SIL2 和 SIL3 认证到底怎么区分？功能安全要求哪些

一、SIL 到底是什么

SIL（Safety Integrity Level，安全完整性等级）来自 IEC 61508 / IEC 61511 / IEC 62061 等功能安全标准，衡量一套安全仪表系统（SIS）在预期危险发生时"成功执行安全功能"的概率。

SIL 分 4 级，越高越可靠：

• SIL 1：低要求，风险降低系数 10-100
• SIL 2：中等要求，风险降低系数 100-1000
• SIL 3：高要求，风险降低系数 1000-10000
• SIL 4：极高要求，风险降低系数 10000-100000（几乎只出现在核工业）

二、SIL 评估的三大参数

1. PFD（Probability of Failure on Demand）：低要求模式下的失效概率。SIL 2 要求 PFD ≤ 10⁻²，即"一年内需要动作的功能有 100 次机会都失效"的概率必须小于 1%。

2. HFT（Hardware Fault Tolerance，硬件容错）：允许多少个故障仍能保证安全功能。SIL 2 通常要求 HFT ≥ 1（即冗余至少一路），SIL 3 常需 HFT ≥ 2。

3. SFF（Safe Failure Fraction，安全失效分数）：故障中"安全侧"故障的比例。SIL 3 要求 SFF ≥ 90%。

三、SIL 2 vs SIL 3 的实际差异

硬件层：SIL 2 通常单路+诊断即可（1oo1D），SIL 3 必须冗余（1oo2 或 2oo3）。硬件成本 SIL 3 是 SIL 2 的 2-4 倍。

软件层：SIL 2 要求半正式规格 + 静态分析。SIL 3 要求正式规格 + 强类型语言 + 形式化验证。开发周期 SIL 3 是 SIL 2 的 3-5 倍。

过程管理：SIL 3 要求独立的功能安全评估（FSA），第三方审核，全生命周期文档。

示例：石化装置紧急停车系统（ESD）。检测超压 → 关闭紧急切断阀。

• SIL 2 方案：单一压力变送器 + PLC + 单气动切断阀（带反馈）。约 30 万元。
• SIL 3 方案：两选二压力变送器（2oo2 或 2oo3）+ 冗余安全 PLC（Triconex）+ 两个气动切断阀（1oo2）。约 150-300 万元。

四、SIL 认证流程

1. HAZOP + LOPA 分析：识别危险、评估现有保护层、确定需要 SIL 几
2. SIF 设计：选型传感器 / 逻辑控制器 / 最终元件
3. SIL 计算：用 exSILentia、SILStat 等工具算 PFD 是否达标
4. SIL 验证：第三方（TUV、exida）审核硬件和软件
5. SIL 证书：颁发对应 SIL 等级证书
6. SIL 验证维护：投运后按周期测试（PT），保持 SIL 等级

五、常见误区

误区 1：设备贴 SIL 3 标签就是 SIL 3 系统。SIL 是系统级指标，任何一环短板整个系统就掉级。SIL 3 阀 + SIL 2 变送器 + SIL 3 PLC = 最多 SIL 2 系统。

误区 2：SIL 越高越好。SIL 3 硬件成本、开发、维护都高 3-10 倍。风险降低 10 倍，成本 5 倍——很多情况 SIL 2 才是"最优点"。

误区 3：SIL 认证等于安全。SIL 只保证功能安全，不保证工艺安全、不保证人为误操作。真正的安全要 HAZOP、SIL、SOP、培训四位一体。

误区 4：认证证书就是永久。SIL 是期限有效的，元件超过评估寿命（通常 10-20 年）必须重新评估。运行中还必须做 Proof Test（比如每 12 个月一次）。