2. SIS基础回顾
在讨论旁路管理与变更控制之前，必须先回到SIS本身。旁路之所以需要严格受控，根本原因在于：被旁路的不是普通回路，而是承担风险削减任务的安全仪表功能（SIF）。一旦SIF失效或被长期旁路，工艺装置就失去了对应保护层，风险会直接暴露。因此，理解SIS的定义、组成、SIL、生命周期和标准体系，是后续所有管理动作的技术基础。
一、SIS的定义与边界
安全仪表系统（Safety Instrumented System，SIS）是由传感器、逻辑控制器和最终元件组成的独立安全保护系统，用于在工艺参数达到危险限值时，自动将过程带入安全状态。它不参与常规调节，也不以稳定生产为目标，其唯一使命是按需动作、降低风险。
需要区分三个层次：
- SIS系统：整套安全仪表系统，包含所有SIF及其硬件、软件、供电、气源等。
- SIF安全仪表功能：某一个具体保护功能，如“反应器压力高联锁切断进料”。
- SIL安全完整性等级：对SIF失效概率的量化要求，分为SIL 1～SIL 4。
二、SIS的组成与信号链
SIS由三大部分构成：传感器子系统、逻辑控制器子系统、最终元件子系统。三者串联形成完整的安全信号链，任何一环失效都会导致SIF失效。下图展示了典型SIS的信号链结构及其与BPCS、工艺过程的边界关系。
三、安全完整性等级SIL
SIL是对SIF安全完整性的分级要求，核心指标是要求时失效概率（PFDavg）（低要求模式）或每小时危险失效频率（PFH）（高要求/连续模式）。等级越高，对硬件冗余、诊断覆盖率、共因失效控制的要求越严。
| SIL等级 | PFDavg（低要求） | 风险降低因子 | 典型应用 |
|---|---|---|---|
| SIL 1 | ≥10⁻² ～ <10⁻¹ | 10～100 | 一般工艺保护 |
| SIL 2 | ≥10⁻³ ～ <10⁻² | 100～1000 | 多数石化联锁 |
| SIL 3 | ≥10⁻⁴ ～ <10⁻³ | 1000～10000 | 高危险反应、高压 |
| SIL 4 | ≥10⁻⁵ ～ <10⁻⁴ | >10000 | 极少数特殊场景 |
四、SIS安全生命周期
SIS不是一次性采购安装的硬件，而是贯穿全生命周期的管理对象。IEC 61511将安全生命周期划分为多个阶段，从危险辨识、SIL定级、设计、安装调试、验证、运行维护，到变更管理、停用和退役。旁路管理与变更控制主要发生在运行维护阶段，但其依据来自前期的SIL定级和验证结果。
安全生命周期关键阶段：
1. 危险与风险分析（HAZOP）
2. 分配安全功能（LOPA / 风险图）
3. SIL定级与SRS编制
4. SIS设计与工程实现
5. 安装、调试与SIL验证
6. 运行、维护与定期测试
7. 变更管理（MOC）
8. 旁路/强制管理
9. 停用与退役
五、相关标准体系
SIS工程实践依赖一套相互衔接的标准体系：
- IEC 61508：功能安全基础标准，提出安全生命周期和SIL概念。
- IEC 61511：过程工业SIS应用标准，是石化、化工行业的核心依据。
- GB/T 21109：等同采用IEC 61511的中国国家标准。
- GB/T 20438：等同采用IEC 61508的中国国家标准。
- IEC 61511-1：明确要求对旁路进行授权、记录、时间限制和补偿措施。
六、案例与常见误区
案例：某装置反应器压力高联锁为SIL 2，因压力变送器漂移，班组办理了“仪表强制”。强制后该SIF的传感器子系统被旁路，PFDavg显著上升，实际保护能力可能降至SIL 1以下。若此时未做补偿措施，一旦压力失控，后果严重。
常见误区：
- 把旁路当成普通维修许可，忽略SIL降级影响。
- 认为“只旁路一个点”影响不大，忽视信号链串联特性。
- 旁路后不设补偿措施、不设时限、不做记录。
- 把SIL等级当成设备属性，而不是功能属性。
综上，SIS是以SIF为核心、以SIL为量化要求、以安全生命周期为管理框架、以IEC 61511和GB/T 21109为标准依据的安全保护系统。旁路与变更控制，本质上是在运行阶段对这套体系进行受控干预，任何干预都必须回到SIF、SIL和风险削减这三个基本点上来评估。