4. SIS系统组成与架构
安全仪表系统（SIS）不是一台孤立的设备，而是一条从“感知风险”到“消除风险”的完整安全链。理解SIS，首先要抓住它的三大部分：传感器（Sensor）、逻辑控制器（Logic Solver）和最终执行元件（Final Element）。任何一部分失效，整条安全功能都可能失效。因此，SIS设计的核心问题之一，就是如何通过冗余架构，让这条链在单点故障下仍能可靠动作。
一、SIS三大部分：一条完整的安全功能链
SIS的每一次安全动作，都遵循“检测—判断—执行”的闭环逻辑。三大部分各司其职，缺一不可。
- 传感器部分：包括压力变送器、温度变送器、液位开关、火焰探测器、气体探测器等。它负责实时采集工艺参数，判断是否进入危险状态。例如，反应釜压力超过设定阈值时，压力变送器将信号送入逻辑控制器。
- 逻辑控制器部分：通常由安全PLC或安全控制器构成，执行安全逻辑运算。它接收传感器信号，按照预设的安全逻辑进行判断，决定是否触发输出。逻辑控制器是SIS的“大脑”，其可靠性直接影响安全功能的响应速度和正确性。
- 最终执行元件部分：包括紧急切断阀、放空阀、电机停車回路、泵停机接触器等。它接收逻辑控制器的输出信号，执行最终的安全动作，如切断进料、打开泄压、停止设备运行。
这三部分串联构成安全功能链。只要其中任一环节失效，安全功能就无法实现。因此，SIS设计必须从整体出发，评估每个环节的可靠性，并通过冗余、诊断和测试等手段提升整体安全完整性等级（SIL）。
核心公式：安全功能 = 传感器 + 逻辑控制器 + 最终执行元件。三者必须同时有效，安全功能才有效。
二、常见冗余架构：1oo1、1oo2、2oo2、2oo3
冗余架构是SIS设计中的关键决策。它决定了系统在单点故障下的行为，也直接影响SIL等级、误停车率和可用性。常见的四种架构如下：
| 架构 | 含义 | 动作条件 | 特点 | 典型适用场景 |
|---|---|---|---|---|
| 1oo1 | 1 out of 1 | 单通道动作 | 结构简单、成本低，但无冗余，单点故障即失效 | SIL 1及以下、低风险场合、非关键联锁 |
| 1oo2 | 1 out of 2 | 任一通道动作即触发 | 安全性高，误停车率较高，可用性较低 | 高安全需求、允许误停车的场合，如紧急泄压 |
| 2oo2 | 2 out of 2 | 两通道同时动作才触发 | 可用性高，误停车少，但安全性低于1oo2 | 连续生产、误停车代价高的场合 |
| 2oo3 | 2 out of 3 | 三通道中任意两通道动作即触发 | 兼顾安全性与可用性，容错能力强 | SIL 3及以上、高风险且连续运行的关键装置 |
从1oo1到2oo3，冗余度逐步提高，但成本和复杂度也随之上升。选型时不能只看SIL等级，还要综合考虑误停车后果、维护能力、旁路需求和生命周期成本。
三、冗余架构的工程选型逻辑
冗余架构的选择，本质上是在“安全性”和“可用性”之间寻找平衡。安全性关注的是“危险时能否动作”，可用性关注的是“正常时是否误动作”。
- 先确定SIL目标：根据HAZOP和LOPA分析，确定每个安全仪表功能（SIF）所需的SIL等级。SIL 3通常需要2oo3或1oo2架构。
- 评估误停车代价：如果误停车会导致重大经济损失或频繁生产中断，应优先考虑2oo2或2oo3，以降低误动作概率。
- 考虑共因失效：冗余通道若使用同一品牌、同一电源、同一信号路径，共因失效会显著降低冗余效果。应采用多样化设计、独立电源和独立信号路径。
- 评估诊断覆盖率：高诊断覆盖率能及时发现隐藏故障，使冗余架构真正发挥作用。安全PLC通常具备在线诊断和自测试功能。
- 确定测试策略：冗余架构需要定期进行功能测试和部分行程测试（PST），以验证每个通道的可用性。
工程经验：在石油化工装置中，紧急切断阀（ESD阀）通常采用1oo2或2oo3架构；而压缩机组振动联锁常采用2oo3，以兼顾安全性和连续运行。
四、典型场景与误区复盘
场景一：反应釜超压联锁。若采用1oo1压力变送器，一旦变送器故障，超压时可能无法触发联锁。改为1oo2后，任一压力变送器检测到超压即可触发，安全性显著提升，但误停车概率增加。若工艺允许短暂停车，1oo2是合理选择。
场景二：连续重整装置。该装置连续运行，误停车损失巨大。若采用1oo2，可能因单点误信号导致频繁停车。此时2oo3更合适：三个变送器中两个同时确认超压才触发，既保证安全，又降低误停车。
常见误区：
- 误区一：冗余度越高越好。冗余度提高会增加成本、复杂度和维护难度，应根据SIL和可用性需求合理选择。
- 误区二：只看控制器冗余，忽略传感器和执行元件。安全功能链中任何一环失效都会导致功能失效，传感器和执行元件的冗余同样重要。
- 误区三：忽视共因失效。同一电源、同一信号电缆、同一环境下的冗余通道，可能同时失效，必须采取多样化措施。
- 误区四：不做定期测试。冗余架构中的隐藏故障只有通过测试才能发现，否则冗余只是“纸面冗余”。
典型SIF参数示例：
SIF编号：SIF-101
功能描述：反应釜压力高联锁
传感器：2台压力变送器，1oo2架构
逻辑控制器：安全PLC，2oo3冗余
最终执行元件：1台紧急切断阀，1oo1
目标SIL：SIL 2
测试周期：每季度一次部分行程测试
总之，SIS系统组成与架构设计，既要理解三大部分的功能与连接关系，也要掌握冗余架构的适用场景。只有把传感器、逻辑控制器和最终执行元件作为一个整体来设计，并结合SIL目标、误停车代价和共因失效等因素，才能构建出既安全又可靠的SIS系统。