安全产品的SIL能力的鉴别和评估.doc

安全产品SIL认证的鉴别和评估 摘要：经过SIL认证或评估的安全产品都具有证明其SIL能力的文档、证书和特殊标示，本文一方面简要介绍了如何鉴别这些资料的规范性、完整性和准确性，另一方面对于其中反映SIL能力的各个参数进行评，说明其在使用过程中的限制条件和规范准则。 关键词：SIL认证 SIL评估 SIL证书 前言 近几年，功能安全产品逐渐在各个行业得到广泛应用，从传统的石油化工到新兴的电梯、汽车等，安全变送器、安全控制器、安全继电器等设备在安全回路中发挥着越来越重要的作用。面对越来越强烈的应用需求，大量功能安全产品涌入市场，这些产品一部分是直接从国外引进，一部分是在国内设厂的合资企业，还有一部分是国内企业自主研发生产，对于这些产品声称的SIL能力如何鉴别、评判和使用已经成为安全产品采购招标、选型设计和用户企业面临的重要问题。 产品SIL能力在实际应用中的重要性 功能安全系统是保障安全生产的关键一环，在很多应用中甚至是唯一的保护措施，这些系统功能的正确实施是保证人身、财产和环境的关键。而一个整体安全系统是由若干安全产品组成，包括从传感到逻辑控制到最终执行，其中任何一个安全产品的失效都将导致安全功能的丧失。一个安全系统示例如下图所示，安全功能的正确执行需要下面八个部分都保持正常状态。 图1 安全系统示例 安全完整性等级（SIL）是IEC61508提出的表示安全系统能力的指标，分为SIL1~4共四个等级，为满足系统整体安全功能执行的完整性，每个安全产品都必须满足最低的SIL要求。如上图1的示例，如果该安全系统要求的最低SIL能力为SIL2，那么其中的每个安全产品都必须至少具有SIL2的能力。对于现场应用来说，如果任一选用的安全产品达不到相应的SIL能力，甚至没有SIL能力，则整个安全系统的配置完全失去要求的防护能力，对危险事故发生的风险将得不到任何控制。 安全产品SIL认证的鉴别 在大多数情况下，对安全产品SIL能力的开发和证明是以功能安全基础标准IEC61508（主要是IEC61508-1，-2，-3三部分）为评判准则，如果该产品应用于特定的领域，可能还需要考虑各领域的功能安全标准，如应用于过程工业的IEC61511，应用于机械行业的ISO13849，应用于汽车电子的ISO26262等。 SIL认证是针对特定型号或型号系列的产品，开发功能安全产品的厂家必须从硬件、软件（如果存在的话）、管理、质量控制、文档等各个方面满足IEC61508的要求，才能声称达到了相应的SIL等级。 在一般情况下，安全产品的供应商为向外界证明其产品经过了完整、规范的SIL认证，至少需要具有如下文件： 规范的产品SIL认证证书或标准符合性（IEC61508等）证书； 硬件失效分析报告（如FMEDA报告）； 完整的SIL评估报告或标准符合性（IEC61508）工作报告； 该产品的《安全手册》（Safety Manual）； 其他能对产品安全性、可靠性或标准符合性具有说明能力的文件。 对于这些文件可能具有不同的名字，但至少需要包含类似的内容。因此，对于一个经过认证的安全产品，提供的材料必须足够充分，合乎要求，而通过这些资料声明的认证过程是否准确规范，则需要重点考虑以下几点： 2.1 认证过程的完整性 产品的SIL认证过程即是对功能安全标准，如IEC61508、IEC61511的符合过程，也只有完全按照标准中所有项目开展产品软硬件等设计，并经过相关的验证、确认和评估才能声称产品能够实现相应SIL的应用。如下表所示： 表1不同级别的SIL评估项目简图 序号 评估项 一般FMEDA 详细FMEDA IEC 61511 PRIOR IEC61508 Proven In Use 完整的 IEC 61508 1 对硬件的失效模式开展详细的分析 √ √ √ √ 2 对硬件诊断能力开展详细的分析 √ √ √ √ 3 对硬件使用寿命进行分析 √ √ √ 4 对检验测试的有效性开展分析 √ √ √ 5 基于制造设备的操作时间的评估 √ √ √ 6 按照IEC61508要求对配置管理的评估 √ √ √ 7 对现场失效召回系统的评估 √ √ 8 对设计变更历史的评估 √ √ 9 硬件要求、设计、测试等过程的评估 √ 10 软件要求、设计、测试等过程的评估 √ 11 对系统性设计要求、管理和文档的评估 √ 12 根据IEC61508对安全手册的验证 √ 13 产品测试技术包括环境测试的评估 √ 14 制造过程的评估 √ 从上表可以看出，只有完成了1-14的所有项工作，并达到了IEC61508或IEC61511的要求，才能声称具有一定的SIL能力。如果产品仅完成了FMEDA或PR