爆破片安全装置与安全完整性等级探讨

2020-05-13闫兴清喻健良温殿江姜一昌朱永江

压力容器 2020年4期

闫兴清，喻健良,，温殿江，姜一昌，朱永江，李岳,，韩冰，胡军

(1.大连理工大学化工机械与安全学院，辽宁大连 116024； 2.大连理工安全技术与控制工程研究中心有限公司，辽宁大连 116012； 3.大连理工安全装备有限公司，辽宁大连 116012；4.大连市锅炉压力容器检验研究院，辽宁大连 116013)

0 引言

安全完整性等级(Safety Integration Level，简称SIL)是近年来发展起来的针对过程工业领域的风险管理方法[1-2]。该概念的提出，源自安全仪表系统(Safety Instrument System，简称SIS)的广泛应用[3-4]。安全仪表系统(SIS)是由国外提出的一种保护层概念，是用于保障安全生产的一套系统，属于企业生产自动化范畴。其安全等级高于工艺的基本过程控制系统。当工艺出现异常时，SIS进行干预，降低事故发生可能性。

随着国内石油、化工、天然气等行业迅速发展，事故频率和潜在的事故风险逐渐增大。原国家安监总局2011年40号令规定“涉及毒性气体、液化气体、剧毒液体的一级或二级重大危险源，配备独立的安全仪表系统”；2014年116号文指出：从2018年1月1日起，所有新建涉及“两重点一重大”的化工装置和危险化学品储存设施要设计符合要求的安全仪表系统;其他新建化工装置、危险化学品储存设施安全仪表系统，从2020年1月1日起，应执行功能安全相关标准要求，设计符合要求的安全仪表系统。

在上述背景下，国内化工装置相继开展了安全仪表系统(SIS)配备以及SIS基于功能安全的安全完整性等级(SIL)定级等工作[5]。众多仪表制造厂家，也相继对其各型号产品开展安全完整性等级认证，以满足SIS的基于功能安全所需的SIL等级需求。

爆破片作为一种精准的压力开关，已被广泛应用于压力容器防护场合，以预防因超压带来的危害[6-9]。在国内化工装置广泛配套安全仪表系统的大背景下，部分人员提出爆破片是否属于SIS零部件、是否要开展SIL认证等问题。尤其是一些国外爆破片制造厂商对部分所售爆破片产品标注了SIL等级，更是为国内研究人员带来了困惑。基于此，本文探讨爆破片安全装置与安全仪表系统(SIS)、安全完整性等级(SIL)的关系，并回答上述问题，以为爆破片未来研究方向提供参考。

1 爆破片是否属于安全仪表系统(SIS)零部件

要解答爆破片是否属于安全仪表系统零部件这个问题，首先需要明确保护层(Protection Layer，简称PL)、独立保护层(Independent Protection Layer，简称IPL)的概念[10]以及SIS的组成。

保护层(PL)是借助控制、预防、减轻等手段降低风险的独立保护机制。独立保护层，是指能够阻止事件向不期望后果发展、独立与其他防护层的设备、系统或行动。根据GB/T 21109—2007[11]，典型过程工艺的独立保护层一般称为“洋葱”模型，如图1所示。该图含义为：当过程工艺出现风险时，依次由基本过程控制系统(BPCS)保护层、警报与人员干预保护层、安全仪表系统(SIS)保护层、物理防护保护层、释放后物理防护保护层、工厂紧急响应保护层、社区紧急响应保护层。只有当这些保护层均失去作用时，才能导致最严重的事故后果。

图1 工艺保护层的“洋葱”模型

目前，化工装置依据原安监总局文件配备的安全仪表系统保护层,与爆破片装置所处的物理防护保护层处于不同的独立保护层。这说明，当工艺出现风险时，爆破片与安全仪表系统对工艺风险的防护行为相互独立。

图2示出安全仪表系统的功能及组成。安全仪表系统独立于基本过程控制系统，一般由传感器、控制器、执行器组成。传感器检测工艺参数，若参数与设定值出现偏差，且基本过程控制系统、警报与人员干预均未起到效果时，安全仪表系统干预，控制器驱动执行器完成危险场景消除。对爆破片来说，其不属于安全仪表系统中传感器、控制器及执行器的任何一种零部件。

图2 安全仪表系统功能及组成示意

综上可知，爆破片不属于安全仪表系统(SIS)零部件，其与SIS处于不同的独立保护层。需要强调的是，工业中存在爆破片为仪表系统提供爆破信号以便工艺执行相应动作的场景。此类情况比较复杂，需要具体问题具体分析。

2 爆破片要不要做安全完整性等级(SIL)认证

要解答爆破片要不要做安全完整性等级认证这一问题，需要了解安全仪表系统基于功能安全的安全完整性等级(SIL)评估思路。根据GB/T 21109—2007[11]，安全完整性等级是用来分配给安全仪表系统的仪表安全功能的安全完整性要求的离散等级。离散等级分为四级：SIL 1，SIL 2，SIL 3，SIL 4。SIL 4是安全完整性的最高等级，SIL 1为最低等级。SIL是衡量SIS可靠性的一个指标，其具体等级由仪表的故障频率确定，如表1所示。

表1 SIL确定

化工装置开展安全仪表系统配套工作，涉及的企业及工作关系示意图见图3(本图仅列出了各企业的典型重点工作，实际情况要比本图复杂得多)。对于化工企业的某工艺装置来说，评估机构需要通过危险与可操作性分析(HAZOP)、保护层分析(LOPA)等方法，向企业解答所评价的工艺或装置是否需要配套安全仪表系统(SIS)。若需要配套，则该SIS为了实现功能安全的目标，所需的安全完整性等级为哪一级(SIL定级过程)。然后，化工企业向安全仪表系统零部件(包括传感器、控制器、执行器)的制造厂家(统称仪表企业)购买符合SIL的产品。

对于仪表企业来说，其产品的SIL，需要通过有资质的机构(如TUV等)检测该产品的失效概率数据，然后依据表1的规定，确定该产品的SIL并颁发认证证书(SIL认证过程)。可见，对仪表企业，获得产品的SIL认证，是后续进入各行业安全仪表系统配备工程的基础。

图3 安全仪表系统与安全完整性等级示意

根据前面分析，爆破片不属于安全仪表系统零部件，故爆破片制造厂家也不属于图2所示的仪表企业。因此可以得到结论：爆破片不需要开展安全完整性等级(SIL)认证。

3 爆破片在SIS基于功能安全的SIL定级中的作用

虽然爆破片不属于安全仪表系统零部件，也不需要开展安全完整性等级认证。但是，爆破片在整个安全仪表系统配备工作周期内是否有作用值得探讨。要解答这一问题，需要明确如何开展安全仪表系统的基于功能安全的安全完整性等级定级。

石化行业常用的安全完整性等级定级方法是半定量化的保护层分析(Layer of Protection Analysis，简称LOPA)法[12]。LOPA方法的步骤为：(1)场景识别与筛选；(2)初始事件(Initial Event，简称IE)确认；(3)独立保护层(IPL)评估；(4)危险场景发生概率计算；(5)风险评估与决策；(6)后续跟踪与审查。

本文不详细介绍LOPA方法的具体操作(可参阅文献[13])，仅以两个案例介绍爆破片在安全仪表系统的SIL定级中的作用。

(1)案例一：爆破片作为独立保护层失效。

假设工艺中某容器存在超压危险场景，该场景的初始事件为E1(可能为任何事件，需要结合实际工艺分析)，其发生频率为f1。该容器配备爆破片泄放装置。根据图1，此时爆破片为防容器超压的独立保护层。当初始事件E1发生时，存在两种情况：①若爆破片正常动作，则超压危险场景不会发生；②若爆破片在爆破压力下未打开，即爆破片作为物理防护的独立保护层失效，则超压危险场景会发生;爆破片失效发生概率记为f2。

则该超压危险场景的发生概率f=f1f2。由此可知，对于爆破片作为独立保护层失效的案例，需要明确爆破片未打开失效模式下的失效概率f1。

(2)案例二：爆破片失效作为初始事件(IE)。

假设工艺中某容器存在物料溢出危险场景，该场景的初始事件E1为爆破片低压打开或泄漏，其发生概率为f′1。此时存在两种情况：①若针对物料溢出配备了独立保护层(如防护堤、密闭卸料罐等)，且独立保护层未失效，则物料溢出危险场景不会发生；②若独立保护层失效，则物料溢出危险场景发生;独立保护层失效概率记为f′2。

则该超压危险场景的发生概率f′=f′1f′2。由此可知，对于爆破片作为初始事件的案例，需要明确爆破片低压打开或泄漏失效模式下的失效概率f′1。

在上述两个案例中，爆破片在安全仪表系统的SIL定级中起到的作用不同，则对爆破片失效概率的需求不同。表2汇总了上述两个案例的结果。这也解答了本节的问题，即爆破片在安全仪表系统的SIL评级中有作用。

表2 爆破片在安全仪表系统的SIL定级中的作用

4 现有标准对爆破片失效概率的规定及进一步研究方向

在目前的SIL评级标准如GB/T 32857—2016《保护层分析(LOPA)应用指南》[14]、AQ/T 3054—2015《保护层分析(LOPA)方法应用导则》[15]中，对典型事件发生频率进行了规定。其中，GB/T 32857—2016规定爆破片的失效概率为10-5～10-1之间，且注明了“爆破片有效性对服役条件比较敏感”；AQ/T 3054—2015中未对爆破片失效概率进行规定。

分析发现，虽然GB/T 32857—2016规定了爆破片失效概率，但是在实际应用中存在如下问题。

(1)失效概率数据来源于国外，对国内爆破片的适用性还未知。调研发现，爆破片行业标准的制定人员、爆破片制造厂家的技术人员对该失效数据也缺少认识。

(2)失效概率范围宽泛。当取不同值时，可能获得不同的SIL。虽然调研发现工程人员在开展SIL定级时一般取爆破片失效概率为10-2，但缺少科学依据。

(3)由表2可知，当爆破片作为不同角色时，所需的失效概率的失效型式并不相同。但GB/T 32857—2016中给出的失效概率未加以区分。

总的来说，目前爆破片结构类型多样，失效模式多样(未打开、低压提前打开、泄漏)。对不同类型的爆破片，需要明确不同失效模式下的失效概率，以能够在SIL评级时精确使用爆破片失效概率数据。这种需求对国内爆破片制造厂家提供了新的要求。制造厂家需要对销售出去的爆破片投入精力持续关注其使用情况，必要时对每一片爆破片建立使用档案，形成大量使用数据。当具有一定时间的数据积累后，即可拿出较精准的不同模式下失效概率数据。

值得一提的是，虽然爆破片不需要开展SIL认证，但国外一些爆破片厂家仍然给出了爆破片的SIL数据，显然是因为这些厂家对其制造的爆破片的失效概率有很可靠的数据做支撑。因此，爆破片相关失效数据的积累是国内爆炸片制造厂家及研究人员进一步的研究方向。