基于STAMP模型的森林火灾事故致因分析

李华 郭皓杰

（西安建筑科技大学资源工程学院 西安 710055）

0 引言

森林火灾事故分析广泛采用的事故树（FTA）、事件树（ETA）等方法都是基于线性思维［3］。美国工程院院士LEVESON N G［4］提出基于系统理论事故过程致因模型（Systems-Theoretic Accident Model and Process，STAMP），该方法强调组件之间的交互作用，提供了新的危险分析和预防技术的方向。诸多学者基于该模型展开研究，姚天雨等［5］基于STAMP模型分析深圳“12·20”滑坡事故；王瑛等［6］通过STAMP分析明确风险因素，进而定量研究军机飞行训练安全状况；王起全等［7］基于STAMP模型设计了地铁拥挤踩踏事故应急联动系统。可见，STAMP模型已在致因分析、安全性分析和安全系统设计方面得到广泛应用。

从掌握的文献分析发现，STAMP模型已在航空、船舶、运输和生产等领域得到应用，但在森林火灾事故分析中应用较少，而森林火灾事故是致因因素众多、扑救过程复杂度极高的系统，从动态控制系统的角度对其分析更具契合性。鉴于此，笔者拟基于STAMP模型对1起森林火灾事故进行实证分析，探究导致事故发生的机理，以期得到更为详细的事故致因解释，预防此类森林火灾伤亡事故发生。

1 STAMP模型

STAMP模型融合系统理论和控制理论，将安全事件视为1个系统，认为安全是复杂系统的涌现特征，为了达到安全就必须做好控制。

构成STAMP模型的3个基本要素分别是安全约束、分层安全控制结构和过程模型。安全约束是控制动作及反馈的具体且必要措施；分层安全控制结构将整个系统视为1种分层结构，上层对下层实施控制过程实现控制目标的安全性，该要素也是STAMP模型分析事故的基础；过程模型是确定需要的控制行动，并通过各种形式的反馈来更新控制行动。在系统控制结构中，安全约束没有被有效执行或是延迟等原因是导致事故的发生的根本原因，STAMP系统控制模型如图1所示。

图1 STAMP系统控制模型

运用STAMP模型进行事故致因分析，应先从底层物理过程识别导致事故的外部干扰、异常交互等情况，然后向上分析每层安全控制结构中组件的作用、检查组件的控制缺陷或者不恰当行为。

2 事故概况

以凉山州西昌市“3·30”森林火灾扑救事故为例，对STAMP事故致因理论模型进行验证，根据事故调查组现场勘查和事故调查报告［8］可知火灾发生和扑救事故情况如下：

1）2020年3月30日15时35分，四川凉山州西昌市皮家山山脊处1根电杆的电线预留引流线与横担支撑架抱匝搭接，造成电线接地放电故障，电线起火燃烧。电线金属材料在高温下熔融，掉落后引燃周边的杂草。因天气高温干燥、风力较大，导致迅速蔓延成灾。

在我的软磨硬泡下，爸爸答应让我试一试打糍粑。我本想摆出一个帅气的姿势举起大木槌，不料那木槌重得我根本提不起来。我费了九牛二虎之力，终于把木槌举起了一点点，可还不到五秒钟，它又重重地落了下去。哇，这家伙可真沉啊！

2）当日15时50分，林场瞭望人员发现火情后向上级汇报，西昌市启动Ⅲ级应急响应，随后成立联合指挥部，调集森防、消防和专业扑火队等增援力量，对火灾蔓延地区展开扑救工作，并保护重点设施和疏散群众，研究制定次日扑救方案。

3）当日20时17分，指挥部协调宁南县专业扑火队增援扑火任务，经指挥部相关领导决议安排部署到柳树桩进行扑火。当晚，在当地向导的引领下，沿小路徒步进入林区上山。

4）3月31日0时，林区附近风向由西南风转为东北风，风力陡增，林火迅速从山背后翻过山顶，直逼扑火队员。扑火队员原路撤回过程中，山下来路起火，经现场自救失败，扑火队伍基本被火包围，在突围过程中，大火先后吞噬了19名救援人员。

5）该事故最终造成19名救援人员死亡、3人受伤，直接经济损失9 731.12万元。

3 基于STAMP模型事故分析应用

3.1 系统危险及系统级安全约束

基于STAMP模型的森林火灾事故系统分析应确定系统危险和系统级安全约束，构建系统安全控制结构。与“3·30”火灾事故相关的系统危险是：

1）电杆的预留引流线与横担支撑架抱匝搭接，线体铝制金属熔融、电线外层绝缘材料燃烧，引燃电杆基部的灌木和杂草。

2）在扑火救援中发生火势方向变化，救援人员被火势包围。

为防止系统危险导致事故发生，应具有如下系统级安全约束：

1）电力公司有可靠的巡检制度，避免巡检流于形式、弄虚作假。

2）森林火灾发生时，必须有严密、及时的气象监测和火情监测，保证不会出现因火势变化，造成救援人员撤离不及时，被困火场。

3）扑火救援过程中必须有周密的救援计划和安全的撤离路线。

4）如发生救援人员被火势包围，必须有可靠的装备降低周围火势，以减少伤害。

详细梳理森林火灾事故中各组件的控制动作及反馈过程，展示事件中每1个主要参与者行为的时间线，构建防止“3·30”森林火灾事故发生的分层安全控制结构，如图2所示。

图2 “3·30”森林火灾事故分层安全控制结构

3.2 物理过程及环境因素

根据电力专家组调查结果，造成此次森林火灾事件的物理过程及环境影响因素是电杆架设的导线预留引流线与横担支撑架抱匝搭接，造成接地放电故障。电线线体铝制金属熔融、电线外层绝缘材料燃烧，引燃电杆基部的灌木和杂草。

结合凉山州森林火灾形成的火环境研究［9］表明，火点附近可燃物负荷量达10～70 t/hm2，平均约30 t/hm2（国际上公认30 t/hm2为发生重特大森林火灾的临界值），致使电杆基部的火情受风力作用迅速蔓延成灾。涉事电杆违反的安全需求和约束包括由无资质施工方建设及未充分考虑引流线预留长度，其物理过程分析如图3所示。

图3 物理过程分析

3.3 基础建设分析

本节主要分析项目建设施工过程的控制原因。该建设项目为国网攀枝花供电公司援建的“10 kV电台线”改造项目，与此次森林火灾发生相关的建设层组件有：国网攀枝花供电公司和国网凉山供电公司联合组建的业主项目部、攀枝花网源电力有限公司担任的施工总承包单位、四川省通信产业服务有限公司担任的施工分包单位、广元市城刚劳务有限公司担任的劳务分包单位、四川电力工程建设监理有限责任公司担任的监理单位。

通过分析控制结构中各个组件的安全需求和约束，不安全的决策和控制行为和反馈，系统的识别控制缺陷，可以针对缺陷进行系统改良，基础建设分析如图4所示。

图4 基础建设分析

3.4 行业运营分析

本节主要分析项目运营阶段的控制原因，与森林火灾事故发生的相关运营层组件有：凉山州发改委、凉山州经信局、西昌市发改经信局、国网凉山公司安宁供电分公司、马道供电所。行业运营分析如图5所示。

图5 行业运营分析

3.5 扑救过程分析

扑救过程分析如图6所示。与森林火灾救援人员伤亡事故发生的相关扑救层组件有：省—州—市森林草原防灭火联合指挥部、西昌市前线指挥部、林场瞭望塔工作人员和宁南县森林草原防灭火专业扑火队。

图6 扑救过程分析

3.6 事故的动态过程视角

对模型中执行器根据被控过程的反馈实施控制动作进行动态分析，以期确定有效的安全控制行为，保证系统的安全性。在涉事电杆建设阶段中，缺乏技术交底和安全培训教育、管理人员风险认识不足以及存在不恰当的决策和控制行为导致建成有事故隐患的电杆，但由于电杆未投入运营使用，安全控制结构虽未施加足够的安全约束仍能保证建设的完整性。随着电力设施投入使用，缺乏有效的安全隐患排查、电杆下可燃物清理不及时，导致系统向高风险状态迁移，此时各个控制结构必须对根据反馈情况及时更新各层安全约束。但“3·30”森林火灾事件的安全控制结构自上而下缺乏风险认知意识，监管工作不到位，导致多个反馈回路失效，致使执行器未有效实施控制行动，导致火灾发生。在应急响应和火灾扑救阶段，高层未严格落实安全需求及约束、没有提出按照预案召集或邀请气象专家组成咨询组、火情动态缺乏持续监测、对火情缺乏研判，导致安全约束逐步失效，最终导致扑救人员伤亡事故发生。

4 结论

1）回顾凉山州西昌市“3·30”森林火灾事故可知，施工人员违规施工和缺乏电力线路火灾隐患认识为火灾发生埋下根源；电力运营公司自上而下开展的隐患排查治理工作流于形式，相关电力行业监管部门缺乏监督，最终引发森林火灾；扑救过程存在多头指挥，工作部署信息传递走样，扑火工作不具体、考虑不周，最终造成重大人员伤亡。有关地方人民政府和安全监管部门应认真分析其深层原因，强化日常监管，提高应急救灾效能，以防止此类事故发生。

2）本文基于STAMP模型对一起因电力设施故障引发森林火灾事故进行了组织原因分析。通过识别系统危险、系统级安全约束，构建森林火灾事故分层安全控制结构。从事故动态衍化的角度识别了各建设主体之间、电力运营企业及行业监管部门、事故救援部门的控制和反馈，得到逻辑结构更为严谨的事故原因解释。

3）利用STAMP模型对森林火灾事故过程进行分析，不仅能考虑事故本身的物理过程及环境因素，还能够较好地描述系统组件彼此间的交互作用及动态变化情况，它从整体上把握系统的复杂性和多元性，全面地分析和了解事故，帮助相关人员制定更切实可行的防控措施，具有重要的实用价值。