安全仪表系统(SIS)
合集下载
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
安全仪表系统(SIS )
1 什么是安全仪表系统?
1 什么是安全仪表系统?
在 IEC61508 中 ， SIS 被 称 为 安 全 相 关 系 统 （ Safety Related System）,将被控对象称为被控设备（EUC）。
IEC61511将安全仪表系统SIS定义为用于执行一个或多个安全仪 表功能（Safety Instrumented Function,SIF）的仪表系统。SIS是由 传感器（如各类开关、变送器等）、逻辑控制器、以及最终元件 （如电磁阀、电动门等）的组合组成,如图1所示。
实现功能：DCS用于过程连续测量、常规控制（连续、顺 序、间歇等）操作控制管理使生产过程在正常情况下运行 至最佳工况；而SIS是超越极限安全即将工艺、设备转至 安全状态。
工作状态：DCS是主动的、动态的，它始终对过程变量连 续进行检测、运算和控制，对生产过程动态控制确保产品 质量和产量。而SIS系统是被动的、休眠的 。
④ 作为控制装置（如PLC）“故障安全”意味着当其自 身出现故障而不是工艺或设备超过极限工作范围时， 至少应该联锁动作，以便按预定的顺序安全停车（这 对工艺和设备而言是安全的）；进而应通过硬件和软 件的冗余和容错技术，在过程安全时间（PST-Process Safety Time）内检测到故障，自动执行纠错程序，排 除故障。
图2 安全仪表回路图
图2 说明
1. L液面超高-L1接点闭合-Z带电。 2. Z1常闭接点打开，S线圈断电。 3. S电磁阀切断，往调节阀膜头的控制信号调节阀切断工艺
进料，完成联锁保护作用。 4. K起：按钮开关：起动联锁保护回路兼有复位作用。 5. K停：起人工强制起动联锁保护作用。 6. K旁：旁路联锁保护作用，用于开车或检修联锁信号仪表。
IEC61511又进一步指出，SIS可以包括，也可以不包括软件。另 外，当操作人员的手动操作被视为SIS的有机组成部分时，必须在安 全规格书（Safety Requirement Specification,SRS)中对人员操作动作 的有效性和可靠性做出明确规定，并包括在SIS的绩效计算中。
从 SIS 的 发 展 过 程 看 ， 其 控 制 单 元 部 分 经 历 了 电 气 继 电 器 （ Electrical ） 、 电 子 固 态 电 路 （ Electronic ） 和 可 编 程 电 子 系 统 （Programmable Electronic System），即E/E/PES三个阶段。
具体体现： ① 现场开关仪表选用常闭接点，工艺正常时，触点闭合，达到安全极
限时触点断开，触发联锁动作，必要时采用“二选一”、“二选二” 或“三选二”配置。 ② 电磁阀采用正常励磁，联锁未动作时，电磁阀线圈带电，联锁动作 时断电。
故障安全原则
③ 送往电气配电室用以开/停电机的接点用中间继电器隔 离，其励磁电路应为故障安全型。
6 隐故障与显故障
隐故障与显故障
隐故障（Covert Fault）：不对危险产生报警，允许危 险发展的故障，是故障危险故障（SHB-Z06-1999）。 Covert Fault：Fault that can be classified as hidden， concealed， undetected， unrevealed， latent， ect. （ISA-S84.01-1996） 显故障（Overt Fault）：能显示出故障自身存在的故 障，是故障安全故障（SHB-Z06-1999）。 Overt Fault：Fault that can be classified as announced， detected， revealed，ect.（ISA-S84.01-1996）
SIS的相关标准及认证机构
Prosafe—RS ， 是 横 河 电 机 安 全 仪 表 系 统 ， 其 特 点 是 与 CENTUMCS.3000 R3的技术融合，即实现了与DSC的无缝 集成。非冗余取量即可实现SIL3，通过冗余取量实现更高 的可用性。
QUADLOG，由MOORE公司开发，日本横河电机公司收 购后称prosafe plc，其1oo2D结构安全等级达AK6 (SIL3)；
② 2006年、2007年等同采用IEC61508、IEC61511的中国 国家标准GB/T20438、GB/T21109相继发布，中国的功 能安全标准开始规范我国的功能安全工作。
SIS的相关标准及认证机构
③ 国际电工委员会1997年制定的IEC 61508/61511标准，对用 机电设备（继电器）、固态电子设备、可编程电子设备 （PLC）构成的安全联锁系统的硬件、软件及应用作出了 明确规定。
SIS的相关标准及认证机构
HIMA PES，HIMA是德国一家专业生产安全控制设备的 公司，PES (Programmable Electronic System)是可编程电 子系统的简称，是近几年来国内引进较多的一种安全仪表 系统。主要由H41q和H51q系统组成。H41q也叫小系统， 它分为不冗余的系统和冗余的系统，不冗余系统型号为 H41q—M，冗余系统又分为高可靠系统H41q—H和高性能 系统H41q—HR。H51q称为模块化的系统，它也分为不冗 余的系统和冗余的系统，不冗余的系统型号为H51q—H和 高 性 能 系 统 H51q—HR 。 各 种 型 号 的 PES 都 具 有 TUV AK1~6级认证。
SIS安全仪表系统
按照SIS的定义，下述系统均属于安全仪表系统： 安全联锁系统（Safety Interlock System—SIS） 安全关联系统（Safety Related System—SRS） 仪表保护系统（Instrument Protective System—IPS） 透平压缩机集成控制系统（Integrated Turbo & Compressor Control System—ITCC） 火灾及气体检测系统（Fire and gas systems—F&G） 紧急停车系统（Emergency Shutdown Device—ESD） 燃烧管理系统（Burner Management System） 列车自动防护系统（ATP）
Regent Trusted，美国ICS利用宇航技术开发的安全系统。 安全等级AK4~AK6（SIL2~SIL3）； GMR90-70，美国GE Fanuc公司开发。其中GMR90-70(模 块 式 冗 余 容 错 ) 的 安 全 等 级 为 class 5 （ 2oo3 ） ， class 4 （1oo2）和class 5（2oo2）； TRIGUARD SC300E， AUGUST公司开发，1999年成为 ABB集团成员之一，安全等级为class 5和class 6，系统结 构为2oo3； Safeguard 400&300，ABB Industry公司开发，系统结构 1oo2D。
SIS的相关标准及认ቤተ መጻሕፍቲ ባይዱ机构
在国内石化行业中应用的SIS产品中，经过TUV认证的主要 有： Tricon、Triden，美国Triconex公司开发用于压缩机综合控 制（ITCC）和紧急停车系统。安全等级为AK6（SIL3）。 FSC（Fail safe control），由荷兰P&F（Pepper&Fuchs） 公司开发，1994年被Honeywell公司收购。安全等级可达 AK6（SIL3）
图1 SIS的构成
下图为由PES构成的SIS
检测单元
输入模块
PES 控制模块
输出模块
执行单元
SIS安全仪表系统
SIF安全仪表功能可以是安全仪表保护功能，也可以是 安全仪表控制功能，或包含这两者。 需要说明的是，这里所说的安全仪表控制功能，是指 以连续模式（Continuous Mode）操作并具有特定的 SIL,用于防止危险状态发生或者减轻其发生的后果， 与常规的PID控制功能是完全不同的概念。 SIS可以包括或不包括软件 SIS的一部分也可能是人的动作
2 SIS的相关标准及认证机构
SIS的相关标准及认证机构
鉴于SIS涉及到人员、设备、环境的安全，因此各国均 制定了相关的标准、规范，使得SIS的设计、制造、使 用均有章可循。并有权威的认证机构对产品能达到的 安全等级进行确认。这些标准、规范及认证机构主要 有：
① 我国石化集团制定的行业标准SHB-Z06-1999《石油化 工紧急停车及安全联锁系统设计导则》。
SIMATICS7—400F/FH ， 德 国 SIEMENS 公 司 产 品 。 400F 和400FH分别为1个CPU和2个CPU运行fail-safe（F）用户 程 序 ， 均 取 得 TUV 认 证 ， 安 全 等 级 为 AK1~AK6 （SIL1~SIL3）；
SIS的相关标准及认证机构
⑦ 德 国 国 家 标 准 中 有 安 全 系 统 制 造 厂 商 标 准 -DIN V VDE 0801、过程操作用户标准-DIN V 19250和DIN V 19251、燃烧管理系统标准-DIN VDE 0116等。
⑧ 德国技术监督协会（TÜV）是一个独立的、权威的认 证机构，它按照德国国家标准（DIN），将ESD所达 到的安全等级分为AK1～AK8，AK8安全级别最高。 其中AK4、AK5、AK6为适用于石油和化学工业 取得 TUV认证的SIS产品
SIS和DCS的比较
安全级别：DCS安全级别低，不需要安全认证；而SIS系 统级别高，需要安全认证。
应对失效方式：DCS系统大部分失效都是显而易见的， 其失效会在生产的动态过程中自行显现，很少存在隐性 失效；SIS失效就没那么明显了，因此确定这种休眠系统 是否还能正常工作的唯一方法，就是对该系统进行周期 性的诊断或测试。因此安全仪表系统需要人为的进行周 期性的离线或在线检验测试，而有些安全系统则带有内 部自诊断。
3 SIS和DCS的比较
SIS和DCS的比较
DCS与由PES构成的SIS的主要区别有：
DCS
SIS
构成
不含检测、执行
含检测、执行单元
作用（功能） 使生产过程在正常工况乃至最佳工 况下运行
工作
动态、连续
超限安全停车 静态、间断
安全级别
低、不需认证
高、需认证
SIS和DCS的比较
系统的组成：DCS一般是由人机界面操作站、通信总线及 现场控制站组成；而SIS系统是由传感器、逻辑解算器和 最终元件三部分组成。及DCS不含检测执行部分。
SIS安全仪表系统
如图2所示，这是一个气液分离容器A液位控制的安 全仪表功能回路图。对这个安全仪表功能完整的描述 是：当容器液位开关达到安全联锁值时，逻辑运算器 （图3）使电磁阀2断电，则切断进调节阀膜头信号， 使调节阀切断容器A进料，这个动作要在3秒内完成， 安全等级必须达到SIL2。这是一个安全仪表功能的完 整描述，而所谓的安全仪表系统，则是类似一个或多 个这样的安全仪表功能的集合。
④ 美国仪表学会制定的ISA-S84.01-1996《安全仪表系统在过 程工业中的应用》。
⑤ 美国化学工程学会制定的AICHE（ccps）-1993，《化学过 程的安全自动化导则》。
⑥ 英国健康与安全执行委员会制定的HSE PES-1987，《可编 程电子系统在安全领域的应用》。
SIS的相关标准及认证机构
4 SIS设计应遵循的原则
SIS设计应遵循的原则
① 原则上应独立设置（含检测和执行单元）； ② 中间环节最少； ③ 应为故障安全型； ④ 采用冗余容错结构。
5 故障安全原则
故障安全原则
组成SIS的各环节自身出现故障的概率不可能为零， 且 供电、供气中断亦可能发生。
当内部或外部原因使SIS失效时，被保护的对象（装置） 应按预定的顺序安全停车，自动转入安全状态（Fault to Safety），这就是故障安全原则。
图3 SIS逻辑图
SIS安全仪表系统
大多石油和化工生产过程具有高温、高压、易燃、易爆、 有毒等危险。当某些工艺参数超出安全极限，未及时处 理或处理不当时，便有可能造成人员伤亡、设备损坏、 周边环境污染等恶性事故。这就是说，从安全的角度出 发，石油和化工生产过程自身存在着固有的风险。
总之，SIS是一种经专门机构认证，具有一定安全完整性 水平，用于降低生产过程风险的仪表安全保护系统。它 不仅能响应生产过程因超过安全极限而带来的风险，而 且能检测和处理自身的故障，从而按预定条件或程序使 生产过程处于安全状态，以确保人员、设备及工厂周边 环境的安全。
1 什么是安全仪表系统?
1 什么是安全仪表系统?
在 IEC61508 中 ， SIS 被 称 为 安 全 相 关 系 统 （ Safety Related System）,将被控对象称为被控设备（EUC）。
IEC61511将安全仪表系统SIS定义为用于执行一个或多个安全仪 表功能（Safety Instrumented Function,SIF）的仪表系统。SIS是由 传感器（如各类开关、变送器等）、逻辑控制器、以及最终元件 （如电磁阀、电动门等）的组合组成,如图1所示。
实现功能：DCS用于过程连续测量、常规控制（连续、顺 序、间歇等）操作控制管理使生产过程在正常情况下运行 至最佳工况；而SIS是超越极限安全即将工艺、设备转至 安全状态。
工作状态：DCS是主动的、动态的，它始终对过程变量连 续进行检测、运算和控制，对生产过程动态控制确保产品 质量和产量。而SIS系统是被动的、休眠的 。
④ 作为控制装置（如PLC）“故障安全”意味着当其自 身出现故障而不是工艺或设备超过极限工作范围时， 至少应该联锁动作，以便按预定的顺序安全停车（这 对工艺和设备而言是安全的）；进而应通过硬件和软 件的冗余和容错技术，在过程安全时间（PST-Process Safety Time）内检测到故障，自动执行纠错程序，排 除故障。
图2 安全仪表回路图
图2 说明
1. L液面超高-L1接点闭合-Z带电。 2. Z1常闭接点打开，S线圈断电。 3. S电磁阀切断，往调节阀膜头的控制信号调节阀切断工艺
进料，完成联锁保护作用。 4. K起：按钮开关：起动联锁保护回路兼有复位作用。 5. K停：起人工强制起动联锁保护作用。 6. K旁：旁路联锁保护作用，用于开车或检修联锁信号仪表。
IEC61511又进一步指出，SIS可以包括，也可以不包括软件。另 外，当操作人员的手动操作被视为SIS的有机组成部分时，必须在安 全规格书（Safety Requirement Specification,SRS)中对人员操作动作 的有效性和可靠性做出明确规定，并包括在SIS的绩效计算中。
从 SIS 的 发 展 过 程 看 ， 其 控 制 单 元 部 分 经 历 了 电 气 继 电 器 （ Electrical ） 、 电 子 固 态 电 路 （ Electronic ） 和 可 编 程 电 子 系 统 （Programmable Electronic System），即E/E/PES三个阶段。
具体体现： ① 现场开关仪表选用常闭接点，工艺正常时，触点闭合，达到安全极
限时触点断开，触发联锁动作，必要时采用“二选一”、“二选二” 或“三选二”配置。 ② 电磁阀采用正常励磁，联锁未动作时，电磁阀线圈带电，联锁动作 时断电。
故障安全原则
③ 送往电气配电室用以开/停电机的接点用中间继电器隔 离，其励磁电路应为故障安全型。
6 隐故障与显故障
隐故障与显故障
隐故障（Covert Fault）：不对危险产生报警，允许危 险发展的故障，是故障危险故障（SHB-Z06-1999）。 Covert Fault：Fault that can be classified as hidden， concealed， undetected， unrevealed， latent， ect. （ISA-S84.01-1996） 显故障（Overt Fault）：能显示出故障自身存在的故 障，是故障安全故障（SHB-Z06-1999）。 Overt Fault：Fault that can be classified as announced， detected， revealed，ect.（ISA-S84.01-1996）
SIS的相关标准及认证机构
Prosafe—RS ， 是 横 河 电 机 安 全 仪 表 系 统 ， 其 特 点 是 与 CENTUMCS.3000 R3的技术融合，即实现了与DSC的无缝 集成。非冗余取量即可实现SIL3，通过冗余取量实现更高 的可用性。
QUADLOG，由MOORE公司开发，日本横河电机公司收 购后称prosafe plc，其1oo2D结构安全等级达AK6 (SIL3)；
② 2006年、2007年等同采用IEC61508、IEC61511的中国 国家标准GB/T20438、GB/T21109相继发布，中国的功 能安全标准开始规范我国的功能安全工作。
SIS的相关标准及认证机构
③ 国际电工委员会1997年制定的IEC 61508/61511标准，对用 机电设备（继电器）、固态电子设备、可编程电子设备 （PLC）构成的安全联锁系统的硬件、软件及应用作出了 明确规定。
SIS的相关标准及认证机构
HIMA PES，HIMA是德国一家专业生产安全控制设备的 公司，PES (Programmable Electronic System)是可编程电 子系统的简称，是近几年来国内引进较多的一种安全仪表 系统。主要由H41q和H51q系统组成。H41q也叫小系统， 它分为不冗余的系统和冗余的系统，不冗余系统型号为 H41q—M，冗余系统又分为高可靠系统H41q—H和高性能 系统H41q—HR。H51q称为模块化的系统，它也分为不冗 余的系统和冗余的系统，不冗余的系统型号为H51q—H和 高 性 能 系 统 H51q—HR 。 各 种 型 号 的 PES 都 具 有 TUV AK1~6级认证。
SIS安全仪表系统
按照SIS的定义，下述系统均属于安全仪表系统： 安全联锁系统（Safety Interlock System—SIS） 安全关联系统（Safety Related System—SRS） 仪表保护系统（Instrument Protective System—IPS） 透平压缩机集成控制系统（Integrated Turbo & Compressor Control System—ITCC） 火灾及气体检测系统（Fire and gas systems—F&G） 紧急停车系统（Emergency Shutdown Device—ESD） 燃烧管理系统（Burner Management System） 列车自动防护系统（ATP）
Regent Trusted，美国ICS利用宇航技术开发的安全系统。 安全等级AK4~AK6（SIL2~SIL3）； GMR90-70，美国GE Fanuc公司开发。其中GMR90-70(模 块 式 冗 余 容 错 ) 的 安 全 等 级 为 class 5 （ 2oo3 ） ， class 4 （1oo2）和class 5（2oo2）； TRIGUARD SC300E， AUGUST公司开发，1999年成为 ABB集团成员之一，安全等级为class 5和class 6，系统结 构为2oo3； Safeguard 400&300，ABB Industry公司开发，系统结构 1oo2D。
SIS的相关标准及认ቤተ መጻሕፍቲ ባይዱ机构
在国内石化行业中应用的SIS产品中，经过TUV认证的主要 有： Tricon、Triden，美国Triconex公司开发用于压缩机综合控 制（ITCC）和紧急停车系统。安全等级为AK6（SIL3）。 FSC（Fail safe control），由荷兰P&F（Pepper&Fuchs） 公司开发，1994年被Honeywell公司收购。安全等级可达 AK6（SIL3）
图1 SIS的构成
下图为由PES构成的SIS
检测单元
输入模块
PES 控制模块
输出模块
执行单元
SIS安全仪表系统
SIF安全仪表功能可以是安全仪表保护功能，也可以是 安全仪表控制功能，或包含这两者。 需要说明的是，这里所说的安全仪表控制功能，是指 以连续模式（Continuous Mode）操作并具有特定的 SIL,用于防止危险状态发生或者减轻其发生的后果， 与常规的PID控制功能是完全不同的概念。 SIS可以包括或不包括软件 SIS的一部分也可能是人的动作
2 SIS的相关标准及认证机构
SIS的相关标准及认证机构
鉴于SIS涉及到人员、设备、环境的安全，因此各国均 制定了相关的标准、规范，使得SIS的设计、制造、使 用均有章可循。并有权威的认证机构对产品能达到的 安全等级进行确认。这些标准、规范及认证机构主要 有：
① 我国石化集团制定的行业标准SHB-Z06-1999《石油化 工紧急停车及安全联锁系统设计导则》。
SIMATICS7—400F/FH ， 德 国 SIEMENS 公 司 产 品 。 400F 和400FH分别为1个CPU和2个CPU运行fail-safe（F）用户 程 序 ， 均 取 得 TUV 认 证 ， 安 全 等 级 为 AK1~AK6 （SIL1~SIL3）；
SIS的相关标准及认证机构
⑦ 德 国 国 家 标 准 中 有 安 全 系 统 制 造 厂 商 标 准 -DIN V VDE 0801、过程操作用户标准-DIN V 19250和DIN V 19251、燃烧管理系统标准-DIN VDE 0116等。
⑧ 德国技术监督协会（TÜV）是一个独立的、权威的认 证机构，它按照德国国家标准（DIN），将ESD所达 到的安全等级分为AK1～AK8，AK8安全级别最高。 其中AK4、AK5、AK6为适用于石油和化学工业 取得 TUV认证的SIS产品
SIS和DCS的比较
安全级别：DCS安全级别低，不需要安全认证；而SIS系 统级别高，需要安全认证。
应对失效方式：DCS系统大部分失效都是显而易见的， 其失效会在生产的动态过程中自行显现，很少存在隐性 失效；SIS失效就没那么明显了，因此确定这种休眠系统 是否还能正常工作的唯一方法，就是对该系统进行周期 性的诊断或测试。因此安全仪表系统需要人为的进行周 期性的离线或在线检验测试，而有些安全系统则带有内 部自诊断。
3 SIS和DCS的比较
SIS和DCS的比较
DCS与由PES构成的SIS的主要区别有：
DCS
SIS
构成
不含检测、执行
含检测、执行单元
作用（功能） 使生产过程在正常工况乃至最佳工 况下运行
工作
动态、连续
超限安全停车 静态、间断
安全级别
低、不需认证
高、需认证
SIS和DCS的比较
系统的组成：DCS一般是由人机界面操作站、通信总线及 现场控制站组成；而SIS系统是由传感器、逻辑解算器和 最终元件三部分组成。及DCS不含检测执行部分。
SIS安全仪表系统
如图2所示，这是一个气液分离容器A液位控制的安 全仪表功能回路图。对这个安全仪表功能完整的描述 是：当容器液位开关达到安全联锁值时，逻辑运算器 （图3）使电磁阀2断电，则切断进调节阀膜头信号， 使调节阀切断容器A进料，这个动作要在3秒内完成， 安全等级必须达到SIL2。这是一个安全仪表功能的完 整描述，而所谓的安全仪表系统，则是类似一个或多 个这样的安全仪表功能的集合。
④ 美国仪表学会制定的ISA-S84.01-1996《安全仪表系统在过 程工业中的应用》。
⑤ 美国化学工程学会制定的AICHE（ccps）-1993，《化学过 程的安全自动化导则》。
⑥ 英国健康与安全执行委员会制定的HSE PES-1987，《可编 程电子系统在安全领域的应用》。
SIS的相关标准及认证机构
4 SIS设计应遵循的原则
SIS设计应遵循的原则
① 原则上应独立设置（含检测和执行单元）； ② 中间环节最少； ③ 应为故障安全型； ④ 采用冗余容错结构。
5 故障安全原则
故障安全原则
组成SIS的各环节自身出现故障的概率不可能为零， 且 供电、供气中断亦可能发生。
当内部或外部原因使SIS失效时，被保护的对象（装置） 应按预定的顺序安全停车，自动转入安全状态（Fault to Safety），这就是故障安全原则。
图3 SIS逻辑图
SIS安全仪表系统
大多石油和化工生产过程具有高温、高压、易燃、易爆、 有毒等危险。当某些工艺参数超出安全极限，未及时处 理或处理不当时，便有可能造成人员伤亡、设备损坏、 周边环境污染等恶性事故。这就是说，从安全的角度出 发，石油和化工生产过程自身存在着固有的风险。
总之，SIS是一种经专门机构认证，具有一定安全完整性 水平，用于降低生产过程风险的仪表安全保护系统。它 不仅能响应生产过程因超过安全极限而带来的风险，而 且能检测和处理自身的故障，从而按预定条件或程序使 生产过程处于安全状态，以确保人员、设备及工厂周边 环境的安全。