安全完整性等级SIL应用研究与实践
Outline:
收稿日期：2011-10-26
作者简介：袁树海:男，1960年生，本科学士，高级工程师。主要从事油气田地面工程自控、电气设计，HAZOP、SIL工程应用研究，技术咨询及课题研究工作。地址：(610213)四川成都华阳天研路218号。电话：(028)85604564.
摘要：介绍了SIL评估依据、作用、方法及应用案例。根据新老项目需求不同简述了SIL评估的不同目的和作用；结合工程实践提出了SIL评估的必要性；引用相关标准论述了构建SIS系统的合理性与有效性；列举实际工程案例阐述了SIL评估的基本应用方法；最后阐明了SIL评估应用的发展趋势。
关键词：仪表 控制 安全 风险 SIS SIL HAZOP
Application research and practice of safety integrity level
Outline:
Yuan Shuhai
,
Song Bin
,
Li Fanshu
, et al
Research Institute of Natural Gas Technology of PetroChina Southwest Oil and Gasfield Company, Chengdu 610213, Sichuan, China
Abstract: Safety Integrity Level (SIL) assessment basis, function, method and application cases are introduced in this paper. According to the different needs of newly built and constructed projects, different purposes and functions of SIL assessment are described. Then, necessity of SIL assessment is put forward combining with the engineering practice, and the rationality and effectiveness of constructing SIS are expounded referencing to related standards. The next, the basic application method of SIL assessment is discussed with practical engineering cases. At last, the application trend of SIL evaluation is expounded.
Key words:
instrument control safety risk SIS SIL HAZOP
随着自动化仪表技术的出现，特别是以半导体技术为基础的工业自动化仪表的发展，为流程性工业装置自动控制带来了革命性的变化。但由于初期产品性能可靠性等诸多原因，导致其在工业应用中产生了很多负面影响。尽管如此，工业自动化仪表控制显著提高产品性能和人工控制无法替代的积极作用还是为人所接受，同时对于不断提高自动化控制系统可靠性的研究与探索也在不断进行。作为工业自动化控制领域的一个系统分支，即安全仪表系统(Safety Instrument System-SIS)随之产生，并在大型工业装置或复杂工艺流程上得以推广应用。SIS在流程装置上配置得是否妥当，是否能有效发挥安全保障作用，一直为用户质疑和关注。1998年，国际电工技术委员会(IEC)针对自动化仪表产品开发应用提出了IEC 61508-1998(GB 20438-2006《电气/电子/可编程电子安全相关系统的功能安全》)标准[1]；2003年提出了IEC 61511-2003(GB 21109-2007《过程工业领域安全仪表系统的功能安全》)标准[2]，其中对框架、定义、系统、硬件和软件，以及安全完整性等级(Safety Integrity Level-SIL)提出了更为明确的要求。
按照IEC 61511标准规定，将SIL分为4级，即SIL1、SIL2、SIL3、SIL4，其中SIL4等级最高。SIL是描述安全仪表系统功能可靠性的一种表征，SIL等级越高，安全仪表系统失效的风险概率越低，同时意味着构成的安全仪表系统投资越高。
1 SIL评估作用
由于构成控制系统涉及的软硬件部件较多，无论标称多么可靠的控制系统，都不可能做到万无一失，因此根据需要对某些重要或敏感点位的控制回路增加保护层级，降低失效概率便成为必然要求。
实际生产过程中SIL不是任由设计者或使用者随意确定的。针对各控制对象的联锁保护方案采用哪一等级的SIL是正确的、合适的，需要工艺、设备、自控、安全工程师以及操作人员、管理人员参与确定。首先根据标准针对控制对象进行多重因素评估，根据工艺流程、工况条件进行综合分析，由此确定失效或事故后果造成的损失或危害可以接受的程度；最后确定合适的SIL等级，也就是确定安全仪表系统构成的繁简程度，最终由自控工程师去实现，使安全仪表系统的SIL等级与受保护对象需求的必要性相适应。采用的SIL等级既不偏低也不偏高，做到投资物有所值、恰到好处。
2 SIL评估方法
一般SIL评估首先是针对某工程对象，在危害与可操作性分析(Hazard and Operability Study-HAZOP)已经识别的局部风险对象或环节基础上，应用SIL对其作进一步量化分析评估；然后确定是否有必要配置具有相适应的SIL控制方案，若有必要继续评估已有SIL等级或设计需求SIL等级，据此构建可以达到需求SIL等级的安全仪表系统或安全联锁控制方案。实际工程需求，如果未进行HAZOP分析，直接采用SIL评估也是可行的，但必须建立在对工艺流程某些重要或敏感点位充分熟悉或辨识基础上。
2.1 新项目的SIL评估
新建工程项目，特别是工艺流程复杂，工艺介质为高压、易燃易爆、腐蚀、有毒等工况，构成的控制方案相对复杂，对安全性要求也比较高。为了弥补设计缺陷，通过第三方采用SIL评估方法，对整个工艺流程进行系统分析审查，其中，包括对安全仪表系统分析审查，确定SIL采用是否妥当。由此，可以使设计方案得以修正和完善，尽可能消除隐患，避免项目实施过程不必要的返工、拖延工期和浪费投资。
2.2 老项目的SIL评估
老项目经过一定周期运行，安全仪表系统相关部件老化、使用寿命缩短，随之可靠性下降，失效概率增加、风险相对变高，对应的SIL等级也变低。如何确定当前状况下的实际SIL等级，仅靠相关专业工程师们的知识能力来确定是很困难的，此时有必要借助专业SIL评估机构，通过获取当前工况条件和各类必要数据，应用定量计算方法并附加综合因素评估计算，得出当前SIL等级，辅以人工分析判断，确定是否进行必要的提高SIL改造。如果确定需要改造，再通过定量计算方法确定改造哪些环节可以使系统的安全性恢复到需求水平。
通过SIL评估方法，可以科学地评估安全仪表系统的可靠性，科学地制定维护检验周期或改造方案，最大限度地保障工艺装置在检修周期内的安全运行。
本文仅以某天然气处理厂工艺流程中部分有代表性联锁控制回路的SIL评估结果与改造方案为例，阐述SIL评估方法的应用。按照标准SY/T 10045-2003《工业生产过程中安全仪表系统的应用》中“装置若发生事故，对装置和产品有较大影响，并有可能造成环境污染和人员伤亡，经济损失较大”的工况[3]，要求安全完整性级别设计达到SIL2级。根据评估得知，某天然气处理厂工艺流程中类似工况安全完整性级别实际没有达到SIL2级标准，安全保障措施程度不够。建议参照下文提出方案通过技术改造提高SIL级别。文中提到的技改方案，基本上是利用现有仪表设备资源，在投资较少的情况下，通过局部软硬件技术改造使必要的联锁控制回路从原设计SIL1或低于SIL1级水平提高到SIL2级，从而可以增强装置操作运行的安全性。
以下介绍一燃料气系统压力联锁控制SIL改造案例。改造前燃料气系统压力联锁控制回路参见图 1。燃料气源来自9.4 MPa高压干气，经PV-4301阀自动调节减压至3.0 MPa，作为中压燃料气，其中自动调节减压控制回路设联锁控制。当在自动调节失控状态下，联锁控制阀SDV-4301切断高压干气，避免高压干气串至3.0 MPa中压燃料气系统。设计压力变送器PT-4301信号为调节、联锁控制共用。
根据图 1分析，同时根据SY/T 10045-2003标准中第7.4.2.2条“用于SIS的传感器应和用于基础过程控制系统(BPCS)的传感器分开”的要求，该系统联锁控制回路硬件设计不满足SIL1级水平。受控工艺介质为高压干气，从9.4 MPa操作压力下通过PV-4301调节阀限流降压至3.0 MPa(设计压力4.0 MPa)，然后进入中压燃料气罐，工艺介质最高压降达6.4 MPa。
从工艺操作安全方面考虑，不允许9.4 MPa高压干气失控泄入设计压力为4.0 MPa的中压燃料气系统，否则有造成该系统设备管线等爆裂的潜在危险。因此，有必要提高工艺流程安全仪表系统的SIL级别。
根据现有仪表设备配置，进行如下改造可使安全级别从原设计SIL1级提高到SIL2级。改造前提是PV-4301调节阀采用气开式高压单座气动调节阀。
改造后的燃料气系统压力联锁控制回路参见图 2。联锁控制回路传感器PT-**单独配置；PV-4301调节阀膜头气路增设电磁阀，使其具备双重作用。正常工作时PV-4301调节功能不变，如果电磁阀受控动作，PV-4301膜头气源被切断，调节阀自动复位至关闭状态，作为SDV-4301的冗余联锁阀。联锁状态下SDV-4301、PV-4301同时作为切断阀，隔离高压与中压燃料气通道，对中压和低压系统增加了保护层，从而可以提高局部工艺流程联锁控制回路的安全性。
保证改造方案达到SIL2的前提是，文中涉及的安全仪表系统设备必须获得权威机构的SIL2等级认证，如TUV认证。
4 结论
SIL评估结果：①可以定量给出受保护对象需求的安全完整性等级；②可以定量描述原设计或已有保护措施的安全完整性等级；③可以判定原设计或已有保护措施是否过当、是否欠缺，并给出技术改造建议及建议方案；④提出构成安全仪表系统相关设备的维护检验周期，使工艺流程装置在整个生命周期内的安全性得到最大限度的保障。
SIL评估是HAZOP分析的深化，也是对HAZOP定性分析的一种补充。因此，一个工程项目设计方案的最终形成，中间过程除需进行HAZOP分析外，还应根据工程项目设计方案中是否存在特别关键或危险环节，确定是否有必要进行安全完整性等级SIL评估。
目前，重大工程项目涉及的SIS，相关设备采购时已经开始提出SIL要求。相关设备供应商已经开始根据业主需求，生产不同SIL等级(SIL1、SIL2、SIL3)要求的控制系统和仪表设备。
基于SIL的评估作用，除针对必要的工程对象可以独立开展评估应用外，还可以进一步考虑其拓展应用范围：一是基于风险的检验(Risk Based Inspection——RBI)、以可靠性为中心的维修(Reliability centerde Maintenance——RCM)组合开展资产完整性评估工作，根据评估结论提出资产完整性管理策略；二是与HAZOP分析结合应用，针对工程对象特别关键或危险环节进行定性与定量结合评估，根据评估结论提出改进措施或适宜的安全有效控制方案。
| [1] |
全国工业过程测量和控制标准化技术委员会.GB 20438-2006电气/电子/可编程电子安全相关系统的功能安全[S]. 2006-07-25.
|
| [2] |
全国工业过程测量和控制标准化技术委员会.GB 21109-2007过程工业领域安全仪表系统的功能安全[S]. 2007-12-18.
|
| [3] |
海洋石油工程专业标准化技术委员会.SY/T 10045-2003工业生产过程中安全仪表系统的应用[S]. 2003-03-18.
|
| [4] |
中国石化集团公司工程建设管理部.SH/T 3018-2003石油化工安全仪表系统设计规范[S]. 2004-03-10.
|
| [5] |
|
2012, Vol. 41