4. VOCs治理装置启停联锁逻辑设计基础

VOCs治理装置（如蓄热式焚烧炉RTO、催化燃烧CO、吸附浓缩+燃烧组合装置）在启停阶段最容易出现超温、回火、爆燃、风机喘振等风险，因此启停联锁不是“加几个报警点”那么简单，而是一套从原因（Cause）到后果（Effect）被严格定义、可验证、可维护的安全逻辑。本节围绕三件事展开：怎样把工艺风险翻译成联锁逻辑图，怎样用因果矩阵把逻辑关系固化下来，以及怎样对承担安全功能的联锁回路做SIL初步定级。

一、从工艺风险到联锁逻辑图

联锁逻辑图（Logic Diagram）表达的是“什么条件触发、经过什么判断、最终驱动哪些执行元件”。工程上常用布尔逻辑符号（与、或、非、延时、RS触发）绘制。以RTO启动为例，典型的安全条件包括：燃烧室温度低于设定值、主风机运行反馈正常、废气浓度低于爆炸下限的25%、稀释风阀处于可控状态、提升阀位置反馈一致。只有这些条件同时满足（AND），才允许点火；任一条件不满足则禁止点火并触发报警。

停机侧的逻辑通常是“或”关系：当排烟温度超限、燃烧室超温、风机故障、废气浓度突升、电源失电等任一事件发生时，立即切断燃烧器燃料阀并打开旁通或新鲜空气阀。这里要特别注意失电安全（Fail-Safe）原则：燃料切断阀应选故障关闭型（FC），风机联锁应保证失电时进入安全状态，而不是停留在危险工况。

绘制逻辑图时建议遵循三条约定：一是每个输入信号标注位号与来源（如TT-101、PALL-102）；二是每个逻辑块标注延时时间（如“浓度高 3s 延时”用于抑制瞬时波动误跳车）；三是输出端标注执行元件及其故障位置（FC/FO/FL）。这样一张图既是设计文件，也是后续SIS定级和现场调试的依据。

二、因果矩阵：把逻辑关系表格化

因果矩阵（Cause & Effect Matrix，C&E）是联锁逻辑的“总账”。行是原因（输入信号及触发条件），列是后果（输出动作），交叉格填写动作类型（如“跳车”“报警”“开阀”“延时3s”）。相比逻辑图，因果矩阵更适合评审、变更管理和DCS/PLC组态对照，能一眼看出某个原因影响了哪些设备、某个设备被哪些原因驱动。

下面给出一个RTO启停联锁的因果矩阵示例（参数为教学假设值，非实测）：

矩阵填写时有两个易错点：一是“延时”必须写清楚是触发延时还是复位延时，否则组态时容易把抑制误动作的延时错配成动作延时；二是同一后果被多个原因驱动时，要明确是“或”逻辑还是需要“首出记忆”，便于事后追溯跳车原因。

三、SIS安全完整性等级（SIL）的初步评估

SIL评估回答的是“这条安全联锁需要多可靠”。初步评估通常按IEC 61508/61511的思路走三步：定风险（无联锁时后果多严重、发生频率多高）、定需求（需要把风险降低多少倍，即风险降低因子RRF）、定等级（对照PFDavg区间确定SIL）。工程上常用简化风险矩阵法：以“后果严重度S”和“暴露频率/可避免性F、P”打分，查表得到目标SIL。

以RTO燃烧室超温联锁为例：若失效后果为设备损坏并可能引发火灾（S2），人员暴露频率较低（F1），且有一定避免可能性（P1），按常见简化矩阵可初步定为SIL 1；若该超温同时可能导致废气直排造成严重后果，则可能提升至SIL 2。需要强调：初步评估只是起点，最终SIL必须结合LOPA分析和传感器、逻辑 solver、执行元件的PFDavg计算确认。

对启停联锁而言，还要区分“安全联锁”和“工艺联锁”：前者纳入SIS并按SIL管理，后者可由DCS/PLC实现但需明确其非安全功能定位，避免把两者混在一张因果矩阵里导致定级混乱。传感器冗余（如1oo2温度检测）、执行元件部分行程测试（PST）等设计，都会直接影响可达SIL，应在初步评估阶段就纳入考虑。

四、设计落地时的几个关键判断

第一，启停阶段与正常运行阶段的联锁应分开定义。启动时“允许点火”是AND逻辑，运行中“超温跳车”是OR逻辑，两者不能共用同一套阈值而不加区分，否则会出现启动时频繁误跳或运行时保护不足。第二，延时参数要有依据。例如浓度高延时3s是为了躲过阀门切换的瞬时波动，延时过长则会削弱保护效果，应结合工艺响应时间确定并在因果矩阵中注明。第三，SIL初步定级后要回填到因果矩阵，标明哪些回路属于SIS、目标SIL等级是多少，便于后续SIL验证和周期性 proof test 管理。

综上，联锁逻辑图解决“怎么连”，因果矩阵解决“连什么、影响谁”，SIL初步评估解决“需要多可靠”。三者构成启停联锁设计的闭环，缺一不可。设计者应始终以工艺风险为起点、以可验证的文件为交付物，让每一条联锁都能被追溯、被测试、被维护。