1. 课程导入与安全生命周期
在流程工业中，一套乙烯裂解装置的炉膛压力一旦失控，可能在数秒内引发爆燃；一段加氢反应器的温度若越过安全阈值，也可能在几分钟内演变为飞温事故。面对这类风险，仅靠常规DCS的报警和人工干预往往来不及，必须由独立的安全仪表系统（SIS）在毫秒到秒级时间内自动执行联锁动作。本课程围绕西门子PCS 7平台，讲解如何把过程安全联锁与SIS集成到统一的工程体系中，而本章作为导入，先建立三个基础认知：安全生命周期的阶段划分、SIS与基本过程控制系统（BPCS）的边界、以及典型应用场景。
一、学习目标：从“会组态”到“懂安全”
本课程不是单纯的PCS 7操作教程，而是以IEC 61511安全生命周期为主线，把工程实践串起来。学完本课程，你应当能够：
- 说清SIS与BPCS在功能、独立性、可用性、失效模式上的本质区别，并能判断一个联锁回路该由谁承担；
- 按IEC 61511的阶段顺序，完成从危害辨识、SIL定级、安全要求规格书（SRS）到设计、组态、验证、投运、维护的完整闭环；
- 在PCS 7中区分标准自动化系统与安全自动化系统（F系统），理解安全程序、安全通信、安全I/O的组态要点；
- 读懂SIL等级与PFDavg、架构约束（HFT、SFF）之间的关系，能对简单回路做初步验算；
- 识别典型应用场景中的安全功能，并给出合理的联锁动作与复位策略。
二、IEC 61511安全生命周期：一条闭环的“安全链”
IEC 61511把安全仪表系统的实现过程划分为若干阶段，核心思想是“从风险出发，再回到风险验证”。它不是一次性流程，而是贯穿装置全生命周期的循环。下图给出各阶段及其主要输入输出关系。
需要特别强调的是，安全生命周期不是“做完验证就结束”。运行阶段的定期功能测试、旁路审批、失效数据收集，会反过来修正SIL定级和测试周期，形成闭环。PCS 7的工程环境虽然提供了安全程序组态能力，但阶段1到阶段3的分析工作必须在组态之前完成，否则安全程序只是“没有依据的逻辑”。
三、SIS与BPCS：不是“更可靠的DCS”
很多初学者把SIS理解为“冗余配置的DCS”，这是危险的误解。两者的设计目标根本不同：BPCS追求可用性和控制品质，允许在故障时降级运行；SIS追求安全完整性，要求在危险发生时可靠地进入安全状态。下表从几个关键维度对比。
| 对比维度 | BPCS（基本过程控制系统） | SIS（安全仪表系统） |
|---|---|---|
| 核心目标 | 维持生产、调节品质、提高可用率 | 保护人员、环境与设备，降低风险 |
| 失效模式倾向 | 偏向可用性，故障时可降级或手动 | 偏向安全性，要求失效时导向安全侧 |
| 独立性 | 可与其它系统共享 | 传感器、逻辑、最终元件通常独立于BPCS |
| 典型响应 | 连续调节、报警、趋势 | 离散联锁、紧急停车、切断/放空 |
| 标准依据 | 常规自动化工程规范 | IEC 61511 / IEC 61508，按SIL管理 |
| PCS 7 载体 | 标准自动化系统（AS） | 安全自动化系统（F 系统） |
两者的联系同样重要。SIS的联锁动作往往需要把停车信号送给BPCS，用于触发顺序停车、关闭调节阀、记录事件；BPCS的工艺参数也可能作为SIS的参考输入，但不得作为唯一的安全触发源。在PCS 7中，这种联系通过安全通信和明确的信号映射实现，同时必须保证安全功能不依赖BPCS的正常运行。
四、典型应用场景：安全功能长什么样
以某加氢反应器为例，假设HAZOP识别出“反应器温度过高导致飞温”这一危险，LOPA分析后确定需要一个SIL 2的安全功能。其安全功能可描述为：当反应器床层温度达到联锁设定值（示例取 280 ℃，三取二表决）时，在2 s内关闭进料切断阀并打开紧急泄压阀。这里涉及三个部分：传感器（三支热电阻）、逻辑求解器（PCS 7 F 系统）、最终元件（切断阀与泄压阀）。任何一部分的失效都会影响整体SIL能力，因此验证时必须按整条回路计算PFDavg。
再如常减压装置的加热炉，安全功能通常是“炉膛压力低低”触发停炉，防止回火爆炸；储罐区则常见“液位高高”触发进料切断，防止溢罐。这些场景的共同点是：触发条件明确、动作离散、响应时间要求严格、且必须独立于常规控制回路。
本章建立了课程的整体框架：以IEC 61511安全生命周期为纲，以PCS 7 F系统为实现载体，以SIS与BPCS的边界为判断依据，以典型场景为练习对象。接下来将逐阶段展开，从危害辨识与SIL定级开始，进入真正的工程细节。