GB／T 41295.4-2022  功能安全应用指南 第4部分：管理和维护

9.2运行过程的在线安全分析

9.2.1考虑在维护过程中开展对功能安全系统的现场失效分析和在线安全管理。 9.2.2在功能安全系统运行过程中，现场运维人员需要对功能安全系统出现的故障情况进行记录。 9.2.3宜采用专用记录工具进行自动化的故障统计。自动化的记录工具可实现对功能安全系统各个 组件故障信息通过通信网络自动获取、汇总、分类和显示。 9.2.4基于故障收集的情况，对所有的故障记录需要进行定性和定量分析，确定这些故障的出现是否 超出系统的预期运行目标、规则或失效率。设备失效模式及数据采集方法可见GB/T20172一2006、 GB28526—2012、GB/T15969.6—2015。 9.2.5对于关键的安全功能回路需要考采用专用的安全特性在线分析工具。在线分析工具可与记 录工具可以成套使用。安全特性在线分析工具至少具备安全回路设备状态监测、实时故障预警、要求率 分析和风险动态评价等功能。 9.2.6当故障分析结论为功能安全系统当前的运行状态与安全要求规范、系统用户手册和安全手册中 现定的不符时，宜采取适当的措施对系统进行修改，可选的措施包括： 更换故障率高的组件，并排查导致故障率升高的原因，保证从根源上避免故障发生； 调整内部的管理措施，加强人工的巡检和维护； 重新开展一次完整的危险与风险分析和安全完整性确定评估.提出新的安全防护需求

产品质量标准GB/T41295.42022

GB/T 41295.42022

的间隔时间，重新开展适当的PFDaVg或PFH计算，以证明符合要求的SIL 9.3.1.2实际开展的检验测试达到的测试覆盖率不小于PFDaVg或PFH计算中假设的测试覆盖率。 9.3.1.3 执行检验测试的人员需经过培训，对功能安全系统及现场工艺等都有足够的认识。 9.3.1.4执行检验测试的工具需考虑经过定期的校核，以保证测量精度和溯源性。 9.3.1.5 制定检验测试计划，在完成测试后编制检验测试报告。 9.3.1.6理论上，检验测试可在线或离线开展，具体选用何种方式取决于具体的工艺要求、生产要求和 功能安全系统特性。 9.3.1.7宜采用自动化的工具对检验测试的执行情况进行记录和动态分析，并基于测试要求提出改进 措施。

9.3.2离线测试时间

9.3.2.1最常用的用于揭露导致安全功能丧失功能的失效或故障的安全功能测试是离线功能测试。执 行该测试时，受控设备处于停产的状态，可对安全功能的所有特征进行确认。该测试的主要目的是检测 安全功能中危险未被揭露的故障。 9.3.2.2对安全相关系统中的每个安全功能进行辨识。与每个安全功能相关的所有输人、输出和逻辑 均得到辨识。测试规范需要考虑定义如何对每个安全功能进行确认。对所有执行测试的必要设备进行

测试间隔由对安全功能的性能计算确定； 当逻辑发生变更，对安全功能产生影响的时候； 当过程或设备由于计划的维护活动停止工作； 公司关于对安全功能进行完整测试的政策； 在功能安全系统长时间停机之后。

个基于原始设计意图的安全保护层的性能； 结构的材料； 运行模式； 运行的规程； 报警和联锁设置； 响应速度； 测试间隔或方法； 设备类型，除非是同型更换； 架构或表决逻辑； 诊断。

GB/T41295.42022

线测试，测试周期提前给予确定 9.3.3.2变送器能够提供如超范围高/低诊断和超出控制范围显示，故根据变送器的诊断功能酌情降低 对变送器的测试频率。 9.3.3.3输入设备的校准稳定性可能要求其测试频率要低于完整的安全功能。考虑设备会由于环境改 变（如温度）而漂移，可能要求更加频繁的测试和校准，以保证正确的过程变量输入到安全功能。时漂大 或者工作环境比较恶劣的变送器，需考虑增加其测试频率。 9.3.3.4组件的穴余可能会影响测试频率。如果元余变送器有输出监视，并且彼此比较，一致则意味着 对测量量不需要频繁的测试或校准。如果输出漂移分离，表示需要对所有余组件进行测试和校准。 9.3.3.5对危险条件检测的多样性是一种在不增加穴余组件的情况下提高安全功能的可用性。例如， 对于压力的测量可以通过对工艺过程条件的温度测量来表示。通过对温度、压力值与预计的热力学数 据进行比较，对过程测量的有效性进行诊断，降低要求的测试间隔。 9.3.3.6对于特定传感器和服务的用户经验可用于确定设备的测试频率，以保证传感器的性能

9.3.4逻辑控制子系统的离线测试

9.3.4.1当对逻辑解算器进行变更之后，对这些变更的潜在影响进行评估以确定需要对多少安全功能 进行测试。如果程序的变更可以与某些区域明确隔离开，并且可以明确地证明变更不会影响逻辑解算 器中执行的其他逻辑，仅有该区域需要被完全测试（完整功能测试）。这可应用各种技术的逻辑解算器， 包括机电继电器、固态继电器、气动或可编程电子， 9.3.4.2诊断功能作为逻辑解算器的外部诊断，宜对其采用与逻辑解算器同样的频率进行测试。 9.3.4.3宜对逻辑解算器的功能方面特性按照计划进行验证，根据与过程相关的风险情况、逻辑的复杂 性和公司使用该逻辑解算器的经验，确定测试频率从一年到几年

9.3.5最终执行单元子系统的离线测试

9.3.5.1当执行全系统功能测试的时候，需要对最终执行组件（如阀门）进行测试。测试频率宜根据安 全功能计算中的性能情况进行。每当过程停止工作之后，都宜对最终执行组件进行测试。 9.3.5.2作为最终执行组件的测试频率取决于很多因素： 一作为最终执行组件的类型； 一应用的环境情况； 一作为正常运行的使用还是当安全功能动作后作为一个备用组件； 一最终执行组件的性能要求，如阀门是需要提供最小的泄漏隔离还是泄漏可以容忽。 9.3.5.3当测试最终执行组件的时候，附件如阀门定位器、限位显示器/传感器、空气压力器等宜与最终 执行器按照同等频率测试

工业标准9.3.6人机接口的离线测试

变更进行测试以确认显示的正确状态。如果HMI用于初始化安全功能逻辑，所有与初始化相关 备都应该进行测试，包括HMI、输出电路和最终执行组件

9.3.7安全通信的离线测试

对于在安全功能采用安全通信总线进行数据交换时，对通信采用与安全功能同等的频率进行测 开展对安全功能的全功能测试时，测试包括到所有其他设备的通信，如到基本过程控制系统的通 在安全功能和任何其他设备之间发生通信连接变更时，确认对正确的信息进行了传递。

GB/T41295.42022

GB/T41295.4—2022

GB/T41295.4—2022

4.1在线测试可保证工艺的连续性，但需要考虑到可能产生导致过程误停车的风险。 4.2为尽可能地避免误停车行业分类标准，在测试开始前宜对测试规程进行一次复审，复审人员包括来自设备、电 和操作维护的技术人员。这个团队考虑审核以下内容： 讨论功能安全系统中操作员的重要性情况； 对功能安全系统的功能描述进行复审； 对功能安全系统的功能测试规程进行复审； 讨论是否在线测试会影响其他系统，如基本过程控制系统，报警或其他安全功能； 讨论工作范围，具体到待考虑的参数是什么，压力、温度或是液位等； 讨论当产生每个报警时，为什么需要告知操作人员； 讨论当旁路系统时，哪些设备将不再起作用； 与操作人员复审在测试时那些特别需要注意的事项： 当输入处于旁路测试时，讨论当安全功能发生非计划停车时宜采取什么动作。 4.3在线测试注意提前做好旁路，并确保旁路后不会产生附加影响。 4.4对于最终执行组件（如阀门)可采用如部分行程测试的方式来开展在线测试，部分行程测试的有 性或取代全行程测试的合理性需通过专门的分析论证

1］GB/T15969.6一2015可编程序控制器第6部分：功能安全 2 GB/T20172一2006石油天然气工业设备可靠性和维修数据的采集与交换 3 GB/T20438（所有部分）电气/电子/可编程电子安全相关系统的功能安全 4 GB/T21109（所有部分）过程工业领域安全仪表系统的功能安全 5 GB28526一2012机械电气安全安全相关电气、电子和可编程电子控制系统的功能安全 6 GB/T41295.12022 功能安全应用指南第1部分：危害辨识和需求分析 GB/T 41295.22022 功能安全应用指南第2部分：设计和实现