浅谈BPCS 与SIS 仪表共用的问题

李家帅

（天津渤化工程有限公司，天津 300193）

目前， 在石油化工企业的安全完整性等级（SIL）评估或安全检查中，安全仪表功能回路与基本工程控制回路共用仪表（传感器、执行机构等）问题经常被作为隐患项或建议改进措施提出，但是考虑到在役装置的生产条件及现场情况，独立设置往往面临一定的难度，因此是不是遇到的所有的共用仪表都要独立设置的问题仍然存在许多争论，同时这也是困扰企业、设计方及监管部门的难题[1]。

本文将着重对基本过程控制系统(BPCS)与安全仪表系统(SIS)的共用问题进行讨论。

1 BPCS 和SIS 的关系分析

SIS 独立于BPCS， 例如分散控制系统（DCS）等，生产正常时处于休眠或静止状态，一旦生产装置或设施出现可能导致安全事故的情况时，能够瞬间准确动作，使生产过程安全停止运行或自动导入预定的安全状态， 必须有很高的可靠性（即功能安全）和规范的维护管理，如果安全仪表系统失效，往往会导致严重的安全事故。

如果BPCS 控制回路的正常操作满足以下要求，则可作为独立保护层。

BPCS 控制回路应与SIS 功能安全回路安全完整性等级（SIF）在物理上分离，包括传感器、控制器和最终元件。

BPCS 和SIS 的区别：1）目的功能不同：生产功能/安全功能；2）运行状态不同：实时控制/超限时联锁；3）可靠性要求不同：SIS 要求更高的可靠性；4）控制方法不同：连续控制为主/逻辑控制为主；5）使用和维护方法不同：SIS 更严格。

2 BPCS 和SIS 共用元件讨论

BPCS 和SIS 是否可以共用元件，可以从以下三个方面考虑和确定：1）标准规范的要求和规定，安全要求、IPL 方法论、SIL 评估；2）经济评价（前提是满足安全基本要求）；3）分析管理者或者工程人员根据经验和主观意志确定。 不论采用哪种方式，都以满足法规、标准要求为最低要求。

BPCS 和SIS 是否可以共用元件，应以不会引起所有型式失效为原则。

如果BPCS 和SIS 共用元件，BPCS 为独立保护层， 共用元件应该同时担负原来BPCS 和SIS各自独立的保护层职责；BPCS 为初始事件，共用元件应该担负BPCS 和SIS 各自独立的失效频率结合对应的风险降低。 共用元件危险失效率必须足够低， 安全完整性的要求可能改变， 比如从SIL1 变成SIL2，并且符合安全全生命周期的所有要求。

必须满足安全全生命周期的要求， 包括SIS指令优先、DCS 指令不能干扰和降低SIS 指令功能、相关仪表和系统失效率满足要求、要按照GB/T50770-2013、GB/T21109（IEC61511）的规定执行包括记录档案维护管理检维修周期、 需要进行SIL 演算确认满足相关SIL 等级的要求、各个保护层场景总频率的计算依然满足等[2]。

如果BPCS 和SIS 共用元件，BPCS 不作为保护层和初始事件，必须符合安全全生命周期的所有要求， 必须充分考虑BPCS 操作维护等对SIS的影响。

特别注意， 当SIS 的一部分用于控制并且共用设备的一次危险失效可能引起对SIS 所执行的功能提出一次要求时，则会引入新的风险。 附加的风险与共享部件的危险失效率有关，这是因为当共享部件发生故障时， 立即就会产生一个要求，而SIS 对此要求无力作出响应。因此在这些情况下需要进行额外的分析以保证共享部件的危险失效率足够低。

BPCS 和SIS 共用元件会引起操作模式的改变，由低要求模式变为连续模式，相关元件的维护规程和策略均应相应改变。

BPCS 和SIS 共用元件对PFD(PFH)、HFT、SC的要求都有影响。

必须符合安全全生命周期的所有要求，必须充分考虑BPCS 操作维护等对SIS 的影响。

通常因以下原因，SIS 是同BPCS 分开的：

1）为了降低BPCS 对SIS 的影响，特别是当它们共享共用设备时。 例如，当BPCS 和SIS 共享一个用于停机和控制的共用阀门时，在该阀门的一次危险失效事件中， 它并不能用来执行一个SIS 停机功能。

2）为了保持与BPCS 有关的更改、维护、测试和文档的灵活性。

3）为了有助于SIS 的确认和功能安全评估。

4）如果BPCS 与SIS 组合在一起，为满足修改管理的计划安排， 需要限制对BPCS 的编程和配置功能的访问。

3 BPCS 和SIS 配置方案举例

3.1 BPCS 和SIS 相互独立

BPCS 控制回路与安全仪表系统功能安全回路在物理上分离，包括取源管嘴、测量引线、传感器、控制器和最终元件[3]。

此方案为建议方案。 举例如图1，2。

图1 系统配置示例

图2 液位调节联锁示例（BPCS 和SIS 各自独立）

3.2 BPCS 和SIS 共享传感器

共用传感器先接入SIS 系统， 然后由SIS 系统通讯至BPCS 系统（如图3 所示）。 也可以经一入二出信号分配器，分别接入SIS 和BPCS 系统。一入二出信号分配器安装于SIS 机柜， 由SIS 系统供电。 去BPCS 的信号不论正常与否均不能干扰SIS 信号。

图3 进出料流量调节联锁示例（BPCS 和SIS 共用传感器）

3.2.1 BPCS 和SIS 共享最终元件—1 个电磁阀

调节阀带电磁阀配置示例见图4， 典型回路图见图5。

图4 调节阀带电磁阀配置示例

图5 典型温度调节（BPCS）带联锁切断（SIS）回路图

图中：SOV 为电磁阔。 电磁阀励磁，A→B 通，阀开；电磁阀非励磁，B→C 通，阀关。

3.2.2 BPCS 和SIS 共享最终元件—2 个电磁阀

当系统要求高安全性时，调节阀配电磁阀带冗余电磁配置可选用图6，图7 所示配置方式。

图6 调节阀带双电磁阀配置示例

图7 切断阀带双电磁阀配置示例

图6,7 中：当电磁阀1 励磁，A-B 通；电磁阀2 励磁，A→B 通， 则控制阀开。 当电磁阀1 励磁，A→B 通； 电磁阀2 非励磁，B→C 通， 则控制阀关。 当电磁阀1 非励磁，B→C 通；电磁阀2 励磁，A→B 通，则控制阀关。 当电磁阀1 非励磁，B→C通；电磁阀2 非励磁，B-C 通，则控制阀关。

3.3 BPCS 和SIS 共享取源管嘴

通常情况下BPCS 和SIS 应采用独立取源。

特殊场合，例如高压设备，可以具体分析，比如一定前提下经分析评估后可采用连通管方案。

3.4 其他

3.4.1 BPCS 和SIS 可以共用UPS 情况

1）全厂电源的源头是一样的；2）设置了UPS（双UPS 或者单UPS）；3）UPS 具有后备电源；4）仪表通常按照故障安全型设计，非故障安全型通常有辅助保护措施；5）电源配线独立并配有独立空开。

3.4.2 BPCS 和SIS 气动执行元件共用气源总管和分支总管情况

1）装置仪表气源的源头是一样的；2）为每一个气动执行元件单独敷设供气线路不现实，也没有必要；3）气源总管和分支总管相对较粗，出现故障的概率较低；4）气源总管和分支总管尺寸选择充分考虑工况需求并留有足够裕度；5）气动执行元件通常按照故障安全型设计，非故障安全型有辅助保护措施，比如设置储气罐；6）每个气动执行机构设置独立的分支供气线路，并设置独立的气源阀。

3.4.3 BPCS 和SIS 测量仪表可以共用伴热、吹扫、冲洗总管和分支总管情况

1）装置伴热、吹扫、冲洗的源头是一样的；2）为每一个测量仪表单独敷设伴热、吹扫、冲洗线路不现实，也没有必要；3）伴热、吹扫、冲洗总管和分支总管尺寸相对较大，出现故障的概率较低；4）伴热、吹扫、冲洗总管和分支总管尺寸选择充分考虑工况需求并留有足够裕度；5）每个测量仪表设置独立的伴热、吹扫、冲洗线路，并设置独立的阀门。

需要注意的是：以上均不包括法律法规标准有要求的场合。

同时，还要考虑一些因素：1）工况条件，比如高温、高压，介质理化特性；2）设备大小（以前和现在）、设备材质、制造情况、连通管材质；3）根阀和每路阀门设置，连通管尺寸和取源尺寸及根阀尺寸；4）设备和连通管之间的微循环；5）危险或者故障场景分析，不同配置方案间的比较，安全、运行、维护；6）在役装置还是新建装置。

具体到工程设计中，BPCS 和SIS 是否能共用应根据具体情况以及工程实际，进行充分分析论证。

4 结论

BPCS 和SIS 共用元件不符合独立保护层方法论初衷。BPCS 和SIS 共用元件必须符合安全全生命周期的所有要求，必须有完善的确认、验证和记录。

BPCS 和SIS 共用元件会引起操作模式的改变，由低要求模式变为连续模式，相关元件的维护规程和策略均应相应改变。 安全完整性的要求也可能改变，比如从SIL1 变成SIL2。

BPCS 和SIS 共用元件会改变习惯的操作和维护模式，必须充分考虑BPCS 操作维护等对SIS的影响。

在化工工程设计中，设计人与企业最常讨论的一个问题就是怎样在严格执行规范要求的情况下，既能满足安全完整性，降低危险失效率，达到安全生产， 同时通过BPCS 和SIS 共用的手段达到减少成本的目的。 本文讨论了一些分析方法，列举了一些实际的配置情况，设计人可以在满足共用的前提条件和要求的情况下，具体问题具体分析， 针对性地解决BPCS 和SIS 的共用的问题，提出合理、客观的设计方案。