王 雪，崔 哲，田文德

(青島科技大學 化工學院，山東 青島 266042)

石油化工行業(yè)工藝流程復雜，操作條件嚴格，物料多易燃、易爆，其對安全的要求相當嚴格[1-2]。石油化工行業(yè)中常壓塔是研究的重點。2016年胡謹秋等[3]提出了格蘭杰因果關(guān)系檢驗，并將其應(yīng)用于常壓蒸餾裝置的故障診斷。2018年程光旭等[4]基于Aspen Plus模擬，實現(xiàn)了對常壓塔頂系統(tǒng)初始冷凝水的pH值預測，為原油蒸餾常壓裝置的腐蝕預測與控制提供了科學依據(jù)。動態(tài)模擬能夠?qū)r間變量引入系統(tǒng)中，將控制理論、動態(tài)數(shù)據(jù)處理及熱力學模型等有效地結(jié)合起來[5]。因此，2012年Luyben使用Aspen Dynamics研究了連續(xù)攪拌反應(yīng)釜[6]和精餾塔[7]的動態(tài)安全響應(yīng)時間。2017年凌昊等[8]基于Agrawal分壁精餾塔的穩(wěn)態(tài)分析結(jié)果，在Aspen Dynamics中建立了5×5組分控制結(jié)構(gòu)，對精餾塔進行了有效地控制。

安全儀表系統(tǒng)正廣泛應(yīng)用于過程工業(yè)中，保護人員、環(huán)境和物質(zhì)資產(chǎn)免受危險事件的影響[9]。IEC61508要求在安全系統(tǒng)設(shè)計之前必須選擇合理的安全完整性等級(SIL)[10]，用于指定安全系統(tǒng)執(zhí)行的完整性要求。SIL有4個等級，其中SIL1安全要求最低，SIL4安全要求最嚴格。對于SIL等級小于1的聯(lián)鎖回路，定義其SIL為N/A，默認不需要設(shè)置聯(lián)鎖回路。自2005年起，國內(nèi)外有關(guān)安全評價公司合作對首套國產(chǎn)加氫裂化裝置進行SIL評估，并基于評估結(jié)果提出一系列建設(shè)性的建議[11]。2013年Kim等[12]根據(jù)IEC61508，由危害分析與風險評估得出安全要求，通過失效模式影響和診斷分析對火焰掃描系統(tǒng)進行了SIL評估。2016年Torres-Echeverria等[13]比較了保護層分析(Layers of protection analysis,LOPA)與風險圖的優(yōu)缺點，證明了LOPA方法是一種比風險圖更為嚴密和綜合的方法，但二者均未能處理常見故障。IEC61508和IEC61511提出了用于確定特定安全功能SIL定級的各種方法，但由于模型中的不確定性，這些方法針對相同的安全功能會得到不同的目標SIL。此外，安全分析雖然是石油化工過程評估的重要手段，但近年來的石油化工過程分析多以能量和經(jīng)濟等的優(yōu)化為主[14-15]。因此，針對上述研究所存在的問題，筆者提出Dynamics-SIL(Dyn-SIL)動態(tài)風險分析方法，并將其應(yīng)用于常壓塔。首先采用傳統(tǒng)的定性方法對常壓塔頂壓力聯(lián)鎖回路進行SIL評估，然后通過動態(tài)拉偏系統(tǒng)參數(shù)，模擬風險發(fā)生時現(xiàn)場的真實情況。并對蒸汽云爆炸情況進行了討論，計算危害的影響范圍，得出SIL評估結(jié)果。相比于傳統(tǒng)的SIL分析方法，Dyn-SIL能夠?qū)崟r準確地定量分析SIL等級。

1 實驗原料

本實驗中使用的原料主要為馬林原油和多巴原油。馬林原油原產(chǎn)地巴西；多巴原油產(chǎn)自多巴油田。2種原油的主要性質(zhì)如表1所示。

表1 馬林(Malin)原油和多巴(Doba)原油的主要性質(zhì)Table 1 Important properties of Malin crude oil and Doba crude oil

1)Before dehydration

2 常壓蒸餾裝置模擬

2.1 穩(wěn)態(tài)模擬

Aspen Plus是集穩(wěn)態(tài)模擬和動態(tài)模擬于一身的煉油廠建模和仿真工具[16]。該軟件可對大量虛擬組分進行計算，適合模擬原油常壓蒸餾過程。常壓裝置在常壓條件下通過蒸餾將原油中的汽油、溶劑油、柴油餾分切割出來，達到生產(chǎn)合格產(chǎn)品及部分催化裂化原料的目標。在常壓裝置工藝流程中，原油的種類影響著裝置運行參數(shù)的選取。本常壓裝置選用質(zhì)量混合比為1/1的多巴原油和馬林原油，采用PetroFrac及Flash 2模型模擬常壓塔及閃蒸塔。筆者選擇Braun K10[17]為物性方法，利用Aspen Plus根據(jù)工廠DCS圖及實際數(shù)據(jù)實現(xiàn)了常壓塔的穩(wěn)態(tài)模擬，從而方便其導入動態(tài)，分析各變量的變化情況，并以此為依據(jù)進行SIL定級。常壓裝置模擬流程如圖1所示。穩(wěn)態(tài)模擬結(jié)果如表2所示。

圖1 常壓蒸餾裝置穩(wěn)態(tài)模擬流程圖Fig.1 Flow diagram of the atmospheric distillation unit for the steady-state simulation

表2 常壓裝置流量及溫度模擬數(shù)據(jù)與真實數(shù)據(jù)對比Table 2 Comparison of simulation data of flow and temperature with real data in the atmospheric column

由表2中模擬結(jié)果與設(shè)計值的比較可以看出，各物流的流量和溫度模擬值與實際值基本一致，符合實際工廠生產(chǎn)情況，真實地還原了實際工藝。

2.2 動態(tài)模擬

圖2為根據(jù)工廠控制需要添加控制器的常壓蒸餾裝置動態(tài)模擬流程圖。

常壓裝置產(chǎn)品多易燃易爆，因此塔頂溫度、壓力的正常與否對流程的安全運行至關(guān)重要。筆者通過動態(tài)擾動，研究進料流量、壓力、組成以及塔頂餾出量的變化對蒸餾過程的影響。圖3為未添加控制器時常壓蒸餾過程增加10%的原油進料流量擾動引起的塔頂、塔底、冷凝器三者的壓力、溫度及塔釜液位變化。

由圖3可知，面對外來擾動，無控制器時塔的溫度、壓力均持續(xù)增長，塔釜液位也發(fā)生非正常波動，危險性極高。為此，筆者根據(jù)工廠實際安全需要添加了塔底溫度、塔頂壓力、進料流量等控制器，控制器的控制效果直接影響裝置的危害發(fā)生概率。動態(tài)模擬能夠?qū)λ?nèi)變量實時觀測，通過添加擾動，觀察塔的壓力、溫度及塔底液位的變化情況，依據(jù)變化情況判斷現(xiàn)有控制器是否可起到安全控制的作用，然后通過參數(shù)拉偏，確定控制器控制效果及面對外來擾動各變量的變化情況。

圖2 添加控制器的常壓蒸餾裝置動態(tài)模擬流程圖Fig.2 Flow diagram of atmospheric distillation unit with controllers

圖3 常壓蒸餾裝置無控制器時原油進料擾動的影響Fig.3 Influence of crude oil feed disturbance without controller in the atmospheric distillation unit(a)Change of p;(b)Change of TT and TCon;(c)Change of TB;(d)Change of LBpT—Pressure at top of atmospheric column;pB—Pressure at bottom of atmospheric column;pCon—Condenser pressure;TT—Temperature at top of atmospheric column;TCon—Condenser temperature;TB—Temperature at bottom of atmospheric column;LB—Liquid level at bottom of atmospheric column

圖4為運行1.5 h時增加10%的原油進料流量擾動引起的塔頂、塔底、冷凝器三者的壓力、溫度及塔釜液位變化情況。可見正常狀態(tài)下控制器控制良好，雖然在1.5 h時面對擾動塔的壓力、溫度，塔釜液位發(fā)生了一定程度的變化，但在控制器的調(diào)節(jié)作用下，于第4 h恢復平穩(wěn)運行。此時，塔釜液位恢復初始值，塔頂壓力、溫度降低在可接受范圍內(nèi)，因此在擾動較小時控制器達到了預期的控制效果。

圖4 常壓蒸餾裝置有控制器時原油進料擾動影響Fig.4 Influence of crude oil feed disturbance with controller in the atmospheric distillation unit Same legends as in Fig.3

3 SIL分析

GB/T 20438—2006將SIL定義為一定時間、一定條件下，安全相關(guān)系統(tǒng)執(zhí)行其所定義的安全功能的可靠性[18]。SIL評估作為一種工程風險分析方法，對工藝危險性、設(shè)備可靠性及保護充分性進行整合，具有指導性意義[19]。筆者利用動態(tài)模擬對SIL進行定量分析，并對比了傳統(tǒng)SIL分析與Dyn-SIL分析的準確性。

3.1 傳統(tǒng)SIL定性分析方法

傳統(tǒng)的SIL定性分析方法是專家通過學科知識與經(jīng)驗商討后，對某一事故造成的影響概率進行的分析。以往研究表明，塔內(nèi)溫度、壓力過高是塔設(shè)備容易出現(xiàn)的安全問題，而常壓蒸餾裝置包含多種危險性原料、中間料及最終產(chǎn)品。管線、換熱器、泵及常壓塔法蘭密封處都有發(fā)生泄漏的可能，從而導致爆炸。據(jù)有關(guān)數(shù)據(jù)顯示[20]，爆炸頻率約為10-1。因此筆者參考已有專家經(jīng)驗對圖5所示的常壓塔頂壓力高-高聯(lián)鎖回路進行分析。

圖5為常壓塔頂壓力高-高聯(lián)鎖切斷蒸汽進料回路和塔頂壓力高-高聯(lián)鎖切斷原油進料回路。聯(lián)鎖回路由傳感器、邏輯單元和執(zhí)行單元組成。當塔頂壓力高于基本控制器的控制能力時，控制器失效，常壓塔頂壓力表PI1201監(jiān)測到壓力的非正常變化后，將信號傳遞給邏輯單元，邏輯單元根據(jù)壓力變化情況指導切斷常壓塔進料閥XV3104A和蒸汽進料閥XV3104B。

冷凝器失效、蒸汽進料量增大及原油進料量減少均有可能導致塔頂壓力異常。參考已有專家經(jīng)驗[21]，塔頂壓力異常可能導致設(shè)備超壓泄漏，引起火災爆炸造成人員傷亡，后果等級為4，即界內(nèi) 1～2 人死亡或5人永久失能傷害；裝置單元外泄，對環(huán)境造成的后果等級為2；損失0～10000元，對財產(chǎn)造成的后果等級為1。根據(jù)IEC61508及不完全統(tǒng)計，SIL定級中壓力過高造成的目標風險值為10-5。此時，中間事件的可能性為10-4，要求失效概率(Probability of failure on demand,PFD)與中間事件可能性的乘積為目標風險值[22]，因此計算可得要求失效概率為10-1，由表3可得SIL等級為 N/A。同理可得，環(huán)境完整性等級及財產(chǎn)完整性等級均為 N/A，即塔頂無需設(shè)置聯(lián)鎖回路。將上述分析所得概率列入表4。

圖5 常壓蒸餾裝置壓力高-高聯(lián)鎖回路Fig.5 High-high pressure interlock circuit of the atmospheric distillation unit

表3 安全完整性等級(SIL)與要求失效概率(PFD)Table 3 Safety integrity level (SIL)and probability of failure on demand (PFD)

表4 常壓塔頂聯(lián)鎖回路傳統(tǒng)SIL分析Table 4 Traditional SIL analysis of atmospheric pressure column interlocking loop

傳統(tǒng)的SIL分析是一種定性的分析方法，主觀性強。因此，筆者提出了定量分析方法Dyn-SIL對相同的回路重新進行SIL定級。

3.2 Dyn-SIL分析

因基本過程控制系統(tǒng)(Basic process control system,BPCS)與初始事件頻率無關(guān)，故2.2節(jié)中所加控制器可視為獨立保護層(Independent protective layer,IPL)。獨立保護層的失效頻率是指在特定時間間隔內(nèi)，某一系統(tǒng)或元件針對要求指令不能正確地做出反應(yīng)的概率。目前國際上有數(shù)個組織對設(shè)備失效頻率進行統(tǒng)計并在業(yè)內(nèi)發(fā)布，包括英國HCR(Hydrocarbon release)數(shù)據(jù)庫、OREDA數(shù)據(jù)庫、E&P論壇數(shù)據(jù)庫等。參考其統(tǒng)計數(shù)據(jù)可知，BPCS對設(shè)備的失效頻率為0.10。下面以原油進料壓力擾動為例說明Dyn-SIL分析過程。圖6為增加10%原油進料壓力擾動時塔頂產(chǎn)品的質(zhì)量流量變化情況。

圖6 常壓蒸餾裝置壓力擾動的影響Fig.6 Effect of pressure disturbance in the atmospheric distillation unitF—Mass flow;F1—Mass flow of gas on the top of this column;F2—Mass flow of gasoline on the top of this column

由圖6可知，進料壓力升高時，塔頂天然氣產(chǎn)量降至為0，而汽油產(chǎn)量僅增加了0.51%，故總產(chǎn)量降低。當塔頂未設(shè)安全閥時超壓無法釋放，嚴重時會導致塔設(shè)備損壞，造成巨大的經(jīng)濟損失和人員傷亡。設(shè)置安全閥時，雖然降低了危險發(fā)生的概率，但泄放量的計算較為復雜。安全閥的類型、安裝位置、故障不同，其泄放量的計算方式也會發(fā)生變化。泄漏公式中潤濕面積、最大傳熱量、混合物的汽化潛熱、比熱容等數(shù)據(jù)不易獲得，增大了計算的難度?；诖?，通過動態(tài)模擬再現(xiàn)實際工藝流程，實時監(jiān)測動態(tài)數(shù)據(jù)，可以方便地觀察每時每刻泄放量的大小。然后通過拉偏參數(shù)，就可以快速地觀察泄放量的變化情況。

圖2中的PV即為所添加的安全閥，閥門直徑為0.30 m，安全閥的控制閥特性(Valve characteristics)設(shè)置為全啟式(Quick-opening)。即當安全閥入口壓力達到其設(shè)定壓力時，閥瓣迅速上升至最大高度，最大限度地排出超壓物料。在控制器的控制作用下，安全閥的泄放量與溫度、壓力的變化情況如圖7所示。

圖7為使用動態(tài)模擬添加20%的蒸汽進料流量擾動使塔頂溫度、壓力升高的情況。由圖7可知，雖然塔頂溫度、壓力升高但并未持續(xù)增長，而是在可接受范圍內(nèi)恢復了平穩(wěn)運行。面對擾動，泄放量從12.00 kg/h增大到了14.00 kg/h。因產(chǎn)物多易燃易爆，故安全閥泄放物可能在塔頂與空氣混合造成蒸汽云爆炸，對鄰近設(shè)備危害較大。但因泄漏量很少，故爆炸概率很低。通過計算，其對方圓30.00 m的危害情況如圖8所示[23-25]?？梢娋嚯x常壓塔0～10.00 m 的范圍內(nèi)，爆炸對鄰近設(shè)備的影響大于80%；當超過15.00 m時，其影響低于40%。

筆者采用Dyn-SIL對常壓塔頂壓力聯(lián)鎖回路進行評估，與傳統(tǒng)SIL分析中造成塔頂壓力高-高的原因相同，事故引發(fā)原因的發(fā)生頻率一致。但事故發(fā)生后造成的后果等級不同，Dyn-SIL通過定量分析得出的后果等級更為嚴重。參考IEC61508第五部分有關(guān)風險的基本概念與安全完整性關(guān)系，其概率在表5中列出。

表5為冷凝器失效、蒸汽進料量增大及原油進料量減少等原因?qū)е滤攭毫Ξ惓r的Dyn-SIL分析。參考中國石油化工行業(yè)風險矩陣及后果嚴重性等級說明，對于蒸汽云爆炸造成的后果等級定為5，即界區(qū)內(nèi)3～9人死亡，10～50人重傷。且由圖6可知，當流量增大時，塔頂產(chǎn)品產(chǎn)量總體呈下降趨勢。天然氣售價按市售價3.10元/m3計算，每年由此造成的直接經(jīng)濟損失為1.36×106元左右，因此由后果嚴重性等級可得出其對經(jīng)濟造成的后果等級為3。塔頂泄放物會對當?shù)毓苍O(shè)施的日常運行造成干擾，由后果嚴重性等級說明可得出其對環(huán)境造成的后果等級為2。獨立保護層通過BPCS及安全閥來降低事故發(fā)生的可能性。根據(jù)IEC61508及不完全統(tǒng)計，SIL定級中壓力過高造成的目標風險值為10-6。在其他條件不變的情況下，不加安全閥時，塔頂壓力過高無法釋放，從而造成塔設(shè)備損壞，物料大量外泄，危險發(fā)生概率增加。此時，中間事件的可能性為10-2，計算可得出要求失效概率為10-4，因此SIL等級為3。添加安全閥時，中間事件可能性為10-4，此時要求失效概率為10-2，SIL等級為1。環(huán)境完整性等級低于1，財產(chǎn)完整性等級低于1。風險不能被接受，建議增加塔頂壓力高-高聯(lián)鎖回路。因此，對裝置進行SIL定級有利于把握安全儀表系統(tǒng)的設(shè)計、選型、配置、測試，進而得以降低風險和成本，確保裝置的安全運行。

圖7 常壓蒸餾裝置蒸汽進料擾動的影響Fig.7 Influence of steam feed disturbance in the atmospheric distillation unit(a)Change of TB;(b)Change of pT;(c)Leakage changeTB—Temperature at bottom of atmospheric column;pT—Pressure at top of atmospheric column

圖8 蒸汽云爆炸的影響Fig.8 Influence of steam cloud explosionD—The distance between the target and the atmospheric column

表5 常壓塔頂聯(lián)鎖回路Dyn-SIL分析Table 5 Dyn-SIL analysis of atmospheric pressure column interlocking loop

3.3 常壓蒸餾裝置聯(lián)鎖的SIL分析結(jié)果驗證

因傳統(tǒng)SIL分析與Dyn-SIL分析得出了不同的SIL等級，故筆者對常壓塔頂壓力高-高聯(lián)鎖切斷蒸汽回路及壓力高-高聯(lián)鎖切斷進料回路的控制效果進行了分析。圖9為無聯(lián)鎖回路時控制器失效導致的塔頂壓力的變化情況。

由圖9可知，在1 h添加擾動使壓力發(fā)生非正常波動；1～5 h內(nèi)在控制器控制下壓力上升幅度較小；接近6 h時擾動超出基本控制器的控制范圍，控制器失效，壓力直線上升，存在著較大的安全隱患。

圖9 常壓蒸餾裝置無聯(lián)鎖回路時基本控制器失效引起的塔頂壓力變化Fig.9 Change of pCon caused by basic controller failure without interlocking circuit in the atmospheric distillation unitpCon—Pressure of condenser

設(shè)置塔頂壓力高-高聯(lián)鎖回路，模擬控制器失效時塔頂壓力的變化情況。聯(lián)鎖回路的傳感單元感受到壓力的不正常變化，將信息傳遞給邏輯單元，邏輯單元接收到信息后，指導執(zhí)行單元通過切斷蒸汽及進料阻止壓力的非正常變化，聯(lián)鎖回路控制效果如圖10所示。

圖10 常壓蒸餾裝置聯(lián)鎖回路控制效果Fig.10 Interlocking loop control effect in the atmospheric distillation unitpCon—Pressure of condenser

由圖10可知，在接近6 h時，塔頂壓力高-高聯(lián)鎖回路開始作用，切斷蒸汽進料閥(熱源)及原料進料閥。因此，在5.80～6.20 h時壓力迅速降低，在6.20 h時接近初始壓力且保持穩(wěn)定。所以在基本控制器失效的情況下，塔頂壓力高-高聯(lián)鎖起到了較好的控制效果，降低了風險。因此有必要設(shè)置塔頂壓力高-高聯(lián)鎖回路，證明Dyn-SIL的分析結(jié)果更為準確。

4 結(jié) 論

(1)利用Aspen Plus建立石油常壓蒸餾裝置，模擬結(jié)果與實際工藝基本相符，保證了動態(tài)模擬對現(xiàn)實工況的真實反映。

(2)運用傳統(tǒng)的SIL分析方法得出常壓塔頂壓力高-高聯(lián)鎖回路的SIL等級為N/A，不需要設(shè)置塔頂壓力高-高聯(lián)鎖切斷蒸汽回路及塔頂壓力高-高聯(lián)鎖切斷原油進料回路。

(3)通過動態(tài)模擬解決了泄放量計算難的問題，然后通過拉偏進料量、壓力，分析了進料狀態(tài)擾動產(chǎn)生的后果。當因冷凝器失效等原因造成壓力過高時，安全閥泄放可能導致蒸汽云爆炸，所以對蒸汽云爆炸影響進行了分析，得出塔頂壓力高-高聯(lián)鎖回路的SIL等級為1，需設(shè)置SIL1的塔頂壓力高-高聯(lián)鎖切斷蒸汽及原油進料回路。

(4)分別模擬有無聯(lián)鎖回路的情況下，控制器面對較大擾動的控制效果。結(jié)果表明，無聯(lián)鎖回路時控制器失效會發(fā)生較大安全隱患。有聯(lián)鎖回路時，控制器失效后聯(lián)鎖回路起到了較好的控制作用，降低了風險，從而證明了筆者提出的Dyn-SIL準確性更高。

(5)從定量分析的角度提出的Dyn-SIL，在不影響準確性的前提下，滿足了安全分析需要。