6 功能安全部分

6.1 总则

芯片式传感器制造数字化车间不仅含有大量自动化机械装备，还存在大量的危险化学品、易燃易爆气体和压力容器，因此，对车间运行中的安全性要求较高。

6.1.1 目的

芯片式传感器数字化车间功能安全能够对车间中的危险和风险进行辨识，并根据辨识的结果进行评估和评价，针对不可接受的风险给出降低风险的措施和方法，保证数字化车间的运行安全性。

6.1.2 标准范围

本标准针对芯片式传感器数字化车间的基础层设备和设施，提出功能安全的具体需求。

注：本部分参考《数字化车间功能安全要求》标准。

6.1.3 标准主要内容

本标准结合功能安全的理论和方法，开展针对芯片式传感器数字化车间的风险评估和安全功能的分配，其中：风险评估包括危险的识别、风险的估计和风险的评价；安全功能的分配针对识别的危险源，结合功能安全的理论和方法，给出风险降低的措施。

6.2 功能安全的风险评估

以芯片式传感器数字化车间功能安全为基础，并考虑安全、环境和健康等方面的要求，包括危险识别和风险评估的一般方法。

6.2.1 风险评估目的

芯片式传感器数字化车间功能安全能够对车间中的危险和风险进行识别，并根据识别的结果进行评估和评价，针对不可接受的风险给出降低风险的措施和方法，满足数字化车间风险降低的要求。

6.2.2 风险评估的流程

风险评估用来识别和评价被评估设备潜在的危险，应在芯片式传感器数字化车间的建设前即启动风险评估程序，并在数字化车间重建、设备改造时重新实施。并且，对芯片式传感器数字化车间应定期予以风险评估。

注：GB/T 16856.1—2008《机械安全控制系统有关安全部件 第 1 部分：设计通则》第 4 章，对安全评估阶段进行了总结，如需了解详细内容，可查阅该标准。

图 2 显示了风险评估的基本流程。

图 2 风险评估的基本流程

6.2.3 危险识别

6.2.3.1 危险识别的内容

在芯片式传感器数字化车间，根据各制造单元的特点，结合数字化车间的制造工艺，全面识别数字化车间中的危险、危险状态、危险事件以及危险的后果。识别的内容包括：

a）识别与数字化车间中单元设备间的所有合理可预见的危险、危险状态和危险事件，以及危险的后果。

b）识别与数字化车间中人员与设备间的所有合理可预见的危险、危险状态和危险事件，以及危险的后果。

c）识别数字化车间在包括调试、运行及维护等不同运行模式下所有可合理预见的危险、危险状态和危险事件。

6.2.3.2 危险源

在芯片式传感器数字化车间中，根据工艺过程分析，可以判断出的主要危险和后果如表 1 所示。

表 1 芯片式传感器数字化车间典型危险

6.2.4 风险估计

数字化车间在进行危险识别后，应该通过风险评估准则，对每种危险事件进行风险估计。

风险评估依据的内容包括如下几个方面：

a）暴露于危险中的频率和持续时间。

b）暴露期间发生伤害的可能性。

c）暴露期间通过风险降低措施避免伤害的可能性。

风险评估的过程如下：

a）给每一个危险分配一个风险等级，可参考附表 B.1。

b）给每一个危险分配一个可能性等级，可参考附表 B.2。

c）使用风险等级-可能性矩阵识别出全部的风险，可参考附表 B.3。

6.2.5 风险评价

对于芯片式传感器数字化车间中的每个确定的危险事件，考虑现有安全措施的充分性，并确定风险是否可接受。风险评价过程如下：

a）应根据传感器制造企业自身的要求，确定其可容忍的风险。

b）将可容忍风险与风险评价结果进行比较，确定是否采用风险降低措施。

c）选择适当的风险降低措施，如基于机械、液压、气动、可编程电子等技术的风险降低措施，此部分需要配合 6.3 节进行。

6.3 功能安全的风险降低措施

6.3.1 数字化车间风险降低的要求

针对芯片式传感器数字化车间的风险评估结果，对于每一个不能容忍的危险源事件，制定数字化车间所需的安全功能，安全功能不限于：

a）E/E/PE（电气/电子/可编程电子）控制系统保护层安全功能。

b）其他降低风险的保护层安全功能。

6.3.2 数字化车间的安全功能分配

针对芯片式传感器数字化车间的潜在风险，通过安全功能的配置和添加，满足风险要求的最低水平，可以用一种或多种风险降低技术的组合来实现。

6.3.2.1 碰撞、挤压风险降低措施

在芯片式传感器数字化车间，部分工艺涉及人工操作制造设备，可能会导致机械设备对人员的碰撞、挤压风险。

6.3.2.1.1 紧急停止控制

人员操作的设备应配备急停电路，确保急停电路启动时可立即停止加工设备的操作，并停止设备的工作，系统不应自动重置或自行重新启动。

急停电路控制按钮应能使操作人员在操作时便于看见并操作。

6.3.2.1.2 安全防护

人员参与的传感器制造设备，可以通过安全防护的方式监测到人员进入危险区域，实现报警和安全互锁，其防护措施可以是：

a）安全限位装置，包括安全接近开关、光电开关、安全限位开关等。

b）安全门控装置，包括门闩、安全铰链开关等。

c）电敏式保护设备，包括安全光栅、安全光幕等。

6.3.2.1.3 安全互锁

部分传感器制造设备能够对操作人员造成伤害，应安装安全互锁装置，配合防护装置实现对危险的防护，当人员开启设备暴露于风险中时，能够关断制造设备。

6.3.2.2 危险气体的风险降低措施

在芯片式传感器数字化车间，危险气体包括有毒气体、腐蚀性气体、易燃和易爆气体，在生产过程中，气体的泄漏可能造成人员的伤害、火灾和爆炸的发生。

6.3.2.2.1 危险气体监测

芯片式传感器车间内使用危险性气体的设备可能需要连续探测，建议在设备附近设置采样点或是在设备安装手册中标出采样点的位置。如果气体供应是设备的一部分或是由设备控制时，该设备应该能接受外部监测元件发出的信号，并且能关闭气体的供应来源。

针对易燃易爆气体，应遵循：

a）对区域内易形成和积聚易燃、爆炸性气体混合物的地点设置自动测量仪器装置。

b）可燃气体的一级报警（高限）设定值小于或等于 25%LEL；可燃气体的二级报警（高高限）设定值小于或等于 50%LEL，当浓度接近爆炸下限值的 50%LEL 时，应能可靠地发出信号或切断电源。

6.3.2.2.2 排气通风

在芯片式传感器数字化车间中，强制排气可限制有毒气体、燃烧与分解产物的扩散，故能降低数字化车间火灾和中毒危险的发生。

6.3.2.2.3 安全联锁

在芯片式传感器数字化车间中，当侦测到危险气体泄漏时，会进入安全状态，同时安全联锁装置保持安全状态，直至故障排除后由人工复位。安全联锁能够保持安全状态，会关闭气源，通入惰性气体以排除危险气体，通过危险报警进行车间的危险应急响应。

6.3.2.2.4 箱体与屏障

在芯片式传感器数字化车间中，箱体或屏障可将有毒气体和易燃易爆气体与加工区、人员彼此分离，降低气体泄漏导致的人员中毒和火灾的风险。

箱体通常与箱体内的气体浓度传感器和局部排风形成安全联锁，在监测到传感器浓度过高时启动局部排风。

6.3.2.2.5 报警

芯片式传感器数字化车间通过气体监测和气体限值的设定，可实现气体浓度超标时的报警，通过危险报警进行车间的危险应急响应。

6.3.2.3 气体钢瓶泄漏的风险降低措施

6.3.2.3.1 箱体

在芯片式传感器数字化车间中，箱体可将有毒气体和易燃易爆气体与加工区、人员彼此分离，降低气体泄漏导致的人员中毒和火灾的风险。

6.3.2.3.2 钢瓶气体浓度监测

芯片式传感器车间内使用的钢瓶危险气体，应通过气体浓度传感器监测危险气体浓度，在浓度超过限值时进行安全联锁和实现报警。

6.3.2.3.3 钢瓶压力监测

芯片式传感器车间内气体钢瓶在使用过程中，应通过压力传感器监测钢瓶的压力，在压力过高或过低时进行安全联锁和实现报警。

6.3.2.3.4 排气通风

箱体通常与箱体内的气体浓度传感器和局部排风形成安全联锁，在传感器监测到浓度过高时启动局部排风。

6.3.2.3.5 报警

危险气体钢瓶柜中通过气体监测和气体限值的设定，可实现气体浓度超标时的报警，通过危险报警进行车间的危险应急响应。

6.3.2.4 窒息的风险降低措施

芯片式传感器车间内工艺过程会用到惰性气体，惰性气体的泄漏会导致空气中氧气的浓度下降，车间中人员在这种环境下会被伤害。

注：以氮气为例，氮气的浓度高于 18%就会造成人员的缺氧，对人体造成伤害，严重时可能导致人员的死亡。

6.3.2.4.1 气体浓度监测

芯片式传感器车间内使用的惰性气体，应通过气体浓度传感器监测气体浓度，在浓度超过限值时进行安全联锁和实现报警，防止气体浓度过高导致人员窒息。

6.3.2.4.2 排气通风

在芯片式传感器数字化车间中，强制排气可限制惰性气体浓度的增加，故能降低数字化车间由于惰性气体浓度过大引起的窒息发生。

6.3.2.4.3 报警

芯片式传感器数字化车间通过气体监测和浓度阈值的设定，可实现气体浓度超标时的自动报警功能，通过危险报警进行车间的危险警示。

6.3.2.5 危险化学品（液体和固体）的风险降低措施

在芯片式传感器数字化车间，危险化学品包括腐蚀性、有毒和易燃化学品（液体和固体），在生产过程中，危险化学品的使用不当可能会造成人员的伤害、火灾和爆炸的发生。

6.3.2.5.1 排气通风

针对腐蚀性、有毒和易燃化学品（液体和固体），对于易挥发的化学品，应该通过排气通风的方式，在化学品的贮存过程中将挥发的气体排出。

6.3.2.5.2 操作规程和存放原则

化学品的存放应按照 GB 15603—1995《常用化学危险品贮存条件》执行，操作规程参见企业的各加工工艺的操作规程。

注：化学品的存放应严格按照 GB 15603-1995 《常用化学危险品贮存条件》，并按照此标准制定相应的企业安全 储运及安全操作原则。

6.3.2.6 工艺液体加热系统

工艺液体加热系统可能会由于温度控制不当造成产品质量下降，也有可能会由于温度过高或过低造成人员伤害，通过以下措施能够降低上述风险的发生。

6.3.2.6.1 安全联锁

安全联锁系统与工艺控制用的传感器及相关电路和线圈应分开，但如果安全联锁是失效安全的，安全联锁装置只作为工艺控制失效时的备份功能，则可使用共同的零件。 而不是实际上的工艺控制器。

6.3.2.6.2 温度监测

液体过温安全保护用于预防工艺液体达到液体转变为产生潜在危险状态的温度（例如达到沸点、自燃温度或易燃物裂解温度）。

a）联锁装置

液体过温安全保护可以使用独立的安全联锁装置，或者使用经合格测试实验室认证的工艺温度控制器，这种工艺温度控制器同时用于过温保护。

b）液体过温设定点

液体过温设定点由被加热化学品及与液体接触的结构材质的特性决定。通常液体过温设定点的设定可能与安全考察的温度同高。液体最高过温设定温度应使用表 2 做选择。可燃性液体过温设定温度可略高于液体燃点减 10℃，但此时这种液体将被视为易燃性液体。

表 2 过温联锁装置最高设定温度的选择

c）液体过温传感器

应安装液体过温传感器以精确地监测液体最高温度。

6.3.2.6.3 液位监测

用于防止因失去液体的热吸收能力而造成的失效。应设置低液位安全联锁，用来确认有足够工艺液体量来维持吸收热能。应考察加热液体物理特性、传感器所处环境状态，以及传感器失效模式来选择适合的传感器。

6.3.2.6.4 压力监测

通过压力传感器监测加热容器的压力值，来预防容器因压力或蒸汽产生量过大而破裂。

6.3.2.7 排气通风系统

芯片式传感器数字化车间排气通风设备要定期检测，取样位置应能代表最差状况、实际呼吸区（须排气通风以保护人员的区域），以及潜在火源的位置（须排气通风以降低火灾风险的区域）。

6.3.2.7.1 排气通风的设置

芯片式传感器数字化车间洁净室排气通风应符合下列要求：

a）车间内产生粉尘和有害气体的工艺设备，应设置局部排风。

b）以下情况，局部排风系统应单独设置：

1）排风介质混合后能产生或加剧腐蚀性、毒性、燃烧爆炸危险性和发生交叉污染。

2）排风介质中含有毒性气体。

3）排风介质中含有易燃、易爆气体。

6.3.2.7.2 排气通风的监测

芯片式传感器数字化车间排气通风监测设备，应能监测出排气通风功能完全丧失或降至标准以下；监测出排气通风功能受损后，设备应能自动进入应急安全状态。

6.3.2.7.3 报警

芯片式传感器数字化车间排气通风检测设备，在监测排气通风功能有丧失或不足时，应提供现场声音或视频报警，并能够将报警信号提供给中控系统。

6.3.2.8 洁净室安全要求

6.3.2.8.1 洁净室温度和湿度监测

通过传感器和仪表监测洁净室的温度和湿度，芯片式传感器数字化车间洁净室应满足如表 3 所示的温度和湿度要求。

表 3 洁净室温度和湿度范围

6.3.2.8.2 洁净室流量的要求

在芯片式传感器数字化车间中，应根据空气洁净度等级的不同要求，选用不同的气流流型。为保证空气洁净度等级的送风量，应按表 4 所列有关数据进行计算。

表 4 气流流型和送风量

6.3.2.8.3 洁净室压差控制

芯片式传感器数字化车间中，洁净室与周围的空间必须维持一定的压差，并按照工艺要求决定维持正压差或负压差。

不同等级的洁净室之间的压差不宜小于 5Pa，洁净室与室内非洁净区之间的压差不小于 5Pa，洁净室与室外的压差不应小于 10Pa。

6.3.2.8.4 报警

芯片式传感器数字化车间洁净室的监测设备，在监测温度、湿度、通风流量和静压差不满足要求时，应提供现场声音或视频报警，通过危险报警进行车间的危险警示。

6.3.2.9 预防触电

对于芯片式传感器数字化车间各用电设备的防止触电危险的安全措施， 5226.1—2008 中的第 6 GB章给出了具体的方法，防止触电的安全措施的实施可参见该标准。