安全儀表系統(tǒng)SIS課件

安全儀表系統(tǒng)（SIS）在

石化裝置上的應(yīng)用燕山石化王立奉某大型石化裝置SIS系統(tǒng)應(yīng)用情況某大型煉油乙烯一體化石化聯(lián)合裝置：年處理原油1200萬噸/年。乙烯產(chǎn)量80萬噸/年共計使用SIS系統(tǒng)24套分別應(yīng)用于催化，加氫，裂解及高、低聚乙烯，聚丙烯，苯酚，丙酮，動力等工藝過程。詳見表1。表1.某大型石化裝置SIS應(yīng)用情況統(tǒng)計表

項目序號生產(chǎn)廠家型號數(shù)量使用情況1.HONEYWELLFSC6良好2.TRICONEXTS3000.TRICONTRIDENT5良好3.YOKOGAWAPROSAFE-RSCP-180-003良好4.HIMAPESH51q-HRS2良好5.SIEMENSMOOREAPACS1良好6.ICSTriplex

REGENT1良好7.ABBAUGUSTSC300E1良好8.MOOREQUADLOG5良好某大型石化裝置SIS系統(tǒng)應(yīng)用情況也就是說，許多最終用戶指定使用達到SIL3等級的邏輯解算器，而對于傳感器和終端設(shè)備如何配置缺乏考慮，這樣就導(dǎo)致了僅使用一個SIL3的邏輯解算器是無法保證整體SIS系統(tǒng)成為一個SIL3系統(tǒng)。因為SIS系統(tǒng)的安全完整性水平SIL，是由構(gòu)成SIS系統(tǒng)的三個單元的SIL來確定的：即SIL裝置=SIL傳感器+SIL邏輯解算器+SIL執(zhí)行機構(gòu)，例如傳感器為SIL2級，而SIL2其PFD值為0.01~0.001，取中間值為0.005；邏輯解算單元為SIL3級，PFD取中間值為0.0005；執(zhí)行機構(gòu)為SIL1級，PFD取中間值為0.05。則PFDavg裝置=0.005+0.0005+0.05=0.0555某大型石化裝置SIS系統(tǒng)應(yīng)用情況初步確定為SIL1級。則整個裝置的安全完整性水平SIL由其構(gòu)成的三個單元中最低的SIL等級決定。盡管邏輯解算器為SIL3，但整體SIS系統(tǒng)SIL等級僅為SIL1.這就是目前石化企業(yè)生產(chǎn)裝置中在使用SIS系統(tǒng)時，存在的主要問題。某大型石化裝置SIS系統(tǒng)應(yīng)用情況現(xiàn)場運行表明：24套SIS系統(tǒng)總的來看操作簡單、組態(tài)方便且維護量小、故障率低，提高了裝置的安全水平，取得了良好的經(jīng)濟效益和社會效益；SIS主控制器故障率較低，CPU死機造成的危害不多見；輸入輸出卡的故障率較高。DI、DO卡診斷模塊、電源卡時有故障發(fā)生。某大型石化裝置SIS系統(tǒng)應(yīng)用情況具體到某個裝置中的SIS系統(tǒng)，譬如：第二高壓聚乙烯裝置有SIS系統(tǒng)為某公司的SC300E系統(tǒng)。此系統(tǒng)自2001年投用以來已經(jīng)有9年時間，期間因為卡件、電源、通訊故障等原因造成多停車事故的發(fā)生。具體問題如下：1、系統(tǒng)自診斷報警。通過系統(tǒng)軟件中的診斷系統(tǒng)診斷，存在報警。2、系統(tǒng)卡件狀態(tài)指示燈異常，不能查明具體原因。3、系統(tǒng)故障報警燈報警。該報警信號由ESD系統(tǒng)發(fā)出，送至輔操臺報警。查找該報警信號，發(fā)現(xiàn)其為系統(tǒng)內(nèi)部點。無法查找可能導(dǎo)致該點報警的原因。某大型石化裝置SIS系統(tǒng)應(yīng)用情況

4、沒有聯(lián)鎖摘掛的旁路按鈕，每次聯(lián)鎖摘掛的時候都是通過修改內(nèi)部PLC梯形圖采用在線下裝的方式，使操作具有一定的風(fēng)險性和不及時性。5、斷電恢復(fù)后系統(tǒng)電源模塊故障。（發(fā)生過多起）6、此系統(tǒng)的備件訂貨非常困難，價格非常昂貴且需要很長的訂貨周期，維護費用很高。

某大型石化裝置SIS系統(tǒng)應(yīng)用情況裂解裝置SIS系統(tǒng)為MOOREQUADLOG系統(tǒng)，用兩套，其中一套常見問題：1.工程師站不更新。需重新啟動。2.SOE刷新不及時，需要更新數(shù)據(jù)庫。其另一套系統(tǒng)常見問題：1.組態(tài)數(shù)據(jù)丟失，記錄不完整。2.I/O卡件故障，在線四年內(nèi)發(fā)生過。3.工程師站登陸慢。SIS作業(yè)不當(dāng)也會造成嚴重后果用于高壓聚乙烯SIS聯(lián)鎖系統(tǒng)采用三重化容錯可編程REGENT系統(tǒng)。該系統(tǒng)采用容錯型CPU設(shè)計，整個控制系統(tǒng)建立在2oo3的基礎(chǔ)上進行安全保護聯(lián)鎖。對于關(guān)鍵的停車條件均使用三重化卡件輸入。由于一線B釜壓力超高，其信號AHPA6B狀態(tài)瞬間改變，分別于96年、99年共發(fā)生五次連鎖停車。從ESD系統(tǒng)SOE記錄看，動作時間都非常短。一線AHPA6B信號為現(xiàn)場應(yīng)變儀輸出模擬信號，經(jīng)安全柵進入控制室，再進入DCS機柜中，轉(zhuǎn)換成1-5VDC信號，轉(zhuǎn)換后信號接到報警設(shè)定器上，報警設(shè)定器的節(jié)點輸出信號接到SIS三重化輸入模塊上。

解決辦法希望將AHPA6B信號增加延時，以避免該信號的瞬間晃動對系統(tǒng)的干擾，并增加監(jiān)控手段。捕捉可能造成停車的原因。第一次在線執(zhí)行AHPA6B-A通道延時時，一切正常。第二次下裝其他兩個通道AHPA6B-B、AHPA6B-C時，由于將這兩步同時進行操作，從而導(dǎo)致2oo3發(fā)生了聯(lián)鎖停車。DCS與SIS的集成IEC61508中沒有強制要求SIS系統(tǒng)必須獨立設(shè)置，但它強烈建議DCS和SIS兩種系統(tǒng)分離。它們之間的分離可使用同種分離或異種分離。從目前的情況看，同種分離意味著DCS和SIS系統(tǒng)使用同一制造商的相同技術(shù)，譬如使用同一個DCS制造商生產(chǎn)的SIS。而異種分離則意味著DCS和SIS使用同一制造商或不同制造商的不同技術(shù)。同種分離有助于降低隨機失效，在設(shè)計上和維護上有一些優(yōu)勢，因為它降低了維護錯誤的可能性。異種分離有利于降低系統(tǒng)失效率和減小共因失效。

Modbus集成

在石化企業(yè)的生產(chǎn)裝置中，目前DCS與SIS之間多采用控制器間硬連線通信方式（Modbus通信等）集成，從而將SIS數(shù)據(jù)傳送到DCS系統(tǒng)中。如下圖1所示：

Modbus集成DCSOSDCSENGDCSFCSSISENG,SOESISControllerDCS系統(tǒng)網(wǎng)絡(luò)SIS系統(tǒng)網(wǎng)絡(luò)（冗余）（冗余）Modbus通信等傳統(tǒng)I/O和HART儀表DCS系統(tǒng)現(xiàn)場控制器MUXSIS系統(tǒng)控制器HART多路轉(zhuǎn)換器FFFielddevice…Modbus集成這樣做是由于DCS和SIS是兩個獨立的系統(tǒng)，不同的網(wǎng)絡(luò)、不同的控制器和人機界面。原因主要是由于他們來自不同的供應(yīng)商；需要單獨的系統(tǒng)設(shè)計，單獨的物理設(shè)備組態(tài)軟件、算法邏輯組態(tài)軟件、人機界面組態(tài)軟件，不同的維護方式；連接兩套系統(tǒng)的額外工作等。給實際工作帶來很多不便，因此無縫集成的問題就擺在了制造商、設(shè)計和終端用戶面前。DCS與SIS集成的解決方案DCS與SIS的集成一般有三種情況：第一種情況：DCS與SIS采用不同的硬件結(jié)構(gòu)（不同的控制器）、不同的控制網(wǎng)絡(luò)、不同的人機界面，即前述的異種分離。將這樣不同的系統(tǒng)通過網(wǎng)關(guān)相互連接，以便進行數(shù)據(jù)交換。兩個系統(tǒng)使用不同的工程組態(tài)工具。這種方式可以稱為不同控制器不同網(wǎng)絡(luò)的集成。DCS與SIS集成的解決方案第二種情況：DCS與SIS有不同的硬件結(jié)構(gòu)的控制器，但采用統(tǒng)一的網(wǎng)絡(luò)（統(tǒng)一的通信網(wǎng)絡(luò)），使用共同的工程組態(tài)工具，工程上一個網(wǎng)絡(luò)可加快項目的執(zhí)行速度。第三種情況：DCS與SIS使用共同的硬件即同一種控制器。同一個通信網(wǎng)絡(luò)，同一個人機界面，即DCS和SIS在物理上集成、在邏輯上分開的無縫集成。標(biāo)準DCS程序和安全SIS程序平行執(zhí)行，相互獨立。DCS與SIS無縫集成應(yīng)用實例SIS工程師站DCSHIS人機界面DCSFCS控制器安全數(shù)據(jù)到FCS（通過位號讀?。璂CSENG工程師站以太網(wǎng)控制網(wǎng)SIS控制器…如何實現(xiàn)DCS與SIS的無縫集成

首先由于共同的系統(tǒng)結(jié)構(gòu)提供了非常容易的系統(tǒng)設(shè)計，DCS系統(tǒng)和SIS系統(tǒng)不必設(shè)計成分離的方案和通信，DCS與SIS之間流暢的數(shù)據(jù)交換不需要任何網(wǎng)關(guān)/接口單元，集成系統(tǒng)中的設(shè)備時針同步。其次，一套共同的通信網(wǎng)絡(luò)可加快項目的執(zhí)行，既可實現(xiàn)SIS安全控制器之間的數(shù)據(jù)交換，DCS也可以通過位號讀取SIS系統(tǒng)中的數(shù)據(jù)，不需要接口單元?？刂凭W(wǎng)絡(luò)是一個安全通信協(xié)議通過TUV認證。DCS的HIM是控制網(wǎng)的時鐘主站，通過標(biāo)準的控制網(wǎng)（例如YOKOGAWA的Vnet網(wǎng)）功能進行時鐘同步。

如何實現(xiàn)DCS與SIS的無縫集成再次，在操作上，由于有共同的操作和監(jiān)控平臺，便于實施有效的操作，DCS的HIM操作站提供集成的操作平臺，可顯示控制組、趨勢、流程圖、報警和歷史信息窗口的集成顯示，SIS位號和DCS信號可以同時處理，不需要特別的組態(tài)。DCS數(shù)據(jù)和SIS數(shù)據(jù)可以顯示在同一個窗口中。再次，一套人機界面?？稍贖IM上通過位號讀取DCS和SIS的數(shù)據(jù)，控制數(shù)據(jù)和安全數(shù)據(jù)在相同的窗口中；DCS和SIS系統(tǒng)狀態(tài)和信息、過程報警和事件信息可以顯示在同一窗口中一個人機界面而提高操作效率。DCS與SIS無縫集成解決方案近十年來，DCS與SIS集成的實例應(yīng)用已有相當(dāng)業(yè)績，例如，德國PROFIBUS協(xié)會（PNO）在1999年初，在PROFIBUS的基礎(chǔ)上，提出了PORFIsafe安全應(yīng)用接口標(biāo)準，使安全系統(tǒng)與控制系統(tǒng)通信和集成成為可能。目前，已有包括石油化工在內(nèi)的3000多套系統(tǒng)應(yīng)用。其優(yōu)點是：（1）PROFIsafe和PROFIBUS標(biāo)準功能的系統(tǒng)可以共存、連接和通信；（2）大幅度降低電纜成本和設(shè)備成本；DCS與SIS無縫集成解決方案（3）設(shè)備診斷和狀態(tài)監(jiān)視變得簡單；（4）減輕了維護人員和設(shè)計人員的技術(shù)負擔(dān)；（5）備品備件還可減少。由于現(xiàn)場總線技術(shù)也通過了SIL認證，故安全系統(tǒng)也可和現(xiàn)場安全儀表產(chǎn)品、現(xiàn)場總線（HART、Foundationfieldbus）、DCS產(chǎn)品、工廠儀表設(shè)備資產(chǎn)資源管理系統(tǒng)（PRM）集成，使用統(tǒng)一的人機界面和工作站，功能大大增強。YOKOGAWAProsafe-RS安全控制器可以使DCS控制系統(tǒng)和SIS安全儀表控制系統(tǒng)無縫集成在一起（CENTUMCS3000與Prosafe-RS無縫集成），使操作人員全面掌握DCS和SIS的信息，也有廣泛應(yīng)用。

安全管理中的聯(lián)鎖回路的定量安全評估經(jīng)驗表明，大約有50%的聯(lián)鎖回路設(shè)計合理，大約40%的聯(lián)鎖回路存在著過保護，而大約10%的聯(lián)鎖回路存在欠保護。依據(jù)IEC61511標(biāo)準，對聯(lián)鎖不足、存在拒動可能的回路提出改進意見，提高安全水平。對聯(lián)鎖過度、誤動作可能性較大的聯(lián)鎖回路提出相應(yīng)的改進意見，減少誤跳車發(fā)生的可能性。各聯(lián)鎖回路安全等級應(yīng)符合企業(yè)對裝置的風(fēng)險和檢驗要求。對各聯(lián)鎖回路進行安全等級計算，對存在安全不足的各聯(lián)鎖回路提出了合理可行的改進意見，改進后各聯(lián)鎖回路可以達到企業(yè)對裝置的風(fēng)險和檢驗要求。評估內(nèi)容及范圍某公司加氫裂化裝置自投產(chǎn)以來，經(jīng)歷多次擴建，處理量由原來80萬噸/年提高到220萬噸/年。裝置高溫高壓及臨氫操作條件。系統(tǒng)配備SIS安全儀表系統(tǒng)?？紤]五種不同類型連鎖系統(tǒng)：高壓串低壓聯(lián)鎖回路系統(tǒng)加熱爐聯(lián)鎖回路系統(tǒng)原料油泵及貧油泵聯(lián)鎖回路壓縮機聯(lián)鎖回路系統(tǒng)緊急泄壓聯(lián)鎖回路SIL定量分析可接受風(fēng)險的確定：在開展定量分析之前，根據(jù)企業(yè)及裝置的實際情況，制定用于評估的風(fēng)險矩陣，風(fēng)險矩陣中包括人員安全、環(huán)境影響及經(jīng)濟損失共三個風(fēng)險矩陣。SIL定量評估的內(nèi)容：安全儀表功能（SIF）分析聯(lián)鎖回路失效后果分析聯(lián)鎖安全水平及誤跳車分析。綜合考慮了裝置的其他安全保護層及安全保護能力后，依據(jù)IEC61511標(biāo)準，獲得了各聯(lián)鎖回路的聯(lián)鎖功能的安全與跳車分析結(jié)果，如下表所示：SIL定量分析關(guān)鍵聯(lián)鎖回路安全與誤跳車：存在安全問題的SIF：32%誤跳車概率過高的SIF：42%設(shè)計合理的SIF：26%一般聯(lián)鎖回路安全與誤跳車：設(shè)計合理的SIF：90%誤跳車概率過高的SIF：10%存在安全問題的SIF：0%編號聯(lián)鎖編號安全不足的SIF誤跳車過高的SIF合理的SIF備注12…評估結(jié)果對11個主要聯(lián)鎖回路進行定量安全評估，發(fā)現(xiàn)部分聯(lián)鎖回路存在聯(lián)鎖不足及誤跳車等問題；在定量安全評價過程中發(fā)現(xiàn)一些公共安全問題，包括安全附件的安全能力問題、外操室的選址問題、智能儀表的選型問題以及儀表及設(shè)備的共因失效問題。具體地說：高壓串低壓的安全排放能力不足問題。在評估聯(lián)鎖回路的安全保護層時，發(fā)現(xiàn)了三個具有串壓危險的聯(lián)鎖回路存在聯(lián)鎖失效時的安全閥排量不足問題，計算發(fā)現(xiàn)這是由于設(shè)計過程中偏保守設(shè)計導(dǎo)致失效時的偏不安全后果。該問題具有一定的代表性。評估結(jié)果儀表選型及設(shè)置問題。發(fā)現(xiàn)不少聯(lián)鎖回路的儀表選型及設(shè)置不大合理。例如存在大量輸出信號為開關(guān)量的傳感器，如高壓串低壓聯(lián)鎖回路的液位開關(guān)與低壓容器上的壓力開關(guān)。輸出信號為開關(guān)量的傳感器特別是液位開關(guān)存在故障率高、可靠性低的特點。SIS與DCS的儀表及設(shè)備共用的問題。評估中發(fā)現(xiàn)有的聯(lián)鎖回路儀表與DCS共用問題。此類共用可能造成嚴重的失效后果。如裂化反應(yīng)器R302入口溫度傳感器同時用于控制回路與聯(lián)鎖回路，存在較大安全隱患。目前石化企業(yè)裝置中所采用的SIS系統(tǒng)急需要進行聯(lián)鎖回路的定量安全評估，以期實現(xiàn)SIS系統(tǒng)整體SIL水平達到規(guī)定的安全功能。

終端用戶關(guān)心及應(yīng)注意的問題

現(xiàn)場SIS系統(tǒng)使用維護人員關(guān)心如何實現(xiàn)現(xiàn)有SIS系統(tǒng)的整體SIL等級的確定；如何在線或離線對SIS系統(tǒng)安全功能的測試；期待終端執(zhí)行機構(gòu)的部分行程測試（PST）的現(xiàn)場實際應(yīng)用：應(yīng)該編制每個SIF的書面檢驗測試規(guī)程，進行定期的檢驗測試，以便揭露未檢測到的故障。這種故障會阻礙SIS按安全要求規(guī)范動作；這種測試應(yīng)包括傳感器、邏輯解算器和最終元件在內(nèi)的整個SIS系統(tǒng)。終端用戶關(guān)心及應(yīng)注意的問題檢驗測試頻率應(yīng)同使用PFDavg計算所決定的一樣；應(yīng)以一種安全和及時的方式修復(fù)檢驗測試過程中發(fā)現(xiàn)的任何缺陷；應(yīng)用邏輯的任何改變都需要進行全面的檢驗測試；用戶應(yīng)保存可證實檢驗測試和檢查已按要求完成的記錄。