油气管道安全仪表系统的功能安全 第2部分：验收要求 征求意见稿

4GB/T32203—XXXX油气管道安全仪表系统的功能安全第2部分：验收要求本文件规定了油气管道安全仪表系统的功能安全总体要求、SIS设计审查要求、工厂验收要求、现场验收要求、启动前安全审查确认以及交接验收要求。本文件适用于新建及改扩建的油气管道输送、储存系统中安全仪表系统的功能安全验收。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T21109（所有部分）过程工业领域安全仪表系统的功能安全GB/T*****.1油气管道安全仪表系统的功能安全第1部分评估要求3术语和定义GB/T*****.1中界定的以及下列术语和定义适用于本文件。3.1工厂验收测试factoryacceptancetest;SAT用来验证安全仪表系统供应商提供的系统及其配套系统是否符合技术规格书和相关标准要求而开展的一系列活动。3.2启动前安全确认pre-startupsafetyconfirm;PSSC在安全仪表系统投入运行前对所有相关因素进行检查和确认，并确认所有整改项均已经完成整改，确认具备投人运行条件的审查活动。3.3安全要求规格书safetyrequirementsspecification;SRS包含安全仪表功能和相关完整性等级要求的功能要求的规格书。注：该术语与GB/T21109.1—XXXX不同3.4现场验收测试siteacceptancetest;SAT用来验证安全仪表系统在安装调试完成后是否满足安全要求规格书及相关标准的要求而开展的一系列活动。3.5安全手册safetymanual功能安全手册functionalsafetymanual定义如何安全应用SIS设备、子系统或系统的信息。5GB/T32203—XXXX注2：对于遵循IEC61508的设备，来自[来源：GB/T21109.1—XXXX，3.2.71]3.6安全状态safestate达到安全时的过程状态。[来源：GB/T21109.1—XXXX，3.2.63]3.7功能安全评估functionalsafetyassessment;FSA基于证据的调查，以评判一个或多个SIS和/或其它保护层所实现的功能安全。[来源：GB/T21109.1—XXXX，3.2.24]4缩略语下列缩略语适用于本文件。BPCS：基本过程控制系统（BasicProcessControlSystem）ESD：紧急停车（EmergencyShutdown）FAT：工厂验收测试（FactoryAcceptanceTesting）HMI：人机界面（HumanMachineInterface）I/O：输入/输出（Input/Output）SAT：现场验收测试（SiteAcceptanceTest）SIF：安全仪表功能（SafetyInstrumentedFunction）SIL：安全完整性等级（SafetyIntegrityLevel）SIS：安全仪表系统（SafetyInstrumentedSystem）SOE：事件顺序记录（SequenceofEvents）SRS：安全要求规格书（SafetyRequirementsSpecification）5总体要求5.1验收阶段5.1.1功能安全验收活动应贯穿于整个生命周期。根据GB/T21109以及油气管道安全仪表系统生命周期活动（图1），宜在以下节点执行功能安全的验收活动：——节点1：SIS设计审查。应在完成SIS设计后（批复前）进行，即油气管道安全仪表系统生命周期活动1～4完成后进行。——节点2：工厂验收。应在集成厂商完成安全仪表系统集成，并完成内部测试后进行，即油气管道安全仪表生命周期活动6完成后进行。——节点3：现场验收。应在完成现场检测元件、执行元件和机柜安装调试后进行，即油气管道安全仪表生命周期活动9后进行。——节点4：启动前安全确认。应在完成对安全仪表系统相关人员培训和完成现场验收测试后进行，即油气管道安全仪表生命周期活动8和10后进行。6GB/T32203—XXXX——节点5：交接验收。应在完成对安全仪表系统启动前安全确认后进行，即油气管道安全仪表生命周期活动11后进行。5.1.2验收活动的实施按照6～10章内容执行，其中SIS设计审查和启动前安全确认，如果进行了SIS设计和SIS运行前评估，可直接审查评估活动的评估报告。5.1.3验收活动可根据工程执行的实际情况，在生命周期各阶段补充执行。5.2验收要求5.2.1安全仪表系统的验收形式应根据工程实际情况由安全仪表系统生命周期内各阶段活动涉及人员共同确认。5.2.2进行验收前，验收组织方应成立验收组并明确各成员的职责。5.2.3验收组应编制验收计划,准备验收场地及相关附属设施。验收计划应包括验收时间、地点、人员组成、验收内容、验收通过的准则等，且验收计划应经过验收组织方确认。5.2.4验收组人员，应包含掌握以下知识的人员：——输油或输气管道的工艺设计；——输油或输气管道的仪表设计；——输油或输气管道的工艺运行；——危险分析与风险评估方法；——油气管道领域风险接受准则；——油气管道各个保护层及风险降低能力；——基本过程控制系统操作、运行和维护；——安全仪表系统操作、运行和维护；——安全仪表系统的功能安全；——质量和安全管理。5.2.5FAT一般由系统集成商实施，用户参与完成。5.2.6系统集成商应在FAT之前完成系统全部的硬件集成和软件集成，应用程序的开发、装载并完成系统的内部测试。内部测试范围应包括本标准7.2.7项中的全部内容。5.2.7系统集成商应根据本标准和GB/T21109.1第13章中的要求编制FAT测试计划。FAT测试计划应包括测试的工作内容及时间安排，并由用户完成最终确认。5.2.8安全仪表系统应在签署工厂验收合格证书后，才能发货至现场。5.2.9SAT宜由系统集成商实施，系统施工单位、设备供应商和建设单位配合，用户监督完成。5.2.10SAT应进行安全功能回路实际动作测试。7GB/T32203—XXXX图1油气管道安全仪表系统生命周期及关键验收活动8GB/T32203—XXXX图1油气管道安全仪表系统生命周期及关键验收活动（续）9GB/T32203—XXXX6SIS设计审查6.1审查依据SIS审查应依据以下经过审订的最新资料进行审查：——设计应遵循的法律、法规及标准、规范；——企业可接受风险准则；——可行性研究报告；——初步设计（含安全仪表设计）文件；——危险分析与风险评估报告；——安全要求规格书或其对应的安全功能要求及安全完整性等级要求；——安全要求评估报告；——安全仪表系统技术规格书，含检测元件、控制元件、执行元件及配套元件；——SIS设计评估报告。6.2审查内容6.2.1检查设计遵循的法律、法规及标准、规范，应包含以下内容：——所遵循的法律、法规及标准、规范的完整性；——所遵循的法律、法规及标准、规范的准确性；——所遵循的法律、法规及标准、规范的适用性。6.2.2检查危险分析与风险评估报告，应包含以下内容：——所识别的每个危险事件和危险因素；——事件的可能性及结果；——考虑正常操作、启动、停止、维护及紧急停车等情况；——确定达到所需安全的附加风险降低要求；——消除或减轻危险和风险所采取的措施；——风险分析过程中所做的假设，包括设备失效率、可能的需求率以及操作约束条件和人为干预可信性；——保护层安全功能分配考虑由于共因失效所导致的潜在效能降低；——识别由安全仪表系统实现的安全功能。6.2.3检查安全要求规格书，应包含以下内容：——所有达到要求的安全功能描述；——每个安全仪表功能所需的安全完整性等级要求；——对每个已确定的事件，定义其过程安全状态；——SIS的过程输入及其动作设定点；——工艺变量的正常操作范围及操作界限；——SIS的过程输出及其作用；——过程输入输出的功能关系，包括逻辑、数学功能及触发条件；——励磁触发或非励磁触发的选择；——手动旁路说明；——SIS失去驱动源采取的动作；——对任何可诊断的危险故障的响应动作；——人机界面要求；GB/T32203—XXXX——复位功能；——达到所需的SIL的诊断要求；——达到所需的SIL的维修和检验测试要求；——如果误动作是不可接受的，对误动作率的要求。6.2.4检查安全仪表系统技术规格书，应包含以下内容：——遵循的标准清单；——安全完整性等级要求；——相关人员功能安全管理资质证明；——产品相关安全证明要求；——系统配置；——对照SRS文件要求的硬件性能详细描述；——通信组态及配置（包括内部和与第三方设备等）；——应用软件（包括结构和组态等——输出文档及样表。6.2.5安全要求和SIS设计评估报告，应满足GB/T32202的规定。6.3审查报告6.3.1审查过程完成后，应编制审查报告，并由验收组签署确认。6.3.2审查报告应包含6.2.1～6.2.5的所有内容。6.3.3审查过程中发现的不符合项应记录在不符合项表中，记录表见附录B中表B.1。7工厂验收7.1验收依据应依据以下资料进行验收：——由设计单位提供的最新有效版本的设计文件，包括：工艺操作原理、工艺及仪表控制流程图、安全要求规格书、逻辑图（因果图）、仪表索引、联锁报警值设定清单、I/O清单等；——由系统集成商提供的最新有效版本的设计文件，包括：功能设计规格书及工程图纸（系统结构图、系统配电图及电源负荷表单）、系统接地图、机柜集成图、设备清单、应用程序的设计和开发文档、安全回路列表和每个安全功能回路的明细表单等；——FAT测试方案；——系统建设相关方间签订的技术协议；——安全手册、认证文件和产品的安全数据表；——项目所需的全部产品手册和应用指南。7.2验收内容7.2.1检查7.1中所列技术文档的完整性，检查记录见附录C中表C.1。7.2.2检查硬件的种类、数量及技术参数与设计文件的一致性，检查硬件外观有无应力变形和机械损坏，检查记录见附录C中表C.2。7.2.3检查软件的种类、数量、技术参数、授权和版本与设计文件的一致性，检查记录见附录C中表C.3。7.2.4检查机柜安装与设计图纸的一致性及合理性，检查记录见附录C中表C.4。GB/T32203—XXXX7.2.5当安全仪表系统中配置非安全功能时，应验证非安全功能不干扰安全功能的正常执行，检查记录见附表中的C.5。7.2.6检查安全仪表系统应用程序设计和开发文档，应用程序设计和开发文档应包括以下内容：——应用程序安全要求；——应用程序架构描述；——应用程序架构和子系统集成测试要求。7.2.7测试系统功能满足设计要求，测试内容应包括以下内容：——系统基本功能测试和性能测试（包括逻辑控制系统和操作员工作站），测试表见附录C中表C.6；——冗余测试，测试表见附录C.7；——I/O通道测试（数字量输入/输出通道和模拟量输入/输出通道），测试表见附录C中表C.8；——安全功能回路功能逻辑测试，测试表见附录C中表C.9；——操作员工作站操作/显示检查，测试表见附录C中表C.10；——辅助操作设施测试，测试表见附录C中表C.11；——SOE测试，测试表见附录C中表C.12；——通信测试，测试表见附录C中表C.13。7.3验收报告7.3.1工厂验收测试完成后，应编制验收报告，并由验收组签署确认。7.3.2验收报告应包括7.2的所有内容及验收证书。7.3.3验收证书应根据验收通过准则给出明确的结论，包括接受、有条件接受或不接受，格式见附录7.3.4验收过程中发现的不符合项应记录在验收不符合项表中，记录表见附录B中表B.1。7.3.5测试不符合项，宜按以下方式进行分类：——在FAT过程中进行整改；——FAT后，系统运至现场之前进行整改；——留待现场整改。8现场验收8.1验收依据应依据以下资料进行验收：——FAT报告；——SAT方案；——电缆绝缘测试报告；——接地测试报告；——检测元件和执行元件安装记录；——检测元件校验或检定报告；——执行元件电气或机械测试报告。8.2验收内容8.2.1检查8.1中所列技术文档的完整性，检查记录见附录D中表D.1。GB/T32203—XXXX8.2.2检查硬件数量和技术参数与设计文件的一致性，检查硬件外观有无应力变形和机械损坏，检查记录见附录D中表D.2。8.2.3检查软件授权、版本和技术参数与设计文件的一致性，检查记录见附录D中表D.3。8.2.4检查机柜安装与设计图纸的一致性及合理性，检查记录见附录D中表D.4。8.2.5测试系统功能满足设计要求，测试内容应包括以下内容：——电源测试，测试表见附录D中表D.5；——系统基本功能测试，测试表见附录D中表D.6；——冗余测试，测试表见附录D中表D.7；——输入回路测试（模拟量和数字量），测试表见附录D中表D.8；——回路安全功能测试，测试表见附录D中表D.9；——共用性测试，测试表见附录D中表D.10；——辅助操作设施测试，测试表见附录D中表D.11；——旁路功能测试，测试表见附录D中表D.12；——信息安全测试，测试表见附录D中表D.13；——回路诊断测试，测试表见附录D中表D.14。8.3验收报告8.3.1现场验收测试完成后，应编制验收报告，并由验收组签署确认。8.3.2验收报告应包括8.2的所有内容及验收证书。8.3.3验收证书应根据验收通过准则给出明确的结论，包括接受、有条件接受或不接受，验收证书格式见附录A中表A.1。8.3.4验收过程中发现的不符合项应记录在验收不符合项表中，记录表见附录B中表B.1。8.3.5测试不符合项，宜按以下方式进行分类：——在SAT测试过程中整改；——SAT后，在启动前安全确认前进行整改。9启动前安全确认9.1一般要求9.1.1在投运前应开展SIS启动前安全确认，以判断SIS在设备设施、操作程序、培训等方面的所有相关内容是否完整并充分，是否具备安全投运条件。9.1.2SIS运行前评估可采用简单确认和详细确认两种方式。对于新建、扩建及大范围改建项目，宜采用详细确认；对于小范围改建项目，宜采用简单确认。注：简单确认是指仅针对变更部分进行9.3中所列内容的审查；详细审查是指针对整个SIS进行99.1.3应在SIS启动前安全确认可以启动以后，组织投运。9.2确认依据应依据以下资料进行确认：——设计文件；——变更文件（若有）；——变更影响分析报告（若有）GB/T32203—XXXX——SAT验收报告；——安全要求规格书；——SIS操作和维护手册；——等保测评报告；——人员培训内容和记录（包括操作人员、维护人员和管理人员）。9.3确认内容9.3.1确认已经完成SAT验收，并确认SAT验收结论为合格，所有整改项均已经整改完成。9.3.2确认除开车旁路外所有的旁路功能均应恢复到正常位置。9.3.3确认所有测试设施都已拆除或恢复，所有的测试介质均已清除。9.3.4确认调试过程中设置的所有超驰、强制等措施均已被解除。9.3.5确认安全仪表系统进行过网络信息安全评估，且信息安全评估结果满足相应网络安全等级保护要求。9.3.6针对安装和实施过程中出现的设计变更，应评估确认均开展过变更影响分析，并执行变更管理，审查相关记录。9.3.7确认SIS系统硬件是否满足要求：——硬件是否有满足SRS要求的SIL的证明文件；——硬件运行条件是否满足SIS物理运行环境的要求：.温度范围；.湿度范围；.振动和冲击；.污染气体；.粉尘；.电磁干扰/射频干扰（EMI/RFI.用电等级。——是否采取了保护SIS环境抗电磁干扰的预防措施，考虑以下方面：.SIS的内在设计，.实际安装（例如，把电源和信号电缆分离.保护所有的输入和输出，避免输入电缆感应所产生的电压峰值的损害，.EMC测试规程；——是否定义了关于设备之间的通讯协议；——SIS界面在数据显示、报警等方面是否进行了定义；——SIS界面是否独立于BPCS界面。如果不独立，当BPCS有变更时，是否有措施可以避免不期望的SIS逻辑变更。9.3.8确认SIS系统操作和维护手册应包含以下内容：——系统正常操作步骤；——预防性维护操作步骤；——出现故障后维护操作步骤；——维护周期；——旁路的使用、操作、维护和管理；——出现报警和停机后操作人员正确的响应动作；——手动停车和启动按钮的使用、操作、维护与管理；——故障信息及处理步骤；GB/T32203—XXXX——维护完成后的恢复步骤。9.3.9检查SIS系统操作操作人员的培训记录，确认培训内容应包括：——系统正常操作步骤；——系统出现报警和停机后操作人员的响应步骤；——故障信息的解读；——旁路的使用和操作；9.3.10检查SIS系统操作维护人员的培训记录，确认培训内容应包括：——各SIF的安全功能（停机值和SIS动作后的结果——各个SIF阻止的危险；——所有旁路开关正确操作和管理；——手动停车和启动按钮的操作与管理；——报警信息提示的内容；——SIS工作方式和原理；——各SIF的测试方法和时间间隔；——检测元件和执行元件的工作方式和原理。9.3.11检查管理人员的培训记录，确认培训内容应包括：——输油或输气工艺；——SIS安全生命周期及各阶段的活动；——意外事件的潜在后果；——SIF的安全完整性等级；——旁路开关的管理；——手动停车和启动按钮的管理；——报警的管理。9.4确认报告9.4.1启动前安全确认完成后，应编制确认报告，并由验收组签署确认。9.4.2确认报告应包括9.3的所有内容及确认证书；报告应结构清晰、表述准确、无歧义，并可追溯；有不合格项时，应明确整改措施和计划。9.4.3确认证书应根据验收通过准则给出明确的结论，包括可以启动、整改后可以启动或不能启动，格式见附录E.1。9.4.4确认过程中发现的不符合项应记录在确认不符合项记录表中，记录表见附录B中表B.1。10交接验收10.1SIS系统交接验收主要是对SIS系统在设计、施工及调试阶段的各项文件进行移交。10.2SIS系统交接验收应对启动前安全确认不合格项整改情况进行检查，所有不合格项均应整改完GB/T32203—XXXX（资料性）验收证书表A.1验收证书样例接受有条件接受不接受GB/T32203—XXXX不符合项记录表B.1不符合项记录样表123456789GB/T32203—XXXX工厂测试验收表C.1文件检查记录样表1PFNA2PFNA3PFNA4PFNA5PFNA6PFNA7PFNA8PFNA9PFNAPFNAPFNAPFNAPFNAPFNAGB/T32203—XXXX表C.2硬件一致性检查样表1PFPFPF2PFPFPF3PFPFPF4PFPFPF5PFPFPF6PFPFPF7PFPFPF8PFPFPF9PFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFGB/T32203—XXXX表C.3软件一致性检查样表1PFPFPF2PFPFPF3PFPFPF4PFPFPF5PFPFPF6PFPFPF7PFPFPF8PFPFPF9PFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFGB/T32203—XXXX表C.4机柜安装检查样表1PFNA2PFNA3456789GB/T32203—XXXX表C.5非安全功能对安全功能的影响检查样表逻辑控制器1PF2PF3PF4PF5PFGB/T32203—XXXX表C.6系统基本功能测试样表1站PFNA2PFNA3PFNA4PFNA5在正在运行的应用程序中进行增加和PFNA6按照已设置的登录策略和级别登录系PFNA7查看整个控制器系统负荷是否满足设PFNA8PFNA9PFNA按照已设置的登录策略和级别登录系PFNA查看操作员工作站的内存容量的存储PFNA报警处理策略及其PFNA注2：不一致之处按照正文的不符合项分类GB/T32203—XXXX表C.7冗余测试样表11.关闭主用逻辑控制器A，备用逻辑控制器B应切换成主用状态，系统应运行器A应切换成备用工作状态，系统应运PFNA2主用网络，系统应运行正常；2.接通PFNA31.断掉电源A，确认系统工作正常，恢认系统工作正常，恢复断掉电源B的供PFNA4操作员工作站，主用操作员工作站A，PFNA5用编程器在线检测功能，检查对应的卡，对应的输出/输入状态指示表及输测试，分别同时插拔2块互为冗余卡，PFNA6PFNA注2：上述测试说明以1oo2结构为例，其他结构参照具GB/T32203—XXXX表C.8I/O通道测试样表1以检查数字量输入卡上相应地址发光二极管的变化，同时利用编程器检查相应地址的0、1状态变化，带有HMIPF2的强制输出功能，通过对应输出地址的强制开或关，观察相应地址发光二极管的变化，并用工具检查相应端子PF3标准信号发生器加入相应的模拟量信号，同时用编程器检查逻辑控制器所采集到的数值，根据软件内部设定的量程来检查模拟量输入回路的精度应符合工艺操作要求，对带有HMI的系统，应按HMI得显示值来检查SIS系统的精度。测试点应至少包括量程范围的5%、50%和95%，如设置有报警值和PF4根据软件内部设定的参数或其他运算控制方式，满足输出模块条件，用标准信号接收器检查模拟量输出回路相应端子上的信号。测试点应至少包括PFGB/T32203—XXXX表C.9安全仪表功能回路测试样表测试说明：采用输入开关和信号发生器连接到输入端子（柜内集成安全栅、隔离器、继电器或端子设备时，应从信号初始端的端子接入信号模拟连锁触发条件；采用发光二极管或离器、继电器或端子设备时，应从信号的最末端的端子接入信号）显示输出结果。系统的响应时间可以通过系统的1234 56GB/T32203—XXXX表C.10操作员工作站操作/显示检查样表1PFNA2PFNA3PFNA4PFNA5PFNA6PFNA7PFNA8PFNA9PFNAPFNA系统设备状态显示（如运行状态，冗PFNAPFNAPFNAPFNAPFNAPFNAGB/T32203—XXXX表C.11辅助操作设施测试样表1PFNA2PFNA3PFNA4PFNA5PFNA表C.12SOE测试样表1PFNA2PFNA3PFNA4PFNA5PFNA6PFNA注2：不一致之处按照正文的不符合项分类GB/T32203—XXXX表C.13通信测试样表1PFNA2PFNA3PFNAGB/T32203—XXXX现场验收测试表D.1文件检查记录样表1PF2PF3PF4PF5PF6PF7PF8PF9PFPFPFPFPFPFGB/T32203—XXXX表D.2硬件一致性检查样表1PFPFPF2PFPFPF3PFPFPF4PFPFPF5PFPFPF6PFPFPF7PFPFPF8PFPFPF9PFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFGB/T32203—XXXX表D.3软件一致性检查样表1PFPFPF2PFPFPF3PFPFPF4PFPFPF5PFPFPF6PFPFPF7PFPFPF8PFPFPF9PFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFPFGB/T32203—XXXX表D.4机柜安装检查样表1PF2PF3PF4PF5PF6PF7PF8PF9PFPFPFPFPF表D.5电源测试样表1PFNA2PFNA3PFNA4PFNA5PFNAGB/T32203—XXXX表D.6系统基本功能测试样表1PFNA2PFNA3PFNA4PFNA5在正在运行的应用程序中进行增加和PFNA6按照已设置的登录策略和级别登录系PFNA7PFNA8PFNA9按照已设置的登录策略和级别登录系PFNA查看操作员工作站的内存容量的存储PFNA报警处理策略及其PFNA注2：不一致之处按照正文的不符合项分类GB/T32203—XXXX表D.7冗余测试样表11.关闭主用逻辑控制器A，备用逻辑控制器B应切换成主用状态，系统应运行器A应切换成备用工作状态，系统应运PFNA2主用网络，系统应运行正常；2.接通PFNA31.断掉电源A，确认系统工作正常，恢认系统工作正常，恢复断掉电源B的供PFNA4操作员工作站，主用操作员工作站A，PFNA5用编程器在线检测功能，检查对应的卡，对应的输出/输入状态