控制閥用于安全儀表系統(tǒng)的符合評(píng)估和SIL認(rèn)證.docx

精品文檔控制閥用于安全儀表系統(tǒng)的符合性評(píng)估和SIL認(rèn)證文/李寶華8歡迎下載8歡迎下載8歡迎下載。引言安全是是永恒的主題，安全生產(chǎn)對(duì)于工業(yè)企業(yè)意義重大，正得到更多的重視。基于不同技術(shù)的具有“安全保護(hù)”功能的系統(tǒng)被廣泛應(yīng)用，安全設(shè)計(jì)理念也從“故障安全”擴(kuò)展到“功能安全”。針對(duì)特定的危險(xiǎn)事件，為達(dá)到或保持手設(shè)備（Equipment Under Control, EUC）或工藝過程（Process）的安全狀態(tài)，由電氣、電子、可編程電子（E/E/PE）安全相關(guān)系統(tǒng)（Safety-Related System, SRS）或由傳感器、邏輯控制器、最終元件組成的安全儀表系統(tǒng)（Safety Instrumented System, SIS）、其它技術(shù)安全相關(guān)系統(tǒng)或外部風(fēng)險(xiǎn)降低設(shè)施實(shí)現(xiàn)的功能定義為安全功能。功能安全作為整體安全的一部分，是指安全功能的安全性，即安全相關(guān)系統(tǒng)或安全儀表系統(tǒng)以及其他保護(hù)層正確行使安全功能、實(shí)現(xiàn)降低風(fēng)險(xiǎn)的能力。過程工業(yè)中的安全儀表系統(tǒng)SIS（如緊急停車系統(tǒng)ESD、安全聯(lián)鎖系統(tǒng)SIS、燃燒器管理系統(tǒng)BMS、火災(zāi)或氣體安全系統(tǒng)FGS、高壓保護(hù)系統(tǒng)HIPPS，等等）由傳感器、邏輯控制器、最終元件組成，用來行使一項(xiàng)或多項(xiàng)安全儀表功能SIF，對(duì)某個(gè)具體的潛在危險(xiǎn)事件采取對(duì)應(yīng)的保護(hù)措施，控制、預(yù)防、減輕危險(xiǎn)時(shí)間造成的影響。SIS是安全相關(guān)系統(tǒng)在過程工業(yè)的分支，而不同于以過程控制為目標(biāo)的基本過程控制系統(tǒng)（Basic Process Control System, BPCS）。SIS和BPCS典型應(yīng)用示意圖參見圖1，SIS在安全保護(hù)層的位置見圖2。SIS以整體安全生命周期的架構(gòu)，規(guī)定了各階段的技術(shù)活動(dòng)和功能安全管理活動(dòng)的內(nèi)容；以安全完整性等級(jí)（SIL）為指針，提出了基于可靠性分析、確定安全儀表功能的失效概率、評(píng)估執(zhí)行安全儀表功能的可靠程度的標(biāo)準(zhǔn)。SIS的應(yīng)用還形成了安全儀表設(shè)備基于經(jīng)驗(yàn)使用和按照相關(guān)標(biāo)準(zhǔn)符合性評(píng)估及認(rèn)證的準(zhǔn)入原則，以及系統(tǒng)硬件配置和軟件組態(tài)規(guī)則、系統(tǒng)集成和調(diào)試、運(yùn)行和維護(hù)、功能安全評(píng)估和驗(yàn)證的工作流程。最終元件是SIS的重要組成，包括控制閥、電磁閥等執(zhí)行元件以及用于處理來自邏輯控制器最終指令的所有元件和連接，執(zhí)行實(shí)現(xiàn)某種安全狀態(tài)所必須的實(shí)際動(dòng)作（也有與BPCS混合應(yīng)用的情況），用于安全儀表系統(tǒng)時(shí)，接受相關(guān)安全要求，以安全儀表系統(tǒng)時(shí)，接受相關(guān)安全要求，以安全的方式進(jìn)行設(shè)計(jì)、維護(hù)、檢驗(yàn)、測試和操作的論證，辨識(shí)安全儀表功能和可靠性評(píng)估以及適合性驗(yàn)證，通過SIL認(rèn)證以及保證在選用控制閥后不對(duì)系統(tǒng)造成結(jié)構(gòu)約束。由于功能安全是針對(duì)系統(tǒng)而言，獨(dú)立的儀表產(chǎn)品/控制閥不存在單獨(dú)的功能安全問題，對(duì)單個(gè)產(chǎn)品的要求是在可靠性基礎(chǔ)上的安全性（安全功能），當(dāng)其成為SIS一個(gè)功能單元后，必須是從整個(gè)系統(tǒng)的安全性去考慮SIS的功能安全。相關(guān)標(biāo)準(zhǔn)經(jīng)濟(jì)活動(dòng)和工業(yè)發(fā)展推動(dòng)著安全標(biāo)準(zhǔn)的制定，尤其是基礎(chǔ)類安全標(biāo)準(zhǔn)。在控制系統(tǒng)安全標(biāo)準(zhǔn)方面：基于產(chǎn)品安全的核心是物理安全（Physical Safety）,有IEC61010系列物理安全標(biāo)準(zhǔn)測量和控制使用的電氣設(shè)備的安全要求（GB/18272.18），與控制閥相關(guān)的是標(biāo)準(zhǔn)的第205部分執(zhí)行器；基于網(wǎng)絡(luò)安全的核心是信息安全（Security），有IEC62443系列信息安全標(biāo)準(zhǔn)工業(yè)過程測量和控制安全 網(wǎng)絡(luò)和系統(tǒng)安全；基于安全相關(guān)系統(tǒng)的核心是功能安全（Functional Safety），有IEC61508系列功能安全標(biāo)準(zhǔn)電氣/電子/可編程電子安全相關(guān)系統(tǒng)的功能安全 ；基于安全相關(guān)系統(tǒng)的核心是功能安全（Functional Safety），有IEC61508系列功能安全標(biāo)準(zhǔn)電氣/電子/可編程電子安全相關(guān)系統(tǒng)的功能安全 ；以上這些都是綜合性基礎(chǔ)標(biāo)準(zhǔn)，并引出一系列分支標(biāo)準(zhǔn)。IEC/TC65在1998年發(fā)布IEC61508 電氣/電子/可編程電子安全相關(guān)系統(tǒng)的功能安全的第1、3、4、5部分，2000年發(fā)布第2、6、7部分，等同采用IEC61508的中國國家標(biāo)準(zhǔn)為GB/T20438-17-2006。標(biāo)準(zhǔn)系列的1至4是標(biāo)準(zhǔn)部分：1、一般要求；2、電氣/電子/可編程電子安全相關(guān)系統(tǒng)的要求；3、軟件要求；4、定義和縮略語；標(biāo)準(zhǔn)系列的5至7是信息解釋部分；5、確定安全完整性等級(jí)的方法示例；6、IEC60508-2和IEC60508-3應(yīng)用指南；7、技術(shù)和措施概述。此外，IEC/TC65在2005年發(fā)布IEC/TR61508-0-2005，等同采用該標(biāo)準(zhǔn)的中國國家標(biāo)準(zhǔn)為GB/Z29638-2013（指導(dǎo)性標(biāo)準(zhǔn)）功能安全概念及GB/T20438系列概況 ，回答了安全功能是什么、安全功能和安全相關(guān)系統(tǒng)、功能安全示例、安全完整性等級(jí)，以及GB/T20438（IEC61508）標(biāo)準(zhǔn)說明，作為GB/T20438（IEC61508）系列標(biāo)準(zhǔn)的補(bǔ)充。IEC/TC65在2010年又發(fā)布了IEC60508-17-2010的第2版，但現(xiàn)行的國際GB/T20438還沒有隨之修訂。IEC60508是安全相關(guān)系統(tǒng)功能安全的基礎(chǔ)標(biāo)準(zhǔn)，基本涵蓋各工業(yè)領(lǐng)域和各階段功能安全相關(guān)活動(dòng)，針對(duì)用于安全功能的電氣/電子/可編程電子系統(tǒng)（E/E/PES），提出了安全生命周期的通用評(píng)價(jià)方法；從危險(xiǎn)分析和安全功能的詳細(xì)說明開始到系統(tǒng)的停用和處理，描述了安全相關(guān)系統(tǒng)的硬件和軟件的要求；標(biāo)準(zhǔn)采用4個(gè)安全完整性等級(jí)來衡量安全功能，采用基于危險(xiǎn)和風(fēng)險(xiǎn)分析的方法確定安全完整性要求和量化指標(biāo)，提出了影響安全完整性等級(jí)的兩個(gè)因素以及安全故障的比例和目標(biāo)失效量的測量。與IEC61508對(duì)應(yīng)的過程工業(yè)領(lǐng)域分支標(biāo)準(zhǔn)IEC61511過程工業(yè)領(lǐng)域安全儀表系統(tǒng)的功能安全于2003年發(fā)布，等同采用IEC61511的中國國家標(biāo)準(zhǔn)為GB/T21109.13-2007。IEC61511/GB/T21109闡述了過程工業(yè)安全儀表系統(tǒng)的應(yīng)用，涉及從初始概念、設(shè)計(jì)、工程、安裝、實(shí)現(xiàn)、運(yùn)行和維護(hù)直到停用的所有安全生命周期，并給出應(yīng)用指南和確定安全完整性等級(jí)的指導(dǎo)原則。系列標(biāo)準(zhǔn)包含3個(gè)部分：1、框架、定義、系統(tǒng)、硬件和軟件要求；2、IEC61511/GB/T21109的應(yīng)用指南；3、確定要求的安全完整性等級(jí)的指南。該標(biāo)準(zhǔn)主要適用于安全儀表系統(tǒng)的設(shè)計(jì)者、集成商和用戶，但不適用于安全儀表的制作商。針對(duì)石油化工行業(yè)的安全儀表系統(tǒng)，現(xiàn)行的中國國家標(biāo)準(zhǔn)還有GB/T50770-2013石油化工安全儀表系統(tǒng)設(shè)計(jì)規(guī)范 ，實(shí)在GB/T21109基礎(chǔ)上制定的，引入了安全生命周期概念，規(guī)范的主要技術(shù)內(nèi)容包括總則、術(shù)語和縮略語、安全生命周期、安全完整性等級(jí)、設(shè)計(jì)基本原則、測量儀表、最終元件、邏輯控制器、通信接口、人機(jī)接口、應(yīng)用軟件、工程設(shè)計(jì)、組態(tài)、集成與測試、驗(yàn)收測試、操作維護(hù)、變更管理、文檔管理等。安全完整性SIS執(zhí)行安全功能時(shí)要正確，系統(tǒng)的功能安全要可靠，預(yù)期達(dá)到的水平采用安全完整性來表征。安全完整性（Safety Integrity）是一個(gè)相對(duì)專業(yè)的概念，針對(duì)的對(duì)象是“安全相關(guān)系統(tǒng)或安全儀表系統(tǒng)”，衡量的是該系統(tǒng)在規(guī)定的條件下、規(guī)定的時(shí)間內(nèi)，完成所要求的安全功能的概率，對(duì)要求的功能有明確的界定。安全完整性不同于經(jīng)典的可靠性（可靠性定義是“產(chǎn)品在規(guī)定條件下和規(guī)定時(shí)間內(nèi)，完成規(guī)定功能的能力”），控制閥執(zhí)行任務(wù)失敗是產(chǎn)品可靠性的問題，而風(fēng)險(xiǎn)事故是產(chǎn)品安全完整性的問題。見圖4，安全完整性包括系統(tǒng)安全完整性與隨機(jī)安全完整性兩部分。系統(tǒng)安全完整性是安全完整性里不可定量部分，并且與系統(tǒng)故障導(dǎo)致的硬件、軟件的危險(xiǎn)失效有關(guān)。系統(tǒng)故障通常由系統(tǒng)、子系統(tǒng)和設(shè)備在安全功能的生命周期內(nèi)各種人為錯(cuò)誤導(dǎo)致（如規(guī)范、設(shè)計(jì)、制造、安裝、操作、維護(hù)、修改等錯(cuò)誤）。系統(tǒng)安全完整性的隨機(jī)危險(xiǎn)失效部分，其中唯一可以量化的部分就是硬件失效相關(guān)的硬件安全完整性，硬件失效是硬件部分有限的可靠性導(dǎo)致的。硬件安全完整性定義為“在危險(xiǎn)失效模式中與隨機(jī)硬件失效有關(guān)的儀表安全功能的安全完整性的一部分”，與整體危險(xiǎn)失效率、要求時(shí)操作失效的概率有關(guān)。風(fēng)險(xiǎn)和安全完整性的關(guān)系見圖5。在GB/T20438（IEC61508）中依據(jù)不同的操作模式（低要求操作模式、高要求或連續(xù)操作模式）將安全完整性等級(jí)SIL定義為SIL1至SIL4四個(gè)等級(jí)，SIL4等級(jí)最高。在GB/T21109（IEC61511）中保持了SIL1至SIL4的等級(jí)劃分，操作模式分為要求操作模式和連續(xù)操作模式。但在過程工業(yè)一般應(yīng)用場合，SIL3為最高級(jí)，當(dāng)過程危險(xiǎn)和風(fēng)險(xiǎn)分析確認(rèn)需要SIL3以上時(shí)，通常是采用其他技術(shù)的安全相關(guān)系統(tǒng)或外部風(fēng)險(xiǎn)降低使得對(duì)安全儀表功能的SIL要求降低到SIL3或以下。參見表1至表4.要求操作模式是指在響應(yīng)過程狀態(tài)或其他要求時(shí)執(zhí)行特定的動(dòng)作（如關(guān)閉ESD切斷閥），特征是當(dāng)安全儀表功能出現(xiàn)危險(xiǎn)失效，并且“要求”出現(xiàn)時(shí)，才會(huì)導(dǎo)致潛在危險(xiǎn)發(fā)生。典型的要求操作模式如ESD的應(yīng)用。連續(xù)操作模式是指當(dāng)安全儀表功能出現(xiàn)危險(xiǎn)失效時(shí)，潛在的危險(xiǎn)將會(huì)立即發(fā)生。除非存在其它防止措施，連續(xù)模式涵蓋執(zhí)行連續(xù)安全控制，以便保持功能安全的安全儀表功能。符合性評(píng)估由執(zhí)行機(jī)構(gòu)和調(diào)節(jié)機(jī)構(gòu)（閥）以及閥門定位器、電磁閥等附件組成的控制閥組件作為最終元件用于安全儀表系統(tǒng)，仍屬于單獨(dú)儀表設(shè)備。嚴(yán)格說單個(gè)設(shè)備不具備功能安全，不能用SIL去評(píng)價(jià)，只能是用SIL表示單個(gè)設(shè)備（控制閥）的安全完整性能力即最大可聲明的SIL等級(jí)?？紤]控制閥執(zhí)行某一特定安全功能的能力，是指控制閥的“要求時(shí)的平均失效概率PFDavg”或“完成安全儀表功能時(shí)的危險(xiǎn)失效概率（次/每小時(shí)）”符合對(duì)應(yīng)的SIL值?？刂崎y具有越高等級(jí)的SIL，僅表示該產(chǎn)品可用于更高等級(jí)的安全儀表系統(tǒng)中，有能力承擔(dān)更高等級(jí)的風(fēng)險(xiǎn)控制任務(wù)?？刂崎y、閥門定位器、電磁閥應(yīng)分別作符合性評(píng)估，例如僅有電磁閥的符合性評(píng)估結(jié)論，是難以涵蓋控制閥的平均失效概率，且控制閥的故障概率是較高的。對(duì)控制閥等儀表設(shè)備進(jìn)行“符合性”評(píng)估，是按照GB/T20438.2（IEC 61508-2）和GB/T20438.3（IEC61508-3）標(biāo)準(zhǔn)，確認(rèn)其是否滿足特定安全相關(guān)應(yīng)用場合的安全要求。評(píng)估隨機(jī)失效即計(jì)算控制閥要求時(shí)的危險(xiǎn)失效概率（PFD）或每小時(shí)危險(xiǎn)失效概率（PFH）及安全失效分?jǐn)?shù)（SFF），要求達(dá)到的安全完整性等級(jí)（SIL）對(duì)應(yīng)的目標(biāo)實(shí)銷量且滿足結(jié)構(gòu)約束的要求（SFF的要求）。評(píng)估對(duì)應(yīng)的報(bào)告是失效模式、影響和診斷分析報(bào)告（FMEDA）。或者按照GB/T21109.1（IEC61511-1）標(biāo)準(zhǔn)“經(jīng)使用驗(yàn)證的（Prowen in Use）”來進(jìn)行選擇用于安全儀表系統(tǒng)的控制閥等儀表設(shè)備以及系統(tǒng)各組成的功能單元，但必須有充分的文檔數(shù)據(jù)和記錄；或者依據(jù)GB/T50770-2013標(biāo)準(zhǔn)石油化工安全儀表系統(tǒng)設(shè)計(jì)規(guī)范 ，按照滿足安全完整性的要求進(jìn)行控制閥的設(shè)置，參考該標(biāo)準(zhǔn)的條文說明“可采用計(jì)算低要求操作模式的平均失效概率的方法設(shè)計(jì)和驗(yàn)證最終元件的安全完整性等級(jí)，也可根據(jù)經(jīng)驗(yàn)使用原則，有實(shí)際證據(jù)證明這種最終元件在以前的試驗(yàn)中有足夠的安全完整性，就可確定選用該最終元件符合相應(yīng)的完全完整性等級(jí)”。評(píng)估流程參見圖6。不要孤立地理解“SIL能力”或者“IEC61508認(rèn)證”，在實(shí)際控制閥符合性評(píng)估和選型時(shí)，要關(guān)注產(chǎn)品安全手冊和認(rèn)證報(bào)告中描述的使用條件規(guī)定或限值，要確認(rèn)確定的產(chǎn)品可靠性、硬件故障裕度、診斷覆蓋率、抵御環(huán)境因素影響的能力、避免操作失效導(dǎo)致系統(tǒng)失效的能力，在全生命周期不同階段采取的避免措施；要了解研發(fā)過程的管理，要了解包括硬件配置、軟件組態(tài)、接口、安裝測試、故障響應(yīng)、平均維修時(shí)間MTTR等細(xì)節(jié)?？刂崎y又是可修的產(chǎn)品，要考慮其可用性和維護(hù)性，考慮平均故障間隔時(shí)間MTBF。而“經(jīng)使用驗(yàn)證的”設(shè)備（控制閥），必須評(píng)估表明有足夠低的危險(xiǎn)失效率，有證據(jù)能證明適用于SIS，在先前的操作期間，滿足所有的設(shè)計(jì)要求沒有更改、至少有10個(gè)不同的應(yīng)用實(shí)例、至少1萬小時(shí)的操作運(yùn)行經(jīng)歷并且至少1年的現(xiàn)場服務(wù)期的條件，要有充分的文檔化材料。對(duì)于屬于定制化產(chǎn)品的控制閥，每一臺(tái)都有可能存在依照用戶操作條件做細(xì)節(jié)修改和部件變動(dòng)及改換材料即設(shè)計(jì)有改動(dòng)，尤其是特殊工況控制閥/切斷閥，真正做到符合“經(jīng)使用驗(yàn)證”條件確實(shí)不易。SIL認(rèn)證SIL的評(píng)估貫穿于系統(tǒng)和產(chǎn)品的全生命周期，SIL也使安全儀表系統(tǒng)的設(shè)計(jì)者、集成商、用戶和制造商緊密聯(lián)系在一起?？刂崎y安全完整性等級(jí)SIL認(rèn)證的模式為型式試驗(yàn)、安全功能型式試驗(yàn)和制造廠質(zhì)量體系評(píng)定及認(rèn)證后監(jiān)督。SIL認(rèn)證不同于CE認(rèn)證，不僅僅是對(duì)已經(jīng)設(shè)計(jì)制造出來的控制閥樣機(jī)進(jìn)行測試，必須從著手設(shè)計(jì)研發(fā)就開始考慮SIL認(rèn)證。此外，型式試驗(yàn)是個(gè)小樣本的問題，并非每一臺(tái)控制閥都進(jìn)行項(xiàng)目繁多的試驗(yàn)，這就需要控制閥可靠性和可用性評(píng)估來適應(yīng)，以及考慮控制閥多組件組合帶來的問題?？刂崎y制造商首先要做到產(chǎn)品硬件滿足PFDavg條件，基于GB/T20438（IEC61508）認(rèn)證的FMEDA失效模式、影響和診斷分析，達(dá)到目標(biāo)SIL的期望，對(duì)安全儀表功能滿足安全失效分?jǐn)?shù)；在認(rèn)證工藝上，根據(jù)目標(biāo)SIL和系統(tǒng)可容忍故障滿足軟件的要求以及滿足設(shè)計(jì)工藝的要求；還要準(zhǔn)備好給用戶的控制閥安全手冊。SIL1可由公司內(nèi)獨(dú)立人員執(zhí)行風(fēng)險(xiǎn)評(píng)估，SIL2可由公司內(nèi)部獨(dú)立部門執(zhí)行風(fēng)險(xiǎn)評(píng)估，SIL3和SIL4由外部獨(dú)立機(jī)構(gòu)執(zhí)行風(fēng)險(xiǎn)評(píng)估。通常是由第三方認(rèn)證機(jī)構(gòu)對(duì)控制閥進(jìn)行SIL認(rèn)證，如美國exida、德國BGIA、德國TV（TV SD/TV南德、TV Rheinland/萊恩TV、TV Nord/TV北德）、中國機(jī)械工業(yè)儀器儀表綜合技術(shù)經(jīng)濟(jì)研究所（ITEI）功能安全技術(shù)研發(fā)中心（FSchina）等。SIL認(rèn)證的主要流程是：第一階段檢查、評(píng)估安全概念，進(jìn)行概念評(píng)估，出具概念評(píng)估報(bào)告。主要任務(wù)是檢查并評(píng)審控制閥需要規(guī)范和安全設(shè)計(jì)概念；檢查并評(píng)估在產(chǎn)品全生命周期各階段尤其是研發(fā)過程（質(zhì)量管理）中的故障避免措施的計(jì)劃；進(jìn)行FMEDA失效模式、影響和診斷分析，評(píng)估檢測和控制故障需采取的措施，評(píng)價(jià)是否安全完整性等級(jí)能達(dá)到預(yù)期目的；對(duì)設(shè)計(jì)和質(zhì)量管理的文檔進(jìn)行審核，定義需求的電氣安全、電磁兼容、環(huán)境測試；制定主檢的項(xiàng)目計(jì)劃。第二階段做進(jìn)一步的功能、安全和環(huán)境測試，進(jìn)行主檢，出具測試報(bào)告；檢查控制閥的技術(shù)要求-安全失效位置、壓力等級(jí)、類型、扭矩/推力、材料、泄漏、流體能力、流量特性、噪聲/震動(dòng)等，檢查ESD控制閥及其ESD閥門定位器的部分行程測試PST，測試所有的安全相關(guān)的功能，分析硬件軟件功能性的和最壞情況；檢測和控制故障的驗(yàn)證（故障插入方法/虛警方法），F(xiàn)MEDA失效模式、影響和診斷分析的驗(yàn)證和執(zhí)行；軟件驗(yàn)證測試的評(píng)審（模塊、集成測試、系統(tǒng)測試）；對(duì)研發(fā)過程中創(chuàng)建的產(chǎn)品文檔評(píng)審（設(shè)計(jì)文檔和測試、驗(yàn)證、審核記錄）；安全相關(guān)的可靠性數(shù)據(jù)的定義和計(jì)算；電氣安全、環(huán)境測試（包括EMC）；檢查提交的用戶文檔（安裝和操作手冊、安全手冊）。第三階段進(jìn)入測試產(chǎn)品發(fā)證流程?；跍y試報(bào)告，頒發(fā)相應(yīng)證書，證明該控制閥產(chǎn)品符合應(yīng)用到某一SIL的安全相關(guān)系統(tǒng)/安全儀表系統(tǒng)。根據(jù)SIL證書或相關(guān)網(wǎng)站查驗(yàn)，可供設(shè)計(jì)選用和系統(tǒng)集成參考。結(jié)束語對(duì)控制閥的安全功能必須進(jìn)行符合性評(píng)估和SIL認(rèn)證，從而獲得“符合IEC61508（GB/T20438）SILn的安全相關(guān)系統(tǒng)/安全儀表系統(tǒng)應(yīng)用”?？刂崎y組件各部分如調(diào)節(jié)機(jī)構(gòu)和執(zhí)行機(jī)構(gòu)、配置的閥門定位器、電磁閥都應(yīng)有分別的符合性評(píng)估，新型號(hào)產(chǎn)品必須經(jīng)過量化的SIL認(rèn)證，已存在產(chǎn)品也可用定性方法以安全使用的文檔數(shù)據(jù)來證