王 耀 ，王新寧 ，王 疆

（1.北京國電智深控制技術(shù)有限公司，北京 102200；2.北京市電站自動化工程技術(shù)研究中心，北京 102200；3.國電建投內(nèi)蒙古能源有限公司，內(nèi)蒙古 017209）

鍋爐爐膛安全監(jiān)控系統(tǒng)FSSS作為鍋爐設(shè)備專門的保護系統(tǒng)廣泛應(yīng)用于大型火力發(fā)電機組的鍋爐保護中，它包括燃燒器控制系統(tǒng)BCS和爐膛安全系統(tǒng)FSS兩大部分。在DCS的邏輯設(shè)計中，BCS主要是控制燃燒器（煤燃燒器、油燃燒器、等離子燃燒器等）的順啟、順停、聯(lián)鎖、投切等，使各個設(shè)備按照規(guī)定的動作執(zhí)行；FSS是保障鍋爐設(shè)備的安全穩(wěn)定的運行，當(dāng)鍋爐設(shè)備出現(xiàn)危險工況時，迅速切斷進入鍋爐爐膛內(nèi)的所有燃料，防止燃料聚積[1]。

目前，國內(nèi)火力發(fā)電機組FSSS的設(shè)計及項目實施過程中所依據(jù)的標(biāo)準(zhǔn)中并沒有提及對FSSS的軟、硬件進行功能安全分析、評估、SIL等級驗證的要求[2-6]。在實際工程設(shè)施中，F(xiàn)SSS的硬件配置和軟件組態(tài)大多按照以往的項目經(jīng)驗進行，設(shè)備安裝、調(diào)試完成后也不對FSSS進行安全性分析，驗證其能否滿足用戶規(guī)定的安全性和可靠性的要求，能否達(dá)到一定的安全等級。功能安全評估是以IEC61508標(biāo)準(zhǔn)為理論背景，以安全生命周期為分析框架，以安全完整性等級為評價指針，基于風(fēng)險的安全技術(shù)和管理模式。參照IEC61508標(biāo)準(zhǔn)對火力發(fā)電機組FSSS進行功能安全分析、評估，能將安全生命周期的概念融入到整個系統(tǒng)中即實現(xiàn)將系統(tǒng)設(shè)計、選型、硬件配置、軟件組態(tài)、系統(tǒng)集成、安裝調(diào)試、運行維護等形成一個統(tǒng)一的整體，明確FSSS應(yīng)該承擔(dān)的風(fēng)險，合理設(shè)計FSSS的硬件配置、選型，制定完備的維護、檢修方案。同時，在確保鍋爐爐膛安全監(jiān)控系統(tǒng)的安全功能滿足用戶要求時，減少追求過高的安全性產(chǎn)生的資源和成本的浪費，具有一定的工程應(yīng)用價值。在此，以國內(nèi)某1000 MW機組二期項目FSSS為范例，結(jié)合功能安全標(biāo)準(zhǔn)IEC61508對其進行功能安全分析及評估。

1 電站鍋爐爐膛的保護層分析

1.1 場景分析

電站鍋爐爐膛的外爆和內(nèi)爆的場景分析如圖1和圖2所示。

圖1 電站鍋爐爐膛外爆的場景路徑Fig.1 Scenario path of boiler furnace external explosion

圖2 電站鍋爐爐膛內(nèi)爆的場景路徑Fig.2 Scenario path of boiler furnace external implosion

1.2 確定初始事件頻率

初始事件主要包括設(shè)備故障失效、人因失效、外部環(huán)境觸發(fā)事件。鍋爐爐膛內(nèi)爆原因包括送風(fēng)機和引風(fēng)機不正常運行、磨煤機、給煤機故障導(dǎo)致燃料輸入短時間內(nèi)急劇較少、主燃燒跳閘MFT。鍋爐爐膛外爆原因包括全爐膛滅火、火焰檢測喪失、爐膛吹掃的風(fēng)量大于40%總風(fēng)量導(dǎo)致陰燃物揚起、燃料漏落入爐膛、爐膛吹掃未完成就進行點火操作等。初始事件發(fā)生的頻率大小一般以每年或者106h事件發(fā)生的次數(shù)表示，其數(shù)據(jù)來源為設(shè)備廠家提供的數(shù)據(jù)、公司以往的項目經(jīng)驗、該行業(yè)平均行業(yè)數(shù)據(jù)等。在此，根據(jù)工業(yè)失效數(shù)據(jù)庫OREDA數(shù)據(jù)庫中的數(shù)據(jù)，同時依據(jù)《電力安全事故等級劃分標(biāo)準(zhǔn)》及國家電網(wǎng)電力公司統(tǒng)計調(diào)研的數(shù)據(jù)，確定內(nèi)爆和外爆的發(fā)生頻率分別為31次/a和16次/a。

1.3 場景風(fēng)險量化

電站鍋爐爐膛外爆（內(nèi)爆的保護層分析和外爆相似）的保護層分析如圖3所示。觸發(fā)事件的頻率為0.3，過程工藝的PFD設(shè)為10-1，燃燒器管理系統(tǒng)的PFD設(shè)為10-1，操作運行人員干涉/調(diào)整的PFD設(shè)為10-1，MFT系統(tǒng)的PFD設(shè)為10-2，則根據(jù)保護層分析的結(jié)果可以計算出：

圖3 電站鍋爐爐膛外爆保護層分析Fig.3 Layer of protection analysis diagram of boiler furnace external explosion

2 電站鍋爐FSSS目標(biāo)SIL等級的定性確定

根據(jù)IEC61508標(biāo)準(zhǔn)第5部分——SIL等級的方法示例中附錄E給出的風(fēng)險矩陣法定性確定FSSS的目標(biāo)SIL等級。利用風(fēng)險矩陣法對事故發(fā)生后造成的后果和事故發(fā)生的概率進行分類，見表1，表2。根據(jù)上述對電站鍋爐爐膛外爆和內(nèi)爆保護層分析的結(jié)果，確定鍋爐爆炸的可能性為中，參照《電力安全事故等級劃分標(biāo)準(zhǔn)》中事故后果嚴(yán)重程度的劃分，選擇鍋爐爐膛內(nèi)爆和外爆造成的后果為嚴(yán)重。

表1 事故發(fā)生造成后果嚴(yán)重程度分類Tab.1 Accident consequence classifications

表2 事故發(fā)生可能性分類Tab.2 Accident probability classifications

對不采用FSSS系統(tǒng)的爐膛內(nèi)爆和外爆事故后果及可能性構(gòu)建風(fēng)險矩陣，進而確定火力發(fā)電機組鍋爐爐膛安全監(jiān)控系統(tǒng)的SIL等級為2，如圖4所示。

圖4 風(fēng)險矩陣Fig.4 Risk matrix

3 電站鍋爐FSSS功能安全評估

3.1 安全相關(guān)系統(tǒng)SIS的組成

爐膛總風(fēng)量小于25%觸發(fā)MFT的SIS組成如表3所示，爐膛總風(fēng)量小于25%信號走向及觸發(fā)MFT的信號流程如圖5所示。

表3 爐膛總風(fēng)量小于25%觸發(fā)MFT的SIS組成Tab.3 SIS configuration of low air initiating MFT

圖5 爐膛總風(fēng)量小于25%信號走向及觸發(fā)MFT的信號流程Fig.5 Signal flow chart and generation of low air initiating MFT

3.2 安全功能SIF的安全完整性等級SIL計算

在明確爐膛風(fēng)量小于25%觸發(fā)MFT這一子安全功能的信號流程和該安全功能的安全相關(guān)系統(tǒng)的組成后，以爐膛風(fēng)量小于25%觸發(fā)MFT為頂事件完成故障樹建模，如圖6所示。

圖6 爐膛總風(fēng)量小于25%觸犯MFT的危險失效故障樹模型Fig.6 Dangerous failure fault tree of low air trip MFT

基于簡單β因子的n取k系統(tǒng)平均要求時失效率PFDavg的計算公式 （即不同冗余結(jié)構(gòu)的PFDavg的計算公式），如表4所示[8]。其中，定義n取k系統(tǒng)中自診斷共因失效分?jǐn)?shù)為βD，且滿足β=2βD，系統(tǒng)子通道的等效平均停止時間為tCE，滿足各個部件失效率數(shù)據(jù)如表 5所示[9]。

表4 IEC61508標(biāo)準(zhǔn)中n取k（n＞k）系統(tǒng)PFDavg計算公式Tab.4 Formulas of koon（n＞k）system in IEC61508

表5 各個部件失效率數(shù)據(jù)Tab.5 Failure rates of components

經(jīng)過上述計算，結(jié)合IEC61508標(biāo)準(zhǔn)第一部分第7節(jié)整體安全生命周期的要求，即表6中給出的低要求操作模式下SIL等級與PFDavg對應(yīng)關(guān)系可以確定爐膛風(fēng)量小于25%觸發(fā)MFT這一子安全系統(tǒng)的安全功能的SIL等級為SIL1，達(dá)不到FSSS的目標(biāo)安全完整性等級，需要對系統(tǒng)的結(jié)構(gòu)進行調(diào)整。

表6 SIL：在低要求操作模式下分配給一個E/E/PE安全相關(guān)系統(tǒng)的安全功能目標(biāo)失效Tab.6 SIL：Failure of the safety function assigned to an E/E/PE safety-related system in the low-requested operating mode

3.3 安全相關(guān)系統(tǒng)SIS的改進方案

爐膛總風(fēng)量小于25%觸發(fā)MFT該安全功能的SIL未達(dá)到SIL2，主要原因在與執(zhí)行機構(gòu)的PFD過高，改進措施包括：

（1）將原來的電動執(zhí)行機構(gòu)（電磁閥、電動門等）由1oo1冗余結(jié)構(gòu)提升為1oo2結(jié)構(gòu)；

（2）提高運行維護人員的工作效率，縮短執(zhí)行機構(gòu)的功能測試周期，將原來的TI由1 a縮短為0.5 a，且共因失效因子β=0.1。重新計算執(zhí)行機構(gòu)的PFDavg，結(jié)果如表7所示。

表7 SIS系統(tǒng)各個部分的平均要求時失效概率Tab.7 After rectification

通過對安全相關(guān)系統(tǒng)中執(zhí)行器部分設(shè)計結(jié)構(gòu)進行調(diào)整，經(jīng)過重新計算后，整改后的系統(tǒng)的SIL能夠達(dá)到SIL2。

4 結(jié)語

本文總結(jié)了保護層分析的方法的一般過程，并完成對鍋爐爐膛外爆和內(nèi)爆2種危險情況的保護層分析；利用上述分析結(jié)果，根據(jù)IEC61508 標(biāo)準(zhǔn)中定性確定安全完整性等級的方法， 完成對FSSS 系統(tǒng)目標(biāo)安全完整性等級的定性確定；介紹故障樹分析的一般方法，完成對MFT 失效的故障樹建模，結(jié)合EXIDA 數(shù)據(jù)庫中的相關(guān)數(shù)據(jù)， 完成對爐膛風(fēng)量小于25%觸發(fā)MFT 這一子安全功能定量計算SIL等級；利用功能安全分析的結(jié)果，找出安全相關(guān)系統(tǒng)的薄弱環(huán)節(jié)并給出改進意見。

[1]馮欣欣，許繼剛，孔祥正.功能安全系統(tǒng)在火電廠的應(yīng)用研究[J].中國儀器儀表，2011（1）：13-16.

[2]NFPA85：boiler and combustion systems hazardscod，2011Edition[S].U.S.A：National Fire Protection Association，2011.

[3]DL/T 5000-2000火力發(fā)電廠設(shè)計技術(shù)規(guī)程[S].中華人民共和國電力行業(yè)標(biāo)準(zhǔn)，2011.

[4]國電發(fā)[2000]589號防止電力生產(chǎn)重大事故的二十五項重點要求[S].國家電力公司，2000.

[5]火力發(fā)電廠熱工自動化設(shè)計技術(shù)規(guī)程（NDGJ 16-89）[S].能源部電力規(guī)劃設(shè)計管理局，1989.

[6]王疆.火力發(fā)電廠FSSS設(shè)計標(biāo)準(zhǔn)[M].北京：北京國電智深控制技術(shù)有限公司，2008.

[7]王疆.鍋爐爐膛安全監(jiān)控系統(tǒng)及其應(yīng)用[M].北京：中國電力出版社，2014.

[8]IEC 65108，F(xiàn)unction Safety of Electrical/Electronic Programmable Electronic Safety-Related SystemsGeneralrequirements[S].Geneva：International Electrotechnical Commission，2000.

[9]EXIDA.IEC 65108 function safety assessment[EB/OL].[2012.11.21].http//www.exida.corn/index.php/resources/sale-index.