張洪民

(上海西門子工業(yè)自動化有限公司，上海 200030)

0 引言

隨著計算機技術(shù)的迅速發(fā)展，儀表控制系統(tǒng)逐漸向數(shù)字化、網(wǎng)絡化、模型化、智能化、微型化方向發(fā)展，以滿足石油化工企業(yè)技術(shù)水平日益提高的要求。在現(xiàn)有信息系統(tǒng)的基礎上，石化行業(yè)進一步向大型化、復雜化、綜合化、集成化、信息化的方向發(fā)展［1-4］。

安全儀表系統(tǒng)主要用于控制在系統(tǒng)關(guān)閉后立即達到安全狀態(tài)的過程，它超越了常規(guī)安全系統(tǒng)，全新啟用了可擴展至電子驅(qū)動和測量系統(tǒng)的遠程智能控制系統(tǒng)。該系統(tǒng)可以實現(xiàn)一組故障安全保障功能，當其中一個或多個自動化裝置發(fā)生故障時，該系統(tǒng)能夠保持安全功能不丟失。本文主要以西門子的F系統(tǒng)為例，就故障安全控制系統(tǒng)在石油化工工業(yè)生產(chǎn)過程中的應用與具體設計及實施加以詳述。

1 項目簡介

1.1 案例介紹

本案例屬中國石油天然氣總公司撫順石化公司千萬噸煉油、百萬噸乙烯項目，為中國石油特大型煉油化工一體化項目。該項目集中了1 000萬t/a原油加工、煉油結(jié)構(gòu)調(diào)整技術(shù)改造工程、100萬t/a乙烯技術(shù)改造工程、熱電廠擴能改造工程及配套項目等。這些項目分別立項又相互聯(lián)系。

該一體化項目是中國石油東部地區(qū)戰(zhàn)略部署的重點項目。目前，煉油部分常減壓、焦化加氫聯(lián)合等所有裝置已經(jīng)成功投運，乙烯部分前期如乙烯裝置已經(jīng)開車運行，其他(如三聚等裝置)正在陸續(xù)投運過程中，預計到2013年上半年項目完成整體投產(chǎn)。

1.2 簡要工藝介紹

煉油過程簡要地說就是從原油里提煉出各種石油產(chǎn)品的過程，一般需要經(jīng)過多個物理和化學反應階段。通常每個煉油過程都相對獨立地組成一個煉油生產(chǎn)裝置。

煉油生產(chǎn)裝置按生產(chǎn)目的分為原油分離裝置、重油輕質(zhì)化裝置、油品改質(zhì)及油品精制裝置、油品調(diào)和裝置、氣體加工裝置、制氫裝置、化工產(chǎn)品生產(chǎn)裝置以及產(chǎn)品分析檢測中心等。

輔助設施主要包括:供電系統(tǒng)、供水系統(tǒng)、供水蒸氣系統(tǒng)、原油和產(chǎn)品儲運系統(tǒng)以及三廢處理系統(tǒng)等。

簡要煉油工藝生產(chǎn)流程框圖如圖1所示。

圖1 煉油工藝流程框圖Fig.1 Block diagram of the oil refining technological process

2 項目及系統(tǒng)結(jié)構(gòu)

本項目全部采用Siemens PCS7控制系統(tǒng)，其中DCS使用S7-417H全冗余CPU，SIS使用S7-417FH容錯型全冗余CPU，容錯(F)和冗余(H)兩者相互獨立又相輔相成。

煉油項目包括1個中央控制室(central control room，CCR)和 12個就地/遠程控制室(field control room，F(xiàn)CR)。

整個系統(tǒng)的結(jié)構(gòu)可以分為以下3層。

①控制器層:通過現(xiàn)場總線實現(xiàn)對現(xiàn)場儀表的監(jiān)測和輸出控制。

②系統(tǒng)網(wǎng)絡層:操作員單站通過系統(tǒng)網(wǎng)絡將所有現(xiàn)場控制器、服務器、工程師站連接在一起，工程師站通過系統(tǒng)總線可將組態(tài)數(shù)據(jù)下載到控制器。

③終端網(wǎng)絡層:所有服務器、客戶機操作員站通過終端網(wǎng)絡層連接在一起，客戶機操作員站通過服務器獲得控制器層的數(shù)據(jù)，并將操作員指令傳達到控制器。

以煉油裝置為例，項目網(wǎng)絡結(jié)構(gòu)如圖2所示。

圖2 網(wǎng)絡結(jié)構(gòu)圖Fig.2 Structure of the network

煉油項目在CCR中共有4對冗余服務器、61個DCS客戶機操作站、5個SIS客戶機操作站、12個工程師站、2個資產(chǎn)管理站、1個OPC服務器、1個中央歸檔服務器、2個Web服務器、1個防病毒服務器以及5臺打印機。

在每個FCR中，配置有1個工程師站、1個操作員站、1個資產(chǎn)管理站、1個OPC服務器和1臺打印機。

在CCR和FCR中，均由Siemens工業(yè)級以太網(wǎng)交換機SCALANCE X414-3E構(gòu)成兩級數(shù)據(jù)傳輸速率為1Gbit/s環(huán)型網(wǎng)絡的系統(tǒng)總線與終端總線。當環(huán)型網(wǎng)絡的某一個節(jié)點出現(xiàn)故障時，網(wǎng)絡會在0.3 s內(nèi)重建通信通道。

現(xiàn)場系統(tǒng)總線與中控室系統(tǒng)總線之間通過冗余光纜連接，通信速率為100 Mbit/s。其中任意一個可設為熱備主站，另一個設為熱備從站。當主站通信中斷時，系統(tǒng)自動切換到從站通信。中控室中的工程師站和操作員站一方面提供工程操作和數(shù)據(jù)歸檔功能;另一方面，當中控室發(fā)生通信故障時，分布在就地控制室中的工程師站和操作員單站可提供后備操作。

3 故障安全控制系統(tǒng)

在復雜的過程工業(yè)生產(chǎn)過程中，自動化系統(tǒng)必須做到完全無故障地運行，任何一個故障都有可能帶來致命后果。因此，必須最大程度地加以避免。為了可靠地避免風險和消除危險源，生產(chǎn)過程中應包括安全設計。

安全設計的首要目標是通過使用相應的技術(shù)和設備，將人員、裝置和環(huán)境所面臨的危險降到最低程度，而不會對生產(chǎn)過程產(chǎn)生限制。因此，其對所謂的功能安全性具有很高的要求。為了實現(xiàn)功能性安全，需要采用可靠的安全控制系統(tǒng)，在設備發(fā)生故障時將工廠置于安全狀態(tài)。

3.1 安全控制系統(tǒng)分類

安全控制系統(tǒng)按照其作用和特點，大致可分為緊急停車系統(tǒng)和儀表保護系統(tǒng)［5-10］。

緊急停車系統(tǒng)(emergency shutdown device，ESD)，這種專用的安全保護系統(tǒng)是20世紀90年代發(fā)展起來的，它以高可靠性和靈活性而受到一致好評。緊急停車系統(tǒng)對石油化工生產(chǎn)裝置可能發(fā)生的危險或繼續(xù)惡化的狀態(tài)進行及時響應和保護，使生產(chǎn)裝置進入一個預定義的安全停車工況，從而使危險降低到可以接受的最低程度，以保證人員、設備、生產(chǎn)和裝置的安全。

ESD的主要特點如下。

①高可靠性和高可用率兼?zhèn)?，具有完善的自診斷功能，系統(tǒng)可用率達到99.999%。

②具備監(jiān)控、顯示、打印、報警、歷史數(shù)據(jù)貯存等功能。

③系統(tǒng)組態(tài)靈活。

④編程方便、通信功能強。

安全儀表系統(tǒng)(safety instrumentation system，SIS)，是一個功能相對獨立的安全系統(tǒng)，它由傳感器、控制器和執(zhí)行器等部件組成，主要用于實現(xiàn)以下3個功能。

①關(guān)斷:當?shù)竭_一個預定義的條件時，過程裝置自動進入一個安全狀態(tài)。

②容錯:在定義的條件下，裝置能夠安全運行。

③降低安全事件的影響:安全事件的可能后果被降到最低程度，因而得到限制。

儀表保護系統(tǒng)(instrumentation protective system，IPS)，是一個主要以過程儀表為主導的安全保護系統(tǒng)。

3.2 安全完整性等級

安全完整性等級(safety integrity level，SIL)，是指在一定的時間內(nèi)對一個安全儀表系統(tǒng)能夠正常執(zhí)行安全儀表功能(safety instrumentation function，SIF)的概率的一種量度，它是用于一種描述風險控制的措施。

較高的SIL等級對應的風險程序更低，使用經(jīng)過認證的安全部件有助于確保SIF符合所需的SIL。

SIL列表如表1所示。

表1 SIL列表Tab.1 List of SIL

4 西門子SIS系統(tǒng)

4.1 系統(tǒng)硬件配置

在撫順石化煉油項目中，SIS系統(tǒng)的控制器采用S7-417FH容錯型全冗余CPU;F-AI模塊型號為6ES7 336-4GE00-0AB0(具有HART功能的6通道模擬量信號輸入模塊);F-DI模塊型號為6ES7 326-1BK01-0AB0(12或24通道數(shù)字量信號輸入模塊);F-DO模塊型號為6ES7 326-2BF01-0AB0(10通道數(shù)字量信號輸出模塊)。以上系統(tǒng)硬件包含的控制器和I/O模塊均符合TüV規(guī)范認證，并可達到SIL3安全等級。

4.2 系統(tǒng)通信

西門子F系統(tǒng)的通信采用安全機制下的ProfiIsafe進行通信，內(nèi)置雙處理器的智能故障安全I/O模塊，使得由單個CPU、單路總線和單路I/O模塊構(gòu)成的單系統(tǒng)即可滿足IEC 61508 SIL3(DIN AK6)的安全等級要求。通信原理如圖3所示。

圖3 Profisafe通信原理圖Fig.3 Profisafe communication principle

故障安全I/O模塊內(nèi)置雙路處理器及診斷電路，保證了模塊的任何軟件故障均可被診斷出來，診斷率高達99.9%。

Profisafe電路原理如圖4所示。

圖4 Profisafe電路原理圖Fig.4 Profisafe circuitry principle

Profisafe標準故障安全通信協(xié)議是目前世界上唯一通過德國BIA-聯(lián)邦勞動安全研究所和TüV-德國技術(shù)監(jiān)督聯(lián)合會認證的故障安全通信協(xié)議標準。以西門子為首的25家世界知名企業(yè)參與了Profisafe應用行規(guī)的制訂和產(chǎn)品開發(fā)。Profisafe的誕生標志著故障安全通信技術(shù)標準化和開放化的歷史性進展，它為不同廠家的故障安全產(chǎn)品(包括控制系統(tǒng)、總線設備、現(xiàn)場儀表和執(zhí)行機構(gòu)等)提供了相同的通信平臺。

Profisafe行規(guī)在設備和系統(tǒng)內(nèi)作為一個附加軟件應用層被執(zhí)行，不會改動標準Profibus的通信機制。Profisafe通過附加信息進行報文擴展，對延遲、不正確的序列、重復、損失、錯誤尋址或數(shù)據(jù)虛假等通信錯誤進行糾正，為每個通信設備執(zhí)行故障檢測措施，Profisafe安全通信原理如圖5所示。Profisafe通信符合安全標準，并高達SIL3。

圖5 Profisafe安全通信Fig.5 Profisafe safe communication

4.3 軟件配置及PCS7組態(tài)設置

撫順石化煉油乙烯項目的軟件配置如下:組態(tài)編程軟件采用PCS7 V7.0 SP3，F(xiàn)系統(tǒng)功能庫軟件采用S7 F-Systems V6.0以及西門子F系統(tǒng)專用工具軟件Safety Matrix V6.1。

西門子F系統(tǒng)的CPU首先要激活安全功能，設置密碼保護，同時還要定義一個過程映像區(qū)作為安全程序的循環(huán)組織塊(organize block，OB)存放區(qū)，并且定義安全程序的過程映像區(qū)的優(yōu)先級必須大于15，這樣可保證安全程序在F系統(tǒng)中始終處于最優(yōu)先掃描與執(zhí)行狀態(tài)。

西門子F系統(tǒng)的I/O模塊包括 AI、DI和DO這3部分，模塊物理地址須參考硬件組態(tài)中的地址參數(shù)進行設置;I/O模塊參數(shù)屬性設置包括故障診斷(diagnostic interrupt)、HART 通信接口(HART gate)、傳感器評估模式(evaluation of the sensors)為一取一(1oo1)或二取一(1oo2)、斷線檢測(F-wire break detection)等。

西門子F系統(tǒng)的F-AI模塊具有HART功能，可通過在硬件設置中添加HART儀表，并激活屬性中的HART功能來實現(xiàn)對現(xiàn)場HART儀表信號的采集與處理。詳細參數(shù)設置包括激活F-AI模塊的HART功能(HART function on)以及打開HART信號的組診斷(HART group diagnostics)等。另外，現(xiàn)場HART智能儀表的參數(shù)可通過西門子專用工具過程設備管理(Simatic PDM)來進行遠程配置，并可與Simatic PCS7進行無縫連接。相關(guān)功能介紹請參考西門子PCS7隨機幫助文檔Simatic PDM-Manual。

4.4 功能實現(xiàn)與軟件設計

西門子F系統(tǒng)軟件功能的實現(xiàn)利用了 S7 F Systems中提供的F library以及用于 S7-400FH控制器組態(tài)與編程的專用工具安全矩陣Simatic Safety Matrix。

帶有F library和 Safety Matrix的F系統(tǒng)通過組態(tài)，可以實現(xiàn)對 S7-400FH系統(tǒng)和 ET200系列中安全模塊的參數(shù)化。

F功能庫的訪問通過密碼加以保護，集成在 S7 F Systems中的F功能塊庫包含預定義的安全功能塊，CFC或Simatic Safety Matrix以此為基礎生成安全應用;經(jīng)過認證的F功能塊可以防止被零除或數(shù)值溢出等程序錯誤，并進行錯誤檢測和響應，完成各種安全編程任務。

4.4.1 連續(xù)功能塊圖CFC

連續(xù)功能塊圖(CFC)用于實現(xiàn)SIS系統(tǒng)聯(lián)鎖邏輯功能，其特點如下。

①相比標準PCS7系統(tǒng)，F(xiàn)模塊具備安全鈍化功能，在CFC中可以設置手/自動去鈍化以及手/自動確認。

②F模塊的循環(huán)掃描周期放在優(yōu)先級大于15的循環(huán)OB中，相對應的安全程序也要放在相同的循環(huán)OB中，而與驅(qū)動功能塊相關(guān)的安全程序要放在相同的循環(huán)OB分組中。

③CFC中同一個CPU的安全程序最好放在相同的關(guān)斷分組(shutdown group)里，這樣便于程序的統(tǒng)一管理和維護。如果放在不同的關(guān)斷分組下，則還需要建立相應的通信連接。

4.4.2 安全矩陣

西門子安全矩陣(Simatic Safety Matrix)是西門子的一個創(chuàng)新安全生命周期工具，它可對安全應用進行組態(tài)、運行和維護。該工具基于成熟的“原因與結(jié)果”矩陣原理，非常適用于確定的狀態(tài)需要特定安全響應的過程。

Simatic Safety Matrix不僅可使安全邏輯的編程大大簡化，而且也使編程速度顯著加快常規(guī)方法、更加高效。在對工廠進行風險分析時，組態(tài)工程師可以將精確定義的反應(結(jié)果)分配給過程中可能發(fā)生的事件(原因)。

可能的過程事件(輸入)開始時被輸入到與一個電子表格相似的矩陣表的水平行中，然后對它們的類型和量、邏輯運算、延遲和聯(lián)鎖以及可以承受的故障進行組態(tài);隨后在垂直列中對分配給某個特定事件的反應(輸出)進行定義。

Safety Matrix符合IEC 61508，其安全等級標準高達SIL3。

Safety Matrix的結(jié)構(gòu)由原因、結(jié)果及交叉點組成。原因為過程輸入變量，結(jié)果為過程響應，交叉點定義原因和結(jié)果的邏輯關(guān)系。

事件和反應可通過簡單地單擊行和列交叉點處的單元格來進行鏈接。通過這一步驟，Safety Matrix會自動生成復雜的安全相關(guān)CFC程序，組態(tài)工程師無需專門的編程知識，可以將精力完全集中于工廠的安全要求上。

Safety Matrix的功能結(jié)構(gòu)包括以下3項。

①原因行:可實現(xiàn)一些功能相對簡單的邏輯關(guān)系，如與、或、三取二等。

②結(jié)果列:可設置旁路、強制對輸出進行賦值等。

③交叉關(guān)系點:有多種邏輯模式可以選擇，如N、S、R等，并可進行有效合理組合。

Safety Matrix的特點如下。

①使用“原因與結(jié)果”方法簡化組態(tài)編程。

②可完全集成到Simatic PCS7中，并可自動生成CFC。

③集成旁路、復位、超弛和參數(shù)修改等完整的操作功能。

④初始報警和順序事件的顯示和保存。

⑤完整的修改跟蹤以及對修改自動記錄歸檔。

⑥自動保存操作員干預。

通過可以在Simatic PCS7操作員站上使用的Simatic Safety Matrix Viewer工具，在運行過程中簡便而直觀地實現(xiàn)安全應用的運行與監(jiān)控。狀態(tài)信號可在“原因與結(jié)果”矩陣中在線顯示。

操作員可以顯示和保存初始信號，還可記錄相關(guān)安全事件;支持對參數(shù)的改變，如旁路、復位和超弛等。

4.5 人機顯示及操作

采用西門子專用工具Safety Matrix Viewer，使得實時動態(tài)聯(lián)鎖因果表中的事件顏色改變清晰直接，使SIS系統(tǒng)的聯(lián)鎖邏輯在上位機(如WinCC)畫面上清楚地表達出來;也可以將聯(lián)鎖過程用動態(tài)聯(lián)鎖邏輯圖的形式來表示，輔以事件動態(tài)顏色線標。以上兩種實現(xiàn)方式各有優(yōu)勢，可根據(jù)需要選擇使用。

考慮到SIS系統(tǒng)的安全性，該系統(tǒng)的操作需要安全級別較高的操作者來核定完成。系統(tǒng)將具體操作權(quán)限分配給兩級不同操作級別的操作者(如操作員和班長)，經(jīng)過兩者分別確認后方可進行安全系統(tǒng)的操作。

4.6 SOE 功能

西門子SIS系統(tǒng)的F-DI模塊具備時間標簽(time stamp)屬性，可以將過程開關(guān)量的每一次階躍變化記錄到數(shù)據(jù)通信卡(ET200M)中，并通過ET200M將時間標簽上傳到AS控制器，在上位機WinCC上將事件加以記錄并顯示。

借助于西門子SICLOCK GPS時鐘所提供的時間源，可以通過設置時鐘同步來保證整個系統(tǒng)時間的一致性;同時系統(tǒng)提供事件順序記錄(sequence of event，SOE)的分辨率可以精確到1 ms。

5 項目運行情況

中石油撫順石化煉油和乙烯項目DCS/SIS系統(tǒng)自2008年初開始在煉油項目中的常減壓和焦化加氫聯(lián)合裝置中投用，其他裝置如加氫煉化、硫磺回收與酸性水、水處理、乙烯、三聚、公用工程等也已相繼投用。目前系統(tǒng)整體運行穩(wěn)定，用戶對系統(tǒng)的可靠性、實用性給予了充分認可;而在生產(chǎn)過程中，SIS系統(tǒng)對于生產(chǎn)的順利進行及安全保障起到了至關(guān)重要的作用，其安全功能通過實踐也得到了驗證。

6 結(jié)束語

2012年10月28日，中石油撫順年產(chǎn)百萬噸乙烯裝置，僅僅用了60 h就開車成功。這是到目前為止中石油乙烯裝置最好的開車記錄。項目總I/O點數(shù)超過80 000點，由西門子公司提供全部DCS/SIS產(chǎn)品及工程服務。千萬噸煉油、百萬噸乙烯項目的成功實施，不僅是Siemens PCS7產(chǎn)品和功能的集大成應用，也是西門子公司超大型石油化工項目工程能力的體現(xiàn)，更是西門子SIS系統(tǒng)故障安全保護功能的完美展現(xiàn)。

鑒于目前國家和企業(yè)對于安全生產(chǎn)重視程度的逐漸提高，每個過程工業(yè)生產(chǎn)項目都會配置一套或多套安全系統(tǒng)做為生產(chǎn)運行的安全保障。西門子的故障安全控制系統(tǒng)以其方便靈活的組態(tài)、安全可靠的應用得到了國內(nèi)外眾多用戶的青睞。隨著故障安全系統(tǒng)在工業(yè)生產(chǎn)控制領(lǐng)域中應用的逐漸增加，其安全性設計和功能也將進一步趨于完善。

［1］秦仲雄.石油化工裝置應用ESD淺見［J］.石油化工自動化，2002(6):14-19.

［2］錢伯章.緊急停車系統(tǒng)在催化裂化裝置上的應用［J］.煉油技術(shù)與工程，1995(6):68-69.

［3］ 劉喜臣.緊急停車系統(tǒng)［J］.化工設計，1998(6):45-47.

［4］王學超.緊急停車系統(tǒng)安全性及可用性若干問題探討［J］.石油化工自動化，2004(1):7-10.

［5］朱小本，孟祥生.緊急停車及安全聯(lián)鎖系統(tǒng)設計［J］.石油規(guī)劃設計，2006(17):44-46.

［6］繆煜新.石油化工裝置中SIS的安全功能［J］.石油化工自動化，2004(3):10-20.

［7］路紅梅.安全PLC系統(tǒng)是ESD系統(tǒng)的優(yōu)先選擇［J］.化工自動化及儀表，2001(2):55-57.

［8］范圍劍.西門子PCS7在CFB電站循環(huán)液化床鍋爐上的應用［J］.工控通訊，2006(1):21-23.

［9］崔堅，李佳.西門子工業(yè)網(wǎng)絡通信指南［M］.北京:機械工業(yè)出版社，2004:98-108.

［10］柳杰.西門子1 ms SOE解決方案［C］//西門子自動化應用論文集，2006:384-388.

［11］袁德平.OPC技術(shù)在PROFIBUS現(xiàn)場總線中的研究與應用［D］.成都:西南交通大學，2004.

［12］周侗，徐皚東，于海斌，等.現(xiàn)場總線工業(yè)控制系統(tǒng)信息集成技術(shù)研究［J］.儀表儀器學報，2005，26(8):557-560.

［13］王豐.基于Profibus的PLC控制系統(tǒng)的網(wǎng)絡組態(tài)與應用［J］.自動化儀表，2003，24(6):54-55.

［14］唐盛，袁佑新，郝艷杰，等.基于現(xiàn)場總線的分布式控制系統(tǒng)設計［J］.儀器儀表學報，2004，25(4):847-848.