SIL评估技术在柴油加氢装置的应用

李荣强，姜巍巍，曹德舜

(中国石化青岛安全工程研究院，山东青岛 266071)

0 前言

安全仪表系统(Safety Instrumented System，SIS)由传感单元、逻辑控制器和最终执行元件构成，如图1所示[1]。安全仪表系统是用于对设备可能出现的故障进行保护动作的控制系统，它必须能够迅速、正确地对故障做出响应，最终能够完全避免事故的发生或者至少能减少事故给人员、环境和设备造成的危害。典型的SIS构成见图1。

图1 典型的SIS构成

国内外典型事故案例表明，绝大多数重大安全事故都与安全仪表系统设置不当以及非正常失效有关，安全仪表系统的可靠性指标已经关系到石化装置是否能够安稳运行，是否能够有效避免重大事故及非计划停车带来的经济损失[2]。2005年，英国石油公司(BP)位于美国德克萨斯州的炼油厂异构化装置发生了严重的火灾爆炸事故，事故造成15名员工丧生，180余人受伤，直接经济损失超过15亿美元。同年，英国伦敦邦斯菲尔德油库发生爆炸，事故造成43人受伤和近10亿英镑的经济损失。以上重大事故的发生，都与安全仪表系统在危险工况下未能发挥作用有直接或间接的关系。

为加强石油化工装置安全仪表系统管理，防止和减少危险化学品事故发生，近几年应急管理部(原国家安全监管总局)和中国石化集团公司安全监管局陆续发布了相关指导意见和管理规定，指导企业开展新建装置和在役装置安全仪表系统安全完整性等级评估。

1 重要概念

1.1 安全功能和功能安全

安全仪表系统的安全功能指对某个具体的潜在危险事件实行的保护措施。如某管道或容器在出现超高压情况时的泄流或停车；某加热炉出现超高温情况时灭火等，都属于安全功能范畴。而功能安全则指安全功能本身的安全性，用于描述安全仪表系统执行其安全功能的能力。

1.2 安全完整性等级(即SIL)

IEC61508-2010中对SIL的定义是指在一定时间、一定条件下，安全相关系统执行其所定义的安全功能的可靠性[3]。

SIL由以下两部分组成。

a)硬件安全完整性等级，这部分的安全完整性与随机硬件危险失效有关，安全仪表功能的运行过程中，主要体现在与部件的功能退化及老化等有关。

b)系统安全完整性等级，这部分的安全完整性与系统的危险失效有关，主要和系统设计、制造流程、变更改造、操作规划以及文档记录等有关。

SIL是一种离散的等级，用于规定分配给安全仪表系统中安全功能回路在需求时的失效概率。SIL等级的说明如表1所示。

表1 低要求操作模式下SIL及需求时的失效概率

1.3 安全生命周期

IEC61508和IEC61511均提出了安全生命周期(Safety Life Cycle,SLC)的概念，定义为：在安全仪表功能实施中，从概念设计阶段到所有安全仪表功能停止使用之间的整个周期，具体包括了安全仪表系统在概念、设计、运行、测试、维修及停用各阶段所有的活动，自始至终贯穿“安全”的概念，以达到高水平的功能安全。SLC活动参见图2。

SLC的管理对于新建设施和设施改造尤为重要，保证每一个环节都考虑功能安全，最大程度降低生产过程中的风险，降低安全仪表系统中存在系统性不足的概率，同时一定程度上降低了安全仪表系统方面的投资成本。

2 安全仪表系统SIL评估方法

2.1 评估依据

SIL评估依据有：GB/T20438-2006《电气/电子/可编程电子安全相关系统功能安全》；GB/T21109-2007《过程工业领域安全仪表系统的功能安全》；GB/T50770-2013《石油化工安全仪表系统设计规范》；中国石化生产安全风险管理规定试行(中国石化安[2017]625号)；国家安全监管总局关于加强化工安全仪表系统管理的指导意见(安监总管三〔2014〕116号)；《中国石化安全仪表系统安全完整性等级评估管理办法(试行)》(中石化安〔2018〕150号)；国内外良好工程实践及经验做法等。

图2 安全仪表系统SLC

2.2 评估步骤

图3给出了安全仪表系统SIL评估的过程[5]，主要包括8步：工艺流程资料准备；危险分析，确定安全仪表系统的安全仪表功能；风险分析，确定安全仪表系统的安全仪表功能的目标SIL等级；安全仪表系统操作模式的确定；安全仪表系统结构约束的确定；安全仪表系统可靠性数据的确定；安全仪表系统SIL等级计算；安全仪表系统SIL等级评估。

3 SIL在柴油加氢装置的应用

3.1 工艺流程简述

汽柴油加氢作为二次原料处理的重要手段，在整个炼厂的加工工艺中有着十分重要的地位。汽柴油加氢工艺作为现代炼油厂二次加工的成熟工艺，在优化原油加工流程、提高整个企业的效益、推动炼油行业的技术进步方面有着十分重要的意义。做为二次原料再处理的工艺，它可以将焦化汽油、焦化柴油和直馏柴油等二次原料经过加氢处理后获得产品质量完全符合国家标准的汽柴油产品或者下游加工装置合格的原料。汽柴油加氢精制装置的工艺流程分为反应部分、循环氢脱硫部分、分馏部分、氢石脑油脱硫系统。

图3 安全仪表系统SIL等级评估过程

3.2 SIL定级

采用推荐的保护层分析方法(LOPA)，通过SIL定级会议，对柴油加氢精制装置辨识出的73个工艺联锁回路的安全功能、触发事件或原因、逻辑处理器、执行元件以及风险状况等进行了逐项分析和讨论记录。SIL分析确定会议主要成果包括了人员伤害、环境影响及财产损失确定的SIL等级，综合考虑人员伤亡风险、环境影响风险及经济损失风险所需求的SIL等级，然后选择其中需求较高的SIL等级作为特定SIF(安全仪表功能)回路需求的SIL等级。表2为柴油加氢装置主要工艺联锁的SIL一览。

3.3 SIL验证

遵循SIL验证标准，本次评估采用马尔可夫模型计算PFDavg，借助专业软件，对柴油加氢装置安全仪表系统中各SIF的结构约束和PFDavg进行验证。柴油加氢装置的安全仪表功能均为低需求模式，设备使用寿命设定为12年，检验测试周期为4年，故障修复时间(MTTR)为8 h。以表3为例，对柴油加氢装置各个SIF回路进行验证计算。

验证结果表明，1个SIL1等级、3个SIL2等级的SIF回路不满足SIL要求，需要根据提出的建议措施进行完善。

4 结论和建议

a)为了防止高压窜低压，建议进料泵出口设置流量低低联锁。

b)长明灯燃料气和主火嘴燃料气独立设置，并将长明灯管线引出点设置在燃料气分液罐压控阀前；长明灯燃料气和主火嘴燃料气压力低低联锁取压点设置在阻火器与火嘴之间。

c)建议产品分馏塔底重沸炉流量低低联锁(2oo4)设置为单支路进料流量低低联锁。

d)高分液位、高分界位和循环氢脱硫塔液位低低或无液位会导致高压窜低压的危险工况，出口应设置独立的切断阀，并应特别重视联锁回路所用设备的可靠性。

e)应充分考虑各保护层的独立性，实现控制、报警和联锁用传感器和阀门独立设置。

由以上评估过程和建议可以得出，开展石油化工装置安全仪表系统SIL评估，能够找出装置主要危险点，准确辨识安全仪表系统SIL中哪个环节存在缺陷，并有针对性地提出合理可行的建议措施，对于保障装置安全稳定运行具有重要意义。

表2 汽柴油加氢装置SIS系统SIL分级一览

表3 F2101燃料气压力低低验证举例