GB-T 20438.2-2017 中文版 电气 - 电子 - 可编程电子安全相关系统的功能安全 第 2 部分：系统要求

GB/T20438.2-2017中文版电气/电子/可编程电子安全相关系统的功能安全第2部分：系统要求前言GB/T20438.2-2017《电气/电子/可编程电子安全相关系统的功能安全第2部分：系统要求》是我国通用功能安全体系中E/E/PE安全系统硬件与架构核心国标，2017年12月29日发布、2018年7月1日正式实施，等同转化国际通用功能安全核心标准IEC61508-2:2010。本标准隶属于GB/T20438全套七部分通用功能安全体系，与第3部分软件要求形成软硬互补的核心闭环，专门规范安全相关系统的硬件架构、失效管控、安全完整性量化、冗余容错、故障诊断、共因失效防控等全维度系统级要求，是全行业工业安全设备、控制系统、安全回路硬件合规的底层通用准则。在整套功能安全体系分工中，GB/T20438.3聚焦软件系统性失效管控，而本标准核心解决硬件随机失效与系统架构性失效问题。硬件随机失效是器件老化、环境干扰、工况波动引发的概率性失效，无法通过流程优化彻底消除，只能通过标准化架构设计、冗余配置、量化验算、诊断管控实现风险可控；系统架构性失效则源于设计缺陷、独立性缺失、容错不足、共因风险未防控，是高等级安全系统事故的核心诱因。所有细分行业功能安全标准，包括过程工业GB/T21109系列、汽车GB/T34590系列、机械安全、电力继电保护安全标准，其硬件系统合规条款均溯源适配本标准核心要求。当前行业普遍存在重软件流程、轻硬件架构，重单一器件选型、轻系统整体容错，重理论验算、轻实测验证的共性问题，大量SIS系统、安全PLC、工控安全设备因硬件冗余不足、诊断覆盖率不达标、共因失效失控、故障安全逻辑缺失，导致SIL认证驳回、安监抽检不合格、现场安全回路失效。本文摒弃机械式条文翻译，结合十余年全行业E/E/PE安全系统架构设计、SIL1~SIL4全等级验算认证、装置整改、体系搭建实战经验，系统拆解标准框架、系统生命周期、硬件强制规范、分级量化指标、失效管控机制、高频误区与落地整改方案，内容兼具官方权威性、工程实操性、全行业通用性，可直接作为企业硬件设计规范、SIL验算依据、认证报审资料、内审合规手册。第一章标准总则与体系定位1.1标准编制宗旨与核心价值GB/T20438.2-2017核心宗旨：统一全行业电气、电子、可编程电子安全相关系统的硬件架构、失效管控、安全完整性量化准则，通过规范系统冗余设计、故障诊断机制、共因失效防控、硬件可靠性指标、故障安全逻辑，最大限度降低硬件随机失效与系统架构失效风险，保障安全系统在全生命周期内稳定达成预设安全功能，精准匹配各等级SIL安全完整性要求，为各类安全相关系统的硬件合规、风险可控提供底层技术依据。本标准的核心行业价值，是建立了可量化、可设计、可验算、可验证的硬件安全管控体系，彻底终结了工业安全硬件“凭经验选型、靠直觉设计、无量化标准”的行业乱象。通过明确SIL分级硬件阈值、架构容错底线、诊断覆盖要求，让安全系统硬件设计从定性合规升级为定量合规，成为所有高可靠安全电控系统设计与验收的刚性准则。1.2适用范围与管控边界核心适用对象：全面覆盖石油化工、电力能源、通用工控、机械装备、轨道交通、智能装备、危化品装置等所有行业的E/E/PE安全相关系统硬件。涵盖安全传感器、安全执行机构、安全PLC控制器、冗余供电模块、安全通讯链路、整套安全回路硬件及集成系统，适配所有承担安全保护、风险抑制、紧急联锁停机功能的硬件系统。全生命周期适用场景：系统架构方案设计、硬件选型冗余配置、可靠性指标验算、故障诊断机制设计、系统集成调试、硬件失效测试、周期性校验、硬件技改升级、老旧系统整改、硬件报废退役全过程。排除边界：纯机械结构、无安全功能的常规控制硬件、普通商用电气设备不适用；软件系统性失效由GB/T20438.3管控，但软件对应的硬件执行链路、硬件诊断联动逻辑需遵循本标准；通用民用电气设备无安全防护功能，不受本标准约束。1.3标准体系层级与协同关系GB/T20438全套7部分通用功能安全标准中，本第2部分为硬件系统核心支柱，与各分册闭环协同，构成完整合规体系：第1部分：总则与术语——统一全体系基础定义与规则第2部分（本文）：系统要求——管控硬件随机失效、系统架构、量化指标、容错设计第3部分：软件要求——管控软件系统性失效、软件全生命周期合规第4部分：定义与缩略语——标准化专业词汇口径第5-7部分：流程、测试、运维支撑规范——配套落地实施行业适配关系：过程工业SIS、汽车安全电控、机械安全控制系统、电力保护系统的硬件专项标准，均是本标准的行业场景化细化，核心量化指标与架构底线完全沿用本标准。1.4核心管控特性（区别于普通工业硬件标准）1.量化分级管控：依据SIL1~SIL4设置差异化硬件失效概率、故障度量、诊断覆盖率阈值，杜绝一刀切设计；2.故障安全优先：所有硬件系统默认故障安全设计，异常失效后自动进入安全状态，禁止危险保持工况；3.双重失效管控：同时管控单点硬件失效、潜在隐性失效，兼顾显性故障与不可检测隐性风险；4.共因失效专项防控：针对性解决同源环境、同源供电、同源结构导致的批量失效风险；5.全周期可靠性可控：不仅管控出厂状态，同时约束硬件长期运行、老化、工况波动下的安全稳定性。第二章核心术语权威释义（合规统一口径）本章严格对标GB/T20438.2-2017等同IEC61508-2:2010原文定义，修正行业硬件设计、SIL验算、认证审核中的术语误用问题，统一全流程合规口径。1.随机硬件失效：硬件器件因老化、磨损、环境干扰、应力波动引发的概率性、偶然性失效，无固定规律，可通过冗余、诊断、定期校验降低风险，为本标准核心管控对象。2.系统性硬件失效：因硬件架构设计缺陷、选型错误、安装工艺违规、适配性不足导致的可复现失效，需通过优化系统设计、规范施工选型彻底解决。3.单点故障度量（SPFM）：表征安全系统抵御单点致命故障的能力，量化系统无冗余防护的薄弱环节，是SIL等级判定的核心硬性指标。4.潜在故障度量（LFM）：表征系统隐性故障的可检测能力，针对冗余架构中单一通道失效、未被检测、叠加故障引发危险的风险量化指标。5.平均每小时危险失效概率（PFH）：高要求/连续运行模式下，系统每小时发生危险失效的概率，适用于高频触发、连续运行的安全系统。6.平均要求时失效概率（PFDavg）：低要求运行模式下，安全功能被触发时系统失效的平均概率，是化工SIS等低频触发系统的核心验算指标。7.诊断覆盖率（DC）：系统通过自诊断、在线监测可识别的硬件故障占总故障的比例，是防控潜在隐性故障的关键参数。8.共因失效（CCF）：同一外部诱因（高温、断电、电磁干扰、同一故障源）导致多通道冗余系统同时失效的故障模式，是高等级冗余系统的核心防控难点。9.故障安全状态：系统硬件失电、断线、器件损坏、通讯中断、诊断报错时，自动触发的预设安全停机、介质切断、泄压保护等安全工况。第三章安全系统全生命周期合规框架GB/T20438.2-2017强制要求所有E/E/PE安全硬件系统执行全闭环、无断点的系统生命周期管控流程，任何阶段简化、跳过流程，均会直接判定硬件合规失效，即便量化指标达标也无法通过认证与安监审核。3.1系统全生命周期六大核心阶段1.系统安全需求定义阶段：承接顶层风险分析结果，明确系统安全功能、目标SIL等级、运行模式（高/低要求）、失效容忍阈值、故障安全逻辑、环境适配要求，输出系统安全需求规范，为硬件设计提供唯一依据。2.系统架构设计阶段：依据SIL等级匹配冗余架构、隔离方案、诊断机制，完成输入、控制、输出全链路硬件架构设计，落实单点故障防控、共因失效规避、故障安全设计原则。3.硬件选型与配置阶段：选用具备功能安全资质、失效参数可溯源的安全级硬件，杜绝普通工业器件替代安全级器件，匹配架构冗余需求，完成供电、通讯、回路全套硬件配置。4.可靠性分析与验算阶段：开展FMEA失效模式分析、FTA故障树分析，精准核算PFH、PFDavg、SPFM、LFM、诊断覆盖率等核心指标，确保参数匹配目标SIL等级阈值。5.系统集成与测试验证阶段：完成硬件集成调试、故障注入测试、冗余切换测试、共因故障模拟测试，实测验证系统容错能力、故障响应、诊断功能达标。6.运维校验与迭代整改阶段：投运后开展周期性校验、硬件巡检、老化监测、故障统计，针对硬件失效隐患完成技改优化，保障全生命周期可靠性稳定达标。3.2系统设计四大刚性底线原则故障安全绝对性原则：所有安全硬件回路、控制器、执行机构必须默认故障安全设计，任何硬件异常均优先触发安全状态，禁止保持危险运行状态。风险分层防控原则：同步防控单点显性故障、潜在隐性故障、共因批量故障，实现多层级风险防护，杜绝单一故障引发安全功能失效。架构适配分级原则：SIL等级越高，冗余复杂度、诊断覆盖率、容错能力要求越严苛，禁止低等级架构套用高等级项目。独立性隔离原则：安全硬件系统与常规控制硬件物理、电气、逻辑双向隔离，杜绝常规系统故障、干扰穿透影响安全功能。第四章系统与硬件核心强制合规要求4.1故障安全设计强制规范本标准将故障安全设计列为一票否决项，是所有安全硬件系统的基础底线。所有安全输入回路、逻辑控制器、输出执行机构必须固化故障安全逻辑：失电、断线、短路、器件损坏、通讯中断、诊断异常、超温超压等任意故障场景，系统必须自动进入预设安全停机、切断、泄压等安全状态。禁止设计“故障保持运行”“故障人工干预后保护”的非安全架构，所有故障响应必须全自动、无延时、无人工依赖。同时要求故障状态可实时诊断、可记录、可追溯，便于故障复盘与运维整改。4.2冗余与容错架构设计要求标准针对不同SIL等级明确差异化冗余容错机制，核心目的是消除单点致命故障。SIL1可采用单通道基础架构；SIL2及以上必须配置冗余容错架构，关键回路、控制器、供电、通讯需实现冗余备份；SIL3/SIL4高等级系统强制要求多重冗余、独立通道、异步切换架构，单通道故障不影响整体安全功能执行，冗余切换无扰动、无盲区、无延时。所有冗余通道需独立运行、互不干扰，杜绝通道耦合引发的次生故障。4.3故障诊断与覆盖率管控要求诊断能力是防控潜在隐性故障的核心手段，标准强制要求安全系统具备完善的在线自诊断功能，覆盖硬件器件失效、回路异常、通讯故障、供电异常、参数超限、通道失效等全场景故障。不同SIL等级对应最低诊断覆盖率阈值，高等级系统需实现关键硬件100%故障诊断覆盖，杜绝长期潜伏、无法检测的隐性故障。诊断触发后需同步完成故障报警、事件记录、安全联动，实现故障早识别、早预警、早处置。4.4共因失效（CCF）专项防控要求共因失效是冗余系统最大合规盲区，标准明确强制防控机制：冗余通道需采用异构设计、独立供电、独立布线、独立安装环境，避免同源电磁干扰、同源电源故障、同源环境损坏；需开展专项CCF分析，配置共因失效规避措施，核算共因失效因子；高等级系统需定期开展共因故障模拟测试，验证冗余系统抵御批量失效的能力，杜绝“冗余形同虚设”的合规假象。4.5硬件变更与技改管控要求所有安全硬件的器件更换、架构调整、回路改造、冗余配置变更、型号升级，均需执行完整合规流程：风险评估、架构复核、指标验算、故障测试、评审归档、版本更新。禁止现场私自更换安全级器件、删减冗余通道、改动安全回路，任何硬件变更若未重新验算SIL指标、未完成测试验证，一律判定合规失效。第五章SIL1~SIL4硬件分级量化指标体系（标准法定阈值）本章为标准核心实操内容，汇总GB/T20438.2-2017法定分级量化指标，区分低要求模式（PFDavg）与高要求/连续模式（PFH），同步明确SPFM、LFM最低达标阈值，是SIL验算、架构设计、认证审核的唯一法定依据。安全完整性等级低要求模式PFDavg高/连续模式PFH（/h）单点故障度量SPFM潜在故障度量LFM核心适配场景SIL1≥10⁻²～<10⁻¹≥10⁻⁶～<10⁻⁵≥90%≥60%低风险辅助安全系统、非核心联锁回路SIL2≥10⁻³～<10⁻²≥10⁻⁷～<10⁻⁶≥90%≥60%常规化工工艺联锁、通用工控安全系统（行业主流）SIL3≥10⁻⁴～<10⁻³≥10⁻⁸～<10⁻⁷≥97%≥80%高危工艺SIS、电力核心保护、关键设备安全联锁SIL4≥10⁻⁵～<10⁻⁴≥10⁻⁹～<10⁻⁸≥99%≥90%极高危重大危险源、核心关键安全系统、极少民用场景工程核心刚性规则：所有指标为标准最低达标底线，项目设计仅可从严、不可放宽；低等级系统指标无法向上兼容高等级SIL认证；量化指标达标同时，架构、容错、诊断、共因防控必须同步合规，单一指标达标不代表整体系统合规。第六章硬件失效分类与精细化管控方案6.1随机硬件失效管控随机硬件失效为概率性失效，无法完全杜绝，仅可通过精细化管控降低风险。工程落地需通过三项核心措施防控：一是选型高可靠安全级器件，优先选用经过行业验证、失效参数可溯源、具备功能安全认证的硬件；二是配置冗余架构，消除单点致命故障；三是建立周期性校验机制，定期标定、巡检、老化检测，提前更换濒临老化器件，降低运行期失效概率。同时需持续统计现场硬件失效数据，迭代优化选型与运维策略。6.2潜在隐性故障管控潜在故障是冗余系统最易忽视的风险，单通道失效后未被检测，叠加另一通道故障将直接导致安全功能瘫痪。标准强制要求通过高覆盖率在线诊断、周期性故障测试、手动联动校验三种方式，实现隐性故障清零；针对长期待命、极少触发的安全回路，需定期开展全回路动作测试，杜绝通道卡死、器件失效、回路断路等隐性问题。6.3共因失效专项管控共因失效是高等级冗余系统合规核心难点，标准明确管控逻辑：冗余通道物理隔离、电源独立、布线独立、环境分区；采用不同批次、不同工艺的器件降低同源失效概率；植入共因故障监测逻辑；在SIL验算中精准录入CCF因子，真实还原系统失效风险，避免验算结果虚高、与现场实际不符。第七章行业高频误区与资深整改方案（认证/安监重灾区）结合多年SIL认证、安监抽检、装置整改、系统验收实战经验，梳理本标准十大高频硬件合规缺陷，覆盖95%以上项目驳回问题：误区1：仅关注PFD/PFH数值达标，忽视SPFM、LFM结构度量指标整改：SIL等级判定为量化指标+结构指标双达标，仅失效概率达标、结构度量不满足，直接判定等级无效，是高等级认证首要驳回点。误区2：冗余架构形同虚设，存在同源供电、同源布线共因风险整改：严格落实冗余通道完全独立设计，开展专项CCF分析与测试，杜绝表面冗余、实质单通道风险。误区3：硬件故障无全自动安全响应，依赖人工干预保护整改：所有硬件故障场景必须预设全自动故障安全逻辑，禁止人工干预作为安全防护手段。误区4：普通工业器件替代安全级硬件，失效参数无溯源、无认证整改：安全回路全链路必须使用对应SIL等级认证器件，参数可验算、资质可核查。误区5：诊断覆盖率不足，大量隐性故障无法识别整改：按SIL等级补齐诊断机制，提升在线诊断覆盖率，实现故障全场景识别、预警、联动。误区6：高低要求运行模式混用，指标验算标准错位整改：低频触发安全回路采用PFDavg验算，连续运行安全系统采用PFH验算，模式不可混用。误区7：硬件私自技改、器件更换，无重新验算与测试整改：所有硬件变更纳入全流程管控，变更后必须重新验算指标、开展回归测试、归档留痕。误区8：重理论验算、轻实测验证，故障注入测试缺失整改：理论计算仅为参考，必须通过现场故障注入、冗余切换、故障联动实测验证指标真实性。第八章全套合规交付物清单（认证/内审/安监报审专用）完全匹配GB/T20438.2-2017全维度系统硬件合规要求，适配SIL认证、第三方审核、企业内审、装置验收、安监抽查全场景：1.系统安全需求规范、SIL等级定级报告、运行模式判定说明；2.安全系统整体架构设计方案、冗余容错设计说明、隔离与防共因失效方案；3.安全硬件选型台账、器件功能安全认证资质、失效参数溯源文件；4.系统FMEA失效模式分析、FTA故障树分析报告；5.硬件可靠性验算书（PFDavg/PFH、SPFM、LFM、诊断覆盖率）；6.共因失效（CCF