王海清， 喬丹菊 ，馮 軍 ，于 芳

(1.中國(guó)石油大學(xué)(華東) 機(jī)電工程學(xué)院，山東 青島 266580；2.青島中油華東院安全環(huán)保有限公司，山東 青島 266071)

0 引言

安全儀表系統(tǒng)(Safety Instrumented System, SIS) 是保障安全生產(chǎn)的重要技術(shù)措施之一，廣泛應(yīng)用于石油、化工等過程工業(yè)。SIS(具體為安全聯(lián)鎖SIF回路)是由傳感器、邏輯結(jié)算器、執(zhí)行機(jī)構(gòu)組合而成，在災(zāi)害事件發(fā)生時(shí)，執(zhí)行相應(yīng)的安全儀表功能，達(dá)到或保持生產(chǎn)過程的安全狀態(tài)。目前，關(guān)于SIS方面的研究大多集中于安全可用性的定量評(píng)估[1]，然而，對(duì)于現(xiàn)代大規(guī)模的連續(xù)工藝生產(chǎn)過程，由SIS誤動(dòng)作導(dǎo)致的非計(jì)劃停車(即生產(chǎn)可用性)往往也會(huì)引起重大的生產(chǎn)損失和重新開車等安全問題。某些大型生產(chǎn)裝置(如乙烯)對(duì)非計(jì)劃停車損失的關(guān)注甚至超過了機(jī)組設(shè)備損壞的損失，因此，如何準(zhǔn)確地量化誤跳車率具有重要理論價(jià)值和實(shí)際工程意義。

目前，國(guó)內(nèi)外學(xué)者針對(duì)SIS誤跳車率的研究相對(duì)較少，《電氣/電子/可編程電子安全系統(tǒng)的功能安全》(IEC61508)[2]給出了安全失效的定義，但沒有給出定量的計(jì)算公式； 《過程工業(yè)安全儀表系統(tǒng)的功能安全》(IEC61511)[3]僅關(guān)注了系統(tǒng)危險(xiǎn)失效；《安全儀表功能(SIF)-安全完整性等級(jí)(SIL)-評(píng)估技術(shù)包》(ISA-TR84.00.02)[4]和挪威SINTEF PDS方法[5]給出了誤跳車率的簡(jiǎn)化公式，僅適用于簡(jiǎn)單同型設(shè)備構(gòu)成的聯(lián)鎖系統(tǒng)；Jigar等[6]詳細(xì)討論了SIS誤觸發(fā)行為的概念，失效分類等因素，提出了新的STR計(jì)算公式，但也僅針對(duì)少數(shù)幾種常見結(jié)構(gòu)，并未考慮KooN結(jié)構(gòu)誤跳車率的計(jì)算且忽略了降級(jí)模式的影響；Innal等[7]引入了誤跳車的等效平均停機(jī)時(shí)間的概念，給出了KooN結(jié)構(gòu)的STR計(jì)算模型，但并未考慮異型結(jié)構(gòu)且忽略了在量化誤跳車率時(shí)傳感器與執(zhí)行結(jié)構(gòu)的差異；Lundteigen等[8]討論了誤觸發(fā)的原因和影響，給出STR簡(jiǎn)化公式。

以上研究均針對(duì)同型設(shè)備構(gòu)成的常見結(jié)構(gòu)的聯(lián)鎖子系統(tǒng)，忽略了異型子系統(tǒng)誤跳車率的計(jì)算。在計(jì)算SIF回路誤跳車率時(shí)，國(guó)內(nèi)外文獻(xiàn)均按照對(duì)傳感器、邏輯解算器、執(zhí)行機(jī)構(gòu)進(jìn)行簡(jiǎn)單求和計(jì)算，忽略了3個(gè)組成部分之間的關(guān)聯(lián)關(guān)系，這會(huì)導(dǎo)致計(jì)算結(jié)果存在偏差。鑒于此，本文首先分析安全聯(lián)鎖SIF回路的不同子系統(tǒng)產(chǎn)生誤跳車的邏輯架構(gòu)，同時(shí)考慮共因失效對(duì)誤跳車率的影響，提出1種更符合實(shí)際并適用于異型KooN結(jié)構(gòu)的子系統(tǒng)誤跳車率計(jì)算模型SNRS。分析傳感器、邏輯解算器、執(zhí)行機(jī)構(gòu)在計(jì)算SIF回路誤跳車率時(shí)的關(guān)聯(lián)關(guān)系，提出從全新角度分析安全聯(lián)鎖SIF回路誤跳車率RST的計(jì)算框架。

1 異型冗余KooN表決結(jié)構(gòu)誤跳車率的定量分析

1.1 傳感器子系統(tǒng)誤跳車率計(jì)算模型

對(duì)于任意KooN結(jié)構(gòu)傳感器，誤跳車通常由檢測(cè)到的安全失效(SD)和未檢測(cè)到的安全失效(SU)導(dǎo)致，發(fā)生危險(xiǎn)檢測(cè)失效(DD)，則認(rèn)為相應(yīng)儀表將被摘除進(jìn)行維修，DD失效不導(dǎo)致誤跳車，不在討論范疇之內(nèi)。因此，當(dāng)有K個(gè)通道或者更多通道發(fā)生安全失效時(shí)，傳感器子系統(tǒng)就會(huì)觸發(fā)誤跳車信號(hào)，其所在SIF回路未必誤跳車，詳細(xì)敘述見1.2。因此，傳感器子系統(tǒng)誤跳車率STRT為：

STRT=STRind+STRCCF

(1)

式中：STRind為獨(dú)立失效導(dǎo)致的誤跳車率； STRCCF為共因失效導(dǎo)致的誤跳車率。一般情況下，當(dāng)通道發(fā)生安全失效時(shí)，一些通道能夠被檢測(cè)機(jī)制發(fā)現(xiàn)并修復(fù)，一些未檢測(cè)的安全失效需要通過周期測(cè)試才能被檢測(cè)出。考慮這2種不同情況，安全失效率λS可分解為：

λS=λSD+λSU

(2)

式中：λSD為已檢測(cè)安全失效率；λSU為未檢測(cè)安全失效率。對(duì)于已檢測(cè)的安全失效，其失效時(shí)間為平均恢復(fù)時(shí)間MTTR(Mean Time To Restoration)[9-11]，其中包括了平均維修時(shí)間MRT(Mean Repair Time)和其他相關(guān)時(shí)間延遲，如設(shè)備檢測(cè)、故障報(bào)告等。對(duì)于未檢測(cè)的安全失效，其失效時(shí)間不但包括平均維修時(shí)間，還與驗(yàn)證測(cè)試間隔有關(guān)。因此，驗(yàn)證測(cè)試周期為T時(shí)，t時(shí)刻第i(i=1,2,…K-1)個(gè)安全失效通道SU失效的平均失效時(shí)間為：

(3)

式中：MRTS為安全失效平均維修時(shí)間，h。對(duì)于安全失效通道SD失效的平均失效時(shí)間為：

tSD,i=MTTRS

(4)

式中：MTTRS為安全失效平均恢復(fù)時(shí)間，h。對(duì)于KooN結(jié)構(gòu)的SIF回路，若當(dāng)前存在K-1個(gè)安全失效，只有在該風(fēng)險(xiǎn)期內(nèi)發(fā)生第K個(gè)故障才會(huì)發(fā)生誤跳車。系統(tǒng)發(fā)生K-1個(gè)安全失效即系統(tǒng)處于風(fēng)險(xiǎn)期的概率PDT(Probability of Dead Time)為：

(5)

(6)

(7)

(8)

1.2 SIS邏輯解算器誤跳車率計(jì)算模型

邏輯解算器的失效模式與傳感器相同，因此，SIS邏輯解算器的異型冗余KooN表決結(jié)構(gòu)誤跳車率計(jì)算模型為：

(9)

(10)

1.3 SIS執(zhí)行機(jī)構(gòu)部分誤跳車率計(jì)算模型

由于SIS的執(zhí)行機(jī)構(gòu)通常會(huì)直接影響受控設(shè)備，因此，量化執(zhí)行機(jī)構(gòu)的誤跳車率與傳感器和邏輯解算器有所不同，即安全可用性表決與誤跳車表決結(jié)構(gòu)可能并不相同，如2oo2結(jié)構(gòu)的閥門，其誤跳車結(jié)構(gòu)為1oo2。除非專門指出，否則本文的KooN均表示誤跳車結(jié)構(gòu)。執(zhí)行機(jī)構(gòu)的誤跳車率為：

(11)

由共因失效導(dǎo)致的誤跳車與傳感器一致，因此，執(zhí)行機(jī)構(gòu)異型冗余KooN結(jié)構(gòu)的STR為：

(12)

STR=STRSE+STRLS+STRFE

(13)

2 安全儀表系統(tǒng)SIF回路的誤跳車率計(jì)算模型

目前，國(guó)內(nèi)外關(guān)于安全儀表系統(tǒng)SIF回路的誤跳車率文獻(xiàn)按照對(duì)傳感器、邏輯解算器、執(zhí)行機(jī)構(gòu)3部分求和計(jì)算[6-8]。即其默認(rèn)假設(shè)條件為：此3個(gè)子系統(tǒng)之間是完全獨(dú)立的，且成敗邏輯與物理結(jié)構(gòu)的順序無關(guān)。然而，SIF回路的3個(gè)組成部分是存在關(guān)聯(lián)的，進(jìn)行簡(jiǎn)單求和的理論基礎(chǔ)與邏輯會(huì)導(dǎo)致計(jì)算結(jié)果存在偏差。因此，目前用于計(jì)算STR的國(guó)際標(biāo)準(zhǔn)與PSD等方法，實(shí)質(zhì)上采用的是傳統(tǒng)事故樹計(jì)算方法，如圖1所示。

圖1 傳統(tǒng)STR計(jì)算方法事故樹Fig.1 Fault tree representation of traditional STR calculation method for SIF

式(13)的結(jié)果與等式右邊的加和順序無關(guān)。實(shí)際工程應(yīng)用中，傳感器子系統(tǒng)發(fā)出誤跳車信號(hào)(誤動(dòng)作)后，當(dāng)且僅當(dāng)后面的2個(gè)子系統(tǒng)都正常、可靠運(yùn)行(正常動(dòng)作，即沒有發(fā)生拒動(dòng)作)時(shí)，才能夠真正發(fā)生SIF回路的誤跳車。由此可知，當(dāng)邏輯解算器子系統(tǒng)發(fā)生誤動(dòng)作時(shí)，依賴于執(zhí)行子系統(tǒng)的正常動(dòng)作，與傳感器子系統(tǒng)的狀態(tài)無關(guān)；當(dāng)執(zhí)行子系統(tǒng)發(fā)生誤動(dòng)作時(shí)，則為式(13)的最后一項(xiàng)，即僅取決于該子系統(tǒng)本身，而與前2個(gè)子系統(tǒng)的狀態(tài)無關(guān)。由此可知，目前的STR計(jì)算方法和事實(shí)存在較大的偏差，即SIF回路的某一子系統(tǒng)發(fā)生誤跳車，整個(gè)SIF回路未必能“成功”發(fā)生誤跳車。本文提出1種全新的RST(Reliability based Spurious Trip)計(jì)算框架，假設(shè)3個(gè)部分不會(huì)同時(shí)發(fā)生誤跳車，其事故樹如圖2所示。

圖2 改進(jìn)STR計(jì)算方法(RST)事故樹Fig.2 Fault tree representation of new STR calculation method (RST) for SIF

安全儀表系統(tǒng)SIF回路的誤跳車率計(jì)算模型RST為：

STRSIS=STRSE×(1-PFDLS)×(1-
PFDFE)+STRLS×(1-PFDFE)+STRFE

(14)

式中：PFD是按照無誤跳車表決模式來計(jì)算的需求失效概率，PFDLS為邏輯解算器的需求失效概率；PFDFE為執(zhí)行機(jī)構(gòu)的需求失效概率。

3 聚丙烯裝置工程案例分析

某石化公司的聚丙烯裝置以上游氣分裝置生產(chǎn)的工業(yè)丙烯為主要原料，經(jīng)過脫水、脫硫、脫氧、脫砷，使原料丙烯達(dá)到聚合要求。在一定溫度、壓力、催化劑及分子量調(diào)整劑條件下，使丙烯發(fā)生聚合反應(yīng)，并經(jīng)氣固分離、干燥、汽蒸及丙烯回收等工序生產(chǎn)出合格的聚丙烯粉料產(chǎn)品。本裝置選用國(guó)內(nèi)自行開發(fā)的丙烯液相本體與臥式釜?dú)庀啾倔w相組合的工藝(SPG)，丙烯在催化劑及分子量調(diào)整劑的作用下，通過預(yù)聚釜和第1、2反應(yīng)器進(jìn)行聚合反應(yīng)，排出的淤漿進(jìn)入第3反應(yīng)器D203進(jìn)行氣相聚合。

D203反應(yīng)溫度控制策略如圖3所示，各點(diǎn)溫度控制需保持一致。當(dāng)釜內(nèi)溫度過低產(chǎn)生積液或超溫時(shí)，TAHH203A/B/C觸發(fā)2oo3表決，由于3個(gè)通道的傳感器不定期更換，導(dǎo)致所用傳感器由來自3個(gè)不同廠家的溫度傳感器構(gòu)成(不同型號(hào)的RTD)。將CO阻聚劑加入到D203及上游反應(yīng)釜，停止聚合反應(yīng)，D203停止指示燈亮，TIC233B(MS)閥關(guān)，TIC233A(CW)閥開，XV231閥開，關(guān)閉若干工藝閥門，閥門TIC233A/B構(gòu)成2oo2表決來控制釜內(nèi)溫度。相應(yīng)的設(shè)備可靠性數(shù)據(jù)見表1，其中MRTS=MTTRS=8 h。

圖3 D203反應(yīng)溫度控制示意Fig.3 Temperature control scheme of reactor D203

類型組件λSU/(×10-6·h-1)λSD/(×10-6·h-1)λDD/(×10-6·h-1)λDU/(×10-6·h-1)β=βSD=βSU傳感器邏輯解算器執(zhí)行機(jī)構(gòu)TAHH203A0.90.40.480.350.02TAHH203B1.351.10.80.70.02TAHH203C3.52.31.91.40.02幾何平均值1.621.00.900.70.02LS0.3000.03TIC233A1.31.22.22.20.03TIC233B2.51.81.32.10.03幾何平均值1.81.471.692.150.03

分別利用SIS子系統(tǒng)誤跳車率計(jì)算方法SNRS和其他標(biāo)準(zhǔn)、文獻(xiàn)提出的計(jì)算方法，計(jì)算傳感器組的誤跳車率，計(jì)算比較結(jié)果見表2。

由于1ooN結(jié)構(gòu)不涉及失效時(shí)間的問題，從表2可知3種方法的計(jì)算結(jié)果均不隨驗(yàn)證測(cè)試周期的變化而變化。對(duì)于其他誤跳車率受失效時(shí)間影響的結(jié)構(gòu)，ISA-TR84.00.02和PDS方法均認(rèn)為未檢測(cè)安全失效的時(shí)間為平均維修時(shí)間，而非驗(yàn)證測(cè)試時(shí)間，因此， 2oo2和2oo3結(jié)構(gòu)的計(jì)算結(jié)果并不隨驗(yàn)證測(cè)試間隔變化而變化。而實(shí)際情況下，未檢測(cè)安全失效的失效時(shí)間受驗(yàn)證測(cè)試間隔周期影響，且隨著驗(yàn)證測(cè)試周期的增加，系統(tǒng)誤跳車率應(yīng)逐漸增大，2oo2結(jié)構(gòu)中采用SNRS與ISA-TR84.00.02方法誤差逐漸增大，最大達(dá)到3倍以上。 因此，在計(jì)算系統(tǒng)誤跳車率時(shí)，應(yīng)對(duì)已檢測(cè)安全失效和未檢測(cè)安全失效的失效時(shí)間進(jìn)行區(qū)分計(jì)算，故SNRS計(jì)算結(jié)果與實(shí)際情況更加相符。此外，ISA-TR84.00.02與PDS方法僅適用于同型設(shè)備(采用幾何平均值)，而SNRS方法則可更準(zhǔn)確地計(jì)算異型冗余設(shè)備的STR，避免了采用同型設(shè)備計(jì)算公式而導(dǎo)致的計(jì)算誤差。

表2 子系統(tǒng)誤跳車率的不同計(jì)算方法的數(shù)值結(jié)果對(duì)比Table 2 Comparison of different calculation formulas for STR

不同計(jì)算方法得到的SIF回路誤跳車率數(shù)值結(jié)果對(duì)比見表3。由表3可知，在計(jì)算整個(gè)SIF回路誤跳車率方面，無論子系統(tǒng)采用什么方法，ISA-TR8.00.02的計(jì)算結(jié)果均明顯高于RST，且驗(yàn)證測(cè)試間隔越大，相對(duì)誤差越大。對(duì)子系統(tǒng)采用ISA方法，發(fā)現(xiàn)ISA和RST方法二者計(jì)算SIF回路誤跳車率之間的相對(duì)誤差最大達(dá)到13.85% ；而子系統(tǒng)采用SNRS方法時(shí)，二者之間的相對(duì)誤差最大僅為3.73%。同時(shí)，在子系統(tǒng)采用相同方法的情況下，隨著執(zhí)行機(jī)構(gòu)危險(xiǎn)失效率逐漸增大，RST方法計(jì)算的誤跳車率逐漸變小，而ISA方法則恒定不變，這與實(shí)際情況中SIF回路的誤跳車率受其他子系統(tǒng)狀態(tài)影響情況不符。因此，RST方法優(yōu)于其他計(jì)算，更符合實(shí)際工況。

表3 不同計(jì)算方法得到的SIF回路誤跳車率數(shù)值結(jié)果對(duì)比Table 3 Comparison of different calculation formulas for STR of SIF

4 結(jié)論

1)針對(duì)傳感器、邏輯解算器、執(zhí)行機(jī)構(gòu)引發(fā)誤跳車的不同失效機(jī)理和模型，考慮共因失效對(duì)誤跳車率的影響，提出1種更符合工程實(shí)際、適用于異型KooN結(jié)構(gòu)的子系統(tǒng)誤跳車率計(jì)算模型SNRS，可以更加廣泛應(yīng)用于多種結(jié)構(gòu)異型設(shè)備構(gòu)成的SIS系統(tǒng)，提高計(jì)算的準(zhǔn)確性。

2)從SIF回路的整體可靠性角度，分析傳感器、邏輯解算器、執(zhí)行機(jī)構(gòu)在計(jì)算SIF回路誤跳車率時(shí)的關(guān)聯(lián)關(guān)系，提出1種從整體角度分析安全聯(lián)鎖SIF回路誤跳車率RST的計(jì)算框架。計(jì)算發(fā)現(xiàn)采用RST方法計(jì)算出來的誤跳車率小于ISA-TR84.00.02方法，避免了可能誤導(dǎo)企業(yè)進(jìn)行誤跳車改造而帶來的經(jīng)濟(jì)損失。