通過(guò)SIL驗(yàn)證的解決方案

武華團(tuán)，皮 宇

(中石化廣州工程有限公司，廣東 廣州 510620)

近年來(lái)隨著國(guó)家對(duì)生產(chǎn)安全越來(lái)越重視，危險(xiǎn)與可操作性分析(HAZOP)以及SIL的安全分析逐漸在各個(gè)項(xiàng)目中開(kāi)展，SIL定級(jí)結(jié)果的驗(yàn)證是SIS生命周期的一個(gè)重要環(huán)節(jié)，一般是通過(guò)收集各種儀表失效率數(shù)據(jù)，利用專(zhuān)門(mén)的軟件工具 (例如：Exida的SILverTM)，通過(guò)程序驗(yàn)算得以驗(yàn)證。SIL驗(yàn)證的結(jié)果將用于指導(dǎo)設(shè)計(jì)方進(jìn)行設(shè)計(jì)完善，必要時(shí)對(duì)后期業(yè)主方的操作維護(hù)提供建議，從而實(shí)現(xiàn)SIS全生命周期的過(guò)程安全。

1 通過(guò)SIL驗(yàn)證的必要條件

根據(jù)IEC 61508[1-2]，評(píng)估(子系統(tǒng)的) SIL，順利通過(guò)驗(yàn)證以下三個(gè)條件必不可少：

(1)低要求操作模式下(根據(jù)GB/T 50770-2013《石油化工安全儀表系統(tǒng)設(shè)計(jì)規(guī)范》[4]條文說(shuō)明4.1.3規(guī)定：“通常石油化工工廠和裝置的安全儀表系統(tǒng)工作于低要求操作模式”，故本文僅考慮低要求操作模式下的SIL驗(yàn)證),在安全儀表功能(SIF)被要求時(shí)完成其設(shè)計(jì)功能的平均失效概率(PFDawg)必須滿足SIL要求。

(2)硬件結(jié)構(gòu)約束必須滿足要求。即硬件故障裕度(HFT)必須滿足IEC 61508 中對(duì)該SIL的最小HFT要求。

(3)系統(tǒng)失效避免及控制要求、軟件要求滿足條件。根據(jù)IEC 61508，該因素主要與設(shè)備的使用、維護(hù)、管理有關(guān)，本文不加贅述。

為了能夠滿足上述三個(gè)條件并通過(guò)SIL 驗(yàn)證，就必須從SIL定級(jí)前的準(zhǔn)備，SIL定級(jí)過(guò)程到最后的SIL驗(yàn)證各階段中做好準(zhǔn)備，有針對(duì)性的尋找解決方案。特別由于SIL驗(yàn)證一般在項(xiàng)目設(shè)計(jì)的中后期，此時(shí)很多設(shè)備訂貨可能正處于進(jìn)行中，如果不加以分析，只是盲目的根據(jù)驗(yàn)證結(jié)果增加儀表，結(jié)果可能由于SIL驗(yàn)證的瓶頸并不一定來(lái)自硬件架構(gòu)，那么由此帶來(lái)的儀表投資增加就不一定合理，而且還會(huì)引起其它相關(guān)專(zhuān)業(yè)采購(gòu)及設(shè)計(jì)變更；還有為了改善儀表的λ值，盲目的更換儀表類(lèi)型，這樣表面看來(lái)會(huì)更好，但是可能不適用特定的工況。所以在SIL驗(yàn)證階段中，結(jié)合SIL驗(yàn)證報(bào)告中給出的合理化建議，分析原因并有針對(duì)性的加以研究解決尤為重要。

2 SIL定級(jí)前

2.1 選擇成熟的設(shè)計(jì)方案

由于HAZOP和SIL活動(dòng)主要參考的設(shè)計(jì)文件為P&ID流程以及邏輯因果表等，因此應(yīng)當(dāng)在對(duì)應(yīng)的活動(dòng)正式開(kāi)始前，提交較為完善的上述資料給活動(dòng)分析小組，或采用成熟的工藝包(很多國(guó)外項(xiàng)目在FEED階段就進(jìn)行了Pre-HAZOP以及Pre-SIL的活動(dòng))，避免后期對(duì)先前設(shè)計(jì)做大面積的修改。

2.2 HAZOP分析應(yīng)盡量完整合理

筆者參與的某國(guó)外煤油/柴油加氫裝置，針對(duì)殼牌標(biāo)準(zhǔn)安全風(fēng)險(xiǎn)矩陣后果嚴(yán)重性等級(jí)為3及以上的場(chǎng)景SIL定級(jí)采用了保護(hù)層分析(LOPA), 而LOPA分析的信息輸入即來(lái)自之前HAZOP報(bào)告中對(duì)潛在的風(fēng)險(xiǎn)和已有的安全保護(hù)措施的辨識(shí)。參考GB/T 32857-2016[5]表A.1也可以看出，LOPA分析中的信息輸入基礎(chǔ)均來(lái)自于HAZOP分析，因此HAZOP會(huì)議中應(yīng)盡量對(duì)各場(chǎng)景做比較完整和合理化的分析，盡可能多的尋找已存在的安全保護(hù)措施，為后期的SIL定級(jí)LOPA分析尋找獨(dú)立保護(hù)層(IPL)做準(zhǔn)備。

2.3 設(shè)計(jì)合理的并帶SIL認(rèn)證的儀表

為滿足后期實(shí)際SIL驗(yàn)證的需要，在安全回路設(shè)計(jì)時(shí)所采用的儀表檢測(cè)元件、變送器、聯(lián)鎖閥門(mén)及執(zhí)行機(jī)構(gòu)通常要求至少SIL2的認(rèn)證，訂貨時(shí)就要求廠家提供SIL的認(rèn)證報(bào)告；對(duì)于安全儀表系統(tǒng)(SIS)，應(yīng)充分考慮設(shè)計(jì)裝置的歷史成熟經(jīng)驗(yàn)，一般設(shè)計(jì)為SIL3等級(jí)。

3 合理的SIL定級(jí)

在定級(jí)前必須就項(xiàng)目采用的風(fēng)險(xiǎn)矩陣基本原則及安全要求規(guī)格書(shū)(SRS)中的基本數(shù)據(jù)與業(yè)主達(dá)成共識(shí)，否則定級(jí)會(huì)議時(shí)可能產(chǎn)生分歧。

(1)后果及嚴(yán)重性等級(jí)評(píng)估。來(lái)源于HAZOP報(bào)告，請(qǐng)注意該數(shù)據(jù)的量化對(duì)于SIL定級(jí)至關(guān)重要，業(yè)主往往單方面希望提高SIL的等級(jí)來(lái)提高裝置的安全性，但是EPC要控制投資，有實(shí)際國(guó)外項(xiàng)目案例表明，最大的分歧在于對(duì)資產(chǎn)損失的評(píng)估，業(yè)主有時(shí)不顧HAZOP報(bào)告中的后果嚴(yán)重性等級(jí)評(píng)估結(jié)果，在SIL定級(jí)會(huì)議中單方面夸大財(cái)產(chǎn)損失并提高后果嚴(yán)重性等級(jí)的量化值，這樣會(huì)直接提升該SIF回路最終需要達(dá)到的風(fēng)險(xiǎn)降低因數(shù)(RRF)的分值，從而提高SIL等級(jí)，導(dǎo)致后期驗(yàn)證很難通過(guò)，最后只能通過(guò)SIL重新定級(jí)來(lái)解決。因此在HAZOP及SIL活動(dòng)期間，對(duì)后果嚴(yán)重性等級(jí)的評(píng)估，各方要做到盡可能有依有據(jù)，科學(xué)合理，不能任憑單方面盲目夸大。

(2)場(chǎng)景事故發(fā)生的頻率的評(píng)估及確定。場(chǎng)景事故發(fā)生的頻率決定了對(duì)事故后果的嚴(yán)重性降低的倍數(shù)，最終也會(huì)影響SIF回路需要達(dá)到的RRF值和SIL等級(jí)。

(3)獨(dú)立保護(hù)層的使用，一般引用HAZOP報(bào)告中已有的安全保護(hù)措施，對(duì)其獨(dú)立性和有效性進(jìn)行識(shí)別。另可根據(jù)需要，尋找之前HAZOP報(bào)告中可能遺漏的IPL。根據(jù)GB/T 32857-2016-6.1.2，允許SIL定級(jí)會(huì)議LOPA分析時(shí)補(bǔ)充IPL。一個(gè)獨(dú)立的IPL能夠至少降低10倍基礎(chǔ)RRF分值，導(dǎo)致SIL的等級(jí)可能直接降一個(gè)級(jí)別，甚至多個(gè)IPL能夠?qū)IL的等級(jí)直接降為沒(méi)有SIL需求。

因此IPL的尋找和使用至關(guān)重要，SIL定級(jí)會(huì)議一旦結(jié)束，后期進(jìn)入SIL驗(yàn)證階段時(shí)，由設(shè)計(jì)單方再次尋找的新的IPL被認(rèn)可，以此來(lái)降低目標(biāo)SIL并使驗(yàn)證通過(guò)的流程將會(huì)變得更加復(fù)雜，所以SIL定級(jí)會(huì)議前足夠的準(zhǔn)備是必須的。

4 SIL驗(yàn)證不能通過(guò)的原因及解決方案

經(jīng)過(guò)上述措施后，在SIL驗(yàn)證階段仍可能存在部分SIF不能通過(guò)的情況。

4.1 目標(biāo)RRF分值與實(shí)際計(jì)算RRF分值非常接近，基本在一個(gè)數(shù)量級(jí)時(shí)

此時(shí)應(yīng)盡量避免做過(guò)多的設(shè)計(jì)修改以及投資變動(dòng)，解決的優(yōu)先級(jí)別建議如下：

1)初始驗(yàn)算時(shí)，通常使用驗(yàn)證軟件數(shù)據(jù)庫(kù)中自帶的通用數(shù)據(jù)，但該數(shù)據(jù)往往沒(méi)有真實(shí)訂貨數(shù)據(jù)好。因此當(dāng)取得訂貨產(chǎn)品SIL證書(shū)后，用實(shí)際數(shù)據(jù)驗(yàn)證就可以顯著提升SFF(安全失效分?jǐn)?shù))值，進(jìn)行再次驗(yàn)算并通過(guò)。

2)安全柵、繼電器、電磁閥、部分行程測(cè)試(以下簡(jiǎn)稱(chēng)PST)等對(duì)整個(gè)回路的制約：

煉油化工裝置中，本安設(shè)計(jì)為防爆技術(shù)的首選，完整安全回路典型接線如下：

檢測(cè)元件子系統(tǒng)(檢測(cè)元件-變送器-輸入安全柵)-邏輯控制單元-最終執(zhí)行元件子系統(tǒng)(輸出安全柵-電磁閥-聯(lián)鎖閥門(mén))

極個(gè)別的情況，當(dāng)檢測(cè)元件比較特殊時(shí)，檢測(cè)元件不能匹配具有SIL認(rèn)證型號(hào)的安全柵，根據(jù)IEC61508對(duì)硬件的約束條件，即使改變架構(gòu)為1oo3或2oo3也不能過(guò)多改變檢測(cè)元件子系統(tǒng)的PFDawg值，安全柵成為瓶頸，這時(shí)可以考慮設(shè)計(jì)為隔爆類(lèi)型，取消安全柵。

最終執(zhí)行元件的閥體可靠性非常好，有些可以達(dá)到SIL3，但是安全柵或電磁閥有時(shí)受限于項(xiàng)目要求的類(lèi)型不能達(dá)到SIL3，如果新增一臺(tái)閥門(mén)，可能會(huì)造成投資及空間浪費(fèi)，這時(shí)可以考慮僅僅增加冗余電磁閥，也有國(guó)外項(xiàng)目選用隔爆的電磁閥，直接取消安全柵以減少SIF回路的中間環(huán)節(jié)；同時(shí)為提高閥門(mén)整體的安全失效分?jǐn)?shù)(SFF)，可以通過(guò)增加PST功能，并可根據(jù)目標(biāo)RRF分值適當(dāng)調(diào)整PST的頻率，從而提高最終執(zhí)行元件子系統(tǒng)的綜合SFF來(lái)通過(guò)驗(yàn)算。

3)修改檢測(cè)元件子系統(tǒng)或者最終執(zhí)行元件子系統(tǒng)的檢驗(yàn)測(cè)試時(shí)間(PTI)。

檢驗(yàn)測(cè)試也稱(chēng)功能測(cè)試，指的是人工完成的周期性的離線測(cè)試，測(cè)試后系統(tǒng)能恢復(fù)至或接近于"全新?tīng)顟B(tài)"。測(cè)試的目的主要是進(jìn)一步發(fā)現(xiàn)安全儀表中的危險(xiǎn)失效，通過(guò)較為徹底的檢修提高其可靠性，使SIF回路恢復(fù)至設(shè)計(jì)要求的SIL等級(jí)。通常PTI等于或近似等于工廠的計(jì)劃停工時(shí)間，但是為了滿足SIL要求，在具有必要的離線檢驗(yàn)措施，例如通過(guò)設(shè)計(jì)合理的維護(hù)旁路開(kāi)關(guān)(MOS)和各類(lèi)自動(dòng)旁路降級(jí)架構(gòu)等，適當(dāng)減小檢測(cè)元件子系統(tǒng)或者最終執(zhí)行元件子系統(tǒng)的PTI并獲得業(yè)主的認(rèn)可，有利于提高單臺(tái)設(shè)備的SFF值和SIF回路能達(dá)到的RRF分值，從而滿足目標(biāo)要求。

4)修改儀表廠家或型號(hào)，提高單臺(tái)設(shè)備的SFF值，將不能提供SIL認(rèn)證參數(shù)的廠家或產(chǎn)品換為同類(lèi)型能提供SIL證書(shū)的廠家或產(chǎn)品。

5)改變檢測(cè)元件表決的架構(gòu)，增加容錯(cuò)和HFT值。因?yàn)橐话銠z測(cè)元件都比最終執(zhí)行元件投資小，安裝變更小。

6)增加最終執(zhí)行元件的SFF值，且盡量避免增加投資大的閥體等設(shè)備。一般最終執(zhí)行元件均屬于A類(lèi)元件，參考IEC 61508-2-2010[2]，當(dāng)SIF回路要求為SIL2時(shí)，如果不冗余配置，應(yīng)盡量增大單臺(tái)執(zhí)行元件的SFF值保證在60%以上；當(dāng)要求為SIL3 時(shí)，如果不冗余配置，執(zhí)行元件要具有SIL3認(rèn)證且SFF值要達(dá)到90%以上。

當(dāng)SIF的最終動(dòng)作包含電機(jī)聯(lián)鎖時(shí)，設(shè)計(jì)就盡量選用SIL3 或SIL4認(rèn)證的繼電器。

4.2 目標(biāo)RRF分值與實(shí)際計(jì)算分值相差較遠(yuǎn)，甚至不在一個(gè)數(shù)量級(jí)時(shí)

按照國(guó)外工程公司經(jīng)驗(yàn)，驗(yàn)算通不過(guò)的基本為SIL2以及以上的回路，針對(duì)目標(biāo)RRF值大于200的SIF，當(dāng)上述方法明顯無(wú)效時(shí)，多數(shù)情況下可以通過(guò)改變儀表的架構(gòu)，修改執(zhí)行機(jī)構(gòu)為1oo2的冗余配置，問(wèn)題基本都能夠解決。

更合理的解決方案是想辦法降低SIF回路的目標(biāo)RRF分值，如上第3節(jié)所述，直接將SIL等級(jí)降級(jí)，從根源上能解決一切驗(yàn)證不通過(guò)的難題。所以在SIL定級(jí)時(shí)，如果沒(méi)有考慮足夠多的IPL，此時(shí)還需要繼續(xù)請(qǐng)工藝一起來(lái)分析工藝變更的可能性，最好是通過(guò)工藝的途徑來(lái)解決。由陶氏洋蔥結(jié)構(gòu)可以看出，解決的優(yōu)先級(jí)別應(yīng)該從洋蔥層的核心入手：

1)工藝本質(zhì)安全設(shè)計(jì)是避免風(fēng)險(xiǎn)發(fā)生的根源，請(qǐng)考慮是否可能修改工藝設(shè)計(jì)，本質(zhì)上消除HAZOP分析中危險(xiǎn)場(chǎng)景的風(fēng)險(xiǎn)源。

2)與工藝協(xié)商，DCS中是否可能增加有效的控制回路作為IPL，詳見(jiàn)GB/T32857-2016《保護(hù)層分析(LOPA)應(yīng)用指南》對(duì)該類(lèi)IPL的詳細(xì)要求，通常該類(lèi)IPL只能找1個(gè)。

3)核實(shí)和增加工藝變量報(bào)警，這個(gè)最容易實(shí)現(xiàn)，而且?guī)缀醪辉黾邮裁赐顿Y，但是報(bào)警要和操作工的響應(yīng)配合使用，且要留給操作工足夠的處理時(shí)間。注意多個(gè)報(bào)警只能算一個(gè)IPL。

4)尋找其他帶有SIL等級(jí)的SIS聯(lián)鎖作為IPL。根據(jù)GB/T 32857-2016所述，用作IPL的聯(lián)鎖SIL等級(jí)越高時(shí)，對(duì)RRF降低的貢獻(xiàn)越大，很可能將被分析的SIF回路降為沒(méi)有SIL等級(jí)的要求。

5)請(qǐng)工藝檢查安全閥、爆破片的設(shè)計(jì)是否可作為事故場(chǎng)景有效的IPL。

還有最極端的一種可能，無(wú)論你使用怎樣的設(shè)計(jì)變更行為，包括考慮工藝的保護(hù)層，均不能通過(guò)驗(yàn)算，甚至該工藝有史以來(lái)從來(lái)沒(méi)有出現(xiàn)過(guò)如此高的SIL等級(jí)，這時(shí)候必須要從根上尋找原因，如上第3節(jié)所述，可能是HAZOP活動(dòng)或SIL定級(jí)活動(dòng)中對(duì)后果嚴(yán)重性評(píng)估過(guò)高，最終只能通過(guò)SIL重新定級(jí)來(lái)解決。

5 結(jié)束語(yǔ)

從上面分析可以看出，對(duì)于一個(gè)成熟的工藝，出現(xiàn)SIL驗(yàn)證不能通過(guò)的情況，有些時(shí)候是非常難于解決的，無(wú)論儀表如何修改，都無(wú)法通過(guò)驗(yàn)證，最終還是回到SIL定級(jí)的根源來(lái)解決問(wèn)題，所以在HAZOP階段就應(yīng)該花費(fèi)大量的精力，通過(guò)合理的設(shè)計(jì)，增加針對(duì)消除危險(xiǎn)源的措施，形成盡可能多的有效的IPL，保證本質(zhì)安全，而不是將風(fēng)險(xiǎn)的解決全部交給儀表或操作工的管理行為。

國(guó)外項(xiàng)目的驗(yàn)證非常嚴(yán)格，最終全部使用訂貨的真實(shí)數(shù)據(jù)進(jìn)行驗(yàn)算，具有一定的代表意義，供同行參考。