在低需求模式下，产品需要满足安全仪表功能（SIF）的PFDavg（或高需求/连续模式下的PFH）要求，但这只是符合IEC 61511所需的三个要求之一。

作为一个基于性能的标准，61511要求你首先确定SIF所需的特定风险降低目标（SIL定级）。然后你必须验证你的设计达到了SIL目标（SIL验证）。

如果SIL验证过程执行不正确，其结果可能影响你的整个设施：

• 过度设计的系统：导致不必要的、过高的资本支出。

• 设计不足的系统：导致比你意识到的更高的运行风险。

• 运营负担：规定过于频繁的 proof test（验证测试），耗费资源，或 nuisance（误）跳车扰乱生产。

SIL验证的三大屏障

SIL验证中一个常见的陷阱是只关注PFDavg / PFH的计算。相反，要达到目标SIL，你必须同时满足以下三项性能准则：

PFDavg / PFH（概率性能）：这是对随机故障的防御。你必须证明需求时失效的数学概率满足你的目标。（使用可信且真实的故障率数据作为输入）。最低架构约束（硬件故障容错）：验证硬件冗余符合IEC 61511或IEC 61508标准。系统能力：这是对系统故障的防御。你必须确保设备的设计和制造具备特定SIL所需的质量，使用经SIL认证的设备。所达到的SIL仅取决于其最薄弱的环节。所有三项准则都必须符合才能达到SIL目标。通过取这三道屏障中的最低值（最小值选择），你才能保证获得真正合规且安全的结果。

下面我整理的关于硬件故障容错的更多内容：

IEC 61511和IEC 61508提供表格作为所需架构约束（SILac）的指南（即硬件故障容错（HFT）（即冗余要求））。IEC 61508有3个表格，路线1H下的2个表格根据安全失效分数（SFF）分配Type A或Type B设备所需的HFT，路线2H下的1个表格没有SFF（将在网络研讨会中更详细地介绍）。IEC 61511有1个表格，等同于IEC 61508中用于低需求的路线2H表格。根据IEC 61511，用户可以选择使用IEC 61511或IEC 61508中的表格。

基本上，IEC 61511的表格规定HFT = 0可接受用于满足SIL 1或SIL 2。然而，仅仅采用一个SIL 2传感器、一个SIL 2逻辑求解器和一个SIL 2最终元件，并不一定意味着你将实现SIL 2 SIF，因为还有其他考虑因素。此外，这也不一定意味着你最终会得到SIL 2的HFT = 0，这在很大程度上取决于SIF配置和所使用的设备（例如，如果最终元件由电磁阀、执行机构和阀门作为独立设备组成）。上海欧杰检测科技有限公司是意大利SIL认证机构 ECM认证的中国代理，能够为客户提供专业的SIL验证技术服务。