MGPI工厂罐车卸载操作化学品意外混合事故

中海壳牌石油化工有限公司 郭全瑞 天津市居安企业管理咨询有限公司 唐彬｜译

本文结合美国化学品安全与危害调查委员会（CSB）对MGPI工厂罐车卸载操作化学品意外混合事故的调查，介绍了该事故发生的背景、过程及后果，对事故原因进行了分析，并给出了相应建议。

事故介绍

2016年10月21日，在位于美国堪萨斯州的MGPI加工公司的罐区内，一辆Harcros化学品经销公司的硫酸罐车准备进行一次常规的向储罐输送硫酸的作业，由于罐车司机操作失误，将硫酸罐车卸载软管连接到了次氯酸钠（一种漂白剂）储罐的充装线上，导致这两种不相容的化学品意外混合并发生反应，生成大范围的含有氯气和其他成分的混合气云，有毒气云扩散至罐区及附近社区的公共区域(如图1所示)，事故造成140多人（包括公众、MGPI员工和Harcros员工）需要接受医疗救助，1名MGPI工厂员工和5名普通民众由于有毒气体暴露的影响需要住院治疗。

公司背景

图1 毒气云扩散至罐区及附近社区的公共区域

图2 平面布置示意图

MGPI工厂位于美国堪萨斯州艾奇逊市(Atchison)的市区附近，该公司最初是个小型酿酒厂，成立于1941年。此次事故中涉及的Atchison加工设施主要包括粮食加工、蒸馏操作、仓储、实验室和办公楼等，共有140名员工。

Harcros公司主要业务是向美国境内（主要是中西部和东南部）各工业企业客户经销各种专用化学品。Harcros公司拥有2套化学品生产设施，设置了29个经销点，拥有约50辆专门用于化学品运输的危险物料罐车。2016年，Harcros公司向此次事故涉及的MGPI工厂生产区域提供硫酸、氢氧化钠和环氧丙烷。

图3 化学品充装线现场照片（黄色方框为硫酸充装线，黄色圆圈为打开的锁具）

工艺描述

此次事故发生在MGPI工厂的Mod B区域，该区域主要是根据客户要求生产专用的小麦淀粉，需要使用不同的化学品以满足专用淀粉的各种特性要求。例如使用硫酸调整PH值，使用次氯酸钠氧化淀粉等。

Mod B区域包括Mod B厂房和邻近的室外储罐区域，Mod B厂房内设有室内生产区域、衣帽间、实验室和控制室等（如图2所示）。储罐区的边缘就是卸载区域，各公司的物料罐车输送大量的化学品，主要涉及5种化学品：次氯酸钠、硫酸、环氧丙烷、氢氧化钠和乙酸酐。罐车司机通过把卸载软管连接至充装线上，将化学品输送至专用的大型储罐中，操作员再根据需要把一定量的化学品转送至日用罐或者生产用储罐中。

MGP I工厂在卸载区域接收罐车送来的12.5%次氯酸钠，通过管线输送至一个室外的25 m3储罐，并常压储存，操作员再通过管线把次氯酸钠转移至厂房内的一个小型日用罐中，再根据需要转移至生产容器里。MGPI把接收的30%硫酸储存在一个室外的32 m3日用罐，操作员从日用罐把硫酸直接送至生产区域。

事故发生过程

2016年10月21日7时35分，Harcros公司的一辆装有30%硫酸的罐车抵达MGPI工厂，按照计划输送硫酸。在控制室审阅签署提货单等文件后，7时44分，MGPI工厂的一名设备操作员陪同罐车司机来到一个锁着的卸载区。司机把签字后的文件放到罐车后面，并穿戴好PPE（个人防护用品）。MGPI工厂的操作员解锁打开硫酸充装线（如图3所示），除去防尘罩，并让司机将其与罐车卸载软管连接。操作员记得在他返回工作站之前，他向司机指明了正确的充装线，但是司机称他并不记得操作员告诉了他。然而，操作员并不知道旁边的次氯酸钠充装线也被解锁打开，而且两条充装线间隔仅46 cm，看上去很相似，也没有明显的标识。结果，司机将罐车上的硫酸卸载软管错误地连接到次氯酸钠充装线上，硫酸开始在充装线里流动，随后司机返回罐车驾驶座上。快到8时，一股黄绿色气体从次氯酸钠储罐中溢出，形成气云，开始向东北方向扩散。

罐车司机从后视镜中最先看到溢出的气云，尝试返回连接区关掉硫酸卸载开关，但是气云已经包围了他，于是他跑去罐车的副驾驶那边，试图去关闭硫酸阀门，但是扩散的气云让他无法接近。在邻近的WWTP公司经理帮助下，司机逃到了WWTP公司的控制室。气云通过厂房的通风系统很快进入MGPI工厂的设备控制室，在控制室内准备换班的3名操作员很快被气云笼罩，他们立即去拿应急撤离用的呼吸面罩，但由于在换班期间有锁上防毒面具的习惯，导致他们在撤离厂房时无法戴上防毒面具。

除了手动关闭充装线或罐车上的阀门，或者触发罐车上的一个应急梭子，没有其他别的方法能够停止硫酸继续卸载。所以硫酸不停地注入次氯酸钠储罐中，持续时间约15 min，直到应急响应人员关闭了阀门。事故中，估计大约有15 m3硫酸和22 m3次氯酸钠发生混合，反应产生大范围含有氯气的密云，并很快扩散到了厂外区域。

事故分析

人为因素

CSB调查组发现了几个影响操作工、司机与化工运输设备如何互动方面的人为因素问题。人为因素涉及工人、设备和工艺流程等工作环境影响下的相互作用，包括很多影响安全的因素，例如工作区域的设计和物理特征、工人压力和疲劳、操作规程、培训和沟通等。由于操作员必须经常与设备配合完成生产任务，在辨识工艺危害和评估安全保护措施时，工厂管理层必须认真考虑人与过程设备之间的相互作用，即人为因素，以降低或消除人为操作失误的发生。在系统控制的各个等级（从系统设计到管理措施，再到PPE），都必须综合考虑人为因素问题，以便确保控制措施的有效性，并被理解。

1.化学运输设备的设计

CSB调查组发现硫酸与次氯酸钠的充装线非常接近，距离只有约46 cm（如图4所示），使操作员在卸载化学品时卸载软管与充装线连接错误的可能性增加。通过物理隔离或者一定的可辨别距离把充装线进行有效分离，能够降低错误连接发生的可能性。当接收不同级别和类型的化学品时，物理分离作为一个被动控制措施，非常重要。例如，将酸类化学品卸载区域远离碱类化学品卸载区域布置，可有效降低不期望反应发生的风险。

图4 充装线距离示意图

图5 充装线标签

另外，硫酸充装线和次氯酸钠充装线不仅外观、尺寸和功能相同，而且还使用相同类型的连接件和锁具。根据事故后对卸载区域的检查发现，当操作员解锁打开硫酸充装线防尘罩的时候，次氯酸钠充装线和乙酸酐充装线上的防尘罩都没有固定在各自的充装线上。由于操作员习惯在充装线不使用时把防尘罩锁到充装线上，罐车司机在卸载连接前通常依赖操作员解锁正确的充装线上的防尘罩，从而确定他应该连接的充装线。由于硫酸充装线和次氯酸钠充装线的直径和方向都一样，罐车司机就可能把硫酸卸载软管连接到同样处于解锁状态的次氯酸钠充装线上。

针对这种充装线连接错误的风险，使用特定尺寸或形状的软管接头和充装线连接器也是一种非常有效的被动保护措施，能够消除或降低软管连接错误和输送错误物料的可能性。

2.管线

在涉及危险化学品的工艺装置和设施内，管线标识和标签对于确保工作人员识别正确的设备和管线尤为重要。CSB调查组发现，在卸载区的5条充装线中，只有一条充装线（环氧丙烷）在连接软管处贴有标签（如图5所示）。如果MGPI工厂在所有的充装线连接处均设置管线标识或识别标签，罐车司机就可能立刻发现他把卸载软管连接到了错误的充装线上。

根据相关标准，通常做法是，沿管线从起点（例如连接点）至终点（例如储罐）的多个点设置管线标识，这些管线标识必须便于跟踪，并且从正常视线可以看见。CSB调查组观察了硫酸和次氯酸钠管线上的标识，发现管线标识没有尽可能靠近充装线连接点设置。根据管线标识的相关推荐标准，管线标识应设置在管线方向发生改变的位置附近。所有的5条充装线均有一个90°弯管，硫酸和次氯酸钠的管线标识均位于弯管下游几英尺左右位置（如图6所示）。另外，从卸载区域的有利位置来看，图6中的硫酸和次氯酸钠管线标识中的字体是倒置的。当罐车司机连接硫酸软管至充装线时，次氯酸钠管线标识的这种布置方式降低了它的可见性和可读性。

3.化学品卸载程序

如前所述，设备操作员和罐车司机在控制室签完文件材料后，两人一起来到卸载区域。操作员解锁打开了硫酸充装线。操作员称在他返回工作站之前，他向司机指明了正确的充装线，而且司机也确认了位置，但是司机称操作员并没有向他指明硫酸充装线的位置。操作员在司机进行连接和打开卸载阀门前返回了控制室。CSB调查组发现，事故发生当天现场执行的卸载步骤和Mod B硫酸卸载操作规程不一致。第一，操作规程要求操作员必须对卸载软管和充装线的连接进行确认，而且不允许罐车司机执行卸载软管和充装线的连接操作。第二，根据操作规程，当罐车司机准备就绪，卸载软管已经连接时，应由操作员打开硫酸充装阀门，而不是罐车司机。由于操作员比罐车司机更加熟悉硫酸充装阀门，如果遵守其中任何一条规定，当他确认连接情况或者试图打开阀门时，很可能发现罐车司机将硫酸卸载软管连接到了次氯酸钠充装线上。操作员允许罐车司机打开充装阀门的原因是，操作员认为这样会更安全，因为司机佩戴着适当的个人防护用品。

CSB调查组还审查了Harcros公司的罐车卸载操作规程，事故发生当天司机的操作实践也不符合操作规程要求。事故发生当天，在操作员离开卸载区域后，罐车司机将卸载软管连接至他看到的第一条解锁打开的充装线，打开充装阀门，然后回到罐车驾驶室。第一，操作规程要求司机必须仔细检查，以确保输送的物料进入正确的储罐。第二，操作规程要求司机必须持续监控物料输送情况。但是，CSB调查组发现，该罐车司机没有进行检查确认物料进入了正确的储罐，而且物料输送过程中，他待在罐车驾驶室，背向卸载区域（如图7所示）。如果罐车司机在卸载过程中站在距离罐车后部较近的区域进行监控，发现情况后，他就可能立即关闭充装线或者罐车阀门，阻止硫酸的继续输送，从而减缓化学反应，降低事故后果严重程度。

图6 管线标识

图7 现场充装示意图

工厂应与化学品经销商合作进行危险识别和风险评估，协作制定化学品卸载的标准操作程序，并达成一致意见，以明确界定责任。另外，工厂管理层和化学品经销商应针对卸载程序提供定期的、有效的培训，并主动监控操作程序执行的一致性，必要时对操作规程进行更新升级。

远程自动关断

事故发生时，MGPI工厂的工艺控制系统不能在工艺出现偏离（例如次氯酸钠储罐温度、压力或液位超限）时自动关停化学品的输送。由于反应会产生高压，而且物料输送前次氯酸钠储罐容量已处于90%状态，如果压力或液位远传设置了高高联锁，就能向输送阀门发出信号，实现自动关闭，而不需要操作员的动作。

工艺报警和联锁属于主动的安全保护措施，能够持续监控工艺变量和参数，实现消除或降低风险的功能。MGPI工厂次氯酸钠储罐设有一个液位计，当储罐液位达到设定值时可以在控制系统中发出报警，但是只能通知操作员次氯酸钠储罐出现高液位情况，不能自动关停物料输送。

针对化学品卸载区域设计和安装远程自动关断系统，可以为卸载过程提供额外的安全保护，当出现不期望的反应事件或者储罐溢流事件时，系统可以自动关闭向储罐输送化学品物料的阀门。

厂房通风

CSB调查组发现，Mod B厂房及通风系统的设计允许厂房外部气体的进入，即此次事故中硫酸和次氯酸钠反应产生的有毒气云，致使内部操作员撤离。由于反应产生的有毒气云已经进入控制室，操作员不得不立即撤离，而且没有时间佩戴他们的应急呼吸器，造成他们撤离过程中暴露在较高浓度的氯气环境下。

Mod B厂房内部设有一个正压的控制室，设计方面只考虑了防止邻近的室内工艺区域产生的有害气体进入控制室。Mod B厂房的采暖、通风和空调系统（Heating,Ventilation,and Air Conditioning System, HVAC）设有1个空气处理器，配有1个高速电机，从位于Mod B厂房外部的2个通风口抽气。其中1个通风口位于厂房的一层，邻近罐区和化学品输送区域。设有1个压力表持续监控控制室内部的空气压力，并与生产区域的压力进行比较，一旦控制室内压力低于生产区域压力，将发出报警，提醒操作员撤离。

虽然控制室的设计考虑了防止内部人员受到生产区域有害气体的伤害，但是没有考虑来自厂房外部有害气体或蒸气进入的工况。由于MGPI工厂在化学品卸载区域和罐区接收并储存大量危险化学品，罐车卸载过程产生的蒸气或者储罐压力泄放装置排出的蒸气可能通过门或者通风口进入控制室。

除了一个微粒过滤器，向控制室供给空气的通风口没有设置其他过滤和清洗系统，不能有效除去外部进入空气中含有的氯气或者其他气体。虽然在有毒气体泄漏事件中关掉通风系统可以降低对控制室人员的影响，但是此次事故中当操作员意识到发生泄漏事件时，有毒气云已经进入了控制室。MGPI工厂在罐区设置的空气监测器只能探测环氧丙烷的浓度，而且通风系统没有设置有毒气体报警。

应急逃生呼吸器

MGPI工厂的应急响应计划要求，在保证安全的前提下关断泄漏源并及时撤离。如前所述，由于有毒气云已经进入了控制室，导致操作员不能在安全位置关断硫酸的输送阀门，操作员只能立即撤离厂房。但是，CSB调查组发现，Mod B厂房内的操作员在撤离时不能快速便捷地获取他们的应急逃生呼吸器。根据操作员介绍，操作员的通常做法是，在当班结束时把呼吸器面罩锁到储物柜里，在当班开始时再拿出来。由于事故发生时正处于换班期间，当天来换班的操作员的呼吸器面罩还被锁着。更麻烦的是，这些储物柜使用的是组合锁，需要更多时间才能打开。

根据MGPI工厂呼吸器培训记录，公司要求员工在不使用呼吸器时应妥善保管，以免造成损坏。虽然妥善保管对于防止呼吸器破坏至关重要，但是呼吸器的保存不应阻碍人员快速获取。根据OSHA呼吸防护标准要求，应急呼吸器应保存在工作场所便于获取的地方，并明显标记内部存有应急呼吸器。

事故启示

一是，在评估化学品卸载工艺和设备的相关风险时，使用控制等级的思想选择正确的控制措施和安全保护措施，避免不同物料的错误混合。对于需要人员互动的所有化学品卸载活动，比如装置人员或者罐车司机，识别并正确处理可能增加连接错误的相关人为因素问题。

二是，评估化学品输送设备和工艺（例如充装线、输送阀门、管线和接收储罐等），可行的话，在工艺控制系统中安装和配置联锁、减缓措施等安全保护层，在化学品卸载活动中保持安全作业。该控制系统应持续监控关键的工艺参数（例如温度、压力、液位或者空气浓度等），并在化学品卸载过程中出现不期望反应事件或物料泄漏事件时做出响应动作，自动关断物料输送。如果自动工艺控制和安全系统不可行的话，考虑设置输送关断阀门和相关设备，以及通风、喷淋和其他减轻措施，可以实现远程关断物料输送。

三是，设计或者改造相关的化学品输送设备，确保互不兼容的化学品的充装线通过设置可辨别的距离进行物理隔离，避免错误混合导致反应事件。

四是，工厂应与化学品经销商合作，针对每一化学品或者某类化学品的软管接头和充装线连接件选择具有唯一、特定形状和颜色的配件，特别是卸载区域距离很近的情况。

五是，根据相关行业标准，例如 ASME A13.1—2007《 管 道系统的识别方案》（Scheme for the Identification of Piping Systems），确保管线标识和输送设备（例如充装线、阀门、输送管线和储罐）标识清晰可见，并能正确反映设备内含有的物料。把管线标识尽可能靠近充装线连接点设置，以便操作员在连接前识别正确设备和化学品，特别是同一区域设有多条充装线的情况。

六是，工厂应与化学品经销商合作进行危险识别和风险评估，根据风险评估结果，协作制定化学品卸载操作和应急操作的标准程序，并达成一致意见，以明确界定责任。操作规程应明确要求，在开始输送化学品之前，工厂人员和罐车司机应对管线连接进行确认。另外，工厂管理层和化学品经销商应针对卸载程序提供定期的、有效的培训，并主动监控操作程序执行的一致性，必要时对操作规程进行更新升级。

七是，针对化学品卸载区域附近的厂房设计和通风系统进行评估，确保在泄漏或者化学反应事件中能够保护内部工作人员。设计考虑应包括正压通风系统、补给空气清洗和过滤系统、自动关停HVAC系统的报警和联锁、通风口位置的正确选择。

八是，对于化学品卸载区域和大型储罐附近的建筑，评估在有毒物质泄漏事件中人员获得应急呼吸器的便利性。对控制室和应急疏散路径进行审核，确定应急呼吸设备最合理的位置，并更新相应的应急响应程序和培训项目。安