丁淇德

（国电投周口燃气热电有限公司，河南 周口 466200）

0 引言

随着我国能源结构的不断优化，以及环保要求的不断提高，发电过程的安全稳定性也越来越重要，针对热力发电过程的可靠性分析进行的研究也越来越多［1-3］。安全完整性等级（Safety Integrity Level，SIL）作为可靠性分析中的重要方法，已广泛应用于安全仪表系统（Safety Instrumented System，SIS）的分析中。如何确定安全完整性等级，在IEC 61508与IEC 61511标准中有一套科学的流程和方法［4-5］。目前，国内外对安全完整性等级的研究集中在机车控制、轨道交通、化工生产等领域中［6-11］，对燃气轮机领域的研究相对较少。目前，常用的安全完整性等级分析方法大多是以安全仪表系统与控制系统独立为前提，且分析过程都集中在安全仪表系统上［12-15］。目前，燃气轮机电厂所使用的软硬件系统大多是对安全仪表系统与控制系统的高度集成，使保护系统与控制系统的耦合度极高，现有的安全完整性等级分析方法并不适用这种情况。本研究通过分析DCS系统模件的可靠性，使用可靠性框图法与故障树法来建立整个保护与控制系统的可靠性模型，对电厂现场生产过程中的故障记录进行处理，并将结果代入到模型中进行计算，从而完成安全完整性等级分析。

1 燃气轮机保护与控制系统

某燃气轮机的DCS系统将保护功能集成在过程控制功能中，用一套保护与控制系统来实现。该保护与控制系统所使用的模件包括主控制器模件、Profibus DP通信模件、以太网通信接口模件、I/O模件。

主控制器模件用于实现过程控制及保护功能，其由控制子模件、通信子模件、通信终端单元及安装基座组成。其中，控制子模件、通信子模件皆为二重冗余热备用，在发生故障时，二者的冗余切换是相互独立；Profibus DP通信模件由Profibus DP通信子模件、通信终端单元、安装基座组成。Profibus DP通信子模件用于执行数据的处理功能，通信终端单元为其提供接口；保护与控制系统的I/O模件按照数据类型和流向可分为AI、AO、DI、DO四组，并通过加装的I/O通信接口模件与Profibus DP子通信模件的连接来实现数据通信。该系统的I/O单元包括9个DI模件、24个AI模件、3个DO模件、1个AO模件以及5个I/O通信接口模件。该燃气轮机保护与控制系统结构图见图1。

图1 燃气轮机保护与控制系统结构图

2 安全完整性等级模型构建

2.1 失效定义

通过将该电厂的故障维修记录与专家经验相结合的方式来定义系统失效，将其定义为执行保护与控制功能时系统的通信过程出错［16］。在进行安全完整性等级分析时，由于要考虑每种失效所造成后果的严重程度，可依据系统失效行为产生的影响来进一步划分系统失效。安全失效是指不会造成保护功能无法正确执行的失效；危险失效是指不仅会影响生产过程的生产效率，还会使保护功能无法正确执行的失效。

2.2 可靠性框图法模型

构建系统可靠性模型是为了计算出要求时的平均失效概率，从而确定整个系统的安全完整性等级。可靠性框图模型（见图2）是分析保护与控制系统正确执行其功能的充要条件。判断该系统的保护与控制功能是否实现，不仅要考虑系统中各模件的状态及各模件之间的数据通信网络的状态，还要考虑各个模件的安装基座是否能正常供电。

图2 系统可靠性框图模型

2.3 故障树模型

故障树同样是安全完整性等级分析中的经典方法，其不仅能表示可靠性的结构关系，还能清晰地表示故障事件的内在联系，以及单元故障与系统故障间的逻辑关系［17］。由于安全完整性等级计算所关心的是危险失效情况，即定义顶事件是为了保护与控制系统危险失效，造成该危险失效的中间事件有以太网通信接口模件部分危险失效、Profibus DP通信站部分危险失效、I/O模件部分危险失效、主控制器部分危险失效、总线部分危险失效。保护与控制系统的故障树如图3所示。

在图3中，“1”“2”“3”“4”“5”分别是以太网通信接口模件、Profibus-DP通信模件、主控制器模件、通信总线以及I/O单元，由此可绘制出各自的故障树。图3中大写字母间的不同排列组合用于表示具体的失效情况，将危险失效分为检测到与未检测到、共因与非共因［18］等。

图3 保护与控制系统故障树

3 安全完整性等级验证

3.1 电厂失效数据处理与专家评估

在建立可靠性模型后，通过相应的可靠性模型可计算出整个系统的安全完整性等级。安全完整性等级分析所用到的失效数据来自该电厂的故障维修记录，参与失效统计的模件为该电厂使用的全部相关模件，故障记录时间为2018年11月5日—2021年2月13日，统计时间跨度为19 872 h。危险失效率的计算公式见式（1）。

式中：m为故障次数；N为统计的元件数量；T为统计的时间，h；λD为危险失效率；FIT为危险失效率λD的度量单位，1 FIT是指单个模件在109h内失效一次，控制与保护系统中各个模件的危险失效率见表1。其余模件或通信总线由现场专家对相似模件或通信总线进行评估得到，具体结果见表2。

表1 主要模件的危险失效率

表2 其他模件或通信总线的危险失效率

3.2 可靠性框图法最终结果

先计算系统的总体平均要求时失效概率PFDavg、安全完整性等级与PFDavg的关系，如表3所示［4］。

表3 主要模件的危险失效率

将各模件及通信总线的危险失效率λD代入可靠性框图模型中进行求解，即可得到系统总体的PFDavg。由图2可知，该系统的可靠性框图拥有1oo1、1oo2两种结构，其中以太网通信接口模件、终端通信单元、安装基座、并行通信总线、终端电阻以及I/O单元的结构是1oo1，其余为1oo2。

该系统各部分均具有自我诊断功能，则在1oo1结构中，PFDavg的计算公式见式（2）。

式中：λD为危险失效率；λDD为检测到的危险失效率；λDU为未检测到的危险失效率；MTTR为维修时间，h；TI为功能测试的时间，h；tCE为平均停车时间。

由于1oo2的结构要考虑共因失效的因素，其PFDavg的计算公式见式（3）。

式中：β为共因失效因子；βU为未检测出的共因失效因子；βD为检测出的共因失效因子；tGE为平均停车时间。一般情况下，根据专家意见，TI取8 760 h，MTTR取8 h，λDD在λD中的占比为0.8，λDU在λD中的占比为0.2。通过计算，tCE=884 h，将上述参数代入式（2）中，可得1oo1结构下的PFDavg。同理，β取值为0.027，将其代入式（3），得1oo2结构下的PFDavg。系统总体的PFDavg总由构成系统的各个模件及通信总线的PFDavg相加得到的，计算公式见式（4）。

PFDavg总的计算结果为0.078 260 395。由此可知，该燃气轮机的保护与控制系统满足SIL1要求。

3.3 故障树法最终结果

参照故障树模型，将每个模件的危险失效率代入到模型中进行定量计算。考虑到每个模件的数量，PFDavg最终计算结果为0.082 555 342。由此可知，该燃气轮机保护与控制系统满足SIL1要求。

4 结语

可靠性框图法和故障树法的运算结果存在着偏差，是因为这两种方法的侧重角度不同。可靠性框图法更关注系统各部分在可靠性上的结构关系，而故障树法则更关注故障事件的内在联系。无论采用哪种方法，该电厂燃气轮机保护与控制系统均满足SIL1的要求。本研究使用可靠性框图与故障树法进行建模与计算，将安全完整性等级分析应用于燃气轮机领域，并提供一种用于分析保护与控制集成系统的安全完整性等级的思路。