基于LOPA方法的大型氨制冷系统安全完整性评估方法

Safety Integrity Assessment Method for Large Ammonia Refrigeration Systems Based on LOPA

摘要: 本文采用LOPA的风险评估方法，针对国家雪橇雪车中心氨制冷系统识别潜在的运行风险，对装置的设计及操作中存在的风险进行识别，提出建议措施，为下一步设计提供参考。

Abstract: This paper uses LOPA as a risk assessment method. This study analyses potential operational risks in ammonia refrigeration system at the National Snowmobile Center, aiming to identify risks in design as well as operation of the device. Furthermore, the study gives some significant recommendations for action, providing a reference for the next step design.

1. 引言

保护层分析(LOPA)是在定性危害分析的基础上，进一步评估保护层的有效性，并进行风险决策的系统方法。其主要目的是确定是否有足够的保护层使其风险满足企业的风险标准。

通过对场景识别与筛选，确认初始事件(IE)，对独立保护层(IPL)进行评估、场景频率计算，根据风险评估与决策，确定风险是否可接受。可接受则进入下一场景，不可接受，则考虑风险降低的措施返回独立保护层(IPL)进行评估，直至所有场景分析完毕。

本文基于危险与可操作性(HAZOP)方法对国家雪车雪橇中心氨制冷系统中的危险因素进行分析，对SIS评估的3个SIF回路进行了SIL等级选择，并提出建议措施 [1]。

2. 氨制冷系统的工艺背景/流程

经制冷压缩机压缩的高温高压氨气进入蒸发式冷凝器冷凝成常温高压氨液，经节流降温降压后进入低压循环桶，再经液氨泵供至雪橇雪车赛道下的制冷盘管中恒温恒压部分蒸发制冷，汽液两相氨经回气管回至低压循环桶进行分离，氨气返回制冷压缩机再次压缩，如此循环达到制冷的目的。

氨制冷原理示意图见图1：

Figure 1. Schematic diagram of ammonia refrigeration principle

图1. 氨制冷原理示意图

制冷系统采用“R717”作为制冷系统的制冷工质，系统供液型式为氨泵强制供液，系统氨液总充注量为87.5 t。制冷主机采用变频且内容积比可调的单级带经济器补气功能的螺杆式制冷压缩机，制冷主机共用一台经济器，经济器形式为闪发式，工质冷却螺杆压缩机组的油冷却器。

采用氨直接制冷，在一个密闭的系统内循环使用，利用氨的沸点随压力变化而变化的特征，即氨的压力越低，沸点越低；压力越高，沸点越高。利用压缩机做功，将气相的氨气压缩、冷却冷凝成液相，然后使其减压、膨胀、汽化(蒸发)，从被冷物质(雪车赛道)中吸取热量降低其温度，而达到赛道处于冷冻状态的目的。

3. 氨制冷系统分析方法的采用

根据氨制冷系统的特点，可以采用预先危险性分析、事故树分析、事故后果模拟分析、HAZOP分析等等。

预先危险分析也称初始危险分析，是在每项生产活动之前，特别是在设计的开始阶段，对系统存在危险类别、出现条件、事故后果等进行概略地分析，尽可能评价出潜在的危险性。因此，该方法也是一份实现系统安全危害分析的初步或初始的计划，是在方案开发初期阶段或设计阶段之初完成的。

事故树分析是系统安全分析中最重要的定量分析方法之一，是一种表示故障事件发生原因及其逻辑关系的逻辑树图。

HAZOP分析的侧重点是工艺部分或操作步骤的各种具体值，其基本过程就是以引导词为引导，对过程中工艺状态可能出现的变化加以分析，找出其可能导致的危害。对于新建项目当工艺设计要求很严格时使用HAZOP方法最为有效。

事故后果模拟分析是运用数学模型，通过模拟计算软件对火灾爆炸和中毒事故等后果进行模拟分析，对事故后果进行分析。

氨制冷系统安全完整性分析是在HAZOP分析的基础上，通过LOPA对系统进行保护层分析，通过分析结果对配置的SIF回路指定其所需的SIL等级，为设计提供是否需要设置安全仪表系统的建议措施。

4. 氨制冷系统安全完整性分析

4.1. 影响氨制冷系统安全性的因素

影响氨制冷系统安全性的因素，从安全风险管理的四要素来看包括人、机、环、管四个方面。

操作的不安全性主要指现场指挥的不安全性，失职，决策失误，人员身体状况不佳。

没有按规定配备必需的设备，设备选型，设备安装不符合要求，设备维护保养不到位，设备保护不安全，有效防护设施不齐全、完好，警示标识不齐全。

环境包括自然地址和工作环境两方面，危险、有害因素主要有不良地质、雷击、地震、风沙、低温、高温等。

管理包括组织机构不合理、不健全，机构职责不明，规章制度不齐全，文件记录不符合要求，作业规程，操作规程，安全技术规程不符合规定，未制定应急救援预案，岗位职责不明，员工安全教育培训不符合规定等。

以上无论哪个方面出现问题均可能会影响氨制冷系统的整体安全性。

4.2. 安全完整性SIL介绍

SIL即Safety Integrity Level的缩写，意思为安全完整性等级，是由每小时发生的危险失效概率来区分。国际IEC标准中共规定了四个SIL等级，SIL 4表示最高的完整性程度，SIL 1表示最低。

SIL等级定义见表1：

Table 1. SIL grade definition table

表1. SIL等级定义表

注：该表摘自IEC 61511-1，表3。

4.3. SIL定级程序

SIL定级依据以下程序执行：

先确定系统是否适用于LOPA分析方法，在进行LOPA分析前，确定以下分析标准：a) 后果度量形式及后果分级方法；b) 后果频率的计算方法；c) IE频率的确定方法；d) IPL要求时的失效概率(PFD)的确定方法；e) 风险度量形式和风险可接受标准；f) 分析结果与建议的审查及后续跟踪。

再根据LOPA基本流程对系统进行保护层分析，通过分析结果对配置的SIF回路指定其所需的SIL等级。

4.4. LOPA方法流程

1) 场景识别与筛选。LOPA通常评估先前危害分析研究中识别的场景。分析人员可采用定性或定量的方法对这些场景后果的严重性进行评估，并根据后果严重性评估结果对场景进行筛选；

2) 初始事件确认。首先，选择一个事故场景，一次LOPA分析只能选择一个场景；然后确定场景(IE)。场景包括外部事件、设备故障和人员行为失效；

3) IPL(独立保护层)评估。是LOPA的核心内容，评估已采取的防护措施是否满足IPL的要求；

4) 场景频率计算。将后果、场景频率和IPL的要求时失效概率(PFD)等相关数据进行计算，确定场景风险；

5) 评估风险，做出决策。根据风险评估结果，确定是否采取相应措施降低风险。然后，重复步骤2~5直到所有的场景分析完毕；

6) 后续跟踪和审查。LOPA分析完成后，对提出降低风险措施的落实情况应进行跟踪。应对LOPA的程序和分析结果进行审查 [2]。

4.5. 基于LOPA确定SIL等级

根据LOPA分析技术，风险的定量计算可以如式(1)所示。

$f_i=f_i^l\left({\displaystyle \underset{i=1}{\overset{J}{\prod }}PF{D}_i}\right)$ (1)

式中， $f_i$ 是事故后果发生的概率， $f_i^l$ 是初始事件频率， $PF{D}_i$ 是保护层要求时失效概率。

$PF{D}_i$ 削减后的引起人员致死的概率计算公式如式(2)所示。

$f_i=f_i^l\left({\displaystyle \underset{i=1}{\overset{J}{\prod }}PF{D}_i}\right)\times P^{ig}\times P^{ex}\times P^s$ (2)

$P^{ig}$ 是点火概率， $P^{ex}$ 是人员受影响的概率， $P^s$ 是人员致死概率。根据计算剩余风险结果与可接受风险值做比较，判断风险是否处于可接受的范围，从而判断事故场景所需要的最低安全完整性SIL等级 [2]。

4.6. 案例分析

通过分析在氨制冷系统中由于冷凝器冷凝风扇故障,引起压缩机出口憋压，压缩机房有毒气体监测高高报警(四取一)，压缩机房内氨气集聚，可能导致人员中毒。氨气积聚，达到爆炸极限，与空气形成爆炸性混合物，有发生爆炸事故的可能。

独立保护层(IPL)为报警及操作人员响应的描述为：1) 压力设有高报警，并联锁依次启动其他冷凝器；2) 设有压缩机出口压力高报警，并高高联锁停压缩机；3) 设有冷凝器冷凝风扇运行指示报警；4) 压缩机房内设有12个氨气检测报警仪，任何一个高报警时联锁启动事故风机。其PFD值为1 × 10⁻²，通过LOPA方法做安全完整性评估，后果分类为财产时，目标SIL无要求；后果分类为人员时目标SIL等级为SIL1；后果分类为环境时目标SIL等级为SILA。

场景一：以“人员”为后果分类，压缩机房有毒气体监测报警装置4个点中的1个高高报警。初始事件IE一般包括外部事件、设备故障和人员失误，具体分类见表2：

Table 2. Initial event classification table

表2. 初始事件分类表

经确认初始事件为水泵(P11-14)其中某一个故障，引起压缩机出口憋压，其等级为L7，频率为1.0E−01。通过结合国际/国内同类公司采用的可容忍风险等级，推荐了不同后果的风险可容忍水平，最终经过业主确认了适合本公司的可容忍风险等级。通过对独立保护层(IPL)分析评估，所需要求时失效概率(PFD)在报警及操作人员响应方面为1.0E−02，在其他减缓措施，限制人员进入等方面为1.0E−01。将后果、IE频率和IPL的PFD等相关数据进行计算，减缓后的频率为1.0E−04，可容许后果的频率1.0E−06，得出风险降低目标(SIF)值为1.0E−02，目标SIL值为SIL1，需要采取措施降低风险。

场景二，以“环境”为后果分类，压缩机房有毒气体监测报警装置4个点中的1个高高报警。经确认初始事件为水泵(P11-14)其中某一个故障，引起压缩机出口憋压，其等级为L7，频率为1.0E-01。通过对独立保护层(IPL)分析评估，所需要求时失效概率(PFD)在报警及操作人员响应方面为1.0E−02，在其他减缓措施，限制人员进入等方面为1.0E−01。将后果、IE频率和IPL的PFD等相关数据进行计算，减缓后的频率为1.0E−04，可容许后果的频率1.0E−05，得出风险降低目标(SIF)值为1.0E−01，目标SIL值为SILA，这个回路SIF可以保留，但可以通过DCS实现。

其他场景重复分析完毕，得出压缩机房氨泄漏二级报警SIL等级为SIL1。

SIL等级选择计算情况见表3。

Table 3. SIL grade selection calculation table

表3. SIL等级选择计算表

4.7. LOPA分析总结

本次对国家雪车雪橇中心氨制冷系统项目SIS评估的3个SIF回路通过保护层分析(LOPA)进行了SIL等级分析。

SIF测量仪表位号为压缩机房氨泄漏二级报警(氨气爆炸下限的10%) (四取一)，SIF功能名称为联锁系统全部断电(气液分离器B1/B2进出口共14个阀门全部关闭)的SIL等级要求为SIL1，这个SIF必须通过SIS实现 [3] [4]。

5. 结论

本文通过对安全完整性等级SIL评估流程做了一定的阐述。在确定SIL的评估方法中，LOPA分析法作为一种定量分析方法，其结果更加准确。

本文以国家雪车雪橇中心氨制冷系统项目为例，对LOPA分析确定SIL的过程做了详细的阐述，对氨制冷系统装置工艺过程起到了很好的保障作用。