由于近几年重特大安全事故频发，使得“安全仪表系统”风声大起，它被当作了成为石油化工行业安全的”救世主”，仪表专业被赋予了更多的责任的同时也被大风吹到了风口浪尖。一时间，“安全仪表设置不合规，联锁未启动，可燃、有毒气体检测报警系统未按规定设置”等问题，像谁都不想要的“绿帽子”一样，都想往仪表专业头上戴。小编要问这些都跟仪表专业有多大关系吗？即使有，到底有多大的关系？上套安全仪表系统企业就高枕无忧了吗？工厂安全是靠仪表一个专业守护的吗？

（评：这段话说出了仪表专业的麻烦和困境！）

如今各省市铺天盖地的“关于加强化工仪表管理”的发文及管理规定，各类“专家”闻风而动，四处出击，面对频繁的检查，仪表人不知道该何去何从，该怎样才能做好自己的本职工作，如何做，才能以自己的微薄之力，承担起该有的责任？

作为仪表人，我们面对检查，面对专家质疑，面对安全仪表管理，我们只能积极提升自己的认知和业务技能，武装自己，本文对安全仪表管理工作中经常面对的一些问题进行归纳总结和对一些标准、规范文件内容进行解读，分享给大家，抛砖引玉，欢迎大家文末留言或申请加入技术交流群交流学习。

问题一：到底什么是安全仪表系统Safety Instrumented system(SIS)？

问题二：安全仪表系统的范围？

问题三：哪些企业需要上安全仪表系统？企业需要上什么样的系统？

问题四：各级检查要求安全仪表系统独立，该如何独立？

问题五：前面提到了独立性，设计时也考虑了和BPCS独立的现场仪表和阀门，但每次检查还是会提出很多问题，各类仪表、控制器该怎么配？到底配几个？

问题六：和安全仪表系统相关的都有哪些技术标准和法规？

问题七：通知要求组织对在役安全仪表进行评估，评估现有安全仪表功能是否满足风险降低的要求，如何进行评估？

问题八：安全仪表系统实施各阶段，对单位相关资质是什么要求？

问题九：对仪表人员的要求是什么？

问题十：在安全仪表系统建设过程中，技术资料管理要求？

问题十一：安全仪表系统，对仪表、系统及附件认证特殊要求？

问题一：到底什么是安全仪表系统Safety Instrumented system(SIS)？

■说文解字：

(IEC61511GB/T21109)定义：用于执行一个或多个SIF(安全仪表功能)的仪表系统。SIS由传感器、逻辑控制器，以及最终元件的任何组合构成。SIS可以包括或不包括软件，可以包括人员动作作为SIF的一部分。

GBT-50770-2013用于实现一个或多个安全仪表功能的仪表系统。

白话解读：

1）安全仪表系统功能：安全仪表系统是执行一个或多个安全仪表组成的系统，也就是说最少要执行或实现一个安全仪表功能（SIF），这里再做简单说明，SIF是实现单一的功能（例如超温联锁关闭蒸汽阀门），而SIS是将很多SIF整合到一起的一个完整的系统。不执行安全仪表功能的系统不叫安全仪表系统？（这句话反着理解好像不成立）；安全仪表系统可以执行非安全仪表功能吗？笔者认为是可以的。

（评：不执行安全仪表功能的系统当然不叫安全仪表系统，执行安全仪表功能的系统有可能不是安全仪表系统，例如：SIL0的安全仪表功能就可以在非安全仪表系统实现。而安全仪表系统一般不执行非安全仪表功能，否则就不用独立设置了。）

2）组成：是由传感器、逻辑控制器，以及最终执行元件的任何组合构成。也就是说，SIS可以没有传感器、可以没有逻辑控制器、可以没有最终执行元件的一个或多个；没有传感器怎么办？危险被人发现了，去启动急停按钮，应该也算完成一个安全仪表功能。（因为后面补充了一句可以包括人员动作作为SIF的一部分）

（评：没有最终执行元件不成为安全仪表功能！因为，根据SIF：为了防止、减少危险事件发生或保持过程安全状态，用测量仪表、逻辑控制器、最终元件等实现的安全保护功能或安全控制功能。根据116号文：安全仪表系统……能够瞬间准确动作，使生产过程安全停止运行或自动导入预订的安全状态。这都需要有执行机构完成。）

3）SIS系统并不是必须有控制器和软件，原始的继电器搭接、固态系统以及PLC方式也同样是被认可的，相对比，这些系统在小系统中更能体现优势，例如继电器搭接结构简单、成本低、快速响应、不需要软件编程，故障安全等；

（评：故障安全是人为设置的，不是继电器天生的）

4）虽然人员动作可以作为SIF一部分，但一个事故链中，只允许有限的且有效的报警加有效的人员干预，并且人工干预也要有条件，例如在有效的反应时间，采取有效的行动；

（评：人员的干预仅仅是附加手动联锁信号，或根据特定情况启动停车，注意：不是代替执行元件。）

5)当人作为一个安全功能的组成部分时，应考虑所有的人为因素；通常在SIF考虑中，不考虑人的因素，因为在紧急情况下，不论人是否受过良好的教育和培训，人往往是不可靠的。

（评：错！既然标准中说了“人员动作可以作为SIF一部分”，又不考虑人的因素，这不是矛盾吗？SIS本来是用于自动化执行SIF的，所以标准说这话确实是矛盾的！这也是IEC61511这种技术标准不能用来套作工程设计标准的原因。另外，从防灾减灾的方面来说，关键时刻往往是训练有素的人起到关键作用，现场防灾减灾主要是靠人来完成的，在故障识别上更是这样，所以核武器按钮一定是由人来控制的。）

6）BPCS不允许执行安全仪表功能，GBT50770-2013中明确规定，基本过程控制系统不应执行SIL1、SIL2、SIL3的安全仪表功能。但没有SIL的等级的安全仪表功能是否可以在BPCS上实现呢？理论上是可以的，例如系统本身有很多安全联锁，但经评估后没有SIL等级要求，当然也可以保留安全仪表功能在SIS系统中实现，但不做SIL等级要求。这也就是说，进入SIS系统的回路并非一定都需要SIL等级要求。

（评：GBT50770-2013没有这样的“明确规定”。只正面规定了SIL等级的安全仪表功能采用什么控制器以及冗余方式等。IEC61511说：BPCS并不执行≥1的安全仪表功能，当然可以在BPCS上实现SIL0的安全仪表功能。SIS是执行SIF的，可以是SIL0至SIL3。

需要研究和讨论的是：SIS执行非安全仪表功能吗？例如：连续过程控制。）

问题二：安全仪表系统的范围？

国家安监总局116号文第一条即说明了安全仪表系统（SIS）的范围:包括安全联锁系统、紧急停车系统和有毒有害、可燃气体及火灾检测保护系统等。

白话解读：

1）总局将安全联锁系统、紧急停车系统和有毒有害、可燃气体及火灾检测保护系统都纳入SIS范围，但全文除了提到安全仪表系统独立于过程控制系统（例如分散控制系统等），以及第十一条“严格按照相关标准设计和实施有毒和可燃气体检测报警系统，为确保其功能可靠，相关系统应独立于基本过程控制系统”之外，通篇再也没有说这些都要实现安全仪表功能（SIF），也没提到需要SIL等级认证。

（评：这一条是没有弄清楚什么是安全仪表系统的功能，属于过度设计和偏颇设计，有毒有害、可燃气体及火灾检测保护系统是开环的，因此不是SIS的功能。另外，火灾检测保护系统不是故障安全系统，也不适用SIS。）

2）所以笔者认为，关于可燃、有毒及火灾检测保护系统，目前需要关注116号文里一句话：系统要独立于过程控制系统，其它的按GB50493-2009执行，（评：116号文没有这句话）因为这句话与GB50493-2009中“当可燃气体和有毒气体检测报警系统与生产过程控制系统（包括DCS、SCADA等）合并设计时，I/O卡件应独立设置”的要求有所不同。现在的说法是不允许合并设计，（评：在新标准颁布之前，现行版本就是有效版本，以后新版本颁布后的不同规定应按照“已有设计就是老版本，不用变更；新设计采用新版本，除非新版本规定了对在役设备的更新”的方式执行。）不仅独立的卡件不行、独立的机笼也不行，要求控制器、网络都要独立，（评：网络能独立吗？）各地安全检查也都提出了此问题（评：检查提出这种问题是不符合现行规范的，这也是近期的一些检查弄得鸡飞狗跳，令企业无所适从的原因之一。），相信后期国家及行业对系统管理要求会不断提高，待新版规范发布，也许会有明确的说法。

（评：可燃、有毒及火灾检测保护系统与过程控制系统分开设计是可以的，但不是绝对的，现场发生可燃、有毒气体泄漏应当首先通知操作人员！不能简单机械地“独立设置”，116号文的一些规定不完全正确，但应该领会116号文防灾减灾的实质精神。）

注：可不可以这样理解，只要涉及安全联锁，必须要在SIS系统里实现呢？笔者认为，有SIL等级要求的安全联锁必须在SIS系统里实现。（评：可燃、有毒及火灾检测保护系统没有SIL等级，也不是故障安全系统）

问题三：仪表系统的范围？哪些企业需要上安全仪表系统？企业需要上什么样的系统？

（评：安全仪表系统不是根据企业来上的，是根据企业的安全生产和防灾减灾的需要决定的，从技术上来说，还要根据工艺过程的风险和可操作分析确定的。上什么样的系统是根据SIL等级或实际需要对照标准规范设计的。116号文规定“两重点一重大”，是因为认定这些是高危险企业，绝大多数是适于采用SIS的。这也符合IEC的说法。）

依据1：《国家安全监管总局关于加强化工安全仪表系统管理的指导意见》（安监总管三〔2014〕116号）

第十二条：从2016年1月1日起，大型和外商独资合资等具备条件的化工企业新建涉及“两重点一重大”的化工装置和危险化学品储存设施，要按照本指导意见的要求设计符合相关标准规定的安全仪表系统。（评：国家安全监管总局目前还管不着外商独资合资企业吧！）

第十三条：从2018年1月1日起，所有新建涉及“两重点一重大”的化工装置和危险化学品储存设施要设计符合要求的安全仪表系统。其他新建化工装置、危险化学品储存设施安全仪表系统，从2020年1月1日起，应执行功能安全相关标准要求，设计符合要求的安全仪表系统。

解读：两条要求里均提到了“两重点一重大”，那么什么是“两重点一重大”？

两重点：“第一个重点”是：重点监管的危险化工工艺；

“第二个重点”是：重点监管的危险化重点监管危险化学品名录

详见《国家安全监管总局关于公布第二批重点监管危险化工工艺目录和调整首批重点监管危险化工工艺中部分典型工艺的通知》（安监总管三[2013]3号）

“一重大”是：危险化学品重大危险源。

详见：《危险化学品重大危险源辨识》GB18218-2018，2019年3月1日实施

依据2：国家安全监管总局制定印发了《化工和危险化学品生产经营单位重大生产安全事故隐患判定标准（试行）》（以下简称《判定标准》）

第四条：涉及重点监管危险化工工艺的装置未实现自动化控制，系统未实现紧急停车功能，装备的自动化控制系统、紧急停车系统未投入使用。

第一点：没有实现自动化控制（BPCS），例如DCS或PLC。（评：不成理由！）

第二点：系统未实现紧急停车功能（SIS\ESD）。（评：首先是有必要，然后才是实现）

第三点：设置了BPCS、SIS，但因为各种原因没有投用。（评：没有投用什么？BPCS？还是SIS？“各种原因都是没有道理的吗？还是应该具体问题具体分析？”）

依据3：安监总管三[2012]87号文《关于开展提升危险化学品领域本质安全水平专项行动的通知》在其工作目标中提到：“全面完成涉及重点监管危险化工工艺的化工装置、涉及重点监管危险化学品的生产储存装置和重大危险源（以下统称“两重点一重大”）的自动化控制系统改进，本质安全水平得到明显提升；对未经过正规设计的在役化工装置进行安全设计诊断，全面消除安全设计隐患”。

（评：确定安全仪表系统有两种方式：一是根据HAZOP分析确定；二是根据管理者的要求确定。安监总管三〔2014〕116号文属于后者。）

问题四：各级检查要求安全仪表系统独立，该如何独立？

依据1：《判定标准》

第五条：构成一级、二级重大危险源的危险化学品罐区未实现紧急切断功能；涉及毒性气体、液化气体、剧毒液体的一级、二级重大危险源的危险化学品罐区未配备独立的安全仪表系统。

解读：为什么各级文件屡次提到独立的概念？这需要从源头说起，通常情况下，安全仪表系统要求设计为故障安全型，且现场仪表、控制系统要求独立，是出于避免共因失效的风险，即一个环节失效，导致两个保护层同时失效，这个问题可以和独立保护层一起来讨论，独立保护层意味着不能有共因失效，或者即有共因失效，失效概率也要远远小于其他失效；

（评：“各级文件”只是根据IEC61511的说法而提的，IEC61511是根据避免共因失效、系统操作功能和运行功能规定的，很多人只注意到前者，而很少提到后两个重要因素。“各级检查”是根据不同的文件要求的，并不是直接根据某一原理的。）

独立保护层的有效性、独立性和可审查性三个特性强调了独立的概念；另外独立也考虑了BPCS和SIS系统的不同管理要求，安全仪表技术要求、选择、测试、维护标准以及对人员、流程审批的要求通常要比BPCS要严格。（评：这种严格是人为的，并不是“三个特性”和“不同管理”而要求的。）

哪些因素可能导致共因失效？逻辑控制器（SIS系统）、电源（供电及电源柜）、网络、现场仪表（取源部件）、接线箱、桥架、气源、执行机构、环境（包括机柜间设置）、接地，甚至人都可能造成共因失效，如何尽可能的降低共因失效的概率，对安全仪表系统来说，哪些是容易出现安全失效的元器件，如何通过独立或冗余配置亦或其它方式来避免共因失效是值得考虑的问题。

（评：共因失效不能只看见“共因”，更要科学地分析失效概率！共因失效只是失效原因之一，不是全部原因，还有非共因失效。所以，简单地消除共因并不一定能有效地降低失效概率。）

哪些情况可以共用？笔者认为，对于同一台仪表，在安全仪表功能（SIF）中执行安全仪表功能，可以采用通讯方式进入BPCS进行显示或监控（但不能为独立的保护层）。或者同一支多点温度计，其中一支进入SIS，一支进入BPCS，可以作为互相比对功能，当然，进入BPCS的也不能为独立的保护层。（总的原则，是当一个失效不能导致所有保护层失效）；

（评：第一个例子不符合安全仪表系统的功能定义和操作定义，因为SIS是无人监控和干预的，通信失效可能会蔓延到SIS控制器的故障或误动作。第二个例子显然是共因失效的典型，不可采用双式结构。）

哪些部件必须要分开？

1、核心的控制器（DCS和SIS，GDS）；

2、现场传感器（包括取源部件，引压管，阀门等）；

3、供电、网络、电缆、光纤、接线箱、气源等；

4、最终执行元件（电磁阀、切断阀、电动阀，控制电器设备的继电器）；

（评：只有明确影响失效率的才应该分开，不见得什么都需要分开。分开也有怎么分的问题，有的根本就分不开。例如：节流装置就分不开。）

注：用于安全仪表的切断阀，不应设置手轮，如果有，则需要加签上锁等措施；（评：切断阀的手轮用于执行机构故障时的应急措施，更有意义的是设置三阀组用于在线检查和维护。）

经验数据：安全仪表系统由传感器、逻辑控制器及执行机构组成，现场仪表（包括执行机构）的失效通常占系统失效的90%以上，这也是为什么人们把关注点集中到现场设备上的原因之一。

（评：这也是SIS设计的误区，如果这个经验数据成立的话，为什么控制器冗余而执行机构不冗余？实际上阀门的故障率比电子设备高得多！有此推论：现在的SIS设计全部都有问题。）

问题五：前面提到了独立性，设计时也考虑了和BPCS独立的现场仪表和阀门，但每次检查还是会提出很多问题，各类仪表、控制器该怎么配？到底配几个？

对于逻辑控制器，国内外控制系统厂家都推出了满足SIL3等级的产品，要求比较容易满足；但对于现场仪表和执行机构，数量多，品种多，与控制器及机柜间的设备相比，受现场使用环境的影响，故障率高，很多设计为冗余传感器，但怎么配备更合理？例如：为了提高SIF的SIL等级，传感器配1个，设计为一取一（1oo1），还是配两个？两个的话，还要考虑是采用二取一（1oo2）还是二取二（2oo2），亦或是配三个？

（评：IEC61511给出了原理上的答案——符合SIL等级的评估，GB50770给出了工程设计的答案——简明易行，避免复杂的计算同时适合绝大多数场合。检查提出的问题要么就是没有遵循规范，要么就是检查者提出的规范外的要求或者根据了不适用的规范。）

笔者观点如下：

1）最基本也是必须做到的是，用于安全系统的现场仪表和执行机构（不管传感器设置几个），应该与基本过程系统与其它安全系统分开，并独立设置（见上一点，独立性要求）。

（评：这是不符合IEC61511的原理的，只要符合所需要的SIL等级即可满足安全功能的需要，不必考虑是否分开。GB50770之所以规定分开设置，是因为很多仪表没有SIL等级的数据。另外，执行机构是达不到SIL2、SIL3的，有的工艺过程也不可能分开设置。所以IEC61511规定了变通的方法—定期检查。）

2）根据现场仪表和非可编程逻辑控制器的最小硬件故障裕度要求进行配备。

3）考虑SIS系统生命周期成本，如果装置停车一次发生的费用不大，仅仅是财产损失，则需要比较增加SIS后，其硬件、维护费用产生的成本和发生事故产生成本；如果产生危害是巨大的，则就高原则，通常来说，出于安全性和可用性考虑，对于关键SIF，设置为三取二（2OO3）是比较可靠地做法，既保证了安全性，又保证了可用性，毕竟，误停一次或者发生安全风险没有停下的产生的成本，远远要大于增加几台仪表的成本。

（评：三取二并不是万能的，也不符合可靠性原理。如果单台仪表的可靠性很低，三取二也不见得能够达到要求。阀门的可靠性是最低的，有人采用三取二了吗韩漫网站？）

4）如果感觉上面看着比较复杂，可以直接看下面的建议原则：

逻辑控制器的冗余原则，建议直接采用SIL3等级的控制器；

传感器冗余原则：通常情况下冗余是为了系统可用性，而不是为了提高安全性；对于SIL1的回路，可以采用单一的传感器，对于SIL2的回路，宜采用1oo2D或2oo3冗余的传感器，对于SIL3的回路，应采用2oo3冗余的传感器。

执行机构的冗余原则，对于SIL1的回路，可以采用单一电磁阀，单SIS控制阀，对于SIL2的回路，宜采用冗余电磁阀，单SIS控制阀，对于SIL3的回路，应采用冗余电磁阀，双SIS控制阀；（冗余控制阀可以为分别带电磁阀的两个SIS开关阀，也可以为1个带电磁阀的调节阀加一个SIS开关阀）。

（评：这是GB50770的规定，也是考虑到工程设计的无奈之举。）

问题六：和安全仪表系统相关的都有哪些技术标准和法规？

116号文：《国家安全监管总局关于加强化工安全仪表系统管理的指导意见》（安监总管三〔2014〕116号），近几年提的非常频繁一个文件。

GB_T50770-2013石油化工安全仪表设计规范，此国标是按国际标准翻译过来，里面很多内容与新规定有矛盾，据说，按50770来操作，至少有1/3以上不合规，所以116号文里并没有提到这个文件。

（评：这段话是矛盾的，如果GB50770是翻译国际标准，那有错吗？与哪个“新规定”有矛盾？实际上GB50770并不是根据国际标准翻译过来的，是根据国际标准IEC61511的技术要求，结合国内外的工程实践编制的工程标准，是便于执行和切合实际的，也是行之有效的。要说不足之处，是IEC标准的不切实际造成的。GB/T20438和GB/T21109才是翻译过来的等同采用的标准。“1/3以上不合规”根据的是什么规？）

（评：116号文同样也没有提到根据其它文件设置安全仪表系统，只提到“依据GB/T20438和GB-T21109逐步建立相关人员、产品及组织机构认证服务体系”）

GB-T21109.1.2.3-2007/IEC61511-3功能安全与61511(现2010版)

GB/T20438.2-2017《电气/电子/可编程电子安全相关系统的功能安全》

（评：参考IEC61511标准的时候需要注意，该标准是技术类型的标准，不是工程设计标准，很多叙述不具备工程上的可执行性，不可生搬硬套，否则就会无所适从。这也是这两个标准出版廿年来，很多应用者仍然有很多不解的原因所在。

GB50770是工程设计标准，是根据IEC标准的基本原理和技术要求，结合国内外工程设计的实际应用编制的，适用于工程设计。）

GB50493-2009《石油化工可燃气体和有毒气体检测报警设计规范》，在修订中。

（评：GB50493不是关于安全仪表系统的。）

问题七：通知要求组织对在役安全仪表进行评估，评估现有安全仪表功能是否满足风险降低的要求，如何进行评估？

在相关文件中，提到了SIL定级及验证，因为是安全仪表系统，很多人自然而然就想到了这个工作是仪表工程师的责任，事实上，SIL定级和验证是安全仪表系统生命周期中两个不同阶段的工作，而且，评估和验证是需要工艺、设备、操作、安全及仪表工程师共同来完成的。

（评：本来应该是由安全专业来完成的，应该是由安全专业“定级”并提仪表选型条件，仪表专业选型之后向安全专业提仪表的基础数据，又安全专业验证；而不是现在的由安全专业指挥，仪表专业执行的方式。由于该专业的水平和相关知识不够，才请其它专业配合完成的。仪表专业的无奈就在于“安全仪表系统”有仪表两个字。）

通常国内大部分用户都是请第三方机构进行HAZOP分析时同步进行SIL定级工作（LOPA）分析，但这种方式是否合适，不同的人有不同的看法，正常是要根据不同装置的风险来定，但有一点明确的是HAZOP分析和LOPA分析本身是单独的一项工作。

注：SIL定级及验证的主体，是针对每个安全仪表功能（SIF），现在通常说的上了SIL几的SIS系统并不科学；

事实上，在SIS的设计方案确定后，（初次验证）验证每一个安全仪表功能（SIF）是否满足安全完整性登记（SIL）的要求是非常关键的；但并不是做一次验证就可以高枕无忧了，SIS系统安装并投入使用后，还要进行周期性验证或审查，如果不按既有规程或设计进行，也不会降低工厂的风险，所以就需要对系统进行周期性验证或评审（每年或者发生SIS系统启动或重大变更出现，既要启动周期性验证或评估工作），对安全仪表系统进行周期性评估验证。

（评：这种做法本身就不符合IEC61511的技术规定和可靠性原理。IEC标准只提到采用定期检查维护的方法弥补失效率的不足，并不需要验证和评估。当然，重大变更是需要验证的。）

这个工作是一个系统工程，需要从使用效果和出现的问题出发，评估前期的SRS需求是否合理？同时结合SIL定级、设计、变更（MOC））仪表和系统质量、施工、测试及后期管理全生命周期进行评估，只有这样，不断的进行完善，安全仪表系统才会可靠地在特定危险状态下做出合理的响应，降低危险状态下的风险等级；特殊强调一下：必须关注后期的变更管理、维护管理是否按照既定规程来进行。

（评：周期性验证和评估需要这么复杂的重复工作吗？设计、产品质量、施工是已经完成的工作，需要重复评估吗？安全仪表系统投运时就应该是具备应有的功能和能够实现安全目标的，还需要“不断进行完善”吗？“既定规程”又是什么？是哪个标准规范？）

问题八：安全仪表系统实施各阶段，对单位相关资质是什么要求？

设计单位：按北京市《化工安全仪表系统专项整治工作方案》的要求，设计单位要具备化工甲级资质或工程设计综合甲级资质。

施工单位：按北京市《化工安全仪表系统专项整治工作方案》的要求，施工单位要具备有化工施工过程总承包三级和电子与智能化工程专业承包二级及以上资质。

定级验证单位：按北京市《化工安全仪表系统专项整治工作方案》的要求，企业要按照《技术指导书》的有关程序和要求，自行或聘请具有相关能力和经验的专业技术机构……划分安全完整性等级，并验证安全仪表系统是否满足装置和设施要求。

（评：北京市的“工作方案”能适用全国吗？）

审查评估阶段：应急管理局委托第三方技术机构，对安全仪表系统安全完整性等级（SIL）进行验证。

系统管理人员要求：云南省应急管理厅印发的《云南省危险化学品生产储存企业化工安全仪表系统管理指导意见》中对企业加快安全仪表系统功能安全先关技术和管理人才培养，对人员培训做了明确规定；文中对安全仪表系统全生命周期各阶段的要求做了明确说明（里面关于测量仪表和执行机构设置部分，与50770相同，但此部分刚好与独立相悖）

（评：GB50770规定了SIS与BPCS的分别独立设置，并根据不同的SIL等级规定了安全仪表系统各部分的冗余方案，这是符合IEC61511和工程建设的规律的。可靠性原则和可用性原则是科学根据，而“独立”不是，不能包办一切。）

注：SIS并不是万能的，SIL并不能降低风险到O，而是通过一些措施，把识别出来的风险降低到可接受的水平（如果发生的风险，不是识别出来的起因，即使有SIS可能也并不能降低风险。

（评：这句话是对的，是符合防灾减灾科学的。）

问题九：对仪表人员的要求是什么？

依据1：《特种作业人员安全技术培训考核管理规定》（国家安全监管总局令第30号）对特种作业人员的培训和相应资格提出了明确要求。

依据2：江苏省安全生产监督管理局关于规范危险化学品生产企业从业人员安全生产基本从业条件的意见。

危化品生产企业主要危险作业岗位操作人员的基本从业条件：危险化学品特种作业人员应当具备高中或者相当于高中及以上文化程度。并具有5年以上直接从事危险作业岗位操作的从业经历。

（评：这句话的逻辑是：“……危险作业岗位操作人员……具有5年以上直接从事危险作业岗位操作的从业经历”。如果没有从事过，哪儿来五年的从业经历呢？）

对仪表维护人员的要求：危险化工工艺过程操作及化工自动化控制仪表安装、维修、维护作业（包含光气及光气化工艺、氯碱电解工艺、氯化工艺、硝化工艺、合成氨工艺、裂解[裂化]工艺、氟化工艺、加氢工艺、重氮化工艺、氧化工艺、过氧化工艺、胺基化工艺、磺化工艺、聚合工艺、烷基化工艺等15种危险工艺过程操作，及化工自动化控制仪表安装、维修、维护）。

对其它人员的要求，这里面包括设计、施工、系统硬件及软件编程。

前面已经阐述了对设计、施工、以及现场仪表维护的人员资质大部分有要求，但对于安全仪表系统硬件设计和软件编程没找到合适的文件规定，但SIS供应商通常配备了经过认证的功能安全工程师（例如TUV认证的功能安全工程师），所以我们可以这样理解，对于安全仪表逻辑控制器及软件进行维护，需要有经过认证的功能安全工程师并且经过系统厂家培训认可的系统工程师进行（评：理解的过了吧！SIS并不全由认证的功能安全工程师装配和编程的吧！经过培训当然是基本的上岗要求，不然怎么会工作呢？）

虽然提的要求严格一点，但作为仪表维护人员，这也是对自己的保护吧，所有职责都落到仪表或系统工程师身上也是不太合适的。总之，作为仪表或系统工程师要有“底线思维”，严格按自己公司安全仪表管理规定进行，例如建立健全SIS全生命周期档案（维护保养制度，维护计划和规程，故障处理记录等资料至关重要）；按周期巡检，按周期进行测试，作业前必须开票，提高安全仪表系统管理要求和审批权限，不随意解除联锁，涉及到安全联锁的需要使用部门开具联锁工作票，并附风险分析及应急预案，请公司相关技术老总签字确认等等。

问题十：在安全仪表系统建设过程中，技术资料管理要求？

从事安全安全仪表系统管理要关注从需求提出、设计、选型、制造、出厂前测试（FAT），安装、工厂验收测试（SAT）,操作、变更、维护以及系统资料管理。

安全仪表系统必须有一套详细、系统性以及可追溯的完整的文档和记录。

系统技术要求规格书应该由谁来提呢？毫无疑问，只有系统的用户才能提出了最适合装置的技术规格书，而安全仪表系统失效，44%的意外事故是由于SRS不恰当或错误。（评：这是什么人？对于多少套系统？什么装置？在哪些国家统计的？有人见到过统计报告吗？）

安全仪表系统设计的越简单越好，还是越复杂越好？如果风险能够用仪表之外的措施预防或避免，其实是最经济的，毕竟安全仪表系统成本比较高，维护也比较复杂，是需要人来参与的（评：有不用人参与的设计和维护吗？），而且也不能做100%安全，例如，本质安全设计是最好的预防措施，傻瓜式的系统应该是最优的选择。（评：高危险行业是没有这样的“例如”的。）

问题十一：安全仪表系统，对仪表、系统及附件认证特殊要求？

认证过的真的好吗？面对各种野鸡认证，有证就可以吗？由于利益驱使，很多国内制造商取得了各种符合标准的认证，而且认证证书是由独立的第三方完成的，由于潜在巨大利益的驱使，为了证明产品的适配性，很多厂家，不惜重金取得进口的SIL等级认证证书，其实工业产品并没有强制规定采用第三方独立认证的产品，作为用户也应该有权利选择没有经过第三方认证的仪表设备或系统（也就是说对现有系统改造，并非把所有的仪表、阀门都改为带SIL等级认证的），但大部分用户考虑到责任的问题，有证的即使质量不好，出了问题，最起码有证，无证的即使质量再好，也难免出问题，出了问题，也是有口难辨；只有到了我的安全，我做主的时候，也许会改变这种状态吧！

（评：按照国际惯例，商品销售到哪个国家就应该在这个国家取得相应的认证。遗憾的是中国在SIL认证起步较晚，国人又比较“迷信”洋认证，才让某些国外的认证机构一直在赚取超额利润，还趾高气昂地耻笑中国的用户。当中国有了认证机构后，又羞答答地不敢指名地说成是“野鸡”认证，只有它的认证才是“正宗的”。）

目前对于系统、仪表的认证已经很普遍了，但对于系统组成的其它部分，例如开关电源、安全栅、继电器等是否也需要验证呢？而国内，又有几家SIS系统配备了安全型继电器？只采购了满足SIL等级的控制器和仪表，是否能够满足要求呢？此问题是笔者的疑问。

（评：这个说法就是个悖论！IEC标准没有提到需要认证，还提出了不需要计算验证的“经历证明”的方案。对于构造比较复杂的PLC的认证有利于避免复杂的确认过程和计算，有利于直接使用，但认证不是必须的，现在有一种认证泛滥的倾向，几年前仅仅有认证的PLC，其它仪表都没有认证，全世界的危险化工行业就没活着吗？普遍认证就能提高可靠性吗？认证机构只做文件和形式认证，不做试验就能确定可靠性了吗？可也是，这些认证机构既不会做试验，也懒得做试验！忙着赚钱呢！）

注：再可靠的系统和仪表，也要严格遵循仪表的安装调试和联合确认，“联合”，非常关键，和谁联合也是有学问的？

问题十二：BPCS、GDS、SIS几类系统，在专业管理和要求上，是有很大不同的。

此问题如果展开，会比较冗长，建议仪表人熟读相关规范，从设计阶段开始，就要确保系统合规，后面有机会对这几类系统管理进行论述。

韩漫网址
韩漫