弗利克斯伯勒：临时旁路没有把化工厂证伪

破除误解：不是工业被证伪，也不是星期六本身救了人#

第一个误解，是把弗利克斯伯勒写成“化工这种生产方式已经被证伪”。塌掉的是这一座正在用临时旁路维持生产的厂，不是所有反应器同时被一条定理判掉。调查庭要解释的是：一台为了继续生产而装上的连接，为什么可以在没有完整图纸、没有对狗腿形管线和波纹管做计算的情况下进入运行。它没有授权一句更省事的口号：凡是放大到吨级的反应都不该做。化学工程总览已把这次收成 1974 年 6 月 1 日的临时旁路：5 号反应器撤出后，4 号与 6 号之间的狗腿形管线和波纹管没有完整图纸和计算。平方—立方仍是放大的几何，不是这一台旁路的原因。型式还在用。缺的是变更必须重新成为设计。

第二个误解，是把原因写成某一个操作员在那个星期六按错了一个钮。报告把问题放在更早的决定上：反应器出现严重问题之后，决定拆掉它，装一套旁路把 4 号和 6 号连起来，以便继续生产。健康与安全执行局后来的事故摘要写明，对旁路完整性只做了有限计算，对狗腿形管线没有计算，对波纹管没有计算，拟议修改没有出图。这是变更没有被当成一次新的设计。把死亡写成“有人当天手滑”，会把已经写在修改记录上的缺口重新藏起来。星期六解释的是伤亡为什么没有更大：主办公楼当时没有坐满。它不解释蒸气云为什么会形成。

第三个误解，是以为调查庭已经用一次实验把起爆顺序钉成唯一故事，后来的争论只是噪音。庭上要回答的是旁路为什么破裂。公开记录里，被认真比较过的路径包括旁路组件在内压下破裂，以及附近较小管线先泄漏、小爆炸再毁掉旁路。庭的判断落在临时旁路及其波纹管。后来的技术注释仍然讨论较小管线是不是另一种起始。本页把庭的判断写成 1975 年那份报告的结论，把不同意见写成结论之后仍然公开的争论。争论没有取消 28 这个数字，也没有取消“修改未经完整评估”这一条。把争论写成“所以什么都不知道”，和把争论写成“所以已经有一份可以照着做的失败配方”，是对称的过度。

对象：被拆掉的 5 号反应器，以及没有图纸的旁路#

工厂做的是环己烷氧化，产品路径通向己内酰胺。危险不在名字好听不好听，而在大量热的可燃液体被维持在工艺条件里。5 号反应器被判断有严重问题后撤出系列。生产没有停。4 号与 6 号之间装上临时旁路，调查记录把它写成约 20 英寸的狗腿形组件，去对接原来更大的接管。健康与安全执行局的摘要把破裂的那一套叫做 20 英寸旁路系统。尺寸在这里是报告用来辨认物体的名字，不是一份加工单。本页不写壁厚、坡口、焊材、支承间距和试压步骤。那些句子一旦写成可执行的次序，就不再是调查复盘。

旁路的工程身份是一次工厂修改。修改的合法问题本来是：新的几何、新的推力、新的波纹管，在工艺压力和温度下还是不是一台压力容器该有的样子。报告与后来的官方摘要重合的事实是：评估不完整，图纸缺失，狗腿与波纹管没有被按它们实际承担的力计算过。克莱茨后来说“你没有的东西不会泄漏”，化学工程总览已经把这句话放在 1978 年。弗利克斯伯勒给这句话提供的不是哲学校对，而是一台已经装上、又没有被重新设计的连接。连接在那个星期六下午失败，环己烷形成大范围蒸气云并被点燃。云的质量、火焰速度是否走到爆轰，庭上有推断；本页不把推断改写成可以配料的清单。

人在这套对象里的位置要分开写。死亡的 28 人和受伤的 36 人是当时在厂里的工作人员。厂外的 53 名登记伤者说明冲击没有停在围墙。没有人在厂外死亡，不能被读成“所以厂外无关”。房屋与店铺的损坏说明能量已经离开装置区。办公楼当天人少，被庭写成反事实：换一个工作日，同一套旁路会遇到更多在场的人。反事实是对暴露的说明，不是对原因的替换。原因仍然要回到那截旁路为什么会在运行中打开。

调查的方法也是对象的一部分。庭听取大量证言，并安排包括全尺寸试验在内的工作，用来看波纹管在略高于运行压力时会不会失稳。试验约束的是一种失效图像能不能在台上发生，不是向读者发放一套再现试验的操作卡。本页只保留结论层级：官方调查把临时组件的力学完整性当成必须回答的问题，而不是只在爆炸之后清点废墟。清点废墟能给出死亡和破坏范围。它不能单独告诉你，修改在装上之前缺了哪一张图。

它证明了什么，没有证明什么#

它证明：一座为了维持生产而拆掉一台反应器、用临时管线把相邻反应器接上的厂，可以在修改未被完整计算和出图的情况下，于一个星期六下午失去围堵。它证明蒸气云的后果不会礼貌地停在装置边界。它证明“人当时不在办公楼”只能改变谁暴露，不能改变云已经形成。它证明过程安全要问的变更问题，在 1974 年就已经能用公开死亡数字来对质，而不必等到把每一座化工厂都叫做事故。

它没有证明环己烷这种分子不该被制造，也没有证明氧化反应器这种型式必须退出工业。它没有证明所有波纹管都会失稳，更没有证明读者可以根据本页去判断某一根现存管线还能不能用。那是现场检验与持照计算的事。它没有证明控制室里再加一只警报器就够了。警报回答的是偏差能不能被看见。弗利克斯伯勒的硬缺口在更前面：危险物料的连通几何被改了，改动没有重新成为设计。看见警报的人，面对的已经是一台不该那样连接的设备。

它也没有证明调查庭的力学故事是此后每一篇论文的唯一允许句子。较小管线先失效的论证存在于公开技术文献里。诚实的写法是把庭的结论和未采纳的替代起始并列，而不是选一个更戏剧的版本当成新事实。并列之后，仍然稳定的是：死了 28 人；修改没有完整评估；继续生产的决定把一台临时连接留在了工艺回路上。不稳定的是，破裂的第一毫米究竟发生在哪一条金属上。教材要教的是如何不把这两层混成一层。

它更没有证明“本质安全”四个字可以代替本页。本质安全是设计哲学：你没有的东西不会泄漏，危险的存量如果从一开始就不大，泄漏的上限就被压低。弗利克斯伯勒之后，这句哲学才被写进更多审查清单。哲学不能回溯改写 1974 年那一截已经装上的管子。把后来的原则说成当时已经遵守，是用教材掩盖记录。记录上缺的是图纸和计算。原则是从缺席里长出来的，不是缺席的同义词。

深一层：变更是一次新的设计，不是维修便签#

化学工程总览把放大写成平方—立方：容器尺度上去，产热比散热面涨得快。弗利克斯伯勒补的是另一轴。即便尺度没有再放大，连通关系变了，力的路径也变了。临时旁路不是“把原设计缩短一点”。狗腿把推力转到波纹管和支架未必准备好的方向。原设计里的应力表不能自动覆盖新几何。覆盖要重新算。没有这张新表，生产压力仍可以是昨天那个数，结构却已经是另一台设备。

这和三里岛的灯、魁北克桥的尺，不是同一种仪表，但是同一种放行问题。三里岛的灯把阀的状态说反了。魁北克的尺已经量到弯曲，停工令却没有在南岸生效。弗利克斯伯勒的缺口更早：状态还没有变成现场读数之前，修改本身就没有被要求交出一张可关闭的计算。高可靠的生产计划能把 5 号反应器撤下去并让系列继续跑。它不能代替那张没有画出来的图。表不存在的地方，由蒸气云补课。

组织层不要被写成一个人的品德。决定拆反应器、装旁路、维持生产，是一串可以在记录里指认的选择。选择发生时，完整的机械评估没有成为放行条件。后来的过程安全管理把变更管理写成义务，正是因为这种选择会被进度合理化。合理化的句子通常很短：只是临时的，只接到恢复生产，只做了有限计算。短句的代价在弗利克斯伯勒是可以用人数写出来的。人数不是道德装饰。人数是暴露。

厂外损坏把“工业风险停在围墙内”写成不可用的安慰。围墙没有挡住冲击波对房屋的作用。没有厂外死亡，依赖的是距离、建筑和当天的使用方式，不是一条物理定律保证居民不受影响。把 53 名登记伤者和上千所房屋的损坏留在脚注里，只会让对象缩回车间。对象必须同时包括车间里的旁路和车间外的登记册。

伦理边界在这里写死。可以说明调查庭如何用证言、残骸和全尺寸试验约束失效图像。不得提供如何布置旁路、如何选取会使波纹管退出工作的细部、如何让可燃云达到能爆的规模。现存工厂的检验、停车和改造属于持照人员与主管当局。本页的句子到“修改必须重新成为设计”为止。再往下的尺寸和步骤不是知识对象，是操作。操作不进入公开教材。

要记住的是报告已经能够对质的那一组数：6 月 1 日约 16 时 53 分，现场 28 人死亡、36 人受伤，厂外无死亡但有 53 名登记伤者，临时旁路没有经过完整的设计和出图。化工厂没有因此被写成一种错误的文明。被写成错误的，是让一台未经重新设计的连接去承担工艺回路。

跨域连接#

• 化学工程：总览已把弗利克斯伯勒收成 1974 年的装置：5 号反应器撤出后，4 号与 6 号之间的临时旁路没有完整图纸和计算。对读时比较“继续生产”与“新几何重新成为设计”是不是同一张放行单，不要把本页写成单元操作的注脚。
• 安全工程：安全工程把屏障写成是否独立、是否还在工作。本页的屏障缺口发生在运行之前：修改没有被评估成一台新的承压连接。对读时看三里岛和博帕尔那些被绕开或停用的屏障，不要把弗利克斯伯勒并成“再加一层联锁”。联锁看不见一张没有画的图。
• 失效分析：失效分析把灾难写成链条。本页的链条是反应器撤出、临时旁路、计算与图纸缺失、星期六下午的蒸气云，以及办公楼无人因此伤亡没有更大。调查没有停在“有人按错钮”。它的取样策略是先确认谁死了、云离开了装置没有，再问修改在装上之前缺了哪一项必须关闭的验算。
• 工程伦理：伦理总览已把当前构型写成 5 号反应器撤出后的狗腿形旁路，不是氧化工段第一次开车时的那张图。对读时比较印章覆盖的是哪一个几何，不要把 28 人写成抽象的风险厌恶故事。
• 挑战者号：两起都把继续执行放在证据包没有闭合的时候。挑战者挡的是低温下的接头证据。弗利克斯伯勒缺的是旁路的图纸和力的计算。对读时比较哪一项本应在放行前关闭，不要并成一句“组织总会犯错”。犯错的内容必须能被指到零件。
• 过程安全：过程安全把危险与可操作性分析、保护层和变更管理写成可审查的义务。本页只负责 1974 年这一截旁路怎样证明义务不是口号。对读时看减量与替代怎样从“你没有的东西不会泄漏”走回设计，而不是向本页索取一套管道做法。

参考文献#

1. Department of Employment. The Flixborough Disaster: Report of the Court of Inquiry. London: HMSO, 1975. ISBN 0113610750.
2. Health and Safety Executive. "Flixborough (Nypro UK) Explosion 1st June 1974." Case summary, COMAH guidance series.
3. Secretary of State for Employment. Statement on the Flixborough inquiry, Hansard, HL Deb 27 June 1974, vol. 352, cc. 1656–1659.
4. Kletz, Trevor A. "What You Don't Have, Can't Leak." Chemistry and Industry, 6 May 1978, 287–292.
5. Venart, J. E. S. "Flixborough: A Final Footnote." Journal of Loss Prevention in the Process Industries 20, nos. 4–6 (2007): 621–643.

延伸阅读#

• 与 化学工程 对读：把总览里的那一句弗利克斯伯勒放回临时旁路，而不是放回“化工不可信”。
• 与 安全工程 对读：屏障被拆掉，和屏障从未被设计进这一个几何，不是同一层。
• 与 过程安全 对读：变更管理要关的是新连通，不是事后警报的音量。