Промышленная безопасность

17.5. МЕТОДИКИ ОЦЕНКИ РИСКА

В ходе предыдущего обсуждения предполагалось, что оценка риска технически осуществима. Теперь следует кратко остановиться на том, как это делается. Прежде всего следует отметить, что прогнозные оценки подобной природы являются неточными. Хотя, впрочем, в работе [Farmer,1984] содержится утверждение, что неопределенность в оценке вероятности, соответствующая половине порядка величины, не влияет на получаемые результаты.

Цели анализа риска не являются абстрактными. Анализ должен указывать конкретные меры в тех случаях, когда риск, связанный с данной деятельностью, оценивается как избыточный по сравнению с выгодами, которые она сулит. Такие конкретные меры могут заключаться во введении конструкционных изменений и дополнительных систем безопасности. Оценка масштаба и целей анализа риска, даваемая в работах типа [Kunreuther,1983] и им подобных, где анализ риска рассматривается как чисто теоретическая дисциплина, представляется нам не совсем точной.*

____________________________________________________________________________________

*Весьма поучительные данные опубликованы о программе оценки риска Rijnmond Project (COVO-study) ее руководителем [Blokker,1981]. В рамках этой исследовательской программы, обошедшейся приблизительно в 1-1,5 млн. долл. США (и по нашим оценкам потребовавшей 25 - 50 человеко-лет), оценивался индивидуальный и социальный риск от 6 промышленных установок: хранилища акрилонитрила, восстановительной секции аппарата гидроочистки серы, сферических резервуаров для хранения аммиака и пропилена под давлением, резервуаров для хлора и сжиженного углеводородного газа. Все эти установки размещены в местности Рейнмонд в дельте

17.5.2. ИЛЛЮСТРИРУЮЩИЙ ПРИМЕР

Паровой котел является простым и полезным устройством, на примере которого можно проиллюстрировать процедуру вычисления риска. Проведение оценки риска в данном случае позволяет выделить ряд общезначимых моментов.

Прежде всего, необходимо четко дифференцировать различные типы паровых котлов, ибо именно тип обусловливает разные уровни риска. Законодательство в Великобритании объединяет в названии "паровой котел" как оборудование для выработки пара, так и замкнутый сосуд, где пар может содержаться. Обсуждение в этом разделе будет ограничено кругом аппаратов для выработки пара. Далее, существуют значительные различия в конструкциях тех паровых котлов, где сгорание осуществляется непосредственно внутри аппарата, и тех, где утилизируется тепло подводимой нагретой среды.

Паровые котлы, где сгорание осуществляется внутри аппарата, бывают жаротрубные и водотрубные. В этом разделе будет рассмотрен пример парового котла классического типа - прототипа современных модульных устройств.

Классическая конструкция имеет богатую историю, что может на первый взгляд показаться преимуществом из-за значительности накопленного опыта эксплуатации. И действительно, с 1882 г. в Великобритании обязательно проведение расследования аварий с взрывами паровых котлов (к 1977 г. имелось около 3400 актов таких расследований [Warwick.1977]). К сожалению, эти преимущества довольно относительны, ибо конструкции паровых котлов и их вспомогательного оборудования претерпели за указанный период значительные изменения. Некоторые из изменений вносились в интересах повышения безопасности, большинство же предпринималось для улучшения экономических показателей.

Как уже отмечалось в гл. 6, неполадки могут быть разных масштабов - от точечной течи до полного разрыва сосуда, и в принципе, возможно, предсказать риск неисправности любого типа. Далее будет обсуждаться только оценка риска полного разрушения парового котла, так как рассматриваемый пример является лишь иллюстрацией. Здесь следует отметить, что избираемый подход есть проявление общего принципа - анализ опасностей должен предшествовать анализу риска; именно поэтому выбирается один способ реализации опасности из многих потенциально возможных и методика анализа риска используется для оценки риска этого определенного способа реализации опасности.

Полное разрушение парового котла может произойти несколькими способами, два из которых очевидны: разрушение оболочки парового котла и разрыв нагревательных элементов. В принципе возможны два варианта разрушения оболочки парового котла: а) при избыточном давлении; б) при нормальном или

Рейна от Роттердама до Северного моря (Нидерланды). Для реализации программы была образована Комиссия по безопасности населения в целом (аббревиатура названия комиссии на голландком языке - COVO), куда были включены представители промышленности, а также местных и центральных властей. Исполнителем была определена частная фирма Cramer & Warner, Ltd; Лондон (Великобритания). Для независимой экспертизы был привлечен Battelle Institute, Франкфурт-на-Майне (ФРГ). Точность

пониженном давлении в системе. Первый вариант связан с отказом системы предохранительных клапанов, ибо само построение парового котла предполагает неизбежность случайных флуктуации давления в системе. Риск этого события - отказ системы безопасности - может быть определен как произведение рисков неисправности каждого из предохранительных клапанов (при условии, что эти последние события независимы и их одновременное наступление и составляет отказ системы безопасности в целом. - Перев.). Как правило, имеются обширные данные о надежности этого оборудования, поскольку оно широко используется в промышленности, и производители этого оборудования постоянно ведут работу по накоплению подобных сведений. В соответствии с законодательством паровые котлы снабжены двумя (одинаковыми независимыми. - Перев.) предохранительными клапанами, и вероятность отказа системы безопасности поэтому равна р2, где р - вероятность отказа одного предохранительного клапана. Следует, однако, помнить, что эти вероятности могут быть искажены. Именно так обстоит дело в случае неправильной установки. Такой случай, когда предохранительные клапаны - один или оба - устанавливаются уже после отсечного клапана, описан в работе [Warwick,! 977]. Известны случаи, когда предохранительные клапаны сознательно заглушались. Каждый из предохранительных клапанов, или даже оба сразу, могут не соответствовать спецификации или быть установлены с нарушением правил.

Обратим внимание на то, что в рассмотрение оказались вовлеченными обстоятельства двух типов. Одни из них - неисправности собственно парового котла, другие - неполадки вспомогательного оборудования (используемого более широко, чем сами паровые котлы). К вспомогательному оборудованию относятся разные виды клапанов, насосов, трубопроводов, контрольно-измерительных приборов, электрического оборудования. Также следует отметить, что риск не будет в общем случае выражаться одним числом, а будет функцией (от тяжести последствий, например. - Перев.).

Разрушение оболочки парового котла при нормальных условиях эксплуатации может произойти по целому ряду причин, которые автор даже не будет стараться перечислить с исчерпывающей полнотой. К ним относятся ошибки в проектировании, выбор несоответствующих или дефектных материалов при изготовлении, неверная технология изготовления или ошибочная сборка. Все подобные неисправности обсуждаются в гл. 6. Они обычно проявляются в начальный период эксплуатации парового котла. График зависимости риска полного разрушения парового котла (равно как и большинства других элементов оборудования) от продолжительности его эксплуатации имеет ту же форму, что и кривая рис. 17.3. Он начинается с больших значений, (аналогия высокой детской смертности), достигает минимума в средний период эксплуатации и возрастает со временем (что аналогично дряхлению человека), когда причиной неполадки может стать ползучесть, усталость или коррозия материала (последняя часто обусловлена расчета последствий реализации опасностей составила 1 порядок, точность расчета риска - не лучше 1-2 порядков. Оценка случаев реализации опасности с малыми вероятностями возникновения (менее 10-7) и крупными последствиями оказалась несостоятельной, и автор программы [Blokkei-,1981] не рекомендует принимать эту часть результатов во внимание. - Прим. ред.

неадекватной водоподготовкой). Среди причин неисправностей заключительного периода эксплуатации велика доля ошибок операторов.

Разрушение парового котла из-за нагревательных элементов будет рассмотрено очень кратко. В прошлом большая часть подобных неполадок возникала из-за падения уровня воды, когда нагревательные элементы, которые должны быть погруженными в воду целиком, частично оказывались в паровом пространстве. При этом возникали явления, развивающиеся по тому же сценарию, что и взрыв расширяющихся паров вскипающей жидкости. Сначала вся надежда возлагалась лишь на дежурного оператора, постоянно следившего за уровнем воды, однако в настоящее время постоянство уровня обеспечивается автоматикой. Поэтому риск можно определить на основе имеющихся данных о надежности такого оборудования за длительный период его эксплуатации.

Этот иллюстрирующий пример показывает, что оценка риска (полного разрушения парового котла) является довольно сложной задачей, ведь основные направления действий были лишь обозначены. Аналогичная задача для современного нефтеперерабатывающего завода в целом может быть оценена как чрезвычайно сложная.
17.5.3. РИСК И НАДЕЖНОСТЬ

Собрано (на Западе. - Перев.) колоссальное количество данных по отказам стандартных компонентов технологического оборудования, обозначаемых в литературе общим термином "данные по надежности". Надежность - величина, обратная риску.*

При вычислении риска, обусловленного современными промышленными предприятиями, используются построение и анализ деревьев неполадок (fault tree analysis). Дерево неполадок само по себе не является ни мерой риска, ни мерой опасности. Анализ дерева неполадок - алгоритм (набор формальных правил. - Перев.) построения последовательностей событий (ветвей дерева. - Перев.), приводящих к "основному событию" (событию в вершине дерева. - Перев.). Хотя почти всегда такое дерево называется деревом неполадок, оно по своей сути не связано с поломками и отказами и может служить для выявления путей, ведущих к желаемой цели. Эта методология, как отмечалось в докладе [Marshall, 1980с], равным образом применима для анализа любых последовательностей событий, приводящих как к поломке наручных часов, так и к плавлению активной зоны ядерного реактора.

____________________________________________________________________________________

*Если под риском понимать один из параметров случайной величины S "длительность периода безотказной (безаварийной) работы" (далее везде используются обозначения и соглашения примечания к разд. 4.4), а именно - среднюю частоту отказов q, то тогда надежность MS - математическое ожидание величины S - и величина q просто по ее определению связаны соотношением MS = 1/q. В рамках других моделей опасности указанная автором функциональная зависимость, вообще говоря, не будет иметь места. - Прим. ред.

В цитируемой работе так описана суть метода анализа дерева неполадок:

"Методология предсказания риска, обусловленного нарушением функционирования систем, включает в себя алгоритмы построения (возможных последовательностей событий, приводящих к нежелательному исходу. - Перев.), использующие булеву алгебру, и обеспечивает возможность вычисления вероятности каждого такого события. Такое "дерево"... идентифицирует последовательность событий, способных приводить к определенному нарушению. Особенности, связанные с использованием методологии анализа дерева неполадок в химической промышленности, описаны, например, в [Powers.1973].*

Такой анализ дерева неполадок помимо того, что он служит одним из алгоритмов оценки риска, является важным инструментом качественного описания типов неисправностей, т. е. путей, которые приводят к любому из промежуточных событий или основному событию. Промежуточное событие, рассматриваемое как "неисправность компоненты системы", может служить также и основным событием при вспомогательном анализе дерева неполадок. Например, отказ электромотора может быть "неисправностью компоненты системы", являющейся промежуточной неисправностью и необходимой для наступления основного события. Однако тот же отказ электромотора может рассматриваться и как основное событие в рамках анализа дерева неполадок этого аппарата. В принципе, глубина анализа дерева неполадок (т. е. длина рассматриваемых при таком анализе ветвей. - Перев.) неограниченна, однако на практике она определяется подходом и навыками исследователя.

Необходимо подчеркнуть, что нет "чистого риска". Анализ дерева неполадок предполагает прежде всего существование системы, все равно -действующей или проектируемой, и затем уж возможность представления схемы ее функционирования. События, приводящие к основному событию дерева неполадок, и само это основное событие - реализация опасностей. Поэтому анализ опасностей должен предшествовать анализу риска".

Один из недостатков оценки риска, основывающейся на методологии анализа дерева неполадок, заключается в отсутствии количественных оценок относительной важности включаемых в рассмотрение событий. Одним из возможных способов преодоления этого ограничения служит рассмотрение лишь коротких последовательностей событий для огромного количества основных событий; например, в случае оценки риска парового котла анализ может быть ограничен лишь деревом отказов для основного события "полное разрушение котла" (катастрофическая неисправность). Такой подход будет оправдан в том случае, если прежде всего интересуются риском для населения.

____________________________________________________________________________________

* В советской литературе методология анализа дерева неполадок применительно к специфике химической и нефтеперерабатывающей промышленности изложена в работах [Химмельбау,1983; Кравец,1984]. Несмотря на некоторые терминологические неадекватности, мы посчитали правильным сохранить в переводе уже использованные в этих работах языковые конструкции. - Прим. перев.

Другой существенный недостаток методологии анализа дерева неполадок - ее ограниченная применимость к задачам химической и нефтеперерабатывающей промышленности. Эта методология представляется наиболее подходящей для электромеханических систем, особенно там, где события имеют бинарную природу, т. е. возможны лишь два состояния оборудования. Нарушения в функционировании технологического оборудования химического и перерабатывающего производств действительно включают такие типы неисправностей, например отказы в системах автоматического регулирования. Однако большинство нарушений в химико-технологических системах нельзя отнести к простым ситуациям типа "работает - не работает", они заключаются в отклонении от предписываемых норм. И хотя формально можно трактовать отклонения от технологического регламента как бинарные события (значение параметра либо лежит, либо не лежит в определенных пределах), установление такого диапазона допустимых значений может потребовать значительного объема дополнительных сведений, и главное, последствия выхода за указанные границы многообразны, и на основании только факта выхода за установленные пределы последствия невозможно предсказать.*

Интересно, можно ли было на основании анализа дерева отказов предотвратить катастрофы в Фликсборо или Севезо? Автор не сумел обнаружить какие-либо работы, посвященные этому важному вопросу.

17.5.5. МЕТОД ИЗУЧЕНИЯ ОПАСНОСТЕЙ И ФУНКЦИОНИРОВАНИЯ

Другим систематизированным подходом (к изучению безопасности химико-технологической системы. - Перев.) является так называемый метод изучения опасностей и функционирования (Hazard & Operability Studies -HAZOP). Он был разработан химическим концерном ICI Ltd. и описан, например, в работе [Lawley.1974]. Хотя на основе этого метода и возможно предсказание

____________________________________________________________

*На самом деле ограничения методов, подобных методу дерева неполадок и являющихся по существу методами решения обратной задачи, имеют несколько отличную от указываемой ниже автором природу. В конечном итоге, если абстрагироваться от конкретики, суть затруднений всегда одна и та же - некорректность (по Ж. Адамару) поставленной задачи. Это явление хорошо известно, и в промышленной безопасности такой некорректно поставленной будет, например, задача восстановления места расположения и структуры источника выброса дрейфующего парового облака. (Уже за время t, такое, что t£^t)-L, где L - размер облака, a D - коэффициент турбулентной диффузии, полностью "стирается" память об условиях возникновения облака.) Однако на основе сказанного было бы неправильным полагать ограниченной применимость метода дерева неполадок к задачам оценки риска химических и нефтехимических производств. Просто областью применения этого метода является определение характеристик (частота возникновения, вероятность и т.д.) инициирующих аварию деструктивных явлений, и, как показывает опыт многих проведенных исследований, метод деревьев неполадок можно считать в целом неплохо подходящим для описания фазы инициирования аварии, т. е. фазы накопления дефектов в оборудовании и ошибок персонала (о включении в метод деревьев неполадок "человеческого фактора" см. [Доброленский,1975]). Что же касается развития аварии и ее выхода за промышленную площадку, то здесь для построения возможных сценариев развития поражения (т. е. воспроизведения динамики аварии) и расчета последствий адекватными являются прямые методы (такие, например, как метод дерева событий). Сопряжение двух этих различных по используемому математическому аппарату методов описания аварии, необходимое для определения собственно риска (и столь сложное, например, в ядерной энергетике), оказывается для химических производств возможным эффективно реализовать за счет специфики промышленных предприятий - для них конструктивно описывается вся совокупность инициирующих аварию деструктивных явлений, и стало быть, можно рассмотреть все множество возможных аварий. Именно это свойство - способность описать все возможные причины интересующего нас верхнего нежелательного события - в первую очередь привлекает исследователей в методе дерева неполадок. - Прим. ред.

отдельных условий, приводящих к реализации основных опасностей химических производств, эта его способность не является главной; он предназначен для рациональной организации функционирования производства и предотвращения несчастных случаев. В материалах [С1АД977] метод определяется следующим образом:

"Применение формализованной (а по сути - эвристической, основанной на опыте и интуиции разработчиков и эксплуатационников. - Перев.) процедуры анализа технологического процесса и инженерного обеспечения новых установок для оценки потенциала опасностей отклонений от регламента и проявлений дефектов отдельных элементов оборудования, а также для оценки возможных последствий для установки в целом".

Несовершенство приведенного определения связано с отсутствием изложения собственно методологии. В работе [IChemE.1984] она приводится в следующей формулировке: "Исследование, выполняемое на основе применения (в соответствии с эвристическими правилами. - Перев.) ключевых терминов для выявления всех отклонений в функционировании установки от нормы, и описание возможных последствий обнаруженных отклонений для безопасности и функционирования (а также вероятных причин этих отклонений) и действий, необходимых для безопасного поддержания процесса".

"Ключевые термины" определяются как "список слов, каждое из которых должно быть употреблено в ходе исследования по отношению к состоянию или функции отклонений от нормальных значений".

В работах [СТАД 977; Kletz.1984] описана процедура реализации метода. Она заключается в изучении каждой составляющей технологической схемы. Конструктивное решение такой составляющей анализируется в том виде, в котором оно представлено в проектной документации. Затем набор ключевых терминов "применяется" к этой составляющей и анализируются последствия. В методе использованы семь ключевых терминов: НЕТ (No или Not), БОЛЬШЕ (More), МЕНЬШЕ (Less), ПОМИМО (As Well As), ЧАСТЬ (Part Of), В ДРУГУЮ СТОРОНУ (Reverse) и ДРУГИЕ (Other Than), однако допускается также и использование других терминов: ПРЕЖДЕ ЧЕМ (Sooner), ПОЗЖЕ ЧЕМ (Later), ВЫШЕ (Higher), НИЖЕ (Lower) и т. д. Они используются в отношении таких переменных, как поток, температура, давление, концентрация и т. д. Оцениваются последствия для безопасности и функционирования установок, "сгенерированных" на основе употребления ключевых терминов в отношении указанных переменных. Там, где это необходимо, разрабатываются соответствующие мероприятия по исправлению положения, и если они представляют собой радикальную модификацию установки, метод изучения опасности и функционирования применяется вновь. Таким образом, метод не только обнаруживает недостатки, но и является конструктивным.

Однако из всей совокупности действительных случаев аварий, изучаемых в этой книге, лишь малая часть могла быть предсказана на основе метода изучения опасностей и функционирования.*

Имеются, однако, и другие недостатки у метода изучения опасностей и функционирования, среди которых неудовлетворительное описание человеческого фактора, возможно, является наиболее серьезным.**

____________________________________________________________

*Это связано с тем, что "причиной" крупных аварий современных промышленных предприятий - а именно такие аварии в основном рассматриваются в книге - чаще всего являются не отдельные отклонения (только они фигурируют в методе изучения опасностей и функционирования), а несколько подобных отклонений в совокупности. - Прим. ред.

**Ранее в примечаниях уже не раз отмечались высокая культура аэрокосмической промышленности в вопросах обеспечения безопасности, связанных с "человеческим фактором" [Доброленский,1975], и нерешенность многих проблем использования имеющегося задела другими отраслями. - Прим. ред.