陶 冶，姚安林，2，徐濤龍，蔣宏業(yè)，李又綠

(1.西南石油大學(xué) 石油與天然氣工程學(xué)院，四川 成都 610500； 2.油氣消防四川省重點實驗室，四川 成都 610500)

0 引言

保護(hù)層分析(Layer of Protection Analysis，LOPA)作為一種簡化的、半定量的風(fēng)險評估方法，是一種評估化工系統(tǒng)安全措施靈活有效的工具，在過程工業(yè)中得到了廣泛的應(yīng)用[1]。LOPA通過事故后果的嚴(yán)重程度與發(fā)生頻率的數(shù)量級大小來近似表征所評估場景的風(fēng)險水平[2]。針對某一特定場景，LOPA首先識別該場景的初始事件并確認(rèn)其發(fā)生頻率，然后進(jìn)行獨立保護(hù)層(Independent Protection Layer，IPL)識別并確認(rèn)其需要時的失效概率(Probability of Failure on Demand，PFD)，計算得到該場景的場景頻率并與企業(yè)的風(fēng)險容忍標(biāo)準(zhǔn)比較，從而做出決策。

目前，國內(nèi)外許多學(xué)者對LOPA進(jìn)行了研究并提出改進(jìn)方法。如Markowski等[3]將專家系統(tǒng)與保護(hù)層分析法相結(jié)合提出了“Exsys-LOPA”；YUN等[4]將貝葉斯理論應(yīng)用于LOPA提出了“BN-LOPA”；鄧彬等[5]將軌跡交叉理論與LOPA相結(jié)合對系統(tǒng)的安全狀況進(jìn)行分析評價；夏陽光等[6]將模糊故障樹應(yīng)用于LOPA提出“FFTA-LOPA”；徐青偉等[7]將云模型、BOW-TIE模型與LOPA結(jié)合對LOPA進(jìn)行改進(jìn)；閆放等[8]將集對分析與LOPA結(jié)合，提出“SPA-LOPA”；萬古軍等[9]對LOPA中獨立保護(hù)層的識別進(jìn)行研究；靳江紅等[10]對LOPA中定量問題進(jìn)行了研究等等。然而，現(xiàn)有的研究均沒有系統(tǒng)全面地考慮非獨立保護(hù)層對后果的影響，在實際評價中，一些非獨立保護(hù)層并非完全起不到保護(hù)作用，若評價過程中不考慮這些保護(hù)層的作用，就有可能導(dǎo)致評價結(jié)果過于保守，從而造成無謂的技術(shù)改造，增加了資金投入。

因此，本文在分析獨立保護(hù)層的定義、分類、判定依據(jù)的基礎(chǔ)上，分析非獨立保護(hù)層對評估結(jié)果的影響并提出相應(yīng)的改進(jìn)方案，以期克服LOPA在識別保護(hù)層方面以及場景頻率計算方面的局限性，拓展其使用范圍。

1 LOPA中的保護(hù)層

1.1 獨立保護(hù)層

《保護(hù)層分析——簡化的過程風(fēng)險評估》一書中對獨立保護(hù)層的定義為：獨立保護(hù)層是能夠阻止場景向不良后果繼續(xù)發(fā)展的一種設(shè)備、系統(tǒng)或行動，并獨立于初始事件或場景中其他保護(hù)層的行動[11]。獨立保護(hù)層作用示意如圖1所示。

圖1 獨立保護(hù)層功能示意Fig.1 Functional diagram of IPL

按照獨立保護(hù)層的判定規(guī)則，獨立保護(hù)層必須滿足有效性、獨立性以及可審查性。有效性是指其必須能有效地防止所評估場景中不期望的后果；獨立性是指其必須獨立于初始事件及同一場景中已經(jīng)被認(rèn)定為是獨立保護(hù)層的任何構(gòu)成元件；可審查性是指被認(rèn)定的獨立保護(hù)層必須可以驗證其功能的有效性以及確認(rèn)的PFD的合適性。

一個化工過程通常包含多個保護(hù)層，典型的保護(hù)層包括工藝設(shè)計(本質(zhì)安全設(shè)計)、基本過程控制系統(tǒng)(BPCS)、關(guān)鍵報警和人員干預(yù)、安全儀表系統(tǒng)(SIS)、物理保護(hù)(安全閥、爆破片等)、釋放后保護(hù)(防火堤、防爆墻等)、工廠及社區(qū)應(yīng)急響應(yīng)等。美國化工過程安全中心(CCPS)給出了一些典型獨立保護(hù)層及PFD，如表1所示[11]。

表1 典型的獨立保護(hù)層及其PFDTable 1 Typical IPL and its PFD

1.2 非獨立保護(hù)層

對于過程工業(yè)典型的保護(hù)層，保護(hù)層的可審查性基本都會予以保證，所以獨立保護(hù)層的有效性及獨立性是其核心特性[12]。但在實際評估過程中，一些保護(hù)層可能不滿足某個特性，將不作為獨立保護(hù)層考慮，但其并非起不到作用，如果單純將其忽視，很可能會夸大風(fēng)險、使評價結(jié)果偏于保守，從而造成不必要或過多的技術(shù)改造和資金投入。

根據(jù)獨立保護(hù)層的定義，非獨立保護(hù)層可定義為“不能夠完全阻止場景向不良后果繼續(xù)發(fā)展的一種設(shè)備、系統(tǒng)或行動，或不獨立于初始事件或場景中其他保護(hù)層的行動”。CCPS總結(jié)了一些通常情況下不視作獨立保護(hù)層的例子，包括培訓(xùn)和取證、設(shè)備維護(hù)、標(biāo)識等[11]。在實際評估過程中，這些例子通常對評估結(jié)果造成不了影響，所以在討論非獨立保護(hù)層對后果的影響暫不予考慮[13]。故可以將非獨立保護(hù)層分為2類，即不滿足有效性的保護(hù)層和不滿足獨立性的保護(hù)層，下面將分別對其進(jìn)行分析，并對其影響LOPA結(jié)果的處理方法構(gòu)建起相應(yīng)的改進(jìn)策略。

2 不滿足有效性的保護(hù)層

不滿足有效性的保護(hù)層，即不能有效地防止不期望后果的保護(hù)層，或者說只能部分有效的保護(hù)層。而傳統(tǒng)LOPA對于獨立保護(hù)層的選取原則，一個保護(hù)層不是生效就是失效，不存在部分生效的情況，這就導(dǎo)致了某些保護(hù)層實際上可以起到一定的降低、減緩風(fēng)險的作用，但實際被忽略的情況，從而夸大了風(fēng)險。對于通常在事故發(fā)生前便生效的主動保護(hù)層(如BPCS，SIS等)而言，若其生效，則事故后果便不會發(fā)生，若其失效，則事故后果發(fā)生，其有效性容易判斷。但對于事故發(fā)生后才發(fā)揮作用的被動型保護(hù)層(如防火堤、防爆墻等)，若生效，其事故后果不一定會完全規(guī)避，若失效，其也有可能減緩事故后果。所以，在處理這類保護(hù)層時有必要對現(xiàn)有的方法進(jìn)行改進(jìn)，以增加其適用性。

2.1 改進(jìn)策略

對于某一場景，其風(fēng)險可以表征為事故后果與場景頻率的乘積，即：

RC=fC×C

(1)

式中：RC為場景的風(fēng)險等級；fC為場景的發(fā)生頻率；C為場景的后果嚴(yán)重程度。

進(jìn)行LOPA分析時，在確定了一個獨立保護(hù)層，其場景頻率也會隨之相應(yīng)降低，后果嚴(yán)重程度并不會改變，然而，類似于防火堤之類的被動保護(hù)層，往往是降低了后果的嚴(yán)重程度。而削減系數(shù)可以量化風(fēng)險的削減程度，并可以通過推導(dǎo)轉(zhuǎn)化為更深層次的、合理的評價結(jié)果，在工程上得到廣泛的應(yīng)用。由此，為了合理處理此類非獨立保護(hù)層有效部分對后果的削減效果并將其削減程度轉(zhuǎn)化為場景頻率的表征，引入削減系數(shù)λ[14]。

設(shè)某一場景無任何保護(hù)層時的后果嚴(yán)重度為C，保護(hù)層發(fā)生作用時場景后果嚴(yán)重程度為C1，則削減系數(shù)為：

(2)

從式(2)中不難看出，0<λ<1，且隨著λ的減小，保護(hù)層對風(fēng)險的削減作用增強。λ之所以不能取0和1，是因為當(dāng)λ為0時，表示風(fēng)險被完全規(guī)避，說明保護(hù)層起到了完全保護(hù)的作用，即為獨立保護(hù)層，便不是非獨立保護(hù)層；當(dāng)λ為1時，表示風(fēng)險沒有被削減，說明保護(hù)層已經(jīng)失效，便不是保護(hù)層，這都與非獨立保護(hù)層的意義相悖。引入削減系數(shù)的非獨立保護(hù)層分析示意如圖2所示，其中λ1，λ2，λ3分別為不滿足有效性的非獨立保護(hù)層1，2，3的削減系數(shù)。

圖2 引入削減系數(shù)的非獨立保護(hù)層分析示意Fig.2 Schematic diagram of Non-IPL analysis with reduction coefficient

引入削減系數(shù)后，便可將后果削減轉(zhuǎn)化為場景風(fēng)險頻率進(jìn)行計算。設(shè)某一場景后果為C，有不滿足有效性的非獨立保護(hù)層(PL)a個，每個非獨立保護(hù)層的削減系數(shù)為λ1，λ2，，λa，獨立保護(hù)層(IPL)b個，則由式(1)，場景風(fēng)險R為：

(3)

故場景頻率f為：

(4)

式中：R為場景的風(fēng)險等級；f為場景的發(fā)生頻率；C為場景的后果嚴(yán)重程度；fI為初始事件頻率；PFDPL為非獨立保護(hù)層失效概率；PFDIPL為獨立保護(hù)層失效概率；λ為非獨立保護(hù)層的削減系數(shù)。

2.2 案例分析

來自上游工藝單元的油品進(jìn)入儲罐，儲罐液位受液位控制回路控制，儲罐總?cè)萘繛?×104m3，該儲罐位于防火堤內(nèi)?，F(xiàn)因液位控制回路失效(失效概率為1×10-1次/a)，導(dǎo)致儲罐溢流，泄漏量為40 m3，泄漏物進(jìn)入防火堤(PFD為1×10-2次/a)，但現(xiàn)場發(fā)現(xiàn)該防火堤在容納30 m3泄漏物高度處有1較大裂縫。場景為：液位控制系統(tǒng)失效導(dǎo)致40 m3油品流出儲罐，引發(fā)火災(zāi)、人員傷亡。

對于此場景，防火堤是唯一的保護(hù)層，但溢流量為40 m3，而防火堤在30 m3處存在較大裂縫，按照LOPA對于獨立保護(hù)層的要求，顯然該保護(hù)層不滿足有效性，按照傳統(tǒng)LOPA，此時場景頻率即為初始事件頻率1×10-1次/a。

但實際上，雖然防火堤存在缺口，但仍然可以容納30 m3的溢流物，相當(dāng)于泄漏了10 m3，故按照改進(jìn)的方法，λ=10/40=0.25，按照(4)式，此場景頻率為：

顯然，改進(jìn)方法得到的場景頻率降低了1個數(shù)量級，糾正了傳統(tǒng)LOPA過于保守的評價結(jié)果，提高了LOPA的準(zhǔn)確性?？梢?，充分考慮不滿足有效性的非獨立保護(hù)層對后果的削減作用而引入削減系數(shù)的改進(jìn)方法是合理而有效的。

3 不滿足獨立性的保護(hù)層

不滿足獨立性的保護(hù)層，即保護(hù)層與同一場景中已被認(rèn)定為是獨立保護(hù)層或初始事件等存在共同元件。對于傳統(tǒng)LOPA，存在共同構(gòu)成元件的多個保護(hù)層均按1個IPL計算，同不滿足有效性的保護(hù)層一樣，不滿足獨立性的保護(hù)層也并非起不到保護(hù)作用，單純忽略也可能造成評價結(jié)果的過于保守。所以，有必要針對不滿足獨立性的保護(hù)層，在處理方法上進(jìn)行改進(jìn)。

3.1 改進(jìn)策略

保護(hù)層不滿足獨立性，也就是該保護(hù)層與其他獨立保護(hù)層等存在共因失效問題，而對于共因失效問題，故障樹分析(FTA)可以有效地解決[15]。故障樹分析通過樹狀的邏輯關(guān)系圖，將系統(tǒng)的故障與組成系統(tǒng)各部件的故障有機地聯(lián)系在一起，逐層、全面地分析系統(tǒng)所有的失效模式[16]，然后通過邏輯運算，計算出系統(tǒng)失效的概率。故障樹也有其弊端，對于復(fù)雜場景，故障樹的構(gòu)建以及失效概率的計算量可能相當(dāng)巨大，而將FTA集成于LOPA中來分析保護(hù)層之間的共因失效問題，通常只涉及到幾個部件，故障樹的構(gòu)建以及計算量也會大幅減小[17]，故將二者集成，取長補短，對傳統(tǒng)LOPA進(jìn)行改進(jìn)。

方法思路：在傳統(tǒng)LOPA分析的基礎(chǔ)上，在識別保護(hù)層時增加不滿足獨立性的保護(hù)層識別，具體分析流程如圖3所示。最后通過求最小割集計算出頂事件(非獨立保護(hù)層部分)的發(fā)生頻率，從而計算出場景頻率。

圖3 改進(jìn)的保護(hù)層分析流程Fig.3 Improved procedure of LOPA

3.2 案例分析

為體現(xiàn)出改進(jìn)策略的有效性，以文獻(xiàn)[11]中的案例及數(shù)據(jù)進(jìn)行分析。某油品的進(jìn)罐操作，儲罐位于圍堰內(nèi)，其庫存量由庫存控制系統(tǒng)控制，儲罐裝有液位指示器和高液位報警器，進(jìn)行卸載輸送工作時，1名操作人員在現(xiàn)場通過液位指示計進(jìn)行監(jiān)視，當(dāng)?shù)竭_(dá)控制液位時，立即停泵切斷進(jìn)料，相關(guān)參數(shù)在控制室進(jìn)行顯式和報警。場景：儲罐庫存量控制系統(tǒng)失效，槽車卸載油品到空間不足的儲罐內(nèi)，導(dǎo)致儲罐溢流，潛在的火災(zāi)風(fēng)險、造成人員傷亡，初始事件儲罐庫存量控制系統(tǒng)的失效頻率基于工廠數(shù)據(jù)取1.0/a。

通過分析，該場景有3個保護(hù)層，卸載前操作人員檢查液位、高液位報警及人員響應(yīng)、圍堰。根據(jù)CCPS給出的失效數(shù)據(jù)，確定各保護(hù)層失效數(shù)據(jù)如表2所示。

表2 保護(hù)層失效數(shù)據(jù)Table 2 Failure data of protection layer

對識別出的保護(hù)層進(jìn)行分析以確定是否滿足獨立保護(hù)層要求：

1)槽車卸載前操作人員檢查儲罐液位。操作人員檢查儲罐BPCS顯示的液位可以確保儲罐有足夠的空間容納槽車內(nèi)的油品，若高液位則不會進(jìn)行卸載操作，就不會發(fā)生溢流，且獨立于其他任何行動，故為獨立保護(hù)層。

2)BPCS報警及人員響應(yīng)。它并不獨立于第一種防護(hù)措施，因為它與第一種保護(hù)措施使用相同的液位指示傳感器，故不是獨立保護(hù)層。

3)圍堰。圍堰能夠防止溢流物流出圍堰的后果，因此是獨立保護(hù)層。

通過以上分析可知，卸載前操作人員檢查液位所用液位指示器同時也是BPCS的一部分，按照傳統(tǒng)LOPA方法，BPCS報警將不作為1種獨立保護(hù)層，所以按照傳統(tǒng)LOPA方法計算場景頻率為：

按照改進(jìn)方法分析流程，對非獨立保護(hù)層部分進(jìn)行FTA分析，構(gòu)造的故障樹如圖4所示。相關(guān)失效數(shù)據(jù)來源于CCPS數(shù)據(jù)庫以及工廠數(shù)據(jù)，如表3所示。

圖4 非獨立保護(hù)層部分故障樹Fig.4 Partial FTA of Non-IPL

基本事件失效頻率/(次·a-1)員工誤操作1×10-2液位檢測元件失效1×10-2邏輯解算器失效1×10-3報警器失效1×10-1

故障樹在求最小割集時的邏輯運算遵循布爾代數(shù)運算法則[18]，則頂事件T的發(fā)生概率為：

(5)

式中：PT為頂事件T的發(fā)生概率；PA為中間事件的發(fā)生概率；PB為底事件的發(fā)生概率。其中，B1事件為員工誤操作；B2事件為液位檢測元件故障；B3事件為邏輯解算器故障；B4事件為報警器故障。

將表3數(shù)據(jù)代入式(5)得PT為0.011 01，取整為1.1×10-2，故場景頻率fC為：

與傳統(tǒng)LOPA計算結(jié)果對比可見，場景頻率降低了近10倍，提高了LOPA的準(zhǔn)確性?？梢?，通過將FTA與LOPA結(jié)合，可以有效解決保護(hù)層之間的共因失效問題，改進(jìn)方法是合理而有效的。

4 結(jié)論

1)在進(jìn)行LOPA分析時，保護(hù)層需滿足有效性、獨立性和可審查性才可以作為獨立保護(hù)層進(jìn)行場景頻率的計算。但有些不滿足某個特性的保護(hù)層并非完全起不到保護(hù)作用，完全不予考慮是不合理的。

2)針對LOPA對于保護(hù)層選取的局限性，考慮了非獨立保護(hù)層的作用，將非獨立保護(hù)層分為不滿足有效性的保護(hù)層與不滿足獨立性的保護(hù)層2類。

3)對于不滿足有效性的保護(hù)層(被動保護(hù)層)，采用引入削減系數(shù)，利用削減系數(shù)對后果削減程度的量化作用對LOPA進(jìn)行改進(jìn)；對于不滿足獨立性的保護(hù)層(存在共因失效的保護(hù)層)，采用將FTA與LOPA相結(jié)合的方法，利用FTA在解決共因失效問題的優(yōu)勢對LOPA進(jìn)行改進(jìn)。

4)通過案例分析驗證了改進(jìn)方法的適用性，結(jié)果表明改進(jìn)方法的計算結(jié)果較傳統(tǒng)方法都降低了近1個數(shù)量級，避免了傳統(tǒng)方法過于保守的評價結(jié)果，改進(jìn)方法是合理而有效的。