2、功能安全基础：危险与风险、安全功能、安全完整性等级（SIL）的量化定义与定性描述

在IEC 61508标准体系中，功能安全的实现并非始于编写代码或设计电路，而是始于对系统所面临危险的系统化识别与风险的科学度量。理解“危险（Hazard）”、“风险（Risk）”、“安全功能（Safety Function）”以及“安全完整性等级（SIL）”这四个核心概念之间的逻辑递进关系，是掌握功能安全标准的基石。本章将深入剖析这些基础概念，重点阐明SIL的量化定义（PFD/PFH）与定性描述（风险矩阵）之间的映射关系，帮助学员建立从风险分析到安全要求规格书（SRS）的完整认知链路。

功能安全核心概念逻辑链路图 危险与风险 危险：潜在伤害源 风险：概率 × 严重度 容忍风险 → 安全目标 （风险矩阵评估） 风险降低 安全功能 安全仪表功能（SIF） 检测 → 逻辑 → 执行 如：紧急停车（ESD） （安全要求规格书SRS） 能力等级 SIL等级 SIL 1 ~ SIL 4 量化：PFD / PFH 定性：风险矩阵 （目标失效量值） 验证 验证与确认 硬件失效概率 诊断覆盖率（DC） 共因失效（β） （SIL验证计算） 安全生命周期中的位置 风险评估（概念阶段） → 安全功能分配（E/E/PE系统） → SIL定级 → 设计实现 → 验证确认 SIL量化定义（低要求模式 vs 高要求模式） SIL等级 低要求模式 PFDavg 高要求模式 PFH 风险降低因子（RRF） SIL 1 ≥ 10⁻² 且 < 10⁻¹ ≥ 10⁻⁶ 且 < 10⁻⁵ 10 ~ 100 SIL 2 ≥ 10⁻³ 且 < 10⁻² ≥ 10⁻⁷ 且 < 10⁻⁶ 100 ~ 1000 SIL 3 ≥ 10⁻⁴ 且 < 10⁻³ ≥ 10⁻⁸ 且 < 10⁻⁷ 1000 ~ 10000

2.1 危险与风险：从定性识别到定量度量

2.1.1 核心原理：危险是客观属性，风险是主观度量

在功能安全语境下，危险（Hazard）是指可能造成人身伤害、财产损失或环境破坏的潜在物理状态或条件。例如，化工反应釜内的超压状态、高速列车的超速状态、医疗设备中的异常辐射剂量，都是典型的危险。危险本身是客观存在的，并不以人的意志为转移。而风险（Risk）则是某一危险事件发生的概率（Probability）与其后果严重度（Severity）的组合度量。IEC 61508将风险定义为“伤害发生的概率与该伤害严重程度的组合”。

风险可以用数学表达式简化为：R = P × S，其中R为风险，P为危险事件发生的概率（通常以每年发生次数计），S为后果严重度（通常以人员伤亡数量、财产损失金额或环境破坏程度来量化）。这一公式虽然简单，却是整个功能安全风险评估的数学基础。值得注意的是，风险是一个相对概念——不存在“零风险”的安全状态，功能安全的目标是将风险降低到可容忍水平（Tolerable Risk），而非彻底消除风险。

2.1.2 判断方法：风险矩阵与ALARP原则

在实际工程中，风险矩阵是最常用的定性/半定量评估工具。IEC 61508推荐使用风险矩阵将概率和严重度划分为若干等级，从而确定风险是否可接受。下表展示了一个典型的4×4风险矩阵示例：

严重度\频率 频繁（F1） 可能（F2） 偶尔（F3） 极少（F4）
灾难性（S1） 不可接受 不可接受 不可接受 需评估
严重（S2） 不可接受 不可接受 需评估 可接受
轻微（S3） 需评估 需评估 可接受 可接受
可忽略（S4） 可接受 可接受 可接受 可接受

在风险决策中，ALARP原则（As Low As Reasonably Practicable，合理可行尽量低）是核心指导原则。该原则将风险区域划分为三个层级：不可接受区（必须强制降低风险）、ALARP区（在成本效益合理的前提下尽量降低风险）、广泛可接受区（无需额外降低风险）。功能安全的目标通常是将风险从“不可接受区”降至“ALARP区”或“广泛可接受区”。

关键要点：风险矩阵的等级划分并非固定不变，不同行业（如化工、铁路、医疗）会根据自身特点调整矩阵参数。但无论矩阵如何变化，其核心逻辑始终是“概率 × 严重度”的二维评估。在SIL定级过程中，风险矩阵的输出结果将直接决定所需的安全完整性等级。

2.1.3 案例拆解：化工反应釜超压风险分析

以某精细化工企业的间歇式反应釜为例，该反应釜在运行过程中可能因冷却失效导致超压爆炸。初始风险分析如下：

  • 危险事件：反应釜超压导致爆炸，可能造成操作人员伤亡及设备损毁。
  • 严重度评估：爆炸可能导致3-5人死亡，设备损失约500万元，属于“灾难性（S1）”等级。
  • 频率评估：根据历史数据，冷却失效平均每年发生0.5次，且无保护措施时超压概率为30%，因此危险事件年发生概率约为0.15次/年，属于“可能（F2）”等级。
  • 风险定位：查风险矩阵，S1×F2位于“不可接受区”，必须采取安全措施。

为将风险降至可容忍水平，设计团队决定安装独立的安全仪表系统（SIS），包含压力变送器、逻辑解算器和切断阀。该安全功能的目标是：当压力达到设定值时，在10秒内切断加热源并开启紧急泄压阀。通过风险降低计算，该安全功能需要将危险事件发生概率降低至少100倍（即风险降低因子RRF≥100），对应SIL 2等级要求。

2.1.4 常见误区与总结复盘

常见误区1：将“危险”与“风险”混为一谈。危险是客观存在的状态，风险是概率与后果的组合度量。一个高危险性的系统（如核反应堆）如果防护措施完善，其风险可能远低于一个低危险性但防护缺失的系统（如家用燃气热水器）。
常见误区2：忽视ALARP原则中的成本效益分析。有些企业为了追求“安全”而过度设计，导致成本失控；另一些企业则为了节省成本而将风险降至“刚好可接受”就停止，未考虑进一步降低风险的合理性。正确的做法是在ALARP区域内进行成本效益权衡。

复盘要点：风险评估是功能安全的起点，其输出质量直接决定了后续SIL定级的准确性。建议在项目初期组织跨职能团队（工艺、设备、安全、仪表）共同参与风险分析，避免单一视角带来的评估偏差。

2.2 安全功能：从风险到保护层的转化

2.2.1 核心原理：安全功能的定义与分类

安全功能（Safety Function）是指为了实现或保持安全状态，由安全相关系统（包括E/E/PE系统、其他技术安全系统或外部风险降低措施）执行的功能。在IEC 61508中，安全功能的核心特征是：它必须是一个可验证的、具有明确安全目标的动作序列。例如，“当反应釜压力超过2.5MPa时，在10秒内打开泄压阀”就是一个典型的安全功能描述。

安全功能通常由三个子系统组成：传感器子系统（Sensor）、逻辑解算器子系统（Logic Solver）和最终执行元件子系统（Final Element）。这三个子系统的可靠性共同决定了整个安全功能的完整性。安全功能可以分为两类：

  • 安全仪表功能（SIF，Safety Instrumented Function）：由仪表系统实现的安全功能，如紧急停车（ESD）、火灾报警、超温保护等。
  • 非仪表安全功能：如机械安全阀、防爆墙、泄压膜等，这些功能不属于E/E/PE系统，但在风险降低中同样发挥作用。

2.2.2 判断方法：安全功能分配与SRS编制

安全功能的分配过程遵循“独立保护层”思想。在工艺设计中，通常采用洋葱模型（多层保护）来降低风险：第一层为基本过程控制系统（BPCS），第二层为报警与人员干预，第三层为安全仪表系统（SIS），第四层为物理保护（安全阀、防爆墙），第五层为应急响应。每一层都承担一部分风险降低任务，而SIS承担的部分需要通过SIL来量化。

安全功能确定后，必须编制安全要求规格书（SRS，Safety Requirements Specification）。SRS是安全功能设计的“宪法”，至少应包含以下内容：

  1. 功能描述：安全功能触发条件、动作序列、响应时间。
  2. SIL等级要求：目标失效量值（PFDavg或PFH）。
  3. 操作模式：低要求模式（≤1次/年）或高要求模式（>1次/年）。
  4. 工艺参数：正常操作范围、安全极限值、响应时间。
  5. 环境条件：温度、湿度、振动、电磁兼容等。
  6. 诊断要求：在线诊断覆盖率、离线测试周期。

2.2.3 案例拆解：紧急停车系统（ESD）的安全功能设计

继续以2.1.3节中的反应釜为例，设计团队确定需要安装一个紧急停车系统（ESD）作为独立保护层。该ESD的安全功能描述为：

  • 触发条件：反应釜压力≥2.5MPa（三取二逻辑，2oo3）。
  • 动作序列：关闭加热蒸汽阀（XV-101）、开启紧急泄压阀（XV-102）、启动冷却水循环泵（P-201）。
  • 响应时间：从触发到完成全部动作不超过10秒。
  • 操作模式：低要求模式（预计每年触发不超过1次）。
  • SIL等级：SIL 2（PFDavg在10⁻³~10⁻²之间）。

在SRS编制过程中，设计团队发现一个关键问题：如果压力变送器采用单台配置（1oo1），其诊断覆盖率仅为60%，无法满足SIL 2要求。因此，最终采用三台压力变送器（2oo3表决），将诊断覆盖率提升至90%以上，同时通过定期功能测试（每6个月一次）来检测潜在失效。

2.2.4 常见误区与总结复盘

常见误区1：将BPCS（基本过程控制系统）与SIS（安全仪表系统）混用。IEC 61508明确要求安全功能应尽可能独立于基本控制功能，避免共因失效。如果BPCS故障同时导致危险发生和安全功能失效，则风险降低效果将大打折扣。
常见误区2：SRS编制不完整，缺少环境条件或诊断要求。例如，未明确电磁兼容性（EMC）要求，可能导致安全系统在强电磁干扰下误动作或拒动作。SRS的完整性是后续SIL验证的基础，任何遗漏都可能导致验证失败。

复盘要点：安全功能的分配应遵循“独立性、多样性、可测试性”原则。在SRS编制阶段，建议邀请安全工程师、仪表工程师和工艺工程师共同评审，确保功能描述无歧义、参数边界清晰。

2.3 安全完整性等级（SIL）：量化定义与定性描述的桥梁

2.3.1 核心原理：SIL的量化定义

安全完整性等级（SIL，Safety Integrity Level）是IEC 61508中用于规定安全功能在特定条件下执行能力的离散等级，分为SIL 1至SIL 4四个等级，其中SIL 4要求最高。SIL的量化定义基于平均失效概率（PFDavg）或每小时危险失效频率（PFH），具体取决于安全功能的操作模式。

IEC 61508将操作模式分为两类：

  • 低要求模式（Low Demand Mode）：安全功能被要求的频率不超过每年一次。此时用PFDavg（平均要求时失效概率）来量化，即安全功能在接到要求时无法执行的概率。
  • 高要求模式（High Demand Mode）：安全功能被要求的频率超过每年一次，或安全功能持续工作以保持安全状态。此时用PFH（每小时危险失效频率）来量化，即安全功能在运行过程中每小时发生危险失效的概率。

下表给出了SIL等级与PFDavg/PFH的对应关系：

SIL等级 低要求模式（PFDavg） 高要求模式（PFH） 风险降低因子（RRF）
SIL 1 ≥10⁻² 且 <10⁻¹ ≥10⁻⁶ 且 <10⁻⁵ 10 ~ 100
SIL 2 ≥10⁻³ 且 <10⁻² ≥10⁻⁷ 且 <10⁻⁶ 100 ~ 1000
SIL 3 ≥10⁻⁴ 且 <10⁻³ ≥10⁻⁸ 且 <10⁻⁷ 1000 ~ 10000
SIL 4 ≥10⁻⁵ 且 <10⁻⁴ ≥10⁻⁹ 且 <10⁻⁸ 10000 ~ 100000

从表中可以看出，SIL等级每提升一级，安全功能的失效概率需要降低一个数量级。这意味着SIL 3要求的安全功能比SIL 2要求的安全功能可靠10倍以上，这对硬件架构、诊断覆盖率和维护策略都提出了更高要求。

2.3.2 判断方法：SIL定级的定性与定量方法

SIL定级是功能安全设计的关键步骤，常用的方法包括：

  • 风险矩阵法（定性）：通过风险矩阵确定风险降低需求，进而映射到SIL等级。该方法简单直观，但精度较低，适用于初步评估。
  • 风险图法（半定量）：使用参数化的风险图（如德国DIN 19250标准中的风险图），通过多个参数（后果严重度、暴露时间、避免概率、需求率）综合计算SIL等级。
  • 保护层分析法（LOPA，Layer of Protection Analysis）：半定量方法，通过量化各独立保护层的风险降低能力，计算所需SIL等级。LOPA是目前化工行业最常用的SIL定级方法。
  • 定量概率计算法：基于故障树分析（FTA）或事件树分析（ETA），精确计算危险事件发生概率，从而确定所需SIL等级。该方法精度最高，但需要大量可靠性数据支持。
LOPA方法的核心公式：所需SIL等级的风险降低因子（RRF）= 初始事件频率 × 后果严重度 / 容忍风险频率。例如，初始事件频率为0.1次/年，后果严重度为10人死亡，容忍风险频率为10⁻⁴次/年，则所需RRF = 0.1 × 10 / 10⁻⁴ = 10000，对应SIL 3等级。

2.3.3 案例拆解：LOPA方法确定SIL等级

以某天然气管道压缩机站为例，压缩机出口管道可能因超压导致天然气泄漏爆炸。风险评估团队采用LOPA方法进行SIL定级：

  1. 场景定义：压缩机出口压力超高，导致管道破裂、天然气泄漏、爆炸。
  2. 初始事件（IE）：压力调节阀故障导致超压，频率为0.2次/年。
  3. 独立保护层（IPL）评估：
    • BPCS控制回路：可降低风险10倍（PFD=0.1），但BPCS与初始事件存在共因失效可能，因此其风险降低能力打折为5倍。
    • 机械安全阀：可降低风险10倍（PFD=0.1），但安全阀可能因堵塞或设定值漂移而失效，实际降低能力为5倍。
    • 人员响应（操作员在10分钟内手动泄压）：可降低风险2倍（PFD=0.5），但依赖人员可靠性。
  4. 后果严重度：爆炸可能导致5人死亡，容忍风险频率为10⁻⁴次/年。
  5. 计算所需RRF：初始事件频率0.2次/年 × 后果严重度5人 / 容忍风险频率10⁻⁴次/年 = 10000。现有IPL总风险降低 = 5 × 5 × 2 = 50倍。所需额外风险降低 = 10000 / 50 = 200倍，对应SIL 2等级（RRF 100~1000）。

最终确定该超压保护安全功能需要达到SIL 2等级。设计团队据此选择了2oo3压力变送器架构和冗余切断阀配置，并通过SIL验证计算确认PFDavg满足要求。

2.3.4 常见误区与总结复盘

常见误区1：混淆低要求模式与高要求模式的量化指标。有些工程师在低要求模式下错误地使用PFH来验证SIL等级，导致验证结果偏差。必须根据安全功能的实际操作模式选择正确的量化指标。
常见误区2：忽视SIL验证中的不确定性。SIL验证计算依赖于失效率数据（如λdu、λdd），这些数据通常来自通用数据库（如OREDA、EXIDA），与现场实际工况可能存在差异。建议在验证时采用保守估计，并在投运后进行数据收集以修正模型。

复盘要点：SIL定级不是一次性的工作，而是贯穿安全生命周期的持续过程。在项目初期通过LOPA等方法确定SIL等级，在详细设计阶段通过可靠性计算验证SIL等级，在运行阶段通过功能测试和失效数据收集来维持SIL等级。任何工艺变更或设备更换都可能影响SIL等级，需要重新评估。

经验提醒：在SIL定级过程中，建议保留完整的分析文档，包括风险矩阵、LOPA分析表、SIL验证计算书等。这些文档不仅是SIL认证的必备材料，也是后续安全审计和变更管理的重要依据。同时，SIL定级结果应经过独立第三方审查，以确保客观性和准确性。
← 上一章 📖 返回目录 下一章 →