安全儀表系統(tǒng)(SIS)的SIL評估

1、安全儀表系統(tǒng)(SIS)的SIL評估摘要:主要論述安全儀表系統(tǒng)及進(jìn)行SIL評估的必要性,并作了簡單的可靠性計(jì)算,隨著安全儀表系統(tǒng)工程的發(fā)展,在安全儀表系統(tǒng)的設(shè)計(jì)過程中,對安全儀表系統(tǒng)的SIL等級進(jìn)行定量分析將是重要的。1引言隨著石油、化工裝置的經(jīng)濟(jì)規(guī)模日趨大型化,生產(chǎn)裝置的密集程度越來越高,對操作、控制及安全的要求也越來越嚴(yán)格。石化裝置的產(chǎn)品一般都屬于易燃、易爆或有毒介質(zhì),生產(chǎn)過程稍有閃失就會釀成災(zāi)難性的事故,造成生產(chǎn)、設(shè)備、人員等方面的重大損失。作為過程工業(yè)安全的重要保障,確保過程工業(yè)安全儀表系統(tǒng)本身的可靠性對于過程工業(yè)的安全具有重要意義。2安全儀表系統(tǒng)安全儀表系統(tǒng)(Safety instru

2、mented systems,SIS)是一種自動安全保護(hù)系統(tǒng),它是保證正常生產(chǎn)和人身、設(shè)備安全的必不可少的措施,它已發(fā)展成為工業(yè)自動化的重要組成部分。在過程工業(yè)中,安全儀表系統(tǒng)的安全性對于事故的影響十分巨大,由于過程工業(yè)中的安全事故通常會造成人員傷亡和巨額財(cái)產(chǎn)損失,因此開展過程工業(yè)安全儀表系統(tǒng)安全評定對于確保過程工業(yè)安全具有重要意義。統(tǒng)計(jì)資料表明,過程工業(yè)中,由于對安全儀表系統(tǒng)的安全要求不合理以及投產(chǎn)后的項(xiàng)目改造過程中對安全儀表系統(tǒng)的改建不恰當(dāng)所造成的安全事故在全部事故中所占的比重最大。安全儀表系統(tǒng)設(shè)計(jì)不當(dāng),一種可能的后果是該跳車時不跳,造成拒動作;另一種可能的后果是不該跳車時跳車,造成誤動作

3、。拒動作會造成嚴(yán)重甚至災(zāi)難性的后果,誤動作的直接后果是裝置停車,造成巨額的經(jīng)濟(jì)損失。根據(jù)IEC61511中的定義,安全儀表系統(tǒng)是由傳感器、邏輯控制器、執(zhí)行器組成的,能夠行使一項(xiàng)或多項(xiàng)安全儀表功能(Safety instrumented function,SIF)的系統(tǒng)。每一個安全儀表功能針對特定的風(fēng)險(xiǎn)對生產(chǎn)過程進(jìn)行保護(hù)1。圖1為一典型的安全儀表功能,它的功能是為了防止壓力容器V100中壓力過高而發(fā)生爆炸等危險(xiǎn)事故。此SIF由壓力變送器、一個邏輯控制器和一個閥門組成,在DCS(Dis-tributed ControlSystem)對于壓力控制已經(jīng)失效的情況下,容器內(nèi)壓力持續(xù)升高,達(dá)到壓力變送器最

4、高(比DCS控制壓力預(yù)設(shè)值更高)的預(yù)設(shè)值時,壓力變送器將其轉(zhuǎn)換成合適的信號傳送給邏輯求解器,由邏輯求解器經(jīng)過運(yùn)算發(fā)出控制指令,關(guān)閉閥門,停止對容器內(nèi)碳?xì)浠衔锏墓┙o。這就是一個完整的安全儀表功能。在整個SIF的實(shí)現(xiàn)過程中,其中的三個環(huán)節(jié)中的任何一個失效將導(dǎo)致SIF的失效,對于此例而言,如果SIF失效,那么系統(tǒng)將繼續(xù)向容器V100中輸送碳?xì)浠衔?容器內(nèi)的壓力將繼續(xù)升高,極有可能造成容器泄漏、爆炸等嚴(yán)重的后果,導(dǎo)致容器損壞、裝置停產(chǎn)、人員傷亡等嚴(yán)重?fù)p失。所以對安全儀表系統(tǒng)進(jìn)行完整性評估,定量的可靠性計(jì)算是十分重要和有效的途徑,以防止各類事故的發(fā)生。3安全儀表系統(tǒng)與過程控制系統(tǒng)的區(qū)別過程控制在石油

5、、化工、電力、冶金等部門有廣泛的應(yīng)用。20世紀(jì)50年代,過程控制主要用于使生產(chǎn)過程中的一些參量保持不變,從而保證產(chǎn)量和質(zhì)量穩(wěn)定。60年代,隨著各種組合儀表和巡回檢測裝置的出現(xiàn),過程控制已開始過渡到集中監(jiān)視、操作和控制。70年代,出現(xiàn)了過程控制最優(yōu)化與管理調(diào)度自動化相結(jié)合的多級計(jì)算機(jī)控制系統(tǒng)。80年代,過程控制系統(tǒng)開始與過程信息系統(tǒng)相結(jié)合,具有更多的功能。而在今天,過程控制系統(tǒng)開始與安全儀表系統(tǒng)更多地結(jié)合在一起,即:對于操作監(jiān)視層,如安全儀表系統(tǒng)的過程變量值、報(bào)警和事件記錄、SOE以及故障診斷信息等集中在DCS畫面上進(jìn)行顯示,而在控制和安全管理層, DCS和SIS分別配置獨(dú)立的控制單元實(shí)現(xiàn)過程控

6、制和安全聯(lián)鎖的獨(dú)立操作?；具^程控制系統(tǒng)是執(zhí)行常規(guī)生產(chǎn)功能的控制系統(tǒng),過程控制系統(tǒng)以表征生產(chǎn)過程的參量為被控制量使之接近給定值或保持在給定范圍內(nèi)的自動控制系統(tǒng)。這里的“過程”是指在生產(chǎn)裝置或設(shè)備中進(jìn)行的物質(zhì)和能量的相互作用和轉(zhuǎn)換過程。表征過程的主要參量有溫度、壓力、流量、液位、成分、濃度等。通過對過程參量的控制,可使生產(chǎn)過程中產(chǎn)品的產(chǎn)量增加、質(zhì)量提高和能耗減少。一般的過程控制系統(tǒng)通常采用反饋控制的形式,這是過程控制的主要方式?；具^程控制系統(tǒng)與安全儀表系統(tǒng)在功能上完全獨(dú)立?；具^程控制系統(tǒng)執(zhí)行基本過程控制功能以達(dá)到生產(chǎn)過程的操作要求;安全儀表系統(tǒng)則是監(jiān)視生產(chǎn)過程的狀態(tài),判斷危險(xiǎn)條件,防止風(fēng)險(xiǎn)的

7、發(fā)生或者減輕風(fēng)險(xiǎn)造成的后果?；究刂葡到y(tǒng)是主動的、動態(tài)的;而安全儀表系統(tǒng)則是被動的、休眠的。在大部分時間,裝置的正常運(yùn)行都是靠基本控制系統(tǒng),而在這時的安全儀表系統(tǒng)是沒有任何作用的,只有在發(fā)生危險(xiǎn)且基本控制系統(tǒng)已經(jīng)無法控制時,安全儀表系統(tǒng)才發(fā)揮作用2。圖2可以看到IEC61511對安全防護(hù)的分層描述1。從IEC61511對安全防護(hù)的分層描述,可以清楚地看出過程控制系統(tǒng)和安全儀表系統(tǒng)的區(qū)別。值得一提的是,按照IEC61511的分層描述,安全層次應(yīng)包含防護(hù)和減災(zāi)兩個層次,事實(shí)上,在評估一個裝置或單元是否應(yīng)使用安全儀表系統(tǒng)時,最簡單的一個方法就是計(jì)算其事故發(fā)生的可能性(ESD系統(tǒng)可使得該可能性降低)乘

8、上事故發(fā)生的后果(FGS系統(tǒng)可使得事故后果最小化)。在國外大多數(shù)煉油和化工廠在實(shí)施安全儀表系統(tǒng)時,均使用SIL2/3等級的安全儀表系統(tǒng)來實(shí)現(xiàn)ESD和FGS的功能,而在中國,除少數(shù)中外合資項(xiàng)目和中海油的海上平臺項(xiàng)目,大多數(shù)項(xiàng)目至今未考慮采用具備SIL等級的系統(tǒng)來實(shí)現(xiàn)FGS功能,同國外同行存在較大差距,也是同很多安全規(guī)范相違背的。基本過程控制系統(tǒng)與安全儀表系統(tǒng)都有可能發(fā)生失效,對于基本控制系統(tǒng)來說,其大部分的失效都會在運(yùn)行過程中很明顯地表現(xiàn)出來,包括溫度、壓力、流量等的不正常,那么必定會影響生產(chǎn)過程的運(yùn)行,由此產(chǎn)生的故障現(xiàn)象馬上會展現(xiàn)出來。而相反,安全儀表系統(tǒng)的失效就不會太明顯,這是完全由安全儀表

9、系統(tǒng)的特性所決定的,由于它長時間處于“休眠”狀態(tài),無法觀察或發(fā)現(xiàn)它是否出現(xiàn)了故障或者失效。因此,確定休眠系統(tǒng)是否正常工作的唯一方法,就是對該系統(tǒng)進(jìn)行周期性的診斷和測試,所以安全儀表系統(tǒng)需要人為地進(jìn)行周期性離線或在線測試,而有些安全系統(tǒng)則本身帶有內(nèi)部的自診斷測試系統(tǒng)?；具^程控制系統(tǒng)失效后由安全儀表系統(tǒng)對裝置進(jìn)行保護(hù),如果安全儀表系統(tǒng)再失效,則往往導(dǎo)致極其嚴(yán)重的后果,所以提高安全儀表系統(tǒng)的可靠性尤為重要。展望未來基本過程控制系統(tǒng)與安全儀表系統(tǒng)的發(fā)展,大多數(shù)的過程控制工業(yè)領(lǐng)域的人士認(rèn)為集成控制安全系統(tǒng)的廣泛應(yīng)用將是大勢所趨。實(shí)際上,美國ARC咨詢集團(tuán)有限公司已把新型集成控制安全系統(tǒng)看作一項(xiàng)頂尖自動

10、化技術(shù)和2007年的潮流所在。4安全儀表系統(tǒng)可能存在的問題安全儀表系統(tǒng)在整個石油、化工行業(yè)都有著廣泛的運(yùn)用,其正常運(yùn)行可大大降低裝置的風(fēng)險(xiǎn),降低經(jīng)濟(jì)損失,保障人員安全等。但安全儀表系統(tǒng)也存在一些問題,主要包括:安全不足、誤跳車、故障率過高和缺乏合理的維護(hù)手段。根據(jù)國外公司的數(shù)據(jù)統(tǒng)計(jì)顯示所有的安全儀表系統(tǒng)中,聯(lián)鎖合理的僅占40% 45%。4.1聯(lián)鎖拒動作所謂聯(lián)鎖拒動作,就是在裝置需要聯(lián)鎖進(jìn)行動作以降低風(fēng)險(xiǎn)或保障安全的時候,聯(lián)鎖功能失效,導(dǎo)致在需要時無法執(zhí)行指定的安全功能,引發(fā)重大的事故發(fā)生,是最危險(xiǎn)的一種情況。如果聯(lián)鎖的拒動作概率過高,那么可以認(rèn)為聯(lián)鎖無法適應(yīng)裝置的工藝及操作條件對安全的要求。前

11、面已經(jīng)介紹過整個聯(lián)鎖功能要動作要通過三個組成部分,即傳感器、邏輯控制器、執(zhí)行器。為了減少系統(tǒng)拒動作的概率,除了要選擇可靠性較高的元器件以外,還可以適當(dāng)?shù)卦黾酉到y(tǒng)的冗余,比如本來傳感器是1oo1的,即根據(jù)一個傳感器的情況來確定是否進(jìn)行聯(lián)鎖動作,現(xiàn)改為1oo2,即只要2個傳感器中有一個報(bào)警或正常發(fā)出信號,聯(lián)鎖即動作,這樣就可以提高系統(tǒng)的可靠性。對于執(zhí)行器也是一樣,以閥門為例,如果需要截止閥切斷給料,如果只有一個閥門,閥門由于長時間沒有動作,很有可能會拒動,但如果有兩個閥門,同時拒動的可能性就會大幅下降。增加系統(tǒng)的冗余可以明顯減小聯(lián)鎖拒動作的概率,但同時也會提高誤動作的概率。4.2聯(lián)鎖誤動作所謂聯(lián)鎖

12、誤動作,就是實(shí)際整個裝置運(yùn)行正常,而由于安全儀表系統(tǒng)本身元器件失效而導(dǎo)致不必要的非計(jì)劃停車損失。頻繁的誤動作會導(dǎo)致對聯(lián)鎖可靠性信心的降低,有些企業(yè)會為了保證生產(chǎn)而拆除一些聯(lián)鎖,有可能埋下隱患;頻繁停車與啟動增加了對設(shè)備的沖擊及風(fēng)險(xiǎn),而且許多裝置的開車物料損失、停產(chǎn)損失都是非常大的。與聯(lián)鎖拒動作相同,也可以通過改變傳感器和執(zhí)行機(jī)構(gòu)的布置和取法來減少誤動作的次數(shù)。例如原本傳感器是1oo2方式,即只要兩個中一個觸發(fā)信號即動作,如果改為2oo2的話,則變?yōu)楸仨殐蓚€同時觸發(fā)才會動作。這樣就可以避免傳感器故障引起的誤動作。同時,也可以對傳感器的失效狀態(tài)進(jìn)行設(shè)定,可以設(shè)定為非故障安全型,這樣也可降低誤跳車的

13、概率?？傊?一個安全儀表系統(tǒng)必須要根據(jù)實(shí)際情況和各種失效后果,對聯(lián)鎖拒動作和誤動作的概率進(jìn)行定量計(jì)算,如果還不能滿足公司的各類風(fēng)險(xiǎn)等級要求,必須對聯(lián)鎖進(jìn)行重新設(shè)計(jì)或修改。5安全儀表系統(tǒng)的可靠性計(jì)算方法一般地,安全儀表系統(tǒng)都是根據(jù)工程設(shè)計(jì)人員的經(jīng)驗(yàn)進(jìn)行定性的設(shè)計(jì),往往存在著以上所說的這樣或那樣的問題,故安全儀表系統(tǒng)有必要從定性分析轉(zhuǎn)換到定量分析上來。根據(jù)IEC61511要求,根據(jù)安全儀表系統(tǒng)的可靠性模型和設(shè)備的失效率數(shù)據(jù)才能對安全儀表系統(tǒng)進(jìn)行定量的可靠性分析?？煽啃缘挠?jì)算是安全儀表系統(tǒng)定量評估中非常重要的一個環(huán)節(jié),計(jì)算方法選擇的合理性直接影響定量分析結(jié)果的可靠性。安全儀表系統(tǒng)的失效可能導(dǎo)致其不能

14、對危險(xiǎn)狀況作出響應(yīng),不能完成保護(hù)功能;相對而言,安全儀表系統(tǒng)的失效也有可能造成系統(tǒng)的誤跳車,使得生產(chǎn)中斷。不同的失效方式被統(tǒng)稱為失效模式。根據(jù)產(chǎn)品在系統(tǒng)中的功能,失效模式與影響分析方法(FailureMode and EffectAnalysis, FMEA)能夠確定產(chǎn)品失效所造成的系統(tǒng)失效的失效模式,因此,使用失效模式與影響分析方法(FMEA)分析研究產(chǎn)品使用過程中實(shí)際發(fā)生的失效、原因及其影響,根據(jù)失效模式、失效判據(jù)和失效影響等計(jì)算產(chǎn)品的失效率,并按產(chǎn)品的失效后果分別計(jì)算安全失效率和危險(xiǎn)失效率,為系統(tǒng)可靠性指標(biāo)的計(jì)算奠定基礎(chǔ)?？煽啃越５闹饕椒ㄓ腥N:可靠性框圖、故障樹分析、馬爾可夫模型。

15、5.1安全儀表系統(tǒng)定量評估方法從經(jīng)驗(yàn)的積累,到標(biāo)準(zhǔn)的制定,到廣泛認(rèn)可,石化裝置安全完整性技術(shù)已成為確保石化裝置安全的最重要技術(shù)手段。作為一種最新的安全管理技術(shù),過程工業(yè)安全儀表系統(tǒng)(SIS)定量安全評價(SafetyIntegrated Leve,l SIL)是在RBI之上的基于風(fēng)險(xiǎn)的資產(chǎn)管理技術(shù),可以為提高企業(yè)安全水平及經(jīng)濟(jì)效益起到重要的促進(jìn)作用?？梢?接軌國際最新的安全研究成果,在我國開展過程工業(yè)安全儀表系統(tǒng)定量安全評定,必將大大促進(jìn)我國石化行業(yè)安全生產(chǎn)水平的提高,是今后安全管理的發(fā)展方向。安全儀表系統(tǒng)定量安全評定的內(nèi)容主要包括對安全儀表系統(tǒng)內(nèi)硬件、軟件的安全功能實(shí)現(xiàn)情況作出定量的評定結(jié)果

16、;在安全儀表系統(tǒng)的生命周期內(nèi),評定內(nèi)容包括過程工業(yè)存在的風(fēng)險(xiǎn)分析、失效模式及影響分析(Failure Mode and Effect Analysis,FMEA),安全儀表系統(tǒng)綜合安全等級要求,安全儀表系統(tǒng)安全功能的分配、安全儀表系統(tǒng)軟硬件功能安全性評定、安全儀表系統(tǒng)設(shè)計(jì)、安裝、改造及處置過程中的安全性評定、操作規(guī)程、文檔的安全檢查、人員配置安全檢查等方面3。整個SIL評估過程的流程圖如圖3所示。5.2安全儀表系統(tǒng)定量分析實(shí)例在安全儀表系統(tǒng)定量分析中,有幾個比較重要的指標(biāo):安全失效分?jǐn)?shù)(SFF)、平均失效概率(PFD)和安全完整性等級(SIL)4,下面通過兩個實(shí)例來簡單介紹一下上述指標(biāo)的計(jì)算方

17、法,和保證整個系統(tǒng)安全完整性等級的幾種方法。IEC61508標(biāo)準(zhǔn)規(guī)定了安全完整性等級(SIL)與系統(tǒng)的結(jié)構(gòu)約束及診斷之間的關(guān)系,如表1表1中,硬件故障裕度N表示N+1個故障將導(dǎo)致安全功能的喪失。如一個安全系統(tǒng)需要滿足SIL3等級,在該系統(tǒng)的安全失效分?jǐn)?shù)為90% <99%時,其硬件的故障裕度至少應(yīng)為1,即該系統(tǒng)結(jié)構(gòu)至少應(yīng)選擇1oo2,但當(dāng)一安全系統(tǒng)的安全失效分?jǐn)?shù)99%時,其硬件的故障裕度可以為0,則該系統(tǒng)結(jié)構(gòu)選擇1oo1即可滿足SIL3等級。我們以目前市場占有率最高的TMR系統(tǒng)Tri-conex公司的Tricon V10系統(tǒng)和市場占有率最高的QMR系統(tǒng)Honeywell公司的SM系統(tǒng)(以前

18、名稱為FSC)為例來說明該問題:按照IEC61508標(biāo)準(zhǔn),計(jì)算一個系統(tǒng)的安全失效分?jǐn)?shù)如下:我們以一個小規(guī)模系統(tǒng)(配置一塊模擬量輸入卡件/一塊數(shù)字量輸入卡件和一塊數(shù)字量輸出卡件)為例來說明。表2列出了根據(jù)Triconex公司和Honeywell公司的TUV報(bào)告提供的數(shù)據(jù)。根據(jù)上述計(jì)算結(jié)果可以看出TriconV10系統(tǒng)在故障裕度至少應(yīng)為1的情況下,能保證系統(tǒng)安全完整性等級為SIL3級,即其系統(tǒng)降級使用情況為3-2-0。而SM系統(tǒng)在其配置單控制器和單IO卡件時,系統(tǒng)也能滿足SIL3等級。以上簡單介紹了對邏輯控制器的安全等級評估的一種方法,下面再舉一個計(jì)算整個系統(tǒng)安全完整性的實(shí)例:假設(shè)一個SIL2傳感

19、器的PFD=0.005 (SIL2),SIL3邏輯控制器的PFD=0. 000 5(SIL3),而一個SIL1輸出閥門的PFD=0.05(SIL1),將他們連接成一套系統(tǒng)后,系統(tǒng)的PFD=0. 005+0. 000 5+0. 05=0.055 5,只能滿足SIL1級。參見圖4。從上面的計(jì)算結(jié)果我們知道當(dāng)在一個安全回路上,如果傳感器、邏輯控制器和輸出閥門中任一不滿足SIL3等級時,整個安全回路的SIL等級一定達(dá)不到SIL3等級的設(shè)計(jì)要求。然而,對于大部分用戶來說,如果要求在工廠的建設(shè)中采購大量的滿足SIL3等級的變送器和閥門顯然不符合實(shí)際,不光會帶來初期投資的大幅度增加,而且后期維護(hù)的費(fèi)用也非常

20、高。那在投資增加不大的情況下,有沒有其它方法來實(shí)現(xiàn)整個回路的SIL3安全等級呢?答案是肯定的。下面我們來分析一個具體的安全回路。假設(shè)傳感器單元的每小時故障率為0.000 05,診斷覆蓋率為90%,平均故障修復(fù)時間為8 h,維護(hù)時間為12個月一次。則計(jì)算它的PFD為0.011,安全完整性等級為SIL1級。假設(shè)一種極端情況,如果將該傳感器單元的維護(hù)時間改為1個月一次(當(dāng)然,在實(shí)際使用過程中很難做到),重新計(jì)算它的PFD值為0.001 09,傳感器單元的SIL等級從SIL1級提升為SIL2級。再將其故障修復(fù)時間從8 h提高到2 h,再重新計(jì)算它的PFD值為0.000 957,傳感器單元的SIL等級從

21、SIL2級提升為SIL3級。從上面的計(jì)算結(jié)果可以看出在系統(tǒng)的維護(hù)過程中,如果我們能提升設(shè)備的故障修復(fù)時間和維護(hù)頻率,就能夠提高整個系統(tǒng)的安全性,這就涉及到工廠安全的另一個范疇,安全管理。事上,工廠安全防護(hù)系統(tǒng)的組成,應(yīng)該包括硬件和軟件兩個部分,硬防護(hù)即為我們的現(xiàn)場設(shè)備和裝置單元等。軟防護(hù)可包括我們的安全規(guī)范、安全培訓(xùn)、維護(hù)方法等等。然而,實(shí)際使用中,我們更多的是采用另一種方法,通過多樣性來提高整個系統(tǒng)的安全等級。同樣是上面的傳感器單元,其每小時故障率為0.000 05,診斷覆蓋率為90%,平均故障修復(fù)時間為8 h,維護(hù)時間為12個月一次。對同一個測點(diǎn),如果配置兩個傳感器并采用1oo2的配置,計(jì)

22、算它的PFD值為0.000 122,傳感器單元的SIL等級直接從SIL1級提升為SIL3級。同樣,對于閥門的安全等級也可以采用多樣化的方法來提高,如配置1oo2或2oo3,甚至2oo4的輸出回路來提高執(zhí)行機(jī)構(gòu)的安全等級。事實(shí)上,在已實(shí)施的某些煤化工項(xiàng)目的重要輸出回路上,就采用了配置4個同樣的輸出閥門并設(shè)置為2oo4的模式來提高整個輸出回路的安全等級了。圖5表述了采用不同的配置對設(shè)備安全性和可用性的影響,也說明了其對工廠投資和運(yùn)營成本帶來的影響。6總結(jié)通過對現(xiàn)場裝置的安全儀表系統(tǒng)SIL級別的定量分析,用定量計(jì)算的方法設(shè)計(jì)合適的安全儀表系統(tǒng)以達(dá)到現(xiàn)場的使用功能是非常重要的。目前在國內(nèi)實(shí)施該等級評估的主要有廣東大鵬LNG、上海石化PTA和鎮(zhèn)海煉化加氫裂化等項(xiàng)目。隨著可靠性工程的發(fā)展,定量地分析過程生產(chǎn)裝置中安全儀表系統(tǒng)的SIL等級將是今后設(shè)計(jì)工作的一個趨勢,特別是新裝置的設(shè)計(jì)中更要注重SIL等級的定量分析和整個安全回路的安