4. 安全要求规格书（SRS）编制
安全要求规格书（Safety Requirements Specification，SRS）是SIS生命周期的“设计宪法”。它把HAZOP/LOPA得出的安全功能需求，翻译成Safety Manager可以落地实现的工程约束。SRS写不清楚，后续逻辑组态、SIL验证、旁路管理都会失去依据。本节以Safety Manager为平台，围绕安全功能定义、SIL等级、响应时间、失效模式、旁路管理、测试要求及与DCS接口约定，说明SRS的编制方法。
一、SRS在Safety Manager项目中的定位
SRS位于“风险分析”与“工程实现”之间。上游输入包括：HAZOP偏差与原因、LOPA确定的SIL等级、工艺安全限值、因果矩阵；下游输出直接约束Safety Manager的硬件选型、逻辑组态、旁路设计和测试方案。在Honeywell项目中，SRS通常与Safety Manager的CEE（控制执行环境）配置、I/O模块分配、SOE记录点表同步维护。SRS不是一次性文档，任何MOC变更都必须回写SRS并重新评估SIL。
二、安全功能定义：从因果到可组态条目
每条安全功能应写成“触发条件—动作—目标状态”的可验证三元组。例如：
SIF-012 反应器R-101超压保护
触发：PT-1011A/B/C 三取二 ≥ 2.50 MPa(g)，延时 1.0 s
动作：关闭XV-1011进料阀；打开XV-1012泄压阀；停P-101
目标：15 s内将反应器压力降至 1.80 MPa(g) 以下
SIL：SIL 3 失效模式：安全停车（De-energize to Trip）
旁路：仅允许维护旁路，需双人确认，最长 8 h
测试：每季度部分行程测试，每年全行程测试在Safety Manager中，该功能对应一个Safety Logic Function，输入点分配至FTA（故障容忍架构）通道，输出点采用DO模块并配置线路监测。SRS必须明确每个I/O点的通道号、模块型号、冗余方式，避免组态时临时决定。
三、SIL等级与响应时间分配
SIL等级由LOPA确定，SRS需将其转化为PFDavg目标和架构约束。SIL 3通常要求PFDavg在10⁻⁴～10⁻³，HFT≥1，SFF≥90%。响应时间必须分解到信号链各环节，并留出余量。以SIF-012为例：
| 环节 | 典型时间 | 说明 |
|---|---|---|
| 变送器响应 | ≤ 0.5 s | 含滤波与量程设置 |
| Safety Manager扫描 | ≤ 0.2 s | 安全任务周期 |
| 逻辑处理与表决 | ≤ 0.1 s | 2oo3表决 |
| 输出继电器动作 | ≤ 0.3 s | DO模块+阀门 |
| 阀门关闭时间 | ≤ 8.0 s | XV-1011实测 |
| 合计 | ≤ 9.1 s | 满足15 s目标 |
响应时间必须在SRS中逐项列出，并在FAT/SAT中用信号注入法验证。Safety Manager的扫描周期、看门狗时间、SOE分辨率都应写入SRS，作为验收依据。
四、失效模式与旁路管理
Safety Manager默认采用“失电跳车”（De-energize to Trip）原则，SRS必须明确每个输出点的失效安全方向。对于需要保持运行的场合，应说明例外理由并评估风险。失效模式还包括：输入断线、输出短路、表决降级、通信中断。SRS应规定每种失效下的系统行为，例如2oo3表决中一个通道故障时，自动降级为1oo2并发出维护报警，而不是直接停车。
旁路管理是SRS中最容易被忽视的部分。SRS应定义：旁路类型（维护旁路、启动旁路、强制旁路）、审批权限、最长允许时间、自动提醒和SOE记录要求。在Safety Manager中，旁路通过Safety Manager Station的Bypass Manager实现，SRS需明确旁路点表、旁路期间SIL降级声明以及补偿措施。例如，SIF-012维护旁路超过4 h，必须增加现场巡检频次并通知工艺主管。
五、测试要求与DCS接口约定
SRS应规定测试类型、周期、覆盖率和验收准则。常见测试包括：上电自检、部分行程测试（PST）、全行程测试（FST）、回路测试和SOE精度测试。Safety Manager支持在线PST，SRS需明确PST的触发方式、行程百分比和结果判定。例如，XV-1011每季度执行30%行程PST，若阀门动作时间超过1.5 s或行程不足，系统产生维护报警。
与DCS的接口约定是SRS的另一个关键点。Safety Manager与DCS之间通常通过Modbus TCP、OPC或硬接线交换数据。SRS应明确：
- 接口类型与协议：如Modbus TCP，端口502，功能码03/06；
- 数据方向：SIS→DCS发送状态、报警、旁路指示；DCS→SIS发送操作指令（如复位）；
- 数据点表：每个点的地址、数据类型、刷新周期、超时处理；
- 故障行为：通信中断时SIS保持安全状态，DCS显示“通信故障”；
- 隔离要求：SIS与DCS之间采用硬接线或网关隔离，防止DCS故障影响SIS。
例如，SIF-012的旁路状态通过Modbus寄存器40021发送至DCS，刷新周期1 s，DCS画面显示“SIF-012旁路中”并闪烁提示。若通信超时3 s，DCS保持最后有效值并报警，SIS侧不受影响。
六、SRS编制检查要点
编制完成后，建议按以下要点自查：安全功能是否可独立测试；SIL等级与PFDavg目标是否一致；响应时间是否逐环节分解并留有余量；失效模式是否覆盖断线、短路、表决降级；旁路是否有审批、时限和补偿措施；测试周期与覆盖率是否满足SIL要求；DCS接口点表、协议、超时行为是否明确。SRS经评审后，应作为Safety Manager组态、FAT/SAT和MOC的基线文件，任何变更都需重新评估并更新版本。