基于动态故障树的化工系统动态风险评价

宫运华，徐 越

（中国石油大学（北京）机械与储运工程学院，北京 102249）

化工系统存在高温高压、有毒有害、易燃易爆等高风险特征。风险评价能够得出化工系统的风险水平，是事故预防的重要途径。随着化工系统工艺的日益复杂、规模的日益庞大，自动化程度越来越高，化工系统风险的动态特性也就越明显。首先，系统中存在冗余结构、顺序激发结构等复杂结构所导致的系统元器件工作状态的动态性，如在冗余系统、具有公共资源的系统以及具有顺序关联性的系统中组件的失效模式具有不确定性，不但与元器件的组合方式有关，而且与元器件失效的先后顺序有关；其次，化工系统元器件可靠度随时间变化也显现出动态性。然而传统的风险评价方法（事故树、HAZOP分析等）都是静态评价方法，在处理动态问题时存在很多困难：一方面，静态风险评价方法无法对具有动态随机性故障的冗余系统、具有公用资源的系统以及具有顺序关联性系统的可靠性进行分析和评价；另一方面，静态风险评价方法不能很好地分析元器件失效概率的实时变化。因此，对化工系统动态风险评价方法进行研究，提高风险评价的科学性，具有重要的理论意义和应用价值。

1 国内外研究现状

在动态风险评价方面，国内外都处于起步阶段，成熟的方法较少。在国内，较早的动态风险评价方法为基于危险状态监测的动态风险评价方法。该方法首先找出系统可能存在的危险状态，对每种危险状态进行风险评价，并在系统工作过程中监测存在的危险状态，确定系统的风险［1］。但在风险评价过程中发现因为系统的结构复杂，许多危险因素相互关联，且关系复杂，如果某些危险因素同时出现时，会导致风险急剧增大，而这种情况下的风险评价问题没有得到解决。刘斌［2］针对石油炼化高危系统安全风险预警理论和方法研究提出了一种石油炼化装置的动态风险评价方法，但该方法仍利用风险矩阵进行风险等级划分，使评价结果存在较大的主观性，且复杂系统中相互关联的设备同时失效的风险评价问题仍没有解决。殷勇［3］研究了一套适合炼化关键设备的风险分级模式，此动态风险评价方法采用了专家主观进行风险等级划分的方法，在准确性和客观性上有待提高，并指出在风险评价过程中，存在相互联系的风险因素，如何更好地进行组合评价需要进一步研究。孙金凤等［4］提出了重大危险源事故实时风险评价方法，首先利用模糊综合评价技术确定事故发生可能性程度（一般、中度、高度、极高）；其次同样利用模糊综合评价技术确定事故后果严重程度（一般、中度、高度、极高）；最后根据风险矩阵确定事故的实时风险程度。但该方法同样存在较大的主观性。

在国外，Kalantarnia等［5-6］、Meel等［7］利用系统发生的“未遂事件”和“不正常工作事件”来进行系统的动态风险评价，该方法基于“未遂事件”和“不正常工作事件”的发生频率对静态风险评价结果进行修正，得到动态更新的风险评价结果。但此种动态风险方法，没有考虑化工系统中各元器件的实时状态和失效率等，仅是通过“未遂事件”和“不正常工作事件”来推断后续的风险水平，风险评价的依据不够充分；而且这种动态风险评价是在“未遂事件”和“不正常工作事件”发生后风险水平才得以更新，不能完全体现化工系统风险的实时变化特征。

综上所述，国内的动态风险评价多采用风险矩阵定性评价或建立评价指标，并对指标进行模糊综合评价的方法实现，在客观性和准确性上有待提高。国外现有的动态风险评价方法仅考虑“未遂事件”和“不正常工作事件”对事故发生概率的影响，并没有考虑到系统的其他实时状态，不满足化工系统动态风险评价的要求。

2 动态故障树分析方法

动态故障树是一种含有动态门（优先与门、功能相关门、顺序相关门、备件门）的故障分析方法，能够解决具有动态随机性故障的冗余系统、备件系统等复杂结构的故障原因分析问题。动态故障树与传统事故树的不同点就在于动态门的引入，其动态门的意义和符号见表1［8］。

表1 动态故障树中动态门的意义和符号［8］Table 1 Meanings and symbols of dynamic gates in dynamic fault tree

动态故障树分析方法在航空航天、导弹系统等结构复杂且可靠性要求高的系统可靠性分析中已经被广泛应用［9-11］，但尚未在系统风险评价中有所应用。该方法在可靠性分析上的应用为动态风险评价提供了新的思路。航空航天、导弹系统等复杂系统和化工系统一样具有结构复杂的特征，因此动态故障树存在移植到化工系统动态风险评价过程中的可行性。为此，本文探索性地将动态故障树方法应用于化工系统的动态风险评价中。

动态故障树的定量计算是目前风险定量的一个难题，而传统、静态事故树的计算方法（如布尔代数法）不适用于动态事故树的定量计算。目前，动态故障树的计算方法主要有马尔可夫链法（Markov）、蒙特卡罗法（Monte Carlo）。在马尔可夫链法中，其状态空间的规模随系统规模增大呈指数增长，导致马尔可夫模型的建立和求解非常繁琐，存在组合爆炸问题。而蒙特卡罗法也存在计算精度与计算规模之间的矛盾［12-15］。Khakzad等［16］在化工过程装置风险分析中对比了贝叶斯网络计算方法和事故树定量方法，指出贝叶斯网络具有能够反映基本事件多种状态和相互之间有依赖关系的定量计算等优点。Bobbio等［17］指出在进行关系较复杂的、相互依赖的复杂关联系统事故树分析过程中，贝叶斯网络方法能明显提高计算的准确性和效率。因此，本文尝试将动态故障树转化为贝叶斯网络的形式来解决动态故障树的定量计算问题。

3 某储罐系统动态风险评价

3.1 系统简介

图1为某储罐过程控制系统的工作图。某储罐内存储某化学液体，液位的高度随着泵和阀门的状态改变而改变。在系统正常工作的情况下，主泵与出口阀阀门均打开，因为两者流量大小相同，所以液位始终保持不变，当其中任一部件状态发生变化时，液位就会随之改变，主泵将液体供给到系统中，当主泵发生故障时，备用泵启动，并继续输送液体到系统。液位传感器S1发送信号至控制器，驱动阀门，打开主泵出口阀V1提供更多的液体或关闭以减少供应液体，使液位水平保持在某范围之内。

图1 某储罐过程控制系统的工作示意图Fig.1 Schematic diagram of the control system of a tank process

如果液面过高，那么液体可能溢出。高液位传感器S2检测液位水平，并向高液位报警发送信号，如果高液位报警声响起，那么操作员需打开手动安全阀，让液体流出，使液位保持在要求的液位区域内。如果液面过低，那么可能发生干涸。传感器S3是低液位传感器，会发送一个信号到控制器C3驱使出口阀V3关闭，使液体不能流出，当液位水平回到要求的水平范围内并稳定，那么出口阀会重新打开，再到先前的状态。

为了简化模型复杂程度和计算过程，给出如下假设：

（1）所有部件只能处于开、关两种状态；

（2）所有部件均不可修；

（3）当处于打开状态时，泵和阀门的流速都是常数；

（4）各组件失效率随时间变化的函数为F（t）=λt，其中λ为组件的失效率，t为时间。

以干涸事故为例，表2列出了干涸情形发生时系统中的设备和组件失效模式和失效率。这些数据是通用的数据，来自海上设备可靠性数据库（OREDA）和美国化学工程师学会（CCPS）。

表2 系统中各组件失效模式和失效率Table 2 Failure mode and failure rate of each component in the system

3.2 动态故障树建立

以干涸事故为例，当液位过低时系统发生干涸，这是由于系统无或较少的流量，保护系统失效和出口阀V3失效。如果管或泵系统发生任何泄漏，那么系统就会出现无或少流量的情况。两个泵系统都包括了一个泵、液位传感器、控制器和泵出口阀，在正常条件下，主泵应该给系统提供液体，所以如果主泵意外停止，备用泵必须立即开始向系统继续供应液体。流量控制系统由控制器、液位传感器和控制阀组成。传感器也有误操作，如不能发送信号给控制器；此外控制器可能无法驱动阀门或阀门也可能发生机械故障。

基于以上信息建立储罐系统干涸事故的动态故障树，如图2所示。该动态故障树有一个动态门即备件门和两个静态门即或门和与门，其中主泵系统和备用泵系统被归到备件门。

图2 储罐系统干涸事故动态故障树Fig.2 Dynamic fault tree of dry out accident in the tank system

3.3 动态故障树分析

在所选取的储罐过程系统实例中的动态故障树模型涉及到一个动态逻辑门即备件门，由于主泵系统可以通过一台备用泵取代，因此主泵发生故障时，备用泵变为活动状态，见图3。其向动态贝叶斯网络转化方法如下：

各节点的条件概率分布为

图3 储罐系统所包含的备件门及其动态贝叶斯网络Fig.3 Spare gate and its corresponding dynamic Bayesian network in the tank system

通过建立动态贝叶斯模型可以得出各节点之间的连接关系，并结合各节点的条件概率分布，利用贝叶斯理论可以对系统的风险进行定量分析。静态门的计算方法可直接按照布尔代数法计算，只需要更新失效概率。根据动态故障树和贝叶斯计算方法，可以计算出各时间片段下顶上事件和各个中间事件的后果概率，见表3。

表3 各事件在不同时间片段时的后果概率Table 3 Consequence rate of each event at each slice time

根据表3计算结果可见，随着时间的推移，系统老化性能降低，干涸事故发生的概率剧增。

3.4 动态风险分析结果讨论

综上分析可见，化工系统的失效概率体现出明显的动态特征，即随着时间的变化系统的失效概率会有明显的上升趋势。这一研究结论在传统的风险评价过程中不能很好地体现，但是这一研究结论也是建立在特定的假设基础上的，如本文采用的动态风险分析方法假设所有部件均不可修，也就是说不存在维修使得部件的失效率降低；同时，假设各组件失效率随时间变化的函数为F（t）=λt，而实际化工系统中并不是所有组件都符合这一分布。因此，对化工系统进行动态风险评价仍有许多问题需要解决。

4 结论

为了准确表达化工系统结构复杂性和失效概率随时间改变而呈现出的风险动态变化特性，以弥补传统的静态评价方法的不足，本文对化工系统动态风险评价进行了研究，并得出如下结论：

（1）动态故障树分析方法能够准确表示出化工系统的结构复杂性呈现出的元器件工作状态的动态特性，为动态风险评价提供了分析的模型。

（2）贝叶斯网络计算方法可用于动态故障树定量计算，以解决传统故障树分析方法对动态故障树风险定量计算的不适用问题，保证了动态风险评价的实现。

尽管基于动态故障树和贝叶斯网络的动态风险评价方法能够成功地应用到化工系统的动态风险评价中，但对规模庞大的化工系统进行建模和分析时依旧存在一定的计算负担，因此建立动态故障树和贝叶斯网络计算方法相结合的动态风险评价软件能够为动态风险评价的开展提供有利的工具。

［1］罗云，宫运华，宫宝霖，等.安全风险预警技术研究［J］.安全，2005（2）：26-29.

［2］刘斌.石油炼化高危系统安全风险预警理论和方法研究［D］.北京：中国地质大学（北京），2009.

［3］殷勇.石油炼化关键装置风险预警分级方法研究［D］.北京：中国地质大学（北京），2009.

［4］孙金凤，陈国华.重大危险源事故风险预警技术研究［J］.中国安全科学学报，2010，6（2）：44-50.

［5］Kalantarnia M，Khan F，Hawboldt K.Dynamic risk assessment using failure assessment and Bayesian theory［J］.Journal of Loss Prevention in the Process Industries，2009，22：600-606.

［6］Kalantarnia M，Khan F，Hawboldt K.Modeling of BP Texas City refinery accident using dynamic risk assessment approach［J］.Process Safety and Environmental Protection，2010，88：191-199.

［7］Meel A，Seider W D.Plant-specific dynamic failure assessment using Bayesian theory［J］.Chemical Engineering Science，2006，61：7036-7056.

［8］刘东，张红林，王波，等.动态故障树分析方法［M］.北京：国防工业出版社，2013.

［9］刘涛，季振洲，王庆，等.含共因事件航天系统的通用动态故障树方法［J］.宇航学报，2012.33（12）：1823-1831.

［10］张志英，陈雨琪，张宏军，等.基于动态故障树的导弹驾驶仪系统可靠性分析［J］.南京理工大学学报，2013，37（4）：543-550.

［11］张晓洁，赵海涛，苗强，等.基于动态故障树的卫星系统可靠性分析［J］.宇航学报，2009，30（3）：1249-1254.

［12］Bucci P，Kirschenbaum J，Mangan L A，et al.Construction of event-tree／fault-tree models from a Markov approach to dynamic system reliability［J］.Reliability Engineering and System Safety，2008，93：1616-1627.

［13］Rao K D，Gopika V，Rao V S，et al.Dynamic fault tree analysis using Monte Carlo simulation in probabilistic safety assessment［J］.Reliability Engineering and System Safety，2009，94：872-883.

［14］朱正福，李长福，何恩山，等.基于马尔可夫链的动态故障树分析方法［J］.兵工学报，2008，29（9）：1104-1107.

［15］戴志辉，王增平，焦彦军.基于动态故障树与蒙特卡罗仿真的保护系统动态可靠性评估［J］.中国电机工程学报，2011，31（19）：1250-1255.

［16］Khakzad N，Khan F，Amyotte P.Safety analysis in process facilities：Comparison of fault tree and Bayesian network approaches［J］.Reliability Engineering and System Safety，2011，96：925-932.

［17］Bobbio A，Portinale L，Minichino M，et al.Improving the analysis of dependable systems by mapping fault tree into Bayesian networks［J］.Reliability Engineering and System Safety，2001，71：249-260.