安全仪表系统SIL定级及LOPA的应用研究

邓锐，刘美佳，平洋，付勃昌，杜刚

(1. 海洋石油工程股份有限公司，天津 300451；
2. 中海石油(中国)有限公司 天津分公司，天津 300452)

安全仪表系统(SIS)用于监控生产工艺流程的状态，判断危险产生的条件，并在危险出现时采取相应的动作防止危险的发生或危险进一步的扩大，为防止生产装置损坏、人员损伤以及环境污染等造成的重大损失起到了至关重要的作用，而SIS的可靠性则是重中之重。在IEC 61511：
2016[1]和IEC 61508：
2010[2]中对SIS可靠性的衡量进行了量化，即安全完整性等级(SIL)。在SIS设计过程中正确的SIL定级是系统设计的基础。

通常SIS由测量仪表、逻辑控制器以及最终元件组成。测量仪表负责测量监控工艺流程中各项指标，如压力、温度、液位等；
逻辑控制器相当于SIS的“大脑”，对测量值进行逻辑判断，并决定是否做出相应保护动作；
最终元件执行逻辑控制器发出的指令，防止危险的发生或进一步扩大化。SIS功能的好坏，直接关系到生产、人员、环境等的安全，确定一个合理评价SIS安全可靠性的衡量方法至关重要。

1.1 安全完整性等级

IEC 61508规定了衡量SIS可靠性的一项重要量化指标为SIL，SIL是指为规定SIS应达到的安全完整性要求而分配给安全仪表功能(SIF)的离散等级。SIL等级越高，设备安全性越高，故障发生概率越低。

参照IEC 61511中要求，SIL等级划分为SIL4，SIL3，SIL2，SIL1共4个等级，在低要求模式下运行的SIF，SIL与要求时危险失效平均概率(PFDavg)和目标风险降低因子(RRF)关系见表1所列。

表1 低要求模式下安全完整性等级划分

1.2 SIL定级的方法

SIL定级应确定每个SIF及其所需要的SIL等级，通常根据分析控制回路中设备故障导致的对人员、财产、环境影响后果的严重性来确定。进行SIF的SIL定级时，一般先假设没有设置SIS，只考虑过程控制系统、预报警和机械防护设备等对危险的降低作用，然后根据危险发生的概率及其所产生后果的危害程度，依据公认的判定方法，确定相应的SIL等级。当前石化行业中常用的分析方法为安全层矩阵法、风险图表法、修正风险图表法、保护层分析法。

1.2.1 安全层矩阵法

安全层矩阵法是基于分类的方法，首先要辨识出保护对象具有的独立保护层，然后确定风险发生的可能性以及风险造成后果的严重程度，最后依据独立保护层与事件后果、可能性构成的矩阵确定SIL等级。安全层矩阵法示例如图1所示，矩阵中纵坐标表示具有的独立保护层数，横坐标为后果严重程度与发生概率的组合。将危险事件发生的概率分为低、中以及高概率，根据严重程度及发生概率确定危险事件后果严重程度。矩阵中每个单元格代表的是在相应危险事件后果和可能性下，分析SIF所需达到的SIL等级。

图1 安全层矩阵法示意a)——不需要独立SIS保护层；
b)——一个SIL3的SIF可能不能提供足够的风险降低，需附加复审；
c)——一个SIL3的SIF不能提供足够的风险降低，为了降低风险需附加修改

1.2.2 修正风险图表法

修正风险图表法是一种半定性的分析方法，在风险图表法的基础上对评价参数进行了一定的量化修正，如图2所示。

图2 修正风险图表法示意1)——无特殊安全要求；
2)——单独一个SIF不够

图2中，C为后果参数，包括人员安全影响后果、环境影响后果以及财产损失影响后果；
F为暴露在危险区域的频率，仅在对人员安全影响评估时用；
P为避免危险事件的概率；
W为在考虑SIF不存在时，每年发生危险事件的次数。

该分析方法采用以上4个参数确定SIL等级，在确定评价参数的分类之后，根据对人员安全、财产损失、环境污染的后果分析，可判定出各后果所对应的SIL等级，取级别较高者作为被分析SIF需达到的SIL等级。

1.2.3 保护层分析法

LOPA分析法是一种半定量的分析方法，需要从HAZOP分析结果中导出数据，从初始事件开始，根据安全保护在时间发展过程中是否起作用，分析是否达到要求的安全等级。

LOPA分析法在分析过程中涉及到定性分析和定量计算两个方面，定性分析包括危险事件产生的后果，依据该后果参照相关标准确定危险事件可接受的发生频率F可接受，参照工业数据库确定其他保护层故障概率PFDN以及触发事件的频率F触发事件。定量计算得出SIF回路的故障概率，从而得到SIL等级。计算如式(1)所示：

(1)

1.2.4 三种分析方法的比较

以上提到的三种分析方法，各具优缺点，总结分析并对比了三种典型SIL定级分析方法，见表2所列，由表2看出，LOPA分析法具有明显优势。

表2 三种典型SIL定级分析方法对比

2.1 分析步骤

采用LOPA分析法对海上某油气生产平台的SIF进行了SIL定级，定级主要步骤如下：

1)系统划分并确定受控设备。

2)确定SIF。

3)情景辨识分析，识别触发事件，确定触发事件发生的频率以及分析危险事件产生的后果。

4)辨识独立保护层，并确定独立保护层的平均故障概率。

5)计算确定SIF的SIL等级。

2.2 可靠性数据的确定

采用LOPA方法分析过程中，可靠性数据是安全仪表系统 SIL定级的基础，可靠性数据的确定一方面主要来自典型的工业数据库，包括：
由挪威船级社(DNV)提供的海上设备可靠性数据库(ORADA)，由美国化学工程师协会(CCPS)提供的过程设备可靠性数据库(PERD)，由艾思达(EXIDA)提供的安全设备可靠性手册(SERH)以及由挪威科学和工业研究所(SINTEF)提供的SIS可靠性数据(PDS)；
另一方面来自现场积累的失效数据，作为补充。

需要明确的可靠性数据主要包括：
触发事件的发生频率以及独立保护层平均故障率。结合该平台实际情况并参照相应数据库，触发事件发生频率及数据来源见表3所列，独立保护层PFD及数据来源见表4所列。

表3 触发事件发生频率及数据来源

表4 独立保护层PFD及数据来源

2.3 计算举例

以一级分离器上压力高高报警SIF回路的应用为例，详述LOPA分析计算过程。受控设备一级分离器压力高高监控如图3所示，所分析的SIF回路由压力变送器(测量仪表)、ESD系统(逻辑控制器)以及关断阀(最终元件)组成。

图3 一级分离器压力高高报警监控示意

对于压力高高报警SIF回路(PSHH202A)，情景辨识为在容器超压时会导致原油大量外泄，依据相关参考标准及可忍受程度确定出现该情景的可接受频率为1×10-6。辨识出的独立保护层包括：
安全阀、氮气控制回路以及压力报警三层，危害事件发生的起因为压力控制回路失效或井口控制阀错误全开或下游关断阀误关，对应的触发事件概率P为：
压力控制回路失效概率P1，井口控制阀错误全开概率P2，关断阀误关概率P3。压力高高报警SIF回路LOPA分析数据见表5所列。

表5 压力高高报警SIF回路LOPA分析数据

P的计算过程如下所示：

P=P1+P2+P3=
0.10+0.10+0.01=0.21

由于所求得的SIF回路的PFDSIF值处于10-4～10-3，最终定义该SIF的SIL等级为SIL3。

SIS的概念已深入并广泛应用于海洋石油生产系统的设计之中，严格按标准规范设计SIS，能有效降低可能存在的风险，保证生产平台安全平稳运行。对于SIS设计基础——SIF的SIL定级，相较于安全层矩阵法和修正风险图表法，LOPA分析法基于HAZOP结果及工业数据库，既保证了整个项目安全分析的连贯性，在参数选定上基于大数据更准确，目前在海洋油气平台的设计过程中，大量用于SIS的SIL定级分析过程中，取得了较好的应用效果。