王東峰
(東華工程科技股份有限公司,合肥 230024)
近十幾年來,隨著工業(yè)裝置規(guī)模的不斷擴(kuò)大,生產(chǎn)安全問題越來越受到各方面的關(guān)注,特別是許多大中型石油化工和煤化工項(xiàng)目,在項(xiàng)目設(shè)計(jì)階段都要進(jìn)行風(fēng)險(xiǎn)和安全評估。通常通過危險(xiǎn)和可操作性分析(HAZOP)以及保護(hù)層分析(LOPA)確定所需的安全儀表功能(SIF)及其安全完整性等級(SIL)。在工程設(shè)計(jì)階段,安全儀表系統(tǒng)的回路設(shè)計(jì)能否滿足SIF及其SIL的要求是每位自控專業(yè)設(shè)計(jì)人員非常關(guān)注的問題。以下就安全儀表系統(tǒng)的回路設(shè)計(jì)及驗(yàn)證方法提出自己的看法,以供參考。
SIF是為了防止、減少危險(xiǎn)事件發(fā)生或保持過程安全狀態(tài),用測量儀表、邏輯控制器、最終元件及相關(guān)軟件等實(shí)現(xiàn)的安全保護(hù)功能或安全控制功能[1]。通俗地理解就是工藝專業(yè)提出的聯(lián)鎖回路條件,例如,氮?dú)鈨迚毫Ω哂?.0MPa時(shí),在10s內(nèi)關(guān)閉氮?dú)膺M(jìn)口閥。
SIF的運(yùn)行模式分為低要求操作模式和高要求(或連續(xù))操作模式。SIF在低要求操作模式下執(zhí)行安全儀表保護(hù)功能;在連續(xù)操作模式下執(zhí)行安全儀表控制功能[1]。
文獻(xiàn)[2]中指出“通常石油化工和煤化工裝置的安全儀表系統(tǒng)工作于低要求操作模式,應(yīng)采用低要求模式的平均失效概率來計(jì)算和驗(yàn)證安全儀表系統(tǒng)的SIL”。
安全完整性是安全儀表系統(tǒng)在規(guī)定時(shí)間和規(guī)定條件下,執(zhí)行SIF的平均概率。安全完整性由硬件安全完整性和系統(tǒng)安全完整性組成。其中,硬件結(jié)構(gòu)約束的安全完整性和硬件失效概率的安全完整性一起實(shí)現(xiàn)了硬件的安全完整性。
SIL是用來規(guī)定分配給安全儀表系統(tǒng)的SIF的安全完整性要求的離散等級。SIL可分為SIL1到SIL4四個(gè)等級,其中,SIL4為最高等級。
在低要求操作模式下,當(dāng)過程中發(fā)生了危險(xiǎn)情況需要安全儀表系統(tǒng)執(zhí)行保護(hù)動作時(shí),SIF因失效而不能完成保護(hù)功能的概率叫作失效概率。隨著時(shí)間的流逝,安全儀表系統(tǒng)的可靠性會降低,失效概率隨之增大,其在檢驗(yàn)測試時(shí)間間隔跨度上的平均值稱為平均失效概率PFDavg(以下均簡化為PFD)。
在低要求操作模式下,SIF的SIL采用PFD衡量,其對應(yīng)關(guān)系見表1所列[3]。每個(gè)SIF的PFD應(yīng)小于其SIL在表1中所對應(yīng)的目標(biāo)失效值。
表1 安全儀表功能的安全完整性等級(低要求操作模式)
硬件結(jié)構(gòu)約束是除硬件失效概率之外對安全儀表系統(tǒng)在某個(gè)特定應(yīng)用中所提出的附加約束。安全儀表系統(tǒng)要滿足相應(yīng)的SIL要求,其硬件失效概率和硬件結(jié)構(gòu)約束均應(yīng)滿足相應(yīng)的要求。
文獻(xiàn)[1]對安全儀表系統(tǒng)的硬件結(jié)構(gòu)約束體現(xiàn)在硬件故障裕度的要求上。在出現(xiàn)故障或者誤差的情況下,功能單元(傳感器、邏輯控制器、最終元件)繼續(xù)執(zhí)行要求的SIF的能力即為故障裕度。最低硬件故障裕度反映了要求的硬件最低的冗余程度。
文獻(xiàn)[1]定義最低的硬件故障裕度要求是為了減輕SIF設(shè)計(jì)中的潛在缺陷,這些缺陷可能是由于SIF設(shè)計(jì)中所作的各種假設(shè)以及在各種過程應(yīng)用中部件故障率的不確定性所導(dǎo)致的。
每一個(gè)安全儀表系統(tǒng)由測量儀表、邏輯控制器和最終元件三個(gè)子系統(tǒng)組成,其PFD是各子系統(tǒng)PFD之和。為了確定每一個(gè)子系統(tǒng)的PFD,先列出子系統(tǒng)各部件的組成,再為各部件選擇合適的表決結(jié)構(gòu),從而根據(jù)相應(yīng)表決結(jié)構(gòu)的計(jì)算公式計(jì)算出各結(jié)構(gòu)的PFD,最終求和得到整個(gè)安全儀表系統(tǒng)的PFD。
文獻(xiàn)[1]中推薦的示例如圖1所示,筆者根據(jù)此例的要求進(jìn)行安全儀表系統(tǒng)設(shè)計(jì)的實(shí)現(xiàn)。如圖1所示,1個(gè)對易燃易爆物料進(jìn)行氣液分離的壓力容器,正常時(shí)由液位調(diào)節(jié)回路控制底部液體送往下游工序進(jìn)行加工處理。當(dāng)壓力超過高限時(shí)會造成罐體破裂和危險(xiǎn)物料泄漏等危險(xiǎn)事件。經(jīng)過HAZOP和LOPA分析,擬在設(shè)立安全閥等保護(hù)層之外采用1個(gè)SIF(壓力超高限時(shí)切斷進(jìn)料)作為防止超壓的保護(hù)手段。SIF的完全完整性等級為SIL2,檢驗(yàn)測試時(shí)間間隔T1為1a,平均恢復(fù)時(shí)間MTTR為8h。
圖1 安全儀表系統(tǒng)硬件回路設(shè)計(jì)示例
通過失效模式、影響和診斷分析(FMEDA)可以得到某一設(shè)備某一種失效模式的失效概率,安全失效和危險(xiǎn)失效的比例、診斷覆蓋率也可以很準(zhǔn)確地得到。這些數(shù)據(jù)通常由第三方機(jī)構(gòu)認(rèn)證,該種機(jī)構(gòu)最著名的有TüV萊茵和EXIDA。
針對圖1示例的需要,收集了安全相關(guān)儀表的失效數(shù)據(jù),見表2所列。
2.3.1測量儀表
圖1示例中,采用本安型壓力變送器時(shí),測量儀表由壓力變送器和輸入安全柵兩部分組成;采用隔爆型壓力變送器時(shí),測量儀表僅由壓力變送器組成。
表2 安全相關(guān)儀表的失效數(shù)據(jù)
首先,根據(jù)要求的SIL進(jìn)行硬件結(jié)構(gòu)約束評價(jià)。文獻(xiàn)[3]給出了安全相關(guān)子系統(tǒng)的結(jié)構(gòu)約束,見表3所列。
表3 B類安全相關(guān)子系統(tǒng)的結(jié)構(gòu)約束
根據(jù)表2中的失效數(shù)據(jù),壓力變送器為B類安全相關(guān)設(shè)備,其SFF=93.1%。輸入安全柵也為B類安全相關(guān)設(shè)備,其SFF=95.3%,查表3得,壓力變送器和輸入安全柵的故障裕度為0,即可滿足SIL2。
接下來搭建不同的表決結(jié)構(gòu),計(jì)算出測量儀表在各種結(jié)構(gòu)下的PFD。對于每一個(gè)子系統(tǒng)的PFD根據(jù)其結(jié)構(gòu)不同,文獻(xiàn)[3]給出了不同的計(jì)算公式,公式適用于測量儀表子系統(tǒng)、邏輯控制器子系統(tǒng)和最終元件子系統(tǒng)。
“1oo1”結(jié)構(gòu)的PFD計(jì)算公式:
PFD=(λDU+λDD)tCE
(1)
“1oo2”結(jié)構(gòu)的PFD計(jì)算公式:
(2)
“2oo2”結(jié)構(gòu)的PFD計(jì)算公式:
PFD=2(λDU+λDD)tCE
(3)
“2oo3”結(jié)構(gòu)的PFD計(jì)算公式:
(4)
式中:T1——檢驗(yàn)測試時(shí)間間隔,h;MTTR——平均恢復(fù)時(shí)間,h;β——具有共同原因的、沒有被檢測到的失效分?jǐn)?shù);λDD——檢測到的子系統(tǒng)中通道每小時(shí)的危險(xiǎn)失效概率;λDU——未檢測到的子系統(tǒng)中通道每小時(shí)的危險(xiǎn)失效概率;tCE——通道的等效平均停止工作時(shí)間;tGE——表決組的等效平均停止工作時(shí)間。
(5)
將表2中壓力變送器和輸入安全柵的失效數(shù)據(jù)分別代入到式(1)~(4),得到壓力變送器在采用本安型和隔爆型兩種防爆方式時(shí),測量儀表子系統(tǒng)的PFD,見表4所列。
表4 測量儀表子系統(tǒng)的PFD
在計(jì)算時(shí),β取最保守的20%。當(dāng)采用本安型壓力變送器時(shí),測量儀表子系統(tǒng)的PFD等于壓力變送器和輸入安全柵的PFD之和;而采用隔爆型壓力變送器時(shí),測量儀表子系統(tǒng)的PFD等于壓力變送器的PFD。
2.3.2邏輯控制器
在工業(yè)應(yīng)用中,通常采用獨(dú)立的邏輯控制器,即安全儀表控制系統(tǒng)(SIS-PES),來搭建安全儀表系統(tǒng)。安全儀表控制系統(tǒng)的硬件設(shè)備均冗余設(shè)置,并具有完善的硬件、軟件在線自診斷功能。在出現(xiàn)故障時(shí)可進(jìn)行無擾動切換,并自動記錄故障報(bào)警提示維護(hù)人員進(jìn)行維護(hù)。其出現(xiàn)故障的概率相對于測量儀表和執(zhí)行器來說是很小的。在設(shè)計(jì)階段主要是綜合考慮全廠所有SIF的SIL的最高要求,并在安全儀表控制系統(tǒng)技術(shù)規(guī)格書中提出相應(yīng)的要求。假設(shè)圖1示例中采用的是某知名品牌的安全儀表控制系統(tǒng),根據(jù)其平均故障間隔時(shí)間(MTBF)得出其PFD為0.5×10-4。
2.3.3最終元件
圖1示例中,最終元件是控制閥,由電磁閥、執(zhí)行機(jī)構(gòu)、閥門本體三部分組成。
對于不同SIL的安全儀表系統(tǒng),文獻(xiàn)[1]規(guī)定了構(gòu)成安全儀表系統(tǒng)的儀表設(shè)備有不同的故障裕度要求,見表5所列。像閥門這種沒有故障診斷功能的儀表適合通過該表來進(jìn)行硬件結(jié)構(gòu)約束評價(jià)。
表5 傳感器、最終元件和非PE邏輯解算器的最低硬件故障裕度
文獻(xiàn)[1]允許給予“早先使用”(prior use)且滿足特定條件的設(shè)備高一個(gè)水平的SIL值。查表5得,當(dāng)所選的閥門為“早先使用”且滿足相應(yīng)條件時(shí),單一的設(shè)備就可應(yīng)用于SIL2的場合。
接下來再進(jìn)行硬件失效概率分析。電磁閥和執(zhí)行機(jī)構(gòu)的β取最保守的20%,閥門本體的β根據(jù)文獻(xiàn)[3]的附錄D進(jìn)行估算,取10%。將表3中電磁閥、執(zhí)行機(jī)構(gòu)、閥門本體的失效數(shù)據(jù)分別代入到式(1)~(2)中,得到電磁閥、執(zhí)行機(jī)構(gòu)和閥門本體在“1oo1, 2oo2”結(jié)構(gòu)下的PFD:
PFD1oo1(電磁閥)=3.86×10-4
PFD1oo2(電磁閥)=7.74×10-5
PFD1oo1(執(zhí)行機(jī)構(gòu))=1.48×10-3
PFD1oo2(執(zhí)行機(jī)構(gòu))=2.99×10-4
PFD1oo1(閥門本體)=7.61×10-3
PFD1oo2(閥門本體)=8.24×10-4
最終元件的PFD為電磁閥、執(zhí)行機(jī)構(gòu)、閥門本體的PFD之和為
PFD1oo1(最終元件)=PFD1oo1(電磁閥)+PFD1oo1(執(zhí)行機(jī)構(gòu))+
PFD1oo1(閥門本體)=9.48×10-3
PFD1oo2(最終元件)=PFD1oo2(電磁閥)+PFD1oo2(執(zhí)行機(jī)構(gòu))+
PFD1oo2(閥門本體)=1.20×10-3
“1oo1”結(jié)構(gòu)的故障率占目標(biāo)故障率10-2的94.8%,要使安全儀表系統(tǒng)的PFD小于10-2從而滿足SIL2,需要選用更可靠的測量儀表的表決結(jié)構(gòu)和更可靠的可編程邏輯控制器?!?oo1”結(jié)構(gòu)并非完全不能選用,有以下改進(jìn)方法可以嘗試:
1) 選用故障率更低的閥門。通過式(1), (5)可以看出,如果減小λDU,λDD的值,將使PFD值相應(yīng)降低。選用故障率更低的閥門可以相應(yīng)降低最終元件的PFD,但是閥門的采購成本會有很大的提高。
2) 改變閥門局部的表決結(jié)構(gòu),例如電磁閥采用“1oo2”結(jié)構(gòu):
PFD1oo1(最終元件)=PFD1oo2(電磁閥)+PFD1oo1(執(zhí)行機(jī)構(gòu))+
PFD1oo1(閥門本體)=7.74×10-5+1.48×10-3+
7.61×10-3=9.17×10-3
3) 調(diào)整檢驗(yàn)測試時(shí)間間隔。在工藝允許的情況下縮短T1,如果將示例中的T1從1a(8760h)調(diào)整為0.5a(4380h),將表3中電磁閥、執(zhí)行機(jī)構(gòu)、閥門本體的失效數(shù)據(jù)重新代入到式(1)~(2)中,得:
PFD1oo1(最終元件)=PFD1oo1(電磁閥)+PFD1oo1(執(zhí)行機(jī)構(gòu))+
PFD1oo1(閥門本體)=1.93×10-4+7.43×10-4+
3.81×10-3=4.75×10-3
此時(shí),“1oo1”結(jié)構(gòu)的故障率占目標(biāo)故障率10-2的46.1%,故障率得到了顯著的降低。
最終元件的T1往往受到工藝運(yùn)行周期的制約,一般情況下,最終元件的檢驗(yàn)測試需要在裝置停車的情況下才能進(jìn)行。因此,裝置從開車到停車的時(shí)間決定了T1,通過調(diào)整T1的方法來降低故障率有很大的局限性。
4) 間接調(diào)整檢測時(shí)間。對于閥門來說,可以增加部分行程測試(PST)功能。閥門的部分行程測試PST(Partial Stroke Testing)是一種在線檢測緊急切斷閥可靠性的方法。在線檢測故障就是讓切斷閥作周期性的部分行程動作。例如: 切斷閥從全開位置部分關(guān)閉10%~30%行程,按一定的時(shí)間間隔周期性動作,以便更好地檢查其閥桿移動情況,判斷其功能的好壞。
增加PST功能后,部分不可檢測的失效概率轉(zhuǎn)變?yōu)榭蓹z測的失效概率,使相關(guān)子系統(tǒng)的故障率得到改善。該類數(shù)據(jù)可以從第三方認(rèn)證機(jī)構(gòu)的FMEDA報(bào)告中得到。將改善的失效數(shù)據(jù)分別代入到式(1),得到電磁閥、執(zhí)行機(jī)構(gòu)和閥門本體在“1oo1”結(jié)構(gòu)下采用PST功能的PFD,三部分之和得到最終元件的PFD:
PFD1oo1(最終元件)=PFD1oo1(電磁閥)+PFD1oo1(執(zhí)行機(jī)構(gòu))+
PFD1oo1(閥門本體)=5.08×10-6+7.87×10-4+
6.24×10-3=7.04×10-3
在實(shí)際生產(chǎn)過程中,誤停車會中斷裝置的正常生產(chǎn),產(chǎn)生大量不合格品,從而造成經(jīng)濟(jì)損失,更嚴(yán)重的可能會造成某些關(guān)鍵設(shè)備的損耗。因此,用戶不但希望安全儀表系統(tǒng)是足夠安全的,而且也希望安全儀表系統(tǒng)造成的誤停車次數(shù)越少越好。安全儀表系統(tǒng)誤動率反映了系統(tǒng)的可用性,也將是評價(jià)安全儀表系統(tǒng)的重要指標(biāo)。
安全儀表系統(tǒng)安全要求規(guī)范中,如果存在一個(gè)偽脫扣的目標(biāo)頻率,可以通過計(jì)算回路的安全失效概率(PFS)來判斷變送器的表決結(jié)構(gòu)是否合適,這種定量的分析方法本文不再展開討論。
本文示例所需的安全儀表系統(tǒng)的回路構(gòu)成有多種方案,見表6所列。設(shè)計(jì)時(shí)根據(jù)不同的可用性要求和項(xiàng)目的投資情況來選擇不同的方案。
對比方案1和方案2以及方案5和方案6可見,測量儀表和電磁閥采用“1oo2”結(jié)構(gòu)時(shí),安全儀表系統(tǒng)的PFD并沒有得到很大的降低,反而降低了系統(tǒng)的可用性,在安全儀表系統(tǒng)有可用性要求時(shí)這種結(jié)構(gòu)將不適合采用。
方案3相比于方案1,測量儀表采用“2oo2”結(jié)構(gòu)時(shí),提高了系統(tǒng)的可用性,但安全儀表系統(tǒng)的PFD卻有了一定的提高,即系統(tǒng)的可靠性有所降低。本例中甚至降低了SIL。而方案4,測量儀表采用“2oo3”結(jié)構(gòu),既保證了可靠性又兼顧了可用性。
對比方案3和方案5可見,安全儀表系統(tǒng)的PFD在測量儀表采用隔爆型時(shí)顯著低于采用本安型時(shí)。因此,在特定場合測量儀表采用隔爆型將更有利于安全儀表系統(tǒng)的回路搭建。
方案7,電磁閥采用“2oo2”結(jié)構(gòu)時(shí),雖然使安全儀表系統(tǒng)的PFD有了一定的提高,即系統(tǒng)的可靠性有所降低,但是提高了系統(tǒng)的可用性。
對比方案5和方案9可見,閥門增加PST功能,在不改變工藝大檢修周期的情況下,縮小了T1,可以很大程度地降低安全儀表系統(tǒng)的PFD。當(dāng)然,PST只能檢測出閥門故障模式中的一部分,不能完全代替完全功能檢測,且某些工況工藝是不允許閥門作PST的(例如高壓蒸汽管網(wǎng)的放空閥)。因此,在工程應(yīng)用中,PST可以作為提高安全儀表系統(tǒng)可靠性的重要措施而被考慮,但由于其局限性,設(shè)計(jì)時(shí)應(yīng)充分理解工藝流程,具體工況具體分析。
表6 安全儀表系統(tǒng)的回路組成方案
綜合上述分析結(jié)果,可以得出如下結(jié)論:
1) 組成滿足相應(yīng)SIL要求的安全儀表系統(tǒng)的方法是多樣的。在實(shí)際應(yīng)用中,應(yīng)結(jié)合經(jīng)濟(jì)投資、安全儀表功能的SIL、安全儀表系統(tǒng)安全要求規(guī)范中的誤跳車要求等,酌情選擇相應(yīng)的硬件和表決結(jié)構(gòu)。
2) 一個(gè)典型的安全儀表系統(tǒng)由測量儀表、邏輯控制器、最終元件三部分組成,安全儀表系統(tǒng)的PFD值符合“木桶原理”,即三部分的PFD值最大者決定了回路的PFD值的范圍,很大程度上也就決定了SIF的SIL。這三部分中,最終元件在PFD中占有的比例最大,在進(jìn)行安全儀表系統(tǒng)回路設(shè)計(jì)時(shí)可以先分析計(jì)算最終元件,得出幾種可能的儀表選型和表決結(jié)構(gòu),再根據(jù)相應(yīng)的PFD考慮測量儀表的儀表選型和表決結(jié)構(gòu)。
3) 對于自控專業(yè)設(shè)計(jì)人員,能夠參與過程危險(xiǎn)分析和風(fēng)險(xiǎn)評估是很有必要的。一方面,可以使自控專業(yè)設(shè)計(jì)人員在進(jìn)行回路設(shè)計(jì)時(shí),對特定危險(xiǎn)事件發(fā)生的頻率和后果有一個(gè)直觀的認(rèn)識,對裝置現(xiàn)有的保護(hù)層以及項(xiàng)目對誤停車的容忍度有一個(gè)更深刻的理解。另一方面,自控專業(yè)設(shè)計(jì)人員可以反饋搭建安全儀表系統(tǒng)的難易程度和投資規(guī)模等信息,使分析小組得出的安全儀表系統(tǒng)安全要求更加合理。通過增加保護(hù)層或者降低工藝大檢修周期等措施來降低SIL要求,相對于花費(fèi)過大的投資來滿足過高的SIL要求,將顯得更加方便實(shí)施和經(jīng)濟(jì)合理。
在石油化工和煤化工設(shè)計(jì)中,安全問題是非常關(guān)鍵的問題。通過上面的步驟,基本上可以解決一般的SIF設(shè)計(jì)問題。但是,在設(shè)計(jì)階段取得足夠的安全儀表相關(guān)數(shù)據(jù)以及得到足夠完整的安全要求規(guī)范有一定的難度,只有盡可能地收集足夠多的信息,合理地搭建安全回路子系統(tǒng)的表決結(jié)構(gòu),才能以最低的成本,滿足最大化的安全性和可靠性要求。
參考文獻(xiàn):
[1] 機(jī)械工業(yè)儀器儀表綜合技術(shù)經(jīng)濟(jì)研究所. GB/T 21109—2007 過程工業(yè)領(lǐng)域安全儀表系統(tǒng)的功能安全[S].北京: 中國標(biāo)準(zhǔn)出版社,2007.
[2] 中國石油化工集團(tuán)公司.GB/T 50770—2013 石油化工安全儀表系統(tǒng)設(shè)計(jì)規(guī)范[S].北京: 中國計(jì)劃出版社,2013.
[3] 機(jī)械工業(yè)儀器儀表綜合技術(shù)經(jīng)濟(jì)研究所.GB/T 20438—2006 電氣/電子/可編程電子安全相關(guān)系統(tǒng)的功能安全[S]. 北京: 中國標(biāo)準(zhǔn)出版社,2006.
[4] 陽憲惠,郭海濤. 安全儀表系統(tǒng)的功能安全[M]. 北京: 清華大學(xué)出版社,2007.
[5] 魏華.安全設(shè)計(jì)的保護(hù)層分析在600kt/a甲醇項(xiàng)目中的應(yīng)用[J]. 石油化工自動化,2008,44(06): 24-27.
[6] 魏華.安全儀表的可靠性和可用性分析[J]. 石油化工自動化,2009,45(01): 10-13.
[7] 王立奉.功能安全技術(shù)講座 第十七講 安全儀表系統(tǒng)中緊急切斷閥的部分行程測試[J]. 儀器儀表標(biāo)準(zhǔn)與計(jì)量,2009(05): 9-14.
[8] 祝敬輝.SIS設(shè)計(jì)中可用性和安全性淺析[J]. 儀器儀表標(biāo)準(zhǔn)與計(jì)量,2010(04): 25-27.
[9] 馮兆宇.安全儀表系統(tǒng)回路設(shè)計(jì)與研究[J]. 儀器儀表標(biāo)準(zhǔn)與計(jì)量,2010(04): 28-30.
[10] 王秋紅.安全儀表系統(tǒng)切斷閥在線行程測試[J]. 石油化工自動化,2009,45(03): 75-76.