基于动态模拟的常压蒸馏装置SIL分析

王 雪，崔 哲，田文德

(青岛科技大学 化工学院，山东 青岛 266042)

石油化工行业工艺流程复杂，操作条件严格，物料多易燃、易爆，其对安全的要求相当严格[1-2]。石油化工行业中常压塔是研究的重点。2016年胡谨秋等[3]提出了格兰杰因果关系检验，并将其应用于常压蒸馏装置的故障诊断。2018年程光旭等[4]基于Aspen Plus模拟，实现了对常压塔顶系统初始冷凝水的pH值预测，为原油蒸馏常压装置的腐蚀预测与控制提供了科学依据。动态模拟能够将时间变量引入系统中，将控制理论、动态数据处理及热力学模型等有效地结合起来[5]。因此，2012年Luyben使用Aspen Dynamics研究了连续搅拌反应釜[6]和精馏塔[7]的动态安全响应时间。2017年凌昊等[8]基于Agrawal分壁精馏塔的稳态分析结果，在Aspen Dynamics中建立了5×5组分控制结构，对精馏塔进行了有效地控制。

安全仪表系统正广泛应用于过程工业中，保护人员、环境和物质资产免受危险事件的影响[9]。IEC61508要求在安全系统设计之前必须选择合理的安全完整性等级(SIL)[10]，用于指定安全系统执行的完整性要求。SIL有4个等级，其中SIL1安全要求最低，SIL4安全要求最严格。对于SIL等级小于1的联锁回路，定义其SIL为N/A，默认不需要设置联锁回路。自2005年起，国内外有关安全评价公司合作对首套国产加氢裂化装置进行SIL评估，并基于评估结果提出一系列建设性的建议[11]。2013年Kim等[12]根据IEC61508，由危害分析与风险评估得出安全要求，通过失效模式影响和诊断分析对火焰扫描系统进行了SIL评估。2016年Torres-Echeverria等[13]比较了保护层分析(Layers of protection analysis,LOPA)与风险图的优缺点，证明了LOPA方法是一种比风险图更为严密和综合的方法，但二者均未能处理常见故障。IEC61508和IEC61511提出了用于确定特定安全功能SIL定级的各种方法，但由于模型中的不确定性，这些方法针对相同的安全功能会得到不同的目标SIL。此外，安全分析虽然是石油化工过程评估的重要手段，但近年来的石油化工过程分析多以能量和经济等的优化为主[14-15]。因此，针对上述研究所存在的问题，笔者提出Dynamics-SIL(Dyn-SIL)动态风险分析方法，并将其应用于常压塔。首先采用传统的定性方法对常压塔顶压力联锁回路进行SIL评估，然后通过动态拉偏系统参数，模拟风险发生时现场的真实情况。并对蒸汽云爆炸情况进行了讨论，计算危害的影响范围，得出SIL评估结果。相比于传统的SIL分析方法，Dyn-SIL能够实时准确地定量分析SIL等级。

1 实验原料

本实验中使用的原料主要为马林原油和多巴原油。马林原油原产地巴西；多巴原油产自多巴油田。2种原油的主要性质如表1所示。

表1 马林(Malin)原油和多巴(Doba)原油的主要性质Table 1 Important properties of Malin crude oil and Doba crude oil

1)Before dehydration

2 常压蒸馏装置模拟

2.1 稳态模拟

Aspen Plus是集稳态模拟和动态模拟于一身的炼油厂建模和仿真工具[16]。该软件可对大量虚拟组分进行计算，适合模拟原油常压蒸馏过程。常压装置在常压条件下通过蒸馏将原油中的汽油、溶剂油、柴油馏分切割出来，达到生产合格产品及部分催化裂化原料的目标。在常压装置工艺流程中，原油的种类影响着装置运行参数的选取。本常压装置选用质量混合比为1/1的多巴原油和马林原油，采用PetroFrac及Flash 2模型模拟常压塔及闪蒸塔。笔者选择Braun K10[17]为物性方法，利用Aspen Plus根据工厂DCS图及实际数据实现了常压塔的稳态模拟，从而方便其导入动态，分析各变量的变化情况，并以此为依据进行SIL定级。常压装置模拟流程如图1所示。稳态模拟结果如表2所示。

图1 常压蒸馏装置稳态模拟流程图Fig.1 Flow diagram of the atmospheric distillation unit for the steady-state simulation

表2 常压装置流量及温度模拟数据与真实数据对比Table 2 Comparison of simulation data of flow and temperature with real data in the atmospheric column

由表2中模拟结果与设计值的比较可以看出，各物流的流量和温度模拟值与实际值基本一致，符合实际工厂生产情况，真实地还原了实际工艺。

2.2 动态模拟

图2为根据工厂控制需要添加控制器的常压蒸馏装置动态模拟流程图。

常压装置产品多易燃易爆，因此塔顶温度、压力的正常与否对流程的安全运行至关重要。笔者通过动态扰动，研究进料流量、压力、组成以及塔顶馏出量的变化对蒸馏过程的影响。图3为未添加控制器时常压蒸馏过程增加10%的原油进料流量扰动引起的塔顶、塔底、冷凝器三者的压力、温度及塔釜液位变化。

由图3可知，面对外来扰动，无控制器时塔的温度、压力均持续增长，塔釜液位也发生非正常波动，危险性极高。为此，笔者根据工厂实际安全需要添加了塔底温度、塔顶压力、进料流量等控制器，控制器的控制效果直接影响装置的危害发生概率。动态模拟能够对塔内变量实时观测，通过添加扰动，观察塔的压力、温度及塔底液位的变化情况，依据变化情况判断现有控制器是否可起到安全控制的作用，然后通过参数拉偏，确定控制器控制效果及面对外来扰动各变量的变化情况。

图2 添加控制器的常压蒸馏装置动态模拟流程图Fig.2 Flow diagram of atmospheric distillation unit with controllers

图3 常压蒸馏装置无控制器时原油进料扰动的影响Fig.3 Influence of crude oil feed disturbance without controller in the atmospheric distillation unit(a)Change of p;(b)Change of TT and TCon;(c)Change of TB;(d)Change of LBpT—Pressure at top of atmospheric column;pB—Pressure at bottom of atmospheric column;pCon—Condenser pressure;TT—Temperature at top of atmospheric column;TCon—Condenser temperature;TB—Temperature at bottom of atmospheric column;LB—Liquid level at bottom of atmospheric column

图4为运行1.5 h时增加10%的原油进料流量扰动引起的塔顶、塔底、冷凝器三者的压力、温度及塔釜液位变化情况。可见正常状态下控制器控制良好，虽然在1.5 h时面对扰动塔的压力、温度，塔釜液位发生了一定程度的变化，但在控制器的调节作用下，于第4 h恢复平稳运行。此时，塔釜液位恢复初始值，塔顶压力、温度降低在可接受范围内，因此在扰动较小时控制器达到了预期的控制效果。

图4 常压蒸馏装置有控制器时原油进料扰动影响Fig.4 Influence of crude oil feed disturbance with controller in the atmospheric distillation unit Same legends as in Fig.3

3 SIL分析

GB/T 20438—2006将SIL定义为一定时间、一定条件下，安全相关系统执行其所定义的安全功能的可靠性[18]。SIL评估作为一种工程风险分析方法，对工艺危险性、设备可靠性及保护充分性进行整合，具有指导性意义[19]。笔者利用动态模拟对SIL进行定量分析，并对比了传统SIL分析与Dyn-SIL分析的准确性。

3.1 传统SIL定性分析方法

传统的SIL定性分析方法是专家通过学科知识与经验商讨后，对某一事故造成的影响概率进行的分析。以往研究表明，塔内温度、压力过高是塔设备容易出现的安全问题，而常压蒸馏装置包含多种危险性原料、中间料及最终产品。管线、换热器、泵及常压塔法兰密封处都有发生泄漏的可能，从而导致爆炸。据有关数据显示[20]，爆炸频率约为10-1。因此笔者参考已有专家经验对图5所示的常压塔顶压力高-高联锁回路进行分析。

图5为常压塔顶压力高-高联锁切断蒸汽进料回路和塔顶压力高-高联锁切断原油进料回路。联锁回路由传感器、逻辑单元和执行单元组成。当塔顶压力高于基本控制器的控制能力时，控制器失效，常压塔顶压力表PI1201监测到压力的非正常变化后，将信号传递给逻辑单元，逻辑单元根据压力变化情况指导切断常压塔进料阀XV3104A和蒸汽进料阀XV3104B。

冷凝器失效、蒸汽进料量增大及原油进料量减少均有可能导致塔顶压力异常。参考已有专家经验[21]，塔顶压力异常可能导致设备超压泄漏，引起火灾爆炸造成人员伤亡，后果等级为4，即界内 1～2 人死亡或5人永久失能伤害；装置单元外泄，对环境造成的后果等级为2；损失0～10000元，对财产造成的后果等级为1。根据IEC61508及不完全统计，SIL定级中压力过高造成的目标风险值为10-5。此时，中间事件的可能性为10-4，要求失效概率(Probability of failure on demand,PFD)与中间事件可能性的乘积为目标风险值[22]，因此计算可得要求失效概率为10-1，由表3可得SIL等级为 N/A。同理可得，环境完整性等级及财产完整性等级均为 N/A，即塔顶无需设置联锁回路。将上述分析所得概率列入表4。

图5 常压蒸馏装置压力高-高联锁回路Fig.5 High-high pressure interlock circuit of the atmospheric distillation unit

表3 安全完整性等级(SIL)与要求失效概率(PFD)Table 3 Safety integrity level (SIL)and probability of failure on demand (PFD)

表4 常压塔顶联锁回路传统SIL分析Table 4 Traditional SIL analysis of atmospheric pressure column interlocking loop

传统的SIL分析是一种定性的分析方法，主观性强。因此，笔者提出了定量分析方法Dyn-SIL对相同的回路重新进行SIL定级。

3.2 Dyn-SIL分析

因基本过程控制系统(Basic process control system,BPCS)与初始事件频率无关，故2.2节中所加控制器可视为独立保护层(Independent protective layer,IPL)。独立保护层的失效频率是指在特定时间间隔内，某一系统或元件针对要求指令不能正确地做出反应的概率。目前国际上有数个组织对设备失效频率进行统计并在业内发布，包括英国HCR(Hydrocarbon release)数据库、OREDA数据库、E&P论坛数据库等。参考其统计数据可知，BPCS对设备的失效频率为0.10。下面以原油进料压力扰动为例说明Dyn-SIL分析过程。图6为增加10%原油进料压力扰动时塔顶产品的质量流量变化情况。

图6 常压蒸馏装置压力扰动的影响Fig.6 Effect of pressure disturbance in the atmospheric distillation unitF—Mass flow;F1—Mass flow of gas on the top of this column;F2—Mass flow of gasoline on the top of this column

由图6可知，进料压力升高时，塔顶天然气产量降至为0，而汽油产量仅增加了0.51%，故总产量降低。当塔顶未设安全阀时超压无法释放，严重时会导致塔设备损坏，造成巨大的经济损失和人员伤亡。设置安全阀时，虽然降低了危险发生的概率，但泄放量的计算较为复杂。安全阀的类型、安装位置、故障不同，其泄放量的计算方式也会发生变化。泄漏公式中润湿面积、最大传热量、混合物的汽化潜热、比热容等数据不易获得，增大了计算的难度。基于此，通过动态模拟再现实际工艺流程，实时监测动态数据，可以方便地观察每时每刻泄放量的大小。然后通过拉偏参数，就可以快速地观察泄放量的变化情况。

图2中的PV即为所添加的安全阀，阀门直径为0.30 m，安全阀的控制阀特性(Valve characteristics)设置为全启式(Quick-opening)。即当安全阀入口压力达到其设定压力时，阀瓣迅速上升至最大高度，最大限度地排出超压物料。在控制器的控制作用下，安全阀的泄放量与温度、压力的变化情况如图7所示。

图7为使用动态模拟添加20%的蒸汽进料流量扰动使塔顶温度、压力升高的情况。由图7可知，虽然塔顶温度、压力升高但并未持续增长，而是在可接受范围内恢复了平稳运行。面对扰动，泄放量从12.00 kg/h增大到了14.00 kg/h。因产物多易燃易爆，故安全阀泄放物可能在塔顶与空气混合造成蒸汽云爆炸，对邻近设备危害较大。但因泄漏量很少，故爆炸概率很低。通过计算，其对方圆30.00 m的危害情况如图8所示[23-25]。可见距离常压塔0～10.00 m 的范围内，爆炸对邻近设备的影响大于80%；当超过15.00 m时，其影响低于40%。

笔者采用Dyn-SIL对常压塔顶压力联锁回路进行评估，与传统SIL分析中造成塔顶压力高-高的原因相同，事故引发原因的发生频率一致。但事故发生后造成的后果等级不同，Dyn-SIL通过定量分析得出的后果等级更为严重。参考IEC61508第五部分有关风险的基本概念与安全完整性关系，其概率在表5中列出。

表5为冷凝器失效、蒸汽进料量增大及原油进料量减少等原因导致塔顶压力异常时的Dyn-SIL分析。参考中国石油化工行业风险矩阵及后果严重性等级说明，对于蒸汽云爆炸造成的后果等级定为5，即界区内3～9人死亡，10～50人重伤。且由图6可知，当流量增大时，塔顶产品产量总体呈下降趋势。天然气售价按市售价3.10元/m3计算，每年由此造成的直接经济损失为1.36×106元左右，因此由后果严重性等级可得出其对经济造成的后果等级为3。塔顶泄放物会对当地公共设施的日常运行造成干扰，由后果严重性等级说明可得出其对环境造成的后果等级为2。独立保护层通过BPCS及安全阀来降低事故发生的可能性。根据IEC61508及不完全统计，SIL定级中压力过高造成的目标风险值为10-6。在其他条件不变的情况下，不加安全阀时，塔顶压力过高无法释放，从而造成塔设备损坏，物料大量外泄，危险发生概率增加。此时，中间事件的可能性为10-2，计算可得出要求失效概率为10-4，因此SIL等级为3。添加安全阀时，中间事件可能性为10-4，此时要求失效概率为10-2，SIL等级为1。环境完整性等级低于1，财产完整性等级低于1。风险不能被接受，建议增加塔顶压力高-高联锁回路。因此，对装置进行SIL定级有利于把握安全仪表系统的设计、选型、配置、测试，进而得以降低风险和成本，确保装置的安全运行。

图7 常压蒸馏装置蒸汽进料扰动的影响Fig.7 Influence of steam feed disturbance in the atmospheric distillation unit(a)Change of TB;(b)Change of pT;(c)Leakage changeTB—Temperature at bottom of atmospheric column;pT—Pressure at top of atmospheric column

图8 蒸汽云爆炸的影响Fig.8 Influence of steam cloud explosionD—The distance between the target and the atmospheric column

表5 常压塔顶联锁回路Dyn-SIL分析Table 5 Dyn-SIL analysis of atmospheric pressure column interlocking loop

3.3 常压蒸馏装置联锁的SIL分析结果验证

因传统SIL分析与Dyn-SIL分析得出了不同的SIL等级，故笔者对常压塔顶压力高-高联锁切断蒸汽回路及压力高-高联锁切断进料回路的控制效果进行了分析。图9为无联锁回路时控制器失效导致的塔顶压力的变化情况。

由图9可知，在1 h添加扰动使压力发生非正常波动；1～5 h内在控制器控制下压力上升幅度较小；接近6 h时扰动超出基本控制器的控制范围，控制器失效，压力直线上升，存在着较大的安全隐患。

图9 常压蒸馏装置无联锁回路时基本控制器失效引起的塔顶压力变化Fig.9 Change of pCon caused by basic controller failure without interlocking circuit in the atmospheric distillation unitpCon—Pressure of condenser

设置塔顶压力高-高联锁回路，模拟控制器失效时塔顶压力的变化情况。联锁回路的传感单元感受到压力的不正常变化，将信息传递给逻辑单元，逻辑单元接收到信息后，指导执行单元通过切断蒸汽及进料阻止压力的非正常变化，联锁回路控制效果如图10所示。

图10 常压蒸馏装置联锁回路控制效果Fig.10 Interlocking loop control effect in the atmospheric distillation unitpCon—Pressure of condenser

由图10可知，在接近6 h时，塔顶压力高-高联锁回路开始作用，切断蒸汽进料阀(热源)及原料进料阀。因此，在5.80～6.20 h时压力迅速降低，在6.20 h时接近初始压力且保持稳定。所以在基本控制器失效的情况下，塔顶压力高-高联锁起到了较好的控制效果，降低了风险。因此有必要设置塔顶压力高-高联锁回路，证明Dyn-SIL的分析结果更为准确。

4 结 论

(1)利用Aspen Plus建立石油常压蒸馏装置，模拟结果与实际工艺基本相符，保证了动态模拟对现实工况的真实反映。

(2)运用传统的SIL分析方法得出常压塔顶压力高-高联锁回路的SIL等级为N/A，不需要设置塔顶压力高-高联锁切断蒸汽回路及塔顶压力高-高联锁切断原油进料回路。

(3)通过动态模拟解决了泄放量计算难的问题，然后通过拉偏进料量、压力，分析了进料状态扰动产生的后果。当因冷凝器失效等原因造成压力过高时，安全阀泄放可能导致蒸汽云爆炸，所以对蒸汽云爆炸影响进行了分析，得出塔顶压力高-高联锁回路的SIL等级为1，需设置SIL1的塔顶压力高-高联锁切断蒸汽及原油进料回路。

(4)分别模拟有无联锁回路的情况下，控制器面对较大扰动的控制效果。结果表明，无联锁回路时控制器失效会发生较大安全隐患。有联锁回路时，控制器失效后联锁回路起到了较好的控制作用，降低了风险，从而证明了笔者提出的Dyn-SIL准确性更高。

(5)从定量分析的角度提出的Dyn-SIL，在不影响准确性的前提下，满足了安全分析需要。