摘要：目前针对天然气净化厂控制系统的安全分析主要采用的是危害和可操作性分析法(HAZOP)，该方法主要从工艺流程的参数偏差方面分析设计上存在的缺陷，而对仪表控制系统不能作更为详细的风险评估，而单独的安全完整性等级分析法(SIL)评估也不能完全识别出控制系统中存在的不足。为此，提出了一种将SIL与HAZOP结合使用的分析方法，充分利用HAZOP分析的成果，对HAZOP识别出来的问题或缺陷再进行SIL评估；而另一方面，对没有进行HAZOP分析的安全仪表系统(SIS)进行单独的SIL评估，弥补了HAZOP对自控风险分析的不足。应用结果表明：该方法在天然气净化厂是适用有效的，能为天然气净化厂改进SIS系统及其他技术改进提供指导。
关键词：天然气净化；风险；安全完整性等级；安全仪表系统；危害和可操作性分析；风险图表法
天然气净化厂应用的控制系统较为复杂[1～2]，包含集散控制系统(Distributed Control System，DCS)、安全仪表系统(Safety Instrumented System，SIS)、远程终端装置(Remote Terminal Unit，RTU)和可编程逻辑控制器(Programmable Logic Controller，PLC)等。目前针对天然气净化厂控制系统的安全分析方法主要是危害和可操作性分析法(Hazard and Operability Studies，HAZOP)，该方法主要从工艺流程的参数偏差方面分析设计上存在的缺陷，而对仪表控制系统不能作更为详细的风险评估。为确保装置的安全运行，SIS系统的配置显得非常重要。安全完整性等级(Safety Integrity Level，SIL)评估主要针对SIS系统进行评估，包括控制回路的触发器、控制器、执行机构及其他保护措施。笔者拟就SIL评估与HAZOP分析在天然气净化厂的结合应用进行分析和研究，进一步改良和完善HAZOP分析方法。
1 SIL简介
SIL是表述分配给安全仪表系统的安全仪表功能(Safety Instrumented Function，SIF)所需的安全完整性等级。这种等级划分是离散的，共设置有4级，其中SIL4是安全完整性最高等级[3]。SIL等级越高，意味着对应的安全防护系统可靠性越高，这是企业所期望的。但是高可靠性的安全防护系统往往会带来更多的软、硬件投资。此外，随着安全仪表系统服役时间加长，系统硬件的可靠性会随之降低，即安全完整性等级会下降。要保证系统服役过程中的完全完整性等级维持设计初衷不变，需要适时地对其进行风险评估，并制
订相应的检、维修计划或整改措施，这就是所谓的安全完整性等级(SIL)评估。
2 SIL评估思路
SIL评估对象是受保护设备(Equipment Under Control，EUC)的安全防护系统，即安全仪表系统。其他的安全防护措施作为SIL等级的影响因子，也在SIL评估的范围之内。SIL评估的思路是首先确定受保护单元及其控制参数，然后在不考虑SIS的情况下，确定控制参数所需的SIL等级，之后，再对该控制参数现有SIS系统各回路的SIL等级进行验证，若所验证的SIL等级达不到系统所需的SIL等级，则需要改进控制方案，提高其SIL等级，使之满足系统的安全需要。
确定SIL等级的方法有：
1) 国际标准IEC61508[4]中规定的定量风险评估、风险图表法(定性)和风险矩阵法(定性)等分析方法。
2) 国际标准IEC61511[5]中规定的定量方法、安全保护层矩阵法(定性)、风险图表法(定性)、修正风险图表法(半定性)和保护层分析(半定量)等分析方法。
3 SIL在天然气净化厂的应用分析
3.1 SIL评估流程
本文参考文献[6-9]就SIL在不同SIS中的应用情况，分析了SIL技术的评估方法、过程和应用环境，不过都把SIL作为一种独立的分析方法应用在评估对象上。本文参考文献[10]给出了SIL与HAZOP的关系图，如图1所示。图1中SIL评估与HAZOP分析以明确的界限分隔开来，这种划分是建立在保护层分析(LOPA)基础上的。实际上，SIL评估的主要对象是安全仪表系统，但是在验证SIL等级时，是需要分析基本控制单元、系统报警和人工操作情况的，而HAZOP分析控制系统的防护措施时也会涉及安全仪表系统，二者之间是存在交叉区域的。
本文参考文献[11]提到了一种SIL与HAZOP结合使用的分析流程，该流程同样是建立在保护层分析基础上的。按照该流程，SIL评估作为HAZOP分析的一种补充或进一步深入分析，分析对象是HAZOP识别出来的潜在危害或可操作性问题，这些问题可能包括SIS系统，也可能不包含SIS系统。那么对于HAZOP没有辨识出来的SIS系统问题，该流程就忽略掉了。实际上，HAZOP分析法大多数时候作为一种定性的分析方法，主要分析工艺流程中可能存在的不足或缺陷，受分析组成员的经验性和主观性影响很大，很难全面、准确地识别}H何处SiS达不到所需的要求，容易形成漏分析。
为此，笔者在本文参考文献[10-11]的基础上，提出了另一种关于SIL与HAZOP结合使用的分析方法。具体流程如图2所示。
图2所示的流程包括了确定需求资料、确定评估范围和目标、HAZOP分析、确定评估对象所需的SIL等级和验证评估对象SIS系统现有的SIL等级等，充分利用了HAZOP分析的成果，对HAZOP识别出来的问题或缺陷进行SIL评估，而另一方面，对没有进行HAZOP分析的SIS进行单独的SIL评估。若SIL等级达不到所需要求，可以识别出SIS系统中SIL等级不够的单个或多个元件。通过这样的分析，既解决了HAZOP不能详细分析SIS的缺点，又解决了SIL评估可能漏项的缺点，为尽可能全面地对评估对象进行安全分析并找出SIS潜在的不足提供了一种更为有效的安全评估方法。
3.2 SIL评估作用
天然气净化厂所涉及的工艺介质主要是含硫天然气、脱硫溶剂、脱水溶剂、酸气和液硫等。其中原料天然气属于易燃、易爆的有毒气体，酸气中的H2S含量较高，属于剧毒物质。一旦这些工艺介质发生泄漏，将可能带来重大的安全事故，造成人员、经济、环境的重大损失。同时，天然气净化厂通常在高压下对天然气进行脱硫和脱水，在高温下进行脱硫溶剂、脱水溶剂再生和实现硫磺回收。故在天然气净化过程中，会涉及高温、高压的设备和管线。当装置出现意外情况引起高压窜低压时，可能会导致低压设备和管线爆裂、有毒介质泄漏及人员伤亡等重大安全事故发生。
为避免上述恶性事故发生，天然气净化厂一般都设有SIS系统，用于减少或避免意外情况给装置、人员、环境造成损害。因此SIS系统的可靠性就显得格外重要和关键，而SIS系统设计是否满足工况条件和相关标准的要求，就需要对其进行审查评估。SIL评估技术是一种有针对性的专业评估方法，其作用为：
1) 使用户正确认识到SIS系统的作用。在某些情况下，即便SIL等级比较高也不一定能满足装置的防护要求。通过SIL评估，可以指出SIS系统中哪些环节没有达到要求的SIL等级，并根据要求有针对性地改进SIS系统，有效避免盲目提高SIL等级造成的投资浪费。
2) 对识别出来SIL等级达不到所需要求的SIS系统，进一步分析其中某些环节存在问题的原因，指导用户对这些不能满足安全要求的环节进行改进，提高其SIL等级。
3) 将HAZOP分析与SIL评估有机地结合起来，可以识别出装置中大部分的潜在危害。根据图2的流程，可以有效地发现装置中SIS系统存在的缺陷。
炼油装置中管道硫化氢腐蚀及防护
长输燃气管道的安全保护距离
