摘要：石油化工屬于高溫、高壓、易燃、易爆行業(yè)，對(duì)人身和環(huán)境的保護(hù)要求較高。本文闡述了安全儀表系統(tǒng)（SIS）在石油化工行業(yè)的應(yīng)用，對(duì)當(dāng)前主流工業(yè)控制系統(tǒng)的優(yōu)缺點(diǎn)進(jìn)行了分析對(duì)比。論述了風(fēng)險(xiǎn)分析的概念，通過對(duì)風(fēng)險(xiǎn)的全面分析，合理的設(shè)置聯(lián)鎖保護(hù)系統(tǒng)，兼顧聯(lián)鎖的可用性和可靠性，為安全生產(chǎn)保駕護(hù)航。

關(guān)鍵詞：安全儀表系統(tǒng)，風(fēng)險(xiǎn)分析，聯(lián)鎖保護(hù)，可用性，可靠性

一、工業(yè)控制系統(tǒng)概述

隨著工業(yè)向集成化、大型化發(fā)展，人們的安全環(huán)保意識(shí)逐年提高，對(duì)工廠自動(dòng)化控制系統(tǒng)提出更高的要求。近年來，工業(yè)控制系統(tǒng)與時(shí)俱進(jìn)，得到了高速的發(fā)展，PLC、DCS和SIS系統(tǒng)已經(jīng)成為工業(yè)自動(dòng)化控制的核心，成為工廠生產(chǎn)裝置的大腦。而控制系統(tǒng)也是百家爭(zhēng)鳴，技術(shù)突飛猛進(jìn)，各種控制系統(tǒng)的界限也逐漸模糊。各個(gè)廠家新型的DCS與新型的PLC，都有向?qū)Ψ娇繑n的趨勢(shì)。DCS已有很強(qiáng)的順序控制功能，完全能夠?qū)崿F(xiàn)大型的數(shù)字量邏輯運(yùn)算功能；而新型的PLC，在處理閉環(huán)控制方面也得到了快速的發(fā)展，具有強(qiáng)大的模擬量處理能力，如西門子PCS7系統(tǒng)已經(jīng)完全具備DCS的各種功能。

二、安全儀表系統(tǒng)和過程控制系統(tǒng)的區(qū)別

在大型的連續(xù)生產(chǎn)工業(yè)中，聯(lián)鎖保護(hù)是必不可少的，關(guān)系著人身、環(huán)境和設(shè)備的安全。合理的設(shè)計(jì)聯(lián)鎖控制系統(tǒng)和控制邏輯是非常關(guān)鍵的環(huán)節(jié)，要兼顧聯(lián)鎖的可用性和可靠性。聯(lián)鎖設(shè)置的過于簡(jiǎn)單，起不到保護(hù)作用，可能會(huì)造成危險(xiǎn)的發(fā)生；設(shè)置的過于復(fù)雜，會(huì)造成誤停車，帶來巨大的經(jīng)濟(jì)損失。所以大型工業(yè)，特別是高溫、高壓、易燃、易爆的石油化工行業(yè)，聯(lián)鎖的設(shè)計(jì)非常關(guān)鍵，既要確保安全又要兼顧實(shí)用。本文重點(diǎn)介紹SIS系統(tǒng)在石化行業(yè)聯(lián)鎖保護(hù)系統(tǒng)中的應(yīng)用。

對(duì)于大型的化工企業(yè)，屬于高溫、高壓、高風(fēng)險(xiǎn)的行業(yè)，對(duì)于聯(lián)鎖保護(hù)要求更嚴(yán)格。雖然DCS和SIS系統(tǒng)功能都已經(jīng)很完善，但是在實(shí)際使用中，根據(jù)場(chǎng)合還是有側(cè)重，DCS側(cè)重于生產(chǎn)的連續(xù)控制，模擬量調(diào)節(jié)，保持生產(chǎn)的平穩(wěn)。而SIS則側(cè)重監(jiān)視生產(chǎn)的運(yùn)行狀況，對(duì)出現(xiàn)的異常做快速處理。在連續(xù)生產(chǎn)中，DCS是“動(dòng)態(tài)”調(diào)節(jié)，始終根據(jù)PID、串級(jí)、分程等控制方案連續(xù)調(diào)節(jié)。而SIS則是“靜態(tài)”的，生產(chǎn)正常時(shí)，SIS系統(tǒng)靜態(tài)監(jiān)測(cè)，一旦出現(xiàn)非正常情況，SIS系統(tǒng)快速響應(yīng)，按照邏輯運(yùn)算，啟動(dòng)聯(lián)鎖，保證安全。所以SIS系統(tǒng)在可靠性上比DCS要求更高，處理速度上要求更快。

三、生產(chǎn)過程的風(fēng)險(xiǎn)分析

在工廠中，使用什么樣的系統(tǒng)，設(shè)置什么樣的聯(lián)鎖，首先要進(jìn)行風(fēng)險(xiǎn)識(shí)別和SIL評(píng)估，再根據(jù)風(fēng)險(xiǎn)發(fā)生的概率和所造成的危害程度來設(shè)置安全聯(lián)鎖的等級(jí)。

LOPA分析是一種簡(jiǎn)化的風(fēng)險(xiǎn)評(píng)估方法，通過對(duì)現(xiàn)有保護(hù)措施的可靠性進(jìn)行量化的評(píng)估，確定其消除或降低風(fēng)險(xiǎn)的能力。它首先分析未采取安全保護(hù)措施之前的風(fēng)險(xiǎn)水平，然后分析各種安全保護(hù)措施將風(fēng)險(xiǎn)水平降低的程度，保護(hù)層可以用一個(gè)“洋蔥”來形象地描述其模型，每一層洋蔥皮就相當(dāng)于一個(gè)保護(hù)層，由于所有的洋蔥皮對(duì)內(nèi)核都起到獨(dú)立保護(hù)作用，從而洋蔥內(nèi)核遭受外侵的風(fēng)險(xiǎn)就大大降低，如圖1所示。

第一層保護(hù)為合理的工藝設(shè)計(jì)，工藝過程，這是安全的基礎(chǔ)。第二層為DCS控制系統(tǒng)，操作人員可以通過DCS對(duì)工藝過程進(jìn)行操作，監(jiān)視工藝參數(shù)、人為干預(yù)生產(chǎn)過程，也可以通過PID、分程、串級(jí)等一系列控制模型來實(shí)現(xiàn)DCS自動(dòng)控制，使工藝過程在安全范圍內(nèi)進(jìn)行。在生產(chǎn)過程中，如果工藝參數(shù)超限，DCS就會(huì)發(fā)出報(bào)警來提醒操作人員，操作人員看到報(bào)警提醒，及時(shí)人為干預(yù)，調(diào)整工藝參數(shù)，這就是第三層保護(hù)。如果工藝參數(shù)嚴(yán)重越線，接近危險(xiǎn)將要發(fā)生的范圍，SIS系統(tǒng)啟動(dòng)聯(lián)鎖反應(yīng)，根據(jù)邏輯程序，發(fā)出動(dòng)作命令，執(zhí)行元件瞬間動(dòng)作，中斷生產(chǎn)過程或者做出其它安全措施，迫使生產(chǎn)過程停止以確保安全，這就是所說的第四和第五層的保護(hù)。如果SIS系統(tǒng)動(dòng)作沒有限制危險(xiǎn)發(fā)生，危險(xiǎn)急劇增加，設(shè)備自身增加一層物理保護(hù)，例如汽輪機(jī)的機(jī)械跳車和容器上的安全閥等，當(dāng)危險(xiǎn)即將發(fā)生時(shí)，為了防止事故不繼續(xù)擴(kuò)大，機(jī)械自身帶保護(hù)裝置，達(dá)到危險(xiǎn)程度后，靠自身的機(jī)械結(jié)構(gòu)釋放，保護(hù)裝置回到安全狀態(tài)。這就是第六層物理保護(hù)。如果這六層保護(hù)都沒有阻止危險(xiǎn)的發(fā)生，就只能到第七層緊急響應(yīng)，盡快處理事故過程，把損失降到最低。

四、安全儀表系統(tǒng)介紹及對(duì)生產(chǎn)的保護(hù)過程

安全儀表系統(tǒng)，SafetyinstrumentationSystem，簡(jiǎn)稱SIS；又稱為安全聯(lián)鎖系統(tǒng)（SafetyinterlockingSystem）。主要是為安全生產(chǎn)，避免事故發(fā)生設(shè)置的一層安全屏障，當(dāng)工藝參數(shù)越線，危險(xiǎn)來臨時(shí)，安全儀表系統(tǒng)發(fā)出動(dòng)作或緊急停車，是工廠自動(dòng)控制中的重要組成部分。

目前，石化系統(tǒng)主流的聯(lián)鎖系統(tǒng)有TRICONEX的TS3000,HONEYWELL的FCS，HIMA的H51q-HRS和SIEMENS的S7-400PLC。

這幾種系統(tǒng)各有千秋，TRICONE、HONEYWELL和HIMA的系統(tǒng)主要用于整個(gè)裝置的聯(lián)鎖保護(hù)系統(tǒng)，而S7-400PLC主要用于獨(dú)立單元如壓縮機(jī)等設(shè)備的聯(lián)鎖保護(hù)。TRICON是三重化冗余，三個(gè)CPU同時(shí)運(yùn)行，同時(shí)檢測(cè)測(cè)量信號(hào)，在CPU中三個(gè)信號(hào)做比較，三個(gè)狀態(tài)一致，則CPU工作正常。如果其中一個(gè)和另外兩個(gè)不一致，則采用表決方式。一旦其中一個(gè)CPU故障，另外兩個(gè)還能正常運(yùn)行。并且每個(gè)參數(shù)的通道中都實(shí)現(xiàn)了三重化。如圖2所示。

圖2：三重化邏輯模型

HIMA號(hào)稱是四重化冗余，安全級(jí)別更高。S7-400PLC則是采用一開一備的熱備模式，正常時(shí)，只有一個(gè)CPU工作，另外一個(gè)CPU處于熱備狀態(tài)，當(dāng)運(yùn)行的CPU出現(xiàn)故障時(shí)，自動(dòng)切換到熱備CPU運(yùn)行。這樣從安全的角度來講，比三重化四重化要低很多。所以一般用于獨(dú)立單元設(shè)備的控制。

下面以濟(jì)南煉化160萬噸/年柴油加氫裝置高低分為例，介紹安全儀表系統(tǒng)在聯(lián)鎖保護(hù)中的應(yīng)用。加氫裝置的高壓分離器的作用是進(jìn)行氣、油和水三相分離，高壓分離器的操作條件為高壓，而且臨氫。高分的壓力16MPa，低分的壓力2MPa，高壓分離器（下圖3）液位是加氫裝置非常重要的工藝控制參數(shù)，如液位過高容易導(dǎo)致循環(huán)氫帶液，損壞循環(huán)氫壓縮機(jī)；液位過低時(shí)，易發(fā)生高壓串入低壓事故，大量循環(huán)氫迅速進(jìn)入低壓分離器，此時(shí)，如果后續(xù)緊急泄壓聯(lián)鎖失效或者低壓分離器的安全閥未能及時(shí)打開，將發(fā)生嚴(yán)重事故。引起低分超壓爆炸，硫化氫和可燃?xì)怏w泄漏，對(duì)裝置是毀滅性的事故。對(duì)于上述工藝過程，DCS為第二層保護(hù)，操作人員通過DCS調(diào)節(jié)，始終讓液位保持在安全的范圍之內(nèi)，同時(shí)DCS設(shè)置報(bào)警，一旦液位越線，就是第三層保護(hù)，操作人員調(diào)整液位。如果液位超過第四層保護(hù)的聯(lián)鎖值，SIS系統(tǒng)就緊急切斷控制閥，保持D-105的液位，防止倒串導(dǎo)致的危險(xiǎn)發(fā)生。如果這些措施都沒有阻止危險(xiǎn)的發(fā)生，發(fā)生高低壓互串，為了防止爆炸的發(fā)生，低壓系統(tǒng)安全閥起跳，緊急物理保護(hù)設(shè)備釋放，大量的有毒氣體散發(fā)在空氣中，就需要緊急啟動(dòng)響應(yīng)措施，盡可能的降低損失。

圖3：加氫工藝流程示意圖

冷高壓分離器D-105液位是通過控制LV11201A與LV11201B兩調(diào)節(jié)閥來實(shí)現(xiàn)的，正常生產(chǎn)時(shí)，兩調(diào)節(jié)閥互為備用。為防止冷高分D-105液位壓空，造成高低壓互串，D-105液位底設(shè)兩個(gè)聯(lián)鎖切斷閥XV11201和XV11201A，D-105液位設(shè)三個(gè)液位遠(yuǎn)傳儀表LI11201、LI11202、LI11203進(jìn)行三取二聯(lián)鎖，當(dāng)LI11201、LI11202、LI11203有兩個(gè)低于20%，將聯(lián)鎖關(guān)閉XV11201和XV11201A，同時(shí)關(guān)閉D-105的液位控制閥LV11201A與LV11201B，防止高壓介質(zhì)串入低壓引發(fā)事故。

冷高壓分離器D-105界位控制方式和液位基本一致，為防止冷高分D-105界位壓空，造成高分油進(jìn)入酸性水，造成酸性水油含量超標(biāo)。D-105界位出口設(shè)兩個(gè)聯(lián)鎖切斷閥XV11202，D-105界位設(shè)三個(gè)液位遠(yuǎn)傳儀表LI11204、LI11205、LI11206三取二聯(lián)鎖，當(dāng)LI11204、LI11205、LI11206有兩個(gè)低于20%，將聯(lián)鎖關(guān)閉XV11202，同時(shí)聯(lián)鎖切斷LV12401A/B。

在上述液位和界位的控制中，傳感器都是三取二（2OO3）。三個(gè)獨(dú)立的回路進(jìn)入Triconex控制系統(tǒng)，而控制系統(tǒng)也是三重冗余容錯(cuò)結(jié)構(gòu)的控制器，有三個(gè)獨(dú)立的控制器。每個(gè)點(diǎn)都是3-2-0工作模式。采用雙控制閥串聯(lián)方式，即一個(gè)調(diào)節(jié)閥和一個(gè)開關(guān)閥。正常操作時(shí)，切斷閥全開，調(diào)節(jié)閥來控制工藝參數(shù)，當(dāng)工藝參數(shù)達(dá)到聯(lián)鎖數(shù)值時(shí)，控制器發(fā)出命令，切斷閥緊急關(guān)閉，調(diào)節(jié)閥上的電磁閥也切斷控制氣路，閥門關(guān)閉（LV11201A/B和LV11204A/B都是FC）。保護(hù)高壓容器中的氣體不會(huì)串入低壓容器引起爆炸危險(xiǎn)。

各聯(lián)鎖回路安全等級(jí)應(yīng)符合企業(yè)對(duì)裝置的風(fēng)險(xiǎn)和檢驗(yàn)要求。依據(jù)IEC61511標(biāo)準(zhǔn)，大約有50%的聯(lián)鎖回路設(shè)計(jì)合理，大約40%的聯(lián)鎖回路存在著過保護(hù)，而大約10%的聯(lián)鎖回路存在欠保護(hù)。所以合理的設(shè)置聯(lián)鎖是非常關(guān)鍵的，既要保證聯(lián)鎖的可靠性，還要兼顧聯(lián)鎖的可用性。聯(lián)鎖并非設(shè)置的越安全越好，如果過于的考慮聯(lián)鎖的安全性，就會(huì)造成聯(lián)鎖誤動(dòng)作機(jī)率大大提高，從而導(dǎo)致誤停車。如果聯(lián)鎖設(shè)置的過于簡(jiǎn)單，會(huì)導(dǎo)致聯(lián)鎖拒動(dòng)作，放任風(fēng)險(xiǎn)的發(fā)生。所以聯(lián)鎖的設(shè)置是可用性和可靠性的平衡。早期的聯(lián)鎖系統(tǒng)大部分采用西門子S5系列PLC，系統(tǒng)為一臺(tái)CPU運(yùn)行，一臺(tái)熱備。進(jìn)入系統(tǒng)的傳感器也是獨(dú)立的數(shù)字型號(hào)，執(zhí)行機(jī)構(gòu)采用冗余輸出。隨著安全儀表系統(tǒng)的發(fā)展，石化系統(tǒng)的SIS已經(jīng)基本淘汰了CPU熱備的模式。普及了三重化CPU模式，CPU的三重化大大的提高了裝置的安全等級(jí)，減少了誤動(dòng)作的概率。同時(shí)聯(lián)鎖設(shè)置風(fēng)格也發(fā)生了很大的變化。早期由于系統(tǒng)處理模擬量能力的限制，聯(lián)鎖的信號(hào)一般都為數(shù)字量信號(hào)，現(xiàn)場(chǎng)傳輸4-20mA信號(hào)到控制室后，經(jīng)過一臺(tái)報(bào)警設(shè)定器或者安全柵的轉(zhuǎn)換功能，轉(zhuǎn)換成數(shù)字型號(hào)后進(jìn)入PLC實(shí)現(xiàn)運(yùn)行，在這個(gè)轉(zhuǎn)換過程中，信號(hào)的精度大打折扣，會(huì)有很大的誤差，同時(shí)數(shù)字量信號(hào)沒法記錄儀表實(shí)時(shí)趨勢(shì)，對(duì)事故分析增加一定的難度。隨著控制系統(tǒng)的飛速發(fā)展，聯(lián)鎖系統(tǒng)可以直接接收模擬量信號(hào)，模擬量進(jìn)入系統(tǒng)后進(jìn)行信號(hào)轉(zhuǎn)換，根據(jù)需要設(shè)定聯(lián)鎖值，并可以記錄實(shí)時(shí)趨勢(shì)和帶有SOE（事故查詢）功能。

五、SIS系統(tǒng)的SOE功能

SOE是事件順序（SequenceofEvent）的英文簡(jiǎn)稱。用于安全儀表系統(tǒng)，主要功能是按時(shí)間順序把整個(gè)事件記錄下來，利于事故后的分析。記錄的內(nèi)容包括事件發(fā)生的時(shí)間、狀態(tài)、類型和位置等。用于安全儀表系統(tǒng)的卡件一般都具備SOE功能，能記錄20000條信息，具有多卡時(shí)間同步功能。但是西門子PLC只有特定類型的卡件才具備SOE功能。

SIS的SOE功能為事故的原因分析提供了有力的手段。用于記錄設(shè)備狀態(tài)和聯(lián)鎖事件，以便事故原因的追溯。SIS系統(tǒng)將一系列開關(guān)量如動(dòng)作信號(hào),報(bào)警信號(hào)等按照事件發(fā)生的先后順序以毫秒級(jí)的分辨率記錄下來，作為分析判斷事故原因并找出首因的重要手段，SIS的SOE功能的時(shí)間分辨率為1毫秒。在生產(chǎn)不正常時(shí)，一般聯(lián)鎖動(dòng)作時(shí)間會(huì)非?？?，在1秒內(nèi)會(huì)有多個(gè)聯(lián)鎖信號(hào)觸發(fā)動(dòng)作。SOE會(huì)把這些時(shí)間按時(shí)間順序詳細(xì)的記錄下來，幫助分析觸發(fā)聯(lián)鎖的第一事故原因，有助于事故原因的分析。如圖4為裝置停車時(shí)SOE記錄

圖4為裝置停車時(shí)SOE記錄

六、結(jié)束語

安全儀表系統(tǒng)是石油化工生產(chǎn)過程中非常重要的一道保護(hù)層，合理的配置保護(hù)系統(tǒng)，搭建控制邏輯，能有力的阻止事故的發(fā)生，以保護(hù)生產(chǎn)的持續(xù)性。在設(shè)計(jì)聯(lián)鎖保護(hù)系統(tǒng)之前，要全面的分析參數(shù)超限所能造成的風(fēng)險(xiǎn)，以及風(fēng)險(xiǎn)發(fā)生后能達(dá)到的危害程度。根據(jù)風(fēng)險(xiǎn)的大小和危害的程度，合理設(shè)置不同的保護(hù)級(jí)別。即保證聯(lián)鎖的可靠性，又兼顧生產(chǎn)的可用性。

七、參考文獻(xiàn)：

[1]WilliamM.GobleControlSystemsSafetyEvaluation&Reliability2ndEdition

[2]姜巍巍，李玉明，王春利，等.安全儀表系統(tǒng)-安全完整性等級(jí)(SIL)評(píng)估技術(shù)應(yīng)用[J].中國儀器儀表，2009，28(2)：48-51.

[3]IEC61508-1:2010Functionalsafetyofelectrical[S]

[4]siemensAG.StatementList(STL)forS7-300andS7-400ProgrammingReferenceManual,2002

[5]楊維明，徐萍萍，陳建新.PLC在配料稱重控制系統(tǒng)中的應(yīng)用[M].微機(jī)算計(jì)信息，2005，2：9-10

[6]張萬忠，劉明芹.電氣與PLC控制技術(shù)[M].北京:化學(xué)工業(yè)出版社,2003.8

作者介紹：

張瑞妍，（1982年4月－），女，漢族，山東濟(jì)南，工程師，負(fù)責(zé)電氣技術(shù)。曾發(fā)表論文多篇。