4. 设计标准与规范
因果矩阵（Cause & Effect Matrix，C&E Matrix）是安全仪表系统（SIS）中把“原因”（传感器/触发条件）与“结果”（最终执行元件/动作）进行结构化映射的核心设计文件。它既是逻辑组态的输入，也是验证、测试与变更管理的依据。因此，因果矩阵的设计不能只凭工程经验，而必须落在功能安全标准体系所规定的框架内。本节围绕 IEC 61508、IEC 61511、GB/T 21109 与 GB 50770 等标准，梳理它们对因果矩阵设计的具体要求与合规要点。
一、标准体系的分工与定位
理解标准对因果矩阵的要求，首先要分清各标准的层级与适用范围。IEC 61508 是功能安全的“基础标准”，提出安全生命周期、安全完整性等级（SIL）、硬件故障裕度、系统性能力等通用要求，它不针对具体行业，但为所有行业标准提供方法论。IEC 61511 是流程工业（过程工业）安全仪表系统的“行业标准”，把 IEC 61508 的通用要求落地为 SIS 的安全生命周期活动，因果矩阵正是其“SIS 设计”阶段的关键输出。GB/T 21109 是 IEC 61511 的等同采用国家标准，技术内容与 IEC 61511 一致，是国内过程工业 SIS 设计的主要依据。GB 50770 则是《石油化工安全仪表系统设计规范》，属于工程建设强制性标准，对 SIS 的配置、逻辑控制器、检测元件、执行元件、因果逻辑等提出更具体的工程规定。
二、因果矩阵在安全生命周期中的位置
IEC 61511 把 SIS 安全生命周期划分为危害与风险分析、安全要求分配、SIL 定级、SRS 编制、SIS 设计与工程、安装调试、安全确认、运行维护、变更管理、停用等阶段。因果矩阵主要产生于“SIS 设计与工程”阶段，但它的输入来自 SRS（安全要求规格书），输出则要接受安全确认与定期测试的检验。也就是说，因果矩阵不是孤立表格，而是安全生命周期中“要求—设计—验证—运维”链条上的枢纽文件。
三、各标准对因果矩阵的具体要求
IEC 61511 要求 SIS 设计必须依据 SRS，明确每个安全仪表功能（SIF）的因果逻辑、表决结构、动作设定值、响应时间与复位方式。因果矩阵正是这些信息的集中表达。标准还要求对每个 SIF 进行 SIL 验证，确认其 PFDavg 或 PFH 满足目标风险降低要求，因此矩阵中每个“原因—结果”交叉点都应能追溯到对应的 SIF 编号与 SIL 等级。
GB/T 21109 与 IEC 61511 技术内容一致，但在国内工程实践中，常与 GB 50770 配合使用。GB 50770 对 SIS 的冗余配置、逻辑控制器选型、检测元件与执行元件的独立性、因果逻辑的优先级、旁路管理、测试与维护等提出更细化的规定。例如，它强调安全联锁的逻辑设计应明确“故障安全”原则，最终执行元件的动作方向应在矩阵中清晰标注；对于高 SIL 回路，还要求考虑共因失效与硬件故障裕度。
IEC 61508 虽不直接规定矩阵格式，但它提出的“安全完整性”概念决定了矩阵中每个 SIF 的 SIL 等级、硬件故障裕度（HFT）与安全失效分数（SFF）要求。矩阵设计者必须理解：一个交叉点不是简单的“打勾”，而是代表一条完整的安全功能链，其可靠性由传感器、逻辑控制器、执行元件三部分的失效率共同决定。
| 标准 | 对因果矩阵的核心要求 | 合规检查要点 |
|---|---|---|
| IEC 61508 | 提供 SIL、安全生命周期、硬件故障裕度、PFD/PFH 计算方法 | 每个 SIF 的 SIL 是否可追溯；HFT 与 SFF 是否满足要求 |
| IEC 61511 | 要求 SIS 设计依据 SRS，明确因果逻辑、表决、响应时间与复位 | 矩阵是否覆盖全部 SIF；是否与 SRS 一致；是否完成 SIL 验证 |
| GB/T 21109 | 等同采用 IEC 61511，作为国内过程工业 SIS 设计依据 | 技术内容与 IEC 61511 一致；国内项目应优先引用 |
| GB 50770 | 规定石油化工 SIS 的配置、逻辑、旁路、测试与维护要求 | 冗余配置、故障安全、动作方向、旁路管理是否合规 |
四、典型场景：从 SRS 到因果矩阵的合规落地
以某石化装置的反应器超压联锁为例。SRS 中规定：当反应器压力达到高高限（PAHH）时，应关闭进料阀并打开紧急放空阀，SIL 等级为 SIL 2。设计者需要把这条 SIF 拆解为因果矩阵中的一行：原因列为“反应器压力 PAHH”，结果列为“进料阀关闭”和“放空阀打开”，交叉点标注“1”或“X”，并注明表决方式、延时、复位方式与 SIF 编号。若该 SIF 采用 1oo2 压力变送器表决，则矩阵中应体现表决逻辑；若进料阀与放空阀共用同一逻辑控制器，则需评估共因失效风险。
SIF-012 反应器超压联锁
原因：PT-101A/B/C 三取二高高限 PAHH
逻辑：2oo3 表决，延时 0.5s，手动复位
结果：XV-101 关闭（失电关），XV-102 打开（失电开）
SIL：SIL 2
测试周期：每季度一次部分行程测试
旁路：仅允许维护旁路，需双重确认并限时 8 小时这个例子说明，因果矩阵不是简单的“原因—结果”表格，而是承载了表决、延时、复位、旁路、测试周期等安全生命周期信息的工程文件。它必须与 SRS、SIL 验证报告、逻辑组态文件、测试程序保持一致。
五、常见误区与复盘
- 误区一：只画矩阵，不做追溯。矩阵中的每个交叉点都应能追溯到 SIF 编号与 SRS 条款，否则安全确认时无法证明完整性。
- 误区二：忽略标准层级。把 GB 50770 的工程规定与 IEC 61511 的生命周期要求混为一谈，导致 SIL 验证缺失或冗余配置过度。
- 误区三：旁路与复位未纳入矩阵。旁路管理、手动复位、首出记录等是标准明确要求的内容，遗漏会导致运维阶段无法合规操作。
- 误区四：矩阵与组态不一致。设计矩阵与逻辑组态脱节，是安全确认和定期测试中最常见的问题之一。
综上，IEC 61508、IEC 61511、GB/T 21109 与 GB 50770 共同构成了因果矩阵设计的标准依据。设计者应把矩阵视为安全生命周期的核心工程文件，而不是一张静态表格。只有做到“标准可依、SIF 可溯、逻辑可验、变更可控”，因果矩阵才能真正支撑 SIS 的功能安全与工程合规。