西游记中有一段非常精彩的故事：真假美猴王。两个猴子最后打到灵山请如来辨别真伪，如来借机讲论了如何识得周天之物。

　　如来才道：“周天之内有五仙，乃天地神人鬼；有五虫，乃蠃鳞毛羽昆。这厮非天非地非神非人非鬼，亦非蠃非鳞非毛非羽非昆。又有四猴混世，不入十类之种。”

　　本来科普制造业的各种控制系统之前，笔者都要先贴出ISA-95的自动化金字塔，让读者可以了解该系统在ISA-95体系中的定位。可是今天科普的SIS，就属于非蠃非鳞非毛非羽非昆，不在ISA-95的L0-L4系统之内，但却是ISA-95系统的带刀护卫，是安全保障绝对不可或缺的存在。

　　大家开车的时候，汽车里的许多系统都在工作：驱动系统，辅助驾驶系统，空调，收音机等。除此之外，其实还有一个系统，也在一直默默地工作，只是我们平时不会注意到它的存在，这就是汽车安全气囊。安全气囊会在汽车行驶发生强烈碰撞时自动充气弹出，隔离汽车上的人员身体与车内物体的直接撞击，减少人身伤亡。

　　只要汽车开始行驶，安全气囊就开始工作了。安全气囊平时处于休眠状态，只有当行驶的车辆发生碰撞时，碰撞传感器检测到异常加速度或压力变化，控制器通过算法判断碰撞强度，若达到设定阈值，控制器向气体发生器发送信号，产生氮气并在30毫秒内充满气囊，保护车内人员。

　　从某种意义上来说，汽车安全气囊系统是一个SIS系统。SIS是英文Safety Instrumented System的缩写，中文全名是安全仪表系统。

　　SIS并不参与生产控制，在正常生产时处于休眠或静止状态，持续监测生产过程中的危险参数，当检测到异常情况时能够瞬间准确动作，使生产过程安全停止运行或自动导入预定的安全状态，从而有效预防或减轻安全事故的发生。

　　SIS系统在石化、电力、化工等高风险流程工业中有着广泛应用。比如在石油行业中的储罐安全监测和紧急切断，化工行业中的有毒有害物质监测和紧急处理，SIS都是不可或缺的存在。

　　在电力行业，SIS系统主要用于锅炉、汽轮机等关键设备的保护。例如在燃煤电厂，当锅炉压力过高时，SIS系统会自动打开安全阀进行泄压，确保锅炉的安全运行。

　　在冶金行业，SIS系统主要用于防止高炉煤气泄漏和高温熔融金属保护，有效保障生产安全。

　　如果大家读过前期有关PLC和DCS的科普文章，了解SIS系统的组成就比较容易。SIS系统的组成和PLC本质上没什么区别，主要由传感器（检测单元）、逻辑运算器（控制单元）和执行器（执行单元）三部分组成。SIS和PLC最大的区别是业务：PLC的业务是让自动化系统正确生产，SIS的业务是让自动化系统在紧急情况下安全关停。

　　SIS的工作原理和PLC/DCS也类似：传感器负责检测生产过程中的关键参数，如温度、压力、流量、液位等；逻辑运算器对传感器采集的数据进行分析处理，根据预设的安全条件判断是否需要触发安全动作；执行单元则在逻辑运算器发出指令后执行相应操作，如关闭阀门、切断电源等，使生产过程进入安全状态。

　　读到这里，聪明的你可能会想，既然SIS和PLC工作原理这么类似，我把SIS功能用PLC实现就好了。现在PLC算力也强，我加几个SIS功能块控制系统关闭就搞定了。

　　可是万一PLC出故障了呢？万一PLC的业务太繁忙影响了SIS业务在紧急时候关停呢？

　　作为生产安全的带刀护卫，SIS系统必须满足严苛的安全要求，不是随便写几个PLC的功能块就可以实现的。SIS系统的设计需要遵循五大核心准则，这些准则确保系统在全生命周期内都能提供可靠的安全保护。

　　前面我们用的“万一”这个词其实很有意思，万一就是万分之一，意味着掉链子的概率是0.01%。IEC 61508定义的安全完整性等级SIL，最高的安全等级SIL4的要求甚至还要高过”万一“。

安全完整性SIL的等级

　　设计SIS系统，首先是风险评估与安全完整性等级(SIL)分析准则，全面评估风险，确定每个安全仪表功能(SIF)需要达到的SIL等级。SIL等级分为四个级别，等级越高，对系统的设计要求也越严格。在实际应用中，大多数SIS设计为SIL2或SIL3，而一般的PLC是不需要SIL认证的。

　　冗余设计让SIS系统能够在单一组件或子系统出现故障时仍能保持功能的完整性。冗余是“以防万一”的双保险甚至多重保险。

　　在安全系统里面，我们经常能够看到1oo2，2oo3等的术语。oo是英文out of的缩写，从几个里面选几个的意思。1oo2就是1-out-of-2，双重冗余，2个设备中任意1个设备正常工作，系统即可执行安全功能。而2oo3（2-out-of-3）是三重模件冗余，3个独立设备并行运行，需至少2个设备一致，系统才执行安全功能。

　　一般PLC冗余满足1oo2就可以了，而SIS在一些安全敏感系统，如反应釜压力保护系统，核电站等，要达到2oo3，甚至是2oo4的标准。

　　民航飞机有一个规定，出于安全考量，正副飞行员在飞机上的饮食必须不一样，这就是独立性和隔离性。同理，SIS必须与控制系统分离，避免控制系统发生故障时影响SIS的功能。

　　这种独立性不仅体现在物理隔离上，还包括电气和逻辑上的隔离。例如，SIS系统通常采用独立的电源供应、不同的通信路径以及独立的控制器，确保在PLC/DCS出现故障时，SIS仍能正常工作。

　　所以，用有控制业务的PLC/DCS同时来完成SIS的功能，是违反了独立性和隔离性原则。

DCS和SIS分别独立控制的阀门

　　我原来买了一辆日本的二手车，开了十年以后各种零器件开始报废，连安全气囊也不工作了。所以，SIS不仅仅局限于初始设计，安装、调试，还包括定期维护及停用。定期的验证测试是确保系统可靠性的重要手段。SIL等级越高，测试频率越高，测试要求也越严格。

　　英国健康与安全执行局（HSE）的报告指出，在英国重大化工事故中，约70%涉及人为错误（如误操作、沟通失误或维护疏漏），即使SIS系统再安全也无法杜绝人为失误带来的重大事故。所以操作人员的培训对于SIS有效运行非常重要。通过建立完善的培训机制，企业可以减少由于人为操作失误导致的事故，提高SIS的整体可靠性。

　　上世纪中期，化工和石油工业快速发展。随着生产规模的扩大，重大事故也频发，对安全生产流程标准化的呼声也越来越多。而1974年英国Flixborough化工厂的爆炸成了压到骆驼的最后一根稻草，逼得英国同年出台《健康与安全工作法》（HSWA），强化企业安全责任，后来也推出“重大事故危害控制”（COMAH）法规，要求高风险工厂制定应急预案。

　　早期安全系统采用机械联锁和继电器逻辑实现基本安全功能（如压力释放阀）。从八十年代开始，随着DCS/PLC的推广，安全系统也使用了自动化技术。但是，早期的数字联锁系统缺乏统一的功能安全标准，设计和评估主要依赖于工程师的经验和直觉，这为后续标准体系的建立埋下了伏笔。

　　安全仪表系统标准的发展历程可分为三个阶段，每个阶段都对应着不同的技术理念和安全要求。

　　1989年德国发布的DIN V19250标准是世界上首个过程工业安全设备分级标准，将安全等级划分为AK1-AK8八个级别。这一标准为功能安全概念奠定了基础。该标准强调通过硬件设计和系统架构提高安全性，但缺乏对软件安全和系统整体安全性的规范。

　　1996年美国ISA标准委员会发布了ANSI/ISA-84.01-1996标准，首次提出了安全完整性等级(SIL)的分级概念，将安全完整性等级分为SIL1-SIL3三级。该标准定义了用于管理仪表系统的安全生命周期方法，为SIS的设计、制造、安装、调试、操作和维护等各个环节提供了明确要求。ANSI/ISA-84.01-1996标准迅速被许多国家采用，成为早期安全仪表系统设计的重要指导。

　　1998年国际电工委员会(IEC)发布IEC 61508标准，并于2000年完成全部七个部分的发布。IEC 61508是功能安全领域的"宪法"级标准，它将安全管理引入系统设计中，提出了安全生命周期的概念，为所有电气/电子/可编程电子安全相关系统提供了一致的、合理的安全框架。

　　基于IEC 61508，IEC于2003年发布了IEC 61511《过程工业领域SIS的功能安全》标准，该标准专门针对过程工业领域，细化了SIS的设计、安装、操作和维护要求。

　　我国SIS标准的发展起步较晚。1999年，石化行业发布了《石油化工紧急停车及安全联锁系统设计导则》，采用了部分IEC标准的理念。2006年和2007年，中国分别等同采用IEC 61508和IEC 61511，发布GB/T20438.1-2006和GB/T21109.1-2007，标志着国内SIS标准与国际接轨。

　　因为SIS和PLC/DCS工作原理相近，只是业务有区别，所以许多DCS/PLC厂家都用同样的技术配备SIL认证来提供SIS。

　　DCS厂家往往有其配套的SIS并提供和原厂系统无缝集成。比如霍尼韦尔Safety Manager 配合本厂 Experion DCS；艾默生的 DeltaV SIS 集成于 DeltaV DCS；横河的ProSafe-RS 配合原厂CENTUM VP DCS，都是这个路线。一般客户往往会打包购买。

　　有些PLC厂家直接用自己的安全PLC提供SIS系统，最典型的是施耐德的安全PLC Triconex。Triconex首次使用三重冗余TMR（Triple-Modular-Redundancy），市场份额一度名列前茅。西门子的SIS系统也是基于其安全PLC S7-410F构建的。

　　非PLC/DCS厂家提供专业SIS系统的，以德国HIMA公司为代表。HIMA是全球领先的独立 SIS 供应商，深耕SIS领域超过45年。其代表产品有适用于复杂大型系统的HIMax，适用于中等规模SIL3应用的HIQuad X，还有主要用于铁路等高安全领域，具备极高的稳定性Planar4。

　　2024年，SIS全球市场约为55亿美元（PLC约115亿美元，DCS约220亿美元），规模不小。其中化工35%、石油和天然气25%、电力20%、制药10%、其他10%。化工行业由于其高风险性和复杂性，对SIS系统的需求最为迫切，占据了最大的市场份额。

　　最近的公开资料中没有明确的厂商层级市场份额百分比数据，头部玩家罗克韦尔，艾默生，霍尼韦尔，西门子，横河，施耐德和HIMA占据了全球大部分市场，但并非完全寡头垄断。

　　2024年中国SIS市场规模预计为 100–120亿元人民币，市场分布如下图。

2024国内SIS市场发布（来源网络）

　　在头部五个企业中，中控技术在化工（市占率63.2%）和石化（56.2%）领域处于几乎绝对垄断的地位。而霍尼韦尔在石油天然气，西门子和ABB在电力和能源颇有斩获。

　　未来中国SIS市场将持续增长，本土企业市场份额将进一步扩大。2024版《产业结构调整指导目录》将SIS列入鼓励类项目，预计2025-2030年，中国SIS市场将以6.2%的年复合增长率增长，到2030年市场规模将达到约200亿元。

　　市场有一个基本规律，对稳定性要求越高的系统，其更新换代的频率就会越低，所以我们看到OT的技术更新换代和IT相比就更加趋于保守。而SIS是OT世界里定海神针，压舱石的存在，是高风险系统非常重要的防火墙，其技术的更新换代和其他OT系统（PLC+SCADA，DSC）相比就更加谨慎。

　　另外SIS必须要通过SIL认证，认证流程旷日持久，不仅仅价格昂贵，而且非常严苛。改动了系统，又需要重新认证。这些极高的业务门槛，也间接妨碍了SIS系统的技术变革。

　　虽然SIS的技术发展似乎不是突飞猛进型的，但是SIS依然与时俱进。而新兴技术能够变得有吸引力，往往取决于市场是否因为此技术找到了新的增长点。

　　SIS系统发展到今天，虽然对生产安全功不可没，但并非没有痛点。第一个痛点就是性价比。因为对安全可靠的刚需，SIS系统往往使用双重甚至三重冗余，这也意味着硬件成本直接翻番。如何在安全和成本之间找到平衡，是SIS的一个挑战。

　　第二个痛点是整体安全。SIS系统的安全性不仅取决于硬件和软件的设计，还取决于安装、调试、操作和维护等环节的规范性和一致性。因此，需要建立完善的全生命周期管理体系，确保系统在整个生命周期内保持高安全性和高可靠性。

　　在整个体系中最弱的环节其实在人，大多数安全事故的原因，并不在于SIS系统的故障，而在于人为失误。最典型的例子就是切尔诺贝利核电站事故，其直接导火索是操作人员和工程师违反安全规程的操作。

　　在工业4.0数字化的今天，我们可以从不同的技术发展来看它们对SIS市场的影响和推动。

　　功能集成和扩展

　　在功能集成方面，SIS系统正从单一的安全功能向多功能集成方向发展。SIS与基本过程控制系统（DCS/PLC）的集成越来越受到重视。随着通讯接口与网络标准的统一，SIS与DCS/PLC可以实现更紧密的集成，这对于一些要求较低、规模较小的生产过程可以减少投资，在性价比上形成优势。

　　另外SIS必须有强大的可扩展性，以适应越来越多的柔性制造和升级换代的需求，包括支持各种外设和配置，如本地I/O、远程I/O。这样可以降低工程和安装成本，并根据其特定的运营需求定制系统。可扩展的SIS可以从小规模开始，并根据需要扩展以与业务一起增长。

　　许多人可能没有想到，工业4.0的数字技术对SIS影响不小。首先是SIS与工业物联网(IIoT)的深度融合，通过连接更多传感器和设备，实现对生产过程的全面监控和智能分析和可预测性维护。

　　而数字孪生技术可以帮助SIS通过构建虚拟模型，实现对设备的预测性维护和优化控制。数字孪生技术也能够实时映射生产装置的工艺过程，实现生产方案的离线优化。

　　让AI分析大量历史数据，识别潜在的安全风险，并提前采取预防措施，这样的应用大家都有共识。但是人工智能在SIS上还有更加独特的一面，就是可以帮助防止人为失误。

　　在钢铁行业现场，操作工的经验非常重要，人工操作水平对于生产等结果有较大影响，经验水平高下对停机率、产品质量、生产效率等都有影响。宝武现在应用“AI主操”来让AI承担原本人工承担的设备实时操控工作，减少对工人经验的依赖。

　　这个思路，其实可以应用在SIS系统，让AI先学习正常合规操作，然后可以替代一部分人工操作，也可以对人工操作的合规性进行判定，减少因为人为操作失误而引起事故的概率。

　　笔者曾经在工业软件安全整体设计中提到SIS的功能安全（Safety）和信息安全（Security）的区别。

　　随着工业互联网的发展，SIS系统面临越来越多的网络攻击风险。新版IEC 61511标准要求进行信息安全风险评估，以识别SIS的信息安全脆弱性。新一代SIS系统需要采用更先进的网络安全技术，如加密通信、访问控制、入侵检测等，确保系统在面临网络攻击时仍能保持安全功能的可靠性。

　　随着中国制造进入高端制造，制造业对生产安全的需求将会日益增多。SIS作为工业安全的关键屏障，将在未来工业发展中发挥更加重要的作用。

　　中国的工控企业要进入自动化厂商的第一梯队，还需要在功能安全和信息安全领域继续发力。同时，制造业企业应根据自身安全需求和经济条件，选择合适的SIS系统，并建立完善的生命周期管理和安全文化，确保系统能够有效发挥安全保护功能，为企业安全生产提供有力保障。