IPF分析在长庆油田地面工程设计中的应用研究

张鑫，王迪，杨丹阳

1.长庆工程设计有限公司（陕西 西安710018）

2.中国石油长庆油田苏里格南作业分公司（陕西 西安710018）

长北气田是中国石油与壳牌公司合作开发的区域，位于陕西省榆林市，自2006年底投产以来一直成功运行，形成了33×108m3∕a的供气能力。长北二期是针对整个长北区块主力层山2层上下的次级层（主要包括盒8、山1和太原）的开发。长北二期采用了“地面初期节流，井口注醇，单井气液连续计量，气液混输、集气增压站高中压混合集气、集中增压，处理厂集中处理”的主体工艺技术路线[1]。长北二期地面工程新建1座集气增压站、4类共11座井丛，并对已建中央处理厂进行改造[2]。集气增压站设置过程控制系统PCS、仪表保护系统IPS、火气系统FGS和配套操作站各1套，完成生产过程的监控、紧急停车和火、气、烟检测。各类井丛分别设置IPS 1套，对井丛生产各项工艺参数进行监控，负责井丛故障或紧急状况下紧急停车，并可监测到火、气、烟信号。在长北二期项目初步设计过程中，开展了多个专项分析，IPF分析是重要组成部分之一。

1 仪表保护功能简介与开展IPF分析的意义

1.1 仪表保护功能与安全完整性等级简介

仪表保护功能（IPF），又被称为安全仪表功能（SIF）。一个典型的IPF回路包括了一个或多个传感器（如压力变送器）、一个逻辑解算器（如PLC）、一个或多个最终执行单元（如控制阀）[3]。IPF回路用于阻止工艺过程风险或降低风险造成的影响，其实质在于风险事件发生时将工艺装置维持在一个相对安全的状态。一个油气站场的安全仪表系统（SIS）是由许多个IPF回路组成。IPF回路的性能通过安全完整性等级（SIL）衡量,根据IEC 61508—2010标准，可划分为4个等级，SIL等级越高说明安全级别越高[4]。按照安全联锁动作发生的频率可将SIL分为两种模式，当频率低于每年一次时，为低要求操作模式，否则为高要求操作模式。在油气工业领域，一般按照低要求操作模式考虑，即安全联锁动作的频率一般在每年一次以内，SIL等级由安全联锁动作的年平均失效概率(PFD)确定，见表1。

表1 安全完整性等级按操作模式划分表

1.2 IPF分析的意义

IPF分析，又被称作SIL分析或SIS分析，其最基本的作用是确定安全仪表系统的安全完整性等级。IPF分析是一种基于保护层分析（LOPA）方法的半定量风险评价方法[5]。其基本原理是在定性分析（如危险与可操作性HAZOP分析）的基础上，对场景风险进行相对量化的研究，确定采用何种等级的SIL可以将场景发生时的风险降低到可承受范围内，是否需要增加额外的保护层等。

长北二期工程在新建的井丛和集气增压站均设置了安全仪表系统，在壳牌公司的《设计和工程实施规范》（Design and Engineering Practice）中强制规定：在工程设计过程中，任何识别出涉及安全仪表系统的风险场景均必须进行IPF分析，以此确定安全仪表系统的安全完整性等级。

近年来国内新建的油气田地面工程同类项目中，安全仪表系统由于其降低过程风险、保障本质安全的作用，应用越来越广泛。但是在应用中，仍存在以下两点不足：

一是对工程的危险与风险分析不足，一般只有定性分析，而无定量分析，如长庆各气田新建的处理厂∕净化厂都进行了HAZOP分析，但没有对安全仪表进行过专项分析。HAZOP分析可用于辨识设计缺陷和工艺过程危害，并提出合理可行的风险消减、缓解措施，以期将风险降低到可接受范围之内[6]。HAZOP分析方法存在一定的局限性，当识别出后果较严重的风险时，无法给出各类措施对风险的削减程度，也无法判断剩余风险与风险可接受标准之间的差距。

二是目前安全完整性等级的确定主要依靠设计人员的经验和参照同类项目，会出现安全仪表系统过度设计的情况，增加不必要的投资。

在长北气田二期工程设计过程中应用IPF分析的意义可归纳为以下3点：

1）在分析过程中通过半定量计算，明确每一个IPF回路的安全完整性等级，从而确定整个安全仪表系统的规格。

2）识别场景风险，分析现有设计的安全措施是否能够满足工程实际需要。当某些IPF回路安全完整性等级过高时，说明场景风险过高，需要通过改进工艺设计降低风险。

3）通过IPF分析，可以明确识别出各个场景的中间事件、安全措施和事故后果，帮助参与分析的团队成员更深刻地理解工艺过程和场景。

2 IPF分析的过程

在长北二期项目初步设计过程中，对集气站、井丛和处理厂扩建所有的安全仪表回路均进行了IPF分析。IPF分析流程如图1所示。

2.1 准备工作

1）成立专门的IPF分析团队。团队成员包含设计工程师、业主工程师、运行操作人员、第三方咨询公司。所有的团队成员应接受IPF分析培训，理解分析意图，掌握分析方法。

2）准备输入资料。IPF分析的核心输入资料包括危险和可操作性（HAZOP）分析报告、管道和仪表流程图（P&ID）、安全连锁系统因果逻辑图（Cause&Effect Matrix）、平面布置图和设备表等。HAZOP分析报告中的偏差、引起偏差的原因、偏差引起的后果、现有的安全措施可以分别对应IPF分析的场景描述、风险和初始事件、后果描述和保护层描述[7]。

图1 IPF分析流程图

3）场景识别和筛选。对可能存在的风险场景进行识别和筛选，每个风险场景对应一个IPF回路，以便进行分析。

2.2 分析过程

以集气增压站高压分离器液位高高安全仪表回路为例说明IPF分析全过程。分离器的基本流程是：井场来湿气进分离器进行气液分离，分离后气相进压缩机进行增压，液相进闪蒸罐进行闪蒸分离[8]。该IPF回路包括传感器（分离器的液位变送器）、逻辑解算器（用于该回路的SIS控制器）和最终执行单元（分离器进口管线气动切断阀），基本逻辑是在分离器液位高高时切断进口管线。该部分管道和仪表流程如图2所示。

1）第一步，选取一个IPF回路并假设其安全仪表功能失效。在此例中，先假设该液位高高关断IPF回路失效。

2）第二步，描述一个导致风险的初始事件。初始事件即为导致风险发生的起因，通常可以有控制系统故障、机械系统故障、人的失效以及外部事件等。在此例中，导致分离器液位高高的事件可能有分离器排液截断阀失效关闭、分离器液位控制回路失效、操作员误操作导致手动阀门误关等。

3）第三步，列出现有的保护层。IPF分析是一种基于保护层分析方法的半定量分析方法。按照保护层分析方法的理论，工厂的保护措施可以划分为若干层，分别是工艺过程装置、基本过程控制系统、警报与人员干预、安全仪表系统、物理防护（如安全阀）、释放后物理防护（如防护堤）、工厂紧急响应和社区紧急响应，如图3所示。

图2 集气增压站高压分离器P&ID

图3 典型工厂保护层示意图

在IPF分析中，需要列出现有的独立保护层，保护层应当具备有效性、独立性和可审查性。如基本的过程控制回路，其传感器、控制器和执行元件必须与IPF回路在物理上相互独立，方能被视为独立保护层。

分离器下游的压缩机进口洗涤罐带有独立的SIL2级别的液位高高安全仪表回路，可以为分离器液位高高时携液这种情况提供保护，可视为一个独立的保护层。

4）第四步，计算风险发生概率，单一事件风险发生概率=初始事件发生概率×保护层修正系数，总的风险发生概率是各自单一事件风险发生概率的累加。初始事件发生的概率一般来自于国内外通用数据源。在此次SIL分析过程中，使用了壳牌公司RRM软件的SIFPro模块，初始事件发生概率由该软件内置的数据库提供。通过查询数据源，得出手动球阀误关的概率为0.016 7～0.066 7，液位控制回路失效的概率为0.2，SIL2级别的独立保护层可以提供0.01～0.1的概率减小修正。

5）第五步，预估风险发生时产生的不利后果。后果的信息来源可以是国际惯例、通用数据源、行业经验或实践积累等，也可以由项目成员根据实际情况进行估算，可以划分为人员伤亡、环境污染和财产损失3类。在评估时，一般按照最坏结果考虑。在此例中，分离器液位高高会造成液体溢罐，多余液体流入压缩机可能对其造成损害，最坏后果评定见表2。

表2 最坏后果评定

6）第六步，计算最终后果频率，按后果频率与最坏后果查表确定SIL。最终后果频率计算公式为：

式中：fiC为初始事件i造成后果C的频率，单位为次每年；为初始事件i的发生频率，单位为次每年；PiE为使能事件或使能条件发生的概率,假如没有使能事件或使能条件，则取1；为条件修正因子,假如没有任何条件修正,则取1；PFDij为初始事件i中第j个阻止后果C的独立保护层要求时危险失效概率。

查表规则遵循了壳牌公司《设计和工程实施规范》（DEP标准）中关于安全仪表系统的相关规定［9］，见表3、表4。

查表结果是人员伤亡情况对应SIL1、环境污染情况无对应SIL等级、财产损失情况对应SIL1，应选择最高的等级，此IPF回路最终确定为SIL1级。

7）第七步，风险评估与建议。如果某些IPF回路分析结果显示SIL等级过高，说明潜在风险过高，需要改进工艺设计，应通过提高本质安全降低风险。如在集气增压站的设计中，污水罐区液位高高联锁的IPF分析结果初始为SIL3，风险过高，设计团队改进了气田污水的装卸车方式，之后该IPF回路等级降低到SIL1，从而使风险达到可接受范围。

表3 人员伤亡情况与SIL对照表

表4 财产损失情况情况与SIL对照表

IPF回路的分析结束，每一个IPF回路均应按照该方法进行分析，最后取所有回路中最高等级的SIL作为整个安全仪表系统的配置。

3 应用效果及建议

在长北二期初步设计过程中，共对集气站、井丛和处理厂扩建的59个IPF回路进行了分析。IPF分析取得了以下应用效果：

1）确定合理配置，显著降低投资。长北二期安全仪表系统在项目可研阶段暂定等级为SIL2级，其控制系统部分概算投资为648万元。经过IPF分析后，计算得出井丛和集气增压站全部58个IPF回路的最高等级为SIL1，因此安全仪表系统的定级可下调至SIL1。在满足安全需求的前提下，通过确定合理的SIL定级，控制系统部分投资下降到522万元，直接节省投资126万元，占该部分投资总量的19.5%。

2）优化工艺流程，提升本质安全。在IPF分析过程中，如果某IPF回路计算所得安全完整性等级明确偏大，则说明该处设计不合理，有较大的优化空间。通过系统的梳理、分析和半定量计算，共找出初步设计中存在的各类问题72个并分别进行优化，尽可能将安全风险消灭在萌芽中，提高了装置的本质安全水平。

3）掌握分析方法，应用前景广阔。IPF分析是国际上通用的有效安全分析方法，但国内上游油、气工业领域对其掌握不足，应用较少。通过此次分析，设计团队掌握了该分析过程，长庆油、气田各类新建工程在设计阶段均可进行IPF分析，尤其是处理厂、净化厂和轻烃回收等大型工程，以此分析风险、改进设计并确定安全仪表系统配置。除新建工程外，IPF分析也适用于在役的油、气田危化生产设施。通过风险分析确定安全仪表功能及其风险降低要求，并评估现有安全仪表功能是否满足风险降低要求，对提高现有装置安全水平具有重要意义。