如何消除储罐溢罐是石油行业面临的一个巨大挑战。因大多数储罐进料均为手动操作，所以操作人员十分依赖于储罐液位计和溢罐保护报警。追溯储罐测量及报警系统的发展史，我们就可以深入了解到独立测量的重要性。本文将在这段发展史中融入关于正确应用独立的防溢罐保护系统的说明、见解和指导意见。本文还将涉及储罐防溢罐保护测量系统未来发展趋势的相关讨论。

行业标准发展史

通过组件或系统的冗余设置，来实现设备系统的可靠性并不是新做法。如果一个组件或系统发生故障时，基本做法是启用备用系统替代故障项。图1 展示了如何将本思路应用于典型的储罐测量及报警系统中。

二十世纪七、八十年代，许多大型石油公司已经意识到报警系统和自动储罐测量系统的故障率过高，因此他们开始考虑执行关于高故障率组件冗余性要求的标准（如图2所示）。

虽然报警和储罐测量系统都包含大量组件（电源、接线、电气连接和继电器），但是故障率最高的组件主要是液位测量设备。当今，大多数液位传感器为采用带轮、钢丝绳和卷筒机构的浮子钢带式系统的机电装置，它们通过测量浮子的位置，提供相应的液位和报警功能。许多溢罐事故均由这些装置中的机械故障所导致。早期和现在广泛采用的机械式浮子钢带式装置主要依赖于带轮和线缆，而这些组件极易在肮脏的环境下发生卡滞或粘结。如果出现这种情况，由浮子钢带式液位传感器触发的报警也将失效。因为线缆卷筒机构的位置不仅仅用于确定实际测量的液位，还用于启动报警开关，所以即使一处此类故障，也将导致整个测量系统和报警系统无法正常工作。此类配置中，报警系统主要依赖于自动储罐液位计(ATG)。

在这一时期，两项最具影响力的标准为美国国家消防协会(NFPA)30和美国石油协会(API)2350。此类标准反映了业内的最佳实践方式，同时代表了整体的国际水准。

虽然储罐测量及报警系统并不完全可靠，但通过冗余和独立的测量方式可大大提高其测量可靠性。NFPA 标准 30-19931首次对储罐测量及报警系统的独立性提出了要求。它主要应用于储存 NFPA I类液体的储罐。因为此类液体如汽油、原油或者其他类型的石油基液体极易产生蒸气，所以一旦发生溢出则具有较高的火灾风险。NFPA 30要求通过采用下列方式防止出现石油液体溢罐：

a)“产品进料过程中，现场人员应与供应商保持频繁沟通，并在现场对储罐连续高频次测量，从而确保及时关断或分流液体。”

b)“储罐配备高液位检测设备并独立于任何储罐测量设备。报警系统所设位置应便于值班人员在产品输送期间能及时关断或分流液体。”

c)“储罐配备独立的高液位检测系统可以自动实现流体的关断或分流。”

d)“b) 和 c) 项中所述的仪表替代方案已通过管理机构审核批准，并可提供同等的保护功能。”

NFPA与API协会之间始终保持密切合作和相互统一，发表于1996年的API 2350储罐溢罐防护（1996年第二版）中提出了相同的要求。此类机构主要负责确定储罐溢罐的不合格率，因为因油品储罐溢罐所导致的火灾已经（并将继续）成为石化行业的一个显著问题。

注意，此类要求已广泛应用于储罐进料操作。a) 项主要针对许多没有测量仪表，且仅依赖操作人员进行最终控制的储罐作业。b) 和c) 项提出了“独立性”要求。b) 项旨在说明独立于自动储罐测量系统的报警功能（如图1和图2所示）。

以前和现在的多数储罐进料主要靠手动操作（即操作人员依据估计的进料时间，采用手动操作或远程操作阀门的方式，或根据报警来安全的停止进料）。但是，此类要求中规定“储罐高液位检测设备”具备独立性。今天，我们将此类装置称为储罐液位传感器。原则上，储罐液位测量系统不得与报警系统共用一个液位传感器。需要配备两个传感器：一个用于储罐测量或液位读取，而另一个专用于报警（如图1 所示）。

要求c) （如图3所示）适用于借助液位传感器实现自动停止进料的系统。此类系统也被称为自动溢罐预防系统(AOPS)，相关说明收录在API 2350第四版中。在其他国际安全标准中，此类系统也被称为安全仪表测量系统(SIS)。虽然相对于典型的储罐手动操作而言，此类系统不常见，但确实存在，同时可以预见此类系统在今后储罐溢罐预防中的使用将越来越广泛。关于配备 AOPS 的储罐系统的说明，请参见 API 2350 的最新版本。值得注意的是：英国邦斯菲尔德油库爆炸事故后，英国的相关管理机构要求接收 NFPA 30 液态物质的任何储罐均应配备此类系统。

独立性要求

通过 API 2350 第二版中所给出的定义可以了解独立性要求：“独立的液位传感器：分开的且独立于储罐上其他的自动化测量设备的液位测量装置。单级和双级传感器系统中的高高液位传感器应始终采用独立的传感器。双级传感器系统中的高液位传感器可以采用或不采用独立的液位传感器。”

当前 NFPA 30 和 API 2350 标准的编者负有降低储罐溢罐事故的责任，所以他们认识到报警功能独立于液位测量功能的必要性，否则单个组件故障（液位传感器）可能导致整个液位测量及报警系统发生故障。因此，为符合上述标准早期版本的相关意图和要求，储罐业主/操作人员仅需确保浮子钢带式自动储罐液位计为独立于报警装置的设备即可。通常情况下，使用具有可操作性并独立于储罐测量系统的浮子或其他传感器可以实现上述要求，尽管储罐测量系统存在发生故障的可能性。当然，独立式报警系统的故障可能具有隐蔽性或未被发现，但至少保证有仪表在工作（如图1 所示）。

当前的标准方法

新版 API 2350（第四版）继承了源于第二版的独立性理念，并提供更为详尽的细节说明。它利用了其他要求关键安全系统具备高可靠性的标准（ISAS84 或 IEC 61511）。3目前，API 2350 将具有独立测量系统的储罐测量系统分为了几个种类。

API 2350 3 类如图4 所示。因为几乎所有储罐都可归类于某一基本储罐测量配置类型，所以 API 2350 定义了三类储罐溢罐预防系统。

1类系统为手动操作系统，不具备传输任何测量信息的功能。

2类系统具备传输液位和报警信息功能，但液位测量功能和报警功能未相互独立。

3类系统具备传输液位和报警信息功能，且报警系统独立于储罐测量系统。

API 2350 委员会认识到3类系统至关重要，因为此类系统采用了独立性的理念。一般而言，3类系统较1类和2类系统具有更高的可靠性。对于无人值守的终端接收操作而言，要求采用3类系统。这主要是因为 3 类系统的可靠性高于1类和2类系统。

由于存在许多影响实际风险和决策制定过程的因素，因此 API 2350 并未详尽说明不同系统类别的可靠性或风险如何。例如：假设您拥有一个理想化且完全可靠的报警系统（故障率为零），如果操作措施不健全，则溢罐的总体风险仍可能是一个显著的问题。同时，接收罐敏感度和人口密度也会影响风险。风险的影响因素包括接收罐的位置、配置等等，风险评估不能直接与储罐类型相关联。因此，API 未给出关于各类型可靠性的相关说明。

新发展

API 2350 引入了关于来料接收自动关断或分流全新理念（如图 3所示）。这是 API 2350 新版本的一项重要变化。API 2350 的第二版和第三版仅提及传感器独立于储罐测量系统的相关要求，而第四版则依赖于更新的安全仪表测量系统行业标准 IEC 61511 或 ISA 584。

AOPS 基本要点

为便于充分理解适用于 AOPS 的独立性，必须了解 AOPS 的关键要求。

AOPS 是指任何无需操作人员介入、操作阀门或借助其他设备元件（也被称为最终元件），由高高液位传感器触发自动停止进料的系统。AOPS 最常用于在高高液位传感器检测到液体时仅需简单关闭进料阀门的场合。阀门关闭时间应充足以防止出现“水锤”效应。

AOPS 为可选配置，且仅当使用者选择采用 AOPS 提供储罐溢罐保护时使用。但是，如果使用者选择使用 AOPS，则应达到 API 2350 中的强制性要求。

如果储罐业主/操作人员选择使用 AOPS，可采用下列方案之一：

方案 1：本方案在 AOPS 应用于已有储罐测量系统的情况下可用。

方案 2：本方案在 AOPS 应用于新设施的情况下可用。

对于新设施而言，诸如 AOPS 等系统应按照适用的安全标准（ISA S84或IEC 61511）进行设计。上述安全标准主要用于系统性地排除整个系统生命周期内的故障或缺陷。但是，此类标准则并不真正适用于老旧设备的追溯应用。因此，API 2350 委员会免除必须符合此类标准的要求，而是在 API 2350 附录 A 中提供了一份应用于现有测量系统的AOPS最佳实践应用清单。

AOPS 独立性

关于独立性，请参阅 API 2350 附录 A 中的详细描述。虽然本附录仅适用于现有设备的 AOPS 改造，但是毋容置疑，本附录对独立性的相关要求和隐含意义也作了一般性的说明。参考以下 API 2350 章节。

“A.3 独立性。AOPS 的设计和安装应确保与其他任何溢罐预防系统(OPS)或 ATG 硬件、软件、通信、线路连接或布线的故障不会导致 AOPS 发生故障。AOPS 正常运行无需与配备有 AOPS 的设施进行远程通信。AOPS 无需依赖于无线通信方式进行来料的分流或终止操作。独立性这一术语的含义是指 AOPS 应独立于用于测量、计算或监控储罐进料的任何装置或方式。独立式 AOPS 的设计和安装应确保 ATG 测量/监控系统不会发生任何可能导致 AOPS 出现故障的故障。”

分离的传感器

如先前关于报警/测量系统的描述，第一条要求 ATG 与 AOPS分离，从而确保其中一个系统的故障不会导致另外一个系统发生故障。但是，这里对诸如线路、布线、通信和软件等支持系统提出了更多的具体要求。是否意味着此类系统需要配备独立的管路和线路？

独立的含义有不同的理解。现实世界中并不存在绝对意义上的独立。如果恐怖袭击或流星损毁整个产品储罐，即使是“独立式”的线路、管路和其他设备也会失去独立性。在另一种极端环境下，假设布线措施不当，导致电气线路极易受到单一火源或过往车辆破坏。在这种情况下，独立设置的电路和线路布置可降低测量系统和 AOPS 回路同时发生故障的概率。根据上述假设，可以明确独立性的概念是相对的，且有不同的理解。

因此，对于相对不可靠的组件，通过冗余和独立设计，可显著提高系统可靠性。但是高可靠性系统中的冗余和独立组件对于系统可靠性的整体影响较小（如图 2 所示）。借助诸如可靠性框图和其他概率方法等正规方法，可对此类概念进行定量分析。但是，在接受独立性概念的程度方面，常识更为有用和有效。只要记住：储罐行业刚出现此类概念时，无论是否存在共用或非独立电源、线路和其他组件，只要确保液位传感器或报警系统独立于储罐测量液位传感器即可。

两个连续液位测量传感器

初次阅读该要求时，使用者可能会得出这样的结论：不能将两个相同的液位传感器一个用于储罐的液位测量功能，而另一个则用于启动 AOPS（或一个独立式报警系统），因为独立的含义就是不同的装置和测量方法。如果装置采用相同的测量方法，则使用者可能会认为这种仪表应用是被标准禁止的。但是，这并非委员会的意图。

通过阅读特定的句子可能有助于更清楚地了解到：“独立性这一术语的含义是指 AOPS 应独立于用于测量、计算或监控储罐进料的任何装置或方式。”如果想表达的是自动储罐液位计或测量系统时，则句子应表达为“独立性的含义为 AOPS 应独立于任何自动储罐液位计或测量系统。”显而易见，即使两个自动储罐液位计完全相同，也可以单独提供 ATG 和 AOPS 或报警传感器的功能。这正是标准委员会起草独立性定义的最初含义。

事实上，一些公司正在同时使用两种 ATG，一种作为液位计，而另一种则作为报警系统。采用诊断报警以显示两种 ATG 液位读数之间的较大差异。这种方式下，从可靠性和诊断方面来看，两个连续式液位传感器（对比单点的液位和一个连续液位）的方式更为可靠耐用。其中一个可以实现连续的验证测试。随着技术的发展和成本的降低，现在已经形成了使用两个储罐液位计来执行ATG 功能和作为高高液位报警传感器或AOPA传感器的趋势。原因分为两个方面。首先，相对于其他与储罐工程项目相关的一般成本，设备成本已开始下降。其次，作为对主要 ATG 的一项审核条件，如果能够实现连续液位测量，则既可提供冗余性和独立性，又能在较少投资的基础上实现最高的可靠性。

高效思考

牢记在损失方面，与石油储罐相关的危险远高于压力容器和管道（财产损失、人员伤亡）。因为近期所发生的储罐溢罐事故相当严重，所以与早期相比，监控环境将更为严格。业主/操作人员的最佳利益在于接收这个前提并开始思考符合最新操作措施和标准的最佳方式。实现这一目标的一条途径就是逐步并系统性地向前推进。如果储罐测量系统替代方针和新系统的测量方针不是基于已有测量系统，只有采用最佳设备及措施，才能有效地实现该目标。

业主应使用独立且冗余的液位传感器或ATG系统并遵守相关标准中规定的验证试验的要求。通过采取上述措施，可确保公司建立稳健的管理系统，从而为此类标准的正确使用提供相应支持。

参考文献

1.National Fire Protection Association, NFPA 30, Flammable and Combustible Liquids Code, 1993.
2.www.buncefieldinvestigation.gov.uk/ reports/ index. htm#final, December 12, 2005.
3.IEC 61511 Safety Instrumented System Standards, Functional Safety: Safety Instrumented Systems for the Process Industry Sector, 2003.