石油化工安全仪表系统设计规范内容

1、石油化工安全仪表系统设计规 范内容shxxxx-20031总则1.1本规范适用于新建、改扩建石油化工装置 (或工厂)安全仪表系统的工程设计。石油化工厂公用工程及 辅助设施等工程设计可参照执行。1.2安全仪表系统的工程设计必须满足石油化工装置(或工厂）安全等级的要求。1.3相关标准如下：iec 61508 “ functional safety of electrical/electronic/programmable electronic safety-related systems.”iec 61511 “functional safety: safety instrumented syst

2、ems for the process industry sector.”ansi/isa-84.01 application of safety instrumented system for the process industries. din v 19250 programmable safety system.iec 61131 programmable controller.1.4求。执行本标准时，尚应符合国家现行有关标准的要- 2 -shxxxx-2003- 3 -shxxxx-20032 名词术语下列术语适用于本规范 :2.1危险故障 dangerous failure指能够导

3、致安全仪表系统处于危险或失去功能的故 障。2.2(sis)安全仪表系统 safety instrumented system指能实现一个或多个安全仪表功能的系统。系统包 括传感器，逻辑运算器和最终执行元件。2.3安全度等级 safety integrity level(sil)指用于描述安全仪表系统安全的等级，共 4 级 ， 4 为最高级， 1 为最低级。2.4最终执行元件 final element指安全仪表系统的一部分，执行必要的动作，使系 统达到安全状态。2.5逻辑功能 logic function指将一个或多个输入信息转换为一个或多个输出信 息的功能。2.6逻辑运算器 logic so

4、lver指安全仪表系统或过程控制系统中完成一个或多个 逻辑功能的部件。2.7 过程危险 process risk指由过程引起的危险或由过程和过程控制系统相互- 4 -shxxxx-2003干扰引起的危险。2.8可编程电子系统 programmable electronicsystem （pes）指由一个或多个可编程电子设备组成，用于控制、 保护或监视的系统。该系统包括电源，中央处理单元， 输入设备，数据高速通道和其它通信部件，输出设备 等。2.9安全故障 safe failure指不会导致安全仪表系统处于危险或故障状态。2.10过程控制系统 process control system(pcs

5、)指用于直接或间接控制过程及相关设备的控制系 统，系统包括分散控制系统（ dcs ）、现场总线控制系 统（fcs）、可编程控制系统（plc ）等。2.11冗余 redundancy指为实现同一功能，使用多个相同功能的模块或部 件。2.12容错 fault tolerant指功能模块在出现故障时，仍能继续正确执行特定 功能的能力。2.13表决 voting指系统中将每路数据进行比较和修正，用多数原则 确定结论。- 5 -shxxxx-2003例如：2oo3 （2 out of 3 ） 3 取 22.14故障安全 fail to safe指系统发生故障时被控制过程回到预定安全状态。2.15显性故障

6、 overt fault指能够显示自身存在的故障。2.16隐性故障 covert fault指不能显示自身存在的故障。2.17平 均 故 障 间 隔 时 间 mean time betweenfailures(mtbf)指相邻故障间隔的平均时间。（包括平均失效时间和 平均修复时间）2.18平均修复时间 mean time to repair(mttr)指故障修复所需要的平均时间（包括诊断，确认及 等待时间）2.19平均失效时间 mean time to failure (mttf)指功能单元实现规定功能失效平均时间。2.20可用性 availability(a)指系统可以使用工作时间的概率。2

7、.21可靠性 reliability(r)指系统在规定的时间间隔内发生故障的概率 .2.22传感器 sensor指用于测量过程变量的单一或组合设备（例如变送- 6 -shxxxx-2003器，过程开关，位置开关等）2.23三取二 2oo3 (2 out of 3)系统故障时性能递减方式： 3-2-o采用三取二表决方式，即三个 cpu 中若一个运算结 果与其它两个不同，该 cpu 故障，其余两个继续工作； 若其余两个 cpu 运算结果再有不同时，则无法表示出 哪一个是正确，系统停车。2.24二取一带自诊断 1oo2d 1 out of 2 withdiagnostic系统故障时性能递减方式： 2

8、-1-o当一个 cpu 被检测出故障时，该 cpu 被切除，另一 个 cpu 继续工作；若第二个 cpu 再被检测出故障时， 系统停车。2.25双重化二取一带自诊断 2oo4d 2 out of 4with diagnostic系统故障时性能递减方式： 4-2-o系统中二个控制模块各有二个 cpu ，同时工作又相 对独立。当一个控制模块中 cpu 被检测出故障时，该 cpu 被切除，切换到 2-0 工作方式；其余一个控制模 块中二个 cpu 以 1oo2d 方式投入运行,若这一个控制模 块中再有一个 cpu 被检测出故障时，系统停车。- 7 -shxxxx-20033.基本原则3.1安全仪表系

9、统独立于过程控制系统，独立完成安全保护功能。3.2安全仪表系统包括传感器，逻辑单元和最终执行元件 ; 当过程达到预定条件时，安全仪表系统动作， 将过程带入安全状态。3.3根据对过程危险性分析，人员、过程、设备及环境的保护要求及安全度等级要求确定安全仪表系统的 功能。3.4安全仪表系统可按照安全度等级的要求分为 1，2，3 级。安全等级越高，安全仪表系统的安全功能越 强。3.53.6安全仪表系统应设计成故障安全型。安全仪表系统采用经 t v 认证的可编程序控制器系统。3.7能。3.83.9置。3.10安全仪表系统应具有硬件和软件诊断和测试功安全仪表系统构成应使中间环节最少。 安全仪表系统的传感器

10、、最终执行元件宜单独设安全仪表系统应能与过程控制系统、工厂管理系统进行通信。3.11安全仪表系统应提供独立于逻辑单元的手动设- 8 -shxxxx-2003施，直接操作最终执行元件。3.12安全仪表系统应设计成当能源中断又恢复后，过程不应自动再起动。3.13当多个单元的保护功能在一套安全仪表系统内完成时，其共用部分应符合最高安全等级要求。3.14同。安全仪表系统的人机接口宜与过程控制系统相- 9 -shxxxx-20034传感器4.1传感器的独立设置原则如下：4.1.1 1 级安全仪表系统，其传感器可与过程控制系 统共用；4.2.2 2 级安全仪表系统，其传感器宜与过程控制系 统分开；4.2.

11、3 3 级安全仪表系统，其传感器应与过程控制系 统分开；4.2传感器的冗余设置原则如下：4.2.1 1 级安全仪表系统，可采用单一的传感器； 4.2.2 2 级安全仪表系统，宜采用冗余的传感器； 4.2.3 3 级安全仪表系统，应采用冗余的传感器； 4.3 传感器的冗余方式选用如下：4.3.1 当重点考虑系统的安全性时，应采用“或”逻 辑结构；4.3.2 当重点考虑系统的可用性时，应采用“与”逻 辑结构；4.3.3 当系统的安全性和可用性均需保障时，宜采用 三取二逻辑结构；4.4 安全仪表系统的传感器输出信号宜采用 420 ma.dc, 不宜采用开关信号。4.5 安全仪表系统和过程控制系统共用

12、一个过程变量 时,可采用二个传感器。- 10 -shxxxx-20034.6 安全仪表系统和过程控制系统共用一个传感器 时，宜采用安全仪表系统供电。- 11 -shxxxx-20035最终执行元件5.1最终执行元件可以是安全仪表系统用的切断阀，与过程控制系统共用的控制阀或电动阀等。气动控制阀或气动切断阀均应带接受安全仪表系统控 制信号的电磁阀。5.2阀门的独立设置原则如下 :5.2.1 1 级安全仪表系统，其阀门可与过程控制系统 共用，应确保安全仪表系统的动作优先过程控制系统 的动作；5.2.2 2 级安全仪表系统，其阀门宜与过程控制系统 分开；5.2.3 3 级安全仪表系统，其阀门应与过程控

13、制系统 分开；5.3阀门的冗余设置原则如下 :5.3.1 1 级安全仪表系统，可采用单一的阀门； 5.3.2 2 级安全仪表系统，宜采用冗余的的阀门，如 采用单一的阀门，配套的电磁阀门宜冗余配置； 5.3.3 3 级安全仪表系统，应采用冗余的的阀门，配 套的电磁阀门宜冗余配置；5.3.4冗余配置的阀门，可采用一个控制阀和一个切断阀,均带电磁阀；5.4电磁阀的设置原则如下:- 12 -shxxxx-20031. 控制阀上的电磁阀应安装在阀门定位器与执行机 构之间；2. 电磁阀放空口应有防护措施；3. 当重点考虑系统的安全性时，冗余电磁阀宜采用 串联连接；4. 当重点考虑安系统的可用性时，冗余电磁

14、阀宜采 用并联连接；5电磁阀应采用长期带电型，电磁阀电源应由安全 仪表系统提供。5.5电动阀的配置原则如下:1. 电动阀可共用于安全仪表系统和过程控制系统， 可共用电动阀。2. 电动阀不采用冗余配置，必要时可采用冗余的接 点接入电气控制回路。- 13 -shxxxx-20036.逻辑单元6.1安全仪表系统的逻辑单元可由继电器系统或可编程序电子系统构成 ,也可由其混合构成。6.26.2.1逻辑单元的技术选择原则如下 :继电器系统继电器系统用于输入输出点较少、逻辑功能简单的场合。6.2.2可编程序电子系统(1) 可编程序电子系统用于下列场合：1) 输入输出点较多；2) 逻辑功能复杂；3) 与过程控

15、制系统进行数据通信；(2) 可编程序电子系统可以是可编程序逻辑控制 器(plc) 、分散型控制系统(dcs) 或其它专用系统。6.3逻辑单元的独立原则如下：6.3.1 1 级安全仪表系统，其逻辑单元宜与过程控制 系统分开；6.3.2 2 级安全仪表系统，其逻辑单元应与过程控制 系统分开；6.3.3 3 级安全仪表系统，其逻辑单元必须与过程控 制系统分开；6.3.4专用的控制系统 ( 如透平机控制系统 )中有保护功能和控制功能，则该系统应符合安全度等级要求。- 14 -shxxxx-20036.4逻辑单元的冗余原则如下：6.4.1 1 级安全仪表系统，可采用单一的逻辑单元； 6.4.2 2 级安

16、全仪表系统，宜采用冗余的逻辑单元， 其中央处理单元，电源单元，通信系统等应冗余配置， 输入/输出模宜冗余配置。6.4.3 3 级安全仪表系统，应采用冗余容错的逻辑单 元，其中央处理单元，电源单元，输入 /输出模块及 通信系统等应冗余配置；6.4.4专用的控制系统 ( 如透平机控制系统 ) 中含有安全保护功能和过程控制功能，该控制系统宜采用冗 余容错的逻辑单元。6.5 安全仪表系统应具有符合安全度等级要求的 故障诊断措施。故障诊断应包括安全仪表系统的传 感器、逻辑单元和最终执行元件。6.6 采用冗余容错的逻辑单元时，其 cpu 应采用 同步运行方式。- 15 -shxxxx-20037. 通信接

17、口7. 1安全仪表系统应支持标准化通信协议，冗余容错通信方式。7. 2安 全 仪 表 系 统 与 工 程 师 站 通 信 采 用rs232/rs422/rs485 串行通信方式。7. 3式。7. 4安全仪表系统管理网络采用工业以太网通信方安 全 仪 表 系 统 与 过 程 控 制 系 统 通 信 采 用rs232/rs422/rs485 串行通信方式；过程控制系统为主站，安全仪表系统为从站。7. 5200ms.7. 6安全仪表系统输入到输出事件响应时间不超过安全仪表系统负荷不应超过 50%。- 16 -shxxxx-20038. 人机接口8.18.1.1操作员站操作员站采用过程控制系统操作站；

18、1 显示因果表或逻辑控制画面；2 显示系统状态管理信息；3 完成事件时序记录，瞬时或历史报警记录。8.1.2操作员站设计应确保在其失效时，安全仪表系统的自动功能不会受到影响。8.1.38.28.2.18.2.2操作员站不能修改安全仪表系统的编程软件 辅助操作台用于安装紧急停车按钮，开关，信号报警器等。 信号报警器宜采用一体化的闪光报警器，逻辑单元宜采用插卡式模件。8.2.3灯光显示应采用闪光、平光或熄灭表示报警顺序的不同状态。8.2.4红色灯光表示越限报警或紧急状态 ; 黄色灯光表示预报警 ; 绿色灯光表示运转设备或过程变量正 常。8.2.5通常情况下 , 宜选择区别第一信号记忆的闪光报警器（

19、有 soe 或历史记录的情况不设置） , 信号报 警顺序如表 8.2.5表 8.2.5 区别第一信号的闪光报警顺序- 17 -shxxxx-2003过程状第一信号的 其余灯光声备注态灯光显示显示响正常不亮不亮不响第一信闪光平光响其余信号输入号输入按确认闪光平光不按钮响报警信不亮不亮不运 行号消失响正常按试验亮亮响试 验按钮8.2.6检查一般信号报警采用 dcs/plc 实现,重要报警联锁点除 crt 操作站上显示外，在辅助操作台上设置独 立灯光显示。8.2.7紧急停车按钮、开关、信号报警器等与安全仪表系统机柜用硬线连接。8.2.8紧急停车按钮宜采用红色 ,旁路开关宜采用绿色,确认按钮宜采用黑色

20、 ,试验按钮宜采用白色。 8.3 工程师站8.3 .1 工程师站应具有下述功能：- 18 -shxxxx-20031. 安全仪表系统编程组态及维护。1. 对于安全仪表系统操作模式、程序、数据、测试、 旁路及维护等进行访问的安全保护。3. 用于安全仪表系统故障诊断，差错处理等。8.3.2工程师站采用台式 pc 机或便携式 pc 机。- 19 -shxxxx-20039 过程接口9.1过程接口包括输入输出卡、事件顺序输入卡、配电器、安全栅、开关、继电器等关联设备。9.2输入输出卡应带光电或电磁隔离，每个通道应互相隔离，带故障诊断。9.3若采用三取二过程信号应分别接到三个不同的输入卡。9.4当一个模

21、拟信号同时用于安全仪表系统和过程控制系统时，宜采用信号分配器，将模拟信号分别接 到安全仪表系统及过程控制系统。9.5安全仪表系统不采用现场总线通信方式。96 输入输出卡相连接的传感器和最终执行元件应设 计成故障安全系统。- 20 -shxxxx-200310. 软件组态10.1 软件组态编程语言应符合 ieec 61131-3 工业标准。 10.2 软件组态的安全性10.2.1 采用 prom 或 eprom 存储器存储应用软件，提 供防止未被授权人员修改程序的功能。10.2.2 软件应能在线修改及下装。10.3 软件组态的审查10.3.1 软件组态的程序应与逻辑图一致。10.3.2 在系统投

22、用前应对软件组态进行 100% 的功能 测试。10.410.4.110.4.210.4.3软件组态文件功能逻辑图软件采用的主要参数及变量软件程序说明，用户手册，使用说明等。- 21 -shxxxx-200311 工程设计11.1 可行性研究11.1.1 根据工艺装置的安全度等级的要求，确定安全 仪表系统的级别和方案。11.1.2 根据安全仪表系统级别的要求，确定采用系 统，一次元件及执行元件的原则。11.1.3 编制安全仪表系统的功能说明。11.2 基础工程设计11.2.1 根据工艺安全功能说明或因果表，管道仪表流 程图（ p&id）, 确定安全仪表系统输入 /输出信号、清 单，逻辑功能图。1

23、1.2.2 编制安全仪表系统功能规格书。11.2.3 编制安全仪表系统硬件配置图。11.3 详细工程设计11.3.1 编制安全仪表系统技术规格书。11.3.2 评审安全仪表系统报价书。11.3.3 签定安全仪表系统合同及技术附件。 11.3.4 确定软件组态所需数据，工程图纸等文件 11.4 应用软件组态、编译下载、调试投用 11.4.1 编制应用软件组态文件 .- 22 -shxxxx-200311.4.2 审查应用软件组态文件 .11.4.3 编译下装、生成，工厂验收测试（ fat）。 11.4.4 现场安装、调试，验收测试（ sat ）。- 23 -shxxxx-2003附录 a安全仪表

24、系统技术规格书编制大纲（建议）1范围11 概述12 目标13 系统组成 2 定义和缩写21定义 22 缩写3标准规范31国际、中国标准规范 32 工程规定33 相关技术规格书4通用要求41 系统环境42 系统的可用性和可靠性43 系统冗余44 电源要求45 接地46 防雷保护4 7 系统备件、负载和扩展要求 48 标准硬件和软件5 硬件要求- 24 -shxxxx-20035 1 系统总貌52 认证53 中央处理器要求 54 存储器55 输入输出模件要求 56 事件顺序记录57 安全网络要求58 标准规定59 人机接口510511512 6 功能要求机柜要求配线要求 光纤电缆要求6162636

25、465概述标准规规定 事件顺序记录 系统复位 维护选择开关 66 操作选择开关67 模拟信号和报警68 系统诊断要求 69 设备管理- 25 -shxxxx-2003610 7 组态要求控制阀测试7172737475概述组态服务逻辑功能组态系统组态文件8 检查和测试81一般要求82 工厂检验测试 83 现场检验测试9 项目管理和技术服务9 1 工程计划和管理92 设计条件会93 组态培训94 工厂验收95 包装运输96 现场开箱，安装，通电和调试。 97 现场验收9 8 系统投运10 质量保证101质量保证程序- 26 -shxxxx-2003101102103功能测试测试范围测试合格证书10

26、4 iso 9000 质量标准 105 t v 认证书11文件资料111112113114115116工程设计文件 硬件说明书和手册 硬件合格证书 系统软件说明 组态编程文件 验收测试程序及报告12性能保证121硬件/软件 122 保修及维护 123 备件支持附 i/o 清单附安全仪表系统硬件配置图- 27 -shxxxx-2003附录 b缩写pfd probability of failure on demand 要求 故障概率pcs process control system过程控制系统pes programmable electronic system 序电子系统plc program

27、mable logic controller 序逻辑控制器可编程可编程pha process hazard analysis过程危险分析sif safety instrumented function功能安全仪表sil safety integrity levelsis safety instrument system安全度等级 安全仪表系统mtbf mean time between failures 平均故障间 隔时间mttf mean time to failure mttr mean time to repair平均故障时间 平均修复时间e/e/pes electrical/elect

28、ronic/programmableelectronic system电气/电子/可编程序电子系统cpu central processing unittmr triple modular redundancy中央处理单元 三重模件冗余- 28 -shxxxx-2003qmr quadruple modular redundancy件冗余四重模tcp/iptransmission controlprotocol/internet protocol网协议传输控制协议 / 以太dcs distributed control system 分散控制系统fcs fieldbus control sys

29、tem系统fld function logic diagram现场总线控制功能逻辑图mos maintenance override switch开关维护切换pc personal computer个人计算机ser sequence of events record事件顺序记录tso tight shut off严密切断ansi america national standard institute 美国国家标准协会iec international electrotechnicalcommission国际电工委员会isa instrument society of american 美国仪

30、表学会- 29 -shxxxx-2003din deutsch industrial normen (germanindustrial standard)德国标准fat factory acceptance testing工厂验收测试sat site acceptance testing现场验收测试hift hardware implement failure tolerant 硬 件实现故障冗错sift software implement failure tolerant 软件实现故障冗错ieee institute of electrical and electronicengineer

31、电气、电子工程师协会tv technischer berwachungsverin (german body, translates to technicalinspection agency)ups uninterrupted power supply不间断电源soe sequence of event事件顺序sov solenoid operated valveccr central control room电磁阀 中央控制室foc fibre optic cable光纤电缆hart highway addressable remote transducer 高速通路寻址远程传输- 30

32、-shxxxx-2003hmi human machine interface人机接口opc object linked embedding for process control (ole for process control)用于过程控制的对象链接与嵌入技术- 31 -shxxxx-2003本规定用词说明本规定条文中要求执行严格程度不同的用词，说明 如下：1表示很严格，非这样做不可的用词正面词采用“必须”，反面词采用“严禁”。2表示严格，在正常情况下均这样做的用词正面词采用“应”，反面词采用“不应或不得”。3表示允许稍有选择，在条件许可时首先应这样做的用词正面词采用“宜”，反面词采用“不

33、宜”。4表示有选择，在一定条件下可以这样做的，采用“可”。- 32 -shxxxx-2003中华人民共和国行业标准石油化工安全仪表系统设计规范code for the design of safety instrument systemfor petrochemical industryshxxxx-2003条文说明- 33 -shxxxx-20031.2安全仪表系统的工程设计包括过程安全概念设计，危险及风险分析，确定安全度等级（ sil），安全 仪表系统功能设计，安全仪表系统技术规格书，安全 仪表系统详细工程设计，安全仪表系统安装和调试， 预投运检查分析，投运操作及维护程序，修改或更新 等。

34、1.3安全仪表系统的工程设计，除了应符合本规定外，尚应符合现行爆炸和火灾危险场所电力装置设 计规范 gb50058-92 ，爆炸性气体环境用电设备 gb3836-2000 （iec-60079-1990 ）的有关规定。1.4iec 61508 functional safety of electrical/electronic/programmable electronicsafety-related systems.主要用于安全仪表系统制造。iec 61511 functional safety：safety instrumented systems for the process indu

35、strysector.主要用于安全仪表系统设计应用。- 34 -shxxxx-20032.0 名词术语主要参照iec 61511-1 general framework, definition, system, software,hardware requirement .进行编制的。- 35 -shxxxx-20033.1安全仪表系统不同于批量控制、顺序控制及过程控制的工艺联锁。 当过程变量越限，机械设备故障， 系统本身故障或能源中断时，安全仪表系统能自动（必 要时可手动）地完成预先设定的动作，使操作人员、 工艺装置及环保带入安全状态。安全仪表系统（sis）也称为紧急停车系统（esd）， 安

36、全停车系统（ssd），安全联锁系统（sis）或安全保 护系统（sps ）。3.3对过程危险性分析，设备及环境的保护要求，安全度等级确定不属于本规定的范围。3.4国外类似标准中将过程的危险或过程安全度进行了分级，如德国标准 din v19250 将过程危险定义为 8 级（t v ak1ak8 ）；国际电工委员会 iec61508 将过 程安全度定义为 4 级（sil1sil4 ）；美国国家标准学 会 / 美国仪表学会 ansi/isa-s84.01 将过程安全度定 义为 3 级（sil1sil3 ）。iec61508 定义的 sil4 用于核工业中。附表 1各种标准规范有关安全度等级划分对照表i

37、ec61508silansi/isas84.01t vakdin v19250sil11ak2,ak31,2- 36 -shxxxx-200323423-ak4ak5,6ak7,83,45,67,8附表 2安全仪表的性能要求（要求低的操作模式）安全度等级123平均故障率 10-110-210-210-310-310-4可用度90.00 99.00%99.00 99.90%99.90 99.99%附表 3式）安全仪表的性能要求（要求高或连续操作模安全度等级平均故障率可用度110-510-699.99900099.9999000%210-610-799.99990099.9999900%310-8

38、10-999.999990099.9999990%- 37 -shxxxx-2003安全度等级的确定-1 级：装置可能很少发生事故。如发生事故，对装 置和产品有轻微的影响，不会立即造成环境污染和人 员伤亡，经济损失不大。用于本级装置的安全仪表系统，需取得 sil-1 级和 t v2-3 级认证，对装置和产品起一般的保护。-2 级：装置可能偶尔发生事故。如发生事故，对 装置和产品有较大的影响，并有可能造成环境污染和 人员伤亡，经济损失较大。用于本级装置的安全仪表系统，需取得 sil-2 级和 t v4 级认证，对装置和产品提供保护。-3 级：装置可能经常发生事故。如发生事故， 对装置和产品严重将造成严重的影响，并造成严重的 环境污染和人员伤亡，经济损失严重。用于本级装置的安全仪表系统，需取得 sil-3 级和 t v5-6 级认