近年来，随着清洁能源的快速发展，LNG以其高热值、低排碳量、高气化率等多个优点被全世界广泛使用。国内的LNG主要来自LNG接收码头的进口液以及天然气液化工厂。天然气液化工厂（以下简称LNG工厂）的总体工艺流程包括天然气净化、液化、LNG储存和装车。

LNG生产装置具有能耗低、运行稳定、操作便捷、自动化水平高等优势，但同时由于工厂的 大处理量、生产设备的密集程度高，生产介质易燃易爆等特性，决定了工厂一旦发生安全事故，其造成的人员伤亡、经济损失及天然气液化工厂安全仪表系统的分析与研究社会影响也是非常巨大的。因此，保持装置在线安全平稳、长周期的连续生产是至关重要的。保持装置操作和维护的安全性，必须设计SIS（Safety Instrumented Systems）安全仪表系统，应用于工业过程的安全连锁保护。在紧急情况时安全有序的停车及关断物料、防止潜在的泄露，能够对生产过程中可能发生的危险或不采取措施将会继续恶化的状态进行迅速的响应和保护。

通过对LNG工厂的SIS系统技术研究，能够保障生产装置的高效、安全、稳定的运行，同时对其他类型LNG工厂提供借鉴意义。

安全仪表系统(Safety instrumented system,SIS)是一种自动安全保护系统，它是能够保证正常生产和人身、设备安全的必不可少的措施，已发展成为工业自动化的重要组成部分。在过程工业中，安全仪表系统的安全性对于事故的影响十分重要，由于过程工业中的安全事故通常会造成人员伤亡和巨额财产损失，因此开展过程工业安全仪表系统安全评定对于确保过程工业安全具有重要意义。根据ICE61508、IEC61511中的定义，安全仪表系统是由传感器、逻辑控制器、执行器组成，能够行使一项或多项安全仪表功能(Safety instrumented function,SIF)的系统。每一个安全仪表功能针对特定的风险对生产过程进行保护，如图1。

图1一个安全仪表功能回路简图

传感器，主要任务对厂区的信息进行采集及储存，显示受控设备的实际运行参数并进行记录。在天然气液化工厂主要分为压力、温度、液位以及流量等传感器。

逻辑控制器，用于接收现场各传感器反馈数据，经过一定的逻辑判断，通过AO或者DO输出控制执行器动作。

执行器，也称为执行元件，用于接收逻辑控制器的命令，进行动作执行的设备。在天然气液化工厂中执行器主要是指紧急切断阀、电磁阀以及调节阀、电机等。完整的SIS系统往往包括多个SIF，如图2。

图2包含多SIF的安全仪表系统简图

IEC61508标准中介绍的安全完整性水平（SIL）是一种离散的水平。IEC61508中将SIL分为4个等级：其中SIL1是最低的安全完整性水平，SIL4是最高的安全完整性水平。通常把某一安全完整性水平要达到的危险失效概率范围分为两种，它们分别是对于低要求操作模式下的要求时失效的平均概率和对于高要求或连续操作模式的每小时危险失效的概率，如表1。

对一个安全仪表系统功能进行安全评估需要考虑整个系统回路的安全完整性，采用系统的要 求时失效概率PFD_avg反应，按照IEC61508标准中划分的SIL等级，将计算得到的SIL等级与目标SIL等级进行比较，确定是否达到设计要求。对于整个SIS回路，系统的平均失效概率计算公式可表示为：

其中PFDavg为系统要求时的平均失效概率；∑PFDs为传感器的整体失效概率；∑PFDL为逻辑控制器的整体失效概率；∑PFDF为最终执行器的整体失效概率。

危险与可行性分析研究（HAZOP）是一种系统化的风险评价手段，针对系统工艺或者操作过程中存在的有可能导致有害后果的各种偏差进行系统性识别列出引起偏差的原因、产生的后果，以及针对偏差应当采取的安全防护措施，提出可行性建议。HAZOP分析侧重于工艺流程和基本的控制措施，但不能深层次分析SIS系统中存在的问题，将HAZOP分析与SIL等级验证结合起来，对整套装置的安全评价、安全完整性SIL等级认证都具有十分重要的作用。

本文将HAZOP分析与SIL等级评估相结合，提供了简易的SIL等级认证方法，具体SIL等级评估流程见图3。

图3SIL等级评估简易流程图

LNG工厂安全仪表系统SIL等级认定

工艺概述

以山西晋城某日处理量200万scf的天然气液化工厂（以下简称山西LNG工厂）为研究对象。原料气压力5Mpa，经过过滤除尘、脱二氧化碳、分子筛脱水后进入到天然气液化单元，利用混合冷剂制冷工艺对天然气进行降温液化至-160℃，液化天然气LNG通过节流阀进入到全包容LNG储罐存储，存储压力略高于环境大气压，然后LNG经由罐内低温潜液泵输送至LNG槽车外运，最后LNG储罐与装车所产生的BOG气体经由BOG压缩机增压后回到液化单元进行再液化。总体流程框图见图4。

图4LNG液化工厂流程简图

HAZOP分析及SIF功能的确定

1.HAZOP分析

在各方面技术管理人员的共同参与下，山西LNG工厂在设计期间完成了整套装置的HAZOP分析，分析报告中明确了生产过程中的风险管控点，为整套装置的SIL等级验证提供了重要的基础文件。截取部分HAZOP分析报告，见表2。

2.安全仪表功能SIF的确认

以进站原料气压力回路为例，传感器为05PT1001A/B/C，执行器为原料气进站关断阀 05XV1014的电磁阀及执行机构，控制器05PIC1913设置于安全仪表系统内。

从工艺角度考虑，进站压力超过下游设计压力，将有可能造成管线、下游设备损坏。为保护 下游系统，消除危险，设置安全仪表功能回路SIF，在压力升高的过程中设置高报警，当压力超过一定范围后，联锁进站阀门，禁止原料气去往下游，从而实现了SIF的作用，见图5。

图5 05PT1001A/B/C安全功能回路流程图

根据工艺包的基础设计以及HAZOP分析，整个LNG工厂共设计45个安全仪表回路。15个SIF1回路，30个SIF2回路。

硬件配置

为满足每一个SIF回路的SIL等级需要，对SIS系统内各元件进行了如下硬件配置：控制系统采用西门子PCS7，满足SIL3安全完整性等级认证。PCS7 F-410H控制器提供了安全、容错的CPU，恰当的分布式I/O，实现了最大限度的安全性和高可用性。

配置1对独立的AS-410FH冗余控制器，单控制器能达到最高安全级别SIL3；S-410FH容错冗余控制器支持多达2800个过程对象；通常一个过程对象包含至少3~4个功能块，所以AS-410FH支持至少8400个功能块，在按要求负荷低于50%的情况下AS-410FH支持至少1500个I/O点（按带50%模拟量、50%开关量计算）。

项目所配置安全栅和浪涌采用的导轨安装供电隔离型SIL3安全栅，继电器使用SIL3继电器。其余元件（电源单元、I/O卡件、接口、通信卡件应用软件等）及网络均满足SIL3认证要求。

安全仪表系统中所涉及到的温度、压力、流量以及液位传感器均通过SIL2等级认证。当相同型号器同时使用时，其SIL等级可以达到SIL3的要求。

安全仪表回路中所涉及到的气动阀门为国外知名公司原装产品，获得SIL3认证。阀门厂家配套的气动执行机构采用FLOWBUS品牌产品，执行机构为进口原装产品，执行机构整体或执行机构及电磁阀均取得SIL3认证。

SIL等级验证

为验证现有SIS系统的SIL等级是否满足原始设计要求的SIL等级，需要对所有SIF回路的检测元件、控制器、执行元件进行评估，综合分析其失效效率，并结算荣誉情况下的失效率。

对照IEC61508中要求时的平均失效概率PFDavg计算公式，可以得到不同SIF回路的SIL等级。计算结果表3参照山西LNG工厂安全仪表回路SIL验证计算表（截取部分）。

所有SIF回路传感器均采用2of3方式，此结构由个并联通道构成，其输出信号具有多数表决安排，仅其中一个通道的输出状态与其他两个通道的输出状态不同，不会改变系统的输出状态。任意两个通道发生危险失效就会导致系统危险失效；任意两个通道发生安全失效将导致系统安全失效。从而确保了回路的安全可靠性。经验证计算，整个工厂的最高安全等级为SIL2级。

总结

天然气液化工厂集危险化学品生产、储存、运输一体，安全工作显得尤为重要。通过对山西 LNG工厂安全仪表系统的分析与研究，确定原设计及目前的SIS系统安全完整性等级均达到了相关标准要求。安全仪表系统确保LNG生产过程安全所起的作用表现在以下3个方面。

监视生产过程的状态，判断生产过程是否出现故发生某种潜在危险的条件。

当某些危险条件出现时，自动执行其规定的安全仪表功能，防止危险事件发生。

减轻危险事件造成的影响，即通过减少损失或减轻影响后果的办法来降低风险。

通过对LNG工厂的安全完整性分析，总结LNG生产运行过程中应当做到安全防范措施如下。

LNG工厂的仪表维护人员应在安全仪表系统的不同安全生命周期阶段，学习并掌握关于安全仪表系统的安装调试、技术操作和功能维护等技能和理论知识，加强对仪表相关领域的培训和管理，使厂区员工能够在生产过程中辨识安全仪表系统的风险，采取合理的故障预防和控制措施避免事故发生。

加强安全仪表系统的设备故障管理工作，其中包括设备失效、联锁动作、误动作等，并能够根据此结果进行分析处理，完善并建立安全仪表系统设备失效数据库。

提高对过程报警工作情况的管理和控制，制定厂区报警管理制度并能够严格的执行。其中，相关的报警系统应依据安全仪表功能进行管理并要符合安全完整性等级的要求，定期检验测试。

了解杂志文章案例，请点击下方小程序