DCS與SIS在功能安全領(lǐng)域的對比分析

劉安琪，王效天，董梅

DCS與SIS在功能安全領(lǐng)域的對比分析

劉安琪1，2，王效天3，董梅4

(1. 中國石油安全環(huán)保技術(shù)研究院，北京 102206；2. 中國石油大學(xué)(華東)化學(xué)工程學(xué)院，山東 青島 266580;3. 中國石油大學(xué)(華東)機(jī)電工程學(xué)院，山東 青島 266580；4.青島歐賽斯環(huán)境與安全技術(shù)有限責(zé)任公司，山東 青島 266555)

針對目前石化企業(yè)將裝置聯(lián)鎖設(shè)置在分散控制系統(tǒng)(DCS)中，未設(shè)置獨(dú)立安全儀表系統(tǒng)(SIS)的情況，參照國內(nèi)外相關(guān)標(biāo)準(zhǔn)對DCS與SIS系統(tǒng)在功能設(shè)計、儀表選型和日常維護(hù)狀況方面進(jìn)行對比，結(jié)合裝置聯(lián)鎖設(shè)置現(xiàn)狀實(shí)例，分析現(xiàn)狀存在的潛在危險性，并提出相應(yīng)的改進(jìn)建議，為企業(yè)進(jìn)行SIS的優(yōu)化提供參考借鑒，提高了企業(yè)的本質(zhì)安全水平，保障裝置的運(yùn)行安全。

安全儀表系統(tǒng) 集散控制系統(tǒng) 功能安全 保護(hù)層分析

安全儀表系統(tǒng)SIS(safety instrumented system)是由傳感單元、邏輯控制單元、執(zhí)行機(jī)構(gòu)組成的能夠行使一項或多項安全儀表功能(SIF)的儀表系統(tǒng)[1]。近年來，功能安全評估成為研究的熱點(diǎn)，而中國功能安全評估研究起步較晚，相關(guān)標(biāo)準(zhǔn)普及不高，導(dǎo)致許多企業(yè)在SIS設(shè)置上存在安全隱患。人們常認(rèn)為安裝了SIS就能達(dá)到安全要求，卻忽略了SIS在結(jié)構(gòu)設(shè)置、儀表選型及軟件等方面的問題。國外對SIS的研究較早，陸續(xù)出臺了一系列相關(guān)國際和國家標(biāo)準(zhǔn)，如IEC 61508《電氣/電子/可編程電子安全系統(tǒng)的功能安全》、IEC 61511《過程工業(yè)領(lǐng)域安全儀表系統(tǒng)的功能安全要求》及 ANSI/ISA S84—2004《各產(chǎn)業(yè)中安全儀表系統(tǒng)的應(yīng)用》等。國內(nèi)于2007 年引入IEC 61508/61511標(biāo)準(zhǔn)，并等同轉(zhuǎn)化為GB/T 20438—2006《電氣/電子/可編程電子安全系統(tǒng)的功能安全》、GB/T 21109—2007《過程工業(yè)領(lǐng)域安全儀表系統(tǒng)的功能安全要求》用于指導(dǎo)國內(nèi)的SIS安全完整性評估工作[2-3]。國內(nèi)許多企業(yè)的裝置建設(shè)較早，在進(jìn)行SIS的設(shè)計及安裝時未能按照GB/T 20438—2006及GB/T 21109—2007的要求實(shí)施。目前主要的問題是有些企業(yè)聯(lián)鎖回路設(shè)置在DCS中，未設(shè)置獨(dú)立的SIS。由于DCS沒有認(rèn)證要求，因而在進(jìn)行SIS的功能安全評估時，缺少驗(yàn)證數(shù)據(jù)，而無法進(jìn)行系統(tǒng)評估。

1 實(shí)例分析

以某甲醇低溫甲醇洗裝置的聯(lián)鎖設(shè)置情況進(jìn)行說明，低溫甲醇洗是一種新型的煤化工技術(shù)，是酸性氣脫除技術(shù)的首選技術(shù)[4]，作為目前國內(nèi)先進(jìn)的煤氣凈化工藝，它對酸性氣體有較高的吸收選擇性，并且凈化程度高。甲醇為有毒液體，并且易燃，裝置中工藝氣中含有氫氣、一氧化碳、硫化氫等易燃易爆氣體，一旦泄漏將有可能引起火災(zāi)、爆炸事故，對環(huán)境造成無法挽回的損壞[5]。本文根據(jù)企業(yè)資料，采用保護(hù)層分析(LOPA)方法對裝置23條聯(lián)鎖回路逐條進(jìn)行定級分析，分析步驟如圖1所示，聯(lián)鎖回路統(tǒng)計見表1所列。

圖1 SIL聯(lián)鎖回路定級分析過程示意

儀表位號SIL聯(lián) 鎖 描 述聯(lián)鎖輸出動作SISORDCSTT-16071ATT-16071BSIL2 甲醇/甲醇換熱器殼程出口溫度低低電磁閥失電,聯(lián)鎖復(fù)位;液位溫度低停泵,聯(lián)鎖需復(fù)位LV-16048關(guān)閉/P1603ABSISTT-16087SIL1 H2S分離器氣相溫度高高FSV-16020,FSV-16025失電閥門關(guān)閉聯(lián)鎖消除后需復(fù)位FV-16020,FV-16025關(guān)閉SISTT-16205ATT-16205BSIL2 火炬氣溫度低于-2℃時聯(lián)鎖觸發(fā)TV-16204A/B打開,聯(lián)鎖消除需復(fù)位,復(fù)位后閥關(guān)閉TV-16204A,TV-16204B打開SISLT-16032SIL1 甲醇閃蒸罐液位低低停泵,聯(lián)鎖需復(fù)位P1602A/B停止DCSLT-16043SIL1 H2S濃縮塔上塔液位低低停泵,聯(lián)鎖需復(fù)位P1601A/B停止DCSLT-16046SIL1 H2S濃縮塔下塔液位低低停泵,聯(lián)鎖需復(fù)位P1603A/B停止DCSLT-16082SIL1 氮?dú)馄崴何坏偷屯１?聯(lián)鎖需復(fù)位P1604A/B停止DCSTT-16023SIL1 進(jìn)尾氣洗滌塔尾氣溫度低低關(guān)閥,聯(lián)鎖需復(fù)位PV-16042關(guān)閉DCSLS-16057/58/59SIL1 甲醇收集罐液位低低停泵,聯(lián)鎖需復(fù)位P1605A/B停止DCSLT-16064SIL1 H2S分離器液位低低停泵,聯(lián)鎖需復(fù)位P1607A/B停止DCSLT-16029SIL2 循環(huán)氣閃蒸罐液位高高停閃壓機(jī),聯(lián)鎖需復(fù)位C1601停止DCSPT-16031SIL1 一段入口壓力低低停閃壓機(jī)C1601停止SISLT-16011SIL1 洗氨塔液位低低電磁閥失電,聯(lián)鎖需復(fù)位LV-16013關(guān)閉DCSPT-16008SIL1 低壓氮?dú)鈮毫Φ偷碗姶砰y失電,聯(lián)鎖需復(fù)位關(guān)閉FV-16034FV-16018DCSLT-16060SIL1 熱再生塔液位高高電磁閥失電,聯(lián)鎖需復(fù)位LV-16084關(guān)閉DCSLT-16074SIL1 尾氣洗滌塔液位低低電磁閥失電,聯(lián)鎖需復(fù)位FV-16027關(guān)閉DCS

2 SIS的獨(dú)立性要求

筆者在LOPA分析過程中，以上分析結(jié)果均基于保護(hù)層的獨(dú)立性原則，根據(jù)IEC 61511-1關(guān)于基本過程控制系統(tǒng)(BPCS)作為獨(dú)立保護(hù)層時有以下規(guī)定： 當(dāng)觸發(fā)條件是BPCS保護(hù)層防控的觸發(fā)源為BPCS本身時，應(yīng)確保觸發(fā)源與BPCS保護(hù)層之間的隔離和獨(dú)立，如圖2所示。

圖2 BPCS保護(hù)層與BPCS中觸發(fā)源之間的獨(dú)立性要求

在工程實(shí)踐中，很難達(dá)到圖2中所示的獨(dú)立性要求，因?yàn)镈CS中的冗余CPU通常采用“熱備用”機(jī)制，不具備圖中控制器1和控制器2之間的獨(dú)立性，除非配置2套DCS。因此，當(dāng)同一危險場景下，如果DCS控制故障，則設(shè)置在DCS中的相應(yīng)聯(lián)鎖就會失效。

GB/T 50770—2013《石油化工安全儀表系統(tǒng)設(shè)計規(guī)范》中規(guī)定了SIS設(shè)計的基本原則： SIS獨(dú)立于過程控制系統(tǒng)，獨(dú)立完成安全保護(hù)功能。國外

一些設(shè)計資料及規(guī)范中也提到在工業(yè)中將安全聯(lián)鎖系統(tǒng)與DCS分開。比如[6-7]： 英國健康與安全執(zhí)行委員會在《可編程電子系統(tǒng)在有關(guān)安全方面的應(yīng)用》中提到“強(qiáng)烈推薦提供將控制和保護(hù)分開的系統(tǒng)”；美國化學(xué)工程研究院在《化學(xué)過程的安全自動化導(dǎo)則》中提到“提供物理上和功能上的分離，并且將基本過程控制系統(tǒng)與安全聯(lián)鎖系統(tǒng)之間的邏輯運(yùn)算器、I/O模件和機(jī)架區(qū)別開來”；IEC TC65 WG10在《電氣/電子/可編程的有關(guān)安全系統(tǒng)》概況中提到“受控設(shè)備(EUC)控制系統(tǒng)應(yīng)是獨(dú)立的，并與有關(guān)安全系統(tǒng)和減少外部危險的設(shè)備分開”；ISA SP84在《用于安全應(yīng)用方面的可編程電子系統(tǒng)》中提到“用于控制的元件不能用于安全系統(tǒng)”，“某些過程可能要求多于一個安全系統(tǒng)保護(hù)層，每一個安全儀表系統(tǒng)(SIS)層必須與其他的SIS層完全分開和不相同”。美國核工業(yè)要求冗余的安全系統(tǒng)“應(yīng)是相互獨(dú)立的和物理上分開的”等法規(guī)及草案中都提到將SIS與DCS分開的意義。而如果用DCS來承擔(dān)SIS的任務(wù)，則相應(yīng)的要求水平較常規(guī)的過程控制系統(tǒng)更高、花費(fèi)也更大，因而都建議將SIS與DCS硬件獨(dú)立設(shè)置。

3 SIS與DCS的區(qū)別

SIS更關(guān)注對故障狀態(tài)的反應(yīng)速度，而DCS更關(guān)注的是過程處理。兩系統(tǒng)設(shè)計的出發(fā)點(diǎn)不同，SIS側(cè)重故障安全性組態(tài)，而DCS一般是非故障安全型。SIS與DCS的主要區(qū)別見表2所列。

表2 SIS與DCS的區(qū)別

將聯(lián)鎖設(shè)置在DCS中，不僅從硬件要求和軟件要求上無法滿足SIS的規(guī)定，在后期維護(hù)與保養(yǎng)上也區(qū)別于過程控制系統(tǒng)，GB/T 21109—2001第1部分中對SIS操作與維護(hù)的要求規(guī)定：“1) 應(yīng)編制安全儀表系統(tǒng)的操作和維護(hù)計劃；2) 應(yīng)根據(jù)相關(guān)的安全計劃編制制訂操作和維護(hù)規(guī)程；3) 應(yīng)根據(jù)相關(guān)規(guī)程進(jìn)行操作和維護(hù)；4) 應(yīng)就操作員所在領(lǐng)域內(nèi)的SIS功能和操作對他們進(jìn)行培訓(xùn)；5) 應(yīng)分析預(yù)計的和實(shí)際SIS行為之間的差異，必要時應(yīng)作修改以保持要求的安全；6) 應(yīng)編寫每個SIF回路的書面檢驗(yàn)測試規(guī)程，以便暴露診斷未檢測到的危險失效”。SIS修改和停用涉及的相應(yīng)信息及文檔要求，都從規(guī)定上展現(xiàn)了SIS與DCS的要求不同。

4 結(jié)束語

將聯(lián)鎖回路設(shè)置在DCS中，日常的操作與維護(hù)與過程控制系統(tǒng)一樣，降低了SIS的安全要求，導(dǎo)致相應(yīng)聯(lián)鎖回路安全功能的執(zhí)行存在隱患。SIS必須保證系統(tǒng)在故障狀態(tài)下是安全的，把安全性放在第一位；而DCS強(qiáng)調(diào)控制過程的可用性。從兩者的出發(fā)點(diǎn)看出其各自的職能所在，隨著安全儀表技術(shù)的發(fā)展及相應(yīng)法規(guī)的完善，更加規(guī)范和嚴(yán)格的要求會被提出，建議企業(yè)根據(jù)SIL評定結(jié)果，將執(zhí)行安全功能的聯(lián)鎖回路獨(dú)立設(shè)置，形成獨(dú)立的SIS，按照SIS管理方法進(jìn)行管理，保障裝置的平穩(wěn)運(yùn)行。

[1] 陽憲惠，郭海濤. 安全儀表系統(tǒng)的功能安全[M].北京： 清華大學(xué)，2007.

[2] 中國機(jī)械工業(yè)聯(lián)合會.GB/T 20438—2006 電氣/電子/可編程電子安全相關(guān)系統(tǒng)的功能安全[S].北京： 中國標(biāo)準(zhǔn)出版社，2006.

[3] 中國機(jī)械工業(yè)聯(lián)合會.GB/T 21109—2007過程工業(yè)領(lǐng)域安全儀表系統(tǒng)的功能安全[S].北京： 中國標(biāo)準(zhǔn)出版社，2007.

[4] 任智斌. 低溫甲醇洗工藝安全評價研究[D].鄭州： 鄭州大學(xué)，2014.

[5] 李桃娟. 16萬噸/年煤制油裝置中低溫甲醇洗技術(shù)的應(yīng)用分析[J]. 化學(xué)工程與裝備，2015(05)： 20-21.

[6] 顧祥柏，黃步余.安全聯(lián)鎖系統(tǒng)是否可在DCS中實(shí)現(xiàn)[J].煉油化工自動化，1995，31(01): 25-28.

[7] Mathur S K. Programmable Electronic Systems in Safety Related Lift Applications[C]//Computers and Safety. USA： A First International Conference on the Use of Programmable Electronic Systems in Safety Related Applications， 1989： 36-40.

[8] IEC. IEC 61508—2010 Functional Safety of Electrical/Electronic/Programmable Electronic Safety-related Systems[S]. Geneva： IEC，2010．

[9] 楊剛.定量評估DCS的可靠性[J].石油化工自動化，2014，50(02)： 1-5.

Comparative Analysis of DCS and SIS in Functional Safety Field

Liu Anqi1，2， Wang Xiaotian3， Dong Mei4

(1. CNPC Research Institute of Safety & Environment Technology， Beijing， 102206， China;2. College of Chemical Engineering， China University of Petroleum (East China)， Qingdao，266580， China； 3. College of Mechanical and Electronic Engineering， China University of Petroleum (East China)， Qingdao， 266580， China； 4. Qingdao Oasis Environment &Safety Technology Co. Ltd.， Qingdao， 266555， China)

s: Aiming at situation of installation interlocking setting in distributed control system (DCS )instead of independent safety instrumented system (SIS) in petrochemical enterprise，DCS and SIS are compared in aspects of function design， instrument selection and daily maintenance according to domestic and oversea relevant laws and regulations. Combined with actual situation of equipment interlocking， potential risk for present situation is evaluated. Corresponding improvements are proposed. Reference for optimization of SIS is provided for enterprise to improve intrinsic safety class and ensure safe equipment operation.

safety instrumented system; distributed control system; functional safety; protection layer analysis

劉安琪(1986—)，女，遼寧大連人，2011年畢業(yè)于中國礦業(yè)大學(xué)(北京)資源開發(fā)與規(guī)劃設(shè)計專業(yè)，獲碩士學(xué)位，現(xiàn)就職于中國石油安全環(huán)保技術(shù)研究院，從事安全環(huán)保政策研究工作，任工程師。

TP273

B

1007-7324(2017)02-0034-04

稿件收到日期： 2016-12-09，修改稿收到日期： 2017-01-15。