1. 概述
紧急停车系统 ESD（Emergency shutdown）是指石油化工生产装置在开车、停车和生产过程中出现可能危及生产安全，造成重大设备事故，重大经济损失和人身安全事故时启动的自动安全保护联锁系统。它将采取措施将继续恶化的状态进行及时响应和保护，使生产装置进入一个预定义的安全停车工况，从而使危险降低到可以接受的最低程度。
随着计算机技术的发展，ESD 系统的设备配置也在不断的更新换代，由低级到高级，由气动逻辑到继电器逻辑，由简单的继电器系统到以PLC（programmable logic controller）为主的ESD 系统。陕西延长石油（集团）有限责任公司延安炼油厂（以下简称延炼）10 万吨/年聚丙烯装置由中石化工程建设公司（SEI）设计建设，于2005 年5 月30 日试车成功，此项目是延炼从单一燃料型炼油企业向高附加值的燃料化工型过渡的标志性工程，装置采用国产第二代双环管液相本体聚合工艺。该装置集散控制系统DCS（Distributed Control System）选用日本横河公司的CENTUM—CS3000 系统与之配套的ESD 系统选用了西门子S7-400H 双冗余系统。当生产过程中出现意外波动或紧急情况需要采取某些动作或停车时，该控制系统能准确监测并及时的做出响应，使聚丙烯生产装置停车在安全水平线上，确保生产装置和人身的安全。
2. 系统的功能及特点
在化工生产装置中，处理突发性事故的紧急联锁系统是由ESD 紧急停车系统来承担的，然而，ESD 紧急停车系统有多种形式。从ESD 系统与DCS 系统的构成形式来分可分为：（A）DCS 与ESD 系统一体化；（B）DCS 与ESD 系统分设控制站；（C）DCS 与ESD 系统独立设置。上面谈到DCS 与ESD 系统有三种基本构成形式。现从可靠性和安全性角度对其进行分析比较，三种构成形式的计算数据如表1 所示。
表1 三种基本形式数据一览表
形式 A 型 B 型 C 型
可靠度R（t） 0.6185 0.710 0.9523
平均无故障间隔时间MTBF（h） 1.66×104 2.3×105 1.6×105
B、C 型MTBF 值与A 之比 1 1.44 10
可靠度R（t）反映出系统在一个规定的时间周期内执行其指定功能的概率。可由数学式R（t）=e −λt 表示，其中λ 为每个时间周期内的平均故障概率。λ 值越小，R（t）值越大，其可靠性越高。而平均无故障间隔时间MTBF= ∫∞0( ) t R t d =-1/λ 它反映了两个故障之间的平均时间周期，其值越大，则安全性越高。从表1 不难看出C 型结构由于DCS 控制系统与ESD 系统独立设置，紧急联锁信号由ESD 联锁控制站直接发出，从而使系统的可靠性成倍增长，减少了紧急情况下操作与判断的失误，而且其系统的危险性也大大分散了，这对于安全性，可靠性要求相当高的化工生产装置来说是较为理想的控制、联锁组成形式。
延炼聚丙烯生产装置中控制系统分为两部分：用于工艺过程正常生产的操作与监控系统DCS；非正常情况下采用应急步骤与措施的工艺联锁系统ESD。这两部分采用C 型结构，也就是说DCS 系统于ESD 系统是相互独立设置。在生产过程中，所监测的过程变量超过其安全设定值时，ESD 系统即取代过程控制系统进行操作，按预定的安全逻辑顺序动作，将过程设置成安全的非正常操做状态，为了使ESD 系统更加可靠稳定的发挥其应有的作用，该系统采用了可编程序控制器PLC，在硬件上全部采用双重化冗余结构，包括冗余的CPU和双重化的I/O 卡，而且冗余的卡件安装在不同的机架上，确保输入/出故障不会导致装置的停车，控制系统S7-400H 采用“热备用”模式的主动冗余原理，并且每块中央控制器都有一块容错功能的CPU 414-4H，一块PS 407 电源模块。当中央控制单元发生故障时，再将控制权交给备用控制单元。并且在控制权的传递过程中，两个CPU 是同步的，这样使系统可不间断的连续工作，提高了系统的安全性。
3. 系统的实施情况
3.1 ESD 的硬件配置
ESD 中央控制站硬件如表二所示。
表二 硬件配置一览表
名称 订货号 数量 备注
电源模块 6ES7 407-0KA01-0AA0 2 PS 407 10A
CPU 模块 6ES7 414-4HJ00-0AB0 2
RAM 6ES7 952-1AL00-0AA0 2 2M
同步模块 6ES7 960-1AA00-0XA0 4
安装机架 6ES7 400-2JA00-0AA0 1 UR2-H
IM153-2 接口模块 6ES7 153-2AA02-0XB0 12
I/O 卡 SM321 6ES7 321-1BH02-0AA0 20 普通
I/O 卡 SM322 6ES7 322-1BH01-0AA0 20 普通
在上位机中，工程师站ES 与操作员站OS 共用一台DELL 公司的计算机。具体配置P4（2.5） GHz、256 M 内存、40 G 硬盘、CRT 显示器。在控制柜中硬件配置网络示意图如图1 所示，其中站1 与站2； 站3 与站； 站5 与站6 分别为双重化冗余结构在上位机旁边设ESD 报警操作盘。ESD 的输入输出状态在通讯给DCS 时也送到ESD报警操作盘，操作员可以更直观的监视生产安全状况，必要时可以通过ESD 报警操作盘上的控制开关发出紧急停车命令。
3.2 ESD 的软件配置
操作站采用英文版Windows NT 4.0 作为操作系统，另加载了SIEMENS 公司的上位监控组态软件SIMATIC WINCC 5.0，逻辑编程组态软件用SIEMENS 公司的STEP7 V5.1，SIMATIC S7-400H 组态冗余软件包，SCL 语言软件包和SOE 事件记录功能软件。SIMATIC WINCC 是一种可以简单快捷的创建人机界面HMI（HUMAN MACHINE
INTERFACE）的应用程序，它具有控制生产过程的强大功能，是基于个人计算机的数据采集与监视控制系统SCADA，SCADA 系统是以计算机为基础的生产过程控制与调度自动化系。它可以对现场运行设备进行监视和控制以实现数据采集，设备控制、测量、参数调节、以及各类信号报警等各项功能，WINCC 具有广泛的应用和较强的兼容性，它能提供成熟可靠的操作和高效的组态功能，同时具有灵活的伸缩能力。STEP 7 是一种用于对S7 系列PLC 的编程组态工具软件，它具有硬件配置和参数设置、通信组态、编程设置、启动和维护、文件建档、运行和诊断功能。其先进的指令系统包括继电器触点指令，计数器指令，算术和逻辑运算指令，数据转换和传送指令，能满足各种不同的复杂控制要求。S7-400H 系列还提供了一些与功能冗余有关的组织块，例如：OB 70（I/O
冗余故障）OB 72（CPU 冗余故障）等。
3.3 人机界面
延炼10 万吨/年聚丙烯聚合装置ESD 的系统的人机界面是由一套专门的上位软件和仪表盘组成，上位软件安装在操作站上，操作站即可用于工程的组态和开发工作，也可用于操作员对生产的过程监测；上位机完成组态工作在经过调试以后，直接下装到控制器PLC 中，上位机与两对冗余的控制器之间采用MPI（Multi Point Interface）多点接口进行通讯。助仪表盘主要是一些信号的灯光报警和强制开关按钮，用于在非正常生产情况下紧急手动停车。我厂ESD 系统与DCS 系统是功能上相互独立的两个系统，是联锁保护与过程控制之间的关系，非正常操作情况下，在生产装置各重要工艺点安装的检测仪表将报警信号送至中央控制室，在DCS 系统上显示、报警，同时ESD 系统将监测到的事故信息以显著的声光形式报警，在紧急事故状态下ESD 系统自动启动，并独立发出控制信号，控制生产装置中专门设置的自动保护阀（紧急关断阀或紧急放空阀），对整个装置实联锁保护或紧急停车。ESD 系统与DCS 系统的通讯是建立在双方均支持的Modbus 协议上，通过RS-232 接口连接，可以在DCS 上方便的对ESD 进行监视，DCS 的操作站只能用于发送复位信号到PLC，不许进行其它有关停车的动作，操作站的显示（图象显示、报警显示等）可显示现场设备的状态信号。
4. 自保联锁程序
延炼聚丙烯 ESD 联锁程序共有0 单元、1 单元、2 单元、3 单元、5 单元、6 单元、7 单元、七大部分，共63 个联锁程序，根据工艺的联锁要求，ESD 以梯形图形式编制，调试完毕后下装到控制器PLC 中。
5. 系统的辅助功能
5.1 旁路开关
为了方便维护系统调试和工艺操作特别是开停车的需要，对部分关键的信号设置了旁路开关，并且旁路开关占一个输入点，在逻辑程序中与对应的DI 点相“或”实现。这样在旁路或取消旁路时，可以清楚的观察到DI 点和旁路开关的状态，避免在执行有关旁路的操作时发生误操作，造成联锁误动作而导致停车，在系统组态时，将DI 设置成安全相关类型的点，旁路开关则设置成非安全相关类型。
5.2 SOE 事件顺序记录
ESD 通过SOE 执行事件记录功能，能完整记录本身及生产过程中出现的各种事件，SOE的事件分辨率可以精确到1ms，与DCS 的1s 的事件分辨率相比，SOE 能更好的为操作员提供事件的前后和状态的变化，有利于事故分析和解决问题。
6. ESD 系统的投用结果
ESD 系统在投用两年以来，运行表明，西门子S7-400H 双冗余系统安全达到了系统控制要求，从系统的可靠性、安全性、可维护性以及操作的方便快捷性等方面都满足了生产的需要，同时它具有较低的扫描周期，进而有精确的SOE 功能，特别有利于事故分析。
7. 结束语
聚丙烯的生产具有高温、高压、易燃、易爆等特点，装置生产条件苛刻，对安全要求严格。ESD 系统在该装置中的应用确保了生产装置的安全和可靠运行，使事故发生的几率降低到最低限度，同时也是聚丙烯生产装置实现安、稳、长、满、优运行的可靠保障。
1. 概述
紧急停车系统 ESD（Emergency shutdown）是指石油化工生产装置在开车、停车和生产过程中出现可能危及生产安全，造成重大设备事故，重大经济损失和人身安全事故时启动的自动安全保护联锁系统。它将采取措施将继续恶化的状态进行及时响应和保护，使生产装置进入一个预定义的安全停车工况，从而使危险降低到可以接受的最低程度。
随着计算机技术的发展，ESD 系统的设备配置也在不断的更新换代，由低级到高级，由气动逻辑到继电器逻辑，由简单的继电器系统到以PLC（programmable logic controller）为主的ESD 系统。陕西延长石油（集团）有限责任公司延安炼油厂（以下简称延炼）10 万吨/年聚丙烯装置由中石化工程建设公司（SEI）设计建设，于2005 年5 月30 日试车成功，此项目是延炼从单一燃料型炼油企业向高附加值的燃料化工型过渡的标志性工程，装置采用国产第二代双环管液相本体聚合工艺。该装置集散控制系统DCS（Distributed Control System）选用日本横河公司的CENTUM—CS3000 系统与之配套的ESD 系统选用了西门子S7-400H 双冗余系统。当生产过程中出现意外波动或紧急情况需要采取某些动作或停车时，该控制系统能准确监测并及时的做出响应，使聚丙烯生产装置停车在安全水平线上，确保生产装置和人身的安全。
2. 系统的功能及特点
在化工生产装置中，处理突发性事故的紧急联锁系统是由ESD 紧急停车系统来承担的，然而，ESD 紧急停车系统有多种形式。从ESD 系统与DCS 系统的构成形式来分可分为：（A）DCS 与ESD 系统一体化；（B）DCS 与ESD 系统分设控制站；（C）DCS 与ESD 系统独立设置。上面谈到DCS 与ESD 系统有三种基本构成形式。现从可靠性和安全性角度对其进行分析比较，三种构成形式的计算数据如表1 所示。
表1 三种基本形式数据一览表
形式 A 型 B 型 C 型
可靠度R（t） 0.6185 0.710 0.9523
平均无故障间隔时间MTBF（h） 1.66×104 2.3×105 1.6×105
B、C 型MTBF 值与A 之比 1 1.44 10
可靠度R（t）反映出系统在一个规定的时间周期内执行其指定功能的概率。可由数学式R（t）=e −λt 表示，其中λ 为每个时间周期内的平均故障概率。λ 值越小，R（t）值越大，其可靠性越高。而平均无故障间隔时间MTBF= ∫∞0( ) t R t d =-1/λ 它反映了两个故障之间的平均时间周期，其值越大，则安全性越高。从表1 不难看出C 型结构由于DCS 控制系统与ESD 系统独立设置，紧急联锁信号由ESD 联锁控制站直接发出，从而使系统的可靠性成倍增长，减少了紧急情况下操作与判断的失误，而且其系统的危险性也大大分散了，这对于安全性，可靠性要求相当高的化工生产装置来说是较为理想的控制、联锁组成形式。
延炼聚丙烯生产装置中控制系统分为两部分：用于工艺过程正常生产的操作与监控系统DCS；非正常情况下采用应急步骤与措施的工艺联锁系统ESD。这两部分采用C 型结构，也就是说DCS 系统于ESD 系统是相互独立设置。在生产过程中，所监测的过程变量超过其安全设定值时，ESD 系统即取代过程控制系统进行操作，按预定的安全逻辑顺序动作，将过程设置成安全的非正常操做状态，为了使ESD 系统更加可靠稳定的发挥其应有的作用，该系统采用了可编程序控制器PLC，在硬件上全部采用双重化冗余结构，包括冗余的CPU和双重化的I/O 卡，而且冗余的卡件安装在不同的机架上，确保输入/出故障不会导致装置的停车，控制系统S7-400H 采用“热备用”模式的主动冗余原理，并且每块中央控制器都有一块容错功能的CPU 414-4H，一块PS 407 电源模块。当中央控制单元发生故障时，再将控制权交给备用控制单元。并且在控制权的传递过程中，两个CPU 是同步的，这样使系统可不间断的连续工作，提高了系统的安全性。
3. 系统的实施情况
3.1 ESD 的硬件配置
ESD 中央控制站硬件如表二所示。
表二 硬件配置一览表
名称 订货号 数量 备注
电源模块 6ES7 407-0KA01-0AA0 2 PS 407 10A
CPU 模块 6ES7 414-4HJ00-0AB0 2
RAM 6ES7 952-1AL00-0AA0 2 2M
同步模块 6ES7 960-1AA00-0XA0 4
安装机架 6ES7 400-2JA00-0AA0 1 UR2-H
IM153-2 接口模块 6ES7 153-2AA02-0XB0 12
I/O 卡 SM321 6ES7 321-1BH02-0AA0 20 普通
I/O 卡 SM322 6ES7 322-1BH01-0AA0 20 普通
在上位机中，工程师站ES 与操作员站OS 共用一台DELL 公司的计算机。具体配置P4（2.5） GHz、256 M 内存、40 G 硬盘、CRT 显示器。在控制柜中硬件配置网络示意图如图1 所示，其中站1 与站2； 站3 与站； 站5 与站6 分别为双重化冗余结构在上位机旁边设ESD 报警操作盘。ESD 的输入输出状态在通讯给DCS 时也送到ESD报警操作盘，操作员可以更直观的监视生产安全状况，必要时可以通过ESD 报警操作盘上的控制开关发出紧急停车命令。
3.2 ESD 的软件配置
操作站采用英文版Windows NT 4.0 作为操作系统，另加载了SIEMENS 公司的上位监控组态软件SIMATIC WINCC 5.0，逻辑编程组态软件用SIEMENS 公司的STEP7 V5.1，SIMATIC S7-400H 组态冗余软件包，SCL 语言软件包和SOE 事件记录功能软件。SIMATIC WINCC 是一种可以简单快捷的创建人机界面HMI（HUMAN MACHINE
INTERFACE）的应用程序，它具有控制生产过程的强大功能，是基于个人计算机的数据采集与监视控制系统SCADA，SCADA 系统是以计算机为基础的生产过程控制与调度自动化系。它可以对现场运行设备进行监视和控制以实现数据采集，设备控制、测量、参数调节、以及各类信号报警等各项功能，WINCC 具有广泛的应用和较强的兼容性，它能提供成熟可靠的操作和高效的组态功能，同时具有灵活的伸缩能力。STEP 7 是一种用于对S7 系列PLC 的编程组态工具软件，它具有硬件配置和参数设置、通信组态、编程设置、启动和维护、文件建档、运行和诊断功能。其先进的指令系统包括继电器触点指令，计数器指令，算术和逻辑运算指令，数据转换和传送指令，能满足各种不同的复杂控制要求。S7-400H 系列还提供了一些与功能冗余有关的组织块，例如：OB 70（I/O
冗余故障）OB 72（CPU 冗余故障）等。
3.3 人机界面
延炼10 万吨/年聚丙烯聚合装置ESD 的系统的人机界面是由一套专门的上位软件和仪表盘组成，上位软件安装在操作站上，操作站即可用于工程的组态和开发工作，也可用于操作员对生产的过程监测；上位机完成组态工作在经过调试以后，直接下装到控制器PLC 中，上位机与两对冗余的控制器之间采用MPI（Multi Point Interface）多点接口进行通讯。助仪表盘主要是一些信号的灯光报警和强制开关按钮，用于在非正常生产情况下紧急手动停车。我厂ESD 系统与DCS 系统是功能上相互独立的两个系统，是联锁保护与过程控制之间的关系，非正常操作情况下，在生产装置各重要工艺点安装的检测仪表将报警信号送至中央控制室，在DCS 系统上显示、报警，同时ESD 系统将监测到的事故信息以显著的声光形式报警，在紧急事故状态下ESD 系统自动启动，并独立发出控制信号，控制生产装置中专门设置的自动保护阀（紧急关断阀或紧急放空阀），对整个装置实联锁保护或紧急停车。ESD 系统与DCS 系统的通讯是建立在双方均支持的Modbus 协议上，通过RS-232 接口连接，可以在DCS 上方便的对ESD 进行监视，DCS 的操作站只能用于发送复位信号到PLC，不许进行其它有关停车的动作，操作站的显示（图象显示、报警显示等）可显示现场设备的状态信号。
4. 自保联锁程序
延炼聚丙烯 ESD 联锁程序共有0 单元、1 单元、2 单元、3 单元、5 单元、6 单元、7 单元、七大部分，共63 个联锁程序，根据工艺的联锁要求，ESD 以梯形图形式编制，调试完毕后下装到控制器PLC 中。
5. 系统的辅助功能
5.1 旁路开关
为了方便维护系统调试和工艺操作特别是开停车的需要，对部分关键的信号设置了旁路开关，并且旁路开关占一个输入点，在逻辑程序中与对应的DI 点相“或”实现。这样在旁路或取消旁路时，可以清楚的观察到DI 点和旁路开关的状态，避免在执行有关旁路的操作时发生误操作，造成联锁误动作而导致停车，在系统组态时，将DI 设置成安全相关类型的点，旁路开关则设置成非安全相关类型。
5.2 SOE 事件顺序记录
ESD 通过SOE 执行事件记录功能，能完整记录本身及生产过程中出现的各种事件，SOE的事件分辨率可以精确到1ms，与DCS 的1s 的事件分辨率相比，SOE 能更好的为操作员提供事件的前后和状态的变化，有利于事故分析和解决问题。
6. ESD 系统的投用结果
ESD 系统在投用两年以来，运行表明，西门子S7-400H 双冗余系统安全达到了系统控制要求，从系统的可靠性、安全性、可维护性以及操作的方便快捷性等方面都满足了生产的需要，同时它具有较低的扫描周期，进而有精确的SOE 功能，特别有利于事故分析。
7. 结束语
聚丙烯的生产具有高温、高压、易燃、易爆等特点，装置生产条件苛刻，对安全要求严格。ESD 系统在该装置中的应用确保了生产装置的安全和可靠运行，使事故发生的几率降低到最低限度，同时也是聚丙烯生产装置实现安、稳、长、满、优运行的可靠保障。