基于IEC61508標(biāo)準(zhǔn)電站鍋爐MFT的功能安全評(píng)估

王 耀 ，王新寧 ，王 疆

（1.北京國(guó)電智深控制技術(shù)有限公司，北京 102200；2.北京市電站自動(dòng)化工程技術(shù)研究中心，北京 102200；3.國(guó)電建投內(nèi)蒙古能源有限公司，內(nèi)蒙古 017209）

鍋爐爐膛安全監(jiān)控系統(tǒng)FSSS作為鍋爐設(shè)備專門的保護(hù)系統(tǒng)廣泛應(yīng)用于大型火力發(fā)電機(jī)組的鍋爐保護(hù)中，它包括燃燒器控制系統(tǒng)BCS和爐膛安全系統(tǒng)FSS兩大部分。在DCS的邏輯設(shè)計(jì)中，BCS主要是控制燃燒器（煤燃燒器、油燃燒器、等離子燃燒器等）的順啟、順停、聯(lián)鎖、投切等，使各個(gè)設(shè)備按照規(guī)定的動(dòng)作執(zhí)行；FSS是保障鍋爐設(shè)備的安全穩(wěn)定的運(yùn)行，當(dāng)鍋爐設(shè)備出現(xiàn)危險(xiǎn)工況時(shí)，迅速切斷進(jìn)入鍋爐爐膛內(nèi)的所有燃料，防止燃料聚積[1]。

目前，國(guó)內(nèi)火力發(fā)電機(jī)組FSSS的設(shè)計(jì)及項(xiàng)目實(shí)施過(guò)程中所依據(jù)的標(biāo)準(zhǔn)中并沒(méi)有提及對(duì)FSSS的軟、硬件進(jìn)行功能安全分析、評(píng)估、SIL等級(jí)驗(yàn)證的要求[2-6]。在實(shí)際工程設(shè)施中，F(xiàn)SSS的硬件配置和軟件組態(tài)大多按照以往的項(xiàng)目經(jīng)驗(yàn)進(jìn)行，設(shè)備安裝、調(diào)試完成后也不對(duì)FSSS進(jìn)行安全性分析，驗(yàn)證其能否滿足用戶規(guī)定的安全性和可靠性的要求，能否達(dá)到一定的安全等級(jí)。功能安全評(píng)估是以IEC61508標(biāo)準(zhǔn)為理論背景，以安全生命周期為分析框架，以安全完整性等級(jí)為評(píng)價(jià)指針，基于風(fēng)險(xiǎn)的安全技術(shù)和管理模式。參照IEC61508標(biāo)準(zhǔn)對(duì)火力發(fā)電機(jī)組FSSS進(jìn)行功能安全分析、評(píng)估，能將安全生命周期的概念融入到整個(gè)系統(tǒng)中即實(shí)現(xiàn)將系統(tǒng)設(shè)計(jì)、選型、硬件配置、軟件組態(tài)、系統(tǒng)集成、安裝調(diào)試、運(yùn)行維護(hù)等形成一個(gè)統(tǒng)一的整體，明確FSSS應(yīng)該承擔(dān)的風(fēng)險(xiǎn)，合理設(shè)計(jì)FSSS的硬件配置、選型，制定完備的維護(hù)、檢修方案。同時(shí)，在確保鍋爐爐膛安全監(jiān)控系統(tǒng)的安全功能滿足用戶要求時(shí)，減少追求過(guò)高的安全性產(chǎn)生的資源和成本的浪費(fèi)，具有一定的工程應(yīng)用價(jià)值。在此，以國(guó)內(nèi)某1000 MW機(jī)組二期項(xiàng)目FSSS為范例，結(jié)合功能安全標(biāo)準(zhǔn)IEC61508對(duì)其進(jìn)行功能安全分析及評(píng)估。

1 電站鍋爐爐膛的保護(hù)層分析

1.1 場(chǎng)景分析

電站鍋爐爐膛的外爆和內(nèi)爆的場(chǎng)景分析如圖1和圖2所示。

圖1 電站鍋爐爐膛外爆的場(chǎng)景路徑Fig.1 Scenario path of boiler furnace external explosion

圖2 電站鍋爐爐膛內(nèi)爆的場(chǎng)景路徑Fig.2 Scenario path of boiler furnace external implosion

1.2 確定初始事件頻率

初始事件主要包括設(shè)備故障失效、人因失效、外部環(huán)境觸發(fā)事件。鍋爐爐膛內(nèi)爆原因包括送風(fēng)機(jī)和引風(fēng)機(jī)不正常運(yùn)行、磨煤機(jī)、給煤機(jī)故障導(dǎo)致燃料輸入短時(shí)間內(nèi)急劇較少、主燃燒跳閘MFT。鍋爐爐膛外爆原因包括全爐膛滅火、火焰檢測(cè)喪失、爐膛吹掃的風(fēng)量大于40%總風(fēng)量導(dǎo)致陰燃物揚(yáng)起、燃料漏落入爐膛、爐膛吹掃未完成就進(jìn)行點(diǎn)火操作等。初始事件發(fā)生的頻率大小一般以每年或者106h事件發(fā)生的次數(shù)表示，其數(shù)據(jù)來(lái)源為設(shè)備廠家提供的數(shù)據(jù)、公司以往的項(xiàng)目經(jīng)驗(yàn)、該行業(yè)平均行業(yè)數(shù)據(jù)等。在此，根據(jù)工業(yè)失效數(shù)據(jù)庫(kù)OREDA數(shù)據(jù)庫(kù)中的數(shù)據(jù)，同時(shí)依據(jù)《電力安全事故等級(jí)劃分標(biāo)準(zhǔn)》及國(guó)家電網(wǎng)電力公司統(tǒng)計(jì)調(diào)研的數(shù)據(jù)，確定內(nèi)爆和外爆的發(fā)生頻率分別為31次/a和16次/a。

1.3 場(chǎng)景風(fēng)險(xiǎn)量化

電站鍋爐爐膛外爆（內(nèi)爆的保護(hù)層分析和外爆相似）的保護(hù)層分析如圖3所示。觸發(fā)事件的頻率為0.3，過(guò)程工藝的PFD設(shè)為10-1，燃燒器管理系統(tǒng)的PFD設(shè)為10-1，操作運(yùn)行人員干涉/調(diào)整的PFD設(shè)為10-1，MFT系統(tǒng)的PFD設(shè)為10-2，則根據(jù)保護(hù)層分析的結(jié)果可以計(jì)算出：

圖3 電站鍋爐爐膛外爆保護(hù)層分析Fig.3 Layer of protection analysis diagram of boiler furnace external explosion

2 電站鍋爐FSSS目標(biāo)SIL等級(jí)的定性確定

根據(jù)IEC61508標(biāo)準(zhǔn)第5部分——SIL等級(jí)的方法示例中附錄E給出的風(fēng)險(xiǎn)矩陣法定性確定FSSS的目標(biāo)SIL等級(jí)。利用風(fēng)險(xiǎn)矩陣法對(duì)事故發(fā)生后造成的后果和事故發(fā)生的概率進(jìn)行分類，見(jiàn)表1，表2。根據(jù)上述對(duì)電站鍋爐爐膛外爆和內(nèi)爆保護(hù)層分析的結(jié)果，確定鍋爐爆炸的可能性為中，參照《電力安全事故等級(jí)劃分標(biāo)準(zhǔn)》中事故后果嚴(yán)重程度的劃分，選擇鍋爐爐膛內(nèi)爆和外爆造成的后果為嚴(yán)重。

表1 事故發(fā)生造成后果嚴(yán)重程度分類Tab.1 Accident consequence classifications

表2 事故發(fā)生可能性分類Tab.2 Accident probability classifications

對(duì)不采用FSSS系統(tǒng)的爐膛內(nèi)爆和外爆事故后果及可能性構(gòu)建風(fēng)險(xiǎn)矩陣，進(jìn)而確定火力發(fā)電機(jī)組鍋爐爐膛安全監(jiān)控系統(tǒng)的SIL等級(jí)為2，如圖4所示。

圖4 風(fēng)險(xiǎn)矩陣Fig.4 Risk matrix

3 電站鍋爐FSSS功能安全評(píng)估

3.1 安全相關(guān)系統(tǒng)SIS的組成

爐膛總風(fēng)量小于25%觸發(fā)MFT的SIS組成如表3所示，爐膛總風(fēng)量小于25%信號(hào)走向及觸發(fā)MFT的信號(hào)流程如圖5所示。

表3 爐膛總風(fēng)量小于25%觸發(fā)MFT的SIS組成Tab.3 SIS configuration of low air initiating MFT

圖5 爐膛總風(fēng)量小于25%信號(hào)走向及觸發(fā)MFT的信號(hào)流程Fig.5 Signal flow chart and generation of low air initiating MFT

3.2 安全功能SIF的安全完整性等級(jí)SIL計(jì)算

在明確爐膛風(fēng)量小于25%觸發(fā)MFT這一子安全功能的信號(hào)流程和該安全功能的安全相關(guān)系統(tǒng)的組成后，以爐膛風(fēng)量小于25%觸發(fā)MFT為頂事件完成故障樹(shù)建模，如圖6所示。

圖6 爐膛總風(fēng)量小于25%觸犯MFT的危險(xiǎn)失效故障樹(shù)模型Fig.6 Dangerous failure fault tree of low air trip MFT

基于簡(jiǎn)單β因子的n取k系統(tǒng)平均要求時(shí)失效率PFDavg的計(jì)算公式 （即不同冗余結(jié)構(gòu)的PFDavg的計(jì)算公式），如表4所示[8]。其中，定義n取k系統(tǒng)中自診斷共因失效分?jǐn)?shù)為βD，且滿足β=2βD，系統(tǒng)子通道的等效平均停止時(shí)間為tCE，滿足各個(gè)部件失效率數(shù)據(jù)如表 5所示[9]。

表4 IEC61508標(biāo)準(zhǔn)中n取k（n＞k）系統(tǒng)PFDavg計(jì)算公式Tab.4 Formulas of koon（n＞k）system in IEC61508

表5 各個(gè)部件失效率數(shù)據(jù)Tab.5 Failure rates of components

經(jīng)過(guò)上述計(jì)算，結(jié)合IEC61508標(biāo)準(zhǔn)第一部分第7節(jié)整體安全生命周期的要求，即表6中給出的低要求操作模式下SIL等級(jí)與PFDavg對(duì)應(yīng)關(guān)系可以確定爐膛風(fēng)量小于25%觸發(fā)MFT這一子安全系統(tǒng)的安全功能的SIL等級(jí)為SIL1，達(dá)不到FSSS的目標(biāo)安全完整性等級(jí)，需要對(duì)系統(tǒng)的結(jié)構(gòu)進(jìn)行調(diào)整。

表6 SIL：在低要求操作模式下分配給一個(gè)E/E/PE安全相關(guān)系統(tǒng)的安全功能目標(biāo)失效Tab.6 SIL：Failure of the safety function assigned to an E/E/PE safety-related system in the low-requested operating mode

3.3 安全相關(guān)系統(tǒng)SIS的改進(jìn)方案

爐膛總風(fēng)量小于25%觸發(fā)MFT該安全功能的SIL未達(dá)到SIL2，主要原因在與執(zhí)行機(jī)構(gòu)的PFD過(guò)高，改進(jìn)措施包括：

（1）將原來(lái)的電動(dòng)執(zhí)行機(jī)構(gòu)（電磁閥、電動(dòng)門等）由1oo1冗余結(jié)構(gòu)提升為1oo2結(jié)構(gòu)；

（2）提高運(yùn)行維護(hù)人員的工作效率，縮短執(zhí)行機(jī)構(gòu)的功能測(cè)試周期，將原來(lái)的TI由1 a縮短為0.5 a，且共因失效因子β=0.1。重新計(jì)算執(zhí)行機(jī)構(gòu)的PFDavg，結(jié)果如表7所示。

表7 SIS系統(tǒng)各個(gè)部分的平均要求時(shí)失效概率Tab.7 After rectification

通過(guò)對(duì)安全相關(guān)系統(tǒng)中執(zhí)行器部分設(shè)計(jì)結(jié)構(gòu)進(jìn)行調(diào)整，經(jīng)過(guò)重新計(jì)算后，整改后的系統(tǒng)的SIL能夠達(dá)到SIL2。

4 結(jié)語(yǔ)

本文總結(jié)了保護(hù)層分析的方法的一般過(guò)程，并完成對(duì)鍋爐爐膛外爆和內(nèi)爆2種危險(xiǎn)情況的保護(hù)層分析；利用上述分析結(jié)果，根據(jù)IEC61508 標(biāo)準(zhǔn)中定性確定安全完整性等級(jí)的方法， 完成對(duì)FSSS 系統(tǒng)目標(biāo)安全完整性等級(jí)的定性確定；介紹故障樹(shù)分析的一般方法，完成對(duì)MFT 失效的故障樹(shù)建模，結(jié)合EXIDA 數(shù)據(jù)庫(kù)中的相關(guān)數(shù)據(jù)， 完成對(duì)爐膛風(fēng)量小于25%觸發(fā)MFT 這一子安全功能定量計(jì)算SIL等級(jí)；利用功能安全分析的結(jié)果，找出安全相關(guān)系統(tǒng)的薄弱環(huán)節(jié)并給出改進(jìn)意見(jiàn)。

[1]馮欣欣，許繼剛，孔祥正.功能安全系統(tǒng)在火電廠的應(yīng)用研究[J].中國(guó)儀器儀表，2011（1）：13-16.

[2]NFPA85：boiler and combustion systems hazardscod，2011Edition[S].U.S.A：National Fire Protection Association，2011.

[3]DL/T 5000-2000火力發(fā)電廠設(shè)計(jì)技術(shù)規(guī)程[S].中華人民共和國(guó)電力行業(yè)標(biāo)準(zhǔn)，2011.

[4]國(guó)電發(fā)[2000]589號(hào)防止電力生產(chǎn)重大事故的二十五項(xiàng)重點(diǎn)要求[S].國(guó)家電力公司，2000.

[5]火力發(fā)電廠熱工自動(dòng)化設(shè)計(jì)技術(shù)規(guī)程（NDGJ 16-89）[S].能源部電力規(guī)劃設(shè)計(jì)管理局，1989.

[6]王疆.火力發(fā)電廠FSSS設(shè)計(jì)標(biāo)準(zhǔn)[M].北京：北京國(guó)電智深控制技術(shù)有限公司，2008.

[7]王疆.鍋爐爐膛安全監(jiān)控系統(tǒng)及其應(yīng)用[M].北京：中國(guó)電力出版社，2014.

[8]IEC 65108，F(xiàn)unction Safety of Electrical/Electronic Programmable Electronic Safety-Related SystemsGeneralrequirements[S].Geneva：International Electrotechnical Commission，2000.

[9]EXIDA.IEC 65108 function safety assessment[EB/OL].[2012.11.21].http//www.exida.corn/index.php/resources/sale-index.