TCCSAS 054-2025《安全仪表系统（SIS）安全要求规格书（SRS）编写指南》-97

S S安全仪表系统安全要求规格书编写指南nym)3发 3实中国化学品安全协 发中国标准出版 出 前 范围

………………………规范性引用文件

…………………………术语和定义

………………缩略语

……………………总体要求

…………………

……………………

………………………

…………………

…………………………附录A资料性)清单和SRS数据表示 附录B资料性)因果表示 附录C资料性)SRS编写输入资料示 附录D资料性)SRS编写示 参考文献

…………………… 标准化工作导则第1部分标准化文件的结构和起草规则的规定起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由中国化学品安全协会提出并归口。本文件起草单位中科合成油工程有限公司北京安必达科技有限公司中国化学品安全协会中国石化工程建设有限公司中国安全生产科学研究院惠生工程中国有限公司山东济炼石化工程有限公司中国成达工程有限公司中石油华东设计院有限公司中国化学赛鼎宁波工程有限公司中国寰球工程有限公司中石化宁波工程有限公司万华化学集团股份有限公司上海歌略软件科技有限公司、中海壳牌石油化工有限公司巴斯夫中国有限公司中石化广州工程有限公司南京聚高工程技术有限公司中化学赛鼎焦化山西工程科技有限公司珠海安彦企业管理咨询有限公司浙江石油化工有限公司新疆天域海安安全技术服务有限公司。本文件主要起草人范咏峰唐彬王楠林融关磊程泱王云张红东刘友玲冯建柱曾裕玲、林洪俊张志王雪梅杨晨王琳王成舫孙金晓李才华王娇龙代轶民戴益皮宇樊清朱东利、胡兰青孙彦东陆兴旺奚春洪白艳宏翟庆伟付丽君甘露荣彦栋唐孟陈洪沛王渤于淼。安全仪表系统安全要求规格书)编写指南范围本文件提供了安全仪表系统安全要求规格书编写的总体要求节点和流程输入资料、内容文件结构等方面的指导并给出了SRS编写示例。本文件适用于化工企业安全仪表系统安全要求规格书的编写规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中注日期的引用文件仅该日期对应的版本适用于本文件不注日期的引用文件其最新版本包括所有的修改单适用于本文件。所有部分电气/电子/可编程电子安全相关系统的功能安全所有部分过程工业领域安全仪表系统的功能安全石油化工安全仪表系统设计规范术语和定义1界定的以及下列术语和定义适用于本文件安全仪表系统用于实现一个或多个的仪表系统注1:SIS由测量仪表逻辑控制器最终执行机构以及软件通信和附属设备组合而成。注2:附属设备包括安全栅电涌防护器继电器隔离器电缆引压管电源伴热等。来源有修改]安全完整性等级为规定应达到的安全完整性要求而分配给的离散等级4个等级中的一个注2:SIL等级越高PFDavg越低低要求模式PFH越低连续模式和高要求模式注3:目标失效量和的相关规定来源有修改安全仪表功能为了防止减少危险事件发生或保持过程安全状态由S实现具有特定的安全功能注1:特定定级确定等级中的一个。等级要求的安全功能不属于。注2:非安全关键测量仪表和非安全关键最终执行机构不属于注3:SIF测量仪表和最终执行机构属于安全关键注4:安全关键不一定属于BPCS联锁来源有修改安全要求规格书包含S的总体和通用要求所有要求和与之相关要求的工程说明性和规范性文件。来源有修改]S安全生命周期从S和工程方案设计开始到所有停止使用期间S实现的所有必要活动。来源有修改]F的运行模式n的运行方式包括低要求模式高要求模式连续模式含义如下低要求模式在这种运行模式下F只有在要求时才动作以将过程导入一个特定的安全状态并且要求的频率不大于一年一次;高要求模式在这种运行模式下F只有在要求时才动作以将过程导入一个特定的安全状态并且要求的频率大于一年一次;连续模式在这种运行模式下F作为正常运行的一部分保持过程处于一种安全状态。来源有修改]测量仪表BPCS或S的一部分测量过程变量的设备。来源有修改]逻辑控制器BPCS或S的一部分执行逻辑功能的设备。来源有修改]最终执行机构BPCS或S的一部分执行逻辑控制器指令或设定的动作使过程达到安全状态的设备注:也称执行单元来源有修改基本过程控制系统响应过程测量变量以及其他相关设备仪表控制系统或操作员的输入信号按过程控制规律产生输出信号实现过程控制及其相关设备运行的系统。来源有修改]过程安全时间如果未执行从过程失效或BPCS失效有可能引发危险事件到危险事件发生之间的时间段注用于确定F响应时间要求的过程安全时间指的是当F未执行时在预期的不利条件下由过程固有特性决定的从过程达到F联锁设定值开始到发生特定不可逆的危险状态的时间间隔。来源有修改联锁根据对过程参数越限设备等状态异常以及操作员手动等输入信号的逻辑判断执行预先设定的动作来源有修改安全关键包括安全关键测量变量测量仪表和安全关键动作最终执行机构安全关键测量变量测量仪表指的是该变量测量仪表是发现工艺不安全状态必不可少的变量测量仪表只有该变量的检测才能确定发现工艺不安全状态安全关键动作最终执行机构指的是该动作最终执行机构是将工艺过程转入安全状态必不可少的动作最终执行机构只有该动作的执行才能将工艺过程转入安全状态。非安全关键包括非安全关键测量变量测量仪表和非安全关键动作最终执行机构非安全关键测量变量测量仪表指的是该变量测量仪表不是发现工艺不安全状态必不可少的变量测量仪表该变量没有被检测并不影响安全关键测量变量测量仪表可独立确定发现工艺不安全状态。非安全关键动作最终执行机构指的是该动作最终执行机构不是将工艺过程转入安全状态必不可少的动作最终执行机构该动作没有被执行并不影响安全关键动作最终执行机构可独立将工艺过程转入安全状态。操作模式g过程操作的所有计划状态包括的模式有检修或紧急停车后的开车正常操作正常停车临时操作紧急操作紧急停车牌号切换等。注:也称为过程操作模式g来源有修改应用程序专用于用户应用的程序。通常它包含为达到功能要求而必要的控制输入输出计算和决策的逻辑顺序许可限制和表达式来源平均恢复时间预期的完全恢复的时间检测失效的时间开始维修前的时间实际的维修时间组件恢复运行前的时间的开始时间是的结束点的开始时间是的结束点的开始时间是的结束点来源平均维修时间预期的整体维修时间来源最大允许维修时间m检测到失效后允许的最长维修时间可选择小于MRTMPRT来降低危险事件的可能性如果可以放宽对危险事件可能性的约束MRTMPRT。来源]安全手册y定义如何安全应用S设备子系统或系统的信息注1:安全手册可能包括来自制造商和用户的信息注2:所有部分的设备来自制造商的信息就是安全手册。注3:这可能是一份独立文档也可能是一份文档集。来源有修改安全失效分数安全相关组件的属性定义为平均安全失效率加上检测出的平均危险失效率与平均安全失效率加上平均危险失效率之比=g+g+gg+g+g+g其中λSD为检测到的安全失效率λSU为未检测到的安全失效率λDD为检测到的危险失效率λDU为未检测到的危险失效率g代表平均失效率。=DD来源有修改确认通过检查和提供客观证据证明用于规定用途的特定要求已经得到满足注本文件中是指S安装完成后在投入使用前开展的检查和提供客观证据的活动用来证明S在各方面均满足S和S其他相关安全技术要求。来源有修改缩略语下列缩略语适用于本文件最低合理可行原则w)基本过程控制系统)诊断覆盖率)菲特n)注:本文件中9HAZOP:危险与可操作性分析d)硬件故障裕度)注:也称硬件容错独立保护层n)LOPA:保护层分析n)MPRT:最大允许维修时间md)MRT:平均维修时间n)nn要求时危险失效平均概率n)PFH:每小时危险失效平均频率r)PHA:过程危险分析sd)部分行程测试)检验测试覆盖率)工艺管道及仪表流程图g&)风险降低因子k)系统性能力)安全失效分数)安全仪表功能)安全完整性等级)安全仪表系统)安全要求规格书y)误停车率p)公用系统管道及仪表流程图g&总体要求编写SRS的目的是为了通过规定S的要求以保证实现所需的功能安全 SRS应包含的总体和通用要求的安全功能要求和与之相关的安全完整性要求包括S架构和应用程序。SRS是S设计和工程实施的输入条件。S应根据L定级得出的风险降低要求和风险评估中确定的相关要求进行编写L定级和风险评估应根据企业风险可接受标准确定。企业风险可接受标准不应低于适用的国家标准强制性条款和监管部门的相关要求不宜低于国家标准推荐性条款的要求。SRS和S所有部分所有部分0的相关规定。SRS应是S的设计依据是S的设计应遵循的指导文件并且应包括目的和应用方法的描述 SRS应清晰准确明确可验证可测试可维护可操作可用于指导使用者在S全生命周期遵照执行。 设计文件验证文件现场工况F测量仪表逻辑控制器和最终执行机构的安全手册相互之间应是协调的。SRS编写更新完善和维护包括以下节点在S的节点应编写SRS的初版S设计和工程包括验证节点后应更新S安装调试和确认”节点后S安装调试确认和开车过程中如果有涉及SRS的修改应更新SRS;工程投运后发生对SRS有影响的变更时应更新各版本可采用版次设计的方式编写 对SRS有影响的变更包括联锁逻辑定级运行模式联锁设定值仪表选型表决结构失效数据验证等方面的变化。S安全生命周期SRS编写和更新节点示意见图1图1S安全生命周期SRS编写和更新节点示意编写流程SRS编写流程示意见图2。S设计有变更时应更新SRS编写输入资料宜包括但不限于以下资料装置说明与操作模式联锁逻辑要求以逻辑说明逻辑图因果表等形式表达复位要求过程安全时间工程设计仪表规格书包括最终执行机构安全状态要求操作范围及联锁设定值逻辑控制器规格书定级报告明确和非包括回路组成一览表及等级操作和维修要求装置运行检维修周期设计寿命可用性的要求通则 S应明确F和L的通用要求与具体要求应包括实现功能安全的硬件软件工程、管理运维等方面的要求。通用要求是对F和L的目的原则总框架准则共性的要求具体要求是对于F的具体要求F清单和S数据表属于具体要求。 SRS宜通过文字说明表格逻辑图因果表等形式相结合的方式进行表述。表格包括F清单SRS数据表等。每个应单独在清单中列出并单独定义SRS数据表。主要内容SRS应包括要求和要求。SRS宜包括应用程序安全要求。应用程序安全要求见列出所有F的功能说明和联锁逻辑要求联锁逻辑要求可采用逻辑说明逻辑图因果表等形式表达。列出每个的测量仪表和最终执行机构的位号识别和考虑共因失效需要时给出消除或减缓措施定义每个F的过程安全状态例如防止储罐溢罐的过程安全状态为关闭储罐入口切断阀此状态可避免或充分减轻特定的危险事件此处指的是储罐溢罐。当多个同时动作可能导致额外风险情况时应进行风险分析并确定安全保护措施和方案列出每个的假定要求来源和要求发生的频率确定每个的测量仪表逻辑控制器和最终执行机构的确定每个对测量仪表逻辑控制器和最终执行机构实施检验测试的要求设置阀门确定每个F的响应时间的要求F的响应时间=测量仪表响应时间+逻辑控制器响应时间包括输入逻辑运算和输出等环节+最终执行机构响应时间+各个环节的滞后时间。列出每个的等级和运行模式低要求模式高要求模式连续模式列出每个的测量仪表的过程测量变量测量范围精确度等级和联锁设定值等列出每个的最终执行机构的动作和相关要求例如要求关闭控制阀动作时间要求小于说明每个F的输入和输出之间的功能关系包括逻辑关系数学函数关系及允许触发条件等例如防止储罐溢罐输入为高高液位联锁逻辑表决关系为三取二输出为关闭储罐进口切断阀逻辑表决关系为一取一。说明每个的手动停车要求例如可在控制室辅助操作台和现场具备手动关闭切断阀的功能说明每个的联锁方式得电联锁或者失电联锁的要求例如11电磁阀为失电非励磁联锁。说明每个在联锁动作后的复位要求例如防止储罐溢罐高高液位联锁关闭储罐入口切断阀后切断阀应保持关闭状态直到储罐液位恢复正常并且启动复位为止。有可用性要求的说明其最高允许的STR说明每个的失效模式和要求的S响应例如报警自动停车说明开停工过程启动和重新启动S的具体要求说明S和其他系统包括BPCS和操作员之间的所有接口要求包括过程接口通信接口、人机接口等。说明装置各种操作模式及每种模式下的相关要求说明3中列出的应用程序安全要求说明每个的旁路要求和旁路期间的管理要求旁路包括维护旁路和操作旁路说明每个F在检测到故障事件时为达到和保持某个安全状态应采取的必要措施宜考虑所有相关人员因素。例如检测到F测量仪表故障时执行联锁或者一定期限内暂时不执行联锁而是采取必要的安全补偿措施到期无法解除故障时执行联锁。确定每个合理的MTTR,综合考虑备品备件数量存储地理位置路程时间备件安装、服务合同环境限制等。识别需要避免的S输出状态的关联危险识别在运输存储安装及运行中可能遇到的极端环境条件识别正常和异常过程操作模式说明是否需要额外增加需要时确定F应满足的特殊要求。例如如果F控制阀需要在火灾场景下的一定时间内有效动作应确定此F控制阀的防火要求包括控制阀内件控制阀执行机构电缆等的防火要求。S的总体和通用要求应用程序安全要求通则应用程序安全要求可作为SRS中的一部分也作为一个独立文档例如应用程序要求规格书 应用程序安全要求应从SRS和的架构布局和内部结构中推导。子系统的应用程序安全要求输入信息应包括:每个的安全要求包括测量仪表表决等S架构和安全手册提出的要求例如硬件和嵌入式软件的限制和约束1相关的安全计划的要求应为每个可编程控制器规定应用程序安全要求 应用程序的设计编程组态测试集成确认运行维护及变更等应符合SRS和工程设计文件的要求。 应规定应用程序进行离线和在线测试的方式。应用程序应在确认其功能满足特定的目标和要求后再投入运行。应用程序应同时进行本地备份和异地备份。数据应采用专用光盘或磁介质进行复制和备份专用光盘或磁介质不应在安全仪表系统以外的电脑和电子产品上使用电子版文件的复制应防止病毒。逻辑设计应具有可读性复杂功能逻辑图应有相应的逻辑功能说明 应用程序组态编程应与逻辑说明逻辑图因果表一致。程序执行顺序及时间应符合过程安全的要求。应用程序设计和组态宜使用标准功能块。标准功能块应为经功能测试正确的逻辑功能块主要内容应用程序安全要求应符合相关的功能安全包括F和的要求。应用程序安全要求应足够详细以使设计和实施达到要求的功能安全并应能开展功能安全评估。宜确定以下方面对应的功能安全相关的应用程序安全要求:需要实现的及其实时性能参数例如CPU负荷通信负荷有故障时可接受的实时性能以及特定时间内接收到的所有联锁信号;程序次序和延时设备和操作员接口及其可操作性SRS中规定的所有相关的过程操作模式针对异常测量结果例如测量仪表值超量程欠量程变化幅度过大测量值冻结检测线路开短路采取的措施;由应用程序执行的对测量仪表和最终执行机构进行检验测试和自动诊断测试的功能应用程序的自监测例如应用程序驱动的程序监视器和数据有效性确认对测量仪表和最终执行机构的监测过程运行时F的定期测试相关资料例如清单数据表S配置和架构S硬件安全完整性要求通信接口包括限制其使用的措施以及接收和发送的数据或指令的有效性检查识别和避免由应用程序产生的过程危险状态例如同时关闭两个气体隔离阀可能导致压力波动从而导致危险状态;每个的过程变量验证标准的定义网络安全防火墙等其他方面例如联锁设定值的修改保护措施应用程序的响应时间功能验收测试变更管理等。编写要求应用程序安全要求的编写应符合以下要求应包括描述支持应用程序安全要求的意图和方法在S全生命周期内对使用该文档的人员来说应是清晰的不会有歧义的并且易于理解的人员包括设计人员验证人员工厂操作人员维护人员和应用编程人员等;应可验证可测试和可修改通过相关文件应可追溯包括详细设计文档SRS以及识别所需的和的PHASRS文件结构宜包括总则概述工厂及项目装置概况相关资料总体要求SRS编写节点和SRS主要内容应用程序安全要求S总体和通用要求通用要求清单SRS数据表逻辑要求具体要求版次说明等部分。SRS文件宜为一个文件或几个文件的集合清单和SRSA因果表示例见附录B 本文件附录中的示例是具体项目可能的选择不属于本文件正文要求。在满足标准规范和监管文件要求的前提下不同工程公司和企业可具有不同的选择。附录资料性F概述模板表格为示例企业可根据具体情况确定适合的项目模板。确定项目模板后具体填写可包含以下情况。不适合项目的填写不适合有些项可统一说明填写见统一说明例如仪表的使用期限检测到故障时的响应有些项内容可能较多表格中可能填写不下可另页填写或者采用其他方式表达例如表3中的与其他测量仪表组成群组项有时可能较为复杂可通过专门文件说明逻辑图等方式进行表达。有些内容可分阶段逐步填写的其他可能的情况F清单示例清单格式和填写示例见表1F清单格式和填写示例序号编号功能说明验证达到的等级目标失效量验证达到的目标失效量H)备注液位三取二高高联锁关闭储罐进口切断阀运行模式填写概述SRS数据表包括数据表测量仪表数据表逻辑控制器数据表和最终执行机构数据表F数据表示例。LOPA分析2F数据表格式和填写示例编号描述储罐液位高高联锁略HAZOP报告文件名编号日期版次略LOPA报告文件名编号日期版次危险事件说明溢罐着火爆炸造成人员伤亡财产损失和环境影响安全状态储罐进口切断阀关闭功能说明液位三取二高高联锁关闭储罐进口切断阀逻辑图号因果表号运行模式低要求运行模式等级/验证达到的等级目标失效量/验证达到的目标失效量H)过程安全时间响应时间要到的STR略需要考虑可用性时根据要求填写输入位号输出位号逻辑要求液位三取二高高联锁关闭储罐进口切断阀手动停车设置手动停车防火堤外现场按钮和辅操台按钮任一触发时停车复位设置复位使用期限操作模式说明装置各种操作模式及每种模式下F的相关要求。没有需要说明的则不填写。装置操作模式通常包括检修或紧急停车后的开车正常操作正常停车临时操作紧急操作紧急停车牌号切换等)环境条件多F同时动作产生新风险如果存在分析并说明未发现根据设计文件填写其他要求略填写输出状态危险组合正常和异常操作模式在意外事故中的要求等内容其他要求测量仪表数据表示例测量仪表数据表格式和填写示例见表3测量仪表数据表格式和填写示例位号安装位置和用途描述储罐液位测量设备类型雷达液位计制造商和型号所属的编号逻辑图号因果表号与其他测量仪表组成群组组成三取二逻辑表决信号类型测量范围联锁设定值响应时间要求≤2s(根据过程安全时间产品情况等综合确定失效率数据来源证书λSD未检测到的安全失效率λSU检测到的危险失效率λDD未检测到的危险失效率λDU具备的SC检测到故障时的响应故障导向联锁状态维护旁路设置3测量仪表数据表格式和填写示例续操作旁路不设置安全手册填写安全手册文件名和编号或者填写随仪表设备提供共因失效因子β)其他要求例如冗余配置仪表有多样性要求时填写相关要求还可填写S输出状态危险组合正常和异常操作模式F在意外事故中的要求等内容)其他要求例如冗余配置有进不同I/O的要求时填写相关要求逻辑控制器数据表示例逻辑控制器数据表格式和填写示例见表4逻辑控制器数据表格式和填写示例位号设备类型逻辑控制器制造商和型号所属的编号逻辑图号因果表号响应时间要求≤500根据过程安全时间产品情况等综合确定失效率数据来源证书λSD未检测到的安全失效率λSU检测到的危险失效率λDD未检测到的危险失效率λDU具备的SC4逻辑控制器数据表格式和填写示例续检测到故障时的响应故障导向联锁状态接口要求安全手册填写安全手册文件名和编号或者填写随仪表设备提供其他要求其他要求最终执行机构数据表示例最终执行机构数据表格式和填写示例见表5最终执行机构数据表格式和填写示例位号安装位置和用途描述储罐进口切断阀设备类型气动切断阀制造商和型号所属的编号逻辑图号因果表号与其他最终执行机构组成群组响应时间要求≤60s(根据过程安全时间产品情况等综合确定失效率数据来源证书λSD略注未检测到的安全失效率λSU略注检测到的危险失效率λDD略注未检测到的危险失效率λDU略注具备的SC得电/电磁阀失电非励磁联锁5最终执行机构数据表格式和填写示例续联锁安全状态失电联锁关闭信号/动力中断时的动作失电联锁关闭气源故障关闭现场手动复位无现场手动复位手动要求设置手动关闭的现场手动操作柱安全手册填写安全手册文件名和编号或者填写随仪表设备提供共因失效因子β)其他要求根据需要填写例如阀门泄漏等级等还可填写输出状态危险组合正常和异常操作模式在意外事故中的要求等内容)其他要求根据需要填写例如气动执行机构供风独立性要求等注最终执行机构由若干部分组成时例如控制阀主要由电磁阀执行机构和阀体组成可给出整体的失效率数据或者分别给出各个组成部分的失效率数据。因果表格式和填写示例见表

附录B资料性)因果表示例表1因果表格式和填写示例附录资料性概述SRS编写输入资料要求见第7章为了使得附录D中的SRS编写示例更具有针对性LOPA分析表示例内容来源于中1给出的案例。LOPA分析表示例见表中的表格式有修改。示例中数据的是否合理不在本文件范围。1主题描述概率分析节点正己烷缓冲罐场景正己烷缓冲罐溢流溢流物未被防火堤包容后果描述/由于储罐溢流和防火堤失效导致释放的正己烷流出防火堤发生火灾和人员伤亡后果等级初始事件90控制回路失效使能必要事件/条件条件修正点火概率人员暴露概率致死概率防火堤释放后保护设施其他保护措施人员响应行动后果发生频率现有风险等级高风险等级或建议增加一个独立的用于检测和阻止溢流注31主题描述概率减缓后的后果发生频率减缓后的风险等级中风险备注人员行动不作为原因如下操作人员不总是在现场BPCS液位控制回路失效导致系统不能产生报警从而不能提醒操作人员采取行动以阻止缓冲罐进料。企业可采用成本效益分析决定是否需采用额外的措施进一步降低风险此数据来源于5中的表实际工程中有多种方式获得例如可根据7中的1获得即如果需要一个新的则可由该事件的严重性等级的公司准则除以中间事件可能性来计算所需的完整性等级。低于此数的F的一个g被选作S的最大值。举例以表1中的数据为例假设所示例场景的风险可接受标准为后果发生频率F5而示例的中不考虑F的后果发生频率为×4前者除以后者可得到存在的风险缺口为g相当于也就是宜设置g的FF相关信息的梳理为编写LOPA报告进行梳理LOPA分析表的梳理。2和。2F清单梳理示例序号编号功能说明验证达到的等级目标失效量/验证达到的目标失效量H)备注假设的编号检测和阻止正己烷缓冲罐溢流3F数据表梳理示例编号假设的编号描述检测和阻止正己烷缓冲罐溢流(依据表略根据项目文件填写略根据项目文件填写危险事件说明由于储罐溢流和防火堤失效导致释放的正己烷流出防火堤发生火灾和人员伤亡后果等级依据表3F数据表梳理示例续安全状态功能说明95RBV)逻辑图号假设的编号根据设计文件填写因果表号假设的编号根据设计文件填写运行模式低要求运行模式依据初始事件发生频率为1×10-/等级目标失效量/验证达到的目过程安全时间略根据设计文件填写响应时间要略根据设计文件填写的STR略通常由设计和企业协商确定输入位号输出位号逻辑要求LT95手动停车略根据设计文件填写复位设置复位假设的编号根据设计文件填写使用期限略根据设计文件填写操作模式略根据设计文件填写环境条件略根据设计文件填写多同时动作产生新风险如果存在分析并说明)未发现根据设计文件填写注:AQ/T3054—中的新增的独立的3中的用于检测和阻止溢流采用独立的液位传感器逻辑控制器和独立的截断阀。当检测到高液位时该联锁关流量控制阀90和远RBV。假设工程设计按照高液位联锁关闭90为非安全关键动作考虑90959090处于关闭状态;RBV为安全关键。可靠性数据和基本信息的收集概述2给出了1的测量仪表逻辑控制器最终执行机构的可靠性数据基本信息与要求数据和要求均为假设。的验证计算采用的仪表设备可靠性数据宜来自以往使用数据认证报告公开发行的工业数据库或手册等。基本信息和要求可来自HAZOP报告LOPA报告设计文件企业管理要求项目统一规定等。SRS需要建立全生命周期的管理根据不同阶段和版次的选择适用的仪表设备可靠性数据来源例如初版的SRS在S设计之前此时的数据可以来源于公开发行的工业数据库或手册。测量仪表测量仪表可靠性数据基本信息与要求收集示例见表4测量仪表可靠性数据基本信息与要求收集示例位号安装位置和用途描述正己烷缓冲罐液位测量设备类型雷达液位计根据设计文件填写制造商和型号略根据设计文件填写所属的编号根据设计文件填写逻辑图号根据设计文件填写因果表号根据设计文件填写与其他测量仪表组成群组无根据设计文件填写信号类型测量范围联锁设定值响应时间要求由设计单位和企业协商确定根据企业管理要求填写根据企业管理要求填写根据企业管理要求填写95%(根据安全手册或其他文件填写根据安全手册或其他文件填写失效率数据来源证书假设λSD根据失效率数据来源填写未检测到的安全失效率λSU根据失效率数据来源填写检测到的危险失效率λDD根据失效率数据来源填写未检测到的危险失效率λDU根据失效率数据来源填写具备的SC根据失效率数据来源填写检测到故障时的响应故障导向联锁状态根据设计文件填写维护旁路设置根据设计文件填写4测量仪表可靠性数据基本信息与要求收集示例续操作旁路不设置根据设计文件填写安全手册略通常由认证机构提供或者制造商提供共因失效因子β)其他要求略根据设计文件填写其他要求略根据设计文件填写逻辑控制器逻辑控制器可靠性数据基本信息与要求收集示例见表5逻辑控制器可靠性数据基本信息与要求收集示例位号根据设计文件填写设备类型逻辑控制器制造商和型号略根据设计文件填写所属的编号根据设计文件填写逻辑图号根据设计文件填写因果表号根据设计文件填写响应时间要求由设计单位和企业协商确定根据企业管理要求填写根据企业管理要求填写根据企业管理要求填写95%(根据安全手册或其他文件填写根据安全手册或其他文件填写失效率数据来源证书假设λSD略根据失效率数据来源填写未检测到的安全失效率λSU略根据失效率数据来源填写检测到的危险失效率λDD略根据失效率数据来源填写未检测到的危险失效率λDU略根据失效率数据来源填写具备的SC根据失效率数据来源填写5逻辑控制器可靠性数据基本信息与要求收集示例续检测到故障时的响应故障导向联锁状态根据设计文件填写接口要求BPCS间设置通信接口根据设计文件填写安全手册填写安全手册文件名和编号或者填写随仪表设备提供其他要求略根据设计文件填写其他要求略根据设计文件填写最终执行机构1的最终执行机构RBV由电磁阀气动执行机构阀体三部分组成可靠性数据基本信息与要求收集示例分别见表。如果可获取最终执行机构整体的可靠性数据宜给出整体数据如果无法获取整体可靠性数据则需要分别给出各个组成部分的可靠性数据。6RBV电磁阀可靠性数据基本信息与要求收集示位号RBV电磁阀根据设计文件填写安装位置和用途描述出口切断阀配套的电磁阀根据设计文件填写设备类型两位三通电磁阀根据设计文件填写制造商和型号略根据设计文件填写所属的编号根据设计文件填写逻辑图号根据设计文件填写因果表号根据设计文件填写与其他最终执行机构组成群组无根据设计文件填写响应时间要求略RBV整体响应时间要求由设计单位和企业协商确定根据企业管理要求填写根据企业管理要求填写根据企业管理要求填写95%(根据安全手册或其他文件填写失效率数据来源根据安全手册或其他文件填写证书假设λSD略根据失效率数据来源填写未检测到的安全失效率λSU略根据失效率数据来源填写6RBV电磁阀可靠性数据基本信息与要求收集示例续检测到的危险失效率λDD略根据失效率数据来源填写未检测到的危险失效率λDU略根据失效率数据来源填写具备的SC根据失效率数据来源填写得电/失电联锁根据设计文件填写联锁安全状态RBV(根据设计文件填写信号/动力中断时的动作失电联锁关闭RBV气源故障关闭VC)现场手动复位无现场手动复位根据设计文件填写手动要求无根据设计文件填写带根据设计文件填写安全手册填写安全手册文件名和编号或者填写随仪表设备提供共因失效因子β)略根据实际情况填写其他要求略根据设计文件填写其他要求略根据设计文件填写7RBV气动执行机构可靠性数据基本信息与要求收集示例位号RBV执行机构根据设计文件填写安装位置和用途描述出口切断阀设备类型气动执行机构根据设计文件填写制造商和型号略根据设计文件填写所属的编号根据设计文件填写逻辑图号根据设计文件填写因果表号根据设计文件填写与其他最终执行机构组成群组无根据设计文件填写响应时间要求略RBV整体响应时间要求由设计单位和企业协商确定根据企业管理要求填写根据企业管理要求填写根据企业管理要求填写7RBV气动执行机构可靠性数据基本信息与要求收集示例续95%(根据安全手册或其他文件填写根据安全手册或其他文件填写失效率数据来源证书假设λSD略根据失效率数据来源填写未检测到的安全失效率λSU略根据失效率数据来源填写检测到的危险失效率λDD略根据失效率数据来源填写未检测到的危险失效率λDU略根据失效率数据来源填写具备的SC根据失效率数据来源填写得电/失电联锁根据设计文件填写联锁安全状态RBV(根据设计文件填写信号/动力中断时的动作失电联锁关闭RBV气源故障关闭VC)现场手动复位无现场手动复位根据设计文件填写手动要求无根据设计文件填写带根据设计文件填写安全手册填写安全手册文件名和编号或者填写随仪表设备提供共因失效因子β)略根据实际情况填写其他要求气动执行机构要求供风独立根据设计文件填写其他要求略根据设计文件填写8RBV阀体可靠性数据基本信息与要求收集示位号RBV阀体根据设计文件填写安装位置和用途描述RBV阀体根据设计文件填写设备类型切断阀根据设计文件填写制造商和型号略根据设计文件填写所属的编号根据设计文件填写逻辑图号因果表号根据设计文件填写根据设计文件填写与其他最终执行机构组成群组无根据设计文件填写8RBV阀体可靠性数据基本信息与要求收集示例续响应时间要求略RBV整体响应时间要求由设计单位和企业协商确定根据企业管理要求填写根据企业管理要求填写根据企业管理要求填写95%(根据安全手册或其他文件填写根据安全手册或其他文件填写失效率数据来源证书假设λSD略根据失效率数据来源填写未检测到的安全失效率λSU略根据失效率数据来源填写检测到的危险失效率λDD略根据失效率数据来源填写未检测到的危险失效率λDU略根据失效率数据来源填写具备的SC根据失效率数据来源填写得电/失电联锁根据设计文件填写联锁安全状态RBV(根据设计文件填写信号/动力中断时的动作失电联锁关闭RBV气源故障关闭VC)现场手动复位无现场手动复位根据设计文件填写手动要求无根据设计文件填写带根据设计文件填写安全手册填写安全手册文件名和编号或者填写随仪表设备提供共因失效因子β)略根据实际情况填写其他要求其他要求气动执行机构要求供风独立根据设计文件填写附录资料性SRS编写示例如下供参考注S编写示例不同于4安全仪表系统安全要求规格书编写指南正文S编写示例具备项目属性可包括S以外的一些要求例如L定级要求和L验证要求等而这些要求是必要的是有利于项目执行的S编写示例对于S本身的内容也是在标准要求的基础上对于针对项目的具体体现。注2:SRS编写示例的内容仅为示例不作为标准要求。在满足标准规范和监管文件要求的前提下不同工程公司和企业可能具有不同的选择。总则适用范围

××××××公司××××××项目××××××装置安全仪表系统安全要求规格书本安全要求规格书以下简称本是为××××××公司××××××项目××××××装置以下简称本项目装置编写的本S从S总体和通用要求F通用要求具体的F及其对应的L的要求等方面规定了S的要求包括工程设计验证选型制造安装硬件系统集成软件组态编程系统测试验收运行维护安全管理策略等方面的相关要求。本SRS适用于本项目装置包括建设投运期间相关的变更本SRS应在S安全生命周期的各个阶段执行安全仪表系统和安全仪表功能的设计验证安装运维和管理应符合本SRS的规定。缩略语下列缩略语适用于本最低合理可行原则w)基本过程控制系统)诊断覆盖率)菲特n)注:本SRS中19HAZOP:危险与可操作性分析d)硬件故障裕度)注:也称硬件容错独立保护层n)LOPA:保护层分析n)mdMRT:平均维修时间n)MT:任务时间n)n要求时危险失效平均概率n)PFH:每小时危险失效平均频率r)PHA:过程危险分析sd)部分行程测试)检验测试覆盖率)工艺管道及仪表流程图g&)风险降低因子k)系统性能力)安全失效分数)安全仪表功能)安全完整性等级)安全仪表系统)安全要求规格书y)误停车率p)公用系统管道及仪表流程图g&为便于在执行本SRS条文时区别对待对要求严格程度不同的用词说明如下表示很严格非这样做不可的正面词采用必须反面词采用严禁表示严格在正常情况下均应这样做的:正面词采用应反面词采用不应;表示允许稍有选择在条件许可时首先应这样做的:正面词采用宜反面词采用不宜;表示有选择在一定条件下可以这样做的采用可本SRS中指明应按其他有关标准执行的写法为应符合……的规定或应按……执行概述目的本SRS的目的是为了保证实现所需的功能安全规定及其对应的的要求规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中注日期的引用文件仅该日期对应的版本适用于本文件不注日期的引用文件其最新版本包括所有的修改单适用于本文件。所有部分电气/电子/可编程电子安全相关系统的功能安全所有部分过程工业领域安全仪表系统的功能安全保护层分析应用指南石油化工安全仪表系统设计规范石油化工仪表供电设计规范安全仪表功能安全完整性等级验证导则安全仪表系统安全要求规格书编写指南3ns)ds工厂及项目装置概况本项目装置为公司项目装置,建设单位为公司建设地点位于××××。本项目装置设置了一套BPCS和一套。BPCS采用公司的×××系统S×××公司的×××系统。如果BPCS和S尚未确定厂家则不注明厂家)建设地点环境条件见表1建设地点环境条大气压温度平均极限高温极限低温雷暴日湿度降水沿海净化风质量和供气压力见表2净化风质量和供气压力最低供气压力最高供气压力露点含尘颗粒直径含尘量油分含量相关资料本SRS编写输入资料包括以下资料装置说明与操作模式逻辑要求以逻辑说明逻辑图因果表等形式表达复位要求过程安全时间工程设计仪表规格书包括最终执行机构安全状态要求操作范围及联锁设定值逻辑控制器规格书定级报告明确和非包括回路组成一览表及等级操作和维修要求装置运行检维修周期设计寿命可用性的要求××××××会议纪要;当前阶段已有的仪表设备可靠性数据总体原则和要求本SRS应与本文件在2列出的规范性引用文件结合使用 SRS编写的总体要求节点和流程输入资料内容文件结构应符合4的相关规定。 本SRS和S所有部分所有部分的相关规定。 SRS应包含S的总体和通用要求所有的安全功能要求和与之相关的安全完整性要求。SRS是S设计和工程实施的输入条件。本SRSHAZOP分析和定级得出的风险降低要求编写的注1:HAZOP分析和定级应根据企业风险可接受标准确定注企业风险可接受标准不应低于适用的国家标准强制性条款和监管部门的相关要求不宜低于国家标准推荐性条款的要求。 SRS应是S的设计依据的设计应遵循的指导文件并且应包括目的和应用方法的描述。 SRS应清晰准确明确可验证可测试可维护可操作能用于规范S安全生命周期各阶段使用者的遵照和执行。 设计文件验证文件现场工况F测量仪表逻辑控制器和最终执行机构的安全手册相互之间应是协调的。 S应明确F和L的通用要求与具体要求应包括实现功能安全的硬件软件工程、管理运维等方面的要求。通用要求是对F和L的目的原则总框架准则共性的要求具体要求是对于具体F的要求F清单和S数据表属于具体要求。 SRS宜通过文字说明表格逻辑图因果表等形式相结合的方式进行表述。表格包括F清单SRS数据表等。每个应单独在清单中列出并单独定义SRS数据表。集成调试验收测试与确认应符合SRS和其他相关安全技术要求以及详细工程设计文件的要求。S投入使用前应开展确认工作。确认内容宜包括测量仪表逻辑控制器最终元件及关联设备的安装测试与联合调试等。SRS编写更新完善和维护包括以下节点在S的节点应编写SRS的初版S设计和工程包括验证节点后应更新S安装调试和确认”节点后S安装调试确认和开车过程中如果有涉及SRS的修改应更新SRS;工程投运后发生对SRS有影响的变更时应更新。各版本可采用版次设计的方式编写。对SRS有影响的变更包括联锁逻辑定级运行模式联锁设定值仪表选型表决结构失效数据验证等方面的变化。S安全生命周期SRS4中的图1SRS4的规定应用程序安全要求应用程序安全要求可作为SRS中的一部分也作为一个独立文档例如应用程序要求规格书 应用程序安全要求应从SRS和S的架构布局和内部结构中推导。每个子系统的应用程序安全要求输入信息应包括:每个的安全要求包括测量仪表表决等S架构和安全手册提出的要求例如硬件和嵌入式软件的限制和约束1相关的安全计划的要求应为每个可编程控制器规定应用程序安全要求 应用程序的设计编程组态测试集成确认运行维护及变更等应符合SRS和工程设计文件的要求。 应规定应用程序进行离线和在线测试的方式。应用程序应在确认其功能满足特定的目标和要求后再投入运行。 应用程序应同时进行本地备份和异地备份。数据宜采用光盘或磁介质进行复制和备份电子版文件的复制应防止病毒。逻辑设计应具有可读性复杂功能逻辑图应有相应的逻辑功能说明 应用程序组态编程应与逻辑说明逻辑图因果表一致。程序执行顺序及时间应符合过程安全的要求。应用程序设计和组态宜使用标准功能块。标准功能块应为经功能测试正确的逻辑功能块应用程序安全要求的内容应符合4中2的规定。应用程序安全要求的编写应符合以下要求应包括描述支持应用程序安全要求的意图和方法对S安全生命周期任何阶段将使用该文档的人员来说应是清晰的不会有歧义并且易于理解的人员包括设计人员验证人员工厂操作人员维护人员和应用编程人员等;应可验证可测试和可修改通过相关文件应可追溯包括详细设计文档SRS以及识别所需的和的PHAS总体和通用要求通则S的工程设计验证选型制造安装硬件系统集成软件组态编程系统测试验收运行维护安全管理策略等应符合本设计文件安全手册等的要求接口S逻辑控制器的接口输入输出卡件信号通道应带光电或电磁隔离检测同一过程变量的冗余测量仪表信号宜接到不同输入卡件冗余的最终元件宜接到不同的输出卡件每一输出信号通道应只接一个最终元件输入输出卡件不应采用现场总线数字信号本安回路应采用隔离型安全栅输入输出回路宜具有线路断路和短路检测功能并在安全仪表系统中报警和记录S逻辑控制器与S辅助操作台之间的信号往来采用硬接线包括以下信号S辅助操作台上的紧急停车按钮至S逻辑控制器的紧急停车信号S逻辑控制器的输出至S辅助操作台上的报警灯屏的信号S辅助操作台上的允许旁路开关至S逻辑控制器的允许旁路信号其他信号根据设计文件设置S逻辑控制器的网络和通信接口S逻辑控制器的输入输出信号均应通信至 S5SP通信协议接入基本过程控制系统的交换机时应采取工业防火墙等网络安全措施。S与BPCS通信接口应冗余配置。通信接口应有诊断功能S与BPCS通信不应通过工厂管理网络传输。除旁路信号和复位信号外S不应采用通信方式向S发送指令 除BPCS外S与其他系统之间不应设置通信接口。S与其他系统之间的连接应采用硬接线方式。 通信接口的故障不应影响S的安全功能。通信接口故障应在操作员站或工程师站显示、报警。网络和通信接口负荷不应超过%采用以太网的通信负荷不应超过0% S应通过冗余配置的工业交换机组网。的交换机不宜采用级联或堆叠方式扩展交换机端口数量。S的人机接口 S宜设置操作员站操作员站可采用S的操作员站也可采用BPCS的操作员站。在操作员站失效时S的逻辑处理功能不应受影响。本项目装置设置操作员站并采用的操作员站。本项目装置测量仪表的输入信号均应设置联锁值越限报警旁路开关不应屏蔽报警功能本项目装置联锁的输入和输出信号均应做报警画面S操作员站应作为过程信号报警和联锁动作报警的显示和记录S操作员站不应具有修改安全仪表系统应用程序的功能或权限S操作员站设置的软件旁路开关应加键锁或口令保护并应设置旁路状态报警和记录 S操作员站应提供程序运行状态联锁动作输出状态诊断结果等显示报警及记录等功能。基本过程控制系统的操作员站可设置安全仪表系统安全联锁动作前的预报警S事件顺序记录站采用可编程电子系统的应设事件顺序记录站。事件顺序记录站可单独设置也可与S的工程师站共用。工程师站和事件顺序记录站应采用专用计算机 本项目装置单独设置S事件顺序记录站。S事件顺序记录站记录的历史数据保存时间不小于应能通过其他存储介质备份更长时间。 S事件顺序记录站应记录每个事件的时间日期标识状态等。事件顺序记录站应设密码保护。S时钟同步 S应采用同一时钟源。的逻辑控制器工程师站操作员站等设备可采用逻辑控制器的时钟作为时钟源使S内设备的时钟一致。S供电S的测量仪表逻辑控制器最终执行机构均应采用不间断电源供电供电应符合2的规定。动力中断电源气源等动力中断时仪表的状态应符合设计文件的要求和本SRS的要求选型S测量仪表逻辑控制器最终执行机构的选型应符合本设计文件安装环境等要求S逻辑控制器的应用程序应用程序的组态应使用制造商的标准组态工具软件应用程序组态工具软件应具有下列功能应用程序版本管理应用程序正确性检查标准功能块及其符号说明应用程序的编辑编译下装及运行管理应用程序的离线仿真测试功能组态管理功能 应用程序的设计编程组态测试集成确认运行维护及变更等应符合本SRS和工程设计文件的要求。应用程序应进行离线和在线测试确认其功能满足特定的目标和要求后再投入运行数据宜采用光盘或磁介质进行复制和备份电子版文件的复制应防止病毒应用程序应同时进行本地备份和异地备份网络信息安全应进行网络安全风险评估或分析采取相应的网络安全策略和安防措施S宜按生产装置或联合装置进行物理网络分区不同网络分区应相互隔离S不应接入无线仪表和无线网络 S的服务器操作员站工程师站事件顺序记录站及其他终端设备应采取防病毒等保护措施。防病毒软件宜采用基于信任机制的白名单技术。 S应与工厂信息网络直接相连。与S无关的设备或网络不应接入S网络或利用网络传输数据。确认 S投入使用前应开展确认工作。确认工作是指检查最终交付的的硬件软件应用程序等符合SRS和S其他相关安全技术要求并与工程设计文件一致。S的确认工作宜包括下列内容S逻辑控制器验收测试发现的问题已整改测量仪表逻辑控制器最终执行机构等的设置与安装符合SRS和S其他相关安全技术要求安全手册和工程设计文件;S的联合调试符合SRS和S其他相关安全技术要求以及工程设计文件要求供电接地供气保温伴热等符合工程设计文件S维护旁路和操作旁路紧急停车复位等功能正常S相关技术文件完整准确确认工作应记录归档F通用要求安全关键和非安全关键 在对联锁逻辑确定具体时应区分联锁逻辑中的安全关键和非安全关键。属于安全关键只有安全关键才有可能属于非安全关键不属于不应参与验证。注1:联锁逻辑不等同于。应有特定的等级是对某一场景的安全保护功能。联锁逻辑是采用因果关系对保护功能的表达。联锁逻辑可以有等级要求也可以没有等级要求。只有具有等级要求的联锁逻辑才属于。一个具有等级要求的联锁逻辑可能是一个也可能包含多个反之亦然。注2:区分安全关键和非安全关键确定定级的工作。如果验证中发现中包括了非安全关键可提出复核要求并由相关人员确定安全关键和非安全关键以及。A分析报告宜说明选择安全关键的理由区别安全关键的风险和非安全关键的风险辨识。运行模式除非特殊说明F均为低要求模式L等级F33L等级低要求运行模式在连续运行模式或高要求运行模式时F的等级应采用PFH衡量4确定4L等级连续运行模式或高要求运行模式的等级应根据定级确定。 石油化工和化工装置等级不应高于级。如果在确定等级时有可能达到应重新分配保护层的安全功能或采用多个独立的使等级不高于。F目标失效量应确定用于验证的目标失效量。定级给出明确的目标失效量时F目标失效量应采用此目标失效量。定级没有给出明确的目标失效量只给出等级时F目标失效量应参考3可采用要求达到的PFDavgRRFPFH,例如1gF响应时间 的响应时间应小于过程安全时间并有满足标准要求的足够的安全余量。本项目装置采用的响应时间应小于过程安全时间的。注F的响应时间=测量仪表响应时间+逻辑控制器响应时间包括输入逻辑运算和输出等环节+最终执行机构响应时间+各个环节的滞后时间。S测量仪表逻辑控制器最终执行机构的响应时间应符合本SRS和设计文件的要求最高允许的当的误动作可能造成的损失大于可容忍程度时可规定可用性要求并验证满足可用性要求例如验证的STR满足企业可用性要求。本项目装置没有可用性要求不需要进行可用性验算手动停车手动停车包括现场操作柱控制室辅助操作台紧急停车按钮S操作站软按钮等手动停车应根据本SRS和设计文件进行设置紧急停车按钮应符合如下规定紧急停车按钮宜设置在辅助操作台或现场应带防护罩紧急停车按钮动作应设状态报警和记录紧急停车按钮不应设维护旁路开关或操作旁路开关复位 S应被设计成一旦其将过程置于某个安全状态除非另有规定过程应保持在该安全状态直至工艺过程恢复正常并且S被复位。本项目装置复位按钮采用S操作站软按钮复位按钮的动作应设置事件记录操作模式 装置操作模式通常包括检修或紧急停车后的开车正常操作正常停车临时操作紧急操作、紧急停车牌号切换等。 数据表中应说明装置各种操作模式及每种模式下的相关要求。没有需要说明的则不填写。检验测试间隔 S或安全子系统的TI的确定宜综合考虑验证的符合性制造商要求和企业检维修与停车的整体规划。STI宜与企业计划停车检修时间间隔相同。 为满足验证的符合性S或安全子系统的TI与企业计划停车检修时间间隔相同具有困难时可采用不同的时间间隔。同一的测量仪表最终执行机构和逻辑控制器可采用不同的。 应根据历史检验测试数据工厂经验硬件退化情况企业计划停车检修时间间隔等各种因素定期和需要时重新评估检验测试间隔。 企业计划停车检修时间间隔大于I时应具备满足要求的在线检验测试设施并应制定详细的在线检验测试程序应有安全补偿措施分析并保证在线检验测试的安全性。在线检验测试设施应为S设计的必要组成部分。验证应按照实际的TI进行验证。检验测试的实施 检验测试应包括F测量仪表逻辑控制器最终执行机构的检验测试并应进行F回路的检验测试包括从F测量仪表到逻辑控制器逻辑控制器到最终执行机构的信号通路的检验测试等。应确定每个的检验测试文件包括检验测试程序评估细则需要的工具清单等 检验测试的内容应包括制造商特定要求的检验测试内容还应包括设计文件安全手册等要求的检验测试内容。检验测试的实施应符合本设计文件安全手册制造商要求厂家资料等的规定检验测试的实施可参考3的相关规定功能安全认证用于逻辑控制器的可编程电子系统应取得功能安全认证测量仪表和最终执行机构可取得功能安全认证也可没有功能安全认证测量仪表最终执行机构逻辑控制器的性能和设置应满足本SRS要求失效率数据可靠性数据的验证计算采用的仪表设备失效率数据可靠性数据宜来自以往使用数据认证报告公开发行的工业数据库或手册等。检测到故障时的响应在S中检测通过诊断测试检验测试或其他方式到一个危险故障时应执行联锁或采取补偿措施来维持安全运行。如果不能维持安全运行则应采取规定的动作来达到或保持过程的安全状态。如果补偿措施依赖于操作员执行规定动作来响应某个报警如打开或关闭阀门该报警则应作为S的组成部分。注检测到故障未立即执行联锁而是采取补偿措施来维持安全运行时应有时间限制除非另有规定时间不应超过。在T时间内应有满足要求的补偿措施来维持安全运行达到T时间如果仍然不能解除故障并恢复正常应立即执行联锁。在T时间内如果不能维持安全运行应立即执行联锁。注2:可以在SRS中规定达到或保持过程的安全状态所需的特定动作故障响应它可以是过程的安全停车也可以是依赖于该故障降低风险过程的一部分。注维持安全运行所需的补偿措施取决于安全完整性要求危险事件对应的可容忍风险S硬件故障裕度预期的平均维修时间以及其他保护层的可用性。在某些情况下只要采取动作确保在g计算时假设的T时间内完成危险失效的维修即可但在其他情况下可能需要提供其他措施来补偿缺失的风险降低直至S完全恢复。 当S的某个危险故障是通过某个报警来获得操作员注意时应对该报警进行适当的检验测试和变更管理。应确定检测到故障时的系统行为对验证的影响故障模式两种常见的故障模式如下将测量仪表配置成故障导向执行联锁的状态将测量仪表配置成故障导向远离执行联锁的状态即不执行联锁注如果将测量仪表设计成故障导向远离执行联锁的状态即不执行联锁确保操作员能得到测量仪表故障的报警以及培训操作员采取的纠正动作。关于对检测出故障的要求见。除非特殊说明本项目装置测量仪表检测到故障时应配置成故障导向联锁状态注考虑到满足要求的补偿措施的确定具有一定的复杂性以及在T时间内可以解除故障并恢复正常具有一定的难度和不确定性本项目装置采用了1两种常见故障模式中的。当有可用性需求时本项目装置采用的是通过可用性冗余配置实现而不是通过1中的的方式实现。失电联锁和得电联锁 除非特殊说明F测量仪表作为联锁输入触发条件时对于开关量类型的F测量仪表例如压力开关液位开关阀位回讯等其输出接点应设计成故障安全型在工况异常达到联锁条件)时输出接点断开直接触发或者与其他逻辑输入信号逻辑组合后触发执行联锁。 除非特殊说明F测量仪表作为允许启动输入触发条件时对于开关量类型的F测量仪表例如压力开关液位开关阀位回讯等其输出接点应设计成故障安全型在工况达到允许启动条件时输出接点闭合直接触发或者与其他逻辑输入信号逻辑组合后触发允许启动逻辑。 除非特殊说明F最终执行机构为气动控制阀时应设计为联锁触发条件满足时F逻辑控制器输出断开接点信号气动控制阀的电磁阀失电执行联锁。 除非特殊说明MCC的联锁停机信号对于中高压电机接点闭合停机接点断开无动作对于低压电机接点断开停机接点闭合无动作。 除非特殊说明MCC的启动电机信号接点闭合启动接点断开无动作MCC的允许启动信号接点闭合允许启动接点断开无动作。 除非特殊说明S辅助操作台上的紧急停车按钮至逻辑控制器的紧急停车信号接点断开联锁停车接点闭合无动作。 除非特殊说明S逻辑控制器的输出至辅助操作台上的报警灯屏的信号接点闭合为报警。 除非特殊说明S辅助操作台上的允许旁路开关至逻辑控制器的允许旁路信号接点闭合为允许旁路接点断开为不允许旁路。维护旁路开关 维护旁路开关用于现场仪表和线路维护时旁路信号输入使安全仪表系统逻辑控制器的输入信号处于正常状态。维护旁路开关采用软件开关的方式时每个安全联锁单元或工艺区域宜设硬件允许旁路”开关作为软件维护旁路开关的允许条件。当维护旁路开关切换到旁路位置且允许旁路开关切换到允许位置时方可实现旁路功能。可对一次允许旁路操作的仪表数量进行限制允许旁路开关宜布置在辅助操作台上由操作员管理允许旁路开关和软维护旁路开关设置示例见图。本项目装置在辅助操作台上设置一个硬件允许旁路开关同时一次允许旁路操作的仪表数量限制为不应超过2个。1允许旁路开关与软维护旁路开关设置示例除非特殊说明本项目装置测量仪表均设置维护旁路开关本项目装置维护旁路开关采用S操作站软开关 维护旁路开关应设置在测量仪表输入信号通道上手动紧急停车输入信号不应设维护旁路开关S输出信号不应设维护旁路开关。维护旁路开关的操作应有报警和记录。维护旁路开关不应用于其他用途 处于维护旁路状态时应能监测工艺过程状态应定期提示操作员F处于维护旁路状态直至旁路解除。设置旁路计时报警当旁路时间超过h仍未解除时再次报警。维护旁路开关正常时应置于非旁路状态 维护旁路开关的操作应严格管理。在由于旁路维修或测试导致S被禁用或降级时应在相应的操作限制下持续时间过程参数等采取补偿措施以维持安全。应向操作员提供旁路前和旁路中适用的规程旁路移除前应做什么以及处于旁路状态的最大允许持续时间等信息。这些信息应定期复审。注:操作和维护规程可包括检验测试后是否移除旁路的验证 当某个S设备被旁路时只有在危险分析确定已实施补偿措施且其提供了足够的风险降低的情况下才允许过程继续运行。应制定相应的操作规程。操作旁路开关 操作旁路开关用于工艺开工和特殊过渡过程在开工过程中输入信号还没正常之前使用将输入信号暂时旁路使安全仪表系统逻辑控制器的输入不受输入信号的影响。工艺过程正常后操作旁路开关应置于非旁路状态保持安全仪表系统的完整和正常运行。应当严格限制操作旁路开关的使用。操作旁路开关在工艺非开工时间应置于非旁路状态。操作旁路开关不应用于其他用途。 当工艺过程变量从初始值变化到工艺条件正常值信号状态不改变时不应设置操作旁路开关当工艺过程变量从初始值变化到工艺条件正常值信号状态发生改变且无旁路不能建立正常工艺条件时应设置操作旁路开关。 操作旁路开关应设置在输入信号通道上输出信号不应设置操作旁路开关操作旁路开关的动作应设置报警和记录。本项目装置操作旁路开关采用S操作站软开关阀门部分行程测试 阀门T设施通常用于紧急停车状态为关闭位置的气动切断阀。装置正常运行时在不影响过程正常运行和安全前提下对处于全开位置的气动切断阀关闭部分行程应控制阀门T可以关闭的行程以保证不干扰过程控制F的动作应优先于阀门。气动切断阀T设施可分为机械制动智能阀门定位器智能阀位变送器电磁阀组等方式。 企业根据生产管理需求对气动切断阀需要采用较长的检验测试间隔且不具备在线测试手段在不能满足L验证或者工程公司专利商有要求时可设置阀门T设施。%阀门PST的配置和要求宜符合1的相关规定。阀门PST不应降低的可靠性。F应制定完善的阀门PST管理制度F的独立性 同一个测量仪表逻辑控制器最终执行机构和关联设备可用于不同的共用部分应满足所有相关F的包括F要求和L要求并应进行验证。S逻辑控制器应独立于BPCS控制器并应独立完成。逻辑控制器可执行非。应具有优先权非的失效或指令不应影响的有效性包括不应降低的。F的冗余配置的冗余配置包括安全性冗余配置和可用性冗余配置 g安全性冗余配置还应符合0的相关规定。注1:根据要求的等级结合标准规范和监管文件的要求工程经验给出初步设计方案包括冗余配置方案在确定仪表选型后再验证冗余配置方案合规性如果有不满足则调整设计方案直至满足合规性。注2:SIF要达到合规性判定包括同时满足以下要求2HFT满足的要求2的注SC达到或以上2的注其他标准规范和监管文件要求的相关要求2的注6注7Dvg注4:HFT对安全性冗余配置的要求和验证可参考中的。注5:SC对安全性冗余配置的要求和验证可参考中的。的可采用单一测量仪表可采用单一控制阀的宜采用冗余测量仪表宜采用冗余控制阀的应采用冗余测量仪表应采用冗余控制阀注7:本项目装置规定逻辑控制器采用兼顾安全性和可用性的配置可用性冗余配置应满足法律法规规章标准规范要求和企业可容忍风险标准的要求。在的误停车不涉及法律法规规章标准规范要求时企业可决定最高允许的并据此确定的可用性配置。当测量仪表需要调整安全性或者可用性冗余结构时可参考表5和表6进行合理调整冗余配置的同一变量测量仪表宜设置偏差报警5冗余结构示例单一仪表安全性冗余结构可用性冗余结构兼顾安全性和可用性的冗余结构6冗余结构的调整对安全性和可用性的影响冗余结构的调整安全性可用性备注改为提高降低提高了安全性降低了可用性改为改为降低提高提高提高降低了安全性提高了可用性兼顾了安全性和可用性改为小幅降低提高兼顾了安全性和可用性改为提高小幅降低兼顾了安全性和可用性共因失效 可行的范围内应减少共因失效。在确定共因失效系数时应识别和考虑共因失效根源。共因失效根源举例如下:物理和化学设备在共同的内部或外部条件下导致冻结堵塞自聚等机械设备在共同的机械影响下例如震动技术设备使用了相同或者相似的技术电气设备共用电源仪表路径接线柜环境设备暴露于相同的环境例如电磁干扰人为因素设备由相同或相似的人员设计安装维护和测试 减少共因失效可从共因失效根源着手采用多种举措实现包括冗余设备和相关敷设设备的独立性物理上的分类多样性良好的工程实践等。 除非特殊说明本项目装置共因失效因子T6的相关说明进行评估确定7确定。7中的β值应根据现场实际情况进行修正。7典型仪表共因失效因子参考值名称共因失效因子β)测量仪表开关变送器可燃气毒性气探测器最终执行机构切断阀电磁阀同一阀门电磁阀不同阀门控制阀泄压阀继电器隔离措施 当安全仪表系统输入输出信号线路中有可能存在来自外部的危险干扰信号时应采取隔离器继电器等隔离措施。 本项目装置来自MCC的S数字量输入信号和至MCC的S数字量输出信号均在S侧配置继电器进行隔离。取源S测量仪表的取源点宜独立于BPCS测量仪表的取源点S不同测量仪表的取源点宜独立设置L验证范 验证应以回路进行应包括测量仪表逻辑控制器控制阀部分附属设备。应包含在验算中的附属设备包括安全栅隔离栅电涌防护器侧继电器侧隔离器一入二出信号分配器等。可不包含在验算中的附属设备包括引压管电缆接线箱端子排电源伴热、电机电气侧继电器等。控制阀的执行机构电磁阀阀体均应参与验算非可不进行验算 除非S紧急停车按钮和相关环节包括操作人员和获取信息的措施满足功能安全标准的要求并获得置信S紧急停车按钮不应参与L验算不应降低F可以达到的危险失效率。 非安全关键测量仪表和非安全关键最终执行机构不应参与L验算不应降低F可以达到的危险失效率。测量仪表和最终执行机构的共用1的F测量仪表和最终执行机构宜与BPCS测量仪表和最终执行机构分开设置。2和3的F测量仪表和最终执行机构应与BPCS测量仪表和最终执行机构分开设置。当S与BPCS共用测量仪表和最终执行机构时所有部分、所有部分0的相关规定。应具有优先权S的失效或指令不应影响S的功能安全包括不应降低的等级。 当S与BPCS共用测量仪表和最终执行机构时共用设备应同时满足相关BPCS控制的要求包括本SRS和设计文件的要求。 S与S共用气动调节阀时应配置S驱动的电磁阀确保安全仪表系统的动作优先并独立完成。电磁阀应安装在阀门定位器与执行机构之间电磁阀宜采用C长期励磁型电磁阀电源应由S提供。 当S与S共用测量仪表和最终执行机构时应进行L验证。应分析S与S共用设备对F的L定级的影响L验证时应注意S与S共用设备对运行模式的影响例如从低要求运行模式改变为连续运行模式。共用设备应满足F安全生命周期的相关要求包括维护规程和策略。L验证不合格调整验证不满足要求时可采取下列措施选择高可靠性设备提高冗余配置如适用提高检验测试覆盖率减少共因失效重新进行安全评估考虑是否可以通过增加保护层来降低等级要求变更有变动时包括仪表设备的型号软件的版本号制造商联锁逻辑独立和共用场景等方面的变动应重新开展评估包括定级和验证。安全手册 安全手册的目的是用文件记录如何才能安全应用某设备S子系统或系统的所有相关必要信息。安全手册内容应涵盖在设备的预期配置和预期运行环境下S相关的运行维护故障检测和约束 安全仪表系统安全手册包括逻辑控制器制造商及关联设备制造商的安全手册现场测量仪表及最终元件制造商的安全手册。 F相关仪表的工程设计验证选型制造安装运行操作维护检验测试安全管理策略等应符合本设计文件安全手册等的要求。降级检测到故障时的响应应符合4的规定失效模式应符合5的规定。除非特殊说明本项目装置中S测量仪表诊断出故障后的降级策略见表8S测量仪表诊断出故障后的降级策略初始表决一个仪表检测到故障后的表决降级二个仪表检测到故障后的表决降级三个仪表检测到故障后的表决降级四取三三取二二取一执行联锁四取二三取一执行联锁执行联锁三取二二取一执行联锁执行联锁三取一执行联锁执行联锁执行联锁二取二一取一执行联锁不适用二取一执行联锁执行联锁不适用一取一执行联锁不适用不适用除非特殊说明本项目装置测量仪表检测到故障时应配置成故障导向联锁状态注考虑到满足要求的补偿措施的确定具有一定的复杂性以及在T时间内可以解除故障并恢复正常具有一定的难度和不确定性本项目装置采用了1两种常见故障模式中的。当有可用性需求时本项目装置采用的是通过可用性冗余配置实现而不是通过1中的的方式实现。应用程序应用程序安全要求应用程序的开发和测试应符合本设计文件的相关规定非F联锁S注1:PFDavg介于10-1和1之间的联锁保护功能在实际工程中通常是指评估未达到级但具有风险降低要求的联锁保护功能。PFDavg介于10-1和1之间的联锁保护功能不需要进行验证。注2:有些资料文献和标准将PFDavg介于10-1和1之间的联锁保护功能称为或者的联锁保护功能。或者的联锁保护不属于a和不是等级L等级有且仅有四个级别。33定时联锁保护应由实现。例如L定级某联锁保护PFDavg为RRF为假设同一个事故场景中S已经作为IPL达到两次第一次为BPCS控制第二次为BPCS报警和人员响应并且RRF分别取22联锁保护不应由BPCS实现此时有两个可行工程设计方案一是此RRF为5的风险缺口联锁保护由S实现二是将RRF10BPCS联锁和RRF5的风险缺口联锁合并为联锁,RRF定级为由实现。PFDavg为2的风险缺口RRF为5,RRF为5的风险缺口联锁保护不应由BPCS实现此时有两个可行工程设计方案一是此RRF为5的风险缺口联锁保护由实现二是将RRF为10的多个回路作为 BPCS作为IE时在同一个场景中BPCS作为应不超过一次RRF应小于或等于。 应小于或等于S作为RRF应小于或等于。以下两种情况应按照7相关要求进行评估了控制器;控制器。测量仪表的信号延迟 当希望减少因测量仪表虚假信号引起的误停车可在S逻辑控制器实现逻辑功能组态时加测量仪表的信号延迟只有当测量仪表信号达到联锁设定值并保持达到联锁设定值超过一个特定的延迟时间才算达到了联锁设定值并执行联锁。延迟时间应根据仪表类型和工艺过程的特点确定应符合本S和设计文件的规定。延迟时间应计入F响应时间并应符合5的规定。除非另有规定当过程安全时间小于等于时不应设置测量仪表的信号延迟要求来源和要求发生的频率的运行方式包括低要求模式高要求模式连续模式含义如下低要求模式在这种运行模式下F只有在要求时才动作以将过程导入一个特定