GB／T 41254-2022  爆炸保护系统的功能安全评估方法

4.3功能安全评估所需信息

爆炸保护系统功能安全评估所需信息应至少包括： a） 预期用途： b 用于爆炸保护系统设计的安全特性； 维护要求； 实际和可预期的周边区域环境； e） 相关设计图纸； f）设计计算及开展检查的结果。 如果可获取，还应包括： a） 测试报告； b）事故案例； c）安全相关的出版物。 如果爆炸保护系统没有相关的事故案例，则应使用可获取的类似爆炸保护系统的信息。当爆炸保 护系统缺少事故案例、仅出现少量事故或轻微事故时不应直接将其评定为低风险。 功能安全评估所需信息也包括其他可能的预防措施。 上述所需信息需要根据爆炸保护系统相关技术的发展而不断更新。 对于定量评估，应在确定数据适用性的前提下使用由数据库、手册、实验室和制造商的规格书中提 供的数据。任何与数据相关的不确定性都应记录在第6章规定的文件中。 注：数据用于定义可预期的操作要求，与可靠性、适用性、耐用性、通用性、良性的故障及失效保护特性和标签、警 告、标识、可追溯性要求和指示相关。相对于测试数据，基于间接来自经验的专家意见的一致性数据，宜用于 定性评估

图1所示的功能安全评估流程和步骤开展进行。 功能安全评估应包括爆炸保护系统的维护。制造商提供的说明书中应包含所必需的维护要求，以 及与预期用途相关的系统维护不到位的情况。 爆炸保护系统功能安全评估的示例见附录A

图1所示的功能安全评估流程和步骤开展进行。 功能安全评估应包括爆炸保护系统的维护。制造商提供的说明书中应包含所必需的维护要求，以 及与预期用途相关的系统维护不到位的情况。 爆炸保护系统功能安全评估的示例见附录A

混凝土标准规范范本5.2爆炸保护系统的描述

爆炸保护系统按以下方式分为两类： a）被动系统，如阻火器、通风系统等； b）主动系统，如抑制系统等。 爆炸保护系统的预期用途应至少从以下方面进行描述： a） 爆炸保护系统的生命周期； 在使用、时间、空间方面的限制； c） 功能的精确定义； d) 制造材料的选择； e) 性能、寿命和配置； f) 爆炸类型的描述； g) 工艺条件的限制； h） 维护要求。

应根据爆炸保护系统的潜在失效源对爆炸保护系统进行功能安全评估，为此，应从以下方面分析 炸保护系统预期使用时的功能和状态： a）可能出现的运行故障； b）爆炸保护系统的可靠性； c）可合理预期的误用。 应通过功能和系统分析对潜在失效进行评估，并在整个生命周期中分别给予考虑。 注：失效识别方法的示例见附录B

5.3.2失效识别的开展

5.3.2.1设计与制造

应从以下方面识别爆炸保护系统在设计与制造过程中存在的潜在失效 按照预期用途，判断以下方面是否存在潜在失效： 1）阻火器是否具有足够的热传导率； 2）泄放装置是否具有有效压力释放能力； 3）抑制系统是否具有足够的抑制效能； D 爆炸保护系统机械结构的尺寸，判断是否存在以下的潜在失效： 1） 抗压性不足； 耐温性不足； 3）抗振动与抗冲击能力不足；

GB/T 412542022

4）防老化或防腐蚀能力不足； 根据爆炸的性质，判断安装场所、安装位置或安装方法是否合适； d）与工艺相关的模式、环境温度、环境压力以及运行阈值或灵敏度是否正确； e）软件和控制设备（硬件）是否兼容，软件是否具备合理的安全诊断报警能力 f）硬件是否具有抗电磁干扰的能力； g）是否具备额外的故障安全措施，如合理的安全穴余； h）在电源失效的情况下，是否应具有措施保障系统的预期用途

应从以下方面识别爆炸保护系统安装过程中存在的潜在失效： a） 破空阀、泄压装置前面的危险区域、反冲力、人员受伤风险等对预期功能的影响； b）密封不充分； c）电气条件不满足（如短路、开路、过载和接地故障等）； d）控制和指示设备的能量供应和/或后备电源不足

5.3.2.3操作和维护

应识别爆炸保护系统在使用 维护过 程中的潜在失效如下： a）泄漏污染； b）人为干预不正确或不充分（错误操作、错误安装、错误维护、意外干预）； c）故障显示信息以及缺少紧急停机程序。 应在使用说明中对这些缺失或不足的情况以及潜在失效加以详细说明

对爆炸保护系统进行任何与安全有关的修改后，应将其视为新的系统重新进行功

对于爆炸保护系统，应通过失效识别结合风险可接受标准要求，确定爆炸保护系统的功能安全 要求。 失效识别后，应通过确定失效概率估计爆炸保护系统的功能安全。 应根据爆炸保护系统在降低失效概率和/或系统与安全相关的设备的复杂性方面的设计安全要求， 开展定性地、半定量地或定量地功能安全估计。 爆炸保护系统的功能安全估计应从以下两方面进行： a）功能性，即完成系统预期用途所需功能的能力（例如，阻止初期爆炸、减少爆炸压力）； b）完整性，即按要求或按时执行这些功能的可靠性。 完成所需功能的能力可通过可靠性数据和/或对系统结构的容错性表述来部分量化。 对于可能导致系统保护功能失效的每一个参数，如针对功能和完整性要求相关的，应对其进行可靠 性估计和评价

活动过程中以及事件本身期间，根据故障，可合理预期的使用和误用中预测其行为。 对于已确定的爆炸特征，通常应基于最坏的情况开展功能安全估计，即爆炸保护系统的安全功能缺 失。当不适用时，应在只影响爆炸保护系统部分性能的情况下开展功能安全估计，如可部分减少爆炸带 来的危害，即在一定程度上降低爆炸超压， 对于识别出的每种类型的失效（见5.3），应评估它们能降低性能和相关概率的程度。在这种情况 下，考虑并评价影响系统行为的各种参数的临界性，例如： 条件和操作模式（如安装和运行要求，维护要求，测试、复位、联动装置、旁路）； b）月 所需的响应和反应时间（传感器到执行器的响应时间和预防措施的反应时间）； 故障功能、状态、响应时间； d 故障安全功能，安全状态； 危险失效和相关行动的监测和探测能力； f 考虑到安全特性的爆炸保护系统灵敏度； g） 设计与控制参数； h 系统结构、穴余、容错； 接口、系统元件的影响、安全相关控制元件以及安全装置； 检测/测试方法； 其他系统对正常功能的依赖性/独立性； 系统性的/与测试无关的失效

对于安全相关设备，应根据功能安全完整性要求进行定义和评估，属于爆炸保护系统性能的一部分。 对于简单的预防系统，可经过经验验证或评估后符合要求的功能，在此基础上进行评估（即在使用 中证明）。 对于每一个安全功能，导致安全功能无法实现的事件概率（即失效概率或要求时的失效概率），应根 据下述因素并进行估算： 运行模式（高要求模式/连续模式、低要求模式）； b） 假定要求率； 体系结构/体系结构的约束； 系统性失效； e 共因失效； 平均维修时间； g） 检测/测试间隔； h）诊断覆盖率和安全失效分数。 完整性评估的结果应采用可靠性数据的形式，根据情况采用要求时平均失效概率或每小时危险失 效的概率（即失效率），既可单独用于不同的功能，也可作为整体用于爆炸保护系统功能。 这些结果将用于功能安全评估，并供用户验证爆炸保护系统如何在爆炸风险综合评估中起作用和 降低爆炸总风险的前提条件。 这些结果应成为文件记录的一部分。 注，这些失效都是测试或监控设备不能发现的.包括.设计失效、软件错误、信号识别、安装偏差等

应对功能安全估计的可接受性开展功能安全评价。因此，应根据预期用途预先确定验收标准。验

GB/T 412542022

收标准可以是定性的、半定量的或定量的。 对于概率估计，可接受标准可以是定性的、半定量的或定量的。 将确定的爆炸保护系统要求时的失效概率和定义的可接受标准进行比较，可说明是否有必要采取 风险降低措施。 为了确定降低风险的措施，首先应分析爆炸保护系统的构成或属性，这些是总体风险的决定因素 应对每一项确定的降低风险措施进行分析，审查与各项相关的安全效益和实用性。 可接受的爆炸保护系统应包含以下要求： a）系统能在初期阶段阻止爆炸，或者将爆炸影响减少到可接受的程度； b）在a)的系统发生故障、失效和/或干扰时，通过使用例如故障安全技术或允余等方法可保证该 功能仍然有效

功能安全评估文件应说明已遵循的程序和已取得的结果，应包括但不限于： 已开展功能安全评估的爆炸保护系统（如规格、限制、预期用途、操作描述）（见4.2和5.2）； b 已做出的任何相关假设（如载荷、强度、安全系数）； 基于4.3a）～d）的使用说明； 开展功能安全评估所需的更多信息（见4.3）； e 所使用的数据和参考资料（例如，数据库、事故案例、广泛应用于类似爆炸保护系统功能安全 面的经验；应评估与所用数据相关联的不确定度及其对功能安全评估的影响）； 失效识别（见5.3）； 功能安全评价的最终结果（见5.5）； h 为消除失效或增加功能安全而实施的安全措施（如标准或其他规范）

制造商应向用户提供6.1a）、d）、h)的信息

附录A （资料性） 功能安全评估示例

标引序号说明： 与分析单元连接的压力传感器： 一 压力传感器分析装置； 抑制除尘器爆炸的高释放率（HRD)灭火器： 将除尘器与上游生产装置隔离的HRD灭火器： 一 粉尘浓度监测设备； 控制和指示设备（CIE)： 锁气卸灰装置； 一风机。 注：本例是假设性示例，并不完整，仅作为示例来理解

图A1除尘器的爆炸抑制和隔离系统

GB/T412542022

图A.2系统功能框图

当传感器/分析仪给出信号时，该功能为打开每个火火器的活瓣， 爆炸抑制和隔离系统的关键部件是传感器、控制单元和HRD灭火器，因此在本示例中仅对这些部 件进行分析。假定其中一个HRD灭火器没有打开，此时系统的安全功能失效（系统的抑制能力仍可用 于较弱的爆炸；如果除尘器中的点火位置远离管道与除尘器的连接处，则很可能不需要进行隔离）。 假定系统的要求频率为每年一次，粉尘爆炸是由静电放电或进人除尘器的高温颗粒物引起。

爆炸抑制和隔离系统一个非常重要的部件是HRD火火器。本示例中的火火器使用机电式触发的 活瓣，电容放电驱动力矩电机松开活瓣的锁止机构。储存抑制剂的容器与阀门连接，容器内用氮气预压 至6MPa，锁止机构松开时氮气推动活瓣开启，通过喷嘴将抑制剂释放到要保护的结构中。考虑到系统 几余，在抑制器中安装两套力矩电机 电机和释放电子装置均可正常运转

A.4.2HRD灭火器部件失效率

表A.1为针对HRD灭火器进行的FMECA分析示例，表中提供了HRD灭火器17个部件的 效率，为每运行百万小时的失效数。作为示例，这些数据均为虚构数据

表A.1HRD灭火器部件失效率的示例

A.4.3故障的后果和危险性

表A.2HRD灭火器部件失效的后果和危险程度

注：只有部分组件和功能作为FMECA分析的部件在本表中列出

D灭火器的FMECA分析中，仅考虑危险程度1的轻微故障时可估计HRD灭火器总的要求 既率。已经对控制单元和传感器进行了类似的分析，在此不再详述。

GB/T 412542022

基于为HRD灭火器、控制单元和与分析 影响分析（FMEA)分析结果，估计爆炸抑制和隔离 系统的爆炸抑制功能失效概率见表A.3。

3爆炸抑制功能要求时的平均失效概率（PFDa

从表A.3可以看出，根据GB/T20438（所有部分），该功能符合SIL2的要求

有许多方法可以识别失效、估计概率并评估这些失效的影响，由于每种方法都是针对特定应用场景 而开发的，因此在功能安全评估的不同应用中，有必要对一些细节进行修改 本文件参考了GB/T27921一2011中的两种风险评估方法，并对这两种风险评估方法进行了简要 的介绍和描述，可为风险评估方法在爆炸保护系统功能安全评估中的应用提供指导

B.2失效模式和影响分析（FMEA）及失效模式、影响和危害程度分析（FMECA）

FMEA和FMECA用于识别和描述系统失效、穴余和共因失效、功能、失效模式、原因、影响、检测 方法、平均维修时间和对安全相关系统中安全功能关键组件的测试间隔 在分析系统前需要将系统分解成组件，找到适合此系统故障的级别，该级别取决于FMEA或 FMECA的分析目标和有效的技术文档。在很多情况下电器标准，FMEA或FMECA分析都是作为故障树分析 的前期准备或作为功能安全评估的基础。 FMEA或FMECA由相关工程领域的团队以及具有丰富系统产品经验的人员执行。有标准的表 格（附录A给出了FMEA或FMECA表格的示例)记录系统中每个组件的信息，可包括以下内容： a）组件的名称和类型； b）功能； 失效模式； d） 失效原因； 局部故障影响； 全局故障影响； 8） 故障检测； h） 补偿/保护余； ） 意见、建议和后续行动跟踪。 在FMEA或FMECA分析表格中，也可用一列记录失效的概率及其后果。失效的概率和后果经排 字可分类，如低、中、高或风险矩阵等。每个类别的含义和重要性在文本中进行定义，并根据人员、经济 和环境对失效后果进行分类。在功能安全评估中，通常需要用到定量或半定量的概率估算，该数据由制 造商给出，或者从通用数据中获得

B.3故障树分析（FTA）

敌障树是一种风险分析方法，通过故障树分析可根据子系统（组件）的失效模式和操作人员的行为 来找出不希望出现的系统失效模式，故障树能列出所有可能发生失效事故的逻辑关系，这些由故障树逻 辑图来记录，如图B.1所示。 故障树图包含两个基本元素：“逻辑门”和“事件”，逻辑门是故障逻辑在故障树中的通路，并显示故 章事件和由该事件导致的更高层级事件之间的关系。两种主要类型的门是“与”门和“或”门，“与”门表 示当输人的所有事件同时发生输出事件才发生，“或”门表示当输入事件至少有一个发生则输出事件发 生。还有许多其他类型的门，使用它们表示逻辑关系的频率较低。一旦逻辑被记录在故障树中，只要给 定关于故障树中底事件的发生频率/概率就可以计算顶事件的发生频率，这些频率/概率通常可以是电

GB/T412542022

子、电气或机械部件、软件的故障率，并且这些数据可以从数据库或典型行业数据中获得。故障树分析 还可以评估人员操作的失效率，根据故障树的布尔逻辑算法，最终确定顶事件的发生频率。在“或”门 中，事件的发生频率都可以相加，在“与”门中，一个事件的发生频率可以和其他任意数量的事件概率相 乘（作为一阶近似解）。在评估故障树时，重要的是要清楚哪些数据是频率（以每单位时间内发生的事件 为单位）以及哪些是概率（无量纲）。还有用于评估大型和复杂故障树的专业技术，例如，最小割集技术。 FTA特别适用于离散项目、成套机械设备以及爆炸保护系统的可靠性评估。 FTA应用于复杂机械时会过于复杂且耗时，除非在没有量化的情况下使用，以高度概括不同组件 和功能之间的相互作用。

TZZB标准规范范本图B.1电源的故障树分析

GB/T16855.1一2018机械安全控制系统安全相关部件第1部分：设计通则 [2]］GB/T20438.4一2017电气/电子/可编程电子安全相关系统的功能安全第4部分：定义 和缩略语 ［3］GB/T27921—2011风险管理风险评估技术 ［4 GB28526一2012机械电气安全安全相关电气、电子和可编程电子控制系统的功能安全 【5] EN13237:2012Potentially explosive atmospheres—Terms and definitions for equipment and protective systems intendedforuse inpotentially explosiveatmospheres [6]EN15233:2007Methodology forfunctional safetyassessment of protectivesystemsfor potentially explosive atmospheres [7] EN50495:2010Safety devices required for the safe functioning of equipment withrespect to explosionrisks