高帥，左信，張惠良

（1.中國(guó)石油大學(xué)（北京），北京102249；2.北京安穩(wěn)優(yōu)科技有限公司，北京102200）

在石油／天然氣、化工、發(fā)電等為代表的過(guò)程工業(yè)領(lǐng)域，安全儀表系統(tǒng)（SIS）已經(jīng)廣泛應(yīng)用于不同的工藝或設(shè)備防護(hù)場(chǎng)合，保護(hù)人員、生產(chǎn)設(shè)備及環(huán)境。由于系統(tǒng)結(jié)構(gòu)、硬件及軟件的復(fù)雜程度不同、周圍環(huán)境氣候的影響及維護(hù)不當(dāng)?shù)仍颍琒IS不可避免地存在著一定的安全性問(wèn)題［1－2］。IEC61508和IEC61511標(biāo)準(zhǔn)頒布后，以安全生命周期為框架，SIS從概念、設(shè)計(jì)、實(shí)施、操作、維護(hù)到系統(tǒng)改造等實(shí)踐活動(dòng)都有了可依據(jù)的標(biāo)準(zhǔn)，從而保證其功能安全。IEC61511［3］建議在SIS工程設(shè)計(jì)前、安裝調(diào)試前、操作和維修過(guò)程中、修改前和停用前等五處節(jié)點(diǎn)進(jìn)行功能安全評(píng)估。筆者結(jié)合某公司重油催化裝置壓縮機(jī)組和三機(jī)組2套獨(dú)立的SIS，使用可靠性評(píng)估軟件Isograph和功能安全評(píng)估軟件exSILentia，分別對(duì)SIS進(jìn)行可靠性分析和功能安全評(píng)估，并討論SIS在實(shí)際運(yùn)行中如何提高運(yùn)行可靠性及保證其功能安全的措施。

1 SIS的可靠性分析與功能安全評(píng)估

可靠性和安全性理論及工程研究是建立在概率和統(tǒng)計(jì)理論基礎(chǔ)之上，但要成功評(píng)價(jià)一個(gè)系統(tǒng)的可靠性，需要了解系統(tǒng)中所使用的元件、元件的失效模式及其對(duì)系統(tǒng)的影響、系統(tǒng)失效模式和系統(tǒng)環(huán)境中失效應(yīng)力的來(lái)源［3－5］。通過(guò)對(duì)過(guò)程控制系統(tǒng)失效的原因分析，根據(jù)IEC61508及IEC61511標(biāo)準(zhǔn)，筆者把對(duì)系統(tǒng)結(jié)構(gòu)的劃分和安全功能回路的辨析兩部分相結(jié)合，既從系統(tǒng)結(jié)構(gòu)入手，定性的討論其可靠性，又從功能安全回路SIL核算入手，定量地討論其安全性，最后結(jié)合兩方面的結(jié)果給出整改意見(jiàn)。具體流程如圖1所示。

1.1 SIS的故障樹(shù)分析

故障樹(shù)分析FTA（Fault Tree Analysis）是采用邏輯符號(hào)，并用可靠性框圖（Reliability Block Diagram）的方式將邏輯門按照發(fā)生的邏輯條件連接起來(lái)，形成樹(shù)狀結(jié)構(gòu)［6］。筆者采用故障樹(shù)分析故障傳遞的路徑，對(duì)SIS關(guān)鍵環(huán)節(jié)進(jìn)行詳細(xì)分析。

1.8 Mt／a重油催化裝置是某石化分公司的關(guān)鍵裝置之一，其運(yùn)行的平穩(wěn)性和可靠性不僅影響該裝置的經(jīng)濟(jì)效益，同時(shí)還影響其他裝置的運(yùn)行平穩(wěn)性（其為氣分裝置提供原料，而氣分裝置又為聚丙烯提供原料）［5］，因而對(duì)裝置生產(chǎn)的可靠性和安全性要求很高。

對(duì)重催裝置SIS現(xiàn)場(chǎng)的調(diào)研和從現(xiàn)場(chǎng)收集的資料進(jìn)行分析，找出可能存在的故障事件，并根據(jù)其故障事件所引起的故障表現(xiàn)，從系統(tǒng)級(jí)的角度，分別對(duì)SIS主控系統(tǒng)、SIS工程師站、SIS操作員站三大塊對(duì)其進(jìn)行定性的可靠性分析。

主控系統(tǒng)是SIS控制系統(tǒng)的關(guān)鍵部分，該裝置SIS主控系統(tǒng)均采用Tricon TS3000系統(tǒng)，主要由控制器MP，I／O模塊，TCM模塊以及電源模塊構(gòu)成。由I／O模件通過(guò)安全柵與現(xiàn)場(chǎng)儀表相連，采集現(xiàn)場(chǎng)數(shù)據(jù)，并直接實(shí)現(xiàn)對(duì)生產(chǎn)系統(tǒng)的聯(lián)鎖保護(hù)。通過(guò)Isograph軟件對(duì)SIS進(jìn)行故障樹(shù)分析，首先找出直接導(dǎo)致頂事件發(fā)生的各種可能因素或因素組合，這些因素包括功能故障、部件不良、程序錯(cuò)誤、人為錯(cuò)誤、環(huán)境影響等，而后再找出第一步中各因素的直接原因。按此方法逐級(jí)向下演繹，直到找出各個(gè)基本事件為止［7］。本文從系統(tǒng)級(jí)的角度，以SIS故障作為頂事件，分別分成主控系統(tǒng)故障、工程師站故障以及操作員站故障。主控系統(tǒng)故障又分成系統(tǒng)硬件失效、系統(tǒng)軟件失效、通信運(yùn)行失效、電源失效和接地失效。再將每個(gè)失效因素細(xì)分至各故障基本事件。工程師站和操作員站按照同樣的思路進(jìn)行分析，最終得到的某重油催化裝置SIS的故障樹(shù)包含了一個(gè)頂事件、71個(gè)中間失效事件和125個(gè)基本事件，該故障樹(shù)還表達(dá)了失效事件之間的邏輯關(guān)系。經(jīng)過(guò)綜合分析發(fā)現(xiàn)，導(dǎo)致SIS主控系統(tǒng)、工程師站和操作員站故障的主要原因見(jiàn)表1所列，在日常運(yùn)行以及維護(hù)中應(yīng)著重考慮。

表1 導(dǎo)致SIS各系統(tǒng)故障的各部件失效原因

1.2 SIL核算與評(píng)估

筆者對(duì)某重油催化用SIS的功能安全進(jìn)行分析，主要是對(duì)SIL等級(jí)進(jìn)行核算與評(píng)估，具體分析步驟如下：

a）根據(jù)已有的聯(lián)鎖邏輯，識(shí)別出包括在聯(lián)鎖邏輯中的各SIF回路。

續(xù) 表1

b）針對(duì)每個(gè)SIF回路，確定其回路中的設(shè)備，包括傳感器、邏輯控制器、最終執(zhí)行元件，還包括回路中的輔助設(shè)備，如安全柵、繼電器等。

c）針對(duì)每個(gè)SIF回路中的設(shè)備，選擇數(shù)據(jù)源確定失效率λ。失效數(shù)據(jù)大部分來(lái)自exSILentia軟件中嵌入的美國(guó)EXIDA公司的《Safety Equipment Reliability Handbook》失效數(shù)據(jù)庫(kù)［8］。exSILentia能夠提供完整的SIL選擇、安全要求規(guī)范和SIL驗(yàn)證，其結(jié)合了廠商設(shè)備相關(guān)數(shù)據(jù)，包括了幾百個(gè)傳感器、邏輯解算器和執(zhí)行器產(chǎn)品［9］。其余數(shù)據(jù)來(lái)自儀表供貨商提供的可靠性數(shù)據(jù)、英國(guó)ESC公司的Failure Rate Database以及OREDA數(shù)據(jù)庫(kù)。

d）使用exSILentia軟件完成最終的SIL等級(jí)的計(jì)算。

e）將計(jì)算結(jié)果與目標(biāo)值進(jìn)行比較，確定是否滿足要求，若不滿足要求，則提出改進(jìn)措施。

以某氣壓機(jī)轉(zhuǎn)速保護(hù)控制回路為例，氣壓機(jī)轉(zhuǎn)速（傳感器SI001，SI002，SI003“三取二”）大于9 425r／min時(shí)，SIS將執(zhí)行聯(lián)鎖動(dòng)作——?dú)鈮簷C(jī)組停機(jī)：停汽輪機(jī)電磁閥cSCV2222，至放火炬DG300閥cPC1201B，富氣入口調(diào)節(jié)閥回零vHC1501，富氣出口調(diào)節(jié)閥回零vHC1502。按照上文提到的分析步驟，通過(guò)exSILentia軟件的使用，得到該功能安全回路的各單元功能安全參數(shù)表2以及SIF回路的功能參數(shù)表3，各個(gè)元件對(duì)PFDavg和MTTFS的貢獻(xiàn)率如圖2所示。

圖2 各個(gè)元件對(duì)PFDavg和MTTFS的貢獻(xiàn)率（2009exida.com.L.L.C.）

表2 SIF回路各單元功能安全參數(shù)

表3 SIF回路功能安全參數(shù)

從表2和表3可以看出，雖然傳感器和邏輯控制器單元的SIL分別為2級(jí)和3級(jí)，但整體回路的SIL僅為1級(jí)。該回路的風(fēng)險(xiǎn)降低因子RRF為18，結(jié)構(gòu)約束條件下的SIL也為1級(jí)。從圖2可以看出，SIS中的主控單元（Tricon系統(tǒng)）安全度等級(jí)較高，而檢測(cè)儀表和執(zhí)行機(jī)構(gòu)則相對(duì)較小。因此，檢測(cè)儀表和執(zhí)行機(jī)構(gòu)是SIS中的薄弱環(huán)節(jié)。圖2中傳感器對(duì)MTTFS的貢獻(xiàn)率較PFDavg而言有所提升，這說(shuō)明該SIF回路中的傳感器對(duì)誤停車的影響比對(duì)功能安全的影響更大。

該裝置的2套SIS在1998年投用之初，并沒(méi)有按照IEC61508和IEC61511的規(guī)定進(jìn)行安全生命周期中的評(píng)估和定級(jí)，即使是2005年和2009年的SIS升級(jí)改造也并沒(méi)有涉及相關(guān)內(nèi)容。因此，在該次評(píng)估過(guò)程中，需要根據(jù)現(xiàn)有實(shí)際裝置工藝配置和安全設(shè)備配備情況，重新確定SIS及SIF安全功能回路的SIL等級(jí)要求。筆者根據(jù)重油催化裝置SIS聯(lián)鎖邏輯圖，分解出不同的SIF安全儀表功能回路，綜合考慮危險(xiǎn)發(fā)生的可能性和危險(xiǎn)發(fā)生后的危害程度，采用風(fēng)險(xiǎn)矩陣法［10］，結(jié)合現(xiàn)場(chǎng)工藝人員和專家經(jīng)驗(yàn)，確定每一個(gè)SIF回路要求的SIL等級(jí)。項(xiàng)目中2套SIS的SIF回路確定的初步SIL等級(jí)主要集中在SIL1及SIL2級(jí)，一些關(guān)鍵的涉及重大安全隱患的回路設(shè)為SIL3級(jí)。將使用exSILentia軟件計(jì)算出來(lái)的SIL等級(jí)與設(shè)定級(jí)數(shù)進(jìn)行比較，得到表4的結(jié)果，企業(yè)需對(duì)未達(dá)標(biāo)的SIF回路進(jìn)行改進(jìn)之后再次進(jìn)行SIL核算直到完全符合標(biāo)準(zhǔn)。

表4 SIL評(píng)估結(jié)果統(tǒng)計(jì)

2 提高在役SIS運(yùn)行可靠性的關(guān)鍵措施

2.1 建立和完善SIS運(yùn)行維護(hù)管理制度

a）加強(qiáng)SIS的管理與維護(hù)是系統(tǒng)安全運(yùn)行的保證。建議制訂檢修、運(yùn)行和調(diào)試規(guī)程，將需要修改的內(nèi)容和措施形成文件，如量程修改、聯(lián)鎖修改或增加測(cè)點(diǎn)等。

b）進(jìn)一步完善控制操作室的管理制度，制定UPS電源定期試驗(yàn)制度、工程師站及操作員站程序更改審批制度等，在細(xì)節(jié)方面應(yīng)做明確規(guī)定，如顯示器、UPS電池等耗材的管理。

c）建立報(bào)警管理機(jī)制，各種硬件、軟件報(bào)警要及時(shí)進(jìn)行分類整理、匯總，各種冗余的硬件切換要能及時(shí)通知相關(guān)人員。

2.2 完善SIS功能安全管理規(guī)范

a）建議建立SIS定期檢驗(yàn)測(cè)試規(guī)程，結(jié)合企業(yè)實(shí)際生產(chǎn)情況對(duì)測(cè)試時(shí)間間隔、測(cè)試范圍、測(cè)試方法、測(cè)試用例、測(cè)試評(píng)判標(biāo)準(zhǔn)以及測(cè)試存在問(wèn)題的處理方法進(jìn)行規(guī)定。

b）建立SIS維護(hù)、修改的可追溯性文檔，包括：申請(qǐng)?zhí)岢?，功能評(píng)估，批準(zhǔn)、實(shí)施、確認(rèn)等相關(guān)文檔。

c）建立SIS操作員和維護(hù)人員的技能和安全知識(shí)的培訓(xùn)，并評(píng)估他們的培訓(xùn)是否充分，并建立可追溯性記錄文檔。

d）完善檢驗(yàn)測(cè)試結(jié)果的可追溯性文檔。

2.3 安全功能回路整改

通過(guò)exSILentia軟件對(duì)功能安全回路SIL等級(jí)的核算，建議對(duì)重油催化2套SIS未達(dá)標(biāo)的11個(gè)SIF回路進(jìn)行整改，具體方法如下：

a）在SIS聯(lián)鎖回路可靠性降到最低限以前，應(yīng)及時(shí)維護(hù)或更換新儀表、執(zhí)行機(jī)構(gòu)。

b）當(dāng)SIF回路的SIL等級(jí)不達(dá)標(biāo)時(shí)，由于執(zhí)行單元是整個(gè)SIF回路的薄弱環(huán)節(jié)，可以嘗試調(diào)整該回路中執(zhí)行單元的檢驗(yàn)周期，再進(jìn)行SIL核算。

c）增加安全儀表檢測(cè)手段，提高故障檢測(cè)覆蓋率。

d）若系統(tǒng)冗余結(jié)構(gòu)裕度不達(dá)標(biāo)，則需要通過(guò)功能安全管理相關(guān)規(guī)定，調(diào)整該回路的冗余結(jié)構(gòu)或在影響其SIL等級(jí)的部分，如檢測(cè)機(jī)構(gòu)或執(zhí)行機(jī)構(gòu)更換SIL等級(jí)更高的儀表來(lái)滿足SIL等級(jí)的需求。

e）重油催化裝置已經(jīng)運(yùn)行數(shù)年，積累了裝置運(yùn)行經(jīng)驗(yàn)與風(fēng)險(xiǎn)認(rèn)識(shí)，建議進(jìn)行一次裝置生產(chǎn)的過(guò)程危險(xiǎn)與風(fēng)險(xiǎn)評(píng)估，使得SIS的SIL符合當(dāng)前的安全生產(chǎn)要求。

3 結(jié)束語(yǔ)

隨著工業(yè)規(guī)模的不斷擴(kuò)大，SIS的可靠性和安全性對(duì)于化工企業(yè)的安全生產(chǎn)至關(guān)重要。將IEC61508及IEC61511運(yùn)用到實(shí)際的SIS工程實(shí)踐中，并不是一蹴而就的事情，在SIS工程實(shí)踐中，還有許多方面的工作要做。筆者一方面利用Isograph故障樹(shù)軟件，通過(guò)對(duì)重油催化SIS進(jìn)行可靠性分析，找到SIS失效的各種原因及邏輯關(guān)系，得出SIS中應(yīng)維護(hù)的環(huán)節(jié)及元件內(nèi)容；另一方面，使用exSILentia軟件對(duì)SIF回路進(jìn)行SIL評(píng)估。最后綜合可靠性分析與SIL等級(jí)核算，對(duì)重油催化在用SIS提出維護(hù)及整改建議，對(duì)提高SIS的可靠性、充分發(fā)揮SIS的功能安全具有現(xiàn)實(shí)意義。

［1］ 劉建侯.石化工業(yè)儀表安全系統(tǒng)安全生命周期要求和安全完整性等級(jí)的評(píng)估［J］.石油化工自動(dòng)化.2007，43（02）：1－4.

［2］ 王秉義，張惠良，左信.SIS安全聯(lián)鎖功能可用性分析［J］.石油化工自動(dòng)化.2012，48（01）：13－17.

［3］ IEC.IEC 61511－1～3Functional Safety－safety Instrumented Systems for the Process Industry Sector［S］.IEC，2004.

［4］ IEC.IEC 61508－1～6Functional Safety of Electrical／Electronic／Programmable Electronic Safety－related Systems，International Electrotechnical Commission［S］.IEC，2000.

［5］ ISA.ISA－TR 84.00.0—2002Safety Instrumented Functions（SIF）－Safety Integrity Level（SIL）Evaluation Techniques［S］.The Instrumentation System and Automation Society，2002.

［6］ 曹晉華.GB 7829—87電工電子產(chǎn)品可靠性與維修性標(biāo)準(zhǔn)：故障樹(shù)分析程序［S］.北京：中國(guó)標(biāo)準(zhǔn)出版社，1987.

［7］ 陽(yáng)憲惠，郭海濤.安全儀表系統(tǒng)的功能安全［M］.北京：清華大學(xué)出版社，2007.

［8］ Exida.Safety Equipment Reliability Handbook－3rd Edition［M］.Exida.com LLC，2007.

［9］ 華镕.安全相關(guān)的標(biāo)準(zhǔn)，評(píng)估和認(rèn)證機(jī)構(gòu)［J］.儀器儀表標(biāo)準(zhǔn)化與計(jì)量，2008（02）：20－23.

［10］ 李樹(shù)清，顏智，段瑜.風(fēng)險(xiǎn)矩陣法在危險(xiǎn)有害因素分級(jí)中的應(yīng)用［J］.中國(guó)安全科學(xué)學(xué)報(bào)，2010，20（04）：83－87.