基于功能安全的電梯安全完整性等級的定級方法研究

楊崇俊,王 強,杜自豪,任吉超,袁昌明

(1.中國計量大學(xué) 質(zhì)量與安全工程學(xué)院,浙江 杭州 310018;2.中國特種設(shè)備檢測研究院,北京 100029)

近年來,隨著高層建筑越來越普及,電梯成為各大建筑的標配,截止2019年底我國電梯數(shù)量已突破700萬臺[1]。電梯與我們的生活息息相關(guān),電梯作為一種特種設(shè)備,當出現(xiàn)故障時,所造成的危害性較大。人們對電梯的安全問題也越來越關(guān)注,因此尋找有效、可靠的電梯安全評估方法具有重要意義。

近年來,功能安全以其合理的技術(shù)理念、科學(xué)的評價體系和優(yōu)化的管理方法,在化工、石油、電子設(shè)備等領(lǐng)域得到了廣泛的應(yīng)用[2]。Francis[3]對放熱反應(yīng)中的不同臨界等級進行風(fēng)險評估,設(shè)計了防止失控的防護措施以及所需的IPL和SIL,該方法可以最小化地設(shè)計出安全保護系統(tǒng);Catelani等人[4]提出一種基于RBD(可靠性框圖)方法來評估機電一體化中安全儀表的安全性能;Elnara等[5]提出一種在老舊的核電站上增加獨立的安全儀表系統(tǒng),提高了該系統(tǒng)的可靠性。而功能安全在電梯領(lǐng)域的研究相對較少。我國最新的扶梯國家標準(GB16899-2011)[6]中提出了PESSRAE概念,用于自動扶梯和自動人行道的可編程電子安全相關(guān)系統(tǒng);甘兵等[7]在電梯制動系統(tǒng)中通過FMEDA進行功能安全評估,將制動系統(tǒng)分解成很多個子系統(tǒng),并且結(jié)合實際使用情況進行修正;姜武等[8]通過FMEDA與Hopfield相結(jié)合對電梯進行功能安全評估;李中興[9]提出非E/E/PES等不能對機械安全部件使用功能安全評估方法的安全相關(guān)系統(tǒng),可使用與SR等級等效的評估方法;張晴[10]根據(jù)GB16899-2011新標準提出的PESSRAE的要求研發(fā)了自動扶梯功能安全系統(tǒng),實現(xiàn)了每一個安全功能硬件都能通過安全完整性定量分析;周赟[11]通過風(fēng)險圖法,分配電梯制動系統(tǒng)的功能安全完整性等級,建立所需的安全規(guī)則和安全完整性規(guī)則;楊健[12]通過對自動扶梯安全可編程電子相關(guān)系統(tǒng)軟件的生命周期階段進行了相應(yīng)的驗證工作,確保了其軟件產(chǎn)品達到安全完整性水平。現(xiàn)有的功能安全分析中缺乏對電梯的安全完整性等級的定級方法研究,且電梯種類較多,不能用一種統(tǒng)一的標準確定電梯安全完整性等級。

本文提出了一種基于故障假設(shè)分析法和保護層分析融合的方法,并且通過可接受風(fēng)險頻率與風(fēng)險嚴重程度建立了電梯風(fēng)險等級表,列出了事故發(fā)生的初始原因和現(xiàn)有的保護措施,以及防止事故發(fā)生或減少事故傷害的其他措施,定量地算出事故發(fā)生的概率;然后與建立的風(fēng)險可容忍度標準進行比較,可以確定是否需要額外降低風(fēng)險的措施,根據(jù)風(fēng)險降低因子,從而可以確定安全儀表系統(tǒng)所需要的安全完整性等級。

1 功能安全

1.1 功能安全概述

功能安全是21世紀初新興的一個概念,它的主旨就是防止因某個部件失效而給整個系統(tǒng)造成故障。根據(jù)IEC 61508標準的定義,功能安全是與受控設(shè)備(EUC)和EUC控制系統(tǒng)有關(guān)的整體安全組成部分,它取決于E/E/PE安全相關(guān)系統(tǒng)及其他技術(shù)安全相關(guān)系統(tǒng)和外部風(fēng)險降低設(shè)施功能的正確使用[13]。通過引入功能安全可以將安全問題轉(zhuǎn)化為風(fēng)險控制問題,并通過控制風(fēng)險達到所需的安全水平[14]。

1.2 安全完整性等級

安全完整性等級(Safety Integrity Level,SIL)是一種安全等級的劃分,是指安全裝置在規(guī)定的時間和條件下完成規(guī)定安全功能的能力,IEC 61508將其分為SIL1、SIL2、SIL3和SIL4四個等級[12],其中SIL等級如表1表2所示。

表1 在低要求操作模型下目標失效量

表2 在高要求操作模型下目標失效量

通過IEC61508的標準使風(fēng)險和安全完整性等級間產(chǎn)生了聯(lián)系,它將安全儀表系統(tǒng)所提供的保護通過完全完整性等級將其量化,這取決于風(fēng)險暴露的時間、風(fēng)險后果嚴重程度、安全保護措施的個數(shù)和可接受標準等一系列因素?？傊?風(fēng)險降低就是使得風(fēng)險降低到允許可接受的范圍內(nèi),具體過程見圖1。

圖1 風(fēng)險與保護層關(guān)系圖Figure 1 Relationship between risk and layer of protection

1.3 ALARP模型

在進行安全完整性等級劃分之前,企業(yè)需要根據(jù)不同的流程來制定自己的風(fēng)險可接受標準,ALARP(as low as reasonable practicable)模型常用來劃分可接受風(fēng)險標準。該標準是根據(jù)該風(fēng)險發(fā)生的頻率和后果嚴重程度綜合確定的,通過劃分危險區(qū)域和危險等級,可以直觀地看到每個危險出現(xiàn)的可接受區(qū)域。風(fēng)險能被圖2中的兩條橫線分為三大部分,即風(fēng)險不可接受區(qū)、風(fēng)險允許區(qū)和風(fēng)險可接受區(qū)這三個部分[15]。

圖2 ALARP模型圖Figure 2 ALARP model diagram

ALARP模型是根據(jù)風(fēng)險可能性等級以及風(fēng)險嚴重程度等級建立矩陣圖[16],首先設(shè)定可接受的頻率,然后劃分每個事故的頻率等級區(qū)間,并對事故后果等級進行描述,風(fēng)險等級表不是固定的,需要根據(jù)實際情況進行繪制。

2 電梯安全完整性等級定級方法

2.1 故障假設(shè)分析

功能安全中的第一步是對工藝過程中可能出現(xiàn)的偏差、故障以及造成的風(fēng)險進行分析判斷,因此選擇合適的分析方法顯得尤為重要。電梯系統(tǒng)相比于化工系統(tǒng)的結(jié)構(gòu)較為簡單,故可以選用故障假設(shè)(What if analysis)分析法,它可以快速地找出電梯可能出現(xiàn)的風(fēng)險隱患,可以預(yù)測潛在的危害和不良后果,識別現(xiàn)有的過程系統(tǒng)防護措施。

2.2 保護層分析

2.2.1 保護層分析法的概述

保護層分析法是一種半定量分析方法,它可以確定事故發(fā)生的危害程度,還可以定量計算已有保護層失效時危險發(fā)生的概率,并提出相應(yīng)的保護措施,推算出所需要的防護等級。當與故障假設(shè)分析法相結(jié)合時可以快速地分辨出危險源以及可能產(chǎn)生的后果,通過與既定的風(fēng)險可容忍度標準進行比較,可以確定是否需要額外降低風(fēng)險的措施,根據(jù)需要降低的風(fēng)險量,從而可以確定全儀表系統(tǒng)所達到的安全完整性等級。

2.2.2 獨立保護層的識別

如圖3所示是根據(jù)IEC61511提供的典型安全保護層模型,由于每個獨立保護層的形狀與洋蔥相似,因此該保護層模型通常也被稱為洋蔥模型。從圖中可以看出一個完整的風(fēng)險降低是:由“工藝過程”、“基本控制系統(tǒng)”、“安全儀表系統(tǒng)”、“防災(zāi)系統(tǒng)”、“疏散撤離系統(tǒng)”以及“社區(qū)響應(yīng)系統(tǒng)”等多個保護層組成。每個位置的保護層都有其自身風(fēng)險降低的要求,是通過一系列既獨立又相互聯(lián)系的保護層組合而成,達到降低風(fēng)險的目的。

圖3 典型的安全保護層模型Figure 3 Typical security protection layer model

一般而言用平均失效率(PFD)對保護層降低風(fēng)險的能力進行定量分析,不同保護層的PFD值一般在10-5和10-1之間,當PFD的數(shù)值越少,表明該保護層越不容易失效,即該保護層的可靠性很高,發(fā)生危險事件的概率很小。在電梯中典型的保護層主要有基本過程控制系統(tǒng)和機械防護這兩大類,其PFD值均為0.1[17]。

當?shù)贸龈鱾€保護層的PFD,就可以通過初始事件發(fā)生的頻率、系統(tǒng)中保護層執(zhí)行指令的故障頻率以及導(dǎo)致事故發(fā)生的條件頻率算出危險事件發(fā)生的真實頻率,具體計算公式如下:

(1)

式(1)中,f代表危險事件發(fā)生的真實頻率,f′代表事故初始事件發(fā)生的頻率,Pj為導(dǎo)致事故產(chǎn)生的中間條件頻率,j代表中間條件個數(shù),PFDi為保護層失效率,n表示保護層的個數(shù)。

通過比較系統(tǒng)中當前的風(fēng)險水平和允許可接受的風(fēng)險水平,可以確定系統(tǒng)所需的安全完整性等級。如果所得出事故發(fā)生頻率在允許可接受風(fēng)險水平以下,則表示系統(tǒng)是安全的,無需采取其他保護措施;若所得出事故發(fā)生頻率在可接受風(fēng)險水平以上,則表明系統(tǒng)處于危險中,極有可能導(dǎo)致事故的發(fā)生,此時需要立即采取降低風(fēng)險的措施,增加安全儀表系統(tǒng)。

安全儀表系統(tǒng)必須提供的風(fēng)險降低因子為

(2)

式(2)中,f允許為當前嚴重性等級下的可接受頻率。

2.3 基于故障假設(shè)分析與保護層分析融合的步驟

1) 準備階段,主要是收集和熟悉工藝流程圖,明白該系統(tǒng)是如何工作的,并準備開展故障假設(shè)分析。

2) 召開會議進行頭腦風(fēng)暴,識別系統(tǒng)中可能出現(xiàn)的故障、故障產(chǎn)生的原因以及可能造成的后果。

3) 確定危險事件出現(xiàn)的頻率,它是由初始事件、條件事件和后果事件發(fā)生頻率的乘積所構(gòu)成,同時再確定其嚴重度的危險等級,結(jié)合計算出其風(fēng)險等級。

4) 找出系統(tǒng)內(nèi)所有保護層,并確定所有保護層平均要求時的失效率。然后再計算出此時的風(fēng)險等級。

5) 判斷剩余風(fēng)險是否在可容忍標準內(nèi),若達到了風(fēng)險可接受水平,則無需采取其他保護措施,否則要增加安全儀表系統(tǒng),直到降到可接受風(fēng)險水平,根據(jù)需要降低的風(fēng)險量,從而可以確定全儀表系統(tǒng)所達到的安全完整性等級。

3 電梯安全完整性等級定級方法的應(yīng)用

3.1 電梯允許接受頻率

根據(jù)每年發(fā)布的全國特種設(shè)備安全狀況的報告,做出了2011年至2019年全國電梯數(shù)量和電梯死亡人數(shù)的統(tǒng)計,見圖4。分別計算每年的電梯致死率,發(fā)現(xiàn)以下規(guī)律:在2011年至2015年這五年內(nèi),電梯致死率的數(shù)量級是10-5,而到了2016年我國電梯的致死率是10-6,這說明我國電梯的安全形勢越來越樂觀,國家也越來越重視,對電梯提出更高的安全要求。鑒于我國電梯安全形勢總體平穩(wěn)向好,一直控制在合理可接受的范圍內(nèi),因此設(shè)置電梯可接受標準上限為1×10-4,下限為1×10-6,根據(jù)該上下限可對電梯進行ALARP建模。

圖4 2011—2019年電梯數(shù)量與死亡人數(shù)Figure 4 Number of elevators and the number of deaths from 2011 to 2019

3.2 電梯可接受風(fēng)險標準

電梯可接受風(fēng)險標準的建立主要是與事故發(fā)生的頻率以及事故發(fā)生的嚴重程度有關(guān),并且在建立電梯可接受風(fēng)險標準前要結(jié)合不同地區(qū)、不同的規(guī)定要求下和不同電梯種類等多種因素綜合考慮。

根據(jù)上面的統(tǒng)計數(shù)據(jù)建立合適的后果嚴重度等級以及所對應(yīng)風(fēng)險頻率表,見表3表4。

表3 事故傷害嚴重等級

表4 事故發(fā)生頻率等級

根據(jù)所建立的后果嚴重度等級以及所對應(yīng)風(fēng)險頻率表,就可以建立相對應(yīng)的風(fēng)險可接受標準表,如表5。

表5 電梯可接受風(fēng)險標準表

確定了電梯可接受風(fēng)險標準表后,要對每一個風(fēng)險等級進行描述和分析,并且對各個等級的風(fēng)險提出相應(yīng)合理的措施,如表6。

表6 風(fēng)險等級及對應(yīng)措施

3.3 實例分析

下面以某住宅小區(qū)額定載重量800 kg、額定速度1.60 m/s,16層16站的乘客電梯超速為例子進行故障假設(shè)分析,圖5為電梯超速過程。當電梯由于出現(xiàn)故障下行超速時,分布于電梯系統(tǒng)各部位的安全開關(guān)被觸發(fā),切斷電梯控制電路,引發(fā)曳引機和制動器動作,將電梯制停下來;若出現(xiàn)極端情況,如制動器失效,轎廂將沿井道墜落,當行駛速度達到電梯額定速度的115%時,限速器會觸發(fā)安全鉗動作,將轎廂制停在導(dǎo)軌上;若限速器仍然失效,安全鉗就不能完成規(guī)定動作,會導(dǎo)致電梯墩底,造成人員傷亡,此時剩余的安全保護動作為強制減速開關(guān)、上下限位開關(guān)、極限開關(guān)和緩沖器,那么剩余的保護層能不能起到保護人身安全作用還得進一步分析,具體見表7。

表7 電梯故障假設(shè)分析表

圖5 電梯超速過程圖Figure 5 Elevator speeding process diagram

根據(jù)該乘客電梯超速的例子,經(jīng)過故障假設(shè)分析,考慮最壞的情況假設(shè)此時限速器失靈不能觸發(fā)安全鉗動作,根據(jù)典型的安全保護層模型,繪制出電梯的安全保護層模型,如圖6。

圖6 某乘客電梯的安全保護層模型Figure 6 Safety protection layer model of a passenger elevator

得出電梯此時的保護層有強制減速開關(guān)、下限位開關(guān)、極限開關(guān)和緩沖器等,根據(jù)給出的典型保護層的PFD,可知它們失效率均為0.1,即所有保護層失效的概率為1×10-4;因為已經(jīng)考慮最壞的情況,制動器、限速器均失效,即失效率為1;多名乘客在高層乘坐電梯下行,即促成危險事件的中間條件頻率為0.3。經(jīng)分析電梯產(chǎn)生事故后不會造成次生事故,故不需要考慮社區(qū)緊急響應(yīng),那么電梯墜入井道的頻率為f為3×10-5。該事故在不考慮任何其他保護措施下,造成電梯墩底,造成多人死亡,查表3可知事故嚴重等級為5,則可接受的頻率為10-6。計算風(fēng)險降低因子RRF=f/f允許=3×10-5/10-6=3×101,可知需要增加額外的安全儀表系統(tǒng)來降低風(fēng)險,根據(jù)表3可查該系統(tǒng)的安全完整性等級為1,以上分析情況可見表8。

表8 電梯下行各保護層情況

4 結(jié) 論

通過分析近十年來我國電梯的致死率,確定了電梯風(fēng)險可接受標準頻率的上下限,建立了電梯可接受風(fēng)險標準。將故障假設(shè)分析與保護層分析方法融合,并與所制定的可接受風(fēng)險標準進行比對,可以快速準確地確定出電梯的安全完整性等級。基于上述方法可以很好的將功能安全的理念融入到電梯中,通過實驗可知,某電梯初始事故頻率為10-5,而其可接受標準頻率為10-6,通過風(fēng)險降低因子,得出該電梯所需要的安全儀表系統(tǒng)的安全完整性等級為1。