天然气是易燃易爆气体,保障低压机系统及储备站的安全是低压机计算机控制系统设计时需要考虑的第一要素。为了增强传统SCADA(Supervisory Control And Data Acquisition,数据采集与监视控制系统)系统的安全性,通过引入功能安全分析和风险控制的理念,提出一种具有功能安全的天然气低压机SCADA系统。依据低压机的工艺要求和工艺分析需求,在设计了控制系统与安全相关系统相统一的SCADA系统架构基础上,重点描述了控制系统硬件设计、控制软件设计以及监控软件设计。SCADA系统采用Rockwell PLC作为控制站,实现对天然气储配站低压机的远程控制,完成对过程数据的采集,通过组态监控站实现对工艺参数和风险因素的实时显示和报警。基于功能安全的SCADA系统提高了储配站安全性、降低了设备风险,其在文星湾(重庆市北碚区)天然气储配站SCADA控制系统改造工程中的成功应用,证明了风险分析和功能安全对于提高储配站安全保障的可行性。

关于功能安全操作系统的详细解析，有助于功能安全系统的开发。

3.2 一取一带诊断表决逻辑1oo1D 该结构由一个普通通道和一个诊断通道构成。 如图4所示。 图4 1oo1D表决结构图 可靠性框图如图5所示。 注： λDU为未检测到的危险失效率（下同） 图5 1oo1D可靠性框图 假定不考虑诊断测试间隔的影响（以下同）， 其要求时平均失效率PFDavg简化计算公式为： 可见由于带有诊断通路，不但系统的可靠性得 以提高，而且能通过自诊断检测出发生故障的元件， 向系统或操作员报警，通知工厂相关人员及时对故障 元件进行维修，保障系统的整体安全。 3.3 二取一表决逻辑1oo2 据标准GB/T20438，1oo2结构为两个并联的通道 构成，无论哪一个通道都能处理安全功能。如图6所 示。 可靠性框图如图7所示。 考虑共同原因失效影响，引入共因失效因子β （分析计算方法参见标准GB/T20438.6），其要求时 平均失效率PFDavg为： 若检验测试时间间隔足够短，那么非共因失效 部分 的数量级将远小于 共因部分 ，上式可近似为： 若两通道采用相同的结构，即λD1=λD2=λD，则 可见由于系统采取了冗余结构（二取一结 构），能有效地抵御危险失效的发生。由于采用的是 失电停车，通过将两个PLC单元串联起来，如果一个 单元故障发生了危险失效，但由于系统或操作人员不 知道，它将仍有假性正常输出，而另一个单元仍然可 以检测到故障，发出命令使系统进入安全状态，起到 保护作用。从公式可以看出，此时共同原因失效成为 系统发生失效的关键因素，在实际设计过程中应尽量 避免。总的来说系统安全性较好，但可用性差。 3.4 二取一带诊断表决逻辑1oo2D 1oo2D结构中有4个通道，其中包括两个诊断电 路通道。1oo2D结构由双重1oo1D系统并联接线，每 个诊断电路通道，不仅受到自身所在电路单元的控 制，同时也受到另外一个冗余电路单元的控制。正常 工作期间，在发生安全功能之前，两个通道都要求安 全功能。如果任一通道中诊断测试检测到一个故障， 则将采用输出表决，因此整个输出状态则按照另一通 道给出的输出状态。如果诊断测试在两个通道同时检 测到故障、或者检测到两个通道间存在差异时，输出 （2） （1） 图6 1oo2表决结构图 注：λCC为共因失效部分（下同） 图7 1oo2可靠性框图 （3）

ISO26262-2018 全套标准，PART1~12

ISO26262-2018-12 英文文字原版非扫描版

汽车行业权威标准，ISO26262 是IEC61508 对E/E 系统在道路车辆方面的功能安全要求的具体应用。它适用于所有提供安全相关功能的电力、电子和软件元素等组成的安全相关系统在整个生命周期内的所有活动。

系统介绍汽车行业ISO 26262开发过程中硬件电路失效率计算过程。

发文者拥有德国TüV机构所颁布之ISO 26262 功能安全认证，保证发布内容对有兴趣参与考试并计划取得认证者有效。只要规划时间，将内文熟读必能通过1-2级安全功能认证考试。 #ISO26262 考证看这篇就够了!

功能安全26262文档

了解自动驾驶场景的采集及评价指标，