📚 课程目录第3章 SIS系统架构

3. SIS系统架构

安全仪表系统（SIS）的核心使命是：当工艺过程进入危险状态时，能够可靠地将过程带入安全状态。要理解SIS，不能只盯着安全PLC本身，而必须把它放进一个完整的"检测—判断—执行"回路中来看。本节从SIS的三大部分组成出发，逐层展开冗余结构、表决机制、故障安全原则与典型拓扑，为后续的组态与测试打下架构层面的基础。

一、SIS的三个基本组成部分

无论SIS规模大小、拓扑如何变化，其功能链始终由三个环节串联构成，缺一不可：

传感器子系统（Sensor）：负责"感知"。包括压力变送器、温度变送器、液位开关、火焰探测器、可燃气体探测器等。它把工艺参数转换为电信号（4~20mA、干接点、HART、总线信号），送入逻辑控制器。传感器是安全回路的"眼睛"，其可靠性直接决定SIS能否及时发现问题。
逻辑控制器子系统（Logic Solver）：负责"判断"。即安全PLC（Safety PLC）或安全控制器，它采集传感器信号，按预先组态的安全逻辑进行运算、比较、表决，判断是否需要触发安全动作，并输出指令给执行元件。它是SIS的"大脑"，也是本课程组态与测试的主要对象。
执行元件子系统（Final Element）：负责"动作"。包括紧急切断阀、放空阀、电机停车回路、电磁阀、继电器等。它接收逻辑控制器的输出，实际把工艺过程带入安全状态。执行元件是安全回路的"手脚"，也是实际工程中最容易被忽视、故障率最高的环节。

安全回路的整体安全完整性（SIL）由传感器、逻辑控制器、执行元件三部分共同决定，任何一段的可靠性不足，都会拉低整条回路的SIL等级。工程上常说的"木桶效应"，在SIS中体现得尤为明显。

二、冗余结构与表决机制

单套设备无法满足高可靠性要求时，就需要引入冗余。SIS中常见的冗余结构包括：

1oo1（单一结构）：无冗余，一个传感器、一个通道。结构简单、成本低，但任一故障即导致安全功能失效或误停车，适用于SIL1及以下场合。
1oo2（二取一）：两个通道并联，任一通道检测到危险即触发安全动作。安全性高（不易漏报），但可用性低（容易误停车）。
2oo2（二取二）：两个通道同时动作才触发。可用性高（不易误停车），但安全性相对低（一个通道失效可能漏报）。
2oo3（三取二）：三个通道中任意两个一致即触发。兼顾安全性与可用性，是石化、化工等高危行业最常用的表决方式。
2oo4D（四取二带诊断）：四个通道中任意两个一致触发，并带诊断功能，安全性更高，常用于SIL3场合。

表决机制的本质，是在"安全性"（不漏报）与"可用性"（不误报）之间做权衡。降级（Degraded）运行是工程中必须考虑的场景：当2oo3结构中一个通道故障时，系统通常降级为1oo2继续运行，此时安全性提高但误停车风险上升，需要及时检修恢复。

三、故障安全原则

故障安全（Fail-Safe）是SIS设计的灵魂。其核心思想是：当系统发生故障、断电或信号丢失时，应使过程自动进入安全状态，而不是停留在危险状态。

失电安全（De-Energize to Trip）：正常运行时执行元件带电保持，一旦断电或信号丢失，阀门自动关闭/打开至安全位。这是最常用的故障安全设计。
常闭/常开逻辑：传感器信号在正常状态下保持"健康"电平，故障时电平翻转触发安全动作。
线路监测：通过线路终端电阻、脉冲检测等手段，识别断线、短路等故障，避免"信号丢失被误判为正常"。
诊断覆盖：安全PLC内部对CPU、内存、I/O通道进行周期性自诊断，诊断覆盖率越高，SIL等级越容易达标。

常见误区：把"故障安全"简单理解为"断电就停车"。实际上，故障安全要求的是"故障导向安全"，需要结合工艺安全位（阀门开/关、电机启/停）具体分析。某些工艺中，断电打开放空阀才是安全状态，而断电关闭进料阀可能造成憋压，必须逐回路确认安全位定义。

四、典型拓扑结构

SIS的拓扑结构决定了冗余的落地方式。常见拓扑包括：

星型拓扑：各I/O站、传感器、执行元件分别独立接入逻辑控制器，结构清晰，故障隔离好，但布线量大。
总线型拓扑：通过安全总线（如PROFIsafe、Safety over EtherCAT）连接远程I/O，节省电缆，扩展灵活，但需关注总线诊断与响应时间。
环形冗余拓扑：总线首尾相连形成环网，单点断线不影响通信，可靠性高，常用于大型装置。
双重化/三重化控制器拓扑：逻辑控制器本身采用双CPU或三CPU冗余，配合2oo3表决，构成高可用性安全控制平台。

下面用一张结构关系图，把SIS的三大组成、冗余表决与故障安全方向串联起来，帮助建立整体架构认知。

五、工程案例与组态要点

以某石化装置的反应器超压保护回路为例：压力变送器采用2oo3配置（三台独立变送器），安全PLC采用双CPU冗余，执行元件为两台并联的紧急切断阀（1oo2）。当三台变送器中有两台检测到压力超过高高限（HH），逻辑控制器经2oo3表决后输出停车指令，两台切断阀失电关闭，切断进料。

在安全PLC组态时，需要重点配置以下参数：

回路名称：R-101 反应器超压保护
传感器表决：2oo3（PT-101A/B/C）
逻辑控制器：双CPU冗余，诊断周期 100ms
执行元件表决：1oo2（FV-101A/B）
安全动作：失电关闭（De-Energize to Close）
响应时间：传感器 200ms + 控制器 100ms + 阀门 1500ms
目标SIL：SIL3
降级策略：单通道故障 → 降级为1oo2并报警

组态时务必确认"安全位"定义与工艺一致。例如，放空阀的安全位通常是"开"，而进料切断阀的安全位通常是"关"。若定义反了，故障时反而会把过程推向危险状态，这是SIS组态中最严重的一类错误。

六、常见误区与复盘

只关注安全PLC，忽视传感器和执行元件：实际工程中，执行元件（尤其是阀门）的故障率往往最高，必须纳入整体SIL计算。
把冗余等同于安全：冗余提高的是可用性和容错能力，若表决逻辑或安全位定义错误，冗余反而可能掩盖故障。
忽略共因失效：同一根电缆、同一个电源、同一批次的变送器，都可能造成共因失效，冗余设计必须考虑物理隔离。
降级运行不报警：2oo3降级为1oo2后若不及时提示，误停车风险会显著上升，必须配置降级报警和检修提醒。

理解SIS的架构组成、冗余表决、故障安全原则与典型拓扑，是后续进行安全PLC硬件组态、逻辑编程和回路测试的前提。只有把"检测—判断—执行"这条链路看成一个整体，才能真正把握SIS的安全完整性。