過程安全：SIS系統(tǒng)的安全完整性等級（SIL）評估
發(fā)布者：
wsdkingdom 發(fā)布時(shí)間：2019-01-12 08:53:12
在過程工廠安裝的安全儀表系統(tǒng)（SIS），主要用于減輕過程風(fēng)險(xiǎn)，但在確定下一步行動(dòng)之前，必須先為其指定目標(biāo)安全完整性等級（SIL）
。
安裝在過程工廠的安全儀表系統(tǒng)(SIS)，在過程值超過設(shè)定值時(shí)或偏離安全運(yùn)行工況時(shí)，可以將過程帶入“安全狀態(tài)”，從而緩解過程風(fēng)險(xiǎn)。
沒有單一的安全措施可以消除所有的風(fēng)險(xiǎn)，SIS只是多層安全體系中的一層。保護(hù)層分析(LOPA)方法，可以識別、分析所有已知的過程風(fēng)險(xiǎn)以
及保護(hù)層。如果在LOPA分析中得出結(jié)論，認(rèn)為現(xiàn)有的保護(hù)措施不能將風(fēng)險(xiǎn)降低到可接受或可容忍的水平，那就需要SIS系統(tǒng)來應(yīng)對每一種過程
風(fēng)險(xiǎn)。并不是所有的過程風(fēng)險(xiǎn)都需要SIS系統(tǒng)。每個(gè)需要SIS系統(tǒng)的風(fēng)險(xiǎn)，都必須指定一個(gè)目標(biāo)安全完整性等級(SIL)。
SIL等級是什么？
SIL等級來自于兩個(gè)非強(qiáng)制性標(biāo)準(zhǔn)，工廠所有者/經(jīng)營者通常用其來量化應(yīng)對運(yùn)行風(fēng)險(xiǎn)的安全性能要求：
IEC 61508: 電氣/電子/可編程電子安全相關(guān)系統(tǒng)的功能安全I(xiàn)EC 61511: 過程工業(yè)領(lǐng)域安全儀表系統(tǒng)的功能安全正如國際電工委員會（IEC）
標(biāo)準(zhǔn)的定義，安全等級分為1-4級。較高的SIL，意味著更大的過程風(fēng)險(xiǎn)，也就需要SIS系統(tǒng)需要提供更高水平的保護(hù)。SIL是風(fēng)險(xiǎn)頻率和危害
嚴(yán)重程度的函數(shù)。發(fā)生頻率高、或具有更嚴(yán)重后果的風(fēng)險(xiǎn)，其SIL等級越高。
為了確定過程風(fēng)險(xiǎn)的SIL等級，理解安全生命周期會有所幫助。
安全生命周期
IEC標(biāo)準(zhǔn)定義了一個(gè)被稱之為安全生命周期的概念，它提供了一個(gè)可重復(fù)的框架，在此框架中，所有的過程風(fēng)險(xiǎn)都被識別和分析，以了解哪些
危害需要使用SIS系統(tǒng)進(jìn)行緩解。從設(shè)計(jì)上看，這是一個(gè)周期性的過程。任何工藝設(shè)計(jì)、操作工況或設(shè)備的變更，都需要從頭開始重復(fù)該過程
，以確保任何變更都能正確實(shí)施。
要確定SIL，需要遵循諸多步驟。該過程從執(zhí)行過程危險(xiǎn)分析(PHA)開始。PHA是對與工業(yè)過程相關(guān)的所有潛在風(fēng)險(xiǎn)的系統(tǒng)評估。有必要分析下
列情況的所有潛在原因和后果：
火災(zāi)；；釋放有毒、風(fēng)險(xiǎn)或易燃物質(zhì)等。關(guān)注任何可能影響該進(jìn)程的內(nèi)容，包括：設(shè)備故障；儀表故障或校準(zhǔn)問題；公用設(shè)施(電力、冷
卻水、儀表空氣等)的喪失；人為錯(cuò)誤或行為；外部因素，如風(fēng)暴或地震。必須分析每種過程風(fēng)險(xiǎn)的頻率和嚴(yán)重程度，例如：
發(fā)生的頻率是多少？如果手動(dòng)執(zhí)行填充操作，任何情況下都有可能會發(fā)生溢罐事故（每年多少次）。結(jié)果嚴(yán)重程度如何？局部損壞、火災(zāi)、
，毒氣釋放、死亡。PHA分析的核心基于這樣一個(gè)事實(shí)：任何事情都可能而且確實(shí)會出錯(cuò)。不要考慮它是否會發(fā)生，而應(yīng)該考慮它何時(shí)發(fā)
生。識別出的風(fēng)險(xiǎn)，都應(yīng)指定一個(gè)“可接受的”頻率。不能假定一個(gè)永遠(yuǎn)不會發(fā)生的風(fēng)險(xiǎn)。例如：
一個(gè)需要基本急救干預(yù)的風(fēng)險(xiǎn)，如果一年僅發(fā)生一次，那么這種風(fēng)險(xiǎn)可以視為“可接受”；由于油罐破裂而引起的和火災(zāi)，其“可接受
”頻率為每10000年一次。PHA分析的最終結(jié)果，是一系列可能的工藝風(fēng)險(xiǎn)列表，為每個(gè)過程風(fēng)險(xiǎn)分配了可接受的發(fā)生頻率。安全生命周期的
下一步是保護(hù)層分析。單靠單一的安全措施無法消除風(fēng)險(xiǎn)。因此，有效的安全體系必須由多個(gè)保護(hù)層組成。
這樣，如果一個(gè)保護(hù)層出現(xiàn)故障，則后續(xù)層將使該過程處于安全狀態(tài)。隨著保護(hù)層數(shù)量的增加和可靠性的提高，整個(gè)過程的安全性也隨之增
加。有一點(diǎn)非常重要，在一個(gè)或多個(gè)層失敗時(shí)，每層必須能夠獨(dú)立于其它層運(yùn)行。
保護(hù)層的具體例子包括：
滅火系統(tǒng)；防泄漏系統(tǒng)(堤防或雙壁)；卸壓閥；氣體檢測/報(bào)警系統(tǒng)。對于在PHA中識別的過程風(fēng)險(xiǎn)，應(yīng)該：
列出所有可用的非SIS安全措施；為每一層指定其風(fēng)險(xiǎn)降低因子；計(jì)算保護(hù)層應(yīng)用后的有效風(fēng)險(xiǎn)頻率；例如：罐體填充操作，發(fā)生每年的頻率
為250次，因此溢罐事件發(fā)生的頻率為250次每年；適當(dāng)?shù)呐艢?排水系統(tǒng)作為保護(hù)層，可以將風(fēng)險(xiǎn)降低（風(fēng)險(xiǎn)系數(shù)）100倍；儲罐溢出危險(xiǎn)的
有效頻率為每年250/100=2.5次。每個(gè)危害的有效危害頻率確定后，要問的關(guān)鍵問題是：“采用非SIS保護(hù)層后，有效頻率是否能夠低于可接
受頻率？”
一旦識別出所有的過程風(fēng)險(xiǎn)，并為其分配保護(hù)層后，如果PHA/LOPA的研究得出結(jié)論，認(rèn)為現(xiàn)有的保護(hù)不能將風(fēng)險(xiǎn)降低到可接受的或可容忍的
水平，那就需要安裝SIS系統(tǒng)。然而，并不是每一個(gè)過程風(fēng)險(xiǎn)都需要使用SIS系統(tǒng)。
安全儀表系統(tǒng)和功能
SIS的目的，就是在超過設(shè)定值或當(dāng)超過安全運(yùn)行工況時(shí)，使過程處于“安全狀態(tài)”。SIS的作用是通過實(shí)施安全儀表功能（SIF）來降低風(fēng)險(xiǎn)
。
SIF的兩個(gè)示例包括：
危害：水箱溢流。SIF：SIS系統(tǒng)將灌裝泵停止，將液位維持在安全水平。危害：高溫。SIF：SIS打開繼電器，以在預(yù)定的安全溫度下切斷對
加熱器電路的電源。在任何情況下，SIF都是SIS實(shí)現(xiàn)或保持安全狀態(tài)的安全功能。SIF的傳感器、邏輯運(yùn)算器和最終元件協(xié)同動(dòng)作，以檢測風(fēng)
險(xiǎn)并將過程帶入到安全狀態(tài)。
每個(gè)SIF作為保護(hù)層，將有效風(fēng)險(xiǎn)頻率降至可接受的風(fēng)險(xiǎn)頻率以下。要做到這一點(diǎn)，每個(gè)SIF必須有一個(gè)最小的風(fēng)險(xiǎn)降低因子。
安全生命周期模型的實(shí)例，改編自IEC61511。圖片來源：Cross 公司。
SIF的SIL目標(biāo)水平
在罐溢出實(shí)例中，在實(shí)施非SIS保護(hù)層之后，其有效頻率為每年2.5次。如果可接受的危害頻率為每10年一次，那SIF必須有不低于25的風(fēng)險(xiǎn)降
低因子(RRF)。
SIF的最小風(fēng)險(xiǎn)降低因子(RRF)=未實(shí)施SIS的有效頻率/可接受頻率=2.5/0.1=25。每個(gè)SIF所需的最小RRF被用于確定SIF的目標(biāo)SIL等級。通過
表1，可以直接從RRF確定目標(biāo)SIL等級。注意SIL和RRF之間的關(guān)系。SIL1具有的最小RRF為101，SIL2具有最小的RRF為102，以此類推。
對于罐體過量填充的例子，最小RRF為25，SIF的目標(biāo)SIL為SIL1，因此，這是一個(gè)等級為SIL1的風(fēng)險(xiǎn)。
對于PHA和LOPA所識別的每個(gè)風(fēng)險(xiǎn)，使用相同的方法為SIF的分配目標(biāo)SIL。請注意，可能有不同的目標(biāo)SIL。過程的下一個(gè)步驟，是設(shè)計(jì)一種
能滿足需求的SIF，以便達(dá)到目標(biāo)SIL。
SIF可實(shí)現(xiàn)的SIL等級
SIS是由許多組件組成的系統(tǒng),例如:
信號輸入傳感器；輸入信號接口與處理；具有電源和通信的邏輯運(yùn)算器；輸出信號處理、接口和電源；執(zhí)行器(閥門、開關(guān)裝置)，用于最終
控制功能。舉個(gè)SIF的例子：在高溫工況下繼電器斷開，負(fù)責(zé)加熱器電路的SIS系統(tǒng)，應(yīng)包含以下回路部件中的任何一種或全部:熱電偶、變送
器、輸入信號調(diào)節(jié)器或隔離器、模擬輸入卡、通訊卡、中央處理器、離散輸出卡、輸出信號調(diào)理器或隔離器、以及加熱器繼電器。
必須假定某一時(shí)刻會發(fā)生風(fēng)險(xiǎn)。你不能認(rèn)為風(fēng)險(xiǎn)永遠(yuǎn)不會發(fā)生。同樣，必須假定SIF的任何組成部分都可能無法根據(jù)需求采取行動(dòng)。
一個(gè)比較常見的故障是有關(guān)正常工藝條件下保持開啟的隔離閥的。如果需要關(guān)閉此閥門才能實(shí)現(xiàn)特定的SIF，則風(fēng)險(xiǎn)可能是在需要關(guān)閉閥門時(shí)
此閥保持在開的位置，而不是按要求關(guān)閉。因此，我們必須知道SIF的失效概率。
給定SIF的總體故障概率，通過執(zhí)行SIL計(jì)算來確定。SIL計(jì)算有些復(fù)雜，但本質(zhì)上，該計(jì)算過程就是收集SIF部件的故障率數(shù)據(jù)，如測試頻率
、冗余、表決安排等。最終結(jié)果是每個(gè)SIF，都可以獲得可能出現(xiàn)故障的總體概率（PFD）。
構(gòu)成SIF回路的眾多設(shè)備的制造商，都會公布設(shè)備的故障率數(shù)據(jù)。過程企業(yè)經(jīng)常與咨詢公司簽訂合同，以確定失效概率。
這些故障概率數(shù)據(jù)，是進(jìn)行SIF計(jì)算所需的輸入數(shù)據(jù)，而本身并不是SIL數(shù)據(jù)。并沒有自帶SIL等級的設(shè)備。您無法購買到具有SIL等級的變送
器或SIL等級的控制系統(tǒng)。
一旦已知了SIF的PFD，那么它的RRF就是PFD的倒數(shù)(RRF=1/PFD)。然后，就可以比較SIF的RRF與所需的最低RRF。如果SIF的RRF大于所需的最
小RRF，那SIF就可以將整體風(fēng)險(xiǎn)降低到可接受的水平。
回到前面罐體溢出的例子，假設(shè)SIL計(jì)算證明SIF具有300的RRF。由于該值大于25，SIF大大滿足要求。如果SIL計(jì)算發(fā)現(xiàn)RRF小于25，那就需要
改變或重新排列SIF組件。
增加RRF的一種方法，是在表決機(jī)制中配置冗余的變送器，或者購買故障率較低的變送器。SIL等級、PFD和RRF之間的關(guān)系如表2所示。
回到罐填充實(shí)例中，SIF的RRF為300，而需求的最小RRF為25(SIL1)。SIF可實(shí)現(xiàn)的SIL等級是SIL2。這意味著有SIL2的SIF可用于保護(hù)SIL1風(fēng)險(xiǎn)
。這是完全可以接受的，而且比較常見。
版權(quán)聲明：工控網(wǎng)轉(zhuǎn)載作品均注明出處，本網(wǎng)未注明出處和轉(zhuǎn)載的，是出于傳遞更多信息之目的，并不意味 著贊同其觀點(diǎn)或證實(shí)其內(nèi)容的真實(shí)性。如轉(zhuǎn)載作品侵犯作者署名權(quán)，或有其他諸如版權(quán)、肖像權(quán)、知識產(chǎn)權(quán)等方面的傷害，并非本網(wǎng)故意為之，在接到相關(guān)權(quán)利人通知后將立即加以更正。聯(lián)系電話：0571－87774297。
