基于LOPA方法的海上油气设施火气系统SIL定级研究*

王海清 于 芳 李玉明 齐心歌

(1.中国石油大学(华东)安全科学与工程系 山东青岛 266580； 2.中国石化青岛安全工程研究院 山东青岛 266071)

石油化工企业中设置火气系统FGS(Fire and Gas System)来减缓火灾和危险气体泄漏的事故后果[1]，此类系统的安全完整性等级SIL(Safety Integrity Level)一般按工程经验设定为SIL2或SIL3，但是目前针对FGS的SIL定级方法或技术鲜有报道。IEC 61511[2]将FGS定义为减缓型独立保护层，并与预防型独立保护层(如SIS、PSV)相独立。保护层分析法LOPA(Layer of Protection Analysis)能将风险降低的要求以量化的形式加入到SIL计算过程中，因此LOPA通常用来确定安全仪表功能SIF(Safety Instrumented Function)的SIL要求。为了建立一种基于严格理论基础之上的FGS的SIL等级，本文以IEC 61508/61511中风险降低概念为依据，根据FGS风险降低要求，设计了适用于FGS的风险降低指标，并结合LOPA技术确定了FGS的SIL等级。

1 LOPA方法火气系统的场景风险分配

ISA 84.00.07[3]标准推荐使用事件树ETA(Event Tree Analysis)的方式计算FGS的有效性，其计算过程如图1所示。

图1 火气系统有效性ETA计算过程Fig .1 FGS effectiveness calculation procedures using ETA

FGS主要通过预防某个容纳失效LOC(Loss of Containment)事件发展成不期望的场景来减缓后果严重度，ETA中定量的结果通过平均权重后果CWA(Weighted Average Consequence)表现，场景的风险是CWA与未减缓事件频率Funmitigated和其他保护层的需求失效概率PFD(Probability of Failure on Demand)的乘积，即

(1)

式(1)中：Risk为场景风险；PFDi为保护层的需求失效概率，其中i=1,2,…,n。

有别于其他风险分析方法，FGS在使用风险可容许标准RTC(Risk Tolerable Criterion)时有很大的困难[4]，ISA 84.00.07中所用的CWA本质上只适用于场景后果严重度都相同的情况。而FGS系统有多种不同严重度的场景，对其采用统一的RTC标准是不符合逻辑且不精确的。为更好地分配场景风险，Baybutt[5]提出采用LOPA方法代替ETA计算火气系统的有效性。

传统上LOPA假设单个场景的独立保护层IPL(Independent Protection Layer)是成败型安防屏障(即完全成功或完全失效)，文献[5]认为这不是LOPA本质上的缺陷，而是场景分析的一种假设(即Worst Case)，实际上LOPA分析可以包括场景部分失效的假设。以图1为例，假设除FGS外没有其他的保护层，把FGS有效性的3个参数(探测器覆盖率、FGS安全可用性、缓解有效性)视作独立的“虚拟IPL”，这样就可以区分不同的场景后果分支并进行对应计算处理，其具体算法是用LOPA计算每个场景的可能性，将相同后果的场景可能性相加，用LOPA分配RTC并分析其风险是否达到安全要求。LOPA方法分析对FGS的场景分析和不同场景的风险分配分别见表1、2。

表1 LOPA对FGS的场景分析Table 1 Using LOPA to analyze the scenarios of FGS

表2 LOPA对不同场景的风险分配Table 2 Allocating tolerable risk to different scenarios by LOPA

通过以上分析可知,LOPA的计算结果与ETA的相同，且LOPA还弥补了ETA方法在分配RTC标准时的缺陷,因此在确定SIF的SIL等级时LOPA是一种非常有效的方法。本文以文献[4-5]提出的理论为依据，用ETA技术分析FGS可能的场景类型，并结合LOPA方法对场景风险进行分配。

2 火气系统风险降低要求

通常ISA和IEC标准定义的SIF的SIL主要针对的是预防型系统(如安全仪表系统SIS(Safety Instrumented System)、压力安全阀PSV(Pressure Safety Valve)，而对紧急减缓系统(如FGS、ESD)的SIL的分配却没有明确说明，目前国际上还没有具体的紧急减缓系统的风险降低要求，也没有标准的方法定量紧急减缓系统的风险降低的等级[6]。Tanabe[7]等认为IEC标准中风险降低的概念虽然包含了紧急减缓系统，但是并没有详细介绍如何定量化减缓系统所降低的风险，因此提出采用SIL等级的概念来设计紧急减缓系统。

由于实际应用中定量的风险降低并未包含紧急减缓系统，为了研究确定FGS的SIL等级，本文在风险降低的概念中创新引入FGS风险降低目标，以满足实际FGS风险降低的要求，提出如图2所示的考虑FGS贡献的一体化风险降低框架。

图2 考虑FGS系统贡献的风险降低框架Fig .2 Risk reduction concept considering FGS contributions

可容忍风险Risktr满足以下计算公式：

Risktr≥Riskpr×Riskother×RiskSIS

(2)

式(2)中：Riskpr为过程风险;Riskother为其他保护层所降低的风险;RiskSIS为SIS所降低的风险。

Riskother=Risktr

(3)

式(3)中：RiskFGS为FGS所降低的风险;Riskrr为残余风险(考虑到FGS的风险降低)。

结合式(2)和式(3)可推断出如下不等式：

(4)

(5)

式(5)是基于文献[7]研究的基础上进行的保守推算，企业可根据自身实际情况设置FGS的风险降低值。本文以式(5)作为FGS场景风险分析的计算目标。

3 用LOPA方法确定FGS的SIL等级

LOPA场景风险目标通常定义为减缓目标事件可能性TMEL(Target Mitigated Event Likelihood)，即保护层风险降低所需满足的RTC标准[9]。FGS作为SIF时，其PFDSIF计算公式为

(6)

式(6)中：PFDSIF为SIF的需求失效概率；TMEL为减缓目标事件可能性；IELi为中间事件可能性，其中i=1,2,…,n。

在低需求模式下，IEL的计算公式为

(7)

式(7)中：Padjust为频率修改因子(点火概率、占有率因子等)；ICL为初始原因可能性；PFDi为现有的独立保护层的需求失效概率，其中i=1,2,…,n。

本文以CCPS出版的LOPA风险分析书提出的安全的TMEL为通用RTC标准[10]，在考虑FGS风险降低贡献的基础上，根据式(5)计算得出FGS风险降低目标Risk*tr，如表3所示。

表3 FGS的安全风险降低目标Table 3 Safety risk reduction targets of FGS

注：CCPS LOPA规定严重度等级为A和B的场景宜采用QRA进行分析，故本表未列。

图3 LOPA方法确定FGS的SIL等级流程Fig .3 Flow sheet for SIL determination of FGS by LOPA method

值得注意的是，在实际工程应用中FGS系统的SIL等级一般为SIL2或者SIL3。对于场景风险降低需要SIL4等级的FGS实现时，应首先考虑本质安全设计或其他可代替的保护层，或设计两套较低完整性等级的FGS实现场景的风险降低。

4 实例分析

某海洋平台处理原油的压力容器单元设有基本过程控制系统BPCS(Basic Process Control System)和FGS，如图4所示。该压力容器受环境影响其容器底部焊缝处发生腐蚀穿孔导致原油泄漏，容器的失效频率为1.60×10-2/a，在原油泄漏时BPCS已经失效(失效率为0.1/a)，FGS的可燃气体探测器和火焰探测器对泄漏进行探测(覆盖率分别为0.93和0.91)，当探测器探测到泄漏或者火焰时FGS联动启动水喷淋系统进行稀释和灭火，其减缓有效性为0.90。

图4 某海洋平台处理原油的压力容器保护系统布置Fig .4 Protection system layout of a pressure vessel to deal with crude oil in an offshore platform

为提高容器安全，平台决定改造FGS以减缓事故后果，为减少FGS设计成本，须确定FGS的SIL等级。已知在原油泄漏初期蒸发出的可燃气体被立即点燃的概率为0.1；原油泄漏一段时间后形成液池，其延迟点火的概率为0.5，延迟点火最后导致爆炸的概率为0.2；该泄漏可能导致的后果为喷射火、池火、爆炸或者中毒。除自动保护系统外，该压力容器单元还设置人员日常巡检，其人员在场率为0.25。

为全面分析出火气场景类型，图5所示的ETA分析的使能事件中包含FGS安全可用性，本文在分析FGS的联锁逻辑时认为在探测器无法探测到泄漏或火灾时，其FGS的安全可用性和减缓有效性皆无法激活。此外，这里的气体和火焰探测整体视为一套减缓系统。因此，用LOPA方法确定FGS的SIL等级时，所有场景应根据式(7)计算出其各自的IEL。同时，将有相同后果严重度场景的IEL值相加，由公式(6)确定出FGS安全可用性的PFDFGS大小，并对比表4选出相应的SIL等级。表5是该平台压力容器LOPA场景分析的工作表，表6是LOPA计算的该平台压力容器FGS的SIL等级结果。

后果类型严重度等级Risk*tr/a-1无G1×10-4喷射火D1×10-7池火D1×10-7爆炸C1×10-8中毒E1×10-6

根据表6的结果可知，喷射火、池火以及爆炸场景所需的SIL等级最高，则该压力容器须设置SIL3等级的FGS来保证安全。通过以上实例研究可证明FGS的SIL等级可通过改进的LOPA方法进行综合分析确认，对于包含更多保护层或者更复杂的FGS场景均可使用本文提出的方法进行验证。

表5 某海洋平台压力容器LOPA场景分析工作表Table 5 Scenario worksheets of LOPA about the pressure vessel in an offshore platform

表6 采用LOPA计算的某海洋平台压力容器 FGS的SIL等级结果Table 6 Using LOPA to calculate the safety integrity levels of FGS about the pressure vessel in an offshore platform

5 结论

1) FGS不同于预防型的安全仪表系统，它设计的目的是在危害已经发生的情况下对事件后果严重度进行减缓。由于事件的不可预知性和FGS行为结果的不确定性，使得传统上验证SIF的安全完整性等级的方法不适用于FGS。

2) 在传统LOPA方法分配FGS场景风险的基础上，结合实际FGS风险降低要求，修改常规风险降低概念，制定出适应于FGS的风险降低目标。根据所提出FGS的SIL等级确定流程，将ETA分析出的FGS场景类型依据风险降低要求划分成不同的后果等级。

3) 通过对照FGS的风险降低目标，可用LOPA方法计算出FGS的SIL等级，最后通过海上平台实例分析证明了此方法的可行性，可为国内类似的实际工程项目提供参考。

[1] 王海清,王玉秀,宋贤生,等.采用遗传算法优化气体探测器布局策略研究[J].中国安全生产科学技术,2016,12(9):86-91.WANG Haiqing,WANG Yuxiu， SONG Xiansheng,et al.Study on layout optimization strategy of gas detectors using genetic algorithm[J].Safety Science and Technology,2016,12(9):86-91.

[2] IEC.IEC 61511 Functional safety-safety instrumented systems for the process industry sector-part 3:guidance for the determination of the required safety integrity levels[S].British Standard：IEC,2003.

[3] USA.ISA TR84.00.07 Guidance on the evaluation of fire,combustible gasand toxic gas system effectiveness[S].United States of America:ISA,2010.

[4] ZHANG Ying,WU Zhifeng.Research on risk acceptable criteria of chemical enterprise[J].Safety Health & Environment,2012,12(5):10-14.

[5] BAYBUTT P.Using layers of protection analysis to evaluate fire and gas systems[J].Process Safety Progress,2012,31(3):255-260.

[6] LIU Junfang,WANG Haiqing,LIU Fang.A new SIL conception for emergency system and its application in LNG terminals[C]∥The First China International Chemical Process Safety Symposium and the First CCPS Asia Pacific Process Safety Conference Proceedings State Administration of Work Safety,2013.

[7] TANABE M,MIYAKE A.Risk reduction concept to provide design criteria for emergency systems for onshore LNG plants[J].Journal of Loss Prevention in the Process Industries,2011,24(4):383-390.

[8] WANG Haiqing,SHI Weimin,AN Yuehong.Allocation of individual risk criteria under lopa framework[J].Journal of Chemical Engineering of Japan,2015,48(8):634-640.

[9] ANUAR M,HELMI M K.Application of layer of protection analysis (LOPA)in verificationof safety integrity level of instrumented system[J/OL].(2017-01-25)[2017-04-24].http:∥utpedia-upt.edu.my/6137/.

[10] American Institute of Chemical Engineers.Layer of protection analysis:Simplified process risk assessment[M].New York:Center for Chemical Process Safety of the American Institute of Chemical Engineers,2001.