郭英才

中國(guó)化學(xué)工程第十一建設(shè)有限公司 河南開(kāi)封 475002

大多石油和化工生產(chǎn)過(guò)程具有高溫、高壓、易燃、易爆、有毒等危險(xiǎn)。當(dāng)某些工藝參數(shù)超出安全極限，未及時(shí)處理或處理不當(dāng)時(shí)，便有可能造成人員傷亡、設(shè)備損壞、周邊環(huán)境污染等惡性事故。這就是說(shuō)，從安全的角度出發(fā)，石油和化工生產(chǎn)過(guò)程自身存在著固有的風(fēng)險(xiǎn)。ESD 是Emergency shutdown System 的簡(jiǎn)稱，中文的意思是緊急停車系統(tǒng)，它用于監(jiān)視裝置的操作，如果生產(chǎn)過(guò)程超出安全操作范圍，可以使其進(jìn)入安全狀態(tài)，確保裝置具有一定的安全度。ESD 主要應(yīng)用于生產(chǎn)過(guò)程的聯(lián)鎖保護(hù)控制和停車控制以及裝置的整體安全控制；火焰和氣體檢測(cè)控制；鍋爐安全控制；燃?xì)廨啓C(jī)、透平機(jī)、壓縮機(jī)的機(jī)組控制；化學(xué)反應(yīng)器控制；電站、核電站控制；鐵路、地鐵控制等領(lǐng)域。

1 工作原理

ESD 是一種經(jīng)專門(mén)機(jī)構(gòu)認(rèn)證、具有一定安全度等級(jí)，用于降低生產(chǎn)過(guò)程風(fēng)險(xiǎn)的安全保護(hù)系統(tǒng)。它不僅能響應(yīng)生產(chǎn)過(guò)程因超出安全極限而帶來(lái)的危險(xiǎn)，而且能檢測(cè)和處理自身的故障，從而按預(yù)定的條件或程序使生產(chǎn)過(guò)程處于安全狀態(tài)，以確保人員、設(shè)備及工廠周邊環(huán)境的安全。

ESD 由檢測(cè)單元（如各類開(kāi)關(guān)、變送器等）、控制單元和執(zhí)行單元（如電磁閥、電動(dòng)門(mén)等）組成，其核心部分是控制單元。從ESD 的發(fā)展過(guò)程看，其控制單元部分經(jīng)歷了電氣繼電器（Electrical）、電子固態(tài)電路（Electronic）和可編程電子系統(tǒng)（Programmable Electronic System），即E/ E/ PES 三個(gè)階段。圖1為由PES 構(gòu)成的ESD。

2 特點(diǎn)及優(yōu)越性

圖1 ESD的構(gòu)成

ESD 緊急停車系統(tǒng)按照安全獨(dú)立原則要求，獨(dú)立于DCS 集散控制系統(tǒng)，其安全級(jí)別高于DCS。在正常情況下，ESD 系統(tǒng)是處于靜態(tài)的，不需要人為干預(yù)。作為安全保護(hù)系統(tǒng)，凌駕于生產(chǎn)過(guò)程控制之上，實(shí)時(shí)在線監(jiān)測(cè)裝置的安全性。只有當(dāng)生產(chǎn)裝置出現(xiàn)緊急情況時(shí)，不需要經(jīng)過(guò)DCS 系統(tǒng)，而直接由ESD 發(fā)出保護(hù)聯(lián)鎖信號(hào)，對(duì)現(xiàn)場(chǎng)設(shè)備進(jìn)行安全保護(hù)，避免危險(xiǎn)擴(kuò)散造成巨大損失。

根據(jù)有關(guān)資料，當(dāng)人在危險(xiǎn)時(shí)刻的判斷和操作往往是滯后的、不可靠的，當(dāng)操作人員面臨生命危險(xiǎn)時(shí)，要在60s 內(nèi)做出反應(yīng)，錯(cuò)誤決策的概率高達(dá)99.9%。因此設(shè)置獨(dú)立于控制系統(tǒng)的安全聯(lián)鎖是十分有必要的，這是做好安全生產(chǎn)的重要準(zhǔn)則。該動(dòng)則動(dòng)，不該動(dòng)則不動(dòng)，這是ESD 系統(tǒng)的一個(gè)顯著特點(diǎn)。

當(dāng)然一般安全聯(lián)鎖保護(hù)功能也可由DCS 來(lái)實(shí)現(xiàn)。那么為何要獨(dú)立設(shè)置ESD 系統(tǒng)呢？因?yàn)閷?duì)于較大規(guī)模的緊急停車系統(tǒng)應(yīng)按照安全獨(dú)立原則與DCS 分開(kāi)設(shè)置，這樣做主要有以下幾方面原因：

（1）降低控制功能和安全功能同時(shí)失效的概率，當(dāng)維護(hù)DCS 部分故障時(shí)也不會(huì)危及安全保護(hù)系統(tǒng)；

（2）對(duì)于大型裝置或旋轉(zhuǎn)機(jī)械設(shè)備而言，緊急停車系統(tǒng)響應(yīng)速度越快越好。這有利于保護(hù)設(shè)備，避免事故擴(kuò)大，并有利于分辨事故原因記錄。而DCS 處理大量過(guò)程監(jiān)測(cè)信息，因此其響應(yīng)速度難以作得很快；

（3）DCS 系統(tǒng)是過(guò)程控制系統(tǒng)，是動(dòng)態(tài)的，需要人工頻繁的干預(yù)，這有可能引起人為誤動(dòng)作,而ESD 是靜態(tài)的，不需要人為干預(yù)，這樣設(shè)置ESD 可以避免人為誤動(dòng)作。

ESD 緊急停車裝置，在石化行業(yè)以及大型化工企業(yè)中都有著廣泛的應(yīng)用。實(shí)際上它也是通過(guò)高速運(yùn)算PLC 來(lái)實(shí)現(xiàn)控制的，它與PLC 的本質(zhì)區(qū)別在于它的輸入輸出卡件上，因?yàn)橐磺袨榱税踩紤]，所以在硬件保護(hù)上做得較為完善，而且考慮到在事故狀態(tài)下，現(xiàn)場(chǎng)控制閥位及各個(gè)開(kāi)關(guān)的位置。

3 ESD設(shè)計(jì)應(yīng)遵循的原則

ESD 設(shè)計(jì)原則上應(yīng)獨(dú)立設(shè)置（含檢測(cè)和執(zhí)行單元），中間環(huán)節(jié)應(yīng)做到最少；應(yīng)為故障安全型；并應(yīng)采用冗余容錯(cuò)結(jié)構(gòu)。

3.1 故障安全原則

組成ESD 的各環(huán)節(jié)自身出現(xiàn)故障的概率不可能為零，且供電、供氣中斷亦可能發(fā)生。當(dāng)內(nèi)部或外部原因使ESD 失效時(shí)，被保護(hù)的對(duì)象（裝置）應(yīng)按預(yù)定的順序安全停車，自動(dòng)轉(zhuǎn)入安全狀態(tài)（Fault to Safety），這就是故障安全原則。具體體現(xiàn)：

（1）現(xiàn)場(chǎng)開(kāi)關(guān)儀表選用常閉接點(diǎn)，工藝正常時(shí)，觸點(diǎn)閉合，達(dá)到安全極限時(shí)觸點(diǎn)斷開(kāi)，觸發(fā)聯(lián)鎖動(dòng)作，必要時(shí)采用“二選一”、“二選二”或“三選二”配置。

（2）電磁閥采用正常勵(lì)磁，聯(lián)鎖未動(dòng)作時(shí)，電磁閥線圈帶電，聯(lián)鎖動(dòng)作時(shí)斷電。

（3）送往電氣配電室用以開(kāi)/ 停電機(jī)的接點(diǎn)用中間繼電器隔離，其勵(lì)磁電路應(yīng)為故障安全型。

（4）作為控制裝置（如PLC）“故障安全”意味著當(dāng)其自身出現(xiàn)故障而不是工藝或設(shè)備超過(guò)極限工作范圍時(shí)，至少應(yīng)該聯(lián)鎖動(dòng)作，以便按預(yù)定的順序安全停車（這對(duì)工藝和設(shè)備而言是安全的）；進(jìn)而應(yīng)通過(guò)硬件和軟件的冗余和容錯(cuò)技術(shù)，在過(guò)程安全時(shí)間（PST- Process Safety Time）內(nèi)檢測(cè)到故障，自動(dòng)執(zhí)行糾錯(cuò)程序，排除故障。

3.2 安全性及響應(yīng)失效率

當(dāng)工藝條件達(dá)到或超過(guò)安全極限值時(shí)，ESD 本應(yīng)引導(dǎo)工藝過(guò)程停車，但由于其自身存在隱故障（危險(xiǎn)故障）而不能響應(yīng)此要求，即該停車而拒停，降低了安全性。衡量安全性的指標(biāo)為響應(yīng)失效率或稱要求的故障率, 它是安全聯(lián)鎖系統(tǒng)按要求執(zhí)行指定功能的故障概率, 是度量安全聯(lián)鎖系統(tǒng)按要求模式工作故障率的目標(biāo)值。

3.3 冗余和容錯(cuò)

3.3.1 冗余（Redundant）

冗余是指具有指定的獨(dú)立的N∶1 重元件，并且可以自動(dòng)地檢測(cè)故障，切換到后備設(shè)備上。

3.3.2 冗余系統(tǒng)（Redundant System）

冗余系統(tǒng)是指并行地使用多個(gè)系統(tǒng)部件，以提供錯(cuò)誤檢測(cè)和錯(cuò)誤校正能力的系統(tǒng)。

3.3.3 容錯(cuò)（Fault Tolerant）

容錯(cuò)是指具有內(nèi)部冗余的并行元件和集成邏輯，當(dāng)硬件或軟件部分故障時(shí)，能夠識(shí)別故障并使故障旁路，進(jìn)而繼續(xù)執(zhí)行指定的功能或在硬件和軟件發(fā)生故障的情況下，系統(tǒng)仍具有繼續(xù)運(yùn)行的能力。它往往包括三方面的功能：

（1）約束故障，即限制過(guò)程或進(jìn)程的動(dòng)作，以防止在錯(cuò)誤被檢測(cè)出來(lái)之前繼續(xù)擴(kuò)大；

（2）檢測(cè)故障，即對(duì)信息和過(guò)程或進(jìn)程的動(dòng)作進(jìn)行動(dòng)態(tài)檢測(cè)；

（3）故障恢復(fù)即更換或修正失效的部件。

3.3.4 容錯(cuò)系統(tǒng)（Fault Tolerant System）：

容錯(cuò)系統(tǒng)是指具有容錯(cuò)結(jié)構(gòu)的硬件與軟件系統(tǒng)，通過(guò)冗余和故障屏蔽的結(jié)合來(lái)實(shí)現(xiàn)容錯(cuò)。

容錯(cuò)系統(tǒng)一定是冗余系統(tǒng)，冗余系統(tǒng)不一定是容錯(cuò)系統(tǒng)。容錯(cuò)系統(tǒng)的冗余形式有雙重、三重、四重等。圖2 和圖3 分別表示CPU 冗余（雙機(jī)熱備）和三重模塊冗余（TMR）容錯(cuò)系統(tǒng)?，F(xiàn)場(chǎng)設(shè)備

圖2 CPU冗余（雙機(jī)熱備）

圖3 模塊三重冗余容錯(cuò)系統(tǒng)

4 ESD和DCS的區(qū)別以及普通PLC和安全PLC的區(qū)別

4.1 ESD和DCS的區(qū)別

如表1 所示。

表1 ESD和DCS的區(qū)別

4.2 普通PLC和安全PLC的區(qū)別

普通PLC 和可以作為ESD 控制部分的安全PLC 的主要區(qū)別在于，普通PLC 不是按故障安全型設(shè)計(jì)的，當(dāng)系統(tǒng)內(nèi)部元件出現(xiàn)短路故障時(shí)，它并不能檢測(cè)到，因此其輸出狀態(tài)不能保證系統(tǒng)回到預(yù)定的安全狀態(tài)。這種PLC 只能用于安全度等級(jí)要求低的場(chǎng)合。

4.3 安全PLC具備的條件

作為安全PLC，至少應(yīng)具備以下幾點(diǎn)：

（1）滿足相關(guān)安全標(biāo)準(zhǔn)規(guī)范要求，且經(jīng)過(guò)權(quán)威機(jī)構(gòu)認(rèn)證，取得了相應(yīng)安全等級(jí)證書(shū)；

（2）在硬件和軟件上采用冗余、容錯(cuò)措施，具有完善的測(cè)試手段，當(dāng)檢測(cè)到系統(tǒng)故障，特別是危險(xiǎn)故障時(shí)能使系統(tǒng)回到安全狀態(tài)；

（3）能進(jìn)行系統(tǒng)故障報(bào)警、指示故障原因、故障位置，便于在線維護(hù)；

（4）能與DCS 或其它設(shè)備進(jìn)行通訊。

5 工藝過(guò)程風(fēng)險(xiǎn)的評(píng)估及安全度等級(jí)的評(píng)定

5.1 不同標(biāo)準(zhǔn)對(duì)工藝過(guò)程風(fēng)險(xiǎn)的評(píng)估及安全度等級(jí)的要求

不同的工藝過(guò)程（以生產(chǎn)規(guī)模、原料和產(chǎn)品的種類、工藝和設(shè)備的復(fù)雜程度等）對(duì)安全的要求是不同的。一個(gè)具體的工藝過(guò)程，是否需要配置ESD、配置何種等級(jí)的ESD，其前提應(yīng)該是對(duì)具體的工藝過(guò)程進(jìn)行風(fēng)險(xiǎn)的評(píng)估及安全度等級(jí)（SIL）的評(píng)定。

SIL 是Safety Integrity Level 的簡(jiǎn)稱，中文的意思就是安全等級(jí)，它是美國(guó)儀表學(xué)會(huì)(ISA)在S84.01 標(biāo)準(zhǔn)中對(duì)過(guò)程工業(yè)中安全儀表系統(tǒng)所作的分類等級(jí)。SIL 分為1、2、3 級(jí)，SIL1 級(jí)每年故障危險(xiǎn)的平均概率為0.10- 0.01 之間，僅對(duì)少量的財(cái)產(chǎn)和簡(jiǎn)單的生產(chǎn)進(jìn)行保護(hù)；

SIL2 級(jí)每年故障危險(xiǎn)的平均概率為0.01- 0.001 之間，對(duì)大量的財(cái)產(chǎn)和復(fù)雜的生產(chǎn)進(jìn)行保護(hù)，也對(duì)生產(chǎn)操作人員進(jìn)行保護(hù)；

SIL3 級(jí)每年故障危險(xiǎn)的平均概率為0.001- 0.0001 之間，對(duì)工廠的財(cái)產(chǎn)、全體員工的生命和整個(gè)社區(qū)的安全進(jìn)行保護(hù)。

IEC61508 標(biāo)準(zhǔn)是國(guó)際電工委員會(huì)（IEC）對(duì)與安全相關(guān)的控制系統(tǒng)制定的性能安全標(biāo)準(zhǔn)，與ISA 的SIL 相比，除了覆蓋ISA中的SIL1- 3 級(jí)以外，增加了第4 級(jí)標(biāo)準(zhǔn)。IEC SIL4 級(jí)標(biāo)準(zhǔn)每年故障危險(xiǎn)的平均概率為0.0001- 0.00001 之間，避免災(zāi)難性的、會(huì)對(duì)整個(gè)社區(qū)形成巨大沖擊的事故。

T V 標(biāo)準(zhǔn)是德國(guó)萊茵認(rèn)證機(jī)構(gòu)對(duì)工業(yè)過(guò)程安全控制系統(tǒng)所作的分類等級(jí)，T V 共分為8 級(jí)（AK1- AK8），AK1/ 2 對(duì)應(yīng)于SIL1 級(jí)，AK3/ 4 對(duì)應(yīng)于SIL2，AK5/ 6 對(duì)應(yīng)于SIL3,AK7 對(duì)應(yīng)于SIL4，AK8 是目前最高級(jí)別的安全標(biāo)準(zhǔn)，故障概率大于十萬(wàn)分之一。幾個(gè)標(biāo)準(zhǔn)對(duì)風(fēng)險(xiǎn)的評(píng)估及安全度等級(jí)之間的關(guān)系見(jiàn)表2。

在確定了某個(gè)具體工藝過(guò)程的安全度等級(jí)（SIL）之后，再配置與之相適應(yīng)的ESD。

由表2 可以看出，若某工藝過(guò)程經(jīng)評(píng)定后為SIL 2，則配置達(dá)到AK4 的ESD 即可，其響應(yīng)失效率（PFD）為百分之一至千分之一之間。應(yīng)該注意的是不同安全級(jí)別的ESD，只能確保響應(yīng)失效率（PFD）在一定的范圍內(nèi)，安全級(jí)別越高的ESD，其PFD越小，即發(fā)生事故的可能性越小，但它不能改變事故造成的后果。因此，工藝過(guò)程安全度等級(jí)的評(píng)定是一項(xiàng)十分重要的工作。但目前我國(guó)尚無(wú)如何評(píng)定安全度等級(jí)的標(biāo)準(zhǔn)和規(guī)范。

表2 幾個(gè)標(biāo)準(zhǔn)對(duì)風(fēng)險(xiǎn)的評(píng)估及安全度等級(jí)之間的關(guān)系表

5.2 風(fēng)險(xiǎn)矩陣（RISKMATRIX）評(píng)估方法

這種方法以工藝過(guò)程事故出現(xiàn)的頻率（可能性）及其危害程度（嚴(yán)重性）為風(fēng)險(xiǎn)評(píng)估的指標(biāo)，并對(duì)頻率和危害程度人為量化為若干級(jí)，做出矩陣表（見(jiàn)表3）。以此確定工藝過(guò)程度安全度等級(jí)。

表3 風(fēng)險(xiǎn)矩陣（RISKMATRIX）評(píng)估方法矩陣表

表3 中頻率分級(jí)的年限（多少年出現(xiàn)一次）考慮了采用DCS進(jìn)行監(jiān)視、控制以及正常操作規(guī)程等對(duì)于降低事故出現(xiàn)頻率的貢獻(xiàn)，但不考慮ESD 的存在。

表4 中危害程度從經(jīng)濟(jì)損失、人身傷害和環(huán)境危害三個(gè)方面予以量化。

表4 風(fēng)險(xiǎn)危害程度量化表

緊急停車系統(tǒng)作為一套安全保護(hù)系統(tǒng)具有很高的可靠性、安全性和可用性。隨著現(xiàn)代計(jì)算機(jī)技術(shù)的發(fā)展，緊急停車系統(tǒng)ESD 的設(shè)備配置也在不斷地更新?lián)Q代，由低級(jí)到高級(jí)；由氣動(dòng)邏輯到繼電器邏輯；由簡(jiǎn)單的繼電器系統(tǒng)到微控制系統(tǒng)為主的系統(tǒng)；由單回路系統(tǒng)到冗余和冗錯(cuò)系統(tǒng)?？梢灶A(yù)計(jì)ESD 系統(tǒng)在現(xiàn)代工業(yè)生產(chǎn)安全控制中將得到更廣泛的應(yīng)用。