基于多源異構數據融合的化工安全風險動態量化評估方法

劉慶龍，曲秋影，趙東風，劉尚志，王勁

（1 青島歐賽斯環境與安全技術有限責任公司，山東青島266520； 2 中國石油大學（華東）機電工程學院，山東青島266580； 3 中國石油大學（華東）化學工程學院，山東青島266580）

引 言

石油化工行業是我國的支柱產業之一，對于推動我國經濟發展發揮著重要作用。在化工生產過程中，通常包含大量易燃易爆及有毒有害的危險物質，伴隨著高溫、高壓的生產環境，極易引發事故，發生災難性后果。近年來，化工行業安全生產形勢整體有所好轉，但情況依然不容樂觀[1]。因此，在石化企業中，評估過程系統的安全風險預測事故發生情況，將潛在的安全風險保持在風險可接受水平以下尤為重要。

傳統的定量風險分析方法已較為成熟，但也存在許多缺陷，如事件樹、事故樹以及Bow-tie 等方法[2-5]無法考慮基本事件之間的條件依賴性，并且其本質是靜態的，無法更新事件概率以及隨之而來的風險。近年來，貝葉斯網絡被廣泛應用于動態風險評估工作[6-8]，但其需要大量先驗數據，而實際生產過程中歷史故障數據的獲取往往比較困難，使得該方法不易實施。符號有向圖（SDG）是一種基于過程知識的因果性建模方法，該方法通過分析節點間關系及狀態變化描述系統故障[9]，但其缺乏對故障路徑的標記，在風險的動態傳播方面缺乏直觀性。模糊Petri網（FPN）是研究風險動態傳播機理的有效手段，可建立各風險節點之間的聯系，從而對初始事件到發生事故的演化過程進行直觀分析，得到事故演化路徑。目前已廣泛應用于電網、交通、化工等領域[10-14]，但其在定量計算過程中數據都是通過數據庫所得，并不能很好地反映實際工況。目前，很多企業已建立信息化管理平臺，利用大數據、人工智能等對數據進行實時采集[15]，多源異構數據融合技術得到廣泛應用[16-20]。

隨著自動化、信息化、智能化等技術滲透到化工企業生產過程的各個環節，現場的傳感器、生產過程中的各個信息系統均會產生大量數據，這些數據分布在多個數據源中，具有多源、異構的特點[21]。因此，針對目前風險分析缺乏數據融合，難以解析風險動態時變機理的現狀。本文采用知識圖譜處理非結構化數據，在此基礎上進一步融合設備監測數據、報警數據等結構化數據，利用多源異構數據的關聯、交叉和融合，采用HAZOP+LOPA 分析的方法分析事故后果場景，建立基于改進模糊Petri 網的因果鏈路拓撲，進而充分考慮失效和故障數據隨時間的變化，解析風險動態時變機理，最終建立動態風險量化評估模型，該模型的數據融合架構如圖1所示，能夠實時定量評估事故場景發生概率，精準測量風險點動態風險值，并分析不同保護層失效時風險的動態變化，科學指導安全風險管控措施的日常檢查、維護及定期測試。

圖1 多源異構數據融合架構Fig.1 Multi-source heterogeneous data fusion architecture

1 模糊Petri網基本原理

模糊Petri網是Petri網的改進，將傳統Petri網融合模糊集理論可以表示不確定性專家知識，進而對具有不確定性的專家系統進行建模[22]。考慮到煉化系統風險傳播過程中有相應的保護層阻止事故發生，在傳統模糊Petri 網中故障庫所的基礎上加入保護層庫所，表示系統中存在的保護層。將改進的模糊Petri 網定義為一個九元組：{P,L,T,F,IN,OUT,W,V,D}，其中：

（1）P={p1,p2,p3,…,pi}表示故障庫所集，即系統中存在的故障，i表示故障個數；

（2）L={l1,l2,l3,…,ln}表示保護層庫所，即系統中存在的保護層，n表示保護層個數；

（3）T={t1,t2,t3,…,tm}表示變遷集，即某個風險的發生過程，m表示變遷的個數；

（4）F={f1,f2,f3,…,fi}表示命題集，與pi相互對應；

（5）IN 為P→T 輸入函數，表示輸入庫所到變遷的映射；

（6）OUT 為T→P 輸出函數，表示變遷到輸出庫所的映射；

（7）W 為權函數，表示庫所p 對變遷t 成立的支持度；

（8）V={μ1,μ2,μ3,…,μm}表示故障庫所及保護層庫所的可信度集合，即設備發生故障的可能性；

（9）D={d1,d2,d3,…,dm}表示變遷發生的閾值集合，即變遷t發生必須滿足wi×μ1≥d1。

模糊Petri 網能有效傳承專家知識，通過因果拓撲直觀展示HAZOP 和LOPA 風險分析成果等非結構化數據，進而融合控制系統故障數據、報警數據等結構化數據進行定量計算，并根據監測數據的波動實現事故場景概率的動態更新。以煉化系統中儲罐溢流為例，對其建立改進的模糊Petri 網模型，如圖2 所示。故障庫所P1表示人員誤開大閥，可信度μ1表示人員誤開大閥的可能性，保護層庫所L1表示液位控制系統失效，可信度μL1表示其發生故障的可能性，變遷t1表示引起儲罐液位升高，發生變遷t1的閾值和權值分別為d1和w1，故障庫所P2表示儲罐的液位升高，可信度μ2表示儲罐液位升高的可能性，若μ1×μL1＞d1，變遷t1發生，μ2=μ1×μL1×w1；若μ1×μL1＜d1，變遷t1不發生。

圖2 模糊Petri網模型Fig.2 Fuzzy Petri net model

2 動態量化評估模型建立

基于模糊Petri 網的基本原理及相關關系，分析步驟如圖3所示。

（1）識別及篩選事故場景

通過HAZOP 分析確定初始（固有）風險等級較高的風險，進而采用LOPA 分析進行事故場景分析，得出造成事故發生的原因、后果及措施。

（2）確定初始事件及觸發事件

圖3 改進模糊Petri網的分析步驟Fig.3 Improved analytical procedure diagram of fuzzy Petri net

觸發事件包括使能條件和修正因子。修正因子通常包括點火概率、人員暴露概率、死亡率等[22]，著重對點火概率取值進行研究。

（3）識別保護層

典型化工裝置的保護層呈“洋蔥形”分布，如圖4 所示[23]。本次研究主要針對基本過程控制系統（BPCS）、關鍵報警與人員干預、安全儀表系統（SIS）、物理保護、釋放后物理保護等保護層進行分析。

圖4 洋蔥模型Fig.4 The onion model

（4）建立模糊Petri網模型

基于前面確立的事故場景以及分析得出的初始事件、觸發事件和保護層，確定模型中的庫所和變遷，根據化工過程故障傳播的模糊Petri 網表示規則，建立模型。

3 參數分析

3.1 初始事件失效分析

初始事件包括機械設備失效、控制系統故障、人員失誤和外部事件。外部事件一般為自然環境引起的破壞事件，本次分析不做考慮。

（1）機械設備失效和控制系統故障 現有設備失效概率取值大部分來源于國外數據庫，如海上設備可靠性數據庫（OREDA）、過程設備可靠性數據庫（PERD）等，所選取的參照數據未結合我國設備使用實際情況。為獲得更符合企業實際情況的設備失效概率，將設備失效分為兩類：機械設備失效和BPCS控制系統故障。

BPCS 控制系統故障定量計算方法可參照定量SIS 的相關方法，采用式（1）計算控制系統每個部分的PFDavg，然后采用式（2）計算整個控制系統的故障概率PFDavgBPCS。

式中，λDD表示檢測到的子系統中危險失效率；RT 表示平均維修時間；TI表示測試周期；λDU表示未檢測到的子系統中危險失效率；PFDavgBPCS表示控制系統的故障概率；PFDavgS表示傳感器子系統的失效概率；PFDavgL表示邏輯子系統的失效概率；PFDavgSE表示最終元件子系統的失效概率。

機械設備失效按照式（3）計算失效概率F[24]：

式中，FG表示同類設備的平均失效概率；FE表示設備修正系數；FM表示管理系統評價系數；FL表示超標缺陷影響系數。

FE由四個因子組成（圖5），需分別確定四個因子的取值后確定FE，FL根據設備的制造質量和服役過程中的退化機理來確定。因此，對于同一個工廠，FG和FM的取值是固定值，影響設備失效概率的主要是FE和FL。

FE中四個因子的取值可通過監測介質的溫度、壓力、流速等運行數據以及企業的管理水平和設備的基礎資料來確定，進而得出FE的取值。FL可通過設備的定期檢驗、服役條件等進行賦值。

通過對工廠中設備運行數據的監控不斷更新設備的失效概率，實現機械設備失效概率的動態計算。

（2）人員失誤 目前應用較多的人因可靠性分析 方 法 有THERP、CREAM、HCR、HEART、SLIM等[25-26]。為了更好地應用于各生產領域并獲得更加精確的結果，本文融合THERP 和HCR 兩種模型計算人員失誤概率。

THERP 模型是根據事故的發展過程，分析涉及的人員行為，建立人因可靠性事件樹，并對樹中各分支賦予其發生的概率，最終計算作業成功或失敗的概率。

圖5 設備修正系數Fig.5 Equipment correction factor

HCR 模型是量化操作人員對系統異常信號沒有在規定的時間完成規定指令的概率的模型[27]。計算公式如下：

式中，t表示允許操作人員響應的時間；T1/2表示響應時間中值；α、β、γ 表示與行為類別有關的威布爾分布參數。

T1/2的計算公式如下：

式中，T1/2,nominal表示一般狀況的響應時間；K1表示操作人員經驗；K2表示操作心理壓力；K3表示控制室人機界面質量。

THERP 模型主要針對與時間無關的人的序列動作；HCR 模型則側重于與時間相關的人的認知行為。人的行為一般包括認知、診斷和操作三個階段。人員在認知及診斷階段采用HCR 方法選取相應的計算參數進行計算；用THERP方法來計算在操作階段中人員失誤概率，建立人因事件樹進行分析。THERP+HCR 模型綜合了兩種方法各自的優勢對人因可靠性進行定量計算，為風險分析提供精確數據。

3.2 保護層失效分析

保護層可有效阻止初始事件進一步演化為事故，避免重大事故的發生。保護層中涉及到的設備失效概率可參照初始事件設備失效概率計算方法。

安全儀表系統保護層針對不同的冗余結構有不同的失效概率計算方法[28]，選取典型結構2oo3 結構進行分析。2oo3 結構是由三個并聯通道構成，兩個或兩個以上通道發生危險失效時，則某個安全功能失效。該結構的平均要求時PFDavg2oo3計算公式如下：

式中，β 表示共因失效因子；λDU表示未檢測到的子系統中危險失效率；βD表示診斷共因失效因子；λDD表示檢測到的子系統中危險失效率；λSD表示檢測到的子系統中安全失效率；tCE表示通道失效狀態的平均時間；tGE表示系統等效停止工作時間；TI 表示測試周期；MTTR表示平均恢復時間。

關鍵報警和人員干預保護層失效包括報警器失效和人員失誤，其中報警器失效概率Pa按照設備的失效概率計算方法來計算，人員失誤Pb包括操作員對報警的感知以及處理能力，對于這部分的人因可靠性計算，首先采用APRIORI 算法挖掘報警事件與操作事件的關聯關系[29]，根據報警數據計算人員的感知能力和處理能力，獲得人因可靠性，進而獲得人因失效概率。

APRIORI 算法是挖掘關聯規則的頻繁項集算法，其實現過程如圖6所示。

圖6 APRIORI算法實現過程Fig.6 APRIORI algorithm implementation process

設C={x1,x2,…,xi,v1,v2,…,vj}是包含過程報警和處理事件的項的集合，x和v分別為過程變量和操作變量。通過該算法，可建立x→v 的關聯規則，其表示當x 發生報警時，v 可抑制報警的發生。因此，可用操作員是否成功處理了過程報警來衡量其處理能力，即

式（7）和式（8）分別表示操作員對報警處理成功和失敗。

假設在統計期內產生的報警數量為M：

式中，M1表示仍然存在的報警；M2表示消失的報警；M11表示人員未響應仍存在的報警；M12表示人員響應但未消失的報警；M21表示人員未響應但消失的報警；M22表示人員響應后消失的報警。

其中，M1和M2根據統計數據獲取，根據關聯規則可分析得到M12和M22。

則操作員的感知能力計算公式為：

操作員的處理能力計算公式為：

人因可靠性P′及人因失效率Pb計算公式如下：

則關鍵報警和人員干預保護層失效概率P計算公式為：

3.3 修正因子分析

點火概率指可燃物質泄漏后被點火源點燃的概率，分為立即點火概率和延遲點火概率。

立即點火概率默認值為0.15，該值極大地取決于泄漏物質特性及泄漏環境，因此應根據立即點火概率的主要影響因素得出更能反映實際情況的取值，考慮到泄漏物質本身的燃燒特性及泄漏環境得出其計算公式為[30]：

式中，Pai表示自燃特性概率；Psd表示點火能特性概率；Pimm.ignition表示立即點火概率；T表示泄漏物質的溫度，℉；TAIT表示泄漏物質自燃溫度，℉；EMIE表示泄漏物質最小點火能，mJ；P 表示泄漏物質的壓力，MPa。若T/TAIT＜0.9，則Pai=0，若T/TAIT＞1.2，則Pai=1。

延遲點火概率默認值為0.3，該值極大地取決于泄漏環境，應考慮物質的燃燒特性（Mmat）、物質的泄漏量（Mmag）、釋放的持續時間及點火源強度（Mdur）、室內和戶外運行（Min/out）四個修正系數對其進行修正[31]。

物質的燃燒特性：

式中，MIE 為物質的最小點火能，mJ。Mmat的取值范圍為0.1～3。

物質的泄漏量：

式中，FR 為孔的流速，lbs/s（1kg/s=2.2lbs/s），最大值為2。

釋放的持續時間及點火源強度：

式中，t表示時間，s。S為點火強度，取值可參照基于BakerRisk收集的數據[30]。

對于室內和戶外運行（Min/out），一般考慮室外氣體云的影響，若操作在室內，則Min/out=2，在室外則不需要考慮這個修正因子。

將以上四個參數的乘積（∏M）對延遲點火概率進行修正，具體計算方法如下：

4 實例分析

正己烷從上游工藝單元進入正己烷緩沖罐T-401，其簡化流程如圖7所示。

（1）基于HAZOP 分析結果，確定正己烷緩沖罐溢流事故場景，得出風險傳播過程的初始事件、觸發事件及相應的保護層，構建改進的模糊Petri 網模型，如圖8所示。

（2）模型中初始庫所包括故障庫所P1，P2，P7，P9和保護層庫所L1，L2，L3，L4。初始庫所的可信度根據企業歷史運行數據，按照各參數計算方法，分析計算得出其取值，各變遷的權值和閾值由專家經驗得出[14]，模型中各參數含義及取值見表1。

經過對模型進行計算，得到緩沖罐溢流的發生概率為1.21×10-4，根據點火概率計算公式，得到其點火概率為0.64，人員暴露概率定為0.5，得到發生火災爆炸概率及人員傷亡概率分別為9.99×10-7和4.99×10-7。根據風險矩陣，風險處于可接受范圍。

圖7 正己烷緩沖罐工藝流程圖Fig.7 Process flow chart of n-hexane buffer tank

圖8 正己烷緩沖罐溢流事故模糊Petri網模型Fig.8 Fuzzy Petri net model of overflow accident of n-hexane buffer tank

基于目前保護層數量龐雜的現狀，企業難以科學、全面地辨識逐個保護層的安全狀態，因此，分別計算該模型在BPCS 控制系統故障、關鍵報警及人員干預失效以及安全聯鎖系統分別失效、關鍵報警及人員干預和安全聯鎖系統同時失效時對事故發生的影響，為日常檢查提供依據，計算結果如表2所示。

由計算結果可知，液位控制系統和液位高報警及人員響應失效對事故發生影響不大；安全聯鎖失效后，人員傷亡發生概率數量級發生明顯變化，液位高報警和安全聯鎖同時失效后，風險處于不可接受范圍。因此，該裝置在日常檢查過程中應加強對安全聯鎖系統的檢測，確保其功能正常，防止事故發生。

另一方面，根據人員傷亡概率的目標概率，可以反算聯鎖等保護層的期望失效概率，進而得到測試周期等參數，科學指導保護層的動態完好性管理。

5 結 論

（1）基于現有的LOPA 模型對事故場景進行分析，建立了考慮保護層的模糊Petri 網模型，分析風險的動態傳播路徑。采用數據融合的方法作為信息收集手段，針對模型中涉及到的各種參數進行分析計算，構建多源數據融合的安全風險計算模型，分析結果表明其計算結果更為精確。

（2）以正己烷緩沖罐為例，建立其風險動態轉移模型，通過對各參數分析計算得到其緩沖罐溢流事故、火災爆炸事故及人員傷亡事故的發生概率。進一步分析其在不同保護層失效時的事故發生概率，結果表明安全聯鎖系統失效對事故發生影響最大，日常管理中應加大對其檢測頻率。另一方面，根據人員傷亡概率的目標概率，可以反算聯鎖等保護層的期望失效概率，進而得到測試周期等參數，科學指導保護層的動態完好性管理。

表1 模糊Petri網模型中各參數含義及取值Table 1 The meaning and value of each parameter in fuzzy Petri net model

表2 各保護層失效事故發生概率Table 2 Probability of failure accident of each protective layer

（3）基于多源數據融合的安全風險動態量化評估方法計算結果更加精確，能夠反映系統實時風險，為過程安全管理提供有效依據。