李 龙

（中国石化股份有限公司茂名分公司机动部，广东茂名525000）

安全完整性等级（SIL）是一种以安全联锁系统或紧急停车系统为对象，以实现装置安全为目的，研究联锁系统安全与误跳车优化，保障装置安全长周期运行的关键技术。SIL技术相关的标准自1997年与2003年颁布以来，在以石油化工为代表的流程装置中获得广泛应用，SIL技术已在装置的设计、验收、运行、维护及改造等过程中发挥了重要作用，相应的IEC61508，IEC 61511等国际标准目前已成为石化装置联锁系统设计的主要参照标准［1－4］。

在欧美等技术发达国家，SIL评估技术得到了非常广泛的应用，SIL评估技术已列入炼油化工新项目设计的必经环节，成为提高装置安全水平，降低装置误跳车及联锁系统投资成本的重要手段［5－6］。国内起步稍晚，自2004年以来，SIL技术已先后在国内镇海炼化、茂名石化、天津石化、兰州石化等二十余套大型石化装置上得到应用。通过对石化装置联锁系统开展SIL评估，发现装置联锁系统中存在的一些不合理问题，并提出了相应的解决方案，确保了装置的长周期安全运行。镇海炼化在加氢裂化装置，茂名石化在2号高压聚乙烯装置上分别实施SIL评估，使上述装置分别实现了1 565天与200余天的国内与世界长周期运行纪录［7－8］。

2007年以来，茂名石化与合肥通用机械研究院合作，分别对加氢裂化、2号高压聚乙烯等装置进行SIL评估，取得较好效果。评估中发现并解决了一批影响装置安全与长周期运行的联锁问题，对确保装置长周期安全运行具有重要作用。然而评估也发现，一部分发现存在问题的联锁，若在设计阶段采取措施，不但可以显著提高装置的安全长周期水平，还可以显著降低联锁建设成本。IEC 61511标准规定，SIL技术可在石化装置全生命过程中应用，其中特别提到在设计阶段进行SIL评估的作用。针对标准要求，结合已有装置上开展的SIL技术应用情况，茂名石化决定对正计划兴建的2.4Mt／a加氢裂化装置及2.2Mt／a催化裂化装置开展SIL评估，并将评估结果及时反馈给上述装置的设计单位，用于设计变更，使SIL技术在上述装置的安全长周期运行中发挥更大的作用。

1 SIL评估项目目的及结果

1.1 全面依据IEC61511标准开展SIL技术应用

IEC 61511标准第5.2.6.1.3款规定，装置的全生命过程中，即初步设计、详细设计、装置开车前、装置取得运行经验后及装置改造后的五个阶段，建议进行SIL评估以及时发现并解决装置中存在的安全问题［2］。标准专门规定，若无法完全按照上述要求在每个阶段进行SIL评估，至少要在第三个阶段，即装置首次开车前进行一次系统的SIL评估。该阶段的SIL评估可作为工厂验收测试FAT（Factory Accept Test）的一部分。

该公司加氢裂化装置由于涉及高压临氢操作，工艺危险性大，在以往的SIL评估中发现了一系列代表性的联锁设计问题；而催化裂化装置工艺较为复杂，操作要求高。为确保上述装置联锁设计满足安全要求，并降低装置联锁的误跳车，按照IEC 61511标准的相关要求，对上述2套装置开展了系统的SIL评估工作。

1.2 评估结果简介

针对上述2套装置的实际情况，分别就加氢裂化装置16个联锁子系统和催化裂化装置22个联锁子系统开展了定量SIL评估，总体情况如图1，图2所示。

从图1和图2中可以看出，新催化裂化装置安全方面存在问题的联锁比例（37%）稍高于新加氢裂化装置（12%），而就误跳车而言，新催化裂化装置要好于新加氢裂化装置。从总体结果看，在2套装置的全部联锁回路中，只有约42%和47%的联锁回路设计合理，这与国外约35%～40%的联锁回路为合理的评估结果较为接近［9］。针对评估中反映的问题，业主与评估机构进行了充分分析，并提出了相应的合理可行的建议，这些建议最终被反映在装置设计变更中。

2 评估过程及评估结果的应用情况

2.1 工作流程及总体情况

得益于以往SIL评估取得的经验与成功案例，该公司对新加氢裂化装置、新催化裂化装置开展SIL评估十分重视，项目严格按IEC 61511标准开展。在项目实施过程中，在已有装置SIL评估经验基础上，SIL技术应用还得益于以下三方面的组织工作：

a）统一认识。公司上下对SIL技术的应用前景与效果具有高度认识，组成了由工艺、设备、仪表相关专业人员组成的专家队伍。2套装置的运行人员与项目建设主管人员也统一认识，为SIL技术应用于装置建设奠定了基础。

b）协调工作。该公司召集相关处室及工程公司驻厂代表开会，明确提出了将SIL评估技术应用于装置设计的要求；机动部门组织2套装置的运行主管及评估机构，要求业主、工程公司与评估单位多方参与。

c）密切沟通。业主、工程公司与评估单位密切沟通，将评估的中间结果与最终结果及时准确地反馈给业主与设计单位；将业主与设计单位对评估结果的看法反馈给评估机构。

2.2 SIL评估结果交流及内部讨论

2套装置的SIL评估结论中，既涉及到设备或仪表的配置、联锁的逻辑设置及仪表冗余的设置，还涉及到装置的详细工艺设计，如止回阀的配置、联锁阀与调节阀的联动等。上述结论得出后，该公司组织了相关人员与评估机构进行了二次详细交流。第一次交流中及时将业主对初步评估结果的意见传达给评估机构，用于修正评估结果；在此基础上，该公司就最终要向工程公司提出的设计修改反馈意见组织人员与评估机构进行了逐项交流。形成了最终反映业主和评估机构意见的装置设计修改建议并向工程公司反馈。

2.3 与工程公司的对接及落实

在内部最终形成设计变更意见后，该公司与设计人员对修改的具体内容进行了深入讨论。经讨论，在针对加氢裂化装置提出的全部36条设计变更意见中，除9条未被采纳外，其余27条均得到认可并在设计变更中得到落实。在针对催化裂化装置提出的13条设计变更意见中，7条完全采纳，3条部分采纳，3条不采纳。上述SIL评估修改建议被业主和工程公司认可，并最终反映在装置的设计变更中，不但完全体现了IEC 61511标准规定的将评估结果反馈到装置的设计中，对确保装置的优化、保障装置长周期安全运行也是十分重要的。

3 典型评估结果举例

3.1 安全不足联锁的改进

3.1.1 2.1MPa／min联锁阀的仪表风罐报警

新加氢裂化装置设计中，2.1MPa／min的紧急泄压由0.7MPa／min自动泄压联锁与手动1.4MPa／min的紧急泄压联锁共同实现。然而在实际设计中，0.7MPa／min紧急泄压装置阀门设为FO，即故障时开启，为避免误跳车引发反应器床层压降过大，原设计的1.4MPa／min紧急泄压阀设为FC，即故障时关。实际在三方讨论中，确认此处设计是电气故障时开，气源故障时关。上述设计与IEC 61511标准规定安全联锁系统宜设为故障安全型（Fail Safe）是不相符合的。IEC 61511标准第11.2.11款专门就此类问题进行过规定，要求若采用非故障安全型设计，则动力来源（如电源及气源）必须设置独立的报警，确保不会因为缺乏驱动源而引发联锁失效。依据IEC 61511标准，评估给出了“在仪表风罐上设置独立压力报警”的建议被工程公司所采纳，将对装置安全具有重要作用。

3.1.2 氢气加热炉循环氢流量低低联锁

新加氢裂化装置采用炉后混氢工艺，反应器入口氢气加热炉设置了出口温度高高（PAHH）联锁。经评估，此处温度高高联锁若发生失效，后果将十分严重，联锁的SIL等级为SIL2。由于现场仅采用1台温度变送器，且用于切断燃料气只采用1台紧急切断阀，联锁可以达到的安全完整性等级为SIL1，且由于变送器单取，具有较高的误跳车可能性。该联锁同时存在安全完整性不足与误跳车过高问题。针对联锁安全不足情况，评估给出燃料气切断阀与燃料气调节阀进行联动的建议，确保装置达到要求的SIL2；针对误跳车过高问题，评估给出了变送器采用“2oo3”设置或进行信号逻辑延时避免误跳车的建议。上述建议均受到业主的认可，并被设计人员接受，成为采用SIL技术提高装置安全水平，降低误跳车的典范。

3.1.3 新加氢裂化装置分馏部分串气联锁的改进

新加氢裂化装置分馏部分中，石脑油经空冷后分两路送出，一路送入轻烃吸收塔T206，另一路送出至石脑油罐区。在出装置管线上设置了流量调节回路，当石脑油流量低时会使阀不断打开。在对分馏部分联锁的评估中，发现当脱丁烷塔来的石脑油异常中断后，出装置送至石脑油罐区的管线阀门会在DCS作用下开启，使轻烃吸收塔T206与石脑油储罐异常连通。由于T206的操作压力高达1.35MPa，而石脑油储罐设计压力为常压，此时异常联通会使T206内的物料反串至石脑油储罐，引发石脑油罐超压甚至破裂。评估给出了石脑油送至T206的管线上设置止回阀的建议，得到企业及设计人员的一致认同。

3.2 误跳车联锁的改进

3.2.1 R101提升管反应器温度联锁

新催化裂化装置提升管反应器上设置了温度低低停原料油联锁。评估发现，联锁的安全完整性等级为SIL1，已满足安全要求，但原设计中温度变送器采用单点设计，联锁误跳车高达12.52次／a，具有较大的误跳车可能性。由于反应温度的下降是持续且缓慢过程，操作工具有足够的时间发现问题并采取措施，而现有设计显然会加剧装置的误跳车。为避免联锁误跳车风险，评估给出了利用现有温度变送器，使变送器改为具有防误跳车的特殊“2oo2”结构［10］，既显著提高了装置防误跳车水平，又可以提高装置的安全水平。上述改进措施也获得认可并进行实施。

3.2.2 循环氢压缩机、汽轮机防误跳车联锁改进

该2套新建装置中都装备有由汽轮机驱动的压缩机，这些压缩机的误跳车是引发全装置误跳的重要因素之一。针对上述问题，评估给出了在汽轮机、压缩机自保联锁的一些关键参数进行信号延时的建议，得到设计人员的认可并被采纳；而针对汽轮机排汽压力联锁可能存在的误跳车问题，也提出了相应的改进建议，上述建议将显著降低不必要的机组误跳车。

3.2.3 加氢进料泵的联锁防误跳车改进

新加氢裂化装置加氢进料泵出口总管设置了流量低低联锁，并设置了独立的联锁阀用于停泵时切断，避免装置误跳车。由于流量变送器在同一个孔板上进行引压，装置一旦误跳车，将导致装置停炉进而停止压缩机，极有可能引发全装置的停车。经SIL评估，给出了流量变送器信号延时的建议，用于避免联锁误跳车，将显著降低误跳车，确保装置安全［11］。

3.3 其他方面的改进建议

除上述建议外，针对2套装置都涉及到原油劣质化影响的实际情况，SIL评估对一些可能产生冷凝水的空冷器、换热器提出了在相关部位设置止回阀及手阀的建议。这主要是从失效后果减缓的角度提出的，避免由于空冷器或换热器泄漏引发塔内物料反串或泄漏无法及时切断的后果而提出的，这些建议绝大多数得到设计人员的同意并采纳。

此外，2套装置的重要泵的暖泵线采用传统设计方法，即暖泵线跨过止回阀设计。在加氢裂化装置中，这种设计具有较大风险。SIL评估单位针对这种情况，给出了独特的暖泵线改造方案，获得现场的认可。

4 结 论

a）通过全面依据IEC61511标准进行评估，显著提高了新加氢裂化、新催化裂化2装置的安全水平，降低装置的误跳车，对确保装置开车具有重要作用。

b）评估中发现了一系列安全不足与误跳车过高问题，提出了相应的设计修改建议，对装置开车后的安全长周期运行十分重要。

c）管理部门的精心策划对SIL评估技术应用起到重要保障作用，公司各级领导多次组织相关部门讨论，并邀请工程公司参加，对技术应用起到重要保障作用。

d）在国内实现了业主、工程公司与第三方评估机构的协同作用，有效保障了SIL技术的应用。

［1］ International Electrotechnical Commission.IEC61508 Functional Safety of Electrical／Electronic／Programmable Electronic Safety－related Systems［S］.IEC，1998.

［2］ International Electrotechnical Commission.IEC61511 Functional Safety－safety Instrumented Systems for the Process Industry Sector［S］.IEC，2003.

［3］ 国家技术监督局.GB／T 20438—2006电气／电子／可编程电子安全相关系统的功能安全［S］.北京：中国标准出版社，2006.

［4］ 国家技术监督局.GB／T 21109—2007过程工业领域安全仪表系统的功能安全［S］.北京：中国标准出版社，2007.

［5］ The Norwegian Oil Industry Association.Application of IEC 61508and IEC 61511in the Norwegian Petroleum Industry［EB／OL］.［2012 -07 -20］.http：／／www.itk.ntnu.no／sil／OLF -070－Rev2.pdf.

［6］ Shell.DEP 32.80.10.10Design ＆Engineering Practice，Classification and Implementation of Instrumented Protective Function［S］.Shell Corporation，1996.

［7］ 许振海.镇海炼化Ⅰ加氢裂化实现长周期运行［N／OL］.中国石化报，（2007 -11 -20）［2012 -07 -20］.http：／／enews.sinopecnews.com.cn／shb／html／2007 -11／20／content＿28987.htm.

［8］ 吴明树，陈鸿鹏.中国石化茂名石化高压装置长周期运行200天［N／OL］.中国石化报，（2010 -12 -29）［2012 -07-20］.http：／／enews.sinopecnews.com.cn／shb／html／2010-12／29／content＿128839.htm.

［9］ GRUHN P，CHEDDIE H.Safety Instrumented Systems：Design，Analysis and Justification［M］.2nd th.USA：ISA，2005.

［10］ 于改革，陈学东，朱建新，等.基于马尔科夫模型的“二取二”结构误跳车分析［J］.石油化工自动化，2010，46（05）：24 -28.

［11］ 宋小宁.加氢装置安全仪表系统设计［J］.自动化仪表，2008（11）：64 -68.