Fired Heater Tube Rupture and Fire at Marathon Martinez Renewables Facility; No. 2024-01-I-CA

 

fired heater는 인화성 물질과 연소가 동시에 존재하는 매우 위험한 설비로서 tube에서 leak가 일어날 경우 곧바로 화재 폭발로 이어질 수 있으므로 tube 재질의 고온 부식 경향 외에도 uneven flow distribution이나 유량의 감소로 인해 tube과열의 결과로 tube가 파손되어 화재 폭발이 일어나는 사고는 국내외에서 많이 발생하고 있다.

 

 

위험성 평가 단계에서 꼼꼼히 시스템을 살펴보고 가능한 시나리오를 만들어 이에 대한 consequence를 평가하므로서 safeguard의 적절성도 check하여 부족할 경우 hardware 설치나 procedure상 보완을 하도록 조치해야 한다.

 

 

아래는 CSB에 보고된 사고사례로서 이와 유사한 사고가 국내에서도 작년에 발생하여 설계적 측면에서 결함이 있었음을 발견하여 향후 이와 관련된 규제는 더욱 심해질 것으로 예상이 된다.

 

 

Finding

 

process

탄소중립 및 탈탄소의 일환으로 최근 renewable fuel에 대한 수요가 증가함에 따라 캘리포니아 정유공장에서는 점차적으로 renewable fuel 생산을 위해 공정을 전환중이다. 이중 Marathon Martinez facility에서 생산하는 flammable liquid인 renewable fuel의 flash point가 135~168F로서 conventional diesel과 유사한 물성을 보인다.

 

 

다만 renewable fuel내에는 산소 함량이 많아 연료로서 안전성을 위해 이를 수첨반응시켜 산소를 수분으로 전환하는 hydroprocessing공정이 있으며 아래 PFD와 같다.

Reactor preheat section simplified process flow diagram, normal operation. (Credit: CSB)

연두색의 fresh feedstock이 반응기로 들어가서 산소 제거 반응이 일어나며 이를 위해 파란색의 수소가 680psig하에서 유입되어 combine한다. 이 반응은 발열반응으로서 온도 조절을 위해 renewable diesel과 수소를 연속적으로 recycle하여 발생된 열을 제거한다.

General layout of a cabin fired heater with horizontal tubes. (Credit: API [25, p. 18] annotations by CSB)

 

 

Technical Analysis

fired heater 대류부의 tube가 설계온도를 초과하여 기계적 강도가 저하되면서 운전압력에서 파열이 일어난 사고로서 이를 short term overheating이라 하며 damage mechanism으로 인해 tube rupture가 일어났다.

 

사고발생 전까지 fired heater를 bypassing하는 배관상의 밸브가 닫혀 있어야 하는데 오조작으로 열리면서 heater tube로 흐름이 급격히 감소되었다. 아울러 fuel valve가 열린 상태에서 air intake가 covered되어 fired heater 내부에서 재연소가 일어났고 이 때 대류부에서 tube내 유량이 매우 낮게 형성되어 과열상태에서 결국 파열이 일어나게 되었다.

Safe Operating Limits

tube metal온도에 대한 high limit를 설정하지 않아서 현장에서 troubleshooting에 대한 시도를 멈추지 않았으며 사고가 일어나기 전까지 fired heater를 shut down하지도 않았고, 그 때까지 계속 현장에 운전원들로 하여금 원인규명을 하도록 하여 큰 인적 피해가 발생하였다.

 

tube outlet온도에 의존하여 high limit가 설정되어 있어서 개별 pass로 흐름이 감소될 경우 tube rupture를 방지하도록 설계되어 있었지만, 이는 heater tube를 통한 흐름의 감지와 control하기 위해 outlet 온도에만 의존하지 않도록 하는 최근의 industry guidance에도 일치하지 않았다. 결과적으로 heater가 안전한 상태에서 벗어나 있음을 알리는 setting치나 alarm이 고려되어 있지 않았다.

 

 

Worker Proximity to Fired Heater

heater tube에 온도가 올라가 불안전한 상태 및 화재가 났을 때에도 heater를 shut down하거나 현장 운전원으로 하여금 대피하거나 troubleshooting을 중단하도록 조치하지 않았다.

 

 

Low Flow Through Fired Heater

bypass가 열리더라도 inlet에 설치된 유량계에서는 bypass유량까지 포함된 값을 인지함에 따라 tube를 통한 low flow를 인지할 수 없었다.

 

위험성평가를 수행시 start-up과정에서 bypass line상의 밸브 조작에 대한 human error측면에서 고려를 하지 못했다.

 

 

Burner Operation

4개의 버너중 2개에 대해 air intake가 닫힌 상태로 운전이 되어 이후 fired heater내부에서 재연소가 발생되어 tube의 과열로 인해 rupture가 일어난 것이다. 이는 운전절차나 운전원 훈련 등 안전관리가 미흡한 결과로 발생된 인재이다.

 

flame detector가 설치되어 있었지만 제 기능을 발휘하지 못했고 safety requirement가 반영되지 않았다.

Burner configuration when heater was restarted approximately one hour before the incident. (Credit: CSB)

 

Valve Misalignment

운전절차서상에 언급된 start-up valve 이름이 field에서 labeling된 밸브의 이름과의 혼선이 있어서 운전원의 실수로 이 밸브를 열어 heater로 흘러가야 할 유량이 급격히 줄게 된 것이다.

 

이 start-up line과 valve는 목적상 더 이상 기능이 없는 설비이었지만 철거를 하지 않고 계속 유지를 해왔고 이로 인해 운전에 혼선이 일어났던 것으로 보인다.

 

만약 가동전 점검을 재대로 했더라면 이 밸브의 열린 상태를 발견했을 것이고 이 때 이 밸브를 잠궜다면 이러한 사로로 이어지지는 않았을 것이므로 가동전 점검의 중요성을 다시금 느낄 수 있다.

 

Interior of the fired heater. Note: The lit burners in the illustration do not necessarily depict their actual state at the time of the incident. (Credit: CSB)

 

LyondellBasell에서도 유사한 사고가 일어났으며 허리케인으로 shutdown된 공장을 restart하는 과정에서 운전원과의 모호한 radio소통, 과중한 workload로 인한 multitasking, 허리케인으로 인한 불안한 상태에서의 스트레스, 익숙지 않은 start-up과정 등으로 운전원의 valve alignment error로 인해 bypass valve를 열어 이러한 사고로 이러지게 되었다.

Broken fired heater tubes. (Credit: LyondellBasell)

heater start-up과정에서 기존의 instrumented safeguard로는 저유량과 고온의 조건에 대해 보호할 수가 없었다. 사고이후 운전원을 상대로 start-up simulator training을 시작하였고 instrumented safeguard를 보강하였다. 특히 추가된 safety interlock은 개별 tube를 통해 흐르는 흐름의 온도와 outlet combined flow온도와의 차이가 클 경우 flow distribution 및 흐름에 문제가 있음을 인지후 heater를 trip하도록 하는 logic을 반영하였다.

Heater illustration depicting tube damage found upon internal inspection postincident. Note: The lit burners do not necessarily depict their actual state at the time of the incident. (Credit: CSB)

 

 

 

원인

 

밸브 조작 잘못으로 tube내부 유량이 급감하여 이로 인해 대류부 tube가 과열되어 결국 설계온도를 초과하므로서 파열이 되어 인화성 물질 누출로 인해 화재 폭발이 일어났다.

 

bypass line이 SIS의 input역할을 하는 유량계 후단에서 branch하여 bypass valve를 열어도 효과적으로 interlock 역할을 할 수 없었다.

 

그리고 일부 버너의 air intake가 막혀서 제대로 공기가 공급되지 않아 heater box 내부에서 재연소가 일어나 폭발을 야기하였다.

Generic diagram of a fired heater burner. (Credit: CSB)

 

 

Burner air intakes, cover plates, and air register dials at each burner. (Credit: CSB)

온도에 대한 set point가 설정되어 있지 않았고 온도가 증가하여 위험한 상황에서 troubleshooting을 하기 위해 운전원들이 fired heater 주변에 있었으며 이 때에는 control room으로부터 heater를 shut down했었어야 했다.

 

tube metal의 온도를 감지하는 skin temperature의 high alarm이 고려되지 않았다.

 

start-up 과정에 bypass line상의 valve를 closing하라는 절차가 안전운전절차서에 포함되지 않아 운전원이 이를 놓친 것으로 분석이 되었다.

Depiction of the three types of temperature monitoring locations typically used during fired heater operation. (Credit: CSB)

밸브 오조작에 의한 비상상황을 인지할만한 계기설비가 고려되지 못했고 이러한 상황에서 적절하게 대처해야 할 조치에 대해서도 준비가 되어 있지 않아 안전관리가 전반적으로 미흡했었다.

Flow path assumed by the PHA team compared with the actual flow path during the incident. (Credit: CSB)

 

아래는 2020년에서 2024년 사이 CSB에 보고된 fired heater tube rupture와 관련된 사고들이다.

 

 

 

Recommendations:

 

heater bypass line의 부주의한 운전에 따른 SIS shut down이 유효하게 작동이 되도록 위치를 잘 고려해야 함.

 

start-up과정에서 bypass line의 valve가 닫혔음을 확인하도록 SIS startup logic에 permissive조건을 고려함.

 

burner를 lighting하기 전에 heater주변의 모든 bypass가 닫혀 있음을 확인하도록 안전운전절차서를 update함.

 

허용하는 최대 tube skin 온도를 vendor를 통해 확인한 후 이 값을 screen상에 표기 및 alarm을 설정하여 high일 경우 적절한 조치가 이루어지도록 manual을 update하고, 이마저도 조치가 미흡할 경우 자동으로 shut down을 하도록 interlock을 구성함.

 

Simplified diagram of the two potential flow paths introduced by the open Valve B. (Credit: CSB)

 

재발 방지를 위해 API 협회에서 관리하는 API RP 556 Instrumentation, Control, and Protective Systems for Gas Fired Heaters을 revise하도록 recommendation하였다. (2024-01-I-CA-R8) 변경될 내용은 아래와 같다.

 

(a) Requirements for proper response to high tube metal temperatures, including guidance to alert operators when safe operating limits are exceeded and to specify predetermined response actions, such as shutting down the fired heater remotely. The predetermined response actions must include actions that specify when to stop troubleshooting and remove personnel from the vicinity of the fired heater;

 

(b) Design requirements (“shall” rather than “should” language) for protecting fired heaters from low process flow where process piping diverges downstream of a flow meter. Requirements may include achieving proof of flow to the heater through valve position indicators and interlocks on branch connections downstream of flow meters to prevent backflow, reverse flow, or other diverted flow scenarios that could defeat the safety instrumented system; and

 

(c) Engineering safeguard requirements (“shall” rather than “should” language) to detect and prevent afterburning in fired heaters. These requirements may include the use of instrumentation such as combustibles measurements, flame detectors, and/or thermocouples that measure tube metal, flue gas, and process fluid temperatures. The requirements shall address monitoring capability from the control room.

Marathon’s post-incident modifications to the startup piping. (Credit: CSB)

 

#fired_heater#rupture#convenction#CSB#renewable#수첨반응#hydroprocessing#overheating#skin#가동전점검#LyondellBasell#permissive#API_RP556