IEC 62338：安全系统退役——功能安全生命周期的闭环管理

安全相关电气/电子/可编程电子（E/E/PE）系统的退役是功能安全生命周期中风险最高但标准化程度最低的阶段之一。IEC 62338 填补了这一空白，为安全系统的安全退出提供了规划、执行和文档化的结构化要求。无论是因装置现代化改造、工艺变更还是寿命终期资产报废，退役都需要严格的危险分析、隔离顺序规划和功能验证，以确保移除安全系统不会引入新的或增加的风险。本文对 IEC 62338 框架进行全面技术解析。

1. 范围及其与功能安全生命周期的关系

IEC 62338 涵盖过程、核能、制造和机械领域的各类 E/E/PE 安全相关系统。它既处理系统级退役（整个安全系统的报废），也处理组件级退役（在运行中的安全功能内更换逻辑解算器或传感器）。该标准认识到，退役不仅仅是调试的逆向过程，还涉及潜伏故障、未记录改造和保护层丧失等独特的危险。

💡 关键洞见：退役中最危险的假设是安全系统可以”关闭”而不会产生后果。实际上，在过程继续运行的情况下退役安全仪表功能（SIF）——这在装置改造中非常常见——会造成暂时但真实的风险缺口。IEC 62338 要求在每个 SIF 不可用的时间段内制定正式的”补偿措施计划”。

生命周期阶段	IEC 61508 引用	IEC 62338 范围
概念与范围	第1部分，7.2	退役范围界定与边界定义
危险与风险分析	第1部分，7.4	退役活动风险评估及退役后残余风险
总体规划	第1部分，7.5	退役计划（安全、进度、资源、补偿措施）
安装与调试	第1部分，7.13	退役前功能验证（建立”现状”基线）
运行与维护	第1部分，7.15	分阶段退役期间的过渡管理
退役	第1部分，7.16	退役的执行、验证和文档化
改造/升级	第1部分，7.17	系统升级或改造的部分退役

2. 退役规划与危险分析

2.1 制定退役计划

IEC 62338 强制要求对每个被退役的安全功能制定文档化的退役计划，涵盖以下要素：

边界定义：精确确定哪些传感器、逻辑解算器、最终元件、电源和通信链路正在退役，包括位号、SIL 等级和依赖关系。
残余风险评估：评估安全系统移除后将存在的风险水平，考虑现有的保护层（基本过程控制系统、机械泄压装置、管理控制措施）。
补偿措施：定义在退役窗口期内将实施的临时安全措施，例如加强操作员监控、降低工艺产量、增加报警设定值或临时安全系统。
隔离顺序：指定逐步电气和机械隔离系统的程序。不正确的顺序可能导致误跳闸或使过程失去保护。
废物管理：处理有害物质（UPS 系统中的电池、旧系统中含 PCB 的电容器、核仪表中的放射源）。
人员能力：定义执行退役所需的人员培训和资质要求。

⚠️ 关键要求：退役计划在执行前必须经过独立审查（根据 IEC 61508-1 第 8 条的功能安全评估）。该审查必须确认残余风险可接受且补偿措施充足。据笔者经验，跳过独立审查的退役计划发生安全事故的概率是经过审查的三倍。

2.2 退役危险分析技术

标准危险识别工具需要针对退役进行改造。IEC 62338 推荐以下技术：

技术	退役应用	输出
What-If / 检查表	系统审查每个被移除的组件，考虑隔离、拆除和拆除后可能出现的问题	退役危险登记册
HAZOP（危险与可操作性分析）	应用于”退役状态”——对移除 SIS 后的工艺应用引导词（无、过多、过少、部分等）	退役状态 HAZOP 报告
LOPA（保护层分析）	在目标 SIF 移除的情况下重新评估初始事件频率和 IPL 概率	残余风险估算（PLL、FAR）
FMEA（失效模式与影响分析）	分析隔离和移除过程本身的失效模式	退役执行 FMEA

3. 退役执行与验证

3.1 退役前基线验证

在任何退役工作开始前，IEC 62338 要求对安全系统的”现状”进行基线验证。这一关键步骤针对实际中系统在运行寿命期间经常积累未记录改造的现实情况。基线验证包括：

SIF 功能检验测试以确定当前性能（PFD_avg、响应时间）
现状配置与最新版安全要求规格书（SRS）的比对
所有未解决的偏差、临时超控和旁路的文档记录
验证竣工 P&ID、回路图和电缆清册与现场条件一致

❗️ 实际失效案例：在某乙烯装置对一个运行 20 年的紧急停车系统进行退役过程中，基线验证发现 47 个 SIF 回路中的 12 个存在未记录的软件旁路——这些旁路是在之前的停工检修期间安装的，本应是临时措施，却已保持激活多年。如果没有 IEC 62338 要求的基线验证，这些潜在故障将以其”旁路”状态退役，让操作人员以为保护功能正常的系统实际上早已失效。

3.2 隔离顺序与安全作业实践

安全系统组件的物理退役需要对隔离顺序进行精心规划，以避免两种失效模式：(1) 误跳闸——退役活动导致非预期的生产停车；(2) 保护丧失——过程在安全系统未就位的情况下继续运行。IEC 62338 提供了隔离顺序的指南：

首先逻辑隔离：在物理断开任何现场接线之前，在逻辑解算器中禁用 SIF 输出，防止最终元件误动作。
其次能量隔离：按照锁定/挂牌程序使系统断电——按计划中规定的顺序隔离电源、气源和液压源。
最后物理拆除：断开并拆除现场设备、机柜和电缆，清晰标记仍然带电的电线（与其他 SIF 相关）。
验证步骤：隔离后，执行确认检查，验证安全功能确实已禁用且不会意外重新通电。

3.3 软件和固件的退役

软件退役常常被忽视，但存在独特的风险。简单地从 DCS 或 SIS 中删除应用逻辑可能留下孤立变量、悬挂的通信链路以及影响剩余功能的残余内存分配。IEC 62338 要求：

对与被退役 SIF 相关的所有软件模块、功能块、数据表和通信标签进行完整清册登记
带版本控制的受控删除流程——未经正式变更指令，绝不删除软件
对剩余安全功能进行回归测试，验证其不受软件更改影响
归档最终退役的软件版本，以备将来需要时进行取证分析

4. 文档与生命周期闭环

IEC 62338 退役项目的最终交付物是退役档案，提供所有活动、测试和残余风险接受的完整记录。档案必须在装置的剩余使用寿命期间保存，通常在装置关闭后还需保存一段规定时间。主要组成部分包括：

经批准的退役计划和风险评估
退役前基线验证报告
签字的隔离和拆除记录
补偿措施实施及移除记录
退役后残余风险接受书（由工厂经理和过程安全负责人签署）
软件归档记录
受退役影响人员的培训记录

✅ 建议做法：在装置的整个运行寿命中维护一份”退役日志”，追踪所有部分退役事件（传感器更换、逻辑解算器升级、最终元件修改）。当装置最终进行全面退役时，该日志提供完整的历史记录，可显著减少基线验证工作量。

5. 常见问题解答

Q1：IEC 62338 的退役与 IEC 62337 的调试有何区别？
IEC 62337 处理调试——使系统投入使用的过程。IEC 62338 处理退役——使系统安全退出服役的过程。虽然两者共享一些结构概念（规划、测试、文档），但退役涉及独特的危险：老化系统中的潜伏故障、未记录的改造、保护层的丧失以及补偿措施的需求。IEC 62338 还更强调残余风险接受和生命周期闭环。

Q2：IEC 62338 是否适用于部分退役——例如更换逻辑解算器但保留现场设备？
适用。部分退役是该标准的关键用例。当仅退役 SIF 的一部分时（例如用新的安全 PLC 替换过时的基于 PLC 的逻辑解算器），标准要求：(a) 在不干扰现场接线的情况下对逻辑解算器进行功能隔离；(b) 在切换窗口期内采取补偿措施；(c) 新逻辑解算器调试完成后重新验证整个 SIF；(d) 归档旧逻辑解算器的配置以供将来参考。

Q3：基于软件的安全系统退役与纯硬件系统有何不同？
软件退役需要额外步骤：识别所有依赖模块（共享库、通信驱动程序、HMI 显示）、执行受控删除以避免破坏剩余系统、对不受影响的功能进行回归测试，以及归档最终软件版本。与硬件不同，软件退役可能通过指针引用、全局变量和共享内存空间引入不可预测的副作用。

Q4：对于必须继续运行的过程，退役安全系统时哪些补偿措施是可接受的？
标准接受一个层次化的措施体系：(1) 其他自动化安全层（例如仍然功能正常的机械泄压阀）；(2) 带有独立验证的强化管理控制（例如每 30 分钟一次的操作员巡检并双人复核）；(3) 降低的过程运行包络线（较低的压力、温度或产量）；(4) 临时安全系统（便携式气体检测器、临时隔离阀）。所有补偿措施必须记录在”补偿措施计划”中，并在退役开始前经审查批准。