基于风险的报警管理在SCADA系统中的应用

通过今年来石油化工行业的事故案例进行分析，可以看出一个事故的发生往往是由一系列因素综合作用的结合，例如，除了设计缺陷、潜在的危险及可操作性问题辨识不足，还存在缺乏必要的定量分析依据等问题，例如，安全仪表回路的增加及删除、变送器及阀门的冗余设置、报警优先级及有效性的确定、人机界面优化、报警泛滥消除等等。因此采用单一的风险分析方法很难科学、合理的解决所有的危险有害因素。

HAZOP分析作为PSM中常见的定性工艺危害分析方法，其应用范围的愈加的广泛，具有系统全面、简单易学、针对性和可操作性强等特点，在杜绝、减少事故的发生，降低灾害带来的损失及事故原因分析等方面发挥着积极的作用。

对HAZOP识别出的高危险场景可采用LOPA（保护层分析）的方法进行半定量分析，通过评价保护层要求时的失效概率来判断现有保护层是否可以将特性事故情形下的风险降低到风险可接受标准的要求，因此可很好的识别中间事件、安全措施和事故后果，帮助分析人员全面了解、认识特性的事故场景。

在LOPA分析中对报警作为独立保护层的场景进行识别时，对其有效性的评估中往往缺乏必要的依据，因此采用报警管理的方法对报警进行优化评估，同时也可对现有系统报警系统进行诊断分析，通过制定合适的KPI指标，识别运行中潜在无效、泛滥报警，全面提高报警管理的有效性。

本文旨在通过HAZOP、LOPA及报警管理等的有机结合，研究一套完整的风险分析体系，更加全面的识别事故场景中各个危险有害因素，通过定性分析与定量分析综合分析，确保风险分析的全面性、科学性、准确性。

概 述

报警管理是通过制定完整有效的报警设计流程和管理策略，或改善现有装置中已有的报警管理体系，来避免更大的财产损失以及环境、安全事故的一种手段。报警系统是协助操作人员发现工艺、设备或系统问题并优先做出响应，防止发生不可控的后果。同时为其他分析人员采集离线信息，方便后期的维修工作及事故的调查工作。但报警不是万能的，它并不能够取代操作人员对装置的操作和监控。

本文通过介绍国内站场在工艺风险及报警管理方面存在的主要问题，说明基于风险分析的报警管理的有效性及必要性，提出化工装置应当在设计阶段及操作阶段等不同阶段的执行要点，并举例说明了报警评估及报警诊断的方法。报警管理的生命流程如图表1所示。

图表1报警管理生命流程图

以上对HAZOP、LOPA及报警管理的技术方法及工作流程分别进行了简单介绍，仅采用单一的危险分析方法往往存在着一定的局限性或者点到为止的现象。因此以下对三种风险方法如何有机结合进行介绍，如下图所示：

图表2风险分析体系

1 事故案例

1.1 项目背景

本章以2005年12月11月位于伦敦西北部的帮斯菲尔德油库爆炸事件为例，通过识别事故发生的主要危险有害因素，并针对重点原因，提出了必要的风险分析方法及建议措施。根据英国政府成立的联合调查组（Taf Power具体负责）整理后的报告内容，对事故发生的描述如下：

2005年12月10日19时，英国邦斯菲尔德油库HOSL西部区域A罐区的912号储罐开始接收来自T/K管线的无铅汽油，油料的输送流量为550m3/h（该流量在允许范围）。

12月11日凌晨（零时），912号储罐停止收油，工作人员人该储罐进行了检查，检查过程大约在11日凌晨1时30分结束，无异常。

12月11日凌晨3时开始，912号储罐液位计失效，指示不变同时报警失效，继续接受550m3/h的无铅汽油。

12月11日5时20分至6时，912号储罐装满，独立安全仪表系统失效，油料冒顶，形成蒸汽云。

12月11日6时1分油罐车排气管引燃蒸汽云，无可燃气检测及报警措施，第一次爆炸、燃烧，。

12月11日6时30分应急消防启动，32小时后扑灭火灾。

12月14日火灾再次发生，任其燃烧。

12月15日所有火灾扑灭。

事后发生后，调查小组对库区及周围环境的调查分析，经分析后事故的原因包含了设计、运行操作、管理等一系列的问题，储罐的示意图如下：

图表3储罐保护层

本文对事故发生的主要原因，按照保护层失效的顺序进行了概括，并针对各原因的核心因素，结合现有的风险分析方法，提出了具体的响应措施：

保护层1：

912号罐液位计故障卡涩，无法正常工作，人员无法正常读数；

操作员技能培训不合适，无法根据进料判断液位变化。

措施1：采用HAZOP方法进行逆向分析，全面具体的梳理可能发生的危险场景，如超压、溢流等，识别出可能发生的原因，控制回路失效，人员误操作等原因，并提出合理的建议措施，如更改故障率较高的液位开关选型、增加可燃气探头等。

保护层2：

液位计报警功能失效、无法提醒操作人员进一步处理。

措施2：采用报警管理的方法对报警设定点、响应时间、后果严重性、人员行动及优先级进行评估，针对重要报警的报警形式（声、光、频率）以及检验测试周期提出要求。

保护层3：

独立的高液位开关联锁失效，无法及时触发切断阀，切断物料。

措施3：采用LOPA的分析方法通过对各保护层失效概率进行分析，提出该联锁回路的SIL等级要求，并提出安全功能需求，如检验测试周期、覆盖率等

保护层4：

措施4：采用LOPA的分析方法通过对各保护层失效概率进行分析，针对现有保护措施的削减能力无法满足要求的场景，通过增加可燃气探测及报警措施提高保护层削减能力

保护层5：

应急预案编制不合理，没有考虑最大事故场景

通过QRA定量风险分析对可燃气火灾爆炸范围进行计算，指导应急预案编制中撤离路线及安全区域的划分。

2 报警管理的应用

本文以国外某气田工程为例，该工程主要包括采气井及集输站系统、单井计量分离器、清管发送装置、燃料气调压撬、火炬系统、排污系统、缓冲剂注入系统、线路截断阀室、清管接受装置、发电机系统等。本文选取典型风险场景—“自单井来原料气流量过高”，采用风险分析体系中各方法进行综合性分析。

2.1 HAZOP分析

首先采用HAZOP的分析方法对该场景进行定性分析后，导致单井原料气流量过大的原因分别为：节流阀开度过大及单井采气量过大，后果为节流阀后压力上升，管线内气体流速增加，管线可能超压破裂，潜在火灾爆炸场景，提出了针对性建议措施，例如，管线管径的大小、单井来料管线上PSV020201旁路管线接管点、增设PAH报警点等。具体分析工作表如下图所示：

图表4HAZOP worksheet

2.2 LOPA分析

按照执行规则，对HAZOP识别出高风险等级的场景需进一步采用LOPA分析方法进行SIL定级，以确定其保护措施的削减能力是否满足风险可接受标准的要求。

在LOPA分析中除了需对后果严重进行准备把握外，还需要重点关注初始事件概率、保护层的独立、有效及可审核性对分析结果的影响。典型的初始事件的概率如下图所示：

图表5初始事件概率

LOPA分析基于HAZOP分析的后果及原因进行分析，具体分析工作如下：

图表6LOPA分析表

通过分析认为现有保护措施的削减能力可以满足可接受标准的要求，因此对SIL等级无要求。但是此LOPA分析的基础是报警及人员干预（HAZOP建议）可以作为有效措施，因此面临的新问题是该报警是否有效，例如，报警点的设置是否合理、能够满足人员响应的要求、人员行动是否定义、报警优先级如何确定等，因此引出了报警管理的话题。

2.3 报警分级优化

目前在报警管理方面国内缺乏必要的法律法规，在设计阶段也没有完整的报警管理程序。本文以国外SCADA 1167-长输管线报警管理及EEMUA191-报警管理导则为依据，对报警进行优化分级。因在执行过程中缺乏必要的技术资料，因此仅对该方法的执行要点进行简单介绍。下图为典型的报警分析工作表。

图表7报警优化

由此可以看出在报警定级的原因及后果可以直接基于HAZOP分析的成果进行分析，在执行的过程中应重点以下几点因素：报警点设置、设计值、变化速率、报警响应时间、后果严重性、延迟需求、死区要求等。通过该方法可以对报警进行优先级、主要性能指标分析以确定其不同的响应要求。

2.4 报警诊断优化

本文通过对某天然气处理在役装置采用ALRSuite软件进行了报警诊断分析，该装置为分析前每小时报警数量为120-125条/小时，根据SCADA1167的标准最小的标准为1条/10分钟，由此可以看出本装置报警系统处理泛滥的状态（不可接受状态）。工作组按报警管理中报警诊断的方法进行分析，不同阶段报警数量，如下图所示：

图表8 报警性能指标

通过对该装置为期5个月的分析，平均报警率削减我12条/小时，重复报警及无效报警削减了接近90%，装置的性能指标由Level 1提高到Level 3，大大的提高了报警有效性及操作人员的效率。

3 标准对比

目前国内没有针对全行业的与报警管理相关的标准及导则，仅在SACDA系统的报警管理上 ，中石油天然气股份有限公司发行了Q/SY BD 35-2009《天然气管道SCADA系统报警管理技术规定》及Q/SY XG 10121-2013《SCADA系统报警管理规范》。这两本规范的内容基本一致，主要涵盖了：报警的一般原则与要求、报警类型及内容、报警显示、报警设置、报警输出、报警响应及报警系统权限划分及维护等信息，与国际标准SCADA 1117及EEMUA 191相比，国内标准在报警分级方面只是规定了不同报警的级别，缺乏必要的定级执行步骤与方法，在报警诊断优化方面只是简单提到了几个指标，没有具体介绍该指标的应用方法，因此本文重点针对这两部分的内容进行介绍。

“学知识、涨经验、增价值”就是《安全随行幸福生活》公众号-安全资讯知识

4.1 报警分级

KPI指标

无论设计阶段还是运行阶段，KPI指标均为评估报警系统有效性的重要手段。设计阶段KPI指标（SCADA 1167）如下图所示：

表1 KPI指标（设计阶段）

运行阶段的KPI指标（EEMUA191）如下表所示：

表2 KPI指标（在役阶段）

执行方法

国际标准中，SCADA1167、EEMUA191、ISA18.2以及分别制定了不同的报警优先级评估方法。本文以SCADA1167风险矩阵法为例，对报警优先级划分进行阐述。

首先，需要评估出每一个报警回路的后果严重性等级和相应时间，参见表3和表4。

表3 后果严重性

表4响应时间

其中，HAZOP分析出来的危险场景及相应的后果严重性可以作为报警等级划分的输入，可以作为支撑报警管理的一项重要内容。具体的分级方法可以参见表5。

表5 报警矩阵（SCADA 1167）

响应时间通常是指操作人员从发现报警到处理正常所必须花费的时间。由此可见，如果一组报警值与其相对应的联锁值设置不当的话（如，一个液位低报警至液位低低报警的时间只有5分钟，实际需要15分钟才能恢复正常操作），那么这样的报警值就是无效且不必要的。因此在设计阶段需要对报警值和联锁值的确定投入更多的精力，即提高对HAZOP分析等一些分析方法的重视程度，保证报警值设置有着充足的响应时间，这样才能在运行过程中降低各种非计划停车的次数和概率。

4.2 报警诊断

设计阶段主要侧重对报警优先级的设置，在运行阶段则主要对现有报警系统产生的数据进行分析，从而有效的发挥报警的功能，并保证装置的长周期运行，分析过程如下所示：

图表9报警诊断流程

在装置正常运行过程中出现的报警一定是有问题的。它可能是报警设置的不当、仪表故障、或者是出现异常工况等。因此，无论报警的真假而或报警设置的不合理，均需要管理人员和操作人员对出现的每一个报警进行关注。

1) 报警数据收集

在役装置对报警进行优化管理，首先要对报警数据进行收集，具体的内容如下：

· 收集工厂中SCADA系统报警和时间日志；

· 利用诊断工具处理收集到的数据；

· 回顾历史事故情况，标注重要事故；

· 收集设计和实施文档、程序以及HAZOP信息。

收集完成这些数据之后，需要管理人员和技术人员对其进行系统的分析和梳理并完成归档，把报警分为：

· 常驻报警数量；

· 厌烦报警数量；

· 无响应报警数量；

· 停用的报警。

同时分析归纳同类报警的报警频率，列出报警的平均报警率，列出优先级设置不合理的报警，辨识出特定时间段或区域严重等级，对这些不合理的报警，管理人员组织人员对报警进行合理化改进，对报警进行变更，使其使用与目前的装置运行。

2) 报警优化

步骤一：找出不合理的报警之后，需要对这些报警值进行优化变更。针对不同级别的报警值变更，需要技术人员和管理人员投入不同的关注度，但是均需要仔细讨论变更前后的工艺参数变化，识别出场景可能发生的危险，判断出变更后可能产生的后果，找出正确快速处理报警的办法。使变更后的报警更加合理有效。去除和新加的报警比之变更的报警需要更为慎重的处置方式。

步骤二：将这些不合理的报警进行进一步的归类，确立报警性能指标。

装置正常运行过程中出现了报警，需要对该报警进行仔细的记录和分析。记录中的内容应包括：报警的具体位号和位置，报警时间，分析报警原因，处理方法，恢复至正常操作的时间。还可以进一步扩展得出，如何避免该报警的发生，是否有类似的报警等内容。每天汇总各个班组的报警记录，将报警按进行分类，以每1~2周为一个周期，管理人员、技术人员和操作人员一起对超载和不能接受的报警进行进一步的处理和优化变更。从而提高报警的有效性和必要性，使装置平稳安全长周期的运行。

每天各个班组的记录汇总之后，制成饼图、平均报警率、最大报警率、TOP10报警等等，对全年装置报警优化成果进行分析，方便存档、年度总结和制定未来的运行和管理计划。

3) 加强人员技能培训

无论设置多么可靠的报警、多么精良的设备和良好的安装，如果操作人员的操作水平不能满足要求，突发情况的处理手段不到位，紧急事故状态下的应急响应不清楚。那么再好的装置、再准确的报警、再充足的响应时间也无法保证装置平稳安全的运行。

如今装置的自动化程度很高，工艺参数、报警和联锁多达几百上千个，对操作人员的技能水平提出了更高的要求。因此，不仅需要加强员工普通的操作技能水平，还需要进一步加强人员对报警及联锁时的响应即异常工况的处置。

应急演练的仿真度高低和演练方案的好坏决定了一次应急演练的效果，重视每一次的演练，才能让员工在真正发生突发状况时，能够做出最正确的应对，降低事故发生的后果，减少不必要的损失，使装置能够平稳安全长周期的运行。

4) 控制措施

对于通过平均报警率、最大报警率、TOP10报警等诊断出的重点报警，可采取报警分组、状态预设值、延迟、防抖动、单线显示等智能手段实现报警的抑制。例如，“一开一备”泵出口流量报警，可将泵的运行状态设作为报警触发的预设条件，在非运行状态报警自动为消除状态，如下图所示。

图表10泵流量低报警抑制方案

5) 人机界面优化

通过每一个风险场景的响应时间和风险严重性等级，我们能够将每一个报警进行分级。对分级过后的报警进行管理，从人机界面的角度，有如下方法：

· 针对不同级别的报警，我们可以用报警颜色来加以区别（如，红、黄、绿），便于操作人员在众多报警中，准确且及时的处理紧迫性较高的风险，从而稳定装置的运行；

· 对于不同级别的报警，我们可以在报警声音上加以区别；

· 不同级别的报警复位要设置不一样的要求，对紧急性高的报警，要提高复位的要求，防止操作人员麻痹大意，对报警进行了复位而未进行操作上的调整，可以通过增加确认对话框等手段来实现。

4 结论

本文首先通过多种风险分析方法的有效结合，提出了风险分析体系的概念，极大提高了风险分析的科学性及准确性，并以实际装置为例，从定性及定量的角度对设计及在役阶段装置存在的风险进行全面、深入的分析。

目前国内报警管理水平还停留在起步阶段，现有规范中内容仅为一些概念性信息，在设计及运行维护时，缺乏必要的指导及技术支撑。本文深入分析SCADA 1167、EEMUA 191及ISA 18.2等标准要求，对现有标准中的不足进行了补充分析，报警管理作为一套完整的全生命体系是一个任重而道远的工程，需要上至企业决策者，下至普通员工的共同努力，才能使其发挥更加深远的意义。

点击阅读原文自由查找、下载海量安全资料丨“分享”“在看”支持我