安全儀表系統(tǒng)中傳感器冗余配置方式的分析

楊永光，金常青，崔黎寧，王曉莉

(1． 中石化中原設計研究院，河南 濮陽 457001；2． 濮陽金盾消防有限公司，河南 濮陽 457001)

近年來，隨著人們對安全生產(chǎn)的重視，安全儀表系統(tǒng)SIS(Safety Instrumented System)在石油化工及天然氣行業(yè)使用越來越多。石油化工及天然氣裝置的事故不僅會對人民的生命安全和財產(chǎn)造成巨大損害，而且可能對生態(tài)環(huán)境造成不可彌補的危害。設備的冗余配置方法是提高安全的主要方法，筆者運用概率學，分析了SIS中傳感器各種冗余配置的特點。

1 SIS的組成

根據(jù)IEC 61511的定義[1]，SIS是指用來實現(xiàn)一個或幾個儀表安全功能的儀表系統(tǒng)，通常由傳感器、邏輯控制器和最終執(zhí)行元件組成。儀表安全功能既可以是一個儀表安全保護功能，也可以是一個儀表安全控制功能。SIS可以包括或不包括軟件及人的動作。SIS的安全完整性等級(SIL)是由傳感器、邏輯運算器、最終執(zhí)行元件等各大組成部件的SIL共同決定的，當人的動作是SIS的一部分時，在SIL計算和分析時，應計算操作員動作的可用性和可靠性。

2 SIS的安全完整性等級

SIS的等級用SIL來表示[1]，SIL是用來規(guī)定分配給SIS的儀表安全功能的安全完整性要求的離散等級(4個等級中的一個)。SIL4是安全完整性的最高等級，SIL1為最低等級。

組成SIS各環(huán)節(jié)自身出現(xiàn)故障或失效的概率不可能為零。使SIS處于潛在危險或喪失儀表安全功能狀態(tài)的失效被稱為危險失效(Dangerous Failure)；不會使SIS處于潛在危險或喪失儀表安全功能狀態(tài)的失效被稱為安全失效(Safe Failure)。文中在無特殊說明情況下說的失效均指危險失效。

不同SIL的SIS有不同的危險失效概率目標值。在低要求操作模式時[2]，安全儀表功能的SIL用平均失效概率衡量，見表1所列。SIS的低要求操作模式是指安全儀表功能被執(zhí)行次數(shù)不大于每年一次。通常石油化工工廠和裝置的SIS工作于低要求操作模式。

表1 低要求操作模式的平均失效概率

在高要求操作模式時，安全儀表功能的SIL用每小時危險失效概率衡量，見表2所列。SIS的高要求操作模式是指在要求模式下SIS的動作頻率大于每年一次。對于帶有連續(xù)操作或動作頻繁的安全儀表功能，屬于高要求操作模式。

表2 高要求操作模式的危險失效概率

3 傳感器的冗余配置

按照SIS設計流程，通過標準、規(guī)范或風險分析(危險與可操作性研究方法——HAZOP，預危險分析方法——PHA)確定所需要的系統(tǒng)SIL要求，然后根據(jù)SIL選擇合適的邏輯控制器、傳感器和最終執(zhí)行元件。在不考慮人為操作環(huán)節(jié)的情況下，SIS部分由傳感器、邏輯控制器和最終執(zhí)行元件組成，各部分串聯(lián)連接，設傳感器部分的失效概率為P(A)，邏輯控制器部分的失效概率為P(L)，最終執(zhí)行元件部分的失效概率為P(E)，那么SIS的失效概率P(X)=P(A)+P(L)+P(E)。由此可見，SIS的SIL由傳感器、邏輯控制器和最終執(zhí)行元件共同決定，平均失效概率最高的子系統(tǒng)將決定整個SIS的SIL。當單通道傳感器的失效概率不能滿足SIS的SIL要求時，必須通過冗余配置的方式來提高傳感器子系統(tǒng)的SIL，常用的冗余配置方式有“二選一”，“二選二”和“三選二”[3-4]。

3．1 冗余傳感器安全完整性分析

在IEC 61508-6中，規(guī)范給出了計算低要求操作模式下平均失效概率的示例[5]，但計算基于眾多假設，規(guī)范以表格的形式給出了在冗余方式、診斷覆蓋率(Diagnostic Coverage)、共因失效分數(shù)(Common Cause Failure)和子系統(tǒng)中一個通道的失效率P(a)多參數(shù)影響下的系統(tǒng)平均失效概率。因其計算方法中包含多個參數(shù)，所以各冗余配置方式的對比結(jié)論并不直觀，現(xiàn)以低要求操作模式下的SIS為例，用概率方法來分析各種冗余方式下的子系統(tǒng)的平均失效概率。為了方便分析，假設傳感器子系統(tǒng)中一個通道的平均失效概率P(a)=2×10-2，診斷覆蓋率為100%，共因失效分數(shù)為0．0。根據(jù)表1知： 單個這樣的傳感器只能達到SIL1，如果要構(gòu)成SIL2的SIS，必須通過冗余配置方式實現(xiàn)。設a1為傳感器S1的危險失效事件，傳感器S1的失效概率為P(a1)；a2為傳感器S2的危險失效事件，傳感器S2的失效概率為P(a2)；a3為傳感器S3的危險失效事件，傳感器S3的失效概率為P(a3)。因共因失效分數(shù)為0．0，所以a1，a2和a3互為獨立事件[6]。

1) 當采用“二選一”冗余配置方法時，傳感器子系統(tǒng)由2個并聯(lián)的傳感器構(gòu)成，無論哪個傳感器都能處理安全功能。因此，當且僅當2個傳感器同時失效時，傳感器子系統(tǒng)才認為安全功能失效，那么“二選一”冗余傳感器子系統(tǒng)的失效概率：

P(A1oo2)=P(a1a2)=P(a1)P(a2|a1)=

4×10-4

因此，通過采用“二選一”冗余配置的方法，可降低傳感器子系統(tǒng)的失效概率，提高了傳感器子系統(tǒng)的SIL。

2) 當采用“二選二”的冗余配置時，傳感器子系統(tǒng)由2個并聯(lián)的傳感器構(gòu)成，但在子系統(tǒng)發(fā)生安全功能之前2個傳感器都要求安全功能，當任一傳感器失效時，傳感器子系統(tǒng)安全功能將失效，所以：

P(A2oo2)=P(a1∪a2)=P(a1)+P(a2)-P(a1a2)=3．96×10-2

因此，采用傳感器“二選二”的冗余配置方式時，傳感器子系統(tǒng)的失效概率不但不會減少，反而會增加，所以傳感器“二選二”的配置方式不會提高整個系統(tǒng)的SIL。

3) 當采用傳感器“三選二”的冗余配置方式時，3個傳感器并聯(lián)實現(xiàn)安全功能，當僅有1個傳感器失效時，傳感器子系統(tǒng)仍可實現(xiàn)安全功能，當任意2個傳感器失效或3個傳感器都失效時，傳感器子系統(tǒng)安全功能失效。采用全概率分析法[6]，將傳感器子系統(tǒng)的失效分為兩種情況： 在傳感器S1發(fā)生失效的情況，此時S2和S3至少有一個傳感器失效則傳感器子系統(tǒng)失效；在傳感器S1未失效的情況，此時只有當S2和S3同時失效時，傳感器子系統(tǒng)失效。所以：

因此，采用傳感器“三選二”的冗余配置方式也可降低傳感器子系統(tǒng)的失效概率，從而提高傳感器子系統(tǒng)的SIL。

3．2 冗余傳感器可靠性分析

在設計SIS時，除了關(guān)注SIS的安全等級外，通常還需要考慮系統(tǒng)的可靠性，若SIS的子系統(tǒng)安全失效(通常指的誤動作)，將引起SIS執(zhí)行安全功能，則可能會造成一定的經(jīng)濟損失。安全失效概率是衡量SIS可靠性的重要指標?，F(xiàn)對三種傳感器冗余配置方式進行安全故障概率分析，為了方便分析，同樣假設傳感器子系統(tǒng)中1個通道的安全失效概率P(b)=2×10-2，診斷覆蓋率為100%，共因失效分數(shù)為0．0。設b1為傳感器S1安全失效事件，傳感器S1的安全失效概率為P(b1)；b2為傳感器S2安全失效事件，傳感器S2的安全失效概率為P(b2)；b3為傳感器S3安全失效事件，傳感器S3的安全失效概率為P(b3)。因共因失效分數(shù)為0．0，所以b1，b2和b3互為獨立事件。

1) 當采用“二選一”冗余配置方法時，2個并聯(lián)的傳感器無論哪個傳感器產(chǎn)生安全失效，傳感器子系統(tǒng)將給出安全聯(lián)鎖信號，所以傳感器“二選一”冗余配置方式時，傳感器子系統(tǒng)的安全故障失效概率：

P(B1oo2)=P(b1∪b2)=3．96×10-2

因此，采用“二選一”的傳感器冗余方式時，傳感器子系統(tǒng)與單通道的傳感器相比安全失效概率會升高，其可靠性會下降。

2) 當采用“二選二”的冗余配置方式時，1個傳感器發(fā)生安全失效時，傳感器子系統(tǒng)不會發(fā)出安全聯(lián)鎖信號，只有當2個并聯(lián)的傳感器同時發(fā)生安全失效時，傳感器子系統(tǒng)才產(chǎn)生安全聯(lián)鎖信號，故“二選二”冗余配置方式的傳感器子系統(tǒng)的安全故障概率：

P(B2oo2)=P(b1b2)=P(b1)P(b2|b1)=4×10-4

因此，采用“二選二”的傳感器冗余方式，傳感器子系統(tǒng)與單通道的傳感器相比安全失效概率會降低，其可靠性會增強。

3) 當采用“三選二”的冗余配置方式時，單一1個傳感器發(fā)生安全失效，傳感器子系統(tǒng)不會發(fā)出安全聯(lián)鎖信號，當2個或3個傳感器發(fā)生安全失效時，傳感器子系統(tǒng)才產(chǎn)生安全聯(lián)鎖信號。同樣采用全概率分析法，將傳感器子系統(tǒng)的失效分為兩種情況： 在傳感器S1發(fā)生安全失效的情況，此時S2和S3至少有1個傳感器失效則傳感器子系統(tǒng)安全失效；在傳感器S1正常的情況下，只有當S2和S3同時安全失效時，傳感器子系統(tǒng)才安全失效，所以“三選二”冗余配置方式下傳感器子系統(tǒng)的安全故障概率：

因此，采用“三選二”的傳感器冗余方式，傳感器子系統(tǒng)與單通道的傳感器相比安全失效概率會降氏，其可靠性會增強。

以上在分析各種冗余配置的傳感器安全性和可靠性時，假設了各傳感器之間不存在共因失效[7]。但實際情況中，由于各冗余傳感器一般為同一類型的傳感器且安裝位置和工況條件一樣，因而應該存在共因失效因數(shù)，但共因失效因數(shù)的存在不影響對各種冗余配置方法的分析。

4 結(jié)束語

筆者通過概率計算的方法，分析了傳感器各種冗余方式的特點，見表3所列。

表3 各種冗余方式傳感器的特點

筆者認為當系統(tǒng)要求高安全性時，應采用傳感器“二選一”冗余方式；當系統(tǒng)要求高可用性時，應采用傳感器“二選二”冗余方式；當系統(tǒng)的安全性和可用性均需保障時，宜采用傳感器“三選二”的冗余方式。不過傳感器子系統(tǒng)最終采用什么冗余方式還需進行整個SIS安全完整性驗算，不排除會用到“三選一”或“四選二”的冗余方式。

參考文獻：

[1] BSI． BS IEC 61511 Functional Safety-safety Instrumented systems for the Process industry Sector-Part 1～3[S]．BSI, 2003．

[2] 黃步余，葉向東，范宗海，等． GB/T 50770—2013 石油化工安全儀表系統(tǒng)設計規(guī)范[S]．北京： 中國計劃出版社，2013．

[3] 李勝利，盧金芳．石油化工裝置安全儀表系統(tǒng)的設計[J]．石油化工自動化，2007，43(02)： 5-8．

[4] 尚柏鑫． 石油化工裝置安全儀表系統(tǒng)設計探討[J]．河南化工，2008，25(02)： 47-49．

[5] IEC．IEC 61508 Functional Safety of Electrical/Electronic/Programmable Electronic Safety-related Systems-part 1～7[S]．IEC, 2010．

[6] 盛驟,謝式千,潘承毅．概率論與數(shù)理統(tǒng)計[M]．2版．北京： 高等教育出版社，1997： 18-28．

[7] 劉瑤．安全儀表系統(tǒng)中的共因失效[J]．儀器儀表標準化與計量，2009(06)： 15-18．

[8] 王奉立． 安全儀表系統(tǒng)(SIS)在石化裝置上的應用[J]．儀器儀表標準化與計量，2010(01)： 16-20．

[9] 郭海濤，陽憲惠． 安全系統(tǒng)的安全完整性水平及其選擇[J]．化工自動化及儀表． 2006,33(02)： 71-75．

[10] 薛東勝． 從國際標準看安全系統(tǒng)的設計(一)[J]．石油化工設計，2008,25(03)： 8-12．

[11] 薛東勝． 從國際標準看安全系統(tǒng)的設計(二)[J]．石油化工設計，2008,25(04)： 11-13．