Propylene reboiler rupture from overpressure 2556(2013) MO Memoir : Monday 22 April 2562

ICI Newsletter (ที่จัดทำโดย T.A. Kletz) No. 70 เดือนพฤศจิกายน ค.ศ. ๑๙๗๔ (พ.ศ. ๒๕๑๗) เรื่องที่ 70/1 กล่าวถึงการดัดแปลงระบบที่เดิมมีความปลอดภัยนั้น กลายเป็นระบบที่อาจเกิดปัญหาขึ้นได้ โดยได้ยกตัวอย่างกรณีการป้องกัน overpressure ให้กับ pressure vessel ให้ดูหลายกรณี กรณีที่ยกมาให้ดูในรูปที่ ๒ เป็นกรณี pressure vessel สองใบที่มีท่อเชื่อมต่อกัน โดยที่ท่อเชื่อมนั้นเดิมไม่มีการติดตั้งวาล์วเปิด-ปิด ดังนั้นในการออกแบบผู้ออกแบบจึงพิจารณา vessel ทั้งสองเป็นระบบเดียวกัน และเลือกติดตั้งวาล์วระบายความดันไว้ที่ vessel ตัวด้านขวา
 

ต่อมาระบบได้รับการดัดแปลงโดยมีการติดตั้งวาล์เปิด-ปิดที่ท่อเชื่อมระหว่าง vessel ทั้งสอง แต่ไม่ได้มีการพิจารณาผลกระทบที่จะเกิดขึ้นกับระบบป้องกันความเสียหายให้กับ vessel ผลที่เกิดขึ้นก็คือมีโอกาสที่ vessel ตัวด้านซ้ายจะไม่ได้รับการป้องกันจากความดันที่สูงเกินถ้าหากวาล์วที่อยู่ที่ท่อเชื่อมทั้งสองนั้นถูกปิดเอาไว้
 

ประเด็นนี้ถูกนำมาเผยแพร่ไว้ใน ICI Newsletter ฉบับเดือนพฤศจิกายน ค.ศ. ๑๙๗๔ (พ.ศ. ๒๕๑๗) แต่ก็เป็นเพียงเอกสารแจกจ่ายวนเวียนภายในบริษัท แต่ต่อมาถูกนำมาเผยแพร่ในหนังสือ What Went Wrong? ของ T.A. Kletz ที่จัดพิมพ์ครั้งแรกในปีค.ศ. ๑๙๘๕ (พ.ศ. ๒๕๒๘) (ตัวผมเองมีฉบับพิมพ์ครั้งที่ ๒ ปีค.ศ. ๑๙๘๘ (พ.ศ. ๒๕๓๑))

รูปที่ ๑ รูปนี้นำมาจาก ICI Newsletter No. 70 เดือนพฤศจิกายน ค.ศ. ๑๙๗๔ (พ.ศ. ๒๕๑๗) เรื่องที่ 70/1 เดิมนั้นท่อเชื่อมระหว่าง pressure vessel ทั้งสองไม่มีวาล์วปิดกั้น ผู้ออกแบบจึงได้ทำการติดตั้งวาล์วระบายความดันไว้ที่ pressure vessel เพียงตัวเดียว แต่ต่อมามีการดัดแปลงระบบโดยมีการติดตั้งวาล์วปิด-เปิดที่ท่อเชื่อมระหว่าง vessel ทั้งสอง ทำให้มีโอกาสที่ vessel ตัวซ้ายจะไม่ได้รับการป้องกันจาก overpressure ถ้าหากวาล์วที่ท่อเชื่อมนั้นถูกปิด
 

ในหนังสือและบทความที่เขียนโดย Prof. T.A. Kletz จะมีการกล่าวเอาไว้เสมอว่า "อุบัติเหตุมักจะเกิดซ้ำแบบเดิม ถ้าเราไม่เรียนรู้มัน" ดังเช่นกรณีที่นำมาเล่าให้ฟังในวันนี้ที่เกิดที่โรงงาน Williams Geismar Olefins Plantประเทศสหรัฐอเมริกาในวันพฤหัสบดีที่ ๑๓ มิถุนายน ปีค.ศ. ๒๐๑๓ (พ.ศ. ๒๕๕๖) ที่ propylene reboiler ตัวหนึ่งได้รับความดันสูงเกินจนแตกออก ก่อให้เกิดการรั่วไหลของแก๊สเชื้อเพลิง ตามด้วยการระเบิดและเพลิงไหม้ตามมา ทำให้มีผู้เสียชีวิต ๒ ราย โดยใน Memoir ฉบับนี้จะเป็นการสรุปเฉพาะประเด็นเหตุการณ์ที่เกิดขึ้นซ้ำเดิม โดยอิงจากรายงานการสอบสวนฉบับเต็มและคลิปวิดิทัศน์ที่สามารถดาวน์โหลดและรับชมได้ที่ https://www.csb.gov/williams-olefins-plant-explosion-and-fire-/
 

แต่ก่อนที่จะเข้าเรื่องว่าเหตุการณ์เกิดได้อย่างไรนั้น ก็จะขอปูพื้นฐานเรื่องการผลิตโอเลฟินส์เอาไว้ก่อนสักเล็กน้อย เพื่อที่จะได้มองเห็นภาพการทำงานก่อนการเกิดเหตุ

รูปที่ ๒ แผนผังอย่างง่ายของระบบไหลหมุนเวียน quench water ของโรงงานที่เกิดเหตุ

ในการผลิตโอเลฟินส์นั้นต้องให้ความร้อนที่สูงแก่ไฮโดรคาร์บอนโมเลกุลใหญ่ เพื่อที่จะทำให้มันแตกออกเป็นโมเลกุลเล็ก และโมเลกุลเล็กตัวหลักที่ต้องการคือเอทิลีน (ethylene H₂C=CH₂) และโพรพิลีน (propylene H₃C-CH=CH₂) แต่ในขณะเดียวกันที่อุณหภูมินั้นทั้งเอทิลีนและโพรพิลีนก็สามารถสลายตัวไปเป็นสารตัวอื่นที่ไม่ต้องการได้ (เช่นอะเซทิลีน มีเทน) ดังนั้นสิ่งสำคัญสิ่งหนึ่งในการออกแบบกระบวนการคือการหาทางหยุดปฏิกิริยา กล่าวคือเมื่อเกิดเอทิลีนกับโพรพิลีนแล้วก็ต้องหยุดการสลายตัวของสารทั้งสอง และสิ่งที่ทำกันก็คือการหาทางลดอุณหภูมิของแก๊สร้อนนั้นให้เย็นตัวลงอย่างรวดเร็ว โดยเริ่มจากการดึงเอาความร้อนออกไปผลิตไอน้ำความดันสูง การแลกเปลี่ยนความร้อนกับสายที่ต้องการเพิ่มอุณหภูมิ ก่อนจะเข้าสู่ขั้นตอนสุดท้ายที่ให้แก๊สร้อน (ที่เย็นตัวลงเยอะแล้ว) สัมผัสกับน้ำหล่อเย็นโดยตรงในหอที่เรียกว่า quench tower ที่แก๊สจะเข้าทางด้านล่างไหลขึ้นบน สวนทางกับน้ำที่ไหลลงมา น้ำที่ใช้ที่หอนี้เรียกว่า quench water (ดูรูปที่ ๒ ประกอบ)
 

เมื่อแก๊สร้อนสัมผัสกับ quench tower องค์ประกอบส่วนที่ควบแน่นได้ (ทั้งไอน้ำและไฮโดรคาร์บอนโมเลกุลใหญ่ทั้งที่ยังไม่ได้ทำปฏิกิริยาและที่เกิดขึ้นจากการรวมตัวกันของโมเลกุลเล็ก) ก็จะกลายเป็นของเหลวไหลรวมออกทางก้นหอ ไหลลงสู่ quench water settler drum ที่ settler drum นี้น้ำกับน้ำมันจะมีการแยกชั้นกันโดยชั้นไฮโดรคาร์บอนจะลอยอยู่ทางด้านบนและชั้นน้ำร้อนจะอยู่ทางด้านล่าง ชั้นไฮโดรคาร์บอนจะถูกแยกออกไปเข้าสู่กระบวนการที่เหมาะสม ส่วนชั้นน้ำร้อนนั้นจะนำไปเข้าสู่กระบวนการดึงเอาความร้อนไปใช้และระบายทิ้งให้เย็นตัวลง ก่อนจะนำหมุนเวียนกลับไปใช้เป็นที่หอ quench tower ใหม่

รูปที่ ๓ ระบบหอกลั่นแยก โพรพิลีน/โพรเพน ก่อนเกิดเหตุการณ์ระเบิด เดิมนั้น reboiler ทั้งสองจะทำงานร่วมกัน และไม่มีการติดตั้งวาล์วเปิด-ปิดที่ท่อไหลเข้าออก (ทั้งด้าน shell และ tube) ดังนั้น reboiler ทั้งสองได้รับการออกแบบให้ได้รับการป้องกันความเสียหายจาก overpressure ด้วยวาล์วระบายความดันที่ติดตั้งไว้ที่ยอดหอกลั่น แต่ต่อมาในปีค.ศ. ๒๐๐๑ (พ.ศ. ๒๕๔๔) มีการดัดแปลงระบบเพื่อให้หอกลั่นสามารถทำงานได้ด้วย reboiler เพียงตัวเดียว โดยอีกตัวหนึ่งทำหน้าที่ standby เผื่อไว้ในกรณีที่ต้องมีการหยุดเดินเครื่อง reboiler เพื่อทำความสะอาด ในการดัดแปลงนี้จึงมีการติดตั้งวาล์วเปิด-ปิดที่ท่อไหลเข้าออก (ทั้งด้าน shell และ tube) ทำให้ reboiler ตัวที่ไม่ได้ทำงานนั้นไม่ได้รับการป้องกันจาก overpressure
 

reboiler (หรือที่มีผู้แปลเป็นไทยว่าหม้อต้มซ้ำ) ทำหน้าที่ต้มของเหลวที่อยู่ที่ก้นหอกลั่นให้เดือดกลายเป็นไอ เพื่อไล่เอาสารที่มีจุดเดือดต่ำออกจากสารที่มีจุดเดือดสูง (ที่จะดึงออกทางก้นหอ) ตัว reboiler นี้ทำงานตรงข้ามกับ condenser และ reflux drum โดยตัว condenser จะทำหน้าที่ควบแน่นไอที่ไหลออกทางยอดหอหอด้านบนให้กลายเป็นของเหลวสะสมใน reflux drum และนำเอาของเหลวที่เย็นนี้บางส่วนป้อนกลับเข้าไปในหอกลั่นให้ไหลส่วนทางกับไอที่กำลังไหลขึ้น ในระหว่างการไหลสวนทางนี้สารที่มีจุดเดือดสูงในไอที่ระเหยขึ้นจะควบแน่นเป็นของเหลวไหลลงล่าง ส่วนสารที่มีจุดเดือดต่ำในของเหลวที่ไหลลงจะเดือดกลายเป็นไอระเหยเข้าไปผสมกับไอที่ไหลขึ้น การควบคุมความบริสุทธิ์ของผลิตภัณฑ์ที่กลั่นแยกได้ทำได้ด้วยการปรับอัตราการเดือดที่ reboiler และปริมาณของเหลวที่ไหลป้อนกลับจาก reflux drum ให้เหมาะสม
 

หน่วยที่เกิดเหตุนั้นเป็นหน่วยกลั่นแยกโพรพิลีน/โพรเพน สารคู่นี้เป็นสารที่แยกกันยากคู่หนึ่งเพราะมีจุดเดือดใกล้กันมากโดยโพรพิลีนจะมีจุดเดือดต่ำกว่าโพรเพนเล็กน้อย การเพิ่มความดันก็ไม่ได้ทำให้จุดเดือดของสารทั้งสองแตกต่างกันมากขึ้น (ดูเพิ่มเติมได้ใน Memoir ปีที่ ๙ ฉบับที่ ๑๒๕๓ วันพุธที่ ๑๒ ตุลาคม ๒๕๕๙ เรื่อง "ทำความรู้จักกระบวนการผลิตเอทิลีน ตอนที่ ๑๙ ผลของความดันต่อจุดเดือดของไฮโดรคาร์บอน C2-C3") สารสองตัวนี้ปรกติเป็นแก๊สที่อุณหภูมิห้องและความดันบรรยากาศ แต่เราก็สามารถทำให้เป็นของเหลวได้ที่อุณหภูมิห้องด้วยการใช้ความดันช่วย ดังนั้นการต้มให้สารคู่นี้เดือดกลายเป็นไอจึงไม่จำเป็นต้องใช้แหล่งความร้อนอุณภูมิสูง ความร้อนจากน้ำร้อนที่ต้องการทำให้เย็นตัวลงก็มากเพียงพอที่จะต้มมันให้เดือดได้แล้ว และในโรงงานที่เกิดเหตุนี้น้ำร้อนที่เอามาใช้ต้มคือ quench water ที่ต้องการลดอุณหภูมิให้เย็นลงก่อนจะนำกลับไปใช้งานใหม่
 

แต่ quench water ไม่ได้มีแต่น้ำ มันมีพวกน้ำมันและสารประกอบต่างที่ละลาย/แขวนลอยมากับน้ำด้วย และสารเหล่านี้สามารถเกาะสะสมบนพื้นผิวแลกเปลี่ยนความร้อน ทำให้ประสิทธิภาพของเครื่องแลกเปลี่ยนความร้อนลดลง จนต้องมีการหยุดเดินเครื่องเพื่อทำความสะอาดเป็นระยะ

รูปที่ ๔ reboiler B ตัว standby นั้นมีโพรเพนเหลวไหลเข้ามาสะสมอยู่ภายใน (จะเนื่องด้วยวาล์วรั่วหรือมีการเปิดโดยไม่ตั้งใจก็ตามแต่) และเมื่อโพรเพนนี้ได้รับความร้อนจาก quench water ที่ไหลเข้ามา จึงเกิดการเดือดจนทำให้ความดันใน reboiler B สูงเกินกว่าที่ตัว reboiler B จะทนได้
 

ตัวโรงงานเดิมนั้นหอกลั่นแยกโพรพิลีน/โพรเพนมี reboiler 2 ตัวทำงานพร้อมกัน ในการออกแบบแต่แรกนั้นไม่มีการติดตั้งวาล์วเปิด-ปิดที่ท่อไหลเข้าออกตัว reboiler (ทั้งด้าน shell และ tube) ทำให้ทั้งตัวหอกลั่นและ reboiler ที่การไหลเชื่อมต่อกันตลอดเวลา ผู้ออกแบบจึงออกแบบโดยติดตั้งวาล์วระบายความดันไว้เพียงตัวเดียวที่ตัวหอกลั่น แต่สิ่งที่เกิดขึ้นภายหลังก็คือเมื่อ reboiler สกปรกมากจนต้องทำความสะอาด จำเป็นต้องหยุดเดินเครื่องหอกลั่น (และอาจหมายถึงทุกส่วนการผลิต) เพื่อที่จะได้เปิดตัว reboiler เพื่อทำความสะอาดภายในได้ ซึ่งมันคงไม่มีปัญหาอะไรถ้าหากมันตรงกับวงรอบการหยุดเดินเครื่อง (annual shutdown) (ตรงนี้ผมเองก็สงสัยเหมือนกันว่า ตอนออกแบบครั้งแรกนั้นเขาอิงการทำงานแบบนี้หรือเปล่า คือเผื่อขนาดของ reboiler เอาไว้ให้เพียงพอที่จะทำงานได้จนกว่าจะถึงเวลาหยุดเดินเครื่องครั้งใหญ่)
 

จากปัญหาดังกล่าวประกอบกับการพบว่าหอกลั่นสามารถทำงานได้ด้วย reboiler เพียงตัวเดียว ในปีค.ศ. ๒๐๐๑ (พ.ศ. ๒๕๔๔) จึงได้มีการดัดแปลงระบบด้วยการติดตั้งวาล์วให้กับท่อไหลเข้า-ออก reboiler ทั้งสองตัว (ทั้งด้าน shell และ tube) เพื่อที่จะได้ปิด reboiler ตัวหนึ่งเอาไว้เป็นตัวสำรอง และเปิดใช้งานเมื่อต้องการทำความสะอาด reboiler ตัวหลัก (รูปที่ ๓) ตามรูปแบบนี้ reboiler ตัวที่ใช้งานอยู่ยังคงได้รับการป้องกันจาก overpressure ด้วยวาล์วระบายความดันที่ติดตั้งอยู่ที่ตัวหอกลั่น ส่วนตัว reboiler ตัวที่ standby อยู่นั้น ถ้าไม่มีการให้ความร้อนใด ๆ มันก็ไม่ควรจะมีความดันเกิดขึ้นภายใน ดังนั้นมันจึงไม่ควรมีการเกิด overpressure และมันก็เป็นเช่นนั้นได้นานถึง ๑๒ ปี
 

reboiler ตัว standby นั้นอยู่ในสภาพ standby มานาน ๑๖ เดือน ในวันที่เกิดเหตุมีการพบว่าอัตราการไหลของ quench water เข้าสู่ reboiler ตัวที่ใช้งานอยู่ (operating reboiler) ลดต่ำลงเรื่อย ๆ จึงมีการตัดสินใจที่จะเปลี่ยนไปใช้ตัว reboiler ที่ standy อยู่ ในการนี้ ณ เวลา ๘.๓๓ น operation supervisor จึงไปทำการเปิดวาล์วให้ quench water ที่ร้อนไหลเข้า reboiler ตัว standby (คือแบบว่าจะให้ตัวนี้ทำงานก่อน จากนั้นจึงค่อยหยุดเดินเครื่องตัว operating reboiler) แต่สิ่งที่ operation supervisor ผู้ที่เปิดวาล์วให้ quench water ไหลเข้า reboiler ตัว standby ไม่รู้ก็คือ ใน reboiler ตัวนี้มีโพรเพนสะสมอยู่ (จะเนื่องด้วยการรั่วไหลผ่านวาล์วหรือมีการเปิดวาล์วผิดก่อนหน้านี้โดยบังเอิญก็ตามในช่วงเวลา ๑๖ เดือนที่มันอยู่ในสภาวะ standby - รูปที่ ๔) ความร้อนจาก quench water ที่ไหลเข้าไปทำให้โพรเพนใน reboiler เดือดเพิ่มความดันภายในอย่างรวดเร็วจน reboiler ระเบิด (ผลจากรับความดันไม่ได้) ในอีกประมาณ ๓ นาทีหลังเปิดให้ quench water ไหลเข้า ทำให้ operation supervisor และโอเปอร์เรเตอร์อีกผู้หนึ่งที่กำลังทำงานอยู่บริเวณนั้นเสียชีวิต (เวลา ๓ นาทีก็เรียกได้ว่าเป็นเวลาสั้น ๆ ที่ไม่น่าจะเพียงพอสำหรับการเปิดวาล์วตัวใหญ่หลายตัว อาจเป็นไปได้ที่บรรดาผู้เสียชีวิตนั้นกำลังอยู่ระหว่างกระบวนการเปิดวาล์ว

ตรงนี้มีประเด็นที่น่านำมาพิจารณาก็คือ กรณีของเครื่องแลกเปลี่ยนความร้อนนั้น เมื่อเราจะเริ่มเดินเครื่องมัน เราควรเริ่มด้วยการให้ "สายร้อน" หรือ "สายเย็น" ไหลเข้าเครื่องก่อน ในเหตุการณ์นี้สายร้อนคือ quench water ในขณะที่สายเย็นคือโพรเพนจากก้นหอ ถ้าหาก operation supervisor ทำการเปิดวาล์วด้านโพรเพนก่อน อุบัติเหตุนี้ก็คงจะไม่เกิด

บทเรียนหนึ่งที่รายงานมีการนำเสนอก็คือ ในกรณีที่ต้องการป้องกันอุปกรณ์ที่อยู่ในสถานะ standby หรือ offline เป็นเวลานานนั้น การใส่ blind (อันนี้เป็นการเรียกแบบอเมริกัน ถ้าเป็นอังกฤษจะเรียก slip plate) จะให้การป้องกันที่การรั่วไหลเข้าสู่อุปกรณ์ตัว offline ได้อย่างมั่นใจกว่า (ตรง Key Lesson ในรูปที่ ๔) แต่ก็ใช่ว่ามันจะสมบูรณ์แบบ 100% เพราะถ้าตัว blind นั้นถูกสอดทิ้งไว้เป็นเวลานานพอ มันก็อาจถูกกัดกร่อนจนทะลุได้เหมือนกันดังตัวอย่างที่นำมาให้ดูในรูปที่ ๖
 

จะว่าไปกรณีโรงกลั่นน้ำมันแห่งหนึ่งของบ้านเราที่เกิดเหตุเพลิงไหม้เมื่อปีพ.ศ. ๒๕๕๕ ก็เกิดจากการการรั่วของ slip plate ที่สอดไว้เพื่อทำการ isolation อุปกรณ์ตัวหนึ่ง (ที่ไม่ได้ใช้งานแต่ยังไม่มีการรื้อถอน) ที่คาไว้เป็นเวลานาน พอน้ำมันร้อนรั่วออกมาพบกับอากาศก็ลุกติดไฟทันทีอันเป็นผลจาก autoignition temperature (ดู Memoir ปีที่ ๑๑ ฉบับที่ ๑๖๑๒ วันพุธที่ ๓ ตุลาคม ๒๕๖๑ เรื่อง "Fire case 1 Bangchak 2555(2012)")

รูปที่ ๕ ภาพสถานที่เกิดเหตุหลังเหตุการณ์สงบ จะเห็นชิ้นส่วนท่อเชื่อมต่อระหว่าง reboiler B กับหอกลั่นนั้นปลิวไปค้างอยู่ที่ pipe rack ทางด้านบน

รูปที่ ๖ slip plate ที่ถูกใส่คาไว้ในระบบท่อเป็นเวลานานเพื่อทำการ isolation อุปกรณ์ ถูกกัดกร่อนจนทะลุ (จากหนังสือ What Went Wrong? กรณี 1.1.6(a)

ทิ้งท้ายไว้นิดนึง รายงานการสอบสวนอุบัติเหตุของ CSB ฉบับนี้ก็เริ่มต้นด้วยข้อความที่นำมาจากหนังสือ What Went Wrong? ของ Prof. T.A. Kletz เช่นกัน