CN102034025A

CN102034025A - 安全仪表系统的功能安全评估方法

Info

Publication number: CN102034025A
Application number: CN 201010577606
Authority: CN
Inventors: 靳江红; 赵寿堂; 胡玢; 朱佐刚; 王栋; 宁占武
Original assignee: Beijing Municipal Institute of Labour Protection
Current assignee: Beijing Municipal Institute of Labour Protection
Priority date: 2010-12-02
Filing date: 2010-12-02
Publication date: 2011-04-27

Abstract

本发明涉及一种安全仪表系统的功能安全评估方法，属于安全仪表系统功能安全技术领域。为对安全仪表系统进行可靠模拟、监控以及功能安全评估，并研究安全仪表系统共因失效的变化情况，本发明所提供的方法包括：安全仪表系统对受控系统进行功能安全控制；对安全仪表系统进行初始风险分析，确定安全完整性等级；验证安全仪表系统是否达到所确定的安全完整性等级；改变安全仪表系统的组成结构或组成设备，重复前述步骤。本发明技术方案可根据所研究的具体情况改变安全仪表系统的组成结构、组成设备，以适应不同的应用环境和应用要求，并据此可以分析不同情况下，安全仪表系统的共因失效特征的变化情况，为共因效应课题的研究工作提供相当重要的依据。

Description

安全仪表系统的功能安全评估方法

技术领域

本发明涉及安全仪表系统功能安全技术领域，具体涉及一种安全仪表系统的功能安全评估方法。

背景技术

安全仪表系统(Safety Instrumented System-SIS)在生产过程中承担着监测与安全有关的状态参数、发现故障或异常等危险情况时及时采取措施以防止事故发生等重要的安全仪表功能，目前已广泛地应用于石油、化工等过程工业领域。因此安全仪表系统的安全性能直接关系到各种危险源、成套装置的安全控制与安全保护水平，进而直接关系到安全生产水平。比如：锅炉压力达到一定值时，阀门自动打开、矿井内危险气体达到一定程度时报警并自动打开通风设备、当有人进入电锯的危险区时电锯自动停止动作等，这都是安全仪表系统在执行安全防护功能，国家经济和技术水平越高，这样的安全仪表系统的应用就越普遍。安全仪表系统保证了成套设备或成套装置的运行安全，对于减少生产事故、减少人员和财产的损失起到了不可估量的作用。可是一旦其功能失效，就可能导致相当大的人身财产损失，前苏联切尔诺贝利核电站事故与控制系统功能失效有关，这就是现存的功能安全保障问题。

所谓功能安全，即安全仪表系统在生产过程中出现危险情况时正确执行相应的安全仪表功能的特性，功能安全是一种全新的安全管理理念与技术方法，它为安全仪表系统的设计、安装、维护直到停用的整个安全生命周期提供了一套行之有效的科学管理方法。然而多年来，尽管功能安全在国际上已成为研究热点，但工业通信网络的功能安全一直没有得到有效解决。工业界在设计、操作、维护安全系统方面积累了大量经验，但以往安全仪表系统的设计只是基于经验，没有安全完整性等级的概念，在监控、评估和保证整个系统功能的功能安全方面缺乏理论依据和量化指标，并认为安装了安全仪表系统就达到了安全，设计过程中没有考虑受控设备的风险大小，对于系统功能的安全性与人、器件(软硬件)、网络和子系统的可靠性之间没有建立量化关系。常常是采用多重冗余，选择可靠性最高的器件，但系统的安全性并没有提高。这样设计的安全仪表系统可能出现过保护或欠保护，过保护会造成成本的浪费，欠保护会使风险不可接受；另外，安全仪表系统由于其本身结构、硬件、软件及周围环境等原因，将不可避免地存在安全性问题；再者，安全仪表系统安装完成后或运行多年后以及修改后是否仍能满足安全及经济合理的要求，这些问题目前均已经成为制约现代重要工业领域，尤其是安全相关领域规模化应用的瓶颈，因此，目前迫切需要对安全仪表系统的功能安全相关技术进行研究，其中尤其是关于安全仪表系统的共因效应变化特征，作为影响系统性能的关键因素，共因效应的变化特征是功能安全研究领域相当重要的一个课题。

安全仪表系统按照执行其功能安全的有效程度的分级，目前可分为4级，即安全完整性等级(Safety Integrity Level)；目前确定安全完整性等级的方式主要有两种，一类为风险矩阵方式，另一类为风险图方式；例如通过风险分析，受控系统某危险事件发生的可能性为“高(III)”，发生的后果为“严重(B)”，根据风险矩阵，如图1-1所示，则控制该危险事件发生的安全仪表系统的安全完整性等级为SIL3；如果采用风险图选择SIL，如图1-2所示，则需要更多的参数，例如风险分析得到的各个参数结果为C_B、F_B、P_B和W₂，按照风险图得到其安全完整性等级为SIL2，其中图1-2中，C-风险后果参数，F-风险暴露时间和频率参数，P-不能避开危险的概率，W-不期望事件的发生概率，-符号表示无安全要求，a表示无特别安全要求，b表示仅一个单独的E/E/EPS(Electrical/Electronic/Programmable Electronic Systems-电气/电子/可编程电子系统)不够，需要2个甚至更多的E/E/PES作为保护层，1、2、3各自表示不同的安全完整性等级。

此外，目前用于验证目标安全仪表系统是否达到某一级别的安全完整性等级的方法主要有两类：(1)可靠性框图模型，可靠性框图是一种传统的可靠性分析方法，它用图形的方式来表示系统内部件的串并联关系，而且将表决方式的连接关系也转换为串并联的方式，具有简单、清晰直观的特点；可靠性框图也被称为可靠性网络，它反映的是系统组成设备之间在可靠性上的结构关系，而不是系统组成结构上的关系；如图2-1所示为一个具有两个通道的1oo2(1 out of 2，2取1)传感器表决组的可靠性框图；在该传感器表决组中，两个传感器中的一个能够正常工作，那么整个表决组就能输出正确的测量检测信号。串联的共因失效表示两个传感器会因为共因而同时失效，这时整个表决组将失效，因此共因失效和传感器的并联是串联关系；另外，如图2-2所示，1oo1结构表决组中只有一个通道，该通道设备具有自诊断功能，但诊断测试仅报告发现故障，而不影响输出；图中考虑了功能测试覆盖率c_τ，(τ为功能测试周期)。(2)马尔可夫模型：马尔可夫模型将系统归于不同的若干状态。一个状态会以某种概率转移到其它状态。且系统的未来状态与历史状态无关，只取决于现在状态。这些状态有带有编号的圆圈来表示，如图2-3所示，其中各状态表示正常设备和失效设备的组合。随着失效和维修，系统从一个状态转移至另一个状态；设备的失效和维修通过带箭头的弧线来表示，并标注相应的失效率(λ)和维修率(μ)。E/EPES的失效率正好符合马尔可夫模型的这种无记忆性质。马尔可夫模型包括设备的多种效模式，一次建模可以求得多个可靠性指标，覆盖最多的可靠性影响因素，定量精度高，且不受设备之间的依赖关系影响。

发明内容

(一)要解决的技术问题

本发明要解决的技术问题是：如何对在役的安全仪表系统进行可靠地模拟、监控以及功能安全评估，如何研究安全仪表系统的共因失效的变化情况。

(二)技术方案

为解决上述技术问题，本发明提供了一种安全仪表系统的功能安全评估方法，所述功能安全评估方法包括：

S1：安全仪表系统对受控系统进行功能安全控制；

S2：对所述安全仪表系统进行初始风险分析，确定安全完整性等级；

S3：验证所述安全仪表系统是否达到步骤S2中所确定的安全完整性等级；

S4：改变安全仪表系统的组成结构或组成设备，重复上述步骤S1至S3。

其中，所述步骤S1中，具体包括如下步骤：

S101：根据外部指令预先设置受控系统正常运行时的状态参数临界值；

S102：通过传感器单元获得受控系统的当前状态参数，由模拟单元根据所述当前状态参数模拟受控系统的当前状态以及超载状态；并通过传感器单元获得超载状态参数；

S103：将所述当前状态参数或超载状态参数转换成数字信号，并与预设的状态参数临界值进行比较，生成是否超出临界值的判断结果；

S104：根据所述判断结果输出受控系统的功能安全状态信号。

其中，所述步骤S102中的当前状态参数包括温度、压力及液位；

所述模拟单元模拟超载过程中通过循环热水来模拟高温，通过充入过量压缩气体来模拟超压，通过底部的进水口来模拟超液位。

其中，所述步骤S103中，通过可编程逻辑控制器进行比较，并生成判断结果。

其中，所述步骤S2中对模拟单元进行初始风险分析，采用风险矩阵或风险图来选择确定安全完整性等级。

其中，所述步骤S3中，具体包括如下步骤：

S301：对安全仪表系统提出功能安全要求，并给以逻辑规则描述；

S302：结合所述功能安全要求及逻辑规则并根据可靠性框图模型或者马尔科夫模型来验证安全仪表系统是否达到了所选择的安全完整性等级。

其中，所述步骤S4中，改变安全仪表系统的组成结构具体包括：通过改变安全仪表系统中的可编程逻辑控制器的接线来改变逻辑控制器的表决结构。

其中，所述步骤S4中，改变安全仪表系统的组成结构具体包括：改变传感器单元的表决结构。

其中，所述步骤S4中，改变安全仪表系统的组成结构具体包括：采用不同隔离措施，在不同的通道采用单独的逻辑控制，并将紧急切断阀置于不同柜中，且每个阀门均采用不同的动力源，各个阀门之间隔开。

其中，所述步骤S4中，改变安全仪表系统组成设备具体包括：将目前所采用的设备更换为由不同的制造商根据不同的原理、基于不同的设计思路所制造的设备。

(三)有益效果

本发明技术方案所提供的安全仪表系统的功能安全评估方法，能够模拟实现安全仪表系统监控各种形式的受控系统的功能安全执行状况，包括各种安全运行监控参数，如温度、压力、流量等等，为研究在役的安全仪表系统的可靠性提供试验环境，然后由作为评估对象的安全仪表系统对该试验环境进行功能安全控制，从而可以根据本发明技术方案所提供的具体流程步骤来有效地对该安全仪表系统进行评估。此外，本发明技术方案所针对的安全仪表系统能够根据所研究的具体情况而改变其组成结构、组成设备等，以适应不同的应用环境和应用要求，并据此可以分析不同情况下，安全仪表系统的共因失效特征的变化情况，为共因效应课题的研究工作提供相当重要的依据。

此外，本发明技术方案所提供的安全仪表系统的功能安全评估方法，采用风险矩阵或风险图来选择确定安全完整性等级，通过提出的功能安全要求以及逻辑规则描述，可以基于马尔可夫模型或可靠性框图来针对安全仪表系统来进行安全完整性等级验证。

此外，本发明技术方案具备一定的扩展能力，除可接入雷击浪涌、静电等发生设备外，还可接入新的试验装置以对实际系统进行更好的模拟。另外，在HMI(Human Machine Interface-人机接口)的功能开发上也可以容纳更多的模拟监控参数。

附图说明

图1-1～1-2为确定安全完整性等级的原理示意图；

图2-1～2-3为验证安全完整性等级的原理示意图；

图3为本发明具体实施方式所涉及的安全仪表系统的功能安全评估方法流程图；

图4为本发明具体实施方式所涉及的安全监控单元的示意图；

图5为本发明技术方案所涉及的计算机主监视画面示意图；

图6为本发明技术方案所涉及的在计算机主监视画面上进行状态参数临界值设置的示意图。

具体实施方式

为使本发明的目的、内容、和优点更加清楚，下面结合附图和实施例，对本发明的具体实施方式作进一步详细描述。

如图3所示，关于本发明所提供的安全仪表系统的功能安全评估方法，其包括：

S1：安全仪表系统对受控系统进行功能安全控制；

该步骤具体包括如下步骤：

S101：根据人机交互装置所输入的外部指令预先设置受控系统正常运行时的状态参数临界值；

所述当前状态参数包括温度、压力及液位；对应地，所述传感器单元包括温度传感器、压力传感器以及液位传感器。

所述模拟单元可为模拟储罐，尺寸为Φ40cm×65cm，内部设置有温度传感器、压力传感器及液位传感器中的一种或多种、进出水口以及充排气阀门，该模拟储罐以水来模拟危险化学品液体储存介质，通过采用循环热水来模拟储罐高温，通过充气阀门向储罐内充入过量压缩气体来模拟超压；罐的底部设有1个进水口和1个出水口，底部设有1个排放阀门，通过罐内水位的变化来模拟储罐内介质的输入、输出过程，并模拟超液位。

S103：将所述当前状态参数或超载状态参数转换成数字信号，并通过可编程逻辑控制器将其与预设的状态参数临界值进行比较，生成是否超出临界值的判断结果；根据所述判断结果输出受控系统的功能安全状态信号。

所述可编程逻辑控制器属于安全监控单元，所述安全监控单元包括：参数临界值预设单元，用于根据外部指令预设所述状态参数临界值；参数临界值判断单元，包括所述可编程逻辑控制器，连接所述模拟单元以及所述参数临界值预设单元，用于结合所述预设的参数临界值来与所述模拟单元所模拟的当前状态参数或超载状态参数进行比较，判断所模拟的当前状态参数是否超过预设的临界值，并生成判断结果；状态展示面板，连接参数临界值判断单元，用于根据所述判断结果来输出受控系统的功能安全状态信号；所述功能安全状态信号包括：安防红外状态信号、危险工况状态信号、模拟单元外环境状态信号以及消防报警状态信号；所述状态展示面板对应设置有安防红外报警指示灯、危险工况报警指示灯、模拟单元外环境报警指示灯以及消防报警指示灯。如图4所示，所述安全监控单元从左至右依次包括参数临界值判断单元：逻辑控制器PLC、继电器、控制电源和端子排；安防红外报警指示灯；危险工况参数报警指示灯：模拟单元内温度、压力、液位等；模拟单元外环境报警指示灯：温度、湿度、气体泄漏(用CO₂模拟可燃气体)、风速；消防报警指示灯：明火、烟感。

所述安全监控单元还包括视频监视器，其设置于所述模拟单元位置附近，连接所述外环境报警指示灯，和红外探测属于重大危险源的安全防范系统，用于感应并输出所述模拟单元的运行情况及周边环境信息。

所述安全监控单元还包括人机交互界面，所述人机交互界面用于根据外部指令来指示所述参数临界值预设单元进行参数临界值预先设置，同时所述人机交互界面还包括展示所述判断结果、所述模拟单元的运行情况以及模拟单元周边环境信息的监控界面。

S2：采用风险矩阵或风险图对所述安全仪表系统进行初始风险分析，确定安全完整性等级；

S3：对安全仪表系统提出功能安全要求，并给以逻辑规则描述，并结合所述功能安全要求及逻辑规则并根据可靠性框图模型或者马尔科夫模型来验证安全仪表系统是否达到步骤S2中所确定的安全完整性等级。

所述步骤S4中，改变安全仪表系统的组成结构具体可以包括：通过改变安全仪表系统中的可编程逻辑控制器的接线来改变逻辑控制器的表决结构，例如由1oo1升级为1oo2。

所述步骤S4中，改变安全仪表系统的组成结构具体还可以包括：改变传感器单元的表决结构，由1oo1改为为2oo2，再重新进行功能安全测试和评估，研究改变了结构的安全仪表系统的SIL等级是如何变化的。

所述步骤S4中，改变安全仪表系统的组成结构具体还可以包括：采用不同隔离措施，在不同的通道采用单独的逻辑控制，并将紧急切断阀置于不同柜中，且每个阀门均采用不同的动力源，各个阀门之间隔开，从而来研究系统共因失效的变化。

所述步骤S4中，改变安全仪表系统组成设备具体包括：将目前所采用的设备更换为由不同的制造商根据不同的原理、基于不同的设计思路所制造的设备。采用多样性措施，例如不同原理、不同制造商、不同设计组，不同的软件模块。管理组织的多样性，尤其是维护过程中的多样性等等，来研究系统共因失效的变化。

综合上述实施实施方式所提供的技术方案，下面描述本发明技术方案所实现的效果展示，该效果由计算机监控画面体现，双击程序图标后即进入安全仪表系统的监控装置的主监视画面，关闭窗口即退出系统。具体包括：(1)工况监控：工况监控位于主监控画面，如图5及图6所示，其中，图5中，画面上包括温度、压力、液位高限、气体泄漏、液位低限以及流速等危险工况参数报警指示灯，环境温度、环境湿度、风速、静电以及雷击等模拟单元外环境报警指示灯，以及明火和烟感等消防报警指示灯；此外，还包括“开阀”、“关阀”、“启泵”、“停泵”、“参数设置”以及“退出”等操作按钮。画面上动态显示液位的变化情况，还显示罐内温度、压力、流速和气体泄漏等状态参数，操作人员可以设置状态参数的临界报警值，一旦模拟单元模拟所得到的安全仪表系统的当前状态参数值超过该临界报警值，则以闪烁的红灯显示报警；在画面上还设有泵、阀的启停按钮，使操作人员可以通过HMI控制罐内液位；另外，在操作台上设置了一个手动停泵按钮，以便模拟在紧急情况下(如计算机控制系统失效)的手动操作；(2)外环境监测：外环境监测的参数也显示于主监控画面上；基本环境参数主要有温度、湿度、风速，该监控装置还设置了外环境的雷击和静电危害监测和报警指示，各个外环境监测参数均以闪烁的红灯显示报警，同时在上述安全监控单元上也有相应的显示；(3)消防监控：消防监控参数也显示于主监控画面上，在遇有明火和烟气的情况下，监控画面上的红色指示灯闪烁报警，上述安全监控单元上的明火、感烟报警器探测器的红色指示灯也有相应显示；(4)安防防护：因为危险化学品储罐通常为重大危险源，而重大危险源要求安装摄像头和红外对射装置，本监控系统也针对储罐安装了摄像头和红外报警器，一旦有人进入储罐附近，射频显示器将会显示，同时红外发出报警。

综上所述，本发明技术方案所提供的安全仪表系统功能安全评估系统及方法，通过建立一个模拟单元及其安全监控单元，能够模拟实现安全仪表系统监控各种形式的受控系统的功能安全执行状况，包括各种安全运行监控参数，如温度、压力、液位、流量等等，为研究在役的安全仪表系统的可靠性提供试验环境，然后由作为评估对象的安全仪表系统对该试验环境进行功能安全控制，从而可以根据本发明技术方案所所提供的具体流程步骤来有效地对该安全仪表系统进行评估。此外，本发明技术方案所针对的安全仪表系统能够根据所研究的具体情况而改变，例如改变安全仪表系统的组成结构、组成设备等，以适应不同的应用环境和应用要求，比如改变逻辑控制器的接线，由1oo1升级为1oo2，或者改变传感器子系统的结构，由1oo1升级为1oo3，再重新进行试验测试和功能安全评估。据此可以分析不同情况下，安全仪表系统的共因失效特征的变化情况，为共因效应课题的研究工作提供相当重要的依据。

此外，本发明技术方案所提供的安全仪表系统的功能安全评估方法，采用风险矩阵或风险图完成安全仪表系统的安全完整性等级选择，通过提出的功能安全要求以及逻辑规则描述，可以基于马尔可夫模型或可靠性框图来针对安全仪表系统进行安全完整性等级验证。

此外，本发明技术方案具备一定的扩展能力，除可接入雷击浪涌、静电等发生设备外，还可接入新的试验装置以对实际系统进行更好的模拟。另外，在HMI的功能开发上也可以容纳更多的模拟监控参数。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明技术原理的前提下，还可以做出若干改进和变形，这些改进和变形也应视为本发明的保护范围。

Claims

1.一种安全仪表系统的功能安全评估方法，其特征在于，所述功能安全评估方法包括：

S1：安全仪表系统对受控系统进行功能安全控制；

2.如权利要求1所述的安全仪表系统的功能安全评估方法，其特征在于，所述步骤S1中，具体包括如下步骤：

S104：根据所述判断结果输出受控系统的功能安全状态信号。

3.如权利要求2所述的安全仪表系统的功能安全评估方法，其特征在于，所述步骤S102中的当前状态参数包括温度、压力及液位；

4.如权利要求2所述的安全仪表系统的功能安全评估方法，其特征在于，所述步骤S103中，通过可编程逻辑控制器进行比较，并生成判断结果。

5.如权利要求1所述的安全仪表系统的功能安全评估方法，其特征在于，所述步骤S2中对模拟单元进行初始风险分析，采用风险矩阵或风险图来选择确定安全完整性等级。

6.如权利要求1所述的安全仪表系统的功能安全评估方法，其特征在于，所述步骤S3中，具体包括如下步骤：

7.如权利要求1所述的安全仪表系统的功能安全评估方法，其特征在于，所述步骤S4中，改变安全仪表系统的组成结构具体包括：通过改变安全仪表系统中的可编程逻辑控制器的接线来改变逻辑控制器的表决结构。

8.如权利要求1所述的安全仪表系统的功能安全评估方法，其特征在于，所述步骤S4中，改变安全仪表系统的组成结构具体包括：改变传感器单元的表决结构。

9.如权利要求1所述的安全仪表系统的功能安全评估方法，其特征在于，所述步骤S4中，改变安全仪表系统的组成结构具体包括：采用不同隔离措施，在不同的通道采用单独的逻辑控制，并将紧急切断阀置于不同柜中，且每个阀门均采用不同的动力源，各个阀门之间隔开。

10.如权利要求1-9任一项所述的安全仪表系统的功能安全评估方法，其特征在于，所述步骤S4中，改变安全仪表系统组成设备具体包括：将目前所采用的设备更换为由不同的制造商根据不同的原理、基于不同的设计思路所制造的设备。