紧急停车系统
1、 名称、作用、构成
2、 相关标准及认证机构
3、 ESD和DCS的比较
4、 ESD设计应遵循的原则
5、 故障安全原则
6、 隐故障和显故障
7、 安全性及响应失效率
8、 可用性及可用度
9、 冗余和容错
10、 冗余逻辑的表决方法及其与安全性、可用性的关系
11、 普通PLC和安全PLC的区别
12、 取得TÜV认证的ESD产品
13、 工艺过程风险的评估及安全度等级的评定
14、 逻辑运算的基本规则

1 名称、作用、构成
紧急停车系统（Emergency shutdown System – ESD）亦称为安全仪表系统（Safety – Instrument System – SIS）、安全联锁系统（Safety Interlock System –SIS）、安全关联系统（Safety Related System – SRS）、仪表保护系统（Instrument Protective System – IPS）等。以下统称ESD。
大多石油和化工生产过程具有高温、高压、易燃、易爆、有毒等危险。当某些工艺参数超出安全极限，未及时处理或处理不当时，便有可能造成人员伤亡、设备损坏、周边环境污染等恶性事故。这就是说，从安全的角度出发，石油和化工生产过程自身存在着固有的风险。
ESD是一种经专门机构认证、具有一定安全度等级，用于降低生产过程风险的安全保护系统。它不仅能响应生产过程因超出安全极限而带来的危险，而且能检测和处理自身的故障，从而按预定的条件或程序使生产过程处于安全状态，以确保人员、设备及工厂周边环境的安全。
ESD由检测单元（如各类开关、变送器等）、控制单元和执行单元（如电磁阀、电动门等）组成，其核心部分是控制单元。从ESD 的发展过程看，其控制单元部分经历了电气继电器（Electrical）、电子固态电路（Electronic）和可编程电子系统（Programmable Electronic System），即E/E/PES三个阶段。
图1为由PES构成的ESD。
PES

图1 ESD的构成
2 ESD的相关标准及认证机构
鉴于ESD涉及到人员、设备、环境的安全，因此各国均制定了相关的标准、规范，使得ESD的设计、制造、使用均有章可循。并有权威的认证机构对产品能达到的安全等级进行确认。这些标准、规范及认证机构主要有：
① 我国石化集团制定的行业标准SHB-Z06-1999《石油化工紧急停车及安全联锁系统设计导则》。
② 国际电工委员会1997年制定的IEC 61508/61511标准，对用机电设备（继电器）、固态电子设备、可编程电子设备（PLC）构成的安全联锁系统的硬件、软件及应用作出了明确规定。
③ 美国仪表学会制定的ISA-S84.01-1996《安全仪表系统在过程工业中的应用》。
④ 美国化学工程学会制定的AICHE（ccps）-1993，《化学过程的安全自动化导则》。
⑤ 英国健康与安全执行委员会制定的HSE PES-1987，《可编程电子系统在安全领域的应用》。
⑥ 德国国家标准中有安全系统制造厂商标准-DIN V VDE 0801、过程操作用户标准-DIN V 19250和DIN V 19251、燃烧管理系统标准-DIN VDE 0116等。
德国技术监督协会（TÜV）是一个独立的、权威的认证机构，它按照德国国家标准（DIN），将ESD所达到的安全等级分为AK1～AK8，AK8安全级别最高。其中AK4、AK5、AK6为适用于石油和化学工业应用要求的等级。
3 ESD和DCS的比较
DCS与由PES构成的ESD的主要区别有：
DCS ESD
构 成 不含检测、执行 含检测、执行单元
作用（功能） 使生产过程在正常工况乃至最佳工况下运行 超限安全停车
工 作 动态、连续 静态、间断
安全级别 低、不需认证 高、需认证
4 ESD设计应遵循的原则
① 原则上应独立设置（含检测和执行单元）；
② 中间环节最少；
③ 应为故障安全型
④ 采用冗余容错结构。
5 故障安全原则
组成ESD的各环节自身出现故障的概率不可能为零， 且供电、供气中断亦可能发生。
当内部或外部原因使ESD失效时，被保护的对象（装置）应按预定的顺序安全停车，自动转入安全状态（Fault to Safety），这就是故障安全原则。
具体体现：
① 现场开关仪表选用常闭接点，工艺正常时，触点闭合，达到安全极限时触点断开，触发联锁动作，必要时采用“二选一”、“二选二”或“三选二”配置。
② 电磁阀采用正常励磁，联锁未动作时，电磁阀线圈带电，联锁动作时断电。
③ 送往电气配电室用以开/停电机的接点用中间继电器隔离，其励磁电路应为故障安全型。
④ 作为控制装置（如PLC）“故障安全”意味着当其自身出现故障而不是工艺或设备超过极限工作范围时，至少应该联锁动作，以便按预定的顺序安全停车（这对工艺和设备而言是安全的）；进而应通过硬件和软件的冗余和容错技术，在过程安全时间（PST-Process Safety Time）内检测到故障，自动执行纠错程序，排除故障。
6 隐故障与显故障
① 隐故障（Covert Fault）：不对危险产生报警，允许危险发展的故障，是故障危险故障（SHB-Z06-1999）。
Covert Fault：Fault that can be classified as hidden， concealed， undetected， unrevealed， latent， ect. （ISA-S84.01-1996）
② 显故障（Overt Fault）：能显示出故障自身存在的故障，是故障安全故障（SHB-Z06-1999）。
Overt Fault：Fault that can be classified as announced， detected， revealed，ect. （ISA-S84.01-1996）
7 安全性及响应失效率
当工艺条件达到或超过安全极限值时，ESD本应引导工艺过程停车，但由于其自身存在隐故障（危险故障）而不能响应此要求，即该停车而拒停，降低了安全性。
衡量安全性的指标为响应失效率或称要求的故障率（PFD：Probability of Failure on Demand）。它是安全联锁系统按要求执行指定功能的故障概率。是度量安全联锁系统按要求模式工作故障率的目标值（SHB-Z06-1999）。
不同的工业过程（如生产规模、原料和产品的种类、工艺和设备的复杂程度等）对安全的要求是不同的。上述的国际标准将其划分为若干安全度等级（SIL：Safety Integrity Level）。
SIL和PFD的对应关系见表1：
表1
ISA-S84.01 IEC 61508 DIN V 19520（TÜV） PFD
SIL.1 SIL.1 AK1 10-1～10-2
SIL.1 SIL.1 AK2
SIL.1 SIL.1 AK3
SIL.2 SIL.2 AK4 10-2～10-3
SIL.3 SIL.3 AK5 10-3～10-4
SIL.3 SIL.3 AK6
SIL.4 AK7 10-4～10-5
SIL.4 AK8
8 可用性及可用度
工艺条件并未达到安全极限值，ESD不应引导工艺过程停车，但由于其自身存在显故障（安全故障）而导致工艺过程停车，即不该停车而误停，降低了可用性。
可用度（A：Availability）是指系统可使用工作时间的概率，用百分数计算：
（SHB-Z06-1999）
MTBF：平均故障间隔时间（Mean Time Between Failures）
MDT：平均停车时间（Mean Downtime）
9 冗余和容错
冗余（Redundant）：具有指定的独立的N：1重元件，并且可以自动地检测故障，切换到后备设备上。（SHB &ndas