3. SIL等级与风险
SIL验证工作的起点不是计算PFDavg，而是回答一个更根本的问题：这个安全功能到底需要多可靠？如果目标SIL定得过高，会造成过度设计和投资浪费；定得过低，则残余风险不可接受。因此，SIL等级确定必须建立在系统的风险分析基础之上，通过风险矩阵将后果严重度与暴露频率转化为风险等级，再依据风险降低要求推导出所需的安全完整性等级。
一、风险分析基础：风险的两个维度
在功能安全领域，风险被定义为伤害发生的概率与该伤害严重程度的组合。它不是一个单值，而是由两个独立维度共同决定：
- 后果严重度（Severity, S）：事故一旦发生，可能造成的人员伤亡、环境影响或财产损失程度。通常分为S1（轻微）、S2（严重）、S3（灾难性）、S4（特别灾难性）等级别。
- 暴露频率与持续时间（Frequency/Duration, F）：人员处于危险区域的时间比例，或危险事件发生的频繁程度。分为F1（较少暴露）和F2（频繁暴露）。
- 避免可能性（Possibility of Avoidance, P）：危险出现时，人员或系统能否及时规避。分为P1（有可能避免）和P2（几乎不可能避免）。
- 发生概率（Probability of Occurrence, W）：危险事件本身发生的可能性，分为W1、W2、W3等级别。
这四个参数构成了风险图法（Risk Graph）的基础。风险分析的本质，就是通过工程判断和现场数据，为每个安全功能确定这四个参数的取值，从而量化其风险水平。
二、风险矩阵：从定性到半定量的桥梁
风险矩阵是将后果严重度与发生频率进行二维交叉，形成风险等级网格的工具。它是连接风险分析与SIL定级的核心桥梁。典型的5×5风险矩阵如下表所示：
| 严重度 \ 频率 | 极少发生 | 偶尔发生 | 可能发生 | 经常发生 | 频繁发生 |
|---|---|---|---|---|---|
| 灾难性 | 中风险 | 高风险 | 极高风险 | 极高风险 | 不可接受 |
| 严重 | 低风险 | 中风险 | 高风险 | 极高风险 | 极高风险 |
| 中等 | 可忽略 | 低风险 | 中风险 | 高风险 | 高风险 |
| 轻微 | 可忽略 | 可忽略 | 低风险 | 中风险 | 中风险 |
矩阵中的每个格子对应一个风险等级，而每个风险等级又对应一个可容忍风险目标。当实际风险高于可容忍目标时，就需要通过安全功能进行风险降低。
三、风险降低要求与SIL等级的映射关系
风险降低的核心逻辑是：所需风险降低 = 实际风险 / 可容忍风险。这个比值决定了安全功能需要达到的完整性等级。IEC 61508将风险降低因子（RRF）与SIL等级建立了对应关系：
- SIL 1：RRF 10～100，PFDavg 10⁻¹～10⁻²，适用于轻微至中等后果场景。
- SIL 2：RRF 100～1000，PFDavg 10⁻²～10⁻³，适用于严重后果场景。
- SIL 3：RRF 1000～10000，PFDavg 10⁻³～10⁻⁴，适用于灾难性后果场景。
- SIL 4：RRF 10000～100000，PFDavg 10⁻⁴～10⁻⁵，适用于特别灾难性后果场景，工程实践中极少使用。
关键理解：SIL等级不是“越高越好”，而是“刚好够用”。SIL 3的安全功能如果被错误地定为SIL 4，会导致验证成本急剧上升，而实际风险降低收益却微乎其微。SIL定级的核心原则是风险匹配——让安全功能的完整性等级与它需要覆盖的风险降低量精确对应。
四、SIL等级划分原则与目标失效量
SIL等级划分遵循三条基本原则：
- 独立于风险降低措施：SIL等级只针对电气/电子/可编程电子（E/E/PE）安全相关系统，不包含其他风险降低措施（如机械防护、行政管控）。
- 基于安全功能而非设备：SIL等级分配给具体的安全功能，而不是某个设备或某个回路。同一设备可能承担多个不同SIL等级的安全功能。
- 考虑共因失效：当多个安全功能共享同一组件时，必须评估共因失效对整体风险降低能力的影响。
目标失效量是SIL等级的核心量化指标，分为两种运行模式：
低要求模式（Low Demand Mode）：
PFDavg = 平均失效概率
SIL 1: 10⁻¹ ~ 10⁻²
SIL 2: 10⁻² ~ 10⁻³
SIL 3: 10⁻³ ~ 10⁻⁴
SIL 4: 10⁻⁴ ~ 10⁻⁵
高要求模式（High Demand Mode）：
PFH = 每小时失效概率
SIL 1: 10⁻⁵ ~ 10⁻⁶ /h
SIL 2: 10⁻⁶ ~ 10⁻⁷ /h
SIL 3: 10⁻⁷ ~ 10⁻⁸ /h
SIL 4: 10⁻⁸ ~ 10⁻⁹ /h低要求模式适用于安全功能每年动作次数不超过一次的场景（如紧急停车系统），高要求模式适用于频繁动作或连续运行的安全功能（如燃烧器管理系统）。验证工程师必须首先明确安全功能的运行模式，才能选择正确的目标失效量指标。
工程提示：在SIL验证中，PFDavg和PFH不能混用。如果安全功能被错误地归类为低要求模式，而实际动作频率很高，验证结果将严重偏离真实风险。运行模式的判定应基于安全功能的需求率，而非主观感觉。
五、案例场景：反应釜超压保护SIL定级
某化工反应釜存在超压爆炸风险，后果严重度为S3（灾难性），人员暴露频率为F2（频繁），避免可能性为P2（几乎不可能避免），危险事件发生概率为W2（偶尔发生）。通过风险图法分析：
- 风险等级判定为高风险，可容忍风险目标要求风险降低因子至少为1000。
- 对应SIL等级为SIL 3，目标PFDavg范围为10⁻³～10⁻⁴。
- 该安全功能为“反应釜超压联锁停车”，运行模式为低要求模式。
验证工程师需要针对该SIL 3功能，计算传感器、逻辑控制器、执行元件的PFDavg，并考虑共因失效、诊断覆盖率、 proof test interval等参数，最终确认整体PFDavg是否满足10⁻³～10⁻⁴的目标区间。
六、常见误区与复盘
误区一：用设备SIL代替功能SIL。某阀门标称SIL 3，不代表它在所有安全功能中都能达到SIL 3。实际达到的SIL取决于它在具体回路中的配置、诊断和测试策略。
误区二：忽略运行模式。将高要求模式的安全功能按低要求模式验证，会导致PFDavg计算严重偏大，误判为不满足要求。
误区三：SIL定级后不再复核。当工艺条件、人员暴露频率或危险事件概率发生变化时，必须重新进行风险分析，SIL等级可能随之调整。
风险分析、风险矩阵、风险降低要求与SIL等级划分，构成了SIL验证的“目标设定”阶段。只有目标设定准确，后续的PFDavg计算、结构约束评估和验证报告才有意义。验证工程师必须理解：SIL验证不是证明系统有多安全，而是证明系统达到了它应该达到的安全水平。