安全儀表系統及其功能安全中國石化青島安全工程研究院儲運及安控技術研究室

二〇〇九年九月安全儀表系統及其功能安全中國石化青島安全工程研究院二〇〇九年

一、安全儀表系統

二、功能安全

三、國內外進展

四、SIL等級確定與評估

五、前期工作

六、石油化工行業功能安全現狀

七、下一步計劃

一、安全儀表系統

二、功能安全

三、國內外進展

四

一、安全儀表系統（一）相關概念

安全相關系統（SRS）SafetyRelatedSystem用于安全目的的系統稱之為安全相關系統。安全相關系統的作用是監視生產過程的狀態，在出現危險條件時采取相應措施，防止危險發生或者減輕危險造成的后果，避免潛在風險對人身、設備、環境造成傷害。安全相關系統在工業生產和日常生活中隨處可見，如安全帽、安全閥、緊急停車系統、汽車的安全氣囊等等。

一、安全儀表系統安全儀表系統（SIS）SafetyInstrumentedSystem--緊急停車系統（ESD）--火/氣保護系統（F&G）--安全聯鎖系統（SIS）--燃燒爐控制系統（BMS）--高壓保護系統（HIPPS）--安全儀表系統是靜態的、被動的，不需要人為干預。在危險情況出現時必須能夠由靜變動，正確完成其功能。安全儀表系統設計目標—正確的功能和良好的可靠性。安全儀表系統（SIS）SafetyI

基本過程控制系統（BPCS）BasicProcessControlSystem--基于DCS--基于PLC的監控系統--基于SCADA--基于常規儀表控制系統--基本過程控制系統是活動的、動態的，需要人工頻繁的干預。使生產過程的溫度、壓力、液位、流量等工藝參數維持在規定的范圍之內，以保證產品的產量與質量。安全儀表系統及其功能安全課件安全儀表系統及其功能安全課件安全儀表功能SIFSafetyInstrumentedFunction--每個SIF針對特定的風險--每套SIS可以執行多個SIF--安全功能和安全儀表功能--危險出現時，要求SIS正確執行對應的SIF安全儀表功能SIF（二）作用

監視生產過程的狀態，在出現危險的條件時，自動執行其規定的安全儀表功能，防止危險事件發生，或減輕危險事件造成的影響。（二）作用

安全儀表系統在保護層中的位置層次名稱說明第一層過程設計過程設計中實現本質安全工廠

第二層基本過程控制系統（BPCS）如DCS，以正常運行的監控為目的第三層區別于BPCS的重要報警操作員介入需要有一定的必要余度時。

第四層安全儀表系統（SIS）系統自動地使工廠安全停車。第五層物理防護層（一）安全閥泄壓、過壓保護系統第六層物理防護層（二）將泄漏液體局限在局部區域的防護堤第七層工廠內部緊急應對計劃工廠內部的應急計劃第八層周邊區域防災計劃周邊居民、公共設施的應急計劃安全儀表系統在保護層中的位置層次名稱說明第一層過1保護層模型（洋蔥模型）社區緊急響應全廠緊急響應物理防護(防護堤)物理防護(釋放設備)SIS自動動作關鍵報警,操作員監控,人工干預基本控制,工藝報警,操作員監控工藝設計LAH1ILOPALayerofprotectionanalysis1保護層模型（洋蔥模型）社區緊急響應全廠緊急響應物理防護(減輕預防SISBPCS減輕預防SISBPCS

（三）標準定義關鍵詞：安全功能傳感器邏輯運算器執行元件

ANSI／ISAS84.01—1996Applicationofsafetyinstrumentedsystemsfortheprocessindustries

由傳感器、邏輯控制器及終端元件組成的系統，其目的是出現故障時，將過程處于安全狀態。

SH/T3018-2003石油化工安全儀表系統設計規范

用儀表實現安全功能的系統。系統包括傳感器，邏輯運算器，最終執行元件及相應軟件等。

IEC

61511

（GB/T20119）

Functionalsafety:

safety

instrumented

systems

for

the

process

industry

sector

用來完成一個或多個安全儀表功能的儀表系統。安全儀表系統由傳感器，運算器和最終元件組合而成。

二、功能安全（一）典型事故印度—博帕爾(BHOPAL)1984年12月3日劇毒氣體泄漏:異氰酸甲酯MethylIsocyanate二、功能安全聯碳(印度)有限公司聯碳(印度)有限公司泄漏氣體：異氰酸甲酯MethylIsocyanate6套安全系統無一起作用>3000人因吸入劇毒氣體死亡(41噸)>500,000人受到影響沒有逃生計劃由于沒有察覺和準備、沒有接受培訓，應急響應失效>20,000人死亡>120,000人仍然遭受疾病困擾化工廠最為嚴重的事故2005年8月,>+20,000人因此死亡泄漏氣體：異氰酸甲酯MethylIsocyanate201994年7月英國Millford煉廠（Shell）安全儀表系統及其功能安全課件20噸可燃氣體泄漏（從火炬放空罐）爆炸相當于4噸烈性炸藥26人傷亡$7500萬重建$320,000罰金和$200,000訴訟費20噸可燃氣體泄漏（從火炬放空罐）安全儀表系統及其功能安全課件

2004年7月30日GAStransport（氣體輸送）-比利時

?HIMA2008氣體管線爆炸Gellingen-比利時

2004.07.3024人死亡132人受傷?HIMA2008氣體管線爆炸24人死亡安全系統已經發現泄漏，提示停影響后續電廠，當地市區30%電力堅持運轉，七人一組尋找漏點一組找到漏點，恰逢燃爆，當場全部死亡僅有安全系統是不夠的安全系統已經發現泄漏，提示停

2005年10月10日英國Buncefield儲油終端爆炸和火災事故英國Buncefield儲油終端爆炸和火災事故爆炸和大火從2005年12月11日早6點開始，直至13日的下午才完全撲滅。

共有8人遇難和43人受到嚴重傷害。希思羅機場（HeathrowAirport）30％的航空用油由該油庫供應。由于其中通訊公司設施的損壞，影響了大范圍互聯網用戶的業務。由于大量泡沫滅火劑的使用，對地下水構成了威脅。由于對公眾的傷害，導致了大量的法律訴訟，即使到2009年6月，仍有與該事故有關的訴訟案件在法院開庭。2005年10月10日晚7時，開始向912＃儲油罐輸入無鉛汽油。午夜時分，對儲罐的液位進行檢查，沒有發現異常。11日凌晨3時左右，912＃罐的液位不再變化，但此時仍在以550m3/h的流量泵入汽油。計算表明，在5時20分儲罐冒頂并開始溢出，到6時爆炸發生前的40分鐘，大約有300噸汽油從罐壁流向地面。在罐的周圍有半封閉的圍堰，溢流出的汽油攔在了圍堰內，但在油面形成了1到2米厚的油氣云團，并向四周擴散。沒有證據找出準確的點火源，不排除應急發電機和消防泵系統。

安全儀表系統及其功能安全課件安全儀表系統及其功能安全課件

1988年7月6日

PiperAlpha采油平臺意外事故

（西方石油OccidentalPetroleum）安全儀表系統及其功能安全課件

PiperAlpha采油平臺投產于1976年，起初只生產石油。到1980年代，增加了天然氣開采。通過海管將油氣輸送Flotta石油終端。在PiperAlpha平臺的周圍，還有Claymore平臺、Tartan平臺，以及天然氣處理平臺MCP-01。PiperAlpha平臺日產原油12.5萬桶，是北海油田生產量最大的平臺，油氣產量占北海油田的10％左右。爆炸和火災意外事故時，共有226人在平臺上。PiperAlpha平臺被爆炸和大火摧毀，共導致167人喪生，合計保險損失34億美元。PiperAlpha采油平臺投產于1976年，平臺上有2-G-100A和2-G-100B兩臺LPG凝液泵，在泵的出口各裝有一個安全閥，PSV504和PSV505。對A泵進行檢修，B泵維持生產。另一張檢修工作票－對PSV504安全進行校驗。發生爆炸時，因防火墻當初按照火災而非爆炸設計，碎片又摧毀了一些凝液管道，引發火災。自動滅火系統正處于手動啟動狀態。控制室失去功能，廣播系統不能發布撤退指令；大火阻止了前往救生艇的通路。PiperAlpha處于災難之中時，Claymore和Tartan仍通過海管向其泵入油氣。操作規程不允許輕易地停產，停車成本非常高。從1988年到1990年，通過對事故的調查和研究，給出了106條建議，改進生產的操作規程和安全管理程序。平臺上有2-G-100A和2-G-100B兩臺LPG凝液泵，安全儀表系統及其功能安全課件2005年12月13日中國石油吉林石化分公司雙苯廠爆炸安全儀表系統及其功能安全課件相關信息位置:吉林市日期:2005年11月13日因操作工違反操作規程在預熱器停止進料后沒關閉加熱蒸汽閥門、重新進料時又先打開蒸汽閥門而引發的一起爆炸事故。

后果:8死1重傷59輕傷直接經濟損失6908萬松花江水污染相關信息安全儀表系統及其功能安全課件安全儀表系統及其功能安全課件安全儀表系統及其功能安全課件工藝技術規范44.1%安裝&開車5.9%操作&維護14.7%基于英國調查的34起事故,HSE更改20.6%設計&工程實施14.7%工藝技術規范44.1%安裝&開車5.9%操作&維護14

典型事故表明：幾乎所有事故都與安全儀表系統有關，必須重視安全儀表系統的設計，并保證其安全功能的可靠執行。僅有安全儀表系統是不夠的，要有正確的理念和管理。技術措施+管理措施

（二）基本概念安全功能：是指針對特定的危險事件，為達到或保持過程的安全狀態，由安全儀表系統（SIS）、其他技術安全相關系統或外部風險降低設施實現的功能。功能安全：與過程和基本過程控制系統（BPCS）有關的整體安全的組成部分，它取決于安全儀表系統（SIS）和其他保護層的正確行使職能。

安全儀表系統及其功能安全課件

如果SIS本身的隨機、公共原因和系統故障沒有使其所執行的安全功能失效，沒有造成人員傷亡，未引起外溢污染環境，沒有毀壞關鍵設備，SIS就做到了功能安全。安全功能：正確功能安全：可靠

（三）功能安全標準IEC61508

FunctionalSafetyofelectrical/electronic/programmableelectronicsafetyrelatedsystems.(2000）GB/T20438電氣\電子\可編程電子安全相關系統的功能安全（2006）

IEC

61511

Functionalsafety:

safety

instrumented

systems

for

the

process

industry

sector(2003)GB/T21109過程工業領域安全儀表系統的功能安全（2007）

（三）功能安全標準IEC61508和IEC61511的應用范圍

IEC61508功能安全的通用標準IEC61511

面向應用的過程工業的功能安全標準IEC61508針對過程工業的補充考慮過程工業的整體安全生命周期制造商和設備供貨方IEC61508SIS設計人員集成商和最終用戶IEC61511過程工業安全儀表系統(SIS)IEC61508和IEC61511的應用范圍

IEC6標準基礎：DINV19250(1994)《控制技術，測量和控制設備必須考慮的基本安全》，規定安全相關系統必須滿足一定的安全等級（AK1至8級），與其使用對象的風險分析級別對應。世界上第一個工業安全設備分級標準。DINVVDE0801《安全相關系統的計算機原理》，確定了專門的措施用于評估PES，解決設計、編碼、執行和綜合、確認等問題。功能安全的概念也由此產生。DINVVDE0801提供了一種確定PES滿足DINV19250級別的方法。ISAS84.01（1996）《過程工業安全儀表系統的應用》，第一次提出了安全完整性水平（簡稱SIL）的概念，它是衡量一個系統安全性可靠性和完整性的綜合指標。標準基礎：TüV(1984)DINV19250/VDEV0801(德國) –風險分級1989 –安全系統要求不同國家各自的標準ANSI/ISAS84.01(美國)1996 –安全實施程序 –安全生命周期NFPA/UL1998IEC615081998-99– 完整的安全生命周期– 安全計劃／安全管理– 安全完整性等級SIL– 安全系統的診斷要求– 安全系統的結構和可靠性TüV(1984)IEC615081998-99功能安全標準IEC61508IEC61800電子設備IEC61513核電EN50126鐵路IEC60601醫藥IEC62061機械EN50156熔爐IEC61511過程工業功能安全標準IECIEC61800IEC615IEC61508IEC61508安全防護神規范錯誤設計和實施失效安裝和開車錯誤操作和維護錯誤更改錯誤隨即硬件失效IEC61508IEC61508安全防護神規范錯誤設計和

（四）特點--功能安全是以基于風險的方法，用安全系統功能的可靠執行來保證安全。--功能安全技術標準研究的對象是安全系統。--功能安全是通過合適的技術與管理措施，把安全系統的整體風險控制在要求的目標之內。--功能安全是安全科學與工程、控制科學與工程的交叉學科。IEC61508標準，解決了困擾多年的對復雜安全系統功能安全保障的理論與實踐問題，實現了安全技術和管理理論的一大突破。（四）特點IEC61508/61511標準最鮮明的思路是：--采用基于危險和風險分析的方法，確定電氣、電子、可編程電子安全系統的“安全功能”和“功能安全”的要求和量化指標。--采用安全生命周期的架構，使各組織機構、部門、人員以及各階段的工作納入完整的、無縫銜接的統一體系。--它把功能安全管理納入安全生命周期，最大限度地避免系統性失效造成的整體安全性降低。

IEC61508/61511標準最鮮明的思路是：

（五）兩個重要概念--安全完整性等級SIL（SafetyIntegrityLevel）：在規定的條件下，規定的時間內安全相關系統成功完成所要求的安全功能的可能性。也就是在要求安全系統動作時其功能失效概率的倒數。

安全完整性等級（SIL）低要求操作模式在要求時執行其設計功能要求的平均失效概率（PFD）安全有效性(safetyavailability)目標風險降低RRF4≥10-5且＜10-499.99—99.99910000-1000003≥10-4且＜10-399.9—99.991000-100002≥10-3且＜10-299—99.9100-10001≥10-2且＜10-190—9910-100（五）兩個重要概念安全完整性低要求操作模式安全有效性目標風險PFD=ProbabilityofFailureonDemand安全功能動作的頻率低于每年一次的稱為低要求操作模式;對安全功能的要求動作頻率高于每年一次稱為高要求(連續)操作模式。低要求操作模式是化工工業中最普遍的模式;高要求操作模式在制造加工業和航空工業中比較普遍。SIL代表著安全儀表系統使過程風險降低的數量級

風險概率=危險事件發生概率×安全系統要求其動作時功能失效概率。可見風險概率是低于危險事件發生概率的，因此說要求其動作時功能失效概率可以反映安全系統帶來的整體風險概率的降低。風險是風險概率和后果嚴重程度的組合，所以風險概率下降程度就是風險下降的程度。因此，安全完整性等級反映了整體風險水平的降低。SIL是安全系統的核心,安全系統的設計、安裝、檢驗評估、維護都是圍繞著SIL來進行的。SIL成為領域內合同的必備條款PFD=ProbabilityofFailureon

安全要求包括：安全功能（安全儀表功能）SIF

安全完整性等級SIL

功能安全技術標準：在整個安全生命周期內，通過一系列的技術措施和管理措施保證達到所要求的安全完整性水平（SIL）。安全要求包括：安全功能（安全儀表功能）SIF

--安全生命周期SLC（SaftyLifeCycle）

安全系統整體的安全生命周期是指從其概念提出開始經歷若干中間階段一直到安全系統停用，包括了為達到安全完整性水平SIL而進行的一切活動。安全生命周期是IEC61508的重要基礎，用系統的方式建立的一個框架,用以指導安全系統的設計和評價。整體安全生命周期包括了系統的分析、設計、安裝、確認、操作、維護、停用等等諸多方面，關于每一方面標準都要求建立相應的文檔以及安全規范。系統還可以根據實際中應用的效果來進行修改，甚至是從頭開始重來。

--安全生命周期SLC（SaftyLifeSIL要求SIL設計SIL保持SIL要求SIL設計SIL保持分析階段（SIL要求）--風險分析--SIF確認--SIL選擇實現階段（SIL實現）--設計--安裝--調試

運行階段（SIL保持）--運行--維護--修改

分析階段（SIL要求）--風險分析整體安全生命周期是功能安全管理中的一個重要框架,為功能安全管理提供一個系統的方法。安全完整性水平貫穿于安全系統開發的始終。安全完整性水平不僅是安全系統安全性能的度量標準,而且是安全系統生命周期中的主線。整體安全生命周期是功能安全管理中的一個重要框架,為功能安全管三、SIL等級確定與評估殘余風險允許風險原始風險風險增加必要的風險降低實際的風險降低被安全儀表系統覆蓋的部分風險被其他技術安全相關系統覆蓋的部分風險被外部風險降低設施覆蓋的部分風險所有安全系統和外部風險降低設施所獲得的風險降低三、SIL等級確定與評估殘余風險允許風險原始風險風險增加必要風險和安全完整性概念危險事件的后果危險事件的頻率EUC風險外部風險降低設施E/E/PE安全相關系統其他技術安全相關系統EUC和EUC控制系統必要的風險降低外部風險降低設施安全完整性和與必要的風險降低匹配的安全相關系統允許風險目標風險和安全完整性概念危險事件的后果危險事件的頻率EUC外部安全儀表系統及其功能安全課件安全儀表功能的SIL等級確定方法保護層分析法（LOPA）

保護層分析法（LOPA）利用危險和可操作性分析（HAZOP）辨識的數據，量化原因和后果的等級，通過風險圖計算危險。這樣就能確定風險降低的總量以及是否需要進一步降低所分析的風險。如需附加的風險降低以一個安全儀表功能（SIF）的形式提供這種降低，LOPA可以確定所需的安全完整性等級（SIL）。風險矩陣法風險矩陣是基于分類的方法。首先應該為風險的后果和可能性制定分類。如后果可分為“較輕”、“嚴重”和“重大”,可能性分為“低”、“中等”和“高”。后果和可能性分別構成矩陣的一個坐標(行、列),同時每一個矩陣元素為一個安全完整性水平。風險圖

風險圖方法也是定量和基于分類的。風險的允許水平蘊含在風險圖的結構中風險圖分析使用4個參數來確定安全完整性水平：后果C、處于危險區域的時間F、避開危險的概率P和要求率W。安全儀表功能的SIL等級確定方法安全儀表系統及其功能安全課件安全完整性等級SIL評估技術-概率計算法利用工業產品可靠性數據庫獲得設備、儀器儀表的失效概率，依據聯鎖回路中的設備和儀表，對系統發生失效的概率進行計算，從而獲得SIF的安全完整性等級SIL。-事故樹分析法采用自上而下的方法識別系統故障，借助概率計算法可獲得系統的失效概率。-馬爾科夫過程分析利用馬爾科夫過程分析安全儀表系統安全性隨時間的發展關系，判斷安全儀表系統的可靠性及壽命。安全完整性等級SIL評估技術安全儀表系統及其功能安全課件

安全儀表系統（SIS）是裝置最重要的保護層，一旦失效，會造成不可估量的損失。設計的目標既要保證安全儀表系統執行正確的功能（SIF），又要具有良好的可靠性（SIL）。安全完整性等級是安全儀表系統可靠性能的衡量標準，是整個安全儀表系統生命周期的主線，其選擇應該恰到好處，過高造成成本損失，過低會使風險不可接受。

四、國內外進展（一）國外（1）1994年,DINV19250/DINVVDE0801（2）1996年，ANSI/ISA-84.01-1996（3）1998年，IEC61508，于1998年發布其第1、3、4和第5部分，2000年發布其第2、6和第7部分（4）2003年，IEC61511（5）2004年，ENIEC61511（CENELEC）（CENELEC）歐洲電氣技術標準化委員會將IEC61511接納為歐洲標準ANSI/ISA-84.00.01-2004（IEC61511Modified）ISA-SP84將其命名為ANSI/ISA-84.00.01-2004（IEC61511Modified），完全取代了ANSI／ISA-84.01-1996四、國內外進展

世界著名的公司，如殼牌石油，道化學，美孚石油，新加坡石化公司等都通過應用該標準，取得了良好的社會、經濟效果。2001年，Shell（英殼牌石油公司）GSI（ShellGlobalSolutionsInternationalB.V.）就發布了企業內部應用規范“儀表保護功能的分類與實施”、“儀表保護功能的管理”，及“儀表保護系統技術規范”。CNOOC-SHELL項目以及其他SHELL的國內項目都在不折不扣的執行其標準規范。

世界著名的公司，如殼牌石油，道化學，美孚石安全儀表系統及其功能安全課件

馬來西亞國家石油公司PETRONAS案例--2000年對新建項目開始應用IEC61508/IEC61511；--2000年以后逐步開始對在役裝置評估，收效極為明顯。--經過內部培訓，聯合國家石油公司科學研究院對公司所有裝置開展IPF研究。新建裝置/項目/重大改造：1、開展HAZOP研究；2、辨識SIS要求，確保對辨識危險進行防護；3、SIS必須滿足IEC61508/61511。現役裝置：對照IEC61508/61511標準，審查是否符合。

安全儀表系統及其功能安全課件如何保證SIS符合IEC61508/61511？實施SIF或IPF研究。1、對每一個SIF確定要求的SIL；2、確保整個系統滿足SIL要求；3、確定每個SIF的檢驗周期；4、文檔化整個生命周期所有安全儀表管理方案。如何保證SIS符合IEC61508/61511？某裝置XSIF/IPF研究工廠可靠性改善某裝置XSIF/IPF研究工廠可靠性改善裝置YSIF/IPF研究工廠可靠性改善裝置YSIF/IPF研究工廠可靠性改善

（二）國內（1）1999年，SHB-Z06-1999《石油化工緊急停車及安全聯鎖系統設計導則》，采用了IEC標準中的一些理念。（2）2003年，SY/T10045-2003《工業過程中安全儀表系統的應用》國家經濟貿易委員會發布，作為石油天然氣行業標準。等同采用ISA84.01-1996（3）2004年7月1日，SH/T3012-2003《石油化工安全儀表系統設計規范》，國家發改委頒布實施了石油化工行業標準。（4）2004年，國家科技部組織機械工業儀器儀表綜合技術經濟研究所、清華大學成立國家軟科學計劃項目課題組，項目編號:2004DGS1B010《利用功能安全技術標準保障我國經濟安全的政策措施研究》，課題組建議，在我國實施功能安全標準戰略是當務之急。國家應從組織管理、技術體系兩大支柱，法律法規、政策策略、標準體系、中介服務體系、產業與創新、國際合作等六個支撐要素共八個方面，分步建立我國功能安全保障體系。（二）國內（5）GB/T20438.1-2006《電氣/電子/可編程電子安全相關系統功能安全》，IEC61508完整轉換，于2006年7月發布，2007年1月1日實施。（6）GB/T21109.1-2007《過程工業領域安全儀表系統的功能安全》由IEC61511完整轉換，于2007年10月11日發布，2007年12月1日實施。（7）國家標準《石油化工安全儀表系統設計規范》初稿已經完成，8月審核，正在征求意見。預計2010年底發布。標準引入安全生命周期概念。國內還處于起步階段，需要業界的不懈努力。（5）GB/T20438.1-2006《電氣

五、前期工作

（1）2007年下半年，開始調研國內外安全儀表系統現狀與進展。（2）2008年5月，4人取得了TüV認證功能安全工程師資格（TüVFSEng）。（3）2008年4月開始—12月，結合《上海石化PTA裝置安穩運行技術研究》課題，對PTA裝置安全儀表系統探索性地進行了SIL等級評估工作。（4）編制中國石化安全儀表系統功能安全評估實施指南。（5）研究國外著名石化企業儀表保護系統/儀表保護功能相關規范。

五、前期工作

PTA裝置安全儀表系統SIL等級評定主要內容：（1）PTA裝置HAZOP分析，危險識別和保護措施識別（2）PTA裝置LOPA保護層分析，確定每一個安全儀表功能的目標SIL值（3）收集安全儀表系統組成元件失效數據，計算實際能夠達到的SIL（4）目標SIL與實際SIL比較，提出改進建議（5）確定安全儀表系統組成部分的檢驗周期（6）估算安全儀表系統誤停車率（未開展）

安全儀表系統及其功能安全課件

六、石油化工行業功能安全現狀

雖然石油化工絕大多數裝置大都采用安全儀表系統（SIS），但在設計、集成、施工及維護管理諸環節卻存在很大的問題，具體體現在：--危險辨識和風險評估?（經驗、抄襲）--既沒有SIL的確定，也沒有SIL驗證?--安全儀表系統及其功能安全概念模糊?--從業人員缺乏功能安全理念?資質？--重控制器，輕傳感器和執行機構以及其他設備，缺乏安全完整性概念?--集成和施工沒有相關資質要求，沒有相應的規范。因此無法保證所提供產品和服務達到相關SIL要求。近期一些主要集成商開始重視規范的學習與實踐以及人員認證。

六、石油化工行業功能安全現狀

--從業人員不清楚聯鎖回路目標SIL，更不清楚實際的SIL？--安全儀表檢驗周期不明，混同一般儀表處理？--沒有專門的檢維修規程？--停用與投用有些隨意？--

總之，功能安全理念不清，從設計到維護各個環節都缺乏科學有效的技術方法和管理。安全儀表系統目標、設計依據、實際狀況、如何維護都不掌握。致使安全儀表系統不能保證全生命周期的安全完整性等級，達不到可接受風險水平。反而因安全儀表系統非計劃停車明顯增多，造成巨大的經濟損失，產生一系列的安全問題。

七、下一步計劃

應該說：安全儀表系統是石化裝置降低風險最為有效的保護措施，是裝置運行最為重要的保護層。但如何保證其正確、有效，任重道遠。

（1）宣傳培訓按照標準的要求，安全儀表系統從業人員必須接受相關知識的培訓，明確功能安全的相關概念和理念。這既是規范的要求，是企業的迫切需要，也是擺在我們面前一項重要工作。計劃：研討班+培訓班(分層次)，中國石化范圍。（2）基礎研究和示范消化吸收國際上功能安全的最新標準與先進技術，建立功能安全基礎技術研究平臺，開展功能安全核心技術研究，完善功能安全應用手段。

七、下一步計劃

借助課題，首先進行SIL等級評定工作，熟練掌握標準的技術要求。其后逐步滲入到其他方面。借鑒國外公司的實踐，內外結合，提高熟練應用標準、為中國石化企業咨詢服務的能力。根據石化裝置的特點，制定中國石化安全儀表系統功能安全評估應用指南和評估軟件。

（3）推廣應用結合功能安全評估應用指南，按照生產裝置類別、危險性狀況，組織中國石化相關人員開展安全全儀表系統的功能安全評估工作。

（4）管理體系制定符合中國石化的安全儀表系統功能安全標準、規范和管理制度，推行功能安全管理體系。安全儀表系統及其功能安全課件

期望經過大家的努力，使石化裝置安全儀表系統功能安全管理盡快與世界著名石油公司接軌。一方面可以使裝置風險控制在可以接受水平內，另外可以大大降低裝置的非計劃停車，意義特別重大！相信這些新的科學的方法一定會對我國的安全生產起到極大的促進作用。

安全儀表系統及其功能安全課件

謝謝

安全儀表系統及其功能安全中國石化青島安全工程研究院儲運及安控技術研究室

二〇〇九年九月安全儀表系統及其功能安全中國石化青島安全工程研究院二〇〇九年

一、安全儀表系統

二、功能安全

三、國內外進展

四、SIL等級確定與評估

五、前期工作

六、石油化工行業功能安全現狀

七、下一步計劃

一、安全儀表系統

二、功能安全

三、國內外進展

四

一、安全儀表系統（一）相關概念

安全相關系統（SRS）SafetyRelatedSystem用于安全目的的系統稱之為安全相關系統。安全相關系統的作用是監視生產過程的狀態，在出現危險條件時采取相應措施，防止危險發生或者減輕危險造成的后果，避免潛在風險對人身、設備、環境造成傷害。安全相關系統在工業生產和日常生活中隨處可見，如安全帽、安全閥、緊急停車系統、汽車的安全氣囊等等。

一、安全儀表系統安全儀表系統（SIS）SafetyInstrumentedSystem--緊急停車系統（ESD）--火/氣保護系統（F&G）--安全聯鎖系統（SIS）--燃燒爐控制系統（BMS）--高壓保護系統（HIPPS）--安全儀表系統是靜態的、被動的，不需要人為干預。在危險情況出現時必須能夠由靜變動，正確完成其功能。安全儀表系統設計目標—正確的功能和良好的可靠性。安全儀表系統（SIS）SafetyI

基本過程控制系統（BPCS）BasicProcessControlSystem--基于DCS--基于PLC的監控系統--基于SCADA--基于常規儀表控制系統--基本過程控制系統是活動的、動態的，需要人工頻繁的干預。使生產過程的溫度、壓力、液位、流量等工藝參數維持在規定的范圍之內，以保證產品的產量與質量。安全儀表系統及其功能安全課件安全儀表系統及其功能安全課件安全儀表功能SIFSafetyInstrumentedFunction--每個SIF針對特定的風險--每套SIS可以執行多個SIF--安全功能和安全儀表功能--危險出現時，要求SIS正確執行對應的SIF安全儀表功能SIF（二）作用

監視生產過程的狀態，在出現危險的條件時，自動執行其規定的安全儀表功能，防止危險事件發生，或減輕危險事件造成的影響。（二）作用

安全儀表系統在保護層中的位置層次名稱說明第一層過程設計過程設計中實現本質安全工廠

第二層基本過程控制系統（BPCS）如DCS，以正常運行的監控為目的第三層區別于BPCS的重要報警操作員介入需要有一定的必要余度時。

第四層安全儀表系統（SIS）系統自動地使工廠安全停車。第五層物理防護層（一）安全閥泄壓、過壓保護系統第六層物理防護層（二）將泄漏液體局限在局部區域的防護堤第七層工廠內部緊急應對計劃工廠內部的應急計劃第八層周邊區域防災計劃周邊居民、公共設施的應急計劃安全儀表系統在保護層中的位置層次名稱說明第一層過1保護層模型（洋蔥模型）社區緊急響應全廠緊急響應物理防護(防護堤)物理防護(釋放設備)SIS自動動作關鍵報警,操作員監控,人工干預基本控制,工藝報警,操作員監控工藝設計LAH1ILOPALayerofprotectionanalysis1保護層模型（洋蔥模型）社區緊急響應全廠緊急響應物理防護(減輕預防SISBPCS減輕預防SISBPCS

（三）標準定義關鍵詞：安全功能傳感器邏輯運算器執行元件

ANSI／ISAS84.01—1996Applicationofsafetyinstrumentedsystemsfortheprocessindustries

由傳感器、邏輯控制器及終端元件組成的系統，其目的是出現故障時，將過程處于安全狀態。

SH/T3018-2003石油化工安全儀表系統設計規范

用儀表實現安全功能的系統。系統包括傳感器，邏輯運算器，最終執行元件及相應軟件等。

IEC

61511

（GB/T20119）

Functionalsafety:

safety

instrumented

systems

for

the

process

industry

sector

用來完成一個或多個安全儀表功能的儀表系統。安全儀表系統由傳感器，運算器和最終元件組合而成。

二、功能安全（一）典型事故印度—博帕爾(BHOPAL)1984年12月3日劇毒氣體泄漏:異氰酸甲酯MethylIsocyanate二、功能安全聯碳(印度)有限公司聯碳(印度)有限公司泄漏氣體：異氰酸甲酯MethylIsocyanate6套安全系統無一起作用>3000人因吸入劇毒氣體死亡(41噸)>500,000人受到影響沒有逃生計劃由于沒有察覺和準備、沒有接受培訓，應急響應失效>20,000人死亡>120,000人仍然遭受疾病困擾化工廠最為嚴重的事故2005年8月,>+20,000人因此死亡泄漏氣體：異氰酸甲酯MethylIsocyanate201994年7月英國Millford煉廠（Shell）安全儀表系統及其功能安全課件20噸可燃氣體泄漏（從火炬放空罐）爆炸相當于4噸烈性炸藥26人傷亡$7500萬重建$320,000罰金和$200,000訴訟費20噸可燃氣體泄漏（從火炬放空罐）安全儀表系統及其功能安全課件

2004年7月30日GAStransport（氣體輸送）-比利時

?HIMA2008氣體管線爆炸Gellingen-比利時

2004.07.3024人死亡132人受傷?HIMA2008氣體管線爆炸24人死亡安全系統已經發現泄漏，提示停影響后續電廠，當地市區30%電力堅持運轉，七人一組尋找漏點一組找到漏點，恰逢燃爆，當場全部死亡僅有安全系統是不夠的安全系統已經發現泄漏，提示停

2005年10月10日英國Buncefield儲油終端爆炸和火災事故英國Buncefield儲油終端爆炸和火災事故爆炸和大火從2005年12月11日早6點開始，直至13日的下午才完全撲滅。

共有8人遇難和43人受到嚴重傷害。希思羅機場（HeathrowAirport）30％的航空用油由該油庫供應。由于其中通訊公司設施的損壞，影響了大范圍互聯網用戶的業務。由于大量泡沫滅火劑的使用，對地下水構成了威脅。由于對公眾的傷害，導致了大量的法律訴訟，即使到2009年6月，仍有與該事故有關的訴訟案件在法院開庭。2005年10月10日晚7時，開始向912＃儲油罐輸入無鉛汽油。午夜時分，對儲罐的液位進行檢查，沒有發現異常。11日凌晨3時左右，912＃罐的液位不再變化，但此時仍在以550m3/h的流量泵入汽油。計算表明，在5時20分儲罐冒頂并開始溢出，到6時爆炸發生前的40分鐘，大約有300噸汽油從罐壁流向地面。在罐的周圍有半封閉的圍堰，溢流出的汽油攔在了圍堰內，但在油面形成了1到2米厚的油氣云團，并向四周擴散。沒有證據找出準確的點火源，不排除應急發電機和消防泵系統。

安全儀表系統及其功能安全課件安全儀表系統及其功能安全課件

1988年7月6日

PiperAlpha采油平臺意外事故

（西方石油OccidentalPetroleum）安全儀表系統及其功能安全課件

PiperAlpha采油平臺投產于1976年，起初只生產石油。到1980年代，增加了天然氣開采。通過海管將油氣輸送Flotta石油終端。在PiperAlpha平臺的周圍，還有Claymore平臺、Tartan平臺，以及天然氣處理平臺MCP-01。PiperAlpha平臺日產原油12.5萬桶，是北海油田生產量最大的平臺，油氣產量占北海油田的10％左右。爆炸和火災意外事故時，共有226人在平臺上。PiperAlpha平臺被爆炸和大火摧毀，共導致167人喪生，合計保險損失34億美元。PiperAlpha采油平臺投產于1976年，平臺上有2-G-100A和2-G-100B兩臺LPG凝液泵，在泵的出口各裝有一個安全閥，PSV504和PSV505。對A泵進行檢修，B泵維持生產。另一張檢修工作票－對PSV504安全進行校驗。發生爆炸時，因防火墻當初按照火災而非爆炸設計，碎片又摧毀了一些凝液管道，引發火災。自動滅火系統正處于手動啟動狀態。控制室失去功能，廣播系統不能發布撤退指令；大火阻止了前往救生艇的通路。PiperAlpha處于災難之中時，Claymore和Tartan仍通過海管向其泵入油氣。操作規程不允許輕易地停產，停車成本非常高。從1988年到1990年，通過對事故的調查和研究，給出了106條建議，改進生產的操作規程和安全管理程序。平臺上有2-G-100A和2-G-100B兩臺LPG凝液泵，安全儀表系統及其功能安全課件2005年12月13日中國石油吉林石化分公司雙苯廠爆炸安全儀表系統及其功能安全課件相關信息位置:吉林市日期:2005年11月13日因操作工違反操作規程在預熱器停止進料后沒關閉加熱蒸汽閥門、重新進料時又先打開蒸汽閥門而引發的一起爆炸事故。

后果:8死1重傷59輕傷直接經濟損失6908萬松花江水污染相關信息安全儀表系統及其功能安全課件安全儀表系統及其功能安全課件安全儀表系統及其功能安全課件工藝技術規范44.1%安裝&開車5.9%操作&維護14.7%基于英國調查的34起事故,HSE更改20.6%設計&工程實施14.7%工藝技術規范44.1%安裝&開車5.9%操作&維護14

典型事故表明：幾乎所有事故都與安全儀表系統有關，必須重視安全儀表系統的設計，并保證其安全功能的可靠執行。僅有安全儀表系統是不夠的，要有正確的理念和管理。技術措施+管理措施

（二）基本概念安全功能：是指針對特定的危險事件，為達到或保持過程的安全狀態，由安全儀表系統（SIS）、其他技術安全相關系統或外部風險降低設施實現的功能。功能安全：與過程和基本過程控制系統（BPCS）有關的整體安全的組成部分，它取決于安全儀表系統（SIS）和其他保護層的正確行使職能。

安全儀表系統及其功能安全課件

如果SIS本身的隨機、公共原因和系統故障沒有使其所執行的安全功能失效，沒有造成人員傷亡，未引起外溢污染環境，沒有毀壞關鍵設備，SIS就做到了功能安全。安全功能：正確功能安全：可靠

（三）功能安全標準IEC61508

FunctionalSafetyofelectrical/electronic/programmableelectronicsafetyrelatedsystems.(2000）GB/T20438電氣\電子\可編程電子安全相關系統的功能安全（2006）

IEC

61511

Functionalsafety:

safety

instrumented

systems

for

the

process

industry

sector(2003)GB/T21109過程工業領域安全儀表系統的功能安全（2007）

（三）功能安全標準IEC61508和IEC61511的應用范圍

IEC61508功能安全的通用標準IEC61511

面向應用的過程工業的功能安全標準IEC61508針對過程工業的補充考慮過程工業的整體安全生命周期制造商和設備供貨方IEC61508SIS設計人員集成商和最終用戶IEC61511過程工業安全儀表系統(SIS)IEC61508和IEC61511的應用范圍

IEC6標準基礎：DINV19250(1994)《控制技術，測量和控制設備必須考慮的基本安全》，規定安全相關系統必須滿足一定的安全等級（AK1至8級），與其使用對象的風險分析級別對應。世界上第一個工業安全設備分級標準。DINVVDE0801《安全相關系統的計算機原理》，確定了專門的措施用于評估PES，解決設計、編碼、執行和綜合、確認等問題。功能安全的概念也由此產生。DINVVDE0801提供了一種確定PES滿足DINV19250級別的方法。ISAS84.01（1996）《過程工業安全儀表系統的應用》，第一次提出了安全完整性水平（簡稱SIL）的概念，它是衡量一個系統安全性可靠性和完整性的綜合指標。標準基礎：TüV(1984)DINV19250/VDEV0801(德國) –風險分級1989 –安全系統要求不同國家各自的標準ANSI/ISAS84.01(美國)1996 –安全實施程序 –安全生命周期NFPA/UL1998IEC615081998-99– 完整的安全生命周期– 安全計劃／安全管理– 安全完整性等級SIL– 安全系統的診斷要求– 安全系統的結構和可靠性TüV(1984)IEC615081998-99功能安全標準IEC61508IEC61800電子設備IEC61513核電EN50126鐵路IEC60601醫藥IEC62061機械EN50156熔爐IEC61511過程工業功能安全標準IECIEC61800IEC615IEC61508IEC61508安全防護神規范錯誤設計和實施失效安裝和開車錯誤操作和維護錯誤更改錯誤隨即硬件失效IEC61508IEC61508安全防護神規范錯誤設計和

（四）特點--功能安全是以基于風險的方法，用安全系統功能的可靠執行來保證安全。--功能安全技術標準研究的對象是安全系統。--功能安全是通過合適的技術與管理措施，把安全系統的整體風險控制在要求的目標之內。--功能安全是安全科學與工程、控制科學與工程的交叉學科。IEC61508標準，解決了困擾多年的對復雜安全系統功能安全保障的理論與實踐問題，實現了安全技術和管理理論的一大突破。（四）特點IEC61508/61511標準最鮮明的思路是：--采用基于危險和風險分析的方法，確定電氣、電子、可編程電子安全系統的“安全功能”和“功能安全”的要求和量化指標。--采用安全生命周期的架構，使各組織機構、部門、人員以及各階段的工作納入完整的、無縫銜接的統一體系。--它把功能安全管理納入安全生命周期，最大限度地避免系統性失效造成的整體安全性降低。

IEC61508/61511標準最鮮明的思路是：

（五）兩個重要概念--安全完整性等級SIL（SafetyIntegrityLevel）：在規定的條件下，規定的時間內安全相關系統成功完成所要求的安全功能的可能性。也就是在要求安全系統動作時其功能失效概率的倒數。

安全完整性等級（SIL）低要求操作模式在要求時執行其設計功能要求的平均失效概率（PFD）安全有效性(safetyavailability)目標風險降低RRF4≥10-5且＜10-499.99—99.99910000-1000003≥10-4且＜10-399.9—99.991000-100002≥10-3且＜10-299—99.9100-10001≥10-2且＜10-190—9910-100（五）兩個重要概念安全完整性低要求操作模式安全有效性目標風險PFD=ProbabilityofFailureonDemand安全功能動作的頻率低于每年一次的稱為低要求操作模式;對安全功能的要求動作頻率高于每年一次稱為高要求(連續)操作模式。低要求操作模式是化工工業中最普遍的模式;高要求操作模式在制造加工業和航空工業中比較普遍。SIL代表著安全儀表系統使過程風險降低的數量級

風險概率=危險事件發生概率×安全系統要求其動作時功能失效概率。可見風險概率是低于危險事件發生概率的，因此說要求其動作時功能失效概率可以反映安全系統帶來的整體風險概率的降低。風險是風險概率和后果嚴重程度的組合，所以風險概率下降程度就是風險下降的程度。因此，安全完整性等級反映了整體風險水平的降低。SIL是安全系統的核心,安全系統的設計、安裝、檢驗評估、維護都是圍繞著SIL來進行的。SIL成為領域內合同的必備條款PFD=ProbabilityofFailureon

安全要求包括：安全功能（安全儀表功能）SIF

安全完整性等級SIL

功能安全技術標準：在整個安全生命周期內，通過一系列的技術措施和管理措施保證達到所要求的安全完整性水平（SIL）。安全要求包括：安全功能（安全儀表功能）SIF

--安全生命周期SLC（SaftyLifeCycle）

安全系統整體的安全生命周期是指從其概念提出開始經歷若干中間階段一直到安全系統停用，包括了為達到安全完整性水平SIL而進行的一切活動。安全生命周期是IEC61508的重要基礎，用系統的方式建立的一個框架,用以指導安全系統的設計和評價。整體安全生命周期包括了系統的分析、設計、安裝、確認、操作、維護、停用等等諸多方面，關于每一方面標準都要求建立相應的文檔以及安全規范。系統還可以根據實際中應用的效果來進行修改，甚至是從頭開始重來。

--安全生命周期SLC（SaftyLifeSIL要求SIL設計SIL保持SIL要求SIL設計SIL保持分析階段（SIL要求）--風險分析--SIF確認--SIL選擇實現階段（SIL實現）--設計--安裝--調試

運行階段（SIL保持）--運行--維護--修改

分析階段（SIL要求）--風險分析整體安全生命周期是功能安全管理中的一個重要框架,為功能安全管理提供一個系統的方法。安全完整性水平貫穿于安全系統開發的始終。安全完整性水平不僅是安全系統安全性能的度量標準,而且是安全系統生命周期中的主線。整體安全生命周期是功能安全管理中的一個重要框架,為功能安全管三、SIL等級確定與評估殘余風險允許風險原始風險風險增加必要的風險降低實際的風險降低被安全儀表系統覆蓋的部分風險被其他技術安全相關系統覆蓋的部分風險被外部風險降低設施覆蓋的部分風險所有安全系統和外部風險降低設施所獲得的風險降低三、SIL等級確定與評估殘余風險允許風險原始風險風險增加必要風險和安全完整性概念危險事件的后果危險事件的頻率EUC風險外部風險降低設施E/E/PE安全相關系統其他技術安全相關系統EUC和EUC控制系統必要的風險降低外部風險降低設施安全完整性和與必要的風險降低匹配的安全相關系統允許風險目標風險和安全完整性概念危險事件的后果危險事件的頻率EUC外部安全儀表系統及其功能安全課件安全儀表功能的SIL等級確定方法保護層分析法（LOPA）

保護層分析法（LOPA）利用危險和可操作性分析（HAZOP）辨識的數據，量化原因和后果的等級，通過風險圖計算危險。這樣就能確定風險降低的總量以及是否需要進一步降低所分析的風險。如需附加的風險降低以一個安全儀表功能（SIF）的形式提供這種降低，LOPA可以確定所需的安全完整性等級（SIL）。風險矩陣法風險矩陣是基于分類的方法。首先應該為風險的后果和可能性制定分類。如后果可分為“較輕”、“嚴重”和“重大”,可能性分為“低”、“中等”和“高”。后果和可能性分別構成矩陣的一個坐標(行、列),同時每一個矩陣元素為一個安全完整性水平。風險圖

風險圖方法也是定量和基于分類的。風險的允許水平蘊含在風險圖的結構中風險圖分析使用4個參數來確定安全完整性水平：后果C、處于危險區域的時間F、避開危險的概率P和要求率W。安全儀表功能的SIL等級確定方法安全儀表系統及其功能安全課件安全完整性等級SIL評估技術-概率計算法利用工業產品可靠性數據庫獲得設備、儀器儀表的失效概率，依據聯鎖回路中的設備和儀表，對系統發生失效的概率進行計算，從而獲得SIF的安全完整性等級SIL。-事故樹分析法采用自上而下的方法識別系統故障，借助概率計算法可獲得系統的失效概率。-馬爾科夫過程分析利用馬爾科夫過程分析安全儀表系統安全性隨時間的發展關系，判斷安全儀表系統的可靠性及壽命。安全完整性等級SIL評估技術安全儀表系統及其功能安全課件

安全儀表系統（SIS）是裝置最重要的保護層，一旦失效，會造成不可估量的損失。設計的目標既要保證安全儀表系統執行正確的功能（SIF），又要具有良好的可靠性（SIL）。安全完整性等級是安全儀表系統可靠性能的衡量標準，是整個安全儀表系統生命周期的主線，其選擇應該恰到好處，過高造成成本損失，過低會使風險不可接受。

四、國內外進展（一）國外（1）1994年,DINV19250/DINVVDE0801（2）1996年，ANSI/ISA-84.01-1996（3）1998年，IEC61508，于1998年發布其第1、3、4和第5部分，2000年發布其第2、6和第7部分（4）2003年，IEC61511（5）2004年，ENIEC61511（CENELEC）（CENELEC）歐洲電氣技術標準化委員會將IEC61511接納為歐洲標準ANSI/ISA-84.00.01-2004（IEC61511Modified）ISA-SP84將其命名為ANSI/ISA-84.00.01-2004（IEC61511Modified），完全取代了ANSI／ISA-84.01-1996四、國內外進展

世界著名的公司，如殼牌石油，道化學，美孚石油，新加坡石化公司等都通過應用該標準，取得了良好的社會、經濟效果。2001年，Shell（英殼牌石油公司）GSI（ShellGlobalSolutionsInternationalB.V.）就發布了企業內部應用規范“儀表保護功能的分類與實施”、“儀表保護功能的管理”，及“儀表保護系統技術規范”。CNOOC-SHELL項目以及其他SHELL的國內項目都在不折不扣的執行其標準規范。

世界著名的公司，如殼牌石油，道化學，美孚石安全儀表系統及其功能安全課件

馬來西亞國家石油公司PETRONAS案例--2000年對新建項目開始應用IEC61508/IEC61511；--2000年以后逐步開始對在役裝置評估，收效極為明顯。--經過內部培訓，聯合國家石油公司科學研究院對公司所有裝置開展IPF研究。新建裝置/項目/重大改造：1、開展HAZOP研究；2、辨識SIS要求，確保對辨識危險進行防護；3、SIS必須滿足IEC61508/61511。現役裝置：對照IEC61508/61511標準，審查是否符合。

安全儀表系統及其功能安全課件如何保證SIS符合IEC61508/61511？實施SIF或IPF研究。1、對每一個SIF確定要求的SIL；2、確保整個系統滿足SIL要求；3、確定每個SIF的檢驗周期；4、文檔化整個生命周期所有安全儀表管理方案。如何保證SIS符合IEC61508/61511？某裝置XSIF/IPF研究工廠可靠性改善某裝置XSIF/IPF研究工廠可靠性改善裝置YSIF/IPF研究工廠可靠性改善裝置YSIF/IPF研究工廠可