2014年11月13日，國家安全監(jiān)管總局發(fā)布的《國家安全監(jiān)管總局關(guān)于加強化工安全儀表系統(tǒng)管理的指導(dǎo)意見》（安監(jiān)總管三〔2014〕116號）文件，對GDS的設(shè)置產(chǎn)生了重要影響。目前，在編制GDS的規(guī)格書時，有些設(shè)計將GDS當(dāng)作是安全儀表系統(tǒng)，有的要求其安全完整性等級（SIL）為SIL1，SIL2或SIL3，也有的只要求其具有SIL等級，而并沒有明確提出具體的SIL等級，相對來說比較混亂。本文根據(jù)有關(guān)標(biāo)準(zhǔn)規(guī)范、管理文件并結(jié)合大型聯(lián)合化工廠的實際情況，討論GDS的設(shè)置。
大型聯(lián)合化工廠主要控制系統(tǒng)
現(xiàn)代大型聯(lián)合化工廠是由多套化工生產(chǎn)裝置及公用工程裝置組成的，各生產(chǎn)裝置之間通過各種物料相互聯(lián)系，使生產(chǎn)裝置與公用工程裝置構(gòu)成了一個有機整體。化工生產(chǎn)裝置都配置了用于過程控制和數(shù)據(jù)采集的分散型控制系統(tǒng)（DCS），用于生產(chǎn)裝置安全聯(lián)鎖保護的SIS，用于生產(chǎn)環(huán)境監(jiān)測的GDS等。
大型聯(lián)合化工廠的地域較大，生產(chǎn)裝置現(xiàn)場中的操作人員較少。為減少信號線路的長度，采用中心控制室和現(xiàn)場儀表機柜室相結(jié)合的方式，中心控制室設(shè)置在遠(yuǎn)離生產(chǎn)裝置的安全區(qū)域，現(xiàn)場儀表機柜室設(shè)置在緊鄰生產(chǎn)裝置的適當(dāng)區(qū)域。該模式下按照安裝區(qū)域可大致劃分為以下5個部分，各部分的安裝位置是相對固定的。
1）安裝在生產(chǎn)裝置現(xiàn)場的有溫度、壓力、液位、流量、成分分析等檢測儀表和控制閥、切斷閥等執(zhí)行類儀表。
2）安裝在現(xiàn)場儀表機柜室內(nèi)的控制站（器），包括電源柜、系統(tǒng)柜、安全柵柜、繼電器柜、接線端子柜及儀表控制系統(tǒng)的一層網(wǎng)絡(luò)柜等設(shè)備。
3）現(xiàn)場儀表機柜室與中心控制室的機柜室之間相連接的不同路徑的冗余光纖。
4）安裝在中心控制室的儀表機柜室內(nèi)的設(shè)備，包括電源柜、各控制系統(tǒng)的二層及三層網(wǎng)絡(luò)柜、SIS或CCS的遠(yuǎn)程I/O柜等。
5）安裝在中心控制室內(nèi)的各控制系統(tǒng)的操作站、SIS或CCS的輔助操作臺、打印機等設(shè)備。
現(xiàn)場儀表與安裝在現(xiàn)場儀表機柜室內(nèi)的控制站相連接，控制站與各自的一層網(wǎng)絡(luò)交換設(shè)備相連接；現(xiàn)場儀表機柜室內(nèi)的各控制系統(tǒng)的網(wǎng)絡(luò)設(shè)備，通過不同路徑的光纖與中心控制室的儀表機柜室內(nèi)的各自控制系統(tǒng)網(wǎng)絡(luò)設(shè)備或SIS，CCS的遠(yuǎn)程I/O柜等設(shè)備相連接；中心控制室內(nèi)的操作站與中心控制室的儀表機柜室內(nèi)的各自二層網(wǎng)絡(luò)設(shè)備相連接；SIS或CCS的遠(yuǎn)程I/O（或控制器）與中心控制室內(nèi)的輔助操作臺，通過儀表信號電纜相連接。
在大型聯(lián)合化工廠的中心控制室建筑里，除了辦公房間外，操作大廳、消防值班室、生產(chǎn)調(diào)度室等可稱為操作人員常駐的有人值守房間。
大型聯(lián)合化工廠中，與現(xiàn)場可燃及有毒氣體探測器相連接的報警控制器安裝在現(xiàn)場儀表機柜室內(nèi)，顯示報警設(shè)備安裝在中心控制室或消防值班室內(nèi)。
保護層是通過控制、預(yù)防、減緩等手段降低風(fēng)險的措施。石油化工典型風(fēng)險降低保護層如圖1所示。
?
從圖1可以看出：DCS處于第二保護層；GDS及重要的過程報警處于第三保護層，當(dāng)GDS發(fā)出報警時，需要工藝操作人員及時采取措施，以避免惡劣事故的發(fā)生；SIS處于第四保護層，用于防止或減少危險事件的發(fā)生；火災(zāi)消防應(yīng)處于第七保護層，用于減輕和抑制危險事件的后果。
原國家安全監(jiān)管總局安監(jiān)總管三〔2014〕116號文件第一部分規(guī)定：“化工安全儀表系統(tǒng)，包括安全聯(lián)鎖系統(tǒng)、緊急停車系統(tǒng)和有毒有害、可燃?xì)怏w及火災(zāi)檢測保護系統(tǒng)等。安全儀表系統(tǒng)獨立于過程控制系統(tǒng)（例如分散控制系統(tǒng)等），生產(chǎn)正常時處于休眠或靜止?fàn)顟B(tài)，一旦生產(chǎn)裝置或設(shè)施出現(xiàn)可能導(dǎo)致安全事故的情況時，能夠瞬間準(zhǔn)確動作，使生產(chǎn)過程安全停止運行或自動導(dǎo)入預(yù)定的安全狀態(tài)，……”。根據(jù)安全儀表功能失效產(chǎn)生的后果及風(fēng)險，將安全儀表功能劃分為不同SIL等級。
該文件的第四部分規(guī)定：“嚴(yán)格按照相關(guān)標(biāo)準(zhǔn)設(shè)計和實施有毒有害和可燃?xì)怏w檢測保護系統(tǒng)，為確保其功能可靠，相關(guān)系統(tǒng)應(yīng)獨立于基本過程控制系統(tǒng)。”
3.2 SIS的作用和結(jié)構(gòu)及安全完整性等級
3.2.1 SIS的作用及結(jié)構(gòu)
SIS是用來完成一個或多個安全功能的系統(tǒng)，應(yīng)由測量儀表、邏輯控制器和最終元件組成。通常在項目設(shè)計初期要根據(jù)風(fēng)險及可操作性評估（HAZOP）確定檢測和控制回路是否需要SIS并確定所需要的SIL等級。在進行SIS工程設(shè)計時需要核算配備的測量儀表、邏輯控制器和最終元件是否符合相應(yīng)的SIL等級。
SIS的作用是主動的，不需要人為干預(yù)。當(dāng)過程變量超過聯(lián)鎖設(shè)定值時，按照預(yù)定的方式動作，使生產(chǎn)過程停止運行或進入預(yù)定的安全維持狀態(tài)。安全功能是為了達(dá)到或保持過程的安全狀態(tài)，由SIS、其他安全相關(guān)系統(tǒng)或外部風(fēng)險降低設(shè)施實現(xiàn)的功能。安全儀表功能（SIF）是為了防止、減少危險事件發(fā)生或保持過程安全狀態(tài)，用測量儀表、邏輯控制器、最終執(zhí)行元件及相關(guān)軟件等實現(xiàn)的安全保護或安全控制功能。
SIS是保障生產(chǎn)安全的重要措施，在危險事件發(fā)生之前能夠正確執(zhí)行安全功能，可避免或減少事故發(fā)生。SIS的最重要的特性是故障安全，一是使工藝過程可能發(fā)生故障時維持過程安全；二是SIS本身故障時使工藝過程保持安全。
安全完整性是在規(guī)定的條件下和規(guī)定的時間內(nèi)安全相關(guān)系統(tǒng)成功完成所要求的安全功能的概率，SIL等級是一種離散的等級，用于規(guī)定分配給E/E/PE（電氣/電子/可編程電子）安全相關(guān)系統(tǒng)的安全功能的安全完整性的要求。
風(fēng)險通常定義為一件非預(yù)期事件的出現(xiàn)概率和出現(xiàn)后果的乘積，能夠采取風(fēng)險降低的措施，要么是降低其發(fā)生的概率，要么是減輕其災(zāi)害發(fā)生的后果。SIL等級代表著SIS使過程風(fēng)險出現(xiàn)的概率降低的數(shù)量級。
GDS用于檢測環(huán)境中可燃及有毒氣體濃度，通過聲光報警提醒工藝操作人員及相關(guān)人員。GDS由可燃及有毒氣體探測器、報警控制器及聲光報警設(shè)備組成。石油化工企業(yè)可燃及有毒氣體的檢測，除了極個別的對象有特殊的聯(lián)動要求以外，絕大多數(shù)用于報警。當(dāng)出現(xiàn)報警時，需要工藝操作人員和其他有關(guān)人員確認(rèn)情況并采取相應(yīng)的措施，防止惡劣事故發(fā)生。
可燃及有毒氣體探測器工作在自然環(huán)境中，檢測的是環(huán)境中的可燃及有毒氣體的濃度，由于檢測技術(shù)、探測器制造、自然環(huán)境條件所限，因而可燃?xì)怏w探測器的誤報、漏報的情況遠(yuǎn)比溫度、壓力、流量等其他過程檢測儀表更多，即便是在按時校驗的情況下，因為雨雪、高溫、大風(fēng)、塵暴等惡劣天氣情況也會對探測器造成影響，使探測器出現(xiàn)誤報、漏報。此外，可燃及有毒氣體的泄漏大多是隨機事件，不可事前預(yù)知，探測器的分布不可能恰到好處，安裝位置也受到地理環(huán)境、設(shè)備分布等因素的影響，使檢測不準(zhǔn)確，都會使可燃及有毒氣體探測器出現(xiàn)漏報的情況。
可燃及有毒氣體泄漏的原因很多，當(dāng)發(fā)生泄漏時，制止泄漏或消除原因的方式因泄漏點和泄漏原因的不同，處理方法也不同，不可能完全按照預(yù)案處理泄漏事件，檢測報警系統(tǒng)僅僅報警，沒有執(zhí)行元件和既定的處理方式，因此GDS不是一種故障安全儀表系統(tǒng)，也不具備SIS的故障安全的特性。
綜上所述，由于GDS與SIS的用途、作用及工作原理不同，GDS不能起到SIS的防止、減少危險事件發(fā)生或保持過程安全狀態(tài)的作用，GDS也不具備SIS的特性，GDS不能使過程風(fēng)險出現(xiàn)的概率降低，同時GDS報警準(zhǔn)確度受檢測環(huán)境及探測器的分布影響較大，用SIL等級來衡量GDS是沒有意義的。因此，GDS不屬于SIS的范疇，在設(shè)置GDS時也不需要考慮SIL等級的問題。
相關(guān)文件及標(biāo)準(zhǔn)規(guī)范對GDS設(shè)置的要求
目前GDS的設(shè)置方式仍按文獻(xiàn)［7］執(zhí)行，該文獻(xiàn)中的3.0.9條規(guī)定：“GDS宜獨立設(shè)置”。3.0.9的條文說明為“獨立設(shè)置是指可燃?xì)怏w和有毒氣體檢測報警系統(tǒng)的檢測與發(fā)出報警信號的功能，不受對應(yīng)裝置生產(chǎn)控制儀表系統(tǒng)故障的影響”。即GDS的檢測與發(fā)出報警信號的功能，不受對應(yīng)裝置生產(chǎn)控制系統(tǒng)故障的影響，即認(rèn)為是GDS獨立設(shè)置。
根據(jù)工廠（裝置）的規(guī)模和特點，文獻(xiàn)［7］中第5.3.2條給出了可燃及有毒氣體報警控制器的設(shè)置方式。
1）GDS與火災(zāi)檢測報警系統(tǒng)（FAS）合并設(shè)置。目前，除了極個別的工廠采用GDS與FAS合并為火災(zāi)及可燃?xì)怏w報警系統(tǒng)（FGS）外，絕大部分的工廠還是采用GDS與FAS分立設(shè)置的方式。
GB 50116—2013《火災(zāi)自動報警設(shè)計規(guī)范》第8.1.2規(guī)定：“可燃?xì)怏w探測報警系統(tǒng)應(yīng)獨立組成，可燃?xì)怏w探測器不應(yīng)接入火災(zāi)報警控制器的探測回路；當(dāng)可燃?xì)怏w的報警信號需要接入火災(zāi)自動報警系統(tǒng)時，應(yīng)由可燃報警控制器接入”。
2）指示報警設(shè)備采用獨立的工業(yè)程序控制器、可編程控制器等。近年來，對于新建或改建的工廠或裝置，采用PLC、專用的可燃有毒氣體巡檢儀等用作GDS控制器的較多，該方式成本較低、功能有限，適合大型聯(lián)合化工廠的應(yīng)用，也滿足相關(guān)的文件及相關(guān)的標(biāo)準(zhǔn)規(guī)范要求。
3）指示報警設(shè)備采用常規(guī)的模擬儀表。雖然該設(shè)置方式滿足相關(guān)的文件及相關(guān)的標(biāo)準(zhǔn)規(guī)范要求，但不適合采用中心控制室與現(xiàn)場儀表機柜室相結(jié)合設(shè)置的大型聯(lián)合化工廠。利用常規(guī)儀表來作為GDS的顯示報警設(shè)備，就需要將其安裝在有人值守的中心控制室，而中心控制室遠(yuǎn)離生產(chǎn)裝置，受到儀表信號電纜長度的限制，無法利用儀表信號電纜將生產(chǎn)裝置現(xiàn)場的可燃及有毒氣體檢測信號傳遞到GDS的顯示報警設(shè)備，此外在中心控制室也無法安裝數(shù)量龐大的常規(guī)模擬儀表。
4）當(dāng)GDS與生產(chǎn)過程控制系統(tǒng)合并設(shè)置時，輸入/輸出卡件應(yīng)獨立設(shè)置。對于已建成投入正常生產(chǎn)的大型聯(lián)合化工廠采用這種方式較多，效果較好、較經(jīng)濟合理，當(dāng)現(xiàn)場發(fā)生可燃及有毒氣體泄漏時應(yīng)當(dāng)及時報警并通知室內(nèi)外的工藝操作人員。該設(shè)置方式雖然符合現(xiàn)有的GB 50116—2013和GB 50493—2009，但近期該設(shè)置方式是否屬于“獨立設(shè)置”、是否滿足安監(jiān)總管三〔2014〕116號文件的要求存有爭議。主要問題在于DCS控制器是否需要為GDS單獨設(shè)置，DCS的控制器發(fā)生故障時可燃及有毒氣體探測器是否還能正常報警。
在中心控制室設(shè)置獨立的過程控制系統(tǒng)的操作站，專用于顯示可燃及有毒氣體檢測的信息，該操作站設(shè)置有別于過程報警的聲音，當(dāng)出現(xiàn)可燃及有毒氣體濃度超標(biāo)、線路檢測異常、探測器故障、電源故障等時，利用該操作站能及時發(fā)出聲光報警信息，這樣可達(dá)到GDS的顯示報警設(shè)備與BPCS的監(jiān)控設(shè)備相對獨立的目的。可燃及有毒氣體檢測信號輸入過程控制系統(tǒng)的獨立卡件，在控制系統(tǒng)其他I/O卡件故障或其他現(xiàn)場儀表故障時，對可燃及有毒氣體檢測沒有影響。此外，由于大多數(shù)的可燃及有毒氣體探測器自身帶有聲光警報器，一般采用外部冗余的24 V直流電源通過帶有保險的供電端子或電源分配器分別給各可燃及有毒氣體探測器供電，并不是采用過程控制系統(tǒng)的模擬輸入卡件給可燃及有毒氣體探測器供電，當(dāng)過程控制系統(tǒng)與可燃及有毒氣體探測器相連接的卡件故障或整個過程控制系統(tǒng)故障時，雖然會導(dǎo)致GDS的顯示報警設(shè)備失去作用，在中心控制室無法看到可燃及有毒氣體探測器的報警信息，但由于采用冗余24 V直流電源分別給各可燃及有毒氣體探測器獨立供電，生產(chǎn)裝置現(xiàn)場的可燃及有毒氣體探測器也能正常顯示泄漏氣體濃度，當(dāng)可燃及有毒氣體濃度超標(biāo)時，可燃及有毒氣體探測器自身的聲光警報器仍能發(fā)出聲光報警信號。
如上所述，通過采用獨立的DCS I/O卡件并利用外部的冗余電源分別給各可燃及有毒氣體探測器供電，可達(dá)到GDS的檢測與發(fā)出報警信號的功能不受對應(yīng)裝置控制系統(tǒng)故障的影響的目的，符合GB 50493—2009，同時與安監(jiān)總管三〔2014〕116號文件的第四部分的第十一條要求也不完全矛盾，在現(xiàn)階段該GDS設(shè)置方式是可行的，但由于DCS控制器容量較大，用于報警系統(tǒng)控制器有些浪費，成本稍高。
大型聯(lián)合化工廠GDS設(shè)置建議
對于大型聯(lián)合化工廠來說，GDS的設(shè)置既要滿足可燃及有毒氣體檢測與發(fā)出的報警信號功能不受對應(yīng)裝置控制系統(tǒng)故障的影響，也需要滿足中心控制室與現(xiàn)場儀表機柜室相結(jié)合的設(shè)置特點，即GDS的控制器只能安裝在緊鄰生產(chǎn)裝置的現(xiàn)場儀表機柜室，其顯示報警設(shè)備只能安裝在中心控制室內(nèi)，為此建議如下：
1）對于新建、擴建或大規(guī)模改建的工廠或裝置。建議GDS報警控制器采用獨立DCS控制器、可編程邏輯控制器、專用可燃及有毒氣體檢測報警控制器等，為使GDS的控制器更加可靠，建議GDS報警控制器的CPU卡件、電源卡件、I/O卡件及網(wǎng)絡(luò)設(shè)備等均采用冗余配置。采用冗余24 V直流電源利用帶保險的供電端子或電源分配器分別給各可燃及有毒氣體探測器供電。將GDS報警控制器及一層網(wǎng)絡(luò)通信設(shè)備安裝在緊鄰生產(chǎn)裝置的現(xiàn)場儀表機柜室，在中心控制室機柜室內(nèi)安裝GDS的二層網(wǎng)絡(luò)設(shè)備，在中心控制室內(nèi)的生產(chǎn)裝置操作區(qū)域內(nèi)，設(shè)置有別于過程報警聲音的專用的GDS顯示報警操作站，實現(xiàn)可燃有毒氣體的濃度顯示及超限、故障等聲光報警的功能。GDS的可燃?xì)怏w二級報警信息及故障信息，利用硬接線與設(shè)置在同一現(xiàn)場儀表機柜室內(nèi)的火災(zāi)自動報警系統(tǒng)（FAS）控制器相連接，以便消防人員掌握生產(chǎn)裝置的可燃?xì)怏w泄漏信息及各種故障信息。在中心控制室內(nèi)設(shè)置1套獨立的GDS報警控制器，用于檢測中心控制室附近的可燃?xì)怏w和有毒氣體濃度，同時，利用該GDS報警控制器及網(wǎng)絡(luò)通信功能，將各生產(chǎn)裝置的可燃?xì)怏w和有毒氣體超限的區(qū)域報警信號分別送到各生產(chǎn)裝置操作區(qū)域的輔助操作臺，提醒工藝操作人員注意，以便及時采取應(yīng)對的措施。采用獨立的DCS控制器和操作站作為GDS的控制器，充分利用DCS的顯示、報警和記錄等功能，不僅可以減少儀表人員的維護工作量，而且還能夠當(dāng)出現(xiàn)可燃?xì)怏w和有毒氣體泄漏超限報警時，及時提醒工藝操作人員，是一種比較好的設(shè)置方式。GDS的網(wǎng)絡(luò)架構(gòu)如圖2所示。
?
2）對于已投入正常生產(chǎn)運行的工廠或裝置，目前，大多數(shù)的可燃及有毒氣體的信號連接到過程控制系統(tǒng)的獨立卡件。建議在工藝生產(chǎn)裝置沒有進行較大規(guī)模的改建前，不必急于將這些可燃及有毒氣體檢測信號從過程控制系統(tǒng)中剝離出來，否則需要設(shè)置新的GDS并對現(xiàn)有的可燃及有毒氣體檢測的儀表信號連接進行改動，除了需要增加投資且工作量較大外，還需要對現(xiàn)有的過程控制系統(tǒng)的組態(tài)進行改動，會給過程控制系統(tǒng)正常運行帶來一定的影響。據(jù)此，可以先對GDS的顯示報警設(shè)備及可燃及有毒氣體探測器的供電方式等進行局部改造，采用冗余24 V直流電源及單獨配電系統(tǒng)為現(xiàn)場可燃及有毒氣體探測器供電，達(dá)到GDS與過程控制系統(tǒng)相對獨立的目的。同時在中心控制室，除保持原有的操作站既用于生產(chǎn)過程監(jiān)控又用于可燃及有毒氣體報警外，設(shè)置獨立的一臺操作站用于GDS的顯示報警設(shè)備，設(shè)置有別于過程報警的聲音，專用于顯示可燃及有毒氣體濃度信息，并可進行超限報警及各種故障報警等。待生產(chǎn)裝置進行較大規(guī)模改擴建時，增設(shè)獨立的GDS。
3）建議在壓縮機廠房、泵房、分析小屋、物料筒倉等相對封閉且有可能出現(xiàn)可燃有毒氣體泄漏的空間，除按相關(guān)的標(biāo)準(zhǔn)規(guī)范設(shè)置可燃及有毒氣體探測器之外，在這些空間的出口或入口等醒目的位置設(shè)置帶有眩光的聲光警報器，聲光警報器的驅(qū)動信號來自GDS系統(tǒng)的控制器。
4）建議對可燃及有毒氣體探測器在生產(chǎn)裝置中的分布給予足夠的重視。若探測器的分布不當(dāng)，無論可燃及有毒氣體探測器多么可靠，也不論GDS是否獨立于其他儀表控制系統(tǒng)，當(dāng)生產(chǎn)裝置現(xiàn)場出現(xiàn)可燃及有毒氣體泄漏時也會使GDS漏報，起不到應(yīng)有的作用。建議對可燃及有毒氣體探測器在生產(chǎn)裝置中的安裝位置及分布數(shù)量進行評估。可燃及有毒氣體探測器的數(shù)量并不是越多越好，應(yīng)對檢測區(qū)域是否為密閉空間、半密閉空間、敞開空間等空間形態(tài)，檢測氣體的密度，檢測區(qū)域的主導(dǎo)風(fēng)向，最大及最小風(fēng)速，氣體探測器與釋放源間的距離，探測器與釋放源間是否有遮擋物等因素綜合考慮，使可燃及有毒氣體探測器分布合理，盡最大努力避免使GDS出現(xiàn)漏報、誤報等情況。
