2. DeltaV SIS硬件架构与选型
DeltaV SIS 是艾默生基于 DeltaV 平台构建的安全仪表系统，其硬件架构与常规过程控制系统（BPCS）在理念上有本质区别：BPCS 追求可用性与控制品质，SIS 追求在危险工况下"该动必须动、不该动绝不误动"。理解这一差异，是进行硬件选型的前提。本节从控制器、I/O 卡件、安全网络、冗余容错配置四个层面展开，并落到 SIL 等级对硬件的约束与典型架构的选型决策上。
一、SIS 控制器的定位与选型要点
DeltaV SIS 采用独立的 SIS 逻辑控制器（Logic Solver），与 BPCS 控制器物理分离、逻辑隔离。控制器内部执行安全逻辑，典型扫描周期在 50～200 ms 量级，具体取决于逻辑规模与 SIL 目标。选型时需关注三个核心参数：一是安全认证等级，控制器须取得 IEC 61508 的 SIL3 认证（如 DeltaV SIS 逻辑控制器满足 SIL3 能力）；二是容量，包括可挂载的 I/O 卡件数量、可组态的安全逻辑点数与联锁回路数；三是通信能力，需支持与 BPCS 的隔离通信以及安全网络协议。
需要强调的是，控制器本身达到 SIL3 并不等于整个回路达到 SIL3。SIL 等级由传感器、逻辑控制器、最终元件三部分共同决定，控制器只是其中一环。选型时若传感器或阀门仅达 SIL2，则整条回路最高只能声明 SIL2。
二、安全 I/O 卡件的类型与冗余
DeltaV SIS 的 I/O 卡件按信号类型分为安全 AI、安全 AO、安全 DI、安全 DO 等。与普通 I/O 的关键区别在于：安全 I/O 卡件内置诊断电路，可周期性检测通道的短路、开路、漂移等故障，并将诊断结果上报控制器，使系统能按预设的安全状态响应。
冗余配置上，常见做法是 I/O 卡件 1:1 冗余（成对配置，主卡故障时备卡接管），以及通道级冗余（同一信号接入两个通道，通过表决判断）。对于 SIL3 回路，通常要求传感器采用 1oo2 或 2oo3 表决结构，I/O 通道相应配置为冗余或表决输入。数字量输出则常采用 1oo2D 或 2oo3 结构，确保单一故障不会导致误动作或拒动作。
三、安全网络与通信隔离
DeltaV SIS 使用独立的安全网络（Safety Network）承载 SIS 控制器与 SIS I/O 之间的通信，与 BPCS 的常规控制网络物理隔离。这种隔离是防止 BPCS 侧故障或网络风暴影响 SIS 的关键措施。SIS 与 BPCS 之间若需数据交换（如将 SIS 状态送 BPCS 显示），应通过专用的安全通信接口或网关，并采用单向或受控的数据流向，避免 BPCS 侧对 SIS 形成反向干扰。
网络冗余方面，安全网络通常采用双网冗余（A/B 网），任一网段故障时通信自动切换，切换时间应在控制器扫描周期允许范围内，不引起联锁误动。
四、冗余与容错配置的取舍
冗余与容错不是越多越好，需在安全性与可用性之间权衡。冗余（如 1oo2）提高安全性但降低可用性（任一通道故障即触发安全动作）；容错（如 2oo3）在保证安全性的同时容忍单通道故障，可用性更高，但成本与接线复杂度上升。工程上通常按 SIL 等级和工艺停车代价来决策：SIL3 且停车代价极高的回路，倾向 2oo3；SIL2 且停车代价可接受的回路，1oo2 即可。
五、典型架构对比与选型决策
工程中常见的 SIS 架构可归纳为三类。第一类是单控制器 + 冗余 I/O 架构，适用于 SIL2 回路、停车代价中等的场合，成本较低，但控制器为单点。第二类是冗余控制器 + 冗余 I/O 架构，控制器 1:1 冗余，适用于 SIL3 且可用性要求高的场合，任一控制器故障不影响联锁功能。第三类是表决型架构，传感器与最终元件均采用 2oo3 表决，配合冗余控制器与双网，适用于 SIL3 且误停车代价极高的关键回路。
选型决策可按以下顺序推进：先确定每条安全回路的 SIL 目标等级，再据此确定传感器与最终元件的表决结构，然后反推 I/O 卡件与控制器是否需要冗余，最后校核安全网络的隔离与冗余是否满足要求。需要提醒的是，SIL 验证是一个闭环过程，选型完成后应通过 PFDavg 计算验证整条回路是否真正达到目标 SIL，而非仅凭硬件认证等级下结论。
综上，DeltaV SIS 硬件选型的核心逻辑是：以回路 SIL 目标为起点，以表决结构和冗余配置为手段，以安全网络隔离为保障，最终通过 PFDavg 计算闭环验证。掌握这一逻辑，才能在具体项目中做出既安全又经济的架构决策。