欢迎光临河北康吉森自动化工程有限公司官网!

康吉森自动化

河北康吉森自动化工程有限公司

30年专注自动化系统研发设计定制

河北康吉森自动化热线: 0317-7363118
0317-7363508
当前位置:首页 >>资讯中心 >>安全仪表系统SIS系统知识

SIS系统的安全完整性等级(SIL)评估

文章出处: 人气:发表时间:2018-9-18 10:19:26

  在工厂生产过程中安装的安全仪表系统(SIS),主要用于减轻过程风险,但在确定下一步行动之前,必须先为其指定目标安全完整性等级(SIL)。

  安装在过程工厂的安全仪表系统(SIS),在过程值超过设定值时或偏离安全运行工况时,可以将过程带入“安全状态”,从而缓解过程风险。

  没有单一的安全措施可以消除所有的风险,SIS系统只是多层安全体系中的一层。保护层分析(LOPA)方法,可以识别、分析所有已知的过程风险以及保护层。如果在LOPA分析中得出结论,认为现有的保护措施不能将风险降低到可接受或可容忍的水平,那就需要SIS系统来应对每一种过程风险。并不是所有的过程风险都需要sis系统。每个需要SIS系统的风险,都必须指定一个目标安全完整性等级(SIL)。

sil等级

  SIL等级是什么?

  SIL等级来自于两个非强制性标准,工厂所有者/经营者通常用其来量化应对运行风险的安全性能要求:

  IEC 61508: 电气/电子/可编程电子安全相关系统的功能安全

  IEC 61511: 过程工业领域安全仪表系统的功能安全

  正如国际电工委员会(IEC)标准的定义,安全等级分为1-4级。较高的SIL,意味着更大的过程风险,也就需要SIS系统需要提供更高水平的保护。SIL是风险频率和危害严重程度的函数。发生频率高、或具有更严重后果的风险,其SIL等级越高。

  为了确定过程风险的SIL等级,理解安全生命周期会有所帮助。

  安全生命周期

  IEC标准定义了一个被称之为安全生命周期的概念,它提供了一个可重复的框架,在此框架中,所有的过程风险都被识别和分析,以了解哪些危害需要使用sis系统进行缓解。从设计上看,这是一个周期性的过程。任何工艺设计、操作工况或设备的变更,都需要从头开始重复该过程,以确保任何变更都能正确实施。

  要确定SIL,需要遵循诸多步骤。该过程从执行过程危险分析(PHA)开始。PHA是对与工业过程相关的所有潜在风险的系统评估。有必要分析下列情况的所有潜在原因和后果:

  火灾;

  爆炸;

  释放有毒、风险或易燃物质等。

  关注任何可能影响该进程的内容,包括:

  设备故障;

  仪表故障或校准问题;

  公用设施(电力、冷却水、仪表空气等)的丧失;

  人为错误或行为;

  外部因素,如风暴或地震。

  必须分析每种过程风险的频率和严重程度,例如:

  发生的频率是多少?如果手动执行填充操作,任何情况下都有可能会发生溢罐事故(每年多少次)。

  结果严重程度如何?局部损坏、火灾、爆炸,毒气释放、死亡。

  PHA分析的核心基于这样一个事实:任何事情都可能而且确实会出错。不要考虑它是否会发生,而应该考虑它何时发生。识别出的风险,都应指定一个“可接受的”频率。不能假定一个永远不会发生的风险。例如:

  一个需要基本急救干预的风险,如果一年仅发生一次,那么这种风险可以视为“可接受”;

  由于油罐破裂而引起的爆炸和火灾,其“可接受”频率为每10000年一次。

  PHA分析的最终结果,是一系列可能的工艺风险列表,为每个过程风险分配了可接受的发生频率。安全生命周期的下一步是保护层分析。单靠单一的安全措施无法消除风险。因此,有效的安全体系必须由多个保护层组成。

  这样,如果一个保护层出现故障,则后续层将使该过程处于安全状态。随着保护层数量的增加和可靠性的提高,整个过程的安全性也随之增加。有一点非常重要,在一个或多个层失败时,每层必须能够独立于其它层运行。

  保护层的具体例子包括:

  灭火系统;

  防泄漏系统(堤防或双壁);

  卸压阀;

  气体检测/报警系统。

  对于在PHA中识别的过程风险,应该:

  列出所有可用的非SIS安全措施;

  为每一层指定其风险降低因子;

  计算保护层应用后的有效风险频率;例如:罐体填充操作,发生每年的频率为250次,因此溢罐事件发生的频率为250次每年;

  适当的排气/排水系统作为保护层,可以将风险降低(风险系数)100倍;

  储罐溢出危险的有效频率为每年250/100=2.5次。

  每个危害的有效危害频率确定后,要问的关键问题是:“采用非SIS保护层后,有效频率是否能够低于可接受频率?”

  一旦识别出所有的过程风险,并为其分配保护层后,如果PHA/LOPA的研究得出结论,认为现有的保护不能将风险降低到可接受的或可容忍的水平,那就需要安装SIS系统。然而,并不是每一个过程风险都需要使用SIS系统。

安全仪表系统

  安全仪表系统和功能

  SIS系统的目的,就是在超过设定值或当超过安全运行工况时,使过程处于“安全状态”。SIS的作用是通过实施安全仪表功能(SIF)来降低风险。

  SIF的两个示例包括:

  危害:水箱溢流。SIF:SIS系统将灌装泵停止,将液位维持在安全水平。

  危害:高温。SIF:SIS打开继电器,以在预定的安全温度下切断对加热器电路的电源。

  在任何情况下,SIF都是SIS实现或保持安全状态的安全功能。SIF的传感器、逻辑运算器和最终元件协同动作,以检测风险并将过程带入到安全状态。

  每个SIF作为保护层,将有效风险频率降至可接受的风险频率以下。要做到这一点,每个SIF必须有一个最小的风险降低因子。

  安全生命周期模型的实例,改编自IEC61511。图片来源:Cross 公司。

  SIF的SIL目标水平

  在罐溢出实例中,在实施非SIS保护层之后,其有效频率为每年2.5次。如果可接受的危害频率为每10年一次,那SIF必须有不低于25的风险降低因子(RRF)。

  SIF的最小风险降低因子(RRF)=未实施SIS的有效频率/可接受频率=2.5/0.1=25。

  每个SIF所需的最小RRF被用于确定SIF的目标SIL等级。

  通过表1,可以直接从RRF确定目标SIL等级。注意SIL和RRF之间的关系。SIL1具有的最小RRF为101,SIL2具有最小的RRF为102,以此类推。

  对于罐体过量填充的例子,最小RRF为25,SIF的目标SIL为SIL1,因此,这是一个等级为SIL1的风险。

  对于PHA和LOPA所识别的每个风险,使用相同的方法为SIF的分配目标SIL。请注意,可能有不同的目标SIL。过程的下一个步骤,是设计一种能满足需求的SIF,以便达到目标SIL。

  SIF可实现的SIL等级

  SIS是由许多组件组成的系统,例如:

  信号输入传感器;

  输入信号接口与处理;

  具有电源和通信的逻辑运算器;

  输出信号处理、接口和电源;

  执行器(阀门、开关装置),用于最终控制功能。

  举个SIF的例子:在高温工况下继电器断开,负责加热器电路的sis系统,应包含以下回路部件中的任何一种或全部:热电偶、变送器、输入信号调节器或隔离器、模拟输入卡、通讯卡、中央处理器、离散输出卡、输出信号调理器或隔离器、以及加热器继电器。

  必须假定某一时刻会发生风险。你不能认为风险永远不会发生。同样,必须假定SIF的任何组成部分都可能无法根据需求采取行动。

  一个比较常见的故障是有关正常工艺条件下保持开启的隔离阀的。如果需要关闭此阀门才能实现特定的SIF,则风险可能是在需要关闭阀门时此阀保持在开的位置,而不是按要求关闭。因此,我们必须知道SIF的失效概率。

  给定SIF的总体故障概率,通过执行SIL计算来确定。SIL计算有些复杂,但本质上,该计算过程就是收集SIF部件的故障率数据,如测试频率、冗余、表决安排等。最终结果是每个SIF,都可以获得可能出现故障的总体概率(PFD)。

  构成SIF回路的众多设备的制造商,都会公布设备的故障率数据。过程企业经常与咨询公司签订合同,以确定失效概率。

  这些故障概率数据,是进行SIF计算所需的输入数据,而本身并不是SIL数据。并没有自带SIL等级的设备。您无法购买到具有SIL等级的变送器或SIL等级的控制系统。

  一旦已知了SIF的PFD,那么它的RRF就是PFD的倒数(RRF=1/PFD)。然后,就可以比较SIF的RRF与所需的最低RRF。如果SIF的RRF大于所需的最小RRF,那SIF就可以将整体风险降低到可接受的水平。

  回到前面罐体溢出的例子,假设SIL计算证明SIF具有300的RRF。由于该值大于25,SIF大大满足要求。如果SIL计算发现RRF小于25,那就需要改变或重新排列SIF组件。

  增加RRF的一种方法,是在表决机制中配置冗余的变送器,或者购买故障率较低的变送器。SIL等级、PFD和RRF之间的关系如表2所示。

  回到罐填充实例中,SIF的RRF为300,而需求的最小RRF为25(SIL1)。SIF可实现的SIL等级是SIL2。这意味着有SIL2的SIF可用于保护SIL1风险。这是完全可以接受的,而且比较常见。

此文关键字:sis系统,安全仪表系统

返回顶部