文/ 范詠峰 王云 曾德智

關(guān)于安全儀表系統(tǒng)（SIS）設(shè)置及工程執(zhí)行的幾個重要問題探討——石油化工裝置具有易燃、易爆、高溫、高壓、有毒、有害的特點(diǎn)，對于安全提出了很高的要求，確定是否需要設(shè)置安全儀表系統(tǒng)（SIS）以及設(shè)計符合要求的安全儀表系統(tǒng)（SIS）是工程設(shè)計的重要內(nèi)容。國家和地方的很多文件都提到了安全儀表系統(tǒng)（SIS），體現(xiàn)了其重要性，包括：安監(jiān)總管三〔2014〕116號《加強(qiáng)化工安全儀表系統(tǒng)管理的指導(dǎo)意見》、安監(jiān)總管三〔2017〕121號《化工和危險化學(xué)品生產(chǎn)經(jīng)營單位重大生產(chǎn)安全事故隱患判定標(biāo)準(zhǔn)（試行）》和應(yīng)急〔2019〕78號《危險化學(xué)品企業(yè)安全風(fēng)險隱患排查治理導(dǎo)則》等。本文從安全儀表系統(tǒng)（SIS）的概念和風(fēng)險減低原則等方面探討石油化工裝置何時需要設(shè)置安全儀表系統(tǒng)（SIS），以及工程設(shè)計中應(yīng)注意的問題。

安全儀表系統(tǒng)（SIS）概念

SIS是safety instrumented system的縮寫。

安全儀表系統(tǒng)（SIS）的定義是：用來實(shí)現(xiàn)一個或幾個儀表安全功能（SIF）的儀表系統(tǒng)。

儀表安全功能（SIF）是指具有某個特定安全完整性等級（SIL1、SIL2、SIL3）的，用以達(dá)到防止、減少危險事件發(fā)生或保持過程安全狀態(tài)的安全保護(hù)功能或安全控制功能。

安全儀表系統(tǒng)（SIS）可以由傳感器(Sensor)、邏輯解算器(Logic Solver)和最終元件(Final Element)的任何組合組成，典型的安全儀表系統(tǒng)（SIS）如圖1所示。

圖1 安全儀表系統(tǒng)（SIS）示意

傳感器也稱為測量儀表，邏輯解算器也稱為邏輯控制器。

何時需要設(shè)置安全儀表系統(tǒng)

當(dāng)石油化工裝置具有SIL1及以上的儀表安全功能（SIF）時，應(yīng)設(shè)置安全儀表系統(tǒng)，反之，不具有SIL1及以上的儀表安全功能（SIF）時，原則上不需要設(shè)置安全儀表系統(tǒng)。

儀表安全功能（SIF）的安全完整性等級宜通過安全風(fēng)險評估確定，安監(jiān)總管三〔2014〕116號《加強(qiáng)化工安全儀表系統(tǒng)管理的指導(dǎo)意見》要求：設(shè)計安全儀表系統(tǒng)之前要明確安全儀表系統(tǒng)過程安全要求、設(shè)計意圖和依據(jù)。要通過過程危險分析，充分辨識危險與危險事件，科學(xué)確定必要的安全儀表功能，并根據(jù)國家法律法規(guī)和標(biāo)準(zhǔn)規(guī)范對安全風(fēng)險進(jìn)行評估，確定必要的風(fēng)險降低要求。根據(jù)所有安全儀表功能的功能性和完整性要求，編制安全儀表系統(tǒng)安全要求技術(shù)文件。

工程執(zhí)行原則

實(shí)際工程中，可以按照以下原則確定是否需要設(shè)置安全儀表系統(tǒng)：

1.有管轄權(quán)的部門根據(jù)經(jīng)驗(yàn)和主觀意志確定。此時，即使沒有SIL1及以上的儀表安全功能（SIF），也可以設(shè)置安全儀表系統(tǒng)。

2.標(biāo)準(zhǔn)規(guī)范的要求和規(guī)定、安全要求、IPL方法論、SIL評估確定。上一章節(jié)“何時需要設(shè)置安全儀表系統(tǒng)”中給出的原則，屬于此類。

3.經(jīng)濟(jì)評價確定（前提是滿足安全基本要求），比如ALARP（as low as reasonably practicable）分析。注：ALARP的采用應(yīng)符合法律法規(guī)標(biāo)準(zhǔn)規(guī)范以及企業(yè)的要求，比如有些文件和企業(yè)規(guī)定要求如果涉及人身傷亡，通常不允許采用ALARP。舉例：某個場景只涉及經(jīng)濟(jì)損失后果，并且如果設(shè)置安全儀表系統(tǒng)，并不能帶來滿足預(yù)期的經(jīng)濟(jì)回報（比如設(shè)置SIS的投資大于不設(shè)置SIS帶來的經(jīng)濟(jì)損失），這時根據(jù)具體情況分析，可以不設(shè)置SIS。

不論采用哪種方式，都以滿足法律法規(guī)、標(biāo)準(zhǔn)規(guī)范為最低要求。

國家安全監(jiān)管總局令第40號《危險化學(xué)品重大危險源監(jiān)督管理暫行規(guī)定》第十三條規(guī)定：涉及毒性氣體、液化氣體、劇毒液體的一級或者二級重大危險源，應(yīng)配備獨(dú)立的安全儀表系統(tǒng)；意味著，只要屬于涉及毒性氣體、液化氣體、劇毒液體的一級或者二級重大危險源，不論相關(guān)儀表安全功能（SIF）的安全完整性等級是否達(dá)到SIL1或者以上，都要求配備獨(dú)立的安全儀表系統(tǒng)，即使SIL評估確定所有的SIF都沒有達(dá)到SIL1或者以上，也需要配備獨(dú)立的安全儀表系統(tǒng)。此條要求屬于前面提到的確定是否需要設(shè)置安全儀表系統(tǒng)工程執(zhí)行原則中的第1條原則：有管轄權(quán)的部門根據(jù)經(jīng)驗(yàn)和主觀意志確定。

SIL評估是確定石油化工裝置是否需要設(shè)置安全儀表系統(tǒng)的最常見的方法，SIL評估和分級宜采用保護(hù)層分析法（LOPA）。

如何降低風(fēng)險

風(fēng)險是傷害發(fā)生的概率與該傷害嚴(yán)重程度的組合，降低風(fēng)險可以從嚴(yán)重性和可能性兩個維度考慮，選擇合適的風(fēng)險降低措施。降低危險事件發(fā)生的可能性屬于預(yù)防措施，降低后果嚴(yán)重性屬于減輕措施，預(yù)防和減輕措施對風(fēng)險的影響如圖2所示。

圖2 預(yù)防和減輕措施對風(fēng)險的影響

BPCS（DCS）、報警系統(tǒng)和SIS等屬于預(yù)防措施，防火堤、圍堰和消防等屬于減輕措施。

獨(dú)立保護(hù)層（IPL）

IPL是Independent protection layer的縮寫。

獨(dú)立保護(hù)層（IPL）的定義為：一種設(shè)備、系統(tǒng)或行動，有效地防止場景向不期望的后果發(fā)展，它與場景的初始事件或其他保護(hù)層的行動無關(guān)。獨(dú)立性表示保護(hù)層的執(zhí)行能力不受到初始事件或其他保護(hù)層失效的影響。獨(dú)立保護(hù)層的有效性和獨(dú)立性可以被審查。

只有具備以下特性才能被確定為獨(dú)立保護(hù)層：

1.有效性：按照設(shè)計的功能發(fā)揮作用，應(yīng)有效地防止后果發(fā)生。

2.獨(dú)立性：獨(dú)立于初始事件和任何其他已經(jīng)被認(rèn)為是同一場景的獨(dú)立保護(hù)層的構(gòu)成元件。

3.可審查性：對于阻止后果的有效性和要求時危險失效概率（PFD）應(yīng)以某種方式（通過記錄、審查、測試等）進(jìn)行驗(yàn)證。

SIS與IPL的關(guān)系

風(fēng)險降低措施通常通過獨(dú)立保護(hù)層實(shí)現(xiàn)，一些常見的獨(dú)立保護(hù)層（IPL）的舉例：基本過程控制系統(tǒng)（BPCS）、報警及響應(yīng)、SIF（SIS）、安全閥以及防火堤等。

安全儀表系統(tǒng)是眾多獨(dú)立保護(hù)層（IPL）中的一個獨(dú)立保護(hù)層（IPL），所有的環(huán)節(jié)均應(yīng)滿足相關(guān)法律法規(guī)標(biāo)準(zhǔn)的要求。風(fēng)險降低措施如圖3所示，安全閥同時具有預(yù)防措施和減緩措施2種屬性。

圖3 風(fēng)險降低措施示意

通常只有在其他獨(dú)立保護(hù)層（IPL）不能將初始風(fēng)險降低到可接受風(fēng)險時，才考慮設(shè)置安全儀表系統(tǒng)。

IPL響應(yīng)順序和IPL選擇順序不同

行業(yè)內(nèi)有如下爭論：有觀點(diǎn)認(rèn)為SIS是用于消除BPCS、安全閥、爆破片等獨(dú)立保護(hù)層所未能消除的殘余風(fēng)險。另外一種觀點(diǎn)提出的不同意見，提出SIS不能消除安全閥和爆破片未能消除的殘余風(fēng)險，此觀點(diǎn)認(rèn)為洋蔥模型中SIS相對于安全閥和爆破片在內(nèi)層，外層消除內(nèi)層未能消除的殘余風(fēng)險，而不是反過來。

以上兩種觀點(diǎn)出發(fā)點(diǎn)不一樣，闡述問題的角度不同，都具有正確的一面，應(yīng)注意：IPL響應(yīng)順序和IPL選擇順序不同。IPL的響應(yīng)順序基本上是按照洋蔥模型從內(nèi)到外的順序進(jìn)行的，IPL的選擇順序卻不是按照洋蔥模型的從內(nèi)到外的順序來選擇。

石油化工裝置典型多保護(hù)層結(jié)構(gòu)如圖4所示，機(jī)械的保護(hù)（比如安全閥和爆破片）通常作為阻止危險事件實(shí)際發(fā)生的最后一道防線。安全閥和爆破片等的設(shè)置通常是根據(jù)法律法規(guī)標(biāo)準(zhǔn)規(guī)范要求確定的。

圖4 石油化工裝置典型多保護(hù)層結(jié)構(gòu)

根據(jù)GB/T 20801.6-2020，符合下列情況的設(shè)備或管道系統(tǒng)，應(yīng)設(shè)置安全泄放裝置：

1.設(shè)計壓力小于外部壓力源的壓力，出口可能被關(guān)斷或堵塞的設(shè)備和管道系統(tǒng)。

2.出口可能被關(guān)斷的容積式泵和容積式壓縮機(jī)出口管道系統(tǒng)。

3.冷卻水或回流中斷、再沸器輸入熱量過多而引起超壓的蒸餾塔頂氣相管道系統(tǒng)等。

只要滿足以上條件中的任何一條，不論是否設(shè)置了SIS系統(tǒng)，都需要設(shè)置安全泄放裝置。GB/T 20801.6-2020給出了安全泄放裝置的定義：在非火災(zāi)或者火災(zāi)事故情況下，由進(jìn)口靜壓力或進(jìn)出口靜壓差的作用開啟，泄放流體，以防止系統(tǒng)內(nèi)壓力超過預(yù)定安全值的裝置，包括安全閥、爆破片裝置及爆破針閥等。

自動控制儀表和報警聯(lián)鎖裝置不得替代安全泄放裝置作為系統(tǒng)的超壓保護(hù)設(shè)施。當(dāng)不允許排放或不能安裝安全泄放裝置時，可通過過程危險源評價及分析所有的超壓工況，采用系統(tǒng)設(shè)計方法，即本質(zhì)安全設(shè)計或高完整性保護(hù)系統(tǒng)（HIPPS），消除系統(tǒng)的超壓原因或者進(jìn)行系統(tǒng)超壓保護(hù)。

IPL響應(yīng)順序和IPL選擇順序不同，通常只有在其他獨(dú)立保護(hù)層（IPL）不能將初始風(fēng)險降低到可接受風(fēng)險時，才考慮設(shè)置安全儀表系統(tǒng)（SIS）。

LOPA分析介紹

LOPA是Layer of Protection Analysis的縮寫。

石油化工裝置中，LOPA分析是SIL評估和確定SIL定級最常用的方法。

LOPA分析是對事故場景風(fēng)險進(jìn)行半定量評估的一種系統(tǒng)方法，一次分析一個事故場景，使用初始事件頻率、獨(dú)立保護(hù)層失效概率和后果嚴(yán)重性的預(yù)定義值，將場景風(fēng)險估計與風(fēng)險標(biāo)準(zhǔn)進(jìn)行比較，確定是否需要額外風(fēng)險降低或更詳細(xì)的分析。如需額外的風(fēng)險降低并且是以儀表安全功能（SIF）的形式提供這種降低，LOPA分析可以確定SIF的安全完整性等級（SIL）。

LOPA是在定性危險分析的基礎(chǔ)上，進(jìn)一步對具體場景的風(fēng)險進(jìn)行相對量化的研究，包括對場景的準(zhǔn)確表述及識別已有的獨(dú)立保護(hù)層,從而判定該場景發(fā)生時系統(tǒng)所處的風(fēng)險水平是否達(dá)到可容許風(fēng)險標(biāo)準(zhǔn)的要求，并根據(jù)需要增加適當(dāng)?shù)谋Ｗo(hù)層，以將風(fēng)險降低至可容許風(fēng)險標(biāo)準(zhǔn)所要求的水平。

LOPA分析程序如圖5所示，其中，F(xiàn)t為后果可容忍頻率，F(xiàn)np為不考慮SIS保護(hù)的后果發(fā)生頻率（考慮SIS以外的其他保護(hù)），當(dāng)Ft / Fnp<1時需要進(jìn)一步降低風(fēng)險。

圖5 LOPA分析程序

SIL定級

按照圖6所示進(jìn)行風(fēng)險分析，比較SIF后果可容忍頻率（Ft）和不考慮SIS保護(hù)的后果發(fā)生頻率（Fnp）。

圖6 分析風(fēng)險是否可接受（Ft/Fnp）示意

如果風(fēng)險降低尚未達(dá)到可容忍風(fēng)險標(biāo)準(zhǔn)，即Ft / Fnp<1，則需要進(jìn)一步降低風(fēng)險，石油化工裝置進(jìn)一步的風(fēng)險降低措施有：SILa、SIL1~3。

比較剩余風(fēng)險與可容忍風(fēng)險標(biāo)準(zhǔn)，確定是否需要額外風(fēng)險降低，如需額外風(fēng)險降低并且以SIF的形式提供，那么需要設(shè)置SIF，可以根據(jù)圖7確定SIF的SIL等級。

圖7 是否需要SIS及SIL定級示意

SIL1~3需要滿足GB/T50770和GB/T21109等標(biāo)準(zhǔn)，應(yīng)特別注意安全生命周期的要求。SILa可以在BPCS或者SIS中實(shí)現(xiàn)，不需要滿足GB/T50770和GB/T21109等標(biāo)準(zhǔn)，但需要滿足其他相關(guān)標(biāo)準(zhǔn)的要求，比如BPCS、報警管理等標(biāo)準(zhǔn)的要求。

總結(jié)

執(zhí)行功能安全相關(guān)標(biāo)準(zhǔn)要求，設(shè)計符合要求的安全儀表系統(tǒng)（SIS）是石油化工工程設(shè)計中的重要內(nèi)容。安監(jiān)總管三〔2014〕116號《加強(qiáng)化工安全儀表系統(tǒng)管理的指導(dǎo)意見》是安全儀表系統(tǒng)的重要文件，在實(shí)際工程設(shè)計中應(yīng)切實(shí)的執(zhí)行116號文的要求。正確理解安全儀表系統(tǒng)（SIS）的概念以及風(fēng)險降低的方法論和認(rèn)識論，有助于合理的開展安全儀表系統(tǒng)（SIS）的工程設(shè)計，實(shí)際工程中既要防止過設(shè)計，也要防止欠設(shè)計。

希望通過本文可以有助于了解安全儀表系統(tǒng)（SIS）的設(shè)置原則和工程具備可執(zhí)行性的 原則。 ●