王晓伟

（中国铁建重工集团股份有限公司，湖南长沙 410100）

0 引言

盾构机作为一种地下隧道施工的重要设备，已经被大量广泛地应用于城市地铁施工中，其中刀盘作为盾构机的核心部件之一，配备有急停控制系统，起着保护人员和设备的重要作用，其安全性能非常关键。标准ISO 13849-1—2015 划分了系统的性能等级，不同设计的刀盘急停控制系统，对应着不同的性能等级，CE 标准EN 16191—2014 对盾构机安全功能所需的性能等级作出了要求，其中就包括刀盘急停控制系统。只有分析计算出盾构机刀盘风险等级和刀盘急停控制系统实际的性能等级，才能知道盾构机当前的刀盘急停控制系统是否满足设计要求。以中国铁建重工集团股份有限公司（以下简称“铁建重工”）生产的土压平衡盾构机刀盘急停控制系统为研究对象，对刀盘风险等级及刀盘急停控制系统的性能等级进行分析和研究。

1 所需安全性能等级分析

1.1 风险等级评估方法

标准ISO 13849-1—2015 提供了一种机械设备的风险等级评估方法，通过该方法可以分析出设备的风险等级及对应所需的性能等级。该方法是从3 个因素进行分析评估，通过结果组合后最终得到设备或系统的风险等级高低及所需要的安全性能等级。3 个因素分别是：

（1）伤害严重度S1 和S2。按照标准ISO 13849-1—2015 定义，S1 为轻伤（可恢复的），如擦伤、划伤；S2 表示重伤（不可恢复的）和死亡，如断肢或死亡。

（2）暴露于危险的频率或时间F1 和F2。按照标准定义，F1表示频率低或时间短，F2 表示频率高或时间长。如果人员频繁或不断的暴露于危险中，或者频率达到每15 min 一次，则应选择F2，如果累计暴露时间未超过全部操作时间的1/20，且频率未超过每15 min 一次，则可选择F1。

（3）避免危险的可能性P1 和P2。按照标准定义，当危险情况发生时，仅当实际上能够避免危险或能够大幅度降低其危害程度时，才可以选择P1，否则应选择P2。

在实际风险等级评估过程中，如果无法确定某个因素等级时，宜采用较高等级。

1.2 所需安全性能等级确定

通过分析影响风险等级的3 个因素后，得出每个风险因素等级，然后根据等级组合结果得出系统PLr。

标准ISO 13849-1—2015 定义了性能等级（Performance Level，PL）和所需的性能等级（PLr）。PL 指的是在可预测条件下，用来规定系统的各零部件执行安全功能的离散级别，可以理解为系统实际的安全特性级别。PL 分为5 个等级，分别为a、b、c、d、e，其中a 为最低、e 为最高。图1 是不同的风险因素等级组合结果对应的PLr，其中“1”表示风险等级评估起点，“L”表示等级低、“H”表示等级高。风险等级越高，则需要的安全性能等级也越高。PLr则是指使系统风险降低而使用的安全特性级别。

图1 安全性能等级需求确认图

2 安全性能等级分析

2.1 性能等级分析参数

一个系统的PL 与组成该系统的各个部件的安全性能及组合类型有关，标准ISO 13849-1—2015 里提供一种估计PL 的可计量参数的简化程序，可通过考虑相关参数和适当计算方法来估计PL。这些参数包括类别Cat.、平均危险失效时间MTTFD、诊断覆盖率DC 和共因失效CCF。

2.1.1 类别Cat.

Cat.（Category，类别）指的是控制系统的各零部件防止故障能力以及在出现故障后系统后续动作方面的分类，它通过部件的结构布置、故障检测和部件可靠性来达到。这些类别分为5类，称之为B 类、1 类、2 类、3 类和4 类，其中4 类安全性能最高。图2 是各个类别的通用结构图，这些结构图不仅能当作电路图，也能当作逻辑图。

图2 类别种类结构

2.1.2 平均危险失效时间MTTFD

MTTFD（Mean Time To Dangerous Failure，预期的危险失效平均时间）分为3 个等级，分别为低、中、高，表1 显示了3 个等级对应的MTTFD值。

表1 每通道至危险性失效的平均时间（MTTFD）

对于器件MTTFD的获取，标准里规定了应按以下优先顺序：①采用制造商的数据；②使用标准ISO 13849-1—2015 附录C 和附录D 的方法；③选为10 年。先获得或估算出每个通道中每个器件的MTTFD值，然后根据式（1）计算出整个系统的MTTFD值。

其中，MTTFD表示整个通道，MTTFDi表示每个元件的MTTFD。

2.1.3 诊断覆盖率DC

DC（Diagnostic Coverage，诊断覆盖率）是一种诊断有效性的度量，是可诊断的危险失效的失效率与所有的危险失效的失效率的比值。DC 分为4 个等级，分别为无、低、中和高（表2）。

表2 4 个等级对应的DC

由数个零件组成的控制系统中，应使用诊断覆盖率平均值DCavg作为DC。

2.1.4 共因失效CCF

CCF（Common Cause Failure，共因失效）是指同一事件引起的不同产品的失效，这些失效相互之间没有因果关系。对于类别2、类别3 和类别4，应采用足以防止共因失效的措施。标准ISO 13849-1—2015 的附录F 提供了防止CCF 措施的打分和量化过程，最后总分在65 分以上（满分100 分），则说明该类别的防止CCF 措施是符合要求的。

2.2 性能等级确认

标准ISO 13849-1—2015 给出了类别、DCavg、每通道MTTFD与PL 的关系（图3）。根据类别、每个通道MTTFD以及DCavg可以得出系统的PL，同样根据需要的PL 也可以得出对应的各个参数来辅助系统设计。

图3 Cat.、DCavg、每通道MTTFD 与PL 的关系

图3 中，某些区域存在有多种可能的PL，为了得到更准确的PL，标准采用每小时平均危险失效概率（PFHD）来量化PL。一些元器件采用的是根据IEC 61508 规定的SIL（Safety Integrity Level，安全完整性等级）来表示其安全能力的，表3 给出了PL与SIL 间的对应关系。

表3 PL 与PFHD、SIL 对照表

3 项目实例分析

以铁建重工生产出口到土耳其的盾构机刀盘急停控制系统为例，分析盾构机刀盘的风险等级及急停控制系统需要的性能等级（PLr），并核算当前设计的刀盘急停控制系统的性能等级（PL）是否满足需求。

3.1 刀盘急停控制系统PLr 评估

标准EN 16191—2014 的表3 规定了盾构机各安全功能所需的性能等级（PLr），其中紧急停止装置要求的性能等级（PLr）为c/d，d 需要根据风险评估。根据风险等级评估方法，首先需要确定3 个风险因素等级。刀盘是盾构机的重要核心部件之一，充当着盾构机的“牙齿”，起到切削土体的作用，随着工作时间的推移，刀盘上的刀具会出现不同程度的磨损，降低施工效率，所以每隔一段时间需要施工人员检查或更换刀具。根据盾构机施工行业经验分析，刀盘累计检修时间并未超过全部工作时间的1/20，且频率未高于每15 min 一次，由此可以判定暴露于危险的频率或时间等级为F1。盾构机刀盘又是一个质量惯性较大的可旋转部件，且周边工作区域空间狭小，一旦出现紧急危险情况，人员逃脱的难度是比较大的，在结合行业内的一些事故案列，可以得出它的伤害严重度等级为S2，避免危险的可能性等级为P2。根据图1 并结合分析的风险因素等级，最终可以得出盾构机刀盘的风险等级较高，相应的急停控制系统需要的性能等级（PLr）为d。

3.2 刀盘急停控制电路图分析

铁建重工生产出口到土耳其的盾构机是通过控制变频器驱动刀盘电机来实现刀盘旋转动作的。变频器U1 选用的是带有STO（Safe Torque Off，安全转矩关断）功能的Vacon NX 系列变频器，该变频器用户手册上有推荐STO 安全停机的接线图。图4是根据变频器用户手册推荐的接线图来搭接的刀盘急停控制系统的电路结构图，安全继电器选用AB 的。隔离开关Q1、本地急停按钮S1 和远程急停按钮S2 都有两组触点，并且每个元器件的两组触点是同步动作的。刀盘正常工作时，Q1、S1、S2 的两组触点均闭合，此时安全继电器K1 的两路输出通道均是导通的，变频器U1 的STO 两个输入均接通有24 V 电。如果STO 两个输入中的任何一个输入没有连接到24 V，变频器都不能为运行状态。当Q1、S1、S2 其中任何一个只要有一组触点断开，则K1的两路输出通道就会断开并保持断开状态，从而使U1 的STO两个输入失电，导致变频器U1 输出无效使得变频器不在刀盘驱动电机轴上产生转矩、刀盘不能旋转。

图4 刀盘急停电路结构

由图4 可以看出，刀盘急停控制系统是采用双输入和双输出回路，根据图2 在结合变频器和安全继电器样本手册，可以得出刀盘急停控制系统满足Cat.3 结构。

对于Cat.3 结构，还需要分析该结构为防止CCF 而采取的措施是否符合要求，根据标准ISO 13849-1—2015 的附录F 以及结合元器件的样本手册，可以得出刀盘急停控制系统结构采取了隔离、过电压过电流保护、所用构件经充分验证、环境因素影响（电磁兼容性、温度、振动等）等措施来防止CCF，总分至少为70 分，已满足防止CCF 的要求。

3.3 刀盘急停控制系统PL 分析

通过前文分析可知，只得出系统的类别（Cat.）来评估系统PL 是不够的，还需要DCavg、每通道MTTFD这些参数。通过查询变频器、安全继电器样本手册，可以得到相关数据（表4），但Q1、S1 和S2 未能获得制造商的MTTFD数据及可采用的DC 标准推荐值。

表4 刀盘急停控制回路各元器件的MTTFD、DC 参数值

对于Q1、S1、S2，虽然没有查询到MTTFD值，但是标准ISO 13849-1—2015 提供了一种根据B10D（10%的元件达到危险失效时的平均周期数）和nop（平均年操作次数）来计算元件MTTFD的方法。通过查询标准ISO 13849-1—2015 附录C 中的表C.1，可知Q1、S1、S2 的B10D=100 000，盾构机一年工作时间为365 d，每天工作24 h，分为两班制，每个班检查和测试一次急停装置，两次间隔时间为12 h，则nop=365×24/12=730，再根据标准提供的公式计算出单个刀盘急停按钮的MTTFD值。

由于Q1、S1、S2 的参数及使用工况均相同，因此它们的MTTFD相等、均为1370。在知道刀盘急停控制系统内每个元器件的MTTFD后，可以计算出系统每个通道的MTTFD。对于刀盘急停控制系统来说，两个通道的MTTFD值是相同的。根据式（1）可以计算出刀盘急停控制系统每通道MTTFD。

最终计算出的刀盘急停控制系统每通道MTTFD为165 年，标准要求取最大值100 年，再根据表1 可以得出刀盘急停控制系统每通道MTTFD等级为“高”。

对于Q1、S1、S2 这3 个交互监控输入设备，标准推荐DC 为99%，由于它们是串联后接入安全继电器的，会导致每个输入设备的DC 值降低，综合实际考量后，将Q1、S1、S2 的DC 定为60%。通过图4 可知，安全继电器K1 没有直接监控变频器U1的STO，这里采用较严格的计算方法，因此在计算系统的DCavg时，应将变频器U1 的STO 的DC 定为0。根据式（2）可以计算出刀盘急停控制系统DCavg。

通过计算，可知刀盘急停控制系统DCavg为65%，由表2 可知刀盘急停控制系统DCavg等级为“低”。

由上述计算分析可知，盾构机刀盘急停控制系统满足Cat.3，防止CCF 措施为足够，每通道MTTFD等级为“高”，DCavg等级为“低”，再根据图3，最终可知刀盘急停控制系统的PL 为d。

4 结论

通过对盾构机的刀盘进行风险评估，得出盾构机刀盘急停控制系统需求的性能等级（PLr）为d，根据标准ISO 13849-1—2015 分析计算出铁建重工生产出口到土耳其的盾构机刀盘急停控制系统的性能等级（PL）为d，满足CE 标准EN 16191—2014 规定的盾构机刀盘急停控制系统的性能等级要求。