安全仪表系统SIS的SIL评估

安全仪表系统(SIS)的SIL评估

摘要: 主要论述安全仪表系统及进行SIL评估的必要性,并作了简单的可靠性计算,随着安全仪表系统工程的发展,在安全仪表系统的设计过程中,对安全仪表系统的SIL等级进行定量分析将是重要的。

1 引言

随着石油、化工装置的经济规模日趋大型化,生产装置的密集程度越来越高,对操作、控制及安全的要求也越来越严格。石化装置的产品一般都属于易燃、易爆或有毒介质,生产过程稍有闪失就会酿成灾难性的事故,造成生产、设备、人员等方面的重大损失。作为过程工业安全的重要保障,确保过程工业安全仪表系统本身的可靠性对于过程工业的安全具有重要意义。

2 安全仪表系统

安全仪表系统(Safety instrumented systems,SIS)是一种自动安全保护系统,它是保证正常生产和人身、设备安全的必不可少的措施,它已发展成为工业自动化的重要组成部分。在过程工业中,安全仪表系统的安全性对于事故的影响十分巨大,由于过程工业中的安全事故通常会造成人员伤亡和巨额财产损失,因此开展过程工业安全仪表系统安全评定对于确保过程工业安全具有重要意义。统计资料表明,过程工业中,由于对安全仪表系统的安全要求不合理以及投产后的项目改造过程中对安全仪表系统的改建不恰当所造成的安全事故在全部事故中所占的比重最大。安全仪表系统设计不当,一种可能的后果是该跳车时不跳,造成

拒动作;另一种可能的后果是不该跳车时跳车,造成误动作。拒动作会造成严重甚至灾难性的后果,误动作的直接后果是装置停车,造成巨额的经济损失。

根据IEC61511中的定义,安全仪表系统是由传感器、逻辑控制器、执行器组成的,能够行使一项或多项安全仪表功能(Safety instrumented function,SIF)的系统。每一个安全仪表功能针对特定的风险对生产过程进行保护[1]。图1为一典型的安全仪表功能,它的功能是为了防止压力容器V100中压力过高而发生爆炸等危险事故。此SIF由压力变送器、一个逻辑控制器和一个阀门组成,在DCS(Dis-tributed ControlSystem)对于压力控制已经失效的情况下,容器内压力持续升高,达到压力变送器最高(比DCS控制压力预设值更高)的预设值时,压力变送器将其转换成合适的信号传送给逻辑求解器,由逻辑求解器经过运算发出控制指令,关闭阀门,停止对容器内碳氢化合物的供给。这就是一个完整的安全仪表功能。在整个SIF的实现过程中,其中的三个环节中的任何一个失效将导致SIF的失效,对于此例而言,如果SIF失效,那么系统将继续向容器V100中输送碳氢化合物,容器内的压力将继续升高,极有可能造成容器泄漏、爆炸等严重的后果,导致容器损坏、装置停产、人员伤亡等严重损失。所以对安全仪表系统进行完整性评估,定量的可靠性计算是十分重要和有效的途径,以防止各类事故的发生。

3 安全仪表系统与过程控制系统的区别

过程控制在石油、化工、电力、冶金等部门有广泛的应用。20世纪50年代,过程控制主要用于使生产过程中的一些参量保持不变,从而保证产量和质量稳定。60年代,随着各种组合仪表和巡回检测装置的出现,过程控制已开始过渡到集中监视、操作和控制。70年代,出现了过程控制最优化与管理调度自动化相结合的多级计算机控制系统。80年代,过程控制系统开始与过程信息系统相结合,具有更多的功能。而在今天,过程控制系统开始与安全仪表系统更多地结合在一起,即:对于操作监视层,如安全仪表系统的过程变量值、报警和事件记录、SOE以及故障诊断信息等集中在DCS画面上进行显示,而在控制和安全管理层, DCS 和SIS分别配置独立的控制单元实现过程控制和安全联锁的独立操作。

基本过程控制系统是执行常规生产功能的控制系统,过程控制系统以表征生产过程的参量为被控制量使之接近给定值或保持在给定范围内的自动控制系统。这里的“过程”是指在生产装置或设备中进行的物质和能量的相互作用和转换过程。表征过程的主要参量有温度、压力、流量、液位、成分、浓度等。通过对过程参量的控制,可使生产过程中产品的

产量增加、质量提高和能耗减少。一般的过程控制系统通常采用反馈控制的形式,这是过程控制的主要方式。

基本过程控制系统与安全仪表系统在功能上完全独立。基本过程控制系统执行基本过程控制功能以达到生产过程的操作要求;安全仪表系统则是监视生产过程的状态,判断危险条件,防止风险的发生或者减轻风险造成的后果。基本控制系统是主动的、动态的;而安全仪表系统则是被动的、休眠的。在大部分时间,装置的正常运行都是靠基本控制系统,而在这时的安全仪表系统是没有任何作用的,只有在发生危险且基本控制系统已经无法控制时,安全仪表系统才发挥作用[2]。

图2可以看到IEC61511对安全防护的分层描述[1]。从IEC61511对安全防护的分层描述,可以清楚地看出过程控制系统和安全仪表系统的区别。值得一提的是,按照

IEC61511的分层描述,安全层次应包含防护和减灾两个层次,事实上,在评估一个装置或单元是否应使用安全仪表系统时,最简单的一个方法就是计算其事故发生的可能性(ESD系统可使得该可能性降低)乘上事故发生的后果(FGS系统可使得事故后果最小化)。在国外大多数炼油和化工厂在实施安全仪表系统时,均使用SIL2/3等级的安全仪表系统来实现ESD和FGS的功能,而在中国,除少数中外合资项目和中海油的海上平台项目,大多数项目至今未考虑采用具备SIL等级的系统来实现FGS功能,同国外同行存在较大差距,也是同很多安全规范相违背的。

基本过程控制系统与安全仪表系统都有可能发生失效,对于基本控制系统来说,其大部分的失效都会在运行过程中很明显地表现出来,包括温度、压力、流量等的不正常,那么必定会影响生产过程的运行,由此产生的故障现象马上会展现出来。而相反,安全仪表系统的失效就不会太明显,这是完全由安全仪表系统的特性所决定的,由于它长时间处于“休眠”状态,无法观察或发现它是否出现了故障或者失效。因此,确定休眠系统是否正常工作的唯一方法,就是对该系统进行周期性的诊断和测试,所以安全仪表系统需要人为地进行周期性离线或在线测试,而有些安全系统则本身带有内部的自诊断测试系统。

基本过程控制系统失效后由安全仪表系统对装置进行保护,如果安全仪表系统再失效,则往往导致极其严重的后果,所以提高安全仪表系统的可靠性尤为重要。