自关于SIS安全仪表系统的官方指导文件-安监总管三[2014]116号发布以来，国内SIS相关的评估、设计及改造等一系列工作就如火如荼的开展以来。在这个文件实施的过程中，不可避免的遇到了一些比较棘手的问题，例如：仪表和阀门必须有SIL等级认证吗？SIS系统(包括仪表和阀门)的检验周期到底如何确认？SIS系统相关的检验测试应如何执行？非典型的重点监管工艺是否需要上SIS？仅涉及到较少量的重点监管的危险化学品，是否必须上SIS？精细化工在进行SIL定级时如何结合反应热风险评估的结果进行综合评估？在役装置的功能安全评估报告是什么文件，如何执行？
针对"在役装置的功能安全评估报告是什么文件，如何执行？"这个问题，近年来经常有不同企业的反馈：某某专家提出了企业需要补充“功能安全评估报告”，企业会及时与第三方咨询单位及设计院进行沟通，很多得到的答复是不知道在役装置的功能安全评估报告主要讲述的是什么内容。昌晖仪表从多个法规和标准的角度解读“在役装置功能安全评估”的来源及执行要求、在役装置功能安全评估报告的内容与编制。
一、《国家安全监管总局关于加强化工安全仪表系统管理的指导意见》安监总管三[2014]116号文，怎么说？
根据企业反馈的多数专家检查意见，可以看出其主要依据是116号文中的第六项内容，具体描述如下：
六、积极推进在役安全仪表系统评估工作：
(十四)涉及“两重点一重大”在役生产装置或设施的化工企业和危险化学品储存单位，要在全面开展过程危险分析(如危险与可操作性分析)基础上，通过风险分析确定安全仪表功能及其风险降低要求，并尽快评估现有安全仪表功能是否满足风险降低要求。
(十五)企业应在评估基础上，制定安全仪表系统管理方案和定期检验测试计划。对于不满足要求的安全仪表功能，要制定相关维护方案和整改计划，2019年底前完成安全仪表系统评估和完善工作。其他化工装置、危险化学品储存设施，要参照本意见要求实施。
解读：从上述条款的描述可以看出来，相关的评估工作主要包含了HAZOP→SIL定级→SIL验证，三项主要内容。“尽快评估现有安全仪表功能是否满足风险降低要求”这句话应该如何理解呢？考虑到国内危化企业SIS系统推进的历程，有一部分部分企业先有了SIS系统(多数是来自国外的工艺包或者参考以往的设计经验)再进行补充SIL评估的情况，走的是拿来主义的思路，至于为什么要设置这些SIS，很多企业是不清楚来源的。实际上按照GBT20438/21109等相关标准中SIS系统生命周期的要求，是先进行相关的风险分析和辨识，再进行相关评估工作(可以采用LOPA保护层、风险图表及风险矩阵等方法)，其后才进行SIS系统的相关设计工作。因此这部分工作的核心，就是针对相关的场景或者SIF回路进行SIL等级评估和实际SIL等级的验证。
二、《GB/T21109-2007过程工业领域安全仪表系统的功能安全》，怎么说？
GB/T21109的第一部分中对功能安全评估进行了定义，原文如下：功能安全评估functional safety assessment：基于证据的调查，以判定由一个或者多个保护层所实现的功能安全。功能安全审核functional safety audit：对于按计划安排的功能安全要求专用的规范是否有效地执行并满意的进行系统地、独立的检查。备注：功能安全审核可以作为功能安全评估的一部分。
功能能安全评估(FSA)的使用是证明一个安全仪表系统 (SIS)满足仪表安全功能和安全完整性等级(SIL)要求的基础。这种评估的基本目的是通过系统开发过程的独立评估来证明符合一致同意的标准和惯例。在各个生命周期阶段，可能都需要对SIS进行一次评估。为了进行一次有效的评估，应拟定一个定义该评估范围的规程以及评估组组成的指南。
GB/T21109中给出了开展功能能安全评估工作的5个阶段，如下图所示：
其中阶段4和阶段5是针对企业运行维护和SIS变更后的功能安全评估，在这个评估过程中需要进行的相关重点内容如下：
解读：根据GB/T21109的要求，SIS系统生命周期的几个阶段都需要进行相关的评估工作，其目的很简单就是确认现有的保护层所实现的功能安全是否可以满足要求，因此在不同的阶段执行的内容是不同的。在役企业需要执行的功能安全评估，实际上包含了我们通常执行的HAZOP、SRS、SIL定级和SIL验算等一系列工作内容，部分其他内容可能未在具体的文件中体现出来，但是不代表企业没有执行。因此该部分工作如何执行，执行到什么样的尺度，除参考国家的相关法规外，还需要结合不同区域及企业的需求来进行编制。
三、《GB/T20438-2017电气电子可编程电子安全相关系统的功能安全》，怎么说？
GB/T20438-2017电气电子可编程电子安全相关系统的功能安全进行了定义，原文如下：功能安全评估 functional safety assessment：通过调查，依据证据来判定一个或者多个E/E/PE安全相关系统和/或其他风险降低措施实现的功能安全。功能安全审核 functional safety audit：系统的、独立的检查，用以确定符合计划安排的功能安全要求的规程是否有效地执行并满意的达到规定的目的。备注：功能安全审核可以作为功能安全评估的一部分。
GB/T20438-2017中规定，应对整体安全生命周期、安全仪表系统全生命周期和软件全生命周期的所有阶段进行安全功能评估FSA，包括文档、验证和功能安全管理。FSA可以在生命周期的每个阶段后，或在几个安全生命周期阶段之后开展，最重要的是FSA必须在真正的危险出现之前进行。
解读：GB/T20438对功能安全评估的定义和GB/T21109略有区别，但是本质还是核实和确认各个保护层是否满足可靠性的要求，在这个评估的过程中需要结合不同阶段的输入资料进行逐一确认，因此整体执行的思路和GB/T21109还是相近的。
四、《 GB/T50770-2013石油化工安全仪表系统设计规范》，怎么说？
工程方案设计宜包括初步的过程危险分析、主要安全控制策略和措施及相应的说明。
过程危险分析和风险评估宜包括识别过程及相关设备的危险事件及原因，危险事件发生的顺序，可能性及后果，确定降低风险的要求和措施，确定安全仪表功能等。过程危险分析和风险评估宜采用危险和可操作性研究方法或预危险分析方法，也可采用安全检查表、故障模式和影响分析、因果分析方法等。
保护层安全功能的分配可包括分配预防、控制或减缓过程危险的保护层安全功能，分配安全仪表功能的风险降低目标。保护层的安全功能分配应符合现行国家标准(电气/电子/可编程电子安全相关系统的功能安全》GB/T20438和《过程工业领域安全仪表系统的功能安全)GB/T21109的有关规定。
安全完整性等级可根据过程危险分析和保护层功能分配的结果评估并确定。
安全仪表系统技术要求可包括安全仪表功能及安全完整性等级、过程安全状态、操作模式、检验测试间隔时间等。
解读：GB/T50770-2013没有对功能安全评估进行明确的定义，但是对一些列的评估进行了简要的介绍。从上述内容可以看出来，主要过程危险分析和风险评估方法还是HAZOP、LOPA保护层分等技术，没有额外提出新的要求，但是实际上还需要补充一下现有SIS系统的SIL验证报告，结合企业实际的检验测试周期、仪表失效数据、表决机制等进行实际等级的核算。
五、功能安全评估报告应如何编制？
功能安全评估结束后，应按照要求编制功能安全评估报告，一份完整的功能安全评估报告可包括如下内容：
Ø 评估范围
Ø 评估人员及职责
Ø 所有文档和所检查的文档版本号的列表
Ø 评估的依据
Ø 评估的流程
Ø 评估的实施及记录表
Ø 评估的结论
Ø 批准和跟踪
各阶段可根据项目内容、监管文件、标准规范制定评估表，以表格的方式进行检查评估，减少依靠过高专业经验的主观判断，避免遗漏。
对于国内项目检查验收时要求提供功能安全评估报告时，可提供启动前安全检查PSSR报告(FSA的阶段3)；其他阶段也可根据需要，进行安全功能评估，并形成文档；评估的次数取决于项目的规模和复杂程度。
执行功能安全评估能够针对功能安全完成的实际情况进行阶段性的及时确认和修改，减少后续阶段的变更和返工，用健全的、可追溯的文档证明项目符合IEC61508和IEC61511的要求。
作者：冯双虎
