关于将基于风险的维护方法应用于氢燃料制造工厂

《International Journal of Hydrogen Energy》：Toward the application of the Risk-Based Maintenance approach to a hydrogen-fueled manufacturing plant

　　朱莉娅·科利纳（Giulia Collina）|玛尔塔·布切利（Marta Bucelli）|莱昂纳多·莱奥尼（Leonardo Leoni）|洛根·马滕斯（Logan Martens）|亚历山德罗·图格诺利（Alessandro Tugnoli）|尼古拉·帕尔特里尼耶里（Nicola Paltrinieri）

挪威科技大学（NTNU）机械与工业工程系
Richard Birkelands Vei 2B, 7034, 特隆赫姆, 挪威

摘要
基于氢的设备的安全性、可靠性和维护问题，包括基于风险的维护（Risk-Based Maintenance, RBM），最近受到了越来越多的关注。虽然氢在减少难以减排的行业的碳排放方面起着关键作用，但它也引发了一定的安全担忧。然而，两个文献上的空白限制了针对氢技术制定基于风险策略的发展。首先，现有的RBM方法并未考虑到氢特有的组件，如电解槽，这些组件与传统设备有所不同。其次，关于电解槽可靠性的研究大多停留在定性或实验室规模。本研究通过提出一种适用于氢燃料制造设施的改进型RBM方法来填补这些空白。将定性工具（例如FMEA）与概率模型（例如贝叶斯网络）结合使用，能够全面识别危险情景并估计其发生的可能性。

以一个由3兆瓦PEM电解槽供电的玻璃炉为例进行概念性分析，展示了改进型RBM框架在识别高风险组件和优先安排维护工作方面的可行性，从而有可能提高工厂的安全性。

1. 引言
为了实现2050年的减排目标，全球能源行业正在经历重大转变，以应对气候变化[1]。氢在这种转型中起着关键作用，被认为是一种能够减少包括重工业、航运和航空业在内的难以减排行业碳排放的解决方案。许多在制造过程中需要高温的行业表示有兴趣引入氢能源。特别是玻璃、水泥、钢铁和铝行业正在研究用氢替代化石燃料的可能性[1]。

氢的生产是供应链中的一个瓶颈。虽然全球氢供应量正在增加，但对化石燃料的依赖仍然普遍[1]。必须优先发展绿色氢生产：通过利用可再生能源进行水电解来生产氢被认为是一种低排放的替代方案，因此对于实现净零排放目标至关重要。PEM和碱性水电解槽是目前唯一商业化应用于工业的技术[2]，但与依赖化石燃料的生产技术相比，它们仍然更为昂贵且成熟度较低。

除了技术发展方面的挑战外，在不同行业中引入氢能源还会带来特定的安全问题需要解决。氢的密度非常低（0.0899 kg/m3），沸点低（20.4 K），点火能低（0.017 mJ），同时具有广泛的易燃范围（在空气中的浓度为4%至75%[4]）。由于其分子尺寸小，氢可以扩散并使大多数金属材料变脆[5]，从而引发材料老化问题。

由于氢可能导致设备加速故障，甚至引发意外伤害、人员伤亡和财产损失，因此维护规划尤为重要。过去几十年里，维护管理经历了显著的变化和改进，旨在优化工厂的盈利能力，减少停机时间，并提高设备可用性[6]。纠正性维护（Corrective Maintenance, CM）是在故障发生后采取的措施；这种方法多年来被广泛使用，但由于对可靠性的要求不断提高，人们开始转向预防性维护（Preventive Maintenance, PM），即在故障发生之前采取行动。这种方法的最简单形式是基于时间的维护（即根据设备的使用年限进行安排）；无论设备的实际状况如何，都会定期进行维护。为克服这一限制，引入了基于状态的维护（Condition-Based Maintenance, CBM）技术。通过来自传感设备的实时数据持续监控设备状态，并仅在需要时才进行维护活动。基于风险的维护（RBM）和/或基于风险的检查（Risk-Based Inspection, RBI）能够优先安排高风险设备的维护工作[8]，非常适合处理危险物质的行业。

考虑到氢的这些关键特性，后一种管理策略有助于确保氢系统的运行安全和可靠性。最近的研究探讨了在氢基系统中采用基于风险的检查和维护（RBI/M）。相关案例包括在航运行业[9]、加氢站[10]以及玻璃行业[8]的应用。然而，仍存在两个知识空白：首先，目前的RBI/M标准和方法尚未完全适应氢技术的具体需求，特别是在电解槽（绿色氢生产的核心组件）方面[11]。其次，关于电解槽可靠性的研究大多停留在定性或实验室规模的分析，缺乏工业规模上的全面定量风险评估[12]。

因此，本研究旨在开发一种适用于氢系统的基于风险的维护方法，并在一家现场运行的氢燃料玻璃制造工厂中进行验证。通过改进API 580[13]提供的基于风险的检查方法，该方法旨在可移植并适用于多个工业领域，支持氢能源的安全应用。所提出的方法论通过将RBM扩展到氢生产系统，并首次对工业规模的质子交换膜电解槽（PEM）进行了定量安全分析，为相关文献做出了贡献。它还展示了如何利用贝叶斯网络来表示泄漏事件（Loss of Containment, LOCs），进行敏感性分析，并在新数据出现时动态更新风险模型。从实际应用的角度来看，该方法在玻璃行业的应用表明了该框架如何帮助资产管理者根据风险等级优先安排维护工作。通过提供方法论上的进步和操作见解，这项工作为氢技术未来向预测性维护策略的演变奠定了基础。

鉴于现场氢生产系统的新颖性和复杂性[12]，需要进行更深入的初步分析，以确定可用的技术并评估其有效应用方式。现有文献中提供了许多这种维护策略的变体。因此，第2节提供了背景信息，以支持该维护方法的应用，并解释了本研究旨在填补的知识空白。第3节展示了适用于新氢系统的基于风险的维护方法。第4节介绍了用于验证该方法论的玻璃行业案例研究。第5节和第6节分别讨论了研究结果。最后，第7节提供了结论。

2. 背景
本节介绍了本研究的背景。首先，第2.1节简要介绍了RBM方法，然后第2.2节说明了当前研究如何支持在氢系统中采用RBM方法。

2.1. 基于风险的维护
20世纪90年代，基于风险的检查和维护（RBM）结合了维护和安全的概念，作为一种有效提高工厂产能的方法，证明安全和维护可以协同工作。进入21世纪后，这种方法在多个领域得到了越来越多的研究和应用，如陆上化工和石化工业以及海上和能源工业。最成熟的方法是由美国石油学会（API）开发的基于风险的检查（API Risk-Based Inspection[13]）。图1展示了该方法的一般流程图。主要步骤如下，并有相关研究支持。补充材料中的表S.1提供了多年来采用的不同技术的非详尽回顾。

**2.1.1 危险情景识别**：已经开发出多种技术来识别工厂中可能发生的危险事件。危害与操作研究（HAZOP）和故障模式与效应分析（FMEA）是最成熟的方法，用于识别每个组件可能的故障[14,15]。故障树分析（FTA）是一种演绎技术，从危险事件开始，识别可能导致该事件的基本原因组合[16]。最大可信事故情景（MCAS）是另一种系统方法，用于筛选和确定与研究范围最相关的情景[17]。API提供了一份参考设备清单来识别危险情景[18]。

**2.1.2 可能性估计**：这一步骤旨在为每个情景分配发生概率。最常用的定量方法是通过对故障树分析中的所有中间事件赋值来计算最终事件的概率[16]。在可靠性分析中，通常使用威布尔概率分布来建模单一故障[19]。贝叶斯网络也被用于此步骤，以提供更大的灵活性并在出现新证据时进行更新[20]。在API提供的标准中，可能性估计基于历史数据计算的通用故障频率以及考虑各种损坏机制的因素，包括内部和外部减薄、内部和外部应力腐蚀开裂、高温氢攻击、热应力、机械应力和腐蚀疲劳[18]。

**2.1.3 后果分析**：目标是量化选定故障情景对财产、环境和人体的潜在影响。定量分析依赖于数学模型来评估危险物质的释放情况，然后预测爆炸和火灾的特征或人体对不同浓度有毒化学物质的反应[17,21,22]。这些影响有时以金钱损失的形式表示[16,23]。可能性和后果评估阶段可以通过分别分配频率和严重性指数来定性处理[14,24,25]。

**2.1.4 风险评估**：基于后果分析和可能性评估的方法和结果，可以估算风险。许多方法是通过将选定情景的可能性与其相关后果的货币价值相乘来计算风险[16,23]。通常使用风险矩阵作为可视化工具，其中x轴表示影响，y轴表示可能性[22,25]。风险优先级数（RPN）通常用于定性分析[6]，是后果指数和概率的组合。

**2.1.5 风险可接受性**：评估风险后，需要确定一些可接受性标准。文献中提出了一些标准：ALARP（尽可能低）、荷兰接受标准和US EPA接受标准[17]。当风险以货币形式衡量时，其可接受性也会通过经济角度进行评估。

**2.1.6 维护计划**：不符合风险标准的设备应纳入维护计划。当可能性估计的质量允许时，维护计划可以通过逆向分析针对特定的故障概率来制定[17,21]。在其他情况下，标准侧重于成本最小化[24]。并非所有定量分析都会制定详细的维护计划，但风险评估中的一些相关信息仍用于优先安排维护工作[25]。

**2.2. 知识空白和研究目标**
前一节提到的所有研究都将RBM或RBI政策应用于陆上化工和石化行业的案例研究，例如重整反应系统和含酸原油处理工厂。尽管这些贡献证明了基于风险的方法在这些领域中的有效性，但它们依赖于特定行业的假设、退化机制和操作数据。另一方面，新兴的氢系统的挑战不仅在于材料行为和故障模式，还在于引入了新的组件（如燃料电池和电解槽），这些组件的操作经验和可靠性数据仍然有限[11]。最近，有一些研究致力于开发能够考虑氢与材料相互作用的具体RBI方法，评估氢脆化和氢增强疲劳的降解效应[26,27]。尽管有这些改进，API的RBI方法在范围上仍然有限，因为它专门针对石油和天然气行业常见的设备进行定制。因此，该方法无法解决将这一方法应用于包含传统参考文献未涵盖的新组件的氢系统的基本问题。API的RBI标准中未列出氢特有组件的泄漏事件（LOCs）[18]。其他研究将这些维护策略应用于氢系统，但排除了非传统组件：Giannini等人[9]将RBI应用于氢燃料渔船，重点关注存储和管道系统，未包括燃料电池系统；Collina等人[8]将RBM应用于氢燃料玻璃工厂，仅考虑了外部供应系统，因此未包括电解槽系统。这揭示了第一个差距：缺乏一个系统性地整合氢特有组件的基于风险的维护（RBM）框架。因此，在氢技术背景下，有必要退一步，重新考虑整个RBM框架，以识别氢特有组件的故障位置（LOCs）。需要进行适当的调整，以考虑氢系统的独特配置和操作特性。同时，关于电解槽故障和可靠性的文献仍处于早期阶段。Tuhi等人[12]回顾了涉及燃料电池和电解槽的氢行业的故障和可靠性评估分析。他们的研究表明，到目前为止，考虑整个电解槽系统（即包括整个工厂）的出版物都只是定性的，而一些定量分析仅适用于燃料电池[12]。随后，SyRRA实验室发表了关于实验室规模PEM电解槽（功率等级为千瓦级，氢产量为0.1千克/小时）的两项研究，这标志着对电解槽故障机制理解的重要进步。具体来说，Wismer等人[28]对主要故障模式进行了定性分析，为更好地理解系统脆弱性奠定了基础。在此基础上，Al-Douri等人[29]开发了故障树来探索氢释放情景。然而，第二个差距仍然存在：缺乏对工业规模电解槽（系统规模为兆瓦级，通常与氢产量约为10千克/小时相关）的全面定量分析，包括可能形成爆炸性混合物的情景。

表1显示了当前研究与关于RBM和其他电解槽分析的可用研究之间的关系。绝大多数RBM/M研究与其它工业应用相关，而只有三项研究与氢技术（氢RBM/M）相关。然而，其中没有任何一项研究涉及燃料电池和电解槽等新型组件。

表1. 相关的基于风险的维护和电解槽系统故障分析研究
- 行业类型：其他工业 / 氢工业
- 组件类型：新型组件（电解槽、燃料电池）

本研究的目标是通过提出一种专门针对氢生产系统的RBM方法论的调整来解决上述两个差距，以便识别和分配涉及电解槽的可信释放情景的发生概率。这使得可以将电解槽纳入整体风险排名中，从而有效优先考虑维护干预措施。此外，这项工作还提供了工业规模电解槽应用中故障概率和后果评估的数据。本文提出了一种贝叶斯方法，以确保在新数据出现时能够灵活更新方法论，使其适应氢技术的快速发展。

3. 适应性的基于风险的维护方法
整合氢系统需要调整基于风险的维护方法论，以实现更准确和相关的评估。特别是，氢特有组件（如电解槽和燃料电池）不应以与传统设备相同的方式进行处理。虽然管道、阀门、储罐和泵等组件受益于完善的使用数据和标准化的可靠性模型[11]，但氢技术表现出不同的行为，需要一个定制的评估框架。所提出的方法如图2所示，每个步骤描述如下：

步骤0. 系统分析和设备清单：根据所分析的案例研究，定义系统，并调查所有处理危险材料的设备。在这一步中，需要根据信息可用性和LOC事件的发生频率数据来区分哪些设备属于传统单元（如管道、容器、压缩机）以及非传统单元，因为这种区分决定了下一步的两条不同路径。

步骤1. 危险情景识别：此步骤旨在识别LOC，并区分传统设备（步骤1a）和非传统设备（步骤1b）。传统的API RP 581 [18]对连续泄漏和瞬时泄漏的孔径大小进行了分类。另一方面，TNO Purple Book [37]的指南为每种类型的设备提供了 containment 失坏大小的分类。应系统地分析传统设备之外的特定单元（如管道、容器等）。因此，进行定性故障模式和效应分析（FMEA）以构建故障树是必不可少的。通过这种方式，通过组合组件的故障模式来识别LOC事件，这些故障模式随后成为故障树的基本事件。FMEA遵循传统设备LOC定义采用的泄漏分类，以确保一致性。

步骤2. 可能性估计：与LOC事件相关的通用故障频率来自步骤1中用于传统设备的相同参考资料（步骤2a）。在这种对氢技术的方法论初步调整中，排除了时间依赖的降解机制。在API RBI框架[18]中，时间依赖的故障概率贡献通过损伤因子表示。由于用于评估氢应用中损伤因子的方法论尚未完全标准化或验证，因此在本研究中排除了这一参数的考虑，其潜在影响和贡献在讨论部分进行了讨论。为非传统单元开发的故障树被映射到贝叶斯网络中，以估计年故障概率（步骤2b）。与故障树相比，贝叶斯网络是一个更灵活的工具，可以建模非二进制状态和条件概率，确保更高的灵活性。同样，贝叶斯网络为用户提供了在新证据出现时更新工具的可能性，这对于该方法论所适用的系统的新兴性质至关重要。基本事件的概率仍然取自石油和天然气数据库[37,38]。这种方法特别有价值，因为氢系统中实施了监控工具[39]，允许使用操作数据更新模型。使用GeNIe Modeler [40]进行此类分析。这种双重方法确保在统一的风险管理框架内严格评估传统和新型风险。

步骤3. 后果分析：使用商业软件Phast 8.9 [41]进行比API RBI 581方法更详细的后果分析，该软件计算每种设备的损害距离，考虑与每种潜在最终事件相关的阈值水平。空气中的氢浓度等于flammability limit（LFL）时发生闪燃，火的热辐射为12.5千瓦/平方米，爆炸的压力超过0.14巴，这些都是评估致命效应的参考值[42]。建议使用空气中4%体积比的氢LFL值进行评估。尽管文献中报告了氢LFL的可变性，取决于实验和点火条件[43]，但选定的值对应于报告范围的下限，代表了最常引用的参考值[44,45]。采用这个最小值可以确保在风险评估中对危险效应进行保守的估计。

步骤4. 风险评估：为了给每种设备分配一个唯一的值（CAfl），使用每种类型的释放频率（gff,i）和生成最终事件的概率（Pk）来权衡可燃释放的后果，如方程（1），（2）[18]所示。Pk通过事件树分析进行评估，并使用参考文献[47]提出的特定于氢的点火概率模型。相关风险是后果分析（CAfl）的结果与每种设备的所有释放频率之和（gff,tot）的组合计算得出的。（1）CAfl,i=∑k=1 finalevent CAk·Pk （2）CAfl=∑i=1 specific release gff,i·CAfl,i （3）R=gff,tot·CAfl

步骤5. 风险可接受性：根据API 581 [18]定义的风险等级值（即低、中、中高、高），对设备进行排名并分配风险等级值（见表2）。表中显示的数值区间之间的差距对应于过渡区，表示风险等级逐渐从一个类别转移到下一个类别的值。

表2. 风险排名标准
- 风险值 [m2·事件/年]
- 风险等级
<2.8E-03 低
2.8E-02 - 2.8E-01 中
2.8 - 2.8E+01 中高
>2.8E+02 高

步骤6. 评估维护优先级：根据步骤5的排名，定义优先维护活动。具体来说，风险较高的设备应更频繁地进行维护或检查。或者，如果风险等级超过阈值，可以通过重新设计来实现可接受的风险等级。为了进一步支持决策，特别是对于非传统设备，可以对开发的贝叶斯网络（例如通过GeNIe Modeler软件）进行敏感性分析，以识别最关键的子组件，并评估结果对于输入可靠性数据的不确定性的鲁棒性。绿色部分是确保现场氢气生产所必需的。（关于此图例中颜色参考的解释，请参阅文章的网页版本。）

4.2. 电解槽单元
电解系统不仅包括电解槽堆栈，还包括其他提供水以及输送氧气和氢气的组件。整个系统被称为厂区辅助设施（BoP）。Al-Douri 和 Groth [51] 强调了这些系统缺乏公开共享的详细信息，以及正确理解这些系统的挑战，这对于进行定量风险分析（QRA）至关重要。图 4 显示了一个简化的 PEM 电解槽的 P&ID（流程图和仪表图），包括 BoP。系统配置是基于同行评审的文献、主要电解槽制造商提供的公开信息，以及与从事氢能技术的学术界和工业界专家的咨询来定义的。用于定义配置的主要文献来源在补充材料的表 S.2 中报告。文献和工业实践中报告的替代布局也被考虑到了，特别是关于气液分离策略和堆栈配置。虽然一些系统使用单一的水-氢分离器 [50]，但其他系统使用两个分离阶段来降低氢气污染进入氧气回路的风险，并提高操作可靠性 [52]。此外，还根据典型的工业电解槽布局审查了不同的堆栈配置。基于文献证据和专家咨询，本研究采用了具有两个气液分离阶段和多个堆栈的配置。

下载：下载高分辨率图片（360KB）
下载：下载全尺寸图片

图 4. 通用 PEM 电解槽系统的 P&ID。黑线：水功能组；红线：氢功能组；蓝线：氧功能组；绿线：电解槽堆栈功能组。（关于此图例中颜色参考的解释，请参阅文章的网页版本。）

电解槽单元系统中的组件按照 Wismer 等人 [28] 提出的四个功能组进行组织。第一个功能组（FG 1），在图 4 中用黑色表示，是供水和分离；第二个组（FG 2），用红色表示，负责将氢气从电解槽输送到最终用户；第三个组（FG 3），用蓝色表示，负责输送氧气；第四个组（FG 4），用绿色表示，是电解槽堆栈本身。每个功能组的全部设备列表显示在表 3 中。

表 3. 分为功能组的 PEM 电解槽组件列表

- 水功能组
- 氢功能组
- 氧功能组
- 电解槽堆栈功能组

| ID | 组件 | ID | 组件 | ID | 组件 |
|----|-----------------|----|-----------------|----|
| OWS1 | 氧气-水分离器 | HE2 | 散热器 | PO1, PO2 | 管道 |
| | | | | |
| ES1 | 电解槽 | HWS1 | 高压水-氢分离器 | CT1 | 凝结水捕集器 |
| | | | | |
| PS1 | 氢传感器 | PSV2 | 压力安全阀 | HE1 | 干燥器 |
| | | | | |
| HWS2 | 低压水-氢分离器 | HDO1 | 净化器 | PSV2 | |
| | | | | |
| RV1 | 调压阀 | RV1, RV2 | 调节阀 | PH1, PH2, PH3, PH4, PH5, PH6 | |
| PW1 | 管道 | PW2, PW3, PW4, PW5, PW6 | PW7 | |
| F1 | 过滤器 | F2 | 过滤器 | BPR1 | |
| F3 | 滤网 | P1 | 离心泵 | |
| TAHH | 干燥器 | CV1, CV2, CV3 | 止回阀 | |
| | | | | |

水通过管道（PW1）进入系统，并到达氧气-水分离器（OWS1）。然后，它被泵送（PW2, PW3）到电解槽堆栈（ES1），产生氢气和氧气。从阳极侧，氧气-水混合物离开堆栈（PO1）并进入氧气-水分离器（OWS1），后者负责氧气分离和外部输送（PO2）。在进入堆栈之前，流体会被冷却（HE1），以平衡功率损失。阴极侧在更高的压力（30巴）下工作，以优化系统的整体成本 [53]，这要归功于调压阀（BPR1）。从堆栈中，氢气（PH1）进入分离阶段，该阶段分为两个步骤（HWS1 和 HWS2），以增强系统的安全性，尽量减少返回 OWS1（PW7）的氢气量。来自第一个分离器的氢气流（PH3）首先经过散热器（HE2）以降低露点，然后经过净化器（HDO1）和干燥系统（HDR1），最后被输送（PH3）。在两个分离阶段之间，水-氢混合物的压力会降低（RV2）。从低压分离器中，少量氢气会被排放（PH2）。

为了达到 600 Nm3/h 的生产率，考虑了三个 1 兆瓦的电解槽堆栈，每个堆栈都装在专用的容器中。

4.3. 后果分析的假设
由于没有具体的地理位置参考，因此没有特定地点的风力分布（如参考文献 [33] 中采用的），因此定义了一组代表性的环境条件，以确保全面和可靠的评估。根据补充材料中报告的 Pasquill 稳定性类别，选择了三种大气情景：
- Pasquill 类别 F（稳定大气条件），风速低（1.5 米/秒）；
- Pasquill 类别 D（中性大气条件），风速适中（5 米/秒）；
- Pasquill 类别 A（不稳定大气条件），风速低（1.5 米/秒）；
在这些类别中，通常采用风速低的类别 F，因为它在分散分析中通常提供保守的结果 [[54], [55], [56], [57]]。选择类别 D 是因为它代表根据 Pasquill 稳定性分类常见的 atmosferic 条件 [58,59]。

对于类别 F 和 D，考虑了两种环境温湿度条件：-5°C 和 85% 相对湿度，以及 20°C 和 65% 相对湿度。这些参数组合分别代表了寒冷气候区域和温暖气候区域的气象条件，从而扩展了分析在不同宏观气候环境中的适用性。为了完成评估，还包括了类别 A。在这种情况下，采用了代表白天不稳定大气条件的环境条件，即 -1°C 和 85% 相对湿度，以及 29°C 和 65% 相对湿度，同样反映了寒冷和温暖气候情景。

5. 结果
本节全面分析了将适应的 RBM 方法应用于氢燃料玻璃工厂的情况。因此，结果按照该方法的结构进行呈现。

5.1. 危险场景识别
根据该方法，案例研究考虑了不同的分析路径来识别常规和替代的潜在故障位置（LOCs）。首先，从文献中收集常规设备的数据（子节 5.1.1），对应于方法的第一步 a）。然后，用于现场绿色氢气生产的电解槽不属于常规设备，需要专门进行深入评估（子节 5.1.2）。因此，有必要调查电解槽系统，以识别潜在的危险场景，对应于方法的第二步 b。

5.1.1. 常规设备的潜在故障位置（LOCs）
常规组件的潜在故障位置直接从文献中收集。表 4 列出了确保玻璃炉氢气供应所需的设备及其相关设备，这些是检索文献数据的必要参考 [37]。

表 4. 新玻璃制造工厂布局中标准设备的危险场景识别及相应的发生概率

| 设备 | 参考设备 | LOCs | 概率（1/年） |
|------------|-------------|----------------|-----------------|
| 缓冲器 | 压力容器 | 灾难性故障 | 5.00E-07 |
| | 10毫米泄漏 | | 5.00E-07 |
| | 持续10分钟 | | 1.00E-05 |
| | 电解槽管线 | 10%泄漏 | 5.00E-04 |
| | 完全破裂 | | 1.00E-04 |
| | 卡车软管 | 10%泄漏 | 9.19E-02 |
| | 完全破裂 | | 9.59E-03 |
| | 100巴减压 | | 1.00E-05 |
| | 200巴减压 | | 2.00E-06 |
| | 50巴减压 | | 1.00E-05 |
| | 完全破裂 | | 2.00E-06 |
| | 压力容器 | 灾难性故障 | 5.00E-07 |
| | 10毫米泄漏 | | 5.00E-07 |
| | 持续10分钟 | | 1.00E-05 |
| | 30巴减压 | | 2.50E-05 |
| | 完全破裂 | | 5.00E-06 |
| | 10巴减压 | | 1.00E-05 |
| | 完全破裂 | | 2.00E-06 |
| | 储存容器 | 灾难性故障 | 5.00E-07 |
| | 10毫米泄漏 | | 5.00E-07 |
| | 持续10分钟 | | 1.00E-05 |
| | 5巴减压 | | 2.00E-06 |
| | 10巴减压 | | 1.00E-05 |
| | 完全破裂 | | 2.00E-06 |
| | 燃烧器管线 | 10%泄漏 | 1.00E-05 |
| | 完全破裂 | | 2.00E-06 |

5.1.2. 电解槽的潜在故障位置（LOCs）
电解槽系统进行了故障模式和效应分析（FMEA）。在定义了本研究中考虑的电解槽配置后，FMEA 根据现有文献 [28] 进行了调整，以反映所分析的工业规模系统的具体组件和子系统。通过咨询参与氢能技术的专家（包括学术研究人员和工业实践者），扩展了故障模式列表，包括了与工业安装相关的额外设备和操作方面。特别是，这一过程支持了包括额外的水-氢分离阶段和专用电解槽控制系统及其相关潜在故障模式的系统元素的纳入。表 3 中显示的组件的系统分析，使得能够识别相关的危险场景，例如氢气的释放以及氢气和氧气的爆炸性混合物的形成或释放。通过仔细重新组合每个场景的共享原因，构建了故障树来绘制故障路径。开发的故障树可以在补充材料中找到。纯氢可以从氢系统的每个组件释放到环境中，导致几种最终场景。此外，氢可以直接从电解槽堆栈释放到容器中，导致设备内部加压并形成爆炸性气氛，而设备并未设计来处理这种情况，从而导致爆炸。电解槽的一个关键特征是有形成爆炸性混合物的潜力，因为氢气和氧气仅在堆栈内的膜中进行分离。膜的老化会导致氢气进入氧气回路，可能引起内部爆炸。如果氧气的某个组件也发生故障，可能会导致易燃混合物的释放。由于氢回路通常在更高的压力下运行，因此氢向氧气侧的优先交叉。另一方面，只有在膜故障和氢侧压降的情况下，氧气才会交叉进入氢回路。还需要强调的是，氢侧释放爆炸性混合物需要氧气交叉和组件释放同时发生，这导致的概率非常低。此外，其后果比纯氢释放的后果要轻，因为混合物中含有较少的易燃成分。因此，这一场景没有被包括在主要考虑的场景中。

5.2. 可能性估计
与前一步一样，评估故障概率需要两条不同的路径。子节 5.2.1 针对方法的第一步 a，提供了常规设备的故障概率。子节 5.2.2 针对方法的第二步 b，为开发的故障树分配定量数据，并将它们映射到贝叶斯网络中。

5.2.1. 常规设备的可能性估计
常规设备的故障概率直接从文献 [37] 中获取，与潜在故障位置的识别相同。收集的数据在表 4 中为每个潜在故障位置提供。

5.2.2. 电解槽的可能性估计
为了量化开发的故障树中的顶事件，评估了一年内的基本事件概率，考虑了8760小时的无停机运行时间。由于缺乏特定氢组件的数据 [60]，因此继续依赖石油和天然气行业的数据库进行系统分析。尽管这些数据库不反映典型的氢降解机制，但它们已经被用于不同的情境，例如加油站的定量风险评估 [61] 或氢燃料电池叉车 [62]。

表 5 显示了当前研究中使用的数据。当提到向环境释放时，考虑了 TNO Purple Book [37] 中的 containment 失效数据。然后，氧组件的定量数据来自同一参考文献，而氢组件的定量数据来自 HyRAM+ [63]。

表 5. 用于量化故障树的定量数据

| 描述 | 概率（1/年） | 数据来源 |
|------------------|--------------|---------------|
| BPR1失效 | 3.57E-02 | [38] |
| P1输出异常 | 1.39E-02 | [38] |
| ES1供电异常 | 1.90E-02 | [64] |
| P1堵塞 | 1.31E-03 | [38] |
| 上游释放 | 1.33E-05 | [63] |
| P1无法运行 | 1.81E-02 | [38] |
| P1意外停止 | 1.32E-02 | [38] |
| CV2无法打开 | 1.14E-03 | [38] |
| HE1热传递不足 | 1.61E-03 | [38] |
| ES1内部泄漏（针孔） | 1.37E-12 | [65] |
| BPR1无法打开 | 1.73E-02 | [38] |
| SV1无法运行 | 1.43E-04 | [38] |
| CV3无法打开 | 1.14E-03 | [38] |
| PSV1无法运行 | 1.78E-03 | [38] |
| 密封垫失效 | 1.75E-03 | [38] |
| 温度开关失效 | 3.18E-02 | [38] |
| 压力开关失效 | 9.20E-03 | [38] |
| 流量开关失效 | 3.18E-02 | [38] |
| PLC失效 | 8.67E-02 | [38] |

表 6 总结了每个释放场景和子场景（LOC）的定量结果。前两个纯氢释放到环境的子场景指的是来自管道的释放。这一类别还包括管道的其他组件（例如，过滤器、阀门、法兰）。管道的释放被分类为轻微的（直径的10%）和全通径，以确保与常规设备的参考来源 [37] 一致。其他子场景指的是水-氢分离器。同样，选择了三个不同的子场景，以与表 4 中显示的 LOC 一致。对于来自氧气回路的氢-氧混合物释放到环境的子场景，也采用了相同的考虑。

表 6.泄漏控制事件的分析来源于电解槽系统。以下是事件树的子场景及其发生概率（每年）：

- 氢气从H2回路泄漏到环境中：
- 管道10%的泄漏：6.30E-03
- 管道全截面泄漏：6.20E-03
- HWS（氢气储存系统）10毫米泄漏：11.00E-04
- HWS 10分钟泄漏：15.00E-06
- HWS灾难性破裂：15.00E-06

- 氢氧混合气体从O2回路泄漏到环境中：
- 管道10%的泄漏：1.70E-06
- 管道全截面泄漏：5.70E-07
- OWS（氧气储存系统）10毫米泄漏：12.10E-06
- OWS 10分钟泄漏：11.10E-07
- OWS灾难性破裂：11.10E-07

- O2回路内部爆炸：
- 物理爆炸：2.10E-02
- H2回路内部爆炸：
- 物理爆炸：7.60E-04

- 堆栈容器压力升高及释放：
- 限制性爆炸：5.25E-03

如上所述，故障树的定量结果严格依赖于数据库中的数据。由于可靠的氢气特定数据仍在收集中，本研究中使用的数据库并不总是针对电解槽系统的。因此，图5提供了一个灵活的框架，一旦新的运行数据、故障证据或特定于电解槽单元的系统配置可用，就可以进行更新。将生成的故障树映射到贝叶斯网络（BN）中，可以实现新信息的动态整合。

下载：高分辨率图片（1MB）
下载：全尺寸图片

图5. 通过GeNIe Modeler开发的贝叶斯网络，总结了电解槽系统的最终场景。

5.3. 后果分析
使用Phast软件评估每个最终事件的影响范围，考虑第3节中提到的阈值以及第4.3节描述的不同大气条件。一些与电解槽系统相关的场景没有使用该软件进行处理。特别是，氢气和氧气回路内的内部爆炸被建模为由于内部反应导致的突发破裂，遵循TNO Yellow Book [46]中的程序。假设氧气侧处于较低的可燃性水平，而氢气侧处于较高的可燃性极限。与堆栈压力升高相关的后果是考虑在容器空腔中发生化学计量比的可燃混合物的限制性爆炸，如参考文献[46]中所描述的。

后果分析的详细结果总结在补充材料的表S.5-S.7中，其中呈现了影响范围。图6展示了Phast软件得出的储存容器灾难性破裂的结果，作为一个代表性例子。对于每个最终事件，计算了第3节中定义的阈值对应的区域。

下载：高分辨率图片（2MB）
下载：全尺寸图片

图6. Phast软件获得的结果示例：火球的等强度曲线（a），爆炸的等超压曲线（b），闪火的等浓度曲线（c）。

本研究中的后果分析使用了Phast软件，主要是因为其能够模拟各种泄漏控制事件（LOCs）并表示来自不同类型工艺设备的释放。这种灵活性对于当前工作尤为重要，因为它考虑了来自不同组件的多次释放。然而，应注意的是，还有其他工具可用于分析意外释放场景和后果评估，例如EFFECTS [66]、ALOHA [67]和HyRAM [68]。不同建模工具之间的全面比较超出了本研究的范围，需要专门的分析。尽管如此，补充材料的第S.5节提供了关于替代工具的使用及其在考虑场景中的潜在应用的额外信息，包括一个示例。

5.4. 风险评估
在评估风险之前，还需要进一步对事件树进行量化，以确定特定事件发生的概率。事件树可以在补充材料的第S6节中找到，具体概率是根据Phast模拟得出的释放率，并在补充材料的表S.5-S.7中提供。

将前几步的结果代入方程（1）、（2），可以将每个组件与对应的影响区域坐标联系起来。这个值是风险图的x坐标的输入。y坐标由所有泄漏控制事件的概率之和表示，如第3节所解释的。相关风险通过方程（3）计算得出。

5.5. 风险图
图7显示了在两种大气条件下的风险图结果：Pasquill等级F、风速为1.5 m/s（图7a）和Pasquill等级D、风速为5 m/s（图7b）。颜色划分了四个风险区域：绿色表示低风险，黄色表示中等风险，橙色表示中高风险，红色表示高风险。这些区域之间的边界由平滑的渐变表示，反映了逐渐的过渡。在这个框架下，卡车软管和电解槽系统分别是位于高风险和中高风险的两个最关键组件。储存容器和电解槽管线位于绿色到黄色的过渡区域，介于低风险和中等风险之间。只有在第二个环境场景中（图7b），5巴的压力降低线才位于这个区域。所有其余组件都位于低风险区域。受大气条件影响最大的组件是通往燃烧器的管线，尽管在两种情况下它都保持在低风险区域。第三个案例（Pasquill等级A、风速为2 m/s）的等风险图显示在补充材料中，其结果与第一个案例相似。在所有三种情况下，空气温度和相对湿度对结果的影响可以忽略不计。一般来说，更稳定的大气条件（例如Pasquill等级F）预计会在后果分析中提供更保守的结果。然而，在当前案例中，风速的作用更为显著。根据采用的喷射火模型（Miller模型[69]，如DNV [70]所推荐），更高的风速会增加预测的喷射火长度和相关的影响距离。因此，对于喷射火是主要终点事件的组件（例如通往燃烧器的管线），风速的增加会导致整体影响区域的明显扩大，部分抵消了更稳定大气条件所带来的预期保守性。

下载：高分辨率图片（936KB）
下载：全尺寸图片

图7. 不同环境条件下氢燃料玻璃制造过程的等风险图：a）Pasquill等级F、风速为1.5 m/s；b）Pasquill等级D、风速为5 m/s。

在所有组件中，卡车软管、储存容器和缓冲罐显示出最大的影响范围。除了前者，高氢库存通过非常低的故障概率得到平衡，因此相关风险较低。管道网络在影响范围和故障概率方面显示出相当大的变化。看起来可能与直觉相反的是，高压管线与较小的后果相关联。然而，操作条件并不是影响这一结果的唯一因素。具体来说，100巴、50巴和30巴减压管道中的氢含量较低，因为这些管道较短。此外，其中一个释放场景是基于10%直径的故障定义的。因此，小直径管道的泄漏本质上涉及较小的孔径，从而导致比大直径管道（例如10巴减压管道）相同百分比的泄漏更小的释放量。此外，概率的变化可归因于管道直径和长度的差异。根据本研究中使用的参考数据[37]，管道根据直径分为三类，故障概率随直径的增加而减少。此外，基本故障率必须根据管道的总长度进行缩放。因此，在本研究中，直径较短的管道（例如100巴管道）与直径较大的管道（例如10巴管道）显示出相似的故障概率。

5.6. 维护优先级评估
风险排名突出了卡车软管和电解槽作为维护优先级的关键组件。由于电解槽系统由多个单独组件组成，使用GeNIe Modeler软件进行了敏感性分析，以了解哪些具体组件需要更多的关注。此外，考虑到本研究中采用的可靠性数据的不确定性，敏感性分析还提供了结果对于输入概率变化的鲁棒性的指示。图8中呈现的龙卷风图量化了选定的顶级事件（即氧气（a）和氢气回路（b）的内部爆炸，以及氧气回路中可燃混合物释放（c）对贝叶斯网络中基本事件概率变化的敏感性。尽管在总体风险评估中也考虑了纯氢释放场景（见表6），但由于相关的故障树（补充材料中的图S.1）仅包含表示不同组件泄漏事件的OR门，因此没有包括在这些敏感性分析中。因此，顶级事件的概率是通过直接将基本事件的频率相加得到的，假设它们是独立的，这在龙卷风图中并不提供有意义的排名信息。具体来说，对每个基本事件的先验概率应用了10%的扰动，并计算了这对顶级事件概率的影响。GeNIe根据基本事件影响的程度自动对基本事件进行排名，该程度以目标节点概率的绝对变化来衡量。图表中的水平条表示这种影响：红色表示正相关（即增加基本事件概率会提高顶级事件的概率），而绿色表示负相关。这种方法能够识别出最严重影响电解槽安全的关键因素。主要影响氧气回路内部爆炸的基本事件是与向膜供水的水泵故障（不规则输出P1、虚假停止P1和无法运行P1）以及触发警报的PLC故障。背压调节器（BPR1）的故障是氢气回路内部爆炸的主要贡献因素。如前所述，这种场景不仅需要膜降解允许交叉流动，还需要氢气侧的同时压力降低。同样，氧气侧的可燃混合物释放也强烈依赖于该回路内组件（PO1、PO2、OWS1）的泄漏概率以及可燃混合物的存在。然而，这种场景的概率远低于前两种事件。

下载：高分辨率图片（500KB）
下载：全尺寸图片

图8. 来自敏感性分析的龙卷风图。对基本事件施加了10%的变化，并报告了其对氧气回路内部爆炸概率（a）、氢气回路内部爆炸概率（b）和氧气回路可燃混合物释放概率（c）的影响。仅显示了10个最具影响力的基本事件。

6. 讨论
这项工作表明，通过定义可信的释放场景并分配发生概率，可以将电解槽系统一致地整合到RBM框架中。同时，这些结果提供了更广泛的贡献，因为识别出的泄漏控制事件可以应用于其他安全领域（例如，固有安全研究或全面的QRA）。在此基础上，在电解槽系统的背景下，将故障树映射到贝叶斯网络中特别相关，因为技术的发展可能会引入新的组件。此外，图4中分析的配置应被视为一个代表性的但并非全面的模型。尽管它捕捉了工业电解槽设置中最常见的组件，但其他配置可能根据特定技术或设计包含额外的或替代元素。

另一个相关方面是本研究中考虑的电解槽系统的规模。本研究中分析的系统代表了一个集成到运行中的工业过程中的工业规模电解槽装置。与文献中之前分析的实验室规模系统相比，工业装置涉及更复杂的BoP配置，包括多个堆栈和额外的控制系统。这种系统复杂性的增加引入了必须在风险建模框架中明确考虑的额外故障模式和子系统之间的相互作用。此外，工业电解槽系统的更大规模本质上涉及更大的设备尺寸和更高的氢库存。因此，工业设施中发生的意外释放可能在潜在危险距离方面导致更严重的后果。本研究针对涉及氢分离器的泄漏场景获得的结果突显了这一效应，显示出的影响距离比现有文献中报道的实验室规模电解槽系统的距离更大[29]。这些发现强调了在大型水电解厂的安全评估和风险管理策略中仔细考虑与规模相关效应的重要性。当前的风险等级，如图7所示，是基于假设遵循恒定失效率分布的失效概率。这些数值没有考虑时间依赖的退化，因此代表了对实际运行风险的简化、时间不变的近似。实际上，大多数工业组件都受到腐蚀、疲劳、热应力和氢脆化等机制的渐进性损害。因此，实际失效的可能性通常会随着使用时间的增加而增加，尤其是在暴露于高压氢气环境的系统中。将时间依赖的损害因素纳入分析将有助于制定现实和定量的维护计划。

根据Campari等人[27]开发的初步方法论，并假设所有管道使用相同材料，考虑氢脆化的损害因素会随着压力的增加而增加。因此，可以预期100巴的管道可能需要比30巴的管道更早进行维护操作，尽管后者目前更接近风险过渡区。关于压力容器，退化的影响预计会不那么显著。Campari等人[10]显示储存容器的损害因素要小得多，他们仅归因于内衬的退化，并假设这类容器（IV型）不易受到氢脆化的影响。此外，考虑到该工厂被认为是新建的，有理由假设材料经过精心选择，以确保其与氢气的完全兼容性。在这种情况下，材料敏感性因素预计较低。因此，预计氢引起的退化机制不会显著影响失效概率，这与改造后的氢气管道不同，在后者中，氢增强疲劳是一个主要的退化机制[26,71]。

电解槽系统呈现出更复杂和鲜为人知的场景。特别是，目前可用于氢技术的可靠性数据仍然有限，失效频率通常使用最初为传统工艺行业（例如石油和天然气）开发的数据集来估计。虽然这些数据集为通用工厂组件提供了一个合理的代理，但它们可能无法完全捕捉到如PEM电解槽中的膜老化或催化剂退化等特定于氢的退化机制。在第5.6节讨论的敏感性分析中，在评估结果对所采用失效数据的不确定性时的鲁棒性方面起着关键作用。优先监测对危险场景概率有较高影响的电解槽组件是必要的。为电解槽开发特定的监测策略将支持更加动态的风险管理方法。通过用实时运行数据补充当前的风险模型，研究人员和操作员可以更好地理解该系统如何演变，并在退化趋势导致关键故障之前预测它们。在这方面，在当前方法论中开发贝叶斯网络是一个显著的优势。该框架本质上是适合随着新证据的出现而进行持续调整的。随着来自电解槽运行的监测数据的积累，网络可以动态更新失效概率和风险估计，从而增强预测能力并支持基于证据的维护决策。

7. 结论

将氢技术整合到工业部门中，尤其是在难以减少排放的领域（如玻璃制造），代表了实现脱碳目标的一个根本性转变。然而，这种过渡不仅涉及技术调整，还涉及开发增强型的风险管理和维护策略。本研究提出并展示了一种专门为氢系统量身定制的适应性RBM方法论，特别是在涉及通过PEM电解槽进行现场生产的情境中。所提出的框架建立在API 580和API RP 581中概述的传统RBI方法论的基础上，并对其进行了调整。虽然API RBI框架为传统石油和天然气环境中的风险评估提供了坚实的基础，但它缺乏对氢相关组件和失效模式的覆盖。本研究整合了额外的定性工具（FMEA、故障树分析）和定量工具（贝叶斯网络、通过PHAST软件进行后果建模），使得能够识别传统和新兴风险。这种双层次方法确保了对标准未涵盖的组件（如氢特定设备中的组件）进行系统评估。

从理论角度来看，这项工作有几个贡献。首先，它通过玻璃行业的案例研究提出了将RBM应用于氢系统的步骤，突出了其实用性和相关性。其次，分析强调了如PEM电解槽这样的特定于氢的系统引入了传统系统中不存在的独特和关键的失效模式。特别是，膜退化导致电解槽组件内可能形成爆炸性氢氧混合物，这在可能性和影响方面都被认为是一个显著的风险场景。第三，贝叶斯网络的整合允许对电解槽的LOC事件进行简洁的表示，并进行了敏感性分析，确定了导致顶级故障的最有影响力的基本事件。在分析工业规模电解槽安装时，这种方法变得尤为重要，因为系统复杂性的增加和多个交互的子系统引入了必须在模型中捕获的额外失效模式。这对于指导监测优先级和根据新证据或运行数据实时更新风险模型特别有用。第四，该研究提供了对工业规模电解槽系统后果的全面评估。分析评估了与大规模装置相关的意外释放的潜在影响，并通过明确考虑电解槽回路内可能产生的氢氧混合物的释放，扩展了现有文献的范围。

从实践角度来看，该方法论可以由资产管理者或维护管理者用来优先安排维护活动。风险图分析提供了组件关键性的清晰可视化。在所有系统组件中，卡车输送软管和电解槽系统位于中高风险区，需要加强维护注意。其他组件，如高压管道或储存容器，尽管含有大量的氢库存，但由于其估计的失效概率较低，显示出较低的风险特征。

像任何其他工作一样，这项研究也有局限性。当前的可靠性数据来源于石油和天然气数据库，可能无法完全捕捉氢技术的行为。因此，未来的发展可以完善现有数据以获得更现实的结果。这加强了开发特定于氢的数据集并通过实际监控不断更新概率模型的必要性。在这方面，贝叶斯框架的灵活性及其整合新证据的能力是长期成功实施基于风险的维护策略的关键特征。此外，这项工作没有考虑时间依赖的退化现象。未来的工作可以包括时间依赖因素，以获得更现实的结果。虽然风险等级提供了一个有价值的快照，但整合退化模型将能够更全面地预测随时间变化的故障，从而实现从定性等级到完全定量的、预测性的维护调度的过渡。

作者贡献声明
Giulia Collina：写作——审阅与编辑，撰写初稿，可视化，方法论，调查，概念化。
Marta Bucelli：写作——审阅与编辑，监督，方法论，概念化。
Leonardo Leoni：写作——审阅与编辑，撰写初稿，可视化，方法论。
Logan Martens：写作——审阅与编辑。
Alessandro Tugnoli：写作——审阅与编辑，可视化，监督。
Nicola Paltrinieri：写作——审阅与编辑，监督，资金获取。

在写作过程中使用生成式AI和AI辅助技术的声明
在准备这项工作时，作者使用ChatGPT来提高语言的可读性。使用该工具/服务后，作者根据需要审阅和编辑了内容，并对出版物的内容承担全部责任。