石化行业在役装置SIL评估

李 宏，潘 晨，潘海滨

(1.中国石油天然气股份有限公司大港石化分公司，天津 3002802.中国石油天然气股份有限公司青海油田分公司采油一厂，青海西宁 816400)

0 引言

石化行业是我国主要的能源和化工原材料来源，其主要原料是石油和天然气，产品有燃料油、润滑油、合成纤维、塑料等，石化生产具有易燃、易爆等特性。近年来在生产实践中，政府、企业对安全生产的管控不断加强，尤其对于在役装置，运行时间较长、设备老化，其安全相关系统是否能保证石化生产的安全，达到必要的安全完整性等级，需要进行科学的评估。

1 相关概念[1]

a)安全完整性：是指在规定的时间段内和规定的条件下，安全相关系统成功执行规定的安全功能的概率。安全完整性越高，安全相关系统在要求动作时，未能执行规定的安全功能或未能实现规定状态的概率就越低。有4个安全完整性等级，SIL4为最高等级，详见表1。

表1 安全完整性要求等级[2]

b)低要求模式：仅当要求时，才将EUC导入规定安全状态的安全功能，并且要求的频率不大于每年一次。

c)高要求模式：将EUC导入规定安全状态的安全功能，仅当要求时才执行，并且要求的频率大于每年一次。

对于石化行业，一般采取低要求模式。

d)安全仪表系统(SIS)：是用于执行一个或多个安全仪表功能(SIF)的仪表系统。SIS由传感器子系统(如各类测试仪表、开关、变送器等)、逻辑子系统、最终元件(如电磁阀、喇叭、报警等)组成。

2 在役装置的SIL评估过程

在工厂生产实践中，SIS是石化装置的重要组成部分，对于装置的安全运行起着至关重要的作用，分析其是否能应对装置可能存在的各类风险，达到应有的SIL，实现对装置的合理保护，有着重大的现实意义。

对于在役装置的安全完整性等级评估，一般包括如下3部分内容。

2.1 对装置各个回路的SIF进行安全完整性定级

对于在役装置回路SIF进行SIL定级，一般是在HAZOP分析报告的基础上进行的，有时是因为触发了危险状态被提出。SIL定级主要有风险矩阵法、风险图法和保护层分析(LOPA)法。其中保护层分析法应用较为普遍。

LOPA通常是在HAZOP(定性)分析的基础上，进一步半定量评估保护层有效性，并进行风险决策的系统方法，其主要目的是确定保护层是否使风险被控制在企业风险标准之内。主要步骤如图1所示[3,4]。

图1 保护层分析步骤

由图1可以看出，其中的关键步骤是独立保护层(IPL)的评估，石化行业保护层作为IPL时，应满足独立性、有效性、安全性、变更管理和可审查性等要求。

2.2 SIL等级验算

确定回路SIF的SIL等级之后，对其能否达到SIL等级要求进行验算，其验算结果主要由两方面因素决定。

a)验算方法：目前普遍采用的方法有3种：故障树法、可靠性框图法、马尔科夫法。

b)相关设备的可靠性数据，该数据的来源应遵循如下顺序原则：①现场积累的失效数据；②设备厂家提供的失效数据；③典型的工业数据库。

验算的步骤如图2所示。

图2 SIL等级验算步骤

2.3 SIL验证结果分析

一方面，当SIL验证结果无法达到定级要求时，应当根据装置的实际运行状况提出改进建议和措施，常见的有：提高相关设备的安全等级，改善表决结构，缩短回路的检验测试周期等，以提高回路的SIL等级；或者通过建立非SIF降低初始事件发生概率、消减既定风险发生概率，满足装置安全运行的需要。

另一方面，SIL验证结果与定级比较，并不是越高越好。SIL等级越高，说明其安全保护作用越强，但是其误停车率也会相应变高、投资成本会增加，石化装置无法达到安稳长满优运行，造成不必要的损失。所以当验证结果明显高于定级要求时，可以通过降低设备等级，删减冗余结构、适当延长回路的检验测试周期等方法，在满足SIL定级要求的同时，降低回路的误停车率，使装置安全、平稳运行，取得最大的经济效益。

3 评估实例

某石化企业重整装置的工艺流程如下：脱戊烷塔(C-201)底油由脱戊烷塔底重沸炉泵(P-203)升压，分为4路进料进入脱戊烷塔底重沸炉(F-205)，强制循环加热后返回脱戊烷塔(C-201)。该工艺流程设置有流量低低联锁，4路进料中2路流量达到联锁值，则关闭脱戊烷塔(C-201)重沸炉燃料气进气阀门。

根据上述工艺流程，在HAZOP分析结果(表2)的基础上，进行回路的SIL定级及验证。

3.1 回路SIF的SIL定级

LOPA分析结果见表3。

表2 HAZOP分析结果(节选)

表3 LOPA分析结果(节选)

由表3可知，其IPL的可能性为2.9×10-2/年，大于风险可接受容许值3×10-4/年，所以需要增加SIF回路，其SIF回路为1.03×10-2/年，在低要求操作模式下，该联锁回路SIF定级为SIL1。

3.2 回路SIF的SIL验证

流量联锁回路输入输出结构、术语列表、流量联锁回路相关设备的可靠性数据、流量联锁回路的SIL计算分别见表4～表7。

表4 流量联锁回路输入输出结构

表5 术语列表

表6 流量联锁回路相关设备的可靠性数据

表7 流量联锁回路的SIL计算[5-8]

注：PFDavg的计算采用可靠性框图法

由于执行单元采用的是故障安全型模式，由上表可得：PFDSYS=PFDS+PFDL+PFDFE=3.71×10-2，在低要求操作模式下，达到的SIL等级为SIL1。

由表8可知由回路硬件安全完整性结构约束的SIL能力。所以该回路由硬件安全完整性结构约束的SIL能力为SIL2。

表8 硬件安全完整性B类安全相关子系统的结构约束[9]

综合SIL验算及硬件安全完整性结构约束(表9)，验证该回路的SIL等级为SIL1，满足定级要求。

表9 各系统结构约束的SIL等级

3.3 回路的MTTF计算[10,11]

回路的MTTF大于30年，误停车指标合格。

3.4 SIL验证结果分析

通过表7可以看到，该回路PFDS=1.79×10-4，SIL等级为SIL3，同时通过表9可以看到其PFDAC为SIL3，均明显高于定级要求，同时表7中传感器子系统的MTTF为81 884.04年，也明显偏高，所以通过适当方法降低传感器子系统参数，既不会影响回路SIL等级，也不会降低回路的MTTF。

常用方法及分析如下。

a)删减冗余结构，传感器子系统采取的是2oo4结构，该结构是造成回路SIL等级及MTTF参数较高的主要原因，但是由于其工艺条件的限制，4路进料进入脱戊烷塔底重沸炉，设计联锁时必须检测4路进料，用以保证其安全性，同时防止进料偏流，传感器子系统为2oo4是合理的，所以无法删减该冗余结构。

b)降低设备等级，由于传感器子系统所用设备都是经过SIL认证的设备，等级较高，这也是造成回路SIL等级及MTTF参数较高的主要原因，该类设备的价格也较高，所以可以适当选用同类的非认证设备，这样既保证了回路的SIL等级及其MTTF，也能降低成本。但是，对于已经投用的设备单元，不建议降低设备等级。

c)适当延长回路的检验测试周期，由于该回路随装置检修进行检验测试，目前装置检修周期为36个月，所以不应延长回路检验测试周期。

从上述分析可以看出，该回路传感器子系统不是影响回路SIL等级和MTTF的主要原因，但是由于是在役装置，也不适宜降低设备等级。该验证结果提示，在设备选型时，应综合考虑安全联锁回路的安全性和可用性，合理选用设备，这样既可以保证回路的SIL等级和MTTF，也能有效降低成本，取得双赢的效果。

4 结语

a)一些使用时间较长的装置，其联锁回路的设定没有严格的按照安全完整性标准实施，这种联锁回路是否能保证装置的安全运行，需要进行安全完整性评估，对于不能满足安全需要的回路，要采取适当的措施，提高其安全等级，保证装置的安全运行；对于明显超出安全等级需要的回路，可以采取适当措施，降低其安全等级，同时降低误停车率，保证装置的平稳运行。

b)在实际的验证过程中，对于服役时间较长的装置，其相关设备可靠性数据的获得是一个难点，这不仅需要设备厂家提供相关参数，参考通用设备数据，更需要石化企业建立本企业在用设备的可靠性数据库，为本企业装置的安全完整性评估打下坚实的基础。