这个问题前面也有客户在我们问答中心问过，其实也反映出人们对这三个变量如何影响PFDavg计算存在误解。任务时间（Mission Time）定义为安全仪表功能（SIF）设备在无需大修或更换的情况下预期运行的持续时间。许多人常常混淆任务时间与使用寿命（Useful Life）。在一个SIF中会有不同制造商的设备，每一个都可能具有不同的使用寿命，因此，确定任务时间是最终用户的责任。例如，他们可能将其设定为阀门需要大修或更换的时间，根据使用寿命可能是10年。然而，执行机构可能只有5年的使用寿命，因此这些设备需要在5年期满前、任务时间到期之前更换。确定任务时间不是工程公司的责任，因为它高度依赖于最终用户的做法。一些最终用户可能将其与停车检修挂钩，比如每5年进行一次，届时他们将进行必要的更换和翻新。同样，这将取决于最终用户的偏好。

验证测试间隔（Proof Test Interval）是另一个需要根据任务时间和目标SIL仔细考虑的变量。例如，如果任务时间设定得很高（例如30年），而验证测试间隔固定为5年，那么要实现任何目标风险降低因子（RRF）超过400的SIL 2 SIF都将非常困难，尤其是当验证测试覆盖率相对较低时（例如65%）。因此，这三个变量需要仔细考虑，并且必须结合最终用户的做法加以考量。设计人员不应孤立地进行设计，这一点很重要。

我们有一个例子，SIS设计人员不得不将验证测试间隔设定为3个月以满足目标SIL，因为任务时间设定得太高。最终用户无法每3个月执行一次验证测试，因为他们没有足够的人力，因此注定会失败。最终，任务时间不得不大幅缩短，因为验证测试间隔是针对停车检修固定的，无法更改。

任务时间对PFDavg有如此大影响的原因在于验证测试的不完美性。验证测试覆盖率是衡量验证测试在帮助发现自动诊断未能发现的危险失效方面有效性的指标。它用0到100%表示，其中100%代表完美的验证测试。换句话说，如果你声称100%，那么你是在说每次进行验证测试时都能发现并修复所有危险失效，在这种情况下任务时间就没有影响了，因为每次验证测试后PFDavg将为零。这当然是谬论。

试想一下，我们有一个安全功能，使用蝶阀和气动单作用执行机构来实现关闭跳车功能。对执行机构阀门组件进行全行程验证测试，并通过目视确认旋转。是否存在任何潜在的未检测到的危险失效？是的，当然存在，因为可能有损坏的密封、损坏的轴、损坏的蝶板等。只有在阀门被拆卸后你才能发现这些问题。如果有人试图告诉你并非如此，那他们只是在自欺欺人。

如果我们现在同意验证测试是“不完美的”，那么我们必须考虑到这样一个事实：每次验证测试后，总有一定比例的危险失效是我们无法发现的。这可以用一个基于HFT = 0、低需求模式的PFDavg简单近似公式来说明：

PFDavg ≈ (PTC × λD × PTI)/2 + ((1−PTC) × λD × MT)/2

其中： λD = 危险失效率 PTC = 验证测试覆盖率（0到100%） (1-PTC) = 未发现的危险失效百分比 PTI = 验证测试间隔 MT = 任务时间

在这个简化公式中，你可以看到不完美验证测试在任务时间上的影响，因为未检测到的危险失效（表示为(1-PTC)）在任务时间内累积。因此，任务时间对PFDavg有显著影响。这种影响将直接取决于由验证测试覆盖率决定的验证测试有效性，以及由验证测试间隔决定的测试之间的时间。因此，如果任务时间高且验证测试间隔长，那么PFDavg将更高，风险降低更低（即RRF = 1/PFDavg）。

如果我们绘制不完美验证测试的累积效应图，就可以发现，随着时间的推移，PFDavg增加并最终跨越从一个SIL等级下降到下一个等级的阈值；在此示例中，从SIL 3降至SIL 2。

总之，在选择任务时间和验证测试间隔时，我们需要结合可实现的验证测试覆盖率加以注意。制造商的安全手册将为每个SIF设备提供推荐的验证测试和验证测试覆盖率。SIS设计人员需要根据这些信息制定整体SIF验证测试，并在SRS中记录验证测试间隔。最终用户需要遵循SRS中定义的验证测试间隔，并跟踪每个SIF设备的使用寿命以及任务时间，如果SIF要维持其性能目标的话。