化工企业安全仪表系统的特点及其冗余配置探讨
一、背景
随着工业自动化和智能化进程的加速，化工企业对安全仪表系统（SIS）的认识逐渐加深。SIS是指在设备或系统出现潜在危险时，立即采取紧急措施并及时响应，确保其进入预定义的安全停车状态，以最大限度地降低风险和损失，从而保障设备、环境和人员的安全。目前，SIS已广泛应用于石油化工等流程工业，是工厂自动控制系统的重要组成部分。
如下图所示，SIS系统包括测量仪表、逻辑控制器、最终执行元件以及相关的软件与硬件。目前，仪表保护系统（IPS）、安全联锁系统（SIS）、紧急停车系统（ESD）、高完整性压力保护系统（HIPPS）和火气保护系统（F&GS）等都可以从属于SIS的范畴。
SIS系统的结构组成及其包括的范围
二、SIS的主要特点
SIS在工业自动化领域中，扮演着至关重要的角色。其主要特点如下：
1.安全完整性等级（SIL）
SIS具备一定的安全完整性等级（SIL），这意味着系统在设计和运行过程中必须满足特定的安全性能要求。SIL等级越高，系统的安全性和可靠性要求也越高。SIL等级通常分为SIL1至SIL4，其中SIL4代表最高的安全性。以笔者目前了解的信息，除了核电行业，SIL4在化工行业很少有应用。
2.高可用性和可维护性
SIS系统设计的一个重要目标是确保高可用性和可维护性。这意味着系统在运行过程中应尽量减少停机时间，并确保在出现故障时能够迅速恢复正常运行。通过定期维护和检查，确保系统始终处于最佳工作状态。
3.多重冗余系统
为了提高系统的容错能力，SIS通常采用多重冗余结构。这种结构可以有效地提高系统的硬件故障裕度，即使出现单一故障，系统的安全功能也不会丧失。例如，三取二表决（2oo3）配置能够提供高度完善、无差错的控制，不会因单一故障导致控制中断。
4.全面的故障自诊断能力
SIS系统具备全面的故障自诊断能力，能够在系统运行过程中自动检测和诊断故障。这包括避免系统失效的要求以及系统故障控制的要求。当系统检测到故障时，会立即采取相应的措施，确保故障不会影响系统的正常运行。系统整体诊断覆盖率通常高达90%以上。
5.快速响应
SIS系统具有很高的实时性，能够在极短时间内响应输入变化。通常，从输入变化到输出变化的响应时间在50至100毫秒之间。这种快速响应能力对于及时处理突发事件和紧急情况至关重要，能够有效减少事故的发生和损失。
6.顺序事件记录功能
为了更好地进行事故分析与事后追忆，SIS系统通常具备事件顺序记录（SOE）功能。该功能能够按时间顺序记录各个指定输入和输出及状态变量的变化时间，记录精度一般精确到毫秒级。这有助于在事故发生后，快速查明原因并采取相应的改进措施。
7.系统独立性
SIS系统按照IEC 61511标准设计，通常不配备显示操作的人机接口，以避免人员误操作带来的风险。此外，SIS系统的逻辑控制器按照安全功能配置，不与其他系统联网，确保其独立运行。
三、SIS系统的冗余配置
如何确保SIS系统在工业过程安全运行方面发挥重要作用，并能够有效预防和控制各种潜在危险，保障人员、设备和环境的安全？危险化学品企业在考虑并设置SIS系统时，合理的冗余配置是保证以上SIS系统有效性的关键点。
在SIS系统中，冗余配置的应用是为了提高系统的安全性和可靠性，避免单一故障导致系统功能丧失。
如下表，笔者将GB/T50770《石油化工安全仪表系统设计规范》现行的2013版和2022版征求意见稿中核心冗余和独立性进行了简单梳理。我们可以看出，在逻辑控制器方面，新版征求意见标准里要求SIL1及其以上的SIS系统都需要采用冗余逻辑控制阀。对测量仪表和最终控制系统在SIL1场景中要求“可”采用单一测量仪表和单一控制阀，SIL2 场景中要求“宜”采用冗余测量仪表和冗余控制阀，这与之前2013版的要求一致。
下面对几种常规的冗余配置系统进行详细比较和分析：
1、 非冗余系统（1oo1配置）
非冗余系统是最简单的配置，即单路径系统（1oo1）。这种配置的优点是结构简单、成本较低，但其安全性和可靠性较低。例如，当继电器触点自主打开导致系统输出失电时，会引发误停车。假设这种模式下的失效概率为0.04，这意味着在一年内，系统发生误停车的概率为4%。也就是说，在一年内，100套系统中可能有4套系统出现误停车，或每25套系统中可能有1套系统出现误停车。
2、 双路径系统（1oo2配置）
在1oo2配置的系统中，两路输出串联，即系统只需任一通道动作就可以完成停车。这种配置的安全性较高，但可用性即误停车率也较高。例如，当单个通道故障导致误停车时，其概率为0.08。这意味着在一年内，100套系统中可能有8套系统发生误停车，或每12.5套系统中可能有1套系统发生误停车。
在危险模式下，只有当两个通道同时出现故障时，系统才会丧失其安全功能。如果一个输出触点粘连，另一个通道仍然能够失电并关停系统。两个通道同时出现危险失效的概率为0.0004（0.02 * 0.02）。这意味着在一年内，10000套系统中可能有4套系统不能正常响应，或每2500套系统中可能有1套系统不能正常响应。
3、 双路径系统（2oo2配置）
2oo2配置的系统为双路径系统，两路输出并联，两个通道必须同时动作才能完成停车。这种配置的误停车率较低，但其安全性也较低。例如，当两个通道同时出现故障时，系统将丧失其安全功能，失效概率为0.04。这意味着在一年内，100套系统中可能有4套系统不能正常响应，或每25套系统中可能有1套系统不能正常响应。
在两个通道同时出现安全失效时，系统才会发生误停车。两个通道同时失效的概率为0.0016（0.04 * 0.04）。这意味着在一年内，10000套系统中可能有16套系统发生误停车，或每625套系统中可能有1套系统发生误停车。
4、 三路径系统（2oo3配置）
在2oo3配置的系统中，系统采用三重化配置，三路输出并联，任意两路动作即完成停车。这种配置具有较高的安全性和可靠性，但成本较高。例如，系统的安全失效引起的误停车率为0.0048（0.0016 * 3），而危险失效率引起的安全功能丧失的概率为0.0012（0.0004 * 3）。
具体结果和分析如下图所示：
常规不同冗余配置系统的比较和分析
另外，对2oo4的冗余配置，考虑到成本在工程实际应用中相对较少。该系统采用四重化配置，四路输出并联，任意两路动作即完成停车。这种配置结合了高安全性和高可靠性，但成本也相应较高。例如，误停车(安全失效)率P=6*(0.04*0.04)为0.0096，这意味着在一年内，10000套系统中可能有96套系统发生误停车，或每104套系统中可能有1套系统发生误停车。危险故障(危险失效)率P=4*(0.02)3+(0.02)4为0.00003216，这意味着在一年内，100000套系统中可能有3.216套系统不能正常响应，或每31056套系统中可能有1套系统不能正常响应。
整体对比总结
1、 1oo1系统：安全性和可靠性较低，但结构简单、成本低。
2、 1oo2系统：安全性较高，但误停车率较高，适用于对安全性要求高的场景。
3、 2oo2系统：误停车率较低，但安全性较低，适用于对误停车率要求高的场景。
4、 2oo3系统：在安全性和可用性之间达到了较好的平衡，适用于对安全性和可用性均有较高要求的场景。
5、 2oo4系统：安全性非常高（需要至少三路同时失效才能丧失安全功能），可用性较高（误停车率较低），成本较高。
因此，在冗余配置方面，我们可以看出：1oo2系统比2oo3系统更安全，因为1oo2系统的危险失效概率较低，但其可用性即误停车率较高。2oo2系统的可用性即误停车率较低，但安全性不如2oo3系统。2oo3系统在安全性和可用性之间达到了较好的平衡，兼顾了安全性和可用性。2oo3和2oo4系统在安全性和可用性之间达到了较好的平衡，适合用于对安全性和可靠性要求极高的应用场景。
与硬件冗余不同，在化工企业SIS系统中，软件冗余是一种通过在软件层面实现冗余来提高系统可靠性和安全性的方法。一般包括以下四种类型：
1. 动态冗余（主备模式）：主控制器实时运行，备用控制器同步数据，故障时无缝切换（如1oo2架构），确保连续控制；
2. N版本编程：对关键算法（如联锁逻辑）由独立团队开发多个版本，通过投票机制（如2oo3）排除单点软件缺陷；
3. 恢复块：主逻辑模块执行失败后，自动切换至备用模块；
4. 静态冗余（多路执行）：并行运行相同逻辑，实时比对输出一致性（如反应器温度超限判断）。
在实际工作中，通过SIL验证分析可以看出，并不是设置冗余结构就能使SIS满足目标SIL。为了保证SIS系统的安全可靠性，必须在设计阶段进行SIF回路各子系统的冗余结构合理化设计，并避免过度设计。同时，在安装、调试、运行维护过程中应严格执行IEC 61511功能安全管理的相关规定，做好各个阶段的功能安全评估工作。
四、结语
国家对何时需要设置SIS系统也有明确的要求。2011年原安监总局40号令”《危险化学品重大危险源监督管理暂行规定》要求，涉及毒性气体、液化气体、剧毒液体的一级或者二级重大危险源，配备独立的安全仪表系统（SIS）。其他化工装置和危险化学品储存设施，应基于国家、行业或企业的风险矩阵，根据工艺过程危险和风险分析和保护层分析结果，来判断是否需要配置安全仪表系统（SIS）。
综上我们可以看出，石油化工企业在硬件冗余设计上，对SIL1 级别的测量仪表和控制阀可不采用冗余设计，SIL2级别的测量仪表和控制阀宜采用冗余设计，而SIL3级别的测量仪表和控制阀应采用冗余设计，逻辑控制器无论是SIL1级别、SIL2级别、SIL3级别都应采用冗余设计。
为了确保SIS系统的高可靠性、可用性和可维护性，危险化学品企业必须在设计、安装、调试和运行维护过程中，严格并合理执行最新标准和功能安全管理在共用和冗余的相关规定，进行全面的功能安全评估。
上一篇：预防粉尘爆炸的五大措施...
