2005年12月11日，英国邦斯菲尔德油库，储罐液位监测系统故障与独立高液位开关失效，导致汽油泄漏并形成爆炸性蒸气云，发生蒸气云爆炸。首次爆炸超压超过200kPa，引发连锁反应，火焰波及相邻20余储罐形成大规模流淌火。本次事故造成43人受伤、20座储罐损毁，并导致重大环境污染与经济损失。
本次内容，将从邦斯菲尔德事故的功能安全评估方面进行分析。
一、功能安全评估的不足
独立性与团队能力不足：功能安全评估（FSA）未完全遵循“独立团队实施”的原则。机理的研究不足及多方协作局限性（如未解决所有技术问题）。此外，部分评估人员缺乏必要的技术能力（如对安全仪表系统安全完整性等级的量化分析），未充分满足BS EN 61508及61511的要求。
风险评估覆盖不全：根据《安全报告评估指南》（SRAG），蒸气云爆炸（VCE）等复杂场景未被纳入分析框架，事故前的评估忽略了此类高风险场景的潜在可能性。
系统性缺失：主管机构的检查流程过度聚焦“已知缺陷”，缺乏对整体风险控制措施（如液位联锁系统冗余设计）的审查。如API 650对储罐维护的要求未充分执行，及预防蒸气形成的设计改进要求。
二、对法规与技术规范的推动
修订风险评估指南：针对VCE等复杂场景，更新《安全报告评估指南》要求。如分阶段纳入VCE分析框架、新储罐防蒸气设计导向等。
强化变更管理流程：BS EN 61511增补条款明确，任何SIS修改（包括软件配置）需通过严格的变更管理流程，并重新验证安全功能。
提升评估独立性要求：法规进一步要求FSA团队需完全独立于项目设计团队。
完善操作数据记录规范：规范要求记录系统所有需求动作及响应性能，为后续评估提供数据支撑。
三、经验教训与改进措施
关键措施：动态评估与数据驱动。1，定期再评估机制：基于运行数据（如故障率、维护记录）周期性修正FSA结论，而非仅限于设计阶段。2，全生命周期管理：从设计、运维到退役阶段，持续追踪SIS性能，确保符合SIL目标。
强化变更管理：建立变更前安全影响分析流程，包括软件配置与硬件修改的追溯性审查。
风险审查：主管机构需从“缺陷检查”转向“系统性风险控制评估”，综合审查屏障有效性、人员能力及应急响应。如依据API 650，现行检查仅覆盖基础维护，而事故显示需增加冗余设计审查。
情景覆盖扩展：在FSA中纳入“低概率-高后果”事件分析。
能力建设与文档管理：明确FSA团队能力矩阵，并确保文档（如P&ID、联锁逻辑图）实时更新。
上一篇： 邦斯菲尔德事故的经验及教训
下一篇： 操作行为与操作纪律
