高完整性压力保护系统（HIPPS）

高完整性压力保护系统（HIPPS）

依据 Fisher《控制阀手册》第六版 第十二章

过程装置里超压是绕不开的风险。多数人第一反应是安全阀、泄压阀——压力顶到设定值就开，把介质往火炬或下游放掉。HIPPS 走的是另一条路：它不泄，而是把上游的源直接关掉。

  一  它在保护层里的位置

HIPPS 属于安全仪表系统（SIS）的一部分，目的是防止过压。和传统减压方案最大的不同，在于动作方式：传统泄放是开阀放压，HIPPS 是关闭源、捕获上游压力，在生产设施的高压侧与低压侧之间建立一道屏障。严密关闭意味着不会有下游泄漏，也消除了逸散性排放。所以它常被称作“最后一道防线”。

相比传统减压系统，这种方案更经济、也更环保。

——§12.10

  二  三个组成部分

和一般的安全仪表功能（SIF）一样，HIPPS 由传感器、逻辑解算器、终端元件三部分构成。区别在于它在每一环都用了冗余表决。

压力传感器：2oo3

上游侧设三个独立压力传感器，按三取二（2oo3）表决。三个里有两个测得压力超过规定值，逻辑解算器就动作。这种结构同时给了可用性和可靠性。

终端元件：1oo2

两个串联隔离阀，按二取一（1oo2）布置——任一阀关到位就能切断流路，以此提供冗余和更高的安全完整性。

——§12.11，图12.5（满足 SIL 3 的配置）

  三  控制系统：逻辑解算器

三部分里，真正“做决定”的是逻辑解算器，它就是 HIPPS 的控制系统。手册的定义很直接：它根据收集到的信息确定要采取的动作——从传感器读信号，执行预先编程的动作，再向终端元件输出，以此防止危险发生。

选用高度可靠的逻辑解算器，可以提供失气安全（failsafe）和容错运行。形态上它通常是一个控制器，可编程或非可编程都行，甚至可以是开关式的机械设备来让安全功能跳闸——关键不在用哪种硬件，而在够不够可靠。

放到 HIPPS 里，逻辑解算器一般采用双处理器配置并持续运行自诊断；一旦诊断到故障，可以选择直接关闭终端元件，或切换到冗余的逻辑解算器继续守着。判定 2oo3 成立后，它做两件事：关闭两个终端元件，并向控制室发报警。

——§12.2、§12.11

原理 · 为什么传感器用 2oo3、阀门用 1oo2 传感器多了一票冗余，是为了在测试或单台故障时不丢保护：把表决临时降成 1oo2 就能隔离一台去测，剩下两台照常守着。终端阀串联取 1oo2，则是因为关闭动作本身就是安全方向，多一道串联阀只会让“关得上”这件事更有把握。

  四  怎么把 SIL 维持住

SIL 不是装完就一劳永逸的。要在整个安全生命周期内保持目标 SIL，三类元件都得测。

传感器因为是 2oo3，可以隔离一台单独测、其余维持冗余，通常由互锁系统给逻辑解算器发信号完成。逻辑解算器靠双处理器和持续自诊断，发现故障就关阀或切到冗余通道。终端元件这一环占了 SIF 失效的约一半，必须定期做功能测试和证明试验。

麻烦在于完整的证明试验要停机才能做。部分行程动作测试（PST）就是为缓解这点：让阀走一段行程，在线查出阀杆卡涩、填料、执行机构气路这类隐患，从而延长证明试验间隔、提供预测性诊断。这件事可以交给数字式阀门控制器来做。

——§12.7、§12.12

  五  选型时记住一句话

HIPPS 的可靠性是“冗余 + 可测试”一起堆出来的，不是靠单台设备的高指标。传感器侧留出能边运行边测的余量，终端侧把关闭这一安全动作做冗余，再用 PST 把停机测试的代价压下来——这条思路比记住某个 SIL 数字更管用。