安全儀表系統在鍋爐保護中的設計與實現

劉 華

(國核電力規劃設計研究院，北京 100095)

?

安全儀表系統在鍋爐保護中的設計與實現

劉 華

(國核電力規劃設計研究院，北京 100095)

為滿足安全儀表系統在某國外電廠保護系統的應用需求，提出了一種鍋爐保護系統(BPS)的設計方案。該方案采用危險和可操作性方法確定BPS所需的整體安全性等級，按照IEC國際標準確定BPS中控制器及儀表的冗余性，選用可靠性框圖法校驗BPS的危險失效概率，并結合校驗結果對BPS系統進行修正。實踐表明，該設計方案能有效提高鍋爐保護系統的可靠性，同時避免過度冗余。

安全儀表系統(SIS) 分散控制系統(DCS) 鍋爐保護系統(BPS) 危險和可操作性方法(HAZOP) 整體安全性水平(SIL) 危險失效概率(PFD) 可靠性 安全性等級

0 引言

在國內多數電廠設計中，鍋爐保護系統通常與鍋爐輔機、汽機輔機等調節保護系統一起設計，采用相同硬件的控制器來實現控制及保護功能。隨著IEC 61508和IEC 61511等功能安全標準的頒布，越來越多的國家要求在鍋爐和汽機保護系統上要求采用功能安全系統。我國從2011年開始，在火電廠的保護系統中逐漸推廣功能安全系統[1-2]。在以往的工程中，也不乏有鍋爐保護系統采用功能安全系統的案例。但在工程實現時，技術人員往往關注的是邏輯控制器的功能安全[3-5]；也有部分人員關注鍋爐保護系統的安全評估，并給出了鍋爐保護系統的改進建議[6]。

本文將結合某國外工程鍋爐保護系統(boiler protection system,BPS)的設計，通過對實現功能安全系統關鍵技術的分析及舉例，消除功能安全系統實施過程中的障礙。

1 鍋爐監控系統架構

為實現鍋爐本體設備的監視和控制，需設置各類儀表(溫度表計、壓力表計、流量表計、液位表計等)、各類受控設備(氣動閥、電動閥、電動機等)、控制系統及操作員站。通常將鍋爐監控系統分為鍋爐保護系統、燃燒器控制系統(boiler control system,BCS)和鍋爐分散控制系統(distributed control system,DCS)。鍋爐監控系統架構如圖1所示。

圖1 鍋爐監控系統架構圖

鍋爐BPS柜用于鍋爐安全參數的監視與停爐保護。BCS柜用于對燃燒器、點火油系統、制粉系統的監視、控制。鍋爐DCS柜，用于鍋爐本體及輔助系統的監視、控制、調節、報警等，包括煙、風、汽、水、吹灰等系統。

部分工程將BPS及BCS構成的鍋爐爐膛安全監控系統設計為功能安全系統[3]。根據IEC 61511.1，考慮BPS與BCS及其他系統的獨立性，本文將BPS獨立設置，且設計為功能安全系統。按此方法設計可降低成本。

BPS采用滿足IEC 61508要求的功能安全控制系統，鍋爐DCS、BCS采用通用DCS控制器。在DCS與BPS之間有數據通信，作用如下：①將BPS采集的信號傳送至DCS，參與鍋爐的監視、報警和調節；②BPS不配置操作員站，將BPS的狀態信息傳送至DCS操作員站顯示、存儲。

2 實現功能安全儀表系統的關鍵技術

2.1 SIL等級的確定

整體安全性水平(safety integrated level，SIL)按IEC 61508定義，分為四個等級，即SIL1～SIL4，可靠性由低到高。四個等級又分低要求操作模式和高要求操作模式。過程工業普遍的模式為低要求操作模式，對安全相關系統檢測頻率常為每年1～2次。航空工業普遍的模式為高要求操作模式，對安全相關系統檢測頻率常為每年4～12次。電廠鍋爐保護采用的是低要求操作模式。

安全儀表功能的失效模式分為安全失效和危險失效。安全失效會導致誤停車，危險失效會導致事故。平均要求時失效概率(probability of failure on demand,PFD)可以理解為危險失效概率。在低要求操作模式下，SIL與PFD關系如表1所示。

表1 SIL與PFD關系表

SIL等級可根據經驗或規范選取，也可通過對鍋爐采用危險和可操作性(hazard and operability analysis,HAZOP)方法來分析，進而通過風險圖定性評估確定。

HAZOP方法通過分析生產運行過程中工藝狀態參數的變動、操作控制中可能出現的偏差，以及這些變動與偏差對系統的影響，找出變動或偏差產生的原因，分析可能導致的后果，明確現有的保護措施，并針對超出可接受水平的變動與偏差的后果提出建議措施[7]。

用于SIL定性評估的風險圖法，考慮了以下四個參數來確定SIL等級:危險事件的后果(C)、處于危險區域的頻度(F)、避開風險狀況的概率(P)和不期望事件的概率(W)。C1～C4越大，后果越嚴重；F1～F2越大，頻率越高；P1～P2越大，避開風險概率越小；W1～W3越大，事件發生概率越大。SIL的確定是從左面的起點到右面的方格繪制一條路徑，按照C、F、P的分類，決定這三者的哪一行被選中。具體被選中的行中，哪一個方格被選中，則取決于W的分類[8]。

以下僅就鍋爐煙氣系統進行分析舉例,HAZOP分析及SIL確定如表2所示。

表2 HAZOP分析及SIL確定

表2中：a表示不需要特別安全相關要求。

從表2可看出，并非鍋爐中的每個參數偏離均會造成嚴重后果，進而需要安全措施；也并不是每個參數偏離所需要的安全性等級都是一樣的。

對鍋爐保護系統所取的SIL等級為對各節點各參數分析后所需的安全性等級的最高值。對某工程250 MW循環流化床鍋爐的HAZOP進行分析，確定該鍋爐保護系統的SIL等級為2。

2.2 控制器冗余性的確定

為防止評估偏低的失效率數據導致在不適當冗余設計情況下得到較高的SIL，IEC 61508-02規定了硬件冗余度最低約束條件[9-10]。邏輯控制器的最低故障裕度如表3所示。

表3 邏輯控制器的最低故障裕度表

表3中，安全失效分數(safe failure fraction,SFF)波定義為安全失效率在總的失效率中的百分比。設備的SFF越大，安全性越高。

SFF定義公式如下：

(1)

式中:λ為設備失效率，h為設備平均無故障時間(mean time between failures,MTBF)的倒數。

硬件故障裕度(hardware fault tolerance,HFT)是指在正常行使安全功能情況下，系統配置能夠容忍的危險失效數目，比冗余數少1。

表3說明：控制器自檢測能力越強，故障后向安全方向動作的可能性越高，其硬件故障裕度可以低些。

對于SIL3的保護系統，有的采用三冗余控制器(HFT為2)，如Foxboro 的Triconex；有的采用帶自檢功能的冗余異構控制器(HFT為1)，如ABB 的Plantguard。

2.3 儀表及控制設備冗余性的確定

傳感器的冗余性易于實現，只需增加傳感器的數量即可。傳感器、最終元件的最低故障裕度如表4所示。

最終執行元件的冗余度實現有如下方式：

①可采用冗余閥門；

②如采用單一閥門，對配套的電磁閥進行冗余設置；

③冗余閥門可采用切斷閥與控制閥。控制閥應帶接收安全儀表系統控制的電磁閥。

表4 傳感器、最終元件的最低故障裕度表

2.4 安全儀表系統的PFD驗證

安全儀表系統包括多個子通道，在系統設計結束時，需對各子通道的PFD進行計算驗證。

PFD的計算方法包括可靠性框圖、馬爾可夫模型、故障樹法。IEC 61508-6的附錄B詳細敘述了可靠性框圖法[10]，給出了1oo1、1oo2、2oo3等各種冗余結構的PFD的計算公式及常用表格供查詢。

表格輸入包括：冗余結構、檢修測試時間間隔T1、平均恢復時間(mean time to repair,MTTR)、設備失效率λ、診斷覆蓋率DC、共因失效因子、檢測不到的失效的比率β、能檢測到的失效的比率βD。

舉例如下：對某2oo3傳感器子系統，T1=8 760 h、MTTR為8 h、λ=5.0E-6、β=20%、βD=10%、DC=90%。2oo3低要求操作模式PFD如表5所示。

該變送器子系統PFDs=2.3E-04。需注意，在同樣檢測周期及診斷覆蓋率下，單個變送器PFDs=1.1E-03，為SIL2儀表。經2oo3冗余結構后，變送器子系統為SIL3。

同理，用此方法可計算出最終元件子系統PFDFE。邏輯子系統平均失效概率PFDL可用此方法計算得到，也可用控制器廠家提供的平均失效概率數據。

該通道安全功能的平均失效概率PFDSYS=PFDs+PFDFE+PFDL。

如計算的PFDSYS值小于10-2，即表明安全儀表系統的該通道滿足SIL2要求。

如檢測的子通道滿足不了要求，可采用以下幾種措施來解決：

①減小檢修測試時間間隔T1；

②分析對PFDSYS中貢獻大的值，調整冗余結構；

③選擇設備失效率λ低的設備，或者具有整體安全等級的設備。

3 鍋爐保護系統設計中的其他問題

3.1 BPS與BCS公用設備的處理

鍋爐部分自動調節的參數，一旦越限，要求馬上停爐。在SIL安全要求低時，這類測量儀表是允許保護系統與調節系統公用的。某工程中對此類公用儀表的處理，分以下兩種情況。

①部分信號：一旦全部失去會有重大事故隱患的。采用信號分離器，將信號一分為二，分別送至BPS及BCS。此類信號包括爐膛壓力、汽包水位、汽包壓力、高旁后溫度。

②其他信號：先送至BPS參與保護，再通過冗余通信總線至BCS參與調節。此類信號包括爐膛床溫、流化風出口壓力、一次風量、二次風量、爐膛氧量等。

鍋爐部分受控設備并未獨立設置，除了用于安全停爐外，還需要能按BCS順控程序開關/啟停。某工程中對此類公用設備的處理，分以下三種情況。

①油角閥、點火槍及油槍，受失效安全的氣動執行機構驅動。該執行機構動作與否取決于單線圈電磁閥是否受電。將BPS的安全繼電器送出常閉觸點(冗余)串入電磁閥的供電回路，保證BPS發出指令的優先級高于BCS指令優先級。

②給煤機，受變頻電機驅動。該電機動作與否取決于變頻器是否帶電。BPS通過安全繼電器送出冗余常閉觸點，這兩副觸點先進行串接，再接至變頻器供電控制回路。BPS停爐時，將發出信號斷開觸點，進而停止給煤機。BPS發出指令的優先級高于BCS的指令。

③一次風機等的聯鎖，有兩種處理方案：一是BPS通過安全繼電器送出冗余常閉觸點，該兩副觸點先進行串接，再接至電機供電控制回路；二是BPS通過安全繼電器送出冗余常開觸點，這兩副觸點先進行并接，再并接至電機停電控制回路。為滿足電氣開關柜的標準化生產，工程中常用后者方案。但從可靠性考慮，前者方案更好。

3.2 緊急停止按鈕及跳閘繼電器問題

根據NFPA 85及IEC 61511要求，手動跳閘按鈕應直接接至安全儀表系統最終元件——跳閘繼電器回路或就地設備。

但對某工程流化床鍋爐，切斷進油及進煤、聯鎖停汽機、停一次風機、流化風機等需要不同的條件。所以聯鎖停汽機、停風機指令并未由主跳閘繼電器接出，而是通過控制器卡件的繼電器接出的。

3.3 停爐相關設備的要求

為保證整個鍋爐保護系統的整體安全性，需確保停爐相關設備的可靠性，在設備訂貨時，就應對設備有所要求。應注意：選用安全相關設備，可在設備的冗余性要求上有所降低。

此外，為完成BPS功能的驗證，需由設備廠家提供失效概率驗證所需的相關參數。

4 BPS國內設計現狀及改進建議

國內設計的BPS，比較注重邏輯控制器的選擇，也兼顧了儀表及控制設備的冗余性，但其普遍缺少SIL等級確定和PFD驗證這兩個步驟。主要原因為：一是因為這兩個步驟比較繁瑣；二是國內有詳細的設計規范指導工程設計，直接給出了建議SIL等級及冗余性配置建議；三是直接套用多個工程的應用案例比較省事。這樣帶來的后果為：一是SIL等級定的可能偏高；二是安全儀表系統部分回路SIL等級達不到要求。

對于國外工程，特別是在歐美地區，比較強調安全儀表系統的完整性。為適應國外工程的需要，建議在鍋爐保護系統的設計過程中，能有PFD的驗證過程。這樣也便于在設計階段就能調整儀表及控制設備的冗余性，在訂貨階段調整設備的可靠性，保證BPS的安全完整等級。

5 結束語

本文通過分析鍋爐保護及控制系統的構成，確定了鍋爐保護系統采用安全儀表系統。在BPS設計過程中，采用危險和可操作性方法確定了所需的整體安全性等級，按照IEC國際標準確定了控制器及儀表的冗余性。在完成BPS初步設計后，選用可靠性框圖法校驗BPS的危險失效概率，并結合校驗結果對BPS系統進行修正。實踐表明：按此方法設計的安全儀表系統，能有效避免控制器及儀表的過度冗余，保證系統的可靠性。

[1] 馬欣欣，許繼剛，孔祥正.功能安全系統在火電廠的應用研究[J].中國儀器儀表，2011(1):13-16.

[2] 李成.IEC 61508功能安全標準在電廠安全系統設計中的研究與應用[D].上海：上海交通大學，2010.

[3] 華偉，張永，年華.安全型PLC系統在鍋爐FSSS中的應用[J].吉林電力，2007，35(2)：32-35.

[4] 王瑋.Triconex系統在鍋爐保護的應用[J].電站系統工程，2013，29(1)，63-64.

[5] 田松.SIL3安全儀表系統的設計和應用[J].自動化與儀表，2013(2)，44-47.

[6] 付亞利，白焰，王鵬，等.火電廠主燃料跳閘功能的安全評估[J].華東電力，2013,41(6):1348-1351.

[7] 廖學品．化工過程危險性分析[M]．北京:化學工業出版社，2000:5-14.

[8] International Electrotechnical Commission.IEC 61511-3 2003 Functional safety- Safety instrumented systems for the process industry sector-Part 3 [S].2003:41-45.

[9] International Electrotechnical Commission.IEC 61508-2 2010 Functional safety of electrical /electronic /programmable electronic safety-related systems-Part 2 [S].2010:23-27.

[10]International Electrotechnical Commission.IEC 61508-6 2010 Functional safety of electrical /electronic /programmable electronic safety-related systems- Part 6 [S].2010:25-42.

Design and Implementation of Safety Instrumented Systems in Boiler Protection

To meet the requirements of safety instrumented system applying in the protection system of one certain foreign power plant,a design plan of boiler protection system BPS is proposed.In the plan,the HAZOP method is used to determine the SIL needed for boiler protection system,IEC standards are followed to determine the redundancy of the controllers and instruments in BPS,and reliability block diagram method is used to check the PFD of BPS,which in turn is used to modify the BPS.The practice shows that the design plan can effectively improve the reliability of boiler protection system,and avoid excessive redundancy.

Safety instrumented systems(SIS) Distributed cootrol system(DCS) Boiler protection system(BPS) Hazard and operability method(HAZOP) Safety integrated level(SIL) Probability of Failure on Demand(PFD) Reliability Security level

TH7;TP277

A

10.16086/j.cnki.issn 1000-0380.201611016

修改稿收到日期：2016-03-04。

作者劉華(1983—)，男，2008年畢業于東南大學能源信息技術專業，獲碩士學位，工程師；主要從事電廠熱工自動化設計方向的研究。