美国加勒比石油公司储罐火灾爆炸事故

2009年10月23日，美国海外领地波多黎各巴阿蒙的加勒比石油公司（CAPECO）油库发生爆炸。当时该油库正在从油轮上向其罐区中卸汽油，其中1台容量为1.9万m3的地上储罐发生溢流，泄漏出的汽油流入二级围堰后雾化，形成大量蒸气云，在污水处理区遇到点火源后发生爆炸。此次爆炸及二次爆炸造成的大火导致17个储罐、现场及周围居民区和商业区其他设备损坏，3人受轻伤。大火持续燃烧约60 h。成品油渗入土壤、附近的湿地及通航水道内。

事故描述

事故经过

2009年10月21日，货轮抵达圣胡安湾的CAPECO码头，准备将4.4万m3无铅汽油卸到油库。CAPECO派了4名公司员工和3名合同工人协助完成工作。

油库中只有容量为8万m3的107号储罐可以装下整船的汽油，但该储罐已经装有油品，因此，CAPECO计划将汽油装入405、504、409和411号4个稍小的储罐中，剩余部分则送入107号储罐，整个卸油时间预计超过24 h，期间1名CAPECO操作员在码头监督输油作业，另一人则在油库罐区监督作业。

根据CAPECO的记录，10月22日中午刚过，411号储罐的阀门就被完全打开。由于504号储罐液位计卡住，操作人员将504号储罐的输入阀门关闭，之后将409号储罐的阀门完全打开，以26 t/min的速率向罐内输入汽油，同时411号阀门改为部分打开，仅允许少量汽油流入罐中。

18时30分左右，该操作员手动算出409号储罐将在21至22时之间，即交接班前后装满。为防止换班期间出现问题，他将411号储罐上的阀门完全打开，并几乎完全关闭409号储罐阀门。

因为变送器经常出现故障，CAPECO的操作员一般不参考计算机所显示的液位信息，正常情况下，他们会手动记录每小时的读数。事发当晚，409号储罐上的变送器就未能把液位测量值传送到计算机中。

22时，411号储罐达到最大容量后被关闭，操作员将409号储罐上的阀门完全打开。其中1名操作员将409号储罐液位计上的液位读数报告给了班长，按当时的液位估算，该储罐将在23日1时充满。23时，罐区操作员巡检时再次将液位读数报告给了班长，班长计算出储罐应在23日1时充满，但在23至24时的例行检查之间409号储罐已开始溢流。操作员在24时巡检时注意到地面上及504、411和409号储罐周围的路面上有雾。

午夜时分，罐区操作员开始对409号储罐进行巡检，尚未到达储罐时，就闻到了很浓的汽油味。他赶紧联系码头的操作员停止卸运，同时通知污水处理操作员和班长在油库西端集合。尽管没有灯光，他们仍能看到距地面约0.9 m的白色油雾，但未看到汽油泄漏或听到汽油溢流的声音。尽管当时的温度为26℃，但他们接触油雾后，由于冷凝作用，手部竟感到凉意。班长意识到其中的潜在危险，于是让1名操作员先到安全门处，他则与另一名操作员在油库区寻找泄漏源。

根据CAPECO及附近设施的摄像头录像，10月23日0时23分，蒸气云在污水处理区发生燃烧，7秒钟后爆炸，产生的冲击波使上百座民房和商业建筑受损，最远的受损建筑距事发现场约2 km。火势顺着蒸气云蔓延，导致多个储罐接连发生爆炸。

爆炸发生后，应急人员采取措施控制了火势，但受损储罐中的燃料仍然持续燃烧了2天多。

储罐溢流

事后计算结果表明，蒸气云燃烧前，409号储罐大约溢流了26 min，约757 m3汽油（大约为20辆油罐车的总量）从储罐的6个通风孔中涌出。当晚的风力大约为2.2 m/s，温度为26℃，蒸气云面积约为0.43 km2。溢流过程中，喷射出的汽油溅到409号储罐的防风梁上，雾化成蒸气云。由于409号储罐位于罐区最高点，导致蒸气云蔓延到污水处理区域方向的低洼处。

围堰排水阀打开

2009年10月22日的二级防控阀门检查日志表明，409号储罐的围堰阀门是关闭的，但事后调查发现，该阀门是打开的。围堰阀门打开后，汽油就流入位于污水处理区域的雨水池，由于雨水池表面积较大，汽油在这里积聚和蒸发。

着火

根据CAPECO的现场摄像头录像，爆炸发生前数秒，污水处理区域最先着火和出现闪燃。二级防控阀门未关闭使汽油进入污水处理区的雨水池。由于蒸气云所经之处存在数个点火源，所以调查人员并未明确事故的具体点火源。

事故分析

安全管理体系存在问题

调查发现，此次事故是由CAPECO公司安全管理体系一系列技术问题造成的，主要表现在液位控制和监测系统的多层防护措施均存在问题，及未设置独立安全设备（如独立的高液位报警器和自动防溢流系统）。

油库的液位控制系统包括控制储罐装填作业的程序和设备。许多储罐作业的液位控制系统由操作员和报警系统组成，二者联合即可控制燃料的收发。某些工况下的液位控制系统为自动液位控制器，可以对流入储罐的燃料进行严格控制。

CAPECO的系统问题主要包括：油库作业维护不良;出于经济考虑，在规定时间内完成罐装作业与安全相矛盾;该油库未从以往充装事故中吸取教训;浮子式钢带设备不便于使用，自动储罐计量变送器未事先维修;计算储罐充装时间的计算机不可靠;未设立溢流预防安全设施作为独立报警;未制定正式的储罐充装作业程序;关键安全设备的机械完整性方案存在缺陷。

油库维护不良 CAPECO一直未对油库进行良好维护。美国环境保护署（EPA）1992至2004年间对该公司的检查记录显示，公司对储罐阀门、罐区周围的二级防控系统及液位计和工程控制设备的投资一直不足。期间该公司主要存在的问题包括传输阀门泄漏;产品管线泄漏;二级防控系统有缺陷，可能导致泄漏的阀门未锁定;围堰内有油光等。尽管问题储罐都是小型储罐，但从中可看出CAPECO对油库的维护存在诸多问题。

CAPECO发生过泄漏事故 CAPECO在1992至1999年间曾发生15起涉及各种规格储罐的事故，2005年后发生3起，主要是充装、排空或传输作业过程中的泄漏或溢流事故，原因包括阀门处于打开状态，储罐计量表不好用，管线或储罐壁受腐蚀等。

常规做法与安全矛盾 事后调查发现，除计算机无法显示储罐液位外，充装作业时CAPECO的操作员按照计划处的指令将储罐装到了最大液位，进而导致事故的发生。计划处与燃油供应商协调燃油供应情况，并指示操作员将燃油充装到哪个储罐及充装量，卸油过程中也会确定罐装进度安排。协议规定的罐装时间或速度与安全充填作业存在矛盾。

关键安全设备不可靠 CAPECO采购的液位计量系统本身效果不佳，且维护不当。液位控制和监测系统中的关键设备（包括储罐侧计量表和浮子式钢带设备）存在问题，使操作员在储罐充装的过程中无法判断液位。

不可靠的液位控制和监测系统 CAPECO缺乏可靠的自动液位控制和监测系统。事发时在用的自动计量系统不断出现问题。事发当晚，504号储罐内部的浮子式钢带设备卡住不能用，409号上的变送器未能从计量仪上输入数据，导致储罐液位及409号储罐装填速度无法在计算机上实时显示。计算机监测系统也常因雷击而不好用，有时在罐区进行维修作业后，计算机电缆偶尔被损坏。此外，变送器易受电磁干扰，在雷暴之后常需更换。

维修故障变送器往往要花费数周时间。几十年来，CAPECO的操作员一直手动计算储罐液位。鉴于该公司曾发生15起事故，出现过液位探测设备因故障停用的情况，这种储罐液位监测方法非常不可靠。

浮子式钢带液位计容易发生故障 浮子式钢带液位计在地上储罐行业已经使用数年，但由于设计缺陷，很容易出现故障。滑轮、弹簧马达及指示器的机械磨损都会影响测量的可靠性，使该系统显示的液体深度不准确。此外，与指示器和变送器相连的齿轮机构会发生松动，导致读数不精确，并且会干扰变送器。受储罐内燃料湍流不断运动的影响，浮子式钢带液位计也容易过度磨损。

浮子式钢带液位计维护不良 CAPECO的浮子式钢带液位计安装时间为2004年，之后有多个液位计同时不好用。首次安装9个月后，该公司就因为容积测量误差问题对液位变送器进行了维修。此次爆炸发生前1个月，CAPECO请承包商校正了多个储罐上的侧液位计。

该公司缺乏预防维护措施，没有维修储罐计量系统，其维修日志没有关于41号储罐在2009年过浮子维修的记录，也没有405或411号储罐在2009年10月上旬进行过皮带维修的记录。2009年10月，409号储罐液位变送器不好用已有1周时间，维修人员在等待配件。该公司从未更换过任何液位变送器，液位器不好用时就依赖位浮子式钢带液位计测量储罐液位值。此外，该公司很多储罐计量方法也与美国石油学会（API）的推荐做法不符，这也可能导致409号储罐液位计算错误。

缺乏正规程序 CAPECO的标准操作程序未包含油库作业。2009年8月，该公司更新了需要工作许可证的作业程序，但未编写油库操作程序。油库作业通常按照活动大纲和检查表进行，没有标准操作程序指导员工怎样从船上卸油、如何进行储罐计量或操作围堰排泄阀等。例如，该公司的文件列出了从船上卸油时须做的工作，但并未详细说明如何开展，由谁负责，如何应对紧急情况及如何同时充装多个储罐等。比如，文件说明了若充装1个储罐时部分打开旁边另一储罐的阀门，会直接影响到储罐的充装速度，但没说明打开阀门对储罐充装时间计算的影响。

缺乏像高液位报警器及自动防溢流系统之类的其他安全措施 CAPECO未采用可以预防储罐发生溢流的有效安全措施。除自动储罐计量系统外，其他的安全措施包括在储罐内的液体达到规定的高度时发出声光信号的独立的高液位报警器及自动防溢流系统。409号储罐上未安装独立的高液位报警器，既没有安全报警器也没有相关的关键响应程序，该公司的罐区操作员不得不使用不可靠的液位控制和监测系统来监测储罐的溢流。

其他可能的影响因素

事后调查发现，其他因素可能也对此次事故有影响，如409号储罐内浮顶的结构与局限性，通向409号储罐的管线流速及压力的多变性等。

内浮顶的结构及其局限性 由于409号储罐的内浮顶在爆炸中受损，无法确定其是否在充装过程中已经出现问题，但内浮顶的故障很可能是储罐溢流的原因。409号储罐罐顶的结构受到很多因素的限制。该储罐固定的锥形顶带有1个铝制内浮顶，出水高度为3.65 m。铝制内浮顶适用于石油和有机物，但湍流、没顶、密封、磨损等因素都会导致内浮顶出现问题。

事发当晚的最终读数可能是在内浮顶处自由漂浮过程中获得的。当内浮顶处于自动漂浮的位置时，其置换的液体量与浮顶及其相连的呆木重量相等。获得临界危险区容积的唯一精确方法就是通过液体校正程序，但CAPECO并没有对409号储罐浮顶的位移进行计算。

通往储罐的管道压力及流速多变 燃油的输送流速仅由船上人员控制。CAPECO和船主必须要在计划处签订的协议时间内完成储罐充装作业，否则将会被罚款，这导致充装燃油的流速不断变化，同时CAPECO又无法通过实时流量监测器获得输油线的流速信息，因此也就无法精确地计算出储罐的充装时间，这也可能是导致409号储罐溢流的原因之一。汽油流速是双方事先确定的，开始的流速不超过700 m3/h，正常速度为1 900 m3/h。正常的情况下，最小许可背压为0.69 MPa，最大卸油速度为3 000 m3/h。但CAPECO要求此次卸油的背压为0.86 MPa。事发时，进入储罐中的汽油传输速度为1590～1750 m3/h，压力为0.69～0.76 MPa。尽管已经事先确定传输速度和背压，但CAPECO的操作员并未掌握流量信息。

充装过程中，如需改变油船的泵压，ACPECO罐区操作员会通过无线电联系码头上的操作员，让他通知油船上人员增压或降压。除非罐区的罐容不够，否则很少终止油船卸油作业。根据卸油记录，2009年10月21日1时，码头的管线压力最初为0.34 MPa，之后每3 h大约增压34～69 kPa。事发前约1 h，即10月22日，码头的压力为0.79 MPa，在双方规定的压力范围内。随着管线压力的不断增加，储罐操作员手动将405号储罐切换到504号储罐，之后又切换到411号储罐，并将409号储罐的阀门打开。由于汽油流速与管线直径有关，因此操作员打开阀门后，很难确定确切流速。操作员一般在预计充装时间前10～30 min切换管线，同时查看流速变化情况。由于部分管道未配备流量计，切换储罐及计量系统的不可靠均对409号储罐的溢流有影响。

人为因素

围堰阀门的设计不统一 蒸气云之所以能够移动并蔓延主要由于围堰阀门打开后使燃油进入到了污水处理区域的雨水池中。此外，各种不同类型的手动阀门及光线差也使操作员在事发当晚无法观测到围堰阀门的状态，未能确定409号储罐的围堰阀门是否关严。

按CAPECO的惯例，操作员在白班期间要对阀门进行开关。操作员驾车经过时会检查围堰排泄阀的状态。围堰排水沟通向雨水池的阀门分为升杆阀门和固定杆阀门。操作员很容易看清升杆阀门的开关状态，但固定杆阀门的阀位则无法从表面看出。409号储罐围堰排水沟中的固定杆阀门必须要用手拧一下才知道具体的阀位。

油库内光线不足 事发当晚，由于光线太暗，操作员看不到储罐溢流和蒸气云。另外，操作员不得不用手电筒监测罐区的活动以及从储罐侧液位计上获得液位读数。用手电筒根本无法监测不正常行为。

卸油作业人员不足 由于储罐上的阀门都不是电动的，因此充装时间的估计值缺乏精确性。卸汽油用的阀门都是0.4～0.5 m的手动阀。在装卸作业过程中，每个卸油班有2名操作员在罐区，1名操作员在码头进行作业。但该公司经常需要将油品卸到多个储罐中，要在各个储罐间手动切换油品。当油品对阀门的压力增大时（码头的压力甚至可高达0.86 MPa），通常需要2人共同完成手动切换任务。由于人员缺乏，操作员向1个储罐输送燃油时，常将另外一个储罐的阀门也稍稍打开，这样便于在第一个储罐装满后，将燃油流量转换到另一个储罐。但当2个阀门同时打开时，进入到每个储罐中的流量也会随之发生变化，确定充装时间会更困难。

事故原因

汽油输送过程中，CAPECO的409号储罐发生汽油溢流，形成的蒸气云将罐区大约0.43 km²的区域包围。汽油蒸气云通过打开的围堰阀门漂移到罐区的低洼处及污水处理区域的雨水池中。蒸气云在污水处理区域发生着火，该区域未经电气分级，不可存在易燃气体。

409号储罐溢流的原因包括：储罐充装过程中，侧液位计发生故障导致储罐液位记录值不精确;计算充装时间时，无法在流速和压力不断变化的情况下，将流速实时变化值计算在内;因湍流及其他因素造成储罐内浮顶受损也可能导致溢流;液位控制和监测系统不可靠，无法为操作员及时提供精确信息;易出现故障的浮子式钢带液位计及不可靠的液位变送器不方便使用，液位变送器常因雷电损坏;未采取独立的防溢流措施，如高液位报警器及自动防溢流系统;罐装程序欠缺;自动储罐计量系统的液位控制和监测系统经常发生故障。

事发当天，出现故障的液位变送器未将409号或107号储罐的数据传送到计算机中;未设立自动防溢流系统，无法在溢流前迅速停止传输或将切换流量，使该公司的安全方案大打折扣;储罐装备不良，液位监测和控制系统或高液位报警系统不可靠;储罐未配备独立的高液位报警系统;储罐未配备自动防溢流系统;围堰阀门系统的设计缺陷，很难判断阀位开关情况;罐区内光线不足使操作员无法观测到409号储罐的溢流情况及后来形成的蒸气云。

编译自美国化学品安全与危害调查委员会官方资料

编辑  郁振山

推荐访问： 加勒比 美国 火灾 爆炸事故 储罐