_英国邦斯菲尔德油库爆炸事故调查总结报告

英国邦斯菲尔德地区油库火灾爆炸事故
调查总结报告
1. 前言
2005 年12 月11 日凌晨位于伦敦的东北部的邦斯菲尔德油库由于充装过量发生泄漏，并最终引发爆炸和持续60 多小时的大火，事故摧毁了20 个储罐，造成43 人受伤和高达8.94 亿英镑（相当于101 亿人民币）的经济损失，是英国和欧洲迄今为止遭遇的最大火灾。

2006 年1 月成立的独立的事故调查委员会，自2006 年2 月21 日发布第一份调查报告以来，一共公布了9 份报告，直到2008 年7 月才宣布调查结束。

委员会进行了深入而全面的调查，事故的完整过程和和深层原因被逐步揭示，整个工业界都在反思调查结果，以从中吸取教训。

本文通过对事故调查报告的分析与总结，提出可供国内油气储运企业借鉴的经验，以方便企业对自身进行检查，或者依据检查结果采取进一步的风险管理措施。

风险管理已经被世界上很多能源产业公司所接受和认可，尤其是在石油化工、电力、核电、化工工业等高风险的行业都有很好的实践和应用。

风险管理是一个系统化的方法和理论，它包括各种不同的风险管理手段，本文所涉及到的风险管理手段只是整个风险管理体系中的一部分，关于的它的详细内容可以参照Scandpower 风险管理中国公司的其他报告，本文不作进一步的深入介绍。

2. 英文缩写
本文中用到了多处英文缩写，其完整表达如下（按文中出现的顺序）：
HOSL COMAH Hertfoudshire Oil Storage Limited
Control of Major Accident Hazards Regulations
哈福德郡储油有限公司
重大危险源控制法案
BPA British Pipeline Agency Limited 英国管道运营公司
BP British Petroleum Limited 英国石油公司
UKOP UK Oil Pipelines Ltd 英国石油管道公司
ATG Automatic Tank Gauging 储罐测量监控系统
SIL Safety Integrity Level 安全完整性等级
QRA Quantitative Risk Assessment 量化风险评价
3. 邦斯菲尔德地区介绍
3.1 区域布置
邦斯菲尔德地区是一个大型的油料储存区，位于伦敦的东北部，某种意义上具备战略储备油库的功能。

该地区存在有多家储油公司，是依照原有的英国健康安全署土地规划法发展起来的，这部方案按照已建设危险源为起点，不断向往扩展安全距离，并规定在不同的安全距离内允许被规划的土地使用。

因为工厂只被允许在最小的安全距离内发
展，这使得先后发展的多家储油公司基本上毗邻建设，甚至互相渗透，形成今天邦斯菲
尔德地区独特的油库地区现状。

整个油库地区夹在樱桃树路（Cherry tree Lane）和邦斯菲尔德路（Buncefield Lane）之间，北部、东部和南部均为农田，在西部和班得瑞大道（Boundary Way）之间分布有大量的公司和民房（在事故中遭到严重破坏），距离西部的外围墙在120m 左右（英国健康安全署按规定可以规划民房的最近距离）。

图3-1 展示了油库地区的周边情况。

事故池消防泵房 A 罐区
樱桃树路#12班
得
瑞
大
道绿化带民房Fuji 公司
围墙
#912应急发电机房Northgate
公司
邦
斯
菲
尔
德
3COM 路
公司
RO
事故池
公司
B 罐区
图3-1: 邦斯菲尔德库区区域布置图
3.2 平面布置
哈福德郡储油有限公司（HOSL），是道达尔英国公司和德士古石油公司合资经营的。

HOSL 分为西区和东区两个区，西区就是本次事故的发源地以及大火的中心，它分布有A、
B、C、D 四个罐区。

HOSL 被批准的最大储存量是34000 吨车用燃料和15000 吨煤油。

依据
重大危险源控制法案（COMAH）要求的安全评估报告在事故发生时正在进程中，还未完成。

英国管道运行公司（BPA）是由壳牌和英国石油公司（BP）负责运营的管道公司，但它所管理的管道资产属于英国石油管道公司（UKOP）。

BPA 在邦斯菲尔德地区的油库被一条小路（樱桃树路，Cherry Tree Lane）分割为两个部分，分别是路北边的北区和
南边的主区，都几乎被摧毁在大火中。

BPA 被批准储存70000 吨车用燃料和其他油品。

COMAH 要求的安全评估报告已经完成。

英国石油公司（BP）的储罐位于整个邦斯费尔迪库区的南部，由于距离HOSL 西区最远得以在这场大火中幸免。

BP 被允许储存75000 吨车用燃料和来自BPA 的所有油品。

COMAH 要求的安全评估报告已经完成。

图3.2 显示各个区域的相互关系。

整个邦斯菲尔德库区通过三条独立的输油管线输送油料，分别是：
• 10 英寸的Finalline，首站在道达尔的Lindsey 炼厂，末站在HOSL 西区；
• 10 英寸的M/B 管线，首站在壳牌的Stanlow 炼厂，末站在BPA 北区；
• 14 英寸的T/K 管线，首站来自壳牌的码头和Coryton 炼厂，末站在BPA 主区。

三条管道均采用分批次顺序输送的方式进行输送，混油返回炼厂重新炼制或者直接混入低品位油罐。

油料到达HOSL 后按不同种类储存在相应的的储罐，表3.-1 显示了发生事故的HOSL 西区各罐区的储存情况。

车用燃料主要由HOSL 西区、BP 和很少的一部分从BPA 用油罐车运输出邦斯菲尔德库区，航空煤油依靠一条6 英寸和一条8 英寸的管道从BPA 输送至伦敦机场，图3-3 显示了各个管线的相互关系。

3.3 主要安全设施和事故相关设施
3.3.1 储罐测量监控系统（Automatic Tank Gauging，ATG）
#912 储罐安装有ATG 系统，这是一个储罐的监测和控制系统。

ATG 可以监控储罐液位、温度和阀门状态，并可以实现远程控制。

同时ATG 系统还可以接受来自系统外部的报警信号并进行相应的动作。

对于所监控的数据，包括异常事件和阀门状态均会被保存数月。

ATG 系统前端包括一个安装在罐顶的伺服液位计和和安装在底部的热电偶温度计，测量数据被传送到ATG，HOSL 所有的储罐的液位和温度数据均接入ATG，由操作人员在控制室通过ATG 进行日常作业。

图3-4 显示了ATG 系统的组件和安装位置。

3.3.2 液位超限报警装置
#912 储罐在顶部安装有一个独立的液位超限报警装置（安全仪表系统），当储罐液位达到极限位置（实现设定）后该装置将向控制室发出声光报警并同时自动关闭储罐的进料阀门，同时报警信号还会传向上游的BPA 控制室，这时BPA 将关闭通向西区的进油主管线。

西区控制室还有一个优先选择开关可以阻止西区的关断信号传向BPA，当优先选择开关被确定为阻止时，会在控制面板上亮起一个红色的警示灯。

3.3.3 通气孔
#912 储罐在顶部设置有8 个0.07m2 的三角形通气孔，一是为浮盘上方的油气提供足够的与外界大气流通的面积；二是在事故状态下起到油品溢流作用。

3.3.4 消防水折流板
#912 储罐罐顶的外延设计有一圈消防水折流板，折流板的设计意图是为了让罐顶的消防喷淋装置喷出的消防水可以程瀑布状流下，以最大程度的覆盖罐体；同时也在高温天气用来冷却罐体温度。

图3-5 显示了折流板的安装位置和外观。

3.3.5 防风梁
#912 储罐的罐体中部有一个防风梁的结构设计，设计的目的是为了抵御来在罐体侧面的风载荷，但它会在罐体的外部形成一个突起，图3-5 显示了防风梁在罐体的位置和外观。

3.3.6 防火堤
#912 储罐所在的A 罐区（类似与其他罐区），设计有防火堤，防火堤的设计容量是罐区内最大容量储罐的110%，同时防火堤设计有雨水排出口。

防火堤上存在管道的穿越现象。

HOSL 消防泵房
BPA
#12 罐
BPA 事
故池
HOSL 事
故池HOSL 西区A 罐区
HOSL 西区B 罐区壳牌
BP HOSL 西区BPA HOSL 东区
HOSL 西
区C 罐区
HOSL 东
区事故池
BP 罐区
图3-2: 邦斯菲尔德库区平面示意图
T/K 管线
Finaline 管线
航空煤油外输管线
Finaline 管线计量区
M/B 管线
M/B 管线计量区T/K 管线计量区
图3-3: HOSL 库区来料管线示意图
8 个通气孔检查窗
伺服液位计
独立的液位安
全仪表装置
探测竖井
内浮顶
液位传感器
检查孔
滑动密封
热电偶
温度计
图3-4: #912 储罐结构示意图
通气孔
消防水折流板
防风梁
图3-5: #912 储罐外部
表3-1: HOSL 西区储存情况列表
罐区储罐编号介质进料管线
A 910 汽油T/K
A 912 汽油T/K
A 915 汽油Finalline B
911 汽油Finalline B
913 柴油
B 914 柴油
B 916 柴油
C 901 汽油T/K C
902 汽油T/K C
903 汽油T/K C
904 汽油T/K C
905 汽油T/K D
906 混油
D 907 混油
D 908 柴油
D 909 混油
4. 事故调查总结
4.1 事故发生经过
2005 年12 月10 日19 时，HOSL 西区A 罐区的#912 储罐照生产计划开始接受来自于T/K 管线的无铅汽油，输送速度为550m3/h。

2005 年12 月11 日0 时，该批次输送结束，并开始进行例行的液位检查。

2005 年12 月11 日1 时30 分，例行检查结束，一切正常，继续向#912 储罐输送。

2005 年12 月11 日1 时3 时左右，ATG 的液位数据停止变化，至事故发生时一直显
示储罐液位在大约2/3 处。

由于ATG 的数据一直没有发生变化，因此和ATG 相联的警报系统一直没有动作，致使充装一直继续。

2005 年12 月11 日5 时20 分左右，按照当时的充装速度和#912 储罐容量，储罐已经完全充满。

2005 年12 月11 日5 时20 分左右，#912 储罐上安装的独立液位超限报警装置未动作，充装继续，导致汽油开始从罐顶的通气孔向外溢出。

2005 年12 月11 日5 时38 分左右，溢出的汽油开始在A 罐区内由#912 储罐位置向西蔓延，从视频和目击者反映的证据显示，当时的蒸汽云厚度已经达到了大致1m。

2005 年12 月11 日5 时46 分左右，液态的汽油开始从A 罐区的围堰内溢出，蒸汽云的厚度达到了2m。

2005 年12 月11 日5 时50 分，蒸汽云扩散到Northgate 公司和Fuji 公司的停车场。

2005 年12 月11 日5 时54 分，由于通往金斯顿地区的阀门关闭，T/K 管线输向#912
储罐的流量由550 m3/h 增加到890 m3/h，溢油进一步扩大。

2005 年12 月11 日6 时01 分32 秒，当地的地震记录仪记录到了最大的一次爆炸，随
后又发生了多次爆炸以及持续的大火。

图4-1 显示了事故发生过程的主要事件，图4-2 显示了蒸汽云扩散过程。

图4-1: 事故发生过程
1228
4-2:Northgate
4.2 爆炸发生时的安全设施及相关设施状态
事故发生时的三条管线状态如下：
• Finaline 管线以220 m3/h 向A 罐区的#915 储罐输送汽油；
• M/B 管线以400 m3/h 向D 罐区的#908 储罐输送柴油；
• T/K 管线以890 m3/h 向A 罐区的#912 储罐输送汽油。

ATG 系统的数据显示，爆炸发生时#912 储罐的进口阀处于打开状态，液位处于2/3 处，温度数据3 时开始一直处于上升状态。

液位超限报警装置未发出任何报警动作，BPA 的控制室SCADA 系统未接到自该系统的报警信号。

4.3 事故后果
4.3.1 爆炸
最大的爆炸发生在西库区、Fuji 公司和Northgate 公司之间的范围内。

在第一次爆炸发生时，蒸汽云向西已经扩散到了班得瑞路，向西北已经达到凯瑟琳家房屋的东南角，向北超过了英国管道公司的#12 罐，向南越过了整个罐区但还未达到HOSL 西区的装油平台，向东达到了英国管道公司的办公室。

在富士和Northgate 的停车场处产生的超压达到7-10MPa，在2km 的地方衰减到70-100Kpa。

图4-3 显示了通过事故现场的破坏程度确认的超压分布范围，图4-4 显示了超压在空间内的传播以及形成的二次超压传播方向。

第一次爆炸产生的闪火范围大致有8000m2，图4-5 显示了通过现场被烧过痕迹确定的闪火的影响范围。

在第一爆炸发生后随后的多次本证实是空罐或者浮顶罐上部空隙发生的爆炸。

事后在Northgate 的停车场发现了#910 储罐的罐顶，当时该储罐处于停用状态，说明在罐体内部发生了爆炸。

消防泵房内发生过一次爆炸，数据显示在爆炸发生前火警启动了消防泵，可能是启动引燃了可燃气体。

备用发电机房发生过一次爆炸，可燃气体可能通过柴油发电机的进气口进入了室内，室内设置的一台温控加热器如果开始加热，在电路系统中的任何一个火星都有可能点燃可燃气体。

4.3.2 火灾
持续的大火燃烧了60 多个小时，烧毁了20 余座储罐，烟尘和大火形成了高达60m
的火柱，大火烧毁了防火堤的密封剂和防水剂，穿越防火堤的管线与防火堤之间的密封也
为破坏，导致大量的油料流出，加剧了火势的蔓延。

图4-6 中第一张和第二张图片为被爆炸破坏后的周边建筑，图4-7 显示了被破坏的防火堤，图4-8 显示了事故后的库区全景。

图4-3: 爆炸产生的超压分布
注：红色为一次超压，蓝色为二次超压
图4-4: 爆炸产生的超压传播方向
周边建筑物邦斯菲尔德油库范围
事故区闪火影响范围
图4-5: 爆炸产生的闪火影响范围图4-6: 事故后现场及周边
图4-7: 被大火破坏的防护堤
图4-8: 事故后罐区全景
5. 事故原因分析
5.1 溢油的发生
从ATG 系统记录的数据来看，自11 时3 时#912 储罐的液位数据不再发生变化，大概停止在储罐2/3 液位处，这直接导致控制室对#912 储罐液位失去有效的检测并获得错误的数据，使ATG 系统一直允许向#912 储罐充装直至开始溢油，甚至只要不发生爆炸允许一直充装西区。

BPA 的SCADA 系统显示事故发生时并没有接到来自西区的液位超限报警信号，通过模拟一个超限报警信号，证明通向BPA 的线路以及系统均是正常的，但是启动优先选择开关，发现并不引发声光报警，但可以阻止信号向BPA 控制室传送。

由于超限报警器以及系统的供电电缆已经被毁坏了，无法判断究竟是哪一部分发生了故障。

但可以肯定液位超限报警装置（安全仪表系统）在#912 储罐达到警戒液位后，未进行报警动作，导致#912 储罐在已经开始溢油后，控制室仍然继续向储罐充装直到爆炸发生。

据管理资料显示超限报警器在事故发生前不久才被安装完毕，可能并没有被调试正确，而且通过事后对同类产品的调研，该报警装置的正确运行完全取决一个核心传感器在储罐内是否被正确安装。

5.2 蒸汽云的形成
#912 储罐的内浮顶有多处只需要很小的背压就可以穿透的潜在泄漏点，比如伺服液位计探测竖井的环形密封，检查孔的密封等，使得汽油从这些地方溢出储罐并通过罐顶通气孔开始向外泄漏。

在汽油开始从罐顶向往溢流后，有三个主要原因加剧了蒸汽云的形成：
• 罐顶外延的折流板阻碍了汽油的向下流动从而形成一个瀑布状的流动形态；
• 罐体中部的防风梁第二次阻碍了汽油的向下流动从而再次形成一个瀑布；
• 罐体底部的防火堤内形成一个大面积的液池；
• 溢流出防火堤的汽油形成更大面积的液池。

以上这些原因均导致了汽油的充分挥发并与空气混合，图5-1 显示了可燃蒸汽云的加速形成过程。

通气孔
折流板
防风梁
形成的瀑布加剧了汽油的挥发，
并与空气混合形成可燃蒸汽云
在防火堤内形成的大面积液池，
由于增大了传热面积，也加剧了
防火堤汽油的挥发并与空气混合
形成可燃蒸汽云
图5-1: 可燃蒸汽云的形成过程
5.3 点火源
事故后证明是HOSL 西区西门外的一位员工违规发动了汽车发动机，排气孔产生的火星点燃了可燃蒸汽云，同时应急发电机房和消防泵房内的爆炸可能是由于非防爆电器引起的。

5.4 防火堤的失效
在发生大面积长时间的池火后，导致防火堤本身的多处结构耐火等级是不够的，包括防火堤的密封剂、防火堤排水口启闭设施、防火堤上穿管的密封剂等等，甚至防火堤本身不能抵御如此长时间的大火。

防火堤的失效导致燃烧的油料四处蔓延，将火势进一步扩大。

同时防火堤本身的容积并不能容纳如此大量的溢油，在着火前汽油已经满溢出了防火堤并随地形向低处聚集，这导致第一次爆炸发生时产生了更大面积的可燃蒸汽云和可能被引燃范围。

5.5 区域布置与平面布置的不足
邦斯菲尔德地区的区域布置使用以往的距离防范体系，图5-2 显示了在该体系下建立的
3 个不同的风险等级区域。

在最外层的低风险区域（距离外墙185m）之外，发展任何的土地
使用都将被允许。

在高风险区只被允许建设工厂，在中风险区将被允许发展第三方的非生产性建筑以及民宅。

但在这次事故中，按照该体系建立的中风险区域的建筑物遭到严重破坏，说明以往的分析方法是存在潜在风险的，这也直径导致这次事故的波及范围被扩大。

事故中备用发电机房和消防泵房几乎在爆炸发生后马上遭到破坏，同时HOSL 西区和BPA 的大部分储罐全部被破坏，这反映出平面布置反面的一些不足，导致设计的事故抑制手段不能发生效用，同时更易发生多米诺效应，造成事故的不多扩大。

5.6 应急准备方面的不足
库区以及当地的消防和其他应急组织在准备应急计划时，只设计了储罐泄漏后形成池火事故和装油区泄漏的形成小范围可燃蒸汽云爆炸事故，这导致事故发生时虽然有及时的应急响应，却没有对应的应急计划去执行，也没有针对性的应急资源。

消防部门基本没有进行有效的扑救，而只是等待大火自行消灭并只对可能波及到范围进行疏散。

5.7 排水系统缺陷
排水系统的设计并没有考虑到如此大面积泄漏，因此不但灭火后的消防废液处理没有达到控制，同时溢出防火堤的汽油也通过排水系统进行了扩散。

高风险区<120m
中风险区<135m
低风险区<185m 图5-2: 邦斯菲尔德地区的风险规划图
6. 其他类似事故介绍
表6-1 显示了其他一些类似事故的情况。

表6-1: 事故情况列表
地点时间事故爆炸过程
休斯顿，德克萨斯州，美国1962 年4 月一个汽油储罐泄漏了少许汽油，天
气基本无风，被一条附近的高速公
路上的汽车引燃。

当时的报道为“爆
炸”。

贝敦，德克萨斯，美国1977 年1 月
27 日
一艘运油船发生充装溢油事故。

没有更多细节，发
生在不太开阔的空
间。

德士古，纽瓦克，新泽西州，美国1983 年1 月7
日零点
在向储罐充装无铅汽油时发生溢
油，大约泄漏了114-379m3（80-
265t）。

小风，被300m 外的点火
源点燃。

在最大的爆炸发生
前有三次小型的爆
炸，爆炸产生了很
高的超压，但没有
具体数值；发生在
开阔空间。

那不勒斯，意大利1985 年12 月
21 号在向储罐充装无铅汽油时发生溢
油，大约泄漏了700t。

微风，
2m/s。

在点燃前汽油已经
从顶部向外泄漏了
1.5 小时，爆炸超
压通过对事故后果
的反演确定至少大
于48kPa；发生在
拥堵的空间。

圣艾尔布兰市，法国1991 年10 月
7 日4 点
一条运输管线发生泄漏，汽油进入
围堰，在20 分钟后，被50m 远的停
车场上的发动机点燃。

风速小于
1m/s，形成的可燃蒸汽云估计有
23000m3。

爆炸产生了很高的
超压，现场布置的
储罐加剧了超压的
传播。

杰克逊维尔，佛罗里达州，美国1993 年1 月2
日3 点15 分
在向储罐充装无铅汽油时发生溢
油，大约泄漏了190m3（132t）。

爆炸产生了很高的
超压，但没有具体
数值。

林查班，泰国1999 年12 月
2 日2
3 点25
分在向储罐充装汽油时发生溢油。

爆炸产生了很高的
超压，但没有具体
数值；发生在开阔
空间。

7. 建议
通过以上的介绍与分析，我们可以看到邦斯菲尔德地区的HOSL 油库其实并不缺乏完善的安全保护措施，图7-1 显示了它所采用的各种保护措施。

但是在第一层的预防性的保护措施——液位计量系统和独立的液位安全仪表系统（SIS）发生故障，导致事故发生后，其余的多层保护措施纷纷无法应对或者失效，这让事故发展到无法预计的严重程度。

因此事故调查委员会认为加强第一层保护手段，尤其是液位安全仪表系统（SIS）的安全完整性等级（SIL）是应该被优先考虑的，应该提高该系统的可靠性，并提供有效的方法去分析和评价它的可靠性即SIL 等级，以及如何在设计、安装、调式和运行中保持其需求的SIL 等级。

同时，事故调查委员会也对于其他保护层提出了全面的建议，以下将结合国内的实际情况进行介绍。

图7-1: 邦斯菲尔德地区的安全保护层
7.1 安全完整性等级（SIL）分析评价
这次事故揭示的一个重要问题在于用于保证事故不会发生的液位安全仪表系统（SIS）一旦发生故障，将产生无法遏制的风险，并最终产生严重的后果。

对此事故调查委员会在设计和操作方面建议了最重要的风险管理手段—安全完整性等级（S afety Integrity Level, SIL）分析和评价。

主要建议如下：
1) 由于第二层以及三层保护手段均是设计用来限制泄漏油品的溢流范围，因此显而易见
它们对可燃蒸汽云爆炸是毫无用处的，同时它们还有设计的容量限制，不能应付超量
的泄漏，因此只有将主要的努力关注在第一层保护手段上，要防止出现大范围的油品
泄漏及气云扩散，也就是要提高液位安全仪表系统（SIS）的可靠性。

2) 主管当局和邦斯菲尔德地区的业主应该为涉及到油库的溢油保护系统的所有安全仪表
系统（SIS）进行SIL 分析和评价（参照IEC 61508/61511 国际标准），并且对于评价应
确定指导性的方法和标准，评价中应考虑以下方面：
• 在油库周边的敏感设施和人员的分布；
• 油库的操作强度以及运行方式；
• 油库监测系统可靠性的期望值；
• 人员监控的范围和周期。

3) 对于HOSL 油库和其他所有油库（包括储存其他闪点更高的液体），应设置安全完整
性等级高的自动溢油保护系统，该保护系统必须是完全独立于储罐液位监测系统。

该系统的SIL 等级应满足相应的等级要求（该要求来自于SIL 定级评价的结果）。

4) 为了保证一级保护层中设备和系统的持续完整性，邦斯菲尔德地区的业主在必要时应
该审查和修订维护管理体系，审查应考虑以下方面：
• 对于一级保护层安全仪表系统（SIS）的定期检验的安排和程序是否合适，任何被确定
的关于此项工作的修订应立刻被执行；
• 任何关于一级保护层的设备或系统改动都应被优先确定不会影响一级保护层的运行效
果。

5) 安全仪表系统（SIS）的（包括液位检测，逻辑电路、控制设备和独立的流量控制设
备）设计、运行和维护都应该达到相应的SIL 等级的要求。

6) 安全仪表系统（SIS）的的各个元件应进行周期性的测试，以满足处于相应SIL 等级的
安全仪表系统（SIS）的要求。

7) 确保安全仪表系统（SIS）处于不断的技术更新中，与设备制造商和供货商应具备顺
畅而及时的沟通，更新包括：
• 非传统的液位超限检测手段，它将不依赖于系统中元件的安装位置，以及摆脱传统仪表系统的例行检查、测试、可靠性和维护状态；
• 增加可靠性的液位检测系统，并且更可靠的传感器可以实现故障自检报警。

8) 安全仪表系统（SIS）的原始数据记录均应得到很好的保存，并被定期的检查以确保
系统的运行达到了设计要求，检查的重点有：
• 记录应该可以被第三方顺利的取得而不需要特别的授权；
• 记录应有多处的备份，至少包括现场和其他地方；
• 主管当局和运行管理单位应定期对记录进行检查，以确保系统处于完好状态并对其中
的各种触发事件进行原因分析，形成闭环反馈；
• 记录的保留期限至少为一年。

7.2 关于设计和操作方面的问题
这次事故揭示出以往的设计思路、标准以及操作方法存在一些问题，对此事故调查委员会在设计和方面提出了一些建议以及思考，主要建议如下：
1) 一个类似于#912 储罐罐顶的满溢相较于一个低处的泄漏而形成油池会更容易引发爆
炸，同时#912 储罐罐体本身的多处设计也有利用油品挥发进而与空气混合形成可燃气云，
因此建议所有有利于罐顶漫溢时油品挥发的设计都应该被改进。

2) 对于储罐和管道应该设置有效的视频监控系统，对于异常情况应进行报警；在储罐和
管道的附近应设置可燃气体探测报警装置；对于储罐的异常情况报警应有自动的反馈，
比如关闭储罐入口阀门或者来料管线阀门；对于监控系统、气体探测系统、报警系统
等等均应该由业主和管理当局进行定期的检查，确保处于正确的工作状态，并对于任
何的异常情况进行全面的调查分析。

3) 对于库区的上游接收站在应对紧急事件时，为确保安全应该具有独立的权利去启动或
停止向油库输油，而不需要另外的许可或者沟通，这项计划需要全盘考虑管网和上游
炼厂的联动。

4) 应对所有的工作区域进行防爆分区划分的重新识别，确定可能存在可燃性气体场所的
电气设备的防爆类别是否正确。

5) 是否油罐的防火堤可以用来抵御任何形式的泄漏与消防废液，是否需要在任何情况下
都应该阻止它们流出防火堤。

6) 防火堤的设计容量应该是罐区内最大储罐容量的110%，还是罐区内所有储罐容量和的
25%，需要对规范及标准进行讨论和修订。