安全仪表系统SIS

题目：安全仪表系统（SIS）主讲人：第一节概述随着大型石化装置的发展，生产产品多样化、控制工程越趋复杂，安全保护越来越被重视。安全保护在石化生产过程中的表现形式是逐级上升的，即生产中使控制参数在正常范围内时使用的仪表调节系统；当调节系统不及时或出现干扰等异常，控制参数超出正常范围时使用报警联锁系统，此时需要采取手动或自动措施使生产恢复到正常状态上去；当情况进一步恶化达到临界状态时使用紧急停车系统，即ESD系统，按照预先设定的程序，包括紧急放空、仪表的选用事故状态、动设备停止运行等等措施，通过局部或整体停车方式消除危险；当事故已经出现，包括可燃气体泄漏、火灾等形成时采用火气消防系统来补救；对特殊场所，火气消防系统不能彻底消除事故时，采用物理防爆措施，即使用防爆墙等；物理防爆无法彻底消除灾害时采取最后一项措施时紧急疏散撤离。IEC61511对安全防护的分层描述见下图所示。在工艺生产过程中，存在各种各样的工艺参数和工艺设备状态，这些参数和状态被检测出来就是过程信号。生产中当这些参数控制在规定的范围内时，说明生产过程处于正常状态；超出这个范围说明出现异常，要求以声光形式提醒操作者采取调节措施（参数调整或设备适当操作）或者通过预定的程序使其恢复到正常值范围内，这个声光表现形式称为报警，根据预定程序的操作就是联锁；如果异常进一步扩大，为防止事故发生而采取的局部或整体生产装置停车的仪表系统，称为安全仪表系统（SIS），或紧急停车系统（ESD），它是生产过程中的一种自动安全保护系统，能对石油化工等生产过程中可能发生的危险（超出安全限定）及不采取措施而继续恶化的状态进行及时地响应和保护，使其进入预定的安全停车状态，从而保证人员、设备、生产和装置的安全。从正常生产到危险发生过程不同阶段示意如图2—4—1所示。安全仪表系统的基本功能结构示意如图2—4—2所示。一、通用安全标准由于SIS属于保护装置的安全仪表系统，所以对SIS控制器本身安全要求很高，有关国际机构对控制器的可靠性、安全性制定了相关的安全标准，并对相关控制器产品和使用的编程软件平台、应用于SIS程序的标准功能块等进行等级认证。1、DINV19250德国标准，规定安全系统的设计等级必须符合生产过程现场的危险性等级AK1～AK8(1～8级)。2、IEC61508国际电工组织制定的国际标准，用于确定过程、交通、医药工业等的安全周期(Safetylifecycle)，对设备的完整性、设计、操作、测试和维护提出要求，主要针对制造商和设备供应商。标准根据发生故障的可能性分成四个SIL等级，即等级表示符号描述一级SIL1每年故障危险的平均概率为0.1～0.01二级SIL2每年故障危险的平均概率为0.01～0.001三级SIL3每年故障危险的平均概率为0.001～0.0001四级SIL4每年故障危险的平均概率为0.0001～0.000013、ANSI/SIAS84.01-1996美国对工业过程的安全系统设立的标准，是IEC61508和DINV19250的结合，但去除了SIL4这个最高级别。4、DraftIEC61511第1～4部分，适用于工艺过程工业的安全仪表系统（包括SIS设计者、系统集成商和最终用户）的国际化标准，是IEC61508的补充。5、EN54的第三部分适用于火灾检测报警系统的欧洲标准，NFPA72则是美国“国家火灾报警标准”等。二、联锁保护系统设置：根据《石油化工安全仪表系统设计规范》SH/T3018-2003有关要求，安全仪表系统应符合下列规定。1、独立安全联锁保护和停车系统独立于过程控制系统，以降低控制功能和安全功能同时失效的概率，使联锁和停车系统不依附于过程控制系统就能独立完成自动保护联锁的安全功能。见图2—4—3“独立的安全仪表系统”。安全仪表系统(SafetyInstrumentedSystem-SIS)包括传感器（Sensor）、逻辑运算器（Logicsolver)和最终执行元件(Finalelement)。1.1SIS传感器选用：独立设置原则：1级SIS传感器可与DCS共用；2级SIS传感器宜与DCS分开；3级SIS传感器应与DCS分开；冗余设置原则：1级SIS传感器可采用单一的传感器；2级SIS传感器宜采用冗余的传感器；3级SIS传感器应采用冗余的传感器；冗余选择原则：保证系统的安全性时，采用“或”逻辑结构；保证系统的可用性时，采用“与”逻辑结构；当系统的安全性和可用性均需保证时，采用“三取二”逻辑结构；传感器宜采用隔爆型的变送器（压力、差压、差压流量、差压液位、温度），不宜采用开关型传感器；传感器由SIS系统供电。1.2SIS逻辑运算器选用：SIS逻辑运算器：继电器系统，可编程序电子系统，混合系统三种；继电器用于I/O点较少,逻辑功能简单的场合；可编程电子系统用于I/O点较多,逻辑功能复杂，与DCS、MES通信等场合；可编程电子系统可以是经TUV认证的PLC系统，也可是DCS和其他专用系统；独立设置原则：1级SIS逻辑运算器宜与DCS分开；2级SIS逻辑运算器应与DCS分开；3级SIS逻辑运算器必须与DCS分开；冗余设置原则：1级SIS可采用单一的逻辑运算器；2级SIS宜采用冗余或容错逻辑运算器；3级SIS应采用冗余容错逻辑运算器；1.3SIS执行元件选用：执行元件：气动切断阀（带电磁阀），气动控制阀（带电磁阀），电动阀或液动阀等。独立设置原则：1级SIS阀门可与DCS共用，应确保SIS优先于DCS动作；2级SIS阀门宜于DCS分开；3级SIS阀门宜于DCS分开；冗余设置原则：1级SIS可采用单一阀门；2级宜采用冗余阀门；如采用单一阀门，电磁阀宜冗余配置；3级宜采用冗余阀门；可采用一个控制阀和一个切断阀；电磁阀设置原则：电磁阀应采用长期带电，低功耗，隔爆型；由SIS系统供电。1.4独立设置的目的1.4.1降低控制功能和安全功能同时失效概率，当维护DCS部分故障时也不会危及安全保护系统；1.4.2对于大型装置或旋转机械设备，紧急停车系统响应速度越快越好，这有利于保护设备，避免事故扩大和分析事故原因记录，DCS处理大量过程监测信息，因此其响应速度难以作得很快；1.4.3DCS系统是过程控制系统，是动态的，需要人工频繁的干预，这有可能引起人为误动作；而SIS是静态的，不需要人为干预，这样设置SIS可以避免人为误动作。2、冗余（用多个相同的模块或部件实现特定功能或数据处理）2.1元件冗余：具有指定的独立的N：1重元件，并且自动检测故障，切换到后备设备上；2.2表决（用多数原则确定结论）结构：如三取二表决电路，排除由于元件故障而出现的虚假动作，避免不应有的停车事故。3、故障安全（安全仪表系统发生故障时，使被控制过程转入预定安全状态）3.1报警、联锁的检测元件接点采用正常时闭合，越限时断开；3.2执行元件在系统正常时应是励磁（带电）状态，非正常时应是非励磁（不带电）状态，重要联锁电磁阀采用双三通电磁阀，即两个电磁阀并联运行，防止电磁阀出故障；3.3调节阀选择是事故状态下，工艺装置处于安全状态分别选用气开式和气关式（保证在起源终端是装置处于安全状态）。4、人机接口操作站可以采用过程控制系统操作站，但操作站不能修改安全仪表系统的编程软件；工程师站完成安全仪表系统编程组态和维护，可采用台式PC机或便携式PC机；辅助操作台：在CCR辅助操作台上安装的硬件，包括紧急停车按钮、开关、选择器、旁路开关和信号报警器等用硬线接到CCR的SIS控制器，通过冗余安全以太网通信接到现场机柜室SIS控制器逻辑运算。4.1手动复位：当工艺参数由非正常状态恢复到正常状态时，由操作人员有步骤地进行手动复位，重要的联锁系统和工艺变量一般采用手动复位，避免自动复位的缺陷；4.2手动旁路：人为切除和投入，在两种情况下使用，一是解除某些变量的联锁，为动设备的启动创造条件；二是用于检修事故开关；4.3延时电路：使用时间继电器过滤脉冲干扰或瞬间突发事件引起的停机动作。5、安全仪表系统应具有硬件和软件诊断和测试功能。6、软件组态应符合IEC61131-3工业标准，软件应能在线修改和下载，在系统投用前应对软件组态进行100%功能测试。7、SIS与DCS区别7.1DCS用于生产过程的连续测量、常规控制（连续、顺序、间歇等）、操作控制管理，保证生产装置的平稳运行；SIS用于监视生产装置的运行状况，对出现异常工况迅速进行处理，使危害降到最低，使人员和生产装置处于安全状态；7.2DCS是“动态”系统，它始终对过程变量连续进行检测、运算和控制，对生产过程进行动态控制，确保产品的质量和产量；SIS是“静态”系统，正常工况时，它始终监视生产装置的运行，系统输出不变，对生产过程不产生影响，非正常工况下时，它将按照预先的设计进行逻辑运算，使生产装置安全联锁或停车；7.3SIS比DCS在可靠性、可用性上要求更严格，IEC61508、IEC61511、ISAS84.01、SH/T3018强烈推荐SIS与DCS硬件独立设置。三、ESD系统控制器1、结构类型按照控制器划分为双重冗余和三重冗余两种。1.1双重冗余ESD系统从I/O模件和CPU都配置了两重化，其中一套处于工作状态，另一套则处在热备用状态，CPU不停监测运行的和热备的硬件，当CPU检测到运行卡件有故障时，会自动切换到备用卡件上，同时系统会周期性的切换运行和热备卡，以保证系统的安全。见图2—4—6“双重冗余ESD系统”1.2三重化硬件结构组成每个I/O模件内有3个独立的分电路。输入模件的每个分电路读入过程数据并将此信息送至各主处理器。3个主处理器可利用其专有的高速三重化总线(TRIBus)进行相互间的通信。每扫描一次，3个主处理器通过三重化总线与其相邻两个主处理器进行通信，达到同步；同时三重化总线可对数字输入数据进行表决，对输出数据进行比较，并将模拟输入数据进行复制并送到每个处理器，主处理器执行各种控制算法，并将运算输出值送到各输出模件。除表决输入数据外，TRICON还表决输出数据。输出数据的表决是在输出模件中完成的，这样可使其尽可能与现场靠近，并对三总线表决与驱动现场的最终输出间可能发生的任何错误进行检测和补偿。见图2—4—7“三重冗余ESD系统”。2、联锁保护系统试验信号报警和联锁保护系统正式投入使用前必须对其进行检查和测试，测试参与方包括施工单位、监理、业主仪表、电气、设备等各专业，联锁试验由业主工艺车间组织，施工单位配合，测试合格并得到有关方面的确认后才能投入使用，具体包括：2.1检查：2.1.1所有仪表单校合格；2.1.2检查设备安装和电缆接线正确；2.1.3检查电源和气源满足要求。2.2供电：对仪表设备和回路逐个供电，检查以下内容2.2.1通过状态指示灯检查逻辑控制器运行状态是否正常；2.2.2检查输入输出设备运行状态是否正常；2.2.3检查输入输出接点状态指示灯目前状态是否与现场一致；2.2.4检查联锁系统控制站与操作站之间通信状态，确认操作站画面显示正常。2.3模拟联动按照信号报警和联锁保护逻辑图，将其划分为多个逻辑包，根据各个逻辑包的动作条件，逐个进行试验，检查动作结果是否符合设计要求。2.4可能存在的问题问题造成的可能原因检查内容误动作（1）电源失电或电压波动超过规定值检查电源熔断丝和供电方式是否合理（2）检测元件故障检查接点接触是否良好，安装位置是否合理（3）执行元件故障电磁阀开路或短路，导压管泄漏，空气脏造成电磁阀关闭不严（4）导线短路或开路包括机械损伤、绝缘老化、接线端子接触不牢固等拒动作（1）检测元件不动作检查设定值是否正确和调整的动作偏差；开关接点表面氧化或集灰；触点容量不够多次动作时出现粘结现象（2）执行器故障电气线路问题（短路/断路、接地、绝缘）；电磁阀卡或机械结构失灵第二节主要厂家的SIS系统安全仪表系统(SIS)主要包括FSC、ELOPⅡ、Trusted、TRICON等紧急停车安全仪表控制系统。一、FSC美国Honeywell公司的FAILSAFECONTROL（FSC）系统，由它执行安全联锁系统的控制部分代替原来在DCS中执行的联锁内容，按