基于简化Bow-tie模型的LOPA场景辨识与筛选方法

刘美晨，刘鹏，王海清，刘荫

（1 中国石油大学安全科学与工程系，山东 青岛 266580；2 国家管网东部原油储运有限公司邹城输油处，山东 邹城 273500）

保护层分析（layer of protection analysis，LOPA）是一种半定量的风险分析方法，因其对化工工艺和装置的风险分析有效性，在石化行业得到广泛应用，是目前主要的风险评估方法之一。LOPA 通过场景后果的发生频率以及严重程度大小表征场景的风险大小。在选择合适的场景后，通过对比目前已有的安全措施并结合厂区对风险的容忍程度判断是否需要采取其他措施降低场景后果的发生频率或后果的严重程度，从而确保生产过程的平稳运行。但LOPA 不是识别危险场景的工具，因此需要可靠的场景筛选方法来确保LOPA分析的正确执行[1]。

国外关于事故场景的研究起步较早，自印度博帕尔事件发生后，最坏事故场景成为研究重点，即不考虑场景后果发生频率，仅将后果严重程度作为场景选择的标准[2]。1986年，美国环保署建议当地应急计划委员会根据最坏事故场景制定应急计划；1990年，美国清洁空气法修正案（CAAA）要求企业建立最坏事故场景相关的风险管理计划。不少学者根据最坏事故场景进行风险分析，Díaz-Ovalle等[3]根据最坏事故场景对厂区布局进行规划设计，避免因最小距离方法产生的风险；Meysami 等[4]根据有毒及可燃气体泄漏后的最坏事故场景进行探测器的布置；Shariff 等[5]提出，为降低有毒气体泄漏产生的影响，可在基于最坏事故后果场景的前提下，在设计阶段对厂区进行本质安全设计，但最坏事故场景可能会造成事故风险的过高估计。

此后，Khan 等[6-7]提出了可信事故场景以及最大可信事故场景的概念，并给出了场景选择的方法。在考虑现有措施对场景后果发生频率及后果影响的前提下，对各种可能的场景进行筛选，确定可信事故场景，并在此基础上进行比较，得到最大可信事故场景[8]。与最坏事故场景相比，该方法全面考虑了各类影响因素进行场景筛选，但其计算过程复杂且由于计算时采用场景后果发生频率与后果影响范围的乘积确定可信因子，容易发生极端场景被忽略的情况，即场景后果发生频率大但后果严重性相对较小或后果很严重而后果发生频率很小的场景在不满足风险需求的条件下被忽略。2006 年，欧盟发起的ARAMIS[2]（工业意外事故风险评价体系）项目中提出了参考事故场景的概念，首先识别重要事故，然后从系统内部分析事故的起因及发生可能性，进而辨识出考虑安全系统的参考事故场景。辨识事故场景是风险评价的关键，合理的事故场景使风险评价更有意义。Baybutt[1]对影响场景识别的完整性的原因进行分析，其中包括采取的方法及研究时的人员经验及行为，并针对性地提出了建议。

国内关于事故场景的研究起步较晚，但近年来不少学者也积极开展有关事故场景相关的研究。纳永良等[9]对危险剧情即危险场景进行了定义，深入揭示了危害场景的核心内容；赵桂利[10]对最坏事故场景、最大可信事故场景和参考事故场景进行研究，分析了每种事故场景应用于风险评价的优缺点，并介绍分析了3种事故场景的确定方法及使用情况；刘禹彤等[11]根据欧盟ARAMIS 项目框架下提出的MIMAH（辨识重要危险方法）对事故场景进行描述，从而使事故场景的辨识更加具有针对性、系统性，但该方法将部分风险较低的场景辨识出，不能筛选出针对LOPA 分析的场景；孟亦飞等[12]通过对石化行业常见事故场景发生后的后果量级的计算，并给出了各类布局安全设计中需要考虑的事故场景；宋占兵等[13]对最坏事故场景的确定方法进行了简要描述，并在最坏事故场景的前提下对厂区的选址可行性进行分析。可以看出，尽管目前涉及事故场景应用的研究较多，但目前仍未有详细的研究提出适用于LOPA分析的场景筛选方法。由于最坏事故场景是根据已有资料信息及专家判断得到，相较于最大可信事故场景的筛选方法更容易获取，因此工程实践中进行LOPA分析时往往使用最坏事故场景方法。但场景作为LOPA分析的基础，场景筛选的可靠性及全面性对后续分析的合理性有较大影响，采用最坏事故场景方法影响了LOPA分析的可靠性。

此外，目前进行LOPA 分析时采用HAZOP 进行场景的辨识，容易忽视使能事件和修正因子对场景的影响，从而降低风险评估的客观性以及准确性，且HAZOP 方法用于灾害识别时不能很好展示同一损失事件下场景之间的关系[14]。

为克服以最坏事故场景为基础的场景辨识及筛选方法造成的结果不可信问题，通过分析总结已有成果提出基于简化Bow-tie 模型的最大可信事故场景辨识及筛选的方法，首先对Bow-tie 模型进行简化，不仅可以对可能发生的事故场景进行全面辨识，计算过程也更为直观；再利用简化模型得到所有可能的事故场景后，在最大可信事故场景筛选方法的基础上进行改进，降低筛选方法复杂程度的同时提高场景筛选结果的可靠性，并以某商储库105m³原油储罐为例对该方法进行说明，在得到筛选后的场景列表后，与Risk Analysis Screening Tool（RAST）软件得到的分析结果进行对比，以验证筛选方法的可靠性。

1 危害场景术语及定义

保护层分析（LOPA）方法应用导则[15]（AQ/T 3054—2015）中将场景定义为：可能导致不期望后果的一种事件或时间序列。每个场景描述中至少包含两个要素：初始事件及其后果，此外还有可能含有损失事件及使能事件，场景的组成结构如图1所示。在进行LOPA分析时，场景应满足以下基本要求：①每个场景应有唯一的初始事件及其对应的单一后果；②当同一初始事件导致不同后果时，或多种初始事件导致同一后果时，应假设多个场景；③当场景中存在使能事件时，应将其包含在场景中。

图1 场景的组成

将构成分析场景的各部分进行如下的解释。

（1）初始事件（initiating event） 又称为启动事件或引发事件，是导致事故场景的初始原因。主要有三类：外部事件、设备故障以及人为失误。

（2）使能事件[16]（enabling condition） 又称为使能条件，某个并不是失效、错误或者保护层但将事故序列转变为最终后果的必须条件，是由一个不直接导致事故场景的事件或操作组成。例如，一些间歇生产过程的化学反应中可能会出现反应飞温，但反应飞温仅在间歇操作的第一个步骤过程中发生冷却系统故障才会导致飞温，其他步骤中发生冷却系统故障则不会导致反应飞温。此时，反应处于间歇操作第一个步骤则是事故发生的使能事件，操作中第一个步骤的时间比例可以作为使能事件发生概率。

（3）损失事件（loss event） 异常情况下发生不可逆事件，该事件可能会造成损失和危害影响。例如释放有害物质、点燃易燃蒸气或可燃粉尘云以及罐或容器的过压破裂。

（4）后果（consequence） 由于上述事件对人员、设备、环境及企业声誉造成的影响，是事件潜在影响的度量，同一初始事件可能有一种或多种后果。

2 Bow-tie 模型在LOPA 场景辨识及筛选中的应用

2.1 Bow-tie模型及其简化

Bow-tie 模型又称为安全屏障模型，是一种综合性的风险分析方法，如图2 所示，简化前的Bow-tie 模型主要组成部分包括事故起因、事故前的预防措施、危害事件、事故后的控制措施以及事故后果五个要素。以危害事件为中心，危害事件以左为事故树，列出可能导致事件发生的原因以及防止事件发生的预防措施，而危害事件右侧则以事件树为基础，分析事故发生后的减缓措施以及措施失效所导致的后果。事故树与事件树的结合，可以清晰地反映五个要素之间的关系，从而实现事故的详细描述。因Bow-tie 模型对初始事件、损失事件和后果都进行了充分识别，因此可以与LOPA相结合进行风险分析，目前在化工行业的风险评估中进行应用，但主要应用于需要进行LOPA分析的场景后果发生频率确定及原因分析等方面，而未用于场景的辨识。

图2 Bow-tie模型简化

Bow-tie 模型组成要素中的原因、危害事件和后果分别与LOPA场景中的初始事件、损失事件以及事故后果相对应，且模型中的预防措施和控制措施还分别与LOPA分析中的预防型保护层、减缓型保护层相对应。由于LOPA分析时要求考虑场景在无保护层情况下的后果，因此若模型用于场景辨识，需要将Bow-tie 模型进行简化，即不考虑预防措施及控制措施影响。

如图2 所示，简化后的Bow-tie 模型与简化前的模型相比，除不考虑安全措施的影响外，还将事故树中的条件事件以及事件树中的事故发展分支进行提炼，在模型中单独考虑：使能条件为事故树中的条件事件，修正因子则代表事故发展的分支，例如是否发生点火（点火概率），是否处于受限空间（危险环境概率）。对于事故场景的演化过程的详细展示，有利于全面介绍所有可能事故场景，便于后续对于场景后果发生频率的计算，场景后果发生频率为初始事件发生频率与使能条件及修正因子的乘积。同一初始事件所造成的不同后果的多个场景可视为一个场景单元，而简化后的Bow-tie 模型整体可视为场景集合，用于场景辨识及筛选。

2.2 简化Bow-tie模型的应用方法

2.2.1 场景辨识

（1）确定分析流程关键损失事件。损失事件实质是有害物质或能量的意外释放，可根据分析流程中主要设备确定关键损失事件。欧盟ARAMIS（工业意外事故风险评价体系）项目提出：在化工领域，最重要的损失事件对于液体来说是泄漏，对固体来说是物质的物理或化学状态的改变[17]。设备中的关键损失事件[11,18]主要包括：设备或管道小孔泄漏、中孔泄漏、大孔泄漏、设备破裂以及溢流等。涉及设备或管道泄漏，需根据泄漏孔径来分析，表1给出了API 581[18]推荐的3种泄漏孔径和破裂尺寸分类及适用设备。

表1 泄漏及破裂尺寸

（2）确定损失事件的初始事件及事故后果。在确定损失事件后，可利用Bow-tie 模型确定导致损失事件的初始事件。Bow-tie 模型的左侧为事故树模型，旨在分析系统失效的原因，简化后的Bow-tie 模型在分析事故原因时，利用事故树模型分析出导致损失事件发生的外部事件、设备故障以及人为失误三类初始事件即可；同理可用事件树分析损失事件发生后可能的事故走向及后果。需要注意的是，由于LOPA需要分析的场景是在初始事件发生后无任何保护措施的情况下事件可能的发展趋势，因此在利用事故树与事件树分析初始事件及事件后果时，无需考虑预防型防护措施及减缓型防护措施对于事件发展趋势的影响。

（3）确定场景后果发生频率及后果严重度。在完成步骤（1）、（2）后，可得到初步的场景集合。根据事故树确定各类场景后果的发生频率，除初始事件的发生频率外，还需要判断各类场景中是否需要应用修正因子及使能条件。使能条件一般与有严重后果且操作时间短的工况有关，在各类工况下，只有当使能条件是异常工况转化为最终后果的必要前提时，才可考虑使能条件。修正因子主要包括危险环境概率、点火概率、人员暴露概率及伤亡概率等，通常与损失事件发生后的后果部分相关联[16]。使能事件及修正因子一般以概率而不是频率来表示。

2.2.2 场景筛选

在利用Bow-tie 模型得到初步场景集合后，发生可能性较小或后果轻微的场景并不需要在LOPA中进行分析。LOPA 仅分析风险较高的场景，因此在对场景进行LOPA分析之前，还需对场景进行筛选。本文基于Khan的最大可信事故场景确定原则，提出了一种新的场景筛选框架和流程方法，明确了筛选步骤的同时降低了前者主观性，具体步骤如图3所示。

图3 场景筛选流程

（1）初步场景筛选。场景初步筛选的目的是将低风险的场景从场景集合中筛除，从后果严重度与场景后果发生频率两个方面考虑。对于场景后果发生频率，当发生频率小于10-6/a 时[6]，由于发生频率低，可信度不高，因此不考虑此类场景；对于场景后果严重度，不同企业内对于场景后果严重度的可接受程度不同，在满足装置或设施的风险基准的前提下，可根据企业内部的风险要求进行确定。根据上述要求初步筛选场景后果不可接受且发生频率大于10-6/a的场景。

（2）二次场景筛选。对Bow-tie 模型得到的场景集合完成初步场景筛选后，根据初始事件对筛选后的场景集合进行分类。场景描述中，初始事件和损失事件相同仅后果不同的场景为一个场景单元，根据风险的大小对各场景单元中的场景进行选择。

对于场景风险大小的判断如式(1)所示，一般取决于场景后果发生的可能性P及场景后果严重度L。

在进行场景筛选时，引入可信度的概念，考虑场景后果发生频率及后果严重度的影响，确定场景的可信度，步骤如下所示。

①确定各场景后果发生频率Ps（考虑修正因子、使能条件）以及各场景的后果严重度等级Ls。

②确定各场景后果容许频率Psi，即在场景当前后果严重度的前提下，满足风险需求的场景后果的最大容许发生频率；同时确定各场景的可容忍严重度等级Lsi，即当前场景实际后果发生频率一定的情况下，后果严重度至少降低到哪一等级才能满足企业对于风险的需求。

③计算后果严重度一定的情况下实际场景后果发生频率与满足风险需求的最大场景后果发生频率之间的差距O以及场景后果发生频率一定的情况下实际后果严重度与可容忍后果严重度的等级差S，计算方法分别如式(2)及式(3)所示。

④得到后果严重度的等级差S以及后果发生频率之间的差距O后，参考最大可信事故场景确定方法计算场景的可信度。可信度判断依据Cre如式(4)所示。

式中，μ和θ分别为后果严重度与后果发生频率对风险的权重影响。利用加权平均方法确定后果严重度与后果发生频率对风险的指标权重，篇幅所限，本文仅展示最终结果，后果严重度与后果发生频率对于风险的权重分别为0.566与0.434。

⑤可信度Cre的标准化。在得到各场景的可信度后，若场景单元中场景个数为1，则该场景的标准化可信度Cstre为1。若场景单元中的场景个数不为1，确定场景单元中的最大可信度Cre_max以及最小可信度Cre_min，为满足后续的筛选需要，此处采用式(5)对数据进行标准化。

式中，Cre_i为该场景单元中第i个场景的可信度；Cstre_i该场景单元中第i个场景的标准化可信度。

⑥确定最大可信场景。在得到标准化可信度Cstre_i后，根据图4 的可信度分级表[9]确定场景所属的区域。0～0.2表示不可信区域，说明该场景所造成的后果严重度相对较小或后果发生的可能性较小；0.2（含0.2）～0.5表示可信区域，表示该区域的场景可能造成足够的破坏；区域0.5（含0.5）～1表示最大可信场景，说明该场景极易造成较为严重的后果，因此将其确定为最大可信的区域。若场景的标准化可信度Cstre_i≥0.5，则该场景属于最大可信场景，需要进行LOPA分析。需要注意的是，可信度标准并不是固定的，分析人员可根据实际情况制定可信度标准，但对可信度标准的量化需要考虑企业内部应对场景后果时的资源限制、技术支持以及对风险的容许程度等因素，因此对分析团队的经验及分析水平要求较高。

图4 可信度分级

3 案例分析

以某原油商储库为例，针对其库内最为重要的关键损失事件“原油储罐泄漏”，分别采用RAST软件和本文方法进行危害场景筛选与对比分析，该商储库主要为高含硫原油，因此危险物质除可燃的原油外，还包括溶解在原油中的硫化氢等有毒物质。

3.1 RAST软件的场景辨识与筛选

RAST 是由CCPS 开发的一款风险分析与评估软件，利用简化的方法来量化危害、后果和风险，并与其他软件的复杂算法相结合，弥补了定性与定量风险评估各自的不足，RAST 具备强大的数据库支撑，因而可信度较高、操作简便，应用范围也越来越广泛。软件通过回答以下基本问题来进行风险评估：什么是危害；可能出现的问题及潜在的后果；事故发生可能性的大小以及风险是否可以承受。

RAST 软件进行场景选择及LOPA 分析的内部运行原理如图5所示，分析人员根据厂区实际情况输入信息：厂区内主要的生产或储存物质、相关的设备信息，例如设备容积或最大运行压力等、厂区布局信息以及过程运行条件的相关信息。输入必要的信息后，RAST 软件会通过分析给出火灾爆炸分析（FEI&CEI）以及危害后果分析清单。

图5 RAST内部运行原理

在得到火灾爆炸及主要危害信息后，通过RAST 内置的场景库以及事故后果库可以自动完成场景识别与场景分析，从而得到最终的场景结果清单。场景结果清单中会给出推荐进行LOPA分析的场景，需要注意的是，场景结果清单不是最终需要进行LOPA分析的场景，但会提供各场景可接受的最大后果频率因子（tolerable frequency，TF）与达到风险降低要求所需的保护层层数因子（largest number of protective layers required，IPL）。TF 值和IPL值越大，说明场景的风险越大。用户根据实际情况对场景结果中的场景进行评价，以确认是否对该场景进行后续的LOPA分析。

根据厂区的实际情况输入基本信息后进行场景筛选，筛选出的最终场景如图6所示，与储罐泄漏相关的场景主要有以设备破裂、孔泄漏以及溢流为损失事件的场景单元，需要注意的是，软件中孔泄漏的分类与本文的分类方法不同，Very Large Hole Size Leak以及Extremely Large Hole Size Leak 分别为泄漏孔径5cm 和15cm 时的泄漏情况，可简化为本文中的大孔泄漏，即泄漏孔径为2～6英寸的情况，二者含义相同。图6中给出的场景为与储罐泄漏相关的High TF&IPL 的场景，即软件推荐进行LOPA分析的场景。

图6 RAST场景结果列表

3.2 基于简化Bow-tie模型的场景辨识与筛选

在利用RAST 软件得到场景筛选结果的同时，使用本文提出的方法进行场景辨识与筛选。

（1）确定场景的初始事件及后果。储罐泄漏可能的形式有小孔泄漏、中孔泄漏、大孔泄漏、储罐破裂以及储罐冒顶溢流泄漏，储罐泄漏后的简化Bow-tie模型分析如图7所示。

根据图7可得到原油储罐不同泄漏情况下的场景集合，参考相关文献[15]得到初始事件的发生频率。对于小孔泄漏和中孔泄漏，泄漏速率较低，发生蒸气云爆炸的可能性较低，因此小孔泄漏和中孔泄漏不考虑蒸气云爆炸的后果[18]。此外，可燃有毒泄漏物质优先考虑发生点燃后的后果，毒性泄漏仅在泄漏物质未成功点燃的情况下考虑，因此原油泄漏造成的后果主要有闪火/池火、蒸气云爆炸两类火灾事故，以及未成功点燃的毒性影响。最终的场景列表如表2 和表3 所示，表2 为储罐孔泄漏的场景列表，表3为储罐破裂及溢流的场景列表。

图7 原油储罐泄漏的Bow-tie模型分析

表3 储罐破裂及溢流场景列表[15-16,18]

（2）确定场景后果发生频率及后果严重度。在确定场景后果发生频率时，需考虑使能条件及修正因子的影响。本案例中，储罐溢流的相关场景单元需考虑修正因子的影响，中央排水系统故障所导致的场景需要考虑暴雨发生的可能性，根据本厂区的历史资料，取该地区暴雨天气发生的概率为0.082；而其他两个场景单元中，初始事件仅在收油操作时发生才可能导致危害场景，因此需考虑收油操作的发生频率。商储库按3 次/年的周转次数设计，收油最大流量按104m3/h 考虑，收油时长每次为15 天左右，因此，收油操作的发生概率为(15×3)/365=0.12。

本案例中的修正因子需考虑点火概率对于场景后果发生频率的影响。对于储罐小孔泄漏与中孔泄漏，由于泄漏速率较低，仅考虑闪火及环境影响的后果，点火概率的取值参考国际油气生产者协会（OGP）的推荐取值[19]；其他三种泄漏形式需考虑蒸气云爆炸的发生概率，因此点火概率的取值分为立即点火概率与延迟点火概率[16]，点火概率的取值见表4。此外，在确定各类场景的后果严重度时，根据泄漏量判断场景的后果严重度。

表4 点火概率取值

（3）场景筛选。按照图3 的流程进行场景筛选，由表2及表3得到的场景后果发生频率可以看出，列表中的场景后果发生频率均大于1×10-6/a；根据该商储库内部风险矩阵，分析得到储罐小孔泄漏和中孔泄漏的全部场景、储罐大孔泄漏和储罐破裂的部分场景风险可容忍，其他场景需要进行二次场景筛选。通过对比各场景的Cre，确定各场景单元中的Cre_max以及Cre_min，并得到各场景的标准化可信度Cstre_i。表5列出了二次场景筛选的结果，最终需要进行LOPA分析的场景共11个，场景后果主要集中于原油泄漏后的闪火/池火事故和蒸气云爆炸事故。

3.3 对比分析

为验证本文方法的可靠性，将RAST场景结果列表与表5分别从场景的初始事件、损失事件以及后果类型等方面进行对比。如表6 所示，RAST 场景结果列表给出的泄漏相关场景主要有6个，推荐的场景分别是以储罐破裂、大孔泄漏以及储罐溢流为损失事件的场景，各场景在表5中均有提及；本文提出的方法中对导致损失事件发生的相应初始事件IEF=3 as determined by Process Safety、IEF=4 as determined by Process Safety、BPCS控制系统失效以及人员操作失误也进行了充分的考虑，软件中IEF=3（4）as determined by Process Safety 可以理解为设备不同程度的腐蚀失效。

表5 待分析的LOPA场景列表

表6 结果对比

与RAST软件相比，本文提出的方法对场景的初始事件以及后果的分析更为全面可靠，以储罐溢流为例，软件中与储罐溢流相关的场景初始事件仅包括BPCS 控制系统失效以及人员误操作，未考虑公共系统等其他外部设施对场景的影响；同时后果仅包括原油溢流后发生闪火的情况，未考虑高含硫原油泄漏后的毒性危害以及蒸气云爆炸的后果，造成了对风险的低估。

通过与软件的对比分析可以看出，运用简化后的Bow-tie 模型进行场景辨识可以直观地分析出装置中各类初始事件的原因及后果，便于后续的场景筛选的进行。同时基于现有的场景筛选方法进行改进，根据厂区实际的风险可容忍情况进行场景筛选，也更符合厂区的实际运营情况，有效降低场景筛选的主观性，使该方法的可靠性得到保障。

4 结论

在LOPA分析中，场景筛选是一项十分重要的准备工作，是进行有效LOPA 分析的前提与基础。本文主要对Bow-tie 模型进行简化，并利用简化后的Bow-tie 模型进行场景辨识，直观地分析出场景发生的原因及后果；在最大可信事故场景的基础上对场景筛选方法进行改进，其主观性大大降低，并且可根据企业内部的风险标准进行筛选，使筛选更具有针对性。利用RAST软件进行场景分析的结果对比，结果表明，本文提出的方法能够比RAST软件更为全面地筛选场景，使场景辨识与筛选更加高效可靠，对后续的LOPA分析更具有指导意义。