从线性过程到韧性社会技术系统：一种用于水泥煅烧操作风险建模的混合 HAZOP–Bowtie–FRAM 框架

《Safety Science》：From linear processes to resilient socio-technical systems: a hybrid HAZOP–Bowtie–FRAM framework for modeling operational risk in cement firing operations

　　

摘要水泥煅烧系统构成了熟料生产的核心阶段，并在极端的热、化学和机械约束下作为紧密耦合的工业系统运行。这种恶劣环境产生了强非线性交互作用，微小的扰动在此可传播并放大为高后果故障，例如爆炸或熔融物料失控排放。传统风险评估方法往往难以捕捉此类风险的涌现特性。本研究提出了一种集成危险与可操作性（HAZOP）分析、领结法（Bowtie）和功能共振分析方法（FRAM）的混合框架，以解决这一差距。首先进行了 HAZOP 研究，以绘制系统级交互作用，识别出 81 个可信的过程偏差，并使用风险矩阵对其进行排名。然而，生成的配置文件在很大程度上仍然是表格化和碎片化的，凸显了静态表示在捕捉煅烧线复杂性方面的局限性。为此，应用领结分析作为补充步骤，将 HAZOP 输出结构化为连贯的、基于场景的可视化因果路径。这种集成提高了变异性传播的可追溯性，并为系统性的 FRAM 分析搭建了桥梁。这种方法论的推进使得对非线性功能相互依赖性和日常操作中的性能变异性进行建模成为可能。研究发现，物料、能量和控制的双向流动通过技术系统、操作员认知和过程行为之间的动态耦合放大了功能共振。在这种“实际工作方式”视角下，人类认知既塑造了环境组织约束，也受其塑造。因此，煅烧过程被重新构建为从线性设备链转变为具有韧性的社会技术系统，增强了跨级别的知识转移和操作适应能力。

1. 引言随着全球城市化和工业发展的不断扩张，水泥仍然是当代基础设施和经济进步的基本支柱（Ahmed 等人，2021；Schneider 等人，2011）。为了满足这种持续的需求，现代生产依赖于具有复杂设计的大型工业设施，这些设施集成了物理、化学、机械、热学和电气工程。制造过程遵循一系列相互依赖的阶段，每个阶段包含多个操作，随着原材料逐步转化为水泥这种重要的建筑材料，下游阶段的性能取决于从上游阶段接收的输出物的质量、一致性和连续性。生产过程始于开采原料（如石灰石、氧化铝、硅、铁和其他校正添加剂）的提取、制备、均化和研磨，将其转化为称为生料的细粉（da Costa 等人，2023；Madlool 等人，2011）。生料随后进入热工处理线，在那里逐渐引入高温区。这个热阶段包括干燥、预热、分解、熟料化和冷却，形成粒状熟料——水泥的主要成分。最后，熟料颗粒被研磨，与辅助胶凝材料混合并包装，以生产最终产品（Madlool 等人，2011）。每个生产阶段都会引入特定的职业和过程危害，必须通过一系列预防、保护和缓解屏障来进行管理。由于水泥生产既是资源密集型又是高能耗的（Xiao 和 Xue，2024）；保持不间断、稳定的运行不仅仅是经济上的偏好，而是保持资产完整性、热平衡和安全过程控制的关键热力学和操作要求。至关重要的是，每个生产阶段，从采石到包装（Deery 和 Dougherty，2001），直接影响能耗（Afkhami 等人，2015；Sousa 和 Bogas，2021）、环境排放（Nehdi 等人，2024；Efimov 等人，2022）、生产质量、设备可用性和最关键的是操作安全（Kline，2019；Borgheipour 等人，2020；Manikandan 等人，2019a；Manikandan 等人，2019b）。因此，保持安全操作需要管理物理过程动态、技术仪器以及人类和组织功能之间复杂的相互依赖关系。国际能源署继续将水泥确定为难减排行业（国际能源署和报告，2025）。该行业约占工业总能耗的 12-15%（Madlool 等人，2011）和全球二氧化碳排放的 8%（Khalil 和 AbouZeid，2025）。水泥工厂的运行也使周围社区暴露在粉尘沉降、氮氧化物（NOx）、二氧化硫（SO2）和颗粒物（PM）排放（Chen 等人，2015）以及与连续运行相关的噪音中。这些环境和社会足迹使水泥制造受到严格的监管和治理要求。作为环境保护分类设施（ICPE），水泥工厂还受到广泛的风险评估、环境控制、职业安全和过程治理要求的约束（法国共和国官方公报，2024）。这些要求通常由综合管理体系支持，包括用于质量的 ISO 9001（ISO 9001，2015）、用于职业健康与安全的 ISO 45001（ISO，2018）、用于环境管理的 ISO 14001（ISO 14001，2015）、用于能源管理的 ISO 50001（ISO 50001，2018），以及国家法规和特定地点的操作程序。此类综合合规框架建立了必要的安全和治理边界，以确保安全、成本效益的操作，保持产品质量，并迈向净零排放。然而，仅靠形式合规并不能完全解释在异常、瞬态或降级运行条件下可能出现的动态交互作用。这一挑战在煅烧系统中尤为显著，该构成了水泥生产的热力学核心（Taibi 等人，2025）。预热器旋风筒、分解炉、回转窑和熟料冷却机作为强互联单元运行，其稳定性能取决于协调的物料、能量、热、空气动力学、机械和控制条件。燃烧不稳定、物料流动受限、旋风筒积聚或压力异常演变等偏差可能会改变几个交互功能，而不是仅限于单个设备。由于这些交互作用发生在严重的热条件下并且通常发展迅速，表面上的局部扰动可能会产生更广泛的运行后果，需要立即采取纠正措施。鉴于这些系统相互依赖关系，以及操作员、维护活动、监督决策、操作程序和共同维持性能的生产目标，水泥煅烧操作最好被理解为一个具有紧密耦合、动态交互和持续适应特征的复杂社会技术系统。在这种高风险的恶劣环境中，组织决策和生产压力影响了操作例行的执行方式以及如何在吞吐量和安全之间进行权衡管理。这些压力部分是由水泥制造的高能耗和连续性质驱动的，其中稳定生产对于满足市场需求、限制操作成本和保持竞争力很重要。正如 Komljenovic 等人（2017）所认为的，这种组织和操作压力可以塑造复杂工业系统内的决策和工作实践。在正常运行条件下，这些功能之间的变异性，如传感器漂移、生料波动或程序调整，被持续监控、调整和吸收以维持生产。随着时间的推移，持续的组织压力和长期的稳定输出可能会滋生自满和微妙的性能漂移，逐渐缩小操作安全裕度（?rstad 和 Aven，2017）。最初落在可接受操作边界内的调整可能会逐渐成为既定做法，逐渐创造影响系统在运行条件恶化时如何响应的潜伏条件（Hollnagel，2017；Patriarca 等人，2020）。这些机制是互补的：组织压力可以逐渐限制可接受变异性的范围，而功能交互作用则塑造了变异性在扰动条件下如何跨系统功能传播和耦合。多种原本可管理的变异随后可能在功能边界上交互并导致过程控制丧失。由此产生的风险并不总是能充分表示为一个简单的线性序列，其中一个组件失效，随后屏障失效，并产生后果。相反，正如 Dekker 等人（2011）认为的，风险源于多个系统功能之间的动态交互作用，特别是当系统的适应能力受到不确定和破坏条件下变异性的挑战时。人类贡献在此类扰动期间尤为重要。尽管自动化水平不断提高，操作员对于检测异常行为和解释模糊的过程指示仍然是必不可少的（Taibi 等人，2025），以及协调现场和控制室活动以使过程从降级状态恢复（Abbas 等人，2025）。这些活动通常在巨大的热暴露、工作量、时间限制、生产压力和不确定性下进行（Ssemuddu 等人，2025；Janizadeh 等人，2025）。因此，从恢复过程稳定性的角度来看合理的操作调整可能会改变其他技术或组织功能运行的条件。安全性能因此不仅取决于个别安全措施是否名义上可用，还取决于技术、人类和组织功能在系统偏离其预期运行状态时如何交互。这种系统性特征在诸如旋风筒堵塞等反复出现的扰动期间清晰显现。预热器内的物料积聚可能会逐渐干扰压力、温度和物料流动条件，最终可能需要人工干预或过程停机。随后的行动涉及过程指示、操作员解释、程序、联锁、通信、生产优先事项和设备条件之间的交互。因此，旋风筒堵塞为检查局部过程偏差如何通过交互操作功能发展成为更广泛的社会技术风险提供了一个合适的代表性场景。这些特征为操作风险分析提出了一个重要的方法论挑战。有效的评估必须保留对过程偏差的结构化识别以及将威胁与后果通过预防和缓解屏障联系起来的因果路径的显式表示和沟通，同时也要考虑到影响系统在异常运行期间行为的非线性交互作用、性能变异性和功能依赖关系。这需要检查不仅可能发生什么偏差以及其后果如何被预防或缓解，还负责检测、控制、缓解和恢复的功能在真实运行条件下如何交互并耦合。因此，这种方法结合了互补的分析视角，而不是将偏差识别、屏障性能和功能交互作用视为单独或重复的关注点。

1.1. 相关工作与研究缺口关于水泥制造的研究广泛探讨了与该能源和资源密集型行业相关的环境和可持续发展挑战。当前的研究趋势表明，在短期和长期时间框架内主要强调环境关注点（Devi 等人，2017；Xiang 等人，2024；Mohamad 等人，2022），特别关注减少二氧化碳（Benhelal 等人，2013）、氮氧化物（Hao 等人，2024）、二氧化硫（dos Santos 等人，2014）和颗粒物或粉尘排放（Ciobanu 等人，2021）。通过能效改进（Hasanbeigi 等人，2012）、替代燃料（Georgiopoulou 和 Lyberatos，2018；Chatterjee 和 Sui，2019）、熟料替代（Gartner 和 Hirao，2015）以及新兴的碳捕获、利用与封存（CCUS）技术（Plaza 等人，2020），在脱碳方面取得了有意义的进展。在这些策略中，增加用替代燃料和原料（AFR）替代传统燃料和原料，作为更广泛的可持续性和资源回收努力的一部分，引起了广泛关注（Metwally 等人，2024；Eshkoraev，2024；Barbhuiya 等人，2024）。虽然更高的替代率可以减少对化石燃料的依赖、二氧化碳排放和废物处理，但它们也可能向窑炉操作引入更大的变异性。热值、水分含量、灰化学、粒径和化学组成的波动可以不断改变过程边界条件，增加瞬态扰动的可能性并加剧硫、氯和碱循环。这些变化可能导致耐火材料退化、结圈和积垢形成、传热不稳定、燃烧不稳定以及其他同时影响操作安全和排放性能的热化学和机械危害（Rahman 等人，2015；Chatterjee，2011）。向 AFR 的过渡因此说明了环境目标与过程安全之间的重要相互依赖：为改善可持续性而采取的措施也可能修改煅烧系统必须保持稳定和可控的运行条件。然而，在水泥文献中，这两个维度仍然经常被单独检查。与此同时，大量研究使用传统风险评估技术检查了职业和操作危害。工作安全分析（JSA）（Manikandan 等人，2019a）、5×5 风险矩阵（Karahan 和 Akosman，2018）以及 Fine-Kinney 或 3T 方法（?nanl? 和 ?zbak?r，2024）已被应用于识别危害、评估暴露、排名风险水平和优先控制措施。对于过程安全应用，采用了更先进的技术。例如，故障模式、影响及危害性分析（FMECA）已被应用于评估水泥窑内的特定故障模式（Alimohammadi 等人，2013），而危险识别（HAZID）结合控制层级支持了高风险场景的识别和缓解（Rosyidiin 等人）。这些方法提供了识别不良事件和优先减少风险的系统机制；然而，它们的分析结构通常侧重于可识别的危害、组件故障或预定义的偏差 - 后果关系。最近，越来越多的研究采用了基于屏障的风险分析方法。

蝴蝶结分析已被用于识别水泥生产各个阶段的关键风险场景 (Manikandan et al., 2019b)，并为窑区内的事故路径提供结构化可视化 (Putri et al., 2021)。同样，屏障与操作风险分析 (BORA) 框架已被调整用于量化不受控释放和爆炸概率，通过明确将风险影响因素纳入热工处理系统中 (Taibi et al., 2025)。然而，现有方法对于技术、人和组织功能的变化性如何在异常操作期间传播并跨越功能边界耦合提供了有限的见解。这一局限性在紧密互连的煅烧系统中尤为重要，在该系统中，燃料和原材料特性的变化、工艺扰动、设备状况、操作干预、维护活动、程序、监督决策和生产优先级可能同时相互作用。为了支持这一重点，本研究作为一部分与一线操作人员进行的结构化专家咨询一致确定水泥煅烧线是最关键且事故多发的子系统，这加强了填补这一分析差距的实际必要性。因此，传统方法之间仍存在方法论差距，传统方法识别偏差并表示基于屏障的事故路径，而系统方法能够检查功能变异性、适应性和相互依赖如何导致扰动的产生和控制。解决这一差距需要更稳健、集成的分析视角，在保留既定工艺安全方法优势的同时，将传统危害和屏障分析与功能性系统建模桥接起来，以捕捉特征化真实水泥煅烧操作的社会技术相互作用——实际上，即将与安全 I 相关的基于偏差和屏障的逻辑与安全 II 核心的性能变异性视角连接起来。1.2. 研究问题与研究范围水泥热工处理构成水泥生产的热力学核心及其最具挑战性的操作环境之一。大量高温物料连续通过紧密互连的煅烧系统移动，该系统由预热器旋风筒、分解炉、回转窑和熟料冷却机组成 (Valderrama et al., 2012)。稳定操作取决于热、物料流、空气动力、机械和控制功能的协调行为 (Taibi et al., 2025)。同时，该设备在严重的热、机械和化学应力下运行，包括接近 1450°C 的物料温度和接近 2000°C 的燃烧气体温度、磨蚀摩擦、机械载荷、振动、粉尘侵入、熟料熔体渗透、循环碱和盐化合物，以及来自高温生料和工艺气体的化学侵蚀。这些条件逐渐降低设备和耐火材料的完整性，增加了功能故障、工艺偏差以及对预防和缓解屏障的需求的可能性。由此产生的风险不仅仅局限于孤立的设备故障。煅烧线呈现出广泛的风险概况，包括高温物料释放 (Khaviya et al., 2017)、火灾和爆炸 (?nanl? and ?zbak?r, 2024, Khaviya et al., 2017)、接触高温生料、高处坠落、接触运动机械、应急响应故障、物料掩埋、受限空间作业、涉及移动设备的事件 (Manikandan et al., 2019a)、电气危害 (Agrawal, 2015, Kemper et al., 2014)、污水排放、呼吸系统疾病 (Zeb et al., 2018)、结构坍塌 (Etse et al., 2021, Temelli et al., 2022) 以及其他危害。后果可能从重伤和死亡到环境恶化、长期生产中断和重大资产损失。这些危害因过程可观测性的限制而进一步复杂化：许多窑况变量难以直接测量或以足够的置信度估计，限制了在扰动发展期间的准确诊断和及时控制 (Makaremi et al., 2009)。尽管物料转化遵循通过煅烧线的物理顺序路径，但操作扰动不一定以线性方式演变。诸如旋风筒堵塞、结圈和积料形成、燃烧不稳定或异常物料流等偏差可以同时改变几个互连单元的压力、温度、热传递、气流和工艺稳定性。因此，一个功能中相对较小的扰动可能改变其他功能的操作条件，与现有的降解或变异性相互作用，并发展成为更广泛的系统扰动。在严重条件下，这些相互作用可能导致级联故障、高温物料不受控释放、燃烧相关事件或关键工艺功能的丧失。例如，来自下游熟料冷却机的三次风供应不足可直接扰动上游分解炉中的燃烧动力学和热平衡，导致由于空燃比不足而未燃烧气体积累，如果点燃，可能导致爆炸。随着传统假设（稳定输入和可预测扰动）被当代操作策略削弱，这种系统特征变得日益重要。由此产生的变异性可能改变工艺稳定性，加剧热、化学和物料流功能之间的相互作用，并增加系统对现有设备降解或控制局限性的敏感性。因此，扰动可能通过变化的工艺条件、降级的设备性能和变化的屏障有效性的组合发展，这些组合无法通过组件对组件或严格线性的风险解释得到充分表示。在这些条件下维持和恢复稳定性也很大程度上依赖于人的适应。尽管自动化程度不断提高，操作人员对于检测微弱信号、解释异常工艺指示、选择纠正措施和协调控制室与现场之间的活动仍然至关重要。当自动控制达到其极限或可用信息不完整、延迟、不确定或矛盾时，这一角色变得尤为重要。行使这种适应能力的环境本身要求很高。现场活动如堵塞清除、检查和维护可能使人员暴露于高温、受限访问、受限空间、机械载荷、粉尘和不利的ergonomic 条件。在控制室中，快速发展的扰动要求操作人员解释多个工艺变量，比较传感器指示，评估竞争优先级，遵循操作程序，并与现场人员协调，同时试图防止工艺恶化和限制生产损失。在这样的时间和生产压力下，特别是在紧急干预如清除突发旋风筒堵塞期间，严格遵守规定的标准操作程序可能变得越来越困难。事后看来像是人为错误的行动可能反映了操作需求与管理它们所需的认知或物理能力之间的更广泛不匹配。这突显了为什么，尽管自动化和屏障工程取得了重大进展，水泥煅烧操作仍然需要更稳健、系统的风险评估实践，以捕捉真实世界变异性下的操作性能 (Rachid et al., 2015)。因此，研究问题不仅仅局限于识别个别危害、故障模式或不安全行为。相反，它涉及在操作扰动的产生和管理过程中，技术、人和组织功能的变化性和适应如何相互作用。设备降解可以修改工艺行为并增加对操作人员的需求；不确定的指示可能影响诊断和干预时机；程序适应可以改变屏障有效性；生产优先级可以影响保护性行动实施的快速或彻底程度。因此，为恢复工艺某一部分而采取的局部合理行动可能改变另一部分的操作条件或安全裕度。因此，风险不仅来自可识别的偏差或屏障失败，还来自通过扰动被检测、控制、缓解和恢复的功能的相互作用和变异性。在此背景下，方法论问题是如何以可追溯的方式连接这些分析视角。通过 HAZOP 识别和优先排序的工艺偏差可以为选择关键蝴蝶结场景提供基础，而由此产生的威胁、屏障、操作活动和依赖关系随后可以作为 FRAM 内的相互作用功能进行检查。因此，集成的价值不在于将几种方法应用于同一系统，而在于展示一种方法的输出如何 informs 下一阶段以及在每个阶段获得什么额外的见解。旋风筒堵塞为这种进展提供了合适的案例，因为其发展和恢复取决于相互作用的工艺条件、报警、联锁、操作人员决策、通信、设备状况、维护需求和生产约束。在这个更广泛的问题中，本研究专注于水泥煅烧线作为主要感兴趣系统。这一范围由热工处理固有的操作特性证明是合理的，其在严重的热、机械和化学条件下连续运行，并涉及有害能量的连续产生、转移、包含和耗散。相关的风险在瞬态状态下变得尤为显著，如启动、停机、异常条件和工艺偏差，其中控制丧失可能迅速导致严重且可能不可逆的后果。煅烧线也强烈依赖于技术、人和组织屏障的协调性能，其功能变异性可能在操作压力下相互作用和组合。这些特性使该系统对人员安全、资产完整性、环境保护和工厂可持续性能具有重大意义。同时，煅烧线直接影响熟料质量、生产成本和能源效率，使其不仅成为风险管理的关键领域，也成为工艺改进和操作优化的关键领域。本研究并不试图提供对水泥工厂每个职业、环境或过程危害的详尽评估。相反，它检查代表性操作扰动如何在紧密耦合的社会技术系统内发展和管理，特别关注工艺偏差、安全屏障、设备状况、人类行动和功能依赖性的相互作用。选择旋风筒堵塞作为代表性扰动，因为它提供了一个特别合适的镜头来检查这些相互作用。其发展和恢复涉及物料积累、变化的压力和温度条件、不确定或演变的工艺指示、操作人员解释、报警和联锁、操作程序、现场和控制室人员之间的通信、维护需求和生产约束。因此，堵塞管理不能归结为单一的设备故障或操作人员行动；相反，它代表一种动态扰动，其轨迹取决于多个技术、人和组织功能如何随时间相互作用和适应。因此，本研究解决以下研究问题：HAZOP、蝴蝶结和 FRAM 的顺序集成如何通过将工艺偏差和屏障结构与非线性技术、人和组织相互依赖联系起来，支持水泥煅烧操作中系统性操作风险分析？为了解决这个问题，本研究开发并应用了一个混合分析框架，结合 HAZOP、风险矩阵评估、蝴蝶结分析和功能共鸣分析法 (FRAM)。首先使用 HAZOP 在定义的煅烧系统节点中系统地识别可信的工艺偏差，而风险矩阵为排序和优先排序由此产生的场景提供半定量基础。然后蝴蝶结分析将选定的关键偏差重构为明确的威胁 - 顶事件 - 后果路径，并识别旨在中断这些路径的预防和缓解屏障。FRAM 随后通过分析涉及扰动演化和恢复的技术、人和组织功能相关的性能变异性、适应性行动和功能依赖性，将分析扩展到这种本质上基于线性屏障架构之外。因此，这些方法不被视为平行或可互换的技术，而是互补的分析层，通过它们风险的表示逐步从偏差识别和优先排序，转变为屏障架构，最终转变为系统功能相互作用。HAZOP 提供系统的偏差识别；风险矩阵支持优先排序；蝴蝶结提供可传达和可审计的事故路径和屏障功能表示；FRAM 使可见非线性功能变异性和耦合，而传统方法仅部分表示这些。这一方法论序列的目的不是取代既定的风险分析技术，而是保留其操作透明度，同时将分析扩展到可能影响实际操作变异性下屏障性能的系统条件。本研究的主要贡献是将 HAZOP、蝴蝶结和 FRAM 整合在单一分析序列中，应用于真实水泥煅烧系统，将成熟的工艺安全实践调整适应水泥热工处理的具体操作逻辑。据作者所知，这种组合以前在此背景下未被报告过。该框架逐步连接方法：HAZOP 用于识别和优先排序工艺偏差，蝴蝶结用于构建选定场景及其屏障，FRAM 用于检查变异性 和相互依赖如何影响这些屏障在实际中的表现方式。应用于旋风筒堵塞，这一序列通过增加系统视角扩展传统工艺安全分析，即扰动如何在实际条件下被管理。因为本研究基于单一工业案例，该框架作为探索性应用提出，而不是作为普遍优越的方法。本文结构如下：第 2 节提出本研究采用的集成方法论框架。第 3 节描述了水泥煅烧系统。

第 4 节详细阐述了案例研究的结果，第 5 节提供了讨论和结论性意见。

2. 方法论

鉴于水泥烧成线运行的复杂性，应用了一种整合了 HAZOP、蝴蝶结分析（Bowtie）和功能共振分析方法（FRAM）的混合方法（见图 1）。作为第一步，开展了基于熟料形成过程热力学行为的 HAZOP 研究。根据 IEC 61882 标准，将过程分解为具体的“研究节点”（例如回转窑、预热器）。然后通过向关键工艺参数——温度、压力和流量——应用标准导向词来生成偏差（Dunjó 等，2010）。

下载：下载高分辨率图像 (308KB) 下载：下载全尺寸图像

图 1. 提出的 HAZOP-蝴蝶结-FRAM 方法论。

通过结构化的专家征询，分析系统地识别了损害安全性和可操作性的偏差，随后通过风险矩阵对其进行排名。值得注意的是，HAZOP 的应用将其效用扩展到了其石油化工起源之外（Penelas 和 Pires，2021），促进了既定的过程安全知识和实践向新背景的转移。这种适应性表明该方法在应对不同工业复杂性方面具有操作灵活性和稳健性。

虽然 HAZOP 提供了稳健的初步筛选，但其表格格式本质上孤立地对待偏差，产生了一种碎片化的视图，可能会掩盖复杂的屏障相互作用。为了解决这一局限性，将优先排序的 HAZOP 输出转化为蝴蝶结结构。蝴蝶结分析将选定的场景重新组织为一种明确的升级架构，包括威胁、顶事件、后果以及旨在中断其发展的预防和缓解屏障（Putri 等，2021，CCPS，2018）。这使得从初始偏差到潜在后果的进展变得可见，这是单独的 HAZOP 工作表无法提供的。

重要的是，蝴蝶结分析并非独立于通用专家判断而构建。其结构直接源自 HAZOP 工作表，随后通过专家征询进行审查，以确认场景元素的分配。在 HAZOP 期间确定的原因被定位为威胁，危险中间状态被定义为顶事件，确定的后果被放置在事后侧，HAZOP 中记录的安全措施根据其在升级序列中的作用被分类为预防性或缓解性屏障。这保留了从原始偏差分析的可追溯性，同时将表格形式的 HAZOP 输出转化为明确的威胁 - 屏障 - 后果结构。因此，蝴蝶结阶段提供了 HAZOP 中缺失的可交流结构层。它显示了偏差如何升级，预期在哪里发生控制，以及如果控制失效哪些后果仍然是可信的（Aust 和 Pons，2020，Singh 等，2022）。

然而，蝴蝶结分析引入了第二个方法论局限性。尽管它定位了旨在中断升级的屏障，但它通常将它们表示为离散的、稳定的和相对独立的保护元素。在实践中，报警、联锁、操作员响应、隔离动作、检查常规或紧急程序的有效性可能取决于时机、信息质量、资源可用性、程序清晰度、设备状况以及与其他功能的相互作用。因此，蝴蝶结图可以显示屏障预期作用的位置，但它本身无法解释该屏障在降级、时间紧迫或异常操作条件下如何表现。这一局限性为引入 FRAM 提供了依据，FRAM 检查可能在实际中影响屏障有效性的功能依赖性和性能变异性。因此，蝴蝶结结构为随后的 FRAM 分析提供了分析基础，在 FRAM 分析中，从依赖性和性能变异性的角度检查了支持干扰管理和屏障性能的功能。

FRAM 是一种为建模和分析复杂社会技术系统行为而开发的系统性方法。与传统线性模型不同，它旨在捕捉正常性能变异性如何组合和共振以产生预期和非预期的结果（Patriarca 等，2020，dos Santos 等，2025，Salehi 等，2021）。近年来，该方法已在不同领域获得 prominence，包括医疗保健（Fargnoli 等，2024）、航空（Tian 和 Caponecchia，2020，Reiser 等，2023）、海运（Ma 等，2023）、建筑（Tierra-Arévalo 等，2022）、化工过程工业（Wu 等，2022，Zheng 等，2024）和环境风险管理（Costantino 等，2018）。

最初是一种依赖专家征询和运营分析的定性工具，FRAM 已演变为半定量和结构化实现（Kaya 和 Hocaoglu，2020）。最近的努力将 FRAM 与定量技术相结合，例如层次分析法（AHP）、蒙特卡洛模拟（Ma 等，2023，Kaya 和 Hocaoglu，2020，Patriarca 等，2018）、贝叶斯网络（Deng 等，2025）和拉森抽象层次（Patriarca 等，2017）。这种演变强调了 FRAM 的灵活性及其在复杂操作背景下桥接定性分析与定量风险评估的能力。

FRAM 区分“想象中的工作”（设计意图）和“实际做的工作”（实际实践），使能够现实地分析过程如何运行。在此框架中，“功能”被定义为实现目标所需的手段，包括相互作用的人、技术和组织组件（Hollnagel，2017）。每个功能由六个方面特征化：输入（I）、输出（O）、前提条件（P）、资源（R）、控制（C）和时间（T）（Patriarca 等，2020）。该方法认为事故是这些功能内日常性能变异性的不可控共振产生的涌现属性（Sujan 等，2023）。因此，FRAM 主要用于探索性能变异性和功能交互如何可能导致系统结果，而不是识别单一的线性根本原因（Fargnoli 等，2024，Tian 和 Caponecchia，2020）。

FRAM 的实际实施遵循系统、迭代的过程（Kumar 等，2024）。首先，通过观察、访谈和文档识别相关功能，以反映实际工作实践（Tian 和 Caponecchia，2020）。然后对这些功能进行建模，包含它们的相互依赖性，以捕捉表征真实过程的复杂耦合（Kumar 等，2024）。随后，表征每个功能的变异性，分析性能如何在不同条件下波动，并检查变异性对下游功能的潜在影响（Kumar 等，2024，Salehi 等，2021）。在此基础上，使用该模型检查这些变异性如何可能组合以影响特定结果（McGill 等，2022）。这种迭代方法允许组织实施改进，观察影响，并修订模型以维持持续的操作学习（Zhao 等，2025）。

诸如 FRAM 模型可视化工具（FMV）和 myFRAM 软件等工具为建模功能、可视化其耦合以及记录生成的系统模型提供了图形和数据支持（Patriarca 等，2017）。然而，FRAM 的实际应用仍存在若干挑战，特别是关于方法论一致性、数据收集可靠性和模型复杂性（Tian 和 Caponecchia，2020，Grabbe 等，2022）。因此，使用补充方法对于增强 FRAM 分析的稳健性和完整性至关重要（Salehi 等，2021）。

在此背景下，本文主张互补应用 HAZOP、蝴蝶结和 FRAM 以增强整体系统韧性。HAZOP 提供了结构化、线性的基础，用于预测烧成线上潜在偏差可能产生的位置。蝴蝶结通过将孤立偏差组织成可视化因果路径，映射通过现有安全屏障的响应能力，从而作为结构桥梁。FRAM 则通过提供系统行为的非线性解释来扩展这一视角，这对于检查先于故障的功能变异性至关重要。这种整体集成将分析推向了预定义故障场景之外，说明了交互变异性如何产生意外结果，从而为加强系统抵御复杂社会技术中断的适应能力提供了基础。

为了展示这种协同效应，本研究专注于从案例研究中得出的一个关键场景：由于旋风分离器堵塞导致的热物料不受控释放。

3. 水泥热工处理系统描述

从过程安全和操作角度来看，热工处理部分是水泥厂最关键的区域之一。它由预加热塔、回转窑和冷却器组成，可以用系列方框图表示。该区域受到所用炉型及其操作方式，以及所用原材料和燃料的类型和性质的关键影响。

系统必须逐渐加热，因为其各个组件具有不同的热行为特性和属性，特别是膨胀系数、导热性、弹性、强度和温度变化方面的差异。伴随着燃烧过程，物料经历 4 个转化阶段。在预加热塔中脱水（从 80°到 450°C）和脱碳（从 450°C 到 900°C），在回转窑中熟料化（从 1300°到 1450°C），以及在篦式冷却器中冷却（从 1450°C 到 100°C）（Chatterjee，2011）。

图 2 展示了熟料生产线。

下载：下载高分辨率图像 (434KB) 下载：下载全尺寸图像

图 2. 熟料生产线。

3.1. 预加热塔

预加热塔通常包括一个预分解窑和四到六级垂直排列的旋风分离器。旋风分离器是一种利用离心力从气流中分离颗粒的静态装置（Ficici 和 Ari，2013），从而提供气 - 固热交换和随后的分离。通常在最高阶段安装两个旋风分离器以增加分离能力。预分解窑位于最低旋风分离阶段和窑入口之间，作为额外的燃烧室。其集成减少了所需的窑尺寸和相关成本，提高了操作稳定性，减少了挥发和 NOx 排放，并有助于防止堵塞（Valderrama 等，2012）。

预热器作为逆流换热器运行（Madlool 等，2011）。来自回转窑的热气体被引风机（ID 风机）向上抽取，而生料通过重力向下经过旋风分离阶段。这种逆流布置最大化了热传递，并促进了所需的物理和化学转化。生料温度从预热器入口的环境条件逐步增加到窑入口的约 800–900°C，实现了渐进脱碳，这在预分解窑中可达到约 95%。同时，烟气温度在一级旋风分离器出口处降至约 320°C，有助于保护引风机叶轮和轴免受过热。所有预热器组件内部均衬有合适的耐火材料，以保护设备免受高温并保留过程热量。

3.2. 回转窑

回转窑通常被视为水泥厂的热力学心脏，因为它在热传递、燃烧和化学反应中起着核心作用。作为完成燃烧的主要子系统（Yunusa-Kaltungo 等，2017），它由一根倾斜约 3–4°并以约 1.3–3.5 rpm 旋转的大型钢管组成（Chen 等，2015）。其倾斜度和缓慢旋转将生料向下游运输，同时生料被位于排料端的燃烧器逐渐加热和煅烧。内壳衬有环形排列的耐火砖（Atmaca 和 Yumruta?，2014），以保护钢壳免受过热、腐蚀、来自氯化物和硫化物等化合物的化学攻击、磨损和过度热损失。

窑通常由三个支撑站支撑，每个支撑站包括两个滚圈和四个轴承。窑壳扫描仪持续监测外壳温度以检测过热（Liu 等，2017），同时使用一系列风扇将壳冷却到最佳水平。上游接头将炉子连接到预加热塔，而下游接头将其连接到冷却器。这些接头对于吸收加热阶段的热膨胀至关重要。然而，它们被认为是系统的薄弱点，因为热物料可能从这些区域逸出。窑的主要功能是通过将物料加热到 1000°C 到 1450°C 的范围，将塔中制备的物料转化为熟料。

为了有效监测窑的运行，需要一系列连续实时测量。应监测几个输入和输出变量。输入控制变量包括原材料进料速率、燃料进料速率、窑旋转速度、引风机速度、二次风压力（Makaremi 等，2009，Fallahpour 等，2007）和二次风温度（Fallahpour 等，2007）。窑输出变量是后端温度、烟气中的 O2（氧气）和 CO 含量（Fallahpour 等，2007）以及窑电机功耗（Makaremi 等，2009）。

此外，燃烧燃料的类型是影响燃烧过程的重要因素，特别是在燃烧替代燃料时。转向替代燃料可减少能源消耗并降低 CO2 排放。

然而，由于其特性与传统燃料不同，这对工艺过程不利。替代燃料通常热值较低、水分含量较高，且燃烧速度比传统化石燃料慢。高水分含量会冷却窑烧嘴处的火焰，降低窑的性能，并通过增加废气量显著增加引风机（ID fan）的功耗。此外，它们涉及挥发性成分的循环，这些化合物可能附着在旋风分离器和窑壁上，形成沉积物，且随着每个循环不断增大。因此，难以有效处理产生的大量副产品及其相关问题，如热量分布不均、预热器旋风分离器堵塞、二氧化硫（SO2）、氮氧化物（NOx）、一氧化碳（CO）和粉尘排放量增加（Rahman 等人，2013；Bartknecht 等人，2019）、环状物形成和腐蚀、热点处的热量积聚（Bartknecht 等人，2019），以及耐火材料磨损（Knopfel 等人，2018）。

3.3. 熟料冷却机

熟料冷却机位于窑的下游，是热熟料生产过程的最后单元。它包含几个提供冷却空气的风机，使得热熟料与冷空气之间能够进行直接热交换（Wu 等人，2019）。它作为一个移动篦式换热器运行，同时冷却熟料并回收热量用于燃烧空气，包括三次空气（Worrell 等人，2001）。冷却机包括一个位于窑正后方的热回收区，以及随后的冷却区。在回收区，燃烧空气被加热，而熟料通过空气喷射系统运输。然后熟料分布在篦床上，由冷却风机从下方提供的空气迅速将其温度降低至约 100–120°C，具体取决于产品质量要求。部分冷却空气通过静电除尘器（ESP）风机作为废气排出。随后锤式破碎机减小熟料尺寸，然后进入输送系统，存储在筒仓中，供以后粉磨使用。

加热区的非计划停车可能由影响系统不同部分的众多技术或操作干扰引起。最常见的原因包括完全停电、窑主烧嘴故障、窑喂料中断和旋风分离器堵塞，这会破坏物料流动和热交换。其他导致不稳定的事件包括窑壳温度过高（通常高于 420°C）、熟料运输故障、由破碎机堵塞或风机故障引起的篦冷机故障，以及窑入口或出口密封处泄漏。任何这些干扰都可能危及工艺安全和生产稳定性。

由于加热过程连续运行，监测温度、压力和物料流量是一项关键且动态的活动。安全操作依赖于旨在防止不受控释放、减轻其后果并支持恢复至稳定操作条件的相互作用的新技术、组织和人员屏障。在此背景下，下一节将提出的集成 HAZOP-Bowtie-FRAM 方法应用于涉及旋风分离器堵塞的工业案例。

4. 案例研究

本研究在 Lafarge Ciment M'Sila (LCM) 工厂进行，该工厂运营两条设计几乎相同的连续生产线。每条线遵循干法工艺配置，并独立配备五级悬浮预热器、内联分解炉、回转窑和篦式冷却机。回转窑喂料量为 360 t/h，由出口处的主烧嘴燃烧，消耗 9,000 nm3/h 天然气（CH?），另外 13,500 nm3/h CH? 直接注入窑入口烟室的下部区域。分解炉利用窑的废气进行点火；一旦温度超过约 650°C，燃料自燃以维持分解。燃烧空气通过砖砌的三次空气管道供应，由挡板调节。袋式除尘器使用压缩空气清洁，用于去除窑废气中的粉尘，而静电除尘器，以由高压供电的大型水平密闭室的形式，用于去除冷却机废气中的粉尘。

操作由使用最新技术的中央控制室（CCR）管理，能够精确控制高能耗燃烧和分解过程。这个紧密耦合的系统包含大量热生料和炽热气体，任何偏差或故障都可能导致不受控释放，造成严重的人身伤害、环境损害或结构失效风险。

为 LCM 熟料烧成线开发的 FRAM 模型，如图 3 所示，代表所需 HAZOP-Bowtie-FRAM 集成级别的选定子系统。它包括主要工艺功能——喂料传输、热交换、分解、熟料化、冷却、热回收和排出——以及控制和管理系统在异常条件下的控制功能，包括监测、诊断、操作员动员、手动恢复、安全停止联锁、危险能源隔离、遏制、应急响应、生产压力调制和屏障就绪。

下载：下载高分辨率图像 (946KB)
下载：下载全尺寸图像
图 3. LCM 水泥熟料烧成的 FRAM 模型。

模型捕捉了这些活动之间的功能依赖关系，而不是重现工艺流程。使用 FMV 基础数据逻辑编码，它在保持受限于选定的子系统、分析场景和可用的工厂特定信息的范围内，提供了烧成线功能和危险相关交互的结构化表示。

4.1. HAZOP 研究的应用

如前所述，HAZOP 研究是识别偏离设计意图并评估其在高风险环境中的潜在后果的最广泛使用的系统方法。在本工作中，对 LCM 水泥厂的烧成系统进行了 HAZOP 研究。系统被划分为三个主要节点：预热器塔、回转窑和篦式冷却机，相关的设备项目在表 1 中列出。工艺稳定性和熟料质量取决于燃烧效率、原材料成分、停留时间、烧嘴对齐、火焰特性及相关操作参数的控制。由于这三个节点紧密互连，源自一个单元的偏差可能跨子系统边界传播，影响整个烧成线的安全和稳定性。

表 1. 烧成系统节点及相关主要组件。

| 编号 | 节点名称 | 主要功能 | 主要组件 |
| :--- | :--- | :--- | :--- |
| 1 | 预热塔 | 利用窑的废气预热生料。 | 引风机 (ID Fan)、旋风分离器、上升管道、预分解炉、窑喂料系统、烟室。 |
| 2 | 回转窑 | 将材料加热至 ~1450°C 以形成熟料 | 窑壳、入口/出口密封、耐火材料、烧嘴、驱动系统、袋式除尘器。 |
| 3 | 篦式冷却机 | 冷却来自窑的热熟料并回收热量以供再利用 | 篦式冷却机、风机、ESP 风机、破碎机、ESP 过滤器、三次风管道 (TAD)。 |

分析并非纯理论练习，而是通过一系列结构化的多学科 HAZOP 会议嵌入到日常操作中。根据检查的节点和所需的专业知识，参会人员为 6 至 10 名工厂专家，参与者来自操作、工艺工程、维护、轮班监督和安全职能。专家征询得到了工厂特定证据的支持，包括 P&ID、PFD、热量和质量平衡信息、当前操作程序以及可用的异常事件、工艺干扰、事故记录及相关纠正措施。系统地应用指导词 NO、LESS、MORE 和 REVERSE 于相关工艺变量，特别是流量、压力和温度，以识别偏差、原因、后果、现有安全措施和潜在升级路径。专家判断和风险分类通过多学科讨论达成一致，并与操作经验、技术文档和可用的历史记录进行交叉检查，以确保一致且特定的工厂 HAZOP 场景。

所有分析均使用基于 Excel 的标准 HAZOP 模板记录，以保持节点之间的一致性和可追溯性，并支持随后的 Bowtie 和 FRAM 分析。由于完整的 HAZOP 工作表跨越多页，附录 A 提供了一个代表性摘录，以说明用于记录偏差、原因、后果、安全措施、风险等级和建议措施的结构。

风险等级使用表 2 中展示的频率 - 严重程度矩阵进行评估，该矩阵区分了四个类别：可容忍（绿色）、如果 ALARP 则可容忍（黄色）、不可容忍（橙色）和不可接受（红色）。频率评级反映了工厂操作中可比干扰的复发性、可用的历史证据和多学科专家判断，而严重程度评级基于采用评估标准定义的可信后果。例如，一个评级为“可能”（B）且后果为“重大”（4）的场景位于不可接受区域，因此需要通过降低频率、减轻后果或两者兼有来进行优先风险降低。表 3 补充了该矩阵，定义了风险接受标准和每个风险类别的相应行动。

表 2. 风险矩阵。

| 严重程度 \ 可能性 | E (>1)
几乎肯定 | D (>10?3)
可能 | C (>10??)
较可能 | B (>10??)
不太可能 | A (<10??)
罕见 |
| :--- | :---: | :---: | :---: | :---: | :---: |
| (5) 灾难性 | 5 | 5E | 5D | 5C | 5B | 5A |
| (4) 重大 | 4 | 4E | 4D | 4C | 4B | 4A |
| (3) 严重 | 3 | 3E | 3D | 3C | 3B | 3A |
| (2) 重大伤害 | 2 | 2E | 2D | 2C | 2B | 2A |
| (1) 显著 | 1 | 1E | 1D | 1C | 1B | 1A |

*注：原表格式较为紧凑，此处根据文本描述的标准风险矩阵逻辑进行重构以便阅读。*

表 3. 风险矩阵描述。

| 风险水平 | 风险定性描述 |
| :--- | :--- |
| 高 | L1 不可接受的风险：立即终止活动。需要进行风险降低，以降低概率和/或减轻后果的严重程度。 |
| 中 | L2 不可容忍：
? 任务不应开始或应终止。
? 对于新流程或工作活动，在开始流程或活动之前添加安全措施以实现 ALARP。
? 对于现有流程或操作活动，需要区域批准和优先排序的风险降低计划以实现 ALARP。 |
| 低 | L3 如果 ALARP 则可容忍：管理现有控制/屏障以确保持续的风险降低并展示最佳实践。 |
| 可容忍 | N/A 广泛可接受：管理现有控制/屏障，并在适当时抓住进一步降低风险的机会。 |

4.1.1. HAZOP 研究发现

总共，在 HAZOP 研究中识别出 81 个具有潜在安全影响的偏差。分析遵循 IEC 61882 描述的一般方法：工艺被划分为节点，标准指导词与相关工艺变量结合，并由多学科团队检查产生的偏差。对于每个偏差，评估了可能的原因、可信后果和现有的技术及组织屏障。风险评价是定质的，基于结合序数频率和后果尺度的矩阵。在此基础上，14 个偏差（17%）被分类为高风险，25 个（31%）为中风险，34 个（42%）为低风险，8 个（10%）被认为在当前安全措施下可容忍。图 4 展示了风险等级的分布，并为识别可能需要额外风险降低措施的领域提供了基础。

下载：下载高分辨率图像 (183KB)
下载：下载全尺寸图像
图 4. HAZOP 结果的饼图。

4.1.2. HAZOP 结果的解读

熟料制造过程涉及极端条件，预热器塔温度达 900°C，窑内达 1450°C，热气体高达 2000°C，以及大规模物料流动和涉及大量能量交换的复杂吸热和放热反应。这种恶劣的操作环境产生了众多固有危害，包括设备（特别是耐火衬里、窑壳）的严重热应力和火焰不稳定。连续处理热材料和气体也增加了反复堵塞、烧伤、设备化学攻击和容器失效事件的潜在可能性。此类事件可能导致设备故障和对人员的重大危害，并可能升级为危险现象，如热生料雪崩，或在极端情况下，后果堪比重大工业热事件的爆炸场景。

HAZOP 结果表明，风险特征以单元之间的高度相互依赖为特征。虽然大多数偏差处于低到中等范围，但有几个具有升级潜力，因为干扰倾向于跨节点传播，而不是局限于起始部分。烧成线表现出紧密耦合，起源于上游或下游的异常可以改变链条上的操作包络线，影响稳定性和安全性。这些相互依赖创造了系统性的脆弱性，并不总是由针对单一单元设计的安全措施很好地控制。一个代表性例子是预热器塔的堵塞，这是一个能够产生突然的热生料涌入窑并进而进入冷却机的反复偏差。此类事件施加升高的热和机械应力，降低耐火材料寿命，影响燃烧稳定性，并为工人引入额外的安全隐患。另一个例子涉及冷却机向分解炉提供的三次空气不足，这会损害燃烧动力学，升高 CO 浓度，增加未燃燃料，并在特定条件下，创造爆炸性气氛。

系统性危害是烧成线架构和动态固有的。脆弱性的主要来源是单元之间的功能相互依赖水平，由热量、气体、热生料、粉尘和挥发性物种的双向交换以及控制信号维持。共享设备，尤其是主 ID 风机，引入了额外的耦合点并强化了这种互连行为。此类互连增加了级联故障的可能性，其中一个部分的干扰影响加热区的热条件，向下游传播，并启动一系列连锁效应，从而提升整体系统风险。

这些观察表明，以单个单元为中心的控制策略不足以检测、隔离或管理跨单元传播机制。

因此，需要对控制架构、联锁装置和操作规程进行系统审查，以确保及时发现并遏制干扰——无论是源于上游（例如进料波动）还是下游（例如冷却器限制）——防止其级联演变为高后果场景。为解决这些系统性特征，应用了蝴蝶结分析法（Bowtie）和功能共振分析与管理法（FRAM），以评估防护功能在以下方面的能力：
• 吸收源于上游的干扰；
• 遏制向下游传播的影响；
• 中断功能故障的传播；
• 防止升级至高后果场景。

在进行 HAZOP 分析和风险排序后，旋风预热器堵塞被确定为最关键的事件，并选为代表性案例进行详细分析。选择该事件的依据是其反复发生，在疏通操作中可能触发极热生料的突然释放，以及对人员安全、工艺稳定性和设备完整性的重大影响。分析还表明，旋风预热器堵塞可能同时干扰温度、压力和流量等关键工艺参数，同时涉及多个技术、人员和组织屏障。在严重情况下，干扰可能迫使窑停窑及随后重启，在瞬态操作期间引入额外的工艺变异性，包括燃烧不稳定、熄火以及可能增加爆炸等燃烧相关事件风险的条件。因此，旋风预热器堵塞代表了一种高风险的系统性干扰，而非孤立的工艺偏差。

4.1.3. 旋风预热器堵塞
在此场景下，物料在旋风预热器内积聚，以至于正常的生料向下流动和废气向上流动被阻塞（通常发生在旋风筒底部）。当这种情况发生时，大量的热生料会在预热器堵塞点的上方积聚。预热器由各种传感器持续监测，这使得操作员能够识别正在出现或已存在的堵塞。然而，旋风预热器堵塞可能随时发生，由于工艺测量值（旋风筒出口气 duct 中的压力和温度）具有一定的时间延迟，难以预测其何时发生，从而无法预知旋风筒堵塞。

作为受限空间，旋风预热器容易发生常见的堵塞，通常由生料的化学成分和热废气引起。它们的清除通常是在预热器处于高温状态下进行，这是一项非常危险且耗时的操作， potentially 导致严重事故。在此背景下，快速响应并遵循正确的安全操作程序（SOP）至关重要。

在人工清除活动中，障碍物的位置和积聚物料的体积很大程度上决定了暴露的严重程度。直接接触热料是一个主要危害，干预使人员暴露于多种高后果风险中，包括：
• 极热流态化生料和粉尘通过清洁口或检修门突发排放，具有造成严重烧伤的高潜在风险；
• 大量堆积的热料不受控制地释放，产生涌浪或“雪崩”，可能迅速淹没附近的工作人员；
• 被热物料部分或完全淹没；
• 由于粉尘和烟雾导致逃生路径受阻和能见度降低；
• 热物料点燃附近的电缆、软管或可燃物，可能升级为火灾，或在存在气袋的情况下引发爆炸；
• 如果空气炮系统未隔离和固定，意外的高压爆破（高达 10 bar）；
• 辐射热、费力的手工搬运以及可能接触腐蚀性或刺激性物质等额外应激因素（Taibi 等，2025）。

在蝴蝶结图（见图 5）中，每个屏障由一个唯一标识符（B1–B28）表示。旨在防止危害的发布前（预防性）屏障显示在左侧，而旨在降低潜在后果严重性的发布后（缓解性）屏障显示在右侧。

下载：下载高分辨率图像 (359KB)
下载：下载全尺寸图像
图 5. 热料释放蝴蝶结图。

表 4 提供了屏障 ID 的完整列表及其描述，并分为发布前或发布后类别。

表 4. 基线安全架构：预防性和缓解性屏障。

| ID | 发布前（预防性）屏障 | 发布后（缓解性）屏障 |
| :--- | :--- | :--- |
| B1 | 早期检测系统（工艺监测） | B15 | 热料禁用水 |
| B2 | 限制开口尺寸/频率 | B16 | 二级围堵 |
| B3 | 疏通 SOP | B17 | 清理程序（SOP） |
| B4 | 紧急停窑（联锁） | B18 | 耐热耐焰个人防护装备 |
| B5 | 窑入口条件控制 | B19 | 应急响应 |
| B6 | 操作 SOP | B20 | 逃生计划与路线 |
| B7 | 一级围堵（收集箱） | B21 | 避开危险路径 |
| B8 | 空气炮泄压与隔离（LOTO） | B22 | 释放点下方无人 |
| B9 | 优化检修口位置 | B23 | 补水措施 |
| B10 | 合适的清洁工具 | B24 | 通过距离、轮换和 PPE 限制暴露 |
| B11 | 危险点机械锁定 | B25 | 灭火系统 |
| B12 | 出入控制与授权 | B26 | 标识 |
| B13 | 封闭式自动取样系统 | B27 | 维护与快速修复 SOP |
| B14 | 变更管理（MoC） | B28 | 事后应急审查 |

4.1.4. 旋风预热器堵塞的根本原因
旋风预热器堵塞的频率强烈依赖于原料的准备、所用燃料以及窑内的燃烧情况。影响旋风预热器堵塞发生的几个因素包括：机械障碍、物料积聚、旋风筒料溜子堵塞、物料碎片（结圈、耐火材料、深管等）从墙壁脱落、插板阀堵塞（结圈、关节卡死、配重不平衡）、料溜子几何形状错误（弯头、内径）、温度过高（使物料变得粘性）、化学不平衡、由燃烧不良或使用替代燃料产生的过多挥发性元素等。防止旋风预热器堵塞发生必须始终是操作优先事项。

旋风预热器堵塞的主要原因是结圈的形成，这可能发生在加热系统的不同部分。因此，应优化工艺参数以减少由物料特性（化学成分、有效均化和粒度、低水平的硫、碱和水分）以及由燃烧不良或使用替代燃料产生的挥发现象引起的结圈。此外，自动清洁装置（空气炮）应定位和维护，以有效防止堵塞并在无人工干预的情况下清除结圈。它们应被视为安全装置，其功能应由压力变送器监测。在人工清除旋风预热器堵塞之前，必须对这些系统进行隔离和泄压。

此外，旋风预热器性能显著受到放置的耐火砖类型和质量以及废气的影响。一旦耐火砖失去其机械和热性能，必须立即更换。最后，控制燃烧过程、维护、培训以及物料的最佳使用是防止旋风预热器堵塞及其导致的高风险和成本的必要条件。

4.2. FRAM 的应用
该研究重点关注一条 4500 吨/天的熟料生产线，该生产线配备五级预热器和串联煅烧炉。特定的危害场景涉及碱和硫结圈的形成，最常发生在 C3–C4 锥体及其相关的上升管/溜槽中，此处气体温度范围为 850°C 至 880°C，在此温度下物料变得粘性。在正常操作中，自由流动的热料在加热区内积聚。在窑进料速率为 360 吨/小时的情况下，仅仅一分钟的停机就会导致大约六吨热料滞留。因此，对旋风预热器堵塞检测进行及时和适当的响应对于避免非计划停窑至关重要。

该分析应用 FRAM 将热料释放建模为性能变异性的涌现结果，而不是简单的组件故障。范围涵盖了控制室（DCS 监测）、现场干预（空气炮/捅料）和自动联锁在检测或报警后的关键时期的功能耦合。基于这种操作逻辑，系统被分解为八个关键功能（F1–F8）。附录 B 使用 FRAM 的六个方面（输入、输出、前提条件、资源、控制、时间）详细说明了这些功能，明确映射了“实际的工作”（Work-as-Done）的变异性。在应对旋风预热器堵塞时，当变异性在互联的技术、认知、组织、操作和物理功能中传播时，会出现功能共振。系统的保护架构——人体技术安全报警后跟自动联锁——在这种变异性下可能会退化，允许偏差放大而不是消散。

本分析中确定的系统性相互依赖和功能耦合在图 6 中进行了视觉表示，该图说明了使用 FRAM 模型可视化器（FMV）生成的 FRAM 模型。

下载：下载高分辨率图像 (371KB)
下载：下载全尺寸图像
图 6. 旋风预热器堵塞场景的 FRAM 模型。

4.3. 功能描述与变异性评估
FRAM 模型（图 6）映射了旋风预热器清理过程的社会技术动态。与传统线性故障模型不同，该分析确定了日常性能变异性——由组织、认知和操作适应驱动——如何共振产生不受控制的热料释放。功能节点（六边形）及其固有的变异性详述如下。

• 管理生产压力和绕过容忍度（组织性；潜在驱动因素）
作为一项持续存在的潜在组织驱动因素，此功能并不直接作用于物理过程；相反，它普遍调节所有下游功能的变异性。在“想象的工作”（WAI）中，安全参数形式上是刚性的；然而，在“实际的工作”（WAD）中，持续的生产目标和关键绩效指标（KPI）压力需要效率 - 周全性权衡（ETTOs）。因此，响应时间被压缩，安全联锁绕过的可能性增加，人工干预变得更加果断。该功能的输出——施加的生产压力和容忍的绕过条件——通过降低可接受偏差的阈值和延迟自动安全联锁，向系统注入变异性。这种组织变异性与操作和技术变异性相互作用，强化了功能共振并逐渐收紧系统耦合。

• 监测警报和趋势（技术 + 人）
此功能由异常情况的检测触发，通过分布式控制系统（DCS）运行。在 WAI 中，假设通过 DCS 进行连续监测，通过跟踪关键指标（例如 ΔP、阻力稳定性、温度、气体成分）并在超过预定阈值时生成警报，提供工艺条件的客观表示。然而，在实际操作中，其主要变异性在于时间和精度，源于数字表示与工艺快速演变的物理状态之间的内在不匹配。

快速、非线性的物料积聚在 ΔP 测量中产生信号“闪烁”，掩盖了真实的变化率并模糊了早期堵塞的发展。传感器滤波、阻尼效应和系统延迟进一步降低了信号保真度。因此，控制室操作员（CRO）接收到的不是稳定的二进制信号，而是必须解释模糊的趋势。这种认识论上的模糊性延迟了确认，直到偏差变得不容置疑。因此，当趋势在界面上明确建立时，预热器内的物理升级已经显著超出了其数字表示。

• 诊断和确认堵塞（认知 / 组织）
一旦确认警报，此认知 - 组织功能将原始工艺数据转化为可操作的情境意识。检测本身并不能确保准确的诊断；操作员必须在不确定性和高认知负荷条件下解释偏差模式，通常没有堵塞的清晰二进制指示。因此，该功能需要空间定位（例如，识别受影响的旋风筒，如 C3 与 C4）以及严重性和紧迫性评估。

变异性主要表达为诊断精度，受启发式方法、近期操作历史、结圈趋势和生产约束塑造。认知偏见和情境压力可能会扭曲解释或延迟诊断承诺。当确认被推迟或误判时，系统的时间安全裕度逐渐被消耗，不正确的定位可能会触发不适当的响应行动，增加暴露并在输出“堵塞确认”生成前延长响应时间。

• 动员响应和建立隔离区（组织性）
一旦确认堵塞，此组织功能负责部署现场人员并建立危险隔离区。变异性主要源于动员延迟和不当紧迫感之间的振荡。在持续的生产压力和竞争的操作需求下，响应优先级可能会转移，导致由于警报疲劳、警报层级稀释或资源争夺而推迟部署。

相反，当紧迫感升级时，现场团队可能会迅速派出，但情境评估减少，导致隔离区与实际的热力和结构风险条件对齐较弱。这些相反的动力削弱了安全裕度，反映了组织压力和认知紧迫性如何共同塑造响应效果。

• 调整工艺参数（操作 / 认知）
在人工现场干预之前或期间，控制室操作员试图通过调整关键工艺变量（例如阻力、进料速率和热输入）远程稳定系统。尽管旨在作为纠正措施，但这些干预是在紧密耦合的热力学系统中在显著不确定性下执行的，即使微小的调整也可能触发非线性反馈效应。

该功能的主要变异性在于这些控制行动的时间和幅度。在试图避免生产中断同时保持表面稳定的情况下，操作员可能会无意中破坏已经脆弱的物料塞。旨在缓解系统压力的轻微空气动力学或热位移反而会削弱内部凝聚力，加速坍塌过程。

因此，系统在 DCS（分布式控制系统）层面可能呈现出欺骗性的稳定状态，而内部却正在向快速的结构失效转变，最终导致突然释放的热生料爆发，这种爆发先于或与人工干预同时发生。

•手动清除堵塞（操作 – 关键功能）
此功能代表了人工干预与物理系统不稳定性之间的关键枢纽。与自动化过程不同，旋风分离器清除主要依赖手动激活高压空气喷射器（≈10 巴）作为主要纠正机制，预期结果是逐渐恢复气流。在设想工作（WAI）中，清除过程遵循使用受控气化的受控、逐步、自下而上的序列（例如 C4 → C3）。然而，在实际工作（WAD）中，执行过程处于极端的热、声和时间压力下，并受到生产压力的加剧。因此，操作员不仅仅是在执行程序，而是在积极管理一个不稳定系统以避免窑停机。这通常导致更激进或更高频的空气喷射器应用，或偏离规定的 SOP（标准操作程序），试图加速恢复。这种程序变异性向已经不稳定的积累物料中引入了额外的机械能，削弱了内部凝聚力。因此，预期的纠正行动可能成为触发机制：不是渐进式的疏通，干预迫使系统超过临界阈值，引发结构坍塌并产生极热生料的突然涌出释放。

•执行窑安全停车（技术）
通常被概念化为独立、万无一失的主动屏障，但在实践中，这项技术功能极易受到组织耦合和操作权衡的影响。联锁旨在在预定义的不安全条件下（例如持续的 ΔP 高高（HH），不稳定炉膛负压，或设备过载）激活，启动安全停车序列，包括窑主驱动关闭、进料中断、燃料切断（分解炉和主燃烧器）以及协调的风机动作。然而，变异性通过时间退化和功能可用性产生。为了避免热冲击和生产损失，安全阈值可能会向上限调整，手动干预或跳闸旁路条件可能会比预期持续更长时间。因此，由于过滤逻辑、被抑制的联锁或操作员保持的条件，动作可能会被延迟。当手动恢复最终失败且强制停车变得不可避免时，PLC 处理延迟和执行器响应延迟可能导致“安全停车执行”状态发生得稍微太晚，无法完全缓解不断演变的动力学不稳定性。如果此屏障无法吸收上游变异性，持续的进料和气流将维持积累动力学，加速压力积聚并强化全系统的功能共振。

•容纳释放的热生料（物理边界）
此物理功能代表了最终的系统边界，负责吸收旋风分离器清除和/或结构坍塌事件期间产生的体积和热输出。其容量决定了释放的热生料是被安全容纳还是转变为不受控制的排放。此功能的变异性实际上是二元的：容纳能力要么充足，要么被超越。然而，上游非线性积累过程产生了不断升级的不稳定性，既产生了结构削弱，也产生了传感器模糊性（反馈到监测报警和趋势功能中）。随着物料积累加速，内部凝聚力逐渐丧失，增加了突然能量重新分配而不是逐渐释放的可能性。当先前功能在生产压力和操作耦合下变得同步时，它们可能共同产生超过容纳基础设施设计限制的快速热生料涌出。在这种情况下，会发生容纳失效，导致终末热生料释放事件，在极端情况下，压力驱动的升级超出系统设计假设。FRAM 分析表明，不受控制的排放不仅仅是组件失效，而是功能共振。报警解释的延迟压缩了手动疏通的时间窗口，鼓励激进的干预技术。当这种变异性与被抑制或动作缓慢的自动化联锁一致时，系统失去其阻尼能力，导致重大的不受控制释放。

5. 讨论
像水泥煅烧线这样的复杂社会技术系统中的工业事故不仅仅源于失效的屏障或孤立的偏差；相反，它们可能源于通过非线性且紧密耦合的关系相互作用的功能变异性和性能调整。因此，HAZOP、Bowtie 和 FRAM 的整合反映了方法上的互补性而不是冗余，每种方法解决系统性操作风险的不同维度。

5.1. HAZOP、Bowtie 和 FRAM 的优点和局限性
案例研究的主要贡献不在于将 HAZOP、Bowtie 和 FRAM 并排放在一起，而在于它们的整合所促成的分析视角的渐进转变。每种方法解决风险问题的不同层面：HAZOP 构建过程偏差的识别，Bowtie 围绕威胁、屏障和后果组织选定场景，FRAM 检查操作和保护功能的性能在实际操作条件下如何变化及相互作用。因此，整合构成了一个严谨的分析序列，而不是方法的简单积累。

HAZOP 是一种广泛认可的定性技术，用于识别偏离设计意图的操作偏差，特别是温度、压力和流量等过程参数的偏差（Lee 等，2019）。最初为化学和石油化工行业开发（Penelas 和 Pires，2021），其在水泥煅烧中的应用代表了过程安全知识跨行业的转移。尽管本质上耗时，但 HAZOP 提供了一个系统的切入点，因为它对危险识别强加了结构。通过将煅烧系统分解为研究节点并对照预期条件询问过程参数，它建立了一份可审计的可靠偏差清单，并回答了基本的工程问题：可能发生什么故障？然而，在水泥热工处理中，相关偏差超出了传统的流量、压力和温度参数，包括炉膛负压行为、燃烧条件、气体成分、分析仪响应、耐火材料状况、物料积累、热状态和控制系统行为。没有这种结构化和特定领域的方法，危险识别将更依赖于分析师的经验，可能变得具有选择性且难以审计。因此，当适当适应工厂条件时，HAZOP 提供了可追溯的偏差清单，从中可以选择更高风险的场景进行进一步分析。这种解释与 Baybutt 指出的局限性以及 Robinson 强调的适应原则一致（Baybutt, 2015, Robinson, 1995）：问题不在于 HAZOP 本身的适用性，而在于应用时缺乏足够的特定领域分辨率所产生的局限性。

一个具体的例子涉及大约 60 米回转窑内的温度处理。将整个窑应用于单一的高温偏差可能过度简化了一个由热和功能上不同区域组成的反应器，这些区域具有不同的耐火材料、反应机制、降解机制和热冲击极限。因此，全窑范围的偏差可以聚合物理和操作上不同的危险机制。这种空间局限性被时间局限性所加剧。气相和壳温度测量可能响应相对较快，而熟料床和耐火材料在更长的热时间尺度上演变。因此，测量的温度偏差可能不代表同一时刻物料床或耐火材料的实际热状态，产生状态观察不匹配，而传统 HAZOP 没有明确表示这一点。因此，更精细的应用应将窑划分为特定区域的子节点，并明确考虑过程动态与测量响应时间之间的差异。

从能量流/屏障的角度来看（Shahrokhi 和 Bernard，2010），热工处理系统还涉及相互作用的热、化学、压力/流量、机械、电/静电、重力和辐射能域，传统 HAZOP 没有明确追踪这些域。因此，未来的工作可以研究 ETBA（能量流屏障分析）的互补使用，据报道它能增强基于 HAZOP 的危险评估（Habibi 等，2011）。

HAZOP 的结构局限性仍然内在存在于其表格形式中。单独的工作表行可以识别积累、异常压力、过高温度、物料流动受损、延迟隔离或仪表故障，但它们不能轻易显示这些偏差如何组合成不断演变的场景，或者不同行中列出的保护措施是否依赖于共同的测量、资源、控制逻辑、电源、操作员注意力或操作条件。因此，HAZOP 提供了偏差的系统性覆盖，但仅提供场景架构的有限表示。

Bowtie 通过将选定的 HAZOP 输出重新组织成连贯结构，链接威胁、顶事件、预防性屏障、缓解性屏障和后果，来解决这一局限性。在旋风分离器堵塞案例中，这种表示使预期的安全架构变得可见，并阐明过程控制、报警、联锁、人工干预、隔离措施和容纳功能如何相对于升级进行定位。因此，它解决了互补性问题：风险预期如何被控制？其简单性也在安全研究必须由操作、维护、管理和安全人员解释时提供了重要的沟通优势。然而，这种简单性可能会造成一种印象，即屏障是离散的、独立的和不变的。一个屏障可能在形式上存在，但其有效性仍然取决于过程条件、仪表质量、操作员解释、时机、资源、维护条件或组织决策。几个屏障可能也共享共同依赖项，包括相同的测量系统、控制逻辑、操作员注意力或决策权限。因此，Bowtie 在表示风险预期如何被控制方面很强，但不太适合表示在实际工作条件下该控制的有效性如何变化。

正是在这种背景下，FRAM 提供了特殊的分析价值。FRAM 不是将屏障和操作活动视为二元元素——可用或失效，而是将它们表示为功能，其性能取决于输入、输出、时机、控制、资源、前提条件。因此，监测、诊断、动员、手动恢复、安全停车动作、危险能量隔离、容纳、应急响应、生产压力调节和屏障就绪状态可以作为动态相互作用的功能进行检查。因此，FRAM 将分析问题从是否存在保护措施转移到了随着情况演变，其性能所需的功能条件是否仍然可用。然而，FRAM 也有局限性。它不能提供与 HAZOP 相当的系统性危险覆盖，其耦合结构可能难以与非专业人士沟通，功能变异性的表征仍然主要是定性的，依赖于专家判断和可用的操作证据。单独使用，它可能只能提供有限的监管可追溯性。这些局限性强化了整合的理由：HAZOP 提供结构化的偏差识别，Bowtie 澄清预期的屏障架构，FRAM 检查决定其性能的功能依赖关系。

5.2. 整合方法的增值
框架的主要分析优势在于它连接了风险描述的三个层面——偏差、屏障和功能——单一方法分析往往分别处理这些层面。HAZOP 识别什么可能发生偏差；Bowtie 显示结果场景预期如何被控制；FRAM 检查当操作条件、时机、资源、信息质量和人类绩效变化时，该控制是否仍然可信。这种进展特别适用于水泥热工处理，因为干扰很少局限于其发生的组件中。热、物料流、压力、重力和控制相互作用强烈耦合预热器、窑和冷却器，允许明显局部的偏差跨子系统边界传播。因此，干扰的效果并不总是能从受影响组件的行为中推断出来。这一发现与基于复杂性的安全解释一致，其中事故源于系统组件之间的相互作用，而不是单一的线性故障链（Dekker 等，2011）。复杂系统不仅涉及预测的困难，还涉及认识论局限：局部变异性的后果取决于技术、人类和组织条件的组合，这些条件并不总是能预先完全指定。FRAM 不通过预测独特的事故轨迹来解决这种不确定性。其分析价值在于识别功能变异性的合理组合，通过这些组合，个别可管理的条件可能相互作用并逐渐降低系统吸收干扰和恢复的能力。旋风分离器堵塞案例说明了这种区别。HAZOP 识别物料积累、流动受损、异常压力、温度偏差及其相关原因和后果。Bowtie 将选定场景定位在预期的保护架构内，并识别预期防止升级或缓解热生料释放的保护措施。FRAM 通过显示监测、诊断、动员、手动清除、安全停车动作、危险能量隔离、容纳、应急响应和生产压力调节如何变得功能耦合，增加了一个进一步的分析层面。建模路径说明了这种耦合如何可能产生高后果的升级。旋风分离器内的物料积累，例如 C3，最初可能反映为上升的过程指示。如果指示有噪声、模糊或反复被解释为瞬态波动，对正在发展的堵塞的识别可能会被延迟。到高高（HH）条件变得明显时，可能已经积累了额外的生料，压缩了用于诊断、动员和干预的时间。时间压缩随后可能在操作功能之间造成冲突。

负责手动清理的现场操作员可能需要在紧迫性增加的情况下介入，而控制室则需同时权衡安全停机决策与生产和工艺连续性的考量。在这种情况下，“实际工作”可能与程序假设的名义序列产生偏差。更强力地使用空气炮或改变规定的自下而上清理顺序——例如，在较低阶段限制解除之前于较高阶段介入——可能会与积聚的材料产生不利相互作用。这种干预可能不会逐步恢复物料流动，反而可能扰乱预热器内的空气动力学和重力平衡，并松动大量物料塞。积聚物料的 rapid downward displacement (快速向下位移) 可能会产生类似活塞的压力效应，并向检查门或其他开口产生回吹。如果这种物理扰动与延迟或不可用的保护动作以及受损的手动恢复同时发生，大量物料激增可能会传播向回转窑和冷却机，并通过清理门、捅棒口、挡板、溜槽或其他可用开口排出。冷却机和下游设备是为连续的物料和热负荷设计的，而不是为瞬态异常激增设计的。因此，它们吸收这种瞬态的能力可能会超出极限，增加丧失包容性和未受控排出红热物料的可能性，带来严重的烧伤危害、设备损坏以及进一步的工艺升级。重要的是，这条路径不应被解释为确定性的事故序列。其意义在于展示几个 individually understandable variations (各个可理解的变异)——信息模糊、诊断延迟、时间压力、程序适应、工艺条件变化、屏障性能以及组织优先级——如何变得相互强化。

因此，综合框架揭示了一种共因脆弱性形式，这很难从传统的屏障清单中识别出来。蝴蝶结图可能显示多个预防和缓解屏障，但它们的表面数量并不一定意味着等效的独立保护。监控、诊断、安全停机、隔离和手动恢复可能共享共同的依赖关系，如仪表质量、控制系统可用性、工艺知识、操作员注意力、沟通或组织授权。因此，相关问题不仅是代表了多少个屏障，而是它们在被要求的条件下是否保持足够独立和有效。由此产生的分层分析结合了来自 HAZOP 的可审计偏差基础、来自蝴蝶结图的威胁和屏障的明确表示，以及来自 FRAM 的条件屏障性能的依赖关系的职能描述。从概念上讲，这也结合了安全一和安全二视角（Sarvari 等，2024 年），而不将它们视为竞争方法。HAZOP 和蝴蝶结分析保留了安全一对识别可能出错之处和定义旨在防止或减轻不利后果的安全保障的强调。FRAM 增加了互补的安全二问题，即正常的绩效调整、资源限制和变化的操作条件如何影响这些安全保障和操作功能执行的能力。对于水泥热工处理，这两种视角都是必要的，因为正式保护系统在一个不断适应的社会技术环境中运行。

5.3. 组织复杂性、生产压力和风险治理

旋风分离器堵塞分析还表明，组织条件不能被仅仅视为背景影响。生产压力、决策权、沟通、人员配备和运营优先级可以直接影响安全相关功能的时机、协调和可用性。生产压力尤为重要，因为它可能影响有关干预和停机决策阈值。操作员和主管必须协调竞争目标：维持生产连续性、避免不必要的跳车、保护设备和确保人员安全。在工艺条件恶化的情况下，同时满足这些目标可能变得越来越困难。因此，涉及生产压力调节的 FRAM 功能代表了组织耦合，而不是外部背景变量。这种解释与 Komljenovic 等（2017）强调的观点一致，他们强调了组织结构、沟通、决策过程和业务压力对复杂工业环境中安全绩效的影响。“实际工作”不仅由程序和个体能力塑造，还由决策制定的组织条件塑造。因此，仅针对操作员合规性的干预将只解决本分析中识别出的机制的一部分。

该案例也说明了 ?rstad 和 Aven（?rstad 和 Aven, 2017）讨论的自满和复杂性盲区的 相关性。反复出现的模糊迹象或看似无害的工艺波动可能会逐渐被正常化，降低它们触发早期干预的能力。同样，对既定程序、警报、联锁或手动清理实践的信心可能会促成一种隐含假设，即这些控制措施无论操作条件如何变化都将保持有效。在旋风分离器堵塞背景下，模糊迹象的正常化可能会延迟对不断升级的积聚的认识，而对既定保障措施的信心可能会掩盖其有效性取决于时机、物料状态、工艺空气动力学、操作员可用性和组织决策这一事实。当个别控制措施被单独评估，而它们的共享依赖关系和相互作用没有得到充分考虑时，就会出现复杂性盲区。因此，风险治理必须超越验证屏障的名义存在。它应解决警报可能被忽略、安全停机行动被推迟或抑制、手动干预被授权、生产优先级被修改以及恶化条件在组织内升级的条件。有效的治理还要求此类适应保持可见和可审查，而不是逐渐成为常规操作的正常化特征。因此，该分析明确解决了人机交互问题，而没有将场景简化为操作员错误。人类认知既塑造工作条件，也受工作条件塑造：信息质量影响解释；工艺紧迫性影响决策时间；组织优先级影响可用选择；以前的操作经验影响什么被视为正常或异常。因此，人类绩效应被解释为系统适应性行为的一部分，而不是独立的因果类别。

5.4. 证据解释和研究局限性

通过 FRAM 识别的系统机制应相对于案例研究的证据基础进行解释。工厂文件、操作程序、历史扰动、技术记录和跨学科专家征询为识别可信偏差、保障措施、操作约束和功能关系提供了经验基础。然而，FRAM 模型中表示的并非每个详细相互作用都对应于直接观察到的事故序列。一些机制——包括模糊信号的正常化、延迟解释、保护动作的暂时推迟或抑制以及手动清理行为的适应——代表从专家征询和建模得出的合理功能相互作用。因此，它们应被解释为在表示条件下分析上可信的路径，而不是对单个记录事件的法医重建。这里使用 FRAM 来探索可变性如何组合和共振，而不是声称某个预定序列必然发生。因此，本研究证明了在调查的水泥烧成线上整合 HAZOP、蝴蝶结和 FRAM 的可行性和实际分析价值，而不是提供方法论的形式验证。该分析涉及单个工业站点和一个选定的高风险场景，并依赖于专家判断、功能变异性的定性表征以及可用特定工厂信息的范围和质量。没有使用独立的事故数据集、定量专家一致性度量、替代系统建模方法或跨工厂比较来验证识别的耦合路径。因此，该框架应被视为一种探索性的案例研究方法，用于揭示系统依赖关系和支持基于风险信息的决策，而不是预测模型或普遍验证的方法论。需要进一步应用于其他工厂、窑配置、操作状态和事故场景，以检查其可转移性和稳健性。尽管存在这些局限性，但综合分析识别了单独使用各方法不易获得的安全相关关系。在调查的案例中，这些包括堵塞迹象的可靠性和解释、诊断和干预的时机、安全停机功能的治理、手动清理的条件、现场和控制室人员之间的协调、危险能量隔离、包容就绪性以及生产优先级对操作决策的影响。因此，从分析中得出的建议应明确可追溯至相应的 HAZOP 偏差、蝴蝶结屏障和 FRAM 功能，而不是作为通用的技术改进提出。基于这些发现，提出以下建议以加强水泥烧成系统的韧性并支持更安全的操作实践。

5.5. 建议

以下建议源自旋风分离器堵塞和热生料释放的综合 HAZOP–蝴蝶结–FRAM 分析。与系统性发现一致，重点不仅是保障措施的存在，还在于维持其有效性能所需的技术、人类和组织条件。

5.6. 优先级 1：加强早期检测与工艺稳定性

防止升级始于及时识别预热器内的物料积聚和异常流动条件。因此，连续监控应集中在旋风分离器积聚和堵塞的指标上，包括压差、温度分布、物料流量、抽风行为和其他相关工艺信号。警报逻辑应支持早期识别异常趋势，而不是仅仅依赖在大量积聚发生后达到的高高阈值。监控应得到稳定燃烧控制、一致的原料混合质量和有效的窑喂料条件控制的 support，因为工艺不稳定可能促进结圈形成、物料积聚和扰动传播。应定期检修、校准和维护测量设备及相关仪表，以保留诊断和干预所依赖的信息质量。

5.7. 优先级 2：验证屏障性能和共享依赖关系

安全管理应超越确认屏障正式存在，并验证在异常操作期间其性能所需的条件仍然可用。对于旋风分离器堵塞场景，这包括监控和警报的可靠性、及时诊断、安全停机功能的可用性、有效的危险能量隔离、适当的手动清理条件和包容就绪性。应特别注意共享依赖关系，因为单个资源的退化可能会同时损害多个安全保障。引风机（ID 风机）尤为重要，因为其性能影响预热器抽风、气体输送、压力稳定性、燃烧条件和扰动期间的物料行为。在引风机故障或退化可能同时损害多个安全功能的情况下，应评估合适的冗余或保持足够可用性的等效手段。应定期验证主要和冗余安排的可靠性及降级模式性能。耐火衬里、窑和预heater 钢结构、密封、门、挡板、溜槽和其他与包容相关组件的状况同样应包括在预防性维护计划中，因为它们的完整性决定了系统承受异常热和压力负荷的能力。

5.8. 优先级 3：控制手动干预和支持人类绩效

手动旋风分离器清理应被视为安全关键活动，而不是常规操作任务。在异常条件下应限制进入受影响区域，且干预仅应在关于工艺稳定性、隔离状态、物料条件、与控制室沟通以及人员安全定位的明确界定标准下 proceed。标准操作程序应规定允许的清理顺序、空气炮或捅棒设备的使用、隔离要求、停止标准以及需要升级或停机的条件。然而，仅靠程序是不够的。FRAM 分析表明，当操作员面临模糊信息、压缩响应时间、警报负担或生产压力时，可能会偏离规定动作。因此，培训应培养识别恶化系统条件的能力，并在不确定性下支持保守决策。控制室操作员应具有明确的权限，当关键堵塞指标或相关工艺偏差超过定义极限时，停止或减少窑喂料，并在操作状态要求时减少燃料输入。基于模拟的培训，包括可用烧成线或工艺模拟器，可用于排练堵塞发展、升级、沟通、安全停机决策和协调恢复，而不使人员暴露于实际危害。进入可能暴露于热生料释放区域的人员应受到严格的访问控制，并配备任务特定的保护设备，包括符合适用标准（例如 ISO 11612）的适当耐热和耐火焰服装。

5.9. 优先级 4：加强包容和应急准备

由于不能假设完全防止突然物料释放，应在可信释放地点周围加强后果缓解措施。应基于检查门、捅棒口、挡板、溜槽和相关开口的潜在排放路径，明确定义主要和次要热物料包容区。逃生路线应保持畅通，并在可行时，位于可信热物料释放路径之外。应急响应计划应明确解决旋风分离器堵塞和突然热生料排放，包括区域隔离、人员疏散、沟通、对严重热暴露的初步响应、工艺停机以及恢复。这些安排应定期审查和演练，而不是被视为静态文件。还应评估溢流包容 provision 容纳异常数量和温度排放物料的能力。

5.10. 优先事项5：通过布局和自动化降低暴露

应优先对占用区域或常规通行位置处于可信释放区或辐射热区的设施进行修改。设施设计应逐步减少人员进入存在热物料释放、高辐射热、不稳定沉积物或压力驱动回喷区域的必要性。在基于特定场地的后果评估支持下，应将处理危险物料的占用功能与关键控制和应急响应位置分离，以减少升级期间的共同暴露。

远程检查与干预技术可为降低暴露提供额外手段。当无人机、固定远程监控系统、机器人设备或远程操作清理技术能够替代或减少人员进入高风险区域时，应予以考虑。其实施应经过特定场地的风险和可行性评估，并针对分析表明能实质性减少人员暴露的任务。

5.11. 优先事项6：加强组织控制与变更管理

分析表明，生产目标可能影响干预、停车和恢复决策的时机。因此，治理安排应明确定义减少进料、停止工艺、限制人工干预和启动应急响应的升级阈值和决策权限。临时覆盖、旁路、被抑制的安全保障或偏离正常清理做法的情况应受控、记录、限时，并接受审查。

可能改变物料行为或堵塞倾向的变更——包括生料配比成分、燃料类型或替代率、进料特性、操作限值、仪表、控制逻辑、耐火材料配置或预热器设备的修改——应触发适当的变更管理程序。审查应考虑现有的HAZOP偏差、Bowtie屏障和FRAM功能依赖在修改后的条件下是否仍然有效。

总体而言，这些建议将关注点从孤立的设备保护转向维持系统弹性。对于旋风筒堵塞情景，这需要可靠的早期检测、共享技术资源的保全、受控的人工干预、强大的遏制和应急准备、减少人员暴露，以及在生产压力下保持安全关键决策的组织安排。因此，每项措施都应可追溯至分析中识别的相应HAZOP偏差、Bowtie屏障或FRAM功能。

6. 结论

复杂社会技术系统（如水泥热工生产线）中的工业事故并非仅源于孤立的设备故障或个别操作人员错误。相反，它们可能源于紧密耦合系统中功能变异性、性能调整、工艺扰动和组织压力之间的相互作用。本研究考察的旋风筒堵塞案例说明了物料积聚、工艺指示模糊、诊断延迟、响应时间压缩、人工干预、屏障性能变化和生产相关决策如何相互作用并导致不可控的炽热物料释放。

在此路径中，信号模糊可能逐步侵蚀诊断窗口，压缩可用的响应时间，并增加更激进的人工疏通的可能性。与此同时，自动安全联锁可能在旁路容忍或生产连续性压力导致的延迟激活下被削弱。当此类适应同时发生时，物料积聚可能升级直至超过遏制的物理极限。在这些高风险条件下，约1450°C的物料表现出与火山碎屑现象相当的特性，留下极其狭窄的容错余地，并放大延迟或错配行动的后果。

这一发现强化了一个关键的方法学贡献：HAZOP通过结构化工艺偏差识别"是什么"，Bowtie通过表征预期的屏障架构阐明"如何"，FRAM通过考察正常性能变异性和功能依赖如何相互作用并促成系统升级来探讨"为什么"。因此，HAZOP-Bowtie-FRAM框架的附加价值在于在连贯的分析进程中连接偏差识别、屏障架构和功能变异性。这种视角将解释从个别屏障失效或人为错误推向了技术、人和组织条件对安全绩效的联合影响。

实际意义是从安全保障清单向屏障性能治理的转变。水泥煅烧安全管理不仅应验证屏障是否存在，还应验证其正常运行所需的条件在正常、瞬态、降级和生产压力运行期间是否得到维持。对于旋风筒堵塞，这包括可靠的物料积聚检测、充足的引风机可用性、及时诊断、受保护的安全停车权限、受控的人工清理条件、有效的危险能量隔离、遏制就绪、明确的升级标准和明确的生产压力治理。加强这些条件可提高煅烧系统预见、吸收、应对和从异常情况中恢复的能力。

研究结果还强化了将人员绩效视为适应性社会技术系统的一部分而非独立故障来源的需要。当信息模糊、干预时间有限或必须协调相互竞争的生产与安全目标时，操作适应可能在局部是合理的。因此，安全改进应针对塑造此类适应的条件——包括信息质量、报警解释、沟通、决策权限、程序、培训和组织优先级——而非主要依赖程序合规。

然而，这些发现应在探索性工业案例研究的边界内加以解读。分析是在单个水泥厂进行的，并聚焦于一个选定高风险情景。功能变异性通过定性方式和部分多学科专家判断进行表征，未使用其他工厂、定量专家一致性度量或替代系统性建模方法进行独立验证。因此，本研究表明所提出整合方案在被研究案例中的可行性和实际分析价值，而非普适有效性或预测能力。需要进一步在不同窑型配置、操作条件、燃料和事故情景中的应用以检验其可迁移性和稳健性。

进一步的方法学发展可涉及FRAM信息化的Bowtie，其中FRAM原则直接嵌入Bowtie表示中。不再仅将屏障表示为离散的预防性或缓解性要素，其性能也可通过功能变异性、时序、资源、控制、前提条件和对其他系统功能的依赖来表征。此类方法可在保留Bowtie可访问性和沟通优势的同时，纳入对屏障在瞬态、降级和生产压力条件下行为的更动态表征。因此，其在其他情景和工业环境中的应用与验证代表未来研究的一个相关方向。

向数字化、低碳熟料生产转变可能增加水泥热工系统中的耦合程度和操作复杂性。对替代燃料、先进自动化和演进控制策略更大程度的依赖也可能增加热力学和操作变异性，对主要依赖线性因果关系和静态合规假设的安全管理方法构成挑战。在此背景下，所提出的HAZOP-Bowtie-FRAM框架通过连接工艺偏差、屏障性能和功能变异性，为适应新兴操作条件的风险评估提供了合适的基础。其未来应用可支持在新型燃料、自动化技术、控制策略和操作约束重塑技术、人和组织功能之间的互动时重新评估安全控制。因此，安全且具韧性的熟料生产将越来越依赖于适应性社会技术安排——包括基于仿真的培训、适当的决策权限、先进传感、自动化和远程干预技术——这些安排能够增强系统预见、吸收、应对和从异常条件中恢复的能力，同时平衡能源效率、环境目标和操作稳定性。从这一角度看，现代熟料生产中的安全更应被理解为一种持续维持的系统能力，其有效性取决于在不断变化的操作需求下保持安全性能所需的功能条件，而不仅仅是对固定约束的合规。

6.1. 展望

该方法学首次应用于真实案例研究，并证明了其捕捉复杂社会技术系统中高风险情景的能力。此项工作随后作为全球其他工厂类似研究的试点，涵盖了新建和现有装置。

7. 声明与声明

不适用。

资金声明

本文的研究、撰写和/或发表未获得任何资金支持。

CRediT作者贡献声明

Hicham Taibi：写作——审阅与编辑、写作——初稿、可视化、方法论、调查、数据整理、概念化。David Slater：写作——审阅与编辑、验证、指导、方法论、调查、数据整理、概念化。Elias Hadjadj Aoul：写作——审阅与编辑、写作——初稿、验证、形式分析、数据整理、概念化。Abdelmalek Chergui：写作——审阅与编辑、验证、方法论、调查、形式分析、概念化。

资金

本研究未从公共、商业或非营利机构的资助机构获得任何专项资助。

Hicham Taibi | David Slater | Elias Hadjadj Aoul | Abdelmalek Chergui

Badji Mokhtar-Annaba大学技术学院电磁学系机电工程实验室，B.P. 12, Annaba 23000, 阿尔及利亚