2. Yokogawa SIS架构与硬件组成

在Yokogawa安全仪表系统（SIS）的验证工程中，硬件架构不是背景信息，而是决定验证范围、测试方法和证据强度的前置条件。同一套安全逻辑，运行在ProSafe-RS与ProSafe-SLS上，其验证路径可能完全不同；单重化与双重化冗余配置，也会让验证从“功能确认”扩展到“故障响应确认”。因此，理解硬件组成与冗余机制，是制定验证策略的第一步。

ProSafe-RS与ProSafe-SLS：两种安全控制器的定位差异

ProSafe-RS是Yokogawa基于Vnet/IP控制网络架构的集成型安全控制器，通常与CENTUM VP过程控制系统协同工作。它采用双重化（Dual）或四重化（Quad）冗余架构，安全完整性等级可达SIL 3。ProSafe-RS的验证重点在于：安全CPU与I/O模块之间的数据一致性、冗余切换逻辑、以及与过程控制系统的通信隔离。验证时需确认安全功能不依赖非安全网络，且冗余切换不会导致误动作或拒动作。

ProSafe-SLS则是面向高可用性、高安全性场景的独立安全系统，采用三重化（TMR）或四重化架构，常见于ESD、火气系统（F&G）等场合。其验证核心在于：三取二（2oo3）或四取二（2oo4）表决逻辑的正确性、通道间独立性、以及单通道故障下的降级运行能力。与ProSafe-RS不同，ProSafe-SLS的验证更强调“故障注入—表决响应—输出状态”的闭环确认。

I/O模块与安全网络：验证的物理边界

Yokogawa SIS的I/O模块分为安全型与非安全型，安全型模块具备内部诊断、通道级隔离和在线更换能力。验证时需关注：模块的诊断覆盖率（DC）、共因失效（CCF）防护措施、以及通道间串扰抑制。例如，模拟量输入模块的断线检测、超量程判断和冗余通道偏差比较，都是验证中必须实际触发并记录响应的项目。

安全网络方面，ProSafe-RS使用Vnet/IP作为控制网络，但安全通信通过专用安全协议层实现。验证时需确认：安全网络与非安全网络的物理隔离或逻辑隔离是否有效、网络冗余路径切换时间是否满足安全响应时间要求、以及网络负载对安全通信周期的影响。ProSafe-SLS则常采用专用安全总线或硬接线表决，验证重点在于通信误码率、延迟确定性和故障传播阻断。

冗余配置：验证从“功能”走向“故障响应”

冗余配置是SIS验证中最容易被低估的部分。单重化系统验证时，只需确认安全功能在正常和故障条件下的正确动作；而双重化或三重化系统，验证必须覆盖：冗余通道之间的同步机制、故障检测与隔离、降级运行后的安全功能保持、以及修复后的重新同步。以ProSafe-RS双重化CPU为例，验证时需模拟主CPU故障，确认备用CPU在指定时间内无扰切换，且切换过程中输出状态不发生变化。若切换时间超过安全响应时间预算，则整个安全功能回路的时间指标需要重新核算。

对于ProSafe-SLS的三重化架构，验证需模拟单通道故障，确认系统从2oo3降级为1oo2后仍能正确表决，并记录降级状态下的诊断信息。此时验证证据不再是简单的“通过/不通过”，而是包含故障注入方式、系统响应时间、输出状态变化和恢复过程的完整记录。

硬件选型对验证的实质影响

硬件选型不是采购决策，而是验证策略的输入。选择ProSafe-RS还是ProSafe-SLS，选择双重化还是四重化，选择带诊断的I/O模块还是普通模块，都会直接改变验证的工作量和证据要求。例如，选用支持HART透传的安全AI模块，验证时需额外确认HART信号不会干扰安全通道；选用带线路监测的DO模块，验证时需实际触发断线、短路和负载故障，确认诊断响应正确。

在验证计划中，建议将硬件配置清单作为验证范围的基线。每一类控制器、每一种I/O模块、每一级冗余配置，都应有对应的验证用例。对于ProSafe-RS，重点验证安全网络与非安全网络的隔离、冗余切换和通信周期；对于ProSafe-SLS，重点验证表决逻辑、通道独立性和降级运行。只有把硬件架构的差异转化为验证用例的差异，验证才能真正覆盖SIS的实际风险。