刘念

(中国五环工程有限公司，湖北 武汉 430223)

根据IEC 61511的定义，安全仪表系统(SIS)是指执行1个或多个安全仪表功能(SIF)的仪表系统，SIS由传感器、逻辑控制器以及最终元件组成[1]，用于当预定的过程条件或状态出现背离时，将过程置于安全状态。SIF的最根本特征是应对特定的危险时间并将风险降低，根据风险降低的要求评估其SIL等级。

1 概 述

合成氨装置合成气分离器液位控制的SIF与基本过程控制系统(BPCS)的控制功能相互独立。安全仪表回路组成如图1所示，分离器液位过高时，需要通过BPCS的调节回路，使LV-32002阀打开，液位降低；当液位继续升高，BPCS无法满足保护要求时，安全联锁系统中的液位高高LSHH-32003触发联锁ESD-3201动作，使得合成气压缩机ESD-3201跳车，保护压缩机不受损坏，该安全仪表回路经过危险与可操作性分析(HAZOP)和风险图校验(CRG)的结果，得出SIL至少为SIL2。

图1 安全仪表回路组成示意

SIL等级主要由失效率、表决形式、诊断覆盖率、检验测试的时间间隔、平均恢复时间、公共原因失效6个主要参数决定；目前，SIL等级评估可以通过保护层分析法、风险矩阵法及风险图等方法确定；SIL等级的计算方式主要有概率计算法、事故树分析法、马尔可夫过程分析等方法。低要求操作模式下平均失效概率PFDavg的划分[2]见表1所列。

表1 低要求操作模式下的PFDavg

2 SIS设计的主要原则

2.1 可靠性原则

为了保证工艺装置的生产安全，工艺过程对SIF的可靠性要求会考虑非计划性停车的成本等因素，SIS的作用只能降低风险而非消除风险，由于SIS本身的失效或故障所造成的工艺过程误停车就不可能完全避免。因此，SIS必须具备与工艺过程相适应的SIL等级的可靠度，不能拒绝“动作”。

2.2 可用性原则

根据安全要求规格书，每个SIF的功能描述、目标SIL、与预防或减轻的风险、工艺参数、逻辑、旁路和维护要求、响应时间等，都应该体现在SIS中。为了提高系统的可用性，SIS应具有硬件和软件自诊断和测试功能，不能“误动”。

2.3 独立性原则

SIS应独立于BPCS，可独立完成安全保护功能，原则上要求独立设置的部分有检测元件、执行元件、逻辑运算器以及系统或设备间的通信。如果工艺要求同时进行联锁和控制的情况下，SIS和BPCS应各自设置独立的检测元件和取源点，降低控制功能和安全功能同时失效的概率[3]。SIS应配置独立的通信网络，包括独立的网络交换机、服务器、工程师站等；应采用冗余电源，由独立的双路配电回路供电。

2.4 标准认证原则

随着安全标准的推出以及对安全系统重视度的不断提高，SIS的认证也变得越来越重要，系统的设计思想、结构都须严格遵守相应标准并取得权威机构的认证，这些标准主要包括IEC 61508， IEC 61511， ANSI/ISA S 84， NFPA/UL 98， DIN 19250等。SIS中使用的硬件、软件、仪表必须遵守正式版本并已商业化，同时必须获得国家有关防爆、计量、压力容器等强制认证，严禁使用任何试验产品。

2.5 故障安全原则

根据故障安全的设计理念，紧急停车系统应采取失电联锁的设计，即“负逻辑”设计：

1)正常状态为逻辑“1”状态，现场的DI信号为“1”并显示正常，工艺参数到达联锁设定点时，则DI信号为“0”。

2)同理，DO信号为“1”并显示正常，电磁阀等信号带电，当联锁逻辑动作时，则DO为“0”信号，电磁阀等信号失电。

该设计原则保证了诸如断电/气、回路断线等故障状态时，工艺参数处于安全的状态，方便后续的设计与校验工作[3]。

2.6 冗余原则

为了提高SIS的SIL等级，对系统的各个单元实现冗余是必须的， SIS供应商应以“1oo2”“2oo3”“2oo4”的方式提供冗余硬件的配置。这些冗余配置的应用，目的是提供更高等级的可靠性，同时降低非必要关断对过程造成影响的可能性。

3 SIS应用案例

3.1 项目介绍

该项目主装置采用2.05 kt/d天然气制合成氨和3.25 kt/d尿素，并包括了3台 50 t/h燃气锅炉和发电机，配套有原水、除盐水、循环水、污水、罐区、废水气提、空压站、火炬、原料储运等装置。

合成氨装置采用了CASALE低压氨合成技术，合成氨装置主要包括以下工序： 天然气的脱硫及转化、一氧化碳变换及甲烷化、二氧化碳的脱除、合成气压缩、氨合成及冷冻、氢回收、氨回收、冷凝液汽提系统，合成氨工艺流程如图2所示。

图2 合成氨工艺流程示意

3.2 合成氨工艺的危险特性

合成氨生产过程具有高温、高压、有毒、易燃并且易爆的特点，在生产过程中使用和处理的主要化学品有液氨，NH3，CO2，CO，H2，H2S，CH4等，具体表现如下：

1)高温、高压使可燃气体爆炸范围扩宽，气体物料一旦遇到氧气，极易在设备和管道内发生爆炸。

2)高温、高压气体物料从设备管线泄漏时，会迅速膨胀与空气混合形成爆炸性混合物，遇到明火或因高流速物料与喷口处摩擦产生静电火花，引起着火和空间爆炸。

3)气体压缩机等转动设备在高温下运行会使润滑油挥发裂解，在附近管道内造成积炭，容易导致燃烧和爆炸。

4)高温、高压可加速设备金属材料发生蠕变，改变金相组织，还会加剧氢气、氮气对钢材的氢蚀及渗氮，加剧设备的疲劳腐蚀，使其机械强度减弱，引发物理爆炸。

5)液氨储罐大规模泄漏，容易引起大范围人群中毒，遇明火更是会产生空间爆炸。

3.3 合成氨装置HAZOP分析

HAZOP分析将合成氨装置的不同工艺过程划分为适当的节点，按照科学的程序和方法使用引导词HAZOP分析法，用引导词来定性或定量地给出针对设计意图或操作参数的偏离，以激发头脑风暴式的思维来模拟出相应的非正常的工况，找出引发偏离的诱因和偏离的后果，确定现有的安保措施，并提出建议。在引导词法中，系统地针对工艺过程中的每个节点，将每个引导词应用于工艺变量上，如此重复，直到整个工艺过程分析完毕，对后果的风险等级进行分类，提出可以采取的建议措施，确定建议措施响应的责任方和建议关闭的时间。

3.3.1冗余结构

该项目合成氨装置SIS的CPU采用四重化冗余结构[4]，系统结构如图3所示。

图3 合成氨装置SIS的CPU四重化冗余结构示意

四重化冗余系统架构通过冗余控制器实现，其中每个CPU都包含2个微处理器，即使系统的1条线路由于错误或替换停机，该结构也可确保系统的完整；在系统出现问题后，系统可以一次降级到“1oo2D”的系统继续运行。

3.3.2HAZOP分析流程

该项目合成氨装置HAZOP分析小组研究了40个节点，每个节点都有若干个偏差，总共对343个偏差、655个原因、661个结果和1 664个保护措施进行了风险分析，并在给出的众多建议中经过筛选最终采纳了62项。HAZOP的分析流程如图4所示。

图4 HAZOP分析流程示意

通常的引导词包括“不”“多”和“少”，但也有许多其他常用的词，并不是所有的引导词都适用于每个工艺参数，图5给出了常用的引导词与工艺参数组合，表2给出了一些指导词及其含义。

图5 引导词与工艺参数的关系示意

为了方便后续跟踪和处理合成氨装置HAZOP 分析中发现的问题，笔者从选取节点、工艺参数、偏差、原因、后果、保护措施和建议措施等方面对风险分析项目进行了总结，给出了表3所列的实例。

表2 常用HAZOP引导词及其含义示意

表3 合成氨装置HAZOP分析实例

根据HAZOP分析报告，通过记录引发事件和保护层阻止或降低风险，该项目合成氨装置通过使用CRG对SIS的SIL评估定级。

3.4 合成氨装置CRG及SIL定级

根据IEC 61511标准，CRG的半定性方法能够根据与工艺和基本过程控制系统相关的风险因素的知识确定安全相关回路的安全完整性水平。在合成氨装置的SIS中，考虑了所涉及的决策标准和审查的完整性水平，以确保可接受的风险。在CRG中，风险是以下4个参数的函数：

1)危险状况的后果(C)。发生危险事件很可能导致的死亡和/或严重受伤的人数、财产损失及环境影响的程度。

2)占有率(F)。在发生危险事件时段内暴露区被占用的概率。

3)避免风险状况的概率(P)。如果要求时SIF失效，暴露的人员能够避免存在的风险状况的概率。

4)要求率(W)。在所考虑的SIF不存在的情况下，每年发生危险状况的次数。

危险状况的后果分为安全(S)、环境(E)和财产，各个风险参数值类别及程度见表4和表5所列。

表4 一般风险参数值类别及程度

表5 其他风险参数值类别及程度

在CRG中，每个参数都被赋予一系列的值，以便在组合应用时，对在没有安全特定功能的情况下存在的风险进行分级评估，因此确定了对所述SIF的依赖程度的度量。SIL定级所用的风险图如图6所示。

在HAZOP研究中识别出1个SIF(FSLL-14004A)，为合成氨装置二段炉进气流量低低。引发事件有4个，分别是压缩机故障，HV-16001阀门开启，PV-16023阀门开启，HV-14001阀门关闭；各自导致的后果见表6所列，由此对照风险图表，分别定性整个SIF中关于安全、财产和环境的SIL等级，最终确定整个SIF的SIL等级。

图6 SIL定级用的风险图示意(含安全、财产和环境)

表6 通过校验的风险图法确定SIF的SIL等级

续表6

该项目合成氨装置最终识别和确定了52个SIF，每个SIF评估的SIL等级见表7所列。

表7 合成氨装置SIF评估的SIL等级

4 SIS结构

IEC 61508/IEC 61511对安全控制系统在过程工业领域的应用具有很重要的意义，SIS按照故障安全型设计。该项目合成氨装置SIS设置了专门的工程师站，事件顺序记录站SER(sequence event recorder)并配套打印系统，与DCS一起完成记录任务。由于DCS要处理大量过程测量信息，其动作速度偏慢，因此单独设置顺序事件记录站可以快速分辨事故原因。SIS结构如图7所示。

图7 SIS结构示意

4.1 通信技术

该项目合成氨装置SIS与DCS之间数据通信遵循Modbus-RTU协议，DCS作为主站，其他系统作为从站，物理串行接口采用RS-485，SIS与DCS之间的接口规则如下：

1)硬接线连接。主要包括急停信号、主旁路MOS开关、重要的报警信号、辅操台去ESD的按钮信号以及来自MCC的停止/跳车命令。

2)Modbus-RTU。非安全性动作的信号，主要包括复位信号、报警信号、状态指示、故障指示以及一些模拟测量值。

4.2 维护及操作旁路开关的设置

维护旁路开关设置的主要目的是对SIS的变送器及检测开关进行在线检修，在使用维护旁路开关的时候，在对整个工程状态指示和检测方面，相关人员需要采取必要的措施。旁路开关有三种设置方式： 软件开关设置在SIS的操作员站；软件开关设置在基本过程控制系统的操作员站；硬件开关设置在辅助操作台或者机柜上。

操作旁路开关设置在输入信号的通道上，其动作应设置报警和记录。当工艺过程变量从初始值变化到工艺条件正常值，信号状态不改变时，不应设置操作旁路开关；当工艺过程变量从初始值变化到工艺条件正常值，信号状态发生改变时，应设置操作旁路开关；操作旁路开关的三种设置方式与维护旁路相同。紧急停车按钮应设置在辅助操作台上，并且应设状态报警和记录，不应设置维护或操作旁路开关[5]。

该项目合成氨装置仪表维护旁路采用软件开关，主要是考虑到以下三点：

1)仪表维护旁路开关非急用设施，不必在辅助操作台或者机柜上设置硬件开关，操作台面要求简洁、清晰。

2)仪表维护旁路开关数量多，若布置于台面，将影响操作人员对台面设备的辨识，众多的仪表维护旁路开关需要多个操作台来安装，不切实际。

3)大量的硬开关增加了SIS的输入信号数量，增大了投资。 合成氨装置的操作旁路状态设置了报警功能，以提醒工艺操作人员注意观察工艺参数，及时将旁路状态切换到正常状态。

在设计旁路开关方案的时候，旁路设计的合理性对提升SIS可用性具有十分重要的意义，维护旁路设置的合理性对维护和检测现场仪表具有十分重要的影响，可以有效防止装置误动作情况的发生，这种装置误动作主要是由安全仪表维护造成的。

4.3 时钟同步系统

该项目合成氨装置中，SIS与基本过程控制系统的时钟同步，DCS控制节点、操作节点和二级时钟服务器的时钟将与一级服务器(GPS)同步。一级时钟同步服务器是工厂时钟源，为DCS提供2个独立的RJ-45接口，它通过SNTP协议上的双绞线连接到DCS的交换设备上。DCS接收时钟数据，每15 min同步一次，二级时钟同步服务器是DCS的内部操作节点，它从一级时钟同步服务器以及DCS的控制节点和操作节点接收时钟数据；当一级时钟同步服务器出现故障时，二级时钟同步服务器与DCS的其他内部控制节点和操作节点同步，保证DCS的时钟同步。

时钟信号分配器INK 711与GPS时间同步服务器配合使用，可实现1 ms级控制站的时间同步精度。利用该分配器，用户可以将GPS时间同步服务器的1 s脉冲信号分解为多个ECS-700控制站使用的多个脉冲信号，实现多个控制站的高精度时间同步，时钟同步示意如图8所示。

图8 时钟同步示意

5 结束语

石化装置SIS的设计，在国内外项目中的要求越来越高。SIS在合成氨装置的开车、停车、运行、维护操作期间，对人员健康、装置设备及环境提供安全保护。无论是生产装置本身出现的故障危险，还是人为因素导致的危险以及一些不可抗因素引发的危险，SIS都能立即做出反应并给出相应的逻辑信号，使合成氨装置安全联锁或停车，阻止危险的发生和事故的扩散，将危害降低到最少。SIS在合成氨装置中的应用，保证了该项目合成氨装置的稳定运行，同时给类似项目的SIS设计提供参考和借鉴意义。