陳 彥，陳超聲

（中國石油西部管道公司，烏魯木齊 830013）

0 引言

大多石化生產(chǎn)過程存在高溫、高壓、易燃、易爆、有毒等介質(zhì)，當(dāng)某些參數(shù)超出可控范圍，未及時被發(fā)現(xiàn)和正確處理時，將有可能造成物質(zhì)財產(chǎn)損失、人員傷亡、環(huán)境污染等嚴(yán)重事故[1]，例如1984年印度博帕爾農(nóng)藥廠甲基異氰酸鹽泄漏，造成近兩萬人死亡，約5萬人失明，20多萬人受害，受害面積40平方公里。為了降低潛在風(fēng)險，保護(hù)工藝設(shè)備和人員的安全，減少財產(chǎn)損失和安全事故，需要采取一個有效的安全防護(hù)裝置為過程工藝和設(shè)備提供一層安全保障[2]，即安全儀表控制系統(tǒng) SIS（Safety Instrument System）。

1 安全儀表系統(tǒng)及其功能安全

1.1 安全儀表系統(tǒng)簡介

站Mokveld閥門的HIPPS系統(tǒng)。本文中僅對站場ESD系統(tǒng)做進(jìn)一步分析研究。

1.2 安全儀表系統(tǒng)的安全功能和功能安全

SIS是一種遵循相應(yīng)設(shè)計要求，具有相應(yīng)安全完整性水平，用于防止事故的發(fā)生或降低事故帶來的危害及其影響的安全保護(hù)系統(tǒng)。SIS由檢測元件(開關(guān)、變送器等)、邏輯控制單元（輸入模塊、邏輯運算模塊和輸出模塊）和執(zhí)行元件組成（電磁閥、調(diào)節(jié)閥等）[3]。

按照SIS的定義，以下系統(tǒng)均屬于安全儀表系統(tǒng)：緊急停車系統(tǒng)ESD(Emergency Shutdown Systems)、高完整性壓力保護(hù)系統(tǒng)HIPPS(High Integrity Protection System)、列車自動防護(hù)系統(tǒng)ATP(Automatic Train Protection)等。

在西氣東輸二線工程（下文簡稱西二線）中，站場上涉及到的SIS包括站場ESD系統(tǒng)、壓縮機組ESD系統(tǒng)和聯(lián)絡(luò)

SIS的安全功能：用一個或多個檢測元件、邏輯控制單元、執(zhí)行元件來防止或減少危險事件發(fā)生或保持過程安全狀態(tài)。西二線站場ESD系統(tǒng)的安全功能就是當(dāng)站場工藝中出現(xiàn)諸如可燃?xì)?、火焰探測器等報警或調(diào)控中心和站場ESD命令觸發(fā)時，運行緊急停運機制，執(zhí)行關(guān)閉進(jìn)出站閥門、開啟越站閥門、停運壓縮機組、停運廠房風(fēng)機、開啟放空閥門、觸發(fā)聲光報警等一系列動作，以避免可能出現(xiàn)的安全事故，減小物質(zhì)財產(chǎn)損失和人員傷亡。

SIS的功能安全：設(shè)備安全的一部分，取決于安全儀表系統(tǒng)系統(tǒng)在必要的時候的正確執(zhí)行。對功能安全進(jìn)行分析的目的是：避免由于安全儀表系統(tǒng)在故障或者失效的情況下導(dǎo)致的風(fēng)險。

根據(jù)國際電工委員會IEC61508中的定義，甄別SIS的功能安全主要可以通過兩種途徑:失效識別和安全完整性水平(SIL，safety integrity level)判斷。

本文主要通過分析安全完整性水平來評價SIS的功能安全。

通常來講，石化生產(chǎn)過程中所采用的SIS均屬于低要求操作模式（IEC61508將安全功能的生產(chǎn)過程工藝定義為低要求操作模式和高要求操作模式）。在低要求操作模式下，SIL等級的定義由平均失效概率（PFDavg，average probability of failure on demand）來表示，如表1所示。

表1 SIL等級與PFDavg的對應(yīng)關(guān)系

PFD=MTTR/(MTBF+MTTR)

PFD：失效概率；

MTTR（Mean Time to Repair）:平均修復(fù)時間；

MTBF（Mean Time Between Failure）: 平均無故障工作時間。

T：時間間隔，實際計算中用TI（建議測試間隔）替代。

2 西二線站場安全儀表系統(tǒng)的功能安全的分析與建議

注：此次分析著重針對關(guān)鍵設(shè)備（生產(chǎn)中承擔(dān)關(guān)鍵工序的設(shè)備），對如進(jìn)排風(fēng)機、喇叭等數(shù)量眾多，且功能安全對整個站場ESD系統(tǒng)的功能實現(xiàn)影響不大的設(shè)備，不做分析討論。

因為站場ESD系統(tǒng)所有輸入和輸出模塊都經(jīng)過浪涌保護(hù)器與現(xiàn)場設(shè)備隔離，故暫不考慮因回路內(nèi)增加一個浪涌保護(hù)器對SIL等級的影響。

2.1 檢測元件

2.1.1 對功能安全的分析

表2 分析檢測元件的SIL等級

6 Shafer氣液聯(lián)動執(zhí)行機構(gòu)，SIL等級未知無未知 無7 ESD按鈕AVW332R，SIL等級未知無未知 無8 Net Safety火焰探測器，SIL等級未知無未知（如火焰探測器為SIL1，則回路達(dá)到SIL2）有，已接廠房內(nèi)每個區(qū)域同時被3個火焰探測器監(jiān)視，回路采用“2oo3”冗余結(jié)構(gòu)9 Optima PLUS可燃?xì)怏w探測器，SIL等級未知無未知（如可燃?xì)怏w探測器為SIL1，則回路達(dá)到SIL2）有，已接考慮到氣體的擴散性，回路至少實現(xiàn)了“2oo3”冗余結(jié)構(gòu)

2.1.2 對功能安全的說明與建議

1）羅斯蒙特壓力變送器和溫度變送器都達(dá)到SIL2，回路采用“2oo3”冗余結(jié)構(gòu)[4]。利用故障樹分析法(FTA，F(xiàn)ault Tree Analysis)，如圖1所示，因3個變送器的PFD1oo1avg相等，得PFD2oo3avg=3（PFD1oo1avg）2+（PFD1oo1avg）3，該回路可以達(dá)到SIL3。

圖1 2oo3冗余結(jié)構(gòu)的PFD故障樹

2）壓縮機控制系統(tǒng)需給站場ESD系統(tǒng)傳送壓縮機帶壓/不帶壓ESD反饋、壓縮機運行/停止、就地/遠(yuǎn)控等信號，這些信號十分重要，不僅關(guān)系到站場ESD邏輯，還關(guān)系到壓縮機遠(yuǎn)程啟/停邏輯，因為中間環(huán)節(jié)采用魏德米勒繼電器DRM270024L將濕接點（壓縮機控制系統(tǒng)的輸出通道均帶有24VDC）轉(zhuǎn)換為干接點，但該繼電器未找到SIL等級認(rèn)證，考慮到該繼電器采用機械觸點方式，易發(fā)生觸頭磨損、污染、粘結(jié)及機械振動、慣性等問題，故將其認(rèn)定為比SIL1更低，故該回路的SIL等級只能是SIL1或者更低[5]，西二線運行至今，已發(fā)生多起因繼電器故障而導(dǎo)致的信號中斷。建議將繼電器型號更換為歐姆龍安全繼電器G7SA—2A2B（繼電器達(dá)到SIL2，且為西三線站場ESD系統(tǒng)的繼電器型號），使回路達(dá)到SIL2。

3）RMG安全截斷閥應(yīng)用在分輸計量撬上，回路采用“1oo2”冗余結(jié)構(gòu)，即一條線路上有兩個RMG安全截斷閥。利用故障樹分析法(FTA)，如圖2所示，因2個安全截斷閥的PFD1oo1avg相等，得出PFD1oo2avg=（PFD1oo1avg）2，因為RMG安全截斷閥達(dá)到SIL1，該回路可以達(dá)到SIL2。

4）“Shafer氣液聯(lián)動執(zhí)行機構(gòu)的SIL等級未知”將在執(zhí)行元件的功能安全分析中做詳細(xì)說明。

圖2 1oo2冗余結(jié)構(gòu)的PFD故障樹

5）ESD按鈕（型號：AVW332R）SIL等級未知，但在和泉按鈕的產(chǎn)品手冊中查到“注： AVW3按鈕開關(guān)不能作為緊急停止開關(guān)使用。若需使用緊急停止開關(guān)時，請使用XW 或HW 系列按鈕開關(guān)?！苯ㄗh采用和泉按鈕的XW 或HW 系列按鈕開關(guān)，使ESD按鈕具備“直接開路動作功能”（即使萬一NC觸點被熔接，也能通過外力按壓按鈕強制斷開NC觸點，切實切斷電路）和“安全鎖定結(jié)構(gòu)”（即使因疏忽接觸到按鈕，NC觸點也不會斷開直至操作部的機構(gòu)被鎖定為止），以上兩種功能是IEC60947-5-5的強制要求。

6）Net Safety火焰探測器和Optima PLUS可燃?xì)怏w探測器的SIL等級均未知，但因回路實現(xiàn)了“2oo3”冗余結(jié)構(gòu)，借鑒2.1.2中1）的分析結(jié)果，如探測器達(dá)到SIL1，則回路達(dá)到SIL2；如探測器達(dá)到SIL2，則回路達(dá)到SIL3。

2.2 邏輯控制單元

2.2.1 對功能安全的分析

表3 分析邏輯控制單元的SIL等級

表4 SM輸入輸出模塊的診斷類型和解釋

2.2.2 對功能安全的說明與建議

1）根據(jù)GB/T50770-2013“8.5.6需要線路檢測的回路，應(yīng)采用帶有線路短路和開路檢測功能的輸入、輸出卡”，建議將“數(shù)字輸入模塊SDI-1624”改為“帶接地故障監(jiān)控的安全在線監(jiān)測數(shù)字輸入模塊SDIL-1608”，將“數(shù)字輸出模塊SDO-0824”改為“安全環(huán)監(jiān)測數(shù)字輸出模塊SDOL-0424”——因為SDIL-1608和SDOL-0424具備所有診斷類型，即能滿足線路短路和開路的檢測功能，需要提出的是，如果更換SDIL-1608，需相應(yīng)更換現(xiàn)場的ESD按鈕，如圖3所示，只能提供閉合/斷開兩種狀態(tài)，改造后的按鈕如圖4所示，通過串聯(lián)1K電阻和并聯(lián)10K電阻，達(dá)到能提供閉合/斷開/斷路/短路，如圖4所示。

圖3 原先ESD按鈕結(jié)構(gòu)

圖4 改造后ESD按鈕結(jié)構(gòu)

2）改用“SDIL-1608”另一原因：由于SDI-1624模塊沒有開路的檢測功能，無法區(qū)分線纜中斷和拍下ESD按鈕的區(qū)別，因此經(jīng)常發(fā)生由于線纜中斷而導(dǎo)致的站場ESD誤觸發(fā)事件，導(dǎo)致站場天然氣大量放空，造成巨大經(jīng)濟(jì)損失。僅西二線西段2010年及2013年就因線纜中斷而誤觸發(fā)全站ESD至少7次。如改用SDIL-1608模塊，將有效避免以上事件的發(fā)生。

3）改用“SDOL-0424”另一原因：SDOL-0424 模塊能提供4個通道，每個通道24 VDC, 最大帶負(fù)載能力為1 A和24 W；SDO-0824模塊提供8個通道，每個通道24 VDC, 最大帶負(fù)載能力為0.55A和13W。Shafer氣液聯(lián)動閥的ESD電磁閥的額定功率為7.2W，額定的工作電流為0.3A,假設(shè)2.5mm2的銅芯軟導(dǎo)線電阻率為10Ω/km，現(xiàn)場到機柜間的距離為2km，線路上電阻為40Ω，線路上消耗功率3.6W,如再加上多個端子上的接觸電阻，整個回路上消耗的功率將接近或超過SDO-0824模塊所能提供的13W。西二線現(xiàn)在的做法：將電源模塊的24VDC的正極通過繼電器的常閉觸點接到電磁閥，以保證對其的驅(qū)動，這種做法增加了不可靠的中間環(huán)節(jié)，大幅度增加PFDavg，如果改用SDOL-0424 模塊，不需再接入繼電器就能保證對電磁閥的驅(qū)動。

2.3 執(zhí)行元件

2.3.1 對功能安全的分析

表5 分析執(zhí)行元件的SIL等級

3 RMG安全截斷閥，SIL1 無 SIL2 無回路采用“1oo2”冗余結(jié)構(gòu)，達(dá)到SIL2等級4 Shafer氣液聯(lián)動執(zhí)行機構(gòu)，SIL等級未知有，魏德米勒繼電器 未知 無

2.3.2 對功能安全的說明與建議

1）壓縮機控制系統(tǒng)需接收站場ESD系統(tǒng)傳送的壓縮機不帶壓ESD命令，因為中間環(huán)節(jié)采用繼電器將濕接點（壓縮機控制系統(tǒng)的輸入通道均帶有24VDC）轉(zhuǎn)換為干接點，由2.1.2中2）的分析得出：建議將更換繼電器型號，使回路達(dá)到SIL2。

2）RMG安全截斷閥應(yīng)用在分輸計量撬上，回路采用“1oo2”冗余結(jié)構(gòu)，即一條線路上游兩個RMG安全截斷閥，當(dāng)觸發(fā)ESD命令時，兩個截斷閥同時動作，借鑒2.1.2中3）的分析結(jié)論，回路達(dá)到SIL2。

3）Shafer氣液聯(lián)動執(zhí)行機構(gòu)存在中間環(huán)節(jié)繼電器：借鑒2.2.2中3）的分析結(jié)論，建議邏輯控制單元中改用SDOL-0424模塊，即可省去中間環(huán)節(jié)，如若暫時不能改用模塊，也應(yīng)該更換繼電器型號。

4）Shafer氣液聯(lián)動執(zhí)行機構(gòu)的SIL等級未知，且在每年的站場ESD系統(tǒng)測試過程中，Shafer氣液聯(lián)動執(zhí)行機構(gòu)的確是最容易發(fā)生故障的設(shè)備，且一旦發(fā)生故障，將嚴(yán)重影響站場ESD邏輯的執(zhí)行。建議措施：以西二線精河壓氣分輸站的Shafer氣液聯(lián)動執(zhí)行機構(gòu)ESD1201為例，如圖5所示，可將Rotork電動執(zhí)行機構(gòu)XV1203所有信號接入站場ESD系統(tǒng)中，參與到ESD邏輯中，與ESD1201構(gòu)成“1oo2”冗余結(jié)構(gòu)，即當(dāng)ESD觸發(fā)時，ESD1201和XV1203將同時收到ESD命令，執(zhí)行關(guān)閥動作，因為Rotork電動執(zhí)行機構(gòu)達(dá)到SIL2，所以該回路能達(dá)到SIL2，但也需考慮Rotork電動執(zhí)行機構(gòu)動作時間相對較長對ESD邏輯造成的影響。

圖5 ESDV1201與XV1203位置示意

3 結(jié)束語

2013年9月1日施行的國家標(biāo)準(zhǔn)GB/T50770-2013《石油化工安全儀表系統(tǒng)設(shè)計規(guī)范》參考了IEC61508和IEC61511，標(biāo)志我國的安全儀表系統(tǒng)的設(shè)計工作已經(jīng)走上了規(guī)范化，也為我們尋找現(xiàn)有安全儀表系統(tǒng)的缺陷和不足提供了依據(jù)。上文對西二線站場ESD系統(tǒng)的功能安全分析只是從現(xiàn)場維護(hù)人員的角度做的一次有益嘗試，我們的愿景是嚴(yán)格遵循國內(nèi)外關(guān)于SIS的通用技術(shù)規(guī)范和參考，為投用工程的SIS優(yōu)化提供建議，為擬建工程的SIS設(shè)計嚴(yán)格把關(guān)。□

[1] 鄭斌.天然氣凈化裝置DCS/ESD系統(tǒng)獨立設(shè)置要求[J].石油與天然氣化工,2010:70-72,86.

[2] 路紅梅.安全PLC系統(tǒng)在ESD系統(tǒng)中的應(yīng)用[J].宿州師專學(xué)報,2001:47-48,86.

[3] 楊斌,李銳,候山,等.蘇里格氣田天然氣處理廠ESD系統(tǒng)標(biāo)準(zhǔn)化方案探究[J].石油化工應(yīng)用,2012:84-87.

[4] 路永宇.提高ESD系統(tǒng)可靠性的途徑[J].化工自動化及儀表,2011:88-90.

[5] 臧振勝.SIS設(shè)計中應(yīng)注意的幾個問題[J].中國儀器儀表,2012:162-166