摘要：

    引言：化工生產(chǎn)通常具有典型的易燃、易爆、有毒及高溫高壓的生產(chǎn)特征，屬于高危行業(yè)。隨著(zhù)化工設備裝置及產(chǎn)能的大型化，由事故導致的危害對社會(huì )諸多方面造成的嚴重后果日益引起人們的關(guān)注。盡管我們可以通過(guò)執行嚴格的規章制度、正確的操作方法、恢復性的年度檢修和日常維護等方式來(lái)減少或避免事故和災害的發(fā)生，但沒(méi)有絕對安全的化工生產(chǎn)。因此，在化工生產(chǎn)裝置中總是設有各種不同類(lèi)型的安全設備及措施，以盡可能地降低事故或災害對人身安全、設備安全和環(huán)境保護造成的影響?；どa(chǎn)中的安全保護系統按專(zhuān)業(yè)主要分為機械、電氣和儀表三類(lèi)，而近幾年安全儀表系統SIS(safety instrUment system）發(fā)展較快并得到廣泛應用。由于大型化工生產(chǎn)裝置中對生產(chǎn)安全性有較高要求，新項目通常獨立配置安全儀表系統，完成過(guò)去由繼電器、PLC或DCS完成的邏輯控制功能。為進(jìn)一步提高裝置儀表的安全防護等級，確保儀表故障或事故狀態(tài)下人身設備和環(huán)境的安全，達到并符合國家及安監部門(mén)的要求，需對現有系統進(jìn)行改造改造的目標是實(shí)現邏輯控制與連續控制功能的獨立最大限度地避免過(guò)去同一系統下控制功能同時(shí)失效帶來(lái)的風(fēng)險，實(shí)現合成氨裝置保護系統的高安全性。

    一、安全儀表系統的選型

    安全儀表系統的選擇應當符合國際電工委員會(huì ) (IEC)2000年發(fā)布的IEC 61508《電氣／電子／可編程電子安全相關(guān)系統的功能安全》標準，并經(jīng)TUV認證。作為衡量電氣／電子／可編程電子設備（E/E/PE）功能安全的標尺，IEC 61508標準的發(fā)布，為危險工業(yè)、安全儀表系統用戶(hù)、系統集成商和設備供應商提供了一個(gè)統一的、為各方所接受的標準規范。選擇經(jīng)過(guò)TUV認證且符合IEC 61508標準的系統，用戶(hù)將不需要依靠長(cháng)期的實(shí)際經(jīng)驗或進(jìn)行測試就能獲得所選系統在安全可靠性、有效性、可維護和管理性上的嚴格保障。

    1.1 SIS與DCS的主要差異

    按照IEC 61508和IEC 61511標準，安全儀表系統和DCS系統是兩種不同類(lèi)別的系統，但兩者互為補充和聯(lián)系，主要差異如下。

    ①設計標準規范不同

    安全儀表系統產(chǎn)品是按照IEC 61508標準設計、生產(chǎn)制造的，產(chǎn)品應用也要遵循IEC 61511提出的要求，有著(zhù)統一的國際（國內）標準規范，并為制造商、用戶(hù)各方所接受。DCS系統只需要達到使用國家及地區的標準規范要求、滿(mǎn)足用戶(hù)提出的要求即可。用戶(hù)在選擇和綜合評估不同制造商的DCS系統時(shí)，更多考慮的是根據市場(chǎng)調查得到的其他用戶(hù)的使用經(jīng)驗和供應商提供的資料數據。

    ②產(chǎn)品定位不同

    安全儀表系統用于生產(chǎn)過(guò)程中的安全防護，功能安全是其核心定位，要求具有較高的可靠性和可用性。DCS系統則是用于生產(chǎn)中的過(guò)程控制，控制功能是其核心定位，要求滿(mǎn)足和實(shí)現生產(chǎn)過(guò)程中需要的各種控制功能，并通過(guò)各項生產(chǎn)指標的優(yōu)化控制，實(shí)現生產(chǎn)裝置的節能降耗和增效。

    ③工作特性不同

    DCS系統是一個(gè)“動(dòng)態(tài)”的過(guò)程控制系統，它實(shí)時(shí)采集現場(chǎng)大量的各種工藝數據，根據預定的控制策略進(jìn)行運算（通常較為復雜耗時(shí)）處理后控制現場(chǎng)執行元件（調節閥）的動(dòng)作。這個(gè)過(guò)程經(jīng)常伴有操作人員的人工干預，響應處理速度一般在幾百毫秒到一秒之間。安全儀表系統可以看作是一個(gè)“靜態(tài)”的系統，正常工況下，它是“靜止”的，不會(huì )發(fā)出控制輸出指令，一旦達到或超過(guò)臨界點(diǎn)，則快速響應進(jìn)行邏輯運算（一般較為簡(jiǎn)單）處理后控制執行元件（電磁閥、兩位式快動(dòng)閥等）的動(dòng)作，使裝置處于所需的安全狀態(tài)。這個(gè)過(guò)程一般沒(méi)有人工操作干預，響應處理速度一般在幾十到幾百毫秒，優(yōu)于DCS系統。

    ④產(chǎn)品認證不同

    安全儀表系統（或該系統中的子系統及部件）需要經(jīng)過(guò)獨立公認的第三方權威安全機構的嚴格認證，如在世界范圍內被認可的德國TUV認證。DCS系統則可以不需要通過(guò)這種認證，只需取得通用的認證即可，如UL、CE等。因此，在SIS選型時(shí)，要特別注意SIS與DCS的差異，不能按DCS的選型思路來(lái)選擇安全儀表系統，且需要重點(diǎn)關(guān)注SIS全系統的安全性、可用性與可靠性。

    1.2安全完整性等級的確定
安全完整性等級SIL(safety integrity level）是指在一定時(shí)間、一定條件下，安全相關(guān)系統執行其所規定的安全功能的可能性。選擇安全儀表系統時(shí)，需要確定安全儀表系統的安全完整性等級。安全完整性等級是對安全儀表系統安全性能的要求級別，一個(gè)裝置的危險性越高，對安全儀表系統要求的安全等級就越高，獲得對應級別安全性能所付出的安全成本也越高。生產(chǎn)裝置的危險由下式?jīng)Q定:
Risk=Probability*Consequences
式中：Risk表示裝置可能的危險；Probability為危險發(fā)生的概率；Consequences表示危險的后果

    危險發(fā)生的概率為危險事件發(fā)生概率與安全儀表系統的失效概率的乘積，而SIL與失效概率有著(zhù)對應關(guān)系。因此，SIL反映了安全功能對整體風(fēng)險水平降低的作用程度。在評估和確定安全完整性等級時(shí)，根據生產(chǎn)裝置的特點(diǎn)、工藝的危險性、國家和企業(yè)相關(guān)法規所要求達到的安全等級，由具有資質(zhì)的專(zhuān)門(mén)機構進(jìn)行，也可由企業(yè)根據自己實(shí)踐經(jīng)驗分析確定，通常大型化工、石化和電力行業(yè)所需的安全等級為SIL3級。合成氨裝置作為我公司在當地的重大危險源之一，對企業(yè)和周邊地區人身、設備和環(huán)保有重大的影響。按照通常大型化工裝置的安全等級防護要求，確定合成氨裝置的安全完整性等級為SIL3。需要強調的是，安全完整性等級是對整個(gè)系統而言，包括輸入輸出環(huán)節上的所有串聯(lián)設備（部件）都應該納入考慮的范疇。然而，現階段輸入輸出設備能夠達到SIL3并經(jīng)過(guò)TUV認證的并不多，輸入輸出設備中的變送器（傳感器）、安全柵、繼電器、電磁閥和閥門(mén)等多為SILI或Sl 硯。用戶(hù)可以根據具體使用情況和安全性要求進(jìn)行評估后選擇，盡可能選用接近所要求安全完整性的產(chǎn)品，或在關(guān)鍵回路中盡量選用SIL高的產(chǎn)品，或通過(guò)其他方法來(lái)提高SIL等級，如在安全儀表系統中使用的變送器，單臺使用的情況下，SIL可能只能達到SILI或SlU，如果需要達到SIL3，就需要使用多臺變送器，通過(guò)表決取值（三選二、變化率選擇或其他方式）來(lái)實(shí)現。改造過(guò)程中，我們對重要關(guān)鍵回路（如壓縮機潤滑油壓等）保留了過(guò)去三選二的配置和處理。

    1.3 SIS產(chǎn)品本身安全性的識別

   停車(chē)聯(lián)鎖拒動(dòng)與誤動(dòng)是系統運行中存在的關(guān)鍵問(wèn)題。誤動(dòng)帶來(lái)的風(fēng)險是企業(yè)短時(shí)局部經(jīng)濟效益的損失，拒動(dòng)帶來(lái)的風(fēng)險則可能導致企業(yè)人身、設備和環(huán)境的巨大災難，后果影響是長(cháng)期重大的?；ぐ踩珒x表系統的功能是安全防護，其主要用途之一是化工生產(chǎn)過(guò)程中的安全防護，即停車(chē)聯(lián)鎖控制，此時(shí)，也將安全儀表系統稱(chēng)為緊急停車(chē)系統ESD(emergency Shut down）。功能安全是安全儀表系統的核心特征，設計理念與應用須遵循IEC 61508/61511標準，且必須是故障安全型的控制系統。

    安全儀表系統本身必須具有很高的安全性。當系統檢測到裝置工藝變量達到或超過(guò)臨界值時(shí)，必須完成安全保護動(dòng)作，避免事故或危險擴大，這是它的正常功能。另一方面，安全儀表系統必須有很強的診斷功能，系統中局部故障或失效產(chǎn)生單點(diǎn)故障時(shí)，故障不會(huì )擴大并可切除或隔離；當系統中的故障足夠嚴重（非工藝參數變量引起），如系統不能正常工作，或者因為系統中的故障導致安全儀表系統的安全完整性等級下降時(shí)，安全儀表系統將宕機，系統中獨立的診斷模塊（看門(mén)狗）將觸發(fā)故障安全保護動(dòng)作，保證系統不會(huì )因為重大儀表系統故障產(chǎn)生拒動(dòng)的風(fēng)險而失去安全性，從而保障了工藝裝置的安全性。如本次改造采用霍尼韋爾SM系統集中完成全部輸入邏輯處理運算和輸出設備的控制，集中度高、風(fēng)險高，對SIL的等級應高于輸入輸出。這種SIL級別的要求包括系統內部邏輯處理器的輸入輸出接口、處理器（CPU）、電源、總線(xiàn)、通信接口和軟件系統，且必須是通過(guò)TUV認證的。FSC2OO4D系統結構如圖1所示?？刂铺幚砥饔扇哂嗟膬蓧KCPU卡構成，每個(gè)CPU卡有兩個(gè)微處理器，安全降級模式為4-2-0，正常工作時(shí)為SIL3；當一個(gè)CPU卡出現故障時(shí)，仍為SIL3；當兩塊都壞時(shí)，系統將宕機，故障安全保護將動(dòng)作圖。

    二、SIS在化工裝置中的應用

    在本次改造中，將關(guān)鍵回路的邏輯控制與ESD系統從TPS中獨立出來(lái)，從而提升邏輯控制與主要化工設備與裝置的安全性。由于選用的SM系統本身是SIL3系統，因此，改造的關(guān)鍵在于輸入輸出環(huán)節的可用性與可靠性的處理。

    2.1 增強SIS的可用性

    應用在安全儀表系統中，可用性也是系統的一項重要指標和性能。簡(jiǎn)單地說(shuō)，可用性是指系統不因單點(diǎn)故障的產(chǎn)生而喪失系統功能（或使用）的性能。在DCS系統中，通常采用冗余技術(shù)來(lái)獲得系統的可用性，安全儀表系統也不例外。對于我公司大型連續生產(chǎn)的化工生產(chǎn)裝置 ― 合成氨裝置，不能因為系統單點(diǎn)的故障影響到系統的可用性，高可用性是必須的。為了獲得高可用性，在合成氣壓縮機控制中仍然按全冗余進(jìn)行配置，包括電源等硬件。 
2.1.1合成氣 103-J停車(chē)邏輯控制
  合成103-J透平壓縮機組設置了潤滑油主輔油泵啟停聯(lián)鎖、盤(pán)車(chē)聯(lián)鎖、啟停允許聯(lián)鎖、緊急停車(chē)聯(lián)鎖 (ESD）、工藝相關(guān)聯(lián)鎖和冷凝液泵啟停聯(lián)鎖。合成氣壓縮機103-J停車(chē)聯(lián)鎖設計的目的是使機組安全啟停，進(jìn)而保護機組。其緊急停車(chē)聯(lián)鎖邏輯如圖2所示。

    根據上述邏輯示意圖，以下任意一個(gè)條件滿(mǎn)足都會(huì )聯(lián)鎖103-J停車(chē)，停車(chē)信號則送至DCS(XA1203）、現場(chǎng)就地盤(pán)（UA01003）、輔操臺（UA1203) ，以及切斷三個(gè)停車(chē)電磁閥（XY04514 A/B/C）電源，使速關(guān)閥快速關(guān)閉，同時(shí)切斷三個(gè)防喘振閥電磁閥（XSVl007/8/9) 電源，使閥門(mén)快速打開(kāi)。
①按下關(guān)速關(guān)閥按鈕（HSl273B) ，觸發(fā)f511_01輸出。
②控制油壓力 PAID4507 A/B/C任意兩個(gè)達到聯(lián)鎖報警值時(shí)，系統通過(guò)三選二輸出，觸發(fā)f511_01輸出，聯(lián)鎖停止壓縮機。
③103-J高、低壓缸密封氣一級放空差（PDI004454-QHH、PDI04458_QHH 、PDI04434_QHH 、PDI04438_QHH) 任意一個(gè)達到高高報時(shí)，觸發(fā)103J-TRIP邏輯輸出。
④將103-J透平壓縮機組的軸瓦溫度、軸振動(dòng)以及軸位移各監測點(diǎn)引入Bently 3500系統中，各點(diǎn)的邏輯關(guān)系在Bently 3500組態(tài)完成，并送出TAHH701、TAHH7O4、TAHH733、VAHH701、VAHH7O2、VAHH731、VAHH732、ZAHH703、ZAHH733、TAHH04582 、ZAHH04511、VAHH04510、VAHHO4509等信號到SM系統停車(chē)聯(lián)鎖。Bendy 3500系統對機組運行情況進(jìn)行監測，如機組任意一個(gè)軸瓦溫度、軸振動(dòng)以及軸位移達到聯(lián)鎖值，Bently 3500系統都送出相對應的停車(chē)信號（103J_TRIP）到SM系統聯(lián)鎖停止壓縮機。
⑤103-J高、低壓缸密封氣壓差和隔離氣壓差任意一點(diǎn)達到聯(lián)鎖報警值，在延時(shí)30.0 min后報警未消除則聯(lián)鎖停止壓縮機。
⑥當103-J潤滑油總管的三臺壓力變送器中有任意兩個(gè)達到聯(lián)鎖報警值（PALL04406 A/B/C）時(shí)，系統通過(guò)三選二輸出聯(lián)鎖（103J_TRIP）停止壓縮機。
⑦操作人員按下主控制（HS1203）或現場(chǎng)就地盤(pán) (HS04571）緊急停車(chē)按鈕時(shí)，聯(lián)鎖停止壓縮機。
⑧系統檢測到壓縮機的兩個(gè)轉速探頭 (SE01003A/B）都故障時(shí)，將送出停車(chē)信號（f1SPD_FL）聯(lián)鎖停止壓縮機。
⑨在103-J正常運行轉SE01003A/B超過(guò)11738.0r/min或在103-J做超速測試實(shí)驗時(shí)轉速SE01003A/B超過(guò)11800.0r/min時(shí)，系統將送出停車(chē)信號（103J_TRIP）聯(lián)鎖停止壓縮機。
⑩當103-JT排氣壓力三臺壓力變送器中任意兩個(gè)達到聯(lián)鎖報警值（PAHH04465 A/B/C）時(shí)，系統通過(guò)三選二輸出聯(lián)鎖停止壓縮機；103-JT 排氣溫度三個(gè)點(diǎn)中任意兩個(gè)達到聯(lián)鎖報警值（TAll04467 A/B/C）時(shí)，系統通過(guò)三選二輸出聯(lián)鎖停止壓縮機；三選二超速保護系統中三個(gè)通道有任意兩個(gè)報警（SAll04513 A/B/C）或任意兩個(gè)通道檢查到超速發(fā)出報警信號（ SAHII04513 A/B/C）時(shí)，系統通過(guò)三選二輸出聯(lián)鎖停止壓縮機。
  由于系統的邏輯設計是安全儀表系統邏輯運算的重要環(huán)節，邏輯設計的可用性對系統 SIL級別影響至關(guān)重要。改造中采用的措施如下：①使用冗余輸入的運算邏輯，如檢測元件三重冗余配置的“三選二”邏輯形式，以滿(mǎn)足所要求的可用性；②根據工藝特點(diǎn)，對壓縮機啟停允許聯(lián)鎖、工藝相關(guān)聯(lián)鎖采用觸發(fā)器模塊，完成安全保護動(dòng)作的觸發(fā)與復位，規避狀態(tài)保持的邏輯自鎖，實(shí)現安全保護動(dòng)作；③根據工藝要求，設置靈活的旁路切除開(kāi)關(guān)。

    2.1.2邏輯輸入輸出環(huán)節的可用性處理

    作為串聯(lián)風(fēng)險的輸入輸出環(huán)節，邏輯輸入輸出環(huán)節是整個(gè)安全儀表系統的主要組成部分。根據工藝要求、改造成本和冗余增加帶來(lái)的故障點(diǎn)風(fēng)險的綜合評估，在改造中對安全儀表系統的輸入輸出環(huán)節作相應的處理，力求規避單點(diǎn)故障帶來(lái)的短板效應。
①為減小檢測變送環(huán)節自身的故障率，本次安全儀表系統的檢測元件增選了部分具有安全水平認證的變送器產(chǎn)品，相關(guān)產(chǎn)品達到了SILI-2安全等級并獲得TUV認證，使得部分檢測元件產(chǎn)品的安全等級有了明確的界定。壓縮機的控制油壓力、潤滑油壓力、排氣壓力與溫度、壓縮機轉速等重要參數采用三重檢測并設置偏差報警；對設備自診斷信息進(jìn)行二次容錯判斷并作為預處理邏輯運算的約束條件，確保輸入環(huán)節總體達到SIL3安全完整性等級。
  ②在執行機構（電磁閥、速開(kāi)閥、速關(guān)閥）的配置上，SIL2及以上等級的安全儀表系統通常采用獨立或冗余配置的執行機構。在單臺執行機構和冗余元件兩種方法都可行時(shí)，采用高可靠度執行元件通常比執行元件冗余更好，執行機構優(yōu)先選用符合IEC 61508安全度等級并取得相關(guān)認證的產(chǎn)品。改造中防喘振電磁閥（XSV1007/8/9）分別作用于壓縮機的三段，喘振值根據不同負荷的喘振曲線(xiàn)隨機得出，在電源雙路獨立供電的情況下，對ESD均采用氣關(guān)閥失電動(dòng)作，從而可以最大限度地防止該電磁閥的拒動(dòng)。三重化輸出的停車(chē)電磁閥（XY04514 A/B/C）作用于蒸汽速關(guān)閥的控制油系統，從而使油壓推動(dòng)的蒸汽閥快速關(guān)閉，壓縮機安全停車(chē)。綜上所述，實(shí)際輸出環(huán)節整體接近SIL3的安全等級要求。

    2.2 SIS可靠性應用的完善
合成氨裝置的生產(chǎn)目標是長(cháng)、安、穩運行，安全儀表系統聯(lián)鎖誤動(dòng)作盡可能少發(fā)生或不發(fā)生，實(shí)現企業(yè)效益的最大化。但化工生產(chǎn)安全不能過(guò)度，過(guò)度則會(huì )使聯(lián)鎖動(dòng)作停車(chē)，造成安全目標與生產(chǎn)目標嚴重沖突。
  盡管安全儀表系統SM自身是安全可靠的，但也需要綜合考慮實(shí)際應用中的各種因素，才能起到有效的安全保護作用。改造中，我們從以下三個(gè)方面完善系統的安全可靠性。

    2.2.1完善安全功能的設計
原有的聯(lián)鎖功能已經(jīng)在DCS系統中運行多年，穩定可靠，輸入以模擬量為主。當移植到SM中時(shí)，邏輯功能不需要作過(guò)多的修改，模擬處理功能則需要根據使用要求進(jìn)行修改，特別對于高溫高壓下的液位測量，需采用軟測量的方法來(lái)補正液體密度變化帶來(lái)的巨大測量誤差鬧。由于SM主要以處理數字量為主，輸入預處理功能較弱，改造中采用如下措施：①溫壓補正、小信號切除等功能采用自定義功能塊實(shí)現；②使用開(kāi)方、除法器時(shí)，規避不能出現負數開(kāi)方和除數為零的應用，以避免運行時(shí)造成非正常停車(chē)事故。

    2.2.2輸入輸出可靠性的增強

    經(jīng)驗和統計數據表明，傳感器故障率約為40%控制器故障率約為10%，執行機構故障率約50％。系統誤動(dòng)作的不安全因素主要來(lái)自輸入與輸出兩端，是故障率較高的兩個(gè)環(huán)節。除了選用質(zhì)量有保證和可靠性較高或經(jīng)過(guò)認證的產(chǎn)品外，改造中采取了如下措施輸入回路使用信號浪涌保護器（防雷柵）;24VDC外部供電冗余并安裝浪涌保護器；兩路UPS 220 VAC供電并安裝多級浪涌保護器；干擾比較大的回路安裝隔離柵曰；選用低密度（4或8通道）I/O卡；不相關(guān)回路分配到不同的I/0卡上；減少輸入輸出中間連接環(huán)節對工藝條件許可的快開(kāi)閥實(shí)現冗余并聯(lián)配置，快關(guān)閥實(shí)現冗余串聯(lián)配置。

    2.2.3安全的可視化操作界面合成氨裝置原有聯(lián)鎖功能在霍尼韋爾公司的TPS系統中完成時(shí)，操作監控非常方便，改用SM實(shí)現聯(lián)鎖功能后，由于安全儀表系統不同于DCS系統，屬于低操作率的系統，正常時(shí)不需要過(guò)多的人工干預，系統自身的操作監控界面比較簡(jiǎn)單、不利于集中監控，操作起來(lái)也不方便。為此，按照操作人員在事故狀態(tài)下易誤操作的情景模擬，完成了對主控人機操作界面的設計與改造：根據操作習慣和操作的安全性，重新設置操作按鈕的布局與擊鍵確認次數；根據不同故障模式，操作導向圖示化；邏輯控制輸入、控制、輸出三個(gè)環(huán)節的所有點(diǎn)的有效性狀態(tài)顯示；設置了聯(lián)鎖單點(diǎn)切除開(kāi)關(guān)功能，方便操作維護。

    三、應用效果

    系統改造投用后，可用性和可靠性明顯提高，運行穩定。系統運行1年多以來(lái)，應用效果對比如表1所示。

    四、結束語(yǔ)

   在化工生產(chǎn)中，安全儀表系統是非常重要的特殊控制系統，在選型、改造、使用與維護中必須遵循嚴格的安全標準及規范，并根據企業(yè)自身的實(shí)際情況，綜合采取多種安全可靠性措施，確保系統功能安全的實(shí)現，使企業(yè)的人身設備安全和環(huán)境安全得到充分可靠的保障。