3. 安全完整性等级（SIL）
在工业安全控制器架构设计中，安全完整性等级（Safety Integrity Level，SIL）是衡量安全相关系统在要求时成功执行安全功能的可信度指标。它并非对设备“质量好坏”的简单评级，而是对风险降低能力的量化承诺。SIL 分为 SIL 1 至 SIL 4 四个等级，等级越高，要求时失效概率越低，但实现成本、验证深度和架构约束也越严苛。
一、SIL 1-4 的定义与量化边界
SIL 的定义建立在两种运行模式之上：低要求模式（Low Demand Mode）和高要求模式/连续模式（High Demand / Continuous Mode）。低要求模式下，安全功能每年被要求执行的频率不超过一次，用平均要求时失效概率（PFDavg）衡量；高要求模式下，用每小时危险失效频率（PFH）衡量。
| SIL 等级 | 低要求模式 PFDavg | 高要求/连续模式 PFH（1/h） | 风险降低因子近似值 |
|---|---|---|---|
| SIL 1 | ≥10⁻² 至 <10⁻¹ | ≥10⁻⁶ 至 <10⁻⁵ | 10～100 |
| SIL 2 | ≥10⁻³ 至 <10⁻² | ≥10⁻⁷ 至 <10⁻⁶ | 100～1000 |
| SIL 3 | ≥10⁻⁴ 至 <10⁻³ | ≥10⁻⁸ 至 <10⁻⁷ | 1000～10000 |
| SIL 4 | ≥10⁻⁵ 至 <10⁻⁴ | ≥10⁻⁹ 至 <10⁻⁸ | >10000 |
需要特别注意：SIL 4 在过程工业中极少单独使用，通常通过多重独立保护层组合实现同等风险降低。安全控制器本身若宣称 SIL 3，必须同时给出硬件故障裕度（HFT）、安全失效分数（SFF）、诊断覆盖率（DC）等架构约束证据。
二、SIL 确定方法：从风险到目标
SIL 的确定不是拍脑袋，而是遵循“风险图—保护层—目标”的路径。常用方法包括风险矩阵法、风险图法、LOPA（保护层分析）以及定量风险评估（QRA）。
- 识别危险与场景：确定危险源、后果严重度、暴露频率和可避免性。
- 评估初始风险：在无安全功能时的风险水平。
- 确定可容忍风险：依据企业标准、法规或 ALARP 原则。
- 计算所需风险降低：初始风险与可容忍风险之比。
- 分配保护层：机械、工艺、电气、程序等非安全仪表层先承担部分降低。
- 映射 SIL 目标：剩余风险降低量对应到安全仪表功能的 SIL 等级。
三、SIL 验证流程：从目标到证据
SIL 验证是证明“设计确实达到目标等级”的系统工程活动，贯穿安全生命周期。其核心流程如下：
1. 确定安全功能与 SIL 目标
2. 制定安全要求规范（SRS）
3. 选择符合 SIL 能力的设备与子系统
4. 计算 PFDavg / PFH（考虑 HFT、DC、SFF、λDU、λDD）
5. 验证架构约束（IEC 61508-2 表 2/3）
6. 验证系统能力（系统性能力、工具置信度）
7. 编制验证报告并评审
8. 现场安装、功能测试与周期性 proof test
9. 变更管理与再验证其中，PFDavg 计算通常采用可靠性框图、马尔可夫模型或简化公式。对于 1oo1 架构，PFDavg ≈ λDU × TI/2；对于 1oo2 架构，还需引入共因失效（β 因子）。验证时必须使用经认证的工具或可追溯的计算表。
四、SIL 与 PLd / PLr 的对应关系
PLd（Performance Level，性能等级）和 PLr（Required Performance Level，所需性能等级）来自 ISO 13849-1，主要用于机械安全领域。PL 分为 a 至 e 五级，用平均危险失效时间间隔（MTTFd）、诊断覆盖率（DCavg）和共因失效（CCF）综合评定。
SIL 与 PL 并非一一等价，但存在经验映射关系。下表给出常用对应参考：
| ISO 13849-1 PL | IEC 61508 / IEC 62061 SIL | PFH 量级（1/h） |
|---|---|---|
| PL a | 无对应 | — |
| PL b | SIL 1 以下 | — |
| PL c | SIL 1 | ≥10⁻⁶ 至 <10⁻⁵ |
| PL d | SIL 2 | ≥10⁻⁷ 至 <10⁻⁶ |
| PL e | SIL 3 | ≥10⁻⁸ 至 <10⁻⁷ |
关键区别在于：PL 强调“类别”（Category）和架构，SIL 强调“模式”和量化失效概率。在安全控制器架构设计中，若同时面对机械和过程安全需求，应分别按 ISO 13849-1 和 IEC 61508 验证，再取更严者作为系统约束。
五、常见误区与复盘要点
- 误区一：SIL 越高越好。 过高的 SIL 会导致过度设计、成本激增和可用性下降。应按风险匹配目标。
- 误区二：设备认证 SIL 3，系统就一定是 SIL 3。 子系统认证只是入场券，系统集成后的架构约束、共因失效和诊断覆盖率仍需重新验证。
- 误区三：PL d 等于 SIL 2，可以互换。 两者评估维度不同，PL 不直接给出 PFDavg，SIL 也不强制类别架构。跨标准项目必须分别计算。
- 误区四：忽略 proof test 周期。 PFDavg 与测试周期 TI 强相关，TI 拉长会显著恶化 SIL 达成度。
综上，SIL 是安全完整性从风险分析到量化验证的主线。掌握 SIL 1-4 的边界、确定方法、验证流程及其与 PLd/PLr 的映射关系，是设计可认证、可审计、可维护的安全控制器架构的基础。