【正文】 系統(tǒng)為 SIL2不滿足要求。容錯系統(tǒng)的冗余形式有雙重、三重、四重等。 （ SHB – Z06 – 1999） ? 總之，通過冗余和故障屏蔽的結合來實現(xiàn)容錯。它往往包括三方面的功能：第一是約束故障，即限制過程或進程的動作，以防止在錯誤被檢測出來之前繼續(xù)擴大；第二是檢測故障，即對信息和過程或進程的動作進行動態(tài)檢測；第三是故障恢復即更換或修正失效的部件。 冗余和容錯 ? 容錯（ Fault Tolerant）：具有內部冗余的并行元件和集成邏輯，當硬件或軟件部分故障時，能夠識別故障并使故障旁路，進而繼續(xù)執(zhí)行指定的功能。 （ SHB – Z06 – 1999） ? 冗余系統(tǒng)（ Redundant System）：并行地使用多個系統(tǒng)部件，以提供錯誤檢測和錯誤校正能力的系統(tǒng)。 可用度（ A： Availability）是指系統(tǒng)可使用工作時間的概率，用百分數(shù)計算： （ SHBZ061999） M D TM T B FM T B FA??MTBF：平均故障間隔時間（ Mean Time Between Failures） MDT：平均停車時間（ Mean Downtime） MTTF、 MTTR、 MTBF 與 SIL的關系 MTBF：平均故障間隔時間（ Mean Time Between Failure） MTTR：平均恢復時間（ Mean Time to Repair） MTTF：平均無故障時間（ Mean Time to Failure） 例如： 開車 MTTF （ SIS系統(tǒng)運行總時間） MTTR 24h （ SIS故障時間） MTBF 2023h 發(fā)生危險故障 圖 7 MTTF、 MTTR和 MTBF MTTF、 MTTR、 MTBF 與 SIL的關系 MTTF=MTTR+MTBF PFD=MTTR/（ MTBF+MTTR） 已知 MTTR=24H MTBF=2023H 則 PFD=24/(24+2023)= 所以硬件安全完整性等級達到 SIL1水平。 ? 采用不同的操作模式結構有可能使用幾個安全完整性等級較低的系統(tǒng)來滿足一個較高安全完整性等級功能的需要（例如：使用一個 SIL2和一個 SIL1的系統(tǒng)共同來滿足一個 SIL3功能的需要）。 ? 安全完整性等級可分為 4個等級， SIL4是安全完整性最高的等級（平均概率最高）， SIL1是最低等級； ? 安全完整性等級越高，應執(zhí)行所要求的安全功能的概率也越高； ? 根據(jù)安全相關系統(tǒng)使用方式，要求發(fā)生的頻率可分為低要求操作模式（ =1次 /年）和高要求或連續(xù)操作模式（ 1次 /年）。上述的國際標準將其劃分為若干安全完整性等級（ SIL：Safety Integrity Level）。是度量安全聯(lián)鎖系統(tǒng)按要求模式工作故障率的目標值（ SHBZ061999）。 ? 衡量安全性的指標為響應失效率或稱要求的故障率（ PFD： Probability of Failure on Demand）。 圖 6 反應器的安全儀表系統(tǒng) PS Logic solve 邏輯解算器 feed valve 進料閥 Reactor 反應器 TS Feed進料 Pressure Sensor 壓力變送器 Temperature Sensor 溫度變送器 當反應器溫度及壓力超高達到危險狀態(tài)時都要停車，關斷進料閥。因此安全儀表系統(tǒng)的安全性能由傳感器、邏輯解算器和執(zhí)行器三部分功能決定。很明顯例子中儀表安全系統(tǒng)只有一個安全功能。 SIS的安全功能 ? 如圖 6示安全儀表系統(tǒng)，該系統(tǒng)由一個壓力變送器、一個閥門和一個安全 PLC組成的 SIS系統(tǒng)。 SIS的功能安全 安全儀表系統(tǒng)必須在工業(yè)系統(tǒng)出現(xiàn)危險情況時正確執(zhí)行其對應的安全功能，安全儀表系統(tǒng)的這種特性被稱為功能安全。它意味著系統(tǒng)是危險的。稱為安全故障概率（ PFS），或稱誤動率。SIS的許多元件失效均會導致系統(tǒng)進入安全失效狀態(tài)。例如，輸入電路可能會發(fā)生故障，從而使邏輯解算器誤認為是傳感器檢測到了危險工況，而事實上并沒有這種情況發(fā)生。 隱故障與顯故障 SIS系統(tǒng)誤動： 在圖 4中，當輸出開關由于某種原因處于非激勵狀態(tài)，即使?jié)撛诘奈ｋU工況沒有發(fā)生， SIS也會進入一種安全失效狀態(tài)見圖 5，這種情況經(jīng)常被稱為“誤動”。 Overt Fault： Fault that can be classified as announced， detected， revealed， ect.（ ） 隱故障與顯故障 SIS系統(tǒng)拒動： 當工藝條件達到或超過安全極限時， SIS本應引導工藝過程停車，但由于其自身存在隱性故障（危險故障），譬如輸出開關被誤連短路，而不能響應此要求，即該停車而拒停，降低了安全性。 6 隱故障與顯故障 隱故障與顯故障 ? 隱故障（ Covert Fault）：不對危險產(chǎn)生報警，允許危險發(fā)展的故障，是故障危險故障（ SHBZ061999）。 故障安全原則 ③ 送往電氣配電室用以開 /停電機的接點用中間繼電器隔離，其勵磁電路應為故障安全型。 具體體現(xiàn)： ① 現(xiàn)場開關儀表選用常閉接點，工藝正常時，觸點閉合，達到安全極限時觸點斷開，觸發(fā)聯(lián)鎖動作，必要時采用“二選一”、“二選二”或“三選二”配置。 5 故障安全原則 故障安全原則 組成 SIS的各環(huán)節(jié)自身出現(xiàn)故障的概率不可能為零， 且 供電、供氣中斷亦可能發(fā)生。因此安全儀表系統(tǒng)需要人為的進行周期性的離線或在線檢驗測試，而有些安全系統(tǒng)則帶有內部自診斷。 SIS和 DCS的比較 ? 安全級別： DCS安全級別低，不需要安全認證；而 SIS系統(tǒng)級別高，需要安全認證。 ? 工作狀態(tài)： DCS是主動的、動態(tài)的，它始終對過程變量連續(xù)進行檢測、運算和控制，對生產(chǎn)過程動態(tài)控制確保產(chǎn)品質量和產(chǎn)量。及 DCS不含檢測執(zhí)行部分。其中 GMR9070(模塊式冗余容錯 )的安全等級為 class 5（ 2oo3）， class 4（ 1oo2）和 class 5（ 2oo2）； ? TRIGUARD SC300E， AUGUST公司開發(fā)， 1999年成為ABB集團成員之一，安全等級為 class 5和 class 6，系統(tǒng)結構為 2oo3； ? Safeguard 400300， ABB Industry公司開發(fā)，系統(tǒng)結構1oo2D。 400F和 400FH分別為 1個 CPU和 2個 CPU運行 failsafe（ F）用戶程序，均取得 TUV認證，安全等級為 AK1~AK6（ SIL1~SIL3）； SIS的相關標準及認證機構 ? Regent Trusted，美國 ICS利用宇航技術開發(fā)的安全系統(tǒng)。非冗余取量即可實現(xiàn) SIL3，通過冗余取量實現(xiàn)更高的可用性。各種型號的 PES都具有 TUV AK1~6級認證。 H41q也叫小系統(tǒng)，它分為不冗余的系統(tǒng)和冗余的系統(tǒng)，不冗余系統(tǒng)型號為H41q—M，冗余系統(tǒng)又分為高可靠系統(tǒng) H41q—H和高性能系統(tǒng) H41q—HR。安全等級可達AK6（ SIL3） SIS的相關標準及認證機構 ? HIMA PES， HIMA是德國一家專業(yè)生產(chǎn)安全控制設備的公司， PES (Programm