随着油气管道行业逐步推行区域化、无人站管理模式，输油气站场逐步从有人值守、就地操作向无人值守、远程监控的模式转变^[1-3]。站场人员的生产运行管理职责逐步向调控中心上移，站场逐步趋于无人化，减少了现场人员对于异常或突发事件的干预。然而，一旦输油气站场工艺系统发生紧急事件/事故需要安全仪表系统（Safety Instrumented System, SIS）动作时， SIS需要正确执行其安全功能，这对SIS的可靠性、可用性提出了更高的要求^[4-5]。但在役运行的SIS由于受环境、应力等影响不可避免会出现老化、性能下降、失效等情况，导致其产生误动甚至拒动，严重时甚至直接导致故障。SIS检验测试可发现无法被故障诊断功能监测到的危险故障模式，是验证SIS中每个安全仪表功能回路（Safety Instrumentd Function, SIF）在运行期间能否维持设计要求的安全完整性等级（Safety Integrity Level, SIL）的重要手段。

目前，国家、行业及相关企业均要求建立SIS检验测试程序，定期开展SIS功能安全测试^[6-7]。国家应急管理部发布的安监总管三〔2014〕116号文中提出：“按照符合安全完整性要求的检验测试周期，对安全仪表功能进行定期全面检验测试，并详细记录测试过程和结果。”GB/T 50770—2013《石油化工安全仪表系统设计规范要求》中提出：“SIS的运行维护功能测试间隔应按SIS技术要求确定，按测试程序进行功能测试。建立检验测试程序，并按照SIS安全技术要求的检验测试间隔进行功能测试，做好记录。”GB/T 42834—2023《油气管道安全仪表系统的功能安全运行维护要求》中提到：“SIS应定期开展检验测试工作，检验测试频率应确保危险失效概率的计算结果持续满足SIL要求。”国家管网集团制度文件《国家管网集团仪表自动化管理规定》中提到：“安全仪表系统应与油气储运设施同步建设、同步投用，并定期进行功能安全测试。”国外从理论与实践两方面对SIS检验测试开展研究。ISA-TR84.00.03-2012《安全仪表系统的机械完整性》明确规定了SIS检验测试的测试计划与执行要求。国际过程工业自动化用户协会定义了常见仪器仪表设备的检验测试覆盖率。第三方机构Exida提供了检验测试间隔、检验测试覆盖率以及SIS危险失效概率之间的量化评估关系。部分国外SIS供应商还将检验测试纳入SIS全生命周期功能安全管理解决方案中，如横河电机的可持续SIS解决方案、霍尼韦尔的过程安全软件包以及希马的智能安全管家等。中国对于SIS检验测试研究正处于探索阶段，目前已完成国际标准IEC 61511-2016《功能安全 过程工业部门的安全仪表系统》、IEC 61508-2010《电气电子系统的功能安全》向国家标准GB/T 20438—2017《电气/电子/可编程电子安全相关系统的功能安全》、GB/T 21109—2022《过程工业领域安全仪表系统的功能安全》的转换，并发布了GB/T 42834—2023《油气管道安全仪表系统的功能安全运行维护规范》，该规范提出了针对SIS执行检验测试的整体要求。然而，在SIS检验测试的具体执行方法方面，尚缺乏系统的、可操作性的指导性文件。同时，中国的功能安全理念发展起步较晚，目前SIS检验测试仍参考SCADA系统的功能测试方案。因此，现阶段SIS的检验测试存在针对性不强、故障覆盖率不足、风险难以有效评估等问题。在SIS的长期运行过程中，其安全完整性能否与设计一致尚无法保障。基于此，结合国内外SIS检验测试理论与实践经验，提出一种油气管道SIS检验测试方法，明确SIS检验测试的要求、内容及方法，以期更好地发挥功能安全技术在油气管道站场安全保障中的重要作用。

SIS检验测试是指通过触发安全动作条件从而引起SIS报警或导向安全状态，以此来验证SIS的安全保护机制是否有效。检验测试的目的是检测无法通过SIS在线故障诊断功能检测到的危险失效，这些危险失效往往是导致SIS误动或拒动的主要原因^[8-9]。定期进行检验测试可周期性降低随着SIS运行而不断累积的风险，并确保SIS在服役生命周期内具备安全完整性能力。随着SIS服役运行时间不断延长，SIS的危险失效概率会增大，SIL（Safety Integrity Level）等级可能会降级（图1），因此需合理、有效开展周期性SIS检验测试，使得SIL等级满足设计要求。

图1 SIS执行周期性检验测的试危险失效概率随服役时间的变化曲线Fig. 1 Variation curve of dangerous failure probability with service time through periodic SIS inspection and testing

通过SIS检验测试可发现SIS中存在的各类影响安全功能的风险项，将其归为以下3类：

1）SIS潜在的硬件故障。如信号通道、中央处理器、晶振、电源芯片等核心器件由于随机失效导致电路故障使其安全功能无法正确执行；由于高强度的环境应力导致器件老化、性能衰退导致安全功能响应慢等问题。

2）SIS错误配置与操作问题。如工艺联锁触发点的配置与设计图纸要求不一致，存在无法安全联锁的风险；I/O卡故障检测阈值或故障安全值与工艺要求不匹配，存在误停车的风险；机柜未按照设计要求良好接地，当总线上的干扰信号来时可能导致SIS意外动作；阀门等关键仪表运行时为就地模式，导致联锁动作来时无法执行停车的问题。

3）SIS运行过程中存在的管理问题。工艺回路结构或应用程序逻辑的变更未进行风险评估与完整的功能测试；仪表设备的变更未重新进行联锁回路的二次SIL验算；上下位机版本存在兼容性问题，缺乏版本管理；联锁回路未按照安全系统的管理规范定期开展检验测试,导致实际SIL等级降低等。

检验测试结果可用于评估各组件的检验测试覆盖率，从而为评价SIS运行阶段的安全完整性提供数据支撑。其中，检验测试覆盖率是指不可检测的危险失效在检验测试中被覆盖的概率，是一个组件与测试用例的函数。假设在所有已识别的检验测试内容中，每一风险项所造成的危险影响是等同的，即可认为每一条测试用例占整体权重的比例是相同的，则检验测试覆盖率的计算式可简化为：

式中：P_TC为检验测试覆盖率；m为检验测试已覆盖危险失效的用例数量；n为检验测试未覆盖危险失效的用例数量。

检验测试覆盖率与检验测试间隔作为检验测试的核心结果将呈现在检验测试报告中，从而对联锁回路的安全完整性进行数值验证。通常根据SRS的安全完整性水平要求，检验测试计划会提供一个检验测试覆盖率的预期值。若测试覆盖率实际值低于预期值，一方面需针对检验测试中发现的不符合项进行专项解决，如维修或更换故障的组件，重新设计工艺回路的执行逻辑等；另一方面也可通过制定操作规程与人员安全培训对风险场景进行控制，从而消除SIS中存在的安全隐患，防止在要求动作时SIS的全保护功能无法生效。

检验测试结果应用于验证联锁回路在运行过程中的实际安全完整性水平，以确认SIS始终符合SRS的安全设计要求。将实际检验测试间隔、检验测试覆盖率等数据导入SIS的SIL验算模型^[15-18]，SIL验算模型公式如下：

式中：P_FDa为SIS的危险失效平均概率；λ为SIS不可检测的危险失效概率；T_T为检验测试间隔，a；T_M为SIS服役时间，a。

以安全控制系统中一个典型的检验测试过程为例，通过对SIS的设计输入资料进行FMEA分析后，识别到其运行过程中残余的风险项包括10项（表3）。SCADA功能测试与完整的检验测试所能覆盖的风险项不同，SCADA功能测试无法完全覆盖对SIS风险项的验证。根据式（1）对检验测试覆盖率简化评估可知，对于该SIS的SCADA功能测试覆盖率为50％，完整检验测试覆盖率为100％。

表3 SCADA功能测试与完整的检验测试覆盖项对比表Table 3 Comparison of inspection and testing coverage between SCADA functions and integrity

假设SRS要求针对SIS的检验测试间隔为3年，则在该SIS整个20年的服役周期中，SCADA功能测试与完整检验测试对于SIS的残余危险概率区别如下（图2）。完整检验测试可覆盖SIS中所有残余的危险失效，按照检验测试间隔开展测试可使系统周期性恢复至“如新”状态，保证其在服役时间内始终满足要求的安全完整性水平。但SCADA功能测试并未对安全控制系统的残余风险进行完整的测试验证，导致残余的危险失效随SIS运行不断累积，降低SIS的安全完整性能力。因此，仅靠SCADA的功能测试无法保证SIS在运行期间的安全完整性能力，周期性开展针对性的检验测试对于SIS的运行尤为重要。

图2 某SCADA功能测试与完整检验测试的危险失效概率随运行时间的变化曲线Fig. 2 Variation curves of dangerous failure probability in functions and integrity of a SCADA with running time

此外，在部分SIS检验测试实施过程中，受各种客观因素（如测试周期短、测试效率低、测试设备不齐全、故障隐患未及时解决等）影响，实际SIS检验测试覆盖率无法按照预期达到100％，还需动态调整检验测试策略，并通过二次数值验证来确认新策略下检验测试结果能够满足SIS安全完整性要求。

假设某SIS的残余危险失效概率为5×10^-8 FIT （1×10⁹ h内出现一次故障为1 FIT），实际检验测试覆盖率为60％。按照每5年开展一次检验测试，SIS服役时间为20年，代入式（2）SIL验算公式可知该SIS最终的危险失效概率为2.41×10^-3，按照IEC 61508-2010的SIL等级划分处于SIL2级。为使SIS在服役周期内始终维持在SIL3水平，可通过以下策略对检验测试结果进行优化：①缩短检验测试间隔，由原本的5年调整至3年。②使用检验测试专业工具实现对指定故障模式的测试覆盖，或通过制定设备管理制度及人员安全培训对潜在的故障隐患进行控制与避免，从而使实际的检验测试覆盖率提升至95％。此时代入式（2），可知该SIS最终的危险失效概率为8.43×10^-4，即SIL等级处于SIL3级。

目前，国际标准、国家标准、行业标准及相关企业均对SIS定期开展功能安全测试工作提出了明确的要求，但受限于功能安全技术在中国起步发展较晚，SIS检验测试相关经验较少，严重制约了油气站场SIS运行维护能力的提升。鉴于此，通过梳理国内外SIS相关标准规范并结合现场工程实践，提出油气管道行业安全仪表系统检验测试方法。

1）明确油气管道SIS检验测试的风险识别的输入文件、测试内容。油气管道行业的SRS相关要求通常分散在各管理文件中，为确保SIS检验测试能够覆盖SIS的技术要求，需要将与SIS安全功能相关的文件作为主要输入源。采用故障模式与影响分析方法，明确不同检验测试方法对仪表、安全控制系统及阀门等危险失效模式的故障覆盖率分析评价。

2）提出基于检验测试故障覆盖率的安全完整性等级验证方法。基于SIS检验测试结果，采用简化的检验测试故障覆盖率计算方法，可有效验证评估SIS在生产运行阶段的安全完整性等级，避免常规SIL评估过程中依赖站场设计数据，评估结果无法衡量站场SIS实际情况的现状。

3）建立油气管道安全仪表系统检验测试技术体系。建立包含站场信息采集、危险失效模式识别、检验测试故障覆盖率评价、现场测试、失效概率计算及安全完整性等级验证等内容的SIS检验测试技术体系，其能够有效指导油气管道行业及其他行业开展SIS检验测试工作。

4）目前，国家应急管理部已明确要求石油、石化等行业进行HAZOP（Hazard and Operability）分析、LOPA（Layer of Protection Analysis）、SIL验证等风险管控技术的应用，以提高企业风险管控能力。随着国家对安全管控要求的不断提升以及功能安全技术在石油、石化行业的深入实施，未来SIS检验测试、安全完整性等级验证必将成为油气管道管控的重要抓手，进一步提升管道企业的风险管控能力。