SIL认证中ROUTE 1H和ROUTE 2H的区别

从历史上看，这是确定安全功能可声明的最大SIL的唯一方法。以下是应遵循的步骤（请参考IEC 61508-2第7.4.4.2条）：

1. 将安全相关系统划分为子系统。
2. 对于每个子系统，分别计算子系统中所有元件的安全失效分数。在冗余元件配置的情况下，SFF的计算可以考虑可能可用的附加诊断（例如通过比较冗余元件）。
3. 对于每个元件，使用所达到的安全失效分数和硬件故障容错为0，从表1第2列（与IEC 61508-2的表2相同）确定Type A元件可声明的最大安全完整性等级；对于Type B元件，应使用表2（与IEC 61508-2的表3相同）。
4. E/E/PE安全相关系统可声明的最大安全完整性等级应由达到最低安全完整性等级的子系统确定。
5. 对于Route 1H，每个安全组件的所有故障率必须来自FMEDA分析。

元件的安全失效分数

表1：由Type A安全相关元件或子系统执行的安全功能的最大允许安全完整性等级

表2：由Type B安全相关元件或子系统执行的安全功能的最大允许安全完整性等级

ROUTE 2H

Route 2H的概念首次引入于IEC 61508的2010版。其使用与使用中证明（IEC 61508）或先前使用（IEC 61511-1）的概念相关联。

基本上，在没有组件SFF信息的情况下，只要故障率现场数据既可用又可靠，就有可能达到可靠性水平。因此，在量化随机硬件故障影响时所使用的可靠性数据应：

• 基于在类似应用和环境中使用的元件的现场反馈；并且，
• 基于按照国际标准收集的数据；并且，
• 根据以下方面进行评估：
  • 现场反馈的数量；并且，
  • 专家判断的运用；并且，在需要时，
  • 进行特定测试；

对于Route 2H，基于子系统HFT可达到的最大SIL由以下规则指示：

[IEC 61508-2: 2010] 7.4.4.3 Route 2H

7.4.4.3.1 对于实现特定安全完整性等级安全功能的E/E/PE安全相关系统的每个子系统，最低硬件故障容错应如下：

注：在以下条款中，除非另有规定，安全功能可以在低需求运行模式或高需求或连续运行模式下运行。

• 对于SIL 4的特定安全功能，硬件故障容错为2，除非7.4.4.3.2中的条件适用。
• 对于SIL 3的特定安全功能，硬件故障容错为1，除非7.4.4.3.2中的条件适用。
• 对于在高需求或连续运行模式下运行的SIL 2特定安全功能，硬件故障容错为1，除非7.4.4.3.2中的条件适用。
• 对于在低需求运行模式下运行的SIL 2特定安全功能，硬件故障容错为0。
• 对于SIL 1的特定安全功能，硬件故障容错为0。

Route 2H在高需求模式下不允许使用，这一步骤存在于IEC 62061和EN ISO 13849-1中，即在高需求功能安全的两项参考标准中。

[EN ISO 13849-1] 6.1.2 性能等级（PL）与安全完整性等级（SIL）之间的关联

当安全功能使用一个或多个子系统设计时，每个子系统应按照本文件使用PL设计，或按照IEC 62061或IEC 61508使用SIL设计。按照IEC 61508或IEC 62061设计的子系统可以使用，但应限于那些为高需求或连续模式设计的、使用Route 1H的子系统（见IEC 61508-2:2010，7.4.4.2）。子系统应按照6.2进行组合。PL与SIL之间的关联见表4。

IEC 62061规定，该要求适用于复杂组件。

[IEC 62061] 7.2 子系统架构设计

[…] 包含复杂组件的子系统应符合适当的产品标准或IEC 61508-2和IEC 61508-3（视所需SIL而定），并且设计应使用Route 1H（见IEC 61508-2:2010，7.4.4.2）用于高需求和/或连续模式。

结论

Route 1H和2H是可用于确定组件可靠性水平以及如何在安全仪表子系统中使用它的两种方式。Route 1H是推荐的方式，特别是如果我们想在混合高/低需求安全系统中使用该组件。Route 1H意味着组件需要IEC 61508系列推荐的故障率值：

• λ_SD：安全检测到的故障率
• λ_SU：安全未检测到的故障率
• λ_DD：危险检测到的故障率
• λ_DU：危险未检测到的故障率
• λ_NE：无影响故障率

这些通常借助意大利ECM认证或TÜV等外部组织来估算。