LNG卸料臂紧急脱离系统SIL评估与改进

亢海洲 朱建新 方向荣 江 克 袁文彬

(合肥通用机械研究院国家压力容器与管道安全工程技术研究中心)

LNG卸料臂紧急脱离系统SIL评估与改进

亢海洲 朱建新 方向荣 江 克 袁文彬

(合肥通用机械研究院国家压力容器与管道安全工程技术研究中心)

对某LNG接收站进行了危险可操作性分析(HAZOP)，根据分析结果发现LNG卸料臂是最关键的危险源之一。结合IEC61508、IEC61511和相关国内标准，对LNG接收站卸料臂紧急脱离系统进行了安全完整性评估。评估确定了两个卸料臂ERS的安全联锁功能SIF、各安全联锁功能所需SIL等级和实际能达到的SIL等级，并对现有安全联锁功能的设置提出了具体改进建议。

紧急脱离系统 LNG 卸料臂 安全联锁系统 安全完整性等级

安全联锁系统(SIS)是一种自动安全保护系统，它是保证正常生产和人身、设备安全的必不可少的措施，已发展成为工业自动化的重要组成部分。联锁回路对装置的可靠性和安全运行影响极大。联锁系统设计不当，一种可能的后果是该跳车时不跳，造成拒动作；另一种可能的后果是不该跳车时跳车，造成误跳车。拒动作会造成严重甚至灾难性的后果，误动作的直接后果是装置停车，造成巨额的经济损失。可见，对SIS进行安全完整性等级(Safety Integrity Level，SIL)评估，使联锁系统的性能具有合理的水平，既能预防拒动作，又能降低误动作，对于减小事故的发生和避免经济损失具有重要的意义[1～3]。

SIL评估的起点，源自对工艺流程中存在的危险源辨识和可操作性分析(Hazard and Operability Study，HAZOP)。HAZOP用于辨识工艺危险源，就LNG站来说，分为工艺危害与设备危害。其中工艺危害指与LNG物化特性相关的燃烧、爆炸、闪蒸、翻滚及人员窒息等；而设备危害指如BOG压缩机、LNG外输高压泵、LNG卸料臂及外送槽车等引起的机械类危害，如振动、泄漏、超压、机械损伤及罐基础下沉等。

经过辨识危险源和事故后果分类，依据HAZOP分析报告的输出，作为SIL评估的输入条件。依据国际电工协会标准IEC61508、IEC61511和GB/T 20438、GB/T 21109的要求，对LNG接收站卸料臂安全联锁功能(Safety Instrumented Function, SIF)进行划分与可靠性计算。通过引入国际公认的多项部件可靠性数据库，如挪威船级社的OREDA、美国化学工程师学会CCPS等，考虑部件不同失效模式、共因失效及失效可检测性等特征，利用Markov模型进行矩阵运算，求解联锁回路的可靠性。

如果计算可靠性等级无法满足所需，还需要引入独立保护层分析(LOPA)[4]。从风险降低的角度，分析与此联锁保护回路相关的风险降低措施，如安全阀、爆破片的排放量是否满足最危险工况要求，液位变动所需时间是否足够操作工及时正确处理，罐区可燃性气体探测和水幕喷淋消防措施的可靠性水平等。

1 LNG接收站工艺介绍

LNG接收站的主要功能是LNG接卸、储存、加压和气化、蒸发气(BOG)处理、槽车灌装、天然气计量和外输。主要设备有LNG卸料臂、LNG储罐、LNG高低压输送泵、BOG压缩机、再冷凝器及气化器等[5]。

LNG主要流程如图1所示。LNG运输船抵达专用码头后，通过液相卸船臂和卸船管线，由船上卸料泵将LNG送至接收站的LNG储罐。在卸船期间，LNG储罐内将会产生大量蒸发气。BOG一部分经气相返回管线和气相返回臂返回LNG船，以平衡料舱内的压力；另一部分通过BOG压缩机升压进入再冷凝器被来自低压输送泵过冷的LNG冷凝，再经高压输出泵送入气化器，LNG被加热气化成NG，经调压、计量后送进输气管网。

图1 LNG接收站主要流程

2 LNG卸料臂紧急脱离系统

LNG接收站的生产过程由于涉及低温、高压及易燃易爆等危险因素，可能会发生因设备、管线、阀门的泄漏或破裂而引起的火灾、爆炸等危害事故[6]。LNG储罐泄漏是重大事故发生的关键环节。而在LNG装卸料期间，由于操作参数控制要求高，LNG船体与码头距离受风浪和天气因素较明显，最容易出现LNG的泄漏事故。为此LNG卸料臂(图2)一般均设置有卸料紧急脱离系统，即ERS(Emergency Release System)。中央控制室CCS的子模块JCR01对卸料臂的状态进行监控[5,7]，当遇到突发情况引起卸料臂位移超限时，卸料臂与LNG储罐相关管线必须紧急脱离，以防止大量LNG泄漏到空气中引发火灾或爆炸事故[8]。

图2 LNG卸料臂系统结构

卸料臂系统包括内臂、外臂、自主配重总成、旋转接头(STYLE 80、STYLE 50、STYLE 40)、ERS、QCDC(快速连接装置)、相关液压动力和控制系统。ERS的组成为：双切断球阀DBV、紧急断开夹具(Powered Emergency Release Collar，PERC)、液压蓄能器、位置传感器、选择阀组及控制柜等。ERS接头和双切断球阀细节模型如图3所示。

图3 ERS接头和双切断球阀细节模型

当位移传感器检测到卸料臂位移超限时，第1级别ESD1启动，双切断球阀关闭；当位移超过第1限制，第2级别ESD2启动，双切断球阀关闭，快速接头PERC脱开，实现岸船快速分离以保证安全。

3 紧急脱离系统的SIL分析

3.1 ERS的SIF划分

根据HAZOP和事故后果的分析结果，LNG卸料臂ERS可以分为两个安全联锁功能(SIF)：SIF1，当位置传感器检测到位移超限ZAHH时(达到预设值1)，切断两只快关球阀以停止LNG卸料过程；SIF2，当位置传感器检测到位移超限(达到预设值2)ZAHHH时，脱开快速接头，实现岸船分离以保障安全。SIF回路划分情况见表1。

表1 LNG卸料臂SIF划分

注：双切断球阀可靠性按照2oo2计算，误跳按照1oo2计算，双切断球阀不同逻辑的可靠性计算原因可参考文献[9]。

3.2 LNG接收站ERS所需的风险矩阵

某项目LNG接收站正常情况下，平均3天进行一次LNG装卸操作，事故频率按照大于0.4进行分析。如果LNG泄漏发生起火爆炸，则造成卸料操作人员重伤1～2名，直接经济损失超过500万元。从人员、环境和经济损失3个方面进行综合考虑[10]，则得到LNG卸料臂SIF1-位移超限关球阀应该达到的SIL等级为SIL2/SIL4级(由于直接经济损失无法精确估计，所以经济损失控制要求给出的是SIL等级范围)；SIF2-位移超限脱开PERC应该达到的SIL等级为SIL b/SIL 2。其中，经济损失控制要求见表2。

表2 SIF1风险矩阵(经济控制要求)

3.3 ERS的SIF可靠性计算

3.3.1 逻辑结构

根据ERS系统的配置情况，绘制方便后期可靠性计算的联锁回路逻辑结构如图4所示，SIF2的联锁回路逻辑结构类似于SIF1，故此处省略。

图4 SIF1联锁回路逻辑结构

3.3.2 失效率数据

根据有关数据库和FMECA分析方法，得到传感器、逻辑求解器和执行机构失效率数据(表3)。

表3 失效率数据

注：表中失效率数据仅作为计算过程的示意，不代表任何一种确定型号仪表的失效率概率数据。

3.3.3 可靠性计算结果

可利用专门开发的SIL评估软件，分别计算3个子系统可靠性数据，计算结果见表4。

表4 各子系统可靠性计算结果

3.4 ERS的SIL评价

根据各子系统计算结果，结合全概率公式，计算整个SIF回路的可靠性结果见表5。

表5 可靠性计算结果

由表5可以看出，经实际计算，SIF1和SIF2都可以达到SIL1级。对于SIF2而言，由于SIF2触发之前，SIF1已经触发，成功切断双球阀，船-岸之间的LNG流体已经充分切断，故SIF2即使拒动作，一般也不会导致大量LNG泄漏急剧气化甚至引发火灾或者爆炸后果。故之前分析它所需的SIL等级为SIL b～SIL2，可见实际SIL等级完全满足安全要求。

但是SIF1实际能达到的SIL等级为1级，无法满足安全要求。由于SIF1一旦拒动作，会引发LNG泄漏，后果较严重，故它所需的SIL等级为SIL2～SIL4。仅仅从联锁方面来看，目前SIF1无法满足安全要求，需要进一步进行独立保护层(LOPA)分析。

考虑到LNG装卸料期间，有操作工或技术人员在就地控制柜实时观测并处理。一旦LNG卸料臂位移超限，PLC会给出信号，就地发出声光报警，提醒操作工注意并处理。操作工有足够的反应时间，并且可以正确处理，防止出现危险事故。故操作工可以作为LNG卸料臂位移超限的独立保护层，故SIF1可以达到SIL1+1，即SIL2级，即SIF1也满足安全要求。

虽然SIF1和SIF2均满足安全要求，但SIF1依然存在误跳或安全方面的改进空间。由于SIF1误跳后果较轻微，一般只影响装卸料过程，造成装卸料进度减缓，不会导致安全事故；但他的拒动作后果很严重，所以需要尽量避免发生拒动作风险。为此，可以从以下几个方面降低拒动作风险：

a. 定期检查并维护液压蓄能器、选择阀组和相关部件，以保证每台液压执行器有足够动力，关键时候能快速切断球阀，避免LNG泄漏。

b. 建议增加液压蓄能器压力低报警。当每台卸料臂所属的蓄能器压力低时，现场发出声光报警，并将压力低信号送LNG接收站中控室，及时通知相关人员进行处理。

c. 严格执行岗位操作法，LNG装卸料期间，操作工必须在现场实时处理并对所有异常情况及时进行正确处理；坚持岗位培训和巡查，对突发状况进行定期演练，确保操作工熟悉应急处置程序。

d. 较早设计并投运的卸料臂，其位移传感器逻辑结构较为复杂，一般每个卸料臂包含4～8个传感器。如此会造成设计、采购和维护成本明显升高，而其可靠性却不见得有明显提高。近年来设计的逻辑结构均为2oo3，根据计算，其SIL等级可以达到SIL2，完全满足安全要求，故建议针对早前的设计，由专业技术人员择机进行梳理并改造。

e. 建议定期对双球阀DBV进行部分测试并评估阀门性能。由于SIF1的执行机构为同时切断两只快速球阀才能保证安全，即2oo2逻辑。此逻辑结构计算得出拒动作概率较高，限制了整个SIF1回路可以达到的SIL等级。所以DBV能否快速切断是SIF1回路成功执行的关键环节。部分测试可以在不影响正常工艺流程情况下，检测阀门的性能以提高整个回路的可靠性。对2oo2球阀分别进行6个月、3个月、1个月各执行一次部分测试，得到的可靠性结果见表6。

表6 不同周期下部分测试后SIF1回路可靠性数据

可以看出，当部分测试的周期从6个月缩短至1个月时，SIF1的风险降低因子RRF超过了100，可以达到的SIL等级为SIL2，将SIF1整体回路提升了一个等级。SIF1可以不过于依赖操作工的正确处理，也能满足安全要求，建议每月对ERS进行一次部分测试或在每次装卸料后进行部分测试。这样SIF1就足以满足安全要求，可以确保操作工可能带来的疏忽不会导致发生危险事故。

4 结束语

目前国内对LNG接收站进行SIL评估还不多见，依据IEC相关标准，对LNG接收站紧急脱离系统ERS进行了SIL评估，分析了其危险后果，定义了风险矩阵，计算了各SIF回路的SIL等级，并对ERS系统的维护提出了改进建议以提高其可靠性。一般来说，通过有经验的独立第三方开展SIL评估技术服务，企业将会获得以下益处：解决装置长周期所面临的仪表误跳车问题；解决装置联锁系统可能存在的安全隐患，确保装置安全；解决装置联锁系统定期检修与优化问题；解决装置工艺设计、安全设施(安全阀、爆破片)设置的相容性与完整性问题；建立联锁系统定量风险管理体系，提升装置仪表系统管理的质量与水平。

[1] 朱建新，方向荣，庄力健，等.安全完整性技术(SIL)在我国石化装置上的应用实践及思考[J].化工自动化及仪表，2012，39(10):1253～1259.

[2] 朱建新，王莉君，高增梁.IEC61511标准及在石化行业安全管理中的应用[J].中国安全科学学报,2007，17(2):105～109.

[3] 亢海洲.安全联锁系统(SIS)复杂逻辑结构的可靠性模拟[D].杭州：浙江工业大学,2009.

[4] AIChE. Layer of Protection Analysis Simplified Process Risk Assessment[M].New York:CCPS，2001.

[5] 房树萍.LNG储罐的监测和控制系统[J].化工自动化及仪表，2010,37(5):114～117.

[6] 初燕群，陈文煜，牛军锋，等.液化天然气接收站应用技术(Ⅰ)[J].天然气工业，2007,27(1):120～123.

[7] 翟建勇，蒙绪飞，洪涛.国产控制系统在浮式液化天然气接收站的应用[J].化工自动化及仪表,2014,41(8):975～977.

[8] 宋媛玲，白改玲，周伟，等.HAZOP分析方法在液化天然气接收站的应用[J].化学工程,2012,40(2):74～78.

[9] 朱建新，王莉君，高增梁，等.基于失效模式的联锁系统安全与误跳车计算方法[J].压力容器，2007，24(7):12～16.

[10] 亢海洲，朱建新，方向荣，等.空分压缩机组安全完整性等级(SIL)技术评估应用及分析[J].自动化技术与应用，2015，34(2):74～78.

参考文献著录规范

[书] 编号 著者名.书名[M].版本.出版地:出版者,出版年：页码.

[期刊] 编号 著者名.题(篇)名[J].刊名,出版年,卷号(期号): 页码.

[论文集] 编号 著者名.题(篇)名[C].整本文献的编者ed(多编者用eds)(编).文集名.出版地:出版者,出版年:页码.

[学位论文] 编号 著者名.题(篇)名[D].保存地：学位授予单位,年.

[专利文献] 编号 专利申请者名.专利题名[P].专利国别：专利号,出版日期.

注：①著者姓名应列全(3个以上的只列3个，并在第3个著者名后加“等”)；

②国外作者名应将“姓”排前，“名”排后。

SafetyIntegrityAssessmentandImprovementonERSofLNGUnloadingArms

KANG Hai-zhou, ZHU Jian-xin, FANG Xiang-rong, JIANG Ke, YUAN Wen-bin

(NationalSafetyEngineeringTechnologyResearchCenterforPressureVesselsandPipeline,HefeiGeneralMachineryResearchInstitute)

Both hazard and operability study on LNG receiving terminal was implemented to show that the LNG unloading arm is one of the most key hazards. Through having code of IEC61508, IEC61511 and relevant national standards considered, the safety integrity assessment on ERS of LNG loading arms was carried out and two loading arms’ SIF of ERS and the SIL level required as well as the actual SIL level were determined, including the suggestions on setting of safety instrumented functions.

ERS, LNG, loading arms, SIS, SIL

TH865

A

1000-3932(2017)01-0053-06

国家高技术研究发展计划(“863”计划)项目(2014AA041806)。

亢海洲(1983-)，工程师，从事过程工业安全联锁系统工程风险评估工作， 124991381@qq.com。

2016-05-11，

2016-11-22)