安全完整性等级评估技术在S Zorb装置上的应用

,,,

(合肥通用机械研究院特种设备检验站有限公司，安徽 合肥 230031)

安全完整性等级(Safety Integrity Level, 简称SIL)是一种以安全联锁系统为对象，研究联锁系统安全与误跳优化，以实现装置安全为目标，保障装置安全长周期运行的关键技术[1]。

近年来，涉及危险化学品生产及储存的安全问题日益突出，对相关安全仪表系统(Safety Instrumented System，简称SIS)的要求也日益严格，国家安全监管总局于2014年专门下发了《关于加强化工安全仪表系统管理的指导意见》，明确提出了对新建项目以及在役装置的安全仪表系统开展SIL评估等要求。

S Zorb技术原为ConocoPhillips公司开发的主要针对催化裂化汽油馏分的吸附脱硫技术，于2007年被中国石油化工股份有限公司(中国石化)整体购买[2]。该技术凭借脱硫率高(脱后硫质量分数10 μg/g以下)、辛烷值损失小、氢耗低及能耗低的优点，已经成为中国石化汽油质量升级的主要技术手段[3]。但是早期的S Zorb装置生产周期大多只有3至6个月，难以满足炼油装置的长周期运行要求。因此,对S Zorb装置进行SIL评估，从安全完整性的角度揭示其风险并提供改进的措施，对保障S Zorb装置长周期安全运行具有一定的指导作用。

该文探讨SIL评估技术在S Zorb装置中的实施过程，找出了该装置安全联锁系统存在的薄弱环节，提出了改善其安全可靠性的建议和措施。

1 SIL评估方法简介

SIL评估是近年来兴起的针对安全仪表系统的可靠性与安全性的风险评估技术。国际电工学会于2003年颁布了针对流程工业的安全仪表系统的功能安全标准IEC 61511，成为开展SIL评估的主要标准依据。国内也引用此标准并于2007年颁布了GB/T 21109标准。

SIS作为流程工业生产过程中重要的安全控制装置，其SIL要求与生产过程存在的实际风险密切相关。装置中存在重大风险的生产过程，其风险控制通常都依赖于SIS，故SIL评估已成为流程工业所关注的焦点。SIS在流程工业生产过程中的风险控制功能示意如图1所示[4]。

图1 SIS 在风险控制中的作用示意

2 S Zorb装置的SIL评估

2.1 评估工作过程

评估工作的开展主要通过信息收集、调查统计、理论分析和现场讨论相结合的方法，对装置的SIL状况进行调查分析，找出影响SIL可靠性和合理性的影响因素。以工艺危害分析(PHA)为手段，评估并提出安全联锁功能(SIF)改进的建议或方法。

评估工作流程如图2所示。

图2 评估工作流程

在评估过程中，充分进行现场交流与讨论，确保评估工作符合现场实际,提出的结论及改进意见合理可行并能真正应用于装置。

2.2 资料及数据的现场收集和梳理

SIL等级的评估是一个涉及多专业的系统分析工作，需将设备、工艺、仪表与风险控制目标相结合，所需收集的数据相当广泛，主要包括：

(1)通用信息；

(2)工艺信息；

(3)设备信息；

(4)安全相关系统信息；

现代学徒制通过校企深度合作与教师、师傅的联合传授基于边工作边学习的职业教育制度，结合了学历职业教育和在职职业培训的优点，是理想的高等职业教育形式。

(5)工厂有关的管理措施。

SIL评估的质量很大程度上依赖采集数据的质量，数据收集贯穿于装置评估的全过程。

2.3 过程风险分析

分析过程风险有多种方法，主要采用通用的工艺危害分析(PHA)[5]。通过PHA分析方法，识别采用安全联锁系统进行保护的充分性和必要性，为安全联锁设置是否合理提供判定依据。

2.4 安全联锁功能确认

IEC 61511中对SIF的定义为“由电子/电气/可编程电子安全相关系统、其他技术安全相关系统或外部风险降低设施执行的功能，该功能针对某一特定危险事件使得或者维持受控设备处于安全状态”。基于充分性和必要性原则，对SIF进行确认。其一，SIF应有足够的能力，在危险情况发生时能有效确保装置的安全；其二，联锁系统的安全功能中，重点对装置的联锁系统开展分析。确定SIF时，应确认以下4种信息：

(1)SIF的描述；

(2)要防止的后果描述；

(3)造成后果的初始事件确定；

(4)其他能够防止初始事件演变为事故的安全措施。

2.5 SIF的可靠性及后果分析

依据失效后果定量计算方法，结合装置的工艺情况及设备的配置情况，定量分析装置存在重大隐患的设备失效模式及失效后果，定量计算联锁失效后果，依据联锁的需求量，对照风险控制矩阵，确定SIF所需的SIL等级。

2.6 安全保护层分析

保护层指具有检测、预防或减缓事故和潜在危险事件的保护措施。保护层应具有独立性、可依赖性及审核性特点。

在SIL技术的研究以及工程应用中，考虑到安全完整性要求保护层分析，应采用通用的处理方法原则分析石化装置常见的安全保护层及其安全保护能力(见表1)。

2.7 评估联锁回路的SIL

操作模式的确定。在IEC61508中，定义了两种操作模式：指令操作模式和连续操作模式。在S Zorb装置中，联锁系统在BPCS(基本过程控制系统)常规控制失效、人工操作失误及工艺异常等工况下均会出现操作要求。对于S Zorb装置，联锁系统的操作模式均为指令式操作模式。

表1 安全保护层级及安全保护能力

SIF的SIL计算。通过《通用过程工业功能安全完整性评估系统》计算得到各联锁功能可达到的SIL及平均无故障工作时间等参数，从而最终确定联锁回路的SIL[6]。

2.8 评估联锁回路的优化和改进建议

基于计算的结果，确定各联锁回路SIL，评估装置各安全联锁回路是否满足装置长周期安全生产的要求，是否有联锁过度或者不足。对达不到最低安全要求或者联锁过度的回路，提出合理可行的改进建议及措施，并对改进后联锁回路重新计算联锁可靠性，确定安全等级，直至满足要求为止。

2.9 评估结果简介

针对S Zorb装置的实际情况，评估主要涉及15个对装置正常生产运行影响较大的联锁回路，涵盖42个安全联锁功能。总体情况如图3所示。

图3 联锁回路安全与误跳统计

对联锁回路的评估结果统计表明,占总数62%的SIF设计合理能够满足安全要求，24%的SIF存在安全改进空间，14%的SIF可做出降低误跳的改进。针对评估中反映的问题，技术人员和评估机构进行了交流讨论，形成了最终的改进建议。依据建议改进后，可使所有联锁回路的SIL满足安全要求，并进一步降低联锁的误跳概率。

3 典型评估结果示例

3.1 安全不足联锁的改进

3.1.1 原料油缓冲罐的液位低低联锁

S Zorb装置设计中原料油缓冲罐有液位高、低报警，未设置自动联锁，实际由操作工完成，但原设计中底部电动阀无阀位回讯。考虑到需要紧急切断时无法及时切断，可能会导致严重的事故后果，故建议增设电动阀门回讯信号至中控。

3.1.2 反吹氢/新氢压差低低联锁

原设计中为避免反吹氢压力过低无法完成过滤器及其他相关仪表反吹造成仪表或安全阀堵塞，设置了检测到压差低低开阀补充氢的联锁。由于目前执行机构阀门上无跨线，一旦发生故障，影响主流程安全。建议在该执行机构阀门仪表风罐上设置压力低报警，并确认仪表风罐的容量能够满足开关3次的要求，以保证此阀门在极端工况下可以有足够的动力源打开,从而保障工艺安全。

3.2 误跳联锁的改进

3.2.1 反应过滤器压差高高联锁

该装置设计了反应过滤器压力差高高联锁功能。考虑到过滤器压力差很难突变的实际情况，从经济性、联锁设置的必要性方面考虑，此设置可改进为报警，并由操作工处理。要求将操作工的正确处理程序写入操作规程。

3.2.2 原料油缓冲罐的液位低低联锁

现场调研该处液位计测量液位采用的原理为2个压力相减得到压力差反算液位。通过PHA分析，此处液位一旦出现异常，将会导致反应进料泵停止工作，从而最终导致装置停车的严重后果。当前设计存在装置误跳的风险，同时装置出现过液位控制失灵的情形。建议增设不同型号的液位计，并且设置当其中一个传感器信号长期无变化时发出报警,提醒操作工注意，以保证安全。

3.3 其他改进

原设计中地下污油罐液位高高联锁。根据工艺危害性分析，考虑到特殊工况下污油泵所需处理量较大的情况，此时出口阀平常只保持一定开度，需要操作工去现场手动操作。为有效降低满罐风险，建议采取增设污油罐信号远传及报警,同时在泵出口增加一只流量控制阀以保证安全。

4 结 语

采用IEC61511标准提供的SIL评估技术，分析了S Zorb装置重要联锁的充分性和必要性，给出了该装置SIL评估情况。针对可优化改进的SIF，提出了相应的改进建议。评估结果对保障装置的长周期安全运行和误跳问题具有指导作用。