參數(shù)不確定條件下的油氣站場安全完整性等級驗證方法

施昊彤

(國家管網(wǎng)集團建設(shè)項目管理分公司 西四線新疆工程項目部,新疆 哈密 839000)

油氣管道和站場是完整性管理的重要組成部分,隨著管理者和公眾對于站場內(nèi)工藝流程過程安全的日益重視,安全儀表系統(tǒng)(SIS)的應用也越來越多[1-2]。GB 50251—2015《輸氣管道工程設(shè)計規(guī)范》中給出了管道監(jiān)控系統(tǒng)、儀表自控系統(tǒng)的一般性規(guī)定[3],但沒有指明SIS的使用范圍和使用方法。IEC 61508和IEC 61511將安全生命周期定義為分析階段、實施階段和運行階段,并指出為保證重要工藝流程的正常生產(chǎn),應設(shè)置由傳感器、邏輯控制器和執(zhí)行機構(gòu)組成的SIS。對于SIS需要硬件配置與之相適應的可靠性水平,即完整性等級(SIL)[4-6]。其中,SIL等級的驗證結(jié)果可確定現(xiàn)有的安全儀表回路是否滿足要求,并針對性地改進不滿足要求的回路,提出風險降低、風險減緩措施,對于油氣站場的安全運行具有重要意義。但SIL驗證中涉及較多的評估模型簡化和參數(shù)假設(shè),使評估結(jié)果與現(xiàn)場實際相差較多,且可靠性框圖、故障樹和馬爾科夫鏈等評價方法中均采用精確的失效參數(shù)進行計算,這無疑無法表征失效數(shù)據(jù)不充分、失效模式未被識別等客觀因素[7]。綜上所述,在分析SIL驗證不確定性因素的基礎(chǔ)上,分別利用蒙特卡洛和模糊理論建立參數(shù)概率分布已知、參數(shù)概率分布未知等兩種情況下的SIL驗證流程,并從置信度、合規(guī)性概率的角度分別評價兩種方法,以期減少數(shù)據(jù)缺乏條件等不確定性因素對SIL驗證結(jié)果的影響。

1 SIL驗證模型及不確定性因素

1.1 SIL驗證模型

石油化工行業(yè)中安全相關(guān)系統(tǒng)普遍執(zhí)行低要求操作模式,即要求動作頻率不大于1次/a,采用安全功能平均要求失效概率(PFD)衡量SIL等級[8]。以“MooN”(M≤N)型表示N個獨立完成相同功能的通道中有M個通道完好,IEC 61508-6: 2010Functionalsafetyofelectrical/etectronic/programmableelectronicsafety-relatedsystems-Part6:GuidelinesontheapplicationofIEC 61508-2 and IEC 61508-3中給出了常見硬件冗余結(jié)構(gòu)的SIL驗證公式[9],如式(1)～式(4)所示:

PFD1oo1=(λDD+λDU)tCE

(1)

(2)

PFD2oo2=2(λDD+λDU)tCE

(3)

(4)

式中:λDD——檢測出的危險失效率,h-1;λDU——未檢測出的危險失效率,h-1;β——未檢測出的共因失效分數(shù);βD——檢測出的共因失效分數(shù);tCE——與通道相關(guān)的等效平均停止工作時間,h;tGE——與系統(tǒng)相關(guān)的等效平均停止工作時間,h;MTTR——平均恢復時間,h;TI——檢測時間間隔,h。

其中,tCE,tGE的計算公式如式(5)～式(6)所示:

(5)

(6)

式中:DC——診斷覆蓋率,%。

根據(jù)計算的PFD結(jié)果,參照SIL等級與PFD的關(guān)系表得到對應的SIL等級[10],見表1所列。

表1 SIL等級與PFD的關(guān)系

1.2 不確定性因素分析

鑒于油氣站場內(nèi)工藝流程失效后造成的后果較嚴重,通常采用高可靠、低失效的可編程電子設(shè)備,該類設(shè)備歷史失效次數(shù)少,現(xiàn)場失效數(shù)據(jù)往往不足,因此很難捕捉到1.1節(jié)公式中的確切值。但技術(shù)人員在SIL驗證的過程中,通常采用一個工況條件下精確值進行計算,由此得到的SIL等級實際上是這一特定工況下的完整性情況,該方案對技術(shù)人員的經(jīng)驗具有較高的依賴程度,從而夸大或縮小實際的風險水平。

針對SIL驗證中的不確定性,主要分為模型不確定性、參數(shù)不確定性和人因不確定性等。模型不確定性是指評估模型在假設(shè)條件上對評估結(jié)果的影響,但隨著冗余系統(tǒng)中逐漸將共因失效、非共因失效考慮入內(nèi),這種不確定性正逐漸改善;參數(shù)不確定性為模型中引入了不確定參數(shù)、可靠性試驗條件不足、存在專家經(jīng)驗等造成的結(jié)果變化;人因不確定性為技術(shù)人員因個人認知、決策水平和理解能力等造成的不確定性。鑒于λDD,λDU,MTTR,TI,β等參數(shù)難以獲得高質(zhì)量的數(shù)據(jù),因此本文主要考慮參數(shù)不確定性對SIL驗證的影響。根據(jù)各類參數(shù)的概率分布情況,將參數(shù)不確定分為三類,見表2所列。

表2 參數(shù)不確定的分類及說明

針對表2中的分類情況,對于“信息充分”時,直接采用式(1)～式(6)計算;對于“部分信息已知”時,采用蒙特卡洛模擬的方式獲得仿真數(shù)據(jù);對于“少數(shù)信息已知”時,采用模糊理論獲得分析結(jié)果。

2 實例分析

以某站場內(nèi)儲罐區(qū)的高完整性壓力保護系統(tǒng)(HIPPS)為例進行分析,如圖1所示。當罐頂壓力傳感器檢測到罐內(nèi)壓力高時,信號傳遞至邏輯控制器,邏輯控制器根據(jù)檢測結(jié)果對進口管線上的壓力泄放閥下達關(guān)閉命令,避免儲罐和下游管線發(fā)生超壓,達到安全保護的目的。圖1中,傳感器為“2oo3”冗余結(jié)構(gòu),邏輯控制器為“1oo2”冗余結(jié)構(gòu),壓力泄放閥為“1oo2”冗余結(jié)構(gòu)。

圖1 高完整性保護系統(tǒng)(HIPPS)結(jié)構(gòu)示意

2.1 基于蒙特卡洛的SIL驗證方法

1)根據(jù)蒙特卡洛思想,提出基于蒙特卡洛的站場工藝安全系統(tǒng)冗余結(jié)構(gòu)的硬件完整性評價方法。流程如下:

a)確定λDD,λDU,MTTR,TI,β等參數(shù)服從的概率密度分布類型。

b)按照確定的分布類型,采用隨機數(shù)生成器,生成一組輸入值,代入式(1)～式(6)驗算,得到一個輸出結(jié)果y(PFD)。

c)重復執(zhí)行步驟a)～b),直到產(chǎn)生n個獨立計算結(jié)果,根據(jù)大數(shù)定理可知,當n足夠大時,隨機變量的數(shù)學期望和算數(shù)平均值相等,此時可通過增加執(zhí)行次數(shù),增加計算結(jié)果穩(wěn)定性。

d)獲得輸出y的最大值、最小值、均值、標準差等統(tǒng)計結(jié)果,為了區(qū)分PFD在不同SIL等級區(qū)間的情況,采用95%的置信區(qū)間檢驗當前PFD是否包含在所需的SIL等級內(nèi),計算如式(7)所示:

P(y

(7)

式中:y——計算得到的PFD值;SILRU——所需的SIL等級,保守情況下將表1的上限定義為SILRU;P——累計概率分布函數(shù)。

2)驗算。以壓力泄放閥的SIL驗證為例進行驗算。對于危險失效率λD,IEC 61508中給出的范圍為0.05×10-6～2.50×10-5,PDS手冊中給出了最可能值為5.0×10-6;對于DC,IEC 61508中給出的取值為0,60%,90%,99%,但考慮到與油氣站場相關(guān)的硬件均為高可靠性設(shè)備,因此DC取0.90～0.99,最可能值為0.95;對于β,IEC 61508中的參考值為2%,10%,20%,對于雙機熱備的情況下,最可能值為7.5%,βD取β的0.5倍即可;對于TI,與廠家手冊中的檢驗時間有關(guān),在此取8 760 h;對于MTTR,與技術(shù)人員的水平和個人經(jīng)驗等主觀因素相關(guān),考慮到泄放閥帶有自動診斷功能,故MTTR取8 h。最終,除MTTR和TI外,其余參數(shù)均服從三角分布,取值情況見表3所列。

表3 參數(shù)取值情況(蒙特卡洛模擬)

按照上述模擬步驟,將表3中的數(shù)據(jù)代入式(2),輸出結(jié)果見表4所列,輸出樣本的頻率直方圖和累計概率分布如圖2所示。其中,PFD的均值為2.45×10-4,參照表1屬于SIL3等級,但按照式(7)計算,當PFD為6.29×10-4時,有95%的PFD值小于6.29×10-4,說明此時的SIL等級為3,雖然與均值評定結(jié)果一致,但明顯該結(jié)果具有不確定性。

圖2 輸出樣本的頻率直方圖和累計概率分布示意

表4 蒙特卡洛模擬下的SIL驗證結(jié)果

同理,根據(jù)SILRU計算不同SIL等級下的置信度,見表5所列。P(y<10-1)=P(y<10-2)=1,說明滿足SIL2的可能性為100%;P(y<10-3)=0.82,說明滿足SIL3的可能性為82%;P(y<10-4)=0.24,說明滿足SIL4的可能性為24%。其中,該壓力泄放閥最可能的SIL等級為SIL2,與之前的評定結(jié)果相差一個數(shù)量級。根據(jù)參數(shù)不確定性,可以得到不同等級范圍內(nèi)的置信度,由此確定不同工況、不同時刻下的SIL等級,對于SIL等級的動態(tài)定量評估具有重要意義。

表5 不同SIL等級下的置信度

2.2 基于模糊理論的SIL驗證方法

1)根據(jù)模糊理論的相關(guān)原理,提出基于模糊理論的站場工藝安全系統(tǒng)冗余結(jié)構(gòu)的硬件完整性評價方法。流程如下:

b)將各參數(shù)模糊值代入式(1)～式(6),將其轉(zhuǎn)化為具有模糊數(shù)形式的公式,以“1oo2”冗余結(jié)構(gòu)為例:

c)采用模糊運算法則計算模糊數(shù),繪制隸屬度函數(shù)圖,隸屬函數(shù)的表達式如式(8)所示:

(8)

d)計算不同水平截集α對應的左、右PFDL和PFDR,見表6所列。同時利用最大隸屬度法和質(zhì)心法對模糊數(shù)進行解模糊處理,并根據(jù)結(jié)果與SILRU的關(guān)系,確定SIL等級。

表6 不同水平截集下的PFDL, PFDR

2)對比。為了將模糊理論方法的模擬結(jié)果與蒙特卡洛模擬結(jié)果進行比較,采用工程計算中常用的梯形模糊數(shù),模糊區(qū)間的上下限和中間值與表3一致,參數(shù)取值情況見表7所列,輸出結(jié)果的隸屬度函數(shù)值如圖3所示。

圖3 輸出結(jié)果的隸屬度函數(shù)值示意

表7 參數(shù)取值情況(梯形模糊數(shù))

由表6可知,不同水平截集下的PFD結(jié)果有所不同,當α=0時,(PFDL,PFDR)=(2.15×10-6,1.21×10-3),與蒙特卡洛模擬得到的(最小值,最大值)=(4.32×10-5,1.25×10-3)相比,模糊數(shù)得到的結(jié)果具有更廣泛的不確定性,更適合處理數(shù)據(jù)貧乏下的不確定性問題,這在極少信息的硬件完整性驗證中具有重要意義。以PFDR為例,當α=0～0.1時,SIL等級為2;當α=0.1～0.9時,SIL等級為3,說明隨著水平截集的選取,SIL等級有所上升。此外,采用最大隸屬度法,即α=0.9時的PFD為2.07×10-4,與蒙特卡洛得到的均值2.45×10-4非常接近,此時以最大隸屬度法解模糊化后的結(jié)果過于樂觀,忽略了不確定性對結(jié)果的影響;而當α=0時的PFD取值范圍過于保守,SIL等級從SIL2到SIL3不定,說明對結(jié)果有100%的不確定性,實際工況中出現(xiàn)這種情況的幾率較小。因此,采用質(zhì)心法進行解模糊化,得到的PFD為1.52×10-3,SIL等級的驗證結(jié)果為SIL2,該結(jié)果較最大隸屬度法提高了1個SIL等級,降低了參數(shù)不確定性對結(jié)果的影響,驗證結(jié)果更具參考意義。

為了從置信度的角度評價結(jié)果的可信程度,引入合規(guī)性概率對模糊數(shù)隸屬函數(shù)進行積分,評價結(jié)果與SILRU的概率關(guān)系,定義結(jié)果PFD(事件A)不大于SIL(事件B)的概率為PF,公式如式(9)所示:

(9)

合規(guī)性概率計算結(jié)果見表8所列。蒙特卡洛模擬和模糊理論的結(jié)果中均為SIL2等級時的可能性為100%,且蒙特卡洛模擬結(jié)果在SIL3和SIL4的概率值較小,再次證明了模糊理論的不確定性較強,同時保守性更強。

表8 合規(guī)性概率計算結(jié)果

3 結(jié) 論

通過分析、梳理SIL驗證模型不確定性的基礎(chǔ)上,針對不同情況下,SIL等級評估方式如下:

1)對于“部分信息已知”的情況,采用蒙特卡洛模擬進行SIL驗證,其結(jié)果中不同SIL等級的置信度水平有所不同,獲得的SIL等級比均值評定結(jié)果低了1個等級,對于不同工況、不同時刻下SIL等級的動態(tài)定量評估具有重要意義。

2)針對“少數(shù)信息已知”的情況,采用模糊理論進行SIL驗證,其結(jié)果中不同水平截集下的SIL結(jié)果有所不同,采用質(zhì)心法進行解模糊化得到的SIL結(jié)果比最大隸屬度法更具客觀性。