3. 联锁设计需求分析与文档化

联锁设计的质量，很大程度上不取决于编程阶段，而取决于需求提取是否完整、准确。食品设备现场常见的问题——该停的没停、不该停的频繁误停、故障后无法判断联锁是否动作——追根溯源，多数是需求阶段遗漏或表述含糊造成的。本节围绕三个输入源（P&ID、设备清单、操作规程）说明如何提取联锁需求，并给出联锁逻辑说明表与需求规格书的可执行写法。

一、三个输入源各自能提供什么

P&ID 是联锁需求的第一来源，它给出的是工艺连接关系与仪表位号：哪些设备之间有物料或蒸汽连接、哪些测点（温度、压力、液位、流量）参与控制、阀门与泵的位号、以及管道上标注的联锁符号（如虚线连接的联锁框、SIS 标记）。从 P&ID 上能直接读出“谁影响谁”，例如杀菌机出口温度 TT-301 与蒸汽调节阀 TV-301 构成控制回路，而 TT-301 的高高限往往同时触发蒸汽切断与物料泵停运。

设备清单提供的是对象属性与保护边界：电机功率与额定电流、泵的允许干转时间、换热器的设计压力、变频器是否支持外部急停、阀门是气开还是气关（失气位置）。这些参数直接决定联锁的触发值、延时和复位方式。例如一台 15 kW 离心泵，设备清单注明机械密封要求“无液运行不超过 10 s”，那么入口低压保护的动作延时就必须小于该值，而不能沿用通用经验值。

操作规程提供的是时序与人为动作约束：CIP 清洗时哪些泵必须同时运行、升温阶段是否允许搅拌先启、停机时先停料还是先停蒸汽、异常时操作工应如何手动干预。规程中的“必须先……才能……”句式，几乎都能转化为联锁的允许条件或顺序约束。

二、从资料到条目的提取方法

建议按“逐台设备、逐条工艺路径”的方式扫描，而不是通读资料凭印象记录。对每一台参与联锁的电机，依次回答四个问题：触发量是什么（哪个位号、什么信号类型、阈值与延时）；动作对象是谁（停哪台泵、关哪个阀、是否同时切断加热）；动作后的状态是什么（阀门失电开还是关、是否需要声光报警）；如何复位（自动复位、手动复位、是否要求现场确认后复位）。四问缺一，就说明需求不完整，必须回查原始资料补齐，而不是留待编程时“看着办”。

提取过程中要特别注意三类容易遗漏的需求。第一类是允许条件（Permissive），即“满足才能启动”，例如搅拌电机只有在罐内液位高于 LSL-105 时才允许启动，这类需求常写在操作规程里而不在 P&ID 上。第二类是顺序约束，例如停机时必须先停物料泵、延时 30 s 再停 CIP 回流泵，防止管道憋压。第三类是互斥约束，例如生产模式与 CIP 模式不能同时有效，需在联锁逻辑中做模式互锁。这三类需求如果只按“超限即停”的思路提取，几乎必然漏掉。

三、联锁逻辑说明表的写法

逻辑说明表是需求与程序之间的桥梁，每条联锁占一行，字段应保证“不看程序也能测试”。以下为某杀菌工段的示例（参数为教学假设值，非实测）：

表中“延时”一列必须与设备允许值挂钩：IL-02 的 3 s 来自泵干转保护要求，若设备清单给出的允许干转时间为 10 s，则延时须留出反馈信号抖动余量，取 3～5 s 较为稳妥。复位方式一列则决定了程序中是否需要设置锁存位，以及 HMI 上是否要提供复位按钮和权限控制。

四、需求规格书的组织

逻辑说明表解决“每条联锁是什么”，需求规格书解决“整体约束是什么”。规格书至少应包含：联锁范围与安全目标（哪些设备纳入、防护的是人身、设备还是产品安全）；联锁等级划分（哪些进安全仪表系统、哪些在 PLC 常规逻辑中实现，依据风险大小而非习惯）；仪表与执行器约束（传感器冗余、阀门失气位置、急停回路是否硬线）；接口边界（与基本控制回路、MES 批次系统的数据交换点，避免同一动作被两处逻辑重复驱动）；以及测试、验收与变更管理要求。其中“变更管理”常被忽略，但食品厂设备改造频繁，若无变更记录，联锁逻辑会在多次小改后与图纸脱节。

最后需要强调，需求文档不是一次性交付物。设备改造、工艺参数调整、法规更新都会引起联锁需求变化，因此逻辑说明表应保留版本号与修订记录，规格书应明确变更审批路径。只有把需求提取、表格化、规格化、变更控制连成闭环，联锁设计才具备可追溯性和可验证性，后续的编程与调试才有可靠依据。