安全完整性等級雜談(一)

安全完整性等級㈣雜談（一）段慧文【摘要】介紹安全完整性等級的相關(guān)標(biāo)準(zhǔn)，重點(diǎn)在于舞臺機(jī)械控制系統(tǒng)安全相關(guān)的內(nèi)容，同時闡述了舞臺機(jī)械專業(yè)的國內(nèi)夕卜差距.【期刊名稱】《演藝科技》【年（卷），期】2018（000）007【總頁數(shù)】7頁（P36-42）【關(guān)鍵詞】安全完整性等級;舞臺機(jī)械;控制系統(tǒng);標(biāo)準(zhǔn);差距【作者】段慧文【作者單位】【正文語種】中文1概述1.1功能安全、安全完整性和安全相關(guān)系統(tǒng)電子/電氣/可編程（E/E/EP）電子器件、軟件系統(tǒng)在工業(yè)控制領(lǐng)域的大量使用，大大提升了自動化程度和生產(chǎn)效率。但由于各種原因（如：研發(fā)人員的知識結(jié)構(gòu)、開發(fā)制造中風(fēng)險管理意識的不足、自身安全性能存在缺陷產(chǎn)品的流入等），在相關(guān)行業(yè)的安全控制系統(tǒng)中，由可靠性造成的人身安全、財產(chǎn)損失和環(huán)境危害等問題經(jīng)常發(fā)生，給社會帶來了無法挽回的損失。世界各國在過程安全和工業(yè)裝備安全控制中，對廣泛涉及公眾及職業(yè)安全的產(chǎn)品安全性設(shè)計非常重視，并且將電子、電氣及可編程電子安全控制系統(tǒng)相關(guān)的技術(shù)，發(fā)展為一套成熟的安全設(shè)計技術(shù)，即功能安全技術(shù)。筆者對幾個與安全設(shè)計技術(shù)有關(guān)的名詞作簡單說明：（1） 功能安全功能安全是與電子單元控制EUC（ElectronicUnitControl）或與EUC控制系統(tǒng)有關(guān)的整體安全的組成部分,內(nèi)容包括管理和技術(shù)兩方面。在管理上和技術(shù)上保證E/E/PE安全系統(tǒng)、其他技術(shù)安全系統(tǒng)和外界風(fēng)險降低設(shè)施來執(zhí)行安全功能。無論零部件或者整個系統(tǒng)發(fā)生的失效，也不管是隨機(jī)失效、系統(tǒng)失效或者是共因失效（同一原因引起的不同故障失效），都不會導(dǎo)致安全系統(tǒng)故障，進(jìn)而不會對人員或者環(huán)境產(chǎn)生危害，那么該系統(tǒng)在功能上就是安全的。無論是在正常工作狀態(tài)或者是故障工作狀態(tài)，控制系統(tǒng)都必須保證其安全功能。歐美各國已經(jīng)頒布了涉及到各個領(lǐng)域的、成套的與功能安全相關(guān)的產(chǎn)品規(guī)范和設(shè)計標(biāo)準(zhǔn)，如：軌道信號控制（EN5012X）、核電控制（EN61513）、工業(yè)裝備及機(jī)器控制（EN62601,ENISO13849-1/2）、過程工業(yè)控制（EN61511）等；IEC61508系列標(biāo)準(zhǔn)已經(jīng)成為各個國家、行業(yè)廣泛認(rèn)可的基本功能安全標(biāo)準(zhǔn)；中國也逐漸形成了相應(yīng)的功能安全國家標(biāo)準(zhǔn)，行業(yè)和企業(yè)將逐步按照國家強(qiáng)制標(biāo)準(zhǔn)的要求去升級自身產(chǎn)品的安全性。（2） 安全完整性（safetyintegrity）安全完整性指在規(guī)定的條件下、規(guī)定的時間內(nèi)，安全相關(guān)系統(tǒng)成功實(shí)現(xiàn)所要求的安全功能的概率。安全相關(guān)系統(tǒng)的安全完整性等級越高，安全相關(guān)系統(tǒng)不能實(shí)現(xiàn)所要求的安全功能的概率就越低；安全完整性著重于安全相關(guān)系統(tǒng)執(zhí)行安全功能的可靠性。安全完整性包括系統(tǒng)安全完整性與隨機(jī)安全完整性。系統(tǒng)完整性是安全完整性里的不可定量部分，并且與系統(tǒng)故障導(dǎo)致的硬件、軟件的失效有關(guān)。系統(tǒng)故障通常由系統(tǒng)、子系統(tǒng)和設(shè)備在安全功能的生命周期內(nèi)各種人為錯誤導(dǎo)致，如規(guī)范錯誤、設(shè)計錯誤、制造錯誤、安裝錯誤、操作錯誤、維護(hù)錯誤、修改錯誤等。隨機(jī)安全完整性是安全完整性的隨機(jī)危險失效部分，包括硬件失效、軟件失效以及電氣干擾引起的失效。有些類型的失效，如隨機(jī)硬件失效，在失效模式中，可用失效率來量化；對安全防護(hù)系統(tǒng)，可用不能工作的概率來衡量；可以量化的部分均與硬件失效（硬件安全完整性）有關(guān)；而硬件失效是硬件可靠性不足導(dǎo)致的。系統(tǒng)安全完整性通過質(zhì)量管理和安全管理?xiàng)l件獲得。由于不可能通過定量的方法來評估系統(tǒng)安全完整性，功能安全標(biāo)準(zhǔn)中用安全完整性等級SIL對技術(shù)措施與管理?xiàng)l件進(jìn)行分級。（3）安全相關(guān)系統(tǒng)（safety-relatedsystem）該系統(tǒng)需能實(shí)現(xiàn)所要求的安全功能、以達(dá)到或保持電子控制單元EUC（ElectronicControlUnit）的安全狀態(tài)；系統(tǒng)自身、或與其他的技術(shù)安全相關(guān)系統(tǒng)、或外部風(fēng)險降低設(shè)施一起，能夠達(dá)到所要求的安全功能所需的安全完整性等級，即與外部風(fēng)險降低設(shè)施一道，能達(dá)到必要的風(fēng)險降低量，滿足所要求的允許風(fēng)險。安全相關(guān)系統(tǒng)一般分為安全控制系統(tǒng)和安全防護(hù)系統(tǒng)，且具有兩種操作模式（低要求操作模式、高要求或連續(xù)操作模式），可以是EUC控制系統(tǒng)的組成部分，也可用傳感器和/或執(zhí)行器與EUC接口，即通過分開的和獨(dú)立的附加系統(tǒng)實(shí)現(xiàn)EUC控制系統(tǒng)中的安全功能，達(dá)到要求的安全完整性等級。安全相關(guān)系統(tǒng)用于防止危險事件發(fā)生（即安全相關(guān)系統(tǒng)一旦執(zhí)行其安全功能，則沒有危險事件發(fā)生），或用來減輕危險事件的影響并降低風(fēng)險。1.2安全完整性等級SIL（SafetyIntegrityLevel）認(rèn)證所有電子/電氣/可編程（E/E/EP）設(shè)備，包括一些最精密的設(shè)備/系統(tǒng)都可能由各種原因產(chǎn)生故障。安全完整性等級SIL就是用來評定故障及其后果的方法，評估結(jié)果是根據(jù)故障概率得出的安全完整性等級。安全完整性指在規(guī)定條件下和規(guī)定時間內(nèi)，成功實(shí)現(xiàn)控制儀表設(shè)備所要求的安全功能的平均概率。安全完整性等級記為SIL,共分4個等級,SIL1至SIL4,SIL4為最高等級。對于一般工業(yè)的過程控制，常見的SIL等級是SIL2、SIL3，而針對核電、鐵路等特別關(guān)注安全的行業(yè)，則一般執(zhí)行最高安全等級SIL4。安全完整性等級SIL認(rèn)證是基于IEC61508、IEC61511、IEC61513、IEC13849-1等一系列功能安全標(biāo)準(zhǔn)，對產(chǎn)品的安全完整性等級SIL或者安全性能等級PL（PerformanceLevel）進(jìn)行評估、驗(yàn)證和確認(rèn)的第三方評價。SIL認(rèn)證主要涉及電氣/電子/可編程電子安全相關(guān)系統(tǒng)的功能安全性、安全設(shè)備開發(fā)流程的文檔管理（FSM）評估、硬件可靠性計算和評估、軟件評估、環(huán)境試驗(yàn)、EMC電磁兼容性測試等內(nèi)容。隨著評估系統(tǒng)的不斷完善，其應(yīng)用領(lǐng)域也逐漸擴(kuò)展到機(jī)械等多個行業(yè)。對安全完整性等級SIL的功能安全評估從兩個方面來進(jìn)行，即評估為確保滿足功能安全目的所必需的管理活動是否有效；評估安全儀表系統(tǒng)或安全儀表是否達(dá)到了要求的SIL等級。1.3安全完整性等級SIL認(rèn)證的主要標(biāo)準(zhǔn)1.3.1主要參考標(biāo)準(zhǔn)（1） IEC61508:電氣/電子/可編程電子安全相關(guān)系統(tǒng)的功能安全性IEC61508規(guī)定了常規(guī)系統(tǒng)運(yùn)行和故障預(yù)測能力兩方面的基本安全要求。這些要求涵蓋了一般安全管理系統(tǒng)、具體產(chǎn)品設(shè)計和符合安全要求的過程設(shè)計，其目標(biāo)是既避免系統(tǒng)性設(shè)計故障，又避免隨機(jī)性硬件失效。IEC61508標(biāo)準(zhǔn)的主要目標(biāo)為：對包括軟、硬件在內(nèi)的相關(guān)系統(tǒng)安全的所有元、器件，在生命周期范圍內(nèi)提供安全監(jiān)督的系統(tǒng)方法；提供確定相關(guān)系統(tǒng)安全功能要求的方法；建立基礎(chǔ)標(biāo)準(zhǔn)，使其可直接應(yīng)用于所有工業(yè)領(lǐng)域。IEC61508已經(jīng)被廣泛采用，德國的等效標(biāo)準(zhǔn)為DINEN61508。（2） IEC61511:工業(yè)領(lǐng)域儀表系統(tǒng)的功能安全要求IEC61511是工業(yè)領(lǐng)域儀表系統(tǒng)的功能安全的專門標(biāo)準(zhǔn)，它是國際電工委員會繼IEC61508功能安全標(biāo)準(zhǔn)之后推出的專業(yè)領(lǐng)域標(biāo)準(zhǔn)，IEC61511標(biāo)準(zhǔn)解決了儀表應(yīng)達(dá)到怎樣的安全完整性和性能水平的問題。IEC61511在國內(nèi)的等同標(biāo)準(zhǔn)為GB/T21109。（3） ISO13849.1:機(jī)械安全控制系統(tǒng)的安全第1部分：設(shè)計用一般原理ISO13849.1是機(jī)械功能安全領(lǐng)域的全新標(biāo)準(zhǔn)。在系統(tǒng)安全的確定性方面，增加了一些系統(tǒng)故障概率方面的評估參數(shù)，因此可以從零、部件到系統(tǒng)進(jìn)行全面的安全評估。如增加了系統(tǒng)安全等級PLr（PerformanceLevel，共分a、b、c、d和e五級）、系統(tǒng)平均無危險故障時間MTTFd（MainTimeTodangerousofFailure）、系統(tǒng)診斷檢測范圍DC（DiagnosticCoverage）、共因失效（同一因素引起的幾個機(jī)構(gòu)失效）預(yù)防CCF（CommonCauseFactor）等參數(shù)。如此，可使安全評估的方法更有效，提升越來越復(fù)雜的機(jī)械設(shè)備控制系統(tǒng)的安全等級，減少意外停機(jī)時間，保證連續(xù)生產(chǎn)安全，提升企業(yè)的效率和生產(chǎn)力。（4） IEC/EN62061:機(jī)械安全電氣、電子和可編程序電子控制系統(tǒng)的功能安全與ENISO13849.1一樣，IEC/EN62061也是針對電氣控制系統(tǒng)安全的標(biāo)準(zhǔn)，它們的主要區(qū)別是適用于不同的技術(shù)領(lǐng)域。IEC/EN62061僅限于在電氣系統(tǒng)領(lǐng)域，ENISO13849-1則適用于傳動、液壓、機(jī)械以及電氣系統(tǒng)。使用這兩個標(biāo)準(zhǔn)，可獲得同樣的安全性能與安全完整性等級。IEC/EN62061增加了新參數(shù)，如每小時失效概率PFH、系統(tǒng)平均無危險故障時間MTTF、系統(tǒng)診斷檢測范圍DC、安全失效系數(shù)SFF（SafeFailureFactor）等，使認(rèn)證的方法更直接。（5） IEC618005.2:可調(diào)速的電動設(shè)備標(biāo)準(zhǔn).第5.2部分：功能安全要求IEC618005.2規(guī)定了集成驅(qū)動器的安全功能，其內(nèi)容更具體細(xì)致、更有參考價值。如：①停車功能（Stop）：?安全斷開的力矩停車，即0類急停(STO-SafeTorqueOff);?安全停車1，即1類急停SS1(SafetyStop1);?安全停車2,即2類停車SS2(SafetyStop2);?安全操作停止(SafetyOperationHalt);?停車安全，即檢測制動器力矩，保證停車是安全的。②監(jiān)控功能(主要用于運(yùn)動控制)：?加速度安全監(jiān)控；?行程安全監(jiān)控；?運(yùn)動方向安全監(jiān)控；?速度安全監(jiān)控；?力矩和力的安全監(jiān)控；?位置安全監(jiān)控；?電動機(jī)溫度安全監(jiān)控。IEC618005.2還針對編碼器、解碼器、交流伺服驅(qū)動系統(tǒng)等提出了功能安全要求。IEC618005.2的等效國家標(biāo)準(zhǔn)為GB/T126685.2(對口的標(biāo)委會是全國電力電子學(xué)標(biāo)準(zhǔn)化技術(shù)委員會調(diào)速電氣傳動系統(tǒng)半導(dǎo)體電力變流器分技術(shù)委員會TC60/SC1)。應(yīng)該說，舞臺機(jī)械控制系統(tǒng)中SLI3許多有關(guān)運(yùn)動控制的要求，也來自(或參照)該標(biāo)準(zhǔn)。DIN56950演藝設(shè)備技術(shù)機(jī)械裝置安全要求和測試該標(biāo)準(zhǔn)適用于在集會場所、舞臺與制作場所內(nèi)的用于各種活動的機(jī)械設(shè)備(簡稱舞臺機(jī)械)。機(jī)械設(shè)備包括演藝設(shè)備行業(yè)演出設(shè)施中的所有技術(shù)裝置和操作設(shè)備，這些裝置用于提升、下降、懸吊和運(yùn)送景物；也用于載人；在這些景物靜止或運(yùn)動時，人可以在這些設(shè)備下站立或活動。DIN56950標(biāo)準(zhǔn)根據(jù)上述標(biāo)準(zhǔn)的主要內(nèi)容、風(fēng)險分析的方法，對設(shè)備進(jìn)行風(fēng)險分析并確定安全完整性等級（SIL）。標(biāo)準(zhǔn)附錄中還列舉了幾個舞臺機(jī)械風(fēng)險分析確定安全完整性等級（SIL）的實(shí)例。1.3.2安全完整性等級（SIL）的確定方法（1）根據(jù)標(biāo)準(zhǔn)ISO13849.1關(guān)于性能等級PL（PerformanceLevel）進(jìn)行風(fēng)險分析，如圖1。圖中：1：評估安全功能對風(fēng)險降低作用的起始點(diǎn)；L：對風(fēng)險降低作用??；H:對風(fēng)險降低作用大；PL：要求的性能水平，分為a、b、c、d和e五級。風(fēng)險參數(shù)：S:受傷的嚴(yán)重性；S1:輕微；S:嚴(yán)重；F：危險的頻率和/或暴露時間；F1:很少到不經(jīng)常，和/或暴露時間短；F2:經(jīng)常到持續(xù)性，和/或暴露時間長；P:避免危險或限制危害程度的可能性；P1：在特定條件下可能；P2:幾乎不可能。標(biāo)準(zhǔn)ISO13849.1給出了PFHd、PL和SIL的對應(yīng)關(guān)系，見表1。表1PFHd、PL和SIL的對應(yīng)關(guān)系？圖1對性能等級PL進(jìn)行風(fēng)險分析其中，PFHd:小時失效危險概率（ProbabilityofFailureperhour）。由表1可知，按標(biāo)準(zhǔn)ISO13849.1進(jìn)行的評估，性能等級PLe相當(dāng)于SIL3。（2）DINEN61508.4風(fēng)險分析中各參數(shù)與SIL等級的關(guān)系。將選擇的不同參數(shù)輸入到下面的風(fēng)險圖中，得到不同的輸出，可得到DINEN61508.4（VDE0803.4）中定義的一個安全完整性等級。由于該風(fēng)險分析輸入的參數(shù)多而全，有一定的代表性，故舞臺機(jī)械行業(yè)的風(fēng)險評估多按DINEN61508.4提供的方法進(jìn)行。評估方法見表2。表2基于C、F、P、X和W的評估法？表中：后果風(fēng)險參數(shù)（C）CA:輕微受傷；CB:一個或更多人員嚴(yán)重永久傷殘；一個人員死亡；CC:幾個人員死亡；CD:很多人員死亡。頻率與暴露時間風(fēng)險參數(shù)（F）:考慮危險區(qū)域的頻率和持續(xù)時間FA:在危險區(qū)域，從很少到經(jīng)常發(fā)生；FB:在危險區(qū)域，從頻繁到持續(xù)發(fā)生；避免危險可能性的參數(shù)（P）:考慮避免危險事件的可能性PA:某些條件下可能；PB:幾乎不可能。意外事件風(fēng)險概率的參數(shù)（W）:W因素的目的是在不考慮任何相關(guān)安全系統(tǒng)（E/E/EP），但考慮其他風(fēng)險降低的措施下，估計意外事件發(fā)生的頻率W1:意外事件來臨的可能性非常小，只有很少意外事件有可能發(fā)生；W2:意外事件來臨的可能性小，少量意外事件有可能發(fā)生；W3:意外事件來臨的可能性相對較大，可能經(jīng)常發(fā)生意外事件。-----表示無安全要求；a表示無特殊安全要求；b表示單一的E/E/PE安全系統(tǒng)還不夠。（3）IEC61508-17.6中SIL和PFD、PFH對應(yīng)關(guān)系IEC61508-1規(guī)定了目標(biāo)失效量。在確定安全完整性時，應(yīng)包括導(dǎo)致非安全狀態(tài)的所有失效因素（硬件隨機(jī)失效和系統(tǒng)失效）。安全相關(guān)系統(tǒng)使用方式，按要求產(chǎn)生的頻率可分為：低要求模式（以功能平均失效率PFD衡量）和高要求或連續(xù)模式（以每小時危險失效率PFH衡量）。低要求模式和高要求模式SIL的目標(biāo)失效量是不同的，見表3。表3不同操作模式下SIL和PFD、PFH的對應(yīng)關(guān)系高要求或連續(xù)操作模式（按每小時危險失效率PFH）SIL110-2<PFD<10-110-6vPFH<10-5SIL210-3<PFD<10-210-7<PFH<10-6SIL310-4<PFD<10-310-8<PFH<10-7SIL410-5<PFD<10-410-9<PFH<10-8SIL低要求操作模式（實(shí)現(xiàn)設(shè)計要求功能平均失效率PFD）表中，PFD:實(shí)現(xiàn)設(shè)計要求功能平均失效率；PFH:每小時危險失效率。應(yīng)當(dāng)著重說明的是，與可靠性的要求相比，安全完整性所涵蓋的因素更加全面，因此，用于安全領(lǐng)域也更加可靠。系統(tǒng)安全完整性等級是一種離散的等級（四種可能等級之一），這是因?yàn)橄到y(tǒng)的安全完整性通常是無法量化的（而可靠性所衡量的平均故障間隔時間、可靠度等，則可以通過概率統(tǒng)計等數(shù)學(xué)方法給出量化值），所以，系統(tǒng)安全完整性一般與硬件的安全完整性分開來考慮。2DIN56950附錄D中列出的實(shí)例為了詳細(xì)了解舞臺機(jī)械設(shè)備安全完整性等級SIL確定的思路與步驟，現(xiàn)將標(biāo)準(zhǔn)中的風(fēng)險評估實(shí)例刊錄于后，以便于理解。例子顯示了按照DINENISO13849-1和DINEN61508（VDE0803）的風(fēng)險評估方法評估帶安全功能設(shè)備的相關(guān)風(fēng)險并確定其安全完整性等級。2.1低速、單卷揚(yáng)機(jī)吊物（1）設(shè)備配置及要求如下：使用未調(diào)速的三相異步電機(jī)，雙制動，以0.15m/s的速度升降載荷，如圖2:圖2三相異步電機(jī)（2） 要求：在電氣系統(tǒng)中發(fā)生故障時不應(yīng)導(dǎo)致危險狀況。（3） 風(fēng)險評估需要避免的意外事件是由于電動機(jī)的供電中有一個相位斷電導(dǎo)致載荷跌落（電機(jī)無法驅(qū)動載荷）。控制系統(tǒng)應(yīng)能夠確定相位斷電的情況并安全地啟動制動器。后果（C或S）：意外事件在舞臺面上發(fā)生，當(dāng)發(fā)生故障時，可能造成一個或多個人員的嚴(yán)重傷害，或甚至有可能造成人員死亡，這樣的話該后果風(fēng)險參數(shù)為：按DINEN61508-5（VDE0803-5）為C2，按DINENISO13849-1為S2。危險的頻率以及在危險區(qū)域中的暴露時間（F）:在舞臺上，人員經(jīng)常暴露在危險區(qū)域中，因此風(fēng)險參數(shù)為：按DINEN61508-5（VDE0803-5）為F2,按DINENISO13849-1為F2。避免危險事件的可能性（P）:危險事件可以通過啟用緊急停車來避免。由于速度較低，可以估計可能性：按DINEN61508-5（VDE0803-5）為P1，按DINENISO13849-1為P1。意外事件的概率（W）：由于對這個參數(shù)沒有可靠的經(jīng)驗(yàn)，只能估計參數(shù)W3。按DINEN61508-5（VDE0803-5）為W3,而DINENISO13849-1沒有對應(yīng)的等級。在參數(shù)C2，F(xiàn)2，P1和W3的基礎(chǔ)上，根據(jù)DINEN61508-5（VDE0803-5）中的風(fēng)險圖顯示的安全功能應(yīng)選擇SIL2。在參數(shù)S2，F(xiàn)2和P1，根據(jù)DINENISO13849-1對于安全功能要求的性能等級應(yīng)為“PLd”，相當(dāng)于SIL2。2.2高速、多卷揚(yáng)機(jī)同步吊物（1） 設(shè)備配置及要求一組卷揚(yáng)機(jī)懸吊一個景物，以1.2m/s的速度在演員上空進(jìn)行自動同步運(yùn)行，當(dāng)設(shè)備運(yùn)動超過同步公差時，使用計算機(jī)控制來提供保護(hù)，見圖3。（2） 要求：計算機(jī)控制系統(tǒng)用于完成安全功能，即在卷揚(yáng)機(jī)的同步分組運(yùn)行中，全行程監(jiān)控是否符合同步公差的要求。一旦達(dá)到了規(guī)定的同步公差值，吊機(jī)組應(yīng)停止移動，并且應(yīng)該清晰顯示是哪個吊機(jī)超出了公差。（3） 風(fēng)險評估：按DINEN61508.4風(fēng)險分析中各參數(shù)與SIL等級進(jìn)行評估。在這種情況下需要避免的意外事件是：運(yùn)載同一載荷（比如布景，桁架梁等）吊機(jī)的運(yùn)行超出同步誤差，結(jié)果是造成載荷的損壞和墜落。后果（C）:該意外事件會在舞臺面上發(fā)生，當(dāng)發(fā)生故障時，可能造成一個或多個人員的嚴(yán)重傷害或死亡，這樣，該后果風(fēng)險參數(shù)為：CB。危險的頻率以及在危險區(qū)域暴露的時間（F）:在舞臺上，人員經(jīng)常處于危險區(qū)域中，因此風(fēng)險參數(shù)為：FB。避免危險事件的可能性（P）:由于很高的速度，幾乎不可能避免危險事件，因此該風(fēng)險參數(shù)為：PB。意外事件的概率（W）：由于對這個參數(shù)沒有可靠的經(jīng)驗(yàn)，參數(shù)W只能估計為：W3。在參數(shù)CB、FB、PB、W3的基礎(chǔ)上，選擇結(jié)果為：SIL3。圖3卷揚(yáng)機(jī)懸吊景物的場景3舞臺機(jī)械（含控制）系統(tǒng)具有那些基本條件才能達(dá)到SIL3這方面并無具體資料參考，只能從上述標(biāo)準(zhǔn)的字里行間，以及歐洲著名劇場建設(shè)咨