金業(yè)權(quán)， 胡 滿， 吳 謙， 紀(jì)永強(qiáng)

(中國石油大學(xué)(華東)石油工程學(xué)院，山東青島 266580)

1 概 述

2010年發(fā)生在美國墨西哥灣的Macondo深水井漏油事故中，由于防噴器系統(tǒng)失效，井噴未能得到有效控制，造成了十分嚴(yán)重的后果。目前，深水防噴器系統(tǒng)的故障數(shù)據(jù)主要來源于美國安全與環(huán)境執(zhí)法局網(wǎng)站上e-Well系統(tǒng)收錄的2007—2009年美國墨西哥灣外大陸架所鉆259口深水井的油氣井活動(dòng)報(bào)告[1]。根據(jù)統(tǒng)計(jì)，深水防噴器系統(tǒng)常見的失效模式有黃藍(lán)箱自身功能故障、蓄能器液壓供應(yīng)不足、萬能防噴器內(nèi)部泄漏、液壓連接器解鎖故障、閘板防噴器內(nèi)部泄漏或無法關(guān)閉、柔性接頭外部泄漏和節(jié)流壓井閥外部泄漏等，其中約有50%的故障是由控制系統(tǒng)失效引起的，危害性較為嚴(yán)重的有液壓連接器解鎖故障、閘板防噴器關(guān)閉故障、萬能防噴器關(guān)閉故障等。

在探討深水防噴器系統(tǒng)失效主要原因時(shí)，國內(nèi)學(xué)者多是針對單一部件或某一子系統(tǒng)，主要是對控制系統(tǒng)進(jìn)行可靠性研究[2]。由于防噴器系統(tǒng)是一個(gè)復(fù)雜的系統(tǒng)，單個(gè)部件或某一子系統(tǒng)是否可靠的結(jié)論，對實(shí)際生產(chǎn)不具指導(dǎo)價(jià)值。一些學(xué)者對深水防噴器系統(tǒng)整體的可靠性進(jìn)行了初步探索[3-4]。但是,基于故障樹分析法，以深水防噴器系統(tǒng)為研究對象，對Macondo深水井漏油事故進(jìn)行定性和定量相結(jié)合的系統(tǒng)失效原因分析,在國內(nèi)鮮有報(bào)道。

為此，筆者根據(jù)Macondo深水井漏油事故中防噴器失效的相關(guān)資料，建立了Macondo井的深水防噴器系統(tǒng)失效故障樹；對該故障樹進(jìn)行定性與定量計(jì)算分析，找出了導(dǎo)致系統(tǒng)失效的關(guān)鍵因素和誘因組合；應(yīng)用該故障樹模型，對Macondo井噴漏油事故進(jìn)行了系統(tǒng)失效原因分析；并對系統(tǒng)失效概率的近似計(jì)算與實(shí)際情況進(jìn)行對比，驗(yàn)證識(shí)別了主要失效原因的客觀性。

2 防噴器系統(tǒng)失效故障樹的構(gòu)建

故障樹分析法是一種評(píng)價(jià)復(fù)雜系統(tǒng)可靠性與安全性的重要方法。故障樹分析法的一般步驟包括：確定頂事件、調(diào)查原因事件、編制故障樹和分析故障樹。故障樹的完善程度和準(zhǔn)確程度直接決定故障樹分析結(jié)果的可靠性和有效性，因此故障樹的構(gòu)建是整個(gè)故障樹分析法的關(guān)鍵。為了建立較為可信的Macondo井深水防噴器系統(tǒng)失效故障樹，筆者結(jié)合國外一些團(tuán)體和企業(yè)對該事故的調(diào)查報(bào)告[5-8]，對頂事件的發(fā)生原因和經(jīng)過進(jìn)行了詳細(xì)分析，找到了導(dǎo)致系統(tǒng)失效的因素集，并在此基礎(chǔ)上構(gòu)建了故障樹。

2.1 頂事件的確定

頂事件是不希望發(fā)生的失效事件。在防噴器系統(tǒng)的失效分析中，確定頂事件(T)為“防噴器組沒有封住井口”。

2.2 Macondo井防噴器系統(tǒng)失效過程分析

在Macondo深水井漏油事故中，直到油氣進(jìn)入隔水管時(shí)作業(yè)人員才發(fā)現(xiàn)井涌，然后立即關(guān)閉上部萬能防噴器。由于發(fā)現(xiàn)溢流不及時(shí)，油氣上返速度太快，鉆桿受到很大提升力，使得鉆桿接頭的一部分到了上部萬能防噴器的橡膠密封元件之上。在萬能防噴器完全關(guān)閉所需要的26 s內(nèi)，通過橡膠密封元件和鉆桿接頭之間空隙的油氣巖屑流的流速迅速增大，對密封元件和鉆桿接頭造成嚴(yán)重侵蝕，萬能防噴器密封失效。同時(shí)，上部萬能防噴器上方的鉆桿也受到了嚴(yán)重侵蝕。

之后，平臺(tái)作業(yè)人員又關(guān)閉了上部、中部2個(gè)變徑閘板防噴器(VBR)，并用機(jī)械閘板防噴器鎖定裝置(ST鎖)鎖緊，VBR關(guān)井成功。爆炸導(dǎo)致鉆機(jī)斷電后，平臺(tái)的定位系統(tǒng)失效，隨著平臺(tái)位置的偏離，鉆機(jī)游車與防噴器組之間的鉆桿受到拉力，短短幾分鐘內(nèi)，上部萬能防噴器上方之前受到嚴(yán)重侵蝕的鉆桿在拉力作用下發(fā)生了斷裂，先前被封閉在VBR下方的流體通過鉆桿斷口再次噴出井口。

于是，平臺(tái)工作人員試圖關(guān)閉全封剪切閘板防噴器(BSR)。爆炸損壞了多路電液控制系統(tǒng)(MUX)電纜，使受控于地面控制面板的緊急解脫系統(tǒng)(EDS)失效。平臺(tái)工作人員試圖通過黃藍(lán)控制箱激活自動(dòng)模式(AMF)功能，但未激活。在BP公司墨西哥灣漏油事故的事后調(diào)查中發(fā)現(xiàn)，黃箱103電磁閥損壞，藍(lán)箱供給SEM B的蓄電池和控制箱的蓄電池電量不足，無法激活103電磁閥，AMF沒有被激活。之后，平臺(tái)工作人員試圖通過水下機(jī)器人(ROV)控制液壓接頭干預(yù)關(guān)閉剪切閘板，但由于水下機(jī)器人的泵失效、輸出流量低以及水下蓄能器泄漏，導(dǎo)致控制液壓接頭無壓力，這個(gè)嘗試也失敗了。最后,通過水下機(jī)器人驅(qū)動(dòng)并剪斷自動(dòng)剪切桿，自動(dòng)剪切功能被激活，BSR開始關(guān)閉。但是,由于一個(gè)工具接頭穿過剪切閘板，BSR無法剪斷且無法完全關(guān)閉。到此，防噴器組完全失效了。

2.3 Macondo井防噴器系統(tǒng)失效故障樹的編制

基于以上Macondo井防噴器系統(tǒng)失效分析，建立了具有21個(gè)中間事件(E1—E21)和14個(gè)基本事件(X1—X14)的防噴器組失效故障樹(見圖1)。

3 防噴器組失效故障樹定性分析

故障樹分析包括定性分析和定量分析，求解故障樹的最小割集、最小徑集和各基本事件結(jié)構(gòu)的重要度屬于定性分析的范疇，在已知各基本事件發(fā)生概率的條件下求解頂事件的發(fā)生概率屬于定量分析。

圖1 “防噴器組沒有封住井口”的故障樹Fig.1 Fault tree of BOP failed to seal the well

3.1 故障樹最小割集的求解

最小割集是指引起頂事件發(fā)生的最低限度的基本事件集合。任何一個(gè)最小割集中的基本事件同時(shí)發(fā)生，頂事件都會(huì)發(fā)生。通過求解故障樹的最小割集，可以得到系統(tǒng)故障發(fā)生的所有模式。最小割集數(shù)量越多，表示系統(tǒng)的故障模式越多，系統(tǒng)也就越危險(xiǎn)[9-10]。通常用布爾代數(shù)化簡法求解故障樹最小割集,求解過程為：

T=E1E2=(E3+E4)(E5+E6)=(E7E8+X7+E12)(X3+E9E10)=

[(X1+X5+X6)X2+X7+X8X9](X3+E13E14E15X4)=

(X1X2+X2X5+X2X6+X7+X8X9)[X3+X4E17E18X10E16X4]=

(X1X2+X2X5+X2X6+X7+X8X9)[X3+(X11+X14+X13)X10X11X12X4]=

(X1X2+X2X5+X2X6+X7+X8X9)(X3+X4X10X11X12)=X1X2X3+X1X2X4X10X11X12+

X2X5X3+X2X5X4X10X11X12+X2X6X3+X2X6X4X10X11X12+

X7X3+X7X4X10X11X12+X8X9X3+X8X9X4X10X11X12

(1)

從式(1)可以看出，進(jìn)行布爾代數(shù)化簡后得到X1X2X3等10個(gè)最小割集，具體見表1。

表1Macondo井深水防噴器系統(tǒng)失效故障樹最小割集

Table1MinimalcutsetsinafaulttreefordeepwaterBOPsysteminMacondowell

割集階數(shù)(數(shù)量)最小割集二階割集(1)(X3X7)三階割集(4)(X1X2X3),(X2X3X5),(X2X3X6),(X3X8X9)五階割集(1)(X4X7X10X11X12)六階割集(4)(X1X2X4X10X11X12),(X2X4X5X10X11X12),(X2X4X6X10X11X12),(X4X8X9X10X11X12)

表1中，10個(gè)最小割集表示系統(tǒng)失效的10種情況。其中，最低階數(shù)割集為X3X7，說明最容易導(dǎo)致防噴器系統(tǒng)失效的原因組合是剪切面有鉆桿接頭和內(nèi)防噴器閥門未關(guān)閉。由前述Macondo井防噴器系統(tǒng)失效過程分析可知，Macondo井噴漏油事故中的基本事件X1，X3，X4，X5，X6，X8，X9，X10，X11，X12，X13和X14均發(fā)生了。參照表1可知，導(dǎo)致Macondo井噴漏油事故發(fā)生的原因組合為(X3X8X9)和(X4X8X9X10X11X12)，根據(jù)最小割集的定義，其中任何一個(gè)原因組合的發(fā)生都可導(dǎo)致Macondo井漏油事故的必然發(fā)生。

3.2 最小徑集的求解

最小徑集是指不能引起頂事件發(fā)生的最低限度基本事件集合。任何一個(gè)最小徑集中的各基本事件不同時(shí)發(fā)生，頂事件就不會(huì)發(fā)生。最小徑集數(shù)量越多，說明控制系統(tǒng)不發(fā)生故障的方法就越多，系統(tǒng)也就越安全。

通常利用最小徑集和最小割集的對偶性來求解最小徑集，其具體步驟是：首先構(gòu)建故障樹的對偶樹(即成功樹)，其方法是在故障樹圖的基礎(chǔ)上，將所有的“與”門變成“或”門，所有的“或”門變成“與”門，得到成功樹；然后，利用布爾代數(shù)化簡法求解成功樹的最小割集，即原故障樹的最小徑集。成功樹最小割集(故障樹最小徑集)的求解過程為：

T＇=E1+E2=E3E4+E5E6=(E7+E8)X7E12+X3(E9+E10)=

(X1E11+X2)X7(X8+X9)+X3(E13+E14+E15+X4)=

(X1X5X6+X2)X7(X8+X9)+X3(X4+E17+E18+X10+E16+X4)=

(X1X5X6+X2)X7(X8+X9)+X3(X4+X11X13X14+X10+X11+X12)=X1X5X6X7X8+

X1X5X6X7X9+X2X7X8+X3X7X9+X3X4+X3X11X13X14+X3X10+X3X11+X3X12

(2)

從式(2)可以看出，進(jìn)行布爾代數(shù)化簡后得到X1X5X6X7X8等9個(gè)最小徑集，具體見表2。

表2Macondo井深水防噴器系統(tǒng)失效故障樹最小徑集

Table2MinimalpathsetsinafaulttreefordeepwaterBOPsysteminMacondowell

徑集階數(shù)(數(shù)量)最小徑集二階徑集(4)(X3X4),(X3X10),(X3X11),(X3X12)三階徑集(2)(X2X7X8),(X2X7X9)四階徑集(1)(X3X11X13X14)五階徑集(2)(X1X5X6X7X8),(X1X5X6X7X9)

表2中，9個(gè)最小徑集表示防止系統(tǒng)失效的9種辦法，4個(gè)二階徑集表示防止系統(tǒng)失效的4種最簡單的方法。

3.3 計(jì)算基本事件的結(jié)構(gòu)重要度

結(jié)構(gòu)重要度分析就是不考慮各基本事件的發(fā)生概率有多大，僅從故障樹結(jié)構(gòu)上分析各基本事件的發(fā)生對頂事件發(fā)生的影響程度。精確計(jì)算各基本事件結(jié)構(gòu)重要度比較繁瑣，通常利用最小割集或最小徑集來近似求取各基本事件的結(jié)構(gòu)重要度系 數(shù)。近似計(jì)算判別式為[10]：

(3)

式中：Ii為基本事件Xi結(jié)構(gòu)重要度的近似判別值，Ii越大則結(jié)構(gòu)重要度Iφ i越大；Xi∈Kj表示基本事件Xi屬于Kj最小割(徑)集；nt為基本事件Xi所在最小割(徑)集中基本事件的個(gè)數(shù)。

由于防噴器系統(tǒng)失效故障樹的最小徑集比最小割集形式要簡單，所以利用最小徑集求解結(jié)構(gòu)重要度近似值。利用式(3)計(jì)算得到各個(gè)基本事件的重要度得到：I1=I5=I6=I13=I14=0.125,I2=I4=I10=I12=0.5,I3=2.125,I7=I11=0.625,I8=I9=0.312 5。將以上近似值從大到小排序，得到結(jié)構(gòu)重要度排序：Iφ3>Iφ7=Iφ11>Iφ2=Iφ4=Iφ10=Iφ12>Iφ8=Iφ9>Iφ1=Iφ5=Iφ6=Iφ13=Iφ14。

以上分析可知，剪切面有鉆桿接頭、內(nèi)BOP閥門未關(guān)閉和水下蓄能器泄漏等3個(gè)基本事件對防噴器系統(tǒng)的失效影響最大，是導(dǎo)致系統(tǒng)失效的關(guān)鍵誘因。這些因素分別屬于防噴器設(shè)計(jì)方面、人員操作方面和系統(tǒng)監(jiān)測方面的問題。

4 深水防噴器系統(tǒng)失效概率的近似計(jì)算方法

4.1 概率近似計(jì)算公式

設(shè)故障樹有n個(gè)最小割集Gi(1≤i≤n),則系統(tǒng)的故障事件可表示為：

T=G1+G2+…+Gn

(4)

式中，每個(gè)最小割集Gi(1≤i≤n)是基本事件Xj(1≤j≤m,m為基本事件數(shù)目)的積事件。一般情況下,最小割集彼此相交,根據(jù)相容事件的概率計(jì)算公式,設(shè)頂事件發(fā)生概率為P(T),則：

P(T)=P(G1+G2+…+G3)=

(-1)n-1P(G1G2…Gn)

(5)

從式(5)可以看出，當(dāng)最小割集數(shù)目較大時(shí),式中項(xiàng)數(shù)很多，按照傳統(tǒng)的近似計(jì)算方法，即選取該式的第一項(xiàng)或前面部分項(xiàng)進(jìn)行近似計(jì)算誤差較大，特別是在故障樹的基本事件發(fā)生概率較大的時(shí)候[11]。因此，在近似計(jì)算時(shí)選取精確解公式(即式(5))的前2項(xiàng)，并為了減小相對誤差對第2項(xiàng)乘以最優(yōu)權(quán)因子，由此得到頂事件發(fā)生概率近似計(jì)算公式為：

(6)

式中:M為最優(yōu)權(quán)因子，根據(jù)基本事件概率分布區(qū)間從最優(yōu)權(quán)因子表(見表3)[12]中取值。

4.2 頂事件最小割集的簡化

最小割集中所含基本事件數(shù)目越多，該最小割集發(fā)生的概率越小。因此，在各基本事件發(fā)生概率不太高的情況下，舍棄高階割集對頂事件概率計(jì)算造成的理論誤差不大。為了進(jìn)一步簡化頂事件概率計(jì)算，采用了截尾技術(shù)，即規(guī)定最小割集中基本事件的數(shù)目不超過4個(gè)，對于超過4個(gè)基本事件的割集在概率計(jì)算中不參與運(yùn)算。因此，式(1)可以簡化為：

T≈X3X7+X1X2X3+X2X3X5+X2X3X6+X3X8X9 (7)

4.3 頂事件概率計(jì)算過程

將式(7)代入式(6)進(jìn)行近似計(jì)算。計(jì)算過程中要注意，在求組合概率積時(shí)必須消去重復(fù)的概率因子，例如P(X3X7X1X2X3)=P(X3X7X1X2)，具體計(jì)算步驟為：

P(T)≈P(X3X7+X1X2X3+X2X3X5+X2X3X6+X3X8X9)=

P(X3X7)+P(X1X2X3)+P(X2X3X5)+P(X2X3X6)+P(X3X8X9)-

M[P(X3X7X1X2)+P(X7X2X3X5)+P(X2X3X6X7)+P(X7X3X8X9)+P(X1X2X3X5)+

P(X1X2X3X6)+P(X1X2X3X8X9)+P(X2X3X5X6)+P(X2X3X5X8X9)+P(X2X3X6X8X9)]=

p3p7+p1p2p3+p2p3p5+p2p3p6+p3p8p9-M(p3p7p1p2+p7p2p3p5+p2p3p6p7+

p7p3p8p9+p1p2p3p5+p1p2p3p6+p1p2p3p8p9+p2p3p5p6+p2p3p5p8p9+p2p3p6p8p9)

(8)

式中:pi(1≤i≤n)為第i個(gè)基本事件發(fā)生的概率。

由于各基本事件發(fā)生的一般概率數(shù)據(jù)很難獲得，所以采用專家調(diào)查法對基本事件X1,X2,X3,X5,X6,X7,X8,X9按照表4[13]中的5個(gè)等級(jí)進(jìn)行概率高低評(píng)判。綜合各專家意見得出的結(jié)果為：X3，X5，X7的發(fā)生概率為非常高等級(jí)；X1，X6，X9為高等級(jí)；X2，X8為中等級(jí)。

根據(jù)表4中概率值和語言變量的轉(zhuǎn)換關(guān)系可得：pi≥1.0×10-1(i=3，5，7)；1.0×10-2≤pj<1.0×10-1(j=1，6，9)；1.0×10-3≤pk<1.0×10-2(k=2，8)。各取最小值，得pi(i=3，5，7)=0.1；pj(j=1，6，9)=0.01；pk(k=2，8)=0.001。由此，參照表3可得M=1，代入式(8)得P(T)min=0.010 01，處于高概率等級(jí)。這表明，Macondo深水井漏油事故中，深水防噴器系統(tǒng)失效的概率高，存在的井噴漏油風(fēng)險(xiǎn)高。而由“2.2 Macondo井防噴器系統(tǒng)失效過程分析”可知，基本事件X1，X3，X5，X6，X8和X9均發(fā)生了，與專家評(píng)判結(jié)果基本一致；并且，由于上述基本事件的發(fā)生,最后導(dǎo)致Macondo深水井防噴器系統(tǒng)徹底失效而發(fā)生井噴，說明該井防噴器系統(tǒng)的失效概率確實(shí)高。頂事件計(jì)算結(jié)果與實(shí)際情況基本相符，驗(yàn)證了失效原因分析的正確性。

表4 概率值和對應(yīng)的語言變量Table 4 Probability values and the corresponding linguistic variables

注：L為每天發(fā)生基本事件的次數(shù)。

5 結(jié) 論

1) 基于故障樹分析法，結(jié)合Macondo井防噴器失效過程分析，建立了Macondo井深水防噴器系統(tǒng)失效故障樹。

2) 求解了Macondo井深水防噴器系統(tǒng)失效故障樹的最小割集與最小徑集，對基本事件的結(jié)構(gòu)重要度進(jìn)行了排序，找出了系統(tǒng)失效的10種模式，為深水防噴器系統(tǒng)失效分析提供了一種可供借鑒的方法。

3) 對基本事件進(jìn)行了結(jié)構(gòu)重要度計(jì)算，識(shí)別出了防噴器失效的主要原因。

4) 頂事件概率計(jì)算發(fā)現(xiàn)，Macondo井防噴器系統(tǒng)失效的概率較高，這與實(shí)際情況是相符的，驗(yàn)證了Macondo井防噴器失效原因分析的正確性；而且，該研究結(jié)果有助于對Macondo深水井漏油事故進(jìn)行更深入的分析。

參考文獻(xiàn)
References

[1] Holand P.Reliability of subsea BOP systems for deepwater application[R].STF38 F97417,1997.

[2] 李博.深水海底防噴器組液壓控制系統(tǒng)設(shè)計(jì)研究[D].青島：中國石油大學(xué)(華東)機(jī)電工程學(xué)院，2009.

Li Bo.Deepwater subsea BOP stacks hydraulic control system design and research[D].Qingdao:China University of Petroleum(Huadong),School of Mechanical and Electrical Enginee-ring,2009.

[3] 段明星，李明亮，陳瑞峰，等.深水防噴器系統(tǒng)可靠性探討[J].中國造船，2010，51(增刊2)：297-302.

Duan Mingxing,Li Mingliang,Chen Ruifeng,et al.Discussion on the reliability of deepwater subsea blowout preventer system[J].Shipbuilding of China,2010，51(supplement 2)：297-302.

[4] 劉翔.3000m深水下防噴器組可靠性研究[D].青島：中國石油大學(xué)(華東)機(jī)電工程學(xué)院，2010.

Liu Xiang.Research on reliability of subsea BOP stacks for the depth of 3000 meters[D].Qingdao:China University of Petroleum(Huadong),School of Mechanical and Electrical Engineering,2010.

[5] BP plc.Deepwater horizon accident investigation report[R].2010.

[6] Holand P,Awan H.Reliability of deepwater subsea BOP systems and well kicks[R].Houston:ExproSoft Inc,2012.

[7] Deepwater Horizon Study Group.Final report on the investigation of the Macondo Well blowout[R].2011.

[8] Transocean Inc.Macondo Well incident transocean investigation report[R].2011.

[9] 劉剛，金業(yè)權(quán).鉆井井控風(fēng)險(xiǎn)分析與控制[M].北京:石油工業(yè)出版社,2011:83-86.

Liu Gang,Jin Yequan.Drilling well control risk analysis and control[M].Beijing:Petroleum Industry Press,2011:83-86.

[10] 劉繪珍，張力，王以群，等.故障樹中最小割集和最小徑集的改進(jìn)算法[J].工業(yè)安全與環(huán)保，2006，32(4)：58-59.

Liu Huizhen,Zhang Li,Wang Yiqun,et al.One advanced calculation method for the least cut set and least path set of fault tree[J].Industrial Safety and Environmental Protection,2006，32(4)：58-59.

[11] 孫遜.基于FTA的故障診斷分析算法的研究[D].大連：大連理工大學(xué)控制科學(xué)與工程學(xué)院,2009.

Sun Xun.The study of fault diagnosis algorithm based on FTA[D].Dalian:Dalian University of Technology,School of Control Science and Engineering，2009.

[12] 孫東平，姚奕，馬瑞萍.故障樹近似計(jì)算中最優(yōu)權(quán)因子的選取[J].指揮控制與仿真，2006，28(3):97-98.

Sun Dongping,YaoYi,Ma Ruiping.Choice of the best parameter in fault tree analysis approximate computation[J].Command Control & Simulation,2006,28(3):97-98.

[13] Pillay A,Wang J.A risk ranking approach incorporating fuzzy set theory and grey theory[J].Engineering Reliability & System Safety,2003,79(1):61-67.