安庆化肥SIS技术协议
技术协议
中国石油化工股份有限公司安庆分公司
化肥一部ESD系统更新项目
安全仪表系统（SIS）
买方：中国石油化工股份有限公司安庆分公司
设计方：安庆实华工程设计有限责任公司
卖方：北京天时盈达自动化设备有限公司
目录
第一章供货原则声明 (3)
1.1服从原则 (3)
1.2完整性原则 (3)
1.3冗余原则 (3)
1.4负荷原则 (3)
1.5开车备件原则 (3)
第二章公司介绍 (4)
2.1制造商介绍 (4)
2.2集成商介绍 (4)
2.3公司产品及领域 (5)
第三章控制系统概述 (6)
3.1系统介绍 (6)
3.2Trusted概述 (6)
3.3系统软件 (11)
3.4主要技术性能 (11)
第四章控制系统实现方案 (17)
4.1系统配置总图 (17)
4.2系统功能说明 (18)
4.3工作站及打印机 (18)
4.5通讯接口 (19)
4.6辅助操作台 (19)
4.7通讯网络及设备 (19)
4.8系统机柜 (19)
4.9辅助机柜 (19)
4.10电缆及连接配件 (20)
4.11供电要求 (20)
4.12机柜接地 (20)
4.13布线要求 (20)
4.14接地要求 (20)
4.16 系统输入输出I/O汇总 (21)
4.17统硬件配置清单 (22)
4.18 系统机柜布置图 (23)
第五章系统参数计算表 (24)
第六章系统资料 (26)
6.1工程设计文件资料 (26)
6.2应用手册文件 (26)
6.3中间文件资料 (26)
6.4组态培训资料 (26)
6.5文件资料的文字 (26)
第七章技术培训、组态及服务 (27)
7.1项目管理 (27)
7.2项目进度安排 (27)
7.3项目开工会 (27)
7.4现场技术服务 (27)
7.5培训 (28)
7.6工程组态 (28)
7.7出厂测试和验收（FAT） (29)
7.8现场验收（SAT） (29)
7.9运输 (30)
7.10工作界面 (30)
第八章售后服务及保证 (31)
8.1质量保证 (31)
8.2备件及软件支持 (31)
8.3开工技术服务 (31)
8.4软件版本更新 (31)
8.5售后服务与技术支持 (31)
8.6保修期 (31)
8.7质量保证 (31)
8.8包装运输 (32)
8.9售后服务与维修支持 (32)
8.10系统完整性承诺 (32)
第九章资质认证及标准 (33)
9.1国际标准 (33)
9.2ISO 9001认证证书 (34)
9.3TUV AK 6级认证证书 (37)
9.4TUV SIL 3级认证证书 (38)
第十章国内业绩 (43)
第一章供货原则声明
我们在此特别声明并保证，本公司投标文件和本公司对本工程项目执行符合标书提出的下列各项原则：
1.1 服从原则
询价书及其附件和修改通知中规定的所有要求都将满足。所有的不能严格满足询价要求之处以及替代措施都应在偏差项目清单中列出并由买方认可。
1.2 完整性原则
将为买方提供一套完整的、可工作的、满足本规格书中所有要求的系统；在合同总额不变的前提下，卖方保证所提供的系统的完整性。
1.3 冗余原则
所有与控制有关的部件(例如I/O卡件、控制器、通讯系统等)应为TMR容错配置。各级通讯设备、部件和总线必须三重化。
1.4 负荷原则
所有的子系统，包括中央处理单元、存储单元、过程接口、通信系统等，其负荷都不应超过其硬件、软件能力的40%，I/O卡件插槽预留20%的余量，每个机柜里接线端子预留20%备用。
1.5 开车备件原则
系统中所有可能发生损坏的部件，例如接线板、I/O卡件备用量不少于5%，每种卡件至少备一件。对消耗品的备用率不低于20%。
第二章公司介绍
2.1 制造商介绍
ICS Triplex是一家从事对关键生产过程和危险生产领域提供控制服务的跨国公司。ICS Triplex公司自1966年成立以来，一直致力于关键控制（Critical Control）系统，包括紧急停车/安全联锁系统（ESD/SIS）、机组控制系统（TMC/ITCC）、火灾气体检测系统（F&G）、锅炉管理系统（BMS）、高压保护系统（HIPPS）等的开发、设计、应用和服务。迄今为止，全世界已经有超过4000套ICS Triplex的系统在运行，所控制现场I/O点超过100万个，广泛应用于航空航天、石油和天然气加工、精细化工、海上石油开采、大型电站、大型锅炉管理和机组控制等领域。
ICS Triplex公司的总部在英国，公司在世界各地均设有办事机构和下属公司，有400多名雇员为用户提供全面的服务。亚太区的分公司位于新加坡。ICS Triplex公司在上世纪九十年代与中国石化在深圳建立过合资企业，2001年开始转而在北京设立中国代表处。在国内运行的关键控制系统近100套。国内的几家授权系统集成商分别对石油石化市场、化工市场、各主机厂等相应的最终和中间用户提供技术服务和支持。
ICS Triplex公司既是一个硬件系统制造商，又是一个软件供应商。旗下公司还提供ISaGRAF和HiBeam等软件。
ISaGRAF实际上已经成为IEC 61131-3工业控制软件标准的代名词。最初在 1990年发布的时候，其目的是在基于微处理器的控制器和PLC之间搭建起通讯结构。而发展至今，ISaGRAF作为开放式自控的领先软件，已逐渐渗透到传统自动化控制、嵌入式控制和逻辑软件等领域的应用，为全球PLC制造商提供了30万套一次软件供其进行编程环境的二次开发，其中甚至包括ICS Triplex公司系统的竞争对手Xriconex。
HiBeam既是一个嵌入式的事件驱动的数据服务器，也是一个嵌入式的基于JAVA的网络服务器，甚至可以是一个专用的网页编辑器。它可以把信息流通过数据和/或图形方式显示出来。通过互联网或局域网，强大的 HiBeam组件可以对实时的工艺进行可视化、诊断和图形化调试。通过图形化接口， HiBeam可以用图形来显示实时数据，同时/或者可以对实时设备进行操作。其应用领域覆盖了从远程监控到就地单人机界面监控。
ICS Triplex公司还是一个承包商，其下属的SilverTech公司为陆上用户和海上石油平台以及采油船提供整体的控制方案，而不囿于ICS Triplex公司的传统领域。1984年ICS Triplex 公司通过了ISO9001质量体系的认证。
2.2 集成商介绍
北京天时盈达自动化设备有限公司是ICS Triplex授权的在中国地区的合作供应商和服务商，负责ICS Triplex全线产品的销售及系统集成，同时针对目前中国市场中使用的系统提供维护、升级服务。公司拥有一批硕士、学士等管理人才和具有丰富的现场经验的工程技术人员，可为国内外用户提供安全控制系统的咨询、设计、安装、调试、培训及维护等专业技术服务。而且还具备承接国际合作项目的能力，并在已完成的国际项目中与ICS Triplex保持了良好的合作关系，得到了业主的高度评价。
作为中国石油化工总公司认可的一级网络供应商，北京天时盈达自动化设备有限公司将为本项目提供完整可靠的解决方案。
2.3 公司产品及领域
2.2.1 主要技术产品：
1）安全控制
— Trusted TM安全仪表系统
2）透平机械控制
— T6050 SurgeGard
— T6100 单控制器
— T6200 冗余控制器
— T6250 冗余控制器
— T6300 Trusted TM容错控制器
3）软件
— ISaGRAF控制软件
— HiBeam资产管理软件
2.2.2 有效和可靠的解决方案：
z成立于1966年超过40年的经验
z在透平控制领域有超过30年的经验
z数千套成功安装的系统
z石油和气体（Oil & gas）行业的丰富经验
z营业额10,000万美元（2005年）
z通过各办事处为世界各地提供长期的支持与服务
z公司内部持续的研究与开发
z TUV、BV、ISO 9001/2和NFPA认证
2.2.3 主要服务的领域
z石化、化工压缩机/透平控制
z海上/陆地平台压缩机/透平控制
z管线压缩机/透平控制
z海上/陆地平台紧急关闭以及火气探测保护
z钻井船/浮式采油、存储和卸载（FPSO）的安全和控制z炼油厂的安全和关键控制系统
z石化、化工安全系统
z液化天然气和气体操作安全和关键控制系统
第三章控制系统概述
3.1 系统介绍
本项目为中石化安庆分公司化肥一部ESD系统更新工程安全仪表系统（SIS），经过实际应用的系统，便于扩展，能实现石油化工装置大规模生产的人身保护、环境保护、工厂和设备保护的功能。本项目为易燃易爆、连续生产运行的大型化石油化工项目，应配置可靠的、先进的设备，充分满足石油化工企业对安全的需要。
本控制系统包括了一套Trusted三重化容错型安全控制系统（SIS），其中还包括工程师站、操作员站、辅助操作台等。系统实现了自动监测异常操作和设备状态、自动停车和隔离装置以防止异常条件引起的其他严重后果、事故报警和记录，以达到对装置和人员的保护等功能。为提高控制系统运行的安全性，专用安全控制系统与DCS系统的控制单元之间应相互独立，并且分别安装在不同的控制机柜内，控制系统独立完成自己保护的安全控制任务，与DCS系统互不影响。控制单元（控制站）、工程师站及SOE站都直接连接在系统的高速通讯网络——冗余的以太网上。连结在网络上的设备，可以在站与站之间进行数据交换，并且不分主站和从站。控制系统可通过标准OPC或标准Modbus RTU协议与第三方产品（如DCS、Bently 3500等）进行通讯。并且通讯介质支持串行电缆及光缆，重要信号参数（如联锁信号、负荷信号）则通过硬接线连接。
3.2 Trusted概述
3.2.1 控制器原理
Trusted是一个基于三重化处理器的系统，内部所有
的重要电路均采用三重化容错的设计。Trusted保证系统
在内部出现故障的状态下，仍能正确地执行程序。系统
所有的模块均能在线热更换。这种设计使得Trusted系统
几乎可以保持100%在线。Trusted被用来实时地处理各
种复杂和危险的生产过程的控制，接受现场信号，执行
逻辑运算、PID等各种控制程序，输出控制信号，驱动
现场执行单元。Trusted的应用程序采用IEC 61131
TOOLSET软件编制。
Trusted连续地、高速地进行上述操作，实现快速的
闭环数据处理。如果Trusted系统中发生了一个内部故
障，这个故障将通过表决器被限制。系统中广泛分布的表决芯片确保系统中的任何内部故障都不会传播到程序处理过程中去，并且能够准确地指示出系统内部故障的位置。每个寄存器和程序控制器都以同样的方式进行表决。所有的内部通讯都有接收电路进行通讯校验。
图1 Trusted 三重化结构简图
上图说明了Trusted三重化容错操作的几个核心单元。系统操作包括如下几个基本步骤：
z对现场信号，输入模块进行信号接收、信号缓存以及各种必需的转换。然后输入信号经三重化的内部总线传送到三重化处理器模块；
z三重化处理器模块的微处理器从三重化的内部总线的每个通道接收输入的信号，并对数据进行表决；
z在数据处理过程中，每个处理器都将自己的输入信号跟其它两个CPU的输入信号进行比较；
z三重化处理器同步地执行应用程序，产生的输出信号被送回三重化的内部总线；
z输出模块接受处理器送来的信号，进行3选2表决，对表决后的信号进行必要的转换工作，送
出系统，驱动现场执行单元。
3.2.2 内存保护
内存管理单元（MMU）中的内存保护功能对于一个安全系统至关重要。内存管理单元保护应用程序的数据和代码不被破坏。MMU通过将应用程序产生的虚拟地址转换为内存总线上的物理地址，来完成这一功能。Trusted 的操作系统具有内置的MMU支持。应用程序或程序块的数据被分组存储在专用的数据区中。
在设计上，Trusted的操作系统能够尽最大可能减少程序错误，并能对非法访问数据的现象向程序员报警。当给一个应用程序分配了某个数据区，或者该应用程序接收到来自其它应用程序的数据，那么它就获得了对该数据区的所有权。它就可以读写该数据。当应用程序的数据区被收回并被重新分配，或把数据发送给了其它应用程序，它就失去了对该数据区的所有权。
当一个应用程序试图调用一个数据区的地址，但它并不拥有其所有权时，操作系统将产生一个错误信息。另外，如果一个系统调用的地址没有指向一个有效的数据区，即使地址在该应用程序拥有的区域内，系统也会产生一个错误信息。
3.2.3 IEC61508 —安全系统标准
IEC61508 是一个有关工业安全系统的国际标准。它涉及电子、电路以及可编程电子系统，涵盖硬件和软件两个方面。为了划分危险区域的等级，IEC提出了整体安全水平（SIL）的概念。IEC 61508根据安全系统满足安全要求的程度，将安全系统分为4个等级（SIL-1-4）。整体安全水平和工业安全系统的技术性能密切相关。在IEC61508中，对整体安全水平是这样表述的：
整体安全水平分为４级，它表明了安全系统中安全功能满足综合安全要求的能力。SIL-4是最高级，SIL-1是最低级。IEC 61508 对安全系统从设计到使用的整个过程的管理文件的内容和结构也给予指导。以下是Trusted系统在设计上满足的两个整体安全水平等级的简介。
SIL—1安全操作
这是安全性和独立性要求的最低等级。Trusted系统提供安全和保密操作。系统的硬件故障诊断措施都是基本的。这种结构主要用在一些基本的控制和监视上。
SIL—3容错
高度的可用性和失效－安全操作是这时Trusted系统的主要要求。当系统中出现一个或者多个故障时，系统能正常运行，同时故障模块能够在线更换。如果故障超出了系统的容错能力，则系统将按照预先的设定，转为失效－安全模式，确保用户生产装置和设备的安全。这种设计适用于高可靠性、高可用度以及对系统在线时间要求很高的应用场合，如海上平台以及石油化工行业等。下表说明了德国TUV标准和国际电工委员会IEC 61508标准的对应关系
TUV DIN V VDE 0801 AK IEC 61508
2
SIL-1
3
4 SIL-2
5
SIL-3
6
7 SIL-4
TUV AK和IEC61508 SIL安全等级对应表
3.2.4 I/O保护的等级
Trusted系统提供高集成度的I/O模块。这些模块可以灵活地组态，实现不同安全等级综合应用的功能。在这种高集成度容错型I/O模块中，全面采用了三重化技术，每个通道均按照三重化的设计，模块内部有三个信号转换电路。模块内部的故障限制区串接在一起，和现场设备相连，以确保实现容错功能。模块内部还有全面的自诊断功能。这种模块支持单个模块、相邻槽方式和智能槽方式的组态。
3.2.5 接线板
采用Trusted接线板，配合Trusted专用电缆可以简单、迅速地实现Trusted I/O与现场设备之间的连接。采用Trusted接线板也可以最大程度地降低系统的安装、组态、维修和维护的时间。
Trusted接线板具有以下特性：
z提供标准化的盘面安装布置
z实现柜间连线的方便拆装，便于运输和现场就位
z可直接连接用户现场的电缆
z标准化的电缆
z标准化的连接结构
z节省人工接线时间
z和智能槽配合使用的功能
3.2.6 EMC性能
Trusted系统的设计满足最新的国际EMC 电磁兼容性标准，而且经过严格测试，满足IEC801和EN 50081等国际标准。ICS 在Trusted设计中对EMC做了充分的考虑，系统在安装、调试、日常操作以及系统维护期间，均能够保持良好的EMC性能：
z模块前面板带屏蔽。保证即使在维护过程中打开了机柜，对用户工程师随身携带的手持通讯设备的射频信号干扰也能屏蔽。
z机架以及I/O连接电缆也带有屏蔽防护。在上电和维修时，如果有工程人员在机柜后面工作，也能保持良好的射频信号屏蔽能力。
z PCB 级别的接地以及保护带，进一步提高系统的抗电磁性能。
3.2.7 三重化处理器T8110B
三重化处理器是Trusted系统的核心部分，实现全面的系统控制功能。Trusted 系统采用功能强大的64位Power PC 603 100MHZ 处理器，通过三重化内部通讯总线，能高速处理各种模拟量和数字量信息。三重化处理器的外型美观，宽度90mm，高度6U。
Trusted 三重化处理器由5个电路板构成：
z三块完全独立的处理器电路板，每块电路板上有一块64位RISC 100MHZ 处理器，以及相应的内存、电路等。
z接口电路板包括模块内部总线和前面板控制电路。
z基板，用于电路板的连接。
z这三块处理器主板构成了三重化处理器模块的基础。三个处理器完全同步地工作，确保处理器所有数据的一致。每个处理器独立地完成数据存储、程序执行、I/O扫描以及系统故障诊断等工作。（图2）
3.2.8 接口模块
Trusted 接口模块提供Trusted系统跟工程师工作站、第三方设备以及ICS各种I/O子系统的通讯。目前Trusted 系统提供三类接口模块：
z Trusted 三重化接口模块
z Trusted 通讯接口模块
z Trusted 扩展机架接口模块
控制器机架中最多可以容纳8个各种Trusted接口模块的组合。每个Trusted 接口模块的前面板上有LED指示接口模块的运行状态，以及模块是否存在故障。通讯模块上也有故障诊断口。当Trusted 接口模块接收到外部送来的数据，数据首先被送到数据缓存区。在处理器的控制下，数据被分成独立的三路，并通过三重化总线传送到三重化处理器模块。当系统需要向外部送出数据，三重化处理器通过三重化总线将数据送到Trusted 接口模块。接口模块对总线上来的数据进行三选二表决，然后将表决后的数据送出。
各种接口模块的供电都来自底板上的双重化24Vdc电源分配线路。而且模块内部有专门的调整电路，将电源整定到模块电路需要的电压。
3.2.8.2通讯接口模块T8151B
通讯模块是一个单重化的智能I/O模块。通讯模块为Trusted 控制器提供强大的通讯功能，极大降低了三重化处理器的负担。通讯模块可以组态，它支持多种通讯方式，它的主要作用是实现Trusted 系统和各种外部设备之间的通讯。模块本身具有独立的64位处理器，具有2个100M以太网和4个高速串行通讯接口。
通讯模块安装在控制机架内，一个Trusted系统最多支持4个通讯模块。（图4）
3.2.8.3扩展机架接口模块T8311
扩展机架接口模块提供Trusted三重化控制器内部总线和扩展机架总线之间的通讯。扩展机架接
口模块实现Trusted 三重化处理器和扩展机架中I/O模块间的数据传输、系统“看门狗”信号以及故障诊断信息的传递。通过扩展机架接口模块，一套三重化处理器能够控制由多个机架组成的Trusted系统。
扩展机架接口模块安装在控制机架内，一个Trusted系统可以支持4个该模块，每个模块可以最多连接7个扩展I/O机架，因此Trusted系统可以最多支持28个扩展I/O机架。（图3）
3.2.9 扩展处理器模块T8310
Trusted 扩展处理器用于扩展机架接口模块和扩展机架中I/O模块之间的通讯。
扩展处理器模块安装在扩展机架内。（图5）
3.2.10 控制器机架和扩展机架
Trusted 系统的控制器机架和扩展I/O机架均为19”安装，各有14个单槽位的位置。
控制器机架T8100的左边2个位置固定为安装2个处理器模块，每个处理器模块占3个单槽位。其余8个为单槽位，可以安装任何接口模块或者I/O模块（扩展处理器模块除外）。
扩展机架T8300为14个单槽位，其中左边的2个固定为安装扩展处理器模块，其余12个可以安装任意I/O模块。扩展机架可以本地安装也可以远程安装，Trusted系统支持通过SIL3认证的远程扩展机架的光纤连接，这大大提高了系统的灵活性，并可为用户节省投入。
00
图2 处理器模块图3 扩展接口模块图4通讯模块图5扩展处理器图6 I/O模块图7 PI速度模块
3.2.11 高集成度I/O模块
高集成度的三重化容错I/O 最多可接收40个现场信号输入或驱动40个现场负载。每个通道的信号均通过独立的三重化线路实现容错。三重化容错型I/O的主要特点包括：
z全面的自诊断和回路诊断；
z 1ms的 SOE分辨率，每个通道可选择组态；
z支持在线热更换。
由于SOE记录在I/O模块上完成，因此SOE不再像过去那样依赖于系统扫描，而和系统扫描时间没有关系，并且大大减轻了三重化处理器的负担。三重化容错型I/O模块可以放置在处理器机架或者扩展机架中。一旦I/O组态被确定，可以通过独特设计的机械开关，防止模块被插入不正确的槽位中。（图6）
3.2.11.1数字量I/O
三重化数字量输入模块中的每个部分对输入信号进行独立的处理，并且与现场进行电气隔离。每个部分将其处理后的数据送往三选二表决器，表决后的数据送Trusted 三重化处理器进行处理。
三重化数字量输出模块提供容错的输出，从Trusted 三重化处理器来的输出信号在输出模块中进行三选二表决，然后经过电气隔离驱动现场单元。输出电路具有六元素表决结构，而且内部连续进行全面的自诊断。输出模块还有线监测功能，可以检测现场回路的短路和断路故障。
数字量输入输出模块前面板上有40个通道状态指示灯，这些指示灯的显示状态可以通过软件进行组
态。各组通道间具有光电隔离。
3.2.11.2模拟量I/O
模拟量三重化输入模块中的每个部分将输入到模块中的模拟量信号通过每路独立的高精度A/D转换器转换成数字量（一个模块有120个A/D转换器）。每个部分将其处理后的数据送往三选二表决器，表决后的数据送 Trusted 三重化处理器进行处理。各组通道间具有光电隔离。
模拟量输出提供40个4～20mA的电流输出，驱动现场负载。三重化处理器输出的三路数字量经过三选二表决后，由12位D/A转换器转换成4～20mA电流信号。模块内部使用三重化线路以实现容错。另外模块上有自动的在线标定和测试电路。对发生故障部分的切换时间为1ms。输出模块接收来自Trusted电源模块的双重化24VDC 供电，并用于驱动经电气隔离的现场负载。各组通道间具有光电隔离。
3.2.12 Trusted系统特点
Trusted 系统采用目前世界上最先进的容错技术，满足用户日益变化的现场需求。下面是Trusted 系统的几个重要特点：
z Trusted 系统是目前市场上集成度最高、体积最小、重量最轻的TMR系统，是其它系统体积的1/3，重量的1/4。
z专利的HIFT设计，保证系统的安全性、可靠性和运行速度。
z无限制的在线修改：装置不停车的组态修改对于许多过程工业是危险但又必须的，Trusted系统能够帮助你实现多变量无次数限制的在线修改。该系统的离线仿真也是全局有效，而不仅仅是针对局部。
z采用高密度的Trusted I/O模块，可以在一个机架中实现240个三重化I/O点的小型控制，非常适用于安全保护系统（SIS）。
z可嵌入的IRIG-B时间信号解码技术：Trusted系统提供IRIG-B卫星时间解码技术，来解决多套系统的ms级时间同步问题。
z用户可定义的模块前面板LED灯颜色，Trusted系统提供最多12种LED灯颜色用来组态不同的现场变量状态。
z Trusted系统和现场的电气隔离为2500伏。
z每个模拟量点都有独立的三重化A/D转换器，因此在一个40点三重化模拟量模块内部实际上有120个独立的A/D转换。
z每个输入点（DI和AI）最多可组态设置4个SOE，记录门限值或事件，分辨率均为1ms。
z 1ms 的SOE分辨率和系统规模没有关系。
z数字量输出模块没有保险，通过可组态的软件复位的限流保护电路输出。
z预诊断，对现场设备进行特征分析并进行趋势预测。Trusted控制器能够对回路进行动态监测并与正常值比较。如果回路特征发生较大变化，系统将进行报警，并向操作员提供资料，以便进行分析处理。
z可以直接对Regent以及Regent + Plus进行升级，用户如需要进行系统升级，只需要用一套配备Trusted三重化处理器和通讯模块的控制器机架取代原有的控制器机架即可，无需对I/O部分做出任何变动。
z Trusted 的操作系统通过了最新的IEC61508 安全认证—SIL3级。
z专利的HIFT时钟设计。HIFT时钟具有三重化的结构，并在时钟机构内部设立了多个故障限制区，确保单点故障不会影响系统的正常工作。
z TUV认证的防火墙设计确保不同安全等级的应用程序可以同时在系统中运行而互不影响。
z支持全部5种IEC61131编程组态语言：梯形逻辑图、功能块、结构化文本、指令表和顺控图。
z易于使用和维护，虽然系统是完全的三重化设计，但对用户来讲，可以把它当作一套独立的控制器，编程过程中不需要考虑三重化的问题。系统的内部连接也非常简单。
z负荷平衡。Trusted系统允许用户对系统中的某部分设定优先级别，以优化系统响应时间。优先级可以针对机架设置，也可以针对模块设置。
z自动的切断阀测试功能：Trusted系统能利用独有的阀门测试软件来自动监测阀门行程的变化，诊断出安全停车阀的工作情况，以提高整个回路的安全性。
z无保险丝的输出保护，Trusted系统能够在1ms内感应到输出电流超范围而进行输出切断保护，而且能自动恢复，消除系统未知的故障。
z提供OPC连接。
3.3 系统软件
国际标准的IEC61131编程环境，支持5种程序语言：功能块图表（FBD）、文本构造（ST）、梯形图表（LD）、顺序功能图表（SFC）和指令表（IL）。具有兼容性强、优异的程序管理、不同语言可混合使用和调试方便等优点。可运行在Windows XP、2000、NT、98/95或3.1环境下。允许用户设定变量名称，I/O地址和数据寄存器。可用鼠标设定各种参数。剪切、拷贝、粘贴等功能简化了编程过程。通过鼠标即可通过系统通信网络或直接电缆将程序下装到控制器中。可在线监视或编辑程序，允许在线修改并自动下装没有限制，也可离线模拟或仿真。为了便于调试和维护，所有I/O点和数据寄存器都可以被强制赋值。上位机组态软件可采用Intouch、Ifix、Indusoft、Cimplicity、WINCC、组态王等。
3.3.1 编程软件特点
z在线和离线程序开发
z在线显示，更改，常规显示和参数值
z简易菜单驱动软件具有图像放大功能
z删除、拷贝和粘贴功能
z内装PID功能
z四级加密口令
z热键和广泛有效的帮助
z符号参数程序设计
z组态存档或保存在不同的子程序中，结构
非常清晰，现场调试方便
z常规打印能力
z能在PC与控制器和其它计算机之间完成
数据传输
z CPU故障诊断显示以监视和清除故障
z运行／停止方式控制
3.3.2 组态方式
功能库的功能块可任意组合。用户可在同一个Project或不同Projects之间将一个功能块与另一个功能块连接。超过100个运算功能块的选择能力，使得Trusted控制器具有独特的性能，能够适应特殊的过程应用控制。
3.3.3 预装的控制软件包
Trusted控制器可在订货时由工厂预装各种各样控制算法。当然，这些算法是由功能块组成的，可根据现场要求进行调整（需经授权及密码）。
3.3.4 操作界面
操作员界面为一台与各控制器进行通讯的台式工业PC（或嵌入式PC机）。通过LCD（TFT）显示面板显示信息和菜单，并配有键盘鼠标/触摸屏进行用户输入。具有彩色显示功能及强大的CPU处理能力，其操作员界面极其灵活，并提供了各种预先格式化的显示方式和明确的交互操作。
3.3.5 控制器功能库
操作员界面为一台与各控制器进行通讯的台式工业PC（或嵌入式PC机）。通过LCD（TFT）显示面板显示信息和菜单，并配有键盘鼠/触摸屏标进行用户输入。具有彩色显示功能及强大的CPU处理能力，其操作员界面极其灵活，并提供了各种预先格式化的显示方式和明确的交互操作。
3.4 主要技术性能
3.4.1 主要系统指标：
603.E
PC
CPU型号： POWER
CPU速率： 100MHZ
处理器位数：64位
处理器指令集类型：RISC
SOE分辨率：1ms
容错方式：HIFT（硬件容错技术）
通讯内存： 128MB
远程I/O能力：10Km
每个模拟量模块的A/D转换器数量：120个
每个I/O点的更新速率：0.23ms/点
系统开放性：2+4个Serial 口, 2个Ethernet口,1个组态/诊断口编程语言：提供5种编程语言
TUV认证：AK6级别
IEC认证： IEC61508
SIL3
处理容量： 7200点
3.4.2 容错
所谓容错是指当系统内部一个或者多个元件发生故障时，系统能够不间断地、连续地正常地运行。真正的容错同时还包括在不中断运行的情况下自动恢复的功能，如支持对模块进行不受限制的在线热更换等。
ICS Trusted三重化处理器以及容错型的的Trusted接口模块均采用ICS独家专利技术的HIFT芯片进行容错和表决处理并全面采用TMR（三重模块化冗余）的处理结构。
硬件容错─HIFT
Hardware Implemented Fault Tolerance，即所谓HIFT，是指ICS Trusted系统采用硬件电路和芯片（而不是用与之相对应的，完全采用软件计算的软件容错─ SIFT）完成系统的故障诊断、冗余和容错管理工作。HIFT技术相对于SIFT技术的另一个明显优势在于，HIFT减轻了SIFT必需的处理器之间的通讯负担，使主处理器有更充分的时间对过程控制程序进行处理。正是这一原因使ICS 公司采用HIFT技术的Trusted系统在速度上明显地超过其它采用SIFT技术的系统。
3.4.3 三重化模块冗余─TMR
Triplex Modular Redundancy，即TMR 指的是ICS Trusted系统中采用的三重化技术。在ICS Trusted 系统中，所有重要电路都实现三重化，三重化的每个部分是独立的，但三个部分的功能又完全相同。三重化电路的输出信号在成为系统输出之前，经过一个三选二的表决芯片。当三个电路中有一路发生故障，输出错误信号，经过三选二表决后该错误信号被屏蔽掉，系统仍然输出正确的信号（电压、电流或开关状态）。系统不会因为内部故障而对过程产生影响。ICS Trusted正是利用贯穿系统内部的三重化技术实现连续的、可预测的控制。
3.4.4 失效方式（失效－运行/失效－安全）
ICS Trusted系统是一个高安全性的系统，它采用专用的硬件和软件测试机制，能够迅速发现内部各种故障并做出反应。
由于采用三重化结构，ICS Trusted 系统被设计为兼有失效－运行/失效－安全的特性。这个特性是指，当系统发生一个故障时，系统将保持正常运行状态，即失效－运行状态。系统在此状态下保持正常工作，直到失效模块被更换，系统恢复完全正常为止。如果由于某种原因，失效模块没有被更换，而这时与故障电路并行的另外两个电路中又有一个出现了故障，这一故障将会导致系统停车并进入失效－安全状态。
失效－运行/失效－安全设计也被称为3-2-0 操作。对采用三重化技术的系统来讲，3-2-0 操作是唯一绝对安全的方案。
3.4.5 故障限制区─ FCR
Fault Containment Region，即FCR，指故障限制区技术，它确保模块中某一区域中的故障不会蔓延到模块的其它区域。对于系统来讲也是如此。这项技术允许系统的不同区域可以同时存在多个故障而不会影响系统的正常运行。Trusted系统的所有模块均采用了FCR技术。
3.4.6 容错时钟
Trusted 系统中的容错元件严格地同步工作，使系统的表决结构尽可能简单。同步也被称为“Lock-Step”操作。“Lock-Step”同步的结果是所有的处理元件在同一时间处理同样的指令和数据。Trusted系统时钟的同步可以达到纳秒级。为了保证系统的容错属性，系统的时钟也是容错的。Trusted 系统采用ICS独家专利的HIFT容错时钟。即使时钟单元中出现故障，FCR技术能把故障限制在该单元内部，而保持输出正确的时钟信号，确保系统正常运行。
3.4.7 故障指示
每个Trusted 模块前面板上都有一个Healthy 指示灯指示模块的状态。另外，在Trusted处理器上还有一个System Healthy 灯指示系统的状态。当系统内部发生故障时，与之对应的模块上的红色故障指示灯将闪烁，指示模块故障。在Trusted 系统中，任何故障发生的位置和时间都将会被记录下来。模块故障状态也可以通过API被应用程序调用，以便在需要的情况下对某个模块进行操作。
3.4.8 容错步骤
系统操作包括如下几个基本步骤：
z对现场信号，输入模块进行信号接收、信号缓存以及各种必需的转换。然后输入信号经三重化的内部总线传送到三重化处理器模块；
z三重化处理器模块的微处理器从三重化的内部总线的每个通道接收输入的信号，并对数据进行表决；
z在数据处理过程中，每个处理器都将自己的输入信号跟其它两个CPU的输入信号进行比较；
z三重化处理器同步地执行应用程序，产生的输出信号被送回三重化的内部总线；
z输出模块接受处理器送来的信号，进行3选2表决，对表决后的信号进行必要的转换工作，送出系统，驱动现场执行单元。
ICS Trusted连续地、高速地进行上述操作，实现快速的闭环数据处理。
如果ICS Trusted系统中发生了一个内部故障，这个故障将通过表决器被限制。系统中广泛分布的表
决芯片确保系统中的任何内部故障都不会传播到程序处理过程中去，并且能够准确地指示出系统内部故障的位置。
每个寄存器和程序控制器都以同样的方式进行表决。所有的内部通讯都有接收电路进行通讯校验。
3.4.9 SOE分辨率1ms
1ms 的SOE分辨率和系统规模没有关系。由于SOE记录在输入模块上完成，因此SOE不再象过去那样依赖于系统扫描，而和系统扫描时间没有关系，并且大大减轻了三重化处理器的负担。
3.4.10 设备技术性能要求
?允许模块在线插拔更换及维修旁路，既不会中断控制，也不必改动硬接线；
?允许在线修改、下装程序；
?允许同时运行255个程序；
?整个系统配置相邻槽或智能槽冗余。
3.4.11 系统可靠性
在关于系统可靠性的计算中，以下参数将参与计算：
Diagnostic Coverage诊断覆盖率 – 即通过系统内部自动检测发现故障所能覆盖的比例。自动检测不能发现的故障只能由外部人工检测发现。ICS的系统能对在暂态及稳态故障状态下对所有硬件作持续检查。
Repair Time – 即系统平均修复时间（MTTR），或指一旦系统发生故障情况下人为修复系统所需的平均时间。
Manual Test Interval – 即人工测试间隔平均时间。系统最多的允许间隔时间为3年。
同原因BETA因子–系统同原因故障是指系统发生的故障可影响超过一个模块，比如系统的供电中断、温度或湿度越限。
各装置系统可靠性计算请参考参数计算表。
3.4.12 系统安全性
ICS Trusted系统共有15个权限等级，以保证系统操作的安全性。
3.4.13 系统的可扩展性
输入/输出模块及端子排预留了20%的备用处理量，系统机柜留有20%备用安装空间。系统控制器、电源和通讯等的负载能力均具有40%以上的余量。
3.4.14 系统抗干扰性能
所有部件可抗每米10毫伏场强的电磁及无线电干扰（RF）。
3.4.15 与DCS 通讯
系统通过冗余通讯模块上的RS485接口，采用MODBUS RTU通讯协议与DCS进行通讯。
3.4.16 与工作站的通讯
系统控制站与操作站、工程师站/SOE站的通讯配置成冗余以太网方式。
3.4.17 初步的系统硬件设计
电源要求以及环境要求：
用户将提供Trusted系统所需的不同相两路220Vac UPS电源, 进入电源分配柜。系统电源模块将提供系统及现场回路的24Vdc冗余供电，并提供电源故障报警。
各装置系统功率消耗及散热请参考参数计算表。
下面的环境要求是Trusted系统保持正常工作的条件：
表 T1－系统工作条件
参数最小典型最大单位模块供电电压（持续工作）+18 +24 +36
VDC 模块供电电压（极限值）-1 +40
VDC 模块供电隔离（持续工作）-100 +100
VDC 模块供电隔离（极限值）-250 +250
VDC 现场隔离（持续工作）-250 +250
VDC 现场隔离（极限值）-2500 +2500
VDC IMB时钟以及数据传输速率 12.5 MHz
o C 温度监测范围-25 +125
温度监测精度 5
+/-o C 温度监测分辨率0.5
+/-o C
表 T2－操作环境要求
参 数说 明最低最高单位
o C
工作温度 -20
+70 工作湿度不凝结+5 +95 %相对湿度
o C
保存温度 -40
+100
o C /分钟温度变化率+0.5
10～57HZ（峰-峰值） 0.012
In 震动
57～500HZ 1 G 冲击 11ms，半正弦 15
G RFI/EMI敏感性IEC801 27MHz
10V/m
500MHz
第四章控制系统实现方案4.1 系统配置总图
第17页
4.2 系统功能说明
中石化股份公司安庆分公司化肥装置现有的合成气压缩机（K1501）、氨气压缩机（K1503）、空气压缩机（K1202）、二氧化碳压缩机（K2102）紧急停车及I3-I11安全联锁系统采用的是西门子S7-400 PLC控制系统。该系统自投用至今近十年，已到系统运行末期，系统设备电子部件已面临老化，使系统运行故障率逐渐增高，严重影响着各机组的安全运行。因此，为确保化肥装置各机组能够长周期安全运行，消除ESD控制系统安全隐患，需将原ESD控制系统进行更新改造。
4.3 工作站及打印机
4.3.1工程师站
本项目设置1个工程师站，通过冗余的以太网通讯方式与各控制器的通讯接口连接，实现对装置控制器组态、除错、修改、测试、程序装载及维护等功能。工程师站能对系统进行离线仿真功能。
DELL的T5400上位机，主要技术参数：
双核英特尔（R）至强（R）处理器E5405 2.8GHZ
内存DDR2ECC，≥1GB 缓存≥4MB
硬盘160GB镜像，转速≥7200RPM
显卡ATIFireGL V3400 显存≥256MB
10-100-1000自适应网卡
48XCD光驱，键盘，鼠标1.44MFD
操作系统Windows XP中文版系统软件+SP2
显示屏22”LCD黑色
电源110VAC
带编成及调速软件
4.3.2 SOE站
本项目设置1个SOE站，DELL的T5400上位机，主要技术参数：
双核英特尔（R）至强（R）处理器E5405 2.8GHZ
内存DDR2ECC，≥1GB 缓存≥4MB
硬盘160GB镜像，转速≥7200RPM
显卡ATIFireGL V3400 显存≥256MB
10-100-1000自适应网卡
48XCD光驱，键盘，鼠标1.44MFD
操作系统Windows XP中文版系统软件+SP2
显示屏22”LCD黑色
电源110VAC
带编成及调速软件
4.3.3 打印机
装置配有1台A3幅面黑白网络激光打印机HP5200L，通过电缆分别连接在工程师站和操作站上，用于逻辑打印、报警打印、报表打印、打印组态信息并且带有测试功能
HP 黑白激光打印机： A3幅面。
4.5 通讯接口
系统配置冗余的通讯卡，分别与2套DCS系统进行冗余通讯。通讯距离30米。
4.6 辅助操作台
本项目不配置辅助操作台。
4.7 通讯网络及设备
所有的通讯卡件、通讯网络及设备采用工业级冗余配置。其中工程师站/SOE站与控制器之间采用以太网TCP/IP通讯，操作站与控制器之间的通讯也采用以太网方式，通讯协议为OPC，以太网通讯介质采用超5类通讯电缆。SIS系统与DCS之间采用MODBUS RTU RS485通讯方式，其中SIS系统做为从站。RS485通讯采用2线双绞屏蔽通讯电缆。
4.8 系统机柜
控制机柜尺寸为2100mmX800mmX800mm（其中100mm底座）Rittal，前后单开门，门内安装适合放置A3文档，至少厚度40mm的文件袋，颜色RAL7035，机柜配电开关及风扇等，成套带接地铜牌（工作地和保护地分开），柜内温度监控由温控开关实现。机柜应留有20%的安装空间。门内带机柜的前后面标签，门内外均带机柜编号标牌。
4.9 辅助机柜
辅助机柜随SIS 统一订货，安装在现场机柜间。
辅助机柜应配置供电电源，供电电源为24VDC，1：1 冗余配置，电源负荷不大于50%。
各种机柜的外形、尺寸及颜色应与SIS 机柜相同。柜内应配备接线端子、继电器、安装配件、汇线槽、风扇等辅助设施（数量见配置清单）。电源线、接地线应连接完好，成套带接地铜牌（工作地和保护地分开），柜内应有20%的扩展空间。机柜配置电源，风扇工作状态在SIS系统实现监控。
4.10 电缆及连接配件
系统通讯电缆及连接件及系统内部连接电缆由卖方成套，并留有足够的长度。SIS 内部电源电缆及系统电缆，由卖方供货。
4.11 供电要求
系统必须具备接收两路110Vac交流电源功能，系统供电包括110Vac UPS和24Vdc电源分配。所有电源为1:1冗余配置，任何一路电源故障具有报警，失去任何一路电源，不会影响系统的正常工作。
110Vac交流电源引自买方提供的安全可靠的的UPS电源，主要给系统电源模块、24Vdc 开关电源供电。
4.12 机柜接地
每个系统机包含两个接地铜排，分别位于机柜下侧面，一个为系统电气地（安全地，包括CPU和扩展机架接地、机柜柜体接地、机柜内照明灯和风扇接地等），一个为仪表接地（主要连接现场仪表信号屏蔽电缆的屏蔽线和回路供电电源的接地点）。
4.13 布线要求
信号电缆（线）的截面采用0.5-1.0mm2， 24Vdc总供电电缆的截面采用4.0mm2，220Vac 总供电电缆的截面采用2.5mm2，总接地电缆的截面采用大于4.0mm2。供电、接地、信号用电缆（线）必须有颜色明显表述。
线缆名称：阻燃铜芯聚氯乙烯绝缘聚氯乙烯护套铜丝编织分屏电缆。
z柜内端子配线：所有引入线均剥开1cm，压接管状接头后接入端子；
z导线、电缆：耐压≥250V；
z回路导线总电阻＜50?，否则应考虑增大导线截面积，或加装总线中继器；
z柜间电源电缆：应使用双色并带屏蔽；
z柜内布线：布线合理，交流、支流电源线分开敷设，本安、非本安信号线分开敷设，各端子、导线、电源分配设备等具有清晰的标记和编号；
z通讯电缆：采用屏蔽双绞线；
z电缆竖井（沟）内的布线要求：信号线在电缆（沟）竖井也应单独穿管或在金属线槽内敷设。要求尽量远离动力、照明等强电及视频线，其平行间距离应大于500毫
米；
z回路最大长度1500m，如传输距离增大可适当增加导线线径或中继器。
4.14 接地要求
控制系统分为保护接地、信号接地。接地工程符合SH/T3081-2003、IEC1024-1、IEC364-5-548-1996、ISA-RP12.6-1995、IEC60079-14-1996等有关标准规范，即采用等电位连接方式的共用接地系统，最终接到电气的接地系统。