摘要：石油化工屬于高溫、高壓、易燃、易爆行業，對人身和環境的保護要求較高。本文闡述了安全儀表系統（SIS）在石油化工行業的應用，對當前主流工業控制系統的優缺點進行了分析對比。論述了風險分析的概念，通過對風險的全面分析，合理的設置聯鎖保護系統，兼顧聯鎖的可用性和可靠性，為安全生產保駕護航。

關鍵詞：安全儀表系統，風險分析，聯鎖保護，可用性，可靠性

一、工業控制系統概述

隨著工業向集成化、大型化發展，人們的安全環保意識逐年提高，對工廠自動化控制系統提出更高的要求。近年來，工業控制系統與時俱進，得到了高速的發展，PLC、DCS和SIS系統已經成為工業自動化控制的核心，成為工廠生產裝置的大腦。而控制系統也是百家爭鳴，技術突飛猛進，各種控制系統的界限也逐漸模糊。各個廠家新型的DCS與新型的PLC，都有向對方靠攏的趨勢。DCS已有很強的順序控制功能，完全能夠實現大型的數字量邏輯運算功能；而新型的PLC，在處理閉環控制方面也得到了快速的發展，具有強大的模擬量處理能力，如西門子PCS7系統已經完全具備DCS的各種功能。

二、安全儀表系統和過程控制系統的區別

在大型的連續生產工業中，聯鎖保護是必不可少的，關系著人身、環境和設備的安全。合理的設計聯鎖控制系統和控制邏輯是非常關鍵的環節，要兼顧聯鎖的可用性和可靠性。聯鎖設置的過于簡單，起不到保護作用，可能會造成危險的發生；設置的過于復雜，會造成誤停車，帶來巨大的經濟損失。所以大型工業，特別是高溫、高壓、易燃、易爆的石油化工行業，聯鎖的設計非常關鍵，既要確保安全又要兼顧實用。本文重點介紹SIS系統在石化行業聯鎖保護系統中的應用。

對于大型的化工企業，屬于高溫、高壓、高風險的行業，對于聯鎖保護要求更嚴格。雖然DCS和SIS系統功能都已經很完善，但是在實際使用中，根據場合還是有側重，DCS側重于生產的連續控制，模擬量調節，保持生產的平穩。而SIS則側重監視生產的運行狀況，對出現的異常做快速處理。在連續生產中，DCS是“動態”調節，始終根據PID、串級、分程等控制方案連續調節。而SIS則是“靜態”的，生產正常時，SIS系統靜態監測，一旦出現非正常情況，SIS系統快速響應，按照邏輯運算，啟動聯鎖，保證安全。所以SIS系統在可靠性上比DCS要求更高，處理速度上要求更快。

三、生產過程的風險分析

在工廠中，使用什么樣的系統，設置什么樣的聯鎖，首先要進行風險識別和SIL評估，再根據風險發生的概率和所造成的危害程度來設置安全聯鎖的等級。

LOPA分析是一種簡化的風險評估方法，通過對現有保護措施的可靠性進行量化的評估，確定其消除或降低風險的能力。它首先分析未采取安全保護措施之前的風險水平，然后分析各種安全保護措施將風險水平降低的程度，保護層可以用一個“洋蔥”來形象地描述其模型，每一層洋蔥皮就相當于一個保護層，由于所有的洋蔥皮對內核都起到獨立保護作用，從而洋蔥內核遭受外侵的風險就大大降低，如圖1所示。

第一層保護為合理的工藝設計，工藝過程，這是安全的基礎。第二層為DCS控制系統，操作人員可以通過DCS對工藝過程進行操作，監視工藝參數、人為干預生產過程，也可以通過PID、分程、串級等一系列控制模型來實現DCS自動控制，使工藝過程在安全范圍內進行。在生產過程中，如果工藝參數超限，DCS就會發出報警來提醒操作人員，操作人員看到報警提醒，及時人為干預，調整工藝參數，這就是第三層保護。如果工藝參數嚴重越線，接近危險將要發生的范圍，SIS系統啟動聯鎖反應，根據邏輯程序，發出動作命令，執行元件瞬間動作，中斷生產過程或者做出其它安全措施，迫使生產過程停止以確保安全，這就是所說的第四和第五層的保護。如果SIS系統動作沒有限制危險發生，危險急劇增加，設備自身增加一層物理保護，例如汽輪機的機械跳車和容器上的安全閥等，當危險即將發生時，為了防止事故不繼續擴大，機械自身帶保護裝置，達到危險程度后，靠自身的機械結構釋放，保護裝置回到安全狀態。這就是第六層物理保護。如果這六層保護都沒有阻止危險的發生，就只能到第七層緊急響應，盡快處理事故過程，把損失降到最低。

四、安全儀表系統介紹及對生產的保護過程

安全儀表系統，SafetyinstrumentationSystem，簡稱SIS；又稱為安全聯鎖系統（SafetyinterlockingSystem）。主要是為安全生產，避免事故發生設置的一層安全屏障，當工藝參數越線，危險來臨時，安全儀表系統發出動作或緊急停車，是工廠自動控制中的重要組成部分。

目前，石化系統主流的聯鎖系統有TRICONEX的TS3000,HONEYWELL的FCS，HIMA的H51q-HRS和SIEMENS的S7-400PLC。

這幾種系統各有千秋，TRICONE、HONEYWELL和HIMA的系統主要用于整個裝置的聯鎖保護系統，而S7-400PLC主要用于獨立單元如壓縮機等設備的聯鎖保護。TRICON是三重化冗余，三個CPU同時運行，同時檢測測量信號，在CPU中三個信號做比較，三個狀態一致，則CPU工作正常。如果其中一個和另外兩個不一致，則采用表決方式。一旦其中一個CPU故障，另外兩個還能正常運行。并且每個參數的通道中都實現了三重化。如圖2所示。

圖2：三重化邏輯模型

HIMA號稱是四重化冗余，安全級別更高。S7-400PLC則是采用一開一備的熱備模式，正常時，只有一個CPU工作，另外一個CPU處于熱備狀態，當運行的CPU出現故障時，自動切換到熱備CPU運行。這樣從安全的角度來講，比三重化四重化要低很多。所以一般用于獨立單元設備的控制。

下面以濟南煉化160萬噸/年柴油加氫裝置高低分為例，介紹安全儀表系統在聯鎖保護中的應用。加氫裝置的高壓分離器的作用是進行氣、油和水三相分離，高壓分離器的操作條件為高壓，而且臨氫。高分的壓力16MPa，低分的壓力2MPa，高壓分離器（下圖3）液位是加氫裝置非常重要的工藝控制參數，如液位過高容易導致循環氫帶液，損壞循環氫壓縮機；液位過低時，易發生高壓串入低壓事故，大量循環氫迅速進入低壓分離器，此時，如果后續緊急泄壓聯鎖失效或者低壓分離器的安全閥未能及時打開，將發生嚴重事故。引起低分超壓爆炸，硫化氫和可燃氣體泄漏，對裝置是毀滅性的事故。對于上述工藝過程，DCS為第二層保護，操作人員通過DCS調節，始終讓液位保持在安全的范圍之內，同時DCS設置報警，一旦液位越線，就是第三層保護，操作人員調整液位。如果液位超過第四層保護的聯鎖值，SIS系統就緊急切斷控制閥，保持D-105的液位，防止倒串導致的危險發生。如果這些措施都沒有阻止危險的發生，發生高低壓互串，為了防止爆炸的發生，低壓系統安全閥起跳，緊急物理保護設備釋放，大量的有毒氣體散發在空氣中，就需要緊急啟動響應措施，盡可能的降低損失。

圖3：加氫工藝流程示意圖

冷高壓分離器D-105液位是通過控制LV11201A與LV11201B兩調節閥來實現的，正常生產時，兩調節閥互為備用。為防止冷高分D-105液位壓空，造成高低壓互串，D-105液位底設兩個聯鎖切斷閥XV11201和XV11201A，D-105液位設三個液位遠傳儀表LI11201、LI11202、LI11203進行三取二聯鎖，當LI11201、LI11202、LI11203有兩個低于20%，將聯鎖關閉XV11201和XV11201A，同時關閉D-105的液位控制閥LV11201A與LV11201B，防止高壓介質串入低壓引發事故。

冷高壓分離器D-105界位控制方式和液位基本一致，為防止冷高分D-105界位壓空，造成高分油進入酸性水，造成酸性水油含量超標。D-105界位出口設兩個聯鎖切斷閥XV11202，D-105界位設三個液位遠傳儀表LI11204、LI11205、LI11206三取二聯鎖，當LI11204、LI11205、LI11206有兩個低于20%，將聯鎖關閉XV11202，同時聯鎖切斷LV12401A/B。

在上述液位和界位的控制中，傳感器都是三取二（2OO3）。三個獨立的回路進入Triconex控制系統，而控制系統也是三重冗余容錯結構的控制器，有三個獨立的控制器。每個點都是3-2-0工作模式。采用雙控制閥串聯方式，即一個調節閥和一個開關閥。正常操作時，切斷閥全開，調節閥來控制工藝參數，當工藝參數達到聯鎖數值時，控制器發出命令，切斷閥緊急關閉，調節閥上的電磁閥也切斷控制氣路，閥門關閉（LV11201A/B和LV11204A/B都是FC）。保護高壓容器中的氣體不會串入低壓容器引起爆炸危險。

各聯鎖回路安全等級應符合企業對裝置的風險和檢驗要求。依據IEC61511標準，大約有50%的聯鎖回路設計合理，大約40%的聯鎖回路存在著過保護，而大約10%的聯鎖回路存在欠保護。所以合理的設置聯鎖是非常關鍵的，既要保證聯鎖的可靠性，還要兼顧聯鎖的可用性。聯鎖并非設置的越安全越好，如果過于的考慮聯鎖的安全性，就會造成聯鎖誤動作機率大大提高，從而導致誤停車。如果聯鎖設置的過于簡單，會導致聯鎖拒動作，放任風險的發生。所以聯鎖的設置是可用性和可靠性的平衡。早期的聯鎖系統大部分采用西門子S5系列PLC，系統為一臺CPU運行，一臺熱備。進入系統的傳感器也是獨立的數字型號，執行機構采用冗余輸出。隨著安全儀表系統的發展，石化系統的SIS已經基本淘汰了CPU熱備的模式。普及了三重化CPU模式，CPU的三重化大大的提高了裝置的安全等級，減少了誤動作的概率。同時聯鎖設置風格也發生了很大的變化。早期由于系統處理模擬量能力的限制，聯鎖的信號一般都為數字量信號，現場傳輸4-20mA信號到控制室后，經過一臺報警設定器或者安全柵的轉換功能，轉換成數字型號后進入PLC實現運行，在這個轉換過程中，信號的精度大打折扣，會有很大的誤差，同時數字量信號沒法記錄儀表實時趨勢，對事故分析增加一定的難度。隨著控制系統的飛速發展，聯鎖系統可以直接接收模擬量信號，模擬量進入系統后進行信號轉換，根據需要設定聯鎖值，并可以記錄實時趨勢和帶有SOE（事故查詢）功能。

五、SIS系統的SOE功能

SOE是事件順序（SequenceofEvent）的英文簡稱。用于安全儀表系統，主要功能是按時間順序把整個事件記錄下來，利于事故后的分析。記錄的內容包括事件發生的時間、狀態、類型和位置等。用于安全儀表系統的卡件一般都具備SOE功能，能記錄20000條信息，具有多卡時間同步功能。但是西門子PLC只有特定類型的卡件才具備SOE功能。

SIS的SOE功能為事故的原因分析提供了有力的手段。用于記錄設備狀態和聯鎖事件，以便事故原因的追溯。SIS系統將一系列開關量如動作信號,報警信號等按照事件發生的先后順序以毫秒級的分辨率記錄下來，作為分析判斷事故原因并找出首因的重要手段，SIS的SOE功能的時間分辨率為1毫秒。在生產不正常時，一般聯鎖動作時間會非常快，在1秒內會有多個聯鎖信號觸發動作。SOE會把這些時間按時間順序詳細的記錄下來，幫助分析觸發聯鎖的第一事故原因，有助于事故原因的分析。如圖4為裝置停車時SOE記錄

圖4為裝置停車時SOE記錄

六、結束語

安全儀表系統是石油化工生產過程中非常重要的一道保護層，合理的配置保護系統，搭建控制邏輯，能有力的阻止事故的發生，以保護生產的持續性。在設計聯鎖保護系統之前，要全面的分析參數超限所能造成的風險，以及風險發生后能達到的危害程度。根據風險的大小和危害的程度，合理設置不同的保護級別。即保證聯鎖的可靠性，又兼顧生產的可用性。

七、參考文獻：

[1]WilliamM.GobleControlSystemsSafetyEvaluation&Reliability2ndEdition

[2]姜巍巍，李玉明，王春利，等.安全儀表系統-安全完整性等級(SIL)評估技術應用[J].中國儀器儀表，2009，28(2)：48-51.

[3]IEC61508-1:2010Functionalsafetyofelectrical[S]

[4]siemensAG.StatementList(STL)forS7-300andS7-400ProgrammingReferenceManual,2002

[5]楊維明，徐萍萍，陳建新.PLC在配料稱重控制系統中的應用[M].微機算計信息，2005，2：9-10

[6]張萬忠，劉明芹.電氣與PLC控制技術[M].北京:化學工業出版社,2003.8

作者介紹：

張瑞妍，（1982年4月－），女，漢族，山東濟南，工程師，負責電氣技術。曾發表論文多篇。