0 引言

南海东部石油资源丰富，是我国最早开发石油资源的海域之一。随着近年来的不断生产，油田的开发技术条件更加复杂，钻井工程难度日益加大，传统的钻井设备难以满足生产需求，为此，油田逐渐使用高效能的模块钻机^[1-2]。顶驱系统是新型模块钻机的关键装备，其安全可靠的服役直接关系到模块钻机的安全稳定作业。分析顶驱系统的不安全因素和其带来的风险，并采取一定的风险控制措施，对保障顶驱系统安全运行和促进模块钻机稳定作业具有重要意义。

国内外常用的风险评估方法主要有故障模式及影响分析(FMEA)、事故树分析(FTA)、事件树分析(ETA)和可靠性方框图(RBD)等^[3-5]。其中，FMEA适用于系统各个阶段的可靠性分析，且能较好地识别和预测风险，被很多重要领域列为指定分析方法^[6-8]。Bow-Tie是一种可视化较强的风险分析和风险管理工具，它通过识别风险、分析风险因素、设置风险屏障和采取风险控制措施来预防和控制风险。针对南海东部模块钻机顶驱系统的风险分析及控制问题，笔者采用FMEA法对顶驱系统进行故障模式风险有限控制等级分析，并以ALARP原则^[9]为基础对各故障模式风险数进行划分，建立顶驱系统的Bow-Tie风险管理模型，以期为现场管理和风险控制提供依据。

1 风险定量——FMEA分析

故障模式及影响分析(FMEA)一般通过分析系统中每一单元的潜在故障模式、故障原因及其对系统造成的影响，并按照每一个故障模式的后果严重程度(S)、发生频度(O)和检测难易程度(D)予以分类，来计算故障模式的RPN值，再根据RPN值确定故障是否需要处理或处理的优先顺序。FMEA分析的一般步骤如图 1所示。

RPN值主要由S、O、D值计算得到：

式中：S为后果严重度，O为故障模式在预定时间段内发生的频度，D为故障可探测度。

1.1 故障模式确定

通过对南海东部各作业平台的钻机模块维护保养及故障记录进行分析，并结合其设备特点，确定模块钻机电控系统的故障模式主要可以分为6大类：损坏型故障(8种)、退化型故障(4种)、松动型故障(2种)、失调型故障(4种)、堵塞渗漏型故障(4种)和功能失效型故障(3种)。各类型故障模式如表 1所示。

1.2 FMEA评价指标

对于顶驱系统各类潜在故障模式，需要进一步确定FMEA分析中的各类参数(严重度S、发生频度O和可探测度D)才可计算其RPN值。根据南海东部模块钻机顶驱系统故障的2014—2016年统计结果，同时结合海油深圳分公司《健康安全环保管理体系》对作业风险的规定，以及《系统可靠性分析技术——故障模式和影响分析(FMEA)程序(GB/T 7826—200X/IEC60812)》等，对各故障的严重度、发生频度和可探测度的等级进行定量，如表 2所示。

表 2中故障严重度S共划分为5个级别，主要从安全和经济角度进行定义；故障发生频度O共划分为5个级别，代表每1 000 h作业时间的平均故障数；故障可探测度D共划分为3个级别，指在现有的技术条件下发现各类故障的难易程度。

1.3 风险分析

结合表 1和表 2中的FMEA故障模式和评估指标，计算得到各故障模式的RPN值，如表 3所示。

由表 3可知，在各种故障模式中，故障发生后造成危害较大的是断裂故障、变形故障和拉伤故障，实际生产作业中这3种故障控制的优先级较高，应作为钻前检验的重点排查对象；发生频度最高的是老化故障，其次是变质故障、异常磨损故障、堵塞故障和漏水故障，对这5种故障应当采取相应的改进措施以减少其发生频度；以现有技术手段难以探测出的故障有6种，分别是开裂故障、点蚀故障、变质故障、行程失调故障、干涉故障和渗油故障，这6种故障模式是相关技术人员需要攻克的重点。在所有故障模式中，风险数最低的是剥落故障，该故障模式可以暂时不进行处理，维持其风险数即可；风险数最高的是干涉故障，该潜在故障模式是引起顶驱系统失效的最大风险故障，应当立即采取措施降低其风险数。

2 风险分级——ALARP分析 2.1 ALARP原则

ALARP原则是“最低合理可行”(As Low As Reasonably Practically，ALARP)原则的简称，它是当前国外风险可接受水平普遍采用的一种风险判据原则^[10-11]。ALARP原则的含义：任何工业系统都存在风险，不可能通过预防措施来彻底消除风险；而且当系统的风险水平越低时，越要进一步降低就越困难，其成本往往呈指数曲线上升。也可以这样说，安全改进措施投资的边际效益递减，最终趋于0，甚至为负值。因此，必须在系统的风险水平和成本之间做出一个折衷。ALARP原则可近似表示为如图 2所示的状态。

图 2中，风险由不能容忍线和可忽略线将其分为不能容忍区、ALARP区和广泛可接受区。不能容忍区和ALARP区是风险辨识的重点所在，风险辨识时必须尽可能地找出该区所有的风险，该区风险除特殊情况外无论如何不能被接受。如果风险在可忽略线之下，则落入广泛可接受区，此时的风险可以被接受，应采取措施保证风险处于该风险区域。如果风险在可忽略线和不可接受线之间，则处于最低合理可行区，在该区域的风险水平符合ALARP原则，此时需要进行安全措施投资成本风险分析，如果分析成果能够证明进一步增加安全措施投资对工业系统的风险水平降低贡献不大，则风险是“可接受的”，即可以允许该风险的存在。

2.2 顶驱系统风险数分级

根据对FMEA法分析所得的顶驱系统各故障模式的风险数RPN值总体分布情况，结合风险评估实际，基于ALARP原则，确定RPN=10为风险等级容忍下限，RPN=20为风险等级不可容忍上限，以此为界，对风险等级划分如下：①RPN≥20，风险等级为“高”，处于高风险区域，属于不可容忍区域，必须立即采取措施整改或降低RPN值；②10≤RPN＜20，风险等级为“中”，属于最低合理可行区域，必要时需进行安全措施投资成本风险分析，在满足最低合理可行的前提下进一步控制和降低风险；③RPN＜10，风险等级为“低”，属于广泛可接受程度，应采取措施保证风险处于该风险区域。

基于所确定的ALARP风险等级划分原则，根据RPN值对顶驱系统各类潜在故障模式的风险等级进行划分，统计结果如图 3所示。表中横坐标数据代表顶驱的25种故障。

结合图 3和表 1可知，顶驱系统的25种故障模式中，属于高风险区的共有7种，占比28%，必须立即采取措施整改或降低高风险区故障模式的RPN值；属于中风险区的共有11种，占比44%，应该在满足最低合理可行的前提下进一步控制和降低该区域故障的风险；属于低风险区的共有7种，占比28%，应采取措施保证该区域故障的风险不增加。所有故障类型中，损坏型故障和退化型故障均包含3个高风险故障模式，这2种类型故障是顶驱系统风险控制和管理的重点；堵塞渗漏型故障基本都是低风险故障模式，该类型故障的风险基本属于广泛可接受程度，可暂不采取措施，维持其风险数处于该风险区域即可。

3 风险屏障——顶驱系统Bow-Tie风险管理模型 3.1 Bow-Tie模型

Bow-Tie模型是基于屏障防护理论的一套风险分析方法，目前此方法已经被广泛地运用在欧洲及世界各国的政府部门和跨国企业等组织中，帮助优化风险管理过程^[11-12]。此模型与传统的风险识别方式相比，能够直观、全面地识别风险，不易错漏。但同时，作为主动式和预测式相结合的风险识别方式，其工作量较大。完整的Bow-Tie模型图可以用图示说明危险(源)、顶层事件、风险事件、潜在结果以及为尽量降低风险而建立的风险控制机构，如图 4所示。Bow-Tie模型的风险控制主要分为事故前的预防措施和事故后的控制措施。其中，事故前的预防措施一般为防止顶层风险事件发生的保护性方法或前瞻性屏障，其在顶层事件的左边；事故后的控制措施主要为纠正或控制机构，其在顶层事件的右边。

3.2 顶驱系统的Bow-Tie安全屏障分析

根据南海东部模块钻机顶驱系统的故障模式和影响分析(FMEA)结果，提出相应的故障模式处理措施，并针对主要故障类型进行基于Bow-Tie的顶驱系统安全屏障分析。其中，Bow-Tie安全屏障分析分为事故前预处理和事故后的控制措施2方面。根据调查和统计数据，结合各故障模式的ALARP风险等级划分情况，顶驱系统需要采取屏障措施的故障类型可分为损坏型故障、退化型故障、松动型故障、失调型故障和功能失效型故障5大类，造成各类型故障的原因主要为钻前检验不严格、日常维保不当和操作不当等。顶驱系统失效主要会造成停工、人员伤害和油气泄漏等后果。根据统计调查结果和现场实际情况，制定了Bow-Tie主要安全屏障。其中，事故前预防措施主要有以下5种。

(1) 针对顶驱设备损坏型故障，采用定期巡查、钻前检验、人员培训、质量控制、施工控制和临时防护等事故前预防措施。

(2) 针对顶驱设备退化型故障，采用钻前检验、计划维保、涂刷防腐层和合规安装等预防措施。

(3) 针对顶驱配件松动型故障，采用定期巡查、合规安装、钻前检验和及时清理等预防措施。

(4) 针对顶驱失调型故障，采用监控设备运转状态、人为控制行程和关键部位润滑等预防措施。

(5) 针对顶驱功能失效型故障，采用定期巡查、加强通风、钻前检验和质量监督等预防措施。

事故后控制措施主要分为3种。

(1) 若造成停工，可采取更换配件、临时抢修、重新安装、物理降温、及时清理和临时防护等事后控制措施。

(2) 若造成人员伤害，则可以采取人员救护、平台人员疏散、应急响应和临时抢修等控制措施。

(3) 若造成油气泄漏，可采取液压控制和溢油等控制措施。

根据顶驱系统的Bow-Tie安全屏障分析，建立顶驱系统的Bow-Tie风险管理模型，如图 5所示。图中：Bow-Tie模型的左边为顶驱系统故障前的预防措施，右边为顶驱系统故障后的控制措施。Bow-Tie模型直观地显示了顶驱系统的潜在故障、防护屏障、故障模式与控制措施之间的关系，其可视化较强，便于实际应用，其为顶驱系统的风险管理提供了有效依据。

4 结论

(1) 采用FMEA方法对模块钻机顶驱系统进行了故障模式及其影响分析，分析结果表明，损坏型故障对顶驱系统失效的影响最大，退化型故障的高风险故障数量较多；在所有故障模式中，RPN值最高的是干涉故障，应作为重点加强日常维护保养及检查。

(2) 基于ALARP原则对顶驱系统潜在故障模式的风险数进行分级，确定顶驱系统各类故障的控制原则：顶驱系统的25种故障模式中，属于高风险区的共有7种，占28%，必须立即采取措施整改或降低高风险区故障模式的RPN值；属于中风险区的共有11种，占44%，应该在满足最低合理可行的前提下进一步控制和降低该区域故障的风险；属于低风险区的共有7种，占28%，应采取措施保证该区域故障的风险不增加。

(3) 结合FMEA分析结果和风险数划分情况，分析了顶驱系统的Bow-Tie安全屏障，并建立了可视化较强的顶驱系统Bow-Tie风险管理模型，该模型通过故障前预处理和故障后控制措施，可以较好地控制顶驱系统的风险，为顶驱系统的现场管理提供了有效依据。