SIS、ESD、联锁中的1oo2、2oo2、2oo3到底是什么意思？

深圳计为专注物位测量

深圳计为自动化技术有限公司官方账号

2502篇原创

仪表装得越多，安全等级越高吗？在联锁系统，这种简单想法容易误导很多人。

同样是两路测量，1oo2在典型架构下HFT为1，2oo2却是0；2oo3增加到三路后，关键不只是“多了一块仪表”，而是通过多数表决，让单路误报时装置继续运行，单路危险失效时保护仍能动作。

所以看1oo2、2oo2、2oo3，先看两个问题：需要几路信号达到条件，系统才动作；其中一路出故障以后，剩下的通道还能做什么。

把这两个问题弄清楚，三种表决方式的差别基本就明白了。

一

1oo2、2oo2、2oo3

1oo2、2oo2、2oo3都属于MooN表决逻辑。M示意多少路达到动作条件，而N表示一共有多少路参与表决。

因此：

1oo2：两路里面任意一路达到条件，联锁动作。

2oo2：两路全部达到条件，联锁动作。

2oo3：三路里面任意两路达到条件，联锁动作。

在高高压联锁中，可以把每一路达到高高压设定值理解成投出一张动作票，表决逻辑负责判断票数够不够。

三种结构的差别就是动作门槛不同。

二

1oo2的作用

1oo2相当于OR逻辑，两路中任意一路达到联锁条件，系统就执行动作。

两路压力变送器参与联锁时，只要其中一路达到高高压条件，联锁就会执行。

两路都正常，系统保持运行；其中任意一路达到高高压条件，系统立即形成联锁动作条件。

它的优势在于动作门槛低。

其中一路发生危险失效，另一条健康通道只要检测到实际超限，仍然可以独立触发联锁，因此典型1oo2架构的HFT为1。

它的另一面也很清楚：一条通道出现安全侧误报，同样已经满足“一票动作”的条件。

因此1oo2更适合这样理解，它把“危险来了要及时动作”放在更靠前的位置，同时接受较高的单通道误停车敏感度。

现场采用1oo2时，变送器漂移、导压系统异常、接线故障、I/O异常带来的误动作水平，需要一起考虑。

三

2oo2的作用

2oo2相当于AND逻辑，两路信号同时达到条件后，系统才执行联锁。

两路信号同时达到联锁条件以后，系统才执行动作。

一路高高、一路正常时，系统继续运行；只有两路都达到高高条件，联锁才成立。

这样做以后，单路误报对装置运行的影响会明显降低。

这个结构的动作门槛明显更高。

一条通道出现误报时，只有一票，系统继续运行，因此单通道误报对生产的影响较小。

代价也来自同一个“两票门槛”。

如果其中一路发生危险失效并长期保持正常输出，实际工艺已经超限时，另一条健康通道即使正确检测到危险，也只有一票，联锁无法形成完整的2oo2动作条件。

所以典型2oo2架构的HFT为0。

2oo2可以理解为，它用更高的动作门槛换取较好的运行稳定性，同时要求单通道本身具有更高的可靠性。

四

2oo3的作用

2oo3由三路信号参与表决，只要其中两路达到联锁条件，系统就执行动作。

它重要性就在这一票的余量。

正常工况下一路误报，另外两路正常，只有一票，系统继续运行。而过程进入危险状态时，即使一路发生危险失效，另外两条健康通道仍能形成两票，联锁继续具备动作能力。所以典型2oo3架构的HFT为1。

也正因为这样，2oo3同时解决了一块仪表乱报，装置还能继续运行；一块仪表失效，其余两块还能完成保护的两个常见问题。

这也是在重要联锁中常出现2oo3的原因。

五

三种结构区别

从这张表能看出一个很重要的规律：

1oo2和2oo2虽然都是两块仪表，保护特性却完全不同；2oo3的价值，则来自第三路带来的表决余量。

设备数量只是外观，动作门槛和故障后的系统状态才决定它的实际表现。

六

2oo3和SIL3有关系吗？

2oo3描述的是表决方式，SIL描述的是整条安全仪表功能达到的安全完整性水平。

两者属于不同层面。

一套安全功能应从现场变送器开始，经过逻辑控制，再到电磁阀、执行机构和切断阀，这决定整条链路都参与的安全性能。

SIL评价还要结合失效率、诊断能力、共因失效、测试周期、Proof Test覆盖率、维修时间等数据。

因此即使三台变送器采用2oo3，只说明输入侧使用了三取二表决；而整条SIF达到什么等级，还由完整验证结果来决定。

这也是现场易混淆的一点：“几取几”说明怎么投票，SIL说明整条保护链能达到什么水平。

七

三路信号怎么看？

2oo3能发挥作用，有一个前提：三路之间要有足够的独立性。

三台压力变送器如果共用一段容易堵塞的取压管，取压系统一旦出问题，三台仪表可能同时得到错误信号；三路如果共用同一个电源、公共接线点或公共模块，同样会削弱冗余效果。

所以现场看到三台仪表时，除了数设备，还要看：取压点是否独立、导压路径有没有公共段、供电和I/O怎样分配、接线有没有集中故障点。

三台仪表的价值来自三个相对独立的测量通道，而不是三个仪表外壳。

八

2oo3少一路的变化

2oo3正常状态下由三路参与表决，一路进入检修、故障或旁路后，系统已经进入降级运行状态。这时候，故障通道按什么状态处理，会直接改变剩余两路的动作关系。

故障通道固定为正常票，剩余两路都达到条件才能动作，表现接近2oo2。

故障通道固定为动作票，剩余两路中任意一路达到条件即可凑够两票，表现接近1oo2。

所以2oo3系统的维护管理里，旁路时间、故障票值、降级逻辑和恢复条件都要全部明确。

即便画面上还写着“2oo3”，并不说明当前保护特性仍然和三路全部健康时一样。

九

该怎么判断

选择表决方式时，可以直接看三件事。

危险状态出现后，对联锁动作能力要求

危险后果越严重，越需要系统在单通道失效后保留动作能力。

这类场景需更关注1oo2和2oo3提供的故障余量。

一次误停车会带来多大影响

连续装置、压缩机组、大型生产线对误停车通常比较敏感，一次无效动作会带来长时间恢复、物料损失以及重新开车负担。

这种场景会更加关注动作门槛和误停车水平。

一路故障以后，装置准备怎么运行

很多表决系统在三路全部健康时表现很好，差别往往出现在设备故障以后。

一路故障能维持多久、检修期间采用什么表决、旁路怎样管理，这些内容决定了设计状态能维持多久。

十

小结

1oo2、2oo2、2oo3看起来只是几个数字，背后的逻辑其实很清晰：

动作门槛越低，危险状态下越容易触发保护；动作门槛越高，单路误报对生产的影响越小；2oo3通过增加第三路，把两方面的需求放进同一个多数表决结构里。

所以现场看“几取几”，先看需要几票，再看坏一路以后剩下几票，还要再确认这几路信号是否足够独立。

这样去看，1oo2、2oo2、2oo3就是一套很直观的故障处理逻辑。

PROFILE

技术工程师

刘工

资深工程师，长期专注于液位测量设备的现场应用与技术改进，具备丰富的工程实践经验。曾多次参与石化、电力等行业项目，对雷达液位计、磁翻板液位计等仪表的选型、安装与故障分析有深入研究，尤其擅长解决密封、振动、温差等极端工况下的安装问题，帮助客户提升系统稳定性与测量可靠性。

1、SIS和DCS能不能共用一个变送器？需看看这5项

2、GDS报警信号到底应该进DCS还是SIS？

3、很多工程师都分不清：HAZOP、LOPA、SIL到底有什么区别？

封面丨小黄

文字丨刘工

图片丨阿刀

审核丨小田

免责声明：1、本公众号内容主要用于工业自动化与仪器仪表领域的技术交流与信息分享。部分内容来源于公开资料、行业交流或客户案例整理，如涉及版权问题，请相关权利人联系本公众号并提供有效证明，我们将尽快妥善处理。2、文中所涉及的技术观点、应用说明及案例分析仅供参考，不构成具体工程设计或选型依据。3、实际应用请结合现场工况，并以项目设计文件、相关标准及规范要求为准。4、未经授权，任何媒体、网站或个人转载、摘编本公众号内容，须注明来源，并自行承担由此产生的法律责任。