在役石化裝置安全儀表系統(tǒng)SIL驗證方法及日常管理的探討

陳立飛

(中石化上海工程有限公司，上海 200120)

隨著國家對石化行業(yè)生產安全的日益重視及國內石化行業(yè)對安全生命周期認識的不斷加強，中國石油化工集團公司于2013年出臺了《中國石化安全儀表系統(tǒng)(SIS)安全完整性等級評估管理規(guī)定》(中石化安〔2013〕259號文)，規(guī)定中明確了安全完整性等級(SIL)評估，包括SIL分級和SIL驗證，并規(guī)定在役裝置SIL評估頻次按照《中國石化危險與可操作性分析實施管理規(guī)定》的HAZOP分析頻次執(zhí)行，即3年一次。原國家安監(jiān)總局〔2014〕116號文“加強石化安全儀表系統(tǒng)管理指導意見”，更是明確了新建和在役石化裝置進行安全儀表系統(tǒng)功能安全SIL評估的要求，以及實施和完成的時間節(jié)點和周期。石化裝置安全儀表系統(tǒng)在前期設計與工程階段固然重要，但后續(xù)安全儀表系統(tǒng)的運行維護與管理貫穿了石化裝置的整個生命周期，其重要性更是不言而喻。本文針對在役石化裝置安全儀表系統(tǒng)提出了SIL驗證方法及相應的維護管理思路，并對在役石化裝置安全儀表系統(tǒng)SIL驗證的必要性及日常管理的重要性進行深入分析。

1 在役石化裝置SIL驗證

1.1 SIL驗證程序

SIL驗證是在LOPA分析結果的基礎上，根據(jù)儀表的可靠性數(shù)據(jù)，對由安全儀表系統(tǒng)完成的每個安全儀表功能(SIF)回路進行關鍵回路辨析、子系統(tǒng)結構分析和SIL計算，驗證每個SIF回路是否能夠滿足功能安全的要求，即該保護層所承擔的風險降低要求。

SIL驗證的基本程序如圖1所示。

圖1 SIL驗證的基本程序示意

1.2 SIL驗證基礎

1.2.1安全需求規(guī)格書(SRS)

SRS是整個安全生命周期中重要的內容之一。SRS要求清楚、精確，應具有可驗證、可行和可維護性；能夠表達安全生命周期各階段的信息，這些信息對設計/運維安全儀表系統(tǒng)而言應是足夠的。SRS主要內容如下[1-4]：

1)SIF及其SIL等級和操作模式。

2)過程安全狀態(tài)的定義。

3)檢驗測試時間間隔。

4)1個安全儀表系統(tǒng)動作設定點至災難發(fā)生的過程安全時間。

5)1個安全儀表系統(tǒng)動作至安全狀態(tài)的響應時間。

6)旁路(開車、維護、禁止)停機/手動停機及復位。

7)允許的誤動作率。

8)其他。

在役石化裝置應以SRS作為SIL驗證的依據(jù)，當SRS中的信息發(fā)生變化時，應及時更新相應內容。

1.2.2儀表失效數(shù)據(jù)的選取

新建石化裝置的SIL驗證計算一般依據(jù)儀表供應商提供的第三方認證機構出具的SIL認證證書中相關的失效數(shù)據(jù)，據(jù)此來鑒定SIL驗證計算的結果，確實在一定程度上可作為儀表可靠性的依據(jù)。由于受限于第三方認證機構的認證方法，如FMEDA(failure modes effects and diagnostic analysis)及失效數(shù)據(jù)來源的可靠性，如制造商提供的業(yè)績、收集到的各種失效數(shù)據(jù)以及證書提供的失效數(shù)據(jù)并不能真實反映該產品在實際應用環(huán)境下的失效率，要想獲得高質量的失效數(shù)據(jù)，必須要組合分析FMEDA數(shù)據(jù)、工業(yè)數(shù)據(jù)庫以及產品現(xiàn)場應用數(shù)據(jù)和經驗等。

在役石化裝置在有條件的情況下應建立自己的安全儀表失效數(shù)據(jù)庫，通過整理歸檔日常安全儀表系統(tǒng)運行維護及檢驗測試時發(fā)現(xiàn)的問題，累積日常使用中安全儀表系統(tǒng)的相關失效數(shù)據(jù)。在SIL驗證計算的過程中應考慮使用本廠安全儀表失效數(shù)據(jù)庫的數(shù)據(jù)進行驗證計算，這樣能更直觀地反映隨著工廠運行時間增加儀表可靠性發(fā)生的變化，為工廠安全儀表系統(tǒng)日常管理提供更可靠的支持。例如： 測試低壓傳感器的方法之一，是關閉它與工藝過程間的隔離閥，并將隔離閥至傳感器之間連接管段內的工藝介質在允許向周圍排放的情況下，通過旁通閥放空，直至壓力降到觸發(fā)聯(lián)鎖信號。假設某石化裝置在5 a一次的檢驗測試過程中，通過該方法檢驗50臺壓力傳感器，發(fā)現(xiàn)其中1臺傳感器無法觸發(fā)壓力低聯(lián)鎖信號。通過失效分析可知該失效為不可檢測的危險失效，假設該壓力傳感器的不可檢測的危險失效僅一種類型，或其他類型的不可檢測的危險失效均未在該次檢驗測試中檢出，則該型號壓力傳感器的不可檢測的危險失效參數(shù)λDU計算式為

(1)

式中： 1 fit=1個失效/109h。

其他參數(shù)如λDD為可檢測安全失效，λSD為不可檢測的安全失效，可以在日常在線診斷中發(fā)現(xiàn)并記錄，可檢測的危險失效參數(shù)λSU可以在檢驗測試時發(fā)現(xiàn)并記錄。

由于國內還未建立自己的工業(yè)儀表失效數(shù)據(jù)庫，而國外數(shù)據(jù)庫又無法準確反映同類型儀表在中國相關石化裝置中的應用情況，因此隨著安全管理意識的提升也對國內石化行業(yè)提出了更高的要求，期待早日能有符合國情的儀表失效數(shù)據(jù)庫，為國內石化裝置的安全運行保駕護航。

1.3 SIL驗證計算

1.3.1平均失效概率的計算

安全相關系統(tǒng)的安全功能在要求時的平均失效概率，是通過計算和組合提供安全功能的所有子系統(tǒng)在要求時的平均失效概率確定的。它可以表示為[1-2]

PFDSYS=PFDS+PFDL+PFDFE

(2)

式中：PFDSYS——安全相關系統(tǒng)的安全功能在要求時的平均失效概率；PFDS——傳感器子系統(tǒng)要求的平均失效概率；PFDL——邏輯子系統(tǒng)要求的平均失效概率；PFDFE——最終元件子系統(tǒng)要求的平均失效概率。

1個完整的SIF回路包含3個子系統(tǒng)： 傳感器子系統(tǒng)、邏輯子系統(tǒng)和最終元件子系統(tǒng)。3個子系統(tǒng)各不相同，其結構直接影響整個SIF回路的平均失效概率值計算，關系到SIF回路是否能滿足SIL等級要求。

1)“1oo1”結構要求時的平均失效概率計算公式如下[1-2]：

PFD1oo1=(λ′DD+λ′DU)TCE

(3)

式中：λ′DD——檢測到的子系統(tǒng)中通道每小時的危險失效率；λ′DU——未檢測到的子系統(tǒng)中通道每小時的危險失效率；TCE——單個通道的平均停車時間，即通道失效狀態(tài)的平均時間。

其中，單個通道的平均停車時間，即通道失效狀態(tài)的平均時間為

(4)

式中：λD——子系統(tǒng)中通道的危險失效率，λD=(λ′DD+λ′DU)；T1——檢驗測試時間間隔，h；MTTR——平均修復時間，h；MRT——平均恢復時間，h。

2)“1oo2”結構要求時的平均失效概率為[1-2]

PDF1oo2=2[(1-βD)λ′DD+(1-β)λ′DU]2TCETGE+

(5)

式中：β——共因失效因子；βD——診斷共因失效因子；TGE——系統(tǒng)等效停止工作時間。

“1oo2”結構中TGE的計算公式與式(3)相同，TGE表示如下：

(6)

3)“2oo3”結構要求時的平均失效概率計算公式如下[1-2]：

PFD2oo3=6[(1-βD)λ′DD+(1-β)λ′DU]2TCETGE+

(7)

上述公式應用的前提為每次檢驗測試均能100%的覆蓋所有失效的可能，即認為經過一次檢驗測試后，被檢測儀表或部件的可靠性與其剛出廠時一致,完美檢測曲線如圖2所示。

圖2 完美測試曲線示意

但在實際工廠的日常維護中，由于受到各種各樣情況的限制，很難做到100%的檢驗測試覆蓋率，不完美檢測曲線如圖3所示。

圖3 不完美測試曲線示意

該情況下使用以上公式得到的相應結果就與實際情況存在偏差。為了解決該問題，IEC-61511中還提供了一個計算思路，即不完美測試。

1.3.2不完美測試

以“1oo2”結構為例：

要求時的平均失效概率為[1-2]

(8)

式中：T2——需求時間間隔，h；PTC——檢驗測試覆蓋率。

通道失效狀態(tài)的平均時間為

(9)

系統(tǒng)等效停止工作時間TGE為

(10)

這就對工廠的管理者提出了要求，每次檢驗測試不再是主觀臆想的檢測流程，而是需要盡可能分析出被檢測儀表所有可能發(fā)生的失效，統(tǒng)計無法進行針對性檢測的失效數(shù)量，以供進一步的驗證計算，為未來的裝置管理提供精準的依據(jù)。

2 在役石化裝置安全儀表系統(tǒng)的管理

2.1 檢驗測試

由于安全儀表系統(tǒng)(SIS)的特殊性，并不是所有的故障都能自我顯現(xiàn)出來。因此，SIS中每個安全回路必須定期地測試和維護，確保系統(tǒng)對實際要求做出恰當?shù)捻憫z驗和測試的頻率，應該在裝置設計階段進行HAZOP及SIL評估時確定。所有的測試，都要形成文檔記錄，這將保證審核活動能夠順利進行。通過審核，確定設計階段的初始假設，例如失效率、失效模式及檢驗測試時間間隔等和系統(tǒng)實際操作狀況相比是否合理[5]。

在役裝置的儀表管理應盡可能分析出檢測儀表所有可能發(fā)生的失效，并對每種可能發(fā)生的失效制訂針對性的檢驗測試方案，可要求儀表制造商提供相應支持。若在SIL驗證周期內只進行了部分檢驗測試內容，則應采用不完美測試公式驗證計算。

100%的檢測覆蓋率僅在理論上存在，再詳盡的檢驗測試，都無法保證完成一次檢驗測試后的儀表能與新投運儀表的可靠性完全相同。儀表部件及電子線路隨著時間推移，存在著無法直觀檢測的老化情況，雖然無法直接檢測，但其由于老化造成的失效在某種程度上是可預見的，如同一地區(qū)，相近時間建造的類似裝置，儀表工作的外在環(huán)境條件是類似的，若在日常維護中發(fā)現(xiàn)了由于老化、腐蝕等原因造成故障的儀表，則應對相鄰時間點安裝儀表也進行相關方面重點關注，則可在發(fā)生類似故障時，及時更新替換或維修故障儀表。對于有一定歷史、替換過數(shù)次儀表的裝置，則可在上一輪儀表替換周期臨近時，進行相關方面檢查。以上這些日常管理，均需要安全儀表失效數(shù)據(jù)庫的支持。

2.2 建立安全儀表失效數(shù)據(jù)庫

2.2.1儀表失效數(shù)據(jù)對于單個儀表及全廠儀表的意義

針對可修復的儀表，通過儀表失效數(shù)據(jù)庫可以了解單個儀表本體的可靠性變化。對于單個儀表的故障記錄可以反映出儀表的浴盆曲線，如圖4所示。隨著運行時間的增加，儀表經過一段相對失效數(shù)量較少的工作周期后，會在某個特定時間點故障率突然暴增，為替換該儀表提供了確實的依據(jù)。

圖4 儀表故障率與運行時間對應示意

對于不可修復的儀表，其意義更多的是針對該裝置中同型號儀表的整體的意義。由于一套石化裝置中同型號儀表數(shù)量眾多，樣本基數(shù)大，通過對儀表故障的記錄，可以在短時間內對同型號儀表建立相對準確的失效模型，用于SIL計算的失效數(shù)據(jù)亦優(yōu)于第三方認證機構出具的SIL認證報告，對于裝置來說是更加真實、更適用的計算數(shù)據(jù)。

2.2.2安全儀表失效模式分析

SIS的失效可能導致其不能對過程危險狀況進行響應，不能完成保護功能。SIS的失效也有可能造成系統(tǒng)的誤停車，中斷正常生產。這些失效方式稱為失效模式。分析失效模式對于整個SIS的影響十分重要，在失效模式定義的基礎上才能建立安全儀表失效數(shù)據(jù)庫。

根據(jù)SIS的可靠性模型和設備的失效數(shù)據(jù)來對SIS進行定量的可靠性分析。SIS的失效模式主要分為安全失效和危險失效。

1)危險失效。是指可能使SIS處于危險狀態(tài)或失去SIF執(zhí)行能力的失效。

2)安全失效。是指不可能造成SIS處于危險狀態(tài)或失去SIF執(zhí)行能力的失效。

而危險失效和安全失效又可細分為可檢測的危險失效、不可檢測的危險失效、可檢測的安全失效、不可檢測的安全失效。所有可檢測失效是指可以在日常生產維護過程中發(fā)現(xiàn)的失效；不可檢測失效是指無法在日常生產維護過程中發(fā)現(xiàn)，必須通過檢驗測試才能發(fā)現(xiàn)的失效。

只有詳細地分類整理所有故障，建立的安全儀表失效數(shù)據(jù)庫才是準確可用的。

2.3 替換老舊或故障儀表

2.3.1儀表使用壽命

1)產品壽命指標中最重要、最常用的是平均壽命。對于不可修復的產品來說，平均壽命是指產品平均失效前的時間MTTF(mean time to gailure);對于可修復的產品來說，平均壽命是指產品平均失效間隔時間MTBF(mean time between failure)。

2)可靠壽命與特征壽命。可靠度函數(shù)R(T)是T的函數(shù)；當T=0時，R(0)=1，隨著工作時間T的增大，R(T)逐漸下降，由于在實際工廠使用的情況中，每臺儀表產品均經過出廠檢驗及現(xiàn)場校驗，因此本文不考慮失效浴盆曲線最左端高失效率的情況。將達到給定可靠度r所對應的時間稱為可靠壽命，記為Tr。當r=0.5時，T0.5稱為中位壽命；當r=e-1≈0.368時，Te-1稱為特征壽命[6]。可靠度函數(shù)曲線如圖5所示。

圖5 可靠度函數(shù)曲線

2.3.2儀表替換依據(jù)

在日常生產中一旦發(fā)現(xiàn)儀表發(fā)生故障，應及時替換。對于正常運行的儀表，如何判斷是否會因為運行時間較長，可能發(fā)生由于老化造成的故障？以什么作為替換正常運行的儀表的依據(jù)才能在消除安全隱患的同時，避免經濟上的過度浪費？本文提供以下幾種思路以供參考。

1)由驗證計算所得出的結論作為依據(jù)。使用工廠安全儀表失效數(shù)據(jù)庫中的數(shù)據(jù)以及不完美測試的計算公式進行SIL驗證，則每3年一次的驗證結果應該都是動態(tài)的。隨著投運時間的增加，每個子系統(tǒng)的可靠性理論上會逐步降低。當回路要求時的平均失效概率值無法滿足回路的SIL要求時，就需要考慮更換回路中的相關儀表。

2)用儀表設備壽命概念作為依據(jù)。對于可靠度有要求的產品，工作到一定的可靠壽命時，就應考慮更換，否則其可靠度就得不到相應保障。管理者通過分析工廠安全儀表失效數(shù)據(jù)庫中的數(shù)據(jù)，確定可接受的可靠度范圍，制訂老舊儀表更換計劃，以此作為依據(jù)，進行儀表更新替換工作。

3)用“浴盆曲線”概念作為依據(jù)。由“浴盆曲線”可知，隨著運行時間的增加，儀表經過一段相對失效數(shù)量較少的工作壽命后，會在某個特定時間點故障率突然暴增。管理者可以通過分析工廠安全儀表失效數(shù)據(jù)庫中的數(shù)據(jù)，發(fā)現(xiàn)儀表工作壽命結束的時間點，當某個特定時間點同型號不可維修儀表或單個可維修儀表故障率突然暴增時，就可以考慮整體替換該批同型號不可維修儀表或單個可維修儀表。

在實際管理過程中，可以結合實際的經濟可接受程度、用戶的先前應用經驗等因素，綜合考慮選擇最終的優(yōu)化方案。

3 結束語

安全生命周期貫穿整個石化裝置的生產，并不只是簡單的設計安全就能解決所有問題，石化裝置的日常維護管理要伴隨石化裝置運行數(shù)十年，其重要性相對于設計安全來說是有過之而無不及。新建裝置SIL驗證有第三方認證機構出具的SIL認證報告作為理論保證，而在役裝置若在3年一次的SIL驗證計算中仍使用證書數(shù)據(jù)，則導致的結果便是無論裝置運行多少年，驗證結果均無變化。以靜態(tài)的失效數(shù)據(jù)作為依據(jù)，無法反映儀表隨著工作壽命臨近、失效暴增的情況，無形中為裝置的安全生產埋下隱患。

在裝置持續(xù)運行的過程中，由于儀表工作環(huán)境及工作時間的不同，工廠自己建立的針對不同型號儀表的故障數(shù)據(jù)庫更能反映本廠使用儀表的可靠性。隨著裝置運行時間的增加，儀表故障頻率及數(shù)量都會發(fā)生相應的變化，因此可以在SIL驗證計算的過程中考慮使用本廠儀表失效數(shù)據(jù)庫的數(shù)據(jù)進行驗證計算，這樣能更直觀地反應隨著工廠運行時間增加，儀表壽命及可靠性的變化，為工廠SIS日常管理提供更可靠的支持。在役裝置的有效SIL驗證是建立在有效的儀表故障管理及有效的檢驗測試上的，使用動態(tài)的失效數(shù)據(jù)進行有效的SIL驗證，才能保證裝置的安全穩(wěn)定運行。