2. SIL验证与可靠性计算基础

在LNG接收站中，安全仪表功能（SIF）承担着泄漏隔离、超压保护、火炬排放、储罐高高液位联锁等关键保护任务。要判断一个SIF是否"足够可靠"，不能凭经验拍板，而必须依据IEC 61508与IEC 61511建立的一套量化语言：SIL等级。本节把SIL的定义、安全生命周期的位置关系，以及PFDavg、PFH、架构约束、系统性能力这四个核心概念串起来，为后续验证计算打基础。

一、SIL到底是什么：一个"要求时失效概率"的分级

SIL（Safety Integrity Level，安全完整性等级）不是设备的质量等级，而是对安全功能在要求时成功执行这一能力的离散分级。IEC 61508按两种运行模式给出量化区间：

• 低要求模式（要求频率≤1次/年，LNG接收站的联锁多属此类）：用PFDavg（平均要求时失效概率）衡量，SIL 1为10⁻²～10⁻¹，SIL 2为10⁻³～10⁻²，SIL 3为10⁻⁴～10⁻³，SIL 4为10⁻⁵～10⁻⁴。
• 高要求/连续模式：用PFH（每小时危险失效概率）衡量，SIL 1为10⁻⁶～10⁻⁵ /h，SIL 2为10⁻⁷～10⁻⁶ /h，SIL 3为10⁻⁸～10⁻⁷ /h。

注意区间是"上界不含、下界含"的约定：PFDavg=1×10⁻²恰好落在SIL 1，而9.9×10⁻³则进入SIL 2。工程上常把目标值取在区间中段偏保守位置，例如SIL 2功能常把PFDavg目标定为≤5×10⁻³，为不确定性留余量。

二、安全生命周期：SIL不是算出来的，是"管"出来的

IEC 61511把安全生命周期划分为分析、实现、运行三个阶段。SIL定级（风险图或LOPA）发生在分析阶段，SIL验证发生在实现阶段的"设计"环节，而验证结论又必须通过运行阶段的检验测试、 proof test、变更管理来维持。换句话说，SIL验证只是生命周期中的一个检查点，它回答的是"这套设计在假定维护策略下能否达到目标PFDavg"，而不是"这个SIF永远安全"。

三、PFDavg：低要求模式下的"平均失效概率"

PFDavg的物理含义是：当工艺过程提出安全需求时，SIF处于失效状态的平均概率。对单个通道，若危险未检出失效率为λDU，检验测试周期为TI，且失效在周期内均匀分布，则近似有 PFDavg ≈ λDU × TI / 2。这个"除以2"来自失效时刻在检验周期内的平均暴露时间。

以一个LNG储罐高高液位联锁为例（示例假设参数）：变送器λDU=5×10⁻⁷/h，逻辑控制器λDU=2×10⁻⁷/h，切断阀λDU=1×10⁻⁶/h，TI均为8760h（1年）。单通道粗略估算：变送器PFDavg≈5×10⁻⁷×8760/2≈2.2×10⁻³，控制器≈8.8×10⁻⁴，阀门≈4.4×10⁻³，三者相加约7.5×10⁻³，仅达SIL 2下限附近。若把变送器改为1oo2冗余，其PFDavg约降为(λDU×TI)²/3量级，整体可进入SIL 2中段。这说明PFDavg是传感器、逻辑器、执行元件三段串联求和，短板往往在阀门。

四、架构约束：硬件冗余不是想加就加

IEC 61508-2的架构约束用硬件故障裕度HFT与安全失效分数SFF共同限定某条通道"最高能声称到几级"。SFF=(λS+λDD)/(λS+λDD+λDU)，反映能被诊断或安全方向覆盖的失效占比。例如Type A设备、SFF在60%～90%之间时，HFT=0只能到SIL 2，HFT=1才能到SIL 3。工程含义很直接：如果阀门诊断覆盖率低、SFF上不去，即使算出PFDavg很小，也不能声称SIL 3——架构约束是"天花板"，PFDavg是"地板"，两者必须同时满足。

五、系统性能力：被低估的"软"约束

系统性失效无法用概率量化，IEC 61508用SC1～SC4（系统性能力）配合技术措施、流程措施来管理。对LNG接收站而言，这意味着：SRS是否完整可追溯、验证是否由独立人员执行、组态修改是否走MOC、proof test规程是否覆盖传感器量程校验与阀门部分行程测试。系统性能力不足时，再漂亮的PFDavg数字也不可信——这是SIL验证报告必须附证据链的原因。

六、验证计算的最小工作流

实际做一次验证，通常按以下顺序推进：①从SRS取出目标SIL与TI假设；②按子系统拆分并收集λDU、λDD、SFF、HFT；③对每个子系统按架构公式算PFDavg并求和；④用架构约束表核对可达SIL；⑤核查系统性能力证据；⑥若任一判据不满足，调整冗余、缩短TI或提高诊断覆盖率后重算。以TI从1年缩短到半年为例，单通道PFDavg近似减半，这是最直接但会增加测试成本的杠杆。