金龍 楊國棟 安如珠 楊凱 王學林 楊青霄

1河北華北石油工程建設(shè)有限公司

2青海油田采油一廠

3中國石油華北油田分公司二連分公司

4中國石油華北油田分公司

隨著我國長輸管道的迅猛發(fā)展，管道及沿線站場的完整性管理顯得尤為重要。油氣站場因工藝介質(zhì)的特殊性、工業(yè)裝置的大型化和處理流程的復(fù)雜化，一旦發(fā)生生產(chǎn)事故，容易造成災(zāi)難性后果[1]。因此，為保證油氣站場安全平穩(wěn)運行，常設(shè)置緊急停車系統(tǒng)（ESD）、高完整性壓力保護系統(tǒng)（HIPPS）、火氣系統(tǒng)（FGS）、燃燒器管理系統(tǒng)（BMS）等，這些系統(tǒng)可在一定程度上阻止事故發(fā)生或減小事故發(fā)生造成的后果，統(tǒng)稱為安全儀表系統(tǒng)。安全儀表系統(tǒng)采用安全完整性等級（SIL）來衡量系統(tǒng)的管理水平，表征一定條件下安全儀表功能（SIF）可被成功執(zhí)行的概率。

在SIL 評估中，SIL 等級的驗證是評估現(xiàn)有SIF是否完備、測試周期是否合理、SIL 等級是否滿足現(xiàn)有儀表系統(tǒng)的關(guān)鍵，也是研究人員重點關(guān)注的問題[2-3]。功能安全基礎(chǔ)標準IEC61508.6提出了四種常用的SIL等級驗證方法，分別為簡易公式法、可靠性框圖法、故障樹分析法和馬爾科夫模型法。MOORE等[4]采用區(qū)間法解決了馬爾科夫建模過程中的參數(shù)不確定性，提高了馬爾科夫的計算精度；SUMMERS[5]對比了故障樹和可靠性框圖法，結(jié)果表明，在復(fù)雜條件下前者的計算結(jié)果更為準確；MAHDI等[6]考慮了共因失效、修復(fù)率和診斷覆蓋率的影響，完善了可靠性框圖計算方法；唐平等[7]分別采用簡易公式法和馬爾科夫模型法對丙烯塔火炬泄放裝置的SIF進行了SIL驗證；楊放等[8]采用可靠性框圖法計算了輸氣站場ESD系統(tǒng)的SIL等級；朱睿峰等[9]采用故障樹分析法對海上油氣處理模塊的溫度控制系統(tǒng)進行了SIL等級評估。從上述研究可見，每種計算方法均有應(yīng)用，且部分研究人員對其進行了改進，其中簡易公式法計算便捷，但無法反映執(zhí)行機構(gòu)的全部失效狀態(tài)，計算結(jié)果偏小；可靠性框圖法無法獲得與時間序列相關(guān)的完整性評估指標，且對于冗余系統(tǒng)，無法描述因單通道失效引發(fā)的系統(tǒng)降級；故障樹分析法同樣也無法一次性獲得與時間序列相關(guān)的完整性評估指標；馬爾科夫模型法可描述系統(tǒng)狀態(tài)轉(zhuǎn)移時的動態(tài)變化，但轉(zhuǎn)移矩陣的維數(shù)與表決結(jié)構(gòu)的復(fù)雜性呈正比，計算量較大。隨機Petri網(wǎng)（SPN）能夠?qū)λ械募s束條件進行建模，可將復(fù)雜系統(tǒng)簡單化，并具有擴展性，但對于中間狀態(tài)和不確定參數(shù)的求解往往計算量較大，故引用蒙特卡洛進行輔助模擬，形成SPN-蒙特卡洛模型的SIL驗證方法，研究結(jié)果可為油氣站場完整性管理水平的提升提供理論依據(jù)。

1 隨機Petri網(wǎng)

安全儀表系統(tǒng)是一個動態(tài)隨機過程，系統(tǒng)中各種參數(shù)均會隨時間發(fā)生改變，因此在SIL驗證計算的過程中需考慮時間的延續(xù)性。隨機Petri 網(wǎng)（SPN）通過在變遷中添加一定的延時數(shù)據(jù)，以增加對系統(tǒng)動態(tài)特征的描述[10]，相對于其余幾種SIL驗證方法，其優(yōu)點如下：

（1）采用圖形表示系統(tǒng)邏輯關(guān)系，后續(xù)數(shù)據(jù)處理更加便捷。

（2）SPN模型規(guī)模隨建模部件的數(shù)量呈線性增長，而馬爾科夫模型法則呈指數(shù)增長。

（3）模型靈活多變，可使用各種約束條件的SIL驗證模型，同時中間狀態(tài)可采用蒙特卡洛模擬。

SPN 模型是由庫所、變遷、有向弧和托肯組成[11]，通過圖形的方式表示4 個基本元素相互關(guān)系，將變遷按照延時條件分為隨機變遷和瞬態(tài)變遷，各元素的含義見表1。

表1 SPN模型元素符號及含義Tab.1 Symbol and meaning of SPN model elements

2 基于SPN的SIL驗證模型

利用Time net 軟件對“MooN”型（表示N 取M，如2oo3 為3 取2）的表決結(jié)構(gòu)進行建模，模型中包括檢測到的危險失效（DD）、未檢測到的危險失效（DU）、檢測到的安全失效（SD）、未檢測到的安全失效（SU），同時考慮冗余結(jié)構(gòu)中一個或多個事件導(dǎo)致設(shè)備同時失效的共因失效（CCF）；狀態(tài)繼續(xù)細分為檢測到的共因危險失效（DDC）、未檢測到的共因危險失效（DUC）、檢測到的非共因危險失效（DDN）、未檢測到的非共因危險失效（DUN）、檢測到的共因安全失效（SDC）、未檢測到的共因安全失效（SUC）、檢測到的非共因安全失效（SDN）、未檢測到的非共因安全失效（SUN）。模型見圖1所示。

圖1 “MOON”型Petri網(wǎng)模型Fig.1 "MOON"Type Petri net model

模型左右兩側(cè)分別為安全失效和危險失效，初始正常的工作狀態(tài)為W，托肯在庫所W 內(nèi)。以右側(cè)危險失效為例，經(jīng)過一段時間，外界因素使變遷T0 發(fā)生改變，實施速率為λD（危險失效概率），此時托肯被轉(zhuǎn)移至庫所D 中，表示發(fā)生危險失效。由于目前智能設(shè)備內(nèi)部帶有自診斷功能，可檢測出部分失效，故危險失效經(jīng)過變遷T2和T3后，庫所D 中的托肯進入DD 和DU 的概率分別為DC（診斷覆蓋率）和（1-DC）。當托肯位于庫所DD 中時，表示系統(tǒng)發(fā)生了檢測到的危險失效，由于共因失效概率β的存在，托肯又以不同的概率立即轉(zhuǎn)移至庫所DDC 和DDN 中。經(jīng)過時間的推移，通過對系統(tǒng)實施周期性功能檢測，假設(shè)修復(fù)率為100%，系統(tǒng)經(jīng)過不同的平均修復(fù)時間MTTR，變遷T17 和T19恢復(fù)到初始工作狀態(tài)W，系統(tǒng)修復(fù)如新。當托肯位于DU 中時，表示系統(tǒng)發(fā)生了未檢測到的危險失效，同理若失效由共因失效引起，托肯進入庫所DUC，反之進入庫所DUN。當托肯在庫所DUC時，等同于系統(tǒng)的自診斷功能失效，此時系統(tǒng)不可修復(fù)；當托肯在庫所DUN 時，只有N-M+1 個狀態(tài)同時進入DUN 時才會導(dǎo)致系統(tǒng)失效，而單通道并不會引發(fā)危險失效，經(jīng)過一個測試周期的檢驗，系統(tǒng)可恢復(fù)正常狀態(tài)。

3 蒙特卡洛模擬

基于以上分析，SPN模型中存在較多的中間變量，且SIF回路因反饋數(shù)據(jù)缺失、運行狀態(tài)待定和新子系統(tǒng)的應(yīng)用會導(dǎo)致部分參數(shù)存在不確定性，主要參數(shù)有危險失效概率λD、安全失效概率λs、診斷覆蓋率DC（危險失效和安全失效的診斷覆蓋率相同）、共因失效概率β和平均修復(fù)時間MTTR等。在求解以上參數(shù)的精確解析解時計算量較大，故采用蒙特卡洛模擬降低計算量，使結(jié)果更加可靠。蒙特卡洛模擬是一種以概率論和統(tǒng)計理論方法為基礎(chǔ)的計算方法，通過使用隨機數(shù)解決參數(shù)的不確定性，以獲得問題的近似解，當知道不確定參數(shù)符合某種概率分布時即可求解。SPN-蒙特卡洛模擬流程見圖2，步驟如下：

圖2 SPN-蒙特卡洛模擬流程Fig.2 SPN-Monte Carlo simulation process

（1）根據(jù)不確定參數(shù)特點，確定數(shù)據(jù)服從的概率分布類型（一般有Uniform 分布、Normal 分布、Beta分布和Lognormal 分布），采用Matlab軟件生成仿真數(shù)據(jù)。

（2）根據(jù)一組輸入數(shù)據(jù)，參照SPN模型，計算平均要求失效概率PFDavg(i)，i為模擬次數(shù)。

（3）重復(fù)前兩個步驟，直至達到設(shè)定的模擬次數(shù)，輸出n個PFDavg結(jié)果。

（4）計算n個PFDavg 結(jié)果的均值、95%置信區(qū)間及標準差，并通過累計密度函數(shù)（CDF）評價計算結(jié)果的有效性，公式如下：

式中：F為CDF 分布；p為仿真結(jié)果落入置信區(qū)間的概率。

當仿真次數(shù)n足夠大時，不確定參數(shù)的算術(shù)平均值等于數(shù)學期望，即逼近真實值，則確定的SIL等級結(jié)果更加準確。

4 實例分析

4.1 基本情況

以某輸氣站場氣液分離器高完整性壓力保護系統(tǒng)（HIPPS）為例進行分析，HIPPS 可降低被保護對象的承壓等級，切斷危險壓力源，防止下游設(shè)備或管道出現(xiàn)超壓，同時可適當取消放空裝置、防爆閥、安全閥等被動泄放設(shè)備，在提高設(shè)備安全性的同時減少資金投入[12-13]。該氣液分離器超壓的SIF回路為天然氣進入氣液分離器，液相從分離器底部由液相泵輸出，氣相從分離器上部輸出并進入下游壓縮機，當氣相管道超過壓縮機負荷時，氣液分離器出現(xiàn)超壓，此時壓力傳感器檢測到超壓并將信號傳遞至邏輯控制器，邏輯控制器PLC輸出控制信號用于關(guān)閉執(zhí)行器的任意閥門，從而切斷物流，工藝流程見圖3。SIS系統(tǒng)結(jié)構(gòu)見圖4，其中壓力傳感器為2oo3結(jié)構(gòu)，即3個壓力傳感器同時工作，只要有任意2個傳感器檢測到氣液分離器壓力異常，邏輯控制器即可接收到信號；邏輯控制器為1oo1 結(jié)構(gòu)；執(zhí)行器為1oo2結(jié)構(gòu)。

圖3 氣液分離器工藝流程Fig.3 Process flow of gas-liquid separator

圖4 SIS系統(tǒng)結(jié)構(gòu)圖Fig.4 SIS system structure diagram

4.2 SIL驗證結(jié)果

根據(jù)現(xiàn)場搜集到的基礎(chǔ)數(shù)據(jù)，可初步確定各子系統(tǒng)參數(shù)的上下限，參照文獻[14-15]的方法確定參數(shù)的概率分布。鑒于對數(shù)正態(tài)分布（LogN）長尾性、非負性的特點，分別對三個子系統(tǒng)進行建模和仿真，將HIPPS系統(tǒng)的通用可靠性數(shù)據(jù)轉(zhuǎn)換為蒙特卡洛模擬所需的分布參數(shù)，其基本參數(shù)和仿真參數(shù)見表2，TI為周期性測試周期，h。

表2 子系統(tǒng)的基本參數(shù)和仿真參數(shù)Tab.2 Basic parameters and simulation parameters of the subsystem

仿真結(jié)果的直方圖見圖5，傳感器子系統(tǒng)的PFDavg主要分布在[0.000 8，0.002]，邏輯控制器子系統(tǒng)的PFDavg 主要分布在[0.000 5，0.004]，執(zhí)行器子系統(tǒng)的PFDavg主要分布在[0.0013，0.003]，總的HIPPS 系統(tǒng)的的PFDavg 主要分布在[0.000 3，0.005]。

圖5 蒙特卡洛計算PFDavg結(jié)果的直方圖Fig.5 Histogram of the results of Monte Carlo calculation of PFDavg

仿真的精確值見表3，將各子系統(tǒng)的PFDavg相加得到總的HIPPS 系統(tǒng)的PFDavg 值。SPN-蒙特卡洛模型的計算結(jié)果中PFDavg 均在95%的置信區(qū)間內(nèi)，說明仿真結(jié)果滿足SIL的計算要求。累計密度函數(shù)（CDF）包含了直方圖相同的信息，但噪聲更少，且不存在分段問題，可用CDF 檢驗結(jié)果是否包含在所需的SIL 等級內(nèi)，經(jīng)計算概率p(X＜0.01)=1，說明95%的仿真結(jié)果滿足所需的SIL等級。

表3 HIPPS系統(tǒng)SIL驗證計算結(jié)果Tab.3 SIL verification calculation results of HIPPS system

與可靠性框圖法相比，各子系統(tǒng)的PFDavg 均在同一數(shù)量級上，說明兩種方法的計算結(jié)果具有一致性，其SIL等級不會改變。但SPN-蒙特卡洛模型可在不改變原有模型結(jié)構(gòu)的基礎(chǔ)上擴展系統(tǒng)的狀態(tài)，可考慮系統(tǒng)動態(tài)變化及維修計劃實施的影響，也可進行部分功能測試周期的擴展，因此該模型具有更好的適用性和科學性。對比3個子系統(tǒng)，執(zhí)行器系統(tǒng)的SIL 等級較高，但整個HIPPS 系統(tǒng)的SIL等級由傳感器和執(zhí)行器子系統(tǒng)決定，因此在進行儀表自控設(shè)計時應(yīng)注重各子系統(tǒng)SIL 等級的分配（圖6）。

圖6 PFDavg的共享分布圖Fig.6 Shared distribution map of PFDavg

5 結(jié)論

（1）建立基于SPN 模型的SIL 驗證模型，解決了傳統(tǒng)模型擴展能力和表達能力差的問題，在不改變原有模型結(jié)構(gòu)的基礎(chǔ)上可實現(xiàn)數(shù)據(jù)的動態(tài)分析。

（2）針對部分參數(shù)的不確定性，采用蒙特卡洛進行逼近模擬，以氣液分離器HIPPS 系統(tǒng)進行分析，采用累積密度函數(shù)對SPN-蒙特卡洛計算結(jié)果中95%置信區(qū)間進行驗證，仿真結(jié)果滿足所需的SIL等級，說明本文算法具有一定的可靠性。

（3）整個HIPPS 系統(tǒng)中執(zhí)行器系統(tǒng)的SIL 等級較高，最終的SIL 等級由傳感器和執(zhí)行器子系統(tǒng)決定。