碳五深加工装置及其罐区的SIS 设计改造——本文阐述了安全仪表系统（SIS）的定义及相关概念，介绍了现行的相关设计标准，以碳五球罐改造为例，结合工作实践，以 HAZOP 分天眼析及 LOPA 分析为基础，按照 SIS 的设计原则，完成了碳五深加工装置及其罐区的 SIS 设计改造，消除了实际存在的安全隐患，确保了装置和罐区的稳定、可靠运行。

本文刊登于PROCESS《流程工业》2021年第13期

《安全仪表系统的设计与应用》

文/齐斌

按照国家最新要求，对涉及“两重点一重大”的化工企业和危化品储存单位，无论是新建项目还是存在安全隐患需要改造的在役项目，在进入设计阶段之前或初期都要进行风险和安全评估。一般都是通过有相关资质的单位做危险和可操作性分析（HAZOP）以及保护层分析（LOPA），出具正式的分析报告，以此来确定该项目的安全仪表功能（SIF）及其安全完整性等级（SIL），作为设计院进行施工图阶段的设计依据。

定义

根据IEC61511的定义，安全仪表系统是指实现一个或者多个安全仪表功能（Safety Instrumented Function)的仪表系统，通常由传感器、逻辑运算器和执行元件组成。这个定义可以这样理解：将用于安全保护的现场各类检测仪表，其齐斌信号传输至独立于基本过程控制系统（B天眼PCS）的用于过程安全的控制系统中，通过逻辑运算，使负责安全功能的执行器执行安全保护动作，最终保障整个系统的安全运行。

相关概念

安全仪表功能（SIF）是为了防止和减少危险事件的发生，由SIS执行具有特定SIL等级的安全功能。通过现场检测仪表、逻辑控制器、执行元件及相关软件等，应对特定的危险状态，保持安全状态运行。SIF运行模式分为低要求操作模式和高要求（或连续）操企业信息作模式。举个完整的安全仪表功能的例子：液位开关-输入卡件（DI）-逻辑控制器-输出卡件（DO）-继电器-电机/开关阀，这就是一个完整的SIF回路，回路中的每一个组成部分都需要满足SIF回路的SIL等级要求，SIL等级划分参见表1。

设计规范标准

在安全仪表系统的设计工作中，国际上通用的标准有IEC61508和IEC61511，而在国内，现行的标准规范有《石油化工安全仪表系统设计规范》GB/T50770–2013和《过程工业领域安全仪表系统的功能安全》相关GB/T21109–2周军007，这些标准规范对整个安全仪表系统的技术要求都作出了详细且明确的说明。此外，国家安监总局在2013年还发布了“国家安全监管总局关于加强化工安全仪表系统管理的指导意见（安监总管三[2014]116号）”，对涉及“两重点一重大”的化工企业和危化品储存单位，在排查安全隐患，加强安全仪表系统管理等工作上作出了明确要求，这些都是设计工作所必须遵守的行业标准规范及行业准则。

设计应用

某化工企业的碳五深加工装置及罐区已投产运行10年有余，未设置安全仪表系统，工艺过程控制及安全联锁保护功能均在DCS中实现，已不符合现行的国家及行业安全标准和安全仪表设计规范，存在严重的安全隐患，故委托设计院进行安全仪表系统改造的设计。由于改造内容众多，现只对其中的碳五球罐安全仪表系统的改造设计工作作简要介绍。

碳五球罐改造前的状况

碳五球罐顶部设氮封措施，0.6MPa氮气来自管廊，进球罐之前通过自力式调节阀减压至0.3MPa左右，罐顶设1台压力变送器用于检测罐顶压力，同时与氮气卸放管线的气动调节阀构成压力调节回路，将球罐操作压力稳定在0.3MPa左右。

球罐体液位测量设置1套伺服式液位计，温度测量设置1台Pt100热电阻，罐底进出料管线只设有现场手动阀门；球罐虽设有喷淋系统，但周军未设置自控仪表设备，上查下半球消防水喷淋管线也是分别通过手动阀门控制。

HAZOP及LOPA分析

对该项目做了HAZOP分析及LOPA分析，现把对碳五球罐所作的分析简要总结如下：

1.工艺偏离因素：高温

可能原因及危害：由于起火导致碳五球罐温度、压力上升，设备超温、超压损坏，引起火灾爆炸，人员伤亡，污染环境。

改善措施：增设喷淋管线自控阀，碳五球罐温度高高（达到50℃）通过SIS系统联锁打开自动喷淋措施，应符合SIL1等级；碳五球罐进出料管道增设紧急切断阀，并具有手动操作功能，采取防火措施，火灾报警通过SIS系统联锁切断罐体根部进出料紧急切断阀，应符合SIL1及TSO等级。

2.工艺偏离因素：高液位

可能原因及危害：人员操作失误或伺服液位计故障导致碳五球罐液位上升，满溢，严重时查导致C5汽化，引起火灾爆炸。

改善措施：罐顶增设1套雷达液位作为比对，增设高报警，高高联锁液位开关，增设进料紧急切断阀。碳五球罐液位高高（至90%）通过SIS系统联锁关断进料紧急切断阀，应符合SIL2及相应阀门TSO等级。

3.工艺偏离因素：低/无液位

可能原因及危害：人员操作失误或伺服液位计故障导致碳五球罐液位下降，造成废碳五装车泵抽空损坏，C5外泄，引起火灾爆炸，人员伤害，环境污染。

改善措施：罐顶增设1套雷达液位作为比对，增设液位低报警，低低联锁液位开关，增设出料紧急切断阀。碳五球罐液位低低（至15%）通过SIS系统联锁关断出料紧急切断阀，停废碳五装车泵，应符合SIL2及相应阀门TSO等级。

设计应用

根据上述HAZOP及LOPA分析报告，确定碳五球罐应设置SIS保护层，增设安全仪表改造方案为：罐顶增设1套雷达液位计，罐体分别增设1套高、低液位开关，罐体进出料管线分别增设1套紧急切断阀，上/下半球喷淋管线分别各增设1台雨淋阀，原罐体的温度检测仪表取消，新上1台具有SIL认证的温度仪表。所有新增的现场安全仪表均接入新上的独立的SIS系统中。

1.现场安全仪表的选型设计

罐体温度检测仪表选用一体化温度变送器，查询并须至少满足SIL1认证要求；上下半球消防水喷淋管线各增设1台雨淋阀，雨淋阀的选型及相关设计由给排水专业负责，其控制及阀位状态等信号均引入消防控制室进行监控；雷达液位计选用喇叭口天线型式，24VDC二线制回路供电，安装利用罐顶原有的备用口，并须满足SIL2认证要求；由于液化烃球罐在非检修状态下不允许动火作业，设备开口难度大，所以高/低液位开关选用外贴式超声波液位开关，采用24VDC四线制，须满足SIL2认证要求。以上仪表均选用防爆等级为Exd齐斌IICT4隔爆型仪表。

根据《液化烃球罐紧急切断阀选型设计规定》，在球罐的进、出料管线与球罐连接处的根部分别设置1台紧急切断阀。紧急切断阀是实现液位高、低液位联锁的关键执行元件，当球罐发生溢油或抽空时，或者罐区突发火灾时，如果阀门出现故障无法实现自动或者远程手动操查询作，而人员现场操作易产生严重的时间滞后，也会给操作人员造成生命危险，损坏重要的机组设备，给企业带来重大的生命及财产损失。故对紧急切断阀的设计选型做以下详细说明。

（1）执行机构

该罐区管廊均配有干净的仪表风管线，因此紧急切断阀应优先选用气动执行机构，单作用气缸选用气开型（FC），侧面带手轮。

（2）阀体和阀内件

紧急切断阀的形式选用球阀或者蝶阀都可以，球阀的密封性更好、结构也相对简单，但是口径大的球阀价格比较昂贵，一般在企业信息DN200及以下的全通径管线才选用球阀；大于DN200的管线一般选用价格相对便宜的蝶阀，而对密封性要求较高场合可选用技术更为先进的三偏心高性能蝶阀。

该球罐进、出口管径为DN150，故优先选用球阀，密封面采用金属硬密封，泄露等级为ANSIB16.104ClassVI级，可满足该场合下对密闭性的高要求。阀体材质应符合配管材料等级规定，选用铸钢阀体，压力等级为Class300Lb，选用符合API607或API6FA标准的火灾安全（fire-safe）型阀门。为了在火灾发生时保护紧急切断阀的执行机构及其附件，阀门需配套安装符合UL1709标准的防火罩。紧急切断阀材质见表2。

（3）附件

电磁阀选用24VDCASCO二位三通低功耗型，双电磁阀配置，电磁阀线圈采用高温（等级H）绝缘耐用型及长期带电型线圈，可以有效避免线圈烧毁引发的故障，采用直动式（非先导式）可以有效避免电磁阀粘连或者堵塞；阀位开关采用机械式接近型开关，防爆等级均为ExdIICT4；在罐区防火围堰外设置现场防爆操作柱，确保人员在紧急情况下能够实现现场手动关阀，接点信号接至SIS系统，电缆应采用防火电缆。

紧急切断阀及附件整体遵循了故障安全型的设计原则，并须满足SIL2等级的认证要求。

2.安全联锁逻辑

由于HAZOP及LOPA分析报告中对液化烃球罐的高低液位联锁保护SIF回路的SIL等级定为SIL2级，可以有两种联锁设计方案：一是采用一对一联锁逻辑保护，低低液位开关与出口紧急切断阀作联锁关阀保护，高高液位开关与入口紧急切断阀作联锁关阀保护；二是本次改造增设1台过程控制的雷达液位计，其可与高高/低低液位开关分别构成“二取一”，逻辑运算输出再分别与进、 出口紧急切断阀实现联锁关阀保 护。很显然，第二种设计思路可以大大提高系统的安全性和可靠 性，有效避免因一台液位仪表的 故障而造成联锁的失效，从而避免不必要的损失。

本次碳五球罐改造涉及的SIS安全联锁有下以这些。

（1）球罐新上温度仪表检测温度值高高（达到50℃）联锁或者突发火灾或者球罐泄露等事故时，操作人员做出反应远程操作控制软按钮，自动打开喷淋水阀门，同时关闭进出料紧急切断阀。

（2）球罐雷达液位计与高高液位开关中只要有一台达到高高液位（联锁输出0，逻辑“与”运算，二取一）联锁，或者通过现场操作柱按钮直接控制，实现自动关闭入口切断阀，同时停装罐输料泵。

（3）球罐雷达液位计与低低液位开关中只要有一台达到低低液位（联锁输出0，逻辑“与”运算，二取一）联锁，或者通过现场操作柱按钮直接控制，实现自动关闭出口切断阀，同时停卸罐输料泵。

所有安全仪表联锁回路均设有旁路开关（手动按钮除外）以备检修测试使用，紧急切断阀和泵均设有复位软按钮，SIS系统中设有停泵软按钮，关阀及停泵的脉冲信号均通过RS触发器做状态保持。

3.安全仪表系统

本次改造范围包括了异戊烯装置的碳五脱轻塔、异戊烯加氢和醚化反应器，环戊烯装置异构、醚化、加氢、分馏单元以及碳五球罐区和内浮顶罐区等。SIS系统AI点为53点，DI点为128点，DO点为65点。

本次改造新上1套独立的用于工艺安全联锁保护的SIS系统。该系统采用的是北京康吉森公司的TsxPlus系统，该系统通过了德国TV莱茵认证和IEC61508SIL3标准安全认证，满足了标准认证原则。

该SIS系统配置3面标准机柜，包括1面电源柜、1面控制柜和1面辅助端子板柜。TSxPlus系统为机笼式设计，机架内安装的模块都设计有助拔器，易于在线更换和维护。TsxPlus系统设置3个独立的控制器模块PM01，实现了物理上完全独立的三重化设计，每个I/O模块（DI3201/DO3201）配置三重化的I/O通道，所有控制器和I/O模块均采用带自诊断的2oo3冗余架构，I/O模块通过支持PROFISafe安全协议的通讯总线与控制器完成数据交换，I/O模块采用冗余电源供电，系统侧与现场侧隔离，支持带电热插拔。这样的架构特点完全符合了安全仪表系统设计的可靠性和可用性原则。按照系统I/O点不少于20%预留量的配置原则，该系统共配置AI模块（AI3281、32通道、4～20mA）4块，DI模块（DI3201、32通道、干接点）5块，D模块（DO3201、32通道、0.5A/24VDC）3块。

SIS系统与DCS系统完全独立，独立完成安全保护功能。系统配置2块通讯模块CM01，采用一主一热备的方式，用于实现控制器与上位机之间的数据交换；配置2台安全交换机和1块以太网卡，通过以太网与工程师站通讯；通过Modbus RTU与DCS实现通讯，并通过CM01接收GPS校时源的校时脉冲，实现与DCS系统的同步集成。

此外，辅助机柜中所有信号类型均配有转接端子板，参与电气马达状态指示和控制以及电磁阀控制和阀位指示的DI/DO均采用继电器隔离。有些参与SIS联锁的机组设备或者控制阀，还需要在日常的生产过程中在DCS系统实现过程控制，为这些信号配置满足SIL2等级标准的“一入二出”信号分配器，以硬接线的方式从SIS系统分一路信号至DCS，而那些只需要在DCS监视而不操作的，可以采用通讯的方式从SIS系统读取数据。结合现场仪表供电需要，电源模块（24VDC/480W）和电源模块（24VDC/240W）各8块，并配置电源冗余模块。220VAC和24VDC空开若干。

控制室内设置独立的1套操作站和1套工程师站SOE站兼操作员站。另外还设置了1个辅助操作台，操作台面板上设置了一键紧急停车按钮以及循环氢压缩机、氢气入口切断阀等重要机组及仪表设备的紧急操作按钮，这些按钮均采用硬接线的方式接入SIS系统的DI输相关入模块，并在联锁逻辑中体现。

TsxPlus系统供电，设计采用了两路220VACUPS电源。机柜内每个机笼的供电通过PLUS电源转换成24VDC给机笼供电，机笼供电分成系统侧电源和现场侧电源，完全独立布置。机柜的照明及风扇等用电取自一路市电。SIS系统接地电阻应小于4，满足系统和规范要求，保护地和工作地的接地铜排分开接线，动力缆和信号缆分开敷设，线缆的屏蔽层直接接入屏蔽地汇流排。

结束语

本次安全仪表系统的改造，整个安全仪表系统在设计时遵循了可靠性原则、可用性原则、独立性原则、标准认证原则和故障安全原则。通过本次改造，解决了企业多年一直存在的安全隐患和问题。新上的安全仪表系统更加安全、可靠、开放，运行稳定，为企业职工的人身安全和装置长周期安全稳定运行保驾护航。