施洁国际公司环氧乙烷爆炸事故

天津市居安企业管理咨询有限公司 唐彬 中国石油和化学工业协会培训中心 张瑞涛｜文

本文结合美国化学品安全与危害调查委员会（CSB）对施洁国际（Sterigenics International）公司医用品灭菌装置环氧乙烷爆炸事故的调查，介绍了该事故发生的背景、过程及后果，从技术和管理角度分析了事故原因，并给出CSB的建议措施。

事故背景及过程

事故背景

2004年8月19日，位于美国加利福尼亚州的施洁国际公司的空气污染控制装置和医用品灭菌柜内发生了一起爆炸事故，事故造成4人受伤，生产装置被严重破坏，停工9个月，事故现场见图1。

图1 爆炸事故现场

事故发生时，维护人员通过输入密码跳过了计算机控制的保障措施，导致灭菌柜门过早打开，造成含有环氧乙烷（Ethylene Oxide,EO）的爆炸性混合物通过灭菌柜通风系统被排放到催化氧化器（内有明火）中，环氧乙烷立即被点燃，火焰通过通风导管迅速回窜到灭菌柜中，造成约22.7 kg环氧乙烷被点燃，并发生剧烈爆炸。爆炸事故中涉及的装置平面布置和关键设备，如图2所示。

图2 事故涉及装置的平面布置示意图

施洁国际公司为医用品灭菌服务提供商，在全球范围内拥有40个分公司，包括美国境内的9套环氧乙烷灭菌装置，员工约1 000人。此次事故中涉及的装置建造于1993年，1994年开始投入使用。该套装置设有8个灭菌柜，一周7天、24 h运行，员工约30人。

事故过程

2004年8月19日1时30分，灭菌装置的Antares系统发生报警，显示7号灭菌柜中注入环氧乙烷失效。操作人员在控制室中立即进行了数次常规系统检查，确定报警是否准确，但是没有发现任何问题。然后他叫来操作班长商量，共同决定中止灭菌循环过程。按照公司规定，他们使用了控制室操作台上的循环中止按钮。循环中止完成后，操作人员把灭菌柜中的产品转移到解析室中，灭菌柜门敞开着，等待维护人员进行检查维修。

约7时30分，维修监督员来到现场，立即安排2名技术人员解决环氧乙烷注入问题。技术人员进行了一系列测试，并注入约1.8 kg环氧乙烷以进行简短测试循环，没有发现任何问题。技术人员最后又使用约56.7 kg环氧乙烷进行了最终的校准循环，注入过程同样正常，没有问题。技术人员已经排除了环氧乙烷注入系统的问题，并急于让灭菌柜恢复使用，于是技术人员向维修监督员请求跳过最后的气体冲洗阶段，提前完成循环过程，他认为灭菌柜中已经没有残余的环氧乙烷，所以没有必要进行气体冲洗。维修监督员同意其观点，即提前完成循环过程。

为提前完成循环过程，维修监督员口头告知了技术人员密码，技术人员将命令和密码输入到Antares系统，跳过了气体冲洗阶段。几分钟后，技术人员把灭菌柜门开启至预定的通风状态，自动打开后部放空口，导致残留在灭菌柜中的约22.7 kg环氧乙烷进入通风系统。环氧乙烷立刻从灭菌柜门开口处泄漏出来，引起附近区域的可燃气体监测仪报警。但是，报警没有留下足够的时间去关停催化氧化器或者疏散装置人员。携带着环氧乙烷的空气进入催化氧化器并被点燃，火焰通过通风导管回窜至灭菌柜，点燃了剩余的环氧乙烷，引起剧烈爆炸，爆炸过程如图3所示。

图3 爆炸过程示意图

事故分析

爆炸源

根据通风系统和7号灭菌柜破坏的位置和程度，可以看出爆炸性混合气体（携带环氧乙烷的空气）是从通风导管进入催化氧化器的，在催化氧化器中被明火点燃，然后火焰又从通风导管回窜至灭菌柜中，最终导致剧烈爆炸。火焰快速燃烧和蔓延过程中产生的爆炸超压，造成整个灭菌柜结构遭严重破坏，如图4所示。

工程控制措施

根据美国化工过程安全中心（Center for Chemical Process Safety, CCPS）相关文献，过程安全的基础是工艺设计，包括控制系统、报警和联锁、安全停车系统、应急响应和培训等。但是，如果基本的保护系统失效的话，则必须采用可靠的备用系统控制危险。

图4 爆炸后的7号灭菌柜

1.浓度控制设计措施

阻止环氧乙烷灭菌装置爆炸事故发生的关键是确保高浓度的环氧乙烷气体混合物不能接触点火源（例如催化氧化器）。事故发生时，环氧乙烷灭菌装置的工艺设计措施包括灭菌柜压力监测、排空和气体冲洗以及联锁系统。在最初的灭菌循环设计阶段，Antares系统通过指令顺序编程控制上述功能。

环氧乙烷灭菌装置通过间接监测灭菌柜浓度，验证灭菌柜是否达到了FDA（Food and Drug Administration, 美国食品和药物管理局）要求的环氧乙烷等级。但是，不能监测灭菌柜中环氧乙烷的爆炸性浓度。事故发生前，当循环序列被中断时，工作人员无法确定灭菌柜中的环氧乙烷浓度是否处于爆炸范围。

在灭菌循环过程中的排空和气体冲洗阶段，会把高浓度的灭菌柜气体送至酸洗涤器进行处理，除去灭菌柜中达到爆炸浓度的环氧乙烷气体。为了防止灭菌柜门被误打开，设置了充氮门垫和压力传感器等联锁。

环氧乙烷灭菌装置还设计了4∶1的放空气稀释气，确保灭菌柜里的环氧乙烷浓度低于25% LEL（低于爆炸下限25%），所以装置人员认为不可能存在爆炸性浓度气体进入催化氧化器的情况。但是，他们没有预想到在循环结束后会有大量环氧乙烷留在灭菌柜里。CSB调查组估计，爆炸发生前灭菌柜中的环氧乙烷浓度约为18%，是LEL的6倍。

2.控制室设计和位置

用于监控和控制灭菌过程的控制室距离7号灭菌柜约23 m，控制室有6面玻璃窗户，可以看到整个灭菌柜区域。爆炸对控制室结构造成的破坏较小，但是所有的玻璃都被震碎了。控制室窗户玻璃都是钢化玻璃，没有进行防碎处理，而且控制室墙壁也没有考虑抗爆设计。事故中所有的人员受伤都是控制室玻璃破碎飞溅造成的。

该装置最初的设计人员表示，由于操作人员需要观察灭菌柜的操作情况，所以控制室安装玻璃窗户是有必要的。另外，控制室在设计和建造时没有考虑任何的爆炸安全措施。设计人员应避免在存在潜在爆炸超压的区域使用普通或者钢化玻璃窗户。如果必须靠近工艺区域，而且需要观察操作情况，可以采用更安全的措施代替钢化玻璃窗户，例如视频监控和防碎玻璃等。

3.培训

根据OSHA的危害告知（Hazard Communication ,HAZCOM）标准，可能接触危险化学品的所有员工必须接受关于这种特定化学品以及工作场所内可能遇到的物理危害等方面的培训。另外，OSHA的工艺安全管理(PSM)标准明确规定培训内容必须包括工艺概况、操作规程、适用于员工作业任务的安全作业实践等。

通过访谈，CSB调查组发现维修监督员和技术人员都认为气体驻留阶段后的第一次排空已经除去了所有残留的环氧乙烷，灭菌柜中不会存在危险浓度的环氧乙烷，所以当时他们决定提前结束循环过程。包括其他员工，都认为气体冲洗阶段的唯一目的是除去被已灭菌产品吸收的残余环氧乙烷。由于当时灭菌柜中没有产品，不存在产品吸收环氧乙烷的情况，所以他们认为没有必要进行气体冲洗。在接受访谈的10名员工中，只有管理层和高级工程技术人员理解气体驻留阶段后的第一次排放只能除去55%～60%的环氧乙烷，即使在灭菌柜没有产品的情况下，气体冲洗是一个非常必要的安全措施。

环氧乙烷灭菌装置的大部分正式培训主要针对生产操作人员，没有为维保人员制定特定作业的培训项目。这些维修技术人员一般是从生产专业转过来的，他们参加过相关的操作培训，有作业经验，了解装置的总体工艺知识。CSB调查组审阅了该装置投产以来的所有培训材料，发现了很多关于跳过气体冲洗过程可能导致潜在爆炸风险方面的材料。大量资料中明确了，只有管理层拥有修改灭菌循环序列的权限。1997年进行的一次操作人员培训中，提到了第一次排空只能除去约60%的环氧乙烷，而且气体冲洗过程在任何情况下都是必须的。事故发生当天当班的维修监督员是之后聘用的，没有接受过这个培训。

4.工艺危害分析

常规的工艺危害分析（Process Hazard Analysis, PHA）会识别和评估危险事件发生的可能性以及相应的安全后果严重程度，以确定对员工、装置、附近社区和环境造成的风险。PHA最终目的是通过预防化学品事故发生和控制事故后果来提升工艺过程的安全性。OSHA和 EPA（Environmental Protection Agency, 美国环境保护局）要求对装置范围内的每一个工艺进行一次初步的工艺危害分析，并至少每5年重新评估一次，确保与装置现状的符合性。

1993年11月，装置开车之前，该环氧乙烷灭菌装置进行了第一次工艺危害分析，识别出16个不同的危险场景，并提出了13个建议修改项。这些危险场景都没有涉及催化氧化器的潜在爆炸风险。但是，这次PHA识别出“灭菌柜内存在环氧乙烷时灭菌柜门打开”和“软件失效导致高温”两个危险场景，记录中显示由于设有自动控制系统（Antares系统和催化氧化器高温限位开关），这两个危险场景的后果均为“无影响”。这次PHA没有识别和评估其他的工程控制措施和保护层。

1996年，该环氧乙烷灭菌装置进行了再评估，同样没有识别出任何爆炸危害场景。由于催化氧化器内部存在过热和损坏催化剂床的风险，分析团队建议增加LFL（燃烧下限）监测和报警，但是施洁国际公司并没有执行此项建议，没有增加准确的、安全的监测措施。

2001年，该环氧乙烷灭菌装置再次进行了PHA，识别出催化氧化器存在的灾难性爆炸场景，但是只建议装置研究一下为催化氧化器安装爆炸泄压设备的可行性，没有特别说明爆炸的原因和其他任何潜在失效。事故发生时，该装置没有安装爆炸泄压设备。

事故原因

根本原因

1.环氧乙烷灭菌装置具备的工程控制措施没能阻止达到爆炸浓度的环氧乙烷进入催化氧化器。

2.维修监督员没有完全充分理解环氧乙烷灭菌工艺可能涉及的各种危险。

间接原因

1.环氧乙烷灭菌装置开展的工艺危害分析项目没有完全识别和评估达到爆炸性浓度的环氧乙烷进入催化氧化器可能带来的风险。

2.控制室的设计不能保护内部工作人员免受爆炸事故的伤害。

CSB调查组建议

1.环氧乙烷灭菌装置应回顾并修订其工艺危害分析程序，确保全面识别、评估并记录相关的危险场景。

2.环氧乙烷灭菌装置应评估现有的工艺控制措施，并安装适当的安全保护措施，例如灭菌柜和排放物实时浓度监测，设置报警、联锁或快速响应控制装置等。

3.环氧乙烷灭菌装置应确保其所有拥有灭菌循环序列修改权限的人员具备足够的生产经验和培训，有能力做出安全决策。培训应强调物料可燃性危害以及灭菌柜气体冲洗过程的必要性。

4.环氧乙烷灭菌装置应确保其控制室和其他距离灭菌工艺区域较近的工作室的位置或设计，应能保护其内部工作人员免受爆炸事故的危害。

5.NFPA（National Fire Protection Association，美国消防协会）应根据该事故调查报告结果回顾并修订NFPA 560《消毒和熏烟用环氧乙烷的储存,处置及使用标准》（Standard for the Storage, Handling, and Use of Ethylene Oxide for Sterilization and Fumigation），包括关于合适的安全保护措施方面的要求，例如灭菌柜和排放物实时浓度监测，设置报警、联锁或快速响应控制装置等。

6.建议各协会、机构和企业将该事故调查报告的结论和建议措施与其会员和相关企业进行分享，从真实事故中吸取教训，避免类似事故再次发生。