安全仪表系统（Safety Instrumented System ，SIS）也称为安全连锁系统（Safety Interlocks）、紧急停车系统（Emergency Shutdown System，ESS）等，它是能实现一个或多个安全仪表功能的系统。它是由国际电工委员会（IEC）标准IEC 61508及IEC 61511定义的专门用于工业过程的安全控制系统，用于对设备可能出现的故障进行动作， 使生产装置按照规定的条件或者程序退出运行，从而使危险降低到最低程度，以保证人员、设备的安全或避免工厂周边环境的污染。
安全度等级是指在一定的时间和条件安全系统能成功执行其安全功能的概率，它是对风险降低能力和期望故障率的度量，是对系统可靠程度的一种衡量。国际电工委员会C61508将过程安全度等级定义为4级（SILl～SILJ4，其中SILJ4用于核工业）。SILl级：装置可能很少发生事故。如发生事对装置和产品有轻微的影响，不会立即造成环境污染和人员伤亡，经济损失不大。
SIL2级：装置可能偶尔发生事故。如发生事对装置和产品有较大的影响，并有可能造成环境污染和人员伤亡，经济损失较大。SIL3级：装置可能经常发生事故。如发生事故对装置和产品将造成严重的影响，并造成严重的环境污染和人员伤亡，经济损失严重。石油和化工生产装置的安全度等级一般都低于SIL3级，采用SIL2级安全仪表系统基本上都能满足多数生产装置的安全需求。在SIS联锁逻辑中，经常出现一取一、二取二、二取一、三取二等不同的配置方案。那么这些不同的配置方案有什么不同了？
在一般情况下，选择方案是根据SIL等级、工艺过程的特点、安全要求、可用性要求及合规性要求来确定的。常见的测量仪表几取几方案包括：一取一：只要输入信号满足触发条件，就会触发联锁。仪表有故障将可能触发联锁。二取二：两个输入信号同时满足触发条件才会触发联锁。只有一台仪表有故障不会触发联锁。因此二取二安全性相对低一些，可用性相对较高。
二取一：两个输入信号中任一个信号满足触发条件，就会触发联锁。只有一台仪表有故障时，另一台正常运行的仪表尚可继续执行安全仪表功能（表决结构有降级），所以一台仪表的故障不会引起联锁的拒动，但是一台仪表的故障可能引起联锁误动作。因此二取一安全性相对较高，可用性相对较低。三取二：三个输入信号中的任意两个满足触发条件，才会触发联锁。一台仪表的故障即不会引起联锁误动作，也不会引起联锁的拒动。只有一台仪表有故障时，另两台正常运行的仪表尚可继续执行安全仪表功能（表决结构有降级）。因此，三取二同时具有较高的安全性和可用性，兼顾了安全性和可用性。
除了以上常见的方案，还有一些特殊的方案，如：四取四、六取三等。四取四方案要求四个输入信号同时满足触发条件才会触发联锁。一台仪表故障、两台仪表同时故障、三台仪表同时故障，都不会引起联锁误动作。因此，四取四具有很高的可用性，安全性则很低。实际工程中通常不会采用这种方案。注1：仪表故障时，输出信号可能达到了联锁触发条件，也可能没有达到联锁触发条件，取决于故障类型以及仪表的组态设置等情况。注:2：上述“故障”的定义--由于某个内部状态，无能力按要求执行。[来源:GB/T21109.1-2022,3.2.19]。注3：对于一些智能型仪表具有故障自诊断功能，当自诊断发现特定的故障时，可以通过设定输出预定信号，可能会对上述联锁表决产生影响。检测到故障时的系统行为可参考值GB/T 20438.2-2017的7.4.8的要求。工艺过程的特点：不同的工艺过程具有不同的特点，例如复杂程度、风险等级等。选择方案应根据工艺过程的特点来确定，以确保系统的安全性。安全性：不同的工艺过程对安全性的要求不同，几取几方案应根据安全要求来确定。对于对安全性要求高的工艺过程，可能需要高安全性的配置方案。
可用性：选择方案的确定还需要考虑实际的可用性。如果具备了高安全性，但是可用性很差，也是不具备工程实际价值的。工程中应综合考虑安全性和可用性。合规性：比如安全仪表联锁回路的SIL等级、仪表可靠性能、硬件故障裕度HFT、系统能力SC等合规性要求，本文拓展知识摘录举例说明了硬件故障裕度HFT的要求，其他合规性要求见相关标准规范文件的要求。综上所述，SIS联锁逻辑几取几的配置方案是根据工艺过程的特点、安全性要求、可用性、合规性要求来确定的。选择合适的方案需要确保系统的安全性，同时一定程度的兼顾可用性。
