基于‘安全完整性等级’的FPSO安全防护设备管理浅析

许 涛 谭静轩 许海东 李艳莉

（中海油能源发展采油服务公司边际油田作业服务公司，天津塘沽，邮编：300452）

1.0 前言

安全完整性等级 （SIL-Safety Integrity Level）评估方法是按照绝对风险准则进行风险分析的一种安全工具。要求在对每一个安全系统进行风险分析的基础上进行SIL评估，确定与安全系统相关的电气/电子/可编程电子（E/E/PE）系统的安全功能的安全完整性要求。SIL是离散的，可分级表示，SIL 4表示最高安全系统完整性水平，而SIL 1表示最低。针对于装置中的单元、系统、设备的每一安全系统都是以这个准则为基础来进行可靠性等级划分的，进而确定相应的采购、维护和运行、监控计划[1]等。

浮式生产储卸油装置 （FPSO-Floating Production Storage and Offloading）以其海域/油矿适应性强、储存能力大、全海式操作可转移重复使用、建造/改装周期短以及投资回报快等优势,在世界海上油气田开发中得到广泛应用，成为海上油气田生产的主流设施。但FPSO又存在因为设计、建造、安装调试和运行过程中的复杂性、不确定性和可变动性而造成失误，进而会引起运行中安全、环保和经济效益方面的潜在隐患；因此，FPSO上的安全防护设备显得至关重要。SIL对确保企业安全可靠地运营，并使经济回报最大化，乃至社会利益最大化等起着非常重要的作用。国外尤其北海油田的经验表明，应用安全完整性等级技术可以较好地实现这一目标。

2.0 ‘安全完整性等级’的技术方法

对海上石油设施的维修，中海油经历了事故性维修、定期维修、预防性维修等阶段，各个阶段虽然都有各自的特点，但都存在过度维修或维修不足的现象。通过安全完整性等级的研究，可以更好的分配资源，使中高风险的设施得到更加有效的维护，这样可以适当避免过度维修和维修不足的现象，达到节省资源、降低风险和增加经济效益的目的。

图1：成本和运行曲线（Cost and Run-length Curve）

通过图1所示的成本和运行曲线可以明显的看到，通过优化直接花费也就是事故预防费用和事故维修花费，可以寻求到最佳的总费用，这就是安全完整性等级所要实现的目标[2]。

海上装置中使用了许多复杂的工艺安全控制系统，这些系统对于工厂的安全及可靠生产是不可或缺的。安全系统所起的作用包括：工艺关断、火灾监测、气体监测、工艺保护及安全排放等。这些安全系统的功能在设计工艺中通常会与E/E/PES（电气/电子/可编程电子系统的简称）技术以及其他可降低外部风险的设备结合起来。

在复杂的安全系统中使用软件变得越来愈普遍。计算机和软件辅助系统也广泛使用在“关键安全系统”中，即那些一旦发生误动作即会导致人员伤亡、环境破坏等重大事故的系统。

对关键安全系统进行管理的技术和方法可按照IEC 61508及IEC 61511所提出的针对于关键安全系统的寿命周期模型来组织实施。这一寿命周期模型包括了产品由最初的概念到退役的全部过程，即：设计（确定安全系统的功能要求、SIL等），维护计划（制定计划）以及运转和监控（计划更新）。

2.1 SIL分析方法

SIL分析方法使用一些技术方法并借助于软件工具来管理安全关键性系统。这些技术和方法可以按照安全关键性设备的生命周期来进行分类。安全关键性系统的寿命周期可以分为三大类：即设计、维护计划以及操作和监控。

2.1.1 S I L等级划分

SIL评估方法是基于风险分析，根据确定的风险标准，确定其等级。每个装置系统/设备都根据等级大小设定可靠性目标。

SIL等级定义如下：

>SIL 1:10-2

>SIL 2:10-3

>SIL 3:10-4

>SIL 4:10-5

SIL评估方法应满足行业标准IEC 61508，IEC 61511和 EN 50126。

PFD：Probability of Failure on Demand （要求失效概率）。

2.1.2 验证不同的安全环路配置

评估不同安全回路的要求失效概率，验证安全仪表功能的硬件设置满足SIL等级要求。

2.1.3 维护测试计划

大多数安全系统的失效模式都是潜在的失效，相关船级社均有相应的方法可以用来评估安全系统要求的或规定的失效概率，并根据所考虑的失效模式确定维护和测试计划，以满足相应的安全和可用性要求。

2.2 SIL分析的目的

通过SIL分析主要达到以下目的：

>评估装置中的安全仪表功能是否满足相应的‘安全完整性等级’，确保安全保护功能可以完成，缓和不可避免的灾害的风险；

>按其现有配置未能达到所需的 ‘安全完整性等级’的高风险的安全仪表功能，相关船级社给出改进建议；

>按照安全的需求确保安全仪表系统的充分维护。

2.3 SIL分析过程

SIL的分析过程（见图2）：

（1）数据收集与整理：即收集所分析对象的基础资料，包括设备清单、工艺流程图、装置工艺说明、装置操作手册、装置工艺数据包、管线规格书、管线清单、防火控制图、因果图等并对其进行分析评估。

（2）筛选分析：筛选的目的是识别出那些判定对FPSO风险等级评估具有重大影响的系统以及筛选出低风险系统。低风险系统只需要相应的维护就可以，而对筛选出的高风险系统则需进行详细的评估。它确保了数据的采集以及分析工作能够针对最有影响的部分。筛选是以筛选会议的形式进行，筛选分析定性地考虑了每个系统的失效可能性和失效后果。失效可能性评估了内部腐蚀、外部腐蚀、疲劳及其它等四种失效机理发生的可能性高低。失效后果评估了失效对造成人员安全、经济（生产中断、延误和资产损失）和环境的影响，从而确定每个系统失效后果的高低。

图2：SIL评估步骤（The Assessment Process of SIL）

图3：SIL的校核以及测试计划的确定步骤（The Process of SIL’s Check and Test Plan）

（3）详细评估：详细评估是对那些在筛选分析中被确定为高风险系统中的每个设备部件及管线进行详细分析。根据操作条件和设备部件及管线参数来确定可能发生的失效退化机理，对每一种退化机理定量计算出失效的可能性。失效后果可借助相关船级社开发的风险分析软件上简化的定量风险分析模块进行计算，对每种退化机理计算出其安全和经济的风险。在对每个设备部件/管线进行风险计算的基础上，确定出其检验的时间，该检验时间是风险超过规定可接受准则的时间函数。对一些设备部件/管线可能已经达到了不可接受的高风险或在短期内将达到不可接受的高风险，则需要进行返修、更换或降级使用[3]。对其他设备部件/管线，则采用RBI（Risk Based Inspection-基于风险的检验）检验计划和RCM （Reliability Centered Maintenance-以可靠性为中心的维护）并采取相应措施，以降低风险。依据详细评估的结果，可以确定所需评估的高中风险的系统及受保护设备，进而确定基于系统以及受保护设备的安全仪表功能，评估每个安全仪表功能的安全完整性等级，最终确定出每个安全仪表功能的可靠性。

（4）检验计划：即通过详细评估和计算，利用风险分析软件对所分析的高中风险分析对象得出检验计划清单。

（5）SIL 的校核：在对每一个 SIF （Safety Instrumented Function-安全仪表功能）确定了SIL等级要求后，对安全仪表系统的现有配置进行定量计算，以验证安全仪表系统的现有配置是否能达所需SIL等级要求，对满足要求的，进一步确定相应的测试计划，对不满足要求的，则提出改进建议，并使用改进建议来优化检验计划。图3给出了SIL的校核以及测试计划的确定的步骤。

（6）与企业管理系统连接：即将风险分析所得出的检验计划与公司目前现有的MAXIMO/ERP系统有机结合起来，以实现对现有系统的优化。

（7）结论与建议：即通过分析给出FPSO上部工艺模块的主要腐蚀机理，对高风险的管线和设备应及时进行检验，根据检验结果确定风险降低措施[4]。对于低风险的设备和管线无需检验，但要注意其使用条件有没有发生变化。船体，转塔和上部模块的结构，通过RBI和RCM分析结果，规划出整个船体、上部模块以及锚泊系统未来几年的初步检验框架程序，并制定详细的检验项，绘制典型的结构结点的检验图。

3.0 实施基于风险的检验的必要性

‘安全完整性等级（SIL）’主要针对控制回路及安全保护设备和连锁系统，其主要考核控制、安全保护措施及系统是否完整周密，即是否是本质安全的。一般应用于工艺控制及安全保护联锁系统。

对于新建的海上装置，在设计阶段进行SIL评估可确定是否需要安全保护系统，并确定其SIL等级，确保安全连锁装置保护功能按需正常设置和动作。

在采购阶段可根据设计阶段确定的SIL等级，对供应商提出相应的要求，进行审核以确保部件按照已确定的SIL等级进行制造，投入运行能够正常发挥作用。

对于运行中的海上装置可根据SIL等级制定维护维修管理计划，确保安全连锁装置保护功能的正常动作，提出针对安全连锁装置的改善措施及维修策略，从而提高装置操作运行的可靠性。装置进行改造后也应重新进行SIL评估以确保安全要求。

4.0 结束语

‘安全完整性等级’在国际上已有比较成熟地经验， 如 BP、Shell、Statoil、Conocophillips 等国际知名的石油公司，都采用了‘安全完整性等级’技术，并有内部的实施规程或要求。如Conocophillips，其在印尼Belanak的FPSO、平台、OOB以及船体，从建造开始采用SIL制定运行期间的检验维修策略，在运行阶段实施，达到安全和成本管理的目标。又如Lincolnshire海洋气体集输系统是从19世纪70年代开始运行的联合体，位于英国南部的北海，通过实施安全完整性等级评估，每年给企业带来的额外收益都相当可观。

为降低FPSO舰队的事故发生频率、减少事故的严重程度和事故造成的经济损失，降低操作费用和维护成本，提高FPSO的管理水平。公司可以通过与相关船级社和风险分析评价机构合作，开展安全完整性等级的技术方法的科学研究，借助各种成熟的工具和分析软件，辨识FPSO的风险隐患、制定检验和维护计划；并与公司目前现有的MAXIMO/ERP系统有机结合起来，从而形成适合自己公司特点的设备管理方法，建立安全完整性等级的FPSO安全防护设备管理系统和解决方案，并应用到FPSO上。

备注：

>PFD：Probability of Failure on Demand （要求失效概率）

>RBI：Risk Based Inspection（基于风险的检验）

>SIL：Safety Integrity Level（安全完整性等级）

>SIF：Safety Instrumented Function （安全仪表功能）

>EUC：Equipment Under Control（受控设备）

>RCM：Reliability Centered Maintenance （以可靠性为中心的维护）

【1】张仁荣.基于风险的检验 [J],化学工程,2002,49（4）:34～38

【2】R.R.Chang.With Maintenance Management System to Improve Efficiency [J],Monthly Journal of CTCI,2003,290:14～23

【3】张藜,柳曾典.局部减薄受压弯头倒塌载荷和安全评估[J],压力容器技术杂志,2000,17（4）:44～48

【4】张藜,柳曾典.有限元分析在局部减薄受压弯头倒塌载荷分析中的应用[J],压力容器技术杂志,2000,17（3）:29～33