系统分析系统分析副本

1、安全联锁系统的可靠性及可用性分析邵建设邵建设先生，南京扬子石油化工设计工程有限责任公司工程师。关键词：安全联锁系统 可靠性 可用性 双重化 三重化安全联锁系统SIS(Safety Interlocking System) ， 也称紧急停车系统ESD(Emergency Shut Down)，是对石油化工生产装置可能发生的危险或不采取措施将继续恶化的状态进行响应和保护，从而保障石油化工企业的安全生产，避免重大人身伤害及重大设备损害的仪表控制系统。在IEC(国际电工委员会)的标准中，安全系统称为Safety Related System，它涵盖的范围非常广泛，适用于所有工业如流程工业、核工业、航空

2、业等；它可以由电动、气动或液动的各种元件构成；它包含了影响安全的各种因素：如由仪表构成的自动保护系统、非仪表的其他安全措施(工艺、设备设计改进，爆破膜等)、管理和操作人员的水平和规章制度等都在内。石油化工装置的安全系统是指由仪表及控制系统构成的自动保护系统，在美国仪表学会标准ISA-S84.01 中称为安全仪表系统(Safety Instrumented System,SIS)。SIS 主要由检测元件、逻辑运算单元、最终控制元件和它们间的连线组成，同时包括人机界面、SIS 与过程控制系统间的通信等。安全联锁系统能以符合安全要求的概率，在工艺过程中出现预先规定的故障情况时，使过程处在安全状态。安

3、全联锁系统在确保石油化工生产装置安全运行中起重要作用，对于保障生产装置的安全运行以及设备、人员的安全是必不可少的。一 安全综合等级为了规范安全系统的设置，简化和理论化系统结构中各部分的安全要求，IEC提出了安全综合等级(Safety Integrity Level, SIL)的概念，通过对事故危险性的分析和评价确认对安全系统性能的不同要求。根据对安全性能由低到高的要求，SIL分为4 个等级SIL1、SIL2、SIL3 和SIL4。SIL 等级是选择、设计不同技术和结构的安全系统的依据。美国标准等同采用了IEC 的SIL 的概念，但在应用于流程工业的标准ISAS84.01 中只承认SIL4 的存

4、在，而不包括在SIL4 要求下如何实施安全系统的内容。在IEC 标准之前，德国标准DIN V 19250 就对安全性要求的等级作出了自己的规定，称为“安全要求等级”(Safety Requirement Classes)，符号为AK，按安全要求从低到高分为8 个等级：AK1AK8。如表1 所示，列出了DIN、IEC 和ISA 3 个标准的安全要求等级对比情况。我国目前还未制定相应的国家标准，石化行业的设计导则(SHB-Z06-1999)石油化工紧急停车及安全联锁系统设计导则采用的是IEC 的SIL 概念，但称为安全度等级。在安全联锁系统的设计中，安全度等级是石油化工装置设计的依据，设计人员应根

5、据生产装置的安全度等级选择合适的安全系统技术和配置方式。安全度等级可用于简化和理论化系统结构中各部分的安全要求，并使其定量化。IEC61508 定义4 个安全度等级及每个等级的两个定量安全要求：对系统连续操作的目标故障要求和对系统按照要求切换到安全功能的目标故障率要求，具体指标如表2 所示。随着安全标准的推出以及对安全系统重视度的不断提高，安全系统的认证也变得越来越重要，安全联锁系统的设计思想、系统结构都须严格遵守相应国际标准并取得权威机构的认证。在设置安全系统时，既要满足工业过程安全度要求，又要保证可靠。因此，必须先要对具体的工业过程进行安全度的评价，由于目前我国尚没有制定具体的安全等级划分

6、的标准和设计规范，在设计中主要参照国际上的有关标准，通用的国际标准有德国的DIN19250、DIN VDE0801；美国的ISAS84.01 及国际的IEC61508/61511。目前，工程技术人员设计选型时采用的重要依据是德国莱茵认证机构的T 烿许可证和根据IEC61508 定义的安全完整性等级(Safety Integrity Levels, SIL)。根据工业过程安全度的要求，用户可以选择取得相应认证的安全联锁系统，但种类繁多，结构也不尽相同。如何根据装置的特点，选择一个合适的安全联锁系统已成为安全联锁系统工程设计的关键。安全联锁系统设计的目的，首先要满足装置的安全度等级，衡量标准在于它

7、能否达到故障概率PFD(Probability ofFailure on Demand)，即在实现系统的安全功能上，为了达到装置的安全度等级，系统需具有高的可靠性；系统的高可靠性必然使设备停车次数增多，降低系统的可用性。在石化装置生产中，由于生产的连续化程度极高，设备停车可能造成重大的经济损失，这就要求系统既具有高可靠性，又有高可用性。一个安全联锁系统由现场检测、控制及执行单元3 部分组成。控制单元是安全联锁系统的核心部分， 它的可靠性与可用性成为评价其性能的一个重要指标。下面以控制单元为可编程电子线路(PE)的数字量输出卡件为例，分析结构不同的系统对安全联锁系统可靠性、可用性的影响。二 系统

8、的可靠性与可用性分析根据中国石油化工集团公司设计技术中心站标准(SHB-Z06-1999)石油化工紧急停车及安全联锁系统设计导则中对有关术语的定义：可靠性(R：Reliability)：安全联锁系统在故障危险模式下，对随机硬件或软件故障的安全度，可靠性用概率表示时称为可靠度。可用度(A: Availability)：系统可使用工作时间的概率，用百分数计算：A=MTBF/(MTBF+MDT)，要使系统可用度增加，就要增加平均无故障工作时间(MTBF)，或减少平均停车时间(MDT)。本文以按要求模式执行指定功能的故障概率分析安全系统的可靠性。根据可靠性工程理论，故障均属于随机事件，其概率分布有一定

9、规律，仪表故障的分布函数F(t)为：F(t)=1e-t (1)式中故障率。在仪表串联的情况下，整个仪表系统的故障率是构成系统所有仪表的故障率的总和，即系统=1+2+3+ (2)任何1 台仪表故障都会引起系统发生故障，仪表可靠度R(t)为：R(t)=1F(t)=1(1-e-t)= e-t系统可靠度R0(t)为：R0(t)=e(1+2+3+)t=e1te2te3t即R0(t)=R1(t)R2(t)R3(t) （3）R1(t)、R2(t)、R3(t)串联系统中各仪表的可靠度。在仪表并联的情况下，只有并联环节的所有仪表故障才会引起系统发生故障，并联环节的可靠度R0(t)为：R0(t)=1(1R1(t)

10、(1R2(t)(1- R3(t) (4)式中R1(t)、R2(t)、R3(t)并联系统中各仪表的可靠度系统的可用度A 为：A=MTBF/(MTBF+MDT) (5)三 不同系统结构安全联锁系统的可靠性与可用性分析随着安全联锁系统技术的发展，各供应商推出不同技术特点的可编程安全系统，系统种类较多，但都具有如下特点：(1)块化设计，包括输入、输出、中央处理、通信、电源等模块及I/O 总线等。(2)有完善的自检功能。当检测到系统故障尤其是危险故障时能使系统回到安全状态。(3)系统硬件及软件取得相应等级的安全标准证书。(4)具有顺序事故记录功能，并可与其他系统如DCS 通信。安全联锁系统尽管种类较多，

11、但其基本系统结构主要为双重化结构和三重化结构。配置一种既提供高度综合可用性又能提供高可靠性的系统是安全联锁系统工程设计中的重点。1. 常见的双重化系统结构(1)具有单I/O 模块和外接看门狗的双重化可编程电子线路(PE)：该配置包括双主处理器，单个输入输出模块及与数字输出点相连的外接看门狗。假定1 个电路单元的可靠度为R，平均无故障工作时间为MTBF，1 个电路单元引起的平均停车时间为MDT。则数字量输出卡的可靠度RX 为：RX=R (6)AX=MTBF/(MTBF+MDT) (7)(2)具有双重I/O，外接看门狗，2 选1 停车逻辑的双重化可编程电子线路(PE)：该配置含有双重输入模块并对双

12、重输入数据执行2 选1 表决，双重数字输出串联，如图1 所示。此时，由于任一通路的故障将导致系统停车，数字输出卡的故障率可认为是每个通路故障率的并联结构，根据公式(4)，该结构数字输出卡的可靠度RF1 为：RF1=1(1RX)2=2RXRX2 (8)此时，卡件平均无故障工作时间MTBFF1=1/2MTBF ，平均停车时间为MDTF1=2MDT，根据公式(5)，该结构数字输出卡的可用度AF1 为：AF1=MTBFF1/(MTBFF1+MDTF1)=1/2MTBF/(1/2MTBF+2MDT)=MTBF/(MTBF+4MDT) (9)(3)具有双重I/O，外接看门狗，2 选2 停车逻辑的双重化可编

13、程电子线路(PE)：该配置含有双重输入模块并对双重输入数据执行2 选2 表决，双重数字输出并联，如图2 所示。此时，必须2 个通路同时故障才导致系统停车，数字输出卡的故障率可认为是每个通路故障率的串联结构，根据公式(3)，该结构数字输出卡的可靠度RF2 为RF2=RX2 (10)此时， 卡件平均无故障工作时间MTBFF1=2MTBF ，平均停车时间为MDTF1=1/2MDT，根据公式(5)，该结构数字输出卡的可用度AF2 为：AF2=MTBFF1/(MTBFF1+MDTF1)=2MTBF/(2MTBF+1/2MDT)=4MTBF/(4MTBF+MDT) (11)(4)具有双重I/O，外接看门狗

14、，2 选1D 停车逻辑的双重化可编程电子线路(PE)：该配置对双重输入和输出数据执行2 选1 表决，双重数字输出并联，如图2 所示。该结构对数字输出卡本身与2 选2 停车逻辑的双重化可编程电子线路(PE)一致。根据公式(3)，该结构数字输出卡的可靠度RF3 及可用度AF3 为RF3=RX2=RF2 (12)AF3=4MTBF/(4MTBF+MDT)=AF2 (13)比较公式(6)、(8)、(10)、(12)，由于R、RX、RF1、RF2、RF3 均<1则RF2=RX2=RF3<RXRF1RX=RF2RX=(1(1RX)2)RX=(2RX-RX2)-RX =RX-RX2>0即R

15、F2=RF3<RX<RF1 (14)比较公式(7)、(9)、(11)、(13)，则AF2=AF3=4MTBF/(4MTBF+MDT)>MTBF/(MTBF+MDT)=AXAX=MTBF/(MTBF+MDT)>MTBF/(MTBF+4MDT)=AF1即AF2=AF3>AX>AF1 (15)分析不等式(14)及(15)，在双重I/O 的双重化系统投入运行后，由于任一通路的故障都将导致系统停车，双重2 选1 表决系统降低了系统的可用性，提高了系统的可靠性；而双重2 选1D 或2 选2 表决系统则提高了系统的可用性，降低了系统的可靠性。在进行安全联锁系统的选型配置时

16、，须综合考虑装置可用性及可靠性，以选择并配置一合适的安全联锁系统。2. 三重化结构三重化结构安全联锁系统从输入模件、主处理器到输出模件都完全是三重化的。每个I/O 模件内有3 个独立的分电路，输入模件的每个分电路读入过程数据并将此信息送到各个主处理器。3 个主处理器利用专有的高速的三重化总线进行相互间的通信，每扫描1 次，3 个主处理器通过三重化总线与其相邻的两个主处理器进行通信，达到同步。同时三重化总线可对其数字输入数据进行表决，对输出数据进行比较，并把模拟输入数据复制再送到每个处理器，主处理器执行各种控制算法，并将运算输出值送到各输出模件，如图3 所示。三重化数字输出模件对每一点都提供串/

17、并联表决回路，其数字输出模块可看成串并联结构，如图4 所示。根据公式(3)及(4)，该结构数字输出卡的可靠度RF4 为 ：RF4=1(1R2)2=2R2R4 (16)在不带冗余卡的三重化系统I/O 卡件中的一个模块出现故障时，卡件的可靠度RF5 为RF5=R2。与公式(16)的RF4 作比较，此时系统可在原安全等级下正常运行，但系统可靠度降低。三重化系统在系统结构上对每一I/O 卡指定2 个I/O 卡逻辑槽位，第一逻辑槽位放置运行I/O 卡，第二逻辑槽位可放置备用I/O 卡。在系统运行时系统作热故障检测，在检测到I/O 卡发生故障时，为保证系统运行的可靠性，须及时在第二逻辑槽位插入I/O 卡，

18、更换第一逻辑槽位故障卡。当然，以上分析只是定性的分析，不能就此认定某种结构的安全系统整体可用性及可靠性高或低。在安全联锁系统选型、配置及工程设计中，应仔细分析装置对安全系统可用性及可靠性的要求，综合考虑各种因素，选择结构合适的安全联锁系统，并合理进行系统配置。即使在同一种结构的安全联锁系统中，也可根据不同工艺单元对可用性及可靠性的不同的要求，对不同单元的I/O 作不同的配置。如某一工艺装置，假定其中有2 个单元，A 单元对安全系统的可用性要求高，而B 单元则要求可靠性高，装置安全系统为双重化结构，则可作如下配置：A 单元配置含有双重输入模块并对双重输入数据执行2 选2 表决，双重数字输出并联，

19、以提高安全系统的可用性；B 单元配置含有双重输入模块并对双重输入数据执行2 选1 表决，双重数字输出串联，以提高安全系统的可靠性。四 其他设备对安全系统性能的影响实际上，一个完整的安全联锁系统应包括现场检测、控制及执行单元等部分。以上只是对不同系统结构控制单元的数字输出卡件可用性及可靠性进行分析，整个安全系统的可用性及可靠性应综合考虑现场检测单元、控制单元输入卡及主处理器、执行单元、信号连接用接线端子等。分析公式(2)，为提高整个安全系统的性能，应尽可能减少安全联锁系统的中间环节，提高系统中各个环节仪表本身的性能等。以扬子石化化工厂乙醛装置安全联锁系统为例。乙醛装置采用氧化反应，反应器内压力高，介质易燃易爆，装置危险性高，这要求安全联锁系统需