GB／T 41295.1-2022  功能安全应用指南 第1部分：危害辨识和需求分析

GB/T 41295.12022

选择功能安全系统需要运行场景以及需要控制的范围； 收集同类场景已经发生过的危险事件数据，包括已确定的危险事件和导致该危险事件的事件 序列； 征询系统相关人员对危险事件的意见和对系统的需求； 记录危害辨识结果，并对不可接受危害，逐一制定安全措施； 分析安全措施的有效性，总结编制安全需求； 征询系统相关人员对安全需求合理性的意见； 安全需求经过审批后作为功能安全系统的开发的依据； 根据系统的架构设计，将安全需求的实现方法分配到每一个子系统或者组件中

5.4危害辨识和需求分析的变更考虑

在危害辨识和需求分析时，需要考虑如下的变更： 变更一般由系统开发人员发起； 需要进行变更影响分析，重点是变更前后运行场景的差异对比； 变更具有足够的合理性，合理的变更具有如下几个特征： ·所有系统相关人员均不强烈反对此项需求变更 ·此项需求变更能够获得审批授权签字人的认可， 变更有具体的原因建筑标准，这些原因包括：危害辨识的错误或疏漏，市场竞争原因，现有技术条件 无法满足此项需求，需求完全无法被验证等； 变更需要通知所有引用危害辨识记录和安全需求的人员

在危害辨识和需求分析时，需要考虑如下的变更： 变更一般由系统开发人员发起； 需要进行变更影响分析，重点是变更前后运行场景的差异对比； 变更具有足够的合理性，合理的变更具有如下几个特征： ·所有系统相关人员均不强烈反对此项需求变更， ·此项需求变更能够获得审批授权签字人的认可， 变更有具体的原因，这些原因包括：危害辨识的错误或疏漏，市场竞争原因，现有技术条件 无法满足此项需求，需求完全无法被验证等； 变更需要通知所有引用危害辨识记录和安全需求的人员

5.5危害辨识和需求分析的文档化考虑

在危害辨识和需求分析时，需要文档化的内容包括： 运行场景的内容和特征； 危害的特征； 安全需求； 一危害与需求的关联关系； 变更影响分析； 变更的审批记录； 发布的审批记录。

6.1 危害辨识的一般过程

GB/T41295.12022

6.2自然环境在危害辨识过程中的影响分析

图1危害辨识的一般过程

危害辨识中的自然环境包括：气候、大气、地理、生物环境、人类社会等，对于自然环境的影响，需要 （如下方面进行分析： 重大自然灾害影响，如地震、海啸、洪水、飓风、泥石流、雪崩； 轻度自然灾害的影响，如冰苞、暴雨、大风、雷电、太阳活动异常、沙尘暴、雾霾； 气候的影响，如温度、风沙、盐雾、潮湿、日照； 生物活动影响，如动物闯人、飞鸟、昆虫、植物发芽、发霉； 与工艺无关的人类活动影响，如违规闯入、施工、人为破坏电力或通信线路； 公共服务影响，如停水、停电、停气、交通中断、通信中断。

危害辨识中的自然环境包括：气候、大气、地理、生物环境、人类社会等，对于自然环境的影响，需要 如下方面进行分析： 重大自然灾害影响，如地震、海啸、洪水、飓风、泥石流、雪崩； 轻度自然灾害的影响，如冰苞、暴雨、大风、雷电、太阳活动异常、沙尘暴、雾霾； 气候的影响，如温度、风沙、盐雾、潮湿、日照； 生物活动影响，如动物闯人、飞鸟、昆虫、植物发芽、发霉； 与工艺无关的人类活动影响，如违规闯入、施工、人为破坏电力或通信线路； 公共服务影响，如停水、停电、停气、交通中断、通信中断

6.3法律法规在危害辨识过程中的影响分析

法律法规的影响分析，重点不在于技术层面，而在于组织管理层面，需要从如下方面进行分析： 明文规定的关于工艺、设备、系统的要求； 条文中对于人员生命财产的安全保护规定； 对环境保护的规定； 对伤害程度的定级

6.4工艺过程在危害辨识过程中的影响分析

工艺过程是运行场景存在风险的直接原因，这是生产生活不可避免的环节，为了辨识危害，需要从 如下方面进行分析： 原料和产品在运输和存储过程中有毒物质泄漏，易燃易爆品被引燃引爆，意外的接触导致的剧 烈化学反应，例如，金属钠与水，长期大量堆放引发的自燃； 高温工艺的温度控制、超温保护、异常热传导； 高压工艺的压力控制、超压保护、压力泄漏； 高速工艺的速度控制、超速保护、速度骤降； 爆炸性环境中的静电火花和电源通断时的电火花； 存在明火的环境中，意外泄漏粉尘或者可燃气体； 设备运行环境的人员所承受的加速度、温度、噪声、氧气浓度及气压等。

受控设备的风险，需要从如下方面进行辨识： 自然环境、法律法规及工艺过程对受控设备的影响； 老化和腐蚀引起的泄漏、堵塞、断裂； 周边设施塌、异动对受控设备的撞击； 错误的现场人员操控环境标准，维修维护。

功能安全系统自身的风险，需要从如下方面进行辨识： 自然环境、法律法规、工艺过程对安全系统的影响； 错误的人为操作，例如，在线更新安全逻辑、长时间旁路 不正确的维修维护操作，例如，线缆接错、不停车维修； 配置错误，例如，未明确安全状态、联锁触发条件不合理

风险记录表示例见表1。

GB/T41295.12022

制定安全需求的依据是风险记录的安全措施，制定安全需求至少需要考虑如下因素： 安全需求是针对功能安全系统的要求，需要其他装置完成的安全要求不需要列出； 安全需求宜考虑信息安全，并进行脆弱性分析； 安全需求宜考虑实体防护，例如，机柜等； 每一项对应风险降低的安全需求确定安全完整性等级； 安全需求能够被验证

GB/T41295.12022

统安全要求规格书可以包括如下的具体内容。 遵守产品标准和安全标准，符合的法律、文化、政策要求。 产品的功能要求，需要考虑区分安全功能和非安全功能，需要对安全需求进行编号，需要描述 对操作、维护、启动、重启的要求。 安全完整性等级的要求，所有安全需求中安全完整性等级要求最高的作为整个系统的安全完 整性等级要求。 结构方面包括： ·系统的分类，无法明确描述所有失效模式的系统，定义为B类系统； ·余架构，以MooN的形式描述，N是系统的通道数量，M是能够让系统进入安全状态的 最少通道数量。 运行模式方面，包括： ·低要求模式，仅当要求时才执行将受控设备导入规定安全状态的安全功能，并且要求的频 率不大于每年一次： ·高要求模式，将受控设备导入规定安全状态的安全功能仅当要求时才执行，并且要求的频 率大于每年一次； ·连续模式，安全功能将受控设备保持在安全状态是正常运行的一部分。 一诊断方面，包括： ·诊断覆盖率（DC)和安全失效分数（SFF)的要求，根据安全完整性等级的要求确定： ·诊断的范围，需要考虑供电、输人回路、输出回路、时钟、通信通道、存储、可编程组件； · 故障响应时间，任意一个可被系统自诊断发现的故障，从故障发生到系统针对该故障完成 响应处理的时间间隔； ·平均维修时间，故障被发现，到故障被排除的平均时长； · 自诊断周期，任何一个可被系统自诊断发现的故障，从故障发生到系统发现该故障的最长 时间间隔； ·检验测试间隔，对功能安全系统所有安全功能的有效性进行全面检验测试的间隔时间，这 些检验测试以人工检验为主： ·检验测试要求，如：检验测试前的准备，检测测试项目，检验测试的通过标准，检验测试需 要的工具或设施； ·故障报警要求：报警的方式，报警的持续时间水利管理，报警的消除条件。 一应用场景，需要规定功能安全系统具体应用的领域和工况环境 环境方面：安装方式、室内/室外、温度、湿度、所需空间、气压/海拨、运输及存储 EMC方面，根据不同的应用现场，参照不同的国家标准或行业标准。 接口方面：输入输出接口、通信接口、人机操作接口，安全相关组件和非安全相关组件的接口。 通信方面：速率、节点数、传输距离及抗干扰能力 性能方面：响应时间、容量/点数规模、扩展性能、防爆性能及防护性能。 安全状态.安全状态时的输出、显示.安全状态与其他状态的切换方面

GB/T41295.12022