当前，面对严苛的性能要求，石油和天然气企业需要慎重选择安全仪表系统。
基于实际情况和财务原因，石油和天然气生产工厂中采用了多种需要连续运行的流程。因此，在主控制系统发生故障时，保证泵、压缩机、电机和仪表等关键设备仍能正常运行就显得至关重要。
在大部分生产运营中，基本过程控制系统(BPCS，即过去的分布式控制系统(DCS)，只不过再加上可编程自动化控制器(PAC))能够持续监视过程和控制参数，包括温度、流量、压力、重量和粘度等。BPCS会使过程变量保持在安全范围内，因此可以在某种程度上提供一些保护(例如，控制系统可以检测到流量或压力的变化并进行响应)。
然而，当BPCS失控或发生意外故障时，工艺生产可能会出现危险情况。这正是安全仪表系统(SIS)的用武之地。SIS的目标是在控制系统发生故障时仍能保持工厂安全。
这就是石油和天然气企业应当慎重选择安全系统的原因所在。在制定决策时，企业需要考虑各种风险因素，并对设计方案和软硬件问题进行评估。
了解风险
要选择最合适的技术，需要进行深入分析。正因为项目各不相同，我们才需要安全系统。分析过程包括一系列详细步骤，其中包括对应用进行安全审查、实施其它安全保护层以及进行系统性分析，还包括详细记录文档资料和执行各种规程。
这些步骤在各种法规、标准(例如IEC61511)、准则和建议采用的方案中都有提及。目的在于建立可审计的跟踪记录，确保不存在任何疏忽或遗漏。
风险评估可以将每种安全仪表功能所需的性能量化为四种可能的安全完整性级别(SIL)之一。SIL表示为将潜在事件后果限制在容许范围内所需的安全仪表性能或风险降低程度。例如，SIL1级别系统的要求时失效概率(PFD–危险失效)为0.1至0.01，而SIL4系统的PFD可达0.0001至0.00001。
石油和天然气企业要从十几家制造商和五种基本配置(1oo1D、1oo2、1oo2D、三重冗余和四重冗余)中选择合适的系统。在确定最适合应用的系统之前，应当考虑下文所述的几个重要问题。
选择设计方案
能够使客户在各系统间共享信息的安全系统设计方案有三种：接口式、混合式和集成式。由于应用的规模、风险级别、应用场所、员工的专业知识、支持水平和成本等因素，适合特定应用的最佳方案各不相同。
在接口式配置中，单独的BPCS和SIS系统可以通过硬接线信号、工业标准协议或者与控制系统相同的专用通路(通常使用某种形式的网关)来进行相互通信。出于某些方面的考虑，一些用户会倾向于将过程应用中的安全和标准控制功能分开。例如，如果使用的软硬件不同，潜在的某个问题就不容易对两个系统同时产生负面影响。而且，物理隔离可以避免因PAC或BPCS变更而导致相关的SIS发生变化或遭到破坏。
这种接口式方案的主要优点在于，用户可以为任意特定应用选择各种一流的独立系统。此类设计也存在不足。它需要承包商、集成商和最终用户掌握两种独立的系统(包括软件和硬件)，这通常会增加培训和备件成本。
常见方案(或称为混合式方案)是由一个供应商提供两种不同的系统，而这两种系统的设计比较相近(虽然无法互换)。这种方案的优点是，成本低于接口式系统，组件较为常见，而且易于在系统间进行通信。这种方案的不足之处在于更容易发生共因失效问题。此外，虽然编程环境可能相同，但实际的硬件模块通常不同，所以每个系统都需要有自己的一组备件。
第三种方案是集成安全方案，这种方案将两种功能都集成在同一控制平台中。集成安全系统的应用越来越普遍。这种系统的成本会高于通用控制系统，但是通常要远低于分离式系统。它的优点在于只需要掌握一套系统，所以会降低培训成本，而且编程简单、组件常见、易于集成。
目前，机器控制应用中越来越多地采用了集成安全系统。然而，要在过程安全领域中更广泛地应用这种系统，需要有更多可用的过程控制特定的硬件元件。
硬件考量因素
在为石油和天然气领域的安全系统选择硬件时，企业必须考虑到容错能力、系统规模和事件顺序等因素。
石油和天然气行业的大部分用户都指定选用SIL3等级的三重冗余系统。三重冗余系统可提供最高级别的容错能力，其中的三个并行系统在同一冗余设计中运行。这三个系统都会对输入信息进行处理，并通过表决来确定结果，这表示要获得三分之二的支持才能更改或者停止某过程。
冗余要求不仅仅涉及逻辑解算器，还包括构成SIS的各个元件，如输入设备(传感器、开关和仪表)及输出设备(泵、电机、阀门和其它执行器)。
在海上平台和卸油船等空间有限的应用中，安全系统的物理尺寸也非常关键。一般而言，系统的冗余度越高，需要占用的空间就越多。例如，大多数双重冗余系统需要配备完全相同的冗余机架，即使机架上只有一小部分模块也是如此。
三重冗余系统的尺寸并不完全相同。在某些配置中，系统的每个模块都留有一个空闲插槽，因此，用户可以在线快速更换有源模块，而不会影响过程。而其它系统则采用更为紧凑的布局，只留有一些更换系统I/O模块所需的空闲插槽。
当生产过程由于某些原因而停止时，您会希望了解引发停机的具体事件及其顺序。为提供此类数据，大多数系统都拥有某种形式的事件顺序(SOE)记录功能。
某些系统会以一毫秒的精度为I/O模块中发生的事件设置时间标签。而其它系统能够为主处理器中发生的事件设置时间标签，因此精度只能达到处理器的扫描周期。各企业需要检查硬件功能，确保扫描周期符合应用的速度要求。
重要的软件功能
就软件而言，必须要考虑编程语言、控制系统的连通性和编程难度、人机界面(HMI)以及第三方设备。
IEC61131-3标准定义了五种控制系统编程语言:梯形图逻辑、功能块、结构化文本、指令表和顺序功能图。不同的语言适合不同的任务。
当今的大部分系统都具有基于Windows的开发工作站并支持至少一种IEC61131-3编程语言。然而，这并不表示所有的系统都易于配置和编程，或者设计效率都处于同一水平。因此，试运行软件并执行基本的配置任务就非常重要。
此外，确定适用于控制系统、HMI和其它第三方设备的连接方案也非常重要。此时，需要考虑的问题包括:控制系统是否兼容以太网、串口、OPC或者Modbus网络连接?需要使用多少个连接?系统支持哪些连接?是否可以实现冗余通信?是否需要单独的网关?安全系统是否拥有可连接至控制系统的直接高速连接?
达到最佳平衡
合理设计并正确实施安全控制系统能够带来巨大的业务价值。但需牢记，安全系统千差万别，每个项目的绩效、风险和成本目标都各不相同。要在各种备选技术中做好平衡，就需要仔细考虑它们的特定功能、限制条件以及优势。
