專業/巴西石油公司平臺 36 的損失

巴西石油公司 36 平臺是海上浮動半潛式石油平臺，2001 年是世界上最大的平臺。該平臺由巴西石油公司建造，巴西石油公司是一家半國有石油和天然氣公司。該平臺位於巴西海岸外 80 英里的羅納多爾油田。2001 年 3 月 15 日，該平臺發生災難性故障，導致兩次爆炸，11 人死亡，平臺完全損失。

巴西石油公司平臺 51

機械錯誤

促成因素

導致巴西石油公司平臺 36 損失的第一個主要促成因素是緊急排水管 (EDT) 的位置問題。EDT 未正確對齊，因此被引導至生產集管而不是生產沉箱。這就是碳氫化合物進入右舷 EDT 的原因。

第二個主要促成因素是啟用左舷 EDT 排水所需的時間。這導致了釋放碳氫化合物的等待。隨之而來的是通風阻尼器故障，這使得更多水進入，淹沒右舷立柱和使用的浮動裝置。

安全關鍵路徑設計不良的位置

平臺的第一個主要機械故障來自 EDT 的位置不良。EDT 的位置靠近一根主要支撐立柱上的一根海水管。由於這兩個元件彼此靠近，因此會產生一個共同的故障點，從而增加更多問題的風險。一旦 EDT 發生故障，海水管破裂加劇了問題。由於管道破裂，它無法幫助支援滅火工作。這種設計缺陷被認為是主要的，並在事故發生後導致了對危險分析報告的搜尋，當發現沒有報告時，人們擔心從未生成過任何報告。

元件故障無備份

第二個主要機械缺陷是關鍵元件故障的備份不當。連線到右舷後 EDT 的進水閥，應該隔離它，沒有洩漏冗餘。由於該 EDT 的排水泵已拆下維修，它們共同導致了該 EDT 的超壓，並導致該 EDT 的第一次爆炸。後來，海水泵由於水淹而短路，導致右舷後立柱和浮筒水淹。通往大海的閥門也發生故障並鎖在開啟位置。

報警系統

第三個主要機械故障是報警系統。該平臺在 17 分鐘內觸發了 1,723 個警報。由此產生的問題是警報沒有優先順序系統。這意味著如果沒有對警報的精確瞭解，以及應該首先檢查哪些警報，就沒有辦法找到最大的問題。這導致混亂，並阻止了有效糾正問題的方法。

潛在的管理問題

優先考慮利潤

巴西石油公司在 2000 年代初期重組為新的組織模式，強調業務部門和實現目標。這導致管理層做出許多有疑問的決定，間接導致了此次事件。

事故發生時平臺尚未完工，由於生產目標的截止日期縮短，裝置的組裝與生產活動同時進行。該公司還在許多安全實踐中偷工減料。他們推遲了許多維修工作，並在規範性工程、檢查和質量要求方面削減了成本。平臺上的管理人員在事故發生前幾天報告了管道中的幾個問題，並建議暫時關閉以更換裝置，但被總部無視。

以利潤為導向的計劃還導致他們使用更多訓練不足的承包商工人，依賴安全機制來彌補缺乏培訓造成的知識差距，但承包商經常會誤用裝置。按照設計，排水儲存罐只應在緊急排水時使用，但它們經常像在此事件中一樣為了方便而使用。當他們應該直接將水排放到海中時，透過生產集管排水水也是不推薦的，這也是汙染水流入右舷後油箱的主要原因之一。右舷後立柱和穩定箱的人孔由於前一天的裂縫修復檢查而敞開。這導致立柱水淹，由於體積大，決定性地使平臺沉沒。

"人是薄弱環節"

在 1990 年代初期，隨著複雜技術系統的發展，它們的可靠性停滯甚至下降。 在正常情況下，系統是自動管理的，但在緊急情況下，儘管操作員已經失去了專業知識和關於這種緊急情況的上下文資訊，因為系統一直處於自動管理狀態，但操作員會被召集。採用這種立場的公司將人為因素視為複雜系統中的“薄弱環節”，是不可靠的主要來源，並旨在取代所有的人為干預。很明顯，巴西石油公司在設計其石油平臺時採取了這種立場，而船上操作員與系統之間被自動計算機隔離開來。

第一次爆炸後，操作員沒有關於事故現場的資訊。平臺上的操作員報告說，“很難確定發生了什麼”，因此他們不得不派出一支小隊進行調查。^[7] 他們派出消防隊的命令非常冒險，第二次爆炸中遇難的11人全部來自消防隊。他們沒有感測器來支援他們在右舷後柱的操作，而且與鑽井平臺指揮部的“通訊有故障”。數千個警報進一步加劇了操作員的混亂。在正常情況下，即使沒有多少訓練，也可以透過按順序遵循適當的程式來處理這些警報。然而，這種缺乏培訓導致承包商不知道應該優先處理哪些警報以及在發生這種規模的災難性故障時應該遵循哪些安全程式。

一般倫理教訓

外部監管與自我監管

外部監管（透過政府機構）與自我監管（在行業或公司內部）之間的平衡是行業與政府之間常見的衝突。技術複雜性和工業專案範圍的增加也增加了審查這些專案的監管機構的工作量。工業自我監管（ISR）通常用於降低這種工作量，假設公司對其自身產品更瞭解，因此能夠最好地判斷其是否安全。ISR的支持者認為，企業從聲譽質量中獲益，因此已經有動力努力追求安全。透過ISR，監管機構允許行業自我監管，同時他們自願地以公眾利益為重，如果他們造成公眾損害，就會受到監管的威脅。^[8] 在實踐中，自我監管會導致關鍵領域的成本削減，為企業帶來更多利潤，而即使存在這些違規行為，也沒有發生嚴重事故。在沒有監管的指導和激勵的情況下，事故的結果是唯一的負面激勵，導致安全和質量管理體系是反應式的而不是預防性的。當事故暴露了ISR政策中的缺陷時，機構會透過外部監管，引入審查程式，並提供批准指南。^[9]

在此事故之前，巴西的石油行業在風險評估和檢驗方面完全是自我監管的，沒有正式的計劃。此後，巴西的國家石油局（ANP）與其他國家的機構一起進行了基準研究，並最終制定了第43/2007號決議。該法律建立了一個運營安全管理體系（SGSO），該體系包含17項管理實踐（MP），分為領導力、安裝和運營實踐類別。^[10] 每個實踐旨在防止在值得注意的事故中出現的因素再次發生。MP 15，即規範操作程式，是P-36沉沒的直接結果。^[11]

自動化與專業知識

專業負責的自動化應該增強人力，而不應該取代、覆蓋或忽視人類的專業知識及其發展過程。如果過分依賴自動化，它會限制發展超越系統約束的專業知識的能力，從而造成對系統的依賴。這使得削減成本的企業可以僱用技術系統主管而不是專家。如果所有系統都保持正常執行，這可以節省資金，但它存在著在自動化系統中建立一個單一的故障點的風險。^[12] 使用自動化來協助專業知識可以消除繁瑣的工作，將專業知識重新分配到更重要的任務中。然而，用自動化取代專業知識將依賴從工作現場的專業知識（即時、第一手專業知識來源）轉移到遠端程式設計師的專業知識上，而這些程式設計師可能不會直接執行工作（即遙遠、二手專業知識來源）。^[13]

在36號平臺上，安全工程師的專業知識被擱置一邊，轉而採用安全機制的自動化。Petrobras 並沒有僱用更多工程師，而是僱用了承包商，而且並沒有對他們進行徹底的培訓，而是依賴於安全機制來彌補缺乏培訓造成的知識差距。爆炸後，超過1000個旨在提醒工人問題的警報接連觸發。在正常情況下，即使沒有多少訓練，也可以透過按順序遵循適當的程式來處理這些警報。然而，這種缺乏培訓導致承包商不知道應該優先處理哪些警報以及在發生這種規模的災難性故障時應該遵循哪些安全程式。^[1]

結論

由於獲取主要來源的途徑有限，部分原因是操作員被數字系統取代，我們無法提供有關公司管理人員錯誤的更多細節。如果可以獲取更多資源，未來的工作可以更詳細地介紹這些錯誤是如何導致這次事故的。另一個擴充套件方向可以集中在類似的事故上，在這些事故中，由於機器干預，人類操作員未能對緊急情況做出反應。