天然气处理是指天然气通过过滤、脱烃、脱硫、脱碳、脱水等工艺, 得到符合管输标准的商品气[1], 涉及有高温高压、易燃易爆的有毒介质等工艺过程。由于设计上可能存在不足和缺陷, 若装置建成投运将会导致在装置中存在各种潜在的安全隐患。安全仪表系统(Safety Instrumented System:SIS)的设计配置, 是保障装置工艺安全运行的重要措施之一。但由于设计本身的局限, 安全联锁控制方案的配置是否合理, 安全完整性等级是否符合相关的标准要求, 是装置设计品质的一项重要内容。安全完整性等级(Safety Integrity Level: SIL)评估是目前比较有效的专业评估方法。本文从装置的控制系统出发, 探讨SIL评估在天然气处理装置中的应用。
安全完整性等级是一组离散性参数, 用来描述安全仪表系统中安全仪表功能(Safety Instrumented Function:SIF)的安全完整性等级, 共设置有SIL 1~4级, 其中SIL4最高, SIL1最低[2]。SIL等级越高, 相应的安全防护系统可靠性也越高。但高可靠性的安全防护系统往往会带来更多的软、硬件投资。此外, 随着安全仪表系统服役时间的加长, 系统硬件的可靠性也会随之下降, 要保证系统在使用过程中的SIL等级维持设计初衷不变, 需要适时地对其进行风险评估和检验。
按照标准GB/T 20438-2006 (IEC61508) [3]的要求, 对于系统中需要作重点防护的设备或管线, 可以将其划分为相互独立的受保护设备(Equipment Under Control, EUC)。设计中会为这些EUC配置相应的安全防护措施, 即安全仪表系统。而安全仪表系统的防护等级是否满足生产的工况条件和相关标准的要求是SIL评估的目标。评估过程一般分为三个阶段:①在不考虑安全防护措施的前提下, 确定EUC特征参数所需的SIL等级; ②验证现有SIS的SIL等级是否满足系统需要; ③对不能满足系统需要的SIS, 提出整改建议和措施。
确定EUC参数控制的SIL等级, 首先需要考虑在没有配置任何SIS的情况下, 产生安全事故的可能性和由此造成人员、环境、经济方面的损害或损失, 然后根据损害或损失程度, 依据相关标准和可接受风险准则确定参数控制所需的SIL等级。确定SIL等级的方法有很多, 标准GB/T 20438-2006 (IEC61508)、GB/T 21109-2007 (IEC61511) [4]规定有:定量风险评估、风险图表法(定性)、修正风险图表法(半定性)、风险矩阵法(定性)、安全保护层矩阵法(定性)、保护层分析(半定量)等方法。文献[5]、[6]和[7]就SIL在不同环境下的应用情况进行了分析, 并对SIL评估方法进行了讨论, 文中涉及有风险矩阵法、风险图表法、保护层分析法等, 文献[8]论述了风险图表法在天然气场站中的应用。实际上, 定量/半定量的评估方法计算量非常大, 而且还受收集相关数据的准确性和完整性的影响, 应用得并不是很广泛。风险图表法作为一种定性的分析方法, 受收集资料的限制比较小, 可以快速确定EUC的SIL等级, 因而应用得非常广泛, 本文对风险图表法在天然气处理装置上的应用进行了探讨。
根据标准GB/T 20438.5-2006[9], 确定人员损害后果的相关参数见表 1。此外, 在确定系统所需的SIL等级时, 还须考虑环境、经济的损失程度。
相应的风险图如图 1所示。
再根据标准GB/T 20438.5-2006和GB/T 21109.3-2007[10]中规定的等级对应表, 即可确定对应的SIL等级, 如图 2所示。
根据评估对象的实际情况, 按表 1选出相关参数, 对比图 1、图 2, 可得到系统所需的风险等级。
不同的评估方法, 执行的SIL评估流程都会有些差别, 而流程上的差别, 在某种程度上也决定了该种方法的优势和不足。综合上述文献所描述的分析方法, 笔者结合从事SIL评估的经验, 提出了基于风险图表法的SIL评估流程。如图 3所示, SIL评估流程包含了SIL评估的三个阶段, 为尽可能找出装置中不能满足要求的SIS, 降低或消除潜在危险提供了一种更好的方法。
某天然气地面工程系统, 下设第一处理厂和第二处理厂, 处理的天然气主要来源于西集气干线、东集气干线等。尽管该系统的工艺流程不很复杂, 但要求装置长期连续运行。一旦发生大型事故, 其政治经济影响涉及面宽、影响范围广、损失严重。现以第一处理厂的TEG吸收塔为例。
第一处理厂DCS (Distributed Control System:集散型控制系统)采用了Honeywell公司的PKS系统, ESD (Emergency Shut Down:紧急停车)系统采用了该公司的FSC系统, FSC系统具备的功能(1002D、2004D)可满足AK6级及SIL3级要求[11]。
如图 4所示, 受控工艺介质为油水混合物, 从9.5 MPa操作压力下通过LV01调节阀限流降至0.6 MPa, 然后进入TEG加热再生的低压系统, 工艺介质压降达8.9 MPa。从工艺操作安全方面考虑, 不允许9.5 MPa工艺介质失控泄入设计压力为1.6 MPa的低压系统, 否则会造成低压系统的设备或管线严重超压发生爆裂, 引发严重的安全事故。因此TEG吸收塔的低低液位成为一个重要的控制参数, 需要加强其控制系统的安全性。
确定参数控制所需的SIL等级需要从三个方面来评估, 即:人员、环境、经济。
表 1列出了事故发生后人员损害的评估参数, 由C (按照人员的伤亡数确定区域内对暴露人员造成的危害)、F (在危害区域中的频率和暴露时间)、P (避开危害事件的概率)、W (不期望事件的发生概率)组成。从后果最严重的角度出发, 根据该处理装置的规模和实际情况, 可确定这几个参数为:C3、F2、P2、W2。按照图 1、图 2, 可得到脱水塔液位控制所需的安全完整性等级为SIL3。
对环境造成的损害主要从工艺介质泄露所造成的危害作定性描述, 对经济的损失程度主要参照装置分别在4 h、8 h和24 h产生的经济效益来划分其影响等级。对TEG吸收塔而言, 可确定在事故发生后, 环境、经济方面所需要的防护措施为SIL2。
按照选择控制参数所需安全完整性等级最高的原则, 可确定TEG吸收塔低低液位控制所需的安全完整性等级为SIL3。
TEG吸收塔液位的现有控制措施见表 2, 设置有低液位、低低液位报警和两道保护措施。假设仪表、控制系统的检修周期为一年, 应用风险图表法, 可得到该液位联锁控制回路的SIL等级见表 3。
在仪表控制系统的检修周期内, 联锁控制回路的SIL等级变化趋势如图 5所示。
从表 3可以看出, 原有SIS防护措施的安全等级(SIL2)达不到系统所需的(SIL3)等级, 从验证的具体项目来看, 主要是执行机构的SIL等级不够高, 此外, 触发器的平均失效概率(PFD)虽然达到SIL3, 但PFD仍然比较高, 对系统的SIL等级影响较大。要提高该控制回路的SIL等级, 需从提高液位检测与执行机构的SIL等级出发。最简单的方式可分2步:
(1) 提高触发器的SIL等级。两路液位检测供控制系统实现2选1, 作为切断阀SDV01的控制信号。且两只液位变送器的供电都采用SIS系统的专用电源。验证、计算的SIL等级如表 4所示。
(2) 提高执行器的SIL等级。将调节阀LV01纳入联锁控制, 与切断阀SDV01形成2选1的关系。验证、计算的SIL等级如表 4所示。
通过(1)、(2)的改进和完善, 得到联锁控制回路的SIL等级变化趋势如图 6所示。
(1) 根据SIL评估过程提出的建议措施, 经过适当的控制方案改造, 将原来SIS的安全完整性等级SIL2提高到了满足系统工况条件和相关标准要求的SIL3;
(2) 针对天然气处理装置, 应用SIL评估, 可以准确识别出SIS的安全完整性等级中哪个环节存在缺陷, 并有针对性地提出技改和完善措施;
(3) 天然气处理装置中的安全仪表系统随着服役时间的加长, 其可靠性也会随之下降, 即安全完整性等级下降。为保证装置在寿命周期内的安全可靠, 有必要对装置的SIS系统进行定期的安全完整性等级评估和检验。
2010, Vol. 39 Issue (6): 538-541,547
2010, Vol. 39 Issue (6): 538-541,547