在役LNG接收站的SIS系統(tǒng)再驗證

袁小軍，魯毅，鄭士富

（1風(fēng)控 （北京）工程技術(shù)有限公司IRC，北京100025；2廣東大鵬液化天然氣有限公司，廣東 深圳510848）

引 言

廣東大鵬LNG接收站作為中國最早投用的LNG接收站，在5年的高負荷運行后中新增并改造了部分設(shè)備及安全儀表功能回路 （safety instrumented functions，SIF），為確保接收站功能安全儀表系統(tǒng) （safety instrumented system，SIS）的完整性以及高負荷生產(chǎn)的安全性對所有生產(chǎn)設(shè)施及管線場站進行了危險及可操作性 （hazard and operability study，HAZOP）分析，并在HAZOP分析的基礎(chǔ)上進行了SIL定級及再驗證 （SIL classification and re－validation）工作。本文以SIL再驗證工作為例介紹SIL驗算／再驗證在在役裝置中的應(yīng)用，以及如何通過敏感性分析優(yōu)化SIS系統(tǒng)配置與校驗管理，滿足企業(yè)風(fēng)險可接受標(biāo)準(zhǔn)，最后總結(jié)并展望了實施SIL驗算工作中的技術(shù)難點和未來的技術(shù)方向。

1 介紹

石油天然氣及流程工業(yè)具有高風(fēng)險、高投資、流程連續(xù)且復(fù)雜的行業(yè)特點。隨著裝置的大型化、復(fù)雜化，國內(nèi)外災(zāi)難性事故仍然時有發(fā)生。由于全球信息網(wǎng)絡(luò)化的進展，這些事故往往引起全球性的關(guān)注，對生產(chǎn)企業(yè)造成前所未有的巨大壓力。

近年來，隨著AQ／T 3034—2011 《化工企業(yè)工藝安全管理實施導(dǎo)則》為代表的一系列工藝安全管理［1］標(biāo)準(zhǔn)及相應(yīng)技術(shù)規(guī)范的引入及發(fā)布，危險及可操作性分析 （HAZOP）等分析方法在國內(nèi)得到推廣和廣泛接受，石油天然氣及流程工業(yè)的整體安全水平不斷提高。作為一種風(fēng)險分析方法，HAZOP分析可以系統(tǒng)地梳理工藝流程中各種潛在的危害，并提出合理可行的風(fēng)險消減／緩解措施，以期將企業(yè)／裝置的風(fēng)險降低到企業(yè)風(fēng)險可接受標(biāo)準(zhǔn)［2］之內(nèi)。但是HAZOP作為定性分析方法存在局限性，即當(dāng)識別出后果嚴(yán)重性較大的風(fēng)險時，HAZOP分析無法判斷各類措施對風(fēng)險的削減程度，也無法判斷剩余風(fēng)險與風(fēng)險可接受標(biāo)準(zhǔn)間的差距，因此需要通過保護層 （LOPA）分析［3］或其他半定量／定量風(fēng)險分析方法幫助企業(yè)進行風(fēng)險決策。

當(dāng)識別出的風(fēng)險場景涉及安全儀表系統(tǒng) （SIS）時，通過SIL定級分析 （layers of protection analysis，LOPA方法）來評估獨立保護層在削減事件可能性或事件嚴(yán)重性時的有效性，以此來確定SIS系統(tǒng)的風(fēng)險降低目標(biāo)，即安全完整性等級（safety integrity level，SIL）。通過SIL驗算，根據(jù)SIF回路中各組成部分的PFDavg（probability of failure on demand，要求時平均失效概率）計算回路整體的要求時失效概率，并充分考慮SIF回路的硬件結(jié)構(gòu)約束特性，確認SIF回路能否達到所需的SIL等級要求［4］。

本文以廣東大鵬LNG接收站運行5年后的SIL定級與再驗證工作為例介紹SIL分析 （SIL定級及驗算）在在役裝置分析中的方法及技術(shù)難點，以及如何通過敏感性分析方法優(yōu)化系統(tǒng)配置，滿足企業(yè)風(fēng)險可接受標(biāo)準(zhǔn)。

2 HAZOP分析與SIL定級

在SIL驗算工作開展前，先行對接收站現(xiàn)有設(shè)施及改造部分進行了危險與可操作性分析（HAZOP）以及SIL定級分析 （LOPA方法）。HAZOP作為一種系統(tǒng)化、結(jié)構(gòu)化的危害識別工具，已經(jīng)廣泛用于識別裝置在設(shè)計和操作階段的工藝危害。HAZOP分析由一組多專業(yè)背景的人員，以會議的形式，將裝置劃分為若干小的節(jié)點，使用一系列參數(shù)和引導(dǎo)詞構(gòu)建偏差，采用頭腦風(fēng)暴的方式對工藝過程中危險和可操作性的問題進行分析研究。

本次 分 析 SIL 定 級 采 用 LOPA 法［5］，在HAZOP分析完成后由同一小組繼續(xù)進行分析。LOPA分析過程基于HAZOP分析的內(nèi)容［6］，針對每個可置信初始事件確定其后果嚴(yán)重程度，并對初始事件的發(fā)生概率［7］、使能條件、修正因子［8］、獨立保護層等進行分析。SIL定級分析涵蓋了LNG接收站、管線及閥室和改造部分內(nèi)所有的初始事件。應(yīng)用PSMSuite?軟件中的LOPA模塊對初始事件概率、獨立保護層削減概率等進行賦值計算，確定SIF回路的SIL等級，并與設(shè)計階段的SIL定級結(jié)果 （圖表法）進行了對比。

通過比較發(fā)現(xiàn)，對LNG行業(yè)來說，由于設(shè)計階段對系統(tǒng)的安全性要求較高，絕大多數(shù)風(fēng)險場景都有一個以上的風(fēng)險減緩／消除措施。由于圖表法自身的局限性［9］，對多個風(fēng)險減緩／消除措施同時存在情況下的剩余風(fēng)險評估不夠準(zhǔn)確，使用圖表法分析得出的SIL等級相對保守，會導(dǎo)致過度設(shè)計，增加投資成本。因此，設(shè)計階段及在役裝置的SIL定級評估通常采用保護層LOPA分析方法。

表1 SIL等級Table 1 SIL Level

3 SIL驗算方法概述

1998年，國際電工技術(shù)委員會 （IEC）針對自動化儀表產(chǎn)品開發(fā)應(yīng)用提出了IEC 61508—1998［10］（GB 20438—2006《電氣／電子／可編程電子安全相關(guān)系統(tǒng)的功能安全》）標(biāo)準(zhǔn)，2003年提出了IEC 61511—2003［11］（GB 21109—2007 《過程工業(yè)領(lǐng)域安全儀表系統(tǒng)的功能安全》）標(biāo)準(zhǔn)，對安全儀表系統(tǒng) （SIS）的框架、定義、系統(tǒng)、硬件和軟件，包括安全完整性等級 （SIL），提出了明確的要求。

根據(jù)IEC 61508標(biāo)準(zhǔn)規(guī)定，安全完整性等級（SIL）共分為4個等級 （SIL級別越高，完整性等級越高），并且涵蓋了兩種模式 （低需求模式及高需求模式）。低需求模式 （low demand mode）：由于工藝條件的變化 （如高液位、高壓、高溫或低溫），并且達到一個指定的閾值，使得SIS聯(lián)鎖系統(tǒng)為了實現(xiàn)儀表安全功能而將工藝聯(lián)鎖至安全狀態(tài)（如停車），而且這種SIS聯(lián)鎖系統(tǒng)動作需求的頻率低于1年1次。高需求模式 （high demand mode）：SIS聯(lián)鎖系統(tǒng)動作需求的頻率高于1年1次，或者在一個功能測試間隔中超過2次。對于流程工業(yè)中的緊急停車聯(lián)鎖 （emergency shutdown devices，ESD），考慮其需求頻率，一般采用低需求模式進行分析。見表1。

3.1 安全儀表功能 （SIF）構(gòu)成

SIF回路主要由以下部分構(gòu)成：

· 檢測單元 （傳感器），用于指示操作條件是否超過設(shè)計允許范圍的一個或一組設(shè)備 （如壓力變送器）；

· 邏輯解算器 （控制器），用于SIS系統(tǒng)邏輯判斷的電子電氣或可編程設(shè)備 （PLC）；

· 執(zhí)行單元 （執(zhí)行器），用于干預(yù)流程削減風(fēng)險的一個或一組設(shè)備 （如關(guān)斷閥）。

安全儀表系統(tǒng)通常包括緊急停車系統(tǒng) （ESD）、火焰燃燒管理系統(tǒng) （burner management system，BMS）、高完整性壓力保護系統(tǒng) （high integrity pressure protection system，HIPPS）和火災(zāi)報警及可燃氣檢測系統(tǒng) （fire and gas detection system，F(xiàn)GS）等。

3.2 驗算方法選擇

根據(jù)SIF系統(tǒng)的結(jié)構(gòu)組成，對每一SIF回路的PFDavg（要求時平均失效概率）數(shù)值進行計算，并進一步審查硬件結(jié)構(gòu)約束特性，以考察SIF是否能夠達到IEC 61508／IEC 61511中對應(yīng)SIL等級的可靠性的要求。PFDavg計算中需考慮失效率 （λ）、表決機制 （MooN）、檢驗測試覆蓋率 （CTI）、檢驗測試間隔 （TI）、平均修復(fù)時間 （MTTR）、共因失效因子 （β）等因素［12］的影響。

目前普遍采用的SIL驗算方法［13］主要包括以下幾種：

·采用簡化方程式確定安全儀表功能的SIL等級；

·采用故障樹分析確定安全儀表功能的SIL等級；

·采用馬爾可夫分析確定安全儀表功能的SIL等級。

其中馬爾可夫模型 （Markov Model）具有計算精度高、順序關(guān)聯(lián)、動態(tài)反映、對設(shè)備之間依賴性影響小、考慮詳細全面等優(yōu)點，因此本次驗算工作采用馬爾可夫模型進行。

3.3 名詞定義

3.3.1 操作模式 在以石化產(chǎn)業(yè)為代表的過程工業(yè)中，SIS系統(tǒng)通常用作基本過程控制系統(tǒng) （basic process control system，BPCS）之外的獨立保護層，如緊急停車系統(tǒng) （ESD）。只有當(dāng)BPCS的常規(guī)控制和操作員手動干預(yù)無效時才會產(chǎn)生對ESD系統(tǒng)的操作要求。如液位高報警時，通常BPCS的常規(guī)控制和操作員手動干預(yù)會通過關(guān)小進料閥和／或開大出料閥進行調(diào)整，如果調(diào)整無效，液位達到高高限 （操作要求），則會觸發(fā)SIS系統(tǒng)發(fā)出聯(lián)鎖動作響應(yīng)，關(guān)閉進料閥和／或打開出料閥。在SIS聯(lián)鎖動作中這種操作要求出現(xiàn)的頻率非常低，在絕大部分運行時間內(nèi)SIS是處于 “休眠”狀態(tài)的。因此，可視其為低需求模式［14］。本次評估亦選定低需求模式。

3.3.2 PFDavg（要求時平均失效概率） 根據(jù)IEC標(biāo)準(zhǔn)，E／E／PE （電氣／電子／可編程電子）安全相關(guān)系統(tǒng)的安全功能PFDavg［15］是通過計算和組合提供安全功能的所有子系統(tǒng)PFDavg確定的，它可以表示為：

·PFDSYS——E／E／PE安全相關(guān)系統(tǒng)的安全功能PFDavg；

·PFDS——傳感器子系統(tǒng)PFDavg；

·PFDL——邏輯子系統(tǒng)PFDavg；

·PFDFE——最終元件子系統(tǒng)PFDavg。

3.4 分析流程

分析流程如圖1所示。

3.5 敏感性分析

一個SIF回路的SIL等級是由SIF中3個單元（即傳感器、邏輯處理器和執(zhí)行機構(gòu)）的PFD共同確定的。每個單元的PFD受以下參數(shù)影響和制約［16］：①失效率；②表決機制；③檢驗測試覆蓋率；④檢驗測試間隔 （TI）；⑤平均修復(fù)時間（MTTR）；⑥共因失效因子 （β）等。

驗算結(jié)果不滿足SIL等級要求的SIF回路可以調(diào)整優(yōu)化其中部分參數(shù)，例如縮短檢驗測試間隔（TI）［17］；完善測試方法，提高檢驗測試覆蓋率；增加最終執(zhí)行機構(gòu) （關(guān)斷閥）的部分行程測試PST功能等；對SIF回路重新進行冗余配置；或選擇高可靠性的硬件，并基于優(yōu)化后的參數(shù)再次驗算是否滿足SIL定級的要求。

優(yōu)化后的參數(shù)不僅可以指導(dǎo)SIF的設(shè)計，也將成為SIS系統(tǒng)未來運行中測試、校驗、維護的依據(jù)。

3.6 分析軟件

本次驗算采用工藝安全管理軟件PSMSuite?中的SIL驗算模塊 （安全完整性等級驗算），基于馬爾可夫模型。

軟件的開發(fā)與應(yīng)用符合：

·IEC 61508Functional Safety of Electrical／Electronic／Programmable Electronic Safety－related Systems；

·IEC 61511Functional Safety －Safety Instrumented Systems for the Process Industry Sector；

· 美國OSHA PSM 29CFR 1910.119。

4 分析結(jié)果

一般來說，對在役裝置進行SIL驗算，最為可靠也最能反映系統(tǒng)真實現(xiàn)狀的方法是考慮使用裝置運行階段各元器件的失效、測試相關(guān)數(shù)據(jù)［18］用于分析。但是，在實際分析過程中，雖然企業(yè)自身的數(shù)據(jù)收集及記錄已經(jīng)相對較為完善，但由于失效數(shù)據(jù)樣本數(shù)量不足，其標(biāo)準(zhǔn)差過大，不適宜直接使用［19］。雖然提取了測試程序、文件及相關(guān)記錄，但是記錄不完整。通過對數(shù)據(jù)的分析整理，參考部分國際通用數(shù)據(jù)庫的數(shù)據(jù)，做出一系列假設(shè)，以保證分析結(jié)果在偏保守的前提下能夠更加貼近裝置實際運行情況。

本次SIL驗算工作中管線新建分輸站及閥室選取2個代表性SIF回路，改造項目新增設(shè)備共計7個SIF回路，接收站內(nèi)SIL定級要求在2級及3級的關(guān)鍵SIF回路共計3個。驗算結(jié)果見表2。

圖1 SIL驗算分析流程Fig.1 SIL verification workflow

圖2 敏感性分析前SIF－1回路PFD分布及趨勢圖Fig.2 SIF－1loop PFD distribution and trend before sensitivity analysis

表2 SIL驗算結(jié)果Table 2 SIL Verification Result

其中管線及閥室部分有1個SIF回路驗算結(jié)果不滿足SIL定級要求，改造項目新增SIF回路中有1個SIF回路驗算結(jié)果不滿足要求，LNG接收站各關(guān)鍵回路SIF回路驗算結(jié)果均滿足要求，并且存在一定程度的過保護 （SIL驗算結(jié)果高于SIL定級的等級要求）。出現(xiàn)這樣的結(jié)果，其主要原因可能包括：①原設(shè)計時進行了SIL定級分析，但由于采用的是圖表法，相對而言評估出的結(jié)果較為保守；②接收站內(nèi)主要設(shè)備設(shè)施由于對其失效機理及后果相對較為了解，而且相對而言不管是設(shè)計方還是業(yè)主都對這部分系統(tǒng)更為重視，在設(shè)計時已考慮了較高的安全配置。這些常規(guī)認為容易出問題的地方反而由于補強由系統(tǒng)的 “短板”變成了相對來說安全可靠性更高的部分［20］。

一般來說，在SIS驗算結(jié)果無法滿足SIL定級需求時，企業(yè)應(yīng)當(dāng)通過更新SIF回路中PFDavg主要貢獻者的硬件配置來提升整個SIF回路的SIL等級，以達到要求［21］。對下面兩個實例來說，分別是最終執(zhí)行機構(gòu) （切斷閥）以及檢測單元 （傳感器）。通過更新SIF回路的硬件配置 （往往也意味著項目一次性投資的增加），如采購可靠性等級更高的閥門或采用冗余配置的傳感器 （由1oo1改為2oo3）等措施，來提高SIL等級，以滿足系統(tǒng)風(fēng)險要求。

由于本次驗算結(jié)果中的PFD值較為接近下一SIL等級的PFD要求，本次分析嘗試了在不額外增加硬件配置費用的情況下通過合理調(diào)整測試周期和測試覆蓋率來使SIS系統(tǒng)的SIL等級滿足SIL要求。

4.1 敏感性分析

4.1.1 LNG管線壓力高高聯(lián)鎖保護 因LNG接收站系統(tǒng)需保證向下游連續(xù)供氣，目前全站測試間隔 （執(zhí)行機構(gòu)）為12個月，計算中輸入的執(zhí)行機構(gòu)測試覆蓋率為50%，SIL驗算結(jié)果為SIL 2。SIF回路的PFD分布及趨勢如圖2所示。

敏感性分析：由圖2可以看出，SIF－1回路中PFD的主要貢獻來自執(zhí)行機構(gòu)。經(jīng)與業(yè)主討論確認，提高執(zhí)行機構(gòu) （關(guān)斷閥）的測試覆蓋率，在大修周期內(nèi)嚴(yán)格按預(yù)先編制好的測試程序進行嚴(yán)格測試，提高測試覆蓋率到90%，從而確保SIL 3的完整性。敏感性分析后的SIF回路PFD趨勢如圖3所示。

4.1.2 高壓泵出口流量低低聯(lián)鎖保護 高壓泵出口設(shè)有雙流量計，兩者可以互相比對，通過設(shè)置兩個流量計間的偏差報警對流量計的λDU及λSU數(shù)據(jù)進行修正。但目前的12個月測試間隔無法保證整個SIF回路達到SIL 2，PFD值略高，SIL為1。SIF回路的PFD分布及趨勢如圖4所示。

圖3 敏感性分析后SIF－1回路PFD分布及趨勢圖Fig.3 SIF－1loop PFD distribution and trend after sensitivity analysis

圖4 敏感性分析前SIF－3回路PFD分布及趨勢圖Fig.4 SIF－3loop PFD distribution and trend before sensitivity analysis

敏感性分析：由圖4可見，SIF－3回路中PFD的主要貢獻來自檢測單元 （傳感器）。由于流量計及停泵繼電器可以在線測試，對其測試間隔和測試覆蓋率進行優(yōu)化。根據(jù)分析結(jié)果，提高流量計的測試覆蓋率到99%，測試間隔改為6個月；停泵繼電器為簡單元器件，測試覆蓋率提高到100%，測試間隔6個月后可將SIL等級提高到SIL 2。敏感性分析后的SIF回路PFD趨勢如圖5所示。

5 結(jié) 論

（1）SIF回路校驗測試計劃與程序文件應(yīng)符合IEC 61511／61508的要求。建議進一步在SIF回路校驗測試計劃與程序文件中明確測試時間、測試內(nèi)容、測試程序、能力要求、記錄要求及偏差處理規(guī)定等具體要求。

（2）通過進行敏感性分析，縮短測試間隔和提高測試覆蓋率，可以在一定程度上降低SIF回路的PFDavg，并可以在一定程度上修正SIL等級驗算結(jié)果。但是LNG行業(yè)下游用戶往往對供氣的穩(wěn)定性有較高的要求，縮短測試間隔往往意味著增加停車檢修頻率，而提高測試覆蓋率可能會造成大修周期的延長。企業(yè)應(yīng)根據(jù)自身實際情況謹慎調(diào)整這些參數(shù)，避免由于實際生產(chǎn)需求而無法達到上述要求造成的安全隱患。

圖5 敏感性分析后SIF－3回路PFD分布及趨勢圖Fig.5 SIF－3loop PFD distribution and trend after sensitivity analysis

（3）在分析過程中發(fā)現(xiàn)，在接收站內(nèi)存在著部分系統(tǒng)過保護、部分系統(tǒng)保護不足的現(xiàn)象。據(jù)國外相關(guān)統(tǒng)計，一般來說，裝置內(nèi)SIS系統(tǒng)保護不足或缺失僅占5%～10%的比例，超過50%的裝置存在SIS系統(tǒng)過保護的情況。因此，在設(shè)計階段就進行SIS系統(tǒng)的評估是相當(dāng)有必要的。目前通行的做法是在初步設(shè)計階段實施SIL定級工作，與危險及可操作性分析 （HAZOP分析）采用同一組人，緊接著HAZOP分析完成執(zhí)行SIL定級。在詳細設(shè)計階段SIS系統(tǒng)冗余結(jié)構(gòu)、選型初步確認后即開展SIL驗算工作。在項目建設(shè)階段完成SIS系統(tǒng)的設(shè)計與評估，節(jié)約不必要的投資，并將花費集中于系統(tǒng)的相對薄弱環(huán)節(jié)，優(yōu)化投資產(chǎn)出比。

（4）失效數(shù)據(jù)的取用。企業(yè)自身收集的元器件失效數(shù)據(jù)由于相對數(shù)據(jù)樣本較少，無法在分析中直接使用，在分析中較多地采用了通用數(shù)據(jù)庫中的相關(guān)失效數(shù)據(jù)。但由于現(xiàn)場實際使用元器件型號與通用數(shù)據(jù)庫不能完全匹配，工作環(huán)境也存在一定的差異性，選取失效數(shù)據(jù)只能采用相對保守的取值方式，并應(yīng)用了一些假設(shè)。國外數(shù)據(jù)庫的收集建立一般是由行業(yè)協(xié)會牽頭，企業(yè)進行收集后再交由行業(yè)協(xié)會整理發(fā)布。隨著SIL分析在國內(nèi)的推廣，希望國內(nèi)也能逐步建立起自己的可靠的失效數(shù)據(jù)庫，使未來SIL分析的結(jié)論更加符合國內(nèi)實際安全生產(chǎn)管理水平和設(shè)備維護水平。

（5）隨著國家安全生產(chǎn)監(jiān)督總局在2014年11月發(fā)布的116號文 《加強化工安全儀表系統(tǒng)管理的指導(dǎo)意見》中對新建裝置及在役裝置設(shè)計建立安全儀表系統(tǒng)的相關(guān)要求以及安全生產(chǎn)標(biāo)準(zhǔn)化工作的進一步推廣 （設(shè)置合規(guī)的安全儀表系統(tǒng)為一級企業(yè)達標(biāo)的A級要素否決項），安全儀表系統(tǒng)的應(yīng)用及發(fā)展必將為流程工業(yè)企業(yè)安全長穩(wěn)優(yōu)的生產(chǎn)運營提供一道新的保障。

Peferences

［1］ Lees F P.Loss Prevention for the Process Industries［M］.London：Butterworth and Heinemann，1992.

［2］ Chastain J W.Ensuring consistency of corporate risk criteria／／6th Global Congress on Process Safety ［C］.San Antonio，Texas，2010.

［3］ Layer of Protection Analysis—Simplified Process Risk Assessment［M］.New York：Center for Chemical Process Safety of the American Institute of Chemical Engineers，2003.

［4］ Curt Miller.Win－Win：a Manager's Guide to Functional Safety［M］.Exida.com L.L.C.，2008.

［5］ Edward M Marszal，Eric W Scharpf.Safety Integrity Level Selection Including Layer of Protection Analysis［M］.NC：Research Triangle Park，ISA，2003.

［6］ Johnson R W.Beyond－compliance uses of HAZOP／LOPA studies［J］.JournalofLossPreventionintheProcess Industries，2010，23 （6）：727－733.

［7］ Gubinelli G，Zanelli S，Cozzani V.A simplified model for the assessment of the impact probability of fragments ［J］.JournalofHazardousMaterials，2004，A116：175－187.

［8］ Guidelines for Enabling Conditions and Conditional Modifiers in Layer of Protection Analysis［M］.New York：Center for Chemical Process Safety，2014.

［9］ TR84.00.02－2002，Technical Report.Safety Instrumented System （SIS） －Safety Integrity Level（SIL）Evaluation Techniques［R］，NC：Research Triangle Park，ISA，2002.

［10］ IEC 61508. Functional Safety of Electrical／Electronic／Programmable Electronic Safety－related Systems ［S］.2010.

［11］ ANSI／ISA－84.00.01－2004. Functional Safety： Safety Instrumented Systems for the Process Industry Sector－Part 1，2and 3 ［S］（IEC 61511Mod）.2004.

［12］ Goble W M，Bukowski J V.Verifying common cause reduction rules for fault tolerant systemsviasimulation using a stress－strength failure model ［J ］.ISA Transactions，2000.

［13］ William M Goble，Harry Cheddie.Safety Instrumented Systems Verification：Practical Probabilistic Calculations［M］. The Instrumentation，Systems and Automation Society，2005.

［14］ Roy Billinton，Ronald N Allan.Reliability Evaluation of Engineering Systems：Concepts and Techniques ［M］.New York：Plenum Press，1983.

［15］ Henley E J，Kumamoto H.Probabilistic Risk Assessment：Reliability Engineering，Design，and Analysis ［M］.NJ：Piscataway，IEEE Press，1992.

［16］ Goble W M. Control Systems Safety Evaluation and Reliability ［M］.2nd ed.NC：Research Triangle Park，ISA，1998.

［17］ Bukowski J V.Modeling and analyzing the effects of periodic inspection on the performance of safety－critical systems ［J］.IEEETransactionsofReliability，2001，50 （3）：321－329.

［18］ Arner D C，Angstadt W C.Where for art thou failure rate data ［EB］／／Proceedings for ISA 2001－Houston. NC：Research Triangle Park，ISA，2001.

［19］ Goble W M. Accurate failure metrics for mechanical instruments ［C］／／Proceedings of the IEC 61508Conference（Augsberg，Germany），RWTUV，Jan 2003.

［20］ Dhillon B S.Reliability Engineering in Systems Design and Operation ［M］：New York：Van Nostrand Reinhold，1983.

［21］ Brombacher A C.Reliability by Design ［M］.Chichester：John Wiley and Sons，1992.