3. 联锁与安全控制系统基础
海洋平台公用工程系统（仪表风、供电、蒸汽、海水、消防水、燃油/燃气等）一旦失效，往往不是单点故障，而是会沿着用户链迅速扩散。联锁与安全控制系统的作用，就是在工艺参数越过安全边界时，按预先定义的逻辑自动把设备或系统带入安全状态，避免事故扩大。本节围绕联锁逻辑、安全完整性等级（SIL）、公用工程联锁与工艺联锁的区别，以及维护中的功能安全要求展开。
一、联锁逻辑的基本构成
联锁本质上是“检测—判断—动作”的因果链：现场传感器把压力、液位、温度、流量、振动等参数转换为信号，送入安全仪表系统（SIS）或联锁控制器；控制器按组态好的逻辑进行判断；判断成立后驱动执行元件（切断阀、停机回路、泄放阀、声光报警等）动作。以海洋平台常见的高压燃气分离器为例：当压力变送器 PT-1203 检测值达到高高限设定值 1.85 MPa（示例参数）并持续超过 2 s 延时，联锁逻辑输出跳车信号，关闭入口切断阀 XV-1201、打开放空阀 XV-1202，同时向中控发出报警。这里的“设定值、延时、复位方式”都是联锁逻辑的关键参数，缺一不可。
联锁逻辑通常用因果图（Cause & Effect Matrix）表达：行是原因（检测点与限值），列是结果（执行动作），交叉点标注动作类型（跳车、报警、闭锁）。维护人员必须能读懂因果图，才能判断某次联锁动作是否“该动”“动对了没有”。
二、安全完整性等级（SIL）概念
SIL 是对安全仪表功能（SIF）降低风险能力的量化分级，依据 IEC 61508/61511，分为 SIL1～SIL4。它由三个要素共同决定：硬件故障裕度（HFT）、安全失效分数（SFF）和按需失效概率（PFDavg，低要求模式）或每小时危险失效频率（PFH，高要求/连续模式）。工程上常用简化理解：SIL 等级越高，要求该安全功能在需要动作时失效的概率越低。例如低要求模式下 SIL2 对应 PFDavg 在 10⁻³～10⁻² 之间，SIL3 对应 10⁻⁴～10⁻³。
需要强调：SIL 等级是针对“某一个安全仪表功能”评定的，不是针对某台仪表或整个 SIS 系统。同一个平台上，不同 SIF 可以有不同 SIL 等级。SIL 的确定来自风险分析（如 LOPA 保护层分析），而不是凭经验随意指定。维护中常见的误区是把“SIL2 认证仪表”等同于“整个回路达到 SIL2”，实际上传感器、逻辑 solver、执行元件、供电、接线端子都参与 PFD 计算，任一环节短板都会拉低整体等级。
三、公用工程联锁与工艺联锁的区别
工艺联锁针对具体工艺单元（如分离器超压、塔器液位过高、压缩机喘振），检测点集中、因果明确、动作对象单一。公用工程联锁则面向“支撑性系统”，其特点是影响面广、跨单元、常以“可用性”为核心。例如仪表风压力低低（如低于 0.45 MPa，示例值）时，可能触发多个气动阀失气动作；消防水压力低低时，可能联锁停运部分非关键用电负荷以保消防泵供电；主电源失电时，应急发电机启动并联动切换负荷。公用工程联锁的因果图往往“一因多果”，维护时必须梳理清楚每个公用工程参数低/高会波及哪些用户，避免误动作造成大面积停产，或漏动作导致保护缺失。
另一个区别在试验与旁路管理：工艺联锁多随装置检修窗口做回路测试；公用工程联锁因涉及全平台，常需要在线部分试验、分级旁路，并严格记录旁路范围和时限。
四、维护中的功能安全要求
功能安全不是投运时的一次性工作，而是贯穿全生命周期的持续活动。维护阶段的核心要求包括：
- 变更管理（MOC）：修改设定值、延时、逻辑、仪表型号、接线，都必须走变更审批，重新评估是否影响 SIL 和因果图，并更新文档。
- 旁路与抑制管理：旁路必须经审批、登记、限时，明确补偿措施（如加强巡检、临时报警），到期强制恢复。
- 定期 proof test（验证测试）：按 SIF 要求周期对传感器、执行元件做功能测试，测试覆盖率直接影响 PFDavg，未覆盖部分不能计入诊断覆盖率。
- 失效记录与共因分析：记录每次联锁动作、误动作、拒动作，分析是否为共因失效（如共用电源、共用接线端子、同批仪表）。
- 备件与校准：安全相关仪表应使用符合精度与认证要求的备件，校准记录可追溯。
下面用一张信号链与功能安全关系图，把“检测—逻辑—执行—维护活动”串起来，帮助理解 SIL 评定对象和维护关注点。
五、一个维护场景的完整判断过程
假设某平台仪表风压力低低联锁在夜班发生动作，导致多台气动调节阀失气。维护人员到场后，第一步不是急着复位，而是先查因果图确认该联锁的“原因—结果”范围：哪些阀应失气、哪些应保持、是否有延时。第二步查 SIS 事件记录，确认是真实压力低还是仪表误报，核对压力变送器与就地压力表读数是否一致。第三步检查旁路状态，确认动作期间是否有已批准的旁路，避免误判。第四步在确认工艺安全后按复位程序恢复，并记录本次动作。若判断为误动作，需进一步检查取压管是否堵塞、变送器零点是否漂移、逻辑延时是否被改动，并按 MOC 流程处理。整个过程体现了功能安全“可追溯、可判断、可恢复”的要求。
掌握联锁逻辑、SIL 概念和两类联锁的区别，最终要落到维护行为上：看得懂因果图、管得住旁路、做得了验证测试、记得清失效事件。只有把功能安全要求嵌入日常维护流程，联锁系统才能在真正需要时可靠动作。