3. ESD紧急停车联锁的法规与标准依据
LNG接收站的ESD（紧急停车）联锁不是“凭经验设几个按钮、拉几根线”就能交差的系统，它属于安全仪表系统（SIS）的范畴，其设计、评估与全生命周期管理都必须落在明确的法规与标准框架内。理解这些标准的分工，比记住标准编号更重要：它们分别回答了“功能安全怎么做”“安全相关系统怎么设计”“火灾报警与联锁怎么联动”“LNG场站具体怎么防”这几个不同层次的问题。
一、四部标准的分工定位
IEC 61511是过程工业领域功能安全的国际母标准，针对的是“安全仪表功能（SIF）”从危害辨识、SIL定级、设计、验证到运行维护的全生命周期。它规定了SIL等级（SIL1～SIL4）、要求时失效概率（PFDavg）、硬件故障裕度（HFT）、安全失效分数（SFF）等核心参数，是SIS设计的“方法论总纲”。GB/T 21109等同采用IEC 61511，是我国过程工业SIS功能安全的国家标准，工程上通常直接以它作为SIL评估与安全管理的依据。
GB 50116《火灾自动报警系统设计规范》解决的是火灾探测、报警与消防联动控制的工程设计要求，它规定了报警总线、联动控制逻辑、消防设备联动触发条件等。对LNG接收站而言，ESD与火灾报警系统（FAS）的联动接口——例如可燃气体探测报警触发ESD、火灾确认后启动消防泵与喷淋——其设计依据主要来自GB 50116。AQ/T 3049《危险化学品经营企业安全生产标准化评审标准》则从安全管理与评审角度，对包括ESD在内的安全设施提出配置、检验与管理制度要求，是“管理落地”层面的依据。
二、IEC 61511 / GB/T 21109 的核心要求
该标准最关键的工程动作是SIL定级与验证。定级通常采用风险矩阵或LOPA（保护层分析）方法：先辨识危害事件（如LNG储罐超压、卸料臂泄漏、罐区可燃气体聚集），再确定该事件的可接受风险与现有独立保护层，剩余风险由SIF承担，从而得出所需SIL等级。以“LNG储罐高高液位导致溢罐”为例，若LOPA分析显示现有保护层不足，需由“高高液位联锁切断进料”这一SIF承担风险降低因子100～1000，则对应SIL2（PFDavg在1×10⁻³～1×10⁻²之间）。
定级之后是设计约束：SIL2通常要求HFT≥0（视SFF而定）、具备诊断覆盖率、逻辑 solver 与现场仪表均需满足相应SIL能力。标准还强制要求编制安全要求规格书（SRS），逐条写明每个SIF的触发条件、动作、响应时间、SIL等级、复位方式与旁路策略。运行阶段则要求定期proof test（如每年一次）、旁路审批与变更管理（MOC），并记录PFDavg的累计退化。这些不是可选项，而是功能安全审计的必查项。
三、GB 50116 与 AQ/T 3049 的落地衔接
GB 50116 对ESD的直接价值在于联动触发逻辑的合规性。例如规范要求火灾确认后联动控制消防泵、排烟风机等，而LNG接收站往往将“可燃气体探测两级报警”与“火灾探测器报警”组合作为ESD触发条件：一级报警（如25%LEL）触发报警与通风，二级报警（如50%LEL）或火灾确认信号触发ESD-2，切断相关工艺阀门并启动放空。设计时必须明确哪些信号进FAS、哪些进SIS，以及两者之间的硬线接口与优先级，避免“报警了但联锁没动”的接口盲区。
AQ/T 3049 则从评审视角要求企业建立ESD联锁台账、明确检验周期、保留旁路与复位记录，并把ESD纳入安全设施“三同时”与定期检查。工程实践中常见的失分点是：SIL评估报告有、但SRS缺失；联锁逻辑图有、但旁路无审批记录；FAS与SIS接口有、但联动测试记录不全。这些正是标准评审最关注的“证据链”。
四、工程实施中的标准落地示例
以一个罐区ESD联锁回路为例，可按以下顺序把标准要求转成可执行文件：
- 用LOPA对“储罐高高液位溢罐”定级，输出SIL2结论并写入SRS；
- 按GB/T 21109选择满足SIL2的液位开关（如带诊断的雷达/音叉）与安全型PLC，核算PFDavg；
- 按GB 50116确定可燃气体报警与火灾报警的联动触发矩阵，明确硬线接口；
- 按AQ/T 3049建立联锁台账、proof test周期（示例：12个月）与旁路审批表；
- 编制联动测试用例，逐条验证触发条件、动作结果与复位逻辑，留存记录。
综上，四部标准构成“方法论—工程设计—安全管理”的闭环：IEC 61511/GB/T 21109 给出SIL与全生命周期框架，GB 50116 约束火灾报警与消防联动的接口设计，AQ/T 3049 保证设施配置与运行证据可查。只有把标准条款逐条映射到具体的SIF、接口与记录上，ESD联锁才真正具备可设计、可验证、可审计的工程属性。