4. SIL验证的基本原理与计算方法

SIL验证的核心任务，是把一个安全仪表功能（SIF）从"设计意图"转化为可量化的可靠性指标，再与目标SIL等级所要求的指标进行比对。这个过程中最关键的三个量是：要求时平均失效概率PFDavg（低要求模式）、每小时危险失效频率PFH（高要求/连续模式），以及由架构约束、共因失效和诊断覆盖率共同决定的实际可达能力。理解它们之间的耦合关系，是正确完成验证计算的前提。

一、低要求模式与高要求模式的判定

IEC 61508与IEC 61511按SIF被触发的频率划分两种工作模式。低要求模式指触发频率不大于每年1次、且不大于2倍测试频率；此时用PFDavg衡量，SIL1～SIL4对应10-1～10-5区间。高要求或连续模式指触发频繁或持续运行，用PFH衡量，单位是h-1，SIL1～SIL4对应10-5～10-9区间。判定错误会直接导致选错公式，是验证中最常见的源头性错误。

二、PFDavg的基本计算

对低要求模式，单个通道在理想情况下的平均失效概率近似为：

PFD_avg ≈ λ_DU × (T1/2 + MTTR)
其中：λ_DU = λ_D × (1 - DC)   —— 未检出危险失效率
      T1  = 检验测试周期（Proof Test Interval）
      MTTR = 平均修复时间

式中λD为危险失效率，DC为诊断覆盖率。若考虑共因失效，还需引入β因子。以某压力变送器为例：λD=500 FIT（1 FIT=10-9/h），DC=90%，T1=1年（8760 h），MTTR=8 h，则λDU=50 FIT=5×10-8/h，PFDavg≈5×10-8×(4380+8)≈2.19×10-4。该值落在SIL2区间（10-3～10-2），单通道即可满足SIL2的PFD要求。

三、架构约束：HFT与SFF

仅有PFD数值达标并不够，还必须通过架构约束检验。IEC 61508-2规定，根据安全失效分数SFF和硬件故障裕度HFT，限制子系统可宣称的最高SIL。SFF定义为：

SFF = (λ_SD + λ_SU) / (λ_SD + λ_SU + λ_DD + λ_DU)
其中：λ_SD 安全检出失效，λ_SU 安全未检出失效
      λ_DD 危险检出失效，λ_DU 危险未检出失效

例如A型元件、HFT=0时，SFF≥90%才允许SIL2，SFF≥99%才允许SIL3；HFT=1时SFF≥60%即可SIL2、SFF≥90%可SIL3。B型元件要求更严。这意味着即使PFD算出来很小，若SFF不足或HFT不够，也不能宣称高SIL。工程上常通过增加冗余通道（提高HFT）或提升诊断覆盖率（提高SFF）来突破架构约束。

四、共因失效与β因子

冗余结构并非完全独立，共因失效（CCF）会显著削弱冗余收益。常用β模型：将总失效率分为独立部分(1-β)λ和共因部分βλ。以1oo2结构为例：

PFD_avg(1oo2) ≈ [(1-β)λ_DU]² × T1/2 + βλ_DU × T1/2

当β=10%、λDU=5×10-8/h、T1=8760 h时，独立项≈(4.5×10-8)²×4380≈8.9×10-12，共因项≈0.1×5×10-8×4380≈2.19×10-5。可见共因项完全主导，冗余带来的改善被β限制。因此必须通过多样性、物理隔离、独立电源、不同制造商等措施降低β，并在验证报告中记录所采用的β值及其依据。

SIL验证计算核心关系图 元件失效数据 λ_D、λ_S、DC、β 结构参数 HFT、T1、MTTR 元件类型 A型 / B型 目标SIL PFD/PFH 目标区间 PFD_avg 计算 λ_DU×(T1/2+MTTR) 含β共因项 SFF 计算 (λ_SD+λ_SU)/λ_total 决定架构可达SIL 架构约束检验 HFT + SFF + 类型 → 最高允许SIL PFH 计算 高要求/连续模式 λ_DU 直接求和 SIL 达标判定 PFD/PFH ≤ 目标值 且 架构约束满足 通过 → 输出验证报告 不通过 → 提高DC/冗余/降β

五、诊断覆盖率DC的作用与取值

DC是诊断功能检出危险失效的比例，直接决定λDU的大小。DC越高，未检出危险失效越少，PFD越低，同时SFF越高，架构约束也越容易满足。工程中DC通常按诊断手段保守取值：电源监控、看门狗、比较器交叉检查等可给60%～90%；对传感器漂移、阀门部分行程测试等，需结合具体诊断能力评估，一般取60%～99%。需要强调，DC不能随意取高值，必须有诊断设计证据支撑，否则验证结论不可信。

六、验证计算的完整流程

实际验证时，先按SIF回路拆分为传感器子系统、逻辑子系统、最终元件子系统，分别计算各子系统的PFDavg或PFH，再求和得到整个SIF的PFDavg（低要求模式）或PFH（高要求模式）。随后对每个子系统做架构约束检验，取三者中最低的可达SIL作为该SIF的架构上限。最后将计算值与目标SIL比较，并检查是否满足架构约束。若PFD达标但架构不达标，必须通过增加HFT或提高SFF来修正，而不能仅凭数值宣称达标。

验证计算中所有参数（λ、DC、β、T1、MTTR）都应记录来源：来自制造商FMEDA、现场统计数据还是工程假设。假设值需在报告中明确标注，并做敏感性分析，说明参数变化对结论的影响。

七、计算示例与结果判读

以一个SIL2的1oo2压力高高联锁回路为例（示例参数，非实测）：传感器子系统2台变送器，λDU=5×10-8/h，β=10%，T1=8760 h，MTTR=8 h，PFDavg≈2.19×10-5；逻辑子系统为1oo1安全PLC，λDU=1×10-8/h，PFDavg≈4.4×10-5；最终元件为1oo1切断阀，λDU=2×10-7/h，PFDavg≈8.8×10-4。回路总PFDavg≈9.5×10-4，落在SIL2区间（10-3～10-2），满足SIL2的PFD要求。但需注意最终元件贡献最大，若其SFF或HFT不满足SIL2架构约束，则整体仍不能宣称SIL2，应优先对阀门增加部分行程测试或采用冗余配置。

综上，SIL验证不是单一公式的套用，而是PFD/PFH数值计算、架构约束检验、共因失效修正和诊断覆盖率评估四者的联合判定。只有四者同时满足目标SIL要求，验证结论才成立。

← 上一章 📖 返回目录 下一章 →