GB-T 21109.1-2007 中文版 过程工业领域安全仪表系统的功能安全 第 1 部分：框架、定义、系统、硬件和软件要求（等同 IEC 61511-1）

GB/T21109.1-2007中文版过程工业领域安全仪表系统的功能安全第1部分：框架、定义、系统、硬件和软件要求（等同IEC61511-1）前言GB/T21109.1-2007《过程工业领域安全仪表系统的功能安全第1部分：框架、定义、系统、硬件和软件要求》是我国流程工业领域安全仪表系统（SIS）顶层核心国标，2007年10月23日发布、2008年5月1日正式实施，等同转化国际功能安全标准IEC61511-1，专门适配化工、石化、油气、制药、煤化工、精细化工等连续流程工业场景。本标准与GB/T21109.2、GB/T21109.3共同构成过程工业SIS全生命周期功能安全标准体系，是国内危化品企业SIS系统设计、改造、验收、SIL定级验算、安监核查、安全生产合规的法定唯一依据。在功能安全标准体系中，本标准与通用基础标准GB/T20438（IEC61508）形成「通用基础+行业落地」的互补关系：GB/T20438是所有电气/电子/可编程电子系统的通用功能安全准则，无行业场景针对性；而GB/T21109.1-2007是专门针对过程流程工业、连续生产工况、危化品高危场景的专属落地规范，解决了通用标准无法适配流程工业长周期连续运行、工艺联锁复杂、危险介质易燃易爆、装置无人值守、事故连锁蔓延的行业痛点，明确了SIS系统独立架构、软硬件隔离、安全功能专属、失效容错、禁止与基础过程控制系统混用等刚性合规底线。目前国内危化品企业高频合规问题，集中体现在SIS与DCS系统混用、软硬件架构不满足容错要求、安全功能定义模糊、无合规SIL验算、软件组态无管控、系统独立性缺失等问题，是安监抽查、企业整改、项目验收的核心驳回点。本文摒弃浅层条文直译，结合十余年流程工业SIS系统搭建、HAZOP/LOPA定级、SIL验证、安监整改、老旧装置升级实战经验，系统拆解标准框架定义、系统架构、硬件强制规则、软件合规要求、等级适配逻辑、行业高频误区与落地整改方案，内容兼具官方权威性、工程实操性、安全生产指导性，可直接作为企业SIS设计规范、培训教材、报审验收文档、安监内审依据。第一章标准总则与体系定位1.1标准编制宗旨与核心价值GB/T21109.1-2007核心宗旨：规范过程工业工厂安全仪表系统（SIS）的整体框架、术语定义、系统架构、硬件配置、软件设计全维度要求，通过标准化安全仪表功能（SIF）管控、失效容错设计、安全完整性约束，确保工艺装置出现异常工况、设备故障、人为误操作时，SIS系统可精准触发联锁、停车、泄压、切断等安全动作，将工艺装置稳定置于安全状态，杜绝火灾、爆炸、有毒介质泄漏、重大工艺失控等恶性安全事故。本标准最大行业价值，是首次在国内流程工业领域明确划分基础过程控制系统（BPCS/DCS）与安全仪表系统（SIS）的边界，彻底杜绝常规控制与安全保护混构的安全隐患，建立流程工业专属的安全完整性管控体系，填补了国内危化品装置仪表安全标准化、量化管控的空白，是化工安全生产标准化、智能化升级的核心基础性标准。1.2适用范围与管控边界核心适用对象：适用于石油、化工、煤化工、天然气、精细化工、制药等所有过程工业生产装置的安全仪表系统，涵盖SIS整套体系：现场检测传感器、安全逻辑控制器、最终执行元件（电磁阀、切断阀、泄压阀）、配套安全软件、联锁逻辑、报警与停机机制。覆盖新建装置设计、在役装置改造、老旧SIS升级、系统验收、年度合规审核全场景。全生命周期适用场景：安全需求定义、风险分析定级、系统架构设计、硬件选型、软件组态开发、系统集成调试、SIL验证、投产运行、周期性校验、故障整改、装置技改、系统报废退役全过程。排除边界：本标准仅管控安全仪表相关功能系统，常规DCS基础过程控制、普通监测仪表、非安全联锁、民用通用电控系统不适用；机械安全、电气一次设备安全遵循专项标准，但其配套的安全仪表联锁系统必须严格遵循本标准。1.3标准体系层级与协同关系GB/T21109整套标准分为三个部分，三部分闭环互补，构成过程工业SIS完整合规体系，本部分为核心基础框架：第1部分（本文）：框架、定义、系统、硬件、软件要求——体系基础与设计底线第2部分：操作、维护与改造要求——运维阶段合规管控第3部分：程序与生命周期要求——流程与文档体系管控配套关联标准：GB/T20438（IEC61508）通用功能安全基础标准、GB/T32857储罐安全规范、AQ/T3035化工安全仪表系统规范、GB50770自动化仪表工程施工规范。1.4行业核心适配特性1.连续工况适配：针对流程工业24h不间断连续生产、长周期运行特性，弱化间歇工况要求，强化系统稳定性与抗疲劳失效能力；2.独立层防护原则：强制SIS作为独立安全保护层，严禁替代、叠加、混用基础过程控制系统；3.低需求模式主导：适配化工装置SIS低频触发、长期待命的工况特性，以PFDavg为核心量化指标；4.容错优先机制：优先保障系统故障安全，允许适度冗余设计，杜绝单点故障导致安全功能失效；5.严控共因失效：针对工艺同源、环境同源、供电同源导致的批量失效，设置专项管控要求。第二章核心术语权威释义（统一行业合规口径）本章严格对标GB/T21109.1-2007等同IEC61511-1原文定义，修正行业长期误用、混用术语，统一设计、验算、验收、安监审核全流程口径。1.安全仪表系统（SIS）：由传感器、逻辑求解器、最终执行元件组成的完整系统，用于执行一项或多项安全仪表功能（SIF），在工艺超限、设备故障时，自动将装置带入安全状态，是过程工业核心独立安全保护层。2.安全仪表功能（SIF）：SIS系统执行的单一安全保护动作，包含超压联锁停车、超温切断进料、液位高低联锁、可燃有毒气体联动切断、紧急停车等专属安全功能，是SIL定级与验算的最小单元。3.基础过程控制系统（BPCS/DCS）：用于常规工艺调节、参数控制、日常操作的控制系统，仅负责生产平稳性，不承担核心安全保护职责，标准强制与SIS物理、逻辑双隔离。4.安全完整性：SIS系统在规定工况、规定周期内，可靠执行预设安全仪表功能的能力，通过SIL等级量化体现。5.故障安全状态：SIS系统发生硬件故障、软件异常、断电、断线、通讯失效时，自动触发工艺安全停车、介质切断、泄压放空的预设安全状态，是本标准强制底线要求。6.系统失效：由设计缺陷、组态错误、流程漏洞、人为操作失误导致的可复现失效，无法通过硬件冗余规避，需通过体系流程管控解决。7.随机硬件失效：器件老化、环境干扰、工况波动导致的概率性失效，可通过冗余架构、高可靠选型、定期校验降低风险。8.安全保护层：独立于工艺控制、人为操作、报警提示的专属安全防护层级，SIS为过程工业核心主动安全保护层，不可被其他防护手段替代。第三章系统层级核心合规框架（标准核心架构要求）GB/T21109.1-2007明确规定了SIS系统的整体架构框架、层级边界、配置原则，是所有SIS设计的硬性前提，架构不合规将直接判定整体系统失效，无整改豁免空间。3.1SIS系统标准组成架构标准强制要求完整SIS系统必须包含三级完整链路，缺一不可，所有链路均需满足对应SIL等级要求：1.输入单元（传感层）：压力、温度、液位、流量、可燃有毒气体检测等安全专用仪表，禁止采用普通控制仪表替代；2.逻辑求解单元（控制层）：专用安全PLC、安全逻辑控制器、SIS专属控制系统，禁止使用常规DCS、PLC承担安全逻辑运算；3.输出执行单元（执行层）：安全切断电磁阀、紧急切断阀、泄压执行机构、联锁停机装置等专属安全执行器件。3.2核心刚性原则：SIS与BPCS独立隔离本标准最高频、最核心强制条款：用于执行安全仪表功能的设备，不得同时承担基础过程控制功能，严禁SIS与DCS共用仪表、共用控制器、共用回路、共用电源、共用通讯链路。工程实操依据：若SIS与BPCS共用设备，一旦常规控制功能失效，会直接触发或干扰安全仪表功能，导致安全保护层失效，形成重大系统性风险。仅在完成专项风险评估、验证风险可完全接受的极端场景下可特例豁免，常规化工装置一律禁止混用。合规落地要求：现场仪表单独配置、控制逻辑独立组态、供电系统独立UPS、信号回路完全隔离、通讯链路物理分离，杜绝风险穿透。3.3安全功能设计框架要求所有SIF安全功能必须遵循「风险匹配、独立防护、故障安全、可测可验」四大原则：安全功能需精准对应HAZOP识别的工艺危险场景，不遗漏重大风险、不冗余过度设计；所有安全联锁必须具备周期性测试条件，禁止不可测试的隐性安全逻辑；所有故障场景必须预设安全响应机制，无安全盲区。第四章硬件系统强制合规要求本标准对SIS硬件架构、选型、冗余、失效管控、诊断能力作出明确量化与定性约束，是SIL验算、安监验收、装置整改的核心硬件依据，所有硬件设计必须逐条满足。4.1硬件通用设计准则1.故障安全优先原则：所有输入、逻辑、输出硬件默认故障安全设计，断线、短路、失电、器件失效时，必须自动进入工艺安全状态，禁止保持危险运行工况；2.冗余容错原则：中高风险工艺装置（SIL2及以上）必须采用冗余架构，消除单点致命故障，单通道失效不影响整体安全功能执行；3.高可靠选型原则：安全仪表、控制器、执行元件必须选用具备功能安全认证、失效参数可溯源的专用安全器件，禁止普通工业器件替代；4.环境适配原则：硬件需适配化工高温、低温、腐蚀、防爆、粉尘工况，满足现场防爆等级与环境防护要求，避免环境诱发失效。4.2分层硬件专项要求传感层硬件要求：安全检测仪表需具备在线诊断、故障报警能力，关键工艺参数（压力、温度、液位）高等级回路需冗余配置，杜绝单点检测失效；仪表失效状态可被逻辑控制器实时识别并触发联锁保护。逻辑控制层硬件要求：SIS控制器需采用专用安全冗余架构（双机热备、冗余电源、冗余通讯），硬件失效可自动切换、无扰动容错，系统具备完整故障诊断、事件记录、联锁追溯能力，禁止普通控制器、工控机替代。执行层硬件要求：切断阀、电磁阀等执行器件需满足故障失电切断、故障泄压的安全逻辑，动作响应时间匹配工艺风险管控要求，具备周期性校验、动作测试条件，杜绝执行机构卡滞、失效无法动作的隐性风险。4.3硬件失效管控规则标准明确区分随机硬件失效与系统性硬件失效，要求企业通过器件筛选、冗余设计、定期校验管控随机失效；通过标准化选型、规范安装、合规技改管控系统性失效；同时针对多通道冗余系统，强制开展共因失效分析与规避设计，防止同源故障导致整体安全功能瘫痪。第五章软件系统强制合规要求GB/T21109.1-2007重点补齐了流程工业SIS软件管控短板，明确安全软件的设计、组态、变更、验证、版本管理规范，解决行业重硬件、轻软件的合规漏洞，是高等级SIL系统合规的核心关键。5.1安全软件设计核心准则1.逻辑简化可控：SIS安全联锁逻辑需简洁清晰、无冗余嵌套、无复杂自定义算法，降低软件逻辑失效概率，便于测试、校验与追溯；2.软硬逻辑隔离：安全软件逻辑与常规控制软件完全隔离，禁止DCS逻辑联动改写SIS安全参数，杜绝非安全操作干预安全联锁；3.故障自响应：软件需具备故障诊断、异常识别、超时保护、通讯失效保护逻辑，软件异常时优先触发安全停机，而非维持工艺运行；4.禁止隐性逻辑：所有联锁条件、触发阈值、延时逻辑、复位规则必须显性配置、可查询、可测试，无隐性后台逻辑。5.2软件变更与组态管控标准强制要求SIS软件实行全生命周期变更管控：任何联锁逻辑修改、阈值调整、组态变更、程序升级，必须开展风险评估、技术评审、测试验证、变更留痕、版本存档，禁止现场私自修改、无记录调试、口头变更。所有软件版本可追溯、可回退、可核查，杜绝人为组态失误导致的安全事故。5.3软件测试与验证要求SIS软件组态完成后，必须开展专项逻辑测试、联锁联动测试、故障模拟测试，验证所有安全逻辑匹配SIF需求、响应动作准确、故障处理合规；高SIL等级系统需完成软件全覆盖测试，无测试盲区，测试报告作为合规验收必备资料。第六章过程工业SIL安全完整性等级体系本标准依托GB/T20438通用体系，结合流程工业低频触发工况，明确SIL1~SIL4四级安全完整性等级，是SIS系统定级、验算、验收的唯一量化依据，化工装置主流适配SIL2、SIL3等级。6.1低需求模式SIL量化指标（过程工业通用）流程工业SIS均为低需求模式（安全功能年均触发频次≤1次），核心考核指标为PFDavg（平均要求时失效概率）与RRF风险削减系数。安全等级PFDavg平均要求时失效概率RRF风险削减系数流程工业适配场景SIL1≥10⁻²～<10⁻¹10～100低风险辅助工艺、非核心联锁、轻微后果工况SIL2≥10⁻³～<10⁻²100～1000常规化工工艺、一般易燃易爆介质、通用装置联锁（行业主流等级）SIL3≥10⁻⁴～<10⁻³1000～10000高危工艺、重大危险源、剧毒介质、高温高压关键装置、核心联锁SIL4≥10⁻⁵～<10⁻⁴10000～100000极特殊高危工艺，常规化工装置极少采用工程核心规则：SIL等级由LOPA风险分析确定，系统架构、硬件冗余、软件逻辑、失效指标必须匹配定级结果，等级不匹配直接判定合规失效；高等级系统可兼容低等级要求，低等级系统不可向上复用高等级资质。第七章标准合规全生命周期流程（落地闭环）依据GB/T21109.1-2007框架要求，结合整套21109系列标准，梳理流程工业SIS全生命周期合规闭环流程，覆盖新建、改造、在役运维全场景。7.1风险分析与需求定义阶段通过HAZOP危险与可操作性分析，识别工艺装置所有危险工况、连锁风险、事故后果；依托LOPA保护层分析，确定各SIF回路目标SIL等级，明确安全功能需求、响应时间、失效安全逻辑，形成安全需求规范，作为后续设计唯一依据。7.2系统架构与软硬件设计阶段严格遵循本标准独立隔离原则，完成SIS系统架构搭建、冗余配置、软硬件选型；杜绝SIS与DCS混用，完成硬件容错设计、软件逻辑组态、故障安全机制配置，同步开展共因失效规避设计。7.3集成测试与SIL验算阶段开展系统集成测试、联锁逻辑测试、故障模拟测试，验证安全功能有效性；核算PFDavg、诊断覆盖率、共因失效指标，完成SIL等级验算确认，确保量化指标匹配定级要求，留存全套实测与验算资料。7.4投产运行与周期性校验阶段装置投产后，严格执行SIS周期性测试、联锁校验、仪表标定、硬件巡检、软件核查；建立运行台账，记录联锁动作、故障信息、异常工况，及时整改隐性隐患，保障系统长期合规有效。7.5技改升级与报废退役阶段工艺改造、SIS软硬件升级、联锁逻辑变更必须重启风险评估与SIL验证；系统报废前完成残余风险评估，规范拆除、存档备案，杜绝改造与报废环节安全失控。第八章行业高频误区与资深整改方案（安监重灾区）结合多年化工安监整改、SIS验收、装置升级实战经验，梳理本标准十大高频违规问题，覆盖95%以上企业合规缺陷：误区1：SIS与DCS共用仪表、回路、控制器，混用控制与安全功能整改：严格执行物理+逻辑双隔离，拆分共用设备，SIS独立配置传感、控制、执行链路，杜绝风险穿透，为安监一票否决项。误区2：仅做硬件冗余，忽略软件组态管控与变更留痕整改：软件逻辑、阈值、组态变更必须全流程评审、测试、存档，无记录变更判定重大合规缺陷。误区3：套用通用IEC61508标准，未适配过程工业SIS专属要求整改：化工装置必须优先遵循GB/T21109.1-2007行业专属规范，通用标准仅作辅助参考。误区4：无LOPA定级依据，主观设定SIL等级，盲目升级或降级整改：所有SIF回路SIL等级必须基于HAZOP/LOPA风险分析，无依据定级、降级一律不合规。误区5：安全联锁无故障安全逻辑，失电、断线后维持工艺运行整改：所有SIS回路必须默认故障安全状态，异常工况自动触发安全保护，杜绝危险保持运行。误区6：高等级SIL回路采用单通道架构，无冗余容错设计整改：SIL2及以上核心回路必须冗余配置，消除单点故障，保障安全功能持续有效。误区7：仅靠理论验算，无现场测试、故障模拟实测数据整改：标准强制实测验证，纯理论计算无法通过安监验收与合规审核。第九章全套合规交付物清单（安监验收/企业内审/项目报审专用）完全匹配GB/T21109.1-2007框架、系统、软硬件合规要求，适配危化品企业安监抽查、项目验收、第三方认证、企业内审全场景：1.装置工艺风险分析报告（HAZOP）、保护层分析报告（LOPA）、SIL定级报告；2.安全仪表系统安全需求规范、SIF回路清单、目标SIL等级分配台账；3.SIS系统整体架构设计方案、软硬件隔离设计说明、冗余容错设计文档；4.安全仪表、控制器、执行器件选型台账、功能安全认证资质、参数溯源文件；5.SI