孙增生

长城钻探工程有限公司

建立上锁挂牌制度的目的是为了防止员工在设备检修、检查和维护时设备突然启动或储备能量源意外释放从而造成人员伤害或死亡。这是一套适用于需要隔离能量源的系统控制方法，在石油行业已经广泛应用。但在上锁挂牌的实际应用中常有员工疏忽大意，不认真按照程序执行，导致意外事件发生。本文所报告的这起高风险险兆事件，就是由于多方的错误造成在上锁挂牌的程序中，没有真正的做到能源隔离，以至险些导致人员伤亡的事件。

1 实例分析

1.1 事件经过

某钻井队配备了两台BOMCO，F‐1600泥浆泵，每台泥浆泵使用了两台4极直流串励电机YZ-08主电机，采用可控硅（Silicon Controlled Rectifier SCR）调速。完成一开钻进后，夜间因需要更换2号泥浆泵的缸套活塞，21点20分由带班队长进行了工作前安全分析，申请并开具了修泵的作业许可证，召开了由相关人员参加的工具箱会议，由副司钻按照程序进行了能源隔离，包括：与司钻确认两台泥浆泵已经停止工作，与电气师一起在SCR电控房对2号泥浆泵电源开关关闭并上锁挂牌，关闭泥浆泵阀门并上锁挂牌，按照要求按下了2号泥浆泵的紧急停车按钮，并插入安全销。一切看起来比较规范，更换缸套活塞也非常顺利。但在工作快要收尾时，因循环需要启动1号泥浆泵，司钻在启动前通过对讲机发出信息，正在更换缸套活塞的副司钻和雇员并没有离开泵区，司钻在没有确认维修人员离开的情况下，就缓慢启动了1号泥浆泵；突然司钻发现2号泥浆泵有泵冲显示，随即关闭1号泥浆泵；当时正在更换2号泥浆泵缸套活塞的雇员发现2号泥浆泵缓慢启动，迅速闪避，没有造成人身伤害事故；此次事件没有造成任何设备损坏和人身伤害，但被井队定义为险兆事件。

1.2 事件发生后采取的措施

事件发生后，井队立即停止作业，由带班队长、电气师及相关人员对事故原因进行了初步调查，发现SCR电控房泥浆泵动力电动机两根电源线MP1AF和MP2AF接反，调整接线后，测试各项功能正常。恢复正常作业。

现场根据调查结果，完成事件调查报告上报至项目部。

项目部根据现场调查报告进行了讨论，认为此次险兆事件应定义为高风险险兆事件，由项目经理、HSE部经理、作业部经理组成调查小组再次到现场进行调查。

调查小组为了弄清事故的真正原因，决定对事故进行复原，开具作业许可后召开了工具箱会议，由电气师对SCR电控房所相关的开关上锁挂牌，确认MP1AF和MP2AF是零电位后，恢复到原错误接线状态，摘牌开锁，司钻在控制台可以实现分别控制1号和2号泥浆泵的开启和关闭。按下1号和2号泥浆泵紧急停车按钮，两台泥浆泵运转如故。对SCR房2号泥浆泵开关上锁，把2号泥浆泵紧急停车按钮按下并插入安全销，通知司钻启动2号泥浆泵，2号泥浆泵没有反应，可见能源隔离有效，再通知司钻启动1号泥浆泵，发现2号泥浆泵跟随1号泥浆泵缓慢的旋转，随即停止。复原实验验证了事件发生的全部情景，证实了现场初步调查的结果：在上锁挂牌进行能量隔离后，仍然有能量经旁路释放。

1.3 事故原因剖析

1.3.1 直接原因

（1）能量隔离措施没有确认有效性，由于设备的安装错误导致能量旁路释放。

（2）在维修结束后没有对维修及相关联的设备进行相关检查即恢复作业。1.3.2 间接原因

（1）没有认真按照操作程序执行，在更换泵活塞前没有确认能源隔离有效。

（2）设备投入使用前没有确认设备的所有功能正确有效。

2 讨论

设备的安装、设置、维修、维护、清洁、清理和调整等可能造成人员暴露于危险能量的工作就要进行上锁挂牌。长城钻探工程有限公司《上锁挂牌安全管理规范》中明确注明维修电动钻井泥浆泵需要：电控房钻井泵控制开关需要上锁挂牌；驱动电机穿锁定销需要上锁挂牌；闸门组各闸阀开关状态正确，并对关闭的闸阀执行上锁挂牌。

同时也指出：测试确认程序是必须执行的步骤，不能省略。此次事件中，现场工作人员在设备投入运行之前未曾对设备的功能进行完整测试，尤其是泥浆泵上的紧急停车按钮功能没有进行测试，导致驱动电机接线错误没有被发现，现场维修泥浆泵的副司钻也没有去测试此按钮的功能，更没有去确认能量隔离是否有效，最后险些酿成人员伤亡的后果。

上锁挂牌程序是由OSHA（美国劳工部职业安全卫生监察局，即Occupational Safety and Health Association）于1989年颁布的《危险能量控制 上锁挂牌》防护标准（29 CFR 1910.147）。该标准中阐述了一般工业的上锁/挂牌要求，并要求在对已经被锁定或贴标的机器或设备开始工作之前，授权的员工应确认机器或设备的隔离和断电已经完成[1]。研究表明，能量控制计划可将伤亡率降低25%～50%。在所有工业事故中大约有10%是由于没有正确控制危险能量所致。据美国OSHA数据显示，每年大约有250000例事故与此有关，其中50000例致伤，100多例致命[2]。

我国GB/T 24612.2-2009《电器设备应用场所的安全要求第2部分：在断电状态下操作的安全措施》对上锁和挂牌等术语和定义做了相应的解释[3]。在GB/T 33579-2017《机械安全 危险能量控制方法 上锁/挂牌》中明确指出：在已完成上锁或挂牌的机器上开始工作之前，授权人员应验证是否已完成能源隔离和失能[4]。

全球许多国家已经采取了上锁挂牌进行能源隔离的标准，如欧洲的《EU-OSHA（欧洲职业安全健康局）法令：EN1037:1996 机械安全-防止意外启动》，国际标准化组织的《ISO14118:2000 机械安全-防止意外启动》，《ISO12100 机械安全-基本概念、设计原理》，国内在GB5083-1999《生产设备安全卫生设计总则》即对能量隔离开始涉及，到2017年的GB/T33579-2017《机械安全 危险能量控制方法 上锁/挂牌》有多部国家规定和标准涉及。我国企事业单位已经执行这些标准多年，但是在执行过程中仍常有这样或那样的疏忽导致员工的伤亡事件发生，说明我们在贯彻执行规章制度的过程中存在着偏差。

虽然事故的发生都是多因一果，造成这种局面的原因有意识、培训、素质、设备、执行力等多种原因。就本例而言，主要存在以下几个问题：

（1）电气师在设备安装过程中存在着技术能力不足或工作不认真的问题，导致明显的接线错误。

（2）电气师在设备安装完毕后对电气设备进行调试，是质量控制的重要步骤，不仅仅是保证电气设备的有效正常运行，也是为其他用电设备的正常运行提供重要的保证[5]。而本例中电气师在安装完成后却没有对设备的功能进行测试。

（3）SY/T6586-2014《石油钻机现场安装及检验》中电控系统运转检查明确规定：电控系统紧急停车按钮功能要正常[6]，一般甲乙双方的合同中也会有类似的条款，开工前甲方代表、平台经理、司钻、副司钻等等相关人员要联合对设备进行验收，确认设备安装到达设计要求，功能齐全才能投入使用，虽然本例中每个人都在设备验收单上签署了自己的名字，但并没有人按照标准去验收设备。

（4）按照公司上锁挂牌程序，副司钻在维修设备前应该确认能量隔离是否有效。

（5）按照公司上锁挂牌程序维修设备结束时，司钻在启动1号泥浆泵前虽然使用对讲机通知相关人员要启动设备，但并没有按照“操作人员要确认设备、系统符合运行的要求”也没有确认维修人员离开相关联的设备[4]，副司钻在接到司钻准备启动1号泥浆泵的通知时，也并没有按照要求撤离现场，就这样一道道的屏障均失效，就以上分析而言，能量隔离有效的确认对于维修人员——副司钻来说是最至关重要的一个环节，而副司钻恰恰忽略了。

3 结论

规章制度通常是根据相关专业理论，并长时间吸取诸多相关事件的经验教训，总结并逐步完善从而确立的。许多规章制度的背后有诸多血的教训，是安全生产，维护员工人身安全的有力措施。它是约束，但更是保障。前者是形式和手段，后者是目的。

设备的设计、制造、安装、使用及维修保养过程中每个环节都有相应的标准和要求，而这些要求往往被某些人认为是繁文缛节，是浪费时间不利于提高生产效率。而他们没有意识到这是员工安全保障的屏障，一旦这个屏障被打破，就会导致悲剧的发生。

发生这种事件的原因多是管理层的安全意识不够，在生产管理过程中并没有体现以人为本的安全理念，一味追求生产速度和生产效率，导致管理方向的偏差，在安全的投入（包括设备和时间的投入）一再被压缩，导致事故频发，安全业绩下滑，以至于丢失市场。安全投入减少的短视目光难以看到迟效的安全收益。

在上锁挂牌的程序执行的过程中，应该摒弃侥幸心理，严格按照要求执行，而不是流于形式和走走过场，应付检查。只有认真按照要求去执行才能确保员工的安全。