论文部分内容阅读
[摘要]FSC系统作为安全仪表系统的重要组成部分，为润滑油加氢装置在事故状态下的安全运行提供了保障。本文着重介绍了Honeywell FSC系统的结构特点以及在润滑油加氢装置的应用情况，并结合实际总结了运行维护的体会。
[关键词]SIS FSC
冗余联锁
维护
30万吨/年润滑油加氢装置是炼油厂生产过程中的重要环节，主要由加氢裂化、异构脱蜡和常减压蒸馏三部分组成。由于采用加氢裂化和异构脱蜡两套加氢工艺，装置配备了若干高压机泵，如：循环氢压缩机、新氢压缩机、加氢裂化反应进料泵、异构脱蜡反应进料泵、循环氢贫胺液泵、注水泵等。具有高温、高压、易燃、易爆、工艺复杂、生产连续性强等特点，为确保装置安全稳定运行，需要采用sIs系统（安全仪表系统）。SIS（Safety Iinstrument System），也称紧急停车系统（Emergency Shutdown System），是符合IEC61511（国际电工学会制定的标准）定义的安全控制系统。无论是设备故障，还是人为因素等引发的危险，SIS都能按照预先设定的程序作出正确反应，使生产装置联锁或停车，阻止危险的发生及扩散，使危险减到最小。基于以上目的，润滑油加氢装置采用了FSC系统。
1系统介绍
FSC是Honeywell公司开发的安全控制系统，全称是Fail Safe Control（故障安全管理系统）。其特点是：
（1）采用冗余、容错技术。用于控制的I/O模件及中央处理器均采用冗余配置，冗余原则为网络通讯部件1：1冗余，处理器1：1冗余，电源和相关部件1：1冗余，控制用的I/O卡件1：1冗余，检测用的I/O卡件为非冗余配置。
（2）高度自诊断功能。将硬件和软件相结合，在过程安全时间间隔内进行逻辑回路故障诊断和系统自诊断。可以检测出99%以上内部元器件的潜在危险故障。
（3）短路保护功能。FSC系统的输入、输出电路都有短路保护功能，任何外部的短路都可被诊断检查出来而加以保护
2硬件结构
FSC系统硬件主要由Central Part（简称CP，中央控制器）卡件和I/O卡件两部分组成。
cP包括CPU、COM（通讯卡）、WD（系统状态监视卡）、DBM（诊断和电池卡）、VBD（竖向总线驱动卡）。CP卡件和I/O卡件之间的通讯构成为：VBD连接VBUS（竖向总线），VBUS连接HBD（水平总线驱动卡），HBD连接HBUS（水平总线），HBUS再连接I/O卡件。
cP通过输入卡从现场读入数据，按照FLD（逻辑图）中组态的控制程序执行。控制程序将执行结果传输到输出端口。在具有冗余CP的FSC配置中，CP将操作结果通过一个专门的通讯线路与冗余的CP同步。CPU负责对FSc系统硬件进行连续的测试，以确保对现场的安全控制。
Fsc系统的硬件结构一般有四种形式，如下：
（1）FSC 100lD，s+s：单CP+单I/O卡结构
（2）FSC 2004D/1002D，R+s：冗余CP+单I/O卡结构
（3）FSC 2004D/1002D，R+r：冗余CP+冗余I/O卡结构
（4）FSC 2004D/l002D，R+r+s：冗余CP+冗余控制I/O卡和非冗余检测I/O卡结构
润滑油加氢装置FSc系统采用的是FSC2004D，R+r+s配置。2004D四重化冗余容错系统由两套独立并行运行的控制系统组成，通讯模块负责其同步运行，当系统自诊断发现一个模块发生故障时，CPU将强制其失效，确保其输出的正确性。同时，安全输出模块中SMOD功能（Secondary Means OfDeenergization）确保在两套系统同时故障或电源故障时，系统输出一个故障安全信号。一个输出电路实际上是通过四个输出电路及自诊断功能实现的。这样确保了系统较高的可靠性、安全性及可用性。
3系统组成、网络结构
2004年潤滑油加氢装置开工投用，当时的FSC系统由两套系统柜组成，分别为FSC1和FSC2。其中FSCl柜主要负责装置部分的联锁，如加热炉、冷/热高分、HCR和IDW紧急泄压等；FSC2柜主要负责装置高压泵的联锁和自启动，如反应进料泵、注水泵等。系统配置一台工程师/SOE站和一台操作站。工程师站负责系统诊断、程序组态/下装、sOE查询和系统维护等功能，安装软件FSCNavigator R602和FSC SOE R140，通过RS485接口与控制器通讯。操作站供操作工实时监控用，安装软件为IFIX 3.0，同样通过RS485接口与控制器通讯。
2011年为配合装置中控室搬迁项目，在中控室增加一套远程系统柜FSC3，通过光纤与现场的FSC1和FSC2系统柜连接。其主要功能是负责辅操台按钮的逻辑控制。原现场的操作站移至中控室，监控软件升级为IFX4.5。另在中控室增设一台工程师站，负责程序组态、下装和系统诊断。sOE记录仍需在现场工程师站查询。系统软件升级至FSC Navigator R702。
此外，FSC与装置的DCs系统之间通过Modbus协议进行通讯。在这种模式下，FSC系统被定义为“从站”（Slave）。FSc与DCS的通讯周期不大于2秒。
4应用实例
（1）2008年，装置新增一台干气压缩机K401。由于原设计中加氢裂化和异构脱蜡分馏塔塔顶干气是放至装置地面焚烧炉进行无烟燃烧，为了回收利用这一部分轻烃，设计增加一套干气回收设施。干气经干气回收设施中的压缩机升压后，作为制氢原料送到制氢装置或干气管网。根据设计方案，当润滑油箱温度、润滑油压力和密封油压力均满足条件时，系统发出压缩机允许启动信号。
当润滑油压力（三取二）、密封油压力（三取二）、排气压力（三取二）、排气温度或画面停车软按钮中任一条件达到联锁设定值时，压缩机停车。为便于日常保养维护，每个联锁条件均在画面上设置了旁路切换开关。如图1所示： （2）2010年，装置新增一套循环氢脱硫设施。此项目的目的在于降低加氢裂化循环氢中的硫化氢浓度，利用有机脱硫剂MDEA脱除加氢裂化循环氢中的硫化氢。根据设计方案，循环氢从循环氢脱硫塔c104下部进入，来自装置外的贫胺液（MDEA溶液）经贫胺液泵P113升压后从脱硫塔上部进入，在循环氢脱硫塔中逆向接触并脱硫后的循环氢经循环氢入口缓冲罐再送至循环氢压缩机。其主要联锁逻辑有循环氢脱硫塔C104液位低低（三取二）联锁，贫胺液泵P113出口流量低低联锁和贫胺液泵P113启停泵联锁。以贫胺液泵P113出口流量低低联锁为例：当出口流量低低（二取二）、循环氢压缩机主备机均停机或装置紧急放空阀打开中任一联锁条件满足时，系统将发出联锁信号关闭贫胺液切断阀，中止原料供应，同时送出信号参与停贫胺液泵P113的联锁逻辑。同样，为了便于日常保养维护，在画面上设置了联锁条件旁路切换开关。如图2所示：
5运行情况
润滑油加氢装置FSc系统自2004年投用至今，以其较高的可靠性、稳定性和极低的系统故障率给人以深刻的印象。在历次联锁过程中，系统均能满足控制要求，按照设定的联锁逻辑及时、准确的动作，保证装置安全稳定的运行。发生联锁时，sOE软件可以较为精确的记录下被触发的各类联锁条件和联锁执行结果，sOE数据能够帮助相关部门迅速查找、判研事故的原因，采取必要措施，避免同类事故再次发生。
系统运行至今，硬件故障屈指可数。除去计算机的硬件老化之外，系统故障只发生过一起：2012年11月25日润滑油加氢中控室FSC3系统柜，因鼠患导致CP2的10024/H/I通讯卡和其正下方位置的10201/2/1 DO卡损坏，CP2和CPl先后停止运行，影響了中控室FSc辅操台的正常操作。这次故障也暴露出逻辑程序中的部分缺陷，需待装置停工检修时整改。
软件方面，2011年操作室搬迁后，曾发生中控室的FSc操作站在某一时刻会刷新出大量过程报警信息，但实际联锁并未动作的现象。事后对系统进行检查和诊断，未发现异常，sOE也没有相应的联锁记录，同时辅操台的蜂鸣器也未发出报警声，因此判断FSc系统本身并未发出报警信息。而在对FSc操作站重启时，当监控软件IFIX的数据库管理器正常启动后也常会发现同样问题。咨询Honeywell，怀疑是IFIX和FSC系统之间的远程通讯出错导致虚假报警。
6维护体会
（1）日常运行中应将SOE软件打开。sOE记录应定期导出。否则事件记录过多会冲掉较早的事件，不利于事故查询。
（2）对于DI信号，FTA端子板上8个通道共用一个保险丝。如果保险丝坏，将影响8个DI信号的供电。
（3）当卡件出现故障需要更换时，应注意有些卡件支持热插拔，有些严禁热插拔。
①严禁热插拔的卡件有：CPU、PSU、COM、DBM、SMM、WD、VBD。它们都是CP组件，在插拔之前，必须先将cPShutdown，并断电。HBD也在CP中，支持热插拔，但之前必须先Shutdown CP。
②所有的I/O卡件都可以热插拔。但是插拔非冗余的I/O卡件会影响现场操作。因此在拔卡件之前，应先在软件中将相应的I/O点强制为正常状态。如条件允许，最好都先断电再插拔，以防意外故障发生。
（4）在FSC系统正常运行期间尽量不要将双钥匙开关卡（DSM）上的强制钥匙打在强制档位。如做过强制操作，应记得及时解除强制。如因生产需要而保留某几个强制信号时，应在机柜醒目位置做好标识，以防非本岗位的人员（如巡检）误操作将强制钥匙打回非强制档，这样会解除强制信号，可能引发装置联锁停车。
（5）日常巡检应注意观察DBM卡屏幕。如发现屏显信息在闪烁，表明系统存在故障。上下拨动DBM卡上的拨杆，可以查看故障信息。如要查看详细的信息，可在工程师站上运行在线诊断功能，系统将显示故障信息及错误代码，查阅FSc系统资料，可以得到诊断信息的详细解释。应特别注意CP卡件故障和DO卡件故障，这两者如不及时处理都将导致CP停止运行。
（6）日常巡检过程中，还需注意系统自带24VDC电源的运行情况。由于新增加的FSC3系统柜采用Honeywell公司FC-PSU-UNl2450直流电源，在相对恶劣的环境条件下存在可靠性降低的风险，可能的风险故障率约在全球产品的1.2%以下。根据Honeywell公司的建议：
由于每个直流电源均带故障报警开关，系统机柜在出厂前已将此信号连接到系统自带的系统DI卡件上。在操作工足够重视的前提下，电源故障可以通过报修尽快得到处理。
加强日常巡检。由于每个直流电源均带有状态指示灯，绿色为正常，红色为故障，因此巡检时需要打开机柜的旋转机架，观察状态指示灯颜色是否正常。
7结束语
作为装置安全仪表系统的一部分，FSC的责任和重要性不言而喻。润滑油加氢装置Fsc系统采用的2004D结构是一种新型的安全仪表系统体系结构，它考虑安全性的同时也保证了可用性，它使用两路l002D设备，每路1002D设备安全完整性均达到SIL3，每个设备都可以独立工作，并且是热备关系。系统自投用以来，运行稳定、故障率低、联锁动作可靠，在避免生产事故，减少事故损失方面起到了重要作用。另一方面，作为系统维护工程师，我们也要正视在FSC应用维护上的不足之处，强化巡检力度，进一步提升故障应急处理能力，加深对系统软、硬件的了解，为装置的长周期平稳运行提供强有力的保障。
[关键词]SIS FSC
冗余联锁
维护
30万吨/年润滑油加氢装置是炼油厂生产过程中的重要环节，主要由加氢裂化、异构脱蜡和常减压蒸馏三部分组成。由于采用加氢裂化和异构脱蜡两套加氢工艺，装置配备了若干高压机泵，如：循环氢压缩机、新氢压缩机、加氢裂化反应进料泵、异构脱蜡反应进料泵、循环氢贫胺液泵、注水泵等。具有高温、高压、易燃、易爆、工艺复杂、生产连续性强等特点，为确保装置安全稳定运行，需要采用sIs系统（安全仪表系统）。SIS（Safety Iinstrument System），也称紧急停车系统（Emergency Shutdown System），是符合IEC61511（国际电工学会制定的标准）定义的安全控制系统。无论是设备故障，还是人为因素等引发的危险，SIS都能按照预先设定的程序作出正确反应，使生产装置联锁或停车，阻止危险的发生及扩散，使危险减到最小。基于以上目的，润滑油加氢装置采用了FSC系统。
1系统介绍
FSC是Honeywell公司开发的安全控制系统，全称是Fail Safe Control（故障安全管理系统）。其特点是：
（1）采用冗余、容错技术。用于控制的I/O模件及中央处理器均采用冗余配置，冗余原则为网络通讯部件1：1冗余，处理器1：1冗余，电源和相关部件1：1冗余，控制用的I/O卡件1：1冗余，检测用的I/O卡件为非冗余配置。
（2）高度自诊断功能。将硬件和软件相结合，在过程安全时间间隔内进行逻辑回路故障诊断和系统自诊断。可以检测出99%以上内部元器件的潜在危险故障。
（3）短路保护功能。FSC系统的输入、输出电路都有短路保护功能，任何外部的短路都可被诊断检查出来而加以保护
2硬件结构
FSC系统硬件主要由Central Part（简称CP，中央控制器）卡件和I/O卡件两部分组成。
cP包括CPU、COM（通讯卡）、WD（系统状态监视卡）、DBM（诊断和电池卡）、VBD（竖向总线驱动卡）。CP卡件和I/O卡件之间的通讯构成为：VBD连接VBUS（竖向总线），VBUS连接HBD（水平总线驱动卡），HBD连接HBUS（水平总线），HBUS再连接I/O卡件。
cP通过输入卡从现场读入数据，按照FLD（逻辑图）中组态的控制程序执行。控制程序将执行结果传输到输出端口。在具有冗余CP的FSC配置中，CP将操作结果通过一个专门的通讯线路与冗余的CP同步。CPU负责对FSc系统硬件进行连续的测试，以确保对现场的安全控制。
Fsc系统的硬件结构一般有四种形式，如下：
（1）FSC 100lD，s+s：单CP+单I/O卡结构
（2）FSC 2004D/1002D，R+s：冗余CP+单I/O卡结构
（3）FSC 2004D/1002D，R+r：冗余CP+冗余I/O卡结构
（4）FSC 2004D/l002D，R+r+s：冗余CP+冗余控制I/O卡和非冗余检测I/O卡结构
润滑油加氢装置FSc系统采用的是FSC2004D，R+r+s配置。2004D四重化冗余容错系统由两套独立并行运行的控制系统组成，通讯模块负责其同步运行，当系统自诊断发现一个模块发生故障时，CPU将强制其失效，确保其输出的正确性。同时，安全输出模块中SMOD功能（Secondary Means OfDeenergization）确保在两套系统同时故障或电源故障时，系统输出一个故障安全信号。一个输出电路实际上是通过四个输出电路及自诊断功能实现的。这样确保了系统较高的可靠性、安全性及可用性。
3系统组成、网络结构
2004年潤滑油加氢装置开工投用，当时的FSC系统由两套系统柜组成，分别为FSC1和FSC2。其中FSCl柜主要负责装置部分的联锁，如加热炉、冷/热高分、HCR和IDW紧急泄压等；FSC2柜主要负责装置高压泵的联锁和自启动，如反应进料泵、注水泵等。系统配置一台工程师/SOE站和一台操作站。工程师站负责系统诊断、程序组态/下装、sOE查询和系统维护等功能，安装软件FSCNavigator R602和FSC SOE R140，通过RS485接口与控制器通讯。操作站供操作工实时监控用，安装软件为IFIX 3.0，同样通过RS485接口与控制器通讯。
2011年为配合装置中控室搬迁项目，在中控室增加一套远程系统柜FSC3，通过光纤与现场的FSC1和FSC2系统柜连接。其主要功能是负责辅操台按钮的逻辑控制。原现场的操作站移至中控室，监控软件升级为IFX4.5。另在中控室增设一台工程师站，负责程序组态、下装和系统诊断。sOE记录仍需在现场工程师站查询。系统软件升级至FSC Navigator R702。
此外，FSC与装置的DCs系统之间通过Modbus协议进行通讯。在这种模式下，FSC系统被定义为“从站”（Slave）。FSc与DCS的通讯周期不大于2秒。
4应用实例
（1）2008年，装置新增一台干气压缩机K401。由于原设计中加氢裂化和异构脱蜡分馏塔塔顶干气是放至装置地面焚烧炉进行无烟燃烧，为了回收利用这一部分轻烃，设计增加一套干气回收设施。干气经干气回收设施中的压缩机升压后，作为制氢原料送到制氢装置或干气管网。根据设计方案，当润滑油箱温度、润滑油压力和密封油压力均满足条件时，系统发出压缩机允许启动信号。
当润滑油压力（三取二）、密封油压力（三取二）、排气压力（三取二）、排气温度或画面停车软按钮中任一条件达到联锁设定值时，压缩机停车。为便于日常保养维护，每个联锁条件均在画面上设置了旁路切换开关。如图1所示： （2）2010年，装置新增一套循环氢脱硫设施。此项目的目的在于降低加氢裂化循环氢中的硫化氢浓度，利用有机脱硫剂MDEA脱除加氢裂化循环氢中的硫化氢。根据设计方案，循环氢从循环氢脱硫塔c104下部进入，来自装置外的贫胺液（MDEA溶液）经贫胺液泵P113升压后从脱硫塔上部进入，在循环氢脱硫塔中逆向接触并脱硫后的循环氢经循环氢入口缓冲罐再送至循环氢压缩机。其主要联锁逻辑有循环氢脱硫塔C104液位低低（三取二）联锁，贫胺液泵P113出口流量低低联锁和贫胺液泵P113启停泵联锁。以贫胺液泵P113出口流量低低联锁为例：当出口流量低低（二取二）、循环氢压缩机主备机均停机或装置紧急放空阀打开中任一联锁条件满足时，系统将发出联锁信号关闭贫胺液切断阀，中止原料供应，同时送出信号参与停贫胺液泵P113的联锁逻辑。同样，为了便于日常保养维护，在画面上设置了联锁条件旁路切换开关。如图2所示：
5运行情况
润滑油加氢装置FSc系统自2004年投用至今，以其较高的可靠性、稳定性和极低的系统故障率给人以深刻的印象。在历次联锁过程中，系统均能满足控制要求，按照设定的联锁逻辑及时、准确的动作，保证装置安全稳定的运行。发生联锁时，sOE软件可以较为精确的记录下被触发的各类联锁条件和联锁执行结果，sOE数据能够帮助相关部门迅速查找、判研事故的原因，采取必要措施，避免同类事故再次发生。
系统运行至今，硬件故障屈指可数。除去计算机的硬件老化之外，系统故障只发生过一起：2012年11月25日润滑油加氢中控室FSC3系统柜，因鼠患导致CP2的10024/H/I通讯卡和其正下方位置的10201/2/1 DO卡损坏，CP2和CPl先后停止运行，影響了中控室FSc辅操台的正常操作。这次故障也暴露出逻辑程序中的部分缺陷，需待装置停工检修时整改。
软件方面，2011年操作室搬迁后，曾发生中控室的FSc操作站在某一时刻会刷新出大量过程报警信息，但实际联锁并未动作的现象。事后对系统进行检查和诊断，未发现异常，sOE也没有相应的联锁记录，同时辅操台的蜂鸣器也未发出报警声，因此判断FSc系统本身并未发出报警信息。而在对FSc操作站重启时，当监控软件IFIX的数据库管理器正常启动后也常会发现同样问题。咨询Honeywell，怀疑是IFIX和FSC系统之间的远程通讯出错导致虚假报警。
6维护体会
（1）日常运行中应将SOE软件打开。sOE记录应定期导出。否则事件记录过多会冲掉较早的事件，不利于事故查询。
（2）对于DI信号，FTA端子板上8个通道共用一个保险丝。如果保险丝坏，将影响8个DI信号的供电。
（3）当卡件出现故障需要更换时，应注意有些卡件支持热插拔，有些严禁热插拔。
①严禁热插拔的卡件有：CPU、PSU、COM、DBM、SMM、WD、VBD。它们都是CP组件，在插拔之前，必须先将cPShutdown，并断电。HBD也在CP中，支持热插拔，但之前必须先Shutdown CP。
②所有的I/O卡件都可以热插拔。但是插拔非冗余的I/O卡件会影响现场操作。因此在拔卡件之前，应先在软件中将相应的I/O点强制为正常状态。如条件允许，最好都先断电再插拔，以防意外故障发生。
（4）在FSC系统正常运行期间尽量不要将双钥匙开关卡（DSM）上的强制钥匙打在强制档位。如做过强制操作，应记得及时解除强制。如因生产需要而保留某几个强制信号时，应在机柜醒目位置做好标识，以防非本岗位的人员（如巡检）误操作将强制钥匙打回非强制档，这样会解除强制信号，可能引发装置联锁停车。
（5）日常巡检应注意观察DBM卡屏幕。如发现屏显信息在闪烁，表明系统存在故障。上下拨动DBM卡上的拨杆，可以查看故障信息。如要查看详细的信息，可在工程师站上运行在线诊断功能，系统将显示故障信息及错误代码，查阅FSc系统资料，可以得到诊断信息的详细解释。应特别注意CP卡件故障和DO卡件故障，这两者如不及时处理都将导致CP停止运行。
（6）日常巡检过程中，还需注意系统自带24VDC电源的运行情况。由于新增加的FSC3系统柜采用Honeywell公司FC-PSU-UNl2450直流电源，在相对恶劣的环境条件下存在可靠性降低的风险，可能的风险故障率约在全球产品的1.2%以下。根据Honeywell公司的建议：
由于每个直流电源均带故障报警开关，系统机柜在出厂前已将此信号连接到系统自带的系统DI卡件上。在操作工足够重视的前提下，电源故障可以通过报修尽快得到处理。
加强日常巡检。由于每个直流电源均带有状态指示灯，绿色为正常，红色为故障，因此巡检时需要打开机柜的旋转机架，观察状态指示灯颜色是否正常。
7结束语
作为装置安全仪表系统的一部分，FSC的责任和重要性不言而喻。润滑油加氢装置Fsc系统采用的2004D结构是一种新型的安全仪表系统体系结构，它考虑安全性的同时也保证了可用性，它使用两路l002D设备，每路1002D设备安全完整性均达到SIL3，每个设备都可以独立工作，并且是热备关系。系统自投用以来，运行稳定、故障率低、联锁动作可靠，在避免生产事故，减少事故损失方面起到了重要作用。另一方面，作为系统维护工程师，我们也要正视在FSC应用维护上的不足之处，强化巡检力度，进一步提升故障应急处理能力，加深对系统软、硬件的了解，为装置的长周期平稳运行提供强有力的保障。