基于HAZOP 技术和风险图法的可燃气体爆炸下限监测与控制回路SIS 设计

胡志军 王志良

（江苏齐清环境科技有限公司）

根据HJ 858.1—2017 《排污许可证申请与核发技术规范制药工业——原料药制造》、《制药工业挥发性有机物治理实用手册》，相比于吸收、吸附、生物净化、低温等离子体及光催化氧化等末端治理技术，蓄热式氧化炉（Regenerative Thermal Oxidizer，RTO）因具有热回收效率和净化效率高、抗污染物浓度波动强、处理风量范围广、安全可靠性高及运行成本低等优势，已被推荐为治理制药工业工艺有机废气的最佳可行技术［1～3］。

以间歇式生产工艺和生产操作为主的原料药制造企业VOCs污染物组分复杂、污染物浓度波动范围大，特别是非正常工况下的VOCs浓度往往介于混合气体爆炸极限范围内， 接入明火设备（RTO） 进行高温净化处理过程时存在爆炸的安全风险，同时结合HJ1093—2020《蓄热燃烧法工业有机废气治理工程技术规范》的要求：

a. 进入蓄热燃烧装置的有机物浓度应低于其爆炸极限下限的25%；

b. 对于含有混合有机物的废气，其控制浓度应低于最易爆组分或混合气体爆炸极限下限最低值的25%。

为此，需要在RTO入口适宜位置设置可燃气体爆炸下限监测与控制回路 （Lower Explosive Limited，LEL）。根据《蓄热式焚烧炉（RTO炉）系统安全技术要求》（苏应急〔2021〕46号）技术要求：关键设备安全仪表系统（Safety Instrumented System，SIS） 的设计应符合危险与可操作性分析（Hazard and Operability Study，HAZOP）、 保护层（Layer of Protection Analysis，LOPA）分析、安全完整性等级（Safety Integrity Level，SIL）评估要求，但目前关于LEL回路SIS的设计未见相关报道，导致工程应用无法落地实施。

笔者结合原料药制造企业RTO处理VOCs废气的工程设计案例，基于HAZOP分析技术和风险图法首次提出LEL回路的SIS设计五大步骤： 风险识别→风险评估→SIL等级选择→SIS设计→SIL等级验证，为企业其他关键仪表SIS设计提供借鉴与参考。

1 风险识别

1.1 工艺流程

正常工况下， 企业VOCs废气排放特征如下：废气设计流量20 000 Nm3/h、废气温度30 ℃、废气相对湿度50%、VOCs组分为甲醇和丙酮 （甲醇排放浓度1 389 mg/m3、 丙酮排放浓度1 736 mg/m3）、其余为空气，废气混合爆炸下限3.38%，废气浓度占其混合爆炸下限的4.86%。

三床式RTO处理该原料药制造企业VOCs废气的工艺流程如图1所示。 车间产生的含VOCs废气经LEL系统监测后，由前送风机送至一级水吸收塔，除去无机废气和少量水溶性有机废气，同时进行除尘和降温处理，以减轻RTO处理负荷；接着经除雾器除去水洗塔带入的水分，避免安全事故；然后废气经主风机送至RTO进行高温焚烧处理；焚烧后的废气通过混合箱、水冷却塔、一级填料水洗涤塔，经降温和除去焚烧产生的酸性气体，最后由排气筒达标排放。 LEL回路系统包括传感器（LEL检测器）、逻辑解算器（PLC）和执行元件（电磁阀+气动执行机构+阀体），当VOCs废气浓度高于设定高报警限值时，系统打开旁通阀，关闭切断阀，废气通过旁通管路直接排入排气筒， 从而避免高浓度VOCs废气进入RTO系统引起爆炸。

图1 三床式RTO处理VOCs工艺流程

1.2 风险识别

采用HAZOP方法对RTO系统的工艺流程图（P&ID）进行分析，识别出本案例RTO处理系统的安全风险在于，浓度介于混合气体爆炸极限范围内的VOCs废气进入RTO设备内进行高温净化处理过程时可能发生爆炸，简化后的HAZOP分析节点记录如图2所示， 其中S、E、P分别表示安全后果、环境后果和财产后果。

图2 HAZOP分析节点记录

HJ1093—2020《蓄热燃烧法工业有机废气治理工程技术规范》、《蓄热式焚烧炉（RTO炉）系统安全技术要求》（苏应急〔2021〕46号）等技术规范明确要求： 当VOCs废气浓度波动范围较大时，应对废气进行实时监测，并采取稀释、缓冲等措施，确保进入RTO装置的废气浓度低于其爆炸极限下限的25%。

结合HAZOP 分析结论和技术规范要求，VOCs废气浓度偏高是导致RTO发生安全事故的首要因素。 为此，需要针对LEL回路设计SIS，以确保进入RTO装置的VOCs废气浓度低于其爆炸极限下限的25%。

2 风险评估及SIL定级

2.1 风险图原理

风险图法是基于功能的风险水平确定SIL等级的一种半定量方法［4～6］，即通过分析某项功能的C、F、P、W指标确定该功能的SIL等级。其中C、F、P、W为风险图分析的4个维度，分别为危险事件后果参数、风险暴露时间和频率参数、避开危险事件的概率及不期望危险事件的发生概率。 如图3所示，用上述4个风险参数组合成一个风险图，反映当安全功能故障或未设置安全功能时可能出现的危险状态， 其中CA＜CB＜CC＜CD；FA＜FB；PA＜PB；W1＜W2＜W3。 采用风险参数C、F、P导出了许多输出X1，X2，X3，…，Xn，这些输出每一个映射到3个标尺中的一个（W1、W2、W3）上，这些标尺上的每一个点（---、a、b、1、2、3、4）指示出通过安全相关系统应该满足的安全完整性等级（即1、2、3或4），并作为这一系统要求风险降低的量值。

参考GB/T 20438.5—2017《电气/电子/可编程电子安全相关系统的功能安全 第5部分： 确定安全完整性等级的方法示例》附录E［7］，图3中的参数分类和含义见表1。

图3 GB/T 20438.5—2017推荐的风险总框图

表1 风险图的参数分类和含义说明

风险参数设定如下：

a. 危险事件后果参数C的确定。 伤亡人数取决于危险事件发生时在危险区域内的人数，危险事件的致命程度以及易燃易爆气体的点火概率等［8］。根据HAZOP分析报告，RTO装置发生爆炸的影响半径为50 m，在危险区域内正常有4人巡检；爆炸事件的致命性系数为50%；RTO内一直存在明火，即易燃易爆气体的点火概率为100%。 伤亡人数约为4×50%×100%=2人，即后果参数等级为C3。

b. 风险暴露时间和频率参数F的确定。 处于危险区域的时间少于总工作时间的10%， 可认为是极少到经常暴露在危险区域， 超过10%认为是频繁到持续暴露在危险区域。 根据巡检人员的日常工作时间， 将有超过10%的工作时间暴露在危险区域中，即风险暴露时间和频率参数等级为F2。

c. 避开危险事件的概率P的确定。 根据HAZOP分析报告，目前LEL回路未设置SIS，在发生危险事件之前， 现场巡检人员无法及时得到警报，也没有足够长的时间采取行动，即避开危险事件的概率等级为P2。

d.不期望危险事件的发生概率W的确定。根据文献［9］中的数据，仪表或调节阀失效的频率为0.1次/年，即不期望危险事件的发生概率等级为W2。

2.2 SIL等级选择

如图4所示，4个风险参数的取值为C3、F2、P2、W2，导出LEL回路的安全完整性等级应不低于SIL3。

图4 LEL回路安全完整性等级

3 SIS设计

参考GB/T 20438.7—2017 《电气/电子/可编程电子安全相关系统的功能安全 第7部分：技术和措施概述》［10］， 本案例LEL回路的SIS应由3个关键元件或子系统组成：传感器（LEL检测器）、逻辑解算器（SIS）和执行元件（电磁阀+气动执行机构+阀体）。 由于该SIS的安全完整性等级为SIL3， 即要求3个子系统的安全完整性等级均不低于SIL3，本方案LEL回路关键设备与仪表选型规格见表2。

表2 LEL回路关键设备与仪表选型规格

（续表2）

4 SIL等级验证

SIL等级验证是在HAZOP分析、 风险图分析和SIL等级选择的基础上，以国际标准化，通过可靠性建模对LEL回路开展SIL等级验证。

本案例采用经国际认证的exSILentia软件SIL验证（SILver）模块作为验证工具，该软件是一款基于多阶段马尔可夫模型的分析计算工具［11］，将LEL回路分成传感器部分、逻辑控制器部分和最终执行部分，依据SIL证书提供的参数（表3）自动计算出需求失效概率PFD数据（表4），同时生成3个组块的PFD贡献分布饼图（图5），可以清晰地了解整个SIS哪个部分是最不可靠的［12］。由表4可知，SIS的SIL等级满足SIL3要求。 从图5可以看出，SIS中传感器部分是最不可靠的，为此建议企业在使用维护过程中重点关注，或者有针对性地进行优化。

图5 PFD贡献分布饼图

表3 LEL回路3个组块相关计算参数

表4 LEL回路的SIL等级验证

5 结束语

以RTO工艺处理原料药制造企业VOCs废气为例，基于HAZOP技术和风险图法，依据相关标准与规定，借助多阶段马尔可夫模型，首次建立了RTO系统关键仪表SIS设计与验证的分析研究方法与关键步骤，包括：

a. 风险识别。 基于HAZOP分析， 识别出了RTO系统主要安全风险在于过高浓度VOCs废气进入RTO装置而引发爆炸， 设计SIS可确保进入RTO装置的VOCs废气浓度低于其爆炸极限下限的25%。

b. 风险评估与SIL定级。 基于风险图法进行了风险评估并确定了SIL等级为SIL3。

c.SIS设计。 依据标准和规范文件进行SIS设计，SIS包括传感器（并联两套FTA式PrevEx670传感器，SIL2）、逻辑解算器（包括模拟输入SIL3、CPU SIL3、数字输出SIL3）和最终执行元件（并联两套电磁阀SIL2、气动执行机构SIL3、三偏心蝶阀SIL3）。

d.SIL等级验证。 借助多阶段马尔可夫模型的exSILentia 软件对其SIL等级进行验证，SIS的PFDavg为1.32E-04，满足SIL3等级要求，SIS中传感器部分是最不可靠的。

笔者建立的SIS设计与验证的研究方法及关键步骤，可为企业其他关键设备仪表的SIS设计提供重要参考。