目前很多企業(yè)都是執行HSE管理體系，把零傷亡作為企業(yè)安全管理的目標，所以我們管理的重點(diǎn)自然而然就變成對人身安全的管理，但是對諸如操作工違反操作規程進(jìn)行操作、報警的次數、聯(lián)鎖觸發(fā)的次數、安全閥起跳的次數，以及企業(yè)內出現的泄漏事故關(guān)注的相對較少，但是這些看似微不足道的隱患往往最后導致了重大的過(guò)程安全事故的發(fā)生。所以我們需要重視過(guò)程安全管理，重視過(guò)程安全管理的績(jì)效。本文通過(guò)CSB對美國B(niǎo)P德克薩斯州煉油廠(chǎng)火災爆炸事故的分析，提出了企業(yè)應重視過(guò)程安全管理和過(guò)程安全管理績(jì)效，并闡述過(guò)程安全管理績(jì)效的劃分和目的。

2005年3月23日13時(shí)20分左右，英國石油公司(BP)位于美國德克薩斯州(Texas)的煉油廠(chǎng)異構化裝置發(fā)生了嚴重的火災爆炸事故，該事故為美國作業(yè)場(chǎng)所近20年間最嚴重的災難。事故造成15人死亡，180余人受傷，爆炸產(chǎn)生的濃煙對周?chē)ぷ骱途幼〉娜藗冊斐刹煌潭鹊膫?，直接?jīng)濟損失超過(guò)15億美元。   　

視頻還原事故經(jīng)過(guò)

德克薩斯州的煉油廠(chǎng)是BP公司最大和最復雜的煉油廠(chǎng)，每天生產(chǎn)汽油產(chǎn)量達1000萬(wàn)加侖（約占整個(gè)美國汽油銷(xiāo)售總量的2.5%）。此外，它還生產(chǎn)噴氣式發(fā)動(dòng)機燃料、柴油燃料和化學(xué)原料。煉油廠(chǎng)有29個(gè)煉油工藝裝置和4個(gè)化工裝置，占地1200英畝，擁有1800名BP正式員工，事故發(fā)生時(shí)另外有大約800名承包商員工在現場(chǎng)，正在進(jìn)行檢修作業(yè)。

事故發(fā)生在德克薩斯州煉油廠(chǎng)的異構化裝置檢修后的開(kāi)車(chē)階段，異構化裝置建于1980年，為了生產(chǎn)高辛烷值的無(wú)鉛汽油，該裝置由四部分組成：超細脫硫器、戊烷和己烷反應器，蒸汽回收/液體循環(huán)裝置和殘液分餾塔，異構化工藝就是在不移除或加入任何原子情況下改變原子排列，將直鏈的戊烷和己烷轉變成高辛烷值的異戊烷和異己烷進(jìn)行汽油調和。該精餾塔接收來(lái)自芳烴回收裝置（ARU）的非芳烴物料，然后將其分餾成輕組分和重組分。殘液分離裝置包括一個(gè)進(jìn)料緩沖罐、蒸餾塔、加熱爐（加熱爐分兩部分，一部分給精餾塔再沸器加熱，一部分給塔進(jìn)料預熱）、空冷器、回流罐、泵和換熱器?？倸堃旱?0％都在塔頂作為戊烷和己烷輕組分殘液而回收，并作為異構化裝置的原料。剩余的重組分殘液被用作烯烴裂解的原料，用以生產(chǎn)普通的無(wú)鉛汽油。 

殘液精餾塔一個(gè)立式精餾塔，內徑3.8m，高52m，滿(mǎn)塔容積為586.1m³，塔內安裝有70層塔盤(pán)。

圖1：殘液精餾流程簡(jiǎn)圖

殘液通過(guò)泵從殘液精餾塔的中間位置進(jìn)入塔內，在進(jìn)料管線(xiàn)上有自動(dòng)流量控制回路，進(jìn)料需要先通過(guò)換熱器與殘液精餾塔塔底出料進(jìn)行換熱然后在送至加熱爐再次加熱，精餾塔塔底重殘液通過(guò)塔底泵，一部分去塔底再沸器進(jìn)行加熱后返回塔底，一部分給進(jìn)料換熱后再經(jīng)過(guò)水冷卻器后至規定溫度后送至儲罐，采出量根據塔底液位自動(dòng)調節，以保證塔內液位的穩定。精餾塔裝有一個(gè)液位遠傳，在DCS上顯示，液位遠傳能指示塔內1.5m-2.7m的液位，精餾塔也裝有兩個(gè)獨立的液位報警，一個(gè)報警值設置為72%（約2.3m高液位），另一個(gè)是液位報警是開(kāi)關(guān)形式，報警值為78%（約2.4m高液位），精餾塔也設有低液位報警。   　　

塔頂的氣相進(jìn)入距塔底約8m高的空冷器進(jìn)行冷凝，冷凝的液體進(jìn)入回流罐，回流罐在正常生產(chǎn)期間進(jìn)行滿(mǎn)罐操作，回流罐的液體通過(guò)回流泵一部分從塔頂的第一塊塔盤(pán)回流回塔，一部分采出經(jīng)過(guò)冷卻后去儲罐，回流罐也設有液位高低報警和一個(gè)設定值為483Kpa的安全閥，安全閥設有旁通管線(xiàn)，旁通管線(xiàn)連接至裝置的放空系統，在開(kāi)車(chē)期間，不凝氣、氮氣等通過(guò)安全閥的旁通管線(xiàn)放空。    　　

為了保護精餾塔不超壓，在塔頂氣相管線(xiàn)上安裝有3個(gè)并列的安全閥，安全閥出口連接至放空罐，放空罐設有一個(gè)高點(diǎn)放空煙囪。安全閥的設定壓力分別為276Kpa、283 Kpa、290 Kpa，安全閥設有旁通閥，用于放空不凝氣和系統放空。放空系統收集異構化裝置的所有放空氣，放空氣先在放空罐中進(jìn)行分液，然后高空排放。精餾塔的放空管線(xiàn)外徑356mm、約270m長(cháng)。

圖2：放空總管

放空氣中攜帶的液滴或冷凝下來(lái)的液體在放空罐底部集聚，放空罐內徑3m、高8m，放空罐上有一個(gè)直徑860mm，離地面高36m的煙囪直接對大氣排放，放空罐中設有7塊擋板，以便分離放空氣中攜帶的液滴。放空罐底部管線(xiàn)上設有一個(gè)液封（見(jiàn)圖3所示），以保證放空罐中有一定的液位，液封出口管線(xiàn)上設有一個(gè)手閥排放至地溝，這個(gè)手閥平常處于鐵鏈鎖開(kāi)狀態(tài)。見(jiàn)圖4所示。在放空罐底部還有一根排靜管線(xiàn)，管線(xiàn)上的手閥處于常關(guān)。放空罐上設有液位計以便監控液位，同時(shí)當放空罐中的液位到液封的高度時(shí)會(huì )有高液位報警。

圖3：放空罐及液封

圖4：液封及鎖開(kāi)的手閥

與異構化裝置毗鄰的芳烴回收裝置還處于維修階段，有大量的承包商參與維修作業(yè)，在異構化裝置的西邊有很多的活動(dòng)板房，離放空罐距離約37m，維修作業(yè)的承包商在活動(dòng)板房中辦公、洗衣、更衣和淋浴。

圖5：異構化裝置周邊布置圖

在異構化裝置開(kāi)車(chē)前，剛剛完成了檢修作業(yè)，在檢修的過(guò)程中操作工分成兩組進(jìn)行倒班，每班工作12小時(shí)，計劃在開(kāi)車(chē)正常后恢復正常的倒班時(shí)間。   　　

BP有嚴格的開(kāi)車(chē)前管理程序，其中要求在維修作業(yè)后開(kāi)展開(kāi)車(chē)前檢查（PSSR），在事故發(fā)生兩年前已經(jīng)在維修作業(yè)后開(kāi)展PSSR，但是由于工藝安全協(xié)調員對異構化裝置不熟悉，所以在開(kāi)車(chē)時(shí)沒(méi)有開(kāi)展PSSR。   　　

在開(kāi)車(chē)前的設備檢查過(guò)程中，殘液精餾塔的關(guān)鍵儀表和設備被查出存在故障，在檢修的過(guò)程中操作工指出塔底的液位遠傳及現場(chǎng)的視鏡存在問(wèn)題你，但是由于檢修時(shí)間緊迫，只是對液位計的隔離閥進(jìn)行了更換，計劃等開(kāi)車(chē)后再各閥門(mén)后再進(jìn)行維修。

操作人員也發(fā)現回流罐上的壓力控制閥存在故障，DCS對閥門(mén)進(jìn)行操作，但是現場(chǎng)發(fā)現閥門(mén)根本沒(méi)有動(dòng)作，報告給直管經(jīng)理時(shí)，并沒(méi)有下工作單進(jìn)行維修，并且在開(kāi)車(chē)前直管經(jīng)理還簽字確認了所有的儀表都經(jīng)過(guò)了測試。

3月22日夜班班組得到了殘液分離塔開(kāi)車(chē)的指令，夜班班長(cháng)在異構化裝置的現場(chǎng)操作室進(jìn)行開(kāi)車(chē)前的灌塔操作，夜班內操做中控室進(jìn)行另外兩套裝置的操作，夜班班長(cháng)沒(méi)有使用開(kāi)車(chē)操作程序有沒(méi)有對操作進(jìn)行記錄，這樣導致下一班接班時(shí)沒(méi)有任何記錄文件。   　

約23日凌晨2:15，開(kāi)始給殘液精餾塔進(jìn)料；   　

2:27   塔底液位在開(kāi)始上升；   

2:44   內操打開(kāi)了再沸器流量調節閥，以此建立再沸器循環(huán)并向再沸器回路灌入殘液；   

2:55   所示液位掉回到3％，然后，分餾塔底部液位又逐漸開(kāi)始上升；   

3:09   液位指示器的開(kāi)始高液位報警，報警一直持續到事故發(fā)生，但是高液位報名開(kāi)關(guān)一直沒(méi)有報警，由于沒(méi)有人意識到這個(gè)高液位開(kāi)關(guān)沒(méi)有報警存在故障，所以在操作日志上沒(méi)有任何體現，在塔內液位計再沸器等設備灌液完成后，夜班當班人員停止了進(jìn)料和塔底的循環(huán)泵，塔底的液位控制閥處于設置在關(guān)狀態(tài)；    

5:00   夜班班長(cháng)告訴主管和內操他要離開(kāi)公司，簡(jiǎn)短的介紹了他在現場(chǎng)操作室都做了什么工作，在中控室的操作日志上寫(xiě)到“異構化裝置已經(jīng)完成了部分進(jìn)料，請繼續進(jìn)料”；   

6:00   白班內操來(lái)接班，與夜班內操進(jìn)行了交接，但是夜班內操并沒(méi)有直接進(jìn)行夜間進(jìn)料的操作，所以對殘液精餾塔的操作情況提供的信息很少，白班內操通過(guò)閱讀操作日志，以為夜班只是給塔進(jìn)行了進(jìn)料，并沒(méi)有意識到再沸器、管道已經(jīng)完成了灌液操作；    

7:15   白班主管A到達異構化裝置辦公室，由于來(lái)的較晚，所以沒(méi)有與夜班人員進(jìn)行交接和溝通；   

9:27   塔內的壓力降低到0Kpa，操作規程要求在塔進(jìn)料時(shí)保證塔內的壓力比較低，以防止在進(jìn)料時(shí)到最后塔內壓力上升。外操打開(kāi)了塔頂安全閥旁通的8“手閥放空泄壓。   

9:40   白班內操打開(kāi)塔底的液位控制閥，并保持70%開(kāi)度3分鐘，約有12000bpd殘液排出精餾塔，當內操關(guān)閉液位控制閥時(shí)，流量顯示并沒(méi)有變?yōu)?，但是流量計故障指示不對，實(shí)際上并沒(méi)有殘液排出精餾塔。   

9:51   內操開(kāi)始啟動(dòng)塔底循環(huán)泵進(jìn)行塔底循環(huán)，并給殘液精餾塔繼續進(jìn)料，雖然此時(shí)精餾塔已經(jīng)是高液位狀態(tài)；   

9:55   操作工點(diǎn)燃了加熱爐的火嘴，對進(jìn)料進(jìn)行加熱，對塔底物料進(jìn)行加熱；  

10:10   20000bpd殘液加入精餾塔，塔底流量計錯誤的顯示4100bpd殘液從塔底液位控制閥排出，但是操作工意識到液位控制閥是關(guān)閉狀態(tài)，CSB根據相關(guān)證據確認，塔底是沒(méi)有流量的，精餾塔只是進(jìn)料沒(méi)有出料；   

10:47   有豐富的異構化裝置操作經(jīng)驗的白班主管由于家里臨時(shí)有事離開(kāi)了公司，副主管重要精力在A(yíng)RU裝置的開(kāi)車(chē)，且他也沒(méi)有異構化裝置的經(jīng)驗；   

11:16   操作工點(diǎn)燃了加熱爐的另外兩個(gè)火嘴，此時(shí)精餾塔的液位指示為93%（約2.64m），但是CSB根據調查，塔內的實(shí)際液位約（20m）；   

11:50   操作工增加了加熱爐的燃料氣流量，塔底液位計指示為88%(2.6m)，并且液位還在下降，實(shí)際上此時(shí)塔內的液位為30m；   

12:41   由于塔內液位的上升以及進(jìn)料塔內的氮氣被壓縮的導致塔內壓力上升到228Kpa，操作工認為塔內壓力上升是由于塔底加熱溫度過(guò)高造成的，外操打開(kāi)塔頂安全的旁通手閥進(jìn)行泄壓；   

12:42   內操和白班班長(cháng)認為應該降低加熱爐的加熱負荷，降低了加熱爐的燃料氣流量，此時(shí)液位顯示為80%（約2.4m），但是實(shí)際液位約43m，內操給塔底液位控制閥開(kāi)度為15%，并且在接下來(lái)的15分鐘內5次開(kāi)這個(gè)閥門(mén)，直到1:02分，這個(gè)閥門(mén)的開(kāi)度為70%，實(shí)際上塔底殘液采出直到12:59分才開(kāi)始有流量；  

13:02   塔底采出的殘液流量為20500bpd，與進(jìn)料量相等；   

13:04   塔底采出的殘液流量為27500 bpd，此時(shí)操作工不知道52m高的塔內的液位已經(jīng)達到48m，但是液位計讀數繼續下降，此時(shí)降為78%（約2.4m）；

圖6：13:04分塔內的實(shí)際液位為48m，但是DCS顯示為78%約2.4m

13:14   由于塔內充裝過(guò)多的殘液且升溫太快，精餾塔開(kāi)始溢流，塔內液體進(jìn)入塔頂的氣相管線(xiàn)外流；精餾塔開(kāi)始加熱后，塔內頂部溫度低，底部溫度高，見(jiàn)圖7中B所示，氣泡和氣化的氣從塔底上升與冷的物料進(jìn)行換熱，氣體凝結，殘液被加熱，在12:59分塔底開(kāi)始采出殘液時(shí)又通過(guò)進(jìn)料預熱換熱器進(jìn)一步給進(jìn)料加熱，導致在事故發(fā)生時(shí)塔內的絕大多數殘液都被加熱了，只是在塔頂還有少量的未被加熱的殘液，見(jiàn)圖7中C所示。

圖7：殘液精餾塔的進(jìn)料加熱

由于殘液從塔溢流進(jìn)入塔頂氣相管線(xiàn)，在管線(xiàn)內產(chǎn)生了液柱的靜壓加上塔內的壓力超過(guò)了塔頂安全閥設定值，安全閥起跳后殘液進(jìn)入了放空系統，見(jiàn)圖8所示，基于安全閥的設定值、事故發(fā)生后安全閥的測試和控制系統的數據，第一個(gè)安全閥起跳的時(shí)間在13:13:56，第二個(gè)安全閥起跳的時(shí)間在13:14:10起跳，第三個(gè)安全閥起跳的時(shí)間在13:14:14，在中控室和現場(chǎng)控制室的操作工都看到了精餾塔的壓力上升到343Kpa；   

13:15   內操降低了加熱爐的燃料氣用量，內操認為塔內壓力升高是不凝氣太多或者缺少回流造成的；   

13:16   內操完全打開(kāi)了塔底液位控制閥把塔底殘液送至儲罐；  

13:17   外操啟動(dòng)了回流泵；    

13:19   操作工通過(guò)步話(huà)機知道了放空罐煙囪溢流了，根據目擊者描述，殘液從煙囪噴出高達6m，在聽(tīng)到步話(huà)機報告放空罐溢流15秒鐘后，內操和白班班長(cháng)開(kāi)始停止燃料氣進(jìn)料，事故后調查發(fā)現燃料氣進(jìn)料閥是在爆炸前5秒鐘關(guān)閉的；   

13:20:04   數百個(gè)報警響起，導致操作工沒(méi)有足夠時(shí)間在爆炸前去啟動(dòng)緊急警報就發(fā)生了爆炸。   　　

從煙囪噴出的高溫殘液在煙囪周邊擴散，當時(shí)時(shí)速為8km/h的西北風(fēng)加劇了可燃氣體的擴散，如圖8所示，過(guò)火面積約18581m²。

圖8：異構化裝置周邊的顏色深遭受了嚴重的火災損壞，紅色箭頭指向的是放空罐煙囪頂部

雖然識別了很多潛在的點(diǎn)火源，但是最可能的點(diǎn)火源是停在距放空罐約7.6m并且沒(méi)有熄火的柴油皮卡車(chē)，見(jiàn)圖8所示，有許多目擊者到了皮卡車(chē)的引擎蜂鳴聲，其中有一名目擊者稱(chēng)看到了皮卡車(chē)尾部的火花，并點(diǎn)燃了可燃蒸汽云，雖然多名證人證實(shí)皮卡車(chē)是點(diǎn)火源，但是不排除存在其他點(diǎn)火源的可能。

圖9：異構化裝置北面距放空罐7.6m的沒(méi)有熄火的柴油皮卡車(chē)

可燃氣被點(diǎn)燃后，火焰迅速傳播到整個(gè)蒸汽云團，并導致了爆炸，基于爆炸區域內結構損壞及分析，爆炸沖擊波的影響見(jiàn)圖9所示。

圖10：爆炸沖擊波影響范圍

著(zhù)火爆炸最終導致在活動(dòng)板房?jì)然蛘吒浇ぷ鞯?5人死亡，整個(gè)爆炸域內180人受傷，其中66人重傷，爆炸沖擊波迅速波及了整個(gè)異構化裝置，40個(gè)活動(dòng)板房、70輛汽車(chē)20個(gè)儲罐被炸壞，異構化裝置北面1.2km范圍內的房屋或商業(yè)玻璃杯震碎。

圖11：放空罐西面的爆炸損壞的活動(dòng)板房

CSB的事故調查人員在3月24日早上到達事故現場(chǎng)，研究了物證和現場(chǎng)，并采訪(fǎng)證人，分析了以下引起爆炸的原因：  

技術(shù)方面

管理方面

BP德克薩斯州煉油廠(chǎng)的火災爆炸事故是由多方面的原因造成的，其中CSB明確指出BP錯誤地依賴(lài)于低人員受傷率作為安全績(jì)效指標，而沒(méi)有做好過(guò)程安全績(jì)效指標。本文著(zhù)重分析過(guò)程安全績(jì)效指標的問(wèn)題。

在事故發(fā)生時(shí)，德克薩斯州煉油廠(chǎng)的HSSE部門(mén)下面有一個(gè)過(guò)程安全部，這個(gè)部門(mén)負責過(guò)程安全執行情況的監督，小組由1名經(jīng)理和4過(guò)程安全工程師組成，過(guò)程安全小組負責開(kāi)展所有裝置的過(guò)程安全分析、設施選址研究、監督變更管理，也負責重要裝置檢修后的開(kāi)車(chē)前安全檢查，協(xié)調過(guò)程安全審核，并確定什么樣的事故按照過(guò)程安全事故進(jìn)行調查。   　　

過(guò)程安全小組計劃跟蹤超越安全操作極限的次數、但是在事故發(fā)生之前還沒(méi)有來(lái)得及執行。    　　

在2004年9月BP集團煉油板塊經(jīng)理會(huì )的過(guò)程安全總結里把德克薩斯州煉油廠(chǎng)劃分為高風(fēng)險，總結中提出，BP煉油廠(chǎng)對過(guò)程安全事故的調查不夠深入和徹底，德克薩斯州煉油廠(chǎng)很?chē)乐氐膯?wèn)題是沒(méi)有關(guān)閉PSM事故調查項，要求的關(guān)閉率為90%，但是2004年關(guān)閉率從2002年的95%降低到79%，工藝安全經(jīng)理指出關(guān)閉率是從2003年把關(guān)閉率這一指標從計算獎金的公式中拿出后開(kāi)始下降的，在2004年年底，德克薩斯州煉油廠(chǎng)只是關(guān)閉了33%的過(guò)程安全調查項，異構化裝置為31%，2004年的PSM相關(guān)的計劃只完成了40%。   　　

另外，從2004年的PSM審核結果可以發(fā)現PSM績(jì)效在劃分為尤其需要重點(diǎn)考慮的機械完整性、培訓、過(guò)程安全信息、變更管理方面的得分很低，從2003年到2004年，不是由BP跟蹤的過(guò)程安全績(jì)效中的泄漏數據顯示泄漏事故由之前的每年399起增加到607起。   　　

2000年BP的格蘭杰莫斯煉油廠(chǎng)發(fā)生了3起事故，其中1起重大的工藝裝置火災事故和2起嚴重的人員受傷事故，英國健康和安全執行委員會(huì )（The U.K. Health and Safety Executive） 調查了事故并發(fā)布了重大事故報告，在報告中指出BP尤其需要重視過(guò)程安全績(jì)效指標，因為人身安全指標不能 衡量重大事故的的風(fēng)險。但是BP在安全管理中沒(méi)有吸取這個(gè)教訓，反而花費更多的精力去衡量和獎勵人身安全績(jì)效而不是過(guò)程安全，人身安全績(jì)效對跟蹤后果不嚴重，可能性高的事故很重要，但不是一個(gè)很好的過(guò)程安全績(jì)效，就如過(guò)程安全專(zhuān)家特雷弗克萊茲（Trevor Kletz）說(shuō)的 “損失工時(shí)率不是過(guò)程安全的衡量標準”。   　　

根據上面的分析，BP需要重視過(guò)程安全績(jì)效指標，對我們國內企業(yè)也是一樣的，我們國內企業(yè)很多沒(méi)有過(guò)程安全管理或者有過(guò)程安全管理同樣也是以傷害率作為安全管理績(jì)效的標準，這也是國內一些重大過(guò)程安全事故頻發(fā)的原因。

雖然BP的德克薩斯州煉油廠(chǎng)事故及BP的格蘭杰莫斯煉油廠(chǎng)發(fā)生后，包括英國健康和安全執行委員會(huì )、CSB等機構認為BP需要更多的關(guān)注過(guò)程安全績(jì)效指標，但是當時(shí)在行業(yè)里并沒(méi)有合適的標準來(lái)協(xié)助企業(yè)進(jìn)行過(guò)程安全績(jì)效指標的管理。    　　

直到2010年4月，美國石油協(xié)會(huì )（API- American Petroleum Institute）發(fā)布了關(guān)于煉油與石化工業(yè)過(guò)程安全績(jì)效指標的推薦標準（RP-Recommended Practice)，編號為：754，簡(jiǎn)稱(chēng)為RP 754。此標準由美國國家標準協(xié)會(huì )（ANSI-American National Standards Institute）多方利益相關(guān)者磋商編制，并以來(lái)自于A(yíng)PI和美國化工過(guò)程安全中心（CCPS-Center for Chemical Process Safety）關(guān)于指標的初步指南為基礎。RP 754標準十分重要，在全球范圍內得到了下游及綜合性石油企業(yè)的支持和采用。   　　

由于RP 754主要針對下游生產(chǎn)，國際油氣生產(chǎn)商協(xié)會(huì )（OGP- International Association of Oil &Gas Producers）認識到有必要提供進(jìn)一步的指南，以支持RP 754對上游生產(chǎn)的適用性，于2011年11月發(fā)布了適合上游石油勘探和生產(chǎn)企業(yè)的過(guò)程安全績(jì)效指標的推薦標準，標號456，簡(jiǎn)稱(chēng)OGP456，幫助全球的上游生產(chǎn)企業(yè)做好企業(yè)的過(guò)程安全管理績(jì)效。

重大事故很少由單一原因引起，而通常是由多重保護層失效同時(shí)發(fā)生并共同導致有嚴重后果的意外事件。這些保護層在這里由單個(gè)“瑞士奶酪切片”進(jìn)行表示，包括管理體系、物理工程防護或其它為預防事件發(fā)生而設計的保護層。    　　

下圖中孔洞的排列成線(xiàn)代表了多個(gè)“防護層”的失效并導致第一次層容納失效（LOPC-loss of primary containment）事件。在我們的行業(yè)中，有復雜的控制裝置可對LOPC事件進(jìn)行檢測并減輕其后果，但對這些“增加的防護層”的孔洞仍可排列成線(xiàn)，并發(fā)生火災、爆炸或其它破壞性事件而導致嚴重傷害。

圖12：奶酪模型

本模型可用于區分兩種重要類(lèi)型的關(guān)鍵安全績(jì)效指標（KPI-Key Performance Indicators）。記錄LOPC事件的數量或記錄當一個(gè)或多個(gè)防護層同時(shí)失效時(shí)實(shí)際后果的指標定義為“滯后”指標。滯后指標也可用于估量防護層中孔洞的數量和大小來(lái)評估風(fēng)險控制系統中的薄弱環(huán)節、缺陷或失效的程度。反之通過(guò)衡量企業(yè)保持優(yōu)秀的風(fēng)險控制績(jì)效來(lái)檢查防護層的強度就是“超前”指標。   　　

滯后指標通?？勺匪莶⒁越Y果為導向，而超前指標通常具有前瞻性?；旧?，大部分LOPC事件仍屬于失效但是不產(chǎn)生實(shí)際后果，滯后于后果，在預測產(chǎn)生嚴重后果的重大事故的可能性時(shí)輕微后果LOPC事件可以提供超前信息，因此，超前和滯后通常非常有用，但企業(yè)需要認識到某些指標可同時(shí)提供追溯性和前瞻性?？勺鳛槌爸笜艘部勺鳛闇笾笜说囊粋€(gè)很好的例子就是‘未遂事件’。    　　

為了便于對過(guò)程安全事故進(jìn)行統計，API754和OGP456把過(guò)程安全事故（PSE）分為4級，如圖13所示。

圖13：過(guò)程安全績(jì)效指標金字塔

第1級工藝安全事故（PSE）是最滯后的業(yè)績(jì)指標，表明危險實(shí)際上穿越了保護層中的孔，導致重大后果。在與低級別指標結合使用時(shí)，它能為一個(gè)公司提供一個(gè)其工藝安全業(yè)績(jì)評價(jià)。第1級PSE是后果較大的第一層容納失效（LOPC），是非計劃或失控的來(lái)自工藝的物料釋放。API754中第1級工藝安全事故進(jìn)行了詳細的規定和實(shí)例。第1級工藝安全事故等同于職業(yè)安全金字塔的死亡和重傷，但不再完全以事故造成的損失來(lái)衡量，而是只要危險物料發(fā)生泄漏，且泄漏量達到標準規定的閾值量或者事故后果達到標準規定的后果。   　　

第2級PSE代表后果低于第1級的LOPC事故。第2級PSE表明保護系統弱點(diǎn)，而且可以是未來(lái)更重大的事件的潛在預兆。從這種意義上講，第2級事件能為公司提供學(xué)習和改進(jìn)其工藝安全業(yè)績(jì)的機會(huì )。第2級PSE代表一般性泄漏事故等同于職業(yè)安全金字塔的輕傷。衡量指標為只要危險物料發(fā)生泄漏，且泄漏量達到標準規定的閾值量或者事故后果達到標準規定的后果。第二級規定的閾值量或者事故后果比第一級規定的小一些。    　　

第3級PSE通常代表對保護系統的一種挑戰。第三級事故等同于職業(yè)安全金字塔的未遂事件，衡量指標包括運行參數達到裝置的操作極限，SIS動(dòng)作，安全釋放裝置啟動(dòng)，機械停車(chē)裝置啟動(dòng)，微量泄漏。這級指標提供一個(gè)附加的機會(huì )，以識別和糾正保護系統內的弱點(diǎn)。   　　

第4級指標表示單個(gè)風(fēng)險控制防護層或其組件在設施管理體系以及操作紀律中的績(jì)效。因為4級KPI反應的是與企業(yè)維護和改進(jìn)其風(fēng)險控制防護層有直接關(guān)系的措施，所以這些KPI通常更加超前和主動(dòng)。第4級的運行紀律和管理體系績(jì)效指標等同于職業(yè)安全金字塔底部的不安全行為與不安全狀態(tài)。職業(yè)安全金字塔的不安全行為和不安全狀態(tài)主要是指一線(xiàn)員工的不安全操作行為以及容易造成個(gè)人傷害的不安全的狀態(tài)。第4級指標如：安全關(guān)鍵設備按時(shí)檢查完成率；變更管理（MOC）和開(kāi)車(chē)前安全審查（PSSR）對要求和質(zhì)量標準的滿(mǎn)足率；緊急響應演習按時(shí)完成率等。

過(guò)程安全績(jì)效指標目的在于識別最終能導致重大后果的事件或條件。監測和分析過(guò)程安全績(jì)效能使公司采取必要的糾正行動(dòng)。過(guò)程安全績(jì)效指標的目的有：    　　

過(guò)程安全事故可對企業(yè)的人員、環(huán)境、財產(chǎn)、名譽(yù)以及財務(wù)穩定性造成嚴重危害。對重大事故進(jìn)行記錄，并對其根本原因進(jìn)行仔細分析，將為我們提供經(jīng)驗教訓以便預防其再次發(fā)生。由于此分析是追溯的并且是以相對不頻發(fā)的事件為基礎，企業(yè)能依靠這些經(jīng)驗教訓來(lái)預防重大事故。因此有必要拓寬分析范圍，從后果不太嚴重的事件和管理系統的績(jì)效中總結經(jīng)驗教訓，并主動(dòng)對預防重大事故的防護層進(jìn)行加強。通過(guò)對與管理體系和其它行動(dòng)有關(guān)的績(jì)效進(jìn)行內部監控和審核，來(lái)強化過(guò)程安全防護層并減少事故的發(fā)生。過(guò)程安全績(jì)效指標是持續改進(jìn)的基礎；    　　

杜絕驕傲自滿(mǎn)，重大事故發(fā)生的概率相對比較低，所以在人們的思維中很容易就認為其它輕微后果的風(fēng)險“一切都正?！?，過(guò)程安全績(jì)效指標可通過(guò)數據體現出過(guò)程安全管理體系所需的關(guān)注以及來(lái)自未遂事件和不嚴重事件的警告進(jìn)行隨時(shí)提醒；   　　

通過(guò)將過(guò)程安全績(jì)效數據作為基準與行業(yè)平均水平進(jìn)行比較和通過(guò)與其他企業(yè)分享經(jīng)驗教訓所獲得的信息，對所計算的過(guò)程安全績(jì)效是否符合或超過(guò)行業(yè)標準進(jìn)行評估；

就過(guò)程安全的重要性與職工進(jìn)行溝通通常有一定的難度，但是過(guò)程安全績(jì)效指標提供了管理重點(diǎn)、透明度和進(jìn)步的可靠性證據，從而可支持過(guò)程安全文化和行為；    　　

通過(guò)過(guò)程安全績(jì)效指標預防重大事故的措施和管理和使企業(yè)運營(yíng)更加可靠是相互影響的，企業(yè)運營(yíng)的質(zhì)量和生產(chǎn)能力能反映出其未來(lái)的盈利能力，將直接產(chǎn)生經(jīng)濟業(yè)績(jì)。

開(kāi)放、透明地將績(jì)效向利益相關(guān)者進(jìn)行公示，例如員工、當地社區、投資者、政府和非政府機構以及廣大民眾，企業(yè)能有許多機會(huì )可同其利益相關(guān)者進(jìn)行溝通， 并建立企業(yè)自身的信譽(yù)。

目前國內企業(yè)大多執行的是HSE體系，只是可能會(huì )在HSE體系中有各別程安全管理要素內容的體現，所以幾乎沒(méi)有過(guò)程安全管理，那么類(lèi)似于BP德克薩斯州的事故，在沒(méi)有過(guò)程安全管理的情況下關(guān)注人身安全，把”零傷亡“作為我們的管理目標，這樣就會(huì )有重大過(guò)程安全事故發(fā)生的風(fēng)險?！　?/span>

所以國內企業(yè)需要借鑒API RP754以及OGP456的規定在自己企業(yè)內部做出適合自己企業(yè)的過(guò)程安全事故統計方法和對應的分級標準，在做HSE隱患排查、可記錄傷害事件、死亡等數據統計的同時(shí)加入過(guò)程安全管理四級過(guò)程安全績(jì)效指標的統計，并根據統計結果進(jìn)行分析，對目前的制度進(jìn)行完善或提出新的給過(guò)程安全相關(guān)的制度融入在HSE體系中。并積極在企業(yè)內推進(jìn)過(guò)程安全管理。

通過(guò)BP德克薩斯州的事故分析級經(jīng)驗教訓，我們因該在企業(yè)內更多的重視過(guò)程安全管理及過(guò)程安全管理績(jì)效指標，并對四級過(guò)程安全事故進(jìn)行統計、分析，找出管理或者保護的薄弱點(diǎn)，然后對管理制度、保護層等進(jìn)行完善，對我們的安全管系統進(jìn)行改進(jìn)，進(jìn)而預防重大過(guò)程安全事故的發(fā)生。