2. 安全仪表系统基础
在石油化工、天然气、电力等流程工业中，安全仪表系统（SIS）是保护人员、设备和环境免受工艺异常危害的最后一道自动化防线。理解 SIS、SIL、ESD、DCS、F&G 之间的关系，是掌握紧急停车系统设计与运维的起点。本节从概念定位、层级关系、术语定义和典型场景四个角度展开，帮助建立清晰的知识框架。
一、核心概念与定位
SIS（Safety Instrumented System，安全仪表系统）是由传感器、逻辑控制器和最终执行元件组成的独立系统，用于在工艺参数超出安全边界时自动将过程带入安全状态。它强调“独立于过程控制系统”和“按安全完整性等级设计”两大特征。
SIL（Safety Integrity Level，安全完整性等级）是衡量 SIS 安全功能可靠性的量化指标，分为 SIL 1 至 SIL 4 四个等级。SIL 等级越高，要求的安全功能失效概率越低。SIL 不是对某个设备的认证，而是对一条完整安全功能回路（从传感器到执行器）的整体要求。
ESD（Emergency Shutdown，紧急停车系统）是 SIS 中最典型、最核心的一类安全功能，负责在紧急工况下切断进料、停运设备、隔离危险源。ESD 通常按高可靠性、高可用性设计，是 SIS 的“执行主体”。
DCS（Distributed Control System，分散控制系统）是过程控制系统（BPCS），负责常规调节、监视和操作，追求生产稳定与效率。DCS 可以参与联锁，但不能替代 SIS 承担高 SIL 等级的安全功能。
F&G（Fire & Gas，火灾与气体检测系统）负责探测可燃气体泄漏、火焰和烟雾，触发报警、消防联动或停车。F&G 通常作为独立系统存在，也可与 SIS 集成，但探测回路与执行回路需按安全要求设计。
二、系统层级与关系图解
下图展示了 SIS、ESD、DCS、F&G 以及 SIL 在典型装置中的层级与信号关系。可以看到，DCS 负责日常控制，SIS/ESD 负责安全保护，F&G 负责火灾气体探测，三者通过硬接线或通信接口交互，但安全功能保持独立。
三、基本术语与关键参数
掌握以下术语，有助于在安全生命周期各阶段准确沟通与设计：
- 安全功能（Safety Function）：为达到或保持过程安全状态而由 SIS 执行的功能，例如“反应器压力高时关闭进料阀”。
- 安全仪表功能（SIF）：由 SIS 实现的具体安全功能，每条 SIF 都有对应的 SIL 等级要求。
- PFDavg：要求时平均失效概率，是衡量 SIF 可靠性的核心参数，低要求模式常用。
- PFH：每小时失效概率，适用于高要求模式或连续模式。
- 共因失效（CCF）：多个通道因同一原因同时失效，需通过多样性、冗余和诊断降低。
- 诊断覆盖率（DC）：系统能自动检测到的危险失效比例，直接影响 SIL 可达等级。
- 安全失效分数（SFF）：安全失效与危险失效的比例关系，用于确定硬件故障裕度。
- 误停车率（Spurious Trip Rate）：SIS 无故障时误动作导致停车的频率，影响可用性。
关键区分：SIL 等级针对的是“安全功能回路”，而不是单个仪表或控制器。一条 SIF 的 SIL 由传感器、逻辑控制器、执行元件三部分共同决定，任何一环不达标都会拉低整体等级。
四、典型场景与关系梳理
以某加氢反应器为例：DCS 负责反应温度、压力的常规调节；SIS 中的 ESD 功能监测反应器压力，当压力达到高高限时，自动关闭进料切断阀并打开泄压阀；F&G 系统检测到氢气泄漏后，向 SIS 发送联锁信号，同时启动消防水喷淋。三者各司其职，又通过硬接线或安全通信协同。
| 系统 | 主要职责 | 典型响应时间 | 常见 SIL 要求 | 与 ESD 的关系 |
|---|---|---|---|---|
| DCS（BPCS） | 过程调节、操作监视、趋势记录 | 秒级～分钟级 | 不要求 SIL | 可接收 ESD 状态，但不执行安全功能 |
| SIS / ESD | 安全联锁、紧急停车、切断隔离 | 毫秒级～秒级 | SIL 2～SIL 3 | ESD 是 SIS 的核心安全功能 |
| F&G | 火灾、可燃气体、有毒气体探测与报警 | 秒级 | SIL 2～SIL 3（探测回路） | 触发 ESD 联锁或消防联动 |
五、常见误区与复盘要点
误区一：用 DCS 实现高 SIL 安全功能。DCS 的设计目标是可用性和生产效率，其诊断覆盖率、冗余结构和失效模式通常不满足 SIL 2 以上要求。安全功能必须由独立 SIS 承担。
误区二：认为 SIL 等级越高越好。SIL 等级由风险评估确定，过高会导致过度设计和误停车率上升，反而影响可用性。应通过 HAZOP 和 LOPA 合理定级。
误区三：忽视 F&G 与 SIS 的接口安全。F&G 触发 ESD 时，信号传输路径也需满足相应 SIL 要求，否则整体安全功能不达标。
复盘时建议检查三点：一是安全功能是否独立于 BPCS；二是每条 SIF 的 SIL 验证是否覆盖传感器、逻辑器和执行器全回路；三是 F&G、ESD、DCS 之间的信号交互是否有明确的优先级和故障安全方向。只有把系统关系、术语定义和参数要求统一起来，才能在后续的 ESD 设计、安装和运维中做出正确判断。