石化工业仪表安全系统安全生命周期要求和安全完整性等级的评估

维普资讯 http://www.cqvip.com 工程设计及标准　石　油　化　工　自　动　化，２００７，２：１　ＡＵＴＯＭＡＴ１０Ｎ　ＩＮ　ＰＥＴＲＯ—ＣＨＥＭＩＣＡＬ　ＩＮＤＵＳＴＲＹ　石化工业仪表安全系统安全生命　周期要求和安全完整性等级的评估　刘建侯　（上海仪器仪表自控系统检验测试所，上海２００２３３）　摘要：在仪表安全系统（ＳＩＳ）安全生命周期中，要进行危险和风险分析以及安全要求分配，制定ＳＩＳ安全要求规范，提供　了安全完整性等级的评估方法及其应用实例。　关键词：仪表安全系统安全生命周期；影响及危险后果分析；安全完整性等级；诊断覆盖率；要求的平均失效概率　中图分类号：ＴＰ２７７　文献标识码：Ａ　文章编号：１００７—７３２４（２００７）０２—０００１—０４　Ｓｅｆｅｔｙ　Ｌｉｆｅｃｙｃｌｅ　Ｒｅｑｕｉｒｅｍｅｎｔ＆Ａｓｓｅｓｓｍｅｎｔ　ｏｆ　Ｓａｆｅｔｙ　Ｉｎｔｅｇｒｉｔｙ　Ｌｅｖｅｌ　ｉｎ　Ｐｅｔｒｏｃｈｅｍｉｃａｌ　Ｉｎｄｕｓｔｒｙ　ＳＩＳ　Ｌｉｕ　Ｊｉａｎｈｏｕ　（ＳＩＰＡＩ。，Ｓｈａｎｇｈａｉ，２０００３　１，Ｃｈｉｎａ）　Ａｂｓｔｒａｃｔ：Ｉｔ　ｉｓ　ｗａｎｔｅｄ　ｄａｎｇｅｒｏｕｓ　ａｎｄ　ｒｉｓｋ　ａｎａｌｙｓｉｓ，ａｌｌｏｃａｔｉｏｎ　ｏｆ　ｓａｆｅｔｙ　ｒｅｑｕｉｒｅｍｅｎｔｓ，ａｎｄ　ｃｏｎｓｔｉｔｕｔｉｏｎ　ｏｆ　ｓａｆｅｔｙ　ｒｅｑｕｉｒｅｍｅｎｔｓ　ｓｐｅｃｉｆｉｃａｔｉｏｎ　ｉｎ　ｓａｆｅｔｙ　ｌｉｆｅｃｙｃｌｅ　ｏｆ　ＳＩＳ．Ａｓｓｅｓｓｍｅｎｔ　ｍｅｔｈｏｄ　ｏｆ　ｓａｆｅｔｙ　ｉｎｔｅｇｒｉｔｙ　ｌｅｖｅｌ　ｉｓ　ｐｒｏｆｆｅｒｅｄ　Ｋｅｇｗｏｒｄｓ：ｓａｆｅｔｙ　ｉｎｓｔｒｕｍｅｎｔｅｄ　ｓｙｓｔｅｍｓ；ｓａｆｅｔｙ　ｌｉｆｅｃｙｃｌｅ；ｅｆｆｅｃｔｓ　ａｎｄ　ｄａｎｇｅｒｏｕｓ　ａｎａｌｙｓｉｓ，ｓａｆｅｔｙ　ｉｎｔｅｇｒｉｔｙ　ｌｅｖｅｌ，ｄｉａｇｎｏｓｔｉｃ　ｃｏｖｅｒａｇｅ；ａｖｅｒａｇｅ　ｐｒｏｂａｂｉｌｉｔｙ　ｏｆ　ｆａｉｌｕｒｅ　ｏｎ　ｄｅｍａｎｄ　１　石油化工装置及其仪表安全系统功能安全的重　２．１　危险和风险评估以及安全要求分配　要性　由于在石化工业过程领域里，存在着许多潜在　在现代石油化工装置中，由于工艺复杂、装　的危险和风险，包含的复杂性也各不相同，这些危　备繁复，需要许多控制系统，并要求整个控制系　险和风险包括被控设备（ＥＵＣ）风险、在给定范围　统不允许存在任何安全薄弱环节。如果系统中　内能够接受的允许风险和采取防护措施后存在的　过程成套仪表以及其他设备工作不正常（失效），　残余风险。这些风险和危险可以通过仪表及其相　就有可能造成控制系统故障，使生产过程停止，　关安全系统、其他技术安全相关系统以及外部风险　会造成火灾、爆炸等危险事件，对人员、设备和环　降低设施，将实际风险降低。风险是对一个危险事　境造成灾难性后果。为了消除危险源，并将风险　件出现的概率和结果的估量，可以对不同情况的风　最小化，需要可靠的过程工业安全技术来满足最　苛刻的要求。因此，在现代石油化工工业过程领　收稿日期：２００６—１２—１４　域的安全生产过程中，需要采用不同技术的仪表　作者简介：刘建侯（１９３９一），男，上海人，１９６５年毕业于上海　安全系统（如机械的、液压的、气动的、电气的、电　理工大学（原上海机械学院）自动化仪表与装置专业，本科，在上海　子的和可编程的等）来保证系统安全。所以，仪　工业自动化仪表研究所检验测试所从事仪表和系统的可靠性与功　表安全系统（ＳＩＳ）本身的功能安全就成为头等重　能安全工作，高级工程师，是中国仪器仪表可靠性工程学会理事，　要的问题。为了评估ＳＩＳ的功能安全，必须对石　曾任机械部仪器仪表可靠性专家顾问，中国电工电子产品可靠性　油化工工业过程领域ＳＩＳ的安全完整性等级进行　标准化技术委员会委员，曾主要负责国家“七五”，“八五”，“九五”　评估，确定其ＳＩＳ的等级。　攻关可靠性项目，是项目研究报告的撰写人，曾多次获得机械工业　２　ＳＩＳ安全生命周期要求　部科技成果二等奖、三等奖等，有关可靠性论文数十篇，主要著作　在ＳＩＳ整体安全生命周期中，要实现ＳＩＳ安全　有“可靠性基础及其应用”和“仪表可靠性工程和环境适应性技术”　生命周期的每个阶段和活动（见表１所列）。　等，自２００５年开始从事仪表和系统的功能安全工作。　维普资讯 http://www.cqvip.com 石油化工自动化　表１　８１８安全生命周期实现阶段及其活动　阶段　标　题　活　动　注：＊表示在低要求操作模式下的每个仪表安全功能所需要　的ＳＩＬ和目标风险降低　险进行评价，当确定了允许风险，并估计了必要的　风险降低后，就可以在仪表及其相关安全系统、其　他技术安全相关系统以及外部风险降低设施之间　分配安全完整性要求。常用的方法是采用合理可　行的低（ＡＬＡＲＰ）模型，根据这个模型，只要知道允　许的风险目标，根据风险等级，列出危险事件可能　出现的频率和后果等级，确定满足允许风险的必要　的风险降低，最后将必要的风险通过预防、控制或　减轻来自过程及其相关装置危险的保护层来分配　安全功能，给仪表安全功能分配风险，以便降低目　标量。同时，根据ＩＥＣ６１５１１中表３或表４的规定，　对应得到不同操作模式下每个仪表安全功能所需　要的目标量（ＳＩＬ）。　２．２　ＳＩＳ安全要求规范　从仪表安全功能分配和在安全计划编制过程　中确定的要求可推导出仪表安全功能的要求。ＳＩＳ　安全功能要求主要包括：所有仪表安全功能的描　述；确定和考虑共同原因失效的要求；对仪表安全　功能的过程安全状态的定义；任何单个过程安全状　态的定义，当这些状态同时发生时，就会产生一个　单独的危险（如应急储存容器过载、多次泄压给间　歇式燃烧系统）；检验测试间隔和响应时间要求；安　全完整性等级和操作模式；ＳＩＳ过程输入和脱扣点　的描述；过程输出动作和成功操作准则的描述（如　密封截止阀要求等）；过程输入和输出之间的功能　关系，包括逻辑功能、数学功能等；任何人工停机或　停机后复位ＳＩＳ要求；失效模式和要求的ＳＩＳ响应　（如报警、自动停机）；超控／禁止／旁路要求。　２．３　ＳＩＳ的设计和工程　ＳＩＳ的设计和工程的目的是设计一个或多个　ＳＩＳ以提供仪表安全功能并满足规定的安全完整　性等级（ＳＩＬ）。　ａ）ＳＩＳ设计过程中特别要注意以下几点：只　要可行，就应把仪表安全功能和非安全功能分开，　让基本过程控制系统设计成单独的和的；应论　述可操作性、可维修性和可测试性要求（如旁路设　施使得在旁路时可进行在线测试和报警）；应设计　成只要它把过程置于某个安全状态，就会保持在安　全状态直到启动一次复位为止；应考虑用手动方式　（如应急停机按钮）来启动ＳＩＳ终端元件。　ｂ）要考虑在故障检测时的系统行为要求。当　在任何子系统中检测到一个危险故障时（利用诊断　测试、检验测试等）的结果会产生：用以达到或保持　某个安全状态的一个规定动作或在修复故障部分时　继续过程的安全运行。这些动作在操作员为响应一　次报警而采取的特定动作时（如打开或关闭一个阀　门），则应把报警当成仪表安全系统的一部分。当在　低要求操作模式下，无冗余的仪表安全子系统中检　测到一个危险故障时（利用诊断测试）的结果会产　生：用以达到或保持某个安全状态的一个规定动　作或在平均恢复时间（ＭＴ豫）内修复故障子系　统，此时，应由附加措施和约束保证过程持续安全。　如果不能在ＭＴＴＲ内完成修复故障子系统，则应　执行一个规定动作以达到或保持某个安全状态。　ｃ）要考虑硬件故障裕度和安全完整性的结构　约束要求。硬件故障裕度指在出现故障或错误情　况下，功能单元继续执行一个要求功能的能力。硬　件安全功能所声明的最高安全完整性等级受限于　维普资讯 http://www.cqvip.com 第２期　刘建侯．石化工业仪表安全系统安全生命周期要求和安全完整性等级的评估　硬件故障裕度及执行该安全功能的子系统的安全　失效分数（ＳＦＦ）。对仪表安全功能而言，传感器、　逻辑运算器和终端元件应具有最低的硬件故障裕　度。ＩＥＣ６１５１１．１中表５和表６分别表示可编程电　子（ＰＥ）逻辑运算器和传感器、终端元件及非ＰＥ逻　辑运算器的结构约束。　ｄ）正确选择部件和子系统。按ＩＥＣ６１５１１．１　中１１．５款要求　］，根据预先使用情况选择固定程　序语言（ＦＰＬ）、有限可变语言（ＬＶＬ）和全可变语言　（ＦＶＬ）可编程部件和子系统要求，确定合适的应　用语言和工具。　ｅ）要考虑现场设备、接口（包括操作员接口、维　护／工程接口和通信接口）和维护或测试设计要求。　２．４　ＳＩＳ安装、调试运行、操作／维护、修改、停用　和检验测试　ＳＩＳ安装、调试运行、操作／维护、修改、停用和　检验测试等都是ＳＩＳ安全生命周期活动的内容，可　以根据ＩＥＣ６１５１１．１有关规定进行设计安排。　２．５　ＳＩＳ功能安全评估　ＳＩＳ功能安全评估的目的是调查并判断ＳＩＳ　及相关系统所达到的功能安全，功能安全评估活动　应在进行危险和风险分析，风险降低，功能安全分　配，确定要求的保护层，以及编制安全要求规范后。　计算方法是通过对仪表进行影响及危险后果分析　（ＦＭＥＤＡ），计算并确认仪表的安全失效分数　（ＳＦＦ）和要求的平均失效概率（ＰＦＤ），然后，根据　子系统的结构形式、操作要求、检验测试时间和　ＭＴＴＲ等要求，计算子系统的ＰＦＤ，最后根据　ＩＥＣ６１５０８．６附录Ｂ［　，安全系统的安全功能在要　求时的平均失效概率由各子系统在要求时的平均　失效概率组合确定，计算系统的ＳＩＬ，同时，考虑系　统的结构约束，最终确定系统的ＳＩＬ和ＳＦＦ。下　面是ＳＩＬ评估方法应用实例。　３　ＳＩＳ功能安全评估应用实例　上海工业自动化仪表研究所受德国Ｌｉｎｄｅ公　司委托，对上海某化工厂合成气分离净化ＣＯ和　Ｈｚ项目中８套仪表安全系统进行功能安全ＳＩＬ　评估，下面以其中的氮气系统下游流量控制的功能　安全ＳＩＬ评估为例。　３．１　系统目标量　根据系统安全生命周期的危险和风险分析以　及功能安全分配，系统安全完整性等级要求的目标　失效量为ＳＩＬｌ。　３．２功能描述　在氮气系统控制阀打开位置失效情况下，阻止　设计温度超越。　３．３　气动薄膜控制阀ＦＭＥＤＡ确认和ＰＦＤ，ＳＦＦ　计算　ａ）几个假定。　一常数；失效传播互不相关；　所有失效模式是根据认证报告或实际使用经验得　到；平均修理时间ＭＴＴＲ一７２　ｈ；系统检验时问为　２　ａ；平均温度为４０℃；环境应力水平是平均值；工　作模式为低要求操作模式。　ｂ）系统框图如图１所示。　传感器子系统　可编程控制器子系统　（１００１）　（１００１）　电阻温ｌ　ｌ输入端　度变送ｒ＿１隔离安　器　ｌ　ｌ全栅　蹰　一Ｉ全栅ｌ—Ｈ垦　广—］一　——＿ｃ　终端元件子系统　（１ｏｏ１）　图１　系统结构框图　ｃ）仪表失效率数据来源。主要由仪表现场数　据收集、国内外有关可靠性数据手册和经验数据等　方法获得。　ｄ）气动薄膜控制阀ＦＭＥＤＡ。为了计算仪表　ＰＦＤ和ＳＦＦ，下面仅以薄膜控制阀ＦＭＥＤＡ为例　加以说明，见表２，表３所列。　表２薄膜控制阀ＦＭＥＤＡ　失效模式　占比例，　轻微故障——安全　９０　严重故障——危险　１Ｏ　在检验时间为２　ａ，平均恢复时问７２　ｈ时　维普资讯 http://www.cqvip.com ４　石油化工自动化　２００７拄　。　ｌ—１．０×１０一。　时，终端元件子系统有一条通道情况下　ＰＦＤｓＹｓ一０．４８×１０一。＋１．３４×１Ｏ　＋０．３２×１０　一诊断覆盖率ＤＣ＝０　ｄ—　ｄ　一０．１×１０　０．３７×１０一。　ＳＦＦ一１一（０．１／１．Ｏ）一９０　ｔｃＥ一８　８３２　ｈ　ＰＦＤＦＥ一０．１×１Ｏ　×８　８３２—０．８８×１０　ＳＦＦ＝８７　在Ｂ类结构约束下，ＳＦＦ一８７　，表决１００１　时，虽然计算达到ＳＩＬ２，但是，根据该系统结构约　束查ＩＥＣ６１５０８．２表３，在故障裕度要求为０时的　硬件最高安全完整性等级为ＳＩＬｌ。因此，氮气系　ｅ）系统结构。传感器子系统包括电阻温度变　送器（３Ｏ５１Ｔ）、输入模块（ＳＭ３３６）、输入端隔离安　全栅（ＫＦＤ２一ＳＴＣ４一ＥＸ１）；逻辑控制器子系统为　ＰＬＣ逻辑控制器（Ｓｉｅｍｅｎｓ　ＰＣＳ　７）；终端元件子系　统包括输出模块（ＳＭ３２６）、输出端隔离安全栅　（ＫＦＤ２一ＳＬ２一ＥＸ）、电磁阀（Ｓａｍｓｏｎ　３９６３），气动　薄膜控制阀（Ｓａｍｓｏｎ）。　ｆ）子系统ＰＦＤ的计算。根据ＩＥＣ６１５０８．２和　ＩＥＣ６１５０８．６附录Ｂ进行子系统ＰＦＤ计算　传感器子系统ＰＦＤｓ的计算　ＰＦＤｓ一０．４８×１０一。　统下游流量控制保护系统受系统结构约束，其安　全完整性等级最高只能达到ＳＩＬｌ，达到要求　目标。　ｈ）与安全软件有关的附加结构。当安全程序　命令一个安全输出动作的情况下，应立即关闭　１５Ｏ３ＦＶ１１０．２阀。　４　结束语　ａ）石化装置及其ＳＩＳ的功能安全是当前迫切　需要关心的问题．ｂ）在石化工业过程仪表及其相　关安全系统的设计中，ＳＩＳ安全完整性等级的评估　应立即提到当前的工作日程中来；ｃ）该应用实例　逻辑控制器子系统ＰＦＤ　的计算　ＰＦＤＩ　一１．３４×１Ｏ　得到的结论：必须符合检验时间为２　ａ，ＭＴＴＲ一　７２　ｈ的要求；在Ｂ类系统的结构约束下，ＳＦＦ一　８２　，表决１００１时，故障裕度为０的硬件能达到的　最大安全完整性等级为ＳＩＬｌ，达到要求目标；当发　终端元件子系统ＰＦＤ　的计算　ＰＦＤＦＥ一０．３２×１０　生危险时，安全程序应立即命令一个安全输出动　作，关闭１５０３ＦＶ１１０．２阀，以保证系统安全运行。　参考文献：　１　ＩＥＣ６１５０８—１—７，Ｆｕｎｃｔｉｏｎａｌ　ｓａｆｅｔｙ　ｏｆ　ｅｌｅｃｔｒｉｃａｌ／ｅｌｅｃｔｒ０ｎｉｃ／ｐｒ０　ｇｒａｍｍａｂｌｅ　ｅｌｅｃｔｒｏｎｉｃ　ｓａｆｅｔｙ　ｒｅｌａｔｅｄ　ｓｙｓｔｅｍｓ　ｇ）系统ＳＦＦｓ　ｓ确定和ＰＦＤ计算　ＰＦＤｓＹｓ—ＰＦＤｓ＋ＰＦＤＬ＋ＰＦＤＦＥ一０．６６×１０一　ＳＦＦ一８２　２　ＩＥＣ６　１　５　１　１—１—３，Ｆｕｎｃｔｉｏｎａｌ　ｓａｆｅｔｙ　Ｓａｆｅｔｙ　ｉｎｓｔｒｕｍｅｎｔｅｄ　ｓｙｓｔｅｍｓ　氮气系统下游流量控制保护系统在表决１００１　ｆｏｒ　ｔｈｅ　ｐｒｏｃｅｓｓ　ｉｎｄｕｓｔｒｙ　ｓｅｃｔｏｒ　２００７年ＧＥ　Ｆａｎｕｃ自动化有奖征文　ＧＥ　Ｆａｎｕｃ作为全球工业自动化领域的主要厂商之一，为感谢广大用户对我们的长期支持、促进技术交流和共享、了解行业的最新动　向，推进技术进步，特推出“金奖等你拿！’——２∞７年ＧＥ　Ｆａｎｕｃ自动化有奖征文”活动，诚邀广大分销商、系统集成商、最终用户等，就近　年来的应用实例以专题论文的形式向ＧＥ　Ｆａｎｕｃ自动化投稿。　稿件范围　论述ＧＥ　Ｆａｎｕｃ自动化产品的相关应用案例　投稿说明　稿件可以是未在全国公开发行的刊物上发表过的，也可以是发表过的（请注明发表的刊物名称、期号和页数）　・每位参赛者可提交多个应用实例参赛，分别评奖。　・每位参赛者请把拟参赛稿件的题目和摘要以及作者简介发送到ｇｅｆａｎｕｃ＠ｇｏｎｇｋｏｎｇ．ｃｏｒｎ或在中国工控网在线提交，请在收到ＧＥ　Ｆａｎｕｃ自动化的确认后开始写作。　・每位参赛者请在２００７年８月１５日以前发送稿件至ｇｅｆａｎｕｃ＠ｇｏｎｇｋｏｎｇ．ｃｏｍ，或在中国工控网在线提交，稿件格式需使用ｄｏｃ，ｚｉｐ格　式，论文中用到的图片，需要提供高清晰的ＪＰＧ版本，以供出版印刷用。　・每篇稿件都需要有作者同意并签署的“案例使用同意书”。　（下转第２９页）