朱春丽，洪毅

（中海油研究总院，北京100027）

油气是易燃易爆危险品，在海上采油生产中，各种生产作业频繁，发生事故的可能性较大，同时受到平台空间的限制，油气处理设施、电气设施、公用设施、人员住房集中在同一个平台上，对平台的安全提出了严格的要求，既要保护人员的安全，又要保证生产设备的正常安全运行和维护，海上平台的安全仪表系统（SIS）与陆上油田的相比有更高的要求。在进行SIS设计前，首先需要对受控系统进行风险分析，确定其是否需要SIS的保护，如需要时再确定其执行该安全功能的SIS的安全完整性等级（SIL）。

1 危险与可操作分析（HAZOP）

HAZOP分析是通过对生产过程中的单元或管线，按其设计或操作条件拟出可能出现与标准值的各种偏差（如压力、温度、流量等），探求造成偏差的原因，如机器故障、人为错误等产生的后果，研究可行的应急和预防措施，制定合理的、严格的操作规程和安全管理制度，这种分析结果具有直接的指导意义［1］。

HAZOP分析可以为确定SIS的SIL提供依据。根据分析结果，如果通过报警可以进行工艺操作调整，且不会造成设备损坏、重大环境污染和人身伤害事故，则不需要进行进一步的分析；如果会对设备或人身及环境造成危害，则需要进行深入的分析。

对渤海某一个油气田开发工程的两个井口平台WHPA，WHPB进行HAZOP分析，从流量、压力、温度、液位等关键词出发，系统分析了平台上的各类处理设施，根据项目所有的P＆ID图共划分为13个节点，按照HAZOP分析的工作流程，对所有的引导词逐一进行讨论。由HAZOP分析结果可知，需要增加SIS来保证生产的安全运行，将那些“不可接受的风险”（如机械损坏、设备损坏、人员伤亡等相应事故）降低为“可接受的风险”（如紧急停车时不损坏机械、设备，仅减少操作时间但不会有人员伤亡等）。

2 保护层分析（LOPA）

以一级生产分离器为例，根据HAZOP分析结果，为了进一步降低风险，对生产分离器的油路、气路、水路均应增加SIS的保护。为了确定每一个安全功能回路需要的SIL，下面将利用HAZOP分析结果，采用LOPA方法，确定每一个安全功能回路的SIL。

LOPA所需要的信息被包含在HAZOP分析收集和导出的数据中，表1列出了LOPA所需数据和在HAZOP研究过程中所导出的数据之间的关系。

表1 从HAZOP导出的用于LOPA的数据

以罐体超压破裂，导致泄漏引起火灾这一危险事件为例，介绍如何应用LOPA方法确定该安全仪表功能回路的SIL，分析过程见表2所列。

表2 LOPA报告

a）第一个可能性分析：

1）影响事件。HZAOP把一个分离器中的超压识别为一个偏差，采用HAZOP分析的后果描述。

2）严重性等级。分离器罐体超压破裂将释放易燃油气，如果存在一个点火源就有发生火灾的可能性。因为影响事件将导致在场人员的严重伤亡，因而选择严重性等级时选择“严重的”。表3描述了严重性等级的划分情况。

表3 影响事件严重性等级

3）引发原因。HAZOP分析列出了引起罐体超压的两个原因：上游来液压力过高和出口压力调节阀开度过小。

4）引发可能性。保守估计选择每10年发生一次罐体压力超高的事件，填入0.1事件／年。IEC61511中介绍了几种典型引发的可能性，见表4所列。

5）一般工艺设计。工艺设计可以减小影响结果的可能性。在发生一个引发原因时，降低发生一个影响事件的可能性的设计，如带套的管道或压力容器，当主管道或压力容器的完整性受到损害时，外套可防止过程物质的释放。因为没有采用这种工艺设计，不能通过工艺设计降低风险，所以LOPA在这一项取1，即这一层是100%失效的。

6）BPCS。BPCS有一个控制回路，当分离器罐内的压力过高时，可以调节气路出口调节阀，防止高压。BPCS作为一个保护层采用的是可靠的DCS，在这里取0.1。典型的保护层的平均失效概率（PFDavg）见表5所列。

7）报警。当压力调节失效时，会产生压力超高报警，要求操作员干预，在此将报警装置看作一个保护层。由于平台严格规定正常生产时操作人员24h在中控室值班，因而认为操作员会对报警做及时的响应，在此PFDavg取0.1是合适的。

8）附加减轻。按照要求，平台上生产人员进入生产区域是有严格要求和限制的，但是由于海上平台所处地域和空间的局限性，因而认为在区域中的人员的风险也只能降低1～2倍，在此PFDavg取0.5。

表4 典型引发的可能性

表5 典型的保护层的PFDavg

9）独立保护层（IPL）。分离器配有合适规格的安全阀作为机械保护装置，在罐体超压时可提供有效的保护，因而将安全阀看做一个独立的保护层。每年应测试标定一次安全阀，满足一个IPL准则，认为它可以提供可靠性程度很高的保护功能，根据IEC61511的要求，在此PFDavg取值为0.1。

10）中间事件的可能性。把表2中此列之前各列的第一行值相乘所得。

b）第二个可能性分析。正常时调节阀会根据分离器罐内的压力调节出口调节阀的开度，在罐超压的情况下出口压力调节阀开度过小，可认为压力控制回路失效。根据表4来确定调节阀失效的可能性，其概率为0.1次／年。当压力控制回路失效时，从过程设计得出的保护层、报警、附加减轻依然存在，BPCS是失效的，失效概率为100%。

c）安全完整性等级的确定。把表示相同危险的严重事件的中间事件的可能性加起来，最后得到该严重事件的总的中间事件的可能性。如果公司安全目标要求罐体超压导致灾难性后果的危险事件为不超过10－5／年，针对罐体超压引发危险的事件，保护层减轻和风险降低并不能满足安全目标要求，需要增加SIS的保护，得出需要增加的SIF的PFDavg的值为

最终确定需要的SIF的SIL为SIL2。增加SIL2的SIF的保护后，罐体超压导致灾难性后果的危险事件的可能性可以降低到满足安全目标要求的值。

3 结束语

使用HAZOP分析和LOPA分析对海洋石油平台上的一个分离器进行了危险和风险分析。辨识出危险事件及其风险类别，结合最小风险降低要求，综合分析所有的风险降低措施，最终确定SIS中每一个SIF的SIL。这种分析对于海上平台SIS设计具有代表性，是行之有效的手段。

［1］ 王若青，胡晨.HAZOP分析方法介绍［J］.石油化工安全技术，2003，1（09）：19－22.

［2］ IEC.IEC61508—2002Functional Safety of Electrical／Electronic／Programmable Electronic Safety－related Systems［S］.IEC，2002.

［3］ IEC.IEC61511—2003Functional Safety—Safety Instrumented Systems for the Process Industry Sector［S］.IEC，2003.

［4］ 中国石油化工集团公司自动控制设计技术中心站.SH／T 3108—2003石油化工安全仪表系统设计规范［S］.北京：中国石化出版社，2003.

［5］ 机械工业仪器仪表综合技术经济研究所.GB／T 20438.6—2006电气／电子／可编程电子安全相关系统的功能安全第6部分：GB／T20438.2和GB／T 20438.3的应用指南［S］.北京：中国标准出版社，2006.

［6］ 王秋红，孙旭.石化装置安全度等级与安全仪表系统的设计［J］.石油化工自动化，2008（01）：8－10.

［7］ 冯晓升.功能安全技术讲座第五讲安全相关系统SIL设计的要求（续）［J］.仪器仪表标准化与计量，2007（05）：14－16.

［8］ 张卫华，王春利，姜春明，等.过程工业安全仪表系统的等级评定［J］.安全技术，2006，6（03）：18－20.

［9］ BUKOWSKI J V，ROUVROYE J，GOBLE W M.What is PFDavg［EB／OL］.（2002－09－21）［2011－10－10］.http：／／www.exida.com／articles／WhatisPFDavgv2.pdf.

［10］ GRUHN P，CHEDDIE H.Safety Shutdown System：Design，Analysis，and Justification［M］.Instrument Society of America，1998：10－30.