2. 验收标准与规范体系
PCS 7 项目的验收从来不是“功能跑通就算完”。同一套 DCS 组态，在化工装置、原料药车间和生物制品线上，验收的判据可能完全不同：化工装置更关注安全仪表功能的完整性与误动作率，制药车间则更关注数据可追溯、电子签名与审计追踪。因此，验收前必须先建立“标准—合同—企业规范”三层判据体系，再把它落到 PCS 7 的具体对象上。
一、三层判据体系：从法规到可检查项
第一层是法规与通用标准，决定“底线在哪里”。IEC 61511（对应我国 GB/T 21109《过程工业领域安全仪表系统的功能安全》）规定了安全生命周期各阶段的要求，落到验收上，核心是安全仪表功能（SIF）是否达到所声明的 SIL 等级、安全要求规格书（SRS）是否被完整实现、验证与确认记录是否闭环。第二层是行业规范，如 GMP 及其附录《确认与验证》、FDA 21 CFR Part 11，决定“数据与记录是否可信”。第三层是企业标准与合同技术附件，决定“本项目具体验收什么、用什么指标判合格”。
三层之间是逐级细化的关系：法规给出原则，行业规范给出数据完整性要求，合同附件给出可测量的验收指标。验收中最常见的争议，往往不是法规理解错误，而是合同附件里的指标写得含糊，例如只写“联锁动作可靠”，却没有定义动作时间、重复精度和测试次数。
二、IEC 61511 / GB/T 21109 对 PCS 7 验收的具体要求
IEC 61511 与 GB/T 21109 技术内容基本对应，验收关注点集中在四类证据。第一是安全要求规格书（SRS）的可追溯性：每一条 SIF 都应有唯一编号，并在 PCS 7 的 CFC 逻辑、I/O 分配表、SIL 计算报告中形成“需求—实现—验证”的对应关系。第二是 SIL 验证计算，需要给出传感器、逻辑控制器、执行元件的 PFDavg 或 PFH，并说明所用失效率数据来源。第三是诊断覆盖率与硬件故障裕度（HFT），例如 1oo2 压力变送器配置下 HFT=1，需在验收记录中体现表决逻辑与旁路管理。第四是功能测试覆盖，要求对每条 SIF 做完整回路测试，而不是只测卡件通道。
一个常见的验收争议是“旁路是否受控”。PCS 7 中若使用强制（Force）或旁路（Bypass）功能，必须记录旁路申请、批准、生效时间与恢复时间，并设置最长允许旁路时间。验收时应抽查旁路记录，确认其与操作日志一致。
三、GMP 与 FDA 21 CFR Part 11 对 PCS 7 的要求
GMP 的核心是“已确认的状态”和“可追溯的记录”。落到 PCS 7 验收，DQ/IQ/OQ/PQ 四阶段要分别对应：设计确认核对硬件清单、网络拓扑与 P&ID 的一致性；安装确认核对卡件型号、端子接线、接地与供电；运行确认核对 CFC 逻辑、报警设定值、联锁动作时间；性能确认核对批记录数据采集的完整性与准确性。
FDA 21 CFR Part 11 则对电子记录和电子签名提出更具体的要求。PCS 7 侧通常通过 SIMATIC Logon、OS 项目组态中的用户权限和审计追踪来实现。验收时应检查：用户是否唯一标识、密码策略是否满足最小长度与有效期、权限是否按角色分配、关键操作（如修改报警限值、确认联锁旁路、修改配方参数）是否生成不可修改的审计记录、记录是否包含操作者、时间戳、旧值与新值。若使用电子签名，还需确认签名与记录绑定、签名不可被复制到其他记录。
四、企业标准与合同技术附件的解读方法
合同技术附件是验收中最直接、也最容易产生歧义的依据。解读时应把每条指标拆成“对象、条件、判据、证据”四要素。例如附件写“联锁动作时间不大于 500 ms”，需要进一步明确：从哪个信号变化开始计时，到哪个输出动作结束；是在正常扫描周期下测，还是在最大负荷下测；用哪种仪器记录；允许几次测试取平均值。若附件只写“系统可用率不低于 99.5%”，则应明确统计周期、停机定义、计划检修是否计入。
企业标准通常比合同更细，例如规定报警分级为紧急、重要、一般三级，分别对应不同声光颜色和确认时限；规定 CFC 块命名规则为“区域_单元_功能_序号”；规定所有模拟量输入必须做断线检测并触发报警。这些条款在验收时逐条核对，比笼统检查“组态规范”更有效。
五、验收判据对照示例
下表给出一份示例性的判据对照，用于说明如何把标准条款转成 PCS 7 可检查项。表中参数为教学示例，实际项目应以合同附件和企业标准为准。
| 标准/规范 | 条款关注点 | PCS 7 可检查对象 | 示例判据 | 证据形式 |
|---|---|---|---|---|
| IEC 61511 / GB/T 21109 | SIF 实现与 SIL 验证 | CFC 联锁逻辑、SIL 计算书 | 每条 SIF 有唯一编号，PFDavg 满足目标 SIL | 逻辑截图、计算报告、回路测试记录 |
| IEC 61511 / GB/T 21109 | 旁路管理 | OS 旁路按钮、强制功能 | 旁路需审批，最长 8 h，记录完整 | 旁路日志、审批单 |
| GMP | OQ 联锁动作时间 | CFC 逻辑、I/O 通道 | 从信号变到输出动作 ≤ 500 ms（示例） | 示波器/信号发生器记录 |
| FDA 21 CFR Part 11 | 审计追踪 | OS 审计记录、SIMATIC Logon | 记录含操作者、时间、旧值、新值，不可删改 | 审计追踪导出文件 |
| 企业标准 | 报警分级与命名 | OS 报警组态、CFC 块名 | 紧急报警红色、需 30 s 内确认；块名符合规则 | 报警清单、命名检查表 |
六、验收前的判据落地检查
在正式验收前，建议做一次“判据落地检查”：把合同附件和企业标准中的每条指标，逐条对应到 PCS 7 中的具体对象和测试方法。若某条指标找不到对应对象，或测试方法无法复现，应在验收前与业主、供应商澄清，而不是留到验收会上争论。对于安全相关条款，还应确认 SIL 计算书中的失效率数据来源是否被业主认可；对于数据完整性条款，应确认审计追踪的存储周期是否覆盖产品有效期加一年。
只有把法规、行业规范、企业标准和合同附件四类依据统一映射到 PCS 7 的组态对象、测试用例和记录表单上，验收才具备可执行、可复现、可追溯的基础。后续的 FAT、SAT 和确认活动，都应在这套判据体系下展开。