一、引言
在石化、化工等相對危險性較大的行業中，隨著科學技術的發展，生產規模的不斷擴大，工藝流程越來越複雜，生產的安全性顯得尤為重要。其中，自動化控制系統的功能安全佔了很大一部分的比重。以往國內一般會將過程式控制制中與安全相關的部分與一般的DCS或PLC系統整合在一起，但現在從安全至上的角度出發，自動化供應商和最終用戶本身都意識到了採用相對獨立的、應用於安全相關的控制系統的必要性，基於此，安全控制系統應運而生。
二、與安全控制系統相關的國際標準
2000年5月，國際電工委員會(IEC）正式發布了IEC-61508標準，名為“電氣／電子／可編程電子安全系統的功能安全”。該標準共計七個部分，涉及到1000多個規範。該標準針對起安全作用的電氣／電子／可編程電子系統（E/E/PE）提出了一個基礎、合理的技術方案，並建立一個相應的評價方法，綜合考慮如感測器、通信系統、控制裝置、執行器等元器件與安全系統組合的問題。
根據該標準規定，安全控制系統的最終設計目標可以概括為：在生產過程中發生危險事故或系統本身發生故障的情況下，系統能做出及時和正確的反應並輸出到現場，以防止危險的發生或減輕已發生危險所導致的後果。根據這一原則，IEC-61508規定了一項重要的可定量化要求：安全整體性要求等級SIL(Safety Integrity Level) ，它是指在一定時間內、所有條件不變的情況下安全控制系統達到所要求安全功能的一個指標。SIL共分為SIL1、SIL2、 SIL3和SIL4四個等級，等級越高，相應的要求也越高。
2003年1月，在IEC-61508的基礎上，IEC又發布了IEC-61511 “過程土業部門儀錶型安全系統的功能安全”。這是專門針對流程工業領域安全控制系統的安全功能標準。IEC-61511規定了控制器單元在設計和使用的過程中需採用的基本原則，構成安全控制系統的感測器和最終執行元件所應達到的最低標準，並提出達到最低標準的安全生命周期活動的方法。也就是對過程工業領域中安全控制系統的設計、安裝、調試、運行和維護等一系列的要求進行標準化，並對應用和安全整體級別的確定方面提供指導。
通俗點來說，兩者間的關係和區別可以這樣來理解：IEC-61508適用於設備製造商和供貨商，而IEC-61511提供了一個在流程工業可實際應用和便於理解的IEC-61508版本且較為適用於安全控制系統的設計者、集成商和最終用戶。
除了以上兩大標準，其他主要的國際通用安全標準有：美國國家標準ANSI/ISA-S84.01，關於測量及控制設備安全的德國國家標準DIN-19250以及針對機械設備的IEC-62061。現今國際上權威的安全標準認證機構包括德國的TUV組織，歐洲的BGIA認證，美國的EXIDA組織和FactowMutual組織。
三、安全控制系統定義及概述
所謂安全控制系統，指的是能提供一種高度可靠的安全保護手段，最大限度地避免相關設備的不安全狀態，防止惡性事故的發生或在事故發生后儘可能地減少損失，以保護生產裝置及最重要的人身安全。
安全控制系統能在生產裝置開車、停車、出現工藝擾動等狀況和正常維護操作期間對設備提供安全保護，一旦設備出現危險情況，安全控制系統能夠立即做出反應並輸出正確信號，使得設備處於安全狀態或停機。在化工行業中，安全控制系統一般被稱為ESD（緊急停車系統）或SIS（安全儀錶系統）。從嚴格意義上來說，ESD指的是SIS中的邏輯運算器、即控制系統硬體和相應的軟體，而SIS還包括了外圍的儀錶感測器和最終執行元件等。
安全控制系統一般都採用了冗餘及容錯的技術，兩者之間不盡相同。
冗餘（Redundant）指的是并行的使用多個系統部件如CPU、輸入模塊、通訊卡件等，以提供錯誤檢測和錯誤校正的功能，並可以自動地檢測故障，在不影響整個系統運行的很短時間內切換到後備設備上繼續正常工作。
而容錯技術（Fault TOlerant）指的是擁有內部冗餘的并行元件和集成邏輯，當硬體或軟體存在部分故障時，系統能夠自動識別故障並使故障旁路繼續執行正確的指定功能的能力。或者指硬體和軟體發生故障的情況下，系統仍然具有繼續運行的能力。這一般包含了三方面的功能，一是故障約束，即限制過程或進程的動作，防止錯誤發生后在被檢測出之前的擴大；二是故障檢測，即對信息和過程進行不間斷地動態檢測，以及時發現錯誤；三是故障恢復，即修正或切換失效的部件。容錯技術包括了錯誤檢測和校正所需要的各種編碼、系統恢復、指令執行、程序復算、備件切換、系統重組等技術。它是以冗餘技術為基礎，尤其適用於安全控制系統的一種先進可靠的技術手段。
四、安全控制系統的設計原則
4.1 獨立設置原則
安全控制系統應獨立於過程式控制制系統，以降低控制功能和安全功能同時失效的概率，使安全控制系統不依附於過程式控制制系統就能獨立完成自動保護和聯鎖的安全功能。
設計時必須考慮配置相應的通訊介面，使得過程式控制制系統也能夠監視安全控制系統的運行狀態。
原則上需要獨立設置的部件包括檢測元件、執行元件、邏輯運算器、安全控制系統，以及與過程式控制制系統之間或其他設備的通訊組件。
對於較為複雜裝置的安全控制系統適合分解為若干子系統，各子系統相對獨立且分別設置後備手動功能。
4.2 結構選用的原則
安全控制系統應採用容錯系統。在一個或多個元件發生故障時，系統仍然具有繼續運行的能力。對於以邏輯運算器為基礎的容錯系統來說，一般都會採用冗餘結構，並可參考採用以下方法：
對於有相互關係的參數之間可以使用不同的測量方法（如壓力和溫度）；
對於同一變數採用不同的測量技術（如渦街流量計和電磁流量計）；
對於冗餘結構的每一個通道採用不同類型的可編程電子系統；
對於冗餘的通訊結構來說可以使用不同的地址。
4.3 技術選用的原則
安全控制系統可以採用電氣、電子或可編程電子（E/E/PE）技術，也可以採用上述技術混合的方案。
對於繼電器而言需要注意如存在以下情況時不可使用：高負荷周期性的頻繁改變狀態；作為定時器或鎖定功能使用；複雜的邏輯應用場合。這時候可以考慮選用固態繼電器，但也需恰當處理好故障安全模式。
另外要注意的是對於安全控制系統一般不推薦使用固態邏輯，即將內部邏輯元件（與、或、非等）用直接連線的方式來獲得邏輯功能，而一般這些功能在故障安全方面是受限制的。
4.4 故障安全原則
安全控制系統必須是故障安全型的。所謂故障安全是指檢測元件和最終執行元件在系統正常時應該是勵磁的，即得電狀態；在系統故障時應是非勵磁的。這也稱之為非勵磁停車設計。
4.5 中間環節最少原則
作為一個高效的系統，安全控制系統的中間環節越少越好，儘可能地採用最直接的測量和最可靠的執行方式，避免繁瑣複雜和不必要的設計，以及過多的電一氣、氣一電轉換環節，另外在運行時也要考慮對人員干預和選擇環節的需求是最少的或者沒有。
五、安全控制系統項目實例
5.1 項目概述
新昌源化工江蘇有限公司20萬噸／年粗苯加氫ESD系統項目的實施周期為2009年10月至2010年4月。設置此安全控制系統的目的是為了保障粗苯加氫裝置的安全生產，降低惡性事故的發生概率，減少計劃外停車，避免重大人身傷害、設備損壞和經濟損失的事故發生。為此，在主控室配備了獨立於過程式控制系統DCS的兩台互為備用的ESD操作站（其中一台兼作工程師站），以及ESD專用報警印表機一台。
5.2 系統配置
本ESD使用的是西門子SIMATIC S7-4OOF/H系統，它是以冗餘及容錯技術為基礎的故障安全控制系統。一旦工藝上的安全聯鎖條件具備或者任何系統內部故障發生時s7-400F/H 就立即進入一種安全工作狀態，即保持在一種安全工作模式上，從而保證操作人員、設備、環境和生產過程處於安全狀態。
S7-400F/H提供了全系統的冗餘，包括CPU、可帶電插拔的故障安全專用1/O卡件、通訊模塊、電源和網路。
S7-400F/H 控制站型號為AS414-F/H 套件，它是由兩套中央控制器組成，且內置有冗餘模塊，通過兩個光纖通訊口互相連接。在系統正常運行過程中，當某個中央控制器出現故障時，另一個中央控制器自動接管所有工作，保證系統繼續正常運行。
作為一個整套的安全控制系統解決方案，輸入輸出信號卡件也選用了西門子ET-200M故障安全專用I/O卡件，其所有卡件具有帶電熱插拔功能。可靠性高、組態靈活、使用方便，具有很好的在線維護性。控制站可通過基於Profibus-DP通訊協議的Profi-Safe網路與其連接。
電源冗餘由系統供電和現場設備供電兩方面組成。控制站通過系統配置的雙冗餘電源供電（每塊CPU均配備兩個電源模塊，可根據安全要求分別接人兩路電源如：一路UPS，一路市電）。且當其中某一電源發生故障時，不必停機就可更換備用電源。對於現場設備而言，本系統選用的西門子 SITOP直流電源也採用了冗餘設計，允許兩個直流電源並聯使用，將所有配置的直流電源並聯后再通過ET200M分散式I/0模件向現場供電。在系統運行過程中，當其中某一台直流電源發生故障時，並聯的直流電源還能保證足夠的功率輸出，也不會影響備件更換。
控制站與上位機的通訊使用了冗餘的乙太網，兩個操作站分別通過兩個赫斯曼工業交換機與兩個CPU套件上的乙太網模塊相連接，確保了通訊的萬無一失。
5.3 系統組態和編程
ESD系統配置的工程師站對整個S7-400F/H系統進行組態。其操作系統採用WindowsXP，並且採用了集成的全局數據管理和統一的組態工具。這個組態工具就是SIMATIC程序管理器，它採用了現代化的軟體體系結構，對項目進行管理、處理、歸檔和建立文件。在軟體開發方面，採用了面向對象的技術。在項目管理上，以系統硬體和工藝過程兩個不同的視角，同時進行管理。在SIMATIC程序管理器下，有多種組態工具可以使用，無論採用何種組態工具，生成的組態數據都自動存到同一的資料庫中。
本項目採用了西門子STEP7軟體平台，編程語言工具為CFC( Continuous Function Chart連續功能圖）和西門子F-Library軟體功能庫。 CFC是一種簡潔的圖形組態工具，基於IEC-1131標準。使用CFC有助於節省時間費用，同時大大簡化了系統的組態和維護。用CFC進行組態時是以功能塊為基礎的，系統配置了很多預編程的功能塊。這些功能塊以庫的形式體現。每個功能塊都有一個參數表，可根據實際工藝要求選擇不同的參數。功能塊在CFC中的連接直接用滑鼠點接。每個CFC由6頁組成。功能塊之間的連接可以在不同的CFC之間不同的頁面上進行，連接標記由系統自動標出。因此，採用CFC可以完成很複雜的大型控制任務。對於本項目來說，尤其適用於安全控制系統的編程，並且F-Library軟體功能庫需與CFC搭配使用。
上位機組態軟體使用的是英維思Wonderware Intouch9.5版，通訊方式為OPC連接。Intouch使用較為廣泛，且成熟可靠，無論對於系統開發人員，工廠使用人員和維護人員來說，都具有相當的可操作性和可維護性。在實際使用過程中確實也表現不錯。
六、小結
現今國家大力提倡節能減排和安全生產的觀念，對於安全控制系統來說，由於其結合了當下較為先進的自動化控制技術、故障診斷技術和軟體技術，且具有可靠性高、操作簡單、維護方便的特點，真正為工廠的安全生產提供了保障，進而也促進了節能減排的工作進展，為社會的和諧發展做出了貢獻。
