控制閥用于安全儀表系統(tǒng)的符合性評估和SIL認(rèn)證上課講義

1、控制閥用于安全儀表系統(tǒng)的符合性評估和 SIL 認(rèn)證文/ 李寶華引言安全是是永恒的主題， 安全 生產(chǎn)對于工業(yè)企業(yè)意義重大， 正 得到更多的重視?；诓煌夹g(shù) 的具有“安全保護(hù)”功能的系統(tǒng) 被廣泛應(yīng)用，安全設(shè)計理念也從 “故障安全”擴展到“功能安全” 針對特定的危險事件， 為達(dá)到或 保持手設(shè)備( Equipment Under Control, EUC )或工藝過程 (Process)的安全狀態(tài)，由電 氣、電子、可編程電子(E/E/PE) 安全相關(guān)系統(tǒng)(Safety-Related System, SRS)或由傳感器、邏 輯控制器、最終元件組成的安全 儀表系統(tǒng)( Safety Instrument

2、ed System, SIS )、 其它技術(shù)安全相關(guān)系統(tǒng)或外部 風(fēng)險降低設(shè)施實現(xiàn)的功能定義 為安全功能。功能安全作為整體 安全的一部分，是指安全功能的 安全性，即安全相關(guān)系統(tǒng)或安全 儀表系統(tǒng)以及其他保護(hù)層正確 行使安全功能、實現(xiàn)降低風(fēng)險的 能力。過程工業(yè)中的安全儀表系 統(tǒng) SIS (如緊急停車系統(tǒng) ESD、 安全聯(lián)鎖系統(tǒng) SIS、燃燒器管理 系統(tǒng) BMS、火災(zāi)或氣體安全系統(tǒng) FGS、高壓保護(hù)系統(tǒng) HIPPS，等 等)由傳感器、邏輯控制器、 最 終元件組成，用來行使一項或多 項安全儀表功能 SIF，對某個具 體的潛在危險事件采取對應(yīng)的 保護(hù)措施， 控制、預(yù)防、減輕危 險時間造成的影響。 SIS

3、是安全 相關(guān)系統(tǒng)在過程工業(yè)的分支， 而 不同于以過程控制為目標(biāo)的基 本過程控制系統(tǒng)( Basic Process Control System, BPCS)。SIS 和 BPCS典型應(yīng)用示 意圖參見圖 1，SIS 在安全保護(hù) 層的位置見圖 2。SIS 以整體安全生命周期 的架構(gòu)，規(guī)定了各階段的技術(shù)活 動和功能安全管理活動的內(nèi)容； 以安全完整性等級( SIL)為指 針，提出了基于可靠性分析、 確 定安全儀表功能的失效概率、 評 估執(zhí)行安全儀表功能的可靠程 度的標(biāo)準(zhǔn)。SIS 的應(yīng)用還形成了 安全儀表設(shè)備基于經(jīng)驗使用和 按照相關(guān)標(biāo)準(zhǔn)符合性評估及認(rèn) 證的準(zhǔn)入原則，以及系統(tǒng)硬件配 置和軟件組態(tài)規(guī)則、系統(tǒng)

4、集成和 調(diào)試、運行和維護(hù)、 功能安全評 估和驗證的工作流程。最終元件是 SIS 的重要組 成，包括控制閥、 電磁閥等執(zhí)行 元件以及用于處理來自邏輯控 制器最終指令的所有元件和連 接，執(zhí)行實現(xiàn)某種安全狀態(tài)所必 須的實際動作(也有與 BPCS混 合應(yīng)用的情況)，用于安全儀表 系統(tǒng)時，接受相關(guān)安全要求， 以 安全儀表系統(tǒng) 時，接受相關(guān) 安全要求，以 安全的方式進(jìn) 行設(shè)計、維護(hù)、檢驗、測試和操作的論證， 辨識 安全儀表功能和可靠性評估以 及適合性驗證，通過 SIL 認(rèn)證以 及保證在選用控制閥后不對系 統(tǒng)造成結(jié)構(gòu)約束。由于功能安全 是針對系統(tǒng)而言，獨立的儀表產(chǎn) 品/ 控制閥不存在單獨的功能安 全問題，對

5、單個產(chǎn)品的要求是在 可靠性基礎(chǔ)上的安全性 (安全功 能)，當(dāng)其成為 SIS 一個功能單 元后，必須是從整個系統(tǒng)的安全 性去考慮 SIS 的功能安全。相關(guān)標(biāo)準(zhǔn) 經(jīng)濟活動和工業(yè)發(fā)展推動著安全標(biāo)準(zhǔn)的制定，尤其是基礎(chǔ) 類安全標(biāo)準(zhǔn)。在控制系統(tǒng)安全標(biāo) 準(zhǔn)方面：基于產(chǎn)品安全的核心是 物理安全( Physical Safety ), 有 IEC61010 系列物理安全標(biāo)準(zhǔn) 測量和控制使用的電氣設(shè)備 的安全要求(GB/18272.18)， 與控制閥相關(guān)的是標(biāo)準(zhǔn)的第 205 部分執(zhí)行器；基于網(wǎng)絡(luò) 安全的核心是信息安全 (Security )，有 IEC62443 系列 信息安全標(biāo)準(zhǔn)工業(yè)過程測量和 控制安全 網(wǎng)絡(luò)和

6、系統(tǒng)安全；基 于安全相關(guān)系統(tǒng)的核心是功能 安全( Functional Safety )，有IEC61508 系列 功能 安 全標(biāo) 準(zhǔn) 電氣 / 電子 / 可編程電子安全 相關(guān)系統(tǒng)的功能安全 ；基于 安全相關(guān)系統(tǒng)的核心是功能安 全（ Functional Safety ），有 IEC61508 系列 功能 安 全標(biāo) 準(zhǔn) 電氣 / 電子 / 可編程電子安全 相關(guān)系統(tǒng)的功能安全 ；以上 這些都是綜合性基礎(chǔ)標(biāo)準(zhǔn)， 并引 出一系列分支標(biāo)準(zhǔn)。IEC/TC65 在 1998 年發(fā)布 IEC61508 電氣 / 電子/ 可編程 電子安全相關(guān)系統(tǒng)的功能安全 的第 1、3、4、5 部分， 2000 年 發(fā)布第

7、2、6、7 部分，等同采用 IEC61508 的中 國國 家 標(biāo)準(zhǔn) 為 GB/T20438-17-2006 。標(biāo)準(zhǔn)系 列的 1 至 4 是標(biāo)準(zhǔn)部分： 1、一 般要求； 2、電氣/ 電子/可編程 電子安全相關(guān)系統(tǒng)的要求； 3、 軟件要求； 4、定義和縮略語； 標(biāo)準(zhǔn)系列的 5至 7是信息解釋部 分；5、確定安全完整性等級的 方法示例； 6、 IEC60508-2 和 IEC60508-3應(yīng)用指南； 7、技術(shù) 和措施概述。此外， IEC/TC65 在 2005 年 發(fā) 布 IEC/TR61508-0-2005，等同采用 該標(biāo)準(zhǔn)的中國國家標(biāo)準(zhǔn)為 GB/Z29638-2013（指導(dǎo)性標(biāo)準(zhǔn)） 功能安全概念

8、及 GB/T20438 系列概況 ，回答了安全功能 是什么、安全功能和安全相關(guān)系 統(tǒng)、功能安全示例、 安全完整性 等 級 ， 以 及 GB/T20438 （IEC61508）標(biāo)準(zhǔn)說明，作為 GB/T20438（IEC61508）系列標(biāo) 準(zhǔn)的補充。IEC/TC65在 2010年 又發(fā)布了 IEC60508-1 7-2010 的第 2 版 ，但 現(xiàn)行 的國際 GB/T20438還沒有隨之修訂。IEC60508 是安全相關(guān)系統(tǒng) 功能安全的基礎(chǔ)標(biāo)準(zhǔn)， 基本涵蓋 各工業(yè)領(lǐng)域和各階段功能安全 相關(guān)活動，針對用于安全功能的 電氣/ 電子/ 可編程 電子 系統(tǒng) （E/E/PES），提出了安全生命周 期的通用評

9、價方法；從危險分析 和安全功能的詳細(xì)說明開始到 系統(tǒng)的停用和處理，描述了安全 相關(guān)系統(tǒng)的硬件和軟件的要求； 標(biāo)準(zhǔn)采用 4 個安全完整性等級 來衡量安全功能，采用基于危險 和風(fēng)險分析的方法確定安全完 整性要求和量化指標(biāo)， 提出了影 響安全完整性等級的兩個因素 以及安全故障的比例和目標(biāo)失 效量的測量。與 IEC61508 對應(yīng)的過程工 業(yè)領(lǐng)域分支標(biāo)準(zhǔn) IEC61511過 程工業(yè)領(lǐng)域安全儀表系統(tǒng)的功 能安全于 2003 年發(fā)布，等同 采用 IEC61511 的中國國家標(biāo)準(zhǔn) 為 GB/T21109.1 3-2007 。 IEC61511/GB/T21109 闡述了過 程工業(yè)安全儀表系統(tǒng)的應(yīng)用， 涉 及

10、從初始概念、 設(shè)計、 工程、安 裝、實現(xiàn)、運行和維護(hù)直到停用 的所有安全生命周期， 并給出應(yīng) 用指南和確定安全完整性等級 的指導(dǎo)原則。系列標(biāo)準(zhǔn)包含 3 個部分：1、框架、定義、系統(tǒng)、 硬件和軟件要求；2、 IEC61511/GB/T21109 的應(yīng)用指 南；3、確定要求的安全完整性 等級的指南。該標(biāo)準(zhǔn)主要適用于 安全儀表系統(tǒng)的設(shè)計者、 集成商 和用戶，但不適用于安全儀表的 制作商。針對石油化工行業(yè)的安全 儀表系統(tǒng)，現(xiàn)行的中國國家標(biāo)準(zhǔn) 還有 GB/T50770-2013石油化 工安全儀表系統(tǒng)設(shè)計規(guī)范 ， 實在 GB/T21109基礎(chǔ)上制定的， 引入了安全生命周期概念， 規(guī)范 的主要技術(shù)內(nèi)容包括總

11、則、 術(shù)語 和縮略語、 安全生命周期、 安全 完整性等級、設(shè)計基本原則、 測 量儀表、最終元件、邏輯控制器、 通信接口、人機接口、應(yīng)用軟件、 工程設(shè)計、組態(tài)、集成與測試、 驗收測試、操作維護(hù)、變更管理、 文檔管理等。安全完整性SIS 執(zhí)行安全功能時要正 確，系統(tǒng)的功能安全要可靠， 預(yù) 期達(dá)到的水平采用安全完整性 來表征。安全完整性（ Safety Integrity ）是一個相對專業(yè)的概念，針對的對象是“安全相 關(guān)系統(tǒng)或安全儀表系統(tǒng)” ，衡量 的是該系統(tǒng)在規(guī)定的條件下、 規(guī)定的時間內(nèi)，完成所要求的 安全功能的概率，對要求的功 能有明確的界定。安全完整性 不同于經(jīng)典的可靠性（可靠性 定義是“產(chǎn)品

12、在規(guī)定條件下和 規(guī)定時間內(nèi)，完成規(guī)定功能的 能力”），控制閥執(zhí)行任務(wù)失敗 是產(chǎn)品可靠性的問題，而風(fēng)險 事故是產(chǎn)品安全完整性的問題。見圖 4，安全完整性包括系 統(tǒng)安全完整性與隨機安全完整 性兩部分。系統(tǒng)安全完整性是 安全完整性里不可定量部分， 并且與系統(tǒng)故障導(dǎo)致的硬件、 軟件的危險失效有關(guān)。系統(tǒng)故 障通常由系統(tǒng)、子系統(tǒng)和設(shè)備 在安全功能的生命周期內(nèi)各種 人為錯誤導(dǎo)致（如規(guī)范、設(shè)計、 制造、安裝、操作、維護(hù)、修改 等錯誤）。系統(tǒng)安全完整性的隨 機危險失效部分，其中唯一可以 量化的部分就是硬件失效相關(guān) 的硬件安全完整性，硬件失效是 硬件部分有限的可靠性導(dǎo)致的。 硬件安全完整性定義為“在危險 失效模式

13、中與隨機硬件失效有 關(guān)的儀表安全功能的安全完整 性的一部分”，與整體危險失效 率、要求時操作失效的概率有關(guān)。 風(fēng)險和安全完整性的關(guān)系見圖 5。在 GB/T20438（ IEC61508） 中依據(jù)不同的操作模式（低要求 操作模式、高要求或連續(xù)操作模 式）將安全完整性等級 SIL 定義 為 SIL1 至 SIL4 四個等級，SIL4 等級最高 。 在 GB/T21109 （IEC61511）中保持了 SIL1 至 SIL4 的等級劃分，操作模式分 為要求操作模式和連續(xù)操作模式。但在過程工業(yè)一般應(yīng)用場合， SIL3 為最高級，當(dāng)過程危險和 風(fēng)險分析確認(rèn)需要 SIL3 以上時， 通常是采用其他技術(shù)的安

14、全相 關(guān)系統(tǒng)或外部風(fēng)險降低使得對 安全儀表功能的 SIL 要求降低 到 SIL3 或以下。 參見表 1 至表 4.要求操作模式是指在響應(yīng) 過程狀態(tài)或其他要求時執(zhí)行特 定的動作（如關(guān)閉 ESD切斷閥）， 特征是當(dāng)安全儀表功能出現(xiàn)危 險失效，并且“要求”出現(xiàn)時， 才會導(dǎo)致潛在危險發(fā)生。 典型的 要求操作模式如 ESD的應(yīng)用。連 續(xù)操作模式是指當(dāng)安全儀表功 能出現(xiàn)危險失效時， 潛在的危險 將會立即發(fā)生。除非存在其它防 止措施，連續(xù)模式涵蓋執(zhí)行連續(xù) 安全控制，以便保持功能安全的 安全儀表功能。符合性評估由執(zhí)行機構(gòu)和調(diào)節(jié)機構(gòu) （閥） 以及閥門定位器、電磁閥等附件 組成的控制閥組件作為最終元 件用于安全儀

15、表系統(tǒng)， 仍屬于單 獨儀表設(shè)備。嚴(yán)格說單個設(shè)備不 具備功能安全，不能用 SIL 去評 價，只能是用 SIL 表示單個設(shè)備 （控制閥）的安全完整性能力即 最大可聲明的 SIL 等級?？紤]控 制閥執(zhí)行某一特定安全功能的 能力，是指控制閥的 “要求時的 平均失效概率 PFDavg”或“完 成安全儀表功能時的危險失效 概率（次/ 每小時）”符合對應(yīng)的 SIL 值?？刂崎y具有越高等級的 SIL，僅表示該產(chǎn)品可用于更高 等級的安全儀表系統(tǒng)中， 有能力 承擔(dān)更高等級的風(fēng)險控制任務(wù)。 控制閥、閥門定位器、電磁閥應(yīng) 分別作符合性評估，例如僅有電 磁閥的符合性評估結(jié)論， 是難以 涵蓋控制閥的平均失效概率， 且 控

16、制閥的故障概率是較高的。對控制閥等儀表設(shè)備進(jìn)行 “符合性”評估，是按照 GB/T20438.2（IEC 61508-2）和 GB/T20438.3（IEC61508-3）標(biāo) 準(zhǔn)，確認(rèn)其是否滿足特定安全相 關(guān)應(yīng)用場合的安全要求。 評估隨 機失效即計算控制閥要求時的 危險失效概率（ PFD）或每小時 危險失效概率（ PFH）及安全失 效分?jǐn)?shù)（SFF），要求達(dá)到的安全 完整性等級（ SIL ）對應(yīng)的目標(biāo) 實銷量且滿足結(jié)構(gòu)約束的要求（SFF 的要求）。評估對應(yīng)的報 告是失效模式、影響和診斷分析 報告（ FMEDA）。 或者按照 GB/T21109.1（IEC61511-1）標(biāo) 準(zhǔn)“經(jīng)使用驗證的（ Pr

17、owen in Use）”來進(jìn)行選擇用于安全儀表 系統(tǒng)的控制閥等儀表設(shè)備以及 系統(tǒng)各組成的功能單元， 但必須 有充分的文檔數(shù)據(jù)和記錄； 或者 依據(jù) GB/T50770-2013 標(biāo)準(zhǔn)石 油化工安全儀表系統(tǒng)設(shè)計規(guī) 范 ，按照滿足安全完整性的 要求進(jìn)行控制閥的設(shè)置， 參考該 標(biāo)準(zhǔn)的條文說明“可采用計算低 要求操作模式的平均失效概率 的方法設(shè)計和驗證最終元件的 安全完整性等級，也可根據(jù)經(jīng)驗 使用原則，有實際證據(jù)證明這種 最終元件在以前的試驗中有足 夠的安全完整性，就可確定選用 該最終元件符合相應(yīng)的完全完 整性等級”。評估流程參見圖 6。不要孤立地理解 “ SIL 能力” 或者“IEC61508認(rèn)證”

18、，在實際 控制閥符合性評估和選型時， 要 關(guān)注產(chǎn)品安全手冊和認(rèn)證報告 中描述的使用條件規(guī)定或限值， 要確認(rèn)確定的產(chǎn)品可靠性、 硬件 故障裕度、診斷覆蓋率、 抵御環(huán) 境因素影響的能力、避免操作失 效導(dǎo)致系統(tǒng)失效的能力， 在全生 命周期不同階段采取的避免措 施；要了解研發(fā)過程的管理， 要 了解包括硬件配置、軟件組態(tài)、 接口、安裝測試、 故障響應(yīng)、平 均維修時間 MTTR等細(xì)節(jié)?？刂?閥又是可修的產(chǎn)品，要考慮其可 用性和維護(hù)性，考慮平均故障間 隔時間 MTBF。而“經(jīng)使用驗證 的”設(shè)備（控制閥） ，必須評估 表明有足夠低的危險失效率， 有 證據(jù)能證明適用于 SIS，在先前 的操作期間，滿足所有的設(shè)計

19、要 求沒有更改、至少有 10 個不同 的應(yīng)用實例、至少 1 萬小時的操 作運行經(jīng)歷并且至少 1 年的現(xiàn) 場服務(wù)期的條件，要有充分的文 檔化材料。對于屬于定制化產(chǎn)品 的控制閥，每一臺都有可能存在 依照用戶操作條件做細(xì)節(jié)修改 和部件變動及改換材料即設(shè)計 有改動，尤其是特殊工況控制閥 / 切斷閥，真正做到符合“經(jīng)使 用驗證”條件確實不易。SIL 認(rèn)證SIL 的評估貫穿于系統(tǒng)和 產(chǎn)品的全生命周期， SIL 也使安 全儀表系統(tǒng)的設(shè)計者、集成商、 用戶和制造商緊密聯(lián)系在一起。 控制閥安全完整性等級 SIL 認(rèn) 證的模式為型式試驗、安全功能 型式試驗和制造廠質(zhì)量體系評 定及認(rèn)證后監(jiān)督。 SIL 認(rèn)證不同 于

20、 CE 認(rèn)證，不僅僅是對已經(jīng)設(shè) 計制造出來的控制閥樣機進(jìn)行 測試，必須從著手設(shè)計研發(fā)就開 始考慮 SIL 認(rèn)證。此外，型式試 驗是個小樣本的問題，并非每一 臺控制閥都進(jìn)行項目繁多的試 驗，這就需要控制閥可靠性和可 用性評估來適應(yīng)，以及考慮控制 閥多組件組合帶來的問題?？刂崎y制造商首先要做到 產(chǎn)品硬件滿足 PFDavg條件，基 于 GB/T20438（ IEC61508）認(rèn)證 的 FMEDA失效模式、影響和診斷 分析，達(dá)到目標(biāo) SIL 的期望，對 安全儀表功能滿足安全失效分 數(shù)；在認(rèn)證工藝上，根據(jù)目標(biāo) SIL 和系統(tǒng)可容忍故障滿足軟 件的要求以及滿足設(shè)計工藝的 要求；還要準(zhǔn)備好給用戶的控制 閥安

21、全手冊。SIL1 可由公司內(nèi)獨立人員 執(zhí)行風(fēng)險評估， SIL2 可由公司 內(nèi)部獨立部門執(zhí)行風(fēng)險評估， SIL3 和SIL4 由外部獨立機構(gòu)執(zhí) 行風(fēng)險評估。通常是由第三方認(rèn) 證機構(gòu)對控制閥進(jìn)行 SIL 認(rèn)證， 如美國 exida 、德國 BGIA、德國 TV（TV SD/T南V德、 TV Rheinland/ 萊 恩 TV、 T V Nord/TV北德）、中國機械工業(yè) 儀器儀表綜合技術(shù)經(jīng)濟研究所 （ITEI ）功能安全技術(shù)研發(fā)中心 （FSchina）等。 SIL 認(rèn)證的主 要流程是：第一階段檢查、評估安全概 念，進(jìn)行概念評估， 出具概念評 估報告。主要任務(wù)是檢查并評審 控制閥需要規(guī)范和安全設(shè)計概

22、 念；檢查并評估在產(chǎn)品全生命周 期各階段尤其是研發(fā)過程 （質(zhì)量 管理）中的故障避免措施的計劃； 進(jìn)行 FMEDA失效模式、影響和診 斷分析，評估檢測和控制故障需 采取的措施，評價是否安全完整 性等級能達(dá)到預(yù)期目的； 對設(shè)計 和質(zhì)量管理的文檔進(jìn)行審核， 定 義需求的電氣安全、電磁兼容、 環(huán)境測試；制定主檢的項目計劃。第二階段做進(jìn)一步的功能、 安全和環(huán)境測試， 進(jìn)行主檢， 出 具測試報告；檢查控制閥的技術(shù) 要求-安全失效位置、壓力等級、 類型、扭矩/ 推力、材料、泄漏、 流體能力、流量特性、噪聲 / 震 動等，檢查 ESD控制閥及其 ESD 閥門定位器的部分行程測試 PST，測試所有的安全相關(guān)的功

23、 能，分析硬件軟件功能性的和最 壞情況；檢測和控制故障的驗證 （故障插入方法 / 虛警方法）， FMEDA失效模式、 影響和診斷分 析的驗證和執(zhí)行；軟件驗證測試 的評審（模塊、集成測試、系統(tǒng) 測試）；對研發(fā)過程中創(chuàng)建的產(chǎn) 品文檔評審（設(shè)計文檔和測試、 驗證、審核記錄）；安全相關(guān)的 可靠性數(shù)據(jù)的定義和計算； 電氣 安全、環(huán)境測試（包括 EMC）； 檢查提交的用戶文檔（安裝和操 作手冊、安全手冊）。第三階段進(jìn)入測試產(chǎn)品發(fā) 證流程?；跍y試報告， 頒發(fā)相 應(yīng)證書，證明該控制閥產(chǎn)品符合 應(yīng)用到某一 SIL 的安全相關(guān)系 統(tǒng) / 安全儀表系統(tǒng)。根據(jù) SIL 證 書或相關(guān)網(wǎng)站查驗，可供設(shè)計選 用和系統(tǒng)集成參考。結(jié)束語 對控制閥的安全功能必須 進(jìn)行符合性評估和 SIL 認(rèn)證，從 而 獲 得 “ 符 合 IEC61508 （GB/T20438）SILn 的安全相關(guān) 系統(tǒng) / 安全儀表系統(tǒng)應(yīng)用” 。控制 閥組件各部分如調(diào)節(jié)機構(gòu)和執(zhí) 行機構(gòu)、配置