NH3 Drum 溫度偵測器異常造成過熱｜PRD Fuse Metal 動作事故案例

06-08｜NH3 Drum 溫度偵測器異常造成過熱與 PRD Fuse Metal 動作事故案例

NH3（Ammonia，氨）Drum 的加熱系統通常需要依靠 Temperature Sensor（溫度偵測器）提供溫度資訊，讓控制系統判斷目前實際加熱狀態。

但是：

Temperature Signal
（溫度訊號）

不一定永遠等於：

Actual Temperature
（實際溫度）。

本案例中，客戶端 NH3 Drum 加熱系統的 Temperature Sensor（溫度偵測器）發生異常。

偵測器傳回控制系統的溫度數值並非 Drum 當時的真實溫度。

因此控制系統依據錯誤的 Temperature Feedback（溫度回授）持續進行加熱，使 NH3 Drum 的 Actual Temperature（實際溫度）持續升高。

最終造成：

Overheating
（過度加熱）

並使 PRD（Pressure Relief Device，壓力釋放裝置）的 Fuse Metal（熔融式安全元件）達到動作條件而熔化／動作，形成氣體釋放路徑。

本案例最終確認的 Root Cause（根本原因）為：

Temperature Sensor Malfunction
（溫度偵測器異常）

而不是：

PRD Failure
（PRD 故障）。

一、案例概要

氣體：

NH3
（Ammonia，氨）

容器：

NH3 Drum

事件類型：

Temperature Sensor Malfunction
（溫度偵測器異常）

Drum Overheating
（Drum 過度加熱）

PRD Fuse Metal Activation
（PRD 熔融式安全元件動作）

NH3 Gas Release
（NH3 氣體釋放）

最終確認的事件原因鏈：

Temperature Sensor Malfunction
（溫度偵測器異常）
↓
Incorrect Temperature Feedback
（回傳錯誤溫度）
↓
Control System Received Incorrect Temperature Information
（控制系統接收到錯誤溫度資訊）
↓
Heating Continued
（持續加熱）
↓
Actual Drum Temperature Continued to Rise
（Drum 實際溫度持續升高）
↓
Drum Overheating
（Drum 過度加熱）
↓
PRD Fuse Metal Reached Activation Condition
（PRD Fuse Metal 達到動作條件）
↓
Fuse Metal Melted / Activated
（Fuse Metal 熔化／動作）
↓
NH3 Gas Release
（NH3 氣體釋放）

Confirmed Root Cause：

Temperature Sensor Malfunction
（溫度偵測器異常）

Cause Status：

CONFIRMED
（已確認）

二、控制系統看到的溫度不等於真實溫度

這是本案例最重要的技術觀念。

正常情況下：

Actual Temperature
（實際溫度）
↓
Temperature Sensor
（溫度偵測器）
↓
Temperature Signal
（溫度訊號）
↓
Control System
（控制系統）
↓
Heating Control
（加熱控制）

控制系統本身並不是直接感受到 Drum 的實際溫度。

它實際取得的是：

Temperature Sensor Signal
（溫度偵測器訊號）。

因此如果 Sensor（偵測器）發生異常：

Actual Temperature
（實際溫度）

與：

Displayed / Feedback Temperature
（顯示／回授溫度）

就可能產生差異。

也就是：

Temperature Reading
（溫度讀值）
≠
Actual Temperature Guaranteed
（保證等於實際溫度）

三、本案例真正危險的是「看起來溫度正常」

Temperature Sensor 完全失去訊號時，系統可能比較容易察覺：

Sensor Failure
（偵測器故障）。

但本案例更值得注意的是：

Sensor 仍然提供 Temperature Feedback
（溫度回授），

只是：

Feedback Value
（回授數值）

並不代表真實溫度。

因此控制系統可能仍認為：

Temperature Below Target
（溫度尚未達到設定條件）

而持續進行 Heating（加熱）。

實際上：

Actual Drum Temperature
（Drum 實際溫度）

已經持續升高。

因此：

Signal Present
（有訊號）
≠
Signal Correct
（訊號正確）

Reading Available
（有讀值）
≠
Measurement Valid
（量測有效）

這也是本案例非常重要的 Failure Mode（故障模式）。

【H2】四、為什麼會造成 Overheating？

正常 Closed-loop Temperature Control
（閉迴路溫度控制）的基本概念是：

Sensor
↓
Measure Temperature
（量測溫度）
↓
Controller
（控制器）
↓
Determine Heating Requirement
（判斷是否需要繼續加熱）
↓
Heater
（加熱器）
↓
Temperature Changes
（溫度改變）
↓
Sensor Feedback
（偵測器再次回授）

但是當 Sensor Feedback（偵測器回授）錯誤時：

Actual Temperature Rising
（實際溫度升高）
↓
Sensor Reports Incorrect Temperature
（Sensor 回報錯誤溫度）
↓
Controller Believes More Heating Is Required
（控制器判斷仍需要加熱）
↓
Heating Continues
（持續加熱）
↓
Actual Temperature Rises Further
（實際溫度進一步升高）

最後形成：

Overheating
（過度加熱）。

因此本案例不是單純：

Heater Failure
（加熱器故障）

而是：

Temperature Feedback Failure
（溫度回授失效）

造成錯誤的 Heating Control（加熱控制）。

五、PRD Fuse Metal 在事件中的角色

當 NH3 Drum 因為錯誤的溫度回授而持續受熱後：

Actual Temperature
（實際溫度）

逐漸升高。

最後 PRD 中的：

Fuse Metal
（熔融式安全元件）

受到 Thermal Exposure（熱暴露），並達到其動作條件。

之後：

Fuse Metal Melted / Activated
（Fuse Metal 熔化／動作）

形成 Pressure Relief Path
（壓力釋放路徑）。

因此本案例中的 PRD 不應直接分類成：

Failed Component
（故障零件）。

比較正確的事件角色是：

Safety Device Activated Following Overheating
（過熱後安全裝置發生動作）。

六、PRD Activation 不等於 PRD Failure

本案例已經可以非常清楚地區分：

Root Cause：

Temperature Sensor Malfunction
（溫度偵測器異常）

Intermediate Event：

Drum Overheating
（Drum 過度加熱）

Safety Device Response：

PRD Fuse Metal Activation
（PRD Fuse Metal 動作）

Final Event：

NH3 Gas Release
（NH3 氣體釋放）

因此：

PRD Activation
（PRD 動作）
≠
PRD Failure
（PRD 故障）

Fuse Metal Melted
（Fuse Metal 熔化）
≠
Material Defect
（材料缺陷）

NH3 Released through PRD
（NH3 經 PRD 釋放）
≠
PRD Root Cause
（PRD 是根本原因）

這也是本案例最值得保留的事故分析觀念。

七、Root Cause 與 Event Mechanism 必須分開

如果只從事故最後看到：

Fuse Metal Melted
（Fuse Metal 熔化）

很容易把原因寫成：

「Fuse Metal 熔化造成 NH3 洩漏。」

這句話只能描述部分 Event Mechanism（事件機制）。

它沒有回答：

「為什麼 Fuse Metal 會熔化？」

繼續往前追查後：

Fuse Metal Melted
↓
Because Drum Overheated
（因為 Drum 過熱）
↓
Why did Drum Overheat?
（為什麼 Drum 過熱？）
↓
Heating Continued
（持續加熱）
↓
Why did Heating Continue?
（為什麼持續加熱？）
↓
Incorrect Temperature Feedback
（錯誤溫度回授）
↓
Why was Feedback Incorrect?
（為什麼回授錯誤？）
↓
Temperature Sensor Malfunction
（溫度偵測器異常）

因此最終確認：

Root Cause：
Temperature Sensor Malfunction
（溫度偵測器異常）

八、本案例揭露的是 Sensor Plausibility 問題

如果控制系統只有單一 Temperature Sensor（溫度偵測器）提供溫度資訊：

Sensor Failure
（偵測器異常）

可能同時影響：

Monitoring
（監控）

以及：

Control
（控制）。

也就是：

同一個錯誤訊號，

可能既被用來顯示溫度，

又被用來決定是否繼續加熱。

因此本案例值得進一步思考：

Sensor Plausibility
（偵測器合理性）

也就是：

「這個溫度數值是否合理？」

而不只是：

「系統有沒有收到溫度數值？」

安全管理上應依實際設備設計評估是否需要：

Independent Temperature Verification
（獨立溫度確認）

Sensor Diagnostic
（偵測器診斷）

Alarm Logic
（警報邏輯）

Interlock
（連鎖保護）

或其他適當的 Independent Safety Barrier
（獨立安全防護層）。

實際控制方式仍應由設備設計與工程安全評估決定。

九、Signal Present 不代表 Sensor 正常

設備維護中很容易把：

No Signal
（沒有訊號）

視為 Sensor Failure。

但本案例說明另一種更需要注意的情況：

Wrong Signal
（錯誤訊號）。

例如：

Sensor 有輸出
↓
Controller 有收到數值
↓
Display 有顯示溫度
↓
但數值不代表實際溫度

因此：

Signal Present
（存在訊號）
≠
Sensor Healthy
（偵測器正常）

Display Normal
（畫面顯示正常）
≠
Process Condition Normal
（實際製程狀態正常）

這也是 Process Safety（製程安全）中非常重要的概念。

十、事故後不能只更換 PRD

事故發生後：

PRD Fuse Metal 已經動作，

因此相關 PRD 組件需要依適用要求處理。

但是：

Replace PRD
（更換 PRD）

並沒有解決：

Temperature Sensor Malfunction
（溫度偵測器異常）。

如果只更換 PRD 而沒有處理真正的 Root Cause：

新的 PRD 仍可能再次面對相同的 Overheating Condition（過熱條件）。

因此 Corrective Action（矯正措施）必須至少區分：

Event Recovery
（事件後恢復）

與：

Root Cause Correction
（根本原因矯正）。

PRD Replacement：

屬於事件後設備恢復的一部分。

Temperature Detection / Control Correction：

才是針對事故原因的重要改善方向。

十一、Drum 本體沒有發現損傷應如何理解？

依本案例實際結果：

事故後對 NH3 Drum Body（NH3 Drum 本體）進行相關確認，未發現已知損傷。

可以記錄為：

No Damage Detected During Post-event Inspection
（事故後檢查未發現損傷）。

但不能因此建立：

「過熱後只要外觀看起來正常，換 PRD 就可以繼續使用。」

這種通用結論。

因為：

No Visible Damage
（沒有可見損傷）
≠
Return-to-Service Approved
（已核准恢復使用）

受到 Abnormal Thermal Exposure（異常熱暴露）的容器，仍應依其規格、受熱狀態及適用要求完成必要的 Inspection / Test / Evaluation（檢查／測試／評估）。

最後才能進行：

Return-to-Service Decision
（恢復使用判定）。

本案例最終確實恢復使用的結果，應理解為：

經事故後相關確認與必要處置後作出的個案判定，

而不是所有相似事故都可以直接套用。

十二、Safety Barrier 分析

本案例可以重新整理成以下 Safety Barrier（安全防護層）：

Barrier 1：

Temperature Sensor
（溫度偵測器）

功能：

量測 Drum 溫度並提供控制系統 Temperature Feedback（溫度回授）。

本案例：

FAILED
（失效）

Barrier 2：

Temperature Control
（溫度控制）

功能：

依溫度回授控制加熱。

本案例中：

控制系統取得的輸入資訊不正確，因此持續加熱。

Barrier 3：

Temperature Monitoring / Alarm
（溫度監控／警報）

應檢查：

是否能獨立發現 Actual Temperature（實際溫度）與 Sensor Feedback（偵測器回授）之間的異常。

Barrier 4：

Independent Protection / Interlock
（獨立保護／連鎖）

應檢查：

是否存在不依賴同一個錯誤溫度訊號的獨立保護。

Barrier 5：

PRD Fuse Metal
（PRD 熔融式安全元件）

本案例：

ACTIVATED
（發生動作）

因此：

Temperature Sensor Failure
↓
Control Barrier Compromised
↓
Drum Overheated
↓
PRD Safety Barrier Activated

這比單純記錄：

「PRD Fuse Metal 熔化」

更能呈現完整事故機制。

十三、Failure Mode Database（故障模式資料庫）建議紀錄

Failure Mode ID：

FM-013

Failure Mode：

PRD Fuse Metal Activation Following Drum Overheating
（Drum 過熱後 PRD Fuse Metal 動作）

Gas Service：

NH3
（Ammonia，氨）

Container：

NH3 Drum

Initiating Failure：

Temperature Sensor Malfunction
（溫度偵測器異常）

Cause Status：

CONFIRMED
（已確認）

Failure Mechanism：

Incorrect Temperature Feedback
（錯誤溫度回授）
↓
Continued Heating
（持續加熱）
↓
Drum Overheating
（Drum 過熱）
↓
PRD Fuse Metal Activation
（PRD Fuse Metal 動作）

Observed Condition：

Fuse Metal Melted / Activated
（Fuse Metal 熔化／動作）

Event Result：

NH3 Gas Release
（NH3 氣體釋放）

Root Cause：

Temperature Sensor Malfunction
（溫度偵測器異常）

Relevant Evidence：

・Temperature Sensor Condition
（溫度偵測器狀態）

・Temperature Feedback Record
（溫度回授紀錄）

・Actual Thermal Condition
（實際受熱狀態）

・Heating System Record
（加熱系統紀錄）

・PRD Condition
（PRD 狀態）

・Drum Body Inspection
（Drum 本體檢查）

・Event Timeline
（事件時間線）

十四、本案例的重要判斷觀念

本案例可以整理成：

Temperature Reading
（溫度讀值）
≠
Actual Temperature Guaranteed
（保證等於實際溫度）

Signal Present
（有訊號）
≠
Sensor Healthy
（偵測器正常）

Display Normal
（顯示正常）
≠
Actual Process Normal
（實際製程正常）

Fuse Metal Melted
（Fuse Metal 熔化）
≠
PRD Defect
（PRD 缺陷）

PRD Activation
（PRD 動作）
≠
Root Cause
（根本原因）

Replace PRD
（更換 PRD）
≠
Root Cause Corrected
（根本原因已改善）

本案例最重要的安全經驗是：

Do Not Only Verify That a Sensor Has a Signal
（不能只確認偵測器有訊號）

還需要考慮：

Is the Signal Plausible?
（這個訊號是否合理？）

以及：

Does an Independent Barrier Exist if the Sensor Is Wrong?
（當偵測器提供錯誤訊號時，是否還有獨立的安全防護層？）

十五、與其他 PRD 案例的差異

06-01：

Tool-related PRD Event
（工具相關 PRD 事件）

06-02：

Missing PRD Component
（PRD 零件缺失）

06-07：

PRD Loose / Position Abnormality
（PRD 鬆動／位置異常）

06-08：

Temperature Sensor Malfunction
（溫度偵測器異常）
↓
Drum Overheating
（Drum 過熱）
↓
PRD Fuse Metal Activation
（PRD Fuse Metal 動作）

因此 06-08 與其他 PRD 案例最大的差異是：

PRD 本身不是已確認的事故 Root Cause。

真正已確認的 Root Cause 位於：

Temperature Detection System
（溫度偵測系統）。

十六、相關文章

・02-02｜瓶閥 PRD 種類與基本原理
・05-03｜鋼瓶瓶閥常見故障模式總覽
・06-01｜誤拆 PRD 造成大量氣體洩漏事故案例
・06-02｜PRD Burst Disc 遺漏造成大量氣體洩漏事故案例
・06-07｜瓶閥安裝後 PRD 鬆動案例
・09-02｜多層安全防護
・09-04｜異常現象、直接原因與根本原因的判斷方法
・09-05｜鋼瓶維修經驗如何轉化為 Failure Mode Database

注意事項

本文為 NH3 Drum 因 Temperature Sensor Malfunction（溫度偵測器異常），造成 Incorrect Temperature Feedback（錯誤溫度回授）、持續加熱、Drum 過熱，最終導致 PRD Fuse Metal（PRD 熔融式安全元件）動作及 NH3 氣體釋放的實際事故案例整理。

本案例事故調查確認的 Root Cause（根本原因）為 Temperature Sensor Malfunction，而不是 PRD Failure（PRD 故障）。

不同 NH3 Drum、Heating System（加熱系統）、Temperature Control System（溫度控制系統）與 PRD Design（PRD 設計）可能不同，因此本文事故原因與改善觀念不應直接套用為所有設備的通用設計要求。

受到 Abnormal Thermal Exposure（異常熱暴露）的 Drum，仍應依實際狀態、容器規格及適用要求完成必要 Inspection / Test / Evaluation（檢查／測試／評估），再由具適當資格或權限的單位進行 Return-to-Service Decision（恢復使用判定）。

本文不提供 NH3 排放、PRD 更換、Fuse Metal 維修、Temperature Sensor 調校、控制系統修改或加熱設備操作程序。

最後更新：2026-09-28