本文以某開關(guān)量輸入安全柵取得TUV功能安全認證為例，介紹基于IEC 61508標準的功能安全認證的過程，并對認證過程中各步驟順序、各階段主要工作、德國認證審核工程師最新要求變化等核心步驟進行了詳細的介紹。為用于過程測試和控制裝置等產(chǎn)品取得功能安全認證提供參考。
大約2010年左右，很多中石油、中石化單位選用設(shè)備時，在標書中明確要求需要提供功能安全認證證書。若沒有功能安全認證，儀表廠商錯失了很多參與機會，大家逐漸認識到了功能安全認證的重要性，開始積極準備功能安全認證。相信有人也是一樣，剛接觸認證時很茫然，不知從哪做起。本文結(jié)合開關(guān)量輸入安全柵功能安全認證實際經(jīng)歷，介紹認證要求、認證流程和注意事項。
功能安全認證對于現(xiàn)代工業(yè)的安全作用這里就不班門弄斧了，網(wǎng)上有許多專業(yè)文章闡述功能安全的作用。本文主要開關(guān)量輸入安全柵為例，基于IEC 61508標準進行功能安全認證的過程介紹。
1、防爆認證安全柵作為防爆產(chǎn)品，若想進入國際市場，必須符合強制性國際防爆認證要求，在功能安全認證之前需取得相關(guān)防爆認證。很多認證機構(gòu)都會提供IECEX防爆認證流程的介紹。
①申請單位向IECEX體系授權(quán)的認證機構(gòu)以書面形式提出認證的申請，及相關(guān)產(chǎn)品文件資料。機構(gòu)受理后，申請單位與認證機構(gòu)簽訂委托認證合同。
②認證機構(gòu)對申請認證產(chǎn)品進行防爆型式檢驗(包括圖紙文件防爆審查和樣機試驗)；審核防爆檢驗報告。
③認證機構(gòu)對申請認證的制造單位進行工廠質(zhì)量條件檢查。
④認證機構(gòu)對型式檢驗結(jié)果和工廠檢查結(jié)果進行評價，評價合格頒發(fā)IECEX認證證書。
⑤認證機構(gòu)對申請單位實施年度監(jiān)督。
實際上，因功能安全認證審核需進行儀表安全完整性的評估，有可能改動電路，影響防爆參數(shù)；或防爆認證審核時要求電路調(diào)整，產(chǎn)品的安全完整性需重新評估，所以推薦防爆認證和功能安全認證同步進行，以免造成時間、人員、費用等不必要的浪費。根據(jù)大量公司取證經(jīng)驗，建議先行提交防爆認證原理圖紙和功能安全認證概念階段的審核，等防爆相關(guān)圖紙審核通過后，可轉(zhuǎn)向功能安全認證的FMEA分析、FIT測試、EMC/環(huán)境測試等工作。待以上完成，原理圖和電路圖可基本確定，可繼續(xù)防爆認證后繼的文件定稿、樣機測試、工廠審核等工作。
2、功能安全認證
功能安全認證流程大致可分為概念階段審核、主檢階段審核、工廠審核和德國復審及發(fā)證；再細分的話主要工作又可分為設(shè)計開發(fā)文檔管理評估，硬件可靠性計算和評估、EMC電磁兼容性測試、環(huán)境測試等。本文介紹功能安全認證流程是以開關(guān)量輸入安全柵為例的，開關(guān)量輸入安全柵為純硬件電路設(shè)計，無需軟件安全完整性的審核評估，其他的儀表可能還需要進行軟件安全完整性的審核評估。
①概念階段
◆ 安全計劃(SP)
安全計劃中確定項目組織、項目人員及資質(zhì)、安全生命周期劃分、故障避免措施計劃、變更處理程序、配置管理等信息。
圖1 項目組織圖
◆ 驗證確認計劃(VVP)
驗證確認計劃中確定安全生命周期各階段驗證活動、確認的輸入、輸出文件和驗證人。
◆ 安全需求規(guī)范(SRS)
安全需求規(guī)范中確定安全功能、安全狀態(tài)、輸入/輸出描述和參數(shù)、故障響應(yīng)時間、SIL安全完整性等級、安全柵在整個安全回路中所占比例（TUV推薦值10%）、安全失效分數(shù)SFF、硬件故障裕度、檢驗測試間隔、操作模式、環(huán)境要求等。
◆ 安全概念(SC)
安全概念中確定可靠性框圖，功能框圖(功能安全部分用不同顏色區(qū)分)各功能塊的功能、各功能塊使用的診斷措施(滿足對應(yīng)SIL等級)各功能塊診斷測試間隔、診斷后各功能塊如何進入安全狀態(tài)。
實際上，為確保安全失效分數(shù)滿足SIL等級，減少后期文檔調(diào)整，本司認證的安全柵首先進行簡單降額和FMEA分析摸底，盡可能排除嚴重的設(shè)計缺陷。
◆ 需求追蹤表(RT)
另外還有一非常重要文檔貫穿整個認證周期，那就是需求追蹤表：安全需求規(guī)范(SRS)、安全概念(SC)以及測試計劃(TP)、測試報告(TR)等文檔中每個安全相關(guān)項均使用序號(SR1、SC1、TP1、TR1等)行排序，體現(xiàn)各文檔間安全相關(guān)項的關(guān)系，方便各個文檔間的相互追蹤。
認證機構(gòu)的審核意見會以LOP文檔形式發(fā)給申請單位，經(jīng)過幾輪修改，LOP中認證機構(gòu)意見全部關(guān)閉，就表示安全柵通過了認證機構(gòu)概念階段的審核評估，認證進入了主檢階段。
② 主檢階段
主檢階段任務(wù)：進一步的功能、安全和環(huán)境測試，驗證是否達到定義的安全功能和SIL等級。
◆ 降額報告
萊茵TUV要求器件降額，在2/3原則和GJB/Z 35-93中的2級降額中選擇嚴酷的一種要求執(zhí)行；本安器件保險絲、齊納管等降額參照國標GB 3836要求執(zhí)行。如有器件降額不滿足降額要求，則需重新選擇合適器件。
表1 降額
元件 名稱 規(guī)格 降額參數(shù) 手冊 要求降額 實際 實際降額 結(jié)論
電感 L1 422776156 瞬態(tài)電流(A) 0.8 0.67 0.06 0.09 pass
介質(zhì)耐壓(V) 800 0.5 30 0.0375 pass
工作電流(A) 0.4 0.6 0.03 0.075 pass
熱電溫度(℃) 85 THS-(25~10) 60.063 小于THS-(25~10) pass
電容 C1 C2012N102N101T 工作電壓(V) 100 0.6 29. 0.299 pass
最高額定環(huán)境溫度(℃) 125 TAM-10 60 小于TAM-10 pass
◆ FMEA分析報告
a、確定產(chǎn)品結(jié)構(gòu)，按照可靠性框圖，將整機拆為多個功能塊。
b、選取合適的可靠性數(shù)據(jù)庫，器件失效率基準值λref可通過查閱西門子數(shù)據(jù)庫SN 29500獲得，也可通過廠家獲得；參與計算的置信度要求為70%，如果廠家提供的置信度為60%，需折算：λ70% = λ60%×1.204,/,0.917
c、確定環(huán)境條件(如溫度、壓力等)：FMEA分析時，需根據(jù)器件實際使用的電壓、電流、溫度等數(shù)據(jù)，參照西門子數(shù)據(jù)庫，計算失效率λ實際值。
d、參照IEC 62061附錄D中器件失效模式以及各失效模式所占比例，分別計算各功能塊的失效率總和、安全失效分數(shù)SFF，要求每個功能塊的SFF值均滿足相應(yīng)SIL等級。
表2 功能塊安全失效分數(shù)計算
ID 數(shù)量 規(guī)格 功能 失效模式 失效影響 危險判據(jù) 診斷措施 DC λ λs λD λDD λDU SFF
U6 1 MAX3256 全橋 開路 無影響或輸出失電，進入安全狀態(tài) 0 無 0 16.4 3.28 3.28 0 0
任意兩端短路 無影響或輸出失電，進入安全狀態(tài) 0 無 0 3.28 0 0 0
卡阻 無影響或輸出失電，進入安全狀態(tài) 0 無 0 3.28 0 0 0
輸出寄生振蕩 安全功能丟失 1 無 0 0 3.28 0 3.28
值改變 無影響或輸出失電，進入安全狀態(tài) 1 無 0 3.28 0 0 0
C62 2 0603 5% 濾波 開路 無影響 0 無 0 44 14.67 0 0 0
C43 CL10F101 短路 F3開路輸出失電，進入安全狀態(tài) 0 無 0 14.67 0 0 0
值改變 無影響 0 無 0 14.67 0 0 0
Total 60.4 57.12 3.28 0 3.28 0.9457
◆ DC-診斷覆蓋率
診斷覆蓋率依賴于采取的措施，它的值約為60%、90%和99%。IEC 61508-2的表A.2-表A.15為診斷測試推薦的技術(shù)和措施。
開關(guān)量輸入雙路輸出安全柵可靠性框圖如圖3所示。根據(jù)德國認證工程師最新要求，繼電器需作為單獨功能塊進行考核，參與FMEA分析。電源和輸入存在共因失效，對PFD和PFH進行計算。
圖2 可靠性框圖和PFD計算
◆ FIT故障插入測試(Fault insert Test)
FIT測試是認證機構(gòu)用來驗證FMEA報告的正確性。FIT測試結(jié)果如與FMEA不一致，需返回設(shè)計階段修改，或按實測結(jié)果修改FMEA報告，重新進行安全失效分數(shù)和失效率計算，核定SIL等級。
◆ 性能測試、EMC/環(huán)境測試
按照GB 3836要求，安全柵需嚴格進行型式試驗；同時根據(jù)VVP要求，安全柵需進行整機性能測試，用于確認整機安全功能的執(zhí)行。
具有功能安全的安全柵EMC測試項目、參考標準及實驗等級參照IEC 2061附錄E要求，其中靜電放電、電快速脈沖群、浪涌項目采取加強測試要求。
◆ 體系文件
有功能安全要求的安全柵，其體系文件須同時滿足管理體系和IEC 1508要求，保障安全生命周期內(nèi)各項工作準確開展。
◆ 設(shè)計手冊
設(shè)計手冊是為實現(xiàn)設(shè)計功能而制定的基礎(chǔ)文件，包括外殼、結(jié)構(gòu)要求、原理、清單及功能等內(nèi)容，按照標準要求盡量采用圖表形式表達。
◆ 驗證報告
驗證是生產(chǎn)商在完成組裝后開展的自查活動，包括電氣安全符合性驗證報告，邊界值測試報告。
◆ 生產(chǎn)要求
生產(chǎn)要求是生產(chǎn)商為實現(xiàn)功能而制定的規(guī)范，包括功能要求、安全要求、環(huán)境要求等內(nèi)容。
◆ 用戶手冊
用戶手冊是產(chǎn)品規(guī)格、功能、安裝和操作、運行、驗證測試等說明文件，包括安全提示、操作方法、故障排除等內(nèi)容。
實施管理文件審核的目的在于確認實現(xiàn)安全要求的手段和依據(jù)是否充分且合理，文件內(nèi)容是否滿足安全生命周期各階段工作需要，是否能夠為實施功能安全認證提供審核依據(jù)。
當以上文件全部通過審核，認證機構(gòu)安排簽發(fā)儀表功能安全證書。
目前已經(jīng)有不少功能安全研究機構(gòu)及相關(guān)測試機構(gòu)，如上海自動化儀表研究所、機械工業(yè)儀器儀表綜合技術(shù)經(jīng)濟研究所等，均開始在國內(nèi)開展了功能安全認證業(yè)務(wù)，人員不斷增加、水平不斷提高，安全柵儀表的功能安全認證可在國內(nèi)實現(xiàn)。每家機構(gòu)習慣、認知等存在不少差別，建議大家還是深入學習IEC 6508，結(jié)合本公司產(chǎn)品實際情況，不拘泥樣板套路，早日取得功能安全證書。
作者：張紅云
