安全认证sil-功能安全认证及评估

深圳市中鉴检测技术有限公司

在故障安全系统的评估中，我们经常听到一个词“安全完整性等级”，即SIL（Safety Integrity Level）。


SIL技术标准是由国际电工**（IEC）首先颁布制定的，由IEC/TC65归口实施。SIL技术的国家归口标准化技术**为“全国过程工业测量控制及自动化”标准化技术**（SAC/TC124/SC10），秘书处单位为机械工业仪器仪表综合技术经济研究所(仪综所)，仪综所同时也负责SIL的检测认证工作。


SIL认证是基于IEC61508、IEC61511、IEC61513、IEC13849-1、IEC62061、IEC61800-5-2等功能安全标准形成的标准簇，对安全相关设备的安全完整性等级(SIL)或者性能等级(PL)进行评价的一种第三方评估。SIL认证分为SIL1、SIL2、SIL3、SIL4，其中1级是较低的产品功能安全等级，4是较高的级别。较高的SIL水平意味着更大的过程危害和SIS所需的更高级别的保护。概括如何确定SIL水平，参见下图。SIL水平是危险频率和危害严重程度的函数。可能更频繁发生或具有更严重后果的危险将具有更高的SIL水平。


工业自动化的生产过程都或多或少的存在危险。工业设备（比如：一套液压系统、一套电气传动系统或一套气动控制系统）在运行过程中可能会发生故障而导致某些危险，这些危险可能会造成的伤害包括人的身体的损伤、健康状态的损害、财产的损失或者环境的破坏。


发生危险时可能会造成伤害，也可能不会造成伤害。当造成伤害时，有的情况下是一种轻度伤害，有的情况下是比较严重的伤害。我们把危险发生时，造成伤害的概率和伤害程度的组合，称为风险（Risk）。


在当前社会发展水平下，如果某个给定范围内的风险都是可以接受的，称之为“可容忍风险”。我们将这种没有不可接受风险的状态，称为“安全”。


为了介绍安全完整性等级，还需要明确如下几个术语：


受控设备（Equipment Under Control，EUC）：是指用于制造业、流程工业、运输业、制药业或其他行业的设备、机器、装置或成套设备；


功能安全（Functional Safety）：整体安全中与受控设备和受控设备控制系统相关的部分，它取决于电气/电子/可编程电子安全相关系统和其他风险降低措施正确执行其功能；


安全状态（Safe State）：达到安全时受控设备的状态；


安全相关系统（Safety-related System）：是指能满足如下两项要求的系统：执行要求的安全功能足以实现或保持受控设备的安全状态；自身或与其他电气/电子/可编程电子安全相关系统、其他风险降低措施一起，能够实现要求的安全功能所需的安全完整性；


安全功能（Safety Function）：针对特定的危险事件，为实现或保持受控设备的安全状态，由电气/电子/可编程电子安全相关系统或其他风险降低措施实现的功能；安全功能包括在要求时执行的功能，作为一种主动行为规避风险（比如主动关闭电机）；采取预防行为的功能（比如防止电机误启动）；


有了对这些术语的理解，我们就可以介绍安全完整性。


安全完整性（Safety Integrity）是指在规定的时间段内和规定的条件下，安全相关系统成功执行规定的安全功能的概率。安全完整性由硬件安全完整性和系统性安全完整性构成。安全完整性越高，安全相关系统在要求时执行规定的安全功能或实现规定的状态的概率就越高。


在确定安全完整性时应包括所有导致非安全状态的失效原因，比如：硬件失效、 软件导致的失效和电磁干扰导致的失效。某些类型的失效，尤其是随机硬件失效，可以用危险失效模式下的平均失效频率或安全相关保护系统未能在要求时动作的概率来量化。但是安全完整性还取决于许多不能精确量化的、只可定性考虑的因素。为了量化安全完整性，定义了四个离散的等级，称为安全完整性等级。


SIL认证是依据IEC 61508标准进行认证的，这是由以下部分组成，电气/电子/可编程电子安全相关系统的功能安全：


*1部分：一般要求


*2部分：电气/电子/可编程电子设备的要求-安全相关系统


*3部分：软件要求


*4部分：定义和缩写


*5部分：确定安全完整性水平的方法示例


*6部分：*2部分和*3部分的应用指南


*7部分：技术和措施概述


为了符合标准，必须符合*1 - 3部分的要求。*4 - 7部分仅供参考，可用于理解和应用标准，但不具备一致性要求。


产品制造商通常满足*2节要求，通过FMEDA分析确定其产品适合在给定的SIL水平内使用。


选择认证其工程流程并获得完整IEC 61508认证的公司也将遵守与软件开发相关的*3节。


关于安全完整性等级，还要说明一点：


安全完整性等级是一个系统性的概念，只有对某个安全系统才能评价其安全完整性等级。系统中的单个元件，比如传感器、电机等，并不具有安全完整性等级的属性，只可以说它们适用于某个安全系统。