1、功能安全工程设计 : 风险分析和安全整体性等级(SIL)选择 课程内容课程内容 1. 安全仪表系统的介绍 2. 安全周期 3. 风险管理的原则 4. 工艺危险性分析 5. 保护层分析 6. 安全整体性等级选择 7. 安全要求规范 2 第一部分第一部分: 安全仪表系统介绍安全仪表系统介绍 3 REACTOR TT 1 Power Supply CPU Input Module Output Module PT 2 PT 1 TT 3 TT 2 PT 3 Power Supply CPU Input Module Output Module IEC 61511 将安全仪表系统 (SIS)定义为：
2、“用于实施一个或多个安全仪表功能的仪表系统。 SIS是由传感器、逻辑解算器和最终元件的所有 组合)” 安全仪表系统的定义安全仪表系统的定义 4 安全仪表系统功能定义安全仪表系统功能定义 REACTOR TT 1 Power Supply CPU Input Module Output Module PT 2 PT 1 TT 3 TT 2 PT 3 Power Supply CPU Input Module Output Module SIS BPCS 专业人士更喜欢SIS这一更加 功能性的定义: “是指为以下目的而进行设计 的传感器、逻辑解算器和最 终元件组成的系统: 1. 当违反特定条件时，
3、自动 将工业过程设置到安全状态; 2. 当特定条件容许（容许功 能)时，容许过程安全地向 前进行 3. 采取行动减轻工业危险的 后果。” 5 SIS的存在与管理风险的存在与管理风险 增加的风险增加的风险 工艺风险 可容忍风险 残留风险 最小风险的降低 最佳风险的降低 (ALARP) 工艺 设计 基本工艺 控制系统 报警 泄放 SIS 6 传感器 最终元件 回路 1 回路 2 回路 3 回路 4 Logic Solver 安全仪表系统安全仪表系统 1 2 3 4 5 6 7 8 回路 5 7 安全仪表功能安全仪表功能 (SIF) 回路 1 1 6 Logic Solver 传感器 最终元件 安全
4、仪表功能是指 通过SIS来实施的 功能，SIS旨在为 有关特定危险事故 的工艺获取或维持 安全状态。 8 安全仪表功能安全仪表功能 一套特定的行动和所需的相应设备，用以识别单 个危险并动作，将系统带入安全状态。 不同于SIS, SIS可以包括多个功能并且以多种方 式动作，防止多个有害结果的发生。 一个SIS可能有多个SIF,而每个SIF都有对应的SIL，因 此为整个安全仪表系统来定义SIL是不正确和模糊的。 9 安全仪表功能举例安全仪表功能举例 通过提供事故冷却剂，降低超高温来防止塔的破 裂 通过开阀释放压力来防止罐破裂 直接将溢出的液体引到废水处理系统，防止环境 遭受破坏 发出报警、降低损失
5、和可能发生的人员伤害 (最后一项因没有实现安全状态故是不完整的SIF。最终的 行动必须包括在内) 10 逻辑解算器 传感器 最终元件 SIF 传感器传感器 就像控制系统一样，安全系统也有传感器。在加工工业中 ，传感器测量工艺参数，它包括压力、温度、流量、液位 、气体浓度和其他测量值。在机械业中，传感器还可以测 得人是否接近、进入危险区以及其他保护参数。 11 逻辑解算器 传感器 最终元件 安全系统也有逻辑解算器，它一般是一个控制器，它从传 感 器中读取信号，执行预先编好的动作，防止或减轻工艺 危险。通过将信号发给最终元件来实现以上功能。 SIF逻辑解算器逻辑解算器 12 SIF 最终元件最终元
6、件 Final Elements 在SIF中的最终元件是指采取什么动作来进入安全状态，在 加工工业中它常为远程驱动，而在机械安全中，它可能是离 合器制动器组件。 13 安全仪表功能安全仪表功能 (SIF)的实施的实施 逻辑解算器 传感元件 C信号整理 传感元件 信号整理 最终控制元件 信号整理 最终控制元件 回路设施，如电源、 仪表风等. 任何单个安全仪表功能的实施，可能包括多个传感器、信号整 理模块、多个最终元件和专门的回路设施。 互相连络 传感元件 14 标准标准 基于所有工业的国际标准基于所有工业的国际标准 (适用于供应商适用于供应商) IEC61511 : 加工工业加工工业 (美国使用
7、本质相同的工业标美国使用本质相同的工业标 准准 ISA 84.00.01-2004) IEC62061 : 机械工业机械工业 IEC61513 : 核工业核工业 15 IEC 61511 标准标准 加工工艺中的目标最终用户和积分仪 包括整个SIS周期 风险分析 基于设计的性能 操作和维修 非规定的性能非规定的性能 最终用户应用 一般不认证 独立的功能安全评价 三部分 需求 指南 SIL选择 16 第二部分第二部分: 安全周期安全周期 17 18 规规 范范 44% 设计和实施设计和实施 15% 安装和投料试车安装和投料试车 6% 操作和维修操作和维修 15% 投料试车后的变更投料试车后的变更
8、21% 有关控制系统的事故原因的HSE研究: 工业事故原因工业事故原因 - HSE “失控: 控制系统出错和如何防止故障。” 英国 设菲尔德, 健康和安全执行机构, 1995 19 安全周期一览表 概念工艺设计 识别潜在危险 后果分析 保护层分析 制定非SIS保护层 确定SIF的目标SIL 文件要求 开车 操作 维修 定期验证测试 修改 停运 分析分析 我需要多少安全我需要多少安全？ 实施实施 我如何得到需要的安全我如何得到需要的安全 操作操作 我如何保持我需要的安我如何保持我需要的安 全全? 选择SIS技术 选择SIS结构 确定测试频率 SIS详细设计 SIS 硬件结构 SIS 软件组态 S
9、IS 测试 SIS 安装 SIS 投料试车 SIS 初始确认 修改修改 = 改变要求改变要求 修改修改 = 改变设计改变设计 20 “分析分析” 阶段阶段 (最终用户最终用户 / 咨询咨询) “实现实现” 阶段阶段 (厂商厂商/ 承包商承包商 / 最终用户最终用户) 概念 整体范围定义 危险和风险分析 安全总体要求 安全需求分配 安全相关系统 : E/E/PES 实现 整体安装及试车 整体安全确认 整体操作及维修 停运 安全相关系统： 其他技术 实现 外部风险降低 实现 总体规划 安装及投料 试车规划 确认规划 操作和维修 计划 11 10 9 5 4 3 2 1 12 13 14 16 整体
10、修改和改进 15 8 7 6 “操作操作” (最终用户最终用户 / 承包商承包商) IEC 61508 安全周期安全周期 21 安全周期安全周期 IEC 61511 功能安全和功能安全和 功能安全评功能安全评 估管理估管理 第第 5条条 安全周安全周 期期结构规结构规 划划 第第 6.2条条 将安全功能分配到保护层将安全功能分配到保护层 第第 9条条 确认确认 第第7 条条 和和 第第12.7条条 Analysis Realisation Operation SIS安全要求规范安全要求规范 第第10和和12条条 工艺危险和风险分析工艺危险和风险分析 第第8条条 SIS设计和工程设计设计和工程设
11、计 第第11 和和 12条条 SIS安装和投料试车安装和投料试车 第第14条条 SIS 操作和维修操作和维修 第第 16条条 SIS 安全确认安全确认 第第15条条 SIS修改修改 第第 17条条 SIS 停运停运 第第18条条 提供提供 概念概念 SIS验收测试验收测试 第第13条条 设计及设计及 构造构造 测试测试 安装安装 管理管理 确认确认 验证测试验证测试 / (9) (10) (11) 22 安全周期分析阶段安全周期分析阶段 评估后果评估后果 评估非评估非SIS保护层效果保护层效果 1. 概念上的工艺设计概念上的工艺设计 需要需要SIS? 2. 识别潜在危险识别潜在危险 工艺安全信
12、息工艺安全信息 4. 保护层分析保护层分析 潜在危险潜在危险 危险频率危险频率 3. 后果分析后果分析 危险后果危险后果 5. 为为SIS和和SIF选择目标选择目标SIL 目标目标SIL 6. SIS/SIF必要的文件必要的文件 事件历史事件历史 保护层保护层 故障率故障率 可容忍风险指南可容忍风险指南 危险特性危险特性 停止停止 No Yes 实施 安全要求规范安全要求规范 - 每个安全仪表功能的描述，包括目标 SIL，减轻的危险，工艺参数，逻辑， 旁路维修要求，响应时间等。 23 目的目的 识别工艺危险，评估其风险并确定该风险是否可容许识别工艺危险，评估其风险并确定该风险是否可容许. 任务
13、任务 危险识别危险识别 (例如例如 HAZOP) 可能性及后果分析可能性及后果分析 非非SIS保护层的考虑保护层的考虑 危险危险 / 风险分析风险分析 评估评估 结果结果 评估可能性评估可能性 开发非开发非-SIS 层层 2. 识别潜在危险识别潜在危险 4. 保护层保护层 分析分析 潜在危险潜在危险 危险频率危险频率 3. 结果分析结果分析 危险结果危险结果 事故历史事故历史 保护保护 层层 故障率故障率 危险危险 特性特性 24 目的目的 基于所有保护层评估可能性. 任务任务 识别保护层，使用定性或 定量方法 保护层分析保护层分析 评估评估 结果结果 评估可能性评估可能性 开发非开发非-SI
14、S 层层 2. 识别潜在危险识别潜在危险 4. 保护层保护层 分析分析 潜在危险潜在危险 危险频率危险频率 3. 结果分析结果分析 危险结果危险结果 事故历史事故历史 保护保护 层层 故障率故障率 危险危险 特性特性 初始保护保护保护最终 事件层1层2层3结果 PL3 故障事故发生 PL2 故障 PL1 故障 初始事件 PL3 成功无影响，停止 PL2 成功无影响，停止 PL1 成功无影响，停止 25 目的目的 根据SIL,规定必需的风险降低或现有 的风险和可容忍风险等级的差别 任务任务 对比工艺风险和可容忍风险 使用决定指南，来选择必需的风险降 低 文件选择过程 安全整体性等级选择安全整体性
15、等级选择 需要需要SIS吗吗? 5. 为为SIS和和SIF选择目标选择目标SIL 目标目标SIL 可容忍风险指南可容忍风险指南 停止停止 No Yes Safety Integrity Level SIL 4 SIL 3 SIL 2 SIL 1 Risk Reduction Factor 100000 to 10000 10000 to 1000 1000 to 100 100 to 10 ISA84.01 26 安全要求规范 目的目的 规定详设及工艺安全信息所需的SIS的所有要求 任务任务 识别并描述安全仪表功能 必需的安全执行等级的文件 (SIL) 所采取的文件行动 逻辑, 例如原因和结果
16、图. 文件相关参数 如： 计时/维修必要的旁路 6. 文件文件 SIS / SIF 要求要求 实现 安全要求规范安全要求规范- 每一个安全仪表功能的 功能描述，包括：目标SIL 逻辑、旁路/维护要求 响应时间，等等 27 SIS 项目项目 V-模型模型 软件组态 硬件构置 概念性设计 安全要求规范安全要求规范 硬件详细设计 软件详细设计 现场验收测试 软件内部测试 硬件内部测试 工厂验收测试 内部整体测试 确认确认 V V V V V V V V V 28 10. SIS 安装、投料 试车及预开车验收 测试 - 安全要求规范安全要求规范 - 对每一个安全仪表功能进行 描述，如目标SIL、减轻风
17、险、 工艺参数、逻辑、 旁路、维 修要求、响应时间等 7. SIS 概念性设计 7a选择技术 7b. 选择结构 冗余: 1oo1,1oo2, 2oo3, 1oo2D 7c. 确定测试原理 7d. 可靠性安全 评定 获得SIL SIL达到？ No Yes 8. SIS 详细设计 故障数据库 制造商安全说明 9. 安装及投料 试车规划 SILver工具工具 制造商安全手册 详细设计文件详细设计文件 - 回路图、接线图、逻辑图、仪表盘 布置、PLC编程、安装要求、投料 试车要求等 文文 件件 模模 板板 制造商安全手册 选择传感器、逻辑解算器和最 终元件技术 安全周期安全周期“实现实现”阶段阶段 2
18、9 目的目的 为此目的选择正确的设备，用于工艺控制的旧标准仍然适用为此目的选择正确的设备，用于工艺控制的旧标准仍然适用. 任务任务 选择设备选择设备 获得该设备的可靠性和安全数据获得该设备的可靠性和安全数据 获得所有安全认证设备的安全手册获得所有安全认证设备的安全手册 选择技术选择技术 30 目的目的 如果需要，选择冗余类型。如果需要，选择冗余类型。 任务任务 选择结构选择结构 获得该结构的可靠性和安全数获得该结构的可靠性和安全数 据。据。 选择结构选择结构 1oo1 1oo2 2oo2 2oo3 1oo2D Diag Diag 31 建立验证测试频率建立验证测试频率 测试通常可能包括: 自动
19、测试 工艺操作中手动进行的离线测试。 工艺操作中手动进行的在线测试 32 安全要求规范安全要求规范 安全功能要 求，包括目标SIL 获得PFDavg, RRF， MTTFS, SIL 制造商故障数据 SIF 确认的任务确认的任务 故障数据库 7d. 可靠性和安全评定 33 获得PFDavg, RRF MTTFS, SIL SIF设计选项设计选项 7d. 可靠性和安全评定 如果SIF确认表明，所提议的设计没有 获得SIL等级，那么设计者有许多选择： 1.通过增加其他保护层等措施，重新评 定SIL要求。 2.缩短验证测试间隔时间这与在线 测试规定有关。 3.选择安全等级较高、危险故障率较低 或诊断
20、性较好的设备。 4.通过增加更多冗余来改变结构。 安全要求规范安全要求规范 安全功能要 求，包括目标SIL 34 12. 确定预开车 安全审查 修改 停运 14. SIS开车、操 作、维修、定期 功能测试 15. 修改或是 停运? 16. SIS停运 确认所有有关危险、设计、安装测 试、维修程序、变更管理、紧急规 划等资料。 13. 操作和维修 计划 11. 确认规划 安全周期安全周期“操作操作”阶段阶段 35 目的 确认SIS功能符合设计要求。 任务 确认现场仪表操作 确认逻辑和操作 确认所安装设备的SIL 制作所需文件 如果需要，制作产 品认证证书 确认确认 12. 确认：预开车安 全审查
21、 安装安装 工厂验收测试工厂验收测试 SAT / SIT 投料试车投料试车 功能安全评估功能安全评估 开车开车 确确 认认 36 目的目的 确认根据设计要求SIS能连续工作，并检测其他隐藏的故障。 任务任务 确认现场仪表的操作 确认逻辑和操作 所有定期测试的文件结果 定期验证测试定期验证测试 14. SIS开车、 操作、维修、 定期功能测试 37 目的 定期审查危险，如果需要，采取整改措施 任务 定期审查危险 审查事故 审查设施变更通知或变更（MOC) 管理的文件 根据需要，按照合适的安全周期步骤对 SIS进行更新 变更及停运变更及停运 38 安全周期一览表 概念工艺设计 识别潜在危险 后果分
22、析 保护层分析 制定非SIS保护层 确定SIF的目标SIL 文件要求 开车 操作 维修 定期验证测试 修改 停运 分析分析 我需要多少安全我需要多少安全？ 实施实施 我如何得到需要的安全我如何得到需要的安全 操作操作 我如何保持我需要的安我如何保持我需要的安 全全? 选择SIS技术 选择SIS结构 确定测试频率 SIS详细设计 SIS 硬件结构 SIS 软件组态 SIS 测试 SIS 安装 SIS 投料试车 SIS 初始确认 修改修改 = 改变要求改变要求 修改修改 = 改变设计改变设计 39 安全周期目标安全周期目标 1. 建立更安全的系统，此系统不会出现以前系统中 的那么多问题。 2. 建
23、立成本高效的系统，并与设计风险相匹配。 3. 消除成本高而又没有多少用处的“薄弱环节”设计。 4. 为实现一致性设计，提供全球的设计框架。 40 第三部分第三部分: 风险管理的原理风险管理的原理 41 什么是风险？什么是风险？ 风险是对不利影响的 可能性可能性 和后果后果 的测量， (如, 发生的 频率和后果的影响?) 风险受害方风险受害方: 人员 环境 财产： 设备财产损失 业务受损 业务负债 公司形象 市场份额的丢失 42 公司为何要控制风险？公司为何要控制风险？ 公司负有法律、道德及财政义务来限制因其操作而产生的 风险。 了解公司所采取的方式，帮助制定与此方式相符的安全方 针 Moral
24、 Legal Financial 不管成本如何，装置应尽可 能地安全 不管成本或实际的风险等 级，公司应遵从成文的规 章制度 建造最低成本的装置， 使其操作预算尽可能少 43 风险可容忍度基础风险可容忍度基础 因风险活动可以获得收益，因风险活动可以获得收益， 所以要容忍所以要容忍 了解风险及收益有助于了解何了解风险及收益有助于了解何 种风险可以容忍种风险可以容忍 世上没有零风险的事世上没有零风险的事 44 测量风险和收益测量风险和收益 必须对风险及收益进行测量，用以明智地决定在实际情 况中该如何做 风险测量必须说明可能性和后果 后果通常有几种损害形式 可以将损害有效地定义为收益的损失并且可以将
25、此 收益直接加入等式中。 要正确地测量风险，必须考虑到所有较大的损害形式。 45 后果表述后果表述 风险测量取决于两个因素: 谁处于风险中? 个人个人 社会社会 环境环境 风险的本质是什么? 死亡或受伤死亡或受伤 永久或临时损害永久或临时损害 财产损失财产损失 46 个人风险个人风险 个人风险: 频率分布显示，因某种危险发生，个人 可能受到一定程度的损害（通常是死亡） 英国HSE委员会风险容忍度框架将风险定义为: 可容忍区域的低风险限度为 1 x 10-5 年 可容忍区域的高风险限度为 1 x 10-3 年 ALARP (合理条件下尽可能低)区域通常在以上两个区 域之间 47 个人风险和个人风
26、险和 ALARP 可忽略风险可忽略风险 高风险高风险 10-3/年 年 (工人 工人) 10-4/年 年 (公众 公众) 10-6/年 年 不能容忍区域不能容忍区域 ALARP 或可容忍区域或可容忍区域 广泛地可接受的区域 决不决不 如果值得如果值得 无人在意无人在意 48 确定可容忍风险确定可容忍风险 既要严格又要灵活 要考虑所有相关的损害形式 要符合公司及社会惯例 49 可容忍风险等级举例可容忍风险等级举例 所在潜在危害必须低于： 每人每年0.0005死亡率 每人每年0.005伤害率 每个工厂每年0.01 重大环境污染事故率 每个工厂每年损失50万美元，等等 50 可容忍风险等级举例可容忍
27、风险等级举例 带说明的矩阵表: 所有极度风险都要降低 所有中度风险都要根据实际情况降低 中度的 中度的 可接受的 可接受的 1 100,000 年 中度的 中度的 可接受的 可接受的 1 10,000 年 极度的极度的 中度的 中度的 可接受的 1 1000 年 极度的极度的 极度的极度的 中度的 可接受的 1 100 年 多人死亡 永久伤害 死亡 损工时伤害 有记录的伤 害 51 从固有的工艺风险开始从固有的工艺风险开始 风险风险: 损害发生可能性与严重程度的组合 (IEC/ISO 指南 51:1990) 有害影响的可能性及后果的测量（如发生频次及如果这样 做产生的可能后果？） 固有风险固有
28、风险: 因已完成的工艺设计产生的风险，此设计包含在指定工 艺参数和一定数量的材料（如：温度、压力等）。 52 Increasing Risk 后后 果果 可可 能能 性性 增加风险增加风险 可容忍风险区域可容忍风险区域 ALARP 风险区域风险区域 不可接受的不可接受的 风险区域风险区域 风险削减风险削减 53 通过控制固有风险来降低风险通过控制固有风险来降低风险 固有风险是测量后果的基本量。固有风险是测量后果的基本量。 通过减少有毒、易燃或爆炸品库存来控制固有风 险，良好的工艺工程设计支持是至关重要的。 54 通过控制地理位置风险的方法来降低风险通过控制地理位置风险的方法来降低风险 地理位置
29、风险地理位置风险 测量在某一特定地理位置发生 事件的概率。 P-101 P-102 P-103 D-101 D-102 V-101 V-102 10-3 10-5 10-4 通过控制人员所在的位置如控制室、工作区域和路线 来控制人员风险 55 非非SIS风险削减风险削减 增加风险增加风险 后后 果果 可可 能能 性性 可接收风险区域可接收风险区域 ALARP 风险区域风险区域 不可接受的不可接受的 风险区域风险区域 降低风险后果，如 ：减少材料、建围 堤、机械保护等 工艺固有风 险 降低非SIS风险， 如使用安全阀 56 SIS风险降低风险降低 增加风险增加风险 Consequence 可接收
30、风险区域可接收风险区域 ALARP 风险区域风险区域 不可接受不可接受 风险区域风险区域 降低风险后果， 如：减少材料、 建围堤、机械保 护等 工艺固有风 险 非SIS风险降低， 如压力泄放阀 SIS风险降低 SIL 1 SIL 2 SIL 3 此方面降低会 出现什么？ 57 风险管理标准风险管理标准 AS/NZ 4360 ISO 14001 40 CFR 68 IEC 61508 29 CFR 1910 IEC 60300 IEC 61508 电气风险降低及安全系统的国际标准 IEC 60300-3-9 技术系统的风险分析技术指南的国际标准 ISO 14001 指导环境风险管理的国际标准 2
31、9 CFR 1910 指导工艺安全管理的美国 OSHA 法规 AS/NZ 4360 一般风险控制管理的澳大利亚 / 新西兰标准 58 风险管理方法风险管理方法 建立内容建立内容 监 控 及 审 核 监 控 及 审 核 识别风险识别风险 分析风险分析风险 (可能性和后果) 评估风险可容忍度评估风险可容忍度 接受或控制风险接受或控制风险 确定控制选项 评估控制选项 选择控制选项 制订控制计划 实施控制计划 沟 通 及 咨 询 沟 通 及 咨 询 59 安全周期目标安全周期目标 分析分析 设计设计 确认确认 文件文件 危险分析危险分析/风险评估：风险评估： 确定设计目标确定设计目标 进行软硬件设进行
32、软硬件设 计计 OK 修改修改 评估设计评估设计: 安全完整性和有效性的可靠安全完整性和有效性的可靠 性分析性分析 文件文件 文件文件 操作和维修操作和维修 文件文件 将风险降至可接将风险降至可接 受的程度受的程度 60 第四部分第四部分: 工艺危险分析工艺危险分析 61 危险定义危险定义 潜在危害源 IEC 61508-4, Sub clause 3.1.2 具有可能对人员、财产或环境造成损害的 潜在危险的化学或物理条件（例如装有 500吨氨的压力储罐） CCPS, CPQRA指南 62 术语术语: 初始事件初始事件 初始事件初始事件: 事件顺序中 的第一个事件（如应 力腐蚀导致氨罐的连 接
33、管线出现泄漏破 裂 ）。 63 术语术语: 中间事件中间事件 中间事件中间事件: 事件顺序中初始 事件已扩散或缓和的事件 （例如，操作人员采取了 错误的动作，没有阻止氨 最初的泄漏，并导致中间 事件扩散成一个事故，在 这种情况下，中间事件的 结果就是有毒物料释放） 64 术语术语: 事故事故 事故事故: 物料或能源容器 的损坏（例如，氨罐的 连接管线泄漏了10磅的 氨，造成了有毒蒸汽云） 并非所有的事件都会扩 散成事故。 65 术语：事故结果术语：事故结果 事故结果事故结果: 事故的物理表现形式； 如果是有毒物料，事故的结果 就是有毒物料释放，如果是易 燃物料，事故的结果可能就是 沸腾的液体扩
34、散为蒸汽云爆炸 (BLEVE)、 闪火、非封闭式蒸 汽云爆炸、有毒物料释放等。 （例如，如果泄漏了10磅的氨， 事故的结果就是有毒物料释放） 66 术语：后果术语：后果 后果后果: 对事故结果情况 的预期效果的度量 （例如，在D级天气 条件下，10磅的氨泄 漏，以1.4mph的速度 随风向北行进，将对 50个人造成伤害） 受伤 死亡 商业运行中断 财产损失 环境破坏 其他无形影响 第三方责任 67 从潜在到事实从潜在到事实 初始事件 通常都会随之发生 中间事件 可能再形成另一个 中间事件 可能会导致一个 事故结果 根据具体情况，此事故结果会 导致后果 假设存在一个潜在伤害的危险, 事故 所产生
35、的结果称之为 68 SLC“分析分析” 阶段危险识别阶段危险识别 评估后果评估后果 评估非评估非SIS保护层效果保护层效果 1. 概念上的工艺设计概念上的工艺设计 需要需要SIS? 2. 识别潜在危险识别潜在危险 工艺安全信息工艺安全信息 4. 保护层分析保护层分析 潜在危险潜在危险 危险频率危险频率 3. 后果分析后果分析 危险后果危险后果 5. 为为SIS和和SIF选择目标选择目标SIL 目标目标SIL 6. SIS/SIF必要的文件必要的文件 事件历史事件历史 保护层保护层 故障率故障率 可容忍风险指南可容忍风险指南 危险特性危险特性 停止停止 No Yes 实施 安全要求规范安全要求规
36、范 - 每个安全仪表功能的描述，包括目标 SIL，减轻的危险，工艺参数，逻辑， 旁路维修要求，响应时间等。 69 什么是工艺危险性分析什么是工艺危险性分析 IEC61508-1 规定了三种功能: 1. 确定在所有可合理预见的条件下（包括故障 条件和误操作），受控设备（EUC)和EUC 控制系统的危险和危险事件（在所有操作模 式下），。 2. 确定以上所确定危险事件的事件顺序。 3. 确定与以上所确定危险事件相关的EUC风险。 70 什么是工艺危险性分析（什么是工艺危险性分析（PHA)? 识别危险 通常在 PHA中识别危险 评估后果 评估可能性 (频率) 71 常见的常见的PHA方法方法 检查表
37、 What if? What if? / 检查表 HAZOP (危险和可操作性研究危险和可操作性研究) FMEA (故障模式和效果分析) 故障树分析 适当的等同方法 72 选择不同于选择不同于”正常正常”情况的偏差情况的偏差 转到下一个偏转到下一个偏 差差 No 选择项目选择项目 确定安全功能确定安全功能 - SIS 和和/或者机械安全或者机械安全(MS) 和和/或者或者 外部风险削减外部风险削减 确定传感器和安全阀的位置确定传感器和安全阀的位置 (安全行动安全行动) 会产生危险吗会产生危险吗? (有预防其发生的有效操作吗有预防其发生的有效操作吗?) Yes 控制系统是否会及时对偏差进行调整控
38、制系统是否会及时对偏差进行调整? 控制系统故障控制系统故障, 误动作误动作, 操作工误操作操作工误操作 描述可能的危险后果描述可能的危险后果 考虑其他偏差原考虑其他偏差原 因因 可能会偏差吗可能会偏差吗? 可能的原因可能的原因? Yes 一般一般HAZOP 程序程序 No No Yes Yes Yes 73 从从PHA报告中识别报告中识别SIF需要哪些信息需要哪些信息? 先前的研究中有关安全仪表功能的描述 已消除的危险及其后果 导致后果的初始事件 防止后果发生的安全措施 (SIS和非SIS) 74 PHA - HAZOP 脱水剂再生 脱水 深冷分离 再 压 缩 XV 32 A/S TT 31
39、TT 32 乙烷 丙烷 入口气体 天然气液体 I-3 I-1 I-2 I-4 XV 31 A/S XY 31 XY 32 闪蒸分离 316 SS CS 防止现场碳钢管线防止现场碳钢管线 脆裂的功能脆裂的功能 75 PHA -HAZOP 识别识别 SIF 偏差偏差 后果后果 太低 安全措施安全措施 原因原因 物流间流量 不平衡 存在下游管线脆 裂和着火的潜在 危险 建议建议 行动行动 J. Jones PLC低温切 断 极端天气 同上，确定极度天 气的可能性 J. Jones 流量报警和 工艺切断 太高 物流间流量 不平衡 Potential compressor damage 确定压缩机是否会
40、 损坏 S. Smith 存在下游管线脆 裂和着火的潜在 危险 报警、工艺切断、 独立的PLC低温 切断 独立的PLC低温切 断是否为SIS? 节点: 热端深冷换热器 参数:温度 76 SIF描述描述 “建议”栏中建议的SIF “安全措施”栏中提供的SIF 建议的安全措施建议的安全措施 Action J. Jones J. Jones S. Smith 偏差偏差 后果后果 太低 安全措施安全措施 原因原因 物流间流量 不平衡 存在下游管线脆 裂和着火的潜在 危险 建议建议 PLC低温切 断 极端天气 同上，确定极度天 气的可能性 流量报警和 工艺切断 太高 物流间流量 不平衡 Potentia
41、l compressor damage 确定压缩机是否会 损坏 存在下游管线脆 裂和着火的潜在 危险 报警、工艺切断、 独立的PLC低温 切断 独立的PLC低温切 断是否为SIS? 77 危险和后果危险和后果 已经避免的危险及其后果可在“后果”一栏中的 说明中查找 Action J. Jones J. Jones S. Smith 偏差偏差 后果后果 太低 安全措施安全措施 原因原因 物流间流量 不平衡 存在下游管线脆 裂和着火的潜在 危险 建议建议 PLC低温切 断 极端天气 同上，确定极度天 气的可能性 流量报警和 工艺切断 太高 物流间流量 不平衡 Potential compresso
42、r damage 确定压缩机是否会 损坏 存在下游管线脆 裂和着火的潜在 危险 报警、工艺切断、 独立的PLC低温 切断 独立的PLC低温切 断是否为SIS? 78 初始事件初始事件 在HAZOP中，初始事件在“原因”一栏 “如果怎样”和检查表问题 每个危险的多个潜在的初始事件 两个初始事件造成同一后果 Action J. Jones J. Jones S. Smith 偏差偏差 结果结果 太低 安全措施安全措施 原因原因 物流间流量 不平衡 存在下游管线脆 裂和着火的潜在 危险 建议建议 PLC低温切 断 极端天气 同上，确定极度天 气的可能性 流量报警和 工艺切断 太高 物流间流量 不平衡
43、 Potential compressor damage 确定压缩机是否会 损坏 存在下游管线脆 裂和着火的潜在 危险 报警、工艺切断、 独立的PLC低温 切断 独立的PLC低温切 断是否为SIS? 79 安全措施安全措施 查找已有的SIS和非SIS的安全措施，它不同于我们要研 究的SIS 安全措施将运用于初始事件、可能存在的每个初始事件的 多重安全措施中。 Action J. Jones J. Jones S. Smith 偏差偏差 结果结果 太低 安全措施安全措施 原因原因 物流间流量 不平衡 存在下游管线脆 裂和着火的潜在 危险 建议建议 PLC低温切 断 极端天气 同上，确定极度天 气
44、的可能性 流量报警和 工艺切断 太高 物流间流量 不平衡 Potential compressor damage 确定压缩机是否会 损坏 存在下游管线脆 裂和着火的潜在 危险 报警、工艺切断、 独立的PLC低温 切断 独立的PLC低温切 断是否为SIS? 80 从从 P 由 EPA, FEMA, 和 DOT开发 免费软件 气体或液体 轻的或浓密的气 体模拟 混合物 爆炸 公开提供 采用某些被动缓和方法 (如堤岸等) 提供的有毒物质的结果 非常保守 有限浮动 没有化学品数据库 DOS 用户界面 DEGADIS 公共; 由 DOT, EPA, 和DOE共 同投资 可变的 气体或液体 浓密气体模拟
45、Windows - 易于使用 可以预装化学品 部分模型可加入到 ALOHA 需要专家支持 可补充的化学品数据库 非常有限 PHAST 所有权; 由 Det Norske Veritas开发 高成本 气体或液体 轻质或浓密气体 模拟 化学品数据库 混合物 爆炸 DIPPR 化学品数据库 可以是悬浮颗粒 早期释放模拟已在业内广 为接受 良好的图形表现能力 扩散量可能超过 EPA OCA 需要专家支持 93 PHA步骤可能性分析步骤可能性分析 评估后果评估后果 评估非评估非SIS保护层效果保护层效果 1. 概念上的工艺设计概念上的工艺设计 需要需要SIS? 2. 识别潜在危险识别潜在危险 工艺安全信息工艺安全信息 4. 保护层分析保护层分析 潜在危险潜在危险 危险频率危险频率 3. 后果分析后果分析 危险后果危险后果 5. 为为SIS和和SIF选择目标选择目标SIL 目标目标SIL 6. SIS/SIF必要的文件必要的文件 事件历史事件历史 保护层保护层 故障率故障率 可容忍风险指南可容忍风险指南 危险特性危险特性 停止停止 No Yes 实施 安全要求规范安全要求规范 - 每个安全仪表功能的描述，包括目标 SIL，减轻的危险
