關(guān)于SIS和DCS系統(tǒng)儀表及閥門是否能共用的爭論由來已久，也是困擾企業(yè)、設計方及監(jiān)管部門的難題。本文依據(jù)相關(guān)標準和法規(guī)來解讀這個問題。

首先，認為儀表及閥門必須獨立的觀點大多從共因失效的角度去考慮，例如某2oo3的壓力變送器如果共用了取壓管則可能因為引壓管的堵塞導致整體功能的實效，某1oo2的流量變送器由于節(jié)流元件為同一孔板則可能因為孔板的問題導致兩臺儀表的同時失效，總體來說還是以共因失效為角度來考慮的。但是如果我拋出這樣一個問題，某2oo3的壓力變送器的引壓管獨立開孔，但是儀表選型為同一廠家型號、電纜布置在同一橋架、輸入到系統(tǒng)為同一塊AI卡件等。換言之，如果是獨立的兩臺閥門，其儀表風為同一來源、電纜在同一接線箱或者系統(tǒng)輸出為同一DO卡件，為什么這些因素我們沒有考慮？這個應該也是典型的共因失效，如何來計算呢？

其次，對工程實踐角度去考慮，則可能有諸多的影響因素?？紤]部分涉及到“兩重點一重大”的企業(yè)在早期設計階段并未設置SIS系統(tǒng)，因此按照新要求需要新增相關(guān)的檢測、邏輯處理器及執(zhí)行元件，這部分就涉及到了改造。但是由于壓力容器的開孔非常困難，相關(guān)的應力會發(fā)生變化，這些都需要重新審核和計算，大管徑的管道由于安裝空間有限，新增閥門可能無法實現(xiàn)，甚至有些工藝本身非常老舊，執(zhí)行元件的確定都非常困難，例如某PVC氯堿企業(yè)在新增聯(lián)鎖時，由于缺少必須要的切斷手段，重新增加又不現(xiàn)實，則在設計時盡量去觸發(fā)上游的裝置停車。

以上兩種觀點沒有絕對的孰對孰錯，不同的考慮角度會產(chǎn)生不同的結(jié)果，我們嘗試著尋根溯源，從不同標準及法規(guī)的角度去解讀：
“獨立說”的由來

1、我們在現(xiàn)場執(zhí)行項目或者檢查的時候，特別留意了“獨立說”的來源，追根溯源應該是《國家安全監(jiān)管總局關(guān)于加強化工安全儀表系統(tǒng)管理的指導意見》116號文，原文如下：安全儀表系統(tǒng)獨立于過程控制系統(tǒng)(例如分散控制系統(tǒng)等) ，生產(chǎn)正常時處于休眠或靜止狀態(tài)，一旦生產(chǎn)裝置或設施出現(xiàn)可能導致安全事故的情。

部分專家的獨立依據(jù)主要是上述這段話，其次仔細去讀的話會發(fā)現(xiàn)，這個獨立原則主要是強調(diào)的邏輯處理單元之間的獨立性，并非強調(diào)變送器和閥門的完全獨立。從括號中“例如分散控制系統(tǒng)等”，這句就可以推測出，首先是保障系統(tǒng)本身的獨立性。

2、還有一個來源是《危險化學品重大危險源監(jiān)督管理暫行規(guī)定》40號令，原文如下：對重大危險源中的毒性氣體、劇毒液體和易燃氣體等重點設施，設置緊急切斷裝置；毒性氣體的設施，設置泄漏物緊急處置裝置。涉及毒性氣體、液化氣體、劇毒液體的一級或者二級重大危險源，配備獨立的安全儀表系統(tǒng)(SIS)。

這個文件的發(fā)布日期是2011年，這個時間GB50770-2013《安全儀表系統(tǒng)設計規(guī)范》還沒有完成，116號文《國家安全監(jiān)管總局關(guān)于加強化工安全儀表系統(tǒng)管理的指導意見》-2014也沒有頒布，這個時候我覺得能把SIS系統(tǒng)講明白的依據(jù)也只能去找IEC或者ISA等國際標準了。其實這個階段的強調(diào)的SIS系統(tǒng)，就是：有別于DCS或者PLC的，并且可以獨立執(zhí)行聯(lián)鎖功能的具有相關(guān)SIL等級認證的系統(tǒng)。

GB/T50770-2013《石油化工安全儀表系統(tǒng)設計規(guī)范》怎么說？

從上述的表達可以看出來，其實關(guān)于變送器和閥門是夠共用的問題，設計規(guī)范還是充分考慮裝置的差異性以及工藝的多樣性可能導致的設計差別，因此并沒有直接給出是否獨立的要求，而是根據(jù)SIL等級的情況去分類實施。

GB21109.1-2007《過程工業(yè)領(lǐng)域安全儀表系統(tǒng)的功能安全》怎么說？
11.2.10章節(jié)是這么描述的：一個裝置在作為安全儀表功能的一部分時，不應該（同時）作為基本過程控制的目的，因此這個裝置失效導致的基本過程控制功能失效，會引起對儀表功能安全的要求。除非確認后認為，整體風險是可控的。

另外在備注中進一步進行了補充說明：“在共用的情況下，需要進行額外的分析以保障共享部件的危險失效概率足夠低”

從以上條款可以看出，共用元件可能帶來一定的風險，但是又沒有說絕對的獨立，在一定的保護措施下，在風險可控的前期下可以共用。

GB21109.2-2007《過程工業(yè)領(lǐng)域安全儀表系統(tǒng)的功能安全》怎么說？
11.2.4章節(jié)是這么描述的：
關(guān)于SIS的獨立設置原則，通常考慮以下因素，SIS與BPCS是分開的：
a)為了降低BPCS對SIS的影響，特別是他們共享共用設備時。例如SIS與BPCS共享一個用于停機和控制的閥門時，在閥門的一次危險失效事件中，他并不能來執(zhí)行一個SIS功能。
b)為保持與BPCS有關(guān)的更改、維護、測試和文檔的靈活性。
c)為了有助于SIS的確認和功能安全評估。
d)如果BPCS與SIS組合在一起，為了滿足修改管理的計劃安排，需要限制對BPCS的編程和配置功能的訪問。在共用元件的一次失效可引起向SIS提出一次要求的前提下，應進行一次分析以保障總危險率滿足要求。

從上述表述可以看出來，BPCS與SIS獨立分開的原則主要還是考慮本身的可靠性、可用性及靈活性等諸多的因素，并非是僅考慮共因失效。

GB20438.1-2017《過程工業(yè)領(lǐng)域安全儀表系統(tǒng)的功能安全》怎么說？
其中關(guān)于PE的要求中，有這么一句話：充分獨立性是指與E/E/PE相關(guān)系統(tǒng)整體安全性要求相比，相關(guān)的實效概率足夠低。

從這句話可以看出，其實獨立設置的原則還是以降低失效概率為目的的。

僅物理的獨立設置就可以避免共因失效嗎？
IEC61508-6:2010附錄D中給出了一種用表格打分估算共因失效系數(shù)β的方法，通過對傳感器、執(zhí)行器、安全型控制邏輯器在設計、制作、安裝、維護、使用環(huán)境等多方面進行評分。

1oo2表決結(jié)構(gòu)中得分與共因失效系數(shù)β的對應關(guān)系見下：


表格中的打分是考慮諸多的因素共用得來的，如下所示：

從上述表格，我們可以看出，共因失效的大小不僅僅取決于是否共用了引壓管，它考慮了獨立、多樣性及冗余、復雜性、評估/分析、規(guī)程/人工接口等等諸多的因素，這些因素都是可以量化去打分的，至于共因失效β的大小則取決于以上多個因素的疊加。

寫在最后
獨立設置的原則只是功能安全相關(guān)領(lǐng)域的一個很小的爭議點，它反映了一個問題，我們在任何檢查或者審核的時候沒有抓緊事物的主要矛盾及核心思想，以至于我們大多數(shù)都在機械的執(zhí)行一些條款及要求，我們一起回答一下幾個問題：
①變送器和閥門獨立設計就一定是可靠的嗎？買兩輛奧拓一定比一輛奧迪更可靠嗎？
②共用的元件難道故障概率就更自動升高嗎？是不是還得考慮應用的場景？
③什么才是真正獨立？電纜布置、儀表風、卡件等同樣是共用的元件，為什么這些不分開？
④獨立設置必然涉及到開孔的問題，也同樣增加泄漏點，增加企業(yè)的維護成本，增加人員的暴露概率，對于裝置的整體安全是有益的嗎？是不是需要對專業(yè)學科統(tǒng)籌考慮？

為什么標準中東西任然存在爭議？這個問題很容易解釋，一個是標準的產(chǎn)生不能空穴來風，我們國內(nèi)多數(shù)是參考或者直接轉(zhuǎn)化了國外的標準，由于我們自身還存在一些欠缺，在理解和工程實踐上差距還很大，因此在這個過程中很多問題沒有理清楚，所以本身就埋下了一些問題的伏筆。其次關(guān)于同一個問題解釋的不同標準較多，不同標準的專業(yè)應用上有所差別，因此必須有一定的偏向性，如果加上國家或者地方的各種法規(guī)導致的問題會更多，內(nèi)容我們從來不缺乏，如何統(tǒng)一才重要。最后，檢查者或者審核者本身對法規(guī)或者條款的深層次含義理解不透徹，斷章取義或者機械執(zhí)行條款，必然帶來諸多的問題。

什么是標準啊？標準英文解釋是standard，標準是集合了某類領(lǐng)域的共同點制定的一些底線或者基本規(guī)則或者要求，它解決的是行業(yè)共性問題，而企業(yè)事故的發(fā)生多數(shù)是發(fā)生個性問題上，尤其企業(yè)規(guī)模、工藝路線、復雜程度、工藝包差異性、原料來源等多因素導致企業(yè)的難題大多數(shù)也是個性的問題，因此如何解決個性問題尤為重要，我們不能總拿一些基本規(guī)則去約束個性的問題，這種情況下難題基本無法解決。

衷心希望未來行業(yè)中多一些定量的依據(jù)，少一些定性的判斷，多一些科學嚴謹?shù)挠^點，少一些主觀臆斷的結(jié)論！
作者：馮雙虎