（高清版）GBT 41295.4-2022 功能安全應用指南 第4部分：管理和維護

功能安全應用指南第4部分：管理和維護GB/T41295.4—2022 I引言 Ⅱ 2規(guī)范性引用文件 3術語和定義 4縮略語 15總則 26文檔方面 27人員方面 28變更管理和配置管理 39運行和維護過程的安全管理 3參考文獻 7I本文件按照GB/T1.1—2020《標準化工作導則第1部分：標準化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定起草。本文件是GB/T41295《功能安全應用指南》的第4部分。GB/T41295已經(jīng)發(fā)布了以下部分：——第1部分：危害辨識和需求分析；——第2部分：設計和實現(xiàn)；——第3部分：測試驗證；——第4部分：管理和維護。請注意本文件的某些內(nèi)容可能涉及專利。本文件的發(fā)布機構(gòu)不承擔識別專利的責任。本文件由中國機械工業(yè)聯(lián)合會提出。本文件由全國工業(yè)過程測量和控制標準化技術委員會(SAC/TC124)歸口。本文件起草單位：中國石油集團安全環(huán)保技術研究院有限公司、機械工業(yè)儀器儀表綜合技術經(jīng)濟研究所、國能智深控制技術有限公司。Ⅱ自GB/T20438(所有部分)發(fā)布以來，電氣/電子/可編程電子系統(tǒng)已經(jīng)越來越多的應用于國內(nèi)各個領域的安全控制和安全防護，包括石油、化工、電力、軌道交通、汽車、電梯/扶梯等。近年來隨著智能制造的興起，智能化設備(主要由電氣/電子/可編程電子為技術基礎)的安全問題逐漸成為一個新的研究方向和焦點，進一步提升了對功能安全技術的需求。GB/T20438(所有部分)給出了實現(xiàn)功能安全的基本框架和結(jié)構(gòu)，作為等同轉(zhuǎn)化的標準，與國內(nèi)企業(yè)的管理體系和設計思路未能完全切合，加之很多國內(nèi)工程技術人員都是初次接觸功能安全技術，對于功能安全概念一時難以理解，這就造成雖然國際功能安全標準提出了非常好的安全理念和設計措施，但技術人員難以清楚的理解和認識。GB/T20438(所有部分)發(fā)布10多年來，國內(nèi)一些領先的科研院所和企業(yè)已經(jīng)基于標準要求開展了很多工作，并積累了一定的經(jīng)驗。因此，基于國內(nèi)目前已有的功能安全評估、功能安全設計、功能安全測試和功能安全管理實踐形成本文件，以更好地指導功能安全相關系統(tǒng)的運行維護。GB/T41295擬制定4個部分： 第1部分：危害辨識和需求分析。目的在于確立功能安全系統(tǒng)設計初期的危害辨識內(nèi)容和需求如何產(chǎn)生的方法；——第2部分：設計和實現(xiàn)。目的在于確立功能安全系統(tǒng)的軟硬件設計和實現(xiàn)方法和實施指南；——第3部分：測試驗證。目的在于確立功能安全系統(tǒng)在生命周期過程各個階段的測試導則和測試方法解讀；——第4部分：管理和維護。目的在于確立功能安全系統(tǒng)管理和維護過程的導則。1功能安全應用指南第4部分：管理和維護本文件確立了功能安全系統(tǒng)實現(xiàn)相應安全完整性等級的安全管理和維護活動，包括文檔、人員、變更管理，以及維護過程的檢驗測試等。本文件適用于從功能安全系統(tǒng)安裝、試運行到正常運行過程中的相關管理和維護活動。2規(guī)范性引用文件下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應的版本適用于本文件；不注日期的引用文件，其最新版本(包括所有的修改單)適用于GB/T20438.4—2017電氣/電子/可編程電子安全相關系統(tǒng)的功能安全第4部分：定義和縮略語3術語和定義GB/T20438.4—2017界定的以及下列術語和定義適用于本文件。功能安全系統(tǒng)functionalsafetysystem執(zhí)行安全相關功能的系統(tǒng)，具有功能安全相關的特性，滿足特定的安全完整性等級(SIL)。注：這里的系統(tǒng)是一個廣義的概念，包含不同的層次，如安全部件、安全設備或安全控制系統(tǒng)等。在實際的工業(yè)過程中，功能安全系統(tǒng)可能是一個變送器、繼電器、安全可編程序控制器或安全儀表系統(tǒng)。功能安全系統(tǒng)研發(fā)團隊teamforfunctionalsafetysystemresearchanddevelopment執(zhí)行功能安全系統(tǒng)設計研發(fā)的責任主體。注：包括功能安全系統(tǒng)硬件開發(fā)人員、軟件開發(fā)人員、驗證測試人員、安全管理人員等。功能安全系統(tǒng)維護團隊teamforfunctionalsafetysystemmaintenance執(zhí)行功能安全系統(tǒng)運行維護的責任主體。注：包括對功能安全系統(tǒng)的檢驗測試人員、變更管理人員、日常巡檢人員、配件更換人員等。離線測試offlinetest在受控設備處于安全狀態(tài)的情況下，開展的測試活動。4縮略語下列縮略語適用于本文件。2HAZOP:危險與可操作性(HazardandOperability)HMI:人機接口(HumanMachineInterface)LOPA:保護層分析(LayerOfProtectionAnalysis)PFDavg:要求時危險失效平均概率(AverageProbabilityofDangerousFailureonDemand)PFH:危險失效平均頻率(AverageFrequencyofDangerousFailurePerHour)SIL:安全完整性等級(SafetyIntegrityLevel)SRS:安全要求規(guī)范(SafetyRequirementSpecification)5總則5.1從事功能安全系統(tǒng)安裝、試運行和正式運行的組織需考慮建立功能安全管理體系，以保證在實施相關工作過程中要求的安全完整性能力得以保持。5.2功能安全管理體系可與已經(jīng)建立的安全/環(huán)保管理或質(zhì)量管理體系相結(jié)合，協(xié)同實施。6文檔方面6.1在執(zhí)行安裝、試運行和維護之前，需考慮已經(jīng)獲得了足夠支持后續(xù)安全管理的所有文件和規(guī)范，包括但不限于：——危險與風險分析報告(如HAZOP分析報告);——安全完整性等級確定報告(如LOPA分析報告);——所有安全相關系統(tǒng)的安全手冊和用戶手冊；——整個裝置或工藝的安全要求規(guī)范(SRS);——系統(tǒng)安全集成報告；——系統(tǒng)工廠驗收測試報告；——項目宜符合的安全相關標準或國家法律法規(guī)[如GB/T20438(所有部分),GB/T21109(所有部分)等]。6.2編制安裝、試運行和維護工作計劃，完成工作之后需要形成技術報告。6.3相關文檔妥善保存便于功能安全審計和功能安全評估時查閱，文檔在特定的安全相關系統(tǒng)停用之后可不再保存。7.1執(zhí)行功能安全系統(tǒng)運行維護的人員，在上崗前需經(jīng)過獨立的第三方功能安全培訓，培訓內(nèi)容宜涵蓋GB/T20438(所有部分)、GB/T21109(所有部分)和本文件的相關內(nèi)容。7.2需考慮對負責開展活動的所有人員、部門和組織(包括對驗證和功能安全評估負責的人員，以及相關的批準權(quán)威機構(gòu)或安全法規(guī)機構(gòu))進行識別，并完整清楚地告知其責任。7.3清楚的定義出每個人員從事安全活動的范圍、職責、應具備的能力(即培訓、技術知識、經(jīng)驗和資格)和限制條件等。7.4需考慮對執(zhí)行特定功能安全活動的人員能力進行規(guī)定和限制，包括：——所有人員經(jīng)過專業(yè)機構(gòu)的功能安全培訓，具備從事功能安全活動的資質(zhì)；——團隊負責人具備相關項目的經(jīng)驗，并對功能安全標準和技術具有深入理解；——所有人員經(jīng)過定期的培訓，以獲知最新的功能安全標準和技術進展。7.5不同崗位的人員之間宜建立適當?shù)臏贤ń涣鳈C制。38變更管理和配置管理8.1需保證采用了適當?shù)呐渲霉芾砗妥兏刂埔?guī)程。8.2構(gòu)建符合特定項目要求的配置項，配置項宜涵蓋可能影響安全完整性等級的所有軟硬件實體和文檔。8.3需保證發(fā)生變更時要求的安全完整性得以持續(xù)滿足，這包括針對變更執(zhí)行影響分析和開發(fā)適當?shù)臏y試計劃。8.4需保證一個適當?shù)淖兏鷾蕶C制存在并且不會執(zhí)行非授權(quán)的變更。8.5配置管理系統(tǒng)需保證所有配置項的配置狀態(tài)和版本得以識別。8.6宜使用一套規(guī)范化的系統(tǒng)，保證配置下的所有項目都能單獨得以識別。9運行和維護過程的安全管理9.1總則功能安全維護管理的核心目標是保證功能安全系統(tǒng)在現(xiàn)場運行過程中要求的SIL能力不會降低，導致SIL能力降低的原因可能包括：a)由于人為的安裝、試運行不當，導致功能安全系統(tǒng)從運行開始就存在潛在的缺陷，無法實現(xiàn)預期的所有安全功能(系統(tǒng)性能力不滿足);b)由于人為的維護活動不當，導致沒有按照系統(tǒng)的要求執(zhí)行故障處理和維修更換等；c)系統(tǒng)的硬件(包括數(shù)據(jù)傳輸和軟錯誤)由于環(huán)境或人為因素導致比預期的失效率高(硬件安全完整性不滿足);d)維護過程中沒有執(zhí)行適當?shù)臋z驗測試，包括檢驗測試周期過長或檢驗測試的內(nèi)容不充分。a)和b)的內(nèi)容需要使用適當?shù)墓δ馨踩芾砗瓦\行前驗收測試來保證，為避免c)和d)的發(fā)生需要考慮9.2～9.4的內(nèi)容。9.2運行過程的在線安全分析9.2.1考慮在維護過程中開展對功能安全系統(tǒng)的現(xiàn)場失效分析和在線安全管理。9.2.2在功能安全系統(tǒng)運行過程中，現(xiàn)場運維人員需要對功能安全系統(tǒng)出現(xiàn)的故障情況進行記錄。9.2.3宜采用專用記錄工具進行自動化的故障統(tǒng)計。自動化的記錄工具可實現(xiàn)對功能安全系統(tǒng)各個組件故障信息通過通信網(wǎng)絡自動獲取、匯總、分類和顯示。9.2.4基于故障收集的情況，對所有的故障記錄需要進行定性和定量分析，確定這些故障的出現(xiàn)是否超出系統(tǒng)的預期運行目標、規(guī)則或失效率。設備失效模式及數(shù)據(jù)采集方法可見GB/T20172—2006、GB28526—2012、GB/T9.2.5對于關鍵的安全功能回路需要考慮采用專用的安全特性在線分析工具。在線分析工具可與記錄工具可以成套使用。安全特性在線分析工具至少具備安全回路設備狀態(tài)監(jiān)測、實時故障預警、要求率分析和風險動態(tài)評價等功能。9.2.6當故障分析結(jié)論為功能安全系統(tǒng)當前的運行狀態(tài)與安全要求規(guī)范、系統(tǒng)用戶手冊和安全手冊中規(guī)定的不符時，宜采取適當?shù)拇胧ο到y(tǒng)進行修改，可選的措施包括：——更換故障率高的組件，并排查導致故障率升高的原因，保證從根源上避免故障發(fā)生；——調(diào)整內(nèi)部的管理措施，加強人工的巡檢和維護；——重新開展一次完整的危險與風險分析和安全完整性確定評估，提出新的安全防護需求。49.3檢驗測試9.3.1.1實際開展的檢驗測試的時間間隔不超過PFDavg或PFH計算中規(guī)定的間隔時間，如采用更長的間隔時間，重新開展適當?shù)腜FDavg或PFH計算，以證明符合要求的SIL。9.3.1.2實際開展的檢驗測試達到的測試覆蓋率不小于PFDavg或PFH計算中假設的測試覆蓋率。9.3.1.3執(zhí)行檢驗測試的人員需經(jīng)過培訓，對功能安全系統(tǒng)及現(xiàn)場工藝等都有足夠的認識。9.3.1.4執(zhí)行檢驗測試的工具需考慮經(jīng)過定期的校核，以保證測量精度和溯源性。9.3.1.5制定檢驗測試計劃，在完成測試后編制檢驗測試報告。9.3.1.6理論上，檢驗測試可在線或離線開展，具體選用何種方式取決于具體的工藝要求、生產(chǎn)要求和功能安全系統(tǒng)特性。9.3.1.7宜采用自動化的工具對檢驗測試的執(zhí)行情況進行記錄和動態(tài)分析，并基于測試要求提出改進措施。9.3.2離線測試時間9.3.2.1最常用的用于揭露導致安全功能喪失功能的失效或故障的安全功能測試是離線功能測試。執(zhí)行該測試時，受控設備處于停產(chǎn)的狀態(tài)，可對安全功能的所有特征進行確認。該測試的主要目的是檢測安全功能中危險未被揭露的故障。9.3.2.2對安全相關系統(tǒng)中的每個安全功能進行辨識。與每個安全功能相關的所有輸入、輸出和邏輯均得到辨識。測試規(guī)范需要考慮定義如何對每個安全功能進行確認。對所有執(zhí)行測試的必要設備進行辨識，并驗證其是否適應于該測試，包括具有可追溯特性的校準設備。9.3.2.3考慮以下因素以確定離線測試的時間間隔：——測試間隔由對安全功能的性能計算確定；——當邏輯發(fā)生變更，對安全功能產(chǎn)生影響的時候；——當過程或設備由于計劃的維護活動停止工作；——公司關于對安全功能進行完整測試的政策；——在功能安全系統(tǒng)長時間停機之后。9.3.2.4在執(zhí)行修改(改變下述中的任何一項)之前，執(zhí)行相應的審查以保證變更不會降低防護等級，并需要執(zhí)行適當?shù)臏y試以確認修改后的安全功能仍正常運行，改變包括：——一個基于原始設計意圖的安全保護層的性能；——結(jié)構(gòu)的材料；——運行模式；——運行的規(guī)程；——報警和聯(lián)鎖設置；——響應速度；——測試間隔或方法；——設備類型，除非是同型更換；——架構(gòu)或表決邏輯；——診斷。9.3.3傳感器子系統(tǒng)的離線測試9.3.3.1開關在正常工作過程中，狀態(tài)不經(jīng)常發(fā)生改變，為確認其功能的有效性，需考慮周期性進行離5線測試，測試周期提前給予確定。9.3.3.2變送器能夠提供如超范圍高/低診斷和超出控制范圍顯示，故根據(jù)變送器的診斷功能酌情降低對變送器的測試頻率。9.3.3.3輸入設備的校準穩(wěn)定性可能要求其測試頻率要低于完整的安全功能?？紤]設備會由于環(huán)境改變(如溫度)而漂移，可能要求更加頻繁的測試和校準，以保證正確的過程變量輸入到安全功能。時漂大或者工作環(huán)境比較惡劣的變送器，需考慮增加其測試頻率。9.3.3.4組件的冗余可能會影響測試頻率。如果冗余變送器有輸出監(jiān)視，并且彼此比較，一致則意味著對測量量不需要頻繁的測試或校準。如果輸出漂移分離，表示需要對所有冗余組件進行測試和校準。9.3.3.5對危險條件檢測的多樣性是一種在不增加冗余組件的情況下提高安全功能的可用性。例如，對于壓力的測量可以通過對工藝過程條件的溫度測量來表示。通過對溫度、壓力值與預計的熱力學數(shù)據(jù)進行比較，對過程測量的有效性進行診斷，降低要求的測試間隔。9.3.3.6對于特定傳感器和服務的用戶經(jīng)驗可用于確定設備的測試頻率，以保證傳感器的性能。9.3.4邏輯控制子系統(tǒng)的離線測試9.3.4.1當對邏輯解算器進行變更之后，對這些變更的潛在影響進行評估以確定需要對多少安全功能進行測試。如果程序的變更可以與某些區(qū)域明確隔離開，并且可以明確地證明變更不會影響邏輯解算器中執(zhí)行的其他邏輯，僅有該區(qū)域需要被完全測試(完整功能測試)。這可應用各種技術的邏輯解算器，包括機電繼電器、固態(tài)繼電器、氣動或可編程電子。9.3.4.2診斷功能作為邏輯解算器的外部診斷，宜對其采用與邏輯解算器同樣的頻率進行測試。9.3.4.3宜對邏輯解算器的功能方面特性按照計劃進行驗證，根據(jù)與過程相關的風險情況、邏輯的復雜性和公司使用該邏輯解算器的經(jīng)驗，確定測試頻率從一年到幾年。9.3.5最終執(zhí)行單元子系統(tǒng)的離線測試9.3.5.1當執(zhí)行全系統(tǒng)功能測試的時候，需要對最終執(zhí)行組件(如閥門)進行測試。測試頻率宜根據(jù)安全功能計算中的性能情況進行。每當過程停止工作之后，都宜對最終執(zhí)行組件進行測試。9.3.5.2作為最終執(zhí)行組件的測試頻率取決于很多因素：——作為最終執(zhí)行組件的類型；——作為正常運行的使用還是當安全功能動作后作為一個備用組件；——最終執(zhí)行組件的性能要求，如閥門是需要提供最小的泄漏隔離還是泄漏可以容忍。9.3.5.3當測試最終執(zhí)行組件的時候，附件如閥門定位器、限位顯示器/傳感器、空氣壓力器等宜與最終執(zhí)行器按照同等頻率測試。9.3.6人機接口的離線測試對人機接口(HMI)按照與安全功能同等的頻率進行測試。當對HMI中的信息顯示進行變更時，對變更進行測試以確認顯示的正確狀態(tài)。如果HMI用于初始化安全功能邏輯，所有與初始化相關的設備都應該進行測試，包括HMI、輸出電路和最終執(zhí)行組件。9.3.7安全通信的離線測試對于在安全功能采用安全通信總線進行數(shù)據(jù)交換時，對通信采用與安全功能同等的頻率進行測試。當開展對安全功能的全功能測試時，測試包括到所有其他設備的通信，如到基本過程控制系統(tǒng)的通信。當在安全功能和任何其他設備之間發(fā)生通信連接變更時，確認對正確的信息進行了傳遞。69.4在線測試9.4.1在線測試可保證工藝的連續(xù)性，但需要考慮到可能產(chǎn)