功能安全与安全完整性等级综述
安全仪表系统安全完整性等级的评估技术
安全仪表系统安全完整性等级的评估技术李玉明姜巍巍李荣强庄腾宇中国石油化工股份有限公司青岛安全工程研究院青岛市【摘要】介绍了安全仪表系统在现代过程工业中的作用和地位以及功能安全的特点和标准体系重点阐述了安全完整性等级的划分和评估过程以及等级的确定和计算方法为安全仪表系统等级评估提供依据。
【关键词】安全仪表系统功能安全安全完整性等级独立保护层前言安全仪表系统也称为安全联锁系统、紧急停车系统、安全相关系统、安全停车系统等由国际电工委员会标准及 定义的专门用于安全的控制系统 。
】是用于对设备可能出现的故障进行保护动作的控制系统它必须能够迅速、正确的对故障做出响应最终能够完全避免事故的发生或者至少能减少事故给设备、环境和人员造成的危害。
随着经济的飞速发展石化装置越来越大型化工艺过程越来越复杂对环境保护和人身安全的要求也越来越高等原因安全性变的尤为重要。
因此为了防止事故的发生减少由此带来的损失保证企业的安全稳定运转一套能够检测装置的异常并对可能发生的潜在危害作出相应动作的系统是必不可少的。
安全仪表系统正是基于该目的被提出来的。
年发生的印度博帕尔农药厂毒气泄漏事件年前苏联切尔诺贝利核电站泄漏事件年北海阿尔法油田爆炸事件发生的吉化双苯厂爆炸事件等等至今还让人们心有余悸。
以上重大事故的发生都与安全仪表系统在危险工况下未能发挥作用有直接或间接的关系。
因此如何确保安全仪表系统能够正确行使其功能安全保障石化装置长周期牧稿日期作者简介李玉明高级工程师功能安全工程师叫 年毕业于南京化工学院自动化专业从事功能安全评估方面的工作。
安全稳定运行已经成为目前迫切需要解决的问题。
的作用及在保护层中的位置安全仪表系统是用仪表实现安全功能的系统包括传感器、逻辑控制器和最终执行元件及相应软件等川。
图 所示为典型系统的构成。
图典型的构成传感器检测过程中的异常并将之送到逻辑运算器吲逻辑运算器按照设定的逻辑产生控制信号最终执行元件得到从逻辑运算器来的控制信号并产生相应的动作从而达到消除过程隐患的目的。
PESSRAE简介
一、功能安全与安全功能A:安全措施依赖被动系统~如电机的温升问题：对导电部分采用耐高温材料、提高材料的绝缘等级、电机加风扇等B:通过主动系统达到安全~如通过热敏电阻测温度，过热断开接触器二、标准体系IEC 61508:2000(功能安全标准)（已转化为GB/T 20438:2006）—》IEC62061（机械相关）—》》ISO22201-2009(电梯相关~PESSRAL) & ISO22201-2:2011(自动扶梯及自动人行道相~PESSARE) & ISO22201-3:2011（生命周期相关）。
三、几个定义PESSARE—自动扶梯/自动人行道安全相关应用中的可编程电子系统，自动扶梯新标准GB16899:2011已加入了功能安全内容，参考于GB/T 20438-2006 (电气/电子/可编程电子安全相关系统的功能安全)。
（超速与防逆转的保护、梯级缺损检测、扶手带失速等）PESSRAL—电梯安全相关应用中的可编程电子系统，标准及检规尚未增加功能安全内容。
（如超速保护、减行程减速监控、防止轿厢意外移动等）✓安全完整性等级Safety Integrity Level （SIL）规定了分配到可编程电子安全相关系统中的安全功能的安全完整性要求，最高安全完整性等级为4，最低为1。
—SIL表明了各种因素导致故障（包括随机硬件故障和系统性故障）的故障率，这些故障将导致不安全状态的出现，例如硬件故障，软件故障，电干扰所致故障—SIL并非是系统、子系统、要素或元件的特性。
SIL（N=1，2，3，4）的正确理解是系统支持安全功能的潜在能力具有达到N的安全完整性水平。
✓电梯规范中的安全完整性等级它是各种因素导致电梯故障率（包括随机硬件故障和系统性故障）的可能性，这些故障将导致不安全状态的出现，例如硬件故障，软件故障，电干扰所致故障等。
安全完整性等级是电梯安全保护系统（使用PES）的核心指标。
GB16899-2011中，规定最高安全完整性等级为SIL2EN81-1：1998-A1中，规定最高安全完整性等级为SIL3四、检验相关（现阶段是自动扶梯）✓GB16899-2011 35页，表6✓GB16899-2011 5.12.1.2.6（PESSARE）✓电气安全装置的类型（在安全开关（即原安全触点）、安全电路基础上增加P ESSARE）✓检规1.1制造资料，可编程电子安全相关系统的型式试验合格证✓故障锁定相关项目。
安全仪表系统的应用问题及解决方案
安全仪表系统的应用问题及解决方案摘要：系统地介绍了安全仪表系统、安全仪表功能、安全完整性等级的基本概念，以及安全仪表系统在实际应用中的一些具体方法，指出了国内在安全仪表系统应用方面存在的问题及解决方案。
对分析判断和解决工业装置的生产，设计的安全仪表系统难题具有指导意义。
关键词：安全仪表系统安全仪表功能安全完整性等级安全仪表系统（Safety Instrumented System，SIS）是石油化工装置中独立于基本过程控制学院（Basic Process Control System，BPCS）的安全保护系统，对石油化工装置的安全保护起着十分重要的作用。
目前我国在安全仪表的设计和采用中基本上是根据以往的经验，在认为较危险的关键部位设安全仪表系统或紧急停车系统，基本上没有对联锁回路进行安全分析及评价，采用仪表系统后也基本上没有对整个安全仪表系统进行验证。
由于 SIS 回路组件配置是否满足要求不能明确界定，因此会出现 SIS 系统设计不足或是过度设计的不合理情况，从而造成系统设置存在安全风险或投资的浪费。
即使一些大型国有化企业的使用和管理也没有达到标准化，设计单位关于安全仪表系统的设计也存在一些问题。
本文归纳总结了安全仪表系统在工程上应用遇到的问题及解决办法，希望能为安全仪表系统在工程上应用提供一些有益帮助。
1 安全仪表功能的介绍1. 1 安全仪表功能的概念安全仪表功能（Safety Instrumented Functions，SIF）是为了防止、减少危险事件发生或保持过程安全状态，用测量仪表、逻辑控制器、最终元件及相关软件等实现的安全保护功能或安全控制功能。
安全仪表系统是实现一个或多个安全仪表功能的仪表系统。
SIF 功能是众多风险降低手段之一，是通过仪表设施来实现的一种安全保护功能。
既然是一种安全保护功能，则应保证当需要这种安全功能时，必须有足够的可靠性能保证这种功能能够启动。
衡量这种“可靠性”则用安全完整性等级（Safety Integrity Level，SIL）来表示。
安全完整性等级认证
SIL（Safety Integrity Level）-安全完整性等级。
SIL认证就是基于IEC 61508, IEC 61511, IEC 61513, IEC 13849-1, IEC 62061, IEC 61800-5-2等标准，对安全设备的安全完整性等级(SIL)或者性能等级(PL)进行评估和确认的一种第三方评估、验证和认证。
功能安全认证主要涉及针对安全设备开发流程的文档管理(FSM)评估，硬件可靠性计算和评估、软件评估、环境试验、EMC电磁兼容性测试等内容。
欧洲电工标准化（CENELEC的缩写）委员会，欧洲三大标准化组织之一。
CENELEC 负责电子工程领域的欧洲标准化。
CENELEC连同电信标准化（ETSI）和CEN（所有其他技术领域的标准化）形成了欧洲标准化体系。
SIL认证一共分为4个等级，SIL1、SIL2、SIL3、SIL4，包括对产品和对系统两个层次。
其中，以SIL4的要求最高。
2主要标准IEC 61508:电气/电子/可编程电子安全相关系统的功能安全性IEC61508标准规定了常规系统运行和故障预测能力两方面的基本安全要求。
这些要求涵盖了一般安全管理系统、具体产品设计和符合安全要求的过程设计，其目标是既避免系统性设计故障，又避免随机性硬件失效。
IEC61508标准的主要目标为：· 对所有的包括软、硬件在内的安全相关系统的元器件，在生命周期范围提供安全监督的系统方法;· 提供确定安全相关系统安全功能要求的方法;· 建立基础标准，使其可直接应用于所有工业领域。
同时，亦可指导其他领域的标准，使这些标准的起草具有一致性(如基本概念、技术术语、对规定安全功能的要求等);· 鼓励运营商和维护部门使用以计算机为基础的技术;· 建立概念统一、协调一致的标准架构和体系。
IEC61511:过程工业领域安全仪表系统的功能安全要求IEC61511是专门针对流程工业领域安全仪表系统的功能安全标准，它是国际电工委员会继功能安全基础标准IEC61508之后推出的专业领域标准，IEC61511在国内的协调标准为GB/T 21109。
安全完整性等级(SIL)杂谈(一)
安全完整性等级（SIL）杂谈（一）作者：段慧文来源：《演艺科技》2018年第07期【摘要】介绍安全完整性等级的相关标准，重点在于舞台机械控制系统安全相关的内容，同时阐述了舞台机械专业的国内外差距。
【关键词】安全完整性等级；舞台机械；控制系统；标准；差距文章编号： 10.3969/j.issn.1674-8239.2018.07.0081 概述1.1 功能安全、安全完整性和安全相关系统电子/电气/可编程（E/E/EP）电子器件、软件系统在工业控制领域的大量使用，大大提升了自动化程度和生产效率。
但由于各种原因（如：研发人员的知识结构、开发制造中风险管理意识的不足、自身安全性能存在缺陷产品的流入等），在相关行业的安全控制系统中，由可靠性造成的人身安全、财产损失和环境危害等问题经常发生，给社会带来了无法挽回的损失。
世界各国在过程安全和工业装备安全控制中，对广泛涉及公众及职业安全的产品安全性设计非常重视，并且将电子、电气及可编程电子安全控制系统相关的技术，发展为一套成熟的安全设计技术，即功能安全技术。
笔者对几个与安全设计技术有关的名词作简单说明：（1）功能安全功能安全是与电子单元控制EUC（Electronic Unit Control）或与EUC控制系统有关的整体安全的组成部分，内容包括管理和技术两方面。
在管理上和技术上保证 E/E/PE安全系统、其他技术安全系统和外界风险降低设施来执行安全功能。
无论零部件或者整个系统发生的失效，也不管是随机失效、系统失效或者是共因失效（同一原因引起的不同故障失效），都不会导致安全系统故障，进而不会对人员或者环境产生危害，那么该系统在功能上就是安全的。
无论是在正常工作状态或者是故障工作状态，控制系统都必须保证其安全功能。
欧美各国已经颁布了涉及到各个领域的、成套的与功能安全相关的产品规范和设计标准，如：轨道信号控制（EN 5012X）、核电控制（EN 61513）、工业装备及机器控制（EN 62601， EN ISO 13849-1/2）、过程工业控制（EN 61511）等；IEC 61508系列标准已经成为各个国家、行业广泛认可的基本功能安全标准；中国也逐渐形成了相应的功能安全国家标准，行业和企业将逐步按照国家强制标准的要求去升级自身产品的安全性。
浅谈安全仪表系统安全完整性等级(SIL)评估在石化装置的应用
一、概述随着我国大型石油化工行业的发展，工艺路线的多元化，越来越多的装置中含有高温、高压、有毒、有害、易燃易爆介质，SIS系统做为保证装置安全生产的关键环节，其SIL等级的确定是SIS系统设计的基础，应由具备SIL评估资质的专业公司进行SIL等级确认，并依据等级在SIS系统配置完成后对其进行验证。
在大型石油化工装置进行SIL评估，合理设置SIS系统，可以有效保障石化装置安全。
二、安全仪表系统安全完整性等级的确定1.安全完整性等级（SIL）安全完整性等级（S I L）是以IEC61508及IEC61511中所涉及的反应失效概率（PFD）为基准的。
标准中将反应失效概率划分为四个范围，并对应相应的SIL等级。
表2-1给出了与每一个SIL 等级所对应的反应失效概率（PFD）的范围及相应的风险降低因子（RRF）。
表2-1 安全完整性等级（SIL）及对应的PFD和RRFＳＩＬＰＦＤＲＲＦ４≥ １０－５ ａ ＜１０－４＞１０ ０００ ａ ≤１００ ０００３≥ １０－４ ａ ＜１０－３＞１０００ ａ ≤１０ ０００２≥ １０－３ ａ ＜１０－２＞１００ ａ ≤１０００１≥ １０－２ ａ ＜１０－１＞１０ ａ ≤１００SIL等级是一个重要的安全可靠性的参数，用以表征安全相关系统针对一个特定的功能需求所能达到的风险降低的程度。
根据IEC61508/61511的规定，安全完整性等级低于SIL1的保护功能可以通过基本工艺控制系统（BPCS）来实现，对于安全完整性等级大于或等于SIL1的保护功能来说，必须通过安全仪表系统来实现。
2. SIL定级本文采用的S I L等级评估方法为IEC61511标准中的保护层分析法（LOPA 法），主要包含以下步骤：①系统划分及确定受保护设备（EUC）；②识别每个EUC包含的安全仪表功能（SIF）；③分析需求SIF动作的触发原因及原因的失效频率；④评价可能的安全、环境和经济后果及其严重等级（不考虑任何保护措施）；⑤判断初始风险是否满足风险可接受准则（如果风险可接受，则该场景没有SIL等级要求，该场景分析结束）；如果不满足风险可接受准则，则进入下一步分析；⑥识别该场景的独立保护层及其PFD值；⑦判断残余风险是否满足风险可接受准则（如果风险可接受，则该场景没有SIL等级要求，该场景分析结束）；如果不满足风险可接受准则，则进入下一步分析；⑧根据残余风险和可接受风险的差距，分配SIF的SIL等级；⑨重复以上步骤，直至所有系统和EUC中的SIF分析完毕。
什么是功能安全？汽车功能安全的设计方案
什么是功能安全？汽车功能安全的设计⽅案如今，汽车⾏业变⾰迅猛，汽车的设计、使⽤和销售模式都在快速演变。
驾驶员安全技术、交通拥堵、环境问题及汽车作为代步⼯具的基本前提都影响着新⼀代汽车的研发。
为解决这些难题，很多汽车⼚商都试图强化计算能⼒以优化车辆控制。
欧盟新车安全评鉴协会（EuroNCAP）颁布的新标准规定，车道变换⽀持等安全辅助功能是获得五星安全评级的必要条件。
车载处理器的数量在所有细分市场都稳步上升，⽬前平均为40-50个，⽽⼀些⾼端车型则已经搭载近120个处理器。
据Semicast Research预测，到2022年，仅发动机引擎罩下的电⼦控制单元（ECU）组件就将达到近860亿美元的市场规模，相较2015年的530亿年复合增长率达到7%。
半导体⼚商将有机会在汽车电⼦领域挖掘⼀⼤桶⾦。
⾼科技芯⽚可以改善动⼒系统排放、增强安全性能、并利⽤蜂窝⽹络实现车辆间及道路基础设施之间的互联。
但是，随着系统的复杂化，保证驾驶员安全就变得更为关键，必须打造更加⾃动化，系统化，且能患于未然的解决⽅案——即我们通常所称的“功能安全”。
什么是功能安全？简⽽⾔之，功能安全的最终⽬的是确保产品安全运⾏，即便出现问题也可以继续保驾护航。
基于这⼀理念，ARM将保证安全视为头等⼤事，⽽⾮单纯依照市场导向随波逐流，不断加强研发，推出更多功能安全相关产品。
各⾏各业都会制定标准，指导未来发展并限定最低准⼊门槛。
在汽车电⼦⾏业，这⼀标准就是ISO 26262，它将功能安全定义为：“避免因电⽓／电⼦系统故障⽽导致的不合理风险”。
不同领域的标准并不完全⼀致，例如针对电⽓和电⼦系统的IEC 61508以及飞⾏器电⼦硬件的DO-254都有各⾃的定义⽅式。
更需值得注意的是，它们都拥有专⽤术语，并提供了包括⽬标参数在内的⼯程研发指导。
因此，开始产品研发前确定⽬标市场并制定合适的流程⾄关重要，因为中途修改研发流程必然会导致效率低下。
图1展⽰了硅⽚IP的不同应⽤标准。
安全完整性等级评估(SIL定级)分析及其应用
风险图表法通过 4 个参数之间的关系，反映出当 安全功能故障或未设置安全功能时可能出现的危险 状态。这 4 个参数是：后果参数 C、暴露参数 F、避免 参数 P 和需求参数 W 。
后果参数 C：表征危险事件可能导致的事故的后 果 ，可 用 平 均 伤 亡 人 数 衡 量 ，此 人 数 可 在 考 虑 危 险 事 件的致命性的情况下，通过计算区域被占用时暴露区 中的人数来确定。
第 46 卷 增刊 2018 年 7 月
煤化工
Coal Chemical Industry
Supplement Jul. 2018
安全完整性等级评估（SIL 定级）分析及其应用
王世芳
（赛鼎工程有限公司，山西 太原 030032）
摘 要 介绍了安全完整性等级（SIL）的定级方法、定级原则及其在工程中的应用，重点介绍了采用校正风险 图法和保护层分析法进行 SIL 定级的程序和优缺点，并提出了 SIL 定级过程中，应遵循多专业性、合理尽可能低、 整体性、独立性、针对性、可靠性优先等原则，以确保 SIL 定级的合理性。以某甲醇合成装置为例，采用保护层分析 法对主要的安全仪表功能进行了 SIL 定级。
关键词 安全完整性等级（SIL），SIL 定级，风险降低，风险图法，保护层分析
文章编号：1005-9598(2018)-S1-0081-04 中图分类号：TQ086 文献标识码：A
随着化工装置生产规模的日益扩大、复杂工艺技 术和先进控制手段的广泛采用，生产装置和设施的过 程安全成为重要的课题。为降低过程风险，化工装置 设 计 中 通 常 采 取 一 系 列 的 保 护 层 ，如 本 质 安 全 、基 本 过程控制、报警及操作人员干预、安全仪表系统、物理 保护及紧急响应，以降低装置的风险。其中，安全仪表 系统作为装置安全运行的最后一道防线，在生产装 置出现可能导致安全事故的情况时，能瞬间准确动 作，使生产过程安全停止运行或自动导入预定的安全 状态，在安全生产中起着至关重要的作用。如果安全 仪表系统的安全功能失效，则往往会导致严重的安全 事故。为评估安全仪表系统的功能安全性，即安全仪 表执行安全功能的可靠性，引入了安全完整性等级 （safety integrity level,SIL）概念。
仪表及控制系统功能安全评估综述
仪表及控制系统功能安全评估综述 Functional safety of instruments & control systems evaluate summary刘建侯（上海工业自动化仪表研究所仪器仪表自控系统检验测试所，上海 200233）0 引言当前，计算机、集成电路等技术已经渗透到各个领域，计算能力的极大提高彻底改变了企业的工业过程控制，也改变了安全控制策略。
在许多情况下，各种应用领域（如石油、化工、钢铁、核电、航天等）的安全生产可用多种不同技术的防护系统（如机械的、液压的、气动的、电气的、电子的、可编程电子的等等）来保证安全，这不仅要考虑系统中所有元器件的问题，而且要考虑由所有安全系统构成的组合安全系统（如传感器、逻辑电路和执行机构等构成的系统）的问题。
还要把其它技术的安全系统（如安全阀）以及外部风险降低措施（如排放系统、放火墙等）也同时考虑进去。
同时，在各种应用领域里,还存在许多潜在的危险和风险，需要确定一种最小的风险，应用不同模式的电气/电子/可编程电子安全系统（E/E/PES），并根据应用的不同而确定所需的目标安全量。
1 国内外发展概况国际电工委员会于2000年5月正式发布IEC61508标准，名为Fuctional safety of electrical/electronic/programmable electronic safety-related systems，2003年1月IEC又开始颁布IEC61511标准，名为Function safety-safety instrumented systems for the process industry sector(功能安全-过程工业领域中安全仪表系统)。
这两个标准有很密切的关系，IEC61508标准是综合性基础标准，主要供装置的制造商和供应商使用。
而IEC61511标准则是针对具体的仪器仪表装置设计者、集成者和用户。
安全仪表功能的安全完整性等级选择与验证方法
安全仪表功能的安全完整性等级选择与验证方法贾英超【摘要】Basing on IEC61508 and IEC61511 codes and the other information,the relationship among SIS,SIF and SIL was described;and the methods of implementing SIF of the SIS,selecting and verifying SIL of the SIF were expounded.%结合IEC61508、IEC61511和相关资料,介绍安全仪表系统(SIS)、安全仪表功能(SIF)和安全完整性等级(SIL)之间的关系,并就如何对在役安全仪表系统开展安全仪表功能识别,安全仪表功能的安全完整性等级选择与验证进行了阐述.【期刊名称】《化工自动化及仪表》【年(卷),期】2017(044)012【总页数】5页(P1118-1121,1134)【关键词】安全仪表功能;安全完整性等级;结构约束;要求时的平均失效概率;系统能力【作者】贾英超【作者单位】中海油惠州石化有限公司【正文语种】中文【中图分类】TH862+.7;TP29我国目前有大量在役的安全仪表系统(SIS)，由于早期的重视程度不足，绝大多数存在着功能设计不合理、选型不当及维护不到位等情况。
国家安全监管总局的安监总管三(2014)116号文件《国家安全监管总局关于加强化工安全仪表系统管理的指导意见》明确了在役装置SIS的管理方向和目标，要求在2019年年底前完成安全仪表系统评估和完善工作。
在役SIS可以在HAZOP分析的基础上利用保护层分析(Layer of Protection Analysis，LOPA)方法对安全仪表功能(SIF)进行识别，并结合相关有效数据进行计算验证，确保安全完整性等级(SIL)能够实现必要的风险降低。
IEC61511将SIS定义为用于执行一个或多个安全仪表功能的仪表系统。
主审论文_安全完整性等级(SIL)分析及应用
安全完整性等级(SIL) 分析及应用Safety Integrity Level (SIL) Analysis and Applications【摘要】：过程工业涉及的领域广、危险性大，工厂除了在工艺设计阶段尽可能的考虑防止和减少各种潜在风险外，还必须附加额外的保护措施来控制危险的发生，如安全仪表系统(SIS)。
本文结合实际例子介绍了SIS系统安全完整性等级(SIL)的应用，并对不同等级下SIS系统的硬件组成要求做了探讨。
Abstract: Process industry is involved a wide area of enterprises and hazardous, the factory shall try best to prevent and reduce potential risk at process design stage, besides other protective measures like safety instrument system (SIS) also shall be used to control occurrence of dangerous accidents. This paper has introduced basic theory of SIL level for SIS system, and also discussed SIS hardware requirement for different SIL levels.关键词：SIL; SIS; 安全仪表系统KEYWORD: SIL; SIS; Safety instrument system一、引言在当前石油产业和化工产业是目前最为重要的能源产业之一，石油化工产业直接影响我国能源的使用和发展，但是，石油和化工行业自身也属于危险性较高的行业。
石油行业和化工行业在装置和运输等流程方面的要求是十分的苛刻。
基于功能安全的电梯安全完整性等级的定级方法研究
根据不同的流程来制定自己的风险可接受标准 ， ALARP(as low as reasonable practicable)模型常 用来划分可接受风险标准。该标准是根据该风险 发生的频率和后果严重程度综合确定的，通过划 分危险区域和危险等级，可以直观地看到每个危 险出现的可接受区域。风险能被图2中的两条横 线分为三大部分，即风险不可接受区、风险允许区 和风险可接受区这三个部分(
保护层分析法是一种半定量分析方法 ，它可 以确定事故发生的危害程度，还可以定量计算已 有保护层失效时危险发生的概率，并提出相应的 保护措施，推算出所需要的防护等级。当与故障 假设分析法相结合时可以快速地分辨出危险源以 及可能产生的后果，通过与既定的风险可容忍度 标准进行比较，可以确定是否需要额外降低风险 的措施，根据需要降低的风险量，从而可以确定全 仪表系统所达到的安全完整性等级。 2.2.2 独立保护层的识别
究，且电梯种类较多，不能用一种统一的标准确定 电梯安全完整性等级。
本文提出了一种基于故障假设分析法和保护 层分析融合的方 法， 并且 通 过可 接受 风险 频 率与 风险严重程度建立了电梯风险等级表，列出了事 故发生的初始原因和现有的保护措施，以及防止 事故发生或减少事故伤害的其他措施，定量地算 出事故发生的概率；然后与建立的风险可容忍度 标准进行比较，可以确定是否需要额外降低风险 的措施，根据风险降低因子，从而可以确定安全仪 表系统所需要的安全完整性等级。
1
010 2<10 1
101#102
248
中国计量大学学报
第 32 卷
表2在高要求操作模型下目标失效量 Table2 Targetfalurequanttyunderh0gh
《数字化车间功能安全要求》标准解读（二）
《数字化车间功能安全要求》标准解读（二）The Interpretation of the Standard "Functional SafetyRequirements for Digital Factory" (2)郭 苗（机械工业仪器仪表综合技术经济研究所，北京 100055）Guo Miao(Instrumentation Technology & Economy Institute, Beijing 100055)摘 要：GB/T 41257-2022《数字化车间功能安全要求》国家标准于2022年3月9日发布，2022年10月1日实施。
本文针对数字化车间保护层评估、安全相关系统要求等内容分别进行介绍，以期为标准的贯彻实施提供参考依据。
关键词：数字化车间 功能安全 保护层评估 安全相关系统Abstract：The national standard GB/T 41257-2022 "Functional safety requirements for digital factory" was released on March 9, 2022 and implemented on October 1, 2022. The paper introduced the layer of protection analysis, and the requirements of the safety related system, in order to provide the reference for the implementation of the standard.Key words：Digital factory Functional safety Layer of protection analysis Safety related system作组牵头单位为机械工业仪器仪表综合技术经济研究所。
SIL 认证知识
功能安全（SIL）认证Certificate for Function Safety （SIL）李佳嘉（上海仪器仪表自控系统检验测试所， 上海 200233）简 介：主要讲述功能安全（安全完整性等级）的认证的重要性和必要性。
简单叙述了认证使用的标准、认证的模式和认证的内容以及对评估人员的要求。
特别强调了功能安全与EMC环境的关系。
关键词：安全完整性等级（SIL） 功能安全 SIS 整体安全生命周期 硬件故障裕度0 前言在现代过程工业生产中,由于设备繁复,工艺复杂,要求整个控制系统不允许存在任何安全薄弱环节,一旦系统中的过程成套仪表以及其他设备工作不正常(失效),就有可能造成控制系统的故障和设备停车,发生诸如化工厂的火灾、爆炸,核电站的辐射超剂量，飞机的机械漏油等危险事件,会对人员、设备和环境造成灾难性后果。
如何将这种灾难控制在可接受的范围之内？这就需要依靠标准和法规来规范。
如果一个项目，一个系统或产品获得了功能安全的认证，那么可以增强客户的信心。
1 功能安全认证的重要性安全系统功能安全主要的研究对象是以保护人身财产安全为目的与安全相关的保护系统，其包括安全控制系统和安全保护系统两大类。
随着微电子技术、计算机技术和总线技术以及无线通信技术的迅速发展，这些技术被越来越多地应用到安全系统以实现安全功能。
而安全系统本身，由于无法预计的失效而导致的危险引起了科学家们的注意。
由于上世纪70年代以来在欧美发生的多起工业事故都与安全相关系统失效有关，所以人们意识到安全相关系统的功能安全的重要性。
美国、欧共体等国家相继在各自工业领域开展对功能安全的研究，制定了相应的国家标准，直到2000年IEC61508.1-7《电气/电子/可编程电子安全相关系统的功能安全》标准的颁布,才标志功能安全作为独立的安全学科,进入实际的应用阶段。
IEC61508发布后，欧盟的强制指令（如ATEX指令）、美国职业安全与卫生管理局、美国环保署和英国（HSE）都将其纳入安全法规范畴。
安全仪表功能的安全完整性等级选择与验证方法
图２ Ｓ Ｉ Ｆ与 其 他 功 能 的 关 系
２ Ｓ Ｉ Ｆ的 Ｓ Ｉ Ｌ选 择 方法 Ｓ Ｉ Ｆ的 Ｓ Ｉ Ｌ选 择 方 法 有 很 多 ， 有风险矩 阵、 安
全层 矩 阵 、 风险图 、 保 护层分析 （ 与 ＨＡ Ｚ Ｏ Ｐ等 配
合使 用 ） 及 事件 数 分 析 （ Ｅ Ｔ Ａ） 等 。保 护、 流女 ｝ 、液 位 等 ）
工 业一 般 的应 用 场合 ， Ｓ Ｉ Ｌ ３是 最 高等 级 。在 工 程
实践中， 当过 程危 险和风 险分 析确 认需 要 Ｓ Ｉ Ｌ ３以
安全 仪 表 功 能 的仪 表 系 统 。而 Ｓ Ｉ Ｆ被 定 义 为 由 Ｓ Ｉ Ｓ执 行 的 、 具有 特定 Ｓ Ｉ Ｌ的安 全功能 ， 特指 由 Ｓ Ｉ Ｓ 实现 的安 全功 能 ， 用 于应对 特定 的危 险事件 ， 达到 或保 持过程 的安 全 状 态 。物理 结 构 上 由传 感 器 、 逻辑 控制 器和 最终元 件组成 ， 如图 １ 所示， 其 最根 本 的特征 是 “ 应 对 特 定 的危 险 事 件 ” 并 实 现必 要 的风险 降低 … 。 根据 安 全仪 表 功 能失 效 产生 的后 果 和 风 险 ，
Ｉ Ｅ Ｃ ６ １ ５ １ １ 将Ｓ Ｉ Ｆ划 分 为不 同 的 安 全 完 整 性 等 级
（ Ｓ Ｉ Ｌ ｌ ～Ｓ Ｉ Ｉ Ａ） ， 但 除 了极 罕见 的特殊 应用 ， 在过 程
作者简介 ： 贾英超 （ １ ９ ８ ４ 一 ） ， 工 程师， 从 事 仪 表 及 自动控 制 的研 究 和管 理 工 作 ， ｊ ｉ ａ ｙ ｃ ｈ ＠ｃ ｎ ｏ ｏ ｅ ． Ｃ Ｏ Ｉ Ｉ １ ． ｃ ａ 。
化
工
自 动
化 及
PESSRAE PESSRAL型式试验与现场检验(上海交大 胡晖)
产品设计——硬件结构设计要求 产品设计中硬件结构的选取 ISO22201对系统结构的规定（与IEC61508不同）
SIL1 SIL2 SIL3 带自检的单通道结构，或 带比较的双通道或多通道结构 带自检和监视的单通道结构，或 带比较的双通道或多通道结构。 带比较的双通道或多通道结构
产品设计——硬件结构设计要求 带自检的单通道结构（SIL1） 单通道组成， 冗余输出确保安全切断 带自检和监视的单通道结构（SIL2） 单通道结构 独立的硬件监视单元 两个独立的切断路径(处理单元或监视装置） 带比较的双通道或多通道结构（SIL3） 双通道结构——安全功能在每个通道内独立地实现
现场检验——型式试验报告1 配置表
硬件型号及版本 软件型号及版本 可编程电子器件类型 可编程电子器件型号 主参数 工作条件 工作电压 印刷电路板外壳防护等 级 -10℃~+65℃，湿度小于95%RH，无水珠凝结 AC220V 不小于IP5X ESSRFG A2版 ESSRFG V1.0版 MCU MEGAWIN MPC82G516AP
产品概念——软件安全要求规范 可编程电子硬件故障诊断 指令、传感器、执行器故障诊断 电源故障诊断 软件故障诊断
传感器 子系统
逻辑 子系统
输出 子系统
型式试验内容——产品设计
硬件设计 软件设计
产品设计——硬件设计
硬件系统结构设计详细描述； 电路板的布线图和布置说明； 故障(失效)模式、影响或诊断分析(FMEA或 FMEDA)； 随机硬件失效引起的安全功能失效的概率(PFH) 和子系统安全失效分数(SFF)分析和估算说明；
现场检验——型式试验报告2 配置表1
硬件型号及版本 软件型号及版本 可编程电子器件类型 可编程电子器件型号 主参数 工作条件 工作电压 印刷电路板外壳防护等 级 ES.11/A V1.0版 ES11A B01版 MCU STM32F103VC -20℃~+65℃，湿度小于95%RH，无水珠凝结 AC220V 不小于IP5X
ASIL-汽车安全完整性等级讲解
ASIL-汽车安全完整性等级讲解一、.ASIL定义ASIL等级的定义是为了对失效后带来的风险进行评估和量化以达到安全目标，其全称是Automotive Safety Integration Level--汽车安全完整性等级。
ASIL(Automotive Safety Integrity Level)由ISO 26262标准定义的风险分类系统，用于公路车辆的功能安全。
该标准将功能安全定义为“由于电气或电子系统的故障行为而导致的危害，不存在不合理的风险”。
ASIL根据损害的可能性和可接受性确定安全要求，以使汽车零部件符合ISO 26262。
ISO 26262-A，B，C和D标识了四种ASIL。
ASILA代表最低级别，而ASIL D代表最高的汽车危害等级。
安全气囊，防抱死制动和动力转向等系统需要ASIL-D级（对安全性要求最高的严格性），因为与故障相关的风险最高。
在安全范围的另一端，诸如尾灯之类的组件仅需要ASIL-A级。
前大灯和刹车灯通常为ASIL-B，而巡航控制系统通常为ASIL-C。
二、.ASIL产生的意义ISO 26262标准将功能安全定义为“不存在因电气/电子系统故障行为造成的危害而产生的不合理风险”。
为了符合ISO 26262标准，职能安全顾问会识别和评估危险（安全风险）。
然后根据汽车安全完整性等级（ASIL）框架对这些危险进行分类。
如此明确的危险分类有助于：a.制定各种安全要求，将风险降低到可接受的水平b.顺利管理和跟踪这些安全要求c.确保交付的产品遵循标准化的安全程序。
汽车安全完整性等级（ASIL）,通过对潜在危险进行风险分析，通过评估各种风险参数（严重性、暴露和可控性），分配ASIL值。
ISO 26262标准定义了ASIL的四个值：ASIL A，ASIL B，ASIL C，ASILD。
ASIL D代表最高的汽车危害等级，而ASIL A代表最低的汽车危害等级。
还有一个称为QM （质量管理级别）的级别，它表示不要求任何安全要求的危害。
功能安全与信息安全-功能安全
Ch7 工业控制系统功能安全与信息安全
1、功能安全概念及其标准
1）功能安全概念 功能安全是在2000年以后逐渐兴起的一项安
全工程学科，是指针对规定的危险事件，为达到或 保持受控设备的安全状态，采用E/E/PE（电子/电 气/可编程设备）安全系统、外部风险降低设施或其 他技术安全系统实现的功能。
采用功能安全相关技术可以检测出潜在的危险 失效，并及时地启动保护设备或调控装置，以防止 危害的扩大或把危害的影响降低到可接受的范围。
安全仪表系统主要由感器、逻辑控制器和执行 器等三部分构成。
附属系统（供电/供气等）
传感器
逻辑控制器
最终执行元件
水箱满溢保护系统
2、安全仪表系统分类
安全仪表系统按照其应用行业的不同可以划分 为 ➢ 化工安全仪表、 ➢ 电力工业安全仪表、 ➢ 汽车安全仪表、 ➢ 矿业安全仪表 ➢ 医疗安全仪表等。
风险降低包括3个部分：E/E/PE安全相关系统、外 部风险降低设施和其他技术安全相关系统。 可见，对于整个安全手段来讲，E/E/PE安全相关系 统只是其中一部分。风险评估得到的结果用于确定 安全系统所需要达到的安全完整性等级，再将整体 安全完整性等级分配到不同的安全措施中，使系统 的风险降低到允许的水平。
SIL
低要求操作模式
高要求操作模式
4
>=10-5 to < 10-4
>=10-9 to < 10-8
3
>=10-4 to < 10-3
浅谈关于安全仪表系统的功能安全
浅谈关于安全仪表系统的功能安全摘要：本文根据国内外安全仪表系统功能安全防护的研究基础，强调切实有效的进行安全完整性评估，提出了设备全生命周期防护的理念。
并简要介绍安全完整性相关概念，风险分析的方法与思路，以及安全完整性定级和验证的基本流程。
关键词：安全仪表系统;安全防护;功能安全;安全是工业控制系统的灵魂，谈到工业控制系统安全，安全仪表系统是工业控制系统的重要组成部分，承担安全防护的重要职责。
但国内工业控制系统安全防护仍处于起步阶段，功能安全概念的出现，从根本上阐述了工业控制系统安全防护的必要性及可行性[1]。
1 安全仪表系统与安全防护基本介绍1.1 安全仪表系统现状安全仪表系统（简称SIS）是由电气（Electric）、电子（Electronic）和可编程电子技术构成的仪表化的安全系统。
SIS由传感器、逻辑控制最终控制元件，以及电源等支持系统构成，用于当工艺参数超越预定的正常工况时，将工艺过程置于安全状态。
在石油化工生产装置生产正常时，SIS处于休眠或静止状态，生产装置或设施出现可能导致安全事故的情况时，能够瞬间准确动作，使生产过程安全停止运行或自动导入预定的安全状态[2]。
1.2 安全防护的相关概念工业控制系统安全建设的难点在于其系统天然存在安全脆弱性，同时其应用的环境具有特殊性，集中应用在关键基础设施、重点行业上。
2 安全仪表系统的安全防护现状2.1 国内外安全仪表系统安全防护研究国际上对安全仪表系统安全的研究起步早，标准多，形成了相对成熟的技术规范和标准体系，包括 ISA制定的用于制造业和控制系统安全标准ISA-99;国际电工委员会IEC/TC65/WG10制定的IEC61508电气/电子/可编程电子安全相关系统的功能安全、IEC61511过程工业领域安全仪表系统的功能安全;NS/ISA-S84.01（1996）安全仪表系统在过程工业中的应用;AICHE-1993化学过程的安全自动化导则。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
2013.3 AUTOMATION PANORAMA
25
Focus
聚 焦
系统的效果。
工业安全
整体，而且把安全仪表系统的整个生命周期也看作是一个整体， 以整体协调的需要来研究局部问题，并选择优化方案，综合评价 （ 2 ）安全管理与责任体系科学化。一个安全仪表系统的运 行存在两个并行的过程，一个是系统设计、使用过程，一个是对 系统的计划、组织和控制的过程。要保证安全仪表系统的 SIL 能 力，需要明确两个过程中所有相关人员的职责范围和工作目标， 建立安全仪表系统的责任体系。 （ 3 ）各门学科的协调化。安全仪表系统是一个技术综合 体，它跨越许多学科，而且是填补这些学科边界空白的边缘学 科。它不仅涉及工程学的领域，还涉及社会、经济和政治等领 域。所以为了适当解决这些领域的问题，它要求从系统的总体目 标出发，综合运用各种科学技术，并使它们协调配合而达到系统 整体的优化。 （ 4 ）安全的相对性。功能安全将安全定义为“没有不可接 受的风险”，即用系统功能失效导致危险的概率来表示发生事 故、造成人员伤亡或财产损失的危险性，如果此概率小于法律规 定的限度，就是允许的。 （ 5 ）基于风险的量化技术。用数学的方法量化安全仪表系 统的安全完整性，是功能安全控制技术的核心。用SIL级别表明最 终用户可以多大程度地相信工业过程的安全性。 （ 6 ）建立结构与功能的数学关系。系统的安全完整性表现 在系统内部的硬件、软件、通讯等诸要素之间及系统与外部环境 之间的关系上。系统内部诸要素之间的联系为内部联系，表征内 部联系的范畴，称为结构。系统与外部环境之间的联系为外部 联系，表征这种联系的范畴称为功能。要素、系统、环境三个环 节，是通过结构和功能两个中介的沟通而有机联系起来的。 （ 7 ）战略性安全解决方案。从安全战略角度来看，不仅考 虑了各独立系统中所有元器件的问题，如传感器、控制器、执行 器等，而且考虑了由所有安全仪表系统构成的组合安全仪表系统 的问题。
5 我们的对策
功能安全的最大作用是可以针对危险事件建立有效的控制措 施，预先防止事故发生，或者在出现危险时知道怎样去控制它。
4 功能安全标准与国际国内应用现状
国际电工委员会（ IEC ）、国际标准化组织（ ISO ）分别 开始制定功能安全相关标准，第一批制定的标准中主要涉及的 是安全仪表系统，也就是由电气、电子、可编程电子为技术基 础的控制与保护系统的功能安全，包括 IEC61508 、 IEC61511 、 IEC62061 等几十个标准，涉及石油、化工、冶金、电力、机械 制造、电梯、家电等多个领域。这些标准出台后，欧盟指令、 美国职业安全与卫生管理局（ OSHA1910_134 ）、美国环保署 （EPA40CFRPart68）、英国（HSE）都将其纳入安全法规范畴。能安全与安全完整性等级综述
The Summary of Functional Safety and Safety Integrity Level
机械工业仪器仪表综合技术经济研究所 史学玲,冯晓升
摘要：从法规与标准的角度介绍了功能安全与安全完整性等级的概念，并提 出建立中国功能安全保障体系的建议。 关键词：功能安全；安全完整性等级；SIL Abstract: Introduced the concept of functional safety and safety integrity level from the point of view of regulations and standards, and proposing the establishment of functional safety system. Key words: Functional safety; Safety integrity level; SIL
[1]
3 安全相关系统的功能安全与SIL
安全相关系统（safety-related system）是“三同时”制度中 提及的安全设施的一种。 安全相关系统包括安全控制系统与安全保护系统两大类，其 功能是检测危险事件，当危险事件发生时，安全相关系统将采取 适当的动作和措施，防止被保护对象进入危险状态，避免危及人 身安全，保护财产不受损失。如锅炉压力达到一定值时炉火自动 熄灭；危险化学品运输车出事故后的社会应急保障；矿井内有害 气体达到危险值时报警并自动进入应急状态；当有人进入危险区 域时电锯自动停止动作……这类系统在不同领域有不同名称，在 石油化工领域统称为安全仪表系统（SIS；以下称安全相关系统为 安全仪表系统）。 安全仪表系统通常都是综合性的、复杂的，难以确定实际操 作中的每一种失效模式，也很难测试所有可能发生的状况，技术 缺陷、硬件或软件的偶然失效、环境、管理人员，任何一个环节 都有可能导致系统功能失效，从而导致危险发生。因此，需要采 用系统性方法确定其SIL能力。 为了实现安全仪表系统的功能安全，首先要对安全仪表系统 实现风险控制的总体能力进行评估与控制，即要确切地了解它能 做什么（执行什么安全功能），和能多大程度地相信它（即能降 低几级风险，SIL能力是多少）。然后通过对系统中每一个功能单 元，包括子系统和器件、人员、组织的功能安全进行管理与控制 来实现SIL能力。用系统中每一个功能单元的可靠工作，保证整个 系统在需要时执行的正确功能，从而控制和防护危险。[2] 为了保证安全仪表系统的 SIL 能力，应完整考虑以下所有方 面： （ 1 ）研究方法的整体化。不仅把安全仪表系统看作是一个
1 引言
《安全生产法》第二十四条规定：“生产经营单位新建、改 建、扩建工程项目的安全设施，必须与主体工程同时设计、同时 施工、同时投入生产和使用。安全设施投资应当纳入建设项目概 算。”这一要求一般被称之为“三同时”制度。“三同时”制度 从源头上消除各类项目可能造成伤亡和职业病的危险因素，防止 事故发生，避免因安全问题造成不必要损失，是确保本质安全的 有效法律制度。 “三同时”制度中提到的安全设施包括安全与卫生设备、 个体防护措施和生产性辅助设施。这些设施的安全功能是消除或 减轻危害因素、防止伤亡事故和职业病的发生。每种安全设施可 以执行一个或多个安全功能，每一个安全功能都能降低一定的风 险。而就一个项目而言，无论这个项目是石油、化工装置还是机 械设备，采用安全设施执行安全功能后，这套石油、化工装置或 机械设备的安全就在很大程度上依赖于安全设施能否正确执行其 安全功能。 “三同时”制度在我国实施已经多年，对我国安全生产起到 了极为关键的作用。但进一步分析历年来发生的工业事故，会发 现安全设施的有效性是一个急待解决的问题。
24
AUTOMATION PANORAMA 2013.3
功能安全防止的是安全设施的功能失效所导致的危险，解决 的是安全设施有效性问题。因此，研究建立我国功能安全保障体 系，对于“三同时”制度的有效性实施具有十分重要的意义。
成的人员伤亡、财产损失、环境破坏的严重程度，国家用法律的 方式明确各生产经营单位的安全风险控制目标，各生产经营单位 将企业的安全风险控制目标分解到每一个危险源，最后转化为每 一个安全设施的功能安全。这样就形成了一个国家 - 生产经营单 位-危险源控制的风险控制体系。 （ 2 ）功能安全从系统整体的安全要求出发，不但将安全责 任与组织管理程序进行科学的分解，而且将构成系统的结构与诸 元素的SIL进行科学分解。由这些分解的整体构成有序的系统，在 合理分工的基础上进行严密有效的协作，通过科学的组织管理体 系和安全仪表系统集成来实现安全的总体目标。 （ 3 ）功能安全是系统论、控制论、现代安全管理等学科相 互渗透、交叉发展而成。功能安全方法就是应用这些学科技术来 实现系统的模型化和最优化，把定性分析和定量分析紧密结合， 进行系统分析和系统设计。
2 功能安全与安全完整性等级的基本概念
功能安全是2000年以后兴起的一项安全工程学科，旨在防止 安全设施功能失效所导致的危险。 功能安全包括技术和管理两方面内容，涉及石油、化工、机 械、能源等多个领域，是通过提高安全设施有效性来控制与保护 各类危险源，避免或减少工业事故对公众和环境的影响，防止各 类装备尤其是成套装置发生不可接受危险的技术。 例如，锅炉控制系统是一种安全设施，其功能是当锅炉压力 达到危险值时关闭炉火。如果这个功能失效，压力达到危险值时 炉火不能熄灭，而是持续燃烧，锅炉就会爆炸，人员就会遇到危 险。在这种情况下，安全依赖于锅炉控制系统执行正确的功能。 锅炉控制系统承担了一定的风险降低能力，锅炉容量越大、压力 越高，这套控制系统承担的风险降低要求也越高。 安全设施的每一个安全功能都对应降低某一个危险事件的风 险，在2000年推出的功能安全基础标准IEC61508 中，把每一个 安全功能降低风险的能力定义为安全完整性等级（Safety Integrity Level; 以下简称 SIL ），如果安全设施可以将风险降低一个数量 级，也就是说，采用该安全设施后，原来一年发生一次事故的概 率可以降为几十年发生一次，表示该安全设施具有SIL1的能力。 如果安全设施可将风险降低4个数量级，也就是说，采用该安全设 施后，原来一年发生一次事故的概率可以降为几万年发生一次， 表示该安全设施具有SIL4的能力。 引入功能安全与 SIL 概念后，安全设施的有效性问题可以用 系统的、量化的方法得到解决。首先根据基础的风险分析与保 护层分析确定每一个安全设施需要承担的风险降低要求（ SIL 要 求），然后用系统性安全性分析确定该安全设施实际能够承担的 风险降低能力（SIL能力）。安全设施每一个安全功能的SIL要求 与SIL能力相比，SIL要求等于SIL能力，则表示整套装置的安全设 施配置合适；SIL能力小于SIL要求，则表示安全设施配置不合理 或不安全；SIL能力大于SIL要求，则表示存在过保护现象，后果 是资产浪费且可能引入新的不安全因素。功能安全分析法就是这 样采用SIL指标来确定每一个安全设施配置的有效性与安全性的。 SIL 的概念适用于所有安全设施，只要它承担的是风险降低 功能，就可以用量化的方法确定其风险降低能力。但由于每一种 安全设施的技术特点差别极大，针对每一种安全设施确定SIL能力 是一项十分复杂的工作。 功能安全具有以下特点： （1）功能安全将安全转化为SIL控制。综合事故发生可能造