基于SPN模型的油氣站場安全儀表系統SIL驗證方法

金龍 楊國棟 安如珠 楊凱 王學林 楊青霄

1河北華北石油工程建設有限公司

2青海油田采油一廠

3中國石油華北油田分公司二連分公司

4中國石油華北油田分公司

隨著我國長輸管道的迅猛發展，管道及沿線站場的完整性管理顯得尤為重要。油氣站場因工藝介質的特殊性、工業裝置的大型化和處理流程的復雜化，一旦發生生產事故，容易造成災難性后果[1]。因此，為保證油氣站場安全平穩運行，常設置緊急停車系統（ESD）、高完整性壓力保護系統（HIPPS）、火氣系統（FGS）、燃燒器管理系統（BMS）等，這些系統可在一定程度上阻止事故發生或減小事故發生造成的后果，統稱為安全儀表系統。安全儀表系統采用安全完整性等級（SIL）來衡量系統的管理水平，表征一定條件下安全儀表功能（SIF）可被成功執行的概率。

在SIL 評估中，SIL 等級的驗證是評估現有SIF是否完備、測試周期是否合理、SIL 等級是否滿足現有儀表系統的關鍵，也是研究人員重點關注的問題[2-3]。功能安全基礎標準IEC61508.6提出了四種常用的SIL等級驗證方法，分別為簡易公式法、可靠性框圖法、故障樹分析法和馬爾科夫模型法。MOORE等[4]采用區間法解決了馬爾科夫建模過程中的參數不確定性，提高了馬爾科夫的計算精度；SUMMERS[5]對比了故障樹和可靠性框圖法，結果表明，在復雜條件下前者的計算結果更為準確；MAHDI等[6]考慮了共因失效、修復率和診斷覆蓋率的影響，完善了可靠性框圖計算方法；唐平等[7]分別采用簡易公式法和馬爾科夫模型法對丙烯塔火炬泄放裝置的SIF進行了SIL驗證；楊放等[8]采用可靠性框圖法計算了輸氣站場ESD系統的SIL等級；朱睿峰等[9]采用故障樹分析法對海上油氣處理模塊的溫度控制系統進行了SIL等級評估。從上述研究可見，每種計算方法均有應用，且部分研究人員對其進行了改進，其中簡易公式法計算便捷，但無法反映執行機構的全部失效狀態，計算結果偏??；可靠性框圖法無法獲得與時間序列相關的完整性評估指標，且對于冗余系統，無法描述因單通道失效引發的系統降級；故障樹分析法同樣也無法一次性獲得與時間序列相關的完整性評估指標；馬爾科夫模型法可描述系統狀態轉移時的動態變化，但轉移矩陣的維數與表決結構的復雜性呈正比，計算量較大。隨機Petri網（SPN）能夠對所有的約束條件進行建模，可將復雜系統簡單化，并具有擴展性，但對于中間狀態和不確定參數的求解往往計算量較大，故引用蒙特卡洛進行輔助模擬，形成SPN-蒙特卡洛模型的SIL驗證方法，研究結果可為油氣站場完整性管理水平的提升提供理論依據。

1 隨機Petri網

安全儀表系統是一個動態隨機過程，系統中各種參數均會隨時間發生改變，因此在SIL驗證計算的過程中需考慮時間的延續性。隨機Petri 網（SPN）通過在變遷中添加一定的延時數據，以增加對系統動態特征的描述[10]，相對于其余幾種SIL驗證方法，其優點如下：

（1）采用圖形表示系統邏輯關系，后續數據處理更加便捷。

（2）SPN模型規模隨建模部件的數量呈線性增長，而馬爾科夫模型法則呈指數增長。

（3）模型靈活多變，可使用各種約束條件的SIL驗證模型，同時中間狀態可采用蒙特卡洛模擬。

SPN 模型是由庫所、變遷、有向弧和托肯組成[11]，通過圖形的方式表示4 個基本元素相互關系，將變遷按照延時條件分為隨機變遷和瞬態變遷，各元素的含義見表1。

表1 SPN模型元素符號及含義Tab.1 Symbol and meaning of SPN model elements

2 基于SPN的SIL驗證模型

利用Time net 軟件對“MooN”型（表示N 取M，如2oo3 為3 取2）的表決結構進行建模，模型中包括檢測到的危險失效（DD）、未檢測到的危險失效（DU）、檢測到的安全失效（SD）、未檢測到的安全失效（SU），同時考慮冗余結構中一個或多個事件導致設備同時失效的共因失效（CCF）；狀態繼續細分為檢測到的共因危險失效（DDC）、未檢測到的共因危險失效（DUC）、檢測到的非共因危險失效（DDN）、未檢測到的非共因危險失效（DUN）、檢測到的共因安全失效（SDC）、未檢測到的共因安全失效（SUC）、檢測到的非共因安全失效（SDN）、未檢測到的非共因安全失效（SUN）。模型見圖1所示。

圖1 “MOON”型Petri網模型Fig.1 "MOON"Type Petri net model

模型左右兩側分別為安全失效和危險失效，初始正常的工作狀態為W，托肯在庫所W 內。以右側危險失效為例，經過一段時間，外界因素使變遷T0 發生改變，實施速率為λD（危險失效概率），此時托肯被轉移至庫所D 中，表示發生危險失效。由于目前智能設備內部帶有自診斷功能，可檢測出部分失效，故危險失效經過變遷T2和T3后，庫所D 中的托肯進入DD 和DU 的概率分別為DC（診斷覆蓋率）和（1-DC）。當托肯位于庫所DD 中時，表示系統發生了檢測到的危險失效，由于共因失效概率β的存在，托肯又以不同的概率立即轉移至庫所DDC 和DDN 中。經過時間的推移，通過對系統實施周期性功能檢測，假設修復率為100%，系統經過不同的平均修復時間MTTR，變遷T17 和T19恢復到初始工作狀態W，系統修復如新。當托肯位于DU 中時，表示系統發生了未檢測到的危險失效，同理若失效由共因失效引起，托肯進入庫所DUC，反之進入庫所DUN。當托肯在庫所DUC時，等同于系統的自診斷功能失效，此時系統不可修復；當托肯在庫所DUN 時，只有N-M+1 個狀態同時進入DUN 時才會導致系統失效，而單通道并不會引發危險失效，經過一個測試周期的檢驗，系統可恢復正常狀態。

3 蒙特卡洛模擬

基于以上分析，SPN模型中存在較多的中間變量，且SIF回路因反饋數據缺失、運行狀態待定和新子系統的應用會導致部分參數存在不確定性，主要參數有危險失效概率λD、安全失效概率λs、診斷覆蓋率DC（危險失效和安全失效的診斷覆蓋率相同）、共因失效概率β和平均修復時間MTTR等。在求解以上參數的精確解析解時計算量較大，故采用蒙特卡洛模擬降低計算量，使結果更加可靠。蒙特卡洛模擬是一種以概率論和統計理論方法為基礎的計算方法，通過使用隨機數解決參數的不確定性，以獲得問題的近似解，當知道不確定參數符合某種概率分布時即可求解。SPN-蒙特卡洛模擬流程見圖2，步驟如下：

圖2 SPN-蒙特卡洛模擬流程Fig.2 SPN-Monte Carlo simulation process

（1）根據不確定參數特點，確定數據服從的概率分布類型（一般有Uniform 分布、Normal 分布、Beta分布和Lognormal 分布），采用Matlab軟件生成仿真數據。

（2）根據一組輸入數據，參照SPN模型，計算平均要求失效概率PFDavg(i)，i為模擬次數。

（3）重復前兩個步驟，直至達到設定的模擬次數，輸出n個PFDavg結果。

（4）計算n個PFDavg 結果的均值、95%置信區間及標準差，并通過累計密度函數（CDF）評價計算結果的有效性，公式如下：

式中：F為CDF 分布；p為仿真結果落入置信區間的概率。

當仿真次數n足夠大時，不確定參數的算術平均值等于數學期望，即逼近真實值，則確定的SIL等級結果更加準確。

4 實例分析

4.1 基本情況

以某輸氣站場氣液分離器高完整性壓力保護系統（HIPPS）為例進行分析，HIPPS 可降低被保護對象的承壓等級，切斷危險壓力源，防止下游設備或管道出現超壓，同時可適當取消放空裝置、防爆閥、安全閥等被動泄放設備，在提高設備安全性的同時減少資金投入[12-13]。該氣液分離器超壓的SIF回路為天然氣進入氣液分離器，液相從分離器底部由液相泵輸出，氣相從分離器上部輸出并進入下游壓縮機，當氣相管道超過壓縮機負荷時，氣液分離器出現超壓，此時壓力傳感器檢測到超壓并將信號傳遞至邏輯控制器，邏輯控制器PLC輸出控制信號用于關閉執行器的任意閥門，從而切斷物流，工藝流程見圖3。SIS系統結構見圖4，其中壓力傳感器為2oo3結構，即3個壓力傳感器同時工作，只要有任意2個傳感器檢測到氣液分離器壓力異常，邏輯控制器即可接收到信號；邏輯控制器為1oo1 結構；執行器為1oo2結構。

圖3 氣液分離器工藝流程Fig.3 Process flow of gas-liquid separator

圖4 SIS系統結構圖Fig.4 SIS system structure diagram

4.2 SIL驗證結果

根據現場搜集到的基礎數據，可初步確定各子系統參數的上下限，參照文獻[14-15]的方法確定參數的概率分布。鑒于對數正態分布（LogN）長尾性、非負性的特點，分別對三個子系統進行建模和仿真，將HIPPS系統的通用可靠性數據轉換為蒙特卡洛模擬所需的分布參數，其基本參數和仿真參數見表2，TI為周期性測試周期，h。

表2 子系統的基本參數和仿真參數Tab.2 Basic parameters and simulation parameters of the subsystem

仿真結果的直方圖見圖5，傳感器子系統的PFDavg主要分布在[0.000 8，0.002]，邏輯控制器子系統的PFDavg 主要分布在[0.000 5，0.004]，執行器子系統的PFDavg主要分布在[0.0013，0.003]，總的HIPPS 系統的的PFDavg 主要分布在[0.000 3，0.005]。

圖5 蒙特卡洛計算PFDavg結果的直方圖Fig.5 Histogram of the results of Monte Carlo calculation of PFDavg

仿真的精確值見表3，將各子系統的PFDavg相加得到總的HIPPS 系統的PFDavg 值。SPN-蒙特卡洛模型的計算結果中PFDavg 均在95%的置信區間內，說明仿真結果滿足SIL的計算要求。累計密度函數（CDF）包含了直方圖相同的信息，但噪聲更少，且不存在分段問題，可用CDF 檢驗結果是否包含在所需的SIL 等級內，經計算概率p(X＜0.01)=1，說明95%的仿真結果滿足所需的SIL等級。

表3 HIPPS系統SIL驗證計算結果Tab.3 SIL verification calculation results of HIPPS system

與可靠性框圖法相比，各子系統的PFDavg 均在同一數量級上，說明兩種方法的計算結果具有一致性，其SIL等級不會改變。但SPN-蒙特卡洛模型可在不改變原有模型結構的基礎上擴展系統的狀態，可考慮系統動態變化及維修計劃實施的影響，也可進行部分功能測試周期的擴展，因此該模型具有更好的適用性和科學性。對比3個子系統，執行器系統的SIL 等級較高，但整個HIPPS 系統的SIL等級由傳感器和執行器子系統決定，因此在進行儀表自控設計時應注重各子系統SIL 等級的分配（圖6）。

圖6 PFDavg的共享分布圖Fig.6 Shared distribution map of PFDavg

5 結論

（1）建立基于SPN 模型的SIL 驗證模型，解決了傳統模型擴展能力和表達能力差的問題，在不改變原有模型結構的基礎上可實現數據的動態分析。

（2）針對部分參數的不確定性，采用蒙特卡洛進行逼近模擬，以氣液分離器HIPPS 系統進行分析，采用累積密度函數對SPN-蒙特卡洛計算結果中95%置信區間進行驗證，仿真結果滿足所需的SIL等級，說明本文算法具有一定的可靠性。

（3）整個HIPPS 系統中執行器系統的SIL 等級較高，最終的SIL 等級由傳感器和執行器子系統決定。