淺談BPCS 與SIS 儀表共用的問題

李家帥

（天津渤化工程有限公司，天津 300193）

目前， 在石油化工企業的安全完整性等級（SIL）評估或安全檢查中，安全儀表功能回路與基本工程控制回路共用儀表（傳感器、執行機構等）問題經常被作為隱患項或建議改進措施提出，但是考慮到在役裝置的生產條件及現場情況，獨立設置往往面臨一定的難度，因此是不是遇到的所有的共用儀表都要獨立設置的問題仍然存在許多爭論，同時這也是困擾企業、設計方及監管部門的難題[1]。

本文將著重對基本過程控制系統(BPCS)與安全儀表系統(SIS)的共用問題進行討論。

1 BPCS 和SIS 的關系分析

SIS 獨立于BPCS， 例如分散控制系統（DCS）等，生產正常時處于休眠或靜止狀態，一旦生產裝置或設施出現可能導致安全事故的情況時，能夠瞬間準確動作，使生產過程安全停止運行或自動導入預定的安全狀態， 必須有很高的可靠性（即功能安全）和規范的維護管理，如果安全儀表系統失效，往往會導致嚴重的安全事故。

如果BPCS 控制回路的正常操作滿足以下要求，則可作為獨立保護層。

BPCS 控制回路應與SIS 功能安全回路安全完整性等級（SIF）在物理上分離，包括傳感器、控制器和最終元件。

BPCS 和SIS 的區別：1）目的功能不同：生產功能/安全功能；2）運行狀態不同：實時控制/超限時聯鎖；3）可靠性要求不同：SIS 要求更高的可靠性；4）控制方法不同：連續控制為主/邏輯控制為主；5）使用和維護方法不同：SIS 更嚴格。

2 BPCS 和SIS 共用元件討論

BPCS 和SIS 是否可以共用元件，可以從以下三個方面考慮和確定：1）標準規范的要求和規定，安全要求、IPL 方法論、SIL 評估；2）經濟評價（前提是滿足安全基本要求）；3）分析管理者或者工程人員根據經驗和主觀意志確定。 不論采用哪種方式，都以滿足法規、標準要求為最低要求。

BPCS 和SIS 是否可以共用元件，應以不會引起所有型式失效為原則。

如果BPCS 和SIS 共用元件，BPCS 為獨立保護層， 共用元件應該同時擔負原來BPCS 和SIS各自獨立的保護層職責；BPCS 為初始事件，共用元件應該擔負BPCS 和SIS 各自獨立的失效頻率結合對應的風險降低。 共用元件危險失效率必須足夠低， 安全完整性的要求可能改變， 比如從SIL1 變成SIL2，并且符合安全全生命周期的所有要求。

必須滿足安全全生命周期的要求， 包括SIS指令優先、DCS 指令不能干擾和降低SIS 指令功能、相關儀表和系統失效率滿足要求、要按照GB/T50770-2013、GB/T21109（IEC61511）的規定執行包括記錄檔案維護管理檢維修周期、 需要進行SIL 演算確認滿足相關SIL 等級的要求、各個保護層場景總頻率的計算依然滿足等[2]。

如果BPCS 和SIS 共用元件，BPCS 不作為保護層和初始事件，必須符合安全全生命周期的所有要求， 必須充分考慮BPCS 操作維護等對SIS的影響。

特別注意， 當SIS 的一部分用于控制并且共用設備的一次危險失效可能引起對SIS 所執行的功能提出一次要求時，則會引入新的風險。 附加的風險與共享部件的危險失效率有關，這是因為當共享部件發生故障時， 立即就會產生一個要求，而SIS 對此要求無力作出響應。因此在這些情況下需要進行額外的分析以保證共享部件的危險失效率足夠低。

BPCS 和SIS 共用元件會引起操作模式的改變，由低要求模式變為連續模式，相關元件的維護規程和策略均應相應改變。

BPCS 和SIS 共用元件對PFD(PFH)、HFT、SC的要求都有影響。

必須符合安全全生命周期的所有要求，必須充分考慮BPCS 操作維護等對SIS 的影響。

通常因以下原因，SIS 是同BPCS 分開的：

1）為了降低BPCS 對SIS 的影響，特別是當它們共享共用設備時。 例如，當BPCS 和SIS 共享一個用于停機和控制的共用閥門時，在該閥門的一次危險失效事件中， 它并不能用來執行一個SIS 停機功能。

2）為了保持與BPCS 有關的更改、維護、測試和文檔的靈活性。

3）為了有助于SIS 的確認和功能安全評估。

4）如果BPCS 與SIS 組合在一起，為滿足修改管理的計劃安排， 需要限制對BPCS 的編程和配置功能的訪問。

3 BPCS 和SIS 配置方案舉例

3.1 BPCS 和SIS 相互獨立

BPCS 控制回路與安全儀表系統功能安全回路在物理上分離，包括取源管嘴、測量引線、傳感器、控制器和最終元件[3]。

此方案為建議方案。 舉例如圖1，2。

圖1 系統配置示例

圖2 液位調節聯鎖示例（BPCS 和SIS 各自獨立）

3.2 BPCS 和SIS 共享傳感器

共用傳感器先接入SIS 系統， 然后由SIS 系統通訊至BPCS 系統（如圖3 所示）。 也可以經一入二出信號分配器，分別接入SIS 和BPCS 系統。一入二出信號分配器安裝于SIS 機柜， 由SIS 系統供電。 去BPCS 的信號不論正常與否均不能干擾SIS 信號。

圖3 進出料流量調節聯鎖示例（BPCS 和SIS 共用傳感器）

3.2.1 BPCS 和SIS 共享最終元件—1 個電磁閥

調節閥帶電磁閥配置示例見圖4， 典型回路圖見圖5。

圖4 調節閥帶電磁閥配置示例

圖5 典型溫度調節（BPCS）帶聯鎖切斷（SIS）回路圖

圖中：SOV 為電磁闊。 電磁閥勵磁，A→B 通，閥開；電磁閥非勵磁，B→C 通，閥關。

3.2.2 BPCS 和SIS 共享最終元件—2 個電磁閥

當系統要求高安全性時，調節閥配電磁閥帶冗余電磁配置可選用圖6，圖7 所示配置方式。

圖6 調節閥帶雙電磁閥配置示例

圖7 切斷閥帶雙電磁閥配置示例

圖6,7 中：當電磁閥1 勵磁，A-B 通；電磁閥2 勵磁，A→B 通， 則控制閥開。 當電磁閥1 勵磁，A→B 通； 電磁閥2 非勵磁，B→C 通， 則控制閥關。 當電磁閥1 非勵磁，B→C 通；電磁閥2 勵磁，A→B 通，則控制閥關。 當電磁閥1 非勵磁，B→C通；電磁閥2 非勵磁，B-C 通，則控制閥關。

3.3 BPCS 和SIS 共享取源管嘴

通常情況下BPCS 和SIS 應采用獨立取源。

特殊場合，例如高壓設備，可以具體分析，比如一定前提下經分析評估后可采用連通管方案。

3.4 其他

3.4.1 BPCS 和SIS 可以共用UPS 情況

1）全廠電源的源頭是一樣的；2）設置了UPS（雙UPS 或者單UPS）；3）UPS 具有后備電源；4）儀表通常按照故障安全型設計，非故障安全型通常有輔助保護措施；5）電源配線獨立并配有獨立空開。

3.4.2 BPCS 和SIS 氣動執行元件共用氣源總管和分支總管情況

1）裝置儀表氣源的源頭是一樣的；2）為每一個氣動執行元件單獨敷設供氣線路不現實，也沒有必要；3）氣源總管和分支總管相對較粗，出現故障的概率較低；4）氣源總管和分支總管尺寸選擇充分考慮工況需求并留有足夠裕度；5）氣動執行元件通常按照故障安全型設計，非故障安全型有輔助保護措施，比如設置儲氣罐；6）每個氣動執行機構設置獨立的分支供氣線路，并設置獨立的氣源閥。

3.4.3 BPCS 和SIS 測量儀表可以共用伴熱、吹掃、沖洗總管和分支總管情況

1）裝置伴熱、吹掃、沖洗的源頭是一樣的；2）為每一個測量儀表單獨敷設伴熱、吹掃、沖洗線路不現實，也沒有必要；3）伴熱、吹掃、沖洗總管和分支總管尺寸相對較大，出現故障的概率較低；4）伴熱、吹掃、沖洗總管和分支總管尺寸選擇充分考慮工況需求并留有足夠裕度；5）每個測量儀表設置獨立的伴熱、吹掃、沖洗線路，并設置獨立的閥門。

需要注意的是：以上均不包括法律法規標準有要求的場合。

同時，還要考慮一些因素：1）工況條件，比如高溫、高壓，介質理化特性；2）設備大?。ㄒ郧昂同F在）、設備材質、制造情況、連通管材質；3）根閥和每路閥門設置，連通管尺寸和取源尺寸及根閥尺寸；4）設備和連通管之間的微循環；5）危險或者故障場景分析，不同配置方案間的比較，安全、運行、維護；6）在役裝置還是新建裝置。

具體到工程設計中，BPCS 和SIS 是否能共用應根據具體情況以及工程實際，進行充分分析論證。

4 結論

BPCS 和SIS 共用元件不符合獨立保護層方法論初衷。BPCS 和SIS 共用元件必須符合安全全生命周期的所有要求，必須有完善的確認、驗證和記錄。

BPCS 和SIS 共用元件會引起操作模式的改變，由低要求模式變為連續模式，相關元件的維護規程和策略均應相應改變。 安全完整性的要求也可能改變，比如從SIL1 變成SIL2。

BPCS 和SIS 共用元件會改變習慣的操作和維護模式，必須充分考慮BPCS 操作維護等對SIS的影響。

在化工工程設計中，設計人與企業最常討論的一個問題就是怎樣在嚴格執行規范要求的情況下，既能滿足安全完整性，降低危險失效率，達到安全生產， 同時通過BPCS 和SIS 共用的手段達到減少成本的目的。 本文討論了一些分析方法，列舉了一些實際的配置情況，設計人可以在滿足共用的前提條件和要求的情況下，具體問題具體分析， 針對性地解決BPCS 和SIS 的共用的問題，提出合理、客觀的設計方案。