作者：高嗣晟 中國(guó)石油集團(tuán)東北煉化工程有限公司 葫蘆島設(shè)計(jì)院
近些年石化行業(yè)頻發(fā)重大安全事故，安監(jiān)局發(fā)布的相關(guān)安全文件中均提到安全儀表系統(tǒng)（SIS）?！吨袊?guó)石化安全儀表系統(tǒng)安全完整性等級(jí)評(píng)估管理規(guī)定（試行）》（中國(guó)石化安［2013］259號(hào)文）1.3條要求：“各單位應(yīng)將建設(shè)項(xiàng)目安全完整性等級(jí)（SIL）評(píng)估納入建設(shè)項(xiàng)目設(shè)計(jì)管理，將在役裝置SIL評(píng)估納入日常安全生產(chǎn)管理”；3.2條要求：“各單位或設(shè)計(jì)單位應(yīng)對(duì)建設(shè)項(xiàng)目以及在役裝置所涉及的安全儀表功能（SIF）確定相應(yīng)的SIL，安全儀表功能滿(mǎn)足目標(biāo)SIL要求”［1］。在SIS設(shè)計(jì)過(guò)程中， SIF回路中SIL的定級(jí)和驗(yàn)算是設(shè)計(jì)的重點(diǎn)和難點(diǎn)。
1 SIL定級(jí)
目前SIF回路的SIL的確定，主要依靠危險(xiǎn)與可操作性分析（HAZOP）結(jié)合保護(hù)層分析（LOPA）的方法來(lái)實(shí)現(xiàn)。
HAZOP分析是在安全專(zhuān)業(yè)人員主導(dǎo)下，工藝、自控、設(shè)備專(zhuān)業(yè)人員以及操作人員共同構(gòu)成的分析小組進(jìn)行的一種分析方法。HAZOP分析是采用標(biāo)準(zhǔn)化“引導(dǎo)詞”對(duì)裝置過(guò)程系統(tǒng)的中間變量設(shè)定“偏離”，沿“偏離”在系統(tǒng)中反向查找非正?！霸颉保亍捌x”在系統(tǒng)中正向查找不利“后果”，確定后果嚴(yán)重性等級(jí)［2］。HAZOP具體分析方法詳見(jiàn)AQ/T3049—2013《危險(xiǎn)與可操作性分析（HAZOP分析）應(yīng)用導(dǎo)則》［3］。
當(dāng)HAZOP分析確定后果嚴(yán)重性等級(jí)為高風(fēng)險(xiǎn)或很高風(fēng)險(xiǎn)時(shí)，需進(jìn)一步進(jìn)行LOPA分析，計(jì)算目前偏差導(dǎo)致的后果發(fā)生的頻率，判斷現(xiàn)有保護(hù)措施是否足夠，建議措施是否能夠有效地降低事故發(fā)生頻率等?？赏ㄟ^(guò)增加SIF回路保護(hù)層，降低事故發(fā)生概率，從而得出SIF回路的SIL。LOPA具體分析方法詳見(jiàn)AQ/T 3054—2015《保護(hù)層分析（LOPA）方法應(yīng)用導(dǎo)則》［4］。
根據(jù)文獻(xiàn)［4］中表E.2，引發(fā)偏差的初始事件，如控制回路失效、冷卻水失效、控制閥誤動(dòng)作、常規(guī)人員操作失誤、雷擊等，偏差導(dǎo)致的事故發(fā)生概率f1i≤1×10－1，假設(shè)
，年頻率等級(jí)為1～10－1。
在涉及“重點(diǎn)監(jiān)管工藝、重點(diǎn)監(jiān)管化學(xué)品、重大危險(xiǎn)源”或可能引發(fā)高后果的工藝，大多已配置基本過(guò)程控制系統(tǒng)（BPCS）、過(guò)程報(bào)警及操作員干預(yù)、安全閥、爆破片、防火堤等獨(dú)立保護(hù)層中的一個(gè)或多個(gè)，根據(jù)文獻(xiàn)［4］中表E.3，各獨(dú)立保護(hù)層失效概率PFD≤1×10－1；引入點(diǎn)火概率、人員暴露、人員傷害、毒性影響等修正系數(shù)P，P=n×10－1，n=1～10，偏差導(dǎo)致的事故發(fā)生概率fci=f1i×PFD×P≤n×10－3，年頻率等級(jí)范圍為10－2～10－3。
為了方便分析，假定偏差導(dǎo)致的后果嚴(yán)重性為最嚴(yán)重等級(jí)的5級(jí)，事故發(fā)生年頻率等級(jí)為n×10－3，根據(jù)表1 LOPA風(fēng)險(xiǎn)評(píng)估矩陣可得知，事故風(fēng)險(xiǎn)為高風(fēng)險(xiǎn)，需采取進(jìn)一步的保護(hù)措施。
可在HAZOP分析的節(jié)點(diǎn)增加SIS獨(dú)立保護(hù)層，引入SIL1（PFD=1×10－2）的SIF回路時(shí)，后果發(fā)生的概率fci=n×10－3×1×10－2=n×10－5，年頻率等級(jí)為10－4～10－5，此時(shí)根據(jù)表1可知，5級(jí)后果的風(fēng)險(xiǎn)等級(jí)為中風(fēng)險(xiǎn)；當(dāng)引入SIL2（PFD=1×10－3）的SIF回路時(shí)，后果發(fā)生的概率fci=n×10－3×1×10－3=n×10－6，年頻率等級(jí)范圍為10－5～10－6，5級(jí)后果的風(fēng)險(xiǎn)是中風(fēng)險(xiǎn)；當(dāng)引入SIL3（PFD=1×10－4）的SIF回路時(shí)，后果發(fā)生的概率fci=n×10－3×1×10－4=n×10－7，年頻率等級(jí)范圍為10－6～10－7，5級(jí)后果的風(fēng)險(xiǎn)是低風(fēng)
險(xiǎn)。
上述SIL分析中選取了最嚴(yán)重的風(fēng)險(xiǎn)等級(jí)、最高的初始時(shí)間發(fā)生概率、最高的獨(dú)立保護(hù)層失效概率，可以看出SIL1的保護(hù)層即可將風(fēng)險(xiǎn)降為中風(fēng)險(xiǎn)，中風(fēng)險(xiǎn)是可選擇性的采取行動(dòng)；當(dāng)采用SIL3保護(hù)層時(shí)可將風(fēng)險(xiǎn)降為低風(fēng)險(xiǎn)，低風(fēng)險(xiǎn)不需要采取行動(dòng)。若風(fēng)險(xiǎn)等級(jí)小于5級(jí)或其他獨(dú)立保護(hù)層的失效概率小于1×10－1時(shí)，采用SIL2保護(hù)層時(shí)可將風(fēng)險(xiǎn)降為低風(fēng)險(xiǎn)，低風(fēng)險(xiǎn)不需要采取行動(dòng)。因此，SIS中，大部分SIF回路的SIL可定在1級(jí)；少數(shù)SIF回路的SIL可定在2級(jí)；極少數(shù)SIF回路的SIL定為3級(jí)。
2 IEC 61508 中SIL驗(yàn)算方法
IEC 61508［5］中的SIL驗(yàn)算方法適用于已取得SIL認(rèn)證的儀表、控制邏輯器、執(zhí)行元件等，常用的品牌型號(hào)產(chǎn)品認(rèn)證參數(shù)見(jiàn)表2所列，其中，λsd為被檢測(cè)到的安全故障率；λsu為未被檢測(cè)到的安全故障率；λdd為被檢測(cè)到的危險(xiǎn)故障率；λdu為未被檢測(cè)到的危險(xiǎn)故障率；λs為安全失效故障率；λd為危險(xiǎn)失效故障率（故障率的單位為Fit，1 Fit=1×10－9）；DC為診斷覆蓋率；SFF為安全失效分?jǐn)?shù)。計(jì)算公式如下所示［6］：
式（1）中λsd，λsu，λdd，λdu可從儀表設(shè)備SIL認(rèn)證證書(shū)中獲取。根據(jù)GB/T 50770—2013《石油化工安全儀表系統(tǒng)設(shè)計(jì)規(guī)范》［7］中4.1.3條規(guī)定：“通常石油化工工廠和裝置的安全儀表系統(tǒng)工作于低要求操作模式”，故下文中的參數(shù)均是低要求操作模式下的認(rèn)證參數(shù)。
通過(guò)式（1）的計(jì)算可得出安全失效分?jǐn)?shù)，而表3和表4列出了硬件的SIL，其中A類(lèi)儀表有浪涌保護(hù)器、液位開(kāi)關(guān)、安全柵、電磁閥、閥體、執(zhí)行機(jī)構(gòu)、閥門(mén)定位器等，B類(lèi)有安全型控制邏輯器、現(xiàn)場(chǎng)變送器等。
結(jié)合表2，表3和表4可以看出，通過(guò)SIL認(rèn)證的溫度變送器、壓力變送器、流量計(jì)、液位計(jì)等B類(lèi)子系統(tǒng)SFF多在90%～99%，符合SIL2的要求，可以通過(guò)冗余配置達(dá)到SIL3。而A類(lèi)子系統(tǒng)SFF在90%～99%已滿(mǎn)足SIL3要求。
SIS投入運(yùn)行后需進(jìn)行周期性的離線維護(hù)，某些故障或失效只能通過(guò)離線的人工測(cè)試才能發(fā)現(xiàn)，例如變送器的膜盒損壞、引壓管的堵塞、測(cè)量精度、閥門(mén)的腐蝕內(nèi)漏、閥芯的卡死等［810］。大多數(shù)SIS設(shè)備的檢驗(yàn)測(cè)試在裝置的停車(chē)大修期間進(jìn)行。在低操作要求模式下，檢測(cè)平均時(shí)間間隔T1有3 d,6 d,1 a，一般選用T1=1 a，平均恢復(fù)時(shí)間MTTR=8 h。
工程設(shè)計(jì)中，常見(jiàn)的儀表組合有“1oo1”,“1oo2”,“2oo3”，通過(guò)下列步驟分別計(jì)算組合后的PFDavg。
1） 計(jì)算通道等效停止時(shí)間tCE：
式中：βD——具有共同原因已被檢測(cè)到的失效分?jǐn)?shù)；β——具有共同原因沒(méi)有被檢測(cè)到的失效分?jǐn)?shù)，β=2βD。
β的值可根據(jù)GB/T 20438.6—2006［6］/IEC 61508： 2000中的表D.1評(píng)分獲得，β取值有1%，2%，5%，10%；對(duì)應(yīng)的βD分別為0.5%，1%，2.5%，5%。將上述數(shù)據(jù)分別代入式（5）中驗(yàn)算，結(jié)果相差無(wú)幾，且β評(píng)分方法繁瑣，為了方便工程計(jì)算，現(xiàn)場(chǎng)儀表可統(tǒng)一將β取值為10%，βD取值為5%。
5） 計(jì)算“2oo3”時(shí)的PFDavg：
PFDavg=6［（1-βD）λdd+（1-β）λdu］2tCEtGE+
βDλddMTTR+βλduT12+MTTR（6）
將表2內(nèi)的認(rèn)證參數(shù)代入式（2）～式（6），可得出分別在“1oo1”，“1oo2”，“2oo3”情況下的PFDavg，并將該值填入表2中。
6） 分別計(jì)算SIF回路中的傳感器、邏輯系統(tǒng)、執(zhí)行元件等的PFDavg后，計(jì)算SIF回路系統(tǒng)的平均失效概率PFDsys：∑PFDsys=∑PFDS+∑PFDL+∑PFDFE（7）
式中：∑PFDS——傳感器子系統(tǒng)平均失效概率；∑PFDL——邏輯子系統(tǒng)平均失效概率；∑PFDFE——執(zhí)行元件子系統(tǒng)平均失效概率。
因SIS的設(shè)計(jì)為故障安全型，電源的失效會(huì)將裝置帶到安全位置，故系統(tǒng)平均失效概率不考慮電源失效。
3 ISA TR 84.00.02 標(biāo)準(zhǔn)中SIL的驗(yàn)算方法
文獻(xiàn)[11]中SIL的計(jì)算方法相對(duì)簡(jiǎn)單，未經(jīng)SIL認(rèn)證的普通儀表采用IEC 61508計(jì)算時(shí)，λsd，λsu，λdd，λdu無(wú)數(shù)據(jù)可查，此時(shí)可通過(guò)文獻(xiàn)[11]進(jìn)行SIL驗(yàn)算，步驟如下所示：
1） 計(jì)算危險(xiǎn)失效故障率λd： λd=1/MTTFd（8）式中： MTTFd——平均危險(xiǎn)失效前時(shí)間,實(shí)際驗(yàn)算過(guò)程中精確的數(shù)值可從供貨商處獲取儀表平均故障時(shí)間MTBF， MTTFd=MTBF-MTTR，因MTTR時(shí)間很短為8 h，則MTTFd≈MTBF［12］。在MTTFd無(wú)數(shù)據(jù)可循的情況下，可參考文獻(xiàn)[11]中part 1 表5.1中5個(gè)工廠經(jīng)驗(yàn)值，詳細(xì)數(shù)據(jù)見(jiàn)表5所列。
表5常規(guī)儀表平均危險(xiǎn)失效前時(shí)間a
因λdu=λd×（1-DC），可假設(shè)未經(jīng)過(guò)SIL認(rèn)證的常規(guī)儀表診斷覆蓋率DC=0，則λdu=λd。
5） 根據(jù)式（7）計(jì)算SIF回路的PFDavg。
4應(yīng)用實(shí)例
假設(shè)P&ID中某節(jié)點(diǎn)需設(shè)置SIF回路，當(dāng)采用差壓變送器測(cè)量?jī)?chǔ)罐液位時(shí)，液位高高或壓力高高時(shí)聯(lián)鎖停進(jìn)料切斷閥，如圖1所示，該SIF回路經(jīng)HAZOP，LOPA分析后得出SIF回路的SIL=2。
1） 當(dāng)現(xiàn)場(chǎng)采用未經(jīng)SIL認(rèn)證的普通傳感器和執(zhí)行元件“1oo1”時(shí)，SIF回路的PFDavg見(jiàn)表6所列，∑PFDsys=2.700 5×10－2，SIF回路SIL=1，不滿(mǎn)足SIL2的要求。
從表6可以看出，SIF回路的PFDavg中現(xiàn)場(chǎng)變送器和執(zhí)行元件占了大部分的比例，安全柵、繼電器、安全型控制邏輯器占比例較少，需降低現(xiàn)場(chǎng)變送器和執(zhí)行元件子系統(tǒng)的PFDavg。
現(xiàn)場(chǎng)變送器采用“1oo2”，設(shè)置雙壓力變送器和液位變送器，如圖2所示。執(zhí)行元件采用“1oo2”，設(shè)置雙切斷閥，此時(shí)SIF回路的∑PFDsys=4.45×10－4＜1×10－2，滿(mǎn)足SIL2的要求。文獻(xiàn)[11]中指明，該規(guī)范中的計(jì)算步驟適用于SIL1和SIL2的SIF回路驗(yàn)證，除非完全掌握簡(jiǎn)化公式的計(jì)算方法和限制條件才可以進(jìn)行SIL3的SIF回路驗(yàn)證。
2） 當(dāng)SIF回路的現(xiàn)場(chǎng)傳感器及執(zhí)行元件均采用取得SIL認(rèn)證的儀表時(shí)，SIF回路PFDavg見(jiàn)表7所列。
當(dāng)變送器、不帶PVST功能的電磁閥、氣動(dòng)切斷球閥采用SIL2認(rèn)證的產(chǎn)品，與SIL3認(rèn)證的SM系統(tǒng)、安全柵、繼電器構(gòu)成的“1oo1”SIF回路∑PFDsys=1.503×10－3，SIF回路SIL=2；當(dāng)采用冗余的SIL2認(rèn)證的變送器、電磁閥、氣動(dòng)切斷球閥、安全柵、繼電器，與SM系統(tǒng)構(gòu)成的“1oo2”SIF回路∑PFDsys=8.22×10－5，SIF回路滿(mǎn)足SIL3的要求。
當(dāng)電磁閥帶PVST功能時(shí)，其“1oo1”時(shí)PFDavg查表2為1.503×10－5，代入到表7中，采用SIL2認(rèn)證的變送器、氣動(dòng)切斷球閥，與SIL3認(rèn)證的SM系統(tǒng)、安全柵、繼電器、帶PVST功能的電磁閥構(gòu)成的“1oo1”SIF回路∑PFDsys=6.980 3×10－4，SIF回路滿(mǎn)足SIL3的要求。
3） 當(dāng)檢測(cè)器子系統(tǒng)采用未經(jīng)安全完整性等級(jí)認(rèn)證的普通儀表“1oo2”，執(zhí)行元件子系統(tǒng)采用經(jīng)過(guò)安全完整性等級(jí)認(rèn)證的不帶PVST功能電磁閥、氣動(dòng)切斷球閥“1oo1”，如圖3所示?！芇FDsys=1.029×10－3，滿(mǎn)足SIL2的要求。
5結(jié)論
SIF回路的SIL驗(yàn)算需大量的數(shù)據(jù)支撐，準(zhǔn)確數(shù)據(jù)獲取不易，對(duì)于工程設(shè)計(jì)而言，可粗略的得出如下結(jié)論，方便快速驗(yàn)算：
1） 對(duì)一個(gè)SIF回路的PFDavg進(jìn)行分解，傳感器子系統(tǒng)約占35%，安全型控制邏輯器約占15%，執(zhí)行元件子系統(tǒng)約占50%。
SIL2認(rèn)證的儀表“1oo1”結(jié)構(gòu)PFDavg在10－4左右，“1oo2”結(jié)構(gòu)PFDavg在10－6左右，“2oo3”結(jié)構(gòu)PFDavg在10－5左右，如沒(méi)有具體數(shù)據(jù)可參考上述數(shù)量級(jí)進(jìn)行粗略計(jì)算。
2） 用于緊急停車(chē)功能的安全型控制邏輯器、安全柵、浪涌保護(hù)器、繼電器宜選SIL3認(rèn)證的產(chǎn)品；對(duì)于裝置規(guī)模較小、聯(lián)鎖簡(jiǎn)單、事故后果可控的中小型生產(chǎn)企業(yè)若LOPA分析所有SIF回路SIL均為1時(shí)，可選用SIL2認(rèn)證的安全型控制器、安全柵等。
3） 采用質(zhì)量可靠（MTBF≥50 a）、應(yīng)用廣泛、未取得SIL認(rèn)證的傳感器、執(zhí)行元件子系統(tǒng)構(gòu)成的“1oo1” SIF回路，在傳感器子系統(tǒng)和執(zhí)行元件子系統(tǒng)中儀表數(shù)量較少的情況下，基本可滿(mǎn)足SIL1的要求。
采用經(jīng)SIL認(rèn)證的儀表、或未經(jīng)SIL認(rèn)證的普通儀表組成“1oo2”，“2oo3” SIF回路、或經(jīng)過(guò)SIL認(rèn)證的執(zhí)行元件與未經(jīng)過(guò)SIL認(rèn)證的“1oo2”，“2oo3”傳感器子系統(tǒng)混合型的方式來(lái)降低回路的PFDavg以滿(mǎn)足SIL2的要求。采用經(jīng)SIL認(rèn)證的傳感器子系統(tǒng)與帶PVST功能的執(zhí)行元件配套使用可達(dá)到SIL3的要求。
4） 當(dāng)傳感器子系統(tǒng)采用“1oo2”，“2oo3”的方式時(shí)，儀表的取源部件不應(yīng)共用，以免因取源部件的堵塞導(dǎo)致SIF回路的失效。
5） GB/T 50770—2013《石油化工安全儀表系統(tǒng)設(shè)計(jì)規(guī)范》中，SIL1的回路中測(cè)量?jī)x表、控制閥可與BPCS共用；SIL2的回路中測(cè)量?jī)x表、控制閥宜與BPCS分開(kāi)；SIL3回路中的測(cè)量?jī)x表、控制閥應(yīng)與BPCS分開(kāi)［7］。
從LOPA分析來(lái)看，BPCS與SIS是兩個(gè)獨(dú)立的保護(hù)層，如SIF回路中的測(cè)量?jī)x表、控制閥與BPCS共用，測(cè)量?jī)x表或控制閥的失效可能導(dǎo)致BPCS和SIS的同時(shí)失效，破壞SIS保護(hù)層的獨(dú)立性。
因此，在設(shè)計(jì)過(guò)程中SIS中SIF回路的檢測(cè)儀表、控制閥不建議與BPCS共用，不推薦采用調(diào)節(jié)閥配電磁閥的方式進(jìn)行控制、聯(lián)鎖。
注：本文轉(zhuǎn)載自自控中心站微信公眾號(hào)，如有侵權(quán)請(qǐng)聯(lián)系刪除。
