第4章 SIL等级确定：SIL等级的定义、量化指标与风险降低因子

各位工程师朋友，咱们今天聊一个核心问题——SIL等级到底怎么定？

我在做轨道交通信号系统认证时，经常遇到有人问：“我这个系统到底该定SIL2还是SIL4？”说实话，这个问题没有标准答案，但有一套严谨的方法论。今天我就把这套方法掰开揉碎了讲给你听。

4.1 SIL等级的定义

SIL，全称Safety Integrity Level，翻译过来就是“安全完整性等级”。说白了，它衡量的是一个安全相关系统在需要它动作时，能可靠动作的概率。

你想想看，一个紧急制动按钮，按下去必须100%能刹住车。但现实中没有任何东西是100%可靠的。SIL等级就是给这个“可靠程度”划了四个档次。

我个人习惯把SIL4比作“航天级可靠性”。我在做欧洲某高铁信号系统认证时，客户要求所有安全功能必须达到SIL4。那段时间，我们团队几乎把每个电路都做了三冗余设计——嗯，这就是SIL4的代价。

4.2 SIL等级的量化指标

光说“可靠”不够，得有数字说话。IEC 61508给出了两个核心量化指标：PFD和PFH。

4.2.1 PFD（平均失效概率）

PFD全称Probability of Failure on Demand，适用于低要求模式。什么叫低要求模式？就是一年可能只触发一两次的安全功能，比如化工厂的紧急切断阀。

举个例子：一个SIL4系统的PFD要求是≥10^-5且<10^-4。这意味着什么？你要求它动作100万次，它最多只能失效1次。我在项目中遇到过，有些客户觉得这个指标太苛刻，但想想看——高铁刹车系统一年可能只触发几次紧急制动，但每次都必须成功。

4.2.2 PFH（每小时失效概率）

PFH全称Probability of Failure per Hour，适用于高要求模式或连续模式。比如铁路信号系统，它每时每刻都在工作，不能等“需求来了再动作”。

SIL等级	PFD（低要求模式）	PFH（高要求/连续模式）
SIL 1	≥10-2 且 <10-1	≥10-6 且 <10-5
SIL 2	≥10-3 且 <10-2	≥10-7 且 <10-6
SIL 3	≥10-4 且 <10-3	≥10-8 且 <10-7
SIL 4	≥10-5 且 <10-4	≥10-9 且 <10-8

4.3 SIL等级与风险降低因子的关系

风险降低因子（RRF，Risk Reduction Factor）是另一个重要概念。它和PFD是倒数关系：

RRF = 1 / PFD

举个例子：如果PFD是10^-4，那么RRF就是10,000。这意味着系统能把风险降低到原来的万分之一。

为什么会这样？我解释一下：

• 假设没有安全系统时，每年发生事故的概率是1次（100%）
• 装了SIL4系统后，PFD=10^-4，事故概率降到0.01%
• 风险降低了10,000倍——这就是RRF的意义

我在做轨道交通信号系统时，经常用RRF来跟客户沟通。你直接说“PFD要10^-5”，客户可能没概念。但你说“这个系统能把风险降低一万倍”，他们立刻就明白了。

4.4 如何确定SIL等级？

确定SIL等级通常有两种方法：

1. 风险图法（Risk Graph）：根据后果严重性、暴露频率、避免可能性等参数查表
2. 量化分析法（LOPA）：通过计算保护层失效概率来推导所需SIL

我个人更推荐LOPA法，虽然计算量大一些，但结果更精确。我在一个石化项目中，用风险图法得出SIL2，但用LOPA一算，发现需要SIL3——嗯，这就是量化的价值。

好了，关于SIL等级的定义、量化指标和风险降低因子，今天就聊到这里。下一章我们讲SIL认证的具体流程，到时候我会分享一些认证审核中的“潜规则”——你懂的，那些审核员不会写在报告里的东西。