系統(tǒng)理論事故模型和流程分析法（STAMP）在石油庫(kù)安全管理中的應(yīng)用

禹治宇

〔中國(guó)石化云南石油分公司 云南昆明 650011〕

安全始終是油品銷售企業(yè)經(jīng)營(yíng)管理的重要課題。在成品油的儲(chǔ)存和運(yùn)輸過(guò)程中，安全隱患幾乎存在于每個(gè)環(huán)節(jié)。這些隱患，如果不能得到及時(shí)的識(shí)別、正確的處置和有效地管控，隨時(shí)可能給國(guó)家和人民造成重大的生命、財(cái)產(chǎn)損失，甚至造成大范圍的對(duì)國(guó)民經(jīng)濟(jì)的正常運(yùn)行秩序和百姓生活的嚴(yán)重沖擊和破壞。為此，在成品油儲(chǔ)運(yùn)過(guò)程中對(duì)各種事故災(zāi)害進(jìn)行及時(shí)防范和對(duì)各種潛在的危害進(jìn)行有效管控，是確保成品油經(jīng)營(yíng)得以長(zhǎng)期持續(xù)穩(wěn)定運(yùn)行和健康發(fā)展的一項(xiàng)永遠(yuǎn)在路上的基本需要。

縱觀石化領(lǐng)域國(guó)內(nèi)外已經(jīng)發(fā)生過(guò)的各種各樣的事故災(zāi)害由醞釀、發(fā)生和發(fā)展的全過(guò)程，盡管從表面上看，這些事故常常只是由某個(gè)部件或某個(gè)人為因素偶發(fā)造成的，但是人們不能把事故的成因單一化，表面化，把事故背后的危害要素的管控工作簡(jiǎn)單化。對(duì)待一起已經(jīng)發(fā)生了的事故，更不能只是指出事故所涉及到的設(shè)備部件或個(gè)人，對(duì)設(shè)備進(jìn)行修復(fù)或?qū)⑷颂鎿Q即告完事，而是要從頭到尾對(duì)整個(gè)事故鏈進(jìn)行全面、透徹的分析，最終找出與該事故的發(fā)生和發(fā)展密切相關(guān)的體系性原因。也就是說(shuō)，要應(yīng)用系統(tǒng)思維的方式和系統(tǒng)分析的理論來(lái)看待事故的起因。

1 系統(tǒng)理論模型和流程的提出

在綜合分析、識(shí)別事故成因的理論和方法模型方面，近年出現(xiàn)了一種叫做系統(tǒng)理論事故模型和流程的方法，稱STAMP模型，英文全稱為Systems Theoretic AccidentModel and Processes。這是一個(gè)可以應(yīng)用于油氣生產(chǎn)企業(yè)和油庫(kù)類企業(yè)的安全管理和事故分析方面的新理念，新工具。

2 用STAMP模型從社會(huì)－技術(shù)系統(tǒng)的視角多層次深化分析事故成因

為解決航空航天領(lǐng)域復(fù)雜系統(tǒng)研發(fā)過(guò)程和運(yùn)行過(guò)程的安全控制問(wèn)題，2004年，美國(guó)麻省理工學(xué)院航空航天軟件工程研究實(shí)驗(yàn)室的Leveson教授著眼于社會(huì)－技術(shù)系統(tǒng)，從多層次多角度深化分析安全事故成因，首次提出了這個(gè)不同于傳統(tǒng)的安全分析技術(shù)思路的STAMP模型。該模型強(qiáng)調(diào)，越是復(fù)雜的系統(tǒng)，其安全事故的最終發(fā)生越不是單一因素導(dǎo)致的結(jié)果，而是多種成因集中在一起交互作用或者說(shuō)多種錯(cuò)誤集中涌現(xiàn)的結(jié)果。因此，要想避免和管控一個(gè)復(fù)雜系統(tǒng)的安全事故，必須從一個(gè)包含了人、規(guī)則規(guī)程、技術(shù)軟件、控制邏輯、執(zhí)行機(jī)構(gòu)、執(zhí)行設(shè)備、過(guò)程監(jiān)控、執(zhí)行效果反饋和對(duì)錯(cuò)誤或無(wú)效的修復(fù)矯正機(jī)制及措施等多個(gè)層面的影響因素的所謂的社會(huì)－技術(shù)系統(tǒng)的角度綜合全面地識(shí)別事故成因，并有效地控制系統(tǒng)中的各種可能導(dǎo)致危險(xiǎn)狀態(tài)得以轉(zhuǎn)化或啟動(dòng)的因素。這些因素可能是人為偶發(fā)的，也可能是純技術(shù)的，持續(xù)存在的，也可能是在偶發(fā)因素誘導(dǎo)下產(chǎn)生的超出了技術(shù)適應(yīng)或糾正能力的某個(gè)環(huán)節(jié)或因素。

傳統(tǒng)上，對(duì)待大型復(fù)雜工業(yè)生產(chǎn)系統(tǒng)的事故成因，常用的安全分析技術(shù)主要有故障樹分析法（FTA法）、失效模式及影響分析法（FMEA法）與在此基礎(chǔ)上改進(jìn)而來(lái)的面向大型復(fù)雜工業(yè)系統(tǒng)的軟件失效模式和影響分析法（SFMEA法），以及包含了動(dòng)態(tài)建模技術(shù)的動(dòng)態(tài)故障樹分析法（DFTA法）等。

這些傳統(tǒng)的安全分析方法，在識(shí)別大型工業(yè)生產(chǎn)系統(tǒng)的事故成因和改進(jìn)安全管理方面的確發(fā)揮了很大的作用，有其合理之處和利用價(jià)值。但也不得不承認(rèn)，這些傳統(tǒng)方法的本質(zhì)仍然都是基于組件失效與事故發(fā)生之間存在著簡(jiǎn)單線性關(guān)系的這樣一種假設(shè)，而面對(duì)已經(jīng)高度復(fù)雜化了的、軟硬件緊密結(jié)合的、包含有多工種多工序的大型工業(yè)生產(chǎn)系統(tǒng)的研發(fā)、設(shè)計(jì)和運(yùn)行過(guò)程的安全管理問(wèn)題，這些基于上述線性關(guān)系假設(shè)的分析方法，在實(shí)際使用中已經(jīng)顯得越來(lái)越力不從心了。

現(xiàn)代化的油氣工業(yè)，不論是上游、中游還是下游，隨著多年的持續(xù)滾動(dòng)發(fā)展，其各個(gè)生產(chǎn)環(huán)節(jié)的過(guò)程控制系統(tǒng)已經(jīng)實(shí)現(xiàn)了基于DCS或PLC的自動(dòng)化監(jiān)控，而且越來(lái)越多地加入了基于互聯(lián)網(wǎng)和物聯(lián)網(wǎng)技術(shù)的信息化和智能化系統(tǒng)。這樣的生產(chǎn)系統(tǒng)所使用的硬件和軟件的復(fù)雜程度比以前都有了大幅度的提高。

與航空航天或核電產(chǎn)業(yè)有些類似，如今在大型石油、石化、大宗散裝液體物料的生產(chǎn)、加工和儲(chǔ)運(yùn)過(guò)程中，對(duì)于各個(gè)環(huán)節(jié)的安全管控，其難度已經(jīng)變得很大，單純使用基于事故與組件失效之間存在線性對(duì)應(yīng)關(guān)系的傳統(tǒng)理論的分析方法已經(jīng)變得越來(lái)越不適應(yīng)當(dāng)今工業(yè)系統(tǒng)的實(shí)際需要，而需要引入一種基于社會(huì)－技術(shù)系統(tǒng)思維的面向大型復(fù)雜工業(yè)生產(chǎn)系統(tǒng)的安全分析法，即STAMP模型分析法。該模型將引導(dǎo)人們從一開始就同時(shí)把人的正常與不正常、軟件功能的到位不到位、控制邏輯是否有瑕疵、硬件組件的功能是否可靠和到位、生產(chǎn)過(guò)程中的信息流傳遞是否正常、執(zhí)行結(jié)果的監(jiān)測(cè)和反饋是否及時(shí)有效、對(duì)異常情況反饋的修復(fù)和管控是否有效等等多方面影響因素，統(tǒng)統(tǒng)納入到需要識(shí)別分析的視野范圍內(nèi)。

3 STAMP法與傳統(tǒng)安全分析法的比較

在對(duì)待安全事故成因的基本理念上，相對(duì)于前述的幾種傳統(tǒng)的安全分析方法，STAMP模型有著很大的不同。傳統(tǒng)方法的基本理念是一次事故是一個(gè)或一組功能組件的失效導(dǎo)致的，提高各個(gè)組件的可靠度是特別重要的事。而STAMP模型法則把一個(gè)工業(yè)企業(yè)或系統(tǒng)的安全生產(chǎn)的管理定義為整個(gè)系統(tǒng)的全面控制和協(xié)調(diào)的問(wèn)題，事故的最終實(shí)際發(fā)生是系統(tǒng)中多種錯(cuò)誤交互作用、集中涌現(xiàn)，而且沒(méi)有得到有效管控和修復(fù)的結(jié)果，不是某個(gè)部件或某個(gè)人的可靠性問(wèn)題。

STAMP模型分析法與傳統(tǒng)的安全分析方法之間的理念差別，參見(jiàn)表1。

由此可見(jiàn)，對(duì)待事故成因，一定要站在一個(gè)系統(tǒng)的視角和高度上，從社會(huì)性的因素，如人的、規(guī)程制度的和監(jiān)測(cè)、監(jiān)督及反饋報(bào)告與審批流程的、偶發(fā)的和持續(xù)性的、交互作用的，技術(shù)性的因素，如軟件邏輯的，偶發(fā)的或持續(xù)性的、執(zhí)行效果的檢測(cè)、報(bào)告反饋信息渠道的可靠性、對(duì)反饋信息的處置的有效性和糾正方法的有效性和及時(shí)性，以及社會(huì)的和技術(shù)的因素的聯(lián)動(dòng)交互作用過(guò)程對(duì)決策和應(yīng)對(duì)過(guò)程的影響等多個(gè)方面，進(jìn)行客觀、系統(tǒng)的分析和識(shí)別。

STAMP模型分析法認(rèn)為，導(dǎo)致事故的原因可能是人為因素、機(jī)械故障、物理化學(xué)因素、社會(huì)和環(huán)境因素，也可能是整個(gè)事故鏈中各部分之間的不協(xié)調(diào)，相互控制或反饋機(jī)制不健全、反應(yīng)不及時(shí)而引起了事故鏈中的某個(gè)部分的功能失?；蚴Ш猓⑶椅茨艿玫郊皶r(shí)、有效的糾正和管控而造成的。

在現(xiàn)實(shí)的對(duì)工業(yè)生產(chǎn)過(guò)程的監(jiān)控工作鏈中，不同層次的部門都有著各自既定的作用和職責(zé)，用于保證整個(gè)系統(tǒng)持續(xù)順利的運(yùn)行，同時(shí)各個(gè)部分又有各自的控制作用和反饋?zhàn)饔谩?/p>

4 實(shí)例分析

一座成品油庫(kù)，從策劃、立項(xiàng)到建設(shè)方案的制定、工程設(shè)計(jì)、設(shè)備采購(gòu)、系統(tǒng)實(shí)施再到工程驗(yàn)收、試運(yùn)行、運(yùn)營(yíng)、再到運(yùn)維保障支持，一般要涉及到政府政策法規(guī)、產(chǎn)業(yè)政策、國(guó)家和行業(yè)技術(shù)規(guī)范標(biāo)準(zhǔn)、行業(yè)的安全、環(huán)境、計(jì)量、能耗、資源等監(jiān)管部門、總公司級(jí)的計(jì)劃、咨詢、前期研究、項(xiàng)目決策、工程設(shè)計(jì)、設(shè)計(jì)審查、采購(gòu)和實(shí)施、工程監(jiān)理、供貨商和集成商、油庫(kù)運(yùn)營(yíng)團(tuán)隊(duì)、參與運(yùn)營(yíng)過(guò)程的上下游企業(yè)、參與油庫(kù)運(yùn)維保障支持的各個(gè)專業(yè)服務(wù)商等20余類大小不等的功能組織實(shí)體。

在所有這些與油庫(kù)的形成和運(yùn)行相關(guān)聯(lián)的功能組織實(shí)體中，其中任何一個(gè)不正確的決定或做法，在未能得以及時(shí)有效的管控和應(yīng)對(duì)的情況下，都有可能通過(guò)一定程度的交互作用和集中涌現(xiàn)而直接或間接地引發(fā)一場(chǎng)嚴(yán)重事故。問(wèn)題的關(guān)鍵就是其中的潛在危害因素和交互作用能否在實(shí)施和運(yùn)行過(guò)程中得到系統(tǒng)的識(shí)別和有效的應(yīng)對(duì)和控制。

STAMP模型所涉及的分析要素對(duì)象和分布關(guān)系如圖1。

圖1 STAMP模型所設(shè)及的分析要素對(duì)象和分布關(guān)系

當(dāng)前，參與油品銷售周轉(zhuǎn)調(diào)運(yùn)過(guò)程的骨干油庫(kù)，基本上都實(shí)現(xiàn)了操作過(guò)程的自動(dòng)化控制，部分油庫(kù)的發(fā)油作業(yè)過(guò)程實(shí)現(xiàn)了全自助化的無(wú)人值守運(yùn)營(yíng)模式，越來(lái)越多的油庫(kù)配備了油庫(kù)綜合管理信息集成平臺(tái)，這種平臺(tái)一般會(huì)把庫(kù)區(qū)范圍內(nèi)已有的罐區(qū)自動(dòng)計(jì)量監(jiān)控系統(tǒng)、汽車收發(fā)油自動(dòng)監(jiān)控系統(tǒng)、庫(kù)區(qū)泵閥監(jiān)控系統(tǒng)、鐵路水路收發(fā)油監(jiān)控系統(tǒng)、可燃?xì)鉂舛缺O(jiān)測(cè)報(bào)警系統(tǒng)、溫感煙感監(jiān)測(cè)報(bào)警系統(tǒng)、火災(zāi)報(bào)警系統(tǒng)、智能連鎖控制和聯(lián)動(dòng)控制系統(tǒng)、緊急停車系統(tǒng)、自動(dòng)消防系統(tǒng)、油氣回收系統(tǒng)、污水處理和事故池監(jiān)測(cè)系統(tǒng)、視頻監(jiān)控系統(tǒng)、庫(kù)區(qū)安防監(jiān)控系統(tǒng)、生產(chǎn)計(jì)劃調(diào)度系統(tǒng)、油品質(zhì)量化驗(yàn)系統(tǒng)、關(guān)鍵設(shè)備運(yùn)行監(jiān)測(cè)系統(tǒng)、報(bào)警處置跟蹤管理系統(tǒng)、業(yè)務(wù)流程在線審批管理系統(tǒng)、專項(xiàng)信息發(fā)布推送管理系統(tǒng)等集成到一個(gè)一體化的綜合監(jiān)管平臺(tái)上。個(gè)別油庫(kù)企業(yè)現(xiàn)在已開始建設(shè)基于物聯(lián)網(wǎng)技術(shù)、人工智能技術(shù)和大數(shù)據(jù)分析模型的智能化油庫(kù)運(yùn)行監(jiān)測(cè)分析預(yù)警系統(tǒng)。

可見(jiàn)，現(xiàn)在主流油庫(kù)已變成一個(gè)由多層人機(jī)交互控制界面、多種變量智能連鎖控制邏輯、DCS或PLC／SCADA監(jiān)控軟件、服務(wù)器、基層控制器和執(zhí)行儀表、現(xiàn)場(chǎng)工業(yè)總線數(shù)據(jù)傳輸網(wǎng)絡(luò)、網(wǎng)關(guān)、庫(kù)區(qū)局域網(wǎng)、庫(kù)區(qū)至上級(jí)監(jiān)管機(jī)關(guān)的專線通訊網(wǎng)、各種硬件設(shè)備及相關(guān)公用工程系統(tǒng)組合而成的復(fù)雜而上下左右相互關(guān)聯(lián)的大型綜合體。

這樣的大型綜合體，既包括了供配電、給排水、油氣回收、裝卸車船所需設(shè)備和油罐、油泵、電機(jī)、閥門、過(guò)濾器、計(jì)量?jī)x表和工藝設(shè)備，也包含了大量的基于現(xiàn)場(chǎng)檢測(cè)和遠(yuǎn)控連鎖聯(lián)動(dòng)邏輯設(shè)計(jì)的監(jiān)控軟件、數(shù)據(jù)庫(kù)、通訊網(wǎng)絡(luò)器材、執(zhí)行機(jī)構(gòu)、檢測(cè)探頭和各種控制器等控制組件。

就系統(tǒng)的安全性而言，其中的設(shè)備選型、控制功能、控制邏輯設(shè)計(jì)、硬件可靠性、控制精確度、執(zhí)行效果的檢測(cè)反饋的準(zhǔn)確度和及時(shí)性、各個(gè)監(jiān)控軟件的可靠性和對(duì)報(bào)警信息的正確處置能力及其與監(jiān)控人員的互動(dòng)安全控制設(shè)計(jì)、容錯(cuò)能力和防入侵能力，都將對(duì)一座油庫(kù)的持續(xù)安全穩(wěn)定運(yùn)營(yíng)帶來(lái)直接的或間接的影響。這些因素的好與壞，都直接跟油庫(kù)的工藝流程設(shè)計(jì)、操作流程的優(yōu)化設(shè)計(jì)、控制系統(tǒng)的容錯(cuò)設(shè)計(jì)、設(shè)備選型、安裝調(diào)試、操作培訓(xùn)、重大作業(yè)審批流程設(shè)計(jì)和實(shí)際執(zhí)行過(guò)程管控、系統(tǒng)的控制邏輯設(shè)計(jì)的合理性和實(shí)現(xiàn)程度、機(jī)房環(huán)境保障度、運(yùn)行過(guò)程中的系統(tǒng)運(yùn)維保障服務(wù)的實(shí)際到位程度等，有著密切的關(guān)系。

由此可見(jiàn)，要做到一座油庫(kù)的長(zhǎng)期穩(wěn)定安全的運(yùn)行，必須做到：

（1）在建設(shè)前期，政府和行業(yè)監(jiān)管部門必須制定出科學(xué)合理的產(chǎn)業(yè)政策、地區(qū)發(fā)展規(guī)劃、技術(shù)標(biāo)準(zhǔn)規(guī)范和項(xiàng)目審批流程，杜絕不具備資質(zhì)的企業(yè)野蠻發(fā)展和不規(guī)范運(yùn)營(yíng)油庫(kù)設(shè)施。

（2）建設(shè)期，在設(shè)計(jì)環(huán)節(jié)必須嚴(yán)格遵守執(zhí)行國(guó)家和行業(yè)的技術(shù)標(biāo)準(zhǔn)規(guī)范，確保流程設(shè)計(jì)和控制邏輯設(shè)計(jì)以及安全保障設(shè)計(jì)的正確、合理，其中還包括信息安全設(shè)計(jì)；在實(shí)施環(huán)節(jié)，必須嚴(yán)把設(shè)備選型和采購(gòu)進(jìn)貨這一關(guān)，選用行業(yè)內(nèi)技術(shù)實(shí)力強(qiáng)、工程經(jīng)驗(yàn)豐富、口碑好的施工承包商、供貨商、集成商、工程監(jiān)理和專業(yè)服務(wù)商，確保整個(gè)系統(tǒng)的各個(gè)環(huán)節(jié)都嚴(yán)格按照設(shè)計(jì)高質(zhì)量實(shí)施到位并完成系統(tǒng)綜合聯(lián)合調(diào)試和正規(guī)的工程驗(yàn)收。

（3）在運(yùn)營(yíng)期，要持續(xù)做好上崗人員的操作技能培訓(xùn)和關(guān)鍵崗位的資質(zhì)考核認(rèn)證，選擇有技術(shù)實(shí)力、服務(wù)意識(shí)強(qiáng)的運(yùn)維支持服務(wù)商，必要時(shí)與本工程原集成商簽訂長(zhǎng)期的有償維保支持服務(wù)合同，固化運(yùn)維服務(wù)渠道和商務(wù)模式；利用物聯(lián)網(wǎng)和大數(shù)據(jù)技術(shù)及時(shí)建立起針對(duì)油庫(kù)生產(chǎn)系統(tǒng)和關(guān)鍵設(shè)備的實(shí)時(shí)運(yùn)行狀態(tài)監(jiān)測(cè)預(yù)警平臺(tái)；利用人工智能、數(shù)據(jù)庫(kù)和三維建模等技術(shù)做好各種安全預(yù)案和智能化應(yīng)急處置指揮工作，組織員工結(jié)合預(yù)案做好事故演練和應(yīng)急培訓(xùn)。

（4）在運(yùn)行一段時(shí)間后，要對(duì)油庫(kù)系統(tǒng)進(jìn)行一次安全性后評(píng)價(jià)，總結(jié)經(jīng)驗(yàn)，完善操作規(guī)程和調(diào)度管理審批流程，優(yōu)化崗位設(shè)置，強(qiáng)化培訓(xùn)，及時(shí)查堵系統(tǒng)安全漏洞。其中，油庫(kù)的工藝流程設(shè)計(jì)、設(shè)備選型、控制邏輯設(shè)計(jì)（含連鎖聯(lián)動(dòng)）、通訊網(wǎng)絡(luò)安全設(shè)計(jì)、工程實(shí)施和系統(tǒng)集成、技術(shù)培訓(xùn)和運(yùn)維保障服務(wù)，都是與系統(tǒng)安全密切相關(guān)的關(guān)鍵性環(huán)節(jié)，對(duì)此切不可有任何松懈或疏忽。

總之，應(yīng)該嚴(yán)格按照STAMP模型的要求，站在系統(tǒng)的高度，從政策、法規(guī)、技術(shù)標(biāo)準(zhǔn)規(guī)范、設(shè)計(jì)、施工、培訓(xùn)、運(yùn)營(yíng)管理、操作、安全管理、信息安全和運(yùn)維保障及內(nèi)部的管控審批制度等多個(gè)方面深入、細(xì)致地跟蹤、分析系統(tǒng)中存在的不完善、不協(xié)調(diào)和在一定條件下有可能形成決策監(jiān)管開環(huán)斷鏈甚至因累計(jì)交互作用而引發(fā)事故轉(zhuǎn)化的地方，通過(guò)日常的安全監(jiān)管和制度性的安全審計(jì)或系統(tǒng)安全后評(píng)價(jià)，及時(shí)消除或減弱系統(tǒng)安全風(fēng)險(xiǎn)，達(dá)到通過(guò)嚴(yán)細(xì)系統(tǒng)的安全分析、預(yù)警和防控使事故累積轉(zhuǎn)化的過(guò)程得以及時(shí)中斷的目的。

對(duì)于油庫(kù)系統(tǒng)的STAMP模型應(yīng)用分析可能需要考慮的影響要素，包括項(xiàng)目前期規(guī)劃、實(shí)施、運(yùn)營(yíng)和安全審計(jì)與安全后評(píng)價(jià)各階段中各方面的影響因素、危害表現(xiàn)與對(duì)策措施等。

5 結(jié)束語(yǔ)

油庫(kù)是支持和保障國(guó)家經(jīng)濟(jì)平穩(wěn)安全運(yùn)行的重要基礎(chǔ)設(shè)施，確保其持久穩(wěn)定安全運(yùn)行，是每一個(gè)油庫(kù)企業(yè)管理團(tuán)隊(duì)的終極目標(biāo)所在。

[1]陽(yáng)小華，劉杰等.STAMP模型及其在核電廠DCS安全分析中的應(yīng)用展望[J].核安全，2013.12（3）：42－48.

[2]Leveson N.A New Accident Model for Engineering Safer Systems[J].Safety Science，2004，42（4）：237－270.

[3]KAZARAS K，KIRYTOPOULOS K，RENTIZELAS A.Introducing the STAMP Method in Road Tunnel Safety Assessment[J].Safety Science，2012，50（9）：1806－1817.