2. 过程安全联锁的基本概念

在流程工业中，当工艺参数偏离安全边界时，靠操作员手动干预往往来不及。过程安全联锁（Interlock）就是一套自动保护机制：一旦检测到危险工况，它不经过人工确认，直接按预设逻辑把工艺拉回安全状态或停车。理解联锁，需要先厘清三个层层递进的概念——安全联锁、安全仪表功能（SIF）和安全完整性等级（SIL）。

安全联锁：把危险工况"切断"的自动动作

安全联锁的本质是一个"条件—动作"关系：当某个工艺变量越过设定阈值，联锁逻辑就触发相应执行元件动作。例如反应釜温度超过设定值时，关闭进料阀并打开冷却水阀。联锁回路通常由三部分构成：传感器（检测工艺变量）、逻辑处理器（判断是否越限并输出动作指令）、最终元件（执行阀、泵、切断装置等）。这三者串联成一条完整的保护链，任何一环失效，联锁都无法可靠动作。

以Endress+Hauser的典型配置为例：一台iTHERM TM411温度计（带4~20 mA HART输出）作为传感器，接入安全型逻辑控制器（如安全PLC），输出驱动一个气动切断阀。当温度达到联锁设定值（例如120 ℃）时，逻辑器输出失电信号，阀门因弹簧复位而关闭。这里的关键是"故障安全"原则——断电、断气时阀门应处于安全位置。

安全仪表功能（SIF）：联锁的"功能化"描述

安全联锁是工程习惯叫法，而安全仪表功能（Safety Instrumented Function, SIF）是功能安全标准（IEC 61511）中的正式术语。一个SIF描述的是"针对特定危险事件，把风险降低到可接受水平"的完整功能，它明确规定了：检测什么、何时动作、动作后达到什么安全状态、以及要求多高的可靠性。

例如"反应釜超温联锁"这个SIF，其完整定义包括：传感器检测温度、逻辑器在120 ℃时触发、切断进料并开启冷却、要求该功能达到SIL 2。可以看出，SIF是联锁回路的"功能规格书"，它把硬件配置和可靠性指标绑定在一起。一个SIF对应一条完整的检测—逻辑—执行链，而不是单个仪表。

安全完整性等级（SIL）：可靠性的量化标尺

SIL是对SIF可靠性的分级，从SIL 1到SIL 4，等级越高，要求该功能在需要时失效的概率越低。衡量指标是要求时失效概率（PFDavg），即联锁被需要时却没能动作的平均概率。对应关系如下表（低要求模式）：

SIL不是单个仪表的属性，而是整条SIF回路的属性。传感器、逻辑器、最终元件各自的失效率、诊断覆盖率、共因失效等因素共同决定回路能达到的SIL。因此，选型时不能只看单台仪表是否"支持SIL 2"，而要核算整条链的PFDavg。

三者的关系与Endress+Hauser仪表的角色

用一句话概括：安全联锁是动作，SIF是功能定义，SIL是可靠性等级。一个SIF由若干联锁动作组成，其可靠性用SIL衡量。在Endress+Hauser的产品体系中，这一关系体现得很清晰：

• 传感器层：如Cerabar M压力变送器、iTHERM温度计、Liquiphant音叉液位开关，提供SIL 2/SIL 3认证的测量信号，部分支持4~20 mA HART或PROFIsafe通信。
• 逻辑层：安全PLC或安全控制器接收信号，执行联锁逻辑，通常要求达到相应SIL能力。
• 执行层：气动切断阀、电磁阀等最终元件，其失电/失气动作方向必须与安全状态一致。

典型应用场景包括：储罐高高液位联锁切断进料（防止溢罐）、反应釜超温超压联锁紧急冷却与泄放、管道低流量联锁停泵（防止干转损坏）、燃烧器火焰熄灭联锁切断燃料（防止爆炸）。这些场景的共同点是：一旦失效，后果严重，因此必须用SIL来量化保护能力。

理解这三个概念后，后续的SIS验证工作就有了明确对象：验证的对象是SIF，验证的指标是SIL，验证的载体是联锁回路。下一阶段将围绕如何确定SIL目标、如何核算回路PFDavg、以及如何通过测试证明联锁功能有效展开。