1 工程招标中用户面临的风险
近年来,我国各地厂矿重大事故屡有发生，给人民生命、国家财产造成了巨大损失。从这些特别重大事故的调查结果来看,事故单位在安全生产工作中存在着严重的问题,也反映出安全生产的方针、政策措施在一些地方和企业没有真正落实。而根据市场需求，主动编制标准，在市场竞争中升级成部级或国家级标准,则远未成为风气。
目前,在招标过程中,人们往往采取三种对策:
(1)一些用户随大流,利用外国名牌产品中标,不实事求是地分析产品。
(2)风险和责任重大的用户则过分要求高可靠性。例如,对民航全国导航网某主站的UPS,额定功率100kVA,中标的是美、加、日高端用户的名牌高级机型——“PWM整流+PWM逆变+DSP+DDC+3CPU的全数字机”。厂家给出单机平均无故障时间MTBF是300年。对于100kW的雷达、通信、计算机组成的导航系统,用两路独立的市电供电,每路市电馈入2台200kVA的功率均分冗余系统。这两套双并机系统再用PLC系统联机。以4台高级的200kVA UPS的输出电压与输出电流同时高精度采样,控制环流为零的高冗余方式。实际运行的功率<100kW的负载,采用上述供电系统,以求万无一失。
这样就有两个问题:一是过分冗余,成本太高,不可能推广。二是MTBF→∞并不等于安全完整性(Safety Integrity)很高,如整体安全性(Over all Safety)设计不周,这就成了一个典型的“马其诺防线”,故障在供电系统其他薄弱环节上可能发生。
(3)在同样事关公众生命安全的EPS系统中,竟出现“最低报价者中标”的“矫枉过正”的情况。这就出现“高风险”工程设计思想。而发达地区较倾向中价位中标。“高风险”工程思想隐患中的世界著名案例中最严重的是:1986年苏联切尔诺贝利核电站发生1kMW的大功率核电反应堆爆炸，造成的核辐射污染比广岛原子弹高100倍!后患无穷。其次是2003年世界最大的巨型城市地带(Megalopolis)纽约-芝加哥-多伦多地区11个州发生的大面积停电事故。
2 以规则、标准和法规来化解用户风险
目前工程责任人的“高风险”就是现在对事故防范于未然的过程。没有规则的道德防范、标准的技术防范、法规的行为防范,而只有事后法律的惩罚,令工程责任人处于困境,这是没有进行长期市场建设积累的后果。
(1)用市场的规则来降低用户风险
市场建设是从计划经济的行政干预过渡到市场经济中必不可少的程序。产品的第三方检验、测试实验室、技术推广与培训中心以及那些制造商与用户技术沟通的、非赢利的不代表某家公司利益的组织等等是市场规则的运行者。媒体在其中也作为一个重要的中立组织来运行上述规则。这些规则的运行者是“非盈利机构和个人”。用户与制造商可以从这些组织得到真实客观的知识,来分担他们的风险。当然,其成本应由咨询受益者支付。
(2)用标准化来界定用户风险
这首先是由有信誉的标准化机构来界定,在中国是政府机构,如中国国家标准化管理委员会(SAC)与中国国家认证认可监督管理委员会(CNCA)相应授权的测试实验室、第三方检验、鉴定、认可、认证机构。
(3)用国家标准来化解责任人的风险
如果工程负责人的行为是按照规则与标准化程序来行事,那就降低和限定了风险。如果这种降低与限定是符合国家标准GB或GB/T的,那么对工程与制造责任人的职业风险就会化解到安全的程度。
3 “功能安全措施”基本概念
与“风险”控制概念
“安全(Safe)”一般来看,就是“不出事故”。但这是一个绝对概念,事实上,没有绝对不出事故的社会,“绝对安全”是不可能的。
因此,科学地看待“安全性”或“安全措施”,用这个词来取代“安全”这个词。那这种措施是针对什么呢?在IEC61508-1998与GB/T20438.1-2006中的“安全性或安全措施概念”是“不存在、不可接受的风险”。通过这个定义,把“安全”的绝对概念转化为“安全措施”,使“风险”降到可接受的程度,而“风险”是可以控制的。
4 风险控制的步骤
风险控制的步骤如下:
(1)要确定受控制设备(EUC)的范围,及其与外部环境的相互作用。
(2)找出EUC与外部环境作用的“危险点”,对危险点计算或评估出其风险,是全面的计算“风险”,而不只是简单地计算MTBF。事实上,MTBF是必要技术条件而不是充分技术条件。
(3)明确上述风险在规则、标准中的目标,比较EUC危险点的风险值与法规允许风险值的差值,采取安全措施,这就是“安全措施”的操作程序,其概念可用图2表示。
由此明确“安全措施(Safety)”的概念就可看出前述的用MTBF为300年供电系统来保障100kW的UPS供电,既是浪费的,也存在着其它风险,却未能确保其安全性。由此可以深入到安全措施的完整性这一概念。
5 安全措施的完整性
安全措施的完整性就是针对上述挂一漏万的“安全措施”的漏洞而提出的。其定义如IEC61508:1998与GB/T20438,4-2006所述:“在规定条件下”和规定时间内,安全性相关系统成功实现所要求的安全措施功能的概率。安全措施的完整性有两类各4种级别。
对于具体工程的责任人根据国标法规、法律来首先设定工程的SIL等级，由上级批准后再来设计与选型。这样合法的设计，责任是量化的。使得工程责任人可以放心地考虑其系统的最优化。而不是重复保险的高度冗余及300年的MTBF。
6 在设定SIL时的重要
TÜV数据
根据欧盟对外国出口到欧盟的产品必须经过欧盟指定的检测、认可与认证机构TÜV(Technische Überwachen Verein),长期实践中积累的经验数据是“安全措施相关函数”。它是UPS/EPS设计与使用中,特别是设计中的“风险点数据”。
由此可见,作为典型的E/E/PE的UPS/EPS本身的失效起因比起用多种材料制成的传感器小很多,而有机械接触与动作的执行器则导致系统失效的概率最高!可以从上述IEC与GB/T的最高标准来论证与实现,标准模块、机箱、机柜、分布式的UPS/EPS能对大系统大大提高安全完整性。
7 UPS/EPS系统设计中的
标准化模块SIL的TÜV
数据根据
从上述“安全完整性”与“安全性措施”可知,把不可控“安全”化解为可控的“风险”出现概率的基本理念——新的国际标准与最新的国家标准，改进了MTBF与MTTR的经典观念，以考虑UPS/EPS的设计新概念。近年来,笔者发表了一系列的关于标准化模块的组合式与分布式的UPS/EPS文章，并已在较大的工程中实现。其中最优方案是在笔者发表的一些文章中指出的:一个标准电气—电子19英寸立柜中，一台受保护的主机(如服务器或雷达)、或通信主机或CAMAC测控主机、或NIM测控主机、或DCS测控主机、或PLC测控主机、或FCS测控主机,前置2台有补偿的cosφ≤0.95,功率均分并机的UPS，采用最短传输线,最少机械接触点的设计，而一个大型雷达导航系统,一个大型自动测检系统就有这样的大立柜几十个,这时TÜV“安全措施”相关函数中“失效概率”最低。
