SIS安全仪表系统中切断阀的SIL等级与选型要求详解

一、为什么切断阀是SIS回路中最薄弱的环节

1. SIS的三个组成部分

SIS 由传感器子系统、逻辑控制器子系统、最终元件子系统构成，三者串联工作。按照可靠性原理，串联系统中任何一环失效，整个功能就失效；而回路的整体安全完整性，会被可靠性最低的那一环拖累。

2. 最终元件的失效占比

在大量 SIS 回路的实际统计中，最终元件贡献的失效率最高。这不是因为阀门制造质量差，而是由使用条件决定的：阀门是唯一直接接触工艺介质、承受机械动作、且通常缺少有效自诊断手段的环节。

3. 阀门失效难以被及时发现

电子设备的故障往往能被自诊断电路实时捕捉；而阀门的主要失效模式——阀杆卡涩、弹簧疲劳、密封面腐蚀、附件结垢——在阀门不动作的时候完全看不出来。很多现场的安全阀几年都没动作过一次，等到真正需要联锁关断时才发现关不上。

这就是为什么 SIS 切断阀的设计重点不是"平时表现好"，而是"需要时一定动，而且故障必须能被提前发现"。

二、SIL等级到底是什么意思

1. 功能安全的两个标准

SIL（Safety Integrity Level，安全完整性等级）来自功能安全的国际标准体系。IEC 61508 是功能安全的通用基础标准，规定了安全相关系统的整体框架；IEC 61511 是针对过程工业的行业标准，我国对应的国家标准为 GB/T 21109。SIS 的设计与验证通常依据 IEC 61511 及其等同标准执行。

2. SIL的四个等级

SIL 分为 1 到 4 级，等级越高，要求的安全完整性越高，对应的允许失效概率越低。对低要求模式（仅偶尔需要动作）的回路，用平均要求时失效概率 PFDavg 衡量；对高要求模式或连续模式，用每小时失效概率 PFH 衡量。

3. SIL是"回路"的属性，不是单个阀门的属性

这是最容易被误解的一点。SIL 等级评价的对象是完整的安全仪表功能回路，而不是某一只阀门。一只阀门可以说"按 IEC 61508 达到 SIL 2 或 SIL 3 的元件级要求"，但它不能单独"实现 SIL 3 回路"。

回路的实际 SIL 能力取决于传感器、控制器、最终元件三者的可靠性数据，以及冗余结构、诊断覆盖率、测试间隔等设计参数。采购时看到样本上写"SIL 3 认证"，正确的理解是：这只阀门作为元件，其可靠性数据可以支撑设计出一个 SIL 3 级别的回路，前提是回路中的其他部分和整体架构也满足要求。

三、用于SIS的切断阀需要满足哪些要求

1. 失效安全设计

失效安全是 SIS 阀门最基本的要求。当电源、气源或控制信号丢失时，阀门必须自动动作到安全位置——通常是关闭。

这决定了执行机构的形式：必须采用单作用弹簧复位执行机构，靠弹簧储存的能量完成关断动作，而不是依赖外部能源。双作用执行机构在失去气源时只能停在原位，不能用于要求失效关闭的关键联锁位置，除非配有蓄能器等后备措施。

2. 认证与声称的区别

阀门可以通过第三方机构按 IEC 61508 进行功能安全评估，取得认证证书和评估报告；也可以仅由制造厂自行"声称"满足某个 SIL 要求。

两者在证据链上差别很大。经过认证的产品会提供安全手册、FMEDA（失效模式、影响与诊断分析）报告、可靠性数据（失效率、诊断覆盖率、安全失效分数等），这些数据是进行回路 SIL 验算的必要输入。只有"声称"而没有数据支撑的产品，无法完成规范的 SIL 验算。

选型时应明确要求厂家提供：认证证书、安全手册、FMEDA 报告或可靠性数据表。

3. 架构与冗余配置

SIS 回路常见的冗余架构包括 1oo1（单通道）、1oo2（双通道，任一动作即触发，安全性高但误跳车率高）、2oo3（三取二，兼顾安全性与可用性）。阀门侧同样可以采用冗余配置，例如两只切断阀串联或并联。

架构选择要在安全性和可用性之间权衡：1oo2 提高了安全完整性但增加了误动作概率，对连续生产装置来说，误跳车造成的损失也必须考虑。具体采用哪种架构，应由 SIS 设计单位依据工艺风险分析（如 HAZOP、LOPA）确定。

4. 诊断覆盖率与可测试性

诊断覆盖率反映了系统自动发现故障的能力比例。诊断覆盖率高，未检测到的危险失效就少，回路能满足的 SIL 等级就更高。

对阀门来说，提高诊断覆盖率的手段包括：配置部分行程测试（PST）功能、阀位反馈与偏差报警、执行机构气源压力监测、电磁阀状态监测等。这些措施能让阀门在不需要真正动作的情况下，验证其部分功能是否正常。

5. 定期测试与测试间隔

即使有诊断，仍有一部分故障只能通过完整动作才能发现，例如密封面损坏、全行程卡涩。因此必须按安全要求规格书规定的测试间隔，对阀门进行完整行程的功能测试。

测试间隔越长，PFDavg 越高，回路能达到的 SIL 等级越低。在无法频繁停车测试的连续装置上，部分行程测试就成为延长完整测试间隔的实用手段。

四、几个关键指标怎么理解

1. PFDavg 与 PFH

PFDavg 是"要求时失效概率的平均值"，适用于低要求模式：安全功能被要求的频率低于每年一次，例如紧急切断。PFH 是"每小时失效概率"，适用于高要求模式或连续模式。

SIS 切断阀通常用于低要求模式，用 PFDavg 评价。

2. 安全失效分数 SFF

SFF 是安全失效与危险失效中可检测部分在总失效率中所占的比例，它反映了故障能否被发现。SFF 越高，说明越多的故障可以被诊断出来，允许的硬件故障容错要求就可以放宽。

3. 硬件故障容错 HFT

HFT 表示系统在发生多少个故障后仍能维持安全功能。HFT 为 0 表示任一故障就可能导致安全功能丧失；HFT 为 1 表示允许一个故障存在而不影响安全功能。

SFF 与 HFT 共同决定了子系统能够达到的最高 SIL 等级（即所谓架构约束）。这也是为什么单纯提高单个元件的可靠性不够，还必须考虑冗余结构。

五、切断阀本体怎么选

1. 阀型优先考虑球阀

在需要快速关断的 SIS 场合，球阀是最常用的选择。原因是：球阀转动 90° 即可完成全开全关，动作行程短、速度快；密封结构容易实现高等级密封；流阻小、不易因介质沉积而卡涩。

蝶阀在大口径场合也有应用，其结构紧凑、扭矩小，但密封等级和抗冲刷能力通常不如球阀。闸阀行程长、动作慢，一般不适合要求快速关断的联锁位置。

2. 密封形式的选择

软密封（PTFE 等）密封性能好，容易达到较高的密封等级，但耐温受限（通常 200℃ 以内），且不耐磨损。金属硬密封耐高温、耐磨损，可到 550℃ 甚至更高，但密封等级要求加工精度支撑。

在 SIS 场合，密封失效意味着关断失败，所以密封等级的确定必须结合介质温度、是否含颗粒来权衡，不能只看密封等级数字。

3. 防火与防静电设计

输送易燃介质的场合，阀门应具备防火设计，即在软密封材料被火烧毁后，金属密封面仍能保持一定程度的密封。常用的验证标准包括 API 607、API 6FA、ISO 10497。

球阀还应有防静电设计，把球体与阀杆之间因摩擦产生的静电荷导出，避免静电积聚引发点火。

4. 关断时间的要求

关断时间由安全要求规格书（SRS）规定，通常在零点几秒到几秒之间。时间要求与工艺风险相关：反应失控类的场景需要极快切断，一般隔离场景可以略慢。

需要提醒的是，关断时间不是越快越好。过快的关断会在管道中产生水锤，对管道和阀门本身造成冲击。合理的做法是先确定工艺允许的最长关断时间，再据此选择执行机构，而不是盲目追求最快。

执行机构的选型要保证在所有可能工况下都有足够的扭矩：包括最大压差下的不平衡扭矩、密封面楔紧扭矩、填料摩擦、以及弹簧复位时的可用输出。这些计算应在选型阶段完成，并留出安全系数。

六、附件配置的关键点

SIS 切断阀的可靠性，很大一部分取决于附件。附件失效导致联锁不动作的案例，在行业中并不少见。

1. 电磁阀

电磁阀是接受 SIS 信号、切换气路以驱动执行机构的元件。关键场合常采用冗余配置（如双电磁阀），降低电磁阀自身失效导致联锁失败的概率。

电磁阀的选型要注意：失电时的状态（通常要求失电使阀门关闭）、工作温度范围、防护等级、是否防爆、以及是否易于在线更换。

2. 阀位反馈与限位开关

限位开关向 SIS 提供阀门的实际位置信号。SIS 需要确认阀门是否真的到达了安全位置，而不仅仅是发出了动作指令。因此反馈信号的可靠性同样重要，关键场合可采用双限位开关或多种原理的反馈装置。

3. 气源处理与储气

气动执行机构依赖气源。气源含水、含油、含尘会腐蚀和堵塞电磁阀、定位器等附件，是阀门失灵的常见原因。应配置气源处理元件，保证气质洁净干燥。

对失效安全要求特别高的场合，可考虑配置储气罐或气瓶，在气源中断后仍能提供足够的动作气量。

4. 部分行程测试功能

具备 PST 功能的执行机构或定位器，可以在装置运行期间让阀门动作一小段行程（例如 10%～20%）然后返回，用来自动验证阀门的可动作性，同时不影响工艺运行。

PST 能显著提高诊断覆盖率，从而在保持相同 SIL 等级的前提下延长完整功能测试的间隔。对无法频繁停车的连续装置，这是提高 SIS 有效性的重要手段。

七、现场常见失效模式与对策

从这张表可以看出，SIS 阀门的可靠性问题很少单纯出在阀体本身，更多来自附件和长期不动作导致的性能退化。因此 SIS 阀门的管理重点应放在附件可靠性、定期功能测试和可诊断性设计上。

八、如何提高切断阀支撑的SIL能力

1. 采用冗余架构

在阀门侧配置冗余元件，或采用经评估的高诊断覆盖率设计，可以降低回路整体的 PFDavg。具体架构应由 SIS 设计单位依据风险分析结果确定。

2. 提高诊断覆盖率

配置 PST、气源压力监测、阀位偏差报警等手段，把原本"隐藏"的失效变成可以提前发现的失效。

3. 缩短测试间隔

在装置检修周期允许的范围内，尽可能缩短完整功能测试的间隔。测试间隔是 PFDavg 计算中最直接的可调参数之一。

4. 选用有完整数据支撑的产品

优先选择经过第三方功能安全评估、能够提供安全手册与 FMEDA 数据的阀门产品，使 SIL 验算有据可依。没有数据的"声称"无法通过规范的安全评估。此外，阀门应安装在振动小、便于维护、不会被介质沉积物掩埋的位置，气源、电缆和接线箱应做好防护，避免进水、进尘、腐蚀。

九、选型时应当向厂家索取哪些资料

一份完整的 SIS 切断阀供货资料，至少应包含以下内容。

- 功能安全认证证书及有效期，认证机构与依据标准。 - 安全手册，明确安装、使用、维护的限制条件和安全假设。 - FMEDA 报告或可靠性数据表，包含失效率、安全失效分数、诊断覆盖率。 - 防火试验报告（如适用）、防静电设计说明。 - 扭矩计算书，覆盖最大压差工况与弹簧复位工况。 - 执行机构与附件的型号、参数、防护等级、防爆认证。 - 关断时间数据与测试方法。 - 维护手册，含测试间隔建议与备件清单。

缺少其中任何一项，都会让后续的 SIL 验算和安全评估变得困难。选型阶段就把资料要求写进技术协议，比事后补交更可靠。

十、总结

SIS 切断阀是安全仪表系统中最容易失效的一环，也是选型时最需要谨慎对待的一环。它的核心要求可以概括为四点：失效时必须自动动作到安全位置，必须能用可靠性数据支撑回路达到目标 SIL 等级，必须让隐藏故障尽可能被提前发现，必须在需要动作的那一刻真的动得起来。

落实到具体工作上：选择适合快速关断的阀型（通常为球阀）、匹配介质温度与颗粒条件的密封形式、配置单作用弹簧复位执行机构、重视电磁阀与气源系统的可靠性、利用部分行程测试提高诊断覆盖率、按标准间隔执行完整功能测试、向厂家索取完整的功能安全资料。

无锡泉控阀门流体控制有限公司（泉控 QUAN）生产的气动切断球阀等安全切断类阀门，采用气动单作用弹簧复位执行机构，断气断电时自动关闭；启闭时间可在 0.5～3 秒范围内调整；密封形式可选 PTFE 软密封或金属硬密封，适用温度覆盖 -29～+200℃（软密封）至 +550℃（硬密封）；可选防火、防静电设计及 SIL 安全认证配置，适用于石油化工、天然气、储罐区与安全联锁系统等需要紧急快速切断的场合。如您的项目涉及 SIS 回路选型，可提供具体工况与 SIL 等级要求，我们将配合完成阀门侧的选型核算与资料准备。