趙東風，闞鈺烽，韓豐磊

(中國石油大學(華東) a. 化學工程學院；b. 機電工程學院，山東 青島 266580)

安全儀表系統(tǒng)(SIS)由傳感器、邏輯控制器、執(zhí)行器等構(gòu)成，是廣泛應用于油品、化工等流程工業(yè)的一類安全系統(tǒng)[1]，它可以持續(xù)監(jiān)視工廠的生產(chǎn)運行狀態(tài)，在危險發(fā)生時可采取提前設定的措施，盡可能地減少或避免人員傷亡和財產(chǎn)損失[2]。

煉油工業(yè)中，加氫裝置的原料油緩沖罐是加氫裝置中的重要設備之一[3]。某公司原料油緩沖罐規(guī)格為φ3 400 mm×11 000 mm的立式罐，罐的參數(shù)見表1所列，其操作壓力為0.6 MPa，補氫壓力為14.5 MPa，若進料系統(tǒng)動力中斷，易發(fā)生高壓竄低壓現(xiàn)象。近年來由于各種原因發(fā)生竄壓而導致反應罐爆炸的事故頻發(fā)，2018年3月12日16時14分，九江石化煉油運行一部柴油加氫裝置發(fā)生一起爆炸火災事故，事故造成2人死亡，1人灼傷。

為了保障原料油緩沖罐的正常運行，防止竄壓事故的發(fā)生，許多企業(yè)都采取了一系列的附加聯(lián)鎖保護措施，但這些措施都是依據(jù)工程經(jīng)驗添加的，不能科學地確定其合理性和可靠性。因此，本文依托exSILentia軟件對原料油緩沖罐進行了安全完整性等級(SIL)的評估，并對此從安全儀表設計的合理性提出了建議。

表1 原料油緩沖罐參數(shù)

1 安全完整性等級的確定

安全儀表系統(tǒng)是被動的、休眠的，它不會動態(tài)的隨著工藝流程的改變而改變，而是一直監(jiān)視著工藝過程。當工藝參數(shù)觸發(fā)預先設定的閾值時，就會執(zhí)行預先設計的動作來阻止危險事件的發(fā)生。SIL等級就是衡量安全儀表系統(tǒng)在一定時間、一定條件下能夠完成所要求的安全功能的概率[4]。但是，SIL也不是越高越好，過高的SIL會給企業(yè)造成經(jīng)濟負擔。所以，最好的安全儀表系統(tǒng)應是風險與成本的平衡點。

對于安全儀表系統(tǒng)評估的指導，國外有許多相關(guān)標準，如IEC 61508[4]，IEC 61511[5]，ISA-TR84.00.02/ISA S84.00.01等。中國于2007年將IEC 61508[5]等同轉(zhuǎn)化為GB/T 20438—2006《電氣/電子/可編程電子安全相關(guān)系統(tǒng)的功能安全》，將IEC 61511[5]等同轉(zhuǎn)化為GB/T 21109《過程工業(yè)領(lǐng)域安全儀表系統(tǒng)的功能安全》[6]；在2017年將GB/T 20438—2006更新為GB/T 20438—2017，并于2018年7月1日施行，是國內(nèi)SIL評估工作的依據(jù)。此外，還有GB/T 50770—2013《石油化工安全儀表系統(tǒng)設計規(guī)范》，GB/T 32202—2015《油氣管道安全儀表系統(tǒng)的功能安全評估規(guī)范》，GB/T 32203—2015《油氣管道安全儀表系統(tǒng)的功能安全驗收規(guī)范》，SY/T 10045—2003(等同采用ANSI/ISA 84.01—1996《工業(yè)生產(chǎn)過程中安全儀表系統(tǒng)的應用》)，AQ 3054—2015《保護層分析(LOPA)方法應用導則》，對于安全儀表系統(tǒng)的設計、評價有著非常重要的指導作用。

安全儀表功能(SIF)評估包括SIL定級和驗證兩部分： 前者是進行風險評估，明確安全儀表系統(tǒng)所需要承擔的風險值；后者是可靠性評估，明確現(xiàn)有安全儀表系統(tǒng)可以承擔的風險值。依據(jù)IEC 61508，安全儀表系統(tǒng)SIL的評估流程[7]如圖1所示。

1.1 SIL等級定級

SIL定級的意義在于： 合理分配儀表資源，提高安全儀表系統(tǒng)的利用率，減少非計劃停車次數(shù)，降低誤停車帶來的損失[8]；明確系統(tǒng)需要的SIL等級，降低過度保護帶來的經(jīng)濟投入。

圖1 安全儀表系統(tǒng)SIL評估流程示意

1) 根據(jù)GB/T 20438—2017，采用保護層分析法(LOPA)進行SIL等級確定，LOPA可容忍概率根據(jù)表2確定。LOPA削減后事件頻率[9]為

(1)

表2 某公司風險可接受分析 a-1

2) 風險降低因子是消減后事件頻率與可容忍頻率的比值，依據(jù)LOPA確定SIL等級，IEC 61508[4]中對SIL等級的劃分見表3所列。

表3 SIL等級的確定

1.2 SIL等級驗證

SIL等級常見的驗證方法有馬爾科夫模型、故障樹法、可靠性框圖法。故障樹法和可靠性框圖法較為簡單，但是對系統(tǒng)狀態(tài)描述不精確；馬爾科夫模型認為系統(tǒng)內(nèi)單元有3個不同的狀態(tài)： 正常、失效和中間狀態(tài)[10]，如圖2所示，一個圓圈指向另一個圓圈表示系統(tǒng)由一種狀態(tài)轉(zhuǎn)變?yōu)榱硪环N狀態(tài)，描述了系統(tǒng)隨時間變化的行為[10]，而且該變化只與系統(tǒng)當前狀態(tài)有關(guān)，與系統(tǒng)歷史狀態(tài)無關(guān)。這與E/E/PE系統(tǒng)失效的指數(shù)概率密度相符合，即馬爾科夫模型非常適合用來計算E/E/PE系統(tǒng)的可靠性[10]。雖然馬爾科夫模型建模困難、計算復雜，但是exSILentia軟件[11]可以很好地解決該問題。exSILentia是由exida公司開發(fā)的一款軟件，主要用于SIL等級驗證、工藝危害分析、生命周期成本估計等，目前國內(nèi)許多企業(yè)、高校均采用該軟件進行功能安全相關(guān)的研究，在石油化工領(lǐng)域的認可度極高。

圖2 馬爾科夫模型示意

以“1oo1”模型為例，根據(jù)馬爾科夫模型建立的模型如圖3所示，其對應的馬爾科夫矩陣[12]為

(2)

(3)

(4)

使用exSILentia驗證步驟如下：

1) 針對SIF回路，在exSILentia中建立對應回路。

2) 在建立的SIF回路中選擇傳感器、邏輯處理器、執(zhí)行器對應的元件規(guī)格。

3) 對于數(shù)據(jù)庫中沒有的失效數(shù)據(jù)可選擇自行創(chuàng)建。

4) 使用exSILentia完成最終的SIL計算，并與目標等級對比；若不滿足，則可對應提出改進措施。

圖3 “1oo1”馬爾科夫模型示意

2 原料油緩沖罐SIL評估案例分析

2.1 SIL評估

原料油緩沖罐是加氫裝置中的重要設備之一，進裝置原料油先進入原料油緩沖罐，然后經(jīng)原料油升壓泵抽出升壓過濾后進入濾后原料油緩沖罐，由反應進料泵升壓后與換熱后的混合氫混合。該過程中，反應進料泵故障停機，泵出口流量降低，或者控制閥故障，依據(jù)工程經(jīng)驗，泵出口單向閥內(nèi)漏概率較高，無法保證其可靠性，因此若動力系統(tǒng)中斷，氫氣極易反竄至濾后原料油緩沖罐，導致超壓泄漏，嚴重時發(fā)生火災、爆炸事故，造成人員傷亡。為了防止此類事故的發(fā)生，濾后原料油緩沖罐一般設置1套反應進料泵出口流量低低信號聯(lián)鎖系統(tǒng)，反應進料泵出口流量低低，聯(lián)鎖關(guān)閉調(diào)節(jié)閥。反應進料系統(tǒng)聯(lián)鎖邏輯如圖4所示。

圖4 反應進料系統(tǒng)聯(lián)鎖邏輯示意

表4 SIL定級分析結(jié)果

采用exSILentia軟件進行驗證，得到傳感器、邏輯控制器和執(zhí)行機構(gòu)的PFDavg和MTTFS分別見表5和表6所列，各元件對PFDavg和MTTFS的貢獻率如圖5所示。

從表5和表6可以看出，傳感器、邏輯控制器和執(zhí)行機構(gòu)的SIL均可以達到SIL2，但是原料油緩沖罐的SIL仍為SIL1。從圖5可看出，傳感器和邏輯控制器的安全度較低，是整個安全儀表系統(tǒng)的薄弱環(huán)節(jié)。而且，傳感器對于PFDavg的貢獻率為16.67%，對于MTTFS的貢獻率為33.38%，這表明傳感器在該SIF中對誤停車造成的影響比功能安全要明顯。

表5 傳感器、邏輯控制器和執(zhí)行機構(gòu)的PFDavg和MTTFS

表6 功能安全參數(shù)

圖5 各元件對PFDavg和MTTFS的貢獻率

2.2 SIL評估后的改進措施

依據(jù)SIL評估結(jié)果，提出以下建議：

1) 對聯(lián)鎖回路的執(zhí)行機構(gòu)增設冗余結(jié)構(gòu)，在反應進料泵出口增設關(guān)斷閥，與調(diào)節(jié)閥構(gòu)成冗余結(jié)構(gòu)，經(jīng)驗算，滿足SIL2要求。

2) 分析企業(yè)安全閥泄放量高壓串入工況計算書或者更換安全閥，若滿足高壓串入工況，則可將SIL等級降為SIL1。

3) 換用可靠度高的執(zhí)行機構(gòu)，將調(diào)節(jié)閥LV2302替換為FC型(故障關(guān))調(diào)節(jié)閥。

4) 分析各元件對PFDavg的貢獻率，縮短檢測周期為1 a，經(jīng)驗算，可滿足SIL2。

5) 依據(jù)GB 50770—2013《石油化工安全儀表系統(tǒng)設計規(guī)范》7.3.4條款，調(diào)節(jié)閥加切斷閥或者

2臺切斷閥可構(gòu)成控制閥冗余，因此可在聯(lián)鎖中加裝1臺切斷閥與調(diào)節(jié)閥LV2302構(gòu)成冗余，經(jīng)驗算，滿足SIL2要求。

3 結(jié)束語

為解決加氫裝置中常見的竄壓問題，以加氫裝置原料油緩沖罐為研究對象進行SIL評估，找出聯(lián)鎖系統(tǒng)中的薄弱環(huán)節(jié)，并從安全儀表角度提出了解決竄壓問題的措施。目前發(fā)生竄壓事故的石化企業(yè)中，普遍存在采用人工聯(lián)鎖或安全儀表聯(lián)鎖系統(tǒng)設置錯誤等問題。通過對多個廠區(qū)多套加氫裝置SIL評估以及結(jié)合現(xiàn)場實踐經(jīng)驗，加氫裝置防止高壓竄低壓事故發(fā)生的主要保護措施多為重要聯(lián)鎖的設置。在企業(yè)的實際生產(chǎn)運行中需保證該類重要聯(lián)鎖的投用，宜可通過設置冗余結(jié)構(gòu)提高聯(lián)鎖的可靠性。在接受報警信號或聯(lián)鎖觸發(fā)時，相關(guān)人員應嚴格執(zhí)行操作規(guī)程中的相關(guān)要求，積極響應，重點檢查關(guān)鍵閥門的關(guān)閉情況，防止加氫裝置中高壓物料竄入低壓系統(tǒng)引發(fā)火災爆炸事故的發(fā)生。