安全儀表系統(tǒng)的安全性與可用性研究

王 偉，李志剛，李墨林，武 岳，張 昊

（海洋石油工程股份有限公司，天津 300452）

在以石油/天然氣開(kāi)采運(yùn)輸、石油化工、發(fā)電等為代表的過(guò)程工業(yè)領(lǐng)域中，由于設(shè)備繁復(fù)，工藝復(fù)雜且造價(jià)昂貴，要求整個(gè)控制系統(tǒng)不允許存在任何安全薄弱環(huán)節(jié)[1]。隨著IEC61508/IEC61511的發(fā)布，安全儀表系統(tǒng)已作為一種獨(dú)立的系統(tǒng)，大量應(yīng)用于石油、化工、發(fā)電等過(guò)程工業(yè)中。安全儀表系統(tǒng)的安全性和可用性是評(píng)價(jià)一個(gè)系統(tǒng)好壞的關(guān)鍵因素[2]。如何將這二者有機(jī)的結(jié)合起來(lái)，既確保系統(tǒng)無(wú)不可接受的風(fēng)險(xiǎn)，又盡量滿(mǎn)足系統(tǒng)的可用性要求，需不同專(zhuān)業(yè)的技術(shù)人員進(jìn)行深入討論以及精確計(jì)算才能完成。

1 安全功能回路的安全性分析和PFDavg計(jì)算

1.1 安全完整性等級(jí)SIL

安全完整性反映了SIS執(zhí)行安全功能時(shí)，在規(guī)定的狀態(tài)和時(shí)間周期內(nèi)，圓滿(mǎn)完成安全功能回路的績(jī)效能力和可靠性水平[3]。換言之，安全完整性等級(jí)SIL的高低決定了SIS的安全性的高低。

IEC61511將安全儀表功能的操作模式分為“要求操作模式”和“連續(xù)操作模式”[4]。“要求操作模式”是指當(dāng)安全功能出現(xiàn)危險(xiǎn)失效，并且“要求”出現(xiàn)時(shí)，才會(huì)執(zhí)行特定的動(dòng)作（如關(guān)閉閥門(mén)）。海洋油氣田開(kāi)發(fā)平臺(tái)的ESD（緊急關(guān)斷系統(tǒng)）和火氣系統(tǒng)都屬于“要求操作模式”。因此，本文只給出安全完整性等級(jí)對(duì)“要求操作模式”下的平均失效概率（PFDavg）要求，如表 1 所示。

表1 安全完整性等級(jí)對(duì)“要求操作模式”下的平均失效率（PFDavg）要求Tab.1 Requirements of PFDavgto the safety integrity level

1.2 SIS安全性分析

1.2.1 概述

ISA-TR84.00.02-2002是目前比較權(quán)威的評(píng)估安全功能回路安全性的參考文獻(xiàn)，它介紹了幾種安全性分析的技術(shù)，常用的有公式法、故障樹(shù)分析和馬爾可夫分析[5]。本文擬采用公式法，計(jì)算出安全功能回路的PFDavg值，與表1對(duì)照，得出該回路的安全完整性等級(jí)SIL，從而判斷其安全性。

1.2.2 PFDavg計(jì)算公式

ISA-TR84.00.02-2002，Part2給出了下列公式：

式中：PFDA為安全功能回路最終元件的 PFDavg；PFDS為安全功能回路傳感器的PFDavg；PFDL為邏輯控 制 器 的 PFDavg；PFDPS為 電 源 的 PFDavg；PFDSIS為SIS中安全功能回路的PFDavg；i為安全功能回路中每種類(lèi)型子系統(tǒng)的數(shù)量。

典型的表決機(jī)制子系統(tǒng)PFDavg計(jì)算公式為[6]

式中：λDU為未檢測(cè)出的危險(xiǎn)失效率；λDD為檢測(cè)出的危險(xiǎn)失效率；為危險(xiǎn)的系統(tǒng)性失效率；β為公共原

式中，MTTF為平均無(wú)失效時(shí)間。

在實(shí)際應(yīng)用中，通常可以忽略在修復(fù)期間存在多個(gè)失效、公共原因，以及系統(tǒng)性失效，因此上述公式可簡(jiǎn)化為

1.3 海洋石油平臺(tái)現(xiàn)有安全儀表回路PFDavg計(jì)算

海洋油氣田開(kāi)發(fā)平臺(tái)生產(chǎn)流程中典型的意外事件包括過(guò)壓、泄露、液體溢流、氣體竄漏、抽空、過(guò)熱、直接點(diǎn)火源和爐膛內(nèi)存在過(guò)量的易燃蒸氣等。

以渤海區(qū)域某開(kāi)采平臺(tái)一級(jí)分離器的過(guò)壓安全功能回路為例，計(jì)算其PFDavg。回路的安全功能分析如表2所示。

表2 回路的安全功能分析Tab.2 Analysis of security function loop

目前該安全功能回路采用1oo1表決的PSH傳感器、1oo2表決的電源、1oo2表決的邏輯控制器和1oo1表決的關(guān)斷閥，其結(jié)構(gòu)如圖1所示。

圖1 安全功能回路的結(jié)構(gòu)圖Fig.1 Structure safety of functional circuit

根據(jù)式（6）、（7）和（9）計(jì)算的 PFDavg結(jié)果如表 3所示。因失效率；TI為檢驗(yàn)測(cè)試的時(shí)間間隔；MTTR為平均修復(fù)時(shí)間。

表3 PFDavg計(jì)算結(jié)果Tab.3 Calculation results of PFDavg

由表3及式（1）可得整個(gè)回路的PFDavg值：

查表1可知整個(gè)回路滿(mǎn)足SIL1要求 （SIL1的PFDavg范圍是 0.01～0.1）。

2 安全儀表回路的誤動(dòng)作率STR計(jì)算

對(duì)于安全儀表回路，STR也是其重要的組成部分，它是評(píng)判安全儀表回路可用性的重要依據(jù)[7]。

依據(jù) ISA-TR84.00.02-2002，Part2，安全儀表回路的STR計(jì)算公式如下：

式中：STRA為安全功能回路最終元件的STR；STRS為安全功能回路傳感器的STR；STRL為邏輯控制器的 STR；STRPS為電源的 STR；STRSIS為 SIS中安全功能回路的STR；i為安全功能回路中每種類(lèi)型子系統(tǒng)的數(shù)量。

由于維修的時(shí)間相對(duì)較短，忽略此期間可能發(fā)生的公共原因、系統(tǒng)性錯(cuò)誤[8]，可得典型的表決機(jī)制子系統(tǒng)的STR簡(jiǎn)化計(jì)算公式如下：

根據(jù)式（12）、（13）和（16）計(jì)算的所舉平臺(tái)一級(jí)分離器的過(guò)壓保護(hù)回路的誤動(dòng)作率STR結(jié)果如表4所示。

表4 STR計(jì)算結(jié)果Tab.4 Calculation results of STR

由表4及式（11）可得整個(gè)回路的STR值：

3 安全儀表回路的優(yōu)化方案及其PFD和STR計(jì)算

安全儀表回路的改造可以有多種方案，每種方案的安全性和可用性側(cè)重不同，最終用戶(hù)可根據(jù)需求不同，做出不同的選擇。

3.1 方案1

將已有回路的PSH傳感器改造為2oo3的結(jié)構(gòu)，關(guān)斷閥改造為1oo2的結(jié)構(gòu)，電源和邏輯控制器結(jié)構(gòu)不變。方案1的回路結(jié)構(gòu)如圖2所示。

圖2 方案1的回路結(jié)構(gòu)圖Fig.2 Loop structure diagram of scheme 1

根據(jù)式（6）、（8）和（10）計(jì)算的 PFDavg結(jié)果如表5所示。

表5 PFDavg計(jì)算結(jié)果Tab.5 Calculation results of PFDavg

由表5及式（1）可得整個(gè)回路的PFDavg值：

查表1可知整個(gè)回路滿(mǎn)足SIL2要求 （SIL2的PFDavg范圍是 0.001～0.01）。

取故障維修時(shí)間MTTR為10 h，根據(jù)式（13）、（15）、（16）計(jì)算的改造方案1的過(guò)壓保護(hù)回路的誤動(dòng)作率STR結(jié)果如表6所示。

表6 STR計(jì)算結(jié)果Tab.6 Calculation results of STR

由表6及式（11）可得整個(gè)回路的STR值：

由計(jì)算結(jié)果可知，方案1有效提高了該回路安全性，回路的誤動(dòng)作率相對(duì)原先變化不大。

3.2 方案2

將已有回路的PSH傳感器改造為2oo3的結(jié)構(gòu)，電源改造為1oo1結(jié)構(gòu)，關(guān)斷閥改造為2oo2的結(jié)構(gòu)，邏輯控制器結(jié)構(gòu)不變。方案2的回路結(jié)構(gòu)如圖3所示。

圖3 方案2的回路結(jié)構(gòu)圖Fig.3 Loop structure diagram of scheme 2

根據(jù)式（6）、（7）、（8）、（9）和（10）計(jì)算的 PFDavg結(jié)果如表7所示。

表7 PFDavg計(jì)算結(jié)果Tab.7 Calculation results of PFDavg

由表7及式（1）可得整個(gè)回路的PFDavg值：

查表1可知整個(gè)回路滿(mǎn)足SIL1要求 （SIL1的PFDavg范圍是 0.01～0.1）。

取故障維修時(shí)間MTTR為10 h，根據(jù)式（12）、（13）、（14）、（15）和（16）計(jì)算的改造方案 2 的過(guò)壓保護(hù)回路的誤動(dòng)作率STR結(jié)果如表8所示。

表8 STR計(jì)算結(jié)果Tab.8 Calculation results of STR

由表8及式（11）可得整個(gè)回路的STR值：

由計(jì)算結(jié)果可知，方案2在犧牲回路部分安全性的條件下，大大提高了回路的可用性。

4 結(jié)語(yǔ)

安全性和可用性又是一對(duì)辯證的矛盾體[9]。如果在設(shè)計(jì)過(guò)程中一味的追求過(guò)高的安全性，可以保證裝置以及人員的安全，但是會(huì)使裝置的誤停車(chē)幾率大大增加，系統(tǒng)的操作難度也會(huì)隨之增加，從而降低了系統(tǒng)的可用性[10]。同樣過(guò)多的強(qiáng)調(diào)系統(tǒng)的可用性則會(huì)降低安全性，導(dǎo)致裝置有故障發(fā)生時(shí)無(wú)法停車(chē)，或無(wú)法切斷泄漏的有毒物質(zhì)，而造成嚴(yán)重的設(shè)備、人員乃至環(huán)境的危害。因此，綜合考慮安全儀表系統(tǒng)的安全性和可用性，在保證系統(tǒng)相對(duì)安全工作的前提下，提高企業(yè)的生產(chǎn)效率成為設(shè)計(jì)人員和最終用戶(hù)的不懈追求。

[1]李佳嘉.功能安全（SIL）認(rèn)證[C]//第八屆工業(yè)儀表與自動(dòng)化學(xué)術(shù)會(huì)議論文集，2007.

[2]郭亮，婁開(kāi)麗.安全儀表系統(tǒng)的安全生命周期[J].化工自動(dòng)化及儀表，2009（4）：8-13.

[3]張建國(guó).安全儀表系統(tǒng)在過(guò)程工業(yè)中的應(yīng)用[M].北京：中國(guó)電力出版社，2010.

[4]國(guó)際電工委員會(huì).IEC 61511：Functional Safety：Safety Instrumented Systems for the Process Industry Sector[S].2003.

[5]中國(guó)機(jī)械工業(yè)聯(lián)合會(huì).GB/T 21109.1-2007過(guò)程工業(yè)領(lǐng)域安全儀表系統(tǒng)的功能安全[S].北京：中國(guó)標(biāo)準(zhǔn)出版社，2007.

[6]美國(guó)國(guó)家標(biāo)準(zhǔn)學(xué)會(huì).ISA.ANSI/ISA-84.01 Application of Safety Instrumented System for the Process Industries[S].ISA，2002.

[7]馮曉升.功能安全技術(shù)講座（第2講）：功能安全的基本方法[J].儀器儀表標(biāo)準(zhǔn)化與計(jì)量，2007（2）：15-18.

[8]國(guó)際電工委員會(huì).IEC 61508：Functional Safety of Electrical，Electronic，Programmable Electronic Safety-related Systems[S].1999.

[9]中國(guó)機(jī)械工業(yè)聯(lián)合會(huì).GB/T 20438-2006電氣、電子、可編程電子安全相關(guān)系統(tǒng)的功能安全[S].北京：中國(guó)標(biāo)準(zhǔn)出版社，2006.

[10]姜榮懷.安全儀表功能的實(shí)現(xiàn)和驗(yàn)證[J].世界儀表與自動(dòng)化，2008（12）：12.