功能安全与技术课件

1冯晓升

中国功能安全中心教授级高工功能安全技术与应用11冯晓升功能安全技术与应用1功能安全基本概念功能安全涉及的标准和领域

安全生命周期结束语2功能安全基本概念安全生命周期结束语2

功能安全的基本概念3

功能安全的基本概念3功能安全的基本概念对人体健康的损害或损伤以及对财产或环境的损害。伤害4功能安全的基本概念伤害45不存在不可接受的风险。不存在绝对安全，只存在相对安全。将安全问题转化为风险问题，通过控制风险使安全变得可控。安全功能安全的基本概念5不存在不可接受的风险。不存在绝对安全，只存在相对安全5风险出现伤害的概率及该伤害严重性的组合。功能安全的基本概念6风险功能安全的基本概念67允许风险根据当今社会的水准,在给定的范围内能够接受的风险。允许风险取决于国家、社会、企业或个人能够接受的风险水平

-国家政策法规的要求

-企业的规章制度

-社会对该事件的共识

-业主的容忍程度

-……功能安全的基本概念7允许风险允许风险取决于国家、社会、企业或个人能够接受的风险7风险级别不可容忍区域，一般风险值高于10E-4ALARP或可容忍区域(只有当效益理想时风险是可以控制的)广泛可接受的区域，一般风险值低于10E-6除非在特殊环境下，风险无法接受只有当进一步的风险降低已经不切实际或其花费与收益严重不成比例时才可接受当减少的花费超过获得的收益时可容忍ALARP原则注：ALARP=

AsLowAsReasonablyPractically

，即合理可行的低8风险级别不可容忍区域，一般风险值高于10E-4ALARP或功能安全与EUC（EquipmentUnderControl，受控设备

）和EUC控制系统有关的整体安全的组成部分，它取决于E/E/PE（Electrical/Electronic/ProgrammableElectronic,电气/电子/可编程电子）安全相关系统和其它风险降低措施功能的正确行使。危险来自于：自然、自身、敌人。功能安全的基本概念9功能安全功能安全的基本概念910安全相关系统所指的系统应满足以下两项要求：—执行要求的安全功能足以达到或保持EUC（EquipmentUnderControl，受控设备）的安全状态；并且—自身或与其它E/E/PE（Electrical/Electronic/ProgrammableElectronic，电气/电子/可编程电子）安全相关系统、其它风险降低措施一道,足以达到要求的安全功能所需的安全完整性。功能安全的基本概念10安全相关系统功能安全的基本概念10

这条术语是指这样的系统，即所谓安全相关系统是它们,及与其他风险降低措施一道达到必要的风险降低量，以满足所要求的允许风险。注1：11这条术语是指这样的系统，即所谓安全相关系统是注2：安全相关系统是在探测到可导致危险事件的情况时采取适当的动作以防止EUC（EquipmentUnderControl，受控设备）进入危险状态。安全相关系统的失效应被包括在导致危害的事件中。尽管可能存在具备安全功能的其他系统，但所指定的安全相关系统应仅靠其自身能力达到要求的允许风险。安全相关系统一般被分为安全相关控制系统和安全相关防护系统。12注2：安全相关系统是在探测到可导致危险事件的情况时采

安全相关系统可以是EUC控制系统的组成部分，也可用传感器和/或执行器与EUC接口。即可通过实现EUC控制系统中的安全功能（也可能通过分开的和独立的附加系统）达到要求的安全完整性等级，或者利用分离的、独立、专门的安全相关系统实现安全功能。

安全相关系统可以是EUC（EquipmentUnderControl，受控设备）控制系统的组成部分，也可用传感器和/或执行器与EUC接口。即可通过实现EUC控制系统中的安全功能（也可能通过分开的和独立的附加系统）达到要求的安全完整性等级，或者利用分离的、独立、专门的安全相关系统实现安全功能。注3：13安全相关系统可以是EUC控制系统的组成部分，也可用传安全相关系统可：a)被用于防止危险事件发生（即安全相关系统一旦执行其安全功能则没有危险事件发生）；b)被用来减轻危险事件的影响，即通过减轻后果的办法来降低风险;c)同时具有a)和b)的组合功能。注4：14安全相关系统可：注4：14人也可作为安全相关系统的一部分。例如，人可以接收来自可编程电子装置的信息，并根据接收信息执行安全动作，或通过可编程电子装置执行安全动作。注5：15人也可作为安全相关系统的一部分。例如，人可以接注6：安全相关系统包括执行规定安全功能所需的全部硬件、软件以及支持服务（如电源）。（因此，传感器，其它输入装置，最终元件（执行器）和其它输出装置都包括在安全相关系统中）16注6：安全相关系统包括执行规定安全功能所需的注7：安全相关系统可基于范围的技术基础，包括电气、电子、可编程电子、液压和气动等。17注7：安全相关系统可基于范围的技术基础，包括18安全状态达到安全时EUC的状态。注：从潜在的危险条件到最终的安全状态，EUC可能不得不经过几个中间的安全状态。有时，仅当EUC处于连续控制下才存在一个安全状态。这样的连续控制可能是短时间的或是不确定的一段时间。功能安全的基本概念1818安全状态功能安全的基本概念1819安全功能针对特定的危险事件，为达到或保持EUC（EquipmentUnderControl，受控设备）的安全状态，由E/E/PE（Electrical/Electronic/ProgrammableElectronic,电气/电子/可编程电子）安全相关系统或其它风险降低措施实现的功能。安全功能的例子包括：在要求时执行的功能，比如为避免危险状况的积极行动（如切断马达）；和采取预防行为的功能（如防止马达启动）。功能安全的基本概念1919安全功能功能安全的基本概念1920安全完整性

在规定的时间段内，在规定的条件下安全相关系统成功执行规定的安全功能的概率。注1：安全完整性越高，安全相关系统在要求时未能执行规定的安全功能或未能达到规定的状态的概率就越低。注2：规定了4种安全完整性水平。注3：安全完整性由硬件安全完整性和系统安全完整性构成。功能安全的基本概念2020安全完整性功能安全的基本概念2021随机硬件失效在硬件中，由一种或几种可能的退化机制而产生的，按随机时间出现的失效。注：在各种部件中，存在以不同速率发生的许多退化机制，在这些部件工作不同的时间之后，这些机制可使制造公差引起部件发生故障，从而使包含许多部件的设备将以可预见的速率，但在不可预见的时间(即随机时间)发生失效。功能安全的基本概念2121随机硬件失效功能安全的基本概念2122系统性失效原因确定的失效，只有对设计或制造过程、操作规程、文档或其它相关因素进行修改后，才有可能排除这种失效。注：系统性失效的例子有

——安全要求规范：

——硬件的设计、制造、安装、操作；

——软件的设计和实现等。功能安全的基本概念2222系统性失效功能安全的基本概念2223随机硬件失效和系统失效的主要区别是:由随机硬件失效导致的系统失效率（或其它合适的量度）可用合理的精确度来预计，但系统失效生来就不能精确预计，因此系统失效引起的系统失效率则不能精确地用统计法量化。功能安全的基本概念2323随机硬件失效和系统失效的主要区别是:功能安全的基本概念224硬件安全完整性在危险失效模式下与随机硬件失效有关的安全相关系统安全完整性的一部分。系统安全完整性在危险失效模式下与系统失效有关的安全相关系统安全完整性的一部分功能安全的基本概念2424硬件安全完整性功能安全的基本概念2425安全完整性等级一种离散的等级（四种可能等级之一），对应安全完整性量值的范围。在这里，安全完整性等级4是最高的，安全完整性等级1是最低的。注：安全完整性等级(SIL,SafetyIntegrityLevel)并非系统、子系统、要素或元件的特性。对SILN（N=1、2、3、4）的正确理解是系统支持安全功能的潜在能力具有达到N的安全完整性水平。功能安全的基本概念2525安全完整性等级功能安全的基本概念2526功能安全的基本概念表2-安全完整性等级-在低要求操作模式下安全功能的目标失效量2626功能安全的基本概念表2-安全完整性等级-在低要求操作模式27功能安全的基本概念表3-安全完整性等级-在高要求或连续操作模式下安全功能的目标失效量2727功能安全的基本概念表3-安全完整性等级-在高要求或连续操

功能安全涉及的

标准和领域28

功能安全涉及的

标准和领域2829功能安全技术和设备已经广泛应用于石油、化工、电力、铁路、核电、机械、冶金、电梯、汽车等领域。功能安全涉及的标准和领域2929功能安全涉及的标准和领域2930功能安全技术和设备已经广泛应用于石油、化工、电力、铁路、核电、机械、冶金、电梯、汽车等领域。IEC61508(国标GB/T20438)电气/电子/安全相关系统的功能安全IEC61511(国标GB/T21109)过程工业领域安全仪表系统的功能安全IEC61800可调节速度的电力驱动系统IEC60335家用和类似用途电器的安全IEC61784-3功能安全的通信总线IEC61513核电厂-以安全为主的系统用仪器仪表和控制系统的一般要求

EN50126/8/9铁路应用

IEC62061机械安全--与安全有关的电气、电子和可编程序电子控制系统的功能安全

ISO13849机械安全--控制系统有关安全部件

功能安全涉及的标准和领域3030功能安全涉及的标准和领域30IEC61508IEC61800-5-2电驱设备IEC61511流程工业领域IEC61513核工业EN50156熔炉IEC60601医疗设备EN50126/8/9铁路IEC62061机械EN115扶梯ISO26262汽车ISO15998土方机械IEC60335家电ISO25119农用拖拉机DO-178B民用飞机机载软件一套完备的功能安全标准体系31IEC61508IEC61800-5-2IEC615132日常生活的安全卫士高铁、动车、地铁等列车信号系统和自动防护系统（ATP，AutomaticTrainProtection

）3232日常生活的安全卫士高铁、动车、地铁等列车信号系统和自动防电梯、扶梯超速保护，坠落保护等系统日常生活的安全卫士上下梯级缺失检测主电机速度检测扶手带速度检测切断主电机，导致停机33电梯、扶梯超速保护，坠落保护等系统日常生活的安全卫士上下梯级日常生活的安全卫士汽车安全气囊、发动机管理和防抱死刹车系统（ABS，Anti-lockedBrakingSystem

)34日常生活的安全卫士汽车安全气囊、34日常生活的安全卫士飞机操纵面的线控操作35日常生活的安全卫士飞机操纵面的线控操作35日常生活的安全卫士医疗辐射机器的辐射剂量互锁系统和控制系统36日常生活的安全卫士医疗辐射机器的36危险工艺装置的紧急停车系统消防灭火的火气系统机床的防护联锁和紧急停车系统有毒气体检测医疗设备气体燃烧器管理起重机自动安全锁定指示器动力定位(当接近近海就位时的船动控制)危险化学品运输应急保障系统。。。。。。37生产现场的安全保证37危险工艺装置的紧急停车系统37生产现场的安全保证37消防灭火危险工艺装置有毒气体检测机床的防护联锁和紧急停车系统生产现场的安全保证功能安全……38消防灭火危险工艺装置有毒气体检测机床的防护联锁和紧急停车系统

安全生命周期39

安全生命周期3940安全生命周期安全相关系统实现过程中所必需的活动，这些活动从一项工程的概念阶段开始，直至所有的E/E/PE（Electrical/Electronic/ProgrammableElectronic,电气/电子/可编程电子）安全相关系统和其它风险降低设施停止使用为止的一段时间内。安全生命周期4040安全生命周期安全生命周期40安装设计过程危险分析安全分配研究与概念312整体范围定义危险和风险分析6整体计划编制78整体操作和维护计划编制整体安全确认计划编制实现(见E/E/PES)安全生命周期9E/E/PES安全相关系统:10实现安全相关系统:其它技术11实现外部风险降低设施整体安装和试运行计划编制整体安装和试运行12安全要求分配54整体安全要求返回适当的整体安全生命周期阶段修改或停用停用或处理16操作和维护整体操作、维护和修理14整体修改和改型15整体安全确认13概念安全生命周期41安装设计过程危险分析研究与概念312整体范围定义危险和风险分典型安全生命周期实施示例注：SRS=SafetyRequirementsSpecification，即安全要求规范42典型安全生命周期实施示例注：SRS=SafetyRequi42典型安全生命周期实施示例1、工艺过程概念设计:为降低生产过程中风险发生的概率，应保证工艺设计的固有安全性，即在工艺设计中应尽可能采用低压、低容量的设计方案4343典型安全生命周期实施示例1、工艺过程概念设计:434343典型安全生命周期实施示例2、工艺过程风险分析及评估:概念危险分析；初步工艺风险分析(PHA,ProcessHazardAnalysis)；工厂的危险与可操作性分析阶段(HAZOP，HAZardandOPerabilityanalysis)；44典型安全生命周期实施示例2、工艺过程风险分析及评估:4444典型安全生命周期实施示例3、确定保护功能及保护层1.工艺过程设计2.工艺控制/报警（BPCS）3.重要报警及人员干预/调整4.安全仪表系统（SIS）5.释放设备(如泄压阀)6.物理保护（如围堰、消防、防爆墙等）7.应急响应45典型安全生命周期实施示例3、确定保护功能及保护层1.工艺过45典型安全生命周期实施示例4、定义安全要求规范（SRS，SafetyRequirementSpecification）安全功能描述

操作模式响应时间维检修间隔手动/自动要求……