化工厂隐形安全底线：一台网络校时服务器，决定事故能不能溯源

化工厂隐形安全底线：一台网络校时服务器，决定事故能不能溯源

摘要：在化工、煤化工等高风险生产场景中，DCS、SIS、GDS、CCS等工控系统独立晶振会自然产生时间漂移；若缺少统一、可信的内网时间基准，各系统SOE事件记录、报警日志、操作记录的时间戳会相互错位。事故发生后，时序错乱的日志无法还原事件先后顺序，直接导致事故调查缺少有效证据链，影响事故原因判定与责任认定。GB/T 50770-2013、SH/T 3092-2013等现行石化规范，已明确要求大型化工装置内SIS与DCS等控制系统时钟统一，网络校时服务器（NTP/PTP授时服务器）是实现该要求的核心基础设施，它的价值不只是“校准时间”，而是守住事故溯源的证据底线。

关键词：网络校时服务器，校时服务器，时间校准服务器，NTP自动校时服务器

一、很多人忽略：化工事故调查，本质是时序证据的串联

化工装置的爆炸、泄漏、联锁跳车属于链式反应，压力、温度、可燃气体报警、SIS联锁动作、操作人员干预、阀门状态变化存在严格先后次序。事故调查组需要依靠不同系统的日志交叉比对，还原从异常萌芽到事故发生的完整链条，这也是《生产安全事故报告和调查处理条例》对证据材料的基本要求。

DCS记录工艺参数变化、SIS记录安全仪表联锁动作、GDS记录有毒可燃气体报警、视频监控记录现场画面、PLC与CCS记录机组状态，每一套设备都自带独立硬件时钟。工业设备内置普通晶振存在固有漂移，即便完成初始时间校准，经过数天至数月运行，各系统时间差会逐步拉大，部分设备单日时钟偏差可达数秒至数十秒。

当不同系统时间戳互不匹配时，调查人员无法判断“是先报警，还是先触发联锁”“是工艺超限引发保护动作，还是保护误动作造成工况异常”。时序颠倒、冲突的日志，不具备独立采信价值，严重时会造成事故调查报告无法形成可靠结论。这也是石化规范专门提出SIS应与基本过程控制系统时钟同步的核心目的：依靠可靠的时间校准服务器完成统一授时，便于事故发生后跨系统事件对比追溯。

二、规范依据：化工工控时钟同步不是可选配置，是合规要求

现行石油化工行业标准对时间同步有明确、可落地的条款，不是推荐性的锦上添花功能。

1.GB/T 50770-2013《石油化工安全仪表系统设计规范》5.0.20条文规定，安全仪表系统内的设备宜设置同一时钟；8.4.3条文规定，逻辑控制器宜与基本过程控制系统的时钟保持一致。条文说明进一步明确，跨系统时钟同步服务于事故后的事件比对与原因排查。

2.SH/T 3092-2013《石油化工分散控制系统设计规范》第5.3.7节规定，DCS应具备使网络中各个节点时钟同步的功能；节点数量大于50的网络宜设置时钟同步器；时钟同步器的授时精度不应低于1ms、守时精度不应低于2μs/min；同时明确DCS不应采用无线通信方式的外部时钟源，规避信号不稳定带来的授时失效风险。

3.《危险化学品生产使用企业老旧装置安全风险评估指南（试行）》将BPCS、SIS、CCS、GDS、PLC等系统时钟同步纳入仪控系统安全检查项，要求相关系统具备时钟同步功能、宜统一采用DCS时间，保障SOE联锁追溯功能可用。

在安评、重大危险源核查、等保测评、老旧装置风险评估现场检查中，跨系统时间不一致属于可直接判定的隐患项，而部署合规的校时服务器，是落实该项检查指标的核心手段。

三、为什么不能直接用公网NTP，必须部署内网独立校时服务器

不少小型化工、煤化工装置习惯直接把DCS、SIS接入互联网公共NTP节点，这种方案在化工工控场景存在多重固有风险，并不符合规范导向。

第一，化工关键工控网普遍要求与互联网物理隔离或单向隔离，SIS等安全仪表系统禁止直接连通外网，无法持续获取公网授时信号。第二，公网NTP存在网络抖动、丢包、节点失效、防火墙拦截等问题，授时精度不稳定，无法稳定维持毫秒级时序一致性，难以满足SOE事件顺序记录需求。第三，公网授时源不受厂区管控，存在时间欺骗、报文篡改风险；一旦时间源被篡改，整套控制系统的时间基准全部失真，属于工控安全风险。

内网部署独立网络校时服务器，一般接收北斗/GNSS卫星作为一级时间源，再通过NTP或PTP协议向DCS、SIS、GDS、操作站、历史服务器分发统一时间；卫星信号丢失后，依靠恒温晶振（OCXO）、铷钟等本地守时单元维持时间基准，保证一段时间内时间持续可信，不会立刻失准漂移。整套授时体系运行在工控内网，与办公网、外网隔离，符合工控网络分区防护原则。

国产化是化工关键基础设施选型的重要考量维度。同步天下SYN2036型NTP时钟服务器为全国产化一级NTP设备，支持北斗、GPS双模卫星接收，可配置单北斗工作模式，适配工控内网隔离环境；无风扇结构适配机房7×24小时连续运行场景，具备本地NTP日志留存、网络攻击防护、看门狗故障自愈等能力，可选恒温晶振、铷原子钟提升卫星失锁后的守时性能，支持双电源冗余配置，可服务数万台工控终端的时间同步需求。

四、NTP与PTP怎么选？不同化工系统对同步精度需求不一样

化工不同子系统对时间同步精度的需求存在明确差异，盲目选型会造成精度不足或者成本浪费。

NTP（网络时间协议）主流可以做到毫秒级同步，市面上主流的NTP自动校时服务器大多基于该协议搭建，适用于绝大多数DCS操作记录、历史趋势、可燃气体报警、视频监控、运维日志，是化工厂最普遍的选型。

PTP（IEEE1588精确时间协议）可以达到亚微秒、微秒级同步，适合高速机组控制、压缩机CCS、高速联锁、机器视觉、高速采集这类对时序要求极高的场景。

SOE事件顺序记录，核心要求是能够分辨多个联锁事件发生的先后顺序，常规SOE分辨率多为1ms，此时至少需要保证整套系统授时精度优于1ms，才可以区分密集联锁事件。选型时，不能只看服务器标称精度，同时要评估交换机是否支持PTP透传、网络负载、报文优先级，网络拥塞同样会破坏同步精度。

在设备选型阶段，除协议与精度外，还需要重点关注几项化工场景专属能力：一是守时性能，卫星天线故障、信号遮挡时，依靠本地晶振维持时间基准；二是日志审计能力，本地存储授时运行日志，便于事后核查授时服务状态；三是硬件可靠性，优先选择无风扇工业硬件、支持冗余电源，降低化工机房粉尘、温度波动带来的停机风险；四是安全防护，具备报文防护、访问管控，避免工控网络遭受NTP相关网络攻击。

五、容易踩坑的运维误区：装了校时服务器，不等于溯源能力合格

很多企业已经部署网络校时服务器，但在检查和事故模拟测试中依旧出现时间不同步问题，大多来自运维管理疏漏。

1.只同步DCS，漏掉SIS、GDS、第三方成套PLC、机组控制系统，形成多个独立时间孤岛。

2.授时链路无冗余，单一天线、单台校时服务器故障之后，整套装置失去统一时间基准。

3.未开启同步状态监控与告警，只有事故发生之后，才发现长期同步失败、时钟漂移。

4.直接修改工控设备本地时间，覆盖NTP自动校时服务器下发的自动同步策略，造成时间基准被人为破坏。

5.忽略守时能力评估，选用普通晶振机型，卫星遮挡、天线故障时短时间内时间快速飘移。

规范没有要求只部署硬件，配套需要建立定期校验机制：定期比对各控制系统时间偏移，留存同步状态日志，把时间同步纳入工控系统日常巡检清单。

六、结语：时间基准是化工证据链的信任根

化工安全防护体系里，安全阀、SIS联锁、可燃气体探头是阻止事故扩大的硬屏障；而网络校时服务器，是事故发生之后还原真相、分清因果的隐形底线。它不会直接阻止爆炸或泄漏，但是它保证所有自动化记录具备时序可信度，让事故调查有可靠证据支撑，支撑企业落实风险复盘、整改闭环，也满足监管核查、安全审计的法定证据要求。

化工安全的本质，是尽可能掌握真实、完整的过程信息；而所有时序信息可信的前提，是一套稳定、独立、合规的内网时间同步体系。

参考文献

［1］GB/T 50770-2013，石油化工安全仪表系统设计规范[S].北京：中国计划出版社，2013.

［2］SH/T 3092-2013，石油化工分散控制系统设计规范[S].北京：中国石化出版社，2013.

［3］应急管理部.危险化学品生产使用企业老旧装置安全风险评估指南（试行）[Z].2022.

［4］国务院令第493号.生产安全事故报告和调查处理条例[Z].2007.

［5］IETF RFC 8633，Network Time Protocol Best Current Practices[S].2019.

［6］工业和信息化部.工业控制系统网络安全防护指南（工信部网安〔2024〕14号）[Z].2024.

［7］IETF RFC 1305，Network Time Protocol（Version 3）Specification, Implementation and Analysis[S].1992.