4、安全完整性等级（SIL）：SIL的由来与定义、SIL等级与PFD/PFH的关系、SIL等级的确定方法
4.1 SIL的由来：从事故中长出的标准
说起SIL，我得先讲个故事。上世纪80年代，欧洲化工行业出了几起大事故。我记得最清楚的是1984年印度博帕尔毒气泄漏，虽然那不在欧洲，但整个工业界都震动了。大家发现一个问题：安全系统到底多可靠才算够？
以前的做法很粗糙——「加个双重冗余就安全了」。但双重冗余够吗？三重呢？没人说得清。直到IEC 61508标准出现，才把这个问题量化了。说白了，SIL就是给安全系统定了个「可靠度等级」。你想想看，没有这个等级，你跟供应商说「我要一个安全系统」，他给你个啥？
我个人习惯把SIL理解成「安全系统的信用评级」。就像银行给企业评AAA、AA一样，SIL 1、2、3、4分别代表不同级别的可靠性。级别越高，系统失效的概率越低，当然成本也越高。
4.2 SIL的定义：一个概率问题
SIL的全称是Safety Integrity Level，安全完整性等级。它衡量的是安全相关系统在要求时执行指定安全功能的概率。
嗯，这里要注意：SIL不是衡量系统「会不会坏」，而是衡量系统「该动作时能不能动作」。这是两个概念。一个传感器可能经常误报（容易坏），但真正需要它报警时它一定能报——那它的SIL等级可能不低。
核心定义：SIL是分配给安全仪表功能（SIF）的离散等级，要求该功能在规定的条件下、在规定的时间内执行所需动作的概率足够高。
4.3 SIL等级与PFD/PFH的关系：数学说了算
SIL等级背后是硬核的数学。两个关键指标：
- PFD（Probability of Failure on Demand）：要求时的失效概率。适用于低需求模式（比如一年才触发一次的安全阀）。
- PFH（Probability of Failure per Hour）：每小时失效概率。适用于高需求模式（比如连续运行的紧急切断阀）。
我刚开始接触时也搞混过。后来记住一句话：「PFD是『叫它它不在』的概率，PFH是『它自己偷偷挂了』的概率」。
下面是IEC 61508规定的对应关系：
| SIL等级 | 低需求模式（PFD） | 高需求模式（PFH） |
|---|---|---|
| SIL 1 | ≥ 10⁻² 且 < 10⁻¹ | ≥ 10⁻⁶ 且 < 10⁻⁵ |
| SIL 2 | ≥ 10⁻³ 且 < 10⁻² | ≥ 10⁻⁷ 且 < 10⁻⁶ |
| SIL 3 | ≥ 10⁻⁴ 且 < 10⁻³ | ≥ 10⁻⁸ 且 < 10⁻⁷ |
| SIL 4 | ≥ 10⁻⁵ 且 < 10⁻⁴ | ≥ 10⁻⁹ 且 < 10⁻⁸ |
避坑指南：我曾经在一个项目中看到有人把PFD和PFH搞混，选了SIL 2的传感器用在连续运行场景，结果PFH根本达不到要求。记住：低需求看PFD，高需求看PFH，别搞反了。
4.4 SIL等级的确定方法：三步走
确定SIL等级不是拍脑袋。我一般分三步走：
4.4.1 第一步：风险分析
先搞清楚风险有多大。常用的方法有：
- LOPA（保护层分析）：最常用。把每个保护层的失效概率乘起来，看剩余风险是否可接受。
- 风险矩阵法：用后果严重度和发生频率两个维度交叉定位。
- HAZOP + LOPA：先做HAZOP找风险点，再用LOPA定SIL。
我个人习惯用LOPA。为什么？因为它把每个保护层的贡献量化了，跟甲方沟通时拿数据说话，比「我觉得这个风险高」有说服力得多。
4.4.2 第二步：确定目标SIL
根据风险分析结果，确定需要降低多少风险。公式很简单：
目标SIL等级 = log₁₀(现有风险 / 可接受风险)举个例子：现有风险是每年10⁻³（千分之一概率死人），可接受风险是10⁻⁵（十万分之一），那需要降低100倍。查表：10⁻²对应SIL 1，10⁻³对应SIL 2。所以目标SIL是2。
注意：SIL 4在实际工业中极少使用。为什么？因为要达到10⁻⁹的PFH，成本高得离谱，而且通常可以通过工艺设计来避免。我在化工行业干了十几年，只见过一次SIL 4的需求——核电站的某个关键联锁。
4.4.3 第三步：验证SIL
确定目标后，还要验证选用的设备能不能达到。验证包括：
- 硬件架构约束：比如SIL 3要求至少双重冗余（1oo2或2oo3）。
- 系统能力（SC）：设备本身有没有通过SIL认证。
- 系统化能力：开发流程、文档管理是否满足要求。
嗯，这里有个坑：很多供应商说「我们的PLC支持SIL 3」，但仔细看只是硬件架构支持，软件部分可能只到SIL 2。所以验证时一定要看完整的认证证书，别只看宣传资料。
4.5 知识体系总览
下面这张图是我自己总结的SIL知识体系，帮你理清思路：
4.6 实战中的几点体会
做了这么多年安全系统，我总结了几条经验：
- 别盲目追求高SIL。SIL 3的系统成本是SIL 2的3-5倍。能用工艺设计降低风险，就别堆硬件。
- 注意「共因失效」。双重冗余看起来很安全，但如果两个传感器是同一批次、同一型号，一个坏了另一个大概率也快坏了。我见过一个项目，两个压力变送器装在同一根管子上，一个堵了另一个也堵——这叫共因失效，SIL等级直接打折扣。
- 文档比硬件更重要。SIL认证审核时，审核员看的是你的设计文档、测试报告、变更记录。硬件反而是次要的。我有个客户，设备选得挺好，但文档一塌糊涂，最后被要求重新做验证。
一个小技巧：做LOPA分析时，别只盯着「失效概率」。还要考虑「独立保护层」——每个保护层必须真正独立。如果两个保护层共用一个电源，那它们其实是一个保护层。
好了，关于SIL的内容就这些。记住一句话：SIL不是目的，降低风险才是。等级只是工具，别为了拿等级而忘了初衷。
公众号:蓝海资料掘金营，微信deep3321