本文以某開關(guān)量輸入安全柵取得TUV功能安全認(rèn)證為例，介紹基于IEC 61508標(biāo)準(zhǔn)的功能安全認(rèn)證的過(guò)程，并對(duì)認(rèn)證過(guò)程中各步驟順序、各階段主要工作、德國(guó)認(rèn)證審核工程師最新要求變化等核心步驟進(jìn)行了詳細(xì)的介紹。為用于過(guò)程測(cè)試和控制裝置等產(chǎn)品取得功能安全認(rèn)證提供參考。
大約2010年左右，很多中石油、中石化單位選用設(shè)備時(shí)，在標(biāo)書中明確要求需要提供功能安全認(rèn)證證書。若沒(méi)有功能安全認(rèn)證，儀表廠商錯(cuò)失了很多參與機(jī)會(huì)，大家逐漸認(rèn)識(shí)到了功能安全認(rèn)證的重要性，開始積極準(zhǔn)備功能安全認(rèn)證。相信有人也是一樣，剛接觸認(rèn)證時(shí)很茫然，不知從哪做起。本文結(jié)合開關(guān)量輸入安全柵功能安全認(rèn)證實(shí)際經(jīng)歷，介紹認(rèn)證要求、認(rèn)證流程和注意事項(xiàng)。
功能安全認(rèn)證對(duì)于現(xiàn)代工業(yè)的安全作用這里就不班門弄斧了，網(wǎng)上有許多專業(yè)文章闡述功能安全的作用。本文主要開關(guān)量輸入安全柵為例，基于IEC 61508標(biāo)準(zhǔn)進(jìn)行功能安全認(rèn)證的過(guò)程介紹。
1、防爆認(rèn)證安全柵作為防爆產(chǎn)品，若想進(jìn)入國(guó)際市場(chǎng)，必須符合強(qiáng)制性國(guó)際防爆認(rèn)證要求，在功能安全認(rèn)證之前需取得相關(guān)防爆認(rèn)證。很多認(rèn)證機(jī)構(gòu)都會(huì)提供IECEX防爆認(rèn)證流程的介紹。
①申請(qǐng)單位向IECEX體系授權(quán)的認(rèn)證機(jī)構(gòu)以書面形式提出認(rèn)證的申請(qǐng)，及相關(guān)產(chǎn)品文件資料。機(jī)構(gòu)受理后，申請(qǐng)單位與認(rèn)證機(jī)構(gòu)簽訂委托認(rèn)證合同。
②認(rèn)證機(jī)構(gòu)對(duì)申請(qǐng)認(rèn)證產(chǎn)品進(jìn)行防爆型式檢驗(yàn)(包括圖紙文件防爆審查和樣機(jī)試驗(yàn))；審核防爆檢驗(yàn)報(bào)告。
③認(rèn)證機(jī)構(gòu)對(duì)申請(qǐng)認(rèn)證的制造單位進(jìn)行工廠質(zhì)量條件檢查。
④認(rèn)證機(jī)構(gòu)對(duì)型式檢驗(yàn)結(jié)果和工廠檢查結(jié)果進(jìn)行評(píng)價(jià)，評(píng)價(jià)合格頒發(fā)IECEX認(rèn)證證書。
⑤認(rèn)證機(jī)構(gòu)對(duì)申請(qǐng)單位實(shí)施年度監(jiān)督。
實(shí)際上，因功能安全認(rèn)證審核需進(jìn)行儀表安全完整性的評(píng)估，有可能改動(dòng)電路，影響防爆參數(shù)；或防爆認(rèn)證審核時(shí)要求電路調(diào)整，產(chǎn)品的安全完整性需重新評(píng)估，所以推薦防爆認(rèn)證和功能安全認(rèn)證同步進(jìn)行，以免造成時(shí)間、人員、費(fèi)用等不必要的浪費(fèi)。根據(jù)大量公司取證經(jīng)驗(yàn)，建議先行提交防爆認(rèn)證原理圖紙和功能安全認(rèn)證概念階段的審核，等防爆相關(guān)圖紙審核通過(guò)后，可轉(zhuǎn)向功能安全認(rèn)證的FMEA分析、FIT測(cè)試、EMC/環(huán)境測(cè)試等工作。待以上完成，原理圖和電路圖可基本確定，可繼續(xù)防爆認(rèn)證后繼的文件定稿、樣機(jī)測(cè)試、工廠審核等工作。
2、功能安全認(rèn)證
功能安全認(rèn)證流程大致可分為概念階段審核、主檢階段審核、工廠審核和德國(guó)復(fù)審及發(fā)證；再細(xì)分的話主要工作又可分為設(shè)計(jì)開發(fā)文檔管理評(píng)估，硬件可靠性計(jì)算和評(píng)估、EMC電磁兼容性測(cè)試、環(huán)境測(cè)試等。本文介紹功能安全認(rèn)證流程是以開關(guān)量輸入安全柵為例的，開關(guān)量輸入安全柵為純硬件電路設(shè)計(jì)，無(wú)需軟件安全完整性的審核評(píng)估，其他的儀表可能還需要進(jìn)行軟件安全完整性的審核評(píng)估。
①概念階段
◆ 安全計(jì)劃(SP)
安全計(jì)劃中確定項(xiàng)目組織、項(xiàng)目人員及資質(zhì)、安全生命周期劃分、故障避免措施計(jì)劃、變更處理程序、配置管理等信息。
圖1 項(xiàng)目組織圖
◆ 驗(yàn)證確認(rèn)計(jì)劃(VVP)
驗(yàn)證確認(rèn)計(jì)劃中確定安全生命周期各階段驗(yàn)證活動(dòng)、確認(rèn)的輸入、輸出文件和驗(yàn)證人。
◆ 安全需求規(guī)范(SRS)
安全需求規(guī)范中確定安全功能、安全狀態(tài)、輸入/輸出描述和參數(shù)、故障響應(yīng)時(shí)間、SIL安全完整性等級(jí)、安全柵在整個(gè)安全回路中所占比例（TUV推薦值10%）、安全失效分?jǐn)?shù)SFF、硬件故障裕度、檢驗(yàn)測(cè)試間隔、操作模式、環(huán)境要求等。
◆ 安全概念(SC)
安全概念中確定可靠性框圖，功能框圖(功能安全部分用不同顏色區(qū)分)各功能塊的功能、各功能塊使用的診斷措施(滿足對(duì)應(yīng)SIL等級(jí))各功能塊診斷測(cè)試間隔、診斷后各功能塊如何進(jìn)入安全狀態(tài)。
實(shí)際上，為確保安全失效分?jǐn)?shù)滿足SIL等級(jí)，減少后期文檔調(diào)整，本司認(rèn)證的安全柵首先進(jìn)行簡(jiǎn)單降額和FMEA分析摸底，盡可能排除嚴(yán)重的設(shè)計(jì)缺陷。
◆ 需求追蹤表(RT)
另外還有一非常重要文檔貫穿整個(gè)認(rèn)證周期，那就是需求追蹤表：安全需求規(guī)范(SRS)、安全概念(SC)以及測(cè)試計(jì)劃(TP)、測(cè)試報(bào)告(TR)等文檔中每個(gè)安全相關(guān)項(xiàng)均使用序號(hào)(SR1、SC1、TP1、TR1等)行排序，體現(xiàn)各文檔間安全相關(guān)項(xiàng)的關(guān)系，方便各個(gè)文檔間的相互追蹤。
認(rèn)證機(jī)構(gòu)的審核意見(jiàn)會(huì)以LOP文檔形式發(fā)給申請(qǐng)單位，經(jīng)過(guò)幾輪修改，LOP中認(rèn)證機(jī)構(gòu)意見(jiàn)全部關(guān)閉，就表示安全柵通過(guò)了認(rèn)證機(jī)構(gòu)概念階段的審核評(píng)估，認(rèn)證進(jìn)入了主檢階段。
② 主檢階段
主檢階段任務(wù)：進(jìn)一步的功能、安全和環(huán)境測(cè)試，驗(yàn)證是否達(dá)到定義的安全功能和SIL等級(jí)。
◆ 降額報(bào)告
萊茵TUV要求器件降額，在2/3原則和GJB/Z 35-93中的2級(jí)降額中選擇嚴(yán)酷的一種要求執(zhí)行；本安器件保險(xiǎn)絲、齊納管等降額參照國(guó)標(biāo)GB 3836要求執(zhí)行。如有器件降額不滿足降額要求，則需重新選擇合適器件。
表1 降額
元件 名稱 規(guī)格 降額參數(shù) 手冊(cè) 要求降額 實(shí)際 實(shí)際降額 結(jié)論
電感 L1 422776156 瞬態(tài)電流(A) 0.8 0.67 0.06 0.09 pass
介質(zhì)耐壓(V) 800 0.5 30 0.0375 pass
工作電流(A) 0.4 0.6 0.03 0.075 pass
熱電溫度(℃) 85 THS-(25~10) 60.063 小于THS-(25~10) pass
電容 C1 C2012N102N101T 工作電壓(V) 100 0.6 29. 0.299 pass
最高額定環(huán)境溫度(℃) 125 TAM-10 60 小于TAM-10 pass
◆ FMEA分析報(bào)告
a、確定產(chǎn)品結(jié)構(gòu)，按照可靠性框圖，將整機(jī)拆為多個(gè)功能塊。
b、選取合適的可靠性數(shù)據(jù)庫(kù)，器件失效率基準(zhǔn)值λref可通過(guò)查閱西門子數(shù)據(jù)庫(kù)SN 29500獲得，也可通過(guò)廠家獲得；參與計(jì)算的置信度要求為70%，如果廠家提供的置信度為60%，需折算：λ70% = λ60%×1.204,/,0.917
c、確定環(huán)境條件(如溫度、壓力等)：FMEA分析時(shí)，需根據(jù)器件實(shí)際使用的電壓、電流、溫度等數(shù)據(jù)，參照西門子數(shù)據(jù)庫(kù)，計(jì)算失效率λ實(shí)際值。
d、參照IEC 62061附錄D中器件失效模式以及各失效模式所占比例，分別計(jì)算各功能塊的失效率總和、安全失效分?jǐn)?shù)SFF，要求每個(gè)功能塊的SFF值均滿足相應(yīng)SIL等級(jí)。
表2 功能塊安全失效分?jǐn)?shù)計(jì)算
ID 數(shù)量 規(guī)格 功能 失效模式 失效影響 危險(xiǎn)判據(jù) 診斷措施 DC λ λs λD λDD λDU SFF
U6 1 MAX3256 全橋 開路 無(wú)影響或輸出失電，進(jìn)入安全狀態(tài) 0 無(wú) 0 16.4 3.28 3.28 0 0
任意兩端短路 無(wú)影響或輸出失電，進(jìn)入安全狀態(tài) 0 無(wú) 0 3.28 0 0 0
卡阻 無(wú)影響或輸出失電，進(jìn)入安全狀態(tài) 0 無(wú) 0 3.28 0 0 0
輸出寄生振蕩 安全功能丟失 1 無(wú) 0 0 3.28 0 3.28
值改變 無(wú)影響或輸出失電，進(jìn)入安全狀態(tài) 1 無(wú) 0 3.28 0 0 0
C62 2 0603 5% 濾波 開路 無(wú)影響 0 無(wú) 0 44 14.67 0 0 0
C43 CL10F101 短路 F3開路輸出失電，進(jìn)入安全狀態(tài) 0 無(wú) 0 14.67 0 0 0
值改變 無(wú)影響 0 無(wú) 0 14.67 0 0 0
Total 60.4 57.12 3.28 0 3.28 0.9457
◆ DC-診斷覆蓋率
診斷覆蓋率依賴于采取的措施，它的值約為60%、90%和99%。IEC 61508-2的表A.2-表A.15為診斷測(cè)試推薦的技術(shù)和措施。
開關(guān)量輸入雙路輸出安全柵可靠性框圖如圖3所示。根據(jù)德國(guó)認(rèn)證工程師最新要求，繼電器需作為單獨(dú)功能塊進(jìn)行考核，參與FMEA分析。電源和輸入存在共因失效，對(duì)PFD和PFH進(jìn)行計(jì)算。
圖2 可靠性框圖和PFD計(jì)算
◆ FIT故障插入測(cè)試(Fault insert Test)
FIT測(cè)試是認(rèn)證機(jī)構(gòu)用來(lái)驗(yàn)證FMEA報(bào)告的正確性。FIT測(cè)試結(jié)果如與FMEA不一致，需返回設(shè)計(jì)階段修改，或按實(shí)測(cè)結(jié)果修改FMEA報(bào)告，重新進(jìn)行安全失效分?jǐn)?shù)和失效率計(jì)算，核定SIL等級(jí)。
◆ 性能測(cè)試、EMC/環(huán)境測(cè)試
按照GB 3836要求，安全柵需嚴(yán)格進(jìn)行型式試驗(yàn)；同時(shí)根據(jù)VVP要求，安全柵需進(jìn)行整機(jī)性能測(cè)試，用于確認(rèn)整機(jī)安全功能的執(zhí)行。
具有功能安全的安全柵EMC測(cè)試項(xiàng)目、參考標(biāo)準(zhǔn)及實(shí)驗(yàn)等級(jí)參照IEC 2061附錄E要求，其中靜電放電、電快速脈沖群、浪涌項(xiàng)目采取加強(qiáng)測(cè)試要求。
◆ 體系文件
有功能安全要求的安全柵，其體系文件須同時(shí)滿足管理體系和IEC 1508要求，保障安全生命周期內(nèi)各項(xiàng)工作準(zhǔn)確開展。
◆ 設(shè)計(jì)手冊(cè)
設(shè)計(jì)手冊(cè)是為實(shí)現(xiàn)設(shè)計(jì)功能而制定的基礎(chǔ)文件，包括外殼、結(jié)構(gòu)要求、原理、清單及功能等內(nèi)容，按照標(biāo)準(zhǔn)要求盡量采用圖表形式表達(dá)。
◆ 驗(yàn)證報(bào)告
驗(yàn)證是生產(chǎn)商在完成組裝后開展的自查活動(dòng)，包括電氣安全符合性驗(yàn)證報(bào)告，邊界值測(cè)試報(bào)告。
◆ 生產(chǎn)要求
生產(chǎn)要求是生產(chǎn)商為實(shí)現(xiàn)功能而制定的規(guī)范，包括功能要求、安全要求、環(huán)境要求等內(nèi)容。
◆ 用戶手冊(cè)
用戶手冊(cè)是產(chǎn)品規(guī)格、功能、安裝和操作、運(yùn)行、驗(yàn)證測(cè)試等說(shuō)明文件，包括安全提示、操作方法、故障排除等內(nèi)容。
實(shí)施管理文件審核的目的在于確認(rèn)實(shí)現(xiàn)安全要求的手段和依據(jù)是否充分且合理，文件內(nèi)容是否滿足安全生命周期各階段工作需要，是否能夠?yàn)閷?shí)施功能安全認(rèn)證提供審核依據(jù)。
當(dāng)以上文件全部通過(guò)審核，認(rèn)證機(jī)構(gòu)安排簽發(fā)儀表功能安全證書。
目前已經(jīng)有不少功能安全研究機(jī)構(gòu)及相關(guān)測(cè)試機(jī)構(gòu)，如上海自動(dòng)化儀表研究所、機(jī)械工業(yè)儀器儀表綜合技術(shù)經(jīng)濟(jì)研究所等，均開始在國(guó)內(nèi)開展了功能安全認(rèn)證業(yè)務(wù)，人員不斷增加、水平不斷提高，安全柵儀表的功能安全認(rèn)證可在國(guó)內(nèi)實(shí)現(xiàn)。每家機(jī)構(gòu)習(xí)慣、認(rèn)知等存在不少差別，建議大家還是深入學(xué)習(xí)IEC 6508，結(jié)合本公司產(chǎn)品實(shí)際情況，不拘泥樣板套路，早日取得功能安全證書。
作者：張紅云
