中石化咨询公司 解怀仁

作者简介

解怀仁（1940-），北京人，1965年毕业于天津大学，曾担任石化规划院计算机室负责人，中国仪表学会自控设计委员会常委，中国仪表行业协会现场总线（FF）专委会技术顾问，中国石油和石化工程研究会仪表部主任等。主要从事石化仪表自控设计并负责石化仪表自控设计审查和规划工作，主编石化仪表控制系统手册，发表近20篇论文，组织和研发的国产DCS曾获国家科技进步三等奖。

随着我国经济快速发展，面对新矛盾、新挑战，石化工业已把“调结构”和“稳增长”作为“十三五”时期行业发展的主要任务，把巩固提升传统产业和培育壮大战略性新兴产业作为主攻方向。“十二五”期间，石化行业采取“基础化、大型化、一体化、园区化”发展模式，扩大原料来源，资源优化利用，节能降耗，炼油化工一体化。石化生产规模、技术装备、自动化水平、设计施工、生产管理水平上了新的台阶，日趋接近国际先进水平。

石油化工装置多以石油、天然气、煤及其产品为原料进行加工处理，以得到各种产品。装置的原料和产品多属可燃、易爆、有毒物质，装置必然存在着潜在的火灾、爆炸和中毒危险。

据美国化学工程师协会（AICHE）1992年休斯顿工艺装置安全论坛资料显示：近30年来，烃加工业火灾的频率和火灾造成的经济损失，一直呈增长趋势。另据统计，世界石油化工业近30年100起损失特大事故中，装置的比例近六成。如1974年英国Fliborough的卡普纶装置、1989年法国La Mede炼油厂、1994年英国Milford Haven炼油厂的火灾爆炸事故，都是触目惊心的。

如何做到设计安全，如何对石油化工过程潜在的各种危险进行识别，如何对偏离过程条件做出估计，并在工程建设的基础设计环节上采取措施，提供安全仪表系统设计等，防患于末然，已为人们广泛关注。国外现在较为通行的做法是，除强调本质安全设计外，在项目设计中推行《危险性和可操作性研究》（HAZOP，Hazard and Operability Study），系统地、定性地去认识过程危险和潜在的后果，并采取措施。在项目管理上，推行《安全卫生执行程序》（HSE，Health and Safety Executive），对项目各阶段的安全、卫生和环保内容进行审查、确认。此外，还可以应业主要求，对项目进行安全评估。

针对石油化工装置中存在的危险因素，从工艺路线的选择、工程设计（包括工艺系统设计、仪表及自动控制设计、设备设计、装置布置设计、管道设计、土建设计、供排水设计、通风设计、消防设计）多方面保证石油化工装置安全的设计方法和措施，强调了安全设计的重要性。本文重点介绍仪表及自动控制设计中安全仪表系统的设计。

1　石化装置危险因素

石油化工装置类型甚多，由于技术路线、原料、产品、工艺条件的差异，存在的危险因素不尽相同，大致归纳如下：

（1）中毒危险

石油化工生产过程中，以原料、成品、半成品、中间体、反应副产物和杂质等形式存在的职业性接触毒物，工人在操作时，可经过口、鼻、皮肤进入人体引起生理功能和正常结构的病理改变，轻则扰乱人体的正常反应，降低人在生产中作出正确判断、采取恰当措施的能力，重则致人死亡。

（2）火灾爆炸危险

可燃气体、油气、粉尘与空气形成的混合物，当其浓度达到爆炸极限时，一旦被引燃，就会发生火灾爆炸，火灾的辐射热和爆炸产生的冲击波可能对人、设备和建筑物造成杀伤和破坏。尤其大量可燃气体或油气泄漏形成的蒸汽云爆炸，往往是毁灭性的。如2001年抚顺石化公司的乙烯空分装置的爆炸、2000年北京燕山石化的高压聚乙烯装置的爆炸、1967年大庆石化公司的高压加氢装置的氢气的爆炸，这样的例子还有很多，损失十分惨重。

（3）反应性危险

化学反应过程分吸热和放热两类。通常，放热反应较吸热反应更具危险性，特别是使用强氧化剂的氧化反应、有机分子上引入卤原子的卤化反应、用硝基取代化合物中氢原子的硝化反应，一旦失控可能产生严重后果。此外，石油化工过程中使用的某些原材料具有很强的反应活性，稍有不慎同样会对安全造成威协。

（4）负压操作

负压操作易使空气和湿气进入系统，形成爆炸性气体混合物，或空气中的氧和水蒸汽引发对氧、水敏感物料的危险反应。如炼油的常减压装置中的减压塔系统。

（5）高温操作

可燃液体操作温度超过其闪点或沸点，一旦泄漏会形成爆炸性油气蒸汽云；可燃液体操作温度等于或超过其自燃点，一旦泄漏即能自燃着火或成为引燃源；高温表面也是一个引燃源，可燃液体溅落其上可能引起火灾。

（6）低温操作

没有按低温条件设计，由于低温介质的窜入，而引起设备和管道的低温脆性破坏。

如空分的低温设备的损坏，大化肥渣油气化流程的低温甲醇洗-195℃的低温脆性断裂。

（7）腐蚀

腐蚀是导致设备和管道破坏引发火灾的常见因素。材料的抗腐蚀性能的重要性，在材料优化性能方面，仅次于材料的机械性能，其耐蚀性多出于经验和试验，无标准可循（中石化加工高硫油的装置选材有现行标准）。加之腐蚀类型的多样性和千变万化的环境条件影响又给腐蚀危险增加了不可预见性。

（8）泄漏

泄漏是设备管道内危险介质释放至大气的重要途径。设备管道静密封和动密封失效，尤其温度压力周期变化、渗透性腐蚀性介质条件更易引起密封破坏。

设备管道上的薄弱环节，如波纹管膨胀节、玻璃液位计、动设备的动密封的失效等，一旦损坏会引发严重的事故。如1996年加氢裂化装置的高温高压螺纹锁紧环的管线泄漏的事故等。

（9）明火源

一个0.5mm长的电弧或火花就能将氢气引燃。装置明火加热设备（加热炉），高温表面以及可能出现的电弧、静电火花、撞击磨擦火花、烟囱飞火能量都足以引燃爆炸性混合物。如镇海炼化公司2001年的新电站开工过程中汽轮机厂房大火。

（10）公用工程供应

供水中断时，冷却系统应能维持正常冷却10min以上；其它象燃料、仪表用风应考虑事故供应源或事故储备量；自动停车后的仪表回路，应避免未经确认复位的情况下，自动回到正常运行状态。

（11）设备设计

工艺设备是实现工艺过程的主体，所有单个操作过程都通过特定设备来完成，因此，设备的可靠性对装置安全生产至关重要。

设备设计的主要方面包括制造材料、机械设计、制造工艺和过程控制系统。材料选用应熟知工艺过程、外部环境、故障模式、材料加工性能。腐蚀是导致设备破坏和火灾的重要因素，应合理选用耐蚀材料和腐蚀裕量。

（12）电气设计

电力是装置生产的主要动力源，连续可靠的电力供给是装置安全生产的重要保证。

关键性连续生产过程，应采用双电源供电；

突然停电会引发爆炸、火灾、中毒和人员伤亡的关键设备，必须设置保安电源。

大功率电机启动，应核算启动电流不超过供电系统允许的峰值电流或应用软启动设施。

爆炸危险环境电气设备的结构、分级和分组应符合GB50058。

火灾危险环境架空敷设的电缆及电缆构电缆，均应采用阻燃型。

建筑和设备，应有可能的防雷接地措施；可能产生静电的设备、管道应有防止静电积聚的措施。

安全设施如火灾报警、事故照明、疏散照明等应设置保安电源。

（13）非常工况处理

装置开停工、事故停车极易发生火灾等事故。工艺系统不只提供正常操作程序，还应提出开、停工程序和停水、停电等情况下停车步骤，保证生产全过程都是有序的,如石化大型装置的事故预案。

（14）仪表及自动控制设计

仪表是操作员的眼睛，自控系统是装置调节控制的中枢。

动力系统。应有事故电源和气源，以保证有较充裕的时间对事故进行处理。

仪表和控制器选型，应采用故障安全型，确保故障时生产系统趋向安全。

联锁和停车系统。自动停车后的仪表回路，应避免未经确认复位的情况下，自动回到正常运行状态。

避免选用可能引起误判的多功能仪表。重要的操作环节，应设报警、联锁和紧急停车系统。ESD紧急停车可能给生产带来重要影响时，讯号系统应设3取2的表决系统。控制系统故障可能引起重大事故时，应设n:1甚至1：1 冗余控制系统。生产运行中，仪表及停车回路应能检测。

（15）现场仪表与设备

爆炸危险区内的仪表、分析仪表、控制器均选用相应防爆结构或正压通风结构。

有害气体深度监测

散发有害气体或蒸汽的场合，应设置监测报警设施。

仪表线缆

火灾爆炸危险区内仪表线缆应采用非燃料材料型或阻燃型。

2　石化企业安全生产面临的主要问题

近年来，我国石化工业发展迅猛，新投产了一大批石化产品生产装置。由于石化工业固有的“高温高压、易燃易爆、有毒有害、链长面广、连续作业”的特点，也给安全生产工作带来了很大的挑战。目前，我国石化企业安全生产面临的主要问题是：

（1）装置运行周期延长

为了提高市场竞争力和经济效益，石化装置的建设规模不断向大型化、超大型化方向发展，炼油装置规模已超过千万吨级、乙烯装置规模达到百万吨级。装置大型化使检修工作更为复杂，成本很高，因此石化企业开始对生产装置实施长周期运行策略，把“一年一修”或“三年两修”延长为“三年一修”，甚至“五年一修”。

在石化装置大型化，且高负荷、长周期运行的形势下，安全生产工作出现了以下几个具有共性的问题。

长周期运行状态下，如何确保设备的完整性和控制装置长周期运行的风险，如何从管理和技术上保障生产安全。

炼制劣质高硫、高酸原油给设备的长周期运行带来很大威胁，大大缩短了设备的使用寿命。

为了保障石化装置及设备长周期运行，需采取哪些在线安全保证措施和检测手段。

（2）石油储存和运输量增大

随着国家对石油需求的进一步增加以及炼油能力的逐步提高，石油储运设施的建设也朝大型化方向发展。目前在建的某个国家石油战略储备库，储罐容罐以10万m3为主，最大的已达16万m3，直径100m，储备库总罐容达500万m3。由此产生的问题是，设施大型化了，风险也会因量变积累而发生质变。此外，我国现行的石油库安全管理规范及安全保障技术可能无法达到超大型石油库安全运营的要求。

另外，随着西气东输工程的进行，管道成为最重要的油气远程运输方式之一。以中国石化为例，现在有1万多km的原油、天然气和成品油输送管线，未来几年内将达到2万km。但近几年，由于管理、环境、技术等原因，事故时有发生。控制、防范事故，以及在事故发生后能够有序高效地进行抢险、抢修，成为解决长输管线安全问题的关键。

（3）雷电、静电危害

由于石化生产的特殊性，雷电、静电危害一直是威胁石化生产安全的重大问题。经常出现的事故包括：沿江、沿海地区石化生产控制室电子设备受雷击损坏；大型罐区的雷击事故；粉尘静电燃爆事故;大料仓、燃爆电击事故;轻质易燃液体加工处理及储运过程中，灌注、采样、装车、洗槽等过程中的静电燃爆事故等。

（4）应急救援系统薄弱

目前，我国对危险化学品从生产、储存、运输到经营、废弃实行全过程的动态管理，尤其是对剧毒品、易燃易爆化学品的全程监控管理，对化学品运输车辆的监控，长输管道的监控管理工作还相对比较薄弱，事故发生频繁。因此，必须建立保障有力、快速响应的化学事故应急救援体系。

（5）作业环境检测和安全仪器仪表检验不到位

石油化工作业场所存在着有毒有害气体、粉尘、噪声、静电等各种危害因素，但是石油化工生产各个环节的作业环境和安全仪器仪表的监测检验监管工作还没真正到位，这带来很大风险。具体存在以下问题：

1）危险化学品作业场所通常存在高温、高压、振动和腐蚀等苛刻的环境条件，这对安全仪器、设备等安全产品提出了更高的特殊要求。目前我国石化企业大量使用的各种检测方法、各类安全检测仪表和安全检测设备没有依据石化行业的特殊性建立和实现，造成安全仪器设备的生产、制造、安装、使用、维护没有从石化行业的安全特点出发，可能达不到石化行业安全生产监测检验的要求，增加了事故隐患。

2）我国现行的一些检测标准、检测手段和检测技术与国外相比存在较大差距。已通过国内各项检验的各种仪器设备，可能仍然无法保证使用的安全性和可靠性。

3　石化安全仪表系统设计

3.1　功能安全标准体系

2000年2月，国际电工委员会（IEC）发布了——功能安全基础标准IEC61508，该标准解决了困扰业内多年的对复杂安全系统功能安全保障的理论与实践问题，在工业界引起强烈反响。之后，欧洲首先采用该标准；2003年底，美国开始采用并在一些高危行业强制实施；2006年，等同采用IEC61508的中国国家标准发布，编号是GB/T20438-2006，并于2007年1月1日起开始正式实施。2007年，针对流程工业的IEC61511等同的中国国家标准发布，编号是GB/T21109-2007。

在国际上，针对机械领域不同应用的IEC 62061、EN954-2、EN/IEC 60204-1，针对核领域的IEC61513，针对铁路领域的EN50126/7/8，针对熔炉的prEN-51056等不同应用领域的功能安全标准陆续出台，一个以IEC61508为基础的国际功能安全标准正在形成系列。与此对应，等同采用这些国际标准的中国国家标准也已经或正在制定。功能安全正成为国内外自动化及安全控制领域一个快速发展的技术热点。

IEC61508标准-2000，2000年，国际电工委员会正式发布了IEC61508标准，名为《电气/电子/可编程电子安全相关系统的功能安全》，此标准是由IEC/TC65提出并制订的，IEC/TC65在中国的技术对口单位是全国工业过程测量与控制标准化技术委员会。2006年，转化的等同采用IEC/61508的我国国家标准GB/T20438.1～7正式颁布，并于2007年1月1日开始正式实施。

3.1.1　IEC61508的七个部分内容分别为:

第1部分是一般要求，描述了主要概念、组织、生命期、文档编制、引导证据及SIL的定义。

第2部分是对电气/电子/可编程电子安全系统的要求，包括对设备和系统的要求，它的很多内容与第7部分的技术与措施的应用有关，这些方法解决了随机或系统失效问题。

第3部分是对软件的要求，描述避免失效的方法，引用的技术与措施第7部分的附录相关。

第4部分是定义和缩略语。

第5部分给出一些确定安全完整性等级（SIL）的方法示例。

第6部分包括第2和第3部分的应用指南。

第7部分给出技术与措施测试方法，简短的注释并提供部分参考书目。

3.1.2　IEC61511标准-2003

IEC61511是专门针对流程工业领域安全仪表系统的功能安全标准。

它是国际电工委员会继功能安全基础标准IEC61508之后推出的领域标准。目前，等同采用IEC61511的中国国家标准已经由全国工业过程测量与控制标准化技术委员会审核批准发布。

IEC61511标准包含三个部分：

第1部分提出了整体框架、定义、系统、硬件和软件要求。给出了仪表安全系统的规范、设计、安装、运行和维护要求，这确保该系统能把过程置于或保持在某个安全状态。

第2部分是第1部分的应用指南。提供了为满足IEC61511第1部分中定义的仪表安全功能及其相关的仪表安全系统的规范、设计、安装、操作和维护的要求所必要的实现指南。

第3部分给出了如何确定要求的安全完整性等级。内容包括风险的基础概念、风险与安全完整性的关系，允许风险的确定，以及确定仪表安全功能的安全完整性等级的各种不同方法。

2006年在全国工业过程测量和控制标准化技术委员会SAC/TC124的组织领导下，起草了根据IEC 61508 的中国国家标准《电气/电子/可编程电子安全相关系统的功能安全 GB/T20438.1-7 》 ，2007年1月1日开始正式实施。

2007年在全国工业过程测量和控制标准化技术委员会SAC/TC124的组织领导下，起草了根据IEC 61511 的中国国家标准《过程工业领域安全仪表系统的功能安全 G B /T21109.1-3》，2008年5月1日起开始正式实施。

3.1.3　GB/T21109.2-2007

过程控制领域中安全仪表系统的功能安全GB/T21109《过程工业领域安全仪表系统的功能安全》分为三个部分:第1部分：框架、定义、系统、硬件和软件要求 国家标准（GB） GB/T21109.1-2007 GB/T 21109的本部分规定了安全仪表系统的规范、设计、安装、运行和维护要求，具体包括系统结构、硬件配置、应用软件和系统集成等方面的要求。

第2部分：GB/T 21109.1的应用指南 国家标准（GB）GB/T21109.2-2007 GB/T 21109的本部分提供了按GB/T21109.1中定义的仪表安全功能及其相关的安全仪表系统的规范、设计、安装、运行和维护的应用指南。

第3部分：确定要求的安全完整性等级的指南，国家标准（GB） GB/T21109.3-2007 GB/T 21109的本部分规定了风险的基础概念、风险与安全完整性的关系、允许风险的确定、确定仪表安全功能的安全完整性等级的各种不同方法等内容。

中石化--在1990年及2003年起草和更新了中华人民共和国石油化工行业标准-《石油化工安全仪表系统设计规范SH3018 - 1990》及《SH 3018 - 2003》，现又推出新的标准。

中石油--在2003年中华人民共和国石油天然气行业标准-《工业生产过程中安全仪表系统的应用SY/T 10045- 2003》。

3.2　安全仪表系统设计原则

（1）安全仪表系统的工程设计应兼顾可靠性、可用性、可维护性、可追溯性和经济性。应防止设计不足或过度设计。

（2）石油化工项目的安全仪表系统的安全完整性等级不宜高于SIL3级。

（3）SIS实现多个单元保护功能时，其公用部分应符合最高安全等级要求。

（4）安全仪表系统由测量仪表、逻辑控制器、最终元件及相关软件等组成。

（5）安全仪表系统宜独立于基本过程控制系统，独立完成安全保护功能。

（6）安全仪表系统应设计成故障安全型。安全仪表系统的硬件、操作系统及编程软件应采用正式发布版本。

（7）安全仪表系统的逻辑控制器应具有硬件和软件自诊断功能。安全仪表系统的中间环节应尽可能少。

（8）逻辑控制器的中央处理单元、输入输出单元、通信单元及电源单元等应冗余设置。

（9）安全仪表系统的逻辑控制器应获得国家权威机构功能安全认证。如PLC—用安全型---TUV认证—SIL2等级。安全仪表系统按照安全完整性等级的要求分为SIL1、SIL2、SIL3、SIL4。安全完整性等级越高，安全仪表系统实现安全功能越强。

（10）石油化工工厂或装置的安全完整性等级最高为SIL3级。当风险分析的结果需要大幅度降低风险时，应考虑采用多个独立的安全仪表功能。如果在确定安全完整性等级时，有可能到达SIL4，则应重新分配保护层的安全功能，或采用多个安全仪表功能，使安全仪表系统的安全完整性等级不为SIL4级。

3.3　安全仪表系统设备选用

3.3.1　SIS测量仪表设计选用

1） 传感器宜采用隔爆型的变送器（压力、差压、差压流量、差压液位、温度），不宜采用开关型传感器；传感器由SIS系统供电。

2） 独立设置原则

SIL 1级安全仪表功能，测量仪表可与基本过程控制系统共用；

SIL 2级安全仪表功能，测量仪表宜与基本过程控制系统分开；

SIL 3级安全仪表功能，测量仪表应与基本过程控制系统分开。

3） 冗余设置原则

SIL 1级安全仪表功能，可采用单一测量仪表；

SIL 2级安全仪表功能，宜采用冗余测量仪表；

SIL 3级安全仪表功能，应采用冗余测量仪表。

4） 冗余选择原则

当系统要求高安全性时，应采用“或”逻辑结构；

当系统要求高可用性时，应采用“与”逻辑结构；

当系统的安全性和可用性均需保障时，宜采用三取二逻辑结构。

3.3.2　SIS最终元件设计选用

1） 最终元件包括控制阀（调节阀、切断阀）、电磁阀、电机等

2） 独立设置原则

SIL 1级安全仪表功能，控制阀可与基本过程控制系统共用，应确保安全仪表系统的动作优先；

SIL 2级安全仪表功能，控制阀宜与基本过程控制系统分开；

SIL 3级安全仪表功能，控制阀应与基本过程控制系统分开。

3） 冗余设置原则

SIL 1级安全仪表功能，可采用单一控制阀；

SIL 2级安全仪表功能，宜采用冗余控制阀；

SIL 3级安全仪表功能，应采用冗余控制阀。

4） 控制阀冗余方式可采用一个调节阀和一个切断阀，也可采用二个切断阀。

5） 电磁阀设置原则：电磁阀应采用长期带电，低功耗，隔爆型，由SIS系统供电。

3.3.3　SIS逻辑控制器设计选用

1） SIS逻辑控制器：宜采用可编程电子系统，也可采用可编程电子系统和继电器系统混合构成；

2） 逻辑控制器的响应时间包括输入输出扫描处理时间与中央处理单元运算时间。一般为100～300ms。

3） 逻辑控制器的中央处理单元负荷不应超过50%。

4） 逻辑控制器应采用国家权威机构功能安全认证的可编程电子系统。

5） 独立设置原则

SIL 1级安全仪表功能，逻辑控制器宜与基本过程控制系统分开；

SIL 2级安全仪表功能，逻辑控制器应与基本过程控制系统分开；

SIL 3级安全仪表功能，逻辑控制器必须与基本过程控制系统分开。

6） 冗余设置原则

SIL 1级安全仪表功能，宜采用冗余逻辑控制器；

SIL 2级安全仪表功能，应采用冗余逻辑控制器；

SIL 3级安全仪表功能，必须采用冗余逻辑控制器。

3.3.4 SIS通信接口

1） SIS与BPCS通信宜采用RS485 MODBUS RTU通信协议，也可采用TCP/IP通信协议。

2） SIS与BPCS通信接口宜采用冗余配置，冗余通信接口应有诊断功能。

3） SIS与BPCS通信不应通过工厂管理网络传输。

4） 除旁路信号和复位信号之外，BPCS不应采用通信方式向SIS发送指令。

5） 除BPCS外，SIS与其它系统之间不应设置通信接口。

6） 通信接口的故障不应影响SIS的安全功能，不应有引起安全功能的动作。

7） 网络通信接口负荷不应超过50%。

3.3.5　SIS人机接口

1） 操作员站

安全仪表系统宜设操作员站。在操作员站失效时，SIS逻辑处理功能不应受影响。

操作员站功能不应修改SIS的编程软件。

操作员站设置的软件旁路开关应加键锁或口令保护，并应设置状态报警记录。

操作员站应提供程序运行、联锁动作、输入输出状态、诊断等显示、报警记录。

2） 工程师站及事件顺序记录站

工程师站用于SIS组态编程、系统诊断、状态监测、编辑、修改及系统维护。

工程师站应设不同级别的权限密码保护。工程师站应显示SIS动作和诊断状态。

事件顺序记录站可与SIS系统的工程师站共用，也可单独设置。

事件顺序记录站记录每个事件的时间、日期、标识、状态等。

工程师站和事件顺序记录站宜设置防病毒等保护措施。

3.3.6　SIS应用软件

1） 应用软件的组态宜采用功能逻辑图或布尔逻辑表达式。

2） 应用软件的组态应使用制造厂的标准组态工具软件。

3） 应用软件组态工具软件应符合安全完整性等级的要求。

4） 应用软件组态编程应进行离线测试后方可下载投入运行。

5） 宜采用光盘进行数据复制，磁介质文件的复制应防止病毒。

6） 应用软件应做本地备份和异地备份。

7） 应用软件组态编程应与功能逻辑图、因果表或逻辑说明一致。

3.4　工程实施时可参考的经验

1） 参照同类型装置的SIL等级配置SIS系统；

2） 参照类似设备设计安全功能；

3） 原则上独立设置SIS，包括检测传感器和最终元件执行器。

4） 按照故障安全方式设置，现场输入开关等连接常闭接点，工艺越限时断开；输出电磁阀、继电器等采用正常时励磁，失电时联锁。同时考虑当SIS或外部供电、供气中断时，被保护的装置或设备应能按预定的顺序转入安全状态。

5） 采用冗余容错系统结构，如重要输入可按三取二等设置。

摘自2016年《今日自动化技术应用在中国》