工艺安全管理中，对操作法的工艺参数控制范围、高（低）限及高高（低低）限报警值设定、DCS联锁值设定、SIS联锁值设定、安全阀、爆破片整定值、规范规定的最大设计值、设备设计值到底存在什么逻辑关系呢？
笔者根据现行规范并结合自身现场生产实践总结出一套逻辑规律，供参考。
一、参考规范列举
参考规范如下：
《石油化工安全仪表系统设计规范》GB/T 50770-2013
2.1.7 石油化工工厂或装置的典型多保护层结构如图1所示：
图1石油化工工厂或装置的典型多保护层结构
《过程工业报警系统管理》（GB/T 41261-2022）
9.4 报警设定值确定
可使用报警原则中规定的报警设定值确定指南。
有效的报警设定值确定方法应综合考虑允许的响应时间（参见图5）、操作员动作的复杂性、过程操作的知识和历史以及其他因素。
《石油化工危险与可操作性分析（HAZOP）技术规范》SH/T 3240-2025
附录E
《危险化学品重大危险源 罐区 现场安全监控装备设置规范》（AQ 3036-2010）
4.3.3压力报警高限至少设置两级，第一级报警阈值为正常工作压力的上限，第二级为容器设计压力的80%，并应低于安全阀设定值。
《石油化工储运系统罐区设计规范》SH/T 3007-2014
5 常压和低压储罐区
5.1储罐附件选用
5.1.4呼吸阀的排气压力应小于储罐的设计正压力，呼吸阀的进气压力应高于储罐的设计负压力。
5.1.5采用氮气
或其他惰性气体密封保护系统的储罐应设事故泄压设备，并应符合下列规定：
a）事故泄压设备的开启压力应高于呼吸阀的排气压力并应小于或等于储罐的设计正压力；
b）事故泄压设备应满足氮封或其他惰性气体密封管道系统或呼吸阀出现故障时保障储罐安全的通气需要；
c）事故泄压设备可直接通向大气；
d）事故泄压设备宜选用直径不小于DN500的紧急放空人孔盖或呼吸人孔。
5.4仪表选用与安装
5.4.2应在自动控制系统中设高、低液位报警并应符合下列规定：
a）储罐高液位报警的设定高度，不应高于储罐的设计储存高液位；
b）储罐低液位报警的设定高度，不应低于储罐的设计储存低液位。
5.4.3 储存I级和 II级毒性液体的储罐、容量大于或等于 3000m3的甲B和乙A类可燃液体储罐、容量大于或等于 10000m3的其他液体储罐应设高高液位报警及联锁，高高液位报警应联锁关闭储罐进口管道控制阀。
5.4.4 装置原料储罐宜设低低液位报警，低低液位报警宜联锁停泵。
条文说明：
5.4.2设置高（低）液位报警的目的，是预报罐内液位将升高（降低）到所规定的极限高度，要求操作人员听到报警后，需在规定的时间内完成切换储罐的工作，才能避免发生事故。
5.4.3高高液位联锁关进口阀可防止储罐进料时满溢，对本条所列三种情况需采取更严格的安全保护措施。
6 压力储罐区
6.3储罐仪表选用和安装
6.3.3 液位测量远传仪表应设高、低液位报警。高液位报警的设定高度应为储罐的设计储存高液位；低液位报警的设定高度，应满足从报警开始 10min~15min 内泵不会汽蚀的要求。
6.3.4 压力储罐应另设一套专用于高高液位报警并联锁切断储罐进料管道阀门的液位测量仪表或液位开关。高高液位报警的设定高度，不应大于液相体积达到储罐计算容积的 90%时的高度。
6.4.2 压力储罐的安全阀设置应符合下列规定：
c）安全阀的开启压力（定压）不得大于储罐的设计压力；
《爆炸危险化学品储罐防溢系统功能安全要求》（GB/T 41394-2022）
5储罐防溢系统通用要求
5.1一般要求
5.1.1储罐防溢系统应包括技术措施和管理措施。
5.1.2储罐防溢系统技术措施可包括高液位报警、液位超高联锁等。典型的技术措施设置见图 1。
AOPS：自动储罐防溢系统(Automated Overfill Prevention System)
MOPS：手动储罐防溢系统(Manual Overfill Prevention System)
6.5储罐防溢操作安全规程要求
6.5.1制定进料计划的规程
6.5.1.2 计划中应明确进料量,与接收罐的可用容积比较，确保储罐有足够的可用容积。
注：接收罐的可用容积使用MW来计算。
6.5.1.3 应在进料前做好充分计划，在液位达到MW前及时切罐或停止进料。
6.5.1.4 计划中应明确进料完成时储罐预期液位，未经授权预期液位不应超过 MW。在任何情况下，储罐进料后的液位均不应达到或超过HH或AOPS液位。
注：AOPS液位指需要由AOPS执行动作的液位值。
9.2关注液位的设计
9.2.1 建立关注液位
9.2.1.1 在进行储罐防溢系统设计前，应定义储罐的关注液位，至少包含以下三个液位参数，见图 2。
——极限液位(CH)；
——高液位(H)；
——最高工作液位(MW)。
9.2.1.6 AOPS 液位应设置在高高液位（HH）或以上，且应低于极限液位（CH），AOPS液位与CH 间的差值应基于当前罐在最大流速下触发AOPS系统和停止进料所需的响应时间来计算。AOPS液位与CH间的液位差不应小于7.7 cm。
注：当储罐同时作为泄放装置使用时，与其连接的泄放管线阀门都需要处于铅封开启（CSO）或锁定常开（LO）位置，此情况下采用 AOPS措施需要在考虑储罐防溢的同时考虑泄放措施的有效性。
9.2.1.7高液位(H)应设置于最高工作液位(MW)与极限液位(CH)之间，当关注液位设置有高高液位(HH)时，H应设置于HH以下。
9.2.1.8 MOPS液位宜设置在H处。H与HH之间差值应基于当前罐在最大流速下人工停止进料所需的响应时间。
注：MOPS液位指需要由MOPS执行动作的液位值。
9.2.1.9 高高液位(HH)应设置在极限液位(CH)以下，其间的差值应由最大进料流速时操作人员或AOPS 终止进料所需的响应时间确定，但距离不得小于 7.7cm。
9.2.1.10 响应时间计算应包括9.2.1.18中提及的因素。应计算出响应时间过程对应的进料体积(响应时间x最大流速)后，使用罐容表或等效的计算方法来确定罐中与该进料体积对应的垂直距离。
注：如罐有多个管线同时进料，则在计算进料体积时，要将多个管线的进料体积求和。
9.2.1.11 储罐液位达到 HH 时应采取措施使其尽快降低到MW。
9.2.1.12在确定HH时除响应时间外还应关注进料体积裕度，主要包括：
——可能出现的泄放量（如储罐同时用作泄压时，在停止进料后可能发生泄压时所产生的进料体积）；
——在通信故障或阀门失灵的情况下，由高位管线倒排回油罐的体积；
——当液位达到高高液位(HH)时，为将液位降至最高工作液位(MW)以下，转移罐内介质的速率。
9.2.1.13并联运行的储罐在设置高高液位(HH)时，应确保储罐标高或运行高度不同的情况均适用。
示例：储罐并联运行时高度或标高不同，那么某一储罐可能比其他先“满”（达到其溢流液位）。
9.2.1.14 最高工作液位(MW)宜设置警示。
9.2.1.15 最高工作液位(MW)与高液位(H)报警之间的距离应设置足够，确保进料时不会在如下情况触发不必要的高液位报警：
——产品因热膨胀提升液位；
——物料晃动造成的液位高度增加。
9.2.1.16对于作为管道泄压罐的储罐，应在HH和CH以及MW和HH之间均留出泄放余量。
9.2.1.17 储罐的各项关注液位参数应告知操作人员及巡检人员，并明示于罐底人工巡检位置，罐顶人工测量口及控制室。
9.2.1.18 响应时间应根据不同的关注液位进行计算，其定值取决于各关注液位的高度设定及要求的响应动作，应关注以下内容：
——手动响应时间计算应包括：
l 启动报警需要的时间：
l 操作人员确认报警(避免误报的情形)的时间；
l 完成设计的响应操作所需的时间(如关阀操作)；
l 执行响应动作的时间(如阀门关闭过程时间)；
l 操作人员确认及可能采取补救所需的时间，相关活动包括：确认所有系统部件都已正确响应，若系统未正确响应应采取适当补救动作；
l 转移罐内介质的速率；
——自动响应时间计算应包括如下因素：
l 启动储罐防溢系统需要的时间（包括信号的传输、执行设备按照设计进行动作并完成响应动作的时间）；
l 验证所有系统部件都已正确响应的时间，以及若系统未正确响应时采取适当补救动作的时间；
l 转移罐内介质的速率。
《石油化工企业设计防火规范（2018年版）》（GB 50160-2008）
6.3.11 液化烃的储罐应设液位计、温度计、压力表、安全阀，以及高液位报警和高高液位自动联锁切断进料措施。对于全冷冻式液化烃储罐还应设真空泄放设施和高、低温度检测，并应与自动控制系统相联。
《危险化学品重大危险源安全监控技术规范》（GB 17681-2024）
6.3.2 常压和低压储罐区监控要求
6.3.2.2应在系统中设置高液位报警、低液位报警、高高液位报警、低低液位报警，并应符合下列规定。
a）报警设定值应符合 SH/T 3007 的有关规定；外浮顶储罐和内浮顶储罐的低低液位报警设定值不应低于浮盘落底高度。
b）高高液位报警应联锁关闭储罐进口管道上远程控制的开关阀，并对进料泵采取防憋压措施；低低液位报警应联锁切断出料。
6.3.3 压力式储罐区监控要求
6.3.3.1 压力式储罐应至少设置2套液位连续检测仪表和1个高高液位开关，或设置3套液位连续检测仪表。液位连续检测仪表应具备液位就地指示、高低液位报警、高高和低低液位报警功能，高高液位报警应联锁关闭储罐进料管道上的紧急切断阀，并对进料泵采取防憋压措施；低低液位报警应联锁切断出料。
6.3.3.2高液位报警设定值不应大于储罐的设计储存液位；低液位报警设定值应满足从报警开始15min内泵不会汽蚀的要求。
6.3.3.3高高液位报警设定值不应大于液相体积达到储罐计算容积 90%时的高度。
6.3.3.4 压力式储罐的压力报警高限应至少设置两级，第一级报警阈值应为正常工作压力的上限，第二级报警阈值应为下列计算值的较小值：
a）正常工作压力的上限值与安全阀设定压力值之和的50%；
b）安全阀设定压力值的 90%。
6.3.4 全冷冻储罐区监控要求
6.3.4.1储罐液位检测仪表的设置和液位控制应符合下列规定。
a）应至少设置3套液位检测仪表，其中至少2套应为液位连续检测仪表，用于液位测量和高低液位报警、高高液位报警及联锁、低低液位报警及联锁。
b）储罐的低低液位报警设定值不应小于泵不发生汽蚀的最低液位高度与储罐7天蒸发量所对应的液位高度之和，低低液位报警应联锁停泵并关闭泵的出口阀门。
c）储罐的低液位报警设定值不应小于低低液位与储罐15 min最大体积外输量对应的液位高度之和，储罐达到低液位时应报警。
d）储罐的高高液位报警设定值不应大于设计高液位与储罐充装15 min最大充装体积流量所对应的液位高度之和。高高液位报警应联锁关闭储罐进料管道上远程控制的开关阀和联锁停运进料泵。
看了上述规范，应该就明白大多数逻辑了。
二、结论及分析
直接上结论：
设备设计下限值≤安全附件设计值(下限)<SIS 联锁低限启动值<DCS联锁低限启动值≤工艺报警低低报值<工艺报警低报值≤岗位操作法正常控制下限<工艺自动控制回路下限设定值≤日常运行范围≤工艺自动控制回路上限设定值<岗位操作法正常控制上限≤工艺报警高报值<工艺报警高高报值≤DCS联锁高限启动值<SIS联锁高限启动值<安全附件设计值(上限)≤设备设计上限值
结合结论解释如下：
1、操作法工艺控制指标上下限范围确定原则。
岗位操作法中一般会对工艺控制参数进行一个控制范围的描述，在该控制范围内，系统不应有报警产生，属于是操作法允许的正常控制范围。比如某加压精馏塔控制塔顶压力：1.0±0.05MPa，对于精馏塔而言，控制压力的选取是通过考虑分离的难以程度、运行的经济性、前后工艺压差需求等多种因素的一个综合结果，这里我们先考虑认为该精馏塔目标控制压力是1.0MPa，假设为全凝式冷凝器，采用冷凝器冷媒调节阀来自动控制压力，我们将调节阀控制的目标设定为1.0MPa，受仪表测量、控制逻辑反馈、P&ID参数整定的影响，实际精馏塔顶压力肯定在1.0MPa上下波动，比如正常波动范围为1.0±0.02MPa。那么为什么我们要将操作法控制范围再扩大呢？因为除了回路控制的正常波动外，可能还会有一些其他的影响，比如冷媒总管的压力波动、冷媒的温度波动等，这些因素会导致精馏塔压力波动进一步加大，比如是1.0±0.03MPa。在考虑一定裕度，对产品质量不影响、安全的范围内，我们将操作法控制的上下限放大到1.0±0.05MPa。操作法上下限是考虑工艺参数在该范围内，系统能维持正常生产，满足质量和安全的需求。在控制范围内正常不需要产生报警。这是操作法制定控制范围的核心逻辑。一个化工装置，有多达几百几千个工艺参数，如果控制范围设定过小，那么到处都是报警，操作人员是无法进行处理的；如果控制范围设置过大，可能无法满足产品质量的要求，同时会造成原材料、能源的浪费。
2、DCS控制目标设定值确定原则
确定了操作法控制范围，那么我们在DCS系统如何设定控制阀的控制目标值呢？
对于连续自动控制，工艺自动控制回路控制目标设定值要小于岗位操作法正常控制上限（差值需满足控制回路的正常波动范围），才能保证自动控制回路投用后，能将指标控制到岗位操作法规定的上限范围内，下限同理。
对于两位式控制，假设某水罐操作法规定液位控制范围为500~1000mm，采用进水管一个切断阀来进行控制液位（注意这里的切断阀控制属于BPCS控制，不属于联锁范畴），需要有两个设定值A、B，液位如果低于A，打开切断阀对水罐补水；液位如果高于B，关闭切断阀停止补水。这里的A必须大于500mm，而不能等于500mm，为什么呢，假设设定为500mm才开始补水，液位检测到500mm、发出控制信号、打开补水阀，水从补水阀流到水罐到液位开始上升是有一定响应时间的，在这段时间内，水罐的液位可能已经降到500mm以下了，就达不到控制范围500mm以上了。通过分析，应该明白工艺自动控制回路控制目标设定值范围要小于岗位操作法正常控制范围的原因了吧。
为了减少报警或者基于保密原因，很多企业把操作法控制范围设定的很宽，这个是可以理解的，但一定要保证在该控制范围内不会发生安全的问题，企业自身再设定一个更窄的“内控指标”。
3、一级报警确定原则
报警值:报警高限、低限（一级报警）如何设定呢？
既然我们将操作法控制范围作为我们正常的范围，那么偏离此范围就需要进行报警。虽然我给出了结论：工艺报警低报值≤岗位操作法正常控制下限和岗位操作法正常控制上限≤工艺报警高报值，原则上建议报警值等于操作法控制范围上下限，即工艺报警低报值=岗位操作法正常控制下限、岗位操作法正常控制上限=工艺报警高报值。
需要说明的是，并不是所有工艺参数都需要进行报警，如何确定需不需要报警呢？可以通过HAZOP分析等方法分析工艺参数偏离后会产生什么后果，再系统的进行报警设置。对于一些间歇运行的装置，设置低限报警需要注意，在不生产时会产生大量无关报警，我们一般称之为“报警洪水”，需要采取一些控制手段。
4、报警值和联锁值的关系
黄区设定：SIS联锁低限启动值<DCS联锁低限启动值≤工艺报警低低报值<工艺报警低报值、工艺报警高报值<工艺报警高高报值≤DCS联锁高限启动值<SIS联锁高限启动值
首先，我们需要明白报警的目的是什么？报警的目的是提醒操作人员工艺参数已偏离正常工作范围，提示操作人员对系统进行干预。如果操作人员不进行干预，工艺参数进一步偏离，再考虑启动联锁。那么报警后就需要给操作人员留出足够的响应时间。
各规范有一些响应时间的确定方法，理论上响应时间越长约好，根据目前的规范及理论，建议将响应时间设计为40min以上为最佳，至少应设定为10min以上，如果响应时间小于10min，可能报警+人员干预的措施就会失效。（参照SH/T 3240-2025石油化工危险与可操作性分析（HAZOP）技术规范附录E）
搞清楚响应时间，我们就明白工艺报警高报值<工艺报警高高报值≤DCS 联锁高限启动值的逻辑了，大多数规范规定报警高高报值=联锁高限启动值，那么工艺高报警与DCS联锁高限启动值之间的差值就是我们前面提到的响应时间内的工艺参数变化差值。也就是我们希望的是工艺发出报警信号后，在响应时间内，操作人员正确处置后，工艺参数在达到后果阈值的时候不会进一步触发高高限报警或者说触发安全联锁。对于低限报警与低低限报警之间的关系原理同高限。
在新项目设计阶段，这里的后果阈值与报警的差值估计只能依靠工程师的经验，或参照已有模型。
5、DCS联锁值和SIS联锁差值确定
关于SIS联锁低限启动值<DCS联锁低限启动值和DCS联锁高限启动值<SIS联锁高限启动值：
首先要说明的是，并不是所有的工艺参数控制都一定需要有DCS联锁或者SIS 联锁，也不需要两个联锁一定同时存在。只有在一些高风险场景中才会这样考虑多保护层，DCS联锁与SIS联锁值有些专家认为应设置成相同，这里持不同观点，我认为应将DCS联锁和SIS联锁确定为两个保护层，我们期望DCS联锁正常启动后，在工艺参数的变化过程中，不应该进一步触发SIS联锁。如果DCS联锁值和SIS联锁值差值过小，那么DCS联锁正常启动后，工艺参数的进一步变化会触发SIS联锁。这时我们设两个保护层的目的何在呢？DCS联锁和SIS联锁设定值的差值应结合理论计算和实践得出。
举例说明：某氯化反应釜操作法温度控制上限为100℃，冷却水采用气动阀调节控温（自控设定目标温度90℃）；DCS联锁设置温度超过110℃切断氯气进料，全开降温气动阀；SIS联锁设置温度超过115℃切断氯气进料、打开备用紧急冷却水冷却降温。这里的温度DCS联锁和SIS联锁设定值的差值取了5℃，根据是什么呢？依据是反应风险评估报告显示，当联锁启动切断氯气后，系统温度上升最高为3℃，后来通过装置实测，DCS连锁启动后反应釜温度上升在4℃左右，此时将DCS联锁和SIS联锁设定值的差值取5℃是合理的。这样就保证了只要DCS联锁正常启动，SIS联锁就不会启动。
6、SIS压力联锁设定值与安全阀、爆破片整定值差确定
SIS联锁高限启动值<安全附件设计值（上限），安全阀、爆破片整定值就是这里的安全附件设计值（上限），实际设计时，不光要考虑大小关系，还必须考虑有一定差值，这里差值确定的原则是保证在SIS压力联锁正常启动后，不会进一步导致安全阀起跳或爆破片破裂，那么中间的差值就应该考虑至少应大于SIS压力联锁正常启动后压力进一步上升值和安全阀、爆破片起跳爆破的负偏差之和。
7、液氯储槽液位SIS联锁高限设定值与液氯储罐的储存系数不应大于 0.8的关系
《化工企业氯气安全技术规范》GB 11984-2024第6.1.5条，液氯储罐的储存系数不应大于0.8，那么我们在设计时应保证任何情况下，液氯储罐的储存系数不应大于0.8，因此SIS联锁作为控制系统的最后一个保护层，其液位高限设定值应低于0.8。
8、联锁设定值、安全附件设计值和设备设计值的关系
对于压力而言，有许多规范都规定了安全阀整定值不应高于设备设计压力或设备最大允许工作压力，这里我就不一一列举了。对于非压力参数、如温度、液位就应保证联锁设定值上限低于设备设计温度、设计液位值，差值原则同第6条分析，就是保证前面的保护层起作用后，工艺参数不应超过设备设计值。
9、注意区分两位式控制和安全联锁的区别
前文已经举例，比如采用一个切断阀来控制某水罐液位，操作法规定液位控制范围为500~1000mm、液位报警低限500mm、报警高限1000mm，液位如果低于520mm，打开切断阀对水罐补水；液位如果高于980mm，关闭切断阀停止补水。这里的520mm和980mm不是联锁值，虽然看起来跟联锁值很类似。我们称为两位控制，属于BPCS保护层，千万不要与安全联锁混淆，也不需要进入联锁台账进行管理。
10、总结
通过上述分析总结，参考文后相关规范，我们得到了相关结论：
设备设计下限值≤安全附件设计值(下限)<SIS 联锁低限启动值<DCS联锁低限启动值≤工艺报警低低报值<工艺报警低报值≤岗位操作法正常控制下限<工艺自动控制回路下限设定值≤日常运行范围≤工艺自动控制回路上限设定值<岗位操作法正常控制上限≤工艺报警高报值<工艺报警高高报值≤DCS联锁高限启动值<SIS联锁高限启动值<安全附件设计值(上限)≤设备设计上限值
在实际应用中应注意，满足大小关系和一个保护层启动后不会导致另一个保护层启动的原则以外，应尽可能减少差值，以体现出设计的经济合理性，差值取得越大，最终设备的设计值越高，会造成投资成本的急剧上升。
当然，实际过程不能仅仅考虑逻辑关系和差值，还有一些需要综合考虑的事项进行灵活运用。比如有的压力系统为防止高压窜低压，将低压系统与高压系统设计为一个压力等级等。
最后，选择相应合理、可靠的检测仪表，设定相应的报警、联锁措施，仁者见仁、智者见智，总之在满足国家规范的基础上做到合理配置资源、本质安全才是化工人的根本。
声明
1
本平台接收会员单位、行业企业、高等院校、安全评价机构等社会单位投稿，稿件内容经审核符合要求的，将免费在本平台及中国化学品安全协会官网（http://www.chemicalsafety.org.cn/）上进行宣传。投稿邮箱ccsa@ccsa.net.cn，来稿请标注“微信投稿”字样。
2
本平台对转载、分享、陈述、观点保持中立，目的仅在于传递更多信息，并不代表本平台赞同其观点和对其真实性负责。如发现政治性、事实性、技术性差错及版权问题等错误信息，请及时联系我们（电话：15810337617），感谢支持！
长按图片 关注我们