“功能安全產品實現技術”系列講座第2講 功能安全與安全相關產品

謝亞蓮

(上海工業自動化儀表研究院1，上海 200233;上海儀器儀表自控檢驗測試所功能安全中心2，上海 200233)

0 引言

IEC 61508(GB/T 20438)是完整的、系統性的關于電氣/電子/可編程電子安全相關系統的功能安全的基礎標準;以基于風險的方式確定E/E/PE安全相關系統的安全要求規范;采用整體安全生命周期模型作為技術框架，系統地論述了為保證E/E/PE安全相關系統的功能安全所需進行的活動。

本文通過對危險、風險、安全功能、安全完整性、安全相關系統、安全相關產品之間的內在關聯的介紹，有助于大家了解以下幾個概念，即安全相關產品為什么要具有這樣的安全功能，并達到這樣的安全完整性與安全完整性等級。

1 功能安全

功能安全，首先是安全的概念，所謂安全就是不存在不可接受的風險，這種風險是指由危險的發生而造成的對人身健康的傷害、財產的損失和環境的破壞。功能安全是屬于受控裝置(equipments under control，EUC)和EUC控制系統的整體安全的一部分。用于避免使在爆炸氣體中的設備成為潛在點燃源的安全裝置，如處在爆炸氣體中的籠型轉子，當轉子的溫度超過某一限值，將會引起氣體爆炸。要限制籠型轉子的溫升，采用一個依賴于電流的安全裝置，即將測量轉子的電流作為輸入信號，當電流超過某一限定值，采取措施切斷籠型轉子的供電電源，從而防止爆炸危險的發生。這屬于功能安全。采用風扇抽風強制降溫的方式，也屬于安全的一個例子，但它不能保證防止危險的發生，不屬于功能安全。

由于EUC和EUC控制系統潛在的危險而導致風險的存在，從而引出了對功能安全的需求。功能安全的起因是危險和風險，功能安全的目的是將風險降低到可接受的范圍內，功能安全的實現是通過電氣/電子/可編程安全相關系統(簡稱E/E/PE安全相關系統)、其他技術安全相關系統和外部風險降低設施正確執行其功能。

功能安全的目的示意圖如圖1所示。

圖1 功能安全目的示意圖Fig.1 The purpose of functional safety

功能安全是“縱深防御”的理念。E/E/PE安全相關系統通常用于預防危險的發生，在危險條件產生時即切斷危險源，使EUC及其控制系統保持在安全狀態;雖然在一些情況下它也用于減輕危險產生的后果，例如氣體探測器檢測到著火或氣體泄漏，采取緊急減壓措施。其他技術安全相關系統和外部風險降低設施用于在危險發生后減輕危險所造成的后果，通常它是在控制系統失控、E/E/PE安全相關系統因危險失效而不能執行其安全功能時發揮作用，例如屬于其他技術安全相關系統的減壓閥泄壓，屬于外部風險降低設施的安全殼將危險源密封在殼內，阻止其向外擴散。

當然，功能安全的基礎標準GB/T 20438所關注的是E/E/PE安全相關系統，我們所研究和關注的也是E/E/PE安全相關系統實現的安全功能、安全功能降低風險的能力即安全完整性等級、構成E/E/PE安全相關系統的安全相關產品等。

2 安全功能與安全相關系統

安全相關這個詞語是被用來描述要求執行規定的功能，以確保風險保持在一個可接受的水平。這個規定的功能就被定義為安全功能。因此，執行安全功能的系統就是安全相關系統。

對安全相關系統的要求包含安全功能的要求和安全完整性等級的要求。安全功能的要求來源于危險分析，即必須做什么以避開危險事件;安全完整性等級的要求來源于風險評估，即安全功能必須執行到什么程度以使殘余風險可接受。安全相關系統需求產生的過程如圖2所示。

圖2 安全相關系統需求產生示意圖Fig.2 The demand generation of safety-related systems

EUC和EUC控制系統的功能安全中包含一個或多個安全相關系統，以實現一個或多個安全功能。安全相關系統通常獨立于裝置控制系統，但也存在裝置控制系統同時作為安全相關系統執行安全功能。一些領域的功能安全標準對安全相關系統的獨立要求有明確規定。如在自動扶梯和自動人行道的標準EN 115-2008(國標GB 16899-2011)中就明確規定安全相關系統和電梯控制系統必須分開。

3 安全相關產品的目標設定

雖然我們在上述內容中講述了危險、風險、安全功能和安全相關系統它們之間的內在關聯，但是安全相關產品的設計者并不需要過多關注危險和風險，而是需要知道作為實現功能安全的基礎——安全相關產品在安全相關系統中需實現的功能以及安全完整性需要達到的目標值。

在過程工業中，存在這樣一個安全相關系統:當反應爐燒嘴板冷卻水流量低時，執行燒嘴板及燃燒室保護。安全相關系統的安全功能描述為:當反應爐燒嘴板冷卻水流量低于低低報警(LL)值，觸發連鎖，同時關閉氧氣進料閥。輔助功能為打開放空閥，該功能屬于非安全功能。安全功能的安全完整性等級要求達到SIL2。安全相關系統配置如表1所示，按常規安全相關系統的安全完整性目標值分配如圖3所示。

表1 安全相關系統配置表Tab.1 Configuration of the safety-related system

圖3 安全完整性目標值分配示意圖Fig.3 Schematic diagram of the allocation of safety integrity target values

參照表1和圖3，構成系統的安全相關產品及目標設定如下。

3.1 傳感器子系統

傳感器子系統通常包含各種變送器和輸入端安全柵。在過程工業中，常見的各類變送器包括壓力變送器、溫度變送器、流量計、液位變送器、氧氣分析儀、氣體探測器等;在機械工業中，常見的各類變送器包括轉速測量儀、位置變送器等。這類安全相關產品需要確定的目標有以下兩項。

①安全功能

需將產品放在安全相關系統中，分析其在安全相關系統中為保證安全相關系統正確執行其安全功能應具有的功能。該功能便設定為產品的安全功能。同時，需考慮產品的現場總線通信功能是否也設定為安全功能等。如流量計，其安全功能為流量測量。

②安全完整性目標值

按照市場需求對產品進行定位。市場對變送器的要求一般為SIL2，所以按結構約束條件，變送器在結構設計上要求達到SIL2。按照安全相關系統的安全完整性目標值分配，傳感器子系統的安全完整性目標值通常為30%SIL2，所以變送器設定的安全完整性目標值最好不大于20%SIL2。采用驗證測試時間間隔為1年來計算要求時危險失效概率(PFDavg)和每小時危險失效概率(probability of failure per hour，PFH)。對于安全柵，其在結構設計上至少應達到SIL2，而它的安全完整性目標值最好不大于5%SIL2。

3.2 邏輯單元子系統

邏輯單元子系統通常由輸入模塊、PLC和輸出模塊組成。PLC的安全功能和安全完整性的目標設定可參考關于可編程控制器功能安全的相關標準IEC 61131-6，在此不再敘述。

3.3 終端元件子系統

在過程工業中，較為常見的終端元件子系統是閥組。氣動調節閥閥組的構成包含氣動執行機構、電磁閥、定位器、氣動調節閥等。同上述傳感器子系統一樣，需要確定的各終端單元目標也有以下兩項。

①安全功能

對于終端元件子系統各單元，它們的安全功能比較清晰，如電磁閥執行開啟和關閉功能、執行機構執行角行程或直行程、定位器能按照輸入信號正確控制閥的開度等。也就是說各終端單元的主要功能就是它們的安全功能。

②安全完整性目標值。

雖然在安全相關系統的安全完整性目標分配上，終端元件的目標失效值為60%SIL2，但若給氣動執行機構和調節閥分配安全完整性目標值，而仍然沿襲固有的設計理念，那么這樣的目標安全完整性是難以通過傳統的機械設計來實現，除非它本身就滿足目標安全完整性。若完全依靠機械設計，結構約束條件要想達到SIL2的要求是比較困難的。因為機械類設備的平均無故障工作時間(mean time between failures，MTBF)和失效模式分布取決于設備的結構、材料、制造工藝、正常工作時的流體介質等，這些因素導致的結果是難以預測的，也就難以展開針對結構約束條件和目標安全完整性的機械設計。

目前，較為先進的設計理念是引入診斷功能的智能化設計，采用部分行程測試法(partial stroke test，PST)，關注由執行機構和閥桿卡死引起或由閥泄漏引起的閥操作失效。對這類失效進行診斷，從而提高安全失效分數(safety failure fraction，SFF)，使閥和執行機構的安全完整性等級提高到SIL2甚至SIL3。部分行程測試法使工廠能夠周期性地檢查和確認閥和執行機構的完整性和安全性特征，而不需關停工藝線。

綜合上述，對于由機械結構構成的氣動執行機構和閥設定安全完整性目標值沒有實際意義，而設計具有診斷故障功能的閥門定位器更為有效。

關于安全相關產品目標值設定的方法同樣適用于DCS系統，即只需關注系統實現的安全功能與安全功能實現相關的各個模塊，然后再將安全完整性目標值分解給各個模塊。

4 結束語

對功能安全的起因、目的，以及危險、風險、安全功能和安全相關系統的內在關聯只需概念性了解就可以了，我們的目的是設計安全功能、安全完整性和安全完整性等級(SIL)都具有市場競爭力的安全相關產品，因為安全相關產品是實現功能安全的基礎。在講述了安全相關產品實現的過程、安全相關產品的目標設定之后，后續的講座將就功能安全管理、安全相關產品的軟件硬實現方法進行展開。