导
读
2005 年 3 月 23 日中午 1 点 20 分左右，英国石油公 司(BP)在美国德克萨斯州的炼油厂碳氢化合物车间发生 系列爆炸，造成 15 人死亡，180 多人受伤。这起事故的 发生也成为了美国过程安全管理的一个转折点。本文结合美国化学品安全与危害调查委员会(CSB- Chemical Safety Board)对该事故的分析，从过程安全管 理及过程安全绩效指标方面深刻分析产生爆炸事故的原 因，并提出改进措施。
一、事故介绍
目前很多企业都是执行 HSE 管理体系，把零伤亡作为 企业安全管理的目标，所以我们管理的重点自然而然就变 成对人身安全的管理，但是对诸如操作工违反操作规程进 行操作、报警的次数、联锁触发的次数、安全阀起跳的次 数，以及企业内出现的泄漏事故关注的相对较少，但是这 些看似微不足道的隐患往往最后导致了重大的过程安全 事故的发生。所以我们需要重视过程安全管理，重视过程 安全管理的绩效。本文通过 CSB 对美国 BP 德克萨斯州炼 油厂火灾爆炸事故的分析，提出了企业应重视过程安全管 理和过程安全管理绩效，并阐述过程安全管理绩效的划分和目的。
二、事故经过
2005 年 3 月 23 日 13 时 20 分左右，英国石油公司(BP) 位于美国德克萨斯州(Texas)的炼油厂异构化装置发生了 严重的火灾爆炸事故，该事故为美国作业场所近 20 年间 最严重的灾难。事故造成 15 人死亡，180 余人受伤，爆 炸产生的浓烟对周围工作和居住的人们造成不同程度的 伤害，直接经济损失超过 15 亿美元。
德克萨斯州的炼油厂是 BP 公司最大和最复杂的炼油厂，每天生产汽油产量达 1000 万加仑（约占整个美国汽 油销售总量的 2.5%）。此外，它还生产喷气式发动机燃 料、柴油燃料和化学原料。炼油厂有 29 个炼油工艺装置 和 4 个化工装置，占地 1200 英亩，拥有 1800 名 BP 正式 员工，事故发生时另外有大约 800 名承包商员工在现场， 正在进行检修作业。事故发生在德克萨斯州炼油厂的异构化装置检修后 的开车阶段，异构化装置建于 1980 年，为了生产高辛烷 值的无铅汽油，该装置由四部分组成：超细脱硫器、戊烷 和己烷反应器，蒸汽回收/液体循环装置和残液分馏塔， 异构化工艺就是在不移除或加入任何原子情况下改变原 子排列，将直链的戊烷和己烷转变成高辛烷值的异戊烷和 异己烷进行汽油调和。该精馏塔接收来自芳烃回收装置 （ARU）的非芳烃物料，然后将其分馏成轻组分和重组分。残液分离装置包括一个进料缓冲罐、蒸馏塔、加热炉（加 热炉分两部分，一部分给精馏塔再沸器加热，一部分给塔进料预热）、空冷器、回流罐、泵和换热器。总残液的 40％都在塔顶作为戊烷和己烷轻组分残液而回收，并作为 异构化装置的原料。剩余的重组分残液被用作烯烃裂解的 原料，用以生产普通的无铅汽油。
残液精馏塔一个立式精馏塔，内径 3.8m，高 52m，满 塔容积为 586.1m3，塔内安装有 70 层塔盘。
图 1：残液精馏流程简图
液通过泵从残液精馏塔的中间位置进入塔内，在进料 管线上有自动流量控制回路，进料需要先通过换热器与残 液精馏塔塔底出料进行换热然后在送至加热炉再次加热， 精馏塔塔底重残液通过塔底泵，一部分去塔底再沸器进行 加热后返回塔底，一部分给进料换热后再经过水冷却器后 至规定温度后送至储罐，采出量根据塔底液位自动调节， 以保证塔内液位的稳定。精馏塔装有一个液位远传，在DCS 上显示，液位远传能指示塔内 1.5m-2.7m 的液位，精 馏塔也装有两个独立的液位报警，一个报警值设置为 72% （约 2.3m 高液位），另一个是液位报警是开关形式，报 警值为 78%（约 2.4m 高液位），精馏塔也设有低液位报警。
塔顶的气相进入距塔底约 8m 高的空冷器进行冷凝， 冷凝的液体进入回流罐，回流罐在正常生产期间进行满罐 操作，回流罐的液体通过回流泵一部分从塔顶的第一块塔 盘回流回塔，一部分采出经过冷却后去储罐，回流罐也设 有液位高低报警和一个设定值为 483Kpa 的安全阀，安全 阀设有旁通管线，旁通管线连接至装置的放空系统，在开 车 期 间 ， 不 凝 气 、 氮 气 等 通 过 安 全 阀 的 旁 通 管 线 放 空。
为了保护精馏塔不超压，在塔顶气相管线上安装有 3 个并列的安全阀，安全阀出口连接至放空罐，放空罐设有 一个高点放空烟囱。安全阀的设定压力分别为 276Kpa、 283 Kpa、290 Kpa，安全阀设有旁通阀，用于放空不凝气 和系统放空。放空系统收集异构化装置的所有放空气，放 空气先在放空罐中进行分液，然后高空排放。精馏塔的放 空管线外径 356mm、约 270m 长。
图 2：放空总管
放空气中携带的液滴或冷凝下来的液体在放空罐底 部集聚，放空罐内径 3m、高 8m，放空罐上有一个直径 860mm，离地面高 36m 的烟囱直接对大气排放，放空罐中 设有 7 块挡板，以便分离放空气中携带的液滴。放空罐底 部管线上设有一个液封
图 3：放空罐及液封图
（见图 3 所示），以保证放空罐中 有一定的液位，液封出口管线上设有一个手阀排放至地 沟，这个手阀平常处于铁链锁开状态。见图 4 所示。
图4：液封及锁开的手阀
在放空罐底部还有一根排静管线，管线上的手阀处于常关。放空罐上设有液位计以便监控液位，同时当放空罐中的液位 到液封的高度时会有高液位报警。
图 5：异构化装置周边布置图
与异构化装置毗邻的芳烃回收装置还处于维修阶段， 有大量的承包商参与维修作业，在异构化装置的西边有很 多的活动板房，离放空罐距离约 37m，维修作业的承包商 在活动板房中办公、洗衣、更衣和淋浴。
三、事故发生过程
01 开车前的准备
在异构化装置开车前，刚刚完成了检修作业，在检修 的过程中操作工分成两组进行倒班，每班工作 12 小时， 计划在开车正常后恢复正常的倒班时间。
BP 有严格的开车前管理程序，其中要求在维修作业 后开展开车前检查（PSSR），在事故发生两年前已经在维 修作业后开展 PSSR，但是由于工艺安全协调员对异构化 装置不熟悉，所以在开车时没有开展 PSSR。
在开车前的设备检查过程中，残液精馏塔的关键仪表 和设备被查出存在故障，在检修的过程中操作工指出塔底 的液位远传及现场的视镜存在问题你，但是由于检修时间 紧迫，只是对液位计的隔离阀进行了更换，计划等开车后 再各阀门后再进行维修。
操作人员也发现回流罐上的压力控制阀存在故障， DCS 对阀门进行操作，但是现场发现阀门根本没有动作， 报告给直管经理时，并没有下工作单进行维修，并且在开 车前直管经理还签字确认了所有的仪表都经过了测试。
02 事故发生经过
3 月 22 日夜班班组得到了残液分离塔开车的指令， 夜班班长在异构化装置的现场操作室进行开车前的灌塔 操作，夜班内操做中控室进行另外两套装置的操作，夜班班长没有使用开车操作程序有没有对操作进行记录，这样 导致下一班接班时没有任何记录文件。
约 23 日凌晨 2:15，开始给残液精馏塔进料；
2:27 塔底液位在开始上升；
2:44 内操打开了再沸器流量调节阀，以此建立再沸 器循环并向再沸器回路灌入残液；
2:55 所示液位掉回到 3％，然后，分馏塔底部液位又 逐渐开始上升；3:09 液位指示器的开始高液位报警，报警一直持续 到事故发生，但是高液位报名开关一直没有报警，由于没 有人意识到这个高液位开关没有报警存在故障，所以在操 作日志上没有任何体现，在塔内液位计再沸器等设备灌液 完成后，夜班当班人员停止了进料和塔底的循环泵，塔底 的液位控制阀处于设置在关状态；
5:00 夜班班长告诉主管和内操他要离开公司，简短 的介绍了他在现场操作室都做了什么工作，在中控室的操 作日志上写到“异构化装置已经完成了部分进料，请继续 进料”；
6:00 白班内操来接班，与夜班内操进行了交接，但 是夜班内操并没有直接进行夜间进料的操作，所以对残液 精馏塔的操作情况提供的信息很少，白班内操通过阅读操 作日志，以为夜班只是给塔进行了进料，并没有意识到再 沸器、管道已经完成了灌液操作；
7:15 白班主管 A 到达异构化装置办公室，由于来的 较晚，所以没有与夜班人员进行交接和沟通；
9:27 塔内的压力降低到 0Kpa，操作规程要求在塔进 料时保证塔内的压力比较低，以防止在进料时到最后塔内 压力上升。外操打开了塔顶安全阀旁通的 8“手阀放空泄 压。
9:40 白班内操打开塔底的液位控制阀，并保持 70% 开度 3 分钟，约有 12000bpd 残液排出精馏塔，当内操关 闭液位控制阀时，流量显示并没有变为 0，但是流量计故 障指示不对，实际上并没有残液排出精馏塔。
9:51 内操开始启动塔底循环泵进行塔底循环，并给 残液精馏塔继续进料，虽然此时精馏塔已经是高液位状 态；9:55 操作工点燃了加热炉的火嘴，对进料进行加热， 对塔底物料进行加热；
10:10 20000bpd 残液加入精馏塔，塔底流量计错误 的显示 4100bpd 残液从塔底液位控制阀排出，但是操作工 意识到液位控制阀是关闭状态，CSB 根据相关证据确认， 塔底是没有流量的，精馏塔只是进料没有出料；
10:47 有丰富的异构化装置操作经验的白班主管由于 家里临时有事离开了公司，副主管重要精力在 ARU 装置的 开车，且他也没有异构化装置的经验；11:16 操作工点燃了加热炉的另外两个火嘴，此时精 馏塔的液位指示为 93%（约 2.64m），但是 CSB 根据调查， 塔内的实际液位约（20m）；
11:50 操作工增加了加热炉的燃料气流量，塔底液位 计指示为 88%(2.6m)，并且液位还在下降，实际上此时塔 内的液位为 30m；
12:41 由于塔内液位的上升以及进料塔内的氮气被压 缩的导致塔内压力上升到 228Kpa，操作工认为塔内压力 上升是由于塔底加热温度过高造成的，外操打开塔顶安全 的旁通手阀进行泄压；
12:42 内操和白班班长认为应该降低加热炉的加热负 荷，降低了加热炉的燃料气流量，此时液位显示为 80%（约 2.4m），但是实际液位约 43m，内操给塔底液位控制阀开 度为 15%，并且在接下来的 15 分钟内 5 次开这个阀门， 直到 1:02 分，这个阀门的开度为 70%，实际上塔底残液 采出直到 12:59 分才开始有流量；
13:02 塔底采出的残液流量为 20500bpd，与进料量相 等；
13:04 塔底采出的残液流量为 27500 bpd，此时操作 工不知道 52m 高的塔内的液位已经达到 48m，但是液位计 读数继续下降，此时降为 78%（约 2.4m）；
图 6：13:04 分塔内的实际液位为 48m，但是 DCS 显 示为 78%约 2.4m
13:14 由于塔内充装过多的残液且升温太快，精馏塔 开始溢流，塔内液体进入塔顶的气相管线外流；精馏塔开 始加热后，塔内顶部温度低，底部温度高，见图 7 中 B 所 示，气泡和气化的气从塔底上升与冷的物料进行换热，气 体凝结，残液被加热，在 12:59 分塔底开始采出残液时又 通过进料预热换热器进一步给进料加热，导致在事故发生 时塔内的绝大多数残液都被加热了，只是在塔顶还有少量 的未被加热的残液，见图 7 中 C 所示。
图 7：残液精馏塔的进料加热
由于残液从塔溢流进入塔顶气相管线，在管线内产生 了液柱的静压加上塔内的压力超过了塔顶安全阀设定值， 安全阀起跳后残液进入了放空系统，见图 8 所示，基于安 全阀的设定值、事故发生后安全阀的测试和控制系统的数 据，第一个安全阀起跳的时间在 13:13:56，第二个安全 阀起跳的时间在 13:14:10 起跳，第三个安全阀起跳的时 间在 13:14:14，在中控室和现场控制室的操作工都看到 了精馏塔的压力上升到 343Kpa；
13:15 内操降低了加热炉的燃料气用量，内操认为塔 内压力升高是不凝气太多或者缺少回流造成的；13:16 内操完全打开了塔底液位控制阀把塔底残液送 至储罐；13:17 外操启动了回流泵；13:19 操作工通过步话机知道了放空罐烟囱溢流了， 根据目击者描述，残液从烟囱喷出高达 6m，在听到步话 机报告放空罐溢流 15 秒钟后，内操和白班班长开始停止 燃料气进料，事故后调查发现燃料气进料阀是在爆炸前 5 秒钟关闭的；
13:20:04 数百个报警响起，导致操作工没有足够时 间在爆炸前去启动紧急警报就发生了爆炸。
从烟囱喷出的高温残液在烟囱周边扩散，当时时速为 8km/h 的西北风加剧了可燃气体的扩散，如图 8 所示，过 火面积约 18581m2。
图 8：异构化装置周边的颜色深遭受了严重的火灾损 坏，红色箭头指向的是放空罐烟囱顶部
虽然识别了很多潜在的点火源，但是最可能的点火源 是停在距放空罐约 7.6m 并且没有熄火的柴油皮卡车，见 图 8 所示，有许多目击者到了皮卡车的引擎蜂鸣声，其中 有一名目击者称看到了皮卡车尾部的火花，并点燃了可燃蒸汽云，虽然多名证人证实皮卡车是点火源，但是不排除 存在其他点火源的可能。
图 9：异构化装置北面距放空罐 7.6m 的没有熄火的柴油皮卡车
可燃气被点燃后，火焰迅速传播到整个蒸汽云团，并 导致了爆炸，基于爆炸区域内结构损坏及分析，爆炸冲击 波的影响见图 9 所示。
图 10：爆炸冲击波影响范围
着火爆炸最终导致在活动板房内或者附近工作的 15 人死亡，整个爆炸域内 180 人受伤，其中 66 人重伤，爆 炸冲击波迅速波及了整个异构化装置，40 个活动板房、 70 辆汽车 20 个储罐被炸坏，异构化装置北面 1.2km 范围 内的房屋或商业玻璃杯震碎。
图 11：放空罐西面的爆炸损坏的活动板房
四、事故原因分析
CSB 的事故调查人员在 3 月 24 日早上到达事故现场， 研究了物证和现场，并采访证人，分析了以下引起爆炸的原因：
（一）技术方面
01、异构化装置的开车程序要求在开车时应处于开的 位置以便残液从塔底部去储罐，然而阀门被一名操作工关 闭，导致塔被持续进料 3 个小时，导致塔液位过高和压力 过高，并最终导致安全阀起跳，残液进入放空系统，其它 导致塔灌满的因素有：
①塔底液位计故障，塔底液位开关故障，且塔底没有 安装其他液位指示或者自动安全设施；
②DCS 没有提供足够的物料进出平衡的信息来提醒操 作工液位高的风险；
③对在开车这样的危险的阶段的培训部不够；
④在交接班的过程中主管和操作工交流的信心很少， BP 没有交接班过程交接内容的要求；
⑤ 连 续 29 天 的 12 小 时 倒 班 制 导 致 操 作 工 很 疲 惫；
⑥培训计划不合理，培训部门的员工数量由 28 名降 低到 8 名，并且操作模拟器不能让操作工进行异常情况的 模拟训练，例如开车这样的高风险阶段的模拟；
⑦过时的或者无效的操作规程。
02、在之前报告塔底液位计、现场液位计视镜和调节 阀故障的情况下仍然开车。
03、放空罐的容积不足够大来容纳由安全阀释放的物 料，没有对安全阀的及放空系统进行安全评估。
04、把不安全的放空罐及烟囱直接对空排放是不安全 的，BP 没有从一些类似事故中吸取教训，对放空罐进行 整改如把放空罐介入火炬等。
05、活动板房离处理危险物料的装置的太近。
06、事故发生之前几年里，工厂发生了 8 起严重的从 放空罐烟囱泄漏可燃气体的事故，且异构化装置的开车经 验是在开车时残液精馏塔内保持高液位，BP 没有对这样 的事故进行调查。
07、BP 德克萨斯州公司的管理层没有有效执行开车前 的安全检查制度，以确保在开车这样的危险阶段，无关人 员远离装置。
（二）管理方面
01、BP 集团经营经理执行的降低成本、投资失败、生 产经营等压力严重影响了德克萨斯州炼油厂的过程安全 绩效。
02、BP 董事会没有有效的监管 BP 的安全文化和重大事 故调查程序，董事会没有成员负责评估和验证 BP 的重大 事故危害预防程序的执行情况。
03、错误地依赖于低人员受伤率作为安全绩效指标， 而没有做好过程安全绩效指标和健康的文化。
04、BP 机械完整性管理的缺陷导致德克萨斯州炼油厂 的工艺设备运转失效。
05、BP 德克萨斯州炼油厂流行着检查签字作风(check the box)，人员在完成安全及程序要求时即使没有满足仍 然会签字。
06、BP 德克萨斯州公司缺乏报告和学习文化，员工没 有被鼓励去报告安全为和一些不安全行为；关于事故、隐 患的学习资料通常没有安排学习。07、安全竞赛、目标和奖励都集中在改进人身安全和 行为安全，而不是过程安全和安全管理系统，很多安全理 念和程序都是有缺陷的，德克萨斯州炼油厂的管理者在安 全方面没有树立以身作则带头作用。
08、在德克萨斯州炼油厂检查、研究和审核找出了许 多根深蒂固的安全问题，但是 BP 德克萨斯州炼油厂不同 层次的领导都认为是太晚了无法解决。
09、BP 德克萨斯州炼油厂有效的评估涉及人员、安全 理念或者组织机构的变化对过程安全的影响。
BP 德克萨斯州炼油厂的火灾爆炸事故是由多方面的 原因造成的，其中 CSB 明确指出 BP 错误地依赖于低人员 受伤率作为安全绩效指标，而没有做好过程安全绩效指 标。本文着重分析过程安全绩效指标的问题。
五、事故启示
（一）过程安全绩效的管理情况
在事故发生时，德克萨斯州炼油厂的 HSSE 部门下面 有一个过程安全部，这个部门负责过程安全执行情况的监 督，小组由 1 名经理和 4 过程安全工程师组成，过程安全 小组负责开展所有装置的过程安全分析、设施选址研究、 监督变更管理，也负责重要装置检修后的开车前安全检 查，协调过程安全审核，并确定什么样的事故按照过程安 全事故进行调查。
过程安全小组计划跟踪超越安全操作极限的次数、但 是在事故发生之前还没有来得及执行。
在 2004 年 9 月 BP 集团炼油板块经理会的过程安全总 结里把德克萨斯州炼油厂划分为高风险，总结中提出，BP 炼油厂对过程安全事故的调查不够深入和彻底，德克萨斯 州炼油厂很严重的问题是没有关闭 PSM 事故调查项，要求的关闭率为 90%，但是 2004 年关闭率从 2002 年的 95%降 低到 79%，工艺安全经理指出关闭率是从 2003 年把关闭 率这一指标从计算奖金的公式中拿出后开始下降的，在 2004 年年底，德克萨斯州炼油厂只是关闭了 33%的过程安 全调查项，异构化装置为 31%，2004 年的 PSM 相关的计划 只完成了 40%。
另外，从 2004 年的 PSM 审核结果可以发现 PSM 绩效 在划分为尤其需要重点考虑的机械完整性、培训、过程安 全信息、变更管理方面的得分很低，从 2003 年到 2004 年， 不是由 BP 跟踪的过程安全绩效中的泄漏数据显示泄漏事 故由之前的每年 399 起增加到 607 起。
2000 年 BP 的格兰杰莫斯炼油厂发生了 3 起事故，其 中 1 起重大的工艺装置火灾事故和 2 起严重的人员受伤事 故，英国健康和安全执行委员会（The U.K. Health and Safety Executive） 调查了事故并发布了重大事故报告， 在报告中指出 BP 尤其需要重视过程安全绩效指标，因为 人身安全指标不能 衡量重大事故的的风险。但是 BP 在安 全管理中没有吸取这个教训，反而花费更多的精力去衡量 和奖励人身安全绩效而不是过程安全，人身安全绩效对跟 踪后果不严重，可能性高的事故很重要，但不是一个很好 的 过 程 安 全 绩 效 ， 就 如 过 程 安 全 专 家 特 雷 弗 克 莱 兹 （Trevor Kletz）说的 “损失工时率不是过程安全的衡 量标准”。
根据上面的分析，BP 需要重视过程安全绩效指标， 对我们国内企业也是一样的，我们国内企业很多没有过程 安全管理或者有过程安全管理同样也是以伤害率作为安 全管理绩效的标准，这也是国内一些重大过程安全事故频 发的原因。
（二）过程安全绩效指标的标准
虽然 BP 的德克萨斯州炼油厂事故及 BP 的格兰杰莫斯 炼油厂发生后，包括英国健康和安全执行委员会、CSB 等 机构认为 BP 需要更多的关注过程安全绩效指标，但是当 时在行业里并没有合适的标准来协助企业进行过程安全 绩效指标的管理。
直到 2010 年 4 月，美国石油协会（API- American Petroleum Institute）发布了关于炼油与石化工业过程 安全绩效指标的推荐标准（RP-Recommended Practice)， 编号为：754，简称为 RP 754。此标准由美国国家标准协 会（ANSI-American National Standards Institute）多 方利益相关者磋商编制，并以来自于 API 和美国化工过程 安全中心（CCPS-Center for Chemical Process Safety） 关于指标的初步指南为基础。RP 754 标准十分重要，在 全球范围内得到了下游及综合性石油企业的支持和采 用。
由于 RP 754 主要针对下游生产，国际油气生产商协 会 （ OGP- International Association of Oil &Gas Producers）认识到有必要提供进一步的指南，以支持 RP754 对上游生产的适用性，于 2011 年 11 月发布了适合上 游石油勘探和生产企业的过程安全绩效指标的推荐标准， 标号 456，简称 OGP456，帮助全球的上游生产企业做好企 业的过程安全管理绩效。
（三）过程安全绩效指标的划分
重大事故很少由单一原因引起，而通常是由多重保护 层失效同时发生并共同导致有严重后果的意外事件。这些 保护层在这里由单个“瑞士奶酪切片”进行表示，包括管 理体系、物理工程防护或其它为预防事件发生而设计的保 护层。
下图中孔洞的排列成线代表了多个“防护层”的失效 并 导 致 第 一 次 层 容 纳 失 效 （ LOPC-loss of primary containment）事件。在我们的行业中，有复杂的控制装 置可对 LOPC 事件进行检测并减轻其后果，但对这些“增 加的防护层”的孔洞仍可排列成线，并发生火灾、爆炸或 其它破坏性事件而导致严重伤害。
图 12：奶酪模型
本模型可用于区分两种重要类型的关键安全绩效指 标（KPI-Key Performance Indicators）。记录 LOPC 事 件的数量或记录当一个或多个防护层同时失效时实际后 果的指标定义为“滞后”指标。滞后指标也可用于估量防 护层中孔洞的数量和大小来评估风险控制系统中的薄弱 环节、缺陷或失效的程度。反之通过衡量企业保持优秀的 风 险 控 制 绩 效 来 检 查 防 护 层 的 强 度 就 是 “ 超 前 ” 指 标。
滞后指标通常可追溯并以结果为导向，而超前指标通 常具有前瞻性。基本上，大部分 LOPC 事件仍属于失效但 是不产生实际后果，滞后于后果，在预测产生严重后果的 重大事故的可能性时轻微后果 LOPC 事件可以提供超前信 息，因此，超前和滞后通常非常有用，但企业需要认识到 某些指标可同时提供追溯性和前瞻性。可作为超前指标也 可 作 为 滞 后 指 标 的 一 个 很 好 的 例 子 就 是 ‘ 未 遂 事 件’。
为 了 便 于 对 过 程 安 全 事 故 进 行 统 计 ， API754 和 OGP456 把过程安全事故（PSE）分为 4 级，如图 13 所示。
图 13：过程安全绩效指标金字塔
第 1 级工艺安全事故（PSE）是最滞后的业绩指标， 表明危险实际上穿越了保护层中的孔，导致重大后果。在 与低级别指标结合使用时，它能为一个公司提供一个其工 艺安全业绩评价。
第 1 级 PSE 是后果较大的第一层容纳失效（LOPC），是非计划或失控的来自工艺的物料释放。API754 中第 1 级工艺安全事故进行了详细的规定和实例。第 1 级工艺安全事故等同于职业安全金字塔的死亡和重 伤，但不再完全以事故造成的损失来衡量，而是只要危险 物料发生泄漏，且泄漏量达到标准规定的阈值量或者事故 后果达到标准规定的后果。
第 2 级 PSE 代表后果低于第 1 级的 LOPC 事故。第 2 级 PSE 表明保护系统弱点，而且可以是未来更重大的事件 的潜在预兆。从这种意义上讲，第 2 级事件能为公司提供学习和改进其工艺安全业绩的机会。第 2 级 PSE 代表一般 性泄漏事故等同于职业安全金字塔的轻伤。衡量指标为只 要危险物料发生泄漏，且泄漏量达到标准规定的阈值量或 者事故后果达到标准规定的后果。第二级规定的阈值量或 者事故后果比第一级规定的小一些。
第 3 级 PSE 通常代表对保护系统的一种挑战。第三级 事故等同于职业安全金字塔的未遂事件，衡量指标包括运 行参数达到装置的操作极限，SIS 动作，安全释放装置启 动，机械停车装置启动，微量泄漏。这级指标提供一个附 加的机会，以识别和纠正保护系统内的弱点。
第 4 级指标表示单个风险控制防护层或其组件在设 施管理体系以及操作纪律中的绩效。因为 4 级 KPI 反应的 是与企业维护和改进其风险控制防护层有直接关系的措 施，所以这些 KPI 通常更加超前和主动。第 4 级的运行纪 律和管理体系绩效指标等同于职业安全金字塔底部的不 安全行为与不安全状态。职业安全金字塔的不安全行为和 不安全状态主要是指一线员工的不安全操作行为以及容 易造成个人伤害的不安全的状态。第 4 级指标如：安全关 键设备按时检查完成率；变更管理（MOC）和开车前安全 审查（PSSR）对要求和质量标准的满足率；紧急响应演习 按时完成率等。
（四）过程安全绩效指标的目的
过程安全绩效指标目的在于识别最终能导致重大后 果的事件或条件。监测和分析过程安全绩效能使公司采取 必要的纠正行动。过程安全绩效指标的目的有：
过程安全事故可对企业的人员、环境、财产、名誉以 及财务稳定性造成严重危害。对重大事故进行记录，并对 其根本原因进行仔细分析，将为我们提供经验教训以便预 防其再次发生。由于此分析是追溯的并且是以相对不频发 的事件为基础，企业能依靠这些经验教训来预防重大事 故。因此有必要拓宽分析范围，从后果不太严重的事件和 管理系统的绩效中总结经验教训，并主动对预防重大事故 的防护层进行加强。通过对与管理体系和其它行动有关的 绩效进行内部监控和审核，来强化过程安全防护层并减少事 故 的 发 生 。 过 程 安 全 绩 效 指 标 是 持 续 改 进 的 基 础；
杜绝骄傲自满，重大事故发生的概率相对比较低，所 以在人们的思维中很容易就认为其它轻微后果的风险“一 切都正常“，过程安全绩效指标可通过数据体现出过程安 全管理体系所需的关注以及来自未遂事件和不严重事件 的警告进行随时提醒；
通过将过程安全绩效数据作为基准与行业平均水平 进行比较和通过与其他企业分享经验教训所获得的信息， 对所计算的过程安全绩效是否符合或超过行业标准进行 评估；
就过程安全的重要性与职工进行沟通通常有一定的 难度，但是过程安全绩效指标提供了管理重点、透明度和 进 步 的 可 靠 性 证 据 ， 从 而 可 支 持 过 程 安 全 文 化 和 行 为；
通过过程安全绩效指标预防重大事故的措施和管理 和使企业运营更加可靠是相互影响的，企业运营的质量和 生产能力能反映出其未来的盈利能力，将直接产生经济业绩。
开放、透明地将绩效向利益相关者进行公示，例如员 工、当地社区、投资者、政府和非政府机构以及广大民众， 企业能有许多机会可同其利益相关者进行沟通， 并建立 企业自身的信誉。
（五）过程安全绩效指标对我们的要求
目前国内企业大多执行的是 HSE 体系，只是可能会在 HSE 体系中有各别程安全管理要素内容的体现，所以几乎 没有过程安全管理，那么类似于 BP 德克萨斯州的事故， 在没有过程安全管理的情况下关注人身安全，把”零伤亡 “作为我们的管理目标，这样就会有重大过程安全事故发 生的风险。
所以国内企业需要借鉴 API RP754 以及 OGP456 的规 定在自己企业内部做出适合自己企业的过程安全事故统 计方法和对应的分级标准，在做 HSE 隐患排查、可记录伤 害事件、死亡等数据统计的同时加入过程安全管理四级过 程安全绩效指标的统计，并根据统计结果进行分析，对目前的制度进行完善或提出新的给过程安全相关的制度融 入在 HSE 体系中。并积极在企业内推进过程安全管理。
通过 BP 德克萨斯州的事故分析级经验教训，我们因 该在企业内更多的重视过程安全管理及过程安全管理绩 效指标，并对四级过程安全事故进行统计、分析，找出管 理或者保护的薄弱点，然后对管理制度、保护层等进行完 善，对我们的安全管系统进行改进，进而预防重大过程安 全事故的发生。
本文由化工365编辑整理
