火气系统与安全仪表系统探讨

， ，

(中国五环工程有限公司，湖北 武汉 430223)

近年来，石化行业频发重大安全事故，给人民群众生命财产造成了重大损失，给社会发展造成了恶劣影响。可燃/有毒气体的存在和泄漏是造成重大火灾、爆炸和人身伤害事故的主要因素之一，对化工生产装置中可燃/有毒气体的有效监测和管控将预防事故的发生，或在事故发生后减轻事故造成的后果。

国家安全监管总局(现已纳入中华人民共和国应急管理部)2014年11月发布的《关于加强化工安全仪表系统管理的指导意见》(安监总管三〔2014〕116号文)提出：“化工安全仪表系统(SIS)包括安全联锁系统、紧急停车系统和有毒有害、可燃气体及火灾检测保护系统等”，将可燃/有毒气体及火灾检测保护系统纳入了安全仪表系统的管理范畴，对可燃/有毒气体及火灾检测保护系统的设计、实施和管理提出了更高的要求，对安全仪表系统的一些传统理念提出了挑战。

1 火气系统(FGS)

火灾报警和气体检测系统FGS(Fire Alarm and Gas Detection System，简称火气系统)将火灾报警系统FAS(Fire Alarm System)和气体检测报警系统GDS(Gas Detection System)有机地组合在一起。根据ISA-TR84.00.07定义，FGS是工业自动化和控制系统的子系统，用来检测工业过程中危险物质的泄漏并采取合适的措施来减缓泄漏事件产生的后果，可以直接通过探测器检测现场泄漏气体的浓度，或是根据泄漏的结果推算出来(比如燃烧时的热辐射)。FGS可以检测可燃气体、毒性气体、烟雾、火焰、声发射、快速温升等，检测覆盖率和能力取决于危险的场景。

FGS将传统的消防系统的功能从火灾事故减轻扩展到了火灾事故预防，动作时间从着火后提前到了着火前，大大提高了石化生产装置的安全性[1]。

FGS由传感器、逻辑控制器和最终元件组成。传感器用于探测可燃气体、毒性气体或者火警，包括火焰探测器、感烟火灾探测器、感温火灾探测器以及可燃/有毒气体探测器，并配置手动报警措施；逻辑控制器通常采用常规PLC、安全PLC、FGS专用的PLC或者专用的FGS多回路控制器，用于检测信号的处理和逻辑控制；最终元件用于声光报警器、消防联动、消防灭火系统甚至工艺装置联动停车等[1-4]。典型的FGS结构组成见图1。

图1 典型的FGS结构示意

一旦出现异常状态，FGS将采取以下动作：①提供状态报警；②将工艺过程置于安全状态；③执行预定动作，减轻危险事件的后果。

FGS作为一种将火灾报警与可燃/有毒气体检测集成的系统[8]，当前国内还没有一个完整的、综合性的设计规范。同时，国内现行的一些标准规范和强制性产品认证制度也给FGS的搭建带来了一些困扰。拘于早期火灾报警器技术上的局限，GB 50116—2013《火灾自动报警系统设计规范》便对气体探测器接入火灾报警器提出了限制。该规范的第8.1.2条规定：“可燃气体探测报警系统应独立组成，可燃气体探测器不应接入火灾报警控制器的探测器回路；当可燃气体的报警信号需接入火灾自动报警系统时，应由可燃气体报警控制器接入”。

当前FGS的典型构成见图2，其可靠性和经济性都有局限。

图2 FGS典型构成

较之FGS已在国外石化项目广泛应用，目前在国内项目中的应用并不普遍。但随着技术的成熟、安全需求的提高，FGS在国内项目的应用已开始逐渐多了起来。如目前大型LNG项目中多数采用FGS。

2 FGS与安全仪表系统(SIS)

根据GB/T 21109.1—2007/IEC 61511-1：2003的定义，安全仪表系统SIS(Safety Instrument System)是实现仪表安全功能(SIF)的仪表系统，由传感器、逻辑解算器和最终元件组成。可包含仪表安全控制功能，也可包含仪表安全保护功能，或包含这两者。

SIS用于降低风险，将风险控制在可接受的范围内。对于过程工业领域而言，SIS主要执行仪表安全保护功能。

GB/T 21109.1—2007/IEC 61511-1：2003中给出了过程工业领域中常见的典型风险降低方法(见图3)。

图3 过程工业领域中常见的典型风险降低方法

从图3可以看出，SIS处于预防层和减轻层，用于预防危险事件的发生，或减小危险事件的后果。

FGS在可燃/有毒气体泄漏时通过报警或联锁减少由于气体泄漏而可能造成的更大的危险事件的发生，如爆炸、火灾或人员中毒等，在风险降低方法中属于典型的风险减轻。在GB/T 21109.1—2007/IEC 61511-1：2003对“减轻”的定义中，也将“根据已证实的着火或气体泄漏的检测所采取的紧急减压”作为“减轻”的示例。

FGS与SIS在过程工业领域中均起着风险降低的作用，对化工生产装置的安全保障至关重要。由此也就不难理解安监总管三〔2014〕116号文中将FGS纳入安全仪表系统进行管理的要求。

根据安全仪表系统相关术语的定义，当生产装置出现异常时，SIS通过仪表系统的作用将生产装置置于安全状态或减轻其后果。也就是说，FGS并非完全等同于SIS，只有具有仪表安全功能(SIF)的FGS才是SIS。对参与工艺装置联动的FGS应按照安全仪表系统的相关规范进行设计、实施和管理[5，6]。

在安监总管三〔2014〕116号文宣讲中，主要起草人员也反复强调，该文并不是说所有FGS都是安全仪表系统，而是强调对“有毒有害、可燃气体及火灾检测保护系统”应根据安全仪表系统的相关规范进行安全完整性等级(SIL)分析定级，并根据分析结果进行设计和管理。

3 FGS与ESD

在传统观念中，石油化工企业中的SIS往往特指紧急停车系统ESD(Emergency shutdown)。从前面的分析可以看出，FGS也可以和ESD一样具有安全功能，是安全仪表系统(SIS)的一个重要应用领域，但FGS与ESD存在较多的差异。

3.1 预防层与减轻层

ESD既可以实现预防层的功能，也可以实现减轻层功能。当生产装置出现异常时，ESD将生产装置置于安全状态，预防危险事件的发生，同时，ESD还可以在危险事件发生后，减小事件的后果，实现减轻层的功能。而FGS只在危险事件(气体泄漏)发生后起作用，减轻事件发生的后果，实现减轻层的功能。

图4所示场景一为ESD典型的预防层功能应用。本场景中，如果合成氨装置的冷氨产品泵出现故障，出口流量过低，导致冷氨产品泵吸入口的常压氨分离器液氨满液，并有可能流入氨压缩机，导致压缩机损坏。

正常时1台冷氨产品泵运行，当检测到冷氨产品泵出口压力低低(PSLL-001)或常压氨分离器液位高高(LSHH-001)时，启动冷氨产品备用泵，将常压氨分离器液位置于正常状态，预防液氨流入氨压缩机事故的发生，保障生产装置安全运行。在SIL分析定级时，该SIF回路的SIL等级通常要求为SIL1，由ESD实现。

图4 场景一

图5所示场景二则为ESD典型的减轻层功能应用。如果合成氨装置中甲烷化反应器温度超高，导致反应器破裂，持续释放可燃介质(H2和CH4)以及有毒介质CO，可能导致现场燃爆和人员中毒。

图5 场景二注：X代表A/B/C共3套

当检测到甲烷化反应器温度高高(TSHH-001X，TSHH-002X，TSHH-003X)，ESD将联锁关闭甲烷化反应器入口阀(MOV-001和XV-001)，打开工艺气放空阀(PV-001)，防止事故的蔓延，同时联锁停止合成气压缩机和氨压缩机运行，停止装置的运行，减轻事故的后果。

通常在SIL分析定级时，该SIF回路的SIL等级要求为SIL2。

场景二中，当可燃介质(H2和CH4)以及有毒介质CO泄漏时，FGS通过报警装置通知相关人员及时处理，预防火灾和人员中毒事件的发生。也可启动消防联动装置(自动喷水灭火系统或气体/泡沫灭火系统)，在火灾发生时，及时灭火，减轻事故发生的后果。即使FGS不启动消防联动装置，但触发声光报警，也能实现减轻层中“操作员监督”的功能，因为通过迅速将现场人员从危险区域撤离和实施其他应急处理措施，能减轻人员伤害和事故后果的扩大或蔓延。此时FGS实现了减轻层的功能。

3.2 故障安全型与非故障安全型

ESD通常为故障安全型。ESD系统正常时是励磁的，失电时非励磁，自动将生产装置置于预设定的安全状态或停车。因此，要求所有的现场回路均具有断路、短路、接地故障等检测功能。

而FGS通常为非故障安全型。FGS系统正常时是非励磁的(即得电执行动作)。研究表明，很多意外事故发生在停车期间。FGS系统被设计用于保护设备和人员，这些系统的误操作有可能损害某些设备单元并且甚至可能造成伤亡，因此要求FGS输出信号为非故障安全型，以防止设备故障或失电时自动触发报警和联锁。

3.3 确定性与不确定性

ESD对工艺过程具有已知的因果关系，可以检测到危险产生的原因，并使工艺过程达到安全状态。ESD所针对的工艺对象往往是易检测的，如工艺物料的温度、压力、物位、流量等，采取的措施是有效的，如通过控制阀控制温度、压力等。决定安全完整性等级的因素往往是仪表的本身，因此，ESD的安全完整性等级(SIL)可依据直接的(包括传感器、逻辑解算器以及最终元件)平均失效概率(PFDavg)计算。

而FGS具有不确定性。FGS的安全功能更多地取决于现场条件而不是控制系统。比如，探测器布置的覆盖率、布置位置是否合理将影响泄漏气体的检测率；现场条件，如风向、气压等会影响FGS对泄漏气体的探测效果；减轻措施的有效性，如消防联动设施的设置、处置预案的优劣、现场人员的素质等将影响FGS的减轻效果等[7]。

4 FGS的有效性和安全完整性等级

FGS作为工厂风险降低措施之一，与安全仪表系统一样具有安全功能，同样也应具有与安全仪表系统一样的安全完整性和有效性的需求[8，9]。然而，基于以下因素，传统的风险分析方法很难应用于FGS。事实上，目前我们从事的工程项目在进行Hazop审查和SIL定级评估时也没有涉及到FGS。

(1)传统的分析方法适合于当工艺过程偏离正常操作而引起的危险。这些工艺过程具有已知的因果关系，安全仪表系统可以检测到危险产生的原因，并使工艺过程达到安全状态。FGS用于减轻由于气体泄漏而造成的风险，由于前述的不确定性，需采用高级风险分析技术，诸如给定场景中气体或火灾扩散模型等。

(2)FGS不能预防危险的发生，只能减轻危险的严重程度而不是消除它。典型的危险和风险分析是辨识风险并消除可能引起的后果。

(3)受探头覆盖率和减轻措施的有效性的影响，再好的设计和管理，FGS的风险减轻效果也是有限的。

目前一些国际或国外的标准规范对FGS或GDS的有效性和安全完整性等级提出了要求。

ISA-TR84.00.07-2010主要针对FGS的有效性，说明了FGS的风险分析方法，并对FGS的安全生命周期提出了要求。

BS EN 50402：2017则主要针对GDS的安全完整性等级(SIL)的需求，提出了SIL能力(SIL-capability)的概念。与IEC 61508相对应，该规范将GDS的SIL能力分为从1～3三个等级，并针对不同的SIL能力需求，从采样、信号采集、信号处理、电源、冗余、诊断等各个方面对GDS的组成提出了要求。

5 结语

GDS或FGS是保障石油化工生产装置安全的一个重要环节，处于过程工业领域中常见的典型风险降低方法中的减轻层，功能上与安全仪表系统有一定的重合，同样具有有效性和安全完整性等级的需求。因此，我们在功能需求定义、设计、安装、维护时应充分考虑系统的有效性和安全完整性等级，强调安全生命周期的管理，真正发挥其应有的作用。