Analyse af en voldsom eksplosionsulykke på et raffinaderi i Texas City. Ud over de 15 dræbte kom mere end 170 til skade. Ulykken kunne være undgået – endda ganske simpelt.
Artiklen har været bragt i Dansk Kemi nr. 10, 2007 og kan læses uden illustrationer, strukturer og ligninger herunder. Se relaterede artikler nederst på siden.
Af Rasmus Seerup, Bjørn Maribo-Mogensen, Anne Gyrithe Lanz, Jon Rune Christensen og Niels Jensen, CAPEC, Kemiteknik, DTU
Den 23. marts 2005 blev BP’s raffinaderi i Texas City udsat for en eksplosionsulykke, som dræbte 15 personer og sårede over 170. Ulykken har rystet hele BP’s verdensopspændende organisation og sat en kæde af reaktioner i gang, som omfatter langt mere end blot BP. I det følgende beskrives hændelsesforløbet op til eksplosionen, og det demonstreres, hvordan en simpel massebalance-baseret funktionel alarm kunne have advaret operatørerne. Desuden beskrives hovedkonklusionerne fra flere af de undersøgelser, der blev igangsat umiddelbart efter ulykken.
Endelig diskuteres mulige konsekvenser på længere sigt, for hvorledes kemiske og petrokemiske anlæg ledes.
Eksplosionsulykken på BP’s raffinaderi i Texas City
Den 22. marts 2005 blev det besluttet at starte raffinat-splitteren på BP’s raffinaderi. På det tidspunkt var der stadig vedligeholdelsesarbejde i gang på de enheder, som skulle viderebearbejde produktstrømmene fra raffinat-splitteren, og der var arbejdsskure placeret tæt ved enheden. I figur 1 ses et forenklet procesdiagram af enheden, der af historiske årsager kaldes »isomerization unit«. I denne enhed anvendtes en såkaldt blowdown-beholder til overtrykssikring af raffinat-splitteren. En blowdown-beholder består af en beholder, hvor væske og gas adskilles, og en skorsten som leder letflygtige gasser væk. I Texas City blev væske ledt til en proceskloak, men gasser kom direkte ud i atmosfæren. Sådanne enheder var tidligere ret almindelige til trykaflastning. I dag er de de fleste steder forbundet til anlæggets flare-system, således at gassen brændes i stedet for at blive ledt direkte ud i omgivelserne.
Afvigelser fra normalproceduren
Den normale procedure for opstart af denne enhed er meget forenklet [2]:
1. Fyld føde i destillationstårnet indtil niveaumåleren i bunden viser 50%.
2. Start cirkulation gennem kogeren og tilhørende ovn.
3. Start udtag af produkt fra bunden af tårnet til tank.
4. Tænd en eller flere brændere i den til kogeren hørende ovn.
5. Varm op ca. 30°C pr. time indtil temperaturen i bunden er ca. 135°C.
6. Start reflux-flow når niveau i reflux-beholder er 50%.
7. Start udtag af produkt fra toppen af tårnet til tank.
Under opstarten inden eksplosionen blev denne procedure fraveget på flere væsentlige punkter, hvoraf de vigtigste var: 1) Bunden i tårnet blev fyldt til et nivau over 100%, og 2) Udtag af produkt fra bunden af tanken blev først startet umiddelbart før eksplosionen. Imidlertid fortsatte man med at lede føde, som nu alene blev varmet op af brænderne til kogeren, til tårnet. Dette betød, at varmeveksling mellem fødestrømmen til tårnet og bundproduktstrømmen først blev etableret på et tidspunkt, hvor tårnet var næsten væskefyldt. På dette tidspunkt er væsken i tårnet allerede betydeligt varmere end påkrævet, og den yderligere opvarmning af føden får sandsynligvis væske i tårnets øverste del til at nærme sig kogepunktet. Sikkerhedsventilerne på det væskefyldte tårn åbner sig, og væske ledes i betydelige mængder til den såkaldte blowdown-beholder. Denne bliver også fyldt med væske, og der sker udslip af varm væske både til kloak og atmosfære. Dampene herfra finder en tændkilde i en bil, som er parkeret mindre end 10 meter fra beholderen. Resultatet er en gasskyeksplosion, som dræber 15 personer og skader yderligere 180 mennesker. Den ødelagte enhed ses på figur 2.
Forældet udstyr
Et sekventielt tids-begivenheds-plot (STEP – Sequenced Timed Event Plot) kan give et godt overblik over, hvad forskellige aktører foretager sig i forbindelse med et ulykkesforløb. For at skabe et bedre overblik har vi valgt at simplificere nogle ting: 1) Alle operatører, både ude og inde, er slået sammen til én, og 2) En tilnærmet tidslinje er brugt i forhold til det faktiske forløb op mod eksplosionen. Vi har således kun fire aktører i vort diagram: 1) Raffinat-splitteren, 2) Operatøren, 3) Supervisoren, og 4) Superintendent. Desuden har vi valgt at udvide STEP-diagrammet med en informationsdel, som giver nogle oplysninger om anlæggets tilstand på forskellige tidspunkter op mod eksplosionen. Et STEP-diagram, der omfatter hele forløbet fra opstilling af de første arbejdsskure i september 2004 til nedlukning af raffinat-splitteren efter eksplosionen, er tilgængeligt hos forfatterne i form af et regneark.
Det ville være langt fra sandheden at konkludere, at denne ulykke skyldtes operatørfejl. Blowdown-beholdere er forældet udstyr, men de anvendes stadig i en del ældre anlæg til trods for mange anbefalinger om at eliminere dem. På Texas City-raffinaderiet havde man også vedtaget at eliminere dem i forbindelse med større ombygninger eller ændringer i anlægget. Inden ulykken var der to gange ombygninger i nærheden af ISOM-enheden, hvor man med forholdsvis enkle midler kunne have elimineret blowdown-beholderen og forbundet overløbssikringen af raffinat-splitteren med raffinaderiets flare-system. Det skete desværre ikke.
I det følgende omtales nogle af de undersøgelser, som allerede er offentliggjort om ulykken på BP’s raffinaderi i Texas City. BP startede deres egen interne undersøgelse dagen efter ulykken. Denne undersøgelse blev ledet af daværende BP Group vicepræsident John Mogford og forretningsleder Tim Holt samt de to sikkerhedsspecialister Michael Broadribb og Gregory Crum. Den endelige rapport [2] forelå allerede i december samme år. Chemical Safety Board (CSB) startede deres undersøgelse allerede samme dag, som ulykken skete, og offentliggjorde deres rapport i marts i år. OSHA startede også en undersøgelse samme dag. CSB opfordrede også relativt hurtigt BP til at lave en uafhængig gennemgribende undersøgelse af firmaet sikkerhedskultur, sikkerhedsledelsessystemer og virksomhedens sikkerhedsopsyn med dets raffinaderier i USA. Denne undersøgelse blev ledet af tidligere udenrigsminister James Baker, og panelets rapport blev offentliggjort i januar i år.
Inden vi ser nærmere på fokus og konklusioner i disse undersøgelser [1,2,3], skal vi lige se på en yderst simpel masse- og energibalancesimulering af forløbet op til starten på udslippet gennem blowdown-beholderen.
Simulering af balancer under opstart af raffinat-splitter
Vha. meget simple masse- og energibalancesimuleringer i ICAS [4], som er et system af programmer til estimering og analyse i forbindelse med kemiske processer, der gennem de sidste 10 år er udviklet af medarbejdere og studerende i forskningsgruppen CAPEC på Institut for Kemiteknik, kan både niveau og temperatur i kolonnen op til starten på udslippet simuleres. De anvendte features i ICAS, herunder MoT – Modelling Testbed, er beskrevet i [5]. Ved brug af MoT kan det eksempelvis nemt undersøges, hvilken indflydelse det har, om densiteten regnes for konstant eller temperaturafhængig. Yderligere informationer om ICAS og MoT findes på CAPEC’s hjemmeside http://www.capec.kt.dtu.dk.
Massebalancen er
idet der ikke udtages produkt i toppen af kolonne, før udslippet starter. V angiver volumenstrøm og ρ densitet. Denne ordinære differentialligning kan nemt bringes på en form, som indskrives direkte i MoT eller et andet program til løsning af differentialligninger. Fordelen ved at bruge MoT er, at MoT kan trække på andre programmer i ICAS til at beregne eksempelvis en densitet, som afhænger både af den pågældende strøms sammensætning og af tryk og temperatur, uden at brugeren skal bekymre sig om formlen for denne beregning.
I vort tilfælde, hvor strømmene kan repræsenteres af 3-4 komponenter, ville det nok være overkommeligt selv af finde formlerne og de nødvendige konstanter i litteraturen, og sætte dem ind i et værktøj, som Matlab. Fordelen ved MoT er, at brugeren slipper for at skulle søge efter formler og konstanter i litteraturen samt at det er enkelt at ændre blandingen fra at bestå af 3-4 komponenter til at indeholde 10 eller flere komponenter. Egenskaber, som densitet, beregnes i ICAS af programmet ProPRED, der indeholder formler for beregning af mange forskellige egenskaber og arbejder sammen med CAPEC-databasen, som indeholder komponentspecifikke konstanter for et meget stort antal stoffer.
En simplificeret energibalance baseret på at betragte tårnet som delt i to velomrørte tanke, som varmeveksler gennem en grænseflade i en bestemt højde er også blevet opstillet [6]. Enkelte simuleringsresultater er vist i figur 4 og figur 5.
I figur 4a er vist niveauet i raffinat-splitteren, som beregnet i vore simuleringer, mens figur 4b viser de tilsvarende data fra Mogford [2]. Simulering i Mogford [8], der er udført med antagelse om konstant densitet, viser et maksimalt niveau på 140 fod eller 42,6 meter, mens vor simulering med konstant densitet viser 40 meter. Forskellen kan skyldes forskelle i sammensætning af føden i de to simuleringer. Bruger vi imidlertid en temperaturafhængig densitet, så når niveauet i vor simulering op over 50 meter, svarende til splitterens højde på 170 fod eller 51,8 meter. Dette er siden blevet underbygget af [2] og hjælper med at forklare, hvordan store mængder kulbrinter undslap.
I figur 5a er vist temperaturudviklingen i splitteren, som beregnet ved vore simuleringer, mens de tilsvarende data fra Mogford [2] er vist i figur 5b. Det ses, at der som forventet er kvalitativ overensstemmelse mellem både temperaturen i bunden af splitteren og temperaturen af føden i de to simuleringer. Dette er ikke helt overraskende, idet nogle konstanter omkring varmeveksling i vor simulering er justeret til at opnå den samme temperaturstigning som i Mogford [2].
Samlet set viser vore simuleringer altså, at det ville være muligt at lave en simpel alarm baseret på væskefyldningsgraden af splitteren, alene baseret på en massebalancesimulering. En sådan alarm kunne enten baseres på konstant fødesammensætning og konstant densitet, eller den kunne baseres på målt fødesammensætning og målt fødetemperatur. Da ICAS anvender openCAPE-standarder, ville det være relativt enkelt at implementere en sådan alarm i et Windowsbaseret DCS.
Det skal i denne forbindelse bemærkes, at Texaco Milford Haven-raffinaderiet i det sydvestlige England allerede i 1994 oplevede en ulykke med mange paralleller til ulykken i Texas City i 2005. I rapporten fra Milford Haven ulykken anbefales det netop, at operatørernes muligheder for at vurdere massebalancer og væskefyldningsgrader forbedres [7].
De 3 store undersøgelser af eksplosionsulykken på BP’s raffinaderi i Texas City er: BP’s interne ulykkesundersøgelse [2], Chemical Safety Boards undersøgelse [1] og Baker-panelets undersøgelse [3]. I de følgende afsnit refereres nogle af disse undersøgelsers hovedanbefalinger, samtidig forsøger vi at vise, hvorledes fokus ændredes fra at stoppe udviklingen i et hændelsesforløb til at ændre ledelsessystemer gennem denne serie rapporter.
BP’s egen undersøgelse af eksplosionsulykken
Mindre end to måneder efter ulykken offentliggjorde BP en foreløbig undersøgelsesrapport [8], som konkluderede, at 4 kritiske faktorer spillede en rolle i ulykken:
1. Tab af indeslutning. Procedurer, som blev fulgt eller ikke-fulgt, ledte til overtryk og aktivering af raffinat-splitterens overtryksbeskyttelsessystem. Kulbrinter strømmede til blowdown-beholderen og videre ud i omgivelserne gennem denne beholders skorsten, hvor de dannede en dampsky, som blev antændt af ukendt kilde (en kørende bilmotor).
2. Opstartsproceduren blev ikke fulgt, hvilket medførte tab af kontrol med processen (massebalancen). Nøglepersonale anvendte ikke deres viden og evner, og desuden manglede ledelsesmæssigt opsyn ved opstarten.
3. Meget personale, som arbejdede andre steder i raffinaderiet, var for tæt på faren ved blowdown-beholderen under opstarten. De var samlet i og omkring nogle midlertidige skure og blev hverken evakueret eller advaret.
4. Brug af blowdown-beholder som en del af et overtryksbeskyttelsessystem for raffinat-splitteren samt flere design- og driftsændringer over tid tæt på ukontrollerede procesområder.
Det umiddelbare indtryk, såfremt man alene læste ovenstående [2,8], ville være, at ulykken skyldtes forskellige personalefejl. Overfladisk set så er det jo også rigtigt. Imidlertid laver mennesker normalt ikke med fortsæt fejl, som leder til store uheld. Derfor må man spørge sig selv, hvilke omstændigheder der fik de tilstedeværende personer til at begå disse fejl?
BP interne undersøgelse [2], der bestod af indsamling af beviser, analyse af disse og årsagsanalyse samt forslag til forbedringer, resulterede i en lang række forbedringsforslag, som omfatter seks hovedområder: Personale, procedure, kontrol med arbejde og midlertidige bygninger, design, underliggende systemer og undersøgelse samt rapportering af ulykker. Der er ikke her plads til, at nævne alle forslagene. I stedet nævnes nogle, som også andre rapporter berører:
· Lav bemandingsplaner for større vedligeholdelsesarbejder (turnarounds), som tager hensyn til udmattelse.
· Find tilstrækkelige ressourcer og investeringer til vedligeholdelse af integritet og risikoreduktion.
· Definer, budgetter for og implementer en risikoreduktionsplan for anlægget, som omfatter regelmæssig re-evaluering af alle større risici.
· Gør sikkerhed og personaledelse til topprioritet i ledelsesevalueringer.
· Udarbejd retningslinjer for overarbejde, dvs. maksimum timer/dag, dage/uge, dage/måned, både for alle BP-ansatte og ansatte hos underleverandører.
· Definer hvorledes skifteholdsskift skal foregå med fokus på person- til person-kommunikation og gennemgang af skriftlige procedurer for igangværende arbejde.
· Anskaf processimulatorer og indfør certificeret træning af operatører, teknikere og skifteholdslederen.
· Lav en central gruppe til undersøgelse af »inherently safer design«-teknologier og et implementeringsprogram for disse.
· Simplificer sikkerhedsudvalgsstrukturen.
· Ændre alle opstarts- og nedlukningsprocedurer så de omfatter: 1) Information til personale i tilstødende enheder, 2) Evakuering af alt unødvendigt personale fra enheden og omliggende areal, og 3) En formel start/ikke-start-beslutning om at starte føde til en enhed.
Derudover kommer rapporten med en lang række anbefalinger til forbedringer inden for design og konstruktion, herunder alarmsystemer, vedligeholdelsessystemer og undersøgelse og rapportering af uheld.
CSB’s undersøgelse af eksplosionsulykken
CSB’s undersøgelse har mere fokus på sikkerhedskulturen på BP’s raffinaderi i Texas City såvel som i hele BP’s verdensopspændende organisation. CSB [1] identificerede 4 væsentlige faktorer i forbindelse med ulykken:
· Sikkerhedskulturen – både lokalt og i hele firmaet
· Myndighedstilsynets kvalitet
· Brug af indikatorer for god processikkerhed
· Design af menneske-maskin-grænseflader
Den lokale sikkerhedskultur er indikeret ved 23 dødsfald på anlægget i en 30-årig periode. Alene i 2004 var der 3 dødsfald efter ulykker på BP’s Texas City-raffinaderi. Samme år var der flere gange alvorlige problemer med anlæggets mekaniske integritet. Flere uafhængige studier af sikkerheden på Texas City-raffinaderiet efter BP’s overtagelse af dette i slutningen af 1998 indeholdt kraftige advarsler om anlæggets tilstand. Eksempelvis advarede firmaet Veba 3 år inden eksplosionsulykken om »alvorlig bekymring for en større ulykke på anlægget«, og en efterfølgende undersøgelse af Kearney fastslog, også 3 år inden ulykken, at »de eksisterende integritets- og pålidelighedsproblemer … er klart forbundet med reduktion af vedligeholdelsesbudgettet over de sidste 10 år« samt »at kulturen … var at acceptere omkostningsreduktioner uden at fremføre bekymringer om anlæggets mekaniske integritet«. Alligevel beordrede BP’s bestyrelse en omkostningsreduktion på 25% i 2005. I en forretningsplan for sikkerhed fra begyndelsen af 2005 hedder det direkte »Texas City kills someone in the next 12-18 months«, og samtidig finder en uafhængig undersøgelse »en unormal grad af frygt for en katastrofal ulykke«, .. »og underbemanding er de store årsager til ulykker«. Der manglede således ikke advarsler, men BP’s bestyrelse i London overhørte dem alle. Deres tilsyn med deres raffinaderier, særlig i Nordamerika, var simpelthen ikke godt nok.
CSB hovedanbefalinger til API – American Protroleum Institute, OHSA – Occupational Safety and Health Administration, CCPS – Center for Chemical Process Safety og til BP’s bestyrelse var[1]:
· at API i samarbejde med medarbejderne udarbejder indikatorer for processikkerhed inden for raffinaderidrift og petrokemisk industri.
· at API i samarbejde med medarbejderne udarbejder retningslinjer for at undgå udmattelse blandt medarbejderne.
· at OSHA’s PSM udvides til også at omfatte MoC-sikkerhedsgennemgang af organisatoriske ændringer, personaleændringer og ændringer i overordnede procedurer.
· at CCPS udarbejder retningslinjer for sikker ledelse af større forandringer i organisation, personale og procedurer.
· at BP’s bestyrelse udvides med en person med ekspertise i raffinaderidrift og processikkerhed
· at BP’s bestyrelse sikrer brug af relevante indikatorer for processikkerhed på alle deres raffinaderier.
Disse anbefalinger adresserer de systemiske årsager til ulykken og rækker langt uden for Texas City og BP. De vil påvirke hele den kemiske og petrokemiske industri i de kommende år. Det skal i øvrigt bemærkes, at man allerede i 2002 på et møde i European Process Safety Center (EPSC) diskuterede behovet for retningslinjer for vurdering af større forandringer i organisation og personales påvirkning af sikkerheden. På daværende tidspunkt blev det besluttet ikke at udvikle sådanne retningslinjer i europæisk regi. Endelig skal det bemærkes, at den danske lovgivnings 11-timers regel netop sigter på at undgå udmattelse af personale med kritiske funktioner.
James Bakers undersøgelse af eksplosionsulykken
På anbefaling af CSB etablerede BP et uafhængigt panel til at undersøge sikkerheden ved BP’s amerikanske raffinaderier. Dette panels formand var tidligere udenrigsminister James A. Baker. Panelets rapport omtales oftest som »Baker-rapporten«. Panelet bestod ud over formanden bl.a. af Dennis Hendershot, tidligere sikkerhedsguru hos Rohm & Hass, Nancy Leveson fra MIT og Irv Rosenthal, tidligere formand for CSB.
Panelets fokus i dets undersøgelser var processikkerhed i modsætning til personlig sikkerhed, og dets formål blev defineret som undersøgelse af
· effektiviteten af sikkerhedsledelsessystemet på BP’s Texas City-raffinaderi
· effektiviteten af BP North Americas sikkerheds tilsyn med dets raffinaderier
· sikkerhedskulturen i BP
Panelet skulle ikke specifikt beskæftige sig med miljøspørgsmål, men fokusere på de ledelsesmæssige systemer i BP’s verdensomspændende organisation. Panelet fandt på alle undersøgelsens hovedområder væsentlige mangler hos BP og kom med de i tabel 1 anførte 10 anbefalinger til BP’s bestyrelse. Anbefalingerne viser, at panelet vurderede, at BP’s bestyrelse ikke var tilstrækkelig bevidst om dens ansvar for processikkerheden ved dens amerikanske raffinaderier. Allerede på baggrund af de foreløbige meldinger fra panelet havde BP startet en bevidstgørelse af alle operative medarbejdere omkring emner relateret til processikkerhed.
Vidtrækkende konsekvenser
En af de mindre synlige konsekvenser af eksplosionsulykken på BP’s raffinaderi i Texas City er et betydeligt højere engagement fra bestyrelsesmedlemmers side i sikkerhedsspørgsmål. Således er det ikke længere ualmindeligt, at bestyrelsesmedlemmer både formelt gennem virksomhedens daglige ledelse, men også uformelt direkte til de medarbejdere i virksomhederne, som beskæftiger sig med sikkerhed, stiller yderst dybdeborende spørgsmål om, hvad virksomheden har gjort og gør for at sikre, at man ikke kommer i samme situation, som BP’s bestyrelse.
Det er forventeligt, at den amerikanske kongres vil styrke CSB, som allerede har beføjelser og status svarende til det tilsvarende uafhængige board til undersøgelse af flyulykker. En sådan styrkelse kan eksempelvis ske via øgede bevillinger, så et betydeligt større antal ulykker i den kemiske industri vil blive undersøgt fremover. Manglen på kvalificerede eksperter i processikkerhed kan imidlertid spænde ben for en sådan udvikling. Ved den i foråret afholdte konference Loss Prevention 2007 i Edinburgh var der ved alle præsentationer, som havde den mindste tilknytning til Texas City-tragedien, fyldt i lokalet og stor spørgelyst bagefter. Der er således stor villighed til at lære af tragedien.
De i ICAS udførte simuleringer viser, at man med relativt enkle modeller i moderne DCS-systemer kan implementere alarmer, som går videre, end til at rapportere når en enkelt procesværdi går uden for givne grænser, eksempelvis vise fyldningsgrader.
Et af de fundamentale spørgsmål, som rejser sig efter en begivenhed som eksplosionsulykken på BP’s raffinaderi i Texas City, er, hvordan kunne det ske, at ingen i ledelsessystemet, fra raffinaderidirektøren i Texas City til BP’s CEO Lord Brown i London, spurgte, om man havde de rigtige mål for processikkerhed? Om hvordan man sikrer sig opfølgning på aktionspunkter i HAZOP-undersøgelser? Om hvad et rimeligt antal udestående mekaniske vedligeholdelsesarbejder på et større raffinaderi er? Svar på disse spørgsmål afhænger nok ganske meget af sikkerhedskulturen.
Referencer
1. CSB Investigation Report (2007a): »Refinery explosion and fire (15 killed and 180 injured) – BP Texas City, Texas«, U.S. Chemical Safety and Hazard Investigation Board, Report No. 2005-04-I-TX.
2. Mogford, J. (2005): »Fatal accident investigation report – Isomerization unit explosion – Final report – Texas City, Texas, USA«, BP Products North America, Inc.
3. Baker, J.A.; Bowman, F.L.; Glenn,E.; Gorton,S.; Hendershot,D.; Leveson,N.; Priest,S.; Rosenthal,I.; Tebo,P.V.; Wiegmann,D.A.; and Wilson,L.D. (2007): »The Report of the BP U.S. Refineries Independent Safety Review Panel«.
4. Gani, R.; Hytoft, G.; Jaksland, C.; Jensen, A.K. (1997): »An integrated computer aided system for integrated design of chemical processes«, Computers & Chem.Eng., 21, pp1135-1146.
5. Sales-Cruz, M. (2006): »MoT – New Features«, Rapport, CAPEC, Institut for Kemiteknik, DTU.
6. Seerup, R.; Maribo-Mogensen, B.; Lanz, A.G. og Christensen, J.R. (2007): »Simulering af raffinaderiulykke«, Kemisk Fagprojekt, Institut for Kemiteknik, DTU.
7. Jensen, N. (1998): »En lærerig brand på et engelsk raffinaderi«, Dansk Kemi, 79, nr. 10.
8. Mogford, J. (2005a): »Fatal accident investigation report – Isomerization unit explosion – Interim report – Texas City, Texas, USA«, BP Products North America, Inc.
Figur 1. Simplificeret flowdiagram af raffinat-splitteren. Man ser kogeren (reboiler furnace) til venstre, og blowdown-beholderen yderst til højre. Varmevekslingen mellem føde og bundprodukt, som ikke blev etableret, ses til venstre. Desuden ser man de 3 sikkerhedsventiler, gennem hvilke den varme væske kom til blowdown-beholderen[1].
Figur 2. Isomeriseringsenheden efter eksplosionen [1].
Figur 3. STEP-diagram af begivenhederne de sidste to timer inden eksplosionen. Såfremt man havde haft alarmer på kritiske situationer, som da temperaturerne i splitteren både under og over fødebunden bliver højere en fødens temperatur, kunne situationen være bragt under kontrol. Bemærk også, at både operatører og overordnede forlader anlægget i løbet af disse kritiske timer.
Figur 4a. Resultatet af ICAS-simulering af niveauet i raffinat-splitteren. Den lyseblå linje viser niveauet, den mørkeblå fødestrømmen, og den røde den tunge produktstrøm, som blev etableret alt for sent [6]. Den lysegrønne linje er niveauet med temperaturafhængig densitet.
Figur 4b. Niveauet (blå) og trykket (rød) i raffinat-splitteren de sidste timer inden eksplosionen omkring kl. 13.20 gengivet efter [2].
Figur 5a. ICAS-simulering af temperaturen i raffinat-splitteren ved en meget forenklet model. Den mørkeblå linje er temperaturen i bunden af splitteren, den røde temperatur af føden, og den grønne temperaturen i toppen af splitteren [6].
Figur 5b. Temperatur og tryk (rød) i raffinat-splitteren de sidste timer inden eksplosionen omkring kl. 13.20.
Tabel 1. Baker-panelets anbefalinger til bestyrelsen for BP’s verdensomspændende organisation [3].
