SIS安全仪表系统设计原则 - 自动化论坛

SIS 安全仪表系统(ESD紧急停车系统)的主要作用是在工艺生产过程发生危险故障时将其自动或手动带回到预先设计的安全状态，以确保工艺装置的生产的安全，避免重大人身伤害及重大设备损坏事故。在安全仪表系统的设计过程中，IEC 61508，IEC 61511提供了极好的国际通用技术规范和参考资料，在安全仪表系统回路设计过程中，一般需要遵循下列几点原则。

为了保证工艺装置的生产安全，安全仪表系统必须具备与工艺过程相适应的安全完整性等级SIL（Safety Integrity Level）的可靠度。对此，IEC 61508进行了详细的技术规定。对于安全仪表系统，可靠性有两个含义，一个是安全仪表系统本身的工作可靠性；另一个是安全仪表系统对工艺过程认知和联锁保护的可靠性，还应有对工艺过程测量，判断和联锁执行的高可靠性。

评估安全完整性等级SIL的主要参数就是PFDavg(probability of failure on demand 平均危险故障率)，按其从高到低依次分为1~4级。在石化行业中一般涉及到的只有1，2，3级，因为SIL4级投资大，系统复杂，一般只用于核电行业。

为了提高系统的可用性，SIS 安全仪表系统(ESD紧急停车系统)应具有硬件和软件自诊断和测试功能。安全仪表系统应为每个输入工艺联锁信号设置维护旁路开关，方便进行在线测试和维护同时减少因安全仪表系统系统维护造成的停车。需要注意的是用于三选二表决方案的冗余检测元件不需要旁路，手动停车输入也不需要旁路。同时严禁对安全仪表系统输出信号设立旁路开关，以防止误操作而导致事故发生。如果SIL计算表明测试周期小于工艺停车周期，而对执行机构进行在线测试时无法确保不影响工艺而导致误停车，则安全仪表系统的设计应当根据需要进行修改，通过提高冗余配置以延长测试周期或采用部分行程测试法，对事故状态关闭的阀门增加手动旁通阀，对事故状态开启的阀门增加手动截止阀等措施，以允许在线测试安全仪表系统阀门。这些手段对于提供安全仪表系统的可用性都是很有帮助的。

SIS 安全仪表系统(ESD紧急停车系统)应独立于基本过程控制系统（BPCS，如DCS，FCS，CCS，PLC等），独立完成安全保护功能。安全仪表系统的检测元件，控制单元和执行机构应单独设置。如果工艺要求同时进行联锁和控制的情况下，安全仪表系统和BPCS应各自设置独立的检测元件和取源点（个别特殊情况除外，如配置三取二检测元件，进DCS信号三取中，进安全仪表系统三取二，经过信号分配器公用检测元件）。如需要，SIS 安全仪表系统(ESD紧急停车系统)系统应能通过数据通信连接以只读方式与DCS通信，但禁止DCS通过该通信连接向安全仪表系统写信息。安全仪表系统应配置独立的通信网络，包括独立的网络交换机，服务器，工程师站等。SIS 安全仪表系统(ESD紧急停车系统)应采用冗余电源，由独立的双路配电回路供电。应避免安全仪表系统和BPCS的信号接线出现同一接线箱，中间接线柜和控制柜内。

随着安全标准的推出以及对安全系统重视度的不断提高，安全仪表系统的认证也变得越来越重要，系统的设计思想，系统结构都须严格遵守相应国际标准并取得权威机构的认证。安全仪表系统必须获得IEC 61508 SIL和/或TUV AK（德）相应SIL等级的认证。SIS 安全仪表系统(ESD紧急停车系统)中使用的硬件，软件和仪表必须遵守正式版本并已商业化，同时必须获得国家有关防爆，计量，压力容器等强制认证。严禁使用任何试验产品。

当SIS 安全仪表系统(ESD紧急停车系统)的元件，设备，环节或能源发生故障或者失效时，SIS 安全仪表系统(ESD紧急停车系统)设计应当使工艺过程能够趋向安全运行或者安全状态。这就是系统设计的故障安全行原则。能否实现“故障安全“取决于工艺过程及安全仪表系统的设计。整个SIS 安全仪表系统(ESD紧急停车系统)，包括现场仪表和执行器，都应设计成以下绝对安全形式，即：1）现场触点应开路报警，正常操作条件下闭合；2）现场执行器联锁时不带电，正常操作条件下带电。