随着116文件的发布，2017年很多新旧项目上了SIS，但是关于SIS设计及应用，存在着很多问题，包括：SIS系统相关设备，是否都必须清度SIL认证等级？开关量如何进SIS？SIS系统设计的时候，网络站和操作站需要分开吗？昌晖仪表整理了资深专家的意见为大家解惑。
 
开关量能进去SIS吗？
设计师：以前SIS的ESD系统，最早都是用PLC实现的，最适合接开关信号，不很适合于模拟信号的。后来，ESD逐渐开关和模拟信号都可以了。现在看见模拟信号也比较多了。

我们都知道SIL认证按照仪表类型分为A类和B类，A类别一般指的是没有程序软件的机械式设备，B是有软件技术的电子设备，如果我们整个系统需要SIL2，那么我们用了SIL2的B类设备(模拟量的开关)，那么整个回来就是SIL2，如果用的A类SIL2(继电器输出)就需要计算，有可能无法达到SIL2，这种说法对吗?
设计师：不是的，A类在相同的安全失效分数上所能达到SIL等级是比B类要高的，结构越简单，各种故障原因就能够更好的被定义，比如E+H的音叉限位开关就可以做到SIL3等级(包括继电器输出，namur输出等等)，浮球开关我也没有见过有SIL认证的，大概是因为价格相对低廉，没有做认证的必要吧，有建议用连续液位检测来代替液位开关的，是从仪表本身回路经常在使用，减少了回路自诊断的要求方面考虑的，实际上开关类仪表如果在生命周期内的故障概率是要小于相对结构复杂的智能仪表的。

我以前理解开关量比模拟量开关可靠，但是放在整个回路不是这个概念?
设计师：通过SIL认证的仪表，在故障失效率、诊断测试间隔、故障修复时间等等上都符合了对应安全完整性的要求，在整个生命周期内满足安全仪表的SIL要求是完全没有问题的，规范上说的宜采用模拟量仪表，我理解也是根据国情做出的修订，毕竟在当时的时候，国内很多项目主要还是秉承经验使用的原则来选择现场仪表。在没有SIL认证的条件下，模拟量比开关量仪表还是相对更有优势的，当然中石化的大项目除外。

设计师：IEC 61508和IEC 61511都没有关于用于安全回路的仪表需要认证的规定，一个老外的安全专家在技术交流的时候说过：经过SIL认证的设备只能表明具有故障安全的功能设计，认证机构认可过可靠性数据，但是并不能证明设备具有相应的可靠性，也不保证可靠性质量，不保证运行过程不出问题，IEC和认证机构也不负有任何责任！认证机构不做任何可靠性实验，仅仅对可靠性数据资料和功能安全相关资料做形式检查。

已经在运行的装置，用的横河DCS系统，现在业主想上SIS系统，而且有意向使用横河的SIS，做成控制系统一个控制站的样式，就是下面控制站，卡件分开，上层网络，操作站共用。这样符合SIS系统独立性的要求吗？需要网络，操作站也分开吗？
设计师：SIS原本是不设置操作站也不采用网络结构的，仅仅只是控制器，没有人机接口。但是生产操作还是需要操作站作为报警，记录和观察的，国外就采取了将SIS的数据通信方式传送到DCS操作站上的方式。近年来有的DCS制造商开发了与SIS同网络、共享数据的结构。横河就是代表之一。

中国人更痛快：拐那么多弯儿干嘛？直接就利用SIS上的通信接口联网接上SIS的操作站，玩儿得灵活得意!

话说回来，SIS和过程控制分开的“原则”是指控制器，并不是指网络和操作站，所以您采用的方案是自然并且合理的，并不违反原则。一般地来说，SIS的人机界面没有操作功能，也就不会影响SIS的正常运行。但是近年来国内外都有把硬件停车开关放在操作站软件实现的做法，也是一种实际应用的进步。

开关有两类：机械开关和电子开关。机械开关的可靠性较低，不论是否经过认证，无论是否具有SIL等级都不能提高可靠性，也不能保证不出问题。电子开关与连续测量的变送器是同一级别的产品，并不因为变送器“复杂”就比电子开关可靠。

连续测量仪表是实时工作的，有些还有诊断功能，很容易观察到是否正常，另外联锁值的设定比开关位置灵活。开关仪表在平时长期不动作，不知道是否正常，所以有些规范提倡采用连续测量仪表代替开关仪表，并且很多开关仪表的价格比变送器高。近年来老外也认同中国人的做法，并反映在某些项目规定里。

求助，请大家给推荐几个可靠的GDS厂家，根据安监总局(2014)116号文件“国家安全监管总局关于加强化工安全仪表系统管理的指导意见”中“严格按照相关标准设计和实施有毒有害和可燃气体检测保护系统，为确保其功能可靠，相关系统独立于基本过程控制系统”的要求，理应设置独立的可燃有毒气体检测系统(GS)，(一)化工安全仪表系统(SIS)包括安全联锁系统，紧急停车系统和有毒有害，可燃气体及火灾检测保护系统等。当时看完自己的理解是有毒可燃系统应该是和紧急停车系统并列关系，而不是直接进紧急停车系统。国内把紧急停车系统和SIS理解为同一个东西了?
设计师：以前都是采用可燃有毒气体检测信号进入DCS独立卡件的方案，116号文要求GDS采用SIS系统，这种情况可以不采用，或者用小系统。如果是EPC契约后增加的，可以要求补充费用。火灾进公安消防的系统。仅仅把可燃气体放到SIS里，这是116号文要求的。没有人给你解读，按照规范要求就是了，规避设计风险。选型没有区别也没法区别。

116文把GDS上升到SIS的高度，我觉得应该充分理解其含义，它为什么这么做?我的理解为，当装置暂时停车，大检修期间，局部维修或抢修等情况，装置的控制系统，紧急停车系统可能也停电检修，那么装置的一部分容器内可能存有可燃有毒气体或液态，这时可燃有毒气监测系统要求起作用，那么就应该独立设计，但不是让它进SIS系统，因为SIS系统往往与DCS系统同时检修，不能达到监控的要求! 装置中关于可燃气有毒气体的联锁可以按照安全等级进入SIS系统，绝大部分的检测器是没有联锁要求的。
设计师：安监局可能不是这个意思！

为了提高化学品工业的安全水平，减少工艺过程异常情况下的事故，防灾减灾，所以把有关安全，涉及危险状态的过程采用SIS，以期在过程控制系统失控的情况下，按照预先设定的方案自动停车。

安监局认为：SIS的可靠性比其它系统高，并且独立设置，以此来实现可燃气体和有毒气体检测报警可以实现安全预期。

安监局是不论安全等级的，可燃气体报警本来就不是一个故障安全系统，也没有人评估安全等级。安全仪表系统的设置原则之一是与过程控制系统分开。但独立系统并不意味着就是安全仪表系统。不是充分必要条件。如果按照IEC 61511的说法，GDS不具备故障安全特性，也就缺少了最重晏的要素。刚才说过：SIS当检测到过程变量超过设定值时，发生作用使过程转移到安全的状态或者停车。这是SIS的基本原理和作用。安监局的116号文让一些设计人员无所适从，但作为工程师们应该具有领会精神灵活运用的本事。安监局的本意是加强设备的配备，防灾减灾。

推荐阅读
SIL定级与验证知识十问十答