吳文瑞 石 峰 龐 洲

(1.甘肅金昌化學工業(yè)集團有限公司，甘肅 金昌 737100；2.浙江中控技術(shù)股份有限公司，杭州 310027)

ESD系統(tǒng)作為安全控制系統(tǒng)，是一種獨立于生產(chǎn)過程控制系統(tǒng)的用于大型裝置的安全聯(lián)鎖保護系統(tǒng)，用來減少過程失控的風險，確保人員、設(shè)備和現(xiàn)場環(huán)境的安全。在正常生產(chǎn)情況下，ESD系統(tǒng)是不需要人為干預(yù)的，處于靜態(tài)，并通過安全保護系統(tǒng)在線監(jiān)測生產(chǎn)過程；當生產(chǎn)過程出現(xiàn)緊急情況且聯(lián)鎖條件滿足時，ESD系統(tǒng)就會觸發(fā)聯(lián)鎖動作信號，對現(xiàn)場設(shè)備實行聯(lián)鎖保護或者緊急停車，以避免危險擴散造成巨大的財產(chǎn)損失甚至人員傷亡。

甘肅金昌化學工業(yè)集團有限公司以焦爐氣為原料、密閉電石爐尾氣為燃料，新建20萬t/a合成氨項目。該項目采用了浙江中控技術(shù)股份有限公司集成的AADvance安全表決系統(tǒng)及其軟件系統(tǒng)，先后完成了ESD系統(tǒng)的設(shè)計、組態(tài)、安裝、FAT測試和現(xiàn)場調(diào)試。

1 危險因素分析①

合成氨裝置的原料、燃料、過程產(chǎn)物和產(chǎn)品，大多為甲類或乙類火災(zāi)危險性物質(zhì)，其中還有有毒物質(zhì)，生產(chǎn)過程又在高溫、高壓條件下進行。生產(chǎn)設(shè)備一旦發(fā)生故障，往往會造成全裝置停車。如果故障處理不當，還有可能造成重大事故。

焦爐氣生產(chǎn)合成氨的主要工序有焦爐氣壓縮、脫硫、轉(zhuǎn)化、變換、脫碳、甲烷化、凈化及合成等，主要設(shè)備有壓縮機、脫硫塔、轉(zhuǎn)化爐、羅茨鼓風機、合成塔及液氨球罐等。生產(chǎn)過程是在密閉、高溫、高壓條件下連續(xù)進行的。正常生產(chǎn)時，設(shè)備運行正常，工藝參數(shù)穩(wěn)定，即使發(fā)生小幅波動，操作人員進行及時調(diào)節(jié)后都能保持安全穩(wěn)定運行。但是當有些重要工藝參數(shù)偏離指標達到一定的時間和范圍時，裝置就會產(chǎn)生故障甚至引發(fā)事故。

2 AADvance系統(tǒng)設(shè)計

AADvance系統(tǒng)用以實現(xiàn)對現(xiàn)場裝置異常操作和設(shè)備狀態(tài)的自動監(jiān)測、自動停車和/或隔離裝置，以防止異常條件引起的事故報警、記錄和其他嚴重后果，實現(xiàn)對裝置及工作人員的保護等功能。

作為關(guān)鍵控制系統(tǒng)，AADvance秉承了ICS Triplex歷經(jīng)數(shù)十年的TMR技術(shù)，并考慮到用戶的多層次安全控制和機組控制要求。在三重化的總線架構(gòu)上，可以任意進行處理器模塊和I/O模塊從單重化、雙重化到三重化的搭建，以實現(xiàn)從失效-安全到容錯、從小規(guī)模到大規(guī)模系統(tǒng)點數(shù)、從集散式到集中式結(jié)構(gòu)、從SIL1～SIL3安全等級的多重選擇。AADvance系統(tǒng)的主要特點：可通過采用多塊各自獨立的模塊實現(xiàn)系統(tǒng)的靈活配置；可作為一個單獨的系統(tǒng)或分布式架構(gòu)的一部分；可從單重化模式轉(zhuǎn)變?yōu)槿蒎e系統(tǒng)；在不中斷系統(tǒng)的情況下擴展I/O模塊；支持IEC611499分布式功能模塊；支持各類行業(yè)標準協(xié)議，如HART、以太網(wǎng)、Modbus RTU、開放的Modbus TCP、CIP和OPC；專利的HIFT設(shè)計，保證系統(tǒng)的安全性、可靠性和運行速度；無限制的在線修改，裝置不停車的組態(tài)修改對于許多過程工業(yè)是危險但又必須的，AADvance系統(tǒng)能夠幫助實現(xiàn)多變量無次數(shù)限制的在線修改，該系統(tǒng)的離線仿真也是全局有效，而不僅僅是針對局部；可組態(tài)設(shè)置SOE，記錄門限值或事件，分辨率均為1ms；預(yù)診斷，對現(xiàn)場設(shè)備進行特征分析并進行趨勢預(yù)測，AADvance控制器能夠?qū)芈愤M行動態(tài)監(jiān)測并與正常值比較，如果回路特征發(fā)生較大變化系統(tǒng)將進行報警，并向操作員提供資料，以便進行分析處理；專利的HIFT時鐘設(shè)計，HIFT時鐘具有三重化結(jié)構(gòu)，并在時鐘機構(gòu)內(nèi)部設(shè)立了多個故障限制區(qū)，確保單點故障不會影響系統(tǒng)的正常工作；TUV認證的防火墻設(shè)計確保不同安全等級的應(yīng)用程序可以同時在系統(tǒng)中運行而互不影響；支持全部5種IEC61131編程組態(tài)語言——梯形邏輯圖、功能塊、結(jié)構(gòu)化文本、指令表和順控圖；完全根據(jù)IEC61508標準設(shè)計，通過了功能安全的TUV認證。

2.1 設(shè)計原則

AADvance系統(tǒng)的設(shè)計需遵循獨立原則、故障安全型原則、共享原則和可靠性原則；采用符合國際安全標準IEC61508的緊急停車系統(tǒng)，具體如下：

a. 安全等級設(shè)計為SIL3；

b. ESD系統(tǒng)符合故障安全型原則，當ESD系統(tǒng)本身故障時使裝置按已知預(yù)定方式進入安全狀態(tài)，從而避免由于ESD自身故障或因停電、停氣導致生產(chǎn)裝置處于危險狀態(tài)；

c. 系統(tǒng)滿足硬件容錯，容錯系統(tǒng)不同于一般的雙機熱備份系統(tǒng)，一般的雙機熱備份系統(tǒng)只是模塊或總線上簡單的雙熱備，一旦輸入模塊出現(xiàn)故障，處理器模塊也有一塊出現(xiàn)故障時，系統(tǒng)可能因此而癱瘓，但是具有容錯功能的系統(tǒng)，除了在模塊、總線、通信上有冗余設(shè)計之外，還具有自診斷功能，能準確識別各部件的故障，具備廣泛的系統(tǒng)自診斷能力。

2.2 系統(tǒng)配置和功能

在合成氨項目中為滿足設(shè)計安全等級和系統(tǒng)冗余容錯的要求，控制器采用冗余I/O卡件，設(shè)計為SIL 3級。同時，采用3-2-1-0降級模式，系統(tǒng)由兩個CPU，集成在底板的冗余以太網(wǎng)通信口和冗余RS485通信口，以及相關(guān)的I/O模塊和底板組成。AI和DI各采用雙卡配置一個輸入點通過1oo2完成表決。DO采用雙卡配置(一個輸出點由兩路開關(guān)通過1oo2完成表決輸出方式)。

安全聯(lián)鎖系統(tǒng)主要包括焦爐氣轉(zhuǎn)化區(qū)、合成區(qū)和氨罐區(qū)3個工段的安全控制，系統(tǒng)配置如圖1所示。

圖1 某合成氨生產(chǎn)過程的ESD系統(tǒng)配置

根據(jù)該項目ESD技術(shù)規(guī)格書及其附件中確定的I/O點數(shù)，共配置了兩塊T9110作為控制器模塊，3組(6塊)T9432(AI，48點)作為模擬量輸入模塊，一組(兩塊)T9402(DI，24V(DC)，32點)作為數(shù)字量輸入模塊，5組(10塊)T9451(DO，24V(DC)，40點)作為數(shù)字量輸出模塊，所有I/O模塊都為冗余配置。

所有現(xiàn)場儀表信號都分兩條總線進入相應(yīng)的冗余I/O卡件，冗余I/O模塊始終處于同時工作的狀態(tài)，滿足了系統(tǒng)的容錯要求。冗余輸出模塊在失電跳車的應(yīng)用中輸出滿足SIL3要求。當系統(tǒng)中I/O輸入模塊將在第一次檢測到自身故障危險時降至1oo1D模式，該危險無修復時間限制。當系統(tǒng)自檢測到某一處理器模塊出錯時系統(tǒng)降至1oo1D模式，并且必須在MTTR內(nèi)更換故障控制器以保證在SIL3等級。該項目按故障安全型設(shè)計，用于SIL3等級的失電跳車模式。系統(tǒng)中I/O輸出模塊檢測到自身故障時，該危險無修復時間限制。

該項目的整體設(shè)計遵循1oo2D配置，具體數(shù)據(jù)流走向如圖2所示。

圖2 1oo2D冗余容錯系統(tǒng)數(shù)據(jù)流向

系統(tǒng)控制的基本步驟為：

a. 現(xiàn)場信號由輸入模塊接收、緩存并進行各種必須的轉(zhuǎn)換后，輸入信號經(jīng)冗余的內(nèi)部總線傳送到冗余處理器模塊；

b. 處理器模塊的微處理器從冗余內(nèi)部總線的每個通道接收輸入信號，并對數(shù)據(jù)進行二取一表決；

c. 通過控制器進行表決后的數(shù)據(jù)將通過冗余總線送至輸出模塊；

d. 輸出模塊接收處理器送來的信號，進行二選二自診斷表決，對表決后的信號進行必要的轉(zhuǎn)換后送出系統(tǒng)，驅(qū)動現(xiàn)場執(zhí)行單元。

工程師站兼SOE站是用于SIS系統(tǒng)的應(yīng)用軟件編程、組態(tài)、調(diào)試、在線監(jiān)測、診斷和操作。工程師站同時作為SOE站用于順序事件收集，存入硬盤，供查詢、追溯判斷停車事故原因。操作員站是用戶監(jiān)控現(xiàn)場信息并進行現(xiàn)場操作的。

2.3 故障安全型聯(lián)鎖邏輯說明

聯(lián)鎖條件正常，即工廠生產(chǎn)裝置在正常生產(chǎn)狀態(tài)下，ESD系統(tǒng)切斷控制回路中的繼電器及電磁閥等皆不處于加電狀態(tài)，即ESD系統(tǒng)輸出為1。聯(lián)鎖動作發(fā)生時，即系統(tǒng)輸出從1變?yōu)?時，現(xiàn)場電磁閥從得電變?yōu)槭щ姞顟B(tài)，從而按照具體工藝要求實現(xiàn)切斷和放空操作。運用這種設(shè)計方案即可實現(xiàn)當ESD聯(lián)鎖控制回路中的某一個環(huán)節(jié)(如供電、卡件、氣源、繼電器、電磁閥、安全柵及電纜等)出現(xiàn)硬件故障時，整個控制回路將進入工藝預(yù)設(shè)的安全工況，相應(yīng)電磁閥即可回到安全的狀態(tài)，從而確保工藝過程的安全。

此合成氨生產(chǎn)裝置中有8個電磁閥，分別作為焦爐氣轉(zhuǎn)化工段和氨罐裝卸的安全控制閥，即采用故障安全型控制方案。當聯(lián)鎖條件滿足且聯(lián)鎖動作發(fā)生后，如果系統(tǒng)需要復位則需要人工進行確認。聯(lián)鎖動作是由系統(tǒng)通過邏輯判斷實現(xiàn)，而聯(lián)鎖動作的復位則需要人為確認故障危險情況排除后才能復位。

AADvance通過RS232/485與DCS系統(tǒng)進行串行通信，執(zhí)行Modbus RTU通信協(xié)議。以DCS系統(tǒng)為主站，ESD系統(tǒng)為從站，ESD系統(tǒng)和DCS系統(tǒng)雖然獨立完成不同的功能，但服務(wù)的對象卻是同一套裝置，兩者之間也應(yīng)該建立數(shù)據(jù)聯(lián)系，特別是ESD系統(tǒng)，其動作條件、聯(lián)鎖結(jié)果及保護措施等都需要在上位機通過各種方式在線監(jiān)視。通過建立DCS和ESD系統(tǒng)的通信，獲取ESD設(shè)備的數(shù)據(jù)信息并在操作員站實現(xiàn)數(shù)據(jù)記錄及趨勢記錄等功能，從而實現(xiàn)在線監(jiān)控和故障追憶功能。

該合成氨項目安全聯(lián)鎖系統(tǒng)中，轉(zhuǎn)化工段富氧空氣與蒸焦氣壓差、混合器進口燃料氣壓力、入工段焦爐氣流量、汽包液位及富氧空氣流量等模擬信號各通過獨立的3路檢測儀表，經(jīng)過三取二表決后參與系統(tǒng)聯(lián)鎖動作。

2.4 ESD聯(lián)鎖邏輯說明

合成氨生產(chǎn)過程的工藝聯(lián)鎖條件為轉(zhuǎn)化爐出口轉(zhuǎn)化氣溫度、轉(zhuǎn)化爐汽包液位、富氧空氣與蒸焦氣壓差和富氧空氣與焦爐氣比值，當任一聯(lián)鎖源觸發(fā)，裝置將進入預(yù)設(shè)的安全狀態(tài)：切斷入轉(zhuǎn)富氧空氣閥US-0501、打開富氧空氣放空閥US-0502、打開密封蒸汽閥US-0503并停焦爐氣壓縮機和凈化壓縮機。

轉(zhuǎn)化爐出口的轉(zhuǎn)化氣溫度TE-0504A/B/C，當任一溫度不小于1 100℃或者不大于680℃時，表示該點溫度不符合工藝生產(chǎn)要求，當3個溫度點中有兩點溫度異常且此工藝聯(lián)鎖條件處于投運狀態(tài)時觸發(fā)聯(lián)鎖跳車。

轉(zhuǎn)化爐汽包液位LT-0501A/B/C，當任一液位不大于35%，表示該點液位不符合工藝生產(chǎn)要求，當3個液位探測點中有兩點液位異常且此工藝聯(lián)鎖條件處于投運狀態(tài)，則將觸發(fā)聯(lián)鎖跳車。

富氧空氣與蒸焦氣壓差PT-0503A/B/C，當任一壓力不大于50kPa，表示該點壓差不符合工藝生產(chǎn)要求，當3個壓差探測點中有兩點壓差異常且此工藝聯(lián)鎖條件處于投運狀態(tài)，則將觸發(fā)聯(lián)鎖跳車。

富氧空氣與焦爐氣比值EBZ001/2/3，當任一比值不小于0.715，表示此比值不符合工藝生產(chǎn)要求，當3個比值中有兩點比值異常且此工藝聯(lián)鎖條件處于投運狀態(tài)時，觸發(fā)聯(lián)鎖跳車。

聯(lián)鎖邏輯圖中聯(lián)鎖旁路按鈕的功能是對聯(lián)鎖條件使能/非使能的切換，裝置穩(wěn)定生產(chǎn)中必須將此按鈕打到聯(lián)鎖投運狀態(tài)，此時此按鈕所對應(yīng)的聯(lián)鎖條件有效，一旦聯(lián)鎖條件不符合工藝生產(chǎn)要求，裝置聯(lián)鎖將被觸發(fā)，裝置立即進入預(yù)設(shè)的安全狀態(tài)，確保人員、裝置本體和環(huán)境的安全，為了保證生產(chǎn)的連續(xù)性，在裝置啟運階段若某些工藝值暫時不能達到正常工況值或是現(xiàn)場某一檢查機構(gòu)故障維修需要一定時間但又要保證生產(chǎn)持續(xù)，此時可以將按鈕打到聯(lián)鎖旁路狀態(tài)，待裝置按工藝要求持續(xù)運行一定時間后或儀表維修完畢后必須及時將此按鈕打到聯(lián)鎖投運狀態(tài)，以確保裝置的整體安全運行；復位按鈕是當工藝聯(lián)鎖條件恢復正常后，可觸動此按鈕，裝置將再次啟動。

3 系統(tǒng)運行效果分析

合成氨生產(chǎn)過程的AADvance系統(tǒng)經(jīng)工廠驗收測試(Factory Acceptance Test，F(xiàn)AT)和現(xiàn)場驗收測試(Site Acceptance Test，SAT),效果良好，測試內(nèi)容包括機柜內(nèi)部硬件安裝和確認，機柜外觀的完整性確認，端子排接線的規(guī)范，測試結(jié)果顯示邏輯控制程序和關(guān)鍵閥門全部能夠按照要求關(guān)閉或開啟，緊急停車模擬運行狀態(tài)良好。測試報告表明，AADvance系統(tǒng)的軟/硬件和邏輯控制程序均能按照設(shè)計要求實現(xiàn)相關(guān)功能。該項目一次投產(chǎn)成功，AADvance系統(tǒng)運行穩(wěn)定。

4 結(jié)束語

AADvance ESD系統(tǒng)自投產(chǎn)以來，經(jīng)過近一年的觀察，系統(tǒng)運行穩(wěn)定，滿足了生產(chǎn)要求，其高可靠性、高安全性和高可用性的容錯控制功能，為生產(chǎn)過程提供了堅實的安全后盾，使得控制系統(tǒng)能夠自動識別元件故障并加以排除，實現(xiàn)了在線更換所有卡件，在SOE中查找系統(tǒng)故障和各種操作記錄，保證了合成氨生產(chǎn)系統(tǒng)的安全、穩(wěn)定、長周期運行。

ESD系統(tǒng)在化工生產(chǎn)過程中的應(yīng)用，為安全生產(chǎn)提供了一種優(yōu)于DCS的控制思路和方法。由于生產(chǎn)過程中工藝故障現(xiàn)象比較復雜，一旦工藝指標超限，ESD系統(tǒng)的正確判斷和及時動作，給生產(chǎn)和現(xiàn)場工作人員的人身安全提供了保障。但ESD系統(tǒng)在提高安全系數(shù)的情況下也降低了裝置的可用性，停車幾率相對增加。因此，只有加強對ESD系統(tǒng)的維護管理，才能確?；どa(chǎn)安全、高效、穩(wěn)定運行。