​1. 安全仪表系统的定义及相关概念

1.1 安全仪表系统的定义

安全仪表系统（Safety Instrument System，SIS）是用来实现一个和多个安全仪表功能的控制系统。安全仪表系统的设计是为了应对生产过程中本身发生的危险情况，在工艺生产过程或生产装置中发现潜在的危险工况或出现各种危险条件，安全仪表系统必须按照预先设定的程序，及时输出安全保护指令，使工艺过程或生产装置回到安全状态，以防止任何危险的发生或减轻事故后果，最终保证人员、设备和环境的安全。

1.2 安全仪表系统的构成

安全仪表系统主要包括测量单元、逻辑控制单元和执行单元，再配合相应的软件组成。通常与基本过程控制系统（如：DCS系统）有通讯要求，共同组成生产装置的过程仪表控制系统。其故障失效率的计算方法如下：

图4-3-1 构成图

1.3 安全完整性等级（safety integrity level，SIL）

安全完整性等级是一种国际通用的“标准语言”，目的是用一种简单的方法来划分工艺装置中每个安全仪表回路的安全等级要求。是SIS系统设计中必须遵从的一个重要安全指标。

依据IEC标准由低到高划分为SIL1-SIL4， ISA 84.01标准划分为SIL1-SIL3，DIN V VDE0804标准由低到高划分为AK1-AI8，它们之间的对应关系如下。

表4-1 安全完整性等级

1.4 安全生命周期

安全仪表系统的安全生命周期也是一个非常重要的概念，要保证工艺装置的安全生产运行，不但要选择合适的控制系统，而且对工艺过程的风险评估、安全回路等级划分和控制系统的维护管理也非常重要。

SIS系统的整个安全生命周期可分为分析、工程实施及操作维护3大阶段。在分析阶段，要辨识工艺过程的潜在危险，并对其后果和可能性进行分析，以便确定过程风险及必要的风险降低要求。工程实施阶段主要完成SIS的工程设计、仪表选型，安全逻辑控制器的硬件配置、软件组态以及系统集成，完成操作和维护人员的培训，完成SIS的安装和调试，以及SIS的安全验证。操作维护阶段在整个安全生命周期中时间区间最长，包括操作和维护、修改和SIS的停用。

在SIS系统设计选型后，要根据可靠性数据和操作模式，对安全仪表功能的危险失效概率或危险失效频率进行计算，评定是否满足目标安全仪表的功能安全要求。这是保证必要的风险降低和功能安全仪表功能安全的重要环节。同时，在SIS运行后，日常维护、修改管理、周期性检验测试、功能安全审计等也是功能安全的核心工作。

1.5 安全仪表系统相关术语

·安全仪表功能 （Safety Instrument Function，SIF）：具有特定SIL等级的，用于达到功能安全的安全仪表功能。

·故障（fault）：使功能单元执行要求之功能的能力降低或失去其能力的异常状况。

·失效（failure）：功能单元执行一个要求功能之能力的终止。

图4-3-2 安全生命周期工作流程图

·危险失效（dangerous failure）：使安全相关系统处于潜在的危险或丧失功能状态的失效。

·安全失效（safe failure）：不可能使安全相关系统处于潜在的危险或丧失功能状态的失效。

·容错（Fault Tolerance）：在出现故障或误差的情况下，功能单元继续执行安全功能的能力。

·冗余（Redundancy）：使用多个元素和系统执行同一个功能。

·表决（voting）：指冗余系统中用多数原则将每个支路的数据进行比较和修正，从而最后确定结论的一种机理。

·可用性（Availability）：系统可以使用工作时间的概率。

·可靠性（Reliability）：系统在规定时间间隔内发生故障的概率。

·风险（Risk）：发生伤害的可能性与这一伤害的严重性的组合。

·MTTF：平均无故障时间。

·MTTR：平均修复时间。

·MTBF：平均故障间隔时间。

2 安全仪表系统的分类及应用

目前的流程工业领域对安全仪表系统非常重视，大部分装置都使用了安全PLC系统，只有极个别的应用因点数非常少或老装置未改造，仍然使用继电器联锁逻辑保护或固态电路系统。但就其功能和作用而言都属于安全仪表系统。

2.1 继电器控制系统

继电器控制系统，其逻辑功能由传统的继电器来完成的，比如控制时间，就有相应的时间继电器。

继电器的控制是采用硬件接线实现的，利用继电器机械触点的串联或并联及延时继电器的滞后动作等组合形成控制逻辑，只能完成既定的逻辑控制，通过重新接线来重新编程。

继电器控制系统在投运较早的老装置中使用较为普遍。一般设置辅助操作面板，其中有重要的工艺参数指示和报警、手动停车及复位、投运按钮等部分，而对于大型机组等设备运行状况和保护，也引入主控制室显示和报警，停车保护则一般采用设备自带的特殊仪表系统来完成。

2.2 固态电路系统

采用模块结构,采用独立固态器件,通过硬接线来构成系统,实现逻辑功能，其特点是结构紧凑,可进行在线测试,易于识别故障，易于更换和维护,可进行串行通信,可配置成冗余系统，但灵活性不够,逻辑修改或扩展必须改变系统硬连线,大系统操作费用较高,可靠性不如继电器系统。

2.3 可编程逻辑控制器（PLC）

可编程逻辑控制器（ P r o g r a m m a b l e L o g i c Controller，PLC），它采用一类可编程的存储器，用于其内部存储程序，执行逻辑运算、顺序控制、定时、计数与算术操作等面向用户的指令，并通过数字或模拟式输入/输出控制各种类型的机械或生产过程。

PLC的硬件结构基本上与微型计算机相同，包括电源、中央处理单元（CPU）、存储器、输入输出接口电路、功能模块、通信模块。其控制逻辑是以程序方式存储在内存中，要改变控制逻辑，只需改变程序即可。

随着人们对安全认识的提高和产品技术的发展，经过认证的安全PLC成为新建装置中安全保护仪表系统的首选。通常根据其结构形式的不同，主要有以下3种主流 CPU 结构：

·冗余容错自诊断结构，即1002D 结构（诊断率99.99%）。

·三重化表决冗余容错自诊断结构，即2003D 结构（TMR 诊断率70%）。

·CPU 四重化冗余容错自诊断结构，即2004D 结构（QMR诊断率99.99%）。

对于这3种不同的结构，安全系统的性能是不同的。

对于第一种1002D的结构，当第一个CPU被诊断出故障时，该CPU被切除，另一个 CPU 继续工作。若要应用在AK6安全等级，根据AK6的要求，如果第一个CPU不能在其被诊断出故障后1小时内修复，系统会在1小时后自动停车以保证故障安全。

对于第二种结构，如美国TRICONEX公司的Tricon系统就是采用TMR 技术，它通过了TUV SIL3/AK6的等级认证，其CPU和I/O 卡件三重化冗余容错设计，是基于高度稳定的硬件基础上。

对于第三种结构，如德国HIMA公司的PES，4个CPU分成两对，既同时工作又相互独立。当其中一个CPU被诊断出故障时，则该对CPU被切除，所剩一对CPU继续以1002D的模式工作。这对独立工作的CPU仍满足安全等级AK6（SIL3）的要求。只有当这对CPU其中再有一个故障时，系统才考虑停车。所以，此结构对于故障修复时间没有限制。

2.4 主要安全PLC系统

在国内石化行业中应用的SIS产品中，经过TUV认证的主要有：

·Tricon、Triden，美国TRICONEX公司开发用于压缩机综合控制（ITCC）、紧急停车系统和FGS火气报警系统。安全等级为AK6（SIL3）。

·FSC（Fail safe control），Honeywell公司SIS系统。安全等级可达AK6（SIL3）。

·德国HIMA公司的H41q和H51q系统，具有TUVAK1~AK6级认证。

· Prosafe-RS，横河电机安全仪表系统，具有TUVAK1~6级认证。

· S I M A T I C S 7 – 4 0 0 F / F H ， 德国S I E M E N S 公司产品， 取得T U V 认证， 安全等级为A K 1 ~ A K 6（SIL1~SIL3）。

·Regent Trusted，美国ICS 安全系统。安全等级AK4~AK6（SIL2~SIL3）。

·GMR90-70，美国GE Fanuc公司系统。

2.5 安全仪表系统应用领域

安全仪表系统用于保护各类生产过程中人身、设备、财产和环境的安全，主要应用领域有：

·石油化工装置

·化工装置

·石油液化气开采（平台）、油气输送和存储

·电力、锅炉、核电

·交通、冶金、环保、汽车制造

·大型机械、旋转设备

3.安全仪表系统的相关标准和认证

3.1 国外相关标准

·1984年，TUV可编程电子PES指南（指导手册）。

·1989年， DIN V 19250/VDE V 0801。

DIN V 19250《控制技术：测量和控制设备应考虑的基本安全原则》，世界上第一个过程工业安全设备分级标准AK1-8。

DIN V VDE V 0801《计算机在安全相关系统中的原理》，功能安全的概念也由此产生。提供了可编程电子系统能够满足DIN V 19250级别的方法。

·1994年，DIN V 19250/VDE V 0801。

·1996年，ANSI/ISA- 84.01-1996安全仪表系统在过程工业中的应用，安全完整性等级SIL+安全生命周期SLC。

·1998年，IEC61508《电气电子可编程电子安全相关系统的功能安全》于1998年发布其第1、3、4和第5部分，2000年发布其第2、6和第7部分。

·2003年，IEC61511《过程工业领域安全仪表系统的功能安全》过程工业领域分支标准发布。

·2004年，EN IEC61511（CENELEC）欧洲电气技术标准化委员会将IEC61511接纳为欧洲标准。

·2004年，ANSI/ISA- 84.00.01-2004（IEC61511Modified），完全取代了ANSI/ISA- 84.01-1996。

3.2 国内相关标准

·1999年，SHB-Z06-1999《石油化工紧急停车及安全联锁系统设计导则》，采用了IEC标准中的一些理念。

·2003年，SY/T10045-2003《工业过程中安全仪表系统的应用》国家经济。贸易委员会发布，作为天然气行业标准。等同采用ISA- 84.01-1996。

·2004年，SH/T3012-2003《石油化工安全仪表系统设计规范》，国家发改委颁布实施了石油化工行业标准。

·2006年，GB/T20438.1-2006《电气/电子/可编程电子安全相关系统功能安全》，等同IEC 61508， 推荐实施标准。

·2007年，GB/T21109.1-2007《过程工业领域安全仪表系统的功能安全》，等同IEC 61511， 推荐实施标准。

·2010年，系统及功能分技术委员会SAC/TC124/SA10正式成立。

·2013年，国家标准《油气管道安全仪表系统的功能安全》草案正在修改过程中。

·2013年，国家标准，GB-T50770-2013《石油化工安全仪表系统设计规范》，正式发布、取代原SH/T3012-2003标准。

3.3 SIS相关认证

涉及产品安全认证，主要有TUV、CB、CCC、UL、FCC、CSA及北欧4国认证等，使用最多并得到广泛认可的是TUV-GS认证，GS的参考标准是VDE和DIN（德国标准协会）标准，如果产品具有GS标志，代表该产品符合最新的欧洲和德国标准。GS的含义是德语“Geprufte Sicherheit”（安全性已认证），也有

“Germany Safety”（德国安全）的意思。德国莱茵公司技术监督公司（TUV）是德国最大的产品安全及质量认证机构，在欧洲久享盛誉。设有该机构分公司的国家和地区可以方便地申请GS标志及其他国家的安全认证。

目前市场上SIS产品也以通过TUV认证居多，通过认证的每种产品都有达到AK1-AK8 安全等级的具体说明，用户可根据过程的具体需要配置相应等级的SIS产品。

4. 安全仪表系统的特点及作用

4.1 安全仪表系统的特点

SIS能够检测潜在的危险故障，具有高安全性。

SIS需符合国际安全标准规定的仪表安全标准，从系统开发阶段开始，要接受第三方认证机构的审查，取得认证资格，系统方可投入实际运行。

·SIS自诊断覆蓋率大，诊断覆蓋率是指可在线诊断出的故障系统全部故障的百分数。

·SIS由采取冗余逻辑表决方式的输入单元、逻辑结构单元、输出单元3部分组成系统，逻辑表决的应用程序修改容易，特别是可编程型SIS，根据工程实际修改软件即可。

·SIS设计特别重视从传感器到最终执行机构所组成的回路整体的安全性保证，具有I/O断线、短路等的监测功能。

4.2 安全仪表系统与DCS系统功能区别

从控制系统本身运行模式来看，DCS是“动态”系统，它始终对过程变量连续进行检测、运算和控制，对生产过程进行动态控制，确保产品的质量和产量；SIS是“静态”系统，正常工况时，它始终监视生产装置的运行，系统输出不变，对生产过程不产生影响，非正常工况下时，它将按照预先的设计进行逻辑运算，使生产装置安全联锁或停车。

从控制系统的作用来看，DCS用于生产过程的连续测量、常规控制（连续、顺序、间歇等）、操作控制管理，保证生产装置的平稳运行；SIS用于监视生产装置的运行状况，对出现异常工况迅速进行处理，使危害降到最低，使人员和生产装置处于安全状态。

图4-3-3 运用安全系统规避风险和危险

从控制系统本身的安全可靠性来看，SIS比DCS在可靠性、可用性上要求更严格。

4.3 安全仪表系统的作用于地位

在流程工业生产运行过程中，DCS、SIS、FGS的系统共同构成一整套完整的自动控制与安全保护系统，他们的作用相辅相成、又相对独立。

DCS作为基本过程控制系统，主要对生产指标进行实时连续的监控和调节，同时，DCS也对工艺风险起到了第一道防护和报警提示的作用；SIS系统对工艺风险起到了第二道防护作用，其结果是安全联锁停车，使工艺装置回到安全状态，避免事故的发生；FGS的作用降低事故发生后的危害程度。

图4-3-4表示了他们之间的关系；所以IEC61508、IEC61511、ISA S84.01、GB-T50770-2013《石油化工安全仪表系统设计规范》等标准强烈推荐SIS与DCS硬件独立设置。

图4-3-4 安全仪表系统的独立保护层

5 安全仪表系统选型注意事项

随着技术的进步，为提高产能，石化工业向大型联合装置一体化控制和长周期运行方向发展，这将对装置中运行的设备以及装置的安全保护功能提出更高的要求，特别对传统的安全仪表设计理念提出挑战，在传统的安全仪表设计中人们最容易犯的错误是“或左”、

“或右”、“或片面”。如：

·为降低初期投资，不重视安全仪表系统。

·片面提高系统的SIL功能安全等级，疏忽了系统的可用性要求。

·片面要求控制器部分，疏忽了现场测量和执行部分的设计选型。

·片面要求安全仪表系统本身的功能，疏忽了安全生命周期其他各阶段工作的重要性，如先期的HAZOP、安全需求设计规则（SRS）和后期的操作维护管理规范。

·片面看重硬件，疏忽项目管理和执行，包括各阶段的审查工作和人员资质要求。

综上所述，为适应大型化、一体化和长周期安全稳定运行的需要，特提出以下几方面的选型设计要点，希望引起大家的重视。

5.1 坚持功能安全第一的设计理念

在安全仪表系统设计过程中，始终铭记合理有效降低风险的设计理念，遵循IEC 61511独立保护层（IPL）安全规范要求，保证安全仪表系统的独立设置。

人们很容易混淆的概念是“只有安全仪表系统才起安全保护作用”，实际上在IEC61511标准中描述了独立保护层（IPL）的概念，在有效降低风险的计算过程中，每个安全相关的保护层都起到了一定的作用，这样才会使总的PFDavg达到要求的目标值，如果把SIS和DCS合用一套系统实现，将会出现如下风险：

·违反IEC61511独立保护层的规范。

·原来系统有效的PFDavg值将会相对增大，这样会降低系统的SIL等级。

·SIS与DCS合用，将会在产品设计阶段带来共同原因故障，降低了产品的SIL安全等级。

5.2 统筹考虑完整的安全仪表回路设计

在SIS系统设计选型时，很容易只要求控制器部分的安全性，忽略了现场仪表的安全要求，实际上安全仪表系统包括了测量单元、逻辑控制单元和执行单元，安全仪表回路的SIL等级要求是指从测量到逻辑控制和控制阀执行整个回路的故障失效率。实际上，就整个安全回路来看，由于测量现场测量和执行单元故障可能导致的危险在90%以上，控制器本身故障可能导致的危险不到10%。

5.3 采用冗余容错技术，兼顾和提高安全仪表系统的可用性

因为大部分流程工业，如乙烯等石化装置多是高风险易燃易爆的连续生产装置，要求安全仪表系统有很高的安全等级-SIL3。同时这类装置的生产效益极高，如果由于仪表系统误停车，将给生产企业带来很大的经济损失，同时由于误停车导致的装置不稳定，从而引起工艺气放火炬燃烧，会给环境带来污染。也无从谈起长周期运行。

比如，用1oo1D的结构也可达到SIL3等级，但可用性低，不适于高经济效益的装置。

图4-3-5

5.4 保持安全等级不下降，考虑系统的在线可维护性

为适应装置的长周期运行，在生产过程中必然要对系统进行必要的维护保养工作。那么，系统是否可以在线维护就显得非常重要，而且维护的方便性也非常重要，因为在维护过程中由于人为失误引起的误停车概率也是非常大的，所以，在系统在线维护时，尽可能不动外围用户接线端子是最安全的方式。在线维护可能的工作包括以下事项：

·控制系统部件的在线维修、更换。

·控制系统软件的在线修改下装。

·执行单元的在线维修、更换，选用SIL3等级的冗余安全电磁阀。

·现场变送器选用2003表决方式，一般情况下，一个变速器达不到安全要求，两个串联时可用性降低，所以2003是最适合的方式。

5.5 保持安全等级不下降，使用在线测试技术

在装置的长周期运行过程中，要保证高安全等级要求的回路等级始终满足要求，就要从技术手段上采取措施，最常用的手段就是在线回路测试。

比如，对SIL3等级要求的回路，在安全停车阀的设计中，由于两个以上的阀门串联设计费用很高，所以一般采用一个阀门，通过定期自动测试的原理来提高阀门的安全等级；对于测量变送器，通常采用2003的方式，这样在运行中可以拿出来其中的一个变送器进行校验测试。

5.6 重视整个安全生命周期内的HAZOP、设计、实施、维护规范

请记住，系统故障风险不只是来自系统硬件和软件本身，还包括由于设计和管理的不完善带来的风险：

·不重视HAZOP分析，可能把安全等级的要求降低，从而给将来长周期运行带来风险。

·不重视HAZOP分析，漏掉了某些安全仪表功能，那么，系统再安全可靠都无济于事。

·不重视安全需求设计，比如系统供电、接地设计，那么一旦外部原因故障，系统再安全可靠都无济于事。

·不重视安全需求设计，比如LDPE等装置的快速响应要求，如果系统的响应时间大于过程安全时间，那么系统再安全可靠都无济于事。

·不重视操作维护管理，比如仪表维护开关使用的确认，很容易引起人为停车或安全隐患。

·有利于降低系统失效的概论（ S y s t e m a t i cFailures）。

5.7 要有专业的团队负责整个项目的管理和实施

根据IEC 61511 -1， 5.2.2 和IEC61508-1，6.2.1 中的规范要求， 从事安全生命周期各阶段工作的个人、部门和团组应该具备相应的能力、工程经验、安全知识并经过专业的培训。

6 安全仪表系统的设计原则

安全仪表回路的设计选型要从测量单元、逻辑控制单元和执行单元综合考虑，在整个选型设计过程中既要满足安全仪表功能的安全等级要求，又不要过度设计，以免过度增成本投入。所以，系统选型设计要根据工艺装置的特点和用户实际需求综合考虑。

以下参考最新国家标准，GB-T50770-2013《石油化工安全仪表系统设计规范》简要介绍一下SIS各单元的设计原则。

6.1 安全仪表系统设计的基本原则

·独立设置原则：一般情况下，SIS应独立于过程控制系统，其检测元件、 执行元件和逻辑运算器及通信部分都应单独设置。对于不能单独设置的SIS系统要确保SIS作用优先于过程控制系统。1级SIS逻辑运算器宜与DCS分开；2级SIS逻辑运算器应与DCS分开；3级SIS逻辑运算器必须与DCS分开。

·冗余设置原则：1级SIS可采用单一的逻辑运算器；2级SIS宜采用冗余或容错逻辑运算器，其中CPU电源单元，通信单元应冗余配置，I/O模件宜冗余配置；

3级SIS应采用冗余容错逻辑运算器；其中CPU电源单元，通信单元，I/O模件应冗余配置。

·结构选用原则：冗余结构既适用于软件又适用于硬件，可选用一选一、 二选一、三选二等结构，同时要考虑是励磁停车还是非励磁停车。

·选择采用技术的原则：可采用电气、电子或可编程电子技术，也可以采用由它们组合的混合技术。

·故障安全型原则：SIS 系统应是故障安全型的，即在系统故障时应保证过程是安全或趋于安全的状态。

·中间环节最少原则：SIS的中间环节应是最少的。

6.2 测量仪表的选型

·测量仪表是安全仪表系统的组成部分。测量仪表包括模拟量和开关量测量仪表两种。安全仪表系统宜采用模拟量测量仪表。

·测量仪表宜采用4~20mA叠加HART传输信号的智能变送器。

·在爆炸危险场所， 测量仪表应采用隔爆型（Ex d）或本安型（Ex i）；当采用本安型时，应采用隔离式安全栅。

·现场安装的测量仪表，防护等级应不低于IP65。

·测量仪表不应采用现场总线或其他通信方式作为安全仪表系统的输入信号。

·测量仪表及取源点宜独立设置。

6.3 逻辑控制器的选型

·逻辑控制器是安全仪表系统的组成部分。逻辑控制器应由可编程电子系统或继电器系统构成,也可混合构成。

·逻辑控制器应采用国家权威机构功能安全认证的可编程电子系统。

·对于输入输出点数较少、逻辑功能简单的场合，逻辑控制器可采用继电器系统。

·逻辑控制器的响应时间包括输入输出扫描处理时间与中央处理单元运算时间，一般为100～300ms。

·逻辑控制器的中央处理单元负荷不应超过50%。

·逻辑控制器的内部通信负荷不应超过50%，采用以太网的通信负荷不应超过20%。

6.4 最终元件的选型

·最终元件是安全仪表系统的组成部分。最终元件包括控制阀（调节阀、切断阀）、电磁阀、电机等。

·安全仪表系统的最终元件宜采用气动控制阀，不宜采用电动控制阀。

7 安全仪表系统发展现状及趋势

安全仪表系统的发展就控制系统本身的类型来看，经历了继电器=

固态逻辑=

单PLC=

冗余PLC=

安全认证系统等类型的升级换代。目前大部分新建的有安全SIL等级要求的工艺生产装置都使用了经过安全认证的PLC系统。对SIL 3等级的回路，如需要中间继电器，该继电器一般也要求有安全认证。

安全仪表系统的应用领域也越来越广，从国际和国内来看，人们对安全和环保的认识不断提高，所以对安全保护相关设备的要求也不断提高。目前，安全仪表系统在油气开采、油气运输、各种石油化工装置、电力、锅炉、核电、交通、冶金、环保、汽车制造、大型机械等工业领域都是必须配置的系统。

安全仪表系统就其功能设置的要求也越来也严格，比如，早期的安全联锁系统可能会用DCS系统来实现部分联锁回路功能，随着IEC等国际标准在国内的应用推广，人们从理论层面对安全标准的认识和理解提高一大步，另一方面，人们从以往装置事故中的惨痛教训引出经验，安全仪表系统不但要上，而且应把安全仪表系统和DCS系统从软硬件功能上独立设置。

安全仪表系统就其功能范围及名词定义上也不断地规范, 以下是我们经常遇到的有关安全仪表系统功能的各种名称解释。

·安全仪表系统（Safety Instrument System—SIS）。

·仪表保护系统（Instrument Protective System—IPS）。

·透平压缩机集成控制系统（Integrated Turbo &Compressor Control System—ITCC）。

·火灾及气体检测系统（Fire and Gas System—FGS）。

·紧急停车系统（Emergency Shutdown Device—ESD）。

·燃烧管理系统（Burner Management System—BMS）。

·高完整性压力保护系统（High Integrity Pressure Protection System,HIPPS）。

就目前安全仪表的名词解释中，SIS应该是目前最标准的一种说法，从发展趋势的角度可以看出，SIS名词的应用实际上是对安全仪表系统相关工作内容或范畴要求的更加全面系统，从只重视安全仪表系统控制器本身的性能，转变为重视安全生命周期全过程中各阶段的工作，从工艺装置的HAZOP、安全仪表回路的设计、安装、调试及操作维护等方面的工作都非常重要。