
事故并不是简单地由操作、维修和服务人员引起的。他们在过去一段时间里一直犯着错误，但是没有人注意到(或他们注意到了，但什么也没有做)。这是一起典型的人为错误事故，许多人犯了错误，许多事情做错了，把所有的责任加到最后一个使用人的身上是不公正的。
3．3．3无视危险
本节讲述一些因为材料和设备最基本的性质引起的一些事故。
(a) 一个人想用一点汽油，就决定从公司机动车的油箱里抽一些。他将一根橡胶管插到油箱里，然后开始抽汽油，他拿着软管对着工业用真空清洗器的入口。汽油引起火灾，两辆车被烧毁，十一台车受损。这起事故发生在一个大公司的分支机构，而不是一个小公司。
(b) 一台新的冷却器要用一台压缩空气驱动的水泵进行压力试验，一个塞子被吹出，伤了在现场的两个人。事后发现压力表装在空气供应线上，而不是装在冷却器上。冷却器里的压力已远远高于试验压力。
(c) 一名操作员必须通过吸力将罐式卡车倒空。他接到的指令是：
1．打开罐顶上的阀门；
2．打开放空阀；
3．当罐倒空时，关闭罐顶上的阀门。
他必须两次爬到罐顶上，因而决定在倒空罐前关闭放空阀，令他惊奇的是，罐被抽瘪了。
(d) 在一家工厂人们发现承包商的雇员正在用气焊钢瓶给轮胎充气，焊工的焊枪刚好能接到轮胎的阀上。
3．3．4忽视科学原理
下列事故不同于刚刚讲述的操作员犯的错误，虽然他们很有水平，但是他们没有理解有关的科学原理。
(a) 一种废品必须溶解在甲醇里。正确的步骤是将废品放在空的容器里，将容器装在箱子里，将容器抽成真空，再充入氮气，然后加入甲醇。当废品溶解后，将溶液移到另一个容器里，再对溶解容器抽真空，再充入氮气。
如果执行了这个操作程序，由于空气和甲醇没有同一时间在一个容器的可能，也就不可能发生爆炸和着火事故。但是，为了减少工作量，操作员刚将废品加到容器里，就加甲醇，不愿意费精力抽真空或加氮气。火灾不可避免地发生了，有一个人受伤。像经常发生的事故一样，没有查明引火源。
说着火是因为操作员没有执行操作程序很容易，但是为什么没有执行？也许是因为他们不理解，如果空气和可燃的蒸气混合在一起，有可能发生爆炸，我们不能依靠消除所有的火源。引用一起类似事故的正式报告，“我们确实感到操作员意识到他们自己暴露在危险中的水平，但避免这种危险的责任感没有同时增加”。而管理人员应时常检查正确程序的执行情况。
(b) 必须在一台装有挥发性的可燃液体储罐的顶部附近进行焊接作业，罐顶上有一个放空管，受阻火器的保护。从放空管排出的蒸气有可能被焊接作业引燃，所以领班将一根软管接到放空管上，将软管的另一端放在地面上，以便蒸气只能排到地面上。
罐里的液体溶于水，作为一项附加的预防措施，领班将软管的流出端放在一桶水里。当罐被倒空时，水首先升到软管里，后来罐被抽瘪了。像大多数罐一样，这台罐的设计真空度只有0.1psi(0.6kPa)(表)，在大约0.2psi(1.5kPa)(表)下就会倒塌。
如果罐被装满，而不是空着，它也许会破裂，因为罐的设计压力只能承受0.3psi(2kPa)(表)，在三倍于这个压力时将会破裂。罐是否会破裂取决于软管端面上面水的深度。
虽然领班的经验十分丰富，但这次事故是因为他不理解封闭器的工作原理造成的。他不了解储罐通常是多么的脆弱(见5．3)。
(c) 装置上的紧急放空阀是液压控制的，在油压的作用下保持关闭。一天，阀打开了，装置里没有压力了。后来人们发现，(管理人员不知道)领班违反操作指令，“在万一供油系统出问题”的情况下，关闭了供油阀——一种非常不可能出现的情况，比油压从隔离系统中泄漏的可能性还小。
因为维修工人不理解设备的工作原理或设备的结构所引起的一些事故，已在1．5．4中介绍。
3．3．5判断错误
(a) 3．2．8中讲述的事故是一个很好的判断错误的例子。
操作员正确地判断出，反应器里压力的升高是由于乙烯氧化物没有反应的结果。他认定温度指示仪的读数高，反应器的温度太低，因而无法进行反应，或由于某种原因反应进行得太慢，因而需要一点更多的热量。所以，他提高了联锁的温度设定点，使温度能升得高一点。
他的判断虽然不对，但也不是荒谬的。但是在已经做出判断的情况下，他提高了设定点。即使没有进一步的证据支持，他仍坚持他的判断。温度虽然上升了，但是压力并没有下降。他没有寻找其它的解释，或停止加乙烯氧化物，而是进一步提高温度，直以温度达到200℃，而不是120℃，只有在这时，他才意识到他的判断也许是不正确的。
在固化思维的过程中，操作员的表现像我们大多数人一样，如果我们发现了解决问题的办法，我们就会变得十分相信自己的理论，以至于不去理会不支持它的证据。在判断技术方面进行培训和练习也可以使操作员少犯判断性的错误。
邓肯和他的合作者已经介绍了一种方法。应将不正常的读数标在控制盘的图上(或模拟的屏幕上)，要求操作员判断原因，说出他或她将采取什么行动。可以降低出问题的可能性。
(b) 1979年，三哩岛发生的事故提供了另一个判断失误的例子。有几处指示显示初级水循环的水位低，但有两处指示高水位。操作员相信了这两个读数，忽视了其它的读数。在操作培训中强调了水太多的危险性和应采取的行动，但是没告诉他们如果系统里的水太少时，他们将做什么。
关于由人为错误引起的事故和责任讨论的其它例子见参考资料6。
在进行考察时，我经常问这条或那条管线里输送的是什么，压力有多高。对于我的询问经常没有答案，人们必须在管子上钻一个小孔，查明里内装的是什么物质。
——1916年发生在英国一家气体厂，NormanSwindin，《没有轮子的工程》
因为没有对设备进行清楚地标记，已经发生了许多事故。其中有些事故已经在验证维修设备的相关章节中讲述过了(1．2)。
查看设备是否进行适当清楚地标记，一次次地检查确定标识仍在原处是一项十分枯燥的工作，因为这样做没有机会展示我们的技术和才能。然而，这项检查像要求更高的工作一样重要。好的管理人员、领班、操作人员和设计人员的标志之一是他们能同等对待枯燥和有趣的工作。如果你想判断一个小组的情况，查看一下标识和他们解决的技术问题就可以了。
4．1 设备标记
(a) 将从压缩机填料盖里泄漏出来的二氧化碳收集起来用鼓风机排出屋外。
一名在压缩机附近工作的工人受到二氧化碳的影响。事后发现鼓风机进气线上的挡板被关闭。没有标识或其它说明显示挡板什么时间关闭，什么时间打开。在一起类似的事故中，加热炉的挡板被错误地关闭。挡板用气动控制，在控制旋钮上没有任何说明显示哪一边是开，哪一边是关的位置。
(b) 在几起事故中，人们发现保险丝或开关设备上的标识和使用的设备上的标识不一致，错误的保险丝被换下。应当进行定期的检查，以确定这些标识是否正确。像所有的保护设备一样，标识是一种保护性设备，应时常进行检查。
(c) 取样点上通常没有标识，其结果是经常取错样，当分析结果出来后，一切都真相大白，但有时也会出现危险。例如，一名新员工取的是丁烷样品，而不是高沸点的液体样品。样品被放在冰箱里，使里面充满了蒸气，幸好没有着火。
(d) 动力管线通常没有标识。一名安装工人按要求从表压为200psi(1.3MPa)的蒸汽管线上接一条管线到工艺管线上，用来清除堵塞。他错误地接在表压为40psi(0.3MPa)的管线上。两条管线上都没有标识，40psi的供汽线上没有截止阀，工艺介质窜到蒸汽供应线。而稍后当使用蒸汽驱散一起小泄漏时，蒸汽突然着火。
好的做法是在每一种形式的动力管线上装不同的接口。
(e) 两辆油罐车相互靠得很近，停在装油台上。它们的标识如图4-l所示。加油员对司机说，“8号加油完毕”。他的意思是说8号车加油完毕，但司机认为是8号牵引车加油完毕，他上到8号牵引车，把车开走了，而4号罐仍在加油。
图4-l罐拖车和牵引车的位置
幸运的是罐装卡车装有一套装置，防止加油软管连接时车离开，司机只能开几码的距离。如果有可能，油罐和牵引车应编不同的号码。
(f) 用罐装卡车提供氮，这台罐同时也用来提供氧。在向罐里加氧以前，更换加料接口，在油罐车两边的铰链板要叠下来，以便加氧，而不是氮一台罐装卡车装有氮气接口，贴有氮的标识。也许是由于震动，落了下来，所以标识上看上去是氧。因而加料站的员工更换了接口，向罐里加入了氧。后来一些运氮的卡车从这台罐车(在另一面示注着氮)里加料，送给想要氮的用户。员工认为运的是氮(图4-2)，把氧卸到装置里。
图4-2油槽车上标识布置。氮标识落下，显示出氧一个铰链板
当用户用地磅检查时发现读数有误，因为来车的重量比以往重了3t。检查表装置氮气系统中含有30％的氧气。
在卸料前，分析所有的运氮罐车(见12．3．4)。
(g) 在看到从空调的排气口冒出的火星后，一架英国空中航线747必须进行紧急着陆。温度调节器的电机轴承出现故障，造成短路。本应保护电路的小型电路断路器(MCBs)没有起到保护作用。原因：安装的是25A的电路断路器，而不是2.5A的断路器。故障电流估计在14-23A，足以熔化铜导线。
MCBs以前一直出现装错现象，不同额定值的断路器看上去很相像，部分号码很难看清楚，数码的形式一般为123456-2.5和123456-25。
(h) 提升装置的设计能力为15t，但贴错的标识显示20t。其结果是连续8年，每年用指示载荷的1.5倍，即30t进行试验。虽然效果不明显，但应力超过了提升装置的屈服点。
(i) 注意事项应很容易看见。在不止一种情况下，有人不穿防护衣进入部分装置，因为警告事项被正常情况下打开的门挡住了。
(j) 一种粉末装在塑料袋里，用带门的集装箱运输。当有人打开门时，粉末的重力压破了袋子，他跳到一边避免受到伤害。原来是打算在两扇门上贴上说明打开门有危险的标识的，而这个集装箱一扇门上的标识丢了。仅仅一个标识不够。应当把门锁起来。
4．2仪表标识
(a) 装置的压力通常用气动信号从装置传送到控制室。压感元件产生的气动信号的表压范围在3～15psi(20～100kPa)，覆盖了整个装置从零到最高的压力。例如，3～15psi也许相对应于0～1200psi(0～8MPa)的装置压力。
控制室里的接收表按气动压力工作，15psi达到满量程，但是按指示的装置压力刻度。这种表里的弹簧管在破裂前，只能承受超过15psi(100kPa)有限量的超压。而且，弹簧管的材料选择用于空气，不适于直接测量工艺介质的压力。
一只这种压力量程达到1200psi(8MPa)的压力表被装到装置上，装置的表压为800psi(5MPa)，表被损坏。
这种压力表的最大工作安全压力应用红字清楚地标在表盘上。
(b) 一名工人用手动液压泵试验管件，他向领班报告他不能使表压升到200psi(1．4MPa)以上。领班让他使劲压，他这样做了，但管线裂了。
他使用的这支压力表是用大气压而不是用响刻度的，词ats使用小写字母，无论怎样，这名工人都不知道它的含义。
如果装置里在测量压力，或其它特性参数时使用的单位不只一种，那么使用的单位应用清楚的大写字母标在仪表上。也可以用不同的颜色标注不同的单位。每一个人都应知道单位之间的差别。但是，应避免使用不同的单位。
(c) 一起不同寻常的单位混淆事故发生在欧洲为英国的一个用户生产的一台设备上。用户要求生产厂用℃测量所有的温度，并告诉他们怎样将℃转化成℉。
这台设备上的挡板受杠杆的控制，位置用弧度指示，结果弧度被转化成℉。
一份医学杂志报道受扑热息痛中毒折磨的病人应当在30°～40°护理，在下一期的出版物介绍又说这个条件是指床的角度，而不指温度。
(d) 要求操作员将反应器的温度控制在60℃。这名操作员将温度控制器的设定点设定在60。量程实际上指的是0～200℃温度范围0～100%，所以这一设定点的温度实际上是120℃。结果使反应失控，容器过压，液体被排出，操作员受伤。
(e) 3．2，4讲述了一件因标识不清，在试验时更可能犯的错误。
(f ) 虽然数字仪表有许多优点，但有时出现模拟读数较好。间歇式反应的一种原料必须称重。项目组打算安装一台数字显示的称重机械，但是一名经验丰富的操作员要求一个模拟量程，因为他说他在量程的位置上更可能读错数字。
(g) 催化剂装在桶里送到现场，用表压30psi(0.2MPa)的氮气输送到装置里。压力调节器有两种刻度。常用的是里面的一种刻度，以10psi的间隔指示0～200psi，所以正常情况下设在三个间隔。
这台调节器出现故障，必须进行更换。新表上也有两种量程，里面的量程指示0～280kg／cm2(0～28MPa)(表)，间隔为10kg/cm2，外面的量程指示psig，因而外面的量程看上去更像旧表的内部量程，所以操作员将设定点设在三个间隔。在压力远没有达到两个间隔时(相应的表压为20kg/cm2或300psi)，催化剂桶破裂(图4-3)。估计的爆破时的压力为215psig(15kg/cm2)(表)(1.5MPa)。
图4-3将桶加压到量程上刻度为kg/cm2而不是画间隔后的结果
(图片承蒙化学工程师协会允许)
4．3 标识化学品
4．3．1标识不当或标识丢失
2．8(a)中讲述了一起事故。因为在罐或瓶子上没有做标识，人们认为里面装的是装置里通常处理的材料，已经引起几起事故。在一起事故中，必须将六罐海波(次氯酸钠)加到一个水罐里。有些罐上没有标识，其中一台罐里装有硫酸，在加入一些真正的海波后，将硫酸也加到水罐里，结果放出氯气。加料的人受到烟雾的影响。
在另一起事故里，一台没有标识的罐闻起来像是甲乙酮(MEK)，所以就认为是常用的MEK，并加到装置里。罐里实际上装的是乙醇，只有少量的MEK。幸运的是只浪费了一批原料。
一硝基邻二甲苯通过邻二甲苯硝化制得。一名操作员需要一些邻二甲苯来完成一系统的加料工作，就从装置的另一部分找到一台标有邻二甲苯的储罐，并将一些邻二甲苯加到容器里，然后再加到反应器中。结果发生剧烈的反应，防爆膜被炸开，大约有600加仑的酸通过放空管线排到空气中。路上的行人和学生受到影响，需要紧急救助。罐里实际装的是甲醇，已经放了八个月，虽然工程部门一直要求更换标识，但一直没有得到落实(注：如果放空管排到收集罐里，而不是排到大气中，失控反应的影响就小多了)。
在将硝酸从美国运到英国时，违反了几项美国规定：酸装在玻璃瓶中，而不是金属罐中。用锯末垫着，而不是用不能燃烧的材料。包装没有订上“危险”和“此面向上”的标记，因而箱子被侧装在货运飞机上，瓶子发生泄漏。烟进到飞行舱，机组人员决定着陆。也许是驾驶室里的能见度不好，飞机在着陆时坠毁，机组人员全部丧生。不清楚为什么这种常用的商品必须飞过大西洋。
检查发现两座冷却塔里有石棉，塔上贴有警告标记。三年后才对塔进行维修工作，此时，标记已经被雨水冲掉了。九名维修工人没有穿防护衣，从塔上取下过滤器，他们可能暴露在石棉粉尘中。幸运的是石棉不是脆性的。
4．3．2相似的名称发生混淆
因为相似的名称发生混淆，已经引起几起事故。人们已经清楚了著名的Nu-tnmaster(动物饲料添加剂)和Firemaster(阻火剂)事故。两种物品装在类似的袋子里，一袋Firemaster，而不是Nutrimaster被加到动物的饲料中，在农场的动物中引起传染病。农场的主人及其家人也受到影响。
在另一起事故中，一家动物饲料生产厂从丹麦一家公司购进一种淀粉添加剂，合成小牛乳的代用品。丹麦公司没有货，所以它要求英国下属公司提供添加剂，并提供了产品号。不幸的是，这家下属公司同一号码是用在一种不同的添加剂上，这种添加剂有剧毒。其结果是，68000头小牛受到影响，其中4600头小牛死亡。定购化学晶(和设备)时，应使用名称定购，而不能只用分类号。
一套装置使用少量的亚硫酸钠和硫酸钾。在习惯上和实际中把这两种物质叫做亚硫酸盐和硫酸盐。当工作紧张时，从另一套装置调来一个人帮忙，让他准备一批硫酸盐，他所知道的硫酸盐只有硫酸铝，所以就准备了一批。幸运的是这批硫酸盐在使用前被发现。
其它容易混淆的化学品(已经引起事故或造成伤亡)是：
1．洗涤碱(碳酸钠)和苛性钠(氢氧化钠)。
2．亚硝酸钠和硝酸钠。
3．硫化氢钠和硫化钠。
4，冰和干冰(固体二氧化碳)。
5．照相用的海波(硫代硫酸钠溶液)和普通的海波(次氯酸钠溶液)。
在最后一项中，照相用的海波被加到装有另一种海波的罐里，两种海波起反应，放出烟雾。
4．4 无法理解的标记
最后一点，即使最好的标记，如果不能被理解，也没有用处。
(a) 词“SLOP”对于不同的人有不同的理解。油槽汽车从炼油厂收集一罐污油，他并不认为污油是可燃的，没有多加注意，结果污油起火燃烧。他认为污油是脏水。
(b) 要求承包商在拆除一台旧储罐时使用空气面罩，他拿来几瓶压缩空气，刷成灰色。他发现气瓶不够用，就派车去取另一个气瓶。司机带回一个黑色的气瓶，在现场的任何人，包括负责空气面罩的人都没有注意到气瓶的颜色变了，如果他们注意到了，会十分重视。当新的气瓶投入使用后，焊工的面罩起火，幸运的是他及时拉掉面罩，没有受伤。
黑色气瓶里面装的是氧气。所有负责处理气瓶的人，尤其是负责空气面罩的人应当熟悉气瓶的颜色标识。
设备出的问题没有储罐多，其原因可能是储罐更脆弱，稍有超压或者负压就可能损坏。幸运的是有关储罐出现的大部分问题都还不会伤人，但却造成损坏、物质损失和生产停顿。
5．1 冒顶
大多数与冒顶有关的事故都是因为人们不重视、阀门设置有问题、液位指示不正确等因素造成的(见3．3．1d)。因为这些原因，人们在储罐设置高液位报警。
可是，由于没有对报警系统进行定期检测，或忽视报警(见3．3．2a)，冒顶现象一直不断发生。
是否需要高液位报警取决于装罐的速度和每次向接收罐转送物质的量。如果每次转送的量很大，并可能引起冒顶，那么就应该加高液位报警。
冒顶出来的物质应限制在罐的围堰内。但是人们为排放围堰内的雨水，围堰上的排放阀经常是打开的，溢出物就被排放掉了(见5．5．2c)。
排放阀正常情况下应当关闭。此外，每周应对阀门进行一次检查，保证阀门被关闭并锁住。
5．1．1 报警和自动断开装置更可能引发冒顶现象
如果不能很好地了解高位自动断开装置和报警的局限性，发生冒顶事故的实际次数可能会增加。
一家工厂每天晚上为第二天的生产向储罐内加注足量的原料，操作员观察液位指示，当储罐加满后，关闭加料泵和入口阀门。几年之后，操作员不可避免地在工作时精力不集中，原料从罐中溢出。当时，储罐装置有自动断开系统，加料泵自动停止。
让人都感到吃惊的是，一年后又发生冒顶事故。
事情的经过可能是这样的，操作员仍在观察液位计。当异常情况发生，而操作员又没有及时处理时，自动断开系统起作用。自动断开系统发生巧合故障的可能性几乎没有。然而既然有了自动断开系统，操作员也就不再注意观察液位计了，经理也了解操作员这么做，他认为自动断开系统可以给操作员更多的时间做其它事情。用于这种用途的液位计每年可能出一、二次故障，所以大约两年后发生冒顶事故也就不足为奇了。一套不太可靠的自动断开系统代替了可靠的操作员。
如果要保证在五年内不(或由于操作员的失误)发生一次冒顶事故，那么就要安装两套保护装置，一套自动断开装置(或报警)用作过程控制器，当控制器出故障时，另一套发挥作用。当装置安装了自动断开系统后，再用一名操作员观察液位计是不现实的(见14．7a)。
5．1．2由于原料变化发生的冒顶事故
另一起冒顶事故是由于罐内的原料换成一种比重较小的物质。操作员没有认识到液位计测得是相对密度，而不是体积。例如，一家工厂有一个用来储存汽油(相对密度0.81)的储罐，现在用来储存戊烷(相对密度0.69)。当液位计只指示到满罐的85％时就发生冒顶。液位计是运用差压原理来测量的，当比重变化时必须修正原参数才能保证输出电流反映是实际液位。
8．2(b)讲述了另一件事故。
如果液位计测量重量，那么正确的做法是安装一套测量体积的高液位报警系统。
5．1．3 因重力而引发的冒顶
有时用重力使液体从一个储罐流到另一个储罐中。当液体从一个较高的储罐流到一个较低的储罐时，会发生冒顶事故。一种情况是，液体在两个相隔几百米高度相同的储罐之间流动。操作员没有想到地面上很小的坡度足以使低处的罐发生冒顶。
5．2 超压
大多数储罐的设计压力只有8英寸水柱(0.3psi(2kPa)(表)，当罐内的压力达到设计压力的3倍时，罐就会破裂，因而很容易损坏。大多数储罐的设计都是在罐顶/罐壁处破裂，因而避免了溢出，但旧罐却不是按这种方法设计的。
由于焊缝被腐蚀疲劳或是地脚螺栓脱落，在罐顶/罐壁处破裂的罐在罐底/罐壁处也会出现破裂(图5-1)。当罐内有水，其溢出物附在罐基周围时，很可能发生腐蚀。频繁地排空储罐能引起储罐罐基/罐壁焊缝发生疲劳性破裂，要防止焊缝疲劳性破裂，在排空储罐时，应在储罐内留下约1m的液位”。
5．2．1液体超压
假设向罐内加料的设计速率为xm3/h，许多罐，尤其是多年以前修建的罐都装有一条放空管线，这条管线足以通过xm3／h的空气，但不是xm3/h的液体。如果向罐内加料的速率太快，加料泵选得太大了，则可使罐破裂。
图5-1因腐蚀和地脚螺栓丢失造成储罐在低部，而不是在顶部破裂
如果选择的放空管线不能满足入口液体流速，那就应该在罐上安装铰链式人孔盖，或类似的防冒顶装置(有专用于此项用处的装置)。
这种冒顶装置应该安装在靠近罐顶的罐壁上。如果安装位置靠近罐顶中心部位，罐壁上部的液位高度就可能超过8in(203mm)，储罐就会超压(见图5-2a)。
如果设计时用放空管线来排放液体，应该将放空管线安装在靠近罐顶的边缘处，放空管线的上端不能超过罐壁顶部8in。如果放空管线太长，容器就会一直超压(见图5-2b)。如果储罐内有可能产生氢气，应该在罐顶的最高处安装放空管线和冒顶管线。(见16．2)。
(a) (b)
图5-2如果放空管线或冒顶管高于罐壁上部8in(203mm)，储罐就有可能超压
由于超压，一台80m3的玻璃纤维增强型酸罐在底部破裂了。放空系统加有盲板，可进入罐内进行检查。钢制盲板上覆盖着一层抗腐蚀的聚四氟乙烯。当把盲板移走后，留下了聚四氟乙烯层，这在当时没什么事，因为储罐可以通过溢流管放空，将溢流物排放到下水道中。一年之后要对下水道进行维修，所以在放空管线上加了盲板，防止酸液在维修期间流到下水道中。对操作员的要求是慢慢向罐内加酸液，并注意看液位计。当操作员开始加酸液时，液位计的读数上升得很快，罐的底部发生破裂。液位计实际测量的是罐内空气增加的压力，即罐中液位上升和压缩气压力。
5．2．2气体或蒸汽产生的超压
因气体或蒸汽产生的超压事故时有发生，因为有关人员没有认识到储罐本身是不能承受压缩气体压力的，放空管线太细不能排放进入罐内的气量，如下述的两件事故：
(a) 一台小储罐的出口线发生堵塞，为了清除堵塞，操作员手持压缩空气软管对着玻璃管液位计上部的开口。压缩空气的表压为100psi(0.7MPa)，结果储罐的顶部被炸飞了(图5-3)。
图5-3压缩空气将罐顶炸掉
(b) 将一台旧容器用作低压储罐，合同商将旧储罐安装在新位置后对其进行压力试验。因为找不到与容器软管接口相匹配的接管，他决定使用压缩空气，结果罐破裂了。
2．2(a)讲述了压缩空气使另一台罐破裂的事故。
(c) 在另一种情况下，因液位控制器故障使气体进入罐内(图5-4)，压力容器也会破裂(9．2．2d)。
在参考资料1中详细分析了防止出现类似事故的必要措施。
(d) 一台冷藏丁烷的储罐要重新投入作用。为了清除罐内的空气，先用二氧化碳吹扫，然后再加人丁烷。当储罐冷却下来时，部分丁烷挥发，为防止压力升高，将2in的放空管线敞开着。由于这条放空管线不够粗，操作员又打开了一条6in的放空管线，然而压力仍继续上升。由于两台安全阀的压力设定值太高，丁烷的增加率相当快。储罐底面开始外凸，基础周围的地脚螺栓被拔出地面，幸运的是罐体没有发生泄漏。安全阀的设定值应该为0.1psi(7kPa)(表)，而罐内的压力也许达到了1.5～2psi(10～14kPa)(表)。
图5-4液位控制器故障能使罐超压
5．3抽瘪
到目前为止，抽瘪是储罐损坏最常见的一种方式。抽瘪发生的方式很多，下面列举了一些。操作员在发明储罐的抽瘪方式方面是多么得有灵性！
许多事故是因为操作员没有认识到储罐是多么脆弱，储罐很容易超压，也更容易抽瘪。
大多数储罐的设计压力为0.3psi(2kPa)(表)，只能承受0.1psi(0.6kPa)的负压，相当于一杯茶水底部的静力压力。
有些事故的发生是因为操作员没有理解负压是如何起作用的。见已经在3．3．3(c)和3．3．4(h)叙述过的事故。
下面是一些储罐被抽瘪的方式。有些情况是因为放空系统没有起作用，有些是因为放空系统太小。
(a) 放空系统装有三套阻火器，一直没有进行清洗，二年后发生堵塞。按规定应对阻火器进行定期清洗(每六个月)，但是因为工作繁忙被忽略了。
如果在您的储罐上装有阻火器，您认为有必要吗(见6．2g)？
(b) 为防止烟雾扩散到人行道上，在放空系统的顶部安装了一块松动的盲板。
(c) 储罐清洗完后，为防止尘土进入，在放空管线上系了一只塑料袋。当时天气很热，一场突如其来的降雨使罐冷却下来时，储罐被抽瘪了。
(d) 罐内装着一些水，生锈用尽罐内空气中的氧气时(见11．1d)。
(e) 向罐内通蒸汽时，一场突降的雷雨使罐急速冷却，空气不能及时补进。
停止向罐内通蒸汽时，应将人孔及时打开。放空管的直径应该在10～20in(0.25～0.5m)。
在另外一些情况下，当停止罐内通蒸汽后，不应将罐隔离得太早。一直通蒸汽的储罐也许要经过几个小时才能冷却下来。
(f) 向装有热液体的储罐内加冷液体。
(g) 压力／真空阀(严密阀)安装不正确——压力和真空台板被互换。在设计阀门时应考虑到避免此类事故的发生(见3．2．1)。
(h) 压力／真空阀罐内物质腐蚀。
(i) 在储罐上装了一台大泵，其抽空的速度远比通过放空管线补充空气的速度快。
(j) 在卸罐装卡车前，司机将人孔盖支起，后来盖子又落下来。
(k) 一台储罐装有一条通到地面的冒顶管线，没有其它放空管。当储罐发生冒顶时，罐内的介质被虹吸出去(图5-5)。
图5-5 如果没有其它放空管线，向地面冒顶可使储罐瘪下去
应该在储罐的顶部安装放空系统和液体冒顶系统。
(1) 放空系统几乎被聚合物堵死(图5-6)。罐内的液体受到抑制不能发生聚合，但在罐顶凝聚的蒸汽不受抑制。人们对放空系统定期进行检查，但是没有注意到聚合物。
现在用一根木棒插进放空管里，证明它没有堵。(木棒的另一端应加大，所以不能掉到罐内)
(m) 向一台装有氨溶液的储罐内快速加水。为防止储罐瘪下去，放空管的直径最少要在30in(0.75m)以上！这是不实际的，所以水应该通过限流孔板，或通过细管加到罐内。
通过上述例子，我们已经很清楚不能写上几条能做什么，不能做什么，或改变设计(少数情况除外，如g，h条)就能防止储罐被抽瘪。只能通过增加对储罐以及它们的作用方式的了解和认识，尤其是对负压的理解和认识，才能防止些类事故的发生。
在出现下例其中一件事故后所采取的行动说明了对员工进行培训的紧迫性。储罐的顶部只是被抽瘪，罐顶是凹面而不是凸面。责任工程师决定用水压法使罐恢复原来的形状，并发出行动指令。几个小时之后他去看工作的进展情况，发现罐里已装满了水，在储罐上接了一台用于管件水压试验的手动水泵。他将手动水泵拆除，用一根lm长的竖管代替放空管，用软管向竖管中滴水。当他滴水时，令旁观者惊奇的是储罐恢复到原来的形状(图5-7)。管中的静水压已经足够了。
图5-6放空口几乎被聚合物堵死
图5-7将凹面罐顶的储罐恢复形状的方法
5．4 爆炸
固定罐顶储罐中的油气发生爆炸的事故很多，根据历史纪录估算，每台发生爆炸的可能性约为一千年一次。根据一份1979年的报告，仅在加拿大每年就有25-30台罐发生爆炸。爆炸事故多发的原因是许多储罐的油气空间存在可发生爆炸的混合物。要保证没着火源几乎是不可能的，尤其是储罐中液体的导电性较差，静电荷在液体上聚积时。由于这种原因，有些公司不允许生成爆炸性的混合物，他们坚持储存有高于闪点的碳氢化合物的固定罐顶的储罐要用氮气封存(见5．6．3)。其它公司坚持这类化合物要用浮顶罐储存。
非碳氢化合物的导电性一般比碳氢化合物好。(像二乙基醚和二硫化碳这样分子对称的非碳氢化合物导电性低。)静电荷可迅速向大地转移(如果设备接地)，着火的危险很低，因而不用氮封，所以用固定罐顶的储罐储存这类物质。
外部火源，像闪电(图5-8)或在开放的放空系统附近电焊也可能引发储罐爆炸。取样口和其它开口应当关闭或用阻火器加以保护，这些开口易堵塞，应定期进行检查(见5．3a，6．28和14．2．4)。
图5-8这台罐存有可爆性油气，闪电能使其爆炸(应保持所有的取样口和滴孔关闭)
5．4．1一个典型的储罐爆炸事故
当用一种石脑油调和另一种石脑油的工作开始40分钟后，一座大型储罐发生爆炸，不久火被扑灭，石脑油被转移到另一个储罐中。第二天恢复调和油品工作，40分钟后，发生了另一次爆炸。
储罐没有使用氮封，储罐的液体上方有石脑油蒸汽和空气形成的爆炸性混合物。点火源是静电荷。在液体和罐顶或罐壁之间产生的电火花引燃了油气—空气的混合物。
这些爆炸事故促使人们对静电的形成做了大量的调查工作。
防止类似爆炸的方法有：
1．使用氮封或浮顶罐。
2．使用抗静电添加剂。添加剂增加液体的导电性，可使生成的电荷迅速向大地转移(假设设备接地)，但是要保证添加剂不会沉积在催化剂上或以其它方式影响工艺操作。
3．保持泵送在低速下运行(对于纯液体，速度少于3m/s；如果有水存在，速度少于1m/s)，使静电荷的产生达到最低，装罐时避免溅起液体。在过滤器和其它限流设备前后应留有足够长的直管段，以消除电荷。
如果对第3条所起的作用缺乏信心，推荐使用第l和第2条方法。
关于静电更进一步的资料见第十五章。
5．4．2一些不寻常的储罐爆炸
(a) 当储罐发生爆炸时，这台新罐正在为进行水压试验而充水。两名在罐顶上安装把手的工人受了伤，但不严重。
用一条以前存有汽油的管线向储罐加水，留在管内的几升汽油被水冲到储罐里，浮在水面上，焊工引燃了油气。
当向罐内加水进行水压试验时，不允许人员上罐顶。向罐内加水的原因之一是检查储罐和基础的牢固程度。如果我们对此确信不疑，那么就没有必要进行试验。如果我们对此存有疑虑，那就应该避开。
(b) 在建造一台新罐时，承包商决定在罐上接一条氮气管线。据他们说，他们知道未经许可不得连接工艺管线，但由于氮气是惰性气体，因而是安全的。
为了节省氮气，设计方案是使新建罐和在用罐相互保持平衡(图5-9)，承包商并不知道这些。通向新罐的阀门是关闭的，但该阀门泄漏。氮气和甲醇蒸汽进入新建罐，连接入口管线的焊工引燃了甲醇蒸汽，罐顶被全部炸掉。万幸的是罐顶刚好落在一块能容下罐顶的空地上(图5-10)。
图5-9如果两台罐对称连接，通入一台罐的氮气不可避免地要与油气混合
(c) 在对一台汽油储罐的罐顶进行修理时，先用蒸汽吹，然后清干净，用可燃气体检测仪没有测出可燃气体，所以允许焊工作业。不久，火光一闪，烧焦了焊工的头发。
罐顶用钢板相互搭接在一起，重叠4in，只在边缘处焊接——一种过时的焊接方法，现在已不再使用(图5-11)。可以确信部分汽油流到钢板之间的缝隙中，被铁锈和油垢封在里面。焊接产生的热量使汽油汽化，将熔化的焊料炸出。当时，有人提出将储罐加满水，因为担心储罐超压，没有被采纳(见5．2．1)。
图5-10一台罐发生爆炸时，罐顶的一块落在刚好能容下它的区域内
图5-11过去建造储罐的方法可使液体进入板材的缝隙中
(d) 一台容积为38m3装有约10rn3碳氢化合物的储罐顶部进行焊接作业。有关负责人员没有按正常的作业程序将罐倒空，然后用蒸汽或氮气扫出碳氢化合物蒸气。他只是在罐顶开口下面用可燃气体检测仪进行了检测。当测得的读数为零时，他们决定进行焊接作业。罐顶被炸飞，落在30m外，造成人员一死一伤。
事故发生的原因可能是在焊接作业时，罐顶内的一小块热物体从罐顶脱落，引燃了液体表面附近的可燃气体。试验表明当液位很低时，罐内的气体要经过很长时间才能达到平衡。
如1．3．1所述，当罐体很大时，要在几个不同点进行测试。
(e) 在锌的生产过程中，通过往锌盐的酸性溶液中加锌浆和锌粉除去金属性杂质。酸性溶液分装在几个贮罐内，贮罐装有放空系统、冒顶管和排气扇。必须除去。在生产过程中产生的氢气。新建工厂，没有惰性气体，采用所谓的“安全因素”(实际上一种危险因素)即在氢气浓度或者低于(4%)或者高于(75%)爆炸极限的情况下操作，应迅速通过爆炸区间，详见下例说明(见图5-12)：
阶段 放空系统 风扇速度 目的
开始 关闭 高 抽出空气，快速超过爆炸上限
运行 关闭 低 在爆炸上限以上(UEL)运行
接近结束 打开 高 抽进空气，降到爆炸下限以下(LEL)
结果：
经过三十月的运行：中等程度爆炸；放空板被提起
三周后：发生另一次爆炸，罐顶被炸飞
除了几台通过注入空气在爆炸下限以下运行的贮罐，其它贮罐通入惰性气体
UEL：爆炸上限
LEL：爆炸下限
(经美国化学工程师协会允许整理而成，版权@199，AIchE．版权所有．)
图5-12 一种不成功的快速通过爆炸区间避免爆炸的偿试
● 向贮罐内加锌时，关闭放空系统，同时将排气扇开到最大，不能吸入空气，氢气浓度将迅速超过爆炸上限(75%)。
● 然后降低风扇的速度。
● 当产氢速率下降时，再次将风扇的速度调到最大，并打开放空系统，空气被吸入，氢气浓度迅速降到爆炸下限以下。
生产三个月后，一台400m3的贮罐发生爆炸，幸好贮罐装有泄爆装置。三周后又一次爆炸炸掉了另一台贮罐的罐顶，澳大利亚矿产部下令关闭了这座工厂。
从没有找到起火源，但一份关于爆炸的报告列举了六种可能的起火原因，因而证实了一种观点，即起火的原因很多，即使我们做了完善的工作，消除了已知的隐患，也不能保证火灾不再发生。除了设计和操作人员，每个人都熟知这种观点。除了在严格限定的环境下，允许偶然着火，但绝不允许有意识地形成可燃的混合物。在处理氢气时尤其要注意这一点，因为氢气比其它气体或蒸汽更容易被点燃。
23天后工厂重新开始生产，大多数贮罐采用氮封，但有几台使用氮封有困难，所以装有空气注入系统，使装置在氢气浓度低于爆炸下限25%的条件下运行。
(f) 造纸厂使用大量的水，水通常循环使用。一家造纸厂需要使用缓冲器，就用一台740m3的贮罐代替。经验表明这台罐不够用，所以在边上又加了一台贮罐。为了简化安装，新增贮罐没有采用并联连接法，而是与原有的贮罐串联连接，如图5-13所示。新贮罐投入使用一周后，当发生爆炸时，几名焊工正在罐顶上焊把手。贮罐被炸到空中20m，落在一座附近的建筑物上。
调查表明爆炸的原因是厌氧细菌产生的氢气。在原来的贮罐中，注入的液体使水中充满气泡，不能产生无氧的条件，在新贮罐中情况却相反。
这次事故再一次表明，小小的一次动改，只是把水注入的方式上部注入改为从底部注人，就造成一起无法预测的灾难。在石油化工行业中，我们受到的教育是从罐的底部加液体，而不是从上部，其目的是为了防止液体飞溅、防止产生油雾和静电(见5．4．1)。没有通用的规则。
在一些预料之外的地方也可能因腐蚀而产生氢气(见16．2)。
像在1．1．4中提到的，河水中细菌的活动也可能产生甲烷。
12．4．1讲述了在修理或拆除存在微量重油的贮罐时发生的火灾和爆炸事故。
1．1．4讲述了一种不同类型的爆炸事故。
5．4．3一台用作贮罐的旧压力容器发生的爆炸事故
有时将旧压力容器用作贮罐，这似乎是使用更坚固的设备，安全性就会更高些。但实际情况并不是如此，如果压力容器出现问题，情况会更严重(见2．2a)。
一辆槽车撞上一条通向罐区的管线，管线落在围堰上，在围堰里面断开了。
卡车的发动机引燃了溢出物，引发一场大火。大火损坏或烧毁了21台贮罐和5辆卡车。
一台100m3的旧压力容器(立式筒罐)，设计压力为5psi(30kPa)(表)，常压下被用来贮存闪点在40℃的液体。用火加热容器超过40℃时，引燃了从放
空管线出来的油气，火窜回到罐里，发生爆炸。压力容器在底缝处裂开，除了
底座整个压力容器像火箭进入轨道一样。
如果液体装在一台普通的低压贮罐里，罐顶的接缝又不很牢固，那么罐顶被掀掉，燃烧的液体留在残存的罐里。
事故也说明了用水冷却暴露于火中所有的罐和容器的重要性。冷却压力容器尤为重要。由于压力容器内部发生爆炸或温度升高都会使金属强度下降，压力容器爆炸更具灾难性(见8．1)。
16．2(a)讲述了另一台贮罐爆炸的事故。
5．5 浮顶罐
本节讲述只在浮顶罐发生的事故。
5．5．1怎样沉下浮顶
排放浮顶贮罐顶积水的软管堵了，所以用另一条软管排放罐顶的雨水。要使软管产生虹吸作用，就把软管接到供水线上。当时的打算是打开供水阀门，只是为了将软管充满水。关闭阀门后，打开排放阀(图5-14)。但是，供水阀被错误地打开着，排水阀却关闭了。水流到浮罐顶上，30分钟后罐顶下沉了(也可参见18．8)。
图5-14 浮顶罐罐顶下沉的原因
如同对待永久性动改一样，应该对临时性动改进行彻底检查(见2．4)。
5．5．2着火和爆炸
(a) 浮顶罐发生的着火事故大部分是因从密封处泄漏出的油气引起小火。起火的原因通常是大气电流，这种电流起火源可以通过安装分流器加以消除，分流器是一种金属条，围绕罐顶的边缘每隔一米多安装一条，接到罐壁上实现接地。
许多罐密封边缘着火一直是由工人用手提式来火器扑灭。可是在1979年，当刚扑灭罐密封边缘火焰，一支浮筒又发生爆炸，炸死一人。爆炸的原因是在浮筒上有一个洞，罐里的液体漏到浮洞中。
灭火人员不应上到浮罐顶上去灭火，如果没有固定的灭火设备，应该从监控器喷出泡沫。
(b) 在换浮顶罐的罐顶时，先将罐倒空，用氮气吹扫，再用蒸汽吹扫6天。每个浮动室用蒸汽吹扫4小时，除去铁锈和淤泥，然后再拆除罐顶。14天后着了一把小火。从一条支撑落到的浮顶空支腿中流出大约一加仑的汽油，流出的汽油被一个小火星点燃，火被干粉扑灭。
着火的原因是空支腿的下部被淤泥堵着，当在支腿附近切割时，支腿移位，搅动了淤泥(图5-15)。
图5-15存在浮顶罐支撑腿中的油在拆除期间着火
在浮顶罐上开始进行焊接工作前，应将支撑腿从上往下用水冲洗干净。在有些罐中，支撑腿的下部是封死的，为方便冲洗，应在支撑腿上钻孔。
(c) 有时浮顶装在固定罐罐顶中。但在许多情况下，这么做会减少油气空间油气的集中，使其浓度在爆炸极限以下。在另一些情况下，这么做会使危险性增加，因为以前因浓度太高不能爆炸的油气会降到爆炸范围之内。
参考资料6讲述了一台内浮顶罐发生的一次严重火灾。
因在设计后期进行的一次修改，浮顶浮动到位的液位提高了。但这次修改没有在操作员使用的图上标出来。其结果是，并没有打算这样做，浮顶却不再浮动了。压力／真空阀(保持通风)打开着，可使空气被吸到浮顶下面的空间里。
当罐内再次装入37℃的原油时，蒸汽被推到浮顶上的空间内，然后通过固定罐顶上的放空系统排人大气(图5-16)，在相隔一段距离的锅炉房处被引燃。
火焰闪回到储油罐，从放空系统中排出的油气着火，人们将泵停下来，油汽不再从放空系统中排出，空气进入罐内，在固定罐内发生一次中等程度的爆炸。爆炸力驱使浮顶像活塞一样下落，部分原油通过密封窜出来，又从固定罐的放空系统流出。流出的油着火，使一些管件受损，继而流出更多的油。一台小储罐破裂，幸运的是这台罐的密封顶不是很牢固。50多台灭火器具，200多名消防队员参加灭火，几小时后，火势得到控制。
因为围堰排放阀一直开着，围堰外的水位上升，围堰墙在灭火行动中受损，消防队员将水泵送到另一个围堰内。但是，因为这个围堰的排水阀也是打开的，水流了出来。
一条高架动力电缆被大火烧毁后从空中落下使有些人触电，因而炼油厂的工人切断了该区域所有电缆的供电。不幸的是他们准备这么做时没有通知消防队员，一些将多余水排出去的泵停止了工作，水面上升得更快了。尽管被泡沫覆盖着，浮在水面上的油被停在水中的消防车的发动机引燃，火势迅速扩展了150m，8名消防队员死亡，2人严重受伤。一台石脑油罐破裂，火势进一步扩大。15小时后，火势才得到控制
从这次事故应汲取的教训是：
1．工厂改动受控，图纸及时更新(见第2章)。
2．除了对罐进行维修，否则不能使罐停止浮动。
3．围堰的排放阀应关闭，并定期进行检查。
4．做好将消防水排出的方案，如不能排出，应用泵抽出。
5．在着火期间，应与消防队员保持密切联系，通知他们你将要采取的行动。
(d) 罐顶裂缝导致一台94000m3的原油储罐发生特大火灾。裂缝是因疲劳所
至(罐顶在强风的作用下运动)，一项维修计划正在准备中。在着火的前几天，原油从浮顶单层部分的几个裂缝处漏出，喷出的油流高达11in(17.9cm)，但罐仍在使用中，没有将原油从罐中倒出的打算。据信泄漏出的原油是被从远在108m外，高达76m的烟囱(与罐同高)排出的高温碳粒引燃的。大火使泄漏量增加，储罐严重受损。当漏出的原油流到围堰火势加强时，6名消防队员受伤。火势持续了36h，烧掉了25000吨原油，60m外的储罐也受到损坏。将着火的储罐隔离，这台储罐被抽瘪，确切的原因还不十分清楚。
由于突沸，即由热油汽化灭火泡沫产生的蒸汽，原油流到围堰里，当蒸汽从罐内喷出时带出原油。当热量从上层燃烧的石油传到底部的水层时，通常会发生突沸。在这种情况下，当热量传到积在沉下的浮顶上的水层时，突沸现象比一般情况下出现的早些。
除了环边外，大多数浮顶罐的罐顶是单层的，该处的空腔可使罐顶产生浮力。单层钢板容易产生裂缝，应将溢出物用泡沫覆盖，并尽早除去。双层顶显然更安全，但费用更高。
5．6 多方面的事故
5．6．1储罐被拔出地面
一台储罐安装在一个用混凝土衬里的坑里，然后用砂填埋，在上面覆盖一层6in(O．15m)厚的混凝土。当坑内积水时，罐体产生的浮力足以拉断固定螺栓，顶破上面的混凝土覆盖层。
为了排出坑内的积水，人们修了一个水池，安装了一台泵。然而遗憾的或是泵的输出线被堵住，或是泵没有定期开启。
在工厂区内，不推荐使用地下储罐。原因是不能定期检查罐体外部的腐蚀情况，因为地表经常被腐蚀性的化学物质污染。
5．6．2基础问题
一台用了12年的旧罐下面的砂质基础部分发生下沉，水积存在下沉留下的空间里，引起罐体腐蚀，罐体上的保温层也沉到地下，所以没有发现罐体腐蚀。
腐蚀使罐的壁厚从6mm减少到2mm，罐的底面沿一段2.5m长度塌下，流出的30000吨热燃油大部分集存在围堰里，但有一部分通过土质墙上的兔子洞流到其它围堰里。
每几年就要对所有的储罐排出检查计划，为了便于检查罐体的腐蚀情况，保温罐上的保温层应高于地面200mm。
为了防止地面冻结，在用冷冻法储存液化气的罐下有时安装电加热器。当液化丙烯罐下面的加热器出故障时，罐体扭曲，并发生泄漏——但是很幸运，泄漏物没有被点燃。加热器出故障时，应激活报警系统。如5．2所述，频繁将储罐完全倒空可使底／壁焊缝的强度减弱。
5．6．3氮气保护
5．4．1讨论厂需要氮气保护的问题。如果氮气保护是有效的，那就应该进行设计并正确操作。
图5-17不正确的氮气保护安装
设计不正确：
一组储罐氮气供应线上的减压阀安装位置贴近地面(图5-17)。碳氢化合物的蒸汽在管线的竖管部分凝结，将储罐与氮气保护完全隔开。
减压阀应该安装在罐顶的高度上。
检查一下你厂的储罐，也许大多数是这种情况。
操作不正确：
一台固定罐顶的储罐起火并发生爆炸，人们认为这台储罐已经采用氮气保护。在爆炸事故发生之后，人们发现氮气供应线已经被隔开了。爆炸发生前六个月，管理人员亲自检查氮气保护正在起作用，但后来没有继续检查。
应对所有的安全设备和系统制定定期的检查计划。氮气保护系统每周至少检查一次，只检查向储罐供应氮气是不够的，应该用便携式氧气分析仪检查罐内气体中的氧气浓度低于5%。
用氮气保护的大型储罐(比如超过1000m3)应该安装低压报警器，当没有氮气保护时可立即报警。
5．6．4脆性破裂
在有些情况下，一台储罐能很快从罐顶裂到罐底，仿佛储罐上装有拉链，有人拉动了拉链。一份官方报告详细叙述了一次这样的事故：
一座柴油储罐装了15000m3的柴油后几乎满了，当储罐出问题时，罐里的柴油像海啸一样汹涌而出，冲过了围堰墙。大约3000m3的柴油从现场流到一条向当地居民提供饮用水的河里，使供水中断一周，幸运的是没有人员伤亡。
这次罐体倒塌事故是由于脆性破裂，它从离罐底2.4m壳体上的一条小裂纹演变而来，这条小裂纹自40多年前建罐时就存在。罐装得太满加上温度低引发了罐体倒塌事故。在40年的大多数时间里，这台罐一直用来储存燃料油，燃料油保持一定的温度。高温有利于防止脆性破裂。但是，两年前这台罐被拆除了，重新建了一台新罐，在环境温度下用来储存柴油。
小裂纹靠近一块板的边缘，如果拆除旧罐的承包商沿着焊缝向上切割——通常的作业方法——部分或所有的裂纹也许就被除去了。然而切割处仅仅是靠近而没有在焊缝处。裂缝被铁锈和沉渣掩盖看不见。
报告对业主和承包商没有遵守美国石油学会标准的做法提出了严厉的批评。
他们没有用射线对T-接头进行探伤(裂纹靠近T-接头，应该进行探伤)，也没有认识到所用的钢材和原先焊接的质量不能达到现代标准的要求。对责任工程师所做的评语与Flixboroush的报告类似(见2．4a)：他们缺少资质“不一定影响他们从事项目工程师许多方面工作的能力。可是当遇到棘手的问题时，比如是否认可有缺陷的焊缝时，就要求有更强的技术背景。如果在这些事情上可以得到帮助……，没有证据……利用它……”(报告第69页)。
报告的总结部分提醒我们对关于其它工业多起重大事故所做的类似评论：公司(一个独立的大炼油厂)在控制质量方面，在控制其承包商和建立任何工作程序时，不能起到积极有效管理人的作用，属于被动的用户——对可能出现的问题无动于衷，对实际情况不关心，不愿意担当起积极介入的角色。其雇员从制度和亲自动手上都不能在其它方面负起责任来，所以大事小事同样都逃过了[公司的]注意。与可应用标准、工业同行、或甚至是常规意义[公司的]行为和程序相比只能被认为是完全忽略了。罐体结构倒塌可直接追溯到[公司]监管上的失败(报告第70页)。
报告的内容包括其它一些罐体倒塌的类似事故：1978～1986年间，美国发生6起(102页)。1977年卡塔尔的一个液化丙烷罐也发生类似的事故(见8．1．5)。
5．7 FRP罐
用玻璃纤维加强型塑料(FRP)制造的罐的使用量正在逐年增加，但是也出了一些问题。在1973-1980年期间，英国出了30起重大问题，一份1996年的报告表明事故以类似的比率连续发生着。下面是一些已经出现的重大问题：
(a) 一台用螺栓联接面制造的50m3储罐，由于螺栓紧固钢制加强筋太紧，发生破裂，罐里的液态粘土冲倒堵墙，流到大街上。
(b) 由于应力腐蚀裂缝，当储罐出问题时，90m3的硫酸溢出。公司没有对储罐进行定期检查，也没有认识到硫酸对FRP储罐有影响。事故发生得很突然，部分围堰墙被冲毁。
(c) 一台用来储存热酸的罐出问题，因为加热的温度超过设计值，当挖出沉积物时被损坏。同样公司没有进行定期检查，也没有认识到酸的影响。
(d) 当端面从卧式筒罐脱下时，溢出了50m310%的苛性钠溶液。聚丙烯衬里上有漏点，苛性钠溶液腐蚀FRP。
(e) 一家酿酒厂的储罐出问题，溢出了350m3的热水冲倒了围墙。事故的原因是选用的FBP等级不够，在一直使用的3年里从没有对罐进行检查。12．2讲述了另一起塑料热罐出的事故。
(f) 当储罐发生问题时，溢出30吨酸。原因是焊缝低于标准，出现应力腐蚀裂缝，没有进行定期检查。
(e) 由于弯曲应力罐的内衬里出问题，酸性物质腐蚀FRP。人们已经注意到裂缝并进行了修补，但没有人查明出现裂缝的原因。最终，储罐完全损坏了，围墙被冲倒。
(h) 一台FRP储罐在使用了18个月后，在靠近人行道处发生泄漏。原因是罐壁太薄，焊接不符合标准，在检查期间没有进行检测。第一次加料加到其容积的85%时，储罐就开始漏，这说明在安装后，从来都没有对储罐进行适当地检查。
这些事故说明，为了防止FRP储罐出问题，我们应当：
1．选用设计条件适当的设备。
2．掌握设备的使用限制。
3．定期检查。
4．不要急于修理出问题的地方，待查明原因后再采取措施。
这些规则是通用的，但是它们专用于FRP储罐。
像储罐一样，烟囱可能发生堵塞，也是爆炸的多发场所。
6．1 烟囱爆炸
(a) 图6-1是一个大型火炬烟囱爆炸后的情景。烟囱用惰性气体清除，但对清除气流没有做检测，并且为了节约氮气就将氮气量减少至零。空气在火炬气未被点燃的一段时间里，通过没有经过机加工的螺栓连接处的表面间隙进入烟囱里。一段时间后，点燃火炬后随之发生了爆炸。正确的做法是，随后向烟囱中通人一定量氮气，用氮气和空气混合气清除烟囱，直至试验性火焰(长明灯)可以点燃为止。
为防止类似事故的再次发生：
1．烟囱应当焊接，不能用螺栓连接没有经过机加工的连接面。
2．为了防止空气向下扩散，并扫出泄漏到烟囱里的空气，烟囱里应保持连续的向上气流。这种连续气流不一定要用氮气——废气就可以。如果废气不能燃烧，通常要保持氮气的线速度为0.03～0.06m/s，气体的流速应可以测量。如果要烧掉的是氢气或热的可凝气体，气体的流速应当高些。如有可能性，氢气应该通过一个独立的放空烟囱排放，而不应在火炬中与其它气体混合。
3．应该定期，比如说每天测量烟囱中气体的氧含量。大型烟囱安装氧气分析仪，当氧气的含量达到5甲。时报警(如果气流中含有氢气，报警值为2％)。小型烟囱用便携式分析仪检查。
上述建议适用于放空烟囱以及火炬系统。
(b) 为了防止一氧化碳和氢气从压缩机的密封管泄漏到压缩机房的大气中，用一台风机将其抽走，通过一个小放空烟囱排出。由于导管与压缩机之间的密封不良，空气泄漏到导管中，空气和瓦斯的混合物被闪电引燃。
如果在第一次爆炸后遵从推荐意见——向放空系统中通入惰性气体，定期检查其内部的氧含量，就不可能发生爆炸事故。
为什么这些意见没有被执行呢？也许是因为大烟囱出事故后所提出的意见应用于小烟囱时，没有受到人们的重视。
图6-1火炬的底部
(c) 在许多情况下放空烟囱可被闪电或其它方式引燃。在个别情况下，一组十个或更多的烟囱可能被同时引燃。如果属于下列情况，这并不危险：
1．烟囱里的混合气体不能燃烧，所以不能沿烟囱向下燃烧。
2．火焰对高架设备没有影响(切记如果有风，火焰可偏45°)。
3．采用下列方法可将火焰熄灭，隔断瓦斯气源、注入蒸汽或增加氮气量。(为防止瓦斯气与空气形成可燃的混合气体，沿烟囱向上气流中氮气的含量应大于90%)。
(d) 在火炬以及附带放空管线进行检修前，用蒸汽吹扫了16h。下一步的工作是旋转35in(0.9m)放空管线上的8字盲板，将放空系统与装置隔离。由于蒸汽从连接件处外泄，旋转8字盲板有困难，所以预先用氮气代替蒸汽吹扫2h。为了转动盲板先将其拆下，在断面上留下2in的间隙，结果发生爆炸，一人因在平台上被炸出去死亡。
蒸汽的流量为0.55t/h，而氮气的最大供量只有0.4t/h。当系统冷却下来时，空气被抽进去，所有的液态碳氢化合物留在吹扫罐里。空气和碳氢化合物蒸气形成可燃混合物。根据一份报告，这部分气体沿烟囱向上运动，被长明灯点燃。然而也可能被检修操作引燃。
因为蒸汽是热的，氮气是冷的，为防止空气被吸到烟囱里，所需的氮气量应比蒸汽大。在爆炸之后所做计算表明，所需的氮气量为1.6t/h，是供应量的四倍。事故发生之后，该公司决定今后只用氮气而不用蒸汽。
员工们意识到系统里的蒸汽会凉下来，而氮气的量太小不能代替蒸汽了吗？也许使用的方法是如此简单明了，没有人会思考是否存在着危险。
(e) 火炬发生三次爆炸，为了防止火焰窜回到火炬管里，在火炬顶部装有水封，其目的是用做阻火器。由于阀门安装不正确，当向燃烧甲烷的火焰通人热空气后，问题出现了。人们没有意识到甲烷/空气的混合物在爆炸范围内，当瓦斯气的温度高时(300℃)，回火的速度(12m/s)高于瓦斯的线速度(在火炬头处为10m/s，烟囱里为5m/s)，发生爆炸破坏了水封。蒸汽自动注入烟囱，甲烷的流动受到限制，火焰熄灭了。当甲烷又流动时，发生第二次爆炸，因为水封已经被破坏，火焰向下直接窜回到底部放空罐里。瓦斯流量再次恢复时，爆炸声更大了。操作组决定停下装置。爆炸(或其它危险情况)发生后，直到查明原因前，不能重新开启装置。
(f) 在1997年的一份报告里报道了与(a)类似的一次爆炸事故，其原因是烟囱里氮气的流速太低，一名缺乏经验的操作员降低了氮气的流量，装置上没有低流量报警或高氧量报警。
作者以坦诚的态度讲述了事故的真相，以便其他人从中汲取教训，但在报告里没任何记录，表明这些应该汲取的教训是在十年以前发表的，并为人们所熟知的。
其它有关烟囱爆炸的事故见7．13和参考材料1。
6．2 烟囱堵塞
(a) 2．5节讲述了由于冷蒸汽与水油气共同从烟囱中排出时，因为结冰，8in的放空烟囱被冰堵塞的事故。冷的气体与沿墙壁流下的凝结物相遇时，可使其冻结。液化气储罐过压可产生小裂纹。设计的烟囱是在没有蒸汽的情况下使用，引入蒸汽可使冷的瓦斯气消散，不至于漂到地面上。
(b) 用一个直径14in的火炬代替放空烟囱，围绕火焰头装有提供蒸汽的环。几年之后，这个烟囱再次被堵塞，这次是由于来自顶部的难熔的碎片沉积所引起的，碎片被冰粘合在一起(因为有些蒸气的凝聚物可沿烟囱淌下)。在发生任何危险以前，人们注意到了储罐压力的升高。在烟囱底部应有散落物收集器(图6-2)，事后人们安装了一套。
(c) 因为苯和环己胺的冰点同为5℃。在有些情况下，当天气寒冷时从放空管线或烟囱里排放可使其堵塞。这时有必要使用蒸汽给管线或烟囱伴热。
(d) 放空管线设计从来不带斜坡，否则液体聚积在斜坡中，产生一个向后的压力。这种压力可使罐过压。
图6-2碎片落下后的火炬烟囱
(e) 当放空管线暴露在火中时，由于支撑方法不正确而发生下沉，可使容器过压。
(f) 天气寒冷时，水密封冻结。除非当地不冰冻，否则不能使用水密封。
火炬和放空系统应当简单，避免使用水密封比安装蒸汽加热系统和低温报警更好些，因为低温报警系统可能出故障。
(g) 为了防止烟囱出口的火焰窜回到烟囱里，放空系统有时安装阻火器。如果不定期清理，阻火器容易堵塞。不一定非要安装阻火器，因为除非烟囱里的混合气体是可燃的，否则火焰不可能窜回烟囱。如果烟囱里的气体混合物是可燃的，那么它们可能被其它方式引燃。因而为了防止可燃混合物的形成，应该按6．1节讨论的方法，用气流连续吹扫烟囱。
可是，有两种情况在放空烟囱中使用阻火器是正确的：
1．不加氧气时，放空气体就能分解，一个例子就是环氧乙烯。只要有可能，这样的气体应该用氮气稀释。如果不能总是做到这一点，就应该安装阻火器。
2．在储罐的放空管里含有蒸气和空气的混合物(5．4．1)。用在这种场合的阻火器应当定期检查，如有必要应进行清洗。5．3讲述了因三套阻火器两年来一直没有清洗，导致储罐被抽瘪的事故。
参考资料4介绍了一种不使用工具就能很容易拆下进行检查的阻火器。
(h) 没有完全燃烧的碳一直阻塞分子密封，同样也阻塞水密封。因为这个原因，许多公司不愿意使用。如果是部分堵塞，当锥度大时，燃烧的液体或热碳粒可能性被排出去(见5．5．2d)。
(i) 液态氢储罐上的泄放阀通过一个低烟囱向大气排放，排出的氢气着了火。灭火系统从上往下向烟囱浇水，水结冰导致储罐过压，罐破裂。应该按6．1c介绍的方法，向烟囱上喷氮气来灭火。
上述几点共同的主题是放空管线、火炬、放空烟囱应保持简单，因为它们本身就是泄压系统的一部分。避免使用阻火器、分子密封、水密封和U形管。避免使用蒸汽，因为它能产生铁锈、水垢或产生冰冻。
6．3 热辐射
人员暴露在火炬前所受到的最大热辐射不能超过4.7kW/m2，约为回归线峰值太阳辐射的3倍。人们经受这样的热辐射不受伤的时间只有1～2min。人可以连续暴露的最大值约为1.7kW/m2。在火炬附近(比如任何辐射超过1.7kW/m2的地方)，应该评估传到电缆、屋顶材料和塑料制品的温度，保证它们不会受损。
千里长堤，溃于蚁穴。
——托马斯弗勒，1732
工艺介质泄漏是加工工业面临的最大危险。大多数加工材料除非按一定比例与空气混合，一般不会燃烧和爆炸。因此，为了防止着火和爆炸，我们应将燃料密封在装置内部，而将空气隔离在装置外面。因为大多数装置是带压操作，所以将空气隔离在装置外面相对容易些。氮气广泛应用于低压设备隔离空气，像在储罐(5．4节)、烟囱(6．1节)、离心机(10．1)和为检修而降低压力的设备(1．3)中。防止着火和爆炸面临的主要问题是防止工艺介质从装置中泄漏出来，即保持装置的完好性。同样，当加工有毒和有腐蚀性工艺介质时，只有发生泄漏时才有危险。
许多泄漏问题在其它章节中已经进行了讨论，包括由于人为错误，在维修时发生的泄漏(第3章)；由于溢罐发生的泄漏(5．1节)。由于管线和容器出问题引起的泄漏一直不断发生，第8章讨论液化可燃气体的泄漏问题，第十章讨论安全阀的泄漏问题。
本章讨沦泄漏源和泄漏介质的隔离和控制问题。
7．1 常见泄漏源
7．1．1小旋塞阀
小旋塞阀通常可被撞开或震开，在输送有危险性的物料时，不能单独用做隔断阀(最好不用)，尤其是当压力超过其常压沸点时(例如，液化可燃气和大多数高温状态下的热传导油)。当发生泄漏时，这些液体变成气体，可喷出很远的距离。
正确的方法是选用其它方式的阀门作为主隔断阀，如图7-1所示。
7．1．2排放阀和放空系统
许多泄漏事故的发生是因为操作工人在排放储罐或工艺设备中的水时，一直将阀门打开着，过了一段时间后发现放出的是油，而不是水。
 |
图7-1旋塞阀不能用作主隔断阀
有这样一起事故，一名工人使用一条2in(5cm)的管线，排放一座小型蒸馏塔苯馏出储罐中的水。为了照看其它工作，他让水一直流了几分钟。可能是因为罐中的水比通常少，也可能是离开的时间比预计的时间长，当他*时发现苯正在从排水管线中流出。在他关闭阀门前，蒸馏塔的加热炉将流出的苯引燃，这名工人被严重烧伤，最后因伤势过重而死亡。
排放点离加热炉太近(大约10m)，地面的坡度可使苯向加热炉扩散。然而，如果有人照看排水阀，就不可能发生这次事故。
排放阀应使用装有弹簧的球阀。这种阀门一直打开着，当有泄放时自动关闭。如能满足要求，阀门应尽可能小。当放空阀用在液化可燃气体和其它可闪燃的液体时，所选阀门最大不能超过3/4in。
为了放空设备，排放阀只在维修时偶尔使用，不用时应加盲板，并定期检查盲板的使用情况。停工检修后对一套装置所做的调查显示有50块盲板松了，每块都吊在一个螺栓上。
如果必须定期从可燃的气体或其它可闪燃的液体中排放水时，又不能使用装有弹簧的球阀，那么在排放线上应该安装一只紧急遥控切断阀(7．2．1)。
当使用可燃材料时，排放阀不能安装在热的管件和设备上面。一套乙烯装置通过一只3/4in的排放阀，将水和石脑油的混合物排到315t的管线上时发生了火灾。为替换受损的控制电缆和供电电缆，用了很长时间。
排放阀不能安装在容易形成水坑的地方，因为泄漏扩散的范围大(见1．4．4)。
当排放阀用来除去不用的液体，用放空管线排出不用的蒸汽和气体时，应当将它们安装在排出的油气不可能被点燃的地方，即使被点燃，也可以便损失控制在最小程度，人员不会受到排出蒸汽或气体的影响。一个小型工厂被大火烧毁。起火的原因可能是为了防止污染周围的环境，蒸馏塔冷凝器的排出物被排到控制室里(见2．11．3)。
一名电工在梯子上修理照明设备时，受到一米外排出的烟雾影响。人们已经考虑到了带电和在梯子上作业的危险性，但是没有人考虑到放空系统带来的危险，放空系统只是为了放空而设计的。
当承包商在楼内施工时，他们不经意地烧一些绝缘材料。通风系统将烟雾扩散在建筑物周围。有两人受到影响，一项在实验室进行的昂贵试验失败了。
在同意在楼内进行热工作业前，应考虑作业中产生的任何烟雾的影响，如果认为有必要，应关闭或隔离通风系统。
7．1．3开放式容器
在收集腐蚀性、有毒性和可燃性的液滴时，不能使用桶和其它上部开口的容器，就是在工厂周围运送少量的上述物品也不允许。液滴和没有用处的样品应当收集在密闭的金属罐里，在将罐移开之前，应先加上管帽。
一个人在用桶运送汽油时，因汽油着火被严重烧伤，着火的原因至今没有查明。另一个人提着一桶苯酚行走时，脚下一滑摔倒了，苯酚洒在他的腿上。一个半小时后，他死去了。还有一个人在搬运一个装着热清洗剂的锅时，不幸滑倒，因小锅上面是开口的，被洒在身上的液体烫伤。
当一名工人将手提壶里的热焦油往桶里倒时，焦油着火。当他向后退时，手套粘在壶把上，油壶一倾，将燃烧的焦油洒在地面上。壶上的放油阀泄漏，使火势蔓延，两台小液化石油气罐(约100L)、一部拖车和油壶被烧毁，一台储罐的封头被炸出40米。
其它事故见12．2和5．1。这些事故与其它章节里的事故相比似乎微不足道，但对于有关人员来说，事故发生在Flixborough。
同样，不能用手拿玻璃采样瓶。当采样瓶受撞破碎时，人会受伤。瓶子应放在像运送软饮料使用的提篮或其它容器中。运送像苯酚这样特别危险的化学物质时，应将其放在密闭的容器里。
当然，不能用可燃液体清洗地面，或清除污油的溢出物。应使用不可燃的溶剂，或水加清洗剂。
7．1．4玻璃液位计和观察孔
玻璃液位计和观察孔破裂已经引起许多重大事故。一套装置被炸毁可能就是由于玻璃液位计破裂，乙烯泄漏并引起的爆炸。
玻璃管液位计和观察孔(除了磁力液位计)都不能用在可闪燃的或有毒的液体的容器上——即，液体的压力高于其正常的沸点。使用玻璃液位计时，应装有安全球形截止旋塞阀，防止玻璃破碎时发生大量泄漏。可是，由于人们不理解小球的作用，有时将小球拆除。手阀必须完全打开，否则小球不起作用(图7-2)。
这些旋塞阀里有一个小球，如果视窗破碎，小球将液位计隔开，旋塞阀必须完全打开，以使玻璃破碎时小球作用，禁止将小球拆除，并进行检查。
一台间歇式反应器装有一片防爆膜。为了检查防爆膜，人们将视窗装在放空管线的一条支管上。当反应失控时，突然上升的温度和压力使视窗破碎。大量的可燃雾气和蒸汽泄漏并排放到楼内发生爆炸，炸死11人。这些人虽然已经离开大楼，但并没有走远而是站在了外面。参考资料23讲述了其它一些视窗破碎的事故。
图7-2球形截止旋塞阀
7．1．5丝堵
在一些情况下，丝堵可能会被从设备上炸出。
(a) 波纹管膨胀节进行压力试验后，为了能将其中的水完全排出，在水平位置上加了一个1/2in的丝堵。波纹管安装不久，丝堵被炸出，随之而来的热油喷出30多米远。
为进行压力试验的丝堵应该采用焊接的方法焊接就位。可是不能在普通丝堵上采用密封焊，如果螺纹被腐蚀，全部压力就会施加在密封上。应该使用专门设计承受全压强的丝堵。
(b) 一支1in的丝堵从泵体上炸出，随之喷出温度为370℃，压力为250psi(1.7MPa)(表)的油。喷出的油着火，损失惨重。这只丝堵只拧上了一两圈螺纹，一直使用了18年。
在事故发生之后进行的调查发现，一些丝堵只拧上了几圈螺纹，另一些选取用的钢材等级不对。在另一家不允许使用丝堵的工厂里发现了几支2in的丝堵，而且只上了几圈丝。这些丝堵一直使用了十年，并作为压缩机整体的一部分。
建议对所有的丝堵进行检查。
(c) 9．1．6(e)讲述了一件类似的事故。为进行压力试验安装的螺纹套和阀门从石油管线上炸出。
(d) 一只标准的摆动止回阀上用来固定丝堵的摇板销钉松动后被炸出。气体以2t/h的速率泄漏出，直到装置停下来。
这次事故强调7．2．1(b)观点。装置操作员对止回阀印象不好。但是，如果不进行维护，没有什么设备能正常工作。
(e) 车间里有一只阀需要进行检修，阀的出口用丝堵堵住。为了卸下丝堵，用焊炬加热阀门，结果阀门裂了。阀门当时处在关的状态，在阀和丝堵之间存有水。在修理阀门前，正常情况下应将阀门打开。
7．1．6软管
软管是一个常见的事故源，最常见的原因是：
1．软管选用的材料不对。
2．软管受到损坏。
3．连接方法不正确。尤其是只拧几圈螺纹，或者螺纹不配套，或者垫片丢失。
4．将汽车软管的螺纹卡子(Jubilee卡子)用来将软管固定在接头或设备上。像Jubilee卡子这类的卡子不适于用在工业中，应该使用螺栓夹具。
5．因为没有卸压的放空阀，在撤完压力前就将软管卸下。
6．当软管用在蒸汽或氮气系统时，在工艺阀门前有伺服阀。其结果是工艺
介质进到软管里。
上述观点可通过下列事故加以说明：
(a) 人们决定向塔内注入100psi(0.7MPa)(表)的新鲜蒸汽，看是否可能改善塔的操作性能。一名操作员站在图7-3所示的位置上，当软管破裂时，他正准备关闭塔的入口阀门，被热的腐蚀性液体淋了一身。站在入口平台上，却被泄漏挡住，无法接近入口梯子。他必需等到其他人拿来一个便携式梯子。
调查结果是：
1．软管是用加强橡胶造的，选材不对。应选用不锈钢软管。
2．软管被损坏。
3．软管另一端的蒸汽阀是关闭的，并恰好在塔入口阀的前面，因而可使工艺介质进入软管。操作员知道这种做法不合常规。因为他们知道软管破损，为了避免软管承受蒸汽的全部压力，首先关闭蒸汽阀。
应该选用合适的软管，软管的状况应良好，应该首先关闭工艺阀门。此外，软管上的一只阀门不应安装在通行不方便的地方。如果没有其它的阀门可以利用，为了使软管的一端在安全位置，应该在阀门上接一段钢管。
对所有的软管应定期进行检查和试验，做上标记说明软管可以使用。一种比较好的办法是每6个月或12个月换一次标签的颜色。这次事故很好地说明了操作人员和管理人员已经非常习惯工艺介质的危险性，以至于他们不能很好地建立和保持适当的预防措施。以前经常使用型式不对或受损的软管吗？为什么没有引起负责人或监察人员的注意呢？
图7-3软管破裂，操作员受伤
(软管选型不正确，已经受损，并且安装位置不对)
(b) 一台装有60%浓度硫酸的罐车抵达工厂。罐车的软管破损，所以操作员找了一根用于20%浓度硫酸的软管。45min之后软管漏了，溢出的硫酸量很大。
操作员认为一定是换上的软管以前已经受损了，所以又用一根类似的软管换上，15min后硫酸又溢了出来。
这次事故举例说明了3．3．5中的思想模式，已经做出软管可以用于任何种类硫酸的假设，即使软管漏了，操作员仍坚持他们的观念。因而他们有“行为重复”，5．4．1和6．1(c)讲述了其它的行为重复事件。
你的操作员了解软管适用于哪种材料吗？如果将不同使用形式的数量减少到最低，就不太可能犯错误。
(c) 将放射性的泥浆通过一根1.5in(38mm)直径的软管从储罐泵送到一台可移动的容器里。当泵出故障时，来查原因的技工断开了使用快接式联接的软管。泥浆喷洒在远在3m外的人身上。在断开软管以前无法卸去软管里的压力。软管中的堵塞使泥浆不能流到容器里，也不能通过容器上的泵排出。快接式联接不能像断开法兰那样断开。
(d) 在这儿正好来讲述软管的堵塞问题。为了使铁路制动闸的软管在使用前持清洁，就在软管的两端加上软的塑料“高帽”塞子。塞子上有一个7mm长的密闭圆筒，可以装进软制动管的一端，还有一个起支撑作用的窄边，可防止塞子塞得太深(见图7-4左)。塞子的颜色与制动管的端面一样都是红色的。在进行制动试车时，塞子变形，压缩空气通过。最终塞子走到某一位置时，将软管完全堵塞。当火车需要停下来时却停不下来，跑出去好几英里，幸好线路上没有其它车辆。
图7-4软塑料“高帽”塞子(左)装在火车车箱制动管的端面，以保持软管的清洁。
塞子与制动管端面的颜色相同，在安装时不易被发现和除去，制动失效，火车继续行驶。
如果使用带大边沿硬度更大的塞子(右)，制动试验可能会失败，颜色应更加容易区分
一支大边沿硬度更大的塞子，如果安装在每根管子的另一端(图7-4右)，将会使制动试验失败。更大的边沿和不同的颜色将使塞子更容易区分。可是，要保持软管清洁，在软管的两端系上塑料的效果会更好些。
13．2讲述了其它软管出的问题。
7．1．7冷却盘管
储罐中的冷却盘管慢慢出现小的泄漏，为了防止罐中的液体泄漏到冷却水中，通过关闭出口阀并加盲板将盘管隔离，为保持盘管里的压力，冷却水的入口阀一直开着。罐里装的是一种有毒的酸性溶液，所以少量的水泄漏到罐里没有太大关系，远比酸泄漏到冷却水里好。其它的盘管可满足冷却要求。
十年后，当进行冷却水泵切换作业时，冷却水线里的压力产生波动，使盘管人口水线上的采样阀在室内发生泄漏。这部分漏出的水受到酸的污染，自从第一次泄漏后已经在盘管中存了十年。没有关于冷却水泵切换的通知，在事故状态下，没有按正常的次序操作阀门。
7．2．1紧急切断阀(EIVs)
通过遥控紧急切断阀已经防止或快速熄灭了多起火灾事故。在通向可能发生泄漏的设备上不能安装紧急切断阀。但是，经验表明可以在通向设备，尤其是易于发生泄漏的管线上(例如在7，1．2中所述的非常热或冷的泵或排放线)可以安装紧急切断阀，或可以安装在管线上，这些管线如果发生泄漏，比如说50吨或更多，泄漏量是很大的(如蒸馏塔底泵或回流泵)。
在上述所有情况下，一旦发生泄漏，尤其是着火的时候要靠普通的手动隔断阀去关闭阀门，通常是不可能的。有关紧急切断阀的详细情况在参考资料3中进行讨论，下列事故说明紧急切断阀是多么有用。它们可以实现电动、气动，在有些情况下还可以实现液压传动。
(a) 从泵泄漏出的轻油起火，火焰高达10m，操作员在操作室里遥控关闭了泵的人口阀门，火焰不久变弱，20min后完全熄灭。关闭同样位置上的手动切断阀是不可能的。如果没有紧急切断阀，火会着上几个小时。应定期对紧急切断阀进行试验，试验期间也许不能将阀完全关闭，但可部分关闭。
单向阀阻止泵出料一侧的物料倒流，此外，控制阀和远离火场的一只手阀被关闭(图7-5)。
(b) 加热炉进料泵的轴承出故障，泵的密封压盖破裂，发生热油泄漏。当热油起火时，泵人口的紧急切断阀立即关闭，不久火就熄灭了(图7-6)。
加热炉进料线上的控制阀也被关闭，但是这只阀门被通过一台换热器的线旁路了，情急之下，没有人想起去关闭旁路线上的阀门。关闭加热炉前的一只手阀(距着火点30m)，阻止了油的回流。在这之后，在泵的出口线上加了一只紧急切断阀。
火灾发生之后，人们发现所有三台泵上的单向阀全都有问题。一台阀的阀座已经松了，另一台阀门的支点销严重磨损，第三台泵的销钉几乎磨断，摇板松动。自从建装置以来一直没有检查这些阀门。
 |
图7-5 紧急切断阀使火熄灭
 |
图7-6 另一台紧急切断阀将火熄灭
许多工厂的操作员对止回阀没有好印象，这是因为人们从没有对这些阀进行检查和试验。如果不对设备，尤其是有运动部件的设备进行检查和修理，期望这些设备能永远正常工作是不可能的。如果将止回阀用做紧急切断阀，应对其进行定期检查。
图7-7是没有运动部件的流体止回阀。当流体沿切线开口流出时，阻力较小，但是沿另一方向流出时阻力较大(高200倍)。因而在反方向上往往设有低流量，但是如果允许这种情况发生，在中止压力产生波动(可能引起上游设备损坏的压力波动)时，这些阀非常可靠，也非常好用。
虽然靠近火场，但紧急切断阀不受着火影响。事故引起人们的注意，或将紧急切断阀安装在不可能受着火影响的地方，或对紧急切断阀进行防火保护。有防火用的袋子和箱子。
 |
图7-7流体止回阀(承蒙AEA技术演示)
紧急切断阀的控制线——电或磁——应当进行防火保护。
如果将控制阀用做紧急切断阀，应加一个特殊的开关，开关在装置外，以便在紧急情况下，操作员不必跑到操作室改变控制器上的设定才能关闭阀门。
注意，紧急切断阀应自动停下线路上所有的泵，停止所有加热炉的燃料供应。
(c) 在有些情况下情况正好相反，因为安装达不到要求，紧急切断阀不能控制火势。在一次事故中，因为控制紧急切断阀的按钮太靠近泄漏的泵，以至任何人不可能安全地使用它。在另一起事故中，因为没有定期试验，紧急切断阀不起作用。应对所有的紧急切断阀进行定期试验，比如说每个月进行一次。如果怕影响生产，不能将阀完全关闭，应做部分关闭试验，在停工期间进行全关闭试验。
(d) 当需要时，如果不能用做紧急切断阀，这些阀门就没有阀门的功能。有时当危险物质发生泄漏时，操作员一直试图在不停装置的情况下隔断泄漏，操作员这样做会冒不必要的风险。例如，一台室内泵发生严重的丙烯泄漏，四名工人严重受伤。事故发生之后，人们花了很多钱把泵移到户外，在泵的周围安装吹扫蒸汽，安装遥控隔断阀和放空阀。如果再发生泄漏，就可以通过关闭泵的人口阀、打开放空阀、停下泵的电机阻止泄漏，不需要任何人去泵附近(见8，1．3)。
八年后发生了另一次泄漏。发生泄漏时，在泵的附近可以看到厚达lm的丙烯蒸汽。为了不中断丙烯供料和使装置停下来，两名经验非常丰富的领班冲入丙烯蒸汽场地，停下泄漏的泵，启动备用泵，幸好泄漏物没有着火。
事后，当其中一名领班回到办公室后才意识到刚才所冒的风险，抱怨不该冒这样的险。为了不停产，情急之下他忘记装置上安装有可使他不去冒险的紧急切断阀。1．5．4(e)和16．1(g)讲述了可通过紧急切断阀(EIVs)控制的其它事故。
EIVs应快速关闭，但也不能太快，否则会在管道，尤其是当阀门安装有长的管线上时，产生锤击压力。阀门不能开得太快。如果在管道上有控制阀，为了加强紧急切断阀的关闭效果，也应将其关闭。在随后进行的开阀过程中，因为控制阀的打开速度慢，应该最后开。
紧急切断阀上的执行器的动力应该比生产厂家推荐的更大，尤其是当管线中液体很粘时。有些生产厂家没有考虑到阀门密封填料的摩擦力。像所有的安全设备一样，也应当对紧急切断阀进行定期试验(见14．2．2)。
7．2．2 控制泄漏的其它方法
成功应用的方法如下：
(a) 注入水，所以漏出的是水而不是油。当然，只有当水压高于油压时才能使用这种方法。
(b) 降低装置的压力，以减少泄漏量。
(c) 关闭远距离的隔断阀。
(d) 冻结管线。这种方法需要时间组织必须的设备，只适用于凝点相对较高的物质，如水和苯。
(e) 使用专用的工艺(如Fumaniting法)，将密封物注入到泄漏法兰的阀腔内。注意：因为不遵守正确的操作步骤，已经发生过事故。不能使螺栓过紧。
(f) 通过淋水和蒸汽帘控制泄漏物的扩散，后一种方法必须永久性安装，前一种方法可临时，也可以永久性安装。
(g) 用泡沫覆盖液体表面，控制蒸发量。如果选用的泡沫适当，这种方法适用于氯、氨以及碳氢化合物的溢出。
(h) 向溢出物加入挥发性低的液体，以减少挥发量。当液化石油气流到排水沟里时，向排水沟里注瓦斯油，以降低爆炸的危险。
7．2．3 怎样控制泄漏
在有些隋况下，员工们为了隔离泄漏已经进入可燃气体或蒸气的云团里。在7．2．1(d)叙述的事故里，为了避免停装置，人们已经这样做了。更常见的情况是没有其它的阻止泄漏的方法。当人在蒸气团里泄漏物着火时，将会受到严重烧伤。
如果说人员绝对不能进入可燃蒸气里隔断泄漏是不实际的。在有些情况下，人们冒一分钟的危险隔断了泄漏，否则的话，泄漏物可能会扩散很远，可能被引燃，也可能会爆炸。但是，我们应该安装遥控紧急切断阀，隔断可能的泄漏源，避免派人去冒险。
同样可以使用喷水的方法逼退蒸气，保护人员关闭阀门，隔断泄漏是可能的。国家防火协会提供了一套幻灯片或电影演示了如何进行这项作业。
可用可燃气体测量仪测量可燃气体或蒸气泄漏的程度。如果泄漏很小，并采取适当的保护措施，允许人员将手伸人可燃的气团里。但是，只有极特殊的情况下才允许人体进到蒸气团里。
7．3 泄漏到水面、湿地或绝缘层上
7．3．1泄漏到水面或湿地上
1．1．4叙述了泄漏到水池时的事故，泄漏的范围远比任何人预期的大。一次泄漏被20m外的焊工引燃，另一次泄漏引起lkm外的火灾事故。在其它情况下，泄漏出来的油渗到地面里，大雨过后又浮到表面。1966年英国艾塞克斯郡发生的汽油泄漏，在两年之后又回到地面上。汽油蒸汽聚积在室内的地面上，被引燃后把楼梯的炸了一个洞，两人受伤。为了回收剩下的汽油，人们挖了一条7m深的沟。在有些情况下，油漏到下水道里，又流到室内。如果漏到地面的油量较大，应挖沟或挖井将漏出的油回收。
图7-8着火和爆炸后的环氧乙烷装置(BP化学有限公司提供)
7．3．2 泄漏到绝缘层上
当有机化合物与热的保温材料接触时，有机化合物会降解，其自燃点能下降100～200%，有些着火事故就是这样引发的(见12．4．4)。大多数火势较小，但有些很严重。例如，1989年，比利时一家工厂发生的一起事故。环氧乙烷(EO)从蒸馏塔焊缝上一条头发丝细的裂纹中泄漏出来，污染了液位计上的石棉保温材料。环氧乙烷与湿气反应生成无挥发性的聚乙烯乙二醇。为了修理液位计，将液位计上的金属覆盖层除去。空气漏了进去后，在当天的晚些时候聚乙烯乙二醇引燃烧，使整个管线系统的管壁(管子中没有介质)被加热，产生的热量使EO分解，发生剧烈爆炸——一个著名的反应——分解反应发展到蒸馏塔，塔也反生爆炸。图7-8显示爆炸后的结果。
聚乙烯乙二醇着火的原因可能是降解产物的自燃。对于装有像EO这样热敏性材料的设备，报告推荐使用非吸收性的保温材料。
在另一起事故中，一种长链醇漏到管线的保温层中，当打开保温材料的保护层时，空气进人保温材料，60t的温度足以起火。
7．4 检测泄漏
在许多情况下，当发生泄漏后不久马上用可燃气体检测器进行检测，并采取控制泄漏的行动。在加工液化的可燃气体，或其它闪蒸液体，或经验表明有发生重大泄漏的可能时，报告强烈建议安装这些检测仪。检测器也可以用于普通的有毒气体，但是，检测器并不能代替操作员的定期巡检。报告指出，有几个厂在气体检测器方面投入了大量的资金，但有半数的泄漏是被人发现的。
有一家工厂把液体泄漏物排到一个装有液位计的池子里。当泄漏实际发生时，泄漏物滴到热的管子上蒸发了，液位检测器连续几小时没有测到泄漏。
另一家工厂也发生了类似的事故。装置里的液体是凉的，所以在池子里安装了低温报警系统。用凉水试验时，报警系统很好用。当泄漏发生时，漏出的液体是酸性的，在向池子流动的途中与钢管发生反应，温度升高了。当然，温度元件并不能区分温空气与温液体，所以没有测出泄漏。
我们应尽一切可能直接测量我们需要知道的特性，而不是其它那些用来推算的特性(见14．6)。
电缆可用来探测液体泄漏。将电缆穿过可能发生泄漏的整个区域，就能测出泄漏的发生和发生的位置。
通过比较装置不同部位的流率，可测出大规模的泄漏。在计算机控制的装置里，这项工作可自动完成。
7．5 不稳定性泄漏
人们对不稳定性泄漏和来自法兰、阀和泵的压盖、安全阀等小而连续的泄漏问题越来越感兴趣。这些泄漏对工作区环境产生的影响小，但是总是存在。有些可能会产生长期的毒性影响。参考资料汇总了已经发表的不同设备的泄漏速率，以及减少泄漏的方法。根据参考资料14，总排放量的一半以上来自炼油厂中使用的泵的压盖，具体数据如下：
|
泄漏源 |
占总排放量的百分比 |
泄漏源 |
占总排放量的百分比 |
|
法 兰 阀 门 压缩机 泵 |
8 57 3 12 |
安全阀 分离器 冷却塔 排放系统 |
1 4 7 8 |
本章讲述一些涉及液化可燃气体(LFG)的事故，事故本身只与这类物质(或其它的闪蒸可燃液体)有关。
LFG有很大的危险性，在温度高于正常沸点时加压进行储存和处理。有泄漏就会闪蒸，有一部分变成蒸气喷洒出去。在到达引火源以前，可以喷出数百米。
蒸气和喷出的量远远高于根据热平衡估算的蒸气产生量。当喷出时，蒸气夹带着液体，与空气接触后汽化，在任何情况下都可能燃烧或爆炸。
任何高于其正常沸点加压的可燃液体的性质与LFG类似，液化可燃气体只是闪蒸液体最常见的例子，大多数不受限制的蒸气团的爆炸，包括Flixboroueh发生的爆炸，都是由于这些闪蒸液体泄漏造成的c”。
术语“液化石油气”(LPG)是指从石油里提炼出的那些液化可燃气体。术语LFG是指讨论所涉及到的所有的液化可燃气体，包括环氧乙烷、氯乙烯和甲胺。就其闪蒸和可燃性来讲，它们的性质很相似。
在常压低温下储存的LFG与在常温加压下储存的LFG表现形式完全不同。有关这些物质发生的事故见2．5，5．2．2，5．6．2和8．1．5。
8．1 重大的泄漏
8．1．1法国Feyzin
1966年在法国Feyzin一个大型容器发生爆炸，这次爆炸在当时是有关液化可燃气体最严重的事故之一，但是比不上墨西哥市所发生的事故(见8．1．4)。事故迫使许多公司修改了他们储存和处理这类物质时的标准。由于一直没有发表事故的细节，资料来源是根据参考资料3-6，以及与事故发生后不久去现场人员所进行的讨论。
一名操作员必须把一台1200m3几乎装满丙烷的球罐中的水排出去(图8-1)，他打开阀门A和B。当有油迹流出时，排水的工作就近乎完成，他开始关阀门A，然后又敲了敲，准备停止排水，看到没有东西流出，就把阀门完全打开了。堵塞物——假设是氢氧化物，一种水和轻烃的化合物，其熔点在0℃以上——突然流出，操作员和其他两人被溅了一身液体。阀柄从阀门上脱落，他们无法装回去。阀门B又被冻住了，根本拧不动。阀门在储罐的下面，很难靠近，罐底离地面只有1.4m。
厚达1m的蒸汽扩散出150m，泄漏发生25min后被一台在附近行驶的汽车引燃。道路已经被警察封锁，但这台车的驾驶员从旁边路上绕了过来。火焰窜了回去，球罐马上就被火焰包围了，但没有发生爆炸。球罐上装有喷淋水系统，但设计的供水量只有正常推荐量的一半(8L/m2·min)，水的供应量不足。当消防队接上软管时，水已经用完了。为了阻止火势蔓延，消防队员使用大多数可用的水来冷却附近的球罐，他们只能寄希望于安全阀能保护火中的容器。
球罐下面的地面很平坦，所以没有汽化或马上燃烧的丙烷集中在罐下，不久后就会着火。
起火后90min，球罐爆炸了。50m以内的12名消防员有10人被炸死。丙烷冲击波跃过护墙，远在140m外的人都受到严重烧伤。死亡人数为15～18名(报告不同)，约80人受伤，整个区域被废弃。飞出去的残片撞断了附近球罐的支撑腿，球罐翻倒了，安全阀放出的液体助长了火势。45min后，这个球罐也发生爆炸。在这次火灾中，共有5台球罐，2台其它的压力容器爆炸，三台受损。火势蔓延到了汽油和燃料油罐。
最初，人们认为是球罐上的安全阀太小才发生爆炸。后来才认识到是因为球罐上部的金属受热变软，其强度下降造成的。液面以下，沸腾的液体保持金属“凉”。像因金属变热导致容器爆炸这样的事故，我们称其为沸腾液体膨胀蒸气爆炸，或BLEVE。
为了防止类似事故的发生，许多公司继Feyzin之后采纳了类似下面的一些建议：
● 将第二只排水阀的尺寸限制到374in(2cm)，阀门距地面最少1m。排水线应非常坚固，并且支撑好。其端面应在贮罐阴影的外面。
● 在排水线上安装遥控紧急切断阀(见7．2．1)。
● 新建的储罐在液位以下只留一个接口，应完全焊起来，一直焊到罐区空地的主遥控防火隔离阀。
● 安装可燃气体检测仪，提供早期泄漏报警。
防止火灾升级的推荐意见：
● 使用像蛭石这样的耐火保温材料隔离容器，它可直接阻止热量的传人。不像喷水，它的使用不受限制。
有些国家使用堆积法，而不是方便的隔离法。储罐用干净的砂子或干净的材料完全盖起来。为了检查罐体的外部，必须一次以一次地将部分覆盖物除去。
● 提供喷水或浇水系统(除非容器被堆埋)。如果有保温，那么浇水的速率为2.4L/m2·min就够了。如果没有保温，那么喷水的速率为8L/m2·min(浇水是指将水浇在罐的顶部，喷水是指将水喷向罐的整个表面)。
● 将地面做成斜面，以使溢出的液体流到集液坑里。
● 安装紧急安全阀，以使容器内的压力在10min内减少到设计值的1/5，降低金属的应力。如果容器有保温，时间可延长到30min，如果地面有一定坡度，时间可延长到1h。
图8-2对这些建议做了总结。
8．1．2巴西DequeDeCaxias
1972年巴西有家炼油厂发生了与Feyzin类似的事故。据报道，当石油液化气球罐的压力升高时，安全阀打不开。为试图降低压力，操作员打开了排水阀，
放出了少量的水。流出的LPG将阀门冻住，因为只有一只排水阀，无法阻止LPG的流出。当LPG被引燃后，容器发生BLEVE，有37人死亡。
事实上，如果操作员确实是用排水的方法减少压力，那么他们没有认识到无论罐中的液体量有多少，液体上面的压力都是相同的。
8．1．3英国
多年以前发生的这些事故是因为有关人员没有区分开液态碳氢化合物，像石
脑油或汽油，与LFG所表现出的不同性质。汽油溢出的蒸气只能扩散很短的距
离——大约油层那么大的范围。但是，LFG溢出物产生的蒸气可扩散出去数百米。
一些设备原来在设计和使用时是用来处理汽油和类似的液态物质的，经过改造后用来处理丙烯。一台高压离心泵在3625psi(25MPa)(表)的压力下运行，由于固定填料盖的双头螺栓断了，发生泄漏。这台泵安装在没有通风的房子里，漏出的蒸气从泵对面的大门口放了出去，被75m外的加热炉引燃。四个人受到严重烧伤。在同样位置汽油溢出物产生的蒸气就不会扩散到加热炉。
火灾事故发生之后，这台泵和其它的泵被重新安放在一个四面敞开的遮蓬下面，少量的泄漏可被自然通风驱散。为了驱散大量的泄漏可用蒸汽帘围住泵。如果泵距起火源150m以上，就不用采取这项措施。安装可燃气体检测仪，对任何
泄漏做出早期报警。安装紧急切断阀，在远处的安全距离将泵隔离开。7．2．1(d)讲述了发生其它泄漏时所出现的情况。
注意，在8．11～8．13事故中有一个共同的因素是有关人员没有理解材质和设备的特性。
8．1．4墨西哥市
1984年11月，在墨西哥市郊区的San Juanico，一家液化石油气(实际上是80%的丁烷和20%的丙烷)的加工厂和配送中心发生火灾和爆炸。这次事故是石油化工行业所发生的最严重的事故之一，仅次于Bhopal。根据官方数字，542人死亡，4248人受伤，10000人无家可归，非官方估计的数字更高。当一根8in(200mm)的管线破裂时，灾难开始发生了。管子破裂的原因不清楚，根据一份报告，有一台罐冒顶，其人口线过压。现在还不清楚为什么安全阀没有起跳。着火前，气团覆盖了200×150m的区域。在泄漏发生5～10min后，可能被地面火炬引燃。气团燃烧后消失了，但是破损管线附近的火焰仍着着。火加热LPG球罐，球罐发生BLEVE爆炸，又造成进一步的损坏，接着又发生BLEVE爆炸。在接下来的一个半小时里，总共有四台球罐和15台柱型贮罐发生BLEVE爆炸，其中有些罐距离厂区达1200m。
大多数伤亡人员是住在厂区附近破烂不堪小镇上的居民。建厂时，距最近的民房只有360m远，但是仍允许居民蚕食中间的空地，一直到最近的房屋距厂只有130m。
虽然许多工厂只有几年(有一些建厂已经20年)，但在设计时似乎没有遵守8．1．1和1970年发表的报告中的大部分推荐意见。例如，没有气体检测仪，浇水系统不合理或根本不能使用，几乎或根本没有隔离(甚至球罐的支撑腿都没有采取防火措施)，容器周围的围堰可使LPG聚积的危险性很大，液位以下有许多接头。此外，装置显得很拥挤，太靠近人员密集区。大型LPG加工区的推荐距离是600m，而不是360m(原来的距离)，或在当时的130m。在Bhopal也一样(见21．1)，许多灾难都是因为棚屋型小镇不受限制地扩张引起的。
8．1．5卡塔尔
到目前为止所说的事故都是有关LPG在加压常温下贮存。LPG也能在低温常压下贮存，这种方法更适用于大量贮存，因为在低压下，同样尺寸的小孔泄漏量小，由于温度低，蒸发量也小。但是，在决定使用什么贮存方法时，应从安装的整体，包括冷冻和气化装置上考虑泄漏的可能性。如果减少了贮存罐的泄漏量，但引进了可能增加泄漏量的设备，则不会有效益。
1977年，技术新闻报道了卡塔尔一座20000m3丙烷罐发生泄漏，被引燃后发生火灾和爆炸，炸死7人，对工厂的其它装置造成严重破坏。一年前也发生过一次泄漏，但是没有着火，人们对贮罐进行修理。丙烷在-42℃，常压下储存。由于法律的原因，没有关于事故的详细报道，但是有关公司发表了几遍文章，对建造冷冻LFG贮罐提出了一些新的建议，因而，我们有可能从字里行间猜出可能发生的事情。
新的建议要求冷却的LFG罐应该用9%的镍钢来制造，这种钢在裂纹产生后，不会使裂纹扩大。以前许多公司的策略是防止裂缝，而不是依靠选用具有阻止裂缝的罐体材料。由此可以看出卡塔尔的罐产生裂缝(尽管采取了防止裂缝的措施)，然后裂缝迅速加大，产生裂缝的原因不明。人们把它与前一年修理裂缝的工作联系起来。根据一篇报告，裂缝是由于水压试验用海水中的细菌对焊缝侵害造成的。但是，产生裂缝的起因与裂缝产生后迅速扩大相比就不那么重要了。
人们普遍认识到靠消除引火源，并不能防止火灾和爆炸。我们做了所能做的一切，但事故仍可能突然发生。所以我们防止爆炸混合物的形成。同样，我们不能消除所有裂缝起因，所以不能保证产生的裂纹不扩大。
在卡塔尔，液体喷出的力量很大，溢过的围堰墙。传统的围堰也有不利的一方面。如果发生泄漏，大面积的液体暴露在大气中，因为这种原因，现在一般用混凝土墙围住贮罐，墙离罐体1m，与罐齐高。如果贮罐不是用抗裂的材料制造的，那么设计的混凝土墙应当能承受液体突然释放的冲击力。
8．1．6 氯乙烷厂
1994年发生不纯的氯乙烷泄漏，一个半小时后起火，工厂受到严重破坏，不得不重建。幸运的是没有人员死亡，也没有人受伤。泄漏在进料泵的组合式法兰总成处开始(见图8—3)，泄漏可能是由于法兰腐蚀，但也可能是由于波纹管出问题。参考资料23总结了下列几点：
图8-3 与发生泄漏相似的组合式法兰(图片由英国卫生安全执行官提供)
● 组合式法兰受到严重腐蚀，厚度减薄，螺栓孔被加大。(组合式法兰的结构形状不好，因为其两倍的表面受到腐蚀的影响)。没有验证这些重大问题的系统，一旦出问题，事情将会很严重，应做好登记，进行定期检查。维护工作属于细目分类，没有正式的记录说明需要进行定期检查和更换的项目。
● 如果在泵的入口线上装有紧急切断阀(7．2．1)，一旦测到泄漏，马上就可以阻止泄漏。重建的装置采取的措施有，在泵的入口线上安装了紧急切断阀，加装可燃气体检测仪，扩大保温范围，用金属材料代替塑料泵体，将溢出物收集到集液池里。这套装置建于1972年，当时上述措施使用得还不普遍。自从那时起，不断对装置进行改进，但改进的力度不够大。火灾事故之后所做的大部分工作在以前应该已经完成了。
● 火源可能是接线盒，其安装可能不合理，或是水可以流进去产生电弧短路。
● 比火灾更为严重的是工厂里储存的物质大约有70t，是通常情况下的2倍。反应器顶的部分馏出物收集在不合格的罐里循环使用，罐的储量一般很小。在着火当天的上午9点，循环泵出故障，其结果是罐里的液位上升。操作员注意到反应器液位下降，但是没有注意罐里液位的上升。为了保持液位，将产品循环使用。下午8点领班注意到不合格产品罐的报警灯亮了，发现循环泵出故障，就切换到备用泵。25min后发生泄漏。3．3．1讲述了另一起事故，操作员没有注意到不正常读数的时间长达11h。
● 从整体上讲，现场的主要危险是氯气的储存和使用，所以人们对其格外重视，对其它危险的重视程度不够。
● 官方报告总结火灾谈及时指出，如果对其工厂的危险性能有更详尽的细节评估，并一直执行，如果建立历史档案记录，检查和更换程序依此进行的话，事故是有可能避免，或严重程度会降低。
8．2 较轻的泄漏
(a) Frezin发生事故之后，一家公司使用大量资金提高LFG储存设施的标准——尤其对排水系统做了重新布置——以符合8．1．1提出的建议。
不到一年的时间，管线上一只贯通的排水阀发生的小泄漏着了火。关闭阀门后，火很快被被扑灭了。一项调查总结道：
1．应由两只阀门或一只阀门加一块盲板为一组。
2．阀门是由黄铜制造的，是民用供水系统使用的那一种，用于LFG压力等级不够。
3．阀门直接拧到管线上，虽然公司明确规定只能使用法兰连接或焊接连接。
4．没有找出是谁安装了未经授权的不合格排放点。人们试图公开Feyhn的教训、公司的标准和事故的原因。但是，这并不能防止排放点的安装。注意安装程序必须经过下列人员，除了实际安装人员和他的领班外，必须有人发出工作许可单，并接收回执(并他检查工作的完成情况后)，有几名人员已经用过这个排放点，必须经过许多人的同意。如果有人认为不符合施工标准，应当引起责任人的注意，火灾事故就不会发生。
像我们花园里的植物一样，当我们转过身去时，就会长出许多不想要的枝叉来。
(b) 在修理丙烷球罐时，向里面加水使其惰化。当修理工作完成时，将水从罐里排出，丙烷蒸气从上部进入取代排出的水。指示要求当罐里剩下5m3的水时，停止排水。当这一指标被达到时，现场没有人。所有的水都排完后，就放出了丙烷。幸好没有着火。操作员没有留在现场是因为他没有认识到液位计是测液体重量的，指示的水位是实际水位的两倍。其它类似的事故在5．1．2中叙述。如果有氮气，可用来代替水惰化容器。或者是如果用水，当排水时应该用氮气替换水。向设备中加水时，永远要检查设备的强度是否能承受水的重量。
8．3 其它形式泄漏
发生LFG泄漏的事情很多，大多数很微小，但有时很严重。下列设备易发生LFG泄漏：
法兰连接：在使用压缩石棉纤维垫片的地方使用缠绕垫片，可减少泄漏的量和次数。不能使用丝扣连接。
泵密封：使用双机械密封或一个机械密封加一个节流衬套可减少泄漏量。将两者之间的空隙的泄漏排放到一个安全的地方。由于轴承或密封出问题，仍有可能发生大的泄漏。因而，LFG泵应安装紧急切断阀(见7．2．1)，尤其是当温度低或泄漏出的量很大时。
玻璃板液位计：不能用于闪蒸的可燃液体(见7．1．4)。
取样点：直径不能超过1/4in(6mm)。
小支管：这些支管自身应很结实，并支撑好，不能被撞断或由于振动产生疲劳而断裂。
用不适于低温下使用的钢制造的设备：
选择的设备制造材料应能承受住在非正常工况下所能达到的最低温度。在过去，使用的材料只能承受正常的操作温度，在装置不稳定时或非正常操作条件下达到更低的温度时，材质会变脆。例如，当装有液化石油气的罐的压力降低时，由于液体的汽化，罐的温度降低(见10．5．2)，已经出了一些事故(见9．2．1g)。
将装置里的这类材质全部更换是不实际的，也没有通用的结论。有些管线用不同等级的钢代替，有时可使用低温跳闸或报警，有时在开工期间，要对操作员强调密切观察温度的重要性。
LPC其它的泄漏事故在1．1．6(e)，1．5．4(a)，5．2．2(d)，9，1．6(d)和13．4中叙述。
小茶壶爆炸时，如同平常一样，只是茶壶没有了。
大容器破裂时，如此猛烈，我们的墙都无法承受。
——Geoffrey Chaucer，《TheCanonYeomantsTale》，1386
9．1 管线事故
达文波特(Davenport)已经列出厂60多项主要的可燃物质泄漏事故，其中大多数都导致了严重的火灾或不受限制蒸气团爆炸。表9-1取自他的数据，对泄漏源点进行分类，数据表明管线问题占总事故的一半——如果扣除运输罐，占一多半。因而弄明白管线出问题的原因是十分重要的。接下来讨论一些典型的问题(或近乎出问题)。这些实例和其它的实例(在参考资料2和3中进行了概括)表明，到目前为止，管线出问题最大的一个原因是施工队没有遵守施工要求，或他们的判断力有待提高。减少管线事故最有效的方法是：
1．制定详细设计；
2．密切检查施工时执行设计情况，没有进行专门设计的细节是否符合正确的施工规范。
表9-1 引起蒸气团爆炸的泄漏源
|
泄漏源 |
事故数量 |
注释 |
|
运输罐 管线(包括阀门、法兰、视窗等) 泵 容器
安全阀或放空 排水阀 维修时出现错误 不明原因 总计 |
10 34 2 5
8 4 2 2 67 |
包括一架齐柏林飞艇 包括1个视窗，两条软背
包括一次内部爆炸，一次溢出和一次过热引起的事故 |
许多关于管线的出版物都把问题归结为疲劳或不适当的挠性。这没有太大益处，这就好比说物体的下落是由重力引起的一样。我们需要知道为什么会出现疲劳，为什么挠性不适当。为了防止事故的发生，我们应当改进设计、施工、操作、维护、检查或其它什么事情吗？下列事故的发生和其它一些事情说明，改进工作应该在设计／施工的结合处。即，我们应当把重点放在设计的细节上，跟踪这些设计细节的执行情况，当没有做出特殊设计时，应注意正确施工方法的执行情况。
9．1．1盲端(闭端)
盲端已经使许多管子出问题。许多石油产品中都含有微量的水，这部分水在管子的盲端集中，结冰后把管子胀裂。或者是腐蚀性的物质溶解在水里腐蚀管线。
例如，有一根直径12in的盲管长3m，接在操作压力为550psi(3．8MPa)(表)的天然气管线上。水和杂质聚积在盲端，盲管受到腐蚀后漏了。泄出的气体立刻被引燃，查找泄漏点的3个人死亡。
在加盲板的管子的侧面还有其它种类的盲端。因为有危险，很少使用加阀门的支管，加热炉(图9-1)的进料线上装有永久性的用于烧焦的蒸汽接口。
接口在进料线的底部，蒸汽线不能太靠近进料线。水聚积在蒸汽阀的上面，天冷时结冰把管子胀裂，泄漏出压力为450psi(3.0MPa)(表)的油。
如果必须加盲管，应该装在主管线的上部(除非主管线里的液体比水更重)。
为了支撑仪表(图9-2)，在主管线上焊了一根不同于一般的，也是没有必要的2in长的盲管。水聚积在支撑管里，四年后工艺管线被腐蚀穿了，发生液化气泄漏。
因为盲管里的水被突然汽化，管子出了严重的问题。重油装在安装有蒸汽盘管的罐里，当加热到120~C脱水时，重油循环。插到圆锥形底部的人口管线形成盲端，如图9-3所示。
只要保持循环泵运行，水就不会滞留在旨端。领班知道必须保持泵运行，然而当他被调到另一个厂时，其他人却都不知道这一要求，人们只在倒空罐时才使用这台泵。
这样工作令人满意地进行了一段时间，直到水在盲端聚积，当油被加热时，水也逐渐升温。当温度达到100℃时，水剧烈蒸发，设备爆裂。漏出的油着火，造成5人死亡，罐体竖在工厂的下一个门口。
这次事故说明了盲端的危险性和当水突然汽化时压力升高的危险性。也说明了当人员调动时多么容易失去知识。即使新的领班知道泵不能停下来，或者已经写在指示栏里，但可能会被忘记。循环泵可能还会停下来，因为这似乎没有必要，或为了省电。
12．2和12．4．5描述了因为水突然汽化所引起的其它事故。
与7．3．2讲述的情况类似，环氧乙烷(Eo)蒸馏塔中发生的爆炸性分解也许发生在塔底死区，因为在这儿聚积了铁锈和聚合催化剂。应当避免这样的死区。但是，很可能发生的事情是法兰泄漏，泄漏的物质着火，将塔的某一区域加热到自然分解温度以上。像在7．3．2中讲述的那样，泄漏物着火的原因可能是与保温材料发生反应。如果法兰容易泄漏，或后果很严重时，这样的法兰不应当保温。
民用供水系统里的死区能提供细菌滋生的场所，可能发生Legionnaires那样的灾难。
建筑物里的一些立式排水线不再使用，所以将它们断开，加上端帽，但是与下面水平的主排水线连通。端帽用胶带固定，但是不封水，似乎没有水流到管子里的通路。十五年后管子发生堵塞，水流回到不用的管线里，滴到配电箱里，电力供应全部中断，部分开关机构受损，无法修复。
9．1．2支撑不当
有些管线出问题是因为支撑物不够结实，管线能够自由振动。或是因为支撑物太强，管线不能自由膨胀。
(a) 有些小管径管线因为自由振动，发生疲劳而出现问题。这些管线的支撑物一般在现场配置，管线在开工前并不明显，直到开工后才能发现支撑物选用不当。因为忙于其它事情，开工队很容易忽略管线的振动，直到他们有更多的时间注意到这个问题。久而久之，他们对此习以为常，不再注意这些管线。
当小管径的管线吊着重物时，尤其容易发生振动和疲劳。一台新压缩机在开工30min后，因为这个原因，压力表脱落。
当设备受到与其固有振动频率一致的推动力推动时，振动加剧(共振)，使设备迅速损坏。一台控制阀安装了一根尺寸稍有不同的轴，改变了阀的固有振动频率与泵转动倍频一致而产生共振。三个月后，这根轴断了。即使轴尺寸变化很小，也属于动改。
(b) 图9-4图示说明一条快要断裂的管线。在一条高温管线上的膨胀弯头装有一个临时性的支撑，以使安装工作更容易进行。后来这个支撑物留在原处。幸好开工后有人注意到这个支撑物，并问它是干什么用的。
(c) 一条22in的主蒸汽管线出现裂纹后，管线的操作压力为250psi(1.7MPa)(表)，温度为365℃，人们对照设计图纸检查这条主管线，发现许多支撑物都有问题。下面是四个连续支撑物的情况：
1．1号支撑物的弹簧被完全压缩；
2．2号支撑物没有安装；
3．3号支撑物安装就位，但是没有接触到管线；
4．4号支撑物支撑管线，但是支撑杆端面的螺母松动。
12in(30.5cm)及以上的管线一般用于特殊的目的，比用较小口径的管线的安全系数低。使用这些大口径管线时，对完成的管网要进行仔细检查，证实施工满足设计要求，比用小口径管线更为重要。
(d) 一条管线焊到钢支架上，支架用螺栓固定到混凝土底座上。在两米远处又设有一个类似的支架，在正常的使用条件下，管线没有出问题。但是，当管线过热时，管线的一部分几乎是围绕着焊缝被撕下来，将支架固定到混凝土底座上的螺栓被拉弯。
一家公司的安全公告栏报告了这些事故，设计人员不予接受，他们说道：“我们的设计程序可防止这件事故的发生”。但是，不久后事故又发生了。一条回流管线被牢牢地固定在焊在蒸馏塔壳体上的支架上。在开工时，热塔和冷管线不同的热膨胀从塔上拉下一个支架。可燃气体泄漏，幸运的是没有着火。
(e) 一条l0in的管线输送300℃的热油，其下端接有一段3/4in的支管，支管离支撑管线的桁架5in。当管线投入使用后，膨胀足以使支管碰到桁架，使其折断。计算表明，支管的移动距离在6in以上。
(f) 在许多情况下，管线的吊架在着火的初期即已经断裂，支撑的管线倒塌，加剧了火势。因而，关键的管线应从下面支撑。
(g) 在一个用了30年的旧管桥上进行扩建，管桥上承载着输送可燃性气体和液体的管线。为了避免焊接，扩建部分用螺栓连接到旧管桥上，人们把连接面上的锈除去，在扩建部分上刷上油漆。水渗透到新旧油漆的缝隙中，产生锈蚀。
因为锈比产生锈的母材体积大，铁锈迫使两部分管桥分开——一种称之为铁锈千斤顶的现象(见16．3)。部分螺栓断裂后，造成蒸汽主管线断裂，幸好油气管线只是下垂。
(h) 十一条管径2～8in(50～200mm)的管线，输送烃类液体和气体，每隔6m用2．1m高如图9-5(a)所示的支架支撑。管线固定在两个支架上，放在其它的管架上，管线通过一个罐区，储罐之间的风使支撑物上部偏离竖直方向2°。在管道运行时应注意观察，但是没有任何人如此严肃地注意这件事。
当供电中断时，许多管线里的物流突然停止，这种巨大的涌动力使倾角增加到6°。支撑物顶部偏离中心线5in(125mm)，此时的支撑物不稳定。电力供应中断后llh，管道输送恢复3h后，一段23m长的管线倒塌，放出14t汽油。三小时后，又有管线倒塌。后来，管线支撑换成图9-5(b)的方式。
图9-5
9．1．3注水
用图9-6所示的简单方法将水注到石油中，在这点附近发生腐蚀，泄漏出的石油着火。腐蚀的速度远远超过每年0.05in(1.27mm)的允许范围。
图9-6注水——一种不合理的管线布置
图9-7 显示了一种更好的注水方法。管径的选择有利于将注水管拆下进行检查。
图9-7 注水——一种较好的管线布置方法
但是，这套系统并不十分坚固耐用。其中一种设计方法是将安装的注水管指向上流方向，而不是下游方向，这样做会增加腐蚀。
像在3．2．1中讨论的那样，在设计时应考虑在安装时很难，或不可能发生安装错误，或不正确的安装很容易被发现。
9．1．4波纹管
波纹管是一种设备，不允许有安装偏差，或偏离设计要求。因此，在线输送危险性的物质应避免使用波纹管。可以在管线上设计膨胀弯管。
2．4讲述了一件最大的波纹管事故(Flixborough)，图9-8显示了一起几乎出现的波纹管事故。
一个大型蒸馏塔分成两部分，用一条带波纹管的42in(1m)的蒸气管线连接。在停工期间，用蒸汽吹扫这条线。马上就有人发现波纹管的一端比另一端大了7in(17.8cm)，虽然设计的最大差值是3in(7.6cm)。有人随后又发现这条管线在设计时是用于正常操作的。但是，设计人员没有考虑非正常操作的情况，如开停工。
9．1．5水击
水击以两种完全不同的方式发生：当管线里的流体突然停止流动时，如快速关闭一个阀门；而气体管线里图9-8蒸馏塔两部分之的液体或蒸气的凝结物在气体的作用下开始运动时产生。后一种情况的发生是因为疏水阀太少，或疏水阀出故障或安装位置不对，凝结水在蒸汽主管线里聚积。在下列事故中，高压主蒸汽管线破裂。
(a) 一条10in(25．4em)的蒸汽主管线在600psi(4MPa)(表)的压力下使用，突然发生破裂，造成几名工人受伤。
这起事故发生在正常停工检修后，主蒸汽管线重新投入使用后不久。当压力升高后，蒸汽不流动。因为疏水阀泄漏，已经被隔离。人们想使用旁路阀将凝结水排出，但是蒸汽进到凝结水集合管中，如图9-9所示。然后凝结水在蒸汽主管线里聚集。
图9-9 被水击损坏的主蒸汽管线阀门布置图
当打开一个3/4in通向用汽装置的阀门时，蒸汽沿主蒸汽管线流动，凝结水的运动使主管线破裂。
(b) 图9-10说明另一条蒸汽主管线——这次是在20psi(0.14MPa)(表)压下操作——因水击而发生爆裂的情况。
两个排放点被堵塞，一个被隔断。此外，管径的变化容易造成凝结水聚集。在安装主蒸汽管线时，应考虑使底部平直，应在管线的上部改变管径。
(c) 一名操作员下到地坑里打开一个很少使用已经关了9个月的阀门。用8m长的拉杆没能将阀门打开。这个地坑被认为是受限的空间，所以应检测里面的气体，操作员戴着救援装备，另一个人站在外面看守。主管线阀门两侧都有压力，上游的压力为120psi(0.83MPa)，下游的压力为115psi(0.79MPa)，阀门下游一侧有疏水器，但上游没有。因为阀门处在系统的最低处，在阀门的上游一侧大约聚集了5t的凝结水。
这名操作员大约用了一两分钟的时间将阀门开到一半，几乎就在同时，支线(不用并且加上盲板)上一个6in(15.2cm)的铸铁阀因水击而破裂，发出巨大的响声。操作员从地坑中爬出，因身体烫伤面积达67％，不久后死去。图9-11解释了事故发生的机制。
这起事故本不应该发生(或没那么严重)，假如：
● 不用铸铁。铸铁很脆，不适于用来制造蒸汽阀门，蒸汽阀门总要受到水击的影响。
● 阀门的上游应该安装蒸汽疏水阀。
● 阀门应安装在更容易靠近的地方。
操作员应用更长的时间打开阀门。在以前的操作中，操作员打开这只阀门要用几个小时，甚至更长的时间，但是没有书面指示，值班的操作员没有受过培训，也没有接到指令。
● 所有的操作人员作为一个整体，应清楚地认识到蒸汽主管线水击的危险性。
有关因水击造成的其它事故见10．5．3。
图9-11 凝结水聚集在主蒸管线里，阀门被快速打开，凝结水的运动使另一只阀门破裂。
本图解释事故是如何发生
9．1．6其它管线事故
(a) 因为重复利用旧管线，已经造成许多事故。例如，一条3in(7.62cm)的在压力下输送可燃气体的管线上有一个长6in(15.24cm)，宽2in(5.08cm)的孔。
这条管线以前一直用来输送腐蚀性的介质，在重新使用前没有进行检查。
在另一种情况下，一条管线输送氢气和烃的混合物，操作压力为3600psi(25MPa)(表)，温度为350～400℃，发生爆裂，喷出的火焰长达30多米(图9-12)。幸好管线架在高处，没有人受伤。
图9-12利旧的管线蠕变受到损失
使用钢材的等级要满足操作条件。但是，调查结果表明这条管线已经在另一装置用了12年，使用温度为500℃，蠕变寿命已经快要到期。除非对旧管线的使用情况非常了解，试验证明旧管线可以适用，否则不能使用。
(b) 许多管线事故的发生是因为选用了错误的管线钢材等级。正确的等级通常已经做了规定，但将错误等级的钢材送到现场，或从管材库中拿了错误等级的钢材。
高压氨转换器出口管子用碳钢制造，而不是用1¼％Cr，0.5％Mo钢时，此类最明显的事故发生了，氢蚀将管子的弯头腐蚀了一个洞，氢气发生泄漏，反应产生的力将转换器推翻。
许多公司现在已经认为，如果使用错误等级的钢材会影响装置的完整性，在使用之前应检查所有使用钢材的组成，这也适用于法兰、螺栓、焊材、以及毛管。使用光谱分析仪能很容易分析钢材的组成。16．1讲述了其它一些因用错制造材料造成的事故。
(c) 为了加强管子的强度，将补强板焊到靠近支撑或支管处管壁上，已经造成几起事故。补强板和管壁之间的空隙不留空。例如，火炬主管倒塌，幸好应力被释放。管子补强板在焊接时使用断续焊，而不是连续焊，或在板上钻一个1/8in或1/4in的孔，补强板能泄漏。
(d) 腐蚀(内部或外部)经常引起断裂事故前的泄漏，但情况并不总是这样。
一条管线输送液化丁烯，操作压力约在30psi(0.2MPa)(表)，通过一个地坑，坑中安放着一些阀门。坑中存满了水，水受到酸的污染。管线受到腐蚀，发生少量泄漏。将管线倒空进行维修，用表压1lOpsi(0.75MPa)的水冲洗。这条管线的原设计是能够承受这个压力的，但是管线受到腐蚀后就不能承受这么高的压力了，阀门的阀盖被炸飞。操作员切断水源，丁烯从管线上的小孔流出。二十分钟后，丁烯发生爆炸，造成严重破坏。
(e) 一个1in(2.54cm)的短节和阀门从一条在350~(2下操作的石油管线被炸出。整个装置笼罩在油雾中，十五分钟后，油雾被引燃。这个短管约在20年以前安装，在施工期间进行压力试验。这个短节没有标在任何图上，操作人员不知道它的存在。如果他们知道，他们会用焊接的丝堵替换。类似的事故见7．1．5。
(f) 并不是所有的事故都是因为设计和施工不当引起的(例如，在1．5．2中讲述的那起事故)。因维护习惯不当几乎造成一起事故。一台便携手提式压缩空气研磨机留在两条在用管线的空间里，开关打在开的位置上。所以当压缩机启动后，研磨机就开始转动，将输送液化气管线磨去一部分。幸好在磨穿管线前被人们发现，及时将它拿走，但是管子的壁厚由原来的0.28in(0.7cm)减少到0.21in(0.5cm)。
(g) 图9-13显示一台反应器上部的管道。当管道冷却时，通向爆破盘支管里的任何液体被排出；当管道热时，液体留在支管中，使管道腐蚀并产生裂缝。
9．1．7法兰泄漏
法兰泄漏比9．1．1-9．1．6讲述的泄漏更常见，但泄漏量一般较小。在液化气和其它一些闪蒸液体管道中，在压缩石棉纤维(caf)垫片处应使用螺旋缠绕垫片，因为它们能将泄漏限制在非常小的量。两个螺栓之间的压缩石棉纤维垫片经常被炸出，造成大量泄漏。但是，用螺旋缠绕垫片就不会出现这种情况。
9．1．8灾难性事故
在1984年墨西哥市的着火和爆炸事故中，有500多人丧生，事故的起因就是管线破裂。管线破裂的原因不明，但管线也许承受了过高的压力。在同年的二月份，巴西圣保罗的Cubatao一条直径2n(0.6m)的汽油管线破裂，700t汽油蔓过一条沼泽地带，造成至少508人死亡，其中大多数是儿童。这些事故几乎没有引起公众的注意，像在博帕尔和墨西哥市的事故一样，情况似乎是允许贫民区在管道附近蔓延。管道架在沼泽地上的支架上。管道破裂的原因没有弄清楚，但据说管道被错误地提高了操作压力，管道上没有检测压力的方法。
9．2 压力容器事故
压力容器事故非常少见。报道的一些事故发生在压力试验期间，或者是在常规检查中发现裂纹。几乎没有发生过造成重大事故的泄漏。
低压储罐比压力容器更脆弱，因而它们更容易受到损坏。第五章中讲述了一些事故。
在下面的文章中讲述几起容器事故或几乎造成的事故——说明事故有可能发生。因爆炸起火造成的事故见8．1。
9．2．1通过优化设计或施工防止事故(和几乎造成的事故)
下述情况非常罕见。
(a) 气体通过氨装置多层式容器的泪孔泄漏。装置仍在生产中，但是通过观察，泄漏并没有加大。十天后容器破裂，造成严重损失。多层式容器由一个内壳层和II层覆盖层构成，每层都钻有一个泪孔。解体是因为管嘴附近的应力过大，在设计容器时，没有考虑到这一点。
事故报告是这样讲的：“我们在阅读了有关文献后相信，泄漏的气体只要能通过泪孔释放掉，就能安全地操作设备。我们访问了一些知识渊博的人，与他们讨论安全问题。他们一致支持我们的结论。但在爆炸事故发生后，对说话的确切内容和含义产生争论。从我们现在掌握的情况看，在发生类似的从泪孔泄漏情况时，将来没有什么方法，只能停止操作。
(b )由于反复的温度和压力循环造成的短周期疲劳，一套氨装置容器破裂。
(c) 丙烷球罐里的内部浮球松动。当储罐发生冒顶时，浮球留在通向安全阀的短管中，球在短管里面刚好合适。当球罐的温度上升时，压力的升高使球罐的直径(14m)增加了0.15m。当有人发现通行楼梯断裂松动时，注意到了直径的增加。
类似的事故发生在一台蒸汽罐中，这台罐用来从热的凝结物中分离蒸气。在这种情况下，操作员注意到压力已经上升到安全阀的设置点和停装置点。
如果使用浮球液位指示器，应比较球与容器顶部交管的尺寸。如果浮球能留在一条支管中，应用金属笼子保护支管，或使用其它的液位计。
(d) 有几台容器在靠近内部支撑环的地方出现故障，支撑环焊到容器上，幸好发生在压力试验期间。如果采用这种结构，应征求专家的意见。
(e) 正丁烷在0℃时沸腾，异丁烷在-12℃时沸腾。当空气的温度低于。0℃时，一台装有丁烷的容器被倒空，这可能造成局部真空，抽瘪容器，已经多次出现这种情况。用容器储存丁烷和其它沸点接近0℃的液化气体(例如丁二烯)时，设计的容器应该能承受一定的真空度。如果不能对现用的容器进行动改，那么应该用温度较高的丁烷循环，或用丙烷掺兑(但是在天气较热时，压力会升得太高，安全阀起跳)。
(f) 虽然我已经讲过压力容器事故很少发生，但是如果设计的容器不符合标准，情况就不是这样了。达文波特(Davenport)介绍了几起因制造问题造成的液化石油气(LPG)容器事故。1984年，在英国没有人知道在用的30%的LPG罐是由谁，什么时间，采用什么标准制造的。
(e) 一台34m3储存液态二氧化碳的储罐发生灾难性的事故，造成3人死亡，8人受伤，经济损失达2000万美元，三个月生产的产品化为乌有。造成事故的有关情况如下：
● 容器是从供货商处租来的，用户没有检查是否符合公司的标准。
● 供货商改装了容器，但加工水平很低。因为没有完全焊透，焊缝不结实；而且脆化，因为焊接表面用火炬切割后，在焊接以前没有进行打磨。
● 由于加热器出故障，容器的温度(设计温度为-29℃)因为汽化冷却降到-60℃(见10．5．2)；在这样低的温度下，碳钢变脆，也许会产生裂缝。
● 五周后，加热器再次出现故障，这次是在工作状态，罐里的压力升高。因为安全阀固定在容器的侧面，用一根内部管线接到罐顶的蒸气区(图9-14)，这是一种非常罕见的接法，如果采用这种接法，那么应该用一个管嘴填充放空(在填充期间)和泄压，结果安全阀没有打开。因为罐里的液体将安全阀冷却，大气中的潮气结成冰堵塞了安全阀，在尾管上没有排放孔(见10，2．4)。容器爆炸，大部分碎片落在附近的河里，碎片后来被从河里打捞出来。
图9-14运送液态二氧化碳的罐装卡车上安全阀和
管线不通寻常的布置方法(化学工程师协会供图)
安全阀被液体冷却，被大气中湿气凝结形成的冰堵塞
在这些事故发生后，一项调查发现，过去已经发生了11起其它事故，但是几乎没有或根本没有引起公众的注意。如果将这些事故公开，这起事故可以避免。这家公司撤换了所有不能承受低温的二氧化碳容器，换成不锈钢制造的容器。他们发现用比过去少75％的容器就能满足要求(见21．2．1)。在其它11起事故中有两起是因为制造容器的板没有做好焊后热处理。一旦容器被造好后，很难对热处理情况进行检查。规范没有要求进行晶粒结构显微镜检查，但是这种检查方法已经被推荐。
针对这起事故的主要推荐意见是：
● 租借的设备必须满足与其它设备同样的标准。
● 不能说：“因为我们执行了有关规定和工业标准，设备肯定是安全的。”这些设备也许已经过期，不能再用了。
● 将事故的真相公开，能防止事故的再次发生。
(h) 设计人员有时鼓动使用二手设备，因为它们便宜，可以马上投入使用。像在9．1．6(s)中使用的管线，只有当设计人员知道容器的压力资料(包括规范)，对容器进行检查，材料专家认为能满足新用途要求时，才能使用二手容器。预防措施尤其重要(1)当容器用于危险性物质时，(2)压力高于大气压力时，(3)温度高于或低于大气温度时。
有一天我正在厂里上班，在吃午饭的时，我听到总会计师问一位维修工程师，是否能给他一根旧绳子，为他的女儿做一个秋千。维修工程师拒绝了，他说他对绳子的使用情况不了解(我知道在有些公司，一段新绳子可能被认为是废料。)
一台离心分离机要售出，检查时发现离心机的转简坏了，用焊接的方法修复工作由承包商，而不是制造厂完成。
旧的容器也许不像第一印象那样便宜。管嘴和人孔的位置经常不合适，改动所产生的费用也许使容器比新的更贵。被说服使用旧圆柱型压力容器的设计人员最终用了两个穹窿形的端面，没有采取其它措施。
吝啬能带来惨痛的后果，例如在利用旧的有耳垫圈、开口销和管线时(见16．1h)。
(i) 多注意观察能防止事故的发生。一名焊工按要求将一片法兰焊到一台新容器的管嘴上，他发现将管嘴焊到容器焊缝上是不符合标准的。通过检查，在这台容器上又发现了另外七个这样的管嘴，在其它容器上的几条焊缝是同时完成的，没有焊透的焊缝占总焊缝长度的10%～40%。
9．2．2 通过认真操作能避免的事故
9．2．1(a)中所讲的事故可归到通过认真操作设备就能防止发生的一类事故中。
(a) 像在5．3中所讲的那样，低压容器经常被抽瘪。如果压力容器在设计时不考虑负压问题，也可能被抽瘪，如下列事故所示。
一台吹扫罐在不用后被隔离，卸下排放线，插入吹灰枪，用蒸汽吹扫。凝结物从同一出口排出。凝结物被隔离，45rain后关闭排放阀。15nfln后，这台罐瘪了。很明显，45min不足以使所有的蒸汽凝结。
(b) 承包商将一台多余的压力容器安装就位，准备在常压下使用前做压力试验。他们没有找到与容器匹配的供水软管，所以决定用压缩空气进行压力试验。在压力达到25psi(0.17MPa)(表)前，容器破了。有关人员很可能没有很好地理解在正常情况下，用水做压力试验和在远远低于压力试验压力的情况下，所进行的泄漏试验之间的区别。这起事故说明有必要确定承包商的作业范围，并对承包商的雇员进行解释。
2．2(a)中讲述了另一起压力容器破裂的事故，事故的原因是因为放空管线被堵塞。
(c) 一台容器的设计压力为5psi(30kPa)(表)，并用破坏盘保护，在用压缩空气倒空时，告诉操作员压力不能超过5psi，操作员没有遵从。结果容器爆炸了，将腐蚀性的化学物质喷到身上。破坏盘下面的阀门关着，也许关了一段时间。
在容器和破坏盘之间安装阀门是一种不良做法(在有些国家是非法的)。安装阀门的目的是防止破坏盘破裂后和更换破坏盘时气体窜到装置里。如果需要隔离，一种更好的方法是安装两个破坏盘。如果将气体的压力限制到容器的设计压力，也许不足以克服摩擦力和海拔高度的变化。
与这些事故有关的另一件事故是，负责装置操作的操作员只在这套装置干了七个月，就在这段时间里，他因为不注意安全和操作，受到五次警告。但是，事故不是由于操作员缺乏责任心造成的，而是因为设计不合理。在打开或关闭阀门时，将阀门关闭是迟早的事，因为设计和操作允许这么做(参见1．1有关维护时的隔离内容)。
(d) 液位控制器故障能使高压气体进人储罐，将罐撑破(见5．2．2c)。压力容器也会因此而破裂。有这样一种情况，表压在2200psi(15MPa)的气体窜到设计压力为150psi(1MPa)的容器里。有几台容器重达2t，落在lkm以外。此外，传向两个断路阀的信号被隔断。如果正常的控制系统出问题(近年我们应预料的事情)，惟一的保护是靠操作员的快速反应。
(e) 因为压力升高，一台反应器过压。在外观检查时，没有发现问题，所以又将反应器投入使用。8周后，因为反应失控，反应器再次过压，这次发生灾难性的爆炸。通过彻底检查，人们发现在第一次过压时，反应器已经损坏了。(控制仪表受到损坏，导致第二次反应失控)。如果设备超出了它的设计和试验范围，在经过材料专家检查前是不能使用的。
9．2．3气瓶
气瓶也发生过一些事故，典型的情况如下。
(a) 一名技师在搬运表压为600psi(4MPa)的氮气瓶(与其它一些较重的气体放在一起)时，偶然动了阀门控制杆，气瓶倒在地上，阀门被撞掉。这支气瓶变成空中飞行物，撞到6m高的平台，穿过金属板墙，进到一幢建筑物里，穿过15m高的房顶出去，又穿过房顶出来，落在离这次“旅程”出发点40m外的地方，非常幸运，没有人受伤。错误有四点：
● 在移动气瓶前，应卸下操作杆；
● 防止意外操作的安全销没有装上；
● 阀门上没有保护帽，因为这种特殊的设计不是用于加保护帽；
● 搬动气瓶时，应使用气瓶车，不能用手。
(b) 有几起事故是因为加料过量。例如，在称重六氟化铀时，同时也在加料。装满六氟化铀的气瓶和气瓶车都在装满称重物的称上。其中一个气瓶更长一些，结果搭在一个车轮上，支在地上。当操作员发现时，就移动气瓶，气瓶的重量已超出了称的量程。操作员想用负压的方法撤去一些六氟化铀，但是没有成功，也许是因为一部分六氟化铀已经固化。操作员和他的领班将气瓶运到加热室里加热气瓶。六氟化铀受热膨胀，两个小时后，气瓶破裂。因受到溢出气体的伤害，造成一人死亡，多人受伤，在这些事故中，有多处失误：
● 一名操作员向大于加料设备设计能力的气瓶加料；
● 正常的加料范围接近称的量程，所以向气瓶加料过量，就无法称出重量；
● 当发生加料过量时，没有倒出设备；
● 虽然加热加料过量的气瓶违反公司的规定，但操作员和他的领班并不知道，也许是没有理解制订规则的原卧。
(c) 一个氯气气瓶立放了8个月，接到一个调节器上。阀门生锈了，从外观上看，阀门关得很严，实际上没有。当有人断开调节器时，气体喷到他的脸上。他和其他三名在屋里的人同时被送进医院治疗。
有时，环形主管线上所有的阀门都被关闭，泵的压力上升到危险程度。没有人认识到这种状态有什么错误。
——1916年发生在一个英国气体厂，
Norman Swindin，《户外转动工程》
有关贮罐、烟囱、管线和压力容器的事故已经在第五，六和九章中进行了讨论。本章讲述一些其它设备发生的事故。
10．1 离心机
因为通人的氮气量不足以实现氮气隔离，在用离心机处理可燃溶剂时发生了一些爆炸事故，有些还很严重。
在一起事故中，离心分离机机体和驱动室之间的盖板被抬起，氮气流量不足以防止空气流入，结果发生爆炸，两人被炸死。点火源可能是驱动皮带轮产生的火花，驱动皮带轮滑动，卡在一起。实际的引火源并不重要，在有运动部件的设备里，像离心机，引火源随时都能出现。
在另一起事故里，氮气的流量太小。为了保持氧气的含量在安全水平以下，氮气的需要量应在150L/min(5ft3/min)，但氮气线上的转子流量计的量程只有0～60L/min(0～2ft3/min)。
对于所有处理可燃溶液的离心机，应对氧气的含量进行连续测量。最少每班要用便携式分析仪检测一次。此外，氮气的流量应当充足，清晰可见，并定期读数。
上述意见适用于所有的使用氮封的设备，包括储罐(5．4)和烟囱(6．1)。但是对离心机尤其重要，因为引火源很容易出现。
有关离心机的另一个危险是如果转动方向发生错误，减振器会损坏转鼓，所以要保证此类情况不发生比使用泵更重要。
一台离心机用2～3m外的液压油驱动，从冷却器漏出的油被引燃，油、产品溢出物和电缆的塑料层使火蔓延。大火烧毁了离心机和出口斜槽之间的塑料密封，斜槽发生爆炸，与斜槽连接的干燥器发生闪燃。离心机的出口阀被关闭，但是铝阀的执行器被毁坏。幸运的是出口阀没有发生泄漏，否则数吨的可燃溶剂将会被加到火里。铝不适于用来制造可能会暴露在火中的设备。
10．2 泵
10．2．1泵出故障的原因
泵出故障的主要原因(通常伴随着泄漏)有：
(a) 改变操作温度或压力或液体的组成使腐蚀增加。诸如此类的变化都属于改动，所以在做这样的改动前，应对其影响做出评估，见第2章进行的讨论。
(b) 安装或修理没有正确，尤其是在安装轴承和密封时。安装管件不正确会产生很大的扭曲力，有时管子沿相反的方向转动。
(c) 没有正确维护，像在排出所有的空气前启动泵；当出口阀开着，人口阀关着时启动泵；当有阻塞或不知滤网放在何处时，或者不注意润滑时启动泵。
(d) 生产问题：应对新泵进行彻底检查，确保泵订货准确无误，制造材质符合要求规定。
10．2．2泵出现故障的类型
泵的最大危险是密封出问题，有时轴承出故障带来的结果是大量泄漏出可燃的、有毒的、或腐蚀性物质。通常不可能走近泵去关闭泵的出口和入口阀。有些公司按7．1．1讨论的方法在泵的入口线上安装了遥控紧急切断阀(有时也安装在泵的出口线上)。如果不定期进行检查，出口线上的止回阀(不可逆向阀)也可用做紧急切断阀。
泵出事故的另一个常见的原因是憋泵，即关闭泵的出口阀使泵运行。这样做
会引起温度升高，损坏泵的密封，接下来就会发生泄漏。当泵里的物质在高温下分解时，已经引起了爆炸事故的发生。在一次事故中，含有油饱和蒸气的空气被封在管件里，这部分空气被压缩后温度上升超过了液体的自燃温度发生爆炸——柴油机效应。
加压泵通常装有安全阀，除非工艺材料如果太热可能发生爆炸，离心机一般不装安全阀。作为安全阀的替代装置，这些泵可以安装高温跳闸装置，用来切断电源，也可以用回油线。回油线是小管径的管线，或装有限流孔板的管线，从出口管线接回到入口管。管径或孔板的选择只保证通过足够的液体，防止泵过热。小管径的管子比限流孔板好，因为它们很容易拆除。
能自动启动的泵，如果不需要启动时启动了，泵将会空转，温度升高，这样的泵应该安装一台安全阀，或刚刚介绍的另一种装置。
关闭泵的出人口阀门，用遥控的方法启动泵，泵破裂了，碎片散落在半径20m的范围内。如果必须用遥控的方法，需要采用某种形式的联锁，防止类似事故的发生。当泵在出口阀几乎关闭的情况下运行时，就会过热。有这样一起事故，用一台流量为10t/h的泵输送1/4t/h的量，只好关小出口阀，泵的温度升得太高，泵体连接处破裂，输送物体泄漏出来，发生火灾。
如果输送量比泵的额定值小得多，应该使用回油管路。
因为缺少润滑，许多轴承出问题，发生了泄漏事故。有时，操作员不注意泵的润滑问题。有一起事故是因为润滑油里有水造成的。轴承故障可产生火花，引燃附近的油性残留物。在露天润滑油储存区的油桶是敞开的，所以雨水可以流进去。这是一个高技术产品(轴承和密封设计)只是由于没有注意小事情丽被损坏的例子。
泵比起其它设备来，更需要在线停用时的维护。由于没有将维修中的泵与运行设备很好地隔离开，已经引发了许多事故，见1．1。
10．3 空气冷却器
泵泄漏引起火灾。在泵的上方有一排空气冷却器。泵的人口管线上有一台紧急切断阀，着火后不久，阀门就关闭了，但不是在风机风扇损坏以前。把风扇(或任何其它设备)放在泵或其它一些易发生泄漏的设备上面是不合适的。
在其它几种情况下，风扇产生的气流使火势更旺。因为停止按钮离火太近，所以无法使风扇停下来。停止按钮应安装(或复加)在10m以外。
空气冷却器的另一个危险是，即使电机已经被隔开，在维修时，气流仍会使风扇转动。所以维修风扇或在附近作业时，应防止风扇转动。
10．4 安全阀
因为安全阀本身故障引发的事故很少。当因为不能泄压，设备受到损坏时，人们通常会发现安全阀(或其它泄压设备)已经被隔离(见9．2．2c)、被装错(见3．2．1e)，或受其它因素的影响(见9．2，1)。下列事故是有关安全阀的外围设备，而不是关于安全阀本身的。
10．4．1位置
加热炉受到人口管线上安全阀的保护(图10-1)。加热炉后部的阻力增加，安全阀起跳，大部分物质泄出。炉管中的流量降得太低，以至炉管过热发生破裂。低流量切断装置应该切断向加热炉的供燃料，但是它没有动作，因为流过它的量是正常的。
安全阀应放在加热炉的后面，或者如果不可能，应加在低流量切断装置的前面。安放安全阀时容易被忽视的另一点是，大多数安全阀应该立式安装，而不应该平着安装。
10．4．2安全阀编号登记
所有的公司都应该对安全阀进行编号登记。每隔一定的时间应对安全阀逐一进行校验(每隔一、两年)，如果没有经过计算，或适当的授权不能改变安全阀的尺寸。
可是由于没有对下列事项进行登记，设备一直过压。因为它们不明显属于泄压设备或泄压系统的一部分。
(a) 通气孔或敞开的放空管——可能是最小的泄压装置。2，2介绍了因为把容器上的放空孔从6in(15cm)改小到3in(7cm)，造成两人死亡的事故。
(b) 限制容器流量或热量的限流孔板，如果影响容器安全阀的选型，那么也要进行登记。限制板很难拆除。最好选用小口径的短管。
(c) 限制容器流量或热量的控制阀，如果影响容器安全阀的选型，那么也要进行登记。应该对控制阀的记录单或数据录入做出标识，显示如果没有检查安全阀的适用情况，不能改变控制阀的外观尺寸。
(d) 如果止回阀出故障使安全系数不够大，那么也要对安全阀进行登记和不定期检查。如果止回阀组成泄压系统的一部分，那么在系统中应该使用两只不同型号的安全阀。
10．4．3更换安全阀
有些容器装有两台同样尺寸的安全阀，以便装置在线使用时对其中一只进行更换。在安全阀的装置一侧，在每只安全阀的下面通常装有隔断阀，并被联锁，以便一只安全阀永远对装置是打开的(见图10-2)。如果安全阀向火炬排放，那么在火炬一侧一般不安装隔断阀。只需将替换的安全阀卸下，在吸进足量的空气发生爆炸以前，快速在火炬集合管的端面装上“8”字盲板。随后拆下“8”字盲板，换上安全阀。
在一家工厂里，一名装配工卸下安全阀后，没有装“8”字盲板就去吃午饭。当爆炸发生时，他回来了。他没有被爆炸伤，但是在逃离时从管子滑下来受轻伤。
在卸下安全阀以前，如果操作员确保装置运行平稳，将要卸下的安全阀或其它的安全阀不会起跳，那么卸下安全阀和加装“8”字盲板是令人满意的。这些指导方法会随着时间的流逝发生变化。这种情况在一个装置里出现过。操作员完全知道空气可能进入火炬系统。他们也知道刚刚说过的事故，但是他们没有意识到油会流出来。当换一只8in(20cm)的安全阀时，另一只安全阀起跳了，汽油从开口端流出，但是没有着火。
调查的结果是作业人员正忙于主装置，一名副领班被叫来换安全阀，因为有起重设备，他就开始工作了。
当装置在线使用时，换安全阀最好的方式是使用图10-3所示的密封板。
只留下两个连接安全阀和火炬集合管的螺栓，其它的都卸了。在安全阀和火炬集合管之间插入密封板，一种特殊的螺栓可保证其安全，这种螺栓的头较小，可以穿过安全阀的螺栓孔，但是不能穿过密封板上的螺栓孔。拆下最后两支螺栓后，将安全阀卸下。要替换安全阀，步骤相反。
推荐的这套系统用来更换直径大于4in．(10em)的在线安全阀。
火炬线上不能用普通的插人式“8”字盲板，因为出错时可能将“8”字盲板留在原处。当换完安全阀后，不能将密封板留下。当更换安全阀时，必须注意保证所换的安全阀准确无误。6．1(d)讲述了当火炬线断裂时发生的另一起事故。内部尺寸不同的安全阀看起来很相像(见1．2．4)。
10．4．4尾管
图10-4显示了由于蒸汽安全阀尾管支撑不当发生的情况。尾管上没有排水孔(或如果有也太小)，里面充满了水。当安全阀起跳时，水对尾管曲颈的冲击力很大。9．2．1(s)讲述了另一起因在尾管上没有排水管所引起的事故。
在另一起事故里，即使安全阀向火炬系统排放，也安装了排凝？L，气体却漏到装置区。在许多情况下，安全阀的进口管没有很好支撑，下垂后暴露到火上，限制了安全阀的排放。
图10-4 这根安全阀的尾管没有很好支撑
10．4．5安全阀
下面是几个安全阀本身出问题的例子。这不属于设计错误带来的后果，而是维护不当造成的，从下面的情况可以看出：
1．在弹簧上打标识号，因而使弹簧弱化(图10-5)；
2．为了安装，打磨弹簧的两侧；
3．弹簧受到腐蚀；
4．为了保持受到腐蚀弹簧的强度，在中间加一根小弹簧。有时，第二根弹簧像第一根弹簧一样受损，两根弹簧缠绕在一起(图10-6)；
5．使用垫片保持弹簧强度；
6．将弹簧焊到端帽上(图10-7)；
7．为了顶住阀门，故意将杆弯曲(图10-8)；
8．在设定压力下，密集的弹簧圈数使阀门即使起跳，距离也很小(图10-9)。
不能假设这些事情在贵公司不会发生(除非你已经在安全阀车间呆过一段时间)。所有的安全阀都应进行定期试验和检查。参考资料3介绍了典型的设备和程序。当一家大型公司引进一套试验程序时，被试验结果震撼：对187只阀门进行试验，有23只因为泄漏或弹簧断裂不能试验，74只在10%的设定压力下不能打开，即其中有一多半不能按要求使用。
当然，试验应进行得很彻底。下面用调查锅炉爆炸事故的检查人员和维修负责人之间的对话来说明一次事故)。
调查人员：上次对安全阀的检查是什么时间？
负责人：上一次大检修之后。
调查人员：怎样进行的检查？
负责人：我亲自设定阀门，使用锅炉体自身的压力表。
调查人员：你为什么不用标准压力表？
负责人：没有必要，两周前刚对压力表进行了检查，很精确。
调查人员：谁检查的？
负责人：x先生，我的一名安装人虽，过去一直由他来做这项工作。
检查人虽然后与x先生进行谈话。
调查人员：我了解到你在爆炸两周前检查了压力表。
x先生：是的，负责人要我做的。
调查人员：你使用的标准压力表是什么时间校验的？
x先生：我没有使用。
调查人员：没有使用？那么你怎样检查压力表呢？
x先生：我参照安全阀检查的，我知道它是准确的，因为负责人告诉我他刚刚亲自调了安全阀。
这次事故发生在19世纪，那时锅炉爆炸比现在多得多。但是你能保证类似的事故现在再不会发生吗？在做出决定前，看看10．7．2(b)和(c)。
类似的事故不断出现在技术报告中。A在一本书或报告中写了一些东西，B不加证实地照搬过来，A然后又在一份报告里重复，引用B做为来源，这样，造成第一次事故缺乏一种真实性。
10．4．6泄放物的处理
从安全阀和破坏盘中排出的物质不能直接排人大气，除非：
● 排出物不产生有害的影响，如蒸汽、压缩空气或氮气。
● 排出物是一种压力足够高的可用喷射混合驱散的气体。有必要使用一种辅助操作阀，或者打开，或者关闭，不能是旋转式的。虽然用这种方式排放像乙烯和丙烷这样的气体是安全的，但是对地面有影响。
● 排放的量可以忽略，例如，保护隔离管线的安全阀。
● 断开和联锁系统使安全阀很少起跳，比如说，对于可燃性液体，每一千年少于一次。对于可燃性气体，每一百年少于一次。
● 只有在设备长时间暴露在火中时，安全阀才会起跳，并且，在火区内排放，以便排放物被点燃。
下面是一些使安全阀排放物排入大气后造成的结果：
● 石化装置一台6in(150mm)的安全阀向大气中排放苯蒸气。蒸气被加热炉引燃，发生爆炸，管线破裂后放出100多吨的各种可燃液体，造成一人死亡，损失惨重。
● 1976年在意大利的Seveso，因反应失控，反应物包括二氧杂芑(一种有毒的化学品)从反应器里通过破坏盘排人大气。虽然没有人员死亡，但是许多人得了氯痤疮(一种很难受的皮肤病)，使大约17000m2的区域不适于居住。泄放装置后面的集液罐防止反应器里的物质排人大气，虽然在其它厂已经发生了反应失控事故，因为设计人员没有预见到反应会失控，所以没有安装集液罐(见21．2．5)。
● 英国一家城镇瓦斯厂的安全阀排出的石脑油蒸气被火炬烟囱点燃，火焰烧到石脑油管线上，管线破裂后，引发第二次大火。
● 安全阀排出的液体喷到一名过往操作员的脸上，力量之大，把他的护目镜都打飞了。
● 常压下，往一台上部敞开的容器里倒浓硫酸。当反应失控时，酸向周围溅出。
● 因为水是干净的，所以一些水压机上的破坏盘可以向室内排放。可是，当排放物流过几层楼，流到地下室里时，就会溶解楼层地面上的一些固体物质，变得有害。由于一些不明原因，在有些情况下，破坏盘会出问题。可能的原因是振动、锤压和低循环疲劳。
尽管我已经提出忠告，如果你仍让泄放装置向大气排放，要保证如果排放物被引燃，火焰不会烧到其它设备，也不会烧到入。
10．4．7负压安全阀
一些大型设备虽然被设计承受压力，但却不能承受负压，必须安装负压安全阀。这些设备通常可接纳来自大气的空气。如果设备里装有可燃气体或空气，那么爆炸带来的后果比设备倒塌更严重。经验表明即使我们已经试图消除了所有的引火源，引火源仍然存在(见5．4)。因而，我们应当保护不能承受负压的设备，
使用的方法是通人氮气，如果没有氮气，可以通人像燃料气这样的其它气体，气体的需要量也许很大。例如，如果向一个大型炼油厂蒸馏塔输送的热量停止了，
而冷凝继续进行，将需要8000m3几的气体，相当于整个炼厂的用量。少量的气体做为替代物加到冷凝器的入口，使其封存，停止热传递。当然，最简单的方法是设计设备承受负压。
5．3和5．4讨论了储罐负压保护问题。
10．5 换热器
10．5．1泄漏到蒸汽和水管线里
碳氢化合物可以通过换热器泄漏到蒸汽或冷凝系统中，也可能出现在无法预测的地方。有些碳氢化合物泄漏到蒸汽管线里，该蒸汽管线向控制室地下室的散热器供热。放出的气体发生爆炸，炸死两人。室内的操作员已经嗅到了气体，但是认为是通过通风系统进来的，所以他关掉了通风扇。控制传动装置是普通的工业装置，不适用于可燃气体，火花引燃气体，所幸的是伤亡人数不多，因为楼内的人多为管理人员和操作员。
另一台换热器泄漏的可燃气体进入冷却水*线。气体被正在冷却塔里进行的焊接作业引燃。虽然作业前检测了气体，但是在5h以前检测的(见1．3．2)。
10．5．2由于冷凝物蒸发产生的泄漏
如果液化气体的压力降低，有一部分液体将会气化，剩余液体的温度将会降得更低。所有的制冷厂(家用或工业用)都利用这个原理。这种冷却方法以两种方式影响设备：使设备变得如此得冷，以至于金属变脆破裂，如8，3和10．5．2(g)所述；能使换热器另一侧的水，或甚至蒸汽冻结，使一根或多根管子破裂。引起控制室爆炸的泄漏(见上一节)就是由于这种原因引起的。
图10-10表示另一起事故。当一套装置停工时，隔断了换热器管束里的冷水流。壳程里丙烯由于压力下降，温度变得更低。管子里的水冻结，断裂七根螺栓。操作员看到冷却器外面有冰形成，但是没意识到危险，所以没有采取措施。当装置再次开工时，丙烯进入冷却水系统。一段16in(400mm)的管线被压爆，漏出的气体被40m外的加热炉引燃，这次火灾造成严重损失。
压力降低可使液化的气体汽化变冷，可以冻结管子里的水。
当装置卸压时，应保持冷却水流动。假如卸压工作需要用十多分钟，这样做可以防止水结冰。
10．5．3水击造成的损坏
管线里的水击(液压撞击)已在9．1．5中进行了讨论，可损坏换热器，图10-11表示了这样一起事故。
蒸馏塔重沸器壳程的蒸汽中含水量很高，因为在供汽管线上只有一个疏水器(至少要安装三只)。此外，由于凝液收集罐里的液位只比重沸器的液位低1.4m，所以重沸器里凝水排出的速度很慢。
重沸器里装有一块保护管子的防冲板，也许是受到凝结水的不断冲击后脱落了。凝结水开始冲击管子，撞扁或撞断了30根管子。
以前防冲板也掉过几次，但只是用更结实的支撑重新装回去。当有东西掉下来时，应当查找原因，不应只是做得更牢固(见1．5．5)。
换热器里有凝结水可以带来操作上的问题，也会产生水击。如果蒸汽供应量受电动阀的控制，阀门没有完全打开，蒸汽的压力很低，不能将凝结水驱赶出来，液位会上升。这会减少热传递，最终供汽阀将会完全打开，以驱赶出凝结水。这种循环然后又会开始，温度反复升降对换热器和装置很不利，还会出现水击和腐蚀现象。现在已经有解决这些问题的设备。
10．5．4在维修时发生的一起事故
从卧式管壳式换热器里抽出管束。抽出几英寸后，感觉到管束卡得越来越紧。机修工认为里面有淤泥，为了使淤泥变软，他们将蒸汽线重新接到壳程上。管束借力被吹出，造成严重损坏。
10．6 冷却塔
这方面事故数量大得令人吃惊；10．5．1讲述的事故是其中之一。干燥的木制填料很容易着火，许多冷却塔在关闭后着火。例如，必须对一台强制通风扇的支架进行焊接修理，在下面放了一块铁板接住落下的火星，但是这块板不够大，有一部分火星落到冷却塔里，引燃了填料。
金属加强杆受到腐蚀使混凝土掉到冷却塔的角落里。
一座大型自然通风冷却塔在风速70mile/h(110km/h)时坍塌了，其原因可能是塔的形状存在缺陷，导致塔受到的应力比设计值大，产生弯曲坍塌。
俄罗斯一家高温分解气体厂发生爆炸，将一座冷却塔破坏。冷却塔倒在行政管理街区，造成162人死亡。许多人没有将办公室建在生产厂附近，而是建在冷却塔附近，认为那样更安全。这种做法是否明智，值得怀疑。
10．7 加热炉
10．7．1点炉子时发生爆炸
点炉子时发生的爆炸事故很多。下面所讲的两起关于加热炉的事故发生在几年以前，点加热炉时使用简单的手动点火系统，但是说明了点加热炉时，无论手动，还是自动都应遵循的原则。
(a) 一名领班用可燃气体检测仪检测了加热炉(图10-12)内的气体。没有测出可燃气体，所以就拆除了“8”字盲板。两分钟后，插入点火棒，发生爆炸事故。领班和另一个人被飞起的砖击中，炉砖受到严重破坏。
入口阀泄漏，在卸下盲板后的两分钟里，向加热炉里泄漏了足以引起爆炸的燃料气。(假设泄漏相当于1.6mm的孔燃料气的表压为5psi(34kPa)。计算表明在两分钟里，80L(3ft3)的燃料气漏到加热炉里。如果这部分燃料在0.01s内燃烧，爆炸输出的功率为100MW)。
正确点燃烧气体或烧轻油加热炉(冷或热)的方法是，先将燃料线隔离，比如加“8”字盲板。其它的隔离方法是断开软管连接，用水(如果燃料是低压瓦斯气)、双隔断阀和双排放阀封闭，仅关闭不带排放的阀门是不够的。然后：
1．检测炉内的气体。
2．如果没有可燃气体，点燃点火棒，然后插到炉子里(或打开点火器)。
3．卸下“8”字盲板(或接上软管、排出封闭物、对调双隔断阀和排放阀)。如果隔断阀发生泄漏，漏出的燃料可被点火棒或电点火器在形成爆炸混合物以前点燃。(当插入点火棒或打开电点火器时，图10—12里的电磁阀应自动打开。如果没有自动打开，应将其保持打开，直至主燃烧器被点燃)。
4．打开燃料气隔断阀。
在隔断阀发生泄漏和发生爆炸以前的许多年里，这台炉子的点火方式一直不正确。决不能说：“那一定是安全的，因为多年来我们一直这么点炉子，从没有出过事故。”
对于多燃烧器炉子存在这样的可能性，如果两个燃烧器离得很近，后一个燃烧器可用前一个点燃。如果不是这种情况，应该遵循上述操作步骤。由于操作员认为燃烧器能被相邻的引燃，多燃烧器炉的爆炸事故一直不断出现。
(b) 如果燃料油的压力降低，燃油加热炉的燃烧器会熄灭。火焰故障装置关闭燃料油管线上的电磁阀(图10-13)。操作员关闭两支手动隔断阀，打开两阀之间的排放阀。(三只阀门组相当于图10-12所示的“8”字盲板)。当燃料油的压力恢复后，领班用可燃气体检测器测炉内的气体。没有可燃气体，他就将点燃的点火器插到加热炉里，燃料油仍然被隔断，但是爆炸发生了。领班被烧伤，所幸的是伤势不重。
当燃烧器熄灭时，关闭电磁阀需要几秒种的时间，就在这段时间里，有些油流到加热炉里。此外，加热炉和最后一只阀门之间的管线向加热炉排放。燃料油的闪点是65℃，这个温度太高，不能用可燃气体检测仪检测。即使燃料油被热的加热炉汽化，也会凝结在气体检测仪的取样管上，或凝结在探头周围的金属烧结物上。
在点燃油加热炉时，如果燃料油的闪点高于环境温度，应长时间吹扫加热炉，以确保没有燃烧的油被汽化。如果这样做耽误太长的时间，那么使用其它替代燃料的长明灯燃烧器应一直点着。
为了保持吹扫时间或净化时间尽可能短，应该关闭燃烧器的电磁阀，而且关闭速度要快。此外，电磁阀和燃烧器之间的管线不能向炉子里排放。像在上一次事故中，在爆炸发生前的许多年里，点燃加热炉的方法一直不正确。
要计算净化时间：
1．计算电磁阀和燃烧器之间的油量。
2．假设所有的油都已经排到加热炉里，并且汽化。计算可燃混合气体的体积，假设是在可燃下限，也许大约在5%(V)。(如果形成更富的混合物，体积将会少些)。
3．这个数值乘以4就可确定安全范围，用这个空气体积量吹扫加热炉。
10．7．2加热炉管破裂
(a) 热传导油在加热炉里加热。对流段里的炉管沿轴向破裂8in(200mm)，大火损坏其它三台加热炉。谁都不能将流到加热炉的热传导油停下来，因为管线上的阀门和泵的开关离加热炉太近。大火一直烧着，直到所有的油被烧尽。
炉管破裂的原因是由于为了追求最大的生产量，延长炉管的过热时间(虽然不是连续的)，炉管会发生蠕变。加热炉里没有足够数量的仪表测量炉管的温度(这一直是一个难题)，操作员不理解炉管的特性。炉管的设计寿命一般为10年，如果炉管过热，炉管寿命会降低。
例如，如果炉管设计温度是500℃，那么：
● 如果一直在506℃下使用，只能用6年；
● 如果一直在550％下使用，只能用3个月；
● 如果一直在635℃下使用，只能用20h。
如果炉管过热，可以过后对炉管进行仔细处理，但炉管再也不会像以前一样。如果我们将炉管加热到550％，比如说长达6周的时间，就用去一半的蠕变期，炉管在设计温度下大约五年后出问题。如果我们发现泵、换热器、蒸馏塔的处理量比设计值大，问题不大。但是这种情况发生在加热炉上，我们将来会遇上麻烦。
下面是火灾后所提出的一些推荐意见，可用于所有的加热炉。
● 设置位置好的观察孔(虽然在加热炉的对流段也会出问题，因为在该段用热的燃烧气加热炉管，但是大多数问题出现在辐射段，因为火焰直接烧到炉管上)。
● 安装炉管温度测量仪器(但是我们永远不能保证测到最高点的温度)。
● 对操作员进行加热炉原理培训。
● 在停工检修期间检查炉管的过热情况。
● 安装遥控紧急切断阀(见7．2．1)。
● 在远离加热炉处安装远距离停泵按钮。
● 建新装置时，循环泵应远离加热炉。
● 未经材料工程师的许可，不得使加热炉的处理能力高于设计值。
● 严格检查合同商的方案。
(b) 热传导油只在开工期间用加热炉加热，使反应器达到操作温度。开工期间很繁忙，操作员点燃加热炉后，忘记打开加热炉到反应器的阀门(我们经常出现的注意力不集中的例子之一，尤其是在很紧张时，见第三章)。在20～30min内，炉管破裂，火焰高达15m。
加热炉装有联锁系统，当炉管壁的温度和热传导油的压力过高时，这套系统会切断燃料供应。出事故时联锁没有动作，平时也没有试验或对其进行维护。管壁的高温联锁设置点远远高于原来的设置点，从433℃提高到870℃，一种简单的不使联锁起作用的方法。改变联锁设置点属于改动，只有当设备能够经受新的工况时才可以这样做(见第二章)。
在天气不寻常地寒冷期间，热传导油在加热炉管中凝结，一件类似的事故发生了。加热炉外管线有蒸汽伴热。开工队决定在低流量下点燃一支燃烧器将加热炉里油解冻。稍后，有人加大了燃料油的量，加热炉点燃一小时后，一根炉管破裂。当油冻结时，没有采取行动的指示，以前都是先点一个燃烧器，并且在当时的情况下都成功了。
(c) 一台给水泵向两台锅炉供水。备用泵也向另一套装置供水，当装置进行修理时，装置操作员将其隔离。他没有将这种情况告诉锅炉操作员(像在17．4中听讲述的事故)。
当在线的泵跳闸时，操作员忽略了报警信号，他认为备用泵会自动启动。两台锅炉中的小锅炉首先缺水，低水位跳闸装置将其关闭。操作员在匆忙中将其在线重新投用，没有注意到另一台锅炉发出的低水位和其它报警。不幸的是这台锅炉的断路系统没有起作用，因为在上一次检查时，接线发生错误。15～20min后，有人看见火焰从锅炉的烟囱中冒出，然后锅炉被手动关闭。到这时大部分炉管已经熔化了。
在允许加热炉冷却下来之后，作业队没有认识到损坏的范围，重新供水。当他们看到水从炉膛里流出时，又停止供水。幸运的是他们重新供水的时间不是很早，否则将会引起水蒸汽爆炸。像在9．2。2(e)中所述，设备超出其设计或试验范围使用后，应检查后再使用。
(d) 另一根炉管出问题的原因不同寻常。一根管子被送到车间外弯曲后，带着填砂送回厂里，又被焊到加热炉的出口线上。无疑，这根炉管过热，在开工期间就出现问题。
这根管子被送回厂里时带着警示，提醒人们注意管子里可能有砂子。但是，厂里的员工认为只有几粒砂子粘到管壁上，根本没有想到管子里充满了砂子。
14．2．3讲述了其它事故。
人们没有彻底清洗或测试容器或封闭的空间就盲从进入，结果造成伤亡事故。在美国每年大约有63人因此而死亡，其中约40人是救助者(见11．6)。本章讲述一些事故，在9．1．5(c)中讲述另外一些，其它有关氮气的事故在12．3中叙述。有时空的容器似乎比装满物料的容器更危险。
当准备进入容器时，应该遵守的程序细节见参考资料1和2。
11．1 含有害物质的容器
在这些事故中，隔离容器的方法是正确的，但留有有害物质。
(a) 容器被隔板分成两部分，现在必须拆除隔板。先将容器清干净，再进行检查，然后才允许一名工人进到容器的左半边拆除隔板，此时看不到右边的情况。因为容器的左半边已清干净，也没有测到可燃气体，所以假设容器的右半边也已经清干净了(图11-1)。当焊工在容器里时，右半边的一些沉积物着火，焊工逃了出来，没有受到伤害，但是匆忙中受到一些瘀伤。
如果没有对容器的另一部分进行检查，不能证明是安全的，那么我们应当假设容器里有危险物质。
如果以前存放的物质是可燃的，那么应认定在看不见的地方存在可燃物质。
如果以前存放的物质是有毒的，那么应认定在看不见的地方有一些有毒的物质，应该配戴空气面罩才能进入。
只进行气体检测还不能解决问题，也许容器里有淤泥，当受热或受到扰动时会放出气体。
(b) 用下例一些事故说明最新提请注意的事项。为了清洗一台油漆混合罐，人们使用二甲苯。这样只能清洗罐的侧面，底部的沉渣必须刮去。当一名工人做这项工作时，没有戴空气面罩，也没有救生索，他被二甲苯熏倒。二甲苯滞留在沉渣里，当受到扰动时释放出来。
一名工人用高压水枪清除罐里的沉渣时，被烟雾熏倒。当授权进入罐里作业时，没有人认识到沉渣受到扰动时会产生烟雾。
(c) 在允许进入罐里进行焊接作业后，领班注意到器壁上的沉积物，就刮下来一些进行试验，发现它能着火，作业许可证被撤消。
(d) 必须对罐里进行检查。这台罐里过去只存放过水，没有与其它设备连接，所以也就没有进行常规的试验。三个人进入罐体后就被熏倒了，其中两人恢复过来，另一名死亡。事后对罐里的气体进行分析，发现罐里氧气不足，其原因可能是生锈过程消耗了部分氧气。
5．3(d)讲述了类似的效应使储罐坍塌。虽然在正常情况下，生锈是一个很慢的过程，但在有些情况下，生锈的速度会加快。两名工人倒在一台蒸发器里，这台蒸发器里装有热而潮湿的氯化镁，其中一名工人后来死亡。随后的试验证明，氧气的含量在24h里下降到1%。其它的试验表明，当相对湿度从38%增加到52%时，腐蚀的速度增加十倍。
进入罐体没有捷径可走，必须遵守规定。参见11．6(b)。
(e) 可燃或有毒的液体滞留在搅拌器的轴承里，然后又流了出来。有这样一种情况，虽然为了进入容器，已将盖子打开17天，但一名工人在修理轴承时被熏倒了，因为他扰动了滞留的液体。在发放进入罐体的许可证时，应找出任何可能滞留液体的地方。隔断容器的“8”字盲板应尽量靠近容器，加在隔断阀的容器一侧。否则，液体可能滞留在“8”字盲板和阀门之间。见11．3(h)。
(f) 在有些情况下，一些没有经验的年轻工人在清洗储罐时被熏倒。例如，一名16岁的男孩在第一天上班时，所做的工作是用石蜡清除油罐。没有向他提供空气面罩和防护衣，也没有人监督。他倒在回家的路上。
(g) 一起类似于(a)的事故发生在装满用多皱和多孔的钢板制成的填料的蒸馏塔上。用热水和蒸汽清洗后，打开塔进行检查。发现填料最下段上面的分配器需要修理。当用气割割掉一根锈死的螺栓时，螺栓的一部分掉到填料里使其着火。填料被烧毁，必须更换3m的壳体。已知蒸馏塔里进行蒸馏的物质会发生聚合，但是由于压力降没有增加，顶部的填料看上去也很干净，所以才允许热工作业。如果无法判明有些东西是否干净，那么，就认为它是不干净的。
11．2 引入有害物质
有时，容器里的有害物质被清出后，又有意识地将其重新引人，请看下面的事故。
(a) 两名工人进人反应器，在进行着色试验检查焊缝时使用三氯乙烯。因为焊缝的长度达8m，这种溶剂不久就用完了。他们要求在入口的监护人员再去取一些来。反应器内工作继续进行，然而他离开了10min，当他回来时发现在反应器里的两个人已经被熏倒了。幸运的是他们被救出，不久就醒过来了。
当进行着色和其它工作时，带到容器里溶剂的量应受到限制，以保证当溶剂完全蒸发后，不超过安全浓度。例如，容器被强制通风时，容许最高浓度阈限值可使空气流入。
当有其他人在容器里时，在旁边的守护人员不能离开容器。
(b) 美国职业安全和卫生条例管理局(OSHA)报道了一起非常离奇的事例。当把一个轴承缩紧安装在轴上时，用软管向轴(在一个坑里)浇液化石油气，同时在坑上面的地面上用乙炔焰加热轴承。结果发生爆炸，造成人员一死两伤。
(c) 在同一篇OSHA的报告里也讲了其它几件致命的火灾和爆炸事故，事故的原因是在容器内壁刷油漆，有时喷油漆。在许多情况下，“理由”据说是不适于点火。在引火源可能突然出现的情况下，不能要求人员在有可燃气体的环境下作业。当有人在容器里时，可燃气体的浓度不能超过可燃下限的20％。有可能的话应对气体进行连续检测。其它火灾或爆炸事故的发生是由焊接设备泄漏引起的，通常被焊接作业引燃。在焊接作业前，应先检测气体情况。如果使用氧气，应检测氧气和可燃蒸气。
(d) 一台砖衬里的反应器，长5m，直径1.5m，需要进行修理。反应器清洗后，从装置上卸下，放在外面。反应器底部的管件和整个上部被拆下。在一端留下一个0.6m直径的孔，另一端全部敞开。此时的反应器只是一段一头被堵的粗管。一名工人钻到反应器里，用橡胶粘合剂填充砖之间的缝隙。
过去已多次用这种方法修理反应器，从没发生过事故。一天，天气很冷，所以将反应器放在室内。修理反应器的人员被烟雾熏倒，所幸的是当他被抬到外面时，不久就醒过来了。
(e) 一名承包商的雇员在用丙烷修理储罐的衬里时，丙烷着火，他被严重烧伤。引火源是没有保护的电灯，电灯是由业主提供的。业主和承包商都受到罚款。业主是一家大公司，受到的罚款是承包商的十倍。法官似乎认为提供没有受保护的电灯是一项主要的违法事件，允许人员在可燃气体氛围下作业是很严重的。因为即使我们已尽最大努力消除已知的火源，引火源仍然很容易突然出现，所以决不能允许这样做”(见5．4)。
(f) 一名电工在一个坑里工作，使用液化石油气瓶供料的火炬，液化气瓶放在坑的边上。软管相当短，所以电工把气瓶拉到坑里。接到气瓶后的软管破裂，员工被严重烧伤。许多事故的原因都是很简单。
11．3 未能与危险源隔离开的容器
在允许人员进入容器或其它受限空间以前，应将容器与危险物质源隔开。隔开的方法有插入“8”字盲板，或断开所有的管线，切断供电更好的方法是断开电缆。从大体上讲，人们似乎都遵守了这些预防措施。因隔离失败造成的事故比较少见，因没有将危险物质除干净，或像11．1和11．2介绍的那样有意识地将危险物质重新引人造成的事故更多些。下列是一些已经发生的典型事故。
(a) 将一台反应器隔离进行检修。当检修工作完成时，人们卸下“8”字盲板，准备开工。可是人们忽然想起还有其它的工作要做，所以派人进入容器，这时没有插入“8”字盲板，也没有做任何气体检测。爆炸事故造成两人死亡两人受伤。事后查明氢气通过泄漏的管子进入容器。
(b) 在同一篇报告里还有其它几起事故，由于腐蚀，蒸汽管出问题。当工人在坑里或其它空间受限的地方作业时，不能很快撤离。总得来讲，在允许人员进入空间受到限制的地方作业前，应先将蒸汽管线、加热盘管撤压并隔离”。
(c) 在有些事故里，当人们在容器里作业时，由于启动机器，造成一名现场人员伤亡。例如，在一家管线包覆厂，两名工人正在往2号机组上装新刀具。第三个人想启动另一台机组，但是他按错了按钮，2号机组启动了，造成一名工人死亡。作业前应该切断电源(见g条款)。
(d) 承包商正在一台小型储罐里安装加热盘管，储罐的直径为1.8m，长2.4m。人员从顶部的开口钻进去。有一条氮气管线接到罐上，氮气阀门在开口附近。当工作快完成时，一名工人单独钻进罐里。当人们发现他时，他已经死亡，氮气阀开着。事故发生的原因可能是，当他进罐时不小心将液位操作阀碰开。作业前应在氮气管线上加盲板或将氮气管线断开。报告指出，没有断开氮气管线的措施，而且没有将阀门锁定在关的位置。
(e)下面这起事故发生在1910年，但其教训仍然值得汲取。两个人进到一台旋转过滤器里。人口线被断开，反冲气体管线加上盲板，5in的出口阀被完全打开。两个人都受到气体的影响，但是他们通过人孔逃出来了。
液体通过出口阀接到另一台过滤器上，这台过滤器正在使用中。据信是从液体中放出的二氧化碳气体通过出口线进入正在检查的过滤器(图11-2)。试验表明“污染不足以妨碍蜡烛燃烧”。
当时的人孔比现在的小，如果有人失去知觉，救援工作很困难。在允许人员进入罐体或空间受限的地方时，总要事先想好如果有人失去知觉，如何进行救援。
(f) 45年后，在同一公司同样的事故又发生了，这次有一人死亡。当一名工人在锅炉里工作时，工艺负责人注意到另一台锅炉的水位太高。他要求操作员用排放阀降低水位，水被排到同一条排水线里。蒸汽从这条共用线进到正在进行维修的锅炉里。所有的管线都没有加盲板或断开，并且放空阀开着(图11-2)。
事故报告这样写道：“在以前，人们进入锅炉一直没有采取完全隔离措施，这似乎是在紧急情况下，人们为尽早将锅炉重新投入使用才开始这么做的，虽然他们也承认隔离这种锅炉所用的时间并不长(约一个半小时)。因为事情进行的很顺利，在其它情况下，甚至在事故不太严重时，也就沿用了这种工作程序。因而，人们渐渐地忘掉了正确工作程序的重要性。在不止一种情况下，如果锅炉装配工在场，并且他的能力很强时，人们就完全指望他和他的那两把钥匙。不幸的是，在这种情况下他的记忆让他付出了代价。锅炉的放空用一把特殊的钥匙来控制，钥匙上有个凸耳，当阀门打开时，钥匙取不出来。因而在理论上，两个放空阀同时打开是不可能的。可是这名装配工“拿着并警惕地守护着”一把没有凸耳的钥匙，他就是用这把钥匙打开了正在维修中的锅炉的放空阀。他忘记告诉工艺负责人他所做的工作，也忘记关闭这只阀门。“只要保持正确的隔离程序，这把钥匙几乎没有用处，但是一旦它被取出时，多余的那把钥匙就成为一个威胁，最终导致眼前悲剧的发生”。
任何只靠一把钥匙的系统很容易发生错误，因为要得到一把备用钥匙是很容易的。
(e) 两名工人按要求清除一台混合器，混合器里装有一套大型内置式混合叶片。在进入容器以前，像往常一样按下启动按钮，验证电源已经切断了。叶片并没有动，但是电源并没有切断，因为电源出了故障。开关合上后没有取下熔断器，当电源恢复正常后，混合器开始转动，这两个人被绞死了。
在对电器设备进行作业以前，检查启动按钮是最有效的检查方法，但它不能证明设备已经被隔离，因为供电可能中断。
(h) 一台罐的搅拌器装双端面密封，由一台小罐提供冲洗液，小罐使用氮封。当冲洗液漏掉后，氮气进入容器里，使氧气的含量降到15％，在容器里作业的一名工人感觉不适，幸运地是他马上出来了。在开始作业前，已经检测了容器里的气体，然后安装一台便携式鼓风机，以保持容器里的空气清新。但是它吹起了研磨产生的粉尘，所以将它关掉了。
11．4 未经批准，进入容器
(a) 对公司规定不熟悉的承包商经常在没有得到许可的情况下，擅自进入容器。例如，人们发现一名承包商在罐里，这台罐已经被隔离，并敞开以便人员进入，但是没有进行检测。他按要求估算清洗这台罐的费用。他说他不知道仅仅是为了检查，还要得到许可。他已经收到该厂规定的复本，但是根本没有看。如果容器已经打开，但是还没有得到进入的许可，那么应当用栅栏将人孔盖起来。不能指望承包商学习规定，应向他们解释这些规定。
(b) 从11．1(d)和下例事故中可以看出，未经许可擅自进入容器的不只是一些承包商。
在容器装箱前，工艺负责人对它进行最后检查。他发现底面上有一支旧垫片，就决定进去把它拿走。此时，其他的人正在吃午饭，所以就决定自己进去。当他从梯子上出来时滑倒，被摔昏过去，因舌头卡在喉咙里被憋死。
(c) 12．3．2(d)的事故说明不必进入空间受限的地方以免昏倒，探一下头就够了。如果没有得到许可，不能将头伸到容器里。
(d) 一家面粉厂在学校放假期间雇用两名十几岁的学生当临时工，他们的任务是在卸车后扫干净留在铁路槽车里的小麦。在开始卸车以前，他们跳入或跌入槽车里，被吸到车箱的底部，因被小麦埋起来而窒息。
(e) 作者曾看到的最可怕的进入容器的事故发生在一家纸浆造纸厂。两名焊工按要求修理再浆化槽里的尖齿，这是一台上部敞口的大型容器，里面装有大量的木浆和重复利用纸，用一台高能量的(40～400kw)叶轮浸软，叶轮上装有尖齿和刀片，形成1%～5%的悬浮液。上午10点，一名工人在排空并清洗干净再浆化槽后去吃茶点。几分钟后两名焊工来到现场。因为他们要修理的3号罐是空的，而且很干净，所以他们认为别人已经为他们将罐清干净了，立即开始工作。
操作工们在上午10：15回来了，他们看到电焊机，由于照明不好，没有看到引到罐里的导线。他们向罐里加水，启动叶轮，向罐里加干木浆。
下午2：30人们接到报告说焊工失踪了，他们的工作卡说明他们在第3号再浆化罐，人们马上停下再浆化罐，排空里面的液体，里面只剩下绳梯、焊接工具、人尸骨的残留物。
焊工们应该知道，如果他们或他们的领班在检查容器后证明容器已经被隔离，加了盲板，或隔断容器后，并接到许可后才能进入容器。应该将电源切断，如果只是锁上电源，那么他或她应该加一把自己的锁，使他人无法接通电源。人们难以相信这是第一次不遵守正常工作程序的事件，这是管理系统出了问题。
关于其它事故见12．3．2(f)。
11．5 进入含不能维持呼吸气体的容器
一名工人站在梯子上，准备下到排水沟人孔里，堵上一条人口管线。排水沟里有硫化氢气体，所以他准备了一套防毒面具。但是他没有戴上，因为他刚好在人孔的外面，双脚在地面上(图11-3)。当他将要系上安全绳时，他的两名同伴听到一声喊叫，看到他滑到人孔里。他们没能及时抓到他，在排水沟的出口找到了他的尸体。虽然他的面部在地面以上1.5m以上，但是排水沟里的硫化氢已经使他失去知觉。
这次事故说明，如果容器或受到限制的空间里含有硫化氢，那么在开口1m或更远的地方都有可能被熏倒。类似的关于氮气的事故在12．3．2(b)中讲述。
这次事故和12．3．2(b)中讲述的事故说明，当容器里含的毒性气体很多，而氧气含量很少，进人容器会直接威胁生命时，一定要采取特殊的防护措施。人们进入容器需戴着防毒面具，大多数情况下是因为里面的气体不好闻，或连续呼吸几小时对人体有害。只有在很少的情况下，才是因为容器里含有不能呼吸的气体。在这种情况下，两名受过救援和急救的人员应在容器外面值班。他们应带着援救容器里人员的必要设备，并保持容器里的人员在视野之内。
11．6 救援
如果我们看到一个人昏倒在容器里，即使没有防毒面具，也会马上产生进去救他的自然冲动。这种鲁莽的行为意味着其他人要救的不是一个人，而是两个人。下例事故和12，3．3里的事故说明了这一点。
(a) 另一名承包商在两名站在旁边人员的监护下，等不及拿来防毒面具就进到含有惰性气体的燃烧室里。当他从燃烧室里往外爬时，在半道上失去知觉，他的身体卡在梯子和器壁之间。监护人员无法用系在他身上的安全绳把他拉出来，其中的一个人爬到里面，试图把他救出来。他既没有戴面具，也没有系安全绳，进去后也失去知觉。承包商被拉出来救活了。救人的监护人被消防人员救出，但为时已晚。
(b) 有三个人按要求检查一艘驳船上的压舱罐，船停泊在离厂20km的码头里。没有进行气体检测，检查第一个罐没有出事故，但是在检查到第二个罐时，走在前面的人倒在梯子下，第二个人进出救他时也倒在里面。第三个人马上寻求援助。前来救助的两个人在帮助救出的人恢复知觉时，也有些昏迷的感觉。远在20km外的安全部门带着防毒面具出发了，在到达以前，一个人已经死亡。
对其它罐的检测表明氧气的含量只有5％，据分析是在生成铁锈时耗尽了氧气，情况与11．8里的事故类似。
(c) 废氰化锌溶液从电镀设备滴到一台上部敞口的罐里，罐的尺寸为5×4×5ft深(1.5×1.2×1.5m深)，放在建筑物内。液体已经用泵送出，下一步的工作是除去底部的淤泥。一名操作员向罐里喷洒盐酸，因而产生氰氢酸，然后他从梯子下到罐里被毒死了，试图救他的五个人也失去了生命。包括到场的警察和消防队员，共有30人受伤。没有一个人意识到存在的危险，没有处理紧急情况的方案。当时没有人清楚地确定责任，旁观者和在附近走动的亲属，以及进人楼内的每一个人都需要治疗。
从事故报告里看不出是谁授权加盐酸，也看不出以前在清洗储罐时是否一直加盐酸。
(d) 有一个人必须下到空间受限的地方，所以在选择吊带、绳索和吊具时非常细心。按照公司的工作程序，为了确保所选的设备经过检查，他们检查了试验纪录。但是没有一个人注意到他从后向前戴上吊带。结果：当他被向上提时，不能抓住身前的绳子控制身体，无助地吊在绳子上，尽管他没有受伤。
(e) 有这样一种情况，一个人的同伴没有判明里面的情况就把门锁上了，这个人就被锁在这个限定的空间里。
11．7 分析容器里气体
如果氧气的浓度下降，便携式氧气分析仪会发出报警声，如果每个进入限定空间的人都携带了氧气分析仪，本章里的许多事故就可以避免发生。
下例事故说明，分析错误是怎样几乎导致人员进入不安全气体中。两种情况都是要求实验室人员检查容器里的气体。在第一种情况下，他们用便携式氧气分析仪检查氧含量，气体样品是用带抽出器的仪器抽出的，但仪器发生堵塞，只是测量存在仪器里空气的氧含量，所以要用气泡或其它方法指示气体流动。
在第二种情况下，在人孔附近而不是在容器中间采集样品。样品应从容器的最里面采集，所以要配足够长的采样管。在大型容器和在像燃料气这样长而多弯的管线里，应在多处采样。
在上述两情况下，由于操作人员的警惕，防止了重大事故的发生。他们对检测结果表示怀疑，检查了取样方法。
本书是一本纪录失败的书，在这里能够讲述由于操作员的警觉防止事故的发生感到很愉快。
11．8 限定的空间
如果我们建造了一台罐或在地上挖了一个坑，什么时候会变成限定空间呢？这需要进行指导。我建议如果深度比直径大时(和空间足够大，可以使人进去)，这个空间就可以被认为是受到限制的。此时，我们需要考虑任何需要采取的预防措施。在石油化工厂，化学物质会排到地面，释放出烟雾或着火。人们已经知道酸可以与地层里的石灰石反应，并产生二氧化碳。在建设工地，正在制造的罐里的空气一直受氧气和焊接气体的污染，或好心的工人接上氮气的污染(见12．3．3)。
12．2讲了这样一起事故，因为通风情况良好，没有对罐里的气体进行检测，也没有把它看作受限空间。当这台罐移到室内时，通风情况不如以前，一个人昏倒了。
11．9 各种可能出现的错误
前面几节讲的人员伤亡事故都是因为容器里存在有害气体，没有进行气体检测，气体不能维持生命，没有考虑救护方法，没有使用正确的设备，救援不当造成的。本节讲述一件所做的一切事情都不对的事故。
一个人按要求清理一台曾经装过甲苯的45m3储罐。储罐的直径为3m，高为6m。罐里一直有甲苯气体，显然没有测过里面的气体。他从顶部16in(40cm)的开口中，使用绳子下到储罐里。现场有供维持呼吸的设备，但是他没有使用。由于苯蒸气和空气不足，他昏倒在罐底。
人们向消防部门求救。在救援行动中，消防队员在罐的侧面割开一个口。罐体发生爆炸，造成一名消防队员死亡，其它15人受伤。进到储罐里的人也死了，也许是因为窒息而死亡的。
本章不讨论具有明显危险性的物质，如非常易燃的液体和气体，或有毒的物质。相反，我们把重点放在那些常见但危险的物质上，如空气、水、氮气和重油。
许多操作员发现很难了解压缩空气的威力。在2．2讲述了一台压力容器如何因为放空管堵塞造成端面被炸飞，两人死亡的事故。将压缩空气压到容器里，证明入口管线是通的。据估计容器破裂时，表压达到20psi(130kPa)。操作员很难相信“只有20磅的压力”就能造成如此大的损坏，必须请来爆炸专家使他们相信，没有发生化学爆炸。
不幸的是，操作员经常把力(如20磅)和压力(如20psi)混在一起，忘记了用20磅乘以容器端面的平方数。
13．5讲述了一件类似的事故，5．2．2讲述了另外几起设备被压缩空气损坏的事故。因为员工们并不总是喜欢压缩空气，有时用它来吹去工作台或衣服上的灰尘，经常发生金属屑和灰尘被吹到人的眼睛里或皮肤上的伤口里的事故。更槽的是人们用压缩空气开玩笑，当把压缩空气的软管插到一个人的直肠里时，这个人死去了。当空气被压缩时，经常发生火灾事故。温度高于140℃时，润滑油被氧化，在压缩机出口管壁上形成积炭。如果积炭很薄，可通过管线热传导保持冷却。当沉积物太厚时，就会起火。有时出口管线变得如此热，以至于管线破裂或损坏二次冷却器。在一起事故里，火将二次冷却器里的水汽化，产生的振动波对冷却水管线造成严重破坏。
为了防止压缩机里发生火灾和爆炸事故：
1．保持出口管线温度在140℃以下。如果入口过滤器保持清洁，入口管线没有节流，要做到这一点是很容易的。在一些离心式空气压缩机里，暴露于空气油的表面积很大，随时都可能发生沉积和着火，所以应保持更低的出口温度。
2．在出口管线上安装高温报警或停车系统。
3．避免长期在低额定功率下运行，这样会增加油沉积。
4．在出口管线上避免积油点。
5．定期清理管线，以使沉积物的厚度少于1/8in(3mm)。因为无法消除振动阻尼，一台压缩机发生着火事故。
6．使用能减少沉积的润滑油。
7．使用无油润滑的压缩机。但是轴承和齿轮箱仍然要用润滑油，除非在设计和维护时特别注意，否则润滑油会泄漏到压缩机里。
在经过二次冷却器后，压缩空气通常变得比较凉，难以形成沉积或着火，但情况并非永远如此。有一家工厂，一台仪表空气干燥器被油污染，其干燥回路着火。
一家公司在35年的时间里经历了空气压缩机出口管线发生25次着火和爆炸事故。其中最严重的一次是火加热进到空气收集罐的空气，为了防腐，罐里衬了一层沥青。沥青受热后放出可燃蒸气，蒸气发生爆炸。收集罐翻倒，毁坏部分建筑物。
管线里的油膜，如果受到突然震动，如迅速打开阀门，在没有着火的情况下，也能发生爆炸。
当压缩空气通过分子筛干燥或净化时，氧气会出入意料地集中。再生后氮气优先被吸附，最先流出的空气中氧气含量较高，这会扩大可燃范围，降低自燃温度。如果可能，使用3A型分子筛。
压缩空气的另一个危害是里面含有杂物(有机物或非有机物)、水、微量的碳氢化合物，如果不将它们除去，会造成部件过度磨损或产品受到污染。莫里斯写道：“那些使用压缩空气做动力工具或甚至喷涂颜料的人，其内心对压缩空气的质量会造成严重后果的概念产生抵触。压缩空气将大量磨碎的颗粒和水带到精密加工的孔板和工具的气缸里的事实不会在他们身上发生。
在一段时期里，人们认为碳氢化合物蒸气和空气形成的泡沫不会发生爆炸，甚至建议在装有可燃蒸气的罐上进行焊接或其它热工作业时向罐里充进灭火泡沫就可以保证安全。现在人们知道这样做是不安全的，泡沫也可能发生爆炸。事实上，在福克兰岛战争中，建议引爆埋设的杀伤性地雷的一种方法就是用泡沫覆盖雷区，然后点燃泡沫。这种泡沫就是碳氢化合物和空气的混合物。(用氮气代替空气制成的泡沫充满罐体后进行焊接作业当然是安全的。如果罐体上有一个开口，通过这个开口氮能迅速排出时，应经常采用这种方法。
有关压缩空气的危险见参考资料2。
12．2 水
在9．1．5中讲述了水击的危险，在9．1．1中讲述了结冰的危险。本节讲述一些因水突然蒸发造成的沸溢、泼出、起泡溢出、冒泡和冲塔事故。沸溢是指如果罐在火上，燃烧产生的残渣落到水层。泼出通常是指从灭火水龙带流出的水进入燃烧的罐里时汽化。9．1．1和12．4．5讲述了因为存水弯管里的水突然汽化，造成容器爆炸的事故。但大多数泼出事故发生在罐里的水层突然汽化时，例如：(a)热油从(来自间歇式蒸馏塔)被输送到重渣油储罐里。罐里有一层水——汽提转油管线时留下的水剧烈汽化。罐顶被掀起，20多米的主体结构上被盖了一层黑油。一名目击者说是罐体发生爆炸，尽管能量的突然释放是由于物理原因，而不是化学原因。
为了防止类似事故的发生，如果要将重油送到储罐里，进油的温度应低于100℃，在油管线上安装高温报警系统。也可以将水排出去，保持储罐的温度在100℃以上，在向罐里送油前循环罐里的存油。此外，在向罐里送油的初期，油的流量应很小。
(b) 在另一起事故里，由于上面一层热油的传导作用，水层已经突然汽化了。例如要清洗一台装有重油的储罐，要向罐里加一些轻油，并用蒸汽盘管加热。油的下面有一层水。操作员被告知油的温度应在100℃以下，但是他们没有认识到热电偶(1.5m)在油层(1.2m)以上。虽然热电偶的读数只有77%，但油的温度已经超过100℃，水的汽化使罐顶从罐体上被炸掉。当水开始沸腾时，油被提起，水上的静压力减少使水沸腾更加猛烈。
(c) 一些用于清洗的石蜡留在桶里，在石蜡的下面有水。某种热设备将清洁用的碎布引燃，火势蔓延到桶里的石蜡。为了将火扑灭，一个人将一铁锹潮湿的废物加到桶里，水和油混合变成蒸汽，将油吹到这个人身上，这个人当时站在1～2m之外，由于伤势严重，他死去了。必须记住：
1．严禁将油与水混合；
2．清洗时不能使用可燃溶剂；
3．不能用桶装运可燃液体，应使用封闭的罐(见7．1，3)。
水能滞留在换热器折流板的后面，然后被热循环油突然汽化。水也会滞留在管线的盲端和U形部分(见9．1．1)。当管子受热膨胀一端翘起来时，就会形成U形弯管。在开工期间，当热气遇到以前汽提滴到塔里的水时，蒸馏塔的塔盘被破坏。17．12讲述了一起类似于起泡溢出的事故。
因为人们没有认真处理热水问题，事故一直不断发生。当一台塑料热水罐沿接缝裂开时，造成5人死亡。在另一家工厂里，一个人在用热水冲茶时，衣袖挂在电热水器的水龙头上，热水器翻来，2加仑的热水浇在他身上，5天后他死在医院里。热水器应固定到墙上。如果里面装的是危险的化学物质，它应受到保护，但是没有人认为水有什么危险。在工厂里，化学品不是惟一的危险物质。
有关水的其它危险性见参考资料3。
12．3 氮气
氮气广泛用于防止瓦斯、蒸气和空气可燃混合物的形成。在装置引进空气以前，用氮气赶出可燃气体或蒸气，在引进可燃气体或蒸气以前，用氮气赶出空气。
毫无疑问，如果没有氮气(或其它惰性气体)，将会有更多的人因为火灾或爆炸而死亡。然而，我们从氮气获取好处的同时，也付出了沉重的代价。许多人因氮气窒息而死。在1960～1978年间，对一组公司的统计表明，13名雇员因火灾或爆炸而死，13人因有毒或腐蚀性的化学物质而死，7人因氮气而死。这是非常危险的气体。
本章介绍几起因氮气造成人员伤亡或昏倒的事故。有一些事故是因为用氮气代替空气，在其它事故里，人们没有认识到氮气的危险，或没有意识到氮气的存在。
名称“惰性气体”，通常用来描述氮气，能起误导作用，意指无害的气体。氮气并不是没有意外的。如果人们进入到氮气中，在短短的20s之内，他们会失去知觉，没有任何征兆和痛苦，三四分钟后就可以造成死亡。仿佛头上受到一击，人倒下了。在德国氮气被认为是令人窒息的气体。如果我们把氮气称作窒息性气体而不是惰性气体，也许事故的发生率会下降。
12．3．1氮气与空气混淆
因为使用氮气而不是压缩空气出了许多事故。例如，曾经有一名控制室里的操作员嗅到一种特殊的气味。在调查中他们发现接到氮气线的软管被接到通风入口。为了改善燥热的控制室内的通风条件，过去一直这么做。在另一种情况下，当有入在容器里作业时，错误地用氮气保持容器内空气新鲜。在另，起事故里，错误地使用氮气作为压缩空气灯的气源，这种灯在进入容器时使用。在这种情况下，可以及时发现错误。性质更严重的事故是把氮气接到空气面罩上。
为了防止这些错误，许多公司针对压缩空气和氮气使用不时的装配。然而，像下列事故所显示的那样，棍淆事故仍然发生：
一名操作员为避免吸入有害的烟雾戴上空气面罩，几乎在同时他感到恶心，摔倒在地。他本能地扯下面罩，很快就恢复过来了。后来人们发现面罩接到了氮气线上，而不是压缩空气线上。
使用氮气和压缩空气时连接方式不同，所以在开始时人们难于理解错误是怎样发生的。可是，人们工作的地方离最近的压缩空气接口有很长一段距离，要用几根软管接在一起才行。在接管时，人们拿掉了特殊的联结件，使用简单的接头和夹子。最后软管接到一个从库房墙上开口伸出的一根管子上。这名操作员然后走进库房里，选取一根他认为是一端伸到墙外的管子接到空气线上。不幸的是，库房的地面上有好几根软管，他接到外面空气线上的软管已经接到氮气线上。
为了防止类似事故的发生，我们应当：
1．呼吸设备使用瓶装空气；
2．在所有的接口上做上标签；
3．针对氮气和空气采用不同的连接方式，并广而告之。
在一家工厂里发生了另外一起事故，当仪表风压缩机出故障时，使用氮气维持仪表风系统里的压力。两名按要求戴空气面罩的操作员把面罩接到仪表风系统上。他们不知道压缩机出故障，这个系统中充满了氮气，结果两个人全死了。第三起事故发生在美国政府设施里。一名雇员把他的空气面罩接到氮气线，眼前一黑摔倒在地，伤着头部。幸运的是旁边有人过来帮助，他醒过来没有受到严重伤害。压缩空气和氮气线使用同样的连接方式，氮气线本应有明显的颜色区别，但却没有刷漆。
如有可能，应使用气瓶或专用系统中的空气，而不是通用的压缩空气。如果必须使用后者，应在使用点，在每次使用前进行测试。
12．3．2无视危险
(a) 一名清洁工人要收回一条绳子，绳子的一半在容器里，被什么东西卡住了。当他跪下来试图解脱绳子时，被氮气窒息。事后他承认，如果有必要，他会进到容器里。
(b) 在有些情况下，在泄漏的氮气管线连接处或附近作业的人员受到氮气的影响。虽然他们知道氮气是有害的，但是他们没有想到从泄漏的连接处漏出的量会对他们造成伤害(图12-1)。
用氮气吹扫蒸馏塔后，两名维修工人刚卸下蒸馏塔顶附近的人孔盖，其中一人就倒下了。另一个人把他拉到一边，不久他就恢复过来了。塔下部的人孔已经打开，似乎是烟囱效应使氮气从上部人孔处冒出。
(c) 有两个人因为没有戴空气面罩进入含有氮气的容器死亡。也许在有些情况下，当气体对呼吸没有害处时，他们偶尔摘下了空气面罩。但在100%的氮气里，只需几秒钟就能使其毙命，他们也没有戴空气面罩。据信是一个人没有戴空气面罩进入容器里时昏倒，第二个人为了救他也没戴空气面罩就进来了。
正常情况下，不允许进入含有不能维持呼吸气体的容器。如果允许进入，必须采取特殊的防范措施(见11．5)。
图12-1 注意：禁止过于靠近氮气泄漏点
(d) 你的身体不一定全在受限空间的里面就能昏倒，只要头在里面就足够了。一套装置在停工后用氮气试漏时，在容器边上的人孔连接处发现泄漏。放掉压力后，要求一名装配工重做接口。当他工作时，接口环掉到容器里。这名装配工不暇思索地将上身挤进人孔，想探下身去把接口拿起来。他的同伴看到他不动了，意识到他已经失去知觉，马上把他拉出来放到空旷的地方，不久他恢复了知觉。
(e) 在另一起事故里一台大型转化器的盖子被卸下，但是为了保护催化剂，没有将通过转化器的氮气停下来。一名检查员没有申请进入转化器的许可证，他只是打算“探头看一看”。幸运的是有人注意到他有一会儿不动了，从而得到及时救助。
(f) 按要求一名焊工修补容器顶部人孔附近的一条裂缝，这台容器已经用氮气吹扫过了。为了进到容器里，他拿开盖在人孔开口上的塑料布，把梯子放进容器里，梯子的一端从人孔伸出。他然后站在梯子上，所处的位置类似于图11-3。他的焊把掉到容器里，就从梯子上走下来看能否找到焊把，这时他倒下了。当人们把他救出时，他已经死了。
如11．4所述，如果人孔已经打开，但是还没有允许人进去，应该用固定的栅栏将人孔盖住。只用松动的盖子保护的人孔里的梯子，几乎就是在邀请人们进去。
12．3．3 不知道氮气存在
12．3．2所述的一些事故都可以归在这个范畴内。可是，这种类型的大多数事故发生在工程建设期间，当时一组人员彼此不认识，把氮气线接到容器上。下面的内容是这类非常悲惨事故中的一例。
仪表工正在一系列新罐里安装和调试仪表。大约8周前在这些罐上安装了氮气集合管，并进行了压力试验，然后撤去压力，在装置边界处用阀门将氮气隔离开。在事故的前一天，因为其它罐需要用氮气，所以将氮气线接通。
在事故发生的当天，一名仪表工进到一台2m3的罐里调试仪表。因为有关人员错误地认为一套新装置在引入水或工艺介质前，不用办理进罐许可证，所以没有办理书面进罐许可证。虽然这台罐只有6ft(1.8m)高，在顶部还有一个打开的人孔，这名仪表工倒下了。大约5min后，一位工程师前来查看工作的进展情况。
当他看到有人倒在里面时，就爬进罐里去救人。他刚弯下腰救人就昏倒了。
又过了五分钟或十分钟，又来了一名工程师，他叫来工艺管理员，然后进到容器里，他也倒下了。工艺管理员马上给工厂消防队打电话。在他们到达前，第三位进去的人已经安全恢复过来，能够爬出容器。第二个进去的人被救出得到恢复，但第一个进去的人死亡。据信是在事故发生前一两个小时，有人打开了通向容器的阀门，然后又关上了。
我们能从这起事故中汲取什么教训呢？
1．如果有人在容器或坑里昏倒，如果不戴空气面罩是不能进去救人。我们必须抑制冲进去救人的自然本能，否则要救的不是一个人，而是两个人(见11．6)。
2．一旦容器与任何工艺或其它管线连接，应该完全遵守工作许可和准许进入程序。在这起事故中，准备工作应在事故前8周开始，人进去的罐应与氮气线断开，或加上盲板。
施工过程应有正式移交手续，以便每个人都清楚发生的变化。最终连接工艺管线或其它管线的工作应由工厂的装配工来完成，而不是由施工队完成。在每家工厂里，建设工厂的移交程序应记录在案。
3．当装置仍在建设中时，正式的工作允许程序是不必要的，但进入容器作业允许制度应当执行。在任何人进入容器以前，应先由一名称职而有经验的人检查容器，确定容器已经被隔离而且没有危险。在建造储罐的过程中，当罐壁达到一定高度时(比如大于直径时)，这个罐就成为受限空间，应当执行进罐程序。
4．所有的管理人员和监督人员都清楚移交和进入容器的程序。
12．3．4液氮
在将液氮卸到工厂里以前，要对提供的液氮进行检测。液氮的供应商通常会说没有必要进行检测，因为装运液氮和液态空气(或液态氧)卡车的配件不同，不可能装错。但是，在有些情况下，不可能的事情发生了。供方提供的是液态空气(或氧气)而不是液态氮。4．1(f)讲述了这样一起事故。有时通过检测可以发现错误，但是我就知道两起把液态空气或氧气加到装置里的事故。幸运的是在一起事故里，高氧浓度报警系统起作用，在另一起事故里高温报警系统起作用。第一起事故发生在一家工厂，它检测定期供货的氮气，但是没有检测特殊超量的供货。
如果高温或高氧浓度报警系统能测出供货错误，在接货以前有必要进行检测吗？报警是我们最后一道保护，如果出现故障，可能发生火灾或爆炸事故，所以我们不能过份依赖报警系统。我们的预防措施应尽可能远离事故的爆发点。
氮的沸点比氧低，所以氧气凝聚在用液氮冷却的物质上。如果这些物质是可燃的，可能会发生着火或爆炸事故。有些要被磨碎的猪皮用液态氮冷却，当研磨机启动时发生爆炸，有两人被炸死。
液态氮和液态空气的另一个危险是低温：
●许多物质变得很脆。如果暴露到液态或其蒸气中，车辆的轮胎会爆炸，碳
钢设备会出问题。当设计压力为450psi(3MPa)(表)的钢制压力容器装冷氮气时
碎成20块。液态氮蒸馏器应安装低温停车系统。
●当温度升高时，存在阀门之间的液体会产生很高的压力。
● 溢出物会产生雾，使能见度降低。
12．4 重油(包括热传导油)
该术语是指闪点高于环境温度的油。因而，它们在环境温度下不会着火或爆炸，但是当受热时，情况就不一样了。像在下列事故中讲的那样，人们对这一点认识不足，对它的重视程度远不如汽油。12．2(c)讲述了另一起事故。重油常用于燃料油、溶剂、润滑油、热传导油，以及工艺材料。
12．4．1空罐里存有少量重油
一台储罐的罐顶必须进行修理，罐里装着重油。在尽可能地将罐清洗后，两位焊工开始作业。他们看见烟从排气管中冒出，火焰从他们割出的开口中窜出。他们准备离开，但是在跑开前，罐顶被掀起，窜出的火舌长达25m，造成一人死亡，另一入严重烧伤。罐里的渣油继续烧了10～15min。
虽然对罐进行了清洗，但是有少量的重油粘在边上、存在铁锈后或留在钢板之间。这引起油在焊接作业时被汽化并起火。
有些旧罐只是沿着重叠部分在外面进行焊接，因而留下死角，很难将液体清干净。甚至也能存住轻油(见5．4．2(c)和图5-10)。
一份官方报告讲了一起类似的事故。一台罐要进行拆除，罐壁和罐顶上有粘性沉积物，这种物质不受蒸汽的影响，但是在外面使用焊具时，挥发出蒸气。蒸气发生爆炸，将在罐顶上的6个人炸死。
如果罐里装有重油、渣油或聚合物，或在常温下呈固体的物质，要将罐清理干净，几乎是不可能的，尤其是罐体受到腐蚀时。装重油的罐比装轻油(如汽油)的罐更危险。用蒸汽或氮气吹扫可将汽油完全清干净。同时也要注意到，轻油(如汽油)可以用可燃气体检测仪检测，重油却不能。即使将重油加热到其闪点以上，产生的蒸气在到达感应元件以前也会冷却在检测仪里。
如果罐装有重油，在允许焊接作业以前，应向罐充惰性气体或用惰性气体产生的防火泡沫，不能使用用空气产生的防火泡沫(见12．3．2)。向罐里充水可减少惰化体积。
当用乙炔焊切割一台45m3的旧柴油罐时，发生了一起事故。罐的上半部分已经被拆除，为了将下半部分吊起来，要在罐体上割出四个洞。一块热焊渣掉到罐底部的油渣里，将其引燃。用手提式灭火器无法将火扑灭，所以请消防部门。
当切割无法清干净的罐体时，可考虑采用冷切割法。掉焊渣也引起其它的火灾事故，掉下的焊渣比人们预期的距离要远得多。
在焊接拖拉机制动器时，一台装有少量重油的“容器”发生了一起不同寻常的爆炸。热量将在装轮胎时使用的润滑剂汽化后引燃，在爆炸中有三人死亡。
12．4．2管线里的少量重油
有些旧管线必须拆除。先将管线尽可能清干净，然后用可燃气体检测仪检测，没有测到瓦斯或蒸气，所以允许焊工切除管线。在切割离地面4m高的管线时，一种柏油状的物质从管线里渗出来后着火，烧着了焊工的衣服。由于脸部和腿部烧伤，焊工死在医院里。沉积物处在冷态时，放出的蒸气量不足，无法用可燃气体检测仪测出。
管线装重油或聚合物后，要彻底将其清洗干净几乎是不可能的。在拆除旧管线时，为了防止压力升高，应尽可能地多分几段切割。应保持通道畅通，以便在需要时方便焊工撤离。
12．4．3重油池
在建筑物内的木质地板上进行选矿过程。因为溶剂的闪点为42℃，并且是在冷态下使用，所以人们认为是安全的。漏出的溶剂被排到楼内的一个小池子里。当进行焊接作业时，一小块燃烧着的碎块掉到这个小池子里，几秒钟后盖在池子里水上面的油膜着火。这个小碎快相当于导火索，可将溶剂点燃。火势扩大到木质地板上，玻璃管破裂，向火中加入了更多的燃料。几分钟后整个建筑物陷入一片火海，其2/3受到破坏。
12．4．4重油溢出(包括溢在保温层上)
在维修工作完成之后，打开最高点的放空系统，用泵向换热系统送油，直到油从放空管中流出。应该用桶收集溢流物，但有些时候不用桶接，或桶装满后溢出。因为重油的闪点高于环境温度，沸点和自燃点在300℃以上，所以人们不但心少量的溢出重油。
几个月之后，这些溢出物着火。其中一部分也许浸到保温层里，如果浸入保温层，重油会降解，自燃点会下降，在热管线的温度下会着火。着火后可造成瓦斯泄漏，爆炸后可引起进一步的损坏，火势扩大。
应立即清除所有的溢出物，尤其是高沸点的物质。轻油可以挥发掉，但重油不会。除了火灾危险，重油溢出还可造成人员滑倒摔伤。
在着火前，应尽快更换被油(或其它任何有机物)浸过的保温材料。如果油与保温材料长时间接触，其自燃点会下降100～200℃(见7．3．2)。
12．4．5重油火球
9．1．1和12．2讲述了当温度在100℃以上的重油接触到水后所发生的事故。水猛烈汽化，罐体破裂后，油和蒸汽的混合物从罐里喷出。
在另一起性质相同的事故里，油着火了。一台加热炉向四台重沸器供热传导油。其中一台重沸器要进行修理，先被隔离开，然后进行压力试验。水要从壳体中排出，但排水阀在管板以上8in．(20~m)，所以在重沸器里留下一层水(图12-2)。
当重沸器重新投入使用后，水被压到热传导油线里马上被汽化，产生的水击使缓冲罐破裂。据估算这需要450psi(3MPa)(表)的压力。罐的顶部被整体炸飞，其余的罐体碎成20块。热油形成细雾团后，立即燃烧形成直径35m的火球(细雾的爆炸温度低于大体积液体的闪点，见19．5)。
根据这些事故，提出下列意见：
1．应当在热传递和其它热油系统安装适当的排放设施。
2．进行压力试验时应用油而不是水。
3．缓冲在半负荷的条件下操作，而不能像在事故里讲的那样已经装了90%的重油。
4．在新装置里，用水代替油做热传递介质，因为操作压力会更高，所以应在设计初期做出使用水的决定。虽然这样做会增加投资，但会降低防火费用。在有些装置里，热传导油的危险性比工艺介质还大。
12．4．6润滑油着火
一套乙烯装置的压缩机通过泵从油箱里抽出油进行润滑。油箱原来用人工加满，但是为了节省人工，加了一台泵从远处的油罐向油站供油，当加到要求的液位时，操作员忘了停泵，油从油箱里溢出。泵的输送能力比油箱排放能力强，所以油箱过压。压力反传到齿轮箱，造成齿轮箱破裂，油喷出后起火。财产损失达500000美元，总的损失要高出许多倍。
在炼油厂和化工厂，蒸汽、氮气、压缩空气、润滑油和其它公共设施所引起的事故占有率高得惊人。人们对易燃油很重视，但对配套系统却不太留意。如果在进行动改之前对润滑油系统做出系统的研究(如在第二章推荐的那样)，人们就会安装更大的放空，或在油箱的人口安装管线断路阀和漏斗。
12．4．7重油降解
在7．3．2和12．4．4里已经介绍了重油溢到保温材料上后发生降解。在正常的使用中，热传递油就会发生降解，产生更轻和更重两种馏分。轻馏分聚积在上层，能进一步分解成一种叫做“咖啡渣”的碳和锈的混合物，在盲端接口(如安全阀的接口)处结成结实的沉积物。为了防止堵塞，人们要不断将轻组分放空，无论何时卸下安全阀进行检查时，都要检查安全阀接口。重组分进一步分解，在加热炉管里形成碳沉积，使炉管破裂。有时炉管被完全堵塞，不会发生大量溢出。但是，在有些情况下，像在10．7．2所述的那起事故，油溢出会产生损失巨大的严重火灾(虽然不是因为重组分聚积造成的)。为了防止炉管破裂，重组分不能超过5%，并遵守10．7．2所提出的有关加热炉操作建议。
本章的重点不放在运输途中，而是着重讲述一些在装或卸(在欧洲称为公路和铁路罐车)时发生的事故。18．8讲述了装油系统的危险性和为了消除这些隐患所使用的操作研究成果。21．3介绍一些罐装卡车和槽车发生的失控反应。
13．1 油装得过满
在许多情况下，罐装卡车和槽车在自动和手动加料时，都有可能加得过满。
在自动加料系统中，加料员在仪表上设定加料量，当所需的量达到时，系统自动关闭阀门。因为仪表的设定值有误，或罐里已经存有一些液体(从上次装料时留下来)，或加料设备故障都会造成加料过满现象。由于这个原因，有些公司在他们的罐装卡车上安装了高液位断路装置，它会自动关闭装油线上的阀门。
在人工向罐装卡车和槽车加料时，由于加料员离开几分钟，回来得太晚，也可能发生加料过满的现象。有这样一起事故，加料员认为一辆罐装卡车只有一个单独的仓室(实际上有两个)，就试图把全部的料加到一个仓里。
在另一种情况下，一台罐装卡车已经在夜间装完车，操作员填好了单据——一张很窄的纸条——把单据插到派遣单里，通常情况下人们都是这样做的。当下一班接班时，司机没有回来开车。昨天晚上的派遣单已经送到厂办公室。所以操作员抖动派遣单，看看里面是否有填写证明。因为证明夹在其它文件里，所以没有掉出来。因而操作员又开始往这台车的罐里加料。
相反，在一份官方报告里介绍了一起加料过满情况。事故的原因是由装卸汽油和烃类化合物的终端自动化设备设计水平低而引起的。
在仪表上设定产品的等级和量。司机插入装料卡，按下装料按钮，就可以自动加到所需要的量。在加料前，加料臂必须放下来。
有一天，自动加料系统出故障，负责人决定改用人工加料。他要求司机检查加料线上的手阀是否关闭，但是没有亲自去检查，然后就操作自动阀的开关。结果，有一些手阀是打开的，将汽油和其它产品都放了出来，油从罐里溢出来(或直接溅到地面上)后着火。共造成3人死亡，11人受伤，整排共18个加油点全部被破坏。
据官方报告：“违反有关事故控制的规定，没有严格的保护措施就决定了使用中央控制盘是一种错误的决定。从中央控制板安装的那一刻起，事故的发生是早晚的事”。
“经过最高层的管理部门的批准，在切换室安装了这个控制盘。从控制室看不到装油台。事故本身说明在工厂生产中，应该考虑基本的安全措施。
“如果我们对安全问题像对优化设备和人员的有效利用那样，充分发挥出想像力和热情，事故就不可能发生”。
13．2 软管爆裂
7．1．6列出了在装卸车时，尤其是使用了已经破损的软管或选用的软管材质不合适时，软管破裂的原因。但最常见的原因是没有卸下软管就开车。
典型的事故如下：
(a) 一台罐装卡车停在工厂里，准备装可燃性的液化气。几个小时后，运输负责人认为车可能已经装好，就派司机去开车。工厂的办公室里没有人，司机直接去了装车处。他发现罐车已经接地，接地线绕过方向盘，这种常规的方法是为了防止司机在断开接地线以前将车开走。他取下接地线，开着车就走。结果拉断了加油管，拉掉了接在放空管线上的软管。幸运的是，虽然阀门开着，但是没有油料从加料管中流出，溢出物相对较少，没有引起火灾。
按工厂的规定，要求在装车时，必须在罐车前面放便携式栅栏，但是这次没有使用，即使用了，司机也会把它移开。
参考资料2中介绍了防止罐装卡车在加料时被开走的设施。在软管连接处前面加一块板，如果要将软管接上，必须把这块板移开，这适用于制动。参考资料介绍了一种特殊的机构，当它断裂时，能自动密封软管，参考资料还介绍了其它几种软管。
在装油线上应安装遥控紧急切断阀(见7．2．1)。如果软管因故破裂，要通过按下设在安全处的按钮切断物料。单向阀可防止物料从罐车和槽车向回流动。
因为罐里没有空气，所以没有必要将装可燃液化气的罐车接地。
(b) 一个加油站要从罐装卡车里将汽油卸出，这台车的一个隔仓里装的是柴油，为了节省时间，司机决定在卸汽油的同时也卸柴油。要做到这一点，他必须将车移动1～2米。
当继续卸油时，他慢慢地将车向前开。软管卡在障碍物上，从紧固件上脱落。汽油流出后着火。加油站里的罐装卡车被毁坏。
(c) 轿车也发生过类似的事故。在加油站里，司机没等拿出加油管就把车开走了。有一次，造成泵和加油枪损坏，溢出的汽油被火星引燃。
13．3 着火和爆炸
在向罐装卡车和槽车加料时，已经发生过许多着火和爆炸事故。最主要的原因是“切换加料”。一台罐里存有一些可燃蒸气(从以前的装料中留下来)，如汽油蒸气，后来装运安全性和沸点更高的液体，如石油。轻柴油在环境温度下不能燃烧，所以正常情况下没有必要采取特殊的措施防止静电。这种罐也许装得很快——甚至溅装——产生静电，火花从液体窜到罐壁，引燃了汽油蒸气。
在装运不可燃的液体时，类似的事故在运废液体的罐装卡车也发生过，司机站在车顶上抽烟，结果发生爆炸，人也被炸到60米外。在以前的运输中，这辆车一直装运溶有可燃液体的废液体，在下一次加料时，留在罐内的气体被排出。其它的事故见参考资料10。
即使是在闪点以下，也禁止溅装可燃性液体。溅装可形成汽雾，能被静电荷引燃。像粉尘扰动一样，油雾可在任何温度下被引燃(见19．5)。
有这样一种情况，采用溅装法向一台罐装卡车里加轻柴油，油的闪点为60℃。溅装过程中产生油雾，在轻柴油上也产生静电荷。静电荷放电引燃油雾，火焰高达10米，但是没有发生爆炸。当油雾刚一燃烧，火焰就熄灭了。
在条件完全适合于火灾发生前，在这个设施里已经溅装了数千台罐装卡车。当加装可燃性的气体或液体时，我们不能说这“没有问题。20年来，我们一直用这种方法装车，从没有发生火灾事故”。这种说法只有在第21年发生爆炸时才能被接受。
注意用接地的方法消除静电荷，不能防止蒸气被引燃。接地可以防止从罐体向地面的放电，但是不能防止罐里液体向罐或加料臂放电。
有关静电的详细资料见第十五章。
13．4 液化可燃气体
罐装卡车或槽车在环境温度下装运液化气体时，危险性更大。
在向储罐加料时，蒸气通过烟囱放空，或通过蒸气回送管线(安装在罐体的顶部)*到装置里。一份官方报告描述了一起火灾事故，事故发生的原因是装配工没有接通蒸气*管线。蒸气排到工作区里，造成几人受伤。
这起事故发生后，在对另一大型装置进行检查时，发现装配工也没有接通蒸气*管线。参考资料5还报告了在另一家工厂里，蒸气*管线被错接到其它装料线上。产生的蒸气无法放出去，压力升高，加料管爆裂。加料管线上没有紧急切断阀，罐上也没有止回阀(见13，2a)，加料管线和罐体上没有过流阀，所以溢出是不可避免的。
蒸气*管线和加料管线应采用不同尺寸和不同方式的连接方法。
13．5 压缩空气
压缩空气经常用于倒空罐装卡车和槽车，塑料球从罐装卡车里吹出。当罐空着时，司机将罐放空，然后通过人孔检查罐里情况。有一天，司机没有按规定作业，在释放压力前就开始打开人孔。当他松开五个快松卡件中的两个时，人孔被炸开，司机也从罐顶上炸下来，失去性命。
事故的原因可能是司机忘了将罐放空，或是认为通过人孔泄压(10psi，或70kPa表压)是安全的。事故发生之后，这种人孔盖被另一种不同形式的盖子替换，要松开这种盖子需要完成两种动作。第一种动作只能使盖子松开1/4in，仍然能承受全部压力。有没有压力放出，显而易见。盖子仍然能重新封住，或允许将压力放掉。
此外，重新安放了梯子脚下的放空阀。
许多人对此事感到奇怪，“只有10磅”的的压力，怎么会将人从罐顶上炸飞呢？他们忘记了10Psi的压力并不低，它表明在每平方英寸上有10磅的力(见12．1)。
类似的事故见17．1。
13．6 翻车
在有些情况下，如果先卸后仓的料，罐拖车可能发生倾斜，如图13-1所示。
在装车卸车期间，不可能总是保持拖车接到卡车上。如果没有接上，前仓应当先卸后装，或在拖车的前仓下面加支撑物。
有些罐拖车装有折叠式支撑腿。有些设计润滑和维修很困难，其结果是不能继续使用。
图13-1 如果先卸后仓中的料，罐拖车会发生倾斜
13．7 装卸位置不正确
在有些情况下，罐装卡车向错误的罐里卸料。下面是其中一个典型的事例。
一辆拉着异丙醇的罐装卡车在夜间到达工厂，被引领到定期接收罐装卡车送料的装置。应该往这套装置里加乙二醇。装置的员工没有查看标签或运货单，就把来料加到乙二醇罐里，污染了100吨的乙二醇。
在这种情况下，幸运的是这两种物质不发生反应。把酸错加到碱罐里的人就没那么幸运了。一家工厂接收槽车运的苛性钠和罐装卡车运的酸。一天装着苛性钠的罐装卡车来到工厂，车上的标签上写着苛性钠，运货单上也写着苛性钠。软管的连接方式不同以往。但操作员有一个固有的概念(见3．3．5)，罐装卡车里的都是酸。为了能把罐车里的料加到酸罐里，人们用了两个小时的时间做了一个接口。
一家工厂接收不同型式、颜色和标识的槽车送来的四乙基铅(TEL)和氢氟酸(HF)。有一天，一辆正常情况下运TEL的槽车运来了HF，因而槽车沿着TEL卸车点停放。一名操作工向TEL罐里卸料，当他看到从槽车的放空管里冒出白烟时，马上停止卸料。TEL罐里料不能用了，但是反应没有失控。操作员值得同情，用装TEL的车型运送HF，给他们设了一个陷阱(见第三章)。我们有理由要求供货商在做出改动时，应引起人们的注意。
在另外一些情况下，罐装卡车里装错了料。在特殊情况下，供的是液态氧或液态空气，而不是液态氮。4．1(f)讲述了由于标签混淆引发的一起事故。
我还没有了解到将液态氧供货改为液态氮所引起的爆炸事故。但像在12．3．1里叙述的那样，有一种情况是用“氮气”惰化催化剂床层，催化剂变热。在另一种情况下，高氧浓度报警器报警。在好几种情况下，检查分析表明，所供的是氧气。
许多液化气体供货商声称，他们用不同的软管连接方式提供液态氮和液态氧，所以不可能出现错误。也许是因为受操作员找接头的那种很有名的说法的影响，错误毕竟发生了。
在卸液态氮以前，应对其进行分析。这同样适用于其它错误供货会造成严重后果的场合，如火灾或反应失控，就像在下面所讲的两起事故。如果分析耽误太长的时间，新到的料应先卸到待定罐里。
● 将打算用于旁路发电机的柴油卸到浆池里后，人们发现里面有太多的异物，这会影响发电机的性能。
● 由于发货中心发生混乱，两名司机收到对方的文件。一台车里装的是亚氯酸钠溶液，另一台装的是表氯醇。亚氯酸钠被送到需要表氯醇的厂里，并卸到已经装有一些表氯醇的罐里。结果发生爆炸，引起严重的火灾，产生的烟雾使英国Sevem Eatuary的桥梁关闭。
供货商的文件告诉我们送来的货物不是车里装的东西。如果我们分析车里的装料，或查看发生的情况，就能查明原因。
下列事故是有关瓶装货物，而不是大宗货物，但是它说明如果对异常情况警觉，可以避免事故的发生。
一家工厂使用大气瓶里的氮气，一天发往另一家工厂的氧气瓶错发到这个厂。领班发现到货气瓶的颜色与以往不同，接口也不同，对只送来一只气瓶感到很奇怪，因为平时一次送来几个气瓶。然而他收下了这个气瓶，没有注意到发票上写的是氧气。像往常一样，发票被送到采购部用于付款。处理这张发票的年轻职员想到以前从未收氧气，所以向负责人报告此事，经过电话联系，真相大白。有关其它成功的事例，见11．7。
13．8 触及带电体
槽车上的人孔盖有时用铁丝捆住，人孔盖上松开的铁丝头高向上翘着，触到上面的供电线路，造成短路。
在英国，正常情况下，槽车的最高点与带电线路的最低点有4in(10cm)的距离，如果距离少于2in(5cm)，就会产生电弧。
在用第三根导轨供电的铁路线上也发生过类似事故。盖住放电管的盖子已经震松了，保持链又太长，盖子接触到第三导轨。
保护系统试验
一辆出租车残破不堪，车箱地面上有许多洞，随时都可能散架。人们问司机是否所有的零件还能工作？他回答说“是的，但不是同时都能工作”。
——每日电迅(伦敦)，1995年1月7日
许多事故的发生是因为人们忽略仪表的读数和报警(见3．2．8，3．3，1，3．3．2)。其它一些事故的发生，包括Bhopal(见21．1)，都是因为没有对报警和断路系统进行试验或试验不彻底，或是因为报警和断路系统不起作用，或改变设定值，后两种作法都没有经过授权。下面讲述一些相关的事故。
在传统的仪表部门，以微处理器为基础的控制系统的使用正在增加。在第二十章里讲述一些关于这些系统所发生的事故。
应对所有的保护性设备进行定期试验，否则在需要的时候，它们会不起作用。每年或每两年试验一次安全阀就足够了，仪表报警和断路的可靠性差些，应每月检查一次。
试验必须彻底，试验条件尽可能接近实际情况，请看下列事故：
(a) 加热炉的高温断路系统不能使用，加热炉受到严重损坏。断路系统失灵的原因是指示器触到仪表箱的塑料前板，使指示器不能移到断路位置。应对仪表定期进行检查——但这样做必须把表拆下来，送到车间进行。
(b) 一台反应器装有断路系统，可用来关闭进料线上的阀门。虽然进行定期试验，但当高温出现时，这只断路阀门无法关闭。
调查显示通过这只断路阀(球阀)的压力降很大，在这样的压力下，这只阀门不能关闭。与断路阀配套使用的还有流量控制阀(图14-1)，正常情况下，断路系统也关闭流量阀。可是由于反应器里温度高的原因，这只阀处在开的位置后不能动作，整个上游系统的压力都施加到断路阀上。
应在最高的操作压力或流量下进行试验，安装时应尽可能利用流量关闭阀门。
(c) 如果保护仪表的响应时间重要，那么在每次试验时都要进行测量。例如，机器通常与保护装置连在一起，如果保护装置打开，机器就会停止，机器上的制动系统是使机器能快速停下来。应定期测量机器的实际停止时间，并与设计值进行比较。
再看一个例子：在固体溶解以前，将固体和水的混合物在表压为1000psi(7MPa)下加热到300℃。当压力较低的热油通过换热器管程外面时，混合物通过换热器的管程。人们已经认识到如果管于破裂，水将直接与热油接触，发生剧烈的汽化。因而设计了一套自动系统测量油压力的上升，关闭水和油进出口管线上的四个阀门。换热器上也装有破裂盘，将流出物排放到集液罐里。系统进行了定期检查，然而当一根管子破裂时，大多数的油从系统中喷出后起火燃烧，因为关阀门用得时间太长。已经设计了快关装置，但动作太慢。在试验时没有测量响应时间，所以没有人知道阀门响应不够快。
像设备一样，操作步骤也需要时间。例如，当火灾报警时，从房子里撤出需要多长时间？能满足要求吗？
(d) 大型工厂可以用柴油驱动的发电机紧急供电。应定期进行检查，以保证需要时，柴油机能启动。当供电停止时，柴油发电机启动，但延误了再接到配电系统的时间，使操作无法进行下去。
当配电系统正常使用时，试验紧急供电。没有人理解紧急供电是怎样工作的，没有认识到紧急供电系统试验得不彻底。
(e) 来自其它行业的例子：在英国，多年来铁路客车的门时常莫名其妙地打开，使乘客跌下去。后来人们将锁卸下来送去检查，没有发现任何问题，得出的结论是有人将车门打开了。但是出问题的不是锁，而是门通道和锁之间的配合出了问题，使门可以打开。
(f) 在开工前，对装置进行压力试验，但是每个单元(图14-1)进料线上有止回阀(NRV)使止回阀另一侧的设备无法进行压力试验。在开工期间，在图中指示点发生液化气泄漏，所以在图的最左边在公用线上用一只止回阀代替三只止回阀。
(g) 在试验联锁或隔离以保证其可靠性前，应先考虑到，如果它们不起作用将会发生什么事。例如，如果取下保险器将泵或其它设备隔离，应合上开关检查取下的保险器是否正确，假如取下的保险器不正确，在没有润滑的情况下启动泵，泵是否会受到损坏？
在屏蔽室通过遥控的方法，将放射源从一个容器移到另一个容器里。放射性检测器与屏蔽室的门联锁，当室内测放射性时，可防任何人通过门进入室内。为保证联锁正常工作，操作员通过遥控试着打开屏蔽室的门。他发现门能打开，关门的机械装置不起作用，幸好他没有打开远处的门。
(h) 不要试着修改断路系统的设定值。断路或联锁系统可在修改后的设定值下起作用，但这不能证明它们能在原来的设定点下起作用。
14．2 应对所有保护设备进行试验
本节列出了一些经常受到忽视，没有列在检查表里的设备。
14．2．1租赁设备
氮气蒸发器上的低温断路系统出现故障后，人们发现从没有对这套系统进行测试。设备是租用的，使用方错误地认为出租人已经对其进行了试验。
14．2．2紧急阀
泵发生泄漏着火，这时赶去关泵的出人口阀是不可能的。但是在泵的人口管线和抽出罐之间有第二道阀，这台阀装在罐的围堰边上。很不幸，这台阀平时很少使用，现在根本转不动。
所有的阀门，无论是手动的还是自动的，只要在紧急情况下使用，都要定期进行检查(每周或每月)。如果完全关闭可能导致生产波动，所以在检查期间先关闭一半，在停工期间再完全关闭。
应对紧急放空阀进行定期检查。参考资料5详细讲述了当对可靠性要求很高的紧急隔断阀进行试验时，所要做的测量工作。
14．2．3蒸汽伴热
加热炉的进料泵被断开，流量计被冻住，所有低流量断路系统不起作用。两根炉管爆裂，大火烧了很长时间，炉子的钢结构和其它炉管受到损坏，烟囱倒塌。
在天气寒冷时，应定期检查断路和报警系统的仪表伴热。这属于日常的检查工作，不必频繁进行试验。
14．2．4安全阀、放空管和阻火器等
作为安全阀检查的一部分，10．4，2列出了一些要进行登记检查的项目。2．2(a)讲述了一些造成两人死亡的事故。放空管被堵塞，罐体的端面被压缩空气炸飞。
开放型放空管，尤其是储罐上的放空管通常装有阻火器。如果放空管和在特殊阻火器里的放空管不能保持清洁，就有可能被堵塞，造成储罐被抽瘪(见5．3a)。如果阻火器的效果不好，雷击或其它外部引火源可能引燃罐里液面以上的可燃气体混合物，就有可能发生爆炸事故。根据1989年的报告，仅在加拿大的Albelta省，每年就因阻火器出问题，造成10～20次储罐爆炸。阻火器的有些故障是因为在检查期间没有发现损坏，有些是设计问题。
14．2．5其它设备
除了已经提到的，其它应进行定期检查的设备如下：
● 止回阀和其它防止逆流设备。如果它们出问题会影响装置的安全。
● 安全阀尾管上的排水孔。如果它们被堵塞，雨水会聚积在尾管里(见10．4)。
● 储罐围堰里的排水阀。如果它们常开着，围堰就不起作用。
● 紧急设备，像柴油驱动的消防水泵和发电机。
● 气体和液体过滤器，包括空气过滤器。应检查它们的性能。
● 烟感和火焰探测器和灭火设备。
● 接地连接，尤其是用于卡车接地的可移动接地。
● 标签(见第四章)也属于一种保护性设备，消失的速度很快，应定期检查保证它们时刻在位。
● 机械保护系统，像超速断路系统。
● 氮气保护(在储罐、烟囱和离心分离机上)。
● 被动性保护设备，像绝缘层，如果储罐上10%的防火层脱落，剩下的也不起作用。
● 备用泵，尤其是那些装有自动启动装置的泵。
● 蒸汽
● 疏水器。
● 伴热(蒸汽或电)。
● 断路、联锁和报警。
● 在紧急情况下使用的遥控或手动阀。
● 通风设备(见17．6)。
● 喷水系统和蒸汽帘。
最后，应对完成检测工作的设备进行检查。
如果设备不值得检测，那么你也就不需要它了。
在大停工检修期间，对断路和联锁系统进行调试后，应进行测试。下列事故说明对所有的保护设备进行测试的必要性：
(a) 正在使用盘车装置时启动了压缩机，盘车装置被毁坏。压缩机装有保护系统，这套系统使得在用盘车装置时不可能启动压缩机。但是保护系统出了故障，因为没有进行不定期检查。
(b) 在一套自动灭火系统里，小规模加料装置使得爆破盘破裂，放出灭火剂(halon)。管理人员说没有必要对这套系统进行测试，如果要进行测试，必须将充进去的灭火剂(非常昂贵)放掉。
业主坚持进行测试。烟雾检测仪起作用，爆炸性加料装置正常，但是切割装置没有将爆破盘刺穿。因为爆炸性加料装置和破坏盘之间的体积太大，产生的压力不足。因为是设计上的变化，使得这部分体积增加：安装手动释放灭火剂(halon)装置。
(c) 处理放射性物质的手套箱应该使用氮封，因为处理的有些物质是可燃的。在准备进行新的操作时，操作员发现氮气供应线被切断，没有氧气监测仪。因为工艺上不再需要氮气，几年前氮气供应就被切断了，人们忽视了氮封的需求。断开一个伺服系统没有被视为改动，没有受到重视。显然从来就没有安装氧气分析仪。人们有时会遇到一件无法进行检测的设备。在设计时应使测试很容易进行。
14．3 测试工作做得大频繁
一套气相碳氢化合物氧化装置发生爆炸，伤了十个人，装置受到严重破坏。尽管这套装置装有保护系统，可以测量氧气的浓度，当浓度接近爆炸限度时，切断氧气供应量。
通常安装几台氧气分析仪，但这套装置只安装了一台。因而管理部门为了弥补数量上的不足，决定每天测试分析仪，而不是每周或每月检测一次。
测试要用一个多小时，因而保护系统有5%的时间不起作用。因为正在进行测试，不能防止爆炸的几率占1/20。事实上，当氧气的浓度升高时，检测仪正在进行测试。
14．4 保护系统不能自行设定
(a) 一家工厂发生瓦斯泄漏，并引起大火。操作员从控制室的窗户看到后，马上按下切断进料，打开放空阀的按钮。他按了几次，没有任何响应。他跑到室外用手关了进料阀，打开放空阀。
这个按钮操纵电磁阀，它将通向进料和放空管线上的阀门的压缩空气放空(图14-3)。然后进料阀关闭，放空阀打开。这不会马上动作，因为在电磁阀和其它阀门之间的线路很长，要使压力降下来需要一分钟左右的时间。
操作员期望当他按下按钮时，系统就能动作。当它没有反应时，操作员认为系统出了故障。不幸的是，经过几次这样的操作，他就把它放在了正常位置。
在每次停工时，操作员都对这套系统分几种情况进行测试，但是测试是在没有应力的情况下进行的，他没有注意到系统开始动作要用一分种左右的时间。电磁阀上应安装卡销，一旦按下按钮后，电磁阀不能回到其正常位置，直到用手复位。
(b) 液相碳氢化合物氧化装置装有高温断路系统，它能切断空气供应，打开排放阀将反应器里的物料排放到安全地方(图14-4)。如果空气阀在卸料后重新打开，在反应器里能形成可燃性的混合物。
一天，温度测量装置发出假的高温指示信号，空气阀被关闭，排放阀被打开，温度指示下降，也许因为此时的反应器是空的。排放阀停在开的位置，但空气阀重打开了，反应器里形成可燃性的混合物，幸运的是没有被引燃。
空气阀重新打开是因为接到空气阀上仪表风线上的电磁阀不能停在断开的位置上。所以应在电磁阀上加卡锁。
因为操作员拆除联锁系统(被解除、关闭或失效)发生了多起事故。下面是一些典型的事故：
(a) 经验说明当高压釜或间歇反应器安装了放空阀时，阀门会在错误的时间打开，容器里的物料泄漏到地面上(通常是在室内)。为了防止这种情况发生，一套反应器上的排放阀加上联锁，以便压力高于设定值时，这些阀门不会打开。然而当一台反应器升压时，一只排放阀打开了，一批物料倒在地面上。调查表明压力测量仪表不十分可靠。所以操作员养成了这样的习惯，即通过用校零点螺丝来改变压力设定，或隔断仪表风供应使联锁失去作用。
有一天，令人难以置信的事情发生了。在摘除联锁后，一名操作员错误地打开了排放阀。保护设备可一次又一次地被摘除，但这只能在得到负责人的书面许可后才能进行。设备出问题时应发出清晰的信号，如表面板上的灯亮。
(b) 装置开车后不久，发现装置的某一部分过热，法兰连接处正在冒烟。进一步又发现温度控制器和高温断路系统的电源插头被拔掉了。
设计断路系统是为了在出现掉电现象时起作用。如果掉电会使操作发生危险的波动，那么失电时应报警。如果断路系统在停工期间一直工作着，那么在开工时应对其进行测试。特别重要的断路系统，像用在加热炉、压缩机和高氧浓度断路系统，在大停工检修后一定要进行测试。
无法测量温度或控制系统出故障是高温(或高压、高流量、高液位等)最常见的原因。
(c) 为了维修设备必须将断路和联锁拆除(即使其不起作用)。操作工或维修工也许当时会忘记恢复断路和联锁。例如，为了维修一台紧急柴油发电机，在自动启动机构上加断路器，根据工作程序，当工作完成后，一名电工应将断路器拆除，另一人验证拆除情况，两人签字的工作程序说明拆除工作已经完成。然而，一周后进行常规检查时发现断路器仍留在原处。
如1．2．7(e)和3．2．7(b)所述，检查程序有时会中断，因为第一个人认为检查员会发现任何缺少的东西。过了一会儿，检查员没有发现不对的地方，就停止了检查。当安全设备必须被断路或拆除时，应在仪表盘上用灯光发出明显的信号，或帖上告示。
(d) 在计算机控制的工厂里，可以用软件块避开联锁。在一家工厂里，要进入程序需要口令和编码，程序加有锁和钥匙，只有电工和工程人员才知道，然而有40人可以进入程序。通过常规检查发现联锁已经被摘除时，所有40人都声称不知道。40人都知道的秘密就不是秘密了。
(e) 在英国Catwick机场，一名员工把他的头伸到货物转运车驾驶室的舱口里，他认为车已经停了，实际上它仍然慢慢地开着，他被卡在车和附近的柱子之间，幸好他只受了点瘀伤。当舱门打开时，联锁应将车辆停下来。为了改善驾驶室里的通风，已将联锁避开了。根据报告，公司应对安全设备定期进行检查，系统化的评估应当已经查明这次风险，这家公司被罚款。
(f) 在每月对应急发电机进行常规检查期间，为了防止报警发出声响，通过重新对数据记录仪编程使报警系统不起作用。事后有关人员忘了恢复报警系统。当有人查看数据记录仪的数据时，注意报警仍然不起作用，这件事9天之后才被发现。没有书面记录、规定或使报警不起作用的程序。
在另一起类似的事故里，工厂的记录薄里记录着拆除报警，但几乎没有人看旧记录。在一次操作不正常时，有人发现没有报警声，才发现报警已经被拆除了。像在上面(c)中所述，如果临时不用报警，应明显地发出信号。
(g) 如果有时解除联锁是必须的，那么这样做的程序并不太容易，铁路系统很久以前就发现了这一点。如果另一列火车已经在联锁保护的路段，信号Go就无法设定。有时要将联锁旁路，例如当火车出故障时，或当探测火车存在的设备不能使用时。原来只需动一把钥匙就能解决问题，这样做已经引起几起事故。然后人们做了一些修改，为了拿到钥匙，信号员(调度员)必须打碎一块玻璃，然后派人找技术员来修理。每一个人都知道他一直使用这把钥匙，他很少准备用它。在一套替代系统里，一支把手已经转动100次了。这给他充足的时间考虑他的聪明之举。
许多事故说明了常规检测的重要性。
14．6 用仪器直接测量人们所需要的数据
一套乙烯氧化装置被断路，仪表盘上的灯告诉操作员氧气阀关闭了。因为装置马上要重新开工，他也没有关闭手动隔断阀。在装置重新开工前，发生爆炸。氧气阀没有关闭，氧气继续进到装置里(图14-5)。
氧气阀用电磁阀通过将供到阀膜里的空气放空来关闭。仪表盘上的灯只说明电磁阀已经断电了。即使电磁阀断电，氧气仍在流动，因为：
1．电磁阀没有打开；
2．空气没有放空；
3．断路阀没有关闭。
实际上，空气没有放空。空气供应线上1in的放空管线被黄蜂巢堵塞。只要有可能，我们应当直接测量我们想要知道的，而不是测量那些用来参考的参数。
17．3(b)和17．5(c)介绍了其它一引起事故。在这些事故中，操作员只靠自动阀，没有用手阀支持自动阀。
14．7 联锁装置只用于紧急状态，不能经常使用
(a) 5．1．1讲述了有人用足量的原料向一台小罐加料，一直持续到第二天。
操作员看着罐里的液位，当液位达到90%时，他关掉加料泵。在不可避免的事情发生以前的几年间，这个系统的工作状况令人满意，但这次操作员使罐发生溢出事故。然后安装了断路系统，如果液位超过90%，系统将泵自动停下来。使每个人感到吃惊的是，大约一年后，这台罐又发生溢出事故。
当安装断路系统时，它被假设：
1．如果操作员有时忘记及时停泵，那么断路系统起动；
2．断路系统有时也出故障(每年一两次)；
3．两者同时出现的机会可以忽略。
可是，结果却完全不同。操作员决定依靠断路系统，不再查看液位。经理和领班知道这种情况，但是感到很高兴，因为操作员的时间被很好地利用了。断路系统每年出一两次故障，这台罐注定每年要发生一两次溢出事故。断路系统用做过程控制器，不是用于应急仪表。
在第二次溢出事故之后，考虑下列选择：
1．劝说操作员继续查看液位。如果安装了断路系统，这种做法被认为是不切合实际的；
2．拆除断路系统，只靠操作员，接受偶而溢出事故的发生；
3．安装两套断路系统，一套用于过程控制器，如果第一套出故障，另一套自动接替。
(b) 当装有低流量断路系统的加热炉要停下来时，通常的做法是停止进料，低流量断路系统切断喷嘴的燃料供应。用这种方法试验断路系统不会造成生产波动。
在一种情况下，断路系统出故障，加热炉盘管过热。操作员正在装置的其它地方忙着，没有查看加热炉。
有时所有的断路系统出故障。所以如果我们有意识地等着断路系统起作用是不够的，我们应当查看读数，留给自己时间判断断路系统是否出故障。
14．8 试验可发现错误
无论什么时间我们进行试验时，都有可能发现错误，我们必须为此做好准备。
在换氯气瓶后，两名工人确信连接管线没有泄漏。他们没有预计到能发现泄漏，所以没有戴防毒面具，不幸的是，有少量的泄漏，他们都有受到氯气的影响。
工人的行为并不非常符合逻辑。如果他们确信没有泄漏，就不需要试验。如果需要试验，就有可能泄漏，也就应该戴防毒面具。
类似地，压力试验(压力高于设计，不同于在设计压力下进行的试漏试验)用来检测缺陷。有可能存在缺陷——如果没有缺陷，不需要做压力试验)——所以我们必须采取适当的防范措施。如果管线或容器破裂，有可能造成人员伤害，现场的人员应当撤离。
14．9 其它复杂事故
(a) 虽然没有怀疑液位，但是人们在蒸馏塔底安装了放射性料位计。在60m外进行射线探伤，放射源指向蒸馏塔放射性检测仪的方向。当塔里的液位高时，液体吸收放射线。当液位低时，检测仪受到更多的射线照射。检测仪不能区分正常放射源和探伤放射源，所以指示低液位。
(b) 像在1．5．4(d)所说的那样，在有些情况下，安装工已经将热电偶套管拆除——插入温度测量装置的保护套——没有认识到这样做会引起泄漏。
(c) 如9．2．1(c)所述，一台球罐里的液位控制器上的浮子松动，刚好堵在安全阀下的短管里。当球罐被装满和隔断后，热膨胀使直径14m的球罐增加直径0.15m。
14．10 海上事故
RudyardKipling写道：“只有英国人知道的事情，他们又怎么会知道呢？同样，如果我们对其它行业的事故不了解，对加3232业又知道些什么呢？下面是一些值得加32212业汲取教训的一些海上事故。
美国长尾鲨号潜水艇沉没已经30多年了，在这次事故中有129人丧生，事故的原因已经被人们忘记了。事故的直接原因是海水通过银—铜焊接口进到发动机室里，据信引起电器设备短路，使反应堆关闭，无法将压舱水排出使潜水艇浮到水面上。
根据一篇最近的报告，“核动力装置是设计考虑的重点，所使用的标准比艇上其它部分更严格”。在制造时，储存区和非结构区所受的重视程度不如主体单元，出的事故也多些。
报告指出：“海军过去已经历了一系列的银铜焊接口破裂的事故，有几次几乎使潜艇沉没，事故预示着传统的质量保证方法——静水压试验——不能满足要求。因而，海军指示造船厂用超声波检测长尾鲨号上的银铜焊接点。但是海军没有要求进行试验的范围，没有强调试验应彻底完成。超声检查显得繁重而费时，当要进行的压力试验显得很重要时，造船厂不再使用超声检查，而改用传统的方法。尽管在145个接口处有20处通过静态水压试验，但不能满足超声检查的最低连接要求，人们仍然采用了传统的方法。”
在加工工业中，许多事故说明应该准确地告诉承包商做些什么，然后做什么检查工作。由于不景气和经济方面的原因，人们很容易忘记这一点。
英国的潜水艇出了一件事故。在当时，用来检查鱼雷外舱门的一些排放阀被关闭。如果水从排放阀流出，说明外舱门是打开的。反之，外舱门是关闭的。在一种情况下，排放阀被堵塞，当外舱门打开时，内舱门也是打开的。结果潜水艇沉了，许多士兵被淹死。在加工工业中，也发生类似的事故，虽然危险性较小，例如进行憋压试验时。在试验以前，如果试验结果不是我们所期望的，那么我们应当考虑到所要发生的事(14．1g)。
1912年泰坦尼克号沉没一直是许多书的主题。另一艘豪华轮船Villede Havre号在1873年离开纽芬兰，发生碰撞后失事，其影响就小得多。因为船刚刚完油漆，每样东西都牢牢地粘在一起，很难将救生船解开，造成许多救生船没能及时放下去。沿甲板摆放的救生工具也被牢牢地粘住，57人获救，但是有226人被淹死。在化工厂里，油漆工将能看到的地方都刷上漆。这次灾难说明了检查承包商工作的重要性。同时说明应经常试验所有的应急设备，尤其是在进行维修后，无论是柴油发电机、联锁、报警系统、或救生艇。关于泰坦尼克号，最严重的缺陷是供所有乘客用的救生艇不足，但没有试验应急设备加重了人员生命的损失。船员们很难揭下救生艇的盖布解开救生艇。没有受过救生训练，有些船员不知跑到哪儿去了。
在看过詹姆士·卡梅隆的电影《泰坦尼克号》后，一名妇女在离开电影院后说；
“你知道，这种事是会发生的”。(每日电讯(伦敦)，1998年3月2日)
人们有时正确地判断许多火灾、爆炸是由静电(短时间静止)引起的，但是有时调查人员找不出任何其它的引火源，所以虽然他们无法确定静电荷的生成量和放电量，但认定事故一定是由静电荷引起的。
当两个物体做相对运动时，就会生成静电荷，例如当液体流过管子时，当液滴或固体颗粒穿过空气运动时，或当人们散步时，从座位上站起来时，或从衣服上撕下什么东西时。一种电荷在表面上生成——例如在管壁上——一个电量相等电性相反的电荷在另一面生成——例如在流过管子的液体上生成。
许多电荷一旦生成，马上流向大地。但是，如果电荷在非导体或没有接地的导体上生成，就能保持一段时间，如果电荷的电位(电压)足够高，那么静电就会通过电火花放电，如果现场有可燃性气体，电火花能将其引燃。像纯的碳氢化合物一样，塑料和不导电的液体都是非导电体。大多数分子里含有氧原子的液体是良导体。
即使静电火花引燃了空气和可燃蒸气的混合物，静电引起火灾或爆炸的说法是不正确的。真正的原因是泄漏或导致混合物形成的任何事情。一旦混合物形成，经验告诉我们点火源就可能生成。除了当危险能被人们接受，不允许故意生成混合物——例如，在含有可燃性的非碳氢化合物的固定罐顶里的蒸气。
15．1 流动液体产生的静电
5．4．1讲述了储罐发生的爆炸，13．3讲述了罐装卡车发生的爆炸都是被静电引燃的。不良导电液体流动时产生静电，在液体和金属容器(或加料臂)之间放电，产生电火花。
如果像丙酮和甲醇这样的良导电液体流到一个没有接地的容器里时，容器从液体获得电荷，在容器和任何附近接地的金属之间产生电火花，请看下列事故。
(a) 丙酮被定期排到一个金属桶里。有一天，操作员将桶吊在排放阀上，而不是将桶放在下面金属阀的表面上(图15-1)。桶的提手上包有一层塑料。当丙酮被排放到桶里后，桶和丙酮液体里聚积了电荷，塑料不能使电荷通过已经接地的导线流向大地。最终，在桶和导线之间产生电火花，丙酮起火。
即使已经将桶接地，不能用敞口的桶来处理可燃的(或有毒的或腐蚀性的)液体。为了防止溢出，应在一个密封的罐里处理(见7．1．3和12．2c)。可是，密封的罐也不能防止被静电引燃，请看下面的事故。
(b) 一个人提着一个10L的金属罐接丙酮。当他关闭丙酮线上的阀门时，丙酮着火了，火势蔓延到楼的其它部分。这个人穿着生胶鞋，人们相信静电在丙酮、桶和人体上聚积，当他伸手去关阀门时，火花从他的手跳到阀门上，阀门是接地的，丙酮蒸气被引燃。
(c) 有时用一条2in的橡胶软管向一台金属罐里加乙酸乙酯，没有办法将金属罐接地，软管的长度也不能伸到罐的底部。液体从0.6m高处溅落。加了几分钟后，发生爆炸。罐的两端被炸飞，其中一端击中一个人的腿，把两条腿撞断，另一端撞到另一个人的踝关节，他在随后的火灾中被烧伤，几天后死去。
注意，像在13．3讲述的那样，在条件适合于发生爆炸以前，人们已经多次按这种方法操作。
(d) 因为罐外刷油漆或罐内加衬里使罐里的装料无法接地已经造成多起爆炸事故。
如果使用5．4．1所讲的罐，罐里的液体导电性不好，电荷聚积在液体上，通过接地的导体放电，也可能发生爆炸。参考资料4讲述了一些已经发生的事故。它们很可能发生，当：
● 当液体的导电性较低(少于50ps／m)和最低点火能较低(小于1nd)时；
● 罐里的空气—蒸气混合物接近最佳爆炸条件时。通常在爆炸上下限的中间；
● 液体通过过滤器、出口粗糙的软管和其它阻碍物获取很高的电荷时。
如果这些条件不可避免，那么在加料前用氮气惰化。
15．2 气体和水射流产生的静电
在有些情况下，当人们使用二氧化碳灭火器时，会受轻微的电击。从灭火器喷出的气体射流中含有固态的二氧化碳颗粒，所以电荷集中在灭火器的喷口，通过握着喷口的手传到地面。
当用二氧化碳惰化装有石脑油的船舱时，同样发生更为严重的事故，产生的爆炸造成4人死亡，7人受伤。当时用一根8m长的塑料软管向船舱里加二氧化碳，软管一端接着一根短黄铜管(0.6m长)，从船舱的罐孔里伸进去。据信电荷聚积在这根黄铜管上，在黄铜管和船舱之间放出电火花(见19．4)。
几年之后，当试验灭火系统时，向地下喷气燃料储罐里注入二氧化碳。罐体发生爆炸，站在罐上的18人被炸死。在这起事故里，放电也许来自固态的二氧化碳颗粒云雾。
蒸汽射流中的水滴通常是带电的，有时会在射流和附近的接地管线之间放电。放电具有光环特点，而不是真正的火花，在夜间可以看见，看上去像小火焰。
船舱(用高压水洗设备清洗)里水滴放电已经引燃可燃气体混合物，使几艘超级油轮受到严重破坏。放电来自水滴雾团，因而是“内部闪电”。
一个玻璃蒸馏塔裂了，水溅到裂缝上，人们可以看到火花从保温材料的金属覆层(没有接地)跳到水线的端头。在这种情况下，虽然没有起火，但事故说明应将所有的金属物体和设备接地。它们可以扮作来自蒸汽泄漏或水射流电荷的收集器。
大多数接地采用将结构或电机接地的方式，但不适用于保温覆层、脚手架、废料块、放在地面上的工具，或用非导体或软管接在一起的金属管件(见下一条目)。有一种情况，当电缆的一端暴露于蒸汽泄漏中时，在电缆的另一端可以看见火花闪过。
15．3 粉尘和塑料产生的静电
向装置的一个储罐的导管里倒粉末。如图15-2所示，用一根橡胶软管作导管，当粉末向下流动时，产生的电荷聚积在上面。虽然软管用金属丝加固因而能导电，但是两端所接的聚丙烯短管是不导电的，因而电荷聚积在软管上，生产火花，引起粉尘爆炸造成一人死亡。
非导电性的软管保持了电荷，但产生的火花不像导电性软管那么大，不能点燃粉尘(虽然我们还不能肯定)。比导电的没有接地的软管更安全，但不如接地的软管安全。
用来输送爆炸性粉末的软管或短管应当用导电性的材料制造，并完全接地。作为一种替代(或附加的)方法，可以使用氮气降低气体的活动性，使短管能承受住爆炸，或安装卸爆管。
即使没有空气存在，静电放电能引起化学反应。例如，当在真空条件下干燥粉末时，在粉末里，静电放电产生增加导电性的通路网。当充人氮气后，真空不存在了，压力的上升使电火花突然增加，粉末的分解反应失控。在低真空度下操作，可以防止着火，因为放电更频繁，因而能量较低，破坏性较小。
一座颗粒状物质箱柜发生爆炸。柜里的料位用一根竖直钢缆电容的变化来进行测量。断开测量装置后，钢缆成为不接地的导体，电荷在上面聚积，在钢缆和箱柜壁之间(0.3m，1ft.，远)产生电火花。此时，箱柜里的料位很低，整根电缆都没有被盖住。箱柜里发生爆炸，但通过一个泄放通道被放空，没有造成损坏。颗粒状的物质不易被点燃，但里面的细粉聚积在钢缆上。
第一、第三起事故是因为简单的动改引起的(见第二章)参考资料讲述了因其它引火源引起的粉尘爆炸事故。
注意，当在管线加上一段塑料管时，接在塑料管以外的管子不再接地，在处理液体或粉尘时很危险。在有些情况下，为了防止溅装罐车，在加料臂上接了一段塑料管，塑料管上带没接地的金属件，电荷在上面聚积，然后放电，将罐车里上面的蒸气引燃。
在向含有可燃气体的容器里人工加装粉料时发生过几次火灾，因而推荐使用机械加料方法。使用惰性气体封存，或降低液体的温度能更好地防止爆炸性混合物的形成。参考资料5介绍了在塑料表面上发生的几起放电事故。例如，一名操作员用他的手套擦拭检查灯(用在可燃气体里)时，盖子上带电。当把灯放进装有可燃性气体的容器里时——这是一台铝制容器，用氢氧化钠溶液清洗后产生氢气——引燃了里面的气体。用在可燃性气体里面的电子仪器，在50%的相对湿度下，其表面电阻少于1GΩ。当容器里有可燃性气体时，不应对容器进行检查。
某人用塑料扫帚想把溢出的汽油清扫干净时将汽油引燃。应该用泡沫将溢出物盖住。虽然因为塑料表面放电，引起一些着火事故，“……相对于塑料材料的广泛使用，事故的发生率极低”。如果塑料表面易带电，又可能有可燃性气体存在，如果混合气体的着火能是0.2mJ，那么暴露的塑料面积不能超过20cm2；如果着火能降低，暴露面积也要降低。
15．4 服饰产生的静电
(a) 一名操作员在楼梯里滑倒，扭伤了踝关节，休息了17个轮班。楼梯没问题，操作员的鞋也没有问题。
人们的反应可能是，这又是一起我们无能为力的事故，在事故报告里写上“告诫人们要更加注意”。
可是，在出事的厂里，人们不满足于这种简单的处理方式，对事故进行了彻底调查。他们问受伤的人为什么不用扶手。
事情马上真相大白，扶手用塑料包着，当人们使用它，并穿着绝缘鞋时，身上会带电。当他们再接触设备上的金届时，会受到轻微的电击。产生的火花不足以对人造成伤害，但使人感到不愉快，所以人们不愿意使用扶手。
如果人们能感到电火花，那么它的能量至少在1mJ。引燃可燃气体的最少能量为0.2mJ，所以能够感觉到的电火花，如果现场有可燃性气体，一定能够将其引燃。
(b) 当我们在人造纤维地毯上走过时(或从椅子上站起来)时，身上就有静电荷。当接触到金属物体时(比如整理厨柜)，会受到轻微的电击。穿着不导电的鞋，走过厂里的地面时，身上也会带电。我们已经知道这样形成的电火花能引燃可燃性气体或蒸气，尤其是气候比较干燥时，但这种现象比较少见。除非泄漏经常发生，一般不主张穿导电性的鞋。如果经常发生泄漏，采取行动防止泄漏的发生比采取行动防止泄漏物被引燃更为有效。
(c) 一位司机到了加油站，卸下油箱的盖子。加油员给车加汽油时，司机的手里拿着盖子。司机脱下套头毛线衫，因而身上带电荷，套头毛线衫带等量的电性相反的电荷。司机把套头毛线衫扔到车里，他穿的鞋不导电，所以电荷不能传向大地。当他准备重新盖好油箱的盖子时，电火花从盖子跳到油箱加油口上，油箱口马上起火。火不久就被扑灭了。火焰不可能窜回到汽油罐里，因为罐里油蒸汽和空气的混合物中蒸气的含量太高，所以不可能发生爆炸。
人们曾经认为，用人造纤维造做的衣服比穿羊绒或棉制衣服更容易起静电。正像上述事故所说的，只有脱衣服时才会产生静电。在处理泄漏时，正常情况下，人们不会从脱衣服开始，就静电而言，没有必要限制所穿衣物的类型。参考资料8对人体产生的电火花进行了评述。
对于他而言，铁像稻草一样脆弱，青铜像朽木一样松软。
——Sob 41：27，Good News Bible
16．1 用错材料
许多事故是因为选用了错误的建筑材料引起的。错误主要来自维修和建筑工人或供应商，他们没有使用或提供规定的材料。材料专家几乎不会犯选错材料的错误。
下列是一些典型的事故：
(a) 将钛法兰错误地装在输送干氯气的管线上。钛是输送湿氯气的理想材料，但与干氯气接触时，能起火燃烧(此处的燃烧指的是钛与氯而不是氧迅速化合)。
在另一起事故里，一套新装置的两片法兰连接处，在引入氯气一小时后发生泄漏。人们将垫片拆下，并进行了分析，发现垫片上虽然打的是哈司特镍合金(规定的材料)，但实际上是用钛制造的。
在一部分处理酸的装置里规定用PTFE垫片，因为这种垫片较脆而且较贵，又因为在开工初期，要用水进行一系列的试验，所以在此期间使用了一些临时性的腈橡胶垫。您已经能猜出发生什么事情了。有一支腈橡胶垫留在原处，受到腐蚀，引起酸泄漏。随后进行的检查表明，许多垫片所选用的材质都不对。
(b) 使用刷了铝漆的碳钢阀门，而不是真正的不锈钢阀门，很快受到腐蚀。
(c) 一台旋塞阀的旋塞是用纯镍而不是用304L不锈钢制造的，阀体没有问题。这只阀门装在硝酸管线上五小时后，旋塞被彻底腐蚀，酸通过阀杆密封泄漏出来。
生产厂家提供的试验证明说，这只阀是用304L不锈钢制造的。
(d) 一套处理酸混合物的装置上的阀门必须在夜间进行更换。安装工在车间里找不到适用的阀门，但在四处寻找时，在另一装置上找到一只阀门。他用磁铁一试，发现没有磁性，认为它与正常使用的不锈钢阀门类似，因此就把它装上了。四天后，阀门受到严重腐蚀，有酸液溢出。这只阀门是用哈司特镍合金制造的。哈司特合金适用于他找到阀门的装置，但是不适用于有酸的混合物的装置。
(e) 一台用于内部运输的罐装卡车，看上去是用不锈钢制造的，因而在里面装了50%的苛性钠溶液。12小时后，罐里什么都没有了。这台罐是用铝制造的，苛性钠在罐体上腐蚀了一个洞，苛性钠溶液从这个洞里跑光了。
现在，出事故的工厂在其内部运输的罐装卡车上，都用钢印打上了制造材料。
(f) 在一台小型新罐上有一段被封死的支管。一个月后，支管发生泄漏。后来人们发现，运抵现场罐上的支管被用木制盲板保护起来，并且刷上了与罐同样的颜色，没有人认识到盲板不是用钢制造的。
(g) 炼油厂里的一台泵发生泄漏，随后发生火灾，事故的原因是选用的螺栓硬度不合适。随后对同一厂家提供的其它泵进行检查，又发现一台泵选用的螺栓不符合标准，这台泵在发生泄漏前已经运行了6500小时。
如果这台泵装有遥控的紧急切断阀(如在7．2．1里推荐的那样)，能很快停止泄漏，损失应该不会很大。由于没有安装遥控紧急切断阀，装置停工时间长达5周。
(h) 9．1．6讲述了当用碳钢代替1¼%Cr，0.5%Mo制造高压氨转化器的出口管时所发生的事故。氢在弯管处侵蚀出一个洞，放出气体产生的反作用力把转化器推翻。
加热炉里U形弯头在使用20年后出现问题，事后人们发现这个弯头是用碳钢而不是用规定的合金钢制造的。
(i) 在发现新管子是用错误的合金制造的问题后，进一步的调查表明库存许多管子、卡子和阀门也存在同样的问题。调查工作扩大到装置的其它部分，下面是一些发现的问题：
1．在一台火焰式加热器的炉管上有72道焊缝选用的焊材有错误；
2．在合金钢系统中使用了碳钢放空阀和排水阀；
3．一台合金钢的换热器的壳体上装有两片碳钢大法兰，碳钢上打上了合金钢的印记。
(j) 对一套新氨装置到货材料进行检查表明，有5480项(占总数的1.8%)选用的材质有问题，包括2750个加热炉吊勾。如果这些问题没能及时发现，加热炉在使用时，炉顶就有可能出问题。
“……在没有通知的情况下，供货商通常会提供他们认为是‘高等级的’材料。因而，如果要求提供20片某种尺寸的碳钢法兰，但供货商只有19片，他就有可能加一片‘高等级的’2¼％Cr同尺寸的法兰。如果受到质疑，他们会显得很不高兴，因为他们按原来的价格，提供了‘高等级的’即更贵的材料。如果我们对这种材料很了解，就必须解释材料本身是完全适用的。如果我们对这种材料不了解，就很有可能把碳钢的焊接程序用到2¼%Cr钢上，其结果是不幸的”。
由于出现了上述事故(c)和(g)～(j)，有些公司坚持，如果使用了错误等级的钢材会影响装置的整体性能，那么在使用前，应对所有的钢材(法兰、螺栓、焊材等，以及管道)进行组成分析。用光谱分析仪分析钢材的组成很容易。设计部门应确定哪些管道要进行检查，并在图纸上做出标注。当供货商的系统符合质量标准时，有些公司放松了对自己的材料确定检查。明智的做法是考虑到偶然出现的小错误——从供货商的角度看是微小的——所产生后果却十分严重。
(k) 用回收的废料生产不锈钢，使微量元素的比例增加，这部分增加量没有包括在钢材的规格书中。虽然到目前为止，只有核电站报告出了问题，但这样生产的不锈钢的抗腐蚀性和焊接质量会下降。有一篇报告指出：“致力于掌握分离钢材里杂质的基本过程和产生的脆化现象，对于掌握装置因成分所带来的问题十分重要……”。
(l) 有时供错钢材不是因为贴错标签，而是因为误解造成的。因而，供货商一直提供CS(碳钢)，而不是贿钢(5%Cr，1½Mo，1%W)；5%Cr，½Mo有时称为P5，但有时也用来指2½Cr钢。
(m) 美国能源部已经报告，一些进口的螺栓和螺母不符合标准，在1984～1987年间已经造成61起私人飞机相撞事故，并引起美国海军一艘驱逐舰发生火灾。
(n) 已经介绍了加热炉(10．7，2)和管子(9．1．6a)因蠕变引起的事故。固定一台28in阀门阀盖的双头螺栓，在540～600℃的温度和900psi(6MPa)(表)压力下已经使用28年后，因为蠕变发生膨胀。其作用相当于螺母被强拧到螺距不同的双头螺栓上，全部的荷载力只由几条螺纹承担，螺栓出了问题，阀盖与阀体分离。一旦有一条螺栓出问题，其它螺栓上的载荷会进一步增加，很快引发一系列的事故。
在设计期间，由于蠕变和其它腐蚀形式，应估计平均寿命，制订检查和更换措施。比较便宜的配件，如螺栓、螺母、双头螺栓应及时更换。如果不这样做，到头来是捡了芝麻，丢了西瓜。
再举两个吝啬的例子，一台往复式发动机的活塞用螺母接到活塞杆上，螺母的位置用有耳垫圈固定。当压缩机进行大检修时，要对这个螺母的紧固程度进行检查。如果检查螺母的紧固程度，必须将垫圈的凸耳敲下去，然后再敲上来。这样做使垫圈的强度降低，所以在使用中折断，螺母松动，活塞撞击汽缸的底部，活塞杆断裂。
吊起的30吨重物滑落到地上，幸好没有伤人。事后人们发现制动机构支轴固定销已经松了。固定支轴的开口销钉已经断裂，并掉在地上，人们在地上找到了断裂的开口销钉。
每次动过开口销钉和有耳垫圈后，不应再继续使用，而是应该更换。也许我们不愿意去库房里取一支新的，也许库房里根本就没有。
16．2 因腐蚀而产生氢气
因腐蚀产生的氢气可能出现在人们无法预测的地方，如下例事故所示：
(a) 一台装有硫酸的储罐发生爆炸。因为无法预测发生爆炸的可能性，罐顶／罐壁的焊接强度比通常情况下要强些，罐体在罐底／罐壁的焊缝处裂开。罐体被炸起15米，从一幢楼的顶上飞过，落在附近的一块空地上，几乎砸在其它的罐上，幸好没有人受伤。如果罐落在楼的另一边，它将落到繁华的街道上。
在罐里发生的轻微腐蚀，已经产生了一些氢气，罐上安装了通向地面的溢流管，但是没有放空管，所以氢气不能放出去，聚积在圆锥形的罐顶下面。氢气被在附近作业的焊工引燃。(也许有些氢气从溢流管跑出来)。
应该在储罐的最高点安装放空管线，如图16-1所示。
许多供货商建议，硫酸应储存在能承受30p8i(0.2Mh)(表)的压力容器里。酸通常用压缩空气从罐装卡车卸到储罐里，如果放空管被堵住，这个容器根本无法承受压缩空气的压力。
(b) 因腐蚀产生的氢气由原子氢构成，能通过铁扩散，这就使得氢气出现在无法预测的地方，如空的活塞里面。当在活塞上钻孔时，氢气从里面跑出来，并着火。
在另一起事故里，人们用酸性水清洗水套筒的内壁，这个水套筒包着一个玻璃衬里的容器。有一部分氢气通过器壁扩散，当压力达到一定程度后，玻璃衬里被压裂。
腐蚀耗尽氧气，使罐倒塌(见5．3d)，也使进入罐里的人昏迷(见11．ld)。
(c) 一台8英寸阀门上的六个压盖双头螺栓突然断裂，使氟化氢泄漏出来，造成2人死亡，10人住院治疗。断裂的部分原因是氢应力腐蚀造成的。在这种现象中，因腐蚀产生的氢气，通过张力较高区域上的缺陷渗透，降低了使裂纹扩大所需要的能量。当裂纹达到一临界值时，设备会突然出故障。在这起事故里选用的钢材等级不合适。参考资料8列出了应该选用的钢材类型。
16．3 腐蚀带来的其它影响
因为腐蚀使容器或支撑物变得太薄，通常会发生泄漏或支撑物倒塌事故。继续受到腐蚀，容器或支撑物就不能承受压力或载荷。可是，生锈能以另一种方式造成损失。铁锈占据生成铁锈钢约七倍的体积。当在两块用螺栓或铆钉连接在一起的钢板之间生成铁锈时，产生的压力是非常高的，能使两块板分开，甚至使螺栓或铆钉断裂(见9．1．2e)。混凝土加强筋受到腐蚀，能引起混凝土裂缝和断裂。
16．4 保护层损失
通常用铝制叶轮泵送氟化氢制冷剂，如果叶轮磨到壳体上，氧化保护膜受到破坏，再加上磨擦产生的局部热量，可使铝与制冷剂发生反应，导致叶轮消失。叶轮磨到壳体上，也许是因为轴承磨损造成的，反过来轴承磨损是由于压缩机喘振造成的，所以如果发生喘振，应查明原因。
一种特殊的高压连接使用铜垫片。在试验证明铝不与工艺介质反应后，换成铝垫片。正常情况下，垫片可以使用多年，但几天之后，一个垫片就出了问题。事后发现，安装垫片的人急于做好工作，在安装垫片之前，清洗了垫片。这样做也除去了氧化膜，使铝溶解在工艺介质里。通常的做法是在安装垫片前几天清洗垫片。虽然当时没有认识到这样做的必要性，但提前几天清洗可形成新的氧化膜。
又将铝垫片换回到铜垫片，使用铜垫片比用铝垫片更加方便，铜垫片可以进行清洗，也允许表面划伤。
16．5 腐蚀引起的事故
(a) 一家石油公司停用部分装置，由于疏忽没收有除去管线中的工艺介质，硫化氢和苯的混合物在管线里留存了18年。最终管壁减薄破裂，至使10人受到酸性气体的影响被送到医院治疗。
(b) 液氮装置里有一台蒸发器，其装满水的钢外壳内穿有数百米的铜管。虽然钢外壳上刷了油漆，但由于电解腐蚀(钢和铜组成电池)，六个月后钢板被腐蚀穿了。如果有1%的钢板表面没有被油漆覆盖，产生的电流将通过这个区域，腐蚀速度增加100倍。铜不会受到腐蚀，在铜表面刷油漆比在钢表面刷浅漆更有效！
有些人使用材料但没有完全理解材料的特性，这次事故说明由他们自己动改的危险性。
(c) 天然气里微量的汞(达300yg/m3)使一些合金材料变脆，其结果是阀门不能使用。此外，汞与氨反应可生成具有爆炸性的化合物。
(d) 由于氯化物锈导应力腐蚀裂缝，反应器里有些催化剂管开工后不久破裂，应邀前来调查的材料专家发现的问题有，问题都出在反应器的一角，安装催化剂管后的数周时间内工人白天晚上一直在反应器的顶部作业，从装置的其它位置看不到这个区域，要到达最近的休息室工人们要爬3道梯子。
其它腐蚀问题见参考资料3。
16．6 着火
我们知道，金属尤其是铝(见10．1)受火的影响，但是没有考虑到金属自身会着火的可能性。有些金属，包括钛当处在粉末或细小的状态下时会燃烧，大块的钛也能燃烧。在进行燃烧操作时，三台钛换热器起火被毁坏。有一种情况是直接与火焰接触起火，另外两种情况是与炽热的焊渣接触引起的。在钛制设备附近进行焊接或燃烧作业时，务必多加注意。
16．7 选择材料
在选择制造材料时，我们必须考虑到各种影响因素。这了便于概括和记忆，科尔比使用只取首字母的缩写词SHAMROCK。
S＝安全：出现问题后，后果怎样？如果后果很严重，应选用抗腐蚀性更强的材料。例如，一套装置泄漏出来的水与工艺介质发生剧烈的反应，那么应该用抗应力腐蚀裂缝(来自冷却水中的氯化物)和抗锈蚀等级的钢制造水线。
H＝历史：如果一家工厂已经成功地使用材料很多年了，员工们了解材料的
强度和限度，掌握焊接方法等，在进行动改时很犹豫。例如，多年来玻璃纤维加强塑料使用状况一直非常好，当用来自同一家公司的另一种产品(名称相同但编号不同)代替使用后，当天晚上就漏了。
A＝可用性：在推销员向你推销新奇的材料前，在匆忙中考虑一下替换供货是否来得太容易。
M＝维护：一位工程师通过不再中和微酸性的冷却水，每年节约10000美元。在30台装有夹套反应器里生成铁锈使反应时间增加25％。我们已经知道几位工程师通过采取类似的措施获得了声誉，包括省略维护，然后让他们的继任者来收拾残局。
R＝可修复性：一家工厂买回一台新容器，容器的衬里不是他们已经使用多年的那种，而是一种新型的塑料衬里。这种新型衬里的高温抗腐蚀性比低温好。但是，当需要进行修复时，补片无法进行粘接。最终问题得到及时解决，但是在换材料以前，应考虑到材料的可修复性。
O＝工艺介质的氧化性／还原性：在酸性溶液中，影响选择的合金材料。
C＝费用：一个重要的考虑因素，但要看整个使用期间的费用，包括维修费用，而不只是前期费用，吝啬的态度(见16．1)不可取。
K＝腐蚀机理动力学：除非我们掌握了腐蚀机理的动力学，否则我们不知道哪种材料适用，哪种材料不适用。
……人们相信新系统，因为人们为新系统一定是好的；人们相信旧系统，因为旧系统已经使用多年。
——Wendy Grossman，每日电讯(伦敦)，1997年7月29日
本章讲述一些因为操作程序不完善引起的一些事故。在本书的第一章和第十一章已经讨论了因维修设备准备或进入容器的程序不正确引起的事故，本章不再赘述。
在维修工作中，憋压是人们熟知的一种危险，在1．3．6中已经进行了讨论。我们在此讨论的事故发生在工艺操作过程中。
每天，每一家工厂都要打开压力设备。正常情况下，进行这样的作业要经过批准。一个人做准备工作，另一个人打开容器。正常情况下应先松螺栓，以便在压力能引起任何损失以前，测到压力的存在——假设接口按正确的方法断开，如1．5．1所述。
当一个人执行准备和开启压力容器两项工作，并使用快松机构，而不动螺栓和螺母时，已经发生了几起致命或严重的事故。关于罐装卡车的事故已经在13。5做了介绍。下面是另一起事故：
用压力过滤器除去悬在工艺介质里的催化剂。在过滤工作完成后，用表压为30psi(0.2MPa)蒸汽吹出剩余的液体。通过过滤器上的放空阀泄压，通过压力表观察压力下降。操作员打开过滤器进行清洗。过滤器的门用八个径向门闩锁紧，门闩卡到过滤器本体上的U形螺栓上。通过转动固定在门上的大手轮将门闩从U形螺栓撤回，然后就可以将门打开。
有一天，一名操作员在撤去压力前就开门，刚把门开了点缝，门就被吹开了，把他挤在门和结构体之间，当场死去。
在像这样的情况下，操作员忘记泄掉容器里的压力，并试图打开带压的设备是不可避免的早晚都要发生的事。在这种特殊的情况下，操作员开始休假前上的最后一个班已经快结束了。像3．2所讲述的那些事故，事故太简单，以至不能说事故是由于操作员的错误造成的。事故是在特定的条件下发生，不可能避免。
操作员无论什么时候打开带压的设备时：
(a) 设计门或盖只允许先打开1/4英寸(6mm)，并能承受全部压力，要将盖子全部打开，要执行另一个操作步骤。如果容器里有压力时打开盖子，很显然压力会从缝隙中泄出，或将盖子重新盖上。
(b) 使用联锁装置，保证在压力源被隔断，并且放空阀打开前，无法将盖子打开。
(c) 当操作员打开压力容器的门或盖子，应该能看见压力表和放空阀。
密闭的罐里有时会产生压力，当打开盖子时，盖子被猛烈推开，伤及打开盖子的人。报道的大多数事故发生在废品罐，罐里的化学物质发生反应。例如，硝酸与有机化合物反应。酸会腐蚀罐体，放出氢气。腐烂的有机物会放出甲烷。用来吸收石油溢出物的材料能膨胀到原体积的两倍。有些吸附剂与废油一起放在罐里，在盖上盖子以前，允许罐放两天，罐里留有10%的空间，但是罐的压力会继续增加。如果发现罐体膨胀，在打开盖子以前，甚至移动前，要安装盖子的限制装置。
17．2 疏通阻塞的管线
(a) 一名工人用一根棍疏通一条1/4英寸的阻塞管线，管线接到一台仪表上(如图17-1a)。当他疏通阻塞后，发现阀门没有关上，无法阻止可燃液体的泄漏，造成部分装置停工。
有时用通条疏通小口径管线是必要的。但在这之前，应在管子的一端安装一个球阀或龙头(如图17—1b所示)。这样才有可能在疏通管线后，隔断物流，即使原来的阀门没有关上。
(b) 用50psi(0.34MPa)(表)的压缩空气疏通2in(51mm)的管线。固态的塞子沿着管线被往前推，力量之大，当它到达“8”字盲板(SPADE)处时，“8”字盲板被撞变形，如图1-6所示。
在另一种情况下，一根4in(102mm)的立式U形管(换热器的一部分)用机械的方法清除堵塞污物，清除工具重约25kg，插到管子里。供应氮气的压力为3000psi(20MPa)(表)，所以决定用氮气试着清除堵塞。工具从U形管的一端射出，穿过100m外的楼顶落下来。
在清除堵塞管线时，不能用压缩气体。
(c) 一条装有硫酸的管线被堵塞，当管线要从装置上卸下时，准备接上软管用水清洗。酸液射向空中5m高，伤到一名正在工作的人员。有关人员或者不知道，或者忘记了，当水与硫酸混合时，会放出大量的热。
(d) 当清除排水管线里的堵塞时，切记在堵塞的上游也许有一定的压头，下列事故说明其危险性：
锅炉上的排水管线(放空管线)被堵住了，用通条无法疏通(可能是水垢沉在锅炉的底部，将排水管线堵塞)，所以维修负责人把软管从排水阀中穿过，插到里面去，往里面注水。堵塞马上就被疏通了，但留在锅炉里的水压将软管从排水管线里推出来，浇了这位负责人一身热水。虽然锅炉已经停了15个小时，但水的温度仍然有80～90℃，把这位负责人烫伤。
在温度降到60℃以下前，不能进行疏通作业，这位负责人也应该穿防护衣，如果有可能，应按前面所讲的，在排水管线的端口处安装第二道阀门。水垢聚积说明，水处理不适当。
(e) 为了更换出口阀，先将储罐里的酸排净。再向罐里面加酸时，新阀门似乎被堵塞了。再次将罐倒空后(相当困难，因为正常的出口线无法使用)，职员发现新阀门一个法兰接口上的垫片没有开孔！
(f) 一名操作员用高压蒸汽疏通泵里堵塞物，当密封发生泄漏时，被喷了一身蒸汽和腐蚀性的化学品(2，4-二氯苯酚)后死去，当时他没有穿防护衣。密封的方式不对，安装位置不合适，并且已经破裂。当公司受到指控时，它在辩护中说，操作员本应该通知维修部门，而不应该自己去处理堵塞。如果管理人员已经知道操作员会亲自处理堵塞，他们不能宽恕这种做法。但这不是借口，管理人员的责任是时刻保持警惕，掌握事态的发展。
这家公司过去已经建立了一套计算机系统，用来查明需要更换的设备，但在事故发生以前8个月，这套系统出了故障，被关闭了。法官说：“当错误的密封形式与高压蒸汽并用时，你不需要一位装备了计算机的专家了解什么事情将会发生”。
17．3 有误的阀门定位控制
许多事故的发生是因为当需要时，操作员没能打开(或关闭)阀门。其中大多数是因为操作员忘记了怎样做，这些事故已经在3．2．7，3．2．8，13，5和17．1中进行了讨论。在本章中，我们将讨论操作员没有理解阀门打开(或关闭)的原因所造成的事故。
(a) 像在3．3．4(c)中讲述的那样，装置里的紧急放空阀是用液压油保持关闭的。有一天，阀门打开了，装置开始放空。事后发现，在经理不知道和违背指令的情况下，负责人考虑到“万一油系统的供应压力不起作用”，就改进了隔离油供应阀的操作方法。这是最不可能发生的事情，比油压力从隔离系统中泄掉的可能性更小。
(b) 液相氧化装置的空气人口时常被堵塞。要清除堵塞，必须将空气隔断。有些液体能从空气的人口管线回流，从清扫管线流出。清扫管线就是用于这个目的(图17-2)。
一天，操作员关闭了空气管线上的遥控阀，虽然操作指令要求他这样做，但是没有考虑到同时关闭手阀的必要性。遥控阀发生泄漏，空气与反应器里的介质在进料管线里相遇，并发生反应。产生的热量使管线破裂，随后发生火灾。
空气管线应当安装遥控的双隔断和泄放阀，用一个按钮控制。
14．6和17．5(c)讲述了其它一些事故，在这些事故中，操作员只依靠自动阀门，没有用手阀加以巩固。
(c) 一位工程师从日本飞到韩国，调查用户的抱怨：肯定是供应的原油有问题，因为没有蒸馏物产生。在30min内，他发现抽空系统里的一只阀门被错误地关闭了。
17．4 职责不明确
下列事故说明，当工厂设备的责任人不明确，不同小组的操作员对不同的领导负责，都能操作相同的阀门时将会发生的事情。
图17-3里的火炬用来处理剩余的燃料气。这部分气体用增压机，通过阀B和阀C从气柜送过来。因为阀B使用更方便，所以让阀C保持常开。
有一天，负责气柜的操作员看见气柜开始下降，就从另一套装置引入一些燃料气。然而，半小时后，气柜被抽瘪了。
在其它装置里的火炬必须停下来进行修理。这套装置的操作员将阀A和阀B锁定在开的位置，以致他能使用“气柜火炬”。虽然最近没有，但以前他这样做过。自从他上一次使用这个火炬后，已经对火炬做了一些动改。他没有认识到，他这样操作可使气柜自己通过阀c和阀B被抽空。他向其他三个人讲了他所做的工作，但是没有告诉气柜操作员。他不知道气柜操作员应该知道此事。
在负责人、领班、操作员等各个级别，应明确划分每台设备的责任，只有负责每台设备的操作员才能操作设备。如果不同小组的人都能操作设备，事故迟早会发生。
10．7．2(c)讲述了类似的事故。
17．5 缺乏交流
本节讲述一些因为没能告诉人们所要知道的事情，因为没能理解传达的内容，因为误解词意所造成的事故。
(a) 一位维修队的负责人被要求查看一台不太正常的冷却水泵。为了防止损坏设备，他决定有必要将泵的转速立即降下来，但是没有马上告诉施工队里的任何成员。冷却水的流量降下来了，生产不稳定，冷却器发生泄漏。
(b) 一台罐装卡车里过去装过液化石油气，在送去修理之前要进行清除。要求实验室人员分析罐里的气体，看有没有碳氢化合物存在。实验室人员定期分析LPG罐装卡车的气体，查看有没有氧气存在。由于误解，他们认为要求分析的是氧气含量，所以在电话里报告“没有测到”。操作员认为没有测到碳氢化合物，就把车送去修理。
幸好汽车修理厂自己要做检查分析，他们检查出有碳氢化合物——实际上有一吨多。
对于许多工厂的控制目的来说，电话报告的结果是有效的，但从安全的角度看，只能接收书面的分析结果。
(c) 因为接收产品的装置出问题，一台间歇式减压蒸馏器处在备用状态。蒸馏釜用热传导油加热，用控制阀将热传导油隔断。操作员期望装置不久就能重新投入使用，所以没有关闭手动隔断阀，让水仍然流过冷凝器。但是，负压被平衡，蒸馏釜的放空管线被打开。
解决下游装置所用的时间比预期的要长，间歇式蒸馏釜处在备用状态长达五天，没有人采集数据，当记录纸用完时，没有人去换。
热传导油控制阀发生泄漏，操作员不知道釜里的温度从75℃上升到143℃(介质的沸点温度)。最后，釜里的介质爆沸，通过放空管放出0.2吨的液体。
14．6和17．3(b)讲述了操作员只靠自动阀，不用手阀所引起的其它一些事故。在这起事故里，要补充强调的是不清楚备用和停工之间的区别。待用的最长周期没有确定，在待用期间没有采集数据，厂方应在这两方面做出要求。
(d) 设计人员通常推荐应对设备进行定期检查。但这些要求有什么意义呢？设计人员应明确地说明要进行什么样的试验，希望通过试验确定什么。
1961年，一个煤矿升降机里的制动部件出故障，幸运的是后果并不严重。有关部门发出指示，应对所有类似的部件进行检查。指示并没有要求检查什么，多长时间检查一次。一个煤矿只是对正在使用的部件进行了检查，没有拆下来进行彻底检查，也没有做出将来定期检查的计划。
1973年，制动部件又出故障，造成18人死亡。
(e) 按英国电离辐射(密封源)的规定，所有的密封源要由经过授权的人员每个工作日检查一次，确保放射源仍在现场。
一个工厂发生了下列事故，他们对规定的理解是经过授权的人从星期一到星期五必须检查放射源的存在，在周末就没有必要检查了。可是，“每个工作日”意味着放射源每天都在工作，而不是经过授权的人正在进行工作！
(f) 一些小组发明了自己的速记方法。这些方法很有用，但是也容易造成误解。在一套新装置里，项目组必须订购一些原料。要求一名小组成员订购一些TEA，结果订了几罐三乙胺。他以前在一家使用三乙胺的厂里工作过，这家工厂把三乙胺叫做TEA。新装置的主任连续订了几罐三乙胺，他实际需要的是TEA，他以前工作过的厂里就是这么叫的。混淆被一名细心店员发现，他注意到名称相同的两种物质向同一装置里供货，就询问是否两种物品是否都需要。
在其它情况下，因为省略了n-或iso-这样的前缀，发生过供错货物的事情。
(g) 在开工期间，要求泵的流量很低。所以设计人员安装了一条回油管线，不知是什么原因，回油管线没有使用——也许是不可能在流量低到需要使用*管线的程度下操作——操作员通过开停泵来控制入口罐里的液位。在操作室里操作员观察液位，用扬声器通知室外的操作员开停泵。室外的操作员两人一组，两人都能做好全部工作，做同样的事情。有一天，操作室里的操作员要求停泵，控制室外的两位离得比较远，两个人都有认为对方离得近一些，谁也没有去停泵，结果人口罐被抽干了，泵因过热而起火。
小组作业，每个人都做一项工作，很容易造成没有人去做工作。
17．6 在打开的人孔处作业
为了加入固体原料，一个工厂的做法是从装有热甲苯的室内容器上卸下人孔盖。进料组成的变化没有通过分析测得，导致蒸气的发生量比通常多，造成操作员死亡。事后人们发现通风系统“设计不合理，安装水平很差，有些修改没有效果。此外，显然没有制订通风系统的维修时间表，通风效果很差”。
当有可燃气体或有毒的蒸气存在时，在打开的人孔处作业是不适当的。(3．3．4a讲述了另一起事故)只要有可能，应当在空旷的地方，或在四周敞开的建筑内运行。如果蒸气有可能泄漏到封闭的建筑物内，应该安装气体检测仪。
许多通风设备是装置内保护性设备的一部分(见第十四章)，所以像所有的保护性设备一样，都应对照性能标准进行定期测试。
17．7 一条管线两种用途
下列事故说明用一条管线输送不同介质的危险性。另加一条管线的费用，如果能防止一起事故，回报是十分明显的。
一名操作员在一台配液罐里配制过氧化氢溶液(1%～3%)。他的下一步工作是将溶液泵送到另一台罐里。一段管线接到过滤器上，管线上的阀门没有关闭(在上一次输送另一种物料后)，有一部分溶液流到过滤器里。当操作员意识到发生的情况后，他马上关闭了过滤器的入口阀，但是没有将过滤器里的溶液清出去，他不知道溶液会持续发生分解。过滤器上没有安全阀，约在12小时后，压力使头盖螺栓断裂，将头盖从过滤器上炸出去。在爆炸事故发生之后，人们针对两种用途，安装了独立的泵和管线，并向操作员解释了过氧化氢的危险性——预先能采取的所有行动(见20．2．1)。
17．8 无意中的隔离
(a) 压缩空气供到一个多余的罐被隔离，以便进行拆除。没有人认识到与向放空烟囱上的取样装置供的压缩空气是同一气源。
当一条开工管线向装置里的一些设备供料，设备之间没有明显地相互连接在一起时，在阀门上或在阀门附近挂上标签是一种很好的工作方法。或者，每台设备用单独的管线供料。
(b) 向一个锰磨粉机里连续通人氮气，使氧气的含量保持在5%以下，如果氧气的含量太高，氧气分析仪将会发出报警。一个筛子被细粉尘堵塞，在清理之前，维修队的人员切断了电源供应。他们不知道他们同时也切断了氮封设备和氧分析仪的电源供应。空气进到装置没有检测的部分，结果发生爆炸。
这次事故说明，操作员和维修人员也许知道单台设备是怎样工作的，但是当设备连在一起时，他们就不太清楚了。此外，因为没有插入盲法兰，空气进到装置里(一种常见的错误，见1．1)，筛子被堵塞是因为筛孔比通常细。换筛子的尺寸属于动改，但事先没有考虑到后果——另一种常见的错误(见第二章)。
17．9 不相容物质存放
两种性质相反的化学物质存放在同一个库房里，如果混合在一起，就像焰火一样，很容易被点燃。一种化学品装在纸板桶里，放在架子上，靠近一条热的凝结物管线。因为人们知道这种化学品在温度达到50℃时，会发生分解，所以要求电力部门的员工断开蒸汽锅炉的电源，但他们并没有这样做，而只是将温度调节器调到零。纸板桶破裂后，化学晶漏在下面存放在袋子里的第二种化学品上，随着一声爆炸，发生火灾。无法确定起火的原因，但一个下落的盖子就足够了。灭火工作因存水量不足受到限制，这家公司4年前就知道这种情况。
这家公司已经收到关于性质相反的化学物放在一起的忠告，但没有化学家或化学工程师参加。
17．10 维护——真正有必要吗？
假设我发现我的汽车发电机不充电，就会把车开到修理厂，要求换一台发电机。当我把车开回来时，车上装了新的发电机，故障也许已经排除了。但故障也许就是风扇皮带松了，电刷粘住或磨损，也许是其它故障，只需换发电机费用的一小部分就能排除。这些小故障也许在换发电机时被解决，也许掩盖了故障的真正原因。也许付出的价格太高，并且也没有必要，没有必要的维修也许还会带来一些新的问题。
同样，如果我们不先做一些初步的诊断工作，那么对装置所做的一些维护工作也许是没有必要的。工艺操作员从良好的愿望出发，经常把他们想到的事情说成是出了故障。例如，如果一台泵工作不正常，就要求维修队检查或清洗过滤器，有时发现过滤器很干净，或泵在清洗后运行状况并没有好转。随后，我们发现是入口罐里的液位低，人口温度太高，叶轮被腐蚀，或一只阀门部分关闭。
再举一个例子：发出高液位报警。罐又不可能满了，所以操作员要求仪表维修部门的人员检查液位计。经过检查，发现一切正常。进一步的调查表明，另一股没有预见到的物流流到罐里(并且发生溢流，见3．3．2a)。
第三个例子：一台换热器没有达到预期的换热效果，叫来维修队清理换热管。当把管束抽出来后发现，只有少量的灰尘。后来，人们发现人口的温度或介质已经改变了，但是没有人计算对换热器的影响，没有人预想到影响是如此之大。
维修的费用很高，而且很危险。在进行维修之前，只要稍稍动一下脑筋，也许能省下经费、减少事故、使装置尽快投入使用。这需要更多的诊断资料：这儿一块压力表，那儿一支温度计。
17．11 联锁故障
像在14．5介绍的那样，如果联锁一直被摘除(即使其没有作用)，联锁的设定点被调整，或从没有进行的检查，联锁可能出故障。如下列事故所说的那样，联锁故障也可能是操作和设计造成的。
一台容器装有一套简单的机械联锁：一个水平销装到容器顶盖的槽里，在销钉抽出以前，盖子无法打开(图17-4)。销钉的运动受螺旋管的控制，直到各种测量，包括罐里温度和液位测量值在规定的范围之内时，螺旋管才能将销钉抽回。
然而，虽然测量值不正确，盖子还是被打开了，有几种可能的解释。
1．销钉卡在螺旋管里，不幸的是，操作员认为情况就是这样，在进行任何调查前，向螺丝管腔里喷了一些润滑剂，立式的销钉被粘住的可能性很小。
2．操作员相信测量结果是正确的，认为系统出了故障，把一根金属条插到槽的一端把销钉推回到螺旋管里。这名操作员否认做过上述事情，但是承认在试着打开盖子前，没有检查温度和液位的读数，确保数据是正确的。
在原设计中，销钉装在一个孔里，为了能使操作员看见销钉的位置，把孔改成了槽。在当时，没有人意识到这样改使有些人可以用手移动销钉，这是因动改造成的无法预见结果的又一个例子。为了防止有人手动销钉，可以用一块透明的塑料板将槽盖起来。
3．温度和液位的测量与螺旋管的连接不能硬线连接，而是要通过控制计算机。软件错误也许在不需要的时候激活螺旋管。这套系统使用多年，从没有出现过故障，但是一个小小的改动，比如改动接收和处理信号的命令就可能导致故障，这个故障像定时炸弹一样，已经等待多年了。许多人认为，安全联锁应该硬线连接，而不能靠软件(见第二十章)。如果依靠软件，应该独立于控制系统。
17．12 破乳
1968年，在荷兰由于泄漏石油气雾，引发一次大爆炸。引起爆炸泄漏的蒸气是由于一种蒸气夹带泡沫(见12．2)，但机理与通常不一样。在正常的蒸气夹带泡沫中，重油层(在水层上面)被加热到100℃以上。热量逐渐从油层传递到水层，当水沸腾时，蒸汽提起重油，因而减少了水层的压力，以致水沸腾得更加猛烈。蒸汽和油的混合物炸掉了储罐的罐顶。如果油的温度在100℃以上，被加到装有水层的罐里，也能产生突沸现象。
在荷兰发生的这起事故里，污油罐里分两层，储罐几乎满了。下面一层是油包水的稳定乳状液，上面一层是初始沸点为60℃的各种油的混合物。向加热盘管供热的蒸汽阀门被打开，乳状液的温度逐渐上升。当温度达到100℃时，乳状液分成水层和油层。油与上层的油混合，使其迅速被加热。较轻的组分被汽化，从罐里喷出油蒸气和雾的混合物，发生的爆炸造成严重破坏，两人被炸死，十人被送进医院，约70人受轻伤，厂外也受到一定程度的破坏。
根据官方报告，以前没有人认识到乳化液分层后，会突然喷放出碳氢化合物的雾。报告没有提出推荐意见。作者假设建议是很明显的，既然已经知道爆炸的原因，每个人都要检查能形成乳化层的储罐。如果发现形成乳化层，他们或者隔离乳化层，保持乳化层与覆盖油层的温度相同(通过循环储罐)，或者保持各油层的温度低于乳化层分解的温度。很明显，污油罐不能加热，除非必须这么做。
17．13 烟囱效应
烟囱很常见，我们都知道它的工作原理，但工厂里烟囱效应通常让我们感到吃惊。我们没能应用熟悉的知识，因为这种知识似乎属于不同的思维范畴，请看下列事故：
(a) 一个蒸馏塔被排空、洗净、用氮气吹扫后，将塔底的人孔盖卸下。当另外两个人卸塔顶的人孔盖时，其中一个人昏过去了，另一个人把他拉到一边，他不久就恢复了知觉。事故似乎是因烟囱效应造成的，空气从塔底进去，取代了里面的氮气。
(b) 一条直径约12英寸的氢气管线必须进行焊接处理。关闭并列的三只阀门隔断氢气供应(图17-5)。用氮气吹扫后，在进行焊接作业前，在排放点进行检测，证实没有氢气。当焊工引弧时，发生爆炸，焊工受伤。调查表明两只隔断阀发生泄漏，也查明了为什么没有测出有氢气存在：排放点在低处，空气从排放点被抽进去，取代了从放空管线排出的气体。点火源是打火，因为焊接的接地线没有安全地接到设备上(另一个人们熟知的问题)。
(c) 一个火炬及其辅助密封罐要进行维修。密封罐被倒空后，所有的入口管线上全部加了“8”字盲板(被盲死)。入口管线上的一只控制阀(介于容器和盲板之间)被拆除(图17-6)。5分钟后，设备内部发生爆炸。三十秒后，又发生第二次爆炸，火焰从控制阀留下的开口处窜出。由于烟囱效应，空气进入系统，空气和蒸气的混合物沿烟囱向上运动。点火源也许是附近的另一个烟囱。
火炬系统在加盲板或拆除控制阀以前，要用氮气吹扫。只要阀门一拆下，在最新的开口端就要加盲板。
这起事故也说明，将盲板靠近所隔
离设备的重要性，尤其是人员要进入容器时。在容器和盲板之间不能有阀门，因为在阀门和“8”字盲板之间能存住液体，如果阀门泄漏或打开阀门，液体能流到容器里。
……要得出适当的结论，有必要将正在调查中的每一项困难分解成尽可能多的小问题。
——Rene Descartes(1596～1650)，《关于方法的演讲》
本章讲述一些因与设计意图产生偏差造成的事故，设计意图用工艺流程图(也叫做单线图或工艺和仪表图)表示。这些偏差在设计阶段无法发现，会造成难以预料的结果。在18．7中讨论通过危险性和可操作性研究，找出这些偏差的方法。
在第二章里讨论了在改动时带来的误差，在第三章中讨论了设计给操作员犯错误提供机会的问题。
在工艺流程图阶段，最常见的错误之一是没有预见到流向与设想中的方向相反，见下列讨论的内容。
18．1 从产品收集器或吹扫线回流到装置里
(a) 因为气体从产品收集器流回到已经停下来，并撤压的装置，因而发生了事故。在一次事故中，氨从储罐通过一只泄漏的阀门，流回到回流罐，又流回到蒸馏塔里，从正在进行维修的塔底管线的开口端流出(图18-1)。
如果预料到逆向流动的可能性，那么应在通向氨储罐的管线加一块盲板，如1．1中所介绍的那样。
(b) 在另一起事故里，一种有毒气体从泄漏的放空阀门流到一个塔里，从排水阀流出，将一名正在排水的操作员毒死(图18-2)。
(c) 将反应器里的物料用泵送到另一个容器里，做进一步的处理。当反应器被抽空后，泵的入口阀应自动关闭。但在这种情况下，因为设在手动的位置上，自动系统没有做出正确的反应。在阀门关闭前，已经过去了十五分钟。在这期间，蒸气从处理罐和反应器之间的管线流回来，加热了剩在反应器的反应产物(约150kg)，使其温度从100℃上升到约175℃。在此温度下，反应产物(硝基化合物)发生剧烈分解，造成严重损失。
在设计期间要进行危险性和可操作性研究，但是从没有把蒸气从处理罐流回到反应器看作是种可能的偏差，也许有关人员认为，两器之间的阀门快速关闭，可防止事故的发
生。如果以前考虑到这一点，在管线上应该安装截止阀。危险性和可操作性研究，实际上相当于集体+知识+经验。在危险性和可操作性研究中，有关人员并不会永远想到，如果自动设备处在手动状态，将会发生什么事情。人们应该想到这些问题，因为安全依赖于这些设备的正常操作。
(d) 在11．3(e)和(f)中讨论了回流物流到已经打开、准备进人的容器里的情况。
18．2 回流到辅助线里
当辅助线里的压力比通常低，或当工艺管线里的压力比通常高时，一般会出现这种现象。许多装置都经历过下列事故：
1．液化气泄漏到已经放空的蒸汽管线里，然后蒸汽管线的外面结冰。
2．氮气管线泄漏引起火灾。
3．油漆溶解在用氮气加压的气柜里，因为丙酮已经漏到氮气里。
4．压缩空气管线被苯酚堵塞。
5．蒸汽系统里的有毒烟雾影响到正在作业的人员(见1．1．4)。
图18-3展示了另一起事故。不能用软管或永久的管线直接将城镇用水接到工艺管线上，应当加一个分离罐。
一条间接使用的辅助管线，用软管接到工艺设备上，不使用时断开，或加双隔断阀和泄放阀。如果使用软管，应该加一根放空管，以便断开时撤压。
压力有可能降到正常的压力以下时，那么应在辅助管线上加低压报警。如果工艺管线的压力有可能升高，高于正常的辅助压力，那么应在工艺管线一侧加高压报警。此外，应在辅助管线上加截止阀。
18．3 通过泵回流
如果一台泵出故障(或停用，没有隔离)，在人口管线的压力下可能反转和损坏。截止阀通常用来防止逆流，但有时截止阀也会出故障。
当逆流的后果很严重时，那么应制订出截止阀定期检查时间表。应考虑使用两个截止阀(最好是不同形式的)，也应考虑使用反转锁。
当用蒸汽倒空管线，或用压缩空气、或氮气扫线时，应特别注意，不能让泵反转的速度太快，以免损坏泵。
在一套装置里，每隔一段时间用泵将轻油从一台常压罐打到压力为15psi (100kPa)(表)的罐里。多年来，从没有关闭任何一只隔断阀，只靠泵出口管线上的止回阀。有一天，一段金属丝卡在截止阀里，轻油倒流回来，使常压罐发生溢流(图18-4)。
这是一个等着事故发生的例子，止回阀迟早要出故障，溢流事故早晚会发生。
在这起事故里，设计没有问题。操作员没有理解设计的精髓。在危险性和可操作性研究中(18．7)能预见到这种情况吗？在培训操作员时特别要求他们注意这些情况了吗？
18．4 从反应器逆流
当反应物A通过反应器流到反应物B进料线(图18-5)，并发生剧烈反应时，发生过许多因倒流引起的严重事故。
在一起事故里，石蜡与氯在常压下反应。有一部分石蜡从反应器流回到氯线里，在集液罐里与液氯发生反应，发生剧烈爆炸，碎片飞到30米外。
在一家工厂里发生了一起更严重的事故。这家工厂用环氧乙烷与氨水反应生成乙醇胺。一些氨水穿过几只止回阀和泵，回流到环氧乙烷的储罐里。氨液通过泵穿过安全阀(氨液被排到泵的人口线)。氨液与30m3的环氧乙烷在储罐里发生反应。随着蒸气团的爆炸，储罐被炸裂，使周围扩大区域受到损失和破坏。
另一起类似的事故发生在当丁二烯从反应器错误地流到添加乳化剂的管线里时。用来防止逆流的止回阀堵住了。乳化剂储罐建在一幢建筑物里，有一个开放的放空管线。丁二烯放出来后发生爆炸。15km外都听到了爆炸声，因建筑物属于轻型结构，损失不大，只是在房顶和墙壁之间产生裂缝。
当有可能发生剧烈反应时，只靠止回阀是不够的，因此应选其中一项：
1．反应物应通过一个小的中间罐加料，如果发生逆流，只有少量的反应物反应，而不是全部；
2．应测量管线里的压降，如果压力太低，断路阀应自动关闭。有必要加一套非常可靠的备用系统。
一个硝酸铵厂从反应器回流的量似乎不大，却发生了爆炸。硝酸和氨气两种反应物通过各自的喷淋器进入钛反应器，相应量的硝酸铵溶液溢流到产品接收罐里。当装置停下来进行小修时，部分硝酸铵溶液流回到硝酸喷淋器里，与硝酸混合。用压缩空气扫线后，大部分硝酸已经被扫出，但是存住少量的硝酸铵溶液。通过酸线引入蒸汽，以保持容器温度。约在9个小时后，喷淋器发生爆炸，爆炸扩展到整个反应器和产品接收罐。爆炸造成氨罐损坏，使住在7英里以内的人无家可归。事故报告里推荐意见着重要求重新设计喷淋器，使其里面存不住液体，避免使用钛反应器，因为钛增加硝酸氨的敏感性。
防止回流的其它方法见参考资料14中的评述。
18．5 从排水系统回流
通过排水系统回流经常会引起可燃性气体在不可预见的地方生成。例如，必须在小型罐区施工，火星有可能落在罐区内，因而在施工时，必须把所有的可燃液体从罐里移走。然而在罐区里还是发生小火灾。
在装置的另一部分，水从罐里被排出。水流很大，而排水系统很小，所以水回流到小型罐区里，水流带出一些轻油，轻油被焊接产生的火花引燃。
一套处理氯乙烯(沸点-14℃)的装置发生一起事故。有一些液体通过泄放阀进到一台容器里，操作员决定用水将其冲出来。当氯乙烯进到容器里后汽化，蒸气流回到排放系统中。白色的烟气从各个开口中冒出。一部分氯乙烯从30米外的实验室里冒出，压力很高足以克服U形弯管的液位。氯乙烯发生爆炸，使5人受伤，并造成严重破坏。据估计，发生爆炸的量约为35kg。
18．6 其它偏差
(a) 图18-6显示部分旧装置。阀A的流量比阀B大，下面的罐不可避免地要发生溢流。
(b) 原料从两台储罐送到装置里，一般情况下，罐A和罐B都在使用，罐A用得更多一些。原料被泵到高架罐里，超过的量溢流回来，如图18-7所示。在发生溢流事故以前，这套系统已经使用多年。罐B正在使用中，罐A是满的，从高架罐流出的量使罐A发生溢流。
(c) 为避免浪费，在取样点下面安装的一个漏斗，使过量的液体回到工艺过程中(图18-8)。当容器正在排液体时，如果取样会发生什么情况呢？
在这些事故里，设计错误似乎是很明显的，但这张图是为了将错误表示清楚。原来这些错误隐藏在“意大利通心粉”式的图里。要找出错误，必须系统地查接线图，逐条线地查错误，一点一点地去找偏差，如下节内容所述。
18．7 预测偏差的方法
如果对设计进行危险性和可操作性研究(HAZOP)，本章前期所列的一些事故和其它事故都有可能预见到。这项技术能使人们充分发挥想象力，想到所有可能出现的危险和操作问题。但是，要减少漏项，应当系统地进行HAZOP，应反复考虑每一条管线和每种危险性。
该方法可用一条连接两个主要装置的管线加以说明。例如，我们从进料罐接出一条管线，通过进料泵接到第一台进料加热器。一组词要反复用到这条管线上，这些词是：没有、更多、更少、部分、多于、其它。
例如，没有意味着当应该有向前的流动时，没有向前的流动或逆流。我们提出问题：
没有流动吗？
如果有流动，什么使其流动呢？
没有流动的后果是什么？
操作员怎样知道没有流动？
结果有危险性吗，或它们影响有效操作吗？
如果影响有效操作，我们能通过改变设计或操作方法，防止不流动(或防止不良后果的发生)吗？
如果能防止，危险性或问题能证明额外的支出是值当的吗？
然后对逆流提出同样的问题，再继续进行到下一个引导词，更多。能有比设计更多的物流吗？如果有，什么使其流动呢？等等。关于更高的压力、更高的温度，如果其它参数很重要，如“更强的放射性”或“更大的粘性”，我们提出同样的问题。
“部分”，促使小组问管线里的物质是否与设计有区别。“多于”，促使他们问是否有额外的物质或相存在，其它提醒他们考虑开工、停工、维修、催化剂再生，辅助系统出问题和其它不正常的情况。关于HAZOP更详细的资料，见参考资料5-10。
18．8 HAZOP的缺陷
HAZOP能否成功地查出危险，取决于小组成员的知识和经验。如果他们缺乏知识和经验，这项工作等于浪费时间。下列事故说明一个没有经验的小组是怎样失查危险性的。
(a) 图18-9说明一台浮顶罐位于围堰中。雨水能从浮顶上排到围堰里，再从围堰排到排水沟里。小组成员正在考虑除了水，其它任何物质能否能排到排水沟里。要使其它物质排到排水沟里，软管上应该有一个洞，两只阀门应该一直开着。一个没有经验的小组认为，三重故障是不可能的，没有必要进一：”考虑。有装置实际操作经验的人会认识到，在长时间下雨期间，操作员为了避免不断地查看储罐，无论规定怎样要求，他们也许让两只排水阀一直开着。软管上的任何开口将会使排水沟被油污染。
(b) 根据设计，一种爆炸性的粉末必须收到铲子里，HAZOP小组的成员认为这样做会在铲子和粉末上产生静电荷，所以认定使用金属铲子比塑料铲子更安全。没有人认识到，如果操作员没接地，一个导电的铲子将会增加起火的危险，因为电荷从铲子传到地面，放出火花。非导电性的铲子不太可能产生火花，如果产生火花，其能量也比较低。最好的方法是不用开口的铲子。
(c) 在产品的最佳纯化期间，将少量的氧化剂加到量更大的碳氢化合物中。两种物质发生反应，放出很大的热量，这两种物质被列在Bretherick的《化学反应危险性手册》的标准工作中。但是没有一个小组成员知道这一点，没有一个人查询这项标准工作(像设计Flixboorough临时管线的人员一样(2．4a)，他们不知道他们不懂设计)。几个月后，发生爆炸事故。
在上述三个例子中，有关公司的高级管理人员注重安全，但是职员缺乏必要的知识和经验。不一定小组的每个成员都意识到危险性，有一个人意识到就足够了，只要其他成员愿意听就行了。只要人们多加注意，并不一定非要熟悉危险的细节。
18．9 间歇式装置的HAZOP
当研究间歇装置的HAZOP时，应将指导词应用于说明和管线上。例如，如果说明要求往反应器里加1吨的A，HAZOP小组的成员应考虑下列变化的影响：
不加A
加更多(或更少)的A
加A 加其它料
加部分A(如果A是一种混合物)
除了A，加其它料
逆向加A(即，物流能从反应器流到A储罐吗？[见18．4])
早加A(或晚加A)
加A太快(慢)
下面是三个在间歇式工艺HAZOP期间没有讲过的例子：
● 在间歇式反应期间，当讨论引导词“也加A”时，有人问什么污染物会使反应失控。另一个人说，有机酸会使反应失控。其他成员谈论有机酸在其它工艺里的使用情况，有机酸储存在同一仓库外形类似的罐里。这个例子说明，HAZOP是怎样把不同小组成员的知识和想法结合在一起的。
● 在另一项间歇式工艺HAZOP过程中，当讨论辅助系统故障时，小组成员认识到供电故障将导致搅拌和冷却停下来，在过程进行到一定阶段，会使反应失控。他们决定用城镇用水进行紧急冷却，通过注入氮气进行应急搅拌。
● 在对提议的实验平台进行HAZOP时，人们认识到一种反应物是氰化氢，装在圆筒里，设计人员希望操作员用升降机把圆筒送到建筑物的最顶层。有毒或可燃气体与人决不能一起在限定的空间里。
● 炼油厂里的一台大型蒸馏塔的气相负荷很大，在稍高于大气压力下操作，不是设计用来减压操作的，所以如果重沸炉不能提供热量，而冷却仍在进行，必须对塔进行保护。一个没有经验的HAZOP小组也许不加考虑地就接受了原设计的意图，即通过加入燃料气(如果能得到氮气，就加入氮气)来消除负压。一个更有经验的小组也许会认识到所需要的气体量是巨大的，但是通过在冷凝器的人口安装一个消除负压的阀门，就能将负压减少到易于控制的程度，因而可以封住冷凝器，减少热传递。
18．10 罐式卡车的HAZOP
HAZOP主要用于固定的装置，但是这项技术在应用于运载无水氨和液态的二氧化碳的罐装卡车时，也发现了一些危险因素。
18．10．1更高的压力
如果加料线发生泄漏，除非泄漏量很大，罐装卡车上的过流阀动作，否则，无法防止罐装卡车里的料流回到加料线里，或泄漏到大气中。过流阀只有在流量超过正常流量的1)《-2倍时才会动作。遥控紧急切断阀可切断装置的物流，因而决定在罐装卡车上安装压缩空气气缸，操作其内部阀门。气缸接在装置的紧急阀系统上，以便当这个阀门动作时，罐装卡车上的紧急阀门也关闭。还有一个好处，就是正在加料时，如果将车开走，这个内部阀门也会关闭。
罐装卡车上不装安全阀——欧洲对于有毒性液体的标准做法。研究表明，装置的设计压力比罐装卡车高，在一定的条件下，罐装卡车会过压，应做动改。
18．10．2更低的温度
一些旧罐装卡车是用在低温下变脆的等级的钢制造的，在温度低于0℃时不能开。人们发现，一些用户想要压力低于通常压力的液态二氧化碳，要满足用户的要求，必须选用合适的罐装卡车(所有的新罐装卡车都能承受达到的最低温度)。
18．10．3其它
有些用户抱怨，氨里面有氧气。人们发现运输维护部门用水冲洗准备修理的罐，然后充满空气将罐送回厂里。氧气能引起应力腐蚀裂缝。所以厂方应安排其职员接过准备罐装卡车修理的任务。
本章讲述一些过去已经多次发生的事故，但人们还没有意识到。
19．1 氨会爆炸
在有关氨爆炸的报告里，人们对氨能爆炸感到惊奇。例如，得克萨斯休斯顿市一家冰淇淋厂用了50年的制冷系统发生氨泄漏，被引燃后将建筑物严重损坏。没有查明引火源，但有几个可能的引火源。休斯顿防火部门危险物质反应小组的官员写道：“人们认为，危险仅限于对健康的影响，从没有过多地考虑氨的可燃烧性。很难找到老的有经验的氨制冷人员，他们相信氨可能发生爆炸。
另一起爆炸事故发生在巴西。必须在氨水罐的顶上进行焊接工作。罐已经倒空，但是有氨气存在。当焊工在罐顶上动火时，罐发生爆炸，焊工虽然活了过来，但终生残废。
氨爆炸不常见，因为氨的爆炸下限(LEL)非常高为16%；爆炸上限为25%；碳氢化合物典型的爆炸范围是丙烷为2%～9.5%，环己胺为1.3%～8.3%。此外，氨的自然温度很高，约在650℃，与丙烷的约480℃和环已胺的约270℃相比，氨很难被点燃。然而，因为时常发生爆炸，至少从1914年开始，人们就已经知道了氨爆炸的可能性，所以得克萨斯和巴西的责任人不存在不知道氨会爆炸的借口。1979年，在休斯顿提交的一份报告里，Baldoek写道，虽然有些报道的事故也许根本不是由于氨引起的，但一些氨泄漏已经发生了爆炸，他没有给出细节。他补充道，当氨／空气的比率太高时，已经发生了11起氨水罐爆炸事故和几起硝酸厂爆炸事故。
一家硝酸厂发生的一系列事故已经在参考资料21中进行描述。铁锈通过氨气过滤器，催化氧化在氨／空气混合器里和通向铂催化剂管线里的氨，即使氨的浓度低于正常燃烧下限时，也会发生氧化作用。管线里的温度在一小时内从220%上升到1000℃，管线破裂了，使铂催化剂受到破坏，管线里的铁锈存在氨／空气混合器里。其结果是，在装置进行维修后，再次开工时，又发生了几起着火事故。在上述情况下，在管线破裂前，应立即停下装置。报告承认，混合器已经多年没有进行清洗了，“因为拆卸混合器非常费时间”(比较5．3a中介绍的因为几年没有清洗阻火器，使罐被抽瘪的事故)。报告建议安装高温报警器，以及定期进行清洗。
1968年，芝加哥一个香肠厂发生爆炸，造成9人死亡，包括2名消防队员，72人受伤，工厂被摧毁。事故的起因是一台装着汽油的罐装卡车撞到障碍物上，汽油漏到地下室里着火，加热一个300lb(136kg)的氨气瓶，气瓶通过泄放装置放出氨气，氨气上升到地面，在地面以上发生爆炸。据估计，因为氨的LEL很高，氨经过着火区没有被引燃，然后聚积在有限的空间内，浓度达到16%。
几起氨着火或爆炸的简报：
● 1976年英国Hexham发生爆炸，一个冷藏厂被摧毁。
● 1977年南威尔士Llandarcy因氨进料阀泄漏发生火灾。
● 1978年，在伦敦Southwark一个废弃的冷库着火，并发生爆炸。
● 1978年在Okla的Enid一台氨储存罐的制冷系统出现故障，氨液升温，压力升高，部分氨液通过安全阀放出，被附近的火炬点燃。
● 1991年，在新西兰，一名焊工在一台里面含有氨蒸气和空气混合物的空罐上作业时，因发生爆炸而死亡。
氨爆炸的特点是，在爆炸后继续泄漏出的氨不会燃烧，因为氨的浓度太低。
就我所知，氨在空旷的地方不会发生爆炸，氨在室外的浓度能达到16%令人怀疑。1989年，在立陶宛的Jovona，一台储罐从顶裂到底，放出7000t的液氨，液氨池里着火，但根据后来的报告，着火是因为穿过这个区域的天然气管线破裂。
我们怎样才能防止氨爆炸呢？要采取的方法更像其它的可燃气体，即：
1．使用设计和制造合理的设备(休斯顿冰淇淋厂达不到今天的标准，但是已经受限制了)。
2．使用不可燃的制冷剂代替氨。
3．如果使用氨，看看通风情况是否良好。(通风情况良好不是使氨的浓度达不到16%，而达到合理的程度，如我们希望氨的浓度不能超过10000ppm(10000×10-6)，这一浓度可使一半的人在30min内死亡。)
4．没有氨气存在，并且在引入火源前进行检测。
19．2 水压试验有危险
因为水是不可压缩的，所以一般认为水压试验是安全的。如果发生泄漏，漏出的一点液体不会飞得很远。
水压试验是比气压试验更安全，因为如果设备出问题，释放的能量很小。然而，在进行水压试验时，已经发生了一些特殊的事故。1965年，一台大型压力容器(直径1.7m，长16m)，设计操作压力为350bar(35MPa)(表)，在制造厂进行压力试验时破裂。当压力达到345bar(34.5MPa)(表)时，容器发生脆性破裂，四大块碎片从容器上飞出。一块碎片重达2吨，穿过车间的墙壁，飞行了近50米，幸运的是只有一人受轻伤。事故发生在冬天，报告建议，进行压力试验时的温度应高于使用的钢等级的延展脆化转换温度。报告也讲道，在太低的温度下，容器被消除应力。参考资料8讲述了另一起类似的事故。不合规格的维修和动改也是影响因素。
在进行压力试验时要记住，设备有可能出问题，要根据情况采取预防措施。如果我们确信设备不会出问题，就没有必要进行试验(见14．8)。参考资料22给出了必要的测量。同时也要记住，如果温度太低，在线使用的设备被工艺介质加压时，也可能出问题。我还不知道什么设备因这种情况发生破裂，但是破坏盘因为温度太低发生破裂。
19．3 柴油机也能点燃泄漏物
除非在非常严格的控制下，大多数公司不允许用火花点火(汽油)的车辆进入处理可燃气体或液体的区域，因为泄漏的气体或蒸气有可能被火花机理点燃。但是，许多公司允许柴油机车不加控制地进入，他们认为柴油机车辆不会点燃气体和蒸气。如下列事故所表明的，这种认识是不对的。
在进行维修工作时，4t热的可燃碳氢化合物从装置里泄漏出来。一台柴油机车正在这个区域里行驶，碳氢化合物的蒸气从柴油机车的空气入口被吸入，发动机开始加速，驾驶员想通过切断燃油供应的方法(停车常用的方法)停车，但是没有成功，因为燃料从空气人口进到发动机里。结果发生回火，将碳氢化合物引燃，造成2人死亡。
另一起事故，当一辆罐装卡车在滴着汽油的装料臂下驶过时，发动机加速，冒出黑烟，幸好没有着火。
在一起事故里，液压软管发生泄漏，产生的油雾被吸到柴油发动机的人口，切断正常的燃料供后，发动机又继续运转了三至五分钟。发动机上没有装过滤器，如果装了过滤器，也许会将油雾滤掉。
如果在有可能泄漏可燃气体和液体的地方必须使用柴油机，为了保护柴油机，应加切断空气以及燃料供应的配套设备。但是，柴油发动机能以其它方式点燃泄漏的可燃气体和蒸气。废气中能排出火花和火焰，排气管的温度很高，能直接点燃蒸气”辅助设备，如电子设备能产生电火花。因为使用撤压控制，发动机停止工作，发生了爆炸事故。因而火花和火焰阻火器应安装在排气口上，排气的温度应低于所处理物质的自燃温度，电子设备应受到保护，如果安装了撤压控制，应将其断开。
在任何特殊情况下采用的保护等级，取决于使用柴油机时间的长短和管理要求。送货的卡车不需要特殊的保护措施，但是不允许进入厂区，除非条件稳定，不可能发生泄漏。工厂应设在正常情况下这些车辆不必进入的地方，这些地方正在处理可燃的气体和液体。每天使用的牵引电机(叉车)或永久安装的柴油机泵，应进行彻底地处理。对于塔吊或临时性使用的泵，只要采取中等水平的保护就可以了。这些设备应安装切断空气供应的装置，在运行时不能置之不理。用压缩空气驱动的泵比用柴油机驱动的泵更安全。用水驱动的喷射器，可将淹没的排水沟和污水坑清干净。
一种性质完全不同的柴油机危险是，被憋在容器里或管线里的一团空气和可燃蒸气受到液柱的压缩，当液体的压力上升时，空气被压缩，产生的热量有可能将蒸气的温度加热到自燃点以上。
19．4 二氧化碳能引燃可燃性混合物
1966年，石脑油轮Alva Cape号，在纽约附近发生碰撞，受到严重损坏。一些石脑油溢出，剩下的石脑油用泵送到另一条船里。船主想把船开到船坞里，在船坞里能将瓦斯排空，检查损坏情况。但是，纽约的消防部门要求开船前，将船舱惰化。海上救援公司马上订了几瓶二氧化碳和软管。惰化前两个舱时没出什么事，但是当向第三个舱加二氧化碳时，发生爆炸，随后着起大火，造成4人死亡。当其它舱受热时，又发生了几次爆炸。
当加二氧化碳时，绝热冷却使二氧化碳形成固体颗粒，静电荷聚积在固体颗粒上(见15．2)，放电时产生电火花，引燃了船舱里的石脑油蒸气和空气的混合物。提供二氧化碳的公司并不知道其产品被用来干什么，但是应警告救援公司，用二氧化碳惰化船舱是很危险的。这条船被拖到海上，用炮火击沉。
一两午后，法国也发生了类似的事故。在试验喷气燃料罐的灭火系统时，向罐里注入二氧化碳，储罐发生爆炸，造成站在罐顶上的18人死亡。
19．5 烟雾会爆炸
大多数人知道，粉尘(细小的固体颗粒)能爆炸，但是并不是每个人都知道，烟雾(细小的液滴)也很容易爆炸，既使在温度远低于大团液体或蒸气的闪点时也能发生爆炸。
例如，一种材料在几和4L的装有氧气的容器里氧化多次，不会发生事故，氧气的压力为225psi(1.55MPa)(表)，温度为80℃。溶剂在此温度和压力下的闪点为130℃。下一步是在48L的容器里进行氧化。反应的速度受氧气和被氧化物质的接触速度限制，所以安装了高效气体扩散器和搅拌系统，使得蒸气空间里充满了细小的尘雾。开工几个小时后，发生爆炸。温度和压力事先并没有上升，所以爆炸的原因不可能是因为反应失控，这是一次烟雾爆炸，引火源是前几次试验残留下来的少量催化剂。
安装高效搅拌系统属于工艺改动(见2．6)，但是没有预测到后果。
当雇用承包商来清洗4500m3的几台黑油罐，以便用来储存煤油时，发生了另一起爆炸事故。合同的内容是口头达成的。在清除固体渣油，拆除了加热盘管后，向罐里喷热水和清洗剂。强力照明灯通过罐顶上的人孔吊起来，在喷热水前被拿走。
清洗第一台罐时，没有发生什么事。当承包商清洗第二台罐时，一名新的领班在现场负责。为了使沉积物变软，他将蒸汽盘管断开，向罐里吹蒸汽，然后使用一个装在三角架上的旋转喷头，一片一片地向罐壁上喷煤油。报告里并没有说明煤油是否被加热。当人们移动三角架时，罐里发生爆炸后着火，造成三人死亡，一人被烧死，另外两人被外部落下的混凝土块砸死。
调查人员说，罐里的情况类似于浓雾，这已经被实验证明。引火源或是强力照明灯(留在原处，表面温度达300℃，或是因为蒸汽团产生的静电放电引起的。试验证明，油雾能在11℃时被点燃(比闪点低60℃)。虽然报告中没有说明，但热的蒸汽管线也可能是引火源。合同商被罚款，情况似乎是他们不知道油雾也能爆炸，或即使他们知道，但没有告诉他们的领班。
在往复式发动机的曲柄轴箱里经常发生油雾爆炸，可以安装安全阀来防止爆炸。
12．4．5和17．12里讲述的事故也属于油雾爆炸。
19．6 问题的根源在别处
当问题的根源在装置的其它部位时，很难查明原因。2．6(a)已经举了一个例子，下面再举两个。
一套新装置的产品在减压蒸馏塔里进行纯化。开工后不久塔的压降不断加大。打开塔进行检查时发现，下面的疏水器里全是固体物质，以至于压降使它们弯曲。分析表明固体物质是产品的聚合物，里面有少量的反应催化剂，人们认为催化剂引起聚合反应。明显的结论是在蒸馏前除去这部分催化剂，这样做的费用很高，所以先试着改变操作条件。先试着降低产量，然后降低沸滚时增大的容积量。下一步是降低压力，降低压力会降低温度。虽然抽空系统能抽很大的真空度，但是试验证明不可能降低压力。有空气泄漏到塔里吗？压力试验证明有泄漏，就在塔底泵的密封处。当修好泄漏后，聚合反应问题解决了。聚合反应需要氧气和少量的催化剂。泵密封用氮气保护，如果再发生泄漏，只有氮气能进到塔里。
反应器用熔盐加热。在开工时，用一台电加热器将盐加热到反应温度。在一次开工过程中，盐温度的上升只有通常的一半。显然，其中一台加热器出现故障，但是没有被发现。问题的根源追溯到一台氮气阀，这只阀门一直打开着，通过反应器的氮气带走了一半的热量。
Gans et al．在评价这两起事故时说，通常，大故障的原因很简单，而小故障通常有十分复杂的原因。如果产品与设计不符，可直接查找某些原因，如水泄漏到装置里。如果产品的纯度稍低于标准，很难找到原因。查找已经做过的动改，即使动改和故障之间没有明显的联系。
计算机和微处理器(也叫做可编程电子系统[PES])在工艺控制中使用越来越广泛。它们带来许多进步，但也产生了一些问题。如果能从失败中汲取教训，我们也许能够防止事故的再次发生，因而在下面讲述一些事故中，虽然PES能更精确地描述所使用的设备，但我更喜欢称它们为计算机，因为这是一个非专家更常使用的术语。
20．1 硬件和软件故障
大多数硬件故障出现在测量和连接到计算机的控制系统中，而不是发生在计算机硬件本身。但计算机确实出现故障，而且比人们预想得要多。通过安装“看门狗”(一种检测计算机故障的装置)，可以减少它们造成的影响。但是，在一次事故中，阀门在错误的时间打开，放出几吨温度较高的液体，就是因为看门狗卡出了问题。有些事故是因为电压波动，包括闪电引起的电压波动，在一次事故中它使计算机在次序上跳过一步。应该在设计时加以注意，使能预想到的电压或设备造成故障的影响降到最低限度，危险性和可操作性研究应包括一直进行的检查(见18．7)。
软件故障可能在系统软件和应用软件中出现。系统软件随计算机安装，应用软件用于特殊的目的。使用经过彻底测试的系统能减少系统软件的故障——这是一个变化很快的领域，并不容易做到。通过在正常和不正常情况下彻底进行测试，确定程序性能象我们期望的那样，能减少应用软件的故障。进行这样的测试比设计时间更长，即使这样，也会漏掉一些失误，这些失误像定时炸弹一样，等待一些不寻常的条件结合在一起时爆炸。在计算机系统中试验每一个可能的路径是不可能的。
因而持下列观点的人数正在增加，即我们应当试着设计一些装置，即使软件有问题，装置也是安全的。通过增加独立的安全系统可以实现这一点，如安全阀和硬线连接断路系统和联锁，或设计自身更安全的装置，它们不是控制危险，而是消除危险(见第二十一章)。
硬件和软件故障模式有一个重要的区别，计算机硬件类似于其它硬件，一旦最初的故障被排除，在计算机用旧以前，故障的发生是随机的，只能用概率的方法处理。相反，软件的故障是系统性的，一旦出现故障，当条件适当时，无论在何处何时使用软件，产生的结果是相同的。现在还没有一个统一的方法估计软件出现故障的类型和数量，我们现在还不能100%地确信通过实验能找出所有的问题。正是由于这个原因，许多人，包括一些权威人士，在危险性很高的装置上不愿意使用计算机作为最后一道保护。如果使用计算机，保护系统应当独立于控制计算机。
书写的指令错误也是系统化的，但编写者很容易进行检查，即使这些指令存在拼写或语法上的错误，或不太明确，读者能理解它们的意思。如同告诉我们节省肥皂和废纸，我们知道它的含义。
20．2 把计算机当成黑匣子
最常见的错误类型也许就是那些因为操作员把计算机当成“黑匣子”出现的错误，即某种东西做我们想要它做的工作，但不需要理解其内部是怎样工作的。硬件和软件都没有问题，但系统并没有按设计和操作人员期望的工作方式运行。错误的发生是因为软件工程师没有理解设计人员或操作人员的要求，或没有收到能包括所有可能发生事件的详细说明。即使我们没有精确地包括某项要求，操作员也能做我们期望他们做的事故，他们能解释模糊的指令，但计算机只能做我们要求的事情。
通过对计算机指令和工艺流程进行危险性和可操作性研究，或HAZOP(危险性和可操作性研究)(见18．7)能减少这类错误。对于所有的偏差(没有流量、逆流、流量更大、压力更高、温度更高等)、所有的操作模式和间歇式工艺过程各个阶段，我们应当知道计算机将做出怎样的反应。软件工程师应当是HAZOP小组的成员，这样能使他或她更好地理解工艺要求，也能使操作装置的人更好地理解控制系统的可操作性。
20．2．1 复杂系统的危险性
一台泵和各种管线用于三种不同的用途：将甲醇从罐装卡车里转到贮藏库里，将甲醇加到装置里，用来输送从装置回收的甲醇(图20-1)。一台计算机设定各种阀，并监视阀的位置。
一台罐装卡车要卸料，可从控制室启动泵，但必须用就地控制按钮停泵。下一步的工作是将甲醇从贮藏库输送到装置，计算机设定阀门，但是因为已经用手动的方法停泵，必须用手动的方法启动泵。当输送工作完成后，计算机控制泵停下来，但是因为泵是用手动的方法启动的，不可能停下来，结果发生溢流事故。
 |
一项彻底的HAZOP也许能发现这种错误有可能出现。控制系统可以进行调整，或者更好的方法是用单独的管线完成不同的输送任务，因而能大大降低错误出现的机会。事故表明，如果没有对系统进行彻底地分析，在复杂系统里出现的错误很容易被忽视。此外，事故也说明了人们矛盾的心理，我们愿意在复杂的系统上投资，却不太愿意将钱花在简单的系统上。
然而简单的方法，独立的管线(实际上是在溢流事故之后安装的)使错误更不可能发生，考虑整个使用期的费用，花费并不大。控制系统需要进行定期的测试和维护，其费用大致相当于整个使用期费用的2倍(甚至在折扣之后)，而增加几条管线只增加了为数不多的操作费用。
20．2．2 小泄漏产生的不可预见的影响
一台压力过滤器受计算机控制，循环液体通过过滤器两小时。因为固体沉积在过滤器上，压力降增加。要测量压力降，计算机计算压缩空气在15分钟加满过滤器的次数。输入计算机的指令是如果加不到5次，完成过滤，进行下一项工作，清除滤饼。如果加到5次以上，液体进行下一个两小时循环。
因压缩空气泄漏到过滤器里，误导计算机计算得出的结论是过滤工作完成了。计算机向操作员发出过滤完成的信号，操作员打开过滤器的盖子，整个一批发出报警，但是没有人预见到要编写这样的程序。也可能多加几台显示器，像旧式图形纪录仪一样，连续显示选定测量值的变化趋势。但是，这样做容易改变数值范围和显示的测量结果(虽然与这种情况不相关，但计算机也能检测在被“卡住”的测量仪表里没有噪音)。
20．2．5 只有计算机才能出的错误
夏时制结束时，必须将时钟往后调一小时，当时一个化工厂的间歇式反应受计算机控制在夜间进行。操作员将计算机的时钟从凌晨3点设为凌晨2点。计算机将装置停下来，直到时钟再次显示凌晨3点。也许危险性和可操作性研究能考虑到时间的倒流，以及液体的逆流！
20．3 错误判断——操作器响应的方式
作为一个错误源，这接近最后的范畴，为改进入／机界面留有更大的余地。下面是一些已经发生的事故：
(a) 当供电出现故障时，计算机打印出一长串报警。操作员不知道什么引起操作不稳定，没有采取什么措施，几分钟后发生爆炸。事后设计人员承认他使操作器承担了太多的信息量，但又问操作员，为什么不做最坏的假设，停下装置。不幸的是，当人们承受了太多的信息量时，他们倾向于关闭他们自己，而不是计算机，什么也不做。计算机很容易使人承担过多的信息量。
(b) 操作器处理一个报警所需要的信息也许分布在几个显示页面上，将每一个主要报警所需要的信息集中在一个显示页面上是有可能的。不同的显示页面看上去很相像，这样做能节省开发时间和费用。但在紧急情况下，操作员也许翻到错误的页面，而且不能马上发现操作错误。
(c) 为了减少操作员输入错误数据或指令的机会，通常对计算机编程，以便按下输入键时，数据或指令被显示出来，要求操作员检查，然后第二次按下输入键。不幸的是，操作员养成这样的习惯，在输人数据或指令后，快速连续地按两次输入键。更好的方法是，操作员在输人数据后，必须执行两个不同的操作步骤，例如在第二次按输入键前，移动指针。
(d) 为了改写程序，将计算机离线。此时计算机正在计算一台计量泵的转数，该泵正在往间歇式反应器里加料。当计算机在线时，它从离线时的计数继续计数，反应被加入了过多的料。
(e) 计算机每隔一分钟收集每台仪表的读数，然后每隔五分钟将数据写在硬盘上。硬盘从因反应失控导致的爆炸中保存下来，但爆炸发生在接近五分钟周期的末期，爆炸以前五分钟内的数据全部丢失。虽然破裂的反应器的爆炸压力约为900psi(6MPa)，纪录下来的最高压力为60psi(0.4MPa)。
(f) 有些操作员期望计算机表现得像人一样，不能理解为什么计算机会犯人不会犯的错误，这些人本能地相信这些智能的机器。根据一篇报告，即使当发出警报时，操作员并不认为那是真正的紧急情况，他们相信“计算机能处理。
20．4 其它问题
20．4．1 向计算机输入数据时出现的错误
一名操作员想把催化裂化反应器的温度从982℉(528℃)调到980 ℉(527℃)。
但按键操作时按错了次序(908)，当立即按下了输入键。计算机马上响应，砰地关上滑阀，物流沿提升管反向流动。幸好没有人员伤亡，只是在泄漏的接点处着了一把小火。
应当写出书面的标准，并选择供货商，使计算机能拒绝或质疑下列数据或指令：在规定的范围以外，与当前的数值的偏差大于规定的量，不能通过一致性试验。
在另一种情况下，操作员把进料率从75加仑／分钟调到100加仑／分钟。她错误地输入成1000，计算机把进料阀打到最大开度，装置里的压力上升。但是没有造成破坏，因为安全阀起跳了。像在20．1后面推荐的那样，第二道防线能阻止软件设计中的错误——没有预见到并允许操作员能很容易地犯错误。
在输入数据时可能发生用错单位的错误。我还没有了解到在加工工业中发生的这类事故。但是，我知道一架飞机因为载的燃料是x磅，而不是xkg，造成携带燃料不足，必须迫降。
20．4．2 没有告诉操作员所做的变化
我还不知道有关因为没有告诉操作员数据或程序的变化造成的任何事故，但数据或程序的变化已经造成一次飞机事故。1979年，一架新西兰航空公司的飞机执行到南极观光的飞行任务，飞行的目的地航向点向西移动2°，但是没有告诉机组人员。惯性导航系统操纵飞机，为了使乘客能看到风景，飞机沿着山谷飞得很低，山谷的对面是悬崖。这个山谷看上去很像一个末端开放的山谷，乘务员们期望沿着这个山谷飞下去。他们没有意识到飞行航线不对，他们撞到悬崖上，机上的257人全部遇难。
20．4．3 动改
第二章强调了在进行动改以前需要考虑装置动改的结果，防止未经授权的动改。这适用于计算机以及传统的装置，除非经过专业资质人员的批准，否则不能对硬件或软件进行修改。这些人员应对可能的后果进行系统的调查。改变软件控制系统比改变传统的系统容易，因而控制动改更难，但控制动改很重要。20．5介绍了一个未经授权动改造成严重后果的事故。
20．4．4 旧软件
9．1．6(c)和9，2．1(h)已经引起了人们对使用旧设备带来危险的重视。同样人们应重视旧软件，除非旧软件从不会过时(很不幸，旧软件会过时)。我不知道加工工业因为这种原因发生的事故，但欧洲阿里亚那航天火箭5损失与此有关。“因为公共原因”一个不再有任何作用的功能被保留下来。在另一起事故里，因为操作员输人数据的速度比计算机处理数据的速度快，一位痛症病人受到超剂量的辐射。情况一直是这样，但原来的硬接线联锁已经防止了超剂量辐射。当旧软件被“更新”时，联锁被摘除了。
20．5 未经授权乱动设备
未经授权乱动计算机硬件通常很困难，但乱动外围设备也许比乱动传统装置更严重，因为计算机不知道乱动情况已经发生。例如，要进行某项试验，互接阀门限位开关的接线。此时，装置用手动控制，但将接线恢复到它们正确的位置前，被切换到计算机控制。计算机“认为”阀门是开着的(当它关闭时)，选择了关闭阀门，实际上将阀门打开，释放出可燃物质。
如果装置一直按常规的方法控制，有关的操作员可能已经知道了接线临时互接，或他们能看到盘面上的通知。但是，当信号说阀门是关闭的时，要告诉计算机阀门是打开的却很困难！计算机为常见的通讯错误提供了新的机会。
必须将文件从一台控制计算机传输到一台训练模拟器。开始没有直接接通，文件先传到一台独立的工作站，从工作站再传到模拟器。为了简化传输，在控制计算机和模拟器之间用电缆直接连接。
不幸的是，用来进行数据传输的控制计算机的网站地址与用来连接分散控制系统(DCS)的地址一样。其结果是，数据从模拟器通过控制计算机传送到DCS，用历史数据代替了当前的数据。装置的一些条件开始变化，幸好一名警惕性较高的操作员不久就注意到了这种变化，装置回到控制之下。
将计算机接到另一个系统属于动改，只能是在系统地研究了可能产生的后果之后才能进行(见20．4．3)。如果实现连接，只能是计算机向外输出数据(见由此到本节结束的内容)。所有的系统应当是安全的，房子需要门，控制系统的门不如房门实际，但却同样重要。
如果仪表的读数是假的，操作员有时忽略仪表读数，大上一个估计的数值。有时他们是对的，生产继续进行下去。有时他们是错的，事故就会发生。无论使用哪种控制方式，操作员通常不愿意相信反常的读数，不加思考地下结论——仪表读数是假的(见3．3．2)
现在操作员要想乱动软件，摘除联锁，或打上“正确”的读数比在计算机控制的前期困难，可是，一些操作员更像是以非正式地获取和隐藏了一种工具和适配器的方式一样，掌握了他们本不应该知道的钥匙或口令。在一套装置里，人们发现联锁被非法阻断，口令被透露给40个人，所有的人都否认负有责任(见14．5d)。
我只看到过一篇在工艺控制软件中发现病毒的报告，没有看到过黑客侵入的事件。病毒是在立陶宛核电站发现的，据说是由某人引入的，他想获得测到并除去核电站的声誉。但是，这不意味着病毒感染或黑客侵入的事不会发生，他们的后果比损失会计数据更严重。只要控制PES单独设立，不与其它系统连接，病毒感染不可能发生(除非在原来的软件中有病毒)，但是联网的趋势越来越显著。
计算机病毒与ADIS非常相像。为了避免感染病毒，不要随便分享数据和盘，在计算机前的盘上加上盖子，不要让人知道里面的内容。
20．6 新的应用
允许启动的程序可能已经编好并存在计算机里，这种省力方法的效果不是很大，但一些附加的功能现在是可能的。例如：
● 计算机能提醒与这件设备有关的特殊危险性、相关情况及应采取的行动。
● 当设备正在准备中或保持在早期的状态时，计算机也能提醒使用者任何可能遇到的问题。
● 如果准备进入容器，计算机检查“8”字盲板安装的数量与图上显示的接口数量相等。
● 如果有人想在同一设备上获得第二次许可，计算机会立即显示出来，并拒绝发出工作许可。
● 假如一名安装工在夜班期间必须换一片垫片，在有些厂这是一项很容易的工作。只使用一种，安装工所要做的工作是选择合适规格的垫片。在其它厂可以使用许多种类的垫片。安装工必须拿出单线图，查到管号，然后在大量的设备表里找出具体的内容。他现在有可能在计算机屏幕上检查单线图，用指针选择管线，查到管线详细的资料，包括备件存放的位置和任何区别符号，像垫片的颜色。在计算机里必须准备单线图和设备表，所需要做的工作是把设计系统和维护系统连起来(当然，如果有可能，我们应尽量减少垫片、螺母、螺栓等的种类数量，在有些使用中，要求使用比严格要求更贵的备件)。
发展中的另一项新应用是，向操作员提供更多的关于临近危险的信息。例如，如果将热油(超过100℃)加到含有水层的储罐里，或将罐的油加热到100℃以上，水也许会猛烈汽化，发生爆炸，油和蒸汽的混合从储罐的放空管排出，也许会炸掉罐顶(见12．2)。如果输到罐里的油或存在罐里的油的温度接近100℃，那么屏幕上将显示警告信息，不仅显示温度高，而且提醒操作员可能出现的后果。如果操作员开启或增加向含有水层的罐供热，提示信息也会显示在屏幕上。按要求，系统能解释后果发生的原因，向操作员提供厂里的指示，事故报告，或其它文件，操作员可以从中找到更多的信息。
可能发生的事故和发出的报警数量很大，每个厂应根据自己的经验和业内的经验加以选择。虽然设计人员和HAZOP小组的成员要进入整个事故数据库，需要得到批准，但这些信息他们很容易得到。
20．7 结论
如果我们能从计算机控制的加工厂里发生的事故中汲取教训，我们也许能够防止事故的再次发生。人们熟悉的错误会使已经发生的事故再次发生。如果我们不考虑可预测到的事故或设备故障，如果不对动改加以控制，如果操作员承受的信息量太大，如果显示的信息太少，如果控制器设置不合理，如果无视报警，如不告诉操作员已经做的动改，无论我们使用什么控制方法，事故和操作不稳定在任何厂里都会发生。可是有些错误在计算机控制的厂里比在传统厂里更容易发生。这也许是因为不同的部门对装置的设计操作和控制系统的操作负责，操作员也许夸大计算机的能力，对计算机能做什么，不能做什么理解不深。
加强化学和软件工程师交流的最好方法是联合工作。这要求工程师对两个领域都熟悉。
……所有重大的争论依赖双方分享一个错误的假设。
——一位四世纪的神学者
那些想花更多的钱使装置更安全和那些花得钱已经够了的人都有分享了一个错误的假设：他们都假设更安全需要花更多的钱。
本书里的许多事故都是由于危险物质泄漏引起的，在此推荐使用更好的设备或程序防止泄漏的方法。如我们已经了解到的，设备能出故障或能被忽视，程序能失效。因而，防止危险物质泄漏最有效的方法是几乎不用危险性的物质，既使危险物质全部泄漏出来，也不会有什么问题(激烈化或最小化)，或使用更安全的物质替代(取代作用)。如果我们不能做到这一点，就必须储存或处理大量的危险物质，我们应当用最安全的方式进行处理或储存(稀释或缓和)。完成这些操作的装置被认为是本质安全的，因为这些设备不依靠附加的有可能出故障的设备或程序。危险被避免，而不是受到控制，在设计中，安全性是内在的。
因为避免了危险，不需要增加保护设备，如联锁、报警、紧急隔断阀、防火层、喷水系统等，因而装置更经济，因而也更安全。
本质安全型设计的原理显而易见，但是直到1974年Flixborough爆炸(见2．4)，人们几乎没有减少危险物质总量的想法。我们只是简单地设计一套装置，接收设计要求的量，相信我们有能力将其保持在控制之下。
Flixborough爆炸事件削弱了我们自己和公众在这方面能力的信心，十年之后，Bhopal事故几乎将这种信心彻底摧毁。本章里讲述的第一起关于本质安全型设计的事故是在Bhopal发生的毒气释放事故。
我的《装置安全设计》——一种用户友好的方法和参考资料12～15举了许多使装置更安全的例子。注意我们使用的术语“本质安全型”，不是“内在安全”，因为我们不能避免每一项危险。
21．1 博帕尔(Bhopal)
化学工业史上最严重的灾难，1984年12月3日发生在印度中部的博帕尔。异氰酸甲酯(MIC)从一家化工厂发生泄漏，化工厂用异氰酸甲酯作生产杀虫剂胺甲萘的中间体，泄漏物扩散到厂区以外，造成2000多人中毒死亡。官方的数字是2153人，但非官方估计的数字更高。此外，有约200000人受伤。伤亡人数中的大多数是生活在厂区附近贫民区里的居民。
事故发生的直接原因是MIC受到几吨水和氯仿的污染，反应失控，温度和压力升高，安全阀起跳，MIC蒸气排放到大气中。保护设备(应当防止或使泄漏量最小)出了故障或不在工作状态：应当冷却储罐的制冷系统被关闭，吸收蒸气的洗涤系统不能立即投用，烧掉任何通过洗涤系统蒸气的火炬没有投用。
MIC污染有可能是故意破坏造成的，但我们也应看到，如果不储存那么多MIC，如果贫民区不扩展到离工厂那么近，如果保护设备都保持在良好的工作状态，也许不会那么严重。
21．1．1 “没有的东西不会发生泄漏”
应当从博帕尔事故中汲取的最重要的教训被大多数评论员忽视了：泄漏的物质既不是产品，也不是原料，而是中间产品，虽然贮存很方便，但是没有必要那么做。在博帕尔事故发生后，联合碳化物公司和其它一些有关公司决定大幅度减少MIC和其它危险中间品的贮存量。灾难发生一年后，联合碳化物公司报告危险品的贮存量已经减少了75％”’。产品(胺甲萘)可以用碳酰氯和甲胺反应生产MIC，MIC然后再与。—萘酚反应制得。同样的产品也可以用同样的原料，按不同的反应顺序制得，避免生产MIC。碳酰氯与。—萘酚反应生成中间体然后再与甲胺反应。
21．1．2 厂址
泄漏不到的地方，就不可能有人死亡。如果不允许贫民区蔓延到厂区附近，在博帕尔的死亡人数——在墨西哥市(见8．1．4)和圣保罗(见9．1．8)——将会降低。当然，限制贫民区的蔓延比限制永久性居住更困难，但是有必要的话，应当通过购买并用篱笆将土地围起来，尝试限制贫民区的发展(如上所述，如果需要，将厂搬迁)。
21．1．3 将不相容的物品分开
MIC储罐受到相当量的水和氯仿的污染——达1吨的水和1½吨氯仿——导致一系列复杂的失控反应。水进入MIC储罐的确切线路并不清楚，已经提出几种理论，最有可能的是故意破坏，虽然无论是谁愿意加水并没有意识到后果是多么严重。危险性和可操作性研究(18．7)是一种强大的验证工具，能够验证污染和不想要的偏差出现的方式，因为人们知道水能与MIC发生剧烈的反应，不允许水接近MIC。
21．1．4 保持保护设备在良好的状态——正确地选择规格
像前面已经提到的，当泄漏发生时，制冷系统、火炬和洗涤系统并不在良好的工作状态。此外，因为人们知道仪表不可靠，最初忽视了MIC罐的高温高压。高温报警没有动作，因为设定点被调得太高。因而，博帕尔的主要教训之一是需要保持保护设备在良好的工作状态。第十四章讲述了其它一些事故，进一步说明这个问题。
很容易买到保护设备，所需要的是资金，如果我们制造足够的紧张气氛，最终可以得到保护设备。当最初的热情退去后，要使这些设备保持良好的工作状态是一件更困难的事。所有的程序，包括试验和维修程序，受一种腐蚀的影响，这种腐蚀比影响钢制品的腐蚀更迅速，一旦管理人员失去兴趣，能消失得无影无踪。要不断地进行核查工作，确保程序能保持下去。
有时管理和监督人员失去兴趣，对保护设备不了解，操作人员不再执行程序。但是，关闭火炬系统进行修理和不用制冷系统，不是操作员所能做出的决定，肯定是管理人员做出这样的决定，因而说明缺乏理解和责任。
制冷、洗涤和火炬系统也许不足以防止放出那么大量的MIC，但能减少排入大气的量。安全阀不足以处理蒸气和液体两相物流，虽然储罐没有爆炸，但受到压力上升的影响而变形。保护系统不能被设计处理每一项能想到的可能发生的事，但是却说明了当博帕尔处理像MIC这样高毒性的的物质时，应考虑更广泛的境况。它也说明了，当选择安全阀时，是否会出现两相物流。
21．1．5 联合企业
博帕尔一半由一家美国公司拥有，一半由当地拥有。按当地法律的要求，当地公司负责操作装置。在这样的联合企业里，重要的是谁对安全负责——无论是在设计还是在操作中。技术更丰富的合作伙伴有一项特殊的责任，除非确信操作伙伴已经有了知识、经验、责任和处理危险物质的办法，否则不应当继续进行下去。不能只说一句不在完全控制之下，就能推脱责任。
21．1．6 进行预防损失措施训练
博帕尔和本书讲述的许多其它事故致使我们看出这样的疑问，那些设计和操作装置的人员是否作为学生从他们的雇主那里接受过预防损失措施的训练。在英国，所有的化学工程在校学生都得到预防损失措施的训练，但在大多数其它国家，包括美国情况却不是这样。预防损失措施应包括在所有工程师的培训内容中，不应当像一层漆一样，在设计之后加到装置上，而应是设计一个本质的组成部分。只要有可能，应在设计时做出动改，消除危险，如减少总量，而不是增加保护设备。我们也许从来用不到学生时代学到的一些技能和知识，但每一位工程师必须做出关于预防损失措施的一些决定，如将危险消除到什么程度。
在博帕尔，职员过去已经发生变化，在人员配备上有所减少，新招收的员工不像原来的员工那样有经验。但是，我并不认为这是事故发生的主要原因，像不用保护设备这类的错误是根本性的错误，不能说成是对某一特殊的装置没有经验。
21．1．7 公众反应
博帕尔事故说明需要公司与当地的管理和应急部门共同制定处理紧急情况的方案。
博帕尔事故不可避免地在全世界产生巨大的公众反应，尤其是在印度和美国。要求严格控制的呼声很高(一份题为“立法者户外集会”的报纸，列举了自1985年底启动的32项美国政府的建议和活动，35项国际活动)，呼吁业内先把自己的事情整理好(例如，由美国化学工程师协会建立化学工艺安全中心，由化学晶生产商协会建立社会意识和响应程序中心)。
虽然博帕尔事故很可怕，但是我们应对杀虫剂或整个化学工业是没有必要的过激反应或建议保持注意。杀虫剂能增加粮食生产，救活的生命比博帕尔事故造成的损失要多得多。但是，博帕尔事故不是杀虫剂生产中不可避免的事故。通过更好的设计和操作，通过从经验中汲取教训，后面的博帕尔事故可以避免。事故本身不是因为缺乏知识，而是没有应用我们已经掌握的知识。也许这本书有助于传播一些这方面的知识。
21．2 其它本质安全型设计
21．2．1 强化
设计本质安全型装置最有效的方法是通过强化，即为了使泄漏造成的损失降到最低，使用或贮存更少量的危险品。当选择换热器、蒸馏塔、反应器和所有的其它设备时，我们应当尽可能选择危险品存量小，停滞时间短的设计。参考资料1和12-15讲述了一些可能进行的动改。强化很容易用在一个新装置上，除非我们准备替代现有的设备，否则在旧装置上应用受到限制。但是，如我们所知，能减少现有装置里的中间产品的贮存量。当一个厂的产品是另一个厂的原料时，可将两个厂设在同一地区，减少贮存量，这样也减少了运输的量。
一家公司发现，如果将其产品的量减少75%，它仍能继续运行，虽然在这种情况下，储罐(不是产品)有一定的危险性(见9．2．1g)。
硝化甘油(NG)为我们提供了一个很好的通过重新设计减少贮存量的例子。硝化甘油是用甘油和浓硝酸和硫酸的混合物制造的，反应时放出大量的热，如果不通过冷却和搅拌取走热量，随着NG爆炸性的分解，反应将会失控。
反应原来在一个间歇式的反应罐里进行，每台罐约装一吨的原料，操作员必须密切注意温度，为了保证不会睡觉，他们坐在靠在反应器上只有一条腿的凳子上。
如果要求我们使这种工艺更安全，大多数人会选择增加反应器测量温度、压力、流量、温度上升率等方面的仪表，然后使用这些仪表操作阀门，这些阀门中断流量、增加冷却、打开放空和排放等等。到我们完成这些工作时，我们几乎看不到在增加的保护设备下面的反应器。当要求NG工程师改进工艺时，他们会首先问为什么反应器里一定要加这么多的原料。明显的答案是反应进行得很慢。但是，化学反应并不慢。一旦分子相遇，反应很快进行。慢的是化学工程——搅拌。因而设计一台小而搅拌均匀的反应器，只装大约1kg的反应物。产品的产量与间歇式反应器基本一样。这台新的反应器类似于实验室里用的水泵，酸液迅速流过反应器产生部分负压，从侧管吸入甘油。混合的速度很快，当混合物离开反应器时，反应已经完成，在反应器里的滞留时间从120分钟降到2分钟，操作员受到一定厚度防冲击墙的保护。在装置洗涤和分离NG下游过程也做了类似的动改，反应器、冷却器和离心分离机中总共装有5kg的NG。
无论使用什么生产工艺，产品NG仍然有危险，现在正在用更安全的炸药代替。在采石厂，人们现在越来越多地在现场用两种非爆炸性的成分准备炸药。
当符合实际情况时，强化的方法是首选本质安全型的设计，因为减少贮存量使装置更小更经济。除了减少费用外，也减少了对保护设备的需求。
21．2．2 替代
如果不可能实现强化，我们应当考虑替代，即用危险程度低的物质替代危险性高的物质。例如，苯曾经广泛用作溶剂，在高浓度时是直接有毒的，在低浓度时产生长期的有毒影响。其它的溶剂，像环己胺常用来代替苯。更好的、不可燃的或闪点高的溶剂也许更适用。在食品工业中，现在正广泛使用超临界的二氧化碳，代替正己烷脱除咖啡里的咖啡因和萃取啤酒花，也能用于脱脂设备。同样只要有可能，应使用不可燃的或高闪点的传热流体代替低闪点的传热流体。
氦供应厂使用一套氦回收系统，受空气及／或氮气污染的氦气被送回到这套系统中，通过一个用沸腾的液氮夹套冷却到-196℃的碳床层进行纯化。氧气和氮气被碳吸附。送回来的氦气中氮气的含量比氧气的含量高得多，但是在一批*的氦气中，氮气的含量为1.3％，氧气的含量为2.2%，因为氧气的沸点比较高(—183℃)，首先凝结出来，吸收在碳床层上面的是85%的氧。碳—氧混合物发生爆炸，产生强大的冲击波，导弹被损坏，幸运的是没有造成人员伤亡。很微小的机械振动引爆了混合物。
装置人员没有意识到进料组成的变化有这么大的危险性。但是，当他们将发生的事告诉其他氦供应商时，两起早先没公布事故的被暴露出来。如果隐瞒事故的人很开化，第三起事故也许就不会发生了。
分析步骤现在更加严格。此外，一种替代品——硅胶与氧气不发生反应，现在代替碳作为吸附剂。硅胶的效率低，但是本质更安全。
像在博帕尔事故中(21．1．1)，一个不同的工艺路线有时能替换产生危险性结果的工艺路线。下面是一个其它工业的例子，将面粉与脂肪混合，再加水制作面粉糕饼生面团，可在家中也可工业化制作。如果用来包馅，很可能裂口或塌下去。根据国际专利申请第96/39852号，借助一种乳化稳定剂，将水和脂肪乳化，然后加入面粉，可防止上述情况的发生。
21．2．3 稀释
第三种使装置更安全的方法是稀释——以危险性最小的形式使用危险性的物质。例如，当少量的危险性液化气体，如氯、氨和丙烷通常在常温下加压储存，大量的则在或接近常压低温储存。因为压力低，通过一定尺寸小孔的泄漏率也就更小，因为温度低，蒸发量也较少(见8．1．5)。必须考虑冷冻设备以及贮存容器的泄漏的可能性，因为这个原因，只对大量储存的气体进行冷藏。
另一种稀释的方法是在溶剂里储存和运输危险性的物质。因而，多年来一直在丙酮溶液里储存和运输乙炔，一些能够自然分解的过氧化物也在溶液里储存和运输。
21．2．4 限制后果
本质安全型设计的方法是通过设备设计或限制提供的能量，而不是通过增加保护设备限制后果。例如，许多石油液化气的溢出是因为储罐过满和液体从没有连接到火炬系统的安全阀排出。如果选择进料泵的憋压出口压力低于安全阀的设定值(或设计容器使它们能承受入口压力)，那么当装满容器时，安全阀不会起跳。
同样，在温度很低，没有危险的温度下使用热介质，可以防止过热事故。例如，通常在塑料或塑料衬里的容器里处理腐蚀性的液体，用电浸式加热器加热。如果液位下降，加热器的暴露部分和罐壁会变得很热而着火。一家保险公司在两年的时间里报告了36起着火事故，一些火灾蔓延到装置的其它部分。五起着火事故是因为低液位联锁失效引起的。
本质安全的结论是使用不能使塑料着火的热源，例如热水、低压蒸汽或低能电热器。
如果要保持不稳定化学物质的温度，加热介质不能使它们过热。一些酸性的二硝基甲苯应当一直保持在150%，因为在更高的温度下，它会分解。二硝基甲苯在一条封闭的管线里在210℃的温度下用蒸汽加热了十天后，发生剧烈的分解。
21．2．5 Seveso
1976年，在意大利的Seveso，因为使用一种不必要的加热介质，导致反应失控，引起二氧芑落在周围的乡村，使这儿不适合居住。虽然没有造成人员伤亡，但成为最著名的化学事故之一，仅次于博帕尔事故，对许多国家的法律有深远的影响。
一批没有反应的2．4．5-三氯苯酚周末留在反应器里，温度为158％，远远低于失控反应发生的温度(据信当时的温度为230℃，但也可能只有185℃。反应在负压下进行，反应器用外部盘管加热，热量由从透平排出的废蒸汽提供，蒸汽的温度为190%，压力为[2bar<1.2MPa](图2l-1)。透平正在降低载荷，因为周末其它装置也停工(按意大利法律的要求)，蒸汽的温度上升到约300℃。液体的量很大时温度不会超过158℃很多，因为它的热容量很大，所以在液位以下，通过反应器的器壁有一个温度梯度，器外的温度为300℃，器内的温度为158℃。在液位以上，器壁内外的温度为300%。当蒸汽被隔离15分钟后，关掉搅拌器，通过传导和从液体上面热的器壁辐射传递，热量传到上层10cm左右的液体上，这部分液体变得很热，足以开始进行失控反应。如果蒸汽更凉，185℃或更低，失控反应就不会发生(见10．4．6)。
21．2．6 已经存在的装置
如前面讲述过的，虽然储罐经常可以被减少，但是很难在已经存在的装置上引入本质安全型设计。一家公司改进一个旧厂的本质安全性，厂里有一套生产碳酰氯的装置。提高控制设备的可靠性，能减少厂内的储藏量。买更纯的一氧化碳(原料之一)可省去纯化过程(因而简单化，也加强化)，将氯的供应从液态改为气态，可减少90％氯储存量。
21．3 用户友好设计
与本质安全型设计有关的一个概念是用户友好设计：设计设备，使人为的错误和设备故障对安全没有严重的影响(对产品和效率也没有严重影响)。当我们努力防止人为错误和设备故障时，在处理危险性的物质时，只有非常低的故障率才能为人们所接受，像本书介绍的那样，很难取得这样的效果。因此我们提高设计水平，使错误的影响不严重。下面是一些我们达上述目标的方法：
● 通过简化设计：复杂的装置里有更多的可能出故障的设备，人犯错误的方式也更多。
● 通过避免撞击效应：例如，如果罐顶的焊缝不结实，爆炸或过压有可能炸掉罐顶，但罐里装的东西不会溢出(见5．2)。
● 使不正确的组合不可能出现(见9．1．3中的举例)。
● 通过使设备的状态更清楚：因而，8字盲板比插板更好用，因为人们一眼就能看清前者的位置，阀杆上升的阀门比阀杆不上升的阀门好用。如果阀柄不能被换在错误的位置，球阀也很好用。
● 使用能经受一定程度误用的设备。因而，固定的管线比软管更安全(见7．1．6)，带膨胀回路的管线比膨胀节(波纹管)更安全。
参考资料1中给出了更多的例子。
著名的最后定论：“在实验室里，我没有看到放热曲线”；“我只看见一点泡沫”；“如果你把它放在烘箱里时间长一点，它会带点褐色。”
———Chilworth Technology
许多事故，尤其是在间歇式装置里的事故都是由反应失控引起的，即无法控制反应进行。反应进行得很快，冷却系统不能阻止温度上升，及／或安全阀或防爆膜不能防止压力迅速升高，使反应器破裂。有关例子已经在有关人为错误的章节中做了介绍(3．2．1e和3．2．8)，虽然真正的原因是因为设计不合理，设计留下的陷阱，最终有人陷进去。
能失控的反应数量很多，Bretherick所著的《反应化学危险性手册》列出了大约4700种化学物质，与一种或另一种危险的反应有关，有20000个前后交叉的条目涉及到不止一种化学品。这是化学家、工艺工程师和每一位从事过程安全人员都适用的一本基本参考书。我在这里所要介绍几个例子，说明反应失控发生的原因。
22．1 缺乏知识
这或许是在过去一定时期反应失控的主要原因。在多年的安全生产之后，一种化学品或一种反应混合物变得比一般情况下更热一点，或保持一定温度的时间比通常长了一点，造成反应失控。现在没有任何理由再发生失控反应，因为有许多检测纯物质和反应混合物的方法。这些方法包括加速率热量测定(ARC)、差动扫描热量测定和反应热量测定法。也有一些确定安全阀、防爆膜、放空管规格的方法。对于每一种情况，需要征求有关技术专家的意见。如果工艺条件发生变化，需要做进一步的试验。2．6讲述了因为对操作条件稍做改动，导致一次剧烈爆炸事故的发生。
多年的安全操作并不能证明反应不会失控。操作员不知道装置是在接近操作不稳定的条件下操作，如果操作员没有注意到压力、温度和浓度发生的轻微变化，不会引起操作员的注意，就有可能发生危险，如下所述，操作员就像沿着悬崖边上行走的盲人：
(a) 部分zoalene(3，5-二硝基邻苯酰胺)，一种家禽饲料的添加剂在干燥后，放置的时间比通常时间长，27h后发生破坏性的爆炸。加速率热量测量试验(ARC)表明，zoalene在120～125℃之间保持24h，将自动变热分解。
这家公司已经用ARC(当时一项新技术)试验所有要进行处理的化学物品。当爆炸发生时，已经试验了5%，没有理由先试验zoalene，因为其它试验和17年的生产经验没有发现其不稳定性的任何迹象。官方的爆炸事故总结报告中指出：“没有充分的证据指责管理和操作人员因为理解和操作导致爆炸事故的发生。如果爆炸晚几年，在公司有时间完成所有的试验后发生事故，结论就完全不同了。
(b) 由于蒸汽泄漏到反应器的夹套里，一些硝基苯磺酸在150℃的温度下保持了11小时。这种物质在高于145℃时发生分解，剧烈的爆炸将反应器从建筑物内炸出去。在当时，人们认为只有当温度高于200℃时才会发生分解。
(c) 氯化铁溶液的生产方法是悬浮铁粉并通人氯气。这个工艺先通过ARC试验，然后进行中试，再转到大规模生产的反应器中(直径1.2m，高2m)。在进行第三批反应时，发生破坏性的爆炸，造成2人死亡，50人受伤的重大事故。
反应控制是依据这样的假设，当停止供氯时，所有的反应也就停止了。在中试装置中情况也是这样，但在大规模装置中，情况发生了变化。在中试装置中没有搅拌器，因为通人的氯已经提供了足够的搅拌能力。当停止供氯时，不再有搅拌，反应也就中止了。在大规模装置里，必须安装搅拌器，当停止供氯时，搅拌器继续转动。此外，在中试装置中，冷却能力很强，将任何继续反应的迹象掩盖。在ARC试验期间，也曾想进行搅拌，但因铁粉干扰机械连接的搅拌器而放弃。
(d) 许多事故的发生是因为设计人员没有认识到，体积增加和表面积的增加与热损失的增加不成比例。如果高度增加一倍，形状不变，体积就会增加8倍，但是表面积只增加4倍。
因为在实验室里没有观察到温度上升，所以人们认为反应是热中性的。在中试装置里也没有加冷却，第一次加料就发生反应失控。幸运的是安全阀能处理这种情况。进一步的研究表明，反应放出2W/kg/℃的热量。实验室里的玻璃器皿的热损失为3～6W/kg/℃，所以观察不到温度的上升。2.5m3中试反应器的热损失只有0.5W/kg/℃。参考资料22列出了各种规格容器的热损失和冷却率。
(e) 一个不通寻常的反应失控的事故：一个小偷想用氧乙炔焰在焰火库的钢门上烧出一条通路，结果使这幢由混凝土建成的建筑变成碎石。
22．2 不良混合
(a) 3．2．8讲述了一起因为关闭反应器循环线上的阀门造成失控反应的事故。因为没有混合，进来的反应物形成一个独立的分层。当有人打开阀门时，两层反应物突然混合，在催化剂的作用下，发生剧烈反应。即使两种液体容易混合，它们也可能分层。
当搅拌器或循环泵停止工作时，已经发生了许多类似的事故。例如，用石灰浆中和储罐里的酸性废料，操作员认识到流到排水沟的水酸性太强，经检查发现搅拌器已经停了。他再次开启了搅拌器，已经分成两层的酸和石灰浆发生剧烈的反应，产生的气体将用螺栓把紧的盖子从罐上炸飞。
(b) 一种芳香烃通过慢慢加入硝酸和硫酸的混合物进行硝化。几个小时后，操作员注意到温度不再上升。经检查发现搅拌器停了，所以就又将其启动。几乎在开动的同时，他认识到这样做会使反应失控，想马上停下搅拌器，但为时已晚。不到20秒钟，烟从反应器的放空系统中冒出。他下到地面，想打开放空阀，但是烟太浓，什么也看不见，就很明智地离开了这个地方。五分钟后，容器发生爆炸，反应器的盖子落在150m之外，反应器的其它部分被推向地面好几米。
反应器搅拌器或循环泵出现故障应自动切断液体进料。如果已经将所有的反应物加进去，不进行混合仍然很危险，随后采取的行动要事先得到批准，例如增加冷却、加入急冷剂、或倒出加进去的物料。
(c) 如果不进行混合，温度测量只指示测量点的温度，但测量体积很大液体其它部分的温度有一定的困难。反应器上有急冷水系统，如果物料变得太热，从软管里加水。供电故障使搅拌停止，操作员观察温度变化。当温度下降时，他没有采取行动。过了一会儿，温度又开始上升，在他接上供水管线以前，爆破膜破裂，不久反应器爆炸。
没有一件事故是由简单的原因引起的。在这次事故中，一方面的原因是操作员没有经验，他必须请其他人告诉他怎样使用急冷水系统，这套系统已经使用几年了。平时不太使用应急设备，如果不定期进行训练，人们会忘记(或从没有学会)它的使用方法。
(d) 在第一次世界大战期间，英国曼彻斯特附近的ASHTON发生一次大爆炸，炸死46人，包括19名公众，炸毁了一家三硝基甲苯(TNT)工厂。在生产的最后一个阶段，加硝酸使二硝基甲苯变成三硝基甲苯，硝化反应器(5英尺11．5米]高，直径5英尺)开始放出硝酸烟雾，马上停止加入硝酸和搅拌，然而反应物溢了出来，热酸落在反应器周围搭起的木台子上，引起着火。不久周围设备和罐里存的TNT爆炸。
在爆炸时，正在用铁制的台架替换木制台架，但工作进行得很慢，因为原料需要配比。军需品工作部将这种替换列为希望进行的，而不是绝对必须的。
为什么反应器会沸溢呢？为了提高效率，在最后一个阶段，负责人减少了硫酸的加入量，也减少了硝酸的加入量。因为加入的酸少，反应器不像以前那么满。有一段时间，上部的搅拌叶片露在液面上面。此外，使用的酸少，会使反应不稳定。当液面上升，盖住叶片时，没反应的酸开始反应，温度上升，反应失控。因而我们又一次看见了工艺动改造成不可预测后果，这次动改没有经过深思熟虑(见第二章)。
(e) 在最近使一种硝基芳烃化合物进行磺化反应时，发生了一起类似的事故。一些上次反应留下的反应产物被加到反应器里，加热到85℃。然后同时加入熔化的硝基芳烃和发烟硫酸，温度上升到110℃。
这台反应器也用于其它的工艺目的。冷却器不适合其中的一种工艺条件，所以又加了一根盘管。为了给这根盘管留出地方，将搅拌器拆除，换上一个涡轮搅拌器，放在容器更靠上的位置。一段时间后，需要附加盘管的工艺不再使用，拆除受到腐蚀的盘管，使容器里的液位降低。
六个月之后，在常规维护检查期间，无意中将搅拌器放在了尽可能高的位置上。在反应初期，搅拌器在液位上面，两种反应物形成独立的分层，温度下降，控制系统向反应器夹套里增加蒸汽的供应量。一会儿后，上升的液面将搅拌器淹没，两种热的积累起来的反应物被混合，开始发生反应。冷却系统不能控制这么快速度的反应，温度上升，反应物开始分解，压力上升，反应器盖破裂，反应器里的液体像熔岩一样溢了出来。
这起和上起事故说明，无意中减少混合是多么的容易，结果是多么严重。
22．3 污染
由污染引起的最著名的反应失控事故是博帕尔事故(见21．1)。在这起事故中，反应发生在储存的容器里。储罐没有发生爆炸，但变了形。即使洗涤和火炬系统投入使用，蒸气的排放量比它们的处理量大。
下面举几个因污染引起意外反应的例子：
● 储罐里的环氧乙烷通常用氮气惰化。一家工厂使用分解氨制造的氮气。氮气中含有微量的氨，能催化环氧乙烷发生爆炸性地分解反应。微量的碱、氯化物和锈已经引起了一些类似的分解反应。
● 循环液体流过水冷换热器，冷却丙烯醛储罐。一般情况下使用盐水，但因除盐水系统出现故障，改用地下开采出来的水代替，水中含有大量的矿物质。换热器发生轻微的泄漏，水受到丙烯醛的污染，矿物质催化反应速度快的聚合反应，储罐爆炸。
● 一台高压空气压缩机从正在进行炔氧焊的地方吸入空气，在青铜制的阀门上生成少量的乙炔铜，发生爆炸。
● 不稳定的杂质也许集中在蒸馏塔的某些塔盘处。
● 惰化氮气中的少量氧气能与产物进行反应，如丁二烯和丙烯醛，发生爆炸性的聚合反应。在一起事故中，在丙烯醛厂不知道的情况下，应另外一个厂的要求，在氮气中故意加入少量的氧气。
● 为了防止发生聚合反应，一般要在丁二烯和丙烯醛中加入抑制剂，但这个系统并不十分可靠。在装有丙烯醛的罐装卡车或槽车中已经发生几起反应失控的事故。当温度低时，一部分液体结晶，抑制剂留在溶液里。在其它一些事故里，杂质留在大量液体的下面，浓度加大足以引起失控反应。
容器有时受以前使用留下物质的污染。例如，装过废矿泥的罐装卡车里有铝颗粒。一天，一台罐装卡车里剩了一些苛性钠，与铝发生反应，产生氢气。压力增加，炸开了一个检查舱门，将一名操作员击倒在地。
再看一个例子：为了清除粘在器壁的聚合物，将一些溶剂加到反应器里。一些存留在聚合物后面的单体和溶剂发生反应，压力上升。少量的聚合物堵塞了安全阀，压力将一条玻璃连接管线压破。
废容器里经常发生反应，因为人们将分好类的物品不暇思索地扔在里面。如上所述，泄漏的换热器也能造成污染。
伦敦一家高档的宾馆为一件事担忧，因为发现家庭制造的香槟酒在倒出一会儿后，就会失去泡沫，香槟酒每瓶价值60美元。最初，宾馆指责供应商，后来他们发现问题是由用来洗杯子的清洁剂引起的。
22．4 与辅助材料反应
像在22．1中介绍的那样，我们试验反应物，也要试验辅助材料。例如三氟化氮能与硅石发生反应，硅石常用作干燥剂。每当加入一批新硅石时，温度都会升高。操作员没有报告，最后认为这是一种正常现象。像在22．1介绍的那样，他们沿着悬崖边行走，总有一天温度升高反应失去控制。
22．5 不当的培训或程序
一名操作员被告知每过一段时间加一种反应物。他开始时加得很慢，当他发现落在后面时，在加剩下的反应物时，又加得太快，反应失控。幸好在这起事故中，安全装置控制了情况的进一步恶化，虽然产品被浪费，但反应器没有破裂。有必要规定加料的速度和加料的时间。
操作员被告知每过1～1.5h，在45℃时加一次反应物，但是他们认为没有必要，因为加热器的功率不够，所以决定在更低的温度下加料，在反应器里进行加热。他们没有把这种做法告诉任何人，监督人员也不知道。因为长时间来一直沿用这种做法，也就为人们所接受。他们再一次沿着悬崖边行走，最终反应失控，放出有毒性的烟雾。
不幸的是，如果人们接到的指令不可能做到，或他们认为不可能执行，他们不喜欢告诉他们的负责人，所以他们通常尽可能去做。但是，在这起事故中，如果保留适当的纪录，检查人员检查纪录，他会发现加料的温度发生错误。
当操作员向反应器里加错料时，也可能发生反应失控事故，通常是因为不同的物质有相似的名称，存放在类似的容器里，或标识不明确(见第四章)。
一个间歇式蒸馏塔用来蒸馏硝基甲苯，用了三十多年没有进行清理，积累的渣子造成一些问题，或人们认为是这种原因，所以有关负责人决定用新鲜蒸汽清洗蒸馏，并通知操作员不能使渣子的温度超过90t。但是，他们没有办法测量温度，所能测量的只是蒸馏塔里蒸汽的温度。渣子变得很热，反应失控。一团火球从蒸馏塔底打开的人{L窜出，吞没了远在25m外控制室——一个木制房屋！越过停车场，烧到办公区，有五人被烧死，其中四个人在控制室，公司为此付了600000美元的罚金和费用。
硝化过程一直被认为是“分布最广、威力最大的破坏性工业装置的工艺操作。
22．6 最后使用日期
我们习惯于查看食品上的最后销售日期或最后使用日期。在一些化学品上也有，或应该有最后使用日期。最明显的是醚，它在放置期间形成过氧化物，受到
震动就会爆炸。醚的保存期不能超过一定的期限——二甲醚和其它低分子量醚的存放期为六个月。人们在多年前已经掌握了这种知识，Bretherick”；给出了一些因为醚保持太长的时间，引起的爆炸事故的参考资料。一次悲剧性的事故降临在一位从事研究工作的化学家身上。他想打开一个装有异丙醚的瓶子，将瓶子顶在肚子上，用手使劲拧瓶盖，瓶于爆炸，他受了严重的伤，两小时后死去。然而，根据美国能源部最近的一份报告，在它下属的一个实验室里发现了21个装着二甲基醚的容器，里面的二甲基醚已经放了21个月。
美国能源部同时指出，装腐蚀性化学晶的聚乙烯瓶子，用得时间长了会出问题。
Bretherick列出的其它有使用年限的化学品是漂白粉(“已经存放了很长时间，当暴露在阳光下或在密闭的容器里受热时容易爆炸的物质”)和王水(1：4硝酸和硫酸的混合物，用来进行清洗)，“王水分解时产生气体，不应存放在密闭的瓶子里(或宁可不放在密闭的瓶子里)”。
硝酸胲和硝酸的稀释溶液在一台放空罐里放了4年，化学品的浓度因蒸发而上升，直到一起发生化学反应。反应产生的蒸汽和气体量很大，将罐的盖子炸飞。在另一起事故里，同样的棍合物，加上联氨被憋在两个阀门之间。分解使垫片破裂。应将化学品从正在使用的罐里清出去”。
油溢在温度较高的有吸附作用的材料上时，会发生分解(见7．3．2和11．4．4)，不久后就会分解成自燃温度和自燃点低的物质。许多保温材料着火都是因为这个原因，应立即将吸了油的保温材料更换。亚麻油尤其容易着火，人们至少在1925年就掌握了这种知识。然而，在1965年，一些用来将亚麻油擦到实验室长椅子上的布，没有按规定烧掉，而是扔到一个废品箱里。几个小时后着火，将实验室烧毁。参考资料18列出了一些易于自动变热的物质，参考资料19包括一些事故的资料，这些事故包括各种各样的物质，如刨花、烟草、奶粉和肥皂粉。
一家环氧乙烷生产厂收到一些回收的瓶子，里面的部分环氧乙烷已经聚合，堵住了阀门。它们被送到爆炸试验场销毁了。
附录l 事故的相对频率
下面是一份最近发表的论文摘要，文章讨论了本书中讲述的许多事故出现的相对频率。这是根据对石油化工工业近500起事故进行分析后得出的。当类似事故的目录收集在一处时，我已经加上了这本书的参考资料，但当它们分散开来时，例如，与排凝和放空有关的事故，请查索引。
● 在某种程度上，半数以上的事故与维修有关：停工占15%，开工占14%，维修占10%，由于设备故障采取措施避免停工占11%。
● 很好地进行危险性和可操作性研究(第十八章)能防止一半的事故(但在八十年代和九十年代只有40%)。例如，不能防止的事故包括机械故障和使用错误的建筑材料安装。
● 22%的事故发生在贮存和调合区，对于这些事故：
——10%是由于在蒸气空间内存在可燃的混合物(见5．5．4)；
——另外10%由于将热的液体和冷的挥发性液体混合，通常是热油和水(呈泡沫状溢出)(见12．2和17．12)；
——接近10%的事故是由于当蒸气的压力太高时，通过浮顶罐的密封发生泄漏(见5．5)；
——其它经常出现的原因是设计不合理，或使用排凝和放空(见索引)和水结冰(见9．1．1)。
● 排在储罐后面，最经常出问题的设备是压力容器，占16%，管线占12%(其中的三分之一是由于腐蚀)(第九章中的许多事故归因于管线)。
● 石油液化气(LPG)占事故的17%(见第八章)，排在后面的是重油(见12．4)、汽油、氢气和烃类气体。重油出的事故很多，是因为处理时的温度超过了它们的自燃点和与泡沸有关。
● 点燃：点燃事故的23％没有查明点火源，三分之一的点火源已经查明是因为自燃。其它常见的原因是火焰、热表面、火花、闪电、静电和电子设备。在一些事故里，当发出允许工作许可单后，条件发生了变化(见1．3．2)。
●“主要原因”：10％的事故是由于反应失控(第二十二章)，主要由公共系统故障、逆流(第十八章)加错反应物、催化床层堵塞、没有料到的冻结(与
5．3．1比较)和过热引起。在这些事故中，外8％是由于动改(第二章)，7%是因为使用了错误的建筑材料(16．1)，5甲。因为安全设备(第十四章)和安全阀(10．4)不起作用，5%由于震动，5%由于排凝和放空泄漏，5%由于放空和火炬系统故障，5%由于过热(其中的一半是由于炉管破裂)，下列事故各占3.5%：维修时隔断不当(1．1)，维修时没有很好地标识(1．2)，结冰(9．1．1)，没有检查阀门，最后一点，工艺介质的蒸气压比设计时假设的高。
● “责任”：通过更完善的工艺设计，能防止60%的事故发生。使用更完善的操作程序(包括手写的临时程序)或替换丢失的程序，能防止三分之一的事故。在这些事故中，20%是由于操作员的错误引起的，包括由于培训不当和标识不当或布置错误，如果进行更完善的设计，能够避免事故(见第三章和第四章)。在这些事故中，16%通过更仔细地检查，10%通过更完善的机械设计能够避免。
附录2 最后的设想
为什么我们应当发表事故报告？
本书中的一部分报告来自我的个人经验，另一些是由其他人提供的(或者通过秘密的渠道或者通过公开发表的报告)。我希望这些报告有助于贵厂防止类似事故的发生。
几乎每一位读者，如果不是在现在而是在将来，将会经历其他人能够汲取教训的事故。反过来，作为从这本书中已经学到的知识，我希望您能发表一些事故报告，以便其他人能够从中学到些经验。您这样做的理由有五条：
第一是道德。如果您有信息能够防止事故的发生，那么您有责任将信息传递给其他有关人士。
第二是团队精神。如果我们将自己的事故告诉其他人，那么反过来他们也会告诉我们他们的事故。如果我们从其他人那里学到经验，但是反过来不发布信息，我们就成为“信息寄生虫”，生物学家用来描述一些鸟类的术语，例如那些只靠其它物种发出敌人正在靠近警报的鸟类。
第三是经济方面。许多公司在安全措施方面比竞争对手花费高，因而付出了自我征收税。如果在事故发生之后，我们告诉竞争对手自己采取的行动，他们也许会花同样多的钱防止事故的再次发生。
第四是如果一个公司发生了严重事故，整个工业都会经受失去公众信心的痛苦，而新的立法也会影响到整个工业。只要涉及到公众和政治家，我们也在其中。借用诗人John Donne的著名诗句：
没有一个工厂是一个孤岛，即使整个工厂；
它只是大陆的一部分，主体的一小块；
任何一个工厂的损失都会削弱我们，因为我们都在这个工业中；
因而不要派人了解询问发给了谁，
它发给了你。
第五是没有任何其它东西像事故报告那样有巨大的影响力。如果我们看一篇文章，它要求我们检查动改，我们同意它的观点，但又忘记了。如果我们看了第二章的事故报告，我们很可能会记住。
如果你的雇主不愿意你用自己的名义发表事故报告，也许他们会同意你将稿子投到期刊匿名发表，例如《防损失公告》(见推荐读物)，或者他们会让你发表你采取措施的结果。这样做效果不如事故报告，但是比什么都没有要好(见8．1．5)。
“现在的情况不像过去”。
本书中介绍的一些事故发生在20世纪90年代，另一些可追溯到几十年以前，有几件甚至更早。在我们前进的每一步中，如果我们讲述几年以前发生的事情，有些人会说：“学校／医院／办公室／工厂不再像过去那样了”。旧的报告仍然有关系吗?
在许多方面，至少工厂的变化不大。这并不奇怪，因为人的本性是一个共同的因素。我们拥有更先进的设备，但很可能像过去一样，在设计、施工、操作、试验和维护时抄近路。也许更可能的是，我们中很少有人注意观察装置，或做深入细致的研究。我们比我们的父辈和祖辈有更多的知识，但我们更彻底更可靠吗?
像在第二十一章介绍的那样，我们在避免危险而不控制危险方面已经取得了一些进展，但我们仍有很长的路要走。
最后是周老师想说的话：
如果遵从本课的忠告，你就得到了最佳回报。如果你掌握了本课的精髓，你就领悟了生命之宝贵。
各位同学们，再见！