高嗣晟

(中國石油集團(tuán)東北煉化工程有限公司 葫蘆島設(shè)計(jì)院，遼寧 葫蘆島 125000)

安全儀表功能回路設(shè)計(jì)及SIL驗(yàn)算

高嗣晟

(中國石油集團(tuán)東北煉化工程有限公司 葫蘆島設(shè)計(jì)院，遼寧 葫蘆島 125000)

簡要介紹了安全儀表功能(SIF)回路安全完整性等級(SIL)定級的方法；分別介紹了IEC 61508和ISA TR84.00.02中SIL驗(yàn)算的方法；以普通儀表和經(jīng)過安全完整性等級認(rèn)證的儀表為例，計(jì)算其平均失效概率(PFDavg)，得出SIF回路的SIL。比較普通儀表和經(jīng)過安全完整性等級認(rèn)證的儀表組成的SIF回路，結(jié)合實(shí)際設(shè)計(jì)和應(yīng)用情況，給出安全儀表系統(tǒng)(SIS)設(shè)計(jì)的建議。

安全儀表功能 安全完整性等級 安全儀表系統(tǒng) 失效概率

近些年石化行業(yè)頻發(fā)重大安全事故，安監(jiān)局發(fā)布的相關(guān)安全文件中均提到安全儀表系統(tǒng)(SIS)?！吨袊踩珒x表系統(tǒng)安全完整性等級評估管理規(guī)定(試行)》(中國石化安[2013]259號文)1.3條要求：“各單位應(yīng)將建設(shè)項(xiàng)目安全完整性等級(SIL)評估納入建設(shè)項(xiàng)目設(shè)計(jì)管理，將在役裝置SIL評估納入日常安全生產(chǎn)管理”；3.2條要求：“各單位或設(shè)計(jì)單位應(yīng)對建設(shè)項(xiàng)目以及在役裝置所涉及的安全儀表功能(SIF)確定相應(yīng)的SIL，保證安全儀表功能滿足目標(biāo)SIL要求”[1]。在SIS設(shè)計(jì)過程中， SIF回路中SIL的定級和驗(yàn)算是設(shè)計(jì)的重點(diǎn)和難點(diǎn)。

1 SIL定級

目前SIF回路的SIL的確定，主要依靠危險(xiǎn)與可操作性分析(HAZOP)結(jié)合保護(hù)層分析(LOPA)的方法來實(shí)現(xiàn)。

HAZOP分析是在安全專業(yè)人員主導(dǎo)下，工藝、自控、設(shè)備專業(yè)人員以及操作人員共同構(gòu)成的分析小組進(jìn)行的一種分析方法。HAZOP分析是采用標(biāo)準(zhǔn)化“引導(dǎo)詞”對裝置過程系統(tǒng)的中間變量設(shè)定“偏離”，沿“偏離”在系統(tǒng)中反向查找非正?！霸颉?，沿“偏離”在系統(tǒng)中正向查找不利“后果”，確定后果嚴(yán)重性等級[2]。HAZOP具體分析方法詳見AQ/T 3049—2013《危險(xiǎn)與可操作性分析(HAZOP分析)應(yīng)用導(dǎo)則》[3]。

當(dāng)HAZOP分析確定后果嚴(yán)重性等級為高風(fēng)險(xiǎn)或很高風(fēng)險(xiǎn)時(shí)，需進(jìn)一步進(jìn)行LOPA分析，計(jì)算目前偏差導(dǎo)致的后果發(fā)生的頻率，判斷現(xiàn)有保護(hù)措施是否足夠，建議措施是否能夠有效地降低事故發(fā)生頻率等?？赏ㄟ^增加SIF回路保護(hù)層，降低事故發(fā)生概率，從而得出SIF回路的SIL。LOPA具體分析方法詳見AQ/T 3054—2015《保護(hù)層分析(LOPA)方法應(yīng)用導(dǎo)則》[4]。

為了方便分析，假定偏差導(dǎo)致的后果嚴(yán)重性為最嚴(yán)重等級的5級，事故發(fā)生年頻率等級為n×10-3，根據(jù)表1 LOPA風(fēng)險(xiǎn)評估矩陣可得知，事故風(fēng)險(xiǎn)為高風(fēng)險(xiǎn)，需采取進(jìn)一步的保護(hù)措施。

表1 風(fēng)險(xiǎn)評估矩陣[4]

上述SIL分析中選取了最嚴(yán)重的風(fēng)險(xiǎn)等級、最高的初始時(shí)間發(fā)生概率、最高的獨(dú)立保護(hù)層失效概率，可以看出SIL1的保護(hù)層即可將風(fēng)險(xiǎn)降為中風(fēng)險(xiǎn)，中風(fēng)險(xiǎn)是可選擇性的采取行動；當(dāng)采用SIL3保護(hù)層時(shí)可將風(fēng)險(xiǎn)降為低風(fēng)險(xiǎn)，低風(fēng)險(xiǎn)不需要采取行動。若風(fēng)險(xiǎn)等級小于5級或其他獨(dú)立保護(hù)層的失效概率小于1×10-1時(shí)，采用SIL2保護(hù)層時(shí)可將風(fēng)險(xiǎn)降為低風(fēng)險(xiǎn)，低風(fēng)險(xiǎn)不需要采取行動。因此，SIS中，大部分SIF回路的SIL可定在1級；少數(shù)SIF回路的SIL可定在2級；極少數(shù)SIF回路的SIL定為3級。

2 IEC 61508 中SIL驗(yàn)算方法

IEC 61508[5]中的SIL驗(yàn)算方法適用于已取得SIL認(rèn)證的儀表、控制邏輯器、執(zhí)行元件等，常用的品牌型號產(chǎn)品認(rèn)證參數(shù)見表2所列，其中，λsd為被檢測到的安全故障率；λsu為未被檢測到的安全故障率；λdd為被檢測到的危險(xiǎn)故障率；λdu為未被檢測到的危險(xiǎn)故障率；λs為安全失效故障率；λd為危險(xiǎn)失效故障率(故障率的單位為Fit，1 Fit=1×10-9)；DC為診斷覆蓋率；SFF為安全失效分?jǐn)?shù)。計(jì)算公式如下所示[6]：

(1)

式(1)中λsd，λsu，λdd，λdu可從儀表設(shè)備SIL認(rèn)證證書中獲取。根據(jù)GB/T 50770—2013《石油化工安全儀表系統(tǒng)設(shè)計(jì)規(guī)范》[7]中4.1.3條規(guī)定：“通常石油化工工廠和裝置的安全儀表系統(tǒng)工作于低要求操作模式”，故下文中的參數(shù)均是低要求操作模式下的認(rèn)證參數(shù)。

通過式(1)的計(jì)算可得出安全失效分?jǐn)?shù)，而表3和表4列出了硬件的SIL，其中A類儀表有浪涌保護(hù)器、液位開關(guān)、安全柵、電磁閥、閥體、執(zhí)行機(jī)構(gòu)、閥門定位器等，B類有安全型控制邏輯器、現(xiàn)場變送器等。

結(jié)合表2，表3和表4可以看出，通過SIL認(rèn)證的溫度變送器、壓力變送器、流量計(jì)、液位計(jì)等B類子系統(tǒng)SFF多在90%～99%，符合SIL2的要求，可以通過冗余配置達(dá)到SIL3。而A類子系統(tǒng)SFF在90%～99%已滿足SIL3要求。

SIS投入運(yùn)行后需進(jìn)行周期性的離線維護(hù)，某些故障或失效只能通過離線的人工測試才能發(fā)現(xiàn)，例如變送器的膜盒損壞、引壓管的堵塞、測量精度、閥門的腐蝕內(nèi)漏、閥芯的卡死等[8-10]。大多數(shù)SIS設(shè)備的檢驗(yàn)測試在裝置的停車大修期間進(jìn)行。在低操作要求模式下，檢測平均時(shí)間間隔T1有3 d,6 d,1 a，一般選用T1=1 a，平均恢復(fù)時(shí)間MTTR=8 h。

表2 常用品牌型號安全完整性等級認(rèn)證參數(shù)

表3 硬件安全完整性： A類安全相關(guān)子系統(tǒng)的結(jié)構(gòu)約束[6]

表4 硬件安全完整性： B類安全相關(guān)子系統(tǒng)的結(jié)構(gòu)約束

工程設(shè)計(jì)中，常見的儀表組合有“1oo1”,“1oo2”,“2oo3”，通過下列步驟分別計(jì)算組合后的PFDavg。

1) 計(jì)算通道等效停止時(shí)間tCE：

(2)

2) 計(jì)算“1oo1”時(shí)的PFDavg：

PFDavg=λd×tCE

(3)

3) 計(jì)算系統(tǒng)等效停止工作時(shí)間tGE：

(4)

4) 計(jì)算“1oo2”時(shí)的PFDavg：

PFDavg=2(1-β)λdu[(1-β)λdu+

(1-βD)λdd+λsd]tCEtGE+

(5)

式中：βD——具有共同原因已被檢測到的失效分?jǐn)?shù)；β——具有共同原因沒有被檢測到的失效分?jǐn)?shù)，β=2βD。

β的值可根據(jù)GB/T 20438.6—2006[6]/IEC 61508： 2000中的表D.1評分獲得，β取值有1%，2%，5%，10%；對應(yīng)的βD分別為0.5%，1%，2.5%，5%。將上述數(shù)據(jù)分別代入式(5)中驗(yàn)算，結(jié)果相差無幾，且β評分方法繁瑣，為了方便工程計(jì)算，現(xiàn)場儀表可統(tǒng)一將β取值為10%，βD取值為5%。

5) 計(jì)算“2oo3”時(shí)的PFDavg：

PFDavg=6[(1-βD)λdd+(1-β)λdu]2tCEtGE+

(6)

將表2內(nèi)的認(rèn)證參數(shù)代入式(2)～式(6)，可得出分別在“1oo1”，“1oo2”，“2oo3”情況下的PFDavg，并將該值填入表2中。

6) 分別計(jì)算SIF回路中的傳感器、邏輯系統(tǒng)、執(zhí)行元件等的PFDavg后，計(jì)算SIF回路系統(tǒng)的平均失效概率PFDsys：

∑PFDsys=∑PFDS+∑PFDL+∑PFDFE

(7)

式中： ∑PFDS——傳感器子系統(tǒng)平均失效概率；∑PFDL——邏輯子系統(tǒng)平均失效概率；∑PFDFE——執(zhí)行元件子系統(tǒng)平均失效概率。

因SIS的設(shè)計(jì)為故障安全型，電源的失效會將裝置帶到安全位置，故系統(tǒng)平均失效概率不考慮電源失效。

3 ISA TR 84.00.02 標(biāo)準(zhǔn)中SIL的驗(yàn)算方法

文獻(xiàn)[11]中SIL的計(jì)算方法相對簡單，未經(jīng)SIL認(rèn)證的普通儀表采用IEC 61508計(jì)算時(shí)，λsd，λsu，λdd，λdu無數(shù)據(jù)可查，此時(shí)可通過文獻(xiàn)[11]進(jìn)行SIL驗(yàn)算，步驟如下所示：

1) 計(jì)算危險(xiǎn)失效故障率λd：

λd=1/MTTFd

(8)

式中：MTTFd——平均危險(xiǎn)失效前時(shí)間,實(shí)際驗(yàn)算過程中精確的數(shù)值可從供貨商處獲取儀表平均故障時(shí)間MTBF，MTTFd=MTBF-MTTR，因MTTR時(shí)間很短為8 h，則MTTFd≈MTBF[12]。在MTTFd無數(shù)據(jù)可循的情況下，可參考文獻(xiàn)[11]中part 1 表5.1中5個(gè)工廠經(jīng)驗(yàn)值，詳細(xì)數(shù)據(jù)見表5所列。

表5 常規(guī)儀表平均危險(xiǎn)失效前時(shí)間 a

因λdu=λd×(1-DC)，可假設(shè)未經(jīng)過SIL認(rèn)證的常規(guī)儀表診斷覆蓋率DC=0，則λdu=λd。

2) “1oo1”時(shí)的PFDavg：

(9)

3) “1oo2”時(shí)的PFDavg：

(10)

4) “2oo3”時(shí)的PFDavg：

PFDavg=(λdu·T1)2

(11)

5) 根據(jù)式(7)計(jì)算SIF回路的PFDavg。

4 應(yīng)用實(shí)例

假設(shè)P&ID中某節(jié)點(diǎn)需設(shè)置SIF回路，當(dāng)采用差壓變送器測量儲罐液位時(shí)，液位高高或壓力高高時(shí)聯(lián)鎖停進(jìn)料切斷閥，如圖1所示，該SIF回路經(jīng)HAZOP，LOPA分析后得出SIF回路的SIL=2。

圖1 驗(yàn)算案例P&ID一

1) 當(dāng)現(xiàn)場采用未經(jīng)SIL認(rèn)證的普通傳感器和執(zhí)行元件“1oo1”時(shí)，SIF回路的PFDavg見表6所列，∑PFDsys=2.700 5×10-2，SIF回路SIL=1，不滿足SIL2的要求。

表6 未經(jīng)SIL認(rèn)證的傳感器及執(zhí)行元件構(gòu)成的 SIF回路PFDavg

從表6可以看出，SIF回路的PFDavg中現(xiàn)場變送器和執(zhí)行元件占了大部分的比例，安全柵、繼電器、安全型控制邏輯器占比例較少，需降低現(xiàn)場變送器和執(zhí)行元件子系統(tǒng)的PFDavg。

現(xiàn)場變送器采用“1oo2”，設(shè)置雙壓力變送器和液位變送器，如圖2所示。執(zhí)行元件采用“1oo2”，設(shè)置雙切斷閥，此時(shí)SIF回路的∑PFDsys=4.45×10- 4<1×10-2，滿足SIL2的要求。文獻(xiàn)[11]中指明，該規(guī)范中的計(jì)算步驟適用于SIL1和SIL2的SIF回路驗(yàn)證，除非完全掌握簡化公式的計(jì)算方法和限制條件才可以進(jìn)行SIL3的SIF回路驗(yàn)證。

圖2 驗(yàn)算案例P&ID二

2) 當(dāng)SIF回路的現(xiàn)場傳感器及執(zhí)行元件均采用取得SIL認(rèn)證的儀表時(shí)，SIF回路PFDavg見表7所列。

當(dāng)變送器、不帶PVST功能的電磁閥、氣動切斷球閥采用SIL2認(rèn)證的產(chǎn)品，與SIL3認(rèn)證的SM系統(tǒng)、安全柵、繼電器構(gòu)成的“1oo1”SIF回路∑PFDsys=1.503×10-3，SIF回路SIL=2；當(dāng)采用冗余的SIL2認(rèn)證的變送器、電磁閥、氣動切斷球閥、安全柵、繼電器，與SM系統(tǒng)構(gòu)成的“1oo2”SIF回路∑PFDsys=8.22×10-5，SIF回路滿足SIL3的要求。

表7 經(jīng)SIL認(rèn)證的傳感器及執(zhí)行元件構(gòu)成的 SIF回路PFDavg

當(dāng)電磁閥帶PVST功能時(shí)，其“1oo1”時(shí)PFDavg查表2為1.503×10-5，代入到表7中，采用SIL2認(rèn)證的變送器、氣動切斷球閥，與SIL3認(rèn)證的SM系統(tǒng)、安全柵、繼電器、帶PVST功能的電磁閥構(gòu)成的“1oo1”SIF回路∑PFDsys=6.980 3×10-4，SIF回路滿足SIL3的要求。

3) 當(dāng)檢測器子系統(tǒng)采用未經(jīng)安全完整性等級認(rèn)證的普通儀表“1oo2”，執(zhí)行元件子系統(tǒng)采用經(jīng)過安全完整性等級認(rèn)證的不帶PVST功能電磁閥、氣動切斷球閥“1oo1”，如圖3所示?！芇FDsys=1.029×10-3，滿足SIL2的要求。

圖3 驗(yàn)算案例P&ID三

5 結(jié) 論

SIF回路的SIL驗(yàn)算需大量的數(shù)據(jù)支撐，準(zhǔn)確數(shù)據(jù)獲取不易，對于工程設(shè)計(jì)而言，可粗略的得出如下結(jié)論，方便快速驗(yàn)算：

1) 對一個(gè)SIF回路的PFDavg進(jìn)行分解，傳感器子系統(tǒng)約占35%，安全型控制邏輯器約占15%，執(zhí)行元件子系統(tǒng)約占50%。

SIL2認(rèn)證的儀表“1oo1”結(jié)構(gòu)PFDavg在10-4左右，“1oo2”結(jié)構(gòu)PFDavg在10-6左右，“2oo3”結(jié)構(gòu)PFDavg在10-5左右，如沒有具體數(shù)據(jù)可參考上述數(shù)量級進(jìn)行粗略計(jì)算。

2) 用于緊急停車功能的安全型控制邏輯器、安全柵、浪涌保護(hù)器、繼電器宜首選SIL3認(rèn)證的產(chǎn)品；對于裝置規(guī)模較小、聯(lián)鎖簡單、事故后果可控的中小型生產(chǎn)企業(yè)若LOPA分析所有SIF回路SIL均為1時(shí)，可選用SIL2認(rèn)證的安全型控制器、安全柵等。

3) 采用質(zhì)量可靠(MTBF≥50 a)、應(yīng)用廣泛、未取得SIL認(rèn)證的傳感器、執(zhí)行元件子系統(tǒng)構(gòu)成的“1oo1” SIF回路，在傳感器子系統(tǒng)和執(zhí)行元件子系統(tǒng)中儀表數(shù)量較少的情況下，基本可滿足SIL1的要求。

采用經(jīng)SIL認(rèn)證的儀表、或未經(jīng)SIL認(rèn)證的普通儀表組成“1oo2”，“2oo3” SIF回路、或經(jīng)過SIL認(rèn)證的執(zhí)行元件與未經(jīng)過SIL認(rèn)證的“1oo2”，“2oo3”傳感器子系統(tǒng)混合型的方式來降低回路的PFDavg以滿足SIL2的要求。采用經(jīng)SIL認(rèn)證的傳感器子系統(tǒng)與帶PVST功能的執(zhí)行元件配套使用可達(dá)到SIL3的要求。

4) 當(dāng)傳感器子系統(tǒng)采用“1oo2”，“2oo3”的方式時(shí)，儀表的取源部件不應(yīng)共用，以免因取源部件的堵塞導(dǎo)致SIF回路的失效。

5) GB/T 50770—2013《石油化工安全儀表系統(tǒng)設(shè)計(jì)規(guī)范》中，SIL1的回路中測量儀表、控制閥可與BPCS共用；SIL2的回路中測量儀表、控制閥宜與BPCS分開；SIL3回路中的測量儀表、控制閥應(yīng)與BPCS分開[7]。

從LOPA分析來看，BPCS與SIS是兩個(gè)獨(dú)立的保護(hù)層，如SIF回路中的測量儀表、控制閥與BPCS共用，測量儀表或控制閥的失效可能導(dǎo)致BPCS和SIS的同時(shí)失效，破壞SIS保護(hù)層的獨(dú)立性。

因此，在設(shè)計(jì)過程中SIS中SIF回路的檢測儀表、控制閥不建議與BPCS共用，不推薦采用調(diào)節(jié)閥配電磁閥的方式進(jìn)行控制、聯(lián)鎖。

[1] 吳少國，張麗麗，俞文光.在役安全儀表系統(tǒng)的SIL驗(yàn)證方法與實(shí)例[J].自動化儀表，2016,37(01)： 6-8.

[2] 李娜，孫文勇，寧信道.HAZOP，LOPA和SIL方法的應(yīng)用分析[J].中國安全生產(chǎn)科學(xué)技術(shù)，2012，8(05)： 101-106.

[3] 張海峰，牟善軍，白永忠，等.AQ/T 3049—2013危險(xiǎn)與可操作性分析(HAZOP分析)應(yīng)用導(dǎo)則[S].北京： 煤炭工業(yè)出版社，2013.

[4] 白永忠，韓中樞，黨文義，等.AQ/T 3054—2015 保護(hù)層分析(LOPA)方法應(yīng)用導(dǎo)則[S].北京： 國家安全生產(chǎn)監(jiān)督管理總局，2015.

[5] IEC. IEC 61508-2010. Functional Safety of Electrical, Electronic, Programmable Electronic Safety-related Systems[S]. Geneva： IEC, 2010.

[6] 馮曉升，王莉，梅恪,等.GB/T 20438—2006 電氣/電子/可編程電子安全相關(guān)系統(tǒng)的功能安全[S].北京： 中國標(biāo)準(zhǔn)出版社，2007.

[7] 黃步余，葉向東，范宗海,等.GB/T 50770—2013 石油化工安全儀表系統(tǒng)設(shè)計(jì)規(guī)范[S].北京： 中國計(jì)劃出版社，2013.

[8] 王東峰.安全儀表系統(tǒng)的回路設(shè)計(jì)探討[J].石油化工自動化，2014,50(04)： 10-15.

[9] 趙亮.80萬噸/年甲醇項(xiàng)目安全完整性等級(SIL)回路計(jì)算實(shí)例分析[J].自動化博覽，2011(03)： 64-68.

[10] 張建國.安全儀表系統(tǒng)在過程工業(yè)中的應(yīng)用[M].北京： 中國電力出版社，2010.

[11] ISA. ISA 84.00.02.2002 Safety Instrumented Function(SIF)-Safety Integrity Level (SIL) Evaluation Techniques[S]. ISA, 2002.

[12] 周雁鵬.安全儀表回路改造的可靠性及誤動作概率計(jì)算[J].石油化工自動化，2013，49(05)： 1-6.

Design of Safety Instrumented Function Loop & SIL Certification

Gao Sicheng

(Hu Ludao Design Institute,PetroChina Northeast Refining & Chemical Engineering Co. Ltd., Hu Ludao, 125000, China)

s： The grading method of safety integrity level (SIL) of safety instrumented function (SIF) loop is introduced briefly.The calculation method of SIL certification through IEC 61508 and ISA TR84.00.02 are introduced respectively. Average probability of failure is calculated with ordinary and SIL certificated instruments as example. The SIL of SIF loop is obtained.SIF loops consisted of ordinary and SIL certificated instruments are compared.Suggestion to SIS design is proposed with combination of the actual design and application.

safety instrumented function; safety integrity level; safety instrumented system; probability of failure

高嗣晟(1979—)，男，遼寧葫蘆島人，2004年畢業(yè)于遼寧石油化工大學(xué)測控技術(shù)與儀器專業(yè)，獲學(xué)士學(xué)位，現(xiàn)就職于中國石油集團(tuán)東北煉化工程有限公司葫蘆島設(shè)計(jì)院，從事自控設(shè)計(jì)工作，任工程師。

TP273

A

1007-7324(2017)04-0008-06

稿件收到日期： 2017-02-03，修改稿收到日期： 2017-05-18。