第二十一章 本质安全型设计

第二十一章本质安全型设计1第二十一章本质安全型设计……所有重大的争论依赖双方分享一个错误的假设。——一位四世纪的神学者那些想花更多的钱使装置更安全和那些花得钱已经够了的人都有分享了一个错误的假设：他们都假设更安全需要花更多的钱。本书里的许多事故都是由于危险物质泄漏引起的，在此推荐使用更好的设备或程序防止泄漏的方法。如我们已经了解到的，设备能出故障或能被忽视，程序能失效。因而，防止危险物质泄漏最有效的方法是几乎不用危险性的物质，既使危险物质全部泄漏出来，也不会有什么问题(激烈化或最小化)，或使用更安全的物质替代(取代作用)。如果我们不能做到这一点，就必须储存或处理大量的危险物质，我们应当用最安全的方式进行处理或储存(稀释或缓和)。完成这些操作的装置被认为是本质安全的，因为这些设备不依靠附加的有可能出故障的设备或程序。危险被避免，而不是受到控制，在设计中，安全性是内在的。因为避免了危险，不需要增加保护设备，如联锁、报警、紧急隔断阀、防火层、喷水系统等，因而装置更经济，因而也更安全。本质安全型设计的原理显而易见，但是直到1974年Flixborough爆炸(见2．4)，人们几乎没有减少危险物质总量的想法。我们只是简单地设计一套装置，接收设计要求的量，相信我们有能力将其保持在控制之下。Flixborough爆炸事件削弱了我们自己和公众在这方面能力的信心，十年之后，Bhopal事故几乎将这种信心彻底摧毁。本章里讲述的第一起关于本质安全型设计的事故是在Bhopal发生的毒气释放事故。我的《装置安全设计》——一种用户友好的方法和参考资料12～15举了许多使装置更安全的例子。注意我们使用的术语“本质安全型”，不是“内在安全”，因为我们不能避免每一项危险。21．1博帕尔(Bhopal)化学工业史上最严重的灾难，1984年12月3日发生在印度中部的博帕尔。异氰酸甲酯(MIC)从一家化工厂发生泄漏，化工厂用异氰酸甲酯作生产杀虫剂胺甲萘的中间体，泄漏物扩散到厂区以外，造成2000多人中毒死亡。官方的数字是2153人，但非官方估计的数字更高。此外，有约200000人受伤。伤亡人数中的大多数是生活在厂区附近贫民区里的居民。事故发生的直接原因是MIC受到几吨水和氯仿的污染，反应失控，温度和压力升高，安全阀起跳，MIC蒸气排放到大气中。保护设备(应当防止或使泄漏量最小)出了故障或不在工作状态：应当冷却储罐的制冷系统被关闭，吸收蒸气的洗涤系统不能立即投用，烧掉任何通过洗涤系统蒸气的火炬没有投用。MIC污染有可能是故意破坏造成的，但我们也应看到，如果不储存那么多MIC，如果贫民区不扩展到离工厂那么近，如果保护设备都保持在良好的工作状态，也许不会那么严重。21．1．1“没有的东西不会发生泄漏”应当从博帕尔事故中汲取的最重要的教训被大多数评论员忽视了：泄漏的物质既不是产品，也不是原料，而是第二十一章本质安全型设计2中间产品，虽然贮存很方便，但是没有必要那么做。在博帕尔事故发生后，联合碳化物公司和其它一些有关公司决定大幅度减少MIC和其它危险中间品的贮存量。灾难发生一年后，联合碳化物公司报告危险品的贮存量已经减少了75％”’。产品(胺甲萘)可以用碳酰氯和甲胺反应生产MIC，MIC然后再与。—萘酚反应制得。同样的产品也可以用同样的原料，按不同的反应顺序制得，避免生产MIC。碳酰氯与。—萘酚反应生成中间体然后再与甲胺反应。21．1．2厂址泄漏不到的地方，就不可能有人死亡。如果不允许贫民区蔓延到厂区附近，在博帕尔的死亡人数——在墨西哥市(见8．1．4)和圣保罗(见9．1．8)——将会降低。当然，限制贫民区的蔓延比限制永久性居住更困难，但是有必要的话，应当通过购买并用篱笆将土地围起来，尝试限制贫民区的发展(如上所述，如果需要，将厂搬迁)。21．1．3将不相容的物品分开MIC储罐受到相当量的水和氯仿的污染——达1吨的水和1½吨氯仿——导致一系列复杂的失控反应。水进入MIC储罐的确切线路并不清楚，已经提出几种理论，最有可能的是故意破坏，虽然无论是谁愿意加水并没有意识到后果是多么严重。危险性和可操作性研究(18．7)是一种强大的验证工具，能够验证污染和不想要的偏差出现的方式，因为人们知道水能与MIC发生剧烈的反应，不允许水接近MIC。21．1．4保持保护设备在良好的状态——正确地选择规格像前面已经提到的，当泄漏发生时，制冷系统、火炬和洗涤系统并不在良好的工作状态。此外，因为人们知道仪表不可靠，最初忽视了MIC罐的高温高压。高温报警没有动作，因为设定点被调得太高。因而，博帕尔的主要教训之一是需要保持保护设备在良好的工作状态。第十四章讲述了其它一些事故，进一步说明这个问题。很容易买到保护设备，所需要的是资金，如果我们制造足够的紧张气氛，最终可以得到保护设备。当最初的热情退去后，要使这些设备保持良好的工作状态是一件更困难的事。所有的程序，包括试验和维修程序，受一种腐蚀的影响，这种腐蚀比影响钢制品的腐蚀更迅速，一旦管理人员失去兴趣，能消失得无影无踪。要不断地进行核查工作，确保程序能保持下去。有时管理和监督人员失去兴趣，对保护设备不了解，操作人员不再执行程序。但是，关闭火炬系统进行修理和不用制冷系统，不是操作员所能做出的决定，肯定是管理人员做出这样的决定，因而说明缺乏理解和责任。制冷、洗涤和火炬系统也许不足以防止放出那么大量的MIC，但能减少排入大气的量。安全阀不足以处理蒸气和液体两相物流，虽然储罐没有爆炸，但受到压力上升的影响而变形。保护系统不能被设计处理每一项能想到的可能发生的事，但是却说明了当博帕尔处理像MIC这样高毒性的的物质时，应考虑更广泛的境况。它也说明了，当选择安全阀时，是否会出现两相物流。21．1．5联合企业博帕尔一半由一家美国公司拥有，一半由当地拥有。按当地法律的要求，当地公司负责操作装置。在这样的联合企业里，重要的是谁对安全负责——无论是在设计还是在操作中。技术更丰富的合作伙伴有一项特殊的责任，除非确信操作伙伴已经有了知识、经验、责任和处理危险物质的办法，否则不应当继续进行下去。不能只说一句不在第二十一章本质安全型设计3完全控制之下，就能推脱责任。21．1．6进行预防损失措施训练博帕尔和本书讲述的许多其它事故致使我们看出这样的疑问，那些设计和操作装置的人员是否作为学生从他们的雇主那里接受过预防损失措施的训练。在英国，所有的化学工程在校学生都得到预防损失措施的训练，但在大多数其它国家，包括美国情况却不是这样。预防损失措施应包括在所有工程师的培训内容中，不应当像一层漆一样，在设计之后加到装置上，而应是设计一个本质的组成部分。只要有可能，应在设计时做出动改，消除危险，如减少总量，而不是增加保护设备。我们也许从来用不到学生时代学到的一些技能和知识，但每一位工程师必须做出关于预防损失措施的一些决定，如将危险消除到什么程度。在博帕尔，职员过去已经发生变化，在人员配备上有所减少，新招收的员工不像原来的员工那样有经验。但是，我并不认为这是事故发生的主要原因，像不用保护设备这类的错误是根本性的错误，不能说成是对某一特殊的装置没有经验。21．1．7公众反应博帕尔事故说明需要公司与当地的管理和应急部门共同制定处理紧急情况的方案。博帕尔事故不可避免地在全世界产生巨大的公众反应，尤其是在印度和美国。要求严格控制的呼声很高(一份题为“立法者户外集会”的报纸，列举了自1985年底启动的32项美国政府的建议和活动，35项国际活动)，呼吁业内先把自己的事情整理好(例如，由美国化学工程师协会建立化学工艺安全中心，由化学晶生产商协会建立社会意识和响应程序中心)。虽然博帕尔事故很可怕，但是我们应对杀虫剂或整个化学工业是没有必要的过激反应或建议保持注意。杀虫剂能增加粮食生产，救活的生命比博帕尔事故造成的损失要多得多。但是，博帕尔事故不是杀虫剂生产中不可避免的事故。通过更好的设计和操作，通过从经验中汲取教训，后面的博帕尔事故可以避免。事故本身不是因为缺乏知识，而是没有应用我们已经掌握的知识。也许这本书有助于传播一些这方面的知识。21．2其它本质安全型设计21．2．1强化设计本质安全型装置最有效的方法是通过强化，即为了使泄漏造成的损失降到最低，使用或贮存更少量的危险品。当选择换热器、蒸馏塔、反应器和所有的其它设备时，我们应当尽可能选择危险品存量小，停滞时间短的设计。参考资料1和12-15讲述了一些可能进行的动改。强化很容易用在一个新装置上，除非我们准备替代现有的设备，否则在旧装置上应用受到限制。但是，如我们所知，能减少现有装置里的中间产品的贮存量。当一个厂的产品是另一个厂的原料时，可将两个厂设在同一地区，减少贮存量，这样也减少了运输的量。一家公司发现，如果将其产品的量减少75%，它仍能继续运行，虽然在这种情况下，储罐(不是产品)有一定的危险性(见9．2．1g)。硝化甘油(NG)为我们提供了一个很好的通过重新设计减少贮存量的例子。硝化甘油是用甘油和浓硝酸和硫酸的第二十一章本质安全型设计4混合物制造的，反应时放出大量的热，如果不通过冷却和搅拌取走热量，随着NG爆炸性的分解，反应将会失控。反应原来在一个间歇式的反应罐里进行，每台罐约装一吨的原料，操作员必须密切注意温度，为了保证不会睡觉，他们坐在靠在反应器上只有一条腿的凳子上。如果要求我们使这种工艺更安全，大多数人会选择增加反应器测量温度、压力、流量、温度上升率等方面的仪表，然后使用这些仪表操作阀门，这些阀门中断流量、增加冷却、打开放空和排放等等。到我们完成这些工作时，我们几乎看不到在增加的保护设备下面的反应器。当要求NG工程师改进工艺时，他们会首先问为什么反应器里一定要加这么多的原料。明显的答案是反应进行得很慢。但是，化学反应并不慢。一旦分子相遇，反应很快进行。慢的是化学工程——搅拌。因而设计一台小而搅拌均匀的反应器，只装大约1kg的反应物。产品的产量与间歇式反应器基本一样。这台新的反应器类似于实验室里用的水泵，酸液迅速流过反应器产生部分负压，从侧管吸入甘油。混合的速度很快，当混合物离开反应器时，反应已经完成，在反应器里的滞留时间从120分钟降到2分钟，操作员受到一定厚度防冲击墙的保护。在装置洗涤和分离NG下游过程也做了类似的动改，反应器、冷却器和离心分离机中总共装有5kg的NG。无论使用什么生产工艺，产品NG仍然有危险，现在正在用更安全的炸药代替。在采石厂，人们现在越来越多地在现场用两种非爆炸性的成分准备炸药。当符合实际情况时，强化的方法是首选本质安全型的设计，因为减少贮存量使装置更小更经济。除了减少费用外，也减少了对保护设备的需求。21．2．2替代如果不可能实现强化，我们应当考虑替代，即用危险程度低的物质替代危险性高的物质。例如，苯曾经广泛用作溶剂，在高浓度时是直接有毒的，在低浓度时产生长期的有毒影响。其它的溶剂，像环己胺常用来代替苯。更好的、不可燃的或闪点高的溶剂也许更适用。在食品工业中，现在正广泛使用超临界的二氧化碳，代替正己烷脱除咖啡里的咖啡因和萃取啤酒花，也能用于脱脂设备。同样只要有可能，应使用不可燃的或高闪点的传热流体代替低闪点的传热流体。氦供应厂使用一套氦回收系统，受空气及／或氮气污染的氦气被送回到这套系统中，通过一个用沸腾的液氮夹套冷却到-196℃的碳床层进行纯化。氧气和氮气被碳吸附。送回来的氦气中氮气的含量比氧气的含量高得多，但是在一批返回的氦气中，氮气的含量为1.3％，氧气的含量为2.2%，因为氧气的沸点比较高(—183℃)，首先凝结出来，吸收在碳床层上面的是85%的氧。碳—氧混合物发生爆炸，产生强大的冲击波，导弹被损坏，幸运的是没有造成人员伤亡。很微小的机械振动引爆了混合物。装置人员没有意识到进料组成的变化有这么大的危险性。但是，当他们将发生的事告诉其他氦供应商时，两起早先没公布事故的被暴露出来。如果隐瞒事故的人很开化，第三起事故也许就不会发生了。分析步骤现在更加严格。此外，一种替代品——硅胶与氧气不发生反应，现在代替碳作为吸附剂。硅胶的效率低，但是本质更安全。第二十一章本质安全型设计5像在博帕尔事故中(21．1．1)，一个不同的