最近，针对潜在危险过程的自动化控制越来越引起关注，比如危险物质的超压或密封。一些独立的保护方法提供了措施来降低这些危害给人员，环境和资产带来的风险。安全仪表功能（SIF）显著地降低了这种风险。因此，实现这些功能（称为功能安全）的安全仪表系统（SIS）的完整性是关键，在IEC 61511-1中给出了确定和实现功能安全的要求。该标准现已成为流程工业中针对这些系统的世界主流标准。

SIS的完整性要求会对组成系统的所有元件产生影响，如传感器，接口，控制器，逻辑运算器，驱动器和阀。还要考虑构成完整控制回路的所有连接。这个循环中的关键仪器之一是逻辑运算器（决策者），如果出现需求，它会启动最终执行元件来确保过程的安全。

本文的目的是与SIS设计师探讨针对逻辑运算器的储罐溢流保护系统的可能性，并且展示了简单的系统拓扑结构及其相关的安全完整性等级（SIL）计算的实例。

储罐溢流保护系统

储罐溢流保护系统是一个在基本的储罐计量（控制）系统上提供额外保护层的SIS。如同所有的SIS，需要为存储设施中的特定储罐设置实际的SIL，并且要考虑所有的操作风险因素，但是通常这些功能是SIL 1或SIL 2。确保SIS所使用仪器与用于储罐计量系统的仪器完全独立是很重要的，这样SIS不会受到后者的干扰或者遭受共同的失效点。溢流保护系统能通过隔离泵并且关闭输入阀（确保任何导致管道压力波动的情况都得到妥善处理）来自动关闭通往储罐的输入槽。由于安装位置暴露于储罐的内部和外部，液位传感器会随着时间的推移而退化，因此使用的器件具有不同于储罐计量传感器的技术是有好处的。

导致选择逻辑运算器的因素

人们常常假设逻辑运算器必须是一个安全PLC。但是许多情况下，为每一个回路设置离散逻辑器件是一个明智的选择，它避免了可编程解决方案的并发症和费用。功能安全的其中一个目的是设计保护层，使安全相关功能的复杂性降到最低。这包括设计安全仪表回路最小数量的总体概念，避免使用不必要的复杂技术，同时减少回路之间的相互依存，保持安全与非安全功能的分离。IEC 61508-2[编号2]以及相关标准对架构设计提出了很高要求，这往往可以通过使用不太复杂的离散逻辑运算器技术来避免。

除了能从简单的架构设计中节省大量成本，也许该方法最大的好处是看不见的。考虑到这种简单的方法避免了应用程序编程的开发成本（加上相关成本，如软件维护，升级，配置管理和备份）和可编程平台运行与维护的专业能力。复杂可编程系统的安装，验证和试运行也需要特定权限和程序，这使得功能安全管理（FSM）系统更难于设置和维护。

流程工业中许多与安全相关的应用程序非常适合于一个或多个单回路逻辑运算器，因为他们是小规模的，独立的，或者位于偏远地区。如前所述，使用这种方法中简单的架构设计要求可以降低硬件，软件和程序性日常管理的成本。

安全完整性等级

一个SIF的性能是由安全完整性等级（SIL 1到SIL 4）定义的。必须遵循IEC 61508或者IEC 61511标准来设计或选择组成SIS的所有元件。在实践中，SIS中的每一个SIF通常由三个子系统组成，包括一个或多个传感器元件，逻辑运算器元件和最终控制元件，以满足所执行功能的（最高）目标SIL（图1）。

需要设计考虑和评估来达成SIL的三个SIS基本属性是： 1) 每一个子系统的架构限制至少是SIL 2) 每一个子系统的系统性能至少是SC 3) 可能发生的平均故障率（PFDAVG）在SIL的范围内（或者小于其范围）

每一个属性对每一个子系统中使用的元件设定了要求。

故障数据示例和方法论

为了本文中示例的需要，我们假设用于示例的这些SIF中包含的元件具有以下功能安全数据：

注：上表中的故障率（以及SFF）显示了影响SIF的元件的故障模式（例如，当检测到储罐溢流状况时关闭进给阀）。对于系统设计师而言，这一直是一个值得重视的关键点。

使用满足上述三个必要属性的元件数据来定义和评估一个SIS的简化方法论已在本文附录中给出，包括来自IEC 61508的所需参考信息。（在阅读它是如何在示例中被实施之前，读者可能希望先学习该方法论）

注：为了本文的需要，我们假设从头至尾的系统设计都遵循适当的功能安全管理（FSM）系统，它符合[编号4]第6条的要求。

SIL 1 储罐溢流保护系统

假定要求是针对SIL 1储罐溢流保护系统。我们应该按照附录中方法论所示的步骤来执行。

1．架构限制（AC）

2．系统性能（SC）

上面步骤1和2的结果意味着可以在每一个子系统中使用单个元件来实现SIL 1的系统架构。这一点在图2系统的可靠性框图（RBD）中得以体现：

3. 可能发生的平均故障率三个子系统都基于一个一选一（1oo1）的投票架构，该方程是：

而信道等效时间（tCE）是：

对于这个例子，我们假设有以下结果：

现在我们需要参照表1（上表）的故障数据，上面列出的针对T1与MTTR的假设，以及附录中的方程来为每一个子系统计算PFDAVG。

传感器子系统（液位传感器，1oo1）

结论
虽然安全PLC方法能为拥有大量现场I/O安全回路的安装提供优势，但在许多工厂这样的回路很少。（把回路数量减到最少是安全工程的一个目标）。本文已经提到了避免软件编程以及所有相关支持与专业能力（现场最高的安全功能SIL）所带来的好处。对于大多数可能没有安全功能和/或占地面积很大的工厂，离散逻辑的解决方案是有优势的（例如，节约电缆成本）。STA有大量电源可以选择，所以易于安装；同时由于其包装小，有助于与非安全仪表分开。由于瞬变或故障而进行维修时，可以在不干扰工厂其他工序的情况下使用较低的单位与运营成本轻松地替换它。本地指示确保直接报告安全回路的状态。

本文介绍了不一定基于昂贵而复杂的安全PLC系统的安全仪表系统设计。类似STA的离散逻辑器件提供了灵活性，低成本和友好用户界面等优势，这些特点将受到许多工厂经营者的欢迎。虽然安全仪表系统设计针对的是优秀从业者，本文介绍了一种简单方法来选择最适合的设备，并且进行分析来演示所要求的安全完整性等级的成果。

本文由美国摩尔工业国际公司提供。