1. 课程导论

在化工装置里，“联锁”和“安全仪表”这两个词经常一起出现，却常被混为一谈。有人把DCS里的一个高报警当作联锁，有人把SIS里的一条停车逻辑当成全部安全仪表，还有人认为只要装了安全仪表系统（SIS），工艺联锁就可以简化。这些理解偏差，恰恰是后续设计与运维事故的源头。本课程要建立的第一个认知是：工艺联锁是工艺安全逻辑的一层，安全仪表是承载这层逻辑并具有功能安全完整性要求的系统；两者有交集，但边界不同。

一、三个必须分清的基本概念

工艺联锁（Process Interlock）指当工艺参数越过设定阈值时，自动触发阀门动作、机泵停运或加热源切断等保护动作的逻辑。它强调的是“工艺条件—动作”的因果关系，例如反应器温度达到T1时关闭进料阀、开启紧急冷却。联锁可以由DCS、PLC或SIS实现，其本身不天然具备安全完整性等级（SIL）要求。

安全仪表系统（SIS）是由传感器、逻辑 solver 和最终执行元件构成、用于执行安全仪表功能（SIF）的系统。SIS的核心特征是它按IEC 61511/GB/T 21109进行功能安全管理，每条SIF都有明确的安全完整性等级（SIL1～SIL3）和相应的硬件故障裕度、诊断覆盖率、共因失效控制要求。

安全仪表边界则回答一个工程问题：哪些保护功能必须放进SIS并按SIL管理，哪些可以留在DCS/PLC作为一般工艺联锁，哪些应由物理泄压、机械联锁等非仪表手段承担。这条边界一旦划错，要么把低风险回路过度SIL化造成投资浪费，要么把高风险回路留在普通控制系统中，形成“看起来有保护、实际不满足完整性”的隐患。

二、边界为什么难划：三个典型误区

误区一：把所有联锁都塞进SIS。某聚合装置曾把“搅拌电流高报停进料”这类设备保护也纳入SIS，结果SIS规模膨胀、检验测试工作量剧增，而真正的高温高压联锁反而因共因失效和旁路管理混乱被削弱。正确做法是先做保护层分析（LOPA），只有承担独立保护层（IPL）且被认定为安全仪表功能的回路才进入SIS。

误区二：认为DCS联锁“也保护了”，就不需要SIS。DCS的可用性高，但它的失效模式、诊断覆盖率和硬件故障裕度并非按功能安全设计，且常与基本控制共享卡件与电源。当同一风险既需要控制又需要保护时，控制与保护必须独立，否则一次共因失效会同时拿走两层保护。

误区三：忽略“边界”的动态性。技改后工艺条件变化、联锁设定值调整、旁路长期挂起，都会让原本合理的边界失效。边界不是一次划分就一劳永逸的图纸，而是需要随HAZOP、LOPA和变更管理（MOC）持续维护的工程结论。

三、本课程的目标与能力结构

学完本课程，你应当能够独立完成四类工作：其一，读懂并绘制工艺保护层与SIS边界图，说清每条联锁的归属与依据；其二，依据IEC 61511/GB/T 21109完成SIF的识别、SIL定级与SRS编写；其三，理解传感器、逻辑 solver、最终元件的冗余、诊断与PFD计算关系，能对一条SIF做简化的完整性验证；其四，掌握旁路、复位、检验测试、变更与文档管理的工程做法，并能对常见边界争议作出有依据的判断。

课程按“概念—定级—设计—验证—运维—复盘”推进：前段建立保护层与边界概念，中段进入SIL定级与SRS、硬件设计与PFD计算，后段覆盖安装调试、旁路管理、检验测试与事故复盘。每章都围绕真实工程对象展开，参数与算例均为教学示例或合理假设，用于说明方法，不代表任何具体装置的实测结论。

四、一个贯穿全课的判断示例

设某放热反应器，HAZOP识别出“冷却水中断导致飞温”的后果为人员重伤与设备损坏。LOPA给出该场景所需风险降低因子为100。现有保护包括：基本控制（温度调节）、DCS高温联锁切断进料、安全阀。经分析，基本控制不作为独立保护层；DCS联锁与基本控制共享卡件，独立性不足；安全阀只应对超压，不抑制飞温。因此需要新增一条独立的安全仪表功能：反应器温度高高（2oo3）触发切断进料并开启紧急冷却，经定级为SIL2。此时边界结论是：该SIF进入SIS，DCS联锁保留为工艺报警与辅助动作，安全阀仍作为超压最终屏障。这个例子说明，边界不是“谁更高级”，而是“谁独立、谁可验证、谁承担了多少风险降低”。