DCS-ESD在加氢石油树脂装置上的应用
中国石油兰州化学工业公司（以下简称兰化公司）新投入生产的一套 8000t/y石油加氢树脂装置，由于其自身的高温、高压、强腐蚀、易爆炸等化工生产的特点， 控制系统DCS选用了横河CS-3000系统，ESD选用德国HIMA公司的H51q-HRS系统。按照设计要求，DCS部分完成一半的工艺控制（包括单回路调节、串级调节、比值调节、分程调节和选择调节）和一般的联锁控制，ESD部分完成关键工艺流程的监控和主要的联锁控制。由于ESD存在的不可操作性，为了提高系统的可靠度，ESD和DCS采用冗余的双电缆远程I/O通迅。本文将主要对H5IG-HRS系统的工作原理以及它与CS-3000系统的通讯技术做一介绍。
1 DCS-ESD系统构成及通讯连接
图1 系统构成及通讯连接图
系统构成及通讯连接图如图1所示。
2 HIMA公司的ESD系统
2.1 安全控制技术的要求
安全控制系统是专门用于危险场所（如石油化工装置）联锁和紧急事故停车的控制系统。它与用于普通工艺过程控制的DCS和PLC的本质区别在于，其功能是在事故和故障状态下（包括装置事故和控制系统本身发生故障时），使装置能够安全停车，避免对装置人员的伤害和对环境造成恶劣的影响等， 因而安全控制系统本身必须是故障安全型（Fail to Safe）的，系统的硬件和软件的可靠性都要求很高。在国际标准IEC-61508和IEC61131-3中，对安全等级及安全控制系统的硬/软件要求具有详尽的规定。TüV是目前世界上唯一的对安全控制系统的硬/软件进行认证的机构。
2.2 PES（可编程电子系统）安全控制系统的CPU结构
目前世界上符合IEC-61508标准并获得TüV AK6/SIL3等级认证的可编程安全控制系统有以下三种主流CPU结构：
(1) 冗余容错完全自诊断结构，即1oo2D结构。其生产厂家主要有Honeywell-FCS系统。
当第一个CPU被诊断出故障时，该CPU被切除、另一个CPU继续工作。当第二个CPU在被诊断出故障时，系统停车。该种结构的故障修复时间限制为：AK6级时为1个小时，AK5级时为72个小时。即当用于AK6级时，第一个CPU被诊断出故障一个小时内必须进行修复，即更换CPU，否则系统会在一个小时内自动停车以保证故障安全。
(2) 三重化表决部分自诊断结构，即2oo3D结构（TMR）。其生产厂家主要有 Triconex系统。
采用三取二表决方式，即三个CPU中若一个运算结果与其它两个不同，即表示该CPU故障，然后进行切除，其它两个继续工作。当其它两个CPU运算结果再有不同时，则无法表决出哪一个正确，系统停车。该种结构的故障修复时间限制为：AK6级时为1~1 500小时，AK5级时为1 500小时。即当用于AK6级时，第一个CPU被诊断出故障1~1 500小时内必须进行修复，即更换CPU，否则系统会在1~1 500小时自动停车以保证故障安全。
(3) CPU四重化冗余容错完全自诊断，即2oo4D结构（QMR）。其生产厂家主要有德国HIMA公司的H41q和H51q系统。
四个CPU分成二对，即同时工作又相对独立。当其中一对CPU诊断出故障时，则该对CPU切除，切换到2-0工作方式，所剩余一对CPU以1oo2D继续工作，这对独立的CPU仍满足安全等级AK6/SIL3要求，当这对CPU其中再有一个故障时，系统停车。所以无故障修复时间限制。
2.3 HIMA的四重化结构（QMR）产品H41q和H51q
H41q和H51q的CPU结构为四重化结构（QMR），系统的中央处共由四个微处理器构成。四个处理器同时工作，每两个微处理器安装在一块CPU卡上，一块CPU卡即构成1oo2D结构。图2为QMR系统结构示意图。
图2 QMR系统结构示意图
从图2可以看出通道A和通道B既同时工作，又相互独立，每一通道都满足安全等级AK6/SIL3标准。若其中一通道故障切除后，另一通道继续工作，由2oo4D功能转化成1oo2D功能，安全等级仍可满足AK6/SIL3标准。故该QMR结构没有故障修复时间限制。当1oo2D结构和2oo3结构的一个CPU发生故障后虽可继续工作，但因其安全性能等级下降了，已不能满足安全控制的要求，因而要求在故障修复时间限制内对系统进行修复。若在此时间限制内不进行修复，根据安全控制标准要求，在限制时间到达时，系统会自动停车。图3为HIMA的QMR CPU功能结构原理图。
图3 QMR CPU功能结构原理图
1 DCS-ESD系统构成及通讯连接
图1 系统构成及通讯连接图
系统构成及通讯连接图如图1所示。
2 HIMA公司的ESD系统
2.1 安全控制技术的要求
安全控制系统是专门用于危险场所（如石油化工装置）联锁和紧急事故停车的控制系统。它与用于普通工艺过程控制的DCS和PLC的本质区别在于，其功能是在事故和故障状态下（包括装置事故和控制系统本身发生故障时），使装置能够安全停车，避免对装置人员的伤害和对环境造成恶劣的影响等， 因而安全控制系统本身必须是故障安全型（Fail to Safe）的，系统的硬件和软件的可靠性都要求很高。在国际标准IEC-61508和IEC61131-3中，对安全等级及安全控制系统的硬/软件要求具有详尽的规定。TüV是目前世界上唯一的对安全控制系统的硬/软件进行认证的机构。
2.2 PES（可编程电子系统）安全控制系统的CPU结构
目前世界上符合IEC-61508标准并获得TüV AK6/SIL3等级认证的可编程安全控制系统有以下三种主流CPU结构：
(1) 冗余容错完全自诊断结构，即1oo2D结构。其生产厂家主要有Honeywell-FCS系统。
当第一个CPU被诊断出故障时，该CPU被切除、另一个CPU继续工作。当第二个CPU在被诊断出故障时，系统停车。该种结构的故障修复时间限制为：AK6级时为1个小时，AK5级时为72个小时。即当用于AK6级时，第一个CPU被诊断出故障一个小时内必须进行修复，即更换CPU，否则系统会在一个小时内自动停车以保证故障安全。
(2) 三重化表决部分自诊断结构，即2oo3D结构（TMR）。其生产厂家主要有 Triconex系统。
采用三取二表决方式，即三个CPU中若一个运算结果与其它两个不同，即表示该CPU故障，然后进行切除，其它两个继续工作。当其它两个CPU运算结果再有不同时，则无法表决出哪一个正确，系统停车。该种结构的故障修复时间限制为：AK6级时为1~1 500小时，AK5级时为1 500小时。即当用于AK6级时，第一个CPU被诊断出故障1~1 500小时内必须进行修复，即更换CPU，否则系统会在1~1 500小时自动停车以保证故障安全。
(3) CPU四重化冗余容错完全自诊断，即2oo4D结构（QMR）。其生产厂家主要有德国HIMA公司的H41q和H51q系统。
四个CPU分成二对，即同时工作又相对独立。当其中一对CPU诊断出故障时，则该对CPU切除，切换到2-0工作方式，所剩余一对CPU以1oo2D继续工作，这对独立的CPU仍满足安全等级AK6/SIL3要求，当这对CPU其中再有一个故障时，系统停车。所以无故障修复时间限制。
2.3 HIMA的四重化结构（QMR）产品H41q和H51q
H41q和H51q的CPU结构为四重化结构（QMR），系统的中央处共由四个微处理器构成。四个处理器同时工作，每两个微处理器安装在一块CPU卡上，一块CPU卡即构成1oo2D结构。图2为QMR系统结构示意图。
图2 QMR系统结构示意图
从图2可以看出通道A和通道B既同时工作，又相互独立，每一通道都满足安全等级AK6/SIL3标准。若其中一通道故障切除后，另一通道继续工作，由2oo4D功能转化成1oo2D功能，安全等级仍可满足AK6/SIL3标准。故该QMR结构没有故障修复时间限制。当1oo2D结构和2oo3结构的一个CPU发生故障后虽可继续工作，但因其安全性能等级下降了，已不能满足安全控制的要求，因而要求在故障修复时间限制内对系统进行修复。若在此时间限制内不进行修复，根据安全控制标准要求，在限制时间到达时，系统会自动停车。图3为HIMA的QMR CPU功能结构原理图。
图3 QMR CPU功能结构原理图
3 DCS-ESD通讯设置
(1) 首先在横河CS-3000上，FCS0101\commDataWW目录下组态如下：
(2) 其次，FCS0101\SWITCH\WBTagDef.edf目录下组态如下：
说明：
① %WW0001开始写到ESD上对应ESD的500~515地址，如果写入点数多余16点时，改变SIZE的大小就可以实现。
② 开始从%WW0003读取ESD上对应0~256个点时，依次顺序是%WW0003（0~15Bit）为0~16点，%WW0004（ 0~15Bit）为17~32点，
文章版权归西部工控xbgk所有，未经许可不得转载。
服务咨询