导航：安全管理网>> 培训课件>> 综合betway必威官方网站 >>正文

风险分析和安全整体性等级选择

		点击数：	更新时间： 2024年08月05日
下载地址：点击这里	文件大小： 3.30 MB 共174页	文档格式： PPT	下载点数： 25 点（VIP免费）

全屏查看

部分内容预览 [文件共174页]

本文件共174页，只能预览部分内容，查看全部内容需要下载。

注：预览效果可能会出现部分文字乱码（如口口口）、内容显示不全等问题，下载是正常的。

	文件大小：3.30 MB 共174页文件格式：PPT 下载点数：25 点（VIP会员免费）

上一篇：公司全员安全宣教课件

文本预览

仅提取页面文字内容，供快速阅读使用。

功能安全工程设计 :风险分析和安全整体性等级(SIL)选择
备注：1
课程内容
安全仪表系统的介绍
安全周期
风险管理的原则
工艺危险性分析
保护层分析
安全整体性等级选择
安全要求规范
2
备注：2
第一部分: 安全仪表系统介绍
3
备注：3
IEC 61511 将安全仪表系统 (SIS)定义为： 
“用于实施一个或多个安全仪表功能的仪表系统。SIS是由传感器、逻辑解算器和最终元件的所有组合)”
安全仪表系统的定义
4
备注：4
安全仪表系统功能定义
专业人士更喜欢SIS这一更加功能性的定义:
“是指为以下目的而进行设计的传感器、逻辑解算器和最终元件组成的系统:
1. 当违反特定条件时，自动将工业过程设置到安全状态;
2. 当特定条件容许（容许功能)时，［容许过程安全地向前进行
3. 采取行动减轻工业危险的后果。”			
5
备注：5
SIS的存在与管理风险
增加的风险
工艺风险
可容忍风险
残留风险
最小风险的降低
最佳风险的降低 (ALARP)
工艺
设计
基本工艺
控制系统
报警
泄放
SIS
6
备注：6
传感器
最终元件
回路 1
回路 2
回路 3
回路 4
Logic
Solver
安全仪表系统 
1
2
3
4
5
6
7
8
回路 5
7
备注：7
安全仪表功能 (SIF)
回路 1
1
6
Logic
Solver

传感器
最终元件
安全仪表功能是指通过SIS来实施的功能，SIS旨在为有关特定危险事故的工艺获取或维持安全状态。

8
备注：8
安全仪表功能
一套特定的行动和所需的相应设备，用以识别单个危险并动作，将系统带入安全状态。
不同于SIS, SIS可以包括多个功能并且以多种方式动作，防止多个有害结果的发生。
一个SIS可能有多个SIF,而每个SIF都有对应的SIL，因此为整个安全仪表系统来定义SIL是不正确和模糊的。
9
备注：9
安全仪表功能举例
通过提供事故冷却剂，降低超高温来防止塔的破裂
通过开阀释放压力来防止罐破裂
直接将溢出的液体引到废水处理系统，防止环境遭受破坏
发出报警、降低损失和可能发生的人员伤害
	(最后一项因没有实现安全状态故是不完整的SIF。最终的行动必须包括在内)
10
备注：10

逻辑解算器
传感器
最终元件
SIF 传感器
就像控制系统一样，安全系统也有传感器。在加工工业中，传感器测量工艺参数，它包括压力、温度、流量、液位、气体浓度和其他测量值。在机械业中，传感器还可以测得人是否接近、进入危险区以及其他保护参数。
11
备注：11

逻辑解算器
传感器
最终元件
安全系统也有逻辑解算器，它一般是一个控制器，它从传感 器中读取信号，执行预先编好的动作，防止或减轻工艺危险。通过将信号发给最终元件来实现以上功能。
SIF逻辑解算器
12
备注：12

SIF 最终元件

Final
Elements
在SIF中的最终元件是指采取什么动作来进入安全状态，在加工工业中它常为远程驱动，而在机械安全中，它可能是离合器／制动器组件。
13
备注：13

安全仪表功能 (SIF)的实施
逻辑解算器
传感元件
C信号整理
传感元件
信号整理
最终控制元件
信号整理
最终控制元件
回路设施，如电源、
仪表风等.
任何单个安全仪表功能的实施，可能包括多个传感器、信号整理模块、多个最终元件和专门的回路设施。
互相连络
传感元件
14
备注：14
标准
基于所有工业的国际标准
(适用于供应商)
IEC61511 : 加工工业(美国使用本质相同的工业标准 ISA 84.00.01-2004)
IEC62061 : 机械工业
IEC61513 :
核工业
15
备注：15
IEC 61511 标准
加工工艺中的目标最终用户和积分仪
包括整个SIS周期 
风险分析
基于设计的性能
操作和维修
非规定的性能	
最终用户应用 
一般不认证
独立的功能安全评价 
三部分
需求
指南
SIL选择
16
备注：16
第二部分: 安全周期
17
备注：17
18
规 范
44%
设计和实施 
15%
安装和投料试车
6%
操作和维修 
15%
投料试车后的变更 
21%
有关控制系统的事故原因的HSE研究:
工业事故原因 - HSE
“失控: 控制系统出错和如何防止故障。” 英国 设菲尔德, 健康和安全执行机构, 1995
19
备注：19
安全周期一览表
 
 概念工艺设计
 识别潜在危险
 后果分析
 保护层分析
 制定非SIS保护层
 确定SIF的目标SIL
 文件要求
 
 开车
 操作
 维修
 定期验证测试
 修改
 停运
分析

我需要多少安全？
实施

我如何得到需要的安全
操作

我如何保持我需要的安全?

选择SIS技术
 选择SIS结构
 确定测试频率
 SIS详细设计
 SIS 硬件结构
 SIS 软件组态
 SIS 测试
 SIS 安装
 SIS 投料试车
 SIS 初始确认
修改 = 改变要求
修改 = 改变设计
20
备注：20
“分析” 阶段
(最终用户 / 咨询)
“实现”
阶段
(厂商/ 承包商 / 最终用户)
概念
整体范围定义
危险和风险分析
安全总体要求
安全需求分配
安全相关系统 :E/E/PES
实现
整体安装及试车
整体安全确认
整体操作及维修
停运
安全相关系统：
其他技术
实现
外部风险降低
实现
总体规划
安装及投料
试车规划
确认规划
操作和维修
计划
11
10
9
5
4
3
2
1
12
13
14
16
整体修改和改进
15
8
7
6
“操作”
(最终用户 / 承包商)
IEC 61508 安全周期
21
备注：21
安全周期 – IEC 61511
功能安全和功能安全评估管理

第 5条
安全周期结构规划

第 6.2条
将安全功能分配到保护层 [第 9条]
确认

第7 条
和
第12.7条
Analysis
Realisation
Operation
SIS安全要求规范
[第10和12条]
工艺危险和风险分析
[第8条]
SIS设计和工程设计
[第11 和 12条]
SIS安装和投料试车
[第14条]
SIS 操作和维修
[第 16条]
SIS 安全确认
[第15条]
SIS修改
[第 17条]
SIS 停运
[第18条]
提供
概念
SIS验收测试
[第13条]
设计及
构造 
测试
安装
管理
确认
验证测试
?/?
?
?
?
?
?
?
?
?
?
(9)
(10)
(11)
22
备注：22
安全周期分析阶段
评估后果
评估非SIS保护层效果
1. 概念上的工艺设计
需要SIS?
2. 识别潜在危险
工艺安全信息
4. 保护层分析
潜在危险
危险频率
3. 后果分析
危险后果
5. 为SIS和SIF选择目标SIL
目标SIL
6. SIS/SIF必要的文件
事件历史
保护层
故障率
可容忍风险指南
危险特性
停止
No
Yes
实施
安全要求规范－
-
每个安全仪表功能的描述，包括目标SIL，减轻的危险，工艺参数，逻辑，旁路／维修要求，响应时间等。 
23
备注：23
目的
识别工艺危险，评估其风险并确定该风险是否可容许.
任务
危险识别 (例如 HAZOP)
可能性及后果分析
非SIS保护层的考虑
危险 / 风险分析
24
备注：24
目的
基于所有保护层评估可能性.
任务
识别保护层，使用定性或
定量方法
保护层分析
25
备注：25
目的
根据SIL,规定必需的风险降低或现有
的风险和可容忍风险等级的差别
任务
对比工艺风险和可容忍风险
使用决定指南，来选择必需的风险降低
文件选择过程
安全整体性等级选择
需要SIS吗?
5. 为SIS和SIF选择目标SIL
目标SIL
可容忍风险指南
停止
No
Yes
26
备注：26
安全要求规范
目的
规定详设及工艺安全信息所需的SIS的所有要求
任务
识别并描述安全仪表功能
必需的安全执行等级的文件 (SIL)
所采取的文件行动 – 逻辑, 例如原因和结果图.
文件相关参数 – 如： 计时/维修／必要的旁路 
27
备注：27
SIS 项目 V-模型
软件组态
硬件构置
概念性设计
安全要求规范
硬件详细设计
软件详细设计
现场验收测试
软件内部测试
硬件内部测试 
工厂验收测试
内部整体测试
确认
V
V
V
V
V
V
V
V
V
28
备注：28
10. SIS 安装、投料
试车及预开车验收
测试
-
安全要求规范
-
对每一个安全仪表功能进行描述，如目标SIL、减轻风险、工艺参数、逻辑、 旁路、维修要求、响应时间等
7. SIS 概念性设计
7a选择技术
7b. 选择结构
冗余: 1oo1,1oo2, 2oo3, 1oo2D
7c. 确定测试原理 
7d. 可靠性安全
评定 
获得SIL
SIL达到？
No
Yes
8. SIS 详细设计 
故障数据库 
制造商安全说明 
9. 安装及投料
试车规划
SILver工具
制造商安全手册  
详细设计文件－
-
回路图、接线图、逻辑图、仪表盘布置、PLC编程、安装要求、投料试车要求等
文   件   模   板
制造商安全手册
选择传感器、逻辑解算器和最终元件技术
安全周期“实现”阶段
29
备注：29
目的
为此目的选择正确的设备，用于工艺控制的旧标准仍然适用.
任务
选择设备
获得该设备的可靠性和安全数据
获得所有安全认证设备的安全手册
选择技术
30
备注：30
目的
如果需要，选择冗余类型。
任务
选择结构
获得该结构的可靠性和安全数据。
选择结构
1oo1
1oo2
2oo2
2oo3
1oo2D
Diag
Diag
31
备注：31
建立验证测试频率
测试通常可能包括:
自动测试
工艺操作中手动进行的离线测试。
工艺操作中手动进行的在线测试

32
备注：32
安全要求规范 – 安全功能要求，包括目标SIL
获得PFDavg, RRF，
MTTFS, SIL
制造商故障数据 
SIF 确认的任务
故障数据库 
7d. 可靠性和安全评定
33
备注：33
获得PFDavg, RRF
MTTFS, SIL
SIF设计选项
7d. 可靠性和安全评定
      如果SIF确认表明，所提议的设计没有获得SIL等级，那么设计者有许多选择：
通过增加其他保护层等措施，重新评定SIL要求。
缩短验证测试间隔时间－－这与在线测试规定有关。
选择安全等级较高、危险故障率较低或诊断性较好的设备。
通过增加更多冗余来改变结构。

安全要求规范 – 安全功能要求，包括目标SIL
34
备注：34
12. 确定预开车
安全审查
修改
停运
14. SIS开车、操作、维修、定期功能测试
15. 修改或是
停运?
16. SIS停运
确认所有有关危险、设计、安装测试、维修程序、变更管理、紧急规划等资料。
13. 操作和维修
计划
11. 确认规划
安全周期“操作”阶段
35
备注：35
目的
确认SIS功能符合设计要求。 
任务
确认现场仪表操作
确认逻辑和操作
确认所安装设备的SIL 
制作所需文件 –如果需要，制作产品认证证书
确认
12. 确认：预开车安全审查
安装
工厂验收测试
SAT / SIT
投料试车
功能安全评估
开车
确

认
36
备注：36
目的
确认根据设计要求SIS能连续工作，并检测其他隐藏的故障。
任务
确认现场仪表的操作
确认逻辑和操作
所有定期测试的文件结果
定期验证测试
14. SIS开车、操作、维修、定期功能测试
37
备注：37
目的
定期审查危险，如果需要，采取整改措施

任务 
定期审查危险
审查事故
审查设施变更通知或变更（MOC) 管理的文件
根据需要，按照合适的安全周期步骤对SIS进行更新
变更及停运
38
备注：38
安全周期一览表
 
 概念工艺设计
 识别潜在危险
 后果分析
 保护层分析
 制定非SIS保护层
 确定SIF的目标SIL
 文件要求
 
 开车
 操作
 维修
 定期验证测试
 修改
 停运
分析

我需要多少安全？
实施

我如何得到需要的安全
操作

我如何保持我需要的安全?

选择SIS技术
 选择SIS结构
 确定测试频率
 SIS详细设计
 SIS 硬件结构
 SIS 软件组态
 SIS 测试
 SIS 安装
 SIS 投料试车
 SIS 初始确认
修改 = 改变要求
修改 = 改变设计
39
备注：39
安全周期目标
建立更安全的系统，此系统不会出现以前系统中的那么多问题。
建立成本高效的系统，并与设计风险相匹配。
消除成本高而又没有多少用处的“薄弱环节”设计。
为实现一致性设计，提供全球的设计框架。
40
备注：40
第三部分: 风险管理的原理
41
备注：41
什么是风险？
风险是对不利影响的 可能性 和后果 的测量， (如, 发生的频率和后果的影响?)
风险受害方:
人员
环境
财产：
设备／财产损失
业务受损
业务负债
公司形象
市场份额的丢失
42
备注：42
公司为何要控制风险？
公司负有法律、道德及财政义务来限制因其操作而产生的风险。
了解公司所采取的方式，帮助制定与此方式相符的安全方针
Moral
Legal
Financial
不管成本如何，装置应尽可能地安全
不管成本或实际的风险等级，公司应遵从成文的规章制度
建造最低成本的装置，使其操作预算尽可能少
43
备注：43
风险可容忍度基础
因风险活动可以获得收益，所以要容忍
了解风险及收益有助于了解何种风险可以容忍
世上没有零风险的事
44
备注：44
测量风险和收益
必须对风险及收益进行测量，用以明智地决定在实际情况中该如何做
风险测量必须说明可能性和后果
后果通常有几种损害形式
可以将损害有效地定义为收益的损失并且可以将此收益直接加入等式中。
要正确地测量风险，必须考虑到所有较大的损害形式。
45
备注：45
后果表述
风险测量取决于两个因素:
谁处于风险中?
个人
社会
环境
风险的本质是什么?
死亡或受伤
永久或临时损害
财产损失
46
备注：46
个人风险
个人风险: 频率分布显示，因某种危险发生，个人可能受到一定程度的损害（通常是死亡）
英国HSE委员会风险容忍度框架将风险定义为:
可容忍区域的低风险限度为
	1 x 10-5 ／年
可容忍区域的高风险限度为 
	1 x 10-3 ／年
ALARP (合理条件下尽可能低)区域通常在以上两个区域之间
47
备注：47
个人风险和 ALARP
可忽略风险
高风险
10-3/年 (工人)
10-4/年 (公众)
10-6/年
不能容忍区域
ALARP 或可容忍区域
广泛地可接受的区域

决不
如果值得
无人在意
48
备注：48
确定可容忍风险
既要严格又要灵活
要考虑所有相关的损害形式
要符合公司及社会惯例
49
备注：49
可容忍风险等级举例
所在潜在危害必须低于：
每人每年0.0005死亡率
每人每年0.005伤害率
每个工厂每年0.01 重大环境污染事故率
每个工厂每年损失50万美元，等等
50
备注：50
可容忍风险等级举例
带说明的矩阵表:所有极度风险都要降低
     所有中度风险都要根据实际情况降低
中度的
中度的
可接受的
可接受的
1 ／100,000 年
中度的

中度的
可接受的
可接受的
1 ／10,000 年
极度的
中度的

中度的
可接受的
1 ／ 1000 年
极度的
极度的
中度的
可接受的
1／ 100 年
多人死亡
永久伤害／死亡
损工时伤害
有记录的伤害
51
备注：51
从固有的工艺风险开始 
风险: 损害发生可能性与严重程度的组合 (IEC/ISO 指南 51:1990)
	有害影响的可能性及后果的测量（如发生频次及如果这样做产生的可能后果？）

固有风险: 因已完成的工艺设计产生的风险，此设计包含在指定工艺参数和一定数量的材料（如：温度、压力等）。
52
备注：52
 
Increasing Risk
 
后          果
 可

能

性

增加风险 
可容忍风险区域
ALARP
 风险区域 
 
不可接受的
风险区域  
 
风险削减
53
备注：53
通过控制固有风险来降低风险
固有风险是测量后果的基本量。
通过减少有毒、易燃或爆炸品库存来控制固有风险，良好的工艺工程设计支持是至关重要的。
54
备注：54
通过控制地理位置风险的方法来降低风险
地理位置风险 测量在某一特定地理位置发生事件的概率。

P-101

P-102

P-103

D-101

D-102

V-101
V-102
10-3
10-5
10-4
通过控制人员所在的位置如控制室、工作区域和路线来控制人员风险
55
备注：55
非SIS风险削减
 
增加风险
后           果
 可

能

性
 
 
 
可接收风险区域 
 
ALARP  
风险区域
 
不可接受的
风险区域 
 
 
降低风险后果，如：减少材料、建围堤、机械保护等
工艺固有风险
降低非SIS风险，如使用安全阀
56
备注：56
SIS风险降低
增加风险
Consequence
 
 
 
可接收风险区域 
 
ALARP  
风险区域
 
不可接受
风险区域
 
 
降低风险后果，如：减少材料、建围堤、机械保护等
工艺固有风险
非SIS风险降低，如压力泄放阀
SIS风险降低
SIL 1
SIL 2
SIL 3
此方面降低会出现什么？
57
备注：57
风险管理标准
AS/NZ 4360
ISO 14001
40 CFR 68
IEC 61508
29 CFR 1910
IEC 60300
IEC 61508
电气风险降低及安全系统的国际标准 
IEC 60300-3-9
技术系统的风险分析技术指南的国际标准
ISO 14001
指导环境风险管理的国际标准
29 CFR 1910
指导工艺安全管理的美国 OSHA 法规
AS/NZ 4360
一般风险控制管理的澳大利亚 / 新西兰标准

58
备注：58
风险管理方法
建立内容
监控及审核
识别风险
分析风险

(可能性和后果)
评估风险／可容忍度
接受或控制风险

确定控制选项
 评估控制选项
 选择控制选项
 制订控制计划
 实施控制计划

沟通及咨询
59
备注：59
安全周期目标 
 
分析
设计
确认
文件
危险分析/风险评估：
确定设计目标
进行软／硬件设计
OK
修改
评估设计:
安全完整性和有效性的可靠性分析
文件
文件
操作和维修
文件
将风险降至可接受的程度
60
备注：60
第四部分: 工艺危险分析
61
备注：61
危险定义
潜在危害源
IEC 61508-4, Sub clause 3.1.2 
具有可能对人员、财产或环境造成损害的潜在危险的化学或物理条件（例如装有500吨氨的压力储罐）
CCPS, CPQRA指南

62
备注：62
术语: 初始事件
初始事件: 事件顺序中的第一个事件（如应力腐蚀导致氨罐的连接管线出现泄漏／破裂 ）。

63
备注：63
术语: 中间事件
中间事件:  事件顺序中初始事件已扩散或缓和的事件（例如，操作人员采取了错误的动作，没有阻止氨最初的泄漏，并导致中间事件扩散成一个事故，在这种情况下，中间事件的结果就是有毒物料释放）
64
备注：64
术语: 事故
事故: 物料或能源容器的损坏（例如，氨罐的连接管线泄漏了10磅的氨，造成了有毒蒸汽云）并非所有的事件都会扩散成事故。
65
备注：65
术语：事故结果
事故结果: 事故的物理表现形式；如果是有毒物料，事故的结果就是有毒物料释放，如果是易燃物料，事故的结果可能就是沸腾的液体扩散为蒸汽云爆炸 (BLEVE)、 闪火、非封闭式蒸汽云爆炸、有毒物料释放等。（例如，如果泄漏了10磅的氨，事故的结果就是有毒物料释放）
66
备注：66
术语：后果
后果:  对事故结果情况的预期效果的度量（例如，在D级天气条件下，10磅的氨泄漏，以1.4mph的速度随风向北行进，将对50个人造成伤害）

受伤
死亡
商业运行中断
财产损失
环境破坏
其他无形影响
第三方责任
67
备注：67
从潜在到事实
初始事件 – 通常都会随之发生
中间事件 – 可能再形成另一个
中间事件 – 可能会导致一个
事故结果 – 根据具体情况，此事故结果会导致－－后果
假设存在一个潜在伤害的危险, －
事故 – 所产生的结果称之为 
68
备注：68
SLC“分析” 阶段－危险识别

评估后果

评估非SIS保护层效果

1. 概念上的工艺设计
需要SIS?

2. 识别潜在危险
工艺安全信息

4. 保护层分析
潜在危险
危险频率

3. 后果分析
危险后果

5. 为SIS和SIF选择目标SIL
目标SIL

6. SIS/SIF必要的文件

事件历史

保护层

故障率

可容忍风险指南

危险特性
停止
No
Yes
实施

安全要求规范－
-
每个安全仪表功能的描述，包括目标SIL，减轻的危险，工艺参数，逻辑，旁路／维修要求，响应时间等。 
69
备注：69
什么是工艺危险性分析
IEC61508-1 规定了三种功能:
确定在所有可合理预见的条件下（包括故障条件和误操作），受控设备（EUC)和EUC控制系统的危险和危险事件（在所有操作模式下），。
确定以上所确定危险事件的事件顺序。
确定与以上所确定危险事件相关的EUC风险。
70
备注：70
什么是工艺危险性分析（PHA)?
识别危险
通常在 PHA中识别危险
评估后果
评估可能性 (频率)
71
备注：71
常见的PHA方法
检查表
What if?
What if? / 检查表
HAZOP (危险和可操作性研究)
FMEA (故障模式和效果分析)
故障树分析
适当的等同方法
72
备注：72
选择不同于”正常”情况的偏差
转到下一个偏差
No
选择项目
                  确定安全功能 - SIS 和/或者机械安全(MS) 和/或者 外部风险削减
                         确定传感器和安全阀的位置 (安全行动)
               会产生危险吗? (有预防其发生的有效操作吗?)
Yes
               控制系统是否会及时对偏差进行调整?
                          控制系统故障, 误动作, 操作工误操作
描述可能的危险后果
考虑其他偏差原因
         可能会偏差吗? –可能的原因?
Yes
一般HAZOP      程序
No
No
Yes
Yes
Yes
73
从PHA报告中识别SIF需要哪些信息?
先前的研究中有关安全仪表功能的描述
已消除的危险及其后果
导致后果的初始事件
防止后果发生的安全措施 (SIS和非SIS)
74
备注：74
PHA - HAZOP
脱水剂再生
脱水
深冷分离
再 压 缩
XV
32
A/S
TT
31
TT
32
乙烷
丙烷
入口气体
天然气液体
I-3
I-1
I-2
I-4
XV
31
A/S
XY
31
XY
32
闪蒸分离
316 SS
CS
防止现场碳钢管线
脆裂的功能
75
备注：75
PHA -HAZOP 识别SIF
偏差
后果
太低

安全措施
原因
物流间流量
不平衡
存在下游管线脆裂和着火的潜在危险
建议
行动
J. Jones
PLC低温切断
极端天气

同上，确定极度天气的可能性
J. Jones
流量报警和工艺切断
太高

物流间流量
不平衡
Potential compressor damage
确定压缩机是否会损坏
S. Smith
存在下游管线脆裂和着火的潜在危险
报警、工艺切断、独立的PLC低温切断
独立的PLC低温切断是否为SIS?
节点: 热端深冷换热器
参数:温度
76
备注：76
SIF描述
“建议”栏中建议的SIF
“安全措施”栏中提供的SIF
建议的安全措施
Action
J. Jones
J. Jones
S. Smith
偏差
后果
太低

安全措施
原因
物流间流量
不平衡
存在下游管线脆裂和着火的潜在危险
建议
PLC低温切断
极端天气

同上，确定极度天气的可能性
流量报警和工艺切断
太高

物流间流量
不平衡
Potential compressor damage
确定压缩机是否会损坏
存在下游管线脆裂和着火的潜在危险
报警、工艺切断、独立的PLC低温切断
独立的PLC低温切断是否为SIS?
77
备注：77
危险和后果
已经避免的危险及其后果可在“后果”一栏中的说明中查找
Action
J. Jones
J. Jones
S. Smith
偏差
后果
太低

安全措施
原因
物流间流量
不平衡
存在下游管线脆裂和着火的潜在危险
建议
PLC低温切断
极端天气

同上，确定极度天气的可能性
流量报警和工艺切断
太高

物流间流量
不平衡
Potential compressor damage
确定压缩机是否会损坏
存在下游管线脆裂和着火的潜在危险
报警、工艺切断、独立的PLC低温切断
独立的PLC低温切断是否为SIS?
78
备注：78
初始事件
在HAZOP中，初始事件在“原因”一栏
“如果…怎样”和检查表问题 
每个危险的多个潜在的初始事件
两个初始事件造成同一后果
Action
J. Jones
J. Jones
S. Smith
偏差
结果
太低

安全措施
原因
物流间流量
不平衡
存在下游管线脆裂和着火的潜在危险
建议
PLC低温切断
极端天气

同上，确定极度天气的可能性
流量报警和工艺切断
太高

物流间流量
不平衡
Potential compressor damage
确定压缩机是否会损坏
存在下游管线脆裂和着火的潜在危险
报警、工艺切断、独立的PLC低温切断
独立的PLC低温切断是否为SIS?
79
备注：79
安全措施
查找已有的SIS和非SIS的安全措施，它不同于我们要研究的SIS
安全措施将运用于初始事件、可能存在的每个初始事件的多重安全措施中。
Action
J. Jones
J. Jones
S. Smith
偏差
结果
太低

安全措施
原因
物流间流量
不平衡
存在下游管线脆裂和着火的潜在危险
建议
PLC低温切断
极端天气

同上，确定极度天气的可能性
流量报警和工艺切断
太高

物流间流量
不平衡
Potential compressor damage
确定压缩机是否会损坏
存在下游管线脆裂和着火的潜在危险
报警、工艺切断、独立的PLC低温切断
独立的PLC低温切断是否为SIS?
80
备注：80
从 P&amp;amp;ID图中识别SIF
PHA研究并非100%有效
进行设计时应考虑专利商和详细设计承包商的以往经验
设计包中的SIF与其他控制回路没有明显差异
根据P&amp;amp;ID图来识别SIF要求具备控制工程设计方面的专业betway必威官方网站
。
与SIF相关的危险、后果、安全措施需要用到工艺和风险评估方面的专业技术
81
备注：81
PHA步骤－后果分析
评估后果
评估非SIS保护层效果
1. 概念上的工艺设计
需要SIS?
2. 识别潜在危险
工艺安全信息
4. 保护层分析
潜在危险
危险频率
3. 后果分析
危险后果
5. 为SIS和SIF选择目标SIL
目标SIL
6. SIS/SIF必要的文件
事件历史
保护层
故障率
可容忍风险指南
危险特性
停止
No
Yes
实施
安全要求规范－
-
每个安全仪表功能的描述，包括目标SIL，减轻的危险，工艺参数，逻辑，旁路／维修要求，响应时间等。 
82
备注：82
后果分析中应包括什么内容？
应该考虑到:
死亡和受伤事件
财产损失
商业中断
环境破坏
第三方责任
公司形象
83
备注：83
毒性危险
毒性区域应考虑到:
释放量
释放时间
几何资料
标高／方位
初始化学密度
气象条件
周围地形
限定深度
84
备注：84
后果分析方法
评估及分类
统计
后果模拟
85
备注：85
后果分类
严重性等级
I影响
初次的影响限于事件的局部区域，如果不采取防止行动，有进一步扩大后果的潜在危险。
比严重事故造成的影响恶劣5倍或5倍以上。
轻微
严重
非常严重
根据化学工艺安全自动化指南提供的资料
会导致现场或界外的严重受伤或致命事故，或者现场财产损失达到
$1 MM 或界个损失到到  $5 MM。
86
备注：86
统计后果分析
使用事故统计学来计算平均后果。
优点: 数字定义清楚
缺点:
1. 数据的适用性,是否与新情况足够类似?
2. 统计的数据是否足够?
	
88
备注：88
统计后果分析
使用事故统计数据来计算平均后果。
例: 
5年内，发生了235起工业锅炉爆炸，爆炸的结果是17个人死亡，84人受伤。  
PLL（死亡概率） = 17 / 235 = 0.073 每起事故
PI （受伤概率）= 84 / 235 = 0.358 每起事故
89
备注：89
后果模拟
计算“影响区域”和“影响距离”
通常使用数字模拟
有毒化学品释放的典型后果模拟结果
受伤区域
致命区域
87 米
112 米
23 米
9 米
可能死亡人数:  0.27
可能受伤人数: 2.56
90
备注：90
后果模拟
后果取决于影响区域，占用率和受伤程度这些因素
占用率指的是影响区域内的平均人数（或者其他受体）－偶尔和经常占用的建筑物
受伤害程度是指假设一个人在影响区域内出现致命事故（或其他伤害程度）的概率

后果 = 占用率 * 受伤程度
91
备注：91
术语：影响区域
影响区域: 对于一个有毒物质释放的事故来说，它指的是有毒蒸汽在空气中的浓度超过 相关级别（例如，氨的 IDLH 是 500 ppm (v), 10磅氨泄漏的影响区域是4.6平方英哩）。 热效应影响区域和超压爆炸采用相同的方式来描述
受伤区域
致死区域
87 米
112 米
23 米
9 米
(IDLH – 直接危及到生命或健康)
Immediately dangerous to life or health
92
备注：92
后果模拟工具
模型	公共/
专利成本	模型能力	强项	局限性
ARCHIE?	公共软件; 由
EPA, FEMA, 和
DOT开发

免费软件	? 气体或液体
? 轻的或浓密的气体模拟
? 混合物
? 爆炸	? 公开提供
? 采用某些被动缓和方法
(如堤岸等)	? 提供的有毒物质的结果非常保守
? 有限浮动
? 没有化学品数据库
? DOS 用户界面
DEGADIS?	公共; 由
DOT, EPA, 和DOE共同投资

可变的	? 气体或液体
? 浓密气体模拟	? Windows? - 易于使用
? 可以预装化学品
? 部分模型可加入到ALOHA	? 需要专家支持
? 可补充的化学品数据库非常有限
PHAST?	所有权;
由 Det
Norske Veritas开发

高成本	? 气体或液体
? 轻质或浓密气体模拟
? 化学品数据库
? 混合物
? 爆炸	? DIPPR 化学品数据库
? 可以是悬浮颗粒
? 早期释放模拟已在业内广为接受
? 良好的图形表现能力	? 扩散量可能超过
EPA OCA
? 需要专家支持
93
备注：93
PHA步骤－可能性分析
评估后果
评估非SIS保护层效果
1. 概念上的工艺设计
需要SIS?
2. 识别潜在危险
工艺安全信息
4. 保护层分析
潜在危险
危险频率
3. 后果分析
危险后果
5. 为SIS和SIF选择目标SIL
目标SIL
6. SIS/SIF必要的文件
事件历史
保护层
故障率
可容忍风险指南
危险特性
停止
No
Yes
实施
安全要求规范－
-
每个安全仪表功能的描述，包括目标SIL，减轻的危险，工艺参数，逻辑，旁路／维修要求，响应时间等。 
94
备注：94
可能性 /频率
危险的可能性参照IEC 61511第 3部分

指的是频率例如每年或每百万小时发生事件的数量
注意它与日常英语中的“概率”的定义是不同的
95
备注：95
可能性分析方法
评估和分类
统计
可能性模型
96
备注：96
可能性分类
事件类型
频率 /年
质量等级
Likelihood
在装置预期使用寿命内发生一个或一系列故障的概率非常低
在装置预期使用寿命内发生一个或一系列故障的概率较低
在装置预期使用寿命内发生合理的预期的故障
f < 10-4
10-4 < f< 10-2
10-2 < f
低
中
高
依据化学工艺安全自动化指南中给出的资料
97
备注：97
可能性统计分析
从以前发生的类似事件的可能性来确定事故的可能性
依靠大量的类似事件来提供适当的依据
有利于一般危险可能性分析的数据就比如:
因雷电导致死亡的可能性为1x10-7 ／年
压力容器发生大量泄漏的可能性为3x10-3 ／年
不适用于特殊设备和特殊工艺事故的预测
98
备注：98
通过故障传播模型进行可能性分析
分析导致事故发生的一系列事件
事故
故障 
初始事件
中间事件2
将统计数据中的具体问题分解为一般事件可能是有效的
中间事件1
99
备注：99
故障传播模型
分析导致事故发生的一系列事件
使用单个的事件率数据而不是整个系统的事件率数据
部分故障事件数据是易于查找的
使用概率逻辑图来计算全部可能性
100
备注：100
事件树分析
良好的故障传播模型可用于工艺风险评估
事件链通过中间分支点把初始事件连接到多个结果上
初始事件
分支
结果1
结果2
结果3
结果 4
结果 5
结果 6
分支
分支
101
备注：101
一个典型的事件树
102
备注：102
出现危险事件的频率为:

D
C
B
A
A
P
P
P
P
F
′
′
′
′
=
年
F
A
/
A
P
B
P
AND
频率
(
)
年
F
/
C
P
I初始事件
保护层1
保护层2
保护层3
保护层4
D
P
用故障树进行可能性分析
103
备注：103
举例: 画事件树
画出因管线脆性断裂导致火灾的事件树
假设初始事件是管线断裂
主要的事件分支是:
断裂是轻微的还是严重的?
物料蒸汽遇到点火源了吗?
其他区域也会着火吗?
104
备注：104
事件树实例画图结果
105
备注：105
结果发生的概率举例
数据:
管线破裂, 1/20 年
破裂后发生少量泄漏的概率是, 1/3
着火概率：小量泄漏10%，大量泄漏30%
爆炸扩散到全装置的概率 ：大火20%, 小火4% 
计算以下可能性: 
装置爆炸
小火灾，装置仍完整
106
备注：106
事件树计算实例
全装置爆炸有两个引发原因，因此发生的频率应增大到
 0.00201 + 0.000066 = 0.00208 ／年（或480年一次）的总频率
107
备注：107
风险整体性定义
风险整体性是预计总损失的一种测量方法
所有潜在损失事件的可能性和结果的汇总
108
备注：108
用风险整体性考虑所有影响
结果必须用与可容忍风险极限相同的术语来表示
风险整体性方法
风险整体性方法也适用于风险相互独立的人员和财产部分
109
备注：109
风险整体性等式
风险整体性的标准等式是:

RI 	= 风险整体性
 N	= 危险事件的数量
 C 	= 事件后果(死亡事故率的计算)
 F  	= 事件频率

110
备注：110
事件树风险整体性实例
111
备注：111
故障率的量化
详细的历史可靠性数据对于用户的安装是有好处的，但通常难以获得这些数据
装置维修和SIS功能测试数据依照设备类型来分类
必威体育官方网站
平均数据依照设备来分类
仍然可以得到一些专家的判断意见
112
备注：112
使用维修和功能测试数据
公司通常会保存维修工作记录
IEC 61511 要求进行功能测试和记录结果
功能测试数据用于近似的故障率
故障率点估算的简单公式:
l (故障率) = 故障数 / 装置总操作小时数 
113
备注：113
来自故障率的PFD
PFD 依据事故率、事故模式和测试间隔而定
故障率分为伪跳闸故障和需求故障 
大多数数据库列出了设备的故障模式
因操作时间间隔增加，未测试设备的PFD会变大
定期检查和测试的设备，可使用平均PFD来计算
PFDavg ~ (lt)/2
更多信息可参考功能安全工程设计II
114
备注：114
第五部分: 保护层分析（略）
115
备注：115
第六部分: SIL 选择
116
备注：116
SLC分析阶段－SIL选择
评估后果
评估非SIS保护层效果
1. 概念上的工艺设计
需要SIS?
2. 识别潜在危险
工艺安全信息
4. 保护层分析
潜在危险
危险频率
3. 后果分析
危险后果
5. 为SIS和SIF选择目标SIL
目标SIL
6. SIS/SIF必要的文件
事件历史
保护层
故障率
可容忍风险指南
危险特性
停止
No
Yes
实施
安全要求规范－
-
每个安全仪表功能的描述，包括目标SIL，减轻的危险，工艺参数，逻辑，旁路／维修要求，响应时间等。 
117
备注：117
安全完整性等级
安全完整性等级
SIL 4
SIL 3
SIL 2
SIL 1
平均需求故障概率

(低需求操作模式）
风险降低系数
>=10-5 to <10-4
>=10-4 to <10-3
>=10-3 to <10-2
>=10-2 to <10-1
100000 to 10000
10000 to 1000
1000 to 100
100 to 10
118
备注：118
安全仪表功能
明确的“单个”措施和所需的相应设备，用以识别“单个”紧急情况并把系统带入到安全状态。
依据所需的风险降低要求，为每个SIF分配SIL。
不同于SIS， SIS可以包含多个功能，以多种方式，防止出现多个有害结果。
SIS可以包含具备不同的单个SIL的多个SIF，因此为整个仪表系统确定SIL是不正确和模糊的。
119
备注：119
如何分配SIL
确定需要有多少风险降低，以达到给定的可容忍风险
定量分析方法给出了风险的具体数字目标
定性分析方法将数字目标分组到更多的风险降低类型中
必须使用一致的方法
120
备注：120
危险矩阵方法1
后果分类
可能性分类
根据确定的后果和可能性，从矩阵图中选择SIL
3 X 3, 4 X 4, 5 X 5, …

3a
3b
3b
2
1
Note c
1
3b
2
轻微
严重
极度
危险事件严重程度
危险事件可能性
低
中
高
a) 一个等级3的安全仪表功能在此等级上不能提供足够的风险降低，为了降低风险，需要额外的修改措施。
b) 一个等级3的安全仪表功能不能在该风险等级上提供足够的风险降低，需要另外审查（见注d)。c) 可能不需要SIS独立保护层;d) 该方法不适用于SIL4
基于 IEC 61511-3 Annex C
121
备注：121
危险矩阵图的后果部分
严重程度
影响
对设备损坏较小，工艺不需要停车，对人员、环境造成短时伤害。
损坏设备、工艺短时停车，对人员和环境造成严重伤害
设备损坏严重，工艺长时间停车，对人员和环境造成灾难性后果。
轻微
严重
极度
基于 IEC 61511-3 Annex C
122
备注：122
危险矩阵图后果的考虑事项
明确分类依据
可以包括以下考虑事项:
伤害
死亡
财产损失
生产损失
环境排放
后果分类的分配情况需要判断
123
备注：123
危险矩阵的可能性部分
事件类型
频率 /年
等级
可能性
例如不同仪表或阀的多种故障、无应力操作环境下的多种人为失误、或工艺压力容器的内部故障等事件
例如双仪表、阀故障或装／卸料站的主要释放等事件
例如工艺泄漏、单个仪表、阀故障或人为失误而导致危险物料的小量泄放，该故障应在装置预期操作周期内，被合理地预计到
f < 10-4
10-4 < f< 10-2
10-2 < f
低
中
高
基于化学工艺安全自动化指南中给出的资料, AIChE and IEC 61511-3 Annex C
124
备注：124
用危险矩阵来指定SIL
基于 IEC 61511-3 Annex C
使用所选择的可能性和后果类别来确定必需的SIL

3a
3b
3b
2
1
Note c
1
3b
2
轻微
严重
极度
危险事件严重程度
危险事件可能性
低
中
高
125
备注：125
危险矩阵举例
例1
在HAZOP研究期间识别SIF
HAZOP小组要确定:
后果是严重的
高的可能性 
选择什么SIL?
a) 一个等级3的安全仪表功能在此等级上不能提供足够的风险降低，为了降低风险，需要额外的修改措施。
b) 一个等级3的安全仪表功能不能在该风险等级上提供足够的风险降低，需要另外审查（见注d)。c) 可能不需要SIS独立保护层;d) 该方法不适用于SIL4

3a
3b
3b
2
1
Note c
1
3b
2
轻微
严重
极度
危险事件严重程度
危险事件可能性
低
中
高
126
备注：126
危险矩阵图   方法 2
所有的极度风险都要降低，所有的中度风险要根据实际情况来降低
从可容忍风险矩阵列表开始
中度的
可接受的
可接受的
1 ／100,000 年
中度的

中度的
可接受的
可接受的
1 ／10,000 年
极度的
中度的

可接受的
1 ／ 1000 年
极度的
极度的
中度的
可接受的
1／ 100 年
多人死亡
永久伤害／死亡
损工时伤害
有记录的伤害
可接受的
可接受的
127
备注：127
危险矩阵图   方法 2
要降低所有极度风险，根据实际情况降低中度风险
识别有保护层但没有建议的SIF的后果和可能性
中度的
可接受的
可接受的
1 ／100,000 年
中度的

中度的
可接受的
可接受的
1 ／10,000 年
极度的
中度的

可接受的
1 ／ 1000 年
极度的
极度的
中度的
可接受的
1／ 100 年
多人死亡
永久伤害／死亡
损工时伤害
有记录的伤害
可接受的
可接受的
128
备注：128
危险矩阵图步骤 2
要降低所有极度风险，根据实际情况降低中度风险
根据事故频率的降低情况选择SIL，以满足可容忍风险的要求
注意有基于实际情况的选项
中度的
可接受的
可接受的
1 ／100,000 年
中度的

中度的
可接受的
可接受的
1 ／10,000 年
极度的
中度的

可接受的
1 ／ 1000 年
极度的
极度的
中度的
可接受的
1／ 100 年
多人死亡
永久伤害／死亡
损工时伤害
有记录的伤害
可接受的
可接受的
SIL 3 (RRF>1000)
SIL 2 (RRF>100)
SIL 1 (RRF>10)
129
备注：129
风险图
选择风险图参数类别包括一个后果参数:
后果
三个可能性参数:
占用率
避免危险的可能性
需求率或频率
130
备注：130
风险图步骤
选择风险图参数类别
后果
占用率
避免危险的可能性
需求率或频率
遵循由所选参数确定的路线来确定所需要的SIL
131
备注：131
风险图参数
参数
依据 IEC 61511-3, Section D
内容
可能由危险引起的死亡平均数； 确定当泄漏发生时暴露区域被占用的平均数； 考虑到危险事件的易损性
暴露区域被占用的概率，通过计算区域被占用时间的百分率来确定。
如果保护系统在需要时发生故障，被暴露人员能够避免危险的可能性。 这取决于是否有能提醒暴露人员有危险的这种独立方法，以及防止出现危险的手动方法或逃逸方法。
C
后果
占用率
避免危险的概率
F
P
如果没有装SIS，每年可能发生危险事故的次数。这可以通过考虑可导致一种危险出现的所有故障并估算总体的发生率来确定。
需求率
W
132
备注：132
危险图的后果部分
参数
类别
该分类体系已做了改进，以处理对人员的伤害／死亡
对于CA、CB、CC、CD的解释，应考虑事故后果和正常的恢复情况
轻微伤害 
CA
后果
死亡平均数

当暴露的危险区域占用时，通过计算存在的人员平均数并乘以所确定危险的易损性来计算。易损性可由所防护危险的性质来确定。可利用下述因数：

V=0.01 易燃或有毒物质的少量泄放

V = 0.1 易燃或有毒介质的大量泄放

V = 0.5 同上，但具有很高的毒性或易燃性

V = 1  破裂或爆炸
依据 IEC 61511-3, Section D
备注
可能致命范围 从0.01到0.1
CB
可能致命范围从 > 0.1 到1
CC
可能致命范围 > 1
CD
133
备注：133
风险图的占用率部分
参　　数
分类
同上一个备注。
很少经常暴露于危险区域，占用率小于 0.1.
FA
占用率 (F)
这可通过确定正常工作期间暴露于危险区域中占用的时间长度来确定。

注 – 如果危险区域的时间因倒班操作而有所不同的话，应选择最长时间。

注– 在可表明需求率是随机的且占用率不可能高于正常值的情况下，适用FA；后者通常是设备开工时出现需求的情况。
基于 IEC 61511-3, Section D
备　注
频繁地持续暴露于危险区域
FB
占用率－基于暴露可能性进行的人员可能性度量
134
备注：134
避免的概率
参数
分类
如果同时满足下列条件则采用PA ：

应提供可提醒操作人员SIS有故障的设施
提供可停止作业的独立设施，这样可避免危险或可供所有人员逃到安全区域
从提醒操作员到发生危险事故之间的时间超过１小时。
如果条件满足则采用
PA
如果保护系统故障，避免危险事件的概率  (P)
基于 IEC 61511-3, Section D
备注
如果所有条件不满足则采用
PB
避免性 – 基于人员逃逸概率进行的可能性度量。
135
备注：135
需求率（可能性）
参数
分类
　W因数的目的是估算在没有增加SIS时发生危险的频率。

如果需求率非常高（例如每年１０次)，SIL必须由另外的方法来确定或将风险图重新标定，那么操作模式则为高需求或连续模式 (IEC61511-1, 条目 3.1.48.2).
需求率小于 0.03 ／年
W1
没有保护系统的需求率  (W)：

为了确定需求率，有必要考虑可导致出现一种危险事故的所有故障源。在确定需求率时，要考虑到控制系统执行和干预的的可靠性，如果控制系统没有根据IEC 61511来设计和维护，那么所要求的性能可能低于与SIL１有关的性能范围。
备注
0.03/年<需求率></需求率>

网友评论 more

综合betway必威官方网站最新内容

08-05