ESD紧急停车系统

第一讲ESD紧急停车系统1名称、作用、构成紧急停车系统（Emergency ShutDown system – ESD）亦称为安全仪表系统（Safety – Instrument System – SIS）、安全联锁系统（Safety Interlock System –SIS）、安全关联系统（Safety Related System – SRS）、仪表保护系统（Instrument Protective System – IPS）等。

以下统称ESD。

大多石油和化工生产过程具有高温、高压、易燃、易爆、有毒等危险。

当某些工艺参数超出安全极限，未及时处理或处理不当时，便有可能造成人员伤亡、设备损坏、周边环境污染等恶性事故。

这就是说，从安全的角度出发，石油和化工生产过程自身存在着固有的风险。

ESD是一种经专门机构认证、具有一定安全度等级，用于降低生产过程风险的安全保护系统。

它不仅能响应生产过程因超出安全极限而带来的危险，而且能检测和处理自身的故障，从而按预定的条件或程序使生产过程处于安全状态，以确保人员、设备及工厂周边环境的安全。

ESD由检测单元（如各类开关、变送器等）、控制单元和执行单元（如电磁阀、电动门等）组成，其核心部分是控制单元。

从ESD 的发展过程看，其控制单元部分经历了电气继电器（Electrical）、电子固态电路（Electronic）和可编程电子系统（Programmable Electronic System），即E/E/PES三个阶段。

图1为由PES构成的ESD。

图1 ESD的构成2ESD的相关标准及认证机构鉴于ESD涉及到人员、设备、环境的安全，因此各国均制定了相关的标准、规范，使得ESD的设计、制造、使用均有章可循。

并有权威的认证机构对产品能达到的安全等级进行确认。

这些标准、规范及认证机构主要有：①我国石化集团制定的行业标准SHB-Z06-1999《石油化工紧急停车及安全联锁系统设计导则》。

DCS和ESDESD，即紧急停车系统（Emergency Shutdown System），是为生产过程的安全而设置的，它适用于高温、高压、易燃、易爆等连续性生产作业领域。

当生产过程出现意外波动或紧急情况需要采取某些动作或停车时，该系统能精确监测，并及时、准确地做出响应，使装置停在一定的安全水平上，确保装置和人身的安全。

ESD由检测元件，逻辑单元和执行元件组成。

1 ESD和DCS的关系ESD与DCS是完全分离的。

DCS主要用于过程工业参数指标的动态控制。

在正常情况下，DCS动态监控着生产过程的连续运行，保证能生产出符合要求的优良产品。

而ESD则是对于一些关键的工艺及设备参数进行连续的监测，在正常情况下ESD是“静止的”，不采取任何动作。

但是当参数发生异常波动或故障时，它会按照已定的程序采取相应的安全动作，使装置停在安全水平线上。

所以ESD和DCS在过程工业中所起的作用不同，既有分工，又成互补关系。

同时，ESD也不单是实现联锁关系，它应该凌驾于生产过程控制之上，具有独立性，这样降低了两者同时失效的概率，ESD的安全等级要高于DCS。

ESD与DCS的主要区别见对照表1。

表1 ESD与DCS的的主要区别2 ESD的设计此部分主要涉及ESD系统逻辑单元的设计，为了设计合适的ESD系统，应该遵循以下的原则：(1) 在紧急停车系统的设计中，安全度等级是设计的标准。

在ESD的设计过程中，首先应该确定生产装置的安全度等级，依据此安全度等级，选择合适的安全系统技术和配置方式。

目前，我国对于生产装置的安全度等级的划分尚没有设计规范和标准，在应用中应该参照国际上的有关标准，参比同类装置已经采用的ESD运行情况，结合本企业的生产实际情况，来确定采用ESD的安全等级要求。

根据经验，石化装置一般采用的ESD安全等级为SIL3，即TÜV的AK5或AK6。

(2) 紧急停车系统必须是故障安全型故障安全指ESD系统在故障时使得生产装置按已知预定方式进入安全状态，从而可以避免由于ESD自身故障或因停电，停气而使生产装置处于危险状态。

ESD紧急停车系统ESD,是EmergencyShutdownDevice紧急停车装置系统的缩写。

这种专用的安全保护系统是90年代发展起来的，以它的高可靠性和灵活性而受到一致好评。

ESD紧急停车系统按照安全独立原则要求，独立于DCS(集散控制系统)，其安全级别高于DCS。

在正常情况下，ESD系统是处于静态的，不需要人为干预。

作为安全保护系统，凌驾于生产过程控制之上，实时在线监测装置的安全性。

只有当生产装置出现紧急情况时，不需要经过DCS系统，而直接由ESD发出保护联锁信号，对现场设备进行安全保护，避免危险扩散造成巨大损失。

根据有关资料，当人在危险时刻的判断和操作往往是滞后的、不可靠的，当操作人员面临生命危险时，要在60s内作出反应，错误决策的概率高达99.9%。

因此设置独立于控制系统的安全联锁是十分有必要的，这是作好安全生产的重要准则。

该动则动，不该动则不动，这是ESD系统的一个显著特点。

当然一般安全联锁保护功能也可由DCS或者PLC(可编程逻辑控制器)来实现。

那么为何要独立设置ESD系统呢？因为于较大规模的紧急停车系统应按照安全独立原则与DCS分开设置，这样做主要有以下几方面原因：(1)降低控制功能和安全功能同时失效的概率，当维护DCS或者PLC部分故障时也不会危及安全保护系统; (2)对于大型装置或旋转机械设备而言，紧急停车系统响应速度越快越好。

这有利于保护设备，避免事故扩大；并有利于分辨事故原因记录。

而DCS或者PLC处理大量过程监测信息，因此其响应速度难以作得很快；(3)DCS或者PLC系统是过程控制系统，是动态的，需要人工频繁的干预，这有可能引起人为误动作；而ESD是静态的，不需要人为干预，这样设置ESD可以避免人为误动作。

紧急停车系统按照结构来分，可分为双重化冗余和三重化冗余，最新技术出现了四重冗余系统。

双重化冗余ESD系统其中一套处于工作状态，另一套则处于热备状态。

三重化冗余ESD系统将CPU和I/O通道都实行三重化配置。

个人认为他们的区别应该不是很大Esｄ(EmｅrｇencｙShutｄｏwｎDeviｃe)：紧急停车系统,多数应用于石油和化工系统,是一个独立于DCS系统的控制单元,在工艺发生危险状况时，对设备，环境等进行紧急的启挺,开关操作。

配置设备以高档的ＰＬＣ居多，多数处理DI／DO点，现在多数与DCS进行通讯。

ＳＩS（SIＳ,safeｔyｉnstrumｅnted systｅm）:安全仪表系统，主要用于汽轮机,压缩机等高速运转设备,对轴承的转速,震动，位移,温度等进行检测,对设备进行保护，原来设计多为模块组合,相当于与智能仪表的组合体。

SIS是安全仪表系统，ESＤ是紧急停车系统，ESD属于SIＳ的一部分。

SIＳ包括现场仪表、逻辑解决器、执行机构三部分,这三个部分都要是安全设计的，常规的EＳD系统只是SＩＳ的逻辑解决器这部分，当然也要是安全设计的。

随便举个例子，不一定合适，但是可以帮助理解这些概念。

西门子的ＰＣS7 系统。

包含了S7－４00Ｈ硬件,WｉnCC监控软件，Ｓimaticnet 通讯软件。

Sｔeｐ7编程软件。

PDM等智能仪表工具。

PCS７是一系列软件,硬件的组合体,是一个系统的概念。

SＩＳ基本上也是同样的道理。

从本质上来讲,SIＳ的硬件系统不光包括，SIS控制器及IO(例如Triconｅｘ，HＩMA,西门子400FH）。

还应包括所有跟控制器接口的其他输入部件，例如获得TUＶＳIL认证的传感器,变送器，检测装置;还应该包括所有输出部件,如获得TUV SIL认证的执行器（液压安全执行器,气动安全执行器，电动型安全执行器），还应该有获得认证的现场设备。

－-要求严格的现场，阀门本体也必须是有TUV 证书的。

例如核电厂的安全阀不光是锅炉与压力容器质检合格,还应该有核检证书,还应该有TUＶ的安规证书,明确标明是SIL几等级。

那么，我们现在再来理解这些概念，,, 安全型控制器（目前这个叫法最科学）仅仅是ＳIＳ系统硬件中的一环。

个人认为他们的区别应该不是很大Esd（Emergency Shutdown Device）:紧急停车系统，多数应用于石油和化工系统，是一个独立于DCS系统的控制单元，在工艺发生危险状况时，对设备，环境等进行紧急的启挺，开关操作。

配置设备以高档的PLC居多，多数处理DI/DO点，现在多数与DCS进行通讯。

SIS（SIS, safety instrumented system）:安全仪表系统，主要用于汽轮机，压缩机等高速运转设备，对轴承的转速，震动，位移，温度等进行检测，对设备进行保护，原来设计多为模块组合，相当于与智能仪表的组合体。

SIS是安全仪表系统，ESD是紧急停车系统，ESD属于SIS的一部分。

SIS包括现场仪表、逻辑解决器、执行机构三部分，这三个部分都要是安全设计的，常规的ESD系统只是SIS 的逻辑解决器这部分，当然也要是安全设计的。

随便举个例子，不一定合适，但是可以帮助理解这些概念。

西门子的PCS7 系统。

包含了S7-400H 硬件，WinCC 监控软件，Simaticnet 通讯软件。

Step7编程软件。

PDM等智能仪表工具。

PCS7 是一系列软件，硬件的组合体，是一个系统的概念。

SIS 基本上也是同样的道理。

从本质上来讲，SIS 的硬件系统不光包括，SIS控制器及IO（例如Triconex，HIMA，西门子400FH）。

还应包括所有跟控制器接口的其他输入部件，例如获得TUV SIL认证的传感器，变送器，检测装置；还应该包括所有输出部件，如获得TUV SIL认证的执行器（液压安全执行器，气动安全执行器，电动型安全执行器），还应该有获得认证的现场设备。

－－要求严格的现场，阀门本体也必须是有TUV 证书的。

例如核电厂的安全阀不光是锅炉与压力容器质检合格，还应该有核检证书，还应该有TUV 的安规证书，明确标明是SIL几等级。

那么，我们现在再来理解这些概念，，，安全型控制器（目前这个叫法最科学）仅仅是SIS 系统硬件中的一环。

ESD紧急停车控制系统（以下简称ESD）的定义和构成ESD是Emergency Shutdown Device的简称，中文的意思是紧急停车控制系统，它是一种经专门机构认证、具有一定安全等级，用于降低生产过程风险的安全保护系统。

它不仅能够响应生产过程因超出安全极限而带来的危险，而且能检测和处理自身的故障，从而按预定的条件或程序，使生产过程处于安全状态，以确保人员、设备及工厂周边环境的安全。

ESD紧急停车控制系统基本组成大致可分为三部分：传感器单元、逻辑运算单元、最终执行单元。

（1）检测单元采用多台仪表或系统，将控制功能与安全联锁功能隔离，即检测单元分开独立配置的原则，做到ESD仪表系统与过程控制系统的实体分离。

（2）执行单元是ESD仪表系统中危险性最高的设备。

由于ESD仪表系统在正常工况时是静态的，如果ESD控制系统输出不变，则执行单元一直保持在原有的状态，很难确认执行单元是否有危险故障，所以执行单元仪表的安全度等级的选择十分重要。

（3）逻辑运算单元包括输入模块、控制模块、诊断回路、输出模块四部分，依据逻辑运算单元自动进行周期性故障诊断，基于自诊断测试的ESD仪表系统，系统具有特殊的硬件设计，借助于安全性诊断测试技术保证安全性。

二、ESD的配置方案1、我公司使用的ESD系统，设备采用Honeywell生产的SM系统，系统具有以下特点：（1）系统独立设置（含检测和执行单元）；（2）中间环节最少；（3）为故障安全型；故障安全原则是指当外部或内部原因使ESD紧急停车控制系统失效时，被保护的对象应按预定的顺序安全停车，自动转入安全状态。

具体内容如下①现场开关仪表选用常闭触点，工艺生产正常时，触点闭合，达到报警或联锁极限时触点断开，触发联锁或报警动作。

为了提高安全性可以采用“二选一” 、“二选二” 、“三选二”配置。

②电磁阀采用正常励磁，报警或联锁没有动作时，电磁阀线圈带电，触点闭合；报警或联锁动作时，电磁阀线圈失电，触点断开。

ESD紧急停车系统ESD系统为满足系统要求设置的，当工艺过程中出现异常情况时，将自动关闭各种设备或由操作人员进行手动紧急停车。

每套站控系统中为原油和成品油各设置一套独立的ESD系统，安全度等级为SIL3。

ESD设备与以下设备连接：可燃气/火灾检测报警系统系统监控设备异常超压就地ESD按钮现场仪表，包括变送器、开关、电磁阀及电动阀等工艺设备等火灾紧急停车信号通过硬线信号由可燃气/火灾检测报警系统传到ESD系统。

ESD系统：ESD设备具有TVU认证。

ESD系统软件具有TVU认证。

ESD能接受所有与输油站状态相关的信号，并按照每一个逻辑功能要求进行动作。

ESD系统采用模块化设计，易于扩展，卡件可在线热插拔，易于维护。

ESD系统具有高度、全面的智能化自诊断功能，通过诊断信息可减少故障处理时间。

系统具有在线组态，在线修改的能力。

具有远程诊断和组态功能。

ESD系统具有良好的开放和安全性的网络通讯能力。

ESD具有执行逻辑功能。

在运行逻辑方面，ESD设计成为失效安全型。

ESD的输入在报警或不正常条件下应移向开路位置。

在正常状态下，逻辑电路输出应保持带电状态，在任何输入变成开路时将导致相应的输出电路关电。

开路和短路不会造成损害性停车。

所有的数字输出模板提供与跳闸点和输出状况有关的输入状态的可视显示。

所有的输出卡都能显示输出信号的状态。

ESD输入和输出继电器取得和ESD设备相同的SIL等级认证。

多个逻辑回路的每个回路均能单独组态和维护，当一个回路组态或维护时，不会影响其它回路。

ESD有足够的设备满足不同数量的I/O逻辑要求。

ESD的运行循环时间最大为150m，处理器响应时间小于10m。

在运行在ESD系统中提供事件顺序记录。

1.1故障安全控制系统S7-400FH概述SIMATICS7-400F/FH是SIMATICS7系列产品之一,是基于S7-400H冗余容错技术的故障安全控制系统。

一旦工艺安全联锁条件具备或任何系统内部故障发生时,S7-400F/FH就立即进入一种安全工作状态,即保持在一种安全工作模式上,从而保证操作人员、设备、环境和生产过程处于安全状态。