金龍 楊國棟 安如珠 楊凱 王學(xué)林 楊青霄

1河北華北石油工程建設(shè)有限公司

2青海油田采油一廠

3中國石油華北油田分公司二連分公司

4中國石油華北油田分公司

隨著我國長輸管道的迅猛發(fā)展，管道及沿線站場的完整性管理顯得尤為重要。油氣站場因工藝介質(zhì)的特殊性、工業(yè)裝置的大型化和處理流程的復(fù)雜化，一旦發(fā)生生產(chǎn)事故，容易造成災(zāi)難性后果[1]。因此，為保證油氣站場安全平穩(wěn)運(yùn)行，常設(shè)置緊急停車系統(tǒng)（ESD）、高完整性壓力保護(hù)系統(tǒng)（HIPPS）、火氣系統(tǒng)（FGS）、燃燒器管理系統(tǒng)（BMS）等，這些系統(tǒng)可在一定程度上阻止事故發(fā)生或減小事故發(fā)生造成的后果，統(tǒng)稱為安全儀表系統(tǒng)。安全儀表系統(tǒng)采用安全完整性等級(jí)（SIL）來衡量系統(tǒng)的管理水平，表征一定條件下安全儀表功能（SIF）可被成功執(zhí)行的概率。

在SIL 評(píng)估中，SIL 等級(jí)的驗(yàn)證是評(píng)估現(xiàn)有SIF是否完備、測試周期是否合理、SIL 等級(jí)是否滿足現(xiàn)有儀表系統(tǒng)的關(guān)鍵，也是研究人員重點(diǎn)關(guān)注的問題[2-3]。功能安全基礎(chǔ)標(biāo)準(zhǔn)IEC61508.6提出了四種常用的SIL等級(jí)驗(yàn)證方法，分別為簡易公式法、可靠性框圖法、故障樹分析法和馬爾科夫模型法。MOORE等[4]采用區(qū)間法解決了馬爾科夫建模過程中的參數(shù)不確定性，提高了馬爾科夫的計(jì)算精度；SUMMERS[5]對比了故障樹和可靠性框圖法，結(jié)果表明，在復(fù)雜條件下前者的計(jì)算結(jié)果更為準(zhǔn)確；MAHDI等[6]考慮了共因失效、修復(fù)率和診斷覆蓋率的影響，完善了可靠性框圖計(jì)算方法；唐平等[7]分別采用簡易公式法和馬爾科夫模型法對丙烯塔火炬泄放裝置的SIF進(jìn)行了SIL驗(yàn)證；楊放等[8]采用可靠性框圖法計(jì)算了輸氣站場ESD系統(tǒng)的SIL等級(jí)；朱睿峰等[9]采用故障樹分析法對海上油氣處理模塊的溫度控制系統(tǒng)進(jìn)行了SIL等級(jí)評(píng)估。從上述研究可見，每種計(jì)算方法均有應(yīng)用，且部分研究人員對其進(jìn)行了改進(jìn)，其中簡易公式法計(jì)算便捷，但無法反映執(zhí)行機(jī)構(gòu)的全部失效狀態(tài)，計(jì)算結(jié)果偏?。豢煽啃钥驁D法無法獲得與時(shí)間序列相關(guān)的完整性評(píng)估指標(biāo)，且對于冗余系統(tǒng)，無法描述因單通道失效引發(fā)的系統(tǒng)降級(jí)；故障樹分析法同樣也無法一次性獲得與時(shí)間序列相關(guān)的完整性評(píng)估指標(biāo)；馬爾科夫模型法可描述系統(tǒng)狀態(tài)轉(zhuǎn)移時(shí)的動(dòng)態(tài)變化，但轉(zhuǎn)移矩陣的維數(shù)與表決結(jié)構(gòu)的復(fù)雜性呈正比，計(jì)算量較大。隨機(jī)Petri網(wǎng)（SPN）能夠?qū)λ械募s束條件進(jìn)行建模，可將復(fù)雜系統(tǒng)簡單化，并具有擴(kuò)展性，但對于中間狀態(tài)和不確定參數(shù)的求解往往計(jì)算量較大，故引用蒙特卡洛進(jìn)行輔助模擬，形成SPN-蒙特卡洛模型的SIL驗(yàn)證方法，研究結(jié)果可為油氣站場完整性管理水平的提升提供理論依據(jù)。

1 隨機(jī)Petri網(wǎng)

安全儀表系統(tǒng)是一個(gè)動(dòng)態(tài)隨機(jī)過程，系統(tǒng)中各種參數(shù)均會(huì)隨時(shí)間發(fā)生改變，因此在SIL驗(yàn)證計(jì)算的過程中需考慮時(shí)間的延續(xù)性。隨機(jī)Petri 網(wǎng)（SPN）通過在變遷中添加一定的延時(shí)數(shù)據(jù)，以增加對系統(tǒng)動(dòng)態(tài)特征的描述[10]，相對于其余幾種SIL驗(yàn)證方法，其優(yōu)點(diǎn)如下：

（1）采用圖形表示系統(tǒng)邏輯關(guān)系，后續(xù)數(shù)據(jù)處理更加便捷。

（2）SPN模型規(guī)模隨建模部件的數(shù)量呈線性增長，而馬爾科夫模型法則呈指數(shù)增長。

（3）模型靈活多變，可使用各種約束條件的SIL驗(yàn)證模型，同時(shí)中間狀態(tài)可采用蒙特卡洛模擬。

SPN 模型是由庫所、變遷、有向弧和托肯組成[11]，通過圖形的方式表示4 個(gè)基本元素相互關(guān)系，將變遷按照延時(shí)條件分為隨機(jī)變遷和瞬態(tài)變遷，各元素的含義見表1。

表1 SPN模型元素符號(hào)及含義Tab.1 Symbol and meaning of SPN model elements

2 基于SPN的SIL驗(yàn)證模型

利用Time net 軟件對“MooN”型（表示N 取M，如2oo3 為3 取2）的表決結(jié)構(gòu)進(jìn)行建模，模型中包括檢測到的危險(xiǎn)失效（DD）、未檢測到的危險(xiǎn)失效（DU）、檢測到的安全失效（SD）、未檢測到的安全失效（SU），同時(shí)考慮冗余結(jié)構(gòu)中一個(gè)或多個(gè)事件導(dǎo)致設(shè)備同時(shí)失效的共因失效（CCF）；狀態(tài)繼續(xù)細(xì)分為檢測到的共因危險(xiǎn)失效（DDC）、未檢測到的共因危險(xiǎn)失效（DUC）、檢測到的非共因危險(xiǎn)失效（DDN）、未檢測到的非共因危險(xiǎn)失效（DUN）、檢測到的共因安全失效（SDC）、未檢測到的共因安全失效（SUC）、檢測到的非共因安全失效（SDN）、未檢測到的非共因安全失效（SUN）。模型見圖1所示。

圖1 “MOON”型Petri網(wǎng)模型Fig.1 "MOON"Type Petri net model

模型左右兩側(cè)分別為安全失效和危險(xiǎn)失效，初始正常的工作狀態(tài)為W，托肯在庫所W 內(nèi)。以右側(cè)危險(xiǎn)失效為例，經(jīng)過一段時(shí)間，外界因素使變遷T0 發(fā)生改變，實(shí)施速率為λD（危險(xiǎn)失效概率），此時(shí)托肯被轉(zhuǎn)移至庫所D 中，表示發(fā)生危險(xiǎn)失效。由于目前智能設(shè)備內(nèi)部帶有自診斷功能，可檢測出部分失效，故危險(xiǎn)失效經(jīng)過變遷T2和T3后，庫所D 中的托肯進(jìn)入DD 和DU 的概率分別為DC（診斷覆蓋率）和（1-DC）。當(dāng)托肯位于庫所DD 中時(shí)，表示系統(tǒng)發(fā)生了檢測到的危險(xiǎn)失效，由于共因失效概率β的存在，托肯又以不同的概率立即轉(zhuǎn)移至庫所DDC 和DDN 中。經(jīng)過時(shí)間的推移，通過對系統(tǒng)實(shí)施周期性功能檢測，假設(shè)修復(fù)率為100%，系統(tǒng)經(jīng)過不同的平均修復(fù)時(shí)間MTTR，變遷T17 和T19恢復(fù)到初始工作狀態(tài)W，系統(tǒng)修復(fù)如新。當(dāng)托肯位于DU 中時(shí)，表示系統(tǒng)發(fā)生了未檢測到的危險(xiǎn)失效，同理若失效由共因失效引起，托肯進(jìn)入庫所DUC，反之進(jìn)入庫所DUN。當(dāng)托肯在庫所DUC時(shí)，等同于系統(tǒng)的自診斷功能失效，此時(shí)系統(tǒng)不可修復(fù)；當(dāng)托肯在庫所DUN 時(shí)，只有N-M+1 個(gè)狀態(tài)同時(shí)進(jìn)入DUN 時(shí)才會(huì)導(dǎo)致系統(tǒng)失效，而單通道并不會(huì)引發(fā)危險(xiǎn)失效，經(jīng)過一個(gè)測試周期的檢驗(yàn)，系統(tǒng)可恢復(fù)正常狀態(tài)。

3 蒙特卡洛模擬

基于以上分析，SPN模型中存在較多的中間變量，且SIF回路因反饋數(shù)據(jù)缺失、運(yùn)行狀態(tài)待定和新子系統(tǒng)的應(yīng)用會(huì)導(dǎo)致部分參數(shù)存在不確定性，主要參數(shù)有危險(xiǎn)失效概率λD、安全失效概率λs、診斷覆蓋率DC（危險(xiǎn)失效和安全失效的診斷覆蓋率相同）、共因失效概率β和平均修復(fù)時(shí)間MTTR等。在求解以上參數(shù)的精確解析解時(shí)計(jì)算量較大，故采用蒙特卡洛模擬降低計(jì)算量，使結(jié)果更加可靠。蒙特卡洛模擬是一種以概率論和統(tǒng)計(jì)理論方法為基礎(chǔ)的計(jì)算方法，通過使用隨機(jī)數(shù)解決參數(shù)的不確定性，以獲得問題的近似解，當(dāng)知道不確定參數(shù)符合某種概率分布時(shí)即可求解。SPN-蒙特卡洛模擬流程見圖2，步驟如下：

圖2 SPN-蒙特卡洛模擬流程Fig.2 SPN-Monte Carlo simulation process

（1）根據(jù)不確定參數(shù)特點(diǎn)，確定數(shù)據(jù)服從的概率分布類型（一般有Uniform 分布、Normal 分布、Beta分布和Lognormal 分布），采用Matlab軟件生成仿真數(shù)據(jù)。

（2）根據(jù)一組輸入數(shù)據(jù)，參照SPN模型，計(jì)算平均要求失效概率PFDavg(i)，i為模擬次數(shù)。

（3）重復(fù)前兩個(gè)步驟，直至達(dá)到設(shè)定的模擬次數(shù)，輸出n個(gè)PFDavg結(jié)果。

（4）計(jì)算n個(gè)PFDavg 結(jié)果的均值、95%置信區(qū)間及標(biāo)準(zhǔn)差，并通過累計(jì)密度函數(shù)（CDF）評(píng)價(jià)計(jì)算結(jié)果的有效性，公式如下：

式中：F為CDF 分布；p為仿真結(jié)果落入置信區(qū)間的概率。

當(dāng)仿真次數(shù)n足夠大時(shí)，不確定參數(shù)的算術(shù)平均值等于數(shù)學(xué)期望，即逼近真實(shí)值，則確定的SIL等級(jí)結(jié)果更加準(zhǔn)確。

4 實(shí)例分析

4.1 基本情況

以某輸氣站場氣液分離器高完整性壓力保護(hù)系統(tǒng)（HIPPS）為例進(jìn)行分析，HIPPS 可降低被保護(hù)對象的承壓等級(jí)，切斷危險(xiǎn)壓力源，防止下游設(shè)備或管道出現(xiàn)超壓，同時(shí)可適當(dāng)取消放空裝置、防爆閥、安全閥等被動(dòng)泄放設(shè)備，在提高設(shè)備安全性的同時(shí)減少資金投入[12-13]。該氣液分離器超壓的SIF回路為天然氣進(jìn)入氣液分離器，液相從分離器底部由液相泵輸出，氣相從分離器上部輸出并進(jìn)入下游壓縮機(jī)，當(dāng)氣相管道超過壓縮機(jī)負(fù)荷時(shí)，氣液分離器出現(xiàn)超壓，此時(shí)壓力傳感器檢測到超壓并將信號(hào)傳遞至邏輯控制器，邏輯控制器PLC輸出控制信號(hào)用于關(guān)閉執(zhí)行器的任意閥門，從而切斷物流，工藝流程見圖3。SIS系統(tǒng)結(jié)構(gòu)見圖4，其中壓力傳感器為2oo3結(jié)構(gòu)，即3個(gè)壓力傳感器同時(shí)工作，只要有任意2個(gè)傳感器檢測到氣液分離器壓力異常，邏輯控制器即可接收到信號(hào)；邏輯控制器為1oo1 結(jié)構(gòu)；執(zhí)行器為1oo2結(jié)構(gòu)。

圖3 氣液分離器工藝流程Fig.3 Process flow of gas-liquid separator

圖4 SIS系統(tǒng)結(jié)構(gòu)圖Fig.4 SIS system structure diagram

4.2 SIL驗(yàn)證結(jié)果

根據(jù)現(xiàn)場搜集到的基礎(chǔ)數(shù)據(jù)，可初步確定各子系統(tǒng)參數(shù)的上下限，參照文獻(xiàn)[14-15]的方法確定參數(shù)的概率分布。鑒于對數(shù)正態(tài)分布（LogN）長尾性、非負(fù)性的特點(diǎn)，分別對三個(gè)子系統(tǒng)進(jìn)行建模和仿真，將HIPPS系統(tǒng)的通用可靠性數(shù)據(jù)轉(zhuǎn)換為蒙特卡洛模擬所需的分布參數(shù)，其基本參數(shù)和仿真參數(shù)見表2，TI為周期性測試周期，h。

表2 子系統(tǒng)的基本參數(shù)和仿真參數(shù)Tab.2 Basic parameters and simulation parameters of the subsystem

仿真結(jié)果的直方圖見圖5，傳感器子系統(tǒng)的PFDavg主要分布在[0.000 8，0.002]，邏輯控制器子系統(tǒng)的PFDavg 主要分布在[0.000 5，0.004]，執(zhí)行器子系統(tǒng)的PFDavg主要分布在[0.0013，0.003]，總的HIPPS 系統(tǒng)的的PFDavg 主要分布在[0.000 3，0.005]。

圖5 蒙特卡洛計(jì)算PFDavg結(jié)果的直方圖Fig.5 Histogram of the results of Monte Carlo calculation of PFDavg

仿真的精確值見表3，將各子系統(tǒng)的PFDavg相加得到總的HIPPS 系統(tǒng)的PFDavg 值。SPN-蒙特卡洛模型的計(jì)算結(jié)果中PFDavg 均在95%的置信區(qū)間內(nèi)，說明仿真結(jié)果滿足SIL的計(jì)算要求。累計(jì)密度函數(shù)（CDF）包含了直方圖相同的信息，但噪聲更少，且不存在分段問題，可用CDF 檢驗(yàn)結(jié)果是否包含在所需的SIL 等級(jí)內(nèi)，經(jīng)計(jì)算概率p(X＜0.01)=1，說明95%的仿真結(jié)果滿足所需的SIL等級(jí)。

表3 HIPPS系統(tǒng)SIL驗(yàn)證計(jì)算結(jié)果Tab.3 SIL verification calculation results of HIPPS system

與可靠性框圖法相比，各子系統(tǒng)的PFDavg 均在同一數(shù)量級(jí)上，說明兩種方法的計(jì)算結(jié)果具有一致性，其SIL等級(jí)不會(huì)改變。但SPN-蒙特卡洛模型可在不改變原有模型結(jié)構(gòu)的基礎(chǔ)上擴(kuò)展系統(tǒng)的狀態(tài)，可考慮系統(tǒng)動(dòng)態(tài)變化及維修計(jì)劃實(shí)施的影響，也可進(jìn)行部分功能測試周期的擴(kuò)展，因此該模型具有更好的適用性和科學(xué)性。對比3個(gè)子系統(tǒng)，執(zhí)行器系統(tǒng)的SIL 等級(jí)較高，但整個(gè)HIPPS 系統(tǒng)的SIL等級(jí)由傳感器和執(zhí)行器子系統(tǒng)決定，因此在進(jìn)行儀表自控設(shè)計(jì)時(shí)應(yīng)注重各子系統(tǒng)SIL 等級(jí)的分配（圖6）。

圖6 PFDavg的共享分布圖Fig.6 Shared distribution map of PFDavg

5 結(jié)論

（1）建立基于SPN 模型的SIL 驗(yàn)證模型，解決了傳統(tǒng)模型擴(kuò)展能力和表達(dá)能力差的問題，在不改變原有模型結(jié)構(gòu)的基礎(chǔ)上可實(shí)現(xiàn)數(shù)據(jù)的動(dòng)態(tài)分析。

（2）針對部分參數(shù)的不確定性，采用蒙特卡洛進(jìn)行逼近模擬，以氣液分離器HIPPS 系統(tǒng)進(jìn)行分析，采用累積密度函數(shù)對SPN-蒙特卡洛計(jì)算結(jié)果中95%置信區(qū)間進(jìn)行驗(yàn)證，仿真結(jié)果滿足所需的SIL等級(jí)，說明本文算法具有一定的可靠性。

（3）整個(gè)HIPPS 系統(tǒng)中執(zhí)行器系統(tǒng)的SIL 等級(jí)較高，最終的SIL 等級(jí)由傳感器和執(zhí)行器子系統(tǒng)決定。