工艺安全数字孪生与生产孪生体的区别

《Process Safety and Environmental Protection》：How a digital twin for process safety will differ from a production twin

　　

摘要

为缓解复杂性，数字孪生（DT）已从一种概念迅速发展为在各类工业中广泛推广的制造支持技术，包括过程工业。文献提供了大量数字孪生在制造领域应用的示例，用于监控过程资产的运行并提供异常信息。因此，它对于生产优化和培训操作员控制异常状况非常有益。然而，安全至关重要，但在何种条件下可以信任数字孪生为安全关键决策提供依据，至今仍缺乏明确界定。目前没有结构化论述来说明具备安全资质的数字孪生与先进的过程安全控制仪表板有何区别。本文认为，填补这一缺口的安全孪生需要五种功能类型的孪生来承担其主要安全角色。此外，在部署并授予其自主权之前，需要验证证据，以及它们所承担的治理义务。该类型学被映射到过程安全管理（PSM）的七个要素上。为实现这一目标，本文提出了一种六层参考架构，涵盖物理数据采集、过程建模与工厂退化、预测分析与故障诊断、动态风险评估与安全智能、以人为中心的决策支持以及治理，并结合以功能安全实践为基础的分级验证层级。最后，两个可复现的Python案例演示为该框架提供了实证基础：1）针对模拟连续蒸馏单元的多变量异常检测，在8分钟内检测到冷凝器突发故障，并以每天一次误报率的水平，在具有操作意义的时间范围内检测到两个正在发展的故障；2）针对加压烃反应器的数字化Bow-Tie模型，其中屏障健康退化在55个月内使顶层事件可能性代理值提高了21.2%，并通过敏感性分析确定了单一最重要的风险关键屏障。本文以对数据依赖性、不确定性沟通和演示与部署之间组织差距的批判性审视作为结尾。

引言

过程工业中的重大事故仍在持续发生。除未识别的危害因素（特别是在启动阶段）以及人和组织失效外，这些事故往往源于安全屏障退化、未察觉的过程漂移和基于已不再反映装置真实状态的信息所做出的决策相结合，例如低估临时修理的失效风险。事后调查反复表明，中断事故链所需的证据确实存在于设施中，分散在历史数据记录、检查结果、功能验证测试日志和操作员观察记录中，但从未被整合为连贯的、当前的风险图景（Kletz和Amyotte, 2019, Pasman, 2015）。传统过程安全管理的工具，包括危险与可操作性研究、保护层分析和定量风险评估，以数月甚至数年的间隔进行，它们产生的风险图景在被记录的那一刻就开始过时（Khan等, 2015）。

数字孪生技术承诺弥补的正是这一缺口。按照Grieves和Vickers（2016）引入并在后续综述中得到巩固的概念（Rasheed等, 2020, Singh等, 2024, Tao等, 2018），数字孪生维持一个与实时运行数据同步的物理资产虚拟表征，因此能够回答有关系统当前和预期状态的问题，而非仅回答最后一次正式评审时的状态。在过程工业中，该概念已被应用于工厂监控、控制优化、预测性维护和操作员培训（Pal等, 2025, Perno等, 2020, Peterson等, 2025），越来越多的研究涉及安全相关功能，如故障诊断、动态风险评估和应急模拟（Agnusdei等, 2021, Keprate和Bagalkot, 2022, Zio和Miqueles, 2024）。

然而，承诺已超越了规范。一个其输出影响作业许可授权、检查延期或应急响应决策的数字孪生，在安全决策链中占据着与安全仪表功能相当的位置，但它通常的开发、验证和治理并不遵循任何公认标准。文献没有为过程安全工程师在依赖此类系统前必须回答的三个问题提供结构化答案：该孪生的可靠性和可信度属于何种安全功能类别；在其输出被信任用于该功能之前，应存在何种验证证据；以及由该信任产生了何种治理义务。在缺乏答案的情况下，组织要么过度信任技术上令人印象深刻但未经安全用途验证的系统，要么拒绝部署能够带来真正风险降低的系统。

本文开发了一个回答上述三个问题的框架，并通过计算手段展示了其分析内容。本文做出三项贡献。首先，提出一种功能类型学，按照主要安全功能将过程安全数字孪生分为五类，并为每种类型指定所需的验证等级、可接受的自主权边界和治理层级。该类型学被映射到过程安全管理（PSM）的七个核心要素上，使从业者能够在现有管理系统中定位每种孪生类型。其次，为安全关键数字孪生指定了六层参考架构，涵盖从现场仪表到治理的完整链条，并以基于IEC 61508和IEC 61511功能安全实践理念的分级验证层级作为补充（Commission, 2003, Leander等, 2019）。第三，两个可复现的计算演示——一个在异常检测层级，另一个在风险与屏障层级——表明该框架描述的分析能力用当前方法是可实现的，同时也暴露了任何诚实的部署评估必须面对的数据质量和不确定性约束。

本文其余部分组织如下。第2节回顾相关文献并提炼出该框架所针对的研究缺口。第3节概述构建框架的方法。第4节提出功能类型学及其PSM映射。第5节开发六层参考架构和验证层级。第6节报告两个计算演示。第7节讨论实施约束和研究需求，第8节总结。本文是作者为《Lees的过程工业损失预防》第五版撰写的综合性章节的概要；该章节提供了更详细的论述、两个额外的演示和一个实用的八步部署指南。

章节摘要

相关工作与研究缺口

过程工业中数字孪生的研究已沿着多个与安全感相关但很少专为安全设计的方向扩展。本节从主题角度综合该领域的研究成果，并确定促使第4节"过程安全数字孪生功能类型学"和第5节"六层参考架构与分级验证层级"框架开发的具体缺口。综述的范围包括广义的过程工业，涵盖化工、

框架开发方法

该框架的构建分为三个阶段。第一阶段，对过程工业及相关安全关键领域的数字孪生文献进行了结构化综述，分为八个主题（概念基础；架构与数据集成；验证与可信度；动态风险评估；监控与故障诊断；控制与决策支持；操作员培训与人为因素；以及应急管理）。该综述的综合

过程安全数字孪生功能类型学

本文提出的类型学按照数字孪生执行的安全功能而非其所采用的技术对其进行分类。共识别出五种类型。它们不是成熟度阶段，也不互斥；一个设施可能同时运行多种类型，每种服务于不同用户并支持不同决策。区分各类型的标准是错误的后果：随着孪生输出更接近安全关键行动，

六层参考架构与分级验证层级

已发布的孪生实现在范围和设计结构上差异过大，其安全相关特性无法进行比较（Azangoo等, 2022, Hu等, 2021, Qamsane等, 2022）。参考架构通过命名构成完整安全关键孪生（包含五种分孪生类型）的六层功能信息处理层来解决这一问题。对于每一层，它规定了向上层交付的输出和该层的验证义务

计算演示

两个演示均用Python实现，采用固定随机种子并以可复现脚本形式发布，为该框架提供了可执行形式的基础。演示A通过模拟连续蒸馏单元的多变量异常检测，验证了架构中I类层级和第1、3、4层。演示B通过数字化Bow-Tie模型验证了II类层级和第4层，其中屏障健康评分在五年期内演变。这些演示是说明性的

罕见性问题与学习正常性的局限

过程安全所定义的事件几乎是运营数据中所不包含的。一个从历史数据记录中学习正常性的模型，能够高保真地学习装置正常运行的统计数据；但它无法获得其存在意义——所检测的前兆特征——的直接知识。第6节的演示通过注入具有已知发生时间的故障规避了这一问题，而这恰恰是关键所在：对于实际部署，验证数据集必须通过故障注入来制造

结论

本文提出了一个结构化框架，其目的是过程安全而非生产性能，同时提供了计算证据表明其中低层和中层可以使用当前方法实现。功能类型学按照执行的安全功能将安全孪生分为五类，并为每种类型附加了信任该功能所要求的验证证据、自主权边界和治理义务。六层参考

补充材料

两个演示的Python实现，包括模拟、故障注入、监控和图表生成代码，可在附录文件中获取。

CRediT作者贡献声明

Kamran Gholamizadeh：撰写——原稿、软件、方法学、概念构思。Ming Yang：撰写——审阅与编辑。Stewart W. Behie：撰写——审阅与编辑。Hans J. Pasman：撰写——审阅与编辑、监督、概念构思。

利益冲突声明

作者声明不存在已知的竞争性财务利益或个人关系，这些可能被认为影响了本文所报告的工作。

致谢

本文是作者为《Lees的过程工业损失预防》第五版（Elsevier出版社）撰写的章节的概要。

Kamran Gholamizadeh|Stewart W. Behie|Hans J. Pasman|Ming Yang