基于保护层分析法的安全完整性等级评估方法研究及应用

赵东风，阚钰烽，韩丰磊

(中国石油大学(华东) a. 化学工程学院；b. 机电工程学院，山东 青岛 266580)

安全仪表系统(SIS)由传感器、逻辑控制器、执行器等构成，是广泛应用于油品、化工等流程工业的一类安全系统[1]，它可以持续监视工厂的生产运行状态，在危险发生时可采取提前设定的措施，尽可能地减少或避免人员伤亡和财产损失[2]。

炼油工业中，加氢装置的原料油缓冲罐是加氢装置中的重要设备之一[3]。某公司原料油缓冲罐规格为φ3 400 mm×11 000 mm的立式罐，罐的参数见表1所列，其操作压力为0.6 MPa，补氢压力为14.5 MPa，若进料系统动力中断，易发生高压窜低压现象。近年来由于各种原因发生窜压而导致反应罐爆炸的事故频发，2018年3月12日16时14分，九江石化炼油运行一部柴油加氢装置发生一起爆炸火灾事故，事故造成2人死亡，1人灼伤。

为了保障原料油缓冲罐的正常运行，防止窜压事故的发生，许多企业都采取了一系列的附加联锁保护措施，但这些措施都是依据工程经验添加的，不能科学地确定其合理性和可靠性。因此，本文依托exSILentia软件对原料油缓冲罐进行了安全完整性等级(SIL)的评估，并对此从安全仪表设计的合理性提出了建议。

表1 原料油缓冲罐参数

1 安全完整性等级的确定

安全仪表系统是被动的、休眠的，它不会动态的随着工艺流程的改变而改变，而是一直监视着工艺过程。当工艺参数触发预先设定的阈值时，就会执行预先设计的动作来阻止危险事件的发生。SIL等级就是衡量安全仪表系统在一定时间、一定条件下能够完成所要求的安全功能的概率[4]。但是，SIL也不是越高越好，过高的SIL会给企业造成经济负担。所以，最好的安全仪表系统应是风险与成本的平衡点。

对于安全仪表系统评估的指导，国外有许多相关标准，如IEC 61508[4]，IEC 61511[5]，ISA-TR84.00.02/ISA S84.00.01等。中国于2007年将IEC 61508[5]等同转化为GB/T 20438—2006《电气/电子/可编程电子安全相关系统的功能安全》，将IEC 61511[5]等同转化为GB/T 21109《过程工业领域安全仪表系统的功能安全》[6]；在2017年将GB/T 20438—2006更新为GB/T 20438—2017，并于2018年7月1日施行，是国内SIL评估工作的依据。此外，还有GB/T 50770—2013《石油化工安全仪表系统设计规范》，GB/T 32202—2015《油气管道安全仪表系统的功能安全评估规范》，GB/T 32203—2015《油气管道安全仪表系统的功能安全验收规范》，SY/T 10045—2003(等同采用ANSI/ISA 84.01—1996《工业生产过程中安全仪表系统的应用》)，AQ 3054—2015《保护层分析(LOPA)方法应用导则》，对于安全仪表系统的设计、评价有着非常重要的指导作用。

安全仪表功能(SIF)评估包括SIL定级和验证两部分： 前者是进行风险评估，明确安全仪表系统所需要承担的风险值；后者是可靠性评估，明确现有安全仪表系统可以承担的风险值。依据IEC 61508，安全仪表系统SIL的评估流程[7]如图1所示。

1.1 SIL等级定级

SIL定级的意义在于： 合理分配仪表资源，提高安全仪表系统的利用率，减少非计划停车次数，降低误停车带来的损失[8]；明确系统需要的SIL等级，降低过度保护带来的经济投入。

图1 安全仪表系统SIL评估流程示意

1) 根据GB/T 20438—2017，采用保护层分析法(LOPA)进行SIL等级确定，LOPA可容忍概率根据表2确定。LOPA削减后事件频率[9]为

(1)

表2 某公司风险可接受分析 a-1

2) 风险降低因子是消减后事件频率与可容忍频率的比值，依据LOPA确定SIL等级，IEC 61508[4]中对SIL等级的划分见表3所列。

表3 SIL等级的确定

1.2 SIL等级验证

SIL等级常见的验证方法有马尔科夫模型、故障树法、可靠性框图法。故障树法和可靠性框图法较为简单，但是对系统状态描述不精确；马尔科夫模型认为系统内单元有3个不同的状态： 正常、失效和中间状态[10]，如图2所示，一个圆圈指向另一个圆圈表示系统由一种状态转变为另一种状态，描述了系统随时间变化的行为[10]，而且该变化只与系统当前状态有关，与系统历史状态无关。这与E/E/PE系统失效的指数概率密度相符合，即马尔科夫模型非常适合用来计算E/E/PE系统的可靠性[10]。虽然马尔科夫模型建模困难、计算复杂，但是exSILentia软件[11]可以很好地解决该问题。exSILentia是由exida公司开发的一款软件，主要用于SIL等级验证、工艺危害分析、生命周期成本估计等，目前国内许多企业、高校均采用该软件进行功能安全相关的研究，在石油化工领域的认可度极高。

图2 马尔科夫模型示意

以“1oo1”模型为例，根据马尔科夫模型建立的模型如图3所示，其对应的马尔科夫矩阵[12]为

(2)

(3)

(4)

使用exSILentia验证步骤如下：

1) 针对SIF回路，在exSILentia中建立对应回路。

2) 在建立的SIF回路中选择传感器、逻辑处理器、执行器对应的元件规格。

3) 对于数据库中没有的失效数据可选择自行创建。

4) 使用exSILentia完成最终的SIL计算，并与目标等级对比；若不满足，则可对应提出改进措施。

图3 “1oo1”马尔科夫模型示意

2 原料油缓冲罐SIL评估案例分析

2.1 SIL评估

原料油缓冲罐是加氢装置中的重要设备之一，进装置原料油先进入原料油缓冲罐，然后经原料油升压泵抽出升压过滤后进入滤后原料油缓冲罐，由反应进料泵升压后与换热后的混合氢混合。该过程中，反应进料泵故障停机，泵出口流量降低，或者控制阀故障，依据工程经验，泵出口单向阀内漏概率较高，无法保证其可靠性，因此若动力系统中断，氢气极易反窜至滤后原料油缓冲罐，导致超压泄漏，严重时发生火灾、爆炸事故，造成人员伤亡。为了防止此类事故的发生，滤后原料油缓冲罐一般设置1套反应进料泵出口流量低低信号联锁系统，反应进料泵出口流量低低，联锁关闭调节阀。反应进料系统联锁逻辑如图4所示。

图4 反应进料系统联锁逻辑示意

表4 SIL定级分析结果

采用exSILentia软件进行验证，得到传感器、逻辑控制器和执行机构的PFDavg和MTTFS分别见表5和表6所列，各元件对PFDavg和MTTFS的贡献率如图5所示。

从表5和表6可以看出，传感器、逻辑控制器和执行机构的SIL均可以达到SIL2，但是原料油缓冲罐的SIL仍为SIL1。从图5可看出，传感器和逻辑控制器的安全度较低，是整个安全仪表系统的薄弱环节。而且，传感器对于PFDavg的贡献率为16.67%，对于MTTFS的贡献率为33.38%，这表明传感器在该SIF中对误停车造成的影响比功能安全要明显。

表5 传感器、逻辑控制器和执行机构的PFDavg和MTTFS

表6 功能安全参数

图5 各元件对PFDavg和MTTFS的贡献率

2.2 SIL评估后的改进措施

依据SIL评估结果，提出以下建议：

1) 对联锁回路的执行机构增设冗余结构，在反应进料泵出口增设关断阀，与调节阀构成冗余结构，经验算，满足SIL2要求。

2) 分析企业安全阀泄放量高压串入工况计算书或者更换安全阀，若满足高压串入工况，则可将SIL等级降为SIL1。

3) 换用可靠度高的执行机构，将调节阀LV2302替换为FC型(故障关)调节阀。

4) 分析各元件对PFDavg的贡献率，缩短检测周期为1 a，经验算，可满足SIL2。

5) 依据GB 50770—2013《石油化工安全仪表系统设计规范》7.3.4条款，调节阀加切断阀或者

2台切断阀可构成控制阀冗余，因此可在联锁中加装1台切断阀与调节阀LV2302构成冗余，经验算，满足SIL2要求。

3 结束语

为解决加氢装置中常见的窜压问题，以加氢装置原料油缓冲罐为研究对象进行SIL评估，找出联锁系统中的薄弱环节，并从安全仪表角度提出了解决窜压问题的措施。目前发生窜压事故的石化企业中，普遍存在采用人工联锁或安全仪表联锁系统设置错误等问题。通过对多个厂区多套加氢装置SIL评估以及结合现场实践经验，加氢装置防止高压窜低压事故发生的主要保护措施多为重要联锁的设置。在企业的实际生产运行中需保证该类重要联锁的投用，宜可通过设置冗余结构提高联锁的可靠性。在接受报警信号或联锁触发时，相关人员应严格执行操作规程中的相关要求，积极响应，重点检查关键阀门的关闭情况，防止加氢装置中高压物料窜入低压系统引发火灾爆炸事故的发生。