薛利俊

(林德工程(杭州)有限公司，浙江 杭州 310012)

近年来，化工装置安全事故使监管部门和生产企业对装置的安全性越来越重视，安全已成为行业内企业运营的基本共识，设计符合要求的安全仪表系统(safety instrumented system,SIS)已逐步成为国家法规的强制要求[1-4]。目前，对于安全仪表系统的设计还停留在对有安全认证的仪表进行简单组合，如何定量分析和评估安全仪表系统的设计能否满足工艺安全的需要仍是难题。本文结合IEC 61508和IEC 61511，从硬件结构强制要求和需求失效率两个方面，实现对安全仪表系统的安全等级定量计算；结合实际案例，详细探讨如何根据产品证书中统计的失效数据计算安全失效率和需求失效率，进而计算出安全仪表系统的安全等级。

1 安全等级计算的数据来源

首先，安全仪表系统设计时需考虑两个先决条件[5-7]，即平均故障恢复时间(mean time to restoration，MTTR)和测试间隔时间(T1)。这两个条件应在生命周期第三阶段产生的安全需求规格书中明确提出。所有需求失效率(probability of failure on demand，PFD)计算公式都基于这两个参数，不同项目对这两个参数有不一样的要求。一般情况下，按照以下默认数据考虑：MTTR≤ 72 h，T1=3年。整个回路的测试间隔时间T1应该保持一致。在特殊情况下，尤其是在安全完整性等级(safety integrity level，SIL)计算要求用更短的测试间隔来改善安全等级时，可以考虑采用更短的测试间隔，但必须与项目后期运维的责任方达成一致。

另外，在安全联锁回路仪表选型时，每个仪表供应商必须提供带有SIL计算所需关键数据的证书，包括不可检测的危险失效率(λDU)、可检测的危险失效率(λDD)、不可检测的安全失效率(λSU)、可检测的安全失效率(λSD)，或者直接提供某个测试时间间隔下的PFD值。一般在产品SIL证书中应包含这些数据。如果供应商无法提供SIL证书，可以要求厂家提供具有法律约束力的自声明，根据声明采用估算来完成计算。计算时应作保守估算，但不用按最差情况估算。

2 安全等级确定

每个回路需要检查以下两项内容。

①硬件结构强制要求：根据IEC 61511-1,确定硬件故障冗余度(hardware failure tolerance，HFT)能够满足的SIL要求。

②根据IEC 61508-6，计算PFD能够满足的SIL等级要求。

最终SIL取两者中最低值。

2.1 结构强制要求

对于安全仪表系统，检测器、逻辑控制器和执行元件应满足最小HFT要求。IEC 61508-2中[8]，定义了两种不同类型的子系统。

①类型A：失效状态可以预见，“简单的系统”，如Pt100、阀门等。

②类型B：失效状态不可以预见，“复杂的系统”，如智能变送器。

应计算安全仪表系统中每个子系统的安全失效率(safe failure fraction，SFF)。SFF的计算可以采用以下公式。

总失效：

λ=λS+λD

(1)

危险失效：

λD=λDD+λDU

(2)

安全失效：

λS=λSD+λSU

(3)

安全失效率：

(4)

每个子系统可以达到的SIL，取决于该仪表的SFF和HFT，参见表1和表2。

表1 SIL对照表Tab.1 SIL reference

表2 SIL等级对应的最小HFT要求Tab.2 Minimum HFT to achieve a certain SIL

检测器、执行元件和非可编程控制器的最小硬件故障冗余度要求如下。

根据IEC 61511-1[9]，对于检测器和执行元件，如果制造商可以申明装置已在实际应用中验证过，并可以满足一些进一步的要求，HFT要求可以减1。在计算过程中，装置的冗余度增加可以提高HFT，进而提高SIL。

整个回路的SIL，对于子系统A和B没有差别，应该取回路中输入、逻辑控制器和输出单元中的最低SIL，不需要进一步区分系统类型A和B。

2.2 需求失效率PFD计算

对于低需求操作模式的回路，在IEC 61508中，不同SIL对应的PFD值如表3所示。

表3 不同SIL对应的PFD值Tab.3 PFD values corresponding to different SIL

整个回路可以认为是子系统的串联。每个子系统可能包含进一步的子系统。回路的PFD等于各个子系统PFD的和。串联子系统示意图如图 1所示。

图1 串联子系统示意图
Fig.1 Serial connection of subsystems

检测器和执行元件的投票结构如图2所示。

图 2 投票结构图Fig.2 Voting structure

一般情况下，执行元件系统PFD值不应超过回路总许可PFD值的60%，检测元件系统不应超过35%，逻辑控制系统不应超过5%。若安全回路中各子系统供货范围分属不同承包商，各子系统分包商应提供子系统的PFD计算值，并提交给总集成商，用于计算整个回路的PFD值。计算PFD值时，需根据不同的投票结构选择相应的计算公式。

IEC 61508-6的附件B.2.2提供了普通子系统PFD值的数学计算公式。限于篇幅限制，此处仅列出常用结构公式，其他结构公式可在IEC 61508-6的附件B中查到。

①1oo1。

PFDsubsys=λDtCE

(5)

②2oo2。

PFDsubsys=2λDtCE

(6)

③1oo2。

PFDsubsys=2[(1-βD)λDD+(1-β)λDU]2×

tCE×tGE+βD×λDD×MTTR+β×

(7)

④2oo3。

PFDsubsys=6[(1-βD)λDD+(1-β)λDU]2×tCE×tGE×βDλDD×MTTR+β×λDU×

(8)

3 实例分析

当温度低于低低联锁值时,应立刻切断阀门保护下游管道和设备。以这一安全联锁功能为例，计算该回路所能满足的SIL等级。首先要获得回路中所有仪表的SIL计算所需数据，实现该安全联锁功能。回路中包括铂电阻温度计、温度变送器、安全认证AI卡件、安全认证CPU、安全认证DO卡件、电磁阀以及调节阀。

仪表SIL计算所需参数如表4所示。

表4 仪表SIL计算所需参数Tab.4 Parameters for SIL calculation of instrument

根据3.1节所述方法，首先评估回路中不同投票结构各子系统单独的SIL，HFT的提高可以提高子系统单独的SIL。所以温变和RTD在HFT为0时可以满足SIL2，采用2oo3结构就可以满足SIL3的要求。回路SIL计算如表5所示。表5中最后一列列出了各子系统单独能够满足的SIL。另外，还需根据第4节所述方法，计算各子系统的PFD值，根据不同的投票结构,选择不同的公式进行计算。表5中PFD值即为根据不同公式计算出的各系统PFD值。

表5 回路SIL计算Tab.5 Loop SIL calculation

根据第2节所述，取回路中每个仪表单独SIL等级的最低值作为整个回路在硬件结构上能够实现的SIL等级，然后再计算整个回路总PFD值为9.64E-04。根据表3，确定可以满足SIL3安全等级要求，并取两者中的低值作为整个回路最终能够满足的SIL，即为SIL2。这样即可确定该回路可以满足SIL2安全等级要求。如果计算结果不能满足工艺安全对回路的SIL等级要求，可以通过改变子系统硬件结构，如增加冗余度、更换SIL更高的仪表、缩短测试时间间隔等方式，来提高回路可以实现的SIL。

4 结束语

针对化工装置安全仪表系统安全等级计算，详细阐述了计算所需参数及其含义，以及参数的来源。一般情况下，应用于安全仪表系统的所有仪表都可以提供SIL认证及安全等级计算所需数据。安全等级计算应从硬件结构和回路总需求失效率两方面进行。对于不同的投票结构，应选择相应的计算公式，文中列举了常用结构的计算公式。最终，回路能够实现的SIL应取这两方面计算结果的最低值，类似于木桶的短板原理。通过实例，计算了一个可以满足SIL2需求的安全联锁回路。

参考文献:

[1] 国家质量监督检验检疫总局.电气/电子/可编辑电子安全相关系统的功能安全:GB/T 20438[S].北京：中国标准出版社,2006.

[2] 国家质量监督检验检疫总局.过程工业领域安全仪表系统的功能安全:GB/T 21109[S].北京：中国标准出版社,2007.

[3] 张建国.SIS在过程工业应用中的典型问题探讨[J].石油化工自动化,2010(1):3-6.

[4] 李荣强.安全仪表系统安全完整性等级评估技术研究[D].北京：中国石油大学，2011.

[5] 龚义文.安全仪表系统在化工装置中的应用[J].自动化仪表，2010,31(12)：50-54.

[6] 张建国.安全仪表系统在过程工业中的应用[M].北京：中国电力出版社,2010:25-58.

[7] 舒逸聃，赵劲松.安全仪表系统安全完整性等级验证研究进展[J].计算机与应用化学，2011,28(12)：1585-1588.

[8] IEC 61508.Functional safety of electrical/electronic/ programmable safety-related systems[S].2010.

[9] IEC 61511.Functional safety-Safety instrumented systems for the process industry sector[S].2003.