石化裝置安全儀表系統(tǒng)KooN表決結(jié)構(gòu)的誤跳車率定量分析*

王海清， 喬丹菊 ，馮 軍 ，于 芳

(1.中國石油大學(xué)(華東) 機電工程學(xué)院，山東 青島 266580；2.青島中油華東院安全環(huán)保有限公司，山東 青島 266071)

0 引言

安全儀表系統(tǒng)(Safety Instrumented System, SIS) 是保障安全生產(chǎn)的重要技術(shù)措施之一，廣泛應(yīng)用于石油、化工等過程工業(yè)。SIS(具體為安全聯(lián)鎖SIF回路)是由傳感器、邏輯結(jié)算器、執(zhí)行機構(gòu)組合而成，在災(zāi)害事件發(fā)生時，執(zhí)行相應(yīng)的安全儀表功能，達到或保持生產(chǎn)過程的安全狀態(tài)。目前，關(guān)于SIS方面的研究大多集中于安全可用性的定量評估[1]，然而，對于現(xiàn)代大規(guī)模的連續(xù)工藝生產(chǎn)過程，由SIS誤動作導(dǎo)致的非計劃停車(即生產(chǎn)可用性)往往也會引起重大的生產(chǎn)損失和重新開車等安全問題。某些大型生產(chǎn)裝置(如乙烯)對非計劃停車損失的關(guān)注甚至超過了機組設(shè)備損壞的損失，因此，如何準(zhǔn)確地量化誤跳車率具有重要理論價值和實際工程意義。

目前，國內(nèi)外學(xué)者針對SIS誤跳車率的研究相對較少，《電氣/電子/可編程電子安全系統(tǒng)的功能安全》(IEC61508)[2]給出了安全失效的定義，但沒有給出定量的計算公式； 《過程工業(yè)安全儀表系統(tǒng)的功能安全》(IEC61511)[3]僅關(guān)注了系統(tǒng)危險失效；《安全儀表功能(SIF)-安全完整性等級(SIL)-評估技術(shù)包》(ISA-TR84.00.02)[4]和挪威SINTEF PDS方法[5]給出了誤跳車率的簡化公式，僅適用于簡單同型設(shè)備構(gòu)成的聯(lián)鎖系統(tǒng)；Jigar等[6]詳細討論了SIS誤觸發(fā)行為的概念，失效分類等因素，提出了新的STR計算公式，但也僅針對少數(shù)幾種常見結(jié)構(gòu)，并未考慮KooN結(jié)構(gòu)誤跳車率的計算且忽略了降級模式的影響；Innal等[7]引入了誤跳車的等效平均停機時間的概念，給出了KooN結(jié)構(gòu)的STR計算模型，但并未考慮異型結(jié)構(gòu)且忽略了在量化誤跳車率時傳感器與執(zhí)行結(jié)構(gòu)的差異；Lundteigen等[8]討論了誤觸發(fā)的原因和影響，給出STR簡化公式。

以上研究均針對同型設(shè)備構(gòu)成的常見結(jié)構(gòu)的聯(lián)鎖子系統(tǒng)，忽略了異型子系統(tǒng)誤跳車率的計算。在計算SIF回路誤跳車率時，國內(nèi)外文獻均按照對傳感器、邏輯解算器、執(zhí)行機構(gòu)進行簡單求和計算，忽略了3個組成部分之間的關(guān)聯(lián)關(guān)系，這會導(dǎo)致計算結(jié)果存在偏差。鑒于此，本文首先分析安全聯(lián)鎖SIF回路的不同子系統(tǒng)產(chǎn)生誤跳車的邏輯架構(gòu)，同時考慮共因失效對誤跳車率的影響，提出1種更符合實際并適用于異型KooN結(jié)構(gòu)的子系統(tǒng)誤跳車率計算模型SNRS。分析傳感器、邏輯解算器、執(zhí)行機構(gòu)在計算SIF回路誤跳車率時的關(guān)聯(lián)關(guān)系，提出從全新角度分析安全聯(lián)鎖SIF回路誤跳車率RST的計算框架。

1 異型冗余KooN表決結(jié)構(gòu)誤跳車率的定量分析

1.1 傳感器子系統(tǒng)誤跳車率計算模型

對于任意KooN結(jié)構(gòu)傳感器，誤跳車通常由檢測到的安全失效(SD)和未檢測到的安全失效(SU)導(dǎo)致，發(fā)生危險檢測失效(DD)，則認為相應(yīng)儀表將被摘除進行維修，DD失效不導(dǎo)致誤跳車，不在討論范疇之內(nèi)。因此，當(dāng)有K個通道或者更多通道發(fā)生安全失效時，傳感器子系統(tǒng)就會觸發(fā)誤跳車信號，其所在SIF回路未必誤跳車，詳細敘述見1.2。因此，傳感器子系統(tǒng)誤跳車率STRT為：

STRT=STRind+STRCCF

(1)

式中：STRind為獨立失效導(dǎo)致的誤跳車率； STRCCF為共因失效導(dǎo)致的誤跳車率。一般情況下，當(dāng)通道發(fā)生安全失效時，一些通道能夠被檢測機制發(fā)現(xiàn)并修復(fù)，一些未檢測的安全失效需要通過周期測試才能被檢測出。考慮這2種不同情況，安全失效率λS可分解為：

λS=λSD+λSU

(2)

式中：λSD為已檢測安全失效率；λSU為未檢測安全失效率。對于已檢測的安全失效，其失效時間為平均恢復(fù)時間MTTR(Mean Time To Restoration)[9-11]，其中包括了平均維修時間MRT(Mean Repair Time)和其他相關(guān)時間延遲，如設(shè)備檢測、故障報告等。對于未檢測的安全失效，其失效時間不但包括平均維修時間，還與驗證測試間隔有關(guān)。因此，驗證測試周期為T時，t時刻第i(i=1,2,…K-1)個安全失效通道SU失效的平均失效時間為：

(3)

式中：MRTS為安全失效平均維修時間，h。對于安全失效通道SD失效的平均失效時間為：

tSD,i=MTTRS

(4)

式中：MTTRS為安全失效平均恢復(fù)時間，h。對于KooN結(jié)構(gòu)的SIF回路，若當(dāng)前存在K-1個安全失效，只有在該風(fēng)險期內(nèi)發(fā)生第K個故障才會發(fā)生誤跳車。系統(tǒng)發(fā)生K-1個安全失效即系統(tǒng)處于風(fēng)險期的概率PDT(Probability of Dead Time)為：

(5)

(6)

(7)

(8)

1.2 SIS邏輯解算器誤跳車率計算模型

邏輯解算器的失效模式與傳感器相同，因此，SIS邏輯解算器的異型冗余KooN表決結(jié)構(gòu)誤跳車率計算模型為：

(9)

(10)

1.3 SIS執(zhí)行機構(gòu)部分誤跳車率計算模型

由于SIS的執(zhí)行機構(gòu)通常會直接影響受控設(shè)備，因此，量化執(zhí)行機構(gòu)的誤跳車率與傳感器和邏輯解算器有所不同，即安全可用性表決與誤跳車表決結(jié)構(gòu)可能并不相同，如2oo2結(jié)構(gòu)的閥門，其誤跳車結(jié)構(gòu)為1oo2。除非專門指出，否則本文的KooN均表示誤跳車結(jié)構(gòu)。執(zhí)行機構(gòu)的誤跳車率為：

(11)

由共因失效導(dǎo)致的誤跳車與傳感器一致，因此，執(zhí)行機構(gòu)異型冗余KooN結(jié)構(gòu)的STR為：

(12)

STR=STRSE+STRLS+STRFE

(13)

2 安全儀表系統(tǒng)SIF回路的誤跳車率計算模型

目前，國內(nèi)外關(guān)于安全儀表系統(tǒng)SIF回路的誤跳車率文獻按照對傳感器、邏輯解算器、執(zhí)行機構(gòu)3部分求和計算[6-8]。即其默認假設(shè)條件為：此3個子系統(tǒng)之間是完全獨立的，且成敗邏輯與物理結(jié)構(gòu)的順序無關(guān)。然而，SIF回路的3個組成部分是存在關(guān)聯(lián)的，進行簡單求和的理論基礎(chǔ)與邏輯會導(dǎo)致計算結(jié)果存在偏差。因此，目前用于計算STR的國際標(biāo)準(zhǔn)與PSD等方法，實質(zhì)上采用的是傳統(tǒng)事故樹計算方法，如圖1所示。

圖1 傳統(tǒng)STR計算方法事故樹Fig.1 Fault tree representation of traditional STR calculation method for SIF

式(13)的結(jié)果與等式右邊的加和順序無關(guān)。實際工程應(yīng)用中，傳感器子系統(tǒng)發(fā)出誤跳車信號(誤動作)后，當(dāng)且僅當(dāng)后面的2個子系統(tǒng)都正常、可靠運行(正常動作，即沒有發(fā)生拒動作)時，才能夠真正發(fā)生SIF回路的誤跳車。由此可知，當(dāng)邏輯解算器子系統(tǒng)發(fā)生誤動作時，依賴于執(zhí)行子系統(tǒng)的正常動作，與傳感器子系統(tǒng)的狀態(tài)無關(guān)；當(dāng)執(zhí)行子系統(tǒng)發(fā)生誤動作時，則為式(13)的最后一項，即僅取決于該子系統(tǒng)本身，而與前2個子系統(tǒng)的狀態(tài)無關(guān)。由此可知，目前的STR計算方法和事實存在較大的偏差，即SIF回路的某一子系統(tǒng)發(fā)生誤跳車，整個SIF回路未必能“成功”發(fā)生誤跳車。本文提出1種全新的RST(Reliability based Spurious Trip)計算框架，假設(shè)3個部分不會同時發(fā)生誤跳車，其事故樹如圖2所示。

圖2 改進STR計算方法(RST)事故樹Fig.2 Fault tree representation of new STR calculation method (RST) for SIF

安全儀表系統(tǒng)SIF回路的誤跳車率計算模型RST為：

STRSIS=STRSE×(1-PFDLS)×(1-
PFDFE)+STRLS×(1-PFDFE)+STRFE

(14)

式中：PFD是按照無誤跳車表決模式來計算的需求失效概率，PFDLS為邏輯解算器的需求失效概率；PFDFE為執(zhí)行機構(gòu)的需求失效概率。

3 聚丙烯裝置工程案例分析

某石化公司的聚丙烯裝置以上游氣分裝置生產(chǎn)的工業(yè)丙烯為主要原料，經(jīng)過脫水、脫硫、脫氧、脫砷，使原料丙烯達到聚合要求。在一定溫度、壓力、催化劑及分子量調(diào)整劑條件下，使丙烯發(fā)生聚合反應(yīng)，并經(jīng)氣固分離、干燥、汽蒸及丙烯回收等工序生產(chǎn)出合格的聚丙烯粉料產(chǎn)品。本裝置選用國內(nèi)自行開發(fā)的丙烯液相本體與臥式釜氣相本體相組合的工藝(SPG)，丙烯在催化劑及分子量調(diào)整劑的作用下，通過預(yù)聚釜和第1、2反應(yīng)器進行聚合反應(yīng)，排出的淤漿進入第3反應(yīng)器D203進行氣相聚合。

D203反應(yīng)溫度控制策略如圖3所示，各點溫度控制需保持一致。當(dāng)釜內(nèi)溫度過低產(chǎn)生積液或超溫時，TAHH203A/B/C觸發(fā)2oo3表決，由于3個通道的傳感器不定期更換，導(dǎo)致所用傳感器由來自3個不同廠家的溫度傳感器構(gòu)成(不同型號的RTD)。將CO阻聚劑加入到D203及上游反應(yīng)釜，停止聚合反應(yīng)，D203停止指示燈亮，TIC233B(MS)閥關(guān)，TIC233A(CW)閥開，XV231閥開，關(guān)閉若干工藝閥門，閥門TIC233A/B構(gòu)成2oo2表決來控制釜內(nèi)溫度。相應(yīng)的設(shè)備可靠性數(shù)據(jù)見表1，其中MRTS=MTTRS=8 h。

圖3 D203反應(yīng)溫度控制示意Fig.3 Temperature control scheme of reactor D203

類型組件λSU/(×10-6·h-1)λSD/(×10-6·h-1)λDD/(×10-6·h-1)λDU/(×10-6·h-1)β=βSD=βSU傳感器邏輯解算器執(zhí)行機構(gòu)TAHH203A0.90.40.480.350.02TAHH203B1.351.10.80.70.02TAHH203C3.52.31.91.40.02幾何平均值1.621.00.900.70.02LS0.3000.03TIC233A1.31.22.22.20.03TIC233B2.51.81.32.10.03幾何平均值1.81.471.692.150.03

分別利用SIS子系統(tǒng)誤跳車率計算方法SNRS和其他標(biāo)準(zhǔn)、文獻提出的計算方法，計算傳感器組的誤跳車率，計算比較結(jié)果見表2。

由于1ooN結(jié)構(gòu)不涉及失效時間的問題，從表2可知3種方法的計算結(jié)果均不隨驗證測試周期的變化而變化。對于其他誤跳車率受失效時間影響的結(jié)構(gòu)，ISA-TR84.00.02和PDS方法均認為未檢測安全失效的時間為平均維修時間，而非驗證測試時間，因此， 2oo2和2oo3結(jié)構(gòu)的計算結(jié)果并不隨驗證測試間隔變化而變化。而實際情況下，未檢測安全失效的失效時間受驗證測試間隔周期影響，且隨著驗證測試周期的增加，系統(tǒng)誤跳車率應(yīng)逐漸增大，2oo2結(jié)構(gòu)中采用SNRS與ISA-TR84.00.02方法誤差逐漸增大，最大達到3倍以上。 因此，在計算系統(tǒng)誤跳車率時，應(yīng)對已檢測安全失效和未檢測安全失效的失效時間進行區(qū)分計算，故SNRS計算結(jié)果與實際情況更加相符。此外，ISA-TR84.00.02與PDS方法僅適用于同型設(shè)備(采用幾何平均值)，而SNRS方法則可更準(zhǔn)確地計算異型冗余設(shè)備的STR，避免了采用同型設(shè)備計算公式而導(dǎo)致的計算誤差。

表2 子系統(tǒng)誤跳車率的不同計算方法的數(shù)值結(jié)果對比Table 2 Comparison of different calculation formulas for STR

不同計算方法得到的SIF回路誤跳車率數(shù)值結(jié)果對比見表3。由表3可知，在計算整個SIF回路誤跳車率方面，無論子系統(tǒng)采用什么方法，ISA-TR8.00.02的計算結(jié)果均明顯高于RST，且驗證測試間隔越大，相對誤差越大。對子系統(tǒng)采用ISA方法，發(fā)現(xiàn)ISA和RST方法二者計算SIF回路誤跳車率之間的相對誤差最大達到13.85% ；而子系統(tǒng)采用SNRS方法時，二者之間的相對誤差最大僅為3.73%。同時，在子系統(tǒng)采用相同方法的情況下，隨著執(zhí)行機構(gòu)危險失效率逐漸增大，RST方法計算的誤跳車率逐漸變小，而ISA方法則恒定不變，這與實際情況中SIF回路的誤跳車率受其他子系統(tǒng)狀態(tài)影響情況不符。因此，RST方法優(yōu)于其他計算，更符合實際工況。

表3 不同計算方法得到的SIF回路誤跳車率數(shù)值結(jié)果對比Table 3 Comparison of different calculation formulas for STR of SIF

4 結(jié)論

1)針對傳感器、邏輯解算器、執(zhí)行機構(gòu)引發(fā)誤跳車的不同失效機理和模型，考慮共因失效對誤跳車率的影響，提出1種更符合工程實際、適用于異型KooN結(jié)構(gòu)的子系統(tǒng)誤跳車率計算模型SNRS，可以更加廣泛應(yīng)用于多種結(jié)構(gòu)異型設(shè)備構(gòu)成的SIS系統(tǒng)，提高計算的準(zhǔn)確性。

2)從SIF回路的整體可靠性角度，分析傳感器、邏輯解算器、執(zhí)行機構(gòu)在計算SIF回路誤跳車率時的關(guān)聯(lián)關(guān)系，提出1種從整體角度分析安全聯(lián)鎖SIF回路誤跳車率RST的計算框架。計算發(fā)現(xiàn)采用RST方法計算出來的誤跳車率小于ISA-TR84.00.02方法，避免了可能誤導(dǎo)企業(yè)進行誤跳車改造而帶來的經(jīng)濟損失。