武 潭工程師 高曉蕾副教授 劉靜怡 徐 博

（1.鄭州大學(xué) 化工與能源學(xué)院，河南 鄭州 450001；2.鄭州大學(xué) 力學(xué)與工程科學(xué)學(xué)院，河南 鄭州 450001）

0 引言

安全完整性等級(jí)需要通過對(duì)受控設(shè)備的風(fēng)險(xiǎn)分析來確定，風(fēng)險(xiǎn)分析過程是功能安全分析的開端，適用于系統(tǒng)風(fēng)險(xiǎn)分析的方法包括危險(xiǎn)與可操作性分析（Hazard and Operability Studies, HAZOP）、保護(hù)層分析（Layer of Protection Analysis, LOPA）等。

史雪玲等人[1]通過對(duì)功能安全的基本理論進(jìn)行研究，清晰闡述了安全完整性與SIL等級(jí)之間存在的關(guān)系。郭海濤，陽憲惠[2]提出了一種定量的對(duì)安全儀表系統(tǒng)進(jìn)行SIL分配的方法。周榮義、鐘岸等[3]通過分析標(biāo)準(zhǔn)中定義的幾種風(fēng)險(xiǎn)分析方法在準(zhǔn)確性、可量化性等方面進(jìn)行比較研究，分析各個(gè)方法的不同及其適用范圍以便于他人在應(yīng)用時(shí)選擇合適的方法。劉瑤[4]從多方面進(jìn)行考慮闡述了安全儀表系統(tǒng)中存在的導(dǎo)致共因失效的幾個(gè)示例。Murashkin Alexandr[5]等人通過研究現(xiàn)有分析方法找到最優(yōu)的汽車相關(guān)的安全完整性等級(jí)分配模型。Zdansky、Juraj[6]分析了冗余系統(tǒng)對(duì)安全完整性的影響。本文將HAZOP分析、LOPA分析、SIL分析多種分析方法結(jié)合使用，應(yīng)用于合成氨裝置的安全儀表系統(tǒng)研究，分析得出了其存在的可能事故，并計(jì)算得出其危險(xiǎn)事故的發(fā)生頻率，最后確定其安全完整性等級(jí)，為化工儀表系統(tǒng)研究提供參考。

1 安全儀表系統(tǒng)及安全完整性分析

安全儀表系統(tǒng)包括傳感器、邏輯控制器、執(zhí)行器。它的作用是在可能發(fā)生危險(xiǎn)事件的情況下及時(shí)采取保護(hù)措施，從而減小危險(xiǎn)事故發(fā)生的可能性，發(fā)揮其監(jiān)視生產(chǎn)過程的功能。

在對(duì)實(shí)際危險(xiǎn)場景進(jìn)行分析時(shí)，一般需先對(duì)研究對(duì)象進(jìn)行假設(shè)風(fēng)險(xiǎn)分析，確定實(shí)際風(fēng)險(xiǎn)，然后和允許風(fēng)險(xiǎn)進(jìn)行比較，分析必須的風(fēng)險(xiǎn)降低值，由此確定所研究系統(tǒng)的SIL等級(jí)，如圖1。

確定安全相關(guān)系統(tǒng)的SIL等級(jí)，首先需要對(duì)被研究的受控設(shè)備進(jìn)行風(fēng)險(xiǎn)分析，隨后根據(jù)風(fēng)險(xiǎn)評(píng)估的結(jié)果，得出應(yīng)降低的風(fēng)險(xiǎn)值，然后為相應(yīng)的安全儀表功能選擇安全完整性等級(jí)。圖2是簡化安全生命周期圖[7]。

圖2 簡化的安全生命周期圖Fig.2 Simplified diagram of safety life-cycle

2 系統(tǒng)風(fēng)險(xiǎn)分析理論

現(xiàn)階段，主要有以下幾種被廣泛應(yīng)用的系統(tǒng)風(fēng)險(xiǎn)分析理論，包括HAZOP法、LOPA法等。

HAZOP是將工藝劃分節(jié)點(diǎn)，分析各個(gè)節(jié)點(diǎn)中工藝操作的具體值可能產(chǎn)生的偏差，得到工廠實(shí)際工藝過程在運(yùn)行中可能出現(xiàn)的風(fēng)險(xiǎn)后果。它是一種定性分析方法。LOPA法以事故的事件鏈為基準(zhǔn)，這種分析方法被非常廣泛的應(yīng)用在過程工業(yè)。其流程圖，如圖3。

圖3 保護(hù)層分析流程圖Fig.3 Flow chart for layer of protection analysis

3 SIL定級(jí)分析

SIL定級(jí)是針對(duì)特定的風(fēng)險(xiǎn)分析其大小和已有控制措施降低風(fēng)險(xiǎn)的能力，從而分析安全儀表系統(tǒng)應(yīng)具備的安全完整性等級(jí)，確保選定的風(fēng)險(xiǎn)能被控制在現(xiàn)階段社會(huì)可接受的范圍內(nèi)。

SIL等級(jí)的危險(xiǎn)失效概率范圍有2種劃分方式：一種是要求時(shí)平均失效概率（對(duì)于低模式操作要求）；另一種是每小時(shí)危險(xiǎn)失效的概率（對(duì)于高要求或連續(xù)操作模式）。表1和表2分別列出了在低要求和高要求時(shí)的目標(biāo)失效概率。

低要求操作模式：對(duì)于一個(gè)安全相關(guān)系統(tǒng)提出操作要求的頻率不大于每年一次和不大于兩倍的檢驗(yàn)測試頻率。

高要求操作模式：對(duì)于一個(gè)安全相關(guān)系統(tǒng)提出操作要求的頻率大于每年一次或大于兩倍的檢驗(yàn)測試頻率。低要求操作模式在過程工業(yè)中最為普遍使用，而高要求操作模式一般用于制造加工以及航空航天工業(yè)[8]。

表1 低要求模式操作Tab.1 Low demand mode operation

表2 高要求操作模式Tab.2 High demand mode operation

4 合成氨裝置SIL分析

本文以合成氨裝置為研究對(duì)象，通過HAZOP對(duì)該裝置進(jìn)行危險(xiǎn)場景識(shí)別，應(yīng)用LOPA分析確定該裝置存在的風(fēng)險(xiǎn)是否滿足企業(yè)或國家的風(fēng)險(xiǎn)標(biāo)準(zhǔn)。并對(duì)其安全儀表系統(tǒng)進(jìn)行SIL分析，研究其是否滿足相應(yīng)安全功能要求。

4.1 HAZOP分析

在合成氨裝置中，合成塔部分氨合成的反應(yīng)裝置，合成氨反應(yīng)為高溫高壓反應(yīng)，易發(fā)生超壓爆炸反應(yīng)，對(duì)周圍人員及環(huán)境造成傷害，相對(duì)來說危險(xiǎn)性較大；另若廢熱鍋爐錯(cuò)誤補(bǔ)水，也會(huì)引發(fā)爆炸，故著重分析合成塔部分及廢熱鍋爐。HAZOP分析表，見表3。

4.2 LOPA分析

本次分析考慮合成塔壓力過高及廢熱鍋爐液位過低兩個(gè)場景，由于在實(shí)際生產(chǎn)中需要考慮到各方面的情況，本次分析將分別從人身傷害、環(huán)境破壞、資產(chǎn)損失3個(gè)方面分析。其中失效數(shù)據(jù)中的初始事件（Initiating Event, IE）典型頻率值、化工行業(yè)典型獨(dú)立保護(hù)層（Independent Protection Layer,IPL）的要求時(shí)的失效概率（Probability of Failure on Demand, PFD）按照《保護(hù)層分析（LOPA）方法應(yīng)用導(dǎo)則》（AQ/T 3054-2015）附表進(jìn)行取值。

場景1：合成塔壓力過高。

初始事件1：惰性氣體排放不及時(shí)。

初始事件2：上游調(diào)節(jié)器故障。

初始事件3：合成塔溫度偏低。

這三個(gè)事件失效率均為：fi I=1×10-1/a

IPL確認(rèn)：

分析場景1重點(diǎn)保護(hù)措施，識(shí)別其IPL，合成塔上安裝有位于中央控制室的儀表超壓報(bào)警裝置，處于控制室的工作人員能夠及時(shí)對(duì)此響應(yīng)從而采取及時(shí)有效的措施，因此報(bào)警和人員響應(yīng)可作為獨(dú)立保護(hù)層。另外，循環(huán)機(jī)出口設(shè)置壓力安全閥，因此物理保護(hù)為另一獨(dú)立保護(hù)層，則經(jīng)過IPL確認(rèn)后得到的獨(dú)立保護(hù)層有：

表3 HAZOP分析表Tab.3 HAZOP analysis list

報(bào)警和人員響應(yīng)：PFDi1=1×10-1/a

物理保護(hù)：PFDi2=1×10-1/a

（1）人身傷害。

場景頻率計(jì)算：

分析該場景，該裝置點(diǎn)火概率取為0.5，事故影響范圍內(nèi)人員平均出現(xiàn)率為0.1，人員暴露概率取0.1，致死概率取1。求得各個(gè)初始事件后果發(fā)生頻率均為：

式中：

PFDi1——報(bào)警和人員響應(yīng)的PFD；

PFDi2——安全閥的PFD；

Pig——點(diǎn)火概率；

Pex——人員暴露概率；

Pd——人員傷亡概率；

風(fēng)險(xiǎn)評(píng)估與決策：

惰性氣體排放不及時(shí)，可造成合成氨合成塔壓力過高，設(shè)備超壓損壞，塔內(nèi)氣體泄漏，造成火災(zāi)爆炸危險(xiǎn)，根據(jù)廠區(qū)內(nèi)部及周邊人員分布情況，可造成3人以上死亡，或10人以上重傷，其后果等級(jí)應(yīng)為5級(jí)，風(fēng)險(xiǎn)等級(jí)為中風(fēng)險(xiǎn)。

（2）環(huán)境破壞。

場景頻率計(jì)算：考慮該場景下造成的環(huán)境破壞時(shí)，不需考慮條件修正，后果發(fā)生頻率為：

風(fēng)險(xiǎn)評(píng)估與決策。惰性氣體排放不及時(shí)；上游調(diào)節(jié)故障，會(huì)使有害物含量升高，催化劑中毒，反應(yīng)效率下降；合成塔溫度偏低，同樣會(huì)使反應(yīng)效率下降；以上原因均可造成合成氨合成塔壓力過高，設(shè)備超壓損壞，塔內(nèi)氣體泄漏，使得危險(xiǎn)物進(jìn)入周圍環(huán)境，產(chǎn)生重大泄漏后果，給廠區(qū)周邊的環(huán)境帶來嚴(yán)重

f總

C=∑3影響，此條件下后果等級(jí)為4級(jí)，屬于中風(fēng)險(xiǎn)等級(jí)。

（3）財(cái)產(chǎn)損失。

場景頻率計(jì)算：

考慮該場景下造成的財(cái)產(chǎn)損失時(shí)，不需考慮條件修正，后果發(fā)生頻率為：

風(fēng)險(xiǎn)評(píng)估與決策：

惰性氣體排放不及時(shí)；上游調(diào)節(jié)故障，會(huì)使有害物含量升高，催化劑中毒，反應(yīng)效率下降；合成塔溫度偏低，會(huì)使反應(yīng)效率下降；以上原因均可造成合成氨合成塔壓力過高，設(shè)備超壓損壞，直接經(jīng)濟(jì)損失100萬元及以上，500萬元以下，后果等級(jí)為3級(jí)，屬于中風(fēng)險(xiǎn)等級(jí)。

場景2：廢熱鍋爐液位過低。

初始事件1：LICA17001A液位計(jì)故障。

初始事件2：供水泵停泵。

這兩個(gè)事件失效率均為 fiI=1×10-1/a

IPL確認(rèn)：

識(shí)別場景2中的IPL，LICA17001A液位計(jì)故障時(shí)，自身不能再作為保護(hù)層，其屬于BPCS系統(tǒng)失效，能作為獨(dú)立保護(hù)層的僅有LAL1701B報(bào)警和人員響應(yīng)，則經(jīng)過IPL確認(rèn)后得到的獨(dú)立保護(hù)層有：

報(bào)警和人員響應(yīng)保護(hù)層：PFDi1=1×10-1/a

（1）人身傷害。

場景頻率計(jì)算：

初始事件1：LICA17001A液位計(jì)故障。

該裝置在此場景下人員誤操作補(bǔ)水為觸發(fā)條件，誤補(bǔ)水概率取0.1，人員暴露概率取1，致死概率取1。則LICA17001A故障的后果發(fā)生頻率為：

式中：

初始事件2：供水泵停泵。

人員暴露概率取0.1，致死概率取1。則供水泵停泵后果發(fā)生頻率均為：

風(fēng)險(xiǎn)評(píng)估與決策。LICA17001A液位計(jì)故障，自動(dòng)補(bǔ)水不及時(shí)，鍋爐上游供水泵停泵，會(huì)使鍋爐液位過低，出現(xiàn)干燒，造成爆炸，根據(jù)廠區(qū)實(shí)際情況，可造成1-2人死亡或喪失勞動(dòng)能力，或造成3-9人重傷，此條件下后果等級(jí)為4級(jí)，此風(fēng)險(xiǎn)為高風(fēng)險(xiǎn)，企業(yè)需采取相關(guān)保護(hù)措施以降低風(fēng)險(xiǎn)。建議鍋爐停泵補(bǔ)水系統(tǒng)設(shè)置備用泵自啟動(dòng)，防止停水造成鍋爐干燒后自動(dòng)加水，鍋爐可新增遠(yuǎn)傳液位計(jì)LI1701B，進(jìn)行高低報(bào)警，防止LICA17001A液位計(jì)失效。

（2）環(huán)境破壞。

場景頻率計(jì)算：

初始事件1：LICA17001A故障。

該裝置人員誤操作補(bǔ)水作為使能條件，概率0.1。后果發(fā)生頻率為：

初始事件2：供水泵停泵。

此次計(jì)算只考慮環(huán)境破壞，則后果發(fā)生頻率計(jì)算為：

風(fēng)險(xiǎn)評(píng)估與決策。LICA17001A若發(fā)生故障，不能及時(shí)自動(dòng)補(bǔ)水；或者鍋爐上游供水泵停泵，都會(huì)使鍋爐液位過低，出現(xiàn)干燒，造成爆炸，會(huì)釋放危險(xiǎn)物使其進(jìn)入周圍環(huán)境，泄露物質(zhì)符合受到管理部門的通報(bào)或違反允許條件，后果嚴(yán)重性等級(jí)為3級(jí)。風(fēng)險(xiǎn)等級(jí)為中風(fēng)險(xiǎn)。

（3）財(cái)產(chǎn)損失。

場景頻率計(jì)算：

初始事件1：LICA17001A故障。

該裝置人員誤操作補(bǔ)水作為使能條件，概率0.1。此次計(jì)算只考慮其財(cái)產(chǎn)損失，后果發(fā)生頻率為：

初始事件2：供水泵停泵。

此次計(jì)算只需考慮財(cái)產(chǎn)損失情況，故后果發(fā)生頻率為：

風(fēng)險(xiǎn)評(píng)估與決策。LICA17001A若發(fā)生故障，或者鍋爐上游供水泵停泵，會(huì)使鍋爐出現(xiàn)干燒，造成爆炸，其直接經(jīng)濟(jì)損失在10萬元以上，但不足100萬元，后果嚴(yán)重性等級(jí)為2級(jí)。風(fēng)險(xiǎn)等級(jí)為中風(fēng)險(xiǎn)。

4.3 SIL分析

在進(jìn)行SIL分析時(shí)，需要考慮到不同危險(xiǎn)場景下的風(fēng)險(xiǎn)容忍情況，本次SIL定級(jí)分析在人身安全、環(huán)境破壞、財(cái)產(chǎn)損失三個(gè)方面分別采取相應(yīng)的風(fēng)險(xiǎn)可接受標(biāo)準(zhǔn)。

場景1：合成塔壓力過高。

由LOPA分析可得場景1下不同損失的后果發(fā)生頻率，分別為：

人身傷害后果下容忍頻率為1×10-6/a，環(huán)境破壞容忍頻率為1×10-5/a，財(cái)產(chǎn)損失容忍頻率為1×10-4/a，故可得本SIF應(yīng)具備的最低要求PFD分別為：

人身傷害后果下合成塔的儀表系統(tǒng)應(yīng)具備的SIL等級(jí)為1；當(dāng)考慮危險(xiǎn)事故對(duì)環(huán)境破壞的情況時(shí)，其應(yīng)具備的SIL等級(jí)為1；當(dāng)考慮事故發(fā)生時(shí)可能造成的財(cái)產(chǎn)損失，此研究系統(tǒng)應(yīng)具備的SIL等級(jí)為1。綜上所述，此場景下相關(guān)安全系統(tǒng)的SIF應(yīng)滿足SIL1的等級(jí)要求。

場景2：廢熱鍋爐液位過低。

由LOPA分析可得場景2下不同損失的后果發(fā)生頻率，分別為：

該場景下人身傷害后果容忍頻率1×10-5/a，環(huán)境破壞容忍頻率1×10-4/a，財(cái)產(chǎn)損失后果容忍頻率1×10-3/a。故可得本SIF應(yīng)具備的最低要求PFD分別為：

人身傷害后果下安全儀表系統(tǒng)的安全功能應(yīng)具備的SIL等級(jí)為2；考慮危險(xiǎn)場景對(duì)周圍環(huán)境可能造成的影響時(shí)，可以得到其應(yīng)具備的SIL2的等級(jí)；若只分析事故條件下所產(chǎn)生的財(cái)產(chǎn)損失后果，分析得到系統(tǒng)應(yīng)具備的SIL1的等級(jí)。綜上所述，此場景下相關(guān)安全系統(tǒng)的SIF應(yīng)滿足SIL2的等級(jí)要求。

5 結(jié)論

（1）本文將多種分析方法結(jié)合使用，包括HAZOP分析、LOPA分析、SIL分析，將其應(yīng)用于合成氨裝置的安全儀表系統(tǒng)研究，分析得出了其存在的可能事故，并計(jì)算得出其危險(xiǎn)事故的發(fā)生頻率，最后確定其安全完整性等級(jí)。能為以后的化工儀表系統(tǒng)研究提供一定參考價(jià)值。

（2）重點(diǎn)分析合成塔壓力過高及廢熱鍋爐液位過低兩個(gè)場景，合成塔裝置儀表的SIL等級(jí)為1，廢熱鍋爐儀表的SIL等級(jí)為2。其中LICA17001A液位計(jì)故障，自動(dòng)補(bǔ)水不及時(shí)，鍋爐上游供水泵停泵，鍋爐液位過低，風(fēng)險(xiǎn)為高風(fēng)險(xiǎn)。建議鍋爐停泵補(bǔ)水系統(tǒng)設(shè)置備用泵自啟動(dòng)，防止停水造成鍋爐干燒后自動(dòng)加水，鍋爐可新增遠(yuǎn)傳液位計(jì)LI1701B，進(jìn)行高低報(bào)警，防止LICA17001A液位計(jì)失效。