石油化工屬流程工業,具有高溫,高壓,易燃,易爆等特征,在生產中具有
極高的危險性,因此實現生產裝置的安全,穩定,高效運行不僅是提高效益的關
鍵,而且對生產人員,生產設備,以及整個社區安全都十分重要.在新一輪乙烯
改造中,揚子石化選用了國際先進的ESD(Emergency Shut down, 緊急停車)系統
實現裝置的安全控制.
650kt/a乙烯擴建裝置ESD系統由兩個層次的方式構成:裂解爐區,壓縮區,
急冷區和公用工程區實現聯鎖保護控制;冷區和熱區的塔系統控制除要求實現聯
鎖控制外,還要求實現SIS(Safety Instrumented System)控制,以確保裝置在發生
電力,循環水裝置或儀表系統等公共故障時火炬的排放量得到有效控制.原
400kt/a乙烯裝置采用的是Honeywell公司的LM(邏輯管理器)系統對裝置進行聯
鎖控制,因本輪改造經費所限該部分沒有改為安全性更好的ESD系統.
一 乙烯ESD系統的設計原則
1. 系統部分的設計原則
(1)為確保裝置安全,穩定,可靠地運行,提高系統的運算速度,在擴建的新
區設計中采用兩套ESD系統分別控制兩個重要的區域,一套用于控制裂解爐區,
急冷區,壓縮區,加氫區和公用工程區,另一套用于冷區和熱區.
(2)中央控制室(CCR)在原有控制室內進行擴容,DCS在原有系統的基礎上進
行擴容,US操作站與原系統保持統一.ESD系統主機安裝在新機柜(NRR)間,裝
在DCS輔操臺上的按鈕,開關,報警燈的控制采用遠程控制站(RXM)控制,遠程
控制站設在CCR,CCR和NRR之間的通信由三冗余的光纜構成.
(3)為提高程序的掃描速率,ESD系統內部未設計第一事故報警程序,區分第
一事故的設備選用美國Ronan公司的分體式報警器,報警器的燈屏部分安裝在輔
助操作臺上,作為操作人員的一種人機界面,控制部分安裝在機柜間.
(4)本著安全高于控制的原則,所有關鍵聯鎖檢測點采用先進ESD系統,再
通過SMM(安全管理器模件)與DCS中的UCN(萬能控制網絡)通信,實現在US(通
用操作站)上的數據顯示.
(5)新區和老區分別設計SOE(事故順序記錄儀)站,兩套ESD系統共設有4個
SOE站,各站間用以太網(Enternet)相連.
(6)重要的I/O點全部選用熱備冗余方式,輸入卡全部選用光電隔離型,非
SIL(Safety Interity Level)級的輸出卡選用繼電器隔離或光電隔離型,避免現場干擾
信號的影響.
(7)交流電源采用雙路方式供給電源模件,一路電源經UPS(不間斷電源)供給
ESD電源主模件,另一路市電電源供給ESD備用電源模件.
24V DC電源因其容量很大,分兩部分供給,一部分供給現場儀表和繼電器,
報警燈屏以及按鈕開關的工作電源,采用美國Acopian公司的冗余電源供給;另
一部分供給現場電磁閥工作的電源,由配電所的直流電源裝置供給.
控制電磁閥的電源總線要選用鎧裝電纜,額定功率不能超出其總功率的50%,
以避免電纜故障而造成大面積停車,在乙烯老區曾發生過因聯鎖電源電纜漏電而
導致裂解爐全線停車的事故.
2. 現場儀表的設計原則
(1)SIS控制部分采用了SIL3級標準(SIL為美國ISA-S84.01標準要求的安全
等級),SIL3級ESD部分的檢測儀表一律采用2oo3(3選2表決)的方式檢測.如
塔壓和循環水的測量都采用3臺變送器同時測量,電網電壓采用3個電壓檢測器
同時測量,壓縮機軸位移采用3個探頭和趨近器同時監測等.3個檢測點的信號
分別送入3個不同的三重化輸入模塊(TMR),由主處理器執行3選2表決運算.
(2)控制裂解爐,透平泵的聯鎖和其他一些常規聯鎖則采用單臺檢測儀表,信
號被送入TMR型輸入模塊.
(3)SIL3級緊急停車部分用于控制切斷閥門的電磁閥一律采用2個串聯方式
設置,以防止某一個電磁閥失效而造成聯鎖動作失效;切斷閥上應設置閥位變送
器,將閥位的準確狀態及時反饋給控制室.
(4)輸入ESD的測量儀表均獨立設置,不與控制回路合用,無需分配器分配.
(5)所有重要的切斷閥要求獨立設置,切斷閥均采用密封等級高的球閥,閥位
開關信號由限位開關發出并傳送入DCS指示.
(6)對于塔系統控制加熱源的切斷閥,根據TEC(日本東洋工程公司)的計算采
用調節閥與切斷閥合一的方法,如圖1所示方案1.此方案要求閥的密封等級在5
級(Class 5)以上,采用上述設計經過TEC計算,符合SIL3級要求.而如果采用方
案2,將調節閥和切斷閥分開設置,不加閥位變送器,則只能達到SIL1級標準,
故方案2不予采用.TMR表示ESD系統內三重化輸出模塊,其輸出信號
與電磁閥相接,控制電磁閥的動作;與電磁閥相連的帶有雙斜線的管線是控制閥
門動作的氣源管線.
二 ESD系統的基本結構和技術特點
1. 基本結構
根據乙烯工藝SIL3級的要求,選用的ESD系統必須具有TüV的AK6級認
證(TüV認證是德國萊茵技術認證機構,該機構專門對電子產品的安全性進行認
證,對安全型控制系統的認證具有最高權威性,TüV的AK6級標準對應于IEC
和ISA安全標準的3級).經過技術交流和商務投標,最后美國Triconex公司的
TRICON系統中標.該公司是較早生產ESD的專業公司,主要生產表決型安全系
統,該系統中所有軟硬件都通過了TüV的AK6級認證.
TRICON系統是一套從主處理器到輸入,輸出模件完全三重化的容錯控制系
統。
每個I/O模件內有3個獨立的分電路.輸入模件的每個分電路讀入過程數據
并將此信息送至各主處理器.3個主處理器可利用其專有的高速三重化總線
(TRIBus)進行相互間的通信.每掃描一次,3個主處理器通過三重化總線與其相
鄰兩個主處理器進行通信,達到同步;同時三重化總線可對數字輸入數據進行表
決,對輸出數據進行比較,并將模擬輸入數據進行復制并送到每個處理器,主處
理器執行各種控制算法,并將運算輸出值送到各輸出模件.除表決輸入數據外,
TRICON還表決輸出數據.輸出數據的表決是在輸出模件中完成的,這樣可使其
盡可能與現場靠近,并對三總線表決與驅動現場的最終輸出間可能發生的任何錯
誤進行檢測和補償.系統對每個I/O模件都有熱備模件支持,在操作中如工作模
件發生故障,能立即投入控制.熱備模件還可起到在線修復系統的作用.
2. 主處理器的組成和硬件性能
(1)主處理器結構

(2)主處理器性能
TRICON系統有3個主處理器(MP),用來控制系統的3個隔離的分電路,主
處理器(3006)內含一個主CPU,一個通信CPU,一個I/O通信CPU。
每個MP內有一個專用的I/O通信(IOP),管理MP和I/O模件間的數據交換;
另一個通信CPU(IOC)管理MP和通信模件間的數據交換.在每個輸入模件采集
數據的同時,新的輸入數據通過I/O總線相應分電路傳送到MP,存入輸入表,
通過專用TRIBus傳送到相鄰主處理器中,在傳送的同時進行硬件表決出一個正
確的輸入值作為MP的輸入,送到應用程序中(DI點采取三取二的方式,AI點采
取取中值的方式).CPU記錄下識別到的錯誤,在掃描的末期用容錯程序進行錯
誤分析以判斷是否為卡件故障.
(3)電源,通信總線及性能
卡件電源由位于機架最左邊的冗余電源模塊通過機架背面的冗余電
源Bus供應.機架背面共有3種總線:TRIBus,I/O Bus,通信Bus,此3種總線
的性能如表2所示.TRIBus同一個機架MP與I/O卡和通信卡件間的通信通過背
板上的三重化總線完成,不同機架間的數據交換通過機架左上角的三重化I/O電
纜完成.
3. 通信卡件及I/O卡件的性能特點
因乙烯裝置ESD系統的I/O點數達6000多點,應用的卡件種類較多,下面
作具體介紹.
(1)DI卡(3503E,3564)
TRICON V9系統有兩種DI卡:TMR(三重冗余)卡和單點卡.
3503E為TMR卡,有3個輸入分電路,分別處理輸入到模件上的全部數據,
各路之間完全隔離,并在TRICON系統和現場全部采用光電隔離.3503E DI 卡
完全不間斷地診斷每個分電路,如發現任何故障即點亮卡上的FAULT,同時將本
機架和主機架電源模塊上的FAULT燈點亮.FAULT燈亮只說明某一個分電路有
故障,并不說明模件失效,模件的容錯功能使之能帶著某種故障繼續正常工作.
3503E能夠自測試"STACK ON"(ON粘住測試),即在輸入回路中將一個開
關閉合,通過光電隔離回路讀入一個OFF值.測試時,卡件內置的微處理器讀入
OFF值前的最后數據值在通信處理器中保持.
3564為單點卡,它只有一個輸入電路,輸入到模件中的數據分成3路分別送
入3個MP中,具有"STACK ON"及"STACK OFF"的檢測功能,如發現錯誤,
在500ms后將輸入數據置為安全狀態,由于TRICON是設計成故障安全型,安全
狀態為OFF.
(2)DO卡(3664,3604E,3636R)
所有DO卡均有3路完全隔離的輸出分電路,3604E及3636R利用具有
TRICON專利的四方表決器進行表決.3664雙通道輸出卡在兩個輸出間進行表決,
如一致輸出結果至現場,不一致則輸出安全狀態為OFF.
所有輸出卡具有OVD(Output Voter Diagnostic)檢測功能,即DO卡定期發出
一個反狀態信號以檢測輸出分電路是否故障,時間保證在2ms內,一般為500ms,
不會影響現場控制.
所有輸出卡均具有"STACK ON"及"STACK OFF"功能,如發現"STACK
OFF"故障,由于是故障安全型設計,DO卡輸出保持故障狀態,熱備卡不切換.
3636R為繼電器型輸出卡.
(3)通信卡(4329,4409)
NCM(網絡通信模件)網卡(4329)支持的通信協議如表3所示.
SMM卡(4409)是專門針對Honeywell TDC 3000而設計,使TRCION系統作
為UCN網絡的一個子站與DCS系統進行通信.功能如下:
(a)傳送所有I/O點至DCS;
(b)將所有TRICON系統報警信號傳送至DCS;
(c)與DCS進行所有Alias的讀/寫;
(d)在DCS上對TRICON系統進行診斷;
(e)在TDC-3000上對TRICON系統進行寫保護;
(f)與DCS時間同步;
(g)在DCS上作SOE ;
(h)可作熱備通信.
(4)遠程機架通信卡(RXM)
在同一個TRICON系統中,如果相鄰兩個機架距離太遠時,可利用三重化遠
程機架通信卡進行通信.
(5)TRICON V9系統容量
TRICON V9系