〔文章摘要〕目前在国内外大量应用的固定式气体灭火系统自身存在的安全问题已经越来越受到各界的关注。本文引入了安全系统工程的理论和方法，从系统安全评价的角度对这一问题进行了解释，提出了系统全面安全的观点；并用安全评价的方法对此问题进行了定性、定量的分析；还从实际应用的角度，指出了降低气体灭火系统危险性的具体措施及其重要意义。

一、问题的提出
固定式气体灭火系统作为一种高效、清洁的自动消防设施，已得到了广泛的应用，也已发挥出了积极的作用。目前，国内常用的洁净气体灭火系统包括高压，低压二氧化碳灭火系统， IG541 混合气体灭火系统,七氟丙烷灭火系统等。毫无疑问，气体灭火系统与其他灭火系统一样，都属于保障消防安全的装置或设施。但随着它们日益广泛的推广和应用，人们越来越对这种安全装置自身的安全问题感到疑惑和忧虑。归结起来，这些安全问题主要包括两个方面:
1、压力钢瓶的安全问题
除应用较少的低压二氧化碳灭火系统以外，其他种类气体灭火系统都使用了压力钢瓶作为其灭火剂的储存容器。这些钢瓶的使用具有以下特征：
* 储存压力高。其中七氟丙烷钢瓶的储存压力为 2.4—4.2MPa，而高压二氧化碳和IG541混合气体钢瓶的储存压力更高达 15MPa，有的产品甚至使用了 20MPa的储存压力。即使低压二氧化碳灭火系统，其储存容器的压力也达到了 2MPa的等级。
* 使用数量大。单套气体灭火系统根据其灭火剂性质和保护对象的大小，所使用的储存钢瓶数量不同。但多数都有十数至数十瓶至多，多的甚至达到数百瓶。目前，国内已经安装的气体灭火系统中使用的各类压力钢瓶总数当有十万之多。
* 安装集中。每一套气体灭火系统的压力钢瓶一般都以大约每平方米两个的密度集中安装在一起，形成甚至是巍为壮观的压力钢瓶库。
* 无特定的安装场所。受固定式气体灭火系统工作要求的影响，灭火剂储存钢瓶一般都安装在邻近保护对象的部位，大多是在同一座建筑物内。
上述气体灭火系统压力钢瓶的使用特征，造成了目前比比皆是的，在设计安装气体灭火系统的大量重要建筑物（包括高层、超高层建筑）和重要设备的内部或附近，集中安装有大量高压钢瓶的现象。而且，这些压力钢瓶的应用，从各项国内外规范标准，到实际系统设计、生产、安装施工和运行，除了对其操作、使用、维护性能、安装部位的防火、疏散、通风性能等方面有一定的要求之外，对其本身以及安装建筑物的防爆安全方面，几乎没有也确实无法提出或采取明确的要求或措施。虽然钢瓶爆炸事故极为罕见，但一旦发生后果则不堪设想。这就使得气体灭火系统的设计者、建设者、使用者和监督管理者在考虑和感受到其所带来的防火安全的同时，不得不对这样的严重后果感到忧心忡忡。
2、灭火剂气体的安全问题
气体灭火系统一般总是为贵重或重要设备或物品的防火安全而设置的，其中的气体灭火介质除了在严格的控制下具有优越的灭火性能之外，也具有对人体的危害性。这种危害性一般表现为对人的毒害和窒息。如果对系统的制造、设计、安装、控制、使用不当，造成气体灭火介质的泄漏或误喷，那么，轻则引起生产工作秩序的混乱和经济的损失，重则会导致人员伤亡事故的发生。与爆炸事故相比，气体误喷事故的严重性虽然轻得多，但发生的频率却高得多。目前，随着气体灭火系统应用数量的日益增多，灭火气体误喷事故发生的个案也在不断增加。越来越引起相关部门和人员的高度重视和关注。
气体灭火系统自身的安全问题，在我国目前的安全管理体制里，已经超出了气体灭火系统本身，乃至消防安全管理和控制的范围。同时，它似乎又不属于其他的安全管理范畴。但是，这一问题却是客观存在的，也是不容忽视的。寻求针对这一问题的积极有效的措施和解决的方法无疑是非常重要和迫切的工作。然而，如何正确地分析和认识这一问题的本质、因果关系、地位及其普遍联系，却具有思想基础和指导原理的重要意义。
二、系统的全面安全
根据安全系统工程的理论[1]，当系统（如一套生产装置、一座包含多种功能的建筑、一个企业等）中特定事件发生的可能性与严重性的结合超过人们的承受程度（包括法律或社会的允许程度、人们心理的接受程度和经济代价的承受程度）时，便认为系统是危险的，而当这种结合小到人们可以忽略的程度时，系统则被认为是安全的。可见，安全总是相对于危险而言的，它们是一个事物的两个不同方面，二者之间并无严格的界限。如消防安全是相对于火灾危险而言的。所谓系统消防安全并非系统中绝无火灾危险，而是指系统中火灾事故发生的可能性和严重性的结合在人们的承受程度之内。
人们总是习惯于针对系统中存在的特定危险因素，采取特定的防范措施，减少某一类事故发生的频率或减轻其危害的严重程度，以期达到某一方面安全的目的。气体灭火设施的采用，就是人们为减轻系统中火灾事故发生的严重程度而采取的防范控制措施，它对于消防安全无疑是必要的。然而，我们应该看到，任何特定的危险与安全虽然是一一对应的，但一种特定事故危险性的减轻，或某一方面特定的安全并不能代表系统的安全，甚至不能表示系统安全程度的提高。因为首先，一个系统中所包含的危险、有害因素往往不是单一的，并且多种危险、有害因素往往是相互关联的，此外更重要的是，针对系统中某一种危险而采取的安全措施完全有可能导致同一系统中另一种危险的产生或加大。因此，任何追求系统单一的、局部的、片面的安全的措施和做法不仅是不够的，甚至有可能适得其反。
上述由固定气体灭火设施的采用所导致的问题，其实质就在这里，即当系统中存在火灾危险（即火灾事故发生的可能性和由此产生后果的严重性大到人们无法承受的程度）时，人们根据其危险源的特征、火灾的性质和经济性的考虑，选择安装气体灭火设施作为防范火灾事故的安全措施，以减轻系统的火灾危险性，仅从消防安全的角度这是正确的。但正是气体灭火设施的采用，在系统中产生了新的危险源：由于大量压力钢瓶的使用，造成了钢瓶爆炸的危险；由于有毒性或窒息性灭火剂的使用，造成了气体伤害的危险。而这些采用气体灭火设施所派生出来的危险因素所能引发的新的事故的可能性和严重性，将在相当程度上抵消采用这种设施对系统安全性的提高，甚至完全有可能导致系统安全程度的降低。
由此可见，真正的系统安全应该是一种综合了内部各种因素的全面安全，或称整体安全。全面安全应该是相对于系统中各种危险（包括现存的和继生的危险）而言的，应该是对系统中所有特定事件发生的可能性和严重性结合体的综合的判断。系统的全面（或整体）安全与系统中各单项（或局部）安全相关，但不是它们的简单的叠加。系统全面安全的最佳效果是综合了系统各个层面的单项（或局部）安全的组合与匹配而得到的。全面安全的观点应该是我们正确认识系统安全的实质及其相互联系，正确选择各种安全防范控制措施，有效开展安全工作的基础和出发点。
三、系统安全评价方法的应用
在各种危险因素共存和相互影响的情况下，系统的安全与否究竟应该如何判断？各项安全防范控制措施究竟应该如何选择？对于一个存在火灾危险的实际系统，究竟是否需要采用气体灭火设施？采用气体灭火设施后对系统安全程度究竟是提高还是降低？怎样度量？这样的问题是我们在提出系统全面安全的观点后必然要面对、必须要解决的。这就需要应用到系统安全评价的理论和方法[1]。
系统的安全评价就是人们以实现系统安全为目的，应用安全系统工程的原理和方法，对系统中存在的危险因素进行辩识与分析，判断系统发生事故和职业危害的可能性及其严重程度，从而为制定防范措施和管理决策提供科学依据的过程。安全评价包括识别危险性和评价危险程度两个方面。前者在于辩识危险源、确定来自危险源的危险性；后者在于控制危险性，评价采取控制措施后仍然存在的危险性是否可以被接受。安全评价目前已在国外先进发达国家广泛采用，许多定性、定量的安全评价方法也在不断的提出和改进。近年来，我国在生产安全管理领域也已开始提倡和推广采用安全评价的技术和方法。笔者认为，在消防安全管理工作中引入安全评价的理念和在安全评价工作中充分考虑系统全面安全的观点是非常有意义的，也是十分值得重视的。
以下笔者试图通过对一个采用气体灭火设施前后的系统的安全评价实例来简单说明安全评价在消防安全工作中的应用及其意义。如上所述，系统的危险程度是由事故发生的可能性及其严重程度的结合来表示的，单以事故发生的概率或事故可能造成的损失无法全面评价系统的危险性。为了能以量化的指标完整表达系统的危险性，我们在这里引入事故风险度的概念：某事故的风险度R为该事故发生的概率P与每发生一次这样的事故平均可能造成的损失量S的乘积（R = PS），即单位时间内可能发生事故的损失量。
假设某建筑物为一通信机楼，价值3000万元，机楼内安装的通信设备价值10000万元。我们将该机楼连同其中的通信设备视做一个系统。假设在未安装气体灭火设施的情况下，该机楼如遇一次火灾，平均将损失4400万元。再假设通信机楼的发生火灾的几率是0.01次/年（即每一百年发生一次火灾）。则该系统在未安装气体灭火装置情况下的风险度为：44万元/年。当安装了自动高压二氧化碳气体灭火设施后，假设发生火灾的几率减为零，但出现了钢瓶爆炸危险和气体误喷危险。假设发生一次机楼钢瓶爆炸事故的平均总的经济损失为13000万元，事故的发生几率为0.0025次/年（即每四百年发生一次事故），则该系统发生钢瓶爆炸的风险度为：32.5万元/年。又假设发生一次二氧化碳气体误喷事故的平均总的经济损失为200万元，事故发生的几率为0.1次/年（即每十年发生一次事故），则该系统发生气体误喷的风险度为：20万元/年。也就是说，该系统在安装了气体灭火装置情况下总的风险度为：52.5万元/年，超过了未安装气体灭火装置情况下的系统的风险度。
上述评价结果表明：
1、系统安全评价的理论和方法可以解释气体灭火设施的安全问题，并且这种评价是十分有意义的。
2、在上述假设的情况下，安装气体灭火设施是没有意义的。如必需安装气体灭火设施，则应采取有效的措施，以降低其危险程度。
3、降低某危险因素引起事故的危险程度，可以通过降低事故发生的可能性（即事故的发生几率）和减少事故的严重程度（即事故可能导致的损失）这两个方面来考虑。
4、在气体灭火设施的安全问题中，减少钢瓶爆炸事故可能导致的损失和事故发生的几率的技术措施，在不产生新的、更大的危险、有害因素的前提下，对于降低使用气体灭火装置的危险性，乃至能否使用这样的装置的决策，都是十分重要的。
5、气体误喷事故的危险程度虽然比爆炸事故的危险程度低，但也处在同一数量级水平。况且，尽管发生气体误喷事故的经济损失相对不大，但发生的几率很高，而且往往伴随着人员伤亡，影响较大，所以，同样必须加以重视。
四、提高气体灭火设施安全性的途径
下面，我们就从可能造成气体灭火设施安全事故的两个方面（即钢瓶爆炸和气体误喷）去寻求减少系统危险性和增强系统安全程度的技术措施或途径。
首先，我们采用事故树的方法，对可能产生这样两种事故的原因和条件进行分析。参见下图。
 
 
图一、钢瓶爆炸事故的事故树
图中:
T1 — 单只钢瓶爆炸
M1 — 钢瓶压力超高
M2 — 钢瓶壁厚减薄
M3 — 外力破坏
M4 — 钢瓶本体的制造质量问题
M5 — 外部遇热
M6 — 初期充压过高
X1 — 阳光辐射
X2 — 火焰烘烤
X3 — 因压力指示装置(或称重装置)失灵导致初期充装压力(或质量)超高
X4 — 安全阀失效
X5 — 瓶内介质腐蚀
X6 — 外部大气腐蚀
X7 — 相邻钢瓶爆炸
X8 — 其他外物撞击
X9 — 钢瓶本体缺陷
X10 — 后期制造过程造成损坏
由图一可见，可能引起钢瓶爆炸的原因有以下四种：
1、因压力指示装置失灵或温度超高等造成钢瓶超压，同时伴随安全阀失效的故障。
2、因瓶内介质的腐蚀性或外部大气腐蚀造成钢瓶壁面的减薄。
3、外力破坏。
4、钢瓶的质量问题。
根据上述原因定性分析可以看出，保证产品的制造质量和对在用钢瓶的严格的管理对于气体灭火设施的安全是十分重要的。如果我们确保产品的制造质量，如果我们采取有效的管理措施，定期对在用钢瓶进行全面的安全检测和监控，确保钢瓶及其相关部件（包括安全阀等）始终处于良好的安全状态，及时发现和更换失效的钢瓶，就可以使钢瓶爆炸事故发生的可能性或几率大大降低。而只要这一几率下降一个数量级（这种要求不是不可做到的），则系统发生钢瓶爆炸的风险度就将下降一个数量级。当然，任何安全防范措施的采用都是有代价的，这一代价体现在加大了发生钢瓶爆炸事故时的经济损失。但是很显然，我们在这里采取的有效管理措施的代价，在整体的经济损失中是很有限的，因此，它不会影响上述风险度在数量级水平的下降。
构成钢瓶爆炸风险度另一方面是用爆炸事故可能造成经济损失表示的事故的严重程度。毫无疑问，爆炸所造成的损失将是巨大的，并且远远大于火灾损失，因此，尽量设法降低爆炸可能造成的损失也是我们在设置气体灭火装置时必须充分注意的。从这一点考虑，大量的高压钢瓶不应该被安装在建筑物的地下层中；在集中安装高压钢瓶的封闭空间，应该考虑泄爆墙；另外，应尽量避免使用压力相对较高、钢瓶用量相对较大的气体灭火装置。
系统发生钢瓶爆炸的风险度下降一个数量级并不意味着系统总的风险度也对应下降一个数量级，因为随着爆炸危险程度的下降，气体误喷危险对于系统总的危险程度的影响将会逐渐增强，直至占据决定地位，也使克服这一危险变得越来越重要。而从上述数据分析可以看到，决定气体误喷事故危险程度的主要因素不是事故的严重性，而是事故发生的几率。因此，降低气体误喷事故风险度应主要从降低事故发生几率入手。参见图二。
 
图二、气体误喷事故的事故树
图中:
T2 — 电气控制装置误动作(0.1次/年)
N1 — 火灾报警控制器非正常输出联动信号(0.001次/年)
N2 — 启动按钮误动作(0.025次/年)
N3 — 启动线路短路(0.024次/年)
N4 — 控制程序被破坏(0.05次/年)
Y1 — 第一火灾探测器误动作(0.01次/年)
Y2 — 第二火灾探测器误动作(0.01次/年)
Y3 — 人员误按远程启动按钮(0.013次/年)
Y4 —人员误按灭火控制器上启动按钮(0.012次/年)
Y5 — 人员的失误行为(0.012次/年)
Y6 — 受潮等环境原因(0.012次/年)
Y7 — 雷击干扰(0.02次/年)
Y8 — 电磁干扰(0.02次/年)
Y9 — 其他干扰(0.01次/年)
括号内为各种事件的估计发生概率
从图二可见，引起气体误喷的主要原因是气体灭火系统电气控制装置的误动作，而可以造成电气控制装置误动作的事件有以下几种：
1、火灾报警控制器非正常输出联动信号；
2、启动按钮误动作；
3、启动线路短路；
4、控制程序被破坏。
在这些事件中，第一种事件的发生几率与其他事件比较，不在同一个数量级水平，故可以忽略。而其他三种事件则是安全防范措施的主要考虑方向，尤其是第四种事件的发生，会造成无预警的气体误喷而更可能导致人员伤亡，因此，应该成为防范重点。
综上所述，安全评价技术和方法的应用，使我们可以定性和定量地分析系统的安全性，也为我们如何正确地采取安全防范措施，以提高系统安全性提供了依据。同时，我们也可看到，在实施安全评价中，不能把安全技术方法和管理措施的采用对于系统安全程度的影响简单地用修正系数的方法加以概括，而应该对于采取安全措施后的系统进行重新评价，以此结果与原系统的评价结果进行比较，方可说明问题。也就是说，对系统进行安全评价时，系统中各个因素应该是固定的，不能在评价过程中对系统进行改动，否则，应对改动后的系统重新评价。
五、控制装置改造方案及其意义
我们在对引发气体误喷事故的主要原因的分析中可以看到，有四种原因事件可以导致最终结果事件“电气控制装置误动作”，进而造成误喷事故。而这四种原因事件（第一层原因事件）之间是“或”的关系，即其中任何一种事件的发生都会导致最终结果事故发生。“电气控制装置误动作”的发生概率是上述四种事件发生概率之和。
再进一步的分析可见，其中“火灾报警控制器非正常输出联动信号”的事件又是由两个“火灾探测器的误动作”事件引发的。这两个事件（第二层原因事件）之间是“与”的关系，即必须出现两个火灾探测器误动作事件同时发生的情况，才有可能引发误喷事故。我们知道，两个事件同时发生的概率是它们单独发生的概率（0.01次/年）之积。这就该第一层次原因事件（即“火灾报警控制器非正常输出联动信号”的事件）发生的几率（0.001次/年）降低了一个数量级。这样的设计是在任何气体灭火系统的设计规范中都规定了的。这说明规范中为减少火灾探测器误动作引发气体误喷的事故的可能性，已经做了安全防范措施的设计。而引发其他三个事件的第二层次原因事件之间均为“或”的关系，则它们的发生概率为引发他们的第二层次原因事件的发生概率之和，因此，只能导致结果事件概率的增加。
这就说明，引发一个结果事件发生的原因事件之间如果是“或”的关系，那么，这样的事件越多，该结果事件发生的几率就越高，由该结果事件导致的事故危险性也就越大；反之，如果一个结果事件是由两个或多个相互之间满足“与”的关系的原因事件引发的，则这样的事件越多，该结果事件发生的可能性以及由该事件导致的事故危险性就越小。这一分析有助于为采取安全防范措施的决策提供一条正确的途径。也就是说，我们为了降低某一种事故发生的危险性，固然可以通过消除引发该事故事件的原因事件或减少原因事件的发生概率的手段，但当这些手段效果不明显或原因事件不可避免时，可以设计一个附加的原因事件，并使之与原有的一个或多个原因事件构成相“与”的关系，这样就可以使结果事件的发生几率得以降低。并且，这种附加事件设计在越接近最终结果事件的原因事件层，与其形成相“与”关系的原因事件越多，效果就越明显。
我们仍以引起气体灭火系统电气控制装置误动作事件发生的原因事件为例。由于引发“火灾报警控制器非正常输出联动信号”事件的第二层次原因事件是相“与”的关系，因此，在四个第一层次的原因事件中，这一事件的发生几率就相对要低得多。同样，如果我们在电气控制装置原有的远程启动按钮上再串联一个启动按钮，使得必须两个按钮同时按下才会启动灭火控制器，这就等于在引发“启动按钮误动作”事件的两个第二层次原因事件之外又增加了一个原因事件，并使这个附加原因事件与其中“人员误按远程启动按钮”的原因事件相“与”，从而可以使“启动按钮误动作”事件发生的概率降低到0.0122。但是，引发气体灭火系统电气控制装置误动作结果事件的第一层次的原因事件有四个，我们采用的技术措施如果仅仅使其中一个或两个事件的发生概率下降，对该结果事件的发生概率还没有质的影响。增加一个远程启动按钮的措施使“启动按钮误动作”事件发生的概率由0.025大幅度降低到0.0122，但最终结果事件的发生概率只从0.1下降到0.0872。只有对所有的原因事件都设计这样的附加原因事件，才能达到数量级的变化。
笔者曾经针对气体灭火系统的电气控制装置的误动作问题设计过一个安全隔离方法，很好地解决了由于各种原因造成电气控制装置误动作的问题，极大地减少了气体误喷的事故可能性。假如把这一设计用于上述实例中的气体灭火设施，并用安全评价事故树来描述（参见图三），可以清楚看出，其实质就是在导致最终结果事件发生的原因事件中增加了一个附加原因事件，并且，这一附加原因事件与除“火灾报警控制器非正常输出联动信号”事件以外的其他三个原因事件相“与”。这就使原来只要“启动按钮误动作”、“启动线路短路”或“控制程序被破坏”都会造成电气控制装置误动作的情况，变成了在三者之一发生的同时还必须满足“安全隔离装置误动作”的条件，才会导致最终结果事件发生。假设“安全隔离装置误动作”事件的发生概率与“人员误按远程启动按钮”事件相同，则最终结果事件的发生概率可从0.1降低到0.0023。这样可使上述实例中系统发生气体误喷事故的风险度由20万元/年下降到了0.46万元/年。
 
图三：控制装置改造后气体误喷事故的事故树
图中:
T2 — 电气控制装置误动作(0.0023次/年)
N1 — 火灾报警控制器非正常输出联动信号(0.001次/年)
N2 — 启动按钮误动作(0.025次/年)
N3 — 启动线路短路(0.024次/年)
N4 — 控制程序被破坏(0.05次/年)
Y1 — 第一火灾探测器误动作(0.01次/年)
Y2 — 第二火灾探测器误动作(0.01次/年)
Y3 — 人员误按远程启动按钮(0.013次/年)
Y4 —人员误按灭火控制器上启动按钮(0.012次/年)
Y5 — 人员的失误行为(0.012次/年)
Y6 — 受潮等环境原因(0.012次/年)
Y7 — 雷击干扰(0.02次/年)
Y8 — 电磁干扰(0.02次/年)
Y9 — 其他干扰(0.01次/年)
Y10 — 安全隔离装置误动作(0.013次/年)
事实上，上述改造方案已被运用于实际。不完全的数据表明，按照上述方法改造，增加隔离装置的四十多套气体灭火系统在过去一年的时间里成功地制止了四次由于上述各种原因引发的气体误喷事故，效果极为明显。
从安全评价原理的角度分析，揭示了我们对气体灭火系统的控制装置的安全改造措施的重要意义，也为确立其在系统安全领域的地位提供了有力的理论依据。
六、结论
综上所述，用系统风险度来衡量，单从消防安全的角度考虑而设置固定式气体灭火设施，在大多数情况下，对于系统安全不仅无利，反而是有害的。因此，我们必须充分意识系统全面安全和气体灭火装置本身安全问题的重要性。根据系统安全评价的理论和方法，气体灭火装置的危险性主要由钢瓶爆炸和气体误喷两个方面组成，降低其危险性的措施应从减少事故危害的严重程度和降低事故发生的可能性这两个方向入手。我们应该充分注意气体灭火装置中选型工作和压力钢瓶的安装条件以尽量减少发生钢瓶爆炸事故的严重程度，应该注重产品的制造质量和加强对所用压力钢瓶的安全管理以降低爆炸事故的发生几率。同时，应在安全评价方法的指导下，采用增加引发事故的所有原因事件的制约条件的技术措施来降低气体误喷事故的概率。只有当这些管理和技术措施的采取，使应用气体灭火装置的危险性显著降低到一个人们能够承受的水平时，气体灭火装置的使用才是真正有价值的。