②基本过程控制系统(BPCS)

BPCS是过程监测控制层，是执行持续监测和控制生产过程的控制系统，可提供三种不同的安全功能：a．连续控制行动，保持过程参数在正常范围内，并努力防止初始事件场景发生；b．自动识别过程偏差，及时提供报警，促使操作人员采取纠正行动，使过程正常化；c．自动跟踪过程，不试图使过程正常化，而是使装置安全停车，使过程处于安全状态。BPCS作为保护层，其检测元件、逻辑控制器和执行元件都必须分别与SIS在物理上独立。

IEC 61511第1部分给出两个限定条件：a．用作保护层的BPCS实现的风险降低因数RRF不大于10；b．如果要求BPCS实现的风险降低因数RRF大于10，BPCS的设计和管理必须遵循IEC两标准，即达到和SIS一样的功能安全水平和进行功能安全管理，且需保证用作风险降低的通道与引发原因通道(被保护通道)相互独立。

③关键点报警及人工干预

在关键点报警后(即高报警，与SIS响应的高高报警不同)，通过人工操作使装置运行在设定的正常范围内，或通过人工操作装置仍不能正常响应时也可实现人工安全停车。对操作人员的要求是熟悉管道和仪表流程图，熟悉装置陛能，具备基本的过程操作能力，具备风险控制能力。在关键点报警后实现安全停车，这一操作过程也相对简单。

④SIS保护

SIS是通过安全仪表实现安全功能的一种保护层，它是在BPCS失效且人工干预又失效后，临界状态即将发生时(即高高或低低报警后)立即通过安全仪表功能快速响应，实现紧急停车(ESD系统)。SIS的检测元件、逻辑控制器、执行元件完全独立于BPCS，SIS的设计应遵循IEC两标准及国内相关标准(GB／T 50770—2013《石油化工安全仪表系统设计规范》)，硬件设备应经权威性机构认证，工程设计时根据公司风险目标的要求以及现有保护层的风险降低概率，选择SIS的安全完整性等级。

⑤物理保护

物理保护也称为机械保护，如储罐的安全阀、爆破片及溢流阀等，通过机械形式使能量(或危险物质)的包容物不发生物理爆炸事故或事故危害减轻。在对重要的设备设置安全阀时也同时设计人工自动放空阀。

⑥释放后保护

释放后保护是在已发生可燃气体、液体泄漏后的保护系统。主要是设置火灾和气体安全系统(FGS)检测泄漏或火灾事故，实现报警并启动自动消防系统；设计拦蓄区使事故局限化；设计建筑物泄压，减轻爆炸破坏力；按规范留足建筑物之间或设备之间的防火间距，防止相互引燃事故；设计火炬，减少事故对环境的危害；选择防爆电器、设计防雷、防静电接地，防止电气火花引燃爆炸性混合气体等。

⑦紧急响应

本层是指较严重的事故发生后，通过启动应急抢险预案，如报警、组织抢险、组织厂区和社区人员疏散。因本层涉及到人为因素及不确定因素，难以准确地评估其功能绩效和给出失效概率，所以本层不作为独立的保护层。我国已经发生了多起石油、化工、燃气泄漏事故，有的事故从发现泄漏到发生爆炸其过程长达几个小时，但由于紧急状态下的处理不当，人员疏散不及时造成了重大的伤亡事故。这些事故案例一方面说明了此层确实不能作为独立的保护层，另一方面也说明了此层的重要性，正确利用紧急响应层，人员伤亡可以避免或伤害程度可以减小。

LNG储罐是LNG工厂危害性最大的危险源，以某工厂的LNG储罐为例进行LOPA分析。该储罐容积为5000m³，为单容罐，常压。出液口在储罐底部正下方，出液口内罐处装有一个内置阀，外罐处装有一个根部阀；进液管从罐顶部引出，经绝热层引至储罐侧下方，进液口装有根部阀；储罐装有安全阀，安全阀压力保护设定为一级排放排向火炬，二级排放在罐顶部直接排向大气。危险事件的场景描述是：①因BOG控制回路失效，罐内BOG超压，安全阀动作泄压排放；②出液口因外罐根部阀泄漏，液体流淌到地面；③进液口因根部阀阀体裂纹泄漏。上述三种危险事件释放的易燃物质遇点火源发生火灾。

①LOPA分析报告

LOPA分析报告见表1。

 

②残余风险计算

由表1知

 

ff和fp已在第5列和第9列中考虑，fs取0.5^[1]，则由式(2)得R=5.1×10^-7。

③残余风险评估

本公司风险目标控制值为1×10^-6(此值参考英国健康和安全局标准)，残余风险计算值5.1×10^-7低于风险目标控制值，可以接受。

①IEC 61508、IEC 61511两标准虽关注的焦点是安全仪表的功能安全，但是从另一面也揭示了SIS技术保护层与其他技术保护层的关系，合理设计、分配保护层的功能是工程设计的重点。

②功能安全不仅是保护层的设计和搭建，更重要的是在整个生命周期内，建立以功能安全为核心的管理体系，日常的定期维护、测试、评估等是功能安全管理必不可少的内容。

 

[1]卢卫，王延平．保护层分析方法[J]．安全、健康与环境，2006(4)：32-34．