我们可能都遇到过类似的问题：设计低劣的报警系统导致操作人员丢失关键警报，或者对报警做出错误的响应，进而导致非预期关机、产品质量降低、设备损坏或者更严重的问题。操作人员越来越少，相应地每个操作人员的过程职责就越大（每个工作人员负责更多的回路），这进一步加剧了报警的问题。
　　然而，造成这种问题的罪魁祸首竟是现代控制系统中所采用的技术。在硬接线控制和报警的年代（对于某些人来说是“美好的过去时”），工程师必须对每一个连接到面板上的报警进行必要性评估，因为每一个报警都需要花费1000美元的成本，并占用面板上为数不多的空间。由于现代控制系统都预置了各种各用的报警条件，所以人们经常错误地认为报警是免费的。因此，判断报警必要性和减少报警数量就不那么重要了，甚至根本无需考虑。漏装报警会被责怪，所以很多人索性将系统提供的所有报警条件都激活。如下图1所示，这导致了控制室的超负荷报警、空报警、报警浪涌和错误优先级报警，所有这些都会降低操作人员的效率。

　　基本概念
　　优秀的报警系统允许操作人员能在理想工作点附近运行程序，并保证其安全运转。设计这种系统的第一步就是建立报警判据，并使用如下定义在报警说明文件中将其备案：

　　报警：是一种听觉的和/或视觉的方法，可以提醒操作人员设备故障、过程偏离、或者需要进行特定响应的异常状态。操作人员必须有足够的时间完成响应。而且，每个报警都应该具有预警作用、能够提供信息并作出指导，对于操作人员来说，每个报警都应该是有用并且有联系的。[参考ISA-18.2和EEMUA 191]。这意味着如果操作人员无需响应，那么就无需报警。
　　报警说明文件（Alarm philosophy document）：用来建立报警标准的文件，指导公司或者现场确定报警管理的各个方面，包括设计、操作和维护。它包含了定义/判据，用来确定哪些情况需要报警，还提供了优化报警的原则，例如如何进行报警的优先级排序、如何确定报警的设定点、如何将报警分类。只有具备了报警说明文件，才能够对报警进行优化。
　　“报警”这个词通常指候选报警（candidate alarms）和那些经过优化的报警。为了使讨论更加清晰，我们作如下的区分：
　　候选报警指报警系统中考虑或者包含的报警。它可以是已经存在的报警（棕色区域系统），或者可以是在绿色区域或棕色区域被提出的或潜在的报警。
　　本文所指的“报警”指经过优化的报警，即已经按照报警说明文件进行评估，发现满足必要判据的报警。

　　组建合理化团队
　　跨学科团队对每一个候选报警进行评价，判断其是否满足报警说明文件中规定的作为报警的判据www.cechina.cn，这一过程就被称为合理化。目标是使报警系统能够在正确的时间，以正确的优先级为操作人员提供正确的信息。
　　合理化是ISA-18.2中定义的报警管理生命周期中的一个阶段。它通常被称为备案和合理化（D&R），因为所有这些信息都应该在主报警数据库（master alarm database，）中合理备案。报警管理工具可以提供帮助，有效的工具可以极大地节省完成整个工作的时间，节省关键人员的资金和时间上的花费。
　　任务的第一步就是要组建合理化团队。这个团队应该具有3到4个核心成员加上一系列可以提供专家意见的兼职成员，以及一个可以起到督导作用的报警管理专家。如下所示就是一个简单的团队构成[参考ISA-18.2 TR2]。
　　全职成员：
　　·熟悉过程、经济和控制系统的专家或过程工程师；
　　·具有深厚过程和控制系统经验的操作人员；
　　·过程控制和仪表工程师；
　　·报警管理督导。
　　这些人中将会选出一个作为记录员。

　　兼职成员（按需选择）：
　　·安全/风险管理和环境工程师；
　　·维护/设备可靠性专家；
　　·仪表/分析仪专家；
　　·管理专家。
　　此团队将搜集文档，用于执行候选报警的评价，例如P&IDs、HAZOPs、SIL评估、操作程序和最为重要的报警说明文件。然后进行真正的优化过程，针对每一个候选报警系统地进行下面的步骤。

　　选择并且评价候选报警
　　候选报警可以一次选择一个进行评价，如果可以归为一类，也可以一次选择一组进行评价。选择次序应该按照逻辑顺序，通常依据过程中设备的排序来决定。这样可以确保预设计结果可以复用。
　　评价的第一步是确定候选报警是否满足报警说明文件中规定的基本判据，例如：
　　·它是否能够指示故障、偏离或者异常状态；
　　·它是否需要操作人员定时响应以避免特定后果发生；
　　·它是否独一无二，或者是否有其他报警能够指示同样的情况；
　　·它是否是异常状态的最佳指示？
　　按照操作人员响应：有效的操作人员响应，例如启动备用泵或者打开阀门，能够改变过程行为，毕竟简单地知晓报警发生或者将其记录下来远远不够。如果操作人员的响应无法定义CONTROL ENGINEERING China版权所有，那么候选报警条件就是无效的。
　　按照唯一性：如果多个候选报警条件要求同样的操作人员响应，那么这意味着存在冗余报警。判断罐体高液位和罐体超高液位是否有效的方法之一就是分析操作人员的不同响应。如果操作人员对高液位的响应（降低入口流量）与超高液位的响应（关闭入口流量）在种类和等级上有不同，那么这两种条件都是有效的。
　　没有通过判据评价的候选报警会标示启用或者从报警系统中移除。候选报警的移除并非必须，通过了判据评价的候选报警就要进入下一个环节，也就是优先级确定。

　　确定优先级
　　报警优先级可以帮助操作人员确定首先对哪个报警做出响应，因此，对于过程安全的有效控制，报警优先级是十分关键的。通常报警优先级按照紧迫程度分为3或4级，并冠以紧迫、高、中、低的标签，用来表示所需操作人员的响应。通过分析两个因素可以确定报警优先级：不做响应所产生后果的严重程度和紧迫程度。在报警说明文件中的报警优先级矩阵综合考虑了这两种因素。表1是一个简单的说明。在优化过程中，每一个候选报警都要使用报警说明文件中规定的矩阵评价其优先级。现代报警管理工具可以直截了当地完成这一过程。

　　开始之前，必须确定由于未对候选报警及其优先级进行完善管理而导致的直接后果。这里需要强调的是只需评价直接后果，而不是一系列故障所造成的后果。例如，安全报警的潜在后果可能是导致安全仪表系统失效，而不是直接引发危险事件。
　　如果不采取响应的后果无法确定，那么候选报警应该被移除。例如，如果一个高液位报警的唯一直接后果是触发超高液位报警，那么这个高液位报警就没有存在的必要了。
　　下一步就是估计紧迫程度，即操作人员所需响应时间。所需响应时间可以代表操作人员必须开始他或她的响应所需的时间，或者代表从报警产生到操作人员响应能够阻止后果发生的最后时刻的时间间隔。
　　如果时间过长或者过短，候选报警应该重新设计或者此条件应该在报警系统之外进行处理。
　　来源不同的矩阵是不一样的，表1解释了这个概念。中间交叉区域代表优先级，从最严重的后果到最轻微的后果都具有预估的紧迫程度。合理化小组根据此矩阵所提供的优先级顺序，可以选择接受或者拒绝。优先级和选择的基本原则在主报警数据库中备案。

　　确定设定点
　　设定点是一个数值或者一个逻辑状态，当达到此数值或者逻辑状态时，报警被激活并通知操作人员。从它激活到后果发生必须具备足够长的时间，以确保操作人员有足够的时间采取正确措施，以使流程产生正确的响应，包括合适的安全域量。设定点必须距离正常工作状态足够远，确保正常过程变化不会触发报警。
　　在棕色区域系统中，操作经验通常可以用来判断现有设定点是否能够提供足够的响应时间。如果是，那么现有设定点可以接受。如果经过判断发现现有设定点不可以接受，或者它是一个绿色区域系统，那么它必须通过过程动态评价以判断是否可以接受此设定点，与此相关的指导信息需要包含在报警说明文件中。设定点和选择设定点的基本原则都在主报警数据库中进行备案。
　　设计报警的常见错误就是仅仅按照工程经验进行设定点配置。一个例子就是将超高、高、低、超低设定点分别设置为90%、80%、20%和10%。如此配置的设定点并没有合理考虑操作人员响应所需时间、过程变化速率、产生后果的阈值或者过程死区。

　　其他备案信息
　　设计：除了优先级和设定点，合理化还包括其他的报警参数备案信息。仔细分析这些参数，就可以极大地提升报警系统的性能。例如，合理应用死区和报警延迟可以最小化报警抖动。报警抖动是一种空报警，合理应用死区和报警延迟还可以在安装和试运行阶段防止问题的发生。报警死区的作用可以减少特定异常情况对报警的触发次数，理想条件下，此次数应该仅仅为一次。直到报警状态被死区清除之后，报警才可以恢复到正常状态。
　　另一个例子是使用先进报警功能，例如报警抑制器，以确保报警是切实相关的。当基本报警条件满足但实际上不相关时，报警抑制技术能够阻止报警的触发。例如，报警会显示停机状态的泵出现过低压力，这种报警就会被抑制。其他抑制技术的例子包括报警浪涌抑制，即在计划外情况下的报警将会被抑制，还有基于状态的抑制技术，即根据工厂的运行状态对报警进行抑制。在某些基于状态的报警情况下www.cechina.cn，报警设定点需要根据不同的过程状态进行不同的设置。
　　操作人员响应：如表2所示，合理化也包括用于提升操作人员响应的备案信息，包括可能的报警触发条件、更改措施的程序（操作人员的响应）以及用于判断报警条件真实性（不是误报警）的确认程序。所有这些备案信息都应该提供给操作人员，以帮助其诊断报警，并作出响应。报警响应程序可以用于操作人员培训，也可以集成到HMI中，使操作人员可以在线使用这些信息。
　　管理实践：最终，合理化包括将具有类似特性和对培训、测试、备案、管理更改或者数据维护具有共性要求的报警进行分类。这使得经营和管理更加容易。对于那些需要特殊对待的报警还提供了额外的可视化提醒，例如环境影响，包括那些将降低风险作为保护分析一部分的情况，或者与美国职业安全与健康管理局规定的工艺安全管理（OSHA PSM）相关的问题。

　　报警合理化的好处
　　对于报警来说，并非越多越好。成功的报警合理化管理能够形成最优化的报警集合，它们是确保过程安全地工作于正常区间的必要条件。正确的合理化管理将会为企业带来如下好处：
　　·减少操作人员的报警负担；
　　·减少丢失关键报警的可能；
　　·减少空报警（例如报警抖动、瞬时报警或者过时报警）；
　　·减少冗余报警；
　　·确保报警优先级正确，响应合理；
　　·提升操作人员响应——更快、更稳定更有效；
　　·提升系统集成度——提升操作人员对于报警系统的信赖度；
　　·最优化安全保护层报警的风险降低；以及
　　·为后续过程优化打下坚实的基础。
　　有效的合理化不仅可以在正确的时间以正确的优先级通过正确的报警向操作人员传达正确的信息控制工程网版权所有，它还帮助企业符合工业标准，例如ISA-18.2，保险公司和管理机构未来很有可能将其认定为“优秀的工程实践”。

　　合理化案例
　　让我们通过一个简单的例子说明合理化过程是如何工作的。考虑一个完全包围在堤防结构中的具有溢出线的储罐。溢出线的尺寸可以应对流入储罐的最大流量，而且堤防结构可以安全地保证所有储罐内介质不外溢。自动触发可以在液位到达溢出线之前就切断储罐流入管道。此自动触发功能提供了足够的风险降低机制，无需使用额外的保护层。对于此案例的讨论与液位测量的数量和种类无关，但是，我们假定液位测量是精确可靠的。在控制系统设计过程中，提出了3个候选报警：

　　·低于自动触发点的高液位触发；
　　·自动触发点处的超高液位触发；
　　·在自动触发点和溢出极限之间的极高液位触发。
　　·让我们依次合理化这3个候选报警。
　　高液位：此候选报警既相关且唯一。操作人员必须在迫近触发点之前收到警示，而液位测量是唯一的也是最佳的测量检测方法。高液位报警管理失效的后果是液位会持续升高，直到自动触发点被激活。由于自动触发是用于安全切断储罐流入管线的，所以对于过程的唯一影响就是流入中断。查看优先级矩阵（表1），可以看到并没有安全或者环境影响。假定流入中断对经济上的影响是低（低于5万美元），并且操作人员有5分钟用于做出响应，所以此报警的优先级应该为低。典型的改正措施应该是减少储罐的流入流量、将流入管道切换至其他储罐和/或提高储罐的流出流量。

　　超高液位（触发点）：高液位报警的管理失误的直接结果就是自动触发点激活。它与高液位报警的后果没有任何不同，所以它不是唯一的。而且，操作人员根本来不及响应。因此，这两项报警判据它无法通过，此候选报警应该从报警系统中移除。
　　极高液位：极高液位的出现是高液位报警管理失误的结果，但并非直接结果，因为自动触发点的失效也会导致极高液位的出现。因此，你不能推论其具有同样的后果。事实上，它并不具有同样的后果，而且它要求不同的改正措施。此候选报警可以提示自动触发系统的失效，所以它明显是相关的。然而，它并非是检测是否失效的最佳方案。其他方法可能能够更加简便地提示这种失效，例如阀位开关、泵运转状态、流量测量。如果以上任何一种方法可用，那么此报警都可以被替代。但是为了便于讨论，我们假定这些方法都无法使用。所以管理此报警的失效后果就是液位会持续上升，直到储罐溢出到堤防保护区。在此查看优先级矩阵（表1），似乎也没有严重的安全影响，但是，环境上和经济上的影响是不可避免的，需要作出通知并更换产品。基于操作人员需要作出响应的紧急程度是迅速还是立即控制工程网版权所有，此报警的优先级应该为中或者高。此报警的改正措施应该与高液位报警和超高液位报警不同（它们明显无效或者已经失效），应该采取更有力的措施阻止流体流入储罐。
　　在假定检测触发失效的其他方法不可用的前提下，高液位和极高液位报警通过了合理化程序，并最终被报警系统采用。
　　在表2中列出了通过优化可以确定的通用报警性能问题。

(翻译：辛磊夫)