BP“3.23”事故调查处理

BP公司“3.23”爆炸事故调查前言

2005年3月23日下午1时20分，BP公司的德克萨斯炼油厂异构化装置的抽余液分馏塔开车过程中，分馏塔进料过多，安全阀打开，可燃液体进入放空罐，并从放空烟囱涌出后被引爆，事故造成15人死亡，180人受伤，距离德克萨斯炼油厂0.75英里外的房屋被破坏，经济损失超过15亿美元。这是美国近二十多年最严重的事故，OSHA以BP公司故意违反301条规定罚款2130万美元。事故调查经过2005年3月23日事故发生炼油厂经理致员工的信CSB成立事故调查组BP总裁见新闻媒体BP成立事故调查组CSB发布事故调查报告BP发布最终调查报告BP北美公司公布整改措施13月24日23月26日35月12日412月9日62007年1月16日7独立安全评估小组发布报告成立独立安全评估小组10月24日5BP发布初步调查报告3月23日8CSB发布事故分析片2008年3月21日9主要内容一、事故经过

（一）基本情况（二）发生过程二、事故分析

（一）证据收集（二）证据分析（三）原因确定三、改进措施

异构化装置及周边装置平面布置图异构化装置平面布置图异构化装置分馏系统流程图分馏塔放空系统流程图分馏塔放空系统班次人员基本情况22日夜班操作工A23日凌晨进行开车操作。23日白班班长120年ISOM工作经验。班长2无ISOM工作经验，主要工作协调装置检修工作。内操6年内操工作经验，参加了过去5年4次开车。操作工B15年ISOM工作经验，9年内操，6年外操，当天主要工作是协调检修，培训实习生，完成检修资料存档。操作工C15年ISOM工作经验，无内操经验。操作工D2004.7从制氢气装置调入，2004.10.25，上岗。操作工E大学毕业，实习生，化工专业，进行岗位培训。操作工F大学毕业，实习生，化工专业，进行岗位培训。（二）发生过程（二）发生过程（二）发生过程（二）发生过程事故前俯视照片事故后俯视照片应急反应组迅速做出反应，展开了搜索和营救工作。13：45，请求和动员了地方应急和救援小组。14：45，抽余液分馏塔进料因为电源中断而停止。火势在两小时后得到控制，受伤人员得到妥善的安排或送到了当地的医院。16：44，地方救援小组离开。23：00，找到最后一具尸体。事故共造成15人死亡（J.E.Merit移动板房12人，QA/QC移动板房3人），66人受伤比较重（其中14人属于BP公司，其他52人来自13个公司），114人受伤比较轻（其中35人属于BP公司，其他79人来自14个公司），没有一个承包商人员是异构化装置开车必须要到场的，异构化装置破坏严重，异构化装置附近的约70辆汽车损坏，超过40辆移动板房损坏，其中13辆完全破坏，50个储罐遭到不同程度的破坏，附近建筑物的门窗墙也有一定程度的损坏，经济损失超过15亿美元。（二）发生过程（一）证据收集现场查看目击者访谈取样分析设备测试文件收集（一）证据收集1.现场查看查看结果分馏塔（E-1101）进料管线上的阀门完全打开，塔顶回流管线上阀门部分打开，塔底回流管线上阀门关闭。3psig排气管控制阀关闭去F-20的8英寸链式手动阀关闭异构化装置的爆炸破坏主要在装置西部

去F-20的1.5英寸排气管控制阀关闭2005年4月6日，调查小组被允许进入事故现场，主要发现以下几点：爆炸和火灾主要造成了对异构化装置的破坏大火烧毁了F-20周围的坚固的混凝土建筑（一）证据收集1.现场查看（续）查看结果分馏塔到F-20的14英寸管线上的阀门和F-20的6英寸出口阀都是关闭分控制室遭到了破坏

催化剂储藏室遭到了破坏

确定了上次调查的3psig排气管控制阀关闭

确定了上次调查的8英寸手动阀关闭

损坏拖车主要集中在异构化装置和石脑油脱硫装置之间。

有液体从F-20流向下水道2.目击者访谈访谈情况2005年3月24日，调查小组开始组织对目击者进行访谈2005年4月28日，对阶段报告调查收集的证据和进行的采访作了总结2005年8月、9月和10月，为了解决最初那些证据中相互矛盾的地方，做了进一步的访谈。大多数的访谈都是在CSB的记录员在场的情况下进行的。在调查过程中，对73个人（68名BP公司的员工，5名雇用工人）进行了106次访谈，收到了27封目击者的陈述信。（一）证据收集（一）证据收集3.取样分析取样点进料泵（J-1101）入口管线收集分馏塔进料

重抽余液冷凝器（C-1106）收集分馏塔底部抽余液

回流泵（J-1102）入口管线收集分馏塔回流液分馏塔塔顶冷凝器（C-1107）收集塔顶馏出物

抽出泵（J-14A）入口管线收集抽余液

原料缓冲罐（F-1101）收集分馏塔进料

从流量阀（FV-5007）出口收集分馏塔塔顶回流液

从流量调节阀（FCV-5106）收集分馏塔塔顶产品

（一）证据收集4.设备测试安全阀

分馏塔塔顶安全阀（RV-1001A/B/C）

回流罐安全阀（RV-1002G）

轻组分产品流出线安全阀（RV-1199G）

控制阀抽余液分馏塔流出控制阀（LCV-5100）

轻抽余液组分转重抽余液组分连接管控制阀（PCV-5012）

向分馏塔进料的控制阀（FCV-5000）

ARU抽余液进料的控制阀（FCV-5003）

总抽余液进料控制阀（LCV-5006）

分馏塔中回流罐到3psig排气系统控制阀（PCV-5002）

分馏塔回流控制阀（FCV-5007）

回流罐控制阀（PCV-1002）

重抽余液组分到加热炉的控制阀（FCV-5005）

抽余液分馏塔进料控制阀（FCV-5000）回流罐通3psig排气系统控制阀（PCV-5002）重抽余液馏出控制阀（LCV-5100）

（一）证据收集4.设备测试（续）液位变送器进料平衡罐液位变送器（LT-5007）抽余液分馏塔液位变送器（LT-5100）回流罐液位变送器（LT-5008）

流量变送器燃料流量变送器（FT-5008）重抽余液流向加热炉流量变送器（FT-5005）重抽余液流出线流量变送器（FT-5015）轻抽余液流出线流量变送器（FT-5106）ARU原料流量变送器（FT-5001）

ARU抽余液流量变送器（FT-5003）分馏塔回流流量变送器（FT-5000）（一）证据收集4.设备测试（续）压力变送器

塔顶冷凝器压力变送器（PT-5002）报警器分馏塔液位开关（LAH-5102，LAL-5104）报警器分馏塔液位指示（LT-5100）报警器原料缓冲罐液位开关（LAH-5006）报警器回流罐液位开关（LAL-5004，LALL-5010）报警器放空罐液位开关（LAH-5020）报警器容器抽余液分馏塔（LT-5100）抽余液分馏塔液位开关（LSH-5102，LSL-5104）放空罐高液位开关（LSH-5020）（一）证据收集5.文件收集文件操作记录（包括值班长记录，内操记录）过去5年的PI记录和事故发生前15天的DCS记录开车程序（2005年3月23日）拖车的MOC/设备选址计划目击者的陈述的记录培训记录维修记录MOC记录危险性分析记录HSE的政策和方法人员配备其它的工厂文件技术分析管理分析（二）证据分析DCS/PI数据书面/电子文件多个目击者的证词（一致时）在现场看到的情况（可能因应急措施改变）操作过程的样品分析（可能因取样的延迟而变化）工艺设备的检查（设备可能在事故中损坏）123456个别未经证实的目击者证词7

证

据

可

靠

顺

序技术分析高压产生物料蒸汽压/液体携带水蒸汽氮气及不凝气进料不当上述组合（3）分馏塔进料组成进料速率和塔内压力随时间的变化图不同塔板温度随随时间的变化图塔内液位随时间的变化图通过加热炉进入分馏塔的热量进入分馏塔进料段的热量通过物料外放移出分馏塔的热量分馏塔内温度变化物料失控分馏塔液位和压力随时间的变化图物料失控物料失控扩散模拟扩散模拟扩散模拟爆炸模拟可能的点火源

（1）装置北端的卡车（2）装置西北角的开关室（3）装置西南角的加热炉（4）装置南端拖车卡车异构化装置平面布置图运行控制（1）开车前（2）开车中（3）操作记录（4）开车程序（5）监督指导（6）人员疲劳（1）开车前未测试所有报警信号未测试所有调节阀未测试所有仪表及控制系统未提前14天未通知HSE部门未检查装置的应急喇叭未与所有开车人员审查开车程序未进行车辆交通控制检修交通控制图（1）开车前（2）开车中成功开车：及时建立分馏塔重残液外放打开3＃系统为排出不凝气升温速度不超过50˚F/每小时加热炉出口温度不超过275˚F操作压力低于安全阀设定值未将控制3＃排气系统的调节阀置于手动状态。未将分馏塔液位控制设在自动状态。分馏塔液位超过测量范围，仍然继续进料。分馏塔液位超过50％，没有开启重残液外放。在没有重残液外放情况下，加热炉点火升温物料。当分馏塔塔底温度275˚F，而进料温度只有120˚F（正常是205˚F）物料加热速度超过每小时75˚F，加热炉出口物料温度达到307˚F。

分馏塔内压力快速升高，采用分馏塔安全阀附近的8寸阀控制压力。采用回流罐安全阀附近的1.5英寸排出氮气控制压力。（2）开车中（3）操作记录分馏塔的开车程序中还包括要求操作员在每一个操作程序上签字，并要签上操作日期和时间。白班班长在2005年3月21日打印出SOP201.0，并把它交给室外操作员记录开工过程完成的操作规程。3月23日凌晨，操作员A在分控制室向分馏塔和进料罐中进料，没有使用放在分控制室的操作程序，没有在完成的操作步骤签字。夜班控制台员没有参予进料。白班期间，实习操作员E在白班班长的指导下在部分程序签了字，但是只记录了日期，没有记录时间，在爆炸后没有在任何操作程序上签字。白班班长只在小部分操作程序签了字。

3月23日早晨换班之后，白班控制台操作员打印了一份错误的开车程序SOP201.1（暂时停车后的开车），将操作程序放在了打印机上，在开车过程中，他几乎没参考那份开车程序。

（4）开车程序分馏塔开车的两个操作程序：

a.“停车检修后进行抽余液分馏塔的开车”（SOP201.0）

b.“暂时停车后进行抽余液分馏塔的开车”（SOP201.1）开车程序的变更2003年1月25日塔顶的安全阀额定值从70psig分别降到40/41/42psig1998年，将用P-5002改为H－5002控制3＃排气系统调节阀（MOC＃R－ISOM－98－09）

（5）监督指导分馏塔开车的两个操作程序：

a.“停车检修后进行抽余液分馏塔的开车”（SOP201.0）

b.“暂时停车后进行抽余液分馏塔的开车”（SOP201.1）开车程序的变更2003年1月25日塔顶的安全阀额定值从70psig分别降到40/41/42psig1998年，将用P-5002改为H－5002控制3＃排气系统调节阀（MOC＃R－ISOM－98－09）

操作工A2.18－3.23（33天）

内操2.23－3.23（29天）

操作工B2.14－3.23（37天）操作工C2.21－3.23（31天）（6）人员疲劳（6）人员疲劳设施完整性（1）分馏系统（2）放空系统（3）仪表报警（4）DCS系统（5）维护程序（6）仪表故障（7）显示设计（1）分馏系统

（2）分馏塔分馏塔的仪表控制简单，大部分参数都有高报警和低报警，除了燃料气超低压和流量低有关闭系统，分馏塔没有完善的紧急停车系统。把安全阀安装在冷凝器的附近，便于安装和拆除，液体夹带的可能性大就比较危险，如果塔有足够的仪表和停车保护措施，是完全可以接受的。由于外部腐蚀使分馏塔变薄，2003年11月，安全阀额定值从由70Psig降到40、41、42Psig（塔的正常操作压力是10-20Psig）。降低的塔额定值进行的危险评估提到了压力40磅以上会导致塔的爆裂，安全措施是放空系统和操作员的安全意识，没有采取其他措施。危险评估没有考虑液体夹带到塔顶馏出线，管线液体静压力对安全阀的影响。（1）分馏系统（2）放空系统（2）放空系统

（2）放空罐（F-20）自1955年以来，频繁地对放空罐进行检查，内部腐蚀严重，在1959、1977、1981和1985年进行了维修。1997年，对F-20进行了更换了烟囱、罐和内部构件。2003年最后一次检查时，F-20的挡板已经腐蚀并破裂，却决定不对其进行维修；F-20的冷却水系统是人工控制；提供冷却水；从鹅颈管连向的下水道系统的6英寸排水管接头有轻微的泄漏。高液位报警器一直进行测试，由于被火烧坏了没有进行测试，液位开关的浮动机构和水银开关仍然是正常的。放空罐上的现场液位计停工以前仍在正常使用。

（2）放空系统按照1997年第六号工艺安全标准（PSSNO.6）要求用火炬系统代替放空罐。当附近工艺装置进行修改时，有两次机会可以连接到火炬系统，却没有实施。一次是1995年附近的AU-2装置安装新的火炬系统，另一次是2002年靠近F-20的NDU装置火炬管线安装。放空罐安装有抽空泵（J-14A），用来抽排入放空罐的物料，防止物料从放空烟囱顶部释放出去。J-14A是一个115#蒸汽驱动往复泵，设计容量是149加仑/分，该泵启动需要几分钟给汽缸头预热，意味着不能在紧急情况下使用。如果事故时在运行，6分钟可以从放空罐中抽出不到900加仑的物料，这样可以减少了溢出烟囱的物料量。

。

（2）放空系统

（2）放空系统在将分馏塔内残余的油卸出，通蒸汽清除塔内油气后，2005年8月12日打开人孔，进行初步的内部检查；2005年8月17日，进行了全面的内部检查。内部覆盖了一层看上去像碳或铁的氧化物，没有任何碎片和淤泥。塔板没有遭到破坏变形，和塔的周围连接很好，塔板与塔板之间的连接也很好。有很少的几个阀卡在塔板上，阀是打开的，少数的几个阀位置移动或者没有了，这种现象在较高的塔板上有轻微增加，但过去几年装置正常操作的现象一样。（2）放空系统（4）安全关键设备

安全关键设备（SCE）没有单独的数据库或记录。安全关键设备是用来预防、控制和缓解主要危害的设备，需要在事故发生前或事故发生时有较高的可靠性和可用性，需要预防维护以确保其可靠性和可用性。典型的安全关键设备包括安全阀，火炬，排空烟囱，挡板式气液分离罐，减压总阀，紧急关闭系统，危险报警器，完整性保护系统，安全仪表系统，危险纠正系统，控制系统，UPS（不间断电源），淹没和熄灭系统。放空罐也被定为安全关键设备。

2003年作出了不对放空罐中腐蚀的挡板进行维修的决定。在作出这个决定前既没有对挡板进行必要的检查，也没有投用已停止使用的冷却水系统。（3）放空系统（2）液体密度对液位测量的影响（2）液体密度对液位测量的影响（2）液体密度对液位测量的影响（2）液体密度对液位测量的影响分馏塔液位随着温度升高的变化图分馏塔下午1：04的液位（4）放空罐中的高液位报警器在爆炸的时候听到了放空罐中高液位报警器（LAH-5020）的报警声。如果它正常工作的话，当抽余液分馏塔中的安全阀开始打开，放空罐中一部分装有液体的时候它就应该发出警报。当打开安全阀时，需要30秒的时间将放喷管线和放空罐注满到鹅颈管的液位。然后液体还需要2分钟的时间以到达放空罐烟囱的顶部。报警器的警报液位设在鹅颈管的液位以下，应该在液体从烟囱流出前的2分钟发出警报。如果这个报警器在事故发生时能够完全正常地起作用，那么虽然不能阻止随后发生爆炸和火灾。但是它可以指示工艺失控，促使操作员及早拉响警报器。

（4）DCS系统（4）DCS系统（4）DCS系统（4）DCS系统分馏塔主控制台是在NDU/AU2/ISOM控制室。这个控制室始建于50年代后期，随后为了安装DCS设备进行了内部改造。这个控制室不是很理想，不便于提高操作员的警惕性，例如，墙壁和地板的硬表面、与厨房和办公室邻近使控制室太吵，灯光被有意调暗的以避免显示屏上令人懊恼的反射。控制室内售软饮料和小吃也分散了操作员的注意力。3月23日12：45在控制室进行了一个15到20人的安全会议，这种性质的会议在相对较小的控制室，极易令人分心，更不用说在装置开车的关键时刻，同时一些在开车过程中打进来的外线电话也分散了注意力。（4）DCS系统（5）维护程序德克萨斯炼油厂的维护程序由有计划的预防性维护和出现故障时的紧急维修组成。异构化装置的高压容器要进行基于风险的检验（RBI）。进行有计划的预防性维护的有转动设备、控制和仪表系统、安全阀、压力容器和管道系统检测。德克萨斯炼油厂所用的SAP维护数据库只是一个项目结算系统，它并不象MAXICO系统是一个维护管理系统。很难从单个的工作通知单中，得知具体进行的维护工作，只能知道工作通知单收费了，但收费可能是零部件和原料费，也可能是人工费。变更管理（1）制度要求（2）拖车（3）选址方法变更管理（1）制度要求

OSHA在1992年颁布了“高危险化学品的工艺安全管理”（PSM）条例，德克萨斯炼油厂要进行工艺危险分析，必须进行“设备选址”研究，至少每五年进行一次重新确认。化学工艺安全中心（CCPS）的“评估工艺工厂建筑物外部爆炸和失火的指导”（1996）提供了实际的方法帮助辨别，评估和管理与工艺工厂建筑物的设计和选址有关的工艺安全事项。两名当时的Amoco员工参与了制定CCPS指导方案。Amoco制定了一个“设备选址手册”（1995年4月）以便执行APIRP752，这个工作手册构成了德克萨斯炼油厂与拖车选址有关的变更管理（MOC）程序要求的基础。

变更管理变更管理

其他拖车异构化装置和石脑油脱硫装置之间停放用于加氢裂化装置检修的其他七辆拖车，任何一辆拖车都没有进行MOC评估。2002年，在建造石脑油脱硫装置时，就有拖车被设置在石脑油脱硫装置和异构化装置之间。调查组相信即使这些拖车的进行了MOC，也有可能被停放在此，因为在这里停放拖车已经成了惯例。

变更管理变更管理

J.E.Merit拖车2004年9月初，J.E.Meri拖车停放在ISOM和NDU之间的区域。在现场危险区域分类图中这个区域被划为“无危险区”。2004年9月27日开始进行MOC评估。10月6日，一个代理负责人同意了MOC。MOC评估也不过是走走形式，没有进行认真的评估，一些PHA附加要求调查表中列出的问题和关注点被以“不适用”结束。11月8日，在MOC要求的一些措施没有完成情况下，如没有安装装电话开始使用了，这也没有得到装置负责人的同意。变更管理J.E.Merit拖车处的压力以及与该拖车紧紧相连的Flour拖车处的压力估计为2½psig，冲量为430psi.ms。这个冲量很大，主要是因为这些拖车正处在蒸汽中。事故发生时已知J.E.Merit拖车内共有22个人，其中有11个人死亡11个人受伤（包括5名BP工作人员和6名承包商员工）。这相当于J.E.Merit拖车的致命性为50%-52%。在Flour拖车内有2人死亡，无人受伤。严重受伤的第三个人最后被看到时，是朝Flour拖车走去，据推测发生爆炸时他已经在拖车内了。这相当于Flour拖车的致命性为100%。在其它的距离放空罐350到480英尺远的拖车有人受伤没有死亡。变更管理（3）选址方法a.致命性

变更管理（3）选址方法b.蒸汽云爆炸频率

美国石油协会RP752规定爆炸频率应基于公司的具体经验，并为那些数据和经验不足的公司提供了一些一般的工业信息指导，指导中列出了炼油厂各种生产装置的爆炸频率和所有生产装置的平均爆炸频率。由于缺乏的现场数据，德克萨斯炼油厂使用平均的频率数据，没有使用特定工艺装置的频率数据。事故调查组了解到德克萨斯炼油厂以前的一些事故，相信如果有德克萨斯炼油厂的爆炸频率数据，一定会比用平均爆炸频率数据计算的危险高。变更管理（3）选址方法c.安全距离

德克萨斯炼油厂设施选址MOC程序中规定的安全距离，是基于Amoco炼油厂设备选址参考手册，这个手册的安全距离是综合考虑5个炼油厂的情况确定。变更管理（3）选址方法c.安全距离（续）

德克萨斯炼油厂安全距离的确定存在以下三个问题：Amoco设施选址手册就不保守，即对拖车采用5.0psi的反射压力，而CCPS/API采用1.0psi的最大侧面压力。德克萨斯炼油厂工艺装置的规模比较大，会导致比较高的爆炸压力。德克萨斯炼油厂的拖车通常被系住，以抵抗飓风，在发生爆炸时易弯曲和滚动减少。

所有的这些因素意味着德克萨斯炼油厂拖车距离工艺装置的最小安全距离应该比推荐的350英尺要大一些。

变更管理（3）选址方法d.使用率

德克萨斯炼油厂对临时建筑物的设备选址分析采用“年度”的使用率数据，也就是说，当以每年为单位计算危险时，建筑物在现场的持续时间就要被考虑了。例如，如果一个拖车在现场停放3个月，使用率除以4，这样可以反映人员一年内只有一个季度在现场。在这种情况下，临时建筑物的占用者的危险就可能很高，但与危险可承受标准相比较时就会被冲淡。变更管理（3）选址方法e.碎片影响

CCPS指导方针特别指出，现在的方法没有考虑爆炸碎片或抛射物对建筑内及附近人的影响。APIRP752也提到了碎片或抛射物对人的危险。德克萨斯炼油厂的几起人员伤亡事件都是由碎片的影响造成的。发生爆炸时几乎没有办法保护室外的人员不受爆炸产生的碎片和抛射物的影响，唯一的办法就是首先阻止爆炸，或减少高危险操作期间现场的人数。但是，在工艺装置附近的建筑物设计和选址应该考虑爆炸碎片的危险。变更管理2004年9月，炼油厂进行了两次两天的MOC领导课程，教授参加者如何将HAZOP和假设分析/调查表技术应用到MOC过程中，几个异构化装置的员工都参加了这个MOC领导培训。调查小组对MOC检查，发现部分领导的水平没有达到标准要求，主要是由于缺乏能力和实践。过去的3年里，25%的MOC领导进行了90%的危险分析，50%的MOC领导完成了其余10%的MOC危险分析，剩余25%MOC领导进行过MOC危险分析。事故、事件报告、调查和处理（1）炼油厂事故（2）以前的开车（3）放空系统事故（2）以往开车2000年以来的19次开车前18次最长延迟排出时间是46分钟，平均为15分钟，这次是3小时8分钟。大部分开车液位在50％以上。液位控制为手动状态。18次开车过程液面大幅波动，操作困难，15次不知道液面高度；发生74次报警，其中65次高报，合计50小时；9次低报，合计5小时。14次开车过程压力超过报警设定值32psig，9次接近或超过40psig，2次造成安全阀打开。（2）以往开车危害研究（1）Hazop

和重新生效a.1993年Hazop

b.1998年Hazopc.2003年Hazopd.MOC危险性评估（2）重大事故风险（MAR）（1）放空系统（2）事故调查（3）评估审计（4）维修记录不符合、纠正措施和预防措施资源资源（1）培训（2）意识（3）能力能力、培训和意识能力、培训和意识应急管理（1）应急程序（2）应急培训（3）应急演练内部审核（1）PSM审计（2）gHSEr审计（3）其它审计内部审核（1）PSM审计

a.2001PSM审计在异构化装置上没有什么重要发现，建议对操作程序进行审计，没有被采纳，因为操作程序在五年一次HAZOP重新生效期间要被审查，ISOM装置的HAZOP重新生效期是在2003年进行。b.2004PSM审计主要审计了工艺危害分析、操作程序、承包商、预开车前安全检查、机械完整性，安全工作许可证和事故调查等，建议异构化装置加强对新派遣的监管人员和工程人员的培训，不容忍不遵守PSM和及时落实改正措施。内部审核

（2）gHSEr审计2004年的gHSEr审计没有对异构化装置进行审计，也没有关于异构化装置的特殊发现。审计提出了适用于整个炼油厂的一些不足之处。主要是在制定操作程序和定期自我评估中缺乏按小时付工资的工人参与。其它差距包括危险评估和作业安全性分析形式化，改进事故报告，事故调查的独立性，及时落实改进措施以及由于原料或产品变化造成的腐蚀。对没有将gHSEr审计结果用于推动HSE行动计划提出了关注。BP调查组没有发现一些正式的改进措施来解决这些差距，炼油厂的大部分职员似乎都不知道gHSEr审计。内部审核（3）其它审计1999年1月，良好习惯推荐作法审计2003年11月，“Big4”审计2004年5月，工作控制审查操作员胜任保证审计2004年10月，外部的ISO14001审计协商和沟通（1）操作

（2）工艺安全协商和沟通（1）操作

装置代理负责人知道分馏塔开车，却没有到装置检查开车进展情况。这次开车没有在轮班主管的早会上被提到，以便让附近的人知道分馏塔开车，出席轮班主管会议不是强制的，讨论装置操作的时间也是有限的，只有15分钟的时间，并且大部分时间用在讨论ARU检修。白班班长没有通知邻近的装置分馏塔开车，当时除了拖车上的人员外，还有几百名加氢裂化装置检修人员不知道分馏塔开车。白班班长在3月23日上午由于一些家庭事务离开时，没有安排任何人暂时负责他的工作。开车是由两个班组进行的，但没有做出努力保证两个班人员间信息的充分交流。装置负责人和培训协调员不知道操作员经常使用8英寸的通风系统控制压力偏离。操作员没有告知管理人员这种与操作程序的偏离，也没有任何系统来确保实际操作与操作程序保持一致。

在开车规程中包括以下关于良好的沟通对安全的重要性的注释：“在开车的所有阶段，必须在安全操作，细节及沟通这些方面给予足够的重视。而且这些必须在装置之间，班组之间和个体员工之间进行分享。好的计划、进度安排、判断力和沟通使开车有效安全地进行。”

负责异构化装置开车的白班班长3月23日上班迟到，也没有与向塔中进料的操作员A或者夜班班长进行交接班。室外操作员在装置外、炼油厂的门口进行了简单交接的，时间短、不够充分。白班控制台操作员与夜班控制台操作员进行了交接班，但是夜班控制台操作员并没有参与向塔中进料，而操作员A在04：59交接班前一小时离开了装置。协商和沟通协商和沟通（2）工艺安全

PSM知识普遍比较缺乏。1992年公布了PSM标准后，没有进行培训，只是通过电子邮件发送了工艺安全知识材料。管理者、监督人和操作员很多都不知道规章要求、公司标准和满足地方惯例只是最低要求，就是地方惯例也没有严格执行，工艺安全没有被放在首位。例如：装置负责人不同意现场停放拖车，却没有保证拖车MOC提出的措施落实。检修后，培训协调员没有更新ISOM的开车程序，装置负责人没有校验就保证开车程序是正确和最新的。培训协调员和装置负责人允许操作员没有全面培训就上岗；操作员培训记录不全。安全关键设备（F-20）在最近检查后没有进行很好的维护就继续使用，没有遵循MOC或也没有提交维修工作通知单。策划德克萨斯炼油厂有一个综合计划，其中HSE重点放在降低人员受伤和加强环境遵从性。例如，1000个工作日计划，内容包括不要伤害任何人、做一个好邻居、设备更可靠、创造价值、好的工作场所等。炼油厂资本支出和操作费用在过去十年里稳步增加，但资本支出主要用来投资清洁燃料和其它环境保护项目，没有全面的计划用于系统地降低工艺危险。几个被查访者提到对ISOM装置放空烟囱的关注，考虑过对F-20进行改造，将放空系统连到一个火炬系统，但迫于首先满足环境遵从性要求，没有做出放弃使用放空罐烟囱的计划。2005年初事故发生前，作为把去除F-20的远期项目，列入项目数据库系统，但并没有制定任何计划。

虽然现场培训费用过去几年都在增长，但没有任何系统地加强工人安全操作能力的计划。目标和指标、绩效测量和监视安全业绩考核主要集中在事后指标上，比如损工时事件数和可记录的受伤频率，这两个指标都是呈下降趋势，让人感觉安全状况得到了改善。而没有集中在事前指标上，或者至少是相关的、频率更高的小事故上，把重点放在这些指标的倾向分析上，更有可能传递准确的现场操作安全状况。例如物料失控、溢流、着火和操作偏离等，许多这样的事故都没有被正式报告，很少被调查。虽然调查组没有发现任何直接的证据证明有意隐瞒事故，但炼油厂的奖励制度看起来是不恰当的。这个制度奖励发生事故少的工人，这就可能促进了报告的不及时甚至不报告。

目标和指标、绩效测量和监视工艺安全和人员安全先导指标和结果指标BP公司的安全指标2005HSSEDashboard（Shell）measureunitweightthresholdontargetoutstandingPROACTIVE(50%)PotentialIncident(PI)number1090013001600Overdueauditactionsnumber10

0

MgtHSSEWalkaboutnumber10101214HSECaseRAPreviewDate(seenote1)103.0-3.53.5-4.5over4.5Medium/Highauditnumber10251510REACTIVE(30%)LTInumber5000TRCnumber10210TROInumber3210FACnumber2542CODAvgmg/l5604030NaturalGasEffificencyAvg

mmBTU/t5989490INITITIVES(20%)BehaviouralSafetymilestones1075%SM-GPstafftrainedAllSM-GPstafftrainedOn-target+AllonsiteContractorsContractorsHSSEManagementmilestones10SMDSContractorHSEMgtProcIssuedSMDSContractorHSEMgtProcImplementedSMDSContractorHSEMgtProcImplemented&reviewed组织机构和职责（1）操作（2）异构化装置（3）工程技术（4）安全委员会组织机构和职责

（1）操作操作部门有多个层次，管理着如此大的生产现场。操作经理是管理层组成员之一，管理着四个生产主管（MDL），每个MDL管理着几个装置负责人，装置负责人在四个轮班中都配有执勤班长、台操作员和室外操作员，和一个培训协调员。1996年，设置了优化工程师；庞大而复杂的组织机构存在职责划分不清，并且组织内横向和纵向信息交流不通畅。

在检修或其它特殊操作中，一些人员被派去担当别的职位。例如，在ARU装置检修和ISOM装置停工期间，操作协调员担当起装置运行负责人，却没有接受有关的培训；培训协调员大部分时间都在协助ARU检修，但3月23日又负责分馏塔开车，在过去的12个月里，培训协调员仅将5%的时间用于培训。西厂区组织结构图组织机构和职责组织机构和职责（2）异构化装置

正常的AU2/ISOM/NDU装置的工作人员应该由一个值班长，一个内操，一个工艺工程师和两个外操组成。异构化装置由一个内操和一个外操组成，其它的操作员负责AU2和NDU，共用一个控制室。停工的缘故，异构化装置安排了比正常操作更多的工作人员，有6名操作员。3月23日，白班值班长在10：47时离开了现场，从那时起谁来指挥操作就不清楚了。工作人员认为是操作员B，然而代理负责人和缺席的白班值班长认为应该由ARU检修监管人负责，但ARU检修监管人否认这一点。组织机构和职责

（3）工程技术最优化工程师（OE）每天对操作提出建议、指导、帮助发现和维修故障。最优化工程师应密切地监视工艺装置的运行情况，特别是一些操作状态改变的过程，比如装置开车。与德克萨斯炼油厂的其它工艺装置相比，抽余液分馏塔被认为是一个相对简单的工艺装置，因此得到最优化工程师较少的关注和支持。可靠性工程师（REs）负责工艺装置的可靠性、有效性和一般维护。项目工程师（PEs）负责大/小项目和MOCs。还有可以短期聘用合同制工程师，一些经验丰富的工程师可以向最优化工程师和可靠性工程师提供意见和指导。组织机构和职责（4）安全委员会

a.健康和安全委员会b.HSSE程序参议会c.HSSE程序委员会

d.厂区HSE理事会

e.工艺安全网络委员会（PSNC）

f.工艺安全委员会（PSC）

g.工人安全意识委员会（ESAC）

h.组织MOCs

20、领导和承诺多年来，德克萨斯炼油厂形成了具有以下特征的氛围：员工工作缺乏动力，不能对所执行规定/程序负责；炼油厂领导依赖于工作现场的中层监管人员，中层监管人员职责不清，监管工作不到位，例如，在分馏塔开车的关键时刻当班负责人不在场，MDL不知道分馏塔开车，也不清楚应该对NDU和ISOM中间安置拖车负责；领导和工人之间缺乏信任，领导和工人、雇员和承包商之间的工作关系不好，工人年度独立调查PAS得分很低，更加剧了员工士气低落和对领导者的不信任；领导缺乏足够的查证，对一些事情并不清楚，例如频繁的倒班换岗，没有更新过时或不切实际的操作程序等；装置文化狭隘的，不愿意学习接受外部的先进资源等。领导开始认识到糟糕的工作环境和文化，并主动采取了一些措施，但这些措施还是不够充分的，不够具体，没能贯彻始终，没有能足够迅速改善这种状况，避免事故发生。

事故原因分析综合表1.BP公司事故原因分析a.物料失控直接原因个人违反规定监管人违反规定

决策不当或缺乏判断力

安全设备失效

设备不足

系统原因判断力低

培训的不足

领导不力

调节/修理/维护工作不足

政策/标准/程序执行不力

文化问题商业因素

安全优先

危险预见差缺乏预警(6.3.5)

改进措施领导

监管

个人行为

培训

组织

程序

基层体系

违规操作导致分馏塔进料过量，引发了安全阀超压，烃流入放空罐和放空烟道（F-20）中，并从F－20溢出挥发，这些烃蒸汽被未知火源引燃。液面和塔底温度过高，以及后来重质抽余液的排出，导致了分馏塔顶部的溢流，随后造成安全阀位置的过压。开车程序后期，开启管线时，重质抽余液非常热，这使得进料发生急剧升温和气化。这也就加快了重质抽余液从分流器顶部溢出，然后流入大直径塔顶线进入安全阀。塔顶管线重液压加上相对正常的塔压，超出了安全阀的设定压力。大量液态烃自安全阀排出，淹没了放空罐。如果提早停止进料，和（或）增加采出量，（或）减少热量输入，就有可能避免该事故的发生。由于整个区域似乎没有控制，因此周围存在着很多潜在的点火源（例如机动车、拖车等）。目击者认为点火源可能是一辆卡车的引擎，但该说法目前尚无法证实。1.BP公司事故原因分析b.程序与技能直接原因个人违反规定监管违规缺乏危害知识系统原因疲劳判断不足机械智能化差急待解决的问题监管不当培训不足岗位/责任冲突领导不力安全会不足文化问题商业因素安全优先机构复杂改进措施领导监管工作环境个人行为对策沟通操作

培训1.BP公司事故原因分析b.程序与技能（续）直接原因决策不当或判断失误其他干预系统原因参考材料和出版物不足审核/调查/监控不充分政策/标准/程序执行不力监管和人们沟通不足员工沟通不足文化问题危险预见差缺乏预警改进措施机构程序关键重点装置基层体系

1.BP公司事故原因分析开车程序中的几个步骤被遗漏，另外一些步骤执行则出现偏差。白班控制台操作员不了解分馏塔液位的真实状况，对塔进行了大量进料，重抽余液馏出晚3个小时，导致了进料过量。在重抽余液馏出之前就开始给进料加热，并且加热速度比程序规定的要快很多。另外，实际的最高温度也比程序中规定高。应急措施不充分及时，使情况变得更糟。塔的进料实际上就没有停止过，甚至在安全阀打开后还在进料。管理人员没有验证使用和遵循操作程序的正确性，并且在交接班、开车准备、进料和加热过程中不在现场。安排两个班进行开车，也增加了潜在的风险。关键人员不在场，导致无人负责开车指挥。开车程序虽然不是全新的，如果按照程序进行了操作，或者提早采取各种应急措施，这起事故也许就不会发生了。1.BP公司事故原因分析c.生产过程控制直接原因缺乏危害知识决策不当或判断失误警告失败系统原因领导不力工作危险纠正不够工作危险识别不够文化问题商业因素安全优先机构复杂改进措施领导监管沟通培训程序拖车设施选址危险区域划分1.BP公司事故原因分析c.生产过程控制（续）直接原因不关心常规操作火灾和爆炸现场布局不合理系统原因变更评估和/或记录不充分由于决策，政策/标准/程序补充不足不同工组沟通不够文化问题危险预见差缺乏预警改进措施PHA/MOC/HAZOP报警系统基层体系事故调查与报告1.BP公司事故原因分析开车期间，炼油厂其它区域的大量员工离危险源放空罐和放空烟道（F－20）太近了，特别是几辆停放在异构化装置西面的拖车，是加氢裂化装置检修工作人员的集合点，距离F-20在150英尺之内，在任何设施选址研究中没有被视为潜在的危险，没有考虑到大量的烃从放空烟道中释放出来的可能性。在分馏塔开车前，没有被告知异构化装置正在开车，甚至当烃从放空烟道排出时，没有拉响撤离警报，这些人员没有及时离开拖车，他们本可以在开车前离开拖车。拖车停放位置不当，没有告知员工，都增加了事故的危害性。1.BP公司事故原因分析d.设计与施工直接原因决策不当或判断失误设备不足系统原因领导不力工作危险纠正不够表现测量评估不足设计不当变更评估和/或记录不充分文化问题商业因素安全优先机构复杂改进措施领导监管沟通培训组织安全关键设备PHA/MOC/HAZOP1.BP公司事故原因分析d.设计与施工（续）直接原因现场布局不合理系统原因工作计划不充分审核/调查/监控不够安全和健康信息、规章、方针沟通不足文化问题危险预见差缺乏预警改进措施责任ISOM设计和施工基层体系事故调查与报告

1.BP公司事故原因分析一般认为放空烟道在炼油厂中具有潜在的危险，因而工厂逐渐将放空烟囱改造成封闭的火炬放空系统。异构化装置的放空罐和放空烟囱（F-20）作为分馏塔减压和放空系统的一部分，过去几经改造之后，基本成了无人管理的区域。1995年到2002年，本来可以将分馏塔放空管线接入火炬系统，但没有实现；1997年F-20由于腐蚀而被替换时，该计划也未能实施。发生事故的F-20内部隔板腐蚀严重，取消了喷水灭水系统，增加了辅助入口，这都造成其工作效率降低。如果使用火炬系统或其他闭式放空系统，事故的影响很可能就会显著降低了。2.CSB事故原因分析15人死亡，180人受伤伤亡人员在现场爆炸火灾蒸气云形成现场点火源氧气受限空间正常正常正常装置设备活动板房管廊液体挥发易燃液体从放空烟囱中流出危险区域附近的活动板房正常正常正常装置操作工装置附近车里和周围的人装置内工作的其他人员装置附近板房内工作人员装置附近工作人员没有撤离的人员操作工没有时间拉响警报没有执行BPPSSR政策板房位于NDU和ISOM之间没有执行BPPSSR政策在ULC和ISOM从事TAR人员设施选址分析BP政策允许进行选址分析后将板房设在危险区域MOC实施后允许在危险区域设置板房设置板房便于ULC检修装置附近道路上人员停车休息或工作的人员未执行TAR交通管理制度缺乏BPTAR管理组监督开车人员没有严格执行开车交通管理2.CSB事故原因分析正常放空罐和烟囱溢出液态烃放空烟囱直通大气放空罐体积小未设想到最坏情形最近没有做卸压阀和集管研究因为成本推迟研究计划分馏顶卸压阀打开卸压阀压力超过设定压力40－42psig分馏塔塔内压力20psig塔顶馏出线垂直管积聚液体BP因成本没有实施本质安全的放空系统以前的泄漏没有报告调查设计没有评估超装或者多个卸压阀打开的影响放空罐和烟囱设计BP在1997年没有进行烟囱更换以符合RAGAGEPAPI521没有设计有关设计问题2.CSB事故原因分析装置界区内车辆装置内行驶车辆点着火的炉子开关的电火花BP政策允许汽车开着发动机停在装置区内缺乏培训培训部门资源由爆炸分析排除检查表没有借鉴选址分析程序伤害程度的基础标准不合适PSM部门对MOC缺乏有效监督年使用率没有考虑风险暴露没有执行BP建筑物分析程序装置350英尺范围内的建筑做选址分析BP选址分析的基础是API5122.CSB事故原因分析正常正常物料超装溢入塔顶馏出线下午1点塔进料至158英尺塔内进料量超过液位测量范围开车程序的下一步做出向塔内进料的决定程序和设备变更没有进行MOC向塔内进料达3小时物料未外排达3小时加热进料物料膨胀液面上升尽管仪表和设备不正常仍然开车对程序和设备缺陷给开车带来的风险缺乏认识缺乏监督偏离程序已成习惯以前就采取迅速加热开车进料换热升温下午1点后塔内物料汽化液面升高塔底液体被迅速加热未执行操作程序进料温度在10min内升到泡点温度140℃阀门开到70％，流量从0立刻达到30000桶/天，大量物料外放2.CSB事故原因分析工长人员不理解塔内物料超装的危害规程没有涉及在两个班次之间进料后停6个小时再开车的规定规程没有塔内进料偏离规定液位的危害培训没有塔内高液位范围的规定管理者和操作工在外放接料罐和进料指令方面沟通不足没有调查以前液位偏离情况缺乏监管未遂事件报告不足未遂事件定义模糊害怕责备和处罚2.CSB事故原因分析正常BP操作工非正式的交接班信息交流不充分交接班内外操之间信息交流外放物料的指令没有写在操作记录、程序或者其他文档上内操相信被指示外放物料到储罐在开车或者异常处理时内操不足内操疲劳缺乏防疲劳政策DCS没有提供物料平衡计算方法DCS没有将进出装置的物料量显示在同一屏幕内培训内操不懂物料平衡计算液位指示没有超过99.9％3小时内液位指示不断下降当班操作工不知道高液位报警器失效内操相信有关设备正在进料加热炉点火前液位控制阀没有设在自控状态报警器没有激活在开车关键阶段控制室内没有经验丰富的ISOM值班长或技术员操作工不明白实际液位超过100％2.CSB事故原因分析历史上多次发生偏离程序没有强化程序的严格执行程序变更没有进行风险评价MOC没有进行强化缺乏管理层监督未落实分馏塔MOC提出的措施缺乏管理层监督事故调查规程制定未分析开车过程没有全面执行操作限程序生产压力缺乏风险意识缺少PSM协调员认为手动控制使开车更平稳高液位以防加热炉损坏或停止加热液位控制不稳规程被看作指导性文件规程声明是指导文件PSM资源不足，现有人员工作任务过重负责规程修改的人同时也负责规程认证规程没有更新，操作工认为有不准确的地方过时的规程被认证使用以前的事故教训没有纳入培训指导阀门没有设在自控状态进料的后果没有写入规程2.CSB事故原因分析经验丰富的ISOM值班长因家事离开现场，没有经验丰富的值班长或者工程师可用或指派未执行开车过程中有经验的值班长或工程师在现场的规定可用值班长无经验对值班长的工作要求和培训程序低估ISOM装置开车危害没有增加额外员工其他有经验的员工安排到其他装置处理问题2.CSB事故原因分析在主控室内没有夜班开车使用的操作程序在夜班和白班内操的操作记录上无有效的文字交接内操没有开车经验，在接班前，塔已进料，外放泵关闭交接班BP操作工非正式的交接班信息交流不充分夜班的开车过程在分控室进行规程中没有在两个控制室开车的规定没有政策、程序或要求防止在不同控制室进行开车操作没有正式的交接班政策或要求内操之间没有充分交流塔和设备信息没有在不同班次之间进行开车操作的程序2.CSB事故原因分析液位报警器失效开车前没有检查报警器问题一直没有解决生产压力值班长拒绝延迟开车的要求没有遵守开车程序没有进行开车前安全检查2003/04年工作指令已关闭，但没有维修泄漏截止阀无法进行在线维修机械完整性培训不清楚哪个开车程序有效设计系统具有自动完成指令关闭功能沟通中断没有确认维修完成就关闭了工作指令工作指令没有列入TAR单软件系统没有跟踪指令完成情况的功能2.CSB事故原因分析生产压力没有规定要求在开车前修好转换器对转化器读数不准的危害认识不足液位转换器失效管理人员决定开车以后维修液位转换器已知的失效液位转换器在检修过程中没有维修工艺改变没有更新工艺安全信息仪表数据单不正确液位转换器校正密度不正确无中心数据库或数据单仓库数据单不易得到液位转换器未校正到正常操作条件下的液体密度最近没有校正液位转换器截止阀泄漏无法校正玻璃管视镜脏预防性维修2.CSB事故原因分析2001年变更管理建议在开车过程中增加员工内操负责三套装置生产操作，工作负荷大集团公司减员压力降低成本减少开支2.CSB事故原因分析安全文化商业氛围资源共享员工素质组织机构核心价值行为准则3.安全文化3.安全文化a.商业因素缺乏对德克萨斯炼油厂商业发展优先的定义和充分理解。调查组不能确定炼油厂在主要生产过程中具有安全优先的观念，也不能确定其长远规划。炼油厂重视环境保护和人身安全，不重视生产工艺安全；整个组织机构缺乏生产工艺安全管理的理解；没有优先考虑员工的个人发展，对其培训不充分；员工们认为没有前途。造成整个炼油厂内部缺乏工作动力，监督/管理工作的目标不明确，没有清晰的奖励机制，员工和承包商之间、员工和管理者之间缺乏信任，思想狭隘，不愿意接受外部的先进事物。

安全优先安全是通过良好的生产操作来实现，并通过正确的安全文化和价值观得以加强。很多受访者指出安全问题似乎并没有被优先考虑，特别是和成本管理相比，如曾考虑对F-20进行改进，将其联入火炬系统，但由于更为关注的是环境达标问题而被取消。尽管领导层强调“安全第一”，但事实并不表明如此，很多员工也并不相信，领导很少出现在工作场所。很多物料失控事故和生产过程的严重偏离没有报告和调查。对操作人员和管理人员的培训和发展计划非常少，甚至没有。

3.安全文化c.机构复杂德克萨斯炼油厂规模大，布局复杂，为了管理这么一个大厂，整个组织机构内部层次多、界面多，且频繁变动，横向和纵向责任不清，信息交流不畅，各种各样委员会使工作环境变得更加混乱。大量事例显示出了各部门之间责任的不明确性，当问到谁负责异构化装置和NDU装置之间拖车的停放工作时，得到的答案五花八门。没有证据表明分馏塔开车时和邻近的装置进行了沟通。交接班负责人会议是非强制参加的会议，被压缩到大约15分钟内。培训实践方面投入不足，导致领导个人水平低下

3.安全文化d.危险预见差由于危险预见能力差，从而能够容忍很大的风险。这在很大程度上是由管理人员和员工缺乏风险辨识能力所致，再加之对生产工艺安全缺乏了解。没有任何正在施行的、面向操作人员和监督/管理人员的关于生产过程风险辨识的培训计划，以前的培训也没有得到有效的更新。没有制定出有效的计划来系统性地降低炼油厂中存在的风险。厂区内大量停放机动车辆，员工对事故习以为常，生产过程中出现异常时缺乏报告，不按照程序开车，关键环节监管人员不到现场等，都表明了对高风险的容忍，也就无法预见生产过程中的工艺危险。

3.安全文化e.缺乏预警各项安全措施中首要关注的是职业安全措施，例如可记录的工伤和损失工时的工伤。对人身安全的关注使人们觉得工厂中的安全度在提升。没有显著的关注工艺安全的措施，例如对失控事故的后续指标、烃反应引发的火灾、以及工艺过程失常等。未能对失控事故和生产过程中的事故引起足够的重视，甚至对其中的很多事故没有报告或进行调查，从而无法提出改进措施。调查组复查了大量的审计报告，发现这些审计只是例行公事。这些审计关注的多是程序文件。除“Big4”安全工作制度审查之外，没有任何审查程序文件落实情况。3.安全文化三、改进措施改进措施人员管理设计施工基层体系事故管理操作程序生产控制1.领导层通过有感领导，确保员工能尽职尽责，遵守程序规定。制定清晰、明确的责任制度和指挥系统机构图。为重大灾难事故制定明确的预防指标和后果指标，提供明确的测定法，并用来管理操作。为检修人员高工作量期间制定计划必须考虑疲劳影响。详细规定领导层和监管层工作内容、应尽的责任和义务，包括发出紧急警报的明确规定。工厂管理人员必须明确并传达在生产和成本方面优先考虑安全的方针，同时必须确保有足够的资源和投资用于工厂全面管理和风险规避。重新考虑生产线管理优先权，以使管理组成员能有更多时间深入到车间，并定期鼓励员工进行面对面的沟通。（一）人员管理（一）人员管理1.领导层（续）在整个工厂范围内进行高级安全复核（ASA），要设定明确的目标，根据各级需要进行全方位培训。制定、预算并实施工厂风险降低计划，应包括对重大风险的重新评估。确保所有工作与工厂优先权一致，鼓励改进计划和控制机制，保持以优先权为中心。制定并执行一项行动计划以改善与执法机构的关系，使该工厂从职业安全与卫生管理局的强制执行计划中除去。建立各种机制，公开鼓励将BP公司最好的制度引进到德克萨斯炼油厂，例如安全黄金法规。（一）人员管理2.监管人员监督人员在交接班时必须在装置现场，以确保操作程序是正确的和最新的。另外，在装置开车和停车的关键环节，管理人员交接班时必须在场，值班长必须在整个操作过程中不离现场。必须始终保持指挥环节的畅通，指挥系统的任何变更都必须经生产交付领导人掌握和批准。（一）人员管理3.工厂环境

在工厂内部重新树立员工的信心，制定并执行计划来增强员工的工作动力，并将员工独立调查分值作为监督工作的评估。将安全和员工管理作为评估管理工作时优先考虑的对象。使员工相信工厂对安全的关注将会增强，而且不用担心对存在安全隐患的操作提出质疑会遭到报复。建立确认机制以确保操作工序的彻底完成而不只是签字结束。详细规定员工升至监督职位或更高的管理职位要求，员工升任后应确保清楚掌握指挥系统，将事故发生率降至最低。除加强工厂内部信息交流之外，还要宣传和积极鼓励更广泛的公开对话，以确保能够及时发现并解决工厂中存在的问题。（一）人员管理4.员工业绩通过制定员工工作业绩评估和发展计划，来完善整体性员工能力评估（包括工作技能、工作态度和工作表现），从而提高员工的工作技能和工作业绩。由监督/生产管理人员在第三方监督之下进行该评估。同时还应将员工工作业绩评估和资格评估列入员工工作业绩发展计划之中。（一）人员管理5.资源因为很多人身兼多职，或临时迁升他职而没有完全承担所有责任，所以要进行独立、全面的员工配备研究，准确估算出所有支持部门的人员。特别是在生产工艺安全、培训和HSE领域。确定需要增加员工的情况，例如，需要两名监督人员或两名操作人员。在整个工厂范围内为全体BP司员工和合同工制定加班制度，例如，规定每日最长加班时长、每周最长加班天数以及每月最长加班天数。（一）人员管理6.沟通建立每天召开工作会议制度，并规定必须出席和参加人员，因为当前交接班负责人召开的会议效率低下，而且首要关注的是商业问题。明确规定出如何交接班，应注重面对面沟通，并复查所有正在进行的书面操作程序。建立至少两个明确的机制，确保某装置开车时通知临近的装置/人员。制定明确的政策，及时将某装置开车的情况上报。进一步完善德克萨斯炼油厂主页建设，为用户创造一个友好的界面和稳定的格式。（一）人员管理7.操作员完善对控制台操作人员岗位和工作环境的人员影响因素评估，确定差距，进行工作轮换优化，确保控制台操作人员在户外工作中保持操作清醒。保证控制室不受外部干扰。（一）人员管理8.培训对所有的ISOM培训进行复查，确保是最新的和正确的。制定并实施一项危险判别计划来提高德克萨斯炼油厂员工对危险判断的了解和技能，这包括潜在的灾难性危险和不同装置同时运行。制定一套系统培训方案，涵盖对各级员工培训的明确要求对全体员工进行生产工艺安全培训来提高他们对PSM，特别是对危险/风险判别、并行生产过程、MOC和相关规定的理解和掌握。对PHA领导人和MOC领导人进行强化危险分析培训。提供生产过程模拟，合并对控制台操作人员、工艺技师和值班长的培训，并用来增加对户外操作人员的培训。为培训部门提供足够的资源，并确保培训协调员不会因为执行其他任务而脱离岗位，预算要充足而且要用于培训工作。（一）人员管理8.培训增加教室和现场培训，进一步强调异常/故障检修训练和演练、理解和能力的表现，而不仅仅是通过VTA测试。要确定对演练的明确目标，演练过程中需要一名观察员以确保在不断改进中吸取经验。确保所有的临时升任人员和代职人员和接替人员具有与被代替人员相同的工作能力，并确保由负责生产的管理人员进行MOC分析。制定一个新上岗工程师PSM培训计划，并分派一名辅导员。用新的工程师作为抄写员，这样他们可以学习工艺和风险。（一）人员管理9.机构精简机构，明确责任，重点关注施工、维护