ESD（Emergency Shutdown Device）:紧急停车系统，多数应用于石油和化工系统，是一个独立于DCS系统的控制单元，在工艺发生危险状况时，对设备，环境等进行紧急的启挺，开关操作。配置设备以高档的PLC居多，多数处理DI/DO点，现在多数与DCS进行通讯。

SIS（SIS, safety instrumented system）:安全仪表系统，主要用于汽轮机，压缩机等高速运转设备，对轴承的转速，震动，位移，温度等进行检测，对设备进行保护，原来设计多为模块组合，相当于与智能仪表的组合体。

SIS是安全仪表系统，ESD是紧急停车系统，ESD属于SIS的一部分。SIS包括现场仪表、逻辑解决器、执行机构三部分，这三个部分都要是安全设计的，常规的ESD系统只是SIS的逻辑解决器这部分，当然也要是安全设计的。

随便举个例子，不一定合适，但是可以帮助理解这些概念。

西门子的PCS7 系统。包含了S7-400H 硬件，WinCC 监控软件，Simaticnet 通讯软件。Step7编程软件。PDM等智能仪表工具。PCS7 是一系列软件，硬件的组合体，是一个系统的概念。SIS 基本上也是同样的道理。从本质上来讲，SIS 的硬件系统不光包括SIS控制器及IO（例如 Triconex，HIMA，西门子400FH）。还应包括所有跟控制器接口的其他输入部件，例如获得TUV SIL认证的 传感器，变送器，检测装置；还应该包括所有输出部件，如获得 TUV SIL认证的执行器（液压安全执行器，气动安全执行器，电动型安全执行器），还应该有 获得认证的现场设备。要求严格的现场，阀门本体也必须是有TUV 证书的。例如核电厂的安全阀不光是锅炉与压力容器质检合格，还应该有核检证书，还应该有 TUV的安规证书，明确标明是SIL几等级。

那么，我们现在再来理解这些概念、、、 安全型控制器（目前这个叫法最科学）仅仅是SIS系统硬件中的一环。安全型控制器的厂家 包Triconex，HIMA，西门子，Moore，ICS，ABB，EMerson等。这些安全型 控制器用于紧急停车场合，则称之为 ESD。用于油气田的火检和气体报警，则称之为 F&GS.用于危险场合的燃烧控制，则称之为BMS。ESD，F&GS,BMS 不是指Triconex，也不是指HIMA，更不是指 他们这些厂家的控制器。而是他们这些厂家的安全性控制器 用在这些不同的场合，有着这些不同的用途，所以有着这些不同的叫法。

下一次，别人问你，为什么 Triconex 一会叫ESD，一会叫PSD，一会叫F&GS,一会叫BMS。还叫做SIS。。。你应该理其含义。这些都是安全性控制器，或者叫安全性控制系统，或者IEC规范曾经叫过安全系统（PES），安全型电子装置。

用在叫ESD的场合，就是ESD，用在叫F&GS 的场合，就是F&GS.而ＳＩＳ则是个完整的，系统的概念。从其命名首先就可以看出来，其是个完整的，更关注整体性的一个概念，一个系统。

整个安全性是建立在整个安全机制之上的，包括了安全性的控制器（如ESD，F&GS,BMS,,,）,安全型的仪表，安全型执行器，安全型的软件（功能块库，连锁规范），甚至“安全的通讯功能”（目前很少有此叫法）。

SIS的整体性概念还应包括贯穿整个安全控制系统 全生命周期的规范，如初期的设计，中期的施工，调试；末期的试运行，评估，验证。后续的维护。安全生命周期到限前的拆除。

总之，SIS 的概念很完整，很庞大。－－第一个晕的，总是设计院，然后设计院把业主忽悠晕。。。

然后很多做SIS，调ESD的人，搞了好几年，概念也是晕点。

为什么，这几年招标的时候，更多的提SIS的概念？从理论上说，只有ESD，“未必” 会是个完整的SIS控制系统。 ESD仅仅是 SIS中的一环，而且是在实体硬件中，是最重要的一环。所以，很多人认为，SIS就是ESD。。。 ESD就是SIS。

有了ESD，再有了很多周边的配套设备。就可以组成一个SIS控制系统。用户想要的是一个完整的安全性控制系统，所以这几年招投标规范书都叫 SIS了。老实说，确实换汤不换药，但是，至少说明了，我们的用户，在安全概念的整体性上有所进步，不管是被忽悠的进步了，还是自己提升进步了，总是进步了。类似的，（我曾亲口听某知名DCS的销售部副经理说，西门子DCS，pcs7就是S7-400 PLC，S7-400PLC 就是PCS7 DCS）很多东西并不是简单的等同！ ITCC。高速旋转设备的控制，如汽轮机组控制，空压机控制，高炉鼓风机控制。甚至涡轮发动机控制，燃气轮机控制是另外的概念。例如 Triconex的控制器，除了能做 ESD，F&GS 外，还能做 ITCC。做ESD，F&GS 等 SIS概念下的系统，是要认证的，是必须有TUV的SIL等级证书的。而做ITCC的，则不是必需要，TUV的认证。同一家的同一个东西，用在不同的场合，有不同的用途，所以有不同的叫法。同样的道理，你的银子极其的多，你可以用 Triconex的系统来做PLC，或者小DCS 来用。这时候，你还可以管 triconex 叫PLC，或DCS，，，都可以的。CCC是做 ITCC，不做ESD； 横河，Emerson的安全系统则基本上只做ESD，F&GS,不做ITCC。Triconex是即做ESD，又做ITCC。

SIS safety instrument system 安全仪表控制系统ESD Emergency shutdown 在石化一般叫ESD。在高压管线上叫HIPPS，在锅炉上叫FSSS，在汽机上叫ETS。

ESD 是SIS的一部分，算是比较重要的组成部分 SIS=ESD+ 中间连线+现场仪表或者执行机构。 ESD叫SIS是不太合理的叫法

现在很多项目要求SIS系统达到SIL3，光是ESD达到SIL3是不够，还需要现场的仪表达到该等级，并且构成的整个控制回路达到SIL3.

ESD 刚进入国内的时候应该是ICS做得好，后来是HONEYWELL，然后是康吉森代理的triconex，2000以后HIMA才进来。最近好像triconex和HIMA的 市场份额要多点吧。

另外ITCC是康吉森提出的叫法，由于跟IEC61508和11里面的内容有点冲突，据说现在设计院又开始改叫CCS了。参考电力系统ETS+DEH模式，我个人认为，压缩机控制还是控制和保护分开的好，采用 ESD+调速+防踹就练油厂的PCS（过程控制系统）情况来说，整个练油厂综合控制系统由DCS，ESD，CCS，MMS及CGTCS组成，DCS承担控制的核心。Esd（Emergency Shutdown Device）------紧急停车系统（包括SOE），独立于DCS系统，是SIS（SIS, safety instrumented system）:安全仪表系统主要组成在工艺发生危险状况时，对管线及设备紧急的关启，实现保护。在设计上从系统结构及通讯方式上与DCS不同，采用三选二（2-o-o-3 voting）Triconex系统及HART 通讯方式，与DCS进行以太网通讯。为保证全厂协调安全运行，ESD系统还需和CCS（压缩机控制系统），MMS（机器监视系统），CSTCS（燃气轮机控制系统），及MCC（电机控制中心）通讯，完成安全保护要求。

SIS是安全仪表系统，ESD属于SIS的一部分。SIS包括现场仪表、ESD系统、紧急开闭阀三部分，采用HART+4---20mA通讯连线，每个ESD回路均要做SIL评估。为实现SIL2 或SIL3 安全等极，采用两台电磁阀控制紧急开闭阀，三台差压变送器测量同一液位，采用雷达及超声各一台仪表测同一液位等方法。当然要做SIL计算验证，以确保系统达到要求。

仪表安全等级的定义和区别，SIL1 、SIL2 与SIL3有什么区别？

鉴于SIS涉及到人员、设备、环境的安全，因此各国均制定了相关的标准、规范，使得SIS的设计、制造、使用均有章可循。并有权威的认证机构对产品能达到的安全等级进行确认。这些标准、规范及认证机构主要有：

我国石化集团制定的行业标准SHB-Z06-1999《石油化工紧急停车及安全联锁系统设计导则》。

2006年、2007年等同采用IEC61508、IEC61511的中国国家标准GB/T20438、GB/T21109相继发布，中国的功能安全标准开始规范我国的功能安全工作。

国际电工委员会1997年制定的IEC 61508/61511标准，对用机电设备（继电器）、固态电子设备、可编程电子设备（PLC）构成的安全联锁系统的硬件、软件及应用作出了明确规定。

美国仪表学会制定的ISA-S84.01-1996《安全仪表系统在过程工业中的应用》。

美国化学工程学会制定的AICHE（ccps）-1993，《化学过程的安全自动化导则》。

英国健康与安全执行委员会制定的HSE PES-1987，《可编程电子系统在安全领域的应用》。

德国国家标准中有安全系统制造厂商标准-DIN V VDE 0801、过程操作用户标准-DIN V 19250和DIN V 19251、燃烧管理系统标准-DIN VDE 0116等。

德国技术监督协会（TÜV）是一个独立的、权威的认证机构，它按照德国国家标准（DIN），将ESD所达到的安全等级分为AK1～AK8，AK8安全级别最高。其中AK4、AK5、AK6为适用于石油和化学工业 取得TUV认证的SIS产品

不同的工业过程（如生产规模、原料和产品的种类、工艺和设备的复杂程度等）对安全的要求是不同的。上述的国际标准将其划分为若干安全完整性等级（SIL：Safety Integrity Level）。

安全完整性等级（SIL）是一种离散的等级，用来规定分配给E/E/PE安全相关系统安全功能的安全完整性要求。

安全完整性等级可分为4个等级，SIL4是安全完整性最高的等级（平均概率最高），SIL1是最低等级；安全完整性等级越高，应执行所要求的安全功能的概率也越高；根据安全相关系统使用方式，要求发生的频率可分为低要求操作模式（<=1次/年）和高要求或连续操作模式（>1次/年）。

根据GB/T 20438标准，在不同的操作模式下，安全完整性的目标失效概率和目标风险降低见下表1-1和1-2。

采用不同的操作模式结构有可能使用几个安全完整性等级较低的系统来满足一个较高安全完整性等级功能的需要（例如：使用一个SIL2和一个SIL1的系统共同来满足一个SIL3功能的需要）。 不同的工艺过程（生产规模、原料和产品的种类、工艺和设备的复杂程度等）对安全的要求是不同的。一个具体的工艺过程，是否需要配置SIS、配置何种等级的SIS，其前提应该是对此具体的工艺过程进行风险评估，要进行危险及可操作性分析（HAZOP），然后辨识出与此分析相应的安全仪表功能（SIF),（找到一个安全仪表连锁回路），再根据风险出现的频率和其产生的严重后果，找到一个与此SIF相应的SIL值，在确定了某个安全仪表功能的完整性等级（SIL）之后，再配置与之相适应的SIS。表1-3可以看出，若某工艺过程的所需SIF经评定后为SIL 2，则配置达到AK4的SIS即可，其响应失效率（PFD）为百分之一至千分之一之间。应该注意的是不同安全级别的SIS，只能确保响应失效率（PFD）在一定的范围内，安全级别越高的SIS，其PFD越小，即发生事故的可能性越小，但它不能改变事故造成的后果。因此，工艺过程安全完整性等级的评定是一项十分重要的工作。但目前我国尚无如何评定安全完整性等级的标准和规范。国际、国外标准中提供了某些评定方法。下面介绍的风险矩阵（RISK MATRIX）评估方法可供参考。

这种方法以工艺过程事故出现的频率（可能性）及其危害程度（严重性）为风险评估的指标，并对频率和危害程度人为量化为若干级，作出矩阵表（见表3）。以此确定工艺过程度安全完整性等级。

SIL等级是不能进行组态修改的，这个是根据计算得来的。系统的SIL等级是表明系统可应用于某一SIL等级场合，当然达到SIL3等级的系统也可用于SIL2的场合。而且根据IEC61508，SIS（安全仪表系统）不仅仅是要求控制系统具有SIL等级，而且要求现场的仪表阀门也具有SIL等级，不仅仅是构成一个控制回路的各个组成部件（监测仪表、控制系统、执行机构等）具有SIL等级，而是要去计算这整个控制回路的PFD，如果计算出的PFD在了SIL2的范围，那么这个控制回路就达到了SIL等级。一个控制回路要求为SIL2还是SIL3等级，是根据这个控制回路在整个生产装置中的重要性，对安全的影响等多方面分析而来。

只是在国内，这些都被各方面的人搞得简单化了，现场仪表和执行机构就用普通的不具有SIL等级的，只有控制系统才要求SIL等级，而且也不去计算到底需要某一SIL等级的就行，在石油化工上SIS都搞成了SIL3等级的了。