本文分析讨论了炼油系统加氢装置高压串低压存在的风险，并提出针对性的解决方案--串压是石化系统典型的安全问题。串压的发生可能造成重大的设备损毁和人员伤亡，串压场景存在于加氢、高压聚乙烯等装置，是具有重大失效可能的工艺单元。本文针对加氢装置高压串低压的特点，依据中国石化炼化板块串压风险等级矩阵分析讨论了高压串低压存在火灾、爆炸、人员中毒或伤害的风险，辨识高压串低压的部位，提出针对性的解决方案，以便明确高压串低压风险部位安全管理，避免重大安全事故的发生。
本文刊登于PROCESS《流程工业》2021年第13期
《加氢装置串压风险分析及解决方案》
文/李政
本文系仪表圈主办的第三届“定华杯-生产过程安全技术应用”征文活动入围作品
加氢装置在提高原油加工深度，合理利用石油资源，改善产品品质，提高轻质油收率以减少大气污染等方面都具有重要意义。加氢装置操作处于高温、高压、临氢环境中，需要从各个环节加强安全监控，保证装置长周期安稳运行。
加氢工艺是指油品在高温高压氢气环境下在加氢反应器内与催化剂作用，发生脱硫、脱氮、烯烃饱和以及裂化反应，使产品达到性能要求的工艺技术总称。加氢装置中，通过逐级降压的方式从油品中回收溶解氢气，这种特殊的工艺流程存在较多的高压介质降压至低压的部位，因此存在较多的高压串低压的风险部位，成为典型风险分析对象。
通过高压加氢装置HAOP/LOPA/SIL分析结果，围绕着装置风险重要部位设计安装SIS系统。另外，随着装置连续运转的周期 逐步加长，从 2~3 年一次延长到 4~5 年一次。带来的问题就是SIS（安全仪表系统）中的气动执行机 构，例如紧急切断阀，受高温、 腐蚀以及振动等环境影响，无法 响应来自SIS系统的安全保护动 作指令，产生安全保护“拒动作” 现象。这种情况会导致SIS系统失效，给安全生产带来危害，其 后果可能是灾难性的。
高压串低压风险分析
高压串低压的风险
加氢装置操作处于高温、高压、临氢环境中，大多为放热反应，存在的风险主要包括：火灾爆炸风险、有毒气体泄漏风险和氢气串入氮气风险等。
1.火灾爆炸风险
（1）可燃气体——氢气泄漏
装置运行过程中，当高压氢气串至低压系统时，由于设备、管线的压力差距较大（通常高压部位在16MPa等级以上，低压部分在2~5MPa），静密封点、压力容器在超压情况下易出现氢气泄漏，含氢气体泄漏后，在一定范围内聚集，遇明火点燃源导致闪爆、火灾等重大事故发生。
（2）设备物理爆炸
当低压设备内部介质压力超过设备更高承受强度时，设备本体发生损毁，内部高压气体释放能量，发生爆炸事故。
（3）可燃液体泄漏着火
高压串低压情况下，低压设备侧密封点或者设备本体的泄漏会导致大量油品溢出，油品温度高且闪点较低情况下，容易发生着火。
2.有毒气体泄漏风险
加氢工艺反应生成大量的硫化氢，未脱硫循环氢中硫化氢含量可高达1%,一旦因串压而发生泄漏，富含硫化氢的气体四处逸散，对现场事故应急处置人员和逃生人员以及处于下风向装置的操作人员将是致命的威胁。
3.氢气串入氮气风险
运行期间，高压系统中氮气置换点均采用高压盲板进行隔离。停工、开工阶段，操作人员未对系统有效隔离或者撤压后向氢气系统引入氮气，极容易发生高压氢气串入氮气系统。
高压串低压易发生部位
1.高压减压部位
（1）高压分离器底部
高压分离器采用高压减压阀将高压油品或者水减压至中压或者低压后送至下游的中压或者低压分离器中。
（2）循环氢脱硫塔底部
高压贫胺液脱出循环氢中硫化氢后，由塔底减压阀将富胺液送至下游低压闪蒸罐。
这些部位通常的高压压力为装置的设计操作压力。下游系统通常维持在2～3MPa，从而形成明显的串压点。通常情况下，在装置设计阶段考虑装置的串压风险，下游系统（低压容器）上的安全阀应能够满足串压工况的泄放要求。
2.中压减压部位
（1）低压分离器底部
低压分离器采用节流控制手段将中压压力降低，然后送至低压分馏系统。
（2）富胺液闪蒸罐底部
富胺液闪蒸罐设置为中压压力，其作用是进一步回收溶解在富胺液中的氢气。此部位中压压力为2～3MPa，下游装置的控压能力一般在0.1MPa以下。
高压容器液位（界位）空罐导致高压气相串入低压系统，造成低压系统超压泄漏，引发火灾爆炸，人员中毒。可能原因为液位仪表出现假液位，液位调节阀不断打开，造成液位持续下降，当高压容器液位低于10%时，高压气相极易串入低压系统。另外开停工期间，物料不平衡，高亚容器液位波动较大，调节阀打开幅度随之增大，也极易出现高压气相极易串入低压系统的现象。
3.高压机泵出口部位
加氢工艺设置高压反应进料泵、高压贫胺液泵、高压注水泵的入口部位是低压（通常为1MPa），机泵出口则是高压系统，为高压串低压易发生部位。
4.检修停工期间
检修停工期间设备用氮气置换，由于设备内残存高压氢气，在泄压不完全的情况下，通入氮气，极易造成高压氢气串入氮气；另外检修期间，盲板管理混乱，导致氢气、氮气隔离盲板操作失误，可能造成高压氢气串入氮气。
5.高压系统气密
装置高压系统开工前必须进行高压气密，高低压系统间未有效隔离，容易造成高压串入低压。
高压串低压HAZOP分析应用举例
下面以具体HAZOP分析实例进行高压串低压风险分析说明。分析记录表，如图1所示。
分析结果：目前装置冷低压分离器界位LIC-3108及水包界位LIC-3110为单点控制，一旦出现故障，会造成界位降低，水相带油对下游三废装置污水汽提单元造成影响，严重时空罐，富含高浓度硫化氢的低分气（操作压力2.4MPa）沿含硫污水出装置线窜至三废装置酸性水闪蒸罐（操作压力0.03MPa），造成设备超压损坏，密封点泄漏，引发火灾爆炸，人员中毒伤亡。建议措施：装置实现分离器，增加另一个液位远传，并实现液位低低二取二联锁切断外送污水设计（增加联锁切断阀）。措施落实后，风险可由D4降至D2，风险可控。D3106界位控制流程图，如图2所示。
图2D3106界位控制流程图
高压串低压问题的解决方案
针对加氢装置高压串低压风险存在火灾、爆炸、人员中毒或死亡安全事故灾难性的损失，我们该如何降低风险频率和事故的严重后果呢？HAZOP分析提出的建议措施很好地将风险能降低到企业可接受水平。上述案例即通过增加另一个液位远传实现液位低低二取二联锁切断外送污水来完成，那么又是如何实现的呢？因此需要在 SIS中实现安全仪表功能，采取如下的风险降低策略如图3所示。
安全仪表系统（SIS）
根据GB/T32857—2016《保护层分析(LOPA)应用指南》有关要求，安全仪表系统应符合独立性原则。独立的安全仪表系统，如图4所示。
安全仪表系统（Safety Instrumented System-SIS）包括传感器（Sensor）、逻辑运算器（Logic solver）和最终执行元件（Final element）。
高压串低压案例中提出的建议措施：增加一个液位远传，并实现液位低低二取二联锁切断外送污水设计（增加联锁切断阀），就是考虑到系统的可用性。
SIS系统可靠性和安全性的评价标准就是要求时危险失效概率PFD。其SIL等级应该通过计算PFDavg来确定。
SIL验证 及程序
SIL验证的目的是通过可靠性建模来证实在役或初步设计完成的安全仪表系统（SIS）的每个回路安全完整性等级（SIL）是否满足在设计中提出的目标，若未满足则提出相应的意见与建议，并加以改进，以此保证生产装置和设备的安全运行。建模 目前主要有可靠性框图、故障树和马尔科夫等几种 ，在此不做详述。SIL验证具体 及程序，如图5所示。
SIL验证是评估每一个SIF回路的结构约束与要求时失效概率（PFDavg）是否满足目标SIL的等级要求，是否满足相关规范要求。根据SIF回路的结构组成，对每一个SIF回路的PFDavg、RRF和结构约束进行评估，同时，对MTTFS进行计算，以评估SIF是否能够达到目标SIL等级要求。
1.PFDavg
对于低要求模式，安全仪表系统中每一个SIF的PFDavg计算是将该SIF分解为传感器、逻辑控制器、执行器等子系统，然后各子系统的PFDavg相加，根据表1判断其结果满足的相应SIL级别。对于故障安全（失电关停）的安全仪表功能，其PFDavg可以表示为：PFDAVG=∑PFDSE+∑PFDLS+∑PFDFE
式中PFDAVG——E/E/PE安全相关系统的安全功能在要求时的危险失效平均概率；
PFDSE——传感器子系统要求时的危险失效平均概率；
PFDLS——逻辑子系统要求时的危险失效平均概率；
PFDFE——最终元件子系统要求时的危险失效平均概率。
对于每一个子系统， 其 PFDAVG为：
PFDAVG=f(λD,MooN,TI,MTTR,β，PTC)
式中：λD——元件的危险失效率，该值与元件类型、服役条件、诊断覆盖率以及现场管理水平等因素密切相关；
MooN——各部分的表决方式；
TI——检测测试周期；
MTTR——平均恢复时间；
β——共因因子；
PTC——检测测试覆盖率。
2.共因失效因子（β）
SIF回路共因失效分为两种场景：硬件随机失效、系统随机失效。SIS应用中，利用多样性 可有效降低共因失效率，如现场检测同一液位信号，一路采用差压变送器，另一路采用液位开关，这属于多样性冗余。共因失效一般采用β因子 考虑，对于共因导致的危险失效率采用下式计算：
λCD=βλD
λCS=βλS
3.硬件结构约束
结构约束的安全完整性由仪表类型（逻辑控制器、传感器、最终执行元件、非逻辑控制器）安全失效分数（Safe Failure Fraction,SFF）和硬件故障裕度（Hardware Fault Tolerance,HFT）共同决定，其中安全失效分数计算公式：
SFF=（λSD+λSU+λDD）/（λSD+λSU+λDD+λDU）
根据现行标准GB/T20438-2017，不同安全失效分数的A类/B类子系统所对应的更低硬件故障裕度见表2和3。IEC61511-2016定义了更低硬件故障裕度要求，见表4。某液位联锁的结构约束见表5（见图6）。
4.敏感性分析
敏感性分析是针对不满足目标SIL要求的SIF回路进行的优化方案分析。可以调整优化其中部分参数，例如缩短检验测试间隔（TI）；完善测试 ，提高诊断覆盖率和检验测试覆盖率；增加最终执行机构（关断阀）的部分行程测试功能PST；对SIF回路重新进行冗余配置；或选择可靠性高的硬件，基于优化后的参数，再次验算是否满足SIL等级的要求，这些参数，将成为SIS系统未来运行中测试、校验、维护的依据。
验证结果举例
脱气槽204-F液位联锁PFDavg情况（见图7）见表6、表7。
SIS系统中执行结构“拒动作”解决方案
SIS中的气动执行机构，无法响应来自SIS系统的安全保护动作指令，同时，执行机构又无副线，产生安全保护“拒动作”现象，这种情况会导致SIS系统失效，给安全生产带来危害，其后果可能是灾难性的。
目前国内石油化工装置已按国家安全监管总局下发的《关于加强化工安全仪表系统管理的指导意见》（安监总管三【2014】116号），完成SIL定级和验算工作，但在验算过程中检验测试周期不满足实际运行周期。需要按照实际运转周期重新进行SIL验算，针对不符合的情况，可采用部分行程测试（PST-Paitial Stroke Testing） ，对阀门进行诊断，避免安全保护“拒动作”。
1.部分行程测试
所谓ESD阀的部分行程测试（PST-Paitial Stroke Testing）是作为一种紧急切断（ESD-Emergency Shutdown）阀的一种安全措施，在ESD阀系统中检测故障的 ，就是让ESD阀做周期性的部分行程动作。
例如：ESD阀从全开位置部分关闭10%～30%行程，按一定的时间间隔设定周期性的动作，以便更好地检查其阀杆移动情况，判断其功能的工作状态是否正常。PST是一种不影响ESD阀正常运行的可靠的检测 。IEC61511标准中要求对SIS整个系统，其中当然包括最终执行元件ESD阀，进行定期的检验测试，以便发现未检测到的故障，这些故障会妨碍SIS按安全要求规范动作。
2.SIL验算结合部分行程测试的应用实例
某化工装置，原设计检验测试周期为24个月，随着该企业管理水平的提高，工艺装置的检修周期计划延长至48个月，现在需验证此装置所配的SIS能否满足检验测试周期同步延长至48个月。下面通过其中一个设备的液位SIF回路LT-01-658（SIL1等级）来进行验证计算。
当设备液位高时联锁关闭蒸汽阀组（FCV-01-681和EV-01-656）和PCV-01-616，以避免设备内部高压导致事故发生，造成人员伤亡和设备损坏。工艺简图如图8所示。
通过SIF回路PFDavg结果，并结合硬件结构约束和系统完整性，可以得出液位SIF回路在检验测试周期延长至48个月，仍无法满足SIL1的安全等级要求。可通过增加部分行程测试功能，实现在线诊断。通过每年一次部分行程测试，TI变为12个月，符合实际要求。但要注意的是，部分行程测试只是可以将切断阀的功能部分恢复，不能够实现彻底解决，也不能替代阀门周期性大检修。
结语
高压加氢装置因其独特的工艺技术要求，存在高压氢气特殊反应环境，需要装置在正常生产运行、停工检修、开工阶段高度重视容易发生高压串低压的部位，加强操作管理、SIS管理，从而避免出现高压串低压而导致火灾、爆炸以及人员中毒事故的发生。
紧急切断阀在SIS正常运行时会固定在某一状态而不变化，由于这种原因产生“固着”现象而导致失效，所以必须进行测试以揭露那些未被发现的危险失效，防止紧急切断阀在危险条件出现时不能正确执行其切断功能（或打开功能）。
本文提到的部分行程测试 因工艺等各方面原因应用于不同场合，随着IEC61511及相关国家标准的贯彻落实，紧急切断阀阀部分行程测试必将会普及应用，对于其他装置来说也能够起到很好的借鉴作用。
的贯彻落实，紧急切断阀阀部分行程测试必将会普及应用，对于其他装置来说也能够起到很好的借鉴作用。
