AE全仪表系统培训讲义

1、燕山石化王立奉平安仪表系统(SIS ).1 什么是平安仪表系统?.1 什么是平安仪表系统? 在IEC61508 中，SIS被称为平安相关系统Safety Related System,将被控对象称为被控设备EUC。IEC61511将平安仪表系统SIS定义为用于执行一个或多个平安仪表功能Safety Instrumented System的仪表系统。SIS是由传感器如各类开关、变送器等、逻辑控制器、以及最终元件如电磁阀、电动门等的组合组成。IEC61511又进一步指出，SIS可以包括，也可以不包括软件。另外，当操作人员的手动操作被视为SIS的有机组成部分时，必需在平安规格书Safety Requ

2、irement Specification,SRS)中对人员操作动作的有效性和可靠性做出明确规定，并包括在SIS的绩效计算中。从SIS的开展过程看，其控制单元部分阅历了电气继电器Electrical、电子固态电路Electronic和可编程电子系统Programmable Electronic System，即E/E/PES三个阶段。 .图1 SIS的构成 检测单元输入模块控制模块输出模块执行单元PES以下图为由PES构成的SIS .SIS平安仪表系统SIS仪表安包含全控制功能，也可包含仪表平安维护功能，或包含这两者。需求阐明的是，这里所说的仪表控制功能，是指以延续方式Continuous M

3、ode操作并具有特定的SIL,用于防止危险形状发生或者减轻其发生的后果，与常规的PID控制功能是完全不同的概念。SIS可以包括或不包括软件SIS的一部分也能够是人的动作.SIS平安仪表系统 如图2所示，这是一个气液分别容器A液位控制的平安仪表功能。对这个平安仪表功能完好的描画是：当容器液位开关到达平安联锁值时，逻辑运算器图3使电磁阀2断电，那么切断进调理阀膜头信号，使调理阀切断容器A进料，这个动作要在3秒内完成，平安等级必需到达SIL2。这是一个平安仪表功能的完好描画，而所谓的平安仪表系统，那么是类似一个或多个这样的平安仪表功能的集合。.图2 平安仪表回路图.图2 阐明L液面超高-L1接点闭合

4、-Z带电。Z1常闭接点翻开，S线圈断电。S电磁阀切断，往调理阀膜头的控制信号调理阀切断工艺进料，完成联锁维护作用。K起：按钮开关：起动联锁维护回路兼有复位作用。K停：起人工强迫起动联锁维护作用。K旁：旁路联锁维护作用，用于开车或检修联锁信号仪表。.图3 SIS逻辑图.SIS平安仪表系统大多石油和化工消费过程具有高温、高压、易燃、易爆、有毒等危险。当某些工艺参数超出平安极限，未及时处置或处置不当时，便有能够呵斥人员伤亡、设备损坏、周边环境污染等恶性事故。这就是说，从平安的角度出发，石油和化工消费过程本身存在着固有的风险。总之，SIS是一种经专门机构认证，具有一定平安完好性程度，用于降低消费过程风

5、险的仪表平安维护系统。它不仅能呼应消费过程因超越平安极限而带来的风险，而且能检测和处置本身的缺点，从而按预定条件或程序使消费过程处于平安形状，以确保人员、设备及工厂周边环境的平安。.SIS平安仪表系统按照SIS的定义，下述系统均属于平安仪表系统：平安联锁系统Safety Interlock SystemSIS平安关联络统Safety Related SystemSRS仪表维护系统Instrument Protective SystemIPS透平紧缩机集成控制系统Integrated Turbo & Compressor Control SystemITCC火灾及气体检测系统Fire and g

6、as systemsF&G紧急停车系统Emergency Shutdown DeviceESD熄灭管理系统Burner Management System列车自动防护系统ATP.2 SIS的相关规范及认证机构 .SIS的相关规范及认证机构 鉴于SIS涉及到人员、设备、环境的平安，因此各国均制定了相关的规范、规范，使得SIS的设计、制造、运用均有章可循。并有权威的认证机构对产品能到达的平安等级进展确认。这些规范、规范及认证机构主要有：我国石化集团制定的行业规范SHB-Z06-1999。2006年、2007年等同采用IEC61508、IEC61511的中国国家规范GB/T20438、GB/T211

7、09相继发布，中国的功能平安规范开场规范我国的功能平安任务。.SIS的相关规范及认证机构 国际电工委员会1997年制定的IEC 61508/61511规范，对用机电设备继电器、固态电子设备、可编程电子设备PLC构成的平安联锁系统的硬件、软件及运用作出了明确规定。美国仪表学会制定的ISA-S84.01-1996。美国化学工程学会制定的AICHEccps-1993，。英国安康与平安执行委员会制定的HSE PES-1987，。.SIS的相关规范及认证机构 德国国家规范中有平安系统制造厂商规范-DIN V VDE 0801、过程操作用户规范-DIN V 19250和DIN V 19251、熄灭管理系统

8、规范-DIN VDE 0116等。德国技术监视协会TV是一个独立的、权威的认证机构，它按照德国国家规范DIN，将ESD所到达的平安等级分为AK1AK8，AK8平安级别最高。其中AK4、AK5、AK6为适用于石油和化学工业 获得TUV认证的SIS产品 .SIS的相关规范及认证机构 在国内石化行业中运用的SIS产品中，经过TUV认证的主要有：Tricon、Triden，美国Triconex公司开发用于紧缩机综合控制ITCC和紧急停车系统。平安等级为AK6SIL3。FSCFail safe control，由荷兰P&FPepper&Fuchs公司开发，1994年被Honeywell公司收买。平安等级

9、可达AK6SIL3.SIS的相关规范及认证机构 HIMA PES，HIMA是德国一家专业消费平安控制设备的公司，PES (Programmable Electronic System)是可编程电子系统的简称，是近几年来国内引进较多的一种平安仪表系统。主要由H41q和H51q系统组成。H41q也叫小系统，它分为不冗余的系统和冗余的系统，不冗余系统型号为H41qM，冗余系统又分为高可靠系统H41qH和高性能系统H41qHR。H51q称为模块化的系统，它也分为不冗余的系统和冗余的系统，不冗余的系统型号为H51qH和高性能系统H51qHR。各种型号的PES都具有TUV AK16级认证。.SIS的相关规

10、范及认证机构 ProsafeRS，是横河电机平安仪表系统，其特点是与CENTUMCS.3000 R3的技术交融，即实现了与DSC的无缝集成。非冗余取量即可实现SIL3，经过冗余取量实现更高的可用性。QUADLOG，由MOORE公司开发，日本横河电机公司收买后称prosafe plc，其1oo2D构造平安等级达AK6 (SIL3)；SIMATICS7400F/FH，德国SIEMENS公司产品。400F和400FH分别为1个CPU和2个CPU运转fail-safeF用户程序，均获得TUV认证，平安等级为AK1AK6SIL1SIL3；.SIS的相关规范及认证机构 Regent Trusted，美国I

11、CS利用宇航技术开发的平安系统。平安等级AK4AK6SIL2SIL3；GMR90-70，美国GE Fanuc公司开发。其中GMR90-70(模块式冗余容错)的平安等级为class 52oo3，class 41oo2和class 52oo2；TRIGUARD SC300E， AUGUST公司开发，1999年成为ABB集团成员之一，平安等级为class 5和class 6，系统构造为2oo3；Safeguard 400&300，ABB Industry公司开发，系统构造1oo2D。.3 SIS和DCS的比较 .SIS和DCS的比较DCS与由PES构成的SIS的主要区别有： DCSSIS构 成不含检

12、测、执行含检测、执行单元作用（功能）使生产过程在正常工况乃至最佳工况下运行超限安全停车工 作动态、连续静态、间断安全级别低、不需认证高、需认证.SIS和DCS的比较系统的组成：DCS普通是由人机界面操作站、通讯总线及现场控制站组成；而SIS系统是由传感器、逻辑解算器和最终元件三部分组成。及DCS不含检测执行部分。 实现功能：DCS用于过程延续丈量、常规控制延续、顺序、间歇等操作控制管理使消费过程在正常情况下运转至最正确工况；而SIS是超越极限平安即将工艺、设备转至平安形状。 任务形状：DCS是自动的、动态的，它一直对过程变量延续进展检测、运算和控制，对消费过程动态控制确保产质量量和产量。而SI

13、S系统是被动的、休眠的 。 .SIS和DCS的比较平安级别：DCS平安级别低，不需求平安认证；而SIS系统级别高，需求平安认证。 应对失效方式：DCS系统大部分失效都是显而易见的，其失效会在消费的动态过程中自行显现，很少存在隐性失效；SIS失效就没那么明显了，因此确定这种休眠系统能否还能正常任务的独一方法，就是对该系统进展周期性的诊断或测试。因此平安仪表系统需求人为的进展周期性的离线或在线检验测试，而有些平安系统那么带有内部自诊断。 .4 SIS设计应遵照的原那么.SIS设计应遵照的原那么原那么上应独立设置含检测和执行单元；中间环节最少；应为缺点平安型；采用冗余容错构造。 .5 缺点平安原那么

14、.缺点平安原那么 组成SIS的各环节本身出现缺点的概率不能够为零， 且供电、供气中断亦能够发生。 当内部或外部缘由使SIS失效时，被维护的对象安装应按预定的顺序平安停车，自动转入平安形状Fault to Safety，这就是缺点平安原那么。 详细表达：现场开关仪表选用常闭接点，工艺正常时，触点闭合，到达平安极限时触点断开，触发联锁动作，必要时采用“二选一、“二选二或“三选二配置。电磁阀采用正常励磁，联锁未动作时，电磁阀线圈带电，联锁动作时断电。.缺点平安原那么送往电气配电室用以开/停电机的接点用中间继电器隔离，其励磁电路应为缺点平安型。 作为控制安装如PLC“缺点平安意味着当其本身出现缺点而不

15、是工艺或设备超越极限任务范围时，至少应该联锁动作，以便按预定的顺序平安停车这对工艺和设备而言是平安的；进而应经过硬件和软件的冗余和容错技术，在过程平安时间PST-Process Safety Time内检测到缺点，自动执行纠错程序，排除缺点。 .6 隐缺点与显缺点.隐缺点与显缺点隐缺点Covert Fault：不对危险产生报警，允许危险开展的缺点，是缺点危险缺点SHB-Z06-1999。 Covert Fault：Fault that can be classified as hidden， concealed， undetected， unrevealed， latent， ect. ISA

16、-S84.01-1996显缺点Overt Fault：能显示出缺点本身存在的缺点，是缺点平安缺点SHB-Z06-1999。 Overt Fault：Fault that can be classified as announced， detected， revealed，ect.ISA-S84.01-1996.隐缺点与显缺点SIS系统拒动：当工艺条件到达或超越平安极限时，SIS本应引导工艺过程停车，但由于其本身存在隐性缺点危险缺点，譬如输出开关被误连短路，而不能呼应此要求，即该停车而拒停，降低了平安性。危险失效定义为这样一些失效，这些失效会阻止SIS系统对潜在的危险工况做出反响。 .隐缺点与显

17、缺点SIS系统误动：在图4中，当输出开关由于某种缘由处于非鼓励形状，即使潜在的危险工况没有发生，SIS也会进入一种平安失效形状见图5，这种情况经常被称为“误动。误动能够会以许多不同方式发生。例如，输入电路能够会发生缺点，从而使逻辑解算器误以为是传感器检测到了危险工况，而现实上并没有这种情况发生。逻辑解算器本身也能够出现运算错误，并导致输出回路失电，输出回路能够出现开路。SIS的许多元件失效均会导致系统进入平安失效形状。.图4 正常运转时的正常鼓励系统SIS负载压力开关开关量输入正常运转时开封锁合，非正常运转时开关翻开+正常任务时输出开关处在鼓励形状非正常运转时输出开关处在失励形状输出开关+.图

18、5SIS负载压力开关开关量输入即使压力开封锁合，由于输入电路的缺点SIS也会误以为它是翻开的+输出电路发生开路缺点逻辑解算器不能读取1输入，不能进展正常的逻辑运算，也不能生成逻辑1输出输出开关+.PFS平安缺点概率：正常鼓励的SIS系统在它的输出非鼓励时，就会处于缺点形状，这有一个概率。称为平安缺点概率PFS，或称误动率。PFD要求时失效概率：这是一个衡量平安性的目的，称为要求时失效概率。它意味着系统是危险的。它不会再要求潜在的紧急条件发生时产生呼应。SIS的功能平安平安仪表系统必需在工业系统出现危险情况时正确执行其对应的平安功能，平安仪表系统的这种特性被称为功能平安。功能平安实践上讲的是SI

19、S系统本身的平安问题。.SIS的平安功能如图6示平安仪表系统，该系统由一个压力变送器、一个阀门和一个平安PLC组成的SIS系统。压力变送器检测容器内压力并将其变换成适宜的信号传送给平安PLC，平安PLC判别假设压力超越了额定值那么翻开阀门以降低容器内压力，这被称为平安系统的一个平安功能。很明显例子中仪表平安系统只需一个平安功能。假设三个设备有一个或多个失效，平安功能将失效，即它将不能对压力容器内压力进展限制。因此平安仪表系统的平安性能由传感器、逻辑解算器和执行器三部分功能决议。SIS平安功能实践上讲的是让SIS执行什么样的平安义务，如何维护受控设备。.图6 反响器的平安仪表系统 PS Logi

20、c solve 逻辑解算器feed valve进料阀Reactor反响器TSFeed进料Pressure Sensor压力变送器Temperature Sensor 温度变送器当反响器温度及压力超高到达危险形状时都要停车，关断进料阀。 .7 平安性及呼应失效率.平安性及呼应失效率当工艺条件到达或超越平安极限值时，SIS本应引导工艺过程停车，但由于其本身存在隐缺点危险缺点而不能呼应此要求，即该停车而拒停，降低了平安性。 衡量平安性的目的为呼应失效率或称要求的缺点率PFD：Probability of Failure on Demand。它是平安联锁系统按要求执行指定功能的缺点概率。是度量平安联锁

21、系统按要求方式任务缺点率的目的值SHB-Z06-1999。 不同的工业过程如消费规模、原料和产品的种类、工艺和设备的复杂程度等对平安的要求是不同的。上述的国际规范将其划分为假设干平安完好性等级SIL：Safety Integrity Level。 .平安完好性等级Safety Integrity LevelSIL平安完好性等级SIL是一种离散的等级，用来规定分配给E/E/PE平安相关系统平安功能的平安完好性要求。平安完好性等级可分为4个等级，SIL4是平安完好性最高的等级平均概率最高，SIL1是最低等级；平安完好性等级越高，应执行所要求的平安功能的概率也越高；根据平安相关系统运用方式，要求发生

22、的频率可分为低要求操作方式1次/年。 .平安完好性等级Safety Integrity LevelSIL根据GB/T 20438规范，在不同的操作方式下，平安完好性的目的失效概率和目的风险降低见下表1-1和1-2。采用不同的操作方式构造有能够运用几个平安完好性等级较低的系统来满足一个较高平安完好性等级功能的需求例如：运用一个SIL2和一个SIL1的系统共同来满足一个SIL3功能的需求。 .表1-1 平安完好性等级：要求时的失效概率低要求操作模式（平均失效概率） 安全完整性等级（SIL）要求时的目标平均失效概率 目标风险降低 410-510000100000 310-4100010000 210

23、-31001000 110-210100 .表1-2 平安完好性等级：SIF的危险失效概率 高要求或连续操作模式（每小时危险失效概率） 安全完整性等级（SIL）执行仪表安全功能的目标危险失效概率410-910-8 310-810-7 210-710-6 110-610-5 .表1-3 SIL与PFD的对应关系 ISA-S84.01IEC 61508DIN V 19520(TUV)PFDSIL 1SIL 1AK110-110-2AK2AK3SIL 2SIL 2AK410-210-3SIL 3SIL 3AK510-310-4AK6SIL 4AK710-410-5AK8.8 可用性及可用度.可用性及

24、可用度工艺条件并未到达平安极限值，SIS不应引导工艺过程停车，但由于其本身存在显缺点平安缺点而导致工艺过程停车，即不该停车而误停，降低了可用性。可用度A：Availability是指系统可运用任务时间的概率，用百分数计算： SHB-Z06-1999 MTBF：平均缺点间隔时间Mean Time Between FailuresMDT：平均停车时间Mean Downtime.MTTF、MTTR、MTBF 与SIL的关系 MTBF：平均缺点间隔时间Mean Time Between FailureMTTR：平均恢复时间Mean Time to RepairMTTF：平均无缺点时间Mean Time

25、 to Failure例如：开车MTTFSIS系统运转总时间MTTR24hSIS缺点时间MTBF2000h发生危险缺点图7 MTTF、MTTR和MTBF .MTTF、MTTR、MTBF 与SIL的关系 MTTF=MTTR+MTBF PFD=MTTR/MTBF+MTTR知 MTTR=24H MTBF=2000H那么 PFD=24/(24+2000)=0.0119所以硬件平安完好性等级到达SIL1程度。.9 冗余和容错.冗余和容错冗余Redundant：具有指定的独立的N：1重元件，并且可以自动地检测缺点，切换到后备设备上。 SHB Z06 1999冗余系统Redundant System：并行地

26、运用多个系统部件，以提供错误检测和错误校正才干的系统。 SHB Z06 1999。.冗余和容错容错Fault Tolerant：具有内部冗余的并行元件和集成逻辑，当硬件或软件部分缺点时，可以识别缺点并使缺点旁路，进而继续执行指定的功能。或在硬件和软件发生缺点的情况下，系统仍具有继续运转的才干。它往往包括三方面的功能：第一是约束缺点，即限制过程或进程的动作，以防止在错误被检测出来之前继续扩展；第二是检测缺点，即对信息和过程或进程的动作进展动态检测；第三是缺点恢复即改换或修正失效的部件。SHB Z06 1999.冗余和容错容错系统Fault Tolerant System：具有容错构造的硬件与软件

27、系统。 SHB Z06 1999总之，经过冗余和缺点屏蔽的结合来实现容错。容错系一致定是冗余系统，冗余系统不一定是容错系统。容错系统的冗余方式有双重、三重、四重等。图8和图9、图10分别表示CPU冗余双机热备和三重化冗余容错系统。.图8 CPU冗余双机热备CPU 1CPU 2开关输入/输出现场设备.图9 三重模块冗余容错系统输入输入输入CPU CCPU B输出输出2oo3 表决器输出CPU A输入端子输出端子.图10 三重信号冗余容错系统.怎样经过冗余来改善系统的整体SIL程度 当一个SIS系统的平安完好性等级要求为SIL3，而实践配置为传感器为2.210-3(SIL 2)，逻辑解算器为1.3

28、10-4(SIL3)包括I/O接口，终端执行器为2.4110-3SIL2,所以整个系统为SIL2不满足要求。于是我们改动传感器的配置构造，选择1oo2冗余，其中共因失效=10%，诊断覆盖率DC=90%，可以算出1oo2传感器的构造的PFD=2.310-4，到达SIL3的程度，同理可以配置执行器为1oo2冗余构造，也可到达SIL3的要求，于是最终整体SIS系统的SIL可以到达SIL3的要求。 .怎样经过冗余来改善系统的整体SIL程度 这个问题的处理给我们以启示，当安装引进一个SIS系统时，整体平安完好性等级不仅取决于逻辑解算器部分，而且传感器、终端执行器部分也非常关键。配置系统时，除了引进一个S

29、IL3的平安仪表系统，譬如FSC等，还要将传感器、终端执行器一并讨论。算出SIS整体的SIL数据，定量的平安仪表系统配置义务才算完成。.冗余表决方法及其平安性、可用性的关系可用性A：Availability是指系统可运用任务时间延续运转时间的概率，用百分数计算A值越大，可用性越好：A = MTBF/(MTBF+MTTR)而PFD= MTTR /(MTBF+MTTR)PFD越小那么平安性越好。冗余逻辑表决方法及平安性-可用性的关系例子如下表所示 。.表决方法隐故障概率（拒动）显故障概率（误动）允许不允许安全性可用性一选一 1oo10.02（短路的概率）0.04（开路的概率）存在隐故障和显故障差差

30、二选一 1oo20.0004（两个均短路的概率）0.08（只要有一个开路的概率）其中之一存在隐故障（仍可安全停车）其中之一存在显故障（将误停车）最好最差二选二 2oo20.04（只要有一个短路的概率）0.0016（两个均开路的概率）其中之一存在显故障（不会误停车）其中之一存在隐故障（该停拒停）最差最好三选二 2oo30.0012（三个中两个均短路的概率）0.0048（三个中两个均开路的概率）其中之一存在隐故障或显故障其中两个存在隐故障或显故障较好较好表2 冗余逻辑的表决方法及其与平安性、可用性的关系注：此表中缺点概率数据摘自西门子公司资料 .冗余表决方法及其平安性、可用性的关系以上可见：隐缺点

31、危险缺点使SIS该动而拒动，隐缺点概率越高，平安性越差。显缺点平安缺点使ESD不该动而误动，显缺点概率越高，可用性越差。1oo2二选一平安性最好，但可用性最差；2oo2二选二可用性最好，但平安性最差；2oo3三选二可兼顾.10 普通PLC和平安PLC的区别.普通PLC和平安PLC的区别普通PLC和可以作为ESD控制部分的平安PLC的主要区别是：普通PLC不是按缺点平安型设计的，当系统内部元件出现短路缺点时，它并不能检测到，因此其输出形状不能保证系统回到预定的平安形状。这种PLC只能用于平安度等级要求低的场所。现以输出电路为例予以阐明。 图11是普通PLC DO卡表示图。.图11 普通PLC D

32、O卡表示图+24VDC来自CPU的控制信号接负载，如电磁阀0V DC12.普通PLC DO卡当1、2两点短路时，来自PLC的控制信号将不起作用失效，电磁阀将不断处于带电励磁形状，即需求联锁动作电磁阀释电停车时，由于此缺点的存在而拒动，其输出不能保证处于平安停车形状。这就是违背了缺点平安Fault to Safety的原那么。当1、2两点开路时，将导致误动作而停车，同样会带来损失。可见，这种普通PLC的DO卡输出电路的平安性和可用性都是不高的。 .图12 平安性单容错DO卡表示图 “与看门狗中央处置器+24VDC形状信号控制信号形状信号接负载，如电磁阀0V DC.平安性单容错DO卡图12所示为一

33、种带有平安性单容错的DO卡表示图它是Honeywell SMS FSC-101型输出表示图。这里，中央处置器不仅向串联的场效应管FET发出控制信号，而且还接受来自场效应管的形状反响信号，以便对其输出进展全面测试。当测得某管输出发生短路时，中央处置器即启动纠错动作，隔离相关的缺点。看门狗Watch Dog是个多通道的计时器电路。它由中央处置器和内存等周期性地触发，假设两个触发之间的时间小于某设定值或者大于某最大值，那么看门狗的输出将失效。同时看门狗还能监视内部任务电压，使之在正常的电压范围内。 .普通PLC和平安PLC的区别以上仅是DO卡上的差别。作为平安PLC，至少应具备以下几点：满足相关平安规范规范要求，且经过权威机构认证，获得了相应平安等级证书；在硬件和软件上采用冗余、容错措施，具有完善的测试手段，当检测到系统缺点，特别是危险缺点时能使系统回到平安形状；能进展系统缺点报警，指示缺点缘由、缺点位置，便于在线维护；能与DCS或其它设备进展通讯。.11 工艺过程风险的评价及平安度等级的评定 .工艺过程风险的评价及平安度等级的评定 不同的工艺过程消费规模、原料和产品的种类、工艺和设备的复杂程度等对平安的