自动化控制系统的风险分析与控制

文/何琼 湖南有色冶金劳动保护研究院

自动化控制系统的风险分析与控制

文/何琼 湖南有色冶金劳动保护研究院

自动化控制系统概述

纵观国内外自动控制系统的现状及发展趋势，三电一体化是发展的主流。三电（电气、自动化仪表、过程控制计算机一体化控制系统）具有功能分配合理、系统构成简捷、综合投资经济等优点，得到了越来越广泛的应用。

三电系统为多级分散式控制系统，系统分为二级，并留有与MES（L3）级通讯接口。

一级（L1）是电气、仪表系统组成的基础自动化级；

二级（L2）是以过程计算机为中心的过程控制级。

三电系统之间采取以太网高速数据通道进行连接，构成多级数据通信网络系统。

电气、仪表系统采用电仪一体化的基础自动化设备，系统由可编程序控制器、彩色大屏幕监控系统和高速数据通道组成。

系统中主要危险、有害因素辨识

危险因素是指能对人造成伤亡或对物造成突发性损害的因素，有害因素是指能影响人的身体健康、导致疾病，或对物造成慢性损害的因素。存在能量、有害物质和失控是危险、有害因素产生的根本原因。

自动控制系统的危险有害因素可能来自以下几个方面：系统自身、系统与其他机器或装置的相互作用、系统所在的物理环境、操作人员和系统的相互作用等。

本系统的主要危险、有害因素有：机械危害、电气危害、电磁场危害、光危害、放射性危害、生物危害、化学危害（腐蚀和侵蚀影响）、气候影响等。

1、机械危害

（1）重力可能成为危险源，如在提升或者下落时。

（2）压力可能成为危险源，如由于管道或者容器破损。

（3）弹力可能成为危险源，如由于弹簧或机械结构破损。

（4）振动可能成为危险源，如由于材料疲劳或发出过大声音。

（5）温度可能成为危险源，如热的物体。

01—02.电气、仪表系统组成的基础自动化(L1)

03—04.以过程计算机为中心的过程控制(L2)

（6）磨损可能成为危险源，如释放有毒粒子或者使部件变弱。

（7）机械结构可能成为危险源，如锐利边缘或粗糙表面。

2、电气危害

电压或电流可能成为危险源，如由于发生短路（热）或绝缘击穿（电击）。自动化控制系统中存在大量电气设备，因此存在电气火灾事故危害。电气设备如果长时间过负荷运行，会产生大量热量，电气设施内部绝缘损坏，保护监测装置失效，可能造成电气火灾事故；另外，配电线路、开关、熔断器、插销座、电热设备、照明器具、电动机等均有可能成为电气火灾的引燃源。

3、电磁场危害

系统能发出不同强度和频率的电磁场，这些电磁场可能成为危险源。电磁场对人体的伤害表现为能导致新陈代射变化、眼损伤或器官受损，对设备的影响为导致电磁干扰、数据改变等。

导磁物质能积聚在磁场内也会产生危害。例如，磁性物质积聚在永久磁铁气隙内会严重影响受力线圈和检流计的转动甚至完全受阻。同样，磁性物质积聚在转子和定子之间会严重损坏电动机。

4、光危害

系统能发出不同强度和频率的光，这些光可能成为危险源，如短路或光学发射器工作会产生和传播强度可达到危险程度的光。光能导致人员眼损伤或灼伤，导致设备材料特性改变。

5、放射性危害

含有放射性元件（例如传感器）的系统可能成为危险源。放射性能导致人员新陈代谢变化、眼损伤或器官受损，导致设备材料特性改变。

6、生物危害

生物可能成为控制系统的危险源。温热气候条件下的植物区内霉菌最具有侵蚀性；菌丝体的吸湿性会侵蚀电子装置；昆虫用筑巢的粘土样胶泥堵塞气动仪表的所有气孔，会造成气动仪表意外停机；蟑螂和啮齿动物等经常会啃咬导线上的绝缘材料，导致绝缘材料受损。

7、化学危害

大量采用过程控制装置和控制系统的工业化地区普遍存在一般程度的污染，被控制的工业过程会将各种污染物带进现场环境，造成使用过程控制装置的局部区域确实存在污染程度比较高的现象。在多数情况下，对测量和控制装置的影响是同污染物的浓度、温度和暴露周期成正比，并往往因湿度的增加而加重。短时间的高浓度（峰值）腐蚀性污染物可造成异常严重的危害。

系统和系统的部件可能接触的大气污染物有气体、蒸汽、液体和固体。这些污染物的影响是各不相同的，例如化学活性污染物产生腐蚀影响，砂尘阻塞产生侵蚀影响。不同种类的污染物还会混合出现，各种气体、蒸汽和液体污染物主要产生腐蚀影响，而固体污染物则可能产生有害的侵蚀、腐蚀、热或电磁影响。

8、气候条件影响

环境气候条件，如空气温度、湿度和大气压力等对工业过程测量和控制装置在工作期间有较大的影响。根据气候条件确定几种场所等级，各种工作条件参数的严酷度值是以极限值表示。根据气候条件确定的场所类型：

（1）有气候防护的场所

A级：空调场所

B级：升温和（或）降温的封闭场所

C级：掩蔽和（或）非升温的封闭场所

（2）无气候防护的场所

D级：户外场所

这些场所类型是以气候条件参数及其极限值适当组合为依据确定的，对应的气候等级如表1所示。

温度应是局部环境中某个具有代表性的点上（包括发热装置附近）测得的场所温度。同时应注意到阳光辐射可能会使装置表面温度上升。同样的考虑也适用于湿度测量。当一些仪表集中于一处时，由于仪表产生的热量，实际的空气温度和相应的相对湿度可能有影响。

控制场所的阳光辐射也有一定的影响。若装置靠近窗户，则A级和B级应包括阳光辐射。单侧辐射或冷风等现象造成的局部环境空间中的温度梯度，能在装置中产生热应力。

对出现冷凝、降水和结冰等现象，也对自动化控制装置有较大影响。

对于装置在各种场所的正常工作及其寿命空气质量较为重要。

大气压力某些变化是由气候条件造成的，一般来说，其主要变化是海拔高度造成的。人为加压可增加某些场所的环境压力。

（1）空调场所（A级）

在空调场所中，空气温度和湿度都被控制在规定的极限值范围内。这些场所常用于需要一个受控大气环境的过程控制计算机和其他电子设备。装有过程控制关键设备的主中央控制室通常属于这一类场所。

（1）额定温度值的允差为±2℃；（2）高海拔时，大气压力下限为70kPa。

（2）升温和（或）降温的封闭场所（B级）

在升温和（或）降温的封闭场所中，只有空气温度被控制在规定的极限值范围内。这类场所通常用于控制装置中那些需操作人员连续监视操作的场所（即该场所为非空调场所）。

在B3级场所中，可能偶然出现冷凝现象（特别是相对湿度较高的情况下），但持续时间较短。

（3）掩蔽场所（C级）

在掩蔽场所中，空气温度和湿度都不受控制，但装置得到保护，不直接受到诸如阳光辐射、雨淋、其他形式的降水以及全风压之类气候因素的作用。既不升温也不降温的封闭场所可看作是“掩蔽场所”。

这种场所若有通风，通常也是采用自然通风方式。最低温度可低到与户外大气条件下的温度相当；而最高温度则可能大大高于户外大气条件下的温度（那是因为阳光辐射作用于掩蔽物上的缘故）。由于这些掩蔽场所可能不完全密闭，因此仍可能受到一些（局部的）刮风、降水的影响。

典型的掩蔽场所是操作仪表的“拥房”、不升温的贮藏仓库和车厢封闭的运输汽车。人们也许会注意到：在某些类型的仓库中（偶尔也在其他掩蔽场所中），湿度值增加导致贮藏的装置上产生冷凝现象。

变送器、执行器和一些与控制器分离的指示器往往置于掩蔽场所中。无需操作人员经常监视的控制器、记录仪和其他装置也可工作在掩蔽场所中。

掩蔽场所可能出现冷凝现象。除因温度迅速变化引起的偶然冷凝外，置于这些场所的装置还会受到刮风、降水、滴水和水雾的影响

（4）户外场所（D级）

在户外场所中，空气温度和湿度都不受到控制，且装置暴露在大气条件下，直接承受诸如阳光辐射、风、雨、冰雹、冻雨、雪和结冰之类的侵袭。

传感器、变送器、执行器以及诸如一些与控制器分离的指示器之类的操作器往往置于户外场所中。

应该注意到户外场所的大气温度会发生迅速变化，尤其要注意的是外露装置向阳面及背阴面之间的温度梯度。在户外场所中装置温度会迅速变化，例如，阳光直射下的装置突然遭雨淋。

户外场所可能出现偶然的冷凝现象。除因温度迅速变化引起的冷凝外，置于户外场所的装置还会直接受到雨淋、水雾、水溅、漏水等的浸袭。

因此气候条件对自动控制系统的安全性有较大的影响。

风险控制措施

现针对自动化控制系统可能存在的风险，提出一些事故防范措施，以降低和排除系统中的危险有害因素。

首先是在保证系统具有能够接受的性能水平的前提下考虑系统设计中的风险控制措施，包含以下几项：规定系统的极限参数；制订安全对策；具体列出所有的危险；评估有关风险；消除危险或尽最大可能限制风险。如果采用以上措施仍不可能将风险减小到能接受的程度，则在设计阶段必须考虑安全防护措施。这些措施必须是保持系统的灵活性而不减少系统的安全性。此外还必须提供那些难于识别的危险的有关信息，例如编写说明书及警告标记。

1、自动控制系统必须按照风险评估设计并防护，使其确保能够正常安装以及正确安全地使用和维护。为此，要考虑人为因素、工作任务、可能发生的事故和生产方法等之间的关系。还必须考虑诸如噪音、有害物质、高温、低温、辐射以及物理运行环境的其他有害影响，以免造成对人身健康的损害。

2、系统或系统部件设计必须说明：对物理环境的条件和外部电源的要求以及如何连接，以保证正常运行。项目单位应该保证满足这些条件，或者提供替代手段，并保证系统在按照技术条件要求的环境条件下运行。

3、控制系统的设计与安装必须具有能保证控制功能与控制系统不受干扰源影响的良好的工程措施，如果能预知风险是干扰引起的，则必须采取隔离措施，以确保对控制功能的干扰在机器工作的任何时刻均不会造成危害。

4、控制系统的设计、组装、安装、使用虽无法避免系统内的单个控制部件失效而产生停机动作，但是应保证在故障排除之前，系统不再启动或继续运行。除此之外，还必须考虑采用成熟的线路和部件，以及下列一项或多项的安全措施：

（1）部分或全部地冗余

电器电子或液压系统的控制部件的失效保护，通常采用多部件或多路的并联或串联来实现控制。部件的失效保护不应仅依赖简单冗余。

（2）采用分布控制方式接地

（3）降低危险动作的速率（功率）

采用“减速法”是基于事故出现时，人员能及时从危险区内退出。

（4）监测控制功能

采用“监测控制功能”措施为的是识别故障，并当发现故障时应能发出一个安全信号（大多是停止信号）。

（5）使能装置

采用“使能装置”措施为的是，使用使能装置的人员能发现危险并及时采取直接行动防止事故。

（6）利用可解锁的单向阀、不经常动作的滑阀的周期性转换动作、压力阀、无弹性作用的脉冲阀。

在液压或气动系统中可能蓄有可观的能量。必须确保它们不致引起危险动作。积蓄的能量可以被引发安全功能（如复原动作）。如有必要应提供防止后继危险（如：由于压力下降、主管路关闭、泄漏管路破裂等所引起的危险）的附加措施，如机械力锁定、可解锁单向阀等。

5、附加安全措施

当单纯的控制上的安全措施不足以防止危险性故障的后果时，必须采取诸如机械安全保护、备用照明等补充措施。

通过对自动化控制系统进行危险有害因素辨识，系统可能存在的危险、有害因素主要有：机械危险源、电气危险源、电磁场、光、放射性危险源、生物危险源、化学危险源（腐蚀和侵蚀影响）、气候影响等。系统中存在的危险有害因素所引起的风险，可以通过采取相应的安全技术措施和管理措施，得到有效控制，以减少安全事故的发生或消除事故隐患，减轻职业危害。因此，企业应遵循消除、预防、减弱、隔离、连锁原则，按国家的有关法规、标准及设计规范的规定采取合理的控制措施，以确保安全生产工作顺利进行。