作者：高嗣晟 中国石油集团东北炼化工程有限公司 葫芦岛设计院
安全仪表系统（sis）在石油化工中的应用越来越普及，在提高装置安全性的同时，也需重视生产的可用性。仪表安全功能（sif）回路传感器子系统、安全型控制逻辑器、执行元件子系统存在一定的安全失效概率λs，导致装置联锁停车。对于连续生产的石化装置来说，非计划停车将会带来一些经济、安全、考核等方面的影响。
根据《中国石化安全仪表系统sil评估管理规定（试行）》（中国石化安［2013］259号文）3.10.4条规定，“根据企业需求，计算关键过程误停车率（str）”。在保证安全的前提下，希望sis所造成的误停车次数越低越好。
1、str计算方法
isatr84.00.02safety instrumented function （sif）safetyintegrity level （sil）evaluation techniques part 2：determining the silof a sif via simplified equations中str的计算步骤如下：
1） 计算安全失效概率λs。
a） 若设备取得sil的认证，则λs按下式计算［1］：
λs=λsu+λsd （1）
式中：λsu——未检测到的安全失效概率；λsd——检测到的安全失效概率。λsu，λsd的值可从设备sil认证证书上获得。
b） 若设备未取得sil认证，则λs的计算按下式计算：
λs=1/mttfspurious （2）
式中：mttfspurious——平均安全失效前时间， 设备的mttfspurious若无数据可查，则可参考isatr84.00.02 safety instrumented functions （sif）safetyintegrity level（sil） evaluation techniques part 1： introduction 表5.1中的参考值。
2）“1oo1”时：
str=λs （3）
3）“1oo2”时：
str=2λs （4）
4）“2oo2”时：
str=2（λs）2×mttr （5）
式中：mttr——平均恢复时间，一般取8h。
5）“2oo3”时：
str=6（λs）2×mttr （6）
6）分别计算sif回路中的传感器子系统、逻辑子系统、执行元件子系统、电源的str后，计算sif回路系统的∑strsis：
∑strsis=∑strs+∑strl+∑strfe+∑strpsi（7）
式中：∑strs——从现场检测元件至逻辑系统的传感器子系统str；∑strl——io模块、处理器等的逻辑子系统str；∑strfe——从逻辑系统至现场执行元件的执行元件子系统str；∑strpsi——电源的str。
7）计算sif回路的平均误动作前时间：
mttfsis＝1/∑strsis （8）
2、误停车等级的确定
sif回路误动作引起的严重程度性级别称为误停车等级（stl）［2］，各企业可根据生产实际情况，对误停车造成的时间、原料、成品、利润等损失进行综合评估，如某公司sif回路的stl要求见表1所列。
可根据评估sif回路误动作导致的损失金额来确定sif回路的str，判断目前sif回路的设备配置是否满足要求，并进一步对sif回路配置进行优化，降低str。
3、应用案例
某工业炉p&id如图1所示，当炉出口介质温度（te101）高高、长明灯压力（pt102）低低、炉燃料气压力（pt101）低低其中发生任何1项时，则联锁关闭工业炉燃料气进料切断阀（xv101），同时关闭长明灯燃料气进料切断阀（xv102），使工业炉熄灭。
图1工业炉p&id示意一
工业炉熄灭后造成产品不合格，中断了企业连续平稳生产时间，对工业炉进行吹扫后重新点火至正常生产约6h，综合评估后此sif回路联锁造成的损失为200万元，根据表1，sif回路为stl2。图1所示 p&id中sif回路配置如下：
1） 安全型控制逻辑器选用霍尼韦尔sm系统，其mttfspurious值约为180a，年失效概率λsy=5.6×10-3，根据式（3），则逻辑子系统∑strl=5.6×10-3。
2） 安全型控制逻辑器采用冗余ups配电，电源mttfspurious值取20a［3］，λsy=0.05，根据式（5），双ups组成的“2oo2”结构的∑strpsi=4.6×10-6。
3） sif回路采用辰竹sil3安全型继电器，查询其认证报告可知λsy=1.37×10-2，mttfspurious值约为73a；安全栅采用辰竹sil3的系列，安全栅安全失效时的输出电流：或小于3.6ma，或大于21.5ma，或为0；机柜间内浪涌保护器 采用辰竹sil3的产品，串联在回路中，当浪涌保护器失效时回路断开；现场仪表端浪涌保护器选用辰竹sil3的，可串联或并联在回路中，当发生故障时回路发生断路或短路。上述仪表回路电流发生异常均可通过安全型控制逻辑器组态实现只报警不联锁，故浪涌保护器、安全栅对sif回路的str没有影响。
4） 当热电偶、压力变送器、电磁阀、切断阀均采用未经sil认证的普通仪表，其mttfspurious值见表2所列。
取a～e 5个工厂将各设备的mttfspurious求平均值，带入式（2）～式（8），得出表3所列的“moon”结构下现场设备的str。
图1中的p&id仪表均采用了“1oo1”结构，其str=λs，则含2个压力变送器、1个热电偶的传感器子系统∑strs=8.5×10-2；含2个继电器、电磁阀和气动切断球阀的执行元件子系统∑strfe=0.1914；根据式（7），sif回路∑strsis=0.28＞0.10，其为stl1，不满足stl2的要求；根据式（8），sif回路的平均误动作前时间mttfsis=3.6a。
5） 当压力变送器、电磁阀、切断阀均采用取得sil认证的仪表时，其λsy值及组成“moon”结构的str值见表4所列。
图1中的p&id仪表均采用了“1oo1结构”，其str=λs，则含2个压力变送器、1个热电偶的传感器子系统∑strs=4.846×10-2；含2个继电器、电磁阀和气动切断球阀的执行元件子系统∑strfe=4.4×10-2；根据式（7），sif回路的∑strsis=9.8×10-2＜0.10，满足stl2的要求；根据式（8），sif回路的平均误动作前时间mttfsis=10.2a。
6） 从上述计算可以看出，此sif回路中热电偶和电磁阀的str占比较大，为了使sif回路实现stl2的目标，燃料气压力变送器（pt101，pt102）选用未经过sil认证的“2oo3”结构的压力变送器、介质出口温度检测选用“2oo3”结构的3芯热电偶（te101a/b/c），如图2的p&id所示，则传感器子系统∑strs=1.6×10-5。
图2工业炉p&id示意二
采用经过sil认证的电磁阀和未经过sil认证的普通气动切断球阀相组合的形式，则含2个继电器、电磁阀和气动切断球阀的执行元件子系统∑strfe=7.88×10-2。
根据式（7），sif回路的∑strsis=8.4×10-2＜0.1，满足stl2的要求；根据式（8），sif回路的平均误动作前时间mttfsis=11.9a.
4、结束语
对于化工行业而言开停工过程危险系数大，在意外停工后重新启动运行过程中容易发生安全事故，故应降低sif回路的str。在sif回路满足sil的前提下，sis设计及设置宜遵循如下几条建议：
1） 安全型控制逻辑器和基本过程控制系统进行数据通信，组态实现仪表信号断路、短路、异常（小于4ma或大于20ma）报警，仪表回路的短路、断路和信号的异常不应导致联锁停车［6］。
2） 安全栅、浪涌保护器安全失效不会导致sif回路误动作，接线箱内的信号断路、短路也没有影响，但是为了减少中间环节，sif回路的仪表可采用隔爆型［7］，不经过接线箱直接单拉至机柜间，当采用接线箱时，sis和bpcs的信号不宜共用大电缆。
3） 安全型控制逻辑器输出至现场电磁阀的信号采用继电器隔离，提高带载能力，不建议采用do卡件直接驱动电磁阀。
4） 间隙操作的精细化工、医药等装置中，误停车损失较小，恢复生产较快，传感器子系统和执行元件子系统可选用“1oo1”结构的仪表设备；对于连续生产的石化装置中关键的sif回路（误停车导致的损失严重），为了降低sif回路的误停车率，检测元件子系统宜采用“2oo3”结构的未经过sil认证的普通仪表，由电磁阀和控制阀组成的执行元件子系统宜选用“1oo1”的取得sil认证的仪表设备。
sis中的仪表设备、安装附件应选用知名度高、质量可靠、应用广泛的产品，避免因仪表本身质量及安装等问题，导致联锁停车［8］。
5） 当采用“noom”的方式时，仪表的取源部件不应共用，如1个孔板接3个差压变送器，以免因取源部件的堵塞导致误动作；非模拟量传感器输出信号宜为namur，避免因继电器触点失效导致误动作。
6） 供电是sis的一个薄弱环节，在有条件的情况下可采用双回路ups供电的方式，ups及电池组应选用成熟可靠的产品，能输出综合故障信号至基本过程控制系统，以便及时地进行修理［9］。在平时生产过程中，也应注重对ups及供电环节的维护，避免因电源的原因导致联锁停车。
7） 对于联锁停电机的sif回路，执行元件子系统可理解为安全型控制逻辑器内的继电器和mcc配电回路中的继电器，对于重要的sif回路，电气专业的mcc配电回路中间继电器也宜选用sil3的。
8） 应完善sis的管理制度，对能引发停车的现场关键的仪表、阀门、按钮等进行特殊标记，并设置能有效防止操作或维护人员误动作的措施；安全型控制逻辑器应配备专业人员操作维护，减少因业务不熟练导致的误停车。
本文转载自自控中心站微信公众号
如有侵权请联系删除
