GB／T 41394-2022  爆炸危险化学品储罐防溢系统功能安全要求

GB/T41394—2022

检验测试prooftest 为揭露安全仪表系统中未检测到的故障而执行的测试，以便在必要时把系统修复到所设计的功能 [来源：GB/T21109.1—2007,3.2.58] 3.27 安全状态safestate 达到安全时的过程状态。 注1：本文件中的安全状态主要指将不会造成储罐溢流的进料过程状态。 注2.该术语的定义同GB/T21109.1一2007中的定义有差别.以体现行业应用习惯

储罐防溢系统应包括技术措施和管理措施， 储罐防溢系统技术措施可包括高液位报警、液位超高联锁等。典型的技术措施设置见图1。

储罐防溢系统应包括技术措施和管理措施吊环标准， 储罐防溢系统技术措施可包括高液位报警、液位超高联锁等。典型的技术措施设置见图1。

注：图1技术模型来源于行业良好工程实晟经验。

图1储罐防溢系统通用技术模型

图1储罐防溢系统通用技术模型

图1储罐防溢系统通用技术模型

5.1.3储罐防溢系统管理措施可包括储罐技术档案、储罐容积表、运行日报表、操作规程等

注：在本文件中“停止”包括如下含义： 1）关掉压力源（例如，停泵）； 2）转移进料； 3）切断流量（关闭进料阀门）； 4）使用其他方法将进料过程导人安全状态。 5.1.6 应建立罐区安全管理体系（见第6章）和储罐溢流事故应急预案（见第6章）。 5.1.7 液位监测和高液位报警可通过连续液位计或自动储罐计量系统实现。 5.1.8 独立的高高液位报警应由液位传感器和报警系统构成。 5.1.9 AOPS联锁功能应由液位传感器、控制器、执行单元实现

5.2储罐监控方式及防溢系统仪器仪表配置分

根据储罐具体使用情况可将储罐监控方式和防溢系统仪器仪表配置分为四类，见表1。

1储罐监控方式和防溢系统仪器仪表配置分类

5.3储罐防溢系统全生命周期功能安全要求

应对储罐防溢系统实现全生命周期功能安全管理。全生命周期功能安全要求应包括： 储罐防溢安全管理要求（见第6章）； 储罐溢流风险评估要求（见第7章）； 储罐防溢系统安全要求分配的要求（见第8章）； 储罐防溢系统设计要求（见第9章）； 储罐防溢系统安装要求（见第10章）； 储罐防溢系统运行前安全确认要求（见第11章）； 储罐防溢系统的验收要求（见第12章）； 储罐防溢系统检验测试和维护要求（见第13.章）； 储罐防溢系统变更管理要求（见第14章）； 储罐防溢系统停用要求（见第15章）

6储罐防溢安全管理要求

储罐管理制度中应包括储罐防溢安全管理要求，内容包括： 操作规程，包括针对正常和异常操作条件的措施和规程； 应急响应程序及现场处置预案； 操作和维护人员的能力培养和维持； 由合格的人员对功能性设备系统进行测试和维护； 储罐防溢系统仪表和设备的定期检查和维护计划； 人员和硬件变更的管理（MOC)； 有关未遂事故和事故的判断、调查、沟通； 处理未遂事故或减轻事故影响的后续跟进； 良好操作实践和事故教训分享：

异常和正常条件 主/运行方之间的沟通保障体系。 承运方是指按照合同要求将介质运输 业主是指储罐的资产所有者。运行方是指按照合 同要求运行和管理储罐的相关方 行方可能是一方

6.4储罐防溢安全管理体系要求

6.4.1储罐防溢安全管理体系文件要求应至少包括工艺安全信息、工艺危害分析、功能安全评估、变更 管理、操作规程、机械完整性、设备变更、作业许可证、事故调研、员工参与。 6.4.2应对储罐防溢安全管理体系文件进行定期复审

6.5储罐防溢操作安全规程要求

6.5.1制定进料计划的规程

6.5.1.1应制定进料计划.内容应包括储罐进料的正常操作和填充储罐到最高工作液位的规程，还应

.5.1.1 应制定进科计划，内容应包括储 括一些复杂操作，如： 在同一进料作业中切换接收罐； 一多个储罐同时进料； 一多个来源同时向某一储罐进料； 一其他非正常工况。 6.5.1.2计划中应明确进料量，与接收罐的可用容积比较，确保储罐有足够的可用容积。 注：接收罐的可用容积使用MW来计算。 6.5.1.3应在进料前做好充分计划，在液位达到MW前及时切罐或停止进料。 6.5.1.4计划中应明确进料完成时储罐预期液位，未经授权预期液位不应超过MW。在任何情况下，储 罐进料后的液位均不应达到或超过HH或AOPS液位。 注：AOPS液位指需要由AOPS执行动作的液位值。 6.5.1.5计划中应明确进料过程中各岗位人员职责分配。

注：AOPS液位指需要由AOPS执行动作的液位值 .1.5计划中应明确进料过程中各岗位人员职责

6.5.2进料前的活动规利

5.2.1进料前应核查储罐中的可用容积，与计划的进料量/卸料量（如油罐车卸油操作）进行比较 计划的进料量超过储罐的可用容积，应调整计划。 .5.2.2进料前，应至少明确以下信息并形成文档记录

计划进料开始时间和预计结束时间； 一预计流量，包括任何可能的工况变化。 6.5.2.3进料前，应核对罐区所有阀门状态，以确保介质被输送到指定储罐中。连接不同储罐的同一进 料管道只应打开待进料储罐的入口阀门，其他所有储罐入口阀门应关闭。 6.5.2.4对于1类、2类、3类储罐，在进料前应确认收料操作人员与上游操作人员间通信畅通，确保进 料过程中必要时有足够的响应时间停止进料。 对于1类储罐，参与人员可在进料开始时至少通信一次，在进料过程中定期通信，并在进料结 束之前至少通信一次。 对于2类和3类储罐，参与人员应至少在进料过程的开始和结束时进行通信。 6.5.2.5在进料前应确认监控系统处于正常工作状态。 6.5.2.6在进料期间.储罐所在区域防火堤的排水阀应保持关闭

.5.3进料期间的活动规

参与进料的储罐； 进料或卸料速率； 未完成的进料量； 剩余的罐可用容积； 预计进料完成的时间。 6.5.3.3应监测连接同一进料管道的其他储罐，确保没有非正常的液位变动。 6.5.3.4在进料过程中，应确保换班的操作人员之间保持通信和控制的连续性。 6.5.3.5进料开始后，应立即验证介质是否只流人正确的储罐中，且储罐防溢系统相关措施有效。 6.5.3.6在进料期间，应定期巡检，确保管道、储罐、泵、防火堤等设施的完整性，并确保现场未发生可能 影响进料的未经授权的活动。

6.5.4进料后的活动规程

在进料结束后，应确保阀门及动力设备（如泵）顺序关闭。

.5.5进料过程的文档化

5.5.1在进料结束时，应记录以下内容并注明时

进料涉及的储罐； 实际进料量； 一进料后的储罐液位。 6.5.5.2所有与进料相关的记录应保存一段时间，时间长短应符合相关法律法规及业主/运营商相关管 理制度。

6.5.6异常情况的活动规程

6.5.6.1储罐正常进料不

报警触发（例如，高液位报警后，现场人员如何响应实现进料停止）； 溢流后的响应； 液位监控或报警通信中断，或与储罐防溢系统相关的公用设施故障； 操作、设备、环境、天气等出现异常情况； 计划进料流量和检测到的实际进料流量之间偏差超出5%时。

针对储罐液位监测系统或储罐防溢系统故障情况，应设置恢复时间要求，启动预先建立的异常 。程序应规定在储罐进料作业前现场须设置有足够的风险降低补偿措施。在液位监测系统故 ，进料作业的所有操作都应经过审核

6.6储罐溢流事故应急预案要求

6.6.1储罐区应设置应急预案，并定期进行演练。

6.1储罐区应设置应急预案，并定期进行演练。 .6.2应急预案的设置应符合国家、行业或企业相关标准规范要求。 .6.3现场处置方案应符合现场实际并具有可操作性。方案编制应符合GB/T29639。

7.1.1应在新建储罐进行防溢系统设计前或在役储罐变更设计前开展一次储罐溢流风险评估。 注：风险评估包括定量或半定量方法，目前常用的方法为HAZOP、FMEA等。 7.1.2开展风险评估的组织及人员资质、组织管理、实施流程、文档化和发布签署等应符合国家相关文 件要求和国家、行业、企业相关标准及规范要求

7.2风险评估实施要求

7.2.2应针对罐区工艺、设备、设施、人员等方面评估会导致储罐溢流事件发生的所有合理可预见情 况，包括仪表或阀门故障状况、误用、人员误操作、异常的进料运行模式等。 7.2.3应针对所有已辨 7.2.4应评估会导到 的发生频率（或频率等级），频率或频率等级的定义和选择应 符合国家、行业或企业相关标准规范要求，并具有可信的来源。 7.2.5，应评估危险事件会导致的储罐溢流后果严重性程度，后果及其严重性等级的定义和选择应符合 国家、行业或企业相关标准规范要求，并具有可信的来源。 7.2.6应评估储罐溢流的风险等级，风险分级准则应符合国家、行业或企业相关标准规范要求。 7.2.7对提出的风险降低措施（如液位报警、联锁），应有明确的实施和追踪的负责人。 7.2.8应详细记录7.2.1～7.2.7各项活动所分析及引用的资料的名称及版本号。 7.2.9应详细记录7.2.1～7.2.7各项活动内容，形成文档，并由相关责任人签署。

符合国家、行业或企业相关标准规范要求，并具有可信的来源。 7.2.5，应评估危险事件会导致的储罐溢流后果严重性程度，后果及其严重性等级的定义和选择应符合 国家、行业或企业相关标准规范要求，并具有可信的来源。 7.2.6应评估储罐溢流的风险等级，风险分级准则应符合国家、行业或企业相关标准规范要求。 7.2.7对提出的风险降低措施（如液位报警、联锁），应有明确的实施和追踪的负责人。 7.2.8应详细记录7.2.1～7.2.7各项活动所分析及引用的资料的名称及版本号。 7.2.9应详细记录7.2.1～7.2.7各项活动内容，形成文档，并由相关责任人签署。 7.2.10风险评估文档应包括： 风险评估方法； 风险的确定，风险的减轻和风险的可接受性； 团队成员及其专业知识； 概率、后果因素及风险评级； 一评估的基础，包括假设、数据来源和数据分析； 一如何将风险降低到可接受的水平，以满足业主/运营方的标准。 7.2.11当罐体、罐区及周围区域发生变化增加溢流风险时，应重新开展风险评估。 7.2.12业主/运行方应按照国家相关文件要求和标准规范定期开展风险评估。重点监管危险化学品 和危险化学品重大危险源的生产储存装置不得超过3年，其他生产装置不宜超过5年。

风险评估方法； 风险的确定，风险的减轻和风险的可接受性； 团队成员及其专业知识； 概率、后果因素及风险评级； 一评估的基础，包括假设、数据来源和数据分析； 一如何将风险降低到可接受的水平，以满足业主/运营方的标准。 7.2.11当罐体、罐区及周围区域发生变化增加溢流风险时，应重新开展风险评估。 7.2.12业主/运行方应按照国家相关文件要求和标准规范定期开展风险评估。重点监管危险化学品 和危险化学品重大危险源的生产储存装置不得超过3年，其他生产装置不宜超过5年，

8储罐防溢系统安全要求分配

8.1.1安全要求分配应在开展过一次风险评估后展开

8.1.1安全要求分配应在开展过一次风险评估后展开

、风险图等。 8.1.2安全要求分配应包括储罐防溢安 安全功能要求确定和安全完整性要求分配。 8.1.3开展安全要求分配的组织及人员资质、组织管理、实施流程、文档化和发布签署等应符合国家机 关文件要求和国家、行业或企业相关标准规范要求

8.2安全要求分配实施要求

8.2.1应明确定义用于预防、控制或减轻储罐溢流风险的保护层及其安全功能，包括由安全仪表系统 执行的安全仪表功能（SIF）。 8.2.2应评估并识别AOPS联锁功能与液位监测及报警功能之间存在的潜在的共因失效。 8.2.3应评估并识别储罐防溢系统与储罐溢流触发事件或原因之间的相关性和独立性。 8.2.4应评估储罐防溢系统中各保护功能的风险降低能力。各保护功能风险降低能力的定义和选择 应符合国家、行业或企业相关标准规范要求，并具有可信的来源。 8.2.5如果评估确定需要设置SIF（如独立的AOPS联锁功能），应分析SIF的安全功能要求和安全完 整性等级要求。 8.2.6应确定SIF最大可接受误动作率要求（如需要）。 8.2.7 应确定单个或多个SIF动作可能带来的附加危害。 8.2.8对动力源（如电源、液动源或气动源）中断而不进入安全状态的SIF，应根据9.4.3.11采取行动。 8.2.9 SIL要求应结合罐区实际情况合理分配。在设置了合理的报警功能、BPCS、AOPS后，若储罐溢 流风险仍未降至可接受范围，宜设置独立于SIS、BPCS的声光报警系统。 B.2.10应详细记录8.2.1～8.2.9各项活动中所分析及引用的资料的名称及版本号。 8.2.11J 应详细记录8.2.1～8.2.9各项活动内容，形成文档，并由相关责任人签署。 8.2.12安全要求分配文档应包括

安全要求分配方法； 风险可容忍标准的确定； 团队成员及其专业知识； 初始事件频率、场景后果及残余风险确定； 评估的基础，包括假设、数据来源和数据分析 为满足风险可容忍标准需采取的行动（即安全要求分配结果）。

9储罐防溢系统设计要求

9.1.1储罐系统设计应符合国家相关法律法规及设计规范要求，储罐防溢系统应根据储罐溢流的风险 评估（第7章）及安全要求分配（第8章）的结果进行设计。 9.1.2业主和运行方应按照每个储罐的具体参数，使用条件等方面合理设计储罐防溢系统。设计要考 患的因素包括：储罐的类型（操作模式、管理方式）、各液位参数、报警和控制系统、报警信号、UPS、联锁 功能及安全防护等因素。

极限液位（CH)； 高液位(H)； 最高工作液位（MW)

极限液位（CH)； 高液位(H)； 最高工作液位（MW）

注：此处7.7cm是根据行业良好工程实践得出

一储罐完整性发生变化（包括罐本体及附件）：

验证所有系统部件都已正确响应的时间，以及若系统未正确响应时采取适当补数动作的 时间； 转移罐内介质的速率

位过程中的相关参数发生变化时，应及时更新文档

9.3储罐防溢系统的分类及组成

9.3.1储罐防溢系统分类

9.3.2手动防溢系统（MOPS)

注：以下情况都属于MOPS的响应动作：操作人员去现场进行开关阀门或其他设备的操作，或在控制室触碰按钮 来实现阅门或其他设备的远程开关。 9.3.2.2MOPS设备组成包括但不限于： 传感器（例如，液位计、液位开关）； 数据传输设备； 报警信号系统； "一逻辑控制器（例如，继电器、PLC、SIS)； 一手动阀门

9.3.3自动储链防溢系统（AOPS)

3.3.1AOPS响应过程无需人员干预或参与，应通过储罐液位传感器、逻辑控制器和最终执行元 的自动控制回路实现自动终止进料。 3.3.2AOPS设备组成包括但不限于： 传感器（例如，液位计、液位开关）； 逻辑控制器（例如，继电器、PLC、SIS) 远控阀门（例如，气动、电动、液动）

成的自动控制回路实现自动终止进料。

传感器（例如，液位计、液位开关）； 逻辑控制器（例如，继电器、PLC、SIS)； 远控阀门（例如，气动、电动、液动）

9.4AOPS的功能安全设计

应基于安全要求分配（第8章）确定AOPS是否应由SIS实现。对于由SIS实现的AOPS应确定 其安全完整性要求，编制安全要求规格书（SRS），依据SRS完成AOPS设计。 注：9.4中AOPS特指需要由SIS实现的储罐防溢安全仪表功能

9.4.2.1SRS应包括以下内容：

GB/T 413942022

9.4.3设计和实施要求

9.4.3.1AOPS设计和实施应以安全要求规格书为依据，并满足本条所有要求。

9.4.3.1AOPS设计和实施应以安全要求规格书为依据，并满足本条所有要求。 9.4.3.2对于同时实现安全仪表功能和非安全仪表功能的SIS，所有在正常和故障状况下会对AOPS 有负面影响的部分（包括但不限于硬件、嵌人式软件和应用程序）都应当成SIS的组成部分，并应符合最 高SIL要求。 注1：除非特殊情况，尽量保持液位监测、高液位报警和AOPS之间充分的独立性。 注2：充分的独立性意味着任何非安全仪表功能或编程实现的非安全嵌人式软件或应用程序功能都不会引起安全 仪表功能失效

GB/T413942022

9.4.4硬件故障裕度（HFT)

9.4.4.1HFT可被分配给组成AOPS的子系统（如传感、控制、执行）。

2AOPS或者AOPS的子系统HFT应符合：

GB/T21109.1—2007中11.4; GB/T20438.2—2017中7.4.4.2(路线1H)； GB/T20438.2—2017中7.4.4.3(路线2H)

9.4.5AOPS设备的选型要求

9.4.5.1下列行为应符合GB/T20438.2—2017和GB/T20438.3—2017以及9.4.6的要求： 选择AOPS的组成设备； 把设备集成到SIS架构中； 根据SRS制定设备的验收准则。

6.3根据以往使用的情况选择AOPS组成设备应符合下列要求 应开展以往使用评估以证明设备适用于当前AOPS。 注1：经以往使用评估得出的数据可以补充到用于计算随机失效的数据库。 以往使用评估应收集证据证明：与要求的安全完整性相比，系统性危险故障已被降低至充分低 的水平。证据的详细程度取决于所评估设备的复杂程度。 以往使用评估应收集：设备在相似运行环境中的性能信息，以往使用中已安装设备的功能性和 完整性，包括过程接口、设备边界、通信和公共设施。 以往使用评估应对以下内容进行评估： ·制造商的质量体系、管理体系和配置管理体系； ·设备充分的标识和规范； ·在类似运行环境中设备性能的证明； 注2：在现场设备（例如，传感器和最终元件)满足某一给定规范的情况下，该设备在安全应用和非安全应用中的行 为通常是一样的。因此，类似设备在非安全应用中的性能证明也能用于满足此需求。 ·大量的运行经验。 注3：一般通过用户设备清单记录现场设备与操作经验有关的信息，该清单的形成是基于设备在安全和非安全应 用中成功运行的大量历史记录，不包括未能成功执行功能的设备。倘若下列条件均满足，现场设备清单能用 于支持运行经验的声明： a）定期更新和监视清单； b）只有在获得足够的运行经验时，现场设备才能加人该清单； c）当现场设备的运行历史记录显示出它们不能完美地执行功能时，从该清单中删除它们 d）清单中要包含相关的运行环境。 注4：设备性能受到运行环境的影响较高，通常推荐基于大量安装并运行足够长时间而获得的充分的设备性能表 现来进行选择。获得的运行经验需允许足够时间来揭露早期失效，例如和规格书、储存、安装及试运行相关 的早期失效。 注5：用于获得可信的具有统计意义的可靠性数据而需要的运行经验通常远多于用于证明“以往使用”需要的运行 经验。 所有基于“以往使用”选用的设备应通过特定的版本号进行识别，并受控于变更管理程序。当对 这些设备做出变更时，应对“以往使用”的证据是否继续有效进行论证（通过评估变更的影响）。 市.4对于SIL1、SIL2、SIL3的AOPS，基于“以往使用”选择FPL设备（如智能液位变送器）应满足 5.1~9.4.5.3及以下要求。 应识别并考虑所有可能影响AOPS安全的设备组态选项。对于没有定义特定设置的，应确认 设备的默认设置是否合适。设备未被使用的特性应在适用性证据中加以识别，并确定这些特 性不太可能危害到AOPS。 对于设备的特定组态和运行环境，适用性证据应包括：

锅炉标准规范范本9.4.5.4对手SILI、SIL2、SII

应识别并考虑所有可能影响AOPS安全的设备组态选项 设备的默认设置是否合适。设备未被使用的特性应在适用性证据中加以识别，并确定这些特 性不太可能危害到AOPS。 对于设备的特定组态和运行环境，适用性证据应包括：

9.4.6接口设计要求

9.4.6.1一般要求

操作员接口； 维护/工程接口； 通信接口。

9.4.6.2操作员接口要求

注：需考虑对旁路操作实施强制时间限制港口水运施工组织设计，并限制每次激活的旁路数量。 9.4.6.2.3对于维护AOPS至关重要的SIS状态信息应在操作员界面显示。这些信息包括： 目前处于AOPS动作序列中的哪个环节； 已发生AOPS保护动作的指示； 某个保护功能被旁路的指示； 已发生某个自动动作（如表决降级和/或故障处理）的指示； 传感器和最终元件的状态； 影响安全的动力源丧失（如UPS故障）； 诊断结果； 支持SIS所需的环境改善设备的失效。 9.4.6.2.4SIS操作员接口的设计应能防止改变SIS应用程序。 9.4.6.2.5在需要将信息从BPCS传输给SIS时，应使用系统、设备或程序来确认传输了正确的信息， 并目不会损害SIS的安全完整性

GB/T413942022