图1 中央控制器结构图

在主要以石油和天然气开采运输、石化、化工和电力等为代表的过程工业领域中，常常会发生一些工艺不安全的事故，给设备和人员造成很大的危害。为了保护人员、生产及其设备和环境的安全，提高石油化工生产工艺的产量并确保生产工艺的安全，设计并实施一套安全仪表系统(SIS)，是非常必要的。HIMA的H51q系统，既可达到IEC61508规定SIL3的安全等级要求，又能满足非常高的可靠性的需要。

基于IEC61508的HIMA H51q系统

系统特点

HIMA的H51q系统为CPU四重化结构(QMR)，如图1所示，每两个微处理器集成在一块CU模件上，即系统的中央控制单元共有四个微处理器，再由两块同样的CU模件构成冗余的中央控制单元。

HIMA的1oo2D结构产品已获得AK6/SIL3的安全认证。采用双1oo2D结构，为用户提供了最大的可用性，其容错功能使得系统中任何一个部件发生故障，均不影响系统的正常运行。与传统的三重化结构相比，它的容错功能更加完善。目前，四重化结构的SIS已经成为各专业制造厂商研制开发新系统的主流趋势。

系统的可用性和安全性

HIMA的H51q系统，既可达到IEC61508规定SIL3的安全等级要求，又能满足非常高的可用性的需要。根据安全性和可用性的需要，HIMA的H51q系统无论在中央设备还是在I/O级上，均可提供单独的或冗余的设备配置。冗余配置增加了系统可用性，当其中一个部件发生故障被自动切除时，它所对应的另一个冗余部件将继续保持工作，对生产过程无任何扰动。

诊断功能

HIMA H51q具备自诊断技术，诊断率达到99.99%。对系统的全部硬件和软件运行可以在一个扫描周期内完成诊断。在CU的面板信息窗以及系统的工作站上均可以4位字符显示CPU和I/O卡件的故障信息。故障模件的物理位置可被显示出来，例如，I/O子机架号和I/O槽位号等。通过故障卡的诊断信息，维护人员可以很快找到故障所在，并替换相应的I/O卡件。所有模件均可带电热插拨，而不干扰SIS系统的运行。

一体化安全停车功能

在HIMA H51q系统中，一体化安全停车被分为三个级别：

整体安全停车：四重化冗余结构QMR的两级容错功能不能满足系统的正常运行，例如CPU连续出现两次故障。此时操作系统会通过输出模件中独立的第三方元件使系统达到一个设定的安全状态。在可自测试的输出模件中集成了三个半导体元器件，即安全停车功能所需要的第二个独立的部件已被集成到输出模件中。如果输出模件在运行中自检到发生故障，一体化安全停车功能将自动切除它。

部分功能切除：即当一个CPU、一条BUS总线、一块I/O卡或一个看门狗信号出现故障，系统仅仅切除有故障的部分，其余部分不会受影响。

安全组切除：即不同控制设备的信号被分在不同的安全组中，当一个安全组的硬件故障仅仅造成相关安全组被切除，不会使影响其他安全组中的设备导致问题扩大化。

HIMA H51q系统软件

ELOP II软件包是符合IEC61131-3标准的工业化软件包，提供标准功能块语言进行编程，可执行逻辑运算、PID和顺序控制等各种控制程序。ELOP II-WINDOWS 7软件包的反向编译功能允许在线修改，在线下装程序而无需进行下装后的100%的逐点测试(此功能经TÜV认证)。完全可以满足炼油、石化和天然气等行业的各类危险型装置和各种设备的安全控制要求。

ELOPII是HIMA专用编程组态软件，也是经过TUV认证的编程工具软件，它与控制器在线通信时的数据传输是基于MODBUS-TCP协议，这种标准的工业通信协议其实质核心是点到点通信机制，是按照预定的通信扫描周期有规律地完成数据通信。不存在类似普通以太网中无序数据广播冲突的可能。而且该应用通常是在线调试和在线维护时才打开在线联机，或完成应用程序编制下装到控制器时才联机，平时正常生产时一般不使用。

基于最新以太网的OPC AE SERVER/CLIENT模式，然后利用CM-LOGLINE来采集管理SOE数据。其通信协议本质也是基于MODBUS-TCP。按照设定的采集周期(例如每秒采集一次)去访问下位H51q控制器。

HIMA HIPRO-S/Safe-Ethernet安全相关以太网通信协议是由HIMA系统本身内嵌的安全操作系统(OS)支持，并经过德国TUV的SIL3安全认证的。由于安全相关通信的协议不是由外部的网络物理层设备(网线、光缆、交换机等)来决定的，所以可以在标准的工业以太网的基础上来实现满足SIL3安全级别的数据交换通信。该技术打破了联锁信号相关数据必须硬接线传递的传统做法，实现了处于不同地理位置,不同HIMA控制器之间的安全相关联锁数据的传送。HIMA在标准工业以太网设备平台上，开发了HH Safe-Ethernet协议的专利技术。该协议解决了普通TCP/IP协议下数据的冲突失效、丢失和不确定性等一系列问题，保证了安全相关信号数据在网络故障，数据出错，状态不确定等情况下做到数据传送过程中的“故障安全型设计”，即除了硬件IO卡件和逻辑软件外，与安全相关通信数据也可以满足安全系统的SIL3要求。

图2 机柜布置图

基于H51q的甲醇联合装置气化炉SIS系统实现

本应用案例中气化炉作为煤制甲醇，甲醇制烯烃的源头装置，其安全、可靠和高效的运行对于整个项目尤为重要。气化装置存在易燃易爆的介质，其爆炸分级、分组为II CT1。气化工艺是在1 400℃、6.5 MPa的高温和高压操作条件下，气化反应而生成煤气。整个生产操作过程具有一定的危险性。因此，设计并实施一套安全仪表系统(SIS)，以确保装置、生产及人员的安全是非常必要的。

装置的主要安全联锁控制由HIMA H51q系统实现，安全仪表系统完成气化装置的开车和停车的顺序控制以及与安全相关的紧急停车和安全联锁保护功能。当气化炉在运行过程中发生超压、超温和超负荷的时候，SIS系统将实现紧急停车，保护设备以及人员的安全，避免发生生产事故。当气化炉在可能发生危险需要人为紧急停车时，操作人员立即按下紧急停车按钮，使气化炉紧急停车并按设定好的顺序进行安全停车操作。甲醇联合装置气化炉的SIS系统在中央控制室内设有辅助操作台，其相应的报警及操作通过辅助操作台上的报警灯屏和按钮来完成。

图3 烧嘴冷却水组态

基于HIMA H51q 系统的硬件实现

在现场机柜间每套气化炉SIS系统设一个系统机柜，两个辅助机柜。

如图2所示，系统机柜内安装H51q控制器主机架、I/O机架和I/O卡件。辅助机柜正面安装继电器或安全栅，背面安装24 VDC电源和现场侧接线端子。现场侧端子全部采用刀闸式端子，可以方便断开与现场的连接，易于调试和日常维护。对于本安型信号电缆使用的线槽，全部按安全标准使用蓝色线槽进行区分。

SIS系统供电包括220 VAC和24 VDC电源分配。

220 VAC电源：来自工厂提供两路安全可靠的UPS电源，电源规格为220 VAC±5%，50 HZ±1 HZ。

24 VDC电源：对内电源给系统的控制器机架以及扩展I/O机架、机架风扇和系统模块提供冗余的工作电压;对外电源给系统的安全栅、中间继电器、I/O回路和网络设备等提供冗余电源。所有电源故障信号均送入系统报警，任何一路电源故障均不会影响系统的正常工作，单路工作时不超过额定容量的50%。

图4 气化炉投运图

安全联锁及顺序控制的实现

通过HIMA ELOPII组态软件上进行安全联锁和开停车顺控的组态并下装到控制器中，经过离线和在线调试调整了工艺参数联锁设定值和各计时器参数，最终实现安全联锁功能。如图3所示，为气化炉中烧嘴冷却水联锁的组态实现。

下装到控制器中的组态通过上位的人机界面来显示安全联锁关系及顺控动作，并通过上位画面来完成开车操作，旁路维护等相关操作。经过调试后具体实现如图4示，上位画面显示了单台气化炉的工艺流程、运行参数和阀门状态等，并集合了开车、停车、泄压和吹扫顺控操作。