紧急停车系统ESD

郭英才

中国化学工程第十一建设有限公司 河南开封 475002

大多石油和化工生产过程具有高温、高压、易燃、易爆、有毒等危险。当某些工艺参数超出安全极限，未及时处理或处理不当时，便有可能造成人员伤亡、设备损坏、周边环境污染等恶性事故。这就是说，从安全的角度出发，石油和化工生产过程自身存在着固有的风险。ESD 是Emergency shutdown System 的简称，中文的意思是紧急停车系统，它用于监视装置的操作，如果生产过程超出安全操作范围，可以使其进入安全状态，确保装置具有一定的安全度。ESD 主要应用于生产过程的联锁保护控制和停车控制以及装置的整体安全控制；火焰和气体检测控制；锅炉安全控制；燃气轮机、透平机、压缩机的机组控制；化学反应器控制；电站、核电站控制；铁路、地铁控制等领域。

1 工作原理

ESD 是一种经专门机构认证、具有一定安全度等级，用于降低生产过程风险的安全保护系统。它不仅能响应生产过程因超出安全极限而带来的危险，而且能检测和处理自身的故障，从而按预定的条件或程序使生产过程处于安全状态，以确保人员、设备及工厂周边环境的安全。

ESD 由检测单元（如各类开关、变送器等）、控制单元和执行单元（如电磁阀、电动门等）组成，其核心部分是控制单元。从ESD 的发展过程看，其控制单元部分经历了电气继电器（Electrical）、电子固态电路（Electronic）和可编程电子系统（Programmable Electronic System），即E/ E/ PES 三个阶段。图1为由PES 构成的ESD。

2 特点及优越性

图1 ESD的构成

ESD 紧急停车系统按照安全独立原则要求，独立于DCS 集散控制系统，其安全级别高于DCS。在正常情况下，ESD 系统是处于静态的，不需要人为干预。作为安全保护系统，凌驾于生产过程控制之上，实时在线监测装置的安全性。只有当生产装置出现紧急情况时，不需要经过DCS 系统，而直接由ESD 发出保护联锁信号，对现场设备进行安全保护，避免危险扩散造成巨大损失。

根据有关资料，当人在危险时刻的判断和操作往往是滞后的、不可靠的，当操作人员面临生命危险时，要在60s 内做出反应，错误决策的概率高达99.9%。因此设置独立于控制系统的安全联锁是十分有必要的，这是做好安全生产的重要准则。该动则动，不该动则不动，这是ESD 系统的一个显著特点。

当然一般安全联锁保护功能也可由DCS 来实现。那么为何要独立设置ESD 系统呢？因为对于较大规模的紧急停车系统应按照安全独立原则与DCS 分开设置，这样做主要有以下几方面原因：

（1）降低控制功能和安全功能同时失效的概率，当维护DCS 部分故障时也不会危及安全保护系统；

（2）对于大型装置或旋转机械设备而言，紧急停车系统响应速度越快越好。这有利于保护设备，避免事故扩大，并有利于分辨事故原因记录。而DCS 处理大量过程监测信息，因此其响应速度难以作得很快；

（3）DCS 系统是过程控制系统，是动态的，需要人工频繁的干预，这有可能引起人为误动作,而ESD 是静态的，不需要人为干预，这样设置ESD 可以避免人为误动作。

ESD 紧急停车装置，在石化行业以及大型化工企业中都有着广泛的应用。实际上它也是通过高速运算PLC 来实现控制的，它与PLC 的本质区别在于它的输入输出卡件上，因为一切为了安全考虑，所以在硬件保护上做得较为完善，而且考虑到在事故状态下，现场控制阀位及各个开关的位置。

3 ESD设计应遵循的原则

ESD 设计原则上应独立设置（含检测和执行单元），中间环节应做到最少；应为故障安全型；并应采用冗余容错结构。

3.1 故障安全原则

组成ESD 的各环节自身出现故障的概率不可能为零，且供电、供气中断亦可能发生。当内部或外部原因使ESD 失效时，被保护的对象（装置）应按预定的顺序安全停车，自动转入安全状态（Fault to Safety），这就是故障安全原则。具体体现：

（1）现场开关仪表选用常闭接点，工艺正常时，触点闭合，达到安全极限时触点断开，触发联锁动作，必要时采用“二选一”、“二选二”或“三选二”配置。

（2）电磁阀采用正常励磁，联锁未动作时，电磁阀线圈带电，联锁动作时断电。

（3）送往电气配电室用以开/ 停电机的接点用中间继电器隔离，其励磁电路应为故障安全型。

（4）作为控制装置（如PLC）“故障安全”意味着当其自身出现故障而不是工艺或设备超过极限工作范围时，至少应该联锁动作，以便按预定的顺序安全停车（这对工艺和设备而言是安全的）；进而应通过硬件和软件的冗余和容错技术，在过程安全时间（PST- Process Safety Time）内检测到故障，自动执行纠错程序，排除故障。

3.2 安全性及响应失效率

当工艺条件达到或超过安全极限值时，ESD 本应引导工艺过程停车，但由于其自身存在隐故障（危险故障）而不能响应此要求，即该停车而拒停，降低了安全性。衡量安全性的指标为响应失效率或称要求的故障率, 它是安全联锁系统按要求执行指定功能的故障概率, 是度量安全联锁系统按要求模式工作故障率的目标值。

3.3 冗余和容错

3.3.1 冗余（Redundant）

冗余是指具有指定的独立的N∶1 重元件，并且可以自动地检测故障，切换到后备设备上。

3.3.2 冗余系统（Redundant System）

冗余系统是指并行地使用多个系统部件，以提供错误检测和错误校正能力的系统。

3.3.3 容错（Fault Tolerant）

容错是指具有内部冗余的并行元件和集成逻辑，当硬件或软件部分故障时，能够识别故障并使故障旁路，进而继续执行指定的功能或在硬件和软件发生故障的情况下，系统仍具有继续运行的能力。它往往包括三方面的功能：

（1）约束故障，即限制过程或进程的动作，以防止在错误被检测出来之前继续扩大；

（2）检测故障，即对信息和过程或进程的动作进行动态检测；

（3）故障恢复即更换或修正失效的部件。

3.3.4 容错系统（Fault Tolerant System）：

容错系统是指具有容错结构的硬件与软件系统，通过冗余和故障屏蔽的结合来实现容错。

容错系统一定是冗余系统，冗余系统不一定是容错系统。容错系统的冗余形式有双重、三重、四重等。图2 和图3 分别表示CPU 冗余（双机热备）和三重模块冗余（TMR）容错系统。现场设备

图2 CPU冗余（双机热备）

图3 模块三重冗余容错系统

4 ESD和DCS的区别以及普通PLC和安全PLC的区别

4.1 ESD和DCS的区别

如表1 所示。

表1 ESD和DCS的区别

4.2 普通PLC和安全PLC的区别

普通PLC 和可以作为ESD 控制部分的安全PLC 的主要区别在于，普通PLC 不是按故障安全型设计的，当系统内部元件出现短路故障时，它并不能检测到，因此其输出状态不能保证系统回到预定的安全状态。这种PLC 只能用于安全度等级要求低的场合。

4.3 安全PLC具备的条件

作为安全PLC，至少应具备以下几点：

（1）满足相关安全标准规范要求，且经过权威机构认证，取得了相应安全等级证书；

（2）在硬件和软件上采用冗余、容错措施，具有完善的测试手段，当检测到系统故障，特别是危险故障时能使系统回到安全状态；

（3）能进行系统故障报警、指示故障原因、故障位置，便于在线维护；

（4）能与DCS 或其它设备进行通讯。

5 工艺过程风险的评估及安全度等级的评定

5.1 不同标准对工艺过程风险的评估及安全度等级的要求

不同的工艺过程（以生产规模、原料和产品的种类、工艺和设备的复杂程度等）对安全的要求是不同的。一个具体的工艺过程，是否需要配置ESD、配置何种等级的ESD，其前提应该是对具体的工艺过程进行风险的评估及安全度等级（SIL）的评定。

SIL 是Safety Integrity Level 的简称，中文的意思就是安全等级，它是美国仪表学会(ISA)在S84.01 标准中对过程工业中安全仪表系统所作的分类等级。SIL 分为1、2、3 级，SIL1 级每年故障危险的平均概率为0.10- 0.01 之间，仅对少量的财产和简单的生产进行保护；

SIL2 级每年故障危险的平均概率为0.01- 0.001 之间，对大量的财产和复杂的生产进行保护，也对生产操作人员进行保护；

SIL3 级每年故障危险的平均概率为0.001- 0.0001 之间，对工厂的财产、全体员工的生命和整个社区的安全进行保护。

IEC61508 标准是国际电工委员会（IEC）对与安全相关的控制系统制定的性能安全标准，与ISA 的SIL 相比，除了覆盖ISA中的SIL1- 3 级以外，增加了第4 级标准。IEC SIL4 级标准每年故障危险的平均概率为0.0001- 0.00001 之间，避免灾难性的、会对整个社区形成巨大冲击的事故。

T V 标准是德国莱茵认证机构对工业过程安全控制系统所作的分类等级，T V 共分为8 级（AK1- AK8），AK1/ 2 对应于SIL1 级，AK3/ 4 对应于SIL2，AK5/ 6 对应于SIL3,AK7 对应于SIL4，AK8 是目前最高级别的安全标准，故障概率大于十万分之一。几个标准对风险的评估及安全度等级之间的关系见表2。

在确定了某个具体工艺过程的安全度等级（SIL）之后，再配置与之相适应的ESD。

由表2 可以看出，若某工艺过程经评定后为SIL 2，则配置达到AK4 的ESD 即可，其响应失效率（PFD）为百分之一至千分之一之间。应该注意的是不同安全级别的ESD，只能确保响应失效率（PFD）在一定的范围内，安全级别越高的ESD，其PFD越小，即发生事故的可能性越小，但它不能改变事故造成的后果。因此，工艺过程安全度等级的评定是一项十分重要的工作。但目前我国尚无如何评定安全度等级的标准和规范。

表2 几个标准对风险的评估及安全度等级之间的关系表

5.2 风险矩阵（RISKMATRIX）评估方法

这种方法以工艺过程事故出现的频率（可能性）及其危害程度（严重性）为风险评估的指标，并对频率和危害程度人为量化为若干级，做出矩阵表（见表3）。以此确定工艺过程度安全度等级。

表3 风险矩阵（RISKMATRIX）评估方法矩阵表

表3 中频率分级的年限（多少年出现一次）考虑了采用DCS进行监视、控制以及正常操作规程等对于降低事故出现频率的贡献，但不考虑ESD 的存在。

表4 中危害程度从经济损失、人身伤害和环境危害三个方面予以量化。

表4 风险危害程度量化表

紧急停车系统作为一套安全保护系统具有很高的可靠性、安全性和可用性。随着现代计算机技术的发展，紧急停车系统ESD 的设备配置也在不断地更新换代，由低级到高级；由气动逻辑到继电器逻辑；由简单的继电器系统到微控制系统为主的系统；由单回路系统到冗余和冗错系统。可以预计ESD 系统在现代工业生产安全控制中将得到更广泛的应用。