功能安全標(biāo)準(zhǔn)的發(fā)展經(jīng)歷了幾個重要的節(jié)點。1996年，ISA首先發(fā)布了ISASP84安全聲明周期，這是功能安全標(biāo)準(zhǔn)的技術(shù)基礎(chǔ)。隨后，在1998年國際電工委員會（IEC）發(fā)布了IEC61508系列標(biāo)準(zhǔn)，2003年，針對過程工業(yè)的功能安全標(biāo)準(zhǔn)IEC61511正式發(fā)布，該標(biāo)準(zhǔn)共包含3個部分，詳細(xì)規(guī)范了過程工業(yè)中SIS的構(gòu)架、定義，系統(tǒng)，硬件和軟件要求。2010年，IEC61508 Ed2.0系列標(biāo)準(zhǔn)發(fā)布，它帶來了一系列新的理念和評價方法，而標(biāo)準(zhǔn)也從原來的7個部分增加為8個部分。2016年2月IEC 61511-1Ed 2.0已經(jīng)正式發(fā)布，它將結(jié)合目前的前沿技術(shù)發(fā)展，給過程工業(yè)，甚至于更多的其他相關(guān)涉及財產(chǎn)安全、環(huán)境安全、人身安全的行業(yè)，帶來規(guī)范有效的安全評價方法和技術(shù)。

IEC 61511系列標(biāo)準(zhǔn)給出了SIS關(guān)于規(guī)范、設(shè)計、安裝、運行和維護(hù)的相關(guān)要求。它明確了所需達(dá)到的功能安全水平，但是標(biāo)準(zhǔn)中并不明確這些要求的責(zé)任方，而相關(guān)的責(zé)任人員需根據(jù)安全計劃、項目計劃和管理以及所在國家的法律法規(guī)進(jìn)行職責(zé)的劃分。

IEC61508和IEC61511是2個有著密切關(guān)系的標(biāo)準(zhǔn)，從屬關(guān)系上來說，IEC61511是IEC61508在過程領(lǐng)域的應(yīng)用，IEC61508是所有功能安全標(biāo)準(zhǔn)的基礎(chǔ)和支撐。

在IEC 61511-1 Ed2.0中，仍然保留了2個基本概念：安全生命周期和安全完整性等級（SIL）。

①安全生命周期對于功能安全而言至關(guān)重要。從功能安全的概念出發(fā)，失效可分為隨機失效和系統(tǒng)失效。對于隨機失效，通過硬件試驗、可靠性分析、應(yīng)力篩選等一系列試驗方法可以有效提供其數(shù)值，這里不進(jìn)行贅述。而系統(tǒng)失效，引入安全生命周期的概念非常必要，它可以有效幫助設(shè)計人員從根本上避免和減少設(shè)計失誤。安全生命周期本身是一套系統(tǒng)的方法，是工程實際中最行之有效的設(shè)計方法。具體表現(xiàn)在：明確活動和工作職責(zé)；辨識每個階段的完整性需求；辨識所需文檔；幫助實現(xiàn)功能安全管理（FSM）、系統(tǒng)驗證、系統(tǒng)確認(rèn)、評估、評審等活動。

而上述活動也可借由安全生命周期的劃分分配給不同的參與人員，包括最終用戶、系統(tǒng)集成商、開發(fā)人員（硬件和軟件）等。

②SIL就是功能安全定量方法的體現(xiàn)。從IEC61508系列標(biāo)準(zhǔn)中可以找到許多關(guān)于SIL的描述，其中較為重要的兩個概念：平均失效概率（PFD，PFH）及結(jié)構(gòu)約束。得到準(zhǔn)確的PFD和PFH，對于定量評價系統(tǒng)的有效性和在關(guān)鍵時刻的表現(xiàn)至關(guān)重要，也是得到SIL的重要參數(shù)之一。

在IEC 61511-1 Ed2.0中有3個顯著的變化：

①許多原來被定義為“應(yīng)”的活動，新版標(biāo)準(zhǔn)則定義為“必須”，如：安全生命周期必須包含應(yīng)用編程等。

②原標(biāo)準(zhǔn)中的“應(yīng)用軟件”被改寫為了“應(yīng)用編程”，這從根本上提高了系統(tǒng)集成過程中對于軟件評估的重視，在考慮SIS的SIL時，編程過程，即軟件質(zhì)量成為一個不容忽視的重要過程。

③FAT編程規(guī)范性引用，即：出廠試驗成為必備過程。

這些變化體現(xiàn)了IEC 61511-1 Ed2.0對于安全要求的提升，原標(biāo)準(zhǔn)可選的內(nèi)容在IEC 61511-1 Ed2.0中成為了必須執(zhí)行的項目，無疑增加了系統(tǒng)制造商、集成商的工作量，需要將更多的時間用于系統(tǒng)的測試，同時需要將更多的精力投入在控制系統(tǒng)失效的工作上。同時，為了迎合數(shù)字化發(fā)展的進(jìn)程，軟件的重要程度再次提升，在IEC 61508 Ed2.0中就可以明顯感覺到對編程過程的重視，并在IEC 61511的升版中再次體現(xiàn)出來。

大致可以將SIS安全生命周期歸納成4個階段。

①分析階段。它包括了上圖中1，2，3這3個部分的工作。

②實現(xiàn)階段。它包括了上圖中4，5部分以及標(biāo)準(zhǔn)中第9章的相關(guān)內(nèi)容。

③操作和維護(hù)階段。它包括了6，7，8，9這4個部分的內(nèi)容。

④管理和計劃。它包括了10，11這2個部分的內(nèi)容。

從順序上來說，管理和計劃是先于一切行動的起點，它將控制整個項目的進(jìn)度、質(zhì)量水平以及跟蹤觀察。

功能安全管理概述

對于任何宣稱產(chǎn)品或者系統(tǒng)達(dá)到功能安全的廠商或組織，都應(yīng)該有完整的功能安全管理來確認(rèn)他們的聲明是合理有效的。在IEC 61511-1 Ed2.0中，對于功能安全管理提出了多方面的要求：

①組織和資源。主要提出了對涉及SIS生命周期中的人員、部門、組織或其他單位的職責(zé)以及承擔(dān)相關(guān)職責(zé)所應(yīng)具備的能力，這些能力可以包括：工程知識、電氣電子可編程電子方面的知識、安全工程知識、法律法規(guī)要求、必要的領(lǐng)導(dǎo)技能、風(fēng)險分析和評價的技能等。

②風(fēng)險評價和風(fēng)險管理。這些內(nèi)容可以通過不同的風(fēng)險評價方法獲得，例如HAZOP和QRA等，這些方法可從定性到半定量再到定量，以提供準(zhǔn)確的評價結(jié)果。

③編制可行的安全計劃。安全計劃中需要詳細(xì)描述在項目中所執(zhí)行的生命周期以及在生命周期中所包含的活動，執(zhí)行活動的人員、部門、組織以及配備的資源等，并且應(yīng)與所需的SIL相匹配。

④執(zhí)行和監(jiān)視。對于項目中涉及的供應(yīng)商或提供服務(wù)的組織都應(yīng)按所需的SIL要求提出對應(yīng)的管理規(guī)程并進(jìn)行監(jiān)督管理，同時對SIS的失效率參數(shù)的合理性也要時刻進(jìn)行監(jiān)督。

⑤評估、審核和修改。在IEC 61511-1 Ed2.0中對于如何進(jìn)行評估提供了詳細(xì)的建議，而這些建議也可以成為項目執(zhí)行者編制文件時的參考。項目中所執(zhí)行的任何相關(guān)活動都應(yīng)留下備查的記錄，尤其是對于修改部分，應(yīng)建立完整的規(guī)程，至少應(yīng)包含提出、評審、修改、再評審的過程。

⑥配置管理。配置管理可有效地控制系統(tǒng)的版本有序，是避免系統(tǒng)失效的基本要求和重要手段。功能安全管理應(yīng)該在項目過程中持續(xù)有效地執(zhí)行，并且應(yīng)貫徹執(zhí)行統(tǒng)一的準(zhǔn)則，并且在實施過程中應(yīng)按計劃、按階段引入功能安全評審，將會有效提供功能安全管理的水平。

功能安全評審

功能安全管理與功能安全評審密不可分。

①執(zhí)行功能安全評審，在新版標(biāo)準(zhǔn)中則給出了幾點特別需要注意的事項：

a）執(zhí)行功能安全評審的人員應(yīng)該獨立，不應(yīng)參與到SIS的任何工作。這里的獨立有多層理解，根據(jù)不同的SIL要求，可以將獨立的范圍擴大。通?？梢詫ⅹ毩⒎譃?個層次：技術(shù)獨立、管理獨立、財務(wù)獨立。而通用的做法則是在項目過程中引入第三方獨立機構(gòu)來執(zhí)行功能安全評審的工作。

b）IEC 61511-1 Ed2.0中尤其強調(diào)了功能安全評審計劃的制定，在原標(biāo)準(zhǔn)中為注意的條款，在新版標(biāo)準(zhǔn)中都變?yōu)榱吮仨殘?zhí)行的項目。

c）在維護(hù)和操作階段也應(yīng)當(dāng)周期性地引入功能安全評審工作，即功能安全工作不僅僅是開車的必要條件，在系統(tǒng)投入運行后，功能安全的評審工作依然重要。而這部分的工作將包括：評判系統(tǒng)的運行情況、收集相關(guān)設(shè)備的運行參數(shù)以便更新功能安全相關(guān)參數(shù)，發(fā)現(xiàn)和評估未預(yù)料到的隱患并及時糾正。

d）功能安全評審依賴于操作的實時性。

②根據(jù)IEC61511-1Ed2.0可以將功能安全評審劃分為5個階段，這5個階段貫穿系統(tǒng)的安全生命周期全過程：

a）在完成風(fēng)險評估后，辨識出所需的保護(hù)層并在完成完全要求規(guī)范（SRS）編制后實施。

b）在完成SIS設(shè)計后實施。

c）在完成安裝、試運行、最終確認(rèn)后，并且已開發(fā)完成運行和維護(hù)規(guī)程后實施。

d）在獲得運行和維護(hù)經(jīng)驗數(shù)據(jù)后實施。

e）在修改后或在SIS停運前實施。上述的實施階段只是功能安全評審的最低要求，對于有不明確或者有必要的情況下，功能安全評審就應(yīng)及時進(jìn)行，避免系統(tǒng)故障的引入。

鑒于IEC 61508 Ed2.0的發(fā)布，對于功能安全結(jié)構(gòu)約束的定義有了新的變化，在IEC 61511-1 Ed2.0中，也將延續(xù)這種變革。因此，在判斷硬件故障裕度（HFT）時有了更多的選擇。在IEC 61508-2 Ed2.0中有兩種不同的方法，分別為Route1H和Route2H，其判定HFT的要求分別見下表所列。

可見，Route2H取消了關(guān)于安全失效分?jǐn)?shù)的要求，而這兩種方法在IEC 61511-1 Ed2.0中都是可行的。而想要設(shè)計出符合功能安全要求的SIS，仍然需要設(shè)計人員有足夠豐富的功能安全知識和儀表應(yīng)用經(jīng)驗。

SIS的應(yīng)用編程和SRS

前文中提到，在IEC 61511-1 Ed2.0中特別強調(diào)了將應(yīng)用軟件變?yōu)閼?yīng)用編程，這就說明軟件編程質(zhì)量在SIS中的重要性更加明確。在新版標(biāo)準(zhǔn)中提出了對于應(yīng)用編程的一系列要求：適當(dāng)?shù)纳芷趧澐?；系統(tǒng)化的方法；必要的檢驗測試手段；可追溯性；驗證與確認(rèn)。針對上述要求，設(shè)計和開發(fā)人員有必要引入行之有效的系統(tǒng)性方法，而目前廣為接受的方法就是改進(jìn)型V模型系統(tǒng)性方法。

對于應(yīng)用編程，可以參照IEC 61508-3 Ed2.0中的要求實施，需要特別注意的是，在IEC 61511-1 Ed2.0中，針對通信提出了關(guān)于信息安全的要求。對于信息安全的要求需要從硬件和軟件兩個部分去考慮，關(guān)鍵的網(wǎng)絡(luò)設(shè)備應(yīng)經(jīng)過相關(guān)測試并驗證其有效性。而通信協(xié)議本身也應(yīng)經(jīng)過評估和必要的攻防測試，這部分內(nèi)容在IEC 62443系列標(biāo)準(zhǔn)中有詳細(xì)的要求，而該部分也是IEC 61511-1 Ed2.0中與時俱進(jìn)的有力表現(xiàn)。

在IEC 61511-1 Ed2.0中，對于每個安全儀表功能（SIF）定義了共計29條要求，這些內(nèi)容大多在原版中有相應(yīng)的要求，而其中有以下4條內(nèi)容是新版中額外增加的內(nèi)容：

以上內(nèi)容在IEC 61511-1 Ed2.0第10.3.1條中有明確提及，根據(jù)SIF的具體情況，在編制SRS時，應(yīng)完整考慮這些要求，以提高SIS的設(shè)計準(zhǔn)確性。

新版標(biāo)準(zhǔn)修訂內(nèi)容

在IEC 61511-1 Ed2.0中，還有一些修訂部分內(nèi)容，通過研讀，將其羅列如下：