基于FRAM的天津港“8.12”事故致因分析

樊运晓教授 李冰怡，2 云霞皓月

（1.中国地质大学（北京） 工程技术学院，北京 100083；2.北京林业大学 实验室管理处，北京100083）

0 引言

2015年发生的天津港“8.12”火灾爆炸事故共造成165人遇难，8人失踪，798人受伤住院治疗，该起事故被认定为特别重大生产安全责任事故[1]，在国内外产生了巨大影响，也引发了众多学者的广泛关注[2-7]。黄平等从爆炸物质和管理缺陷方面对事故进行了分析[4]；傅贵等基于事故发生的过程，从触发事件、不安全动作和组织因素分析了事故致因[8]；鲁征等应用事故致因“2-4”模型从不安全动作、习惯性行为、体系原因、文化原因和外部原因5个层面对事故致因进行探究[9]；吴超等构建了“基于信息流的事故致因模型”，并应用此模型对“8.12”火灾爆炸事故进行了实证分析[10]。事故带给人类唯一的益处就在于它提供了事故学习的机会；事故学习得越深刻，则学习所获对未来事故预防则越有效。尽管学者从不同的视角对事故致因进行了分析，但这些事故致因分析基于系统机构分解及因果理论，其出发点多停留在系统要素的层面，探究系统要素错误的原因以及尽可能减少其负面结果的措施，属于安全Ⅰ范畴。2014年，丹麦学者Hollnagel提出了事故分析“从安全Ⅰ到安全Ⅱ”的新见解，安全Ⅱ强调系统要素的功能，主要探究实现系统功能正确的路径以及尽可能提升功能成功的结果[11]。基于此，本文拟从安全Ⅱ视角，应用FRAM方法分析“8.12”火灾爆炸事故系统，以期辨识更为深刻的事故致因。

辐射环境监测工作的开展，需要工作人员积极的参与到其中，其监测水平以及综合素质，在很大程度上影响着监测质量。在这种情况下，我们就要采取一系列有效措施，做好对监测人员的教育培训工作，促进其监测水平以及综合素质的提升，更好的参与到接下来的监测工作当中。与此同时，我们还要积极的引进更加先进的环境监测仪器设备，在切实提高辐射环境监测能力的同时，确保最终的监测质量。

1 功能共振分析方法

事故可以看作是一个或多个屏障失效的结果，只有当它被准确描述和真正理解之后，事故才有可能被有效预防[12]，为了确切表达失效的屏障，Hollnagel提出了用输入、输出、前提、资源、控制和时间6个维度表征系统要素的功能，如图1，并基于此建立了功能共振事故致因模型（Functional Resonance Accident Model，FRAM）[13]。与传统的事故致因模型不同，该模型关注的是系统要素的功能而不是要素本身；对于某一因素来说，系统内其他因素可视为这一因素的运行环境；系统内的因素通常并非绝对稳定，常存在正常的波动。尽管某一个因素性能波动可能是正常的，但运行环境的性能波动是由很多因素的性能波动共同组成的，呈现出无规则状态。如同物理学中的共振现象，当运行环境的性能无规则波动附加到某一因素正常波动的性能时，就会引起系统功能的共振，加剧要素功能的波动，耦合结果导致重大的事故发生。FRAM既可分析已发生的事故，也可探究系统功能的设置阻止未来事故的发生[14]，其分析方法主要包括系统边界的确定、系统要素的功能描述、要素功能变化及耦合分析[11-15]等，一般建模过程，如图2。

图1 功能的六角形表示方法Fig.1 A hexagon representing a function

图2 FRAM建模一般过程Fig.2 The general process of FRAM modeling

2 生产系统要素识别及功能描述

为了阻止和减少生产安全事故的发生，我国《安全生产法》根据安全生产的实际情况和国家安全生产监督管理体制的调整，确定有关安全生产监督管理的基本制度和要求[16]，明确了生产安全职能的划分。《安全生产法》是我国安全生产领域法制化建设的重要依据[17]，基于此本文以《天津港“8.12”瑞海公司危险品仓库特别重大火灾爆炸事故调查报告》[1]为基础数据，依据《安全生产法》确定生产系统功能要素并辨识其功能。

国家要尽快制定一些相关的法律法规，为低碳经济的发展构建一个积极、完善、客观的外部环境，替低碳营销模式提供良好的氛围。现今，世界各国都在相继制定、出台与低碳经济相关的法律、法规。例如美国制定的《低碳经济法案》、英国出台的《可再生能源义务》、丹麦的绿色能源的发展模式和意大利的“白色证书”“绿色证书”、能源计划等等。我国也应该着手这方面立法的研究。在制定相关的法律法规时，添加应对气候变化的相关条款，在规划、批报项目和战略环评的规则中增加气候影响评价的规定，逐渐建立健全应对气候变化的体系。

“F1生产经营单位”共包含8项功能连接，要素上游和下游功能之间发生多项失效（表2中浅灰色部分为F1元素上游连接，白色部分为其下游连接）。如前所述，当F6对F1及其下游功能F2和F4的控制削弱了企业对其风险的自主管理时，作为F1的下游，F4不可能从根本上实现F4（O）-F1（C）输出-控制功能。“F3第三方服务机构”是介于政府和企业之间的组织，该组织应是具备专业胜任力的独立的机构，但图4中F3除了具备“依照法律、行政法规和执业准则”条件之外，并没有机构对其专业胜任力和机构独立性进行有效的控制， F6（O）-F3（C）间缺少合理的控制。正是由于此项功能的缺失，才会导致F3（O）-F1（R）输出-资源连线的不可靠。 F3对F1提供服务功能，由于安评和环评报告只是F1启动的资源条件，属于强制而并非F1实施风险管控中自愿的真正需求，因而没有机构或个人关注F3服务的可靠性，F3难以成为真正意义上的独立机构。由于F6对F3缺少根本性控制，F1和F3常常为各自利益形成合谋，失去了安全评价对企业风险控制的作用。由此看来，提升第三方机构专业能力和机构独立性也是今后事故预防的关键策略。

对于“F6安监部门”，由图4可知，F6共包含6条功能连接，其中5条为输出连接。当输出连接功能较多时，一旦该功能发生变化而不能保证有效的输出，则会对下游功能产生较大影响。依据《安全生产法》，F6对“F1生产经营单位”、“F2安全设备、工艺”和F4“安全生产管理机构及人员”均有输出-控制功能。F2和F4为F1的下游功能，F1是生产安全的主体，应保证其下游功能的正确实施，但现有监管功能通过F1合规实现，降低了企业自主管理的动力，致使F1依赖政府监管部门检查而失去主动风险管理的动力，其结果必然导致F1（O）-F2（C）和F1（O）-F5（C）的输出-控制流于形式。而对于F6，随着生产系统复杂性的增加，“F6（O）-F2（C）”输出-控制的技术难度也日益提高，没有哪个企业比自己更了解其生产的实际情况，F6作为监管部门，很难从专业技术角度实现“F6（O）-F2（C）”的有效控制。因此，改善现有监管模式，提升企业自主管理是未来事故预防首要策略。

道路路面施工的质量控制，必须对其摊铺施工温度做好实时把控，在公路施工前对相应沥青混凝土做加热至施工要求设置，使混凝土活性充分得以体现。注重其温度过低，便会影响沥青压实度和黏结度，引发沥青液情况出现；而温度过高便会引发施工设备部件溶解，严重损害设备质量。

图3 生产系统功能图Fig.3 Production system function diagram

3 “8.12”事故系统要素功能变化及其耦合分析

当系统要素功能存在较多变化或者某一要素同时具有多项输入或多项输出时，不期望连接、失效连接或缺失连接则可能产生功能共振作用，从而产生巨大影响并导致系统失效。由图4事故系统功能图可以看出，系统要素间功能连接共计17项，发生变化的连接有9项（用“×”表示）；其中： “F1生产经营单位”、“F3第三方服务机构”、 “F6安监部门” 和“F7法规、标准”要素功能在事故系统中发生多项变化（图4中用灰色表示，F7要素本文暂不做分析）。表2给出元素功能失效连接、缺失连接清单，其中深灰色部分为缺失连接。从系统角度，各要素间功能失效和缺失的耦合结果导致事故的发生。

表1 生产系统功能要素及出处条款Tab.1 Production system functional elements and provenance clauses

不同类型要素的变化表征并不相同，技术类型的功能由不同类型的机械设备和工艺流程实现，机械设备和工艺流程随行业、生产的不同而不同；人员类型的功能是由个体或集体行为完成；组织功能则是指由一群人或多群人通过组织而实现的活动[13]。功能变化是指要素实际完成的功能与设定功能之间的差异，通常由完成的精确程度和时机两种方式表达，功能变化可能成为导致事故的致因，多变化的耦合则会引发系统功能共振，导致重大事故的发生。结合生产系统各要素，依据事故调查报告，辨识各要素功能变化并列于表1中第四、五两栏；构建“8.12”事故系统要素功能图，如图4，其中带有“×”的连线表明事故系统在实际生产中要素功能与设定功能间发生变化。

图4 “8.12”事故系统功能图Fig.4 '8.12' accident system function diagram

表2 “8.12”事故系统元素功能失效/缺失连接清单Tab.2 '8.12' failure/missing connection list of accident system elements

针对每一要素，依据2014年《安全生产法》，分别辨识输入、输出、前提、资源、控制和时间得到并依据功能六角模型确定各要素功能，构建基于我国《安全生产法》的生产系统功能图，如图3。

天津港“8.12”火灾爆炸事故在国内外产生重大影响，为了有效地挖掘事故深层次致因，本文基于安全Ⅱ理念，应用FRAM模型，依据《安全生产法》构建了我国生产系统要素功能图，并依据事故调查报告构建了“8.12”火灾爆炸事故系统要素功能图，辨识了事故系统中各要素功能的变化，得出如下研究结论：

对照《安全生产法》知识结构框架[17]，依据人员、组织和技术理论（TMOT）[14]对生产系统功能要素进行提炼，确定生产系统正常运行所涉及的要素为“生产经营单位”、“安监部门”、“第三方服务机构”、“法规、标准”、“安全设备、工艺”、“监察人员”、“安全生产管理机构及人员”、“从业人员”，要素名称、类型及判定依据，见表1第一、二和三栏。例如，根据《安全生产法》第一章第九条规定：“安全生产监督管理部门和对有关行业、领域的安全生产工作实施监督管理的部门，统称负有安全生产监督管理职责的部门”，可提炼出生产系统要素为“安监部门”，其类型为“组织”。

4 结论

另外需要说明的是：F6对F1的控制在日常实践中常常通过“F8监察人员”来实现，监察人员的专业技术与能力影响着其输出功能的效果，但图4中F6和F8之间缺少“F6（O）-F8（C）” 的必要连接（图4中用虚线表示），无法保证监察人员对生产经营单位监察绩效，这就是为什么实践中安监执法人员总是查制度记录却不愿查设备或工艺的原因，因此监管队伍专业化，培养专业型专家型监管人才是预防未来事故的一个重要策略。

（1）基于系统的视角，构建了涉及技术、人员和组织属性的生产系统，系统功能要素共计8个，要素功能共计19项，现有系统中存在 “F6（O）-F3（C）”和“F6（O）-F8（C）” 两项功能连接缺失，说明提升监管队伍专业化和第三方机构独立性应是未来事故预防策略。

（2）在“8.12”火灾爆炸事故系统中，要素功能连接失效的共计9项，功能连接缺失的计2项，这些失效功能的耦合结果是导致该事故的根本原因。

6）对土方质量进行检测。无论是在土方填筑还是其他施工过程当中，都需要将质量检测工作做好。在土方施工之前，需要将施工过程中所需要的各项准备工作做好，并且符合照相关施工规定要求，同时在施工结束后还需要进行检查，严格把控作业质量。在施工过程当中，各相关单位应该重视对施工所用材料的抽查，保证施工不会因为材料而出现质量问题。除此之外，对于施工时的工程高度以及位置，也需要按照国家相关标准来进行检验。

（3）事故系统中F1、F3和F6要素功能变化大，如何改善政府-企业-中介三方结构在生产系统中的作用与关系，促进企业自主管理是未来事故预防的关键。