4. 安全要求规格书

安全要求规格书（Safety Requirements Specification，SRS）是SIL验证工程的“设计输入基准”。它把工艺危害分析、风险评价与保护层分析中识别出的安全需求，转化为可设计、可实现、可验证、可追溯的工程语言。没有一份合格的SRS，后续的SIL定级、硬件选型、回路计算和现场测试都会失去依据，验证结论也无法被审查方接受。

一、SRS 的编制要求

SRS 的编制应遵循“完整、明确、可验证、可追溯、可管理”五项基本要求。完整性要求覆盖所有安全功能及其边界条件；明确性要求避免“尽量”“快速”“可靠”等模糊表述，改用可测量的参数；可验证性要求每条需求都能通过分析、计算或测试确认；可追溯性要求每条需求都能回溯到HAZOP、LOPA或风险评价报告；可管理性要求版本、变更、审批受控。

• 编制时机：应在SIL定级完成后、详细设计开始前形成初版，并在设计、集成、测试过程中持续更新。
• 责任主体：通常由工艺、仪表、安全、控制多专业联合编制，安全经理或功能安全工程师统筹。
• 输入依据：HAZOP报告、LOPA报告、风险矩阵、工艺流程图、联锁逻辑图、设备数据表、法规标准清单。
• 输出形式：结构化文档加需求条目数据库，便于逐条验证和追溯。

二、SRS 的内容结构

一份工程可用的SRS通常包含以下部分：范围与目的、术语与缩略语、参考文件、安全功能清单、每个SIF的功能描述、SIL等级分配、安全状态定义、响应时间要求、过程安全时间、共因失效要求、旁路与维护要求、复位与重启要求、失效模式与诊断要求、供电与接地要求、环境与电磁兼容要求、测试与验证要求、变更管理要求。

三、安全功能描述

安全功能描述是SRS的核心。每个SIF应独立成条，至少说明：功能编号与名称、所保护的危害、触发原因、传感器类型与投票逻辑、逻辑处理器要求、最终元件动作、安全状态、允许的旁路方式、手动复位条件、响应时间、以及与其他SIF的交互关系。

例如，某反应釜超压保护SIF可描述为：当反应釜压力达到联锁设定值（如1.6 MPa）时，通过2oo3压力变送器投票，经SIS逻辑控制器输出，关闭进料切断阀并打开紧急泄放阀，使反应釜进入安全状态。该功能要求SIL 2，PFDavg在1×10⁻³至1×10⁻²之间，总响应时间不超过2 s。

SIF-001 反应釜超压保护
触发条件：PT-101/102/103 三取二 ≥ 1.6 MPa
逻辑动作：关闭FV-101，打开XV-201
安全状态：进料切断、紧急泄放
目标SIL：SIL 2
PFDavg目标：1.0E-3 ~ 1.0E-2
响应时间：≤ 2 s
复位方式：压力恢复至1.2 MPa以下且手动复位
旁路要求：硬旁路需审批，限时4 h，并触发报警

四、SIL等级分配与验证要求

SIL等级分配应直接引用LOPA或风险图法的结论，不能凭经验随意指定。SRS中应明确每个SIF的目标SIL、所采用的失效数据来源、结构约束要求（如HFT、SFF、诊断覆盖率）、以及PFDavg或PFH的计算边界。验证要求则包括：验证方法、可接受的证明测试间隔、测试覆盖率、共因失效β因子取值、以及验证报告的归档要求。

五、典型场景与常见误区

在某石化装置中，LOPA确定反应釜超压需要SIL 2保护。SRS初版只写了“压力高联锁停进料”，未说明传感器投票、响应时间、复位方式和旁路管理。详细设计时，仪表专业按1oo1配置，SIL计算无法达到SIL 2，导致返工。复盘发现，问题不在计算，而在SRS没有把安全功能描述清楚。

• 误区一：把SRS写成设备清单，只列仪表位号，不写功能逻辑和安全状态。
• 误区二：SIL等级与LOPA结论不一致，或未说明结构约束。
• 误区三：响应时间只写“尽快”，未分解到传感器、逻辑器和最终元件。
• 误区四：旁路、复位、维护和证明测试要求缺失，导致运行阶段无法管理。
• 误区五：需求条目没有唯一编号，无法追溯和验证。

六、SRS 与 SIL 验证的关系

SRS是SIL验证的输入，也是验证结论的对照基准。验证工程师需要逐条检查：安全功能是否覆盖、SIL等级是否满足、结构约束是否达到、PFDavg或PFH是否在目标范围内、响应时间是否满足过程安全时间、证明测试间隔是否可执行、共因失效是否被合理评估。只有SRS足够清晰，验证才能从“算数字”上升为“证明安全功能真正可用”。

综上，SRS不是一份“写完就归档”的文档，而是贯穿SIL验证全生命周期的基准文件。编制时应以风险分析为源头，以安全功能为条目，以SIL等级和验证要求为约束，以可追溯和可验证为目标。只有把SRS做扎实，后续的SIL计算、设计审查、安装测试和运行维护才有共同的语言和统一的尺度。