某化工厂项目配套罐区SIS 系统改造实践研究

姚 瑞

（国家能源集团煤制油化工有限公司鄂尔多斯煤制油分公司，内蒙古 鄂尔多斯 017209）

0 引言

本化工项目配套的罐区采用分散控制系统（DCS）进行操作控制及连锁。DCS 系统具有控制功能完善多样、易操作、易扩展及维护方便等特点，但是并不适用于安全控制。化工项目罐区要比一般油库操作更加频繁，导致误操作的概率就更大。依据安监总管三〔2014〕116 号国家安全监管总局《关于加强化工安全仪表系统管理的指导意见》，需要增加一套安全性更高、容错能力强、故障自诊断功能完善、顺序事件记录功能（SOE）的安全仪表系统（SIS）。以达到对过程变量进行可靠和优质控制，实现装置的安全、稳定、高效运行，同时为与罐区原有系统兼容，拟利用原有系统控制器多余负荷，扩展输入输出卡件，充分体现安全、健康、环保和循环经济的理念，降低生命周期成本，使企业获得最大利润[1-3]。

1 改造背景

本配套罐区共有72 具储罐，主要危险化学品有：两台650 m3的液氨球罐，构成一级重大危险源；3 台2 000 m3石油液化气球罐，2 台400 m3不合格液化气球罐，2 台2 000 m3加氢稳定原料拱顶罐，2 台2 000 m3汽油内浮顶罐。16 台4 000 m3汽柴油及混合芳烃、石脑油等介质的储罐，以上构成二级重大危险源[4]。

球罐液位测量采用钢带液位计作为就地液位计，伺服液位计作为远传连续量测量。常压罐及内浮顶罐使用雷达液位计及高液位开关两个远传测量，就地测量采用静压式液位计[5]。

按照国家安全生产监督管理总局令第40 号《危险化学品重大危险源监督管理暂行规定》第十三条要求：对重大危险源中的毒性气体、剧毒液体和易燃气体等重点设施，设置紧急切断装置;毒性气体的设施，设置泄漏物紧急处置装置。涉及毒性气体、液化气体、剧毒液体的一级或者二级重大危险源，配备独立的安全仪表系统（SIS）。依据该规定，本项目需要对现有一、二级重大危险源储罐进行改造，以满足40 号令的安全要求。

本项目罐区因初期建设时按照老规范设计。当时行业内对化工厂自建罐区并没有专门安全仪表系统的要求,全部依靠DCS 系统实现连锁及保护，从自控水平到罐区安全要求等与现有要求相差甚远。油罐区安全标准提升项目的DCS 信号接入罐区控制室（UCR8）原有DCS 系统，完成本装置的基本过程操作、监视、控制、记录、在线计算、超限报警和过程联锁等功能。用于控制和联锁保护功能的输入输出在DCS端冗余设置，用于监测不进行控制调节的输入信号DCS 端非冗余设置。DCS 系统的基本组成如下：

1）操作员站、工程师站：利旧。

2）历史站、OPC 站、网络设备：利旧。

3）报表及报警激光打印机：利旧。

4）冗余控制器、冗余电源模块、冗余通讯模块：核实负荷后决定是否利旧。

5）DCS 系统扩展柜、继电器：新增（机柜应预留20%的备用安装空间，备用点数（新增卡件）为实际设计点数的20%。）本次增加的DCS 系统相关机柜和元器件品牌与原系统保持一致。

部分储罐并未对其高液位联锁切断控制进行设计，致使类似储罐在仪表自动化控制方面存在安全缺陷。在多次安全检查、评估中，各方面一致认为，有必要对存在安全缺陷的储罐逐步改造为液位仪表联锁及阀门快速切断控制系统。本次改造实现油品罐区内一、二级重大危险源能按照有关规范设置独立SIS 系统，建立安全屏障，保障安全生产。本文主要讨论实施过程及改造中出现的问题及整改方法。

2 改造过程

2018 年，本项目开展重大危险源安全评估，评估报告根据《危险化学品重大危险源辨识》（GB 18218—2018）规定，对油品罐区的危险化学品重大危险源进行分级。经第三方对本罐区SIL 评估定级，最终确定为SIL1 级。依据SH/T 3007—2014《石油化工储运系统罐区设计规范》、SH/T 3184—2017《石油化工罐区自动化系统设计规范》、SH T 3005—2016《石油化工自动化仪表选型设计规范》及依据国家安全生产监督管理总局令第40 号等要求，最终确定为≥3 000 m3甲B 和乙A 可燃液体储罐设高高液位报警及联锁，由现有高液位开关及雷达液位计高高液位报警二取一联锁关闭储罐进口管道控制阀。

2.1 依托现有公用工程采用弹簧返回式单作用气动执行机构

在用于紧急切断阀的气动执行机构的气缸上加装易熔塞，易熔塞的熔点为250 ℃，当气缸温度达到或超过易熔塞的熔点时，易熔塞熔化将气缸内的压力泄放掉，使另一侧气缸内的弹簧或储气罐内的压缩空气推动活塞将阀门关闭。

2.2 配备独立的安全仪表系统（SIS）

本次改造中SIS 系统考虑到国产化，采用北京康吉森完全自主品牌的TSx-plus 系统。本系统以IEC61508 作为基础标准，容错性的三重冗余系统，以提高系统的硬件故障裕度，单一故障不会导致SIS 安全功能丧失。自诊断覆盖率大，工人维修时需要检查的点数比较少。响应速度快，从输入变化到输出变化的响应时间一般在15 ms 以内，应用于小型SIS 的响应时间更短。应用程序容易修改，可根据实际需要对软件进行修改。可实现从传感器到执行元件所组成的整个回路的安全性设计，具有I/O 短路、断线等监测功能。

油品罐区安全标准提升项目的信号接入罐区控制室（UCR8）原有SIS 系统，完成本装置的安全联锁等功能。油罐区安全标准提升项目涉及一级、二级重大危险源，安全联锁回路设置为故障安全型，安全完整性等级按SIL2 设计。用于安全联锁的信号采用二选一冗余设置。SIS 系统的基本组成如下：1）操作员站、工程师站：利旧；新增一台SIS 操作台。2）SOE 站、网络设备：利旧；3）报表及报警激光打印机：利旧；4）冗余控制器、冗余电源模块、冗余通讯模块、I/O 卡件：新增；5）SIS 系统柜、扩展柜、继电器：新增（机柜应预留20%的备用安装空间，备用点数（新增卡件）为实际设计点数的20%。）本次增加的SIS 系统相关机柜和元器件品牌与原系统保持一致。

2.3 康吉森TSxPlus 控制系统

康吉森TSxPlus 系统的通讯包括以太网通讯、MODBUS 通讯和I/OBus 通讯三种。以太网通讯用于实现工程师站的组态下装以及，MODBUS 通讯用于TSxPlus 系统与第三方DCS 系统实现信息共享。I/OBUS 是TSxPlus 系统内部控制器与I/O 模块间的通讯方式，通过光纤可以实现主机架和扩展机架间的数据传输。

康吉森TSxPlus 控制系统是真正的实时多任务开放式系统，采用先进的TMR 构架；三重化冗余容错的硬件体系结合全面的冗余容错技术和诊断方案，使得系统可靠性达到99.999%。已通过TÜVRhineland（TÜV 莱茵）公司认证。TSxPlus 满足IEC61508 定义的系统能力SC3 等级和硬件安全完整性等级SIL3，系统具有SOE 事故记录功能，分辨率为ms 级，DI、AI 模块本身均支持SOE 功能。图1 为系统总体结构示意图。

2.4 本次改造的通讯信号

本次改造中液位检测优先进入SIS，再由SIS 系统通讯至DCS.液位开关信号进入SIS 系统与液位检测形成1oo2 逻辑。DCS 命令通讯至SIS 系统对执行器完成控制。SIS 系统命令优先，当触发SIS 系统连锁时DCS 对执行器控制命令无效。

2.5 一级重大危险源液氨储罐（球罐）改造实例

1）进罐气动球阀和出罐气动球阀改进SIS 系统。

2）增加一台钢带液位计，带现场显示和远传功能，远传信号进DCS 系统。原有伺服液位计利旧，信号进SIS 系统。增加2 台外贴式液位开关。伺服液位计与高高液位二取一联锁关闭进罐气动球阀（新增）。伺服液位计与低低液位二取一联锁关闭出罐阀（新增）和泵。

3）进罐罐根二次阀更换气动执行机构氨阀接入DCS 系统，作为DCS 工艺操作控制阀。

4）出罐线罐根二次阀入泵线、来料线、卸车线、入泵线、倒罐线更换气动执行机构，5 台氨阀，接入DCS系统，作为DCS 工艺操作控制阀。

3 改造过程中存在的难点分析

3.1 罐区内动火作业风险大

罐区内动火作业风险大，所以将罐根一次手阀更换为气动阀不能动火，只能采购法兰规格、间距相同的气动阀直接更换。更换过程中有个别切断阀气缸体积过大，安装困难。后期又对气缸进行换向。

3.2 新增电缆量较大

液位开关从DCS 系统移位至SIS 系统，新增电缆量较大，工作量比较大。

3.3 倒罐耗时长

在役装置要更换储罐根部阀必须要将该储罐内所有储存油品全部清空或者倒罐。历经10 个月左右倒罐及安装调试最终完成该项目。

4 改造过程中存在问题

4.1 检测器及执行器共用问题突出

为了既能满足相关规定，起到安全屏障的作用，又能节约费用，依据GB/T 50770—2013 6.2.1、7.2.1 内对SIL1 规定：执行器及检测器可与基本过程系统共用。基于以上条款，本次采用了液位计及控制阀在共用策略整改。但在2021 年进行安全生产许可证换证申请，现场专家进行评审时，提出以下整改意见：“部分储罐及生产装置DCS 系统与SIS 系统共用传感器及执行机构，虽符合规范要求，但因设计仅满足了最低规范要求，仍存在共用的传感器、执行机构失效风险，导致DCS 和SIS 系统同时失效，不能实现有效保护。”

4.2 自动化水平低

部分储罐进、出口采用手阀控制，未设DCS 系统远程控制阀。切罐、倒罐等存在大量手动闸阀开关作业，需要进入储罐围堰，为安全生产带来风险。不符合国家安全监管总局《关于进一步加强化学品罐区安全管理的通知》（安监总管三〔2014〕68 号）的要求。

4.3 影响安全完整性

作为DCS 及SIS 两个独立保护层的共用原件，需要同时负担来自DCS 和SIS 对安全保护的职责。本项目已经运行12 年以上，检测器及执行器故障率已经逐年上升，并不能满足共用原件足够低的危险失效率，同时也有可能改变安全完整性要求，从SIL1 变成SIL2。

本次改造设计并没有充分理解保护层概念，对规范要求理解不深刻，只是增加的控制部分的独立性，对共用元件并无改动。同时参考GBT 32857—2016 对独立保护层的确定，提出了第二次改造。

5 第二次改造

本次改造新增雷达液位计及超声波液位开关，原液位计也参与连锁逻辑，改为三取二高高液位连锁关闭一次阀，同时也为个别内浮顶罐增加了低低连锁，防止浮盘落底。将一次阀独立由SIS 系统控制。二次手阀更换为气动阀由DCS 控制。真正实现了将SIS 系统及DCS 系统独立,建立了两层独立的保护层。具体见图2。

图2 二次改造效果图

施工时充分吸取经验，前期对气动阀进行了详细的现场测绘，考虑安装方式、气缸大小、现场布局等问题。新增一台液位计及液位开关，部分手阀改为气动阀，提高现场自动化水平，对倒罐、切罐等操作可以尽量减少人员进入罐区围堰内作业。为保障安全施工，现场最大限度不动火，使用外贴式超声波液位开关。使用原罐顶的人孔位置安装液位计。扩大了改造范围，除一、二级重大危险源进行了相关改造，同时也对其他部分的油品罐区一并改造，提高了重大危险源及油品罐区的安全保障。

6 保护措施

所有现场安装的就地压力、温度、流量和液位指示表的防护等级不低于IP55，所有现场安装的电子式仪表和仪表盘柜防护等级不低于IP65。仪表井内地下管道上安装的仪表防护等级为IP68。

对测量低温介质的变送器，采用延伸导压管线的方式对仪表进行保护。对测量易冻结、易凝固介质的导压管线，采用蒸汽伴热。测量高黏度、腐蚀性、易结晶、易堵的介质，采用带隔离膜片仪表或采取反吹或冲洗等措施。

装置的仪表接地采用等电位接地原理，仪表控制系统侧设有仪表信号接地和仪表安全接地两个汇流条，并两点连接至接地总板。

现场盘、仪表电缆桥架、仪表设备、仪表现场接线箱和仪表密封接头的仪表安全接地在现场通过框架直接与电气接地网连接；仪表的信号接地统一在仪表控制系统侧接至仪表信号接地汇流条上。

装置的设计中考虑抗电磁干扰措施为：对于低电平信号采用对屏加总屏电缆，本安信号采用对屏加总屏本安电缆。对于电缆的敷设，采用将不同信号种类的电缆分开槽板敷设的措施，分类为本安信号电缆、220 V AC 电源电缆和其他信号电缆。

仪表设备防雷保护根据GB 50057 和参照IEC 1312 标准执行。仪表设备，尤其是贵重仪表应尽量选用具有防雷功能的仪表。

7 结语

通过本项目的实施，使油品罐区满足政府安全生产换证要求、集团安全生产专项整治三年行动计划要求，也符合国家相关标准规范及文件的要求，同时加强了化工安全仪表系统管理，防止和减少了危险化学品事故发生。