安全仪表系统

安全仪表系统（Safety instrumented system）简称SIS，是指专门用在关键过程系统（Critical process systems）的仪表系统，其中包括了软件及硬件。

例子

安全仪表系统常用在过程（例如石化、化工、核能）设备的防备机制，例如：

  • 燃料气压太高，需关闭主燃料气体阀
  • 反应器温度太高，需要开启冷却阀
  • 蒸馏塔压力太高，需开关泄压阀。

关键过程系统

关键过程系统（critical process system）是指一个系统若开始运作后，若有发生运作上的问题，需要进入“安全状态”以避免安全、健康和环境（SH&E）的不良后果。而“安全状态”（Safe State）是指过程中的一种特殊条件，只要在此条件下，不论系统正在运作，或是已经关闭，都不会发生有危害的安全、健康和环境事件。

在工业时期之后，开始出现许多的关键过程系统，其中一个广为人知的就是锅炉。此过程的关键部分包括点燃燃烧器、控制锅炉鼓中的水量高度，以及控制蒸气的压力。

需求规格

安全仪表系统要达成的（功能需求）以及其实现的程度（安全完整性需求）可以透过危害与可操作性分析 （HAZOP）、防护层分析（LOPA）、风险图等方式来达成。在IEC 61511及IEC 61508中有提到这些相关的技术。在安全仪表系统设计、建构、安装及运作时，需要验证有符合这些需求。机能需求可以用设计审查来验证，例如失效模式效应与关键性分析法（FMECA），也可以用其他的测试来验证，例如出厂允收测试、现场允收测试以及定期的机能测试。

安全完整性需求可以用可靠度分析来确认。对于依需求运行的安全仪表系统，多半会以所计算的要求失效概率（probability of failure on demand，简称PFD）为准。若在设计阶段，要求失效概率可以用通用的可靠度资料来计算（例如OREDA数据库）。之后可以用现场的实际数据来更新一开始估计的要求失效概率。

透过可靠度计算，其实无法考虑到所有影响SIS可靠度的因素。因此需要采取适当的措施（例如对应的程序及处理能力）来预防、发现并且修正安全仪表系统相关的故障。

危害识别

正式的危害识别程序是由专案团队的工程师及其他专家进行，在制程各部分（一般称为操作单元）的工程设计阶段完成时进行。团队会针对已完成的工程设计中每一个可能有危害的部分（或称为“节点”）进行系统性、严谨、程序式的审核。这个审核以及其产生的文件即为危害与可操作性分析（HAZOP）研究。HAZOP研究一般会发现一些系统的危害情况，有需要透过SIF进行进一步的风险缓解措施。借由防护层分析（LOPA）或是其他被认可的方式，可以定义安全仪表功能（SIF）在对应情况下的完整性等级（Integrity Level，简称IL）。完整性等级可以分类为安全完整性等级（SIL）或环境完整性等级（Environmental Integrity Level、简称EIL）。根据HAZOP研究的建议以及SIF对应的IL程度，即可完成每一个操作单元的工程相关机能，包括基本过程控制系统（BPCS）以及安全仪表功能（SIF）的设计。

系统设计

安全仪表系统的设计目的是在有危险情形或是无法接受的情形下，进行特定的控制机能，使制程安全运作，或是维持在失效安全的条件下。安全仪表系统需和控制同一设备的其他控制系统独立运作，以免安全仪表系统的机能受到影响。安全仪表系统的组成元件（像是传感器、逻辑求解器、执行器及其他控制元件）和其他基础过程控制系统（BPCS）相同。不过这些元件的目的都是为了让安全仪表系统正常运作。

安全仪表系统要进行的特定控制机能称为“安全仪表机能”（Safety Instrumented Functions、SIF），是整个风险管理策略的一部分，其目的是消除以前识别到SH&E事件的可能性，SH&E事件可能小到设备的小幅损坏，大到不受控制的灾难性能量及（或）物质释放。

安全状态需要有对应的时间规格，或是有“制程安全时间”（process safety time）的资讯。

装置

若要安全仪表系统正确运作，需要一连串的设备都正常运作。其中一定会有感测异常运作条件的感测器，例如高流量、低水位或是不正确的阀门位置。需要逻辑求解器（logil solver）接收感测器的讯号，依讯号的特性进行适当的决策，以及依使用者定义的逻辑改变输出状态。逻辑求解器可以是电机型、电子型、或是可编程电子设备，像是继电器、跳脱放大器（trip amplifier）或是可编程逻辑控制器（PLC）等。之后，逻辑求解器输出的变化会驱动最终控制元件，作用在制程上（例如关闭阀门），将其带到安全的状态。安全仪表系统会需要支援系统（例如动力、设备气体及通讯等），其支援系统的设计需要满足完整性及可靠度的要求。

国际标准

国际标准IEC 61511（英语：IEC 61511）已在2003年发行，此标准是过程产业的终端用户应用安全仪表系统的指南。此标准是以有关电子/电机/可编程电子系统的设计，架构及运行的通用标准IEC 61508为基础。其他产业也有以IEC 6150为基础的标准，例如机械业的IEC 62061（英语：IEC 62061）、铁路信号的IEC 62425、核能系统的IEC 61513以及车辆用的ISO 26262。

相关概念

以下词语常和安全仪表系统一起出现，或是用来描述系统要求的安全程度：

  • 关键控制系统（Critical control system）
  • 安全关断系统（Safety shutdown system）
  • 保护性仪表系统（Protective instrumented system）
  • 设备保护系统（Equipment protection system）
  • 紧急关断系统（Emergency shutdown system）
  • 生命攸关系统（Safety critical system）
  • 互锁（Interlock）
  • 联锁（Interlocking）
  • 环绕保护（Wrap around protection）
  • 过程关断系统（Process shutdown systems）

相关条目

  • 分散式控制系统（DCS）
  • 工业控制系统（ICS）
  • 工业安全系统
  • 可编程逻辑控制器
  • 数据采集与监控系统
  • 误动作等级
  • 安全完整性等级（SIL）
  • FMEDA（英语：FMEDA）
  • 自动跳脱
  • 紧急停止

参考资料

外部链接