原标题：北海LNG"11.2"事故追踪：仪表工程师到底冤不冤
来源：化工客栈（微号：Chemical-Inn） 闫长岭
2020 年 11 月 2 日 11 时 45 分许，位于广西壮族自治区北海市铁山港工业区的中石化北海液化天然气有限责任公司在实施二期工程项目贫富液同时装车工程施工时发生着火事故，截止12月2日，事故造成7人死亡，2人重伤，直接经济损失2029.30 万元。
2021年3月26日，广西壮族自治区应急管理厅官网公布《北海液化天然气有限责任公司“11·2”较大着火事故调查报告》。 调查报告公布后，可谓一石激起千层浪，引起了大量专家和工程师的热烈争论，占据了群聊热榜，那么那天发生的事实真相到底是什么？调查报告揭示的其实并不全面，甚至一些关键的细节也被遗漏。现在看来真相已越来越模糊，在不了解事实真相的情况下，我们所有的讨论和争议，都是基于个人的猜测和臆断，但是正像古人说的:"往者不可谏，来者犹可追"，事故的发生已经无法弥补了，我们所能做的就是剥开事故的重重迷雾，尝试着去发现被我们忽视的细节原因，以供后来者可以借鉴的教训。我想这也是本篇文章的最大意义之所在。 我写本篇文章的原则是以官方的调查报告为基石，以相关的标准规范为参考，基于自己的经验来浅析一下事故的经验教训，结合自己的合理猜测，去最大程度的还原事实真相！
本文中的截图全部来自调查报告原文，下面开始进入正题。 管道在动火切割之前首先要进行隔离，隔离方法按照标准的要求是需要采用盲板进行物理隔离的，盲板隔离的目的就是为了防止阀门内漏物料流出。追求的是本质安全。而在本案例中显然并没有采用盲板隔离，而是利用阀门进行隔离，这就成为了蝴蝶效应的第一个因素，此后发生的一系列事件都是缘于这个操作。 用阀门进行隔离，虽然原则上不允许，但是如果实际情况无法安装盲板，比如阀门采用的是焊接方式，没有法兰。这种状况就无法安装盲板，关闭阀门就是唯一的隔离措施，如果此管道采用的阀门是机械式闸板阀倒也没啥问题，依靠闸板也可以实现密封，即使有内漏，也可以充氮保持微正压环境下作业。但是北海LNG储罐采用的是带联锁的SIS系统切断阀。由于具有联锁功能，所以该切断阀的动作途径多样，可以现场操作，也可以后台远程操作，执行机构的异常也可以引起阀门动作，这样的话，如何在作业期间保持阀门的持续关闭，就成了一个比较棘手的问题。这成为了蝴蝶效应的第二个因素，事故的爆发正是出现在这个环节。其实LNG储罐采用紧急切断阀并且进入SIS系统，这也是LNG储罐的设计惯例，标准规范也是这么要求的，SIL等级应该也是符合的。但前提是初始设计这个紧急切断阀的时候，是没有考虑切断阀阀前会有分支管线的，无论是设计阶段的HAZOP分析、SIL评估等显然都没有将阀前的分支管线考虑在内。当然如果该切断阀在动火作业期间能做到可靠的隔离也无可厚非，但问题恰恰出在隔离措施并不可靠，这也是广大业界专家们一直质疑和争论的焦点因素，此处暂时埋个伏笔，下文会详细揭秘！ 根据调查报告的显示，厂区运营人员提前把罐顶的阀门和紧急切断阀已经关闭了，然后开始进行排凝，吹扫和置换，目的就是把易燃物料彻底清理干净，为后续的动火作业提供一个安全的环境。这里面有个关键的因素，就是这个紧急切断阀到底是通过什么途径关闭的，报告并未提及。根据后来发生的事情来看，第一次关闭的方式非常关键，调查报告居然忽视了这个细节，我觉得这是不应该的。无关紧要的细节可以忽略，但与事故攸关的操作绝不应该忽略。虽然切断阀的关闭途径不得而知，但可以肯定的是，这个切断阀关闭的并不彻底，结合报告披露的细节来看，这个紧急切断阀的动力源并没有关闭，DCS的电气回路也没有切断，现场的操作柱也没有切断。也就是说，这个处于关闭状态的切断阀随时有重新开启的可能，所以在后续动火作业的时候才着急去做切断阀的强置作业，所谓的强置，就是强行置位，就是通过人工干预调整切断阀的状态，使其一直保持在开或关的状态，保位期间，除非通过后台的工程师站解锁，否则外界是无法对切断阀进行操作的。 那么为什么不在前期吹扫置换的阶段直接一次性关闭切断阀并强置呢？调查报告显示，2020年10月26日开始关闭罐前切断阀（0301-XV-2001）和罐顶相关阀门，且随后对这段封闭管道进行排凝、置换和吹扫，一直到11月2日才开始对该段管道进行切割甩头作业，这中间整整有6天的间隔时间，在这6天的时间里，完全可以随时对切断阀（0301-XV-2001）进行强置操作，根本没必要非得等到和动火切割作业安排在同一天进行，那么问题就出来了，北海LNG公司为什么要把动火作业许可和仪表联锁强置安排在同一天进行呢？我们在调查报告里好像找不到相关解释，但是在调查报告第17页有这么一段话： 大家如果仔细看的话，在中石化十建和广州院制定的施工方案标题带有“贫富液”，而北海LNG制定的方案中只有“富液”两个字，在这里稍微解释一下什么是贫富液，在LNG接收站中，由于LNG原产地以及工艺的不同，造成LNG产品中组分差异很大，LNG生产工艺中要用胺液脱除天然气中二氧化碳，一般把吸收了二氧化碳的胺液叫富液，解析了二氧化碳后的胺液叫贫液。二氧化碳解析后，甲烷纯度就高多了，所以这里的贫富液，贫富的不是甲烷，而是二氧化碳。在《GB/T 38753-2020 液化天然气》标准中，将甲烷含量在97.5%以上的称为贫液，将含量在75%~86%之间的称为富液。原则上标准要求贫富液是需要分罐各自储存的，但是由于场地受限，原产地多样化，以及经济因素等，一般LNG接收站都是进行贫富液混合储存，降低运营成本。由于北海LNG公司在一期项目中主要运营贫液LNG，并不涉及富液LNG。所以这也是本次的北海LNG贫富液同时装车改造的背景原因。 继续回到主题，在北海LNG制定的《储罐富液管线安装阀门泄露测试与动火施工工艺隔离方案》是专门针对本次贫富液改造中管道甩头所制定的特定方案，结合上述截图的最后一句话，可知北海LNG公司制定的方案中，对现场管道的动火作业，工艺隔离的措施就是联锁屏蔽，也就是上文中讲到的联锁强置作业。根据调查报告中的附图（用火作业程序和联锁屏蔽程序的工作流程），可知用火作业程序比较关键的环节都是由承包商和监理完成的，而联锁屏蔽程序主要是由检维修中心的仪表工程师来具体实施，最后二者通过工艺工程师对承包商施工负责人进行工艺告知和技术交底，这里请注意，工作流程图中，有一个关键的先后顺序，就是仪表工程师在工作站进行连锁屏蔽作业完成后，工艺工程师才能对施工单位负责人进行告知和技术交底，显然后续事故的发展是严重违反了这个工作流程的。 我们再次回到初始阶段，根据北海LNG制定的《储罐富液管线安装阀门泄露测试与动火施工工艺隔离方案》，那么在管道的排凝、置换和吹扫阶段，因为不涉及到用火作业许可，所以也不需要承包商和检维修中心的参与，自然仪表联锁屏蔽也就不可能提前实施。那么可能有的人会问了：这么重要关键的操作，为什么就忽视了呢，如果能提前及时对切断阀进行强置屏蔽，事故就可以避免了吧？我们之所以会觉得这个操作很关键，那是因为开了天眼，站在上帝视角以后果来往前追溯的，而对于当时的工艺运行人员来说，这个强置操作并没有那么重要，因为切断阀目前已经处于关闭状态了，而所谓的强置无非就是工程师在后台给出一个信号而已，我负责关灯，你负责拉闸，仅此而已！上述两段文字基本上能解释为什么不在初始阶段（第一次关阀）对切断阀进行强置屏蔽，而把强置操作放到了用火作业的那一天。 我们继续往下进行，把时针拨回到2020年11月2日，关于那一天发生的事情，调查报告的细节已经非常到位了，在这里我只对一些关键事件进行分别论述，如下： 在现场用火作业施工之前，是必须要进行气体检测的，9点30分，第一次气体检测结果LEL为9.36%，合格标准为10%以下，这里勉强合格，但不是很保险，所以还需要继续进行吹扫，让LEL含量更低，由于部门领导10点要开例行会，在企业待过的都知道，例行会时间比较长，一般30~60分钟，所以为了不耽误现场作业，领导是先签了字，并且交代了再次吹扫并汇报！这种现象虽然违反了作业票签订流程，但是领导交代了二次汇报，所以实质上并非处于放任不管的状态。这里有个细节提及一下，领导们都去开会之后，现场留下来的人员没有一个是仪表相关的人员，所以后续的动火作业仪表工程师们是不知情的，这点很重要！ 到了11点的时候，经过近一个小时的吹扫，二次气体检测，LEL为3.82%，显然结果令人满意，采样负责人签字。具体有没有按领导交代的进行二次汇报，不得而知，但此时这个问题已经不重要了。11点14分作业票全部签署完毕，到了11点20分管道靠近罐体一侧已经切割完毕，一道管口用了几分钟就切割完毕，看来速度还是比较快的。那么我们盲猜一下，到了11点30分的时候，两道口大概率是全部切割完毕了（我为什么要进行这个猜测，是因为调查报告自始至终都没有提到第二道管口的切割事宜，而在事故发生后的现场照片里，显然能看到两道口已经全部切割完毕了，要不然大量的LNG不会迅速喷涌而出，发生大面积着火）。 探讨完了用火作业票的审批，我们接着探讨仪表联锁作业票的审批过程，根据调查报告的披露，直到11点30分，相关领导才询问仪表联锁作业票的执行情况，那么为什么直到11点30分才开始催促仪表联锁作业的执行情况呢，为什么不和用火作业票同时进行呢？还是先回到北海LNG公司制动的隔离方案，依照隔离方案的工作流程，是需要仪表联锁先执行完毕的情况下，才可以进行后续的动火施工，换句话说，仪表联锁在未执行的情况下，现场是不允许动火作业的，所以仪表联锁作业票可以早点办，当然晚点办也没事，如果严格按照流程来的话。 其次本次改造项目的现场施工主导应该是承包商中石化十建，仪表联锁屏蔽工作只是为这个改造项目进行配合协助，从地位上来讲，仪表工作处于附属地位，这就导致仪表工程师们在执行仪表联锁屏蔽工作上，其主动性在很大程度上是要打折扣的。我们在实际工作中应该有体会，当某部门主导的工程项目需要另外一个独立部门给予必要的协助时，一般这种协助并不会很及时，原因大家都懂，这里不再多说，除非成立一个独立的联合项目部。关于这点在调查报告中第35页中有明确提及。 无论上述的猜测是否符合事实，但有一点可以确信：仪表联锁的流程作业和用火作业并非无缝衔接，而是各自做着各自的事情，你走你的阳关道，我过我的独木桥，相互之间没有进行信息进度共享。也就是说，从上午8时到11时30分之间，用火作业票的审批和仪表联锁的审批都是在互不知情的情况下各自独立办理的，直到11时30分，工艺工程师（工艺隔离现场负责人，唯一能全面了解实际状况的）用对讲机呼叫设备管理人员，才真正启动了二者之间的联动机制，只可惜已经太迟了。 从11时30分到11时44分事故爆发，在这短短十几分钟的时间内，一些列的操作终于将事故隐患变成了现实，犹如失控的过山车一样，彻底滑向了万劫不复的深渊。11:37 调度安排仪表工程师办理连锁作业票签字；
11:40 两次催促仪表工程师办理连锁作业票签字；
11:44 仪表工程师在作业票未签字的情况下，独自操作SIS系统；
11:45 由于操作失误，截断阀（0301-XV-2001）开启，LNG喷射而出，平台大面积着火，事故爆发。
这里先解释一下前两个事件，为什么会一再催促去办理联锁作业票，因为现场管道切割完成的信息已经传到了工艺和调度负责人，而此时仪表联锁作业还未进行，这已经违反了作业流程，所幸并未出现意外，此时更需要及时迅速地实现切断阀的强置，以免人员对切断阀进行误操作而造成物料泄露（因为管道已经切割，此时泄露出来更危险！）所以工艺和调度一再催促仪表工程师去办理联锁强置作业票。 继续第三个事件，仪表工程师为什么这么大胆，在作业票未进行后续的审签、确认等流程，径自一人进行SIS联锁强置呢？我们先看调查报告的详细描述： 文中有一句话“宋朋远催促赖晓林赶快办理”，这次第二次催促办理作业票，然而赖却并没有立即去办理作业票签字，而是径自进入工程师站，在作业票签字未完成的情况下，开始独自操作SIS系统，以至于酿成事故。如果操作成功，顺利强置的话，倒也无大碍，先斩后奏，后补签字即可。不成想操作失误，导致7人死亡，这里赖是要负主要责任的。至于为什么要采用这种先斩后奏式的流程呢？个人推测原因有三，第一，现场确实有很大的安全风险（上文已经说了），需要及时地将切断阀强置，第二，本来仪表办理作业票就已经滞后了，跟不上现场的进度，上级领导如果追问的话，难辞其咎，这个时候赶紧去做完这个流程，可以补过，第三，这个点已经是11时40多了，如果按照流程需要两级领导签字确认，中午领导们也是要吃饭休息的，这样流程走下来至少半小时以上，夜长梦多，时间上已经等不及了。所以赖做了一个大胆的决定，先直接进行联锁强置，从本质上保护现场安全。 最后一个问题，也是各种群里争议最大的问题，明明是想让切断阀关闭的强置操作，为什么最后切断阀反而开启了？我查阅了相关技术资料，总结出了三个可能的原因，列举如下，以供大家评论：
（1）仪表工程师犯了一个不该犯的低级错误，按错了按钮或给错了信号； （2）紧急切断阀的逻辑回路存在设计缺陷，在逻辑组态中，一般用0表示阀门关闭，用1表示阀门开启。阀门的开启与关闭，对于控制系统来说，都是输出信号，你想阀门动作，必须要系统给予信号输出。输出的信号首先通过逻辑控制器进行逻辑运算，根据设计的运算方法得出一个结果信号，结果信号再传递至触发器，由触发器对阀门执行机构发送信号，关闭或开启阀门。本案例中由于逻辑运算的设计缺陷，导致仪表工程师给出的关闭信号在经过一系列运算后，结果输出为1，阀门开启。 （3）紧急切断阀的气动执行机构和弹簧复位状态功能异常，导致执行机构在断电状态下或其他状态下，产生异常动作，从而自动将阀门开启。 上述三项内容是我列举出来的可能原因，但是如果需要进一步筛选的话，那么第（2）项和第（3）项大概率是被否定的，为什么这么说呢？依据调查报告的披露，本次TK-02储罐的低压泵出口管线甩头作业是第三次甩头作业，前两次甩头作业分别是TK-01储罐的低压泵出口管线（2020年8月14日）和TK-03储罐的低压泵出口管线（2020年10月20日），这三个储罐的SIS切断阀应该是同样的产品设计和逻辑模式，那么在前两次的作业中，对切断阀的联锁强置作业并没有出现任何问题，而在第三次作业的时候，却失败了？显然这并非系统的设计缺陷，只能是第三次的操作出现了异常，也就是上述原因中的第（1）项，仪表工程师操作失误。 另外反过来说，如果事故原因是第（2）项或第（3）项的话，那么调查报告中绝对不会对仪表工程师个人采取司法强制措施，因为设备故障造成的事故，调查报告肯定会有追溯的。 事故的发生从来都不是偶然的，而是偶然中蕴含着必然。只不过这种必然是深藏不漏的，并不会被外界轻易认知。等到这些必然性被我们认知的时候，都是事故发生之后的事了。所以最后我们总是遗憾地反思，如果当初那样做就好了，如果能遵守规范就好了，如果不违反规定就好了，如果.......，我们的一连串疑问都是基于结果的逆向思维而发出的，这种以结果为导向的安全思维深深地影响着我们，假使仪表工程师最后操作成功，现场甩头施工圆满完成，那么此前的所有违章作业、签票不及时、安全风险管控不到位、施工组织不严密等等都不再是问题。在以结果为导向的安全思维下，只要结果是完美的，那么没有人会在意过程是否违章。反之以过程为导向的安全思维，是把作业中的每一个过程都当成安全管理的重点，这也是最近几年来比较火热的过程安全管理（PSM）的理念，PSM理念起源于上世纪80年代的西方国家，直到近几年来国内才开始积极推行化工过程安全管理的理念，毕竟最近几年来，陆续发生了黄岛“11.22”特大事故、大连“7.16”事故、厦门腾龙“4.6”事故等等，国家也开始意识到加强过程安全管理的重要性了。 北海LNG“11.2”事故到底给我们带来了哪些警示呢，LNG相关的企业到底该怎么做才能避免事故的再次发生呢？我想说的只有四个重点： （1）管道隔离优先选用盲板来进行物理隔离，无法插拔盲板的话，可以用阀门隔离，但阀门关闭后一定要移除能量源，并标签上锁。 （2）由多部门参与的改造类作业，最好成立一个联合项目部，制定项目部负责人，授权其实施调度+指挥相关人员和部门。 （3）紧急切断阀的现场操作和后台控制系统需要进行优化设计，设计的理念之一就是保证现场操作有最高优先级。 （4）项目在初始设计阶段，一定要充分论证、研讨后期扩能改造的需要，并在设计阶段进行优化，满足后续扩能改造的能力。 北海LNG"11.2"事故是LNG行业一个典型的事故案例，也是化工过程安全管理的一个现实教材，他将和英国邦斯菲尔德"12.11"事故、印度博帕尔"12.3"事故一并构成过程安全管理的三大经典案例。 文末总结：本篇文章是我在事故调查报告的基础上进行展开解说的，文中的大部分观点都是缘于个人观点的表达，不保证与事实完全契合。所有的反驳和批评，本人诚恳接受！至于仪表工程师到底冤不冤，仁者见仁智者见智，留给大家评说吧！来源：化工客栈（微号：Chemical-Inn） 闫长岭