劉蔭，王海清，許小林，劉美晨

（1中國石油大學（華東）機電工程學院，山東青島266580；2中石油廣東石化分公司設備管理中心，廣東揭陽522000）

引 言

石化工廠內泄放至火炬系統的裝置通常由多個保護層保護，常見的有：壓力調節(jié)回路（PCV），超壓聯鎖保護回路（SIF），機械泄壓設備等。當PCV和SIF保護層失效時，裝置通常由機械泄壓設備來泄放至火炬系統，導致產生火炬負荷。目前國內在進行SIL定級分析時廣泛采用保護層分析（LOPA）技術，但是IEC 61511《過程工業(yè)安全儀表系統的功能安全》(Functional safty-safety instrmented systems for the process industry sector)等標準[1-4]在應用中也暴露了目前使用LOPA等技術確定SIL（safety integrity level）的缺陷[5-6]：無法同時考慮多個SIF回路之間的相互影響，及其跳車后的潛在次生災害影響。具體而言，使用LOPA技術對超壓保護SIF回路進行定級時，通常只考慮單個被保護壓力容器的風險，同一初始事件導致多個裝置同時泄放的情況則未被考慮[7-8]，這類初始事件發(fā)生時，火炬系統可能存在較大風險。本文針對此缺陷進行研究，旨在尋找一種考慮多個裝置同時泄放而引起次生風險情況的SIL定級修正方法。

采用IEC標準給出的LOPA方法對壓力設備的超壓保護SIF回路進行定級時，只能考慮單一場景的風險降低需求及風險分配，不能考慮多個關聯場景之間的風險耦合及其對SIL定級的影響。例如，導致多個壓力設備發(fā)生超壓風險的單一初始事件（公用工程失效等）的發(fā)生，可能使火炬系統壓力超過設計值，進而可能導致火炬管網的背壓、噪聲、馬赫數等超出設計標準，造成泄放憋壓、火炬氣泄漏甚至火災爆炸等事故，因此存在較大的風險[9-10]。當SIS保護的裝置有多個時，火炬負荷變化更為復雜，難以進行風險的量化計算。如圖1所示多單元組成的聯合裝置，精餾塔1至精餾塔4均由多個超壓聯鎖SIF回路和安全閥保護，其中每個SIF回路均采用2oo3表決結構。在特殊工況發(fā)生時精餾塔內壓力迅速升高，通過SIS系統切斷再沸器蒸汽，精餾塔內壓力不再上升，此時安全閥將不會起跳，即不會產生火炬負荷；若聯合裝置的部分SIF回路失效導致某些精餾塔失去儀表保護功能，則精餾塔內壓力會持續(xù)升高導致安全閥起跳向火炬系統釋放火炬氣。因此，當諸如停電、外部火災等公用工程導致的初始事件發(fā)生時[11]，精餾塔1至精餾塔4可能發(fā)生（多個）SIF回路失效，此時火炬系統負荷可能超出設計容量進而產生風險。

針對關聯泄放導致的風險，Lopez等[12]已做出相應研究：針對CCF（common-cause failure，相同原因導致的多個設備、功能或系統故障）導致的火炬系統風險提出了一種基于事故樹的概率風險評估方法，用于確定組合火炬情景而導致火炬超載的可能性。本文借鑒多源同時泄放疊加方法，為存在壓力設備組合泄放情況的聯合裝置提供一種SIF回路SIL等級的修正方法，對傳統LOPA技術中事故發(fā)生頻率進行合理修正，進而得到符合要求的壓力保護SIF回路的SIL等級。

1 關聯泄放情況下火炬系統風險及泄放裝置SIL等級分析

1.1 多源同時泄放的疊加方法

圖1 多SIF回路保護的泄放裝置群實例Fig.1 Example of a group of relief devices protected by multiple SIFcircuit

多源同時泄放的疊加方法通過計算多裝置同時泄放時泄放路徑及泄放路徑出現概率得到所有可能發(fā)生的泄放情況及其發(fā)生概率[13]。該方法依據以下原則：某特殊工況下多個泄放源同時發(fā)生泄放時，應按照每個工藝單元依次取得100%的泄壓負荷連同50%其他單元的量來計算，泄放組合按照排列組合的方式列出，并認為同一泄放組合下各泄放路徑的出現概率相同。

舉例說明：假設電力失效情況下有裝置a、裝置b、裝置c可能發(fā)生泄放，裝置a、裝置b、裝置c的泄放概率分別為Pa、Pb、Pc，依照上述原則，可得到如圖2所示的泄放路徑及泄放路徑出現概率。

1.2 考慮關聯泄放的泄放裝置SIL定級方法設計

本文提供的方法適用于以下場景：為方便演示，假設（以下假設適用于本節(jié)）廠區(qū)共有M（M＞0）個泄放裝置可能泄放至火炬系統，且目標工況發(fā)生時可能導致廠區(qū)內多個裝置發(fā)生超壓。其中有N（0＜N≤M）個裝置由包括SIS系統在內的保護層提供保護，在事故工況下，若保護層（諸如SIF回路、壓力調節(jié)回路PCV等）不失效則N個裝置沒有泄放到火炬的需求；反之則會泄放至火炬系統，產生火炬負荷。其他（M-N）個裝置無超壓聯鎖功能保護。

考慮關聯泄放的泄放裝置SIL定級方法步驟如下。

（1）場景分析。

對目標場景進行如下分析。

①確認初始場景：判斷初始事件是否可能導致多個裝置同時發(fā)生超壓。

②確定初始事件發(fā)生時可能發(fā)生超壓泄放的裝置及各裝置在初始場景下的最大泄放量[14-17]。

（2）計算M個裝置所有可能發(fā)生的泄放路徑及其發(fā)生概率。

利用上述多源同時泄放的疊加方法得到M個裝置的泄放路徑及每條泄放路徑下各裝置的泄放量，每條泄放路徑的出現概率不同，需逐條計算。假設共有I條泄放路徑，以第i條泄放路徑為例，該泄放路徑中有J個設備發(fā)生泄放，則第i條泄放路徑的出現概率PDi由式（1）計算：

式中，αi為第i條泄放路徑所在泄放組合內所有泄放路徑總數；PFDDj為第i條泄放路徑中第j個裝置的泄放概率。

假設第i條泄放路徑中第j個裝置由H個獨立保護層提供超壓保護，則PFDDj由式（2）得出：

式中，PFDh為第h個獨立保護層的失效概率，可由企業(yè)歷史統計數據獲得，也可從《保護層分析（LOPA）方法應用導則》提供的典型獨立保護層失效概率數據選取并按照其要求對數據進行相應修正。

（3）計算火炬管網參數超高事件發(fā)生頻率。

使用API 521提供的計算方法或相關軟件計算每條泄放路徑下各泄放裝置安全閥背壓、管道壓力、管道馬赫數、噪聲等參數。假設在所有泄放路徑中共有K條出現火炬管網參數超高的情況，火炬管網參數超高的概率PFDsum由式（3）得出：

圖2 泄放路徑及泄放路徑出現概率示例圖Fig.2 Example diagramof the discharge path and the probability of the discharge path

式中，Pe為初始事件的發(fā)生頻率[18]，可由企業(yè)歷史統計數據得到，也可由公共領域數據庫提供的通用數據得到，如：海上可靠性數據（OREDA）[19]，以及電氣和電子工程師協會（IEEE）[20]、海洋與石油技術中心（CMPT）[21]、國際油氣生產商協會（OGP）[22]等提供的通用數據。使用公共領域提供的通用數據時應按《保護層分析（LOPA）方法應用導則》的要求，根據場景的具體情況進行選擇，并根據企業(yè)的具體條件對數據進行修正。

（4）判斷是否需要對部分泄放裝置進行SIF回路再定級。

確定火炬管網參數超高可能導致的事故及其后果，并根據廠區(qū)提供的風險矩陣確定事故的后果嚴重性等級[23]。依據事故發(fā)生頻率f和后果嚴重性等級確定風險等級，若風險等級在廠區(qū)可接受范圍內，則不需整改；若風險等級超出可接受范圍，繼續(xù)進行步驟（5）。

（5）選取一個裝置，對其SIF回路的SIL等級進行重新定級。

選取重新進行SIL定級的裝置時應遵循盡量減少重新定級的SIF回路個數的原則，并優(yōu)先將對風險影響較大的泄放裝置的SIF回路重新定級。因此定義N個裝置的選取順序：依據所有可能存在風險的泄放路徑中同一裝置的出現次數由大到小為泄放裝置進行排序（需要注意的是僅對由SIF回路保護的裝置進行排序）。通常第一次選取裝置進行SIL等級重新定級時應選取順序中位于第一位的裝置。

所選裝置的SIF回路風險降低因子RRF由式（5）得出：

式中，fu為選取裝置未實施SIS保護層時的危險頻率；fs為最大可接受危險頻率。

計算選取裝置未實施SIS保護層時的危險頻率fu需考慮多裝置的關聯泄放產生的風險，因此應利用上述多源同時泄放的疊加方法得到fu。選取裝置未實施SIS保護層時M個裝置仍有I條泄放路徑，且其中有K條泄放路徑存在風險。fu由式（6）得出：

式中，Pdi為選取裝置未實施SIS保護層時第i條泄放路徑的出現概率，由式（7）得出。

式中,PFDdj為所選裝置未實施SIS保護層時第i條泄放路徑中第j個裝置的泄放概率。

所選裝置的SIF回路風險降低因子RRF與SIL等級的對應關系如表1所示。根據GB/T 21109的要求：分配給安全儀表系統儀表安全功能的安全完整性等級不能高于4，且由于安全完整性等級4需滿足苛刻的條件，安全完整性等級4的應用較為罕見[24-26]。因此式（5）所得風險降低因子RRF一般不大于104。

表1 風險降低因子與SIL等級對應關系Table 1 Risk reduction factor and SIL level correspondence table

（6）若滿足風險降低要求，則輸出各裝置SIF回路的SIL等級；若不能，則進行下一步。

（7）再次選取裝置，進行SIF回路重新定級。

將步驟（5）所選裝置的SIF回路SIL等級調整為廠區(qū)可接受的最大等級，并依據裝置選取順序選取下一位裝置，重復步驟（5）～步驟（7），直到滿足風險降低需要。

（8）得到所有需要進行SIF回路重新定級的裝置及符合要求的SIL等級。

考慮關聯泄放的SIL定級方法流程圖如3所示。

2 案例研究

圖3 考慮關聯泄放的SIL定級方法流程圖Fig.3 Flow chart of SIL grading method considering associated release

圖4 某廠區(qū)火炬系統流程簡圖Fig.4 Flow chart of flare system in a factory

某石化廠一聯合裝置群共有五套設備，簡記為A、B、C、D、E，這五套設備均泄放至同一火炬系統，設備A、B、C、D、E對應的安全閥編號分別為1、2、3、4、5。圖4為本實例的火炬系統流程示意圖。精餾塔C、精餾塔D、精餾塔E均由2oo3結構的SIF回路C、SIF回路D、SIF回路E保護。本實例選擇停電工況進行泄放裝置SIL等級分析，停電工況發(fā)生時設備A、B、C、D、E均可能發(fā)生泄放。已知部分部件的參數如表2所示。

表2 安全閥參數Table 2 Safety valve parameter

2.1 傳統LOPA方法確定SIL等級

使用LOPA技術確定SIL等級的程序可由標準和相關文獻獲得[27]。以精餾塔C為例，停電導致精餾塔C底泵停機，塔內壓力增高，物料泄放至火炬管網造成火炬管網超壓，嚴重時發(fā)生可燃物料泄漏，進而導致火災爆炸事故，給工作場所帶來嚴重影響，后果嚴重等級評定為4。根據該公司的經驗數據：停電的發(fā)生頻率Pe為10-2/a，此初始事件下點火概率為1，人員暴露概率和人員傷亡概率均為0.5。根據風險標準，后果等級為4級的事故后果發(fā)生頻率應小于10-5/a，即最大可接受危險頻率fs為10-5/a。該事故場景精餾塔C除SIF回路C外的獨立保護層為安全閥3，根據廠區(qū)統計數據，安全閥3的失效概率為0.085，如表4所示。

SIF回路C的風險降低因子RRF由式（8）可得。

式中，PFDL為安全閥3的失效概率。

精餾塔D、精餾塔E的風險降低因子計算同理。由LOPA方法確定的各SIF回路SIL等級如表3所示。

表3 LOPA方法確定的設備超壓SIF回路SIL等級Table 3 SIL level of equipment overpressure SIF circuit determined by LOPA method

2.2 考慮關聯泄放的火炬系統風險評估

（1）場景分析。

停電工況下，設備A、設備B、精餾塔C、精餾塔D、精餾塔E均可能發(fā)生泄放，其最大泄放量如表2所示。停電導致精餾塔C、D、E的底泵全部停機，精餾塔C、D、E由于塔內壓力升高同時泄放至火炬管網，超過火炬處理能力，火炬管網壓力超高導致安全閥無法正常打開，造成裝置和管道憋壓、破裂，導致重大可燃物料泄漏[28]，最終引起火災爆炸事故。后果嚴重等級評定為5級。

（2）求解泄放路徑及泄放路徑出現概率。

①在本實例中，設備A、B在裝置停電工況下通過安全閥向火炬系統泄放，根據廠區(qū)歷史數據，停電工況下設備A的泄放概率PFDD1和設備B的泄放概率PFDD2為：PFDD1=PFDD2=1。

②精餾塔C、D、E分別由2oo3結構的SIF回路和安全閥保護，以精餾塔C為例，停電工況下SIF回路C和安全閥3同時失效時，精餾塔C會泄放至火炬系統。精餾塔C、D、E的泄放概率如表4所示。

表4 精餾塔C、D、E泄放概率Table 4 Release probability of rectification tower C，D，E

因此停電工況下的泄放組合、泄放路徑如表5所示，每條泄放路徑下各設備的泄放量及泄放路徑的出現概率如表6所示。

（3）計算超壓事故發(fā)生頻率。

使用Aspen Flarenet軟件對本實例中的火炬管網建模[29-30]，并進行模擬計算，得到每條泄放路徑下各安全閥的閥后背壓，如表7所示。

由表7可知，背壓超高的泄放路徑有M1、M4、M5、M6、M10、M11、M12。根據式（3）可得背壓超高的概率為：PFDsum=2.900×10-3。根據式（4）可得超壓事故發(fā)生頻率f為：f=7.250×10-6/a。

（4）判斷是否需要SIF回路再定級。

表5 泄放組合及泄放路徑Table 5 Discharge combination and discharge path

由場景分析可知后果嚴重等級評定為5。據后果等級和事故發(fā)生頻率得到風險等級為“中”，因此可通過部分裝置SIF回路重新定級將風險等級降至“低”。

2.3 考慮關聯泄放的裝置SIF回路再定級

由2.2節(jié)可知背壓超高的泄放路徑有M1（裝置ABC同時泄放）、M4（裝置ABCD同時泄放）、M5（裝置ABCD同時泄放）、M6（裝置ABCE同時泄放）、M10（裝置ABCDE同時泄放）、M11（裝置ABCDE同時泄放）、M12（裝置ABCDE同時泄放），根據上述泄放路徑中同一裝置的出現次數，裝置選取序列為：精餾塔C（7次）＞精餾塔D（5次）＞精餾塔E（4次）。本節(jié)選擇精餾塔C進行SIF回路重新定級。停電工況下精餾塔C無SIS系統保護時獨立保護層為安全閥3，所以此時精餾塔C的泄放概率應為安全閥3的失效概率，即0.085。

精餾塔C無SIS系統保護狀態(tài)下超壓泄放路徑及出現概率如表8所示。

“低”風險等級對應最大可接受危險頻率fs=10-6/a。由式（6）可得fu=2.132×10-4/a，由式（5）可得RRF=214（取整）。因此精餾塔C的SIF回路SIL等級應為SIL2。由于上述調整能夠滿足風險降低需要，因此無須做其他調整。

對比2.1節(jié)，本節(jié)由“考慮關聯泄放的SIL定級方法”確定的精餾塔C的SIF回路C的SIL等級（SIL2）高于傳統LOPA方法確定的SIL等級（SIL1），說明傳統LOPA方法確定的SIL等級過低，不能滿足本實例中廠區(qū)風險降低的需要。兩種方法確定的SIF回路C的SIL等級的不同主要來源于以下兩方面：

①在對SIF回路C進行定級時，與僅考慮精餾塔C泄放的傳統LOPA方法相比，本節(jié)考慮了停電工況下聯合裝置的五套設備同時泄放的可能，此時火炬管網承受的總泄放量和負荷明顯大于僅考慮精餾塔C泄放時火炬管網承受的泄放量與負荷。更大的泄放量與火炬管網負荷將導致更嚴重的事故后果，因此本節(jié)場景分析得到的事故后果等級（5級）高于2.1節(jié)傳統LOPA方法得到的后果等級（4級），進而導致了兩種方法確定的最大可接受危險頻率fs的不同。

②停電工況（初始事件）發(fā)生時，使用傳統LOPA方法和“考慮關聯泄放的SIL定級方法”對SIF回路C定級時使用的初始事件發(fā)生頻率（Pe）及后果場景頻率修正數據（點火概率、人員暴露概率、人員傷亡概率）相同，而本節(jié)考慮了多種組合泄放情況且通過對每種泄放情況下火炬管網的模擬計算準確求得了火炬系統管網背壓超高的頻率。本節(jié)認為停電工況下事故發(fā)生頻率為組合泄放下火炬管網背壓超高的概率與后果場景頻率修正數據的乘積，而非2.1節(jié)中傳統LOPA方法認為的安全閥3的失效概率與后果場景頻率修正數據的乘積，因此本節(jié)計算得到的事故發(fā)生頻率與傳統LOPA方法相比更為準確。

表6 各泄放路徑下裝置泄放量及泄放路徑出現概率Table 6 The discharge volume of the device and occurrence probability under each discharge path

表7 出現超壓的泄放路徑參數Table 7 Overpressure relief path parameters

表8 精餾塔C無SIS系統保護時超壓泄放路徑及其出現概率Table 8 Overpressure relief path and occurrence probability of distillation column C without SISsystem protection

3結 論

（1）針對目前廠方對泄放裝置SIF保護回路進行SIL定級時不考慮同一初始事件導致多個裝置泄放的情況，本文基于多源同時泄放的火炬負荷疊加技術，提出了一種全新的關聯超壓保護回路的SIL定級“校核”方法：考慮關聯泄放的SIL定級方法。該方法對傳統LOPA技術得到的SIL等級進行了合理的修正，有效規(guī)避了組合泄放導致的火炬系統風險。

（2）本文提供的方法理論上無須更改火炬管網的布置和管徑，僅需對部分泄放裝置SIF回路重新定級即可有效降低火炬系統風險至可接受范圍，因此該方法具有成本低、易執(zhí)行的優(yōu)點。該方法在實際應用中的可行性及有效性還需進一步研究。