安全仪表系统测试维护的设计探讨

李胜利，吴强，仇广金

(中石油华东设计院有限公司，山东 青岛 266071)

近年来，对于石油化工行业安全仪表系统(SIS)的设计，国家标准、行业标准及原国家安监总局文件等都明确提出了HAZOP分析、安全完整性等级(SIL)评估和SIS设置等要求，SIS的设计日益完备，投用率也日益提高。随着SIS配备的普及，SIS的安全生命周期的概念也随之引起业界及监管部门的关注，主要关注点是在安全生命周期内如何保证SIS满足安全等级要求。

安全生命周期是指从项目概念设计阶段开始到所有仪表安全功能不再适用时为止，所发生的仪表安全功能实现有关的所有活动，主要包括： 过程危险和风险评估、保护层的安全功能分配、SIS技术要求、SIS设计和工程、SIS集成调试运行和确认、SIS操作维护和变更、SIS停用等主要阶段。本文重点讨论如何进行SIS测试维护功能的设计。

1 问题的提出

随着SIS在安全功能领域的普及应用，作为生命周期的一部分，SIS的测试维护并没有同步跟上。在设有SIS的工艺装置运行过程中，用户对不时出现的SIS故障，往往是被动地处理问题，在处理不当或者SIS隐性故障出现时，非计划性停车时有发生。通常SIS故障造成的非计划停车，使工厂主管领导对SIS产生误解，甚至怀疑安全设计过度。工厂仪表维护部门更是被动地疲于应付，甚至不知道如何实施SIS的测试维护，更没有完善的SIS测试维护计划，更甚至由于最终元件的隐性故障，在需要联锁停车时，最终元件却不能执行停车动作，因此可能会造成灾难性的后果。

产生上述问题的原因是多方面的、系统性的。首先是在工程设计环节没有对SIS的测试和维护环节做好规划；其次是用户没有编制SIS测试维护计划，缺少SIS测试维护规程。上述两个方面造成了SIS缺少安全合理的测试维护方式及方法，安全测试维护设备不健全，无法进行定期测试维护。

SIS主要包括测量仪表、逻辑控制器系统、最终元件及线路系统等，SIS的测试范围应包括上述整个系统。随着电子信息技术的发展以及冗余容错、诊断技术的应用，逻辑控制器系统完全可以通过周期性的自动测试和诊断满足长达4 a一个生产周期的应用。但是，自动诊断技术并不能将SIS全部故障危险检测出来，例如变送器测量管路的堵塞、电磁阀的锈蚀、切断阀阀芯的卡死等。测量仪表的技术提升和冗余设置，使得测量仪表造成的误停车率大幅降低，故障率较高的地方是最终元件。SIS的测试维护主要是对测量仪表和最终元件的测试维护，也是本文重点介绍的内容。

2 测试维护周期的要求及确定

SIS测试维护是指对SIS进行周期性的物理测试和功能检查，确保在其安全生命周期内，SIS处于要求的完好状态。在SIS设计阶段应考虑如何实现SIS的测试维护，这是安全生命周期的重要一环。

目前新建石油化工装置一般的生产运行周期是4 a甚至更长。当SIS测试时间间隔小于工艺装置预定的运行周期时，需在不中断工艺装置运行的情况下对SIS进行测试和维护，因此应设计SIS在线测试维护设施，测试的目的是检测出未能自动诊断出的隐性故障，并将系统恢复到完好的状态，确保SIS持续地符合安全功能设计要求。

SIS测试时间间隔是由安全功能的SIL等级确定的，缩短测试时间间隔是提高SIL等级的措施之一。测试时间间隔在SIL等级确定时就应该确定下来了，根据以往设计项目的经验，最小测试时间间隔一般要求： 现场传感器为1 a；逻辑控制器为1 a；切断阀为1～4 a，其中切断阀的测试时间间隔除了本身的SIL等级之外，还和所在的应用工况有很大的关系。在易堵塞或结焦工况的切断阀，其最小测试时间间隔应要求相应缩减，宜要求为6 d或1 a。

3 测量仪表的测试维护

测量仪表通常为现场传感器，现场传感器的测试内容因传感器种类不同而有所差别，一般包括测量精度、量程范围、重复性、信号输出特征等，为实现对测量仪表的测试维护，首先应进行测试维护旁路功能的设计。

3.1 测试维护旁路

应为每个现场传感器的输入信号设置维护旁路，以便在测试维护时屏蔽该输入信号。维护旁路通常为有启用权限的SIS软旁路开关，在“允许测试维护旁路”硬开关置于允许位置后，仪表维护人员投用“测试维护旁路”软开关，方可开始对一次测量元件进行测试维护工作。一次元件测试维护旁路典型逻辑如图1所示。

图1 一次元件测试维护旁路典型逻辑示意

当测量仪表为1组变送器时，例如对于“2oo3”功能冗余设置的3台变送器，测试维护旁路的设置有2种方式： 第一种方式是为该组变送器设置1只测试维护旁路开关，即3台变送器共用1个旁路；第二种方式是每1台变送器设置1只测试维护开关。上述两种方式各有优、缺点，第一种方式是强烈推荐优先使用的，因为在变送器故障及测试维护期间，它降低了人为错误引发的风险概率。

所有测试维护有关的开关均应处于受控状态。将“允许测试维护旁路开关”置于允许旁路位置时，应在相关的操作员控制台或界面上激活一个不可取消、不可复位的最高级别“功能旁路”报警，所有的旁路动作应在控制系统中有记录。

需要强调的是，旁路功能不应屏蔽相应输入信号的预报警、停车报警或其他的报警功能，更不能屏蔽紧急停车开关信号和火焰监测信号。

3.2 “坏值”处理

合理运用变送器的“坏值”处理报警功能，能够及时有效地判断测量仪表的故障情况，并在规定的条件下对变送器输入信号进行旁路，以完成变送器的故障维护工作。

SIS变送器应有高、低“坏值”处理机制。“坏值”能表明变送器内部存在故障，即变送器电子部件已损坏，或者是发生了变送器线路开路或短路故障。“坏值”应在高和低两个方向上均能被辨识出。对于“2oo3”表决的变送器，每台变送器应组态为在检测到故障时，信号输出应能驱动停车，输出信号应用于表决停车。对于“1oo1”表决的变送器，变送器应组态为在检测到故障时，输出为驱动停车相反的信号，即不触发联锁停车，前提是要触发与功能旁路相同的最高级别报警，维护人员应尽快进行相关变送器的维护。

SIS检测到变送器“坏值”时，系统应激活最高级别的“功能旁路”报警，同时也应产生一个次高级别的变送器“坏值”报警。“坏值”的设定值必须要依据具体使用的变送器的饱和值和故障值谨慎选择，典型的“坏值”设定值低值一般为3.65 mA，高值一般为20.8 mA。

4 最终元件的测试维护

SIS最终元件一般包括切断阀、开关装置、电机及其附属元件。本文以切断阀为例阐述最终元件的测试维护。

SIS切断阀一般为气动或液动执行机构控制阀，动力源中断时应使执行机构动作到其固有的故障位置。目前很多工程对SIS切断阀实施在线测试缺少考虑，测试时间也往往是装置停工检修一起进行，对测试时间间隔的要求不明确，缺少保证SIS完好的测试计划。实现切断阀在线测试维护的方法不少，目前主要应用的方法有部分行程测试(PST)和全行程测试(FST)。

4.1 部分行程测试

部分行程测试(PST)是指对SIS切断阀门进行部分行程开或关的动作测试，并推断出SIS切断阀是否具备要求的安全功能。PST行程设定值通常为10%～20%，PST测试过程不应造成工艺流量的明显变化，以免造成工艺装置生产运行的波动。PST功能通常有两种实现方式： 一种是电磁阀等气动附件加位置开关或检测模块，让电磁阀短时间断电，造成阀门失气后动作，一旦阀门动作到设定的位置通过行程开关或检测模块反馈，使电磁阀上电，阀门回到正常位置；另一种是通过带PST功能的阀门定位器实现，这种智能型阀门定位器也可以实现就地和远程操作，通过程序设定部分行程值。由于PST功能的智能阀门定位器实现了测试功能的集成，同时也易于安装和实施。除此之外也有机械限位等其他方式。

4.2 全行程测试

全行程测试(FST)是指对SIS切断阀门进行全行程开或关的动作测试，并依据测试结果判断出SIS切断阀是否具备要求的安全功能。

对于故障关闭的SIS切断阀，应设置旁路阀用于FST。对于故障打开的SIS切断阀，应在SIS切断阀的上游或下游设置切断阀用于FST。用于FST功能的旁路或切断阀均应有铅封设施，并铅封在安全位置。FST测试设施配置如图2所示。

图2 SIS切断阀全行程测试设施配置示意

对于设置测试旁路阀的SIS切断阀，在SIS切断阀做全行程关闭测试前，应打开旁路阀，SIS检测到旁路阀限位开关信号全开时，才具备SIS切断阀的测试条件，现场测试开关才能起作用。完成测试后，应关闭旁路阀并进行铅封。

对于设置上游或下游切断阀的SIS切断阀，在SIS切断阀做全行程开启测试前，应先关闭上游或下游切断阀，SIS检测到上游或下游切断阀限位开关信号全关时，才具备SIS切断阀的测试条件，现场测试开关才能起作用。完成测试后，应开启上游或下游切断阀并进行铅封。

4.3 测试方式的比较

上述两种测试方式都是为了减少最终元件的隐型故障，提高SIS切断阀的可靠性，任何一种方式都存在以下优缺点：

1)PST的优缺点如下：

a)优点。具有PST功能的安全型智能阀门定位器的应用，使得PST便于实施。较少的测试设施的投入，降低了测试成本。PST只是对切断阀进行了一部分行程测试，一般为行程的10%～20%，并没有全部测试阀门的正常工作性能。只能在完成PST测试的基础上，分析推断SIS切断阀是否还具有要求的安全功能。

b)缺点。PST测试过程存在造成误停车的可能性。包括： SIS切断阀及智能阀门定位器附件等本身可能存在的故障造成误停车；PST测试造成物料流量变化带来的影响。尤其对于DN200以下小口径管道的SIS切断阀，PST测试可能造成物料流量变化较大，影响工艺生产过程。

2)FST的优缺点如下：

a)优点。FST能够完成阀门的全部行程测试，能够真实判断出SIS切断阀是否具有相应的安全功能。

b)缺点。相对于PST，FST配置的测试设备较多，对于设计、设备设置及安装等方面的成本投入较多。

综上所述，采取何种测试方式应根据多方面的情况进行综合分析和权衡，用户应根据装置特点、自身对SIS测试的要求等方面考虑，提出自己的要求，在设计阶段就进行相关的设计。

5 结束语

无论是SIS用户还是工程设计人员，首先应有SIS安全生命周期的概念及相关活动要求，并在工程设计阶段根据SIL等级评估结果和安全仪表设备配置情况，进行SIS的操作维护和变更规划。针对SIS的操作维护计划，进行有关的SIS测试维护设施的设计，包括硬件设备和逻辑功能等方面，以保证SIS测试维护计划的可执行。同时也应考虑竣工前的SIS的SIL验证结果带来的一些不确定性，安全仪表功能的SIL验证往往会提出缩短安全仪表设备的测试时间间隔的要求，这时，测试设施的完备性尤其重要。

SIS最终元件的测试维护方式并不局限于本文介绍的内容，其他成功应用的方式也较多。本文的目的是想拓宽相关设计的思路和视野，只要最终元件设备的SIL等级满足要求，并对工艺过程正常运行和SIS的安全功能完整性不造成损害，其相关的测试维护方式均是可接受的。