2. 功能安全基础
在SIS安全PLC的组态与测试工程中，功能安全不是一句口号，而是一套可量化、可验证、可追溯的工程方法。它的核心目标是：当工艺过程出现危险偏差时，安全仪表系统能够按预定动作把风险降低到可接受水平。要理解这一点，必须先掌握功能安全的基本概念、安全生命周期、SIL等级、PFD/PFH、风险降低以及IEC 61508与IEC 61511标准体系之间的关系。
一、功能安全的核心概念
功能安全（Functional Safety）是指通过自动保护系统（如SIS）执行安全功能，使被控设备或过程在故障条件下仍能进入安全状态。它关注的是“系统是否可靠地执行了安全动作”，而不是单纯依赖设备本身的物理防护。一个完整的安全功能通常由三部分组成：传感器（如压力变送器）、逻辑控制器（如安全PLC）、执行元件（如紧急切断阀）。这三者构成安全功能回路，任何一环失效都可能导致安全功能失效。
安全功能必须明确三个要素：安全功能描述、安全完整性等级（SIL）和响应时间。例如：“当反应器压力超过2.5MPa时，10秒内关闭进料阀并打开泄压阀，要求SIL 2。”这句话包含了触发条件、动作、时间要求和完整性等级，是SIS组态和测试的直接依据。
二、安全生命周期：从概念到退役
IEC 61508和IEC 61511都强调安全生命周期（Safety Lifecycle）管理。安全生命周期是一套分阶段、闭环的工程流程，确保安全功能从最初的风险分析到最终退役都处于受控状态。典型阶段包括：
- 危险与风险分析（HAZOP、LOPA）
- 安全要求规格书（SRS）编制
- 安全功能分配与SIL确定
- SIS设计与组态
- 安装、调试与验证
- 运行、维护与定期测试
- 变更管理与功能安全评估
- 退役与拆除
在SIS安全PLC组态中，安全生命周期直接决定了组态范围、测试用例和验证深度。例如，SRS中规定的响应时间、SIL等级和测试周期，必须转化为PLC程序中的逻辑、诊断和测试点。
三、SIL等级与PFD/PFH
SIL（Safety Integrity Level）是衡量安全功能可靠性的等级，分为SIL 1至SIL 4。SIL等级越高，要求安全功能失效的概率越低。在低要求操作模式下，用PFD（平均失效概率）衡量；在高要求操作模式或连续操作模式下，用PFH（每小时危险失效概率）衡量。
| SIL等级 | PFD（低要求） | PFH（高要求/连续） | 风险降低因子 |
|---|---|---|---|
| SIL 1 | 0.1 ~ 0.01 | 10⁻⁶ ~ 10⁻⁵ /h | 10 ~ 100 |
| SIL 2 | 0.01 ~ 0.001 | 10⁻⁷ ~ 10⁻⁶ /h | 100 ~ 1000 |
| SIL 3 | 0.001 ~ 0.0001 | 10⁻⁸ ~ 10⁻⁷ /h | 1000 ~ 10000 |
| SIL 4 | 0.0001 ~ 0.00001 | 10⁻⁹ ~ 10⁻⁸ /h | 10000 ~ 100000 |
在SIS组态中，SIL等级决定了PLC的冗余结构、诊断覆盖率、测试周期和认证要求。例如，SIL 2通常要求1oo2或2oo3冗余架构，诊断覆盖率≥90%，定期测试周期不超过1年。这些参数必须写入安全要求规格书，并在组态和测试中逐项验证。
四、风险降低与安全完整性
风险降低是功能安全的最终目的。风险降低 = 初始风险 / 可接受风险。安全仪表功能（SIF）只是风险降低措施之一，通常与工艺设计、机械防护、操作规程等共同构成保护层。LOPA（保护层分析）用于确定每个SIF需要承担的风险降低量，进而确定SIL等级。
示例：某反应器初始风险为每年0.1次事故，可接受风险为每年0.001次，需要降低100倍。如果工艺设计已降低10倍，机械泄压降低5倍，则SIF需要降低2倍，对应SIL 1。若SIF需要降低100倍，则对应SIL 2。
五、IEC 61508与IEC 61511标准体系
IEC 61508是功能安全的通用基础标准，适用于所有行业。它定义了安全生命周期、SIL等级、PFD/PFH计算方法、硬件和软件要求。IEC 61511是过程工业领域的专用标准，基于IEC 61508，但更贴近化工、石化、油气等流程行业。两者关系如下：
- IEC 61508：通用功能安全标准，适用于电气/电子/可编程电子安全相关系统。
- IEC 61511：过程工业安全仪表系统标准，是IEC 61508在流程行业的落地。
- IEC 61511要求：安全生命周期、SRS、SIL验证、功能安全评估、操作和维护。
工程提示：在SIS安全PLC组态中，IEC 61511是直接依据。它要求安全PLC必须通过SIL认证，组态工具必须支持安全逻辑、诊断和测试功能，且所有安全功能必须可追溯至SRS。
六、常见误区与复盘
误区1：认为SIL等级越高越好。实际上，SIL等级由风险分析确定，过高会导致成本浪费和过度设计。
误区2：忽略安全生命周期中的验证和确认。很多项目在组态后直接投用，未进行完整的回路测试和功能安全评估。
误区3：把PFD和PFH混用。低要求模式用PFD，高要求或连续模式用PFH，选错会导致SIL验证错误。
误区4：认为安全PLC本身安全就够了。安全功能回路包括传感器、逻辑控制器和执行元件，任何一环失效都会导致安全功能失效。
复盘一个典型场景：某装置SIF要求SIL 2，但组态时只使用了单CPU安全PLC，未配置冗余输入模块，诊断覆盖率不足60%，定期测试周期设为2年。最终SIL验证不通过，必须重新设计。这说明功能安全必须从风险分析开始，贯穿设计、组态、测试、运维全过程，任何环节的偏差都会影响最终安全完整性。
掌握功能安全基础，是后续SIS安全PLC组态、编程、测试和验证的前提。只有把概念、标准、参数和工程实践统一起来，才能构建真正可靠的安全仪表系统。