3. 安全仪表系统（SIS）概述

在化工装置中，BPCS（基本过程控制系统，如 DCS）负责“把装置稳定地开在设定点上”，而 SIS（安全仪表系统，Safety Instrumented System）负责“当装置偏离到危险边界时，把过程拉回安全状态或使其安全停车”。两者目标不同、失效模式不同，因此不能相互替代。理解 SIS，必须同时抓住三件事：它由什么组成、它在什么流程约束下被管理、以及它依据什么标准被设计、验证和维护。

一、SIS 的组成：从传感器到执行元件的完整安全回路

SIS 不是一台孤立的控制器，而是一条端到端的安全功能链。一条典型的安全仪表功能（SIF）由三部分组成：

• 传感器子系统：如压力变送器、温度热电偶、液位开关、火焰探测器。它把过程变量转换为电信号，并常采用冗余（1oo2、2oo3）提高诊断覆盖率与容错能力。
• 逻辑控制器子系统：安全 PLC 或专用安全控制器，执行联锁逻辑（如“反应器温度高于 T_high 且持续 3 s，则关闭进料阀并打开紧急冷却”）。它具备自诊断、看门狗、冗余 CPU、安全通信等特性。
• 最终元件子系统：切断阀、电磁阀、紧急放空阀、电机停车回路等。最终元件往往是 SIF 中失效率最高的环节，因此需要部分行程测试（PST）和定期全行程测试。

此外还有辅助要素：安全仪表系统的现场接线与端子、旁路与首出（first-out）管理、SIS 与 DCS 之间的通信接口、以及独立于 SIS 的报警与操作员响应层。需要强调：安全功能链中任一环节的 PFD（要求时的平均失效概率）都要计入 SIF 的整体 SIL 定级，不能只算控制器。

二、安全生命周期：SIS 不是“买来装上”就完事

IEC 61511 的核心思想是把 SIS 当作一个全生命周期管理的安全资产。安全生命周期（SLC）从危险与风险评估开始，到 SIF 分配、SIL 定级、设计实现、安装调试与 SIF 验证、运行维护与变更管理，直至退役。图中虚线表示：运行中发现的误跳车、拒动作、旁路记录或工艺变更，必须反馈回风险评估阶段重新审视，而不是在现场“改个逻辑就算了”。

对工程实践而言，SLC 中最容易被忽视的是阶段 5 的 SIF 验证和阶段 6 的变更管理（MOC）。SIF 验证不是简单通电测试，而是要用实际或模拟的输入，逐条验证：传感器达到设定值时逻辑是否正确动作、最终元件是否在规定时间内到达安全位置、旁路是否被正确记录和限制。验证记录应包含测试日期、测试人、输入值、动作时间、阀门行程和首出信号。

三、IEC 61511 的关键要求与 SIL 概念

IEC 61511 面向过程工业（化工、石化、油气），与面向通用领域的 IEC 61508 是“父标准与子标准”的关系：61508 给出功能安全基础框架，61511 给出过程行业的具体实施要求。其关键要求包括：

• SIL 定级：SIL 1～SIL 4，过程工业常用 SIL 1～SIL 3。SIL 等级由 PFDavg（低要求模式）或 PFH（高要求/连续模式）决定，例如 SIL 2 对应 PFDavg 在 10⁻³～10⁻² 之间。
• 安全要求规格书（SRS）：每条 SIF 必须有书面规格，写明功能描述、触发条件、响应时间、SIL 等级、复位方式、旁路策略和测试要求。
• 硬件故障裕度（HFT）与结构约束：根据 SIL 等级和设备类型，规定最小冗余结构，例如 SIL 3 的传感器常要求 HFT=1 并具备诊断。
• 功能安全评估（FSA）：在关键阶段由独立人员评审，确认设计满足 SRS。
• 旁路管理：旁路必须经审批、限时、记录，并评估旁路期间的风险补偿措施。

四、工程落地时的几个判断点

第一，SIS 必须独立于 BPCS：共用传感器或共用最终元件会引入共因失效，若确实无法分开，必须做共因失效分析并在 SRS 中说明。第二，首出（first-out）与报警分层：SIS 动作后应能区分“谁先触发”，便于事后分析与复位；操作员报警应独立于 SIS 逻辑，避免报警泛滥掩盖安全动作。第三，测试周期决定实际 SIL：PFDavg 与测试间隔近似成正比，缩短 proof test 周期可显著降低 PFD，但必须评估测试期间的旁路风险与生产影响。第四，变更必须回到 SLC：更换阀门型号、修改设定值、调整延时，都可能改变 PFD 与 SIL 结论，必须走 MOC 并更新 SRS 与验证记录。

综上，SIS 的可靠性来自“完整的安全功能链 + 受控的安全生命周期 + 可追溯的验证与变更记录”。把这三者落实到 SRS、SIL 计算、测试记录和旁路台账上，才是 IEC 61511 在化工现场真正落地的样子。