炼油厂做维修作业总要涉及火灾和中毒的危险，必须小心控制以避免人身受到伤害、环境遭受破坏。在调查Avon炼油厂事故时，CSB发现了工作规划、危险识别和评估、切断隔离操作、检查管理、工作许可、腐蚀控制、变换管理(MOC)等方面存在的问题。CSB用几种调查方法分析了事故，包括建立时间表格和建立逻辑树图表等。

  5.1 危险的非常规性维修由于非常规维修无计划，属于非计划内维修，所以就也许会出现各种意外的危险。

  在厂内，危险的非常规维修包括如下行为：热作业、热插拔，还有管路被破坏，隔绝和排空没办法得到保证。OSHA的PSM标准(1989年休斯顿菲力浦化学公司(Phillips Houston Chemical Complex)发生火灾爆炸事故造成23人死亡后发布的。)在附录中强调了职员在工作中识别非常规维修危险的重要性。

  Avon炼油厂的操作规程明确了维修前的现场观察和维修现场负责人、计划者、维修监督人和操作监督人之间应进行论证、分析，而该事故中却不进行，器壁绝热和检查管路等维修预备工作在泄漏出现后立即就开始了，没有一点的计划过程。

  在发现泄漏后1小时，操作工从石脑油管线上剥掉了绝热层，此项工作在没有降压或隔离的情况下就开始了，然而Tosco的操作程序却明确要求：如果管线未被隔离，生产、H&S、检查和维修代表必须碰头，就移走绝热层的安全程序进行协商。如果单元操作还在进行，但绝热层还没有完全移走，就必须切断管线或停止单元操作。此次维修过程中，虽然检查、维修和操作监督人员在现场，但却不进行会议讨论危险控制，也未遵循绝热层移走程序，虽然这不会直接引发火灾，但它却显示了该厂管理者在实际的工作中没有一贯坚持已建立的维修规程。

  多数的维修工作是在事故前13天内进行的，没有列入工作规划文件，也未提及含苯的石脑油是严重危害健康的，需要有专门的预防的方法，更未提及在移走管路时要使用到起重机、气动锯、空罐车(用以盛接排出的物质)等特定种类设备。维修工作也没有具体的工作说明，缺乏必要的信息资料，比如石脑油的MSDS、管路和仪器图表和维修工作中好的实践建议，要对所要完成工作的必要步骤列出提纲，并且要识别各步中潜在的危险。要在仔细分析和考虑计划和维修方法后再做维修作业。

  (3) 当完全拧紧时，阻断阀的底部和石脑油缓冲罐的液位控制阀的上部伸出12个螺纹，这就显示了阀是部分开启的，可能有堵塞。

  Tosco厂将石脑油管路维修分为低风险和常规维修两类。管理部门没有识别或评价操作单元工作时不能隔离、不能排空或其它危险，可见该厂对石脑油管路的维修危险性认识不够。

  2月10-14日共发生了7次泄漏，每次都是进一步地拧紧阀门以期泄漏停止。13日，值班员发现石脑油管内液位下降了，估计隔离阻断阀有泄漏。同时，石脑油管在泄漏位置摸起来是温的，更证实了隔离阻断阀有泄漏(因为运行中的工艺单元是热的)。

  排空设备和管线内的危险物并进行隔离是保证维修安全的必需条件。从发现泄漏到火灾发生，对管路排空石脑油的7次努力都失败了。Tosco监督人员和操作工也意识到了以下问题：

  (1) 16日，一操作工通知现场负责人说，石脑油管路堵塞了。17日，两操作工与操作监督人员讨论了管路堵塞问题，操作工建议切断单元操作来维修管路。

  (2) 18日，监督人员安排维修工在排空管线上钻孔，但几次钻孔都不成功，且管内堵塞物将钻孔工具毁坏了。

  操作工和监督人员未意识到石脑油中含苯。因为苯是有毒物质，Tosco公司操作规程要求将其排到密闭容器，要远离任何人。有苯存在的维修工作要求使用专门的工作许可证，但是，监督人员没有认清石脑油管路修理工作中的苯的危险，也就不进行控制，这些虽然没有直接引发火灾，但却显示了Tosco公司管理人员不是一贯遵守规程的。

  管线移动工作需要来自不同部门和工段的操作工和技术人员协调好，而且在操作中还要使用起重机，所以这些工人潜在地可能遭受可以燃烧的液体突然释放或喷射的危险，打开上部管路是尤其危险的。尽管监督人员和工人在事故前熟知这些危险的严重性，但却没有对此危险操作进行预评价，管理部门也没有拟定计划来控制危险。

  危险评估是一种正式的分析方法，用来识别和检测与工艺或操作行为有关的潜在危险。危险评估帮助管理部门控制危险、预防事故。鉴于危险评估拥有非常良好的实践指导作用，美国化学工程师协会称：涉及多方面的维修操作，包括隔离、预备维修和移走等，因为常存在很多危险和操作问题，危险评估方法是很有意义的。

  (3) 安全措施不能够满足的地方，诸如在可燃物存在的地方点火源的控制等。

  (6) 附加的预防的方法，如：更多的监控器、隔离、改进的监督管理和严密的工程计划等。

  1987年位于苏格兰的英国石油公司的Grangemouth炼油厂发生的火灾事故与该起事故非常类似，如果Avon炼油厂的有关人员能认真分析、学习Grangemouth炼油厂的火灾事故经验，相信这场悲剧就能够尽可能的防止。

  由于工作规划和危险评估的不足，Tosco Avon炼油厂的管理部门没有认清石脑油管路维修作业的安全规程需要切断操作单元。当监督人员和工人发现到线路无法排空或隔离时，方认识到应切断操作单元。CSB认为炼油厂工艺单元的切断和启动本身就带有很大的风险，但是维修操作规程要求在无法控制严重危险或工作不能延迟时必须迅速切断操作。因为管线要立即替换，所以工作不可延迟，有效的维修工作评估过程中，CCPS(化工过程安全中心)建议管理部门要认真考虑是不是有必要完全切断操作来进行装置的安全维修。

  尽管该项维修工作有重大危险，但Tosco管理部门还是将石脑油管路维修工作以低风险维修任务执行。操作监督人员很少参与计划制订或观察线路维修，没有二级管理人员或其他专家参加危险评价。虽然检查人员参与了计划或决定的制订，但他们的决定权和建议是有限的。管理监督和说明是有效的PSM程序的必要元素，管理系统应该包括建立责任、评价成果、建 立反馈系统和审核等。

  应CSB要求，API和NPRA准备了一份文件，是关于炼业维修作业许可证发放条件的，它尤其陈述了涉及诸如高温作业或未能隔绝有泄漏生产线等较高风险情况下作业的许可审核，要求加强这方面的管理。依据风险程度，要求一些工作至少要经过二级安全人员和管理人员审核同意。较高风险的工作可能要求风险管理小组参与评估，组员要求有劳动管理者、安全操作人员、修东西的人、工程人员、冶金及其它部门的人员，详细情况还需根据具体的工作性质决定。

  进行危险的非常规维修需要严密监督。据Avon炼油厂操作监督人员说，他们只在需要时检查了工艺单元的运作情况。事故当天早上，操作监督人员没有仔细察看石脑油管线迁移，负责协调维修的操作监督员事故当日却没有上班。

  事故发生前没有健康安全人员在工作现场，事故当天维修作业现场只有维修监督员作为管理代表出现在现场。

  在石脑油管线维修期间，许多行为都偏离了Tosco的操作规程，虽然下述情况未直接引发事故，但却显示了该厂严重的管理问题。

  (1) 未将石脑油认为是含苯的、对健康有威胁的。维修工作没有按照Tosco的苯操作规程进行，没有正真获得苯作业许可证、没有采取安全预防的方法、不进行工程控制、没有设置苯调节区、没有制定苯泄漏事故处理预案、没有人员保护设施(PPE)等。

  EPA在调查Grangemouth炼油厂的事故后曾经指出，监督不足是事故发生的一个必然因素。在危险的反常情况下，监督不足会导致一系列操作问题，还会导致事故的发生。

  事后参加管路维修的工人在接受媒体采访时说，当时他们都觉得正确地执行工作有压力，因为当时原油单元在运行，同时空罐车、起重机和现场的一些零时工的存在也给了他们不少压力。 Tosco管理部门说，工人有权力停止不安全的工作行为，本应该停止管线替换工作的。但是停止作业又有很大顾虑：

  (2) 拒绝违章作业依赖于个别工人带头，要停止作业，工人需要跟监督人员交涉很久。

  (3) 由于雇用零时工和使用外来设备，一旦工作开始就代表着对它们的消费，就一定要尽快按时完成。

  Avon炼油厂的安全审核程序包括未成文的观察结果。1995年，Tosco拟定了成文的PSM审核程序。但事故前三年Tosco公司和Avon厂管理部门都未对管线破坏及相关台帐进行成文审核。

  Tosco审核程序没有记录或修正维修工作中严重偏离安全规程的行为，这些偏离包括：

  安全审核对于厂内安全状况是一个必要的反馈机制，有效的审核可以查出该厂没有坚持程序的地方，还可以在事故前修正这样一些问题。

  该厂书面程序规定，管线或设备打开前必须降压、排空和尽可能地清洗化学品。工作证的发放一般委托给安全员;但一些较危险类型的工作要求值班监督员或健康安全部门的专家签发，较危险的作业包括：进入有限空间作业、打开有火焰的生产线、X射线作业，及暴露于有毒环境等。

  事故当天，许可证以不同的要求对三项任务列表，将排空和移走列在一起，许可同意这两项作业。

  (1) 危险的非常规作业未经工作评价或操作监督员许可就由安全员签发了许可证并执行了。

  (2) Tosco的操作规程和作业许可证上都没有清晰地标明在打开装置前一定要消除或控制点火源。

  Tosco操作规程和作业许可证上都没有说明可燃物在敞开容器中的危险，也未说明热表面的点火作用。该厂工艺安全专家强调，在工艺厂不应该用敞开容器盛装可以燃烧的液体，因为存在许多潜在的点火源。另外，潜在的危险还有将排出的石脑油运至空罐车，空罐车却停在离分馏塔约20英尺(6.08m)处，Tosco没有规定车辆停放位置要求。根据实践经验，用来运送可以燃烧的液体的车辆不允许靠那么近，至少要离点火源100英尺(30.4m)。

  静电存在的潜在危险是另一个问题。公司的操作规程也没有对此进行说明。事故前，生产现场常用塑料桶来盛接分馏塔附近轴环上排空的石脑油。将可以燃烧的液体注入塑料桶中时就会产生静电，液体的喷溅也可能会产生静电。

  在打开管线前不排空是一个习惯性违章，因为在前几天的维修中，排空前装置都是开着的。 公司的操作规程也明确了在打开装置前或动用气动锯前要排空。

  据目击者说，该厂操作工艺单元为了将可以燃烧的液体排入敞开的容器或地面就打开轴环。公司操作规程规定排空可燃物应该通过密闭系统来进行，以免可燃物接触点火源。此外，在运行的工艺单元排空可以燃烧的液体时使用轴环，附近还有点火源，这是很不安全的行为，因为这样流体的速度和方向都无法控制。

  原油脱盐是减少工艺设备腐蚀、堵塞的主要工艺。石脑油管线的腐蚀加快主要是由于脱盐效率下降致使过量的水和无机盐等腐蚀物进入分馏塔造成的。

  事故前一年，原油的API力平均下降了27.2%，越重的油的API力越小，这样就增加了油水分离的难度，影响了脱盐效率。

  (1) 1998年9月，一份报告建议采用更好的原油脱水工艺，该报告说明，当填料的重力下降到18%时就会产生更快的腐蚀速度，尤其是在分馏塔的顶部石脑油管线，甚至会导致更严重的事故。

  (2) 1998年11月，另一份书面演示报告数据显示了，公司管理部门已经提出了几种改进方法并进行研究和评估，这一些方法包括在四单元重新设置脱盐器、改进自动化控制管理系统等。虽然公司管理部门认识到了与脱盐有关的工艺问题，但他们却没有相应地进行装置检查也没有再进一步将工艺改进方法付诸实施。

  炼油厂的操作记录显示，1998年5月初石脑油液位控制阀被固体腐蚀沉积物堵塞了，限制了物料的流量。由于腐蚀，事故前旁路阀已经处于部分开启状态至少有10个月。

  通过对管线中多种残留物的分析发现有很高的氯含量，这种腐蚀性的盐进入分馏塔、石脑油管线中，腐蚀性盐与水的混合物促使了氧化速度的加快，直接引发了最初的泄漏和管路堵塞和旁路阀的腐蚀。CSB调查人员认为，石脑油线路是由氧化铁、氯化铵及硫的化合物堵塞的。这些都是腐蚀材料或腐蚀产品。

  Avon炼油厂的规程要求对填料变换进行MOC评价。1998年12月，脱盐器的填料比设计的增加了55%-80%。没有对填料变换进行MOC评价就导致了石脑油管线的腐蚀和堵塞。 管理部门也未对一直处在开启状态的旁路阀的工艺操作变换进行MOC评价，该评价应该包括装置周围的旁路相关部分是否处于正常状态，评价的缺乏导致了旁路阀和相关管线中的固体物质的堵塞和阀座和面盘的腐蚀。