重油催化裝置安全儀表系統(tǒng)可靠性與安全性分析

高帥，左信，張惠良

（1.中國石油大學（北京），北京102249；2.北京安穩(wěn)優(yōu)科技有限公司，北京102200）

在石油／天然氣、化工、發(fā)電等為代表的過程工業(yè)領域，安全儀表系統(tǒng)（SIS）已經(jīng)廣泛應用于不同的工藝或設備防護場合，保護人員、生產設備及環(huán)境。由于系統(tǒng)結構、硬件及軟件的復雜程度不同、周圍環(huán)境氣候的影響及維護不當?shù)仍颍琒IS不可避免地存在著一定的安全性問題［1－2］。IEC61508和IEC61511標準頒布后，以安全生命周期為框架，SIS從概念、設計、實施、操作、維護到系統(tǒng)改造等實踐活動都有了可依據(jù)的標準，從而保證其功能安全。IEC61511［3］建議在SIS工程設計前、安裝調試前、操作和維修過程中、修改前和停用前等五處節(jié)點進行功能安全評估。筆者結合某公司重油催化裝置壓縮機組和三機組2套獨立的SIS，使用可靠性評估軟件Isograph和功能安全評估軟件exSILentia，分別對SIS進行可靠性分析和功能安全評估，并討論SIS在實際運行中如何提高運行可靠性及保證其功能安全的措施。

1 SIS的可靠性分析與功能安全評估

可靠性和安全性理論及工程研究是建立在概率和統(tǒng)計理論基礎之上，但要成功評價一個系統(tǒng)的可靠性，需要了解系統(tǒng)中所使用的元件、元件的失效模式及其對系統(tǒng)的影響、系統(tǒng)失效模式和系統(tǒng)環(huán)境中失效應力的來源［3－5］。通過對過程控制系統(tǒng)失效的原因分析，根據(jù)IEC61508及IEC61511標準，筆者把對系統(tǒng)結構的劃分和安全功能回路的辨析兩部分相結合，既從系統(tǒng)結構入手，定性的討論其可靠性，又從功能安全回路SIL核算入手，定量地討論其安全性，最后結合兩方面的結果給出整改意見。具體流程如圖1所示。

1.1 SIS的故障樹分析

故障樹分析FTA（Fault Tree Analysis）是采用邏輯符號，并用可靠性框圖（Reliability Block Diagram）的方式將邏輯門按照發(fā)生的邏輯條件連接起來，形成樹狀結構［6］。筆者采用故障樹分析故障傳遞的路徑，對SIS關鍵環(huán)節(jié)進行詳細分析。

1.8 Mt／a重油催化裝置是某石化分公司的關鍵裝置之一，其運行的平穩(wěn)性和可靠性不僅影響該裝置的經(jīng)濟效益，同時還影響其他裝置的運行平穩(wěn)性（其為氣分裝置提供原料，而氣分裝置又為聚丙烯提供原料）［5］，因而對裝置生產的可靠性和安全性要求很高。

對重催裝置SIS現(xiàn)場的調研和從現(xiàn)場收集的資料進行分析，找出可能存在的故障事件，并根據(jù)其故障事件所引起的故障表現(xiàn)，從系統(tǒng)級的角度，分別對SIS主控系統(tǒng)、SIS工程師站、SIS操作員站三大塊對其進行定性的可靠性分析。

主控系統(tǒng)是SIS控制系統(tǒng)的關鍵部分，該裝置SIS主控系統(tǒng)均采用Tricon TS3000系統(tǒng)，主要由控制器MP，I／O模塊，TCM模塊以及電源模塊構成。由I／O模件通過安全柵與現(xiàn)場儀表相連，采集現(xiàn)場數(shù)據(jù)，并直接實現(xiàn)對生產系統(tǒng)的聯(lián)鎖保護。通過Isograph軟件對SIS進行故障樹分析，首先找出直接導致頂事件發(fā)生的各種可能因素或因素組合，這些因素包括功能故障、部件不良、程序錯誤、人為錯誤、環(huán)境影響等，而后再找出第一步中各因素的直接原因。按此方法逐級向下演繹，直到找出各個基本事件為止［7］。本文從系統(tǒng)級的角度，以SIS故障作為頂事件，分別分成主控系統(tǒng)故障、工程師站故障以及操作員站故障。主控系統(tǒng)故障又分成系統(tǒng)硬件失效、系統(tǒng)軟件失效、通信運行失效、電源失效和接地失效。再將每個失效因素細分至各故障基本事件。工程師站和操作員站按照同樣的思路進行分析，最終得到的某重油催化裝置SIS的故障樹包含了一個頂事件、71個中間失效事件和125個基本事件，該故障樹還表達了失效事件之間的邏輯關系。經(jīng)過綜合分析發(fā)現(xiàn)，導致SIS主控系統(tǒng)、工程師站和操作員站故障的主要原因見表1所列，在日常運行以及維護中應著重考慮。

表1 導致SIS各系統(tǒng)故障的各部件失效原因

1.2 SIL核算與評估

筆者對某重油催化用SIS的功能安全進行分析，主要是對SIL等級進行核算與評估，具體分析步驟如下：

a）根據(jù)已有的聯(lián)鎖邏輯，識別出包括在聯(lián)鎖邏輯中的各SIF回路。

續(xù) 表1

b）針對每個SIF回路，確定其回路中的設備，包括傳感器、邏輯控制器、最終執(zhí)行元件，還包括回路中的輔助設備，如安全柵、繼電器等。

c）針對每個SIF回路中的設備，選擇數(shù)據(jù)源確定失效率λ。失效數(shù)據(jù)大部分來自exSILentia軟件中嵌入的美國EXIDA公司的《Safety Equipment Reliability Handbook》失效數(shù)據(jù)庫［8］。exSILentia能夠提供完整的SIL選擇、安全要求規(guī)范和SIL驗證，其結合了廠商設備相關數(shù)據(jù)，包括了幾百個傳感器、邏輯解算器和執(zhí)行器產品［9］。其余數(shù)據(jù)來自儀表供貨商提供的可靠性數(shù)據(jù)、英國ESC公司的Failure Rate Database以及OREDA數(shù)據(jù)庫。

d）使用exSILentia軟件完成最終的SIL等級的計算。

e）將計算結果與目標值進行比較，確定是否滿足要求，若不滿足要求，則提出改進措施。

以某氣壓機轉速保護控制回路為例，氣壓機轉速（傳感器SI001，SI002，SI003“三取二”）大于9 425r／min時，SIS將執(zhí)行聯(lián)鎖動作——氣壓機組停機：停汽輪機電磁閥cSCV2222，至放火炬DG300閥cPC1201B，富氣入口調節(jié)閥回零vHC1501，富氣出口調節(jié)閥回零vHC1502。按照上文提到的分析步驟，通過exSILentia軟件的使用，得到該功能安全回路的各單元功能安全參數(shù)表2以及SIF回路的功能參數(shù)表3，各個元件對PFDavg和MTTFS的貢獻率如圖2所示。

圖2 各個元件對PFDavg和MTTFS的貢獻率（2009exida.com.L.L.C.）

表2 SIF回路各單元功能安全參數(shù)

表3 SIF回路功能安全參數(shù)

從表2和表3可以看出，雖然傳感器和邏輯控制器單元的SIL分別為2級和3級，但整體回路的SIL僅為1級。該回路的風險降低因子RRF為18，結構約束條件下的SIL也為1級。從圖2可以看出，SIS中的主控單元（Tricon系統(tǒng)）安全度等級較高，而檢測儀表和執(zhí)行機構則相對較小。因此，檢測儀表和執(zhí)行機構是SIS中的薄弱環(huán)節(jié)。圖2中傳感器對MTTFS的貢獻率較PFDavg而言有所提升，這說明該SIF回路中的傳感器對誤停車的影響比對功能安全的影響更大。

該裝置的2套SIS在1998年投用之初，并沒有按照IEC61508和IEC61511的規(guī)定進行安全生命周期中的評估和定級，即使是2005年和2009年的SIS升級改造也并沒有涉及相關內容。因此，在該次評估過程中，需要根據(jù)現(xiàn)有實際裝置工藝配置和安全設備配備情況，重新確定SIS及SIF安全功能回路的SIL等級要求。筆者根據(jù)重油催化裝置SIS聯(lián)鎖邏輯圖，分解出不同的SIF安全儀表功能回路，綜合考慮危險發(fā)生的可能性和危險發(fā)生后的危害程度，采用風險矩陣法［10］，結合現(xiàn)場工藝人員和專家經(jīng)驗，確定每一個SIF回路要求的SIL等級。項目中2套SIS的SIF回路確定的初步SIL等級主要集中在SIL1及SIL2級，一些關鍵的涉及重大安全隱患的回路設為SIL3級。將使用exSILentia軟件計算出來的SIL等級與設定級數(shù)進行比較，得到表4的結果，企業(yè)需對未達標的SIF回路進行改進之后再次進行SIL核算直到完全符合標準。

表4 SIL評估結果統(tǒng)計

2 提高在役SIS運行可靠性的關鍵措施

2.1 建立和完善SIS運行維護管理制度

a）加強SIS的管理與維護是系統(tǒng)安全運行的保證。建議制訂檢修、運行和調試規(guī)程，將需要修改的內容和措施形成文件，如量程修改、聯(lián)鎖修改或增加測點等。

b）進一步完善控制操作室的管理制度，制定UPS電源定期試驗制度、工程師站及操作員站程序更改審批制度等，在細節(jié)方面應做明確規(guī)定，如顯示器、UPS電池等耗材的管理。

c）建立報警管理機制，各種硬件、軟件報警要及時進行分類整理、匯總，各種冗余的硬件切換要能及時通知相關人員。

2.2 完善SIS功能安全管理規(guī)范

a）建議建立SIS定期檢驗測試規(guī)程，結合企業(yè)實際生產情況對測試時間間隔、測試范圍、測試方法、測試用例、測試評判標準以及測試存在問題的處理方法進行規(guī)定。

b）建立SIS維護、修改的可追溯性文檔，包括：申請?zhí)岢觯δ茉u估，批準、實施、確認等相關文檔。

c）建立SIS操作員和維護人員的技能和安全知識的培訓，并評估他們的培訓是否充分，并建立可追溯性記錄文檔。

d）完善檢驗測試結果的可追溯性文檔。

2.3 安全功能回路整改

通過exSILentia軟件對功能安全回路SIL等級的核算，建議對重油催化2套SIS未達標的11個SIF回路進行整改，具體方法如下：

a）在SIS聯(lián)鎖回路可靠性降到最低限以前，應及時維護或更換新儀表、執(zhí)行機構。

b）當SIF回路的SIL等級不達標時，由于執(zhí)行單元是整個SIF回路的薄弱環(huán)節(jié)，可以嘗試調整該回路中執(zhí)行單元的檢驗周期，再進行SIL核算。

c）增加安全儀表檢測手段，提高故障檢測覆蓋率。

d）若系統(tǒng)冗余結構裕度不達標，則需要通過功能安全管理相關規(guī)定，調整該回路的冗余結構或在影響其SIL等級的部分，如檢測機構或執(zhí)行機構更換SIL等級更高的儀表來滿足SIL等級的需求。

e）重油催化裝置已經(jīng)運行數(shù)年，積累了裝置運行經(jīng)驗與風險認識，建議進行一次裝置生產的過程危險與風險評估，使得SIS的SIL符合當前的安全生產要求。

3 結束語

隨著工業(yè)規(guī)模的不斷擴大，SIS的可靠性和安全性對于化工企業(yè)的安全生產至關重要。將IEC61508及IEC61511運用到實際的SIS工程實踐中，并不是一蹴而就的事情，在SIS工程實踐中，還有許多方面的工作要做。筆者一方面利用Isograph故障樹軟件，通過對重油催化SIS進行可靠性分析，找到SIS失效的各種原因及邏輯關系，得出SIS中應維護的環(huán)節(jié)及元件內容；另一方面，使用exSILentia軟件對SIF回路進行SIL評估。最后綜合可靠性分析與SIL等級核算，對重油催化在用SIS提出維護及整改建議，對提高SIS的可靠性、充分發(fā)揮SIS的功能安全具有現(xiàn)實意義。

［1］ 劉建侯.石化工業(yè)儀表安全系統(tǒng)安全生命周期要求和安全完整性等級的評估［J］.石油化工自動化.2007，43（02）：1－4.

［2］ 王秉義，張惠良，左信.SIS安全聯(lián)鎖功能可用性分析［J］.石油化工自動化.2012，48（01）：13－17.

［3］ IEC.IEC 61511－1～3Functional Safety－safety Instrumented Systems for the Process Industry Sector［S］.IEC，2004.

［4］ IEC.IEC 61508－1～6Functional Safety of Electrical／Electronic／Programmable Electronic Safety－related Systems，International Electrotechnical Commission［S］.IEC，2000.

［5］ ISA.ISA－TR 84.00.0—2002Safety Instrumented Functions（SIF）－Safety Integrity Level（SIL）Evaluation Techniques［S］.The Instrumentation System and Automation Society，2002.

［6］ 曹晉華.GB 7829—87電工電子產品可靠性與維修性標準：故障樹分析程序［S］.北京：中國標準出版社，1987.

［7］ 陽憲惠，郭海濤.安全儀表系統(tǒng)的功能安全［M］.北京：清華大學出版社，2007.

［8］ Exida.Safety Equipment Reliability Handbook－3rd Edition［M］.Exida.com LLC，2007.

［9］ 華镕.安全相關的標準，評估和認證機構［J］.儀器儀表標準化與計量，2008（02）：20－23.

［10］ 李樹清，顏智，段瑜.風險矩陣法在危險有害因素分級中的應用［J］.中國安全科學學報，2010，20（04）：83－87.