设备停下后风险也会停止的错觉

石油化工厂的停工检修，即大修（turnaround），是计划停运生产设备，开展检查、清洗、更换、维修和改造的时期。通过打开平时难以接近的设备来恢复其完整性。然而，工艺已经停止这一事实本身，并不意味着设备处于无能量、无物料状态。管道中可能仍有残余压力和残留物，排凝口和放空口可能堵塞，其他相连系统仍可能在运行。为检修新投入的能量也包括氮气吹扫、蒸汽吹扫、清洗、焊接、吊装和搭设脚手架等。

因此，标题中“事故集中发生”的表述不应被理解为对特定发生率的断言。不同场所的工作范围和统计口径不同，仅凭公开统计很难将所有检修期的事故频率概括为一个数字。本文讨论的是CSB《启动和停工期间事故安全摘要》及个别事故调查反复显示的结构性条件。检修期间，异常状态、大量作业人员、临时配置、多项许可作业和紧迫决策会在同一时间和空间重叠。风险增加并非源于单项任务的数量，而是源于它们之间的相互作用。

正常运行防护层消失的过渡状态

在正常运行中，流量、压力、温度和液位保持在规定范围内，自动控制、报警和操作人员的经验也围绕这一状态积累。停工和再启动时，阀门排列持续变化，部分仪表被旁路或正在检修，管道会被排空再重新充满。液体和气体的流向也可能不同于平时。这种状态称为过渡状态或异常运行状态。管理对象并非设备完全停止的一个点，而是从正常运行到停工、从停工到检修、再从检修到再启动的整个过程。

美国 OSHA 的工艺安全管理标准 29 CFR 1910.119要求操作程序分别涵盖初始启动、正常运行、临时运行、紧急停机、正常停机以及大修后的再启动。这意味着即使是同一设备，其风险和允许条件也会因状态而异。若未将停工期间变更的仪表、临时软管、拆除的盲板、锁定的阀门和解除的联锁反映到最新图纸和程序中，再启动团队就会用昨天的图纸操作今天的设备。检修结束不应只视为已完成的工作清单，而应视为确认设计状态与现场状态重新一致的交接过程。

同时作业不是多张许可证的简单相加

大修期间，动火作业、管道开口、受限空间进入、高处作业、吊装、射线检测、电气作业和清洗会在相近位置同时进行。即使每项作业单独符合许可条件，也可能破坏其他作业的条件。上层的焊接火花可能落入下方已打开的管道，清洗剂可能产生意料之外的蒸气，移动式起重机可能阻塞疏散通道。一个团队的通风机也可能将另一个团队的气体云团吹向作业人员。

CSB 的Wacker 多晶硅事故调查发布指出，在含有危险物质的管道上进行螺栓紧固作业时，同一结构上另有承包商人员进行保温作业，但并未评估同时作业风险。教训是，仅确认每张许可证各自合规并不足够。应在同一张图上查看空间、时间、能量和释放路径重叠的作业；发生冲突时，应调整顺序或隔离区域。

在实践中，可在每次交接班前的 SIMOPS 协调会上把工作许可证放到工艺区域图上。应共同标出开口作业的风向和影响半径、动火位置、受限空间入口、吊装半径、紧急疏散通道，以及气体检测仪和消防设备的可用状态。关键不在于参会人数，而在于发现冲突时谁有权延期或停止作业必须明确。

管道开口始于首次识别，而不是最后一颗螺栓

打开法兰、人孔、排凝口或仪表连接处的瞬间，是残留物可能与人员直接接触的边界。但风险控制始于识别作业对象，而不是松开螺栓前一刻。若同样高度和颜色的管道并排经过，标签被栏杆或保温层遮挡，图纸编号与现场标识又不同，即使经验丰富的人也可能选错设备。一旦依赖“靠近锁定装置的法兰”这类间接线索，就可能发生误认。

关于 2024 年 PEMEX Deer Park 炼油厂硫化氢泄漏的CSB 最终调查报告结论认为，一名承包作业人员误开了距离预定法兰不远的一条带压管线。宽泛的工作许可证把风险不同的作业捆在一起，停工点和操作员见证条件也没有得到明确执行。报告还指出，对于检修中相邻装置内许多作业人员处于泄漏路径上的风险，评估并不充分。

因此，在管道开口前，应将最新 P&ID 与现场管道核对，运行与检修双方应在现场联合确认，并用手指明准确作业点。标签编号、流体名称、流向、上下游隔离点和盲板位置，应通过两种或以上独立方法确认。工作许可证不应宽泛地写成“拆除该区域多个盲板”，而应区分风险和停工点不同的开口作业。诸如松开部分螺栓前由操作员再次确认的 hold point，不应只是一句文字，而应被设计为签字、现场见证和批准恢复作业的行动。

隔离不是关闭阀门，而是证明零能量的过程

关闭隔离阀并挂上锁，并不意味着隔离已经完成。阀座可能泄漏，公用总管、旁路、仪表管线、热膨胀、重力、残余压力和反应热都可能重新产生能量。需要确认的不仅是电能，还包括压力、温度、化学反应、转动和势能。若设备风险和作业后果较大，应根据风险评估选择双重隔离与排放、插入盲板或物理隔离等可靠性更高的方法。

OSHA 的危险能量控制程序解释指南说明了在复杂工艺设备检修中，操作人员先隔离、泄压和清洗系统，再与检修团队审查能量控制，作业人员参与个人锁定或群组锁定体系的方式。该指南还提出，管道开口可由运行部门签发的特别工作许可证管理，并由操作人员监护。关键是不应把隔离责任只交给运行团队或只交给检修团队。运行人员了解工艺状态，检修人员了解人员实际暴露的作业点；这两类知识必须在现场汇合。

隔离确认表除“阀门已关闭”外，还应包括残余压力释放确认、排凝通路畅通、吹扫完成、待检测物质、零能量确认方法、盲板编号和安装方向、锁箱参与者以及交接班。工作范围变化或相邻系统状态改变时，不应原样延长现有许可证，而应重新审查隔离边界。

承包人员增加要求设计信息交接

检修期间会有大量专业工种和短期人员进入现场。他们即使熟练掌握焊接、脚手架、清洗或检查技术，也不会自动了解该工厂的管道布局、报警声、风道、疏散集合点以及仍在运行的相邻系统。仅凭通用入场培训不能说明已传达当天所负责设备的风险。作业人员转移到其他装置或作业范围改变时，必须重新说明新的工艺风险和防护措施。

在 PEMEX 事故中，作业人员也从已隔离、排空的大修装置突然调到部分运行的相邻装置，却没有充分获知改变后的条件。OSHA PSM 标准也专门规定了从事大修、维修和专业作业的承包商：要求业主提供已知的火灾、爆炸和有毒泄漏风险及应急措施信息，并评估承包商的表现。承包商也应确保其作业人员理解并遵守现场安全规则。

良好的交接靠核实性提问而非签名名单来证明。作业人员应能用自己的话说明要打开什么、可能残留什么物质、哪些阀门和盲板在保护自己，以及报警响起时应向哪个方向撤离。还需要考虑语言和识字水平的图纸、照片和颜色标识，但绝不能将单一颜色作为唯一识别手段。

进度压力如何削弱防护层

大修每停工一天都会影响生产和合同进度，因此推进压力很大。进度本身不是事故原因；但当决策表上只看得到延误成本而风险成本消失时，防护层便会逐层变薄。现场联合确认被电话批准取代，需要单独许可的作业被并入宽泛许可证，检查结果尚未出来就投入下一个工种，用过去气体读数良好的记录代替当前测量。夜间延长作业和交接班变更可能模糊谁对哪一项隔离负责。

进度管理不应是与安全对立的独立体系，而应成为工艺安全的输入项。工作计划应先预留隔离安装与验证、除气、冷却、样品结果、变更管理和再启动前安全审查所需的时间。为赶上延误作业而增加同时作业时，应重新进行 SIMOPS 风险评估。应确保行使停工权的团队或报告延误的主管不会受到不利影响，并设定生产负责人和安全负责人均不能解除的最低 hold point。将许可证重发次数、发现的隔离错误、停工后的改进等领先指标与“按时完成”一并管理，可减少进度压力被掩盖的情况。

气体测量不是许可证印章，而是对变化的监控

开口前气体测量是确认设备内残留物的重要防护层。然而，一次正常读数并不能保证其后全部作业。堵塞的排凝口重新打开、阀门泄漏、扰动污泥，或吹扫和通风状态改变时，大气会再次变化。检测仪应配备能够检测预期物质的传感器和量程；使用前应检查功能、校准状态以及泵和软管的传输时间。测量位置也不能只限于开口的一点，而应覆盖上、中、下部、死角、作业人员呼吸位置和预期泄漏路径。

韩国职业安全卫生公团（KOSHA）的《常压储罐检查、维修及变更技术指南 C-C-6-2025》提出，在储罐检查或维修前应确认火灾、爆炸、窒息和中毒风险；完成安全作业许可和必要措施后作业，并在开始内部检查或维修前测量气体和氧气浓度。具体允许值应按照物质、作业、法律和场所标准确定，因此本文不把一个浓度数值适用于所有作业。

测量记录应同时保留气体名称、位置、时间、设备状态、通风条件和测量人员。对动火、受限空间和有毒物质开口等状态变化可能致命的作业，应按风险变化速度设定连续监测或重新测量标准。报警响起后，首先不应是靠近寻找原因，而应立即停止作业、撤离并控制区域；随后才由有授权人员以远程或受保护方式确认状态。

再启动不是检修的终点，而是另一项高风险作业

检修结束后，恢复拆除的盲板，将阀门转回运行位置，并恢复联锁和报警。此时可能隐藏着未完成的工作、临时修理、安装错误的部件、工具和残留物、反接的仪表以及未关闭的排凝口。若操作人员不了解变更后的设备，工艺进入正常范围前就可能作出错误响应。

OSHA 的PSM 附录 C 实施指南说明，大修期间并非同类替换的变更应按变更管理程序处理，更新图纸和操作程序，并开展必要培训和再启动前审查。再启动前安全审查不是为了快速勾完检查表的会议，而是在现场证明安装符合设计、安全、运行、维修和应急程序、变更管理措施、培训完成以及安全装置恢复的关口。再启动期间，只有必要人员应留在危险区域；非必要检修和动火作业应分开，并应预先确定出现异常迹象时的停工条件和责任人。

打破事故结构的八个运行问题

停工检修的控制水平，与其看文件数量，不如看能否回答以下问题。

  1. 今天的工艺状态是完全停工、部分运行、吹扫、试验还是再启动？现场如何标示？

  2. 每个交接班由谁识别相互影响的同时作业？发生冲突时停止哪项作业？

  3. 将要开口的设备是否由两个主体在图纸和现场独立确认？

  4. 以何种方式证明已切断所有能量源和进入路径，包括不存在残余压力和残留物？

  5. 作业人员重新调配或范围改变时，是否重新传达了工艺风险、撤离和防护措施？

  6. 气体测量的对象、位置、时点、重新测量条件和报警后行动，是否与风险情景相符？

  7. 进度延误时，不可省略的 hold point 和停工权限是否得到保障？

  8. 再启动前，变更、临时措施、盲板、阀门、仪表、联锁和未完成工作由谁最终确认？

这八个问题不是彼此独立的检查表，而是一张相连的网络。即使管道识别正确，隔离错误仍有危险；即使隔离正确，邻近动火作业一开始，条件也会改变。即使测量恰当，如果交接班时遗漏设备状态，下一个团队仍会依据过时前提工作。因此，大修的核心管理单元不是单项作业，而是工艺状态及作业之间的接口。

结论：管理接口，而不仅是检修工作量

停工检修期间的风险，不能用“人多”或“作业人员失误”一句话解释。在正常运行的稳定条件消失的状态下，多种工种重叠，管道和能量边界不断变化，不熟悉现场的承包人员在进度压力下流动。即使存在单独的许可证和培训，它们之间的连接一旦断裂，错误打开设备、暴露于残留物、点火和疏散延误就可能连成一条事故路径。

预防的起点不是更快批准所有作业，而是让状态可见。应将当前运行状态、隔离边界、同时作业冲突、气体条件、责任人和停工点统一到一个界面和一种现场语言中。当范围、人员、风向或工艺状态改变时，应重新审查许可证。大修不是停止设备的活动，而是运营一座风险构成快速变化的临时工厂的时期。只有确立这一视角，才能将完成检修和安全再启动作为同一目标进行管理。

参考资料

封面图片

Pexels 原始照片