史上最全(SIS)安全仪表系统解析

1、什么是安全仪系统 在IEC61508 中,SIS被称为安全相关系统(Safety Related System),将被控对象称为被控设备(EUC)。 IEC61511将安全仪表系统SIS定义为用于执行一个或多个安全仪表功能(Safety Instrumented Function,SIF)的仪表系统。SIS是由传感器(如各类开关、变送器等)、逻辑控制器、以及最终元件(如电磁阀、电动门等)的组合组成,如图1所示。 IEC61511又进一步指出,SIS可以包括,也可以不包括软件。另外,当操作人员的手动操作被视为SIS的有机组成部分时,必须在安全规格书(Safety Requirement Specification,SRS)中对人员操作动作的有效性和可靠性做出明确规定,并包括在SIS的绩效计算中。 从SIS的发展过程看,其控制单元部分经历了电气继电器(Electrical)、电子固态电路(Electronic)和可编程电子系统(Programmable Electronic System),即E/E/PES三个阶段。 安监总局116号文件 国家安全监管总局于2014年11月13日下发《国家安全监管总局关于加强化工安全仪表系统管理指导意见(安监总管三〔2014〕116号)》 SIS安全仪表系统 (1) SIF安全仪表功能可以是安全仪表保护功能,也可以是安全仪表控制功能,或包含这两者。 (2) 需要说明的是,这里所说的安全仪表控制功能,是指以连续模式(Continuous Mode)操作并具有特定的SIL,用于防止危险状态发生或者减轻其发生的后果,与常规的PID控制功能是完全不同的概念。 (3) SIS可以包括或不包括软件 (4) SIS的一部分也可能是人的动作 如图2所示,这是一个气液分离容器A液位控制的安全仪表功能回路图。对这个安全仪表功能完整的描述是:当容器液位开关达到安全联锁值时,逻辑运算器(图3)使电磁阀2断电,则切断进调节阀膜头信号,使调节阀切断容器A进料,这个动作要在3秒内完成,安全等级必须达到SIL2。这是一个安全仪表功 损坏、周边环境污染等恶性事故。这就是说,从安全的角度出发,石油和化工生产过程自身存在着固有的风险。 总之,SIS是一种经专门机构认证,具有一定安全完整性水平,用于降低生产过程风险的仪表安全保护系统。它不仅能响应生产过程因超过安全极限而带来的风险,而且能检测和处理自身的故障,从而按预定条件或程序使生产过程处于安全状态,以确保人员、设备及工厂周边环境的安全。 按照SIS的定义,下述系统均属于安全仪表系统: 安全联锁系统(Safety Interlock System—SIS); 安全关联系统(Safety Related System—SRS); 仪表保护系统(Instrument Protective System—IPS); 透平压缩机集成控制系统(Integrated Turbo & Compressor Control System —ITCC); 火灾及气体检测系统(Fire and gas systems—F&G); 紧急停车系统(Emergency Shutdown Device—ESD); 燃烧管理系统(Burner Management System); 列车自动防护系统(ATP) 2、SIS的相关标准及认证机构 鉴于SIS涉及到人员、设备、环境的安全,因此各国均制定了相关的标准、规范,使得SIS的、制造、使用均有章可循。并有权威的认证机构对产品能达到的安全等级进行确认。这些标准、规范及认证机构主要有: (1)我国石化集团制定的行业标准SHB-Z06-1999《石油化工紧急停车及安全联锁系统设计导则》。 (2)2006年、2007年等同采用IEC61508、IEC61511的中国国家标准 GB/T20438、GB/T21109相继发布,中国的功能安全标准开始规范我国的功能安全工作。 (3)国际电工委员会1997年制定的IEC 61508/61511标准,对用机电设备(继电器)、固态电子设备、可编程电子设备(PLC)构成的安全联锁系统的硬件、软件及应用作出了明确规定。 (4)美国仪表学会制定的ISA-S84.01-1996《安全仪表系统在过程工业中的应用》。 (5)美国化学学会制定的AICHE(ccps)-1993,《化学过程的安全自动化导则》。 (6)英国健康与安全执行委员会制定的HSE PES-1987,《可编程电子系统在安全领域的应用》。 (7)德国国家标准中有安全系统制造厂商标准-DIN V VDE 0801、过程操作用户标准-DIN V 19250和DIN V 19251、燃烧管理系统标准-DIN VDE 0116等。 (8)德国技术监督协会(TüV)是一个独立的、权威的认证机构,它按照德国国家标准(DIN),将ESD所达到的安全等级分为AK1~AK8,AK8安全级别最高。其中AK4、AK5、AK6为适用于石油和化学工业取得TüV认证的SIS产品。在国内石化行业中应用的SIS产品中,经过TüV认证的主要有: (1) Tricon、Triden,美国Triconex公司开发用于压缩机综合控制(ITCC)和紧急停车系统。安全等级为AK6(SIL3)。 (2) FSC(Fail safe control),由荷兰P&F(Pepper&Fuchs)公司开发,1994年被Honeywell公司收购。安全等级AK6(SIL3) (3) 和利时集团HiaGuard(SIS),我国首套获TüV SIL3认证的安全仪表系统。 (4) HIMA PES,HIMA是德国一家专业生产安全控制设备的公司,PES (Programmable Electronic System)是可编程电子系统的简称,是近几年来国内引进较多的一种安全仪表系统。主要由H41q和H51q系统组成。H41q也叫小系统,它分为不冗余的系统和冗余的系统,不冗余系统型号为H41q—M,冗余系统又分为高可靠系统H41q—H和高性能系统H41q—HR。H51q称为模块化的系统,它也分为不冗余的系统和冗余的系统,不冗余的系统型号为H51q —H和高性能系统H51q—HR。各种型号的PES都具有TüV AK1~6级认证。(仪控工程网在线学习频道,有关于HIMA公司及产品的介绍) (5) Prosafe—RS,是横河电机安全仪表系统,其特点是与CENTUMCS.3000 R3的技术融合,即实现了与DSC的无缝集成。非冗余取量即可实现SIL3,通过冗余取量实现更高的可用性。 (6) QUADLOG,由MOORE公司开发,日本横河电机公司收购后称prosafe plc,其1oo2D结构安全等级达AK6 (SIL3); (7) SIMATICS7—400F/FH,德国SIEMENS公司产品。400F和400FH分别为1个CPU和2个CPU运行fail-safe(F)用户程序,均取得TUV认证,安全等级为AK1~AK6(SIL1~SIL3); (8) Regent Trusted,美国ICS利用宇航技术开发的安全系统。安全等级 AK4~AK6(SIL2~SIL3); (9) GMR90-70,美国GE Fanuc公司开发。其中GMR90-70(模块式冗余容错)的安全等级为class 5(2oo3),class 4(1oo2)和class 5(2oo2); (10) TRIGUARD SC300E,AUGUST公司开发,1999年成为ABB集团成员之一,安全等级为class 5和class 6,系统结构为2oo3; (11) DeltaV SIS是艾默生推出的TüV认证的新型整体回路概念的智能安全仪表系统,安全等级SIL3。 (12) Safeguard 400&300,ABB Industry公司开发,系统结构1oo2D。(篇幅有限不再一一列举) 3、SIS和DCS的比较 DCS与由PES构成的SIS的主要区别有: (1) 系统的组成:DCS一般是由人机界面操作站、通信总线及现场控制站组成;而SIS系统是由传感器、逻辑解算器和最终元件三部分组成。及DCS不含检测执行部分。 (2) 实现功能:DCS用于过程连续测量、常规控制(连续、顺序、间歇等)操作控制管理使生产过程在正常情况下运行至最佳工况;而SIS是超越极限安全即将工艺、设备转至安全状态。 (3) 工作状态:DCS是主动的、动态的,它始终对过程变量连续进行检测、运算和控制,对生产过程动态控制确保产品质量和产量。而SIS系统是被动的、休眠的。 (4) 安全级别:DCS安全级别低,不需要安全认证;而SIS系统级别高,需要安全认证。 (5) 应对失效方式:DCS系统大部分失效都是显而易见的,其失效会在生产的动态过程中自行显现,很少存在隐性失效;SIS失效就没那么明显了,因此确定这种休眠系统是否还能正常工作的唯一方法,就是对该系统进行周期性的诊断或测 试。因此安全仪表系统需要人为的进行周期性的离线或在线检验测试,而有些安全系统则带有内部自诊断。 4、SIS设计应遵循的原则 (1) 原则上应独立设置(含检测和执行单元); (2) 中间环节最少; (3) 应为故障安全型; (4) 采用冗余容错结构。 5、故障安全原则 组成SIS的各环节自身出现故障的概率不可能为零,且供电、供气中断亦可能发生。 当内部或外部原因使SIS失效时,被保护的对象(装置)应按预定的顺序安全停车,自动转入安全状态(Fault to Safety),这就是故障安全原则。 具体体现: (1) 现场开关仪表选用常闭接点,工艺正常时,触点闭合,达到安全极限时触点断开,触发联锁动作,必要时采用“二选一”、“二选二”或“三选二”配置。 (2) 电磁阀采用正常励磁,联锁未动作时,电磁阀线圈带电,联锁动作时断电。 (3) 送往电气配电室用以开/停电机的接点用中间继电器隔离,其励磁电路应为故障安全型。 (4) 作为控制装置(如PLC)“故障安全”意味着当其自身出现故障而不是工艺或设备超过极限工作范围时,至少应该联锁动作,以便按预定的顺序安全停车(这对工艺和设备而言是安全的);进而应通过硬件和软件的冗余和容错技术,在过程安全时间(PST-Process Safety Time)内检测到故障,自动执行纠错程序,排除故障。 6、隐故障与显故障 隐故障(Covert Fault):不对危险产生报警,允许危险发展的故障,是故障危险故障(SHB-Z06-1999)。Covert Fault:Fault that can be classified as hidden,concealed,undetected,unrevealed, latent,ect. (ISA-S84.01-1996) 显故障(Overt Fault):能显示出故障自身存在的故障,是故障安全故障(SHB-Z06-1999)。Overt Fault:Fault that can be classified as announced,detected,revealed,ect.(ISA-S84.01-1996) SIS系统拒动:当工艺条件达到或超过安全极限时,SIS本应引导工艺过程停车,但由于其自身存在隐性故障(危险故障),譬如输出开关被误连短路,而不能响应此要求,即该停车而拒停,降低了安全性。危险 SIS的功能安全 安全仪表系统必须在工业系统出现危险情况时正确执行其对应的安全功能,安全仪表系统的这种特性被称为功能安全。 功能安全实际上讲的是SIS系统自身的安全问题。 如图6示安全仪表系统,该系统由一个压力变送器、一个阀门和一个安全PLC 组成的SIS系统。 (1) 压力变送器检测容器内压力并将其变换成合适的信号传送给安全PLC,安全PLC判断若压力超过了额定值则打开阀门以降低容器内压力,这被称为安全系统的一个安全功能。很明显例子中仪表安全系统只有一个安全功能。如果三个设备有一个或多个失效,安全功能将失效,即它将不能对压力容器内压力进行限制。因此安全仪表系统的安全性能由传感器、逻辑解算器和执行器三部分功能决定。 (2) SIS安全功能实际上讲的是让SIS执行什么样的安全任务,如何保护受控设备。 图6 反应器的安全仪表系统 7、安全性及响应失效率 (1) 当工艺条件达到或超过安全极限值时,SIS本应引导工艺过程停车,但由于其自身存在隐故障(危险故障)而不能响应此要求,即该停车而拒停,降低了安全性。 (2) 衡量安全性的指标为响应失效率或称要求的故障率(PFD:Probability of Failure on Demand)。它是安全联锁系统按要求执行指定功能的故障概率。是度量安全联锁系统按要求模式工作故障率的目标值(SHB-Z06-1999)。(3) 不同的工业过程(如生产规模、原料和产品的种类、工艺和设备的复杂程度等)对安全的要求是不同的。上述的国际标准将其划分为若干安全完整性等级(SIL:Safety Integrity Level)。 安全完整性等级Safety Integrity Level(SIL) 安全完整性等级(SIL)是一种离散的等级,用来规定分配给E/E/PE安全相关系统安全功能的安全完整性要求。 (1) 安全完整性等级可分为4个等级,SIL4是安全完整性最高的等级(平均概率最高),SIL1是最低等级; (2) 安全完整性等级越高,应执行所要求的安全功能的概率也越高; (3) 根据安全相关系统使用方式,要求发生的频率可分为低要求操作模式(<=1次)和高要求或连续操作模式(="">1次/年)。 8、可用性及可用度 9、冗余和容错 冗余(Redundant) 具有指定的独立的N:1重元件,并且可以自动地检测故障,切换到后备设备上。(SHB –Z06 –1999) 冗余系统(Redundant System) 并行地使用多个系统部件,以提供错误检测和错误校正能力的系统。(SHB – Z06 –1999)。 容错(Fault Tolerant) 具有内部冗余的并行元件和集成逻辑,当硬件或软件部分故障时,能够识别故障并使故障旁路,进而继续执行指定的功能。或在硬件和软件发生故障的情况下, 系统仍具有继续运行的能力。它往往包括三方面的功能:第一是约束故障,即限制过程或进程的动作,以防止在错误被检测出来之前继续扩大;第二是检测故障,即对信息和过程或进程的动作进行动态检测;第三是故障恢复即更换或修正失效的部件。(SHB –Z06 –1999) 容错系统(Fault Tolerant System) 怎样通过冗余来改善系统的整体SIL水平 (1) 当一个SIS系统的安全完整性等级要求为SIL3,而实际配置为传感器为2.2×10-3(SIL 2),逻辑解算器为1.3×10-4(SIL3)(包括I/O接口),终端执行器为2.41×10-3(SIL2),所以整个系统为SIL2不满足要求。 (2) 于是我们改变传感器的配置结构,选择1oo2冗余,其中共因失效=10%,诊断覆盖率(DC)=90%,可以算出1oo2传感器的结构的PFD=2.3×10-4,达到SIL3的水平,同理可以配置执行器为1oo2冗余结构,也可达到SIL3的要求,于是最终整体SIS系统的SIL可以达到SIL3的要求。 (3) 这个问题的解决给我们以启示,当装置引进一个SIS系统时,整体安全完整性等级不仅取决于逻辑解算器部分,而且传感器、终端执行器部分也非常关键。配置系统时,除了引进一个SIL3的安全仪表系统,譬如FSC等,还要将传感器、终端执行器一并讨论。算出SIS整体的SIL数据,定量的安全仪表系统配置任务才算完成。 冗余表决方法及其安全性、可用性的关系 可用性(A:Availability)是指系统可使用工作时间(连续运行时间)的概率,用百分数计算A值越大,可用性越好: A = MTBF/(MTBF+MTTR) 而PFD= MTTR /(MTBF+MTTR) PFD越小则安全性越好。 10、普通PLC和安全PLC的区别 普通PLC DO卡 安全性单容错DO卡 图12所示为一种带有安全性单容错的DO卡示意图(它是Honeywell SMS FSC-101型输出示意图)。 这里,中央处理器不仅向串联的场效应管(FET)发出控制信号,而且还接受来自场效应管的状态反馈信号,以便对其输出进行全面测试。当测得某管输出发生短路时,中央处理器即启动纠错动作,隔离相关的故障。看门狗(Watch Dog)是个多通道的计时器电路。它由中央处理器和内存等周期性地触发,如果两个触发之间的时间小于某设定值或者大于某最大值,则看门狗的输出将失效。同时看门狗还能监视内部工作电压,使之在正常的电压范围内。 普通PLC和安全PLC的区别 以上仅是DO卡上的差别。作为安全PLC,至少应具备以下几点: (1) 满足相关安全标准规范要求,且经过权威机构认证,取得了相应安全等级证书; (2) 在硬件和软件上采用冗余、容错,具有完善的测试手段,当检测到系统故障,特别是危险故障时能使系统回到安全状态; (3) 能进行系统故障报警,指示故障原因、故障位置,便于在线维护; 能与DCS或其它设备进行通讯。 11、工艺过程风险的评估及安全度等级的评定 不同的工艺过程(生产规模、原料和产品的种类、工艺和设备的复杂程度等)对安全的要求是不同的。一个具体的工艺过程,是否需要配置SIS、配置何种等级的SIS,其前提应该是对此具体的工艺过程进行风险评估,要进行危险及可操作性分析(HAZOP),然后辨识出与此分析相应的安全仪表功能(SIF),(找到一个安全仪表连锁回路),再根据风险出现的频率和其产生的严重后果,找到一个与此SIF 相应的SIL值,在确定了某个安全仪表功能的完整性等级(SIL)之后,再配置与之相适应的SIS。表1-3可以看出,若某工艺过程的所需SIF经评定后为SIL 2,则配置达到AK4的SIS即可,其响应失效率(PFD)为百分之一至千分之一之间。 (1) 应该注意的是不同安全级别的SIS,只能确保响应失效率(PFD)在一定的范围内,安全级别越高的SIS,其PFD越小,即发生事故的可能性越小,但它不能改 风险矩阵 12、逻辑运算的基本规则