安全系统工程：第二章 系统安全分析

2023/1/41第二章系统安全分析主要内容

§2-1概述

§2-2安全检查及安全检查表

§2-3预先危险性分析

§2-4故障类型和影响分析

§2-5危险性和可操作性研究

§2-6事件树分析

学习方法建议理解各种分析方法的应用领域，在解决具体问题上下功夫。2023/1/42§2-1概述

一﹑系统安全分析的内容和方法

二、系统安全分析方法的选择

2023/1/43系统安全分析的目的是为了保证系统安全运行，查明系统中的危险因素，以便采取相应措施消除系统故障或事故。一、系统安全分析的内容和方法1.分析的内容：系统安全分析是从安全角度对系统中的危险因素进行分析，主要分析导致系统故障或事故的各种因素及其相互关系。6条内容，见教材P13。2.分析的方法：定性分析、定量分析；归纳分析、演绎分析。本课程介绍：1)安全检查表（SC)2)预先危险性分析(PHA)3)故障类型和影响分析(FMEA)4)危险性和可操作性研究(HAZOP)5)事件树分析(ETA)6)事故树分析(FTA)2023/1/44

二、系统安全分析方法的选择在系统寿命不同阶段的危险因素识别中，应该选择相应的系统安全分析方法，详见表2-1。应注意如下几个问题：

1.分析的目的：辨识危险源。1)对系统中所有危险源，查明并列出清单；2)掌握危险源可能导致的事故,列出潜在事故隐患清单；3)列出降低危险性的措施和需要深入研究部位的清单；4)将所有危险源按危险大小排序；5)为定量的危险源评价提供数据。

2.资料的影响：资料的获取与被分析的系统所处的阶段有直接关系。

3.系统的特点：机械、电气系统—FMEA,化工工艺—HAZOP；单一故障—HAZOP，多因素故障—ETA、FTA,复杂系统—安全检查表等。

4.系统的危险性：危险性较高时，采用严格、预测性的方法；危险性较低时，采用不太详细的分析方法。

2023/1/45§2-2安全检查及安全检查表

一、安全检查

二、安全检查表

三、安全检查表的编制2023/1/46

一、安全检查

1.安全检查的性质：分为普遍检查、专业检查和季节性检查。要做到有计划、有组织、目标明确、内容要求具体，做到边检查、边整改。

2.安全检查的内容：查思想、查管理、查隐患、查事故处理。二、安全检查表

1.安全检查表的定义：是一份实施安全检查和诊断的项目明细表，是安全检查结果的备忘录。现代安全系统工程中有很多分析方法，如预先危险性分析、故障类型及影响分析、事故树分析、事件树分析等，都是在这个基础上发展起来的。安全检查表是采用系统工程的观点，组织有经验的人员，将复杂系统分解成子系统或更小的单元，然后讨论每个单元可能存在的危险性、后果以及如何避免等，并在实践中加以完善。2023/1/47

安全检查表是安全系统工程诸方法中，最基础、最初步的方法，它不仅是安全检查的重要手段，也是预测和预防潜在危险因素的一个有效工具。

2.安全检查表的种类:安全检查表的应用范围十分广泛，如对工程项目的设计、机械设备的制造、生产作业环境、人员的行为等等。按其用途可分为以下几种

(1)设计审查用安全检查表

(2)厂级安全检查表

(3)车间用安全检查表

(4)工段及岗位用安全检查表

(5)专业性安全检查表如：电气设备、锅炉压力容器、防火防爆、特殊装置与设施的专业检查。2023/1/48

三、安全检查表的编制

1.编制安全检查表的依据：为了使安全检查表能结合实际、突出重点、符合安全要求，应依据

(1)有关规程、规范、规定、标准和手册；

(2)国内外事故情报；

(3)本单位的经验。

2.编制安全检查表的程序

(1)系统的功能分解；

(2)人、机、物、管理和环境因素；

(3)潜在危险因素的探求:黑箱法。

3.应注意的问题

(1)需将理论知识和实际经验相结合，需要多个编制人员的配合。

(2)检查项目应齐全，要有检查方法和合格标准。

(3)要注意专业检查表与日常检查表的区别，不能通用。2023/1/49(4)要采用安全系统工程的分析反复法，危险性部位尽可能齐全。

4.安全检查表举例安全检查表的应用十分广泛，各行各业都有其不同特点，要编制切合本专业特点的检查表，其内容和重点就应符合实际需要，因此不存在在各行业通用的安全检查表。安全检查表的一般格式为表2-2。检查时间检查单位检查部位检查结果安全要求整改期限整改负责人2023/1/410§2-3预先危险性分析

一、概述

二、预先危险性分析的步骤

三、危险性识别

四、危险性等级与控制五、应用实例

2023/1/411

一、概述预先危险性分析是一种定性分析评价系统内危险因素和危险程度的方法。它是在每项工程活动之前，或技术改造之后，对系统存在的危险性类型、来源、出现条件、导致事故的后果以及有关措施等，作一概略分析。

1.预先危险性分析的内容系统安全分析的目的不是分析系统本身，而是预防、控制或减少危险性，提高系统的安全性和可靠性。根据安全系统工程的方法，PHA的分析应采用人—机—环工程的整体观点来进行。主要内容：①识别危险的设备、零部件，并分析其发生的可能性条件；②分析系统中各子系统、各元件的交换面及其相互关系与影响；③分析原材料、产品、特别是有害物质的性能与储存；④分析工艺过程及其工艺参数或状态参数；⑤人、机关系；⑥环境条件等。2023/1/412

2．预先危险性分析的主要优点

1)分析工作做在行动之前，可及早采取措施，降低或控制危害。

2)对分析结果，可提供应遵循的注意事项和指导方针。

3)分析结果可为制定标准、规范和技术文献提供必要的资料。

4)可编制安全检查表，并可作为安全教育的材料。二、预先危险性分析的步骤

1.分析的一般步骤

(1)确定系统:明确分析系统的功能和分析范围。

(2)调查、收集资料。

(3)系统功能分解。举例：钻井机械的8大系统。按系统工程的原理，绘出功能框图，并表示它们之间的输入、输出关系。2023/1/413

(4)分析、识别危险性:裂纹类缺陷。

(5)确定危险等级。

(6)制定措施:从软件、硬件两方面来防止伤害。

2.应注意的问题

1)应采取设计人员、操作人员和安全干部三结合的形式来进行。

2)应将系统进行分解，按系统、子系统、系统元一步一步地进行。

3)对复杂结构的危险性分析，应采取迭代或抽象的对策。

4)在可能条件下，最好事先准备一个检查表，指出查找危险性的范围。2023/1/414

三、危险性识别要做到预防为主，识别危险性是首要问题。造成事故后果必须有两个因素，一是有引起伤害的能量，二是有遭受伤害的对象（人或物），二者缺一不可。潜在的危险性只有在一定条件下才能发展成为事故。

1.物理模式（1）物理爆炸。常因压力容器的破坏而产生，能产生很大的破坏力，如各种储气罐。（2）锅炉爆炸。最常见，原因为结垢、腐蚀、缺水和超压运行。（3）机械失控。由于在机械设计时，强度计算有误或超负荷运转，都可能造成机械失控，如汽轮机的叶片。（4）电气失控。造成触电和火灾，如发电机和电动机。（5）其他物理能量失控。如热辐射、核污染、躁声和磁场辐射等。2023/1/4152.化学模式（1）直接火灾。森林火灾、液化石油气爆炸起火等。（2）间接火灾。如设备遭受冲击，易燃物质泄露，遇火爆炸。（3）自动反应。如炸药、鞭炮等，由于压力或温度的变化，发生自动反应而爆炸。

3.有害因素：包括有毒的化学气体、惰性气体、致病微生物等。

4.外力因素：例如自然灾害、外来物的袭击。

5.人的因素：在人—机系统中，人比机械可靠性低得多，所以要加强人机工程学的研究，尽量减少人的误差。

6.环境因素：环境危害不仅包括物体的存放，还包括有毒、湿度、振动、放射性等对人体的危害。2023/1/416

四、危险性等级与控制

1.危险性等级：从定性的观点出发，危险性等级可分为：

Ⅰ级：安全的—不发生危险。

Ⅱ级：临界的—处于形成事故的边缘状态，暂时还不会造成危害。

Ⅲ级：危险的—会造成危害，应立即采取措施排除。

Ⅳ级：破坏性的—会造成灾难性事故。当系统中存在很多危险因素时，如何分清其严重程度，因人而已，带有很大的主观性。为了较好地符合客观性，可集体讨论或多方征求意见，也可采取一些定性的决策方法。比如，矩阵比较法，也可采用模糊综合评判的方法。事故发生可能性分级：A,经常发生；B,容易发生；C,偶尔发生；D,很少发生；E,不易发生；F,极难发生。2023/1/417

2.危险性控制：危险性识别和等级划分后，就可采取相应的预防措施，避免它发展成为事故。采取的预防措施为直接措施和间接措施，主要包括

(1)防止能量的破坏性作用限制能量的集中与蓄积。汽油、煤油、易燃气体、电压等。控制能量的释放。防止能量的逸散、缓解能量释放、另辟能量释放渠道。隔离能量。在能源上采取措施、在能源和人与物之间设防护屏障、设置安全区等。其他措施。

(2)降低损失程度的措施

(3)防止人的失误

2023/1/418

五、应用实例

1.硫化氢输送系统预先危险性分析事故事故原因事故后果危险级别建议的安全措施毒物泄露储罐破裂大量泄露导致人员伤亡Ⅳ1.采用泄露报警系统2.最小储存量3.制订巡检规程毒物泄露反应过剩大量泄露导致人员伤亡Ⅲ1.过剩硫化氢收集处理系统2.安全监控系统3.制定规程保证收集系统先于装置运行2023/1/419

为了防止泄露事故发生，分析者向设计人员提出如下建议：（1）考虑用一种低毒性物质在需要时能产生硫化氢的工艺；（2）开发一套收集和处理过剩硫化氢的系统；（3）采用硫化氢泄露报警装置；（4）现场仅储存最小量的硫化氢，不会输送、处理过量；（5）开发符合人机工程学要求的储罐连接程序；（6）设置由硫化氢泄露检测系统驱动的水封系统封闭储罐；（7）把储罐布置在远离其他道路、方便输送的地方；（8）在投产之前，教育、训练职工了解硫化氢的危害，掌握应急程序。2023/1/4202.高炉拆装工程预先危险性分析鞍山钢铁公司针对高炉拆装工程进行的预先危害分析结果汇总于下表（部分）阶段危害发生可能性危害严重度预防措施拆除阶段①人员高处坠落DⅡ设安全网，加强个体防护②高处脱落构件击伤人员BⅡ-Ⅲ划出危险区域并设立明显标志③爆破拆基础伤人CⅡ正确布孔、合理装药、定时爆破，设爆破信号及警戒土建阶段①塌方AⅡ-Ⅲ阶段性放坡，监控裂隙②脚手架火灾DⅡ严禁明火2023/1/421

续上表

阶段危害发生可能性危害严重度预防措施安装阶段①高处坠落DⅡ设安全网，加强个体防护②落物伤人BⅡ-Ⅲ材料妥善存放,严禁向下抛掷③排栅倒塌BⅡ-Ⅲ定期检查、修理④排栅火灾DⅡ-Ⅲ注意防火⑤电焊把线漏电BⅡ集中存放电焊机，焊把线架空⑥乙炔发生器爆炸CⅡ安装安全装置，定期检查，严格控制引火源⑦吊物坠落BⅡ定期检修设备及器械2023/1/422§2-4故障类型和影响分析

一、概述

二、故障的基本概念

三、FMEA的分析步骤

四、危险度分析

五、应用实例2023/1/423一、概述FMEA是安全系统工程中重要的分析方法之一，它是由可靠性工程发展起来的，主要分析系统、产品的可靠性和安全性。基本内容：对系统或产品的各个组成部分，按一定的顺序进行系统分析和考察，查出系统中各子系统或元件可能发生的各种故障类型，并分析它们对系统或产品的功能造成的影响，提出可能采取的预防改进措施，以提高系统或产品的可靠性和安全性。FMEA是设计人员必须掌握的技术，分析资料为不可缺少的设计文件。GJB—450—88指出：FMEA是找出设计上潜在缺陷的手段，是设计审查中必须重视的资料之一。故障类型和影响、危险度分析（FailureMode,EffectandCriticalityAnalysis）,简称FMECA是FMEA的深化，它还分析了故障类型的危险度有多大，使分析量化。2023/1/4241.分析方法的特点要保证系统或产品的可靠性，最好的方法就是预防故障。预测故障发生的方法很多，FMEA是其中一种代表性的方法。（1）通过原因分析系统故障（结果）。系统工程的方法：自下而上、逐层分析、表格形式、初始原因事件。钻机井架倒塌，原因为稳定性、强度、载荷过大等。（2）系统发生故障便可能丧失其功能。FMEA是以功能为中心，以逻辑推理为重点的分析方法。例如，钻井泥浆泵泵阀系统。（3）是一种定性分析方法。只需要理论知识和过去故障的经验即可，不需要具体数据。例如，抽油杆折短的原因分析。（4）适用于产品设计、工艺设计、装备设计和预防维修等环节。2023/1/4252.FMEA的目的和要求（1）要搞清楚所有故障类型对系统或产品的影响。（2）对可能发生的故障类型提出可行的控制方法和手段，并提出改进设计的意见。（3）对产品提出特殊要求，包括设计、性能、可靠性和安全性的要求。（4）对协作厂提供的部件，要制定严格的验收标准。（5）在产品使用时，要制定保护性措施或监测装置。举例，抽油杆、电潜泵、家用洗衣机、电视等。二、故障的基本概念

1.故障所谓故障，一般是指元件、子系统、系统在规定的运行时间、条件内，达不到设计规定的功能。发生故障的原因是多方面的，讨论故障离不开“功能、时间和条件”。2023/1/426

从安全角度来说，故障是引起事故、灾害的原因。系统或产品失效的过程为：正常→异常→征兆状态→故障→事故。因此，“机械故障（健康）诊断”是一门学科。

(1)功能:系统或产品发生故障，即丧失功能。从可靠性的定义看，故障模式为：运行过程中故障；提前动作；在规定的时间不动作；在规定的时间不停止；运行能力降低、超量或受阻。

(2)条件:故障原因分为诱发故障的内因和直接造成故障的外因。内因为：内部原因、缺陷；外部原因为：外部应力、人员差错、环境条件、使用条件变化等。举例说明。

(3)时间:t=0,功能当然正常；t=?,发生故障，飞机结构的疲劳可靠度。

(4)概率:在故障模式及影响分析中，一定要评定相对发生频率等级。例如，电潜泵发生故障，各种失效模式的比率。2023/1/4272.故障类型、原因、机理及影响

(1)故障类型:相当于医学上的疾病症状，产品不同，故障模式也不同，类型主要有：损坏型、退化型、松脱型、失调型、渗漏型和功能型等。例如，机械产品有：磨损、疲劳、折断、冲击、变形、破裂等。

(2)故障原因:系统、产品的故障原因，主要来自两个方面，即固有可靠性（80%）和使用可靠性（20%），对机电产品而言。固有可靠性：1)硬件设计不合理或存在潜在的缺陷；2)零、部件有缺陷；3)制造质量低；4)运输、保管、安装不善。使用可靠性：包括环境条件和使用条件，如湿度、温度、振动、噪声、冲击、灰尘和有害气体等。潜在故障在一定条件下可以产生一定模式的故障。2023/1/4282023/1/429(3)故障机理：是指引起故障的物理、化学变化等内在原因，也可以说是形成故障源的原因。主要考虑：1)对象，发生故障实体的内部状态；2)外部原因，外部环境应力、时间因素、人为差错；3)结果，内部变化超过限定值，便形成故障。比如，对机械零件，失效机理为①静力破坏：屈服、变形过大、屈服失稳；②疲劳：高周疲劳、低周疲劳、腐蚀疲劳；③断裂：低温脆断、氢脆（内部氢脆、环境氢脆）、应力腐蚀；④腐蚀：化学腐蚀、电化学腐蚀；⑤磨损：粘着磨损、微动磨损、腐蚀磨损、冲蚀和气蚀、接触疲劳磨损。(4)故障影响:指的是某一故障发生后，对系统、子系统、部件有什么效应，效应程度有多大。(5)故障类型、机理和原因的关系:故障原因孕育着故障机理，故障类型反映着故障机理的差别。2023/1/430故障类型相同，机理不一定相同，例如机械零件变形，可以是冲击、温度、破坏等。故障机理相同，类型不一定相同，例如，疲劳机理可以表现为耗损、裂纹或断裂。三、FMEA的分析步骤故障类型和影响分析的思路是，从设计功能上，按照系统—子系统—元件顺序分解研究故障类型，再按逆过程，即元件—子系统—系统顺序研究故障的影响，选择对象，改进设计。其分析步骤为（以电动潜油离心泵为例）：1.明确系统的情况和目的在分析步骤中，首先应对系统的任务、功能、结构和运行条件等诸方面有一个全面的了解。如系统由哪些子系统、组件和元件组成，各自特性如何等等。2.确定分析的层次，绘制功能框图和可靠性框图2023/1/431分析开始时就要根据系统的情况，确定分析到什么层次，这是一个重要的问题。如果分析得太浅，就会漏掉重要的故障类型，得不到有用的资料；反之，若分析得太深，结果很复杂，费事费力。关键子系统，分析得深一些；对某些外购件，可作为元件对待，不必进一步分析。功能框图按功能划分层次，如石油钻机的八大系统的分解。可靠性框图是把实际系统之间的物理、空间要素表示为功能与功能之间的联系，尤其要明确它们之间的逻辑关系。3.建立故障类型清单，分析故障类型和影响这一步是是实施FMEA的核心，应根据理论知识、实践经验和有关故障资料，判断系统中所有可能出现的故障类型。选定、判明故障类型是一项技术性很强的工作，必须细致、准确。结合实例，海洋平台的疲劳分析。2023/1/4325W1H启发性分析方法要领，就是指Who,When,Where,What,Why,How的总称。Why:为什么要有这个元件？为什么这个元件会发生故障？为什么不加保护装置？What:功能是什么？工作条件是什么？在什么条件下发生故障？将会发生什么样的故障？Who:谁操作？故障一旦发生谁是受害者？谁来组织安全措施？When:何时发生故障？何时检测安全装置？Where:在什么部位发生故障？检测装置装在什么地方最好？How:发生故障的后果如何？影响程度如何？如何改进设计？应注意，不要“只见树木，不见森林”，可按下面的程序来进行。（1）掌握全局性分析的综合调查。2023/1/433（2）从非破坏性的外部分析到解剖、破坏性的内部分析。抽油杆疲劳。（3）建立故障原因的假设，并进而求证。4.研究故障检测方法、确定故障等级设定故障发生后，说明故障所表现的异常状态及如何检测。如无损探伤法（NDT）、磁粉探伤法，电阻的变化等。而故障等级是衡量对系统任务、人员安全造成影响的尺度，因此，有必要对故障的等级进行划分。确定故障等级的方法有以下2种：（1）简单划分法。将故障类型对子系统或系统影响的严重程度分四个等级：致命性的：Ⅳ级，可造成死亡或系统损失；严重的：Ⅲ级，可能造成严重伤害、严重职业病；临界的：Ⅱ级，可造成轻微伤害；可忽略的：Ⅰ级，不会造成伤害。2023/1/434

四、危险度分析

1.基本概念危险度分析（简称CA）是在故障类型及影响分析的基础上扩展出来的。危险度分析就是对系统中各个不同的严重故障类型计算临界值—危险度指标，即给出某故障类型产生危险度影响的概率。2023/1/435CA分析的目的：1)尽量消除危险度高的故障类型；2)当无法消除时，尽量从各方面减小它放生的概率；3)根据不同的危险度，对零、部件或产品提出不同的质量要求；4)根据不同情况增设保护装置、检测预报系统。2023/1/436五、应用实例1．电机运行系统故障类型和影响分析一电机运行系统如图2—2所示，该系统是一种短时运行系统，如果运行时间过长则可能引起电线过热或者电机过热、短路。对系统中主要元素进行故防类型和影响分析，结果列于表2—7。2023/1/4372023/1/438

2．空气压缩机储罐的故障类型和影响分析空气压缩机的储罐属于压力容器，其功能是储存空气压缩机产生的压缩空气。这里仅考察储罐的罐体和安全阀两个元素的故障类型及其影响，分析结果列于表2—8。2023/1/4393.

起重机制动装置和钢丝绳的FMECA（P24-25)2023/1/440§2-5危险性和可操作性研究

一、概述

二、分析步骤

三、应用举例2023/1/441

一、概述可操作性研究也称为安全操作研究，是以系统工程为基础的危险分析方法。该方法采用表格式分析形式，具有专家分析法的特点，主要适用于连续性生产系统的安全分析与控制，是一种启发性的、实用的定性分析方法。由于设计不良，将不安全因素带入生产中而造成的事故约占总事故的1/4，因此在设计开始时就应注意消除系统中的危险性，可操作性研究是解决问题的方法之一。这种方法的出发点是先找出工艺状态参数的变化及可能出现的偏差，然后分析每一偏差产生的原因和造成的后果。据此查找原因，采取对策。

1.HAZOP的特点

(1)以参数的变化来研究各种故障的原因、存在的危险及采取的对策。2023/1/442(2)它是故障类型及影响分析的发展。它从中间过程出发，向前分析其原因，向后分析其结果，具有直观、易查找的特点。(3)不需要可靠性工程的专业知识，很易掌握。(4)既可用于设计评价，又可用于操作评价。该方法利于提高安全操作能力，且主要适用于化工企业。2.引导词及其意义为了分析状态参数的偏差所造成的危险性，要事先构成一份提问清单，这个清单要能简明地概括中间状态的全部内容。所谓的提问清单，是采用能引起启发性思考的“引导词”，分析工艺过程状态如何偏离设计规定的基准状态。为了能适应化学工业和其它产业分析的需要，现将“引导词”的意义及其说明列于表中。“多”可扩展为过多、过大、偏高、早于等含义，“少”则可扩展为过少、过小、偏低、迟于等含义。2023/1/4432023/1/444二、分析步骤所谓可操作性研究，就是对应有现象和实际现象做出如下判断：会不会出现偏差？用什么资料说明它是偏差？偏差的影响程度、范围如何？偏差产生的原因是什么？其分析步骤如下1.认识问题:当工艺流程的状态参数发生变化时，偏差一定会出现。2.调查、说明偏差:用“何种”、“何处”、“何时”、“何种程度”等启发性要求加以说明。3.推断可能原因:应分析系统中各子系统、部件功能变化是否为引起偏差的可能原因。4.核对可能原因:寻找问题产生的可能原因，就是研究这些原因具有的影响差别的变化。根据列表的变化，核对引起偏差的原因。5.证实问题产生的原因:可能性不等于必然性，必须通过科学的方法，证实变化和原因之间存在的必然联系。2023/1/4456．问题的确切表述:将分析资料做详细说明，并归入技术资料档案，作为检索参考。7.编制可操作性研究表格。2023/1/446三．应用举例考察图2—4所示的DAP工艺系统。2023/1/447DAP是磷酸氢二铵的英文缩写，DAP由氨水与磷酸反应生成。生产过程中调节氨水储罐与反应釜之间管线上的阀门A，磷酸储罐与反应釜之间管线上的阀门B，分别控制进入反应釜的氨和磷酸的速率。当磷酸进人反应釜速率相对氨进人速率高时，会生成另一种不需要的物质，但没有危险。当磷酸和氨两者进入反应釜速率都高于额定速率时，反应释放能量增加，反应釜可能承受不了温度和压力的迅速增加。当氨进入反应釜速率相对磷酸进人速率高时，过剩的氨可能随DAP进入敞口的储罐，挥发的氨可能伤害人员。这里选择磷酸储罐与反应釜之间的管线部分为分析对象，则该部分的设计意图是向反应釜输送一定量的磷酸，其工艺参数是流量。把7个引导同与工艺参数“流量”相结合，设想各种可能出现的偏离。

2023/1/4482023/1/4492023/1/450§2-6事件树分析

一、概述

二、事件树的建造

三、应用举例2023/1/451一、概述ETA是安全系统工程中的重要分析方法之一，其理论基础是运筹学的决策论。它是一种归纳法，是从给定的一个初始事件的事故原因开始，按时间进程采用追踪方法，逐步分析可能导致的事件结果，从而定性或定量地评价系统的安全性。事件序列是以图形表示的，其形状呈树枝形，故称为事件树。事件树分析的功能如下：(1)事件树分