HAZOP&SIL分析方法基础.pdf

HAZOP&SIL分析方法基础机械工业仪器仪表综合技术经济研究所机械工业仪器仪表综合技术经济研究所机械工业仪器仪表综合技术经济研究所机械工业仪器仪表综合技术经济研究所功能安全中心功能安全中心功能安全中心功能安全中心孟邹清孟邹清孟邹清孟邹清20112011-0202-2121目录 ITEI&功能安全中心简介 一些安全术语 HAZOP分析方法 SIL分析方法1、ITEI&功能安全中心功能安全中心基本概况基本概况地址：北京宣武区广安门外大街甲397号全民所有制事业单位，机械工业联合会直属现有职工123人，其中教高11人、高工56人从事仪器仪表与自动化领域共性基础技术研究四个业务部门 标委会、实验室 信息与发展战略 科研与工程服务 技术推广服务业务范围业务范围组织、制定、实施各类工业自动化及仪器仪表标准组织、制定、实施各类工业自动化及仪器仪表标准 全国工业过程测量和控制标准化技术委员会秘书处 全国测量、控制和实验室电气设备安全标准化技术委员会秘书处 全国实验室仪器及设备标准化技术委员会秘书处仪器仪表及自动化系统检测技术服务仪器仪表及自动化系统检测技术服务 测量、控制及实验室设备的安全检测试验室 工业通信（现场总线及系统）性能检测试验室 工业通信一致性和可互操作性检测试验室四个业务部门 功能安全模拟及评估试验室业务范围业务范围仪器仪表及工业测量控制共性技术和产品适应性技术研究仪器仪表及工业测量控制共性技术和产品适应性技术研究 现场总线和工业通信技术研究 电气、环境、机械安全测试技术和设备研发 功能安全技术开发、评估、咨询和认证服务 仪器仪表可靠性设计、测试、评估、仿真 自动化工程项目技术服务行业发展战略、产业政策、市场预测、项目可行性论证的研究行业发展战略、产业政策、市场预测、项目可行性论证的研究 发展战略、市场预测、投资分析报告 中国仪器仪表信息网（）中国仪器仪表厂商名录 仪器仪表产品目录 中国仪器仪表情报学会秘书处2、一些安全术语、一些安全术语安全术语安全术语1）伤害 harm由于对财产或环境的破坏而导致的直接或间接地对人体健康的损害或对人身的损伤。2）危险 hazard伤害的潜在根源。注：该术语包括短时内发生的对人员的威协（如，着火或爆炸）以及对人体健康长时间有影响的那些威胁（如有毒物质的释放）。3）安全 safety不存在不可接受的风险。4）风险 risk 出现伤害的概率及该伤害严重性的组合。5）允许风险 tolerable risk根据当今社会的水准,在给定的范围内能够接受的风险。6）残余风险 residual risk采取防护措施以后仍存在的风险。安全术语安全术语安全术语-风险降低残余风险允许风险过程风险风险增加必要的风险降低实际风险降低被其它技术安全相关系统覆盖的部分风险被安全仪表系统覆盖的部分风险被外部风险降低设施覆盖的部分风险所有安全系统和外部风险降低设施所获得的风险降低安全术语-风险降低社会应急响应社会应急响应紧急广播工厂应急响应工厂应急响应撤离规程减轻减轻机械减轻系统仪表安全控制系统仪表安全减轻系统操作员监督预防预防机械保护系统操作员校正动作时的过程报警仪表安全控制系统仪表安全预防系统控制系统和监视控制系统和监视基本过程控制系统监视系统（过程报警）操作员监督过程过程3、HAZOP分析方法分析方法危险与可操作性分析（HAZOP）什么是HAZOPHAZOP（HAZard and OPerability study）是“危险与可操作性分析”的简称，是一种结构化和系统化的检查被定义系统的技术。它的目标是：l-识别系统中潜在的危险-识别系统中潜在的操作性问题危险与可操作性分析（HAZOP）过程描述过程描述与设计目标的偏差是怎么产生的?会对安全和操作性造成影响吗?要采取什么必要的措施?危险与可操作性分析（HAZOP）HAZOP的目的1.针对过程的安全性和可操作性，辨识出所有可能存在的隐患及其可能的成因；2.辨析当前的设计是否充分考虑到了1中辨识出的所有隐患及成因，并可以有效的将后果控制在可接受的水平；3.如果没有，则给出修改建议；4.通过降低过程风险和提高操作效率，将公司的设备价值发挥到最大化；5.依据公司目标，给出符合成本效益的风险缓解建议措施；6.给出符合成本效益的措施建议，以提高操作运行的盈利能力；危险与可操作性分析（HAZOPHAZOP工作组至少包括如下人员：至少包括如下人员：HAZOP 主席HAZOP 秘书工艺系统工程师仪表工程师安全工程师操作开车人员代表业主代表危险与可操作性分析（HAZOP）HAZOP所需资料在在HAZOPHAZOP分析前必须收集的资料包括：分析前必须收集的资料包括：工艺流程图（PFD）管道和仪表流程图（P&ID）设计基础工艺控制说明仪表控制逻辑图或因果图总平面布置图危险与可操作性分析（HAZOP）节点1节点1参数1参数1参数2参数2参数n参数n引导词2引导词2引导词1引导词1引导词n引导词n偏差1偏差1偏差2偏差2偏差n偏差n.节点n节点n如:压缩机制冷压力容器输气管线如:压力温度流量密度如:过高过低相反如:压力过高温度过低反向流动原因；后果；措施；建议；HAZOPHAZOP分析流程分析流程危险与可操作性分析（HAZOP）节点偏差类型图纸设计条件设备位号参数引导词偏差原因后果现 有措施建议措施响应方状态11.11.22HAZOP分析工作表分析工作表危险与可操作性分析（HAZOP）HAZOP标准IEC61882:2001Hazard and operability studies(HAZOP studies)Application guide危险与可操作性分析（HAZOP）HAZOP工程具有优势竞争力的机构具有优势竞争力的机构-ITEI ITEI ITEI ITEI 功能安全中心功能安全中心功能安全中心功能安全中心1 1、强大的专家团队、强大的专家团队2 2、有力的合作伙伴、有力的合作伙伴3 3、深厚的技术基础、深厚的技术基础4 4、资深的国际地位、资深的国际地位5 5、优良的服务理念、优良的服务理念4、SIL分析方法分析方法SIL分析 什么是SILSIL（Safety Integrity Level），即安全完整性等级风险和安全完整性之间的区别与联系在于：-风险是某个规定的危险事件发生的频率及其后果的一个度量，可对各种情况的风险（过程风险、允许风险、残余风险等）进行评估，允许风险涉及到社会和政治因素的考虑；-安全完整性是SIF（安全仪表功能）和其他保护层达到规定安全功能的可能性的一个度量，一旦设定了允许风险并估算了必要的风险降低，就能分配SIS（安全仪表系统）的安全完整性要求风险和安全完整性之间的区别与联系在于：-风险是某个规定的危险事件发生的频率及其后果的一个度量，可对各种情况的风险（过程风险、允许风险、残余风险等）进行评估，允许风险涉及到社会和政治因素的考虑；-安全完整性是SIF（安全仪表功能）和其他保护层达到规定安全功能的可能性的一个度量，一旦设定了允许风险并估算了必要的风险降低，就能分配SIS（安全仪表系统）的安全完整性要求SILSILSILSIL确定确定确定确定SILSILSILSIL验证验证验证验证 什么地方用SIL?用几级的SIL?怎样才能满足SIL?现有设备是否达到了需要的SIL？SIL分析SILSILSILSIL确定确定确定确定 风险图法 定性方法定性方法 校正的风险图法 半定性方法半定性方法 安全层矩阵法 半定量方法半定量方法 保护层分析 定量方法定量方法SIL分析一种定性方法需要与过程和基本过程控制系统相关的风险因素的知识使用了许多参数，这些参数共同描述了当安全仪表系统失效或不可用时危险情况的种类。这些参数：允许对风险进行分级评估，和 表示关键的风险评估因素。从每4个一组中选择一个参数，然后把选择的这些参数组合起来，从而决定分配给仪表安全功能的安全完整性等级。适用于其他需要确定风险降低需求的地方，如：严重的环境破坏或资产损失SIL确定-风险图法 该方法在DIN V 19250(1994，控制技术：测量和控制装置应考虑的基本安全方面)和VDI/VDE 2180中做了描述 在这里重点关注在过程工业和机械领域中的应用 该方法已使用多年并已被德国过程工业和机械部门所接受。该方法已被TUV（德国鉴定测试实验室）和负责工业部分的德国管理当局接受。SIL确定-风险图法风险图基于风险与危险事件的后果及频率成正比的原理。假设不存在安全仪表系统。(但BPCS和监视系统等典型的非安全仪表系统已安装到位）。后果考虑：对健康或者安全的伤害，或，来自环境破坏的伤害。频率则是下列各项的组合：出现在危险区域的频率和潜在的暴露时间；避免危险事件的可能性；以及 在安全仪表系统不到位（但所有的其他外部风险降低设施是在工作的）的情况下发生危险事件的概率它被称为不期望发生的概率。SIL确定-风险图法 这就产生了以下4个风险参数：危险事件的后果（C）；出现在危险区域的频率与暴露时间的乘积（F）；避免危险事件后果的可能性（P）；不期望发生的概率（W）。当使用风险图确定在连续模式下起作用的一个安全功能的安全完整性等级时，需考虑改变风险图中所使用的那些参数。这些参数应代表与所涉及的应用特点最密切相关的那些风险因素。SIL确定-风险图法图图E1 DIN V 19250风险图一人员保护风险图一人员保护SIL确定-风险图法表表E1 与风险图有关的数据与风险图有关的数据经常到永久长时间暴露在危险区域中F22、见上述的备注1很少到经常暴露在危险区域中F1出现在危险区域中的频率与暴露时间的乘积（F）灾难性影响，很多人死亡C4几人死亡C3对一人或多人严重的永久性伤害；一人死亡C21、已拟定了用于处理人员伤亡的等级系统。还需拟定用于环境或资产损害的其他分级模式。对人员轻微的伤害C1后果（C）备注分级风险参数SIL确定-风险图法出现不期望发生的事故的概率比较大，并且很可能经常发生W3出现不期望发生的事故的概率不大，并且这种事故很可能只有几次W24、W因素的用途是估计在没有附加任何安全仪表系统（E/E/PE或其他技术）但包含任何外部风险降低设施的情况下不期望发生的事故的频率。出现不期望发生的事故的概率很小，并且这种事故很可能没有几次W1不期望发生的概率（W）几乎不可能P23、此参数应考虑：一个过程的运行（被监控（即由熟练的或不熟练的人员操作）或不被监控 危险事件发展的速率（例如突然地、快速地或缓慢地）；识别危险的难易程度（例如直接就可发现，用技术手段才能检测到或者不用技术手段就能检测到）；危险事件的避免（例如可能、不可能或在一定条件下可能的逃生通道）；实际安全经验（这种经验可以通过相同过程或者类似过程获得，也可能不存在这种经验）。在一定条件下有可能P1避免危险事件后果的可能性（P）备注等级风险参数表表E1 与风险图有关的数据（续）与风险图有关的数据（续）SIL确定-风险图法说明：该方法可根据确立的参数确定要求等级。作为一条规则，要求等级的序号越高，安全仪表系统所覆盖的部分风险就越大，因此一般来说，要求及相应的措施也更加严厉。对过程工业而言，单独的安全仪表系统不能覆盖要求等级AK 7和AK 8。要把风险至少降低到AK 6需要非过程控制措施。对这些要求等级来说，由于不可能用适当的几组公式量化各个要求，根据VDI/VDE 2180，可把风险分成两个区域：风险区域1：可覆盖的较低风险（SIL 1和SIL 2）风险区域2：可覆盖的较高风险（SIL 3）图E.1表示了符合DIN V 19250的要求等级和风险区域之间的关系。GB/T 21109系列标准、DIN V 19250和VDI/VDE 2180之间的关系见图E.2。SIL确定-风险图法GB/T XXXX系列 DIN V 19250 VDI/VDE2180 图图E2 GB/T XXXX系列标准、系列标准、DIN V 19250和和VDI/VDE 2180之间的关系之间的关系SIL确定-风险图法注意事项：注意事项：当应用风险图方法时，考虑来自业主和以及任何应用管理当局的风险要求是重要的。应以清楚且易理解的措词来描述风险图的每个分支的解释和评价，以确保方法应用时的一致性。值得注意的是风险图应由负责安全的组织的一些高层人员共同商定。SIL确定-风险图法SILSILSILSIL验证验证验证验证SIL分析 可靠性框图法 马尔可夫模型法 故障树法 PFD/PFH TITI MTTR D,S DD,DU,SD,SUlMooNlDClSFFSFFlHFTlCCF-l操作模式l安全状态SIL验证-相关参数ITEIITEIITEIITEI-SILSILSILSILSIL验证-软件工具三种用户权限，对应三大功能模块。三种用户权限，对应三大功能模块。登 陆 系 统登 陆 系 统管理模块审核模块一般应用模块一般用户管理员审核员管理员用户 管理模块管理员用户 管理模块管 理 模 块管 理 模 块管 理 模 块管 理 模 块用户管理用户管理数据管理数据管理修改查询删除添加用户A用户B用户N修改查询删除添加可靠性数据A可靠性数据N技术/措施A技术/措施N审核员用户 审核模块审核员用户 审核模块审 核 模 块审 核 模 块项目项目可靠性数据可靠性数据技术/措施技术/措施待审核已通过未通过待审核已通过未通过待审核已通过未通过一般用户 一般应用模块一般用户 一般应用模块一 般 应 用 模 块一 般 应 用 模 块一 般 应 用 模 块一 般 应 用 模 块个人信息管理个人信息管理修改个人基本信息修改密码个人数据管理个人数据管理添加数据我提交的数据安全完整性评估安全完整性评估项目1系统范围定义危险点和风险分析安全完整性分配安全要求规范硬件随机失效评价硬件结构约束评价系统的安全完整性结论项目2项目n全生命周期模型该功能块主要实现的功能是系统的概念设计和范围定义，并为之后的危险和风险分析做准备。这里的该功能块主要实现的功能是系统的概念设计和范围定义，并为之后的危险和风险分析做准备。这里的“系统系统”并不是指E/E/PE安全相关系统，而指的是EUC和/或EUC控制系统。具体功能包括：并不是指E/E/PE安全相关系统，而指的是EUC和/或EUC控制系统。具体功能包括：建立项目、EUC和/或EUC控制系统的边界说明、要求的控制功能说明、实际工作环境说明、可能的危险源分析、相关危险源分析、所依据的标准或法规。建立项目、EUC和/或EUC控制系统的边界说明、要求的控制功能说明、实际工作环境说明可能的危险源分析、相关危险源分析、所依据的标准或法规。系统范围定义系统范围定义系统范围定义系统范围定义危险点和风险分析安全完整性分配安全要求规范硬件随机失效评价硬件结构约束评价系统的安全完整性结论系统范围定义系统范围定义系统范围定义系统范围定义危险点和风险分析危险点和风险分析危险点和风险分析危险点和风险分析安全完整性分配安全要求规范硬件随机失效评价硬件结构约束评价系统的安全完整性结论该功能块主要实现的功能是定义并描述危险点及其相关信息，并对每一个危险点进行基于风险图法的风险分析，确定该危险点需要的SIL等级。具体功能包括：该功能块主要实现的功能是定义并描述危险点及其相关信息，并对每一个危险点进行基于风险图法的风险分析，确定该危险点需要的SIL等级。具体功能包括：定义危险点、涉及到的物理设备说明、需考虑的外部事件说明、风险参数描述修正、风险参数选择、确定SIL等级、定义危险点、涉及到的物理设备说明、需考虑的外部事件说明、风险参数描述修正、风险参数选择、确定SIL等级、系统范围定义系统范围定义系统范围定义系统范围定义危险点和风险分析危险点和风险分析危险点和风险分析危险点和风险分析安全完整性分配安全完整性分配安全完整性分配安全完整性分配安全要求规范硬件随机失效评价硬件结构约束评价系统的安全完整性结论该功能块主要实现的功能是根据整个系统（即，EUC或EUC控制系统）的要求，为每一个服务于该系统的E/E/PES分配安全功能要求（即，该E/E/PES要实现怎样的安全功能）和安全完整性要求（即，该E/E/PES要达到的SIL等级）。具体功能包括：该功能块主要实现的功能是根据整个系统（即，EUC或EUC控制系统）的要求，为每一个服务于该系统的E/E/PES分配安全功能要求（即，该E/E/PES要实现怎样的安全功能）和安全完整性要求（即，该E/E/PES要达到的SIL等级）。具体功能包括：选择危险点、要求的安全功能描述、降险设施类型、降险设施定义、分配SIL等级、选择危险点、要求的安全功能描述、降险设施类型、降险设施定义、分配SIL等级、系统范围定义系统范围定义系统范围定义系统范围定义危险点和风险分析危险点和风险分析危险点和风险分析危险点和风险分析安全完整性分配安全完整性分配安全完整性分配安全完整性分配安全要求规范安全要求规范安全要求规范安全要求规范硬件随机失效评价硬件结构约束评价系统的安全完整性结论安全要求规范包括了对待设计的系统要实现的安全功能以及该安全功能要达到的SIL等级的详细描述，还包括所有为了保证安全而必须的性能要求，如：响应时间、急停模式、最大允许虚假脱扣率等。安全要求规范包括了对待设计的系统要实现的安全功能以及该安全功能要达到的SIL等级的详细描述，还包括所有为了保证安全而必须的性能要求，如：响应时间、急停模式、最大允许虚假脱扣率等。系统范围定义系统范围定义系统范围定义系统范围定义危险点和风险分析危险点和风险分析危险点和风险分析危险点和风险分析安全完整性分配安全完整性分配安全完整性分配安全完整性分配安全要求规范安全要求规范安全要求规范安全要求规范硬件随机失效评价硬件随机失效评价硬件随机失效评价硬件随机失效评价硬件结构约束评价系统的安全完整性结论这部分的主要功能是PFD/PFH的计算。用户需考虑的参数：这部分的主要功能是PFD/PFH的计算。用户需考虑的参数：操作模式：低要求还是高要求或连续操作模式；结构划分（传感、逻辑、执行），表决描述；检验测试时间间隔；平均恢复时间；诊断覆盖率；通道间的共同原因失效分数操作模式：低要求还是高要求或连续操作模式；结构划分（传感、逻辑、执行），表决描述；检验测试时间间隔；平均恢复时间；诊断覆盖率；通道间的共同原因失效分数系统范围定义系统范围定义系统范围定义系统范围定义危险点和风险分析危险点和风险分析危险点和风险分析危险点和风险分析安全完整性分配安全完整性分配安全完整性分配安全完整性分配安全要求规范安全要求规范安全要求规范安全要求规范硬件随机失效评价硬件随机失效评价硬件随机失效评价硬件随机失效评价硬件结构约束评价系统的安全完整性结论E/E/PE 安 全 相 关 系 统安 全 相 关 系 统E/E/PE 安 全 相 关 系 统安 全 相 关 系 统传感器部分传感器部分传感器部分传感器部分子系统组子系统组1子系统组子系统组1子系统组子系统组2子系统组子系统组2子系统组子系统组n子系统组子系统组n子系统子系统1子系统子系统1子系统子系统2子系统子系统2子系统子系统3子系统子系统3子系统子系统n子系统子系统n组件组件1传感器传感器a组件组件1传感器传感器a组件组件2 组件组件2 组件组件3传感器传感器b组件组件3传感器传感器b组件组件4组件组件4组件组件n接口接口n组件组件n接口接口n逻辑处理器部分逻辑处理器部分逻辑处理器部分逻辑处理器部分组件组件/子系统子系统/子系统组安全继电器 或 安全子系统组安全继电器 或 安全PLC组件组件/子系统子系统/子系统组安全继电器 或 安全子系统组安全继电器 或 安全PLC执行器部分执行器部分执行器部分执行器部分子系统组子系统组1子系统组子系统组1子系统组子系统组2子系统组子系统组2子系统组子系统组n子系统组子系统组n子系统子系统1子系统子系统1子系统子系统2子系统子系统2子系统子系统3子系统子系统3子系统子系统n子系统子系统n组件组件1阀门阀门a组件组件1阀门阀门a组件组件2接口接口a组件组件2接口接口a组件组件3接口接口b组件组件3接口接口b组件组件4激动器激动器c组件组件4激动器激动器c组件组件n接口接口n组件组件n接口接口n第一层：moon表决；DC；T1；。第一层：moon表决；DC；T1；。第二层：并联、串联、2oo3。第二层：并联、串联、2oo3。第三层：串联,得出该部分PFD/H。第三层：串联,得出该部分PFD/H。第一层：moon表决；DC；T1；。第一层：moon表决；DC；T1；。第二层：并联、串联、2oo3。第二层：并联、串联、2oo3。第三层：串联,得出该部分PFD/H。第三层：串联,得出该部分PFD/H。系统范围定义系统范围定义系统范围定义系统范围定义危险点和风险分析危险点和风险分析危险点和风险分析危险点和风险分析安全完整性分配安全完整性分配安全完整性分配安全完整性分配安全要求规范安全要求规范安全要求规范安全要求规范硬件随机失效评价硬件随机失效评价硬件随机失效评价硬件随机失效评价硬件结构约束评价系统的安全完整性结论系统范围定义系统范围定义系统范围定义系统范围定义危险点和风险分析危险点和风险分析危险点和风险分析危险点和风险分析安全完整性分配安全完整性分配安全完整性分配安全完整性分配安全要求规范安全要求规范安全要求规范安全要求规范硬件随机失效评价硬件随机失效评价硬件随机失效评价硬件随机失效评价硬件结构约束评价硬件结构约束评价硬件结构约束评价硬件结构约束评价系统的安全完整性结论这部分的主要功能是确定硬件的结构约束的安全完整性，它跟随机硬件失效概率的安全完整性一起实现了硬件的安全完整性。考虑的三个要素：这部分的主要功能是确定硬件的结构约束的安全完整性，它跟随机硬件失效概率的安全完整性一起实现了硬件的安全完整性。考虑的三个要素：安全失效分数（SFF）；硬件故障裕度；子系统（组）类型；安全失效分数（SFF）；硬件故障裕度；子系统（组）类型；系统范围定义系统范围定义系统范围定义系统范围定义危险点和风险分析危险点和风险分析危险点和风险分析危险点和风险分析安全完整性分配安全完整性分配安全完整性分配安全完整性分配安全要求规范安全要求规范安全要求规范安全要求规范硬件随机失效评价硬件随机失效评价硬件随机失效评价硬件随机失效评价硬件结构约束评价硬件结构约束评价硬件结构约束评价硬件结构约束评价系统的安全完整性系统的安全完整性系统的安全完整性系统的安全完整性结论对一个安全相关系统进行功能安全评估，要从硬件、软件和系统整体这三个方面进行。前两节完成了对硬件的评估，本节则是对软件和系统整体进行评估。由于对软件和系统整体的评估不能像对硬件随机失效概率那样进行精确的量化计算，因此，采用了对软件和系统整个生命周期各个阶段所采用的技术/措施进行评估的方法。通过对这些技术措施进行分级，来确定软件或系统的安全完整性等级对一个安全相关系统进行功能安全评估，要从硬件、软件和系统整体这三个方面进行。前两节完成了对硬件的评估，本节则是对软件和系统整体进行评估。由于对软件和系统整体的评估不能像对硬件随机失效概率那样进行精确的量化计算，因此，采用了对软件和系统整个生命周期各个阶段所采用的技术/措施进行评估的方法。通过对这些技术措施进行分级，来确定软件或系统的安全完整性等级系统范围定义系统范围定义系统范围定义系统范围定义危险点和风险分析危险点和风险分析危险点和风险分析危险点和风险分析安全完整性分配安全完整性分配安全完整性分配安全完整性分配安全要求规范安全要求规范安全要求规范安全要求规范硬件随机失效评价硬件随机失效评价硬件随机失效评价硬件随机失效评价硬件结构约束评价硬件结构约束评价硬件结构约束评价硬件结构约束评价系统的安全完整性系统的安全完整性系统的安全完整性系统的安全完整性结论结论结论结论前面几个功能块完成了对安全相关系统的硬件、软件和系统的评估。这一模块，分别给出了这三部分的评估结论，也是对前面评估工作的一个总结。该部分的主要功能是给出结论、生成各种图和报表。前面几个功能块完成了对安全相关系统的硬件、软件和系统的评估。这一模块，分别给出了这三部分的评估结论，也是对前面评估工作的一个总结。该部分的主要功能是给出结论、生成各种图和报表。孟邹清功能安全工程师TEL：010-63400308Email：