国内自控设计存在的一些问题
1、可用性设计不足
目前，安全可靠性已深入人心。安全可靠性设计应该是近15年来自控设计的一大特色内容，一大理念进步。但是，存在顾此失彼的片面性，漠视可用性。
设计或许有不出安全事故就万事大吉的杂念、可用性无关紧要的错念。更重要是安全可靠性有标准，政府有检查。可用性没标准，政府没检查。对于生产企业，安全可靠性是生存的必要条件。可用性是生存的充分条件。两者缺一不可。
目前，误动作、误停车已经成为企业显著危害，重点治理项目，至少笔者所在的中石油天然气集团有限公司是这样，它有资格具有代表性。
可靠性会马上要设计院的命，可用性会逐步要设计院的命，社会、设计院也会追设计人的责。
漠视可用性表现：无设计，无评估，无计算，无验证。例如：采用一取一、二取一的联锁；控制阀故障模式不正确。
举例1：储罐罐根阀，工艺装置泵罐间火灾隔离阀，故障模式全为FC，导致误停下游装置进料，上游装置出料，逼停装置。对于非SIS功能控制阀，故障模式应选用FL即可，保证可用性。
举例2：工艺装置加热炉燃料气管网压控阀，故障模式选择为FC，一旦该阀气源故障将自行关闭，导致管网上所有炉子都熄火停炉。该阀故障模式应该为FO，只有燃烧器前压力控制阀故障模式才应该是FC。
2、可靠性设计不足
上面谈了对可靠性非常重视，但不意味着可靠性就做好了，其实只是重视做了，觉得没责任了。
现实是经过漫长、仔细的HAZOP、LOPA安全分析，安全评估，设计了大量的联锁保护。设计完毕后，仪表设备采购后，又进行了SIL验证。投用前又进行了联调、确认。安全生命周期、工作程序可谓讲究，看似风险被拿捏的死死的，被牢牢地摁在ALARP的桌子底下。再来些三取二配置，一大堆SIL，相当于又踏上了一万只脚，让风险永不翻身。
但是，事实证明，轰轰烈烈的SIS，当了许多风险的黑保护伞，程序正确代替了正确的措施。黑安全保护伞下行成了灯下黑。养兵千日、养尊处优的SIS，到用兵一时的时刻，说好的保护层，安全兜底网，洞穿了，失效了，没起作用，造成重大事故。实际上多少在役的SIS患有疾病，只是没有机会发作而已，侥幸的占了事故为小概率事件的光。
问题表现多种多样，如下几种情况，设计必须要改进、提升：
①设计只注重静态因果关系，不重视动态联锁过程。日常所谓的联锁保护因果表，仅仅是工艺对仪表要求的最终结果，即静态关系。
举例3：某高压加氢装置原料泵入口缓冲罐超压爆炸
原料缓冲罐为低压罐。原料泵为高压离心泵。设计有缓冲罐液位低低或泵出口流量低低联锁关闭泵出口阀、停泵。某日泵出口低流量联锁时，各个SIS终端元件联锁命令同步发出，因为停泵速度快，关阀时间长，而设计忽略这些中间动态过程，导致在时间差内介质倒流，入口缓冲罐超压、爆炸、着火，人员伤亡。
②缺乏标准化设计方案
举例4：xx加热炉停炉后燃料气泄漏，遇火爆炸。
某装置加热炉，燃料为燃料气。燃料气管路设有一道切断阀。联锁停炉时联锁关闭切断阀。切断阀因故障关闭不严，泄漏的燃料气遇火爆炸。
关于加热炉燃料气切断，国际上至少50年前就有了固定的标准化的切断阀配置方案，即：两道串联的切断阀，两道阀之间加排放阀。
举例5：污水处理场污泥干化车间发生爆炸。
污水处理场污泥干化车间，因为有粉尘，产生爆炸。我记忆中国内工厂因爆炸造成死亡最大的一起事故就是一个工厂的粉尘爆炸事故。粉尘不仅有可燃爆炸的，还有有毒的，还有可燃且有毒的。粉尘检测，难以把控，更依赖标准化设计。但现实是缺乏标准化设计。
举例6：温度计套管断裂，介质对外泄漏；双法兰变送器膜片破裂，毛细管破裂，介质对外泄漏。
原因：温度计套管因腐蚀断裂，造成泄漏。双法兰变送器膜片、毛细管薄，因介质腐蚀破裂，造成泄漏。腐蚀是复杂的，难以把控，需依赖标准化设计。但现实是缺乏标准化设计。以此类推，进行反思，我们自控方案标准化严重短缺。
3、设计自主性不清
目前，出现了一种设计文化，只简单认标准，凡事则问有标准吗？标准上没说，这样做行吗？不能做啊！表面看来还挺有理，路子正，实则荒谬。没镣铐不会走路，没帽子不敢出门，非得找个紧箍咒戴上。照此下去，下一步就到了一加一不敢说等于二，因为没标准规范。设计师成了书呆子。成也规范，败也规范。机械刻板，成为笑柄。
标准规范是底线，遵守规范只是及格设计，而我们的作品远不应该仅仅是及格，使命应该是优秀。大片空白需要我们书写，天地广阔需要我们耕耘。
设计者的责任应该是收了用户设计费，交换条件应该是一手交钱，一手交优秀设计。不信您回院去问问市场部是如何承诺用户的，若非如此就是欺骗。
举例7：变送器防爆等级杂乱
不同装置需要的防爆等级不同，同一装置不同区域需要不同的防爆等级。设计按照按区域等级确定变送器的防爆等级。这样就造成仪表防爆等级多，互换性差，备品备件多。最严重的问题是容易搞错，尤其在运维阶段。留下安全隐患。
不同防爆等级的温度、压力、差压变送器价格相同。如果设计选用等级一致，省钱，安全。而这样的优越性，被我们以按规范做设计的“专业性”给毁掉了。
举例8：xx某液化气汽车装车泄漏。
曾经发生过液化气装车过程中，快速接头脱落，液化气泄漏，爆炸起火，死伤多人，包括控制室人员。笔者采用可燃气体检测报警联锁关闭装车控制阀，可以消除其中风险。但是，却遭到反对，反对的理由是标准规范没有要求设置这个联锁。至于汽油装车采用可燃气体检测报警联锁关闭装车控制阀的方案就更不被同意了。好在山东省后来下文要求这样做了，算有个堵反对者嘴的说法。
举例9：仪表供电必须是双UPS，SIS供电必须是双UPS，甚至要求各控制系统UPS独立。
凭什么这样要求？凡是人身安全、环境安全需求的，应该不打折扣地执行。此为法律法规要求的。但这与此有关吗？若无关，都可因地制宜，业主自算经济账，自作决策。实际无关。
与此相似案例很多，如无人机柜间是否需要抗爆。
有多少以标准规范的名义， “顺竿爬”的自我加码思维模式，增加了投资，耽误了生产。我相信我们的企业整改是全球最频繁的，最繁忙的。但又有多少是确有必要的？无用整改意味着成本提高，成本提高意味着竞争力下降。
举例10：控制阀备用风罐只能用于安全可靠性目的。
没错，控制阀配备用风罐，保证该阀外来气源中断时，还能执行控制命令，运行到安全位置，实现故障安全。但是，换一个场景，控制阀通过弹簧机构可实现FC或FO，已经实现了故障安全，不再需要备用风罐。可是，作为关键工位，该阀气源意外中断，造成误停车，造成经济损失，会被故障安全“反噬”，牺牲可用性。此时可通过配置备用风罐，补偿可用性。这本是完美的方案，同时实现了可靠性和可用性。但是，这被僵化认为备用风罐用于安全可靠性的“安全理念”、片面地执行标准规范所频遭反对。
4、设计使用性不足
设计重视正常运行，轻视运行维护。
举例11：SIS控制阀无周期性检测措施
安全仪表系统要求周期性检测。周期宜与装置检修周期一致。石化装置检修周期3～4年。但是SIS控制阀的检测周期一般最长一年。可见控制阀检测周期与装置检修周期严重不同步。
对此，工程设计中有解决措施吗？ 现实情况：相关设计极少极少。这怎么“自圆”我们自控设计人高调捍卫的SIS安全生命周期呢?
SIS控制阀无法周期性检测，必然导致在安全检查中“露馅”，会被勒令停车，打破企业长周期生产的计划。长周期生产是企业经济效益的生命线。对此，自控人是“罪魁祸首”，而且是明知故犯。特别令企业领导气愤的是谁都不清楚自控人给企业埋了这么大个“雷”。
举例12：随意设置报警致报警泛滥；报警缺乏分级致操作轻重不分
自从有了DCS，报警功能不再花钱，于是设计不加节制，随便设计报警，能报则报，以至于报警多至泛滥，操作工不再理睬，埋下事故隐患，“完美”演绎了“狼来了”的传统故事。报警不分级，报警铺天盖地，操作工不知道轻重缓急，耽误大事。有意思的是，我们一手任报警泛滥，一手花大钱买报警管理系统。
5、设计投用率不足
设计的许多自动控制回路投不上，但是还是次次这样设计。只要设计了，业主还不能自己修改取消。
让设计出通知单修改掉，那不是说设计单位设计错了嘛？！修改那是不可能的。投不上那是你没本事，我设计没错。特别是装置投产了，时间长了，还谈出通知单，可能吗？终身负责制是指负责安全，不负责投用率。
无奈的业主只剩下无奈。
自控投用率，不仅事关投资效益，影响自控达标率，影响企业、车间、个人利益，还事关合法合规，不是设计人员认为的无所谓小事。请看政府要求：
举例13：加热炉炉膛氧含量控制进风量
过程滞后大，风道、烟道档板不灵活，氧含量控制进风量的单回路控制根本投不上。
举例14：复杂工艺采用简单控制
以前，自控简单追求单回路控制。但是，单回路控制如同头痛医头，不可能都起作用。注定有的单回路控制永远投不上。
要进一步提高自控率，最终还是应在充分分析工艺过程的基础上设计控制方案。目前看到，部分企业采用了智能控制，效果不错，其重要技术是消除“孤军奋斗” 单回路控制，而根据工艺过程采用多参数控制。
自控设计必须仔细评估每个控制回路的自控可行性。实际情况严重不足。甚至有的自控专业已经不参与P&ID设计了。
业主必须认真审核P&ID。可惜很少审核控制回路的可行性。
笔者相信，今后对于不可投用的控制回路，设计肯定会被追责。哪个业主会永远放任设计院乱花自己的钱？自己被无辜罚款？
未完，下一篇：林洪俊：国内自控设计存在的一些问题及思考(二)
作者：林洪俊(教授级高级工程师，TUV安全工程师， 中国石油华东设计院副总工程师，中国石油天然气集团公司高级技术专家。从事石油化工工程设计三十多年，主持设计了多项国内外大型石化工程，编审了国内石油化工行业主要仪表设计规范)
