朱明昌 黃立文，2 謝 澄▲ 石 峰 陶可健

（1.武漢理工大學(xué)航運(yùn)學(xué)院 武漢 430063；

2.武漢理工大學(xué)內(nèi)河航運(yùn)技術(shù)湖北省重點(diǎn)實(shí)驗(yàn)室 武漢 430063；3.中海油能源發(fā)展股份有限公司采油服務(wù)分公司 天津 300452）

0 引 言

近年來，隨著全球各國及國際組織加強(qiáng)對(duì)環(huán)境保護(hù)的重視程度，LNG因其是1種安全、廉價(jià)、高效的清潔能源，在可持續(xù)發(fā)展的能源領(lǐng)域內(nèi)得到了極為廣泛的應(yīng)用。LNG海上運(yùn)輸有著調(diào)配方便、操作靈活、供應(yīng)充足等優(yōu)勢(shì)，國際LNG船隊(duì)規(guī)模及貿(mào)易密集度不斷擴(kuò)大，LNG船對(duì)船過駁作業(yè)需求量也在不斷增加。LNG船對(duì)船過駁是將貨物L(fēng)NG從母船轉(zhuǎn)運(yùn)至子船的作業(yè)方式，從事海上運(yùn)輸業(yè)務(wù)的LNG船由于尺寸、吃水等原因無法進(jìn)江，發(fā)生緊急事故或有運(yùn)輸業(yè)務(wù)需求時(shí)需要進(jìn)行過駁作業(yè)，一般過駁的地點(diǎn)選擇在港口、錨地，計(jì)劃進(jìn)行過駁的2船到達(dá)指定地點(diǎn)錨泊和系泊，連接LNG過駁管線，檢查液貨艙系統(tǒng)和相關(guān)設(shè)備，連接過駁軟管，打開人工和自動(dòng)閥門，最后啟動(dòng)泵。在過駁作業(yè)完成后，關(guān)閉泵，吹掃管路，然后斷開軟管。LNG船對(duì)船過駁作業(yè)十分復(fù)雜，整個(gè)作業(yè)過程嚴(yán)格按照LNG過駁規(guī)定的操作順序執(zhí)行，作業(yè)安全涉及2船的設(shè)備及人為操作等因素，且作業(yè)空間有限，一旦發(fā)生事故后果不堪設(shè)想[1-3]。

隨著LNG船對(duì)船過駁新技術(shù)和自動(dòng)控制設(shè)備的引進(jìn)，作業(yè)過程中面臨著新的安全挑戰(zhàn)，LNG船對(duì)船過駁系統(tǒng)主要由設(shè)備硬件、軟件、泵、軟管、管線、ESD、ERS，以及眾多的傳感器和控制閥等組成[4]，在特定情況下還需人工干預(yù)控制。在系統(tǒng)中，硬件故障、軟件故障、組件與控制器之間的交互問題和數(shù)據(jù)輸入錯(cuò)誤或延遲進(jìn)入計(jì)算機(jī)都是造成事故發(fā)生的原因。目前對(duì)LNG過駁作業(yè)領(lǐng)域內(nèi)的安全性研究分析較少，且影響過駁系統(tǒng)安全的因素眾多、各因素之間的關(guān)聯(lián)性較強(qiáng)，對(duì)LNG船對(duì)船過駁的安全性分析及事故模型構(gòu)建提出了難題。

目前，國內(nèi)外對(duì)LNG船對(duì)船過駁作業(yè)的研究較少，在LNG船舶作業(yè)安全研究方面，國內(nèi)外學(xué)者多采用故障樹（FTA）、事故樹分析（ETA）、故障模式影響及危害度分析（FMECA）等傳統(tǒng)方法[5]。Erik Vanem等[6]用事故樹的方法對(duì)全球遠(yuǎn)洋液化天然氣運(yùn)輸船的碰撞、擱淺、火災(zāi)和爆炸，以及在終端裝卸LNG時(shí)發(fā)生的事故進(jìn)行風(fēng)險(xiǎn)評(píng)估，得出發(fā)生碰撞風(fēng)險(xiǎn)最高。陳星星[7]基于故障樹理論，建立以LNG船裝卸作業(yè)泄漏事故為頂事件的故障樹模型，并對(duì)其進(jìn)行定性和定量分析，求得各自的最小割集和結(jié)構(gòu)重要度系數(shù)并排序。張帆等[8]將綜合安全評(píng)估（FSA）引入到LNG燃料動(dòng)力船安全性研究中，結(jié)合LNG儲(chǔ)罐部件基礎(chǔ)泄漏概率和事故后果模擬結(jié)果，對(duì)LNG燃料動(dòng)力船壩間航行、過閘、錨泊及燃料加注等典型情景進(jìn)行風(fēng)險(xiǎn)分析。然而，傳統(tǒng)安全性分析方法都是從線性角度針對(duì)失效關(guān)鍵部件進(jìn)行獨(dú)立分析，未能考慮各部件之間的耦合性和協(xié)調(diào)性，尤其是對(duì)設(shè)備缺陷、軟件出錯(cuò)、人為因素和非線性等問題缺乏準(zhǔn)確的描述與分析，致使在復(fù)雜過駁過程和復(fù)雜系統(tǒng)的安全性分析中具有很大的局限性。

基于系統(tǒng)理論的安全性分析方法STPA在航空航天、交通運(yùn)輸?shù)劝踩I(lǐng)域已經(jīng)逐步開展研究應(yīng)用，鄭磊等[9]針對(duì)飛機(jī)在降落過程中的機(jī)輪剎車系統(tǒng)的安全性問題，構(gòu)建了STAMP控制關(guān)聯(lián)模型，運(yùn)用STPA方法有效地分析了系統(tǒng)中不安全控制的關(guān)鍵原因，并對(duì)其不安全控制行為進(jìn)行仿真研究，驗(yàn)證了方法的有效性；孟祥坤等[10]針對(duì)深水井控的復(fù)雜性和動(dòng)態(tài)性特點(diǎn)，將井控系統(tǒng)在鉆井過程中的安全性問題作為系統(tǒng)控制和反饋問題，運(yùn)用STPA系統(tǒng)性安全評(píng)估方法分析了深水井控不安全的控制行為及關(guān)鍵因素，解決了復(fù)雜系統(tǒng)部件之間交互作用的評(píng)價(jià)問題；Chen等[11]將STPA應(yīng) 用于1個(gè)子尺 度 無 人機(jī)(UAV)系統(tǒng)起飛危險(xiǎn)性分析，論證了STPA應(yīng)用于復(fù)雜無人機(jī)系統(tǒng)的潛在可行性。識(shí)別了飛機(jī)起飛過程中的不安全控制行為及其相應(yīng)的控制缺陷，規(guī)定了不同層次的安全約束條件?；赟TAMP/STPA的安全性分析方法是將安全問題轉(zhuǎn)化為控制問題，通過施加安全約束、建立分層控制結(jié)構(gòu)和分析過程模型以識(shí)別系統(tǒng)各階段存在的不安全控制行為，分析事故原因[12]。然而，基于STAMP/STPA在船舶交通領(lǐng)域的工業(yè)作業(yè)過程的安全性分析研究幾乎沒有，本文對(duì)于該方法在LNG船對(duì)船過駁復(fù)雜系統(tǒng)的安全性問題研究提出應(yīng)用，STPA方法側(cè)重于分析系統(tǒng)的動(dòng)態(tài)行為，能夠加強(qiáng)人、環(huán)境、軟件、設(shè)備在過駁作業(yè)過程中之間的關(guān)聯(lián)、有效識(shí)別更多非線性問題，同時(shí)考慮到系統(tǒng)中未發(fā)生故障組件之間的不安全交互相關(guān)問題，準(zhǔn)確地識(shí)別出在船舶過駁作業(yè)過程中的潛在安全性問題。

針對(duì)以上現(xiàn)實(shí)背景以及LNG船對(duì)船過駁作業(yè)安全所面臨的挑戰(zhàn)，本文以LNG船對(duì)船過駁作業(yè)為研究對(duì)象，提出基于STPA方法對(duì)LNG船對(duì)船過駁系統(tǒng)進(jìn)行安全性分析，構(gòu)建過駁系統(tǒng)的STAMP控制關(guān)聯(lián)模型，識(shí)別系統(tǒng)級(jí)事故和危險(xiǎn)，從控制反饋的角度轉(zhuǎn)化成3類主要缺陷的過駁系統(tǒng)潛在不安全控制行為，根據(jù)改進(jìn)的STPA致因場(chǎng)景分析模型，分析了產(chǎn)生系統(tǒng)級(jí)危險(xiǎn)的關(guān)鍵致因，并根據(jù)控制原理提出相應(yīng)的建議措施。

1 STAMP/STAP工作原理

美國N.Leveson教授[13]提出了STAMP模型，STAMP模型是基于系統(tǒng)理論和控制理論，把復(fù)雜系統(tǒng)的安全性分析當(dāng)作1個(gè)控制問題來解決。STAMP將復(fù)雜系統(tǒng)視為1個(gè)多層分層結(jié)構(gòu)，通過控制結(jié)構(gòu)關(guān)系來構(gòu)建模型，表示上層對(duì)下層的控制要求，通過高層向低層施加控制要求和低層向高層反饋信息的方式來保證多層次系統(tǒng)的安全運(yùn)行需要。同時(shí)，STAMP認(rèn)為事故的產(chǎn)生是由于復(fù)雜動(dòng)態(tài)過程并發(fā)運(yùn)行和相互作用所創(chuàng)造的不安全情形所致，強(qiáng)調(diào)多個(gè)組件相互作用，通過對(duì)復(fù)雜動(dòng)態(tài)過程的控制進(jìn)行分析來查找安全威脅，評(píng)估安全問題。結(jié)合以上基本概念，從控制反饋的角度將事故大致分為3類：①控制器發(fā)出不足或不恰當(dāng)?shù)目刂菩袨?，包括?duì)故障或擾動(dòng)的物理過程處置不當(dāng)；②控制行為的不充分執(zhí)行；③反饋信息的不準(zhǔn)確或丟失。

系統(tǒng)理論過程分析（STPA）是1種基于STAMP模型的安全分析方法，它通過系統(tǒng)化的過程來識(shí)別系統(tǒng)的不安全控制行為，并針對(duì)不安全控制行為進(jìn)行致因場(chǎng)景分析。該方法首先從全局的角度確定系統(tǒng)級(jí)事故和危險(xiǎn)，根據(jù)分層控制結(jié)構(gòu)分析控制行為在性能、時(shí)間及邏輯上的不合理情形，辨識(shí)不安全控制行為和場(chǎng)景[14]。然后構(gòu)建由控制器、執(zhí)行器、控制過程和傳感器構(gòu)成見圖1的反饋控制回路，進(jìn)一步分析控制反饋回路來識(shí)別事故致因。最后針對(duì)事故致因?qū)ο到y(tǒng)提出安全約束及要求。目前，STAMP理論和STPA方法已經(jīng)成功地應(yīng)用于航天航空、國防、能源、化工、運(yùn)輸系統(tǒng)等領(lǐng)域，特別適用于現(xiàn)代復(fù)雜系統(tǒng)和具有人工控制系統(tǒng)的安全性分析與控制[15]。

圖1 安全控制回路Fig.1 Safety control circuit

2 LNG船對(duì)船過駁系統(tǒng)的STAMP模型構(gòu)建

LNG船對(duì)船過駁系統(tǒng)中主要的組成部分有控制器設(shè)備、潛液泵、ESD、ESR、控制閥、泄壓閥、軟管、管線、各參數(shù)傳感器等。潛液泵可以控制管路內(nèi)LNG的流速，控制閥門可以控制LNG的流動(dòng)。泄壓閥安裝在管路上，可以控制液體的溫度和壓力。在應(yīng)急情況發(fā)生時(shí)，應(yīng)急釋放閥和應(yīng)急釋放連接器可以斷開管路的連接，ESD系統(tǒng)可以停止LNG的轉(zhuǎn)運(yùn)，各傳感器將作業(yè)過程中的各項(xiàng)指標(biāo)參數(shù)反饋給控制器設(shè)備及操作員，這些部件都可以手動(dòng)地或自動(dòng)地進(jìn)行操控。

在STAMP模型中，LNG船對(duì)船過駁系統(tǒng)的基本結(jié)構(gòu)主要由3個(gè)控制器、執(zhí)行器和外界干擾構(gòu)成。3個(gè)控制器分別是邏輯控制器、操作室控制器、現(xiàn)場(chǎng)控制器，根據(jù)過駁作業(yè)要求及各傳感器反饋回的參數(shù)等，發(fā)出合適的指令給執(zhí)行器，控制管路內(nèi)LNG的流動(dòng)狀態(tài)，保證系統(tǒng)的正常運(yùn)行。邏輯控制器可以通過程序進(jìn)行控制，如通過計(jì)算機(jī)來控制泵的流速、自動(dòng)打開/關(guān)閉控制閥等設(shè)備。操作室控制器可以控制調(diào)節(jié)系統(tǒng)的設(shè)備狀態(tài)，如通過安裝在過駁系統(tǒng)中的傳感器的反饋信息調(diào)整閥門的開關(guān)及液體流速。在過駁系統(tǒng)作業(yè)過程中，現(xiàn)場(chǎng)控制器發(fā)揮著的重要作用，現(xiàn)場(chǎng)控制器監(jiān)測(cè)系統(tǒng)中的情況并采取適當(dāng)?shù)拇胧?，在邏輯控制器無法執(zhí)行操作和操作室控制器無法解決問題的時(shí)候，需要通過現(xiàn)場(chǎng)控制器手動(dòng)采取操作。執(zhí)行器由泵、泄壓閥、ERC和ESD系統(tǒng)等構(gòu)成。對(duì)于自動(dòng)邏輯控制而言，執(zhí)行器從邏輯設(shè)備獲得命令，決定“打開”或“關(guān)閉”的狀態(tài)，邏輯設(shè)備也通過來自傳感器的反饋來決定控制命令。在系統(tǒng)中，每個(gè)組件不僅作為系統(tǒng)的組件，還作為可以控制操作的系統(tǒng)執(zhí)行器。

可見，LNG船對(duì)船過駁系統(tǒng)各組成相互之間存在著邏輯、時(shí)間、功能上的控制與反饋關(guān)系。在分析過駁作業(yè)過程和系統(tǒng)的工作原理的基礎(chǔ)上，通過梳理各個(gè)組成的輸入、輸出信號(hào)和相互關(guān)系，得到LNG船對(duì)船過駁系統(tǒng)的STAMP模型，見圖2。

圖2 LNG船對(duì)船過駁系統(tǒng)的STAMP模型Fig.2 STAMP model of the LNG ship-to-ship transfer system

3 LNG船對(duì)船過駁系統(tǒng)的STPA分析

基于STPA方法分析LNG船對(duì)船過駁系統(tǒng)是1個(gè)在作業(yè)過程中，將邏輯控制器與各執(zhí)行器系統(tǒng)之間存在的風(fēng)險(xiǎn)充分解決的迭代過程，識(shí)別出復(fù)雜系統(tǒng)存在的風(fēng)險(xiǎn)。在分析目的上，STPA方法與傳統(tǒng)的方法有所不同，其為了通過對(duì)系統(tǒng)風(fēng)險(xiǎn)的識(shí)別與分析，找到事故致因因素，排除系統(tǒng)中存在的風(fēng)險(xiǎn)，并制定相應(yīng)措施，提高安全保障，同時(shí)為后面的工作和系統(tǒng)的改進(jìn)提供依據(jù)。

3.1 系統(tǒng)級(jí)事故的確定

根據(jù)STPA方法的研究過程，識(shí)別過駁作業(yè)中過駁作業(yè)過程中存在的系統(tǒng)級(jí)事故，主要包括人員受傷或死亡、船體受損、傳輸系統(tǒng)受損，具體見表1。人員受傷或死亡（A-1）包括船員、過駁工作人員；船體受損（A-2）包括船體的各個(gè)部分受損；傳輸系統(tǒng)受損（A-3）包括整個(gè)過駁系統(tǒng)的設(shè)備、設(shè)施。

表1 LNG船對(duì)船過駁作業(yè)過程的系統(tǒng)級(jí)事故Tab.1 System-level accidents during LNG ship-to-ship transfer operation

3.2 系統(tǒng)級(jí)危險(xiǎn)的確定

LNG船對(duì)船過駁作業(yè)過程存在的系統(tǒng)級(jí)危險(xiǎn)主要包括管內(nèi)壓力過高（H-1）、管內(nèi)流速過高（H-2）、液貨艙液位超過液貨艙最高限制液位（H-3）、系統(tǒng)內(nèi)高溫（H-4）、LNG泄漏（H-5），系統(tǒng)級(jí)危險(xiǎn)可能導(dǎo)致的系統(tǒng)級(jí)事故見表2。

表2 LNG船對(duì)船過駁系統(tǒng)的系統(tǒng)級(jí)危險(xiǎn)Tab.2 System-level hazards of the LNG ship-to-ship transfer system

3.3 不安全控制行為的識(shí)別

STAMP觀點(diǎn)認(rèn)為系統(tǒng)級(jí)危險(xiǎn)是系統(tǒng)行為缺乏有效控制的結(jié)果，通過對(duì)整個(gè)船對(duì)船過駁系統(tǒng)控制回路的各層級(jí)進(jìn)行分析，分析識(shí)別出可能導(dǎo)致風(fēng)險(xiǎn)的潛在不安全控制行為見表3?；赟TPA方法，主要從4類不安全控制行為角度，分析LNG船對(duì)船過駁系統(tǒng)中控制錯(cuò)誤或控制不足的系統(tǒng)性風(fēng)險(xiǎn)，主要包括：①?zèng)]有提供控制導(dǎo)致危險(xiǎn)；②提供了不充分控制導(dǎo)致危險(xiǎn)；③過早或過晚提供控制導(dǎo)致危險(xiǎn)；④控制過早停止或控制時(shí)間過長(zhǎng)導(dǎo)致風(fēng)險(xiǎn)。

3.4 不安全控制行為的致因分析

在識(shí)別了不安全控制行為導(dǎo)致的危險(xiǎn)之后，根據(jù)STPA分析方法的控制反饋模型，從2個(gè)方面逐一分析LNG船對(duì)船過駁不安全控制行為的致因因素和場(chǎng)景：①從控制路徑進(jìn)行分析，在控制器從傳感器獲取了正確的反饋數(shù)據(jù)，但是命令沒有被執(zhí)行器按要求執(zhí)行，從而導(dǎo)致最終的不安全行為；②從反饋路徑分析，傳感器從被動(dòng)對(duì)象獲取數(shù)據(jù)有誤，或者傳感器獲得了正確的數(shù)據(jù)，但是在反饋給控制器的過程中出現(xiàn)偏差、延時(shí)等，從而導(dǎo)致控制器向執(zhí)行器輸出了不安全的控制命令[16]。

1986年6月，對(duì)后世影響深遠(yuǎn)的《生物技術(shù)監(jiān)管協(xié)調(diào)框架》這一重要法律在美國頒布出來，該法除了正式確立實(shí)質(zhì)等同原則以外，還將轉(zhuǎn)基因這一問題納入了當(dāng)時(shí)既有的法律體系之內(nèi)進(jìn)行調(diào)整，規(guī)定聯(lián)邦政府的各部門根據(jù)各自職能分工合作，他們既分工負(fù)責(zé)，同時(shí)又相互協(xié)調(diào)合作，最終高效地管理著美國的轉(zhuǎn)基因食品的安全。[3]因此，在我國也建立此種政府各部門分工合作的管理模式并通過立法確立起來，是我們應(yīng)當(dāng)努力的一個(gè)方向。在法律體系上，美國由于已經(jīng)形成了相對(duì)完善的體系，因此監(jiān)管十分到位。所以，我國在進(jìn)行轉(zhuǎn)基因立法中，也應(yīng)采取此種體系式立法的方式，方便未來對(duì)新型轉(zhuǎn)基因食品安全立法的完善。

傳統(tǒng)的STPA致因場(chǎng)景分析模型非常抽象，將邏輯控制器和人工控制器組合在一起，未進(jìn)行區(qū)分，忽略了人工和自動(dòng)化機(jī)器之間的重要差異，分析模型見圖3。在現(xiàn)代復(fù)雜的系統(tǒng)中，控制算法和自動(dòng)化模型有時(shí)可以直接從外部改變而無需通過人工控制器，例如，通過互聯(lián)網(wǎng)自動(dòng)進(jìn)行軟件更新等，這些變化顯然存在潛在風(fēng)險(xiǎn)，特別是安全性問題，而這些問題在傳統(tǒng)的分析模型中都沒有體現(xiàn)，可能導(dǎo)致分析不完整。考慮到過駁系統(tǒng)中人員操作與軟件高度交互的特點(diǎn)，對(duì)傳統(tǒng)的STPA致因場(chǎng)景分析模型進(jìn)行改進(jìn)，形成更完整的分析模型，便于進(jìn)行分析[17]，見圖4。

圖3 傳統(tǒng)的致因場(chǎng)景分析模型Fig.3 Traditional causal-scenario-analysis model

圖4 改進(jìn)的STPA致因場(chǎng)景分析模型Fig.4 Improved STPAcausal-scene analysis model

在LNG船對(duì)船過駁作業(yè)中，管道內(nèi)高壓具有很高的風(fēng)險(xiǎn)，可以通過調(diào)節(jié)泄壓閥來減小壓力。安裝在管道上的壓力傳感器能反饋壓力信息給邏輯控制器，現(xiàn)場(chǎng)操作人員也可以觀察到傳感器的參數(shù)，得到反饋信息后邏輯控制器、操作室控制器、現(xiàn)場(chǎng)控制器可以發(fā)出控制指令。

為了全面地辨識(shí)導(dǎo)致系統(tǒng)危險(xiǎn)的致因因素和場(chǎng)景，以管內(nèi)高壓控制為例，建立過程模型的控制結(jié)構(gòu)圖，見圖5，并結(jié)合改進(jìn)的致因場(chǎng)景分析模型，對(duì)其進(jìn)行致因分析。當(dāng)管道內(nèi)有高壓危險(xiǎn)時(shí)，邏輯控制器可以向泄壓閥發(fā)出命令以釋放壓力，操作室人員可以了解操作狀態(tài)并可以向邏輯控制器發(fā)出命令以采取行動(dòng)，在邏輯控制器無法執(zhí)行操作時(shí)，也可以通知現(xiàn)場(chǎng)操作員采取手動(dòng)措施，以防止管道內(nèi)出現(xiàn)高壓風(fēng)險(xiǎn)。在此過程中存在的致因因素和場(chǎng)景分析結(jié)果見表4。

表4 管內(nèi)高壓致因因素和場(chǎng)景Tab.4 Causes and scenarios of high pressures in the pipe

圖5 LNG船對(duì)船過駁系統(tǒng)壓力控制過程模型的控制結(jié)構(gòu)圖Fig.5 Control structure of the pressure control process model of the LNG ship-to-ship transfer system

依次對(duì)系統(tǒng)中所有的危險(xiǎn)控制進(jìn)行致因分析，可得到22個(gè)致因因素，見表5。

表5 致因因素分析結(jié)果Tab.5 Cause analysis results

4 安全性控制建議措施

根據(jù)分析結(jié)果，LNG船對(duì)船過駁系統(tǒng)的安全性控制措施可以從系統(tǒng)的多個(gè)角度展開，下面針對(duì)5個(gè)系統(tǒng)級(jí)危險(xiǎn)，分別從LNG過駁系統(tǒng)的控制器、傳感器、執(zhí)行器和控制過程等場(chǎng)景致因因素角度提出安全性控制建議措施。

1）管內(nèi)壓力過高（H-1）。在作業(yè)開始操作之前，采取維護(hù)程序以檢查壓力傳感器的功能及可聽性/可見性，確保對(duì)各控制器能夠進(jìn)行準(zhǔn)確的信息反饋。使用一定年限后，傳感器要進(jìn)行維修、測(cè)試，達(dá)到使用年限要更換。對(duì)維修檢查的范圍應(yīng)進(jìn)行及時(shí)更新，使檢查手冊(cè)完善。檢查傳感器的設(shè)計(jì)是否有缺陷，壓力傳感器通過上下2電極正對(duì)面積的變化或介質(zhì)層間距的變化導(dǎo)致電容變化進(jìn)行壓力感應(yīng)，若忽略電容極板的場(chǎng)邊效應(yīng)，電容計(jì)算見式（1）。

式中：A為電極正對(duì)面積，cm2；d為介質(zhì)層間距，mm；ε0為電容空間的絕對(duì)介電常數(shù)；εr為相對(duì)介電常數(shù)。當(dāng)相對(duì)間距為Δd時(shí)，相對(duì)的電容變化計(jì)算見式（2）。

式中：C0為電容值，pF；d0為介質(zhì)層間距，mm。

2）管內(nèi)流速過高（H-2）確保管內(nèi)的流速傳感器的正常工作，在流速過高的情況下能夠及時(shí)反饋至控制器進(jìn)行閥門開關(guān)大小自動(dòng)控制及泵的流速控制。管道內(nèi)液化天然氣流經(jīng)閥門所造成的壓降，計(jì)算見式（3）～（4）。

式中：-Δp為閥門所產(chǎn)生的壓降，Pa；ΔPL為全部流體為液相時(shí)閥門產(chǎn)生的壓降，Pa；?L為摩擦因子；ρL為液相流體平均密度，kg/m3；ρG為氣相流體平均密度，kg/m3；x為干度。對(duì)球閥，Bl取值為2.3，其他閥可取2[18]。

邏輯控制器在收到流速傳感器的反饋后，及時(shí)通過向閥門發(fā)出信號(hào)，調(diào)整其造成的阻力、控制閥門對(duì)LNG產(chǎn)生的壓降，從而控制流速。

操作員也應(yīng)加強(qiáng)對(duì)每1個(gè)控制閥的工作模式、邏輯控制器確切的控制執(zhí)行動(dòng)作的學(xué)習(xí)和熟練程度。保證在操作室控制器和現(xiàn)場(chǎng)控制器之間良好的溝通交流，當(dāng)遇到緊急情況時(shí)，能夠快速響應(yīng)，避免事故的發(fā)生。同時(shí)合理安排操作員的工作時(shí)間，避免疲勞工作和工作壓力過大的情況。對(duì)于現(xiàn)場(chǎng)控制器，操作人員更應(yīng)該與現(xiàn)場(chǎng)實(shí)際相結(jié)合，接受每個(gè)組件和閥門手動(dòng)操作的培訓(xùn)，保證工作無差錯(cuò)。

3）液貨艙液位超過液貨艙最高限制液位（H-3）。對(duì)液貨艙的溫度、壓力、液面進(jìn)行及時(shí)的監(jiān)控，確保邏輯控制器系統(tǒng)的工作穩(wěn)定性，避免在軟件、硬件交互過程中的系統(tǒng)控制故障。液貨艙液位高度是監(jiān)控測(cè)量裝置的主要監(jiān)控內(nèi)容，液貨艙液位高度模型見式（5）～（6）。

式中：Vi為第i號(hào)液貨艙現(xiàn)有貨物體積容量，m3；Vi0為第i號(hào)液貨艙上一次計(jì)算結(jié)束時(shí)貨物體積容量，m3；Qi為第i號(hào)液貨艙裝卸貨體積流量，m3/h；t為時(shí)間間隔，s；Hi為第i號(hào)液貨艙液位高度，m；f為液貨體積和高度的關(guān)系函數(shù)。

當(dāng)達(dá)到警戒值時(shí)，邏輯控制器應(yīng)立即控制停止作業(yè)，及時(shí)做出壓力及溫度的控制調(diào)整，對(duì)BOG氣體進(jìn)行再液化，同時(shí)采取對(duì)液貨艙進(jìn)行噴淋等相應(yīng)的措施。

4）系統(tǒng)內(nèi)高溫（H-4）。系統(tǒng)內(nèi)高溫會(huì)造成LNG的大量氣化，導(dǎo)致管道內(nèi)、液貨艙內(nèi)壓力驟增，同時(shí)還有引發(fā)火災(zāi)的危險(xiǎn)。在輸送系統(tǒng)內(nèi)，由于LNG是-162℃的低溫液體，可采用鉑電阻類型的低溫管壁溫度測(cè)量傳感器，低溫傳輸管道傳熱過程屬于一維（徑向）非穩(wěn)態(tài)傳熱，對(duì)于裸裝貼壁式溫度傳感器，可將其看成是圓柱體的一部分，其傳熱數(shù)學(xué)模型見式（7）～（8）。

式中：T為溫度，K；t為時(shí)間，s；ρ為材料密度，kg/m3；CP為材料熱容系數(shù)，λ為材料導(dǎo)熱系數(shù)；r為管道內(nèi)壁與中心軸的距離，mm；?i為內(nèi)熱源項(xiàng)。

當(dāng)鉑電阻溫度傳感器報(bào)警，反饋至人工控制器和邏輯控制器，應(yīng)立即控制過駁作業(yè)停止，同時(shí)檢修故障，查明故障造成高溫的原因。所以在作業(yè)開始之前，檢修傳感器的工作狀態(tài)十分有必要，確保系統(tǒng)內(nèi)各溫度傳感器的正常工作，防止因機(jī)械故障導(dǎo)致的局部高溫，引發(fā)火災(zāi)。

5）LNG泄漏（H-5）。要建立健全的系統(tǒng)管道巡查、維護(hù)等制度，按照規(guī)定，定期檢查安全閥、泄壓閥、ERS等閥門執(zhí)行器，也檢查系統(tǒng)管道的腐蝕和老化，防止有泄漏的危險(xiǎn)。

可使用超聲導(dǎo)波檢測(cè)技術(shù)來檢查管路的腐蝕、老化、泄漏等問題。其原理是：在管路的一段添加換能器將其他形式的能量轉(zhuǎn)化為高頻振動(dòng)超聲導(dǎo)波并沿管道向前傳播。當(dāng)聲波經(jīng)過泄露位置、法蘭處、管道端面時(shí)會(huì)產(chǎn)生回波，根據(jù)缺陷回波和端面回波的時(shí)間差異可計(jì)算出缺陷位置，根據(jù)缺陷波和原始激勵(lì)波回波幅度可估算出泄漏點(diǎn)大小，泄漏點(diǎn)的位置計(jì)算見式（9）。

式中：X為泄漏點(diǎn)到信號(hào)接收點(diǎn)距離，m；c為導(dǎo)波在管道中的傳播速度，m/s；Δt為接受到原始激勵(lì)信號(hào)和缺陷回波信號(hào)的時(shí)間差值，s。通過檢測(cè)，可以在作業(yè)之前提早查明管道泄漏位置，采取防范措施，防止危險(xiǎn)的發(fā)生[19]。當(dāng)泄漏發(fā)生時(shí)，可及時(shí)采取集液盤收集、圍護(hù)等應(yīng)急防護(hù)措施，控制泄漏的范圍，減小傷亡與損失，同時(shí)控制明火，防止因甲烷氣體濃度達(dá)到LFL和UFL中間值而發(fā)生燃燒，造成更大的事故。

5 結(jié)束語

本文通過對(duì)LNG船對(duì)船過駁作業(yè)過程進(jìn)行研究分析，發(fā)現(xiàn)其包含大量人、軟件、環(huán)境、設(shè)備組件的交互與控制過程，存在潛在安全性問題，將LNG船對(duì)船過駁作業(yè)的安全性問題當(dāng)作是1個(gè)系統(tǒng)性安全問題，提出采用基于STAMP/STPA方法進(jìn)行安全性分析，并對(duì)傳統(tǒng)的STPA致因場(chǎng)景分析模型進(jìn)行改進(jìn)，構(gòu)建了考慮人工控制器的過駁系統(tǒng)STAP致因分析模型，識(shí)別了更多的潛在不安全的控制行為，并從控制缺陷、反饋缺陷和協(xié)調(diào)缺陷3個(gè)方面提出了22個(gè)關(guān)鍵致因因素；最后，結(jié)合各部件、傳感器等控制原理，針對(duì)5個(gè)系統(tǒng)級(jí)危險(xiǎn)提出相應(yīng)的安全性控制建議措施。

LNG船對(duì)船過駁是1種新興的作業(yè)形式，作業(yè)時(shí)間長(zhǎng)、難度大，對(duì)其安全性研究尚且不足，本文提出的方法在過駁作業(yè)安全性分析上，克服了傳統(tǒng)安全性分析方法中對(duì)過駁作業(yè)控制器、傳感器及各部件的相關(guān)性和耦合性及人為操作控制安全因素考慮不充分等問題，主要針對(duì)控制過程中潛在的不安全因素進(jìn)行分析，辨識(shí)其致因因素和場(chǎng)景。通過正確的控制行為來提高系統(tǒng)的安全性，彌補(bǔ)了傳統(tǒng)安全性分析方法存在的缺陷。