2013/09/04

浅析IEC 61508 2.0版对清静仪表系统产品开发提出的新要求

文 | 北京NG集团系统工程有限公司周有铮揭晓于《中国仪器仪表》2013年第8期

摘要：

功效清静基础标准IEC 61508 2.0版对包括清静仪表系统在内的功效清静产品开发提出了新的要求。。。。。。。本文就系统性能力、硬件清静完整性、软件清静完整性、功效清静治理等几个方面临这些要求举行剖析，，，，，，，，探讨这些新要求在清静仪表系统产品开发中的实现方法。。。。。。。

要害词：

功效清静；；；；；IEC 61508；；；；；清静仪表系统

Abstract:

The version 2.0 of basic functional safety standard IEC 61508 raises new requirements on the development of functional safety products including Safety Instrumented Systems. The new requirements are analyzed with systematic capability, hardware safety integrity, software safety integrity and functional safety management addressed, and the practical realization methods regarding the new requirements in the development of Safety Instrumented System product are discussed.

Keywords:

Functional safety, IEC 61508, Safety Instrumented System

1. 小序

近年来，，，，，，，，随着功效清静手艺的快速生长，，，，，，，，功效清静的理念在工业自动化领域逐渐获得重视，，，，，，，，清静仪表系统（SIS）成为实现功效清静、包管清静生产的主要组成部分。。。。。。。

为了证实一个SIS产品能够知足清静需求，，，，，，，，必需依据一定的标准，，，，，，，，从功效清静角度对其举行评估。。。。。。。国际电工委员会（IEC）于2000年宣布了IEC 61508《电气/电子/可编程电子清静相关系统的功效清静》标准，，，，，，，，对功效清静、SIL等基本看法举行界说，，，，，，，，也对功效清静产品的设计、开发、使用和评估做出了要求。。。。。。。现在，，，，，，，，IEC 61508已成为对包括SIS在内的功效清静产品举行功效清静评估的基础标准。。。。。。。

2010年，，，，，，，，在总结了近十年的手艺生长和应用履历基础上，，，，，，，，IEC 61508宣布了2.0版本。。。。。。。新版本标准不但与时俱进地更新了险些所有手艺相关的内容，，，，，，，，也依据功效清静手艺的生长趋势提出了诸多新的要求条款。。。。。。。关于SIS制造商、集成商和用户，，，，，，，，怎样使产品的设计、集成和使用尽快知足新版标准成为一个要害问题。。。。。。。本文针对新版IEC 61508标准中与产品开发相关的新要求，，，，，，，，探讨这些要求怎样在SIS开发历程中得以实现。。。。。。。

2. 系统性能力要求

对失效的阻止和控制是确定SIL的要害因素。。。。。。。IEC 61508将失效分为随机硬件失效（random hardware failure）和系统性失效（systematic failure）两大类。。。。。。。其中，，，，，，，，系统性失效是指与设计、制造、操作流程或文档中保存的问题相关的失效。。。。。。。系统性失效具有确定的缘故原由，，，，，，，，因此可以接纳手艺和步伐来阻止或控制。。。。。。。

在新版IEC 61508中，，，，，，，，界说了一个新的看法，，，，，，，，即系统性能力（SC, systematic capability），，，，，，，，来表征一个组件的系统性清静完整性是否切合指定的SIL的要求。。。。。。。系统性能力也分为4个级别，，，，，，，，SC 1 ~ SC 4，，，，，，，，与SIL的4个级别划分对应。。。。。。。也就是说，，，，，，，，一个组件具有SC n，，，，，，，，就代表着其系统性清静完整性知足SIL n。。。。。。。要使一个组件具有SC n，，，，，，，，需要凭证标准的要求，，，，，，，，接纳知足SIL n的手艺和步伐来控制和阻止系统性失效。。。。。。。

以上要求实质上并非新的内容，，，，，，，，但SC看法的提出明确地强调了SIL并非只与系统冗余水平和清静参数有关，，，，，，，，而同时也与阻止和控制系统性失效的步伐有用性细密相关。。。。。。。当使用两个或多个具有较低SIL的组件来实现更高SIL时，，，，，，，，就必需思量组合后的系统是否具有足够的SC。。。。。。。例如，，，，，，，，如图1所示，，，，，，，，两个完全相同的SIL 2组件，，，，，，，，均具有SC 2系统性能力。。。。。。。当二者并联冗余时，，，，，，，，虽然硬件故障裕度（HFT）增添了1，，，，，，，，但若是恣意一个系统性失效就会导致组合后的系统损失清静功效，，，，，，，，则组合后的系统仍只具有SC 2，，，，，，，，也就是说组合后的系统最高仍只能抵达SIL 2，，，，，，，，而不是SIL 3。。。。。。。要实现SIL 3，，，，，，，，就必需接纳知足SC 3的手艺和步伐来阻止和控制系统性失效。。。。。。。例如，，，，，，，，冗余的两个组件通过使用多样性设计等要领来阻止共因失效。。。。。。。

周有铮文内图1.jpg

图1 冗余系统SC与SIL关系示意图

SC看法的提出，，，，，，，，为用户对怎样真正实现所需的SIL提供了更清晰的思绪，，，，，，，，也对制造商和集成商的功效清静设计提出了更苛刻的要求。。。。。。。为了抵达要求的SIL，，，，，，，，SIS产品的制造商必需在设计开发历程中严酷遵守标准，，，，，，，，实验响应SC级别所要求的阻止系统失效的手艺和步伐。。。。。。。集成商在设计清静回路时，，，，，，，，除了思量回路的冗余架构和清静参数是否知足要求的SIL，，，，，，，，也必需同时抵达响应的SC品级。。。。。。。

别的，，，，，，，，关于已有使用履历的组件，，，，，，，，新版IEC 61508标准还允许通过提供这些组件知足划定的使用中证实（Proven-in-use）的证据，，，，，，，，来证实组件具有一定级别的SC。。。。。。。关于未凭证IEC 61508第3部分的要求开发的软件组件而言，，，，，，，，若是要在清静相关应用中使用，，，，，，，，标准也划定了可通过提供一些特殊的证据来证实其具有一定级别的SC。。。。。。。

3. 硬件清静完整性要求

硬件清静完整性是系统清静完整性与随机硬件失效有关的部分，，，，，，，，取决于系统冗余架构、清静失效分数和要求时危险失效概率（PFD/PFH）数值。。。。。。。

与系统性失效差别，，，，，，，，随机硬件失效是由于硬件元器件的功效退化而导致的失效，，，，，，，，是随机爆发的。。。。。。。由于其一定性和随机性，，，，，，，，因此只能通过设计合理的诊断步伐来控制硬件随机失效，，，，，，，，而不可完全阻止。。。。。。。IEC 61508-1中划定，，，，，，，，要声称具有一定的SIL，，，，，，，，就必需在给定的系统冗余架构下知足一定的清静失效分数（SFF）要求和PFD/PFH要求。。。。。。。其中，，，，，，，，SFF和PFD/PFH的盘算与硬件元器件失效剖析和失效坦率接相关。。。。。。。

在第一版IEC 61508标准中，，，，，，，，随机硬件失效被分为危险失效和清静失效两类。。。。。。。其中，，，，，，，，清静失效包括了所有不会导致SIS拒动的失效。。。。。。。而在新版IEC 61508标准中，，，，，，，，清静失效被重新界说为只会导致SIS误动的失效。。。。。。。关于其他既不会导致SIS拒动、也不会导致SIS误动的失效，，，，，，，，凭证其是否执行清静功效而分为无关失效和无影响失效，，，，，，，，并且这两类失效不加入诊断笼罩率（DC）、SFF和PFD/PFH的盘算。。。。。。。如图2所示。。。。。。。

周有铮文内图2.jpg

图2 第一版和第二版标准中的失效分类区别

失效分类的转变要求SIS设计历程中对随机硬件失效做更详尽的剖析，，，，，，，，并且会使盘算出的DC和SFF更低。。。。。。。因此SIS设计者需要设计更强盛的诊断步伐，，，，，，，，包管系统的DC和SFF知足SIL的要求。。。。。。。

别的，，，，，，，，关于已有使用履历的组件，，，，，，，，新版IEC 61508标准还允许通过提供现场反响的可靠性数据和允许的系统架构来证实组件具有一定级别的硬件清静完整性品级。。。。。。。但可靠性数据必需具有一定的置信度（至少90%），，，，，，，，并且对系统架构的HFT要求越发苛刻。。。。。。。

4. 软件清静完整性要求

软件清静完整性是与软件失效有关的部分。。。。。。。关于软件，，，，，，，，思量的失效仅为系统性失效。。。。。。。在IEC 61508标准中，，，，，，，，与SIS设计相关的软件包括系统软件和软件工具两大类，，，，，，，，而不包括与应用场合相关的应用软件（对这类软件，，，，，，，，一样平常在应用相关标准中做要求）。。。。。。。新版IEC 61508标准对这两种软件都有新的要求。。。。。。。

系统软件的清静生命周期各阶段中，，，，，，，，需要接纳合适的手艺和步伐来阻止系统性失效。。。。。。。为了使敌手艺和步伐的选择更合理、更完善，，，，，，，，新版IEC 61508第3部分中对软件清静生命周期各阶段界说了多个希望获得知足的属性，，，，，，，，并对每种手艺和步伐给出了能够知足某种属性的严酷度品级（R1~R3）。。。。。。�？？？？？？？⒗讨�，，，，，，，，应团结思量能否知足标准对步伐的强制性要求和能否知足所有属性，，，，，，，，来选择合适的手艺和步伐，，，，，，，，并针对希望抵达的SIL，，，，，，，，来选择步伐需要实验的严酷度。。。。。。。

例如，，，，，，，，在软件架构设计阶段，，，，，，，，关于种种SIL，，，，，，，，表A.2中的“�？？？？？？？榛臁倍际潜曜记苛彝萍龅�，，，，，，，，因此需要选择该步伐。。。。。。。在表C.2中，，，，，，，，软件架构设计阶段希望实现“针对软件清静需求规格的完整性”、“针对软件清静需求规格的准确性”、“阻止内在设计问题”、“精练和可明确性”、“行为可展望性”、“可测性”和“故障容忍”等若干属性。。。。。。。凭证表C.2，，，，，，，，“�？？？？？？？榛臁闭攵陨鲜鍪粜灾谐罢攵匀砑寰残枨蠊娓竦耐暾浴敝獾乃惺粜远加行⑺场�。。。。。。若是希望知足SIL 3，，，，，，，，则应选择至少R2品级的严酷度来执行该步伐。。。。。。。除该步伐之外，，，，，，，，还必需选择合适的步伐来知足“针对软件清静需求规格的完整性”属性。。。。。。。

SIL的实现不但与系统软件（嵌入式软件）有关，，，，，，，，也与用于组态、设置等功效的软件工具有关。。。。。。。新版IEC 61508中，，，，，，，，着重强调了这些软件工具对实现清静的主要性。。。。。。。关于在线的软件工具，，，，，，，，即在清静产品运行时可直接影响产品功效的软件工具，，，，，，，，必需与清静相关的嵌入式软件相同看待。。。。。。。而关于离线的软件工具，，，，，，，，凭证其对清静产品的影响水平的差别分为T1、T2、T3三类，，，，，，，，要求有所差别。。。。。。。凭证IEC 61508对这三类离线软件工具的界说，，，，，，，，T1工具可以为是对清静无影响的，，，，，，，，例如代码编辑工具，，，，，，，，使用时无需举行特殊思量。。。。。。。T2工具会间接影响清静软件代码的质量，，，，，，，，例如代码动态剖析工具，，，，，，，，需要对工具可能保存的缺陷举行剖析评估，，，，，，，，并在使用中阻止。。。。。。。T3工具直接天生清静软件的代码和数据，，，，，，，，例如用于天生清静相关二进制代码的编译器，，，，，，，，需要接纳须要的测试手段验证其功效切合其规格，，，，，，，，或提供其在类似清静应用中的乐成使用证据。。。。。。。

上述标准条款进一步提高了对SIS系统软件及外部支持软件工具的要求，，，，，，，，对阻止系统性失效更为有用。。。。。。。关于SIS制造商和集成商，，，，，，，，无论是选择现有的软件，，，，，，，，照旧开发新的软件，，，，，，，，都需要针对以上要求举行须要的剖析、论证和测试，，，，，，，，以证实阻止软件系统性失效的步伐具有足够的有用性。。。。。。。

5. 功效清静治理要求

从功效清静治理方面，，，，，，，，新版IEC 61508标准最大的转变体现在清静生命周期的转变和对清静手册的要求。。。。。。。

周有铮文内图3.jpg

图3 ASIC清静生命周期（引自IEC 61508）

新版IEC 61508标准将原来的总体清静生命周期中的“E/E/PES实现”阶段分为了“E/E/PES清静需求规格”和“E/E/PES实现”两个阶段。。。。。。。其中，，，，，，，，新的“E/E/PES实现”阶段增添了“E/E/PES设计需求规格”子阶段。。。。。。。这个转变的主要目的是为了将由用户提出的“E/E/PES清静需求规格”与产品设计者体例的“E/E/PES设计需求规格”明确区分。。。。。。。前者的重点在于明确从总体清静需求规格分派而来的E/E/PES所需实现的清静功效需求和清静完整性需求，，，，，，，，此后者必需从系统设计者的角度将用户从应用角度提出的需求转化为可实现的系统设计指标。。。。。。。

清静生命周期的另一个重大转变是提出了专用集成电路（ASIC）的V-模子，，，，，，，，如图3所示。。。。。。。随着ASIC、现场可编程门阵列（FPGA）和重大可编程逻辑器件（CPLD）等大规�？？？？？？？杀喑搪呒骷谇寰膊分械挠τ萌找嫫毡�，，，，，，，，这些器件的开发历程是否切合清静要求对整个产品的功效清静起着举足轻重的作用，，，，，，，，V-模子的提出旨在将功效清静的理念融入这些器件的开发历程中。。。。。。。由于这些器件的开发历程与软件类似，，，，，，，，因此标准也接纳了和软件开发历程类似的V-模子。。。。。。。同时，，，，，，，，在IEC 61508第2部分附录F（资料性）中，，，，，，，，给出了ASIC、FPGA、CPLD等器件在其清静生命周期中需思量的阻止系统失效的手艺和步伐，，，，，，，，需要在V-模子的实验历程中遵照。。。。。。。

清静手册是清静产品制造商提供应集成商和用户的指南文档，，，，，，，，用于提供产品针对IEC 61508标准的所有切合项信息，，，，，，，，以使产品能够被凭证IEC 61508的要求举行集成和使用。。。。。。。新版IEC 61508第2部分和第3部分的附录划分划定了E/E/PES和软件的清静手册要求。。。。。。。由于这些要求是规范性要求，，，，，，，，因此制造商必需提供详尽的清静手册，，，，，，，，通过这个桥梁为在产品集成和使用中实现功效清静提供便当。。。。。。。

6. 结语

IEC 61508是国际通用的功效清静的基础标准，，，，，，，，其焦点内容之一即为对包括SIS在内的功效清静产品的系统、硬件、软件设计做出详尽的要求，，，，，，，，以使其能够按知足功效清静的方法举行设计和开发。。。。。。。新版IEC 61508基于功效清静理念的生长趋势和手艺的更新前进，，，，，，，，从系统性能力、硬件/软件清静完整性要求、功效清静治理等各方面提出了若干新的要求。。。。。。�？？？？？？？梢栽て�，，，，，，，，由IEC 61508衍生而出的各领域功效清静应用标准也将逐步举行更新。。。。。。。由于功效清静产品需经由评估认证，，，，，，，，标准增添的新要求关于SIS产品开发的手艺和本钱提出了新的挑战。。。。。。。然而，，，，，，，，这也是一个契机，，，，，，，，知足新标准的产品将具有更高的质量和手艺优势，，，，，，，，也由于体现了更靠近现实的功效清静理念而有助于为用于创立更多的价值。。。。。。。

参考文献：

1. IEC 61508:2010, Functional safety of electrical/electronic/programmable electronic safety-related systems, Part 1~7.

2. IEC 61511:2003, Functional safety － Safety instrumented systems for the process industry sector, Part 1~3.

3. D.J. Smith, Reliability, maintainability and risk － Practical methods for engineers, 8th edition, Elsevier, 2011.

4. IEC Functional Safety. http://www.iec.ch/functionalsafety

作者简介：

周有铮，，，，，，，，功效清静司理，，，，，，，，从事功效清静治理、手艺研究和产品开发事情。。。。。。。

获取最新的行业计划与案例

通过电话、电子邮件联系NG集团，，，，，，，，以解决你的困扰

联系NG集团