導
讀
2005 年 3 月 23 日中午 1 點 20 分左右，英國石油公 司(BP)在美國德克薩斯州的煉油廠碳氫化合物車間發生 系列爆炸，造成 15 人死亡，180 多人受傷。這起事故的 發生也成為了美國過程安全管理的一個轉折點。本文結合美國化學品安全與危害調查委員會(CSB- Chemical Safety Board)對該事故的分析，從過程安全管 理及過程安全績效指標方面深刻分析產生爆炸事故的原 因，並提出改進措施。
一、事故介紹
目前很多企業都是執行 HSE 管理體系，把零傷亡作為 企業安全管理的目標，所以我們管理的重點自然而然就變 成對人身安全的管理，但是對諸如操作工違反操作規程進 行操作、報警的次數、聯鎖觸發的次數、安全閥起跳的次 數，以及企業內出現的洩漏事故關注的相對較少，但是這 些看似微不足道的隱患往往最後導致了重大的過程安全 事故的發生。所以我們需要重視過程安全管理，重視過程 安全管理的績效。本文通過 CSB 對美國 BP 德克薩斯州煉 油廠火災爆炸事故的分析，提出了企業應重視過程安全管 理和過程安全管理績效，並闡述過程安全管理績效的劃分和目的。
二、事故經過
2005 年 3 月 23 日 13 時 20 分左右，英國石油公司(BP) 位於美國德克薩斯州(Texas)的煉油廠異構化裝置發生了 嚴重的火災爆炸事故，該事故為美國作業場所近 20 年間 最嚴重的災難。事故造成 15 人死亡，180 餘人受傷，爆 炸產生的濃煙對周圍工作和居住的人們造成不同程度的 傷害，直接經濟損失超過 15 億美元。
德克薩斯州的煉油廠是 BP 公司最大和最複雜的煉油廠，每天生產汽油產量達 1000 萬加侖（約佔整個美國汽 油銷售總量的 2.5%）。此外，它還生產噴氣式發動機燃 料、柴油燃料和化學原料。煉油廠有 29 個煉油工藝裝置 和 4 個化工裝置，佔地 1200 英畝，擁有 1800 名 BP 正式 員工，事故發生時另外有大約 800 名承包商員工在現場， 正在進行檢修作業。事故發生在德克薩斯州煉油廠的異構化裝置檢修後 的開車階段，異構化裝置建於 1980 年，為了生產高辛烷 值的無鉛汽油，該裝置由四部分組成：超細脫硫器、戊烷 和己烷反應器，蒸汽回收/液體循環裝置和殘液分餾塔， 異構化工藝就是在不移除或加入任何原子情況下改變原 子排列，將直鏈的戊烷和己烷轉變成高辛烷值的異戊烷和 異己烷進行汽油調和。該精餾塔接收來自芳烴回收裝置 （ARU）的非芳烴物料，然後將其分餾成輕組分和重組分。殘液分離裝置包括一個進料緩衝罐、蒸餾塔、加熱爐（加 熱爐分兩部分，一部分給精餾塔再沸器加熱，一部分給塔進料預熱）、空冷器、迴流罐、泵和換熱器。總殘液的 40％都在塔頂作為戊烷和己烷輕組分殘液而回收，並作為 異構化裝置的原料。剩餘的重組分殘液被用作烯烴裂解的 原料，用以生產普通的無鉛汽油。
殘液精餾塔一個立式精餾塔，內徑 3.8m，高 52m，滿 塔容積為 586.1m3，塔內安裝有 70 層塔盤。
圖 1：殘液精餾流程簡圖
液通過泵從殘液精餾塔的中間位置進入塔內，在進料 管線上有自動流量控制迴路，進料需要先通過換熱器與殘 液精餾塔塔底出料進行換熱然後在送至加熱爐再次加熱， 精餾塔塔底重殘液通過塔底泵，一部分去塔底再沸器進行 加熱後返回塔底，一部分給進料換熱後再經過水冷卻器後 至規定溫度後送至儲罐，採出量根據塔底液位自動調節， 以保證塔內液位的穩定。精餾塔裝有一個液位遠傳，在DCS 上顯示，液位遠傳能指示塔內 1.5m-2.7m 的液位，精 餾塔也裝有兩個獨立的液位報警，一個報警值設置為 72% （約 2.3m 高液位），另一個是液位報警是開關形式，報 警值為 78%（約 2.4m 高液位），精餾塔也設有低液位報警。
塔頂的氣相進入距塔底約 8m 高的空冷器進行冷凝， 冷凝的液體進入迴流罐，迴流罐在正常生產期間進行滿罐 操作，迴流罐的液體通過迴流泵一部分從塔頂的第一塊塔 盤迴流回塔，一部分採出經過冷卻後去儲罐，迴流罐也設 有液位高低報警和一個設定值為 483Kpa 的安全閥，安全 閥設有旁通管線，旁通管線連接至裝置的放空系統，在開 車 期 間 ， 不 凝 氣 、 氮 氣 等 通 過 安 全 閥 的 旁 通 管 線 放 空。
為了保護精餾塔不超壓，在塔頂氣相管線上安裝有 3 個並列的安全閥，安全閥出口連接至放空罐，放空罐設有 一個高點放空煙囪。安全閥的設定壓力分別為 276Kpa、 283 Kpa、290 Kpa，安全閥設有旁通閥，用於放空不凝氣 和系統放空。放空系統收集異構化裝置的所有放空氣，放 空氣先在放空罐中進行分液，然後高空排放。精餾塔的放 空管線外徑 356mm、約 270m 長。
圖 2：放空總管
放空氣中攜帶的液滴或冷凝下來的液體在放空罐底 部集聚，放空罐內徑 3m、高 8m，放空罐上有一個直徑 860mm，離地面高 36m 的煙囪直接對大氣排放，放空罐中 設有 7 塊擋板，以便分離放空氣中攜帶的液滴。放空罐底 部管線上設有一個液封
圖 3：放空罐及液封圖
（見圖 3 所示），以保證放空罐中 有一定的液位，液封出口管線上設有一個手閥排放至地 溝，這個手閥平常處於鐵鏈鎖開狀態。見圖 4 所示。
圖4：液封及鎖開的手閥
在放空罐底部還有一根排靜管線，管線上的手閥處於常關。放空罐上設有液位計以便監控液位，同時當放空罐中的液位 到液封的高度時會有高液位報警。
圖 5：異構化裝置周邊佈置圖
與異構化裝置毗鄰的芳烴回收裝置還處於維修階段， 有大量的承包商參與維修作業，在異構化裝置的西邊有很 多的活動板房，離放空罐距離約 37m，維修作業的承包商 在活動板房中辦公、洗衣、更衣和淋浴。
三、事故發生過程
01 開車前的準備
在異構化裝置開車前，剛剛完成了檢修作業，在檢修 的過程中操作工分成兩組進行倒班，每班工作 12 小時， 計劃在開車正常後恢復正常的倒班時間。
BP 有嚴格的開車前管理程序，其中要求在維修作業 後開展開車前檢查（PSSR），在事故發生兩年前已經在維 修作業後開展 PSSR，但是由於工藝安全協調員對異構化 裝置不熟悉，所以在開車時沒有開展 PSSR。
在開車前的設備檢查過程中，殘液精餾塔的關鍵儀表 和設備被查出存在故障，在檢修的過程中操作工指出塔底 的液位遠傳及現場的視鏡存在問題你，但是由於檢修時間 緊迫，只是對液位計的隔離閥進行了更換，計劃等開車後 再各閥門後再進行維修。
操作人員也發現迴流罐上的壓力控制閥存在故障， DCS 對閥門進行操作，但是現場發現閥門根本沒有動作， 報告給直管經理時，並沒有下工作單進行維修，並且在開 車前直管經理還簽字確認了所有的儀表都經過了測試。
02 事故發生經過
3 月 22 日夜班班組得到了殘液分離塔開車的指令， 夜班班長在異構化裝置的現場操作室進行開車前的灌塔 操作，夜班內操做中控室進行另外兩套裝置的操作，夜班班長沒有使用開車操作程序有沒有對操作進行記錄，這樣 導致下一班接班時沒有任何記錄文件。
約 23 日凌晨 2:15，開始給殘液精餾塔進料；
2:27 塔底液位在開始上升；
2:44 內操打開了再沸器流量調節閥，以此建立再沸 器循環並向再沸器迴路灌入殘液；
2:55 所示液位掉回到 3％，然後，分餾塔底部液位又 逐漸開始上升；3:09 液位指示器的開始高液位報警，報警一直持續 到事故發生，但是高液位報名開關一直沒有報警，由於沒 有人意識到這個高液位開關沒有報警存在故障，所以在操 作日誌上沒有任何體現，在塔內液位計再沸器等設備灌液 完成後，夜班當班人員停止了進料和塔底的循環泵，塔底 的液位控制閥處於設置在關狀態；
5:00 夜班班長告訴主管和內操他要離開公司，簡短 的介紹了他在現場操作室都做了什麼工作，在中控室的操 作日誌上寫到“異構化裝置已經完成了部分進料，請繼續 進料”；
6:00 白班內操來接班，與夜班內操進行了交接，但 是夜班內操並沒有直接進行夜間進料的操作，所以對殘液 精餾塔的操作情況提供的信息很少，白班內操通過閱讀操 作日誌，以為夜班只是給塔進行了進料，並沒有意識到再 沸器、管道已經完成了灌液操作；
7:15 白班主管 A 到達異構化裝置辦公室，由於來的 較晚，所以沒有與夜班人員進行交接和溝通；
9:27 塔內的壓力降低到 0Kpa，操作規程要求在塔進 料時保證塔內的壓力比較低，以防止在進料時到最後塔內 壓力上升。外操打開了塔頂安全閥旁通的 8“手閥放空洩 壓。
9:40 白班內操打開塔底的液位控制閥，並保持 70% 開度 3 分鐘，約有 12000bpd 殘液排出精餾塔，當內操關 閉液位控制閥時，流量顯示並沒有變為 0，但是流量計故 障指示不對，實際上並沒有殘液排出精餾塔。
9:51 內操開始啟動塔底循環泵進行塔底循環，並給 殘液精餾塔繼續進料，雖然此時精餾塔已經是高液位狀 態；9:55 操作工點燃了加熱爐的火嘴，對進料進行加熱， 對塔底物料進行加熱；
10:10 20000bpd 殘液加入精餾塔，塔底流量計錯誤 的顯示 4100bpd 殘液從塔底液位控制閥排出，但是操作工 意識到液位控制閥是關閉狀態，CSB 根據相關證據確認， 塔底是沒有流量的，精餾塔只是進料沒有出料；
10:47 有豐富的異構化裝置操作經驗的白班主管由於 家裡臨時有事離開了公司，副主管重要精力在 ARU 裝置的 開車，且他也沒有異構化裝置的經驗；11:16 操作工點燃了加熱爐的另外兩個火嘴，此時精 餾塔的液位指示為 93%（約 2.64m），但是 CSB 根據調查， 塔內的實際液位約（20m）；
11:50 操作工增加了加熱爐的燃料氣流量，塔底液位 計指示為 88%(2.6m)，並且液位還在下降，實際上此時塔 內的液位為 30m；
12:41 由於塔內液位的上升以及進料塔內的氮氣被壓 縮的導致塔內壓力上升到 228Kpa，操作工認為塔內壓力 上升是由於塔底加熱溫度過高造成的，外操打開塔頂安全 的旁通手閥進行洩壓；
12:42 內操和白班班長認為應該降低加熱爐的加熱負 荷，降低了加熱爐的燃料氣流量，此時液位顯示為 80%（約 2.4m），但是實際液位約 43m，內操給塔底液位控制閥開 度為 15%，並且在接下來的 15 分鐘內 5 次開這個閥門， 直到 1:02 分，這個閥門的開度為 70%，實際上塔底殘液 採出直到 12:59 分才開始有流量；
13:02 塔底採出的殘液流量為 20500bpd，與進料量相 等；
13:04 塔底採出的殘液流量為 27500 bpd，此時操作 工不知道 52m 高的塔內的液位已經達到 48m，但是液位計 讀數繼續下降，此時降為 78%（約 2.4m）；
圖 6：13:04 分塔內的實際液位為 48m，但是 DCS 顯 示為 78%約 2.4m
13:14 由於塔內充裝過多的殘液且升溫太快，精餾塔 開始溢流，塔內液體進入塔頂的氣相管線外流；精餾塔開 始加熱後，塔內頂部溫度低，底部溫度高，見圖 7 中 B 所 示，氣泡和氣化的氣從塔底上升與冷的物料進行換熱，氣 體凝結，殘液被加熱，在 12:59 分塔底開始採出殘液時又 通過進料預熱換熱器進一步給進料加熱，導致在事故發生 時塔內的絕大多數殘液都被加熱了，只是在塔頂還有少量 的未被加熱的殘液，見圖 7 中 C 所示。
圖 7：殘液精餾塔的進料加熱
由於殘液從塔溢流進入塔頂氣相管線，在管線內產生 了液柱的靜壓加上塔內的壓力超過了塔頂安全閥設定值， 安全閥起跳後殘液進入了放空系統，見圖 8 所示，基於安 全閥的設定值、事故發生後安全閥的測試和控制系統的數 據，第一個安全閥起跳的時間在 13:13:56，第二個安全 閥起跳的時間在 13:14:10 起跳，第三個安全閥起跳的時 間在 13:14:14，在中控室和現場控制室的操作工都看到 了精餾塔的壓力上升到 343Kpa；
13:15 內操降低了加熱爐的燃料氣用量，內操認為塔 內壓力升高是不凝氣太多或者缺少迴流造成的；13:16 內操完全打開了塔底液位控制閥把塔底殘液送 至儲罐；13:17 外操啟動了迴流泵；13:19 操作工通過步話機知道了放空罐煙囪溢流了， 根據目擊者描述，殘液從煙囪噴出高達 6m，在聽到步話 機報告放空罐溢流 15 秒鐘後，內操和白班班長開始停止 燃料氣進料，事故後調查發現燃料氣進料閥是在爆炸前 5 秒鐘關閉的；
13:20:04 數百個報警響起，導致操作工沒有足夠時 間在爆炸前去啟動緊急警報就發生了爆炸。
從煙囪噴出的高溫殘液在煙囪周邊擴散，當時時速為 8km/h 的西北風加劇了可燃氣體的擴散，如圖 8 所示，過 火面積約 18581m2。
圖 8：異構化裝置周邊的顏色深遭受了嚴重的火災損 壞，紅色箭頭指向的是放空罐煙囪頂部
雖然識別了很多潛在的點火源，但是最可能的點火源 是停在距放空罐約 7.6m 並且沒有熄火的柴油皮卡車，見 圖 8 所示，有許多目擊者到了皮卡車的引擎蜂鳴聲，其中 有一名目擊者稱看到了皮卡車尾部的火花，並點燃了可燃蒸汽雲，雖然多名證人證實皮卡車是點火源，但是不排除 存在其他點火源的可能。
圖 9：異構化裝置北面距放空罐 7.6m 的沒有熄火的柴油皮卡車
可燃氣被點燃後，火焰迅速傳播到整個蒸汽雲團，並 導致了爆炸，基於爆炸區域內結構損壞及分析，爆炸衝擊 波的影響見圖 9 所示。
圖 10：爆炸衝擊波影響範圍
著火爆炸最終導致在活動板房內或者附近工作的 15 人死亡，整個爆炸域內 180 人受傷，其中 66 人重傷，爆 炸衝擊波迅速波及了整個異構化裝置，40 個活動板房、 70 輛汽車 20 個儲罐被炸壞，異構化裝置北面 1.2km 範圍 內的房屋或商業玻璃杯震碎。
圖 11：放空罐西面的爆炸損壞的活動板房
四、事故原因分析
CSB 的事故調查人員在 3 月 24 日早上到達事故現場， 研究了物證和現場，並採訪證人，分析了以下引起爆炸的原因：
（一）技術方面
01、異構化裝置的開車程序要求在開車時應處於開的 位置以便殘液從塔底部去儲罐，然而閥門被一名操作工關 閉，導致塔被持續進料 3 個小時，導致塔液位過高和壓力 過高，並最終導致安全閥起跳，殘液進入放空系統，其它 導致塔灌滿的因素有：
①塔底液位計故障，塔底液位開關故障，且塔底沒有 安裝其他液位指示或者自動安全設施；
②DCS 沒有提供足夠的物料進出平衡的信息來提醒操 作工液位高的風險；
③對在開車這樣的危險的階段的培訓部不夠；
④在交接班的過程中主管和操作工交流的信心很少， BP 沒有交接班過程交接內容的要求；
⑤ 連 續 29 天 的 12 小 時 倒 班 制 導 致 操 作 工 很 疲 憊；
⑥培訓計劃不合理，培訓部門的員工數量由 28 名降 低到 8 名，並且操作模擬器不能讓操作工進行異常情況的 模擬訓練，例如開車這樣的高風險階段的模擬；
⑦過時的或者無效的操作規程。
02、在之前報告塔底液位計、現場液位計視鏡和調節 閥故障的情況下仍然開車。
03、放空罐的容積不足夠大來容納由安全閥釋放的物 料，沒有對安全閥的及放空系統進行安全評估。
04、把不安全的放空罐及煙囪直接對空排放是不安全 的，BP 沒有從一些類似事故中吸取教訓，對放空罐進行 整改如把放空罐介入火炬等。
05、活動板房離處理危險物料的裝置的太近。
06、事故發生之前幾年裡，工廠發生了 8 起嚴重的從 放空罐煙囪洩漏可燃氣體的事故，且異構化裝置的開車經 驗是在開車時殘液精餾塔內保持高液位，BP 沒有對這樣 的事故進行調查。
07、BP 德克薩斯州公司的管理層沒有有效執行開車前 的安全檢查制度，以確保在開車這樣的危險階段，無關人 員遠離裝置。
（二）管理方面
01、BP 集團經營經理執行的降低成本、投資失敗、生 產經營等壓力嚴重影響了德克薩斯州煉油廠的過程安全 績效。
02、BP 董事會沒有有效的監管 BP 的安全文化和重大事 故調查程序，董事會沒有成員負責評估和驗證 BP 的重大 事故危害預防程序的執行情況。
03、錯誤地依賴於低人員受傷率作為安全績效指標， 而沒有做好過程安全績效指標和健康的文化。
04、BP 機械完整性管理的缺陷導致德克薩斯州煉油廠 的工藝設備運轉失效。
05、BP 德克薩斯州煉油廠流行著檢查簽字作風(check the box)，人員在完成安全及程序要求時即使沒有滿足仍 然會簽字。
06、BP 德克薩斯州公司缺乏報告和學習文化，員工沒 有被鼓勵去報告安全為和一些不安全行為；關於事故、隱 患的學習資料通常沒有安排學習。07、安全競賽、目標和獎勵都集中在改進人身安全和 行為安全，而不是過程安全和安全管理系統，很多安全理 念和程序都是有缺陷的，德克薩斯州煉油廠的管理者在安 全方面沒有樹立以身作則帶頭作用。
08、在德克薩斯州煉油廠檢查、研究和審核找出了許 多根深蒂固的安全問題，但是 BP 德克薩斯州煉油廠不同 層次的領導都認為是太晚了無法解決。
09、BP 德克薩斯州煉油廠有效的評估涉及人員、安全 理念或者組織機構的變化對過程安全的影響。
BP 德克薩斯州煉油廠的火災爆炸事故是由多方面的 原因造成的，其中 CSB 明確指出 BP 錯誤地依賴於低人員 受傷率作為安全績效指標，而沒有做好過程安全績效指 標。本文著重分析過程安全績效指標的問題。
五、事故啟示
（一）過程安全績效的管理情況
在事故發生時，德克薩斯州煉油廠的 HSSE 部門下面 有一個過程安全部，這個部門負責過程安全執行情況的監 督，小組由 1 名經理和 4 過程安全工程師組成，過程安全 小組負責開展所有裝置的過程安全分析、設施選址研究、 監督變更管理，也負責重要裝置檢修後的開車前安全檢 查，協調過程安全審核，並確定什麼樣的事故按照過程安 全事故進行調查。
過程安全小組計劃跟蹤超越安全操作極限的次數、但 是在事故發生之前還沒有來得及執行。
在 2004 年 9 月 BP 集團煉油板塊經理會的過程安全總 結裡把德克薩斯州煉油廠劃分為高風險，總結中提出，BP 煉油廠對過程安全事故的調查不夠深入和徹底，德克薩斯 州煉油廠很嚴重的問題是沒有關閉 PSM 事故調查項，要求的關閉率為 90%，但是 2004 年關閉率從 2002 年的 95%降 低到 79%，工藝安全經理指出關閉率是從 2003 年把關閉 率這一指標從計算獎金的公式中拿出後開始下降的，在 2004 年年底，德克薩斯州煉油廠只是關閉了 33%的過程安 全調查項，異構化裝置為 31%，2004 年的 PSM 相關的計劃 只完成了 40%。
另外，從 2004 年的 PSM 審核結果可以發現 PSM 績效 在劃分為尤其需要重點考慮的機械完整性、培訓、過程安 全信息、變更管理方面的得分很低，從 2003 年到 2004 年， 不是由 BP 跟蹤的過程安全績效中的洩漏數據顯示洩漏事 故由之前的每年 399 起增加到 607 起。
2000 年 BP 的格蘭傑莫斯煉油廠發生了 3 起事故，其 中 1 起重大的工藝裝置火災事故和 2 起嚴重的人員受傷事 故，英國健康和安全執行委員會（The U.K. Health and Safety Executive） 調查了事故併發布了重大事故報告， 在報告中指出 BP 尤其需要重視過程安全績效指標，因為 人身安全指標不能 衡量重大事故的的風險。但是 BP 在安 全管理中沒有吸取這個教訓，反而花費更多的精力去衡量 和獎勵人身安全績效而不是過程安全，人身安全績效對跟 蹤後果不嚴重，可能性高的事故很重要，但不是一個很好 的 過 程 安 全 績 效 ， 就 如 過 程 安 全 專 家 特 雷 弗 克 萊 茲 （Trevor Kletz）說的 “損失工時率不是過程安全的衡 量標準”。
根據上面的分析，BP 需要重視過程安全績效指標， 對我們國內企業也是一樣的，我們國內企業很多沒有過程 安全管理或者有過程安全管理同樣也是以傷害率作為安 全管理績效的標準，這也是國內一些重大過程安全事故頻 發的原因。
（二）過程安全績效指標的標準
雖然 BP 的德克薩斯州煉油廠事故及 BP 的格蘭傑莫斯 煉油廠發生後，包括英國健康和安全執行委員會、CSB 等 機構認為 BP 需要更多的關注過程安全績效指標，但是當 時在行業裡並沒有合適的標準來協助企業進行過程安全 績效指標的管理。
直到 2010 年 4 月，美國石油協會（API- American Petroleum Institute）發佈了關於煉油與石化工業過程 安全績效指標的推薦標準（RP-Recommended Practice)， 編號為：754，簡稱為 RP 754。此標準由美國國家標準協 會（ANSI-American National Standards Institute）多 方利益相關者磋商編制，並以來自於 API 和美國化工過程 安全中心（CCPS-Center for Chemical Process Safety） 關於指標的初步指南為基礎。RP 754 標準十分重要，在 全球範圍內得到了下游及綜合性石油企業的支持和採 用。
由於 RP 754 主要針對下游生產，國際油氣生產商協 會 （ OGP- International Association of Oil &Gas Producers）認識到有必要提供進一步的指南，以支持 RP754 對上游生產的適用性，於 2011 年 11 月發佈了適合上 遊石油勘探和生產企業的過程安全績效指標的推薦標準， 標號 456，簡稱 OGP456，幫助全球的上游生產企業做好企 業的過程安全管理績效。
（三）過程安全績效指標的劃分
重大事故很少由單一原因引起，而通常是由多重保護 層失效同時發生並共同導致有嚴重後果的意外事件。這些 保護層在這裡由單個“瑞士奶酪切片”進行表示，包括管 理體系、物理工程防護或其它為預防事件發生而設計的保 護層。
下圖中孔洞的排列成線代表了多個“防護層”的失效 並 導 致 第 一 次 層 容 納 失 效 （ LOPC-loss of primary containment）事件。在我們的行業中，有複雜的控制裝 置可對 LOPC 事件進行檢測並減輕其後果，但對這些“增 加的防護層”的孔洞仍可排列成線，併發生火災、爆炸或 其它破壞性事件而導致嚴重傷害。
圖 12：奶酪模型
本模型可用於區分兩種重要類型的關鍵安全績效指 標（KPI-Key Performance Indicators）。記錄 LOPC 事 件的數量或記錄當一個或多個防護層同時失效時實際後 果的指標定義為“滯後”指標。滯後指標也可用於估量防 護層中孔洞的數量和大小來評估風險控制系統中的薄弱 環節、缺陷或失效的程度。反之通過衡量企業保持優秀的 風 險 控 制 績 效 來 檢 查 防 護 層 的 強 度 就 是 “ 超 前 ” 指 標。
滯後指標通常可追溯並以結果為導向，而超前指標通 常具有前瞻性。基本上，大部分 LOPC 事件仍屬於失效但 是不產生實際後果，滯後於後果，在預測產生嚴重後果的 重大事故的可能性時輕微後果 LOPC 事件可以提供超前信 息，因此，超前和滯後通常非常有用，但企業需要認識到 某些指標可同時提供追溯性和前瞻性。可作為超前指標也 可 作 為 滯 後 指 標 的 一 個 很 好 的 例 子 就 是 ‘ 未 遂 事 件’。
為 了 便 於 對 過 程 安 全 事 故 進 行 統 計 ， API754 和 OGP456 把過程安全事故（PSE）分為 4 級，如圖 13 所示。
圖 13：過程安全績效指標金字塔
第 1 級工藝安全事故（PSE）是最滯後的業績指標， 表明危險實際上穿越了保護層中的孔，導致重大後果。在 與低級別指標結合使用時，它能為一個公司提供一個其工 藝安全業績評價。
第 1 級 PSE 是後果較大的第一層容納失效（LOPC），是非計劃或失控的來自工藝的物料釋放。API754 中第 1 級工藝安全事故進行了詳細的規定和實例。第 1 級工藝安全事故等同於職業安全金字塔的死亡和重 傷，但不再完全以事故造成的損失來衡量，而是隻要危險 物料發生洩漏，且洩漏量達到標準規定的閾值量或者事故 後果達到標準規定的後果。
第 2 級 PSE 代表後果低於第 1 級的 LOPC 事故。第 2 級 PSE 表明保護系統弱點，而且可以是未來更重大的事件 的潛在預兆。從這種意義上講，第 2 級事件能為公司提供學習和改進其工藝安全業績的機會。第 2 級 PSE 代表一般 性洩漏事故等同於職業安全金字塔的輕傷。衡量指標為只 要危險物料發生洩漏，且洩漏量達到標準規定的閾值量或 者事故後果達到標準規定的後果。第二級規定的閾值量或 者事故後果比第一級規定的小一些。
第 3 級 PSE 通常代表對保護系統的一種挑戰。第三級 事故等同於職業安全金字塔的未遂事件，衡量指標包括運 行參數達到裝置的操作極限，SIS 動作，安全釋放裝置啟 動，機械停車裝置啟動，微量洩漏。這級指標提供一個附 加的機會，以識別和糾正保護系統內的弱點。
第 4 級指標表示單個風險控制防護層或其組件在設 施管理體系以及操作紀律中的績效。因為 4 級 KPI 反應的 是與企業維護和改進其風險控制防護層有直接關係的措 施，所以這些 KPI 通常更加超前和主動。第 4 級的運行紀 律和管理體系績效指標等同於職業安全金字塔底部的不 安全行為與不安全狀態。職業安全金字塔的不安全行為和 不安全狀態主要是指一線員工的不安全操作行為以及容 易造成個人傷害的不安全的狀態。第 4 級指標如：安全關 鍵設備按時檢查完成率；變更管理（MOC）和開車前安全 審查（PSSR）對要求和質量標準的滿足率；緊急響應演習 按時完成率等。
（四）過程安全績效指標的目的
過程安全績效指標目的在於識別最終能導致重大後 果的事件或條件。監測和分析過程安全績效能使公司採取 必要的糾正行動。過程安全績效指標的目的有：
過程安全事故可對企業的人員、環境、財產、名譽以 及財務穩定性造成嚴重危害。對重大事故進行記錄，並對 其根本原因進行仔細分析，將為我們提供經驗教訓以便預 防其再次發生。由於此分析是追溯的並且是以相對不頻發 的事件為基礎，企業能依靠這些經驗教訓來預防重大事 故。因此有必要拓寬分析範圍，從後果不太嚴重的事件和 管理系統的績效中總結經驗教訓，並主動對預防重大事故 的防護層進行加強。通過對與管理體系和其它行動有關的 績效進行內部監控和審核，來強化過程安全防護層並減少事 故 的 發 生 。 過 程 安 全 績 效 指 標 是 持 續 改 進 的 基 礎；
杜絕驕傲自滿，重大事故發生的概率相對比較低，所 以在人們的思維中很容易就認為其它輕微後果的風險“一 切都正常“，過程安全績效指標可通過數據體現出過程安 全管理體系所需的關注以及來自未遂事件和不嚴重事件 的警告進行隨時提醒；
通過將過程安全績效數據作為基準與行業平均水平 進行比較和通過與其他企業分享經驗教訓所獲得的信息， 對所計算的過程安全績效是否符合或超過行業標準進行 評估；
就過程安全的重要性與職工進行溝通通常有一定的 難度，但是過程安全績效指標提供了管理重點、透明度和 進 步 的 可 靠 性 證 據 ， 從 而 可 支 持 過 程 安 全 文 化 和 行 為；
通過過程安全績效指標預防重大事故的措施和管理 和使企業運營更加可靠是相互影響的，企業運營的質量和 生產能力能反映出其未來的盈利能力，將直接產生經濟業績。
開放、透明地將績效向利益相關者進行公示，例如員 工、當地社區、投資者、政府和非政府機構以及廣大民眾， 企業能有許多機會可同其利益相關者進行溝通， 並建立 企業自身的信譽。
（五）過程安全績效指標對我們的要求
目前國內企業大多執行的是 HSE 體系，只是可能會在 HSE 體系中有各別程安全管理要素內容的體現，所以幾乎 沒有過程安全管理，那麼類似於 BP 德克薩斯州的事故， 在沒有過程安全管理的情況下關注人身安全，把”零傷亡 “作為我們的管理目標，這樣就會有重大過程安全事故發 生的風險。
所以國內企業需要借鑑 API RP754 以及 OGP456 的規 定在自己企業內部做出適合自己企業的過程安全事故統 計方法和對應的分級標準，在做 HSE 隱患排查、可記錄傷 害事件、死亡等數據統計的同時加入過程安全管理四級過 程安全績效指標的統計，並根據統計結果進行分析，對目前的制度進行完善或提出新的給過程安全相關的制度融 入在 HSE 體系中。並積極在企業內推進過程安全管理。
通過 BP 德克薩斯州的事故分析級經驗教訓，我們因 該在企業內更多的重視過程安全管理及過程安全管理績 效指標，並對四級過程安全事故進行統計、分析，找出管 理或者保護的薄弱點，然後對管理制度、保護層等進行完 善，對我們的安全管系統進行改進，進而預防重大過程安 全事故的發生。
本文由化工365編輯整理
