1995年10月16日上午10时15分，位于宾夕法尼亚州罗斯维尔的Pennzoil公司炼油厂的1号车间发生爆炸和火灾事故。爆炸发生后，火焰迅速席卷该炼油厂的大部分地区，并烧着了数台盛装石脑油和燃料油的储罐。火灾中发出巨大的爆炸声，浓浓的黑烟笼罩了整个地区。大火迫使公司的雇员、合同工、罗斯维尔镇的居民和一所小学的师生撤离。消防队于当日12时30分扑灭了大火。事故造成3人当场死亡，另有3人受伤，其中2人后来也死亡。火灾使工厂遭受巨大的破坏。美国EPA化学事故调查组(CAIT)对事故进行了调查分析。
1．事故经过
1995年10月16日早上7时40分，Pennzoil公司的安全主管为炼油厂2名焊接487和488号废液储罐之间的扶梯栏杆的雇员签发了动火许可证，许可证的有效期为上午7时40分至下午3时30分。487和488号废液储罐盛装废烃和水的混合物。在最后批准动火以前，安全技术员检查了作业方案。动火许可证要求罐顶上所有人孔加盖，焊机接地尽可能靠近焊接点，并指定1人随时监视火情。许可证提出不能在有人孑L的罐顶附近进行焊接，并要求对可燃蒸气区采取措施，以防止火灾发生。
动火作业的准备工作包括配置焊接和接地电缆，安装了梯子，在工作区周围铺上焊接毯(welding blanket)，焊接毯通常由厚帆布制成，用于收集焊接时产生的熔渣等，以防止发生火灾。在动火作业开始前，公司安全技术员用可燃气体检测器测定了焊接区内可燃蒸气，测定结果表明没有可燃蒸气存在。
大约9时30分，焊工、火情监视员在装配工帮助下完成定位焊接后，暂时中止工作休息。10时，焊工和监视员返回，但他们没能重新起动焊机的内燃机。
10时10分，2名汽车维修工帮助起动焊机。10时15分，487号储罐发生爆炸，不到1分钟，488号储罐也发生爆炸。不能确定当时焊工是否已开始焊接作业。目击者称，事故发生前看到1名焊工在阶梯之间的平台上，另1人在梯子底下，没有看到在焊接。
爆炸使储罐侧壁与底板之间的焊缝遭到严重的破坏，储罐升起。487号罐离开底和地面向西移位大约20英尺(6.096米)，488号罐向东移位大约50英尺(15.24米)。罐内燃烧着的物料在储罐破裂时泄放出来，火焰迅速蔓延到整个现场。焊接栏杆的焊工的烧伤面积达60％，监视火情的焊工在火灾中死亡。在储罐附近残留的拖车上发现了已死亡的2名合同工。
现场的13台液体储罐、管道系统和电气线路以及正在建设中的新石蜡厂遭到破坏。大火烧掉了液体储罐中的物料，其中包括1台70434加仑(266621.57升)的石脑油溶剂储罐，2台1605加仑(6075.58升)的干洗溶剂储罐，2台21057加仑(79709.38升)燃油储罐。这些储罐在原地燃烧，没有蔓延。在火灾中发生多次巨大爆炸，认为是气体钢瓶和封闭的管道在火中爆裂引起的。
一些装置的碎片从炼油厂飞过公路落到小山上，爆炸还将一些小燃料容器的碎片抛到了围墙外的商店和居民区。隔离现场与河流、小溪的5英尺(1.524米)高的隔离墙防止了液体泄漏进入水中。参加灭火的消防队员大约有140名，当日12时30分，大火被扑灭。由于在此前曾进行过由地区消防部门、炼油厂消防队、危险物质专家、地方和州警方、宾夕法尼亚州应急管理局参加的消防演习，使得这次事故救援工作反应迅速，且获得成功。
2．事故原因分析
火灾的直接原因是487号废液储罐的易燃蒸气被引燃。虽然CAIT没有准确确定事故发生的原因，但至少有两种可能性：未被检测到的487号储罐的易燃蒸气被引燃，然后回燃到储罐；或电焊产生的电火花引燃了储罐的易燃蒸气。
当487号储罐易燃蒸气被引燃时，蒸气燃烧可能引起罐内压力迅速上升。储罐沿着底焊缝开裂，瞬间泄放出罐内物料。从487号罐泄放出的燃烧着的液体引燃了邻近的488号罐的易燃液体，488号罐也沿底焊缝破裂，泄放出罐内物料。由于这两台储罐对泄漏的液体没有二级防护，使得从罐中泄出的燃烧的液体迅速蔓延到整个炼油厂。
事故调查的目的是确定储罐区的可能的蒸气源和火源以及没有能检出易燃蒸气的原因。调查还力求确定事故的根本原因和间接原因。
(1)可能的蒸气源
①从敞开的人孔排出的蒸气。从真空车经敞开的人孔进人487号储罐的转移软管使得孔盖不能完全密闭。虽然焊接毯盖在人孔上，但毯子不是蒸气密封的，蒸气仍可能排出进入周围地区。蒸气排出的可能性随环境条件而变化，从早上到上午的这段时间，室外温度升高，蒸气排出的可能性增加。此外，储罐中可能存在的甲基乙基酮(MEK)有可能提供足以被引燃的蒸气。
②从储罐抽油管排出的蒸气。抽油管能为蒸气排出提供通路。在储罐内，抽油管的位置位于液面以上的蒸气空间。事故后，调查人员发现，连接罐内的抽油管的罐底外的阀门是打开的。当储罐变热时，易燃蒸气可能经抽油管和打开的阀排出。排出的蒸气可能在火源附近积聚，引燃后，焰锋回燃，经抽油管引燃储罐内的蒸气。但对抽油管内部检查，没有燃烧的证据或迹象。
③从转移软管排出蒸气。一根3英寸(7.62厘米)排液软管从罐内部经人孔到储罐外地面，它为蒸气排出和火焰回燃到储罐提供了通路。但调查人员没有发现软管内有燃烧或烧焦的证据。
④从储罐腐蚀孔排出的蒸气。事故后，调查人员在罐顶附近发现一些直径约1／4英寸(6.35毫米)的孔，可能是由于腐蚀造成的。如果这些孔在爆炸前已存在，它们就可能为蒸气排出和焰锋回燃提供通道。
(2)可能的火源
最可能的火源是由焊接作业、焊机的内燃机、焊机或接地电缆产生的电火花。
①如果当时正在施焊，焊条或焊渣的火花或飞溅物能引燃已存在的蒸气。焊枪跌落或对扶梯的撞击有可能产生火花引燃蒸气。但调查没有发现支持这些观点的证据。一般来说，在动火作业中被引燃的物质在设备内，而引燃蒸气云相对较少。
②由内燃机提供动力的焊机也可能成为火源，因为发电机产生电火花，内燃机产生热，引擎排气系统排出热的气体或热粒子。事故发生时，储罐附近的焊机发电机没有安装排气火花消除器。发动机排气管和气体是热的，因为湍流混合，可能引燃较低温度的易燃蒸气混合物。
③接地不良，焊接产生的电火花或焊接，都可能产生漏电流成为点火源。例如，靠在储罐和建筑物上的擦破的焊接引线或接地电缆可以发生短路。更重要的是，如果没有良好的接地，电焊机的接地电缆可能产生电火花。现场调查证明接地连接是适当的，但接地线不应连接到盛有易燃物的设备上。另外，扶梯和罐底腐蚀的存在影响了接地的效果，这种情况可能导致在液体或储罐上积累放电，如果放电有到地面的通路，可能在储罐蒸气空间产生火花并引燃存在的蒸气。
(3)没有检测到可燃蒸气的原因
在一般的动火作业时，安全技术员要使用可燃气体检测仪对焊接区进行检测。当日早上，在焊接作业开始前进行过检测，没有测出可燃气体。其原因可能有：
①早上，储罐、废液和蒸气温度低，蒸气量小。随气温升高，加上太阳直照到储罐上，使储罐中蒸气温度上升，产生热膨胀可能使蒸气从罐口排出。
②可燃气体检测仪没有校正，导致读数不准确。
③可燃气体采样方法、培训和检测程序可能不适当。
(4)其他蒸气源和火源
其他可能引起事故的易燃蒸气源和火源有：
①储罐区内打开的废水排水口是易燃蒸气的可能来源。如果含有易燃物质或易燃液体的废水泄漏进入封闭的下水道，蒸气可能在互相连通的下水道内转移到动火作业区。调查断定，该来源的可能性较小。
②静电引起的火花是一种火源。含烃液体在转移时可能产生静电。软管、管道系统和液体储罐在泵送或停止后保留电荷。此外，软管位于储罐液位以上，加料喷溅可产生静电。但事故前没有液体进出储罐，而上次装卸料的静电荷在事故时已消除。
③事故现场附近的拖车上有的电气部件和装置不能满足1～2类要求，即达不到“防爆”和“本质安全”要求。某些泵和电动机的配电板属于此类，这些电气部件有可能成为火源。但证据显示487号和488号储罐火源不是在拖车区。
④用来保护地下管道系统和储罐底防腐蚀的阴极保护系统有可能产生电荷，成为火源。但Pennzoil现场没有用阴极保护系统。
⑤储罐附近有一条公路，用于存放工具的4辆拖车在公路上。来往车辆和拖车都可能引燃蒸气，但没有证据证明这一点。
(5)对事故起作用的因素
引起487号、488号罐底破坏的因素：
①储罐没有安装足够的应急排气系统，罐顶不具备能起到应急排气作用的易破坏性。
②储罐底焊缝因腐蚀变弱。罐底常含有水，罐底和侧面周围堆积了砾石，从而使湿气积聚在储罐外、底部和边缘，导致罐壁底缝腐蚀变薄。
③487号和488号罐没有防止泄漏的液体流淌和火灾蔓延到其他区域的二级控制设施或蓄池，引起了其他储罐起火。
④拖车在储罐附近的围墙区内，如果拖车与储罐区隔离，拖车的因素可排除。
(6)事故的根本原因和间接原因
CAIT没有能准确地确定事故的原因，但有足够的资料支持一些根本的和间接的原因。这些根本和间接原因应视为在类似作业中应吸取的教训，特别是在化工和炼油业。CAIT使用各种分析技术确定事故的根本原因和间接原因，所使用的技术包括：事件和起因的图示、工程和操作管理经验和专业判断。CAIT确定的根本原因和间接原因有以下方面。
①储罐设计、完整性和维修不当。
a.487号、488号罐主要用于储存废水，不用于处理易燃液体；事故前有大量MEK被转移到了487号罐。该罐人孔可打开直通大气，没有防火措施(如加压蒸气排气口，阻火器或其他的方法)；对易燃物料卸入储罐时可能因喷溅产生的静电没有有效的防护措施，也没有应急排气方法。
b.487号、488号罐沿底缝破裂，泄放出全部物料。沿底缝有受腐蚀的证据。储罐在建造后已更换过罐顶，但CAIT没有获得储罐进行日常检查和维修的其他资料。
②储罐区动火作业准备不当。
a．虽然CAIT没能彻底评价培训、操作程序和动火作业前检测可燃或易燃蒸气的仪器是否符合要求，但有证据证明，接近焊接作业的储罐内的可燃或易燃蒸气没有与动火作业区完全隔离，导致罐内蒸气被引燃发生爆炸。
b．除焊接点外，在接近储罐区内存在其他电或火花火源。如焊机接地可能在储罐产生电荷。一旦条件适于引燃，这些火源就有可能引发事故。
③缺乏对动火作业现场条件变化影响的认识，没有注意到动火作业随时间的变化有可能影响到工作安全的情况。随着从早上到上午这段时间温度的上升，可燃或易燃蒸气浓度可能增加。在焊接中止后再开始焊接前，如能用可燃气体检测器再次检测就有可能发现情况的变化。
④设备位置周围没设控制范围及控制不当。
a.在487和488号罐周围没有二级控制或蓄存设施来限制液体外流和火灾的蔓延。
b.没有考虑车辆进出公路和拖车的有关危险。如将这些可能的火源与工作区隔离就可排除这些原因。
3.防范措施
根据上述事故原因分析，CAIT提出以下建议。
(1)设备的设计和完整性
虽然废水或废油罐化学或工艺过程危险性较小，Pennzoil和其他企业仍应充分了解这些危险性及与这些危险有关的后果，并对其进行评价，编制成资料，提出适当的防护措施。评价应包括事故史、设备的设计和完整性。进行评价的一种方法是根据OSHA工艺过程安全管理标准29CFRl910．119进行正式的过程危险性分析(PHA)。美国化学工程师协会(AIChE)化工安全中心(CCPS)为PHA制定了指南。
(2)做好动火作业准备工作
Pennzoil和其他工业部门应对动火作业批准过程和程序进行检查，建立动火作业前的管理系统或其他机制，以保证能确定和控制所有的蒸气源和火源。例如，使用设备图解和检查表，确保隔离所有可能的蒸气源和火源；回顾以往动火作业中发生的事故，执行动火作业定期审查或检查制度；确保不遗漏可能的火源或蒸气源；要确保焊机接地，切断电流通往易燃物设备的通路。
(3)加强对作业条件变化的认识
工厂需要了解工作期间环境条件的变化。在该次事故中，如在工作重新开始前再次检测就可能发现已存在的易燃蒸气。工厂应考虑对可燃气体进行连续监测；应考虑到工作中断后进行再检测在防止事故发生中所起的作用；应该运用过程危险分析法对工作任务进行分析，以确保了解可能发生的情况变化。例如，使用“如果—怎样”的方法来评价动火作业或其他工作，来检验气候变化或其他异常情况对安全工作的影响。
(4)作业区和设备位置问题
如上所述，PHA技术可用来评价与设备和作业区位置有关的危险。Pen—nzoil和其他企业可使用PHA技术与工业法规、标准、条例的要求相结合，来评价与设备和作业区位置有关的危险。如禁止车辆进入含易燃物区域，隔离危险作业区等，对以往发生的事故进行回顾和评价，采取相应二级防护措施以防止事故的扩大等。