施工员培训--安全仪表系统

安全仪表系统一、概述1.安全仪表系统(SIS)的定义SIS是SafetyInstrumentedSystem的简称,中文的意思是安全仪表系统,,它是根据美国仪表学会(ISA)对安全控制系统的定义而得名的。安全仪表系统(SIS)也称为紧急停车系统（ESD）、安全联锁系统(SIS)或仪表保护系统（IPS）。简要的说，安全仪表系统(SIS)是指能实现一个或多个安全功能的系统。安全仪表系统在石油、石油化工等领域已有较多的产品：例如Honeywell公司的FSC（FailSafeControlSystem）故障安全控制系统、德国HIMA公司的PES（ProgrammableElectronicSystem）可编程电子系统等。安全仪表系统(SIS)主要包括三大部分：传感器部分、逻辑运算部分和最终执行元件部分。SIS系统具有高可靠性（Reliability）、可用性（Availability）和可维护性（Maintainability），并且在SIS内部出现故障或外界干扰的情况下是安全的。2．安全仪表系统(SIS)的分类从SIS发展历史来看，安全仪表系统(SIS)经历了继电器系统、固态电路系统和可编程电子系统3个阶段。（1）继电器系统A．采用单元化结构，由继电器执行逻辑，通过重新接线来重新编程。B．可靠性高，具有故障安全特性，电压适用范围宽，一次性投资较低，可分散于工厂各处，抗干扰能力强。C．系统庞大而复杂，灵活性差，进行功能修改或扩展不方便，无串行通信功能，无报告和文档功能。易造成误停车，无自诊断能力。用户维修周期长，费用高。（2）固态电路系统A．采用模块化结构，采用独立固态器件，通过硬接线来构成系统，实现逻辑功能。B．结构紧凑，可进行在线测试，易于识别故障，易于更换和维护，可进行串行通信，可配置成冗余系统。C．灵活性不够，逻辑修改或扩展必须改变系统硬连线，大系统操作费用较高，可靠性不如继电器系统。（3）可编程电子系统A．以微处理器技术为基础的PLC，采用模块化结构，通过微处理器和编程软件来执行逻辑。B．强大、方便灵活的编程能力，有内部自测试和自诊断功能可进行双重化串行通信，可配置成冗余或三重模块冗余（TMR）系统，可带操作和编程终端，可带时序事件记录（SER）。3.安全仪表系统(SIS)的特点(1)SIS能够检测潜在的危险故障，具有高安全性，覆盖范围宽的自诊断功能。（2）SIS需符合国际安全标准规定的仪表安全标准，从系统开发阶段开始，要接受第三方认证机构（TüV等）的审查，取得认证资格，系统方可投入实际运行。（3）SIS自诊断覆盖率大，维修时检查的点数非常少。诊断覆盖率是指可在线诊断出的故障系统全部故障的百分数。（4）SIS由采取冗余逻辑表决方式的输入单元、逻辑结构单元、输出单元三部分组成系统，逻辑表决的应用程序修改容易，特别是可编程型SIS，根据工程实际要求，修改软件即可。（5）SIS由局域网、DCSI/F（人机接口）及开放式网络等组成多种系统。（6）SIS设计特别重视从传感器到最终执行机构所组成的回路整体的安全性保证，具有I/O断线、短路等的监测功能。二、安全仪表系统(SIS)的组成1.SIS系统的组成分为传感器部分、逻辑运算部分和最终执行器单元三部分。其结构简图如下：A.传感器单元采用多台仪表或系统，将控制功能与安全联锁功能隔离，即传感器分开独立配置的原则，做到安全仪表系统与过程控制系统的实体分离。B.最终执行元件（切断阀、电磁阀）是安全仪表系统中危险性最高的设感测器输入回路MPU输出回路最终元件输入模块控制模块SIS系统简图－输出模块+备。C.逻辑运算单元由输入模块、控制模块、诊断回路、输出模块4部分组成。SIS故障有两种：显性故障（安全故障）和隐性故障（危险故障）。显性故障（如系统短路等），由于故障出现使数据产生变化，通过比较可立即检测出，系统自动产生矫正作用，进入安全状态，因此显性故障不影响系统安全性，仅影响系统可用性，故又称为无损害故障（FailtoNuisance，FTN）。隐性故障（如I/O短路等），开始不影响到数据，仅能通过自动测试程序方可检测出，它不会使正常得电的元件失电，因此又称为危险故障（FailtoDanger，FTD），系统不能产生动作进入安全状态。隐性故障影响系统的安全性，隐性故障的检测和处理是SIS系统的重要内容。安全仪表系统的逻辑单元结构选择见下表：逻辑单元结构IEC61508SILTüVAKDINV195201。。11AK2，AK31,21。。1D2AK43,41。。22AK43,41。。2D3AK5,65,62。。33AK5,65,62。。43AK5,65,62.SIS与DCS的区别SIS与DCS在石油、石化生产过程中分别起着不同的作用，如下图所示：生产装置从安全角度来讲，可分为3个层次：第一层为生产过程层，第二层为过程控制层，第三层为安全仪表系统停车保护层。SIS与DCS的区别见下表：DCSSISDCS用与过程连续测量、常规控制（连续、顺序、间歇等）、操作控制管理，保证生产装置平稳运行SIS用与监视生产装置的运行状况，对出现异常工况迅速进行处理，使故障发生的可能性降到最低，使人和装置处于安全状态DCS是“动态”系统，它始终对过程变量连续进行检测、运算和控制，对生产过程动态控制，确保产品质量和产量SIS是静态系统，在正常工况下，它始终监视装置的运行，系统输出不变，对生产过程不产生影响，在异常工况下，它将按着预先设计的策略进行逻辑运算，使生产装置安全停车环境火灾与燃气系统安全仪表系统（SIS）过程控制系统(DCS等)生产过程&生产装置的安全层次灭火子系统DCS可进行故障自动显示SIS必须测试潜在故障DCS对维修时间的长短的要求不算苛刻SIS维修时间非常关键，弄不好造成装置全线停车DCS可进行自动/手动切换SIS永远不允许离线运行，否则生产装置将失去安全保护屏障DCS系统只做一般联锁、泵的开停、顺序等控制，安全级别要求不象SIS那么高SIS与DCS相比，在可靠性、可用性上要求更严格，IEC61508，ISA·S84.01强烈推荐SIS与DCS硬件独立设置3.SIS系统的配置方案（1）a型控制系统和联锁系统全部由DCS控制站完成。过程控制信息由通信网络传给操作站显示报警，操作员的操作指令由操作站通过通信网络传给控制站执行，这就是控制、联锁一体化型。（2）b型控制系统信号由一组控制站完成，报警联锁信号由另一组控制站完成。两站信息由通信网络送到操作站，操作员的指令由操作站经通信网络送达各个控制站执行，就是控制、联锁站站分开型。（3）c型控制信号由DCS独立执行。联锁信号由PLC独立执行，PLC由独立的编程器进行软件编写，重要的信息送操作台硬灯显示或由操作台发出硬开关动作指令。PLC联锁报警的非重要信号由通信接口送到通信网络并传到操作站进行显示，部分非重要指令由操作站发出，送PLC执行，就是DCS+PLC型。（4）d型控制报警信号由DCS系统执行，重要的联锁信号由继电器系统完成。由硬开关及硬灯组成的操作台进行显示和操作，就是DCS+PLY型。（5）e型控制信号由DCS独立完成，联锁报警信号由三重冗余的紧急联锁控制器ESD完成。软件编程器独立设置，重要动作及操作指令由独立操作台显示和发出，非重要信号和指令由通信接口经通信网络送操作站显示和发出，就是DCS+ESD型。总之SIS原则上应单独设置，独立与DCS和其他系统，并与DCS进行通信；SIS应具有完善的诊断测试功能，SIS应采用经TüV安全认证的PLC系统；SIS关联的检测元件、执行机构原则上单独设置；SIS中间环节应保持最少；SIS应采用冗余或容错结构；SIS应设计成故障安全型，I/O模件应带电磁隔离或光电隔离，每通道应相互隔离，可带电插拔；来自现场的三取二信号应分别接到三个不同的输入卡，当模拟量输入信号同时用于SIS、DCS时，应先接到SIS的AI卡，采用SIS系统对变送器进行供电。三、工艺过程的风险评估及安全功能SIS等级的确定1、相关的几个概念：（1）安全度及安全度等级安全联锁系统在一定条件和一定时间周期内执行指定安全功能的概率称为安全度。安全联锁系统的安全等级称为安全度等级，用PED（ProbabilityofFailureonDemand）即危险概率来定义。（2）SIL及SIL分级SIL是SafetyIntegrityLevel的简称，中文的意思是综合安全级别也称为安全度等级。它是美国仪表学会（ISA）在S84.01标准中对过程工业中安全仪表系统所作的分类等级，SIL分为1、2、3三级：SIL1级每年故障危险的平均概率为0.10～0.01之间；SIL2级每年故障危险的平均概率为0.01～0.001之间；SIL3级每年故障危险的平均概率为0.001～0.0001之间。SIL等级的确认：1级：装置可能很少发生事故。如发生事故，不会立即造成环境污染和人员伤亡，经济损失不大。用于本级别的安全仪表系统，需取得SIL1级和TüV2-3级认证，对装置和产品起一般的保护。2级：装置可能偶尔发生事故。如发生事故，对装置和产品有较大的影响，并有可能造成环境污染和人员伤亡，经济损失较大。用于本级别的安全仪表系统，需取得SIL2级和TüV4级认证，对装置和产品提供保护。3级：装置可能经常发生事故。如发生事故，对装置和产品将造成严重的影响，并造成严重的环境污染和人员伤亡，经济损失严重。用于本级别的安全仪表系统，需取得SIL3级和TüV5-6级认证，对装置和产品提供保护。（3）IEC61508标准IEC61508标准是国际电工委员会（IEC）对与安全相关的安全控制系统制定的性能安全标准，与ISA的SIL相比，除了覆盖ISA中的SIL1～3等级以外，增加了第四级标准，IECSIL4级标准每年故障危险的平均概率为0.0001～0.00001之间。（4）TüV标准TüV是德国技术监督协会的缩写。DINV，19250是TüV证书中评定产品的标准。TüV标准是德国莱茵认证机构对工业过程安全控制系统所作的分类等级。TüV共分为8级（AK1～AK8），AK2/3对应于SIL1级，AK4对应于SIL2，AK5/6对应于SIL3级，AK7对应于SIL4级，AK8是目前最高级别的安全标准，故障概率大于十万分之一，目前没有与E/E/PES安全相关的系统能满足要求，ISA和IEC尚未制定相应于AK8的标准。2.DINV，19250/IEC61508标准风险分析图工艺过程的风险是以恶性事故概率及其造成的后果来衡量的。目标安全水平是以可接受的恶性事故概率及其造成的后果来确定的。目标安全水平与恶性事故概率之间的差值就是安全功能的SIL等级，即SIS系统中采用SIL等级的安全功能来使恶性事故概率低于目标安全水平。DINV，19250/IEC61508标准风险分析图如图所示。3.综合安全级别确定SIL等级现有三种技术来确定：定性风险评估技术，半定量风险评估技术及定量风险评估技术。安全功能故障率整体安全水平（SIL）安全功能故障率SIL4≥10-5～10-4SIL3≥10-4～10-3SIL2≥10-3～10-2SIL1≥10-2～10-1DINV，19250/IEC61508标准风险分析图中，IEC61508标准安全度等级SIL与DINV，19250最小抑制风险级别AK（TüV标准）的对应关系如下表所示：IEC61508SILANSI/ISAS84.01SILDINV，19250AKClass说明112、3仅对少量的财产和简单的生产和产品进行保护224对大量的财产和复杂的生产和产品进行保护，也对生产操作人员进行保护335、6对工厂的财产，全体员工的生命和整个社区的安全进行保护4-７避免灾难性的（例如核事故）会对整个社区形成巨大冲击的事故四、SIS安全仪表系统常用术语1.故障（Failure）针对控制系统的安全而言，故障分为安全故障和严禁故障。安全故障是指此故障不会引起生产装置灾难性事故，而严禁故障是指故障一旦发生，会引起装置灾难性后果。下面以紧急停车系统（ESS）为例来说明安全故障和严禁故障