利用LOPA方法对氢燃料加注站规定的技术规范进行风险降低评估 金永圭（Yonggyu Kim） 朴正范（Jongbeom Park） 韩信泰（Shintak Han） 宋辉元（Heewon Song） 郑惠秀（Heesoo Chung） 李根元（Keunwon Lee） 申圭岩（Gwyam Shin） 郑善浩（Seungho Jung）

《Energies》：Risk Reduction Evaluation of Prescriptive Technical Codes for Hydrogen Refueling Stations Using LOPA Yonggyu Kim, Jongbeom Park, Shintak Han, Heewon Song, Heesoo Chung, Keunwon Lee, Gwyam Shin and Seungho Jung

　　摘要：本研究采用保护层分析（LOPA）方法，评估了应用于氢燃料加注站的规范性技术规范在降低风险方面的性能。研究选择了一个典型的故障场景——加注器处的高压软管破裂作为起始事件，并根据CCPS指南确定了该事件的频率。目标缓解事件概率（TMEL）设定为1.0×10^-6/年，由此得出所需的风险降低因子（RRF）为1.0×10^4。韩国天然气安全规范（KGS）中规定的安全装置被视为独立保护层（IPLs），其按需失效的概率（PFD）值是基于公认的LOPA数据确定的。这些识别出的IPLs的综合PFD估计为1.0×10^-5，从而使得缓解事件概率降至1.0×10^-7/年，满足了预先设定的TMEL要求。研究结果表明，当所有必要的安全措施都按预期运行时，规范性技术规范确实能够提供一定程度的定量风险降低。然而，分析也揭示了与独立性假设、潜在的共因故障以及维护条件相关的结构性限制。研究发现，将功能安全概念和系统风险评估整合到规范性规范中，可以提高氢燃料加注站安全管理的可靠性。

1. 引言
随着全球应对气候变化和碳中和政策的加速推进，能源系统正在从以化石燃料为基础的结构转向低碳和无碳能源系统[1]。在这一能源转型过程中，氢能作为一种清洁能源受到了广泛关注，并成为实现碳中和社会的关键能源载体。特别是，随着氢燃料作为运输燃料的使用，基于氢燃料电池的交通工具部署不断增加，因此作为氢能高效运行基础设施的氢燃料加注站（HRSs）的建设也在扩展。图1显示了韩国氢燃料加注站的数量增长趋势[2]。氢燃料加注站通常是一个复杂的工艺系统，其中氢气被压缩到高压状态，储存后输送给氢能交通工具。当氢气在站点内生产并直接使用时，该设施被归类为现场加注站（on-site HRS）；而当压缩氢气通过管拖车或管道从外部生产设施输送过来后用于加注时，则被归类为非现场加注站（off-site HRS）[3,4]。

氢气具有低点火能和宽燃范围等物理化学特性，泄漏时极易引发火灾或爆炸。高压氢气可能以喷射形式释放，或在密闭空间内积聚[5]。如果积聚的氢气接触到点火源，可能导致火灾或爆炸事故，对人员和设施造成严重损害。事实上，全球范围内与氢相关的设施发生了许多火灾和爆炸事故。这些事故表明，即使设施完全符合相关法规和技术标准，仍有可能发生事故。表1总结了2015年至2025年间韩国发生的氢相关事故。表2提供了与韩国氢燃料加注站相关的具体事故信息[6]。由于所有氢燃料加注站都在经过强制性检查后投入使用，这些案例表明，即使技术标准得到充分遵守，事故发生仍有可能发生。在日本，2002年至2020年间共安装了208座氢燃料加注站，同期报告了164起事故。特别是自2014年氢燃料加注站部署加速以来，事故数量随着加注站数量的增加而上升。这一趋势可能与氢能基础设施的扩展和加注站运营频率的增加有关。表3展示了日本的氢燃料加注站安装数量和事故案例[6,7,8]。

ISO 19880-1是国际上针对氢燃料加注站的规范标准，建议在加注站的设计和运营阶段进行风险评估[9]。如果设施的风险水平不符合现场可接受的标准，则应采取风险降低措施。必要时，标准还建议根据功能安全原则为控制系统和安全系统分配适当的安全完整性等级（SIL），以建立基于性能的安全管理体系。在这方面，SIL的确定应遵循国际功能安全标准IEC 61508和IEC 61511[10,11,12]。这种方法超越了纯粹基于规范的做法，后者仅依赖于法规和技术规范；相反，它采用基于风险的方法，由操作者根据风险评估结果来确定所需的安全保护水平。

相比之下，韩国的氢燃料加注站技术规范KGS FP216[13]和FP217[14]采用规范性的方法。这些规范规定了各种安全装置（如紧急关闭装置、安全阀、气体泄漏检测和报警系统以及止回阀）的安装要求[13,14]。当这些技术规范的要求得到满足时，设施通常被认为达到了可接受的安全水平。遵守技术规范也是法律许可和检查过程中的重要评估标准。然而，这种规范性的方法主要关注安全装置的安装和完整性，未能充分反映实际运行条件下的详细因素，如保护层的独立性以及维护和管理水平。

以往的研究主要侧重于氢泄漏导致的事故后果范围的定量风险评估，或基于IEC标准的功能安全分析[15,16,17,18,19]。但仅有少数研究定量评估了单一规范安全装置的风险降低效果及其与功能安全应用必要性的关系[20]。特别是，通过保护层分析（LOPA）进行风险评估，比较和分析基于技术规范的方法与国际标准方法差异的研究仍较为有限[21,22]。因此，本研究建立了可能在氢燃料加注站发生的典型事故场景，并应用技术规范中规定的安全装置作为独立保护层（IPLs）进行LOPA分析，估算事故发生的频率，并定量评估目标缓解事件概率（TMEL）的实现情况。通过这一分析，研究了规范性方法的结构性局限，并探讨了应用功能安全的必要性。最终，本研究旨在为改进氢燃料加注站的安全管理体系提供方向。

2. 与氢燃料加注站相关的技术规范和标准
2.1. 国际标准ISO 19880-1
国际标准化组织（ISO）发布的“气态氢—加注站—第1部分：一般要求（ISO 19880-1）”是最广泛认可的氢燃料加注设施标准之一。该标准规定了氢燃料加注站的设计、建设、运营和维护的一般要求，包括确保安全的技术要求和基于风险的安全管理体系。ISO 19880-1明确了氢燃料加注站各设计要素的基本技术要求，包括设备配置、布局、加注器、氢气质量、电气系统以及仪表和控制系统的要求。同时，该标准允许操作者在特定条件下进行风险评估，并根据评估结果调整安全设计标准。ISO 19880-1定义的安全管理体系如图2所示。ISO 19880-1采用以风险为导向的方法，允许根据风险评估结果补充安全要求。其核心特点是明确建议相关方对氢燃料加注站进行风险评估。标准要求识别系统隐患，并根据结构化的风险评估程序分析风险因素，据此制定相应的风险缓解措施，并证明所采取的改进措施达到了目标风险水平。附件部分推荐使用定量或半定量风险评估方法。尽管ISO 19880-1也提及半定量风险评估方法，但其重点在于定量风险分析（QRA）和后果分析（CA），这些方法评估氢泄漏事故的物理效应（如火灾产生的热辐射和爆炸引起的过压），并比较这些效应与预先定义的风险接受标准。然而，该标准未提供关于LOPA的详细指导，而LOPA是一种代表性的半定量风险评估方法，用于考虑安全仪表功能的可靠性和保护层的可靠性来估算事故频率[9]。

ISO 19880-1还涉及仪表和控制系统的功能安全（SIFs），但未提供实施这些系统的详细程序或方法论，而是建议参考相关功能安全标准（如IEC 61508或IEC 61511）。如果风险评估结果显示仪表和控制系统的可靠性不足，无法充分降低事故概率，则可能需要采取额外的保护措施。在这种情况下，系统应符合IEC 61508或IEC 61511的要求。该方法承认在详细确定SIL方法和配置保护系统时应用功能安全的重要性，并将相关责任委托给国际标准。表4总结了ISO 1980-1中与功能安全和风险评估相关的关键内容[4]。

总之，ISO 1980-1推荐实施风险评估以确保氢燃料加注站的安全，但主要强调定量风险分析和后果分析。功能安全的应用仅通过引用相关标准（如IEC 61508和IEC 61511）间接提及，而非在标准本身中详细说明。此外，ISO 1980-1未系统地为氢燃料加注站定义保护层或提供定量评估的方法论。与技术规范中的规定性方法不同，它允许根据利益相关者设计的安全性能要素，为每个加注站灵活应用安全要求。

2.2. 韩国天然气安全规范（KGS）
在韩国，KGS FP216和KGS FP217技术规范用于规范氢燃料加注站的设施、技术要求和检查程序。KGS FP216适用于现场加注站，KGS FP217适用于非现场加注站。这些规范根据《高压气体安全管理法》为氢燃料加注站的结构、设备、布局和安全装置提供了详细要求。KGS规范在加注站的许可和审批过程中直接作为技术评估标准使用。因此，它代表了一种明确要求安装特定安全装置的规范性方法。

KGS FP216和FP217规定了加注站主要设备的安全装置安装要求。代表性的例子包括过压保护装置（如安全阀）、紧急关闭装置、气体泄漏检测和报警系统、断开装置、止回阀、通风系统以及分配器保护设施。这些安全装置的详细要求根据设备类型和安装位置来确定。遵守这些要求是许可过程中确定批准的关键标准。KGS代码的基于规范的安全管理框架如图3所示[13,14]。图3. KGS代码的规范安全结构。KGS代码采用了一种规范方法，通过遵守预定义的技术要求和所需的安全装置来确保安全。KGS代码为特定危险情况预先定义了所需的安全装置，并通过安装这些装置来确保最低水平的安全性。换句话说，该框架不是基于风险评估的结果来确定保护层，而是遵循一种规范结构，其中代码中指定的安全装置被统一应用。因此，操作者可以通过安装代码要求的安全装置来证明技术合规性，而无需对每个设备进行单独的风险评估。然而，基于规范的方法主要根据安全装置的安装和遵守规定要求来评估安全性。因此，在定量反映每个安全装置的独立性、可靠性、共因失效和维护水平等方面存在局限性。例如，如果气体泄漏检测和报警系统以及紧急关闭装置连接到同一控制系统或电源上，从数值上看可能安装了多个安全装置。但由于这些装置之间缺乏独立性，实际的风险降低效果可能低于预期。尽管如此，KGS代码并未明确定义安全装置之间的相互独立性或按需失效概率（PFD）的定量标准。此外，KGS代码并未直接规定基于IEC 61511确定SIL或安全生命周期要求的详细程序，而是主要关注安全装置的安装和性能要求。这种方法与ISO 19880-1不同，后者根据风险评估结果考虑实施额外的安全系统，并建议参考与功能安全相关的国际标准。总之，KGS代码代表了一种基于规范的技术标准，通过要求在加氢站安装各种安全装置来确保最低水平的安全性。但是，由于代码不要求系统地分析风险评估结果或保护层的可靠性，即使满足了所有代码要求，可能仍然需要对实际风险水平进行定量评估。这一特性与ISO 19880-1形成对比，后者在安全管理框架中同时强调基于风险的方法。

保护层分析
3.1. 启始事件的选择
本研究的目的不是全面识别加氢站运行过程中可能出现的所有潜在危险，而是检查基于规范的方法要求的安全装置是否提供了足够的风险降低水平。因此，没有对整个加氢站系统进行全面的风险评估，而是保守地选择了一个场外加氢站的代表性事故场景。然后评估了保护层在降低风险方面的有效性。
通过考虑如图4所示的场外加氢站的代表性事故场景来建立起始事件。只有满足以下条件的情况才被选为起始事件[23,24,25,26]：
图4. 场外加氢站系统示意图。可能发生高压氢气的大规模释放。
该事件与储氢罐或分配系统等储存设施直接相关。
释放到大气中的氢气可能会遇到点火源并引发火灾或爆炸事故。
可以根据可靠的频率数据估计起始事件的发生频率。
特别是考虑到上述条件（4），选择了CCPS指南提供的频率数据可以直接应用的事故场景作为代表性事故场景。结果总结在表5中。
表5. 启始事件及其相关的事故场景频率。
在识别的起始事件中，IE-01被选为代表性场景，因为它被认为是最保守且实际相关的案例，有可能导致最严重的事故后果。这一选择基于几个考虑因素：首先，加氢站中有因分配器软管损坏而导致的事故案例记录在案。如果软管破裂，大量高压氢气可能会释放到大气中；其次，分配器周围区域是加氢站内人员暴露程度最高的区域；此外，分配器系统根据SAE J2601 [27]进行了标准化，其安全装置也是标准化的。这一特性使得分配器系统适合用于LOPA [27]中的IPL评估。
因此，代表性起始事件的选择不仅基于频率，还考虑了潜在释放的严重性、与分配器区域暴露的相关性以及适用于保守的LOPA场景的适用性。表6提供了候选起始事件的比较。
表6. 代表性起始事件选择的理由。
LOPA是一种独立分析各个事故场景的方法，每个场景由一个起始事件和一个后果的组合定义。在单次分析中，评估一个导致特定后果的起始事件的风险降低水平[28]。因此，IE-01的分析结果也可以作为其他具有相似或较低风险水平的独立事故场景的保守参考。在本研究中，假设由软管破裂引起的IE-01的起始事件频率为每年1.0 × 10^-2次。这个值来自CCPS指南 [29] 中提供的软管破裂频率。由于加氢站特定的起始事件频率数据有限，因此在本研究中使用CCPS指南的值作为代表性半定量LOPA评估的保守参考值。

3.2. 确定目标缓解事件的可能性
为了进行LOPA，需要确定TMEL（目标缓解事件可能性），它代表在应用保护层后应达到的可接受事故频率。TMEL是指特定事故场景的可接受最终频率，通常由组织根据社会风险接受度、行业实践以及相关的国内和国际法规和标准来确定。

3.2.1. 确定可接受事故频率的标准
加氢站是对公众开放的设施，根据法律要求，站内操作员必须在站内值守。因此，加氢站的事故可能导致多人伤亡。在本研究中，TMEL被设定为每年1.0 × 10^-6次，这是基于韩国相关法规中提供的个人风险和社会风险解释标准。这个值通常可以视为典型工业设施中单个事故场景的可接受年事故频率。此外，这个值与文献中讨论的国际公认的可接受事故频率水平大致一致，包括英国和荷兰使用的基于风险的信息方法[30,31,32]。

3.2.2. 计算所需的风险降低因子
所需风险降低因子（RRF）定义为起始事件频率与可接受事故频率之间的比率。换句话说，它代表了特定事故场景所需的风险降低水平。RRF通过将起始事件频率除以TMEL来计算，所得值表示必须通过独立保护层或安全仪表系统实现的最小风险降低水平。因此，RRF在LOPA中是确定必须通过独立保护层实现的目标安全风险降低水平的重要指标。根据公式（1），计算由软管破裂引起的IE-01的RRF如下：
????????=????????????????????????????????????????????????????????????????????????????????????????????????????????????????=1.0×10^-2
1.0×10^-6=1.0×10^-4
这个结果表明，为了对由分配器软管破裂引起的事故场景建立有效的安全措施，需要至少10,000的安全降低因子。

3.2.3. 允许的按需失效总概率
按需失效概率（PFD）表示在需要执行其预定功能时IPL（独立保护层）失效的概率。换句话说，它指的是由于保护装置在需要时失效而导致的安全间隙或保护丧失的概率。在LOPA中，独立保护层的PFD定义如公式（2）所示。由于之前计算的RRF为1.0 × 10^-4，因此允许的总PFD可以确定为：
??????????????????≤?1×?×?10^-4
这意味着所有独立保护层的PFD值之和必须等于或小于1.0 × 10^-4。

3.2.4. 与功能安全的关系
如果使用单个安全仪表系统（SIS）来缓解识别的风险，则需要相当于RRF为1.0 × 10^-4的安全完整性水平。根据IEC 61511标准，这对应于SIL 3，如表7 [12,31]所示。在一般的工业实践中，SIL 3代表高水平的食品安全性。因此，通过单个仪表保护层达到这一水平可能具有挑战性。然而，如果多个基于规范的安全装置被认定为IPL，则可以评估它们的组合效果是否能够达到相同的风险降低因子。这是本研究的核心分析目标。

3.3. 根据KGS代码识别独立保护层并确定PFD
KGS代码规定了在加氢站设计和建造中必须考虑的安全装置，但没有为每个安全装置提供具体的PFD值。因此，在本研究中，应用了国际广泛使用的CCPS LOPA指南中的代表性PFD值[29]。
需要注意的是，CCPS指南中提供的PFD值是基于假设安全装置的完整性通过定期检查、测试和预防性维护（ITPM）得以维持的经验值。基于之前选定的由分配器软管破裂引起的大规模氢气释放的起始事件和TMEL，对KGS代码要求的安全装置进行了分类，并估算了每个IPL的PFD。通过这项分析，定量评估了仅通过应用KGS代码中规定的基本IPL是否能够满足所需的RRF。

3.3.1. IPL应用的事故场景和边界
起始事件IE-01的事故场景描述如下：
- 在加氢过程中，由于车辆异常移动导致分配器软管破裂。
- 由于未知的点火源发生火灾或爆炸。
通常，事故场景分析应全面考虑氢气从分配器或软管释放的位置、释放的持续时间和数量以及点火的概率等因素。然而，本研究的目的是评估是否仅通过应用KGS代码中规定的安全装置就能实现TMEL。因此，本研究中的IPL评估重点关注在大量释放情况下能够迅速隔离和关闭氢气泄漏的保护层，从而防止事故升级为严重事故。

3.3.2.基于KGS代码的IPL候选项识别

在氢燃料加注站规范KGS FP216和FP217中指定的安全装置中，只有那些能够直接降低事故风险，并且从LOPA（Failure Modes and Effects Analysis，失效模式与效应分析）的角度来看可以作为IPL（Inadvertent Functional Loss，非预期功能性损失）应用的装置被选中。

（1）分离式连接器
安装在加油软管上的分离式连接器是一种机械保护装置，当软管因车辆异常移动或加油过程中的外力而分离时，它可以自动关闭向大气中释放氢气的过程。特别是，如果车辆在未从软管上断开喷嘴的情况下突然离开，不仅软管可能会受到严重损坏，加油装置本身也可能受损。此类事件可能导致大量氢气释放到大气中。因此，分离式连接器被视为一种用于防止此类事故的关键安全装置。

（2）紧急停机系统和关闭阀逻辑
KGS代码规定了紧急停机（ESD）系统的安装位置和自动停机功能，允许操作人员在加油过程中发生紧急情况时迅速停止气体流动。当ESD系统被激活时，压缩机和泵等主要设备必须立即停止运行。这种机制可以被视为一种保护层，在识别到异常情况后，操作人员可以手动关闭系统。

（3）气体泄漏检测和报警系统
气体泄漏检测和报警系统能够检测到泄漏的气体，触发报警，并自动关闭气体流动。与仅提供报警以通知操作人员异常情况的系统不同，该系统集成了自动停机功能。因此，它可以作为LOPA框架中的基于仪表和控制器的IPL应用。

（4）过流量预防措施
加油装置内的氢气管道配备了用于流量调节的控制阀和用于紧急隔离的关闭阀。这些组件是实施SAE J2601标准中定义的加油协议所必需的元素。因此，控制阀和紧急关闭阀可以被视为针对流量异常增加的过流量预防措施。

KGS代码还规定了几项额外的保护措施，除了上述识别的IPL候选项之外。典型的例子包括防护墙、车辆撞击保护设施和通风系统。然而，那些不直接适用于选定事故场景的安全装置在本研究中未被视为IPL。

3.3.3. 每个IPL的PFD（Probability of Failure on Demand，故障几率）的依据和数值
为了验证是否满足允许的总PFD标准（1.0 × 10^-4或更低），将代表性的PFD数值应用于每个IPL。由于KGS代码没有为各个安全装置提供具体的PFD数值，因此采用了CCPS LOPA指南中推荐的代表性IPL数值[29]。需要注意的是，本研究中采用的PFD数值是基于每个IPL通过定期检查、测试和预防性维护保持其所需性能的假设条件。

（1）分离式连接器
根据CCPS指南，具有自动关闭功能的机械分离装置可以被认定为IPL，其代表性的PFD数值为1.0 × 10^-1。应当注意的是，CCPS推荐的PFD数值仅在确保分离装置的完整性和可操作性通过定期检查、测试和预防性维护得到保证的情况下才适用。根据规定，安装在氢燃料加注软管上的分离式连接器必须是经过认证的产品，并且要接受定期检查和维护。因此，在本研究中，采用了CCPS指南中推荐的PFD数值。

（2）紧急停机系统和关闭阀逻辑
根据CCPS指南，操作人员对异常情况的适当响应可以被认定为IPL。推荐的代表性PFD数值为1.0 × 10^-1或1.0 × 10^-2。当操作人员没有特定手段来检测紧急情况时，通常采用1.0 × 10^-1的PFD数值。相反，当可以通过报警或监控系统识别异常情况时，可以采用1.0 × 10^-2的PFD数值。在氢燃料加注站中，安装了多个仪表和控制系统，包括报警系统，使操作人员能够迅速识别异常运行情况。因此，在本研究中采用了1.0 × 10^-2的PFD数值。还应当注意的是，这种操作员响应IPL仅在有适当的操作程序记录并且操作人员接受了适当培训的情况下才能被视为有效。在韩国，根据规定，氢燃料加注站必须建立安全管理程序，设施操作必须由接受过适当教育和培训的授权人员执行。因此，这些条件被认为是满足的。由于氢燃料加注站是相对紧凑的设施，并且操作人员需要在加油区域现场，因此在本研究中假设能够及时识别异常情况和进行紧急响应。

（3）气体泄漏检测和报警系统
由传感器、逻辑解算器和最终控制元件组成的安全联锁装置是CCPS指南中描述的代表性控制和联锁型IPL。气体泄漏检测和报警系统属于这种类型的保护层。当通过定期检查和功能测试验证了安全联锁的可靠性时，CCPS指南推荐的代表性PFD数值为1.0 × 10^-1。由于气体泄漏检测和报警系统的性能是相关法规要求的设施完成检查的关键检查项目，因此认为满足应用此IPL的条件。因此，在本研究中采用了1.0 × 10^-1的PFD数值。

（4）过流量预防措施
根据CCPS指南，通过定期检查确保完整性的过流量预防装置可以被认定为IPL。在这种情况下，可以采用1.0 × 10^-1的代表性PFD数值。当该装置安装在输送低污染潜力和非腐蚀性流体的管道中时，可以使用这个PFD数值。氢燃料加注站向燃料电池车辆提供的氢气是高纯度、非腐蚀性的气体，因此认为满足应用此标准的条件。

据此，基于KGS代码识别的IPL及其应用的PFD数值总结在表8中。

表8. 基于CCPS的IPL及其分配的PFD数值

3.3.4. 总PFD和剩余事故频率的计算
总PFD是各个IPL的PFD数值的乘积。该计算可以使用方程（3）表示。在本研究中，总PFD是在假设识别的IPL独立运行且没有共同原因故障同时影响它们的情况下计算的。

??????????????????=?????????????=(1.0×10^-1)×(1.0×10^-2)×(1.0×10^-1)×(1.0×10^-1)=1.0×10^-5 （3）

因此，由于允许的总PFD标准确定为1.0 × 10^-4，基于KGS代码的IPL组合的风险降低能力满足了总PFD要求。最终事件可能性（Final Eventlikelihood），表示减轻后的事故频率，可以根据方程（4）计算如下：

?????????????????????????????????????????=??????×??????????????????=(1.0×10^-2/????????????)×(1.0×10^-5)=1.0×10^-7/??????????? （4）

3.3.5. 达到TMEL（Target Minimum Event Likelihood，目标最低事件可能性）
本研究中确定的TMEL为每年1.0 × 10^-6。在这里，最终事件可能性是指在初始事件后发生火灾或爆炸的选定事故场景的减轻后的年度可能性。计算出的最终事件可能性为每年1.0 × 10^-7，比目标值低一个数量级。因此，可以定量地认为达到了TMEL。LOPA结果表明，当将KGS代码中规定的安全装置作为IPL应用时，可以实现选定事故场景的TMEL。这表明基于规定的技术标准有助于确保最低限度的安全性。

然而，这一结果仅在假设每个IPL的独立性和可靠性得到保证，并且进行了定期检查、测试和适当的维护活动的情况下有效。此外，分析排除了同时发生的事故场景和共同原因故障等因素，这些通常不在风险评估中考虑。因此，如果在实际氢燃料加注站操作中这些条件没有完全满足，假设的PFD数值可能无法保持。特别是，基于仪表和控制的保护层可能容易受到与电源或控制系统相关的共同原因故障的影响，其性能可能因维护实践的充分性而有所不同。换句话说，即使完全遵守KGS代码和相关法规，仍然可能出现安全漏洞。

4. 结果和讨论

4.1. LOPA结果总结
在本研究中，选择了一个涉及加油软管断开和破裂的事故场景，这种事故是由于车辆离开导致的，进而导致大量氢气泄漏和随后的火灾或爆炸。根据CCPS指南，采用了每年1.0 × 10^-2的初始事件频率（对应于软管破裂）。TMEL设定为每年1.0 × 10^-6，所需的RRF（Risk Reduction Factor，风险降低因子）为1.0 × 10^4。KGS代码中规定的安全装置作为IPL应用，每个IPL都分配了CCPS推荐的PFD数值。结果表明，总PFD计算为1.0 × 10^-5，最终事件可能性估计为每年1.0 × 10^-7，表明最初定义的TMEL得到了满足。

这些结果表明，当所有基于规定的技术标准规定的安全装置得到适当实施时，从定量角度来看，有可能实现氢燃料加注站事故场景的目标风险水平。

4.2. 基于规定的方法的定量充分性
本研究的结果表明，基于规定的方法可以实现一定程度的风险降低。特别是，KGS代码不仅规定了机械安全装置，还规定了基于仪表和控制的安全系统，形成了多层保护。当这些措施适当结合时，可以实现显著的风险降低效果。这表明，基于规定的安全装置的安装不仅仅是一种形式要求，而是可以有效降低实际风险。在实践中，氢燃料加注站的安全设计采用了多种安全装置的组合，这与LOPA要求的多层保护概念在结构上有相似之处。

然而，这些定量结果仅在假设每个IPL独立运行并且其完整性通过适当的维护保持在初始设计水平的情况下有效。虽然基于规定的技术标准在设计和施工阶段清楚地指定了所需的安全装置，但它们并没有系统地解决这些装置在运行期间的长期可靠性和性能维护问题。

4.3. 独立性的假设和共同原因故障的影响
从LOPA的角度来看，IPL必须保持独立性，即不受初始事件或其他保护层故障的影响。然而，在实际的氢燃料加注站中，紧急停机系统和气体泄漏检测系统等系统可能共享同一电源或控制面板。在这种情况下，电源或控制系统的故障可能导致多个IPL同时失效。

此外，维护系统通常以集成的方式进行管理。因此，一个安全装置的维护不足可能导致其他安全装置的性能下降。在这些条件下，即使在LOPA中识别了多个IPL，实际的风险降低效果也可能低于计算值。例如，基于仪表和控制的保护层可能会因电源损失或控制逻辑故障等共同原因故障而同时失效[33]。另外，如果运行期间的维护系统没有得到适当建立，安全装置的故障概率可能会增加，从而导致保护层的PFD增加。在某些情况下，最终事件概率可能不再满足TMEL（目标事件限制）的要求。因此，报告的风险降低性能不应仅仅被视为遵守指南的固有结果。相反，它应被视为一个有条件的结果，这取决于保护层的持续运行完整性和管理。如果这些维护条件没有得到充分满足，需求时发生故障的实际概率可能会增加。在这种情况下，缓解后的事件概率可能不再满足目标风险标准。这种解释与最近的维护政策研究一致，这些研究表明，在按需运行条件下的可靠性受到检查间隔、维护决策和系统退化的强烈影响[34,35,36]。此外，操作员培训不足、证明测试不充分或在异常情况响应中的人为错误可能会进一步降低保护层的实际有效性，并增加最终事件概率。

4.4. 考虑仪表化保护层中的共因失效的敏感性分析
为了检验LOPA（损失概率分析）结果对识别出的独立保护层（IPLs）之间独立性假设的敏感性，进行了额外的保守敏感性分析。在基准案例分析中，认定了四个IPL：断开耦合装置、带有关闭阀逻辑的紧急停车（ESD）系统、氢气检测和自动关闭系统以及过流防止措施。然而，在这些IPL中，与ESD相关的停车功能（IPL-02）和基于气体检测的自动关闭功能（IPL-03）都依赖于仪表和控制逻辑。在实际的氢燃料加注站配置中，这些功能可能共享控制面板、逻辑求解器、电源、信号传输系统或最终控制架构等 common 元素。在这种情况下，影响共享控制逻辑系统的共因失效可能会同时损害两个保护层。因此，在这种敏感性分析情况下，IPL-02 和 IPL-03 被保守地不认为是独立的IPLs。基于这一假设，在敏感性案例中只认可了 IPL-01（断开耦合装置）和 IPL-04（过流阀）。使用基准案例分析中应用的相同PFD（概率故障密度）值，重新计算了总PFD：
$$ T_{OTAL} \times \mathbb{F}_{FD} = (1.0 \times 10^{-1}) \times (1.0 \times 10^{-1}) = 1.0 \times 10^{-2} \quad (5) $$
相应地，引发事件的最终事件概率重新计算为：
$$ \mathbb{F}_{INIL} \times \mathbb{E}_{FD} \times \mathbb{L} \times \mathbb{K} \times \mathbb{O} \times \mathbb{O} \times \mathbb{S} \times \mathbb{N} \times \mathbb{S} \times \mathbb{I} \times \mathbb{O} \times \mathbb{I} = \left(1.0 \times 10^{-2} / (y \times e \times a \times r)\right) \times (1.0 \times 10^{-2}) = 1.0 \times 10^{-4} / (y \times e \times a \times r) \quad (6) $$
这个结果比TMEL（1.0 × 10^{-6}）高出两个数量级。因此，在共享控制逻辑系统的共因失效假设下，目标风险标准不再得到满足。敏感性分析的结果总结在表9中。表9显示了基准案例和敏感性案例LOPA结果的比较。这项敏感性分析表明，基于规范的安全方法的定量有效性高度依赖于仪表化保护层独立运行的假设。尽管基准案例分析表明，当所有识别的IPL都被独立认可时，可以实现所需的风险降低，但敏感性案例显示，如果保护层之间存在共因依赖性，风险降低性能可能会被大幅高估。换句话说，仅仅存在多个安全措施并不一定能保证预期的风险降低水平，除非它们的独立性得到了功能上的确保。这些结果强调了验证氢燃料加注站中与控制相关的保护层独立性的实际重要性。它们还支持需要一个更系统的安全框架，该框架考虑了共因失效、架构分离和仪表化保护功能的生命周期管理。

4.5. 考虑功能安全的需要
本研究确定的RRF（风险降低因子）为1.0 × 10^4，如果仅使用基于仪表的保护层来降低风险，则需要较高的SIL（安全等级）[37]。虽然通过组合基于规范的IPL实现了目标风险降低，但如果仅依赖功能安全，则需要相应的SIL。功能安全的不同之处在于，它不仅限于分配高SIL，还包括一个全面的安全生命周期管理框架。这包括在设计阶段确保保护层的独立性，以及在整个生命周期中进行证明测试和维护运行记录。只有当这些系统化管理措施到位时，才能有效地考虑功能安全的实施。尽管基于规范的IPL组合从定量角度来看可能满足TMEL，但很难保证在真实的工业环境中风险降低性能将始终得到保持。因此，提供系统性性能保证和可靠性管理的功能安全是一个有效的额外安全措施。

总之，基于规范的方法在确保最低安全水平方面是有效的，但在保证风险降低措施的长期性能方面存在局限性。本研究的结果不仅证明了基于规范的方法的定量有效性，还强调了需要一个更综合的安全管理框架，包括操作、维护以及保护层之间的独立性保证，以充分应对实际事故风险。

4.6. 限制
在解释结果时，应考虑这项研究的几个限制。首先，分析是针对一个具有代表性的和保守的事故场景进行的，而不是对所有可能的氢燃料加注站事故场景进行全面的风险排序。其次，引发事件频率和IPL/PFD（概率故障密度）值是从CCPS（Center for Comparative Research in Safety Studies）等代表性参考来源采用的，因为氢燃料加注站特定的定量可靠性数据仍然有限。第三，报告的风险降低性能基于保护层独立性、适当维护、操作员在场以及及时应急响应的假设。因此，结果应被视为对基于规范的安全措施的代表性半定量评估，而不是在所有操作条件下对风险可接受性的完全特定于现场的证明。

5. 结论
在这项研究中，使用LOPA方法分析了由高压分配器软管破裂引起的大规模氢气释放的代表性事故场景，引发事件频率采用CCPS指南中的数据。TMEL（目标事件限制）设定为每年1.0 × 10^-6次，相应的RRF（风险降低因子）确定为1.0 × 10^4。KGS规范中指定的安全装置作为IPL（独立保护层）应用，其PFD值根据CCPS指南进行分配。总PFD计算为1.0 × 10^-5，通过将引发事件频率乘以总PFD得到的最终事件概率为每年1.0 × 10^-7次。这个结果满足定义的TMEL，表明当所有基于规范的技术标准要求的安全装置得到妥善实施时，可以实现对选定场景的目标风险水平。然而，这些结果是在包括保护层独立性、定期检查和测试、适当维护以及排除共因失效的假设下得出的。在实际的氢燃料加注站运营中，这些条件可能并不总是得到完全满足，结果可能会根据操作和环境因素而变化。因此，即使设施的设计和建造完全符合基于规范的技术标准，也很难确保风险降低性能会始终得到保持。总之，KGS规范中定义的基于规范的方法有助于确保氢燃料加注站的最低安全水平。然而，为了确保风险降低性能的可持续性和可靠性，需要整合定期风险评估和功能安全框架。未来的研究应包含考虑共因失效、维护缺陷和人为错误的敏感性分析，并应进一步研究基于IEC 61508和IEC 61511的功能安全框架与基于规范的保护系统的综合应用。未来的研究还应开发针对氢燃料加注站的特定引发事件频率数据和定量验证的IPL/PFD值，以进行更具体的设施风险评估。这项研究并没有得出结论，即在应用基于规范的技术标准时不需要基于功能安全的SIS（安全系统集成）。相反，它定量地表明，只有在理想条件下，基于规范的保护层组合才能实现目标风险水平。换句话说，基于规范的方法可以确保基本的安全水平。然而，额外实施功能安全框架，包括安全生命周期管理、独立性保证和系统性能维护，可以使氢燃料加注站的运营更加可靠和安全。最终，这种综合方法有望促进向基于氢能系统的稳定过渡。从监管角度来看，结果表明，可以通过为关键仪表化保护功能（如ESD和气体检测系统）的定期证明测试和独立性验证补充更明确的规定，来进一步加强KGS规范。