基于蓄热氧化的安全仪表技术设计研究

肖 正

（1.瓦斯灾害监控与应急技术国家重点实验室，重庆 400037；2.中煤科工集团重庆研究院有限公司 瓦斯研究分院，重庆 400037）

0 引 言

现有的瓦斯蓄热氧化井筒加热系统是一种新型的工业过程控制系统。温度、瓦斯气体流量、浓度及压力等参数经过传感器采集后直接显示在监控系统上。现有的监控系统存在无法实现远程、智能化的故障诊断和紧急停车等问题，很大程度上制约了系统安全稳定运行。安全仪表系统作为一种能够诊断潜在危险的停车保护系统，在本质安全中起着安全防范的作用。

20世纪科学技术的飞速发展促进了经济和工业的进步，同时也造成了严重的能源消耗。信息化、机械化的大量应用和工业的快速发展伴随着潜在风险的增加。为了降低设备的故障率，有必要开发一个对设备异常进行预检测和诊断的决策系统。

20世纪60年代，以继电器元件为起始，逐渐从简单的继电器系统发展到微处理器和可变程序调节器，从单回路系统发展到冗余容错系统，能够检测系统的异常行为，并启动计划给予反馈。

20世纪70年代，在冗余机制方面，安全系统采用了三重冗余多数表决机制(TMR)。

20世纪90年代，伍德沃德公司的Micro-net TMR系统、康吉森公司的Tricon系统、霍尼韦尔公司的FSC系统、英国工业控制服务集团公司的Regent系统等推出了三重化冗余、冗错功能的安全系统。

容错机制是指当一个或多个组件发生故障时，系统可以继续运行。容错系统的目的是发现故障并清除故障的影响。安全仪表系统能够实现系统相关设备故障冗余和自诊断的容错特性。

1 安全仪表系统

1.1 系统组成

安全仪表系统（SIS）对生产设备装置存在的潜在的危险或不采取措施将继续恶化的态势作出反应，使系统能处于安全停车的工况，降低危险的程度和损失。

一般安全等级高于控制系统，联锁信号由安全仪表系统直接触发。安全仪表系统由传感器、运算处理器和执行元件组成。传感器检测现场的数据是否异常，通过运算处理器开发的算法输出控制信号，执行元件接收到控制信号并发出指令，消除过程中隐患。

安全仪表系统主要分为2类：硬线式和可编程式。

（1）硬件线路采用模块化架构，设计了独立的器件，器件之间的逻辑关系是通过硬线构建的。同时，可以在线诊断和测试系统的输入/输出通道，便于故障识别和处理、串行通信、维修更换。通常采用冗余配置来提高系统冗余容错性能。

（2）可编程系统应用最广泛。系统以运算处理器为基础，一般采用模块化结构。通过软件和电子固件对逻辑程序进行编程，具有强大、方便的编程能力。

安全仪表系统组成结构如图1所示。

图1 安全仪表系统组成结构Fig.1 Composition structure of safety instrument system

1.2 安全回路设计

对于蓄热氧化复杂的生产工艺技术，将同时设计安全仪表系统和过程控制系统，2个系统的控制对象相同，2个系统之间既有区别又有联系。

区别在于过程控制是一个实时动态系统，设计了控制反馈回路，系统的输入/输出主要是模拟量信号，运算处理器根据被控对象的偏差结合算法调节过程变量。同时，在系统运行的过程中，要根据工况调整系统的被控参数（如浓度、工艺、阀门开度的设定值等）。

安全仪表系统的自动运行不需要人为干扰，相对处于被动静止的状态。它的控制回路是由传感器、运算处理器、执行元件组成的简单开环回路。安全系统不产生任何动作，只有当安全回路的测量值达到设定值时，才会触发回路动作。

过程控制系统的主要目标是保证生产过程的连续性，而安全仪表系统则提高了生产过程的可靠性。2个系统通过标准工业协议进行通信，使过程控制系统能够实时监控安全仪表系统的当前状态、运行状态和联锁结果。

过程控制系统与安全仪表系统的设置和分工如图2所示。

图2 控制系统与安全仪表系统的设置和分工Fig.2 Setting and division of process control system and safety instrument system

安全回路由传递单元、逻辑控制单元和最终执行单元组成。回路中仪表越多，可靠性越差。特别是在本质安全电路中，基本上没有零隔爆区，为减少本质安全类隔离模块引起的故障停机，应尽量配置隔爆型仪表。

安全仪表系统回路结构如图3所示。

图3 安全仪表系统回路结构Fig.3 Circuit structure of safety instrument system

以蓄热氧化工艺的液位控制单元为例，液位仪表回路由5个元件组成：液位传感器、程序逻辑运算器、执行元件（液位控制阀）、安全完整性等级（SIL）和响应时间。

其中，液位高报警-L1接点闭合-继电器Z带电，触点Z1常闭，电磁阀S线圈断电。切断电磁阀S，关闭调节阀发出的控制信号，切断工艺流体，完成联锁保护功能。

开关按钮K起有复位并联锁保护回路的作用，开关按钮K停则对人工强制起动联锁做保护，开关按钮K旁为旁路联锁保护，一般用于开车或检修。

液位安全仪表系统回路如图4所示。

图4 液位安全仪表系统回路Fig.4 Circuit of liquid level safety instrument system

2 安全仪表系统设计

在工艺生产运行过程中，当安全仪表系统发生危险故障时，将当前状态切到设计的安全状态。在安全仪表系统的设计过程中，一般根据安全生命周期的内容来制定，设计过程中的关键环节为：①以标准IEC61508为依据确定对象的SIL安全度等级；②确定SRS安全要求技术规范、完成SIS的初步设计和详细设计；③SIS不够完善时判断是否停用或改进安全控制系统等。

SIS设计步骤如图5所示。

图5 SIS设计步骤Fig.5 SIS design step

2.1 蓄热氧化SIS设计原则

新建的蓄热氧化井筒加装置的SIS采用了基于康吉森公司基于TMR（三重化）技术的TRICON平台，主处理器和IO卡件完全三重化设计，系统已通过TUVAK6认证，满足IEC91150 SIL3的安全等级要求。

在硬件配置和方案上，安全仪表系统应设计与生产工艺过程相匹配的安全完整性等级SIL（Safety Integrity Level），安全等级分为SIL1～SIL4，SIL评价参数为平均危险故障率，由高到低分为1～4级，只有SIL1，SIL2，SIL3级适用于煤炭化工相关领域，危险性的工艺单元才涉及SIL4级。

SIL等级与故障概率相应关系见表1。

表1 SIL等级与故障概率相应关系Table 1 Corresponding relationship between SIL level and failure probability

结合安全度等级，根据方案中三取二的信号，将现场变送器信号接入3组不同的IO卡，避免因任一卡件故障导致现场停机。

当现场变送器信号同时进入SIS系统和过程控制系统时，应设计为先进入SIS系统，再通过信号转换器将信号接入过程控制系统。

从故障安全的角度对执行机构进行设计是有必要的，正常工况为带电状态。

采取电磁阀冗余设计时，优先采用隔爆、低功耗的原则，并联方式提高可用性，串联方式提高安全性。

2.2 TMR容错冗余设计

容错功能通常是在软件算法上得以体现，而TMR系统则利用电子电路和物理芯片来完成系统的故障诊断、冗余和容错管理功能的搭建。

物理硬件的容错设计降低了处理器之间的通信负荷。三重化冗余技术是指实现重要电路的三重化，每个单元是独立的但功能又完全相同。在信号输出之前，通过物理芯片的表决进行处理。当三路中有一路发生故障时，经三取二芯片表决后，信号将被屏蔽，系统仍能正常工作，不会因内部故障而联锁相关动作。

现场过程数据经输入模块检测后，寄存在各输入模块的缓存器中，然后传输到三重化冗余模块的内部总线处理。主处理器以同步方式运行，计算结果传送到输出模块进行表决，最终控制驱动输出电路。

TMR系统按周期扫描程序提供周期性容错控制。如果内部电路发生故障，在发布故障通知后，主处理器不会中断。

TMR主控制器三重化结构如图6所示。

图6 TMR主控制器三重化结构Fig.6 Triple structure of TMR main controller

2.3 安全联锁设计

蓄热氧化井筒加热装置甲烷氧化工艺运行工况的温度为1 000℃，生产过程中涉及到的物质有甲烷、柴油、蒸汽等，且多在高温、高压下进行，为保障工艺以及设备安全，仪表安全系统按SIL3等级设计了相关的紧急停车和安全连锁方案。

原料气瓦斯掺混后浓度C01_A、C01_B、C01_C三取二＞1.2%时，瓦斯切断阀关闭、原料气放空阀打开、蓄热氧化装置旁通阀打开同时执行动作。

掺混瓦斯浓度联锁图如图7所示。

图7 掺混瓦斯浓度联锁图Fig.7 Interlocking diagram of mixed gas concentration

蓄热氧化装置氧化室温度TE_1A、TE_1B、TE_1C三取二或＞1 050℃时，主风机自动降负荷，瓦斯切断阀关闭、原料气放空阀打开、蓄热氧化装置旁通阀打开同时执行动作。

蓄热氧化室温度联锁图如图8所示。

图8 蓄热氧化室温度联锁图Fig.8 Temperature interlock diagram of regenerative oxidation chamber

3 结 语

安全仪表系统能够完成一项或多项安全性能，是集故障诊断、冗余容错、事件日志等多功能于一体的安全系统。安全仪表系统作为现代流程工业降低风险、保证安全的有效手段，越来越受到人们的重视。

安全仪表系统与过程控制系统既有区别又有联系。其主要目的是提高生产过程的可靠性，降低整个系统的风险。

在瓦斯蓄热氧化井筒加热项工艺生产过程中，存在多种因素导致工况参数异常，当被控参数失调（不在工艺参数设计范围）时，这时不仅影响产品的质量和产量，还可能导致生产事故的发生，造成设备的损坏甚至危及人身安全。