楊放 李國(guó)斌 魏廣鋒 王明東

中油國(guó)際管道有限公司

天然氣壓氣站的緊急停車系統(tǒng)（ESD）作為壓氣站最重要的儀表安全系統(tǒng)，在壓氣站發(fā)生天然氣大量泄漏、火災(zāi)等異常情況時(shí)，可自動(dòng)完成對(duì)整個(gè)站場(chǎng)的隔離和放空以及重要設(shè)備的緊急停車，實(shí)現(xiàn)對(duì)站場(chǎng)財(cái)產(chǎn)和人員的保護(hù)功能。對(duì)緊急停車系統(tǒng)進(jìn)行安全完整性等級(jí)（SIL）驗(yàn)證，通過(guò)可靠性的建模分析來(lái)計(jì)算各安全功能回路是否滿足安全要求，對(duì)不滿足SIL 要求的功能回路進(jìn)行針對(duì)性的改進(jìn)，提出風(fēng)險(xiǎn)降低措施，以此有效提升系統(tǒng)安全性，進(jìn)一步保證壓氣站的安全。

根據(jù)我國(guó)石油行業(yè)標(biāo)準(zhǔn)SY/T 6966—2103《輸油氣管道工程安全儀表系統(tǒng)設(shè)計(jì)規(guī)范》[1]中對(duì)于天然氣分輸站各安全功能SIL 的要求，輸氣站場(chǎng)的SIL 應(yīng)為2 級(jí)。根據(jù)一些國(guó)家或行業(yè)的規(guī)定或標(biāo)準(zhǔn)規(guī)范要求，應(yīng)對(duì)在役安全儀表系統(tǒng)（SIS）進(jìn)行安全審查。為了避免因設(shè)備老化、人員變動(dòng)等因素對(duì)SIS 安全運(yùn)行造成不利影響，需要對(duì)SIS 運(yùn)行和相關(guān)聯(lián)的項(xiàng)目每3～5 年進(jìn)行1 次SIL 周期性復(fù)審[2]。另外，通過(guò)開(kāi)展SIL 工作，建立一套符合站場(chǎng)的SIL計(jì)算模型，對(duì)于開(kāi)展持續(xù)的SIL 周期性驗(yàn)證、在其他使用類似系統(tǒng)的站場(chǎng)推廣，以及設(shè)備的全生命周期管理很有意義。

1 SIL 驗(yàn)證原理和方法

遵循國(guó)際電工委員會(huì)發(fā)布的電氣和電子部件行業(yè)標(biāo)準(zhǔn)IEC 61508《Functional safety of electrical/electronic/programmable electronic safety-related systems》[3]，評(píng)估SIL 有三個(gè)判據(jù)：結(jié)構(gòu)約束（Architectural Constraints）、部件的安全可靠性（PFDavg）以及系統(tǒng)能力（SC）。前兩項(xiàng)為硬件的安全完整性內(nèi)容，最后一項(xiàng)為系統(tǒng)性安全完整性。目前國(guó)內(nèi)對(duì)在役安全儀表系統(tǒng)進(jìn)行SIL 驗(yàn)證，主要是分析計(jì)算硬件安全完整性[2]。圖1 是針對(duì)硬件所有的功能回路（SIF）進(jìn)行SIL 驗(yàn)證的一般過(guò)程，即先對(duì)每一個(gè)功能回路進(jìn)行結(jié)構(gòu)約束的計(jì)算，再進(jìn)行安全可靠性的計(jì)算（失效概率PFD計(jì)算），判斷其是否滿足指定SIL 的要求[4]。

圖1 SIL 驗(yàn)證步驟Fig.1 Steps of SIL verification

1.1 相關(guān)概念

安全儀表系統(tǒng)的失效模式依賴于每一個(gè)功能回路的失效模式，其分為安全失效和危險(xiǎn)失效。如果該失效可以被設(shè)備的自診斷功能檢測(cè)到，稱作檢測(cè)到的安全/危險(xiǎn)失效，否則稱作未檢測(cè)到的安全/危險(xiǎn)失效。

（1）安全狀態(tài)。指達(dá)到安全目標(biāo)時(shí)工藝過(guò)程所處的狀態(tài)。如ESD 設(shè)計(jì)，選擇失電狀態(tài)作為安全狀態(tài)。

（2）危險(xiǎn)失效。指可能使安全儀表系統(tǒng)處于潛在的危險(xiǎn)狀態(tài)或功能故障狀態(tài)的失效，即阻止進(jìn)入安全狀態(tài)的失效。例如站場(chǎng)發(fā)生火災(zāi)，放空閥門(mén)無(wú)法執(zhí)行放空操作，可能導(dǎo)致站內(nèi)爆炸的危險(xiǎn)，該閥門(mén)（執(zhí)行元件）的失效即為危險(xiǎn)失效。

（3）安全失效。指不會(huì)使安全儀表系統(tǒng)處于潛在的危險(xiǎn)狀態(tài)或功能故障狀態(tài)的失效。在IEC 61508 中定義為，只要不屬于危險(xiǎn)失效的都是安全失效。例如站場(chǎng)在危險(xiǎn)條件未出現(xiàn)時(shí)，由于安全儀表的誤動(dòng)作，將系統(tǒng)置于某種安全狀態(tài)（誤停車、放空閥門(mén)誤打開(kāi)等）。該失效雖然保證了安全，但同樣會(huì)對(duì)輸氣站場(chǎng)帶來(lái)極大的損失，影響到正常的生產(chǎn)。

（4）共因失效。一個(gè)以上的裝置因?yàn)橥瑯拥脑蚴?，將這種失效模式歸為共因失效。例如冗余系統(tǒng)，保證了系統(tǒng)的容錯(cuò)能力，也增加了多個(gè)設(shè)備的共因失效可能性。

1.2 結(jié)構(gòu)性約束計(jì)算

結(jié)構(gòu)約束的安全完整性由安全失效分?jǐn)?shù)(SFF)和硬件故障裕度(HFT)共同決定，如果一個(gè)系統(tǒng)是SILn級(jí)別，那么SFF 和HFT 都應(yīng)滿足相應(yīng)SIL要求。

1.2.1 安全失效分?jǐn)?shù)(SFF)

硬件故障裕度N意味著N+1 個(gè)故障會(huì)導(dǎo)致全功能的喪失。安全失效分?jǐn)?shù)(SFF)是指導(dǎo)致安全失效率和可檢測(cè)出的危險(xiǎn)失效率的總和除以總硬件隨機(jī)失效率。安全失效分?jǐn)?shù)是對(duì)危險(xiǎn)故障預(yù)發(fā)能力的一個(gè)表量，一定程度上反映著系統(tǒng)的診斷能力，計(jì)算公式為

式中：λSD為檢測(cè)到的安全失效；λSU為未檢測(cè)到的安全失效；λDD為檢測(cè)到的危險(xiǎn)失效；λDU為未檢測(cè)到的危險(xiǎn)失效。

1.2.2 硬件故障裕度(HFT)

每個(gè)SIF 由觸發(fā)元件、執(zhí)行元件和邏輯控制單元組成。IEC 61511《Functional safty—Safety instrmented systems for the process industry sector》對(duì) 各組成的硬件裕度HFT 做出了要求[5]，如表1、表2所示。

對(duì)于觸發(fā)單元、執(zhí)行元件和非PE 邏輯控制單元來(lái)講，HFT一般情況應(yīng)符合表2 要求，如果滿足以下幾個(gè)要求，可在表2 的基礎(chǔ)上減1：①裝置硬件的選擇是根據(jù)以往的使用情況決定的；②裝置只允許調(diào)整過(guò)程參數(shù)（如量程、上下限失效指示等）；③裝置過(guò)程參數(shù)的調(diào)整受到保護(hù)（如密碼、跳線等）；④功能的SIL 要求小于SIL4。

表1 PE 邏輯控制單元的最低硬件故障裕度Tab.1 Minimum hardware fault margin of PE logic control unit

表2 觸發(fā)單元、執(zhí)行元件和非PE 邏輯控制單元的最低硬件故障裕度Tab.2 Minimum hardware fault margin of trigger unit，actuator and non-PE logic control unit

在下列情況下，HFT應(yīng)在表2 的基礎(chǔ)上加1：①占大多數(shù)的失效為危險(xiǎn)失效；②危險(xiǎn)失效不能被檢測(cè)出來(lái)。

1.3 部件的安全可靠性計(jì)算

開(kāi)展部件的安全可靠性驗(yàn)證，首先要確定安全儀表功能中各個(gè)元件的失效率，根據(jù)現(xiàn)有設(shè)備的結(jié)構(gòu)對(duì)系統(tǒng)要求時(shí)平均失效概率進(jìn)行定量計(jì)算，由結(jié)果判斷該SIF 是否能達(dá)到所需要的SIL 要求[6]。

1.3.1 失效率λ

失效率指瞬時(shí)失效概率，是單位時(shí)間內(nèi)失效的次數(shù)與設(shè)備總數(shù)的比值。因失效率服從指數(shù)分布，一般失效率λ為常數(shù)。失效率的單位是時(shí)間的倒數(shù)。

1.3.2 平均修復(fù)時(shí)間(MTTR)

平均修復(fù)時(shí)間也稱作平均恢復(fù)時(shí)間，是設(shè)備發(fā)生故障到重新正常工作的時(shí)間期望值，定義中包含檢測(cè)到失效發(fā)生所需的時(shí)間和發(fā)生并確定失效后維修所需的時(shí)間。

恢復(fù)率是單位時(shí)間內(nèi)的修復(fù)設(shè)備次數(shù)與設(shè)備總數(shù)的比值，通常用μ表示。維修概率密度為指數(shù)分布，維修率為常數(shù)的情況下，維修率等于MTTR的倒數(shù)，即

1.3.3 失效概率計(jì)算方法

常用的失效概率計(jì)算模型包括可靠性框圖（RBD）、故障樹(shù)（FTA）模型以及馬爾可夫（Markov）模型，本文使用常用的可靠性框圖進(jìn)行計(jì)算。

可靠性框圖是用圖形的方式來(lái)表示系統(tǒng)內(nèi)部組件的串并聯(lián)關(guān)系，同時(shí)體現(xiàn)出表決方式的關(guān)系，對(duì)安全儀表系統(tǒng)的失效分布采用了指數(shù)模型[7]，由于建模簡(jiǎn)單，做了各設(shè)備之間互斥的假設(shè)，并沒(méi)有考慮設(shè)備之間的相互影響[8-9]。IEC 64078 對(duì)該模型進(jìn)行詳細(xì)說(shuō)明。ESD 操作的要求頻率不大于1 a-1，屬于結(jié)構(gòu)低要求，用平均失效概率PFDavg表征SIL，如表3 所示。

表3 低要求操作模式下目標(biāo)失效量的安全完整性等級(jí)Tab.3 Safety integrity level of target failure in low requirement operation mode

常見(jiàn)的1oo1、2oo2、1oo2、1oo2D、2oo3 結(jié)構(gòu)的可靠性框圖及低要求操作模式下PFDavg計(jì)算方法如下[10-11]：

（1）1oo1 結(jié)構(gòu)可靠性框圖如圖2 所示。

圖2 1oo1 結(jié)構(gòu)可靠性框圖Fig.2 1oo1 structural reliability block diagram

式中：tCE為概率值；λD=λDD+λDU；TI為功能測(cè)試周期，h。

（2）2oo2 結(jié)構(gòu)可靠性框圖如圖3 所示。

圖3 2oo2 結(jié)構(gòu)可靠性框圖Fig.3 2oo2 structural reliability block diagram

（3）1oo2 結(jié)構(gòu)可靠性框圖如圖4 所示。

圖4 1oo2 結(jié)構(gòu)可靠性框圖Fig.4 1oo2 structural reliability block diagram

式中：tCE為1oo2 結(jié)構(gòu)中通道的等效平均停止工作時(shí)間，h；tGE為loo2 結(jié)構(gòu)中表決組的等效平均停止工作時(shí)間，h；βD為具有共同原因的已被檢測(cè)到的失效分?jǐn)?shù)；β為具有共同原因的沒(méi)有被檢測(cè)到的失效分?jǐn)?shù)。

（4）1oo2D 結(jié)構(gòu)可靠性框圖如圖5 所示。

圖5 1oo2D 結(jié)構(gòu)可靠性框圖Fig.5 1oo2D structural reliability block diagram

式中：t′CE為loo2D 結(jié)構(gòu)中通道的等效平均停止工作時(shí)間，h；t′GE為loo2D 結(jié)構(gòu)中表決組的等效平均停止工作時(shí)間，h。

（5）2oo3 結(jié)構(gòu)可靠性框圖如圖6 所示。

圖6 2oo3 結(jié)構(gòu)可靠性框圖Fig.6 2oo3 structural reliability block diagram

2 SIL 驗(yàn)證結(jié)果與討論

某壓氣站設(shè)置的獨(dú)立緊急停車系統(tǒng)包括傳感器、邏輯控制器、執(zhí)行器三部分。當(dāng)傳感器探測(cè)到現(xiàn)場(chǎng)發(fā)生意外情況時(shí)，觸發(fā)緊急停車信號(hào)，并將信號(hào)傳入PLC 控制邏輯，經(jīng)過(guò)邏輯判斷，使相應(yīng)的執(zhí)行器動(dòng)作，達(dá)到阻止危險(xiǎn)事件發(fā)生的目的。本文以最高等級(jí)的ESD 功能為例進(jìn)行SIL 驗(yàn)證。

2.1 SIL 驗(yàn)證的假設(shè)

設(shè)備的可靠性數(shù)據(jù)可以從工業(yè)數(shù)據(jù)庫(kù)、生產(chǎn)商或第三方機(jī)構(gòu)的FMEDA 分析、生產(chǎn)商現(xiàn)場(chǎng)失效研究、工廠失效記錄或其他途徑獲得。本文選取的可靠性參數(shù)依據(jù)如下：

（1）對(duì)于結(jié)構(gòu)冗余的子系統(tǒng)，對(duì)傳感器、控制閥門(mén)部分的共因失效因子β值保守選取為1%～2%，作為共同原因故障導(dǎo)致危險(xiǎn)發(fā)生的值[11]。

（2）根據(jù)現(xiàn)場(chǎng)實(shí)際，選取站場(chǎng)安全儀表功能測(cè)試周期(TI)為12 個(gè)月，能夠覆蓋關(guān)鍵功能，考慮到人為操作最低失效概率為0.01，所以功能測(cè)試覆蓋率(CTI)取99%。

（3）傳感器的平均修復(fù)時(shí)間取8 h，邏輯控制器取8 h，執(zhí)行器取12 h。設(shè)備服役時(shí)間為25 a。

設(shè)備的失效數(shù)據(jù)如表4 所示。

2.2 SIL 驗(yàn)證過(guò)程

以SIF-1 為例，站場(chǎng)工作人員觸發(fā)ESD 手報(bào)時(shí)，觸發(fā)HS_0601 信號(hào)，傳入Honeywell SM 控制器內(nèi)，控制器發(fā)出命令，關(guān)斷進(jìn)出站閥門(mén)ESDV1101、ESDV1201、ESDV1102、ESDV1202；打開(kāi)緊急放空閥GHV7101、GHV8101、GHV8201、GHV8301；關(guān)斷調(diào)壓橇安全切斷閥ssv7109、ssv7209、ssv7309、ssv7310、ssv7409、ssv7410 及燃料氣閥門(mén)GHV7102；向所有壓縮機(jī)組發(fā)出泄壓停機(jī)；向所有燃?xì)獍l(fā)電機(jī)發(fā)出ESD 停機(jī)信號(hào)。圖7為該邏輯的簡(jiǎn)單示意圖。

以下是SIF-1 SIL 驗(yàn)證的過(guò)程：

2.2.1 結(jié)構(gòu)性約束

首先考慮結(jié)構(gòu)性約束是否滿足SIL2 級(jí)要求。SIF-1 內(nèi)的邏輯控制器SFF＞99%，且為冗余配置，滿足表1 的要求。而觸發(fā)元件和執(zhí)行元件滿足特殊條件，可在表2 基礎(chǔ)上減1，即可不需要冗余配置。說(shuō)明SIF-1 的結(jié)構(gòu)性約束滿足SIL2 級(jí)別要求。

表4 設(shè)備的失效數(shù)據(jù)Tab.4 Failure data of equipment

圖7 SIF-1 的邏輯圖Fig.7 Logic diagram of SIF-1

2.2.2 部件的安全可靠性計(jì)算

（1）傳感器部分指標(biāo)參數(shù)及計(jì)算結(jié)果如表5、表6 所示。

那么SIF-1 要求的平均失效率為

查表3 確定SIF-1 的SIL 等級(jí)為1 級(jí)，不滿足設(shè)計(jì)的SIL2 級(jí)要求。

表5 傳感器部分的指標(biāo)參數(shù)Tab.5 Parameters of sensor section

表6 傳感器部分的計(jì)算結(jié)果Tab.6 Calculation results of sensor section

（2）邏輯控制器部分指標(biāo)參數(shù)及計(jì)算結(jié)果如表7、表8 所示。

表7 邏輯控制器部分的指標(biāo)參數(shù)Tab.7 Parameters of logic controller section

表8 邏輯控制器部分的計(jì)算結(jié)果Tab.8 Calculation results of logic controller section

（3）執(zhí)行元件部分指標(biāo)參數(shù)及計(jì)算結(jié)果見(jiàn)表9、表10。

各系統(tǒng)對(duì)全回路的PFDavg共享分布如圖8所示。

分析幾個(gè)安全儀表功能可知，盡管傳感器和邏輯控制器單個(gè)設(shè)備的SIL 達(dá)到了SIL2，但整個(gè)系統(tǒng)的等級(jí)是SIL1。通過(guò)圖8 可以看出，安全儀表的SIL 取決于安全完整性水平最低的執(zhí)行部件。對(duì)執(zhí)行部件進(jìn)行分析，占比最大的執(zhí)行部件的PFDavg共享分布如圖9 所示。

表9 執(zhí)行元件部分的指標(biāo)參數(shù)Tab.9 Parameters of actuator section

圖8 SIF-1 全回路的PFD 共享分布Fig.8 PFD shared distribution in SIF-1 loop

執(zhí)行部件內(nèi)占比最大的是1 組（37.45%）和2組（62.41%），主要是因?yàn)橥ㄓ靡簤呵蜷y的PFD高造成的。主要有兩個(gè)原因：一是通用液壓球閥的失效率為1×10-6，明顯高于其他部件；第二個(gè)原因是在1 組內(nèi)3 個(gè)通用液壓球閥采用1oo1 的方式，在2 組內(nèi)5 個(gè)閥門(mén)也采用1oo1 方式，即在安全狀態(tài)下，1 組和2 組內(nèi)的所有閥門(mén)都須切斷，在沒(méi)有任何冗余配置的情況下，造成了PFD值的過(guò)高。這是不符合儀表功能SIL2 級(jí)要求的關(guān)鍵，因此，必須對(duì)這幾個(gè)安全儀表子系統(tǒng)進(jìn)行改進(jìn)。

表10 執(zhí)行元件部分的計(jì)算結(jié)果Tab.10 Calculation resurts of actuator section

圖9 執(zhí)行元件部分的PFD 共享分布Fig.9 PFD shared distribution of actuator section

2.3 改進(jìn)措施討論

目前壓氣站ESD 功能涉及的進(jìn)出站閥門(mén)和放空閥門(mén)均為1oo1 結(jié)構(gòu)，一旦任何一個(gè)閥門(mén)失效，將影響整個(gè)ESD 功能的完成，無(wú)法將站場(chǎng)工藝導(dǎo)入安全狀態(tài)。此外，目前進(jìn)出站閥門(mén)與SCADA 系統(tǒng)共用，肩負(fù)有正常的工藝調(diào)節(jié)功能，一旦失效，極易導(dǎo)致ESD 功能同時(shí)失效，無(wú)法實(shí)現(xiàn)有效截?cái)唷?/p>

根據(jù)SIL 計(jì)算公式，從以下幾個(gè)方面進(jìn)行有效改進(jìn)[12-13]：

（1）改進(jìn)執(zhí)行器的冗余配置。將進(jìn)站閥門(mén)和放空閥門(mén)由1oo1 模式改為1oo2 模式，如圖10 所示。由于進(jìn)站閥門(mén)安全狀態(tài)是關(guān)斷狀態(tài)，所以1oo2 模式采用圖10a 的方式；放空閥門(mén)的安全狀態(tài)是打開(kāi)狀態(tài)，1oo2 模式采用圖10b 的方式。

采用1oo2 的冗余模式后，對(duì)執(zhí)行部件進(jìn)行PFDavg計(jì)算，結(jié)果如表11 所示。改進(jìn)后執(zhí)行元件部分的PFDavg提升為7.91×10-4，SIL 從1 級(jí)提升到3 級(jí)，滿足了整體SIL2 的要求。

（2）改進(jìn)功能測(cè)試周期?？s短閥門(mén)的功能測(cè)試周 期，從1 a（8 760 h）減 小 為45 d（1 095 h）后，執(zhí)行部件整體的PFDavg值減小為9.06×10-3，SIL 提升為2 級(jí)。可考慮按照此要求修訂設(shè)備的測(cè)試和維護(hù)計(jì)劃，并開(kāi)展相關(guān)工作。

圖10 閥門(mén)的冗余改進(jìn)方式Fig.10 Redundancy improvement of valves

（3）改進(jìn)設(shè)備選型。選擇失效概率更低的閥門(mén)，更換進(jìn)出站閥門(mén)和放空閥門(mén)，能夠有效減小PFDavg值，提升SIL 等級(jí)。

3 結(jié)論

通過(guò)對(duì)某天然氣站場(chǎng)ESD 開(kāi)展SIL 計(jì)算，確定該ESD 安全功能回路SIL 不滿足相關(guān)標(biāo)準(zhǔn)和設(shè)計(jì)要求，說(shuō)明對(duì)天然氣站場(chǎng)開(kāi)展SIL 驗(yàn)證是非常有必要的。本文根據(jù)分析出的安全功能回路中不符合SIL要求的原因，提出采用改進(jìn)執(zhí)行器的冗余配置、改進(jìn)功能測(cè)試周期及改進(jìn)設(shè)備選型三種方式，來(lái)有效提升安全儀表系統(tǒng)的安全性，為壓氣站下一步開(kāi)展管理和技術(shù)提升提供了有效建議。

以下幾個(gè)問(wèn)題需做進(jìn)一步的探索：

（1）本文在評(píng)估過(guò)程中僅參考了一些國(guó)際通行的數(shù)據(jù)庫(kù)進(jìn)行定量，各運(yùn)行單位還沒(méi)有收集事故相關(guān)數(shù)據(jù)、設(shè)備運(yùn)行參數(shù)的好的做法。如果可以將生產(chǎn)運(yùn)行中的數(shù)據(jù)作為國(guó)際通用數(shù)據(jù)庫(kù)的補(bǔ)充和完善，那么驗(yàn)證結(jié)果將更加準(zhǔn)確，更加地符合現(xiàn)場(chǎng)實(shí)際情況。在如何甄別使用數(shù)據(jù)上，也需要進(jìn)一步地開(kāi)展研究和實(shí)踐。

表11 執(zhí)行元件部分的計(jì)算結(jié)果Tab.11 Calculation resalts of actuator section

（2）在計(jì)算方法的選擇上，多采用上文提到的IEC 61508 和IEC 61511，而實(shí)際安全回路更加復(fù)雜，如何選擇計(jì)算模型使計(jì)算結(jié)果更加準(zhǔn)確值得進(jìn)一步開(kāi)展研究。此外，在計(jì)算軟件上，有些機(jī)構(gòu)提出了更加全面和豐富的SIL 計(jì)算和評(píng)價(jià)方法，如在計(jì)算時(shí)考慮Mission Time 和Mantainance Capacity 對(duì)計(jì)算結(jié)果的影響，也值得探討。

（3）國(guó)內(nèi)的SIL 評(píng)價(jià)主要考慮硬件部分，而根據(jù)標(biāo)準(zhǔn)，如果一個(gè)系統(tǒng)達(dá)到SILn級(jí)別，應(yīng)要求結(jié)構(gòu)約束、部件的安全可靠性以及系統(tǒng)能力三者均達(dá)到n級(jí)。運(yùn)行單位應(yīng)更多地關(guān)注以下幾點(diǎn)：①軟件；②安全要求規(guī)格書(shū)（SRS）；③設(shè)計(jì)、安裝、使用、維護(hù)等遵循安全手冊(cè)；④質(zhì)量管理體系；⑤適時(shí)開(kāi)展功能安全評(píng)估和審核；⑥人員的能力和培訓(xùn)情況等。