2. 功能安全基础
在SIL验证工程中，所有计算、审查与判定都建立在功能安全的基础概念之上。如果对“安全功能”“安全状态”“安全完整性”等术语理解不一致，后续的SIL定级、验证与整改就会失去共同语言。本节从基本概念出发，串联安全生命周期、SIL定义与标准体系，为后续的验证方法打下概念地基。
一、核心概念：从风险到安全功能
功能安全的核心目标，是把受控设备（EUC）的风险降低到可接受水平。工业过程中，风险通常由危险事件的发生频率与后果严重程度共同决定。当工艺过程本身无法消除风险时，就需要引入安全相关系统（SRS），通过执行安全功能使过程进入安全状态。
- 安全功能（Safety Function）：为达到或保持EUC安全状态而由安全相关系统执行的功能，例如“当反应器压力超过设定值时，在3秒内关闭进料阀”。
- 安全状态（Safe State）：EUC处于风险可接受的状态，如停车、切断、泄压、联锁保持等。
- 安全完整性（Safety Integrity）：安全相关系统在规定时间内、规定条件下成功执行所需安全功能的概率度量。
- 安全相关系统（SRS）：由传感器、逻辑控制器、执行元件组成的完整回路，也称安全仪表系统（SIS）。
- 功能安全（Functional Safety）：与EUC和EUC控制系统有关的整体安全的一部分，取决于安全相关系统和其他风险降低措施的正确功能。
二、安全生命周期：从概念到退役的闭环
IEC 61508与IEC 61511均以安全生命周期作为组织功能安全活动的框架。安全生命周期不是一次性流程，而是贯穿概念、设计、实施、运行、维护直至退役的闭环。SIL验证正是其中“SIL验证”阶段的关键活动，其输入来自SIL定级，输出则反馈到设计整改与运行维护。
安全生命周期的主要阶段包括：
- 概念与范围定义：确定EUC、边界、工艺条件与风险接受准则。
- 危险与风险分析：通过HAZOP、LOPA等方法识别危险事件，确定风险降低需求。
- 安全需求分配：将风险降低需求分配给安全功能，并确定SIL等级。
- SIL定级：为每个安全功能确定目标SIL，形成安全需求规格书（SRS）。
- 设计与工程：选择架构、设备、诊断与冗余方案，完成硬件与软件设计。
- SIL验证：计算PFDavg、PFH、结构约束与系统能力，确认是否满足目标SIL。
- 安装、调试与确认：验证实际安装与设计一致，完成功能测试。
- 运行、维护与变更管理：执行定期测试、维护、旁路管理、变更评估。
- 退役：确保退役过程不引入新的风险。
安全生命周期的价值在于：每个阶段都有明确的输入、输出与验证活动，避免“设计时满足、运行时失效”的脱节。SIL验证不是孤立计算，而是生命周期中承上启下的验证节点。
三、SIL定义：四个等级与两类运行模式
SIL（Safety Integrity Level，安全完整性等级）是对安全功能安全完整性的离散分级，共分为SIL 1至SIL 4，SIL 4为最高等级。SIL等级越高，要求安全功能失效的概率越低，对结构约束、诊断覆盖率、共因失效控制的要求也越严格。
IEC 61508按运行模式将安全功能分为两类：
- 低要求模式（Low Demand Mode）：安全功能每年被要求执行的次数不超过1次，用PFDavg（平均要求时失效概率）衡量。
- 高要求模式或连续模式（High Demand / Continuous Mode）：安全功能频繁或连续执行，用PFH（每小时失效概率）衡量。
| SIL等级 | 低要求模式 PFDavg | 高要求/连续模式 PFH（1/h） | 典型风险降低因子 |
|---|---|---|---|
| SIL 4 | ≥10⁻⁵ 且 <10⁻⁴ | ≥10⁻⁹ 且 <10⁻⁸ | 10000 ~ 100000 |
| SIL 3 | ≥10⁻⁴ 且 <10⁻³ | ≥10⁻⁸ 且 <10⁻⁷ | 1000 ~ 10000 |
| SIL 2 | ≥10⁻³ 且 <10⁻² | ≥10⁻⁷ 且 <10⁻⁶ | 100 ~ 1000 |
| SIL 1 | ≥10⁻² 且 <10⁻¹ | ≥10⁻⁶ 且 <10⁻⁵ | 10 ~ 100 |
四、标准体系：IEC 61508与IEC 61511的关系
功能安全标准体系以IEC 61508为基础标准，IEC 61511为过程工业领域标准。两者关系可以理解为“通用要求”与“行业落地”的关系。
- IEC 61508：功能安全基础标准，覆盖电气/电子/可编程电子安全相关系统的全生命周期，定义SIL、PFDavg、PFH、结构约束、系统能力等通用要求。
- IEC 61511：过程工业领域安全仪表系统标准，面向化工、石化、油气等行业，规定SIS的定级、设计、安装、调试、运行、维护与变更管理要求。
- IEC 61511-1：框架、定义、系统、硬件和软件要求。
- IEC 61511-2：IEC 61511-1的应用指南。
- IEC 61511-3：确定所需安全完整性等级的指南。
在国内，对应标准为GB/T 20438系列（等同采用IEC 61508）与GB/T 21109系列（等同采用IEC 61511）。工程实践中，SIL验证通常以IEC 61511为直接依据，同时引用IEC 61508的通用技术方法。
五、案例与误区：从一次SIL验证争议说起
某石化装置的反应器进料切断联锁，SIL定级结果为SIL 2。设计采用1oo1压力变送器、1oo1逻辑控制器、1oo1切断阀。SIL验证时发现：虽然PFDavg计算值勉强满足SIL 2，但结构约束要求SIL 2在SFF处于60%~90%时至少HFT=1，而该回路HFT=0，因此不能判定为SIL 2。最终通过增加一台压力变送器构成1oo2检测架构，并提高诊断覆盖率，才通过验证。