SIL验证中用PFD还是PFH？

      设计用于自动感应危险并对危险做出反应的设备可以在工业中的许多不同应用中进行设计和使用。典型的过程工业应用包括紧急停车/跳闸系统，该系统可防止潜在的危险压力，温度或液位状况超限。对于危险机械，使用自动安全功能来检测人体是否接近并实现安全状态，以保护工人免受伤害。无论何种应用，危害的所有者均应确定每种安全功能的SIL目标。此过程称为SIL确定或SIL选择。

      为了证明每个安全功能都能满足的随机硬件目标，需要进行PFD或PFH计算。  SIL验证失败概率的计算提供了一种标准化的方法，可以将安全功能设计与其目标安全完整性等级（SIL）进行比较。

       顾名思义，这是非常不经常要调用安全功能的场所。功能安全标准将低需求模式定义为不超过每年一次的最大需求频率。我们所有人都可以轻松想到的一个例子是汽车方向盘中的安全气囊。这不是常规要求，但是当需要时，例如在严重的碰撞中，我们希望安全气囊根据碰撞传感器的实际需求展开。低需求模式安全功能需要按需提供故障概率 - * PFD计算。这些在过程工业应用中很常见。

 注：技术上正确的术语是PFDavg；其中“ avg”是“平均值”的缩写，因为它是计算得出的平均概率值。

       这是安全功能仍按需运行的地方，但是需求的频率每年大于一次。一个例子是汽车制动器。 这些在车辆运行时非常经常使用。高需求模式安全功能需要计算每小时故障概率（* PFH）。

注：在机械安全标准IEC 62061和ISO 13849-1中，PFH更准确地称为PFHD。

      注意，在这种情况下不会出现单词“需求”。这种类型的安全功能会持续运行以保持安全状态。在这种情况下，最好的例子是汽车中的无人驾驶自动转向。如果此操作危险地失败，则存在直接危险。我们都知道该技术是可用的，即使可能要花费数年的时间连续模式安全功能需要计算每小时故障概率（* PFH）。

注：在机械安全标准IEC 62061和ISO 13849-1中，PFH被更准确地称为PFHD。

01

      安全要求规范（SRS）必须是任何计算失败的SIL验证概率的起点。  SRS是每个安全功能的参考来源，并提供了回到危害和风险分析的重要链接。

      如果正确完成，则SRS将指定每个安全功能必须实现的功能，包括要感知的内容以及为实现或维持安全状态而要执行的操作。  SRS还是SIL目标和其他关键性能因素（如所需响应和反应时间）的主要参考来源。在设计的早期阶段，SRS可能未指定实际设备，甚至未指定所需的冗余级别。在进行SIL验证后，通常会有SRS的更新。

02

       安全要求规范（SRS）必须是任何计算失败的SIL验证概率的起点。  SRS是每个安全功能的参考来源，并提供了回到危害和风险分析的重要链接。

       如果正确完成，则SRS将指定每个安全功能必须实现的功能，包括要感知的内容以及为实现或维持安全状态而要执行的操作。  SRS还是SIL目标和其他关键性能因素（如所需响应和反应时间）的主要参考来源。在设计的早期阶段，SRS可能未指定实际设备，甚至未指定所需的冗余级别。在进行SIL验证后，通常会有SRS的更新。

03

要完成SIL验证，用户必须决定一种计算方法。以下列表显示了行业中最常用的方法。

·  简化方程式。 

·  可靠性框图（RBD）建模工具。 

·  故障树建模工具，例如故障树分析器。 

·  专门的SIL验证工具，用于过程应用程序PFD计算。 

·  性能等级（* PL）计算工具SISTEMA，用于机械安全PFH计算。

■ 请注意，根据ISO 13849-1，术语“性能等级（PL）”用于机械安全应用。每个PL可以广泛地映射到等效的SIL。

      每种情况都有正面和负面的影响，但通常对完整性的要求较高（SIL较高），应采用更严格的方法或多种方法。可以使用基本安全标准IEC 61508第6部分中提供的简化公式来计算最常见的SIL 1安全功能设计。 ISO / TR 12489：2013是典型的过程工业安全功能应用公式，RBD和故障树的良好来源。

04

05

     当涉及到PFD和PFH计算的细节时，必须进行假设。制定一份清单以同意所选模型或工具所需的假设是一个好主意。仅由于多种不同的处理方式，很难给出所需假设的详尽列表。

但是，除了上述各项之外，需要确定的常见事项包括以下内容（并非详尽的清单）：

·   遵循哪些标准？

·   系统能力注意事项

·   故障情况下的维护制度和平均恢复/维修时间

·   实际检查和验证测试的频率

·   典型的证明测试覆盖率任何冗余元件的共同原因百分比

·   每个功能的预期或要求的使用寿命

06

      对于新建项目，完成SIL验证工作可能涉及多个阶段的计算，随着设计的成熟和设备项的选择而进行SRS更新和重新计算。对于现有的安全功能，可以根据实际安装的设备进行计算。如果存在实际的现场故障率数据，则应优先使用其他数据源。SIL验证计算的结论要求每个安全功能的最终PFD或PFH满足SRS中设置的目标。

      目标可能只是SIL频段，在这种情况下，从技术上仅需要PFD或PFH才能满足该频段中的最小目标。如果目标是数字值，则获得的PFD或PFH必须低于此值。在还考虑了其他因素（包括硬件容错能力和系统能力）之前，SIL验证工作尚未完全完成。