项目里常听到一句话：这台表已经有信号了，联锁直接用这个信号不行吗？省钱、省布线、省一个开孔。技术上看可以接，规范上看多数不行。安全联锁和过程计量是两套目标不同的系统，把它们绑在同一台表上，等于把保护层的独立性交了出去。

一、两套系统的目标不同

过程计量系统（通常是 DCS 或 PLC）的目标是控制。它要的是平稳、可调、能参与回路运算。允许一定的偏差，允许滤波，允许在异常时输出保持。

安全仪表系统（SIS）的目标是保护。它要的是：该动作时一定动作，不该动作时一定不动作。不允许滤波带来的延迟，不允许信号共享带来的共因失效。

两个目标在一台表上很难同时满足。为控制做的滤波，会让联锁响应变慢；为联锁做的高频采样，会在过程侧引入噪声。

这就是为什么规范要求安全仪表功能（SIF）的检测元件独立于过程控制。

还有一层差别在验证。SIS 要求定期做完整回路测试（从传感器到最终元件），测试要能证明整个回路在需要时能动作。过程计量的校准只校表，不校回路。

这意味着共用信号时，测试方案会变得复杂：测表的时候会不会触发联锁？要不要旁路？旁路期间的保护怎么办？这些问题在项目前期不定，投运后每次测试都要吵一次。

二、独立性的具体要求

独立性有三个层次。

第一层是设备独立。安全联锁的检测元件与过程控制的检测元件不是同一台。这是最基本的要求，也是争议最大的一条。

第二层是信号路径独立。即使两台表在同一管路上，信号电缆、输入卡件、电源也不能共用。共用路径会引入共因失效：一根电缆断了，两套系统一起瞎。

第三层是逻辑独立。SIS 的逻辑运算器独立于 DCS，这是规范明确要求的，一般没有争议。

三个层次里，第一层最容易被“省一省”。实际项目里常见做法是：主表进 DCS，另加一台表进 SIS；或者用同一台表的两个独立输出（一路 4-20mA 进 DCS，一路继电器进 SIS）。

还有一层是电源独立。两套系统的供电如果来自同一个电源模块，模块故障会导致两套系统同时失电。这一层在图纸上不容易看出来，要专门核对供电回路。

三层独立性都做到，投资会明显上升；但缺少任何一层，安全评估时都要做额外的补偿分析。补偿分析的成本，往往不低于多装一台表。

第二种做法是否合规，要看具体标准和评估结论。多路输出的信号源仍然是同一个传感器，传感器故障时两路一起失效。这在多数安全评估里会被判定为共因失效。

三、什么场合可以共用

共用不是绝对禁止，要看风险等级。

SIL 1 及以下的场合，共用一台表的多路输出，在部分项目和标准体系下是允许的，前提是做共因失效评估并给出补偿措施（比如定期测试、增加诊断覆盖）。

SIL 2 及以上的场合，通常要求检测元件独立。这时要么装两台表，要么用一台表加一个不同原理的检测（比如流量加压力、流量加温度）作为交叉验证。

还有一类场合不受 SIS 规范约束：联锁是“报警”而不是“停车”。报警只需要提示，不需要保护层完整性，共用信号可以接受。

判断顺序是：先定这个联锁属于哪个 SIL 等级，再看是报警还是动作，最后定共用与否。不看等级就说“能共用”或“不能共用”，都不严谨。

定级这件事本身有方法。通常用风险矩阵或保护层分析（LOPA），把事故后果、发生频率、现有保护措施列出来，算出需要补充的保护等级。

仪表专业在这个过程里的角色是提供数据：检测元件的失效率、诊断覆盖率、共因失效因子。这些数据要向厂家索取，不能凭经验估。

四、诊断覆盖率：共用信号最容易忽略的指标

SIS 要求检测元件有足够的诊断覆盖率，能发现自身的危险失效。

过程计量的表，诊断通常覆盖电子部件、传感器线圈、信号超范围。但对测量管结垢、零点漂移、部分堵塞这类“缓变故障”，诊断能力有限。

这类缓变故障对过程控制影响不大（可以通过化验、对比发现），对联锁却是隐患：需要联锁动作时，表已经偏了 10%，动作点就不准了。

提高诊断覆盖的办法有三个。第一是定期校验，按 SIL 要求的测试周期做完整回路测试。第二是增加冗余，用两台表做二取一或二取二。第三是增加独立的工艺参数监视，比如用压力、温度的变化趋势作为交叉判断。

三个办法都要投入。这也是为什么安全仪表比过程仪表贵得多——钱花在诊断和验证上，不花在精度上。

五、响应时间：滤波与联锁的矛盾

过程控制喜欢滤波。流量信号本身有噪声（泵脉动、湍流），滤波后曲线平滑，PID 好整定。常见的滤波时间是 1 至 5 秒。

联锁不能等。一个超流量联锁，从检测到动作的总响应时间通常要求在 1 至 3 秒内（含阀门动作时间）。如果检测环节占了 3 秒，阀门还没动，事故已经发生了。

所以共用信号时，滤波设置是个死结：为控制设的滤波，会吃掉联锁的响应时间预算；为联锁去掉滤波，控制回路的噪声会让人受不了。

解决办法是分开处理：如果一定要共用传感器，在信号分配环节做两路，一路滤波进 DCS，一路不滤波进 SIS。这样做的前提是传感器的原始信号带宽足够，且共因失效已被评估接受。

六、合规依据怎么找

国内项目的依据主要有三份。

第一份是 GB/T 21109（等同采用 IEC 61511），讲过程工业安全仪表系统的功能安全。它规定了安全生命周期、SIL 定级、设计、验证的要求。

第二份是 GB/T 50770，石油化工安全仪表系统设计规范。它明确了检测元件的独立性要求，是国内项目最常引用的设计依据。

第三份是各行业的安全规程，比如危险化学品、重点监管危险化工工艺的相关要求，可能对特定工艺有更严格的规定。

三份文件之外，还有企业的内部标准，往往比国标更严。项目开始时要确认适用哪一版，不要按记忆里的要求做。

需要强调的是：本文只讲通用的技术边界，具体项目是否合规，要由具备资质的安全评估机构判定。仪表选型不能替代安全评估。

七、合规的三种做法

如果确实需要联锁又不想装两台表，有三种相对合规的做法。

第一种是共用传感器、分路输出、做共因评估。适用于 SIL 1 场合，需要评估报告支持，并增加测试频次。

第二种是主表加独立开关。过程控制用连续测量的表，联锁用独立的流量开关（不同原理、不同安装位置）。开关的成本低于第二台表，独立性更好。

第三种是工艺参数交叉判断。不用流量单独做联锁，而用流量加压力、流量加温度的联合条件。这样即使流量表失效，其他参数还能起到保护作用。

三种做法各有适用场合，选择依据是 SIL 等级、工艺风险和投资预算。

八、一台表两种用法时的配置建议

如果评估结论允许共用，配置上要做几件事。

第一，选诊断能力强的型号。能输出故障码、能自检电子部件的表，比只输出 4-20mA 的表更适合。科里奥利系列中，支持 HART 或 RS485 的型号可以读取诊断信息。

第二，预留测试接口。SIS 要求定期做回路测试，表上要有便于加信号或断信号的位置，不能每次都拆线。

第三，信号分配要用隔离器。两路信号之间要电气隔离，避免一路短路影响另一路。

第四，记录要完整。共用信号的场合，测试记录、评估报告、变更记录都要归档，应对检查时能拿出来。

九、一个常见误区的澄清

有人认为：表精度高，联锁就可靠。这两件事没关系。

联锁的可靠性取决于三件事：设定值是否合理、响应时间是否足够、故障是否可诊断。精度高只保证“测的准”，不保证“坏了能知道”。

一台 0.1 级的表，如果结垢后零点漂移 5% 而没有诊断，联锁照样失效。反过来，一台 0.5 级的表，如果带完善的自诊断和定期测试，联锁可靠性可能更高。

选联锁用的表，先看诊断和测试便利性，再看精度。

十、常见问题

Q1：一台表的两个输出，一路进 DCS 一路进 SIS，合规吗？

要看 SIL 等级和评估结论。SIL 1 场合在部分标准体系下可接受，SIL 2 及以上通常要求检测元件独立。不能一概而论。

Q2：流量开关能替代流量计做联锁吗？

能，而且独立性更好。开关是不同原理、不同结构的设备，共因失效概率低。缺点是只有开关量，没有连续值。

Q3：联锁的设定值怎么定？

由工艺按安全分析确定，不能由仪表专业定。设定值要留出裕度，避免正常波动误触发。

Q4：SIS 的表需要什么精度？

精度要求通常低于过程计量，0.5 级甚至 1.0 级就够。关键是重复性和诊断能力。

Q5：共用信号后测试周期要缩短吗？

通常要。共用意味着共因失效风险上升，按规范要求提高测试频次是常见的补偿措施。

Q6：这个判断能不能自己拍？

不能。SIL 定级、独立性判定、共因评估都需要有资质的机构或专业人员做。仪表厂家只能提供设备参数与诊断能力说明。

安全与计量是两件事，能分开就分开。真要合在一起，就得用评估、测试和记录把风险补回来——补不回来，就不该省那一台表。

最后提醒一句：联锁的最终目的是保护人和设备，不是省钱。方案评审时如果有人拿“以前的装置就是这么做的”当依据，先问一句那个装置做过安全评估没有。有具体联锁点位需要梳理信号方案，把 SIL 等级、工艺条件和现有仪表配置发过来，我们按边界给一版说明（合规判定仍需安全评估机构出具）。