張鑫，王迪，楊丹陽

1.長慶工程設(shè)計有限公司（陜西 西安710018）

2.中國石油長慶油田蘇里格南作業(yè)分公司（陜西 西安710018）

長北氣田是中國石油與殼牌公司合作開發(fā)的區(qū)域，位于陜西省榆林市，自2006年底投產(chǎn)以來一直成功運行，形成了33×108m3∕a的供氣能力。長北二期是針對整個長北區(qū)塊主力層山2層上下的次級層（主要包括盒8、山1和太原）的開發(fā)。長北二期采用了“地面初期節(jié)流，井口注醇，單井氣液連續(xù)計量，氣液混輸、集氣增壓站高中壓混合集氣、集中增壓，處理廠集中處理”的主體工藝技術(shù)路線[1]。長北二期地面工程新建1座集氣增壓站、4類共11座井叢，并對已建中央處理廠進(jìn)行改造[2]。集氣增壓站設(shè)置過程控制系統(tǒng)PCS、儀表保護(hù)系統(tǒng)IPS、火氣系統(tǒng)FGS和配套操作站各1套，完成生產(chǎn)過程的監(jiān)控、緊急停車和火、氣、煙檢測。各類井叢分別設(shè)置IPS 1套，對井叢生產(chǎn)各項工藝參數(shù)進(jìn)行監(jiān)控，負(fù)責(zé)井叢故障或緊急狀況下緊急停車，并可監(jiān)測到火、氣、煙信號。在長北二期項目初步設(shè)計過程中，開展了多個專項分析，IPF分析是重要組成部分之一。

1 儀表保護(hù)功能簡介與開展IPF分析的意義

1.1 儀表保護(hù)功能與安全完整性等級簡介

儀表保護(hù)功能（IPF），又被稱為安全儀表功能（SIF）。一個典型的IPF回路包括了一個或多個傳感器（如壓力變送器）、一個邏輯解算器（如PLC）、一個或多個最終執(zhí)行單元（如控制閥）[3]。IPF回路用于阻止工藝過程風(fēng)險或降低風(fēng)險造成的影響，其實質(zhì)在于風(fēng)險事件發(fā)生時將工藝裝置維持在一個相對安全的狀態(tài)。一個油氣站場的安全儀表系統(tǒng)（SIS）是由許多個IPF回路組成。IPF回路的性能通過安全完整性等級（SIL）衡量,根據(jù)IEC 61508—2010標(biāo)準(zhǔn)，可劃分為4個等級，SIL等級越高說明安全級別越高[4]。按照安全聯(lián)鎖動作發(fā)生的頻率可將SIL分為兩種模式，當(dāng)頻率低于每年一次時，為低要求操作模式，否則為高要求操作模式。在油氣工業(yè)領(lǐng)域，一般按照低要求操作模式考慮，即安全聯(lián)鎖動作的頻率一般在每年一次以內(nèi)，SIL等級由安全聯(lián)鎖動作的年平均失效概率(PFD)確定，見表1。

表1 安全完整性等級按操作模式劃分表

1.2 IPF分析的意義

IPF分析，又被稱作SIL分析或SIS分析，其最基本的作用是確定安全儀表系統(tǒng)的安全完整性等級。IPF分析是一種基于保護(hù)層分析（LOPA）方法的半定量風(fēng)險評價方法[5]。其基本原理是在定性分析（如危險與可操作性HAZOP分析）的基礎(chǔ)上，對場景風(fēng)險進(jìn)行相對量化的研究，確定采用何種等級的SIL可以將場景發(fā)生時的風(fēng)險降低到可承受范圍內(nèi)，是否需要增加額外的保護(hù)層等。

長北二期工程在新建的井叢和集氣增壓站均設(shè)置了安全儀表系統(tǒng)，在殼牌公司的《設(shè)計和工程實施規(guī)范》（Design and Engineering Practice）中強(qiáng)制規(guī)定：在工程設(shè)計過程中，任何識別出涉及安全儀表系統(tǒng)的風(fēng)險場景均必須進(jìn)行IPF分析，以此確定安全儀表系統(tǒng)的安全完整性等級。

近年來國內(nèi)新建的油氣田地面工程同類項目中，安全儀表系統(tǒng)由于其降低過程風(fēng)險、保障本質(zhì)安全的作用，應(yīng)用越來越廣泛。但是在應(yīng)用中，仍存在以下兩點不足：

一是對工程的危險與風(fēng)險分析不足，一般只有定性分析，而無定量分析，如長慶各氣田新建的處理廠∕凈化廠都進(jìn)行了HAZOP分析，但沒有對安全儀表進(jìn)行過專項分析。HAZOP分析可用于辨識設(shè)計缺陷和工藝過程危害，并提出合理可行的風(fēng)險消減、緩解措施，以期將風(fēng)險降低到可接受范圍之內(nèi)[6]。HAZOP分析方法存在一定的局限性，當(dāng)識別出后果較嚴(yán)重的風(fēng)險時，無法給出各類措施對風(fēng)險的削減程度，也無法判斷剩余風(fēng)險與風(fēng)險可接受標(biāo)準(zhǔn)之間的差距。

二是目前安全完整性等級的確定主要依靠設(shè)計人員的經(jīng)驗和參照同類項目，會出現(xiàn)安全儀表系統(tǒng)過度設(shè)計的情況，增加不必要的投資。

在長北氣田二期工程設(shè)計過程中應(yīng)用IPF分析的意義可歸納為以下3點：

1）在分析過程中通過半定量計算，明確每一個IPF回路的安全完整性等級，從而確定整個安全儀表系統(tǒng)的規(guī)格。

2）識別場景風(fēng)險，分析現(xiàn)有設(shè)計的安全措施是否能夠滿足工程實際需要。當(dāng)某些IPF回路安全完整性等級過高時，說明場景風(fēng)險過高，需要通過改進(jìn)工藝設(shè)計降低風(fēng)險。

3）通過IPF分析，可以明確識別出各個場景的中間事件、安全措施和事故后果，幫助參與分析的團(tuán)隊成員更深刻地理解工藝過程和場景。

2 IPF分析的過程

在長北二期項目初步設(shè)計過程中，對集氣站、井叢和處理廠擴(kuò)建所有的安全儀表回路均進(jìn)行了IPF分析。IPF分析流程如圖1所示。

2.1 準(zhǔn)備工作

1）成立專門的IPF分析團(tuán)隊。團(tuán)隊成員包含設(shè)計工程師、業(yè)主工程師、運行操作人員、第三方咨詢公司。所有的團(tuán)隊成員應(yīng)接受IPF分析培訓(xùn)，理解分析意圖，掌握分析方法。

2）準(zhǔn)備輸入資料。IPF分析的核心輸入資料包括危險和可操作性（HAZOP）分析報告、管道和儀表流程圖（P&ID）、安全連鎖系統(tǒng)因果邏輯圖（Cause&Effect Matrix）、平面布置圖和設(shè)備表等。HAZOP分析報告中的偏差、引起偏差的原因、偏差引起的后果、現(xiàn)有的安全措施可以分別對應(yīng)IPF分析的場景描述、風(fēng)險和初始事件、后果描述和保護(hù)層描述[7]。

圖1 IPF分析流程圖

3）場景識別和篩選。對可能存在的風(fēng)險場景進(jìn)行識別和篩選，每個風(fēng)險場景對應(yīng)一個IPF回路，以便進(jìn)行分析。

2.2 分析過程

以集氣增壓站高壓分離器液位高高安全儀表回路為例說明IPF分析全過程。分離器的基本流程是：井場來濕氣進(jìn)分離器進(jìn)行氣液分離，分離后氣相進(jìn)壓縮機(jī)進(jìn)行增壓，液相進(jìn)閃蒸罐進(jìn)行閃蒸分離[8]。該IPF回路包括傳感器（分離器的液位變送器）、邏輯解算器（用于該回路的SIS控制器）和最終執(zhí)行單元（分離器進(jìn)口管線氣動切斷閥），基本邏輯是在分離器液位高高時切斷進(jìn)口管線。該部分管道和儀表流程如圖2所示。

1）第一步，選取一個IPF回路并假設(shè)其安全儀表功能失效。在此例中，先假設(shè)該液位高高關(guān)斷IPF回路失效。

2）第二步，描述一個導(dǎo)致風(fēng)險的初始事件。初始事件即為導(dǎo)致風(fēng)險發(fā)生的起因，通?？梢杂锌刂葡到y(tǒng)故障、機(jī)械系統(tǒng)故障、人的失效以及外部事件等。在此例中，導(dǎo)致分離器液位高高的事件可能有分離器排液截斷閥失效關(guān)閉、分離器液位控制回路失效、操作員誤操作導(dǎo)致手動閥門誤關(guān)等。

3）第三步，列出現(xiàn)有的保護(hù)層。IPF分析是一種基于保護(hù)層分析方法的半定量分析方法。按照保護(hù)層分析方法的理論，工廠的保護(hù)措施可以劃分為若干層，分別是工藝過程裝置、基本過程控制系統(tǒng)、警報與人員干預(yù)、安全儀表系統(tǒng)、物理防護(hù)（如安全閥）、釋放后物理防護(hù)（如防護(hù)堤）、工廠緊急響應(yīng)和社區(qū)緊急響應(yīng)，如圖3所示。

圖2 集氣增壓站高壓分離器P&ID

圖3 典型工廠保護(hù)層示意圖

在IPF分析中，需要列出現(xiàn)有的獨立保護(hù)層，保護(hù)層應(yīng)當(dāng)具備有效性、獨立性和可審查性。如基本的過程控制回路，其傳感器、控制器和執(zhí)行元件必須與IPF回路在物理上相互獨立，方能被視為獨立保護(hù)層。

分離器下游的壓縮機(jī)進(jìn)口洗滌罐帶有獨立的SIL2級別的液位高高安全儀表回路，可以為分離器液位高高時攜液這種情況提供保護(hù)，可視為一個獨立的保護(hù)層。

4）第四步，計算風(fēng)險發(fā)生概率，單一事件風(fēng)險發(fā)生概率=初始事件發(fā)生概率×保護(hù)層修正系數(shù)，總的風(fēng)險發(fā)生概率是各自單一事件風(fēng)險發(fā)生概率的累加。初始事件發(fā)生的概率一般來自于國內(nèi)外通用數(shù)據(jù)源。在此次SIL分析過程中，使用了殼牌公司RRM軟件的SIFPro模塊，初始事件發(fā)生概率由該軟件內(nèi)置的數(shù)據(jù)庫提供。通過查詢數(shù)據(jù)源，得出手動球閥誤關(guān)的概率為0.016 7～0.066 7，液位控制回路失效的概率為0.2，SIL2級別的獨立保護(hù)層可以提供0.01～0.1的概率減小修正。

5）第五步，預(yù)估風(fēng)險發(fā)生時產(chǎn)生的不利后果。后果的信息來源可以是國際慣例、通用數(shù)據(jù)源、行業(yè)經(jīng)驗或?qū)嵺`積累等，也可以由項目成員根據(jù)實際情況進(jìn)行估算，可以劃分為人員傷亡、環(huán)境污染和財產(chǎn)損失3類。在評估時，一般按照最壞結(jié)果考慮。在此例中，分離器液位高高會造成液體溢罐，多余液體流入壓縮機(jī)可能對其造成損害，最壞后果評定見表2。

表2 最壞后果評定

6）第六步，計算最終后果頻率，按后果頻率與最壞后果查表確定SIL。最終后果頻率計算公式為：

式中：fiC為初始事件i造成后果C的頻率，單位為次每年；為初始事件i的發(fā)生頻率，單位為次每年；PiE為使能事件或使能條件發(fā)生的概率,假如沒有使能事件或使能條件，則取1；為條件修正因子,假如沒有任何條件修正,則取1；PFDij為初始事件i中第j個阻止后果C的獨立保護(hù)層要求時危險失效概率。

查表規(guī)則遵循了殼牌公司《設(shè)計和工程實施規(guī)范》（DEP標(biāo)準(zhǔn)）中關(guān)于安全儀表系統(tǒng)的相關(guān)規(guī)定［9］，見表3、表4。

查表結(jié)果是人員傷亡情況對應(yīng)SIL1、環(huán)境污染情況無對應(yīng)SIL等級、財產(chǎn)損失情況對應(yīng)SIL1，應(yīng)選擇最高的等級，此IPF回路最終確定為SIL1級。

7）第七步，風(fēng)險評估與建議。如果某些IPF回路分析結(jié)果顯示SIL等級過高，說明潛在風(fēng)險過高，需要改進(jìn)工藝設(shè)計，應(yīng)通過提高本質(zhì)安全降低風(fēng)險。如在集氣增壓站的設(shè)計中，污水罐區(qū)液位高高聯(lián)鎖的IPF分析結(jié)果初始為SIL3，風(fēng)險過高，設(shè)計團(tuán)隊改進(jìn)了氣田污水的裝卸車方式，之后該IPF回路等級降低到SIL1，從而使風(fēng)險達(dá)到可接受范圍。

表3 人員傷亡情況與SIL對照表

表4 財產(chǎn)損失情況情況與SIL對照表

IPF回路的分析結(jié)束，每一個IPF回路均應(yīng)按照該方法進(jìn)行分析，最后取所有回路中最高等級的SIL作為整個安全儀表系統(tǒng)的配置。

3 應(yīng)用效果及建議

在長北二期初步設(shè)計過程中，共對集氣站、井叢和處理廠擴(kuò)建的59個IPF回路進(jìn)行了分析。IPF分析取得了以下應(yīng)用效果：

1）確定合理配置，顯著降低投資。長北二期安全儀表系統(tǒng)在項目可研階段暫定等級為SIL2級，其控制系統(tǒng)部分概算投資為648萬元。經(jīng)過IPF分析后，計算得出井叢和集氣增壓站全部58個IPF回路的最高等級為SIL1，因此安全儀表系統(tǒng)的定級可下調(diào)至SIL1。在滿足安全需求的前提下，通過確定合理的SIL定級，控制系統(tǒng)部分投資下降到522萬元，直接節(jié)省投資126萬元，占該部分投資總量的19.5%。

2）優(yōu)化工藝流程，提升本質(zhì)安全。在IPF分析過程中，如果某IPF回路計算所得安全完整性等級明確偏大，則說明該處設(shè)計不合理，有較大的優(yōu)化空間。通過系統(tǒng)的梳理、分析和半定量計算，共找出初步設(shè)計中存在的各類問題72個并分別進(jìn)行優(yōu)化，盡可能將安全風(fēng)險消滅在萌芽中，提高了裝置的本質(zhì)安全水平。

3）掌握分析方法，應(yīng)用前景廣闊。IPF分析是國際上通用的有效安全分析方法，但國內(nèi)上游油、氣工業(yè)領(lǐng)域?qū)ζ湔莆詹蛔?，?yīng)用較少。通過此次分析，設(shè)計團(tuán)隊掌握了該分析過程，長慶油、氣田各類新建工程在設(shè)計階段均可進(jìn)行IPF分析，尤其是處理廠、凈化廠和輕烴回收等大型工程，以此分析風(fēng)險、改進(jìn)設(shè)計并確定安全儀表系統(tǒng)配置。除新建工程外，IPF分析也適用于在役的油、氣田?；a(chǎn)設(shè)施。通過風(fēng)險分析確定安全儀表功能及其風(fēng)險降低要求，并評估現(xiàn)有安全儀表功能是否滿足風(fēng)險降低要求，對提高現(xiàn)有裝置安全水平具有重要意義。