提高安全儀表系統可靠性的分析與措施

徐小粘

摘要：本文簡要介紹了安全儀表系統的結構，從系統現場信號檢測，邏輯運算控制系統，執行器部分三個方面，對提高安全儀表系統的安全性與可靠性進行了分析，并提出了相關解決措施及建議。

關鍵詞：儀表聯鎖;可靠性分析措施

安全儀表系統（簡稱為SIS系統）作為石油化工企業儀表控制系統的重要成員，在生產過程控制中的重要性不言而喻。隨著煉化企業儀表自動化程度的提高，目前大型生產裝置或重點裝置的生產控制都采用了過程控制系統（DCS）加安全儀表系統（SIS）以及機組控制系統（CCS）的儀表控制系統組合方式，因CCS控制系統功能包含機組聯鎖停車功能，在本文中將CCS系統的聯鎖停車控制功能部分與SIS系統稱一作為安全儀表系統來分析與探討。安全儀表系統用于在生產裝置的開車、停車階段，運行以及維護操作期間，對生產以及生產設備，以及環境影響提供安全保障。當生產裝置或機組設備運行參數異常，以及其他因素引起的信號異常，安全儀表系統會根據接受到的異常信號，通過系統邏輯控制器進行判斷、運算，并根據設定的邏輯程序，發出相應的聯鎖邏輯指令，使生產裝置產生安全聯鎖動作或停車，將裝置的生產損失降到最低，保護設備、機泵的安全。

一、 安全儀表系統的定義與結構

（一）安全儀表系統的定義與分類

安全儀表系統是用來對裝置生產進行自動監視并實現自動操作的一個重要措施。當設備、管道中的某些工藝參數超限或運行狀態發生異常時以燈光和音響引起操作人員注意，人為或自動地改變操作條件，驅動執行器動作，使生產過程及設備處于安全狀態，以免造成巨大的經濟損失。安全儀表系統就是能確保生產過程及設備運行安全的控制系統。

在我廠用的較多的安全儀表系統是：Honeywell的FSC、SM系統、CRCS系統，Triconex公司的Tricon系統，GE公司的90-30系列PLC，ICS公司的Trusted等。

SIS系統具有高可靠性、可應用性、可維護性，并且在控制系統內部出現故障時，仍是安全的。IEC-61508將過程安全所需要的安全度等級劃分為4級（SIL1- SIL4）。目前主流的安全儀表控制系統能夠達到SIL3級。但安全儀表系統包括一次檢測元件、安全儀表邏輯控制系統、執行器三部分組成，僅僅是安全儀表邏輯控制系統達到SIL3級，不能就認為整個安全儀表系統就是SIL3級別的安全系統。SIS安全儀表系統通過雙重冗余或者三重模塊冗余（TMR），使SIS系統具備高可靠性和可應用性。通過系統的自診斷，提高系統的可維護性。

目前在用的安全儀表系統從控制對象來區分，可分為裝置安全儀表系統（SIS）或裝置緊急停車系統（ESD），以及機組控制系統。

（二） SIS系統的結構

SIS系統最初是來自于繼電器系統，隨著計算機技術、大規模集成電路、通信技術的發展，發展到了目前的可編程控制系統。SIS系統的組成大體可分為現場檢測、邏輯運算控制系統、執行器三部分。如圖1所示。

1.現場檢測部分

主要是由現場變送器、溫度檢測元件（熱電偶，鉑電阻）、液位變送器（雙法蘭變送器，沉筒液位計等）或液位開關、機組軸系儀表（軸位移，軸振動，轉速等）、閥門回訊等組成。從儀表聯鎖信號來說，除了上述現場檢測儀表外，還有來自電氣專業傳送過來的機泵、壓縮機、鼓風機、引風機等設備的運行狀態信號，以及DCS、CCS等其他儀表控制系統輸出的聯鎖停車信號。

2.邏輯運算控制系統

即是我們常見的安全儀表控制系統，如Honeywell的FSC、SM系統，HIMA的PES系統，Triconex公司的Tricon系統，GE公司的90-30系列PLC，ICS公司的Trusted等。雖然各自公司的SIS系統各不相同，但基本都是由輸入卡件、CPU處理器、輸出卡件、通信卡件、電源模塊、上位機（工程師站、操作員站）、安全柵柜、繼電器柜等組成。其軟件一般主要是由下位機組態編程軟件和上位機監控軟件組成，具備數據顯、報警、系統診斷，與第三方控制系統通訊、事件記錄、數據交互等功能。

3.執行器部分

作為安全儀表系統邏輯輸出最終執行者，是安全儀表系統中危險性最高的設備。安全儀表系統在裝置運行狀況正常時，是靜態的，輸出不動作，即執行器部分長期處于一個固定的動作狀態，直到聯鎖觸發后才動作。故聯鎖系統的執行器設備要具有很高的安全級別。現場的執行器主要是帶電磁閥附件的切斷閥、調節閥，并且滿足故障安全型的要求。除此之外，還包括繼電器柜的繼電器。聯鎖啟動或停止電氣設備，是通過繼電器隔離并輸出觸點信號，接入電氣設備的電氣控制回路中，控制現場機泵等電氣設備的啟停。

二、影響安全儀表系統可靠性的主要原因

安全儀表系統作為一個系統，涵蓋了現場檢測、邏輯運算控制系統、執行器三部分。邏輯運算控制系統還涉及到與DCS控制系統，以及其他PLC、SIS的通信等內容。現從下面幾個部分對影響安全儀表系統可靠性的原因進行分析。

（一）現場儀表測量信號故障

現場儀表作為SIS系統的輸入信號，是SIS系統觸發聯鎖的條件。現場測量儀表的常見故障如下：壓力開關故障，引壓管泄露，現場儀表接線，接線端子松動、腐蝕、接觸不良，信號線斷路、短路，輸入端子保險損壞，變送器零點漂移過大，線性度變差，變送器泄露，膜盒腐蝕，電路板故障等，雙法蘭變送器法蘭膜片腐蝕失效等。

（二）安全儀表控制系統故障

安全儀表控制系統種類比較多，各個控制系統硬件設備，網絡架構均不相同。一般來說，安全儀表系統本身出現的故障概率較低。常見的SIS控制系統故障如下：

輸入FTA端子板通道故障，端子板老化，輸入卡件故障，輸出卡件故障，輸出FTA通道故障，系統網絡故障，安全故障，控制器故障，操作站死機，黑屏，以及操作站PC機故障，以及操作站、控制系統感染病毒，系統電壓波動造成現場閥門，機泵誤動作等。

（三）執行器部分故障

執行器部分的故障主要是電磁閥不動作，開關閥不動作或者開關不到位，帶電磁閥附件的調節閥不動作，或誤動作，閥門關不嚴存在內漏，閥門填料處外漏，閥蓋與閥體連接處泄露，閥體存在沙眼造成泄露;或者繼電器觸點不動作，去電氣繼電器損壞誤動作等。

三、提高安全儀表系統可靠性的措施

（一）選擇可靠性高的儀表控制系統

目前，隨著電子技術的飛速發展，各種安全儀表系統不斷更新換代，產品型號越來越多，尤其是儀表控制系統的國產化，可供選擇的安全儀表系統種類比較多，給產品選型帶來較大的困難。一般根據實際經驗，要根據生產裝置的具體防護等級，選擇技術先進、性能安全可靠、在同行業或同類裝置中取得良好業績和口碑的安全儀表系統。一般要遵循以下原則：

1.所選系統要取得SIL安全等級認證，在煉化企業一般采用具有SIL 3等級的SIS系統。

2.系統要具備硬件和軟件自診斷，以及報警輸出、SOE記錄功能。控制器采用雙冗余、三重冗余或四重冗余結構，具備在線更換卡件處理故障功能。

3.系統具有獨立完成安全保護功能。具備與其他控制系統通信功能，有通用的通信接口。

針對目前裝置安全儀表系統部分出現問題較多的是IO卡件報警、網絡中斷、操作站PC壞等故障情況，提出相關建議及措施：

（1） 對有故障報警的IO卡件分析原因，確因卡件本身故障，要及時聯系廠家對卡件進行檢測，找出故障原因。若同類型卡件頻繁出現報警故障，要考慮更換性能更穩定的同廠家同類型其他型號卡件。

（2） 安全儀表系統供電電源要求有穩定的UPS電源供應，電源采取冗余配置。防止因電源失電或者電壓波動范圍過大，使控制系統失電或現場閥門失電動作，造成裝置非計劃停工，從而帶來經濟損失。

目前采用電源配置方案主要有：市電+UPS、雙UPS電源、雙UPS+快切電源、市電+雙UPS+快切電四種供電方式，建議新建裝置最好采用市電+雙UPS+快切電方式。在設計電源配置過程中，要充分考慮到現場儀表功率負荷問題。如若現場有大功率儀表運行，要考慮單獨增加一路UPS供其工作，與儀表控制系統電源獨立開來。如某柴油加氫裝置因新增一臺在線硫分析儀，該分析儀實際運行功率達到8KW，利用機柜室電源柜的UPS2對其供電后，導致UP2電流達到20A，且波動幅度達到2A，而UPS1電流指示僅為10A。分析是該分析儀加熱器功率大，且是間歇式工作，導致其供電UPS2電流大幅波動。

（3） 安全儀表系統要有可靠、通用的通信接口。目前控制系統與上位機通信采用以太網形式進行連接，與其他DCS、PLC連接主要采用RS485通信。根據聯鎖系統獨立原則，建議與其他系統進行通信加防火墻等病毒隔離措施，防止因其他系統的病毒入侵安全儀表系統，導致聯鎖誤動作。安全儀表系統組態使用專用U盤備份，做到專人保管。

安全儀表系統軟件建議增加數據緩沖和數據恢復功能。系統具有網絡檢測機制，一旦檢測到網絡中斷故障，系統數據庫接口軟件自動在系統中開辟內存和硬盤空間緩存實時數據，同時檢測網絡是否連通，待通信正常后，接口軟件對數據進行整合，并按時間順序重新發送緩存的數據，從而保障安全儀表系統數據通信的完整性。

（4） 聯鎖信號分布要通過風險分散來提高安全儀表系統的可靠性。對參與聯鎖的儀表信號點，如二取二、三取二聯鎖儀表信號點，要在組態里分布到同類型的不同IO卡件中去，避免因某塊IO卡故障或對應的FTA端子板故障造成聯鎖停車事故。

（5） 操作站PC機要有同型號的備用機，并做好硬盤備份。目前工業用PC機更新換代太快，現有的安全儀表系統，以及組態監控軟件不能滿足新PC機的安裝要求，常導致操作站PC 機損壞后，無合適機型來安裝軟件恢復其操作站功能。要做好整個硬盤備份工作，減少操作站恢復工作程序及降低工作難度。

（二）提高聯鎖信號的可靠性

現場檢測儀表作為聯鎖信號的輸入源，對聯鎖系統的可靠性影響很大。據相關安全儀表系統故障的隨機概率分析，在系統總故障中，95%是來自外部故障，只有5%故障發生在控制器系統。可見要提供安全儀表系統的可靠性，最重要的提高現場儀表與閥門工作性能的可靠性。

1.盡量少選用觸點開關儀表

國產觸點開關儀表可靠性差，不適合做為安全儀表系統的測量元件，進口觸點開關工作性能穩定，動作可靠，但存在長期使用后元件老化，可靠性下降。一般盡量用性能更穩定的壓力變送器、熱電偶、熱電阻代替壓力開關、溫度開關。通過在組態里設定壓力、溫度量程以及聯鎖設定點，以內部軟觸點實現聯鎖信號輸入功能。克服了現場觸點開關因現場環境惡劣導致觸點開關功能性能差等不利因素，避免了聯鎖誤動作。如避免不了用觸點開關儀表，應采用常閉觸點開關儀表。

2.減少儀表聯鎖信號的干擾問題

儀表信號干擾有兩個來源：分別是儀表電子元件抗干擾性差和儀表未可靠接地。

針對前種情況，因選用性能更好的儀表來代替。在實際生產中，一般會碰到儀表信號出現階躍信號，若經判斷是干擾信號，可適當對信號加延時，避免因信號干擾造成聯鎖誤停機。如某重整裝置再生風機K8301在一段時間內經常發生風機振動大導致聯鎖停機事故發生，該聯鎖信號是一取一聯鎖停機，根據判斷應該是該振動探頭不耐電機側的高溫，導致該振動探頭信號不穩定所致，雖做防高溫措施，但效果不理想。經過分析，決定在邏輯程序組態里，對其信號延時2s再參與聯鎖，投入使用后，未再發生干擾信號聯鎖停機事故。

儀表信號線要有可靠的接地措施。一般采取在儀表室內對儀表信號線的屏蔽進行接地，保證接地的統一性，避免多點接地造成接地間存在電勢差。對參與聯鎖的儀表，其信號線要避免采用多芯電纜進行接線。應采用獨立的兩線制或三線制帶屏蔽軟電纜連接。如某柴油加氫裝置機組信號電纜采用多芯電纜連接，經常因聯鎖信號誤報導致聯鎖停機事故。后改為1*2*1.5屏蔽軟電纜連接后，未再有類此事故發生。

3.對聯鎖儀表采用冗余配置

根據SIL等級要求，應該對參與聯鎖的儀表進行冗余配置。SIL2等級SIS系統宜采用冗余的傳感器，SIL3等級SIS系統應采用冗余的傳感器。采取二取二、三取二方式，保證儀表信號采集的可靠性，避免因現場單臺儀表失電或故障引起系統聯鎖。

4.盡量減少儀表信號的中間轉換環節

根據SIS系統的安全獨立性原則，要盡量避免DCS系統或其他系統與SIS系統的連接。因DCS處理的信息多，測量點多，控制運算量大，與SIS系統的CPU掃描周期，執行周期不同，容易產生故障信號發出。參與聯鎖的儀表信號要直接從現場一次測量儀表采集，避免從DCS控制系統采集聯鎖信號做儀表聯鎖系統的輸入信號。若DCS需要采集該聯鎖儀表信號，可在機柜內采取一輸入兩輸出安全柵實現，或者通過與SIS系統通信來獲取儀表信號數據。

盡量減少室內端子排的連接，根據裝置特點，通過安全柵或繼電器隔離后，直接接入控制系統的FTA端子板。對于聯鎖儀表的信號線，要避免通過現場接線箱接入室內，降低儀表信號故障率。

（三）提高執行器部分的可靠性

根據安全儀表聯鎖系統要求，對現場的電磁閥、帶電磁閥的調節閥、切斷閥要進行適當冗余配置。

1.對關鍵的切斷回路要串聯安裝2臺切斷閥。如某加氫裝置循環氫壓縮機防喘振閥采用防喘振電動閥MV11803和防喘振調節閥FV17001串聯一起參與聯鎖控制。

2.對關鍵的放空回路，其切斷閥的電磁閥要冗余配置。如某加氫裝置緊急放空閥XV11701采用雙電磁閥配置。對關鍵的切斷閥要設置備用儲風罐，以保證因裝置無風情況下保證閥門運行到安全狀態，保障裝置生產、設備及人身安全。

3.電磁閥要選擇故障安全型，且具備防爆功能、低功耗。一般室外電磁閥供電采用從室內儀表控制系統供24V DC，若電磁閥功率大，考慮到線路電阻、繼電器電阻等因素，會導致電磁閥驅動電壓不高，易造成電磁閥誤動作。

4.對參與電氣機泵啟停的聯鎖輸出信號點，要采取中間繼電器對信號進行隔離，其繼電器設置為故障安全性。

5.一個DO輸出點對應一個繼電器的一對觸點，嚴禁一個DO點輸出，驅動一個繼電器的多個觸點輸出，分別控制現場的不同閥門。

四、結語

影響儀表安全儀表系統可靠性的因素不只是本文所列舉的部分，但基本可以從現場檢測、邏輯控制系統、執行器三部分進行分析，不斷在安全儀表系統的使用過程中發現問題，解決問題，總結相關經驗，提出解決措施。除了在系統設計上完善相關措施外，更要求在安全儀表系統的維護上嚴格遵守相關規章制度，規范作業程序，加大巡檢力度，重視聯鎖系統報警，提前發現相關儀表信號異常點，以及安全儀表控制系統卡件，網絡等故障并立即處理，避免因聯鎖停車造成非計劃停工，減少經濟損失。

參考文獻：

[1]王子平.緊急停車聯鎖系統的可靠性設計[J].煉油化工自動化，1997（1）：24-30.

[2]王樹青，樂嘉謙，自動化與儀表工程師手冊[M].北京：化學工業出版社，2010.