一、事故简介
2011年7月11日凌晨4时，中国石油炼化有限责任公司惠州炼油分公司芳烃联合装置400单元的重整生成油分离塔塔底B泵着火，下午17时明火被完全扑灭。火灾未造成人员伤亡，消防污水未造成周边海域污染。
二、事故经过
    2011年7月11日4时左右，芳烃联合装置吸附单元内操中控室发现火情，从视频监控画面看到吸附单元管廊下的重整油塔塔底泵区域出现火焰，位于P402A泵和P402B泵之间，高度约2米。内操立即通知芳烃装置吸附单元外操进行现场确认，同时通知调度，并采取切进料措施。10分钟后火势迅速扩大，内操立即调阅DCS相关画面，此时重整油塔（C-401），重整油塔回流罐(D-401) 底部切断阀己关断、重整油塔回流泵(P401A),重整油塔塔底泵（P402B）已经停止运转。内操立即进行芳烃联合装置的紧急停工，通知重整单元立即切断重整的送料。调度接到通知后，立即启动应急预案，通知应急领导小组人员。芳烃装置外操、重整装置外操及班长接到中控的通知后，立即赶往现场，发现P402A/B泵之间发生火灾，但由于火势发展很快，现场已难以扑救，班长打开了白土塔北侧的消防炮后撤离，并通知内操立即报火警。4时25分消防队赶到现场，直到17时明火才被扑灭。事故造成重整生成油分离塔塔底泵((111-P-402A/B)的轴承、密封及进出口管线及附近管线、电缆及管廊结构等损毁，热辐射影响了周边的重整生成油分离塔（111-C-401）和抽余液塔（111-C-601）的外保温层以及周边的配电间外墙和变压器。
    三、事故原因
（1）直接原因
①由于P402B泵非驱动端的止推轴承损坏，造成轴剧烈振动和轴位移，导致该泵非驱动端的两级机械密封的严重损坏造成泄漏，泄漏的介质遇到轴套与密封端盖发生硬摩擦产生的高温着火。
    ②由于初期火情未被及时发现和扑灭，导致P402B泵上方的其它管线被烧断，使火势扩大、蔓延、迅猛，成为火灾事故。
(2)间接原因
①P402B泵的切换过程中已经发现异常情况，但未引起维保、外操、设备管理人员的足够重视，没有及时终止切换，使P402B泵带病投入运行，同时，监护运行的措施也不落实。
②外操巡检和维保人员在事故之前，巡查不认真，没有发现异常情况，如轴承高温、振动、泵声音异常、介质泄漏，也没有及时发现初期火情，错失了控制火灾的最后时机。
③由于DCS通道不足，仪表系统没有按照规范设置泵的机械密封油罐低液位信号，进入控制实的信号只设置了状态显示，没有声光报报警，控制室值班人员无法及时发现异常情况。
④可燃气探测系统的固有局限，又没有其它火灾探测系统，使初期火不能被仪表系统和控制室值班人员察觉、发现并控制。
    四、事故原因分析
    1、着火时间和其它关键事件时间点的确定
初次出现火情的时间在7月11日04:05:45之前，准确时间无法判断;惠炼消防队接警时间应为04:08:21左右;内操在中控视频上发现火情的时间应在04:06:06。
    2、着火点的确定
    P402B泵的运行记录显示，该泵曾经有振动偏高的情况，特别是在7月9日上午刚从P402A切换到P402B泵(正常运行切换)，切换过程并不顺利，从上午10点开始，到下午18:30才完成切换。切换运行后，P402B泵的振动仍较大，处于监护运行状态。
对P402B泵进行拆检，发现泵的非驱动端轴承和机械密封严重损坏，且有高温的痕迹，驱动端轴承和机械密封却基本保持完好，泵的外壳有过火的痕迹，但基本保持完好。因此，分析认为，泵的内部损坏在先，其后引起火灾。
根据上述情况，初步判断P402B泵首先出现着火的可能性最大，由于机械密封失效导致重整油泄漏，泄漏过程中遇点火源导致火灾。
3着火原因分析
（1）P402B泵的拆检结果
拆检报告表明：P402B泵非联轴器端（非驱动端）轴承箱内角接触球轴承滚珠数量缺损，部分磨损，呈不规则形状，部分碎裂，轴承保持架熔化，另一轴承外圈在轴承箱体内，轴承内圈磨损严重，与轴承套烧结粘连在一起。泵非联轴器端机械密封外密封动环、内密封动环已经粉碎，波纹管失效，外密封静环破裂，磨损严重，内密封静环粉碎。
（2）机械密封损坏介质泄漏着火
非驱动端的轴承损坏，导致泵轴非驱动端失去径向支撑和轴向定位。轴承失效后泵继续运转，泵轴非驱动端严重的径向跳动造成机械密封轴套和密封外端剐蹭变形，当轴径向跳动大于2mm时(标准要求径跳小于0.05mm),密封轮套首先会和大气侧静环接触，造成静环裂，其后会与外端盖摩擦引起外端盖内孔变形当泵轴发生2.7mm以上的轴窜动（标准要求小于0.13mm）强烈的轴位移有可能将内、外密封静环击碎。在极端的情况下，径向跳动和轴向位移使密封组件发生非正常摩擦并产生高温，波纹管受热变形失去弹性，内外密封静环同时破碎。这样，轴承损坏导致泵的密封完整性被破坏，形成介质泄漏的通道。
    轴承损坏后，轴套与密封端盖发生硬摩擦后产生高温，超过介质的自燃温度(根据油品介质的组分，其自燃点约为450-500℃)当泄漏的介质遇到高温物体时点燃。
    泵内不断泄漏的油品持续燃烧，导致周围油管线损坏，进一步加大火势。事故演变的过程。
    4、设备运行、监护及巡检
    （1）P402B泵带病投入运行
根据惠炼公司《各用设备管理制度》(海油惠炼生【2010】年105号附件1)中要求，在保证设备完好的情况下，要求运行部对备用设备街季度切换一次。运行三部《操作规程》中“离心机的切换章节”也给出了详细的切换程序。
惠炼公司《备用设备管理制度》中第九条规定:“带有联锁或参与工艺联锁的设备切换应尽量避免在周末或其他节假日进行:设备切换时要及时通知运行部、保运单位等相关工程师到现场”；对于非联锁设备和不参与工艺联锁的设备切换作业时间和参加人员，没有明确规定。P402A/B泵不带有联锁，也不参与工艺联锁。
运行三部技术助理要求在7月底前由A切换至B泵，但具体切换时间由生产班组安排。鉴于日常作业内容繁多，7月9日(星期六)作业量比日常较少，故当班的生产班长安排生产及维保人员实施切换泵作业。
上午10:00开始做切换工作，分别因为振动大和出口压力低，两次切换后又换回A泵。16:10时拆入口过滤器、清洗过滤网后，于18:30时再次切换成B泵运行。维保人员做振动检测，检测值达到8. 1mm/s，认为振动过大，对操作员说“振动有点偏大，先这样开着”。维保人员电话请示技术助理后，技术助理要求维保加强巡检，监护运行。7月9日当天技术助理并不当班，只是因为别的事到了公司，被维保人员问及切换泵的事，就提出加强巡检、监护运行。
（2）对P402B泵运行监护不到位
    P402B泵切换运行后，由于技术助理没有特别交代要如何加强巡检、如何监护运行，公司也没有任何程序说明或解释该如何做监护运行，如何增加巡检、检测的频次、谁决策继续或停止监护运行，等等。维保人员在9日19:00,20:00,21:00时做了三次振动检测（只在纸质的交接班记录中记录，在电子巡检系统中没有找到该数据）后就没再继续监测，10日早上8:53时又做了一次振动检测。
    5、为何未能及时发现火情
（1）DCS系统不能发现异常
惠炼工艺控制系统包括DCS(集散扑制系统)和SIS(联锁保护系统)系统，控制并记录工艺操作和联锁报警过程。在火灾前和火灾初期没有发出任何异常信号。查阅所有相关温度、压力、流量等DCS记录，均未在火灾时间前甚至在联锁关停前出现异常波动。工艺DCS系统未出现波动和及时报警的原因，一是泄漏和火情是突然发生的，之前工艺系统没有异常波动；二是由于初期泄漏量引起的流量和压力变化率不大，未被控系统识别。由于外操人员赶到现场时已无法靠近泵区按现场停车按钮，所以应该是火焰烧断了附近的控制电缆(大约在火情发生后4分钟)，引发了一系列的信号动作。
    （2）泵的报警信号缺陷
泵的机械密封仪表信号:P402B泵的密封方案为Plan21+52，两级机械密封。在原设计中。出于对泵的机械密封泄漏情况进行监测的目的，机械密封生产厂家提供了密封油罐液位高/低报警和压力高报警开关，其工作原理是:在泵正常运行的情况下，由于二级密封在低压的白油中轻载运行，密封寿命相对于一级密封会更高，当一级密封失效时，介质漏到两套密封之间的缓冲液中，此时二级密封仍能阻挡介质的泄漏，压力开关和液位开关会发出报警信号，为泵的切换赢得时间。如果外侧密封先于内密封泄漏，密封冲洗液会泄漏到大气中，此时低液位开关将发出报警信号。如果在极端情况下，两级密封同时泄漏，且泄漏的程度相当，也可能不会使压力高报警和液位高报警开关动作，但液位低报警开关可能会动作。
P402B泵实际的密封信号设计:调杏表明P402B泵的报警信号设置不符合AP1682的要求，AP1682规范要求密封油罐应该设置压力高、液位低报警功能。惠炼仪表索引表中针对P402B只有4个信号，一段和二段密封油罐压力高报警、一段和二段密封油罐液位高报瞥，且只有DCS状态显示，没有设置声光报警。现场勘查表明这4个信号线均引入中控DCS系统，但中控显示只有3个信号指示，即驱动端（一段）密封油罐的高压和高液位，非驱动端（二段）密封油罐的高液位，只显示状态（红色和绿色），没有声光报警或在屏幕上弹出报警位号，DCS系统也不记录。所以P402B泵的仪表设计不符合AP1682的要求，实际设置也与仪表设计不一致。原因是建设期间相应的而现场接线箱的备用通道不足，而且FAR6机柜与现场接线箱的主电缆已全部敷设完毕，汇线槽盖已敷设完成，增加主电缆和现场接线箱会使原本己滞后的施工进度更加滞后。经设备工程师和仪表工程师商议，动设备工程师同意每端密封油罐仅保留一个压力高报信号远传，每台泵的密封油罐保留4个仪表测点，随后仪表工程师电话通知洛阳设计院进行变更设计。
在联校和验收阶段，密封油罐高压和高液位状态显示分布在各个流程图画面中的泵两侧，画面显示与DCS组态及现场设备按线是一致的。后来，运行三部为了方便集中监护，取消了各个流程图画面中密封油罐高压高液位的状态显示，集中设置在“芳烃机泵电机和润滑油系统DCS画面”中。
（3）人工巡检未发现异常
①巡检制度
巡检分运行部班长与外操人员巡检和维保巡检，班长与外操负责装置现场巡回检查，巡检主要采取“听、莫、看、闻、查”的检杳方法，定点、定时对本岗位所辖区域的设备、管线、阀门、仪表和安全、消防设施进行检查。对于泵的出口压力、阀门、燃料气压力、流量、液位等通过巡检人员根据据现场查看输入巡检电子仪，按照生产运行部制定的运行巡检标牌规定的路线、内容、时间规定实施，巡检频次2个小时巡检一次。
维保单位巡检主要负责设备监测，通过电子巡检仪器对巡检装置区的设备运行状态监测，并以听、看、摸的方式实施现场检查且对异常予以记录。维保人员按生产运行部制定的现场设备巡检标牌要求每日分别在8:00-12:00，及1::00-17:00各巡检一次，其中用智能点检仪1次/天点检，并子以记录。
    ②交接班和巡检制度不落实
查阅7月9-11日的巡检记录和交接班记录，除了9日下午交班时提到“P402B清完过滤器后，重新启动，振动偏大，注意监护，汇报XX”外，虽然在访谈中有人表示有口头交接，但无任何交接班记录提到此泵。查阅9日至11日凌晨的电子巡检记录，外操电子巡检记录关于P402B泵的巡检大约1. 5-2小时一次，只有出口压力记录11日2:39巡检第五站记录P402B泵出口压力为2. 4MPa，而且此次巡检只用了29分钟(02:30-02:59)，仅为正常巡检时间的三分之一，之后直到事故发生前再没有巡检记录，除此之外没有其它任何涉及P402B泵的相关交接班记录信息。
调查组认为:对于P402B泵交接班没有特别提示的记录，交接班过程中缺少对该泵监护的信息传递，巡检时没有特别关注这台泵，在泄漏着火时又没有巡检人员在现场。所以火情发生前后巡检人员都没能发现异常。
    6、可燃气探头不能及时报警
惠炼共有可燃气探头955个，其中在芳烃联合装置区有144个，距离P402B泵最近的有为AT4001(约8.8m), AT4003(约12.8m), AT60tf24(约9m)，安装高度约30-40厘米左右，安装高度和距离都符合规范的要求。可燃气探头的类型为ESD200，标定气体为甲烷气，日常检测为每季度一次，报警设置为25%和50%LEL。
事故前探头处于正常状态。查阅探头报警的时间，AT60014在04:13:19时报警，AT4001在04:14:57时间报警，均在着火时间之后，探头未报警的原因很可能是油品泄漏后尚未扩散就立即燃烧，之后报警可能因为燃烧后产生的其他气体导致探头报警。
    如果在装置区有UV/IR火焰探测系统，也许可以提供少灾初期的报警，但目前国内的GB50160-2008石油化工设计防火规范中没有相关要求。
调查组认为:虽然可燃气探头的设计和布置符合GB50160规范要求，但因其固有的局限性，泄漏的油品未扩散就立即燃烧，所以探头在着火前无法探测并报警。
    7、事故原因分析结论
通过对火灾发生、发展和蔓延过程进行洋细调查发现，事故是由诸多错误和问题导致的，用事故屏障模型分析发现，从火险到火势持续蔓延的过程，多项防止事故发生的屏障失效：
（1）轴承损坏—重整油塔塔底泵(P402B)非驱动端轴承受损，产生轴振动、轴位移、直至轴承箱体内部各部件严重损毁，轴套与密辫嵘雄发生硬摩擦产生高温，轴承箱体内外高温，形成点火源。
（2）机械密封损坏—由于上述轴承损坏，造成泵非驱动端两级密封严重损坏、漏失，形成泵内油品泄漏通道，成为初期火的燃料源。
（3）异常状态不能通过信号反馈到中控—泵轴承箱体和泵机械蜜封的异常信号没有传输到中控系统，或没能在中控系统形成报警信号，也没有其它仪表信号能将异常波动警示中控人员。
（4）人员监护不到位—旋转设备的振动监管失效，导致异常现象被忽略;现场监护、操们巡检流于形式，导致严重异常状态没被及时发现。
（5）初期燃料无法被及时阻断—泵的入口与重整油分离塔相连，管线和塔内的油品不断流出，立即在泵周围形成大火。
（6）探测系统未报警—在着火之前，该装置区设置的可燃气探测系统无无法获取信息，在火情初期，也没有任何其它自动探测力式监测火灾信号，使控制系统报警。
（7）初期火灾未能控制—该区域固定灭火装置（消防炮）设置在管廊外，只能作为冷却用，管廊内的设备没有喷淋或灭火设施，初期火灾不能被扑灭。
（8）持续的燃料供给不能被切断—初期火灾火势扩大，导致泵上部管廊油管线损坏，从而导致该区域管廊上所有管线都成为燃料供给源，当管线烧断时管内联通的所有物料都通过断口流向火源，进一步加大燃料供给，提供了持续燃烧的基础。
经过本次事故全面的调查和分析，结论如下:
由于芳烃联合装置中P402B泵的轴承损坏、导致泵机械密封损坏，密封泄漏，轴套与密封端盖发生硬摩擦产生高温，泵介质泄漏后形成初期火。随后，对初期火报警、消减、扑救等措施的缺乏，导致火焰燃毁泵上方的管廊、烧损管道，管道中存在的介质成为补充燃料源，是火势蔓延、持续。
这起事故是由于P402A/B泵的切换过程中己经发现异常情况，但未引起维保、外操、设备管理人员的足够重视，没有及时终止切换，使P402B泵带病投入运行，同时，监护运行的措施也不落实，设各维保、监护、巡检等环节出现管理漏洞，加之设计、建造阶段留下的隐患，诸多因素共同作用下发生的从火险演变成火灾的过程，整个过程暴露出多方面的管理责任不落实。因此，这起事故是综合因素导致的责任事故。
    五、反思与建议
    (一)事故反思
1、火情没能在初期被扑灭
由于DCS系统没有发出提前报警，巡检人员没有及时发现初期火情，泄漏的是C8+芳烃(汽油的主要成分)，而且泄漏就着火，着火就迅速蔓延。所以等到外操人员赶到现场时已经无法靠近使用手提式灭火器火火了。
惠炼消防车陆续到达现场的时间应该大约在4点13-16分30秒之间，此时火势已经很大，单靠惠炼的消防力量已无法在短时问内扑火了。
该区域和泵的附近没有自动水喷淋或其他固定灭火系统，消防水炮设置在管廊外，在P402B泵附近共有三支消防水炮，外操人员赶到现场时已无法靠近，致使初期火灾不能扑灭。
根据GB50160-2008石油化工企业设计防火规范，该规范涉及消防的章节（8.6.6)要求：液化烃泵、操作温度等于或高于自燃点的可燃液体的泵，当布置在管廊、可燃液体设备、空冷器等下方时，应设置喷雾（水喷淋）系统或用消防水炮保护泵，喷淋强度不低于9L/M2•min。
由于P402A/B泵只是泵送液态烃，不属于液化烃泵，操作温度200℃，物料自燃温度为450-500℃，不属于热油泵，且上方除管线外没有其它工艺设备，所以周围没有设置其他固定灭火系统，只设置了消防水炮。咨询了设计单位中石化洛阳石油化工工程公司，认为该设置符合规范要求。在安全设施竣工验收评价报告中对此也未提出异议。
    2、火势迅猛且持久的原因
    （1）火势为何扩大
①起火后泵仍在运行:P402B泵一级机械密封之前的压力为泵的入口压力，约为0.227 Mpa,从最早有记录的起火时间04:05:45算起，到04:09:53重整油塔塔底阀(泵入口)关闭、泵停车之前，人约经过了4分钟时间，这4分钟泄漏出的油品成为着火初期的燃料来源。此期间的泄漏量虽无法准确估算，但足以会引起剧烈燃烧。
②停泵后油品继续泄漏:当重整油塔塔底阀(泵入口)控制电缆被烧毁，阀门关闭后,泵停车，按照P402B泵进口管线的管径300mm、长度6m估算，进口管线油品约为0.3吨，由于进口管线仍然有压力，加之管线周围温度升高，且内外之间存在压差，仍然会有油品从泵机械密封处泄漏。
从泵出口到白土处理器R401入口之前的管线长度为125m,估计油品为2.7吨。由于调查时没有拆检泵出口止逆阀，不能确定止逆阀功能是否完好。根据一般经验，不能排除比逆阀密封状况不良、泵出口管线油品倒回泵体的可能性。
③其它管线烧断后补充燃料:以上几种情形下泄漏的油品持续燃烧，由于油品主要为汽油组分，燃烧剧烈，导致泵体上方管道受热后强度降低，发生蠕变，以至断裂、破裂。其他管线被烧断后不断补充燃料，使火势扩大。
（2）泵、管廊的布局是否合规
此次事故中，火势扩大的一个重要原因是初期的火将管廊上的管线烧断，导致不断有燃料泄漏、起火。
  根据GB50160-2008石油化工企业设计防火规范，该规范中涉及泵和压缩机的章节（5.3.2）要求:液化烃泵、可燃液体泵宜露天或半露天布置。液化烃泵、操作温度等于或大于自然点的可燃液体的泵上方、不宜布置甲、乙、丙等工艺设备。该规范没有对一般机泵和非热油泵布局的具体要求。
由于P402B泵不是液化烃泵，操作温度远低于介质自燃点，而且已经是露天布置，所有布局上没有不符合规范的地方。咨询了设计单位中石化洛阳石油化工工程公司，也认为该布置符合规范要求.在安全设施竣工验收评价报告中对此布局也未提出异议。
3、设备管理出现系统失误是本次事故的管理原因
（1）设计：P402B泵的密封油罐仪表设计不符合规范要求，仪表信号线的安置、DCS信号组态、中拎仪表显示的不一致。
（2）建造：其他一些泵的密封油罐液位观察视镜被遮挡，人员无法读取参数状态，这种现象没有被发现或及时整改。
（3）运行：设各管理程序指向不完整的失效的机泵振动检测标准，监控运行责任不明确，对异常设备的监护运行要求比较模糊，维保发现问题后没有与运行部及时沟通。是设备运行管理的问题。
（4）人员：不能完整地理解机泵振动超标的界限，使得不应投入运行的泵投入了运行，巡检交接班没有正确传递信息;巡检制度执行不到位;日常巡检发现问题不能及时反馈整改建议。
    (二)建议措施
    1、技术建议
    （1）检查芳烃联合装置所有56台泵的密封油液位、压力报警系统开关信号，确保按照规范设置和组态，确保引入控制室，确保全部组态到DCS.确保设置报警功能。在此基础上对全厂机泵密封辅助系统进行个面检查梳理。
    （2）重新梳理设备管理中各类机泵运行的振动监测标准。制造厂家有明确要求的按照厂家提供的标准执行，侧造厂家没有明确要求的通用机泵按照《石油化工旋转机械振动标准》（SHS01003-2004）中振动烈度评定的等级要求，或执行《泵的振动测量与评价方法》（JB/T8097-1999）或等效标准。明确静置设备在C区长时间运行。
    （3）制定机泵检修质量评定标准，高危机泵检修完成后，试运行期间，泵轴承箱振动值必须达到《石油化工旋转机械振动标准》（SHS01003-2004）规定的B区及以上标准。
    （4）对上没有在线监测手段又需要监护的动设备，应推厂使用无线温度、振动在线检测报警仪，作为监控的补充手段，用于临时监护机泵的运行状态。
    （5）以预防重大事故为基准，重新评估在用动设备的风险程度，明确高风险油泵的范围。对于一旦泄漏发生，事故易于迅速扩大的机泵应列入“高风险油泵的范围”。对高风险油泵应增补技术控制措施，包括“在出入口管线增加快速切断阀”。
    （6）系统识别风险，安排工艺系统的HAZOP分析，并形成周期性重审的制度性要求。
2、管理建议
（1）建立对各类技术标准的跟踪识别制度，及时更新相应的管理程序并做好相应的培训。要充分考虑法律法规的要求，切实落实技术标准的合规性评价，统一并完善技术管理的标准，建立严格的标准制定与更改制度与流程。
（2）加强高温油泵等重点设备的维护保养和运行管理工作，细化对备用设备的保养管理规定和操作规程，明确高温油泵等重点设备(含备用设备)定期检查和维保的内容、标准，确保完好备用。
（3）加强班组建设，落实巡检管理，提高现场不间断巡检程度，从细化巡检时间、路线、内容、质量、监督和考核等方面，把巡检作为防范泄漏、发现异常的最后一道屏障。
（4）加强维保队伍的管理，确保检维修和巡检的质量，明确汇报程序，强化对维保队伍的监督考核。
3综合建议
（1）识别、跟踪与炼油有关的行业标准和良好做法。组织力员对行业的先进标准和良好做法进行识别、跟踪。如:易燃易爆、热油泵的机械密封的选型原则和标准；热油泵在装置区的布局原则；炼油厂消防设备和人员的配备要求;重要装置区加装UV/IR火焰探测系统的实践等，加强建设项目设计施工阶段的管理和协调。
（2）建议组织“环保和应急”专项审核。此次事故虽然没有对周边海洋环境造成污染，消防处置也基本有效，但防污染器材的准备、南北厂区事故池之间的公用、火灾初期的现场指挥和协调仍有改进提高的空间。
（3）加强中下游项目设备制造和现场建设的质量管理。在中下游项目建设中引用第三方检验机构协助设备驻厂检验和现场监督检验的做法，防止设备和设施建造过程的质量低下的问题。