安全仪表系统SIS解析.pdf

安全仪表系统SIS解析目录1 .什么是安全仪表系统. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .12 . SIS的相关标准及认证机构. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .53 . DCS系统和SIS系统的主要区别. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 74 . SIS设计应遵循的原则. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .85 .故障安全原则. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .86 .隐故障与显故障. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .96. 1. SIS的功能安全. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 107 . 安全性及响应失效率. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 117. 1 . 安全完整性等级 Safety Integrity Level (SIL)................................................................118 . 可用性及可用度. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 129. 冗余和容专昔. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .131 0 . 普通PLC和安全PLC的区别. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1610. 1 . 前述. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1610. 2 . 普通 PLCDO 卡. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1710. 3 . 安全性单容错DO卡. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .1810. 4 . 普通PLC和安全PLC的区别. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .1811 .工艺过程风险的评估及安全度等级的评定. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .1812 . 逻辑运算的基本规则. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 201 .什么是安全仪表系统在 IEC61508中，SIS被称为安全相关系统(Safety Related System),将被控对象称为被控设备(EUC)。

IEC61511将安全仪表系统SIS定义为用于执行一个或多个安全仪表功能(Safety Instrumented Function, SIF)的仪表系统SIS是由传感器( 如各类开关、变送器等) 、逻辑控制器、以及最终元件( 如电磁阀、电动门等) 的组合组成，如 图 1所示IEC61511又进一步指出，SIS可以包括，也可以不包括软件另外，当操作人员的手动操作被视为SIS的有机组成部分时，必须在安全规格书(SafetyRequirement Specification， SRS)中对人员操作动作的有效性和可靠性做出明确第1页共20页规定，并包括在SIS的绩效计算中从 SIS的发展过程看，其控制单元部分经历了电气继电器(Electrical)、电子固态电路(Electronic)和可编程电子系统(Programmable Electronic System),即E/E/PES三个阶段安监总局116号文件国家安全监管总局于2014年 11月 13日下发《 国家安全监管总局关于加强化工安全仪表系统管理指导意见( 安监总管三(2014) 116号) 》该意见涉及到了生产，设计，管理等多个方面。

HAZOP分析，SIL等级评估，安全系统验证，老装置安全系统安全等级评估，安全系统改造等，这些工作将在今后几年中越来越多，越来越重要！下图为由PES构成的SIS图ISIS的构成SIS安全仪表系统(1JSIF安全仪表功能可以是安全仪表保护功能，也可以是安全仪表控制功能，或包含这两者2)需要说明的是，这里所说的安全仪表控制功能，是指以连续模式(Continuous Mode)操作并具有特定的S1L,用于防止危险状态发生或者减轻其发生的后果，与常规的PID控制功能是完全不同的概念3)SIS可以包括或不包括软件(4)SIS的一部分也可能是人的动作如 图 2 所示，这是一个气液分离容器A 液位控制的安全仪表功能回路图对这个安全仪表功能完整的描述是：当容器液位开关达到安全联锁值时，逻辑运算器( 图3)使电磁阀2 断电，则切断进调节阀膜头信号，使调节阀切断容器A 进料，这个动作要在3 秒内完成，安全等级必须达到SIL2这是一个安全仪表功能的完整描述，而所谓的安全仪表系统，则是类似一个或多个这样的安全仪表功能的集合第2页共20页S I S接点图 2安全仪表回路图图2说明：L液面超高-L1接点闭合-Z带电。

Z1常闭接点打开，S线圈断电S电磁阀切断，往调节阀膜头的控制信号调节阀切断工艺进料，完成联锁保护作用K起：按钮开关：起动联锁保护回路兼有复位作用K停：起人工强制起动联锁保护作用K旁：旁路联锁保护作用，用于开车或检修联锁信号仪表第3页共2 0页大多石油和化工生产过程具有高温、高压、易燃、易爆、有毒等危险当某些工艺参数超出安全极限，未及时处理或处理不当时，便有可能造成人员伤亡、设备损坏、周边环境污染等恶性事故这就是说，从安全的角度出发，石油和化工生产过程自身存在着固有的风险总之，SIS是一种经专门机构认证，具有一定安全完整性水平，用于降低生产过程风险的仪表安全保护系统它不仅能响应生产过程因超过安全极限而带来的风险，而且能检测和处理自身的故障，从而按预定条件或程序使生产过程处于安全状态，以确保人员、设备及工厂周边环境的安全按照SIS的定义，下述系统均属于安全仪表系统：安全联锁系统(Safety Interlock System—SIS)；安全关联系统(Safety Related System—SRS)；仪表保护系统(Instrument Protective System—IPS)；透平压缩机集成控制系统(Integrated Turbo&Compressor Control System一ITCC)；火灾及气体检测系统(Fire and gas systems—F&G］；紧急停车系统(Emergency Shutdown Device- ESD)；燃烧管理系统(Burner Management System)；列车自动防护系统(ATP)第4页共20页2. SIS的相关标准及认证机构鉴于sis涉及到人员、设备、环境的安全，因此各国均制定了相关的标准、规范，使得sis的设计、制造、使用均有章可循。

并有权威的认证机构对产品能达到的安全等级进行确认这些标准、规范及认证机构主要有：(1)我国石化集团制定的行业标准SHB-Z06-1999《 石油化工紧急停车及安全联锁系统设计导则》2)2006年、2007年等同采用IEC61508、IEC61511的中国国家标准GB/T20438、GB/T21109相继发布，中国的功能安全标准开始规范我国的功能安全工作3)国际电工委员会1997年制定的IEC 61508/61511标准，对用机电设备( 继电器) 、固态电子设备、可编程电子设备(PLC)构成的安全联锁系统的硬件、软件及应用作出了明确规定4)美国仪表学会制定的ISA-S84.01-1996《 安全仪表系统在过程工业中的应用》5)美国化学工程学会制定的AICHE(ccps)-1993,《 化学过程的安全自动化导则》6)英国健康与安全执行委员会制定的HSE PES-1987,《 可编程电子系统在安全领域的应用》7)德国国家标准中有安全系统制造厂商标准-DIN VVDE 0801、过程操作用户标准-DIN V 19250和 DIN V 19251、燃烧管理系统标准-DIN VDE 0116等8)德国技术监督协会(TUV)是一个独立的、权威的认证机构，它按照德国国家标准(DIN),将 ESD所达到的安全等级分为AK1-AK8, AK8安全级别最高。

其中AK4、AK5、AK6为适用于石油和化学工业取得TiiV认证的SIS产品o在国内石化行业中应用的SIS产品中，经过TiiV认证的主要有：(l)Tricon、Triden,美国Triconex公司开发用于压缩机综合控制(ITCC)和紧急停车系统安全等级为AK6(SIL3)2)FSC(Fail safe control),由荷兰 P&F(Pepper&Fuchs)公司开发，1994 年第5页共20页被 Honeywell公司收购安全等级AK6(SIL3)(3)和利时集团HiaGuard(SIS),我国首套获TUVSIL3认证的安全仪表系统4JHIMA PES, HIMA是德国一家专业生产安全控制设备的公司，PESfProgrammable Electronic System)是可编程电子系统的简称，是近几年来国内引进较多的一种安全仪表系统主要由H41q和 H51q系统组成H41q也叫小系统，它分为不冗余的系统和冗余的系统，不冗余系统型号为H41q—M ,冗余系统又分为高可靠系统H41q—H 和高性能系统H41q—HRH51q称为模块化的系统，它也分为不冗余的系统和冗余的系统，不冗余的系统型号为H51q—H 和高性能系统H51q—HRo各种型号的PES都具有TUVAK1-6级认证。

仪控工程网学习频道，有关于HIMA公司及产品的介绍)(5)Prosafe—R S ,是横河电机安全仪表系统，其特点是与CENTUMCS.3000R3的技术融合，即实现了与DSC的无缝集成非冗余取量即可实现SIL 3 ,通过冗余取量实现更高的可用性6JQUADLOG,由MOORE公司开发，日本横河电机公司收购后称prosafep lc ,其 loo2D结构安全等级达AK6(SIL3)；(7JSIMATICS7—400F/FH, 德国 SIEMENS 公司产品400F 和 400FH 分别为 1 个 CPU和 2 个 CPU运行fail-safe(F)用户程序，均取得TUV认证，安全等级为 AK1-AK6(SIL1-SIL3)；(8)Regent Trusted,美国ICS利用宇航技术开发的安全系统安全等级AK4-AK6(SIL2-SIL3)；(9)GMR90-70,美国GE Fanuc公司开发其中GMR90-70(模块式冗余容错) 的安全等级为 class 5(2oo3), class 4(loo2)和 class 5(2oo2)；(10JTRIGUARD SC300E, AUGUST公司开发，1999年成为ABB集团成员之一，安全等级为class 5 和 class 6 , 系统结构为2oo3；(ll)DeltaV SIS是艾默生推出的TuV认证的新型整体回路概念的智能安全仪表系统，安全等级SIL3。

12)Safeguard 400&300, ABB Industry 公司开发，系统结构 loo2D 篇幅有限不再一一列举)第6页共20页3. DCS系统和SIS系统的主要区别集散控制系统简称D C S ,也可直译为“ 分散控制系统”或 “ 分布式计算机控制系统”它采用控制分散、操作和管理集中的基本设计思想，采用多层分级、合作自治的结构形式其主要特征是它的集中管理和分散控制目前DCS在电力、冶金、石化等各行各业都获得了极其广泛的应用下面小编给大家介绍一下“ DCS系统和SIS系统的主要区别”SIS系统（ Safety Instrumented System安全仪表系统） 属于企业生产过程自动化范畴，用于保障安全生产的一套系统，安全等级高于DCS的自动化控制系统，当自动化生产系统出现异常时，SIS会进行干预，降低事故发生的可能性DCS集散控制系统是以微处理器为基础，采用控制功能分散、显示操作集中、兼顾分而自治和综合协调的设计原则的新一代仪表控制系统集散控制系统简称D C S ,也可直译为“ 分散控制系统”或 “ 分布式计算机控制系统”1、系统的组成：DCS一般是由人机界面操作站、通信总线及现场控制站组成；而SIS系统是由传感器、逻辑解算器和最终元件三部分组成。

即DCS不含检测执行部分2、实现功能：DCS用于过程连续测量、常规控制（ 连续、顺序、间歇等） 操作控制管理使生产过程在正常情况下运行至最佳工况；而SIS是超越极限安全即将工艺、设备转至安全状态3、工作状态：DCS是主动的、动态的，它始终对过程变量连续进行检测、运算和控制，对生产过程动态控制确保产品质量和产量而SIS系统是被动的、休眠的4、安全级别：DCS安全级别低，不需要安全认证；而SIS系统级别高，需要安全认证5、应对失效方式：DCS系统大部分失效都是显而易见的，其失效会在生产的动态过程中自行显现，很少存在隐性失效；SIS失效就没那么明显了，因此确定这种休眠系统是否还能正常工作的唯一方法，就是对该系统进行周期性的诊断或测试第7页共20页(1)系统的组成：DCS一般是由人机界面操作站、通信总线及现场控制站组成；而 SIS系统是由传感器、逻辑解算器和最终元件三部分组成及 DCS不含检测执行部分2)实现功能：DCS用于过程连续测量、常规控制( 连续、顺序、间歇等) 操作控制管理使生产过程在正常情况下运行至最佳工况；而 SIS是超越极限安全即将工艺、设备转至安全状态3)工作状态：DCS是主动的、动态的，它始终对过程变量连续进行检测、运算和控制，对生产过程动态控制确保产品质量和产量。

而 SIS系统是被动的、休眠的4)安全级别：DCS安全级别低，不需要安全认证；而 SIS系统级别高，需要安全认证5)应对失效方式：DCS系统大部分失效都是显而易见的，其失效会在生产的动态过程中自行显现，很少存在隐性失效；SIS失效就没那么明显了，因此确定这种休眠系统是否还能正常工作的唯一方法，就是对该系统进行周期性的诊断或测试因此安全仪表系统需要人为的进行周期性的离线或检验测试，而有些安全系统则带有内部自诊断4 . SIS设计应遵循的原则(1)原则上应独立设置( 含检测和执行单元) ；(2)中间环节最少；(3)应为故障安全型；(4)采用冗余容错结构5 . 故障安全原则组成SIS的各环节自身出现故障的概率不可能为零，且供电、供气中断亦可能发生当内部或外部原因使SIS失效时，被保护的对象( 装置) 应按预定的顺序安全停车，自动转入安全状态(Fault to Safety),这就是故障安全原则具体体现：(1)现场开关仪表选用常闭接点，工艺正常时，触点闭合，达到安全极限时第8页共20页触点断开，触发联锁动作，必要时采用“ 二选一”、 “ 二选二”或 “ 三选二”配置2)电磁阀采用正常励磁，联锁未动作时，电磁阀线圈带电，联锁动作时断电。

3)送往电气配电室用以开/ 停电机的接点用中间继电器隔离，其励磁电路应为故障安全型4)作为控制装置( 如PLC) “ 故障安全”意味着当其自身出现故障而不是工艺或设备超过极限工作范围时，至少应该联锁动作，以便按预定的顺序安全停车( 这对工艺和设备而言是安全的) ；进而应通过硬件和软件的冗余和容错技术，在过程安全时间(PST-ProcessSafetyTime)内检测到故障，自动执行纠错程序，排除故障6 .隐故障与显故障隐故障(CovertFault)：不对危险产生报警，允许危险发展的故障，是故障危险故障(SHB-Z06-1999)Covert Fault： Fault that can be classified ashidden, concealed, undetected, unrevealed, latent, ect.(ISA-S84.01-1996)显故障(OvertFault)：能显示出故障自身存在的故障，是故障安全故障(SHB-Z06-1999)Overt Fault： Fault that can be classified as announced,detected, revealed, ect.(ISA-S84.01-1996)SIS系统拒动：当工艺条件达到或超过安全极限时，SIS本应引导工艺过程停车，但由于其自身存在隐性故障( 危险故障) ，譬如输出开关被误连短路，而不能响应此要求，即该停车而拒停，降低了安全性。

危险失效定义为这样一些失效，这些失效会阻止SIS系统对潜在的危险工况做出反应SIS系统误动：在 图4中，当输出开关由于某种原因处于非激励状态，即使潜在的危险工况没有发生，SIS也会进入一种安全失效状态见图5 ,这种情况经常被称为“ 误动" 误动可能会以许多不同方式发生例如，输入电路可能会发生故障，从而使逻辑解算器误认为是传感器检测到了危险工况，而事实上并没有这种情况发生逻辑解算器本身也可能出现运算错误，并导致输出回路失电，输出回路可能出现开路SIS的许多元件失效均会导致系统进入安全失效状态第9页共20页正常运行时开关闭合，非正常运行时开关打开压力开关- - - - - - - - - - - - >开关量输入SIS输出开关负载正常工作时输出开关处在激励状态非正常运行时输出开关处在失励状态图4正常运行时的正常激励系统+ +即使压力开关闭合，由于输入电路的故障SIS也会误认为它是打开的压力开关〉 尔开关量输入输出电路发生开路故障逻辑解算器不能读取1输入，不能进行正常的逻辑运算，也不能生成逻辑1输出图5 s ls安全失效状态的“ 误动"PFS（ 安全故障概率） ：正 常 激 励 的SIS系 统 在 它 的 输 出 非 激 励 时 ，就会处于故 障 状 态 ，这 有 一 个 概 率 。

称 为 安 全 故 障 概 率（ PFS） ,或 称 误 动 率 PFD（ 要求时失效概率） ：这 是 一 个 衡 量 安 全 性 的 指 标 ，称为要求时失效概率 它 意 味 着 系 统 是 危 险 的 它 不 会 再 要 求 （ 潜在的紧急条件） 发生时产生响应 6. 1. SIS的功能安全安全仪表系统必须在工业系统出现危险情况时正确执行其对应的安全功能 ，安 全 仪 表 系 统 的 这 种 特 性 被 称 为 功 能 安 全 功 能 安 全 实 际 上 讲 的 是sis系 统 自 身 的 安 全 问 题 如 图6示 安 全 仪 表 系 统 ，该 系 统 由 一 个 压 力 变 送 器 、一个阀门和一个安全PLC组 成 的SIS系 统 1）压 力 变 送 器 检 测 容 器 内 压 力 并 将 其 变 换 成 合 适 的 信 号 传 送 给 安 全PLC,安 全PLC判 断 若 压 力 超 过 了 额 定 值 则 打 开 阀 门 以 降 低 容 器 内 压 力 ，这被称为安第 10页共20页全系统的一个安全功能很明显例子中仪表安全系统只有一个安全功能如果三个设备有一个或多个失效，安全功能将失效，即它将不能对压力容器内压力进行限制。

因此安全仪表系统的安全性能由传感器、逻辑解算器和执行器三部分功能决定2)SIS安全功能实际上讲的是让SIS执行什么样的安全任务，如何保护受控设备7 .安全性及响应失效率(1)当工艺条件达到或超过安全极限值时，SIS本应引导工艺过程停车，但由于其自身存在隐故障( 危险故障) 而不能响应此要求，即该停车而拒停，降低了安全性2)衡量安全性的指标为响应失效率或称要求的故障率(PFD： Probability ofFailure on Demand)它是安全联锁系统按要求执行指定功能的故障概率是度量安全联锁系统按要求模式工作故障率的目标值(SHB-Z06-1999)3)不同的工业过程( 如生产规模、原料和产品的种类、工艺和设备的复杂程度等) 对安全的要求是不同的上述的国际标准将其划分为若干安全完整性等级(SIL： Safety Integrity Level)7. 1 .安全完整性等级 Safety Integrity Level(SIL)安全完整性等级(SIL)是一种离散的等级，用来规定分配给E/E/PE安全相第1 1页共2 0页关系统安全功能的安全完整性要求 1） 安全完整性等级可分为4 个等级，SIL4是安全完整性最高的等级（ 平均概率最高） ，SIL1是最低等级；（ 2） 安全完整性等级越高，应执行所要求的安全功能的概率也越高；（ 3） 根据安全相关系统使用方式，要求发生的频率可分为低要求操作模式（ ＜ =1次） 和高要求或连续操作模式仁＞ 1次/ 年） 。

根据GB/T 20438标准，在不同的操作模式下，安全完整性的目标失效概率和目标风险降低见表1 和 表 2采用不同的操作模式结构有可能使用几个安全完整性等级较低的系统来满足一个较高安全完整性等级功能的需要（ 例如：使用一个SIL2和一个SIL1的系统共同来满足一个SIL3功能的需要） 表 1 安全完整性等级：要求时的失效概率表 2 安全完整性等级：SIF的危险失效概率低要求操作模式（ 平均失效概率）斐全完整性等级（ SIL ）要求时的目标平均失效概率目标风险降低4N10-5 〜vl(H>10000~<1000003>104-< 1 03>1000〜0100002>103~<102>100-<10001之 102 〜<101>10〜<100表 3SIL与 PFD的对应关系高要求或连续操作模式（ 每小时危险失效概率）安全完整性等级（ SIL ）执行仪表安全功能的目标危险失效概率4N10 9〜<1083>10-8~<10-72>10 7~<10 61>10-6 〜V10-58 .可用性及可用度工艺条件并未达到安全极限值，SIS不应引导工艺过程停车，但由于其自第12页共20页身存在显故障( 安全故障) 而导致工艺过程停车，即不该停车而误停，降低了可用性。

可用度(A： Availability)是指系统可使用工作时间的概率，用百分数计算:MTBF：平均故障间隔时间(Mean Time Between Failures)MDT：平均停车时间(Mean Downtime)MTBF：平均故障间隔时间(Mean Time Between Failure)MTTR：平均恢复时间(Mean Time to Repair)MTTF：平均无故障时间(Mean Time to Failure)例如：图7 MTTF. 和\IIB F图7 MTTF、MTTR和MTBF的关系9 .冗余和容错冗余(Redundant)具有指定的独立的N： 1重元件，并且可以自动地检测故障，切换到后备设备上SHB - Z06 - 1999)冗余系统(Redundant System)并行地使用多个系统部件，以提供错误检测和错误校正能力的系统SHB-Z06- 1999) o容错(Fault Tolerant)具有内部冗余的并行元件和集成逻辑，当硬件或软件部分故障时，能够识别故障并使故障旁路，进而继续执行指定的功能或在硬件和软件发生故障的情况下，系统仍具有继续运行的能力它往往包括三方面的功能：第一是约束第13页共20页故障，即限制过程或进程的动作，以防止在错误被检测出来之前继续扩大；第二是检测故障，即对信息和过程或进程的动作进行动态检测；第三是故障恢复即更换或修正失效的部件。

SHB - Z06 - 1999)容错系统(Fault Tolerant System)具有容错结构的硬件与软件系统SHB - Z06 - 1999)总之，通过冗余和故障屏蔽的结合来实现容错容错系统一定是冗余系统，冗余系统不一定是容错系统容错系统的冗余形式有双重、三重、四重等图 8 和 图 9、图 10分别表示CPU冗余( 双机热备) 和三重化冗余容错系统现场设备第14页共20页图9三重模块冗余容错系统图1 0三重信号冗余容错系统怎样通过冗余来改善系统的整体SIL水平(1)当一个SIS系统的安全完整性等级要求为S IL 3 ,而实际配置为传感器为2.2X10-3(S IL 2 ),逻辑解算器为L3X1O-4(SIL3)(包括I/O接口) ，终端执行器为2.41X 10-3(SIL2),所以整个系统为S1L2不满足要求2)于是我们改变传感器的配置结构，选择1002冗余，其中共因失效= 1 0 % ,诊断覆盖率(DC)=90%,可以算出lo o 2传感器的结构的PFD=2.3X1 0 -4 ,达到SIL3的水平，同理可以配置执行器为lo o 2冗余结构，也可达到SIL3的要求，于是最终整体SIS系统的SIL可以达到SIL3的要求。

3)这个问题的解决给我们以启示，当装置引进一个SIS系统时，整体安全完整性等级不仅取决于逻辑解算器部分，而且传感器、终端执行器部分也非常关键配置系统时，除了引进一个SIL3的安全仪表系统，譬如FSC等，还要将传感器、终端执行器一并讨论算出SIS整体的SIL数据，定量的安全仪表系统配置任务才算完成冗余表决方法及其安全性、可用性的关系可用性(A： Availability)是指系统可使用工作时间( 连续运行时间) 的概率，用百分数计算A值越大，可用性越好：A=MTBF/(MTBF+MTTR)而 PFD=MTTR/(MTBF+MTTR)PFD越小则安全性越好冗余逻辑表决方法及安全性- 可用性的关系例子如表4所示第 15页共20页表4冗余逻辑的表决方法及其与安全性、可用性的关系表决方法隐故障概率（ 拒动）显故障概率（ 误动）允许不允许安全性可用性一选一 ,__O lool0. 02（ 短路的概率）0.04（ 开路的概率）存在隐故障和显故障差差二选一 l loo20. 0004（ 两个均短路的概率）0. 08（ 只要有一个开路的概率）其中之一存在隐故障（ 仍可安全停车）其中之一存在显故障（ 将误停车）最好最差二选二 2oo20. 04（ 只要有一个短路的概率）0.0016（ 两个均开路的概率）其中之一存在显故障（ 不会误停车）其中之一存在隐故障（ 该停拒停）最差最好三选二 2oo30. 0012（ 三个中两个均短路的概率）0. 0048（ 三个中两个均开路的概率）其中之一存在隐故障或显故障其中两个存在隐故障或显故障较好较好注：此表中故障概率数据摘自西门子公司资料以上可见：（ 1）隐故障（ 危险故障） 使SIS该动而拒动，隐故障概率越高，安全性越差。

2）显故障（ 安全故障） 使ESD不该动而误动，显故障概率越高，可用性越差1002（二选一） 安全性最好，但可用性最差；2oo2（二选二） 可用性最好，但安全性最差；2oo3（三选二） 可兼顾1 0 .普 通 PLC和安全PLC的区别10. 1 .前述普通PLC和可以作为ESD控制部分的安全PLC的主要区别是：普通PLC不是按故障安全型设计的，当系统内部元件出现短路故障时，它并不能检测到，因此其输出状态不能保证系统回到预定的安全状态这种PLC只能用于安全度等级要求低的场合现以输出电路为例予以说明第16页共20页来自CPU的控制信号OV DC+24VDC如电磁10. 2 .普通 PLC DO 卡(1)当 1、2 两点短路时，来自PLC的控制信号将不起作用( 失效) ，电磁阀将一直处于带电( 励磁) 状态，即需要联锁动作( 电磁阀释电停车) 时，由于此故障的存在而拒动，其输出不能保证处于安全停车状态这就是违背了故障安全(Fault to Safety)的原则2)当 1、2 两点开路时，将导致误动作而停车，同样会带来损失可见,这种普通PLC的DO卡输出电路的安全性和可用性都是不高的24VDC图1 2安全性单容错DO卡示意图如电磁阀第17页共20页1 0 . 3 . 安全性单容错D O 卡图 12所示为一种带有安全性单容错的DO卡示意图( 它是Honeywell SMSFSC-101型输出示意图) 。

这里，中央处理器不仅向串联的场效应管(FET)发出控制信号，而且还接受来自场效应管的状态反馈信号，以便对其输出进行全面测试当测得某管输出发生短路时，中央处理器即启动纠错动作，隔离相关的故障看门狗(WatchDog)是个多通道的计时器电路它由中央处理器和内存等周期性地触发，如果两个触发之间的时间小于某设定值或者大于某最大值，则看门狗的输出将失效同时看门狗还能监视内部工作电压，使之在正常的电压范围内1 0 . 4 . 普通P L C 和安全P L C 的区别以上仅是DO卡上的差别作为安全P L C ,至少应具备以下几点：(1)满足相关安全标准规范要求，且经过权威机构认证，取得了相应安全等级证书；(2)在硬件和软件上采用冗余、容错措施，具有完善的测试手段，当检测到系统故障，特别是危险故障时能使系统回到安全状态；(3)能进行系统故障报警，指示故障原因、故障位置，便于维护；能与DCS或其它设备进行通讯1 1 . 工艺过程风险的评估及安全度等级的评定不同的工艺过程( 生产规模、原料和产品的种类、工艺和设备的复杂程度等) 对安全的要求是不同的一个具体的工艺过程，是否需要配置SIS、配置何种等级的S IS ,其前提应该是对此具体的工艺过程进行风险评估，要进行危险及可操作性分析(HAZOP),然后辨识出与此分析相应的安全仪表功能(SIF),( 找到一个安全仪表连锁回路) ，再根据风险出现的频率和其产生的严重后果，找到一个与此SIF相应的SIL值，在确定了某个安全仪表功能的完整性等级(SIL)之后，再配置与之相适应的SIS。

表 1-3可以看出，若某工艺过程的所需SIF经评定后为S IL 2 ,则配置达到AK4的SIS即可，其响应失效率(PFD)为百分之一至千分之一之间1)应该注意的是不同安全级别的S IS ,只能确保响应失效率(PFD)在一定第18页共20页的范围内，安全级别越高的S IS ,其PFD越小，即发生事故的可能性越小，但它不能改变事故造成的后果因此，工艺过程安全完整性等级的评定是一项十分重要的工作但目前我国尚无如何评定安全完整性等级的标准和规范国际、国外标准中提供了某些评定方法下面介绍的风险矩阵（ RISK MATRIX）评估方法可供参考 2）这种方法以工艺过程事故出现的频率（ 可能性） 及其危害程度（ 严重性） 为风险评估的指标，并对频率和危害程度人为量化为若干级，作出矩阵表（ 见表5）以此确定工艺过程度安全完整性等级表5风险矩阵频率危 害 温 、很低（ 20年以上）低（ 4〜20年）中（ 0. 5〜4年）高（ 0~0. 5年）轻微—DCS报警DCS联锁DCS联锁轻DCS报警DCS联锁SIL1SIL2中DCS联锁SIL1SIL2SIL3大SIL1SIL2SIL3SIL4重大SIL2SIL3SIL4SIL4风险矩阵（ 1）表5中频率分级的年限（ 多少年出现一次） 考虑了采用DCS进行监视、控制以及正常操作规程等对于降低事故出现频率的贡献，但不考虑ESD的存在。

2）表5中危害程度从经济损失、人身伤害和环境危害三个方面予以量化如 表6所示表6危害程度的量化第19页共20页危害程度 经济损失（ 美元）人身伤击环境危害轻微<2500无无轻2500〜10万轻伤，仅需就地急救治疗可立即控制中10万〜50万多人重伤，需医学治疗，一人死亡无法立即控制大50万〜150万造成伤残、死亡仅限于事故现场重大〉150 万造成多人伤残、死亡波及周边1 2 .逻辑运算的基本规则交换律 AB =B AA + B = B + A结合律 A B C = A (B C )A + B + C = A + (B + C )分配律 A (B + C )= A B + ACA +(B C) = (A+B ) (A+C )重复律 A A A .......A = AA + A + A ....... +A = A自等律 A l= AA+O=A第20页共20页。