製程安全管理績效指標 于 樹 偉 財團法人安全衛生技術中心 1 1.

Presentation on theme: "製程安全管理績效指標 于 樹 偉 財團法人安全衛生技術中心 1 1."— Presentation transcript:

1 製程安全管理績效指標 于 樹 偉 財團法人安全衛生技術中心 1 1

2 職業傷害事故金字塔 1 29 300 >>30,000 死亡 嚴重傷害事故 虛驚事件 不安全行為和不安全環境 2 2

3 製程工安事故金字塔 ? ?? 後果 ??? ???? 根本原因 ?????? 儀控系統失效 製程安全管理失效 火災 洩漏、排放
製程偏離、異常狀態 ???? 儀控系統失效 製程安全管理失效 根本原因 ?????? 3

4 預防事故發生的保護層 7. 廠內緊急應變 5. 物理性防護(排放系統) 3. 關鍵警報、操作人員監控 、手動方式介入/操作 1. 製程設計
2. 基本程序控制、警報、 操作人員監控 3. 關鍵警報、操作人員監控 、手動方式介入/操作 4.安全儀控系統 5. 物理性防護(排放系統) 6. 物理性防護(防溢堤) 7. 廠內緊急應變 8.社區緊急應變 4

5 人員安全和製程安全績效指標的差異 製程危害是製程、製程設備操作或作業所引發的，大部份(製程)工安事故均涉及可燃、易燃或毒性化學物質的洩漏，洩漏事件未必會造成火災爆炸。 製程危害是製程、製程設備操作或作業所引發的。 製程工安事件一般均涉及可燃性或毒性化學物質的洩漏，這些事件未必會造成火災或爆炸，但火災或爆炸可能會造成多人傷亡。 人員安全危害未必是由操作製程或製程設備所引起的，個人安全危害通常會造成墜落、切、割、夾、捲、感電等職業傷害事故。 5

6 人員安全和製程安全績效指標的差異(續) 鑑於製程危害、製程工安事故和人員安全危害、職業傷害事故特性的不同，事業單位不應根據職業災害統計數字，衡量製程安全管理執行績效，事業單位必須根據製程危害發展績效指標。 2005年英國石油德州煉油廠事故發生後，英國石油邀請前國務卿貝克先生組成調查小組，貝克報告重要的結論是英國石油不應假設個人安全的績效指標，可以代表製程安全管理效果，製程安全應有不同的績效指標。 6

7 製程安全績效指標的發展 Developing process safety indicators, HSE UK, 2006
Process Safety Leading and Lagging Metrics, CCPS, AIChE Industry Technology Alliance, 2008 Process Safety Performance Indicators for the Refining and Petrochemical Industries, ANSI/API 754, 2010 7

8 CCPS製程安全主動式與被動式參數 8 8

9 瑞士乳酪事故模式 利用多層安全屏障/保護層阻隔危害，避免工安事故的發生； 安全屏障可能出現缺點或漏洞；
當漏洞連成一線時，危害的能量或化學物質釋放，將會造成傷害； 安全屏障可能是物理性的阻隔設施或由人員控制； 漏洞可能是潛在的或因為人為疏失造成的。 9 9

10 參數定義 被動式參數 (Lagging Metrics) 追溯性參數，目的為統計嚴重度超過恕限的事件。
主動式參數 (Leading Metrics) 一組預防性的參數，目的為確認預防事件發生的關鍵作業程序、操作紀律或安全屏障/保護層的執行成效。 10 10

11 參數定義 (續) 虛驚事件和其他被動式參數 (Near Miss and other Internal Lagging Metrics)
　嚴重度較低的事件 (如低於恕限的被動式參數)或可能啟動一層或多層安全屏障的不安全狀態，雖然這些是已發生的事件(被動式參數)，但可用於分析可能導致重大事故的操作狀態。 11 11

12 製程安全參數金字塔 製程安全事件：超過嚴重度恕限的事件。 其他事件：未超過嚴重度恕限，但確實發生的事件。 其他事件
虛驚事件 不安全行為或不良操作紀律 製程安全事件：超過嚴重度恕限的事件。 其他事件：未超過嚴重度恕限，但確實發生的事件。 虛驚事件：系統失效可能造成嚴重後果的事件。 不安全行為或不良操作紀律：確保安全屏障和操作紀律所設計的量測參數。 12 12

13 製程安全事件考量因素 製程安全事件考量因素是： 涉及化學物質或化學製程； 超過製程安全恕限； 發生地點； 嚴重釋放。 13 13

14 製程安全事件定義 從化學製程排放的物質或能量，造成任何下列三種情況之一 者：
員工或承攬商損失工時傷害、死亡、住院或第三者的死亡(非員工/承攬商)； 火災或爆炸造成美金25,000元以上直接損失如設備替換、修復、現場清除、緊急應變、罰鍰等； 易燃、可燃或毒性化學物質從主要的阻隔設施(容器或管線)大量排放，且超過排放的恕限，排除經由適當設計和排放控制裝置的排放（如依美國石油協會標準521所設計的燃燒塔、洗滌塔和釋壓裝置或同等標準的設備）。 14

15 化學物質排放恕限定義 聯合國危險品定義的物質危害分類 製程安全事件 定義： 恕限值： 吸入性危害A類的物質 5公斤 吸入性危害B類的物質
25公斤 吸入性危害C類的物質 100公斤 吸入性危害D類的物質 200公斤 其他〝第一類包裝等級〞物質和〝易燃性氣體/蒸氣〞 500公斤 其他〝第二類包裝等級〞物質和〝易燃性液體〞 1,000公斤 其他〝第三類包裝等級〞物質和〝可燃性液體〞和 分類2.2-不易燃、非毒性氣體 2,000公斤 15 國立中央大學環工所

16 發生地點定義 事件發生在生產、運輸、儲存、公用設施或實驗工 場，包括儲槽、附屬製程設備 (如鍋爐和污水處理
廠)，以及歸屬於現場管理的產品輸送管線。 16 16

17 大量排放定義 物質在1小時或1小時以內排放量達到或超過恕 限，如果排放量未超過恕限且排放時間大於1小時，則 不歸類為製程安全事件。 17

18 是否由化學物質或化學製程直接造成的損害？
製程安全事件判定程序 是否由化學物質或化學製程直接造成的損害？ 是否發生在生產、運輸或儲存、公用設施或實驗工場等區域？ 員工或承攬商的損失工時傷害/死亡/住院/第三者死亡(非員工/承攬商)？ 從化學製程單元排放的物質或能量是否造成： 非製程安全事件 製程安全事件 易燃、可燃或毒性化學物質從主要的阻隔設施大量排放？ 否 是 火災或爆炸造成美金25,000元以上直接損失？ 18

19 虛驚事件特性和定義 特性： 已發生事件或發現潛在的不安全狀態； 已發生事件或不安全狀態極有擴大或惡化的可能；
事件或狀態的擴大或惡化將造成負面衝擊。 定義： 不希望發生的事件，這些事件在稍微不同的情況下，可能 會造成人員的傷亡或財務、設備、環境的破壞。 19

20 製程虛驚事件 任何未超過嚴重度恕限的危害物質排放事件； 安全系統面臨威脅，包括： 壓力釋放裝置面臨威脅 安全儀控系統面臨威脅 製程誤差或偏離
20

21 製程虛驚事件 (續1) 壓力釋放裝置和安全儀控系統虛驚事件，分為必要時壓力釋放裝置
和安全儀控系統成功運作及必要時壓力釋放裝置和安全儀控系統無法成功運作二類，如： 破裂盤開啟、壓力控制閥排放到燃燒塔或大氣、當達到預設的壓力極限時壓力安全閥啟動； 破裂盤無法正常作動、壓力控制閥無法排放到燃燒塔或大氣、當系統條件達到或超過設定的臨界點時壓力安全閥無法開啟； 當製程偏離超過可接受的範圍時，啟動安全儀控系統如啟動高壓聯鎖裝置、壓縮機緊急停車； 在任何狀況下安全儀控系統無法正常啟動。 21

22 製程虛驚事件(續2) 製程誤差或偏離虛驚事件，如： 操作參數的偏離，如壓力、溫度、流量超出正常操作範圍但仍然在製程安全臨界範圍内；
製程參數的偏離超過預定的臨界控制值或必須緊急停車和人員介入處理； 操作條件超出設備設計範圍； 無論是否在設計參數範圍內發生的異常或不預期失控反應。 22

23 製程虛驚事件(續3) 管理系統失效，包括測試階段發現的安全系統失效和人為因素造成的安全系統失效，測試階段發現的安全系統失效包括：
排放裝置實驗室測試失敗； 安全聯鎖系統測試失敗； 不斷電供應系統故障； 例行測試或檢查時，發現火災、氣體含毒性氣體偵測器失效； 其他例行測試或檢查時，發現的異常狀態。 人為因素造成的安全系統失效包括： 製程不穩定時，聯鎖系統處於bypass狀態； 未依關鍵儀器、裝置暫時停用步驟，暫時停用關鍵儀器或裝置； Bypass狀態未及時恢復正常操作。 23

24 製程虛驚事件(續4) 步驟省略和啟動錯誤如： 重要管線盲板未拆除或批次製程進料順序錯誤； 程序控制工程師下載錯誤的DCS資料。
意外的/預料不到的的設備狀態： 因損壞或比預期早、預料不到的惡化造成的設備狀態； 蒸汽系統配件錯誤； 設備失效造成流體的污染。 阻隔系統物理性破壞如： 製程設備遭受墜落物撞擊； 管線遭卡車撞擊。 24

25 製程安全事件發生率 以工時為基準的累計年度製程安全事件發生頻率 年度製程安全事件總數 × 200,000
所有員工和承攬商的總工時 製程安全總事件發生率(PSTIR)＝ 25 國立中央大學環工所

26 製程安全事件嚴重率 製程安全事件的累積嚴重度加權比率； 每一類別嚴重度配分為1、3、9或27分，最高為108分； 計算每一事件的分數總和；
分母與製程安全事件發生率相同，都以總工時為單位。 年度製程安全事件嚴重度分數總和 × 200,000 所有員工和承攬商的總工時 製程安全總事件嚴重率(PSISR) ＝ 26 國立中央大學環工所

27 製程安全事件嚴重等級 嚴重等級 安全性/人員健康 火災或爆炸 (包含過壓) 第四級（計算嚴重度時，每一項以1分計算）
造成需立即處理傷害的製程安全事件 造成二萬五至十萬美元的直接損失 第三級（計算嚴重度時，每一項以3分計算） 造成勞工或承攬商損失工時傷害的製程安全事件 造成十萬至百萬美元的直接損失 第二級（計算嚴重度時，每一項以9分計算） 造成勞工或承攬商死亡；多重損失工時傷害、一件或多件外部人員嚴重傷害的製程安全事件 造成百萬至千萬美元的直接損失 第一級（計算嚴重度時，每一項以27分計算） 造成廠外或廠內多人死亡的製程安全事件 超過千萬美元以上的直接損失 27

28 製程安全事件嚴重等級 (續) 嚴重等級 潛在性化學性衝擊 社區/環境衝擊 第四級（計算嚴重度時，每一項以1分計算）
化學物質排放至次要的阻隔設施裡 短期的整治措施可以紓解嚴重環境衝擊；沒有造成長期環境污染或公司負擔 第三級（計算嚴重度時，每一項以3分計算） 化學物質排放至阻隔設施外，但未擴散至廠外；或易燃性物質的排放但不會造成蒸氣雲爆炸 較小的廠外衝擊但可能啟動臨時人員避難所；或環境整治所需費用少於一百萬美元但並未嚴重違反法規要求；或當地媒體的報導 第二級（計算嚴重度時，每一項以9分計算） 化學物質的排放可能會造成廠外的傷害或排放易燃性氣體造成蒸氣雲進入建築物或潛在性炸區域（人口密集/侷限空間區域），如果著火可能會造成損害或死亡 啟動臨時人員避難所或疏散社區居民；或環境整治所需費用在一百萬至二百五十萬美元，地方政府主管機關介入調查；或地區媒體的報導和國際媒體簡短的報導 第一級（計算嚴重度時，每一項以27分計算） 排放化學物質可能導致重大的現場或廠外的傷害或死亡 全國性媒體報導很多天；或環境整治所需的費用超過二百五十萬美元，中央主管機關介入調查；或其他重大的社會衝擊 28

29 主動式績效指標 設備完整性 改善建議事項追蹤 變更管理 製程安全訓練和作業人員專業能力 29

30 設備完整性主動式績效指標 (既定期間內已完成設備和裝置安全關鍵項目檢查次數/既定期間內須完成設備和裝置安全關鍵項目檢查次數)x100%
本參數可用於量測製程安全管理系統的有效性，目的為確認安全關鍵設備和裝置的功能； 本參數須利用既定安全關鍵設備和裝置檢查計畫提供的數據； 本參數的計算涵蓋： 檢查期間 既定期間內須完成設備和裝置安全關鍵項目檢查次數 既定期間內已完成設備和裝置安全關鍵項目檢查次數 前一期間未完成的檢查項目將併入下期檢查作業 30

31 設備完整性主動式績效指標 (續) 安全關鍵設備和裝置包括壓力容器、管線、排放及釋壓裝置、儀控系統、聯鎖和緊急停俥系統、消減系統、緊急應變設備。 (在部份安全關鍵設備和裝置失效情況下工廠仍照常生產的時間/工廠生產總時間)x100% 本參數目的在於判定製程安全設備和裝置異常、失常修復所需時間或可用於決定製程安全設備和裝置異常、失常修復時效性 31

32 改善建議事項追蹤主動式績效指標 (已逾期或經核准延長執行期限製程安全改善事項數目/進行中或尚未完成改善事項總數)x100%，本參數可以累計或個別計算方式呈現，如： (已逾期或經核准延長執行期限稽核改善事項數目/進行中或尚未完成稽核改善事項總數)x100% (已逾期或經核准延長執行期限製程安全評估改善事項數目/進行中或尚未完成製程安全評估改善事項總數)x100% (已逾期或經核准延長執行期限事故調查改善事項數目/進行中或尚未完成事故調查改善事項總數)x100% (已完成事故調查重大改善事項數目/同期間內事故調查改善事項總數)x100% (已逾期或經核准延長執行期限法令要求改善事項數目/進行中或尚未完成法令要求改善事項總數)x100% 32

33 變更管理相關定義 一般須依變更管理規定審查之變更包括： 超過單元製程安全資料(PSI)所規範界限的設備、設施和操作參數的改變 程序控制修改
導入新化學物質 改變化學物質規格或供應商 辨公室搬遷和不同使用方式 內部組織、人力、職務調整 查驗：已完成變更但尚未進料前的安全檢查 再啟動：已完成查驗且已進料，但操作條件未達正式生產狀態 開俥：已完成再啟動，開始進入正式生產狀態 33

34 變更管理主動式績效指標 被稽核變更管理作業符合現場變更管理作業規定百分比 本參數可用於量測變更管理作業規定遵守程度
可定期稽核已完成變更管理文件，相關稽核步驟為： 界定稽核範圍如時程、頻率和稽核對象 決定擬達成及具統計意義的樣本數 審查已完成變更管理所有相關文件 正確執行變更管理%=(正確執行變更管理次數/已執行變更管理總 次數)x100% 34

35 變更管理主動式績效指標 (續1) 被稽核變更管理作業，於作業前即參酌現場變更管理作業規定百分比
本參數可用於量測現場或部門(i)確實了觧哪些變更必須依現場變更管理作業規定辦理；(ii)依變更管理作業規定完成變更。 本參數可利用現場或部門已完成變更和決定哪些變更應遵守變更管理作業規定稽核結果計算，稽核步驟為： 界定稽核範圍如時程和稽核對象 根據變更管理作業規定，確認未遵守變更管理作業規定但已完成變更的類型，相關步驟為： 1. 審查維修工單；2.審查新建工程和維修計畫文件；3.審查分散式控制系統程式；4.人員晤談。 依變更管理作業規定完成變更%=(變更管理作業次數)/(變更管理作業次數+未依 變更管理作業規定完成變更次數)x100% 35

36 變更管理主動式績效指標 (續2) 工廠變更完成後再啟動或開俥未因變更造成任何安全問題百分比
本參數涉及開俥和再啟動階段包括安全問題即時記錄，並決定哪些安全問題根本原因和變更有關 本參數可利用已完成變更作業製程單元停俥和開俥稽核結果計算，稽核步驟為： 界定稽核範圍如時程和稽核對象 決定已完成變更作業製程單元或部份製程單元開俥次數 統計已完成變更作業製程單元或部份製程單元開俥時遭遇安全問題的次數 變更完成後安全開俥%=(未因變更造成安全問題開俥和再啟動次 數)/(變更完成後開俥總次數)x100% 36

37 製程安全訓練和作業人員專業能力主動式績效指標
(準時完成既定製程安全管理訓練人數/預計接受製程安全管理訓練總人數)x100% 重大意外事故預防及應變作業、活動、監督、責任相關之職務均稱為製程安全管理關鍵職務 製程安全管理訓練的目的為提升重大意外事故預防及應變相關人員知識、技能和能力 訓練成效評估 (完成既定製程安全管理訓練且第一次就通過能力檢定人數/同時 段需接受製程安全管理訓練且需接受能力檢定總人數)x100% 未遵守步驟和安全作業慣例 (經觀察後發現未完全遵守步驟的安全關鍵作業次數/所觀察的安 全關鍵作業總次數)x100% 37

38 ANSI/API製程安全主動式 與被動式績效指標
38 38

39 名詞定義 Primary containment 主要阻隔設施 用於處理或輸送物質的儲槽、容器、管線、槽車、火車槽車或設備。
Secondary containment 次要阻隔設施 用於阻隔或控制主要阻隔設施洩漏，次要阻隔設施 包括儲槽防溢堤、製程設備底部圍邊、排水收集系統、雙層槽外牆等。 Loss of primary containment, LOPC 主要阻隔設施失效 任何物質非預期或失控洩漏，包括非毒性、非可燃性物質如水蒸汽、高溫冷凝液、氮氣、壓縮空氣或二氧化碳。 39 39

40 名詞定義 (續) Pressure relief device, PRD 壓力排放裝置
用於開啟和釋放過高壓力的裝置如安全閥、熱排放閥、破裂盤、破裂孔、壓力或真空排放等。 Process safety event, PSE 製程安全事件 任何非預期或失控的主要阻隔設施失效事件，或幾乎造成某物質LOPC的非預期事件或狀態。 40 40

41 Tier 4 Discipline and MS Performance
製程安全參數金字塔 Tier 1 PSE Tier 2 PSE Tier 3 Challenges to SS Tier 4 Discipline and MS Performance 被動式績效指標 主動式績效指標 41 41

42 Tier 4 Discipline and MS Performance
製程安全參數金字塔 Tier 1 PSE Tier 2 PSE Tier 3 Challenges to SS Tier 4 Discipline and MS Performance 第一類製程安全事件：超過嚴重度分類等級一的事件 第二類製程安全事件：超過嚴重度分類等級二的事件 對安全系統造成威脅事件：已經對安全屏障或保護系統造成威脅，但尚未達到一階或二階嚴重度的事件 操作紀律和管理系統績效：用於量測安全屏障系統個別單元的績效 42 42

43 一階績效指標 - 製程安全事件 一階績效指標是造成下述後果的LOPC： 員工或承攬商一天以上損失工時傷害、死亡； 第三者送醫、死亡；
官方宣告的社區緊急疏散或社區就地避難； 造成大於、等於$25,000直接成本的火災或爆炸； 43 43

44 一階績效指標-製程安全事件 (續) 壓力排放裝置緊急排放至大氣(不論是否經由下游處理設施)，造成下列一項或多項後果者： 液體伴隨排放；
排放至極可能不安全地點； 廠內就地避難； 公眾保護措施的啟動。 PRD排放量大於恕限量(針對特定化學物質室外、室內排放允許量)； 一小時內排放量大於上述恕限量。 44 44

45 二階績效指標 - 製程安全事件 二階績效指標係指嚴重度低於一階製程安全事件，但造成下述後果的LOPC： 員工或承攬商傷害；
造成大於、等於$2,500直接成本的火災或爆炸； 壓力排放裝置緊急排放至大氣(不論是否經由下游處理設施)，造成下列一項或多項後果者： 液體伴隨排放； 排放至極可能不安全地點； 廠內就地避難； 公眾保護措施的啟動。 45 45

46 二階績效指標-製程安全事件 (續) PRD排放量大於恕限量(約為一階製程安全事件恕限量的1/10)； 一小時內排放量大於恕限量。 46 46

47 三階績效指標 - 對安全系統造成威脅 三階製程安全事件泛指已經對安全屏障或保護系統造成威脅，但尚未達到一階或二階嚴重度的事件，這類事件可協助事業單位確認和矯正安全屏障的缺失或弱點。 三階績效指標的範例有： 偏離安全操作界限或範圍； 主要阻隔設施檢查或測試結果超出可接受範圍； 安全系統啟動； 其他非一階、二階LOPC事件。 47 47

48 三階績效指標計算方式 (續) 安全儀控系統啟動次數； 機械式停車系統啟動次數； 三階PRD直接排放至大氣次數；
48 48

49 四階績效指標 - 操作紀律和管理系統績效 四階績效指標一般用於量測安全屏障系統個別單元的績效，本階段使用的績效指標可提供事業單位確認和矯正某一特殊系統的缺失或弱點，因此，本階段績效指標可提供學習和改善的機會。 四階績效指標設計時，可考量： 製程安全評估複評完工百分比； 製程安全改善措施完工百分比； 訓練課程進度； 標準作業程序更新和審核完工百分比； 作業許可遵守程度； 49 49

50 四階績效指標 - 操作紀律和管理系統績效 (續)
安全關鍵系統檢查進度； 安全關鍵系統缺失管理； 變更管理和開車前安全審查遵守程度； 緊急應變演練完工百分比； 員工工作壓力或工作疲勞管理。 50 50

51 HSE製程安全績效指標發展方法 51 51 51

52 瑞士乳酪事故模式 危害 主動式指標 傷害 系統失效的地方 被動式指標 RCS 設備變更 檢查與維修 員工能力 許可作業 52 52

53 瑞士乳酪和主動式/被動式指標 主動式績效指標利用RCS關鍵作業的查核，辨識該系統可能的失效；
53 53 53

54 可以有效控制風險的RCS關鍵項目是什麼？
双重保障績效指標設計程序 可以有效控制風險的RCS關鍵項目是什麼？ 針對RCS的關鍵項目，設計主動式績效指標，以確認控制的有效性。 管理程序控制 利用一項被動式指標確認RCS是否已發揮預期成效。 預期成效 設定績效指標的容許偏差。 定期審查所有的績效達成狀況，以確認安全管理系統的有效性和指標的適宜性。 可能會發生什麼狀況? 有哪些控制風險的RCS? 每一道RCS應該發揮的功能是什麼？RCS有效運作的特質是什麼？ 根據績效量測所發現的問題，改善安全管理系統缺失。 RCS staff competence permit to work inspection maintenance plant change 設備變更 員工能力 作業許可 檢查與維修 54 54

55 製程安全績效指標執行步驟 步驟 1 – 研擬製程安全績效推動策略； 步驟 2 – 界定製程安全績效指標量測和適用範圍；
步驟 3 – 確認防止重大事故發生的RCS，決定每項RCS的預 期成效並設計被動式指標； 步驟 4 – 辨識每一道RCS的關鍵項目並設計主動式指標，關 鍵項目泛指為達到預期成效必須正確執行的作業或 程序； 步驟 5 – 建立資料收集和報告方式； 步驟 6 –審查執行成效。 55 55 55

56 步驟 1 指派執行人員 步驟 1.1 – 指派主導者或負責人 步驟 1.2 – 建立執行團隊 步驟 1.3 – 高階主管的參與 56 56

57 步驟 2 界定製程安全績效指標量測和適用範圍 步驟 2.1 –決定適用範圍，如針對事業單位所屬各工廠、某一 特定工廠或某一特定製程。
步驟 2.2 – 界定量測系統範圍，包括主要的製程安全風險和關 鍵RCS，以確保營運風險的有效控制。 2.2.1 辨識危害情境 – 可能會發生什麼狀況?針對控制和消減 嚴重危害的RCS，設計主動式與被動式 指標。 57 57 57

58 步驟 2 界定製程安全績效指標量測和適用範圍 (續 1)
2.2.2 辨識危害情境的直接原因 分析事故造成的直接原因，有助於辨識可能發生的狀況 和發生的原因，這是造成事故發生的主要失效機制，通 常可以將失效機制區分為影響設備功能完整性的狀態或 因素，如儲槽管線失效的直接原因可能是： 磨損; 腐蝕; 損壞; 過壓/壓力不足; 火災或爆炸。 58 58 58

59 步驟 2 界定製程安全績效指標量測和適用範圍 (續 2)
分析因RCS考量不週或設計不當，造成無法安全操作的製程或單元，也是辨識危害情境可用的方法。 59 59 59

60 步驟 3 確認RCS和預期成效 列出重要的RCS； 描述每一道RCS預期成效； 建立一項被動式指標以判斷預期成效是否達成 。
60 60 60

61 Risk Control Systems基本概念
每一道RCS應該發揮的功能是什麼？ RCS有效運作的特質是什麼？ 可能會發生什麼狀況？ 有哪些控制風險的RCS？ 如：利用設備檢查和維修RCS預防設備因為磨損而失效 如：設備不會因為磨損而失效 61

62 步驟 3 確認RCS和預期成效 (續 1) 步驟 3.2 – 描述預期成效
於辨識事故情境和事故預防或後果消減的RCS後，可以從RCS對事故情境的影響， 決定RCS如果可以成功運作的‘預期成效’ ，例如設備檢查和維修RCS的預期成效可能為‘安全關鍵設備不會因為零件磨損而失效或故障’。 RCS的預期成效於運作一段時間後並不是那麼容易描述，下列問題可以提供思考的方向：為什麼我們要有這道RCS ？這道RCS應該發揮的安全功能是什麼？如果我們沒有這道RCS ，會有什麼後果？ 62 62 62

63 確認RCS預期成效 有哪些控制風險的RCS？ Risk control system 已達成預期成效？
63

64 步驟 3 確認RCS和預期成效 (續 2) 步驟 3.3 – 建立被動式指標
利用被動式指標直接確認預期成效是否達成，如果預期成效可以明確的描述，利用一項被動式指標就可以掌握該RCS運作狀態，例如危害物質的阻隔設施失效事件的次數，或安全關鍵設備因腐蝕、磨損或損壞而造成失效的次數。如設備檢查和維修RCS可能的被動式指標為‘安全關鍵設備因零件磨損而造成失效或故障的次數’。 64 64 64

65 利用一項被動式指標確認RCS是否已發揮預期成效
被動式指標設計原則 Risk control system 被動式指標 利用一項被動式指標確認RCS是否已發揮預期成效 每一道RCS應該發揮的功能是什麼？ RCS有效運作的特質是什麼？ 已達成預期成效？ 65

66 步驟 3 確認RCS和預期成效 (續 3) 步驟 3.4 – 預期成效偏離的追蹤和改善
66 66 66

67 步驟 4 辨識每一道RCS的關鍵項目 確認RCS可以發揮預期成效的關鍵項目； 利用主動式指標監測關鍵項目運作的有效性；
設定每一項績效指標的容許偏差。 步驟 4.1 – RCS的關鍵項目是什麼？ 不必監測RCS所有項目，可以依據下列因素決定必須監測的項目： 每一次都需正確執行，不能有任何差錯的作業有哪些？ 67 67 67

68 步驟 4 辨識每一道RCS的關鍵項目 (續) 系統功能會隨著時間衰退的有哪些？ 執行頻率很高的作業有哪些？
68 68 68

69 每一道RCS可以有效控制風險的關鍵項目是什麼？
Risk control system 被動式指標 輸入 程序/作業 每一道RCS可以有效控制風險的關鍵項目是什麼？ 有哪些控制風險的RCS？ 69

70 步驟 4 辨識每一道RCS的關鍵項目 (續 2) 步驟 4.2 – 建立主動式指標
70 70 70

71 步驟 4 辨識每一道RCS的關鍵項目 (續 3) 步驟 4.3 – 設定容許偏差
每一項主動式指標應設定容許偏差，容許偏差代表績效偏離的臨界點，目的在於引起高階主管的重視，如安全關鍵設備維修作業進度落後的百分比。 容許偏差值很小表示必須按照既定時程或計畫完成作業，管理階層應特別注意可接受的偏差程度。 容許偏差值應由上一階主管設定，不能由現場的執行人員自行設定。 71 71 71

72 根據績效量測所發現的問題，改善安全管理系統缺失
不良績效矯正措施 RCS 根據績效量測所發現的問題，改善安全管理系統缺失 被動式指標 主動式指標 設備變更 專業能力 72

73 步驟 5 建立資料收集和報告方式 確認績效指標相關資料收集的可行性和資料量測的單位。 決定報告方式。
決定指標並設定容許偏差後，事業單位應確保相關資料是可以收集的，經驗顯示這些資料和數據大部分都是現成的，但目的並不是用於量測製程安全管理績效，因此，事業單位應建立一套完整的製程安全風險資料。 73 73 73

74 步驟 5 建立資料收集和報告方式 (續) 績效資料展現的方式應具有代表性，必須明確顯示超過容許偏差或目標的狀況和重要的趨勢。
高階管理階層必須定期審查重要績效資料，並且決定應採取的矯正措施。 數據應明確顯示被動式指標和主動式指標之間的關聯性，這種關聯性可以明確指出指標間的因果關係。 74 74 74

75 步驟 6 審查執行成效 定期審查應包括： 製程安全管理系統的成效； 指標涵蓋的範圍 ； 容許偏差的設定 。
高階主管應定期審查風險控制的成效，以確保製程安全管理系統可以達到預期的目標，並確認關鍵系統可以持續依照規劃的方式運作。 如果主動式指標所量測的績效不好，但相關的被動式指標績效尚屬滿意，這很可能是因為選擇的主動式指標無法確實反應關鍵控制作業運作特性。 75 75 75

76 步驟 6 審查執行成效 (續 1) 如果主動式指標符合設定目標且和RCS有密切的關聯性，但被動式指標表現不佳，這種現象可能是RCS無法發揮風險控制功能所造成的。 不應建立指標後就不再去思考指標的適宜性，事業單位應定期審查指標涵蓋的範圍，以確保績效指標能夠反映主要的製程風險。當下列情狀發生時，原先使用的指標可能需要調整： 導入不同或風險較高的製程； 改善方案 ； 設備設計的變更 ； 作業人力精簡/專業能力的喪失 。 76 76 76

77 步驟 6 審查執行成效 (續 2) 如果欠缺審查的作業，製程安全指標可能會失去當初制定的意義，而收集的資料則不足以讓高階主管判斷重大危害風險是否已有效控制。 由於無法一次就設計具體可行的指標，因此事業單位必須定期審查主動式績效指標的容許偏差。 77 77 77

78 RCS案例 檢查和維修Inspection and maintenance（主動式） 人員能力Staff competence （支援性）
操作步驟Operating procedures （主動式） 儀控和警報系統Instrumentation and alarms （主動式） 設備變更Plant change （支援性） 設備設計Plant design （支援性） 溝通Communication （支援性） 作業許可Permit to work （主動式） 緊急應變計畫Emergency arrangements （支援性） 78 78 78 78

79 RCS和指標設計案例 操作步驟 預期成效 油品從輪船至儲槽和至槽車的裝卸作業，可以正確地選擇儲槽和設備操作。
油品裝卸料後，應正確地清洗、隔離和停止設備。 可能的被動式指標 不明確/不正確操作步驟所造成無法完成裝卸作業的次數。 人員在清洗儲槽時沒有按照一定的操作步驟所造成儲槽過壓或壓力不足的次數。 79 79 79 79

80 RCS和指標設計案例 (續 1) 在油品裝卸料的過程因不正確/不明確的操作步驟造成火災或爆炸的次數。 關鍵項目
操作步驟涵蓋正確範圍（關鍵作業並包括緊急應變）及詳細的說明。 操作步驟明確且易於瞭解。 操作步驟應隨時更新。 80 80 80 80

81 RCS和指標設計案例 (續 2) 可能的主動式指標 安全關鍵作業書面操作步驟已正確地界定範圍（關鍵作業並包括緊急應變）及詳細說明的百分比。
書面操作步驟說明詳盡且易於瞭解的百分比。 操作步驟定期審查和修訂的百分比。 81 81 81 81

82 RCS和指標設計案例 (續 3) 儀控和警報系統 預期成效 安全關鍵儀控和警報系統能夠正確地反應超出安全範圍的操作條件。 可能的被動式指標
安全關鍵儀控和警報系統在測試或使用中失效而無法發揮功能的次數。 儲槽或槽車的液位指示器或警報系統失效造成溢流的次數。 儲槽或槽車的液位指示器或警報系統失效造成過壓或壓力不足的次數。 82 82 82 82

83 RCS和指標設計案例 (續 4) 液位指示器或警報系統失效造成油品以錯誤的流量或壓力裝卸的次數。 關鍵項目 儀控系統正確地顯示製程操作狀態。
警報系統於警戒值正確啟動。 以標準方法測試並校正儀控和警報系統。 在既定時間內將失效的儀控和警報系統修復。 83 83 83 83

84 RCS和指標設計案例 (續 5) 可能的主動式指標 安全關鍵儀控和警報系統能夠正確顯示製程操作狀態的百分比。
安全關鍵儀控和警報系統正確啟動的百分比。 按照既定時間完成安全關鍵儀控和警報系統功能測試的百分比。 按照既定時間完成修復失效的安全關鍵儀控和警報系統的百分比。 84 84 84 84

85 RCS和指標設計案例 (續 6) 設備變更 預期成效 製程設備規格變更後，仍可操作在最佳的安全狀態。 可能的被動式指標
因為設備變更導致製程設備失效引起的危害性物質阻隔設施失效或火災爆炸事件的次數。 設備變更執行不徹底造成設備低於理想標準操作狀態的次數。 85 85 85 85

86 RCS和指標設計案例 (續 7) 關鍵項目 適當地界定臨時性和永久性變更的範圍。 設備變更前，已完成風險評估。 記錄變更和最終結果。
執行變更前，已完成變更簽核步驟。 確認完成變更設備運作符合設計。 86 86 86 86

87 RCS和指標設計案例 (續 8) 可能的主動式指標 適當地界定設備變更的範圍。 設備變更前，已完成風險評估的百分比。
變更和最終結果文件化的百分比。 執行設備變更前，已完成變更簽核步驟的百分比。 確認完成變更設備運作符合設計的百分比。 87 87 87 87

88 RCS和指標設計案例 (續 9) 作業許可 預期成效 安全從事高風險維修作業不會導致損壞或傷害。 可能的被動式指標
沒有適當控制高風險維修作業造成設備損壞事件的次數。 88 88 88 88

89 RCS和指標設計案例 (續 10) 關鍵項目 清楚界定作業許可制度涵蓋的範圍。 許可表單註明作業危害、風險和控制措施包括隔離步驟。
簽核步驟完成後才核發作業許可。 許可和作業的時段。 依許可記載的注意事項順利完成作業。 89 89 89 89

90 RCS和指標設計案例 (續 11) 可能的主動式指標 清楚界定作業許可制度的範圍和定義。
作業許可表單適當地註明危害、風險和控制措施的百分比。 作業許可表單註明完成作業時段的百分比。 完成作業許可簽核步驟後才執行作業的百分比。 90 90 90 90

91 RCS和指標設計案例 (續 12) 緊急應變計畫 預期成效 盡可能降低任何重大事故後果的嚴重性。 可能的被動式指標
運作不符合原先設計績效標準的緊急應變項目。 91 91 91 91

92 RCS和指標設計案例 (續 13) 關鍵項目 緊急應變計畫應涵蓋所有的相關作業。 緊急應變計畫的測試。 警報啟動機制。 緊急遮斷/隔離步驟。
消防演練。 和控制室、鄰近工廠與消防人員的聯絡機制。 緊急疏散。 92 92 92 92

93 RCS和指標設計案例 (續 14) 可能的主動式指標 緊急遮斷系統在測試運作時是否符合預期成效標準的百分比。
測試時，消防設備自動啟動和自動加壓的次數。 發生緊急事件時，員工和承攬人員正確執行應變程序的百分比。 員工和承攬人員完成緊急應變訓練的百分比。 完成既定緊急應變演練的百分比。 93 93 93 93

94 結 論 製程安全管理雖已推行多年，但欠缺績效量測的機制，誠屬美中不足，這也是造成國內、外多起重大化工廠意外事故的主要原因。
結 論 製程安全管理雖已推行多年，但欠缺績效量測的機制，誠屬美中不足，這也是造成國內、外多起重大化工廠意外事故的主要原因。 美國CCPS製程安全主動式和被動式參數考量週全，尤其是製程安全虛驚事件可充份反應製程安全管理執行成效，頗具參考價值。 英國HSE係從風險控制系統的角度，設計被動式和主動式績效指標，和美國文獻的觀點不同，本人認為本文獻所提供的績效指標設計原則，應可延伸至OHSAS 18001和TOSHMS。 本報告引用的美國和英國文獻都強調被動式和主動式績效指標整合運用的必要性和重要性。 94 94 94 94