4、功能安全与SIL等级：IEC 61508标准解读、SIL等级确定方法、安全完整性等级验证

功能安全，说白了就是「系统出故障时，也不能伤人」。

我入行头几年，总觉得功能安全是「大厂才需要操心的事」。直到有一次，一个客户现场的温度传感器误报，导致加热炉持续升温，差点酿成事故。嗯，从那以后，我再也不敢小看SIL等级了。

4.1 IEC 61508：功能安全的「宪法」

IEC 61508是功能安全的基础标准。它不针对某个具体行业，而是给所有安全相关系统定了个通用框架。你想想看，汽车、化工、核电、机械……这些行业的安全标准，几乎都是从它派生出来的。

这个标准的核心逻辑，我总结为三句话：

• 识别危险——系统可能出什么错？
• 控制风险——出错后怎么保证安全？
• 量化证明——你的措施到底够不够可靠？

标准把安全功能分成了四个等级，也就是SIL 1到SIL 4。数字越大，要求越严苛。SIL 4基本是「几乎不允许失效」的级别，核电站反应堆保护系统才用得上。我们工业传感器领域，最常见的是SIL 2和SIL 3。

4.2 SIL等级怎么定？——风险图法

确定SIL等级，最常用的方法是风险图法。我个人习惯用这个方法，因为它直观，现场工程师也能快速上手。

风险图法考虑四个参数：

参数	含义	取值
C（后果）	危险事件造成的伤害严重程度	CA（轻伤）、CB（重伤）、CC（死亡1-2人）、CD（多人死亡）
F（频率/暴露时间）	人员暴露在危险区的频率	FA（很少）、FB（频繁）
P（避免可能性）	危险发生时能否及时规避	PA（可能）、PB（几乎不可能）
W（需求率）	安全功能被要求的频率	W1（低）、W2（中）、W3（高）

把四个参数组合起来，查风险图就能得到SIL等级。举个例子：

• 一个压力容器，一旦超压可能造成多人死亡（CD）
• 操作工每天巡检（FB）
• 超压时几乎没有时间逃生（PB）
• 超压情况每年发生几次（W2）

查表结果是——SIL 3。这意味着你选用的安全传感器，必须满足SIL 3的硬件和软件要求。

4.3 安全完整性等级验证——不是算个数就完事

定完SIL等级，下一步是验证：你选的传感器方案，到底能不能达到这个等级？

验证主要看两个指标：

• PFD_avg（平均要求时失效概率）——用于低需求模式（比如一年才触发一次的安全阀）
• PFH（每小时危险失效概率）——用于高需求模式（比如连续运行的紧急停机系统）

这两个指标和SIL等级的对应关系如下：

SIL等级	PFDavg（低需求）	PFH（高需求）
SIL 1	≥ 10-2 且 < 10-1	≥ 10-6 且 < 10-5
SIL 2	≥ 10-3 且 < 10-2	≥ 10-7 且 < 10-6
SIL 3	≥ 10-4 且 < 10-3	≥ 10-8 且 < 10-7
SIL 4	≥ 10-5 且 < 10-4	≥ 10-9 且 < 10-8

验证时，你需要把传感器、逻辑控制器、执行机构三个部分的失效概率加起来。为什么？因为安全功能是一条链，任何一环断了都不行。

4.4 安全生命周期——从摇篮到坟墓

IEC 61508还强调一个概念：安全生命周期。意思是，功能安全不是设计阶段算个数就完了，而是贯穿整个设备生命周期。

我把它分成三个阶段：

1. 分析阶段：危险识别、风险评估、SIL等级确定
2. 实现阶段：硬件设计、软件设计、可靠性计算
3. 运行阶段：安装调试、定期检验、故障记录、变更管理

很多公司前两个阶段做得很好，但到了运行阶段就松懈了。我记得有个客户，安全传感器用了五年，从来没做过功能测试。结果一次真实故障时，安全功能没触发。后来一查，传感器内部自检电路早就失效了，但没人知道。

4.5 一张图看懂本章知识体系

下面这张图，把IEC 61508、SIL等级确定、验证方法串在了一起。你保存下来，做项目时对照着看，思路会清晰很多。

4.6 实战中常见的三个坑

最后，分享几个我在项目里踩过的坑，你遇到了能绕开：

• 坑一：只看传感器，不看系统。传感器SIL 3，但接线端子是普通端子，短路了怎么办？安全功能要求整个回路都满足SIL等级。
• 坑二：忽略共因失效。用了两个传感器冗余，但两个传感器是同一批次、同一型号、同一安装位置。一个坏了，另一个大概率也快了。我建议用异构冗余——不同原理、不同厂商的传感器。
• 坑三：诊断覆盖率不够。安全传感器都有自诊断功能，但诊断覆盖率不是100%。比如一个压力传感器，能诊断出传感器断路，但诊断不出膜片轻微堵塞。这种「潜伏故障」最危险。