安全仪表系统应用易忽视的几个问题

安全仪表系统的安全完整性等级自低到高分为 SIL1 、SIL2 、SIL3 、SIL 4 等 4 个不同 的级别。安全级别的划分则是在特定的安全系统下特定时间和特定条件成功执行其安全功 能的概率，它可以对整个系统的可靠性进行有效的衡量。安全仪表的安全度是整个仪表系 统设计的关键因素。行业安全仪表的安全完整性等级在 SIL1~SIL3 之间， SIL4 级别主要用 于核工业。

在 GB 50770-2013 《石油化工安全仪表设计规范》中，为提高安全仪表系统的可靠性， 对 SIL2 安全等级以上的系统，要求测量仪表、转换和通讯单元、逻辑控制器、终端元件进  行冗余设置，其中 5.0.14 明确要求逻辑控制器的中央处理单元、通讯单元、输入输出单元、 电源单元应采取冗余技术；5.0.16 也明确提出安全仪表系统的交流供电系统宜采用双路不  间断停电的供电方式，同时 5.0.17 明确安全仪表系统的接地应采用等电位的连接方式。在   实际应用中，大多数应用场景也都把重点放在了前几个方面的冗余配置，而对安全仪表系  统工作接地的冗余却有所的忽视，实际在 5.0.17 中要求是等电位的连接方式，其实无论现   场是否配置了工作接地的等电位体(汇流槽)，对安全仪表系统工作接地保证进行正确的连  接的同时，实现安全仪表系统工作接地的环形连接，以满足安全仪表系统的工作接地的冗  余设置，也是十分必要的。见下图

安全仪表系统依照 SH 3038-2000《 石油化工企业生产装置电力设计技术规范》的规  定：属于一级负荷中特别重要负荷。这类负荷当供电中断时，为确保安全停工及处理事故， 不致造成设备损坏和人身伤害事故，不致造成重大经济损失，  需要设置不停电装置。规范  中明确了 UPS (即不停电装置)的续航能力应满足确保安全停工及处理事故的需要，并没  有确定明确的续航时间数值。但在现场的实际应用中，部分企业或设计部门片面的将不停  电装置的供电时间理解为满足 30min 即可、或将一些不是安全仪表范畴的仪表或控制单元， 也采用安全仪表系统的 UPS 系统供电、更为严重的是将一些新扩或新建的安全仪表控制系  统，也接入到没有重新扩容和设计规划的安全仪表系统不停电装置进行供电，从而对安全  仪表系统满足事故状态处理时间的需求造成极大的隐患，极易产生当生产设施或操作人员  在处理一些紧急状态的过程中，安全仪表系统过早的失效，而无法对生产设施或操作人员  进行有效的联锁保护和安全保障，而造成不必要的伤害和损失。

GB/T 50770-2013 《石油化工安全仪表系统设计规范》第 6.3.2 条 SIL2 级安全仪表功 能，宜采用冗余测量仪表，第 6.4 节，对测量仪表的冗余方式进行了详细的阐述，但却忽 略的参与安全联锁控制仪表的品质、性能和功能的要求，导致实际应用中，测量仪表的冗 余配置不仅达不到冗余配置所期望的稳定性和可靠性，反而对系统的安全性还造成了一定 的影响，如 0-1Mpa0.1 级高精度压力变送器与 0-2.5Mpa0.5 级电接点压力表的组合，因此 对测量仪表的冗余配置应在满足系统对测量仪表精度和量程的基本要求的同时，尽可能选 用同等级性能的仪表，从而使安全仪表系统运行更加稳定和可靠。

冗余配置的测量仪表或控制机构被集中接入到一个输入模块或输出模块，而不是根据 同类测量控制点最好应分散到不同卡件进行接入和接出的要求，集中接入使输入卡件的故 障风险加大，使冗余配置的输入或输出模块失去了冗余配置以提高系统安全性的作用。

对于这种情况，通常的情况是设计或实施过程中，过度依据对规范或标准的片面理解， 造成安全仪表系统使用上的遗漏，使安全仪表系统的完整性受到破坏或应用效能存在缺陷。如一些加油站卸油部位，依据《汽车加油加气加氢站技术标准》 GB50156-2021 第 6.1.15条规定：油罐应采取卸油时的防满溢措施。油料到达油罐容量 90%时，应能触动高液位报警装置；油料到达油罐容量 95%时，应能自动停止油料继续进罐。高液位报警装置应位于 工作人员便于觉察的地点。在实际应用中，由于对工作人员理解的不同，发现有一些把罐 液位指示报警装置安装在距离卸油区较远的值班室内，这样满足值班人员夜间值班的监控 需求，却忽视了现场卸车人员无法在卸油时对液位进行实时监控的工作需要；有一些则是 把罐液位的指示和报警装置装在了现场，满足了卸车人员的工作需要，但又忽略了值班室 对罐液位和报警的监控需要，因此完整的理解应该是：加油油罐液位在卸油现场具备指示 报警功能和值班室均应具备指示报警功能，这样虽然需要在现场增加仪表指示报警表头， 会略增加一些仪表投资的成本， 但满足了真正意义上的工作人员的需要，是安全仪表功能最佳的一种配置方案。在这里对规范条款中“工作人员”的界定也希望能够按操作和管理的实际情况进行界定。

再有一个案例就是某化学品罐储单位，在对系统进行安全仪表安全性进行设计评估时，  仅以该单位 4 个固定顶储罐和8 个浮顶罐液位低低限检测仪表 12 个月内未发生故障为依据， 将此测量仪表和回路的安全评级设定为零级，未纳入安全仪表控制系统，这里我们认为，   浮顶式油罐是不同于固定顶储罐的，超低液位的发生，不仅有仪表故障的隐患因素，也存   在操作人员疏忽造成事故的可能，为此进行安全评估时，操作人员的因素也应纳入安全评   估的计算之中。避免一些非客观因素，造成安全仪表系统的完整性受到影响。

在一些新建、尤其是改造的安全仪表系统，冗余配置的工艺参数测量回路，经常存在 因工艺设备、管线或施工原因，造成工艺参数测量点的位置差异而使工艺测量参数的差异， 从而使工艺量传的同一性不能满足安全仪表系统冗余判断的要求，甚至误判或产生较大的 延迟，因此在安全仪表系统的实际应用中，一方面要避免冗余设置仪表测量点在同一位置 的情况，还要避免冗余设置的仪表测量点不要相差太远、或跨越工艺设备和工艺环节的情 况，使冗余设置的仪表测量点所测的工艺参数保持一定程度的稳定性和同一性。这一点不 仅需要在安全联锁控制回路联校中进行测试，而且需要在工艺实际生产过程中进行观察和 比对来进行验证，是否满足工艺量传数据的要求。如在一加热炉出口温度与燃料气的联锁 控制回路中，由于加热炉出口温度的两个“二取二”表决的测量点分别位于一个工艺弯头的 两侧，工艺管道内的物料流动状态发生变化，在加上温度参数的滞后性，使联锁回路多次 发生误判和误动。 

安全仪表系统回路联动测试是安全仪表系统投入使用前的至关重要的一个环节，是对 仪表测量点（工艺参数取样）、仪表测量系统（转换和变送）、信号传输或通讯系统、信号或协议转换系统、逻辑判断及编程、以及人机界面（HMI）的综合检验和测试。这里对于 冗余仪表测量设置的常规模型 “三取二“的马尔可夫模型为例，具体可描述为：系统初始状 态时全部 3 个通道的运行状态均为正常状态。3 个通道的 4 种模式的失效会导致系统离开 初始状态。另外，共因失效也需要考虑。对于两个通道存在 3 种组合方式：AB、AC 和 BC， 表示 3 组共因失效。在状态 1，一个通道出现检测到的安全失效。在状态 2，一个通道出现 未检测到的安全失效。在状态 1 和状态 2，系统降级为”二取一“结构。在状态 3，表明一个 通道出现检测到的危险失效。在状态 4，一个通道出现未检测到的危险失效。在状态 3 和 状态 4，系统降级为”二取二“结构。在 1、2、3、4 各状态，系统尚未失效。在状态 1 和 2 系统仍处于运行状态，正常通道再次出现安全失效将使系统安全失效，而正常通道出现危 险失效将使系统又降一级。在状态 3 和 4，系统运行在”二取二“配置。当出现正常通道的危 险失效，系统将会危险失效，而正常通道出现安全失效也将使系统又降一级。假设系统修 理时所有的故障单元会被修复，因此，所有的修复将使系统回到状态 0。由于安全仪表系 统的安全性和完整性评估计算较为复杂，这里仅对其简单进行概述：”二选一“框架，安全性 最好，但可用性最差; ”二选二“框架，可用性最好，但安全性最差; ”三选二“框架，可兼顾。 

 《 国家安全监管总局关于加强化工安全仪表系统管理的指导意见》（安监总管三 〔2014〕116 号）（六）严格安全仪表系统的安装调试和联合确认。应制定完善的安装调试 与联合确认计划并保证有效实施，详细记录调试（单台仪表调试与回路调试）、确认的过程 和结果，并建立管理档案。施工单位按照设计文件安装调试完成后，企业在投运前应依据 国家法律法规、标准规范、行业和企业安全管理规定以及安全要求技术文件，组织对安全 仪表系统进行审查和联合确认，确保安全仪表功能具备既定的功能和满足完整性要求，具 备安全投用条件。

安全仪表系统（SIS）由其不同于 DCS、PCS、SCADA 系统的特点，使其在运行维 护和管理亦有所差别和不同，安全仪表系统更加具有复杂性、关联性和耦合性，日常的运 行维护和管理也较普通的过程控制系统复杂，通常对一个安全仪表系统监测点、控制点或 控制单元的维护，均需要制定详细的处理方案，需要对可能出现的各种可能性进行详尽的 评估和分析，涉及到工艺或设备的还需要与工艺工程师和设备工程师进行较为详细的研究 探讨，必要时还需要对工艺的自动控制状态改为手动调节、或对工艺设备的运行解除联锁 保护，再由自动控制专业人员按操作规程进行相应的运行维护和管理。任何疏忽大意和缺 漏，都有可能造成设备的停运或工艺生产的波动，给企业造成损失。为此形成安全仪表系 统运行维护的联审和联动机制十分重要。 

由于安全仪表系统在正常的工艺生产中是处于“缄默”状态的，因此当系统发生的一些 趋势性的变化和一些冗余配置的部分出现波动或失灵的状态时，不会有所表征而没有进行 及时的处理，为此对安全仪表系统运行状态进行及时的巡检和监测、以及对数据进行必要 的分析判断，对安全仪表系统的有效性进行评估是十分必要的，对提前避免有可能发生的 安全保护动作是十分必要的。 

在安全仪表系统的实际应用中，安全仪表系统的设置指标应以满足工艺生产的安全要 求为目的，尤其在生产装置的开工、停工、检修吹扫、和生产波动的情况下，简单的解除 安全仪表的做法和仍按正常生产的状态执行，都是不妥的。应该根据工艺的实际安全需要， 及时的调整安全仪表的设置指标，来保证工艺生产的特殊状态下，安全仪表系统仍然可以保证工艺生产安全的需要。这需要工艺工程师及时正确的下达安全仪表系统设置指标的指 令，由相应具备修改指标权限和能力的人员完成相应的调整修改。 

某些设置了设备安全仪表系统的场所，由于设备和工艺运行的复杂性，会出现安全仪 表系统在设备还没有出现危险状态的情况下，多次或频繁的发出安全保护动作的情况，这 种情况一方面可能是安全仪表系统应对设备运行的抗扰性差，另一方面则是安全仪表系统 设置的指标过于“灵敏”所致，因此对安全仪表系统的监测数据进行适当的数值滤波和减少 扰动的设置是十分必要的，必要时引入更多的判据进行稳定性的判断，也是比较正确的一 种做法，这需要涉及的相关专业的专业人士的共同探讨、形成“专家规则”后，进行仿真测 试，再进行实施为佳。如在一个大型烟机—鼓风机—电动机\发电机组的联合机组的安全保 护系统中，初期常因为一些个别的轴位移、轴振动而导致机组停机，通过一段时间的观察， 发现短暂的轴位移超限和轴振动过大并没有对机组产生危害，因此对轴位移和轴振动数据 进行适当的数值滤波，并同时对轴瓦温度、油封温度以及机组不同位置振动频率作为辅助 判据，有效的解决了之前经常误停的状态，使机组处于更加平稳安全的运行。

在一些仪表安全系统应用的场景中，如可燃气体、有毒气体或火灾报警联动系统中， 由于一些控制器在声光报警装置和控制输出功能的设置上的缺漏，造成声光报警装置频繁 的启动报警和联动设备的频繁启动，这样造成对操作人员正常操作一定程度的干扰。因此 也出现了监控人员有意关闭声光报警装置，致使安全仪表系统出现功能缺失的情况。为此 对于要求具有声光报警功能的应用场所，在仪表控制器的选型时，应注重选取对声光报警 功能的消声判断逻辑和报警暂缓确认功能这样更加智能的设备，如果能够对声光报警装置 的确认具有一定的智慧判断功能，这无疑将提高声光报警装置应用价值。

安全仪表系统做为由仪表控制系统发展的一个具有特殊功能的“自动控制系统”，同样也 势必将随“自动控制系统”逐步引入“人工智能”的方向发展，计算机视觉 AI、色觉 AI、听觉 AI、味觉 AI 等应用的逐步成熟，人工智能技术也同样会逐步在安全仪表系统得到应用，而 且随着人工智能技术的不断深入，安全仪表的控制水平将得到进一步的提高，智能化水平 得到进一步的发展。 

随着生产数据的逐步积累，工业生产大数据的时代已经到来，通过大数据进行分析判 断企业经营状态和生产状态将由一个个局部应用，逐渐形成区域性的应用，以致形成全局 性的发展。大数据不仅会对人们的生活产生影响，而且生产状态的大数据对智能化控制体 系的建立，对进一步提高安全仪表系统的安全可靠性方面，会产生更为积极的影响。 

5G 时代的到来，数据通讯产生的滞后已得到极大程度的改善，智慧物流、智慧驾驶、 智慧港口等一大批智慧应用项目层出不群，并且随着 5G 技术的进一步深入应用，5G 技术 的优势也会在工业控制领域的智慧化应用中得到长足的体现。

综上所述，安全仪表系统，作为企业安全管理的一个重要的工具，在实际应用中，还 有许许多多的实际问题，需要结合企业的实际生产情况来进行分析和解决，需要更多的关 注安全仪表系统的专业技术人员不断的完善和提高。安全仪表系统，作为一个把安全放在 重要位置的控制系统，应该越来越广泛的得到企业安全生产各部门的重视，也将会在企业 安全生产中发挥越来越重要的作用。