FUnCtiOnaI Safety Of Safety instrumented SyStem in oil and gas PiPelineS —ASSeSSment COde

中华人民共和国国家质量监督检验检疫总局笼布中国国家标准化管理委员会发布

本标准由全国工业过程测量控制和自动化标准化技术委员会（SAC/TC 124）归口。

本标准主要起草单位:机械工业仪器仪表综合技术经济研究所、中国石油天然气股份有限公司管道分公司、中国石油天然气管道工程有限公司、上海黑马安全自动化系统有限公司、北京市劳动保护科学研究所、深圳市华测检测技术股份有限公司、杭州和利时自动化有限公司、横河电机（中国）有限公司、 ABB（中国）有限公司、中国石油北京油气调控中心、中国石油化工集团公司安全环保局、中国石油化工集团公司管道局、中国石油北京天然气管道有限公司。

本标准主要起草人:孟邹清、史学玲、程德发、李秋娟、刘瑶、史威、安本、王怀义、聂中文、顾峥、冯禄、李官政、朱平、张建国、靳江红、黄劲松、冯晓升、王海青、帅冰、徐皑冬、祁国成、寇建朝、高安东、李国海、相桂生、董秀娟、钱大涛、王毅、姚志强、杨全博、马欣欣、季俊、熊文泽、王春喜、王德吉。

安全仪表系统在20世纪80〜90年代发展起来，以其高可靠性、安全性和灵活性在油气管道领域内得到了广泛应用,是保障油气管道生产安全的重要措施。安全仪表系统用于执行安全仪表功能，以保证运行过程在出现危险情况时进入安全状态,避免或减少对人员、环境、设备造成的危害。因此对安全仪表系统实现的功能安全和安全完整性进行评估十分重要。

目前国际上已发布了相关的功能安全基础标准IEC 61508及针对过程工业的功能安全应用标准 IEC 61511,我国已将其转化成GB/T 20438«电气/电子/可编程电子安全相关系统的功能安全》和 GB/T 21109«过程工业领域安全仪表系统的功能安全》。

《油气管道安全仪表系统的功能安全》系列标准是GB/T 20438和GB/T 21109在油气管道领域的应用规范。其目的在于规范油气管道领域内安全仪表系统评估、验收等活动的技术要求、管理要求和应用原则,促进安全仪表系统在油气管道领域内应用和管理的规范化,确保油气管道系统安全可靠运行。

本标准的目的在于指导和规范油气管道领域安全仪表系统的功能安全评估活动。

油气管道安全仪表系统的功能安全评估规范

本标准规定了油气管道安全仪表系统的功能安全评估人员和组织资质要求、评估活动的管理和职责、执行功能安全评估活动的周期和阶段、各阶段评估活动的范围、流程、依据以及文档要求。

本标准适用于新建及改扩建的陆上石油天然气长输管道输送、储存系统中安全仪表系统的功能安全评估。

下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件,仅注日期的版本适用于本文件。凡是不注日期的引用文件,其最新版本（包括所有的修改单）适用于本文件。

•GB/T 20438（所有部分）电气/电子/可编程电子安全相关系统的功能安全

对执行安全功能有影响的组件和/或子系统和/或系统的失效,其：

a）在要求时阻止安全功能的执行（要求模式），或导致安全功能失效（连续模式）以致EUC进入危险或潜在危险的状态。

对于执行安全功能有影响的组件和/或子系统和/或系统的失效,其：

a）导致安全功能的误动作从而使EUC（或其一部分）进入或保持安全状态;或

b）增加安全功能的误动作从而使EUC（或其一部分）进入或保持安全状态的概率。

通过自动在线诊断测试检测到的危险失效分数。危险失效分数是由检测到的危险失效率除以总危险失效率计算出的。

在出现故障或误差的情况下,功能单元继续执行要求功能的能力。

一个部件或子系统在有一个或几个硬件危险故障的情况下,仍能继续承担所要求的安全仪表功能的能力。

注：如硬件故障裕度为1,意味着有两台设备,且其结构会使得两个部件或子系统的任何一个的危险失效都不能阻止安全动作发生。

与过程和BPCS有关的整体安全的组成部分,它取决于SlS和其他保护层的正确功能执行。

基于证据的调查，以判定由一个或多个保护层所实现的功能安全。

安全相关系统安全完整性中，与危险失效模式下的随机硬件失效有关的部分。

注：本术语涉及在危险模式下的失效，即，将削弱其安全完整性的安全相关系统的这类失效。与本术语有关的两个参数是危险失效平均频率和在要求时动作失效的概率。当为保持安全而必须保持连续控制时,使用前一可靠性参数,在安全相关保护系统场合中使用后一可靠性参数。

周期性测试,用以检测安全相关系统中危险的隐性失效,在必要时通过维修,把系统复原到“新的” 状态或实际上接近这种状态。

注1：在本标准中使用“检验测试”,但要注意到同义的术语“周期性测试”。

注2：检验测试的有效性取决于失效覆盖和维修的有效性。在实践中除了低复杂E/E/PE安全相关系统外,100⅝ 的隐性失效的检测很难达到。这应该是目标。至少,所有要执行的安全功能应按E/E/PE安全相关系统安全要求规格书进行检査。如果使用分离通道,则对每个通道分别进行检验测试_Ci对于复杂的组件,进行分析，以证明在E/E/PE安全相关系统整体生命周期期间,未被检验测试检测出的隐性危险失效概率可忽略不计。

注3：检验测试需要一定时间完成。在此时间内E/E/PE安全相关系统可能被部分或全部限制。在测试过程中，仅当EUC已停机或E/E/PE安全相关系统仍能保持在要求时的动作能力，检验测试持续时间可忽略不计。

注4：在检验测试期间,E∕E∕PE安全相关系统可能部分或全部不能响应动作要求。仅在维修时EUC已停机或使用其他等效的风险措施来代替时，MTTR对于SlL的计算可以忽略。

注：它可能是装危险化学物品的压力容器的容量这样的一个过程工程机制，也可能是一个安全阀这样的机械工程机制,或者一个安全仪表系统,或者是应对紧急危险的一个应急计划这样的管理规程。可以自动启动或手动启动这些响应机制。

部件和子系统之前在类似应用和实际环境中的使用（见GB/T 21109.1-2007的11.5中的“以往使用”）。

评估文档记录有适当证据表明：基于部件以往使用的情况，该部件适用于安全仪表系统时（见 GB/T 21109.1—2007 的 11.5 中的“以往使用"）。

在硬件中，由一种或几种可能的退化机理而产生的,在随机时间出现的失效。

注L在各种元件中,存在以不同速率发生的许多退化机理,在这些元件工作不同的时间之后,这些机理可使制造公差引起元件发生故障,从而使包含许多元件的设备将以可预见的速率,但在不可预见的时间（即随机时间）发生失效•

注2：随机硬件失效和系统性失效（见IEC 61508-4：2010的3.6.6）的主要区别是由随机硬件失效导致的系统失效率（或其他合适的度量）可以用合理的精度来量化,但系统性失效无法精确预计，因此系统性失效引起的系统失效率则不能精确地用统计法量化。也就是说，由随机硬件失效引起的系统失效率可以用合理的精度来量化，但是由系统性失效引起的系统失效率不能精确地用统计法量化，因为导致系统性失效的这些事件无法简单预测。

对于执行一个要求的功能或对于表示信息而言,存在多于一种的方法。

注1：冗余主要用于提高可靠性（在给定时间范围内功能正确的概率）或可用性（在特定时间点具有功能的概率）。也可通过像2oo3这样的架构来使误动作最小化。

注3：冗余可能是“活动的（hot Or active）^,,（所有冗余项同时运行）、“待机的（COld Or _Stand-by）^w（在同一时间只有一个冗余项运行）、“混合的（miXed）”（在同一时间一个或几个项运行和一个或几个项待机）。

导致安全失效或者可检测岀的危险失效的装置总硬件随机失效率分数。

针对特定的危险事件,为达到或保持过程的安全状态，由SIS、其他技术安全相关系统或外部风险降低设施实现的功能。

具有某个特定SlL的,用以达到功能安全的安全功能，它既可以是一个安全仪表保护功能,也可以是一个安全仪表控制功能。

用来实现一个或几个安全仪表功能的仪表系统。SIS可以由传感器、逻辑控制器和执行器的任何组合组成。

安全相关系统顶层架构设计的实体,子系统的危险失效导致安全功能的危险失效。此处的危险失

根据设计相互联系的一组元素；系统的一个元素可以是称为子系统的另一系统,该子系统可以是一个主控系统,也可以是一个受控系统,它可能包含硬件、软件和人的交互作用。

注2：系统包括传感器、逻辑控制器、最终元件、通信和附属于SIS的辅助设备（如：电缆、管道系统和电源）。

仅当要求时才执行将EUC导入规定安全状态的安全功能,并且要求的频率不大于每年一次。

注：E/E/PE安全相关系统只在要求时才对EUC或EUC控制系统产生影响。如果E/E/PE安全相关系统不能执行安全功能,则可能使EUC进入安全状态。

将EUC导入规定安全状态的安全功能仅当要求时才执行,并且要求的频率大于每年一次。

安全仪表系统在规定时段内、在所有规定条件下满足执行要求的安全仪表功能的平均概率。

用来规定分配给安全仪表系统的安全仪表功能的安全完整性要求的离散等级（4个等级中的一个)。SIL 4是安全完整性的最高等级,SILl为最低等级。

从项目概念阶段开始到所有的安全仪表功能不再适用时为止所发生的、包含在安全仪表功能实现中的必要活动。

包含安全仪表系统应执行的安全仪表功能的所有要求的规格书。

为了声明符合本标准各评估节点要求,应满足第5章〜第9章中列出的相应要求,从而达到了各章的目的。

521.1功能安全评估应贯穿于整个安全生命周期。根据GB/T 21109,以及油气管道安全仪表系统安全生命周期活动(见图D ,应在以下节点执行功能安全评估活动：

——节点1：SIS安全要求评估。应在已执行危险和风险评估、已确定要求的保护层和已制定安全要求规格书之后，即油气管道安全仪表系统安全生命周期活动1〜4完成之后进行,见第6章;

——节点2：SIS设计评估。应在安全仪表系统设计完成之后，即油气管道安全仪表系统安全生命周期活动5完成之后进行,见第7章；

——节点3：SlS投产前评估。应在完成安全仪表系统集成、现场施工、人员培训、工厂验收测试 (FAT)、安装、调试、现场验收测试(SAT),以及制定好操作和维护规程之后，即油气管道安全仪表系统安全生命周期活动6〜∏完成之后进行,见第8章；

——节点4：功能安全复审。应在取得操作和维护经验之后,或者在对安全仪表系统进行修改之后和退役之前，即油气管道安全仪表系统安全生命周期活动14〜15完成之后或活动17之前进行,见第9章。

项目

阶段

生命周期

活动输出

I------1

J执行元件选型I

I 及配置 I

I______I

I------1

I检测元件选型I

∏ 及配置I

I______I

施

工阶段

图1油气管道安全仪表系统功能安全评估节点图

1概念设计文件

2初步设计文件

3危险分析与风险评估报告

4安全要求规格书

5.1 SIS功能设计规格书

5.2检测元件技术规格书

5.3执行元件技术规格书

6现场施工记录及测试报告

7系统集成文件

8.1人员培训记录

8.2操作和维护手册

9工厂验收测试文件

项目

阶段

生命周期

活动输出

返回到相应阶段

通过

投入

运行

10安装和调试记录

11现场验收测试文件

12 SlS投产前评估报告

13竣工验收报告

14操作/维护/测试记录

15.1变更影响分析

15.2变更的批准

16功能安全复审报告

17.1停用影响分析

17.2停用的批准

5.2.1.4对于已开展过功能安全评估的同类型站场可参考采用评估结论,但应做差异分析,并对差异部分进行评估。

5.2.L5对于改、扩建项目应按照安全生命周期各节点执行功能安全评估活动,对于简单变更参照第9 章功能安全复审要求执行。

5.2.2.1功能安全评估组成员应是独立的,独立性水平应满足GB/T 20438的要求,项目设计的人员或项目组其他相关人员应该配合评估组参与评估活动。

5.2.2.2评估组成员应了解功能安全基础标准GB/T 20438和过程工业领域的应用标准GB/T 21109, 并经过培训和考核,取得相应证书。

5.2.2,3评估组成员应具备石油天然气管道工程相关经验及相关法律法规知识，以确保评估结果的合理可信。

注：评估组只需要满足5.2.2.1要求,并包括了分别满足5.2.2.2、5.2.2.3、5.2.2.4要求的人员，即可声明符合5.2.2,而不需要评估组每一成员都同时满足522.2、5.2.2.3、5.2.2.4要求。

5.2.2.5对压气站、储气库、输油首站、储油库、输油泵站、输油热站等工艺系统相对复杂的站场,其安全仪表系统开展功能安全评估的高级资质人员人数应不少于总数的三分之二。

应由具有资质的机构在其资质证书认可的业务范围内从事功能安全评估活动。

5.2.4.1评估组织方应成立评估组,并明确各成员的职责和独立性要求。

5.2.4.2执行功能安全评估活动的人员或机构应满足5.2.2、5.2.3的要求。

——需要执行功能安全评估活动的生命周期阶段，即功能安全评估的范围；

5.2.4.4在整个安全生命周期当中，功能安全评估计划应不断地更新和维护。任何的设备或系统变更都可能需要附加的功能安全评估活动，以确定是否会产生新的危险。

5.2.4.5在进行功能安全评估之前,功能安全评估计划应得到评估组织方的同意。

5.2.4.6评估组应根据功能安全评估计划进行功能安全评估管理和开展功能安全评估活动。

5.2.4.7评估组织方应向评估组提供安全仪表系统的所有相关信息，包括先前执行的功能安全评估的结果、通过该评估提出的建议以及相应的整改报告。

5.2.4.9评估结束后,评估组应提供评估报告,评估组织方应对此报告进行审查。

5.2.4.10评估组织方应对评估建议的实现进程进行跟踪。在建议的问题解决后,应进行确认。

5.2.4.11评估结果仅对评估期间的SlS现状有效,一旦SIS作出任何变更,则先前的评估结果不再有效,但可作为下次功能安全评估活动的参考。

5.2.4.12用于SlS开发、安装、调试、测试、维护的设备工具、材料的性能和质量,应符合相应的SIS功能安全要求。

审查并判断安全仪表系统的安全要求规格书的制定、安全功能的提出以及安全完整性等级的确定过程是否达到功能安全。

622评估的基础依据包括:危险分析与风险评估报告、安全要求分配报告、安全要求规格书。必要情况下,还应包括以上各活动的相关程序文档，以及分析报告中记录的分析和引用资料。

注1：有些时候,这些报告的名字并不固定如上,且文件形式也并不单一。如:采用HAZOP分析方法开展危险分析与风险评估,则该报告可为HAZOP分析报告。

注2：应考虑油气管道自身特点，如:距离远,线路长、环境复杂,要注意外部环境及自然灾害可能造成的影响。

——所需的安全功能清单和每个安全功能的安全完整性等级（SIL）；

——每个需要SlF的潜在危险事件及其事件链（如原因、发展和终端事件）；

——过程公共原因需要考虑的事项（如腐蚀、堵塞、涂层破损等）；

63.1.1安全要求规格书应包括安全功能要求和安全完整性要求两方面的内容。安全要求规格书可以是一套文件或资料。

6.3.1.2安全要求规格书中对于SlS要求的表述应清楚、精确、可验证、可维护和可行,且易于被在生命周期任何阶段有可能使用这些信息的人理解。

——达到要求的功能安全所必需的所有安全仪表功能的描述；

——过程输入输出的功能关系，包括逻辑、数学功能及所需的许可;

6.3.2.2开展危险分析与风险评估的过程应符合国家、行业或企业相关标准、规范要求,包括:分析评估资质、组织管理、实施流程、文档化和发布签署等。

6.3.2.3应已评估工艺、设备、设施、人员等方面所有合理可预见的情况,包括故障状况、误用、人员误操作、异常的EUC运行模式等。

6.3.2.4应已明确所有辨识出的合理可预见情况下,受控设备的危险和危险事件。

6.3.2.5应已明确导致已确定的危险和危险事件发生的事件顺序。

6.3.2.6应已评估已确定的危险事件的发生频率（或频率等级），频率或频率等级的定义和选择应符合国家、行业或企业相关标准、规范要求,并具有可信的来源。

6.3.2.7应已评估已确定的危险事件后果的严重性程度，后果及其严重性等级的定义和选择应符合国家、行业或企业相关标准、规范要求,并具有可信的来源。

6.3.2.8应已评估与已确定的危险和危险事件相关的事故风险,风险分级准则应符合国家、行业或企业相关标准、规范要求。

6.3.2.9应依据明确的风险可接受准则开展分析评估,该准则应符合国家、行业或企业相关标准、规范要求。

6.3.2.10对提出的降低或消除危险和风险的措施,应有明确的实施和追踪的负责人。

6.3.2.11应已详细记录6.3.2.1^6,3.2.10各项活动所分析及引用的资料的名称及版本号。

6.3.2.12应已详细记录6.3.2.1-6.3.2.10各项活动内容,形成文档,并由相关责任人签署。

6.3.3.2安全要求分配应包括了安全功能要求分配和安全完整性要求分配。

6.3∙3.3开展安全要求分配的过程应符合国家、行业或企业相关标准、规范要求,包括:分析评估资质、组织管理、实施流程、文档化和发布签署等。

6.3.3.4应明确定义用于预防、控制或减轻来自过程及其相关装置危险的保护层及其安全功能,包括由安全仪表系统执行的安全仪表功能(SIF) _O

6.3.3.5应已评估并识别各保护层之间的相关性和独立性,如SIS与BPCS之间、SIS与其他保护层之间存在的潜在的共因失效。

6.3.3∙6应已评估并识别各保护层与触发事件或原因之间的相关性和独立性，如SlS与触发事件或原因之间存在的潜在的共因失效。

6.3.3.7应已评估并记录已确定的独立保护层的风险降低能力，各保护层风险降低能力的定义和选择应符合国家、行业或企业相关标准、规范要求,并具有可信的来源。

6.3.3.8应已分析并规范记录被定义SlF的安全功能要求和安全完整性要求的信息。

6.3.3.9应已分析并规定各SlF最大可接受误动作率要求(如果需要)_O

6.3.3.10应已分析并识别单个或多个SlF动作可能带来的附加危害。

633.11应已分析并识别各SlF是励磁触发还是非励磁触发,如果为励磁触发,应审查失电对安全运行的影响。

6.3312应已分析并识别各SIF运行可能需要的其他辅助设备或设施,如气动阀供气系统,并审查其失效对安全运行的影响。

6.3.3.13应已详细记录6.3.3.1-6.3.3.12各项活动中所分析及引用的资料的名称及版本号。

633.14应已详细记录6.3.3.1-6.3.3.12各项活动内容,形成文档,并由相关责任人签署。

应列出评估项目所引用的法律法规、技术规范和标准、基础技术资料名称等相关信息。

应明确描述评估工作过程,包括评估程序、工作进度、参加人员等，可用图、表、文字描述等方式表述。

应根据6.3中所述内容的评判结果,给出对站场工艺、设备等的危险与风险分析结论、安全仪表功能的完整性结论、SlS安全要求的完整性结论等,并指出存在的问题,提出有针对性的建议。

应给出评估工作过程中生成的调研表、分析记录表等。样表参见附录A_o

应明确评估过程中所用软件、测试等辅助工具的名称、型号、软件版本号、出品公司、功能说明以及在本项目中的使用情况。

应给出评估工作所依据的必要资料,如分析图纸、评估准则来源、分析评估假设及来源等。

审查并判断安全仪表系统的设计是否符合安全要求规格书以达到功能安全。

若同时执行安全仪表功能和非安全仪表功能时,无论正常或故障状态,任何对于安全仪表功能有不利影响的部分都应该被当作评估的一部分考虑进来,并应符合SlF要求的最高SlL要求。

应评估SlS相对于BPCS的独立性，除非特殊情况,应尽量保持充分的独立性。在非完全独立情况下,应从工艺过程特性、设备性能、操作和维护规程等方面进行深入评估O

应评估SIS可测试性是否符合功能安全要求规格书要求。对于7.3.4〜7.3.6,需要在线测试和可能产生报警的系统,应考虑到旁路设施。

为了保证SIL在实施中的实现,应考虑人的能力和限制;应审查SlS的设计是否适合于分派给操作员和维护人员的任务。所有的人-机接口设计应遵循良好的人员操作惯例,并适合操作员可接受的培训或认知水平。

7.3.8.1应对构成安全仪表功能回路的每一部分评估硬件故障裕度;通常一个安全仪表功能回路由传感器、逻辑控制器和执行器三部分组成;每一部分都应符合最低硬件故障裕度的要求。PE逻辑控制器的最低硬件故障裕度要求见表2,除PE逻辑控制器外的所有子系统(如传感器、执行器和非PE逻辑控制器)的最低硬件故障裕度要求见表3₀

7.3.8.2对于主导失效模式不是安全失效,且危险失效不能被诊断测试检测的传感器、执行器和非PE 逻辑控制器,其最低硬件故障裕度应增加1。

7.3.8.3当使用的设备符合所有下列各项时，表3中规定的除PE逻辑控制器外所有子系统（如传感器、执行器和非PE逻辑控制器）的最低硬件故障裕度可减少L

a）所选择的设备硬件符合以往使用的原则；应有优良使用记录；

b）设备只允许调整过程参数;如测量范围、上限或下限失效指示；

对于硬件故障裕度大于O的任何子系统,应评估其检测到危险故障时（利用诊断测试、检验测试或任何其他办法）是否可导致:

b）在修复故障的同时继续过程的安全运行。如果故障的修复不能在计算硬件随机失效概率中假设的平均恢复时间（MTTR）内完成，则应产生一个规定的动作以达到或保持某个安全状态。

对于无冗余、被安全仪表功能完全依赖且仅按要求模式实现安全仪表功能的子系统,应评估其检测到危险故障时（利用诊断测试、检验测试或任何其他办法）是否可导致：

b）在计算硬件随机失效概率中假定的平均恢复时间（MTTR）时段内修复故障子系统。在这段时期应由附加的措施和约束保证过程持续安全。这些措施和约束提供的风险降低,应等于无任何故障时的仪表安全系统所提供的风险降低。在SIS操作和维护程序中应规定这些附加措施和约束。如果不能保证在规定的平均恢复时间（MTTR）内完成修复,则应执行一个规定动作以达到或保持某个安全状态。

对于无冗余、被安全仪表功能完全依赖且按连续模式实现安全仪表功能的子系统,应评估其检测到危险故障时（利用诊断测试、检验测试或任何其他办法）是否可导致一个规定动作，以达到或保持某种安全状态。

7.3.10.1对于SlL I-SIL 3的应用而言,应评估是否选用了符合相应SlL等级要求的部件或子系统。注：其中对于依据以往使用原则选择的部件和子系统,评估是否证明了其对于该安全仪表系统的适应性，包括以下几个方面：

7.3.10.2应评估是否选用了符合SlS安全要求规格书的部件或子系统。

——在预定的过程停机时间间隔（即通常所说的大修时间间隔）大于检验测试间隔的情况下,需要在线测试；

——当要求在线检验测试时,测试设施应是用来测试未检测到的失效的SIS设计的整个部分；

7.3.12.1在低要求运行模式下运行的安全仪表功能,应使用在要求时执行其设计功能的平均失效概率（PFD）来表示目标失效量,如表4所示（参见GB/T 21109.1-2007,表2）。应对每个SIF分别评估其 PFD,每个SlF的PFD应小于或等于安全要求规格书中所规定的目标失效量。

7.3.12.2在高要求或连续运行模式下运行的安全仪表功能，应使用每小时的危险失效频率（PFH）来表示目标失效量,如表5所示（参见GB/T 21109.1—2007 ,表3）。应对每个SIF分别评估其PFH,每个 SIF的PFH应小于或等于安全要求规格书中所规定的目标失效量。

7.3J3.1应审查SlS是否能把过程置于某个安全状态,并可以保持在安全状态直到启动一次复位为止;若安全要求规格书有特殊规定的情况,则依照安全要求规格书进行评估。

7.3.13.2应评估是否有与逻辑控制器无关的手动机制（如应急停机按钮），用于直接启动SlS最终元件。

7.3.13.3对于失去驱动源（如电源、空气、液压或气压源）而不进入安全状态的SIS设备,驱动源和SIS 线路完整性的丧失应能检测和报警（如线路终端监视、驱动源供给压力测量、液压或气压压力监测）并按照 GB/T 21109.1—2007 中 11.3 采取动作。

注1：可通过使用辅助供给来提高驱动源完整性（如备用电池、不间断电源、储气罐、液压蓄能器、第二气源）。

注2：驱动源的丧失可能会影响多个SIF甚至多个SIS。因此应考虑多个SIF间的共因失效。

应列出评估项目所引用的法律法规、技术规范和标准、基础技术资料名称等相关信息。

应明确描述评估工作过程，包括评估程序、工作进度、参加人员等，可用图、表、文字描述等方式表述。

应根据7.3中所述内容的评判结果，给出对SlS安全设计和实现的完整性结论，包括系统性完整性、软件完整性和硬件完整性;指出存在的问题,并以简洁、概括的语言给出有针对性的建议。

应给出评估工作过程中生成的调研表、分析记录表等。样表参见附录B_O

应明确评估过程中所用软件、测试等辅助工具的名称、型号、软件版本号、出品公司、功能说明以及在本项目中的使用情况。

应给出评估工作所依据的必要资料,如分析图纸、评估准则来源、分析评估假设及来源等。

在投运前对SlS的最后审查，以判断SIS在设备设施、操作程序、培训等方面的所有相关内容是否完整并充分,是否具备安全投运条件。

8.2.2开展SIS运行前评估的过程应符合国家、行业或企业相关标准、规范要求,包括:分析评估资质、组织管理、实施流程、文档化和发布签署等。

8.2.3应对实施SlS运行前评估的人员进行培训，以确保其理解并熟识自身职责范围内的审查内容、流程、依据、准则等知识。

824 SIS运行前评估可采用简单审查和详细审查两种方式。对于新建、扩建及大范围改建项目，宜采用详细审查;对于小范围改建项目，宜采用简单审查。

注：简单审査是指仅针对变更部分进行8.4中所列内容的审査;详细审査是指针对整个SlS进行8.4中所列所有内容的审査。

8.2.5应组织一个小组开展SIS运行前评估活动。当评估项目较小或采用简单审查时，宜组织一个 1人〜2人的工作小组；当评估项目较复杂或采用详细审查时,宜组织一个大的工作组分工审查。

8.2.8应记录所有的SIS运行前评估活动,形成文档,并由相关责任人签署。

8.3.1不同的企业不同的项目应依据各自情况，制定符合国家、行业相关标准基本要求同时满足企业自身情况需求的运行前评估计划,并应据此开展评估准备和执行评估。

8.3.3对于详细审查,则应提供满足8.4所列所有项审查的相关资料。主要有：

8.4.1在已确定的危险出现之前（即投产运行前），评估组应核实：

——根据设计构造和安装安全仪表系统，已确认和解决任何差异；

——与安全仪表系统有关的安全、操作、维护和紧急规程都已到位；

——安全仪表系统确认计划编制是合适的并已完成确认活动；

——人员培训已完成,有关安全仪表系统的相应信息已提供给维护和操作人员；

——是否采取了保护SlS环境抗电磁干扰的预防措施,考虑以下方面：

——SIS界面是否独立于BPCS界面。如果不独立，当BPCS有变更时，是否有措施可以避免不期望的SIS逻辑变更。

——是否有关于材料、工作质量、检验和测试的说明和规程；

——是否有监督以确保安装期间能够按照说明和规程正确执行；

——是否有预期的安装条件，当安装环境不满足预期条件时,是否有足够的防护措施；

——安装活动是否与其他工程活动有交叉,如果有是否有足够的防护措施来保证安装的质量；

——安装和检验规程在细节上是否足够清楚，以便使安装人员不用自己作出重要决策和解释；

——在安全功能确认的测试期间，是否有监督以确保说明和规程的实施；

——是否有相关规程可用于对SRS中所定义的SlF进行功能测试；

——测试规程在细节上是否足够清楚，以便参与功能测试的相关人员不用自己作出重要方面的决策或解释；

——如果开展在线功能测试,规程是否能确保该测试的安全实施；

——测试实施和相关参与人员是否进行了适合于他们的培训。

——关于说明、设计方面存在的缺陷或在应用程序期间发现的缺陷,是否有制定或修正规程；

——应用程序的测试是否由负责说明、设计和开发的相关人员参与和审核；

——是否对最终测试文档进行审核，以确保所有的SRS要求都已经过测试且符合设计。

——用户/操作手册中是否描述了可能的失效相关的风险以及针对失效的必要措施；

——执行操作任务的人员和所涉及的相关人员是否接受了相关的培训；

——是否有管理规程，以确保操作规程充分贯穿整个SlS使用过程；

——对于设计中给出的假设条件,在操作和维护规程中是否有说明。

应列出评估项目所引用的法律法规、技术规范和标准、基础技术资料名称等相关信息。

应明确描述评估工作过程，包括评估程序、工作进度、参加人员等，可用图、表、文字描述等方式表述。

应根据8.4中所述内容的评判结果,给出对SlS生命周期中硬件实现、应用程序编程实现、安装/调试/功能测试活动、操作维护活动等的完整性结论等;指出存在的问题,并以简洁、概括的语言给出有针对性的建议。

应给出评估工作过程中生成的调研表、分析记录表等。样表参见附录C_O

应明确评估过程中所用软件、测试等辅助工具的名称、型号、软件版本号、出品公司、功能说明以及在本项目中的使用情况。

应给出评估工作所依据的必要资料,如分析图纸、评估准则来源、分析评估假设及来源等。

针对下列活动发生时,评估SIS是否仍然持续地满足功能安全的设计要求：

——同类生产设施或本生产设施出现重大意外事故,需要对SIS的设计和运行维护状态进行审查，确定是否存在隐患；

——国家或行业有新的规定或标准规范发布,要求对在役SlS进行安全审查；

——为了避免因设备老化、人员变动等因素对SIS安全运行造成不利影响,需要对SIS运行和相关联的项目进行周期性复审。

应制定复审管理规则,定期对SlS的运行和维护状况进行全面和系统性的评审,确保SlS的功能安全水平持续符合设计要求：

b）可能对安全仪表系统产生影响的工艺、设备等的修改实施前,应开展复审；

C）如果出现与功能安全管理体系有关的严重安全事故或发现明显的SlS设计缺陷，可即时安排复审活动；

d）国家或行业有新的规定或标准规范发布,并有审查要求时,应开展复审；

e）工艺/安全仪表系统每运行3年〜5年之后应进行周期性复审。

C) SlS的安全功能回路设计、仪表选型等是否满足必要的风险降低要求；

CI)基于实际的SlS运行和维护状况,对SIF的SIL评估计算所依据的要求率、失效率，以及检验测试时间间隔等评估基础进行必要的更新和修订；

9.4.2复审可采取现场调研、走访、审查以及讨论等形式,必要时应进行实际的功能测试。

9.5.2功能安全复审报告应结构清晰、表述准确、无歧义,并可追溯。

应列出评估项目所引用的法律法规、技术规范和标准、基础技术资料名称等相关信息。

应明确描述评估工作过程，包括评估程序、工作进度、参加人员等，可用图、表、文字描述等方式表述。

应根据9.4中所述内容的评判结果，给出对SIS的设计、运行、维护、修改与变更等的完整性结论等;指出存在的问题,并以简洁、概括的语言给出有针对性的建议。

应给出评估工作过程中生成的调研表、分析记录表等。样表参见附录D_O

应明确评估过程中所用软件、测试等辅助工具的名称、型号、软件版本号、出品公司、功能说明以及在本项目中的使用情况。

应给出评估工作所依据的必要资料,如分析图纸、评估准则来源、分析评估假设及来源等。

因复审而形成的改进意见或建议措施应有专人负责实施和状态追踪。

EIIl ANSI/ISA-S84.Ol: 1996 APPiiCatiOn Of Safety InStrUnlented SyStemS for the PrOCeSS Industries.

[2] OLF 070—2004 APPIiCatiOII Of IEC 61508 and IEC 61511 in the NOrWegian PetrOleUm Industry,

中国标准出版社出版发行北京市朝阳区和平里西街甲2号(100029) 北京市西城区三里河北街16号(100045)

总编室:(010)68533533 发行中心:(010)51780238 读者服务部：(010)68523946

开本880X1230 1/16 印张2.75 字数74千字 2016年1月第一版2016年1月第一次印刷

缩略语		解释
BPCS	__ basic PrOCeSS COntrOl SyStem	基本过程控制系统
DC	CliagnOStiC COVerage	诊断覆盖率
EUC	equipment Under COntrOl	受控设备
E/E/PE	electrical/electronic/programmable electronic	电气/电子/可编程电子
FAT	factOry acceptance testing	工厂验收测试
HAZOP	hazard and OPerabiIity StUdieS	危险与可操作性分析
HFT	hardware fault tolerance	硬件故障裕度
MTTR	mean time to IeStOratiOn	平均恢复时间
MOC	management Of Change	变更管理
PE	PrOgrammabIe electronic	可编程电子
PFD	PrObability Of dangerous failure On demand	要求时的失效概率
PFH	PrObability Of a dangerous failure Per hour	每小时危险失效概率
P&ID	PiPe and instrument diagram	管道及仪表流程图
SAT	Site acceptance test	现场验收测试
SFF	Safe failure faction	安全失效分数

安全完整性等级	_____低要求运行模式（在要求时就执行其设计功能要求的平均失效概率）_____
4	≥ιo^⁵ 至 VlOf
3	≥10~⁴ 至 VlOf
2	≥ιo^³ 至 VlOq
1	≥10~² 至 VIOT

安全完整性等级	连续运行模式（每小时危险失效频率）
4	≥10^⁹ 至 Vlof
3	≥10~⁸ 至 VIoT
2	≥ιo^⁷ 至 VI。一6
1	≥ιo^⁶ 至 VIof

所评估的系统/区域的说明				日期				时间

参与人员名单				传阅_______________________

意见

序号	评估基础依据			有/无				情况描述
1	危险分析与风险评估报告
2	安全要求分配报告
3	安全要求规格书
4	其他必要资料
SIS安全要求规格书		□	整项不适用
		选择			需要修改项目		整改原因和要求
		是	否		必改项	待改项
1建立了 SIS安全要求规格书		□	□		□	□
2 SIS安全要求规格书包含了达到要求的功能安全所必需的所有安全仪表功能		□	□		□	□
3每个安全仪表功能都有功能描述		□	□		□	□
4每个安全仪表功能都定义了过程安全状态		□	□		□	□
5明确了 SlS的所有过程输入		□	□		□	□
6明确了每个安全仪表功能的动作设定点		□	□		□	□
7明确了所有工艺变量的正常操作范围和操作界限		□	□		□	□
8明确了 SlS的所有过程输出及其作用		□	□		□	□
9明确了过程输入输出的功能关系：包括逻辑、数学功能及所需的许可		□	□		□	□

SIS安全要求规格书	□	整项不适用
	选择		需要修改项目		整改原因和要求
	是	否	必改项	待改项
10每个安全仪表功能都明确了其为励磁触发或非励磁触发	□	□	□	□
11是否包含了手动关断的考虑	□	□	□	□
12每个安全仪表功能都明确了失电将采取的动作	□	□	□	□
13每个安全仪表功能中，对于可诊断的危险故障都明确了响应动作	□	□	□	□
14包含了人机界面要求	□	□	□	□
15设置了复位功能	□		□	□
16每个安全仪表功能明确了所要达到的SIL	□	□	□	□
17每个安全仪表功能明确了达到所需的SlL 的诊断要求	□	□	□	□
18每个安全仪表功能明确了达到所需的SlL 要求的维修和检验测试要求	□	□	□	□
19误动作风险是否可接受	□	□	□	□
20如果误动作风险不可接受，明确了对误动作率的要求	□	□	□	□
危险分析与风险评估	□	整项不适用
	选择		需要修改项目		整改原因和要求
	是	否	必改项	待改项
21是否开展过危险分析与风险评估	□	□	□	□
22在开展危险分析与风险评估前是否制定了计划	□	□	□	□
23是否按照计划实施了危险分析与风险评估	□	□	□	□
24是否由具有评估资质的人员执行危险分析与风险评估	□	□	□	□
25危险分析与风险评估中各项活动是否形成文档,并由相关责任人签署	□	□	□	□
26危险分析与风险评估过程中是否对工艺、设备、设施、人员等方面所有可预见情况进行了评估？包括故障状况、误用、人员误操作、异常的 EUC运行模式等________________	□	□	□	□
27是否明确了 25中所有可预见情况下受控设备的危险和危险事件	□	□	□	□

中华人民共和国国家标准

油气管道安全仪表系统的功能安全评估规范

中华人民共和国国家质量监督检验检疫总局笼布中国国家标准化管理委员会发布

目次

油气管道安全仪表系统的功能安全评估规范

I------1

I______I

I------1

I______I

缩略语	全称	解释
SlF	Safety instrumented function	安全仪表功能
SlL	Safety integrity IeVel	安全完整性等级
SlS	Safety instrumented SyStem	安全仪表系统
SRS	Safety requirement SPeCifiCatiOn	安全要求规格书
TI	test interval	检验测试时间间隔

SlL	最低硬件故障裕度
SlL	SFF<6O⅝	6O⅝≤SEF≤9O⅝	SFF>9O⅜
1	1	0	0
2	2	1	0
3	3	2	1

安全要求分配	口	整项不适用
	选择		需要修改项目		整改原因和要求
	是	否	必改项	待改项
45开展安全要求分配是否制定了计划	□	□	□	□
46是否按照计划实施了安全要求分配	□	□	□	□
47是否由具有资质的人员执行安全要求分配	□	□	□	□
48安全要求分配中各项活动是否均形成文档，并由相关责任人签署	□	□	□	□
49是否明确定义了用于预防、控制或减轻来自过程及其相关装置危险的保护层及其安全功能，包括由安全仪表系统执行的安全仪表功能(SlF)	□	□	□	□
50是否评估并识别了各保护层之间的相关性和独立性，如SlS与BPCS之间、SlS与其他保护层之间存在的潜在的共因失效	□	□	□	□
51是否评估并识别了各保护层与触发事件或原因之间的相关性和独立性，如SlS与触发事件或原因之间存在的潜在的共因失效______	□	□	□	口
52是否评估并记录了已确定的独立保护层的风险降低能力	□	□	□	□
53各保护层风险降低能力的定义和选择是否符合国家、行业或企业相关标准、规范要求	□	□	□	□
54各保护层风险降低能力的定义和选择是否具有可信来源________________	□	□	□	□
55是否分析并规范记录了被定义SIF的安全功能要求和安全完整性要求的信息	□	□	□	□
56误动作可接受吗？如果否，是否分析并规定了各SlF最大可接受误动作率要求	□	□	□	□
57是否分析并识别了各SIF的行为可能带来的危害(如:集中释放至火炬系统)	□	□	□	□
58是否分析并识别了各SIF是励磁触发还是非励磁触发	□	□	□	口
59如果为励磁触发，是否评估了失电对安全运行的影响	□	□	□	□
60是否分析并识别了各SIF运行可能需要的其他辅助设备或设施，如气动阀供气系统。是否审查其失效对安全运行的影响	□	□	□	□
61是否详细记录了安全要求分配过程中所分析及引用的资料的名称及版本号	□	□	□	□

所评估的系统/区域的说明________________				日期				时间

参与人员名单				传阅：

意见

序号	评估基础依据			有/无				情况描述
1	安全要求规格书
2	SIS安全要求评估报告及整改报告
3	设计说明书
4	操作原理
5	设备汇总表
6	供应商可提供的设备SlL认证资料或长期使用说明材料
7	设计过程中做的SIL评估报告
8	其他必要资料
SlS设计评估		□	整项不适用
		选择			需要修改项目		整改原因和要求
		是	否		必改项	待改项
1 SlS执行安全仪表功能外，同时还执行非安全仪表功能吗？若同时执行非安全仪表功能,设计中是否充分考虑了正常或故障状态下对安全仪表功能的影响并应符合SIF要求的最高SIL 要求		□	□		□	□

SIS设计评估	□	整项不适用
	选择		需要修改项目		整改原因和要求
	是	否	必改项	待改项
14.1当检测到危险故障时（利用诊断测试、检验测试或任何其他办法），是否可导致用以达到或保持某个安全状态的一个规定动作	□	□	□	□
14.2当检测到危险故障时（利用诊断测试、检验测试或任何其他办法），是否可在计算硬件随机失效概率中假定的MTTR内修复子系统	□	□	□	□
14.3在修复过程中，是否设置了附加的措施和约束保证过程持续安全	□	□	□	□
14.4如果设置了，这些措施和约束提供的风险降低,是否等于无任何故障时的仪表安全系统所提供的风险降低	□	□	□	□
14.5在SIS操作和维护程序中是否规定了这些附加措施和约束	□	□	□	□
14.6 是否考虑到如果不能保证在规定的 MTTR内完成修复,则应执行一个规定动作以达到或保持某个安全状态	□	□	□	□
15对于高要求或连续运行模式下，硬件故障裕度为。的子系统：
当检测到危险故障时（利用诊断测试、检验测试或任何其他办法）是否可导致一个规定动作，以达到或保持某种安全状态_________	□	□	□	□
16是否选用了符合相应SIL等级要求的部件或子系统？（仅对于SILl〜3而言）	□	□	□	□
17根据以往使用原则选择的部件和子系统，是否有以下几方面的证明： a）制造商对质量、管理和配置管理的考虑； b）标准/规范符合性； C）在类似操作行规和实际环境中部件或子系统的性能； d）大量的操作经验。	□	□	□	□
18 SlS设计选用的部件或子系统是否符合SIS 安全要求规格书	□	□	□	□
19 SIS设计是否允许以点-点或分几部分对SlS 进行测试	-□	IZh	□	□
20是否需要在线测试（见7.3.11）	□	□	□	□
20.1若需要，是否在SIS设计中考虑了可供在线测试的设施	□	□	□	□

SIS运行前评估	□	整项不适用
	选择		需要修改项目		整改原因和要求
	是	否	必改项	待改项
4是否已解决由先前的功能安全评估提出的建议	□	□	□	□
5是否根据设计构造和安装安全仪表系统,并已确认和解决任何差异____________	□	□	□	□
6与安全仪表系统有关的安全、操作、维护和紧急规程是否都已到位	□	□	□	□
7安全仪表系统确认计划编制是否合适？确认活动是否已完成	□	□	□	□
8人员培训是否已完成？有关安全仪表系统的相应信息是否已提供给维护和操作人员	□	□	□	□
9实现SlS运行前评估的计划或策略是否已经就位	□	□	□	□
10硬件是否有满足SRS要求的安全完整性等级的证明文件	□	□	□	□
11硬件运行条件是否满足SIS物理运行环境的要求（包括:温度范围、湿度范围、振动和冲击、污染气体、粉尘）	□	□	□	□
12是否采取了保护SIS环境抗电磁干扰的预防措施？（SlS的内在设计、实际安装、保护所有的输入和输出避免输入电缆感应所产生的电压峰值的损害、EMC测试规程）是否将电源和信号电缆分离___________________	□	□	□	□
13是否定义了关于设备之间的通讯协议	□	□	□	□
14 SlS界面在数据显示、报警等方面是否进行了定义	□	□	□	□
15 SIS界面是否独立于BPCS界面？如果不独立,当BPCS有变更时,是否有措施可以避免不期望的SIS逻辑变更	□	□	□	□
16是否有关于材料、工作质量、检验和测试的说明和规程	□	□	□	□
17是否有监督以确保安装期间能够按照说明和规程正确执行	□	□	□	□
18是否有预期的安装条件？当安装环境不满足预期条件时,是否有足够的防护措施	□	□	□	□
19安装活动是否与其他工程活动有交叉，如果有是否有足够的防护措施来保证安装的质量	□	□	□	□
20安装人员与监督人员是否有充分的独立性	□	□	□	□

功能安全复审	□	整项不适用
	选择		需要修改项目		整改原因和要求
	是	否	必改项	待改项
7 SIS的仪表选型是否满足必要的风险降低要求	□	□	□	□
8针对实际的SlS运行和维护状况,为保证SlF 的PFD仍然满足SlL要求,SIF的SlL评估计算所依据的要求率、失效率，以及检验测试时间间隔等是否需要更新和修订__________	□	□	□	□
9 SIS的操作和维护人员，是否具备相应的专业能力_____________________	□	□	□	□
10 SlS的修改变更是否遵循了相关的变更管理规定	□	□	□	□
11是否针对SIS修改的影响的范围和深度进行了评估，以及采取了必要的应对措施	□	□	□	□
12对以往功能安全评估内容是否进行了复核	A □	□	□	□
可增加必要的复核内容……	□	□	□	□

SlL	最低硬件故障裕度________
1	0
2	1
3	2

中华人民共和国国家标准

油气管道安全仪表系统的功能安全 评估规范

中华人民共和国国家质量监督检验检疫总局笼布 中国国家标准化管理委员会发布

目 次

油气管道安全仪表系统的功能安全 评估规范

I------1

I______I

I------1

I______I

油气管道安全仪表系统的功能安全评估规范

中华人民共和国国家质量监督检验检疫总局笼布中国国家标准化管理委员会发布

目次

油气管道安全仪表系统的功能安全评估规范