T2反应器冷却失效爆炸事故给我们的启示
期号：TS116 2016-06-06
危害识别、PHA、工艺设计及放大、美国化学品安全与危害调查委员会(CSB)
本文结合美国化学品安全与危害调查委员会对T2反应器冷却系统失效导致爆炸事故的分析，从反应危害识别、工艺危害分析、员工危险性教育等方面深刻分析产生爆炸事故的原因，并提出改进措施。
1. 介绍
1.1 事故简介
2007年12月19日下午1:33，在佛罗里达州杰克逊维尔北部的一家小型化学品制造工厂（T2 Laboratories, Inc，以下简称T2）因化工装置反应失控发生了一场爆炸事故，导致四名T2员工死亡，另有4名T2员工及28名附近其他工厂的工作人员共计32人受伤。CSB对这起事故进行了调查、报告。导致事故发生的原因很多，本文将基于CSB对T2爆炸事故的调查研究，着重阐述企业做好危险辨识，落实各项风险防控措施的重要性。
1.2 T2公司简介
T2公司是一家位于佛罗里达州杰克逊维尔的小型私有企业，它于1996年由一位化学工程师和一位化学家合作成立共同拥有直到事故发生，主要从事溶剂混溶业务。从1996年至2001年，T2一直在位于杰克逊维尔市中心的工业和住宅混合区的一个仓库经营，主要从事印刷业溶剂的混合和销售，它也混装预制的指定浓度的甲基环戊二烯三羰基锰（MCMT）给高级燃料发展技术公司（以下简称AFD），一个第三方分销商。
2001年，T2在杰克逊维尔北工业区租赁了30.4亩的土地，开始实施生产甲基环戊二烯三羰基锰（MCMT）。2004年1月，T2开始批次生产MCMT。到2007年12月的，MCMT成为T2的主要业务。事发当天，T2雇佣12人，正生产其第175批MCMT（批号175）。
1.3 MCMT介绍
MCMT是有机锰化合物，作为增加汽油辛烷值的添加剂使用，最早是由Ethyl公司于20世纪50年代末研发制造的。T2制造MCMT并以商品名Ecotane出售。
MCMT是一种可燃液体，通过吸入或皮肤接触，毒性很大。美国国家职业安全与健康研究所（NIOSH）和美国职业安全与健康管理局（OSHA）针对MCMT都设置了接触限值。虽然MCMT见光后能够迅速分解，环保局仍然认为MCMT是一种极其危险物质（EHS）。
2. T2反应失控爆炸事故经过
2. 1 事故过程
2007年12月18日晚，夜班操作员对反应器进行清洗和干燥，为生产新批次的MCMT做准备。19日早上大约7:30，白班操作员在毗邻生产线的控制室开始第175批次MCMT的生产。他按照常规批次操作规程，通过自动控制系统在反应器装入定量的原料。外操将金属钠手动加入反应器并将反应器密封。大约上午11点，内操开始加热反应器以熔化钠并引发化学反应发生，同时通过控制屏幕监控工艺温度和压力。
一旦钠熔化（98.9℃），内操会开启搅拌器。通过原料混合来增加反应速率，反应产生热量。反应放出和加热系统提供的热量会将反应的温度一直提升。在约148.9℃的反应温度下，操作员按照操作规程会关掉加热系统，但反应放出的热量仍将持续提高反应温度。
在约182.2℃的温度下，内操按照操作规程通过自动控制系统，打开冷却系统。然而，在反应器中的混合物温度仍继续增加。
下午1：23分，中控室人员听到外操通知，说现场冷却出现问题，要求老板赶紧赶往生产现场。两名老板（不在生产现场）赶来后，老板（化学工程师）来到控制室帮忙，一名老板（化学家）去现场查看问题。员工回忆，老板（化学工程师）来到控制室查看后返回生产现场，在途中，遇见来控制室查看工艺报警的外操并告知该外操可能会发生火灾，要员工赶紧撤离。然后他重新返回控制室。
下午1：33，反应器的泄压系统无法控制失控反应迅速增长的温度和压力。附近的目击者说在反应器破裂、爆炸前，看到反应器顶部大量排气，并听到类似喷气发动机般的剧烈声音。爆炸造成位于中控室（距离反应器15m）的工程师和内操及两名反应器区域的外操死亡。另外一名外操和一名机修工受伤。另一名工程师由于现场一个集装箱的庇护免于受伤，却由于爆炸导致非致命的心脏病发作。
2.2 事故造成的损害
爆炸造成T2四名员工死亡，并致使T2及周边企业共32人受伤。事故发生时在T2的所有人（8名员工和一名运货的卡车司机）受伤或死亡。4名死亡员工均系爆炸导致的外力钝伤，其余T2员工也均受重伤住院数月。
CSB对周边企业的调查也证实了事故的特点及建筑物损伤（图3）。距离事发反应器579m范围内的九个企业在爆炸中有27人受伤。其中，11人遭受裂伤和挫伤，7人听力受损，5人跌落或被爆炸的冲击力抛出。
爆炸将工厂夷为平地，碎片迸溅向各个方位。反应器的两个大型钢支撑柱沿法耶路方向各飞出了305m。T2附近的火车车轨也受到一个1814kg重的76.2mm厚的反应器封头碎片的损坏（图4），在距反应器122m的大楼前部分轨道偏离原来的位置。爆炸将反应器内的盘管抛至离T2数百米的其他企业和丛林中。反应器内直径102mm的搅拌轴被甩到法耶路约107m的地方，搅拌轴的两个构建分别插入到人行道和土地中（图5）。
2.3 T2公司MCMT工艺
2.3.1 工艺发展
高级燃料开发技术公司（AFD）的董事长于1998年建议T2制造MCMT。虽然T2的两名老板事先有化工行业的工作经验，但他们都未接触过活性化学工艺，直到2年后T2两名老板同意开展该项目。得到T2同意后，AFD董事长，一个拥有超过20年经验的化学博士为T2提供专利文献和研究支持。T2的一名老板（化学家）进行复制和测试专利，在实验室创建了MCMT的三步合成工艺。在2000年和2001年间，在1L反应器中测试生产了110批次的MCMT。
2001年，T2得到大量投资者包括AFD的支持，租用位于重工业发展区域的法耶路厂房，开始设计和建造一个工厂化的MCMT生产企业，T2聘请工程咨询公司在工艺设计、控制系统设计以及项目管理方面进行协助。由于资金有限，T2购买和使用翻新的二手设备，包括用于MCMT三步合成的9.3m3的高压间歇反应器。
2004年1月9日，T2开始用其新工艺路线第一次生产制造大批量的MCMT（批次1）。批次1在第一步操作中遇到了未曾预料到的放热反应；根据该异常情况，T2调整了配方和生产程序，包括在第一步中增加反应器冷却，并开始了新的生产批次。在2004年2月至5月期间，T2共制造9批MCMT，通过不断调整配方和生产过程，产率从0到约70％。其中第5批次在第一步的反应中放热失控。在第10批次，由于反应放热温度增加也超出预期，虽然不及批次5那么严重。
2004年5月24日，生产11个批次后，T2的另一名老板（化学工程师）发了一份备忘录给投资者声明T2工厂试车成功，MCMT进入全面生产。虽然所有的投资者于2004年年底已经结束参与MCMT生产，T2仍继续生产和不定期销售MCMT。2005年7月28日，生产第42批时，T2增加了三分之一的产量。
内操在毗邻生产现场的控制室内按照操作规程分步操作。T2的老板（化学工程师），从2004年作为内操。2006年T2额外聘请两个化学工程师进行倒班工艺操作。每个批次需要约48小时。到2007年12月时，随着客户需求的增加，T2每个星期生产三批产品。
2.3.2 生产工程
T2在一个单一的反应器内通过3步法制造MCMT（图6）。华盛顿宾夕法尼亚退火箱公司，在1962年最初制造设计该反应器，反应器设计压力为8.3MPa（g）。T2于2001年购买该反应器并与专门从事压力容器的公司合作，翻新、改造并测试该反应器。包括取代和添加管口，将容器的最大允许工作压力从8.3MPa（g）降低到4.1MPa（g）。
反应器上设有4“的放空管，并安装有4“的爆破片，为反应器提供超压保护。员工说，爆破片的爆破压力设定为2.8MPa（g）。一个压力调节阀安装在1“的排气管上，作为4“排气管的分支，来控制反应器压力。
MCMT生产需要加热和冷却。加热系统通过安装在反应器内部的3“热油盘管来加热。冷却夹套覆盖在反应器四分之三处的下部。城市供水系统通过管道与反应器底部连接，管道上设有调节阀，水进入夹套并被加热沸腾，蒸汽通过夹套顶部的管道放空至大气中。
MCMT每个生产步骤都需要内操通过电脑控制系统对原料投加，加热自动控制系统调节、冷却及反应压力进行调节。2007年12月19日，事故发生在反应的第一步骤（金属化作用），事故当天在反应器内并未进行第二和第三步反应。
第一步（所谓的金属化作用），内操将甲基环戊二烯（MCPD）二聚体和二甘醇二甲醚的混合物加料，外操通过反应器顶部的6“闸阀手动加入金属钠块，并在装料完成后关闭该阀。内操利用热油系统给反应器加热，并将反应器压力控制在0.34MPa（g），热油温度控制在182.2℃。通过将金属钠熔融进行金属化反应，并将MCPD二聚体分裂成两个MCPD分子。然后熔化的钠与MCPD反应，形成钠甲基环戊二烯、氢气和热量（图8）。氢气通过压力调节阀和1“排气管放空到大气中。
一旦混合物的温度达到98.9℃，内操就需要启动搅拌器。通过混合和较高的温度都能提高金属化反应的速率。在反应温度约148.9℃，内操关掉热油系统；由反应所产生的热继续加热混合物。
在约182.2℃的温度下，内操启动冷却控制系统，根据反应的升温速率，间歇地往夹套注水。事故发生时使用的操作规程没有包括冷却系统失效的紧急情况应急预案。但是，早期的程序，包括紧急情况应急预案，都提示操作工要完全打开供水阀和旁路手阀。生产现场也没有用于紧急情况的备用水源。
3. T2反应器爆炸事故分析
T2反应器爆炸事故是CSB调查的案例中最严重的能量爆炸之一。CSB估计该事故爆炸释放的能量相当于635kg的TNT。爆炸是由反应器中化学反应失控产生的高温和高压导致的。CSB评估导致化学反应失控可能的原因，包括
反应器的交叉污染；
原料污染；
原料浓度问题；
反应器内局部浓度问题；
反应热过剩；
冷却不足。
经分析CSB认为污染是不太可能的。T2的老板（化学家）指出，不同批次导致的反应器污染，能降低收率，产品聚合。此外，T2在第一批生产中也遇到化学反应失控，当时是在干净反应器中生产的。原料的污染也同样不可能，因为事发当天所有使用的原料与之前生产用料是一样的。
根据化学反应，原料浓度异常是不可信的故障场景。所用的原料，仅有增加钠的量会加速反应速率。钠是由操作工通过四位一体的滚筒托盘手动加入的，发生量变的可能性微乎其微。化学物质的局部浓度的变化将导致反应速率降低，而不是加快反应速度，因为三种原料的均匀分布才能使金属化反应达到最大反应速率。通过热油系统给反应加热，已经超过148.9℃。冷却系统提供的冷量比热油系统的最大能量大10倍以上。
CSB调查认为冷却不足是导致这一事故的唯一可信的原因，这与内操的说法一致，即爆炸之前内操已经发现反应冷却出现问题。T2的冷却水系统设计缺乏冗余，使得它容易成为单点失效，包括：
供水阀门故障全关或部分关闭；
排水阀没有打开或部分打开；
用来打开和关闭水阀的气动系统故障；
供水管道堵塞或部分堵塞；
错误的温度指示。
冷却系统结垢。
与员工访谈表明，T2是在冷却系统部件故障的情况下运行的，并没有执行预防性维护。自2006年以来，至少事故前有一次，生产过程中反应器底部的排水阀故障失效需要维修。其他冷却系统故障包括夹套内结垢影响系统的换热效果或松动水垢阻断冷水进口/排水管并使其常开。虽然控制系统故障或操作错误也可能导致反应器冷却不足，却没有证据表明有上述情况的发生。
CSB通过测试事故当天T2使用的批次配方进行小规模的模拟测试。结果表明，对于标准的T2配方，他们没有采取足够的冷却，这也导致2007年12月19日事发反应器产生极高温度和压力。
CSB在封闭（密封）的实验包进行测试，通过使用T2配方，有两个放热反应的发生。第一放热反应发生在约177℃并且是所希望的钠和MCPD之间的反应。温度超过198.9℃时第二个更为剧烈的放热反应发生；此反应是钠和二甘醇二甲醚溶剂之间。第二放热反应过程中压力和温度分别升高为每分钟约20.1MPa和每分钟1300℃，然后实验包发生爆炸。
通过从试验中得到的数据，CSB认为一旦第二放热反应开始，任何尺寸的设定在2.8MPa的超压释放设备都不可能阻止反应器故障。通过压力释放仅能预防第一放热反应导致的超压。T2设定反应器4“的爆破片爆破压力为0.52MPa，而不是所使用的2.8MPa，对第一放热反应失控有效，对于第二放热反应失控，很可能会发生灾难性事故。
4. T2反应器化学反应失控爆炸事故给我们的启示
T2的事故有多种原因，但最根本的原因是T2没有意识到他所采用的MCMT生产工艺存在化学反应失控的危害，没有做好危害识别，同时在设计时针对反应器冷却系统单点失效未采取冗余的设计及MCMT反应器的泄压系统针对失控反应并不起作用也在一定程度上导致了爆炸事故的发生。以下就这些问题阐述如何做好危害识别以及针对危害识别提出措施，这些措施的落实与跟踪。
4.1 反应的危害识别（HA）
公司开发用于商业化生产的化学反应，如本案中的T2，必须充分研究其中的危害。危害识别必须在商业化的各个阶段进行识别，从实验室测试到工厂生产，必须评估风险提出措施，减轻或消除潜在后果。
T2采用的MCMT生产专利主要侧重于化学反应工艺，对化学反应过程中的危害基本没有记录。三步反应涉及毒性、易燃性及危险反应，生产涉及的危险化学品包括金属钠、一氧化碳、氢及有机金属化合物。CSB通过查阅文献得知，除了专利记录的MCMT合成信息外，关于MCMT合成的信息很少，更没有其反应危险性的记录。
缺乏可用的工艺危险信息，实验室测试就显得尤为重要。T2老板（化学家）在一个1升玻璃反应器中进行小试以验证MCMT合成工艺和最高产率。他报告说，在小试时从来没有观察到极端放热现象，试验时温度也从未超过193℃。如果不研究在更高温度下的反应，该老板（化学家）根本没有发现有放热失控的可能。
4.2 工艺危害分析（PHA）
在开发阶段进行PHA可帮助设定运行限值及确定操作策略，以防止反应失控。批量反应系统的PHA应评估潜在的工艺偏差和设备故障，包括搅拌器故障，冷却损失，污染，及投料错误。所有这些都是失控反应的常见原因。
T2的一个设计顾问认为在放大实验时需要进行危害与可操作性分析（HAZOP，PHA的一种）。全面的HAZOP可能会发现有必要测试该反应的热力学和动力学性质，以及冷却和泄压系统的局限性。CSB调查发现T2从来没有进行HAZOP。如果开展了HAZOP分析，则通过温度高的偏差就可以发现，针对温度高的保护则只是单回路的温度控制，若控制故障则没有其他的保护措施，但是温度高则会加快反应，反应越快温度越高，恶性循环，温度高同时会导致压力高进而可能会导致恶劣的后果，针对这种后果严重，但是保护不够的事故场景就会被识别出来。以便及时采取措施，如采取紧急情况下的替代水源等措施。
同样，针对压力高的偏差，T2仅根据预期的正常操作而不考虑潜在的紧急情况来选择泄压装置的尺寸。T2的员工表示，老板（化学工程师）主要是根据正常操作产生的最大氢量来选择爆破片的尺寸。T2也不能提供爆破片尺寸及爆破设定值的任何文件。没有证据表明，T2曾考虑到可能出现失控反应引起超压。
4.3 危险性教育
虽然两个老板（化学工程师和化学家）都持有学士学位，之前也有化工行业工作经验，但他们都未接触过活性化学反应相关的工作。因此，它们对MCMT生产过程中的反应危险性缺乏相当的重视。他们并不知道需要进行反应失控测试，发布应急预案，并确定和评估工艺偏差的原因。他们想当然的处理放热反应，同时T2的员工期望老板能处理任何未预见的事故，如事故前打电话给老板，请求其协助。虽然老板（化学工程师）告诉员工，他认为会发生火灾，T2员工没有意识到潜在灾难性爆炸的发生。
5. 结论
（1）任何准备投入商业化生产的小试中试实验，在项目运营投产前都要做好危险识别工作。危险识别作为企业安全管理的前提，为企业的安全管理工作提供了指导。特别如本案中采用活性化学反应工艺，要做好危险源的识别，并提出预防性措施。
（2）针对危险识别提出建议措施，企业要建立专门的跟踪机制，以确保各项措施得以落实并实施；本案中，T2未进行HAZOP，针对冷却水系统故障的单点失效未采取有效的应急或替代措施；反应器的放空泄压设计未得到有效验证，这些都在一定程度上导致了事故的发生。
（3）加强员工的危险性教育，提高安全意识。本案中员工出现不可控反应时缺乏判断，依赖管理者，缺乏自我保护意识。
[1] CSB INVESTIGATION REPORT, T2 Laboratories, Inc. runawayreaction Report No. 2008-3-I-FL, September 2009
[2] Plant Guidelines for Technical Management of ChemicalProcess Safety （CCPS）, 1995a. (Revised Edition), AIChE.
[3] Chemical Reaction Hazards and the Risk of Thermal Runaway；Health and Safety Executive(HSE), 2007.
[4] Guidelines for Process Safety in Batch ReactionSystems,（CCPS）, 1999. AIChE.
[5]《生产过程危险和危害因素分类与代码》（GB/T13816-92）
[6]《HAZOP危险性识别研究》石油化工安全环保技术，2011，27(4):29-31屈威，刘亚贤
[7] 化学品活性反应危险性表征方法研究，中国安全科学学报，2009, 19(7):78-84 ，彭湘潍，谢传欣，张帆。
事故案例分享：
联系客服
