3. 安全完整性等级（SIL）：SIL等级定义、SIL与PFH的对应关系、低要求与高要求模式

3.1 SIL等级到底是个啥？

说实话，我刚入行那会儿，觉得SIL就是个玄学。什么SIL 1、SIL 2、SIL 3，听起来像游戏里的装备等级。后来做项目做多了才明白，SIL说白了就是「你有多大的把握，让安全功能在需要的时候不掉链子」。

安全完整性等级，英文叫Safety Integrity Level，缩写SIL。它衡量的是安全功能在规定条件下、规定时间内，完成指定安全动作的概率。注意，它不衡量功能本身能不能实现，而是衡量「实现得有多可靠」。

举个例子：一个急停按钮，按下后切断电源。这个功能本身很简单。但问题是——

• 按下去之后，100次里有1次没切断？那不行。
• 10000次里有1次没切断？嗯，好多了。
• 1000000次里有1次没切断？这才像话。

SIL等级越高，允许的失效概率就越低。IEC 61508标准定义了四个等级：SIL 1到SIL 4。SIL 4要求最高，通常用在核电、航空这类领域。工业自动化领域，我们最常见的是SIL 2和SIL 3。

3.2 SIL与PFH的对应关系

这里就要说到PFH了。PFH是Probability of Failure per Hour，每小时失效概率。SIL等级和PFH之间，有严格的数值对应关系。

我习惯把这张表贴在工位上，每次做分配时都要瞄一眼：

SIL等级	低要求模式（PFDavg）	高要求模式（PFH）
SIL 1	≥ 10⁻² 且 < 10⁻¹	≥ 10⁻⁶ 且 < 10⁻⁵
SIL 2	≥ 10⁻³ 且 < 10⁻²	≥ 10⁻⁷ 且 < 10⁻⁶
SIL 3	≥ 10⁻⁴ 且 < 10⁻³	≥ 10⁻⁸ 且 < 10⁻⁷
SIL 4	≥ 10⁻⁵ 且 < 10⁻⁴	≥ 10⁻⁹ 且 < 10⁻⁸

你看，SIL 3对应的PFH范围是10⁻⁸到10⁻⁷。这意味着什么？意味着一个安全功能，每运行1亿小时，允许失效的次数不超过1到10次。1亿小时是什么概念？大概11400年。嗯，比人类文明史还长。

所以，你想想看，要达到SIL 3，光靠一个单通道系统几乎不可能。必须用冗余架构，比如双通道、三取二之类的。

3.3 低要求模式 vs 高要求模式

这里有个坑，我当年差点栽进去。IEC 61508把安全功能分为两种运行模式：低要求模式和高要求模式。同一个SIL等级，两种模式对应的PFH/PFD数值不一样。

低要求模式：安全功能平时不动作，只在发生故障时才被触发。比如紧急停机按钮、安全阀。一年可能也就用几次。这种模式下，我们关心的是PFDavg——平均失效概率（按需）。

高要求模式：安全功能频繁动作，或者连续运行。比如安全PLC的循环自检、电机转速监控。这种模式下，我们关心的是PFH——每小时失效概率。

为什么会这样区分？你想想看——

• 一个急停按钮，一年按一次。如果它坏了，你可能一年后才发现。所以用PFDavg来衡量，看的是「按需时失效的概率」。
• 一个转速监控器，每秒钟都在工作。如果它坏了，下一秒钟就可能出事故。所以用PFH来衡量，看的是「每小时内失效的概率」。

我曾经在一个项目里，把低要求模式的PFDavg直接当成了PFH来用，结果算出来的SIL等级虚高。幸好评审时被老专家揪出来了，不然真出了事，后果不堪设想。

3.4 一张图看懂SIL、PFH、DC的关系

下面这张图，是我自己总结的。每次给团队培训时都会拿出来讲。它把SIL等级、PFH范围、诊断覆盖率（DC）和架构约束串在了一起。

这张图想表达的是：SIL等级不是孤立存在的。它和PFH、DC、架构约束、运行模式都绑在一起。你定了一个SIL等级，就等于同时定了一整套约束条件。

3.5 实际项目中的选择思路

我做过一个化工项目的SIL验证。当时有个安全联锁功能，要求SIL 2。我们算出来的PFH是2.3×10⁻⁷，刚好卡在SIL 2的上限边缘。

这时候有两个选择：

1. 加诊断：提高DC，把PFH降下来。但代价是增加了传感器和逻辑解算器的复杂度。
2. 改架构：从1oo1改成1oo2，硬件容错从0变成1。PFH直接降了一个数量级。

最后我们选了方案2。为什么？因为加诊断虽然也能达标，但诊断本身也会引入新的失效模式。而冗余架构更成熟，验证起来也简单。

嗯，关于SIL等级的核心内容，差不多就这些了。记住一句话：SIL不是终点，而是起点。它告诉你「要做到多好」，至于「怎么做」，那是架构设计、诊断设计、FMEDA这些工具要回答的问题。