浅析SIS的基本原则及主要特点

SIS的全称是安全仪表系统，它对参禅装置或设备可能发生的危险采取紧急措施，并对继续恶化的状态进行及时响应，使其进入一个预定义的安全停车工况，从而使危险和损失降到最低程度，保证生产设备、环境和人员安全。目前，SIS已经被广泛应用于石化等流程工业领域，是工厂企业自动控制中的重要组成部分。

我们先来看一下SIS涉及到的一些专业术语（摘自GB/T50770-2013）：

安全仪表系统/safety instrumented system

实现一个或多个安全仪表功能的仪表系统。

过程风险/process risk

因非正常事件引起过程条件改变而产生的风险。

安全生命周期/safety lifecycle

从工程方案设计开始到所有安全仪表功能停止使用的全部时间。

安全仪表功能/safety instrumented function

为了防止、减少危险事件发生或保持过程安全状态，用测量仪表、逻辑控制器、最终援建以及相关软件等实现的安全保护功能或安全控制功能。

安全完整性/safety integrity

在规定的条件和时间内，安全仪表系统完成安全仪表功能的平均概率。

安全完整性等级/safety integrity level

安全功能的等级，安全完整性等级由低到高为SIL1~SIL4。

危险失效/dangerous failure

可能导致安全仪表系统处于潜在危险或丧失功能的失效。

测量仪表/sensor

SIS的组成部分，用于测量过程变量的设备。

逻辑控制器/logic solver

SIS的组成部分，用于测量过程变量的设备。

最终元件/final element

SIS的组成部分，执行逻辑控制器指令或设定的动作，使过程达到安全状态的设备。

基本过程控制系统/basic process control system

相应过程测量以及其他相关设备、其他仪表，控制系统或操作员的输入信号，按过程控制规律、算法、方式，产生输出信号实现过程控制及其相关设备运行的系统。

故障安全/failsafe

安全仪表系统发生故障时，使被控制过程转入预定安全状态。

冗余/redundancy

采用独立执行同一个功能的两个或多个部件或系统，互为备用及切换。

容错/fault tolerant

在出现故障或错误时，功能单元仍继续执行规定功能的能力。

触点/mechanical contact

由到点的金属援建组成的机械式电气器件，在外界因素作用下可以改变接通或断开到点状态。

接点/contact

在外界因素作用下可以改变接通或断开到点状态的电气器件。

SIS的基本原则

SIS被定义为实现一个或多个安全仪表功能的仪表系统。SIS包括测量仪表、逻辑运算器和最终元件、关联软件及部件。目前，仪表保护系统IPS、安全联锁系统SIS（Safety Interlocking System）、紧急停车系统ESD、压力保护系统HIPPS和火气保护系统F&GS等都属于安全仪表系统的范畴。

SIS在生产装置的开车、停车、运行以及维护期间，对人员健康、装置设备及环境提供安全保护。无论是生产装置本身出现的故障危险，还是人为因素导致的危险以及一些不可抗拒因素引发的危险，SIS都应立即做出正确反应并给出相应的逻辑信号，使生产装置安全联锁或停车，阻止危险的发生和事故的扩散，使危害减少到最小。

安全仪表系统应具备高的可靠性、可用性和可维护性。当安全仪表系统本身出现故障时仍能提供安全保护功能。

SIS的主要特点

1.一定的安全完整性等级

SIS充分考虑了系统的整体安全生命周期，提出了评估安全完整性等级（SIL）的方法，规范了为实现必要的功能安全所使用的工具与措施。SIS系统的设计与开发过程必须遵循IEC61508，并应通过独立机构（如德国TÜV）的功能安全评估和认证，取得认证证书，才能在工业现场中应用。

2.较高的可用性和可维护性

SIS系统的构成部分应充分考虑到构成单元所能达到的安全仪表功能，其采用的逻辑冗余结构构成形式，以及系统本身的单一故障是否会造成系统的误停车等。同时，还要考虑系统带故障运行时，是否可对故障卡件在线维护，而不需要停整个系统。

3.容错性的多重冗余系统

SIS系统一般采用多重冗余结构以提高系统的硬件故障裕度，单一故障不会导致SIS系统安全功能丧失。如SIS系统主流的三重化结构（TMR）：它将三路隔离、并行的控制系统（每路称为一个分电路）和广泛的诊断集成在一个系统中，用三取二表决提供高度完善、无差错，不会中断控制。

4.全面的故障自诊断能力

SIS系统的安全完整性要求还包括避免失效的要求和系统故障控制的要求，同时，构成系统的各个部件均需明确故障诊断措施和失效后的行为。系统整体诊断覆盖率一般高达90%以上。SIS系统的硬件具有高度可靠性，能承受大多数环境应力，如现场电磁干扰等，从而可以较好地应用于各种工业环境。

5.响应速度快

SIS系统的实时性很好，从输入变化到输出变化的响应时间一般在50～100ms，一些小型SIS系统的响应时间更短。

6.具备顺序事件记录功能

为了更好地进行事故分析与事后追忆，SIS一般具有事件顺序记录（SOE）功能，即可按时问顺序记录各个指定输入和输出及状态变量的变化时间，记录精度一般精确到毫秒级。

7.产品的功能安全设计

实现从传感器到执行元件所组成的整个回路的安全性设计，具有输入/输出（I/O）短路、断线等监测功能。

SIS与DCS等过程控制系统的区别

1.DCS用于生产过程的连续测量、常规控制（连续、顺序、间歇等）、操作控制管理，保证生产装置的平稳运行；SIS用于监视生产装置的运行状况，对出现异常工况迅速处理，使危害降到最低，使人员和生产装置处于安全状态。

2.DCS是“动态”系统，始终对过程变量连续进行检测、运算和控制，对生产过程进行动态控制，确保产品的质量和产量；SIS是“静态”系统，正常工况时，始终监视生产装置的运行，系统输出不变，对生产过程不产生影响；非正常工况时，按照预先的设计进行逻辑运算，使生产装置安全联锁或停车。

3.SIS比DCS安全性、可靠性、可用性要求更严格，因此SIS与DCS硬件理论上应独立设置。

SIS的设计原则

当对仪表的安全系统进行设计时，必须遵循以下几条基本原则：

可靠性原则

系统的可靠性是指在一定的时间间隔内，发生故障的概率。整个系统的可靠性是由组成系统的各单元可靠性的乘积，任何一个环节可靠性的下降都会导致整个系统可靠性的下降。人们通常对于逻辑控制系统的可靠性十分重视，往往忽视检测元件和执行元件的可靠性，使得整套安全仪表系统可靠性低，达不到降低受控设备风险的要求。可靠性决定系统的安全性。

可用性原则

可用性(可用度)是指可维修的产品在规定的条件下使用时，在某时刻正常工作的概率。可用性不影响系统的安全性，但系统的可用性低可能会导致装置或工厂无法进行正常的生产。

而对于安全仪表系统对工艺过程的认知过程，还应当重视系统的可用性，正确地判断过程事故，尽量减少装置的非正常停工，减少开、停工造成的经济损失。

故障安全原则

故障安全原则是指，当内部或外部原因使SIS失效时，被保护的对象(装置)应按预定的顺序安全停车，自动转入安全状态。具体体现为：

(1)现场开关仪表选用常闭接点，工艺正常时，触点闭合，达到安全极限时触点断开，触发联锁动作；

(2)电磁阀采用正常励磁，联锁未动作时，电磁阀线圈带电，联锁动作时断电；

(3)送往电气配电室用来开/停电机的接点用中间继电器隔离，其励磁电路应为故障安全型；

(4)作为控制装置，“故障安全”意味着当其自身出现故障而不是工艺或设备超过极限工作范围时，至少应该联锁动作。以便按预定的顺序安全停车(这对工艺和设备而言是安全的)，进而通过硬件和软件的冗余和容错技术，在过程安全时间内检测到故障，自动执行纠错程序，排除故障。

过程适应原则

安全仪表系统的设置必须根据工艺过程的运行规律，为工艺过程在正常运行和非正常运行时服务。正常时安全仪表系统不能影响过程运行，在工艺过程发生危险情况时安全仪表系统要发挥作用，保证工艺装置的安全。这就是系统设计的过程适应原则。

独立设置原则

所谓独立设置原则，是指整个SIS系统应独立于过程控制系统(如DCS)，以降低控制功能和安全功能同时失效的概率，使其不依附于过程控制系统就能独立完成自动保护联锁的安全功能。要求独立设置的单元应当有检测元件、执行元件、逻辑运算元件、通讯设备。复杂的SIS应该合理分解为多个子系统，各个子系统应该相对独立，且分组设置后备手动功能。

中间环节最少原则

SIS的中间环节应该是最少的。一个回路中仪表越多可靠性越差，典型情况是本安回路的应用。因此可尽量采用隔爆型仪表，减少由于安全栅而产生的故障源，减少误停车。

冗余原则

针对测量仪表，SIL1级安全仪表功能，可采用单一测量仪表；SIL2级安全仪表功能，宜采用冗余测量仪表；SIL3级安全仪表功能，应采用冗余测量仪表；当要求高安全性时，应采用“或”逻辑结构；当要求高可用性时，应采用“与”逻辑结构；当安全性和可用性均需保障时，应宜采用“三取二”逻辑结构。

针对最终元件，SIL1级安全仪表功能，可采用单一控制阀；SIL2级安全仪表功能，宜采用冗余控制阀；SIL3级安全仪表功能，应采用冗余控制阀；可采用1台调节阀和1台切断阀，也可采用2台切断阀。控制阀的冗余设置并不表示冗余设置就对应安全完整性等级。不能冗余配置控制阀的场合，采用单一控制阀，但配套的电磁阀宜冗余配置。安全仪表系统的电磁阀应优先选用耐高温绝缘线圈，长期带电型，隔爆型。在工艺过程正常运行时，电磁阀应励磁（带电）；在工艺过程非正常运行时，电磁阀非励磁（失电）。

针对逻辑控制器，SIL1级安全仪表功能，宜采用冗余逻辑控制器；SIL2级安全仪表功能，应采用冗余逻辑控制器；SIL3级安全仪表功能，必须采用冗余逻辑控制器。

安全仪表系统与基本过程控制系统通信接口应冗余配置， 冗余通信接口应有诊断功能。