功能安全溫度變送器設(shè)計(jì)和可靠性分析

宋一歌

（大慶石化煉油廠儀表車間，黑龍江大慶 163711）

0 引言

隨著我國(guó)經(jīng)濟(jì)水平不斷提升，工業(yè)生產(chǎn)領(lǐng)域?qū)ιa(chǎn)安全越來(lái)越重視。安全溫度變送設(shè)備的重要性逐漸進(jìn)入人們視野，需定期對(duì)其進(jìn)行檢測(cè)工作，以確保其安全運(yùn)行，同時(shí)保障其具有較高的工作效率。

1 功能安全溫度變送器功能分析

生產(chǎn)實(shí)際中，功能安全具體含義是診斷其是否能有效執(zhí)行安全功能。這往往受到外部風(fēng)險(xiǎn)降低設(shè)施與安全相關(guān)系統(tǒng)的正確功能影響。對(duì)外部風(fēng)險(xiǎn)和安全相關(guān)系統(tǒng)實(shí)施合理的降低措施，促使設(shè)施覆蓋區(qū)域存在的某些風(fēng)險(xiǎn)得以降低到特定可接受范圍。進(jìn)而有效保障溫度變送器正常、安全運(yùn)行。溫度變送器的安全功能主要包括兩個(gè)方面。

（1）監(jiān)測(cè)溫度與通信模塊實(shí)際輸出溫度相一致。變送器在進(jìn)行測(cè)溫工作時(shí)，測(cè)溫功能有效執(zhí)行，不存在失效現(xiàn)象。

（2）變送器測(cè)溫過(guò)程中若診斷出失效現(xiàn)象，則立即產(chǎn)生并輸出報(bào)警。

自診斷和失效模式作為最主要的兩個(gè)因素，對(duì)溫度變送器的安全功能具有極其重要的影響。溫度變送器具有自診斷功能，當(dāng)其處于運(yùn)行狀態(tài)時(shí)，可以有效診斷自身工作狀態(tài)。當(dāng)溫度變送器出現(xiàn)故障，失效時(shí)，便會(huì)發(fā)出警告，及時(shí)降低危險(xiǎn)性，便于工作人員及時(shí)發(fā)現(xiàn)并修復(fù)故障。溫度變送器具有自動(dòng)檢測(cè)自身是否失效的能力，這一能力被定義為診斷覆蓋率。診斷覆蓋率較低時(shí)，達(dá)不到安全完整性要求與安全功能要求。相關(guān)工作人員需要修改其軟件與硬件設(shè)計(jì)，直至其診斷覆蓋率達(dá)標(biāo)，安全性得以保障。溫度變送器失效模式主要由安全失效、危險(xiǎn)失效和無(wú)影響失效等3 部分構(gòu)成。當(dāng)溫度變送器在運(yùn)行過(guò)程中出現(xiàn)失效情況時(shí)，工作人員需要對(duì)變送器進(jìn)行失效性分析，從而確定單個(gè)部件的失效模式是否影響整個(gè)溫度變送器的運(yùn)行狀況[1]。

2 功能安全溫度變送器設(shè)計(jì)方案

2.1 系統(tǒng)設(shè)計(jì)

溫度變送器采用1-out-of-1 diagnosis 系統(tǒng)機(jī)構(gòu)，簡(jiǎn)稱1oo1 D 系統(tǒng)結(jié)構(gòu)。系統(tǒng)設(shè)計(jì)了診斷通道和數(shù)據(jù)采集通道兩個(gè)相對(duì)獨(dú)立的通道，不會(huì)發(fā)生冗余現(xiàn)象。安全溫度變送器主要包括數(shù)據(jù)信息采集、以及輸出與通信兩大部分。溫度變送器運(yùn)行過(guò)程中，溫度數(shù)據(jù)的采集主要由數(shù)據(jù)采集部分完成。數(shù)據(jù)采集完畢后，還會(huì)對(duì)其進(jìn)行整理、計(jì)算，以串口為媒介發(fā)送到通信部分中。溫度數(shù)據(jù)的計(jì)算、通信和模擬量輸出的部分則由輸出通信部分完成。數(shù)據(jù)信息采集部分和輸出與通信部分的完美配合，可以實(shí)現(xiàn)安全變送器的所有功能，確保其安全高效運(yùn)行。安全溫度變送器由以下模塊組成。

（1）A/D 模塊。主要功能是采集模擬量。

（2）D/A 模塊。主要負(fù)責(zé)內(nèi)容是最后電流的模擬輸出。

（3）微控制器。主要功能是處理安全功能和數(shù)據(jù)采集功能的數(shù)據(jù)。

（4）通信模塊，即串口通信（UART）模塊。主要負(fù)責(zé)功能是將A/D 數(shù)據(jù)采集部分和D/A 數(shù)據(jù)輸出與通信部分進(jìn)行交換。

（5）診斷電路。主要功能是診斷溫度變送器各組成部分安全有效性[2]。

溫度變送器上電后，首先應(yīng)該診斷其微控制器，使其實(shí)行自檢功能。自檢過(guò)后，再按照順序診斷其他模塊。從前到后的順序?yàn)椋簜鞲衅髂K、A/D 模塊、D/A 模塊、信號(hào)輸出模塊。溫度變送器在自診斷過(guò)程中，診斷出自身存在風(fēng)險(xiǎn)，則立即產(chǎn)生報(bào)警指示，并發(fā)出報(bào)警信號(hào)，控制器據(jù)此發(fā)現(xiàn)有失效情況。當(dāng)溫度變送器無(wú)錯(cuò)誤情況產(chǎn)生，安全穩(wěn)定運(yùn)行時(shí)，變送器便可開始有效采集數(shù)據(jù)。另外，結(jié)合HARA 總線分析，這一過(guò)程可以通過(guò)D/A 轉(zhuǎn)換形式，完成信號(hào)傳送。

2.2 診斷方式

安全溫度變送器的兩個(gè)微控制器分別具有通信功能與數(shù)據(jù)采集功能。根據(jù)這個(gè)特點(diǎn)，數(shù)據(jù)對(duì)比方法作為冗余結(jié)構(gòu)常用方法，將其引入到溫度變送器中，可以有效提高數(shù)據(jù)采集與發(fā)送的安全性與可靠性。同時(shí)，溫度變送器的其他模塊也需要定期進(jìn)行診斷，才能為溫度變送器的安全性提供有力保障。主要診斷內(nèi)容如下[3]。

（1）A/D 模塊的診斷。在進(jìn)行A/D 模塊診斷過(guò)程中，微控制器會(huì)產(chǎn)生一個(gè)系統(tǒng)設(shè)定值，經(jīng)過(guò)離散化程序后，通過(guò)D/A 模塊采回?cái)?shù)據(jù)。將采回值與設(shè)定值作對(duì)比。若二者相同，則認(rèn)為A/D模塊運(yùn)行正常；若二者不同，則判斷為出現(xiàn)失效。

（2）D/A 模塊的診斷。同A/D 診斷方式一樣，同樣比較設(shè)定值與采回值。若檢測(cè)出失效的情況，則D/A 在電流環(huán)路上輸出報(bào)警電流。同時(shí)，D/A 模塊還具有其他功能，如通信計(jì)時(shí)功能和監(jiān)視環(huán)路電流的功能等。當(dāng)D/A 模塊與微控制器模塊的通信超時(shí)，或是環(huán)路電流超出規(guī)定范圍時(shí)，都會(huì)產(chǎn)生警報(bào)。

（3）微控制器的診斷。溫度變送器由兩個(gè)微控制器組成，兩個(gè)微控制器在完成各自功能的同時(shí)，還可以進(jìn)行數(shù)據(jù)對(duì)比工作，間接診斷CPU 和數(shù)據(jù)采集通道整體是否存在失效性。溫度變送器工作是由溫度傳感器獲取溫度信號(hào)，再經(jīng)A/D 采集，變送器的兩個(gè)微控制器便開始對(duì)原始溫度數(shù)據(jù)進(jìn)行計(jì)算，再比較其計(jì)算結(jié)果是否相同。若計(jì)算結(jié)果不同，則有報(bào)警電流輸出，若計(jì)算結(jié)果相同，則將計(jì)算結(jié)果經(jīng)由通信模塊輸出[3]。

3 功能安全溫度變送器可靠性分析

在安全溫度變送器開發(fā)過(guò)程中，安全完整等級(jí)（SIL）指的是在一定條件下，安全功能正確執(zhí)行的概率，是總體設(shè)計(jì)的一部分，用于衡量整個(gè)溫度變送器安全性能是否達(dá)標(biāo)，其數(shù)值表示變送器風(fēng)險(xiǎn)降低的數(shù)量級(jí)。在開發(fā)設(shè)計(jì)過(guò)程中，應(yīng)在安全變送器中引入一定的安全措施，如診斷方法等，才能降低一些潛在風(fēng)險(xiǎn)，進(jìn)而提高診斷覆蓋率。確保溫度安全變送器各部分及整體都能夠符合要求，達(dá)到一定的安全完整性等級(jí)。安全完整性是評(píng)價(jià)安全溫度變送器安全功能的重要指標(biāo)[4]。同時(shí)，還可以通過(guò)一些統(tǒng)計(jì)指標(biāo)對(duì)安全溫度變送器的可靠性進(jìn)行分析，如時(shí)效效率（PFD）和平均無(wú)障礙時(shí)間等。并且，安全完整性等級(jí)的確定還受到安全失效分?jǐn)?shù)（SFF）影響。綜上，安全功能可靠性的評(píng)價(jià)需要借助一些數(shù)據(jù)指標(biāo)完成。

首先，是Markov 模型。這一模型通過(guò)分析系統(tǒng)在不同狀態(tài)下的轉(zhuǎn)換，來(lái)評(píng)估其安全性。在系統(tǒng)處于不同安全狀態(tài)時(shí)，這一模型同時(shí)可為簡(jiǎn)單與復(fù)雜模型提供精準(zhǔn)診斷評(píng)估結(jié)果。本文中安全溫度變送器采用1oo1D 系統(tǒng)結(jié)構(gòu)，在行使診斷功能時(shí)，可將診斷到的危險(xiǎn)失效轉(zhuǎn)變?yōu)榘踩Аarkov 模型在考慮到安全失效與危險(xiǎn)失效這兩種模式的同時(shí)，考慮到故障狀態(tài)下，變送器的修復(fù)率能夠達(dá)到常數(shù)，并且經(jīng)過(guò)重新啟動(dòng)，仍能正常運(yùn)行。建模假設(shè)在IEC 61508-6 中有詳盡描述。安全溫度變送器采用的1oo1D 體系結(jié)構(gòu)中Markov 的轉(zhuǎn)移過(guò)程包含3 個(gè)狀態(tài)。

（1）OK（0）狀態(tài)，表示初始情況下的正常情況。

（2）FS（1）狀態(tài)，表示安全失效。

（3）FDU（2）表示存在沒(méi)有被檢測(cè)到的危險(xiǎn)失效情況。當(dāng)數(shù)據(jù)采集通道發(fā)生失效情況，變送器的狀態(tài)就會(huì)由0 轉(zhuǎn)變?yōu)?，表示危險(xiǎn)失效被轉(zhuǎn)換成了安全失效。當(dāng)變速器重新啟動(dòng)正常運(yùn)行時(shí)，其狀態(tài)又會(huì)由1 轉(zhuǎn)變?yōu)?。未能檢測(cè)到失效時(shí)，狀態(tài)又會(huì)由0變?yōu)?。

其次，是安全完整性評(píng)估。溫度變送器失效模式和診斷分析（FMEDA）對(duì)診斷覆蓋率和失效率具有重要影響。失效模式影響及其診斷分析能夠?qū)υO(shè)備的診斷能力以及不同失效模式進(jìn)行合理有效的分析。它主要需要兩方面信息。一方面，需要變送器所有部件的失效數(shù)據(jù)，主要包括失效模式分布與失效率；另一方面，需要診斷獲得的內(nèi)部失效能力信息。當(dāng)失效模式影響及其診斷分析較為詳細(xì)時(shí)，就能為失效模式與診斷覆蓋率提供相對(duì)準(zhǔn)確的分析。現(xiàn)場(chǎng)失效模式對(duì)這些信息進(jìn)行報(bào)告工作，才能合理評(píng)估溫度變送器失效模式與失效率。通過(guò)整理分析這些信息數(shù)據(jù)，以它為依據(jù)，可以準(zhǔn)確計(jì)算安全評(píng)估參數(shù)，如安全失效分?jǐn)?shù)和診斷覆蓋率等，進(jìn)而實(shí)行安全評(píng)價(jià)。

通過(guò)失效模式和診斷分析，了解溫度變送器的安全失效、危險(xiǎn)失效與無(wú)影響失效模式對(duì)整個(gè)溫度變送器是否具有影響差異，進(jìn)而推導(dǎo)出安全失效與危險(xiǎn)失效之間的比例，以及不同失效模式下的失效率數(shù)值。就某些復(fù)雜器件而言，IEC 61508-2 列舉了一些情況下的診斷覆蓋率。其中，主要強(qiáng)調(diào)針對(duì)一些復(fù)雜器件，在計(jì)算其診斷覆蓋率時(shí)，必須對(duì)其失效模式予以充分考慮，高度重視。

通過(guò)對(duì)比較低要求下的操作模式安全完整性等級(jí)表，判斷溫度變送器安全完整性。證明本研究所述診斷方案的溫度變送器具有可靠性。同時(shí)通過(guò)失效模式和診斷，分析各模式對(duì)溫度變送器的影響，提高了Markov 模型有效性，使其應(yīng)用優(yōu)勢(shì)得以全面發(fā)揮，總體滿足社會(huì)及相關(guān)企業(yè)需求[5]。

4 結(jié)語(yǔ)

研究中安全溫度變送器采用的體系結(jié)構(gòu)是1oo1D 體系模式，主要由兩個(gè)微控制端組成。能夠有效將數(shù)據(jù)對(duì)比分析模式引入到變速設(shè)備中。同時(shí)對(duì)各模塊進(jìn)行分析診斷，有利于保障安全溫度變送器可靠性。