基于人因可靠性的间歇装置SIL分析与改进*

池亚娟，付建民，李宏浩，甄　佳，商振东，袁　磊

(1.中国石油大学(华东) 海洋油气装备与安全技术研究中心，山东 青岛 266580；2.东营石大胜华新能源有限公司，山东 东营 257000)

0　引言

风险辨识是降低风险水平的第一步。现有基本过程控制系统(Basic Process Control Systems，BPCS)、报警系统等安全屏障已不能满足石化企业的安全要求，安全仪表系统作为一种实现易燃、易爆、有毒、有害等流程工业安全运行的重要措施，发挥着不可替代的作用[1]。国际电工委员会颁布的标准IEC 61508及IEC 61511均对安全仪表系统功能安全提出了要求，采用安全完整性水平术语表征其执行的安全仪表功能(Safety Instrumented Function, SIF)等级，同时建立相应的模型来评估SIS可靠性，运用的方法主要有定性、半定量和定量3类[2]。定性方法虽简单省时，但主要依赖于人的主观判断和经验，可能会造成评估误差，因此SIL确定分析一般采用HAZOP结合LOPA的半定量方法，SIL验证分析常用的定量分析方法，比如故障树分析法、可靠性框图和Markov建模方法等。对于人为干预的间歇生产装置，部分SIS依赖于人员手动触发，由人为失误导致SIS可靠性降低，进而使其达不到需求SIL[3]，故需对人因可靠性进行研究。目前，国内外一些学者对受人因可靠性影响的系统SIL评估进行了研究，但对考虑人因因素影响SIL评估的定量分析较少，比如Schonbeck等[4]研究了SIS在运行过程中人员及组织因素的影响，提出了一套人员及组织因素对运行中SIL的量化程序，并依据专家经验开发安全审计问卷来评估安全管理对安全屏障可靠性影响；Bevilacqua等[5]将人为因素整合到炼油厂风险管理系统中，开发了称为人因风险管理(HFRM)的新程序，并且专家人员基于历史事故数据定义了与风险相关的行为形成因子。一些人因可靠性分析(HRA)方法已经被开发用于各种行业，有超过50种不同类型的HRA方法，主要有THERP(Technique for Human Error Rate Prediction)，HCR(Human Cognitive Reliability)和CREAM(Cognitive Reliability and Error Analysis Method)等。一般而言，HRA对特定类型任务的人为失误概率进行量化[3]，其中THERP结合HCR是目前评估人因可靠性广泛接受的方法，THERP模型主要针对一系列与时间关联性较小的行为，而HCR模型侧重于与时间紧密相关的认知行为，两者侧重点不同，相互结合较好地克服了各自不足之处，更适合应用于工程实际[6]。

本文基于某LiPF6间歇生产装置现有风险，采用HAZOP结合LOPA方法对其进行过程风险分析，并根据分析结果提出改进建议。选取间歇装置典型SIS，根据风险分析结果对其进行SIL确定及验证，同时建立人因可靠性模型来分析人为失误对SIL影响水平，并提出相应优化方案来提高系统SIL。

1　间歇装置风险分析与SIS安全功能确认

1.1　某LiPF6间歇装置简介

本文以某LiPF6间歇装置为例，LiPF6作为含氟锂盐中的一种，与其他几种用作锂离子电池电解质的锂盐相比，LiPF6具有稳定性高、电导率高、离子间缔合作用弱等优点，被人们公认为是目前最佳锂离子电池电解质材料[7-10]。现阶段，LiPF6制备方法包括3种：气固直接反应法、HF溶剂法和离子交换法，其中研究最多、技术最为成熟、产业化应用最广泛的工艺是HF溶剂法[11-12]。制备LiPF6时，装置安全生产难以控制，合成难度较高，整个生产过程涉及高低温、无水无氧操作、高纯精制、强腐蚀，对设备和操作人员要求比较苛刻、工艺难度极大，产品极易吸潮、分解，会产生杂质，故LiPF6生产装置风险较高[13-14]。

1.2　基于HAZOP和LOPA分析的风险分析和SIS安全功能确认

研究采用危险和可操作性分析(Hazard and Operability Study, HAZOP)及LOPA分析方法开展该间歇装置风险分析和SIS安全功能分析。HAZOP是一种用于辨识设计缺陷、工艺过程危险及操作性问题的结构化分析方法，应用广泛。由于HAZOP分析识别的重大事故场景，分析人员难以准确地对其进行定量评价，故需进一步采取半定量的LOPA分析方法，以确定HAZOP分析中现有风险是否可以接受及安全保护措施是否合适有效，是否需要增加新的安全保护措施，从而为分析系统的安全设计及完善提供依据。LOPA分析是基于事故场景进行风险研究，故结合HAZOP与LOPA方法更有利于确保分析更准确、全面。

某LiPF6间歇生产装置大量操作涉及人工手阀及人员确认，依赖人工完成，在运行过程中操作人员有中毒、窒息的危险，严重时会发生燃烧爆炸，按现行安全设计标准和风险管理经验，部分风险控制所依赖保护层较弱，无法保证风险得到长期稳定控制，因此需要对装置进行风险分析。应用HAZOP分析对LiPF6间歇装置进行风险评估，根据ALARP原则(当前的技术条件和合理的费用下，对风险的控制要做到在合理可行的原则下“尽可能的低”)，经过对LiPF6间歇生产装置进行风险分析，其中包括“低风险”111项，“中风险”91项，“高风险”8项，各风险所占比例如图1所示。

图1　风险比例分布Fig.1　The distribution of risk ratio

针对“中风险”、“高风险”全部提出参考建议，分别有122项、17项。其中将参考建议大致分为设备完整性管理、操作程序不完善、本质安全设计3类，各类建议所占比例如图2所示。

图2　各项建议分类比例分布Fig.2　The distribution of recommended classification

基于风险评估结果及当今过程风险控制和安全管理要求，对比该公司的风险可接受标准，针对某LiPF6间歇生产装置提出一些宏观建议和结论如下：

1)装置工艺安全信息(Process Safety Information，PSI)工作需要加强

(1)加强P&ID图、工艺操作规程等工艺过程基础资料的信息化准确性和完整性确认工作；

(2)装置绝大部分手阀和部分小型设备无位号，可能导致误操作、维修或更换错误，严重时导致事故(如1998年美国路易斯安娜州的一家天然气分离工厂阀门误操作导致的爆炸事故)，建议考虑在设备台账、P&ID图等资料中增加该方面信息；另外，管线上常关或常开的阀门应做出“常开”或“常关”的标识；

(3)建议进一步完善P&ID图和管道单线图、数据表中管线材质、压力等级等分界点信息，完善部分变更和新增的保温和伴热信息等。

2)装置部分风险依赖人工发现，主要包括以下3种情况：

(1)存在部分风险主要依赖人工巡检和人工数据记录发现和控制；

(2)部分重要的参数监测无报警提示；

(3)部分安全仪表依赖人工触发才能发挥其安全功能。

3)装置锁定管理制度需要建立

生产装置严重依赖人工操作，同时缺乏锁定管理，建议增设阀门管线等锁定管理，防止人员失误。

4)安全仪表系统需要完善

SIS是过程工业受控设备的重要安全屏障。参考标准IEC 61508将SIS的可靠性要求规定为SIL[15]。现有SIS设计逻辑及功能不完整，其SIL不明确；部分SIS依赖于操作人员触发才能实施安全功能，未考虑人为失误对SIL的显著影响；同时安全技术规格说明书对于不同安全仪表回路无明确要求。建议在对现有SIS进行完整性确认及验证时，分析研究人因可靠性对SIL影响，作为提高安全仪表系统SIL依据。

2　考虑人因因素的间歇装置系统SIL确定及验证

SIS在保证系统安全运行的同时存在一些问题，主要包括：拒动作、误跳车、故障率过高及缺乏合理的维护手段[16]。拒动作或误跳车使得SIS失去其SIF，不能发挥恰当的安全功能或执行不需要的安全功能，可能会造成重大经济损失[17]。为保证SIS正确发挥其安全功能，需要对其进行SIL确认及验证分析，并执行合理的维护手段。其中安全完整性量化指标为需求时失效概率(Probability of Failure on Demand,PFD)。

2.1　间歇装置系统SIL确定分析方法

功能安全标准GB/T 20438要求为每个SIF选择一个目标SIL，并通过定量的分析验证SIS是否达到目标SIL，即必须的风险降低量是系统现有的过程风险与可容忍的风险之差。相应的SIL确认和SIL验证流程如图3所示。

图3　SIL评估流程Fig.3　The SIL evaluation process

合理确认SIL等级是SIF完整性研究的第一步，也是避免SIS拒动作首要工作。目前国际上通用的SIL确认方法有风险图、风险矩阵等，但LOPA应用越来越广泛。LOPA是将现有风险与风险承受能力标准相比较，来确定SIS的SIL[18]。

2.2　间歇装置系统SIL验证分析方法

合理验证SIL等级是SIF完整性研究的第二步，也是决定能否避免SIS拒动作关键一步。SIL验证必须建立在合理确认SIL等级的基础上[19]。本次SIL验证计算采用故障树模型。以1oo2冗余结构的危险失效为例，构建故障树模型见图4。

图4　1oo2结构故障树模型Fig.4　FTA model of 1oo2 voting architecture

t时刻危险失效概率计算公式为：

PFD(t)=λDUC×t+λDDC×MTTR+

(λDDN×MTTR+λDUN×t)2

(1)

化简后可得：

(2)

式中：λD为危险失效率；λDUC为未检测到的共因失效导致的危险失效率；λDDC为检测到的共因失效导致的危险失效；λDDN为检测到的普通失效导致的危险失效率；λDUN为未检测到的普通失效导致的危险失效率；MTTR为平均修复时间，h；β为未检测到的共因失效因子；TI为周期性功能测试时间间隔，h；PFDavg为平均危险失效概率。

对于间歇装置安全仪表系统，其成功执行安全功能不仅取决于自身的结构设计和硬件可靠性，更重要的是人员介入对其产生重要影响，可能会降低系统SIL。故在SIL验证时不仅需采用故障树模型计算安全仪表系统元件PFD，还需重点考量人因因素对安全仪表系统SIL的影响。

2.3　间歇装置人因PFD分析模型

对间歇装置的重要影响因素开展人因可靠性分析(Human Reliability Analysis，HRA)，通过分析比较量化分析结论，找出系统可靠性影响最严重的或最容易改善的薄弱环节，并依据这些事件提出适当的改善措施。目前应用最广泛、最有效的分析方法为THERP结合HCR方法，THERP模型主要用来计算操纵人员进行某项操作时发生失误的概率，与时间序列无关；HCR模型着眼点在时间上，关注与时间密切相关的认知行为上，两种方法相互补充。人因可靠性分析基于图5所示的人因事件树，设P1，P2和P3分别为感知阶段、诊断阶段和操作阶段的失败概率，且P表示整个响应行动的失败概率，则应有：

P=P1+P2+P3=P1+P2(1-P1)+

P3(1-P1)(1-P2)

(3)

图5　人因事件树Fig.5　Human event tree

1)量化观测信息失误概率

一般情况下，系统发生异常事件时，在监控室或者操作现场有紧急报警，故P1实际上可以认为其失效概率非常低，一般取P1=1.0×10-4；

2)量化操作人员响应失误概率

操作人员察觉到系统失常信息后，系统允许操作人员有一定时间做出响应，此时操作人员不响应概率为[20]：

P2=P(Tr)=1-φ[ln(Tr/T0.5)/σ]

(4)

式中：Tr表示系统允许人员响应时间，即异常状态信号出现到人员执行相应的动作时间T与观测信息时间T0、人员操作处理时间Ta之差，min；P(Tr)表示不响应概率；T0.5表示操作人员中值响应时间，min；时间数据可结合实际情况依据历史事故数据、模拟机实验、操作规程及人员访谈等方式确定；φ()表示标准正态函数。σ表示对数标准偏差，表示对应对不同具体应急事件时的差异，取决于任务难度及操作人员经验等，其取值假设如下：

(1)若操作人员经过定期培训且应急操作程序为操作人员熟练掌握，此时σ=0.4；

(2)若操作人员在发生紧急事件需要按照应急规程操作，此时σ=0.6；

(3)若操作人员进行培训但无相应的应急规程操作，此时σ=0.8；

(4)若操作人员未进行培训且无相应的应急规程操作，仅凭工作经验操作，此时σ=1.0。

3)量化操作处理失误概率

计算P3时，通过查阅NURGE/CR标准采用THERP方法进行计算，确定操作人员基本失误概率及可能的恢复因子，确定最终人员操作处理失误概率，即P3=PBHEP×PNRA，其中，PBHEP为人员基本失误概率，PNRA为恢复因子。

2.4　LiPF6间歇装置SIL分析实例研究

选取具有代表性的AHF中间罐液位联锁控制系统为例进行SIL分析与改进。AHF中间罐V104液位联锁功能：液位计LIT104监测AHF原料罐V104液位，当AHF中间罐V104液位超过设定值时(≥3 599.7 mm)，液位计将信号传给DCS104系统，操作人员在监控室观察到液位计发出的信号，控制按钮联动HV104-1切断自罐区打料泵AHF来液，同时停AHF罐区打料泵PV104A/B(一备一用)，使其恢复到正常工作液位，起到保护作用。系统联锁回路见图6。其中，V104液位系统SIS联锁触发过程不会自动执行，需要操作人员协助动作才能发挥其功能，SIS与操作员可近似构成一串联型的安全控制系统，如图7所示。此时，由于操作人员误动作的存在，可能会降低SIS的整体可靠性。

图6　V104液位系统联锁回路Fig.6　The V104 liquid level system interlocking circuit

图7　人员参与下的SISFig.7　SIS with staff participation

2.4.1SIL确定分析

对整个工艺装置进行HAZOP分析，选取AHF罐区打料泵经AHF中间罐V104至蒸发罐、母液罐、AHF罐以及合成槽为节点进行LOPA分析，分析过程如下：

2)初始事件：AHF原料罐打料泵来液流量过大；

3)事故后果：AHF中间罐冒罐，严重时造成人员中毒，风险等级为高风险；

4)独立保护层(IPLs)：关键报警及人员响应(人员现场观察液位计)，频率为0.1；

5)考虑IPLs后的事故后果：AHF中间罐冒罐，严重时造成人员中毒，频率为0.01，风险等级为高风险；

6)需求的SIL：AHF中间罐V104液位高低联锁控制开关LIT104，频率为0.01，即SIL2；

7)减缓后的后果：AHF中间罐冒罐，严重时造成人员中毒，频率为1.0×10-5，风险等级为低风险。

LOPA分析结果表明，该场景为高风险场景，需完整性等级为SIL2的SIS来降低系统风险，即该SIS确定为SIL2。

2.4.2SIL验证分析

采用TBL、CBL、PBL融合教学法在病理实习课中能够很好调动八年制医学生对病理实习课的热情，克服病理形态学教学固有弊端，加强了学生对临床病理知识的理解，提高了学生学习的主动性，使课堂的气氛变得活跃起来，激发对未知事物的探索心理，培养了学生的科研兴趣[8]，这也是在传统病理学基础上的一种改革创新，对培养学生临床思维能力和良好的职业素养，终身学习的综合能力，提供了有力支撑，同时也为寻求病理学实习课及教师实施新的教学方法展现其教学的科学性和艺术性搭建了良好的平台。

2.4.2.1SIL人因可靠性分析

依据上述，可得：

1)观测信息失误概率：P1=1.0×10-4。

2)操作人员响应失误概率：依据操作规程可知，T规定为78 min；T0为0，V104系统一旦异常，立即传入DCS系统，不存在时间延迟；Ta为5 min；即Tr=T-T0-Ta=73 min；T0.5=15 min，该数据通过对操作人员访谈获得；V104系统操作人员定期进行应急操作培训，此时σ=0.6；依据以上可以确定P2=4.1×10-3。

3)操作处理失误概率

V104液位系统处于正常运行时，气动阀HV104-1与泵PV104A/B处于“开”状态，查阅NURGE/CR标准取PBHEP为0.03，且报警器为显示在主控室屏幕上，低于一类报警器，取PNRA为0.1，故可得P3=0.003。

4)V104液位联锁系统人因失误概率为

P=P1+P2+P3=P1+P2(1-P1)+

P3(1-P1)(1-P2)=0.0719

2.4.2.2SIL可靠性验证分析

依据现场SIS联锁结构，相关失效数据参考国外通用OREDA和PDS数据库，建立故障树模型进行SIL验证，并结合人因可靠性对SIL影响，计算系统安全性指标PFD。SIL验证结果见表1，系统各部分PFD比重见图8。

表1　V104液位控制系统SIL验证结果

其中，PFD表示不考虑人因可靠性影响时传感器、控制器及执行器失效概率之和；P表示人因失效概率；PFDsis表示考虑人因可靠性影响的整个SIS失效概率。

图8　各部分PFD比例分布Fig.8　The PFD distribution of components

由以上分析可知，V104液位联锁系统SIL需求为SIL2，但现有SIS为SIL1，故不满足SIL需求。其中，传感器、执行器、人因的PFD比重分别为26.19%，42.8%，30.17%，对系统影响较为显著，故可从这3个角度来提高系统可靠性，以满足系统需求。

2.4.3SIS改进分析

1)容错性及测试策略优化分析

系统冗余性是指系统出错时，在错误影响到系统输出之前，系统利用冗余部件代替故障部件工作，以确保系统仍能正常工作，给出正确输出结果[23]，以此来提高系统安全性。由于SIS自诊断测试无法检测并修复所有的危险失效，即存在未检测到的系统失效，因此，需定期对系统进行功能测试，从而提高系统SIL。

对于V104液位联锁系统，可分别选用1oo2冗余结构传感器或气动阀进行优化研究，同时此装置为间歇生产，结合改变系统功能测试周期(分别为0.083，0.25，0.5和1.0 a)来提高系统SIL，可靠性评估指标为PFD，优化分析敏感性趋势见图9。也可同时选用1oo2冗余结构传感器和执行器，并结合改变系统功能测试周期(分别为0.083，0.25，0.5和1.0 a)来提高系统SIL，优化分析敏感性趋势见图10。

图9　优化敏感性趋势Fig.9　The sensitivity trend of optimization

图10　传感器及执行器优化敏感性趋势Fig.10　The sensitivity trend of sensor and final element optimization

根据以上分析，可选择1oo2冗余结构传感器或执行器，同时改变功能测试周期为0.25 a来提高系统SIL至SIL2。但由于该系统SIL介于SIL1—SIL2之间，虽改变元件冗余结构与缩短功能测试周期都会产生较高经济成本，但为确保系统可靠性，可进一步将功能测试周期改为0.083 a来提高系统SIL至SIL2；也可同时选用1oo2传感器与执行器，改变功能测试周期为0.5 a来提高系统SIL至SIL2。

2)人因可靠性优化分析

进行SIL验证时，人因失误导致系统发生失效的概率比重较大，因此对提高人因可靠性提出以下建议：

(1)依据历史事故以及专家风险分析，针对已经发生的事故或者可能发生的潜在事故，明确书面操作程序，加强操作人员行为观察，保证操作人员能够严格按照操作程序进行操作，进入减少人为失误，保证SIS能够正常发挥其安全功能；

(2)企业员工进行定期技能培训、应急与安全培训，并进行能力评估，确保其掌握操作技能与应急规程；

(3)改善操作环境，保持操作环境处于最佳状态，最适宜操作人员进行操作；

(4)生产企业营造良好安全氛围，增加操作人员安全意识，将安全放在第一位。

2.5　LiPF6间歇生产装置SIL分析及改进结论

按上述SIL评估技术方法对整个LiPF6装置13个安全控制联锁系统进行SIL评估及改进研究，评估结果汇总见表2。

表2　SIL分析统计表

对于整个装置13个SIS联锁系统回路，SIS联锁功能安全完整性等级需求SIL1为12个，需求SIL2为1个；SIS联锁功能安全完整性等级验证SIL1为12个，验证SIL2为0个；即SIS联锁功能的安全完整性等级达标率为92.3%。

虽SIS联锁功能的SIL达标率为92.3%，为其达到应有的安全功能，防止意外危险情况的发生，提出以下建议措施：

1)本装置传感器和执行器可靠性较低，故可通过提高传感器或执行器可靠性提高整个系统可靠性；

2)增加DCS系统软件与硬件测试，严格确保DCS系统运行环境要求，避免DCS与执行器之间兼容性差问题；严格执行日常巡检并及时报修、维修和更换失效元件，确保“被动”元件在发生故障时正常动作；增加执行器(阀门)部分行程测试，发现未检测出的危险失效并及时维修，提高其可靠性；

3)对比容错性与测试策略研究分析，从成本、系统实际工程设计角度考虑，可通过将传感器、执行器1oo1冗余结构改为1oo2冗余结构以及改变功能测试周期来提高系统SIL；由于LiPF6装置属于间歇生产，与连续生产装置相比，改变功能测试周期可在不影响系统正常生产的情况下提高系统可靠性，故可选择改变功能测试周期来提高系统完整性等级。

4)由LiPF6间歇装置人员操作依赖性较高，部分SIS需要人员触发动作(操作人员干预SIS动作)，人因失效对SIS失效影响较大，故可结合提高人因可靠性来提高系统SIL，防止意外危险事故发生。

3　结论

1)依据IEC 61508和IEC 61511功能安全标准，针对某LiPF6间歇生产装置应用HAZOP结合LOPA法进行风险分析，辨识了LiPF6间歇生产装置风险现状与需降低风险量，并提出了相关建议来降低风险水平。

2)鉴于LiPF6间歇生产装置部分SIS依赖于人工触发其保护功能的特点，建立了人因可靠性模型，可对其进行影响分析，并确定人因失效对安全仪表系统SIL影响水平。

3)根据风险分析结论，从系统硬件、设备管理及人因管理等方面提出了降低LiPF6间歇生产装置风险的优化建议，比如可从SIS冗余配置、测试策略以及改善人因管理等方面来提高SIL以满足系统需求，从而确保SIS功能安全可靠。

[1]方来华, 吴宗之, 魏利军, 等. 安全仪表系统的开发与要求[J]. 中国安全科学学报, 2009, 19(4):159-168.

FANG Laihua, WU Zongzhi, WEI Lijun, et al. Development and Requirements of Safety Instrumented System [J]. China Safety Science Journal, 2009, 19(4):159-168.

[2]全国工业过程测量和控制标准化技术委员会.电气/电子/可编程电子安全相关系统的功能安全：GB/T 20438—2006[S].北京：中国标准出版社，2007.

[3]HAVLIKOVA M, JIRGL M, BRADAC Z. Human reliability in man-machine systems[J]. Procedia Engineering, 2015, 100(1): 1207-1214.

[4]SCHONBECK M, RAUSAND M, ROUVROYE J. Human and organisational factors in the operational phase of safety instrumented systems: A new approach[J]. Safety Science, 2010, 48(3): 310-318.

[5]BEVILACQUA M, CIARAPICA F E. Human factor risk management in the process industry: A case study[J]. Reliability Engineering & System Safety, 2018, 169(1): 149-159.

[6]YANG Dongwei, LIU Hongwei. Application of THERP HCR model for valve overhaul in nuclear power plant[C]//International Conference on Materials Science, 2017: 22-28.

[7]吴克安, 任建纲. 六氟磷酸锂的发展现状与市场前景[J]. 浙江化工, 2011, 42(6):1-5.

WU Ke’an, REN Jian’gang. The Current Status and Tendency of Lithium Hexafluorophosphate [J]. Zhejiang Chemical Industry Research Institute, 2011, 42(6):1-5.

[8]肖跃龙. 六氟磷酸锂的新工艺制备与表征[C]//中国功能材料及其应用学术会议. 2010:110-116.

[9]FABBRI G, MASCIOLI F M F, PASQUALI M, et al. Automotive application of lithium-ion batteries: A new generation of electrode materials[C]// IEEE International Symposium on Industrial Electronics. IEEE, 2013:1-6.

[10]付豪, 陈俊彩, 李宣丽, 等. 六氟磷酸锂的纯化[J]. 化工进展, 2013,32(11): 2675-2678.

FU Hao, CHEN Juncai, LI Xuanli, et al. Purification of lithium hexafluorophosphate [J]. Chemical Industry and Engineering Process. 2013，32(11): 2675-2678.

[11]刘晓红, 荀开昺, 田明明, 等. 锂交换法制备六氟磷酸锂及表征[J]. 南昌大学学报(工科版), 2014(3):213-216.

LIU Xiaohong, XUN Kaibing, TIAN Mingming, et al. Preparation of and characterization of lithium hexafluorophosphate by Li-ion exchange reaction [J]. Journal of Nanchang University (Engineering & Technology), 2014(3):213-216.

[12]张建刚, 王瑶. 电解质六氟磷酸锂制备进展及难点分析[J]. 无机盐工业, 2012, 44(6):57-60.

ZHANG Jian’gang, WANG Yao. Progress in preparation of lithium hexafluorophosphate electrolyte and analysis on difficulties thereof [J]. Inorganic Chemicals Industry, 2012, 44(6):57-60.

[13]李冰心. 六氟磷酸锂产业发展面临的机遇与挑战[J]. 新材料产业, 2012(3):17-21.

LI Bingxin. Opportunities and challenges for the development of Six Fluorine Lithium Phosphate industry [J]. New material industry, 2012(3):17-21.

[14]杨晓宏, 张在忠, 李军, 等. 六氟磷酸锂技术及市场分析[J]. 当代化工, 2012(9):972-973.

YANG Xiaohong, ZHANG Zaizhong, LI Jun, et al. Synthetic Technology and Market Analysis of LiPF6[J]. Contemporary ChemicalIndustry, 2012(9):972-973.

[15]RAHIMI M, RAUSAND M. Monitoring human and organizational factors influencing common-cause failures of safety-instrumented system during the operational phase[J]. Reliability Engineering & System Safety, 2013, 120(12): 10-17.

[16]WANG Feng, YANG Ou, ZHANG Rui-bo, et al. Method for assigning safety integrity level (SIL) during design of safety instrumented systems (SIS) from database[J]. Journal of Loss Prevention in the Process Industries, 2016, 44(1): 212-222.

[17]LUNDTEIGEN M A, RAUSAND M. Spurious activation of safety instrumented systems in the oil and gas industry:Basic concepts and formulas[J]. Reliability Engineering & System Safety, 2008, 93(8): 1208-1217.

[18]BAYBUTT P. Overcoming challenges in using layers of protection analysis (LOPA) to determine safety integrity levels (SILs)[J]. Journal of Loss Prevention in the Process Industries, 2017, 48(1): 32-40.

[19]张力. 概率安全评价中人因可靠性分析技术研究[D].长沙：湖南大学, 2004.