袁飛暉，陳 霖

（上海外高橋造船有限公司，上海 200137）

自升式鉆井平臺(tái)安全系統(tǒng)設(shè)計(jì)

袁飛暉，陳 霖

（上海外高橋造船有限公司，上海 200137）

自升式鉆井平臺(tái)安全系統(tǒng)（Safety Instrument System，SIS）是一種保護(hù)系統(tǒng)，用于平臺(tái)事故預(yù)警、人員和設(shè)備保護(hù)，并在安全的前提下實(shí)現(xiàn)生產(chǎn)效益最大化。介紹自升式鉆井平臺(tái)上SIS的組成及其關(guān)鍵指標(biāo)，開展系統(tǒng)功能設(shè)計(jì)和常用安全度的計(jì)算，采用可靠性框圖法完成典型安全控制流程的安全度計(jì)算。

安全度等級(jí)；可用性；表決結(jié)構(gòu)；邏輯；切斷

1 平臺(tái)安全系統(tǒng)概述

平臺(tái)安全系統(tǒng)（Safety Instrument System，SIS）又稱安全切斷、安全保護(hù)系統(tǒng)，主要包括火災(zāi)和氣體探測(cè)報(bào)警系統(tǒng)及應(yīng)急切斷系統(tǒng)2套子系統(tǒng)，使其正常運(yùn)行是自升式鉆井平臺(tái)安全生產(chǎn)作業(yè)的前提和保證。

1.1 系統(tǒng)組成

平臺(tái)安全系統(tǒng)是基于繼電器或PLC（Programmable Logic Controller）技術(shù)，由輸入、輸出和控制器組成的控制系統(tǒng)。其工作原理為：讀取來自于可尋址的火災(zāi)探測(cè)系統(tǒng)、氣體和火焰探測(cè)器、CO2系統(tǒng)及應(yīng)急切斷按鈕等外部系統(tǒng)的輸入信號(hào)，經(jīng)邏輯控制器處理后輸出至執(zhí)行結(jié)構(gòu)，完成通風(fēng)設(shè)備或油氣設(shè)備關(guān)閉及消防設(shè)備啟動(dòng)等動(dòng)作，使設(shè)備和人員處于安全狀態(tài)，達(dá)到控制事故、減輕事故影響和消除事故的目標(biāo)。自升式鉆井平臺(tái)安全系統(tǒng)流程圖見圖1。

圖1 自升式鉆井平臺(tái)安全系統(tǒng)流程圖

1.2 系統(tǒng)設(shè)計(jì)指標(biāo)

安全系統(tǒng)設(shè)計(jì)的目標(biāo)包括：

1) 功能安全滿足平臺(tái)的安全要求，即功能安全性；

2) 安全系統(tǒng)本身的安全等級(jí)達(dá)到相關(guān)規(guī)范的要求，即安全度等級(jí)。

1.2.1 功能安全性

系統(tǒng)功能安全性是指安全系統(tǒng)的動(dòng)作結(jié)果安全性。安全系統(tǒng)主要用于對(duì)平臺(tái)危險(xiǎn)因素進(jìn)行監(jiān)測(cè)、控制、減輕和消除。在發(fā)生危險(xiǎn)或安全系統(tǒng)自身出現(xiàn)故障時(shí)，系統(tǒng)的動(dòng)作應(yīng)能有效控制、減輕（甚至是清除）事故和風(fēng)險(xiǎn)，同時(shí)不會(huì)帶來新的風(fēng)險(xiǎn)。系統(tǒng)的設(shè)計(jì)結(jié)果應(yīng)是動(dòng)作后所有設(shè)備都處于安全狀態(tài)，以保證人員和設(shè)備的安全。

1.2.2 系統(tǒng)安全性

系統(tǒng)安全性是指系統(tǒng)執(zhí)行安全動(dòng)作的可靠性，用安全度等級(jí)來度量，定義為PFD（Probability of Failure on Demand）。其含義是系統(tǒng)響應(yīng)并執(zhí)行時(shí)失敗的概率，即當(dāng)發(fā)生需求時(shí)未能滿足需求（即不能正常完成保護(hù)功能）的概率，具體安全度等級(jí)描述見表1。

表1 安全度等級(jí)描述

1.2.3 系統(tǒng)可用性

系統(tǒng)的可靠性采用平均無故障時(shí)間（tMTTF）來度量；系統(tǒng)的可維護(hù)性采用平均維護(hù)時(shí)間（tMTTR）來度量；而計(jì)算機(jī)可用性定義為可用性 = tMTTF/(tMTTF+tMTTR)×100% (1)

在自升式鉆井平臺(tái)中，通常采用定期維護(hù)的管理方式。參照運(yùn)行項(xiàng)目經(jīng)驗(yàn)，tMTTR均以小時(shí)計(jì)，而tMTTF在1000h以上，因此可用性和可靠性通常是一致的。

系統(tǒng)安全性和系統(tǒng)可用性是衡量安全儀表系統(tǒng)優(yōu)劣的重要指標(biāo)，無論是安全性低還是可用性低，都會(huì)使損失的概率提高。從某種意義上說，安全性和可用性是矛盾的2個(gè)方面：某些措施會(huì)提高安全性，但會(huì)導(dǎo)致可用性下降；反之亦然。因此，設(shè)計(jì)時(shí)要兼顧安全性和可用性。安全性是前提，可用性是基礎(chǔ)，可用性必須服從于安全性。

2 安全系統(tǒng)設(shè)計(jì)

安全系統(tǒng)的本質(zhì)作用是保證生產(chǎn)安全，同時(shí)服務(wù)于生產(chǎn)。因此，在設(shè)計(jì)系統(tǒng)時(shí)，應(yīng)在保證功能安全性和系統(tǒng)安全性的前提下兼顧系統(tǒng)可用性設(shè)計(jì)。

2.1 設(shè)計(jì)步驟

參考美國(guó)儀器、系統(tǒng)和自動(dòng)化協(xié)會(huì)（The Instrumentation, System, and Automation Society，ISA）關(guān)于安全系統(tǒng)設(shè)計(jì)生命周期流程[1]見圖2。

圖2 安全系統(tǒng)設(shè)計(jì)生命周期流程

自升式鉆井平臺(tái)自身無航行能力，適合在近海區(qū)域進(jìn)行鉆井勘探作業(yè)。其風(fēng)險(xiǎn)主要來自于火災(zāi)、可燃和有毒性氣體泄漏及設(shè)備故障等。因此，自升式鉆井平臺(tái)安全系統(tǒng)的設(shè)計(jì)以應(yīng)對(duì)上述危險(xiǎn)的需求進(jìn)行，安全功能應(yīng)以預(yù)防、控制和消除上述危險(xiǎn)為目的，避免故障擴(kuò)大。

在標(biāo)準(zhǔn)安全系統(tǒng)的設(shè)計(jì)流程中，通過風(fēng)險(xiǎn)評(píng)估明確需降低的風(fēng)險(xiǎn)值[2]，通過評(píng)定計(jì)算確定需要的安全度等級(jí)，主要采用的定性計(jì)算法有風(fēng)險(xiǎn)矩陣法、定量計(jì)算法和基于頻率定性法等。然而，在平臺(tái)安全系統(tǒng)的設(shè)計(jì)中，相對(duì)于化工、礦產(chǎn)等行業(yè)，系統(tǒng)功能在流程上更加簡(jiǎn)單，且產(chǎn)品通用性更強(qiáng)，因此，安全度等級(jí)的需求一般都在滿足船級(jí)社安全規(guī)范的基礎(chǔ)上由建造及技術(shù)規(guī)格書予以明確。由此，相較于標(biāo)準(zhǔn)安全系統(tǒng)的設(shè)計(jì)，自升式鉆井平臺(tái)安全系統(tǒng)的設(shè)計(jì)步驟可簡(jiǎn)化為以下形式。1) 總體目標(biāo)：應(yīng)對(duì)火災(zāi)、可燃性和有毒性氣體泄漏和誤操作；2) 控制技術(shù)選擇：電動(dòng)、氣動(dòng)及PLC控制技術(shù)等；3) 安全度等級(jí)(SIL)：參照建造及技術(shù)規(guī)格書要求；

4) 體系結(jié)構(gòu)：綜合考慮系統(tǒng)的安全性和可用性，對(duì)系統(tǒng)的結(jié)構(gòu)進(jìn)行合理配置；5) 詳細(xì)設(shè)計(jì)：包括功能安全性和系統(tǒng)安全性。

2.2 功能設(shè)計(jì)

自升式鉆井平臺(tái)的主要危險(xiǎn)來自于火災(zāi)事故、可燃性或有毒性氣體泄漏事故等，因此應(yīng)將這些危險(xiǎn)發(fā)生后有效進(jìn)行報(bào)警、隔離、滅火和關(guān)閉設(shè)備等操作包含在安全系統(tǒng)的設(shè)計(jì)中，以保護(hù)人員和設(shè)備的安全。

2.2.1 控制技術(shù)和結(jié)構(gòu)

在自升式平臺(tái)系統(tǒng)設(shè)計(jì)中，安全度等級(jí)通常選擇為SIL1或SIL2；同時(shí)，為滿足系統(tǒng)的集成需求，一般選擇基于PLC技術(shù)構(gòu)建的安全控制系統(tǒng)。表決結(jié)構(gòu)采用1oo2D，以提高系統(tǒng)的安全性。冗余PLC熱備技術(shù)，實(shí)現(xiàn)無擾動(dòng)轉(zhuǎn)換，確保系統(tǒng)的可靠性，并兼顧系統(tǒng)的可用性。傳感器系統(tǒng)和現(xiàn)場(chǎng)子系統(tǒng)間普遍采用1oo1架構(gòu)，在滿足安全度目標(biāo)的前提下，盡可能地簡(jiǎn)化系統(tǒng)，降低成本。若有特殊情況和需求，可單獨(dú)進(jìn)行設(shè)計(jì)。

2.2.2 典型控制流程設(shè)計(jì)

根據(jù)圖1，自升式鉆井平臺(tái)安全系統(tǒng)主要包括火災(zāi)和氣體探測(cè)系統(tǒng)及應(yīng)急切斷系統(tǒng)2部分，每個(gè)流程都涵蓋輸入、邏輯控制和輸出等3個(gè)環(huán)節(jié)。平臺(tái)安全系統(tǒng)的典型控制流程有應(yīng)急切斷按鈕手動(dòng)觸發(fā)和火氣警報(bào)自動(dòng)觸發(fā)2種模式。

2.2.2.1 應(yīng)急切斷按鈕手動(dòng)觸發(fā)流程

應(yīng)急切斷按鈕被觸發(fā)之后，系統(tǒng)會(huì)觸發(fā)平臺(tái)上的相應(yīng)報(bào)警，并切斷風(fēng)、油等設(shè)備，屬于典型的開環(huán)控制，流程見圖3。

圖3 應(yīng)急切斷按鈕觸發(fā)流程

2.2.2.2 火氣警報(bào)自動(dòng)觸發(fā)流程

火災(zāi)和氣體傳感器觸發(fā)流程屬于自動(dòng)觸發(fā)流程。以氣體探測(cè)器為例，一旦檢測(cè)到高位報(bào)警，信號(hào)經(jīng)邏輯處理器處理后觸發(fā)相應(yīng)的切斷風(fēng)、油等設(shè)備并報(bào)警；啟動(dòng)消防措施等流程。詳細(xì)流程見圖4。

系統(tǒng)的安全狀態(tài)應(yīng)由設(shè)備服務(wù)目的、設(shè)備所處的環(huán)境及設(shè)備在整套流程中的控制作用來定義。平臺(tái)上普通機(jī)械處所內(nèi)的風(fēng)、油設(shè)備應(yīng)是關(guān)閉或停止運(yùn)行的，因此圖3和圖4中的設(shè)備都是在事故發(fā)生后被切斷，進(jìn)入安全狀態(tài)。然而，對(duì)于平臺(tái)上的動(dòng)力處所（如發(fā)電機(jī)間）和危險(xiǎn)氣體產(chǎn)生處所（如泥漿池），應(yīng)在火災(zāi)或氣體事故發(fā)生之后維持運(yùn)行或加大排風(fēng)，以達(dá)到控制事故和減輕事故影響的目的。設(shè)備的安全狀態(tài)并非都是停止?fàn)顟B(tài)，應(yīng)根據(jù)服務(wù)處所和服務(wù)對(duì)象進(jìn)行具體分析、區(qū)別定義。

2.3 系統(tǒng)安全性驗(yàn)證——安全度計(jì)算

在系統(tǒng)設(shè)計(jì)完成之后，需對(duì)其安全性進(jìn)行評(píng)估，確保其安全功能達(dá)到設(shè)計(jì)的安全度等級(jí)。若計(jì)算值不符合設(shè)計(jì)需求，則應(yīng)重新對(duì)系統(tǒng)進(jìn)行設(shè)計(jì)或改造。

2.3.1 安全度計(jì)算方法

針對(duì)安全度等級(jí)，主流的計(jì)算方法有可靠性框圖、故障樹和馬爾可夫模型（Markov）等[3-4]。

1) 可靠性框圖是一種傳統(tǒng)的可靠性分析方法，使用圖形結(jié)構(gòu)標(biāo)示系統(tǒng)內(nèi)部的串并聯(lián)關(guān)系，簡(jiǎn)單、直觀。1oo2可靠性框圖見圖5。

2) 故障樹根據(jù)布爾邏輯圖標(biāo)示系統(tǒng)特定的故障，推理分析故障發(fā)生的基本原因，建立從結(jié)構(gòu)到原因的有效邏輯圖。1oo1故障樹模型見圖6。

圖4 氣體探測(cè)器觸發(fā)流程

圖5 1oo2可靠性框圖

圖6 1oo1故障樹模型

3) 馬爾可夫模型定義系統(tǒng)中全部互斥的成功/失效狀態(tài)，由已編碼的圓圈標(biāo)示。系統(tǒng)以某種概率由一種狀態(tài)轉(zhuǎn)向另一種狀態(tài)，無論是失效還是維修，狀態(tài)轉(zhuǎn)移都用箭頭轉(zhuǎn)移弧標(biāo)示，并注明失效率或維修率，從而描述系統(tǒng)隨時(shí)間變化的行為[5]。1oo1馬爾可夫模型見圖7。

在自升式鉆井平臺(tái)安全系統(tǒng)中，主要使用1oo1和1oo2D 2種結(jié)構(gòu)，這里采用IEC 61508-6中推薦的可靠性框圖對(duì)安全度等級(jí)進(jìn)行驗(yàn)證。

2.3.2 安全度等級(jí)驗(yàn)證

1) 以應(yīng)急切斷按鈕手動(dòng)觸發(fā)為例，流程可轉(zhuǎn)化為應(yīng)急切斷表決框圖（見圖8），以此進(jìn)行計(jì)算。

圖7 1oo1馬爾可夫模型

圖8 應(yīng)急切斷按鈕手動(dòng)觸發(fā)表決框圖

系統(tǒng)由傳感器系統(tǒng)、邏輯控制器系統(tǒng)和現(xiàn)場(chǎng)子系統(tǒng)等3部分組成，其安全度計(jì)算應(yīng)為

式(2)中： PPFDSYS為 E/E/PE安全相關(guān)系統(tǒng)的安全功能在要求時(shí)的平均失效概率； PPFDS為傳感器子系統(tǒng)要求時(shí)的平均失效概率；PFDLP 為邏輯子系統(tǒng)要求時(shí)的平均失效概率；PFDFEP 為現(xiàn)場(chǎng)子系統(tǒng)要求時(shí)的平均失效概率。

2) 參照IEC 61508 - 6，可查出1oo1結(jié)構(gòu)和1oo2D結(jié)構(gòu)的PFD計(jì)算式[6]為

式(3)和式(4)中：1T為檢驗(yàn)測(cè)試時(shí)間間隔，h；MTTRt 為平均恢復(fù)時(shí)間，h；DCP 為診斷覆蓋率，在公式中以分?jǐn)?shù)或百分比的形式表示；λ為子系統(tǒng)中一個(gè)通道的失效率（每小時(shí)）；Dλ為子系統(tǒng)中通道的危險(xiǎn)失效率（每小時(shí)），D0.5λ λ= （假設(shè) 50%的危險(xiǎn)失效和 50%的安全失效）；DDλ 為檢測(cè)到的子系統(tǒng)中通道每小時(shí)的危險(xiǎn)失效率（子系統(tǒng)通道中所有檢測(cè)到的危險(xiǎn)失效率的總和）；c為未檢測(cè)到的子系統(tǒng)中通道每小時(shí)的危險(xiǎn)失效率（子系統(tǒng)通道中所有未檢測(cè)到的危險(xiǎn)失效率的總和）；CEt 為1oo1，1oo2，2oo2，1oo2D，2oo3結(jié)構(gòu)中通道的等效平均停止工作時(shí)間（子系統(tǒng)通道中所有部件的組合關(guān)閉時(shí)間），h；SDλ 為子系統(tǒng)中被檢測(cè)到的通道每小時(shí)的安全失效率（子系統(tǒng)通道中所有檢測(cè)到的安全失效率的總和）；CEt′為1oo2D結(jié)構(gòu)中通道的等效平均停止工作時(shí)間（子系統(tǒng)通道中所有部件的組合關(guān)閉時(shí)間），h；GEt′為1oo2D結(jié)構(gòu)中表決組的等效平均停止工作時(shí)間（表決組中所有部件的組合關(guān)閉時(shí)間），h；β為具有共同原因、沒有被檢測(cè)到的失效分?jǐn)?shù)（在公式中用分?jǐn)?shù)或百分比的形式表示）；Dβ 為具有共同原因、已被診斷測(cè)試檢測(cè)到的失效分?jǐn)?shù)（在公式中用分?jǐn)?shù)或百分比的形式表示），假設(shè)D2β β= 。

3) 設(shè)定維護(hù)時(shí)間間隔為1a，平均維護(hù)時(shí)間MTTRt =8h。

事實(shí)上，根據(jù)上述參數(shù)，從IEC 61508-6表B.3中可直接查得：

因此，安全系統(tǒng)部分的設(shè)計(jì)達(dá)到SIL2等級(jí)。從PFD結(jié)果分析看，安全系統(tǒng)中所有部件都是相互制約的，安全度等級(jí)受制于安全度最低的部分。從IEC 61508-6表B.3中可看出，在參數(shù)相同的情況下，1oo2D結(jié)構(gòu)的PFD值明顯優(yōu)于1oo1結(jié)構(gòu)，因此改變表決結(jié)構(gòu)是提高系統(tǒng)安全度等級(jí)的可行方法，這也是目前系統(tǒng)改造的常用方案之一。

3 結(jié) 語

自升式鉆井平臺(tái)安全系統(tǒng)的設(shè)計(jì)以確保系統(tǒng)的功能安全性和系統(tǒng)安全性為目標(biāo)，通過采用多樣的控制技術(shù)和系統(tǒng)結(jié)構(gòu)來實(shí)現(xiàn)。功能安全性應(yīng)基于對(duì)實(shí)際環(huán)境的危險(xiǎn)分析，對(duì)各安全控制流程進(jìn)行逐一分析設(shè)計(jì)；而系統(tǒng)安全性則是對(duì)整套安全控制流程進(jìn)行評(píng)定。通過計(jì)算分析可知，系統(tǒng)安全度等級(jí)受限于控制流程中傳感器、邏輯控制器和執(zhí)行儀表等設(shè)備的PFD值，因此在安全控制系統(tǒng)設(shè)計(jì)中不要忽略對(duì)邏輯控制器以外的其他部件的技術(shù)和系統(tǒng)結(jié)構(gòu)進(jìn)行評(píng)估。

[1] ISA. Safety Instrumented Systems (SIS) — Safety integrity level (SIL) evaluation techniques∶ ISA. TR84.0.02[S]. 1998.

[2] SAMMARCO J J. Safety framework for programmable electronics in mining[J]. Society of Mining Engineers, 1999∶ 30-33.

[3] 靳江紅，吳宗之，趙壽堂，等. 安全系統(tǒng)的功能安全國(guó)內(nèi)外發(fā)展綜述[J]. 化工自動(dòng)化及儀表，2010, 37 (5)∶ 1-6.

[4] IEC. Functional safety of electrical/electronic/programmable electronic safety related systems, Part 5∶ examples of methods for the determination of safety integrity levels[S]. 2000.

[5] GUO H T, YANG X H. A simple reliability block diagram method for safety integrity verification [J]. Reliability Engineering and System Safety, 2007, 92∶ 1267-1273.

[6] IEC. Functional safety of electrical/electronic/programmable electronic safety-related systems∶ IEC 61508-6[S]. 2000.

Design of the Security System for Jack-Up Drilling Rig

YUAN Fei-hui，CHEN Lin
（Shanghai Waigaoqiao Shipbuilding Co., Ltd., Shanghai 200137, China）

Security system of Jack-up drilling rig is a kind of protection system for the purpose of accident pre-caution, people and equipment protection and production benefit maximization on the premise of safety. This paper introduces the composition of the security system and its key index, the function design of the system and the methods used in safety integrity level calculation, where reliability block diagram is used in calculating the safety integrity level of the typical safety control process.

safety integrity level; availability; voting architecture; logic; shutdown

U674.38+1

A

2095-4069 (2017) 02-0040-06

10.14056/j.cnki.naoe.2017.02.007

2016-09-23

袁飛暉，男，高級(jí)工程師，工程碩士，1978年生。2011年畢業(yè)于華中科技大學(xué)工業(yè)工程專業(yè)，現(xiàn)從事船舶和海洋工程電氣自動(dòng)化設(shè)計(jì)及技術(shù)管理工作。