HAZOP实战法则与演练(2)(第8、9章)

HAZOP实战法则与演练（2）HAZOP培训3.看左边：原因分析3.1原因的分类初始原因：在一个事故序列（一系列与该事故关联的事件链）中第一个事件称为初始原因，初始原因就是在大多数安全评价方法中所指的原因，又称为初始事件或触发事件。

近年来在HAZOP分析和保护层分析领域将所识别的原因明确界定为初始原因或初始事件（“安全评价方法指南”－CCPS-2008）。

任何化工过程或设施都存在着毒物泄漏、爆炸或火灾等危险（又称恶兆），只是在通常的系统中没有被触发，其原因是受到了某些固有保护层或安全措施的抑制。然而一旦被初始原因所触发，相当于在抑制层出现了漏洞……根原因：该原因如果得到矫正，能防止由它所导致的事故或类似的事故再次发生。根原因不仅应用于预防当前事故的发生，还能适用于更广泛的事故类别。它是最根本的原因，并且可以通过逻辑分析方法识别和通过安全措施加以纠正。

例如，有关泄漏的案例，根原因可能是管理方没有实施有效的维修管理和控制。这种原因导致密封材料使用不当或部件预防性维修错误最终导致泄漏。在系统失调案例中，根原因可能是培训程序的问题，导致操作人员没有完全熟悉操作规程。因此容易被过度的分散注意力的事情所干扰。••••••••••几种常用基于图的原因分析方法：事故及成因图（ECFC）相互关系图（ID）分类图（AD）树图（FD）原因与影响图（鱼刺图，CED）事件序列图（ESD）主逻辑图（MLD）领结图（BTD）事件链模型（ECM）动态SDG图在进行HAZOP分析时，分析原因一般只找到初始原因（直接原因）在进行事故调查时，必须追溯到确切的根原因，采用各种图形化的原因分析方法以下情况建议HAZOP分析时在重要部位考虑根原因分析：①设计阶段没有实施过HAZOP分析的工艺过程和设施；②没有实施过程安全管理或安全管理不完善或不规范的工艺过程和设施；③变更管理阶段，对变更部位实施根原因分析；④相关人员HAZOP分析培训时要求分析到根原因。⑤对操作规程的HAZOP分析，要求分析到根原因。在确定原因发生频率时，需要考虑“起作用的原因”的影响原因面临的困难困难1，原因位置：在节点内找原因，还是节点内外都找原因。很多人在这点上无法达成一致意见，很多人重复选择，也会造成整个分析多次重复。困难2，根原因查找：管理不善、维修不及时、培训不到位、安装质量不好等，这些是否可以作为偏离原因？物料偏离：来料温度高，来料有杂质是否可以作为原因？究竟什么情况下偏离能当原因？3.4.5.看左面的问题1.2.没看到头看过头左面在分析者的界区外左面离选择的偏离太远从左面到选择的偏离的中间偏离如何处理操作失误设计错误设备仪表故障环境影响公用工程不足界区外来料偏离原料错误可以使用偏离做原因的情况： 假如原因过于复杂，又跨越节点时； 偏离还需要进一步分析时；1个书写规则：要把从偏离的初始原因到选择的偏离之间的中间偏离写清楚，以表达完整事故剧情的左侧部分。8个方面的直接原因描述清楚：例如：“操作工在加甲醇的时候，误加酒精”，而不要只写“操作失误”

不要写为：阀无动作、流量表坏（一定要写成一句完整的话，并带上设备位号或仪表位号！）中间偏离描述清楚：例如：在T2反应釜事故的HAZOP分析中，反应釜

压力高的一个原因为循环水供应阀故障导致循环 水供应量减少引起反应釜温度升高，从而导致反 应釜反应过快，产生过量蒸汽，引起反应釜压力 偏高。在CAH软件中好的表达：不好的表达：3.2常见偏离的原因••••••••••••••偏离1:流量过小/无管线堵塞（Blockage）止回阀安装错误IncorrectlyfittedNRV管道破裂泄漏（BurstPipe）排污阀泄漏（DrainLeak）设备故障EquipmentFailure(隔离阀,泵,容器,etc).压差错误（IncorrectPressureDifferential）物料供给不足（LossofSuction）泵汽蚀/气缚（Cavitation/GasLocking）热交换器泄漏（HeatExchangerLeak）管径设计能力过小LineRestriction物料密度或粘度过大人员误操作盲板错安或未拆除（Incorrectslipplate）仪表误指示偏高•••••••••••••偏离2:流量过大泵能力过大（IncreasedPumpingCapacity）管道入口压力过大（IncreasedSuctionPressure）流体密度偏大（GreaterFluidDensity）热交换器列管破裂（ExchangerTubeLeaks）没安节流孔板（RestrictionOrificePlatesDeleted）控制系统故障（ControlFaults）黏度变化（ViscosityChange）操作者错误（OperatorError）管线泄漏/管径过大（LineFailure）阀门故障/误操作开度过大旁路阀门内漏或误开启备用泵误启动仪表误指示偏低偏离3:逆流•止逆阀失效（DefectiveNRV）•虹吸效应/位差SyphonEffect•管路出口超压（DeliveryVessel/MainOverpressure）•双向输送管道控制阀门错误TwoWayFlow•紧急排气（EmergencyVenting）•人员误操作（IncorrectOperation）•泵失效/反转••••••••偏离4:流量/伴随（组成变化）隔离阀泄漏LeakingIsolationValves换热器管泄漏LeakingExchangerTubes相变化PhaseChange错误的给料/规格IncorrectFeedstock/Specification质量控制不严InadequateQualitycontrol过程控制程序ProcessControlProcedures腐蚀EffectofCorrosion空气/水/蒸气/惰性气进入IngressofAir/Water/Steam/Inerts•停车和启动条件ShutdownandStartupconditions•其他Other••••••••••••偏离5:压力过高（高到多少？）高压串低压气体爆放（排气口过小）泄放阀隔离程序缺陷（泄放阀隔离失效）温度过高（ThermalOverpressure）增压泵安装错误压力控制阀故障（FailedopenPCV’s）外部火灾（Fire）化学反应（反应失控）ChemicalReaction安全阀/爆破片失效或选型不当物料输出管路堵塞液体闪蒸仪表误指示偏低偏离6:压力过低（低到多少？）•产生真空条件GenerationofVacuumcondition•温度低，气相冷凝（Condensation）•气体溶解到液体里GasDissolvinginliquid•泵/压缩机吸入管道尺寸小（RestrictedPump/CompressorSuctionLine）•泄漏UndetectedLeakage•排污阀门故障或未关闭（VesselDrainage）•控制阀门故障•安全阀、爆破片压力等级过低•仪表误指示偏高偏离7:温度过高（高到多少？）•环境温度过高（AmbientConditions）•冷却器换热管结垢（FouledorFailedExchangerTubes）•冷却水断流，冷却失效•外部火灾（FireSituation）•温度控制系统故障（DefectiveControl）•加热器失控（FiredHeaterControlFailure）•容器内部着火（InternalFires）•反应控制失效（ReactionControlFailuresetc.）•化学反应激烈或失控（ChemicalReaction）•温度检测仪表误指示偏低偏离8:温度过低（低到多少？）•环境温度过低（AmbientConditions）•压力骤降（ReducingPressure）•加热器换热管结垢（FouledorFailedExchangerTubes）•换热器加热介质断流•保温失效（LossofHeating）•真空（Vacuum）•人员操作失误•反应速度过慢（催化剂加入量不足等）•仪表误指示偏高偏离9:液位过高•容器入口流量过大（阀门故障开大、阀门误操作开大、仪表误指示偏低）•容器出口流量过小（阀门故障开小、阀门误操作开小、仪表误指示高、出口堵塞、输出泵故障）•液位控制系统故障•人员操作失误偏离10:液位过低•容器入口流量过小（入口管线阀门故障开小、入口管线阀门误操

作开小、流量计误指示偏高、管路堵塞、泵

故障、管路泄漏）•容器出口流量过大（出口管线阀门故障开大、出口管线阀门误操作开大、流量计误指示偏低）•液位控制系统故障•储罐破裂，泄漏•人员操作失误•液体闪蒸BPTexasCity炼油爆炸和火灾-2005年3月23造成15人死亡，170多人受伤，员工赔偿>26亿美元，财产&名声受损4.看右边：后果分析失事点和不利后果失事点，或称不利后果释放点：是一个“顶部事件”，或称“第一后果”，由系统内部的危险诱发和传播所导致的一个危险“释放”处所（与装置的三维结构和空间分布有关）。不利后果：从危险“释放”处导致的一个事件、多个事件或事件链。后果面临的困难困难1，后果位置困难：节点内找后果还是节点内外都找后果？困难2，最终后果的查找不统一：例如把超压，超温做后果。究竟什么情况下可以把偏离当后果？困难3，是否是可能的后果都要讨论：究竟选是最严重的结果，还是可能性最大的结果。一个偏离通常会有许多后果，究竟选择哪个做后果，通常意见不一致。4.看右边的问题1.2.3.没有看到头右面在界区外右面太远右面有阻碍（要不要拐弯）后果原则（9+1）

9类后果：

1）人员；2）财产；3）物料泄漏；4）环境污染；5）生产中断；6）质量问题；7）社会影响；8）出界区物料偏离；9）偏离当后果的情况： 后果在节点外，且离当 前正在分析的偏离过远

时；偏离还需进一步分

析时后果描述：要把从当前正在分析的偏离到后果的中间偏离描述清楚（一定要写成一句完整的话，并带上设备位号或仪表位号，并用事件链勾画清楚）后果的三个路径1.选择后果的时候，不考虑现有的保护措施；2.假如现有保护措施启动后，有HSE的连带后果时

，需要考虑；例如：安全阀启动后，排放位置不 合适；洗涤系统没有考虑极端情况的洗涤量3.是偏离的直接后果，而不是原因的另外偏离的后果后果的三个路径原因1偏1偏2偏3C3后果3

D1原因2C1C2后果1后果2D2偏4偏5C4后果4不好的例子–原因导致后果5.看剧情：安全措施与建议措施评估风险的困难。。。。。。建议措施的困难。。。。。。5.1安全措施安全措施安全措施即现有保护措施，是针对特定的事故剧情，已经存在的可能切断事故剧情向后传播的工程措施或管理措施。

对于新建装置，是指图纸上已有的措施；对于在役装置，是指装置上已经安装或设置了的措施。安全措施面临的困难困难1，有效防护与无效防护：多少防护才是足够的？一直是困扰HAZOP分析的难题，也是争论最大的地方，常见问题包括：巡检、培训、操作规程、维护等是否可以作为现有防护？写进现有防护后是否可以防止后果或减轻后果？困难2，位置困难：节点内找措施还是节点内外找措施？困难3:

防护书写的优先顺序：哪个防护写前面？哪个防护写后面？危险保护层保护层失效 事故

防止措施在初始事件发生后，过程处于非正常工况或失控状态时介入，它的作用是当非正常过程条件消除时，恢复控制或取得安全状态，于是中断了事故剧情的传播，并且避免了失事发生。防止措施不影响初始事件的可能性，但的确影响了由该初始原因所引发的失事点发生的概率。

防止措施的目的是防止一个或更多的严重失事点的发生，防止措施就是这样影响总剧情的发生频度。防止措施也叫主动保护层，分为：工艺设计材料的选择，设备型号选择，压力等级确定等工艺设计可以预防事故例如：选择316L不锈钢可以防止氢脆，选择磁力泵可以

防止物料从磁力泵泄漏基本工艺控制系统例如用液位信号控制进料阀门开度，用温度信号控制循环水冷却水进料；报警和人员的干预（有报警信号，且人员至少有10分钟以上的反应时间才可能可以作为独立保护层）；安全仪表系统例如高液位连锁停泵，氢气压缩机入口处设置氧含量探头，氧含量高时压缩机停机。安全阀和爆破片减缓措施的作用是减小一个失事点的后果严重度，是紧跟在失事点后面的那些安全措施。减缓措施的目标是检测和对紧急状态作出响应，其对失事影响的减缓是与没有安全措施的影响相比较而定。①密闭泄放措施，例如安全泄放阀，从而缩短危险物料直接排放到大气后果事件的持续时间②二次储存系统，例如双层墙、二次围护、防火堤等③抗爆墙和防火墙④火灾、泄漏探测和报警系统⑤自动或远程启动的隔离阀⑥灭火器、水喷淋系统和消防水炮，以及水喷淋、水幕等有害物料蒸汽云抑制系统⑦有人建筑物的抗爆结构设计⑧适用于特定后果事件的个体防护装备⑨应急响应和应急管理规划失事点典型的抑制和控制方法（教材9.1中称为典型第一级限

制系统类措施），不属于HAZOP的安全措施，但是影

响着直接原因发生的频度，是一种固有安全措施：1.2.3.4.5.6.巡检培训维护安装质量检查应急操作规程以上内容不能算“HAZOP安全措施”，除非有特殊性。 这些内容是工艺安全管理（PSM）的其它要素要解决 的问题，本来就应该具有的。1.先写独立保护层，按照保护层发挥作用的先后顺序书写；2.然后写非独立保护层；3.不要写通用的行政保护措施（即典型的 抑制和控制方法），可以写针对此事故 剧情的特定的行政保护措施；（注：在

建议措施中可以写）2.3.4.5.独立保护层（2001-CCPS）1.唯一性（unique）可用性（applicable）独立性（independent）可信性（dependable）可查性（auditable）1.独立性（Independence）（保护层的性能不受一个危险事件的初始原因或其它保护

层失效的影响。例如：一个储罐物料溢出的初始原因是

液位控制回路失效，则防止溢出的保护层不能是液位控 制回路，控制回路的部件，如传感器、控制器和控制阀 的一个失效都会导致本剧情失去保护层能力。）2.功能性（Functionality）（是保护功能的充分有效性。是指保护层能够察觉危险剧 情的开始，并且及时提供适当的响应，以防止不利后果

发生。例如一个安全阀的设计因当使其打开的压力足够

低，释放的口径和释放管道足够粗，以防止容器中的压 力超限。）3.完整性（Integrity）（完整性表达为对保护所要求的失效概率。例如：

SIL=1的低端要求10次操作中有9次成功，允许

一次失败；其高端，在100次操作中有99次成功， 允许1次失败。）4.可靠性（Reliability）（一个保护层的操作在要求的时间周期内能满足 规定的条件。例如：一个保护层是向容器吹扫5

分钟。可靠性是一旦开始吹扫，能够持续5分钟

的概率值。）5.可维护性（Auditability）（直意“可审查性”。当保护层损坏时，审查、检验、

试验和维修能决定性的使该保护层继续它的功能。）6.安全许可保护性（AccessSecurity）（使用管理员控制或物理方法减少非故意的或未授权的变动。）7.变更管理（ManagementofChange）（对设备、操作程序、原料、过程条件等的任何改动必

须进行复查、建档及核准工作。例如：当一个新的产物

被引入反应器，应当先作变更管理，来证实反应压力释 放系统在失控剧情中是足够的。）3个“可”：可察觉，可决定，可转移4个“足够”：足够大，足够快，足够强，足够灵2个“独立”：独立于初始原因，独立于其它IPL偏离后果原因安全措施安全阀（重视各种保护层的正确设计、安装和使用）爆破片定向爆破板折杆型安全阀折杆带温度检测的阻火器、呼吸阀阻火器结构原理止回阀与控制阀耐高温紧急通风（换气）设备防爆遮断阀、机械遮断阀机械与化学隔离（快速遮断）粉尘爆炸隔离系统粉尘爆炸抑制系统BPCS和功能安全仪表SIS安全监控仪表卡封、加锁加标识（LO-TO）防火堤防护服（PPE）储罐区防火堤设计规范，GB50351-2005粉尘防爆安全规程，GB15577-2007石油化工安全仪表系统设计规范，SH/T

3018-2003过程工业领域安全仪表系统的功能安全，GB/T21109.3-2007/IEC61511-3:2003石油化工企业设计防火规范，GB

50160-92阻火器的设置，《工艺系统工程设计技术规定》HG/T20570.19-95安全阀的设置和选用，HG/T

20570.2-95爆破片的设置和选用，HG/T

20570.3。。。。。。5.2风险分析风险分析安全分为绝对安全与相对安全绝对安全：不出事故相对安全：没有不可接受的风险，或者说可接受的风险风险：事故发生的可能性和事故严重性的组合；风险矩阵实例：风险分析风险分析的难点：事故发生的可能性，主要看有几道独立保护层，事故发生概率=初始事件频率X独立保护层失效概率初始事件频率的确定：1）根据分析团队的纯经验；2）根据文献值：初始事件发生频率参见附录4；3）根据故障树FTA进行计算独立保护层失效概率见附录7；备注：假如存在使能事件/条件，要乘以使能事件/条件发生频率风险分析后果严重度确定：1）根据分析团队的纯经验；2）根据事件树ETA进行计算；

3）按照后果分析（CA）进行定量风险分析（QRA）：一般需要借助软件根据数学模型进行计算。风险分类：原始风险、剩余风险5.3建议措施危险保护层

保护层失效事故建议措施的困难•如何保证加上建议措施后，能有效降低事故概率或降低事故严重性

风险降低可以通过多种手段取得，包括采用固有的安全方法消除危险剧情；设法减少初始原因的频率；增加现有IPL的完整性；增加新的IPL；“和/或”减少失事影响（冲击）等。（参考教材4.7.2）1.加强现有安全措施的管理优先于增加新的安全措施；（让每层奶酪的“孔”变小）2.防止措施优先于减缓措施；（增加奶酪层）3.常规安全措施优于功能安全仪表（SIS）；安全措施的设置应适度，即恰到好处（ALARP）。1.明确，具体，让没有参加讨论的人在不看HAZOP记录表的情况下，知道需要做什么；2.建议实施后，可以有效降低事故概率，或减轻事故后果；3.一个人可以完成；4.建议是提出需要做什么，而不是怎么做，不要把HAZOP研讨会，变成工程设计会建议措施不能写成“加强管道维护、流量计定期检查更换、加强阀门检查维护”等！提出的改进措施未必一定要解决审查中发现的问题，可以提出改进方向，或建议成立专家组，另行研究；避免将注意力和精力放在细小的危害上（如摔到、坠落和滑倒等）；建议措施是基于技术上考虑，关于成本、时间的考虑，应由管理层平衡。安装一个指示增加一个报警：高报、高高报、低报、低低报安装一个自动调节回路增加一