基于改進LOPA 分析的油氣站場風險評價研究

李縉 王春潔 常振磊 武清泉 宋明垚 劉志娟

1大慶油田設計院有限公司

2中國石油華北油田公司二連分公司

3中國石油華北油田公司第一采油廠

隨著國民經濟的快速發展，我國已建成西氣東輸、中俄東線、中緬油氣、中亞天然氣等一系列縱橫東西、互聯互通的油氣管網[1]。其中，保護層（LOPA）分析作為一種半定量的分析方法被廣泛應用于油氣站場工藝流程風險評價中，它是在危險與可操作性分性（HAZOP）的基礎上進一步對具體事故場景風險進行量化分析，用于評估保護層的有效性和確定安全儀表回路（SIF）的安全完整性等級，并可識別SIF 回路的安全關鍵動作[2-3]。目前，LOPA 分析過程中對于初始事件只給出了確定原則，未給出初始事件具體的發生頻率，也未對多初始事件引發同一事故后果進行分析；保護層分析中未考慮非獨立保護層的識別，使評價結果過于保守，造成不必要的浪費和資金投入。基于此，根據初始事件的失效類型，分別對初始事件發生頻率進行修正，引入后果減緩系數計算非獨立保護層失效概率，并通過實例驗證計算結果。研究結果可為油氣站場的安全評價提供理論依據和實際參考。

1 LOPA 分析

LOPA 分析中需考慮事故場景發生的原因、后果、時間序列、使能條件和獨立保護層等相關信息[4-5]。目前，石油石化行業普遍采用低要求模式[6]，其事故場景導致后果發生的頻率計算公式為

式中：fiC為初始事件i在后果C 上的發生頻率，a-1；fiI為初始事件i發生的頻率，a-1；fiE為使能事件或條件發生概率；Pig為點火概率；Pex為人員暴露概率；Pd為人員傷亡概率；PFDij為初始事件i中第j個獨立保護層要求時危險失效概率。

AQ/T 3054—2015 中的附錄E 給出了部分初始事件的典型頻率值，但其值為一個區間數，具體數據還需要通過專家判斷。很多時候企業為降低SIF回路的SIL 等級會選擇較低的初始事件發生頻率值，造成事故發生時SIF 回路無法針對場景作出足夠響應，故需對初始事件發生頻率進行修正[7]。此外，由于獨立保護層需滿足有效性、獨立性和可審查性的屬性，規范中要求對于部分不滿足屬性的保護層直接認定為非獨立保護層，造成了LOPA 分析結果的保守性，故也需對非獨立保護層進行分析。

2 初始事件發生頻率

通過對常見的初始事件進行失效分析，得到初始事件類型主要有設備失效、控制系統失效、人因失效和外部事件等，其中外部事件多由第三方破壞造成，具有隨機性和可不預見性，在此不予考慮。

2.1 設備失效

對于設備失效，參照API 581 的相關算法[8]，設備失效概率F設備為

式中：FG為同類設備失效概率；FE為設備修正系數；FM為管理系統評價系數。

對于同一個油氣站場而言，FG和FM的取值相對固定，影響設備失效概率的主要為FE。該參數與設備的技術、工藝、環境等因素相關，用于衡量待評價設備偏離同類設備失效概率的程度，其計算由技術因子、通用因子、機械因子和工藝因子等四部分組成（圖1）。技術因子根據設備損傷機理和技術狀態進行評估和篩選，是實際環境中特定失效機制對設備失效概率的影響程度。目前油氣站場內設備的損傷機理主要為腐蝕減薄，根據腐蝕速率、運行時間和設備壁厚計算腐蝕減薄因子，在腐蝕速率的確定上通常采用現場掛片或無損檢測的相關數據，并利用最小二乘法進行擬合。但該方法中會出現大量的離群點，故采用二次樣條曲線的方式進行擬合，得到任意時間的腐蝕速率，使腐蝕減薄因子的計算更加準確。通用因子、機械因子和工藝因子均與外部工藝環境相關，可通過設備運行數據和外部環境的不斷變化進行動態更新。

圖1 設備修正系數計算Fig.1 Calculation of equipment correction coefficient

2.2 控制系統失效

對于控制系統失效，參照SIL 驗證中IEC-61508 的簡易公式計算方法，其失效概率與測試周期、修復時間以及邏輯結構等因素相關，以冗余表決結構1oo1 型（即任何危險失效均會導致安全功能失效）為例，其單個子系統的失效概率PFDavg為

式中：λDU為未檢測到的危險失效率，h-1；λDD為檢測到的危險失效率，h-1；λD為危險失效率，h-1；TI為功能測試周期，h；MTTR為平均修復時間，h。

如果是整個控制系統失效，則失效概率為傳感器子系統、邏輯控制子系統和執行元件子系統的失效概率和。

2.3 人因失效

根據以往發生的事故原因統計，人的不穩定因素占據事故原因的比例較大，操作人員的工作狀態與心情、工作環境、疲勞程度、抗壓能力、技能水平等諸多因素相關。因此，對于人因失效參照人因可靠性的相關理論，將人的行為認知分為觀察、決策和執行三個過程，采用人因事件樹進行分析（圖2）。其中，觀察和執行階段易受外界情景的影響導致誤操作，故采用依賴情景環境輸出的認知可靠性和失誤分析方法（CREAM）計算人因失效概率[9]；決策階段與現場的決策響應時間相關，響應時間越短，人因失效概率越大，故采用涉及時間參數變量的認知可靠性模型（HCR）計算人因失效概率[10-11]。CREAM+HCR 模型可結合不同站場的實際情況，通過合理確定權重因子對人因失效概率進行計算，為風險分析提供準確數據。

圖2 人因事件樹Fig.2 Human error event tree

2.4 多初始事件導致同一后果

在大多數事故場景中，初始事件之間并不獨立，存在多個初始事件對應同一后果，傳統計算中往往將各獨立初始事件的發生頻率相加，得到總體場景的發生頻率。

式中：f1為初始事件1 發生的頻率；fn為初始事件n發生的頻率。

LOPA 分析的原則是將風險降低到企業可容忍風險水平，不是徹底消除風險。當初始事件之間存在相關性或同一保護層可承擔多個初始事件對應的后果時，保護層失效概率將會被重復計算，導致初始事件發生頻率計算結果過大，增加冗余保護層，造成經濟損失。故對于該情況采用最大值法，只需取發生頻率最高的1 項即可。

對于部分初始事件獨立，而其余部分初始事件存在相關性或共用保護層時，可將2 部分初始事件發生頻率分別按照求和法和最大值法計算，然后將兩種處理結果相加。

3 非獨立保護層

在LOPA 分析中，一個初始事件往往包含多個保護層，典型的保護層有本質安全設計、基本過程控制系統、關鍵報警與人員干預、安全儀表系統、物理保護、釋放后保護、工廠及社區應急響應等。對于傳統保護層的認定不是生效就是失效，沒有部分失效，這對于基本過程控制系統、安全儀表系統等主動型保護層而言，可以正確識別保護層；但對于非獨立的被動保護層（如防火堤、安全閥、防爆墻等）而言，則容易被忽略。原因是這部分保護層均在事故發生后起作用，效果不是降低初始事件發生頻率而是降低事故發生后果。如保護層生效，事故后果不一定完全減緩；如失效，事故后果也有可能被減緩。基于此，引入后果減緩系數β來衡量事故后果被減緩的程度。

式中：C1為未啟動非獨立保護層時的后果嚴重程度；C2為啟動非獨立保護層時的后果嚴重程度。

后果減緩系數β在（0，1）區間，但不能取0和1。因為當β=1 時，說明風險沒有被減緩，保護層已失效，此時不構成保護層；當β=0 時，說明風險被完全減緩，保護層起到了完全保護的作用，此時保護層為獨立保護層。

4 實例分析

某站場內油水混合物經三相分離器處理后，水進入水區處理，氣經氣線管道進加熱爐燃燒以提供站內熱量，原油進入油區儲罐進行沉降處理。油區儲罐液位受基本過程控制系統（BPCS）控制，儲罐容量為1 000 m3。假設發生儲罐液位高，儲罐出現溢流現象，導致人員傷亡。對該場景進行危險與可操作性分析，結果見表1。

表1 HAZOP 分析記錄Tab.1 HAZOP analysis record

邀請工藝、消防、給排水、儀表等相關專業的人員組成HAZOP 分析小組，通過分析確定該場景三個初始事件，分別計算其失效概率。對于上游分離器，根據規范要求每6 年檢驗一次，所屬企業已按照要求進行全面的內、外檢測。根據歷史數據得到外腐蝕速率為0.027 mm/a，內腐蝕速率為0.165 mm/a。根據API581 確定同類設備的失效概率為1×10-2，腐蝕減薄次因子為2，應力腐蝕損傷次因子為10，則技術因子為12；分離器的裝置條件與行業標準相符，冬季外界溫度在-5～0 ℃之間，站場處于非地震區域，則通用因子為1；分離器的接管數量為6，分離器自建造以來，相關制造規范未作出重大修改，目前服役年限占設計壽命的20%，運行壓力和設計壓力的比值為0.9～1 之間，則機械因子為2；分離器計劃停車周期小于3 次/年，泄壓閥誤期維護狀態小于5%，泄壓閥無大量結垢，耐腐蝕且清潔度較好，則工藝因子為-2；參考API 581 中規定的13 類管理問題的101 個子問題對該站場內的管理人員進行問卷調查，確定該站場的管理系統評價系數為0.58。則該分離器故障的發生頻率為1×10-4×（12+1+2-2）×0.58=0.075 4（a-1）。

對于液位傳感器失效，根據其安全功能認證證書，其低失效模式下的失效數據λDU=2×10-5、λDD=1.5×10-5，功能測試周期TI=8 760 h，平均修復時間MTTR=8 h，且傳感器與邏輯控制器、執行元件的邏輯模式為1ool 結構，根據公式（3）～（4），計算液位傳感器失效的發生頻率為0.065 9 a-1。

對于人員誤操作導致進液過多，從觀察、決策和執行等三個方面分析。觀察階段失效模式為未觀察到液位報警信號和觀察液位信號有誤等兩種；決策階段中的應急響應時間定為30 s，由該站人員實際情況，確定行為類型為規則性，進而確定威布爾分布參數的取值；執行階段的失效模式有未手動關停上游閥門。根據站內應急演練結果，確定各失效模式對應的基本失效概率（表2），由此計算出觀察、決策和執行階段的失效概率分別為0.021 56、0.027 85、0.004 865 4，進而計算其總的人員誤操作發生頻率為0.052 6 a-1。

表2 各失效模式下的基本失效概率Tab.2 Basic failure probability in each failure mode

根據HAZOP 分析結果，三個初始事件中，人員誤操作可能是由于液位傳感器失效造成的，這兩個初始事件存在相關性，而與上游分離器故障的相關性不大，故總的初始事件發生頻率為0.075 4+max（0.065 9，0.052 6）=0.141 3(a-1)。

由于液位傳感器屬于BPCS 系統，故所有進入該BPCS 的回路均不能構成獨立保護層。目前該場景只有防火堤一個保護層，其失效概率為10-2a-1，防火堤有效容積為100 m3，現溢流量為125 m3，按照保護層應滿足有效性、獨立性和可審查性的屬性，該保護層不能認定為獨立保護層。但該保護層并不是完全不起作用，可以部分減緩事故發生的后果，根據公式（7）確定后果減緩系數β=25/125=0.2，即該非獨立保護層起到了80%的作用，失效概率修改為（1-10-2）×0.2=0.198（a-1）。

最終，對該場景進行LOPA 分析（表3），后果發生頻率為3.497×10-3a-1，根據人員傷亡確定后果嚴重程度為4 級，該場景的風險可接受頻率為10-4a-1，則該場景需增加新的保護層以降低后果發生頻率。按照傳統方法不考慮各初始事件之間的關系，且不考慮防火堤保護層的有效性，后果發生頻率計算結果為7.271×10-3a-1，較改進后多3.774×10-3a-1，雖然數據上未出現數量級的變化，但仍說明需要增加更多的保護層才能降低后果發生頻率，這也意味著浪費更多的資金投入。當初始事件較多，或涉及了更多的非獨立保護層時，改進前與改進后的計算結果差異會更大。

表3 LOPA 分析結果Tab.3 LOPA analysis results

5 結論

（1）對LOPA 分析中初始事件發生頻率進行修正，其中設備失效概率采用API581 計算，控制系統失效概率采用SIL 等級驗證方法計算，人因失效概率采用CREAM+HCR 模型相結合的方法計算，實現了對初始事件發生頻率的安全評價，彌補了目前LOPA 分析評價技術的不足。

（2）對多初始事件引發同一后果的發生頻率進行修正，引入后果減緩系數計算非獨立保護層的失效概率，解決了傳統方法中未考慮保護層部分有效的問題，通過實例分析，改進后的風險分析后果發生頻率較改進前有所降低，評價結果更具科學性和客觀性。