摘要：石油化工屬于高溫、高壓、易燃、易爆行業(yè)，對人身和環(huán)境的保護(hù)要求較高。本文闡述了安全儀表系統(tǒng)（SIS）在石油化工行業(yè)的應(yīng)用，對當(dāng)前主流工業(yè)控制系統(tǒng)的優(yōu)缺點進(jìn)行了分析對比。論述了風(fēng)險分析的概念，通過對風(fēng)險的全面分析，合理的設(shè)置聯(lián)鎖保護(hù)系統(tǒng)，兼顧聯(lián)鎖的可用性和可靠性，為安全生產(chǎn)保駕護(hù)航。

關(guān)鍵詞：安全儀表系統(tǒng)，風(fēng)險分析，聯(lián)鎖保護(hù)，可用性，可靠性

一、工業(yè)控制系統(tǒng)概述

隨著工業(yè)向集成化、大型化發(fā)展，人們的安全環(huán)保意識逐年提高，對工廠自動化控制系統(tǒng)提出更高的要求。近年來，工業(yè)控制系統(tǒng)與時俱進(jìn)，得到了高速的發(fā)展，PLC、DCS和SIS系統(tǒng)已經(jīng)成為工業(yè)自動化控制的核心，成為工廠生產(chǎn)裝置的大腦。而控制系統(tǒng)也是百家爭鳴，技術(shù)突飛猛進(jìn)，各種控制系統(tǒng)的界限也逐漸模糊。各個廠家新型的DCS與新型的PLC，都有向?qū)Ψ娇繑n的趨勢。DCS已有很強的順序控制功能，完全能夠?qū)崿F(xiàn)大型的數(shù)字量邏輯運算功能；而新型的PLC，在處理閉環(huán)控制方面也得到了快速的發(fā)展，具有強大的模擬量處理能力，如西門子PCS7系統(tǒng)已經(jīng)完全具備DCS的各種功能。

二、安全儀表系統(tǒng)和過程控制系統(tǒng)的區(qū)別

在大型的連續(xù)生產(chǎn)工業(yè)中，聯(lián)鎖保護(hù)是必不可少的，關(guān)系著人身、環(huán)境和設(shè)備的安全。合理的設(shè)計聯(lián)鎖控制系統(tǒng)和控制邏輯是非常關(guān)鍵的環(huán)節(jié)，要兼顧聯(lián)鎖的可用性和可靠性。聯(lián)鎖設(shè)置的過于簡單，起不到保護(hù)作用，可能會造成危險的發(fā)生；設(shè)置的過于復(fù)雜，會造成誤停車，帶來巨大的經(jīng)濟(jì)損失。所以大型工業(yè)，特別是高溫、高壓、易燃、易爆的石油化工行業(yè)，聯(lián)鎖的設(shè)計非常關(guān)鍵，既要確保安全又要兼顧實用。本文重點介紹SIS系統(tǒng)在石化行業(yè)聯(lián)鎖保護(hù)系統(tǒng)中的應(yīng)用。

對于大型的化工企業(yè)，屬于高溫、高壓、高風(fēng)險的行業(yè)，對于聯(lián)鎖保護(hù)要求更嚴(yán)格。雖然DCS和SIS系統(tǒng)功能都已經(jīng)很完善，但是在實際使用中，根據(jù)場合還是有側(cè)重，DCS側(cè)重于生產(chǎn)的連續(xù)控制，模擬量調(diào)節(jié)，保持生產(chǎn)的平穩(wěn)。而SIS則側(cè)重監(jiān)視生產(chǎn)的運行狀況，對出現(xiàn)的異常做快速處理。在連續(xù)生產(chǎn)中，DCS是“動態(tài)”調(diào)節(jié)，始終根據(jù)PID、串級、分程等控制方案連續(xù)調(diào)節(jié)。而SIS則是“靜態(tài)”的，生產(chǎn)正常時，SIS系統(tǒng)靜態(tài)監(jiān)測，一旦出現(xiàn)非正常情況，SIS系統(tǒng)快速響應(yīng)，按照邏輯運算，啟動聯(lián)鎖，保證安全。所以SIS系統(tǒng)在可靠性上比DCS要求更高，處理速度上要求更快。

三、生產(chǎn)過程的風(fēng)險分析

在工廠中，使用什么樣的系統(tǒng)，設(shè)置什么樣的聯(lián)鎖，首先要進(jìn)行風(fēng)險識別和SIL評估，再根據(jù)風(fēng)險發(fā)生的概率和所造成的危害程度來設(shè)置安全聯(lián)鎖的等級。

LOPA分析是一種簡化的風(fēng)險評估方法，通過對現(xiàn)有保護(hù)措施的可靠性進(jìn)行量化的評估，確定其消除或降低風(fēng)險的能力。它首先分析未采取安全保護(hù)措施之前的風(fēng)險水平，然后分析各種安全保護(hù)措施將風(fēng)險水平降低的程度，保護(hù)層可以用一個“洋蔥”來形象地描述其模型，每一層洋蔥皮就相當(dāng)于一個保護(hù)層，由于所有的洋蔥皮對內(nèi)核都起到獨立保護(hù)作用，從而洋蔥內(nèi)核遭受外侵的風(fēng)險就大大降低，如圖1所示。

第一層保護(hù)為合理的工藝設(shè)計，工藝過程，這是安全的基礎(chǔ)。第二層為DCS控制系統(tǒng)，操作人員可以通過DCS對工藝過程進(jìn)行操作，監(jiān)視工藝參數(shù)、人為干預(yù)生產(chǎn)過程，也可以通過PID、分程、串級等一系列控制模型來實現(xiàn)DCS自動控制，使工藝過程在安全范圍內(nèi)進(jìn)行。在生產(chǎn)過程中，如果工藝參數(shù)超限，DCS就會發(fā)出報警來提醒操作人員，操作人員看到報警提醒，及時人為干預(yù)，調(diào)整工藝參數(shù)，這就是第三層保護(hù)。如果工藝參數(shù)嚴(yán)重越線，接近危險將要發(fā)生的范圍，SIS系統(tǒng)啟動聯(lián)鎖反應(yīng)，根據(jù)邏輯程序，發(fā)出動作命令，執(zhí)行元件瞬間動作，中斷生產(chǎn)過程或者做出其它安全措施，迫使生產(chǎn)過程停止以確保安全，這就是所說的第四和第五層的保護(hù)。如果SIS系統(tǒng)動作沒有限制危險發(fā)生，危險急劇增加，設(shè)備自身增加一層物理保護(hù)，例如汽輪機的機械跳車和容器上的安全閥等，當(dāng)危險即將發(fā)生時，為了防止事故不繼續(xù)擴(kuò)大，機械自身帶保護(hù)裝置，達(dá)到危險程度后，靠自身的機械結(jié)構(gòu)釋放，保護(hù)裝置回到安全狀態(tài)。這就是第六層物理保護(hù)。如果這六層保護(hù)都沒有阻止危險的發(fā)生，就只能到第七層緊急響應(yīng)，盡快處理事故過程，把損失降到最低。

四、安全儀表系統(tǒng)介紹及對生產(chǎn)的保護(hù)過程

安全儀表系統(tǒng)，SafetyinstrumentationSystem，簡稱SIS；又稱為安全聯(lián)鎖系統(tǒng)（SafetyinterlockingSystem）。主要是為安全生產(chǎn)，避免事故發(fā)生設(shè)置的一層安全屏障，當(dāng)工藝參數(shù)越線，危險來臨時，安全儀表系統(tǒng)發(fā)出動作或緊急停車，是工廠自動控制中的重要組成部分。

目前，石化系統(tǒng)主流的聯(lián)鎖系統(tǒng)有TRICONEX的TS3000,HONEYWELL的FCS，HIMA的H51q-HRS和SIEMENS的S7-400PLC。

這幾種系統(tǒng)各有千秋，TRICONE、HONEYWELL和HIMA的系統(tǒng)主要用于整個裝置的聯(lián)鎖保護(hù)系統(tǒng)，而S7-400PLC主要用于獨立單元如壓縮機等設(shè)備的聯(lián)鎖保護(hù)。TRICON是三重化冗余，三個CPU同時運行，同時檢測測量信號，在CPU中三個信號做比較，三個狀態(tài)一致，則CPU工作正常。如果其中一個和另外兩個不一致，則采用表決方式。一旦其中一個CPU故障，另外兩個還能正常運行。并且每個參數(shù)的通道中都實現(xiàn)了三重化。如圖2所示。

圖2：三重化邏輯模型

HIMA號稱是四重化冗余，安全級別更高。S7-400PLC則是采用一開一備的熱備模式，正常時，只有一個CPU工作，另外一個CPU處于熱備狀態(tài)，當(dāng)運行的CPU出現(xiàn)故障時，自動切換到熱備CPU運行。這樣從安全的角度來講，比三重化四重化要低很多。所以一般用于獨立單元設(shè)備的控制。

下面以濟(jì)南煉化160萬噸/年柴油加氫裝置高低分為例，介紹安全儀表系統(tǒng)在聯(lián)鎖保護(hù)中的應(yīng)用。加氫裝置的高壓分離器的作用是進(jìn)行氣、油和水三相分離，高壓分離器的操作條件為高壓，而且臨氫。高分的壓力16MPa，低分的壓力2MPa，高壓分離器（下圖3）液位是加氫裝置非常重要的工藝控制參數(shù)，如液位過高容易導(dǎo)致循環(huán)氫帶液，損壞循環(huán)氫壓縮機；液位過低時，易發(fā)生高壓串入低壓事故，大量循環(huán)氫迅速進(jìn)入低壓分離器，此時，如果后續(xù)緊急泄壓聯(lián)鎖失效或者低壓分離器的安全閥未能及時打開，將發(fā)生嚴(yán)重事故。引起低分超壓爆炸，硫化氫和可燃?xì)怏w泄漏，對裝置是毀滅性的事故。對于上述工藝過程，DCS為第二層保護(hù)，操作人員通過DCS調(diào)節(jié)，始終讓液位保持在安全的范圍之內(nèi)，同時DCS設(shè)置報警，一旦液位越線，就是第三層保護(hù)，操作人員調(diào)整液位。如果液位超過第四層保護(hù)的聯(lián)鎖值，SIS系統(tǒng)就緊急切斷控制閥，保持D-105的液位，防止倒串導(dǎo)致的危險發(fā)生。如果這些措施都沒有阻止危險的發(fā)生，發(fā)生高低壓互串，為了防止爆炸的發(fā)生，低壓系統(tǒng)安全閥起跳，緊急物理保護(hù)設(shè)備釋放，大量的有毒氣體散發(fā)在空氣中，就需要緊急啟動響應(yīng)措施，盡可能的降低損失。

圖3：加氫工藝流程示意圖

冷高壓分離器D-105液位是通過控制LV11201A與LV11201B兩調(diào)節(jié)閥來實現(xiàn)的，正常生產(chǎn)時，兩調(diào)節(jié)閥互為備用。為防止冷高分D-105液位壓空，造成高低壓互串，D-105液位底設(shè)兩個聯(lián)鎖切斷閥XV11201和XV11201A，D-105液位設(shè)三個液位遠(yuǎn)傳儀表LI11201、LI11202、LI11203進(jìn)行三取二聯(lián)鎖，當(dāng)LI11201、LI11202、LI11203有兩個低于20%，將聯(lián)鎖關(guān)閉XV11201和XV11201A，同時關(guān)閉D-105的液位控制閥LV11201A與LV11201B，防止高壓介質(zhì)串入低壓引發(fā)事故。

冷高壓分離器D-105界位控制方式和液位基本一致，為防止冷高分D-105界位壓空，造成高分油進(jìn)入酸性水，造成酸性水油含量超標(biāo)。D-105界位出口設(shè)兩個聯(lián)鎖切斷閥XV11202，D-105界位設(shè)三個液位遠(yuǎn)傳儀表LI11204、LI11205、LI11206三取二聯(lián)鎖，當(dāng)LI11204、LI11205、LI11206有兩個低于20%，將聯(lián)鎖關(guān)閉XV11202，同時聯(lián)鎖切斷LV12401A/B。

在上述液位和界位的控制中，傳感器都是三取二（2OO3）。三個獨立的回路進(jìn)入Triconex控制系統(tǒng)，而控制系統(tǒng)也是三重冗余容錯結(jié)構(gòu)的控制器，有三個獨立的控制器。每個點都是3-2-0工作模式。采用雙控制閥串聯(lián)方式，即一個調(diào)節(jié)閥和一個開關(guān)閥。正常操作時，切斷閥全開，調(diào)節(jié)閥來控制工藝參數(shù)，當(dāng)工藝參數(shù)達(dá)到聯(lián)鎖數(shù)值時，控制器發(fā)出命令，切斷閥緊急關(guān)閉，調(diào)節(jié)閥上的電磁閥也切斷控制氣路，閥門關(guān)閉（LV11201A/B和LV11204A/B都是FC）。保護(hù)高壓容器中的氣體不會串入低壓容器引起爆炸危險。

各聯(lián)鎖回路安全等級應(yīng)符合企業(yè)對裝置的風(fēng)險和檢驗要求。依據(jù)IEC61511標(biāo)準(zhǔn)，大約有50%的聯(lián)鎖回路設(shè)計合理，大約40%的聯(lián)鎖回路存在著過保護(hù)，而大約10%的聯(lián)鎖回路存在欠保護(hù)。所以合理的設(shè)置聯(lián)鎖是非常關(guān)鍵的，既要保證聯(lián)鎖的可靠性，還要兼顧聯(lián)鎖的可用性。聯(lián)鎖并非設(shè)置的越安全越好，如果過于的考慮聯(lián)鎖的安全性，就會造成聯(lián)鎖誤動作機率大大提高，從而導(dǎo)致誤停車。如果聯(lián)鎖設(shè)置的過于簡單，會導(dǎo)致聯(lián)鎖拒動作，放任風(fēng)險的發(fā)生。所以聯(lián)鎖的設(shè)置是可用性和可靠性的平衡。早期的聯(lián)鎖系統(tǒng)大部分采用西門子S5系列PLC，系統(tǒng)為一臺CPU運行，一臺熱備。進(jìn)入系統(tǒng)的傳感器也是獨立的數(shù)字型號，執(zhí)行機構(gòu)采用冗余輸出。隨著安全儀表系統(tǒng)的發(fā)展，石化系統(tǒng)的SIS已經(jīng)基本淘汰了CPU熱備的模式。普及了三重化CPU模式，CPU的三重化大大的提高了裝置的安全等級，減少了誤動作的概率。同時聯(lián)鎖設(shè)置風(fēng)格也發(fā)生了很大的變化。早期由于系統(tǒng)處理模擬量能力的限制，聯(lián)鎖的信號一般都為數(shù)字量信號，現(xiàn)場傳輸4-20mA信號到控制室后，經(jīng)過一臺報警設(shè)定器或者安全柵的轉(zhuǎn)換功能，轉(zhuǎn)換成數(shù)字型號后進(jìn)入PLC實現(xiàn)運行，在這個轉(zhuǎn)換過程中，信號的精度大打折扣，會有很大的誤差，同時數(shù)字量信號沒法記錄儀表實時趨勢，對事故分析增加一定的難度。隨著控制系統(tǒng)的飛速發(fā)展，聯(lián)鎖系統(tǒng)可以直接接收模擬量信號，模擬量進(jìn)入系統(tǒng)后進(jìn)行信號轉(zhuǎn)換，根據(jù)需要設(shè)定聯(lián)鎖值，并可以記錄實時趨勢和帶有SOE（事故查詢）功能。

五、SIS系統(tǒng)的SOE功能

SOE是事件順序（SequenceofEvent）的英文簡稱。用于安全儀表系統(tǒng)，主要功能是按時間順序把整個事件記錄下來，利于事故后的分析。記錄的內(nèi)容包括事件發(fā)生的時間、狀態(tài)、類型和位置等。用于安全儀表系統(tǒng)的卡件一般都具備SOE功能，能記錄20000條信息，具有多卡時間同步功能。但是西門子PLC只有特定類型的卡件才具備SOE功能。

SIS的SOE功能為事故的原因分析提供了有力的手段。用于記錄設(shè)備狀態(tài)和聯(lián)鎖事件，以便事故原因的追溯。SIS系統(tǒng)將一系列開關(guān)量如動作信號,報警信號等按照事件發(fā)生的先后順序以毫秒級的分辨率記錄下來，作為分析判斷事故原因并找出首因的重要手段，SIS的SOE功能的時間分辨率為1毫秒。在生產(chǎn)不正常時，一般聯(lián)鎖動作時間會非常快，在1秒內(nèi)會有多個聯(lián)鎖信號觸發(fā)動作。SOE會把這些時間按時間順序詳細(xì)的記錄下來，幫助分析觸發(fā)聯(lián)鎖的第一事故原因，有助于事故原因的分析。如圖4為裝置停車時SOE記錄

圖4為裝置停車時SOE記錄

六、結(jié)束語

安全儀表系統(tǒng)是石油化工生產(chǎn)過程中非常重要的一道保護(hù)層，合理的配置保護(hù)系統(tǒng)，搭建控制邏輯，能有力的阻止事故的發(fā)生，以保護(hù)生產(chǎn)的持續(xù)性。在設(shè)計聯(lián)鎖保護(hù)系統(tǒng)之前，要全面的分析參數(shù)超限所能造成的風(fēng)險，以及風(fēng)險發(fā)生后能達(dá)到的危害程度。根據(jù)風(fēng)險的大小和危害的程度，合理設(shè)置不同的保護(hù)級別。即保證聯(lián)鎖的可靠性，又兼顧生產(chǎn)的可用性。

七、參考文獻(xiàn)：

[1]WilliamM.GobleControlSystemsSafetyEvaluation&Reliability2ndEdition

[2]姜巍巍，李玉明，王春利，等.安全儀表系統(tǒng)-安全完整性等級(SIL)評估技術(shù)應(yīng)用[J].中國儀器儀表，2009，28(2)：48-51.

[3]IEC61508-1:2010Functionalsafetyofelectrical[S]

[4]siemensAG.StatementList(STL)forS7-300andS7-400ProgrammingReferenceManual,2002

[5]楊維明，徐萍萍，陳建新.PLC在配料稱重控制系統(tǒng)中的應(yīng)用[M].微機算計信息，2005，2：9-10

[6]張萬忠，劉明芹.電氣與PLC控制技術(shù)[M].北京:化學(xué)工業(yè)出版社,2003.8

作者介紹：

張瑞妍，（1982年4月－），女，漢族，山東濟(jì)南，工程師，負(fù)責(zé)電氣技術(shù)。曾發(fā)表論文多篇。