當(dāng)大家拿到SIS項(xiàng)目的設(shè)計(jì)院系統(tǒng)規(guī)格書時(shí)，會(huì)出現(xiàn)這樣的字眼：要求SIL等級(jí)是SIL2或者SIL3，項(xiàng)目實(shí)施要根據(jù)要求來設(shè)計(jì)配置硬件和編寫程序，那么這個(gè)SIS中的SIL等級(jí)是怎么確定的？AQ/T3054給出了答案(IEC61511和GB/T21109中也都有LOPA內(nèi)容)。

本文從項(xiàng)目工程師的角度來組織文字，存在偏重點(diǎn)和忽略點(diǎn)。文章內(nèi)容主要引用相關(guān)標(biāo)準(zhǔn)里面的文字，對(duì)于比較難以理解的部分，用通俗的語言講述，希望能幫助大家弄明白“SIL等級(jí)是怎么確定”，以及確定SIL等級(jí)依據(jù)的標(biāo)準(zhǔn)有哪些。

一個(gè)典型的化工過程包含各種保護(hù)層，如本質(zhì)安全設(shè)計(jì)、基本過程控制系統(tǒng)(BPCS)、報(bào)警與人員干預(yù)、安全儀表功能(SIF)、物理保護(hù)(安全閥等)、釋放后保護(hù)設(shè)施、工廠應(yīng)急響應(yīng)和社區(qū)應(yīng)急響應(yīng)等。這些保護(hù)層降低了事故發(fā)生的頻率。在開展化工過程工藝危害分析時(shí)，保護(hù)層是否足夠，能否有效防止事故的發(fā)生是分析人員最為關(guān)注的一個(gè)問題。保護(hù)層分析(Layer of protection analysis，簡稱 LOPA)是在定性危害分析的基礎(chǔ)上，進(jìn)一步評(píng)估保護(hù)層的有效性，并進(jìn)行風(fēng)險(xiǎn)決策的系統(tǒng)方法，其主要目的是確定是否有足夠的保護(hù)層使過程風(fēng)險(xiǎn)滿足企業(yè)的風(fēng)險(xiǎn)可接受標(biāo)準(zhǔn)。LOPA是一種半定量的風(fēng)險(xiǎn)評(píng)估技術(shù)，通常使用初始事件頻率、后果嚴(yán)重程度和獨(dú)立保護(hù)層(IPL)失效頻率的數(shù)量級(jí)大小來近似表征場景的風(fēng)險(xiǎn)。

通常用于確定SIF的PFD值，也就確定了需要增加什么SIL等級(jí)的安全儀表系統(tǒng)，俗稱SIL定級(jí)。然后好多名詞不是很理解，什么是保護(hù)層/半定量/初始事件/風(fēng)險(xiǎn)矩陣？下文用實(shí)例解釋。

定量與定性
在SIL定級(jí)方面，IEC 61508(GB/T 20438)給出了三種方法，IEC 61511(GB/T 21109)給出了五種方法，如下：
①IEC 61508(GB/T 20438)
◆定量法
◆風(fēng)險(xiǎn)圖
◆危險(xiǎn)事件嚴(yán)重程度矩陣
②IEC 61511(GB/T 21109)
◆半定量法
◆安全層矩陣法
◆校正的風(fēng)險(xiǎn)圖
◆風(fēng)險(xiǎn)圖
◆LOPA

風(fēng)險(xiǎn)圖和LOPA是最常用的，風(fēng)險(xiǎn)圖是一種定性分析技術(shù)，LOPA是一種半定量的風(fēng)險(xiǎn)評(píng)估技術(shù)，什么是定性、定量和半定量呢？各大百科網(wǎng)站如下解釋：
◆定性分析是能區(qū)分出是個(gè)什么東西,舉個(gè)例子來說，你能辨認(rèn)出這是蘋果，但你不能確定是幾個(gè)蘋果。
◆定量分析是在定性的基礎(chǔ)上給出清晰的數(shù)量關(guān)系，比如，你確定了這是5個(gè)蘋果。
◆半定量分析是通常實(shí)現(xiàn)定量分析非常困難時(shí)采取的一種折中辦法。還是舉例說明，這里有一堆蘋果，你不知道具體的數(shù)量，但是你能知道的是這一堆蘋果能裝5麻袋，這5麻袋的數(shù)量估計(jì)就是半定量分析。

初始事件
初始事件簡稱IE(Initiating Events)，分類和內(nèi)容如下表。我們分析比較多的是控制系統(tǒng)的故障，比如一個(gè)工廠有一套BPCS(基本過程控制系統(tǒng)，Basic Process Control System)，其有一定的失效概率，比如卡件壞了，這樣的一套BPCS失效即可認(rèn)為是初始事件。如果這個(gè)事件發(fā)生，比如控制閥門的一塊DO卡件壞掉，并沒有造成人員傷害，而且財(cái)產(chǎn)損失極小，沒有破壞環(huán)境，對(duì)企業(yè)沒有影響，那好，換上一塊新卡重新運(yùn)行。但是如果BPCS失效導(dǎo)致人員傷害，或者財(cái)產(chǎn)損失較大，對(duì)企業(yè)形象有影響，那么就需要其他保護(hù)層來降低風(fēng)險(xiǎn)，比如增加一套SIS系統(tǒng)。



獨(dú)立保護(hù)層
將IEC 61511和GB/T 21109介紹的保護(hù)層可簡化成一個(gè)化工行業(yè)典型的風(fēng)險(xiǎn)降低保護(hù)層，如下圖。理論培訓(xùn)其實(shí)對(duì)我沒有深刻的理解，還是在實(shí)際的項(xiàng)目經(jīng)歷中讓我對(duì)保護(hù)層有了更具體和詳細(xì)的認(rèn)知。保護(hù)層之間的獨(dú)立性、多樣性以及其他方面，本文不做多講。



①工藝過程
描述：從根本上消除或者減少工藝系統(tǒng)存在的危害
示例：容器或者管道設(shè)計(jì)可以承受事故后果產(chǎn)生的高溫、高壓等
②BPCS
描述：BPCS是執(zhí)行持續(xù)監(jiān)測和控制日常生產(chǎn)過程的控制系統(tǒng)，在化工項(xiàng)目中可以理解為DCS系統(tǒng)
示例：液位控制系統(tǒng)，如下圖所示的一個(gè)PID控制，當(dāng)罐內(nèi)液體較高時(shí)，逐漸關(guān)小入口調(diào)節(jié)閥，當(dāng)罐內(nèi)液體較低時(shí)，逐漸開大入口調(diào)節(jié)閥
③SIS
描述：安全儀表功能通過檢測超限條件，控制過程進(jìn)入功能安全狀態(tài)
示例：如下圖所示，BPCS和ESD完全獨(dú)立，ESD滿足SIL2等級(jí)要求
◆一般情況下，BPCS檢測罐內(nèi)壓力，并通過PID來控制調(diào)節(jié)閥，罐體壓力控制在50bar左右，此時(shí)ESD處于“靜默”狀態(tài)
◆如果BPCS失效，導(dǎo)致壓力上升至65bar，達(dá)到ESD設(shè)定的上限值，ESD控制器關(guān)閉電磁閥，進(jìn)而關(guān)閉關(guān)斷閥，流程停止，進(jìn)入功能安全狀態(tài)
④其他
減壓設(shè)施：安全閥、爆破片等
物理防護(hù)：抗爆墻、圍堰等
應(yīng)急響應(yīng)：人員疏散、消防等
報(bào)警和人員響應(yīng)：通常認(rèn)為人員響應(yīng)的可靠性低，比如行動(dòng)不夠迅速、操作不夠熟練等，所以一般不作為獨(dú)立保護(hù)層

風(fēng)險(xiǎn)評(píng)估矩陣
風(fēng)險(xiǎn)評(píng)估矩陣扮演重要角色，是風(fēng)險(xiǎn)評(píng)估和決策的依據(jù)。縱坐標(biāo)是后果嚴(yán)重性等級(jí)，橫坐標(biāo)是事件發(fā)生頻率。下一章節(jié)會(huì)展示如何使用這張表格。



實(shí)際舉例
LOPA基本流程如下圖，本章節(jié)根據(jù)這個(gè)流程圖來逐步碼字。



①工藝描述
AQ/T 3054標(biāo)準(zhǔn)中給出了如下例子：
◆來自上游工藝單元的正己烷進(jìn)入正己烷緩沖罐T-401
◆儲(chǔ)罐總?cè)萘繛?5t，通常盛裝一半的容量
◆LT檢測罐內(nèi)物料高度，通過PID控制調(diào)節(jié)閥LV-90，并且提醒操作人員液位報(bào)警(LAH-90)
◆儲(chǔ)罐位于防洪堤內(nèi)，該防火堤能夠容納45t正己烷



P&ID流程圖

②場景識(shí)別與篩選
采用前期進(jìn)行的HAZOP分析作為場景信息來源，本例選擇分析的場景為正己烷緩沖罐溢流，防火堤發(fā)生失效，導(dǎo)致大面積火災(zāi)，造成人員的傷亡，后果等級(jí)為5
后果嚴(yán)重性等級(jí)表



③IE確認(rèn)
本例選定IE為BPCS液位控制回路失效，根據(jù)標(biāo)準(zhǔn)中的表E1，其失效頻率為1×10e-1/a

④IPL評(píng)估
A、防火堤
一旦發(fā)生罐體溢流，合適的防火堤可以包容這些溢流物。如果防火堤失效，將發(fā)生大面積擴(kuò)散，從而發(fā)生潛在的火災(zāi)、損害和死亡。防火堤滿足IPL所有的要求，包括：
◆如果按照設(shè)計(jì)運(yùn)行，防火堤可有效地包容儲(chǔ)罐的溢流
◆防火堤獨(dú)立于任何其他獨(dú)立保護(hù)層和IE
◆可以審查防火堤的設(shè)計(jì)、建造和目前的狀況
對(duì)于本例，根據(jù)標(biāo)準(zhǔn)中表E3，防火堤的PFD取1×10e-2/a
B、BPCS報(bào)警和人員響應(yīng)行動(dòng)
在本例中，人員行動(dòng)不作為獨(dú)立保護(hù)層，原因如下：
◆由于操作人員不總是在現(xiàn)場，在防火堤失效導(dǎo)致重大釋放前不能假設(shè)獨(dú)立于任何報(bào)警的操作人員行動(dòng)能有效地檢測和阻止釋放
◆BPCS 液位控制回路失效(IE)導(dǎo)致系統(tǒng)不能產(chǎn)生報(bào)警，從而不能提醒操作人員采取行動(dòng)以阻止緩沖罐進(jìn)料。因此， BPCS產(chǎn)生的任何報(bào)警不能完全獨(dú)立于BPCS系統(tǒng)，不能作為獨(dú)立保護(hù)層
C、安全閥
緩沖罐上的安全閥無法防止緩沖罐發(fā)生溢流，因此，對(duì)于本場景，安全閥不是IPL

⑤頻率計(jì)算
取點(diǎn)火概率為1，人員暴露概率為0.5，人員傷亡概率為0.5，則后果發(fā)生頻率為：
(初始事件發(fā)生頻率)×(防火堤PFD)×(點(diǎn)火概率)×(人員暴露概率)×(人員傷亡率)
 =(1×10e-1/a)×(1×10e-2)×1×0.5×0.5
 =2.5×10e-4/a
 =2×10e-4/a(取整)
 
⑥風(fēng)險(xiǎn)評(píng)估
根據(jù)以上部分，得出：
◆后果等級(jí)為5
◆事件頻率為2×10e-4/a
落在風(fēng)險(xiǎn)評(píng)估矩陣“高”位置，下圖中標(biāo)注五角星處，這種情況是不被接受的，需要增加獨(dú)立的SIF將其發(fā)生概率降低，降到標(biāo)注三角形或者菱形位置。



⑦風(fēng)險(xiǎn)決策
分析決定安裝一個(gè)獨(dú)立的SIF，用于檢測和阻止溢流。本SIF采用獨(dú)立的液位傳感器，邏輯控制器和獨(dú)立的截?cái)嚅y，如下圖標(biāo)注色部分。當(dāng)檢測到高液位時(shí)，該SIF聯(lián)鎖關(guān)流量控制閥LV-90和遠(yuǎn)程截?cái)嚅y。可根據(jù)企業(yè)具體的風(fēng)險(xiǎn)控制要求，確定該SIF的SIL。在本例中，確定該SIF的FPD為 1×10e-2(SIL1)。對(duì)于場景， SIF將釋放事件的頻率從2×10e-4/a 降低到2×e-6/a。
(2×10e-4/a)×(1×10e-2)=2×10e-6/a



在風(fēng)險(xiǎn)矩陣中，對(duì)于后果等級(jí)5，頻率為2×10e-6/a 的事件，其風(fēng)險(xiǎn)等級(jí)為中風(fēng)險(xiǎn)，圖中標(biāo)注三角形位置。根據(jù)相關(guān)要求，如果可以接受，那么將SIL等級(jí)定級(jí)為SIL1。如果企業(yè)有實(shí)力和財(cái)力，需要更高安全等級(jí)，那么可將SIL等級(jí)定級(jí)為SIL2或者SIL3，這需要花更多的錢、人力、技術(shù)等。

作者：東至風(fēng) 一位不喝咖啡不抽煙也能通宵的工程師

相關(guān)閱讀
◆SIL定級(jí)與驗(yàn)證知識(shí)十問十答
◆再說安全完整性等級(jí)SIL含義