Россия
Рассмотрены вопросы обоснования применения систем противоаварийной защиты (СПАЗ), выбора архитектуры и оборудования СПАЗ, выполнен расчет для подтверждения надежности контура СПАЗ
система противоаварийной защиты, архитектура СПАЗ, уровень полноты безопасно-сти
При проектировании опасных производственных объектов одной из основных задач является обеспечение их безопасности.
В системе промышленной безопасности обычно реализуется несколько уровней предотвращения аварийных ситуаций (защиты) и несколько уровней минимизации их последствий.
Метод снижения риска наступления опасных событий с использованием независимых слоев защиты является основным для опасных производственных объектов.
Одним из основных слоев защиты является система противоаварийной защиты (СПАЗ). Процедура определения функций СПАЗ, проведения расчета надежности контуров СПАЗ и определения уровня полноты безопасности (SIL – Safety Integrity Level) проводится на основе оценки рисков и анализа опасностей технологического процесса. Показателем опасности технологического процесса является категория его взрывоопасности. В проектной документации производится оценка энергетического уровня каждого технологического блока, в котором обращаются воспламеняющиеся и горючие вещества, и рассчитывается категория его взрывоопасности. Требование о применении СПАЗ для объектов с блоками I и II категории взрывоопасности имеется также в ФНИП «Общие правила взрывобезопасности для взрывопожароопасных химических, нефтехимических и нефтеперерабатывающих производств», утвержденных приказом Ростехнадзора от 15.12.2020 № 533.
Разработка системы противоаварийной защиты осуществляется в следующей последовательности:
- определение функций СПАЗ;
- определение требуемых уровней безопасности;
- выбор оборудования СПАЗ;
- выбор архитектуры реализации СПАЗ;
- расчет показателей безопасности и надежности разработанной СПАЗ;
- проверка соответствия показателей надежности требованиям.
Методы создания систем ПАЗ должны определяться в соответствии с требуемым уровнем полноты безопасности, определяемым на стадии формирования требований при проектировании АСУ ТП на основании анализа опасности и работоспособности контуров безопасности с учетом риска, возникающего при отказе контура безопасности.
При проектировании автоматизированных систем одной из основных задач является выбор технических средств, обеспечивающих требуемый уровень функциональной безопасности. Основными расчетными величинами, определяемыми при оценке надежности СПАЗ, являются: средняя вероятность (PFDavg) опасного отказа по запросу и средняя наработка между безопасными отказами (MTBFs). Рассчитав показатель надежности, можно по характеристикам интегральных уровней полноты безопасности определить, какому уровню SIL соответствует архитектура ПСБ.
Архитектуру и оборудование СПАЗ рекомендуется выбирать с учетом следующих положений:
- при современном уровне требований к эксплуатационной надежности технических средств, применяемых в составе СПАЗ, требуемый уровень полноты безопасности такой системы может быть достигнут только путем придания ей определенной отказоустойчивости, то есть аппаратурной избыточности. Такие системы должны обладать способностью продолжать выполнение заданных функций автоматической защиты даже при наличии в системе определенного числа отказавших компонентов;
- отказоустойчивостью должна обладать как СПАЗ в целом, так и ее основные технические (аппаратные) подсистемы: блок датчиков, логическая подсистема (блок ПЛК), блок исполнительных механизмов и т.п.;
- для того чтобы отказоустойчивость СПАЗ была достаточной, уровень полноты безопасности (SIL) комплекса технических средств (КТС) должен удовлетворять ограничениям, налагаемым на ее архитектуру.
В настоящее время для большинства случаев резервирование для выполнения требований архитектурных ограничений необходимо только для уровня SIL3. При этом, согласно приказу Ростехнадзора № 533, требуется дублирование датчиков для СПАЗ блоков I категории взрывоопасности: «Контроль за текущими показателями параметров, определяющими взрывоопасность технологических процессов с блоками I категории взрывоопасности, осуществляется не менее чем от двух независимых датчиков с раздельными точками отбора, логически взаимодействующих для срабатывания ПАЗ».
Назначенный уровень полноты безопасности определяет требования к отказоустойчивости и надежности функционирования функции безопасности (контур безопасности), требования к мерам по снижению систематических отказов. Требование к отказоустойчивости определяет минимальное число отказов в контуре безопасности, при котором контур все еще может выполнять свою функцию. Другое название этих требований – структурные ограничения. Требования к надежности контуров ПАЗ, в зависимости от назначенных для них УПБ, приведены в таблице 1. Для функций безопасности, работающих в режиме редких запросов, в качестве характеристики надежности контура используется средняя вероятность отказа выполнения по запросу PFDavg. Для функций безопасности, работающих в режиме непрерывных запросов, – средняя частота отказов в час PFH.
Таблица 1 – Уровни интегральной безопасности и вероятности отказа на запрос
|
SIL Интегральный уровень безопасности |
PFDavg Средняя вероятность отказа на запрос в год (низкая интенсивность запросов) |
RRF Фактор снижения риска |
PFDg Средняя вероятность отказа на запрос в час (высокая интенсивность запросов) |
|
SIL4 |
10–5 до < 10–4 |
от 100000 до 10000 |
10–9 до < 10–8 |
|
SIL3 |
10–4 до < 10–3 |
от 10000 до 1000 |
10–8 до < 10–7 |
|
SIL2 |
10–3 до < 10–2 |
от 1000 до 100 |
10–7 до < 10–6 |
|
SIL1 |
10–2 до < 10–1 |
от 100 до 10 |
10–6 до < 10–5 |
Чем опаснее процесс или оборудование, тем выше требования к надежности предохранительных функций. Согласно стандартам, определяется четыре уровня полноты безопасности: SIL1, SIL2, SIL3 и SIL4. SIL4 соответствует самым высоким требованиям безопасности, а SIL1 – самым низким. Полнота безопасности – это средняя вероятность того, что система ПАЗ успешно выполнит требуемые функции безопасности при всех заданных условиях в течение заданного времени.
Для каждого уровня определены различные степени вероятности отказа, которые не должны превышать способность системы выполнять функции безопасности. Необходимый уровень SIL подтверждается расчетом оценки рисков.
Для того чтобы провести соответствия контуров безопасности назначенным уровням УПБ, необходимо:
- убедиться, что выполнены требования, предъявляемые к отказоустойчивости контура, так называемые структурные ограничения;
- убедиться, что выполнены рекомендации по снижению систематических отказов. После этого можно переходить к расчету PFDavg или PFH для функции безопасности ПСБ.
Для выполнения расчета необходимы следующие исходные данные: структура контура безопасности; значения интенсивностей отказов оборудования, входящего в контур; временной интервал между контрольными проверками оборудования контура; время ремонта и восстановления отказавшего оборудования. Структура контура безопасности ПСБ определяет модель, по которой будут проведены расчеты PFDavg.
Блок-схема надежности для структуры 1оо1 соответствует SIL1, SIL2.
Рисунок 1 – Блок-схема архитектуры 1оо1
Блок-схема надежности для структуры 1оо2 соответствует SIL2.
Рисунок 2 – Блок-схема архитектуры 1оо2
Блок-схема надежности для структуры 2оо3 соответствует SIL3.
Рисунок 3 – Блок-схема архитектуры 2оо3
Ниже приводятся формулы расчета значений отказа по общей причине (PFDavg).
Отказ по общей причине является результатом одного или нескольких событий, вызывающих одновременно отказ двух или более отдельных каналов в многоканальной системе, приводящий к отказу системы в целом.
Схема резервирования элементов архитектурами улучшает показатели безопасности. Однако даже при резервировании возможны одновременные отказы целой группы элементов. Такие отказы вызываются общей причиной.
Таблица 2 – Формулы расчета значений PFDavg
|
Тип архитектуры |
Формула |
|
1оо1 |
PFDavg=PTC∙λDU∙TI/2+(1–PTC)∙λDU∙SL/2+λDU∙(MTTR+TD/2) |
|
1оо2 |
PFDavg=PTC2∙(λDU∙(1–β))2∙TI2/3+(1–PTC)2∙ (λDU∙(1–β))2∙SL2/3+ 2∙ (λDU∙(1–β))2∙(MTTR+TD/2)2+1/2∙ β∙ λDU*TI∙ β∙ λDU∙(MTTR+TD/2) |
|
2оо3 |
PFDavg=PTC2∙(λDU∙(1–β))2∙TI2/3+(1–PTC)2∙(λDU∙(1–β))2∙SL2+6∙(λDU∙(1–β))2∙(MTTR+TD/2)2+1/2∙ β∙ λDU∙TI+ β∙ λDU∙( MTTR+TD/2) |
Примечания:
- λDU – интенсивность скрытых опасных отказов компонента системы (блока);
- λDD – интенсивность опасных отказов компонента системы (блока), выявляемых системой самодиагностики;
- РТС – охват контрольными проверками (proof test coverage);
- TD – интервал между тестами самодиагностики;
- SL – срок жизни СПАЗ. Это может быть время, после которого система полностью тестируется, заменяется, или срок жизни объекта, если система никогда полностью не тестируется и не заменяется;
- TI – интервал между поверочными тестами (proof test interval);
- β – доля отказов по общей причине.
Среднюю вероятность отказа в обслуживании функции безопасности СПАЗ определяют вычислением и суммированием средней вероятности отказа в обслуживании для всех подсистем (для всего контура СПАЗ), совокупность которых обеспечивает функцию безопасности. Средняя вероятность отказа по запросу для функции безопасности СПАЗ может быть в общем случае вычислена по формуле:
РFDобщ = РFDБД + PFDIIЛK + PFDИM,
где:
- РFDБД – средняя вероятность отказа по запросу для подсистемы (блока) датчиков;
- PFDIIЛK – средняя вероятность отказа по запросу для логической подсистемы;
- PFDИM – средняя вероятность отказа по запросу для подсистемы оконечных (исполнительных) элементов.
Ниже приводятся формулы расчета значений времени наработки на безопасный отказ (MTBFS).
Безопасные отказы в первую очередь несут в себе риски экономических потерь из–за остановки технологических линий. Причем при наличии нескольких контуров безопасности на определенной технологической линии или процессе, связанном с рядом технологических линий, каждый безопасный отказ может привести к останову производства, что значительно увеличивает общую вероятность безопасного отказа на предприятии.
Таблица 3 – Формулы расчета значений интенсивности отказов
|
Тип архитектуры |
Формулы |
|
1оо1 |
λS_подсистемы = λS |
|
1оо2 |
λS_подсистемы = 2∙λS |
|
2оо3 |
λS_подсистемы = 6∙ λS2∙MTTR |
Примечания:
- λS – интенсивность безопасных отказов системы (блока);
- MTTR – среднее время восстановления после отказа.
Среднее время между безопасными отказами MTBFS для контура СПАЗ может быть в общем случае вычислено по формуле:
MTBFSобщ = 1/ λSид + λSбд + λSплк,
где λSиm – интенсивность безопасных отказов для подсистемы конечных (исполнительных) элементов;
λSбд – интенсивность безопасных отказов для подсистемы (блока) датчиков;
λSплк – интенсивность безопасных отказов для логической подсистемы.
Пример расчета для подтверждения уровня отказоустойчивости, полноты безопасности и надежности контура СПАЗ на основании постановочных исходных данных, учитывающих возможный вариант резервированной архитектуры подсистемы СПАЗ, приводится далее. При выполнении расчетов были использованы характеристики оборудования, предоставленные производителями в соответствии с требованиями безопасности и условиями эксплуатации.
Также необходимо обратить внимание, что при выборе компонентов логической подсистемы, как правило, используется рекомендуемая (обоснованная) производителем резервированная архитектура, отвечающая определенному уровню безопасности SIL и содержащая готовые расчеты показателей надежности.
Расчетную оценку показателей надежности СПАЗ рекомендуется проводить при следующих допущениях:
- частота отказов компонентов СПАЗ постоянна в течение стадий жизни системы;
- принимается, что безотказность компонентов, выполняющих (в случае отказа основного компонента) операции автоматического переключения на резервный компонент, достаточно высока, чтобы вероятностью отказа таких элементов можно было пренебречь;
- принимается, что в каждом случае обнаружения отказа любого компонента рассматриваемой СПАЗ его восстановление является полным и неограниченным;
- все отказы технических компонентов СПАЗ являются редкими, случайными, полными, внезапными и взаимно независимыми;
- общая интенсивность отказов аппаратных средств подсистемы датчиков или логической подсистемы является суммой интенсивности опасных отказов и интенсивности безопасных отказов, которые в случае отсутствия подтвержденной детальной информации с указанием долей типов отказов полагают равными (т.е. половину отказов составляют опасные отказы и безопасные отказы). Для подсистемы исполнительных элементов все отказы компонентов считаются опасными отказами;
- охват контрольными проверками (РТС) для элементов подсистемы оконечных устройств должен составлять не менее 85 %;
- охват контрольными проверками (РТС) для элементов подсистемы блока датчиков должен составлять не менее 90 %;
- интервал между поверочными тестами (TI) для элементов подсистем оконечных устройств и блока датчиков составляет 1 год;
- интервал между поверочными тестами (TI) логической подсистемы составляет 10 лет;
- срок жизни (SL) СПАЗ или ее подсистемы – 10 лет. Интервал между тестами самодиагностики (TD) для элементов подсистем оконечных устройств (например, тестирование частичным ходом) принимается равным 30 дней;
- интервал между тестами самодиагностики (TD) для элементов блоков датчиков принимается пренебрежительно малым;
- доля отказов по общей причине для элементов подсистем оконечных устройств и блока датчиков составляет не более 10 %.
В таблице 4 приведены данные по надежности всех элементов контура, содержащие всю необходимую информацию о значениях интенсивностей для различных типов отказов.
Расчеты выполнялись для парка кислой воды производства серы. Парк кислой воды относится к категории установок по пожарной безопасности АН, является блоком II категории взрывоопасности и имеет класс взрывоопасной зоны В-1г, категория и группа взрывоопасных смесей IIВ-Т3.
Исходя из этих данных был выполнен выбор оборудования. При сравнении альтернативных производителей аналогичных компонентов системы рекомендуется выбирать оборудование, которое обеспечивает:
- наивысший уровень SIL при одинаковом межповерочном интервале;
- наивысшее значение диагностического покрытия или охвата контрольными проверками;
- минимальное значение PFDavg при одинаковом межповерочном интервале.
Для реализации контура блокировки по давлению был выбран датчик давления СДВ-SMART, запорный клапан с электроприводом Auma SAEx 10.2, контроллер ПАЗ REGUL R500S.
Состав логической подсистемы контура СПАЗ устанавливается изготовителем (поставщиком) центральной (контроллерной) части СПАЗ на основании требований к основным показателям надежности.
Учитывая уровень полноты безопасности SIL3, предъявляемый к рассматриваемому контуру, а также допустимые значения доли средней вероятности отказа контура СПАЗ – 15 % для подсистемы логического блока и среднего времени наработки на отказ типа «ложное срабатывание» для всего контура, исходные данные для логической подсистемы соответствуют значениям, приведенным в таблице 5.
Задачей расчета является обоснование выбора архитектуры контура регулирования, обеспечивающей требуемые показатели надежности (безопасности).
Для определения показателя надежности была создана программа «SIL», реализованная в среде программирования Lazarus.
На основе данных, приведенных в таблицах 4 и 5, выполнен расчет показателей надежности для системы аварийной защиты с архитектурой 1оо1. Данная архитектура изображена на рисунке 1.
Таблица 4 – Показатели надежности компонентов СПАЗ (исходные данные для расчета)
|
Наименование показателей надежности |
Значения показателей |
|
|
Датчик |
ИМ |
|
|
Интенсивность скрытых опасных отказов, тыс. час-1 (λDU) |
0,000325 |
0,001243 |
|
Интенсивность обнаруженных опасных отказов, тыс. час-1 (λDD) |
0,0035 |
0,002908 |
|
Интенсивность безопасных отказов, тыс. час-1 (λS) |
0,00345 |
0,00125 |
|
Интервал между поверочными тестами, тыс. час (TI) |
8,7600 |
8,7600 |
|
Интервал между тестами самодиагностики, тыс. час (TD) |
– |
0,7200 |
|
Среднее время восстановления после отказа, тыс. час (MTTR) |
0,0080 |
0,0080 |
|
Доля отказов по общей причине, % (β) |
10 |
10 |
Таблица 5 – Показатели надежности логической подсистемы (исходные данные для расчета)
|
Наименование |
Значения показателей надежности основных компонентов СПАЗ |
|
Логическая |
|
|
Вероятность опасного отказа при выполнении заданной функции (PFDIIЛK) |
0,0001 |
|
Интенсивность безопасных отказов, тыс. час (λS) |
0,0006 |
Для выбранного контура с архитектурой 1оо1 фактор снижения риска RRF равен 74, что соответствует по таблице 1 интегральному уровню безопасности SIL1. Это не соответствует требованиям по надежности для блоков II категории взрывоопасности.
Для требуемого уровня безопасности SIL3 необходимо выполнить резервирование оборудования, которое соответствует архитектуре 1оо2. Данная архитектура изображена на рисунке 2.
Для выбранного контура рассчитанный фактор снижения риска RRF равен 1006, что соответствует по таблице 1 интегральному уровню безопасности SIL3. Данная архитектура соответствует требованиям по надежности системы.
1. ГОСТ Р МЭК 61508-2012. Функциональная безопасность систем электрических, электронных, программируемых электронных, связанных с безопасностью. URL: http://docs.cntd.ru/
2. ГОСТ Р МЭК 61511-1-2018. Без-опасность функциональная. Системы безопасности приборные для промышленных процессов. URL: http://docs.cntd.ru/
3. Об утверждении Федеральных норм и правил в области промышленной безопасности «Общие правила взрыво-безопасности для взрывопожароопасных химических, нефтехимических и нефтеперерабатывающих производств»: приказ Ростехнадзора от 15 декабря 2020 года № 533. URL: http://www.gosnadzor.ru/
