4. SIS架构设计原则
SIS（安全仪表系统）的架构设计不是把PLC、仪表和阀门简单拼在一起，而是在“安全功能必须可信”这一前提下，对独立性、故障安全、多样性和共因失效防范做出系统性取舍。对LNG接收站而言，这类取舍直接决定泄漏、超压、低温伤害等场景下联锁能否可靠动作。本节围绕五条原则展开，并给出可落地的架构约束与示例参数。
一、独立性：把安全功能从过程控制中“摘出来”
独立性包含三层含义：功能独立——SIS不承担基本过程控制（BPCS）的调节任务；物理独立——SIS与BPCS采用独立控制器、独立I/O卡、独立电源和独立通信路径；逻辑独立——安全联锁的旁路、强制和组态修改必须与BPCS权限分离。工程上常见的错误是“同一套DCS里划几个安全区”，这并不满足独立性要求。
以LNG储罐压力高高联锁为例：压力变送器应接入SIS的AI卡，而不是先进入DCS再通过通信转发；联锁输出直接驱动罐顶放空阀或BOG压缩机停机回路，不经过BPCS的调节阀输出模块。若现场受限于阀门共用，至少应保证SIS输出优先于BPCS输出，并设置硬接线优先权。独立性还要求SIS的供电来自独立UPS或独立配电回路，避免BPCS电源故障时连带失去安全功能。
二、故障安全：让“坏掉”偏向安全侧
故障安全（Fail-Safe）指元件或系统失效时，输出趋向于使过程进入安全状态。对LNG接收站，安全侧通常是“切断进料、打开放空、停运压缩机、关闭隔离阀”。实现方式包括：失电关阀（FC）、失电开阀（FO）、常闭触点串联、4~20mA信号采用低报警判断等。
但故障安全不能只看单点。例如，储罐高高液位联锁若采用“失电关阀”，电磁阀失电时进口阀关闭，这是安全的；但若该阀同时承担BPCS的流量调节，失电关阀可能造成下游超压，此时需要重新评估安全侧定义。工程上应逐条安全功能编制“安全侧动作表”，明确正常状态、励磁状态、失电状态和检测元件断线时的期望动作，再据此选择NO/NC触点、阀门故障位置和卡件诊断策略。
三、多样性：降低“同一原因同时失效”的概率
多样性分为设备多样性和技术多样性。设备多样性指同一安全功能采用不同制造商、不同型号的传感器或执行元件；技术多样性指采用不同测量原理，例如储罐液位同时采用雷达式和伺服式，或压力测量采用压阻式与电容式。多样性不是越多越好，而是在共因风险较高的环节有针对性地引入。
以LNG储罐高高液位联锁（SIL3回路）为例，常见配置为“2oo3雷达液位+1台伺服液位”或“2台不同原理液位计参与2oo3表决”。若三台全部采用同一品牌同一型号，则雷击、供电波动、软件缺陷等共因可能同时影响三台，表决失去意义。多样性设计应记录在安全需求规格书（SRS）中，说明每台仪表的测量原理、量程、安装位置和表决逻辑。
四、共因失效防范：从“分开”到“真正隔离”
共因失效（CCF）是冗余架构最大的敌人。常见共因源包括：同一电源、同一接地、同一接线端子箱、同一根电缆、同一环境（高温、振动、腐蚀）、同一软件版本、同一维护班组误操作。防范措施应具体到安装层：冗余卡件布置在不同机架、不同I/O柜；冗余传感器电缆分路径敷设；SIS与BPCS接地网分开；表决卡件采用不同电源模块；软件上避免冗余通道共用同一功能块实例。
工程上常用β因子模型估算共因影响：若β=10%，则2oo3架构的实际风险降低能力明显低于理想独立假设。因此，SIL验证时不能只看“冗余数量”，还要检查共因防范措施是否落实。一个实用的检查项是：同一安全功能的两条冗余通道，从取压点到SIS端子，是否存在共同的接线箱、保险端子或电源断路器。
五、架构约束：把原则落到可检查的配置上
架构约束是原则的“硬边界”。对LNG接收站SIS，常见约束包括：安全功能回路应采用1oo1、1oo2、2oo2或2oo3等明确表决结构；SIL3回路宜采用2oo3或1oo2带诊断；SIS控制器不得与BPCS共用同一背板或同一通信主站；安全输出应具备线路监测和回读；旁路必须设置权限、时限和报警；SIS响应时间应满足工艺安全时间要求，通常从检测到执行完成不超过工艺允许时间的1/2。
下面给出一个储罐高高液位联锁的架构示意，用于说明独立性、冗余表决与共因隔离在同一个回路中的落点。
该示意对应一个典型SIL3回路：三台液位计中两台雷达式、一台伺服式，形成2oo3表决；两台雷达接入机架A，伺服接入机架B，电源模块分开；表决结果经DO卡驱动进口切断阀（FC）和BOG压缩机停机回路。图中同时标出共因防范落点，便于在详细设计阶段逐项核对。
六、把原则变成可检查的约束
实际项目中，建议把上述原则转化为设计检查表，至少覆盖：每个安全功能是否有独立于BPCS的检测、逻辑和最终元件；冗余通道是否分电源、分机架、分电缆路径；是否存在共用接线箱或共用保险端子；表决结构是否与SIL等级匹配；故障安全方向是否逐条确认；旁路和强制是否有权限与时限；SIS响应时间是否满足工艺安全时间。对LNG接收站，还应特别关注低温环境对仪表和电缆的影响，避免冗余通道因同一冷区布置而同时失效。
独立性保证安全功能不被过程控制“拖下水”，故障安全保证失效方向可接受，多样性降低同型失效概率，共因防范把“纸面冗余”变成“真实冗余”，架构约束则把这些原则固化为可设计、可检查、可验证的工程边界。五者共同构成LNG接收站SIS架构设计的底层逻辑。