CSB经典案例分析(7月期)―美国Sonat公司吹扫作业分离器超压破裂和火灾事故

1.事故简介1998年3月4日，位于美国路易斯安那州的Sonat勘探开发公司的油气生产设施发生一起灾难性的容器失效和火灾事故。该设施建有两套油气分离装置（测试装置和量产装置），包括分离设备、管线、储存容器和气体集输系统。油气分离装置设计目的是以附近的两口油井的井流为原料，生产原油和天然气。容器由于超压，造成可燃物料泄漏，并被点燃发生火灾。事故造成容器附近的4名工人死亡，生产设施遭到严重损坏。图1为事故后照片。图1：事故后现场照片2.事故背景2.1Sonat公司Sonat公司是一家从事石油勘探开发、油气生产、州际天然气运输和能源服务的综合能源公司，Sonat勘探开发公司是Sonat公司旗下主要负责油气勘探开发和生产的分公司。Sonat运营着位于路易斯安那州的WestMastersCreek油田，从奥斯汀白垩层中生产石油。从这些油井中采出的原油直接送至油气分离装置，分离出原油和天然气，然后销售。从原油中分离出的生产水最终再注入地层。2.2装置操作该油气生产设施以附近的两口油井井流为原料，通过连续的分离工艺生产原油和天然气，如图2所示。油气生产设施包括多个分离器、管线、储罐和一些辅助设备。为了有效分离油井原油物料，Sonat公司建造了两套独立的分离装置，分别作为测试装置和量产装置。测试装置的能力只能处理单口井的井流，而量产装置能够同时处理多口井的井流。两套分离装置通过连接至Temple22-1井和Temple24-1井的管汇相连，装置与Temple22-1井和Temple24-1井的距离分别约82m和3200m。测试装置于1998年1月16日开始生产处理从Temple22-1井采出的原油。量产装置于1998年3月4日第一次投产，处理从距离较远的Temple24-1井采出的原油。图2：原油分离流程简图每一套油气分离装置都包括3台串联的分离器，设置多台分离器的目的是最大化天然气回收量。一级分离器和二级分离器的最大允许操作压力分别是9.9MPa和3.4MPa，当压力超过其最大允许操作压力时会启动位于分离器顶部的泄压阀。一级分离器和二级分离器的实际操作压力稍低，分别为6.2MPa和1.6MPa。三级分离器（虽然Sonat公司将这个失效的容器称作“蒸汽回收塔”或“储罐”，但是CSB调查组认为该容器实际上符合油气分离器的定义，称其为三级分离器的原因是它位于一级分离器和二级分离器的下游）的最大允许操作压力为常压，也是正常运行时的压力。由于物料通过一系列分离器时压力下降，物料中天然气的溶解度随之降低，分离回收的天然气比例增大。前两级分离器设计是用于三相（油/气/水）分离，而三级分离器设计是用于两相（油/气）分离。油井物料在前两级分离器内的停留时间足以实现油相和水相的重力分离，分离器出来的天然气直接进入天然气管线，生产水直接注入地层或者暂存在储罐中。油相从一个分离器进入下一个分离器，最终进入储罐，通过槽车运至炼油厂。天然气经压缩后通过管线送到天然气处理装置。测试装置和量产装置的三级分离器都是13.7m高，直径为1.2m，如图3所示。运行过程中，容器内存料约为80%，油井物料从约10.7m高位置进入分离器，分离的油相从约1.0m高位置出来。残余的天然气从油相中出来并在分离器顶部聚集，通过压缩机，然后与二级分离器出来的天然气汇合。图3：三级分离器示意图3.吹扫作业设备超压和火灾事故发生过程3.1事故发生前1998年3月4日，Sonat公司计划利用新建的量产分离装置开始Temple24-1井的生产。在正式生产前，量产装置的设备以及连接油井和设备的3200m长的管线需要进行吹扫，排出设备及管线内的空气。吹扫是油气生产工艺中的常规操作，目的是降低可燃油气造成的爆炸风险。在这次事故中，吹扫操作是通过使用其中的1口油井采出的高压井流置换设备内的空气，被置换的空气从一个敞开的储罐孔口处释放出来。当系统内的空气浓度足够低时，设备将封闭，准备开始生产。Sonat公司监督决定通过2个阶段执行吹扫过程：（1）使用附近的Temple22-1井产流体吹扫量产装置设备；（2）使用Temple24-1井产流体吹扫连接Temple24-1井和装置的3200m长管线。每次吹扫都需要操作一系列的阀门。第一次吹扫操作（量产设备的吹扫）在事故当天的下午顺利完成。3.2事故发生量产装置设备吹扫操作完成后，开始准备吹扫连接24-1井的3200m长管线。如图4所示，他们的吹扫方案如下：由24-1井至量产装置（打开：阀1；关闭：阀23、阀24、阀26）；由量产装置至储罐，旁通分离器和原油冷却器（打开：阀8、阀9、阀10、阀11、阀12、阀13，阀16；关闭：阀2、阀3、阀4、阀5、阀6、阀7、阀14、阀15）；经过储罐，从敞开的顶部孔口出去（打开：阀17、孔口21；关闭：阀18、阀19、孔口20）图4：最终的阀门设置方案执行这个吹扫方案，至少需要手动重置11个阀门，这个过程没有书面操作程序和阀位检查表。大部分阀门是手动操作的球阀，阀12是一个通过位于三级分离器内部的液位计启动的气动阀门。该设备出现高液位时，会自动打开阀12，允许流体旁通分离器（在邻近的手动球阀11和球阀13打开的情况下）。3月4日上午，操作人员断开了连接阀12的仪表气，导致之后阀12一直处于打开状态。当施工监督和操作人员重置了上述阀门，管线吹扫操作开始进行。Sonat公司生产监督和一名操作人员位于24-1井的附近，与施工监督通过无线电保持沟通。下午5:10，生产监督指挥操作人员打开阀22（位于油井下游的节流阀），引导流体进入3200长的管线。根据预测，初始井流将主要是天然气，后期将是天然气、油和水的多相混合物。Sonat施工监督位于阀23附近，他打开了这个小阀门，使用移动式氧气检测仪测试排出气体中的氧气浓度，氧气浓度的下降表示出吹扫操作的进度。随着吹扫操作的进行，根据监测，阀23处的氧气浓度开始下降，施工监督关闭了阀23。他每隔几分钟打开阀23，继续定期检测氧气浓度。下午6:00左右，根据压力表27的显示，阀22下游压力约5.5MPa。下午6:10，施工监督最终检测到的氧气浓度低于3%，表示吹扫过程已接近完成。随后他乘坐汽车去检查一个距离约90m远的管线阀门的阀位，此时，之前在24-1井附近的生产监督开始开车回装置，指挥量产装置的开车操作。下午6:15左右，量产装置的三级分离器发生灾难性的失效，从破裂的分离器中泄漏出来的可燃气体立即被点燃，在分离器位置上部形成巨大火球。位于分离器附近区域的4名操作人员当场死亡，1名距离分离器约60m的操作人员被爆炸冲击波推出2m远，施工监督从汽车里出来时也受到轻伤。一名幸存的承包商操作人员立即启动应急关断设备，自动关闭了正向测试装置供料的22-1井。Sonat施工监督立即使用无线电指挥操作人员关闭24-1井，并向Sonat生产监督报告。施工监督然后开车去关闭了天然气计量管线阀门。虽然设备失效后24-1井很快被关断，但是3200m长的管线内还存有大量的高压天然气。天然气持续从被破坏的管线中泄漏出来，严重阻碍了火灾控制行动。应急人员最终于晚上9:47成功扑灭所有火灾。4.吹扫作业设备超压和火灾事故分析4.1初始事件根据事故后对现场情况的调查发现，与计划中的阀门设置情况不同的是，阀11和阀13实际上处于关闭状态。在这两个阀门关闭的情况下，吹扫气不能按计划排放到大气中，如图5所示。三级分离器没有入口阀，导致设备出现超压。事故发生前，节流阀下游压力约5.5MPa。图5：阀门设置情况对比分析三级分离器设计上只能用于常压操作，吹扫气形成的高压突然导致容器发生灾难性的失效，三级分离器破裂时有4名作业人员位于其12m范围内。目前不能确定设备发生失效时的真实压力，制造商针对分离器只在0.14MPa压力下进行过测试。CSB调查组委托OakRidge国家实验室对该分离器进行了理论研究，通过基于有限元方法的应力分析，发现当内部压力达到0.94MPa及以上时，分离器将发生失效。OakRidge国家实验室进行另一次工程设计分析预测失效压力约为1.4MPa，而事故后Sonat公司评估失效压力为2.6MPa~2.8MPa。但是，所有这些评估数值都是基于设备的设计图纸进行的，没有考虑到实际情况下下材料、尺寸和焊接质量等因素的影响。同样，阀11和阀13的关闭时间也不能完全确定。这两个阀门在事故当天上午还处于打开状态，但是在下午早些时候（量产装置分离器吹扫前）被关闭。在事故当天，这两个阀门没有被持续监控。很可能在最终吹扫过程前这两个阀门没有按计划被重新打开，并保持关闭状态，直到设备最终超压失效。或者，这两个阀门可能在最终阀门设置时被打开了，只是后来又被手动关闭了。4.2设备设计、安装和操作三级分离器设计和安装方面存在的缺陷是导致此次事故的一个重要原因。可能暴露在超压危险（因为人为失误或机械失效）情况下的设备应：a）设计上能承受超压条件；或者b）安装合适的泄压系统。一套合适尺寸的泄压系统本能够阻止此次事故的发生。API推荐标准规范涵盖了不同类型油气生产和炼化方面的应用。三级分离器符合ANSI/API12J-1992“油气分离器规范”，该规范包括了关于油田类型的油气分离器和油气水分离器的设计、建造和出厂检验的最低要求，规范中要求所有的分离器（不考虑尺寸和压力）都应安装压力保护设备，并根据ASME标准要求设置，分离器投入使用前应提供超压保护措施。API521“压力释放和减压系统指南”提供了更广泛的指导要求，API521列出了设备需要考虑的一系列超压场景，16个超压场景的第1个就是“容器上的封闭出口”。Sonat公司制定了自己的泄压阀标准，建立了泄压阀及附属管线的规格、安装、维护及测试的统一要求。标准要求：应根据良好的工程规范，考虑失效的可能性和失效后果，使用泄压阀，API520可以作为泄压阀和附属管线安装的指导规范。Sonat公司把失效的设备称作“蒸汽回收塔”，因此不属于API关于分离器标准的范围。Sonat公司把蒸汽回收塔归类为储罐。CSB调查组审查了这个问题，最终认为这个设备实际是一个分离器，因为：设备只有一个天然气和原油混合物的入口管线，但是有两个独立的天然气和原油的出口管线，进行了两相的分离；设备设计上不是用于固定储存原油的，相反，原油只是暂时储存在设备中，然后持续流入真正的储罐中；设备在量产装置内的位置（在二级分离器和储罐之间）符合低压、两相分离器的角色；ANSI/API12J-1992把分离器定义为：油田使用的用于把液相从气体组分中除去的设备，分离器可以是两相的或者三相的。在量产装置投产前，三级分离器本应根据API标准要求安装一套泄压系统。另一个设计缺陷是三级分离器上游缺少入口切断阀。这样一个切断阀本能够把分离器与造成设备失效的高压吹扫气隔离开。三级分离器油相出口管线上的切断阀（阀15）可以实现分离器和储罐的隔离，而储罐顶部的孔口是一个排空泄压的可能途径，但是事故发生时，阀15是关闭的。三级分离器还有一个去气压机的出口管线，进入气压机的多余物料会排入火炬放空。但是，气相出口管线上也安装了一个切断阀（阀14），事故发生时，气压机处于停用状态，而且阀14处于关闭状态。4.3工程设计审查Sonat公司在装置的设计和建设过程中使用的是自己的工程师和咨询师，Sonat公司声称其工程师都去了22-1井现场，不幸的是，这些人没有发现蒸汽回收塔上的阀门错误问题。Sonat公司在装置开车前进行的一系列活动没有形成有效的工程设计审查过程，一个有效的审查过程应包括至少一次在装置设计过程中进行的书面危害分析。危害识别应提出需要进行设计变更，或者有书面的回复，说明识别出的危害未被处理的原因。这个过程需要不同专业人员（包括设计工程师、工艺工程师和装置操作）的参与。设计审查过程本应提前发现并修正设计上的缺陷，包括缺少泄压阀、阀位不正确和不符合分离器设计与安装规范。在这起事故中，由于缺少正确的工程设计图纸，设计审查过程没有正确执行。4.4操作规程Sonat公司的书面安全操作规程涵盖了常规主题，例如进入受限空间、设备挂牌上锁等。但是，