基于事件樹連鎖故障推演和證據(jù)推理的制氫站設(shè)備風(fēng)險(xiǎn)評(píng)價(jià)

劉玉成，楊源，胡宇浩，李雨航，趙子泰，馬志勇，董玉亮*

（1.中國(guó)大唐集團(tuán)有限公司，北京市 西城區(qū) 100033；2.華北電力大學(xué)能源動(dòng)力與機(jī)械工程學(xué)院，北京市 昌平區(qū) 102206）

0 引言

在未來一段時(shí)間，燃煤電站仍然是我國(guó)新型電力系統(tǒng)的關(guān)鍵支撐[1-5]，其能否安全運(yùn)行將直接影響整個(gè)電力系統(tǒng)的安全。隨著技術(shù)的發(fā)展和運(yùn)行人員素質(zhì)的提高，我國(guó)燃煤電站運(yùn)行安全水平得到了極大的提升，實(shí)現(xiàn)了機(jī)組的長(zhǎng)周期安全穩(wěn)定運(yùn)行。然而，燃煤電站的安全性不僅僅是正常情況下的安全運(yùn)行，還應(yīng)包括特殊情況(比如遭受人、車、低空飛行器、漂浮物和投擲物等外部攻擊)下的安全運(yùn)行，對(duì)于存在較大不穩(wěn)定社會(huì)因素的西部地區(qū)，后者尤為重要。

燃煤電站最容易受到外部攻擊的是電站的周界設(shè)備，主要包括制氫站、循環(huán)水系統(tǒng)或空冷系統(tǒng)、煙氣脫硝系統(tǒng)、煙氣脫硫系統(tǒng)、制粉系統(tǒng)、油站、輸煤系統(tǒng)、變壓器、升壓站等。電站周界設(shè)備系統(tǒng)受到外部攻擊后，一方面會(huì)引起自身設(shè)備的停運(yùn)、損壞，甚至?xí)l(fā)生爆炸、有毒氣體擴(kuò)散等危及人身和環(huán)境安全的事故；另一方面也會(huì)通過連鎖故障的方式，將事故傳播到整個(gè)電站，最終殃及電網(wǎng)，造成更嚴(yán)重的后果和損失。在所有電站周界設(shè)備中，制氫站因?yàn)闅錃庖兹肌⒁妆奶攸c(diǎn)，尤其應(yīng)該受到重視。因此，通過開展制氫站設(shè)備遭受外部攻擊的連鎖故障推演和風(fēng)險(xiǎn)評(píng)估，實(shí)現(xiàn)制氫站設(shè)備乃至整個(gè)周界設(shè)備的風(fēng)險(xiǎn)排序，可以為發(fā)電企業(yè)制定針對(duì)外部攻擊的安全防范措施提供重要依據(jù)。

在已有的關(guān)于安全風(fēng)險(xiǎn)評(píng)價(jià)研究中，常見的方法主要有情景構(gòu)建分析[6]、事件樹分析(event tree analysis，ETA)[7-11]、故障樹分析(fault tree analysis，F(xiàn)TA)[12-14]、事故樹-風(fēng)險(xiǎn)矩陣法[15]、證據(jù)理論[16]、蒙特卡洛模擬[17]、貝葉斯網(wǎng)絡(luò)[18-20]等。任建強(qiáng)等[6]將情景構(gòu)建與推演的方法應(yīng)用于新能源電力設(shè)備，實(shí)現(xiàn)了運(yùn)行風(fēng)險(xiǎn)評(píng)估。劉玉良等[7]基于停運(yùn)模型和事件樹理論，開展了電力系統(tǒng)連鎖故障的系統(tǒng)脆弱性分析，確定了系統(tǒng)重點(diǎn)高風(fēng)險(xiǎn)元件。傳統(tǒng)事件樹分析中，基本事件來源于統(tǒng)計(jì)數(shù)據(jù)，事故概率和后果被視為精確值，一旦統(tǒng)計(jì)資料來源不全，就無法評(píng)價(jià)后果事件發(fā)生概率的不確定性。為此，Rasool[8]于1991年最先提出了模糊概率事件樹方法，將模糊集理論引入事件樹概率定量計(jì)算，用于處理風(fēng)險(xiǎn)評(píng)價(jià)中的不精確和不確定性問題。隨后，2009年Ferdous等[9]針對(duì)事件樹定量分析中數(shù)據(jù)不確定性的問題，對(duì)比分析了基于模糊理論和基于證據(jù)理論的定量分析方法，仿真結(jié)果證明，基于模糊的方法適合于處理不精確性和主觀性數(shù)據(jù)，而證據(jù)理論則適用于處理不一致、不完整和沖突的數(shù)據(jù)。Lower等[10]構(gòu)建了航空事故的概率事件樹分析模型，用于航空事故的風(fēng)險(xiǎn)評(píng)價(jià)；Purba等[11]將模糊概率事件樹分析方法應(yīng)用于核電站堆芯損壞頻率計(jì)算。龍丹冰等[12]構(gòu)建了基于熵算法改進(jìn)的故障樹-云模型，并應(yīng)用于建筑運(yùn)維期失效風(fēng)險(xiǎn)的評(píng)估；吳寒梅[13]提出了基于故障樹分析的固定風(fēng)險(xiǎn)與動(dòng)態(tài)風(fēng)險(xiǎn)相結(jié)合的電站設(shè)備風(fēng)險(xiǎn)評(píng)價(jià)方法，并以汽輪機(jī)為例進(jìn)行了實(shí)例分析；宮運(yùn)化等[14]采用動(dòng)態(tài)故障樹實(shí)現(xiàn)了化工系統(tǒng)的動(dòng)態(tài)風(fēng)險(xiǎn)評(píng)價(jià)。張玉濤等[15]提出了事故樹-風(fēng)險(xiǎn)矩陣法，并應(yīng)用于脫硫工藝中毒窒息事故風(fēng)險(xiǎn)評(píng)估。董玉亮等[16]構(gòu)建了基于模糊理論和證據(jù)理論的電站設(shè)備安全評(píng)價(jià)模型，并進(jìn)行了實(shí)例驗(yàn)證。Tian等[17]建立了基于蒙特卡洛仿真的核電站恐怖襲擊風(fēng)險(xiǎn)評(píng)估模型。George等[18]構(gòu)建了基于貝葉斯網(wǎng)絡(luò)的流程工業(yè)安全與安保風(fēng)險(xiǎn)評(píng)估模型，通過更新先驗(yàn)概率實(shí)現(xiàn)了流程工廠的動(dòng)態(tài)風(fēng)險(xiǎn)評(píng)估。Li[19]構(gòu)建了加權(quán)貝葉斯網(wǎng)絡(luò)模型，并應(yīng)用于恐怖襲擊后果評(píng)價(jià)。Zhao等[20]則建立基于動(dòng)態(tài)貝葉斯網(wǎng)絡(luò)和概率安全評(píng)價(jià)的核電站故障源快速預(yù)測(cè)模型，并進(jìn)行了實(shí)例驗(yàn)證。

目前針對(duì)電站的安全風(fēng)險(xiǎn)評(píng)價(jià)模型多數(shù)是正常運(yùn)行情況下的設(shè)備安全風(fēng)險(xiǎn)等級(jí)評(píng)價(jià)[21-22]，專門研究外部攻擊下電站安全風(fēng)險(xiǎn)問題尚未見諸文獻(xiàn)報(bào)道。同時(shí)，現(xiàn)有故障樹、貝葉斯網(wǎng)絡(luò)分析方法難以探索發(fā)電站設(shè)備事故發(fā)生和演化的復(fù)雜機(jī)理；難以分析直接及后續(xù)的次生衍生事件危害嚴(yán)重程度；難以從影響電站設(shè)備運(yùn)行因素和電站設(shè)備故障導(dǎo)致的后果進(jìn)行推演分析。而事件樹分析方法可以很好地解決上述問題，因此本文針對(duì)制氫站設(shè)備受到外部攻擊所產(chǎn)生故障的不確定性和連鎖性，采用事件樹分析方法來實(shí)現(xiàn)連鎖故障推演，進(jìn)而得到外部攻擊引起的各后果事件及其發(fā)生概率。在此基礎(chǔ)上建立風(fēng)險(xiǎn)評(píng)價(jià)指標(biāo)體系，并采用模糊理論將連鎖故障后果量化，最后引入證據(jù)推理的方法處理風(fēng)險(xiǎn)評(píng)價(jià)過程中的不精確性、隨機(jī)性和不完整性問題，實(shí)現(xiàn)制氫站設(shè)備乃至整個(gè)電站周界設(shè)備遭受外部攻擊的風(fēng)險(xiǎn)評(píng)價(jià)和風(fēng)險(xiǎn)排序。

1 基于事件樹的連鎖故障推演

事件樹分析法是安全系統(tǒng)工程中常用的一種歸納推理分析方法，起源于決策樹分析(decision tree analysis，DTA)，它是一種按事故發(fā)展的時(shí)間順序由初始事件開始推論可能的后果，從而進(jìn)行危險(xiǎn)源辨識(shí)的方法。

以制氫站為例，按照工作流程和電站故障仿真結(jié)果繪制的事件樹如圖1所示。由圖1可以看出，制氫站遭受外部攻擊發(fā)生連鎖故障后，根據(jù)不同的推演路徑，最終有氫氣泄露擴(kuò)散，氫氣泄漏擴(kuò)散遇明火發(fā)生火災(zāi)，氫氣泄漏擴(kuò)散遇明火發(fā)生爆炸3類主要后果。

圖1 制氫站及供氫系統(tǒng)連鎖故障推演事件樹Fig.1 Event tree for cascading failure deduction of hydrogen production station and hydrogen supply system

考慮到外部攻擊會(huì)具體到某一單個(gè)設(shè)備，為了實(shí)現(xiàn)設(shè)備層面的風(fēng)險(xiǎn)評(píng)估，繪制出連鎖故障推演中的關(guān)鍵設(shè)備(電解槽、氫分離洗滌器、氫氣管道、氫除濕器、儲(chǔ)氫罐)的故障推演事件樹，并根據(jù)領(lǐng)域?qū)＜医?jīng)驗(yàn)給出各中間事件的發(fā)生概率。以電解槽受外部攻擊泄漏事故為例，連鎖故障事件樹如圖2所示。

圖2 電解槽泄漏事件樹Fig.2 Event tree of electrolytic cell leakage

某一設(shè)備第i類后果事件概率計(jì)算公式[23]為

式中：pij為第i類后果事件中第j個(gè)后果事件的發(fā)生概率；xijk為第i類后果事件中第j個(gè)后果事件的第k個(gè)中間事件的發(fā)生概率。

2 設(shè)備風(fēng)險(xiǎn)評(píng)價(jià)指標(biāo)及量化

根據(jù)燃煤電站周界設(shè)備事故案例和專家經(jīng)驗(yàn)，并參考文獻(xiàn)[24-25]確定連鎖故障的后果事件量化評(píng)價(jià)指標(biāo)為人員傷亡、設(shè)備損失、電網(wǎng)影響、環(huán)境影響、經(jīng)濟(jì)損失、恢復(fù)時(shí)間，利用這6個(gè)指標(biāo)對(duì)各設(shè)備遭受外部攻擊引起的后果進(jìn)行風(fēng)險(xiǎn)量化。風(fēng)險(xiǎn)量化標(biāo)準(zhǔn)如表1所示。

表1 風(fēng)險(xiǎn)指數(shù)量化標(biāo)準(zhǔn)Tab.1 Quantitative standard of risk index

某一設(shè)備第j個(gè)風(fēng)險(xiǎn)評(píng)價(jià)指數(shù)計(jì)算公式[21]為

式中rij為第i類后果事件對(duì)應(yīng)的第j個(gè)風(fēng)險(xiǎn)評(píng)價(jià)指數(shù)量化值。

考慮到風(fēng)險(xiǎn)評(píng)價(jià)指數(shù)進(jìn)行評(píng)價(jià)的不精確性和不確定性，風(fēng)險(xiǎn)評(píng)價(jià)前進(jìn)行模糊化處理，采用梯形隸屬函數(shù)進(jìn)行轉(zhuǎn)化[26]，該隸屬函數(shù)根據(jù)領(lǐng)域?qū)＜医?jīng)驗(yàn)獲得。風(fēng)險(xiǎn)指數(shù)模糊化隸屬關(guān)系如圖3所示。

圖3 風(fēng)險(xiǎn)指數(shù)模糊化隸屬關(guān)系圖Fig.3 Fuzzy membership diagram of risk index

3 基于證據(jù)推理的電站周界設(shè)備風(fēng)險(xiǎn)評(píng)價(jià)模型

典型的基于證據(jù)推理的風(fēng)險(xiǎn)評(píng)價(jià)分析模型如圖4所示[27]。

圖4 典型的決策樹評(píng)價(jià)分析模型Fig.4 Typical decision tree evaluation and analysis model

在評(píng)價(jià)分析模型中，評(píng)價(jià)等級(jí)Sn可看作D-S證據(jù)理論的一個(gè)基本假設(shè)，因素eik可看作一條證據(jù)，基本概率分配可通過信任度獲得，S中的評(píng)價(jià)等級(jí)獨(dú)立且包含所有可能的等級(jí)，這樣鑒別框架可定義為

令M(Sn/eik(α))表示證據(jù)eik支持設(shè)備α風(fēng)險(xiǎn)等級(jí)為Sn這一假設(shè)的基本概率賦值；同時(shí)令β(eik(α))表示決策者考慮對(duì)于設(shè)備α的證據(jù)eik屬性的狀態(tài)為確定的確信度。

如果在因素集Ek中只有一個(gè)因素eik，則m(Sn/eik(α))應(yīng)該等于β(eik(α))；如果在因素集Ek中有多個(gè)因素，則有：

式中λik為Ek中各因素eik的相對(duì)權(quán)重。

在獲得基本概率賦值后，可利用下面的證據(jù)推理算法計(jì)算全局概率分配。

分別按式(5)、(6)定義因素子集eLk(i)(α)和合并概率分配(α)：

則有以下迭代算法。

初始條件：MMnr,1=Mnr,1，MMSr,1=MSr,1。

遞推公式：

可以推出，由因素集Ek(α)確定的，對(duì)C的全局概率分配為MMCr,Lk，且MMCr,Lk=0(C?H，C=Hn和H除外)。這樣，針對(duì)設(shè)備α的全局優(yōu)先度可以按下式計(jì)算：

各因素權(quán)重分配的合理與否直接影響狀態(tài)評(píng)價(jià)結(jié)果的準(zhǔn)確性，目前權(quán)重的確定多單獨(dú)采用主觀或客觀的方法，如德爾菲法、層次分析方法、主成分分析法、復(fù)相關(guān)系數(shù)法、熵方法等。本文利用層次分析法與復(fù)相關(guān)系數(shù)法相結(jié)合并進(jìn)行乘法合成的方法來確定各個(gè)定量指標(biāo)的權(quán)重。將2種賦權(quán)方法得出的權(quán)值，采用線性加權(quán)組合法得出最終的組合權(quán)數(shù)：

式中：bi為第i種方法的權(quán)系數(shù)；wij為第i種方法得出的第j個(gè)指標(biāo)的權(quán)數(shù)。

使用上述方法進(jìn)行各個(gè)指標(biāo)權(quán)重的計(jì)算，本文中的各個(gè)指標(biāo)對(duì)應(yīng)權(quán)重如表2所示。

表2 指標(biāo)權(quán)重Tab.2 Weight of risk indexes

4 火電廠制氫站設(shè)備風(fēng)險(xiǎn)評(píng)價(jià)實(shí)例

以某火電廠制氫站設(shè)備為例進(jìn)行分析。本次評(píng)價(jià)對(duì)制氫站的事故風(fēng)險(xiǎn)以關(guān)鍵設(shè)備為單位進(jìn)行定量評(píng)價(jià)，即對(duì)電解槽、氫除濕器、氫分離洗滌器、儲(chǔ)氫罐、氫氣管道5個(gè)關(guān)鍵設(shè)備進(jìn)行定量風(fēng)險(xiǎn)評(píng)價(jià)，并按照風(fēng)險(xiǎn)度進(jìn)行排序。針對(duì)上述制氫站及供氫系統(tǒng)，根據(jù)連鎖故障推演事件樹，采用式(1)可計(jì)算出各關(guān)鍵設(shè)備遭受外部攻擊后3類后果事件的發(fā)生概率，如表3所示。

表3 制氫站設(shè)備遭受外部攻擊連鎖故障后果事件發(fā)生概率Tab.3 Probability of occurrence of cascading failure consequences from external attack on hydrogen production station equipment

表1中給出了不同連鎖故障后果下風(fēng)險(xiǎn)評(píng)價(jià)指標(biāo)對(duì)應(yīng)的風(fēng)險(xiǎn)指數(shù)取值標(biāo)準(zhǔn)。設(shè)備遭受外部攻擊后果可由表1進(jìn)行量化。仍以電解槽遭受攻擊損壞為例，事故后果定量分析結(jié)果如表4所示。

表4 電解槽連鎖故障后果定量分析結(jié)果Tab.4 Quantitative analysis result of consequences of cascading faults in electrolytic cell

根據(jù)制氫站各關(guān)鍵設(shè)備的連鎖故障后果定量分析結(jié)果，利用式(2)可計(jì)算出設(shè)備不同風(fēng)險(xiǎn)指標(biāo)對(duì)應(yīng)的風(fēng)險(xiǎn)指數(shù)，然后采用圖3 給出的風(fēng)險(xiǎn)指數(shù)模糊隸屬函數(shù)，實(shí)現(xiàn)風(fēng)險(xiǎn)指數(shù)的模糊化。計(jì)算結(jié)果如表5、6所示。

表5 制氫站設(shè)備風(fēng)險(xiǎn)評(píng)價(jià)輸入數(shù)據(jù)Tab.5 Input data for risk assessment of hydrogen production station equipment

表6 制氫站設(shè)備風(fēng)險(xiǎn)評(píng)價(jià)結(jié)果Tab.6 Risk assessment results of hydrogen production station equipment

由以上風(fēng)險(xiǎn)評(píng)價(jià)結(jié)果可知，在制氫站設(shè)備中氫氣儲(chǔ)罐風(fēng)險(xiǎn)度最高，因?yàn)槠鋬?chǔ)存了大量的壓縮氫氣，如若遭受外部攻擊，導(dǎo)致氫氣泄漏，遇明火，將會(huì)發(fā)生重大火災(zāi)甚至爆炸事故，危及電廠工作人員的生命安全及其周邊設(shè)備的正常運(yùn)行，并直接關(guān)系到發(fā)電機(jī)組的冷卻問題，導(dǎo)致停機(jī)，對(duì)電廠和電網(wǎng)的安全穩(wěn)定運(yùn)行造成重大影響。電解槽的風(fēng)險(xiǎn)度較高，因?yàn)槠湓谥茪溥^程中有大量的有害化學(xué)物質(zhì)，如果發(fā)生破壞導(dǎo)致泄漏，會(huì)對(duì)工作人員生命安全及環(huán)境產(chǎn)生嚴(yán)重危害。氫除濕器、氫分離洗滌器及氫氣管道的風(fēng)險(xiǎn)水平依次下降。

根據(jù)評(píng)價(jià)結(jié)果(風(fēng)險(xiǎn)度)，可以將電站周界設(shè)備劃分為3類：高風(fēng)險(xiǎn)設(shè)備、中風(fēng)險(xiǎn)設(shè)備和低風(fēng)險(xiǎn)設(shè)備。表7給出了3類風(fēng)險(xiǎn)等級(jí)周界設(shè)備的列表及相應(yīng)的安全防范措施。利用上面的方法計(jì)算出主要電站周界設(shè)備的風(fēng)險(xiǎn)度，如圖5所示。

表7 電站周界設(shè)備風(fēng)險(xiǎn)分級(jí)及防范措施Tab.7 Risk rating of equipment around the power station and preventive measures

圖5 電站周界設(shè)備風(fēng)險(xiǎn)評(píng)價(jià)結(jié)果Fig.5 Risk assessment results of equipment around the power station

5 結(jié) 論

1）采用事件樹分析方法，建立了制氫站關(guān)鍵設(shè)備的事件樹，通過連鎖故障推演確定出制氫站設(shè)備遭受外部攻擊后的3類主要后果事件分別是氫氣泄漏遇明火發(fā)生爆炸、氫氣泄漏遇明火著火和氫氣泄漏大氣擴(kuò)散，通過概率計(jì)算獲得制氫站各關(guān)鍵設(shè)備的3類后果事件發(fā)生概率。

2）建立了包含人員傷亡、設(shè)備損失、電網(wǎng)影響、環(huán)境影響、經(jīng)濟(jì)損失和恢復(fù)時(shí)間的風(fēng)險(xiǎn)評(píng)價(jià)指標(biāo)體系，利用給出的連鎖故障后果結(jié)合層次分析法與復(fù)相關(guān)系數(shù)法，通過乘法合成確定各個(gè)定量風(fēng)險(xiǎn)評(píng)價(jià)指標(biāo)的權(quán)重。

3）在評(píng)價(jià)指標(biāo)量化的基礎(chǔ)上，利用給出的隸屬度函數(shù)進(jìn)行模糊化，最后采用證據(jù)推理算法計(jì)算出制氫站各關(guān)鍵設(shè)備的風(fēng)險(xiǎn)度，其中儲(chǔ)氫罐和電解槽的風(fēng)險(xiǎn)度分別為0.271和0.161，遠(yuǎn)高于其他3個(gè)設(shè)備的風(fēng)險(xiǎn)度，因而可以作為制定防范措施時(shí)的重點(diǎn)關(guān)注對(duì)象。

4）提出的基于事件樹連鎖故障推演和證據(jù)推理算法的風(fēng)險(xiǎn)評(píng)價(jià)方法可以直接應(yīng)用到整個(gè)燃煤電站的周界設(shè)備，從而實(shí)現(xiàn)全部周界設(shè)備的風(fēng)險(xiǎn)排序，為燃煤電站制定預(yù)防措施提供依據(jù)。