2023年施工员培训安全仪表系统

安全仪表系统一、概述1.安全仪表系统(SＩS)的定义SIＳ是SafetyInstrumenteｄSystｅm的简称,中文的意思是安全仪表系统，,它是根据美国仪表学会(ISＡ)对安全控制系统的定义而得名的。安全仪表系统(ＳＩＳ）也称为紧急停车系统（ESD）、安全联锁系统(SＩＳ)或仪表保护系统（ＩＰS）。简要的说，安全仪表系统（ＳIS）是指能实现一个或多个安全功能的系统。安全仪表系统在石油、石油化工等领域已有较多的产品:例如Honeyｗell公司的FＳＣ（FaｉlＳafｅContrｏlSyｓtem）故障安全控制系统、德国HIＭA公司的PEＳ(ＰrogｒａmmabｌeEｌｅｃtｒｏnicSyｓｔeｍ）可编程电子系统等。安全仪表系统(SIＳ）重要涉及三大部分：传感器部分、逻辑运算部分和最终执行元件部分。SIＳ系统具有高可靠性(Reｌｉaｂilｉty）、可用性(Ａvａilabilitｙ)和可维护性(Mａinｔａinａｂｉlity），并且在SIＳ内部出现故障或外界干扰的情况下是安全的。2.安全仪表系统(ＳIS)的分类从SIS发展历史来看,安全仪表系统(ＳIS)经历了继电器系统、固态电路系统和可编程电子系统３个阶段。（1）继电器系统A.采用单元化结构,由继电器执行逻辑，通过重新接线来重新编程。B．可靠性高，具有故障安全特性,电压合用范围宽，一次性投资较低,可分散于工厂各处,抗干扰能力强。C．系统庞大而复杂,灵活性差，进行功能修改或扩展不方便,无串行通信功能，无报告和文档功能。易导致误停车,无自诊断能力。用户维修周期长,费用高。(2）固态电路系统A．采用模块化结构，采用独立固态器件，通过硬接线来构成系统,实现逻辑功能。B．结构紧凑，可进行在线测试，易于辨认故障,易于更换和维护,可进行串行通信，可配置成冗余系统。C.灵活性不够,逻辑修改或扩展必须改变系统硬连线，大系统操作费用较高，可靠性不如继电器系统。(3)可编程电子系统Ａ．以微解决器技术为基础的PＬＣ,采用模块化结构,通过微解决器和编程软件来执行逻辑。B.强大、方便灵活的编程能力,有内部自测试和自诊断功能可进行双重化串行通信，可配置成冗余或三重模块冗余（TMＲ)系统,可带操作和编程终端,可带时序事件记录（SEＲ)。3.安全仪表系统（SIＳ)的特点(1)ＳIS可以检测潜在的危险故障，具有高安全性，覆盖范围宽的自诊断功能。（２）SIS需符合国际安全标准规定的仪表安全标准，从系统开发阶段开始,要接受第三方认证机构（ＴüＶ等)的审查,取得认证资格,系统方可投入实际运营。(３)ＳＩS自诊断覆盖率大，维修时检查的点数非常少。诊断覆盖率是指可在线诊断出的故障系统所有故障的百分数。(4)SIS由采用冗余逻辑表决方式的输入单元、逻辑结构单元、输出单元三部分组成系统，逻辑表决的应用程序修改容易，特别是可编程型ＳIS,根据工程实际规定,修改软件即可。(5)SIS由局域网、DCＳI/F(人机接口)及开放式网络等组成多种系统。 （6）SIS设计特别重视从传感器到最终执行机构所组成的回路整体的安全性保证，具有I/O断线、短路等的监测功能。二、安全仪表系统（SIS） 的组成１．ＳIS系统的组成分为传感器部分、逻辑运算部分和最终执行器单元三部分。其结构简图如下:+感测器+感测器输入回路MPU输出回路最终元件输入模块控制模块SIS系统简图－输出模块A.传感器单元采用多台仪表或系统，将控制功能与安全联锁功能隔离，即传感器分开独立配置的原则，做到安全仪表系统与过程控制系统的实体分离。B.最终执行元件（切断阀、电磁阀）是安全仪表系统中危险性最高的设备。C.逻辑运算单元由输入模块、控制模块、诊断回路、输出模块４部分组成。SIＳ故障有两种:显性故障（安全故障)和隐性故障（危险故障)。显性故障（如系统短路等）,由于故障出现使数据产生变化,通过比较可立即检测出，系统自动产生矫正作用，进入安全状态,因此显性故障不影响系统安全性，仅影响系统可用性，故又称为无损害故障(FailｔｏNuisance,FTN）。隐性故障（如I/Ｏ短路等),开始不影响到数据，仅能通过自动测试程序方可检测出，它不会使正常得电的元件失电，因此又称为危险故障(FａiltｏDaｎgｅr，FTＤ）,系统不能产生动作进入安全状态。隐性故障影响系统的安全性，隐性故障的检测和解决是ＳIＳ系统的重要内容。安全仪表系统的逻辑单元结构选择见下表:逻辑单元结构IＥC６1５08SＩＬTＤINV１95２01AK２,AＫ3１，２2ＡK43,42AK４3,43AＫ5,65,63AK5,65,63AＫ５，６5,６2.SIＳ与DCS的区别SIS与DＣS在石油、石化生产过程中分别起着不同的作用，如下图所示：灭火子系统环境灭火子系统环境火灾与燃气系统安全仪表系统（SIS）过程控制系统(DCS等)生产过程&生产装置的安全层次生产装置从安全角度来讲,可分为3个层次:第一层为生产过程层,第二层为过程控制层，第三层为安全仪表系统停车保护层。SIS与DＣS的区别见下表：ＤCSＳISDCS用与过程连续测量、常规控制(连续、顺序、间歇等）、操作控制管理,保证生产装置平稳运营SIS用与监视生产装置的运营状况,对出现异常工况迅速进行解决，使故障发生的也许性降到最低，使人和装置处在安全状态ＤＣＳ是“动态”系统，它始终对过程变量连续进行检测、运算和控制，对生产过程动态控制,保证产品质量和产量SIS是静态系统，在正常工况下,它始终监视装置的运营,系统输出不变,对生产过程不产生影响,在异常工况下，它将按着预先设计的策略进行逻辑运算,使生产装置安全停车ＤCS可进行故障自动显示SＩS必须测试潜在故障ＤCS对维修时间的长短的规定不算苛刻SIS维修时间非常关键，弄不好导致装置全线停车DCS可进行自动/手动切换SIS永远不允许离线运营，否则生产装置将失去安全保护屏障DCS系统只做一般联锁、泵的开停、顺序等控制，安全级别规定不象ＳＩＳ那么高SIS与ＤCS相比，在可靠性、可用性上规定更严格,IＥC615０8，ＩＳA·S８4.01强烈推荐SIS与ＤCS硬件独立设立３.SIＳ系统的配置方案(１)a型控制系统和联锁系统所有由DCS控制站完毕。过程控制信息由通信网络传给操作站显示报警,操作员的操作指令由操作站通过通信网络传给控制站执行,这就是控制、联锁一体化型。(２)ｂ型控制系统信号由一组控制站完毕,报警联锁信号由另一组控制站完毕。两站信息由通信网络送到操作站,操作员的指令由操作站经通信网络送达各个控制站执行，就是控制、联锁站站分开型。（3)ｃ型控制信号由DCS独立执行。联锁信号由PＬC独立执行,PＬC由独立的编程器进行软件编写，重要的信息送操作台硬灯显示或由操作台发出硬开关动作指令。PLＣ联锁报警的非重要信号由通信接口送到通信网络并传到操作站进行显示,部分非重要指令由操作站发出，送ＰLＣ执行,就是ＤＣS＋ＰLC型。(4)ｄ型控制报警信号由DCS系统执行,重要的联锁信号由继电器系统完毕。由硬开关及硬灯组成的操作台进行显示和操作,就是ＤＣS+ＰLY型。（5）e型控制信号由DＣＳ独立完毕,联锁报警信号由三重冗余的紧急联锁控制器ＥSD完毕。软件编程器独立设立,重要动作及操作指令由独立操作台显示和发出，非重要信号和指令由通信接口经通信网络送操作站显示和发出,就是DCS+ESD型。总之ＳIＳ原则上应单独设立，独立与DCS和其他系统，并与ＤCS进行通信；SＩS应具有完善的诊断测试功能，SIS应采用经TüＶ安全认证的PLＣ系统；SＩＳ关联的检测元件、执行机构原则上单独设立;ＳＩS中间环节应保持最少；SIS应采用冗余或容错结构;ＳIS应设计成故障安全型,I/O模件应带电磁隔离或光电隔离，每通道应互相隔离,可带电插拔；来自现场的三取二信号应分别接到三个不同的输入卡,当模拟量输入信号同时用于SIS、ＤCＳ时，应先接到ＳIＳ的AI卡，采用SIS系统对变送器进行供电。三、工艺过程的风险评估及安全功能ＳIS等级的拟定1、相关的几个概念:(1)安全度及安全度等级安全联锁系统在一定条件和一定期间周期内执行指定安全功能的概率称为安全度。安全联锁系统的安全等级称为安全度等级,用PED(ProbａbｉlｉｔyｏfFａilｕｒｅoｎDｅmａnd)即危险概率来定义。（2）SIＬ及ＳIL分级ＳIL是SaｆｅtyInｔegriｔyLevｅl的简称,中文的意思是综合安全级别也称为安全度等级。它是美国仪表学会(ISA)在S8４.01标准中对过程工业中安全仪表系统所作的分类等级,SＩL分为1、2、3三级：SIＬ1级每年故障危险的平均概率为0．１0～0.01之间;SIL2级每年故障危险的平均概率为0.01~０．001之间;ＳIL３级每年故障危险的平均概率为0．０01~０．0０01之间。ＳIＬ等级的确认：1级:装置也许很少发生事故。如发生事故,不会立即导致环境污染和人员伤亡,经济损失不大。用于本级别的安全仪表系统，需取得ＳIL1级和TüV2-3级认证,对装置和产品起一般的保护。２级:装置也许偶尔发生事故。如发生事故，对装置和产品有较大的影响，并有也许导致环境污染和人员伤亡，经济损失较大。用于本级别的安全仪表系统，需取得ＳIL2级和TüV4级认证,对装置和产品提供保护。3级：装置也许经常发生事故。如发生事故,对装置和产品将导致严重的影响,并导致严重的环境污染和人员伤亡,经济损失严重。用于本级别的安全仪表系统,需取得SIＬ3级和ＴüV５-６级认证,对装置和产品提供保护。(３）IＥＣ６1508标准IEＣ６１5０8标准是国际电工委员会（ＩEＣ）对与安全相关的安全控制系统制定的性能安全标准，与ＩSA的ＳIL相比,除了覆盖ISA中的SＩL1~3等级以外，增长了第四级标准,IＥCSＩＬ4级标准每年故障危险的平均概率为０．0001~０.00001之间。(4)TüＶ标准TüV是德国技术监督协会的缩写。ＤＩNV，19250是TüV证书中评估产品的标准。ＴüV标准是德国莱茵认证机构对工业过程安全控制系统所作的分类等级。ＴüV共分为８级（AK1～AK8）,AＫ2／3相应于SIL1级，AK４相应于SIL2,AK5/6相应于SＩL3级，AＫ7相应于SIL4级,AK8是目前最高级别的安全标准,故障概率大于十万分之一,目前没有与E／E/ＰＥS安全相关的系统能满足规定，ISA和IＥC尚未制定相应于ＡK8的标准。2.DINV,19２5０/IEC6１508标准风险分析图工艺过程的风险是以恶性事故概率及其导致的后果来衡量的。目的安全水平是以可接受的恶性事故概率及其导致的后果来拟定的。目的安全水平与恶性事故概率之间的差值就是安全功能的SIL等级,即ＳＩS系统中采用SIL等级的安全功能来使恶性事故概率低于目的安全水平。DINV，1９２50/IＥＣ61508标准风险分析图如图所示。３.综合安全级别拟定SＩＬ等级现有三种技术来拟定：定性风险评估技术,半定量风险评估技术及定量风险评估技术。安全功能故障率整体安全水平(SＩL)安全功能故障率ＳIＬ4≥1０-5~１0-4ＳIＬ3≥10-4～10-３SIL２≥1０-３～1０-2SIL1≥10-２～10-１DINV,1９250/IEC6１５０8标准风险分析图中,IＥC61５08标准安全度等级SIL与DＩNＶ，１9２5０最小克制风险级别ＡK（ＴüＶ标准）的相应关系如下表所示：IＥC615０8SＩLANSＩ/ISAS８4.0１ＳＩLDＩNＶ，192５0AKClass说明１１2、3仅对少量的财产和简朴的生产和产品进行保护22４对大量的财产和复杂的生产和产品进行保护，也对生产操作人员进行保护335、6对工厂的财产，全体员工的生命和整个社区的安全进行保护4-7避免劫难性的(例如核事故)会对整个社区形成巨大冲击的事故四、SIＳ安全仪表系统常用术语1.故障（Faｉｌuｒe)针对控制系统的安全而言，故障分为安全故障和严禁故障。安全故障是指此故障不会引起生产装置劫难性事故,而严禁故障是指故障一旦发生，会引起装置劫难性后果。下面以紧急停车系统（ESS)为例来说明安全故障和严禁故障的区别:继电器正常传感器故障（b）继电器正常传感器故障（b）ESSESS的通道ESS传感器继电器传感器正常ESS继电器故障（a）安全故障示意图传感器检测到异常情况ESS继电器故障（a）ESS继电器正常（b）传感器过程异常传感器没有检测到严禁故障示意图2.可用性（运用率)(Availabiｌiｔy）可用性是指系统可以使用时间的概率,用字母A表达。其表达式为:A＝平均工作时间（ＭTTF)/(平均工作时间（MＴTF)+平均修复时间（MTTＲ)）下表以EＳS为例,说明系统的可用性（运用率)情况：ＥSＳ状况装置状况1ESS正常装置运营正常2ESＳ出现安全故障装置停车3EＳＳ出现严禁故障装置继续运营在第1种情况下，ESＳ与装置两者都处在可用状态。在第2种情况下,ESＳ与装置两者都处在不可用状态。在第3种情况下,EＳＳ处在不可使用状态，而装置继续运营，但处在危险的可使用状态。分析上表可知:追求高的可用性，其安全风险大，追求高的安全性,则可用性就要减少。3．可靠性(Ｒeｌiａbiｌｉty）（１)可靠性是指系统在规定的时间间隔内发生故障的概率，用字母R表达。具体来讲，可靠性指的是安全联锁系统在故障危险模式下,对随机硬件或软件故障的安全度。（2)可靠性计算是根据故障（失效）模式来拟定的。（3)故障模式有显性故障模式（失效-安全型模式)和隐性故障模式（失效-危险型模式)两种。显性故障模式表现为系统误动作，可靠性取决于系统硬件所包含的元器件总数,一般由MTBF表达。隐性故障模式表现为系统拒动作，可靠性取决于系统的拒动作率(PFD），一般表达为:Ｒ=1-PＦD４.牢固性(Ｉｎtｅgrｉｔｙ）可靠性与牢固性在意义上极为相似,很难加以区分。ＩEC和SP4对安全性(SａfetyIntegriｔy）的定义:在规定期间和条件下,PES完毕安全功能的可靠性。IEC（ＷＧ10）：硬件牢固性(ＨａrｄwareInteｇritｙ):是系统安全性的组成部分,它指在危险方式下硬件的随机故障。英国的PES：安全性(ＳａｆeｔyIntegｒity):安全系统在规定的条件下或者需要它去执行的规定下,按人们的规定完毕功能时所表现的特性。从可靠性、牢固性定义中可以看出,牢固性这个术语用在安全保护系统中，而可靠性的合用范围则相对广泛。5.冗余及冗余系统冗余(Redｕｎdａnｔ)指为实现同一功能,使用多个相同功能的模块或部件并联。冗余也可定义为指定的独立的N：1重元件,且可自动地检测故障,并切换到备用设备上。冗余系统(RedundaｎtSystem)指并行使用多个系统部件，并具有逻辑结构单元逻辑结构单元执行器m次n次k次安全仪表系统的冗余组成传感器传感器故障检测和校正功能的系统称为冗余系统。安全仪表系统的冗余涉及两部分:逻辑单元自身的冗余；传感器和执行器的冗余。针对不同的场合，冗余的次数及实现冗余的软逻辑不同。6．冗余逻辑表决方式(1）表决(Ｖotｉｎｇ）:指冗余系统中用多数原则将每个支路的数据进行比较和修正，从而最后拟定结论的一种机理。（２）几种冗余逻辑表决方式1oo1Ｄ(1oｕｔof１D）１取1带诊断1ｏo2(１outof２)2取１１ｏｏ2D(1oｕtｏf2D）2取1带诊断２ｏo3(２ｏutoｆ３)3取22oｏ4ｄ（2ouｔoｆ4)4取2带诊断a.二选一表决逻辑 (１oo２）ANDANDＡBﻫ正常状态下,Ａ、Ｂ状态为1，只要Ａ、B任一信号为0,发生故障,表决器就命令执行器执行相应的动作。合用于安全性较高的场合。b.二选二表决逻辑 (2oo２)ORORABﻫ正常状态下，Ａ、B状态为1,只有当A、B信号同时发生故障为0时，,表决器就命令执行器执行相应的动作。合用于安全性规定一般而可用性较高的场合。其特点是：可以有效防止安全故障的发生，但系统有也许导致严禁故障的发生。ｃ.三选一表决逻辑（１oo3）ABABCANDﻩ正常状态下，A、B、Ｃ状态为1,只有当A、B、C任一信号发生故障为０时，,表决器就命令执行器执行相应的动作。合用于安全性很高的场合，而不顾及其它情况。其特点是:它最有效的防止了严禁故障的发生,比1oo２方式更严格，但增长了安全故障发生的机会。它的安全故障发生率是单一系统的3倍。d.三选二表决逻辑(2oｏ3)AABACBCORANDANDAND 正常状态下,A、B、C状态为1,只有当A、B、C任两个组合信号同时为0发生故障时，,表决器就命令执行器执行相应的动作。合用于安全性、使用性高的场合。其特点是:它克服了二重化系统不辨真伪的缺陷，其可用性和安全性保持在合理的水平。7.冗错、冗错技术及冗错系统(1）冗错(FaultToｌerａnt)是指功能模块在出现故障或错误时,可以继续执行特定功能的能力。进一步讲冗错是指对失效的控