原料药加氢反应釜自控设计若干问题的探讨

（正大天晴药业集团股份有限公司，江苏连云港 222062）

加氢反应（Hydrogenation Reaction）是在化合物分子中加入氢原子的反应，涉及加氢反应的工艺过程称为加氢工艺，主要包括不饱和键加氢、芳环化合物加氢、含氮化合物加氢、含氧化合物加氢、氢解等[1]。

加氢反应是氢与其他化合物相互作用的反应过程，通常是在催化剂存在下进行。原料药生产经常会遇到催化加氢反应，在含钯或铂、镍等成分催化剂的作用下，降低反应物分子从常态转变为容易发生化学反应的活跃状态所需要的活化能量，改善反应条件，加快反应速度。加氢工艺是《重点监管危险化工工艺目录》（2013年完整版）18 种“高危工艺”之一。加氢工艺的危险特点有：① 反应物料具有燃爆危险性，氢气的爆炸极限为4%～75%（V/V），具有高燃爆危险特性；② 加氢为强烈的放热反应，氢气在高温高压下与钢材接触，钢材内的碳元素易与氢气发生反应生成碳氢化合物，使钢制设备强度降低，发生氢脆；③ 催化剂再生和活化过程中易引发爆炸；④ 加氢反应尾气中有未完全反应的氢气和其他杂质在排放时易引发着火或爆炸[1]。

另外，氢气也是《重点监管的危险化学品名录》（2013年完整版）74 种“高危化学品”之一。氢气的危害信息有：① 燃烧和爆炸危险性，极易燃，与空气混合能形成爆炸性混合物，遇热或明火即发生爆炸；比空气轻，在室内使用和储存时，漏气上升滞留屋顶不易排出，遇火星会引起爆炸；在空气中燃烧时，火焰呈蓝色，不易被发现；② 活性反应，与氟、氯、溴等卤素会剧烈反应；③ 健康危害，为单纯性窒息性气体，仅在高浓度时，由于空气中氧分压降低才引起缺氧性窒息；在很高的分压下，呈现出麻醉作用[2]。

原料药加氢反应通常采用传统的釜式反应器，采用瓶装高压高纯氢气和氮气，间歇批次生产，反应药液一次性投加后，氮气置换除去氧气，升压进行反应，反应完毕后泄压，氮气置换除去氢气，放出药液进入下道工序。在以往的原料药加氢生产过程中，通常会大量依靠操作员工体力劳动，人工开关阀门，或采取少量不十分规范的自动控制，不仅费时费力，产品质量稳定性差，而且带来较高的安全风险隐患。例如，氢气在管道内输送时有安全流速要求，流速不能过快，当设计压力在3.0 MPa 以上时，氢气在碳素钢管道内最大流速不能超过10 m/s[3]，否则会造成安全隐患，如果没有安装氢气流量计进行自控操作则很难满足此类要求。为了提高生产效率、保证产品质量、减轻操作人员劳动强度，特别是降低安全风险，原料药加氢反应必须配备安全可靠、实用可行、技术先进的自控系统。

1 问题的提出

2018年5月3日，某公司加氢车间发生釜内闪爆，事故导致1 人死亡，直接经济损失144.6 万元。事故直接原因是，操作人员违章作业，在氢化釜人孔打开状态下，未充氮气保护，反而打开真空泵，导致大量空气吸入反应釜内，与乙醇蒸汽形成爆炸性混合气体，同时催化剂雷尼镍（Raney-nickel Catalyst）遇空气自燃，引发闪爆，是此次事故发生的直接原因[4]。

2015年12月18日，某高校实验室进行催化加氢实验，加氢釜附近的氢气瓶意外爆炸起火，导致1人死亡[5]。

著名的安全管理专家海因里希（Heinrich）提出“300-29-1”模型，即当累计有300 起隐患或违章（Near-miss Incidents with No Injuries）的时候，非常可能要发生29 起轻伤或故障（Accidents with Minor Injuries），另外还有1 起重伤、死亡事故（Major Injuries，Death）。他还指出：仅有2%的安全事故是不可预防的（Unpreventable），属于天灾（Acts of God）；88%的安全事故是由人的不安全行为（Unsafe Acts）引起的，是可以预防的（Preventable）；10%的安全事故是由物的不安全状态（Unsafe Conditions）引起的，也是可以预防的[6]。

为了最大限度地降低加氢工艺过程安全风险，应尽量减少人的不安全行为，人在操作上总会有或多或少的失误，必须采用相应的技术措施来解决人的失误。人的行为管控或多或少存在不到位现象，需要多采用自动化、智能化装备[7]。

根据国家安监总局2017年《化工和危险化学品生产经营单位重大生产安全事故隐患判定标准（试行）》要求，我国原料药生产企业的加氢反应釜装备应实现自动化控制，实现紧急停车功能，装备的自动化控制系统、紧急停车系统应投入使用；涉及氢气泄漏的场所应按国家标准设置氢气检测报警装置，氢气爆炸危险场所应按国家标准安装使用氢气防爆电气设备；加氢生产装置应按国家标准要求设置双重电源供电，自动化控制系统应设置不间断电源；并应按规范性文件要求开展加氢反应安全风险评估。

图1是GB/T 50770—2013《石油化工安全仪表系统设计规范》[8]提出石油化工工厂或装置的典型多保护层模型，各PL 保护层（Protection Layer）通过相应的控制（Control）、预防（Prevention）、减缓（Mitigation）等手段来降低风险，通过合适的保护层安全功能分配（Allocation of Safety Functions to Protection Layers），可以将装置原有风险大幅降低至可接受范围（Tolerable Risk）。据此可知，为了降低原料药加氢反应釜的安全风险，采用的保护层通常有：最基本的BPCS 基本过程控制系统（Basic Process Control System），过程报警及操作员干预，SIS 安全仪表系统（Safety Instrumented System），安全阀、爆破片等安全附件保护，加氢间隔爆墙及安全间距等物理保护，火灾消防等应急响应保护。为了实现原料药加氢反应的正常工艺生产和安全受控，其自控设计分为2 种，即BPCS 基本过程控制系统和SIS 安全仪表系统。

图1 石油化工工厂或装置的典型多保护层示意 [8]Fig.1 Typical multiprotection layer model diagram of petrochemical plant or device

BPCS 是响应过程测量及其他相关设备、其他仪表、控制系统或操作员的输入信号，按过程控制规律、算法、方式，产生输出信号实现过程控制及其相关设备运行的系统[8]。BPCS 用于生产过程的连续测量、常规控制、连续控制、顺序控制、间歇控制、操作管理等，保证生产装置的平稳运行。在石化装置中，基本过程控制系统通常采用DCS 分散控制系统（Distributed Control System）。DCS 系统相比SIS系统而言是“动态的”，DCS 系统始终对过程变量连续进行检测、运算和控制，对生产工艺过程进行动态控制。SIS 系统相比DCS 系统而言是“静态的”，如果把EUC 受控装置（Equipment Under Control）比喻成“劳动者”，DCS 系统好像“台前的监督者”，那么SIS 系统就好像“幕后的保护者”。在正常工况时，SIS 系统“袖手旁观”，对生产过程不产生影响，但在遇到非正常工况、产生安全风险时，则立即按照预先的设计进行逻辑运算、产生输出信号、开关相应阀门，如关闭紧急切断阀（Shutdown Valve），打开紧急开启阀（Vent Valve）等，使受控装置安全联锁、停车或泄压等，回到安全状态。

安监总管三[2014]116 号文《关于加强化工安全仪表系统管理的指导意见》[9]指出，从2018年1月1日起，所有新建涉及“两重点一重大”（即重点监管危险化学品、重点监管危险化工工艺和危险化学品重大危险源）的化工装置和危险化学品储存设施要设计符合要求的安全仪表系统；其他新建化工装置、危险化学品储存设施安全仪表系统，从2020年1月1日起，应执行功能安全相关标准要求，设计符合要求的安全仪表系统。

故在原料药加氢反应釜自控设计中，应按工艺技术特点和安全法规要求，对具体的加氢反应工艺过程进行科学合理的工艺过程分析和安全风险评估审查，并据此有针对性地进行DCS 系统和SIS 系统的自控设计，使得加氢反应釜既能够在工艺过程正常运行，生产出质量合格的加氢反应产物，又能够长期安全可靠地运行，保护人身财产安全。

2 加氢釜DCS 系统设计

DCS 分散控制系统，又称分布控制系统、集散控制系统，采用控制分散、操作和管理集中的基本设计思想，采用多层分级、合作自治的结构形式。其主要特征是集中管理和分散控制。目前DCS 系统在石化、电力、冶金等行业都获得了广泛应用。

原料药加氢工艺为了获得科学合理的DCS 控制方案，必须对加氢工艺本身进行规范性的安全风险评估，从而有的放矢，有针对性地进行DCS 自控设计。

原料药加氢工艺，通常使用间歇式加氢反应高压釜，釜内液位是事先计算好的，反应过程中不用监控液位。具体工序是先将上一工序含有原辅料、催化剂、溶剂等的混合料液一次性转移至加氢反应釜中，关闭进药料阀，开启搅拌，设置初始搅拌转速，通入高压高纯氮气至釜内压力0.5～1.0 MPa，泄压至0.1～0.2 MPa 后，再重新通入高压高纯氮气至釜内压力0.5～1.0 MPa，置换釜内空气，重复置换若干次，至釜内氧气含量小于0.5%（V/V）[3]。再通入高压高纯氢气升压至反应所需压力，调节反应釜转速至反应转速，保持釜内温度在反应温度范围内反应若干小时。反应完毕后，泄压至0.1～0.2 MPa，通入高压高纯氮气至釜内压力0.5～1.0 MPa，置换釜内氢气若干次。置换氢气完毕后，使釜内压力恢复至常压，并保持适当氮封正压，以防止外界空气返流进入釜内，釜内温度至合适的工艺温度后，开启釜底出药料阀，将料液压滤转移至下一工序。

加氢工艺的安全风险评估通常采用HAZOP 危险和可操作性分析（Hazard and Operability Analysis），利用引导词（Guide Words），如偏高、偏低等，对工艺参数（如温度、压力等）逐一排查，分析可能的偏差（Deviations），产生的原因（Causes），导致的后果（Consequences），拟采用的安全应对措施（Countermeasures）等。HAZOP 安全分析的优点显而易见，考虑周全、分析结果完整无缺漏，缺点是对复杂工艺而言过程较为繁琐。

通过分析原料药加氢工艺的安全风险，与加氢釜DCS 自控系统相关的安全后果较严重的偏差通常有釜内温度偏高、釜内压力偏高等，根据偏差分析采取相应DCS 自控应对措施，具体如表1所示。

表1 原料药加氢釜安全偏差及DCS 系统控制措施Tab.1 Simple list of safety deviations &DCS countermeasures of hydrogenation reactor in APIs workshop

综上分析，可知原料药加氢釜的DCS 自控工艺方案有：

（1）DCS 监测加氢反应釜的温度信号TT-101，超高限值声光报警。超高高限值联锁关闭氢气进切断阀XV-101，同时联锁关闭热水进水阀XV-102、热水回水阀XV-103，同时联锁打开冷水进水阀XV-104、冷水回水阀XV-105，通入冷水降温。

（2）DCS 监测加氢反应釜的压力信号PT-101，超高限值声光报警。超高高限值联锁关闭氢气进切断阀XV-101，同时联锁关闭热水进水阀XV-102、热水回水阀XV-103，同时联锁打开冷水进水阀XV-104、冷水回水阀XV-105，通入冷水降温。

（3）DCS 监测加氢反应釜的搅拌电机电流信号IT-101，超高限值声光报警。超高高限值联锁关闭氢气进切断阀XV-101，同时联锁关闭热水进水阀XV-102、热水回水阀XV-103，同时联锁打开冷水进水阀XV-104、冷水回水阀XV-105，通入冷水降温。

（4）DCS 监测加氢反应釜的搅拌电机电流信号IT-101，超低限值声光报警。超低低限值联锁关闭氢气进切断阀XV-101，同时联锁关闭热水进水阀XV-102、热水回水阀XV-103，同时联锁打开冷水进水阀XV-104、冷水回水阀XV-105，通入冷水降温。

（5）DCS 监测加氢反应釜的氧含量信号OT-101，超高限值声光报警，提示加氢反应前空气置换不合格，DCS 系统联锁无法进行下一步反应操作。

（6）DCS 监测加氢反应釜的氢气流量信号FT-101，超高限值声光报警。超高高限值联锁关闭氢气进切断阀XV-101。

（7）加氢反应过程中，DCS 系统能控制釜内正常的工艺温度范围，当反应釜内温度低于正常范围时，夹套介质阀门自动联锁打开或关闭，切断冷水和（或）通入热水；当反应釜内温度高于正常范围时，夹套介质阀门自动联锁打开或关闭，切断热水和（或）通入冷水。

（8）加氢反应过程中，DCS 系统能控制釜内正常的工艺压力范围，当反应釜内压力低于正常范围时，自动补充氢气至工艺压力范围内。

（9）加氢反应过程中，DCS 系统能控制适当的工艺搅拌转速。

（10）其他辅助控制手段：在反应釜上设置爆破片，爆破片的爆破压力值为实际反应压力值的1.05～1.1 倍。当反应釜内压力过高时，爆破片自动泄压，以保证反应釜的安全操作。另外，加氢间应按规范设置氢气传感器和其他有毒有害气体、可燃气体传感器，当加氢间氢气浓度达到0.4% V/V 时，应联锁开启事故排风机[3]。

3 加氢釜SIS 系统设计

SIS 安全仪表系统独立于过程控制系统，能够独立完成具体的一个或若干个SIF 安全保护功能（Safety Instrumented Function）。SIF 是为了防止、减少具体的危险事件发生或保持过程安全状态，用测量仪表（如温度变送器、压力变送器等）、逻辑控制器、最终元件（如控制阀等）及相关软件等实现的安全保护功能或安全控制功能[8]。某个受控装置可以有若干个SIF，每个SIF 针对特定的安全保护回路。

SIS 系统设计主要有五大原则，即安全可靠且合理可用原则，SIS 系统必须具有与受控装置安全危险严重程度相匹配的安全保护能力；独立原则，不受外来干扰能够独立完成安全保护任务；简练快速原则，尽量减少中间环节快速执行保护动作响应；冗余容错原则，多重独立组件，互为备用切换；故障安全原则，即使自身发生故障也能完成安全保护任务。当受控装置的DCS 系统和人员手动安全干预控制均失效，出现安全危险时，SIS 系统能够及时准确执行保护动作，自动将装置转入安全状态。SIS 系统的设计理念是“平时不出手，危急时刻能救难”，不仅在受控装置等处于危险状态“要求（Demand）”安全保护响应时，马上执行安全保护功能，不能拒动作、不帮忙，而且在受控装置处于非危险状态暂不“要求”执行安全保护响应时，不能误动作、帮倒忙。

根据安全功能的按需执行次数是否大于每年1 次，分为低要求操作模式（Low Demand Mode of Operation）和高要求或连续模式（High Demand Mode or Continuous Mode of Operation）。为了定量分析SIS 系统和生产装置的安全性，基于IEC 61508 和IEC 61511（我国采用的等同标准分别是GB/T 20438和GB/T 21109），在低要求操作模式下，用PFDavg平均失效概率（Average Probability of a Dangerous Failure on Demand of the Safety Function）来定量分级；在高要求或连续模式下，用PFH 危险失效频率（Average Frequency of a Dangerous Failure of the Safety Functionper Hour）指标来衡量。共划分了四个SIL 安全完整性等级（Safety Integrity Level，又称安全度等级），即从SIL1 至SIL4。通常，石油化工工厂和装置的安全仪表系统工作于低要求操作模式，安全仪表系统动作频率不大于每年1 次[8]。对于石油化工工程或装置而言：

SIL1 级，指装置很少发生事故，即使发生事故，也不会立即造成环境污染和人员伤亡，经济损失不大。用于本级别的安全仪表系统，仅对少量的财产和简单的生产和产品进行保护，此级别的PFDavg低于十分之一，即安装了SIL1 保护系统的受控装置发生事故概率将下降10 倍以上。

SIL2 级，指装置可能偶尔发生事故，如发生事故，对装置和产品有较大的影响，并可能造成环境污染和人员伤亡，经济损失较大。用于本级别的安全仪表系统，能够对大量的财产和复杂的生产和产品进行保护，也对生产操作人员进行保护，此级别的PFDavg低于百分之一，即安装了SIL2 保护系统的受控装置发生事故概率将下降100 倍以上。

SIL3 级，指装置可能经常发生事故，如发生事故，对装置和产品将造成严重影响，并造成严重环境污染和人员伤亡，经济损失严重。用于本级别的安全仪表系统，能够对工厂的财产、全体员工的生命和整个社区的安全进行保护，此级别的PFDavg低于千分之一，即安装了SIL3 保护系统的受控装置发生事故概率将下降1 000 倍以上。

在石油化工领域最高安全完整性等级为SIL3，SIL1 为最低安全完整性等级。SIL4 级用于避免灾难性安全事故，如核事故等，此类事故会对整个社区形成巨大灾难的事故，用于SIL4 级别的安全仪表系统的PFDavg低于万分之一，即安装SIL4 安全仪表系统的装置发生事故概率将至少下降1 万倍。SIL 等级越高，安全仪表功能失效的概率越低，其安全保护能力就越强，装置就越不容易发生安全事故。当多个安全仪表功能在同一个安全仪表系统内实现时，系统内的共用部分应符合各功能中最高安全完整性等级要求。石油化工工厂或装置如果在确定安全完整性等级时，有可能达到SIL4，应重新分配保护层的安全功能，或采用多个独立的安全仪表功能，使安全完整性等级不高于SIL3[8]。

原料药加氢反应釜SIS 系统设计应根据加氢工艺过程危险分析和保护层安全功能分配，兼顾安全性和可用性。对于特定的危险事件（Specified Hazardous Events），通常可以分析其4 个风险因素（Risk Parameters）：S-对人员伤害后果严重程度（Consequence of the Hazardous Event）、A-暴露于危险区的时间频繁程度（Frequency of Presence in the Hazardous Zone Multiplied with the Exposure Time）、G-避免伤害后果的可能性（Probability of Avoiding the Consequences）、W-不希望发生事件的发生可能性（Probability of the Unwanted Occurrence）[10]，确定其风险高低程度。针对特定的危险事件，分析具体的工艺技术特点，采用相应的自控联锁应对措施，形成联锁保护回路。对各个具体的安全保护功能进行安全完整性等级评估，确定每一个SIF 的安全完整性等级，SIL 评估宜采用集思广益的评估审查会方式，参会人员宜包括工艺、过程控制（仪表）、安全、设备、生产操作及管理等方面[8]。原料药加氢釜危险事件及SIF 回路清单具体如表2所示。

表2 原料药加氢釜危险事件及SIF 回路简表Tab.2 Simple list of hazardous events &SIFs of hydrogenation reactor in APIs workshop

由此可知，原料药加氢反应釜的SIS 自控方案有以下2 个SIF 回路组成：

1# SIF 回路：

SIS 系统对加氢釜内的压力进行指示、记录、报警、联锁控制，压力变送器PT-102、PT-103 与釜内氢气进紧急切断阀XZV-101、排空紧急开启阀XZV-102 联锁。

当压力超高限值时声光报警，并联锁关闭氢气进紧急切断阀XZV-101，切断氢气进入以防止釜内压力继续升高。

当压力超高高限值时，联锁打开放空紧急开启阀XZV-102，泄压以降低釜内压力。

2# SIF 回路：

SIS 系统对加氢釜内的温度进行指示、记录、报警、联锁控制，温度变送器TT-102 与夹套热水进水阀XZV-103、热水回水阀XZV-104、专用冷水进水阀XZV-105、备用冷水进水阀XZV-106、专用冷水回水阀XZV-107、备用冷水回水阀XZV-108 联锁。

当温度超高限值时声光报警，并联锁关闭热水进水阀XZV-103、热水回水阀XZV-104，切断热水进入以防止釜内温度继续升高；同时联锁打开专用冷水进水阀XZV-105、备用冷水进水阀XZV-106、专用冷水回水阀XZV-107、备用冷水回水阀XZV-108，通入冷水以降低釜内温度。

在SIS 系统具体选型设计时，SIF 回路的各硬件选型应满足表3要求，SIF 回路系统的设计应根据各子系统的PFD 计算公式（常用的计算公式如表4所示），分析计算用参数，如MooN 架构形 式（Architecture，M out of N）、SFF 安全失效概率（Safe Failure Fraction）、HFT 硬件故障裕度（Hardware Fault Tolerance）、λDU未被检测到的危险故障率（Dangerous &Undetectable Failure Rate）、λDD被检测到的危险故障率（Dangerous &Detectable Failure Rate）、T1检验测试间隔时间（Proof Test Interval，单位h）、MTTR 平均恢复前时间（Mean Time to Restoration，单位h）、MRT 平均修复时间（Mean Repair Time，单位h）、β 未被检测到的共因失效因子（Fraction of Undetected Failures That Have a Common Cause）、βD被检测到的共因失效因子（Fraction of Detected Failures That Have a Common Cause）等，进行重新计算验证，并与SIL 定级时所需要的SIL 等级进行对比，以便确认经过设计、安装之后所构成的SIF 是不是真正达到当初所要求的风险降低能力。

表3 SIF 回路上的硬件选型表[11]Tab.3 Hardware selection table of SIF loop

表4 SIF 回路子系统的PFDavg 常用计算公式 [12]Tab.4 PFDavg common calculation formulas of SIF subsystems

图2是原料药加氢釜SIS 自控系统流程图示例，在加氢间内，自控系统的现场测量仪表、执行元件等均采用防爆型，防爆等级不应低于Exd ⅡCT4，最终执行元件均选用气动阀。在加氢间爆炸危险场所，测量仪表、最终元件应采用隔爆型或本安型，当采用本安系统时，应采用隔离式安全栅。在管道及仪表流程设计上，在气瓶氢气进釜的管道上串联安装了氢气质量流量计、SIS 紧急切断阀、DCS 调节阀和DCS切断阀，既实现了正常工艺氢气压力调节，又实现了氢气安全流速及安全切断。加氢釜放空管道采用SIS紧急开启阀和DCS 调节阀开关阀并联安装，兼顾了安全性和工艺可用性。在加氢釜夹套冷媒设计上，为加强安全性，采用了双路冷源冗余设计，一路冷源为专用，一路冷源为备用，两路冷源均安装SIS 紧急开启阀。DCS 系统的温度压力测量仪表和SIS 系统的温度压力测量仪表均各自独立设置，并选取加氢釜上不同的取源点接口。SIS 系统的压力变送器采用冗余设计。

图2 原料药加氢釜SIS 自控系统流程图示例Fig.2 Example diagram of SIS automatic control system of hydrogenation reactor in APIs workshop

在此加氢釜SIS 系统设计中，1# SIF 回路是超压安全保护，SIL2 定级，采用2 只压力变送器，二取一（1oo2）架构。1# SIF 回路的A 类硬件的SFF 应大于60%（当HFT 为0 时）；B 类硬件的SFF 应大于90%（当HFT 为0 时），应大于60%（当HFT 为1 时）。2#SIF 回路是超温安全保护，SIL1 定级，采用1 只温度变送器，一取一（1oo1）架构。2# SIF 回路的B 类硬件的SFF 应大于60%（当HFT 为0 时）。具体的回路框图如图3和图4所示。

4 结束语

2020年初，全球新型冠状肺炎病毒疫情使得相关“抗疫”药品需求量激增，中国是全球原料药生产和出口大国，原料药供应在全球的地位与日俱增，原料药生产需求十分旺盛。然而，国内很多原料药工厂通常涉及“两重点一重大”的危险生产，现有装备水平较为落后，缺少完善的自动化设备，或者虽然有了自动化设备，但是没有应用好，安全事故较为频发。本质安全是指通过设计等手段使生产装置本身具有安全性，即使在误操作或发生故障的情况下也不会造成事故。原料药生产装置的DCS、SIS 自控设计及实施，不是为了应付安监检查，而是要把危险岗位的人员减下来，减少人员直接操作工作量，降低由于人为操作不当引发的各类安全风险，提升原料药生产的本质安全水平。在DCS 和SIS 系统自控设计时，应根据具体的工艺、过程、设备条件状况，科学、合理、合规地设计自控系统，杜绝设计缺陷和突出问题，兼顾安全可靠性、操作可用性、技术先进性，防止设计不足、设计不当或过度设计。

图3 原料药加氢釜1# SIF 回路框图示例Fig.3 Example block diagram of 1# SIF of hydrogenation reactor in APIs workshop

图4 原料药加氢釜2# SIF 回路框图示例Fig.4 Example block diagram of 2# SIF of hydrogenation reactor in APIs workshop