SIS安全聯鎖功能可用性分析
作者：王秉義 張惠良 左信 《石油化工自動化》
摘要：安全完整性等級(SIL)是衡量安全儀表系統(SIS)安全防護能力的重要指標，SIS的配置高，對裝置生產安全具有有效的防護能力。反之，雖然SIL等級滿足了安全要求，但由于誤停車率過高(可用性差)，將使生產無法正常進行，而引起巨大的經濟損失。目前，SIS自動投用率普遍偏低，誤停車率高是其中一個主要原因。闡述運用馬爾可夫模型求解SIF平均誤停車時間間隔(MTTFS)指標和平均誤停車概率(PFS )指標，以實例說明在分析SIF中綜合考慮SIL和平均誤停車性能指標，對保障SIF的自動投用，提高生產安全保障能力的重要性。
關鍵詞：安全儀表系統 安全儀表功能 可用性 誤停車率 安全完整性等級
安全儀表系統(SIS)是裝置安全生產的重要保護層，其與DCS在可靠性與可用性要求方面具有不同的特點。DCS要求在可靠的前提下力求最大的可用度，以使操作員能對工藝過程進行靈活干預，從而保持生產過程平穩；SIS系統則要求在一定的可用條件下，尋求最大的可靠度，其時刻監視過程參數的變化，一旦超限，即采取系列動作以避免事故的發生，或遏制事故的發展。換言之，SIS的執行機構平時并不動作，只在有要求時，執行機構才執行安全要求規格書(SRS)所規定的動作。但配置SIS系統是一把雙刃劍，合理的系統配置(安全功能)是安全生產的一道有效保護墻，但不恰當的配置則會因高頻度的誤動作而引起頻繁停車，從而造成巨大的經濟損失。
根據殼牌公司對安曼的一個LNG廠SIS系統配置調查，SIS安全功能的過度配置占67% 左右，如圖1所示。
注：取消變送器78個；取消閥門14只；第一年節省費用大于100萬美元
由此可見，不合理的SIS系統聯鎖配置不但增加了SIS系統的成本，而且也因誤動作而造成巨大經濟損失，提高了系統投資與維護成本。
1、SIS安全聯鎖投用率偏低的原因分析
目前SIS系統自動投用率普遍較低，通過對公司生產裝置所配備的SIS投用情況分析，可歸納為以下四方面因素：
a)裝置聯鎖保護誤停車率高。導致誤停車的主要原因：
1) 生產裝置普遍缺乏適時的風險評估。尤其是設計僅考慮裝置局部安全風險，沒有考慮對上下游裝置運行影響進行整體評估。對生產裝置進行風險評估，是核定SIS所需安全完整性等級(SIL)的基礎，應該綜合全局考慮。對風險的容忍程度與企業技術及管理水平、社會經濟發展水平、社會環保安全意識等密切相關。隨著社會經濟的發展，以及人們環保意識的提高，對安全要求越來越高。隨著企業生產技術水平與管理水平的不斷提高，對生產工藝的調整，使得對安全儀表功能(SIF)的SIL提出新的要求。然而，在役SIS自投用以來(或隨成套工藝包配置)，其SIF的SIL一直未做調整，其SIF配置、聯鎖動作參數設置等方面難以保障當前裝置平穩、安全生產的實際需要。
2) SIS普遍缺少SIF的SIL核算(安全風險、財產風險及環境風險)。目前，SIF的設計一般依據經驗選擇。首先，SIS一般缺乏儀表部件失效數據，如傳感器和執行機構(電磁閥、截斷閥等)，由于資金等原因沒有選用具有SIL等級能力認證的儀表與執行機構；其次，雖在關鍵裝置上配備了SIS系統，但缺少對儀表可靠性數據的統計收集(經使用驗證的儀表用于SIS最具說服力，但缺少統計數據說明，僅憑感覺將缺乏可信度)；其三，依據GB／T21109[4] 對SIF的SIL等級進行核算普遍缺失，雖然生產裝置配置了SIS系統，但并不能保證其具有相應的安全防護能力。
3) 部分成套設備配套的儀表，其質量未能滿足SIS對儀表SIL等級能力的要求，可靠性差、使用壽命短，造成部分SIF不能投用。如實現大型加熱爐的進風控制，爐內溫度、風機及風門聯鎖的執行機構，其配置的閥桿的光潔度和硬度不如調節閥桿，并且在正常生產階段，該閥長期處于靜止狀態，出現生銹或漏氣現象。
4) 受儀表安裝、維護質量的影響，如堵、漏、凍凝，以及材料質量問題，導致誤停車或在要求動作時無法動作。
5) SIS中對安全聯鎖和一般工藝聯鎖沒有區分，使得SIF結構復雜，難以滿足SIL要求。
6) 對SIF缺乏誤停車率指標核算。由于不合理的配置，雖然其SIL等級滿足設計要求，但其誤停車率偏高，導致SIS系統無法在實際中投用。
b)大型轉動設備自保聯鎖，部分條件不能滿足投用條件，而無法投用SIF功能。其原因有：
1) 原有老機組聯鎖邏輯不適應當前的安全規范要求，儀表配置比較低，其可靠性和穩定性差。
2) 機組的聯鎖邏輯和設定值欠妥，生產廠家單純考慮機組設備本身，沒有綜合考慮其停機對裝置的影響，邏輯條件過于苛刻和嚴格。設計應整體考慮。比如將軸系儀表、軸振動、位移、軸瓦溫度、電機定子、轉子溫度等全部作為聯鎖停機條件，并將潤滑油溫度不低于30℃作為機組的啟動條件，但在東北地區很難滿足這一條件，尤其在冬天。
3) 配套儀表出廠時的安裝、配置存在不足，且后續難以修改。如大機組軸瓦溫度傳感器基本上都是安裝于機殼內的埋入式鉑電阻，其引線極易斷。若引線開路，其輸出超過報警值，將引起聯鎖誤動作停機。壓縮機的振動探頭、位移傳感器探頭安裝也存在類似問題。
4) 機組的部分工藝條件難以達到聯鎖條件，如汽輪機出口壓力，其與蒸汽管網相連，單一機組不能改變其出口壓力參數，致使相應的SIF無法投用。
5) 儀表的安裝與維護質量影響SIF的投用。如軸瓦測溫熱電阻的安裝工藝、軸振動與位移探頭的安裝間隙、接線等不合適，都將引起測量偏差，而引發聯鎖誤動作。
c)SIS的維護周期與質量不能滿足SIF的可靠性要求。電子器件的可靠使用壽命一般為10～12年，隨著使用年限的加長，儀表的失效率將增加。另外，由于設備改造，SIS也需進行擴容。為保證SIF的SIL等級要求，需對SIS進行定期維護和檢修(SIS系統部件檢修時間間隔直接影響SIF的SIL等級水平) 。在生產裝置正常運行過程中，可通過“旁路”臨時切除聯鎖條件(在切除時應有一套規范和措施以保證SIF的安全)，并定期對傳感器與執行機構進行必要的維修、檢定與維護。目前，一次儀表與執行機構，尤其是執行機構在正常生產運行期間沒有機會檢修(沒有旁路設置)，因缺少及時的維護，SIF回路的可靠性難以保證。
d)SIS報警缺乏層次，故障報警較多，易引起操作員麻痹，導致誤操作。如多機組SIS系統，在備用機組停機、油系統或出人口閥門處于關停狀態時，由于備用機組處于非正常運行位置，SIS系統就會出現報警。這些報警沒有層次與級別區分，致使報警過多，容易導致操作人員對關鍵報警信息的疏忽。
2 、SIF回路可用性分析
綜合以上對目前SIS低投用率的情況分析，主要問題有：
a)缺少適時的SIF的SIL等級需求評估。當前SIS的SIF配置一般都是依據經驗配備，但同一套裝置在不同的企業中，其附加的安全防護能力并不相同(如泄壓閥、空間距離、遠程監控能力等)。由于缺少對SIF的SIL要求的明確定級，加上大部分SIS不只用于安全聯鎖目的，而且考慮方便設備重啟等問題，將一般工藝聯鎖也配置其中。因此，聯鎖結構比較復雜，難以明確了解實際安全聯鎖的SIL等級是否滿足要求。
b)缺少SIF的SIL等級和誤停車率核算。
目前配置SIS時，主要關心其控制器的SIL能力：傳感器和執行機構的失效率對SIL等級的影響更大(一般在70 %以上)，而傳感器和執行機構往往又缺少有效的數據支持，使得SIF的SIL等級未能滿足裝置安全防護能力要求，起不到應有的安全保護作用；或者雖然其SIL等級滿足裝置安全要求，但其誤停車率過高，影響SIS的實際投用；或雖投用，但會因頻繁的誤停車而造成巨大的經濟損失。
c)對SIF的功能安全管理缺少有效的監控。
SIS對裝置的安全防護能力由系統的隨機性失效(SIL等級核算驗證)和系統性失效共同決定。目前對SIF的隨機性失效的驗證比較普遍[7]。隨著GB／T 21109安全儀表功能安全標準的推廣與采用，對系統性失效的考核與控制將進一步加強。系統性失效主要由制造缺陷或不足(如上述的振動探頭故障、聯鎖邏輯不妥、聯鎖參數設置不合理、報警重要性層次不分明等)引起。由于系統性失效難以量化處理，只能運用嚴格的SIF的功能安全管理規范加以避免和減少(另文闡述)。由此可見，在SIS系統SIF分析中，必須同時考核SIF的SIL等級和誤停車性能指標，才能保證SIS系統的有效投用。
針對SIS存在的主要問題，筆者以圖2～3所示SIF為例，探討采用馬爾可夫模型進行SIF可用性分析，考核驗證SIF、的SIL和誤停車率指標(MTTFS和PFS avg )。依據分析結果，提出合理化建議，以提高SIS系統的投用率，保障對生產裝置的防護能力。
該SIF設計為失電使能(停電時，執行機構置于安全狀態，即事故安全型)，且各傳感器檢測回路和執行機構回路具有在線診斷能力。由于系統具有旁路設置和冗余配置，當在線檢測出故障后，可在線維護與更換，檢修時間平均為8 h。SIS的整體測試間隔與設備大修周期同步，為3年。該SIF的SIL等級需求為SIL2，其各組成部分的失效數據見表1所列。
馬爾可夫模型具有動態分析失效概率的能力，上述SIF馬爾可夫模型如圖4所示，其中狀態1為初始完好狀態；狀態2為安全失效(誤停車)狀態；狀態3為危險失效狀態(對安全要求的動作沒有響應)；其余狀態4～19為存在一路檢測傳感器或執行機構失效，且SIF還能執行相應安全功能的中間狀態。處于中間狀態時，若出現進一步的故障，將使SIF系統進入安全失效或危險失效狀態。由于失效率都很小，為簡化運算，建模時不考慮級聯失效(如一路溫度傳感器失效后又出現一路壓力傳感器失效，但SIF還能執行其要求的功能的情況)對計算精度的影響。
馬爾可夫狀態轉移率為
式中：λ——失效率；上標首字母S， D——安全失效和危險失效；上標第二字母D，U——可檢測不可檢測；下標S1，S2，S3，S4，A1，A2，L，PS——流量傳感器、壓力傳感器、溫度傳感器、液位傳感器、電磁閥、截斷閥、邏輯控制器和電源。根據上述狀態轉移率，得到馬爾可夫轉移矩陣為：
MTTFS求解方法[8]為將轉移矩陣P中對應吸收狀態(FS和FD)的行和列去掉，形成新矩陣Q，并在狀態轉移率公式中，將危險失效率置零，求出截陣Qs ，并依據下式求矩陣N。
N =(I-Qs) -1
N提供了系統由起始狀態開始，經歷了每一個成功狀態(暫態)后的總時間增量。N矩陣中，第一行表示起始于完好狀態l的總時間增量。假設馬爾可夫模型的時間步長選為1 h，則MTTFS為矩陣N第一行元素的和。
利用建立的馬爾可夫模型(運用ISOgraph Reliability Workbench 10．2軟件平臺)和狀態轉移矩陣P進一步求解PFDavg 、平均誤停車失效概率PSFavg 和MTTFS。分析計算結果見表2和圖5～6所示。
由分析可見，此SIF的MTTFS為1．15 a。雖然該SIF不論在維護檢修時間間隔為1 a還是3 a時，其SIL等級都能滿足設計要求(SIL2)，但3 a的檢修時間間隔是不能接受的，因其過大的誤停車概率將引起SIS的頻繁誤停車，造成巨大的經濟損失，而使系統無法實際投用。因此，對于一般企業規劃的3 a大修時間問隔，必須重新分析考核，在滿足SIF的SIL等級要求的前提下，達到相應的MTTFS和PFS 指標要求，才能有效發揮SIS在企業安全生產中的安全防護作用。
3 結束語
造成SIS系統投用率低的原因是多方面的，但其可用性差是重要原因之一。在設計SIS或在役SIS安全性能評估中，需關注以下三個方面：
a) 適時的風險評估，核定SIF的SIL等級要求，并根據檢修時間間隔和誤停車對生產的影響，核定SIF的PFS 和MTTFS指標要求。
b) 區分SIF聯鎖回路和一般工藝聯鎖，區分報警層次級別。
c) 定期核查SIF回路的SIL等級和PFS 與MTTFS指標，在保證SIF具有足夠安全防護能力的同時，具有足夠的可用性，以提高SIS系統的投用率，防止系統頻繁誤動作，從而有效提高SIS的防護能力。
參考文獻（略）
? 如果本文對您有幫助，請分享給您的朋友！
【提示】：
1.不斷更新的好資料和答疑集錦在 m.beeshome.cn “找資料”欄目公布。
2.QQ群：2000+人群，專業高質、答疑解惑、互動交流，Q群名：中國設備管理， Q群號： 283752911
主要交流：設備管理體系標準、ISO55001資產管理、設備完整性管理、6S管理、目視管理、安全管理、企業管理等，純廣告者禁入！
3.加"中國設備管理" Q群，總有一個人知道你問題的答案！
4.優秀留言有機會錄入“找資料”欄目答疑集錦，并歡迎大家來稿分享
