石油化工生产的安全与环保 功能安全在石油化工中的重要性及应用分析

1　引言

安全生产与群众的生命安全息息相关，随着工业技术的发展，工艺越来越精密，工艺过程越来越复杂，风险也随之加大。

下面列举几例事故：

·2011年8月29日上午10时06分，中石油大连石化分公司储油罐发生爆炸火灾。爆炸发生后，引发大火并伴有浓浓的黑烟。

·2017年11月19日大连某石化发生硫化氢中毒事故，3死6伤。

·2011年7月16日14时25分，中石油大连石化公司厂区内1000万吨常减压蒸馏装置换热器发生泄漏并引起大火。

以上事故只是石化生产事故的冰山一角。

从出现事故的成因分析，有设计原因、有工程质量原因、有操作和维护原因、有管理原因，这些原因引发了人们的思考，究竟需要什么措施才能够保障石化生产过程中的安全。

2　什么是风险？

在IEC61511中提到，风险是损害发生的概率和该损害严重性的组合。如果要把风险量化的话，那么可以得出一个公式：风险=频率×后果。频率是发生的概率，后果是发生的结果严重性。风险的影响是多种多样的，有人员的伤亡、生产的损失、设备的损坏、环境的影响、企业形象等等，这些后果我们可以人为的界定哪些是可接受风险，哪些是不可接受风险。

图1 整体安全内的功能安全

4　功能安全是一道重要保护屏障

功能安全依赖于过程工业中应用的安全仪表系统（SIS）。安全仪表系统（SIS）将不可接受风险通过检测工艺生产过程中出现安全隐患时，运行控制器内部安全逻辑，控制被控设备执行安全措施，最终达到可接受风险的程度。

降低风险有多层机制，这些保护机制形成保护层保护工业现场防止事故发生。这些保护层形成环来保护工业现场，被称为陶氏洋葱模型，如图2所示。

图2 功能安全保护层

良好的设计和工业基础过程控制系统能够减小风险的概率，关键报警人员响应、安全仪表系统能够防止出现危险，泄压设备、消防设施和全场紧急响应能够减小事故的严重性。

在石化生产过程中，并不是出现故障就一定会发生危险，如某管道门站发生天然气泄漏，在最初阶段只有少量泄漏的天然气并不会构成威胁，随着时间的推移，泄漏量越来越多，当遇到火星或电磁信号等情况时，极有可能会发生火灾，更严重的会发生爆炸，造成严重事故。

所以，在石化生产过程中，功能安全是发生事故的最后一道屏障，在工艺、设备出现故障、控制系统紊乱、人员来不及响应时，安全仪表系统能够在不需要工作人员干预的情况下，自动的执行安全措施，防止事故的产生，防止人员安全受到伤害、防止财产损失、防止环境污染。

5　安全仪表系统（SIS）

按照IEC61511安全仪表系统（SIS）定义，安全仪表系统是用于执行一个或多个安全功能的仪表系统。由传感器、逻辑控制器以及最终元件的任意组合构成的。

安全仪表系统分为几种类型：仪表保护系统、安全联锁、安全相关系统、紧急停车系统、燃烧器管理系统、火气系统、高完整性保护系统等，这些系统保护的对象不同、保护的形式不同，但是结构是一样的，都是由传感器、逻辑控制器以及最终元件组成。

安全仪表系统是依托于自动化技术发展而来，但是安全等级要高于过程控制系统，用安全完整性等级（SIL）来表示。在IEC61508中，规定了4个安全完整性等级（SIL1~4）。在工程设计阶段，就需要确定安全要求，分析过程危险，哪些设备具有安全相关功能，指定到哪些系统执行安全功能，确定安全完整性等级。

安全仪表系统原则上与过程控制系统是分开的，是两套相互独立的系统。安全仪表系统在工业现场不会干预正常的生产过程，不会连锁过程控制系统中的传感器与执行器，当生产过程出现安全隐患时，安全仪表系统迅速执行关断、停车等命令，保障人员生命安全和设备不受破坏。

6　安全生命周期及危险辨识

安全生命周期伴随整个工艺生命周期。从整个安全生命周期的设计阶段开始到最后报废，都需要对功能安全进行管理。指定相关人员在功能安全管理中的责任，对电子安全相关系统或整个过程控制系统生命周期一个或多个阶段以及软件安全方面负责。指定在功能安全管理中负有相应责任的人员，及需要执行的各项活动。

在安全生命周期中，要进行危险辨识和SIL定级。首先要建立过程的安全目标，定义什么是可接受风险，什么是不可接受风险。安全目标确定后进行危险和风险分析，评估存在的风险，其中危险和风险分析评估最常用的就是危险与可操作性（HAZOP）研究与失效模式和影响分析（FMEA）。

危险与可操作性（HAZOP）研究旨在辨识与设计意图可能存在的偏差，检查偏差出现可能的原因，并评估他们的后果。危险与可操作性（HAZOP）研究是对整个过程进行考察分析研究，将研究对象划分为若干个区块，对每一个区块进行说明其功能和正常的运行状态，然后对每个区块的每一个过程环节、每一个细节提出问题，如某个管道的压力、容器的温度等提出可能与设计要求出现不一致的情况（发生偏差），对过程中的工艺条件和开停车条件以及自然条件影响下分析可能出现偏差的原因并分析这些原因引发的后果及严重性。

失效模式和影响分析（FMEA）从元件的失效特征和工程的系统机构开始，确定元件失效与系统失效、故障、操作约束、性能的降级或完整性方面之间的关系。目的是为了收集并整理出子系统失效率数据，例如变送器或逻辑控制器，并改进安全功能的可靠性。首先定义系统及其功能最低限度的操作要求，生成功能和可靠性方块图和数学模型等，辨识失效模式及其产生的原因和影响，辨识失效检测、隔离措施及其方法，确定事件的严重性、评估失效概率。

在评估风险的结果里，对比设计初设定的安全目标是否能够达到可接受风险的范围。如果评估的结果是不可接受风险，就要将必要的风险降低到可接受的范围。降低风险的措施是加入安全仪表功能（SIF）并确定安全完整性（SIL）。安全完整性与风险成倒数关系，SIL级别越高，风险降的越低。

对于每一个需要加入安全仪表功能（SIF）的场景需要将安全完整性等级（SIL）定级。安全完整性（SIL）的定级可以用保护层分析（LOPA）来确定。保护层分析（LOPA）可以通过分析来确定是否需要安全仪表功能（SIF），如果需要，确定每个安全仪表功能（SIF）需要的安全完整性等级（SIL）。考察分析所有危险发生的根源，以及预期的事件每年发生的频率，确定发生频率是否能够通过一系列的保护措施减小，如人工操作程序、硬接线报警、控制系统、安全阀等，确定这些非SIF保护措施减轻频率的总和，与目标频率（例如1危险事件/10000接受风险的标准）之间存在的任何风险降低缺口，然后采取安全仪表功能来填补这些缺口。

在石化现场的安装调试中，按照安全仪表规格书和施工图安装安全仪表系统（SIS），通过检验和测试，对安装和调试后的安全仪表系统及其关联的安全仪表功能进行确认来证明确实达到安全要求技术规格书陈述的全部要求。

在石化实际的生产过程中，所有的操作和维护必须确保保持每个安全仪表功能（SIF）。安全仪表系统（SIS）也需要定期的维护和保养，在维护和保养期间，也需保持设计的功能安全。

7　结论

功能安全可以通过量化风险、计算失效概率得出符合要求的安全仪表功能并确定安全完整性等级，使之有效地减少发生事故的概率，防止扩大事故的严重性。随着石油化工中自动化应用占比越来越多，操作与管理人员的精简，防护水平也随之降低，功能安全弥补了防护的缺失，增强防护水平，是牺牲生产效益保障安全的最低防线。

参考文献：

[1] 国际电工委员会. IEC61508-2000 电气/电子/可编程电子安全系统的功能安全[S].

[2] 国际电工委员会. IEC 61511-2016 过程工业安全仪表系统的功能安全[S].

[3] 髙继实, 潘辉. 安全仪表系统SIL定级的意义[J]. 化工设计通讯. 2017, (09).

[4] 杨沙沙, 安垚, 孙啸, 张思杨, 吴鑫鑫, 陈妍君. 安全仪表系统的功能安全评估现状[J]. 化工自动化及仪表. 2017, (09).

[5] 吴承刚. 化工装置安全仪表系统功能安全评估体系的研究与应用[J]. 工设计通讯. 2017, (01).

[6] 王晓飞, 韩潇, 郭小红. 安全仪表系统安全完整性等级分析方法的应用研究[J]. 西部煤化工. 2015, (02).

[7] 林融. 石油化工大安全理念——功能安全相关技术标准的应用与进展[J]. 中国仪器仪表. 2014, (S1).

[8] 史学玲, 冯晓升. 功能安全与安全完整性等级综述[J]. 自动化博览. 2013, (03).

[9] 方来华. 安全系统的功能安全的发展及实施建议[J]. 中国安全生产科学技术. 2012, (09).

作者简介：

刘静波（1987-），男，河北唐山人，工程师，自动化专业，现就职于北京安控科技股份有限公司，主要研究方向为油田自动化、SCADA及通信系统，RTU/PLC设计，管道自动化及安全仪表系统。

摘自《自动化博览》2019年2月刊

,