2. LNG接收站工艺与风险特征
要设计一套真正可用的SIS，第一步不是选PLC、不是定SIL等级，而是把被保护对象——LNG接收站的工艺过程和它的危险特征——看清楚。SIS的每一个联锁回路，本质上都是对某一条具体危险路径的拦截；如果对危险源和事故链认识不清，联锁就会设错位置、定错阈值、配错冗余。
典型工艺流程与危险介质的分布
LNG接收站的主干流程可以概括为“卸—储—输”三段，中间穿插BOG（蒸发气）处理和火炬系统。以一座年接卸300万吨级、配置3座16万m³全容罐的接收站为例：
- 卸船段：LNG运输船靠泊后，通过船岸连接（ERC）经卸料臂、卸料总管送入储罐。卸料臂为低温软管或刚性臂，是船岸之间唯一的工艺连接，也是最易发生泄漏的环节之一。
- 储存段：全容罐由内罐（9%Ni钢或薄膜）、外罐（预应力混凝土）、罐顶和罐底绝热层组成，设计温度约-162℃。罐内LNG持续蒸发产生BOG，罐压需维持在约10~25 kPa(g)的微正压区间。
- 外输段：罐内LNG经低压泵抽出，进入再冷凝器或高压泵，经气化器（开架式ORV、浸没燃烧式SCV或中间介质式IFV）气化后，通过计量橇送入外输天然气管网。
- BOG与火炬：BOG经压缩机增压后，一部分在再冷凝器中被过冷LNG冷凝回收，多余部分送火炬燃烧。火炬是最后的泄压屏障，但不应被当作常规控制手段。
这条流程中，危险介质的分布高度集中：LNG本身是-162℃的深冷液体，泄漏后迅速气化并形成可燃云团；天然气与空气混合的爆炸极限约为5%~15%（体积分数）；BOG和高压外输气均为易燃易爆介质。低温、易燃、易爆、易扩散四种特性叠加，构成了接收站风险的基本底色。
关键危险源与事故场景
从SIS的视角看，危险源应按“可能触发什么事故链”来分类，而不是按设备清单罗列。接收站最值得关注的危险源与对应事故场景主要有以下几类：
| 危险源 | 典型事故场景 | 后果特征 |
|---|---|---|
| 卸料臂/船岸连接失效 | 卸料过程中软管破裂或快速接头脱开，LNG大量泄漏 | 低温灼伤、可燃气云、船岸区域火灾 |
| 储罐超压/负压 | BOG压缩机故障或再冷凝器失效，罐压持续上升；或抽真空过度导致负压 | 罐顶泄放、安全阀起跳，极端情况罐体损伤 |
| 储罐液位异常 | 高液位导致LNG溢流至罐顶；低液位导致泵抽空、汽蚀 | 溢流泄漏、泵损坏、外输中断 |
| 再冷凝器/高压泵失效 | 高压泵跳车，外输压力骤降或骤升 | 管网压力波动、设备损坏 |
| 气化器故障 | ORV海水断流或SCV燃烧异常，出口温度失控 | 低温天然气进入管网，管道脆断风险 |
| LNG/NG泄漏 | 法兰、阀门、泵密封处泄漏，遇点火源 | 闪火、蒸气云爆炸、池火 |
这些场景的共同特征是：从异常出现到后果发生的时间窗口很短，尤其是卸料臂泄漏和储罐超压，往往只有几十秒到几分钟。这正是SIS存在的理由——它必须在工艺操作员反应之前，自动完成检测、判断和动作。
事故场景对SIS的需求分析
把事故场景翻译成SIS需求，核心是回答三个问题：测什么、判什么、动什么。以储罐超压为例，SIS需要连续监测罐压（通常设置2~3个压力变送器），当压力达到高高限（例如设定为设计压力的90%）时，触发联锁：启动备用BOG压缩机、打开火炬排放阀、必要时切断进料。这里的冗余配置不是“多装几个表”那么简单——压力变送器需要独立取压口、独立接线，避免共因失效；联锁逻辑需要采用2oo3或2oo2表决，兼顾安全性和可用性。
再看卸料臂泄漏场景。SIS的输入包括卸料臂区域的低温探测（如温度开关或LNG泄漏检测电缆）、可燃气体探测（LEL探测器）以及卸料总管压力/流量异常信号。联锁动作包括：关闭船岸紧急切断阀（ESD阀）、停卸料泵、启动消防喷淋。这里的关键是响应时间——从探测到阀门全关，整个SIS回路（传感器+逻辑 solver+执行元件）的响应时间必须小于泄漏扩散到危险浓度所需的时间。工程上通常要求SIS回路响应时间不超过10~30秒，具体取决于泄漏量和现场通风条件。
从风险特征到SIS架构的映射
综合来看，LNG接收站的SIS需求呈现出三个鲜明特征：一是危险源空间分布广，从码头到罐区再到外输区，SIS的I/O必须覆盖全站；二是事故发展快，要求SIS具备确定的响应时间和可靠的执行链路；三是可用性要求高，接收站连续运行，SIS自身不能成为停车的主要来源。这三点直接决定了后续章节要讨论的架构选择——SIS需要独立于BPCS设置、采用冗余控制器和冗余网络、关键联锁回路按SIL等级配置冗余传感器和最终元件。
上图把流程主链、危险源位置和SIS三层结构放在同一张图上，目的是让读者建立“危险源—探测—判断—动作”的空间对应关系。实际工程中，这张映射关系会进一步展开为因果图（Cause & Effect Matrix），每一行是一个事故场景，每一列是一个执行元件，交叉点标注联锁动作和SIL等级。这份因果图才是SIS逻辑组态和后续验证测试的直接依据。
需要强调的是，SIS不是万能的。它只能覆盖那些被识别出来、被正确设定了阈值、且执行元件可靠动作的场景。因此，在进入架构设计之前，必须完成一次系统的危险源辨识和场景梳理——这既是本章的落脚点，也是后续冗余配置讨论的起点。