李維聰，秦桐，柯察今

（中國(guó)能源建設(shè)集團(tuán)廣東省電力設(shè)計(jì)研究院有限公司，廣州510663）

安全儀表系統(tǒng)（Safety Instrumentation System，SIS）是保證工業(yè)生產(chǎn)安全性的重要手段。安全儀表系統(tǒng)已廣泛應(yīng)用于化工、石油、電力等重大國(guó)際工程項(xiàng)目中［1］。項(xiàng)目前期，建設(shè)方對(duì)安全保護(hù)等級(jí)進(jìn)行評(píng)估分析，從而有效對(duì)工藝設(shè)備、控制系統(tǒng)和儀表等設(shè)計(jì)有明確的安全保護(hù)指向性建議。

在國(guó)外工程，安全完整性等級(jí)或者危險(xiǎn)與可操作性分析在重大工程項(xiàng)目中已普遍應(yīng)用。往往在項(xiàng)目前期建設(shè)方已要求對(duì)安全保護(hù)等級(jí)進(jìn)行評(píng)估分析，從而有效對(duì)控制系統(tǒng)、儀表、工藝設(shè)備等設(shè)計(jì)有明確的安全保護(hù)指向性建議。相比較于國(guó)內(nèi)工程項(xiàng)目中，安全完整性等級(jí)也已廣泛應(yīng)用于化工、石油、航天等行業(yè)，而電力行業(yè)也在逐步推廣應(yīng)用。相比較于國(guó)際工程，安全儀表系統(tǒng)在國(guó)內(nèi)工業(yè)項(xiàng)目中的研究和應(yīng)用起步較晚，最近十年開(kāi)始重視和逐漸推廣安全儀表系統(tǒng)在工業(yè)生產(chǎn)過(guò)程中的應(yīng)用。國(guó)家陸續(xù)頒布了相關(guān)的標(biāo)準(zhǔn)和規(guī)范（GB/T 20438 和GB/T 21109）；化工行業(yè)，國(guó)家安全監(jiān)管總局針對(duì)安全儀表系統(tǒng)下發(fā)了《關(guān)于加強(qiáng)化工安全儀表系統(tǒng)管理的指導(dǎo)意見(jiàn)》（安全監(jiān)管三（2014）116 號(hào)）［2］，要求進(jìn)一步充分認(rèn)識(shí)安全儀表系統(tǒng)重要性并加強(qiáng)其基礎(chǔ)工作及管理，要按照安全完整性設(shè)計(jì)相關(guān)控制回路。2011年開(kāi)始，國(guó)內(nèi)火電行業(yè)逐步對(duì)汽輪機(jī)緊急跳閘系統(tǒng)（Emergency Trip System，ETS）和燃料安全系統(tǒng)（Fuel Safety System，F(xiàn)SS）等進(jìn)行安全風(fēng)險(xiǎn)評(píng)估分析和等級(jí)評(píng)定，并開(kāi)始嘗試應(yīng)用儀表安全系統(tǒng)［3］，而在其之前國(guó)內(nèi)石化行業(yè)的自備電廠和海外機(jī)組已有使用。

1 安全儀表系統(tǒng)

1.1 安全儀表系統(tǒng)簡(jiǎn)介

安全儀表系統(tǒng)（SIS）是生產(chǎn)過(guò)程中十分重要的保護(hù)系統(tǒng)，能確保生產(chǎn)長(zhǎng)期安全穩(wěn)定運(yùn)行，其主要由傳感器、邏輯控制器以及最終執(zhí)行元件等分布組成［4］。在實(shí)際的工業(yè)生產(chǎn)控制系統(tǒng)中以現(xiàn)場(chǎng)檢查儀表傳感器為監(jiān)視輸入，進(jìn)入控制系統(tǒng)的核心邏輯控制器對(duì)信號(hào)進(jìn)行分析處理及提示報(bào)警，最終由執(zhí)行元件對(duì)生產(chǎn)流程進(jìn)行聯(lián)鎖動(dòng)作。安全儀表系統(tǒng)（SIS）使工業(yè)過(guò)程控制形成閉環(huán)，目前工業(yè)上更先進(jìn)的優(yōu)化運(yùn)行分析、性能預(yù)測(cè)等均基于安全儀表系統(tǒng)（SIS）上配置的。

在生產(chǎn)過(guò)程中出現(xiàn)的安全事故往往由于安全儀表系統(tǒng)存在問(wèn)題無(wú)法確保生產(chǎn)安全，其信號(hào)設(shè)置控制應(yīng)滿足工藝生產(chǎn)流程需求。從而在設(shè)計(jì)的原則上需要遵循傳感器獨(dú)立/冗余原則、最終執(zhí)行元件的獨(dú)立/冗余/閥門電機(jī)配合原則、邏輯控制單元的獨(dú)立/冗余/通信接口原則。同時(shí)在滿足設(shè)計(jì)原則上也需要對(duì)工業(yè)生產(chǎn)過(guò)程進(jìn)行安全完整性評(píng)估，通過(guò)評(píng)估等級(jí)選擇相適應(yīng)的安全儀表系統(tǒng)從而準(zhǔn)確監(jiān)測(cè)生產(chǎn)過(guò)程出現(xiàn)或潛在的問(wèn)題，對(duì)問(wèn)題進(jìn)行邏輯分析及報(bào)警動(dòng)作，有效降低或防止事故發(fā)生，減少生產(chǎn)過(guò)程的危害及其影響。

1.2 安全完整性等級(jí)簡(jiǎn)介

1）安全完整性等級(jí)概述

安全完整性等級(jí)在電廠中的應(yīng)用主要針對(duì)安全儀表系統(tǒng)在生產(chǎn)過(guò)程中的質(zhì)量及可靠性的度量分析。根據(jù)等級(jí)的劃分選擇相應(yīng)的對(duì)保護(hù)系統(tǒng)進(jìn)行配置［5］。根據(jù)IEC 61508 定義，安全完整性等級(jí)（Safety Integrity Level，SIL）劃分為四個(gè)等級(jí)，由度量的質(zhì)量及可靠性低到高為SIL1～SIL4［6］。

實(shí)際上，對(duì)于不同的安全保護(hù)功能使用的頻率不同會(huì)直接影響其運(yùn)行過(guò)程中的設(shè)置。根據(jù)運(yùn)行過(guò)程故障的頻率劃分為低頻率功能和高頻率功能。對(duì)于電廠的鍋爐安全事故保護(hù)系統(tǒng)屬于低頻率使用功能。對(duì)于低頻率功能主要由保護(hù)系統(tǒng)使用的頻率和投入運(yùn)行后保護(hù)系統(tǒng)發(fā)生故障的頻率（PFD）兩種因素構(gòu)成。PFD為無(wú)量綱量參數(shù)。在低頻率模式下，SIL 是 PFD 的代表，以下如表 1 所示是 IEC 61508 中SIL等級(jí)與PFD的對(duì)應(yīng)關(guān)系表格［7］：

表1 低頻率SIL定義Tab. 1 Low frequency SIL definition

2）安全完整性等級(jí)的分析

SIL 等級(jí)的確定根據(jù) IEC 61508 和 IEC 61511 有較多方法，比如：風(fēng)險(xiǎn)圖表法、定量法、安全層級(jí)矩陣模型、保護(hù)層分析法（LOPA）等。而在工業(yè)過(guò)程控制的應(yīng)用中，主流的兩種方法為風(fēng)險(xiǎn)圖表法和保護(hù)層分析法。相較兩種分析法中，風(fēng)險(xiǎn)圖表法是一種半定性/半定量的方法，不需要精確的傷害發(fā)生速率、后果以及其他參數(shù)的值，不需要專業(yè)的計(jì)算或復(fù)雜的建模。在項(xiàng)目初期或項(xiàng)目風(fēng)險(xiǎn)頻率較低的工業(yè)過(guò)程中較為適用，同時(shí)可以結(jié)合危險(xiǎn)與可操作性分析 （Hazard And Operability Analysis，HAZOP）對(duì)工藝流程的進(jìn)行SIL 分析［6］。風(fēng)險(xiǎn)圖表法可相對(duì)快速地、直接地用于大量的保護(hù)功能以排除事故頻率/危險(xiǎn)性較低的工況，從而凸顯故障頻率/危險(xiǎn)性較高的工況。本文使用風(fēng)險(xiǎn)圖表法對(duì)電廠鍋爐安全監(jiān)控系統(tǒng)實(shí)際保護(hù)動(dòng)作進(jìn)行分析。

風(fēng)險(xiǎn)圖表法由四個(gè)主要因素如表2所示：

在四個(gè)因素中表示C等級(jí)越高后果影響越大，F(xiàn)越大頻率發(fā)生概率越高或時(shí)間越長(zhǎng)，P越大避免傷害的可能性越低，W越大危險(xiǎn)發(fā)生的速率越高。表格中農(nóng)的后果參數(shù)僅為典型參考值，由于IEC 標(biāo)準(zhǔn)中對(duì)該部分無(wú)定量說(shuō)明，因此該部分參數(shù)需具體項(xiàng)目實(shí)施進(jìn)行調(diào)整。

表2 風(fēng)險(xiǎn)圖表法因素定義Tab. 2 Risk chart factor definition

1.3 安全儀表系統(tǒng)在發(fā)電行業(yè)的應(yīng)用

安全儀表系統(tǒng)在發(fā)電行業(yè)中廣泛應(yīng)用于鍋爐爐膛安全監(jiān)控系統(tǒng)（Furnace Safeguard Supervisory System，F(xiàn)SSS）和汽輪機(jī)緊急跳閘保護(hù)系統(tǒng)ETS［7］。以下是以FSSS 系統(tǒng)作為安全儀表系統(tǒng)應(yīng)用例子做分析。FSSS 是確保大型火電機(jī)組鍋爐長(zhǎng)期安全穩(wěn)定運(yùn)行的一種監(jiān)控系統(tǒng)。其系統(tǒng)通過(guò)實(shí)時(shí)監(jiān)控鍋爐部分重要的設(shè)備、儀表等大量的參數(shù)與狀態(tài)，通過(guò)取值判斷、邏輯運(yùn)算方式對(duì)設(shè)備發(fā)出相關(guān)聯(lián)鎖動(dòng)作指令，以保證鍋爐燃燒安全。FSSS 系統(tǒng)由燃燒器控制系統(tǒng)（Burner Control System，BCS）和燃料安全系統(tǒng)FSS，系統(tǒng)組成［8］。以下如圖1 所示為電廠鍋爐控制監(jiān)控系統(tǒng)的網(wǎng)絡(luò)組態(tài)圖：

在鍋爐控制監(jiān)控系統(tǒng)網(wǎng)絡(luò)中，鍋爐FSS 系統(tǒng)通過(guò)接收鍋爐DCS、鍋爐BCS、鍋爐就地保護(hù)儀表設(shè)備的保護(hù)動(dòng)作信號(hào)進(jìn)行邏輯判斷并送至MFT 機(jī)柜進(jìn)行繼電器回路控制保護(hù)。

常規(guī)火力發(fā)電廠的鍋爐FSSS 型鍋爐爐膛安全保護(hù)系統(tǒng)由爐膛安全系統(tǒng)（FSS）和燃燒控制系統(tǒng)（BCS）組成，F(xiàn)SS應(yīng)包括三大風(fēng)機(jī)保護(hù)、給水保護(hù)和汽機(jī)故障保護(hù)；BCS 應(yīng)是煤、油和氣燃燒器管理與控制［9］。鍋爐DCS 控制包括鍋爐本體汽水、煙風(fēng)、吹灰、后煙道輔助等系統(tǒng)。

2 二次再熱機(jī)組安全儀表系統(tǒng)的實(shí)施方案

某二次再熱百萬(wàn)機(jī)組電廠項(xiàng)目采用國(guó)內(nèi)某鍋爐廠生產(chǎn)的百萬(wàn)兆瓦級(jí)二次再熱超超臨界鍋爐。鍋爐主要技術(shù)特點(diǎn)有直流п 型爐、單爐膛、平衡通風(fēng)、固態(tài)排渣；六層煤粉燃燒器，采用四角切圓燃燒方式；設(shè)置有一層微油點(diǎn)火系統(tǒng)，并保留常規(guī)燃油系統(tǒng)。

電廠基于對(duì)國(guó)內(nèi)領(lǐng)先水平的總線和硬接線結(jié)合控制方式的二次再熱機(jī)組保護(hù)考慮，在燃料安全系統(tǒng)（FSS）的處理器模件采用了專用、獨(dú)立、滿足SIL3標(biāo)準(zhǔn)的系統(tǒng)。以下以某二次再熱百萬(wàn)兆瓦機(jī)組電廠中緊急停爐保護(hù)回路進(jìn)行風(fēng)險(xiǎn)圖表法分析。其鍋爐緊急保護(hù)回路由鍋爐安全監(jiān)控系統(tǒng)（FSS）完成，當(dāng)鍋爐運(yùn)行中發(fā)生下列情況之一時(shí)，MFT 動(dòng)作，切斷進(jìn)入爐膛的所有燃料：

1） 爐膛火焰喪失， 風(fēng)險(xiǎn)因素劃分為CB/FA/PB/W3。若爐膛火焰喪失，則經(jīng)過(guò)燃燒器送進(jìn)鍋爐的燃料未進(jìn)行燃燒，很有可能或出現(xiàn)鍋爐內(nèi)爆燃、爆炸等事故工況，而導(dǎo)致人身事故［10］。

2） 爐膛負(fù)壓過(guò)高/過(guò)低，風(fēng)險(xiǎn)因素劃分為CB/FA/PB/W2。負(fù)壓過(guò)高會(huì)使?fàn)t膛煙氣量加大，風(fēng)速加大后從而加劇受熱面的磨損以及風(fēng)機(jī)效能降低。鍋爐效率降低燃燒不充分，產(chǎn)生結(jié)焦情況。若鍋爐處于低負(fù)荷運(yùn)行或燃燒不穩(wěn)時(shí)，可能會(huì)導(dǎo)致鍋爐滅火以及影響鍋爐的鋼架結(jié)構(gòu)。而鍋爐爐膛內(nèi)瞬時(shí)滅火，則有可能導(dǎo)致?tīng)t膛負(fù)壓在短時(shí)間內(nèi)急劇升高或急劇降低時(shí)，還可能發(fā)生爐膛內(nèi)爆事故。內(nèi)爆會(huì)造成水冷壁損壞或人身事故［11］。

3） 引風(fēng)機(jī)/送風(fēng)機(jī)全停，風(fēng)險(xiǎn)因素劃分為CB/FA/PB/W2。該情況下，會(huì)導(dǎo)致?tīng)t膛內(nèi)的煙氣無(wú)法通過(guò)后煙道排出，而爐膛內(nèi)燃燒不穩(wěn)定，最壞情況會(huì)人身事故。

4）總風(fēng)量低，風(fēng)險(xiǎn)因素劃分為CB/FA/PB/W2。控制系統(tǒng)正常運(yùn)行下應(yīng)通過(guò)邏輯保護(hù)最小總風(fēng)量為B-MCR 的30%風(fēng)量，若風(fēng)量低于設(shè)定值，會(huì)導(dǎo)致?tīng)t膛內(nèi)燃燒不充分，部分燃料過(guò)剩。

5）給水流量過(guò)低或給水喪失，風(fēng)險(xiǎn)因素劃分為CB/FA/PB/W2。控制系統(tǒng)正常運(yùn)行下應(yīng)通過(guò)邏輯保護(hù)最小給水流量，若給水量低于設(shè)定值，會(huì)導(dǎo)致鍋爐水冷壁過(guò)熱產(chǎn)生膜態(tài)沸騰。

6） 控制系統(tǒng)失電， 風(fēng)險(xiǎn)因素劃分為CA/FA/PA/W2?？刂葡到y(tǒng)失電，則導(dǎo)致鍋爐控制部分、保護(hù)系統(tǒng)失效不能操作監(jiān)視。

2.1 鍋爐FSS系統(tǒng)在技術(shù)規(guī)范書(shū)的應(yīng)用說(shuō)明

在二次再熱機(jī)百萬(wàn)兆瓦機(jī)組電廠鍋爐FSS 系統(tǒng)采用安全儀表系統(tǒng)廠家提供的故障安全系統(tǒng)。在規(guī)范書(shū)的編制明確“鍋爐FSS 系統(tǒng)產(chǎn)品的制造必須滿足安全等級(jí)并遵循國(guó)際相關(guān)標(biāo)準(zhǔn)（如IEC 61508，IEC 61511， ANSI/ISA. 84.01.1996， DIN. V. VDE 0801，DIN.V.19250 等），并通過(guò)國(guó)際權(quán)威機(jī)構(gòu)認(rèn)證（國(guó)際萊茵TUV 認(rèn)證）。MFT 應(yīng)用的安全級(jí)別和選用的故障安全型控制器所采用的國(guó)際標(biāo)準(zhǔn)及達(dá)到的安全等級(jí)?！痹诰唧w工程實(shí)施中，可根據(jù)各個(gè)工程的實(shí)際情況，參照本規(guī)范書(shū)中的有關(guān)內(nèi)容進(jìn)行編制。需要注意的是，因每個(gè)安全保護(hù)控制系統(tǒng)廠家使用標(biāo)準(zhǔn)、認(rèn)證機(jī)構(gòu)不盡相同，具體應(yīng)根據(jù)實(shí)際工程情況及標(biāo)準(zhǔn)使用情況配置。同時(shí)在規(guī)范書(shū)內(nèi)也需要明確鍋爐FSS 系統(tǒng)的主要保護(hù)控制設(shè)備、功能聯(lián)鎖、保護(hù)動(dòng)作等。

2.2 鍋爐FSS系統(tǒng)的控制器冗余設(shè)置

根據(jù)某二次再熱電廠的鍋爐FSS 系統(tǒng)使用SIL3等級(jí)，相應(yīng)的控制器配置為三冗余設(shè)計(jì)方式。并根據(jù)國(guó)際某知名安全儀表系統(tǒng)廠家選用TMR 故障安全型控制器應(yīng)是DCS 的一部分或同DCS 實(shí)現(xiàn)無(wú)縫連接。其冗余控制原理圖如圖2所示：

三重化冗余結(jié)構(gòu)特點(diǎn)在于由輸入模塊至控制器至輸出模塊完全的單獨(dú)通道。其三個(gè)完全相同的分支控制回路，每一支回路能獨(dú)立地執(zhí)行控制程序，并與其他兩路并行同時(shí)工作，系統(tǒng)中含有安全保護(hù)軟硬件機(jī)制對(duì)信號(hào)進(jìn)行三取二邏輯判斷［12］。三個(gè)主控制器之間使用總線進(jìn)行通訊，每一個(gè)掃描周期均與其他兩個(gè)控制器進(jìn)行通訊和同步?？偩€的通信過(guò)程為每個(gè)掃描周期開(kāi)始同步各主控制器，對(duì)于DI信號(hào)輸入表決并對(duì)偏差值進(jìn)行標(biāo)識(shí)，同理DO 和AO 的運(yùn)算結(jié)果也進(jìn)行比較偏差值進(jìn)行標(biāo)識(shí)；控制器之間的程序數(shù)據(jù)和診斷信息進(jìn)行傳送，并通過(guò)總線把DI表決和AI計(jì)算值傳送至各控制器。

針對(duì)安全儀表控制系統(tǒng)維護(hù)，在工程師站內(nèi)有對(duì)系統(tǒng)診斷監(jiān)視軟件，可對(duì)控制器的數(shù)據(jù)采集時(shí)間、最大存儲(chǔ)和剩余空間、當(dāng)前操作控制器狀態(tài)、安全鑰匙位置、掃描周期等進(jìn)行查詢監(jiān)控。同時(shí)系統(tǒng)針對(duì)每個(gè)控制器的卡件故障、電源故障、表決故障均有獨(dú)立的報(bào)警設(shè)置，確保系統(tǒng)安全穩(wěn)定運(yùn)行。

對(duì)于國(guó)際主流的安全保護(hù)系統(tǒng)有雙重冗余自診斷的Honeywell-FSC 系統(tǒng)、三重化自診斷的施耐德的TRICONEX 系統(tǒng)、四重化自診斷的HIMA-HIQuard、系統(tǒng)雙處理器架構(gòu)（1oo2）的AB-Guard-logix系統(tǒng)等。

2.3 燃料安全系統(tǒng)的電源配置

某二次再熱百萬(wàn)兆瓦電廠采用的國(guó)際知名某安全儀表控制系統(tǒng)，其使用容錯(cuò)雙電源模塊。在電源的配供上一定要滿足機(jī)組安全穩(wěn)定運(yùn)行，因此電廠項(xiàng)目在電源配供上來(lái)自兩路220 VAC不同的UPS饋線柜的不停電電源，任何一路電源均可以承擔(dān)系統(tǒng)的全部供電負(fù)荷，確保電源的品質(zhì)及可靠性。同時(shí)在機(jī)柜設(shè)置機(jī)柜溫度監(jiān)視及電源監(jiān)視繼電器并其失電、過(guò)壓、過(guò)流報(bào)警信號(hào)送至DCS系統(tǒng)進(jìn)行聯(lián)鎖保護(hù)動(dòng)作。其系統(tǒng)中按照電源等級(jí)劃分120 V AC/DC、24 V DC和230 V AC的相對(duì)獨(dú)立電源模塊。

2.4 鍋爐FSS系統(tǒng)的儀表設(shè)備及控制信號(hào)冗余性

根據(jù)DL/T 5512—2016 對(duì)鍋爐工藝流程上設(shè)置依據(jù)規(guī)范要求的測(cè)點(diǎn)信號(hào)，同時(shí)滿足鍋爐FSS 保護(hù)動(dòng)作相應(yīng)的儀表設(shè)備應(yīng)考慮冗余性的配置［13］，例如：鍋爐給水流量值保護(hù)，應(yīng)設(shè)置三冗余流量測(cè)量變送器；引風(fēng)機(jī)全停保護(hù)，單臺(tái)機(jī)組應(yīng)設(shè)置2×50%容量風(fēng)機(jī)設(shè)備。而對(duì)于重要的控制信號(hào)，應(yīng)采用冗余信號(hào)考慮，例如：風(fēng)機(jī)跳閘信號(hào)應(yīng)采用三個(gè)狀態(tài)信號(hào)進(jìn)行邏輯判斷。

3 結(jié)論

本文分析鍋爐爐膛安全監(jiān)控系統(tǒng)在電廠工程中結(jié)構(gòu)組成，對(duì)安全完整性等級(jí)應(yīng)用進(jìn)行討論。根據(jù)IEC 61508 和IEC 61511 標(biāo)準(zhǔn)對(duì)燃料安全系統(tǒng)進(jìn)行SIL 等級(jí)風(fēng)險(xiǎn)圖表法分析，并結(jié)合國(guó)內(nèi)某電廠二次再熱百萬(wàn)兆瓦機(jī)組項(xiàng)目在實(shí)際中應(yīng)用的實(shí)施方案。方案中從系統(tǒng)技術(shù)規(guī)范書(shū)、控制器設(shè)置、電源配供、儀表設(shè)備及信號(hào)設(shè)計(jì)四方面進(jìn)對(duì)安全完整性等級(jí)進(jìn)行分析。最后結(jié)合國(guó)內(nèi)外SIL 等級(jí)在各領(lǐng)域的應(yīng)用情況，電力行業(yè)可利用分析評(píng)估提高工程安全可靠性。

安全完整性等級(jí)也已廣泛應(yīng)用于化工、石油、航天等行業(yè)，而電力行業(yè)也在逐步推廣應(yīng)用。從國(guó)際安全保護(hù)系統(tǒng)的推廣及發(fā)展趨勢(shì)，電力行業(yè)未來(lái)也應(yīng)廣泛應(yīng)用SIL 等級(jí)，同時(shí)應(yīng)由專業(yè)認(rèn)證機(jī)構(gòu)在項(xiàng)目前期對(duì)工程進(jìn)行評(píng)估分析，可為設(shè)計(jì)、采購(gòu)、施工、運(yùn)行維護(hù)提供更有安全可靠的全生命周期管理方式。