2010年米勒德冷藏服务公司氨泄漏事故

懒虫工控

《米勒德冷藏服务公司氨泄漏事故》原文来源：CSB，译者：九月初九
1.事故简介

2010年8月23日，美国阿拉巴马州西奥多的米勒德冷藏服务公司在经历7小时停电后，工人们重启了工厂的氨制冷系统。在启动过程中发生了严重的液击事故，事故导致安装在屋顶上的12英寸吸入管破裂，超过32000磅的无水氨被泄漏出来。除了屋顶管道的事故外，液击冲击波同时也破坏了冷库内的蒸发器管组。

氨气云从屋顶管道中释放出来，穿过工厂的河流，顺风飘了0.25英里的范围，包括停泊在米勒德的船上的船员和800多个正在深海地平线石油公司清理场地外工作的承包商。一名米勒德员工因吸入过量氨而失去知觉。下风处的九名船员和143名场外承包商工人被通报受到氨暴露影响。受害者中，32人需要住院治疗，4人被送往重症监护室抢救。

由于液体的快速减速，“液击”是一种异常的瞬态条件，导致压力急剧上升，可导致管道、阀门和其他部件的损坏。液击可能发生在工业制冷系统中，并且通常会在制冷管道中听到“锤击”声。在低温系统中，高压热气（通常用于除霜）和冷液氨的相遇会导致液击，可导致含氨设备突然发生严重故障。设备故障会导致无水氨泄漏。除了氨泄漏带来的对人健康和生命的安全风险外，如果氨的浓度达到了爆燃点，再遇到火源，则可能发生爆燃事故。

2007年，液击引发了类似的氨泄漏事件，导致另一家冷藏公司发生爆炸。当时，附近喷泉发出的电火花引爆了达到爆燃浓度的氨气云。

本简讯通过分析米勒德冷藏服务公司2010年氨泄漏过程中液击的机理，总结了事故中的经验教训，以防未来氨制冷业中液击的再次发生。

2.事故描述

2010年8月23日上午9:00，米勒德正在向两艘国际船舶装载冷冻家禽。制冷系统发生液击事件导致管道系统破裂，泄漏了32100磅的无水氨。这次事故中泄漏的大部分氨气是通过位于屋顶的12英寸吸入管的受损部分泄漏的（图1）。由此产生的氨气云穿过西奥多工业运河向南移动了0.25英里，一名米勒德员工和在室外工作的场外承包商暴露在了氨气云中。同时，由于冷冻室内空气监测设备检测到室内氨浓度超高，工厂内发出警报。冷库内检测到的氨是由于系统的一部分冷冻室蒸发器集管发生了二次泄漏造成的（图2）。

在运营经理通过内部通讯通知米勒德工厂发生泄漏后，三名米勒德员工爬上屋顶，试图通过关闭通向冷冻室的手动阀来消除泄漏。所有其他米勒德员工都从工厂疏散到氨气泄漏的上风头。大约在下午1:20，开始泄漏后的第4小时，在屋顶上的米勒德员工关闭了阀门，并报告了泄漏情况。由于蒸发器盘管泄漏，导致鼓风冷冻机内释放的氨气污染了800万磅家禽和包装材料。当天晚些时候参与事故处理的工业卫生技术人员在受污染的冷冻室中记录的氨浓度高达7275 ppm 。

2.1 应急响应

大约在接到泄漏通知15分钟后，米勒德工厂经理打电话给911，触发了莫比尔消防部门（MFD）的响应，该部门16分钟后到达现场，危险品技术人员开始评估现场，并开始消除环境影响。运河南岸的西奥多义务消防队也开始行动（图3）。MFD打电话给莫比尔县应急管理局，建议为周围社区安排庇护所，美国海岸警卫队对工业运河进行交通管制。在泄漏发生后不久，在米勒德以南约0.25英里处DWH公司船只和清理现场作业的工人们暴露在氨云中，立即开始出现氨吸入症状。工人们被建议开他们的私人汽车疏散撤离工厂。MFD和救援队在距离DWH清理现场约两英里的一个加油站设立了一个临时收容点，以便收治疏散过来的受到氨云暴露影响的工人。大部分人在临时收容点进行医学检查，另外一些严重的则被送往医院救治。

MFD在到达现场后进行了空气监测。根据MFD的报告，码头上用于氨采样的比色气体检测仪检测到的氨浓度在250至450 ppm之间。美国海岸警卫队当天下午晚些时候进行的空气监测显示，米勒德工厂内的氨浓度为500至600 ppm。

2.2 人员受伤情况

一名米勒德员工和152多名外部工人，包括停靠在米勒德工厂的9名船员，因接触泄漏的氨而受伤。那名室外的米勒德员工正在操作船上的装载起重机，但当他准备自行疏散到安全地点时，陷入氨雾。在从起重机上下来的过程中，他失去知觉，掉到了甲板上，腿受伤。应急小组的另一名米勒德员工没有直接接触氨气，而是在处置氨气泄漏的过程中中暑而求医。停靠在米勒德的两艘挂外国国旗的船只的9名船员也因接触氨而求医。受氨雾影响的143人是与DWH去污现场相关的场外承包商。据报道此次事故中有153人受到氨雾的影响，共32人被送入医院，4人被送入重症监护室抢救。

2.2.1 氨泄漏调查
疾病控制和预防中心（CDC）和美国毒物与疾病登记署（ATSDR）对所有受氨泄漏影响的人员进行了化学暴露评估（ACE）。旨在确定氨泄漏对健康影响的严重程度，并提出公共卫生建议。在氨泄漏后，自2010年8月25日开始，ATSDR流行病学家及工作人员进行了为期两周的实地调查。在现场调查期间，ATSDR对DWH工人进行了访谈，并审查了医院医疗记录，以确定暴露的特征。ATSDR称受氨泄漏影响的人在24小时内发现有呼吸短促、头痛、咳嗽、眼睛刺激、恶心、胸痛和头晕等症状。事故发生当天在米勒德河对岸工作的800人中，有116人报告有症状并参加了ACE调查（14.5%）。在泄漏后的最初24小时内，71%的人头痛，64%的人呼吸短促，62%的人咳嗽。大约40%的受害者在泄漏两周后仍然声称这些症状未消除。ACE调查建议当地卫生部门监测暴露工人的长期健康影响。CSB在2014年对县卫生部门进行了跟踪调查，没有得到暴露受害者的长期健康影响报告。
3.液击
液击是指当流动液体的速度发生快速变化时，管道或设备中可能出现的突然局部压力峰值。水击通常被称为“水锤”，常见于在家庭和工业环境中的水和蒸汽系统中。在氨制冷中，液击事件会产生极高的冲击力，可能导致管道、阀门和其他设备的破坏性故障。当同一管路中存在气液两相，并在受到体积发生瞬态变化的干扰时，通常会出现最高冲击力。中等的液击产生的压力波可以通过管道或阀门发出的敲击声来体现。

液击的类型:

在氨制冷系统中，三种常见的成因：

•液体突然减速或“水锤”：输送流动液体的管道中的阀门快速关闭，液体突然停止流动时，阀体和连接管道内的产生一个压力波。

•蒸汽推动产生的液塞（vpls）：高压蒸汽流过含有液体的管线时，在带动液体流动的过程中使得液体充满某段管道，从而形成“液塞”。这些液塞就像**膛里的子弹，被蒸汽加速到接近蒸汽的流速，一旦遇到障碍物，如阀门或管道端盖。液塞的动量传递给障碍物，从而产生冲击波。

•凝结冲击（CIS）：高温的高压制冷剂蒸汽在低温的含有气液两相的管路中迅速冷凝，因为氨蒸气冷凝，它的体积会大幅度减少（减少约1000倍），从而形成局部真空，真空区附近的液体被压力差加速。当加速液体与邻近被反向加速的液体或管壁等发生撞击的时候，就会发生凝结冲击。

破坏性液击事故在氨制冷系统中经常发生的是凝结冲击。凝结冲击事件通常与蒸发器在使用热的气态制冷剂解冻期间和之后从高温高压到低温低压的切换有关。系统故障点通常包括蒸发器、相关管道附件（例如，吸入截止阀）、蒸发器入口管道和蒸发器出口总管。根据对故障部件的检查和对蒸发器除霜系统事故发生时的状态回顾，米勒德氨泄漏事故很可能是凝结冲击、液塞或两者的组合导致蒸发器集管破裂的结果。液塞和凝结冲击是在液体和蒸汽输送管路中都可能出现，在发生液击的时候经常会同时出现。

4. 氨制冷系统

米勒德冷藏服务公司经营着一个143000磅的氨制冷系统，该系统提供了五个产品冷藏库和三个鼓风式冷冻库。米勒德通过海运将冷冻肉制品运往国外。米勒德工厂的液氨制冷系统设计设计温度为-40°F至110°F，额定工作压力范围为8.8英寸汞柱真空（4.32psi（g））至210 psi（g）。

当系统中的氨从液体转变为蒸汽时，制冷系统从冷冻室中吸收热量。然后氨蒸汽被压缩并凝结成液体，在系统中不断循环。制冷系统是一个封闭系统，在制冷循环期间不会产生或消耗氨（图4）。

4.1 无水氨特性

无水氨（NH3）在常温常压下是无色气体，具有强烈的刺鼻气味，比空气轻，易溶于水。当液态氨释放到大气中时，它与空气中的水分结合形成气溶胶，并产生可见的白雾。由此产生的雾密度大，往往沿地面移动，这对附近的工人和公众尤其危险。氨对眼睛和呼吸系统有刺激性，在高浓度下会致命。此外，如果无水氨-空气混合物的浓度在爆炸限内遇明火会发生爆炸。

4.2 除霜模式

在大型制冷系统中，低温的液氨通过压缩机泵到位于冷库和鼓风式冷冻机中的蒸发器盘管中，以冷却这些空间内的空气。盘管内的制冷机蒸发吸收了空气中的热量，使空气温度降低，空气中的水蒸气在盘管表面结霜。蒸发器表面的霜会降低传热效率，导致蒸发器的制冷能力显著降低。热气除霜是一种常用的技术，它中止正常制冷模式，让压缩机排出的热制冷剂通过盘管来加热蒸发器表面，从而周期性地融化蒸发器盘管表面的积霜。这一过程使盘管表面的温度上升到相当高，以融化积聚的霜冻。除霜模式可以手动或自动启动，方法是在制冷系统的控制程序中进行适当的编程，以在设定的时间或间隔内激活除霜模式。

当除霜过程开始时，系统停止向蒸发器供给液氨，关闭液体供给阀，同时允许蒸发器风扇继续运行，从而蒸发盘管中的残余液态制冷剂（图5）。接下来，吸入截止阀关闭，将蒸发器盘管与系统低温部分隔离，分支连接（或旁路）上的热气阀打开，将压缩机排放的热氨气（110°F和100 PSIG）引入蒸发器盘管。将热气引入盘管通常分两步进行。第一步，被称为“暖管”，在打开主热气阀之前，使用一个较小的阀慢慢将高压热制冷剂气体引入蒸发器盘管。在“暖管”之后，第二步是通过打开一个大的热气主阀将大流量的热气引入盘管。较高的气流速度使蒸发器盘管快速表面变暖，积聚的霜冻在盘管外部融化，而高压制冷剂气体冷凝为盘管内的液体。冷凝的液态制冷剂（以及可能没有完全冷凝的气态制冷剂）通常通过除霜泄压阀返回到设备的中间压力水平。除霜完成后，热气阀关闭，压力平衡阀打开，以缓慢地对盘管泄压（或放气）。然后，打开吸入截止阀，打开向盘管输送低温液体的阀，以重新冷却蒸发器。最后，风扇重新启动，在正常的制冷模式继续进行制冷循环。

在热气除霜过程中，吸入截止阀关闭，蒸发器盘管与低温吸入管路隔离。吸入截止阀的蒸发器管道（上游）被加压，而下游低温吸入管道包含来自其他运行中的蒸发器回流的低压汽液混合物。氨系统中更常见的冲击是高低压管路阀门的快速开启。如果盘管内压力被迅速降低，制冷剂液体和蒸汽将通过吸入截止阀加速进入下游吸入管道。当被氨液包裹的氨蒸汽被推动增压达到饱和点并凝结后，氨蒸汽所占的空隙形成局部真空从而导致凝结冲击（图6）。体积减小会导致系统其他部分的液体涌入。液体被充分加速，当它遇到诸如端盖之类的障碍物时，它会突然停止并产生冲击力。冲击力使管道和接头受到较大的应力，在严重情况下，会导致部件破裂损坏。米勒德的故障很可能是由凝结冲击和蒸汽推动的液塞的同时作用造成的。在氨制冷系统中，这两种机制通常在液击事故中相互影响。

qyp

谢谢分享

zhangzhanjun

学习了，感谢楼主分享

懒虫工控

5. 事故分析
5.1 停电

事发前一天下午，包括制冷系统在内的米勒德工厂停了7个多小时电。当系统恢复供电后，在对设备进行检查的过程中，米勒德制冷系统操作员手动清除了系统中的警报。这导致了正在运行中的除霜循环的中止，蒸发器在没有排出盘管内的除霜热气时直接从除霜模式切换到制冷模式。而当低温吸入截止阀打开之前，应先经历放气阶段，以防止盘管中的压力迅速降低，增加蒸发器盘管和连接的吸入集管中发生液击的风险。

由于操作员手动清除警报，重置了控制系统，因此控制系统在系统重新启动期间允许吸入截止阀打开时，没有识别出冷冻蒸发器单元中包含高压热气。相反，控制系统指示吸入截止阀和液体供给阀同时打开，以使蒸发器重返制冷模式操作。除霜程序进行中的步骤和手动恢复系统所产生的旁路相互作用导致低温液体和热气在同一管道中混合，热气在快速凝结成液体时发生局部真空，产生了压力冲击，导致蒸发器集管和屋顶上的低温吸入管破裂。

根据米勒德的技术资料，控制系统包含一个程序漏洞，允许系统从暖管状态直接进入制冷模式，而不会从盘管中排出高压或阻止低温吸入阀打开。因为在正常操作下，按照其程控顺序，除霜循环不可能允许氨水进入蒸发器，直到盘管通过排放循环降压完毕。因此控制系统中的软件逻辑漏洞从未被识别出来。

在米勒德2010年事故调查报告中，该公司发现手动清除控制系统中的氨警报中断了除霜循环。这是由于未对控制系统设置相应的分级权限造成的（译者注：控制系统权限有监视、主操、调度、工程师等不同权限，不同权限对应的操作内容存在差异。）如果设置了密码保护，则只能由经过培训的授权人员来修改制冷系统步序和排液时间。由于在热气除霜过程中减少或省略排放循环会导致冲击事故，如果在除霜过程中未正确执行手动操作，可能会发生严重的氨泄漏。当工人没有接受过如何适当修改程控步序的培训时，有很大可能性导致手动除霜的步序错误。

可以通过对制冷控制系统重新编程，以使系统在意外中断、过程异常或断电后，重启时自动对之前正在进行除霜的盘管进行排气循环，避免系统操作员手动干预系统。制冷控制系统设计者可以编程控制序列逻辑，以便在断电重启时识别在断电前正在除霜中的蒸发器。接下来，程序将设定为假设这些盘管已经加压，从而在将蒸发器返回制冷模式之前启动一个排气循环。这些除霜控制编程功能将减少手动干预的需要和意外停机后液击的风险。

5.2 米勒德制冷系统的设计
5.2.1蒸发器配置

这起事件的另一个影响因素是米勒德工厂的鼓风冷冻蒸发器的设计和配置，特别是将多个蒸发器单元连接到一个控制阀组上。这种设计方法允许在吸入截止阀过早打开时将过大量的高压气体引入吸入管路。米勒德和制冷系统的设计人员在西奥多工厂设计的冷冻蒸发器是每四个蒸发器盘管组合成一组控制阀。在这种设计中，一组阀门控制冷却模式和除霜循环期间所有的四个蒸发器盘管的液体供给、除霜热气和吸入管排入。米勒德的堆叠式蒸发器是由一对蒸发器组成的，每个蒸发器有两个垂直布置的盘管。液氨从盘管底部送入盘管，热气从顶部送入盘管（堆叠式蒸发器配置见图5）。

设计一个由单个阀组控制的多个蒸发器盘管的系统，减少了每个蒸发器需要安装的阀门总数，从而降低了系统初始投资成本。由于控制性能差，内部盘管体积大，应避免将多台蒸发器组合在一个阀组上。热气除霜过程中液击事故的风险随着盘管体积的增大和温度的降低而增大。因此，像米勒德这样，较低温度下较大的盘管有着较高的部件损坏风险。热气遇冷凝结后体积将急剧收缩。热气的体积越大，吸入管线中蒸汽快速冷凝时产生的气体真空腔就越大，就越容易发生严重事故。

米勒德的每个蒸发器盘管的容量为15立方英尺液氨或气体，冷冻室每个阀门控制组的总容量为60立方英尺氨。由于两个蒸发器（共4个盘管）被分配给同一组控制阀，当吸入阀突然打开时，每个蒸发器的总体积（在70 psig的压力下，总共60立方英尺的热气）被引入低温吸入管路。储存在四个盘管中的大量气体迅速凝结成吸入管路中的液体，存储的能量转移到凝结冲击波上，使得蒸发器集管和屋顶管道破裂。将四个大型冷冻式蒸发器与一组控制阀组合在一起，再加上吸入管线的大流量的共同作用导致了灾难性的事故。如果为每个蒸发器配置单独的控制阀，则可以显著降低此类事故的风险。

随着蒸发器盘管容量的增加，热气除霜系统需要更细致的工程分析。制冷系统设计人员应避免将多个蒸发器分组到一组控制阀上。如果米勒德将每台蒸发器分配给一组单独的控制阀，当控制系统重置发出吸入截止阀打开的信号时，只有15立方英尺70psig的介质会释放到集管。较低体积的热气可能会导致轻微的冲击事件，如可听见的锤击或震动，而不是管道破裂。

5.3操作问题
5.3.1 排液时间短

“排液”是除霜循环的第一步。它的作用是在引入热气之前，利用室内空气中的热量蒸发液氨，并利用余压排出蒸发盘管中的液氨，从而除去蒸发器中的残余液氨。去除盘管中的液体后，热气的热量直接加热盘管表面，而不是先加热盘管中剩余的液体制冷剂，从而提高除霜过程的效率。在停机或低负荷期间，液态制冷剂会积聚在蒸发器底部盘管中。如果在长时间在低负荷运行的蒸发器上直接启动热气除霜，则蒸发器可能容易发生液击。因此，重要的是确保排液时间足够长，以便从盘管中除去大部分液氨。如果蒸发器管道没有完全抽干，当引入热气体时，蒸发器中残留的液体可能导致液击。

虽然可能是由于漏掉了泄压循环直接导致了米勒德的液击事故，但除霜循环开始时较短的排液时间很可能没有完全清除蒸发器盘管中的残余液氨，或许是事故发生的另外一种原因。根据米勒德的文件，冷冻蒸发器除霜循环中排液步序的时间为20分钟；但CSB调查人员查看事故发生的那些天的蒸发器控制系统数据时发现，它只持续了15分钟。虽然在正常运行期间15分钟可能已经足够了，但是停电后，再加上午夜的低负荷期，大量低温液氨聚集在蒸发器底部盘管中。在被手动关闭前几分钟，热气体被引入冷冻蒸发器，高压热气可能推动剩余的液体通过蒸发器盘管，并导致集管破裂。在热气循环之前，足够长的排液时间会清除盘管中大量的液态制冷剂。

5.4 氨系统紧急停车

发现泄漏后，两名米勒德员工立即前往屋顶，通过手动关闭阀门来隔离相关设备和工艺，以消除泄漏。员工试图隔离泄漏源，但所有连接到低温吸入集管的其他设备仍在运行中。控制系统数据显示，其他冷冻室蒸发器仍在继续运行，氨气被持续送入破裂的吸入管。这导致了由于故障上游蒸发器的压力增加，氨间歇性的排出，安全摄像机的录像和紧急响应人员的报告证实了这一点。安全录像显示，直到当天上午11点左右，大约在最初泄漏后2小时后，氨云仍继续向米勒德屋顶的南部移动。

使用位于米勒德控制室的紧急停止按钮（急停）会关闭压缩机和泵，并断开阀门的电源。关闭这些设备将阻止氨循环到其他蒸发器中，并减少输送至位于屋顶上的故障吸入管线的氨的量。 由于员工试图隔离损坏的装置，以避免关闭整个设施，因此泄漏量远远大于仅关闭系统时的泄漏量。

米勒德在他们的事故内部调查报告中指出，急停按钮应该在更早的时间之前就被工厂工程师启动。米勒德应急响应程序指示人员“定位泄漏”并尝试隔离泄漏。该程序规定，“控制氨泄漏将要求通过关闭管道或设备来阻止泄漏。”该程序接着规定了紧急停止按钮何时启动的标准，包括自然灾害或任何授权人员认为有必要关闭时的其他紧急情况。但是，在事故发生当天，工厂工程师决定定位并隔离泄露点，而不是关闭氨系统。急停按钮的启动将减少氨泄漏量和持续时间，并减轻厂外后果。

6.经验教训

无水氨制冷系统在制冷过程中，在热气除霜与正常冷却的过渡过程中，容易受到液击机制的影响。破坏性液击事故可导致剧毒和易燃氨的泄漏。避免液击事故和氨泄漏可从米勒德事故中的以下经验教训：

制冷系统设计：

1)氨制冷系统的设计，避免将多个蒸发器组合成一组控制阀上。这对于超过20吨的大容量蒸发器尤为重要。带热气除霜系统的蒸发器应由各蒸发器盘管专用的单独阀门控制组控制。

制冷系统运行:

2)编程或配置带联锁的除霜控制系统，以确保在断电、循环中断或其他异常情况下，在启动和终止热气除霜循环期间，低温液体和残留热气保持隔离。优化除霜控制程序步序，以便在停机或中断后重新启动时，在打开吸入截止阀以将蒸发器设置为冷却模式之前，自动对除霜中的盘管排压。

3)切勿手动中断除霜中的蒸发器，并为控制系统操作设置权限（分级口令），以确保只有经过培训和授权的人员才有权手动控制系统过程。

4)对于时间启动的热气除霜系统，确保排液时间足够长，以便在引入热气之前，特别是在低负荷期或断电之后，足以除去蒸发器盘管中的残留液态制冷剂。

对氨泄漏响应：

在防止液击事故和其他可能导致氨泄漏的事件中，设计和操作考虑是最重要的。如果破裂的设备确实发生了氨泄漏，从米勒德事故中吸取的经验教训也可用于减少制冷系统泄漏的氨量。

5)如果氨泄漏不能及时隔离，启动紧急停车按钮，使泵、压缩机和阀门断电，而不是在制冷系统运行时试图解列泄漏的设备。关闭设备将停止氨的循环，并限制从故障设备或管道上游运行的部件泄漏额外的氨。