當(dāng)大家拿到SIS項目的設(shè)計院系統(tǒng)規(guī)格書時，會出現(xiàn)這樣的字眼：要求SIL等級是SIL2或者SIL3，項目實施要根據(jù)要求來設(shè)計配置硬件和編寫程序，那么這個SIS中的SIL等級是怎么確定的？AQ/T3054給出了答案(IEC61511和GB/T21109中也都有LOPA內(nèi)容)。

本文從項目工程師的角度來組織文字，存在偏重點(diǎn)和忽略點(diǎn)。文章內(nèi)容主要引用相關(guān)標(biāo)準(zhǔn)里面的文字，對于比較難以理解的部分，用通俗的語言講述，希望能幫助大家弄明白“SIL等級是怎么確定”，以及確定SIL等級依據(jù)的標(biāo)準(zhǔn)有哪些。

一個典型的化工過程包含各種保護(hù)層，如本質(zhì)安全設(shè)計、基本過程控制系統(tǒng)(BPCS)、報警與人員干預(yù)、安全儀表功能(SIF)、物理保護(hù)(安全閥等)、釋放后保護(hù)設(shè)施、工廠應(yīng)急響應(yīng)和社區(qū)應(yīng)急響應(yīng)等。這些保護(hù)層降低了事故發(fā)生的頻率。在開展化工過程工藝危害分析時，保護(hù)層是否足夠，能否有效防止事故的發(fā)生是分析人員最為關(guān)注的一個問題。保護(hù)層分析(Layer of protection analysis，簡稱 LOPA)是在定性危害分析的基礎(chǔ)上，進(jìn)一步評估保護(hù)層的有效性，并進(jìn)行風(fēng)險決策的系統(tǒng)方法，其主要目的是確定是否有足夠的保護(hù)層使過程風(fēng)險滿足企業(yè)的風(fēng)險可接受標(biāo)準(zhǔn)。LOPA是一種半定量的風(fēng)險評估技術(shù)，通常使用初始事件頻率、后果嚴(yán)重程度和獨(dú)立保護(hù)層(IPL)失效頻率的數(shù)量級大小來近似表征場景的風(fēng)險。

通常用于確定SIF的PFD值，也就確定了需要增加什么SIL等級的安全儀表系統(tǒng)，俗稱SIL定級。然后好多名詞不是很理解，什么是保護(hù)層/半定量/初始事件/風(fēng)險矩陣？下文用實例解釋。

定量與定性
在SIL定級方面，IEC 61508(GB/T 20438)給出了三種方法，IEC 61511(GB/T 21109)給出了五種方法，如下：
①IEC 61508(GB/T 20438)
◆定量法
◆風(fēng)險圖
◆危險事件嚴(yán)重程度矩陣
②IEC 61511(GB/T 21109)
◆半定量法
◆安全層矩陣法
◆校正的風(fēng)險圖
◆風(fēng)險圖
◆LOPA

風(fēng)險圖和LOPA是最常用的，風(fēng)險圖是一種定性分析技術(shù)，LOPA是一種半定量的風(fēng)險評估技術(shù)，什么是定性、定量和半定量呢？各大百科網(wǎng)站如下解釋：
◆定性分析是能區(qū)分出是個什么東西,舉個例子來說，你能辨認(rèn)出這是蘋果，但你不能確定是幾個蘋果。
◆定量分析是在定性的基礎(chǔ)上給出清晰的數(shù)量關(guān)系，比如，你確定了這是5個蘋果。
◆半定量分析是通常實現(xiàn)定量分析非常困難時采取的一種折中辦法。還是舉例說明，這里有一堆蘋果，你不知道具體的數(shù)量，但是你能知道的是這一堆蘋果能裝5麻袋，這5麻袋的數(shù)量估計就是半定量分析。

初始事件
初始事件簡稱IE(Initiating Events)，分類和內(nèi)容如下表。我們分析比較多的是控制系統(tǒng)的故障，比如一個工廠有一套BPCS(基本過程控制系統(tǒng)，Basic Process Control System)，其有一定的失效概率，比如卡件壞了，這樣的一套BPCS失效即可認(rèn)為是初始事件。如果這個事件發(fā)生，比如控制閥門的一塊DO卡件壞掉，并沒有造成人員傷害，而且財產(chǎn)損失極小，沒有破壞環(huán)境，對企業(yè)沒有影響，那好，換上一塊新卡重新運(yùn)行。但是如果BPCS失效導(dǎo)致人員傷害，或者財產(chǎn)損失較大，對企業(yè)形象有影響，那么就需要其他保護(hù)層來降低風(fēng)險，比如增加一套SIS系統(tǒng)。



獨(dú)立保護(hù)層
將IEC 61511和GB/T 21109介紹的保護(hù)層可簡化成一個化工行業(yè)典型的風(fēng)險降低保護(hù)層，如下圖。理論培訓(xùn)其實對我沒有深刻的理解，還是在實際的項目經(jīng)歷中讓我對保護(hù)層有了更具體和詳細(xì)的認(rèn)知。保護(hù)層之間的獨(dú)立性、多樣性以及其他方面，本文不做多講。



①工藝過程
描述：從根本上消除或者減少工藝系統(tǒng)存在的危害
示例：容器或者管道設(shè)計可以承受事故后果產(chǎn)生的高溫、高壓等
②BPCS
描述：BPCS是執(zhí)行持續(xù)監(jiān)測和控制日常生產(chǎn)過程的控制系統(tǒng)，在化工項目中可以理解為DCS系統(tǒng)
示例：液位控制系統(tǒng)，如下圖所示的一個PID控制，當(dāng)罐內(nèi)液體較高時，逐漸關(guān)小入口調(diào)節(jié)閥，當(dāng)罐內(nèi)液體較低時，逐漸開大入口調(diào)節(jié)閥
③SIS
描述：安全儀表功能通過檢測超限條件，控制過程進(jìn)入功能安全狀態(tài)
示例：如下圖所示，BPCS和ESD完全獨(dú)立，ESD滿足SIL2等級要求
◆一般情況下，BPCS檢測罐內(nèi)壓力，并通過PID來控制調(diào)節(jié)閥，罐體壓力控制在50bar左右，此時ESD處于“靜默”狀態(tài)
◆如果BPCS失效，導(dǎo)致壓力上升至65bar，達(dá)到ESD設(shè)定的上限值，ESD控制器關(guān)閉電磁閥，進(jìn)而關(guān)閉關(guān)斷閥，流程停止，進(jìn)入功能安全狀態(tài)
④其他
減壓設(shè)施：安全閥、爆破片等
物理防護(hù)：抗爆墻、圍堰等
應(yīng)急響應(yīng)：人員疏散、消防等
報警和人員響應(yīng)：通常認(rèn)為人員響應(yīng)的可靠性低，比如行動不夠迅速、操作不夠熟練等，所以一般不作為獨(dú)立保護(hù)層

風(fēng)險評估矩陣
風(fēng)險評估矩陣扮演重要角色，是風(fēng)險評估和決策的依據(jù)?？v坐標(biāo)是后果嚴(yán)重性等級，橫坐標(biāo)是事件發(fā)生頻率。下一章節(jié)會展示如何使用這張表格。



實際舉例
LOPA基本流程如下圖，本章節(jié)根據(jù)這個流程圖來逐步碼字。



①工藝描述
AQ/T 3054標(biāo)準(zhǔn)中給出了如下例子：
◆來自上游工藝單元的正己烷進(jìn)入正己烷緩沖罐T-401
◆儲罐總?cè)萘繛?5t，通常盛裝一半的容量
◆LT檢測罐內(nèi)物料高度，通過PID控制調(diào)節(jié)閥LV-90，并且提醒操作人員液位報警(LAH-90)
◆儲罐位于防洪堤內(nèi)，該防火堤能夠容納45t正己烷



P&ID流程圖

②場景識別與篩選
采用前期進(jìn)行的HAZOP分析作為場景信息來源，本例選擇分析的場景為正己烷緩沖罐溢流，防火堤發(fā)生失效，導(dǎo)致大面積火災(zāi)，造成人員的傷亡，后果等級為5
后果嚴(yán)重性等級表



③IE確認(rèn)
本例選定IE為BPCS液位控制回路失效，根據(jù)標(biāo)準(zhǔn)中的表E1，其失效頻率為1×10e-1/a

④IPL評估
A、防火堤
一旦發(fā)生罐體溢流，合適的防火堤可以包容這些溢流物。如果防火堤失效，將發(fā)生大面積擴(kuò)散，從而發(fā)生潛在的火災(zāi)、損害和死亡。防火堤滿足IPL所有的要求，包括：
◆如果按照設(shè)計運(yùn)行，防火堤可有效地包容儲罐的溢流
◆防火堤獨(dú)立于任何其他獨(dú)立保護(hù)層和IE
◆可以審查防火堤的設(shè)計、建造和目前的狀況
對于本例，根據(jù)標(biāo)準(zhǔn)中表E3，防火堤的PFD取1×10e-2/a
B、BPCS報警和人員響應(yīng)行動
在本例中，人員行動不作為獨(dú)立保護(hù)層，原因如下：
◆由于操作人員不總是在現(xiàn)場，在防火堤失效導(dǎo)致重大釋放前不能假設(shè)獨(dú)立于任何報警的操作人員行動能有效地檢測和阻止釋放
◆BPCS 液位控制回路失效(IE)導(dǎo)致系統(tǒng)不能產(chǎn)生報警，從而不能提醒操作人員采取行動以阻止緩沖罐進(jìn)料。因此， BPCS產(chǎn)生的任何報警不能完全獨(dú)立于BPCS系統(tǒng)，不能作為獨(dú)立保護(hù)層
C、安全閥
緩沖罐上的安全閥無法防止緩沖罐發(fā)生溢流，因此，對于本場景，安全閥不是IPL

⑤頻率計算
取點(diǎn)火概率為1，人員暴露概率為0.5，人員傷亡概率為0.5，則后果發(fā)生頻率為：
(初始事件發(fā)生頻率)×(防火堤PFD)×(點(diǎn)火概率)×(人員暴露概率)×(人員傷亡率)
 =(1×10e-1/a)×(1×10e-2)×1×0.5×0.5
 =2.5×10e-4/a
 =2×10e-4/a(取整)
 
⑥風(fēng)險評估
根據(jù)以上部分，得出：
◆后果等級為5
◆事件頻率為2×10e-4/a
落在風(fēng)險評估矩陣“高”位置，下圖中標(biāo)注五角星處，這種情況是不被接受的，需要增加獨(dú)立的SIF將其發(fā)生概率降低，降到標(biāo)注三角形或者菱形位置。



⑦風(fēng)險決策
分析決定安裝一個獨(dú)立的SIF，用于檢測和阻止溢流。本SIF采用獨(dú)立的液位傳感器，邏輯控制器和獨(dú)立的截斷閥，如下圖標(biāo)注色部分。當(dāng)檢測到高液位時，該SIF聯(lián)鎖關(guān)流量控制閥LV-90和遠(yuǎn)程截斷閥?？筛鶕?jù)企業(yè)具體的風(fēng)險控制要求，確定該SIF的SIL。在本例中，確定該SIF的FPD為 1×10e-2(SIL1)。對于場景， SIF將釋放事件的頻率從2×10e-4/a 降低到2×e-6/a。
(2×10e-4/a)×(1×10e-2)=2×10e-6/a



在風(fēng)險矩陣中，對于后果等級5，頻率為2×10e-6/a 的事件，其風(fēng)險等級為中風(fēng)險，圖中標(biāo)注三角形位置。根據(jù)相關(guān)要求，如果可以接受，那么將SIL等級定級為SIL1。如果企業(yè)有實力和財力，需要更高安全等級，那么可將SIL等級定級為SIL2或者SIL3，這需要花更多的錢、人力、技術(shù)等。

作者：東至風(fēng) 一位不喝咖啡不抽煙也能通宵的工程師

相關(guān)閱讀
◆SIL定級與驗證知識十問十答
◆再說安全完整性等級SIL含義