1. LNG接收站SIS概述

在LNG接收站里，DCS负责“把装置平稳地开起来、调下去”，而SIS（Safety Instrumented System，安全仪表系统）负责的是另一件事：当工艺越过安全边界时，独立地把装置带回安全状态。理解SIS，首先要把它与过程控制系统在职责、独立性、失效导向三个维度上区分清楚，再谈它在接收站中的具体角色和边界。

SIS的定义与三个本质特征

SIS是由传感器（SIS变送器）、逻辑控制器（安全PLC或安全控制器）和最终元件（切断阀、放空阀、联锁停泵等）构成的独立安全保护层。按IEC 61511的定义，它通过安全仪表功能（SIF）将工艺过程维持在安全状态或使其进入安全状态。判断一套系统是不是SIS，关键看三点：

• 功能独立：SIF的检测、逻辑、执行链路不依赖BPCS（基本过程控制系统），避免共因失效。
• 失效导向安全：SIS的失效模式设计为“失电/失气即动作”，例如紧急切断阀（ESDV）配弹簧复位执行机构，励磁动作、失电关闭。
• 可验证的安全完整性：每个SIF都有明确的SIL等级（SIL1～SIL3），并通过PFDavg（要求时平均失效概率）或PFH（每小时失效概率）量化验证。

需要强调：SIS不是“更可靠的DCS”，也不是把所有联锁都塞进一个控制器。它的价值在于独立于工艺控制回路，在BPCS失效、操作员误操作或工艺异常时仍能可靠动作。

功能安全目标：从风险到SIL

LNG接收站的功能安全目标，是把各类危险事件的风险降低到企业可接受水平（ALARP）。工程上通常按“风险降低因子”分配安全功能：先做HAZOP与LOPA分析，识别危险场景（如LNG储罐超压、卸料臂泄漏、BOG压缩机出口超压、再冷凝器液位异常），确定场景的初始事件频率与后果严重度，再计算现有独立保护层（IPL）能提供的风险降低，剩余部分由SIF承担，从而确定目标SIL。

以“LNG储罐超压”为例（示例参数，仅用于教学说明）：假设LOPA分析得出该场景需要总风险降低因子1000，其中安全阀提供10倍、操作员响应提供10倍，则SIF需承担10倍，对应PFDavg目标区间为10⁻²～10⁻¹，即SIL1。若某场景需要SIF承担100倍，则对应SIL2（PFDavg 10⁻³～10⁻²）。SIL等级不是“越高越好”，而是与风险匹配、与验证成本匹配。

在LNG接收站中的角色与典型SIF

LNG接收站工艺链包括卸料、储存、BOG处理、再冷凝、外输计量等环节，SIS贯穿其中，典型SIF包括：

• 储罐保护：罐压高高联锁关闭进料ESDV、启动BOG压缩机或放空；罐顶真空保护联锁。
• 卸料系统：卸料臂脱离、超压、超流量联锁停卸料泵并关闭船岸切断阀。
• 再冷凝器与高压泵：液位高高/低低联锁停高压泵，防止泵汽蚀或下游超压。
• BOG压缩机：出口超压、润滑油压过低联锁停机。
• 火炬与放空：超压联锁打开放空阀，防止系统憋压。

这些SIF的共同点是：动作后果明确（切断、停机、放空），且动作必须快速、可靠、可验证。

范围界定：SIS管什么、不管什么

范围界定是SIS设计中最容易出问题的地方。工程上常用“安全边界”来划分：

界定范围时要回答三个问题：该功能失效是否直接导致不可接受风险？该功能是否需要独立于BPCS？该功能是否需要SIL验证？三个“是”才纳入SIS。反之，纯工艺优化、报警提示、非安全联锁不应塞进SIS，否则会稀释SIS的完整性并增加误停车。

工程落地中的几个关键判断

第一，独立性的落地方式。SIS传感器应独立取压/取液位，不与BPCS共用变送器；若因安装条件必须共用，需评估共因失效并做相应补偿（如增加冗余或提高诊断覆盖率）。SIS控制器与BPCS控制器应物理分离，供电、接地、通信也宜独立。

第二，误停车与可用性的平衡。SIS动作会带来停产损失，因此冗余配置（如2oo3表决、双传感器）不仅是为了SIL，也是为了降低误动作率。工程上常用“安全可用性”指标同时约束PFDavg和误停车率（STR），二者需在SRS（安全要求规格书）中一并写明。

第三，范围界面的书面化。SIS与F&G、SIS与BPCS、SIS与机械保护之间的联动关系，必须在SRS和因果图（Cause & Effect Matrix）中逐条明确：谁检测、谁判断、谁动作、动作后如何复位。界面不清是调试阶段返工和运行阶段误动作的主要来源。