SIL定級技術要求有哪些？我們該如何正確理解和應用？
導 讀
近年來，安全完整性等級(SIL)的評估工作在石化行業(yè)越來越受到重視。一般來說，石油化工行業(yè)確定SIF的SIL等級的主流方法有兩種：保護層分析(LOPA)和風險圖法，兩種方法各有優(yōu)缺點。風險圖法相對LOPA更加簡單，其優(yōu)點在于當SIF數(shù)量較多時，通過風險圖法可以篩選所需SIF，但精確度較低。
近年來國際標準要求 01 SIF及其相關定義國際標準
IEC 61508對所有基于電子、電氣及可編程電子技術等相關的安全系統(tǒng)具有約束性，該標準作為非特定行業(yè)通用文件，能夠廣泛用于不同的領域。IEC 61511是IEC 61508的延伸。IEC 61511“專門針對功能安全：安全儀表系統(tǒng)屬于過程工業(yè)領域”，ANSI/ISA 84.00.01-2004在IEC 61511基礎上有小幅修改之后便完全采納其標準內(nèi)容，一般來說任何涉及IEC 61511的內(nèi)容都等同于參考ISA84.00.01，反之亦然。
SIF是應用于安全儀表系統(tǒng)(SIS)的安全保護功能，由傳感器、邏輯解算器和終端元件組成，一個SIF必須能夠?qū)崿F(xiàn)由SIL所代表的特定完整性等級，值得注意的是SIS或SIF均獨立于基本過程控制系統(tǒng)。
IEC 61511中規(guī)定，任何SIF必須是基于先前風險評估確定的現(xiàn)行設備風險等級，這個風險等級會與可接受風險等級進行比較，設備真正的風險與可接受風險的比值即所需要降低風險程度(見圖1)，又稱風險降低系數(shù)(RRF)?？山邮茱L險等級作為風險評估的基準線，需要具體到每個工藝或者設備，并設置為企業(yè)風險標準。
02 SIF及定級方法
SIF是一種離散性能指標，用來表示SIF在執(zhí)行預期功能時可能失效的最大可接受范圍，SIL等級被定義成系統(tǒng)在操作需求模式時的平均需求失效概率(PFDavg)，如表1所示。
SIL的定級涉及到選擇SIF所需要的SIL等級，通常是在風險評估之后，并且要求對所需的SIF進行定義。IEC 61511和IEC 61508中有多種建議方法來確定SIL，這些方法包含定量、半定量和定性等多種形式，其中最嚴謹復雜的方法是完全定量分析(參考IEC 61508第五部分的附錄D，以及IEC 61511第三部分附錄B)，如定量風險評估(QRA)，然而這種方法并未廣泛使用，原因是定級過程過分復雜。目前使用較多的方法有LOPA、風險圖法和風險矩陣法。石油化工行業(yè)主流方法為LOPA及風險圖法。
01 風險矩陣法 在IEC 61508第五部分附錄G以及IEC 61511第三部分附錄D中對風險矩陣法有詳細介紹，它是一種定性的方法，IEC 61511稱之為安全層矩陣，而IEC 61508則將其命名為事件危害嚴重等級矩陣，這種方法基于針對危害事件定性的可能性和后果。風險矩陣法假設每增加一個保護層，風險就會降低一個數(shù)量級，圖2是矩陣圖。 02 保護層分析法 LOPA是一種相對簡單的半定量風險分析方法，由辨識評估的可能性(半定量)、初始事件的嚴重度等級(定性)、以及由現(xiàn)有的獨立保護層(IPL)失效概率所降低導致的危害事件可能性組成，LOPA將計算的事件可能性與企業(yè)風險標準進行對比，以確定由SIF能夠額外降低的風險。 LOPA是從危害場景(表2中1~4)中初始事件的風險(嚴重度和可能性)開始，然后將事件的可能性乘以獨立保護層(IPLs)失效的概率(表2中5~8)，再乘以條件修改概率(表2中9~10)得到中間事件的發(fā)生概率(表2中11)，之后把殘余風險概率(即表2中11)與可接受風險(表2中12)進行對比，以確定是否需要額外的風險降低措施，如果需要，則計算RRF(需要降低的風險等級)(表2中13)。 LOPA由危害場景的每個組成簡單假設得來，而這種簡化相對偏向保守，這種方法能識別現(xiàn)有的保護層，并且能確定是否需要增加額外的保護層。 03 風險圖法 風險圖法在某些標準里是定性的方法(IEC2010b)，而在其他的標準里是半定量的方法(IEC2003b)，但實際上并沒有本質(zhì)的變化。風險圖法對SIL等級的選擇是一種基于對風險因素與工藝及其控制系統(tǒng)知識的簡單分析，這種方法是由樹狀圖組成，樹的每個階段代表一個風險因素，分支代表每個因素所取的不同值，風險圖的目的是對風險場景進行分級評估。在風險場景內(nèi)沒有SIF的情況下，風險因素組成的一系列參數(shù)通過預先確定的值來確定，圖3是從IEC 61511第三部分選出的風險圖的例子。 IEC 61511定義的風險圖法的因素為： a) 后果因子C(嚴重度)。這個參數(shù)是該區(qū)域內(nèi)潛在死亡和重傷人數(shù)，它考慮了該區(qū)域受危害程度以及人員脆弱性(C=人員的數(shù)目×人員脆弱性)。 b) 占有率因子F(頻率和暴露時間)。區(qū)域暴露在占危險事件的發(fā)生時間概率(基于時間的分數(shù))，典型的值有： ①小于10%的時間； ②10%的時間或者更大。 c) 避免危害的概率P。P為假設所有保護系統(tǒng)響應失效，個人能夠避免危害的可能性。P取決于可用的IPLs能警示暴露區(qū)域的人員、能關斷工藝使得危害可以避免或者人員撤離到安全區(qū)域、逃生途徑的可行性。參數(shù)P實際上是沒有受到危害的概率。 d) 需求率W。W是指在沒有SIF的情況下危險條件發(fā)生的可能性，單位為每年。W的確定是由所有能導致危險事件的失效和風險事件發(fā)生的可能性共同決定的。 圖3中的參數(shù)包括數(shù)值因子或定性的值，在任何情況下，參數(shù)的值應該來自于風險圖與企業(yè)風險標準的對照，對照涉及到風險圖每個參數(shù)的分配過程。因此企業(yè)風險標準能夠顯示風險可接受等級嵌入到參數(shù)校準圖中。一般來說定性參數(shù)比較主觀，還需要適當考慮調(diào)整，當一個數(shù)值因子被分配到風險圖的參數(shù)中時，此時的校準為半定量的方法(校準風險圖)。DeSalis認為風險圖只有在被合適的設計和校準時才為半定量，表3是IEC 61511提供的風險圖校準實例。 04 分段SIL定級法 SIL的定級其實并不適合只用單一方法進行，有專家提出分階段方法，即“利用簡單技術篩選，之后系統(tǒng)地逐步運用更加復雜的技術選出最優(yōu)SIL”。這種方法運用了三種理念的篩選，即分別從定性、半定量到完全定量。可運用每種方法的定量程度及安全保障措施的完整性評價程度來度量每種方法的嚴謹程度。 通過定性方法(如風險矩陣、風險圖法)計算得到的結(jié)果相對更加保守。定性的方法能得出可接受風險等級，但是它們之間關系并不是很清楚，這些方法可能“使得分析更簡單；但是當SIL僅僅增加一個等級時，SIF的優(yōu)化成本卻明顯增加；而使用更加復雜的分析方法卻可節(jié)省更多成本”。 當使用分階段方法時，風險圖法可以對大量安全功能的初步篩選進行第一階段分析，第二階段中與SIL相關的安全功能以選擇更加嚴謹?shù)姆椒?，然而某些專家指出在石油化工行業(yè)更適合使用LOPA，由于企業(yè)管理和監(jiān)管人員等利益相關方對可辯證的數(shù)值方法的需求逐漸增加，風險圖法在石油化工行業(yè)中已經(jīng)落后，而LOPA相對更加適用。在SIL定級中的不準確性“通常來源于缺乏對初始原因頻率和對可接受風險減緩頻率的明確分類”。