【摘要】
故障安全控制系统（FSC）为催化装置在事故状态下的安全提供了保证。本文详细介绍了FSC系统在一催的硬件配置、通讯设置、软件实现及功能逻辑图的使用，并结合实际总结了运行维护体会。
【关键词】
故障安全控制系统；配置；通讯；功能逻辑图
【Abstract】
FSC offers a guarantee of security for FCCU from the accident. This text particularly introduces the use of FSC in the FCCU’s Hardware configuration, Communication setting, Software realization and Function Logic Diagram (FLD), and summarizes the experience of operating maintenance by combining the practice.
【Keywords】
FSC; Configuration; Communication; FLD
前言 故障安全控制系统
随着安全标准的推出以及企业对安全系统重视度的不断升级，2003年3月，中石化股份公司九江分公司对I套催化原设计在DCS中的联锁系统进行了改造，根据装置高温高压高转速的特点和安全水平必须达到IEC（国际电工组织）提出的SIL3级标准，选取了美国Honeywell公司的FAIL SAFE CONTROL（FSC）系统，由它执行安全联锁系统的控制部分代替原来在DCS中执行的联锁内容，按照规范将安全联锁系统独立出来，以确保人身和设备的安全。该系统硬件基于双重化结构，软硬件均通过IEC的IEC61508认证。
1 故障安全控制系统配置
1.1 硬件组成
I套催化故障安全控制系统硬件主要由PC机和FSC机柜组成，核心部分是FSC。系统配置如图1所示。
图1 系统配置图
PC机：选用1台DELL工作站作为该装置的工程师站、SOE（Sequence of Event）站兼操作站，采用多串行口卡与FSC机柜中的COM卡件进行通讯，工作站作为工程师站可以进行数据库修改、组态、功能逻辑图修改、设置参数及系统维护和操作功能；作为SOE站可以查询实时操作记录和历史记录、做检索和报表；作为操作站可以通过高速的SOE和动态流程画面进行实时现场监测、存储、打印。
辅操台：在操作室操作站的旁边是系统的辅操台，上面安装着一些硬手操开关及指示灯，开关主要有3类，即：
停机开关
允许启动开关
置位开关
停机开关都是两位式开关，允许开关和置位开关是回复式开关，即将开关打到“置位”或“允许启动”的位置后松开，它会自动弹回来。要启动机组等设备，停机开关必须置于“正常”位置；设备开起来之后，若因工艺条件造成联锁停车，当工艺状况恢复开机条件后，必须置位才能将设备开起来。
辅操台上所有开关的使用，由主风机生产工艺人员根据生产情况使用。
FSC机柜：采用的是中央控制元件（Central Part）全冗余，I/O模件部分冗余的系统结构组成该安全联锁系统。CP是FSC系统的核心部分,每个Central Part（简称CP）中都有一个VBD，和一条垂直总线V-Bus，用于控制所有I/O模件，一个VBD可以控制10个I/O rack，即I/O卡笼，各I/O rack由HBD控制H-BUS通讯。控制器和重要I/O双冗余的结构，可以保证当一个CP或I/O卡故障时，另一个CP或I/O继续工作，从而保证系统的连续操作。FSC系统结构如图2所示。
图2 FSC101R系统结构图
硬件配置：采用FSC101Ｒ系统，系统主要硬件配置及功能见表1。
表1 系统主要硬件配置及功能
根据输入／输出点的分配情况和冗余配置原则，所有联锁保护系统中的所有状态输入点(DI)通过FTA-T-21端子板进入冗余的DI模件；4～20mA模拟信号（AI）经过齐纳式安全栅后进入FTA-T-14端子板，再进入冗余的AI卡；双冗余的DO模件通过FTA-T-02端子板后输出到现场各阀门，或输出到中间继电器到现场电磁阀、泵及电气；单冗余的DO模件通过FTA-T-03端子板后输出到辅助操作台报警指示灯，整套系统的I/O点数如表2所示：
表2 I催FSC联锁输入／输出点的分配情况
1.2通讯设置
I套催化故障安全系统PC机与FSC机柜采用串行口通信方式，上位机通讯硬件为多串口卡（2－PORT RS232/422/485 PCI HOST ADAPTER），串口端采用RS485接口、带屏蔽双绞通信线以提高干扰、带负载能力及增加通信距离，下位机两个CP中央控制单元共4块相互冗余的COM模件，每一块COM模件提供2个接口，负责完成两个冗余CP之间、FSC与PC机之间、FSC与本特利3500之间的通讯。
FSC系统通讯设置如表3所示：
表3 FSC系统通讯设置
PC机通讯口设置如表4所示：
表4 PC通讯设置
两个CP之间的通讯在系统集成时固定为两个CP中的COM1模件的A口，用户不得修改；
系统中的一台PC机，既担任工程师站、SOE站又担任操作员站，工程师站和SOE站由Honeywell公司提供的FSC Navigator 和FSC SOE软件完成组态、维护、实时历史记录，两软件与FSC通讯连接：PC机COM4口与FSC的两个CP的COM1（2块COM模件中的第1块）模件的B口相连，组态定义其采用Development SYS协议RS485接口完成通讯连接；
操作员站由INTELLUTION公司提供的Intellution IFIX2.6软件组态完成动态联锁画面、报警画面，IFIX与FSC的通讯连接：PC机的COM3口和FSC两个CP中的COM2模件的A口相连，组态定义采用Modbus 协议RS485接口完成通讯连接。
FSC与本特利3500之间的通讯预留由FSC机柜中两个CP中COM2模件的B口与本特利通讯网关模块相连完成，组态定义采用本特利内华达开发的协议RS232接口完成通讯连接。
1.3 软件实现
系统组态软件由上位机组态监控软件Intellution IFIX2.6和下位机FSC编程软件包组成，均运行在Windows2000环境下，使用方便灵活。
Intellution IFIX2.6工程组态软件是由美国INTELLUTION公司开发的基于WINDOWS环境下、数据采集和控制的大型应用软件，它集控制技术、人机界面技术、图形技术、数据库技术、网络技术于一身，包含动态显示、报警、趋势、控制策略、控制网络通信等组件，提供一个友好的用户界面。在IFIX中从过程硬件获取数据的节点成为一个SCADA服务器，采用分布式结构传输数据。组态时将所有FLD图中的通讯点输入到IFIX数据库中，通过MODBUS协议从FSC机柜采集各信号点的实时状态，从而完成主机自保、装置自保、备机小机、气压机和报警显示等5幅动态联锁画面的显示，方便工艺人员了解当前联锁情况。
FSC软件包由FSC Navigator 和FSC SOE组成。
FSC Navigator主要进行系统组态、逻辑图设计和系统维护工作：组态FSC参数及其属性定义、应用FLDs建立逻辑控制程序、将应用程序编译成FSC处理器可识别的代码，并检测在组态和设计中产生的错误；诊断系统，监视系统状态；强制FSC参数以切断控制回路，以便进行程序测试或现场设备的维护。
FSC SOE完成系统的事件顺序记录功能，I/O卡件通过HBUS和VBUS给中央控制单元提供事件顺序能力，在每次扫描期间，控制单元检查所有指定变量的状态改变。当一个事件发生时，控制器将变量的当前状态和时间协签存储在缓冲区内，以便组态提取事件顺序。SOE的识别时间间隔为≤1ms，SOE的事件记录存储高达20万条，可实时存贮在硬盘中，并可通过打印机打印出来。
2 逻辑控制功能
2．1 逻辑功能
故障安全控制系统的应用程序通过功能逻辑图来实现，功能逻辑图简称FLD，系统提供大量的逻辑、算术、计时、计数、PID等运算模块，用户可根据设计需要，选择相应的I/O符号，直接使用与、或、非的逻辑图的方式实现用户的逻辑功能，此外，用户还可以用系统自带的Function Block模块定义需要的功能块，以子程序的形式在其他程序中调用，实现较为复杂的逻辑控制。I催FSC系统中定义了RS触发器、温压补偿、延时计数器、二取二、三取二等逻辑功能块，多次在其他的子逻辑中得到调用。
以RS触发器和三取二子程序为例的逻辑功能块FB900、FB930结构如图3及图4所示：
图3 RS触发器功能块FB900
RS触发器子程序的功能是：对于A和B这2个条件输入点，产生的结果输出值C用矩阵表说明如表5所示:
表5 FCCU RS触发器矩阵表
图4 三取二功能块FB930
三取二子程序的功能是：当3个报警输入点中，只有一个发生报警时，系统发出三取一报警；若有2个以上发生报警，而又没有置旁通，则系统联锁，如果置旁通了，则系统发出三取二报警。
2．2 自保逻辑的实现
I催组态逻辑图共38张，主要完成主风机的开停车联锁及机组部份的联锁与控制，各子逻辑包括：蜡油自保、两器差压自保、总进料阀自保、外取热器自保、小风机自保、备机自保、主风低流量自保、逆流自保、主机停机自保、主机启
