安全儀表系統(tǒng)的回路設計探討

王東峰

(東華工程科技股份有限公司，合肥 230024)

近十幾年來，隨著工業(yè)裝置規(guī)模的不斷擴大，生產安全問題越來越受到各方面的關注，特別是許多大中型石油化工和煤化工項目，在項目設計階段都要進行風險和安全評估。通常通過危險和可操作性分析(HAZOP)以及保護層分析(LOPA)確定所需的安全儀表功能(SIF)及其安全完整性等級(SIL)。在工程設計階段，安全儀表系統(tǒng)的回路設計能否滿足SIF及其SIL的要求是每位自控專業(yè)設計人員非常關注的問題。以下就安全儀表系統(tǒng)的回路設計及驗證方法提出自己的看法，以供參考。

1 安全儀表系統(tǒng)相關概念

1.1 安全儀表功能

SIF是為了防止、減少危險事件發(fā)生或保持過程安全狀態(tài)，用測量儀表、邏輯控制器、最終元件及相關軟件等實現(xiàn)的安全保護功能或安全控制功能[1]。通俗地理解就是工藝專業(yè)提出的聯(lián)鎖回路條件，例如，氮氣儲罐壓力高于5.0MPa時，在10s內關閉氮氣進口閥。

SIF的運行模式分為低要求操作模式和高要求(或連續(xù))操作模式。SIF在低要求操作模式下執(zhí)行安全儀表保護功能；在連續(xù)操作模式下執(zhí)行安全儀表控制功能[1]。

文獻[2]中指出“通常石油化工和煤化工裝置的安全儀表系統(tǒng)工作于低要求操作模式，應采用低要求模式的平均失效概率來計算和驗證安全儀表系統(tǒng)的SIL”。

1.2 安全完整性

安全完整性是安全儀表系統(tǒng)在規(guī)定時間和規(guī)定條件下，執(zhí)行SIF的平均概率。安全完整性由硬件安全完整性和系統(tǒng)安全完整性組成。其中，硬件結構約束的安全完整性和硬件失效概率的安全完整性一起實現(xiàn)了硬件的安全完整性。

1.3 安全完整性等級

SIL是用來規(guī)定分配給安全儀表系統(tǒng)的SIF的安全完整性要求的離散等級。SIL可分為SIL1到SIL4四個等級，其中，SIL4為最高等級。

在低要求操作模式下，當過程中發(fā)生了危險情況需要安全儀表系統(tǒng)執(zhí)行保護動作時，SIF因失效而不能完成保護功能的概率叫作失效概率。隨著時間的流逝，安全儀表系統(tǒng)的可靠性會降低，失效概率隨之增大，其在檢驗測試時間間隔跨度上的平均值稱為平均失效概率PFDavg(以下均簡化為PFD)。

在低要求操作模式下，SIF的SIL采用PFD衡量，其對應關系見表1所列[3]。每個SIF的PFD應小于其SIL在表1中所對應的目標失效值。

表1 安全儀表功能的安全完整性等級(低要求操作模式)

1.4 安全儀表系統(tǒng)的硬件結構約束

硬件結構約束是除硬件失效概率之外對安全儀表系統(tǒng)在某個特定應用中所提出的附加約束。安全儀表系統(tǒng)要滿足相應的SIL要求，其硬件失效概率和硬件結構約束均應滿足相應的要求。

文獻[1]對安全儀表系統(tǒng)的硬件結構約束體現(xiàn)在硬件故障裕度的要求上。在出現(xiàn)故障或者誤差的情況下，功能單元(傳感器、邏輯控制器、最終元件)繼續(xù)執(zhí)行要求的SIF的能力即為故障裕度。最低硬件故障裕度反映了要求的硬件最低的冗余程度。

文獻[1]定義最低的硬件故障裕度要求是為了減輕SIF設計中的潛在缺陷，這些缺陷可能是由于SIF設計中所作的各種假設以及在各種過程應用中部件故障率的不確定性所導致的。

1.5 安全儀表系統(tǒng)的硬件失效概率

每一個安全儀表系統(tǒng)由測量儀表、邏輯控制器和最終元件三個子系統(tǒng)組成，其PFD是各子系統(tǒng)PFD之和。為了確定每一個子系統(tǒng)的PFD，先列出子系統(tǒng)各部件的組成，再為各部件選擇合適的表決結構，從而根據相應表決結構的計算公式計算出各結構的PFD，最終求和得到整個安全儀表系統(tǒng)的PFD。

2 安全儀表系統(tǒng)硬件回路設計

2.1 要 求

文獻[1]中推薦的示例如圖1所示，筆者根據此例的要求進行安全儀表系統(tǒng)設計的實現(xiàn)。如圖1所示，1個對易燃易爆物料進行氣液分離的壓力容器，正常時由液位調節(jié)回路控制底部液體送往下游工序進行加工處理。當壓力超過高限時會造成罐體破裂和危險物料泄漏等危險事件。經過HAZOP和LOPA分析，擬在設立安全閥等保護層之外采用1個SIF(壓力超高限時切斷進料)作為防止超壓的保護手段。SIF的完全完整性等級為SIL2，檢驗測試時間間隔T1為1a，平均恢復時間MTTR為8h。

圖1 安全儀表系統(tǒng)硬件回路設計示例

2.2 安全相關儀表的失效數據

通過失效模式、影響和診斷分析(FMEDA)可以得到某一設備某一種失效模式的失效概率，安全失效和危險失效的比例、診斷覆蓋率也可以很準確地得到。這些數據通常由第三方機構認證，該種機構最著名的有TüV萊茵和EXIDA。

針對圖1示例的需要，收集了安全相關儀表的失效數據，見表2所列。

2.3 硬件安全完整性分析

2.3.1測量儀表

圖1示例中，采用本安型壓力變送器時，測量儀表由壓力變送器和輸入安全柵兩部分組成；采用隔爆型壓力變送器時，測量儀表僅由壓力變送器組成。

表2 安全相關儀表的失效數據

首先，根據要求的SIL進行硬件結構約束評價。文獻[3]給出了安全相關子系統(tǒng)的結構約束，見表3所列。

表3 B類安全相關子系統(tǒng)的結構約束

根據表2中的失效數據，壓力變送器為B類安全相關設備，其SFF=93.1%。輸入安全柵也為B類安全相關設備，其SFF=95.3%，查表3得，壓力變送器和輸入安全柵的故障裕度為0，即可滿足SIL2。

接下來搭建不同的表決結構，計算出測量儀表在各種結構下的PFD。對于每一個子系統(tǒng)的PFD根據其結構不同，文獻[3]給出了不同的計算公式，公式適用于測量儀表子系統(tǒng)、邏輯控制器子系統(tǒng)和最終元件子系統(tǒng)。

“1oo1”結構的PFD計算公式：

PFD=(λDU+λDD)tCE

(1)

“1oo2”結構的PFD計算公式：

(2)

“2oo2”結構的PFD計算公式：

PFD=2(λDU+λDD)tCE

(3)

“2oo3”結構的PFD計算公式：

(4)

式中：T1——檢驗測試時間間隔，h；MTTR——平均恢復時間，h；β——具有共同原因的、沒有被檢測到的失效分數；λDD——檢測到的子系統(tǒng)中通道每小時的危險失效概率；λDU——未檢測到的子系統(tǒng)中通道每小時的危險失效概率；tCE——通道的等效平均停止工作時間；tGE——表決組的等效平均停止工作時間。

(5)

將表2中壓力變送器和輸入安全柵的失效數據分別代入到式(1)～(4)，得到壓力變送器在采用本安型和隔爆型兩種防爆方式時，測量儀表子系統(tǒng)的PFD，見表4所列。

表4 測量儀表子系統(tǒng)的PFD

在計算時，β取最保守的20%。當采用本安型壓力變送器時，測量儀表子系統(tǒng)的PFD等于壓力變送器和輸入安全柵的PFD之和；而采用隔爆型壓力變送器時，測量儀表子系統(tǒng)的PFD等于壓力變送器的PFD。

2.3.2邏輯控制器

在工業(yè)應用中，通常采用獨立的邏輯控制器，即安全儀表控制系統(tǒng)(SIS-PES)，來搭建安全儀表系統(tǒng)。安全儀表控制系統(tǒng)的硬件設備均冗余設置，并具有完善的硬件、軟件在線自診斷功能。在出現(xiàn)故障時可進行無擾動切換，并自動記錄故障報警提示維護人員進行維護。其出現(xiàn)故障的概率相對于測量儀表和執(zhí)行器來說是很小的。在設計階段主要是綜合考慮全廠所有SIF的SIL的最高要求，并在安全儀表控制系統(tǒng)技術規(guī)格書中提出相應的要求。假設圖1示例中采用的是某知名品牌的安全儀表控制系統(tǒng)，根據其平均故障間隔時間(MTBF)得出其PFD為0.5×10-4。

2.3.3最終元件

圖1示例中，最終元件是控制閥，由電磁閥、執(zhí)行機構、閥門本體三部分組成。

對于不同SIL的安全儀表系統(tǒng)，文獻[1]規(guī)定了構成安全儀表系統(tǒng)的儀表設備有不同的故障裕度要求，見表5所列。像閥門這種沒有故障診斷功能的儀表適合通過該表來進行硬件結構約束評價。

表5 傳感器、最終元件和非PE邏輯解算器的最低硬件故障裕度

文獻[1]允許給予“早先使用”(prior use)且滿足特定條件的設備高一個水平的SIL值。查表5得，當所選的閥門為“早先使用”且滿足相應條件時，單一的設備就可應用于SIL2的場合。

接下來再進行硬件失效概率分析。電磁閥和執(zhí)行機構的β取最保守的20%，閥門本體的β根據文獻[3]的附錄D進行估算，取10%。將表3中電磁閥、執(zhí)行機構、閥門本體的失效數據分別代入到式(1)～(2)中，得到電磁閥、執(zhí)行機構和閥門本體在“1oo1， 2oo2”結構下的PFD：

PFD1oo1(電磁閥)=3.86×10-4

PFD1oo2(電磁閥)=7.74×10-5

PFD1oo1(執(zhí)行機構)=1.48×10-3

PFD1oo2(執(zhí)行機構)=2.99×10-4

PFD1oo1(閥門本體)=7.61×10-3

PFD1oo2(閥門本體)=8.24×10-4

最終元件的PFD為電磁閥、執(zhí)行機構、閥門本體的PFD之和為

PFD1oo1(最終元件)=PFD1oo1(電磁閥)+PFD1oo1(執(zhí)行機構)+

PFD1oo1(閥門本體)=9.48×10-3

PFD1oo2(最終元件)=PFD1oo2(電磁閥)+PFD1oo2(執(zhí)行機構)+

PFD1oo2(閥門本體)=1.20×10-3

“1oo1”結構的故障率占目標故障率10-2的94.8%，要使安全儀表系統(tǒng)的PFD小于10-2從而滿足SIL2，需要選用更可靠的測量儀表的表決結構和更可靠的可編程邏輯控制器?！?oo1”結構并非完全不能選用，有以下改進方法可以嘗試：

1) 選用故障率更低的閥門。通過式(1)， (5)可以看出，如果減小λDU，λDD的值，將使PFD值相應降低。選用故障率更低的閥門可以相應降低最終元件的PFD，但是閥門的采購成本會有很大的提高。

2) 改變閥門局部的表決結構，例如電磁閥采用“1oo2”結構：

PFD1oo1(最終元件)=PFD1oo2(電磁閥)+PFD1oo1(執(zhí)行機構)+

PFD1oo1(閥門本體)=7.74×10-5+1.48×10-3+

7.61×10-3=9.17×10-3

3) 調整檢驗測試時間間隔。在工藝允許的情況下縮短T1，如果將示例中的T1從1a(8760h)調整為0.5a(4380h)，將表3中電磁閥、執(zhí)行機構、閥門本體的失效數據重新代入到式(1)～(2)中，得：

PFD1oo1(最終元件)=PFD1oo1(電磁閥)+PFD1oo1(執(zhí)行機構)+

PFD1oo1(閥門本體)=1.93×10-4+7.43×10-4+

3.81×10-3=4.75×10-3

此時，“1oo1”結構的故障率占目標故障率10-2的46.1%，故障率得到了顯著的降低。

最終元件的T1往往受到工藝運行周期的制約，一般情況下，最終元件的檢驗測試需要在裝置停車的情況下才能進行。因此，裝置從開車到停車的時間決定了T1，通過調整T1的方法來降低故障率有很大的局限性。

4) 間接調整檢測時間。對于閥門來說，可以增加部分行程測試(PST)功能。閥門的部分行程測試PST(Partial Stroke Testing)是一種在線檢測緊急切斷閥可靠性的方法。在線檢測故障就是讓切斷閥作周期性的部分行程動作。例如： 切斷閥從全開位置部分關閉10%～30%行程，按一定的時間間隔周期性動作，以便更好地檢查其閥桿移動情況，判斷其功能的好壞。

增加PST功能后，部分不可檢測的失效概率轉變?yōu)榭蓹z測的失效概率，使相關子系統(tǒng)的故障率得到改善。該類數據可以從第三方認證機構的FMEDA報告中得到。將改善的失效數據分別代入到式(1)，得到電磁閥、執(zhí)行機構和閥門本體在“1oo1”結構下采用PST功能的PFD，三部分之和得到最終元件的PFD：

PFD1oo1(最終元件)=PFD1oo1(電磁閥)+PFD1oo1(執(zhí)行機構)+

PFD1oo1(閥門本體)=5.08×10-6+7.87×10-4+

6.24×10-3=7.04×10-3

2.4 可用性分析

在實際生產過程中，誤停車會中斷裝置的正常生產，產生大量不合格品，從而造成經濟損失，更嚴重的可能會造成某些關鍵設備的損耗。因此，用戶不但希望安全儀表系統(tǒng)是足夠安全的，而且也希望安全儀表系統(tǒng)造成的誤停車次數越少越好。安全儀表系統(tǒng)誤動率反映了系統(tǒng)的可用性，也將是評價安全儀表系統(tǒng)的重要指標。

安全儀表系統(tǒng)安全要求規(guī)范中，如果存在一個偽脫扣的目標頻率，可以通過計算回路的安全失效概率(PFS)來判斷變送器的表決結構是否合適，這種定量的分析方法本文不再展開討論。

2.5 安全儀表系統(tǒng)的組成方案分析

本文示例所需的安全儀表系統(tǒng)的回路構成有多種方案，見表6所列。設計時根據不同的可用性要求和項目的投資情況來選擇不同的方案。

對比方案1和方案2以及方案5和方案6可見，測量儀表和電磁閥采用“1oo2”結構時，安全儀表系統(tǒng)的PFD并沒有得到很大的降低，反而降低了系統(tǒng)的可用性，在安全儀表系統(tǒng)有可用性要求時這種結構將不適合采用。

方案3相比于方案1，測量儀表采用“2oo2”結構時，提高了系統(tǒng)的可用性，但安全儀表系統(tǒng)的PFD卻有了一定的提高，即系統(tǒng)的可靠性有所降低。本例中甚至降低了SIL。而方案4，測量儀表采用“2oo3”結構，既保證了可靠性又兼顧了可用性。

對比方案3和方案5可見，安全儀表系統(tǒng)的PFD在測量儀表采用隔爆型時顯著低于采用本安型時。因此，在特定場合測量儀表采用隔爆型將更有利于安全儀表系統(tǒng)的回路搭建。

方案7，電磁閥采用“2oo2”結構時，雖然使安全儀表系統(tǒng)的PFD有了一定的提高，即系統(tǒng)的可靠性有所降低，但是提高了系統(tǒng)的可用性。

對比方案5和方案9可見，閥門增加PST功能，在不改變工藝大檢修周期的情況下，縮小了T1，可以很大程度地降低安全儀表系統(tǒng)的PFD。當然，PST只能檢測出閥門故障模式中的一部分，不能完全代替完全功能檢測，且某些工況工藝是不允許閥門作PST的(例如高壓蒸汽管網的放空閥)。因此，在工程應用中，PST可以作為提高安全儀表系統(tǒng)可靠性的重要措施而被考慮，但由于其局限性，設計時應充分理解工藝流程，具體工況具體分析。

表6 安全儀表系統(tǒng)的回路組成方案

2.6 結 論

綜合上述分析結果，可以得出如下結論：

1) 組成滿足相應SIL要求的安全儀表系統(tǒng)的方法是多樣的。在實際應用中，應結合經濟投資、安全儀表功能的SIL、安全儀表系統(tǒng)安全要求規(guī)范中的誤跳車要求等，酌情選擇相應的硬件和表決結構。

2) 一個典型的安全儀表系統(tǒng)由測量儀表、邏輯控制器、最終元件三部分組成，安全儀表系統(tǒng)的PFD值符合“木桶原理”，即三部分的PFD值最大者決定了回路的PFD值的范圍，很大程度上也就決定了SIF的SIL。這三部分中，最終元件在PFD中占有的比例最大，在進行安全儀表系統(tǒng)回路設計時可以先分析計算最終元件，得出幾種可能的儀表選型和表決結構，再根據相應的PFD考慮測量儀表的儀表選型和表決結構。

3) 對于自控專業(yè)設計人員，能夠參與過程危險分析和風險評估是很有必要的。一方面，可以使自控專業(yè)設計人員在進行回路設計時，對特定危險事件發(fā)生的頻率和后果有一個直觀的認識，對裝置現(xiàn)有的保護層以及項目對誤停車的容忍度有一個更深刻的理解。另一方面，自控專業(yè)設計人員可以反饋搭建安全儀表系統(tǒng)的難易程度和投資規(guī)模等信息，使分析小組得出的安全儀表系統(tǒng)安全要求更加合理。通過增加保護層或者降低工藝大檢修周期等措施來降低SIL要求，相對于花費過大的投資來滿足過高的SIL要求，將顯得更加方便實施和經濟合理。

3 結束語

在石油化工和煤化工設計中，安全問題是非常關鍵的問題。通過上面的步驟，基本上可以解決一般的SIF設計問題。但是，在設計階段取得足夠的安全儀表相關數據以及得到足夠完整的安全要求規(guī)范有一定的難度，只有盡可能地收集足夠多的信息，合理地搭建安全回路子系統(tǒng)的表決結構，才能以最低的成本，滿足最大化的安全性和可靠性要求。

參考文獻：

[1] 機械工業(yè)儀器儀表綜合技術經濟研究所. GB/T 21109—2007 過程工業(yè)領域安全儀表系統(tǒng)的功能安全[S].北京： 中國標準出版社，2007.

[2] 中國石油化工集團公司.GB/T 50770—2013 石油化工安全儀表系統(tǒng)設計規(guī)范[S].北京： 中國計劃出版社，2013.

[3] 機械工業(yè)儀器儀表綜合技術經濟研究所.GB/T 20438—2006 電氣/電子/可編程電子安全相關系統(tǒng)的功能安全[S]. 北京： 中國標準出版社，2006.

[4] 陽憲惠，郭海濤. 安全儀表系統(tǒng)的功能安全[M]. 北京： 清華大學出版社，2007.

[5] 魏華.安全設計的保護層分析在600kt/a甲醇項目中的應用[J]. 石油化工自動化，2008，44(06)： 24-27.

[6] 魏華.安全儀表的可靠性和可用性分析[J]. 石油化工自動化，2009，45(01)： 10-13.

[7] 王立奉.功能安全技術講座 第十七講 安全儀表系統(tǒng)中緊急切斷閥的部分行程測試[J]. 儀器儀表標準與計量，2009(05)： 9-14.

[8] 祝敬輝.SIS設計中可用性和安全性淺析[J]. 儀器儀表標準與計量，2010(04)： 25-27.

[9] 馮兆宇.安全儀表系統(tǒng)回路設計與研究[J]. 儀器儀表標準與計量，2010(04)： 28-30.

[10] 王秋紅.安全儀表系統(tǒng)切斷閥在線行程測試[J]. 石油化工自動化，2009，45(03)： 75-76.