用563体系再次分析2005年BP炼油厂事故

安健之泉

一、事故基本情况

2005年3月23日，BP美国德克萨斯城炼油厂发生重大过程安全事故，成为美国过去二十年最严重的职场安全灾难之一，事故造成15人死亡、170余人受伤，同时产生巨额经济损失。事故发生后，美国化学安全与危害调查委员会（CSB）启动调查，并建议BP成立独立安全审查小组，对其美国炼油厂的企业安全文化、安全管理体系及企业安全监督机制开展全面审查，本报告为该独立小组2007年发布的调查结论。

二、事故直接原因

本调查未聚焦事故具体直接原因（CSB专项调查对此负责，其最终报告于2007年上半年发布），但明确该事故为过程安全事故，由炼油厂工艺环节中危险物料泄漏、能量释放（爆炸、火灾）引发，涉及工艺操作中设备故障、工艺参数失控等直接过程安全问题。

三、事故间接促成原因

事故的发生并非单一环节失误，而是多重管理、操作、系统层面问题叠加的结果，各类间接因素共同促成了事故爆发：

1. 操作纪律缺失：BP美国五家炼油厂均存在忽视安全操作规范的情况，对严重偏离安全操作的行为持容忍态度，员工和管理人员过度依赖过往操作经验，而非科学的工程原则。

2. 设备与系统维护不到位：内部过程安全标准执行滞后，如泄压阀下的爆破片、关键报警和紧急关断装置、设备检验等环节未按标准落实；外部先进工程安全实践未及时应用，机械完整性检验和测试大量逾期。

3. 培训体系失效：过度依赖计算机化培训，过程安全培训缺乏严谨性、全面性和整合性，员工及承包商的过程安全知识、操作能力不足，管理层也未明确对应的过程安全能力要求。

4. 风险识别与分析不充分：虽开展工艺危害分析，但体系存在系统性缺陷，无法充分识别、严谨分析工艺环节中的各类危险，对重大事故风险的感知严重不足。

5. 事故事件调查流于形式：未建立有效的根本原因分析程序，对事故和未遂事件的调查仅停留在表面，未识别出系统性诱因；同时存在未遂事件、过程安全事故漏报情况，无法全面掌握安全现状。

6. 人员工作负荷过大：炼油厂运营和维护人员长期超负荷加班，叠加企业“倡议过载”，人员精力被分散，直接影响安全操作能力，增加过程安全风险。

四、事故根本原因

本次事故的核心根源在于BP企业层面过程安全文化的缺失、过程安全管理体系的失效，以及企业安全监督与管理层责任的落实不到位，三者相互作用，导致过程安全长期被忽视，最终引发灾难性事故：

（一）企业过程安全文化严重缺失，未将过程安全确立为核心价值

1. 高层领导示范作用不足：BP高层未提供有效的过程安全领导力，虽提出“无事故、无人员伤害”的愿景，但未将过程安全融入管理层和员工的行为预期，反而过度强调人身安全，将人身伤害率下降错误解读为过程安全表现良好，形成虚假的安全信心。

2. 安全沟通与员工赋能不足：仅部分炼油厂建立了管理层与员工的有效安全沟通机制，德克萨斯城、托莱多、怀廷等核心厂区缺乏信任、开放的安全环境，员工无法有效反馈过程安全问题。

3. 安全文化缺乏统一性：BP美国五家炼油厂无统一的过程安全文化，各厂区安全管理水平参差不齐，且均存在对过程安全风险的自满情绪，忘记对工艺危险的敬畏之心。

4. 资源配置与优先级失衡：未持续为过程安全配置充足的人力、物力资源，且未设立炼油业务专属的高层过程安全负责人；企业决策偏短期利益，过程安全未纳入管理层核心决策考量。

（二）过程安全管理体系不健全、未形成一体化的管理机制

1. 体系执行存在系统性漏洞：BP虽有过程安全相关内部标准和愿景，但未将企业层面的过程安全期望转化为可量化的风险管控指标，也未明确定性、定量风险管控标准，导致体系无法有效落地。

2. 与人身安全管理脱节：已建立相对有效的人身安全管理体系，但未将其管理经验延伸至过程安全领域，过程安全管理处于分散、无序状态，未形成整合、全面的管理体系。

3. 审计与整改机制失效：过程安全审计存在审计人员资质不足、审计范围有限、过度依赖内部审计等问题，且审计聚焦于法律合规性，而非实际安全绩效；对审计、危害评估中发现的过程安全缺陷，整改不及时、跟踪不到位，重复问题频发。

（三）企业安全监督缺位，责任追究与绩效评估机制不完善

1. 管理层责任未落实：BP的分散式管理体系赋予炼油厂厂长过大自主权，但未明确其过程安全的职责和问责标准，高层及炼油厂管理层未对过程安全表现承担有效责任；炼油厂厂长高流动率也导致过程安全领导力持续弱化。

2. 绩效评估指标单一：事故前主要以人身伤害率衡量过程安全表现，缺乏科学的过程安全领先性和滞后性绩效指标，无法有效监测、评估过程安全状况。

3. 信息传递与高层监督失效：企业采用自下而上的报告体系，数据层层汇总后丢失炼厂具体安全信息，高层管理层要么未收到过程安全缺陷的相关信息，要么收到后未有效回应；董事会虽监测过程安全绩效，但对实际安全管理状况的认知与现实存在巨大偏差，未有效履行监督职责。

4. 过往事故教训未吸取：2000年苏格兰格兰杰默斯炼厂过程安全事故的教训未在全美国炼油厂全面落实，未建立有效的事故教训共享和整改机制，同类安全缺陷持续存在。

五、核心整改建议

为从根本上改善过程安全管理，杜绝同类事故，调查小组提出十大核心建议，核心聚焦以下关键方向：

1. 强化高层领导力：BP董事会和高管层需明确过程安全核心价值，以实际政策和行动体现过程安全承诺，设立清晰的过程安全目标。

2. 建立一体化过程安全管理体系：系统、持续地识别、降低和管控过程安全风险，完善内部标准并确保落地执行。

3. 完善能力建设与培训：针对管理层、员工、承包商制定明确的过程安全能力要求，建立严谨、全面的培训体系，摒弃单一的计算机化培训。

4. 培育正向过程安全文化：推动各炼油厂建立信任、开放的安全环境，保障员工安全沟通和反馈的权利，形成统一的过程安全价值观。

5. 明确职责与问责：清晰界定各层级过程安全职责，强化过程安全绩效的问责机制，将过程安全纳入管理层核心考核。

6. 优化绩效监测与审计：建立科学的过程安全领先/滞后绩效指标，完善独立、专业的过程安全审计体系，聚焦实际安全绩效而非单纯合规性。

7. 加强董事会监督：董事会需持续监督整改落实和过程安全表现，未来5年聘请独立监督员年度汇报，同时向公众公开相关进展。

8. 推动行业示范：BP应以本次事故为教训，成为炼油和化工行业过程安全管理的标杆企业，同时推动行业建立统一的过程安全绩效指标。

本报告指出，过程安全事故完全可以预防，BP及整个炼油、化工行业需摒弃安全自满情绪，以持续的警惕性和完善的管理体系落实过程安全管理；本次调查结论不仅适用于BP，也为全行业的过程安全管理提供了重要参考。

我用“563”对事故的分析概括。故障树“红色的组件”是事故单位必须改进项目，也是“综合治理”的体现。2007年事故调查小组给出的整改措施有5000余字，覆盖了全部“红色组件”再加上“绩效考核”改进要求的内容。

个人认为：事故调查报告中关于“工程技术管理系统”的背景信息内容不足，大修情况介绍缺失。是第三方负责大修吗？二个关键故障的仪表大修前后情况？有没有被更换？1980年到发生事故更换了多少次？组件的寿命周期是多少？如果我们在事故调查分析中使用“变化分析”工具，会对事故前后有哪些“改变”进行详细研究分析。因此，我调查表中用了黄色标识。同时增加了硬件（组件）背景调查的选项，版本升级到V58。