周 亮

(中國石化上海石油化工股份有限公司儀控中心，上海 200540)

中國石化上海石油化工股份有限公司儲運部(以下簡稱儲運部)現(xiàn)擁有41座液態(tài)烴球罐和2座低溫乙、丙烯儲罐，總?cè)莘e達到8.72×104m3，各罐區(qū)均屬于一級重大危險源。最早的球罐于1984年建成，最新的也已于2002年建成，罐區(qū)當時的設計安全理念相對現(xiàn)在的標準與規(guī)范要求已顯落后，原儀表聯(lián)鎖系統(tǒng)均通過分布式控制系統(tǒng)(DCS)實現(xiàn)，未采用獨立的安全儀表系統(tǒng)(SIS)，因此裝置的安全穩(wěn)定生產(chǎn)存在較大的保護失效風險。

根據(jù)中國石油化工集團有限公司(以下簡稱中國石化)的《罐區(qū)隱患整改攻堅戰(zhàn)指導意見》，儲罐區(qū)的SIS系統(tǒng)應根據(jù)安全評估的安全完整性等級(SIL)進行設置，并應符合GB/T 50770—2013《石油化工安全儀表設計規(guī)范》的相關(guān)規(guī)定；未進行危險與可操作性分析(HAZOP)研究和安全完整性等級(SIL)評估的(涉及毒性氣體、液化氣體；劇毒液體的一級或二級重在危險源)在役罐區(qū)，應配備獨立的SIS系統(tǒng)，每個回路的檢測元件和執(zhí)行元件均宜獨立設置，安全儀表等級應按SIL2考慮。根據(jù)國家安全監(jiān)管總局規(guī)定的《化工和危險化學品生產(chǎn)經(jīng)營單位重大生產(chǎn)安全事故隱患判定標準(試行)》，將“涉及毒性氣體、液化氣體、劇毒液體的一級、二級重大危險源的危險化學品罐區(qū)未配備獨立的安全儀表系統(tǒng)”作為重大事故隱患的判定依據(jù)之一，目前儲運部液化烴罐區(qū)未配備獨立的SIS系統(tǒng)，已列為中國石化的集團公司級重大安全事故隱患。在設計、安裝、操作和維護管理等生命周期各階段，其相關(guān)保護措施還存在危險與風險分析不足、設計選型不當、冗余容錯結(jié)構(gòu)不合理、缺乏明確的檢驗測試周期、預防性維護策略針對性不強等問題。因此，有必要在罐區(qū)新增獨立的SIS系統(tǒng)，提高安全聯(lián)鎖功能的可靠性，消除罐區(qū)的安全隱患，確保長周期安穩(wěn)運行。

1 液態(tài)烴球罐區(qū)危險性與可操作性分析

采用系統(tǒng)、全面的危險因素辨識工具——HAZOP，從生產(chǎn)系統(tǒng)中的工藝參數(shù)出發(fā)對液態(tài)烴罐區(qū)危險因素進行辨識，通過分析工藝參數(shù)偏差對整個系統(tǒng)的影響，全面系統(tǒng)地辨識液態(tài)烴球罐區(qū)運行所存在安全風險，以風險的系統(tǒng)防控為出發(fā)點，提出必要的削減風險的安全控制措施建議。

1.1 分析目標

辨識液態(tài)烴球罐正常工藝或操作條件下產(chǎn)生的偏差造成的不良后果；評估現(xiàn)存安全設計及儀表系統(tǒng)是否可以達到避免或減緩后果的嚴重程度；如有必要，確定進一步的保護措施以避免或減緩后果的嚴重程度。

對儲運部液態(tài)烴球罐區(qū)的相關(guān)工藝流程、設備、管道以及配套公用工程進行HAZOP分析。

1.2 分析方法

HAZOP是一種系統(tǒng)化的分析技術(shù)，用以辨識工藝設計中潛在的危險和操作問題，并對工藝系統(tǒng)中現(xiàn)存安全設計的可靠性進行評估，當現(xiàn)存安全設計無法滿足需求時，提出進一步的保護措施。

HAZOP分析是通過HAZOP分析小組完成的。HAZOP分析小組由多學科工程技術(shù)人員及操作人員、具有豐富HAZOP經(jīng)驗且獨立于項目組的HAZOP組長以及記錄員組成，HAZOP小組中包括工藝工程師、項目工程師、儀表、電氣工程師和高級操作人員。

HAZOP分析通常是基于帶控制點的工藝流程圖(PID)進行的，并輔以工藝物料平衡圖(PFD)、聯(lián)鎖邏輯圖、總圖等資料，在HAZOP分析過程中，將PID劃分為若干分析節(jié)點，以分析節(jié)點為單位進行分析工作。

HAZOP分析流程如下：

(1)擇一個分析節(jié)點；

(2)描述設計目的及操作要求；

(3)選擇一個引導詞，與相關(guān)工藝參數(shù)組成偏差；

(4)分析所有可能導致偏差的原因；

(5)分析每一個原因可能造成的所有后果(不考慮現(xiàn)存安全措施)；

(6)分析已有安全措施是否滿足需求；

(7)對于不滿足需求的安全措施，建議采取新的安全措施；

(8)重復步驟4～8，對下一個偏差進行分析；

(9)重復步驟3～9，直到該分析節(jié)點內(nèi)的所有偏差得到分析；

(10)對下一個分析節(jié)點進行分析，重復步驟1～10。

1.3 改進措施

通過HAZOP分析，針對液態(tài)烴球罐區(qū)中的風險控制、可操作性及其他問題，根據(jù)危害產(chǎn)生、發(fā)展的條件，對可能造成的后果進行分析，提出了安全對策措施和建議：

(1)液態(tài)烴球罐在接收界外來料、而管道閥門誤操作導致關(guān)閉的情況下存在管線超壓損壞的風險，建議加強相關(guān)閥門的管理，降低誤操作的風險；

(2)建議球罐增設液位低低聯(lián)鎖停泵并關(guān)閉切斷閥，或建議業(yè)主制定高質(zhì)量的管理程序，將該風險納入風險管控清單；

(3)當儲罐的低低液位設置自動聯(lián)鎖停泵時，會使下游正在生產(chǎn)的裝置斷料，低液位報警時手動或自動快速開啟另一座儲罐的出料閥；

(4)當球罐發(fā)往碼頭或灌裝站時，儲罐低液位聯(lián)鎖停泵進SIS系統(tǒng)。此時不會對下游造成重大影響，停泵后經(jīng)人員確認，將低液位聯(lián)鎖切出外送系統(tǒng)，軟旁路該低液位儲罐，低液位聯(lián)鎖后再進行其他儲罐的外送工作。因此建議與該泵相關(guān)的儲罐設置低液位聯(lián)鎖停泵。

2 液態(tài)烴球罐區(qū)SIS的SIL定級

SIL評估基于GB/T 20438/21109功能安全標準、國外行業(yè)導則及經(jīng)驗做法，結(jié)合儲運部液態(tài)烴球罐區(qū)裝置PID、工藝技術(shù)規(guī)程、聯(lián)鎖邏輯圖等資料，進行危險與風險分析，辨識安全儀表功能(SIF)；應用保護層分析法(LOPA)來評估各種危險事件發(fā)生時所造成的人員傷亡風險、環(huán)境影響風險及經(jīng)濟損失風險，綜合確定每一個SIF回路所需求的安全完整性等級。

SIS系統(tǒng)是化工生產(chǎn)裝置的重要保護措施，在危險情況出現(xiàn)時要求可靠動作，使裝置或設備進入安全狀態(tài)。實施SIL評估的目的是明確安全儀表功能及其風險降低要求，以便于安全儀表系統(tǒng)(包含用于實現(xiàn)安全儀表功能的相關(guān)儀表和邏輯控制器)的合理設計和維護管理，達到其應有的風險降低要求，提升過程安全管理水平。為確保所設計的安全儀表系統(tǒng)滿足過程安全對該保護層的風險降低要求，對SIS系統(tǒng)進行可靠性結(jié)構(gòu)分析和安全完整性等級SIL驗證計算。

使用風險矩陣法，對各液態(tài)烴球罐區(qū)液位過高或過低所產(chǎn)生的后果嚴重程度完成SIL評估。通過分析，建議球罐兩種不同測量方式的液位信號進SIS系統(tǒng)，其聯(lián)鎖等級為SIL2。高液位聯(lián)鎖觸發(fā)切斷進料切斷閥，避免造成可燃介質(zhì)罐滿罐憋壓、物料泄漏、火災爆炸等危險工況。同時，低液位聯(lián)鎖觸發(fā)停泵、關(guān)出料切斷閥，避免造成泵氣蝕損壞，密封損壞，介質(zhì)泄漏，有火災爆炸的危險工況。

3 液態(tài)烴球罐區(qū)SIS系統(tǒng)的實現(xiàn)(以儲運部三車間為例)

3.1 液態(tài)烴球罐區(qū)聯(lián)鎖控制方案

儲運部三車間共有15座液態(tài)烴球罐，每個球罐有2臺液位測量儀表、2臺液位開關(guān)和進出口各1臺緊急切斷閥。

根據(jù)HAZOP分析，液態(tài)烴球罐聯(lián)鎖控制如下：利用液態(tài)烴球罐原有2臺液位計和高液位開關(guān)實現(xiàn)“三取二”聯(lián)鎖關(guān)閉進料切斷閥，并在球罐區(qū)防火堤外增設緊急關(guān)閥按鈕，按鈕動作信號返回SIS系統(tǒng)。當液位低低時，通過2套液位計和低液位開關(guān)實現(xiàn)“三取二”聯(lián)鎖停泵和并閉球罐出料閥。

3.2 液位測量儀表及控制閥升級

儲運部原液態(tài)烴球罐部分采用SAAB雷達液位通訊信號檢測液位，球罐進出料閥門不滿足緊急切斷閥SIL2等級要求。所以要對原有雷達液位計進行升級改造，新增雷達到hub2410的一段現(xiàn)場總線(FF)電纜，新增hub輸出到SIS系統(tǒng)4～20 mA+可尋址遠程傳感器高速通道的開放通信協(xié)議(hart)電纜?？刂剖业耐ㄓ崋卧?160升級為最新通訊單元2460。同時對原有球罐進出料閥進行更換，閥門選用單作用切斷球閥，防火要求API607,閥門整體安全等級滿足SIL2要求,氣缸帶易熔塞，在250 ℃時自動熔斷。

3.3 測量及控制回路改造

3.3.1 改造原則

獨立設置原則：整個SIS系統(tǒng)包括邏輯運算處理、輸入/輸出信號、檢測單元、執(zhí)行單元和不間斷電源(UPS)供電單元，獨立于分布式控制系統(tǒng)(DCS),以降低系統(tǒng)控制功能和安全同時失效的概率。

中間環(huán)節(jié)最少原則：構(gòu)成SIS整個系統(tǒng)的各環(huán)節(jié)盡量不用或少用接線箱、端子柜、端子板、轉(zhuǎn)換器、隔離器、繼電器等，且邏輯運算組態(tài)優(yōu)化簡潔，以盡可能減少故障點。

故障安全原則：作為輸出用的開關(guān)信號采用常閉觸點，正常時觸點閉合，達到安全極限時觸點斷開。執(zhí)行單元電磁閥采用正常線圈帶電勵磁，斷電時聯(lián)鎖動作。內(nèi)部或外部原因使SIS系統(tǒng)失效時，液態(tài)烴球罐進出口閥門關(guān)閉，自動轉(zhuǎn)為安全狀態(tài)。

3.3.2 回路接線改造

該項目在原有DCS基礎上改造，儀表、配線利舊，不得破壞原儀表系統(tǒng)的防爆配管；同時，在球罐區(qū)防火堤外增設防爆按鈕控制箱，每個按鈕選用常閉觸點串入聯(lián)鎖回路，用于球罐進出口閥門緊急關(guān)閉?，F(xiàn)場需進入SIS系統(tǒng)的儀表，在原接入該儀表信號的接線箱上做好標識，所有接入SIS系統(tǒng)相關(guān)儀表的接線箱納入SIS系統(tǒng)相關(guān)管理。

所有參與聯(lián)鎖、控制的輸入/輸出(I/O)點均采用硬接線方式實施，為了降低施工難度、減少作業(yè)時間和節(jié)約成本，除新增點需補放電纜外，原有點均繼續(xù)利舊使用，涉及需從DCS機柜轉(zhuǎn)移至SIS機柜的儀表點，將原DCS機柜內(nèi)接線拆除，將電纜接至SIS機柜。原有電纜長度不足以接至SIS機柜，采用在端子柜中轉(zhuǎn)接方式，將儀表信號接入SIS系統(tǒng)。由于個別信號既要引入DCS控制，又要引入SIS參與聯(lián)鎖保護，為了減少投資，采用信號分配器實現(xiàn)，信號分配器選用SIL認證產(chǎn)品。其他SIS系統(tǒng)中的I/O點通過Modbus方式通訊至DCS監(jiān)視。

3.4 SIS選型

液態(tài)烴罐區(qū)原有DCS系統(tǒng)均為橫河(中國)股份有限公司的產(chǎn)品，且現(xiàn)有操作及維護人員對當前系統(tǒng)非常熟悉，因此采用橫河ProSafe-RS安全儀表系統(tǒng)，系統(tǒng)配置、操作風格、流程畫面可以與原DCS系統(tǒng)一致。符合國際安全標準TUV安全認證，四重化可編程序控制器，同時滿足根據(jù)IEC6158/IEC61511所定義的SIL3安全度等級，確保液態(tài)烴球罐區(qū)運行的安全和可靠。

3.5 SIS網(wǎng)絡結(jié)構(gòu)

對現(xiàn)有DCS機房進行擴建改造，增設1臺SIS操作員站置于操作室內(nèi)，用于顯示聯(lián)鎖邏輯狀態(tài)、聯(lián)鎖復位和維護旁路操作和遠程關(guān)閉進、出料閥等。增設1臺系統(tǒng)工程師站置于機柜內(nèi)的相對獨立空間，用于系統(tǒng)的組態(tài)、調(diào)試及日常系統(tǒng)維護。增設1臺工程師站、1臺操作站，工程師站用于組態(tài)、調(diào)試、查看日常事件記錄及日常維護，三車間輕油和金地區(qū)域各新增1個控制站，各自獨立工作，互不干擾。系統(tǒng)電源、中央處理器(CPU)網(wǎng)絡均冗余配置，IO模塊冗余配置，其中AI卡件選用帶Hart功能型號，信號接線采用端子板方式，采用專用信號電纜與卡件連接。對現(xiàn)場設備供電的24 V直流電源、繼電器、信號分配器，選用SIL3等級且符合G3防腐標準。SIS系統(tǒng)網(wǎng)絡結(jié)構(gòu)如圖1所示。

圖1 SIS系統(tǒng)網(wǎng)絡結(jié)構(gòu)

3.6 SIS系統(tǒng)組態(tài)

3.6.1 系統(tǒng)IO點配置

系統(tǒng)電源、IO卡件、通訊卡件、通訊部件等均采用1∶1冗余配置?；谠O計需求點數(shù)及20%的余量要求，其輸入/輸出通道數(shù)及IO卡件配置如表1所示。

表1 IO通道數(shù)及IO卡件配置

SIS系統(tǒng)排布原則：系統(tǒng)柜、電源柜、安全柵柜、繼電器柜需獨立設置，同一聯(lián)鎖中AI/DI信號放置在不同的IO模塊，每塊卡件至少留一個空余通道，來自電氣的信號需增加中間繼電器進行隔離。

3.6.2 操作站/工程師站

操作站為SIS系統(tǒng)的人機接口，通過ProSafe-RS組態(tài)實現(xiàn)權(quán)限分級管理(操作員權(quán)限、班長權(quán)限、工程師權(quán)限)，顯示因果表及邏輯畫面，主要包括：全部輸入裝置狀態(tài)、全部輸出裝置狀態(tài)、全部開車開關(guān)狀態(tài)、全部儀表維護旁路開關(guān)狀態(tài)和聯(lián)鎖設定值；工藝操作旁路開關(guān)狀態(tài)、停車信號、SIS系統(tǒng)故障以及24 h內(nèi)全部的停車歷史記錄、開關(guān)狀態(tài)歷史記錄、按鈕狀態(tài)歷史記錄和工藝操作旁路開關(guān)記時器設定。操作員可在SIS系統(tǒng)調(diào)出因果表或狀態(tài)顯示畫面，在屏幕上方可以實時顯示當前報警信息，并進行確認操作。

聯(lián)鎖邏輯動態(tài)畫面可以通過紅、綠色變來顯示各輸入、輸入狀態(tài)及聯(lián)鎖說明等。當操作站失效時，安全儀表系統(tǒng)的邏輯處理功能不受影響。

工程師站用于編程、生成、調(diào)試、編輯和維護，具有SOS事件的監(jiān)控及管理功能。通過口令密碼限定訪問操作，每次訪問操作的開始和結(jié)束時間、操作動作均可以記錄存檔，事件記錄的分辨率小于10 ms。SIS系統(tǒng)設置獨立的工程師站，實現(xiàn)編程和事件報警記錄、打印等功能，同時SIS系統(tǒng)具備在線修改、在線下載、卡件插拔等功能。

3.6.3 數(shù)據(jù)通訊

SIS獨立于DCS系統(tǒng)和其他子系統(tǒng)單獨設置，采用故障安全型設計，具有全冗余的工業(yè)化數(shù)字通信系統(tǒng)，通信系統(tǒng)為控制站與控制站之間、控制器與工程師站之間、控制器與操作站之間提供可靠的高速數(shù)據(jù)傳送，傳送速率大于100 Mb。通過ModBus RTU RS-485接口與DCS進行數(shù)據(jù)通訊，DCS系統(tǒng)為主站，SIS系統(tǒng)為從站。數(shù)據(jù)通信系統(tǒng)能夠自動切換，并進行系統(tǒng)診斷報警，切換時不會丟失數(shù)據(jù)。所有的SIS過程變量、過程報警、旁路、復位等信號能在DCS操作站上顯示。

3.6.4 自診斷

系統(tǒng)全部模件具有自診斷功能，每個故障診斷匯總畫面顯示，也可形成故障報表并打印。診斷內(nèi)容如下：輸入/輸出短路或開路、輸出無負載或過負載、熔斷器熔斷指示、硬件和軟件兼容性、軟件故障、電源故障、通信故障等。

3.6.5 旁路開關(guān)

旁路開關(guān)分為維護旁路和操作旁路，旁路狀態(tài)及操作旁路開關(guān)的動作在SIS操作站進行顯示、報警、記錄，并通過通信至DCS操作站顯示。

維護旁路：維護旁路采用軟開關(guān)式，維護旁路開關(guān)由SIS操作站通過軟件實現(xiàn)，通過獨立的操作畫面顯示，并設置操作級別；維護開關(guān)旁路時設置動作時間限制并在時間到達時報警，如未解除旁路應按預設周期報警直到旁路解除。安全聯(lián)鎖單元在輔操臺上設置“允許/禁止旁路”硬開關(guān)。只有在“允許旁路”條件滿足的情況下，軟旁路開關(guān)才能生效。

操作旁路：工藝操作旁路開關(guān)設置在輔操臺上，與SIS硬線連接，為有鑰匙的兩位式開關(guān)。輔操臺設計旁路指示燈(黃色)，當有現(xiàn)場回路切換至旁路狀態(tài)時，SIS系統(tǒng)發(fā)出一個DO信號觸發(fā)旁路指示燈亮。

3.6.6 時鐘同步

SIS系統(tǒng)具有時鐘同步性能，SIS系統(tǒng)控制器的時鐘在系統(tǒng)上電和更換時鐘卡件后，能夠自動進行同步。ES/OS與SIS控制器內(nèi)部時鐘同步，與原有DCS系統(tǒng)的時鐘也保持同步。

由于現(xiàn)場無全球定位系統(tǒng)(GPS)時鐘源設備，為保證DCS與SIS系統(tǒng)統(tǒng)一性，增加時鐘同步程序，即DCS系統(tǒng)時間作為時鐘源，約定每天上午8時整向SIS出發(fā)一個脈沖信號(D0)，SIS系統(tǒng)接受到該信號(DI)脈沖時將SIS系統(tǒng)時間同步為相同的時間(上午8時整)。

3.7 回路調(diào)試

為了減少對液態(tài)烴球罐區(qū)生產(chǎn)的影響，生產(chǎn)部門排出每個球罐工藝切出計劃，儀表專業(yè)根據(jù)計劃完成施工準備。在每個聯(lián)鎖回路調(diào)試過程中，通過和車間工藝操作操持密切溝通并進行雙方確認，順利完成各聯(lián)鎖條件和聯(lián)鎖動作確認，達到預期的效果。

4 結(jié)語

通過“兩重點一重大”的在役液態(tài)烴罐區(qū)安全儀表系統(tǒng)功能改造，安全聯(lián)鎖系統(tǒng)滿足風險降低的要求，消除了液態(tài)烴罐區(qū)重大事故隱患，避免重大經(jīng)濟損失和危及生產(chǎn)人員的安全，為安全生產(chǎn)提供保障。