基于可靠性框圖的SIL驗證研究

謝騰騰 閔祥紅

摘 要：為了對安全儀表系統安全儀表功能的安全完整性等級進行驗證，介紹了基于可靠性框圖模型的硬件失效評估技術在安全儀表系統安全完整性等級驗證。通過對可靠性框圖模型的研究，將不同硬件結構的公式用Excel編制出對應的方程計算出各個子系統的PFDavg，各子系統PFDavg相加得出安全儀表功能的PFDavg。最后，結合具體安全儀表功能實例，介紹了典型安全儀表功能安全完整等級驗證的要素。

關鍵詞：安全儀表系統;安全完整性等級;可靠性框圖;安全儀表功能

DOI：10.16640/j.cnki.37-1222/t.2019.08.154

0 緒論

原安監總管三〔2014〕116號第（十二）條和第（十三）條要求，設計符合要求的安全儀表系統。根據上述兩條要求，對涉及“兩重點一重大”的化工裝置和危險化學品儲存設施的工程項目，SIS設計不可避免。因安全儀表系統保護的是“兩重點一重大”的化工裝置和危險化學品儲存設施，如果設計文件不符相關法令和規范，一旦出現事故則后果可能會很嚴重并且責任極大，甚至會被追究責任[1]。

安全完整性等級（SIL， Safety Integrity Levels）是衡量安全儀表系統各個安全儀表功能（SIF， Safety Instrumented Function）的能力。因此，安全儀表系統的硬件完整性是安全儀表系統各安全儀表功能的設計和驗證的重要一步。

1 SIL驗證要求

SIL驗證根據IEC 61508和IEC 61511的要求來執行，主要包括：確保設計的各子系統PFDavg滿足要求、對SIF的硬件結構要求，HFT要求、對SIF系統能力要求、系統誤停車率要求等，本文只考慮低要求操作模式[1，2]。

PFDavg數據來源通常來源為最終用戶的現場經驗數據、證書認證數據、第三方評估（由認證機構頒發認證證書）、工業數據庫或文獻（手冊）數據和設備供貨商自我評價的數據，一般選取保守的可靠性數據，安全儀表功能進行了PFDavg的計算，驗證是否滿足SIL等級的要求，同時確定測試周期。本文用可靠性框圖方法，進行SIF的PFDavg驗證。[3]

2 PFDavg驗證

圖1中的可靠性框圖表示了一個完整的安全儀表功能，安全儀表功能由三個傳感器（A，B，C）三選二，兩個邏輯控制器（D，E）二選一，兩個最終執行元件（F，G）二選一組成。一個安全儀表功能由傳感器子系統、邏輯控制器子系統和執行單元子系統三部分處于串聯關系。

SIS的SIF在要求時的平均失效概率（PFDavg）是通過最小分割后，將各子系統進行邏輯組合，然后將所有子系統平均要求失效概率疊加確定。因為一般情況下失效概率遠小于0.1，則有以下表示：

PFDavg=ΣPFDavgSi+ΣPFDavgAi+ΣPFDavgLi+ΣPFDavgPSi ? ? ? ? ? ? ? ? ?（1）

式1中各表達式的含義如下：

PFDavg：指定SIF的PFDavg;PFDavgS：該SIF中傳感器的PFDavg;PFDavgA：該SIF中最終執行元件的PFDavg;PFDavgL：該SIF中邏輯控制器的PFDavg;PFDavgPS：該SIF中電源、氣源的PFDavg;i——該SIF中每個組件的數量。

2.1 基礎假設

在進行可靠性框圖硬件失效計算時，需要滿足以下基礎假設：

a）在低要求操作模式時系統出現隨機失效的平均概率應低于10-1。

b）在系統設計生命周期內各個子系統失效率為常量。

c）傳感器子系統包括傳感器、其它元器件（如變送器等）、接線，但不包括檢測信號處理和組合的元器件（例如，雙傳感器通道的表決等）。

d）邏輯子系統包括：組合輸入信號的元件和將最終信號傳輸出到執行單元子系統的所有其它部件。

e）執行單元子系統包括：收到來自邏輯子系統的輸出信號后的所有部件和連接線和最終執行元器件。

f）執行硬件失效概率計算時，相關可靠性數據是子系統的單通道失效率（例如，使用2oo3傳感器，失效率則是指單個傳感器的失效率，需要單獨計算2oo3的影響）。

g）一個表決組中所有通道具有相同的失效率和診斷覆蓋率。

h）子系統中一個通道的硬件總失效率是該通道的危險失效率和安全失效率的總和，并且假設危險失效概率與安全失效概率相等。

i）各安全功能都可以被檢驗測試和修復（即：各組件未檢測到的失效可由檢驗測試檢測到）。不考慮不理想的檢驗測試的影響。

j）檢驗測試的間隔要遠大于平均修理時間（MRT），至少大一個數量級。

k）對于每個子系統都有自身的檢驗測試間隔以及平均修理時間（MRT）。

l）預計的要求間隔至少比檢驗測試時間間隔大一個數量級。

m）對于1oo2、1oo2D、1oo3、2oo3表決組合，診斷覆蓋率規定的失效要求在平均恢復時間內被全部檢測和修復，平均恢復時間影響硬件安全完整性。

n）對于1oo1、2oo2、1oo3表決組合，安全儀表系統在檢測到危險故障后，將進入安全狀態。為此，診斷測試間隔加上達到安全狀態所需時間的總和少于過程安全時間。

o）當電源失效不能對斷電跳閘型安全儀表系統提供電力時，系統自動轉到安全狀態，此時電源不會安全儀表系統要求的平均失效概率產生影響;如果系統需要通電跳閘（得電安全型），或者電源的失效模式能引起安全儀表系統處于不安全工作狀態，應對電源做評估。

2.2 典型結構

3 工程設計及驗證

3.1 工程設計

SIS系統邏輯設計原則為故障安全型，若不能遵守這一原則，系統的安全失效概率將大于零，SIL驗算是需要考慮非故障安全設計的影響。為了方便操作和維護，SIS系統的每個輸入高限條件增加旁路邏輯，在操作站旁路時間可調、剩余時間可見和達到設定時間時將報警。默認每個高高觸發的原因都需要啟動旁路。SIS系統所有的閥門在操作站設置軟手動復位按鈕。

根據設計原則，結合工藝流程圖和工藝邏輯描述，繪制邏輯圖，如圖2所示。依低液位觸發關斷開關閥為例，液氨儲罐T12101A液位（LZHH-1210101A1、LZHH-1210102A1、LZHH-1210105A1）高高三取二，關閉開關閥XZV-1210101A1、XZV-1210101A2，設置復位按鈕和急停按鈕。項目通過SIL定級確定該SIF的安全完整性等級為SIL2，設備請購時規定設備選用采用通過SIL驗證的設備[4]。

3.2 驗證

根據第2章的公式，結合圖1，對下列數據進行驗證，得表1 SIL驗證表，得出總PFDavg=1.2E-03，滿足要求SIL2要求。

3.3 其它要求

3.3.1 硬件故障裕度

硬件故障裕度（HFT）是衡量子系統冗余程度的指標。換言之，HFT是衡量系統能夠承受多少子系統內關鍵元件故障而仍然能夠執行所需要的安全功能。例如，1oo1系統的HFT是0，即只要一個元件故障，系統就失效了;而1oo2系統的HFT就是1，即系統可以承受一個元件失效。根據IEC61511-2016，低要求模式下安全儀表系統每一個安全儀表功能應滿足最小硬件故障裕度的要求，最小硬件故障裕度見表1。采用FVL和LVL的可編程設備，應有的診斷覆蓋率不能低于60%。用非FVL和LVL的設備，可以根據具體情況降低系統故障裕度。

3.3.2 系統能力

（1）硬件的系統能力;（2）軟件的系統能力。

3.3.3 安全儀表系統誤動率

安全儀表系統誤動率STR（Spurious Trip Rate，STR）的反應出安全儀表功能故障帶來的直接經濟損失。誤動率高可能對企業帶來的經濟損失就越大，每個企業都需要根據自身情況可接受的風險矩陣，這取決于很多因素。如：公司的保險政策、財務狀況、開停車的成本等。誤動率由企業提出，當企業沒要求時此部分可以不計算。

4 結論

SIL驗證是安全儀表系統安全生命管理的重要組成部分，本文介紹了SIL驗證方法，對于PFDavg的驗證采用了基于可靠性框圖的方法。本文結合具體安全儀表功能，通過安全儀表的工程設計，分別對安全儀表的安全完整等級的PFDavg、硬件故障裕度、系統能力要求、誤動率等進行驗證，為今后的SIL驗證工作提供參考。

參考文獻：

[1]IEC 61511-1-3 Functional Safety Safety Instrumented Systems for the Process Industry Sector [S].2016.

[2]IEC 61508-1-6 Functional Safety of Electrical/Electronic/Programmable Electronic Safetyrelated systems [S].2010.

[3]Reliability block diagrams： IEC 61078-2016[S].2016.

[4]CN-GB/T50770-2013.石油化工安全儀表系統設計規范[S].2013.