基于改進LOPA 分析的油氣站場風(fēng)險評價研究

李縉 王春潔 常振磊 武清泉 宋明垚 劉志娟

1大慶油田設(shè)計院有限公司

2中國石油華北油田公司二連分公司

3中國石油華北油田公司第一采油廠

隨著國民經(jīng)濟的快速發(fā)展，我國已建成西氣東輸、中俄東線、中緬油氣、中亞天然氣等一系列縱橫東西、互聯(lián)互通的油氣管網(wǎng)[1]。其中，保護層（LOPA）分析作為一種半定量的分析方法被廣泛應(yīng)用于油氣站場工藝流程風(fēng)險評價中，它是在危險與可操作性分性（HAZOP）的基礎(chǔ)上進一步對具體事故場景風(fēng)險進行量化分析，用于評估保護層的有效性和確定安全儀表回路（SIF）的安全完整性等級，并可識別SIF 回路的安全關(guān)鍵動作[2-3]。目前，LOPA 分析過程中對于初始事件只給出了確定原則，未給出初始事件具體的發(fā)生頻率，也未對多初始事件引發(fā)同一事故后果進行分析；保護層分析中未考慮非獨立保護層的識別，使評價結(jié)果過于保守，造成不必要的浪費和資金投入?；诖?，根據(jù)初始事件的失效類型，分別對初始事件發(fā)生頻率進行修正，引入后果減緩系數(shù)計算非獨立保護層失效概率，并通過實例驗證計算結(jié)果。研究結(jié)果可為油氣站場的安全評價提供理論依據(jù)和實際參考。

1 LOPA 分析

LOPA 分析中需考慮事故場景發(fā)生的原因、后果、時間序列、使能條件和獨立保護層等相關(guān)信息[4-5]。目前，石油石化行業(yè)普遍采用低要求模式[6]，其事故場景導(dǎo)致后果發(fā)生的頻率計算公式為

式中：fiC為初始事件i在后果C 上的發(fā)生頻率，a-1；fiI為初始事件i發(fā)生的頻率，a-1；fiE為使能事件或條件發(fā)生概率；Pig為點火概率；Pex為人員暴露概率；Pd為人員傷亡概率；PFDij為初始事件i中第j個獨立保護層要求時危險失效概率。

AQ/T 3054—2015 中的附錄E 給出了部分初始事件的典型頻率值，但其值為一個區(qū)間數(shù)，具體數(shù)據(jù)還需要通過專家判斷。很多時候企業(yè)為降低SIF回路的SIL 等級會選擇較低的初始事件發(fā)生頻率值，造成事故發(fā)生時SIF 回路無法針對場景作出足夠響應(yīng)，故需對初始事件發(fā)生頻率進行修正[7]。此外，由于獨立保護層需滿足有效性、獨立性和可審查性的屬性，規(guī)范中要求對于部分不滿足屬性的保護層直接認(rèn)定為非獨立保護層，造成了LOPA 分析結(jié)果的保守性，故也需對非獨立保護層進行分析。

2 初始事件發(fā)生頻率

通過對常見的初始事件進行失效分析，得到初始事件類型主要有設(shè)備失效、控制系統(tǒng)失效、人因失效和外部事件等，其中外部事件多由第三方破壞造成，具有隨機性和可不預(yù)見性，在此不予考慮。

2.1 設(shè)備失效

對于設(shè)備失效，參照API 581 的相關(guān)算法[8]，設(shè)備失效概率F設(shè)備為

式中：FG為同類設(shè)備失效概率；FE為設(shè)備修正系數(shù)；FM為管理系統(tǒng)評價系數(shù)。

對于同一個油氣站場而言，F(xiàn)G和FM的取值相對固定，影響設(shè)備失效概率的主要為FE。該參數(shù)與設(shè)備的技術(shù)、工藝、環(huán)境等因素相關(guān)，用于衡量待評價設(shè)備偏離同類設(shè)備失效概率的程度，其計算由技術(shù)因子、通用因子、機械因子和工藝因子等四部分組成（圖1）。技術(shù)因子根據(jù)設(shè)備損傷機理和技術(shù)狀態(tài)進行評估和篩選，是實際環(huán)境中特定失效機制對設(shè)備失效概率的影響程度。目前油氣站場內(nèi)設(shè)備的損傷機理主要為腐蝕減薄，根據(jù)腐蝕速率、運行時間和設(shè)備壁厚計算腐蝕減薄因子，在腐蝕速率的確定上通常采用現(xiàn)場掛片或無損檢測的相關(guān)數(shù)據(jù)，并利用最小二乘法進行擬合。但該方法中會出現(xiàn)大量的離群點，故采用二次樣條曲線的方式進行擬合，得到任意時間的腐蝕速率，使腐蝕減薄因子的計算更加準(zhǔn)確。通用因子、機械因子和工藝因子均與外部工藝環(huán)境相關(guān)，可通過設(shè)備運行數(shù)據(jù)和外部環(huán)境的不斷變化進行動態(tài)更新。

圖1 設(shè)備修正系數(shù)計算Fig.1 Calculation of equipment correction coefficient

2.2 控制系統(tǒng)失效

對于控制系統(tǒng)失效，參照SIL 驗證中IEC-61508 的簡易公式計算方法，其失效概率與測試周期、修復(fù)時間以及邏輯結(jié)構(gòu)等因素相關(guān)，以冗余表決結(jié)構(gòu)1oo1 型（即任何危險失效均會導(dǎo)致安全功能失效）為例，其單個子系統(tǒng)的失效概率PFDavg為

式中：λDU為未檢測到的危險失效率，h-1；λDD為檢測到的危險失效率，h-1；λD為危險失效率，h-1；TI為功能測試周期，h；MTTR為平均修復(fù)時間，h。

如果是整個控制系統(tǒng)失效，則失效概率為傳感器子系統(tǒng)、邏輯控制子系統(tǒng)和執(zhí)行元件子系統(tǒng)的失效概率和。

2.3 人因失效

根據(jù)以往發(fā)生的事故原因統(tǒng)計，人的不穩(wěn)定因素占據(jù)事故原因的比例較大，操作人員的工作狀態(tài)與心情、工作環(huán)境、疲勞程度、抗壓能力、技能水平等諸多因素相關(guān)。因此，對于人因失效參照人因可靠性的相關(guān)理論，將人的行為認(rèn)知分為觀察、決策和執(zhí)行三個過程，采用人因事件樹進行分析（圖2）。其中，觀察和執(zhí)行階段易受外界情景的影響導(dǎo)致誤操作，故采用依賴情景環(huán)境輸出的認(rèn)知可靠性和失誤分析方法（CREAM）計算人因失效概率[9]；決策階段與現(xiàn)場的決策響應(yīng)時間相關(guān)，響應(yīng)時間越短，人因失效概率越大，故采用涉及時間參數(shù)變量的認(rèn)知可靠性模型（HCR）計算人因失效概率[10-11]。CREAM+HCR 模型可結(jié)合不同站場的實際情況，通過合理確定權(quán)重因子對人因失效概率進行計算，為風(fēng)險分析提供準(zhǔn)確數(shù)據(jù)。

圖2 人因事件樹Fig.2 Human error event tree

2.4 多初始事件導(dǎo)致同一后果

在大多數(shù)事故場景中，初始事件之間并不獨立，存在多個初始事件對應(yīng)同一后果，傳統(tǒng)計算中往往將各獨立初始事件的發(fā)生頻率相加，得到總體場景的發(fā)生頻率。

式中：f1為初始事件1 發(fā)生的頻率；fn為初始事件n發(fā)生的頻率。

LOPA 分析的原則是將風(fēng)險降低到企業(yè)可容忍風(fēng)險水平，不是徹底消除風(fēng)險。當(dāng)初始事件之間存在相關(guān)性或同一保護層可承擔(dān)多個初始事件對應(yīng)的后果時，保護層失效概率將會被重復(fù)計算，導(dǎo)致初始事件發(fā)生頻率計算結(jié)果過大，增加冗余保護層，造成經(jīng)濟損失。故對于該情況采用最大值法，只需取發(fā)生頻率最高的1 項即可。

對于部分初始事件獨立，而其余部分初始事件存在相關(guān)性或共用保護層時，可將2 部分初始事件發(fā)生頻率分別按照求和法和最大值法計算，然后將兩種處理結(jié)果相加。

3 非獨立保護層

在LOPA 分析中，一個初始事件往往包含多個保護層，典型的保護層有本質(zhì)安全設(shè)計、基本過程控制系統(tǒng)、關(guān)鍵報警與人員干預(yù)、安全儀表系統(tǒng)、物理保護、釋放后保護、工廠及社區(qū)應(yīng)急響應(yīng)等。對于傳統(tǒng)保護層的認(rèn)定不是生效就是失效，沒有部分失效，這對于基本過程控制系統(tǒng)、安全儀表系統(tǒng)等主動型保護層而言，可以正確識別保護層；但對于非獨立的被動保護層（如防火堤、安全閥、防爆墻等）而言，則容易被忽略。原因是這部分保護層均在事故發(fā)生后起作用，效果不是降低初始事件發(fā)生頻率而是降低事故發(fā)生后果。如保護層生效，事故后果不一定完全減緩；如失效，事故后果也有可能被減緩。基于此，引入后果減緩系數(shù)β來衡量事故后果被減緩的程度。

式中：C1為未啟動非獨立保護層時的后果嚴(yán)重程度；C2為啟動非獨立保護層時的后果嚴(yán)重程度。

后果減緩系數(shù)β在（0，1）區(qū)間，但不能取0和1。因為當(dāng)β=1 時，說明風(fēng)險沒有被減緩，保護層已失效，此時不構(gòu)成保護層；當(dāng)β=0 時，說明風(fēng)險被完全減緩，保護層起到了完全保護的作用，此時保護層為獨立保護層。

4 實例分析

某站場內(nèi)油水混合物經(jīng)三相分離器處理后，水進入水區(qū)處理，氣經(jīng)氣線管道進加熱爐燃燒以提供站內(nèi)熱量，原油進入油區(qū)儲罐進行沉降處理。油區(qū)儲罐液位受基本過程控制系統(tǒng)（BPCS）控制，儲罐容量為1 000 m3。假設(shè)發(fā)生儲罐液位高，儲罐出現(xiàn)溢流現(xiàn)象，導(dǎo)致人員傷亡。對該場景進行危險與可操作性分析，結(jié)果見表1。

表1 HAZOP 分析記錄Tab.1 HAZOP analysis record

邀請工藝、消防、給排水、儀表等相關(guān)專業(yè)的人員組成HAZOP 分析小組，通過分析確定該場景三個初始事件，分別計算其失效概率。對于上游分離器，根據(jù)規(guī)范要求每6 年檢驗一次，所屬企業(yè)已按照要求進行全面的內(nèi)、外檢測。根據(jù)歷史數(shù)據(jù)得到外腐蝕速率為0.027 mm/a，內(nèi)腐蝕速率為0.165 mm/a。根據(jù)API581 確定同類設(shè)備的失效概率為1×10-2，腐蝕減薄次因子為2，應(yīng)力腐蝕損傷次因子為10，則技術(shù)因子為12；分離器的裝置條件與行業(yè)標(biāo)準(zhǔn)相符，冬季外界溫度在-5～0 ℃之間，站場處于非地震區(qū)域，則通用因子為1；分離器的接管數(shù)量為6，分離器自建造以來，相關(guān)制造規(guī)范未作出重大修改，目前服役年限占設(shè)計壽命的20%，運行壓力和設(shè)計壓力的比值為0.9～1 之間，則機械因子為2；分離器計劃停車周期小于3 次/年，泄壓閥誤期維護狀態(tài)小于5%，泄壓閥無大量結(jié)垢，耐腐蝕且清潔度較好，則工藝因子為-2；參考API 581 中規(guī)定的13 類管理問題的101 個子問題對該站場內(nèi)的管理人員進行問卷調(diào)查，確定該站場的管理系統(tǒng)評價系數(shù)為0.58。則該分離器故障的發(fā)生頻率為1×10-4×（12+1+2-2）×0.58=0.075 4（a-1）。

對于液位傳感器失效，根據(jù)其安全功能認(rèn)證證書，其低失效模式下的失效數(shù)據(jù)λDU=2×10-5、λDD=1.5×10-5，功能測試周期TI=8 760 h，平均修復(fù)時間MTTR=8 h，且傳感器與邏輯控制器、執(zhí)行元件的邏輯模式為1ool 結(jié)構(gòu)，根據(jù)公式（3）～（4），計算液位傳感器失效的發(fā)生頻率為0.065 9 a-1。

對于人員誤操作導(dǎo)致進液過多，從觀察、決策和執(zhí)行等三個方面分析。觀察階段失效模式為未觀察到液位報警信號和觀察液位信號有誤等兩種；決策階段中的應(yīng)急響應(yīng)時間定為30 s，由該站人員實際情況，確定行為類型為規(guī)則性，進而確定威布爾分布參數(shù)的取值；執(zhí)行階段的失效模式有未手動關(guān)停上游閥門。根據(jù)站內(nèi)應(yīng)急演練結(jié)果，確定各失效模式對應(yīng)的基本失效概率（表2），由此計算出觀察、決策和執(zhí)行階段的失效概率分別為0.021 56、0.027 85、0.004 865 4，進而計算其總的人員誤操作發(fā)生頻率為0.052 6 a-1。

表2 各失效模式下的基本失效概率Tab.2 Basic failure probability in each failure mode

根據(jù)HAZOP 分析結(jié)果，三個初始事件中，人員誤操作可能是由于液位傳感器失效造成的，這兩個初始事件存在相關(guān)性，而與上游分離器故障的相關(guān)性不大，故總的初始事件發(fā)生頻率為0.075 4+max（0.065 9，0.052 6）=0.141 3(a-1)。

由于液位傳感器屬于BPCS 系統(tǒng)，故所有進入該BPCS 的回路均不能構(gòu)成獨立保護層。目前該場景只有防火堤一個保護層，其失效概率為10-2a-1，防火堤有效容積為100 m3，現(xiàn)溢流量為125 m3，按照保護層應(yīng)滿足有效性、獨立性和可審查性的屬性，該保護層不能認(rèn)定為獨立保護層。但該保護層并不是完全不起作用，可以部分減緩事故發(fā)生的后果，根據(jù)公式（7）確定后果減緩系數(shù)β=25/125=0.2，即該非獨立保護層起到了80%的作用，失效概率修改為（1-10-2）×0.2=0.198（a-1）。

最終，對該場景進行LOPA 分析（表3），后果發(fā)生頻率為3.497×10-3a-1，根據(jù)人員傷亡確定后果嚴(yán)重程度為4 級，該場景的風(fēng)險可接受頻率為10-4a-1，則該場景需增加新的保護層以降低后果發(fā)生頻率。按照傳統(tǒng)方法不考慮各初始事件之間的關(guān)系，且不考慮防火堤保護層的有效性，后果發(fā)生頻率計算結(jié)果為7.271×10-3a-1，較改進后多3.774×10-3a-1，雖然數(shù)據(jù)上未出現(xiàn)數(shù)量級的變化，但仍說明需要增加更多的保護層才能降低后果發(fā)生頻率，這也意味著浪費更多的資金投入。當(dāng)初始事件較多，或涉及了更多的非獨立保護層時，改進前與改進后的計算結(jié)果差異會更大。

表3 LOPA 分析結(jié)果Tab.3 LOPA analysis results

5 結(jié)論

（1）對LOPA 分析中初始事件發(fā)生頻率進行修正，其中設(shè)備失效概率采用API581 計算，控制系統(tǒng)失效概率采用SIL 等級驗證方法計算，人因失效概率采用CREAM+HCR 模型相結(jié)合的方法計算，實現(xiàn)了對初始事件發(fā)生頻率的安全評價，彌補了目前LOPA 分析評價技術(shù)的不足。

（2）對多初始事件引發(fā)同一后果的發(fā)生頻率進行修正，引入后果減緩系數(shù)計算非獨立保護層的失效概率，解決了傳統(tǒng)方法中未考慮保護層部分有效的問題，通過實例分析，改進后的風(fēng)險分析后果發(fā)生頻率較改進前有所降低，評價結(jié)果更具科學(xué)性和客觀性。