胡 川，趙振峰

（中國石油化工股份有限公司青島安全工程研究院，山東 青島 266101）

1 引言

近年來，隨著國內(nèi)外大力發(fā)展煤化工項目，煤氣化裝置也越來越多的出現(xiàn)在大家的視野。煤氣化裝置生產(chǎn)過程中，氣化反應(yīng)生成的粗合成氣中含H2、CO 和H2S 等具有易燃易爆性質(zhì)的危險物料，同時粗合成氣溫度和壓力都高，一旦泄露會引起火災(zāi)，CO 和H2S 還可能導(dǎo)致人員中毒。安全儀表系統(tǒng)作為氣化單元重要的保護層，安全儀表系統(tǒng)的準(zhǔn)確評估對裝置的安全運行有著重大的意義。

煤氣化的基本原理是將經(jīng)過適當(dāng)處理的煤送入氣化爐內(nèi)，在一定的溫度和壓力下，通過氧化劑以一定的流動方式轉(zhuǎn)化成氣體，得到粗制水煤氣。

煤氣化技術(shù)可按反應(yīng)器（氣化爐）內(nèi)煤與氧化劑接觸的方式分為固定床氣化、流化床氣化、氣流床氣化和熔浴氣化。

本文以GE 德士古（TEXACO）水煤漿氣化為例，對其安全儀表系統(tǒng)進行SIL 評估分析。GE德士古（TEXACO）水煤漿氣化技術(shù)屬于氣流床氣化技術(shù)。水煤漿氣化的特點是對煤的適應(yīng)范圍較寬、煤氣質(zhì)量好、技術(shù)成熟、設(shè)備簡單、投資低、連續(xù)生產(chǎn)性強。

2 安全儀表系統(tǒng)SIL 評估簡介

安全儀表系統(tǒng)作為石化及化工企業(yè)各裝置中重要的保護層，是事故發(fā)生前的最后一道保護措施，因此可靠有效的安全儀表系統(tǒng)對石化裝置的安全穩(wěn)定運行有著十分重要的意義。

與基本過程控制系統(tǒng)（BPCS）不同，安全儀表系統(tǒng)（SIS）是靜態(tài)的，正常生產(chǎn)過程中，系統(tǒng)的輸出不變，對生產(chǎn)過程不產(chǎn)生影響，在異常工況下，它將按著預(yù)先設(shè)計的策略進行邏輯運算，使生產(chǎn)裝置安全停車。

SIL 評估是基于國際功能安全標(biāo)準(zhǔn)《電氣/電子/可編程電子安全相關(guān)系統(tǒng)的功能安全》（GB/T 20438-2017）[1]和《過程工業(yè)領(lǐng)域安全儀表系統(tǒng)的功能安全》（GB/T 21109-2007）[2]。SIL 評估工作分為SIL 定級和SIL 驗證。

SIL 定級是確定各SIF 回路的SIL 等級的過程。定級方法有風(fēng)險矩陣法、風(fēng)險圖法和保護層分析法（LOPA）。其中保護層分析法（LOPA）是一種半定量的風(fēng)險評估方法，用于確定發(fā)現(xiàn)的危險場景的危險程度，定量計算危害發(fā)生的概率，已有保護層的保護能力及失效概率，如果發(fā)現(xiàn)保護措施不足，可以推算出需要的保護措施的等級。SIL 定級步驟如圖1 所示。

SIL 驗證工作是評估各SIF 回路的現(xiàn)有儀表設(shè)置情況能否滿足所需的安全完整性等級要求。SIL 驗證是從結(jié)構(gòu)約束和要求時的平均失效概率（PFDavg）兩個方面進行評估。

SIF 回路結(jié)構(gòu)約束的影響因素有儀表類型（邏輯控制器、傳感器、最終元件、非邏輯控制器）、安全失效分?jǐn)?shù)（Safe Failure Fraction，SFF）和硬件故障裕度（Hardware Fault Tolerance，HFT）。

SIF 回路的PFDavg 建模計算方法[3]主要有可靠性框圖法（RBD）、故障樹法（FTA）和馬爾可夫模型法（Markov）。其中馬爾可夫模型更加準(zhǔn)確，但模型復(fù)雜，一般需采用軟件進行建模計算。

圖1 LOPA 分析流程圖

3 SIL 定級分析

3.1 工藝流程簡介

煤氣化裝置中聯(lián)鎖設(shè)置主要集中在氣化單元，本文以氣化單元中典型的聯(lián)鎖為例進行定級分析，介紹SIL 評估技術(shù)。

氣化單元中氣化爐有兩路進料，一路為來自煤漿槽（T201）的水煤漿，通過高壓煤漿進料泵（P201）輸送至氣化爐（R001），另一路為來自空分裝置的氧氣進入工藝燒嘴的外環(huán)隙及中心管。在氣化爐中，氧氣和水煤漿進行切割霧化，在氣化爐燃燒室內(nèi)發(fā)生部分氧化反應(yīng)，生成以H2和CO 為主的粗合成氣，然后進入氣化爐洗滌室進行洗滌。流程簡圖見圖2。

3.2 主要聯(lián)鎖簡介

氣化爐停車順控啟動條件如下：

1）煤漿流量低低；

2）氧氣流量低低；

3）氧煤比高高；

4）氣化爐合成氣出口溫度高高；

5）氣化爐激冷室液位低低；

6）燒嘴冷卻水流量差高高；

7）燒嘴冷卻水出入口溫差高高；

8）煤漿壓力和氣化爐出口工藝氣壓差低低。

氣化爐停車動作如下：

1）關(guān)氧氣切斷閥XV104、XV105、XV106；關(guān)氧氣流量調(diào)節(jié)閥FV101、FV102、HV103；

2）停煤漿給料泵P201；

3）關(guān)煤漿切斷閥XV201、XV202；

4）開氮氣吹掃閥；

5）關(guān)合成氣調(diào)節(jié)閥HV401、HV402。

3.3 SIL 定級

本文以停車條件中的煤漿流量低低為例展開SIL 定級分析。

由于LOPA 分析方法是針對單一場景的分析方法，因此應(yīng)對該聯(lián)鎖進行分析，將各聯(lián)鎖動作按其保護的場景進行拆分。分析步驟如下：

1）選擇事故場景。

煤漿進料流量低低，將造成汽化爐氧煤比增高，達(dá)到爆炸極限，造成汽化爐爆炸，導(dǎo)致人員傷亡。

根據(jù)中國石化安全風(fēng)險矩陣分別從健康和安全影響、財產(chǎn)損失影響、非財務(wù)與社會影響、環(huán)境影響四個方面確定相應(yīng)的事故后果嚴(yán)重性等級。

考慮現(xiàn)場日常巡檢人員的巡檢頻率以及該裝置檢維修任務(wù)較多，當(dāng)汽化爐發(fā)生爆炸，在爆炸范圍內(nèi)可能造成界區(qū)內(nèi)3～9 人死亡的后果，健康和安全影響后果等級為E；

爆炸后果導(dǎo)致汽化爐及相關(guān)設(shè)備損壞，財產(chǎn)損失影響可能達(dá)到1000 萬以上，后果等級為E；

綜合考慮事故發(fā)生導(dǎo)致人員及財產(chǎn)后果的嚴(yán)重性，非財務(wù)與社會影響可能造成國內(nèi)或國際媒體的短期負(fù)面報道，后果等級為D；

該場景下發(fā)生爆炸導(dǎo)致CO 等有毒氣體泄漏，可能造成企業(yè)界區(qū)內(nèi)的環(huán)境受到影響，環(huán)境影響的后果等級定為B。

2）使能條件、點火概率及人員暴露概率確認(rèn)。

使能條件是指當(dāng)初始事件發(fā)生后，需在一定條件下才可能導(dǎo)致事故后果的發(fā)生。根據(jù)企業(yè)氣化爐的使用及檢維修頻率，每臺氣化爐的年使用時間比例約為0.7，僅有當(dāng)氣化爐使用期間才可能發(fā)生該事故。因此該場景考慮采用使能條件因子0.7 來進行修正。

點火概率是指當(dāng)物料泄漏等情況出現(xiàn)，發(fā)生火災(zāi)或爆炸的概率，該場景下由于處于高溫情況下，一旦氧煤比達(dá)到爆炸極限，會立即發(fā)生爆炸事故，因此此處點火概率取1。

人員暴露概率是指泄漏火災(zāi)爆炸等事故發(fā)生時，人員出現(xiàn)在影響區(qū)域內(nèi)的時間比例。根據(jù)裝置的巡檢人員數(shù)量及頻率、日常檢維修人員數(shù)量及頻率等裝置情況綜合考慮，該場景下人員暴露概率取1。

3）初始事件（IE）確認(rèn)。

本場景分析的觸發(fā)條件為煤漿流量低低。通過討論，導(dǎo)致煤漿流量低低的初始事件如下：

a） 煤漿泵故障停；

b） 煤漿泵單缸入口閥卡澀；

c） 煤漿管道堵塞；

d） 煤漿泵變頻器控制回路失效，煤漿泵轉(zhuǎn)速變小。

4）獨立保護層（IPL）分析。

依次分析每一個初始事件下獨立保護層。獨立保護層按功能分為本質(zhì)安全設(shè)計、基本過程控制系統(tǒng)、報警及人員響應(yīng)、安全儀表系統(tǒng)、物理保護、工廠及社會響應(yīng)。

考慮到一旦初始事件發(fā)生，煤漿流量低或機泵停車觸發(fā)報警，人員沒有足夠的時間進行操作避免后果的發(fā)生，因此報警及人員響應(yīng)不作為該場景的獨立保護層。

當(dāng)煤漿流量降低時會導(dǎo)致汽化爐氧煤比升高，因此汽化爐氧煤比高高聯(lián)鎖汽化爐停車可作為該場景的保護層，按SIL3 進行考慮。

5）場景頻率計算。

綜合該場景下的初始事件、使能條件、點火概率、人員暴露概率及后果嚴(yán)重性等級，得到該場景的初始風(fēng)險，如表1 所示。初始風(fēng)險計算公式見式1。

式中：PI為初始風(fēng)險的頻率，PIE為初始事件頻率，λEN為使能條件概率，λFI為點火概率，λEP為人員暴露概率。

各初始事件所在場景考慮保護層后，得到各自的未考慮SIF 的剩余風(fēng)險，進一步將未考慮SIF 的剩余風(fēng)險進行累積得到該場景下總的未考慮SIF 的剩余風(fēng)險。未考慮SIF 的剩余風(fēng)險計算公式見式2。將該風(fēng)險頻率與各風(fēng)險后果的可容許頻率進行比較后即得到該SIF 回路所需的SIL等級及風(fēng)險降低倍數(shù)（RRF）。RRF 的計算公式見式3。要求時的失效概率（PFDavg）的計算公式見式4。

式中：為未考慮SIF 的剩余風(fēng)險頻率，為第i 個初始事件初始風(fēng)險的頻率，為第i 個初始事件的獨立保護層。

式中：PR為各風(fēng)險后果的可容許頻率。

該場景下未考慮SIF 的風(fēng)險計算表見表2。根據(jù)式2 計算得到各后果未考慮SIF 的剩余風(fēng)險頻率為1.54×10-3。風(fēng)險降低倍數(shù)RRF 計算見表3。各后果的最大風(fēng)險降低倍數(shù)及SIL 等級作為該場景的最終風(fēng)險降低倍數(shù)RRF 與SIL 等級，即該場景風(fēng)險降低倍數(shù)RRF 為650，SIL 等級為SIL2。該結(jié)果即為該SIF 回路所需達(dá)到的SIL 等級及風(fēng)險降低倍數(shù)。

4 SIL 驗證計算

SIL 驗證建模以可靠性框圖法[3]為例，首先建立SIF 回路結(jié)構(gòu)圖，如圖2 所示。

圖2 SIF 回路結(jié)構(gòu)圖

表1 初始風(fēng)險計算表

表2 未考慮SIF 的風(fēng)險計算表

表3 風(fēng)險降低倍數(shù)（RRF）計算表

4.1 PFDavg 計算

1oo3 結(jié)構(gòu)的PFDavg 計算公式如下：

2oo3 結(jié)構(gòu)的PFDavg 計算公式如下：

式5、式6 中第一項表示多個元件非共因?qū)е碌墓餐Ц怕?。第二項表示在一個元件發(fā)生可檢測到的危險失效時，在元件恢復(fù)期間發(fā)生的共因失效導(dǎo)致SIF 回路的功能失效。第三項表示由共因引起的未檢測到的危險失效，從而導(dǎo)致SIF 回路的功能失效。

根據(jù)裝置實際情況參數(shù)取值：儀表檢修周期T1=48(month)，平均恢復(fù)時間MTTR=8（hour），計算共因失效=3%，=6%。

各部分儀表的失效數(shù)據(jù)見表4。

SIF 回路的總PFDavg 為傳感器部分、邏輯控制器部分及執(zhí)行元件部分的PFDavg 之和。如式7 所示：

表4 儀表失效數(shù)據(jù)表

SIF 回路所需風(fēng)險降低倍數(shù)RRF 為1450，回路總FDavg 查表可得該回路可達(dá)到的SIL3。

4.2 結(jié)構(gòu)約束

本項目SIF 回路的結(jié)構(gòu)約束按IEC61508 進行計算。

首先分別判斷回路各部分元件的硬件故障裕度（HFT）及儀表類型：

傳感器部分：HFT=1，B 型子系統(tǒng)；

邏輯控制器：HFT=1，B 型子系統(tǒng)；

執(zhí)行元件：HFT=2，A 型子系統(tǒng)。

其次依據(jù)現(xiàn)場使用的儀表失效數(shù)據(jù)用式8 分別求出各部分元件的安全失效分?jǐn)?shù)SFF。

代入各元器件的失效數(shù)據(jù),查表即可得到各部分的結(jié)構(gòu)約束，整個SIF 回路的結(jié)構(gòu)約束為：

傳感器部分：SFF=89.9%，SIL3；

邏輯控制器：SFF=99.1%，SIL3；

執(zhí)行元件：SFF=38.8%，SIL3。

整個SIF 回路的安全完整性等級取安全儀表系統(tǒng)三個部分中的最低值，即：

min{SILS,SILA,SILL}=SIL3

綜合SIF 回路PFDavg 和結(jié)構(gòu)約束可達(dá)到的SIL等級，即為該回路硬件部分的SIL 驗證結(jié)果，即SIL3，風(fēng)險降低倍數(shù)（RRF）為1450，滿足SIL 定級分析中對該回路所需達(dá)到的要求。

5 結(jié)論

在如今的過程工業(yè)領(lǐng)域，安全儀表系統(tǒng)已越來越多的應(yīng)用在各裝置中。隨著功能安全的發(fā)展，國內(nèi)安監(jiān)總局和各行業(yè)對安全儀表系統(tǒng)不斷提出了新的要求，安全儀表系統(tǒng)相關(guān)人員對國際上相關(guān)標(biāo)準(zhǔn)也有了更深的認(rèn)識，如IEC 61508、IEC 61511。

SIL 評估是基于風(fēng)險分析的方法，通過SIL 評估工作可以讓相關(guān)人員更加了解每個安全儀表功能所針對的風(fēng)險及所承擔(dān)的風(fēng)險降低目標(biāo)，防止了安全儀表系統(tǒng)的“設(shè)計過度”和“設(shè)計不足”。