閆興清，喻健良,，溫殿江，姜一昌，朱永江，李 岳,，韓 冰，胡 軍

(1.大連理工大學 化工機械與安全學院，遼寧大連 116024； 2.大連理工安全技術與控制工程研究中心有限公司，遼寧大連 116012； 3.大連理工安全裝備有限公司，遼寧大連 116012；4.大連市鍋爐壓力容器檢驗研究院，遼寧大連 116013)

0 引言

安全完整性等級(Safety Integration Level，簡稱SIL)是近年來發(fā)展起來的針對過程工業(yè)領域的風險管理方法[1-2]。該概念的提出，源自安全儀表系統(tǒng)(Safety Instrument System，簡稱SIS)的廣泛應用[3-4]。安全儀表系統(tǒng)(SIS)是由國外提出的一種保護層概念，是用于保障安全生產(chǎn)的一套系統(tǒng)，屬于企業(yè)生產(chǎn)自動化范疇。其安全等級高于工藝的基本過程控制系統(tǒng)。當工藝出現(xiàn)異常時，SIS進行干預，降低事故發(fā)生可能性。

隨著國內(nèi)石油、化工、天然氣等行業(yè)迅速發(fā)展，事故頻率和潛在的事故風險逐漸增大。原國家安監(jiān)總局2011年40號令規(guī)定“涉及毒性氣體、液化氣體、劇毒液體的一級或二級重大危險源，配備獨立的安全儀表系統(tǒng)”；2014年116號文指出：從2018年1月1日起，所有新建涉及“兩重點一重大”的化工裝置和危險化學品儲存設施要設計符合要求的安全儀表系統(tǒng);其他新建化工裝置、危險化學品儲存設施安全儀表系統(tǒng)，從2020年1月1日起，應執(zhí)行功能安全相關標準要求，設計符合要求的安全儀表系統(tǒng)。

在上述背景下，國內(nèi)化工裝置相繼開展了安全儀表系統(tǒng)(SIS)配備以及SIS基于功能安全的安全完整性等級(SIL)定級等工作[5]。眾多儀表制造廠家，也相繼對其各型號產(chǎn)品開展安全完整性等級認證，以滿足SIS的基于功能安全所需的SIL等級需求。

爆破片作為一種精準的壓力開關，已被廣泛應用于壓力容器防護場合，以預防因超壓帶來的危害[6-9]。在國內(nèi)化工裝置廣泛配套安全儀表系統(tǒng)的大背景下，部分人員提出爆破片是否屬于SIS零部件、是否要開展SIL認證等問題。尤其是一些國外爆破片制造廠商對部分所售爆破片產(chǎn)品標注了SIL等級，更是為國內(nèi)研究人員帶來了困惑?；诖耍疚奶接懕破踩b置與安全儀表系統(tǒng)(SIS)、安全完整性等級(SIL)的關系，并回答上述問題，以為爆破片未來研究方向提供參考。

1 爆破片是否屬于安全儀表系統(tǒng)(SIS)零部件

要解答爆破片是否屬于安全儀表系統(tǒng)零部件這個問題，首先需要明確保護層(Protection Layer，簡稱PL)、獨立保護層(Independent Protection Layer，簡稱IPL)的概念[10]以及SIS的組成。

保護層(PL)是借助控制、預防、減輕等手段降低風險的獨立保護機制。獨立保護層，是指能夠阻止事件向不期望后果發(fā)展、獨立與其他防護層的設備、系統(tǒng)或行動。根據(jù)GB/T 21109—2007[11]，典型過程工藝的獨立保護層一般稱為“洋蔥”模型，如圖1所示。該圖含義為：當過程工藝出現(xiàn)風險時，依次由基本過程控制系統(tǒng)(BPCS)保護層、警報與人員干預保護層、安全儀表系統(tǒng)(SIS)保護層、物理防護保護層、釋放后物理防護保護層、工廠緊急響應保護層、社區(qū)緊急響應保護層。只有當這些保護層均失去作用時，才能導致最嚴重的事故后果。

圖1 工藝保護層的“洋蔥”模型

目前，化工裝置依據(jù)原安監(jiān)總局文件配備的安全儀表系統(tǒng)保護層,與爆破片裝置所處的物理防護保護層處于不同的獨立保護層。這說明，當工藝出現(xiàn)風險時，爆破片與安全儀表系統(tǒng)對工藝風險的防護行為相互獨立。

圖2示出安全儀表系統(tǒng)的功能及組成。安全儀表系統(tǒng)獨立于基本過程控制系統(tǒng)，一般由傳感器、控制器、執(zhí)行器組成。傳感器檢測工藝參數(shù)，若參數(shù)與設定值出現(xiàn)偏差，且基本過程控制系統(tǒng)、警報與人員干預均未起到效果時，安全儀表系統(tǒng)干預，控制器驅(qū)動執(zhí)行器完成危險場景消除。對爆破片來說，其不屬于安全儀表系統(tǒng)中傳感器、控制器及執(zhí)行器的任何一種零部件。

圖2 安全儀表系統(tǒng)功能及組成示意

綜上可知，爆破片不屬于安全儀表系統(tǒng)(SIS)零部件，其與SIS處于不同的獨立保護層。需要強調(diào)的是，工業(yè)中存在爆破片為儀表系統(tǒng)提供爆破信號以便工藝執(zhí)行相應動作的場景。此類情況比較復雜，需要具體問題具體分析。

2 爆破片要不要做安全完整性等級(SIL)認證

要解答爆破片要不要做安全完整性等級認證這一問題，需要了解安全儀表系統(tǒng)基于功能安全的安全完整性等級(SIL)評估思路。根據(jù)GB/T 21109—2007[11]，安全完整性等級是用來分配給安全儀表系統(tǒng)的儀表安全功能的安全完整性要求的離散等級。離散等級分為四級：SIL 1，SIL 2，SIL 3，SIL 4。SIL 4是安全完整性的最高等級，SIL 1為最低等級。SIL是衡量SIS可靠性的一個指標，其具體等級由儀表的故障頻率確定，如表1所示。

表1 SIL確定

化工裝置開展安全儀表系統(tǒng)配套工作，涉及的企業(yè)及工作關系示意圖見圖3(本圖僅列出了各企業(yè)的典型重點工作，實際情況要比本圖復雜得多)。對于化工企業(yè)的某工藝裝置來說，評估機構(gòu)需要通過危險與可操作性分析(HAZOP)、保護層分析(LOPA)等方法，向企業(yè)解答所評價的工藝或裝置是否需要配套安全儀表系統(tǒng)(SIS)。若需要配套，則該SIS為了實現(xiàn)功能安全的目標，所需的安全完整性等級為哪一級(SIL定級過程)。然后，化工企業(yè)向安全儀表系統(tǒng)零部件(包括傳感器、控制器、執(zhí)行器)的制造廠家(統(tǒng)稱儀表企業(yè))購買符合SIL的產(chǎn)品。

對于儀表企業(yè)來說，其產(chǎn)品的SIL，需要通過有資質(zhì)的機構(gòu)(如TUV等)檢測該產(chǎn)品的失效概率數(shù)據(jù)，然后依據(jù)表1的規(guī)定，確定該產(chǎn)品的SIL并頒發(fā)認證證書(SIL認證過程)?？梢姡瑢x表企業(yè)，獲得產(chǎn)品的SIL認證，是后續(xù)進入各行業(yè)安全儀表系統(tǒng)配備工程的基礎。

圖3 安全儀表系統(tǒng)與安全完整性等級示意

根據(jù)前面分析，爆破片不屬于安全儀表系統(tǒng)零部件，故爆破片制造廠家也不屬于圖2所示的儀表企業(yè)。因此可以得到結(jié)論：爆破片不需要開展安全完整性等級(SIL)認證。

3 爆破片在SIS基于功能安全的SIL定級中的作用

雖然爆破片不屬于安全儀表系統(tǒng)零部件，也不需要開展安全完整性等級認證。但是，爆破片在整個安全儀表系統(tǒng)配備工作周期內(nèi)是否有作用值得探討。要解答這一問題，需要明確如何開展安全儀表系統(tǒng)的基于功能安全的安全完整性等級定級。

石化行業(yè)常用的安全完整性等級定級方法是半定量化的保護層分析(Layer of Protection Analysis，簡稱LOPA)法[12]。LOPA方法的步驟為：(1)場景識別與篩選；(2)初始事件(Initial Event，簡稱IE)確認；(3)獨立保護層(IPL)評估；(4)危險場景發(fā)生概率計算；(5)風險評估與決策；(6)后續(xù)跟蹤與審查。

本文不詳細介紹LOPA方法的具體操作(可參閱文獻[13])，僅以兩個案例介紹爆破片在安全儀表系統(tǒng)的SIL定級中的作用。

(1)案例一：爆破片作為獨立保護層失效。

假設工藝中某容器存在超壓危險場景，該場景的初始事件為E1(可能為任何事件，需要結(jié)合實際工藝分析)，其發(fā)生頻率為f1。該容器配備爆破片泄放裝置。根據(jù)圖1，此時爆破片為防容器超壓的獨立保護層。當初始事件E1發(fā)生時，存在兩種情況：①若爆破片正常動作，則超壓危險場景不會發(fā)生；②若爆破片在爆破壓力下未打開，即爆破片作為物理防護的獨立保護層失效，則超壓危險場景會發(fā)生;爆破片失效發(fā)生概率記為f2。

則該超壓危險場景的發(fā)生概率f=f1f2。由此可知，對于爆破片作為獨立保護層失效的案例，需要明確爆破片未打開失效模式下的失效概率f1。

(2)案例二：爆破片失效作為初始事件(IE)。

假設工藝中某容器存在物料溢出危險場景，該場景的初始事件E1為爆破片低壓打開或泄漏，其發(fā)生概率為f′1。此時存在兩種情況：①若針對物料溢出配備了獨立保護層(如防護堤、密閉卸料罐等)，且獨立保護層未失效，則物料溢出危險場景不會發(fā)生；②若獨立保護層失效，則物料溢出危險場景發(fā)生;獨立保護層失效概率記為f′2。

則該超壓危險場景的發(fā)生概率f′=f′1f′2。由此可知，對于爆破片作為初始事件的案例，需要明確爆破片低壓打開或泄漏失效模式下的失效概率f′1。

在上述兩個案例中，爆破片在安全儀表系統(tǒng)的SIL定級中起到的作用不同，則對爆破片失效概率的需求不同。表2匯總了上述兩個案例的結(jié)果。這也解答了本節(jié)的問題，即爆破片在安全儀表系統(tǒng)的SIL評級中有作用。

表2 爆破片在安全儀表系統(tǒng)的SIL定級中的作用

4 現(xiàn)有標準對爆破片失效概率的規(guī)定及進一步研究方向

在目前的SIL評級標準如GB/T 32857—2016《保護層分析(LOPA)應用指南》[14]、AQ/T 3054—2015《保護層分析(LOPA)方法應用導則》[15]中，對典型事件發(fā)生頻率進行了規(guī)定。其中，GB/T 32857—2016規(guī)定爆破片的失效概率為10-5～10-1之間，且注明了“爆破片有效性對服役條件比較敏感”；AQ/T 3054—2015中未對爆破片失效概率進行規(guī)定。

分析發(fā)現(xiàn)，雖然GB/T 32857—2016規(guī)定了爆破片失效概率，但是在實際應用中存在如下問題。

(1)失效概率數(shù)據(jù)來源于國外，對國內(nèi)爆破片的適用性還未知。調(diào)研發(fā)現(xiàn)，爆破片行業(yè)標準的制定人員、爆破片制造廠家的技術人員對該失效數(shù)據(jù)也缺少認識。

(2)失效概率范圍寬泛。當取不同值時，可能獲得不同的SIL。雖然調(diào)研發(fā)現(xiàn)工程人員在開展SIL定級時一般取爆破片失效概率為10-2，但缺少科學依據(jù)。

(3)由表2可知，當爆破片作為不同角色時，所需的失效概率的失效型式并不相同。但GB/T 32857—2016中給出的失效概率未加以區(qū)分。

總的來說，目前爆破片結(jié)構(gòu)類型多樣，失效模式多樣(未打開、低壓提前打開、泄漏)。對不同類型的爆破片，需要明確不同失效模式下的失效概率，以能夠在SIL評級時精確使用爆破片失效概率數(shù)據(jù)。這種需求對國內(nèi)爆破片制造廠家提供了新的要求。制造廠家需要對銷售出去的爆破片投入精力持續(xù)關注其使用情況，必要時對每一片爆破片建立使用檔案，形成大量使用數(shù)據(jù)。當具有一定時間的數(shù)據(jù)積累后，即可拿出較精準的不同模式下失效概率數(shù)據(jù)。

值得一提的是，雖然爆破片不需要開展SIL認證，但國外一些爆破片廠家仍然給出了爆破片的SIL數(shù)據(jù)，顯然是因為這些廠家對其制造的爆破片的失效概率有很可靠的數(shù)據(jù)做支撐。因此，爆破片相關失效數(shù)據(jù)的積累是國內(nèi)爆炸片制造廠家及研究人員進一步的研究方向。

5 結(jié)論

(1)爆破片不屬于安全儀表系統(tǒng)零部件；

(2)爆破片不需要做安全完整性等級認證；

(3)爆破片與工藝及設備的安全完整性等級評級有關系，需明確爆破片分別作為獨立事件和獨立保護層失效兩種情況下的失效概率；

(4)爆破片進一步研究方向為獲得其在不同失效模式下的失效率數(shù)據(jù)。