安全仪表系统与SIL：这些术语对物位仪表意味着什么

变送器可能具有经认证的SIL能力，但购买它并不能证明完整安全功能达到了所需安全完整性。物位SIF包括检测、逻辑、最终执行元件及所需辅助服务。应核查证书范围和安全手册，再依据安全要求验证完整功能。

用通俗语言理解术语

安全仪表系统执行一个或多个安全功能，用于达到或维持规定的安全状态。其相对于基本过程控制系统的独立性，必须满足适用设计和风险评估要求。系统可在持续监测时使用诊断，但潜伏的危险故障仍可能一直存在，直到出现安全功能需求或进行验证测试才被发现。

安全仪表功能（SIF）是一项具体保护动作，例如“如果罐液位达到高高限，就关闭入口阀”。一个SIS可执行一个或多个SIF。

所需SIL应由危险与风险评估确定，而不是由仪表目录决定。在过程应用中，IEC 61511涉及SIL 1–3，IEC 61508还定义了SIL 4。低要求模式功能使用平均要求时失效概率（PFDavg）；高要求或连续模式功能则采用不同的失效频率指标。不要将低要求模式的概率声明直接用于其他运行模式。

应验证完整SIF的定量性能、架构约束和系统性安全完整性。设备证书说明其在规定条件下的能力，条件可能包括架构、诊断、验证测试覆盖率、运行模式和有效寿命。非冗余架构并非自动排除在SIL 2之外，是否满足要求取决于适用约束和经验证的性能。

应根据安全要求规格书选择架构及测试安排。可能需要冗余和表决，但它们也会引入共因失效及维护方面的问题。应记录失效数据、辅助公用设施、维修假设、响应时间和验证测试覆盖率，而不是把冗余本身当作达到某个SIL的途径。

典型例子是储罐防溢流保护。可信的设计将测量与保护分开：

独立传感器。采用专用高高液位开关或第二台变送器，与BPCS液位变送器分开，使测量故障不致同时导致保护失效。

逻辑解算器。采用独立于控制PLC的安全PLC或经认证的继电器逻辑解算器，接收跳闸信号并向最终执行元件发出指令。

最终执行元件。入口切断阀及其执行器、定位器应按使回路达到目标SIL的要求选定。

独立性是关键：用于储罐运行控制的液位测量与用于储罐保护的液位测量，不应由同一台仪表承担，因为要防范的失效模式恰恰就是该测量失效。

验证测试用于查找诊断未发现的危险故障。书面程序必须覆盖所声明的传感器、过程连接、逻辑和最终执行元件故障，并规定通过准则及受控旁路安排。测试周期和覆盖率应依据经验证的安全计算及安全手册确定；无论每年测试一次，还是仅强制输出，都不会自动证明达到了所需安全完整性。

两者要求的按需失效概率大约相差一个数量级，通常意味着更好的设备诊断、更短的验证测试间隔，有时还需要冗余。这是回路属性，而不是单台设备属性。

只有危险分析接受共用带来的失效模式时才可以，而防溢流保护通常不应接受。标准设计采用独立的高高限设备。

这是有条件的能力声明，其范围必须根据具体证书和安全手册确定。用于SIF前，应核查硬件和软件版本、失效数据、系统性能力、架构及测试假设。它并不构成对完整安装系统的认证。

对于单一、简单的跳闸功能，经认证的继电器逻辑解算器可能就足够。选择取决于功能数量、表决方式及所需诊断。