4. 安全联锁逻辑设计文件与SIS完整性核查

VOCs治理设施（如RTO蓄热焚烧炉、催化燃烧装置、冷凝回收系统）往往同时存在高浓度有机废气、高温热源与点火源，一旦联锁逻辑设计不当或SIS（安全仪表系统）完整性不足，就可能从"工艺异常"直接演变为"闪爆"或"回火"。本节聚焦三份核心文件——联锁因果表、SRS安全要求规格书、SIL定级与验证报告，并核查它们与HAZOP/LOPA建议措施的一致性。核查的本质不是"看文件有没有"，而是判断"文件之间是否自洽、是否覆盖了工艺危害"。

一、联锁因果表：把"因"与"果"逐条对齐

联锁因果表（Cause & Effect Matrix）是逻辑设计的最小单元清单，行是触发原因（检测参数+动作值），列是执行结果（阀门、风机、切断阀、报警）。核查时重点看四件事：原因侧是否有明确的检测元件与整定值；结果侧是否区分"联锁动作"与"仅报警"；是否存在"有因无果"或"有果无因"的空缺；动作方向是否符合安全侧（fail-safe）。

以RTO入口废气浓度联锁为例，合理的设计是：入口LEL在线检测达到25%LEL时触发预警并开大稀释风阀，达到40%LEL时联锁切断废气进气切断阀、开启旁通、停引风机并注入氮气（若配置）。核查时要确认因果表中该原因的整定值、延时（如2s确认延时防误动）、复位方式（手动复位）是否齐全，而不是只写"高浓度联锁停车"一句笼统描述。

二、SRS安全要求规格书：逻辑的"合同文本"

SRS是SIS设计的依据文件，应逐条写明每个安全仪表功能（SIF）的传感器、逻辑求解器、最终元件、动作值、响应时间、SIL等级、复位方式和旁路管理要求。核查SRS时，常见缺陷是"只写功能不写指标"：例如写了"高温联锁切断燃烧器"，却没写热电偶冗余配置、检测到动作的响应时间（如≤1s）、以及切断阀的失电关闭特性。这些指标缺失，后续SIL验证就无从谈起。

三、SIL定级与验证：从风险到数据的闭环

SIL定级通常由LOPA结果推导：先确定后果严重度与可容忍风险频率，再扣除独立保护层（BPCS、报警、物理防护等）的削减因子，剩余风险由SIF承担，对应到SIL等级。核查时不能只看"定级为SIL2"的结论，要复核：初始事件频率取值是否有依据、各独立保护层是否真正独立（共用传感器或共用电源即不独立）、PFDavg目标是否与SIL等级匹配。

SIL验证则是用可靠性数据反算实际达到的PFDavg。以某RTO高温联锁SIF为例（示例假设参数）：传感器为2oo3热电偶，λDU取5×10⁻⁷/h，TI=8760h；逻辑器为安全PLC，PFDavg约2×10⁻⁴；最终元件为双电磁阀+气动切断阀，PFDavg约8×10⁻³。按串联结构粗略合成，总PFDavg约8.2×10⁻³，落在SIL2区间（10⁻³～10⁻²）。若验证结果低于定级要求，就必须通过增加冗余、缩短测试周期TI或更换高可靠性元件来补足，而不是修改定级结论"迁就"现有配置。

四、与HAZOP/LOPA建议措施的一致性核查

这是最容易脱节的一环。HAZOP提出的建议措施（如"增设反应器床层超温联锁"）应能在因果表和SRS中找到对应条目；LOPA中作为独立保护层计入的SIF，必须确实存在于SIS中且SIL等级满足要求。核查时建立"HAZOP节点—偏差—建议措施—SIF编号—因果表行—SRS条目—SIL验证结论"的追溯链，任何一环断裂都意味着安全屏障存在缺口。特别要警惕：LOPA把某个报警或BPCS回路当作独立保护层计入削减，但该回路与触发原因共用变送器，独立性不成立，实际风险被低估。

五、核查落地的判断依据

完成上述比对后，应形成一份可追溯的核查记录，至少包含：SIF编号、对应HAZOP节点与建议措施、因果表行号、SRS条目、定级SIL、验证PFDavg、结论（一致/不一致/待补证）。对于不一致项，要区分是"文件缺失"还是"设计缺陷"：前者补文件即可，后者必须回到设计层面整改，例如补设独立传感器、增加手动复位、调整联锁整定值或缩短测试周期。只有把"工艺危害—保护层—联锁逻辑—硬件实现—可靠性数据"这条链完整闭合，SIS的完整性才是可证明的，而不是纸面上的合规。