——————————————原创声明：引用请标注明确出处及作者。——————————————
摘要：论述在役装置配置安全仪表系统的必要性，以及通过应用HAZOP和LOPA分析，进行安全仪表功能回路设计和实施的具体步骤和方法，并对1oo1模式下的安全仪表回路不同配置进行验算的方法。
关键词：罐区；重大危险源；安全仪表系统；安全完整性等级；保护层；平均时效概率。
随着我们国家社会经济持续不断的发展，人民生活水准不断提高，人们不再局限于片面追求经济发展，而忽略环境保护和生产安全。加之化工行业近些年事故频发，造成人员受伤或死亡和巨大经济损失，同时带来恶劣的社会影响。为防止和减少危险化学品事故发生，国家安全监督管理总局先后发布多项通知和指导意见，要求加强监管化工企业安全生产工作。其中安监总管三[2014]116号文提出要加强化工安全仪表系统管理，明白准确地提出所有涉及到一、二级重大危险源的新建和在役装置自2020年1月1日起，应执行功能安全有关标准要求，设计符合标准要求的安全仪表系统。
安全仪表系统（Safety Instrumented System，SIS）是一种自动保护安全保护系统，经专门机构认证，具有一定安全完整性等级，用于降低过程风险，使风险达到可接受水平。国外统计资料表明，过程工业中，由于对安全仪表系统的安全要求不合理或者执行不到位，以及投产后对安全仪表系统的不恰当改造，造成安全事故在全部安全事故中所占的比例最大。因此对过程工业中生产装置配置安全仪表系统，进行安全完整性评估，定量的可靠性计算，对于降低风险是十分重要和有效地手段。
SIS系统不仅能响应生产的全部过程中因意外故障或超过安全极限而带来的风险，而且能检测和处理自身发生的故障，从而按预定条件或程序使生产的全部过程处于安全状态，以保障人员、设备及工厂旁边的环境的安全。IEC61511（GB/T 21109-2013）中将SIS系统定义为用于执行一个或多个安全仪表功能（Safety Instrumented Function，SIF）的仪表系统。每一个安全仪表功能回路针对特定的生产的全部过程中的风险进行保护[1]，是由传感器（各类开关、变送器）、逻辑控制器（安全PLC）、执行器(阀门等)组合而成。SIS系统的发展过程经历了三个阶段：继电器线路、电子固态电路、安全PLC，即E/E/PES三个阶段。安全PLC以微处理器为基础，采取了专用软件和编程语言，通过自诊断功能和冗余容错技术，安全性和可靠性均得到了极大地提升。SIS系统的逐步发展出现了故障安全控制管理系统，专用的紧急停车系统模块化设计，完善的自检功能，系统的硬件、软件具备相应等级的安全标准证书[2]。
氯硅烷是三氯氢硅、四氯化硅等原料的合称，属于多晶硅生产中的核心原料。三氯氢硅， 密度1350Kg/m3。遇水剧烈反应释放出氢气，易燃易爆。根据《GB12268 危险货物品名表》，属于遇湿易燃物品，分类码为GB4.3.43049。四氯化硅，密度1480Kg/m3。遇水水解反应激烈，生成硅酸和HCl,有强烈腐蚀性。根据《GB12268 危险货物品名表》，属于酸性腐蚀物品，分类码为GB8.1.81043。
而近些年随着多晶硅生产规模的扩大，各大多晶硅企业建设大型氯硅烷储存罐区，储存三氯氢硅和四氯化硅，以应对多晶硅日常生产中大量原料的储存和中转需求。xx公司氯硅烷储存罐区储存物料为四氯化硅和三氯氢硅。罐区包含容积为1000m3球罐4座，容积为1500m3球罐4座，容积为150m3立式储罐2座。氯硅烷储存罐区最大实际储存量按照每罐不超过80%最大储存量储存，其中球罐2座1000m³和2座1500m³储存四氯化硅，2座1000m³和2座1500m³储存三氯氢硅，2座150m³立式储罐储存高纯三氯氢硅，根据理论储存量,按照《危险化学品重大危险源监督管理暂行规定》的计算方式，该储罐区重大危险源分级系数R=116.4，因此该氯硅烷储存罐区属于一级重大危险源。按照安监总管三[2014]116号文件要求，需要对该在役氯硅烷储存罐区配置相应的安全仪表系统。
仍然以上述xx公司氯硅烷储存罐区为例，选取其中一座储罐为分析节点。储罐位号V-9101,储存三氯氢硅。流程图如图1所示。
来自上游803/803A工艺单元的三氯氢硅进入V-9101球罐储存，并通过三氯氢硅输送泵P-9101送往下游804单元。V-9101液位受控制回路LIC-9101控制，LT-9101检测储罐液位。液位控制回路可发出高报警LAH-9101，提醒操作人员注意球罐液位。该球罐体积1000m³，位于防火堤内，该防火堤能够容纳液体超过1500m³。对该节点进行HAZOP分析，限于篇幅仅以引导词“多”和工艺参数“液位”进行偏差确定，得出“多”+“液位”=“液位高”的偏差。假定导致该偏差的事件为“液位控制回路失效”，即DCS回路失效。事件发生后，导致了相应难以处理的后果，造成的损失后果等级为5级。进一步的分析该事件发生导致该后果的频率。通过查表2得知DCS回路失效事件发生频率为1*10-1，即初始事件。图1案例中独立现有保护的方法有防火堤，安全阀和DCS回路报警和人员响应。根据独立保护层评估原则，当储罐发生泄漏时，合适的防火堤能有效阻止事故扩大，不依赖于其他保护层，通过设计审查，可当作IPL。安全阀在发生泄漏时，没办法阻止泄漏，不能作为IPL。DCS回路报警不能作为IPL考虑，因为导致偏差的初始事件是DCS回路失效，同时带来可能会引起报警失效。同理，人员响应也不能作为IPL，因为人员不一定在现场，或者人员干预不一定及时。本案例中各保护层，只有防火堤能作为独立保护层。查表1得知防火堤失效概率PFD=1*10-2 。
确定初始事件发生频率和独立保护层失效概率后，结合场景使能事件修正系数，根据公式（1）
即可计算场景发生概率。使能事件修正系数取点火概率为1，人员暴露概率0.5，人员受伤或死亡概率0.5。则场景发生概率为：
可知本例中初始事件导致的场景发生风险概率为2.5*10-4。根据风险评估矩阵[5]，当后果等级为5，场景发生概率为2.5*10-4时，风险等级为高风险，要选择合适时机采取行动，决定增加一个独立的SIF（安全仪表回路），用于检测和阻止液位超高导致不良后果发生。该SIF回路采用独立的雷达液位变送器（LT-9102），逻辑控制器和独立的截断阀。当液位（LT-9102）联锁触发时，关闭液位切断阀XV-9101，该SIF回路见图2。
则根据风险评估矩阵[5]，本案例中场景对应风险等级降低为中风险，可选择性的采取行动。企业可根据真实的情况决定是不是采取进一步的改进。若企业根据风险带来的损失和投入的成本，决定采取行动逐步降低风险，将该SIF回路SIL等级定为SIL2时，根据表2，PFDsys=1*10-3，场景发生概率为：
则本案例中场景对应的风险等级降低为低风险，可不采取进一步行动。至此，针对某一场景中初始事件的安全仪表回路设计和定级基本完成。
不同的SIF回路SIL验算方法依据配置情况不同，验算方法不同。实践中主要分两种情况：一种情况是SIF回路使用的元件全部采用经SIL认证的产品，一种情况是SIF回路使用的元件部分采用经SIL认证的产品（实践中一般安全PLC采用经SIL认证产品，别的部分采用未经SIL认证产品）。在工程设计中，根据安全要求不同，常见的现场仪表组合有1oo1,1oo2,2oo2,2oo3，2oo4D结构等。不同的配置结构，还要考虑到共因失效的影响，计算时方法和复杂程度区别较大。此处以1oo1结构为例进行验算。
（1）对于SIF回路元件全部采用经SIL认证产品，1oo1结构模式下一般不需要自行计算仪表的平均失效概率，可通过查看SIL认证证书，获取需要的安全完整性认证数据，分别计算该配置模式下SIF回路中的传感器单元、安全PLC和最终元件的平均失效概率，即可计算出该SIF回路的平均失效概率PFDsys：
其中：∑PFDS为传感器单元（从现场传感器至安全PLC输入模块）平均失效概率；
根据∑PFDsys的最终结果，判断该配置模式下的SIF回路是不是满足安全完整性等级的要求。
（2）对于SIF回路元件部分采用经SIL认证产品，验算时因普通仪表的安全完整性数据无从查询，此时可参照ISA-TR84.00.02进行，步骤如下所示[6]：
其中： MTTFD为平均危险失效前时间(单位：小时)。在MTTFD无有关数据可查的情况下，可参考ISA-TR84.00.02-part 1 中表5.1[6]中有关数据，计算时取经验值数据之平均值。
其中：λDD为被检测出危险失效概率；λDU 为未被检测出危险失效概率。T1为检测平均时间间隔。在低要求模式下，对于为经认证的普通仪表，一般认为其λDD为0，T1=8760h。因此可得λD ≈λDU ,于是有：
3）根据公式5计算SIF回路各配置元件的危险失效概率，通过公式1计算出该SIF回路的平均失效概率PFDsys。
以上文第3部分案例说明，假设最终增加的SIF回路配置为：最终元件为气动切断阀，电磁阀不带PVST功能；现场变送器使用雷达液位计测量球罐液位；安全PLC选用Honeywell SM系统。所有现场仪表、安全栅和继电器均采用SIL认证的产品，配置模式为1oo1。查该SIF回路使用的元件的认证证书，得到有关数据见表2。
若假设最终增加的SIF回路配置模式不变，但现场仪表、电磁阀采用的为未经SIL认证的产品，其他元件不变，其验算过程与全部采用经SIL认证的产品稍有不同。对于现场仪表和电磁阀，因无法直接取得PFD有关数据，一定要通过公式6计算得到。按照上述第二种验算方法，相关仪表MTTFD数据可参考ISA-TR84.00.02-part 1表5.1[6]，根据表2和公式5，得到该1oo1模式下未经SIL认证的现场仪表构成的SIF回路平均失效概率数据见表3。
依据以上计算结果，该SIF回路SIL=1，不满足本案例中SIF回路的安全完整性等级要求，需要将现场仪表更换为经SIL认证的产品，或者更改现场仪表配置模式，采用更高安全性的1oo2或2oo3配置模式，进一步提升安全性，方可能满足该SIF回路的SIL要求。
目前安监总局对“两重点一重大”装置提出了明确的要求，需要配置安全仪表系统。随着安全形势和安全监管逐步加强，在不久的将来，SIS系统将与现在的DCS系统一样，是化工装置必不可少的组成部分，这对提升我们的安全防护等级和安全层次很重要。就本文而言，有以下几点想法：
（1）无论是对新建、改建、扩建还是在役装置，实施SIS系统时，HAZOP分析和LOPA分析是相对来说还是比较简单和通俗易懂的。在我国目前这方面的工作相对落后的情况下，易于为大多数从业者接受和掌握，也是目前国内推崇的分析方法。
（2）对于在役装置，进行SIS系统实施时，现场真实的情况苛刻，整改条件要求高的情况下，分析结果可否根据真实的情况适当修正，既能保证可靠性，又减少了因过度设计带来的高成本和现场的实施难度，这需要在实践中进一步摸索。
（3）SIS系统中SIF回路的独立性问题，国内国外的规范中定义有出入。在实践中，如何把握这个界面，应该要依据最终的SIL等级以及现场真实的情况，综合考量。当然，如果是新建、改建或扩建装置，作者觉得还是采取完全独立的策略更为妥善。毕竟SIS完全独立带来的成本增加绝对值对于整个装置来说几乎能忽略不计。
作者简介：陶林（1985- ），男，本科，工程师，一级建造师，从事化工仪表自动化相关工作。
联 系 人：陈卫国（1972- ），男，本科，工程师，一级建造师，全国五一劳动奖章获得者，现任宜昌南玻设备部电仪主任，主要是做化工仪表、电气自动化技术及管理相关工作，多晶硅还原炉进料系统研究。
