安全系统对于石油及天然气产业的重要性

    基于实务及财务理由，石油及天然气设施需部署各种不同需要连续运行的流程。因此，在主要控制系统故障时，泵浦、压缩机、马达及仪器等重要装置能否维持运行即相当重要。

　　在大部分的生产作业中，过去主要是分散式控制系统(DCS)，但现已日渐转型为以可程序自动化控制器(PAC)为基础系统的基本制程控制系统(BPCS)，会持续监控包括温度、流量、压力、重量及粘性等流程及控制项参数。BPCS能将程序变量维持在安全的限度内，因此能协助提供一定层级的保护(例如控制系统可侦测流量或压力的变化并做出回应)。

　　但在BPCS失去控制或意外故障时，有许多程序可能引发危险情况。此即安全仪表控制系统(SIS)派上用场的时机。SIS的目标是在控制系统故障时维持设施的安全性。这也说明了为何石油及天然气公司审慎挑选一套安全系统极其重要。在决策过程中，企业必须考量风险因素，并且评估设计方法以及各种软硬件问题。

　　了解风险

　　能否慎选正确的技术需要深度的分析。由于每个专案皆不同，因此安全系统需求也不一样。分析程序包含一系列的详细步骤，包括应用程序的安全性检讨、执行其它安全阶层与系统化分析，以及详细的说明文件和流程。

　　这些步骤记载于各种不同的法规、标准(例如IEC61511)、指导方针及建议实务方式中。其目的为留下明文记载及可供稽核的记录，并确保不致于忽略或遗漏任何内容。

　　风险评估可将每种安全性仪器功能所需要的效能，量化为4种可能的安全完整性等级(SIL)的其中一种。SIL代表安全性仪器功将可能意外事件结果的风险，控管达到可容忍等级所需要的风险降低量或效能。例如SIL1等级的系统能提供0.1至0.01的要求失效概率(PFD—危险失效)，而SIL4系统则提供0.0001至0.00001的PFD。

　　石油及天然气公司有十数家制造商可供选择，还可以搭配五种基本组态设定(1oo1D、1oo2、1oo2D、三重及四重)。如下文所述，在决定哪里种系统最适合某项应用之前，应考量一些重要的问题。

　　有3种类型的安全系统设计，可让使用者共享系统之间的信息—包括接口式、混合式及集成式。某些应用的最适合选项，将会依诸如规模、风险等级、地点、人员的专业程度、支持及成本的可用性等因素而异。

　　在接口式的组态中，个别的BPCS和SIS系统会使用固线讯号、业界标准的通讯协定或相同的专属高速联机做为控制系统(通常使用闸道的形式)，以进行彼此之间的通讯。基于某些理由，有些人偏好将安全性及标准控制功能分散及隔离在不同的程序应用程序中。例如使用不同的硬件和软件，可能代表著若发生任何单一问题时，较不容易对两套系统造成不利影响。此外，实体的隔离也可以防止PAC或BPCS的变更，避免造成相关SIS的任何变更或毁损。

　　这种接口式方法的主要优点，在于使用者可选择每种个别系统中的较优者，以运用在任何特定的应用中。这种类型的设计也有其缺点，象是需要承包商、集成商及一般使用者学习两种不同的系统—包括硬件和软件，因此通常会带来较高的训练及备用零件成本。

　　共享或混合式方法是由一家厂商提供两种不同、而设计上相似(但不可替换)的系统。这种方法的优点是比接口式系统的成本低、可以使用共同的元件及容易进行系统之间的交流。缺点是会增加发生同种原因问题的可能性。此外，虽然程序设计环境可能相同，但实际的硬件模块通常有所差异，因此每种系统都需要自己的备用零件。

　　而第三种方法—集成式安全性，则可藉由单一控制平台同时达成两种功能。集成式安全系统现今愈来愈受欢迎。虽然在成本上可能高出一般用途的控制系统，但通常远比个别系统的成本来得便宜。这种方法的优点是只需要学习一套系统、具备程序设计简便性、共享元件及集成便利性，因此能降低成本。

　　同时，集成式安全系统在机具控制应用中，也愈来愈常见。不过在这些系统更广泛应用于程序安全性之前，还需要提供更多程序专属的硬件元件。          

　　硬件考量因素

　　为石油及天然气系统挑选硬件时，企业必须将诸如容错、系统规模及事件顺序等因素纳入考量。石油及天然气产业中大部分的使用者皆指定经SIL3认证的三重化系统。

　　三重化系统能提供最高的容错等级，并且是以在备援设计中执行3个平行系统的方式所设计。3套系统皆会处理输入信息，并以票选方式影响结果—亦即若是2/3的票选结果，就必须进行变更或停止某个程序。备援能力需求所需具备的不只是逻辑运算器，也包括构成SIS的元件，象是输入装置(传感器、交换器及仪器)及输出装置(泵浦、马达、阀门及其它致动器)。安全系统的实体大小对于空间有限的应用，例如离岸平台及卸油船等也非常重要。一般而言，系统拥有越多的备援，系统的大小就会越大。例如，大部分的双重备援系统需要相同的备援机箱，即使机箱中只有少数模块亦同。

　　并非所有三重化系统的规模皆相同。有些组态设定会为系统中的每个模块提供一个备用插槽，以便让使用者可以在在线快速更换使用中的模块，而不会影响程序。其它的系统则仅以较少的空插槽用于更换系统中任何I/O模块，因此能提供较为精巧的配置。

　　发生某些造成程序关闭的情况时，首先要知道发生什么事，以及其发生顺序。为提供此资料，大部分的系统皆提供某种形式的事件顺序(SOE)记录。

　　某些系统能以真实的一毫秒解析，在I/O模块为事件加注时间卷标。其它系统则可能在主处理器为事件加注时间卷标，因此只具有处理器扫描时间的解析。企业必须检查硬件功能，确保扫描时间符合应用程序的速度需求。

　　重要软件功能

　　在软件方面，必须考虑的是采用能简化控制系统、人机接口(HMI)和协力厂商设备的程序设计及联机作业的程序设计语言。IEC61131-3标准定义5种控制系统程序设计语言—包括阶梯逻辑、功能组块、结构化文字、指示清单及序列功能图表。不同的语言适用于不同工作。

　　现今大部分的系统皆提供以Windows为基础的开发站，以及至少一种的IEC61131-3程序设计语言。但这不代表所有系统皆能提供相同的组态设定及程序设计便利性，或是相同的设计生产力。测试软件及逐步审查基本组态设定工作相当重要。

　　此外，了解您的控制系统、HMI及其它协力厂商设备的联机选项也非常重要。必须询问的问题包括：您的控制系统是否与以太网络、序列、OPC或Modbus网络联机兼容？需要多少联机，以及系统能提供什么支持？是否可提供备援通讯？是否需要个别的闸道？安全系统是否拥有对控制系统的直接高速联机？

　　达成最佳的平衡

　　经过智能设计及适当执行的安全性控制系统，能为公司创造重大的商业价值。谨记并非所有安全系统皆是以相同方式建立，且每个专案都有不同的效能、风险及成本目标。若想要从各种技术选项取得适当平衡，就必须仔细考量每种选项的特定功能、限制和优点。