火电厂汽包水位保护系统的安全评估

1、火电厂汽包水位保护系统的安全评估摘 要：为了使我国传统的电力生产过程符合国家及国际标准 需要对火力发电厂中的安全相关系统进行安全评估。针对火电厂典型的安全仪表系统SIS锅炉汽包水位保护系统进行了系统的安全评估，从而确保了其安全功能的有效执行，并对未达到标准的SIS结构及其运行方式进行了相应的修改。确认系统的安全仪表功能(SIF), 利用风险矩阵法选择SIF的目标安全完整性等级(SIL); 分析并确认系统结构及其操作模式,通过搜集系统设备的失效率数据, 利用故障树分析计算系统定量的安全性指标-要求时失效概率(PFD);通过对计算结果的分析给出了系统的改进建议。关键词：安全仪表系统；锅炉汽包水位保

2、护系统；安全完整性等级；要求时失效概率0、引言 安全仪表系（Safety Instrumented System，SIS）是由国际电工委员会（IEC） 标准IEC 61508 及IEC61511定义的独立于DCS/PLC的专门用于工业过程的安全系统，它对装置可能发生的危险或不采取措施将继续恶化的状态及时地进行响应和保护，使生产装置按照规定的条件或程序退出运行，从而使危险降低到最低程度，以保证人员、设备的安全和避免工厂周边环境污染。 在石油、化工、核电等高危险性流程工业中已经得到广泛的应用。 石油、化工、核电等高危险性流程工业都已制定了与本行业相关的安全标准和规范，因此其SIS设计相对于火电厂来

3、说更加规范，更能满足国际标准的要求，安全功能的执行情况也更能得到保障。然而，在传统的发电行业中由于之前机组较小系统自动化程度不高并且为了提高经济效益过程的安全问题没有得到重视 一些必要的保护措施没有得到合理有效的利用随着机组容量的不断加大各设备都工作在机械极限状态 电厂中各种大小事故的不断出使人们开始逐渐重视电厂的安全生产 所以对火电厂现有的安全仪表系统进行评估以确保其安全仪表功能的执行 对不符合标准的SIS结构及其运行方式进行相应的修改势在必行。 火电厂典型的安全仪表系统主要由检测部分（传感器、变送器）、 逻辑运算部分、执行动作部分（阀门、泵、电机）3部分组成。 火电厂典型的SIS有锅炉汽压

4、保护系统、锅炉水位保护系统、直流锅炉断水保护系统、再热器保护系统、炉膛安全监控系统、燃烧器管理系统、汽轮机紧急跳闸保护系统等。现以锅炉水位保护系统为例，介绍SIS的安全评估过程。1、安全仪表系统的评估过程 IEC 61508 针对由电气/电子/可编程电子部件构成的、起安全作用的电气/电子/可编程电子系统（E/E/PE）的整体安全生命周期，建立了一个基础的评价方法。首次提出的安全完整性等级（SIL） 成为安全评估领域中重要的定量评估指标， 确定SIS的目标SIL和计算SIS的要求时失效概率PFD 成为评估过程的主要工作。 确定SIS的目标SIL涉及的工作包括过程危险分析PHA 和风险分析。 计算

5、SIS的PFD需要：（1） 确定SIS的结构及操作模式 ；(2) 搜集SIS的可靠性数据 ；(3) 建立SIS的可靠性模型故障树或马尔可夫模型 ；(4) 结合模型和可靠性数据计算SIS的安全性指标PFD。 若有需要还可计算SIS的可用性指标PFS。 最后， 将计算得到的SIS的SIL与目标SIL比较得出系统的安全性是否满足要求。 整个系统安全评估的流程如图1所示2。2、锅炉汽包水位保护系统的安全评估2.1水位保护系统的安全仪表功能 清楚地确定安全仪表系统的安全仪表功能是安全评估的首要工作之一。安全仪表功能 （SIF）是指对某个具体的潜在危险事件实行的保护措施。安全仪表系统可以执行 个或多个安全

6、仪表功能。每个安全仪表功能都有不同的安全完整性等级 。若多个SIF共用 1个设备，那么此设备需要满足所有 中最高的SIL要求。 锅炉汽包水位保护系统有2个SIF:水位高保护（SIFI）和水位低保护(SIF2)。 图 2给出了水位保护逻辑。 一般水位偏差分为3个值，称为高一、高二、高三值（例如：+50、+150、+250mm），反之称为低一、低二、低三值（例如：-50、-150、-250mm）。SIFI:当水位高一、高二值相继出现且不存在虚假水位时，汽包水位保护系统动作，打开事故放水门。当水位恢复到高一值时，关事故放水门。 当水位低一、低二值相继出现时，开备用给水门。当水位出现高三值和低三值时，

7、需要紧急停炉。这层保护已不属于水位保护系统的范畴，因此图中未画出水位高、低三值。2.2目标SIL的选择 通过危险和风险分析确定了系统的 SIF后,需要确定各个SIF的目标SIF。SIF不仅是安全仪表系统安全性能的衡量标准,而且是整体安全生命周期中的主线。其选择应该恰到好处，过高会造成成本的浪费，过低会使风险不可接受。因此目标SIL的选择是系统安全评估中十分重要的工作。 选择SIL值时,要先假设没有安全仪表功能,在只考虑分散控制系统(DCS)、预报警、机械设备等危险降低措施的情况下， 根据危险发生的概率和危险发生后的危害程度，采用适当的 选择方法，得出安全仪表系统需要达到的SIL。 SIL选择的

8、定性方法主要有风险矩阵和风险图,定量方法有保护层分析(LOPA).2 种定性方法的原理相似，都是基于分类的方法,主观性较强,且可容忍风险水平都未明确给出 ,而是蕴含在图形结构之中 。而定量方法需要先明确指定一个可容忍风险水平作为目标数值 ，该目标往往采用风险发生频率的形式进行表达， 然后再利用保护层分析（LOPA）等定量风险可能性分析法分析过程中存在的风险频率(未考虑SLS, 但考虑了保护层),最后将得到的过程风险与可容忍风险相比,其差值就是必要的风险降低,也就是SIS的目标SIL 。这种方法客观准确,但需要大量的失效数据做基础。 本次评估利用后果分类(表1)和可能性分类(表2)对汽包水位高和

9、低造成的危险情况进行后果和可能性分类,采用风险矩阵的方法确定安全仪表系统的功能安全指标。锅炉汽包满水、缺水事故是锅炉运行的恶性频发事故。据电力系统发电锅炉事故统计分析，19821985年发生缺水事故27次，满水事故45次，每年有13台锅炉因缺水造成水冷壁管大面积损坏。19861989年统计到的汽包满、缺水事故高达121次，占锅炉运行责任事故的11.2%。从历史数据可判定锅炉汽包满、缺水事故属于频率较高的事故。 至于锅炉满、缺水造成的损失也可以从一些历史记录看出其严重程度。例如1991年1月某电厂2号锅炉满水造成汽轮机轴系断裂，1997年12月某热电厂4号锅炉缺水造成水冷壁大面积爆破，2004年

10、8月15日上海某厂因机组汽包水位数据采集卡故障“汽包水位低”保护误动停机，而每次停机造成直接经济损失都会达到300万500万元。 这些事例都突出反映了锅炉满、缺水事故的严重性。但是锅炉满水、缺水事故一般不会造成人身伤亡，因此对应表1可知其危险程度属于较轻的一类。依据图3的风险矩阵可知汽包水位保护系统的2个安全仪表功能的目标SIL均为2级。23汽包水位保护系统的结构及其操作模式的确定2.3.1结构 图4给出了锅炉汽包水位保护系统的结构，共分为3部分， 其中检测部分为差压变送器Rose-mount3051C 1、2、3 ，采用三取二表决电路（2oo3）， 逻辑单元为DCS控制器，采用二取一表决电路

11、（1oo2）， DCS中的包含AI和DO模件，AI模件采用与变送器相同的表决形式（2oo3）， 执行部分为事故放水门Series 808 1、2（阀组内采用1oo2表决，阀组间采用2oo2表决）和备用给水门Series 808。 系统各组成部分及表决形式汇总如表3所示。23.2操作模式 在IEC61508中，定义了3种操作模式：连续模式、高操作模式和低操作模式。 安全仪表系统的操作模式是根据其要求产生的频率来进行区分的。在低要求操作模式下，对一个安全仪表系统提出操作要求的频率不大于每年1次且不大于2倍的检验测试频率；在高要求或连续模式下，对一个安全仪表系统提出操作要求的频率大于每年1次或大于2

12、倍的检验测试频率。低要求操作模式是过程工业中最普遍的模式。锅炉汽包水位保护系统在基本过程控制系统（BPCS）正常运行时，是处于静态的，只有当BPCS对水位的控制失效，汽包出现满水或缺水情况时，它才会动作。而这种要求操作的频率是非常低的 ，因此将汽包水位保护系统的操作模式视为低要求操作模式。2.4系统的可靠性数据 对安全仪表系统的安全功能进行可靠性分析的基础是设备的可靠性数据。可靠性数据的确定可以依据工业失效数据库、设备的失效模式、影响和诊断（FMEDA）进行分析和参照现场失效数据的记录。本次评估所用的数据均依据设备的FMEDA分析得出。表4为系统设备具体的失效率数据。2.5系统的故障树建模及可

13、靠性指标计算 计算系统的可靠性指标有多种方法 目前广泛采用的有简化方程式可靠性框图故障树分析和马尔可夫分析 本文采用了故障树分析法计算系统的可靠性指标。 故障树分析（FTA）是可靠性理论中发展比较完善的分析方法，是一种自上向下识别系统故障的方法，可以帮助人们发现复杂系统中的设计问题。FTA的最终结果是1张图。 它表明了哪些事件的结合可能会导致系统故障，因而指出了系统的薄弱环节。 故障树分析方法涉及概率计算，详细的计算方法可参见文献。为了计算方便，故障树中的故障和事件可假设是互斥事件，并且是独立事件。在这种假设下，或门的概率就简化为加法，与门的概率就简化为乘法。这种技术在概率较小的情况下可以给出

14、近似解，而在很多情况下，故障概率是小概率。当计算故障率时，该方法一般来说会给出偏向保守的结果。对于计算故障概率而言，该方法是满足要求的。图5给出了锅炉汽包水位保护系统的整体故障树模型，对模型中的各部分还需建立其各自的故障树。 针对每一部分的失效，根据其不同的系统结构建立不同的故障树模型，并由故障树的结构通过逻辑计算得出每一部分的要求时失效概率（ PFD），进而得到整个系统的要求时失效概率。 文献5中给出了系统各种冗余结构的故障树模型及其PFD与PFS的近似计算公式，本文直接利用文献5中的公式计算各设备的PFD。假设共因失效因子 为0，失效率为常数。 从计算结果可以明显看出此系统SIF2的PFD

15、在0.01到0.1之间，其代表的SIL等级为1级，不满足其SIL2的目标。而导致这一结果的主要原因是执行器部分的失效率太大，因此需要对执行器部分进行改进。原系统中采用1个备用给水门，且其危险失效率很高。可以将其换成失效率低的阀门或者采用1oo2的结构，即添加1个冗余来提高执行器的安全性。这样SIF2执行器部分的要求时失效概率为1.24 10-4， 即可满足SIL2要求。除了更换设备或改变系统结构外，提高系统的安全性还可以通过提高诊断检测覆盖率和缩短仪表的检测时间间隔的方法来实现。3.结语 从上述评估过程可以看出，系统的安全评估可以使工作人员更清楚地了解系统最薄弱环节所在，从而更好地分配现有的保

16、护资源，达到花费最少的成本实现最好的保护功能的效果。因此，在火电厂安全仪表系统中开展安全评估不论是对其安全生产还是对其经济效益都是有利的。参考文献1 阳宪惠,郭海涛.安全仪表系统的功能安全M.北京:清华大学出版社, 20072 IEC 61508. Functional safety of electrical/ electric/ programmableelectronic safety related systems S.1998.3 王志祥.热工保护与顺序控制M.北京:中国电力出版社,1995.4 侯子良,刘吉川,侯云浩,等.锅炉汽包水位测量系统 M.北京:中国电力出版社, 2005.

17、5 威廉戈布尔. 控制系统的安全评估和可靠性M. 白焰, 董玲,杨国田,译.北京:中国电力出版社, 2008.6 EXIDA. IEC 61508 functional safety assessmentEB/OL. 2010. 06.23 . HYPERLINK http:/www.exida/http:/www.exida. com/index. php/resources/sael_index.（责任编辑 沈法）电力科技信息 2020年分布式能源将达 1.3亿KW 国网能源研究院新能源研究所所长日前表示，考虑到调整能源结构的需求，大力发展分布式能源势在必行，预计到2020年，我国各类分布式能源的发展总装机有望达到1.3亿kW。 我国未来需要在具备资源条件的城市发展天然气冷热电多联产、城市建筑光伏、中小城镇热电联产供热等多种分布式能源。按照我国分布式能源系统发展目标，到2020年，小水电将达到75 GW，天然气多联产将达到50 GW，小型风电将达到3 GW，城市建筑光伏将达到1 GW。 目前，我国分布式能源主要形式包括农村小水电、小热电、城市建筑光伏系统、小型生物质发电系统等。由于分布式能源的发电形式可以独立运行或直接接入配电网，因此是集中式能源系统