安全控制系統在合成氨裝置中的應用

吳文瑞 石 峰 龐 洲

(1.甘肅金昌化學工業集團有限公司，甘肅 金昌 737100；2.浙江中控技術股份有限公司，杭州 310027)

ESD系統作為安全控制系統，是一種獨立于生產過程控制系統的用于大型裝置的安全聯鎖保護系統，用來減少過程失控的風險，確保人員、設備和現場環境的安全。在正常生產情況下，ESD系統是不需要人為干預的，處于靜態，并通過安全保護系統在線監測生產過程；當生產過程出現緊急情況且聯鎖條件滿足時，ESD系統就會觸發聯鎖動作信號，對現場設備實行聯鎖保護或者緊急停車，以避免危險擴散造成巨大的財產損失甚至人員傷亡。

甘肅金昌化學工業集團有限公司以焦爐氣為原料、密閉電石爐尾氣為燃料，新建20萬t/a合成氨項目。該項目采用了浙江中控技術股份有限公司集成的AADvance安全表決系統及其軟件系統，先后完成了ESD系統的設計、組態、安裝、FAT測試和現場調試。

1 危險因素分析①

合成氨裝置的原料、燃料、過程產物和產品，大多為甲類或乙類火災危險性物質，其中還有有毒物質，生產過程又在高溫、高壓條件下進行。生產設備一旦發生故障，往往會造成全裝置停車。如果故障處理不當，還有可能造成重大事故。

焦爐氣生產合成氨的主要工序有焦爐氣壓縮、脫硫、轉化、變換、脫碳、甲烷化、凈化及合成等，主要設備有壓縮機、脫硫塔、轉化爐、羅茨鼓風機、合成塔及液氨球罐等。生產過程是在密閉、高溫、高壓條件下連續進行的。正常生產時，設備運行正常，工藝參數穩定，即使發生小幅波動，操作人員進行及時調節后都能保持安全穩定運行。但是當有些重要工藝參數偏離指標達到一定的時間和范圍時，裝置就會產生故障甚至引發事故。

2 AADvance系統設計

AADvance系統用以實現對現場裝置異常操作和設備狀態的自動監測、自動停車和/或隔離裝置，以防止異常條件引起的事故報警、記錄和其他嚴重后果，實現對裝置及工作人員的保護等功能。

作為關鍵控制系統，AADvance秉承了ICS Triplex歷經數十年的TMR技術，并考慮到用戶的多層次安全控制和機組控制要求。在三重化的總線架構上，可以任意進行處理器模塊和I/O模塊從單重化、雙重化到三重化的搭建，以實現從失效-安全到容錯、從小規模到大規模系統點數、從集散式到集中式結構、從SIL1～SIL3安全等級的多重選擇。AADvance系統的主要特點：可通過采用多塊各自獨立的模塊實現系統的靈活配置；可作為一個單獨的系統或分布式架構的一部分；可從單重化模式轉變為容錯系統；在不中斷系統的情況下擴展I/O模塊；支持IEC611499分布式功能模塊；支持各類行業標準協議，如HART、以太網、Modbus RTU、開放的Modbus TCP、CIP和OPC；專利的HIFT設計，保證系統的安全性、可靠性和運行速度；無限制的在線修改，裝置不停車的組態修改對于許多過程工業是危險但又必須的，AADvance系統能夠幫助實現多變量無次數限制的在線修改，該系統的離線仿真也是全局有效，而不僅僅是針對局部；可組態設置SOE，記錄門限值或事件，分辨率均為1ms；預診斷，對現場設備進行特征分析并進行趨勢預測，AADvance控制器能夠對回路進行動態監測并與正常值比較，如果回路特征發生較大變化系統將進行報警，并向操作員提供資料，以便進行分析處理；專利的HIFT時鐘設計，HIFT時鐘具有三重化結構，并在時鐘機構內部設立了多個故障限制區，確保單點故障不會影響系統的正常工作；TUV認證的防火墻設計確保不同安全等級的應用程序可以同時在系統中運行而互不影響；支持全部5種IEC61131編程組態語言——梯形邏輯圖、功能塊、結構化文本、指令表和順控圖；完全根據IEC61508標準設計，通過了功能安全的TUV認證。

2.1 設計原則

AADvance系統的設計需遵循獨立原則、故障安全型原則、共享原則和可靠性原則；采用符合國際安全標準IEC61508的緊急停車系統，具體如下：

a. 安全等級設計為SIL3；

b. ESD系統符合故障安全型原則，當ESD系統本身故障時使裝置按已知預定方式進入安全狀態，從而避免由于ESD自身故障或因停電、停氣導致生產裝置處于危險狀態；

c. 系統滿足硬件容錯，容錯系統不同于一般的雙機熱備份系統，一般的雙機熱備份系統只是模塊或總線上簡單的雙熱備，一旦輸入模塊出現故障，處理器模塊也有一塊出現故障時，系統可能因此而癱瘓，但是具有容錯功能的系統，除了在模塊、總線、通信上有冗余設計之外，還具有自診斷功能，能準確識別各部件的故障，具備廣泛的系統自診斷能力。

2.2 系統配置和功能

在合成氨項目中為滿足設計安全等級和系統冗余容錯的要求，控制器采用冗余I/O卡件，設計為SIL 3級。同時，采用3-2-1-0降級模式，系統由兩個CPU，集成在底板的冗余以太網通信口和冗余RS485通信口，以及相關的I/O模塊和底板組成。AI和DI各采用雙卡配置一個輸入點通過1oo2完成表決。DO采用雙卡配置(一個輸出點由兩路開關通過1oo2完成表決輸出方式)。

安全聯鎖系統主要包括焦爐氣轉化區、合成區和氨罐區3個工段的安全控制，系統配置如圖1所示。

圖1 某合成氨生產過程的ESD系統配置

根據該項目ESD技術規格書及其附件中確定的I/O點數，共配置了兩塊T9110作為控制器模塊，3組(6塊)T9432(AI，48點)作為模擬量輸入模塊，一組(兩塊)T9402(DI，24V(DC)，32點)作為數字量輸入模塊，5組(10塊)T9451(DO，24V(DC)，40點)作為數字量輸出模塊，所有I/O模塊都為冗余配置。

所有現場儀表信號都分兩條總線進入相應的冗余I/O卡件，冗余I/O模塊始終處于同時工作的狀態，滿足了系統的容錯要求。冗余輸出模塊在失電跳車的應用中輸出滿足SIL3要求。當系統中I/O輸入模塊將在第一次檢測到自身故障危險時降至1oo1D模式，該危險無修復時間限制。當系統自檢測到某一處理器模塊出錯時系統降至1oo1D模式，并且必須在MTTR內更換故障控制器以保證在SIL3等級。該項目按故障安全型設計，用于SIL3等級的失電跳車模式。系統中I/O輸出模塊檢測到自身故障時，該危險無修復時間限制。

該項目的整體設計遵循1oo2D配置，具體數據流走向如圖2所示。

圖2 1oo2D冗余容錯系統數據流向

系統控制的基本步驟為：

a. 現場信號由輸入模塊接收、緩存并進行各種必須的轉換后，輸入信號經冗余的內部總線傳送到冗余處理器模塊；

b. 處理器模塊的微處理器從冗余內部總線的每個通道接收輸入信號，并對數據進行二取一表決；

c. 通過控制器進行表決后的數據將通過冗余總線送至輸出模塊；

d. 輸出模塊接收處理器送來的信號，進行二選二自診斷表決，對表決后的信號進行必要的轉換后送出系統，驅動現場執行單元。

工程師站兼SOE站是用于SIS系統的應用軟件編程、組態、調試、在線監測、診斷和操作。工程師站同時作為SOE站用于順序事件收集，存入硬盤，供查詢、追溯判斷停車事故原因。操作員站是用戶監控現場信息并進行現場操作的。

2.3 故障安全型聯鎖邏輯說明

聯鎖條件正常，即工廠生產裝置在正常生產狀態下，ESD系統切斷控制回路中的繼電器及電磁閥等皆不處于加電狀態，即ESD系統輸出為1。聯鎖動作發生時，即系統輸出從1變為0時，現場電磁閥從得電變為失電狀態，從而按照具體工藝要求實現切斷和放空操作。運用這種設計方案即可實現當ESD聯鎖控制回路中的某一個環節(如供電、卡件、氣源、繼電器、電磁閥、安全柵及電纜等)出現硬件故障時，整個控制回路將進入工藝預設的安全工況，相應電磁閥即可回到安全的狀態，從而確保工藝過程的安全。

此合成氨生產裝置中有8個電磁閥，分別作為焦爐氣轉化工段和氨罐裝卸的安全控制閥，即采用故障安全型控制方案。當聯鎖條件滿足且聯鎖動作發生后，如果系統需要復位則需要人工進行確認。聯鎖動作是由系統通過邏輯判斷實現，而聯鎖動作的復位則需要人為確認故障危險情況排除后才能復位。

AADvance通過RS232/485與DCS系統進行串行通信，執行Modbus RTU通信協議。以DCS系統為主站，ESD系統為從站，ESD系統和DCS系統雖然獨立完成不同的功能，但服務的對象卻是同一套裝置，兩者之間也應該建立數據聯系，特別是ESD系統，其動作條件、聯鎖結果及保護措施等都需要在上位機通過各種方式在線監視。通過建立DCS和ESD系統的通信，獲取ESD設備的數據信息并在操作員站實現數據記錄及趨勢記錄等功能，從而實現在線監控和故障追憶功能。

該合成氨項目安全聯鎖系統中，轉化工段富氧空氣與蒸焦氣壓差、混合器進口燃料氣壓力、入工段焦爐氣流量、汽包液位及富氧空氣流量等模擬信號各通過獨立的3路檢測儀表，經過三取二表決后參與系統聯鎖動作。

2.4 ESD聯鎖邏輯說明

合成氨生產過程的工藝聯鎖條件為轉化爐出口轉化氣溫度、轉化爐汽包液位、富氧空氣與蒸焦氣壓差和富氧空氣與焦爐氣比值，當任一聯鎖源觸發，裝置將進入預設的安全狀態：切斷入轉富氧空氣閥US-0501、打開富氧空氣放空閥US-0502、打開密封蒸汽閥US-0503并停焦爐氣壓縮機和凈化壓縮機。

轉化爐出口的轉化氣溫度TE-0504A/B/C，當任一溫度不小于1 100℃或者不大于680℃時，表示該點溫度不符合工藝生產要求，當3個溫度點中有兩點溫度異常且此工藝聯鎖條件處于投運狀態時觸發聯鎖跳車。

轉化爐汽包液位LT-0501A/B/C，當任一液位不大于35%，表示該點液位不符合工藝生產要求，當3個液位探測點中有兩點液位異常且此工藝聯鎖條件處于投運狀態，則將觸發聯鎖跳車。

富氧空氣與蒸焦氣壓差PT-0503A/B/C，當任一壓力不大于50kPa，表示該點壓差不符合工藝生產要求，當3個壓差探測點中有兩點壓差異常且此工藝聯鎖條件處于投運狀態，則將觸發聯鎖跳車。

富氧空氣與焦爐氣比值EBZ001/2/3，當任一比值不小于0.715，表示此比值不符合工藝生產要求，當3個比值中有兩點比值異常且此工藝聯鎖條件處于投運狀態時，觸發聯鎖跳車。

聯鎖邏輯圖中聯鎖旁路按鈕的功能是對聯鎖條件使能/非使能的切換，裝置穩定生產中必須將此按鈕打到聯鎖投運狀態，此時此按鈕所對應的聯鎖條件有效，一旦聯鎖條件不符合工藝生產要求，裝置聯鎖將被觸發，裝置立即進入預設的安全狀態，確保人員、裝置本體和環境的安全，為了保證生產的連續性，在裝置啟運階段若某些工藝值暫時不能達到正常工況值或是現場某一檢查機構故障維修需要一定時間但又要保證生產持續，此時可以將按鈕打到聯鎖旁路狀態，待裝置按工藝要求持續運行一定時間后或儀表維修完畢后必須及時將此按鈕打到聯鎖投運狀態，以確保裝置的整體安全運行；復位按鈕是當工藝聯鎖條件恢復正常后，可觸動此按鈕，裝置將再次啟動。

3 系統運行效果分析

合成氨生產過程的AADvance系統經工廠驗收測試(Factory Acceptance Test，FAT)和現場驗收測試(Site Acceptance Test，SAT),效果良好，測試內容包括機柜內部硬件安裝和確認，機柜外觀的完整性確認，端子排接線的規范，測試結果顯示邏輯控制程序和關鍵閥門全部能夠按照要求關閉或開啟，緊急停車模擬運行狀態良好。測試報告表明，AADvance系統的軟/硬件和邏輯控制程序均能按照設計要求實現相關功能。該項目一次投產成功，AADvance系統運行穩定。

4 結束語

AADvance ESD系統自投產以來，經過近一年的觀察，系統運行穩定，滿足了生產要求，其高可靠性、高安全性和高可用性的容錯控制功能，為生產過程提供了堅實的安全后盾，使得控制系統能夠自動識別元件故障并加以排除，實現了在線更換所有卡件，在SOE中查找系統故障和各種操作記錄，保證了合成氨生產系統的安全、穩定、長周期運行。

ESD系統在化工生產過程中的應用，為安全生產提供了一種優于DCS的控制思路和方法。由于生產過程中工藝故障現象比較復雜，一旦工藝指標超限，ESD系統的正確判斷和及時動作，給生產和現場工作人員的人身安全提供了保障。但ESD系統在提高安全系數的情況下也降低了裝置的可用性，停車幾率相對增加。因此，只有加強對ESD系統的維護管理，才能確保化工生產安全、高效、穩定運行。