【正文】 99） 冗余和容錯(cuò) ? 容錯(cuò)系統(tǒng)（ Fault Tolerant System）：具有容錯(cuò)結(jié)構(gòu)的硬件與軟件系統(tǒng)?，F(xiàn)以輸出電路為例予以說明。表 13可以看出 ， 若某工藝過程的所需 SIF經(jīng)評(píng)定后為 SIL 2，則配置達(dá)到 AK4的 SIS即可 ， 其響應(yīng)失效率 （ PFD） 為百分之一至千分之一之間 。( BB 2023年 4月 1日星期六 2023/4/12023/4/12023/4/1 ? 1楚塞三湘接，荊門九派通。 2023/4/12023/4/1April 1, 2023 ? 1一個(gè)人即使已登上頂峰，也仍要自強(qiáng)不息。 2023/4/12023/4/12023/4/14/1/2023 2:49:00 PM ? 1成功就是日復(fù)一日那一點(diǎn)點(diǎn)小小努力的積累。A = 0 A + A = 1 0－ 1律 AB = B 普通 PLC和安全 PLC的區(qū)別 以上僅是 DO卡上的差別。 表決方法 隱故障概率 （拒動(dòng)） 顯故障概率 （誤動(dòng)） 允許 不允許 安全性 可用性 一選一 1oo1 （短路的概 率） （開路的概 率） 存在隱故障 和顯故障 差 差 二選一 1oo2 （兩個(gè)均短 路的概率） （只要有一 個(gè)開路的概 率） 其中之一存 在隱故障 （仍可安全 停車） 其中之一存 在顯故障 （將誤停車） 最好 最差 二選二 2oo2 （只要有一 個(gè)短路的概 率） （兩個(gè)均開 路的概率） 其中之一存 在顯故障 （不會(huì)誤停 車） 其中之一存 在隱故障 （該停拒停） 最差 最好 三選二 2oo3 （三個(gè)中兩 個(gè)均短路的 概率） （三個(gè)中兩 個(gè)均開路的 概率） 其中之一存 在隱故障或 顯故障 其中兩個(gè)存 在隱故障或 顯故障 較好 較好 表 2 冗余邏輯的表決方法及其與安全性、可用性的關(guān)系 注： 此表中故障概率數(shù)據(jù)摘自西門子公司資料 冗余表決方法及其安全性、可用性的關(guān)系 以上可見： ① 隱故障（危險(xiǎn)故障）使 SIS該動(dòng)而拒動(dòng)，隱故障概率越高，安全性越差。 （ SHB – Z06 – 1999）。 ? SIS安全功能實(shí)際上講的是讓 SIS執(zhí)行什么樣的安全任務(wù)，如何保護(hù)受控設(shè)備。誤動(dòng)可能會(huì)以許多不同方式發(fā)生。而 SIS系統(tǒng)是被動(dòng)的、休眠的 。 ? FSC（ Fail safe control），由荷蘭 PF（ PepperFuchs）公司開發(fā)， 1994年被 Honeywell公司收購。 這就是說 ， 從安全的角度出發(fā) ， 石油和化工生產(chǎn)過程自身存在著固有的風(fēng)險(xiǎn) 。 IEC61511又進(jìn)一步指出， SIS可以包括，也可以不包括軟件。 2. Z1常閉接點(diǎn)打開， S線圈斷電。 ⑤ 美國化學(xué)工程學(xué)會(huì)制定的 AICHE（ ccps） 1993，《 化學(xué)過程的安全自動(dòng)化導(dǎo)則 》 。 400F和 400FH分別為 1個(gè) CPU和 2個(gè) CPU運(yùn)行 failsafe（ F）用戶程序，均取得 TUV認(rèn)證，安全等級(jí)為 AK1~AK6（ SIL1~SIL3）； SIS的相關(guān)標(biāo)準(zhǔn)及認(rèn)證機(jī)構(gòu) ? Regent Trusted，美國 ICS利用宇航技術(shù)開發(fā)的安全系統(tǒng)。 故障安全原則 ③ 送往電氣配電室用以開 /停電機(jī)的接點(diǎn)用中間繼電器隔離，其勵(lì)磁電路應(yīng)為故障安全型。 SIS的功能安全 安全儀表系統(tǒng)必須在工業(yè)系統(tǒng)出現(xiàn)危險(xiǎn)情況時(shí)正確執(zhí)行其對(duì)應(yīng)的安全功能，安全儀表系統(tǒng)的這種特性被稱為功能安全。 ? 安全完整性等級(jí)可分為 4個(gè)等級(jí)， SIL4是安全完整性最高的等級(jí)（平均概率最高）， SIL1是最低等級(jí)； ? 安全完整性等級(jí)越高，應(yīng)執(zhí)行所要求的安全功能的概率也越高； ? 根據(jù)安全相關(guān)系統(tǒng)使用方式，要求發(fā)生的頻率可分為低要求操作模式（ =1次 /年）和高要求或連續(xù)操作模式（ 1次 /年）。 圖 8 CPU冗余（雙機(jī)熱備） CPU 1 CPU 2 開關(guān) 輸入 /輸出 現(xiàn)場設(shè)備 圖 9 三重信號(hào)冗余容錯(cuò)系統(tǒng) 看門狗輸出輸出端子輸入端子輸入輸出輸入看門狗看門狗輸出輸入 2 3 表決器圖3 三重位號(hào)冗余容錯(cuò)系統(tǒng)圖 10 三重模塊冗余容錯(cuò)系統(tǒng) 輸入 輸入 輸入 CPU C CPU B 輸出 輸出 2oo3 表決器 輸出 CPU A 輸入 端子 輸出 端子 怎樣通過冗余來改善系統(tǒng)的整體 SIL水平 ? 當(dāng)一個(gè) SIS系統(tǒng)的安全完整性等級(jí)要求為 SIL3，而實(shí)際配置為傳感器為 103(SIL 2)，邏輯解算器為 104(SIL3)（包括 I/O接口），終端執(zhí)行器為 103（ SIL2） ,所以整個(gè)系統(tǒng)為 SIL2不滿足要求。可見，這種普通 PLC的 DO卡輸出電路的安全性和可用性都是不高的。下面介紹的風(fēng)險(xiǎn)矩陣 （ RISK MATRIX） 評(píng)估方法可供參考 。C) = ( A+B ) 2023/4/12023/4/12023/4/1Saturday, April 1, 2023 ? 1乍見翻疑夢，相悲各問年。 2023/4/12023/4/12023/4/14/1/2023 2:49:00 PM ? 1越是沒有本領(lǐng)的就越加自命不凡。 2023/4/12023/4/12023/4/1Saturday, April 1, 2023 ? 1知人者智，自知者明。 2023年 4月 1日星期六 2023/4/12023/4/12023/4/1 ? 1比不了得就不比，得不到的就不要。A 以此確定工藝過程度安全完整性等級(jí) 。 ? 這里，中央處理器不僅向串聯(lián)的場效應(yīng)管（ FET）發(fā)出控制信號(hào)，而且還接受來自場效應(yīng)管的狀態(tài)反饋信號(hào)，以便對(duì)其輸出進(jìn)行全面測試。 怎樣通過冗余來改善系統(tǒng)的整體 SIL水平 ? 這個(gè)問題的解決給我們以啟示，當(dāng)裝置引進(jìn)一個(gè) SIS系統(tǒng)時(shí)，整體安全完整性等級(jí)不僅取決于邏輯解算器部分，而且傳感器、終端執(zhí)行器部分也非常關(guān)鍵。 ? 采用不同的操作模式結(jié)構(gòu)有可能使用幾個(gè)安全完整性等級(jí)較低的系統(tǒng)來滿足一個(gè)較高安全完整性等級(jí)功能的需要（例如：使用一個(gè) SIL2和一個(gè) SIL1的系統(tǒng)共同來滿足一個(gè) SIL3功能的需要）。 SIS的安全功能 ? 如圖 6示安全儀表系統(tǒng)，該系統(tǒng)由一個(gè)壓力變送器、一個(gè)閥門和一個(gè)安全 PLC組成的 SIS系統(tǒng)。 6 隱故障與顯故障 隱故障與顯故障 ? 隱故障（ Covert Fault）：不對(duì)危險(xiǎn)產(chǎn)生報(bào)警，允許危險(xiǎn)發(fā)展的故障，是故障危險(xiǎn)故障（ SHBZ061999）。其中 GMR9070(模塊式冗余容錯(cuò) )的安全等級(jí)為 class 5（ 2oo3）， class 4（ 1oo2）和 class 5（ 2oo2）； ? TRIGUARD SC300E， AUGUST公司開發(fā)， 1999年成為ABB集團(tuán)成員之一，安全等級(jí)為 class 5和 class 6，系統(tǒng)結(jié)構(gòu)為 2oo3； ? Safeguard 400300， ABB Industry公司開發(fā)，系統(tǒng)結(jié)構(gòu)1oo2D。 SIS的相關(guān)標(biāo)準(zhǔn)及認(rèn)證機(jī)構(gòu) ⑦ 德國國家標(biāo)準(zhǔn)中有安全系統(tǒng)制造廠商標(biāo)準(zhǔn) DIN V VDE 080過程操作用戶標(biāo)準(zhǔn) DIN