安全管理工程：6-1 系统安全管理概述与实施

1、安全管理工程安全管理工程6.1 6.1 系统安全管理概述系统安全管理概述与实施与实施 （第（第 13 讲）讲）u 系统安全的由来、发展与定义系统安全的由来、发展与定义u 系统安全管理概述系统安全管理概述u 系统安全管理实施系统安全管理实施6.1 6.1 系统安全管理概述与实施系统安全管理概述与实施 u 系统安全的由来、发展与定义系统安全的由来、发展与定义背景背景l生产过程中人的失误不可避免。生产过程中人的失误不可避免。l随着系统或产品的复杂化、大型化，这一问题随着系统或产品的复杂化、大型化，这一问题更严峻。更严峻。l以严格的管理与制度束缚人的行为，不符合现以严格的管理与制度束缚人的行为，不符合

2、现代安全管理追求的目标。代安全管理追求的目标。系统安全管理系统安全管理l通过在系统设计阶段对系统的安全问题进行系通过在系统设计阶段对系统的安全问题进行系统、全面、深入的分析和研究，并合理地采取相统、全面、深入的分析和研究，并合理地采取相应措施，既提高了系统的安全性，也降低了对人应措施，既提高了系统的安全性，也降低了对人行为的约束和限制，用较低的代价取得了较好的行为的约束和限制，用较低的代价取得了较好的安全效果。安全效果。l 产品的研制、设计、试验、生产、销售产品的研制、设计、试验、生产、销售、投入使用直至报废的整个寿命周期中、投入使用直至报废的整个寿命周期中都可能存在潜在的危险，导致事故的发都

3、可能存在潜在的危险，导致事故的发生。生。l 为了提高产品或系统的安全性，就需要为了提高产品或系统的安全性，就需要对其寿命周期和子系统之间关联进行研对其寿命周期和子系统之间关联进行研究分析，识别潜在危险并做出定性和定究分析，识别潜在危险并做出定性和定量评价，提出控制或消除潜在危险措施量评价，提出控制或消除潜在危险措施，使产品或系统风险降低到可接受的程，使产品或系统风险降低到可接受的程度，达到保证产品或系统安全的目的。度，达到保证产品或系统安全的目的。系统安全的由来系统安全的由来系统安全的发展系统安全的发展美国武器采办美国武器采办及核工业领域及核工业领域我国的安全工作我国的安全工作 美国发展导弹武

4、器美国发展导弹武器 20世纪世纪50年代年代末到末到60年代前半年代前半期，由于忽视了期，由于忽视了发射系统各子系发射系统各子系统间接口的安全统间接口的安全问题，推迟试验问题，推迟试验计划。后推出一计划。后推出一系列比较成熟的系列比较成熟的系统安全标准。系统安全标准。 20世纪世纪70年代年代后期，美国国防部后期，美国国防部颁发和修订了一系颁发和修订了一系列指令和指示，对列指令和指示，对武器采办中的系统武器采办中的系统安全工作提出了高安全工作提出了高层次的规定层次的规定 。 70年代美国在核年代美国在核武器和核工业领域武器和核工业领域相继提出了保证安相继提出了保证安全的问题。全的问题。 20世

5、纪世纪70年代年代末期以来，引进了末期以来，引进了许多系统安全的理许多系统安全的理论与方法，并在应论与方法，并在应用中取得了一系列用中取得了一系列的成果。但在产品的成果。但在产品或系统的全寿命周或系统的全寿命周期的安全性分析、期的安全性分析、研究、应用却进展研究、应用却进展甚微。甚微。系统安全的定义系统安全的定义 指在系统的寿命周期所有阶段，以使用效能、时间为指在系统的寿命周期所有阶段，以使用效能、时间为条件，应用工程和管理的原理、准则、技术，使系统获得条件，应用工程和管理的原理、准则、技术，使系统获得最佳的安全性。最佳的安全性。 含三方面意义：含三方面意义：提高系统的安全性，并非不计代价；提

6、高系统的安全性，并非不计代价；追求产品的安全性，应当考虑产品全寿命追求产品的安全性，应当考虑产品全寿命周期的安全性；周期的安全性；实现产品最佳的安全性能，关键是要保证实现产品最佳的安全性能，关键是要保证各个子系统的最佳耦合。各个子系统的最佳耦合。系统安全的主要特点系统安全的主要特点 早、快、省、好、佳。早、快、省、好、佳。安全重视安全重视早早措施到位措施到位快快安全成本安全成本省省安全效果安全效果好好接口耦合接口耦合佳佳系统安全与传统技术安全的区别系统安全与传统技术安全的区别u 系统安全管理概述系统安全管理概述前者为后者提供各类前者为后者提供各类危险分析、风险评价危险分析、风险评价的理论与方法

7、及消除的理论与方法及消除或减少风险的专门知或减少风险的专门知识和技能。识和技能。系统安全的两个组成系统安全的两个组成部分，两者相辅相成部分，两者相辅相成后者选择合适的危险分析与后者选择合适的危险分析与风险评价的方法，确定分析风险评价的方法，确定分析的对象和分析深入的程度，的对象和分析深入的程度，并根据前者分析评价的结果并根据前者分析评价的结果做出决策，要求前者对危险做出决策，要求前者对危险进行相应的消除或控制。进行相应的消除或控制。 2、系统安全详细要求、系统安全详细要求 系统安全优先次序系统安全优先次序 风险评价风险评价 已识别危险的处理已识别危险的处理 系统安全大纲系统安全大纲 系统安全大

8、纲目标系统安全大纲目标 系统安全设计要求系统安全设计要求 3、系统安全大纲计划系统安全大纲计划 u 系统安全管理实施系统安全管理实施产品设计应满足的基本系产品设计应满足的基本系统安全要求，属必要条件。统安全要求，属必要条件。产品承制方与订购方讨论产品承制方与订购方讨论协商确定的要求，属可选协商确定的要求，属可选性条件。性条件。产品承制方应建立一个系产品承制方应建立一个系统安全管理系统，旨在保统安全管理系统，旨在保证产品的安全性能符合有证产品的安全性能符合有关要求。在该管理系统中关要求。在该管理系统中，应由承制方主要负责建，应由承制方主要负责建立、控制、结合、指导和立、控制、结合、指导和实施系统

9、安全大纲，并应实施系统安全大纲，并应保证将事故风险消除或控保证将事故风险消除或控制在已建立的可接受风险制在已建立的可接受风险范围内。范围内。 为保证所建立的系统安为保证所建立的系统安全大纲达到上述目标，全大纲达到上述目标，在管理系统中应选择合在管理系统中应选择合适的人选负责系统安全适的人选负责系统安全大纲的建立及实施管理大纲的建立及实施管理过程，并在产品安全性过程，并在产品安全性方面直接对承制方主要方面直接对承制方主要负责人负责。负责人负责。 （1 1）及时、经济地将符合任务要求的安全性设计到系统中；）及时、经济地将符合任务要求的安全性设计到系统中；（2 2）在系统整个寿命周期内识别、跟踪、评

10、价和消除系统中的危险）在系统整个寿命周期内识别、跟踪、评价和消除系统中的危险，减少到可接受的水平；，减少到可接受的水平；（3 3）考虑并应用以往的安全资料，包括其他系统的经验、教训。）考虑并应用以往的安全资料，包括其他系统的经验、教训。（4 4）在采纳和使用新的工艺、材料、设计和新的生产、试验和操作）在采纳和使用新的工艺、材料、设计和新的生产、试验和操作技术时，寻求最小风险；技术时，寻求最小风险；（5 5）将消除危险或将风险减少到管理部门可接受水平所采取的措施）将消除危险或将风险减少到管理部门可接受水平所采取的措施记录成文；记录成文；（6 6）在系统的研究、研制和订购中及时地考虑安全特性，以尽

11、量减）在系统的研究、研制和订购中及时地考虑安全特性，以尽量减少为改善安全性而进行的改装；少为改善安全性而进行的改装；（7 7）在设计、建造中或任务要求发生更改时，所采用的方法应使风）在设计、建造中或任务要求发生更改时，所采用的方法应使风险保持在管理部门可接受的水平；险保持在管理部门可接受的水平；（8 8）在寿命周期内尽早考虑与系统有关的任何有害材料的安全性，）在寿命周期内尽早考虑与系统有关的任何有害材料的安全性，并使之易于报废和退役处理。应采取措施尽可能少地使用有害材并使之易于报废和退役处理。应采取措施尽可能少地使用有害材料，使与使用有害材料有关的风险和寿命周期费用减到最小；料，使与使用有害材

12、料有关的风险和寿命周期费用减到最小；（9 9）把重要的安全数据作为经验记录下来，并记入数据库，或用作）把重要的安全数据作为经验记录下来，并记入数据库，或用作更改设计手册和说明书的建议。更改设计手册和说明书的建议。（1 1）通过设计，包括原材料的选择和代用，消除已识别的危险或减少）通过设计，包括原材料的选择和代用，消除已识别的危险或减少相关的风险。若必须使用有潜在危险的原材料时，应选择那些在系相关的风险。若必须使用有潜在危险的原材料时，应选择那些在系统寿命周期内风险最小的原材料；统寿命周期内风险最小的原材料；（2 2）将有害物质、零部件和操作与其他活动、区域、人员及不相容的）将有害物质、零部件和

13、操作与其他活动、区域、人员及不相容的原材料相隔离；原材料相隔离；（3 3）设备的位置安排应使工作人员在使用、保养、维护、修理和调整）设备的位置安排应使工作人员在使用、保养、维护、修理和调整过程中最少地暴露于危险环境中，如危险的化学药品、高压电、电过程中最少地暴露于危险环境中，如危险的化学药品、高压电、电磁辐射、切削刃口或尖锐部位等；磁辐射、切削刃口或尖锐部位等；（4 4）将因为恶劣的环境条件所导致的风险最小化，如温度、压力、噪）将因为恶劣的环境条件所导致的风险最小化，如温度、压力、噪声、毒性、加速度和振动等；声、毒性、加速度和振动等；（5 5）系统设计应使在系统使用和保障中由于人的差错所导致的

14、风险最）系统设计应使在系统使用和保障中由于人的差错所导致的风险最小；小；（6 6）考虑采取补偿措施，把不能消除的危险所导致的风险减少到最低）考虑采取补偿措施，把不能消除的危险所导致的风险减少到最低程度。这类措施包括：联锁、冗余、故障安全设计、系统防护、灭程度。这类措施包括：联锁、冗余、故障安全设计、系统防护、灭火设备和防护服装、设备、装置和规程等；火设备和防护服装、设备、装置和规程等；（7 7）用物理隔离、屏蔽等方法，保护冗余子系统的电源、控制）用物理隔离、屏蔽等方法，保护冗余子系统的电源、控制装置和关键零部件；装置和关键零部件；（8 8）当各种补偿设计措施都不能消除危险时，应提供安全和报）当

15、各种补偿设计措施都不能消除危险时，应提供安全和报警装置，并给出适当的警告和注意事项，标出醒目标记，以警装置，并给出适当的警告和注意事项，标出醒目标记，以确保人员和设备得到保护。对于已有的标准尚未顾及的问题确保人员和设备得到保护。对于已有的标准尚未顾及的问题，通常应予以标准化，并应向管理部门提供全部警告、注意，通常应予以标准化，并应向管理部门提供全部警告、注意和提示标志的复印件；和提示标志的复印件；（9 9）使意外事故中人员伤害或设备损坏的严重程度最小；）使意外事故中人员伤害或设备损坏的严重程度最小；（1010）设计软件控制或监测的功能，使危险事件或事故的发生）设计软件控制或监测的功能，使危险事

16、件或事故的发生达到最小；达到最小；（1111）评审设计准则中对安全不足或过分限制的要求。根据研）评审设计准则中对安全不足或过分限制的要求。根据研究、分析或试验数据推荐新的设计准则。究、分析或试验数据推荐新的设计准则。若不能满足若不能满足1 1的的要求，应通过要求，应通过使用固定的、使用固定的、自动的、或其自动的、或其他安全防护设他安全防护设计或装置，使计或装置，使风险减少到可风险减少到可接受的水平。接受的水平。 1在设计上消除危在设计上消除危险。若不能消除险。若不能消除已识别的危险，已识别的危险，应通过设计方案应通过设计方案的选择将其风险的选择将其风险减少到可接受的减少到可接受的水平。水平。若

17、不能满足若不能满足1 1、2 2的要求，应采的要求，应采用报警装置检用报警装置检测危险状况，测危险状况，并向有关人员并向有关人员发出适当的报发出适当的报警信号。警信号。若不能满足若不能满足1 1、2 2、3 3的要求，的要求，则应制定专用则应制定专用规程并进行培规程并进行培训。训。 234即用危险的可能性和即用危险的可能性和严重性来表征危险的特性，进而建立起相应的评严重性来表征危险的特性，进而建立起相应的评价矩阵。价矩阵。 划分成五划分成五级）级）危险可能性可用单位时间事件、人数、项目或活动中危险可能性可用单位时间事件、人数、项目或活动中可能产生危险的次数来表示。可能产生危险的次数来表示。 划

18、分为四级划分为四级危险严重性等级给出了由人的失误、环境条件、设计危险严重性等级给出了由人的失误、环境条件、设计缺陷、规程缺陷或系统、子系统或部件故障或失效引缺陷、规程缺陷或系统、子系统或部件故障或失效引起的最严重事故的定性度量。起的最严重事故的定性度量。说明说明等级等级定义定义灾害性灾害性死亡、系统报废、严重环境破坏死亡、系统报废、严重环境破坏 严重性严重性严重伤害、严重职业病、系统或环境的较严重破坏严重伤害、严重职业病、系统或环境的较严重破坏轻度性轻度性轻度伤害、轻度职业病、系统或环境的轻度破坏轻度伤害、轻度职业病、系统或环境的轻度破坏可忽略性可忽略性轻于轻度伤害及轻度职业病、轻于系统或环境

19、的轻度轻于轻度伤害及轻度职业病、轻于系统或环境的轻度破坏破坏 说明说明等级等级定义定义频繁频繁A可能经常发生可能经常发生 很可能很可能B产品寿命期发生若干次产品寿命期发生若干次偶然偶然C产品寿命期有时发生产品寿命期有时发生很少很少D不易发生，但可能发生不易发生，但可能发生不可能不可能E不易发生，认为不可能发生不易发生，认为不可能发生 危险严重性分类表危险严重性分类表危险可能性等级表危险可能性等级表危险风险评价矩阵示例一危险风险评价矩阵示例一危险等级危险等级/灾难性灾难性的的/严重性严重性的的/轻度轻度的的/可忽略可忽略的的(A) (A) 频繁频繁(X10)(X10)* *(10X)(10X)*

20、 *1A1A2A2A3A3A4A4A(B) (B) 很可能很可能(10X10)(10X10)* *1B1B2B2B3B3B4B4B(C) (C) 偶然偶然(10X10)(10X10)* *1C1C2C2C3C3C4C4C(D) (D) 很少很少(10X10)(10X10)* *1D1D2D2D3D3D4D4D(E) 很少很少(10-6X)* 1E1E2E2E3E3E4E4E危险风险指数危险风险指数 建议准则建议准则1A，1B，1C，2A，2B，3A 不可能接受不可能接受1D，2C，2D，3B，3C 不希望（需要由不希望（需要由MA决策）决策）1E，2E，3D，3E，4A，4B 可接受，但需要量

21、由可接受，但需要量由MA评审评审4C，4D，4E 不需评审即可接受不需评审即可接受MA-管理评审危险风险评价矩阵示例二危险风险评价矩阵示例二危险风险指数危险风险指数 建议准则建议准则15 不可接受不可接受69 不希望不希望(需由需由MA决策）决策）1017 可接受，但需可接受，但需MA评审评审1820 不需评审即可接受不需评审即可接受危险等级危险等级灾难性灾难性的的严重性的严重性的 轻度的轻度的可忽略可忽略的的频繁频繁1 13 37 71313很可能很可能2 25 59 91616偶然偶然4 46 611111818很少很少8 8101014141919很少很少1212151517172020

22、危险等级危险等级设计设计 被动安全设施被动安全设施主动安全设主动安全设施施警告设施警告设施A A 消除能源消除能源量量1 11 12 23 3B B 限制能量限制能量源源1 11 12 23 3C C 防止逸散防止逸散1 12 22 23 3D D 提供屏障提供屏障2 22 23 34 4E E 改变逸散改变逸散方式方式2 23 34 44 4F F 使伤害最使伤害最小化小化3 33 34 44 4 危险风险评价矩阵示例危险风险评价矩阵示例（RAC与与CRC结合使用）结合使用） 危险等级危险等级控制类型控制类型 灾难性的灾难性的严重性严重性的的轻度的轻度的可忽略可忽略的的1 11 13 35

23、51 12 24 45 52 23 35 55 53 34 45 55 5危险风险指数危险风险指数 建议准则建议准则 1 1 高度风险高度风险重点分析和测试重点分析和测试 2 2 中度风险中度风险进行要求与设计分析及进一步测试进行要求与设计分析及进一步测试 3 34 4 适度风险适度风险进行进行MAMA认可可打接受的高层次分析与认可可打接受的高层次分析与测试测试 5 5 低度风险低度风险可接受可接受 采用采用RACRAC或或CRCCRC结合进行风险评价时，应遵循结合进行风险评价时，应遵循以下规则：以下规则： CRCCRC值值RACRAC值；值； 单点故障的严重性不允许达到单点故障的严重性不允许

24、达到I I级或级或IIII级；级； RACRAC1 1或或2 2的危险不能只采用的危险不能只采用“注意注意”、“报警报警”或个体防护设备来进行控制。或个体防护设备来进行控制。NoYesYesNoNoYesYesCRC OKRAC3提供可选择的改正措施提供可选择的改正措施再次风险评价再次风险评价其他可利用其他可利用的控制方法的控制方法风险是否接受风险是否接受风险接受文件风险接受文件RAC=1,2的危险的危险初始危险评价初始危险评价执行改正措施执行改正措施CRC、RAC评价过程评价过程No 将严重将严重性等级扩充为性等级扩充为10级，级，用用指数指数110表示，而表示，而且给出了每级对应的且给出了

25、每级对应的损失费用。损失费用。指指数数 范围/美元 平均值/元 101010500000000009109101050000000008108109500000000710710850000000610610750000005105106500000410410550000310310450002102103500110250严重指数严重指数 同时用同时用暴露指数暴露指数（Exposure Codes）代替了危险的可能性等代替了危险的可能性等级。这里危险的暴露是级。这里危险的暴露是指在系统寿命周期中暴指在系统寿命周期中暴露了该危险的总时数内露了该危险的总时数内导致相应严重性指数所导致相应严重性

26、指数所表示的可能的次数。表示的可能的次数。指数 范围/次 平均值/次 10 100050009 10010005008 10100507 11056 0.110.55 0.010.10.054 0.0010.010.0053 0.00010.0010.00052 0.000010.00010.00051 0.000010.000005暴露指数暴露指数可能性指数严重性指数109876543211020191817161514131211919181716151413121110818171615141312111097171615141312111098616151413121110987515141312111098764141312111098765313121110987654212111098765431111098765432按严重性指数及暴露指数构成一个二维矩阵，按严重性指数及暴露指数构成一个二维矩阵，阵中每一元素即为阵中每一元素即为TREC（）值）值。对已识别的危险，应采取措施将其消除或把对已识别的危险，应采取措施将其消除或把相应的风险减少到可接受的水平。对灾难性的、相应的风险减少到可接受的水平。对灾难性的、严重性的和产品订购方指定的风险，不能仅依严重性的和产品订购方指定的风险，