《工业过程测量和控制系统完整性管理规范》

1工业过程测量和控制系统完整性管理规范本文件规定了工业过程测量和控制系统完整性管理总体要求，以及建设期、运行期、报废期完整性管理的具体要求。本文件适用于工业过程测量与控制系统的完整性管理，包括检测单元、执行单元、基本过程控制系统（BPCS）、安全仪表系统（SIS）、燃烧管理系统（BMS）、可燃气体和有毒气体检测报警系统（GDS）、火灾报警系统（FAS）等的完整性管理活动。本文件不适用于相关产品的研发和制造。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中,注日期的引用文件,仅该日期对应的版本适用于本文件;不注日期的引用文件,其最新版本（包括所有的修改单）适用于本文件。GB/T21109.1过程工业领域安全仪表系统的功能安全第1部分：框架、定义、系统、硬件和应用编程要求GB/T22239信息安全技术网络安全等级保护基本要求GB/T25928过程工业自动化系统出厂验收测试（FAT）、现场验收测试（SAT）、现场综合测试（SIT）规范GB/T28448信息安全技术网络安全等级保护测评要求GB/T38852.1-2020工业过程测量控制和自动化系统评估中系统特性的评定第1部分：术语和基本概念IEC61069（所有部分）工业过程测量控制和自动化系统评估中系统特性的评定（Industrial–processmeasurement,controlandautomation–Evaluationofsystempropertiesforthepurposeofsystemassessment）IEC62381过程工业自动化系统出厂验收测试（FAT）、现场验收测试（SAT）、现场综合测试（SITAutomationsystemsintheprocessindustry–Factoryacceptancetest(FAT),siteacceptancetest(SAT),andsiteintegrationtest(SIT)）3术语和定义GB/T38852.1、GB/T21109.1、IEC61069-1界定的以及下列术语和定义适用于本文件。3.1完整性integrity当没有给出可能导致任务不正确执行的系统的任何状态信息时，系统提供的任务将正确执行的保2注：完整性也包括安全完整性内容，与功能安全相关的安全完整性要求参见GB/T21109。[来源：GB/T38852.1-2020，3.1.37]3.2完整性管理integritymanagement旨在保证工业过程测量和控制系统安全、可靠运行，对面临的风险因素，不断进行风险评估，持续采取各种削减措施，将风险控制在可接受范围内的管理活动。3.3工业过程测量和控制系统industrialprocessmeasurementandcontrolsystemsIPMCS通过测量感知工业过程状态，经控制逻辑运算后输出执行指令，实现对过程的监测、调节、控制和保护的集成化系统，包括检测单元、控制系统和执行单元等。3.4完整性管理生命周期integritymanagementlifecycle从项目设计前期开始到工业过程测量和控制系统报废为止所开展的完整性管理周期，包括建设期、运行期、报废期。3.5故障fault由于某个内部状态，无能力按要求执行。注：故障可能由部件本身的失效引发，也可能由生命周期早先阶段（如规范、设计、制造或维护）的缺陷引发。[来源：GB/T21109.1-2022，3.2.19]3.6风险评估riskassessment对工业过程测量和控制系统开展风险分析，确定其风险水平，并制定风险削减措施的过程。3.7效能评价performanceassessment对系统执行某一项任务结果或者进程的质量好坏、作用大小、自身状态等效能效率指标的量化计算或结论性评价。3.8完整性评测integrityassessmentandtest对工业过程测量和控制系统在功能性、性能、可维护性、信任性、安全性方面进行的评价检查、测试确认活动。3.9功能性functionality系统为执行系统使命要求的任务而提供功能的程度。[来源：GB/T38852.1-2020，3.1.29]3.10可信性dependability在要求的外部资源得到保证的前提下，系统能够在给定条件下，在给定时刻或给定时间内正确地专门执行一项任务的可信赖程度。[来源：GB/T38852.1-2020，3.1.22]33.11性能performance系统在规定条件下执行任务的准确性和速度。[来源：GB/T38852.1-2020，3.1.49]3.12可操作性operability系统提供的操作方式能高效、直观、透明、稳健地完成操作人员任务的程度。[来源：GB/T38852.1-2020，3.1.45]3.13可维护性maintainability系统在给定条件下采用规定程序和资源进行维护后，可在给定使用条件下保持或恢复到能完成规定功能的状态的能力。[来源：GB/T38852.1-2020，3.1.39]3.14可用性availability在要求的外部资源得到保证的前提下，在给定时刻或给定时间内，处于执行所要求功能的状态的[来源：GB/T38852.1-2020，3.1.9]3.15可靠性reliability在给定条件下和给定时间间隔内，执行所需功能的能力。[来源：GB/T38852.1-2020，3.1.50]3.16信任性credibility系统能够识别系统状态并发出相应信号，抵制错误输入或未经许可的访问的程度。[来源：GB/T38852.1-2020，3.1.19]3.17其他系统特性othersystemproperties其他系统特性是指IEC61069-3～IEC61069-7中没有说明的系统特性。对其他系统特性的描述参注：其他系统特性的例子包括但不限于以下： 由供应商和用户提供的系统支持，文件、培训、备用配件等； 硬件和软件的兼容性，通信等； 物理特性，如散热、重量等。 上面所列的每个其他系统特性可以分解为若干个相关特征。[来源：GB/T38852.1-2020，5.2.7]3.18安全性safety所考虑的功能和物理单元对外部不产生不可接受的风险。[来源：GB/T38852.1-2020，3.1.55]44缩略语下列缩略语适用于本文件。ALARP：最低合理可行原则（AsLowAsReasonablyPracticable）BPCS：基本过程控制系统（BasicProcessControlSystem）FAT：出厂验收测试（FactoryAcceptanceTest）FIT：出厂综合测试（FactoryIntegrationTest）FMEA：失效模式与影响分析（FailureModeandEffectsAnalysis）HMI：人机界面（HumanMachineInterface）ITPM：检验、测试与预防性维护（Inspection,Testing,andPreventiveMaintenance）MTTR：平均修复时间（MeanTimeToRepair）PHA：过程危害分析（ProcessHazardAnalysis）PLC：可编程逻辑控制器（ProgrammableLogicController）SAT：现场验收测试（SiteAcceptanceTest）SIS：安全仪表系统（SafetyInstrumentedSystem）SIT：现场综合测试（SiteIntegrationTest）SIL：安全完整性等级（SafetyIntegrityLevel）SMART：具体、可衡量、可实现、相关、时限的（Specific,Measurable,Achievable,Relevant,Time-bound）SOE：事件顺序记录（SequenceofEvents）5总体要求5.1完整性管理应贯穿工业过程测量和控制系统的全生命周期各个阶段，包括建设期、运行期和报废期。工业过程测量和控制系统完整性管理流程见图1。5.2建设期工业过程测量和控制系统完整性管理应涵盖设计、采购、施工和验收各阶段。5.3运行期工业过程测量和控制系统完整性管理是持续循环和改进的过程，主要流程应包括数据采集、风险评估、完整性评测、风险削减与维护维修、效能评价五部分内容。注：针对已建工业过程测量和控制系统，运行期完整性管理仅开展已具备指标评测。5.4运行期因检修或故障处置暂时停用的工业过程测量和控制系统再次启用，应按照检修方案开展启用前检查确认。因生产计划调整或系统改造导致工业过程测量和控制系统停用，应在停用方案中明确相关流程及管理要求，重新启用前应开展风险评估和完整性评测，满足启用条件才能重新投入使用。5.5工业过程测量和控制系统发生设计改变、系统软件升级、技术规格不同硬件更换，控制、报警、联锁功能的硬件或软件组态程序的新增、修改、移除或旁路等变更时，应开展风险评估和完整性评5.6报废期工业过程测量和控制系统应持续实施完整性管理，采取措施防范安全和环境风险。5.7数据采集应从建设期开始，贯穿运行期和报废期的各个阶段，并持续进行更新。55.8运营单位应明确工业过程测量和控制系统完整性管理的负责部门、岗位及职责能力要求，并对完整性管理从业人员进行培训。5.9运营单位应定期编制工业过程测量和控制系统完整性管理方案，包括完整性管理工作计划、资源匹配、实施要求、效能评价等内容。图11工业过程测量和控制系统完整性管理流程6建设期完整性管理6.1设计阶段6.1.1设计阶段应根据工业过程测量和控制系统建设期完整性管理要求，细化相关设计标准和设计内容，为工业过程测量和控制系统完整性管理奠定基础。注：本文件中的设计阶段包括设计前期和工程设计，设计前期通常包含可行性研究报告、方案、概念设计等。6.1.2应在设计前期阶段编制完整性管理章节，包括： 系统完整性目标与分类分级原则；注1：根据工业过程测量和控制系统所服务的工艺场景，对各类检测单元、执行单元和控制系统提出完整性管理要6 系统功能性、性能、可维护性、信任性、可操作性、安全性的需求； 数据采集与移交的策略、范围及要求。注2：数据采集包括工业过程测量和控制系统实时健康状态数据采集，设计文件要求的数据采集以及模型等数据的6.1.3应在工程设计阶段响应设计前期阶段确定的完整性管理要求，包括： 工业过程测量和控制系统的主要功能、架构、软硬件配置、完整性等级等设计内容； 基于过程危害分析（PHA）的分析结果，确定工业过程测量和控制系统硬件冗余架构、逻辑功能、主要软硬件选型及性能指标等设计内容； 工业过程测量和控制系统施工、调试、验收的相关管理要求； 明确建设期数据采集的范围、标准、交付要求等相关设计内容。6.2采购阶段6.2.1应根据工程设计编制技术规格书，明确产品技术参数、硬件冗余架构、软件逻辑功能、性能指标、产品认证、交付条件等相关内容，审定的技术规格书应纳入采购文件。6.2.2应组织对供应商资质开展书面审查和工厂现场复核，确保供应商资质、生产技术能力、质量控制、已有产品技术参数和性能指标等符合采购方的需求。注1：供应商资质一般包括：质量体系认证证书等资质。注2：产品认证一般包括：SIS的SIL证书、防腐、防爆、防护等认证。6.2.3发货前应组织开展出厂验收测试（FAT），供应商应编制FAT程序文件及计划并通过审核。用户或其代表根据采购文件约定见证FAT过程，测试发现的尾项宜全部整改完成。6.2.4发货前宜组织开展出厂综合测试（FIT），该测试在FAT之后或与FAT同时进行，供应商编制FIT程序文件及计划并通过审核，用户或其代表根据采购文件约定见证FIT过程，测试发现的尾项宜全部整改完成。6.2.5在开始FAT之前，应完成供应商测试、文件资料准备、测试计划编制、测试进度计划编制。FAT测试内容包括但不限于： 硬件/软件清单检查； 启动、关机和重启测试及系统通用功能； 硬件冗余和诊断（包括冗余单元的故障和切换）； 操作站和工程师站功能； 测试I/O至操作员显示画面； 智能现场设备（如果适用）； 与子系统通信链接的测试； 7 其他系统功能的检查等。注：FAT检查清单参见附录B。6.2.6FIT中开展的测试内容，属于现场综合测试（SIT）期间应执行的全部或部分系统互操作性测试。无论FIT是否执行，所有SIT测试内容均应在所有系统、子系统及组件安装完毕后在现场进行测试验证。FIT测试内容应包括但不限于： 注1：FAT、FIT通常由供应商执行，用户负责见证，如果有些用户希望自行执行FAT、FIT的某些部分，可根据项目具体情况确定。FIT检查清单与SIT检查清单一致。注2：FIT与SIT是工业过程测量和控制系统中两类不同阶段的综合测试。FIT为可选测试项，在工厂环境下进行；SIT为现场必测项，系统安装完成后在用户现场执行。6.2.7供货时随产品资料应包括供货清单、系统功能说明、系统配置图、系统设计文件、详细的产品或系统使用中文说明书/手册、试验及检验证书、实验报告、系统工程组态程序文件、组态工具、FAT测试报告及整改记录、现场验收测试（SAT）步骤及计划等。6.2.8采购物资到货后，应依据采购文件及技术规格书进行验收，包括数量核对、外观检查、技术资料完整性核查等。6.3施工阶段6.3.1施工组织设计或施工技术方案中应包含工业过程测量和控制系统完整性管理内容，明确施工过程中的管理职责、关键质量控制点等。6.3.2系统上电前，应由建设单位组织施工、监理及厂商等单位开展相关检查，以确保具备安全供电6.3.3系统投运前，应由建设单位组织施工、监理及厂商等单位按照通过审核的SAT、SIT步骤及计划，开展SAT和SIT，投运前测试发现的尾项应全部整改完成。6.3.4在进行SAT之前，相关硬件/软件组件应已运抵现场并正确安装。在进行SAT之前，自动化系统/子系统/组件的安装过程中应完成工作内容包括但不限于： 硬件安装（所有系统组件，包括控制器、I/O卡、配线架、电源、操作/工程站）； 为待测试的相关硬件安装接地系统； 网络通信安装完成（例如集线器、交换机）； 审查自FAT以来至当前的软件版本、更新或修改； 自动化系统上电并下载正确的软件； 在SAT测试开始时对已安装的任何软件/代码进行完整备份； 对SAT期间将测试的任何I/O进行I/O检查。6.3.5SAT测试内容包括但不限于： 硬件/软件清单检查； 8 智能现场设备（如果适用）； 复杂功能和联锁的检查； 其他应用相关程序功能等。注：SAT检查清单参见附录C。6.3.6在进行SIT之前，所有将参与SIT的系统/子系统的相关硬件/软件组件应已分别完成SAT。系统和子系统之间的所有通信和互连（例如直接连接信号或网络物理接口层）的安装应已完成。应在SIT测试开始时对已安装的任何软件/代码进行完整备份。SIT测试内容包括但不限于： 注：SIT检查清单参见附录D。6.4验收阶段6.4.1验收应在完成工程施工、系统调试合格的基础上开展，通过专项验收与交工确认，确保施工质量、系统功能、技术资料符合设计文件、验收标准以及装置安全投运要求。若存在投运后才具备调试条件的情况，宜在完成调试后单独开展专项验收。6.4.2验收前应逐项核实设计意图实现情况，确认安装质量、调试结果、工艺匹配性满足要求，系统测量、控制、联锁、报警、通信等核心功能完整有效。6.4.3应将工业过程测量和控制系统完整性管理数据的采集、核查与移交纳入验收内容，可单独组织完整性专项验收，或与自动化仪表工程验收、项目整体交工验收合并实施；应正式形成验收记录与结论，验收合格作为系统投运的必备依据。6.4.4验收前，应完成相关资料的汇总、审核与移交，确保资料真实性、合规性、完整性，以满足工程归档与运维溯源要求。6.4.5验收发现的质量缺陷、功能异常、资料不全等问题，应建立台账、分级分类、逐项整改，全部问题闭环后方可通过验收。9示例：A类尾项问题影响安全立即整改；B类尾项问题影响运行性能在发货前完成整改；C类尾项问题不影响投运和安全，在建设方和施工方达成一致条件下，在投运后完成整改。7运行期完整性管理7.1数据采集7.1.1一般要求7.1.1.1数据采集为完整性管理的唯一数据源，贯穿系统建设、运行、报废全生命周期，为风险评估、完整性评测、风险削减与维护维修、效能评价、报废处置等工作提供完整数据支撑。功能安全相关数据采集应按照工业过程测量和控制系统功能安全数据收集相关要求执行。典型的工业过程测量和控制系统完整性数据管理流程如图2所示。7.1.1.2应建立配套管理措施，保障采集数据满足完整性、准确性、一致性、及时性、可追溯性要 完整性：所记录的数据内容完整，覆盖各类型数据的核心数据字段，无关键信息缺失； 准确性：数据无错误、测量误差或不确定度在可接受范围内； 及时性：动态数据实时上传入库，线下纸质记录在规定时限内完成补录归档； 一致性：数据的描述、定义、格式和单位应遵循统一规范； 可追溯性：数据能够关联至其原始来源（如设计文件、设备台账、维护记录或测量报告等），并记录数据收集的时间、人员及背景信息。7.1.1.3数据收集人员宜满足以下要求： 具备生产运行或仪表与自动化控制或功能安全等相关技术背景； 具备至少3年相关行业或领域工作经验。7.1.1.4数据审核人员应具备至少5年相关行业或领域相关工作经验，经过相关培训。7.1.1.5数据收集过程应明确数字化交付要求，按照非结构化、半结构化、结构化三类进行数据数字化交付，宜建立统一数字化交付平台进行数据存储。图22工业过程测量和控制系统完整性数据管理流程7.1.2数据采集内容采集内容宜包括但不限于： 系统基础数据：设备台账、设计与配置文件、技术文档、管理制度文件等数据； 实时运行数据：过程变量、环境状态、网络与通信、系统健康管理数据等数据； 事件记录数据：报警与故障、操作与变更、安全事件等数据； 管理过程数据：维护维修、检验测试、评估与评价等数据。注：工业过程测量和控制系统健康管理数据示例详见附录A。7.1.3数据采集方法采集方法可采用但不限于： 文档归档采集：适用于系统基础数据、运维归档文件等； 人工采集录入：适用于维修维护、操作变更、现场巡检等纸质记录； 实时自动采集：适用于设备健康、过程测量、网络通信等实时数据。7.1.4数据存储与更新7.1.4.1应建立常态化数据备份机制，优先采用技术手段实现数据在线实时备份。7.1.4.2应制定数据更新管理制度，按企业规定周期开展数据更新维护工作。7.2风险评估7.2.1一般要求7.2.1.1评估管理7.2.1.1.1应对工业过程测量与控制系统开展风险评估以判断其是否适用于某一种或者某一类特定任务，对于存在的薄弱环节提出改进方向，以确保其风险可控。注：工业过程测量与控制系统的任务通常包括运行监视和控制、异常提示和响应等。7.2.1.1.2开展评估前应编制评估计划，内容至少包括：评估目的、评估范围、评估人员及评估日程安排等，并且在评估前应与被评估方进行确认。7.2.1.1.3评估结果仅针对评估活动开展期间的情况有效，一旦输入资料、现场设备配置、运行模式或管理模式发生变更，应开展复核，必要时重新开展评估。7.2.1.1.4应根据风险评估结果来确定完整性评测和风险削减措施实施的优先顺序。7.2.1.1.5应根据风险评估结果优化运维管控机制，提高运维管理效率及质量。7.2.1.2时机要求根据工业过程测量和控制系统运行情况，应在以下时机开展风险评估： 新投运的，在投运前应完成首次评估； 因生产计划调整或系统改造导致工业过程测量和控制系统停用，重新启用前应开展风险评 运行期内，用户根据系统的运行情况应定期开展风险评估。7.2.1.3人员要求7.2.1.3.1应成立评估工作组，工作组宜包括： 系统运维相关人员，相关经验不少于3年； 系统设计/系统供应商相关人员，相关经验不少于3年； 评估人员，应至少具备系统运维、设计/工程实施或评估相关经验之一，且不少于5年。注：评估人员可为运维、设计/供应商、工程实施或专业评估机构的相关人员。7.2.1.3.2应指定一名工作组成员担任组长，负责评估计划的合理制定、评估方法的规范使用、评估结果的一致确认和评估报告的审核等。7.2.1.4资料要求风险评估的输入资料宜包括但不限于以下： 7.2.1.5文档要求7.2.1.5.1评估人员应基于风险评估结果编制风险评估报告，报告应内容完整、数据准确、分析科学和结论明确。7.2.1.5.2风险评估报告应至少包括项目背景、被评估系统概况、评估方法、评估实施、评估结果及7.2.1.5.3风险评估报告应经过审核并由评估人员签字确认，最终纳入系统完整性管理资料归档。7.2.1.5.4风险评估报告应向用户决策层、管理层、执行层进行传达，确保相关部门和人员掌握系统风险情况及防控要求，落实防控措施。7.2.1.5.5整改建议措施实施完成后应编制《风险评估整改验证报告》，记录实施情况、验证结果，并作为风险评估报告的补充资料归档。7.2.1.5.6风险评估报告及相关资料的保存期限应符合用户对于工业过程测量和控制系统完整性管理资料的留存要求，至少保存至系统报废后3年以满足追溯、检查和审计等工作需要。7.2.2评估内容及方法7.2.2.1通则基于工业过程测量与控制系统的特征，应通过考查其功能性、性能、可用性、可操作性以及其他特性等指标所能达到的水平，并确定每个指标对风险水平影响的权重，从而综合评判工业过程测量与控制系统的风险等级。7.2.2.2功能性对工业过程测量与控制系统的功能性水平进行评估应至少考查以下内容： 功能覆盖度：包括测量和控制功能、执行频率及数据容量、权限管理功能等； 可配置性：包括系统软/硬件、数据库、组态等为执行特定任务而进行变更的方便程度； 适应性：包括系统冗余设计、快速恢复逻辑、环境适应性、抗电压/电流波动能力等； 兼容性：包括系统、通信和现场设备的可扩展性等。7.2.2.3性能对工业过程测量与控制系统的性能水平进行评估应至少考查以下内容： 精确度：包括数据转换的一致性、重复性误差、再现性误差和分辨能力等； 响应时间：包括数据采集的响应时间、信息处理的响应时间和执行动作的响应时间； 处理能力水平：包括系统余量、负载率以及子单元为完成各自任务的固有能力等。7.2.2.4可用性对工业过程测量与控制系统的可用性水平进行评估应至少考查以下内容： 可靠性：包括系统服役时间、配置情况以及故障记录等； 可维护性：包括纠正性维护、预防性维护和预测性维护策略及执行情况等。7.2.2.5可操作性对工业过程测量与控制系统的可操作性水平进行评估应至少考查以下内容： 操作效率：包括操作设备的布局、操作工具的人体工学设计、人机界面的操作便利性等； 直观性：包括人机界面的操作逻辑、颜色样式、下发指令的统一性等； 透明度：包括任务执行逻辑的展示、标签/名称的一致性等； 稳健性水平：包括操作容错和功能容错的能力等。7.2.2.6其他特性对工业过程测量与控制系统厂商的其他特性水平进行评估应至少考查以下内容： 厂商的技术实力和管理水平：包括厂商/产品质量保证、交货质量、技术和维护服务、系统文 用户的技术实力和管理水平：包括测试文档、维护文档、变更文档、软件备份、人员培训及 运行的物理环境条件：包括系统的工作温度、相对湿度、供电情况等。7.2.2.7宜采用定量方法计算系统可靠度的方式来确定其可靠性水平，其他内容宜采用半定量方法以确定其水平。注1：计算可靠度的定量方法通常包括可靠性框图模型和故障树模型等。注2：半定量方法通常包括专家打分法和层次分析法等。7.2.3风险等级判定应建立适用于工业过程测量和控制系统的风险水平判定依据，并根据评估结果给出对应的风险等级，表1为工业过程测量和控制系统的风险等级判定依据示例。表11工业过程测量和控制系统的风险等级判定依据示例风险等级等级说明描述优秀运行状态良好，无需改造升级。整体运行稳定，存在局部短板，需制定针对性进行优化或维护，暂不需改造或升级。Ⅲ级一般勉强维持运行，存在多处短板，需开展针对性改造或升级。表11工业过程测量和控制系统的风险等级判定依据示例（续）风险等级等级说明描述Ⅳ级较差严重影响生产运行平稳性或安全性，需进行大范围改造或升级。差完全无法满足生产运行要求，无维修和改造价值，需整体更换。7.2.4风险评估流程工业过程测量和控制系统的风险评估工作宜按照成立评估工作组并确定组长、收集输入资料并完成核验、制作评估工作表并确定评估计划、评估系统各指标的实际水平、综合判定风险等级、梳理问题并提出改进建议、编制评估报告并完成审核提交的流程开展。图33风险评估工作流程图7.3完整性评测7.3.1一般要求7.3.1.1完整性评测是指对工业过程测量和控制系统功能性、性能、可维护性、信任性、安全性等进行评测的活动。注：工业过程测量和控制系统完整性评测既是对其风险评估涉及的功能性、性能、可维护性、信任性、安全性进行测试、验证、确认，同时完整性评测结果也是下个周期工业过程测量和控制系统风险评估过程需要考量的影响因素。7.3.1.2完整性评测对象应包含检测单元、控制器、执行单元、控制回路、系统软硬件（CPU/电源模块/通讯模块/输入输出模块/组态软件等）、通信链路、控制组态程序、接线、操作站、人机界面、服务器及配套设施等。7.3.1.3检测单元和执行单元完整性评测除按本文件执行外，还应执行其他检测单元和执行单元相关标准规范开展检验、校验等评测工作。7.3.1.4功能安全相关的评测过程按照本文件执行的前提下，同时应执行GB/T20438（所有部分）、GB/T21109（所有部分）等功能安全相关标准的条款内容。7.3.1.5完整性评测主要方法有资料核查法、现场测试法、故障模拟试验法、运行数据统计分析法等，应根据实际选择合适的评测方法开展评测。 资料核查法：对照用户功能需求和系统功能设计、技术手册等文件，核查功能性、性能、维修性、信任性、安全性符合率；注：根据系统功能设计文件和用户功能需求文件（技术规格书等）建立被评测系统的检查清单，逐项核查设计与实际的符合性，标注完全符合/部分符合/不符合/不适用，形成差异清单。 现场测试法：对可量化硬件、性能指标以及现场仪器检测； 故障模拟试验法：验证故障诊断、安全容错、防护能力； 运行数据统计分析法：基于运行期的数据评估平均维修时间指标。7.3.1.6评测准备应包括： 组建评测小组，明确人员资质、能力要求及岗位职责； 确认设计资料、运维记录、检验测试记录、出厂文件、评估报告等相关数据收集准备情况； 依据标准、技术文件编制评测方案、应急处置预案，明确测试流程、测试工具的具体技术要 确认现场测试条件，评测过程不应造成生产、安全、环保事件。7.3.1.7评测实施流程应包括： 方案审批：完成评测方案、测试流程、测试工具审核批准； 资料核查：核对全部书面资料，梳理现场复核事项； 现场检测：按方案开展实测、故障模拟、数据采集，留存原始记录； 综合评定：整合检测数据、运行统计结果及专家意见，对照指标判定符合性； 报告编制：汇总全部过程资料，出具正式评测报告。7.3.1.8企业应依据现场安全生产、设备重要程度建立适用于工业过程测量和控制系统的完整性具体评测指标体系，遵循标准技术流程，组织开展工业过程测量和控制系统完整性评测工作。7.3.1.9工业过程测量和控制系统的完整性评测时机应符合以下要求： 新投运的，在投运前应完成首次评测； 因生产计划调整或系统改造导致工业过程测量和控制系统停用，重新启用前应开展完整性评 运行期内，用户根据系统的运行情况定期开展完整性评测。7.3.2功能性评测7.3.2.1应复核确认工业过程测量和控制系统的FAT、FIT、SAT、SIT测试内容，并满足IEC62381相关要求，应组织对测试内容不符合项进行整改并重新测试，记录测试结果。7.3.2.2运行期应对更新改造的工业过程测量和控制系统开展FAT、FIT、SAT、SIT相关内容测试，并满足IEC62381相关要求，尾项清单全部完成整改。7.3.2.3运行期应定期开展功能性评测内容包括但不限于： 变更修改的逻辑功能； 备份及恢复功能 系统供电模块功能； 安全联锁回路功能。7.3.3性能评测7.3.3.1系统投运前应开展性能评测作为系统运行期性能基线，运行期按照需求定期开展。7.3.3.2性能评测应采用资料核查法、现场测试法等，可与系统点检结合开展，主要评测内容包括但 时间性能：扫描周期或控制周期、画面刷新时间等； 控制网络性能：网络负荷等； 处理能力：控制器CPU负载、内存占用、I/O处理容量、数据库查询响应、工作站/服务器（内存、CPU负荷、磁盘使用情况）等； 模拟量输入/输出（AI/AO）； 数字量输入/输出（DI/DO）； 系统电源性能：交/直流电流电压等； SOE：事件时间分辨率等。7.3.4可维护性评测可维护性评测应采用现场测试法、基于运行数据统计等，主要评测内容包括但不限于： 可维护性测试：在评测环境中模拟典型故障，由具备相应资质的人员按规程实施维修，记录各阶段耗时；每类故障重复不少于3次； 基于运行期数据的统计：对已运行系统，从工单系统提取历史故障维修记录，按故障类型分类统计MTTR。7.3.5信任性评测信任性的评测，应采用现场测试法、资料核查法等，主要评测内容包括但不限于： 模拟模块/元件/组件故障； 不正确的维护操作/重新配置/软件更新等人为错误； 错误编码指令、未授权或错误的输入、非授权用户登录尝试、非授权下装尝试等。注：模拟测试前应基于FMEA结果与功能设计文件优先级编制模拟故障清单，按风险优先级排序，先测试优先级高7.3.6安全性评测安全性评测应采用资料核查法、现场测试法等，评测主要内容包括但不限于： 电气安全试验：开展绝缘电阻测试、接地连续性测试、漏电流测试等； 防爆符合性核验：核验防爆标志的完整性，电缆密封、隔爆接合面、接线箱等的现场核查。注：核对危险区域分类与设备防爆类型、等级的匹配性 环境适应性核查：现场核验：检查实际安装环境的温度、湿度、防腐、防护符合产品技术要 物理安全核查：防雷接地网、电涌保护器的配置与定期检测记录；防静电措施（接地、防静电地板、人员防静电装备）。 信息安全评测：应根据GB/T28448开展网络分区与边界防护、访问控制、恶意代码防护、安全审计、漏洞扫描与渗透、远程访问、数据保护等核查与测试。7.3.7等级评定7.3.7.1完整性评测各特性权重的设定应基于系统使命和风险等级综合确定。以下表2权重比例为一表22完整性测评表序号特性评定标准a权重分配1功能性按照计划完成FAT、FIT、SAT、SIT全部测试内容且尾项清单全部闭环整改，定期测试备份及恢复功能、冗余功能、时钟同步功能、系统供电模块功能、安全联锁回路功能均符合需求设计。25%2性能扫描周期或控制周期、画面刷新时间、网络负荷、控制器CPU负载、内存占用、I/O处理容量、数据库查询响应、工作站/服务器、AI/AO、DI/DO、交/直流电流电压等、SOE事件时间分辨率等性能指标，满足工艺运行与控制实时性要求。25%3可维护性系统硬软件能满足维护操作需求，MTTR符合技术要求4信任性故障模拟前后报警内容与时延、诊断信息、输出动作、降级模式、恢复时间等满足技术要求，错误编码指令、非授权用户登录、非授权下装等均得到有效防控。5安全性电气安全、防爆、环境均符合要求，物理安全、信息安全水平受控。20%权重分配可根据系统特性和行业特点适应性调整。aa权重分配可根据系统特性和行业特点适应性调整。7.3.7.2完整性等级应综合系统关键程度、安全要求和风险评估等级进行划分，等级定义参见表3。注：系统关键程度一般根据系统所服务工艺对象的风险等级、功能安全的应用情况确定。表33完整性等级分类表等级名称说明全面完整功能性、性能、可维护性、信任性、安全性全部满足设计和用户要求，点检覆盖率≥100%，无可辨识短板。系统运行记录优良，各冗余和安全机理有效，无重大缺陷，偏差均已在允许范围并持续改进。Ⅱ级（良好级）基本完整功能性、性能、可维护性、信任性、安全性基本满足设计和用户要求，存在少量可修复缺陷，但目前不影响任务执行。点检记录有一定范围偏差，安全冗余未受影响。Ⅲ级（可用级）有限完整功能性、性能、可维护性、信任性、安全性部分仅达到最低要求，存在多项可确认缺陷。点检记录保持有效，但已影响部分子系统或冗余安全等级。系统可在短期内维持基本运行。Ⅳ级（风险级）完整性严重不足存在重大缺陷且未经有效应对（不满足设计和用户需求的关键指标），或者安全、可信性特性显著偏离达标值，点检记录存在强制停运风险。7.3.8评测报告评测完成后，应汇总全部过程资料，形成正式评测报告，报告内容包括： 评测概述：项目背景、评测范围、评测依据、评测时间； 评测人员：小组成员名单、能力资质； 评测方案：方案审批文件，包含测试步骤和流程； 评测过程记录：各项测试原始记录、数据曲线、照片证据等； 评测结果：功能性、性能、可维护性、信任性、安全性的评测结果； 差异清单：功能符合性差异清单、性能偏差清单； 等级评定：综合评分、完整性等级判定及依据； 改进建议：针对评测发现问题的改进措施； 附件：测试原始记录、校准证书、检验报告等。7.4风险削减与维护维修7.4.1一般要求7.4.1.1风险削减与维护维修应基于风险评估与完整性评测的结果，采取相应措施将风险控制在可接受水平，并维持工业过程测量和控制系统完整性。7.4.1.2应建立并执行风险削减管理制度，明确风险削减目标、相应控制措施、资源保障及责任主体，严格落实各项措施，确保风险可控。7.4.1.3应建立维护维修管理制度，明确各类维护维修活动的触发条件、执行程序、资源保障、作业安全措施及责任主体，并与风险分级管控等要求协同实施。7.4.1.4应建立故障管理制度，设置工业过程测量和控制系统故障台账，对故障进行分类、统计与根因分析。再根据故障分析结果，修订维护策略、优化备件储备或实施技术改造。7.4.1.5应建立并实施对第三方施工及运维承包商的管理程序，明确第三方施工及承包商准入标准包括公司资质、人员资质、工器具、安全管理体系等要求并制定资质复核机制，同时明确服务质量考核指标、作业过程监督要求与退出机制。7.4.1.6从事风险削减与维护维修的人员应具备相应岗位的专业技能，如经功能安全、工控网络安全或仪表及控制系统维护维修等专项培训并考核合格。7.4.1.7应建立关键设备备品备件管理程序，备件技术参数不应低于原设计要求；建立备件台账与出入库追溯机制，并设置安全库存，定期核查库存确保其有效期与完好性。宜根据设备或元器件的故障率动态调整备品备件的库存。7.4.2风险削减7.4.2.1应依据风险评估结果，遵循ALARP原则编制风险削减计划，明确各项削减措施内容、责任单位/人员、资源需求及完成时限。7.4.2.2应制定并实施分级风险削减技术与管理措施，包括但不限于： 仪表设备本质安全措施； 改进和优化操作过程； 完善报警、联锁等安全设施； 应用设备在线状态监测、离线检测技术； 调整设备监/检测方法、周期； 降低人为失误的可能性； 技术培训、教育、考核等管理措施； 系统性优化和技术更新等。7.4.2.3应对风险削减措施实施效果开展跟踪管理，削减措施合理并有效落实，确保风险削减目标达7.4.2.4风险削减落实过程中发现的问题应及时分析、处置、记录并闭环。7.4.3维护维修7.4.3.1应根据风险评估和完整性评测结果制定工业过程测量和控制系统分级管理制度，合理分配资源，优先处置高风险场景。7.4.3.2工业过程测量和控制系统的分级结果应及时更新，包括但不限于： 用途或信息发生变更时； 风险评估和完整性评测结果有变化时。7.4.3.3应制定维护维修计划与程序，其内容策略与周期应基于工业过程测量和控制系统的分级结果、维护手册及历史性能等。7.4.3.4宜采用ITPM策略，规范基于风险评估与完整性评测的检查、测试、维护活动。7.4.3.5故障管理应符合以下要求： 故障预防：故障预防应贯穿全生命周期； 故障识别与记录：通过系统报警、日常巡检、在线监测、离线检测等方式识别故障，并在故障台账中进行记录，注明故障位置、现象、影响范围及发生时间；20 故障维修：按相应维修规程进行操作并记录，故障修复后应进行测试验证，确认正常后方可恢复运行；对无法立即修复的故障应采取临时控制措施，直至故障被修复； 故障根因分析：开展故障根因分析，并对重复性故障在技术、管理和维护策略等方面改进优注：根据故障根因分析结果开展分级分类管理，针对系统缺陷造成的故障，可参照相关标准实施缺陷管理。7.5效能评价7.5.1一般要求7.5.1.1应对完整性管理生命周期的活动进行有效性评价和检查审核，评价数据采集、风险评估、完整性评测、风险削减与维护维修等全流程落地效果，实现持续改进。7.5.1.2效能评价应符合具体性、可衡量性、可实现性、相关性和时限性要求，即SMART原则。7.5.1.3效能评价应由具备系统完整性管理经验、熟悉运行期管理流程及评价方法的人员实施，评价过程应形成完整记录。7.5.1.4效能评价的周期应根据评价范围和层级确定： 应定期开展完整性管理效能评价； 针对特定系统、重大风险或专项工作的单项效能评价，根据需要缩短评价周期。7.5.1.5宜在数据采集、风险评估、完整性评测、风险削减与维护维修或报废实施后，开展全面的效7.5.1.6应定期开展工业过程测量和控制系统完整性管理检查审核，审核方式可采用全要素审核或专7.5.2评价方法效能评价方法宜采用定性与定量相结合的方式，包括： 定性评价方法：适用于难以量化的管理活动效能评价，包括资料核查法、专家评审法、访谈法、符合性评价法等； 定量评价方法：适用于可量化的管理活动效能评价，包括统计分析法、对比分析法、指标评分法、成本效益分析法等。7.5.3评价流程效能评价宜按照制定评价计划、确定评价范围、编制方案并实施、编制报告、结果沟通、更新信息系统数据和完整性管理方案流程开展，效能评价流程如图3所示。效能评价流程图7.5.4效能评价指标应建立效能评价定性指标和定量指标，其中定量指标包括但不限于数据采集覆盖率、风险评估覆盖率、完整性评测覆盖率、故障率、自控率/联锁投用率等，相关评估指标计算方式参见附录E。注：因非工业过程测量和控制系统相关原因导致控制回路和联锁回路未投用，不纳入效能评价。7.5.5评价报告效能评价完成后，应编制《效能评价报告》，报告内容应包括评价流程所有内容。各企业应根据效能评价报告结果持续改进，提升完整性管理水平。218报废期完整性管理8.1一般要求8.1.1工业过程测量和控制系统报废判定应遵循逐项鉴定、分级审批、梯次利用、最小损失、集中处8.1.2企业应统一规定检验与报废判定标准，建立标准化报废办理流程。8.1.3满足下列条件之一时，应判定为符合报废条件： 国家行政主管部门明令淘汰或禁止继续使用； 达到设计最高使用年限，无法满足安全、环保、经济性及可靠性要求； 故障高发、运维经济性差、备件停产断供，修复或改造投入过高； 易造成严重环境污染或危害人身安全，且升级改造无经济可行性或仍存在安全环保不确定 经检测鉴定，维修改造后仍无法满足工艺功能或产品质量要求； 无法修复或无修复价值； 因工艺调整、装置改造等原因，原有使用功能完全丧失； 试验设备经生产验证无法正常投用，无改造复用价值； 标准规范或企业制度规定的其他应淘汰情形。8.1.4报废处置过程中涉及网络安全防护的应遵循GB/T22239《信息安全技术网络安全等级保护基本要求》相关内容。8.2报废准备8.2.1计划报废实施前，应组织开展报废评估，出具综合评估意见或编制评估报告，明确报废判定结论与处置建议。8.2.2经评估确认达到报废条件，但具备复用价值的设备及零部件，应确认风险可接受后方可继续使8.2.3经评估达到报废条件后，应依据企业相关管理要求履行审批。如涉及安全、环保隐患，应组织设计、工艺、安全环保等单位联合复审。资产账务处理按企业相关规定执行。8.2.4开展报废拆除、处置作业前，应完成以下现场准备工作： 现场踏勘与作业危害分析，全面识别处置过程安全、环境及网络安全风险，制定管控措施及 依据评估报告、设备类型、安装位置、介质特性及环境敏感程度确定合规处置方式，严禁就 编制专项施工方案，明确作业工序、安全管控及应急处置流程，按权限完成审批； 完成系统断电、物理隔离、能量隔离等； 涉及安全联锁类系统报废的，履行联锁摘除审批手续，落实过渡期临时管控措施； 完成系统全量运行数据、控制组态、技术图纸文档的备份归档，制定数据销毁方案并明确责8.3报废处置实施8.3.1应建立报废设备专项台账，保存设备本体及配套技术档案，确保实物与资料信息对应。8.3.2无法整体拆除、确需就地留存的设备等，应采取相关措施确保风险受控。228.3.3报废处置方案应满足安全、环保专项管理要求以及保密管理相关要求。8.3.4报废完成后，应同步更新固定资产台账、控制逻辑图、网络拓扑图、联锁因果图等相关技术文档，确保资料与实际一致。23工业过程测量和控制系统健康管理数据示例A.1控制系统健康相关数据控制系统健康相关数据示例内容见表A.1。表A.1A.1控制系统健康相关数据示例序号数据内容采集方法质量要求1控制器CPU负荷实时自动采集2控制器内存占用率实时自动采集3控制器状态实时自动采集4控制器温度实时自动采集5电源状态实时自动采集6电源电压实时自动采集7电源电流实时自动采集8主从状态实时自动采集9冗余同步状态实时自动采集I/O模块状态实时自动采集I/O模块通讯状态实时自动采集I/O模块故障状态实时自动采集网络通讯状态实时自动采集对时状态实时自动采集程序强制状态实时自动采集操作记录实时自动采集工艺报警实时自动采集SOE报警实时自动采集组态文件人工采集20组态配置参数人工采集21模块指示灯状态人工采集22旁路状态人工采集+实时自动采集23I/O模块版本实时自动采集24控制器版本实时自动采集25通讯模块版本实时自动采集26仪表回路图人工采集+实时自动采集27系统环境温湿度人工采集+实时自动采集…………24A.2检测单元和执行单元健康相关数据检测单元和执行单元健康相关数据示例内容见表A.2。表A.2A.2检测单元和执行单元健康相关数据示例序号数据内容采集方法质量要求1设备标识人工采集+实时自动采集2动态变量映射实时自动采集3投用状态实时自动采集4扩展诊断开关实时自动采集5设定值实时自动采集6控制参数实时自动采集7报警输出实时自动采集8设备信息人工采集+实时自动采集9设备规格人工采集+实时自动采集设备诊断信息实时自动采集设备实时值实时自动采集设备电流实时自动采集设备温度人工采集+实时自动采集…………25出厂验收测试B.1总则在为具体项目准备FAT时，应考虑以下典型任务。供应商或买方应根据本清单中适用的项目制定测试表格，并添加测试细节、文件资料和验收标准。B.2文件资料在FAT之前收集所有适用于项目的文件资料。文件资料可包括以下内容。B.2.1用户需求说明书 操作单元和设备模块的定义； 操作员界面的颜色约定（显示静态和动态颜色、报警颜色、运行/停止颜色、其他动态图形块 网络和系统安全要求。B.2.2功能需求说明书 供应商协议：例如采购订单、合同； 仪表索引和仪表说明书； 主系统I/O列表，包括连接到系统和所有子系统（如SIS、PLC、单元控制器、分析仪子系统等）的所有I/O标识号（硬件和软件）； 系统功能要求，包括： 操作联锁描述/矩阵或因果表； 操作描述（控制说明），包括顺序、异常操作模式和故障应急措施； 复杂控制方案的描述，包括复杂回路和标识号列表及详细描述，包括含验收标准的模拟方 操作员显示画面和符号的草图； 操作员工作站的过程单元分配； 报警列表，包括优先级和设定值； 配方参数（如果适用）； 报告要求，包括格式； 网络和系统安全及访问要求； 历史数据收集定义，包括历史服务器容量、备用容量、可移动介质或备份方法。26B.2.3供应商信息在执行订单期间向供应商提供的所有要求及信息的更新、澄清或补充，应纳入本文件资料。B.2.4供应商文件供应商编制的文件也应收集并成为FAT参考文件的一部分。可包括但不限于以下内容： 详细设计说明书，例如系统架构图、各主要组件和子系统的描述、框图； 手册（操作、安装等）、系统数据表、证书； 布置图和材料清单，例如显示接地、电源、布线、互连的所有系统和机柜图纸； 系统架构图，包括系统设备地址； 处理器负载计算、网络负载报告和服务器负载报告； 电源分配盘——系统电源负载计算、UPS负载要求、微型断路器额定值、测试报告等； 与本采购订单无关的其他系统/组件接口的描述； 最终输入/输出列表； 配置（程序）打印版； 带有发布/版本信息和标识号容量的软件许可证； FAT开始时配置/应用程序的版本； FAT前和FAT期间使用的任何检查清单及所有测试程序报告； 列出用于外部通信的所有协议； 执行专业工作的供应商人员资质/认证文件（例如工厂服务）。B.3制定书面的测试计划和说明B.3.1通用要求以下提供了应纳入测试计划的系统各个方面的典型测试。应为每个系统制定测试计划，以测试和验证系统符合项目规格书和采购订单的要求。B.3.2文件资料所有必要的文件资料应可用且为最新。B.3.3硬件/软件清单 硬件：架构、材料清单、尺寸、涂装等； 软件：许可证/版本，包括固件； 备件、易耗品和工具； 硬件和软件配置参数。B.3.4机械检查 组件和模块的安装； 机柜风扇的可维护性、机柜构造； 电缆入口、支撑条和附件（电缆夹、电缆密封接头等）； 接地、等电位连接； 螺纹连接、端子连接； 组件的标识和标记；27 物品的机械保护，以防止意外操作。B.3.5布线和端子检查 电缆、电线的标识和标记等； 不同布线（如交流、直流、本质安全等）的隔离和识别； 导线压接检查（随机抽查）和导线手动拉脱测试（随机抽查）； B.3.6启动、关机和重启测试及系统通用功能 组态/程序的在线更改； 系统负载（内存容量、存储容量等）； 操作和控制的用户登录安全（如果适用）检查； 网络和系统安全级别及用户登录； 演示备用电池操作； B.3.7系统报警测试 报警处理策略和确认； 电源故障、UPS监测和诊断； 熔断器、断路器监测； 冷却风扇、机柜高温报警； 短路、断线、超量程、接地故障； 看门狗定时器（如果适用）； B.3.8硬件冗余和诊断（包括冗余单元的故障和切换） 控制器的冗余操作和监测； 通信和网络的冗余操作和监测，包括网络交换机； 操作员站的冗余操作和监测； I/O的冗余操作和监测（如果适用）； 第三方系统的冗余操作； 所有其他未提及设备的冗余操作和监测。B.3.9操作员界面28在进行任何回路适应或I/O适应测试之前，应验证HMI显示画面的静态部分（如适用）。应使用适用的P&ID或显示要求的草图验证以下显示画面功能（静态和动态）： 容器、工艺管线、阀门、变送器、电机、泵等的符号和编号； 静态项目的颜色，例如手动阀门、工艺管线等； 工艺流向和路径，即工艺管线箭头； 层次结构及所有显示画面的链接； 颜色、子画面和数据输入点的动态变化设计； 显示画面上包含的信息密度（静态和动态）； 背景颜色及颜色变化； 静态文本和动态变化； 组织结构（跳转、转换、子画面）。B.3.10工程工作站功能 使用数据库构建器； 测试历史化模块。B.3.11用户管理 个人/组用户访问权限； B.3.12网络和系统安全测试示例如下。关于整体网络和系统安全要求，参见GB/T35673-2017。a）物理和环境安全：锁闭房间内的物理保护；在持续监视下运行；密码保护的屏幕在非活动一段时间后自动锁定。仅允许自动化系统明确需要的流量；无线网络基础设施安全。e）恶意代码的预防和检测；g）可移动介质安全；B.3.13测试I/O至操作员显示画面29应按下述方式测试系统中的每个I/O点： 应检查I/O点的面板以确认所需外观和功能； 功能、服务文本、量程、单位、状态文本等； 链接到正确的物理I/O点/地址； 分程控制方案的正确链接（如果适用）； 相关组显示画面和过程图形显示画面； 应验证图形上标识号目标位置正确，且动态目标（例如阀门、电机、条形图等）的颜色变化 检查报警分配——类型、数值、排序标准（优先级、过程区域等）。B.3.14完整的I/O测试应在最大可行范围内测试所有I/O的正确操作，包括验证各I/O量程和工程单位。a）最完整的I/O测试方法是：通过连接在现场端子的模拟设备进行I/O的强制或操作（从而在测试中包括配线端子、接口设备（如安全栅）、跨接线、系统电缆和I/O模块）。b）其他I/O测试方法列于下方，仅当上述完整测试因某些特定原因无法进行时方可考虑：通过连接在系统I/O模块的模拟设备进行I/O的强制或操作，以验证该I/O及所有相关显示画面、报警等的正确性能；通过I/O模块的软件模拟进行I/O的强制或操作；通过处理器级别的软件模拟进行I/O的强制或操作。B.3.15总线接口（如果适用）应对每种规定类型的现场或外部设备总线接口（符合相关标准）进行通用测试。该测试应涵盖自动化系统与设备的互操作性，包括： 应构建一个总线段并进行测试，所有相关设备都链接到该段。待测试段的选择应由相关方协商一致，通常应设法证明安装的最差情况的功能； 在BPCS功能的情况下，应对BPCS的所有相关段进行测试或模拟； 应测试总线通信丢失的影响； 未构建段的相关信号应进行模拟； 应审查所有段的所有相关文件、数据表、图表（负载、周期时间、架构）。B.3.16智能现场设备（如果适用）智能现场设备的配置应在FAT期间测试（参见IECTR63082-1）。B.3.17FAT未完成项在FAT期间未完全测试的系统硬件任何部分（例如配线端子）应在SAT期间进行充分测试，所有B.3.18与子系统通信链接的测试在可能的情况下，应测试与外部系统的每个连接。如果FAT期间无法建立与外部系统的实际连接，应通过子系统模拟设备进行测试。应在可行范围内提供实际信号类型/电平、信号架构（例如冗余）和连接。应对每个子系统分别定义测试方式，以证明符合项目要求。应按照项目FAT测试规范进行信号模拟和自动化子系统相关所有功能的检查。除应用相关测试以验证正确功能外，还应检查所有其他适用的系统特性，例如： 30 替代操作模式。注：如果对任何通信链接也进行FIT，则这些子系统间通信链接的测试将作为该测试的一部分进行，并可由FAT参B.3.19应用编程B.3.19.1应用编程的测试可以使用I/O硬件与硬件测试同时进行，或通过仿真软件单独进行。B.3.19.2复杂功能和联锁的检查：复杂功能和联锁的测试应在I/O测试之后进行。待执行的测试应按FAT文件所述进行，包括： 复杂功能测试（由买方定义）； 项目报告要求。B.3.19.3其他应用相关编程：除上述联锁、报警和复杂逻辑之外的应用编程（例如批量或顺序控制）应进行充分测试。 测试程序和标准应验证项目系统功能要求的所有方面。 测试还应验证异常条件下的应用编程操作，包括不正确的操作员响应或未预期的I/O或其他B.3.20其他系统功能的检查除应用相关测试外，还应测试其他系统功能，包括： 供应商保证的系统性能（刷新率等）； 由供应商配置但未由买方定义/要求的系统功能； 此处未具体列出的所有其他功能。B.4制定测试进度计划测试进度计划包括但不限于表B.1所列的典型活动。表B.1B.1FAT测试进度计划项目描述1初始会议（FAT文件和计划审查、测试范围、进度安排2供应商文件检查（包括内部测试报告）3硬件和软件清单4机械检查5布线和端子检查6启动和系统通用功能测试7系统报警测试8硬件冗余和诊断9操作员界面I/O测试，从现场接线端子到I/O端子、控制器，包括HMI31表B.1B.1FAT测试进度计划（续）项目描述复杂功能和操作模式（例如批量、顺序控制）与子系统和第三方接口的通信链接测试FAT返工，整改清单制定FAT总结会议B.5FAT证书如需正式证书，表格可由供应商提供。32现场验收测试C.1总则在为具体项目准备现场验收测试（SAT）时，应考虑以下典型任务。供应商或买方应根据本清单中适用的项目制定测试表格，并添加测试细节、文件资料和验收标准。C.2制定书面的测试计划和说明以下提供了应纳入测试计划的系统各个方面的典型测试。应为每个系统制定测试计划，以测试和验证系统符合项目规范和采购订单的要求。C.2.1文件资料 FAT文件资料（例如用户需求说明书、功能需求说明书等）和测试报告； 已安装软件和固件的版本信息； 可用或新的软件或固件版本或补丁； FAT时使用的硬件和软件配置版本。C.2.2硬件/软件清单 硬件：所有组件已接收并安装； 软件：已接收并安装最新软件；测试前对所有软件进行完整备份； 备件、易耗品和工具已接收。C.2.3机械检查 所有系统组件的安装； C.2.4布线和端子检查 现场布线安装，包括电缆入口、布线路径、支撑和端接； 现场布线的标识和标记； 按电压/类型隔离布线； 导线压接检查（随机抽查）和导线手动拉脱测试（随机抽查）； C.2.5系统上电 所有系统组件上电； 33 C.2.6硬件冗余和诊断该过程是在现场安装后重新验证正确操作，包括： 控制器的冗余操作和监测； 通信和网络的冗余操作和监测，包括网络交换机； 操作员站的冗余操作和监测； I/O的冗余操作和监测（如果适用）； 本文件先前未提及的所有其他设备的冗余操作和监测； 在回路和其他功能（包括批量）运行状态下检查控制器负载； 在满负载状态下检查电源负载。C.2.7操作员界面检查所有图形显示的最新版本是否存在，并在每个操作员站/工作站上正常运行。C.2.8网络和系统安全重新执行FAT中的必要测试，以确认网络和系统安全的各个方面正常运行。C.2.9I/O测试在测试涉及该I/O的回路之前，测试FAT期间无法测试的I/O。C.2.10总线接口（如果