4. 联锁与SIS的边界界定
在化工装置中，“联锁”和“SIS（安全仪表系统）”这两个词经常被混用：DCS里写一个PID回路的偏差报警联锁停泵，有人叫它SIS；SIS里做的一个压缩机防喘振保护，有人又叫它工艺联锁。名称混乱的直接后果是：该按SIL定级的没定级，该进SIS的回路留在了DCS，该由工艺负责的逻辑被推给了仪表专业，最终在HAZOP、LOPA和SIL评估中反复扯皮。本节要解决的核心问题就是：一条联锁到底应该放在哪里、由谁负责、按什么标准设计。
一、先厘清两个概念的本质差异
工艺联锁（Process Interlock）是以保护工艺过程、设备本体和产品质量为目的的逻辑保护，典型如泵出口压力低低停泵、反应器温度高切换冷却水、压缩机润滑油压低位停机。它的触发原因往往是工艺参数越限，动作目标是让过程回到安全或停止状态，设计依据主要是工艺包、设备厂家要求和操作规程。
安全仪表功能（SIF）则是以人员安全、环境安全和重大财产保护为目的、由安全仪表系统实现的安全保护功能，它必须经过风险评估确定其安全完整性等级（SIL），并按IEC 61511 / GB/T 21109的全生命周期管理。SIF是“功能”，SIS是“实现这些功能的系统平台”，二者不能等同。
因此，边界界定的第一原则不是“重要不重要”，而是“保护对象是谁、失效后果是什么”。保护的是设备不损坏、产品不合格、生产不中断，属于工艺联锁范畴；保护的是人员伤亡、有毒有害物料大量泄漏、火灾爆炸，才进入SIF范畴。
二、功能划分的四条落地原则
原则一：后果定归属。判定一条联锁的归属，先问“如果这个保护失效，最坏后果是什么”。若后果是反应器超温超压导致有毒物料外泄、人员中毒，则必须作为SIF；若后果只是催化剂结焦、设备寿命缩短或产品降级，则作为工艺联锁即可。注意，同一参数可能同时触发两类逻辑，例如反应器温度高高，一路进SIS做紧急切断进料，一路进DCS做冷却水阀开大，二者应分别设计、分别定级，不能合并成一条“温度高高联锁”。
原则二：独立保护层不重复计入。LOPA分析中，一个保护层只能承担一次风险削减。如果某工艺联锁已经作为独立保护层（IPL）计入，就不能再把同一传感器、同一逻辑、同一执行元件在SIS中重复计算。反过来，若某功能要作为SIF，它必须与BPCS（基本过程控制系统）在传感器、逻辑 solver、最终元件上保持独立，否则共因失效会使SIL等级虚高。
原则三：按风险等级选平台。工程上常用的划分是：SIL 1及以下的保护功能，在满足独立性、诊断覆盖率、硬件容错等要求的前提下，可由具备相应安全能力的DCS或PLC实现；SIL 2及以上必须由专用SIS实现。但要注意，这不是“SIL1就可以随便放DCS”，而是要求DCS本身按安全相关系统管理，包括独立的I/O卡、独立的逻辑、旁路管理、定期测试。很多项目把SIL1功能放在普通DCS控制站里，与PID共用CPU，这在SIL评估中是不被接受的。
原则四：责任边界随平台走。工艺联锁的因果表、设定值、延时由工艺专业主导，仪表专业配合实现；SIF的SRS（安全要求规格书）、SIL验证、 proof test周期由功能安全专业主导，工艺专业提供后果与工艺安全时间。边界清晰的项目，会在联锁台账中为每条逻辑标注“归属平台、是否SIF、SIL等级、责任专业、测试周期”五个字段，避免后期扯皮。
三、常见误区与工程后果
误区一：把所有“重要”联锁都放进SIS。有的项目为了“保险”，把泵出口压力低、罐液位高、压缩机振动高全部塞进SIS。后果是SIS规模膨胀、SIL验证工作量剧增、旁路管理失控，真正的高风险SIF反而被稀释。正确做法是先做LOPA，只把承担安全功能的回路纳入SIS。
误区二：用DCS实现SIL2功能。某聚合釜紧急终止剂注入逻辑，LOPA定级为SIL2，但设计时因“DCS也有联锁功能”而放在BPCS中，且与温度控制共用AI卡。这种配置的PFDavg无法满足SIL2要求，且共因失效未识别，属于典型的“名义上有保护、实际不达标”。
误区三：传感器共用。工艺联锁和SIF共用同一台压力变送器，看似节省投资，实则违反独立性原则。一旦变送器漂移或堵塞，两个保护层同时失效。工程上应至少为SIF配置独立的测量元件，或采用冗余配置并做共因分析。
误区四：把SIS当工艺优化工具。SIS的职责是“该动时一定动、不该动时不动”，不应承担频繁调节、顺序控制、防喘振优化等任务。把工艺联锁逻辑塞进SIS，会增加误停车率，也会让SIS的SIL验证失去意义。
四、一个可复用的判定示例
以某精馏塔为例：塔顶压力高，触发回流罐放空阀打开。若后果仅为塔压波动、产品不合格，属工艺联锁，放DCS；若该塔处理的是有毒介质，塔压高可能导致安全阀起跳后有毒气体排入大气，则需评估是否设置SIF切断再沸器蒸汽。假设LOPA给出SIL2，则应在SIS中设置“塔压高高→切断再沸器蒸汽”的SIF，传感器独立于DCS压力控制，最终元件采用独立切断阀，proof test周期按PFDavg计算确定，例如要求PFDavg≤1×10⁻²时，取一年一次并配合部分行程测试。
边界界定的最终产出不是一张图，而是一份可执行的联锁台账和SRS。工艺、仪表、安全三方在同一张表上签字，比任何口头约定都可靠。