1. 事故简介2004年8月19日，位于美国加利福尼亚州Ontario的Sterigenics国际公司的空气污染控制装置和医用品灭菌柜内发生一起爆炸事故，造成4名工作人员受伤，生产装置严重破坏，停工9个月，如图1所示。事故发生时，维护人员通过输入密码跳过了计算机控制的保障措施，导致灭菌柜门过早打开，造成含有环氧乙烷（EthyleneOxide, EO）的爆炸性混合物通过灭菌柜通风系统被排放到催化氧化器（内有明火）中，环氧乙烷立即被点燃，火焰通过通风导管迅速回窜到灭菌柜中，造成约22.7kg环氧乙烷被点燃，并发生剧烈爆炸。爆炸事故中涉及的装置平面布置和关键设备如图2所示。
图1：事故现场图
2. 事故背景2.1 环氧乙烷特性环氧乙烷（EthyleneOxide, EO）具有可燃性和毒性。美国职业安全与健康管理局（OSHA）通过2个独立的法规对环氧乙烷进行管控：环氧乙烷（29CFR 1910.1047）和高危险性化学品过程安全管理（ProcessSafety Management of Highly Hazardous Chemicals, PSM）。同时，环氧乙烷还受美国环境保护局（EnvironmentalProtection Agency, EPA）管控。 （1）可燃性 环氧乙烷是一种高活性化合物，化学式为CH2OCH2。环氧乙烷/空气混合物的燃烧下限是2.6%，燃烧上限是100%，因为在没有空气或氧气的情况下，纯环氧乙烷也可以燃烧。在富含气体的管道或通风管内部，环氧乙烷一旦被点燃，其火焰燃烧速度会迅速加快。随着火焰的加速，火焰前端未燃烧的环氧乙烷被压缩和加热，导致更深度、更剧烈的燃烧反应。正是由于环氧乙烷火焰急剧加速的特点，设计和安装可靠的爆炸控制系统非常困难，特别是把环氧乙烷加入到已有工艺设备中时。 为了避免发生爆炸，装置必须把进入催化氧化器的环氧乙烷浓度控制在燃烧下限以下。美国国家防火协会（NationalFire Protection Association, NFPA）规范要求对输往催化氧化器的环氧乙烷浓度进行稀释，低于燃烧下限的25%或者6500ppm。通常情况下，灭菌过程中灭菌柜内的环氧乙烷浓度能达到400000ppm，非常容易爆炸。 （2）毒性 环氧乙烷对人体的急性（短期）影响主要包括中枢神经系统抑郁、眼部和黏膜刺激。慢性（长期）暴露的话，环氧乙烷会造成眼部、皮肤和黏膜刺激，以及大脑和神经功能问题。美国职业安全与健康研究所近期进行的一项研究表明，长期暴露在环氧乙烷环境下会增加男性骨癌和女性乳腺癌的风险。EPA已将环氧乙烷列为可能的人类致癌物，国际癌症研究机构(IARC)把环氧乙烷列为1类人类致癌物。 OSHA规定的允许暴露阈值是1ppm（基于8小时工作日）。对于较高浓度的短期暴露，OSHA规定的短期（不超过15分钟）暴露阈值是5ppm。 2.2 环氧乙烷灭菌工艺Sterigenics国际公司的Ontario灭菌工艺，首先把待灭菌产品放入一个大型的不锈钢柜中，抽真空，并注入纯环氧乙烷，达到灭菌浓度，约400000ppm。环氧乙烷通过破坏维持生命的细胞分子来杀死微生物。经过灭菌处理的医用品必须满足美国食品和药物管理局（Foodand Drug Administration, FDA）颁布的严格的安全法规，涉及医用品微生物含量和环氧乙烷残余量的可接受等级。环氧乙烷灭菌工艺主要包括预处理、灭菌和解析等阶段，如图3所示。 图3：医用品灭菌工艺概况 （1）预处理 医用品灭菌工艺的第一阶段是预处理，根据待灭菌产品的不同，预处理阶段持续时间约6~24小时，形成高等级湿度的环境，温度约27~49℃。该阶段主要目的是确保环氧乙烷能有效渗透进入待灭菌产品，并为灭菌阶段提高待灭菌产品的温度。预处理阶段在4个可以控制环境条件的室内进行。 （2）灭菌 预处理阶段完成后，操作人员使用叉车把待灭菌产品移至灭菌柜中，然后对灭菌柜进行密封，准备灭菌处理。控制室位于装置的西侧，操作人员把命令代码输入到计算机过程控制系统（Antares系统），控制并监控灭菌循环的过程。根据待灭菌产品的特性，灭菌循环持续时间约6~15小时。 灭菌循环开始时，首先把灭菌柜初始抽真空，并注入一些蒸汽对待灭菌产品进一步处理，然后注入环氧乙烷。待灭菌产品暴露在高浓度环氧乙烷环境中，同时灭菌柜维持着负压条件至预定时间，称作“气体驻留”阶段。这一阶段结束后，灭菌柜中的气体混合物被排放到一个酸洗涤器中，目的是除去其中的环氧乙烷。此时约60%的环氧乙烷会从灭菌柜中排出。然后灭菌柜会进行一系列的氮气或空气冲洗过程，从而除去剩余的环氧乙烷。灭菌循环顺序如图4所示。 图4：灭菌循环序列 虽然经过灭菌处理产品中的所有环氧乙烷会被除去，但是气体冲洗后灭菌柜中还可能存有一定具有毒性浓度的环氧乙烷，但通常不会达到爆炸浓度。为了吹扫这些残余的环氧乙烷，操作人员会打开灭菌柜门约15cm，同时自动打开通风导管（称作“后部放空口”，位于灭菌柜的后部）。操作人员把灭菌柜门置于开启位置几分钟，对灭菌柜进行通风吹扫，然后工作人员可以安全进入灭菌柜，取出灭菌后的产品。通过后部放空口排出的气体进入催化氧化器，从气流中除去残余的环氧乙烷。 （3）解析 灭菌柜通风完成后，操作人员完全打开灭菌柜门，使用叉车把灭菌后的产品移至解析室中。解析室中的循环空气也会被排放到催化氧化器中，除去任何残留的环氧乙烷。 2.3排放控制EPA和加州空气资源委员会（CaliforniaAir Resources Board, CARB）关于环氧乙烷的排放标准，要求灭菌装置必须除去其气体排放物中的环氧乙烷。此次事故涉及的Ontario灭菌装置在1994年建造时，安装了催化氧化器，以满足上述气体排放物标准的要求。后来，其他使用环氧乙烷的灭菌装置发生了多次爆炸事故，1998年，Ontario灭菌装置又增设了一个酸洗涤器，用于处理灭菌和气体冲洗阶段结束时从灭菌柜排出的高浓度气体。但是，该套装置继续使用催化氧化器处理从灭菌柜后部放空口和解析室排出的低浓度排放气，因为酸洗涤器不能满足CARB的气体排放物标准。 （1）酸洗涤器 酸洗涤器较催化氧化器更安全，因为酸洗涤器不使用明火和热源。酸洗涤器使用水和硫酸的溶液把气态环氧乙烷转化成乙二醇溶液，然后送去废水处理装置。酸洗涤器非常适合高浓度排放物的处理，但是针对从灭菌柜后部放空口和解析室排出的低浓度气体，酸洗涤器不能达到加州气体排放物的处理标准。所以，Ontario灭菌装置继续使用催化氧化器来处理这部分排放物。 （2）催化氧化器 一系列的螺旋状钢制导管连接着一个管汇，把含有环氧乙烷的排放气送至催化氧化器。一个换热器和使用天然气的燃烧室（明火）把进入催化氧化器的空气加热至约149℃，到达这个温度时，环氧乙烷才能和催化剂床中的金属合金发生反应，环氧乙烷分子转化成二氧化碳和水蒸气，从而除去环氧乙烷:，如图5所示。 图5：催化氧化器示意图 为了防止对催化氧化器造成破坏，催化氧化器设有几个安全特性，但是都不具备防止高浓度灭菌柜排放气被点燃的功能，也不能探测和阻止火焰从催化氧化器回窜到灭菌柜中。 3. 环氧乙烷爆炸事故发生过程3.1 事故发生前2004年8月19日，上午约1:30，灭菌装置的Antares系统发生报警，显示7号灭菌柜中注入环氧乙烷失效。操作人员在控制室中立即进行了数次常规系统检查，确定报警是否准确，但是没有发现任何问题。然后他叫来操作班长商量，他们决定中止灭菌循环过程。按照公司规定，他们使用了控制室操作台上的循环中止按钮。循环中止完成后，操作人员把灭菌柜中的产品转移到解析室中，灭菌柜门敞开着，等待维护人员进行检查维修。 维修监督上午约7:30来到现场，立即安排2名技术人员解决环氧乙烷注入问题。技术人员进行了一系列测试，并注入约1.8kg环氧乙烷进行了简短测试循环，没有发现任何问题。技术人员最后又使用约56.7kg环氧乙烷进行了最终的校准循环，注入过程同样正常，没有问题。技术人员已经排除了环氧乙烷注入系统的问题，并急于让灭菌柜恢复使用，于是技术人员向维修监督请求许可，跳过最后的气体冲洗阶段，提前完成循环过程。技术人员认为灭菌柜中已经没有残余的环氧乙烷，所以没有必要进行气体冲洗。维修监督同意他们的观点，同意提前完成循环过程。 3.2 事故发生为了提前完成循环过程，维修监督口头告知技术人员密码，技术人员把命令和密码输入到Antares系统，跳过了气体冲洗阶段。几分钟后，技术人员把灭菌柜门开启至预定的通风状态，自动打开后部放空口，导致残留在灭菌柜中的约22.7kg环氧乙烷进入通风系统。环氧乙烷立刻从灭菌柜门开口处泄漏出来，引起附近区域的可燃气体监测仪报警。但是，报警没有留下足够的时间去关停催化氧化器或者疏散装置人员。携带着环氧乙烷的空气进入催化氧化器，并被点燃，火焰通过通风导管回窜至灭菌柜，点燃了剩余的环氧乙烷，引起剧烈爆炸。爆炸过程示意图如图6所示。 图6：爆炸示意图 4. 环氧乙烷爆炸事故分析4.1 爆炸源根据通风系统和7号灭菌柜破坏的位置和程度，可以看出爆炸性混合气体（携带环氧乙烷的空气）是从通风导管进入催化氧化器的，在催化氧化器中被明火点燃，然后火焰又从通风导管回窜至灭菌柜中，最终导致剧烈爆炸。火焰快速燃烧和蔓延过程中产生的爆炸超压，造成整个灭菌柜结构严重破坏，如图7所示。 图7：爆炸后的7号灭菌柜 4.2 工程控制措施根据美国化工过程安全中心（Centerfor Chemical Process Safety, CCPS），过程安全的基础是工艺设计，包括控制系统、报警和联锁、安全停车系统、应急响应和培训等。但是，如果基本的保护系统失效的话，则必须采用可靠的备用系统控制危险。 （1）浓度控制设计措施 阻止Ontario环氧乙烷灭菌装置爆炸事故发生的关键是确保高浓度的环氧乙烷气体混合物不能接触点火源（例如催化氧化器）。事故发生时，Ontario环氧乙烷灭菌装置的工艺设计措施包括灭菌柜压力监测、排空和气体冲洗、以及联锁系统。在最初的灭菌循环设计阶段，Antares系统通过指令顺序编程控制上述功能。 Ontario环氧乙烷灭菌装置通过间接的监测灭菌柜浓度，验证灭菌柜是否达到了FDA要求的环氧乙烷等级。但是，不能监测灭菌柜中环氧乙烷的爆炸性浓度。事故发生前，当循环序列被中断时，工作人员无法确定灭菌柜中的环氧乙烷浓度是否处于爆炸范围。 在灭菌循环过程中的排空和气体冲洗阶段，会把高浓度的灭菌柜气体送至酸洗涤器进行处理，除去灭菌柜中达到爆炸浓度的环氧乙烷气体。为了防止灭菌柜门的误打开，设置了充氮门垫和压力传感器等联锁。 Ontario环氧乙烷灭菌装置还设计了4:1的放空气稀释气，确保灭菌柜里的最终环氧乙烷浓度低于25%LEL，所以装置人员认为不可能存在爆炸性浓度气体进入催化氧化器的情况。但是，他们没有预想到在循环结束后会有大量环氧乙烷留在灭菌柜里。CSB调查组估计，爆炸发生前灭菌柜中的环氧乙烷浓度约为18%（180000ppm），是LEL的6倍。 （2）控制室设计和位置 用于监控和控制灭菌过程的控制室距离7号灭菌柜约23m，控制室有6面玻璃窗户，可以看到整个灭菌柜区域。爆炸对控制室结构造成的破坏较小，但是所有的玻璃都被震碎了。控制室窗户玻璃都是钢化玻璃，没有进行防碎处理，而且控制室墙壁也没有考虑抗爆设计。事故中所有的人员受伤都是控制室玻璃破碎飞溅造成的。 该装置最初的设计人员表示，由于操作人员需要观察灭菌柜的操作情况，所以控制室安装玻璃窗户是有必要的，另外，控制室在设计和建造时没有考虑任何的爆炸安全措施。设计人员应避免在存在潜在爆炸超压的区域使用普通或者钢化玻璃窗户。如果必须靠近工艺区域，而且需要观察操作情况，可以采用更安全的措施代替钢化玻璃窗户，例如视频监控和防碎玻璃等。 4.3 培训根据OSHA的危害告知（HazardCommunication , HAZCOM）标准，可能接触危险化学品的所有员工必须接受关于这种特定化学品以及工作场所内可能遇到的物理危害等方面的培训。另外，OSHA的PSM标准明确规定培训内容必须包括工艺概况、操作规程、适用于员工作业任务的安全作业实践等。 通过访谈，CSB调查组发现维修监督和技术人员都认为气体驻留阶段后的第一次排空已经除去了所有残留的环氧乙烷，灭菌柜中不会存在危险浓度的环氧乙烷，所以当时他们决定提前结束循环过程。包括其他员工，他们都认为气体冲洗阶段的唯一目的是除去被已灭菌产品吸收的残余环氧乙烷。由于当时灭菌柜中没有产品，不存在产品吸收环氧乙烷的情况，所以他们认为没有必要进行气体冲洗。在接受访谈的10名员工中，只有管理层和高级工程技术人员理解气体驻留阶段后的第一次排放只能除去55%~60%的环氧乙烷，即使在灭菌柜没有产品的情况下，气体冲洗是一个非常必要的安全措施。 Ontario环氧乙烷灭菌装置的大部分正式培训主要针对生产操作人员，没有为维保人员制定特定作业的培训项目。这些维修技术人员一般是从生产专业转过来的，他们参加过相关的操作培训和作业经验，了解装置的总体工艺知识。CSB调查组审阅了Ontario环氧乙烷灭菌装置投产以来的所有培训材料，发现了很多关于跳过气体冲洗过程可能导致潜在爆炸风险方面的材料。大量资料中明确了，只有管理层拥有修改灭菌循环序列的权限。1997年进行的一次操作人员培训中，提到了第一次排空只能除去约60%的环氧乙烷，而且气体冲洗过程在任何情况下都是必须的。事故发生当天当班的维修监督是之后聘用的，没有接受过这个培训。 4.4 工艺危害分析常规的工艺危害分析（ProcessHazard Analysis, PHA）会识别和评估危险事件发生的可能性以及相应的安全后果严重程度，以确定对员工、装置、附近社区和环境造成的风险。PHA最终目的是通过预防化学品事故发生和控制事故后果来提升工艺过程的安全性。OSHA和EPA要求对装置范围内的每一个工艺进行一次初步的工艺危害分析，并至少每5年重新评估一次，确保与装置现状的符合性。 1993年11月，装置开车之前，Ontario环氧乙烷灭菌装置进行了第一次工艺危害分析，识别出16个不同的危险场景，并提出了13个建议修改项。这些危险场景都没有涉及催化氧化器的潜在爆炸风险。但是，这次PHA识别出“灭菌柜内存在环氧乙烷时灭菌柜门打开”和“软件失效导致高温”两个危险场景，记录中显示由于设有自动控制系统（Antares系统和催化氧化器高温限位开关），这两个危险场景的后果均为“无影响”。这次PHA没有识别和评估其他的工程控制措施和保护层。 1996年，Ontario环氧乙烷灭菌装置进行了再评估，同样没有识别出任何爆炸危害场景。由于催化氧化器内部存在过热和损坏催化剂床的风险，分析团队建议增加LFL（燃烧下限）监测和报警，但是Sterigenics公司并没有执行此项建议，没有增加准确的、安全的监测措施。 2001年，Ontario环氧乙烷灭菌装置再次进行了PHA，识别出催化氧化器存在的灾难性爆炸场景，但是只建议装置研究一下为催化氧化器安装爆炸泄压设备的可行性，没有特别说明爆炸的原因和其他任何潜在失效。事故发生时，该装置没有安装爆炸泄压设备。 5. CSB调查组建议（1）Ontario环氧乙烷灭菌装置应回顾并修订其工艺危害分析程序，确保全面识别、评估并记录相关的危险场景。 （2）Ontario环氧乙烷灭菌装置应评估现有的工艺控制措施，并安装适当的安全保护措施，例如灭菌柜和排放物实时浓度监测，设置报警、联锁或快速响应控制装置等。 （3）Ontario环氧乙烷灭菌装置应确保其所有拥有灭菌循环序列修改权限的人员具备足够的生产经验和培训，有能力做出安全决策。培训应强调物料可燃性危害以及灭菌柜气体冲洗过程的必要性。 （4）Ontario环氧乙烷灭菌装置应确保其控制室和其他距离灭菌工艺区域较近的工作室的位置或设计，应能保护其内部工作人员免受爆炸事故的危害。 （5）NFPA应根据该事故调查报告结果回顾并修订《消毒和熏烟用环氧乙烷的储存,处置及使用标准（NFPA 560 Standard for theStorage, Handling, and Use of Ethylene Oxide for Sterilization and Fumigation）》，包括关于合适的安全保护措施方面的要求，例如灭菌柜和排放物实时浓度监测，设置报警、联锁或快速响应控制装置等。 （6）CSB调查组建议各协会、机构和企业将该事故调查报告的结论和建议措施与其会员和相关企业进行分享，从真实事故中吸取教训，避免类似事故再次发生。 事故案例分享： |
|
|
