1. 课程导入与安全生命周期概览

过程安全联锁（Process Safety Interlock）与安全仪表系统（SIS）验证，是流程工业中防止事故升级、保护人员、装置与环境的关键工程活动。它的核心目标不是“让装置不停车”，而是当工艺参数越过安全边界时，由独立于基本过程控制系统的保护层，按预定逻辑把工艺带入安全状态，并在需要时实现安全停车。围绕这一目标，IEC 61511 给出了从概念到退役的完整安全生命周期框架，而 Endress+Hauser 作为现场仪表与安全测量方案供应商，其角色贯穿于风险评估之后的测量回路设计、选型、安装、校验与运行维护环节。

一、为什么需要安全生命周期

很多事故并非因为“没有联锁”，而是因为联锁在需要动作时没有正确动作，或者误动作导致生产损失。前者属于安全完整性不足，后者属于可用性不足。安全生命周期的作用，是把“安全”从一次性的设计行为，变成可追溯、可验证、可维护的闭环过程。它要求每一个安全仪表功能（SIF）都有明确的安全要求规格书（SRS），有可核查的安全完整性等级（SIL），有可证明的验证与测试记录，并在变更和运行中持续保持其完整性。

IEC 61511 将安全生命周期划分为若干阶段：危险与风险分析、安全要求分配、SIF 设计与工程、安装调试、安全验证、运行维护、变更管理、停用与退役。各阶段之间存在明确的输入输出关系，前一阶段的输出是后一阶段的输入，任何阶段的信息缺失都会在后续验证中暴露为“不可证明”。

二、SIS 验证到底验证什么

SIS 验证不是简单“测一下仪表准不准”，而是验证一个安全仪表功能在要求时能够达到规定的安全完整性。它至少包含三个层面：第一，结构约束验证，即所选仪表、逻辑 solver 和最终元件的冗余结构、故障模式与安全失效分数是否满足目标 SIL 的架构要求；第二，随机失效量化验证，即计算整个 SIF 回路的 PFDavg（要求时平均失效概率），并与目标风险降低因子比较；第三，系统性能力验证，即确认设计、工程、安装、调试和运维过程符合 IEC 61511 对相应 SIL 的管理要求。

以一个典型示例说明：某反应器温度高高联锁，目标 SIL 2，要求 PFDavg 在 10⁻³ 到 10⁻² 之间。假设选用一台 SIL 2 认证温度变送器，λ_DU = 2.5×10⁻⁷ /h，诊断覆盖率 DC = 90%，证明测试间隔 TI = 1 年（8760 h），采用 1oo1 结构。其 PFDavg 近似为 λ_DU × TI / 2 = 2.5×10⁻⁷ × 8760 / 2 ≈ 1.1×10⁻³，满足 SIL 2 的 PFDavg 区间。若该回路还包含最终元件切断阀，则需把变送器、逻辑 solver、阀门三部分的 PFDavg 相加，得到整个 SIF 的 PFDavg。这个计算过程就是安全验证的核心内容之一，也是后续章节会反复用到的工程方法。

三、Endress+Hauser 在安全生命周期中的定位

Endress+Hauser 不承担 HAZOP 主持或 SIL 定级的主体责任，但在安全生命周期的多个关键节点提供产品、工具与工程支持。其核心价值集中在“测量可信”与“验证可证”两个方向：

• 安全测量仪表：提供 SIL 2/SIL 3 认证的流量、液位、压力、温度变送器，附带 FMEDA 报告、SIL 证书和安全手册，明确 λ_DU、λ_DD、DC、SFF 等关键参数，供设计方直接用于 PFDavg 计算。
• 安全回路架构支持：针对 1oo1、1oo2、2oo3 等不同冗余结构，给出允许的仪表组合方式和共因失效（β 因子）建议，帮助工程方在安全性与可用性之间取得平衡。
• Proof Test 支持：提供证明测试覆盖率和测试方法说明，明确哪些故障能被在线诊断覆盖，哪些必须通过停机测试才能暴露，直接影响 TI 的设定和 PFDavg 结果。
• 诊断与运行维护：通过 Heartbeat 技术、自诊断覆盖和数字通信，把部分原本只能在停机测试中发现的危险失效转化为在线可检测，从而提升诊断覆盖率、降低 PFDavg 或延长 TI。

四、本课程的学习路径与工程实践导向

本课程后续章节将沿着安全生命周期的实际执行顺序展开，但不会停留在概念复述。你会看到：如何从 HAZOP 和 LOPA 的输出中提取 SIF 清单和安全要求规格书；如何根据目标 SIL 选择仪表架构并计算 PFDavg；如何阅读 Endress+Hauser 的 SIL 证书和 FMEDA 报告；如何设计证明测试方案并确定测试间隔；如何处理共因失效、旁路管理和变更管理；以及如何在运行阶段通过诊断数据判断安全回路是否仍然完整。

课程强调工程实践导向：每一个方法都会配以可复算的示例参数、可参考的检查表和可执行的判断依据。你不需要死记标准条款，但需要理解每个参数从哪里来、每个计算结果意味着什么、每个测试动作能覆盖哪些故障。最终目标是让你能够独立完成一个 SIF 回路的 SIL 验证，并判断其是否满足安全要求。