4. ESD联锁因果图（Cause & Effect Matrix）识读与编制

在LNG接收站，ESD（紧急停车）系统的联锁逻辑最终都要落到一张“因果图”上。它把“什么条件触发”和“触发后哪些设备动作”用矩阵的方式一一对应起来，是设计、组态、调试和事故复盘共同依据的核心文件。与逐条书写的联锁说明相比，因果图的最大价值在于可核对性：横看一行，能确认某个原因是否把所有该动的设备都动了；竖看一列，能确认某台设备是否被所有该触发它的原因覆盖。本节以接收站典型因果图为例，讲清原因、后果、逻辑关系与延时设定的表达方法，并给出可直接参照的编制示例。

一、因果图的基本结构

典型因果图是一张二维矩阵：行是原因（Cause），即触发条件，如“LNG储罐液位高高”“BOG压缩机出口超压”“火气系统确认火灾”“ESD手动按钮按下”；列是后果（Effect），即停车动作，如“关闭储罐进料阀”“停BOG压缩机”“启动消防泵”“触发全站ESD”。行列交叉处的单元格填写逻辑标记，表示该原因是否触发该后果，以及触发方式。

单元格标记通常分三类：“X”表示直接触发（1对1硬联锁）；“D”表示带延时触发，延时值需在备注或单独延时表中给出；“A”表示报警或提示，不执行停车动作。有些项目还会用“S”表示联锁旁路状态下的软动作。识读时先看标记类型，再看延时，最后核对原因与后果的完整性。

二、原因与后果的选取原则

原因侧不是把所有报警都搬进来，而是选取能表征工艺失控且需要立即切断或隔离的条件。以储罐区为例，液位高高（LAHH）意味着进料可能造成溢罐，属于典型一级原因；而液位高（LAH）通常只做报警和降量，不进入停车矩阵。原因应标注仪表位号、设定值和延时，例如“LT-1001 液位高高，设定 95%，延时 3 s”，这样组态人员才能直接对应到具体检测元件。

后果侧要落到可执行的最终元件：阀门写位号与失效方向（如“XV-1001 关闭，FC”），机泵写“停止”，消防系统写“启动”。后果描述不能停留在“隔离储罐”这类功能语言，否则现场无法核对阀门是否真的关到位。一个实用的做法是：后果列标题直接写设备位号，单元格标记表示动作，备注列写失效安全位置。

三、逻辑关系与延时设定

因果图默认是“或”逻辑：任一原因触发，对应后果即动作。当需要“与”逻辑时（如“火灾确认”需两个探测器同时报警），应在原因行内注明“2oo2”或“与”，而不是在矩阵里画复杂连线。延时设定要区分两类：信号确认延时（防止压力波动、液位晃动造成误触发，通常2～5 s）和动作顺序延时（如先关进料阀、延时2 s再停泵，防止憋压）。延时值必须与工艺专业共同确认，并在因果图备注栏或独立延时表中固化，不能只存在于程序里。

四、编制示例：从工艺危害到矩阵落地

假设某接收站新增一路外输管线，需要编制其ESD因果图。第一步，列出该管线的危害场景：超压、下游用户切断导致憋压、管线泄漏。第二步，为每个场景选原因：出口压力高高（PAHH，设定 9.8 MPa，延时 2 s）、下游切断阀关反馈且流量低低（2oo2，延时 5 s）、管线区可燃气体探测器报警（2oo2，延时 3 s）。第三步，定后果：关外输切断阀XV-2001（FC）、停外输泵P-2001、启动该区消防泵、向全站ESD发信号。第四步，填矩阵并标注延时，形成下表。

编制完成后要做两项核对：一是反向核对，从每个后果列出发，问“还有哪些原因应该触发它但没填”，例如管线超压是否也应启动消防泵（通常不需要，避免误启动）；二是旁路核对，明确哪些原因允许旁路、旁路期间用什么补偿措施，并在图上用“B”标记。因果图不是画完就归档的文件，调试阶段要用它逐格做回路测试，投运后每次变更都要同步更新版本号和变更记录，否则它就会与实际程序脱节，失去作为安全依据的价值。