4_英国邦斯菲尔德油库爆炸事故调查总结报告
英国邦斯菲尔德地区油库火灾爆炸事故
调查总结报告
1.前言
2005 年12月11日凌晨位于伦敦的东北部的邦斯菲尔德油库由于充装过量发生泄漏，并最终引发爆炸和持续60多小时的大火，事故摧毁了20个储罐，造成43人受伤和高达
8.94亿英镑（相当于101亿人民币）的经济损失，是英国和欧洲迄今为止遭遇的最大火灾。
2006年1 月成立的独立的事故调查委员会，自2006年2 月21日发布第一份调查报告以来，一共公布了9份报告，直到2008年7月才宣布调查结束。委员会进行了深入而全面的调查，事故的完整过程和和深层原因被逐步揭示，整个工业界都在反思调查结果，以从中吸取教训。
本文通过对事故调查报告的分析与总结，提出可供国内油气储运企业借鉴的经验，以方便企业对自身进行检查，或者依据检查结果采取进一步的风险管理措施。
风险管理已经被世界上很多能源产业公司所接受和认可，尤其是在石油化工、电力、核电、化工工业等高风险的行业都有很好的实践和应用。风险管理是一个系统化的方法和理论，它包括各种不同的风险管理手段，本文所涉及到的风险管理手段只是整个风险管理体系中的一部分，关于的它的详细内容可以参照Scandpower风险管理中国公司的其他报告，本文不作进一步的深入介绍。
2.英文缩写
本文中用到了多处英文缩写，其完整表达如下（按文中出现的顺序）：
HOSL AH HertfoudshireOilStorageLimited ControlofMajorAccidentHazardsRegulations
哈福德郡储油XX
重大危险源控制法案
BPA BritishPipelineAgencyLimited 英国管道运营公司
BP BritishPetroleumLimited 英国石油公司
UKOP UKOilPipelinesLtd 英国石油管道公司
ATG AutomaticTankGauging 储罐测量监控系统
SIL SafetyIntegrityLevel 安全完整性等级
QRA QuantitativeRiskAssessment 量化风险评价
3.邦斯菲尔德地区介绍
3.1区域布置
邦斯菲尔德地区是一个大型的油料储存区，位于伦敦的东北部，某种意义上具备战略储备油库的功能。该地区存在有多家储油公司，是依照原有的英国健康安全署土地规划法发展起来的，这部方案按照已建设危险源为起点，不断向往扩展安全距离，并规定在不同的安全距离内允许被规划的土地使用。因为工厂只被允许在最小的安全距离内发
展，这使得先后发展的多家储油公司基本上毗邻建设，甚至互相渗透，形成今天邦斯菲尔德地区独特的油库地区现状。
整个油库地区夹在樱桃树路（CherrytreeLane）和邦斯菲尔德路（BuncefieldLane）之间，北部、东部和南部均为农田，在西部和班得瑞大道（Boundary Way）之间分布有大量的公司和民房（在事故中遭到严重破坏），距离西部的外围墙在120m左右（英国健康安全署按规定可以规划民房的最近距离）。图3-1展示了油库地区的周边情况。
事故池消防泵房A罐区
樱桃树路#12班
得
瑞
大
道绿化带民房Fuji 公司
围墙
#912
应急发
电机房
Northgate
公司
邦
斯
菲
尔
德
3路
公司
RO
事故池公司
B罐区图3-1:邦斯菲尔德库区区域布置图
3.2平面布置
哈福德郡储油XX（HOSL），是道达尔英国公司和德士古石油公司合资经营的。
HOSL 分为西区和东区两个区，西区就是本次事故的发源地以及大火的中心，它分布有
A、B、C、D四个罐区。HOSL 被批准的最大储存量是34000吨车用燃料和15000 吨煤油。
依据重大危险源控制法案（AH）要求的安全评估报告在事故发生时正在进程中，还未完成。
英国管道运行公司（BPA）是由壳牌和英国石油公司（BP）负责运营的管道公司，但它所管理的管道资产属于英国石油管道公司（UKOP）。BPA 在邦斯菲尔德地区的油库被一条小路（樱桃树路，CherryTreeLane）分割为两个部分，分别是路北边的北区和
南边的主区，都几乎被摧毁在大火中。BPA被批准储存70000吨车用燃料和其他油品。
AH要求的安全评估报告已经完成。
英国石油公司（BP）的储罐位于整个邦斯费尔迪库区的南部，由于距离HOSL西区最远得以在这场大火中幸免。BP被允许储存75000吨车用燃料和来自BPA的所有油品。
AH要求的安全评估报告已经完成。图3.2显示各个区域的相互关系。
整个邦斯菲尔德库区通过三条独立的输油管线输送油料，分别是：
? 10英寸的Finalline，首站在道达尔的Lindsey炼厂，末站在HOSL西区；
? 10英寸的M/B管线，首站在壳牌的Stanlow炼厂，末站在BPA北区；
? 14英寸的T/K管线，首站来自壳牌的码头和Coryton炼厂，末站在BPA主区。
三条管道均采用分批次顺序输送的方式进行输送，混油返回炼厂重新炼制或者直接混入低品位油罐。油料到达HOSL后按不同种类储存在相应的的储罐，表3.-1显示了发生事故的HOSL西区各罐区的储存情况。
车用燃料主要由HOSL西区、BP 和很少的一部分从BPA用油罐车运输出邦斯菲尔德库区，航空煤油依靠一条6英寸和一条8英寸的管道从BPA 输送至伦敦机场，图3-3 显示了各个管线的相互关系。
3.3主要安全设施和事故相关设施
3.3.1 储罐测量监控系统（Automatic TankGauging，ATG）
#912储罐安装有ATG系统，这是一个储罐的监测和控制系统。ATG可以监控储罐液位、温度和阀门状态，并可以实现远程控制。同时ATG系统还可以接受来自系统外部的报警信号并进行相应的动作。对于所监控的数据，包括异常事件和阀门状态均会被保存数月。
ATG 系统前端包括一个安装在罐顶的伺服液位计和和安装在底部的热电偶温度计，测量数据被传送到ATG，HOSL所有的储罐的液位和温度数据均接入ATG，由操作人员在控制室通过ATG进行日常作业。图3-4显示了ATG系统的组件和安装位置。
3.3.2 液位超限报警装置
#912 储罐在顶部安装有一个独立的液位超限报警装置（安全仪表系统），当储罐液位达到极限位置（实现设定）后该装置将向控制室发出声光报警并同时自动关闭储罐的进料阀门，同时报警信号还会传向上游的BPA控制室，这时BPA将关闭通向西区的进油主管线。
西区控制室还有一个优先选择开关可以阻止西区的关断信号传向BPA，当优先选择开关被确定为阻止时，会在控制面板上亮起一个红色的警示灯。
3.3.3 通气孔
#912储罐在顶部设置有8 个0.07m2的三角形通气孔，一是为浮盘上方的油气提供足够的与外界大气流通的面积；二是在事故状态下起到油品溢流作用。
3.3.4 消防水折流板
#912 储罐罐顶的外延设计有一圈消防水折流板，折流板的设计意图是为了让罐顶的消防喷淋装置喷出的消防水可以程瀑布状流下，以最大程度的覆盖罐体；同时也在高温天气用来冷却罐体温度。图3-5显示了折流板的安装位置和外观。
3.3.5 防风梁
#912 储罐的罐体中部有一个防风梁的结构设计，设计的目的是为了抵御来在罐体侧面的风载荷，但它会在罐体的外部形成一个突起，图3-5显示了防风梁在罐体的位置和外观。
3.3.6 防火堤
#912 储罐所在的A罐区（类似与其他罐区），设计有防火堤，防火堤的设计容量是罐区内最大容量储罐的110%，同时防火堤设计有雨水排出口。防火堤上存在管道的穿越现象。
HOSL 消
防泵房BPA #12罐
B
P
A 事故
池
HOSL 事
故池HOSL西区A 罐区
HOSL西区B 罐区壳牌
BP HOSL西区BPA HOSL东区
HOSL 西
区C罐区
HOSL 东
区事故池
BP罐区
图3-2:邦斯菲尔德库区平面示意图
T/K管线
Finaline管线
M/B管线
Finaline管线计量区
航空煤油外输管线
M/B管线计量区T/K管线计量区
图3-3: HOSL库区来料管线示意图
8个通气孔检查窗
伺服液位计
独立的液位安
全仪表装置
探测竖井
内浮顶
液位传感器
检查孔
滑动密封
热电偶
温度计
图3-4:#912储罐结构示意图
通气孔
消防水折流板
防风梁
图3-5:#912储罐外部
表3-1: HOSL西区储存情况列表
罐区储罐编号介质进料管线
A 910汽油T/K
A 912 汽油T/K
A 915 汽油Finalline
B 911
汽油Finalline B 913 柴油
B 914 柴油
B916 柴油
C 901 汽油T/K C 902
汽油T/K C 903汽油T/K C 904 汽油T/K
C 905 汽油T/K
D 906 混油
D 907 混油
D 908 柴油
D 909混油
4.事故调查总结
4.1事故发生经过
2005 年12月10日19时，HOSL西区A罐区的#912储罐照生产计划开始接受来自于T/K管线的无铅汽油，输送速度为550m3/h。
2005年12月11日0时，该批次输送结束，并开始进行例行的液位检查。
2005年12月11日1时30分，例行检查结束，一切正常，继续向#912储罐输送。
2005年12月11日1时3时左右，ATG的液位数据停止变化，至事故发生时一直显
示储罐液位在大约2/3处。由于ATG的数据一直没有发生变化，因此和ATG相联的警报系统一直没有动作，致使充装一直继续。
2005年12月11日5时20分左右，按照当时的充装速度和#912储罐容量，储罐已经
完全充满。
2005年12月11日5时20分左右，#912储罐上安装的独立液位超限报警装置未动作，充装继续，导致汽油开始从罐顶的通气孔向外溢出。
2005年12月11日5时38分左右，溢出的汽油开始在A罐区内由#912储罐位置向西蔓延，从视频和目击者反映的证据显示，当时的蒸汽云厚度已经达到了大致1m。
2005 年12月11日5时46分左右，液态的汽油开始从A罐区的围堰内溢出，蒸汽云的厚度达到了2m。
2005年12月11日5时50分，蒸汽云扩散到Northgate公司和Fuji公司的停车场。
2005年12月11日5时54分，由于通往金斯顿地区的阀门关闭，T/K管线输向#912
储罐的流量由550 m3/h增加到890 m3/h，溢油进一步扩大。
2005年12月11日6时01分32秒，当地的地震记录仪记录到了最大的一次爆炸，随后又发生了多次爆炸以及持续的大火。
图4-1显示了事故发生过程的主要事件，图4-2显示了蒸汽云扩散过程。
图4-1:事故发生过程
1228
4-2:Northgate
4.2爆炸发生时的安全设施及相关设施状态
事故发生时的三条管线状态如下：
? Finaline管线以220 m3/h向A罐区的#915储罐输送汽油；
? M/B管线以400 m3/h向D罐区的#908储罐输送柴油；
? T/K管线以890 m3/h向A罐区的#912储罐输送汽油。
ATG系统的数据显示，爆炸发生时#912储罐的进口阀处于打开状态，液位处于2/3 处，温度数据3时开始一直处于上升状态。
液位超限报警装置未发出任何报警动作，BPA的控制室SCADA系统未接到自该系统的报警信号。
4.3事故后果
4.3.1 爆炸
最大的爆炸发生在西库区、Fuji公司和Northgate公司之间的X围内。在第一次爆炸发生时，蒸汽云向西已经扩散到了班得瑞路，向西北已经达到凯瑟琳家房屋的东南角，向北超过了英国管道公司的#12罐，向南越过了整个罐区但还未达到HOSL西区的装油平台，向东达到了英国管道公司的办公室。在富士和Northgate的停车场处产生的超压达到7-10MPa，在2km的地方衰减到70-100Kpa。图4-3显示了通过事故现场的破坏程度确认的超压分布X围，图4-4 显示了超压在空间内的传播以及形成的二次超压传播方向。
第一次爆炸产生的闪火X围大致有8000m2，图4-5显示了通过现场被烧过痕迹确定的闪火的影响X围。
在第一爆炸发生后随后的多次本证实是空罐或者浮顶罐上部空隙发生的爆炸。事后在Northgate的停车场发现了#910储罐的罐顶，当时该储罐处于停用状态，说明在罐体内部发生了爆炸。
消防泵房内发生过一次爆炸，数据显示在爆炸发生前火警启动了消防泵，可能是启动引燃了可燃气体。
备用发电机房发生过一次爆炸，可燃气体可能通过柴油发电机的进气口进入了室内，室内设置的一台温控加热器如果开始加热，在电路系统中的任何一个火星都有可能点燃可燃气体。
4.3.2 火灾
持续的大火燃烧了60多个小时，烧毁了20余座储罐，烟尘和大火形成了高达60m 的火柱，大火烧毁了防火堤的密封剂和防水剂，穿越防火堤的管线与防火堤之间的密封也为破坏，导致大量的油料流出，加剧了火势的蔓延。
图4-6中第一X和第二X图片为被爆炸破坏后的周边建筑，图4-7显示了被破坏的防火堤，图4-8显示了事故后的库区全景。
图4-3:爆炸产生的超压分布
注：红色为一次超压，蓝色为二次超压
图4-4:爆炸产生的超压传播方向
周边建筑物邦斯菲尔德油库X围
事故区
闪火影响X围
图4-5:爆炸产生的闪火影响X围图4-6:事故后现场及周边
图4-7:被大火破坏的防护堤
图4-8:事故后罐区全景
5.事故原因分析
5.1溢油的发生
从ATG系统记录的数据来看，自11 时3时#912储罐的液位数据不再发生变化，大概停止在储罐2/3液位处，这直接导致控制室对#912储罐液位失去有效的检测并获得错误的数据，使ATG系统一直允许向#912储罐充装直至开始溢油，甚至只要不发生爆炸允许一直充装西区。
BPA的SCADA系统显示事故发生时并没有接到来自西区的液位超限报警信号，通过模拟一个超限报警信号，证明通向BPA的线路以及系统均是正常的，但是启动优先选择开关，发现并不引发声光报警，但可以阻止信号向BPA控制室传送。
由于超限报警器以及系统的供电电缆已经被毁坏了，无法判断究竟是哪一部分发生了故障。但可以肯定液位超限报警装置（安全仪表系统）在#912 储罐达到警戒液位后，未进行报警动作，导致#912 储罐在已经开始溢油后，控制室仍然继续向储罐充装直到爆炸发生。
据管理资料显示超限报警器在事故发生前不久才被安装完毕，可能并没有被调试正确，而且通过事后对同类产品的调研，该报警装置的正确运行完全取决一个核心传感器在储罐内是否被正确安装。
5.2蒸汽云的形成
#912 储罐的内浮顶有多处只需要很小的背压就可以穿透的潜在泄漏点，比如伺服液位计探测竖井的环形密封，检查孔的密封等，使得汽油从这些地方溢出储罐并通过罐顶通气孔开始向外泄漏。
在汽油开始从罐顶向往溢流后，有三个主要原因加剧了蒸汽云的形成：
? 罐顶外延的折流板阻碍了汽油的向下流动从而形成一个瀑布状的流动形态；
? 罐体中部的防风梁第二次阻碍了汽油的向下流动从而再次形成一个瀑布；
? 罐体底部的防火堤内形成一个大面积的液池；
? 溢流出防火堤的汽油形成更大面积的液池。
以上这些原因均导致了汽油的充分挥发并与空气混合，图5-1显示了可燃蒸汽云的加速形成过程。
通气孔
折流板
防风梁
形成的瀑布加剧了汽油的挥发，
并与空气混合形成可燃蒸汽云
在防火堤内形成的大面积液池，
由于增大了传热面积，也加剧了
防火堤汽油的挥发并与空气混合
形成可燃蒸汽云
图5-1:可燃蒸汽云的形成过程
5.3点火源
事故后证明是HOSL 西区西门外的一位员工违规发动了汽车发动机，排气孔产生的火星点燃了可燃蒸汽云，同时应急发电机房和消防泵房内的爆炸可能是由于非防爆电器引起的。
5.4防火堤的失效
在发生大面积长时间的池火后，导致防火堤本身的多处结构耐火等级是不够的，包括防火堤的密封剂、防火堤排水口启闭设施、防火堤上穿管的密封剂等等，甚至防火堤本身不能抵御如此长时间的大火。防火堤的失效导致燃烧的油料四处蔓延，将火势进一步扩大。
同时防火堤本身的容积并不能容纳如此大量的溢油，在着火前汽油已经满溢出了防火堤并随地形向低处聚集，这导致第一次爆炸发生时产生了更大面积的可燃蒸汽云和可能被引燃X围。
5.5区域布置与平面布置的不足
邦斯菲尔德地区的区域布置使用以往的距离防X体系，图5-2显示了在该体系下建立的3个不同的风险等级区域。在最外层的低风险区域（距离外墙185m）之外，发展任何的土地使用都将被允许。在高风险区只被允许建设工厂，在中风险区将被允许发展第三方的非生产性建筑以及民宅。
但在这次事故中，按照该体系建立的中风险区域的建筑物遭到严重破坏，说明以往的分析方法是存在潜在风险的，这也直径导致这次事故的波及X围被扩大。
事故中备用发电机房和消防泵房几乎在爆炸发生后马上遭到破坏，同时HOSL西区和BPA的大部分储罐全部被破坏，这反映出平面布置反面的一些不足，导致设计的事故抑制手段不能发生效用，同时更易发生多米诺效应，造成事故的不多扩大。
5.6应急准备方面的不足
库区以及当地的消防和其他应急组织在准备应急计划时，只设计了储罐泄漏后形成池火事故和装油区泄漏的形成小X围可燃蒸汽云爆炸事故，这导致事故发生时虽然有及时的应急响应，却没有对应的应急计划去执行，也没有针对性的应急资源。消防部门基本没有进行有效的扑救，而只是等待大火自行消灭并只对可能波及到X围进行疏散。5.7排水系统缺陷
排水系统的设计并没有考虑到如此大面积泄漏，因此不但灭火后的消防废液处理没有达到控制，同时溢出防火堤的汽油也通过排水系统进行了扩散。