核電站是以核反應(yīng)堆來(lái)代替火電站的鍋爐，以核燃料在核反應(yīng)堆中發(fā)生特殊形式的“燃燒”產(chǎn)生熱量，來(lái)加熱水使之變成蒸汽。蒸汽通過(guò)管路進(jìn)入汽輪機(jī)，推動(dòng)汽輪發(fā)電機(jī)發(fā)電。一般說(shuō)來(lái)，核電站的汽輪發(fā)電機(jī)及電器設(shè)備與普通火電站大同小異，主要區(qū)別在于核反應(yīng)堆。它的最主要危害就是核輻射，如果一旦核泄漏將會(huì)造成社會(huì)層面的災(zāi)難，如福島核電站事故。
在不同領(lǐng)域的功能安全標(biāo)準(zhǔn)制定后，為了規(guī)范工業(yè)領(lǐng)域內(nèi)功能安全管理和技術(shù)，保證人身財(cái)產(chǎn)的安全，IEC制定了IEC61508系列標(biāo)準(zhǔn)。該系列標(biāo)準(zhǔn)是一個(gè)涵蓋了所有工業(yè)領(lǐng)域功能安全的標(biāo)準(zhǔn)，一共包含了三項(xiàng)內(nèi)容：安全生命周期的方法論，安全完整性等級(jí)(SIL)分級(jí)和功能安全管理。該系列標(biāo)準(zhǔn)成為了各領(lǐng)域進(jìn)行安全相關(guān)系統(tǒng)設(shè)計(jì)、安裝、維護(hù)、改造等活動(dòng)的安全規(guī)范。
該系列標(biāo)準(zhǔn)頒布后，歐盟采用強(qiáng)制指令，美國(guó)職業(yè)安全與衛(wèi)生管理局(OSHA 1910.134)，美國(guó)環(huán)保署(EPA40CFRPart68)，英國(guó)(HSE)都將其納入安全法規(guī)范疇。以IEC 61508系列標(biāo)準(zhǔn)為基礎(chǔ)，陸續(xù)出臺(tái)了不同領(lǐng)域及子系統(tǒng)/產(chǎn)品部件的功能安全標(biāo)準(zhǔn)，已經(jīng)形成的IEC61508規(guī)范體系結(jié)構(gòu)如圖1所示。
圖1 IEC 61508規(guī)范體系結(jié)構(gòu)示意
圖1中顯示了IEC 61508框架下不同子領(lǐng)域的功能安全標(biāo)準(zhǔn)規(guī)范，且要求其所使用的設(shè)備都必須符合IEC 61508。使用者的要求促進(jìn)了各設(shè)備制造廠家陸續(xù)推出高安全等級(jí)的產(chǎn)品，正在形成一個(gè)統(tǒng)一的安全產(chǎn)品供應(yīng)鏈。
本文主要對(duì)比和總結(jié)IEC 61508/61511在化工行業(yè)，IEC 61513/61226在核電領(lǐng)域?qū)τ诎踩δ芊旨?jí)以及安全評(píng)價(jià)手段。
1、化工行業(yè)安全完整性分級(jí)
化工過(guò)程包括許多單元和處理方法，隨著化工裝置的規(guī)模越來(lái)越大，生產(chǎn)過(guò)程的連續(xù)化、大型化以及工藝過(guò)程的日益復(fù)雜，化工裝置的危險(xiǎn)性也日益突出，因此化工裝置都采用了SIS并引進(jìn)了一系列相應(yīng)安全評(píng)價(jià)技術(shù)對(duì)其進(jìn)行SIL等級(jí)分級(jí)進(jìn)而指導(dǎo)其工程設(shè)計(jì)，以確?；ぱb置的安全。
在進(jìn)行SIS設(shè)計(jì)前，需要對(duì)過(guò)程對(duì)象進(jìn)行風(fēng)險(xiǎn)分析和辨識(shí)以及SIL等級(jí)的分級(jí)，該風(fēng)險(xiǎn)分析的實(shí)質(zhì)是將不可接受的風(fēng)險(xiǎn)降低到可以接受的水平，而不是完全消除風(fēng)險(xiǎn)。當(dāng)前提出的風(fēng)險(xiǎn)分析方法有很多，而應(yīng)用最廣泛的還是危險(xiǎn)與可操作性分析(HAZOP)方法，該方法是在選定分析節(jié)點(diǎn)和偏差后，綜合分析偏差的原因，后果，和已有安全保護(hù)等項(xiàng)目。識(shí)別出所有可能導(dǎo)致隱患和操作性問(wèn)題的原因，提出改進(jìn)措施和建議，以便徹底解決存在的安全問(wèn)題。HAZOP分析是風(fēng)險(xiǎn)辨識(shí)的技術(shù)，為SIL等級(jí)分級(jí)提供依據(jù)。
1.1 化工行業(yè)的安全評(píng)價(jià)分類
SIL等級(jí)是安全儀表功能(SIF)能夠提供的風(fēng)險(xiǎn)降低量的度量，通過(guò)對(duì)要求時(shí)平均失效概率(PFD)的計(jì)算而得到。PFD的定義為：受控設(shè)備控制系統(tǒng)發(fā)出要求時(shí)，執(zhí)行特定安全功能的電子電氣安全相關(guān)系統(tǒng)的安全不可用性。
功能安全標(biāo)準(zhǔn)要求為每個(gè)SIF選擇一個(gè)目標(biāo)SIL等級(jí)，且通過(guò)定量的分析驗(yàn)證該目標(biāo)達(dá)到了SIL等級(jí)的要求。必須的風(fēng)險(xiǎn)降低量，即SIL等級(jí)的目標(biāo)，是一個(gè)功能未緩解的過(guò)程風(fēng)險(xiǎn)，或者是沒(méi)有考慮SIF造成的過(guò)程風(fēng)險(xiǎn)與可容忍的風(fēng)險(xiǎn)相對(duì)應(yīng)。
IEC 61508中規(guī)定了四種SIL等級(jí)，SIL1等級(jí)最低，SIL4等級(jí)最高。對(duì)于化工裝置來(lái)說(shuō)是工作在“低要求操作模式”，所謂“低要求操作模式”是要求的動(dòng)作頻率小于或者等于1年1次或者等于2倍的檢驗(yàn)測(cè)試頻率的SIF。
在新版的IEC 61511中又定義了SILa，SILb等級(jí)，SILa的定義為“無(wú)特殊安全要求”，SILb的定義為“一個(gè)簡(jiǎn)單的SIF但不充分”，在實(shí)際項(xiàng)目中SILa，SILb的等級(jí)既可以放在DCS中執(zhí)行也可以放在SIS中執(zhí)行。
SIL1的定義為PFD在10-2～10-1的回路，或裝置可能很少發(fā)生事故，如發(fā)生事故，對(duì)裝置和產(chǎn)品有輕微的影響，不會(huì)立即造成環(huán)境污染和人員傷亡，經(jīng)濟(jì)損失不大的安全功能回路。
SIL2的定義為PFD在10-3～10-2的回路，或裝置可能偶爾發(fā)生事故，如發(fā)生事故，對(duì)裝置和產(chǎn)品有較大的影響，并有可能造成環(huán)境污染和人員傷亡，經(jīng)濟(jì)損失較大的安全功能回路。
SIL3的定義為PFD在10-4～10-3的回路，或裝置可能經(jīng)常發(fā)生事故，如發(fā)生事故，對(duì)裝置和產(chǎn)品將造成嚴(yán)重的影響，并造成嚴(yán)重的環(huán)境污染和人員傷亡，經(jīng)濟(jì)損失嚴(yán)重的安全功能回路。
化工行業(yè)對(duì)于SIL等級(jí)劃分為SIL1～SIL3等級(jí)的SIF放在獨(dú)立的SIS中執(zhí)行，其實(shí)質(zhì)主要是通過(guò)提高儀控回路可靠性的方式防止其要求動(dòng)作時(shí)失效，從而提高裝置的安全性。
1.2 安全評(píng)價(jià)方法
SIL等級(jí)的評(píng)估，主要分為三步，即：SIS的SIF功能識(shí)別，定義目標(biāo)SIL等級(jí)分配，SIL等級(jí)驗(yàn)證的計(jì)算。
首先對(duì)裝置進(jìn)行HAZOP分析，進(jìn)而辨識(shí)裝置的SIF，確定SIF對(duì)應(yīng)的SIL等級(jí)，然后按照SIL等級(jí)進(jìn)行工程設(shè)計(jì)，最后在設(shè)計(jì)完成后，對(duì)裝置進(jìn)行驗(yàn)證確保其達(dá)到SIL等級(jí)要求。
HAZOP分析是由T A Kletz提出的，該方法是危害辨識(shí)的重要應(yīng)用技術(shù)之一，也是國(guó)際上過(guò)程危險(xiǎn)性分析(PHA)應(yīng)用的最廣泛技術(shù)。HAZOP分析的本質(zhì)就是通過(guò)分析工藝圖紙和操作規(guī)程的各個(gè)節(jié)點(diǎn)，識(shí)別出具有潛在危險(xiǎn)的偏差，分析其偏差原因，后果及措施等，最終形成HAZOP PHA分析報(bào)告。在得到PHA報(bào)告后能為確定SIF提供重要的信息。運(yùn)用HAZOP分析辨識(shí)出SIS的SIF后，就要確定需要通過(guò)SIS降低的風(fēng)險(xiǎn)量，該風(fēng)險(xiǎn)量也就是需要SIS承擔(dān)的降低風(fēng)險(xiǎn)即SIL等級(jí)。
1.3 過(guò)程保護(hù)層分析
過(guò)程保護(hù)層分析(LOPA)是一種半定量的評(píng)估方法，也是目前最常用的方法。LOPA分析從HAZOP分析導(dǎo)出的數(shù)據(jù)著手，通過(guò)文檔和引發(fā)原因或預(yù)防或減輕危險(xiǎn)保護(hù)層計(jì)算每個(gè)識(shí)別的危險(xiǎn)。
LOPA分析的主要目的是分析特定的事故情形，判斷所采用的保護(hù)層是否足夠。根據(jù)過(guò)程的復(fù)雜程度和潛在危險(xiǎn)性大小來(lái)確定需要一個(gè)或者是多個(gè)保護(hù)層次來(lái)保護(hù)過(guò)程?？紤]到實(shí)際中任何一個(gè)保護(hù)層都有失效的可能性，因此要想降低風(fēng)險(xiǎn)就必須添加足夠多的保護(hù)層，而添加保護(hù)層的多少也要考慮經(jīng)濟(jì)的承受能力。
由于各個(gè)保護(hù)層的功能不同，作用也有強(qiáng)弱之分，每個(gè)獨(dú)立保護(hù)層(IPL)的PFD分別在SIL1～SIL3之間變化。石油化工廠或裝置的典型多保護(hù)層結(jié)構(gòu)如圖2所示。
圖2 石油化工廠或裝置的典型多保護(hù)層結(jié)構(gòu)示意
對(duì)一個(gè)確定系統(tǒng)的IPL的作用分類需遵循三個(gè)準(zhǔn)則：
1)只有當(dāng)IPL的設(shè)計(jì)功效發(fā)生作用時(shí)，其在防止后果發(fā)生時(shí)才是有效的。
2)IPL獨(dú)立地對(duì)初始事件及其他所有的用于相同情形的IPL的組件發(fā)揮作用。
3)IPL是可以審查的，及IPL的要求時(shí)故障概率是能夠確認(rèn)的，包括檢查，測(cè)試和文檔資料。
2、核電廠安全功能分類
核電廠最主要的危害就是電離核輻射的潛在危害，因此對(duì)核電廠的設(shè)計(jì)有著高可靠性的要求。但是如果所有安全功能在任何情況下都采用最高的設(shè)計(jì)標(biāo)準(zhǔn)和要求，顯然是不經(jīng)濟(jì)不合理的，所以就需要對(duì)核電廠的設(shè)計(jì)進(jìn)行安全功能分級(jí)，以確定安全功能的重要程度和安全重要物項(xiàng)的重要性，進(jìn)一步確定具體的物項(xiàng)建造要求，以確保安全功能在合理的要求程度下可靠執(zhí)行。安全功能分級(jí)的作用就是識(shí)別安全功能的重要性，對(duì)執(zhí)行該安全功能的物項(xiàng)提出具體相應(yīng)的設(shè)計(jì)要求。
核電廠安全分級(jí)所遵循的重要依據(jù)是IEC 61513《核電廠安全重要儀表和控制系統(tǒng)總要求》和IEC 61226《核電廠安全重要儀表和控制功能分類》，2項(xiàng)標(biāo)準(zhǔn)為核電廠安全分類的重要規(guī)范，其中IEC 61513為核電廠安全重要儀控系統(tǒng)分類的大綱和總要求，IEC 61226為具體分類方法和分類定義。
其中IEC 61226中定義了核電廠“縱深防御”的基本原則，要求其設(shè)置多層次的儀表和控制功能，用于核電廠的安全運(yùn)行，防止出現(xiàn)危險(xiǎn)的工況或緩解不安全的工況后果。由此可以看出其主導(dǎo)思想與化工行業(yè)的LOPA分析具有很強(qiáng)的相似性。
國(guó)際原子能機(jī)構(gòu)IAEA《核電廠安全設(shè)計(jì)標(biāo)準(zhǔn)》要求所有儀表和控制系統(tǒng)，設(shè)備，包括計(jì)算機(jī)軟件應(yīng)依據(jù)其實(shí)施功能的安全重要性進(jìn)行劃分類別。且對(duì)不同類別的功能，系統(tǒng)和設(shè)備確立它們的技術(shù)要求和質(zhì)量要求，使得設(shè)計(jì)，建造和運(yùn)行的質(zhì)量和可靠性與它們的類別相符合。從此可以看出其實(shí)質(zhì)是對(duì)安全重要級(jí)別越高的儀表控制系統(tǒng)設(shè)備有著越高的可靠性要求，這與化工行業(yè)的SIL等級(jí)有很強(qiáng)的相似性。
2.1 核電設(shè)計(jì)安全功能分類
IEC 61226將核電廠“安全重要儀表和控制功能”分為A，B，C三類，其中A類和B類屬于“安全系統(tǒng)”范圍內(nèi)的功能，B類和C類屬于“安全有關(guān)系統(tǒng)”的范圍內(nèi)的功能。其中B類屬于特殊的一類功能，它既可以劃分為“安全系統(tǒng)”，又可以劃分為“安全有關(guān)系統(tǒng)”的功能。
1)A類功能是指對(duì)于達(dá)到或維持核電廠安全以防止設(shè)計(jì)基準(zhǔn)事件導(dǎo)致不可接受的后果其主要作用的功能。由于A類功能要求高可靠性，應(yīng)限制其功能和復(fù)雜程度以確保其高度可靠性。該類功能的儀控系統(tǒng)應(yīng)該遵循單一故障準(zhǔn)則，系統(tǒng)應(yīng)冗余配置。單一故障不應(yīng)導(dǎo)致預(yù)定安全功能失效，即使在預(yù)防性維修，定期試驗(yàn)，檢查或更換期間。冗余序列之間的隔離應(yīng)使得任一內(nèi)部危害事件不會(huì)使系統(tǒng)的冗余功能喪失或部分喪失。
2)B類功能是指對(duì)于達(dá)到或維持核電廠安全起補(bǔ)充A類功能的作用，尤其是在達(dá)到手動(dòng)狀態(tài)后運(yùn)行所需的功能，以防止設(shè)計(jì)基準(zhǔn)事故導(dǎo)致不可接受后果。B類功能的實(shí)施可以避免啟動(dòng)A類功能。B類功能在減輕設(shè)計(jì)基準(zhǔn)事件的后果上可以補(bǔ)充或改善A類功能的執(zhí)行，這樣電廠或設(shè)備損壞或者放射性釋放可以避免或者降至最低。該類功能應(yīng)通過(guò)隔離和冗余的方法實(shí)現(xiàn)，否則應(yīng)提供相應(yīng)的證明，如證明系統(tǒng)不通過(guò)冗余和隔離可達(dá)到可靠性目標(biāo)的能力，功能失效后果的可接受性，或者功能失效時(shí)提供替代相應(yīng)的可用事件。
3)C類功能是指對(duì)于達(dá)到或者維持核電廠安全起輔助或者間接作用的功能，包括那些有一定安全重要性但不屬于A類和B類的功能。C類功能可以是應(yīng)對(duì)整個(gè)設(shè)計(jì)基準(zhǔn)事件的一部分但不直接參與緩解事故后果，或者是超設(shè)計(jì)基準(zhǔn)事故所必需的功能。該類功能的系統(tǒng)一般不需要冗余設(shè)置或者隔離，但可能需要承受內(nèi)部和外部的危害。
2.2 基于確定方法分類
核電廠安全重要功能分類的工程設(shè)計(jì)規(guī)則必須是確定的，且必須符合相關(guān)國(guó)家或國(guó)際規(guī)程和標(biāo)準(zhǔn)以及成熟的工程實(shí)踐，確保在所有運(yùn)行狀態(tài)中和所有事故工況下實(shí)現(xiàn)基本安全功能。
必須在工程判斷以及將確定性評(píng)定和概率評(píng)定相結(jié)合的基礎(chǔ)上確定假想始發(fā)事件，基于全部假設(shè)事件推導(dǎo)應(yīng)該在設(shè)計(jì)中考慮的一系列事故，以便確定核電廠應(yīng)承受的邊界條件，而不超出可接受的輻射防護(hù)限制。提供對(duì)確定性安全分析和概率安全分析利用程度的理由，用以表明已考慮到了所有可預(yù)見(jiàn)的事件。這一系列可預(yù)見(jiàn)的事件就是核電廠的“設(shè)計(jì)基準(zhǔn)事件”。
在對(duì)核電廠的假想始發(fā)事件分析的基礎(chǔ)上，分析確定所需的預(yù)防措施和保護(hù)措施，從而確保實(shí)施所要求的安全功能。
安全功能分類過(guò)程首先要確定核電廠類型、與儀表和控制相關(guān)的潛在危險(xiǎn)事件以及機(jī)械和電氣系統(tǒng)和設(shè)備冗余方面的主要設(shè)計(jì)準(zhǔn)則。其次是確定每個(gè)潛在危險(xiǎn)事件的預(yù)防和緩解功能及其支持功能。
安全功能重要性的分類方法應(yīng)基于確定論的安全分析，并結(jié)合概率論分析和工程判斷，分類宜考慮下列因素：
1)安全功能分類物項(xiàng)要執(zhí)行實(shí)施的安全功能。
2)在預(yù)防或緩解假設(shè)始發(fā)事件中起的作用；該安全功能未執(zhí)行的后果。
3)在啟動(dòng)、正常運(yùn)行、換料等運(yùn)行模式期間起的作用。
4)在諸如地震、洪水、颶風(fēng)、閃電等自然事件，和內(nèi)部災(zāi)害，例如，火災(zāi)、 內(nèi)部水淹、飛射物、鄰接機(jī)組的放射性釋放或者其他電廠或工廠的化學(xué)物質(zhì)釋放，這樣的潛在危險(xiǎn)事件之后，所起的作用。
5)該功能安全分類失效的后果。
6)誤動(dòng)作的影響。
7)需要該功能安全分類實(shí)施安全重要功能的概率。
8)在設(shè)計(jì)基準(zhǔn)事件期間或之后要求其運(yùn)行的時(shí)間或時(shí)間段。
9)維護(hù)、修理和試驗(yàn)方案。
2.3 核電廠縱深防御體系
總的核安全目標(biāo)是通過(guò)建立核電廠的放射性危害的有效防御來(lái)保護(hù)個(gè)人，社會(huì)和環(huán)境。為了實(shí)現(xiàn)該目標(biāo)，《核電廠基本安全原則》給出了導(dǎo)則：為了防止核電廠發(fā)生事故情況時(shí)，減輕其事故后果，其主要手段是應(yīng)用“縱深防御”的概念。“縱深防御”主要通過(guò)將一系列連續(xù)和獨(dú)立的IPL結(jié)合起來(lái)加以實(shí)施，且在人員或環(huán)境可能受到有害影響之前，這些IPL如果其中一層失效，后續(xù)保護(hù)層或屏蔽還應(yīng)繼續(xù)發(fā)揮作用，不同防御層的獨(dú)立效能是“縱深防御”的一個(gè)必要組成部分。是為了確保所有安全相關(guān)活動(dòng)都遵守獨(dú)立存在的各種不同層級(jí)的規(guī)定，使得在發(fā)生故障時(shí)能夠利用適當(dāng)?shù)拇胧┨讲楹脱a(bǔ)救或糾正故障。該概念將應(yīng)用在核電廠的設(shè)計(jì)和運(yùn)行的整個(gè)過(guò)程中。該設(shè)計(jì)還須充分考慮其他核電廠的設(shè)計(jì)，建造和運(yùn)行中取得的相關(guān)可靠經(jīng)驗(yàn)以及相關(guān)研究的成果。
“縱深防御”體系下的IPL分類在實(shí)際工程中是基于確定性的方法建立的，在工程實(shí)踐經(jīng)驗(yàn)的基礎(chǔ)上判斷其典型系統(tǒng)的可用率(確定值)，確定出安全重要性等級(jí)，然后確定典型的排列次序，依次對(duì)各個(gè)IPL進(jìn)行安全重要分級(jí)。
縱深防御體系有五層，主要功能如下：
1)第一層防御是防止電廠偏離正常運(yùn)行和安全重要物項(xiàng)出現(xiàn)故障。
2)第二層防御是探知和控制偏離正常運(yùn)行狀態(tài)的情況，以防止電廠的預(yù)計(jì)運(yùn)行事件升級(jí)到事故狀況。
3)第三層是上一層次防御或許未能控制某些預(yù)計(jì)運(yùn)行時(shí)間或假想始發(fā)事件的逐步升級(jí)，并可能由此釀成事故，盡管這是非常不可能的。但在核電廠設(shè)計(jì)中，這是事故時(shí)假定會(huì)發(fā)生的。
4)第四層防御的目的是減輕第三層“縱深防御”失靈所引起的事故后果。對(duì)該層級(jí)的防御而言，最重要的是確保發(fā)揮封隔功能，從而確保放射性釋放保持在可合理達(dá)到的盡量低的水平。
5)第五層也是最后一層防御是減輕事故工況下可能產(chǎn)生的放射性釋放后果。這就需要提供一個(gè)裝配齊全的應(yīng)急控制中心以及適用于場(chǎng)內(nèi)和場(chǎng)外應(yīng)急響應(yīng)的應(yīng)急計(jì)劃和應(yīng)急程序。
3、化工行業(yè)安全評(píng)價(jià)分級(jí)與核電行業(yè)安全重要分類對(duì)比
3.1 相似性
IEC 61226中定義：“實(shí)施不同程度的安全重要功能的儀表和控制系統(tǒng)，其每項(xiàng)功能的安全重要性是依據(jù)其達(dá)到并保持核電廠的安全狀態(tài)所起的作用，當(dāng)要求實(shí)施功能時(shí)其故障的潛在后果和產(chǎn)生這些后果的概率的綜合分析來(lái)確定?！痹摌?biāo)準(zhǔn)將核電廠安全重要儀表和控制功能分為A類，B類，C類三類，屬于安全系統(tǒng)范圍內(nèi)的功能屬于A類和B類，安全有關(guān)系統(tǒng)范圍內(nèi)的功能屬于B類或C類。從該段的定義描述可以看出這與化工行業(yè)的SIL分級(jí)是非常類似的。
可以看到，無(wú)論是核電行業(yè)還是化工行業(yè)都是將執(zhí)行安全功能的儀表功能進(jìn)行分類，對(duì)執(zhí)行不同的安全功能等級(jí)的儀控設(shè)備提出有區(qū)別的可靠性要求。盡管在表述上有所差別，但其概念實(shí)質(zhì)是大致相似的，即都是通過(guò)對(duì)于發(fā)生災(zāi)難事件的后果進(jìn)行危害性評(píng)估，進(jìn)而對(duì)該功能回路進(jìn)行危險(xiǎn)性分析，對(duì)于執(zhí)行安全等級(jí)越高的儀控系統(tǒng)，要求其儀表控制系統(tǒng)的可靠性就越高。
3.2 區(qū)別性
化工行業(yè)的安全評(píng)價(jià)主要遵循IEC 61508，而核電領(lǐng)域的安全功能分級(jí)遵循IEC 61513和IEC 61226，首先考慮兩類標(biāo)準(zhǔn)在范圍方面的某些重要差別。
IEC 61508討論的系統(tǒng)可以是采用電氣，電子或可編程電子控制器等任何一項(xiàng)技術(shù)的系統(tǒng)，而IEC 61513標(biāo)準(zhǔn)，盡管包括的體系要求原則上對(duì)3項(xiàng)技術(shù)都適用，但主要關(guān)注的是基于計(jì)算機(jī)的系統(tǒng)。IEC 61508指的是一般意義上的“安全有關(guān)系統(tǒng)”，而IEC 61513指的是“安全重要系統(tǒng)”，按國(guó)際原子能機(jī)構(gòu)IAEA的解釋，“安全重要”即對(duì)核安全重要。
除上述內(nèi)容外，化工行業(yè)和核電行業(yè)的區(qū)別還包括以下方面：
1)總的安全生命周期的范圍。IEC 61508中總的安全生命周期包含被控設(shè)備的安全設(shè)計(jì)所涉及的全部系統(tǒng)，包括儀控系統(tǒng)電子/電氣/邏輯控制器，以及其他技術(shù)的系統(tǒng)和降低外部風(fēng)險(xiǎn)的設(shè)施。該標(biāo)準(zhǔn)不專門(mén)討論電廠安全分析，也不規(guī)定對(duì)從安全分析產(chǎn)生的性能和可靠性要求進(jìn)行充分性評(píng)定的方法。核電廠安全設(shè)計(jì)的實(shí)踐是依據(jù)專門(mén)的國(guó)際原子能機(jī)構(gòu)的原則，IEC準(zhǔn)則和國(guó)家法規(guī)來(lái)執(zhí)行，這超出了IEC 61508的規(guī)范。
而IEC61513規(guī)定了核電廠的“設(shè)計(jì)基準(zhǔn)”和安全分析應(yīng)給儀控系統(tǒng)開(kāi)發(fā)者提供哪些必要的輸入信息，用于指導(dǎo)后續(xù)的儀控系統(tǒng)設(shè)計(jì)?！昂穗姀S設(shè)計(jì)基準(zhǔn)”規(guī)定了潛在危險(xiǎn)事件及其發(fā)展過(guò)程，“縱深防御”的概念，以及用于提供防御的功能類別。
2)總的安全確認(rèn)和評(píng)定。IEC 61513要求，對(duì)各個(gè)分布的安全重要功能的總的驗(yàn)證和確認(rèn)，并記錄在總的集成和調(diào)試報(bào)告中。在核電領(lǐng)域，該報(bào)告關(guān)于安全充分性的評(píng)定在許可證審批程序的框架內(nèi)加以控制。而化工領(lǐng)域無(wú)此要求。
3)SIL等級(jí)和安全重要功能分級(jí)。IEC 61508按系統(tǒng)需要提供的風(fēng)險(xiǎn)降低水平，來(lái)劃分控制系統(tǒng)所要求的SIL等級(jí)。這是通過(guò)下列工作實(shí)現(xiàn)的：確定危害有關(guān)風(fēng)險(xiǎn)的嚴(yán)重性，評(píng)定危害的頻率，以及為將危害造成的風(fēng)險(xiǎn)降低到容許水平需要系統(tǒng)提供的保護(hù)能力。
核電領(lǐng)域習(xí)慣上采用確定論的方法，來(lái)確定系統(tǒng)的安全重要性及其在可能的功能喪失情況下對(duì)風(fēng)險(xiǎn)后果嚴(yán)重性的影響。
國(guó)際原子能機(jī)構(gòu)IAEA和IEC 61226對(duì)防止或緩解放射性釋放后果的任何系統(tǒng)，一般認(rèn)為有采取最高可行的完整性要求必要。對(duì)防止放射性釋放的支持系統(tǒng)，但不直接防止或緩解放射性釋放，可采用較低的SIL等級(jí)。因此，在核電領(lǐng)域普遍使用的分級(jí)與IEC 61508中提出的對(duì)可靠性和風(fēng)險(xiǎn)降低的SIL等級(jí)不存在等效關(guān)系。在核電領(lǐng)域一般認(rèn)為這種確定論方法是足夠的，在實(shí)際上為所有保護(hù)功能設(shè)定了很高的目標(biāo)。
然而，核電領(lǐng)域的確也認(rèn)同數(shù)值計(jì)算方法，而概率安全分析(PSA)的方法可為計(jì)算機(jī)系統(tǒng)的可靠性提供清晰的安全目標(biāo)?，F(xiàn)有核電廠的技術(shù)安全目標(biāo)是一個(gè)“概率指標(biāo)”，即出現(xiàn)嚴(yán)重堆芯損壞的概率低于10-4(數(shù)值范圍等于SIL4等級(jí)的水平)事件每電廠運(yùn)行年。未來(lái)電廠所有安全原則的實(shí)現(xiàn)宜達(dá)到概率不大于10-5事件每電廠運(yùn)行年的改進(jìn)目標(biāo)。嚴(yán)重事故管理和緩解措施宜降低要求場(chǎng)外應(yīng)急的大范圍廠外釋放的概率至少10倍(IAEA 75-INSAG-3)。
4、結(jié)束語(yǔ)
化工行業(yè)與核電行業(yè)都?xì)w屬于流程行業(yè)且都具有很高的危險(xiǎn)性，化工危害主要體現(xiàn)在有毒有害介質(zhì)泄漏，易燃?xì)怏w產(chǎn)生爆炸等，核電的危害主要是核輻射對(duì)人員環(huán)境社會(huì)的災(zāi)難性后果。
化工行業(yè)采用LOPA分析來(lái)指導(dǎo)工程設(shè)計(jì)對(duì)工廠進(jìn)行全方位保護(hù)。其主要目的是確定分析特定的事故情形，判斷所采用的保護(hù)層是否足夠。根據(jù)過(guò)程的復(fù)雜程度和潛在危險(xiǎn)性大小來(lái)確定需要一個(gè)或者是多個(gè)保護(hù)層次來(lái)對(duì)過(guò)程進(jìn)行保護(hù)。
核電廠“縱深防御”的基本原則，要求其設(shè)置多層次的儀表和控制功能，用于核電廠的安全運(yùn)行，防止出現(xiàn)危險(xiǎn)的工況或緩解不安全的工況后果。且核電與化工都遵循著“故障安全”設(shè)計(jì)準(zhǔn)則。都采用多層次防御IPL保護(hù)體系。
IEC 61508給安全功能指定的SIL等級(jí)與核工業(yè)領(lǐng)域使用的和安全功能分類是非常相似的。然而，在指定的程序方面又存在顯著差別：
1)IEC 61508對(duì)SIL等級(jí)的指定是基于危害發(fā)生概率和后果風(fēng)險(xiǎn)分析。
2)IEC 61226對(duì)核安全功能的類別指定是基于確定論準(zhǔn)則以及功能失效后果的判斷。國(guó)際原子能機(jī)構(gòu)IAEA 75-INSAG-3規(guī)定了一系列“安全原則”，它們共同構(gòu)成保證核電廠安全的“綜合的總體安全方法”，這些原則(HAF 102-2004)將在設(shè)計(jì)中用于考慮所有相關(guān)的假設(shè)始發(fā)事件和連續(xù)實(shí)體屏蔽，以使工作人員，公眾和環(huán)境受到的輻射照射保持在規(guī)定的限值內(nèi)。按該方法，核電廠設(shè)計(jì)基準(zhǔn)為保持電廠在正常運(yùn)行狀態(tài)，保證正確地響應(yīng)所有潛在危險(xiǎn)事件，以及便于在事故后長(zhǎng)期管理電廠所需的功能和系統(tǒng)規(guī)格合適的質(zhì)量水平。
作者：張亦林(中國(guó)核電工程有限公司)
相關(guān)閱讀
◆核電廠DCS系統(tǒng)I/O分配原則及I/O分配方法
