เพลิงไหม้และการระเบิดที่ BP Oil (Grangemouth) Refinery 2530(1987) Case 3 เพลิงไหม้ขณะทำความสะอาดถังเก็บน้ำมันดิบ ตอนที่ ๑ MO Memoir : Firday 7 December 2561

นิสิตวิศวกรรมเคมีปี ๒ เมื่อเข้าเรียนปฏิบัติการเคมีในชั่วโมงแรกนั้น ผมจะย้ำเรื่องความปลอดภัยในการทำงานโดยเฉพาะการไม่ฝ่าฝืนข้อห้ามต่าง ๆ โดยเฉพาะการกระทำที่ไม่สมควรที่สามารถส่งผลกระทบต่อบุคคลอื่นรอบข้างได้ 
  

การกระทำที่ไม่สมควรนี้ ถ้าหากการทำงานนั้นอยู่ภายใต้การกำกับดูแลของผู้มีอำนาจให้คุณให้โทษได้แบบไม่ต้องเกรงใจผู้ฝ่าฝืนกฎระเบียบ (เช่นอาจารย์กับนิสิต หรือตัวแทนผู้ว่าจ้างกับผู้รับเหมา) ถ้าพบการฝ่าฝืนเกิดขึ้นก็มักจะสั่งการลงโทษได้โดยไม่ต้องเกรงใจใด ๆ แต่ถ้าเป็นกรณีระหว่างผู้ร่วมงานด้วยกัน และยิ่งถ้าคนส่วนใหญ่ในทีมงานหรือกลุ่มผู้อาวุโสในทีมงานเป็นผู้ฝ่าฝืนเสียเอง การว่ากล่าวตักเตือนหรือขอร้องให้หยุดการกระทำดังกล่าวก็คงเป็นเรื่องลำบาก (ซึ่งอาจเป็นเพราะการกลัวว่าจะโดนขับออกจากกลุ่ม) ซึ่งเหตุการณ์ในตัวอย่างนี้ก็เช่นเดียวกัน ที่ผู้เสียชีวิตนั้นไม่ได้เป็นผู้ที่ฝ่าฝืนกฎความปลอดภัย แต่เป็นตัวของผู้ร่วมทีมงานเองที่เคยฝ่าฝืนกฎมาก่อนหน้า แต่ด้วยที่มันไม่เกิดเหตุการณ์ใด ก็เลยทำต่อมาเรื่อย ๆ จนกระทั่งเหตุการณ์ครั้งนี้

รูปที่ ๑ โครงสร้างหลังคาของ tank เก็บของเหลว (ซ้าย) cone roof หรือ fixed roof (กลาง) external floating roof (ขวา) internal floating roof โดยในกรณีของ floating roof นั้น ตัวฝาหลังคา (เส้นสีแดง) จะลอยอยู่บนผิวของเหลว

คำว่า "ถัง" ในภาษาไทย ตรงกับคำในภาษาอังกฤษหลายคำ ขึ้นอยู่กับบริบทว่ากำลังพูดเรื่องอะไรอยู่ อย่างเช่นถังตักน้ำที่เราใช้กันตามบ้านทั่วไปภาษาอังกฤษก็เรียกว่า bucket ถังพักน้ำประปาก่อนที่จะใช้ปั๊มสูบจ่ายไปยังตัวบ้านภาษาอังกฤษก็เรียกว่า tank ถังแก๊ส (หรือที่ทางผู้ขายเรียกท่อแก๊ส) ที่ใช้กันในห้องปฏิบัติการหรือโรงพยาบาล (เช่นถังออกซิเจนหายใจ) ถ้าแปลเป็นภาษาอังกฤษก็เรียกว่า cylinder ส่วนถังเก็บแก๊สหรือของเหลวในโรงงานอุตสาหกรรมนั้นมีทั้งแบบที่เรียกว่า drum (ไม่ได้แปลว่ากลอง), vessel และ tank สำหรับในบทความชุดนี้คำว่า "ถัง" จะหมายถึง "tank" และเป็นถังเก็บของเหลวที่ความดันบรรยากาศ (atmospheric tank)
 

ถังเก็บของเหลวที่ความดันบรรยากาศสามารถทำหน้าที่ได้ดีในการเก็บของเหลวที่มีจุดเดือดสูงกว่าอุณหภูมิสูงสุดของสภาพแวดล้อม (โดยควรต้องคำนึงถึงกรณีที่ถังนั้นต้องตากแดดจัดทั้งวันในฤดูร้อนด้วย) สำหรับของเหลวที่มีความดันไอต่ำ (เช่นพวกมีจุดเดือดสูง) ก็สามารถเก็บของเหลวนั้นในถังแบบที่เรียกว่า cone roof หรือ fixed roof ได้ ถังแบบนี้มีข้อดีตรงที่โครงสร้างถังไม่มีส่วนเคลื่อนที่ใด ๆ ให้ต้องดูแล เพียงแค่มีช่องระบายอากาศที่มีขนาดใหญ่เพียงพอที่หลังคาถังเพื่อไว้ให้อากาศในถังระบายออกเวลาสูบของเหลวเข้าถัง (เป็นการป้องกันไม่ให้ความดันในถังสูงเกินไป) และให้อากาศข้างนอกไหลเข้าเวลาสูบของเหลวออกจากถัง (ป้องกันไม่ให้ความดันในถังต่ำกว่าความดันบรรยากาศข้างนอก ซึ่งจะทำให้ถังถูกบีบอัดจนยุบตัวได้) ช่องระบายอากาศนี้อาจเป็นท่อเปล่า หรือมีการติดตั้ง breather valve หรือ flame arrester ซึ่งขึ้นอยู่กับของเหลวที่บรรจุ

รูปที่ ๒ ภาพถ่ายดาวเทียมจาก google map ถังเล็กกลุ่ม ๔ ใบทางด้านซ้ายเป็นชนิด cone roof ส่วนถังเล็กบริเวณตอนกลางและถังใหญ่ทางด้านขวาเป็นชนิด floating roof ในกรณีที่ระดับของเหลวในถังนั้นต่ำ ตัว roof จะอยู่ต่ำกว่าขอบถังมาก ทำให้เมื่อมุมแดดส่องมาทางด้านข้างจะเห็นเป็นเงาของผนังถังบนฝาถัง ถ้าถังไหนมีของเหลวอยู่เต็มก็จะมองไม่เห็นเงาดังกล่าว ขีดเส้นขาวที่มุมขอบล่างขวาของรูปคือเส้นสเกล ๕๐ เมตร ดังนั้นถังใบใหญ่ ๆ ๕ ถังทางด้านขวาของรูปก็มีเส้นผ่านศูนย์กลางเกือบ ๑๐๐ เมตร (สนามฟุตบอลมาตรฐานจะยาวประมาณ ๑๐๐ เมตรและกว้างประมาณ ๗๐ เมตร)

ในกรณีของของเหลวที่มีความดันไอสูง (เช่นพวกที่มีจุดเดือดสูงกว่าอุณหภูมิห้องไม่มาก หรือสารละลายผสมระหว่างพวกที่มีจุดเดือดต่ำและจุดเดือดสูง เช่น น้ำมันเบนซิน น้ำมันดิบ) การใช้ cone roof tank จะก่อให้เกิดการสูญเสียเนื่องจากการระเหยได้มาก โดยเฉพาะในช่วงอากาศร้อน วิธีการหนึ่งในการลดการสูญเสียเนื่องจากการระเหยก็คือการไม่ให้มีพื้นที่ว่างบนผิวของเหลวที่ของเหลวระเหยออกสู่อากาศได้ ตัวอย่างของวิธีการนี้ที่เห็นได้ในห้องปฏิบัติการเคมีทั่วไปคือการใช้ลูกบอลพลาสติกลอยบนผิวหน้าน้ำใน water bath (ถ้านึกภาพไม่ออกสามารถอ่านเพิ่มเติมได้ที่ Memoir ปีที่ ๔ ฉบับที่ ๔๖๓ วันอังคารที่ ๑๒ มิถุนายน ๒๕๕๕ เรื่อง "การลดการระเหยของของเหลว") แต่ถ้าเป็นกรณีของ tank แล้วเขาจะใช้วิธีการให้ฝาด้านบนของ tank (ที่เรียกว่า roof) ลอยปิดผิวบนของของเหลวนั้นเอาไว้ โดยฝานี้จะลอยขึ้น-ลงตามระดับของเหลวในถัง ถังแบบนี้จึงมีชื่อเรียกว่า "Floating roof tank"
 

ด้วยการที่หลังคาของ floating roof tank มันแบนราบแถมอยู่ต่ำกว่าผนังด้านข้าง มันจึงไม่สามารถระบายน้ำฝนออกทางด้านข้างได้ ก็เลยจำเป็นต้องมีท่อระบายน้ำฝนอยู่ตรงกลาง โดยตัวท่อระบายส่วนที่อยู่ใต้หลังคานั้นก็ต้องสามารถพับงอได้เพื่อที่จะเปลี่ยนระดับได้ตามความสูงของหลังคา แต่สำหรับพื้นที่ที่ที่มีหิมะตกนั้นก็ต้องมีประเด็นเรื่องน้ำหนักของหิมะที่จะสะสมบนฝาถัง (เพราะหิมะมันเป็นของแข็ง ไม่ไหลลงท่อเหมือนน้ำฝน เว้นแต่ว่าจะมั่นใจว่าน้ำมันในถังนั้นมันร้อนพอที่จะทำให้อุณหภูมิของหลังคาถังสูงพอที่จะละลายหิมะที่ตกลงมาสะสม) ในกรณีเช่นนี้การพิจารณาสร้าง fixed-roof ปิดคลุม floating roof อีกทีก็อาจเป็นการดีก็ได้ เลยกลายเป็นถังที่มีชื่อเรียกว่า "Internal floating roof tank" ส่วนตัวที่ไม่มี fixed-roof ปิดคลุมนั้นก็กลายเป็น "External floating roof tank" ไป (รูปที่ ๑) และถ้าคิดจะสร้าง fixed-roof ปิดคลุมแล้วก็ต้องไม่ลืมที่จะต้องมีช่องทางให้ระบายอากาศที่อยู่ด้านในระหว่าง floating roof และ fixed-roof ด้วย
 

บริเวณรอบ tank จะมีการสร้างกำแพงล้อมรอบที่เรียกว่า "Dike" หรือ "Bund" เพื่อเป็นการป้องกันกรณีที่ tank เกิดความเสียหายจนไม่สามารถกักเก็บของเหลวได้ โดยความสูงของกำแพงนี้อย่างน้อยต้องมากเพียงพอที่จะกักเก็บของเหลวทั้งหมดที่รั่วออกมาจาก tank ที่มีขนาดใหญ่ที่สุดที่มันล้อมรอบอยู่ได้

รูปที่ ๓ ภาพตัดขวางโครงสร้างของ floating roof ตัวขารองรับ (roof pillar หรือ support leg) จะยึดติดอยู่กับตัว roof และลอยขึ้น-ลงไปพร้อมกับตัว roof แต่เมื่อระดับของเหลวลดต่ำลงมาก ตัวขารองรับจะกันไม่ให้ตัว roof นั้นลดระดับลงถึงพื้น แต่จะให้ลอยสูงอยู่โดยมีระยะความสูงจากพื้นที่มากพอที่คนจะเข้าไปตรวจสอบบริเวณภายในได้ (ภาพจาก API RP 2016 (1st ed August 2001) "Guidelines and procedures for entering and cleaning petroleum storage tanks" รูป ๑๒-๑ หน้า ๙๐)

เหตุการณ์ที่เป็นกรณีศึกษาคราวนี้เกิดขึ้นในวันพฤหัสบดีที่ ๑๑ มิถุนายน พ.ศ. ๒๕๓๐ (ค.ศ. ๑๙๘๗) แต่คราวนี้ไม่ได้เกิดที่ตัวโรงกลั่น แต่เกิดที่ tank farm ที่ตั้งอยู่ที่ Dalmeny oil storage terminal ที่อยู่ห่างจากโรงกลั่นมาทางตะวันออกประมาณ ๒๐ กิโลเมตร (รูปที่ ๔ และ ๕) ถังน้ำมันดิบใบที่เกิดเหตุนั้นเป็น floating roof tank ที่มีเส้นผ่านศูนย์กลางประมาณ 78 เมตร (กว้างกว่าความกว้างสนามฟุตบอลหน่อย) สูงประมาณ 18 เมตร (ประมาณตึก ๕-๖ ชั้น ถ้าคิดความสูงชั้นละ 3 เมตร) จุน้ำมันได้ประมาณ 81,000 m³ จากการสำรวจในเดือนเมษายนก่อนหน้าด้วยการใช้การจุ่มวัด (dipping) ผ่าน support leg ของหลังคา พบว่าที่ก้นถังมี "Sludge" สะสมอยู่ประมาณ 1000 ตัน (คำ sludge ในภาษาอังกฤษแปลเป็นไทยได้ว่า "ตะกอน" ซึ่งอาจทำให้คิดไปได้ว่าเป็นของแข็งที่เป็นก้อนสะสมอยู่ แต่ถ้าดูจากบริบทของเรื่องแล้ว sluge ในที่นี้น่าจะมีลักษณะคล้าย "โคลนข้นเหนียว" มากกว่า)
 

รูปที่ ๓ เป็นตัวอย่างภาพตัดขวางของตัว floating roof คือตัว roof นี้จะมีขาตั้งที่เรียกว่า support leg หรือ roof pillar ยึดกระจายไปทั่วตัว roof ตัว support leg นี้ทำหน้าที่รองรับน้ำหนักของตัว roof เวลาที่ของเหลวในถังลดระดับต่ำลงโดยป้องกันไม่ให้ตัว roof ลดระดับลงต่ำเกินไป เพราะผนังที่ระดับความสูงบริเวณก้นถังอาจมีการติดตั้งอุปกรณ์อื่นอยู่ เช่น ท่อไอน้ำให้ความร้อน ใบพัดกวน ท่อระบายน้ำฝนจากตัว roof เอง และเพื่อไว้สำหรับการตรวจสอบภายในถัง การจุ่มวัดที่กระทำกันก็กระทำผ่านตัว support leg นี้ (ที่เป็นท่อกลวง) ตัว roof ของถัง T807 ที่เกิดเหตุนั้นก็มี support leg ทั้งสิ้น 219 ขาที่มีความสูง 2.1 เมตร (ประมาณความสูงของประตูบ้าน) ตำแหน่งของ support leg, ตำแหน่งที่ทำการจุ่มวัดระดับ sludge และความสูงของระดับ sluge ที่ก้นถังนั้นแสดงไว้ในรูปที่ ๖
 

ผนังด้านล่างของถังนั้นมีช่องทางให้คนเข้าไปในถัง (ที่เรียกว่า manway) อยู่ด้วยกัน 4 ตำแหน่ง ทำมุมห่างจากกันประมาณ 90 องศา และยังมีช่องสำหรับติดตั้งใบพัดกวน (agitator) อีก 3 ช่องที่อยู่ระหว่าง manway 2 ช่อง ใบพัดกวนนี้มีไว้เพื่อทำการผสมน้ำมันในถังให้มีความสม่ำเสมอเป็นเนื้อเดียวกัน

รูปที่ ๔ แผนผังของบริเวณ tank farm ที่เกิดเหตุ ตัวที่แรเงาคือ T807 ที่เกิดเหตุ ส่วน T809 นั้นอยู่ทางด้านซ้าย

ตรงนี้ขอขยายความนิดนึง น้ำมันที่ป้อนเข้าถังเก็บนั้น (ซึ่งอาจเป็นน้ำมันดิบหรือน้ำมันที่ได้จากการกลั่น) อาจมีคุณลักษณะที่แตกต่างกันอยู่บ้าง ทำให้ต้องมีการผสมให้เป็นเนื้อเดียวกันก่อนนำไปจำหน่ายหรือเข้าสู่กระบวนการ ตัวอย่างเช่นสมมุติว่าน้ำมันเบนซินที่ผลิตได้ในขณะหนึ่งนั้นมีเลขออกเทนต่ำกว่ามาตรฐานนิดหน่อย วิธีหนึ่งที่แก้ปัญหาได้ก็คือการผลิตน้ำมันเบนซินที่มีเลขออกเทนสูงกว่ามาตรฐานนิดหน่อยแล้วนำมาผสมกับน้ำมันที่มีเลขออกเทนต่ำกว่า เพื่อให้น้ำมันที่ผสมแล้วมีเลขออกเทนตรงตามมาตรฐาน การผสมกันนั้นไม่จำเป็นต้องใช้ใบพัดกวน อาจใช้การสูบน้ำมันจากจุดหนึ่งของถังแล้วป้อนกลับไปที่อีกมุมหนึ่งภายในถังก็ได้ 
  

หรือในกรณีที่ของเหลวนั้นมีความหนืดสูงยากแก่การสูบ จำเป็นต้องมีการให้ความร้อนแก่ของเหลวนั้นด้วยการมีขดท่อไอน้ำสอดเข้าไปถัง เพื่ออุ่นของเหลวนั้นให้ร้อนขึ้น ความหนืดจะได้ลดลง ขดท่อไอน้ำนี้อาจจะอยู่แค่มุมใดมุมหนึ่งของถัง แล้วใช้ใบพัดกวนช่วยในการกระจายของเหลวที่ร้อนนั้นออกไปเพื่อให้ของเหลวที่เย็นกว่าไหลเข้ามาแทนที่เพื่อรับความร้อน

รูปที่ ๕ ในกรอบสีเหลืองคือบริเวณของ tank farm ในปัจจุบัน ภาพนี้นำมาจาก google map ในวันนี้มีถังเพิ่มอีก ๑ ถัง

ในช่วงเวลานั้นมีการทำความสะอาดถัง T809 อยู่ และทีมผู้รับเหมาที่ได้รับมอบงานให้เข้ามาทำความสะอาด T807 ก็เป็นทีมนี้ที่มีทั้งสิ้น 8 คน โดย 5 คนในทีมเป็นผู้ที่ได้อยู่ทำความสะอาด T809 อีก 3 คนเป็นคนใหม่ (งานนี้ก็เป็นเพียงแค่การย้ายอุปกรณ์จาก T809 มายัง T807) ผู้รับเหมากลุ่มนี้เรียกได้ว่าเป็นที่รู้จักกันในวงการรับจ้างล้างถังและเคยทำงานให้กับทาง BP มาแล้วหลายงาน ด้วยเหตุนี้แม้ว่าจะได้มีการปรึกษากับทางผู้ดูแลสถานที่ "รายละเอียดการทำงานต่าง ๆ เพื่อกำจัด sludge จึงได้รับมอบหมายให้เป็นหน้าที่ของผู้รับเหมา"
 

งานล้างถังนี้ได้รับการพิจารณาว่า "ไม่ได้" เป็นงานที่ "gas free" คือยังมีโอกาสที่จะมีไอระเหยของแก๊สติดไฟออกมาจาก sluge ได้เมื่อเข้าไปรบกวน sludge แต่จากการพิจารณาเห็นว่ามีโอกาสไม่เพียงพอที่จะทำให้ความเข้มข้นของแก๊สติดไฟสูงมากจนกระทั่งถึงระดับ lower explosive limit (LEL) ดังนั้นจึงไม่ได้มีการติดตั้งระบบระบายอากาศในถังและการเฝ้าคอยตรวจวัดการสะสมของแก๊สติดไฟได้ แต่ถึงกระนั้นก็ตามก็ยังมีการคำนึงถึงแก๊สพิษที่อาจจะระเหยออกมาจาก sluge ด้วยเหตุนี้จึงมีการกำหนดให้ผู้ที่เข้าไปทำงานในถังจำเป็นต้องสวมเครื่องช่วยหายใจ (ชนิด full face mask) ที่รับอากาศผ่านทางท่อกาศที่ต่ออยู่กับคอมเพรสเซอร์ที่ตั้งอยู่ด้านนอกถัง และยังมีการติดตั้ง screw pump ขับเคลื่อนด้วยระบบไฮดรอลิกภายในถังเพื่อใช้ส่ง sluge ที่คนงานจะตักใส่ช่องทางเข้าของปั๊มเพื่อส่ง sluge ออกไปนอกถัง ระบบไฮดรอลิกที่ใช้ขับเคลื่อน screw pump นี้ใช้เครื่องยนต์ดีเซลเป็นตัวขับเคลื่อน ตำแหน่งที่ตั้งของเครื่องยนต์ดีเซลนี้ได้รับความเห็นชอบจากวิศวกรผู้ดูแลสถานที่ดังกล่าว
 

ตัวอย่างที่เห็นได้ชัดเรื่องแก๊สละลายอยู่ในของเหลวแต่ระเหยออกมาเมื่อมีการรบกวนของเหลวคือน้ำอัดลม ถ้าเรามีกระป๋องน้ำอัดลมที่เย็นแล้วเราเปิดมัน ก็มักจะไม่มีปัญหาอะไร แต่ถ้าเราทำการเขย่ากระป๋องแรง ๆ ก่อนแล้วค่อยเปิด จะมีแก๊สระเหยและพุ่งออกมา
 

ในวันที่ ๔ มิถุนายน (๑ สัปดาห์ก่อนการเกิดอุบัติเหตุ) ได้มีการตัดสินใจนำเอารถตักตีนตะขาบขนาดเล็ก (ขับเคลื่อนด้วยพลังงานจากระบบไฮดรอกลิก) เข้าไปในถังเพื่อทำให้งานรวดเร็วขึ้น โดยใช้การถอดเป็นชิ้น ๆ แล้วไปประกอบใหม่ภายในถัง การทำงานนั้นจะแบ่งออกเป็น 2 ทีม ทีมละ 4 คน รอบละ 2 ชั่วโมง โดย 3 คนจะเป็นผู้ที่เข้าไปทำงานภายในถัง อีกหนึ่งคนที่เหลือจะคอยเฝ้าอยู่ทางด้านนอกร่วมกับเจ้าหน้าที่ความปลอดภัยของ BP
 

พึงสังเกตว่าทั้ง screw pump และรถตักตีนตะขาบ ต่างใช้ระบบไฮดรอลิกในการขับเคลื่อนการทำงานโดยใช้หน่วยต้นกำลังระบบไฮดรอกลิกที่ติดตั้งอยู่ภายนอกถัง ทั้งนี้เป็นเพราะพื้นที่การทำงานคือในถังนั้นเป็นบริเวณที่มีโอกาสสูงที่จะมีแก๊สติดไฟได้สะสมอยู่ จึงไม่เหมาะที่จะใช้ระบบไฟฟ้าในการขับเคลื่อน

รูปที่ ๖ ตำแหน่งและระดับความสูงจากพื้นของ sluge ที่สะสมอยู่ที่ก้นถัง T807

การทำงานในวันที่ ๑๑ มิถุนายนเริ่มในเวลา ๖.๓๐ น ชุดที่เกิดอุบัติเหตุนั้นเป็นชุดที่เข้าไปทำงานในเวลา ๑๒.๓๐ น (แต่ละชุดทำงานคราวละ ๒ ชั่วโมง) ณ เวลาประมาณ ๑๓.๒๐ น คนที่เฝ้าอยู่ด้านนอกมองเข้าไปข้างในเห็นไฟที่กำลังลุกไหม้เป็นวงเข้าไปโอบล้อม ๓ คนที่อยู่ข้างในจึงได้ตะโกนเรียกให้หนีออกมา คนหนึ่งนั้นสะดุดล้มลงระหว่างการหนีแต่สามารถลุกขึ้นมาได้และหนีออกมาได้พร้อมอีกคนหนึ่ง ส่วนคนที่สามที่เป็นคนขับรถตักนั้นวิ่งหนีไปอีกทางหนึ่ง แต่ไม่สามารถหนีออกมาได้ทัน เลยเสียชีวิตเนื่องจากการขาดอากาศและโดนไฟครอก
 

ในบริเวณทำงานนั้นไม่ได้มีการเตรียมสายดับเพลิงเอาไว้เนื่องจากก่อนหน้านี้เคยเกิดเหตุที่ทำให้สายดับเพลิงได้รับความเสียหาย แต่พนักงานที่อยู่ประจำสถานที่ก็สามารถดับเพลิงได้ในเวลา ๑๐ นาที รถดับเพลิงมาถึงในเวลาประมาณ ๑๓.๓๐ น ช่วงเวลาที่เหลือของวันนั้นใช้ในการปั๊มโฟมเข้าไปในถังเพื่อให้ภายในถังเย็นตัวลงและป้องกันไม่ให้ไฟลุกติดขึ้นอีก ส่วนร่างผู้เสียชีวิต (ที่ยังคงสวมเครื่องช่วยหายใจอยู่) สามารถนำออกมาได้เมื่อเวลา ๒๑.๐๐ น ของวันที่ ๑๒
 

กรณีของสายดับเพลิงก็เป็นเรื่องที่น่าพิจารณาตรงที่มันเป็นสิ่งที่ "จำเป็นต้องมี" ไหม (ซึ่งในการทำงานเช่นนี้น่าจะเป็นสิ่งที่จำเป็น) ในเหตุการณ์ก่อนหน้านี้ที่เคยมีการเตรียมสายดับเพลิงเอาไว้ แต่สายดับเพลิงได้รับความเสียหายในระหว่างการทำงาน ถ้าคิดว่าสายดับเพลิงนั้นเป็นสิ่งจำเป็นต้องมี การแก้ไขก็ควรจะมุ่งไปที่การหาทางป้องกันไม่ให้สายดับเพลิงได้รับความเสียหาย แทนที่จะใช้การไม่ให้มีสายดับเพลิงอยู่ใกล้เคียงบริเวณทำงาน (รายการนี้จะเรียกว่ากลัวของเสียมากกว่าอันตรายที่จะเกิดขึ้นก็คงไม่ผิด)

เมื่อตัว roof ลดระดับลงมาตั้งบนพื้น ตัว roof pillar จะทำหน้าที่เป็นเสาค้ำยันรับนำหนักตัว roof เอาไว้ และด้วยการที่อากาศที่คนงานในถังใช้หายใจนั้นได้มาจากอากาศจากภายนอกที่ส่งผ่านสายยางไปยังเครื่องช่วยหายใจ ดังนั้นการออกจากถังจำเป็นต้องออกย้อนกลับเส้นทางที่เดินเข้าไป ไม่เช่นนั้นสายยางป้อนอากาศจะเข้าไปพันกับ roof pillar ในเหตุการณ์นี้พบว่าสายยางป้อนอากาศของผู้เสียชีวิตนั้นเข้าไปพันกับ roof pillar ทำให้ไม่สามารถหนีออกมาได้

แต่ประเด็นสำคัญที่เป็นคำถามก็คือ เกิดไฟลุกไหม้ได้อย่างไร ในถังนั้นมีเชื้อเพลิงและอากาศอยู่แล้ว แต่แหล่งพลังงานที่เป็นตัวทำให้เชื้อเพลิงลุกติดไฟนั้นมาจากไหน

รูปที่ ๗ ตัวอย่างการระบายอากาศภายใน fixed-roof tank รูปทางด้านซ้ายเป็นการใช้ระบบดูดอากาศออกทางด้านบนแล้วให้อากาศภายนอกไหลเข้ามาแทนที่ ส่วนรูปทางด้านขวาใช้การอัดอากาศจากภายนอกเข้าไป (ภาพจาก API RP 2016 (1st ed August 2001) "Guidelines and procedures for entering and cleaning petroleum storage tanks" รูป ๕-๕ หน้า ๒๖)

เพลิงไหม้และการระเบิดที่ BP Oil (Grangemouth) Refinery 2530(1987) Case 2 การระเบิดที่หน่วย Hydrocraker ตอนที่ ๕ MO Memoir : Saturday 24 November 2561

ก่อนถึงยุคของดิจิตอลคอมพิวเตอร์และจอแสดงผล ในห้องควบคุมก็จะมีการสร้างแผนผังโรงงานที่แสดงการเชื่อมต่อและสภาวะการทำงานของหน่วยต่าง ๆ เอาไว้ที่เรียกว่า mimic panel ดังเช่นรูปที่ ๒๐ ข้างล่าง แผงผังนี้อาจจะเป็นแผงที่ผนังด้านใดด้านหนึ่งของห้อง หรือเป็นแผงที่ยกระดับสูงจากพื้น (เพื่อที่จะได้มองเห็นได้จากมุมต่าง ๆ ของห้อง) บนแผงนี้ก็จะมีการติดตั้งหลอดไฟสีต่างเพื่อแสดงสภาวะการทำงานของหน่วยต่าง ๆ เช่น ไฟสีเขียวคือบอกว่าปั๊มกำลังเดินเครื่องอยู่ ไฟสีแดงกระพริบแสดงถึงสัญญาณเตือนที่ยังไม่มีการกดปุ่มรับรู้ (ที่มักมาควบคู่กับสัญญาณเสียง) ไฟสีแดงติดต่อเนื่องแสดงถึงสัญญาณเตือนที่มีการรับรู้แล้ว (ทำให้สัญญาณเสียงหายไป แต่สัญญาณไฟยังคงค้างอยู่) แต่สภาวะที่ทำให้เกิดสัญญาณเตือนนั้นยังไม่หายไป และใต้ mimic panel นี้ก็จะมีการติดตั้งอุปกรณ์แสดงค่าที่วัดได้ อุปกรณ์แสดงค่าและควบคุม ฯลฯ เอาไว้ในตำแหน่งที่ใกล้เคียงกับตำแหน่งที่วัดจริงหรือควบคุมจริงบนแผนผัง

รูปที่ ๒๐ ตัวอย่าง mimic panel (ที่เลิกใช้งานแล้ว) ของโรงกลั่นเบียร์แห่งหนึ่ง ที่ข้างใต้มีการติดตั้งทั้งอุปกรณ์แสดงค่าที่วัดได้และอุปกรณ์ควบคุม เรียกว่าอุปกรณ์ควบคุม 1 ชิ้นต่อ 1 control loop ตัวอุปกรณ์ควบคุมบางทีก็สามารถดึงออกมาจากทางด้านหน้าได้หรือตัว mimic panel เองก็สามารถเดินอ้อมไปทางด้านหลังได้เพื่อทำการเชื่อมต่อ/ปลดวงจร

ผมคิดว่าห้องทำงานในห้องควบคุมที่โรงกลั่นน้ำมัน BP เมื่อปีพ.ศ. ๒๕๓๐ ก็คงมีรูปแบบทำนองเดียวกันนี้ ที่วันนี้ยกเอาเรื่องนี้ขึ้นมาก่อนก็เพื่อให้ผู้ที่ไม่เคยได้เห็นภาพในห้องควบคุมพอจะมีภาพบ้างว่าบรรยากาศการควบคุมโรงงานเป็นอย่างไร เวลาที่มีการกล่าวถึงสัญญาณไฟว่าติดค้างหรือไม่ติดนั้นมันคืออะไร เพราะยุคนั้นใช้หลอดไฟสำหรับไฟสัญญาณเตือนสีต่าง ๆ บน mimic panel ไม่ได้ใช้การแสดงผลเป็นสีต่าง ๆ บนจอภาพสีเหมือนในปัจจุบัน

รูปที่ ๒๑ ตัวอย่างอุปกรณ์แสดงผล (เฉพาะสามตัวที่อยู่ตรงกลาง) ที่ใช้กับ mimic panel ในรูปที่ ๒๐ โดยตัวซ้ายแสดงค่าอุณหภูมิในช่วงจาก 20-120ºC ส่วนตัวขวาแสดงค่าความดันในช่วง 0.0-0.6 bar โดยตัวเข็มชี้ (ที่ลูกศรสีแดงชี้) จะเลื่อนขึ้น-ลง ตามสัญญาณที่ได้รับมา โดยสัญญาณ 4 mA จะทำให้เข็มชี้อยู่ที่ตัวเลขล่างสุด และสัญญาณ 20 mA จะทำให้เข็มชี้อยู่ที่ตัวเลขบนสุด (ช่วงค่าสัญญาณนี้ระบุไว้ในกรอบสี่เหลี่ยมสีเหลือง) พอปลดสายไฟออก (หรือเทียบเท่าสัญญาณเป็น 0 mA) เข็มชี้ก็เลยตกลงต่ำกว่าตัวเลขล่างสุด ส่วนสองตัวนอกสุดด้านซ้ายขวานั้นเป็นรุ่นใหม่กว่าและเป็นตัวที่ทำหน้าที่ควบคุมด้วย

ทีนี้เราลองมาดูต่อกันว่าในเช้าวันเกิดเหตุนี้มีการทำงานอะไรกันบ้าง

๓๗. ผลจากการทำงานของ Temperature cut out (TCO) จึงทำให้ต้องเดินหน่วย hydrocracker ในสภาวะ standby (หรือเตรียมความพร้อม) ทำให้ไม่มีน้ำมันไหลมาจาก V308 (Feed surge drum) อย่างไรก็ตามของเหลวที่ค้างอยู่ใน V301-V304 (เครื่องปฏิกรณ์ต่าง ๆ) ยังคงไหลเข้าไปใน V305 (HP separator) อันเป็นผลจากการทำงานของระบบ recycling gas ซึ่งต้องใช้เวลาหลายชั่วโมงกว่าจะหมด
 

ในการทำงานตามปรกตินั้นจะควบคุมระดับของเหลวใน V305 ด้วยการให้มีอัตราการไหลที่คงที่ผ่าน HIC 3-22 (ทำงานด้วยระบบ manual คือคงเปิดวาล์วค้างเอาไว้ที่ระดับหนึ่งที่ต้องไม่มากเกินไป) และปรับค่าการเปลี่ยนแปลงต่าง ๆ โดยใช้ LIC 3-22 ที่ทำงานด้วยระบบอัตโนมัติ อย่างไรก็ตามเมื่อระบบอยู่ในสถานะ standby พบว่าระดับของเหลวใน V305 อยู่ในสภาพที่เอาแน่เอานอนไม่ได้ และการให้ LIC 3-22 ทำอย่างอย่างอัตโนมัติจะไม่สามารถจัดการกับความแปรปรวนเช่นนั้นได้ จึงได้ทำการปรับ LIC 3-22 เข้าสู่สภาวะ manual (คือให้โอเปอร์เรเตอร์หมุนปรับแต่งระดับการเปิดของวาล์วเอง) แต่การทำงานในสภาวะ manual ต้องมีการคอยควบคุมระดับของเหลวใน V305 ให้อยู่ในระดับที่ปลอดภัยอย่างเข้มงวด และเมื่อถึงเวลาประมาณ ๖.๐๐ น น้ำมันก็หยุดไหลเข้า V305 โดย boardman (คนที่ทำหน้าที่คอยเฝ้า mimic panel) ให้การว่าจากนั้นจึงได้ทำการปิด HIC 3-22 และ LIC 3-22 ด้วยระบบ manual (การทำงานแบบ manual ในกรณีนี้คือการปรับตรงให้วาล์วปิดตัวเอง ไม่ได้ใช้การตั้งค่า flow ให้เป็นศูนย์ แล้วค่อยให้ระบบควบคุมสั่งปิดวาล์ว)
 

ทีมโอเปอร์เรเตอร์คือทีมที่มีหน้าที่เข้ากะเพื่อเดินเครื่องโรงงาน ทีมนี้ก็จะมีหัวหน้าทีม (ที่อาจเรียกว่าหัวหน้ากะ) และผู้ร่วมทีมงานที่ปฏิบัติหน้าที่หลักต่าง ๆ กัน (เช่นตรวจดูแล เปิด-ปิดวาล์ว อุปกรณ์ ในแต่ละส่วนของโรงงานที่ได้มอบหมาย หรือออกไปตรวจว่าเกิดอะไรขึ้นเมื่อมีสัญญาณเตือน) แต่จำเป็นต้องมีอย่างน้อยหนึ่งคนที่มีหน้าที่เฝ้า mimic panel (ปัจจุบันก็คงเป็นจอคอมพิวเตอร์แล้ว กลายเป็น mimic screen แทน) และคอยปรับแต่งการเปิด-ปิดวาล์วหรืออุปกรณ์ต่าง ๆ จากห้องควบคุม ผู้ปฏิบัติหน้าที่นี้เรียกว่า boardman ตัวอย่างเช่นถ้ามีสัญญาณเตือน boardman ก็จะตรวจว่าเกิดอะไรขึ้น และทำการปรับแต่ง (เช่นด้วยการเปิด-ปิดวาล์วต่าง ๆ) เพื่อให้สภาวะที่ทำให้เกิดสัญญาณเตือนหมดไป ถ้าจำเป็นต้องมีการไปเปิด-ปิดวาล์วข้างนอกห้องควบคุม ก็จะเป็นหน้าที่ของโอเปอร์เรเตอร์คนอื่นที่ไม่ใฃ่ boardman

รูปที่ ๒๒ ตัวซ้ายคือ LIC 3-22 controller ส่วนตัวขวาคือ HIC 3-22 controller แถบดำพาดขวางหน้าจอด้านบนคือแถบขีดอ่านข้อมูล พึงสังเกตว่าจะมีช่วงหนึ่งที่เป็นแถบดำเส้นเล็ก ๆ (ในกรอบสี่เหลี่ยมสีแดง) ที่ไว้สำหรับอ่านค่าตัวเลขบนหน้าปัดที่หมุนขึ้นลงอยู่ด้านหลัง ค่าตัวเลขบนหน้าปัดนี้อาจเป็น "%" ของสัญญาณ (เช่นตัวซ้ายที่เป็นของ LIC 3-22 และตัวขวาที่เป็นของ HIC 3-22 ที่บอกว่าวาล์วเปิดอยู่ที่ระดับกี่ %) หรือบอกค่าสิ่งที่ต้องการวัด (เช่น ความดัน อัตราการไหล อุณหภูมิ ดังตัวอย่างในรูปที่ ๒๑)
 

๓๘. ในช่วงเวลานั้นตัว boardman เองมุ่งความสนใจไปที่การ trip ที่เกิดจากการทำงานของ TCO ที่ยังไม่มีเหตุผลอธิบาย การสั่นอย่างผิดปรกติของคอมเพรสเซอร์ C301 และสภาพการทำงานของหน่วยที่อยู่ downstrem ลงไป (ก็เพราะมันไม่มีน้ำมันไหลไปยังหน่วยเหล่านั้น) มากกว่าการให้ความสนใจไปยังระดับของเหลวใน V305
 

ซึ่งประเด็นเรื่องการมุ่งความสนใจนี้ทางคณะกรรมการสอบสวนได้บันทึกเอาไว้ว่า เนื่องด้วยการที่ต้องเดินเครื่องในสภาวะ standby เป็นเวลานานนั้นไม่ได้เกิดขึ้นบ่อยครั้ง และตัวโอเปอร์เรเตอร์ (ในที่นี้ก็คงคือ boardman) ก็ไม่เคยมีประสบการณ์มาก่อนด้วย ตรงนี้น่าจะเป็นการชี้ให้เห็นถึงความสำคัญของการบันทึกประสบการณ์และการถ่ายทอดประสบการณ์จากรุ่นหนึ่งไปยังอีกรุ่นหนึ่ง โดยเฉพาะกับสถานการณ์ที่นาน ๆ เกิดขึ้นและยังมีความเป็นไปได้ที่จะเกิดขึ้นอีก

๓๙. เมื่อ boardman ยืนยันว่าได้ปิดวาล์ว แต่หลักฐานยืนยันว่าวาล์ว LIC 3-22 ยังคงเปิดอยู่ คำถามก็คือว่าวาล์วตัวนี้เปิดได้อย่างไร ซึ่งก็ได้มีการพิจารณาประเด็นต่าง ๆ ต่อไปนี้

(ก) ในสภาพที่อากาศเย็นและระบบอยู่ในสภาวะ standby ที่ไม่มีการไหล น้ำมันที่อยู่ในท่อส่วนที่ไม่มีการหุ้มฉนวนที่มุ่งไปยัง HIC 3-22 และ LIC 3-22 มีโอกาสที่จะแข็งตัว (กลายเป็น wax) และทำให้ท่ออุดตันได้ ดังนั้นเพื่อป้องกันไม่ให้ท่ออุดตันจึงต้องมีการปล่อยให้ของเหลวที่อุ่นไหลผ่านเล็กน้อยด้วยการเปิดวาล์วแบบ manual การยืนยันว่ามีการไหลกระทำโดยการสังเกตการเปลี่ยนแปลงระดับใน V305 และ V306 และความดันใน V306 ที่เพิ่มขึ้นเนื่องจากแก๊สที่ระเหยออกมาจากของเหลว (ที่ความดันสูงแก๊สจะละลายในของเหลวได้มาก พอความดันลดลงก็จะระเหยออกมา แก๊สตรงนี้เป็นแก๊สที่ละลายอยู่ในน้ำมัน) และการรั่วไหลของแก๊สจะสังเกตได้จากความดันใน V306 ที่เพิ่มขึ้น
 

Unconfined vapour cloud explosion (UVCE) ครั้งแรกในไทยเมื่อธันวาคม ๒๕๓๑ ก็ดูเหมือนว่าจะเกิดจากการใช้ความดันในการไล่สิ่งอุดตันที่ค้างอยู่ในท่อด้วย (อ่านเรื่องนี้ได้ใน Memoir ปีที่ ๑๑ ฉบับที่ ๑๕๙๙ วันพุธที่ ๒๙ สิงหาคม ๒๕๖๑ เรื่อง "UVCE case 1 TPI 2531(1988)")
 

เทคนิคการป้องกันไม่ให้ท่ออุดตันหรือใช้ความดันไล่สิ่งอุดตันนี้ตัว boardman ที่ทำงานอยู่ในเวลานั้นไม่เคยได้รับการฝึกฝนมาก่อน และก็ไม่เคยมีใครให้คำอธิบายด้วย แต่ไม่กี่วันก่อนหน้านั้นในช่วงที่ทำการเริ่มเดินเครื่อง เขาได้อยู่ในห้องควบคุมและได้เห็น senior technician ใช้แก๊สเป่าไล่ท่อนี้เพื่อเตรียมการเริ่มเดินเครื่อง นอกจากนี้โอเปอร์เรเตอร์อีกคนหนึ่งยังจำได้ว่าประมาณ ๒ ปีก่อนหน้านั้นก็เคยได้ยินเสียงแก๊สรั่วเข้าไปใน V306 จนทำให้วาล์วระบายความดันเปิด แต่ boardman สั่งปิดวาล์วควบคุมการไหลได้ทันเวลา เหตุการณ์ "near miss" (คือเกือบจะเป็นเรื่อง) ครั้งนั้นไม่ได้มีการรายงานไปยังระดับ supervisor หรือ managerment และก็ไม่มีการสอบสวนใด ๆ ซึ่งประเด็นนี้ทางทีมสอบสวนคงต้องการชี้ว่าการสอบสวนอุบัติเหตุไม่ควรจำกัดเพียงแค่อุบัติเหตุที่ได้เกิดขึ้นแล้ว แต่ควรครอบคลุมไปยังเหตุการณ์ near miss ด้วย

(ข) การที่ FIC 3-21 ที่ส่งของเหลวจาก V306 ไปยังหน่วยกลั่นแยกนั้นปิดได้ไม่สนิทถ้าใช้การสั่งการจากห้องควบคุม ดังนั้นจึงต้องเปิดไปปิดวาล์วดังกล่าวด้วยมือ (ซึ่งได้มีการทำงานดังกล่าว) และก่อนที่จะเริ่มเดินเครื่องใหม่นั้นก็ต้องทำให้ระดับของเหลวใน V306 มากเพียงพอก่อน ซึ่งทำได้ด้วยการเปิดวาล์ว (ด้วยระบบ manual) เพื่อให้ของเหลวใน V306 มีมากเพียงพอที่อุปกรณ์วัดระดับจะวัดได้ เรื่องนี้ได้กล่าวเอาไว้ข้างแล้วในข้อ ๓๖.

(ค) การจัดวางตัวอุปกรณ์ควบคุมที่มีรูปแบบคล้ายคลึงกันไว้เคียงข้างกัน (ดูรูปที่ ๒๒) อาจทำให้โอเปอร์เรเตอร์นั้นทำผิดพลาดด้วยการไปหมุนปุ่ม LIC 3-22 คือไม่ได้ตั้งใจจะไปหมุนปุ่มควบคุม LIC 3-22 แต่ผิดพลาดไปหมุนเข้าโดยไม่รู้ ทำให้ไม่คิดที่จะสังเกตการเปลี่ยนแปลงระดับใน V305 ที่ลดต่ำลง ตรงประเด็นนี้รายงานการสอบสวนบันทึกเอาไว้ว่าเป็นเหตุการณ์ที่ "unlikely" แต่ก็ไม่ได้ตัดทิ้งไปโดยไม่ถูกกล่าวถึง
 

(ง) โอเปอร์เรเตอร์เชื่อค่าระดับของเหลวใน V305 ที่ nucleonic gauge อ่านได้แม้ว่ามันจะมีค่า "zero offset" ก็ตาม และด้วยการที่ระดับของเหลวใน V306 นั้นต่ำกว่าระดับที่ float gauge จะอ่านค่าได้ (แถมมี zero offset เช่นกัน) ดังนั้นเมื่อโอเปอร์เรเตอร์เปิดวาล์ว LIC 3-22 และไม่เห็นค่าระดับของเหลวใน V305 ที่ nucleonic gauge อ่านได้ลดต่ำลง (ทั้ง ๆ ที่ในความเป็นจริงมันก็ลงต่ำสุดอยู่แล้ว) และไม่เห็นระดับใน V306 เพิ่มขึ้น (เพราะระดับของเหลวต่ำเกินกว่าที่ float gauge จะอ่านค่าได้) จึงอาจทำให้สมมุติว่าวาล์ว LIC 3-22 นั้นยังคงปิดอยู่ และทำให้มีการเปิดวาล์วมากขึ้นไปอีกหรือเปิดนานขึ้นอีก
 

ตรงนี้ขอทบทวนนิดนึง ระดับต่ำสุดของของเหลวใน V305 ที่ nucleonic gauge สามารถอ่านได้นั้นมันสูงกว่าระดับที่ float gauge อ่านได้ แต่ด้วยการที่โอเปอร์เรเตอร์นั้นเชื่อค่าจาก nucleonic gauge มากกว่าค่าจาก float gauge ประกอบกับการที่ค่าระดับ 0% (ค่าต่ำสุดที่วัดได้) ของ nucleonig gauge นั้นถูกตั้งให้อยู่ที่ระดับ 10% บนกระดาษบันทึกผล จึงทำให้โอเปอร์เรเตอร์คิดว่าการที่เห็นระดับอ่านได้คงที่ 10% นั้นแสดงว่าไม่มีของเหลวไหลออกจาก V305

๔๐. การเปิดวาล์ว LIC 3-22 ด้วยการควบคุมแบบ manual เพื่อให้ของเหลวหรือแก๊สที่อุ่นไหลผ่านเส้นท่อจำเป็นต้องได้รับการอนุมัติจาก supervisor เนื่องจากจำเป็นที่ต้องมีการ bypass ระบบ safety trip และด้วยการที่รู้ว่าการปฏิบัตินี้มีอันตราย จึงได้มีการกำหนดให้ต้องปฏิบัติภายใต้การควบคุมอย่างใกล้ชิด และตัวโอเปอร์เรเตอร์เองต้องให้ความสนใจไปยังอุปกรณ์วัดคุมต่าง ๆ ซึ่งตรงนี้รายงานได้มีการนำเอาข้อความที่มีการบันทึกไว้ใน log book มาบันทึกไว้ดังนี้
 

๑๗ ตุลาคม ๑๙๘๖ "once all was appears to have been removed, block in and leave for 2 hours, then check by opening LIC 3-22 carefully to avoid over-pressuring the LP separator. Repeat every 2 hours" 
  

และอีกครั้งเมื่อวันที่ ๑๓ มีนาคม ๑๙๘๗ "with caution and care, sweep hydrogen from the HP through the LP and the multilocks to the ractionator to try to removed as much wax from the lines as possible"

ดูเหมือนว่าจะรู้กันว่างานนี้เป็นงานอันตราย แต่ไม่รู้ว่าอันตรายนั้นจะรุนแรงแค่ไหนถ้าเกิดขึ้น

รูปที่ ๒๓ ตารางแสดงผลการคำนวณโดย HSE ว่า LIC 3-22 ควรต้องเปิดอย่างน้อยกี่ % จึงจะทำให้ความดันใน V306 สูงถึงระดับ 50 bar (ค่าที่เชื่อว่าค่าความดันที่ทำให้ V306 ระเบิด) 
  

๔๑. ประเด็นสำคัญอีกประเด็นที่ต้องหาคำตอบก็คือ LIC 3-22 ควรต้องเปิดอย่างน้อยกี่ % จึงจะทำให้ความดันใน V306 สูงถึงระดับ 50 bar (ค่าที่เชื่อว่าค่าความดันที่ทำให้ V306 ระเบิดที่ได้มาจากการคำนวณแรงที่ต้องใช้ทำให้ชิ้นส่วนขนาดต่าง ๆ ปลิวไปเป็นระยะทางต่าง ๆ) และใช้เวลานานเท่าใดจึงจะถึงระดับความดันดังกล่าว ผลการทดสอบและการคำนวณที่กระทำโดย HSE (Health & Safety Executive) แสดงไว้ในรูปที่ ๒๓ ตรงนี้จะเห็นว่าถ้า LIC 3-22 เปิดไม่ถึงระดับ 40% วาล์วระบายความดันบนตัว V306 จะระบายความดันได้ทันและไม่ทำให้ความดันใน V306 สูงถึง 50 bar ได้
 

ข้อมูลที่ HSE มีก็คืออัตราการลดระดับของของเหลวใน V305 ซึ่งตรงนี้ถ้าสมมุติว่า LIC 3-22 เปิดคงที่ ก็ต้องหาว่านับจากเวลาที่เห็นของเหลวไหลออกจาก V305 จนหมด จนถึงเวลาที่ V306 นั้น LIC 3-22 ต้องเปิดค้างไว้ที่ระดับกี่ % เป็นอย่างน้อย ซึ่งในการสอบสวนนั้นก็มีการหาค่าอัตราการไหลผ่านวาล์วของทั้งของเหลวและแก๊สที่ระดับการเปิดวาล์วต่าง ๆ

๔๒. เมื่อมีการเข้าไปในห้อง control room ภายหลังการระเบิด supervisor รายงานว่า LIC 3-22 อยู่ที่ตำแหน่ง "manual" และเปิดที่ระดับ "100%" แต่เมื่อเจ้าหน้าที่จาก HSE เข้าไปตรวจสอบภายหลังกลับพบว่า LIC 3-22 อยู่ที่ตำแหน่ง "ปิด" และอุปกรณ์ควบคุมต่าง ๆ ก็อยู่ในตำแหน่งที่แตกต่างไปจากในรายงานของ supervisor แต่รายงานของ supervisor ได้รับการยืนยันความถูกต้องด้วยโอเปอร์เรเตอร์อีก ๒ คน (ที่เข้าไปปรับเปลี่ยนตำแหน่งของอุปกรณ์ควบคุมต่าง ๆ) ในอีกหลายเดือนให้หลัง อย่างไรก็ตามทางคณะกรรมการสอบสวนก็ไม่สามารถหาคำอธิบายได้ว่าทำไม LIC 3-22 จึงไปอยู่ที่ตำแหน่งเปิดเต็มที่ก่อนเกิดการระเบิด และด้วยการที่ระบบควบคุมนั้นเป็นระบบที่สร้างขึ้นในช่วงปลายทศวรรษ 1960 ทางคณะกรรมการสอบสวนจึงได้ให้ความเห็นที่เป็นไปได้ที่อาจนำไปสู่อุบัติเหตุที่เกิดขึ้นไว้ดังนี้

(ก) ความผิดพลาดที่เกิดจากการประมาณค่าปริมาตรหรือความลึกของของเหลวใน V305 และ V306 ผิดไป เนื่องจากอุปกรณ์วัดระดับให้ช่วงการวัดระดับที่แตกต่างกันและไม่สัมพันธ์กัน และไม่ได้บ่งบอกถึงปริมาณของเหลวใน vessel

(ข) การที่ไม่มีการวัดการไหลจาก V305 ไปยัง V306 โดยตรง ทำให้ต้องอิงจากระดับของเหลวที่อ่านได้ใน V305 และ V306 แทน นำไปสู่การตั้งข้อสมมุติที่ผิดได้ อย่างเช่นในเหตุการณ์นี้คือระดับของเหลวนั้นต่ำกว่าระดับที่อุปกรณ์วัดระดับจะวัดได้ แต่มีการตั้งค่าอุปกรณ์วัดระดับให้มี offset (คือตั้งค่าวัดจริงที่เป็นศูนย์ให้แสดงค่าสูงกว่าศูนย์) ดังนั้นแม้ว่าจะมีของเหลวไหลออกจาก V305 ไปยัง V306 จริง โอเปอร์เรเตอร์ก็จะเข้าใจว่าไม่มีการไหลเกิดขึ้น

(ค) ความผิดพลาดที่เกิดจากการติดตั้งอุปกรณ์ควบคุมที่คล้ายคลึงกัน (ที่ทำหน้าที่ต่างกัน) ไว้เคียงข้างกัน อาจทำให้เกิดการหมุนปรับผิดตัวได้

(ง) ในสถานการณ์ที่มีความเครียดสูงอาจทำให้เกิดการหมุนปุ่มปรับผิดทิศได้

(จ) ความผิดพลาดสามารถเกิดขึ้นได้ถ้าหากทำการปรับเปลี่ยนรูปแบบการควบคุมวาล์วจาก auto ไปเป็น manual โดยที่ไม่มีการปรับ balance ก่อน และไม่ได้มีการตรวจสอบตำแหน่งปุ่มปรับ manual ว่าอยู่ที่ตำแหน่งใด การปรับ balance ตรงนี้คือการตั้งปุ่มปรับ manual ให้อยู่ที่ระดับที่วาล์วเปิดอยู่ในขณะที่อยู่ในการทำงานรูปแบบ auto ก่อน จากนั้นจึงค่อยปรับรูปแบบการควบคุมจาก auto ไปเป็น manual เพราะถ้าไม่ทำเช่นนี้ เช่นสมมุติว่าขณะที่ทำการควบคุมแบบ auto นั้นวาล์วเปิดอยู่ 30% แต่ปุ่มปรับ manual นั้นอยู่ที่ตำแหน่งเปิด 100% ดังนั้นเมื่อทำการปรับการควบคุมจาก auto ไปเป็น manual ก็จะเกิดปัญหาการเปลี่ยนตำแหน่งวาล์วอย่างกระทันหันได้

๔๓. ในช่วงท้ายของรายงานการสอบสวน คณะกรรมการสอบสวนได้สรุปผลการสอบสวนเอาไว้ดังนี้ (ผมไม่ได้เขียนแยกตามรายข้อที่ปรากฏในรายงาน บางข้อมีการยุบรวมและบางจุดมีการเพิ่มเติมรายละเอียดเข้าไปเล็กน้อยเพื่อช่วยเตือนความจำ)

๔๓.๑ V306 LP separator ได้รับความดันสูงถึงประมาณ 50 bar ก่อนเกิดการระเบิด ซึ่งสูงกว่าความดันทำงานปรกติมาก (ความดันทำงานปรกติอยู่ที่ 9 bar) โดยความดันที่สูงเกินมาจากแก๊สไฮโดรเจนที่ความดัน 155 bar จาก V305 HP separator ไหลเข้ามา

๔๓.๒ แก๊สไฮโดรเจนความดันสูงจาก V305 ไหลเข้า V306 ทางวาล์วระบายของเหลว LIC 3-22 ที่เปิดอยู่ (ในขณะที่วาล์ว HIC 3-22 และวาล์ว bypass นั้นปิดอยู่ ซึ่งตรงนี้รู้ได้จากการมีของแข็งตกค้างในเส้นท่อสองเส้นนี้)

๔๓.๓ LIC 3-22 ไม่ได้อยู่ภายใต้การควบคุมอัตโนมัติ ดังนั้นจึงสามารถตัดความเป็นไปได้ที่ว่าเหตุการณ์นี้เกิดจากความบกพร่องของ float gauge ของ V305 (ที่เป็นตัวส่งสัญญาณควบคุมอัตโนมัติ) และการที่สายไฟของวงจรควบคุมถูกปลด ออกไป (ที่สามารถทำให้ LIC 3-22 อยู่ในตำแหน่งเปิด)

๔๓.๔ ไม่พบความบกพร่องของ Level indicator controller และ pueumatic position ของ LIC 3-22 ดังนั้นอุปกรณ์สองชิ้นนี้ไม่เกี่ยวข้องกับการเปิดของ LIC 3-22 (เรียกว่าจะไปโทษอุปกรณ์ไม่ได้)

๔๓.๕ มีการเปิด LIC 3-22 แบบ manual มากเกินกว่า 40% และเป็นไปได้ที่จะเปิดถึง 100%

๔๓.๖ การปิดวาล์วในกรณีฉุกเฉินในกรณีที่ระดับของเหลวใน V305 ต่ำมากเกินไปนั้น พึ่งพิงแต่ LIC 3-22 และ HIC 3-22 เท่านั้น โดยไม่มีวาล์วปิดกั้นการไหลที่ทำงานได้อย่างอิสระบนเส้นท่อจาก V305 ไปยัง V306

๔๓.๗ ระบบสายไฟไปยัง dump solenoid valve ของ LIC 3-22 ถูกปลดออกประมาณ ๕ ปีก่อนหน้า ทำให้ LIC 3-22 ไม่ปิดตัวลงเมื่อระดับของเหลวใน V305 ลดต่ำลงมาก และ trip solenoid valve ของ HIC 3-22 ยังถูก bypass

๔๓.๘ ระบบสัญญาณเตือนการตรวจจับระดับของเหลวที่ต่ำมากไม่ทำงาน และโอเปอร์เรเตอร์ไม่รู้ว่าสถานการณ์อันตรายกำลังเกิดขึ้น

๔๓.๙ เนื่องจาก hydrocracker อยู่ในสภานะ standby ทำให้เส้นทางการไหลปรกติจาก V306 (ที่ไปยังหน่วย amine และหน่วยกลั่นแยก) ถูกปิดเอาไว้ แก๊สที่ไหลเข้ามาจึงต้องออกทางวาล์วระบายความดันเพียงเส้นทางเดียว

๔๓.๑๐ วาล์วระบายความดันบน V306 มีขนาดไม่ใหญ่พอที่จะระบายแก๊สที่ไหลเข้ามาด้วยอัตราการไหลสูงสุดที่เป็นไปได้ จึงไม่สามารถป้องกันเหตุความดันเพิ่มสูงเกินไปได้

๔๓.๑๑ มีการให้ความไว้วางใจกับโอเปอร์เรเตอร์มากเกินไป ในการทำงานควบคุมการไหลจากระบบความดันสูงไปยังระบบความดันต่ำ (ทำนองว่าอุปกรณ์ป้องกันอัตโนมัติที่เคยมีนั้นไม่ทำงาน และไม่คิดจะทำให้มันทำงานได้)
 

๔๓.๑๒ ทางโรงกลั่นเองก็ได้เล็งเห็นถึงอันตรายนี้มาก่อนแล้วในการประเมินความเสี่ยงในปีค.ศ. ๑๙๗๕ และ ๑๙๘๐

๔๔. ทางโรงกลั่นเองก็มีระเบียบปฏิบัติในการตรวจสอบระบบความปลอดภัยเป็นประจำ แต่ checklist บางรายการของหน่วย hydrocracker กลับไม่มี และเป็นที่รู้กันว่าระบบตรวจวัด, trip และสัญญาณเตือนสำหรับกรณี extra-low liquid level ของ V305 ไม่ทำงานมาเป็นเวลานานแล้ว แต่ต่างคิดกันว่านั่นเป็นเพราะเป็นสิ่งที่ไม่ต้องการใช้อีก ถึงแม้ว่า chief instrument engineer ของโรงกลั่นจะได้บันทึกเอาไว้ในปี ๑๙๘๕ ว่าสายไฟ trip solenoid valve ของ LIC 3-22 ถูกปลดออก แต่ก็ไม่มีการดำเนินการใด ๆ

๔๕. คณะกรรมการสอบสวนยังได้ปิดท้ายรายงานการสอบสวนด้วยการนำเสนอมาตรการป้องกันเพื่อไม่ให้เกิดเหตุการณ์ดังกล่าวขึ้นอีกดังนี้

๔๕.๑ ควรมีระบบป้องกันอัตโนมัติที่มีความพร้อมสำหรับการใช้งานสูงในการป้องกันไม่ไห้แก๊สความดันสูงไหลเข้าไปได้ และการออกแบบระบบระบายความดันสูงเกินควรที่จะคำนึงถึงอัตราการไหลที่มากที่สุดที่เป็นไปได้ที่แก๊สความดันสูงจะไหลเข้ามา และควรมีวาล์วปิดกั้นการไหลแยกต่างหากอีกชุดบนเส้นท่อจาก V305 ไปยัง V306 นอกจากนี้ควรมีตัวตรวจวัด extra-low level สองชุดติดตั้งให้กับ V305 โดยให้แต่ละตัวทำงานได้อย่างอิสระในการปิดวาล์ว

๔๕.๒ ระบบ trip และ alarm ต่าง ๆ ควรมีความพร้อมสำหรับการทำงานเสมอ ควรมีการตรวจสอบเป็นระยะ ความบกพร่องที่ตรวจพบควรได้รับการรายงาน บันทึก และดำเนินการแก้ไข

๔๕.๓ การเปลี่ยนแปลงต่าง ๆ เกี่ยวกับตัวโรงงานควรกระทำต่อเมื่อได้มีการพิจารณาผลกระทบด้านความปลอดภัยที่จะเกิดขึ้นตามมาอย่างรอบคอบทุกด้านแล้ว

๔๕.๔ การทำงานในห้องควบคุมควรมีการตรวจสอบการปฏิบัติงานที่ไม่เป็นไปตามขั้นตอนหรือความผิดพลาดที่เกิดขึ้น การออกแบบและแผนผังต่าง ๆ ในห้องควบคุมควรได้รับประเมินเป็นระยะว่าจะเป็นปัจจัยที่สามารถทำให้เกิดความผิดพลาดในการปฏิบัติหน้าที่ได้หรือไม่

๔๕.๖ การป้องกันไม่ให้มีของแข็งอุดตันในเส้นท่อของวาล์ว HIC 3-22 และ LIC 3-22 สามารถกระทำได้ด้วยการหุ้มฉนวนและมีระบบ tracing ให้ความร้อน

๔๕.๗ ควรมีการวิเคราะห์อันตรายและผลที่จะเกิดขึ้นตามมาในการเดินเครื่องหน่วย hydrocracker ควรมีระบบป้องกันที่มากเพียงพอและผู้ที่เกี่ยวข้องทุกคนควรตระหนักถึงอันตรายที่อาจเกิดขึ้นและมาตรการการป้องกันที่จำเป็น

ผลการสอบสวนบ่งชี้ว่า LIC 3-22 นั้นถูกเปิดโดยใครสักคน (จะโดยรู้เท่าไม่ถึงการณ์หรือความผิดพลาดก็ตาม) แต่รายงานไม่มีการระบุว่าใครเป็นคนเปิด และยังได้ชี้ให้เห็นถึงการเปลี่ยนแปลงต่าง ๆ ที่เกิดขึ้นโดยบุคคลอื่นโดยที่ผู้ปฏิบัติงานไม่ทราบว่ามีการเปลี่ยนแปลงดังกล่าว และ Case 2 การระเบิดที่หน่วย Hydrocraker ก็คงจะจบเพียงแค่นี้