3. 安全仪表功能（SIF）定义与SIL定级
SIF（Safety Instrumented Function，安全仪表功能）是SIS（安全仪表系统）真正执行安全保护动作的最小功能单元。它不是指某个仪表、某个卡件或某段程序，而是“检测—判断—执行”这一整条安全保护回路的整体能力。例如“当反应器压力高于2.5 MPa时，在3 s内关闭进料切断阀XV-101”，这就是一个完整的SIF：它包含压力变送器PT-101的检测、SIS逻辑控制器的比较判断、以及切断阀XV-101的执行动作。理解SIF的关键在于：安全保护是“功能”而非“设备”，任何一个环节失效，整个SIF就失效。
一个SIF通常由三部分组成：传感器子系统、逻辑子系统、最终执行元件子系统。传感器负责采集工艺参数，逻辑控制器按安全逻辑进行判断，最终执行元件完成切断、泄放、停车等动作。SIF的完整性由SIL（Safety Integrity Level，安全完整性等级）来度量，SIL等级越高，要求SIF在要求时失效的概率越低。SIL分为SIL 1至SIL 4四个等级，其中SIL 4在过程工业中极少使用，通常SIL 2和SIL 3是PCS 7 SIS集成中最常见的定级目标。
SIL 1：≥10⁻² 且 <10⁻¹
SIL 2：≥10⁻³ 且 <10⁻²
SIL 3：≥10⁻⁴ 且 <10⁻³
SIL 4：≥10⁻⁵ 且 <10⁻⁴
SIL定级的本质，是回答“这个安全功能到底需要多可靠”。定级方法主要有两类：一类是定量的LOPA（Layer of Protection Analysis，保护层分析），另一类是半定量的风险图法。LOPA通过分析初始事件频率、独立保护层（IPL）的失效概率，计算剩余风险是否可接受，从而确定SIF所需的SIL等级。风险图法则通过“后果严重程度、暴露频率、避免可能性”等参数，在风险图矩阵中查得所需SIL等级，适合在信息不完整时快速定级。
下面通过一个实战案例说明LOPA定级过程。某反应器存在超压爆炸风险，初始事件为冷却水供应中断，根据历史数据其发生频率为0.1次/年。现有保护层包括：基本过程控制系统（BPCS）压力控制回路，PFD为0.1；操作员响应，PFD为0.1；安全阀，PFD为0.01。可接受风险目标为1×10⁻⁵次/年。计算剩余风险：0.1 × 0.1 × 0.1 × 0.01 = 1×10⁻⁵次/年，恰好达到可接受目标。但若考虑安全阀可能因堵塞失效，或BPCS与SIS共用传感器导致共因失效，则剩余风险会升高，此时需要增加一个SIF作为独立保护层。假设要求SIF将风险再降低100倍，则SIF的PFDavg需≤1×10⁻²，对应SIL 1；若要求降低1000倍，则需SIL 2。
在PCS 7中实现SIF时，需要将定级结果映射到具体的硬件和软件配置。例如SIL 2的SIF通常要求传感器和最终执行元件具有冗余或诊断能力，逻辑控制器需满足相应安全认证。PCS 7的SIS集成方案中，安全逻辑通常运行在故障安全型控制器中，通过安全通信协议与PCS 7操作层交换数据。定级不是一次性的工作，当工艺条件、设备变更或保护层调整时，必须重新评估SIL等级，确保安全完整性始终满足要求。
总结来说，SIF定义明确了“保护什么、怎么保护、保护到什么程度”，SIL定级则给出了量化的可靠性目标。LOPA和风险图法是两种互补的定级工具，实际工程中应根据数据完整性和风险复杂度选择。定级结果直接决定SIS的架构、冗余配置和测试策略，是PCS 7过程安全联锁与SIS集成中承上启下的关键环节。