安全仪表系统的安装

安全仪表系统的安装

石油和化工是中国的主要支柱产业之一。它与经济、能源、材料和其他方面有着密切的关系。也是一个高度危险的行业。系统设计、实施和操作过程中任何一个小的失误都有可能带来严重的甚至是灾难性的后果。例如:1984年发生的印度博帕尔农药厂毒气泄漏事件;1986年前苏联切尔诺贝利核电站泄漏事件;2006发生的吉化爆炸事件等等,至今还让人们心有余悸。因此,生产系统的安全性和可靠性极其重要,安全相关系统被开始广泛地应用于石油、化工等过程工业中。2000年2月,国际电工委员会(IEC)发布了功能安全基础标准IEC61508和用于化工行业的安全系统功能标准IEC61511。在IEC61508中安全被定义为“不存在不可接受的风险”。这就意味着,一定的危险,也许不能做到100%地完全排除,但是如果它足够小,也可以接受。IEC61508标准的最大优势在于从系统整体的安全要求出发,对安全责任和组织管理程序进行科学分解,通过科学的组织管理体系和安全相关系统的集成来实现安全的总体目标。在对IEC61508和IEC61511详细研究的基础上,本文主要介绍如下内容:(1)示例说明安全完整性的概念。(2)介绍安全完整性等级的概念,以及过程控制系统与安全仪表系统的区别。(3)示例说明加装不同的安全仪表系统时,受控设备所能达到的安全级别和经济支出之间的关系。1高压增压系统在IEC61508中,安全完整性被定义为:在规定的时间周期内的所有规定的条件下,安全相关系统成功地完成所需安全功能的概率。也就是安全功能能够有效被执行的能力。用我们常见的高压锅减压阀来举例。高压锅减压阀的功能是在高压锅的压力超出规定范围时开启阀门,释放气体,降低压力。如果在高压锅压力超高时,减压阀堵塞无法泄压,那么就会导致锅内压力不停升高,直至发生爆炸。可以看出,在这个高压锅减压系统中,爆炸这一风险的发生是由高压锅压力升高和减压阀失效两个原因引起的。即对于一个安全相关系统而言,风险概率可用如下的公式确定:风险概率=危险事件发生的概率×安全系统“要求时失效”的概率IEC61508将风险降低和安全完整性等级联系起来,从而达到通过对安全完整性进行管理来控制风险水平的目的。风险是风险概率和后果严重程度的组合,所以风险概率下降程度就是风险下降的程度。因此,安全完整性等级反映了整体风险水平的降低。一旦确定了允许风险,并估计了必要的风险降低,就可分配安全相关系统的安全完整性要求。2sif和sil在IEC61511中,安全仪表系统(SIS,SafetyInstrumentedSystems)被定义为“用于实施一个或多个安全仪表功能的仪表系统”。SIS是传感器、逻辑解算器和最终元件的组合。通过SIS所要实施的功能叫做安全仪表功能(SIF,SafetyInstrumentedFunction)。通过打开阀释放压力来防止罐破裂就是一个SIF。通过提供事故冷却剂,降低超高温来防止塔的破裂;直接将溢出的液体引到废水处理系统,防止环境遭受破坏也是SIF。报警不是SIF,因为报警没有将最终行动包括在内,不能实现安全状态。安全完整性是安全功能能够有效被执行的能力,而安全完整性等级(SIL,SafetyIntegrityLevel)是用来衡量这种能力大小的指标。SIL是针对SIF而言的,每个SIF都有对应的SIL。SIL用平均需求故障概率PFD(ProbabilityFailureonDemand)来决定,PFD就是前面提到的安全系统在“要求时失效”的概率。表1给出了PFD和SIL之间的关系。SIL是在1993年提出的,安全自动化中SIL只有三级,IEC61511提出四级。在工业实践中,是否能达到SIL3都有人提出质疑,因此IEC61511中要求SIL3必须做到完全的冗余,所以说SIL3的设计一般都有多个传感器和多个控制器。IEC61511也强烈建议不要使用SIL4级,SIL4级需要非常复杂的设计和维护。IEC61511建议,如果有非常严重的风险,不要采用SIL4级,而是使用其它的方式降低风险,譬如加别的安全保护层。3sis和bpcs现在过程控制系统(BPCS,BasicProcessControlSystem)与SIS可以集成在一个自动化设备上。虽然这可以提高生产率和管理效益,但是如果操作不当,就会危及过程工业操作的安全。所以,理解两者的区别十分重要。(1)区别。在生产过程中,BPCS是主动的动态行为,控制回路是反馈回路,系统的输入输出多是模拟量,控制器根据系统误差,按照给定的控制算法来调节过程变量。SIS则相对处于一种被动、静态的状态。SIS多是简单的传感器—逻辑控制器—执行元件的开环回路。正常情况下,安全系统不产生任何动作,只有当安全回路的传感器的测量值达到设定的动作条件时,才能激活回路动作。因此,BPCS的目的是保证生产过程的连续性,而SIS则提高了生产过程的可靠性。(2)独立性。在国际安全标准(包括IEC61508和IEC61511)的核心,纵深防御和独立保护层的概念的基础就是每个层的保护,包括控制和安全层,都应该是完全独立的。这个基本要求的原因就是避免连带性的错误,最小化系统错误和抵制意外访问和网络攻击而进行的安全保护。如图1所示,这是一个典型的SIS和BPCS完全独立的一个例子,其中传感器、控制器和最终控制元件都是完全独立分开的。实验证明,对于BPCS与SIS是各自独立的系统,BPCS可以降低SIL等级。事实上,在工程中常用这个方法来解决安全仪表功能的风险等级不够的问题。如图2所示,同一个传感器既用在了BPCS上又用在了SIS上,在这种情况下,传感器失效会导致BPCS和SIS同时失效,因此,做LOPA时我们就不接受把这个安全连锁当成是一个独立的保护层。同理,共享的阀门和共享的控制器,LOPA也不会接受作为独立的保护层,因为一个失效,两个都失效。是否有冗余的信号?如果失电了会怎么样?大多数石油、化工企业的操作人员认为,任何等级上保护层的融合都会在SIL的安全仪表功能上带来不好的影响。4sif等级的确定SIL等级的选择并不是越高越好,SIL越高,对经济支出和管理的要求也就越高,成本也就越高。可是SIL过低,安全系统又不能满足企业对安全的要求。到底选择什么样的SIL等级比较合适呢?下面将通过示例来比较安全相关系统选择不同SIL等级的成本和收益。示例:某企业有发生管线脆裂风险的可能,要求对其进行后果分析后,讨论是否增加SIF,加什么SIL等级的SIF。根据实践调查,得到该风险可能造成这个企业损失和不同SIL的成本如下:人员:致命率0.044/年(0.044×10M$),受伤率0.2(0.2×1.0M$)环境:无异常的有毒物排放(0$无罚金),内部清洁工作(0.05M$/年)设备:单元或装置内更换设备(0.4M$/年)经营中断:停产损失(0.1M$/年)经营责任:直接客户合同损失(0.05M$I年)公司形象:无额外成本,无须考虑失去市场份额:客户转向竞争对手(0.03M$/年)低成本、低性能、SIL1的SIF对于$20,000/年的净成本可以提供10的风险降低因数。高成本、高性能、SIL2的SIF对于$100,000/年的净成本可以提供200的风险降低因数。最高等级SIL3的SIF对于$200,000/年的净成本可以提供2500的风险降低因数。根据以上条件,分析应该选择什么SIL等级的SIF,问题将通过计算与每个选项风险有关的年成本来解决。对于没有安全系统的情况风险成本每年为$1,270,000M$对第一个情况的低成本安全系统:RRF为10的风险削减花费成本为:$1,270,000/10=127,000/年,而系统本身每年增加成本为$20,000。因此,相对于没有安全系统,总的年成本为$147,000,净节约费用为每年$1,123,000。以同样方式考虑SIL2:风险成本为$1,270,000/200=$6350/年,系统自身增加费用$100,000/年。因此相对于没有安全系统,总成本是$106,350/年或净节约$1,163,650。对于SIL3系统:危险成本是$1,27,000/2500=$508/年,系统自身增加费用$200,000/年。因此,相对于没有安全系统,总成本是$200,508,或净节约费用为$1,069,492。将上述分析情况列表,如表2。比较选择不同SIL等级时的风险消减和成本收益,可以得出结论:SIL2的SIF是最佳选择,相对于什么措施都不采取,加装SIL2的SIF以后,该系统每年最大可以节省费用$1,163,650。5不同安全仪表系统具体应用的比较(1)对于一个安全相关系统而言,风险概率由“危险事件发生的概率”和“安全系统要求时失效”的概率来决定。IEC61508将风险降低和安全完整性等级联系起来,确定了允许风险和必要的风险降低,就可以为安全相关系统分配相应的安全完整性等级。(2)安全仪表系统SIS同过程控制系统BPCS既有区别又有联系。重要的生产设备或生产过程,通常会同时应用SIS和BPCS两个系统。当SIS和BPCS不是相互独立的时候,可能某一原因造成的失效会导