谢谢分享

学习了，感谢楼主分享

5. 事故分析
5.1 停电

事发前一天下午，包括制冷系统在内的米勒德工厂停了7个多小时电。当系统恢复供电后，在对设备进行检查的过程中，米勒德制冷系统操作员手动清除了系统中的警报。这导致了正在运行中的除霜循环的中止，蒸发器在没有排出盘管内的除霜热气时直接从除霜模式切换到制冷模式。而当低温吸入截止阀打开之前，应先经历放气阶段，以防止盘管中的压力迅速降低，增加蒸发器盘管和连接的吸入集管中发生液击的风险。

由于操作员手动清除警报，重置了控制系统，因此控制系统在系统重新启动期间允许吸入截止阀打开时，没有识别出冷冻蒸发器单元中包含高压热气。相反，控制系统指示吸入截止阀和液体供给阀同时打开，以使蒸发器重返制冷模式操作。除霜程序进行中的步骤和手动恢复系统所产生的旁路相互作用导致低温液体和热气在同一管道中混合，热气在快速凝结成液体时发生局部真空，产生了压力冲击，导致蒸发器集管和屋顶上的低温吸入管破裂。

根据米勒德的技术资料，控制系统包含一个程序漏洞，允许系统从暖管状态直接进入制冷模式，而不会从盘管中排出高压或阻止低温吸入阀打开。因为在正常操作下，按照其程控顺序，除霜循环不可能允许氨水进入蒸发器，直到盘管通过排放循环降压完毕。因此控制系统中的软件逻辑漏洞从未被识别出来。

在米勒德2010年事故调查报告中，该公司发现手动清除控制系统中的氨警报中断了除霜循环。这是由于未对控制系统设置相应的分级权限造成的（译者注：控制系统权限有监视、主操、调度、工程师等不同权限，不同权限对应的操作内容存在差异。）如果设置了密码保护，则只能由经过培训的授权人员来修改制冷系统步序和排液时间。由于在热气除霜过程中减少或省略排放循环会导致冲击事故，如果在除霜过程中未正确执行手动操作，可能会发生严重的氨泄漏。当工人没有接受过如何适当修改程控步序的培训时，有很大可能性导致手动除霜的步序错误。

可以通过对制冷控制系统重新编程，以使系统在意外中断、过程异常或断电后，重启时自动对之前正在进行除霜的盘管进行排气循环，避免系统操作员手动干预系统。制冷控制系统设计者可以编程控制序列逻辑，以便在断电重启时识别在断电前正在除霜中的蒸发器。接下来，程序将设定为假设这些盘管已经加压，从而在将蒸发器返回制冷模式之前启动一个排气循环。这些除霜控制编程功能将减少手动干预的需要和意外停机后液击的风险。

5.2 米勒德制冷系统的设计
5.2.1蒸发器配置

这起事件的另一个影响因素是米勒德工厂的鼓风冷冻蒸发器的设计和配置，特别是将多个蒸发器单元连接到一个控制阀组上。这种设计方法允许在吸入截止阀过早打开时将过大量的高压气体引入吸入管路。米勒德和制冷系统的设计人员在西奥多工厂设计的冷冻蒸发器是每四个蒸发器盘管组合成一组控制阀。在这种设计中，一组阀门控制冷却模式和除霜循环期间所有的四个蒸发器盘管的液体供给、除霜热气和吸入管排入。米勒德的堆叠式蒸发器是由一对蒸发器组成的，每个蒸发器有两个垂直布置的盘管。液氨从盘管底部送入盘管，热气从顶部送入盘管（堆叠式蒸发器配置见图5）。

设计一个由单个阀组控制的多个蒸发器盘管的系统，减少了每个蒸发器需要安装的阀门总数，从而降低了系统初始投资成本。由于控制性能差，内部盘管体积大，应避免将多台蒸发器组合在一个阀组上。热气除霜过程中液击事故的风险随着盘管体积的增大和温度的降低而增大。因此，像米勒德这样，较低温度下较大的盘管有着较高的部件损坏风险。热气遇冷凝结后体积将急剧收缩。热气的体积越大，吸入管线中蒸汽快速冷凝时产生的气体真空腔就越大，就越容易发生严重事故。

米勒德的每个蒸发器盘管的容量为15立方英尺液氨或气体，冷冻室每个阀门控制组的总容量为60立方英尺氨。由于两个蒸发器（共4个盘管）被分配给同一组控制阀，当吸入阀突然打开时，每个蒸发器的总体积（在70 psig的压力下，总共60立方英尺的热气）被引入低温吸入管路。储存在四个盘管中的大量气体迅速凝结成吸入管路中的液体，存储的能量转移到凝结冲击波上，使得蒸发器集管和屋顶管道破裂。将四个大型冷冻式蒸发器与一组控制阀组合在一起，再加上吸入管线的大流量的共同作用导致了灾难性的事故。如果为每个蒸发器配置单独的控制阀，则可以显著降低此类事故的风险。

随着蒸发器盘管容量的增加，热气除霜系统需要更细致的工程分析。制冷系统设计人员应避免将多个蒸发器分组到一组控制阀上。如果米勒德将每台蒸发器分配给一组单独的控制阀，当控制系统重置发出吸入截止阀打开的信号时，只有15立方英尺70psig的介质会释放到集管。较低体积的热气可能会导致轻微的冲击事件，如可听见的锤击或震动，而不是管道破裂。

5.3操作问题
5.3.1 排液时间短

“排液”是除霜循环的第一步。它的作用是在引入热气之前，利用室内空气中的热量蒸发液氨，并利用余压排出蒸发盘管中的液氨，从而除去蒸发器中的残余液氨。去除盘管中的液体后，热气的热量直接加热盘管表面，而不是先加热盘管中剩余的液体制冷剂，从而提高除霜过程的效率。在停机或低负荷期间，液态制冷剂会积聚在蒸发器底部盘管中。如果在长时间在低负荷运行的蒸发器上直接启动热气除霜，则蒸发器可能容易发生液击。因此，重要的是确保排液时间足够长，以便从盘管中除去大部分液氨。如果蒸发器管道没有完全抽干，当引入热气体时，蒸发器中残留的液体可能导致液击。

虽然可能是由于漏掉了泄压循环直接导致了米勒德的液击事故，但除霜循环开始时较短的排液时间很可能没有完全清除蒸发器盘管中的残余液氨，或许是事故发生的另外一种原因。根据米勒德的文件，冷冻蒸发器除霜循环中排液步序的时间为20分钟；但CSB调查人员查看事故发生的那些天的蒸发器控制系统数据时发现，它只持续了15分钟。虽然在正常运行期间15分钟可能已经足够了，但是停电后，再加上午夜的低负荷期，大量低温液氨聚集在蒸发器底部盘管中。在被手动关闭前几分钟，热气体被引入冷冻蒸发器，高压热气可能推动剩余的液体通过蒸发器盘管，并导致集管破裂。在热气循环之前，足够长的排液时间会清除盘管中大量的液态制冷剂。

5.4 氨系统紧急停车

发现泄漏后，两名米勒德员工立即前往屋顶，通过手动关闭阀门来隔离相关设备和工艺，以消除泄漏。员工试图隔离泄漏源，但所有连接到低温吸入集管的其他设备仍在运行中。控制系统数据显示，其他冷冻室蒸发器仍在继续运行，氨气被持续送入破裂的吸入管。这导致了由于故障上游蒸发器的压力增加，氨间歇性的排出，安全摄像机的录像和紧急响应人员的报告证实了这一点。安全录像显示，直到当天上午11点左右，大约在最初泄漏后2小时后，氨云仍继续向米勒德屋顶的南部移动。

使用位于米勒德控制室的紧急停止按钮（急停）会关闭压缩机和泵，并断开阀门的电源。关闭这些设备将阻止氨循环到其他蒸发器中，并减少输送至位于屋顶上的故障吸入管线的氨的量。 由于员工试图隔离损坏的装置，以避免关闭整个设施，因此泄漏量远远大于仅关闭系统时的泄漏量。

米勒德在他们的事故内部调查报告中指出，急停按钮应该在更早的时间之前就被工厂工程师启动。米勒德应急响应程序指示人员“定位泄漏”并尝试隔离泄漏。该程序规定，“控制氨泄漏将要求通过关闭管道或设备来阻止泄漏。”该程序接着规定了紧急停止按钮何时启动的标准，包括自然灾害或任何授权人员认为有必要关闭时的其他紧急情况。但是，在事故发生当天，工厂工程师决定定位并隔离泄露点，而不是关闭氨系统。急停按钮的启动将减少氨泄漏量和持续时间，并减轻厂外后果。

6.经验教训

无水氨制冷系统在制冷过程中，在热气除霜与正常冷却的过渡过程中，容易受到液击机制的影响。破坏性液击事故可导致剧毒和易燃氨的泄漏。避免液击事故和氨泄漏可从米勒德事故中的以下经验教训：

制冷系统设计：

1)氨制冷系统的设计，避免将多个蒸发器组合成一组控制阀上。这对于超过20吨的大容量蒸发器尤为重要。带热气除霜系统的蒸发器应由各蒸发器盘管专用的单独阀门控制组控制。

制冷系统运行:

2)编程或配置带联锁的除霜控制系统，以确保在断电、循环中断或其他异常情况下，在启动和终止热气除霜循环期间，低温液体和残留热气保持隔离。优化除霜控制程序步序，以便在停机或中断后重新启动时，在打开吸入截止阀以将蒸发器设置为冷却模式之前，自动对除霜中的盘管排压。

3)切勿手动中断除霜中的蒸发器，并为控制系统操作设置权限（分级口令），以确保只有经过培训和授权的人员才有权手动控制系统过程。

4)对于时间启动的热气除霜系统，确保排液时间足够长，以便在引入热气之前，特别是在低负荷期或断电之后，足以除去蒸发器盘管中的残留液态制冷剂。

对氨泄漏响应：

在防止液击事故和其他可能导致氨泄漏的事件中，设计和操作考虑是最重要的。如果破裂的设备确实发生了氨泄漏，从米勒德事故中吸取的经验教训也可用于减少制冷系统泄漏的氨量。

5)如果氨泄漏不能及时隔离，启动紧急停车按钮，使泵、压缩机和阀门断电，而不是在制冷系统运行时试图解列泄漏的设备。关闭设备将停止氨的循环，并限制从故障设备或管道上游运行的部件泄漏额外的氨。