楊剛

(中國(guó)石化工程建設(shè)有限公司，北京 100011)

近年來，隨著國(guó)家防災(zāi)減災(zāi)要求和意識(shí)的提高，人們對(duì)包括石油化工工業(yè)在內(nèi)的各行各業(yè)安全生產(chǎn)的重視程度越來越高，對(duì)控制系統(tǒng)長(zhǎng)周期安全運(yùn)行的要求也越來越高。在自控儀表的設(shè)計(jì)過程中，需要對(duì)幾種不同的設(shè)計(jì)方案進(jìn)行經(jīng)濟(jì)性和可靠性評(píng)估。與可靠性相關(guān)的參數(shù)有很多，如可靠度、可用率、失效率、平均失效時(shí)間(MTTF)、診斷覆蓋率等。由于評(píng)估方法的可變性、多樣性和不精確性等因素的影響，使得怎樣結(jié)合這些參數(shù)對(duì)控制系統(tǒng)的可靠性進(jìn)行定性、定量分析，如何選用較為經(jīng)濟(jì)的方案獲得相對(duì)大的安全系數(shù)，成為控制系統(tǒng)設(shè)計(jì)過程中的一大難題。文中通過對(duì)分散型控制系統(tǒng)(DCS)性能指標(biāo)的分析，結(jié)合石油化工行業(yè)DCS常見的應(yīng)用案例，介紹定量評(píng)估DCS可靠性的方法。

1 功能安全要求

安全是人們所追逐的目標(biāo)，但只是個(gè)相對(duì)的概念。絕對(duì)安全狀態(tài)是不存在的，在各個(gè)狀態(tài)中，相對(duì)引起損失最小的狀態(tài)即為安全狀態(tài)。安全停車相對(duì)于危險(xiǎn)運(yùn)行是安全狀態(tài)，非計(jì)劃停車相對(duì)于正常運(yùn)行就是非安全狀態(tài)。因此，安全儀表系統(tǒng)(SIS)與DCS對(duì)安全的要求有很大不同。

SIS必須保證系統(tǒng)在故障狀態(tài)下是安全的，雖然可用性也很重要，但安全性的要求始終是第一位的;而DCS強(qiáng)調(diào)可用性，即強(qiáng)調(diào)任何時(shí)候都能正常工作的概率。雖然失效模式(安全失效或者危險(xiǎn)失效)也是必須要考慮的因素，但為了減少非計(jì)劃停車，保證長(zhǎng)周期正常運(yùn)行，可用性的要求是第一位的[1]。因此，DCS可靠與否，通常包括兩個(gè)方面：產(chǎn)品在規(guī)定時(shí)間內(nèi)，完成規(guī)定功能的能力，即可使用性；故障發(fā)生后通過維修使系統(tǒng)恢復(fù)工作的能力，即可維修性。這兩種能力統(tǒng)稱為可靠性[2]。

2 可靠性參數(shù)

2.1 可靠度

可靠度是指系統(tǒng)在設(shè)計(jì)技術(shù)規(guī)范內(nèi)，單位時(shí)間內(nèi)能夠完成預(yù)定功能的概率。該定義包含了預(yù)定功能和時(shí)間函數(shù)兩個(gè)重要的概念。設(shè)備和系統(tǒng)是否失效，是以其能否完成設(shè)計(jì)預(yù)定的功能來界定的。例如儀表元件的外殼已經(jīng)嚴(yán)重破損，但只要能準(zhǔn)確完成檢測(cè)和信號(hào)傳輸?shù)墓δ埽鸵廊豢梢哉J(rèn)為該元件是可靠的。但單純說系統(tǒng)的可靠度是0.99是沒有意義的，這是因?yàn)橄到y(tǒng)中大多數(shù)部件的可靠度會(huì)隨著時(shí)間的推移而下降，只有說系統(tǒng)在連續(xù)工作了單位時(shí)間(例如：1×104h)后的可靠度是0.99才有意義。

對(duì)于石油化工行業(yè)，儀表設(shè)備和系統(tǒng)通常是可維修的，因此不必像航空、航天領(lǐng)域那樣追求系統(tǒng)必須可靠地連續(xù)工作。相對(duì)于可靠度，更常見的參數(shù)是平均失效時(shí)間(MTTF)和平均修復(fù)時(shí)間(MTTR)。多數(shù)行業(yè)，如工業(yè)、商業(yè)、運(yùn)輸業(yè)等，所用的控制系統(tǒng)、設(shè)備等的使用壽命比平均失效時(shí)間長(zhǎng)，緣于可維修、可維護(hù)。而航空、航天應(yīng)用中的某些設(shè)備和系統(tǒng)的使用壽命比平均失效時(shí)間短，所以常會(huì)看到一些需要高可靠性應(yīng)用的退役設(shè)備，還可以在其他應(yīng)用中正常使用很長(zhǎng)時(shí)間，這是由各類應(yīng)用對(duì)可靠性的要求不同所致。

2.2 平均失效時(shí)間

MTTF是指工作單元失效前正常工作的平均時(shí)間，也稱平均無故障時(shí)間、平均失效前時(shí)間。MTTF經(jīng)常被誤認(rèn)為是產(chǎn)品壽命，實(shí)際上它只是產(chǎn)品失效前期望的時(shí)間。一個(gè)MTTF為2×105h的部件，有可能工作1000h后就發(fā)生故障。部件或系統(tǒng)的MTTF數(shù)值可以在一定程度上反映產(chǎn)品的可靠性，但不能直觀地表述多個(gè)部件在運(yùn)行一段時(shí)間后發(fā)生故障的概率，也不能確定這臺(tái)設(shè)備或系統(tǒng)的故障時(shí)刻。

2.3 平均修復(fù)時(shí)間

MTTR是指故障修復(fù)所需要的平均時(shí)間。平均修復(fù)時(shí)間包括診斷、確認(rèn)、故障定位、部件獲得、修復(fù)和測(cè)試所需的時(shí)間。平均修復(fù)時(shí)間是系統(tǒng)可用率計(jì)算的重要參數(shù)。

2.4 可用率

可用率是任何一個(gè)時(shí)刻，系統(tǒng)正常工作的可能性。假定系統(tǒng)的維修率μ為常數(shù)且等于1/MTTR，則可用率A：

A=μ/(λ+μ)=MTTF/(MTTF+MTTR)

(1)

式中：λ——系統(tǒng)的失效率。

與MTTF相似，可用率也是一個(gè)容易被誤解的參數(shù)。對(duì)于大多數(shù)供貨商的DCS模件，MTTF遠(yuǎn)大于MTTR，因此多數(shù)DCS供貨商都可以提供很高的可用率指標(biāo)。例如，1個(gè)元件的MTTF為2×105h，MTTR為8h，由式(1)可以算出：A=0.99996。

從結(jié)果來看，似乎DCS不需要采用冗余結(jié)構(gòu)就可以達(dá)到很高的可用率，但同樣用該參數(shù)計(jì)算失效率，卻能得出完全不同的結(jié)論。

2.5 失效率

失效率是指正常工作的產(chǎn)品在單位時(shí)間內(nèi)失效的概率，常用的單位為FIT(每109h的失效次數(shù))。用數(shù)學(xué)公式表達(dá)：

λ(t)=單位時(shí)間內(nèi)的失效次數(shù)/元件總數(shù)

(2)

例如：某煉油廠DCS共有1000個(gè)I/O模件，運(yùn)行5a期間共發(fā)生了10次失效，則：

λ(h)=10/(1000×5×8760)=2.283×10-7=228(FIT)

(3)

如果系統(tǒng)部件具有指數(shù)衰減規(guī)律的失效概率，那么它們的失效率就會(huì)為常數(shù)，可以認(rèn)為

λ=1/MTTF

(4)

在單位時(shí)間t內(nèi)發(fā)生失效的概率：

P(failure)=1-eλt≈λt

(5)

例如：某煉油廠1套新的DCS共有1000塊模件組成，模件平均的MTTF為2×105h，未來連續(xù)運(yùn)行5a期間，DCS模件預(yù)計(jì)的失效次數(shù)為

(6)

由此可以看出，如果把MTTF當(dāng)做產(chǎn)品壽命，很容易會(huì)誤以為MTTF高達(dá)2×105h的模件在運(yùn)行5a期間不應(yīng)該或者很少會(huì)出現(xiàn)失效，而實(shí)際上可能的失效次數(shù)卻有219次之多，平均每5塊模件中至少有1塊可能會(huì)失效。從這個(gè)角度來看，似乎該DCS的可靠性很低。

3 可靠性參數(shù)分析

為什么同樣1套DCS用不同的參數(shù)表述，會(huì)得到反差如此大的結(jié)論，這是因?yàn)镈CS是由大量模件組成的復(fù)雜串并聯(lián)系統(tǒng)，用單一部件的參數(shù)描述整個(gè)系統(tǒng)的可靠性是非常不準(zhǔn)確的。以DCS模件為例，單個(gè)模件工作2×105h會(huì)發(fā)生1次失效，而1000個(gè)模件工作2×105h總共可能發(fā)生1000次失效。同時(shí)，所有可靠性參數(shù)都與時(shí)間有關(guān)，系統(tǒng)連續(xù)運(yùn)行的時(shí)間越長(zhǎng)，發(fā)生失效的概率也越大。由式(5)可知，單個(gè)模件工作1a失效的概率：P(failure)=(1/200000)×1×8760=0.0438，而連續(xù)工作5a失效的概率：P(failure)=(1/200000)×5×8760=0.219。

由此可見，相對(duì)于MTTF和可用率，失效率更能準(zhǔn)確表達(dá)系統(tǒng)的可靠性，對(duì)于串并聯(lián)系統(tǒng)也是如此。

4 串并聯(lián)系統(tǒng)

非冗余控制系統(tǒng)的回路結(jié)構(gòu)是典型的串聯(lián)系統(tǒng)，如圖1所示，其系統(tǒng)總失效率為

∑λ=λA+λB+λC+λD+λE

(7)

圖1 非冗余控制系統(tǒng)回路結(jié)構(gòu)示意

冗余控制系統(tǒng)的回路結(jié)構(gòu)是典型的串并聯(lián)系統(tǒng)，如圖2所示。在理想狀態(tài)下，模件C，D，E只有一種失效模式，即在2個(gè)并聯(lián)部件同時(shí)失效時(shí)，系統(tǒng)才會(huì)失效，其系統(tǒng)總失效率：

(8)

圖2 典型DCS冗余系統(tǒng)回路結(jié)構(gòu)示意

由此可知，對(duì)于整個(gè)系統(tǒng)而言，串聯(lián)的級(jí)數(shù)越多，系統(tǒng)的失效率越高，而采用并聯(lián)結(jié)構(gòu)可以有效地降低系統(tǒng)的失效率。

5 診斷覆蓋率

對(duì)于并聯(lián)系統(tǒng)而言，式(8)是工程上一種最簡(jiǎn)化的算法，計(jì)算是基于所有模件的失效均能被完全地檢測(cè)到并立即得到維修，而在實(shí)際應(yīng)用中這是不可能的。分析系統(tǒng)的可靠性，必須要考慮到系統(tǒng)的診斷能力和可修復(fù)能力。

按照IEC 61508-4的定義，診斷覆蓋率C是指發(fā)生危險(xiǎn)失效時(shí)被自動(dòng)在線檢測(cè)到的概率[3-4]。用公式表達(dá)：

(9)

式中：λDD——檢測(cè)到的危險(xiǎn)失效概率；λD——總的危險(xiǎn)失效概率。

以有3種部件組成的系統(tǒng)為例，部件1的失效率為0.098/h，部件2，3的失效率均為0.001/h。假定部件1的失效可以被系統(tǒng)診斷；而部件2，3的失效不能被系統(tǒng)診斷。根據(jù)式(9)，系統(tǒng)的診斷覆蓋率：C=0.098/(0.098+0.001+0.001)=0.98。

從該例子可以看出，雖然系統(tǒng)只有33%的部件可以被診斷，但由于該部件的失效率遠(yuǎn)大于其他2個(gè)部件，因而系統(tǒng)診斷覆蓋率是98%而不是33%。由此可見，診斷覆蓋率的大小并不取決于可被診斷的部件數(shù)量比例，而是取決于所有失效中可被診斷的比例，這意味著系統(tǒng)診斷應(yīng)該主要關(guān)注那些容易發(fā)生失效的部件，而不必覆蓋到所有部件。

圖3為具有診斷功能的雙重冗余控制系統(tǒng)的馬爾可夫模型[4]，單個(gè)控制器失效率為λ，診斷覆蓋率為C，維修率為μ。為了便于說明，這里采用MTTFS描述系統(tǒng)整體的可靠性：

MTTFS=[3λ2+(3-2C)λμ]/[2λ3+2(1-C)λ2μ]

(10)

圖3 雙重冗余控制系統(tǒng)的馬爾可夫模型

假設(shè)單個(gè)控制器的MTTF為2×105h，MTTR為8h，則λ=5×10-6/h，μ=0.125，系統(tǒng)的MTTFS為

MTTFS=(75003-50000C)/(0.25001-0.25C)

(11)

從式(11)可以算出，對(duì)于沒有診斷功能的控制系統(tǒng)，即C=0時(shí)，冗余系統(tǒng)的MTTFS為3×105h，僅比單控制器增加了50%。而C為99%時(shí)，MTTFS則高達(dá)1.016×107h。由此可見，C對(duì)冗余系統(tǒng)來說是非常重要的指標(biāo)。雙重冗余控制系統(tǒng)MTTFS與C關(guān)系曲線如圖4所示，可以看出C低于90%時(shí)，系統(tǒng)MTTFS隨C的提高而增長(zhǎng)的幅度非常有限。而C超過95%后每增加1%，系統(tǒng)的MTTFS都會(huì)成級(jí)數(shù)增長(zhǎng)。

圖4 雙重冗余控制系統(tǒng)MTTFS與

6 提高DCS可靠性的措施

DCS的失效分為兩種：局部功能失效(安全失效)和整體功能失效(危險(xiǎn)失效)。局部功能失效是指由于部件故障，造成DCS無法完成部分功能，但整個(gè)系統(tǒng)仍在運(yùn)行，可以維持生產(chǎn)裝置的正常生產(chǎn)。整體功能失效是指DCS無法完成預(yù)定的功能，使得生產(chǎn)過程被迫停止。提高DCS可靠性關(guān)鍵在于避免整體功能失效，減少局部功能失效的次數(shù)，并盡快從失效狀態(tài)中恢復(fù)。提高DCS可靠性的方法有很多，除了提高元器件MTTF指標(biāo)，系統(tǒng)對(duì)環(huán)境的適應(yīng)性，采用冗余技術(shù)等常規(guī)措施外，還可以通過可靠性計(jì)算對(duì)設(shè)計(jì)方案作進(jìn)一步優(yōu)化。

6.1 冗余方案選擇

冗余技術(shù)是增加系統(tǒng)可靠性最有效也是最常見的方式，對(duì)于會(huì)引起整體功能失效的關(guān)鍵部件，如控制器、電源、通信模件等，一般均采用冗余技術(shù)。但對(duì)于串并聯(lián)系統(tǒng)來說，冗余方式的不同其系統(tǒng)的可靠性也不盡相同。

圖5所示的非典型冗余系統(tǒng)結(jié)構(gòu)看起來與圖2沒有太大差別，但采用簡(jiǎn)化計(jì)算方式可知圖5的系統(tǒng)總失效率：

(12)

比較式(12)與式(8)，系統(tǒng)失效率增加了2λCλD+2λCλE+2λDλE，顯然圖5所示的系統(tǒng)結(jié)構(gòu)可靠性更低。因此，即使對(duì)于冗余系統(tǒng)也應(yīng)進(jìn)行可靠性分析，評(píng)估其方案的合理性。

圖5 非典型DCS冗余系統(tǒng)結(jié)構(gòu)示意

6.2 簡(jiǎn)化結(jié)構(gòu)設(shè)計(jì)

由串并聯(lián)系統(tǒng)的失效率分析可以看到，設(shè)計(jì)越復(fù)雜的系統(tǒng)可靠性越低，因此在設(shè)計(jì)過程中應(yīng)盡量減少信號(hào)回路中的傳遞環(huán)節(jié)。

以溫度控制回路的設(shè)計(jì)方案為例，由于一些DCS的溫度信號(hào)輸入模件無法做到冗余配置，在設(shè)計(jì)中會(huì)采用在溫度控制回路中增加溫度變送器的方案，以提高系統(tǒng)的可靠性。

圖6為不采用溫度變送器的回路結(jié)構(gòu)，其系統(tǒng)總失效率簡(jiǎn)化計(jì)算為

(13)

圖6 不采用溫度變送器的回路結(jié)構(gòu)示意

圖7為采用溫度變送器的回路結(jié)構(gòu)，雖然I/O模件可以冗余配置，但回路中增加了變送器環(huán)節(jié)F，其系統(tǒng)總失效率：

(14)

圖7 采用溫度變送器的回路結(jié)構(gòu)示意

對(duì)比兩個(gè)系統(tǒng)的失效率：

∑λ1-∑λ2=λC-λF-λC2

(15)

由此可知，只有溫度變送器的失效率低于溫度I/O模件時(shí)，圖7所示方案的可靠性才有可能增加。而如果溫度變送器的失效率高于或等于溫度I/O模件時(shí)，圖7所示方案不但增加了采購(gòu)成本，而且系統(tǒng)可靠性也降低了。因此，僅以提高系統(tǒng)可靠性為目的而增加中間環(huán)節(jié)，往往達(dá)不到目的。

實(shí)際上對(duì)于圖6所示的方案，溫度控制回路的輸入模件如果無法做到冗余配置，可以采用1∶1備用的方式(冷備冗余)。雖然該方式不能減少溫度控制回路的失效率，但在故障修復(fù)時(shí)不需要部件獲得時(shí)間，因此可以大幅減少系統(tǒng)修復(fù)的時(shí)間，有效提高了控制回路的可用率。

6.3 定期檢修

為了提高系統(tǒng)可靠性，除了增強(qiáng)DCS自身的自動(dòng)診斷功能外，日常維護(hù)中還應(yīng)采取人工檢查措施，以便對(duì)失效的部件及時(shí)維修、更換。

如圖8所示，定期對(duì)DCS無法診斷的失效進(jìn)行檢查，可在系統(tǒng)整體失效前進(jìn)行維修，與圖3的模型相比，系統(tǒng)的MTTFS將會(huì)進(jìn)一步增加。

MTTFS=[3λ2+(3-2C)λμ0+(1+2C)λμP+

μ0μP]/[2λ3+2(1-C)λ2μ0+2Cλ2μP]

(16)

圖8 定期檢測(cè)的冗余控制系統(tǒng)馬爾可夫模型

依然以第5章的例子來說明，假設(shè)每年對(duì)DCS全面檢修1次，每個(gè)控制器維修時(shí)間為8h，則μP=1/(8760/2+8)=2.279×10-4，系統(tǒng)的MTTFS為

MTTFS=(1214548.58-49908.84C)/(0.25001-0.2495C)

(17)

從式(17)可以算出，對(duì)于沒有診斷功能的控制系統(tǒng)C=0時(shí)，該系統(tǒng)的MTTFS為4.858×106h，而C為99%時(shí)，MTTFS則高達(dá)3.805×108h。與式(11)的計(jì)算結(jié)果對(duì)比可知，增加人工檢修的頻率可以使系統(tǒng)可靠性得到很大提高。

6.4 減少故障修復(fù)時(shí)間

由于技術(shù)水平和加工成本的限制，無限制提高DCS部件的MTTF和C指標(biāo)是不現(xiàn)實(shí)的，為提高系統(tǒng)可用性，還應(yīng)盡量減少M(fèi)TTR。大多數(shù)DCS供貨商提供的MTTR參數(shù)一般為4～8h，但該時(shí)間的估算往往是建立在用戶庫(kù)房中存有現(xiàn)成備件的基礎(chǔ)上，僅包括了部件的診斷、確認(rèn)、故障定位、修復(fù)、測(cè)試時(shí)間，而沒有包括部件的獲得時(shí)間。如果部件發(fā)生失效，用戶卻沒有可維修的手段或可更換的部件，而供貨商又無法快速提供服務(wù)時(shí)，MTTR就會(huì)大幅加長(zhǎng)。有時(shí)部件的訂購(gòu)、制造周期長(zhǎng)達(dá)數(shù)周，這樣系統(tǒng)的可用率就會(huì)大幅降低。但采購(gòu)過多的備件，不僅會(huì)造成一次性投資過高，而且給設(shè)備管理和存儲(chǔ)帶來困難。比較科學(xué)的方法是：通過DCS部件的MTTF參數(shù)計(jì)算未來幾年內(nèi)的各個(gè)部件的可能失效次數(shù)，再根據(jù)部件的采購(gòu)周期合理安排備件的種類和數(shù)量。

還是以2.5節(jié)的例子來說明，1000塊模件組成的DCS連續(xù)運(yùn)行5a約發(fā)生219次失效，如果每次失效均需要更換模件，且每2a采購(gòu)1次備件，那么，失效次數(shù)=(1/200000)×1000×2×8760≈88。因此，第一次采購(gòu)10%的備件就足夠了。如果系統(tǒng)已經(jīng)運(yùn)行了2a，在以后的3a中總共需要多少備件？

假設(shè)系統(tǒng)運(yùn)行的前2a間發(fā)生了88次失效，均已更換了新的模件，那么未更換的912塊模件未來3a發(fā)生失效的次數(shù)為131次。已更換的88塊模件未來3a失效次數(shù)均為12。因此，未來3a模件總失效次數(shù)約為131+12=143次?？紤]到運(yùn)行前2a發(fā)生的88次失效不會(huì)都是發(fā)生在運(yùn)行的第2年末，失效次數(shù)實(shí)際還會(huì)更大一些，因此未來3a備件的需求數(shù)量約為150塊。

失效率的計(jì)算方法有兩種：根據(jù)供貨商提供的MTTF參數(shù)計(jì)算的理論失效率(見式(4))；根據(jù)實(shí)際發(fā)生的失效次數(shù)統(tǒng)計(jì)出來的統(tǒng)計(jì)失效率(見式(2))。一般來說，統(tǒng)計(jì)失效率的準(zhǔn)確度要高于理論失效率，但前提是統(tǒng)計(jì)的時(shí)間和元件數(shù)量函數(shù)要足夠大，因此用戶可根據(jù)實(shí)際情況選擇計(jì)算的方法。系統(tǒng)連續(xù)運(yùn)行的時(shí)間越長(zhǎng)，需要備件的數(shù)量就會(huì)越多。如果煉油廠DCS維護(hù)人員水平較高，不必每次失效都更換新的模件，那么系統(tǒng)所需的備件數(shù)量可以相應(yīng)減少。

7 結(jié)束語(yǔ)

很多有經(jīng)驗(yàn)的系統(tǒng)工程師對(duì)DCS的可靠性定量分析往往持懷疑態(tài)度，這是因?yàn)槎糠治龅臄?shù)據(jù)來源不夠準(zhǔn)確。另外，概率論和統(tǒng)計(jì)學(xué)的分析方法在結(jié)果方面的不確定性，也會(huì)使得評(píng)估結(jié)果與系統(tǒng)實(shí)際數(shù)據(jù)不一致。但定量分析方法無疑具有巨大的實(shí)用價(jià)值，可以糾正定性分析中錯(cuò)覺造成的偏差，幫助用戶和設(shè)計(jì)人員作出更加經(jīng)濟(jì)、可靠的方案。現(xiàn)實(shí)應(yīng)用中，可靠性的定性評(píng)估依然十分重要，定性評(píng)估不僅可以防止不準(zhǔn)確的數(shù)據(jù)進(jìn)入定量評(píng)估過程，還可以減少定量評(píng)估對(duì)數(shù)據(jù)來源準(zhǔn)確度的依賴。

參考文獻(xiàn)：

[1]中國(guó)石化工程建設(shè)有限公司. GB/T50770—2013石油化工安全儀表系統(tǒng)設(shè)計(jì)規(guī)范[S]. 北京：中國(guó)計(jì)劃出版社，2013：3.

[2]WILLIAM M G. 控制系統(tǒng)的安全評(píng)估與可靠性[M].白焰，董玲，楊國(guó)田，譯.北京：中國(guó)電力出版社，2008：170.

[3]劉翠嶺，黃建兵. 集散控制系統(tǒng)[M]. 北京：中國(guó)林業(yè)出版社，2006：179.

[4]International Electrotechnical Commission. IEC 61508—2010 Functional Safety of Electrical/Electronic/Programmable Electronic Safety-Related Systems [S]. International Electrotechnical Commission，2010：29.

[5]張建國(guó).安全儀表系統(tǒng)在過程工業(yè)中的應(yīng)用[M].北京：中國(guó)電力出版社，2010：241.