什么是SIL认证(SIL Certification)？
什么是SIL验证(SIL Verification)？
常见问题与误解
这台变送器通过了SIL认证，是否意味着它比其他变送器更安全？
我可以在有SIL要求的安全功能中使用未认证的组件吗？
SIL证书上没有说明系统性能力，但写的是“SIL 2 Capable”，这是什么意思？
SIL证书上标注的故障率比行业数据更高，我应该用哪个？
符合性声明等同于SIL证书吗？
这些都是欧杰客户客户经常问到的问题。
在过程工业和其他高风险行业中，“安全完整性等级（SIL）认证”和“SIL验证”等术语经常被互换使用。然而，它们代表两种不同的活动，涉及功能安全的不同方面。
这种误解可能导致设计过程中产生错误的假设，并最终导致安全仪表系统（SIS）不合规，造成项目延误或运行阶段风险降低不足。例如，一台压力变送器可能通过了SIL 3应用认证，但仅凭这一点并不能证明其所安装的安全仪表功能（SIF）能够达到该目标。组件需要与其所集成到的SIF结合起来考虑，SIS集成商需要确保制造商为达到SIL目标所规定的所有要求都得到满足。
因此，理解SIL认证与SIL验证之间的区别对于确保符合IEC 61508和IEC 61511至关重要。本文解释了二者的区别以及这两个概念在实践中应如何应用。
什么是SIL认证？
SIL认证是通常由独立认证机构（如TÜV或意大利ECM认证）执行的产品级评估。认证的目的是证明设备是按照IEC 61508开发的，并且适用于最高达到特定SIL能力的安全应用。
SIL证书通常确认：
系统性能力（避免系统性故障）
硬件故障容错要求
安全失效分数（SFF）
故障率数据（通常来自FMEDA或类似评估）
制造商所应用的功能安全管理实践
换句话说，SIL认证证明产品能够在以特定SIL为目标的安全功能中使用。然而，重要的是要注意，IEC 61508和IEC 61511都没有明确要求组件必须通过SIL认证。尽管如此，SIL认证已成为普遍做法，因为它提供了信心，表明故障数据、系统性能力声明、proof test假设和硬件可靠性评估已经过独立第三方的审查。如果没有认证，SIS集成商或最终用户必须自行评估制造商的文档，并证明IEC 61508的要求已经满足。对于许多项目来说，这可能需要耗费大量时间，并且需要大量的功能安全专业知识。因此，SIL认证减少了SIS集成商所需的工作量，但它并没有免除执行SIL验证的责任，也不能确保有适当的功能安全组织到位。
SIL认证并不确认完整的SIF达到了SIL目标。SIL认证过程聚焦于IEC 61508，这是功能安全的主标准。下图显示了IEC 61511、IEC 62061和IEC 61513作为IEC 61508在特定行业应用中的标准之间的关系。本文聚焦于过程工业应用，因此聚焦于IEC 61511，尽管相同的主要原则适用于所有三个标准。
最后，SIL认证过程可能不覆盖IEC 61508的所有方面。因此，仔细研究SIL证书并确定认证范围非常重要。例如，系统性能力评估可能被排除在证书之外，或者故障率可能仅在使用某些诊断或组件安装在特定配置中时才适用。
什么是SIL验证？
SIL验证是在SIF设计期间执行的系统级评估。其目的是证明完整的SIF达到了在危害与风险评估（如保护层分析（LOPA））中确定的目标SIL。
验证过程包括：
定量评估：计算低需求功能的按需失效概率（PFD）和高需求功能的每小时危险失效平均频率（PFH）。
架构评估：验证硬件架构满足IEC 61508和IEC 61511中规定的适用故障容错和架构约束。
系统性能力评估：审查制造商的开发过程、质量管理体系、配置控制、验证活动，以及在适用情况下按照IEC 61508进行的软件开发实践，以避免或限制系统性故障。
设计SIS时应如何处理SIL证书
SIL验证是设计SIS时的关键活动（参见IEC 61511中的SIS生命周期第4阶段）。欧杰建议在执行SIL验证评估时采用以下工作流程：
确保有可用的SRS，说明安全功能的要求，例如SIL目标、诊断、安全状态等。
从SIL证书、安全手册、安全分析报告（SAR）、数据表等收集SIF组件的信息：
品牌和型号。
系统性能力。
故障率。
Proof test覆盖率。
任务时间。
诊断覆盖率。
安全失效分数。
评估所收到的信息，并与行业数据进行比较，以确保计算中使用的故障数据是现实的。
计算PFD / PFH、系统性能力、架构约束。
解释所有关键假设。
其中第3步很重要，而且经常被忽视。在功能安全评估（FSA）期间，常见的情况是，SIS组件的SIL证书已经收集齐全，但认证文档中所述的假设和限制并未得到充分评估。
在某些情况下，供应商提供的故障数据显著低于行业来源（如PDS或海上和陆上可靠性数据（OREDA））中报告的数据。SIL证书中所述的故障率通常基于有关诊断、运行条件、维护实践和proof test的特定假设，因此通常比行业数据更为乐观。SIS集成商应采取保守的方法，仔细评估故障率是如何计算的，以及FMEDA和认证评估中应用的假设在实际安装中是否得到满足。如果认证故障率与行业数据存在显著差异，特别是相差一个或多个数量级，则在用于SIL相关计算之前，应批判性地审查认证数据的适用性。
常见问题与误解
这台变送器通过了SIL认证，是否意味着它比其他变送器更安全？
不一定。SIL证书证明的是符合功能安全要求，而不是该设备本质上比所有替代品都更安全。变送器的适用性取决于其应用、运行环境、proof test、维护，以及它在完整安全仪表功能（SIF）中的表现。
我可以在有SIL要求的安全功能中使用未认证的组件吗？
可以。IEC 61511不要求组件必须通过SIL认证。但是，必须有足够的证据证明该设备适用于预期应用，并且系统性能力、故障率、proof test假设和架构要求都已得到充分处理。这可以通过以下方式实现：
按照IEC 61511-1第11.5.3条进行先前使用评估。
按照IEC 61511-1第11.5.2条和IEC 61508的适用要求进行系统性能力评估。
将设计、诊断和proof test程序与类似组件进行比较。
在存在不确定性的地方应用保守假设，例如使用保守的故障率、降低假设的proof test覆盖率，或应用额外的不确定性因子。
SIL证书上没有说明系统性能力，但写的是“SIL 2 Capable”，这是什么意思？
系统性能力应始终以“SC”表示。如果证书上没有说明SC，并且证书没有明确说明系统性能力已经过评估，则不能假定其已被覆盖。请与制造商确认是否有任何可用的系统性能力评估。
SIL证书上标注的故障率比行业数据更高，我应该用哪个？
由于证书中的故障率更为保守，并且可能更准确地反映所使用的组件，因此应使用证书数据。
符合性声明等同于SIL证书吗？
SIL证书由独立认证机构在对产品及其文档进行评估后颁发。符合性声明由制造商颁发，代表对IEC 61508合规性的自我声明。两者都可以支持SIL验证，但符合性声明通常需要SIS集成商或最终用户进行更多审查。
功能安全管理与培训
拥有一份显示SIS符合SIL目标的SIL验证报告，并不意味着IEC 61508和IEC 61511的所有要求都已满足。这些标准要求的远不止收集SIL证书和执行计算。
功能安全管理和培训经常被遗忘，并且处于SIL证书和PFD计算的阴影之下。
功能安全管理（FSM）是IEC 61508和IEC 61511的基本要求。即使所有设备都通过了SIL认证，并且SIF已成功验证，如果能力、程序和管理体系不充分，也可能无法实现所需的完整性。
典型的FSM活动包括但不限于：
能力管理与培训。
变更管理。
FSA。
验证与确认活动。
文档控制。
Proof test管理。
事件调查与纠正措施。
在许多审核和FSA中，功能安全管理方面的缺陷比SIL计算方面的缺陷构成更大的合规问题。
欧杰结论
SIL认证和SIL验证不是相互竞争的概念；它们涉及功能安全的不同层面。
SIL证书证明组件已经过评估，可能适用于安全应用。SIL验证证明完整的SIF在其预期应用中达到了所需的风险降低水平。
然而，要实现符合IEC 61508和IEC 61511，需要的不仅仅是收集SIL证书和执行计算。功能安全依赖于理解数据背后的假设、评估不确定性、应用合理的工程判断，以及确保整个安全生命周期得到有效管理。功能安全的目标不是获得特定的SIL等级或收集证书，而是将风险降低到可容忍的水平，同时确保设计期间所做的假设在整个SIS生命周期内保持有效。
因此，在进行功能安全工作时，重要的是不要仅仅关注SIL证书，而要考虑应用的更广泛背景，以及真正存在不确定性和风险降低机会的地方。在欧杰检测，我们帮助客户解读功能安全文档，在必要时对假设提出质疑，并将合规要求转化为实用的、适合目的的解决方案。我们的目标不仅是解决眼前的问题，还要加强客户对功能安全的理解，并在整个SIS生命周期内支持长期合规。
