乙烯装置安全仪表系统SIL评估要点分析

2022-01-19朱健

仪器仪表用户 2022年1期

朱健

（中国石油化工股份有限公司扬子分公司，南京 210048）

安全仪表系统对工业生产领域具有重要的意义。设计合理、可靠性强的安全仪表系统能够在危险条件下准确做出设计的联锁动作，从而避免了安全事故的发生，对相关人员、设备能够做到有效保护，同时也可避免误动作带来的非计划性停车。

SIL评估技术作为安全仪表系统全生命周期管理的重要组成部分，能够针对SIS系统是否安全可靠等问题做出正确的分析。中国石油化工集团为了加强石化行业安全建设，陆续发布了相关指导意见，要求对在役装置、改扩建及新建装置要进行安全评估工作。近年来，SIL评估技术在石油化工装置中也有较为广泛的研究和应用。

1 安全仪表系统相关概念

1.1 安全仪表功能

安全仪表功能，即Safety Instrumented Function（SIF）。SIF是指对于可能发生的危险事件，能使过程转变或者保持一个安全状态，由安全仪表系统执行的安全功能。

1.2 安全完整性等级

安全完整性等级，即Safety Integrity Level（SIL）。在国际标准IEC61508和IEC61511中，提出了SIL的定义，即衡量每一个SIF回路在需求时的失效概率。每个SIF回路都具有相应的SIL等级，因此一个SIS系统可能具有不同的SIL等级。标准中对SIL进行了等级划分，共4个等级，即SIL1～SIL4。其中，SIL1是最低要求，在一般的应用场合中，SIL3是其最高等级。在低需求模式下，SIL等级划分见表1。

表1 安全完整性等级Table 1 Safety integrity level

1.3 安全生命周期

安全生命周期，即Safety Life Cycle（SLC），要求“安全”贯穿于安全仪表系统在设计之初、测试运行以及最后的停用阶段。SLC的管理概念可以保证安全仪表系统在每个阶段都能够按照标准执行，保证了每个阶段的功能安全。

2 SIL评估方法

2.1 LOPA分析法

对于一套生产装置的SIL评估，首先需要进行SIL定级，通常是基于LOPA分析法进行联锁回路的定级。LOPA分析是事故场景的半定量分析方法[1]，主要通过引发原因、风险等级、促成后果条件，以及独立保护层判断等方面进行分析，具体分析内容包括[2]：

1）SIF识别。根据提供的相关技术材料，如联锁逻辑图、联锁台账、P&ID图纸等，确定SIS系统有多少个SIF回路。

2）风险程度。明确危险事件发生后带来的后果以及引发原因，依据风险矩阵，确定后果对人员伤亡、健康环境和设备财产带来的影响等级。

3）促成后果条件识别。明确促使安全事故发生的条件，如引火源、人员在现场、单向阀失效等条件。

4）识别IPLs。充分识别独立保护层，如报警、BPCS、安全阀等，识别的过程要注意其独立性和有效性，如安全阀要成为独立保护层，需要有证明其释放能力的计算书。

LOPA分析法具体流程如图1所示。

图1 LOPA分析法确定SIL等级的程序Fig.1 The procedure of LOPA analysis method to determine SIL level

因此，在对联锁回路进行SIL定级时，需要明确两个方面的风险值：

危险事件目标风险。依据风险矩阵，确定危险事件在人员安全、环境影响和设备财产方面减缓事件的可能性，即风险可接受标准（TMEL）。

危险事件场景频率。通过对引发原因频率、促成后果频率、IPLs的失效概率进行分析，确定场景频率，计算公式如式（1）：

联锁回路的PFD，计算公式如式（2）：

2.2 可靠性框图法

在对每条SIF回路进行定级后，需要根据每条SIF回路的硬件单元、冗余结构等方面进行验证，对每条SIF回路的PFDavg、RRF和结构约束进行评估[3]。可靠性框图法就是通过计算PFDavg、平均误动作停车时间间隔（MTTFS）、硬件结构约束等方面进行评估的[4]。

每个SIF的PFDavg可以分为传感单元PFDse、逻辑控制器PFDls、执行机构PFDfe等模块要求时的平均失效概率之和，而每个子模块的PFDavg和元件的危险失效率、表决方式、检测测试周期，以及共因因子等方面密切相关。确定PFDavg后，根据表1判断该回路能够达到的SIL级别。

SIF回路可用性评估指标为平均误动作停车时间间隔（MTTFS），其计算公式如式（3）：

式（3）中：STR为误动作停车率，它与系统的表决方式、共因失效因子、检测测试周期等因素有关。

2.3 敏感性分析

敏感性分析是针对不满足SIL定级结果的SIF回路进行解读并优化的方案分析。由于一个SIF回路的PFDavg由传感单元、逻辑控制器、执行机构3个模块的PFDavg决定，因而对于不满足要求的SIF回路，可从这3个模块进行优化，主要优化方法有：

1）缩短检验测试周期。

2）改变冗余结构。

3）完善测试方式。

4）更换可靠性高的硬件。

3 SIL评估技术在乙烯装置的应用

3.1 工艺流程

本次分析的乙烯装置工艺流程主要为：裂解原料在裂解炉中进行裂解，得到的裂解气急冷后，进入裂解气压缩机脱除部分水和重烃，经过裂解气干燥器深度干燥后，进入冷箱系统，分离氢气后，进入脱甲烷塔分离甲烷，后依次按碳一、碳二、碳三等顺序先后分离，最终在乙烯精馏塔中得到乙烯产品。

3.2 乙烯装置的SIL定级

由工艺、仪表、设备、安全等专业人员组成的分析小组，采用LOPA分析法对乙烯装置进行SIL定级。

首先，根据提供的HAZOP分析报告、联锁逻辑图、联锁台账，以及P&ID图纸等技术文件，完成乙烯装置所有SIF回路的识别，并明确SIF标识、SIF描述，以及最终执行机构等信息。本次分析的乙烯装置，其中一条SIF回路的信息为SIF标识：“SIF1002 XZS102M1(1oo1)”，SIF描述：“燃烧炉正压，火焰外窜，炉膛内缺氧燃烧，局部火嘴灭火，形成爆炸性氛围，发生闪爆，人员伤亡”，执行机构：“关闭XZV102A/L(2oo2)”。

其次，分析每条SIF回路的初始原因，并依据《中国石化安全风险评估指导意见》[2018]38号中的风险矩阵，结合现场实际情况，对每条SIF回路的人员伤亡（S）、财产损失（A）、环境影响（E），以及非财产性与社会影响（R）进行风险分析，确定相应的后果等级。SIF1002回路的初始原因为：“电机或部件故障”和“断电”两个原因，后果等级为（按“SARE”顺序）：D、C、C、C。

最后，分析条件概率和独立保护层，从而完成SIL定级工作。SIF1002回路“人员暴露”的概率为0.1，IPLs为“报警”，概率为0.1。SIF1002回路的LOPA分析表见表2，由人员伤亡（S）计算出的目标等级为1.00E-02，即RRF值为100，由“断电”原因计算的RRF值和表中数据一致。因此，SIF1002回路最终的RRF值为两种原因RRF值之和，即200。根据表1可知，该回路安全完整性等级为SIL2。

表2 SIF1002回路LOPA分析表Table 2 SIF1002 Loop LOPA analysis table

乙烯装置中，部分SIF回路的安全完整性等级见表3。

表3 乙烯装置部分SIF回路SIL等级表Table 3 SIL grade table of part of SIF loop of ethylene plant

3.3 乙烯装置SIL验证

本次乙烯装置SIL验证基于可靠性框图验证方法，借助专业验证软件，对该装置SIF回路的PFDavg和结构约束进行分析计算。

该装置验证条件为：低需求模式，检测测试周期为48个月，设备使用寿命为12年，故障修复时间为8h，下面给出表3中SIF回路的验证结果，详见表4。

表4 乙烯装置部分SIF回路SIL验证结果表Table 4 SIL verification results of some SIF loops of ethylene plant

3.4 优化分析

由表4可知，SIF03回路的需求SIL为SIL1，需求RRF为30，验证SIL为SIL1，验证RRF为70.1，该回路PFDavg和结构约束均满足要求。

由表3可知，SIF04是由财产损失（A）方面定为SIL2和SIL1。由表4可知，SIF04验证SIL等级和RRF值均不满足要求，但均能满足人员伤亡（S）方面的需求SIL等级和RRF值。因此，对于财产损失确定的不满足SIL等级要求的回路，由企业按照ALARP（在合理可行的前提下尽可能低）原则，尽可能将其降低到低风险区域。

对于SIF01和SIF02回路，由表3、表4可知不满足要求，要针对这两条回路提出针对性建议进行整改。

由表5可知，SIF01回路的传感器单元和逻辑控制器单元的PFDavg足够满足要求，而执行元件的PFDavg较大，对应的SIL结构约束为SIL1。因此，针对执行元件部分提出优化建议：