安全软件的SIL设计(下)
SIL是安全完整性等级
SIL是Safety Integrity Level的缩写，译为安全完整性等级。
SIL是在1998年颁布的IEC61508功能安全标准中首次提出的，它是功能安全等级的一种划分。
IEC61508将SIL划分为4级，即SIL1，SIL2，SIL3和SIL4。
安全相关系统的SIL应该达到哪一级别，是由风险分析得来的，即通过分析风险后果严重程度、风险暴露时间和频率、不能避开风险的概率及不期望事件发生概率这四个因素综合得出。
级别越高要求其危险失效概率越低。
SIL整体安全性等级PFD按要求的故障概率PFH每小时的危险故障概率1 10-2~10-1 10-6~10-52 10-3~10-2 10-7~10-63 10-4~10-3 10-8~10-74 10-5~10-4 10-9~10-8工厂内的设备/系统故障可能会引起环境破坏、爆炸和人员伤亡等。
SIL概念使得工厂运行者能够根据预期损害来划分其设备的要求。
另外，SIL概念为产品制造商提供了一个描述产品故障性能的方法。
所有设备/系统，甚至包括那些最精密的设备系统都可能产生故障。
SIL概念就是评定故障及其后果。
评估结果是根据概率计算得出的。
为了简化安全评估，SIL概念将安全级别化分为SIL1-SIL4（SIL4为最高安全级别）。
安全完整性等级的确定需要进行安全系统风险分析，它是进行系统研发的目标和基础，是评估系统能否保证安全的依据。
安全评估体系在完成了安全相关系统研发工作之后还涉及到对整个系统的安全性评价和认可问题，即安全评估。
它是要检查工程的安全管理是否完善，能否和安全计划保持一致。
把安全相关系统和安全需求规范相对照以评价它对控制系统风险是不是已经足够，以及系统能不能满足安全需求规范。
安全评估的目标是对于E／E／PE安全相关系统在功能安全方面达到的水平进行调查，并得出结论。
在石化、钢铁、电力、医药等工业领域，大部分安全问题依赖于仪表与控制系统执行正确的功能，这种安全依赖于系统功能的情况，被称为“功能安全”。
安全完整性等级(SIL)验算方法及流程
2020年06月作业申请人在电脑端发起申请后，作业审批人员在移动端查看管辖范围内的待审批作业票，对符合作条件的作业票进行批复。
图1直接作业管理系统流程框架作业计划时间前作业票签发相关人员抵达作业现场，由施工单位技术人员向作业人员进行技术和安全交底，并通过移动端拍照留痕，并提交到系统。
对于需要进行采样检测的作业，需同步开展采样检测，并将采样检测结果输入至系统中。
作业票由作业申请人现场填报作业人员相关信息后生成，作业票由监护人员进行安全条件确认签字和签发人签字后签发。
为保证签字人现场签字，通过人员定位和人脸识别实现定位签发，证件真伪通过OCR 证件识别比照基础信息库信息和外部查询网站信息识别。
作业完工后，监护人现场定位签字验收。
作业流程从现场交底到完工验收全程实现视频监控，具有权限的用户可通过移动端远程查看现场作业场景。
同时具有权限用户也可在GIS 地图查看作业分布情况。
当作业完工验收后，作业票据及相关信息会上传至系统，系统会对作业情况进行分析，形成分析报告。
4结语直接作业信息管理系统的开发应用，能够规范管道企业直接作业流程，解决目前作业环节中存在的关键问题，实现直接作业管理现场透明化、作业标准化、系统信息化，颠覆直接作业传统管理形式。
对于提升和优化直接作业的安全管理，保障直接作业作业过程安全具有重要意义。
参考文献：[1]张少春，丁元华.天然气管道运营企业直接作业环节HSE 管理探讨[J].中国石油和化工标准与质量，2017，(10)：47-48.[2]李成承，周玉峰.化工装置直接作业环节安全管理对策[J].安全、健康和环境，2018，18(11)：53-55.[3]李彬，张建辉.浅谈石化企业直接作业环节的安全监管[J].石油化工安全环保技术，2019，35(5)：3-5.[4]施红勋，王秀香，牟善军，等.石化企业作业票证移动定位签发系统的研发与应用[J].中国安全生产科学技术，2014，10(增)：124-128.[5]刘珍,陈全.铜冶炼企业风险数据库与作业许可管理信息系统研发[J].工业安全与环保，2017，43(9)：71-74.作者简介：邓付平（1986-），男，从事生产安全管理工作。
安全仪表系统(sis)的sil评估
亡问题，并且会造成巨额的经济损失，因此在过程工业中必须要开展安全仪表系统的安全评定，确保其安全性。
相关资料显示，在过程工业所出现的安全事故中，很多都是由于安全仪表系统存在问题导致的，安全仪表系统安全要求不合理，或者是对其进行了不恰当改造等因素，是导致出现安全事故的重要因素。
如果安全仪表系统的设计存在不合理的问题，那么可能会出现两方面问题：一方面，可能导致其在该跳车时不进行动作，出现拒动，拒动极有可能造成安全事故，甚至造成灾难性的后果；另一方面则是在不应该跳车时进行动作，造成误动，进而导致装置停车，会给企业带来比较严重的经济损失。
因此保证安全仪表系统的安全性具有重要意义，这就需要对其进行完整性评估，定量可靠性计算是最为重要的和有效的途径，通过这样的方式能够有效的防止各类事故的发生。
3 安全仪表系统功能安全评估等级划分相关标准对过程安全的安全等级进行了划分，IEC-61508将其划分为4个等级(SIL1-SIL4)。
而ISA-S84.01，则按照系统不响应连锁要求的概率对安全度等级进行了划分，分为了3级(SIL1-SIL3)。
我国当前根据自身的实际情况，按照所有事件发生的可能性、其可能导致后果的严重程度，以及其它安全措施的有效性等进行评估，并基于其制定了适当的安全等级，SIL 共分为1、2、3、4几个等级，级别越高则表示要求其危险失效概率越低。
其中，1级表示故障的发生概率很低。
如出现了事故，其所能够造成的影响也比较低，装置和产品可能受到轻微的影响，但是不会立即造成环境污染或者是人员伤亡，造成的经济损失不大；2级则表示事故偶尔发生。
如果出现事故则会给装置和产品造成比较大的影响，并有一定几率造成严重的环境污染，甚至人员伤亡，造成的经济损失比较大；3级事故则表示，事故发生的频率很高。
如果发生事故则会严重的影响到装置和产品，并且造成比较严重的环境问题，以及会导致人员出现伤亡，造成非常严重的经济损失。
评估安全完整性等级SIL 的主要参数就是PFDavg (probabilityoffailureon demand 平均危险故障率)，按照从高到低将划分为1、2、3、4四个等级。
安全度等级sil -回复
安全度等级sil -回复什么是安全度等级（SIL）？安全度等级（Safety Integrity Level，简称SIL）是一种用于评估和度量安全系统可靠性的方法。
SIL通常被应用于控制系统、安全系统和关键风险领域，以帮助企业和组织确保其系统在操作时的安全性。
SIL等级主要用于指导安全系统的设计、开发和验证，以及评估系统的预期性能和可靠性。
SIL等级是根据设计、功能要求和系统的可靠性要求来确定的，其标准主要由国际电工委员会（IEC）的标准IEC 61508和IEC 61511所定义。
根据这些标准，SIL等级分为4个级别，分别是SIL 1、SIL 2、SIL 3和SIL 4。
这些级别代表了系统的可靠性程度，SIL 4表示最高的可靠性，而SIL 1则表示最低的可靠性。
评估SIL等级的过程包括以下几个步骤：1. 风险评估：首先，需要对系统所涉及的风险进行评估。
这包括确定可能的危害、风险发生的可能性以及可能带来的后果。
通过风险评估，可以确定系统对安全的要求。
2. 定义安全功能：基于风险评估的结果，确定系统中的安全功能。
安全功能指的是在特定的操作模式下，系统必须采取的安全措施。
这些安全功能通常包括故障检测、故障屏蔽和故障回复。
3. 定义可靠性要求：根据安全功能的要求，设定系统的可靠性目标。
这包括定义系统故障的可接受概率和故障后果的严重程度。
可靠性要求通常以指标“失效概率每小时（PFH）”或“平均失效间隔（MTTF）”来表示。
4. 选择适当的硬件和软件：根据可靠性要求，选择适合的硬件和软件组件。
这些组件必须具备足够的可靠性，以实现所需的安全功能。
通常，组件的可靠性需要通过各种测试和验证来确认。
5. 进行验证和验证：在设计和开发阶段，对系统进行验证和验证，以确保其满足预期的SIL等级。
这包括对安全功能进行建模和分析，进行故障模式和效应分析（FMEA），并进行实验室测试和实地验证。
6. 维护和监控：一旦系统投入使用，需要对其进行维护和监控，以确保其持续满足SIL等级。
功能安全SIL认证介绍
安全完整性(SIL)评测简介机械工业仪器仪表综合技术经济研究所测量控制设备及系统实验室 功能安全中心产品评测项目2015.6中国•北京西城区广安门外大街甲397, 1000551 机构简介机械工业仪器仪表综合技术经济研究所（简称ITEI）是中央直属的科研院所，主要负责国内仪表自动化的研究、测试和推广服务。
功能安全技术研发中心（简称“功能安全中心”）是ITEI的技术部门之一，主要负责功能安全技术的研究，以及安全产品和系统的测试、评估等工作。
功能安全中心拥有国内最权威的安全专家团队，其核心成员皆是IEC国际功能安全标准制订与修订的专家组成员，有着深厚的可靠性基础和工业安全经验。
功能安全技术研发中心可提供培训、辅导、面向项目的咨询服务、工程安全分析工具、详细的产品确认和验证分析以及一系列的安全与可靠性资源测量控制设备及系统实验室（简称MCDL）为中国合格评定国家认可委员会(简称CNAS)授权，可在国内开展相关标准的检验测试服务，并颁发CNAS认可的认证报告和证书。
MCDL隶属于ITEI，其中功能安全产品相关的评测由功能安全中心负责开展，对经过评测的产品可以颁发安全完整性等级（SIL）适用性证书和报告。
2目的与范围本评测项目主要针对单个的产品或零部件，本评测的目的是通过分析、检查、测试和现场审核等方式，证明产品是否具有相应的SIL 适用能力（包括SIL1/2/3/4）。
一般情况下，本评测依据的标准为三个部分：功能安全基础标准——IEC61508（国标GB/T20438）；行业领域功能安全标准，如IEC61511，ISO13849等；产品标准，如产品的质量规范、国家/国际检测要求等；通过这些要求来满足随机硬件失效量目标控制量和系统性失效控制的双重要求，因此在评测的过程中需考察产品设计过程中以下三个方面：一、产品安全完整性技术论据（机械、电子、电气和软件等）二、产品研发过程管理（研发流程、文档化、管理规程等）三、产品生产质量管理过程3 评测方式在评测开始前，功能安全中心将成立专门的评测团队，负责本次项目的技术分析、测试和完成报告等工作。
安全仪表系统(SIS)SIL定级及验算方法
危化企业高温高压，有毒有害。
安全联锁系统（SIS）是阻止事故发生最关键的一个环节。
那么什么样的安全联锁系统（SIS）算是合格的系统呢，怎么评价一个安全联锁系统是否具备真正的保护作用，除了安全联锁系统（SIS）具有安全认证、冗余性、容错性和故障安全性以外，最有效的评估手段只有SIL定级和验算，SIL定级和验算是针对每一个联锁回路的（SIF），只有回路全部合格了，才是一个有效的保护层。
所以SIL验算是整个安全仪表系统（SIS）是否合格的最有力证明。
SIL定级太简单了,直接说验算吧。
问题1：目前存在一个认知的误区，就是一味的追求传感器和切断阀的SIL 等级，这是外行人的行为。
制约一个回路最关键的因素是联锁仪表的结构形式，而非单台仪表的SIL等级。
也就是我们常说的1oo2D、2oo3、2oo4D 等，任何一个低SIL级别的仪表，通过联锁结构，可以搭建成为高级别回路。
举个极端的例子，没有SIL级别的传感器，通过1oo3、1oo4或1oo5可以搭建成SIL2甚至SIL3的回路。
问题2：假认证（无效认证）满天飞，目前安全认证最权威的是TUV，如果你想选，那就选TUV认证的。
一些企业盲目追求安全认证，还不想花钱，催生了一批山寨认证。
一个最破旧的磁浮子液位计，竟然有“SIL3认证”，售价几百块，获得了很多企业的青睐。
高端仪表怎么和它PK?硬生生的掐断了一些真正高质量的仪表厂商活路的同时，给自己埋下了事故的种子。
问题3：计算人员过分依靠软件，目前最权威的软件为exSILentia，即使它的失效数据库，其实可信度也不高。
这些数据从哪里来，大部分是仪表厂商自己提供的，也有一部分是软件公司收集的，他们的收集只能从企业。
这些数据库有多大的可信度值得商榷。
权威软件如此，国内一些小软件，只能是东施效颦。
最主要的是，企业所使用的设备绝大部分没有在这个数据库中。
问题4：其实就SIS系统本身来讲，其可靠性和可用性都差不多，失效数据不会差距太多。
安全完整性等级(SIL)杂谈(一)
编者按：关于安全完整性等级的知识，例如1.什么是安全完整性SlL？2.SlL等级如何确定？3.舞台机械的SlL等级如何确定？4.符合SIL3的舞台机械控制系统必须具备那些条件？5.从S1L3出发客观评价国内舞台机械的水平及国内外差距。
6.所有剧场的舞台机械控制系统都应达到SⅠL3吗？上述问题在以往的论坛和技术交流中均未很好地解决，大部分还处于似是而非的状态。
为此，杂志特邀行业专家普及相关内容，以供交流。
安全完整性等级（SIL）杂谈（一）段慧文1 概述1.1 功能安全、安全完整性和安全相关系统电子/电气/可编程（E/E/EP）电子器件、软件系统在工业控制领域的大量使用，大大提升了自动化程度和生产效率。
但由于各种原因（如：研发人员的知识结构、开发制造中风险管理意识的不足、自身安全性能存在缺陷产品的流入等），在相关行业的安全控制系统中，由可靠性造成的人身安全、财产损失和环境危害等问题经常发生，给社会带来了无法挽回的损失。
世界各国在过程安全和工业装备安全控制中，对广泛涉及公众及职业安全的产品安全性设计非常重视，并且将电子、电气及可编程电子安全控制系统相关的技术，发展为一套成熟的安全设计技术，即功能安全技术。
【摘 要】 介绍安全完整性等级的相关标准，重点在于舞台机械控制系统安全相关的内容，同时阐述了舞台机械专业的国 内外差距。
【关键词】 安全完整性等级；舞台机械；控制系统；标准；差距文章编号： 10.3969/j.issn.1674-8239.2018.07.008Safety Integrity Level (SIL) (1)-A Discussion on the Gap between Domestic and Foreign in the Major of Stage MachineryDUAN Hui-wen【Abstract】The author introduces the relevant standards of safety integrity level, focusing on the safety related contents of the stage mechanical control system, and at the same time expounds the domestic and foreign gap of the stage machinery specialty.【Key Words】safety integrity level; stage machinery; control system; standard; gap笔者对几个与安全设计技术有关的名词作简单说明：（1）功能安全功能安全是与电子单元控制EUC（Electronic Unit Control）或与EUC控制系统有关的整体安全的组成部分, 内容包括管理和技术两方面。
sil安全手册
SIL安全手册1. 引言安全对于个人和组织来说都至关重要。
在网络时代，保护和维护信息安全变得尤为重要。
本手册将详细讨论如何保护个人和组织的安全，以及在面对安全威胁时如何应对。
2. 理解安全威胁2.1 什么是安全威胁？安全威胁指的是可能危及个人或组织安全的任何事件、行动或事物。
安全威胁可分为内部威胁和外部威胁。
2.2 内部威胁内部威胁指的是来自组织内部的安全威胁。
这可能包括雇员的疏忽、恶意行为或系统错误等。
2.3 外部威胁外部威胁指的是来自组织外部的安全威胁。
这可能包括黑客入侵、恶意软件、网络钓鱼等。
3. SIL安全策略3.1 预防措施为了保护个人和组织的安全，下面列出了一些预防措施：1.安装最新的防病毒软件，并定期更新数据库。
2.确保操作系统和软件程序都是最新版本，并及时安装安全补丁。
3.使用强密码，并定期更改密码。
4.限制对敏感数据的访问权限，只授权给有需要的人员。
5.定期备份重要数据，并将备份存储在离线和安全的地方。
3.2 应对措施当安全威胁发生时，合适的应对措施是至关重要的。
以下是一些应对措施的建议：1.针对具体威胁制定应急响应计划。
2.及时发现和隔离受感染的系统或网络。
3.寻求专业的安全咨询和技术支持。
4.恢复被破坏或丢失的数据。
5.分析安全事件的原因并进行调查。
4. 培训和意识提高4.1 员工培训为了加强个人和组织的安全意识，进行安全培训是必要的：1.员工应接受定期的安全培训，以了解最新的安全威胁和防范措施。
2.培训涵盖的主题应包括密码管理、网络安全、社交工程攻击等。
4.2 安全政策制定和执行明确的安全政策对于维护组织的安全至关重要：1.确定安全政策的目标和范围。
2.明确规定员工在工作中应遵守的安全规定。
3.审查和更新安全政策，以适应不断变化的威胁环境。
5. 总结保护个人和组织的安全是一个持久的挑战。
通过理解安全威胁、采取预防措施和合适的应对措施，以及加强培训和意识提高，我们可以提高信息安全水平。
SIL定级及验证示例(两篇)
引言：本文将介绍SIL（SafetyIntegrityLevel）定级及验证的示例。
SIL是衡量系统安全性的指标，对于某些关键的工艺、设备或系统，必须对其进行SIL定级和验证，以确保其在设计、运行和维护过程中的可靠性。
本文以一个示例为基础，将介绍SIL定级的步骤、方法和验证的实施过程。
概述：SIL定级是通过对系统关键元素和功能的分析，以确定其对安全的贡献程度。
验证过程则是确认系统设计和实施是否满足所规定的SIL要求。
本文将以一个典型的工程控制系统为例，详细介绍SIL定级和验证的步骤、方法、关键要素及实施过程。
正文：一、需求分析与功能定义1.分析系统的功能和需求，定义系统的功能模块和关键元素。
2.与相关部门和人员沟通，明确系统在工艺过程中的安全要求，并将其转化为功能定义。
二、风险评估与SIL定级1.根据需求分析和功能定义，参考相关标准和法规要求，对系统面临的风险进行评估。
2.通过定性和定量方法对系统的可靠性进行分析，评估各个功能模块的影响程度。
3.根据评估结果，将系统的各个功能模块分级，确定其对安全性的贡献程度。
三、功能安全设计与实施1.根据SIL定级结果，制定功能安全设计的策略和方法。
2.根据功能定义和功能安全设计策略，进行详细的功能安全设计。
3.涉及到硬件和软件的实施过程中，需严格按照设计规范和标准要求进行操作。
4.对功能安全设计的实施过程进行记录和跟踪，确保符合相关要求。
四、验证计划与实施1.制定验证计划，明确验证的目的、方法、范围和时间表。
2.根据验证计划，实施各个功能模块的验证活动。
3.包括实际测试、仿真测试、故障注入等方法，验证功能模块的安全性能。
4.验证过程中，应及时记录和处理验证结果，并根据需要进行调整和改进。
五、验证结果和报告1.分析整个验证过程的结果，比较实际测试和设计要求的差异。
2.根据实际测试的结果，评估系统的可靠性和安全性能是否满足SIL要求。
3.撰写验证报告，明确验证的步骤、过程和结果，提供给相关部门和人员审查和评估。
功能安全sil等级
功能安全sil等级功能安全 (Safety Integrity Level, SIL) 简介功能安全 (Safety Integrity Level, SIL) 是指在系统或设备的设计、开发和运行中，通过采取特定的安全措施来确保避免或减轻可能造成的危险事故，并且保护人员、财产和环境免受伤害。
一、SIL的定义与意义功能安全是指系统或设备在正常操作的情况下，能够执行既定任务，并以预期的方式对故障和异常情况做出响应，从而保护人员的安全。
SIL为度量系统或设备的安全性提供了一种通用的方法。
根据不同的应用需求，SIL被分为四个级别，从SIL1到SIL4，SIL4代表着最高的安全要求。
SIL的设定与评估主要包括以下几个步骤：1. 风险评估：确定系统或设备可能引发的危险事故，并评估其后果，包括人员伤害、财产损失和环境影响等。
2. 安全功能需求：确定保护系统或设备的安全功能需求，以确保在发生故障或异常情况时，能够采取合适的措施和策略。
3. SIL分级：根据风险评估和安全功能需求，将系统或设备分级为相应的SIL等级，以确定所需的安全性能。
4. 验证与验证：通过测试和验证，确保系统或设备满足相应的SIL等级要求，并符合相关的标准和规范。
SIL的意义在于为系统和设备的设计与开发提供了一种基准和目标。
通过根据应用需求确定适当的SIL等级，并在设计和开发过程中采取相应的安全措施，可以最大限度地减少系统或设备可能引发的危险事故，并降低人员伤害和财产损失的风险。
二、功能安全与汽车行业功能安全在汽车行业中尤为重要。
随着汽车电子技术的不断发展和普及，车辆中的电子系统和控制装置越来越多，这就对汽车的功能安全提出了更高的要求。
汽车行业普遍采用ISO26262标准作为功能安全的参考。
该标准涵盖了整个汽车电子系统的生命周期，包括硬件和软件的设计、开发、测试、验证和维护等。
根据ISO26262标准，汽车电子系统被分为多个安全功能，并为每个安全功能指定了相应的SIL等级要求。
SIL定级及验证示例
目录
• SIL定级介绍 • SIL验证方法 • SIL定级及验证示例 • SIL定级及验证的挑战与展望
SIL定级介绍
01
SIL定级的定义
SIL定级是指对安全仪表系统的安全完 整性进行评估和确定等级的过程，以 确保系统在规定的时间内完成所需的 安全功能。
SIL定级基于风险评估和安全分析，确 定系统能够达到的安全完整性水平， 并以此为基础进行设计、配置和验证。
详细描述
验证和校准工作包括测试安全仪表的响应时间和准确性， 检查其是否符合预定的SIL等级要求。此外，还需要对安 全仪表的维护和保养进行规范管理，以确保其长期稳定运 行。
示例二：SIL验证在电力行业的实践
总结词
电力行业是关系国计民生的重要行业，SIL验证在保障电 力设施安全运行方面具有重要作用。
详细描述
总结词
电力行业中的SIL验证实践需要关注安全仪表的多样性和 复杂性。
总结词
为了提高SIL验证的效率和准确性，电力行业需要采用先 进的测试和评估技术。
详细描述
这包括使用自动化测试工具、模拟软件以及数据分析技术 等，以实现对安全仪表的快速、准确测试和评估。同时， 还需要加强人员培训和技术交流，提高验证工作的专业水 平。
示例三：SIL定级及验证的综合应用
总结词
在某些高风险领域，如石油、天然气等，SIL定级及验证 的综合应用至关重要。
详细描述
在这些领域中， SIL定级不仅用于确定安全仪表的等级， 还涉及到整个生产流程的安全风险评估和管理。验证工作 则贯穿于整个生产过程中，以确保安全仪表功能的持续有 效性。
总结词
综合应用中需强化对操作人员的培训和应急演练。
跨学科合作
安全仪表系统的SIL等级和冗余要求
Journal of Oil and Gas Technology 石油天然气学报, 2020, 42(4), 274-279Published Online December 2020 in Hans. /journal/jogthttps:///10.12677/jogt.2020.424143SIL and Redundancy Requirement of Safety Instrumented SystemShaoqing Shan, Yishan Guan, Yuewang MaChina Petroleum Pipeline Engineering Co., Ltd. International, Langfang HebeiReceived: Oct. 10th, 2020; accepted: Nov. 20th, 2020; published: Dec. 15th, 2020AbstractSafety instrumented system is the system to prevent and reduce the occurrence of dangerous events in oil and gas pipelines or to maintain process safe status, and realize safe protection or safe control. Safety integrity level (SIL) is a classification method to quantify the expected or re-quired safety level of safety instrumented system. The average probability of failure on demand of danger is an important index to measure the safety integrity level, and the hardware failure to-lerance is determined by the safety integrity level. The domestic common specifications have made requirements on the logic controller redundancy of safety instrument system for each safety integrity level. The redundancy setting and safety integrity level requirements of logic control module of emergency shutdown (ESD) system of ARAMCO are significantly higher than the re-quirements of domestic specifications.KeywordsSafety Instrumented System, Safety Integrity Level, Average Probability of Failure, HardwareFailure Tolerance, Redundancy安全仪表系统的SIL 等级和冗余要求安全仪表系统的SIL 等级和冗余要求单少卿，关沂山，马岳旺中国石油管道局工程有限公司国际事业部，河北 廊坊收稿日期：2020年10月10日；录用日期：2020年11月20日；发布日期：2020年12月15日摘要安全仪表系统是为防止、减少油气管道危险事件发生或保持过程安全状态，实现安全保护或安全控制的控制系统，安全完整性等级(SIL)是一种量化安全仪表系统预期或要求的安全水平的分级方式，平均失效概率是衡量安全完整性等级的重要指标，相应的安全完整性等级对应着相应的硬件故障裕度，国内常用规范对各个安全完整性等级的安全仪表系统逻辑控制器冗余做了相应要求，阿美公司的紧急停车(ESD)系统逻辑控制模块冗余设置和安全完整性等级要求明显高于国内规范要求。
sil标准
SIL (Safety Integrity Level) 是一种用于评估安全系统可靠性的标准体系，主要应用于工业过程、航空航天和铁路等领域。
SIL 标准定义了不同安全功能可靠性的级别，并提供了相应的安全控制措施和要求。
SIL 标准通常包括以下四个级别：
1. SIL 1 —安全性要求最低的级别，通常用于减少一些不重大事故的发生。
2. SIL 2 —安全性要求中等的级别，通常用于减少一些重大事故的发生。
3. SIL 3 —高安全性要求的级别，通常用于防止或减轻重大事故的影响。
4. SIL 4 —最高安全性要求级别，仅适用于某些需要最高安全保障的极少数特殊场合。
针对不同的安全系统级别，SIL 标准提供了针对性的安全控制措施和要求，包括硬件、软件、人员和管理等方面。
例如，在安全系统中可以使用多个独立的安全层次、特定的组件和
设计原则、重复输入和输出检查等技术。
通过采用SIL 标准，企业可以评估识别风险，并采取相应的安全控制措施，保证工作环境的安全稳定性。
此外，SIL 标准也有助于提高企业的安全文化意识，强化对安全问题的重视和管理。
安全仪表系统的SIL验证及设计优化方法
安全仪表系统的SIL验证及设计优化方法为进一步加强化工安全仪表系统管理，防止和减少危险化学品事故发生，安监总管三〔2014〕116号《国家安全监管总局关于加强化工安全仪表系统管理的指导意见》紧急出台。
这对现役及在建项目中安全仪表系统管理提出更高要求，尤其是给安全仪表功能回路的安全完整性等级（SIL）验证工作带来巨大挑战。
在实施SIL验证的过程中，我们势必会遇到了大量的验证不通过从而实施设计变更的案例。
为尽量避免设计变更同时减少过度设计，本文从专业角度给出一些大概率通过SIL 验证的设计方法及典型回路的规律，以期对SIL 验证工作有一定的参考价值。
一、 SIL定级报告中的关键信息1.1安全仪表功能关键动作的辨识安全仪表功能（SIF）回路是为了降低特定场景的安全风险而设置的，定级报告中SIF 回路的功能描述是工艺设计的完整逻辑要求，包含关键动作及附件动作。
能够直接、有效地阻止特定场景不利后果发生的某个或者一系列动作称为安全关键动作，关键动作仅仅对于阻止该特定场景有效。
SIL 验证应关注的是关键动作，其他的附加动作都属于非关键动作，验证中不予考虑。
如果不能有效辨识安全关键动作，大量的执行元件将参与SIL 验证，回路架构复杂，难以通过验证。
1.2 SIF 回路架构的约束按照国际电工委员会（IEC）及国家标准要求，SIF 回路的所有元件架构必须对应SIL 定级有一定的约束。
对于仪表设计，架构是基础。
对于SIL3，IEC61511：2016 Functional safety-safety instrumented systems for the process industry sector 要求冗余架构的硬件故障裕度（HFT）至少不低于1 ；对于SIL2，虽然没有强制的冗余架构约束，但是实际验证中发现，如果要通过SIL2（风险降低因子RRF不低于200）的验证，非冗余架构的切断阀对采购产品的安全可靠性要求非常高，实际上也很难实现。
安全度等级sil
安全度等级sil
SIL（安全度等级）是一种用于评估系统或设备安全性的标准。
它是根据一系列的安全要求和措施来确定的，旨在保护系统免受潜在的威胁和攻击。
安全度等级的划分通常从SIL 1到SIL 4，其中SIL 4代表最高级别的安全性。
每个等级都有其特定的要求和限制，以确保系统在各种情况下能够安全运行。
在设计和开发安全系统时，需要按照适当的SIL等级来选择和实施相应的安全措施。
这些措施包括但不限于：硬件和软件设计的可靠性、故障检测和容错能力、系统监控和故障处理等。
通过采取这些措施，可以最大程度地减少系统被攻击或故障引起的风险。
例如，在工业领域中，如果一个系统被归类为SIL 4级别，那么它必须满足更高的安全要求和标准。
这可能包括使用双重冗余设计、定期进行系统检测和维护、以及采用更强的身份验证和访问控制等。
在航空航天、核能以及医疗设备等领域，安全度等级的概念也被广泛应用。
这些领域的系统需要高度可靠和安全的设计，以确保人们的生命和财产不会受到威胁。
安全度等级（SIL）是一种评估系统安全性的标准，它在各行业中起到了至关重要的作用。
只有通过采取适当的安全措施和满足相应的要求，我们才能确保系统在各种环境和情况下都能够安全运行。
sil安全等级划分标准
sil安全等级划分标准
SIL（Safety Integrity Level）是对安全系统的可靠性要求进行定量化的等级评定，通常用于衡量安全系统的可靠性程度。
SIL等级划分基于功能安全标准（如IEC 61508）的要求，一般分为四个等级，即SIL 1、SIL 2、SIL 3 和SIL 4。
以下是对各个等级的基本描述：
1. SIL 1
- 描述：SIL 1是最低的安全完整性等级，要求较低，适用于一些低风险的系统。
- 特点：需要基本的安全措施来避免系统的严重故障或损害。
2. SIL 2
- 描述：SIL 2要求比SIL 1更严格，适用于中等风险的系统。
- 特点：需要有一定程度的故障控制和监测，以减少故障发生的可能性，并降低潜在危害的严重程度。
3. SIL 3
- 描述：SIL 3是一个较高的安全完整性等级，适用于高风险的系统。
- 特点：需要更严格的故障控制和监测措施，以及更高的系统可靠性来避免故障并减小事故风险。
4. SIL 4
- 描述：SIL 4是最高的安全完整性等级，适用于极高风险的系统，通常在一些特殊的高危险环境下使用。
- 特点：对系统的安全性和可靠性要求极高，需要采取最严格的控制措施来确保安全性。
这些等级的划分旨在帮助工程师和设计者了解系统所需的安全性能，以及设计和实施相应的安全控制措施，从而最大程度地降低潜在的风险和危害。
sil安全完整性等级-SAFETYINTEGRITYLEVEL
DNV ENERGYS AFETY I NTEGRITY L EVEL安全完整性等级SIL用行业最佳实践来优化安全关键性系统的管理和确保仪表的保护功能，达到安全运行安全关键性系统广泛地应用于石油、天然气和化工行业。
安全关键性系统其主要作用有工艺关断、火灾探测、气体探测、工艺保护和泄放。
这些系统的失效会导致安全、环境和财产的巨大损失。
安全完整性等级(SIL)就是对安全关键性系统的安全完整性的要求，以离散的数据表示。
Solutions 解决方案DNV 使用一些技术方法并借助于软件工具来管理安全关键性系统。
这些技术和方法可以按照安全关键性设备的生命周期来进行分类如下图。
安全关键性系统的寿命周期可以分为三大类：设计、维护计划以及操作和监控。
Overall Scope Hazard & Risk Overall Safety Safety Overall Installation Overall Safety Overall Operation Overall ModificationOverall Safety LifecycleOverall PlanningInstallation&Safety-related External Risk 68Concept 1Definition Analysis Requirements R equirementAllocation& Commissioning Validation & MaintenanceDecommissioning& RetrofitBack to appropriate phase 2345Overall Commission PlanningOverall ValidationPlanning Overall Operation &Maintenance Planning Systems:Other Technology RealizationReduction Facilities Realization7Safety-related[See E/E/PESSystems:E/E/PES Realization Safety Lifecycle]910111213141615Design 设计•安全要求•划分SIL 等级•设计建议Maintenance planning 维护计划•根据SIL 等级和费用制定维护和测试计划Operation and monitoring 操作和监控•监控测试和维护计划的实施•改进维护和测试计划IEC61508 –Life Cycle Model生命周期模型如何确保这些安全功能或仪表保护功能的可靠性（其可靠性取决于许多相互关联的技术，如：机械、电器、电子元件及软件等）？…the right people for the right technologyDNV ORBIT SIL 软件DNV ORBIT SIL 软件便于执行SIL的相关工作，如确定SIL等级、验证SIL等级、确定维护和测试计划等。
HAZOP分析LOPA定级及SIL验算软件
HAZOP分析LOPA定级及SIL验算软件HAZOP (Hazard and Operability Study)分析和LOPA (Layer of Protection Analysis)定级及SIL (Safety Integrity Level)验算是用于工业过程安全评估和控制的常用方法。
为了提高效率和准确性，开发了一些计算软件来辅助进行这些分析和评估。
下面将介绍一些常见的相关软件。
1. iSET安全工具箱 (iSET Safety Toolkit):iSET安全工具箱是一款集成了HAZOP、LOPA和SIL计算功能的软件。
它提供了用户友好的界面，可以帮助用户快速进行HAZOP分析和LOPA定级，并自动生成相应的报告。
此外，它还可以根据计算结果进行SIL验算，确保工业过程的安全性。
2. exSILentia:3. PHA-Pro:PHA-Pro是一种流行的HAZOP和LOPA软件，广泛用于工业过程安全评估。
它提供了多种分析方法，包括HAZOP、FMEA (Failure Mode and Effects Analysis)和LOPA。
该软件具有强大的数据管理和分析功能，可以帮助用户有效地进行HAZOP分析和LOPA定级。
除了上述软件，还有一些其他的HAZOP、LOPA和SIL软件，如Safeti、Risk Spectrum和PHAWorks等。
这些软件通常都提供了可视化工具、数据管理和分析功能，可以极大地简化和加快安全评估和控制的过程。
需要注意的是，这些软件只是辅助工具，用户在使用时仍需要具备相关的知识和技能。
此外，软件的准确性和可靠性也依赖于输入的数据质量和正确性，因此用户在使用这些软件时应该谨慎，并对结果进行适当的验证和审查。
总之，HAZOP分析、LOPA定级和SIL验算是工业过程安全评估和控制中重要的步骤，这些计算软件可以提供有效的辅助，帮助用户快速进行分析和评估，并生成相应的报告。
安全完整性等级认证(SIL)
1SIL认证简介SIL（Safety Integrity Level）—安全完整性等级。
SIL认证就是基于IEC 61508, IEC 61511, IEC 61513, IEC 13849—1， IEC 62061，IEC 61800—5-2等标准,对安全设备的安全完整性等级（SIL)或者性能等级(PL)进行评估和确认的一种第三方评估、验证和认证。
功能安全认证主要涉及针对安全设备开发流程的文档管理(FSM)评估，硬件可靠性计算和评估、软件评估、环境试验、EMC电磁兼容性测试等内容.欧洲电工标准化（CENELEC的缩写）委员会,欧洲三大标准化组织之一. CENELEC 负责电子工程领域的欧洲标准化。
CENELEC连同电信标准化（ETSI）和CEN（所有其他技术领域的标准化）形成了欧洲标准化体系。
SIL认证一共分为4个等级，SIL1、SIL2、SIL3、SIL4,包括对产品和对系统两个层次。
其中，以SIL4的要求最高。
2主要标准IEC 61508:电气/电子/可编程电子安全相关系统的功能安全性IEC61508标准规定了常规系统运行和故障预测能力两方面的基本安全要求。
这些要求涵盖了一般安全管理系统、具体产品设计和符合安全要求的过程设计,其目标是既避免系统性设计故障,又避免随机性硬件失效。
IEC61508标准的主要目标为：· 对所有的包括软、硬件在内的安全相关系统的元器件,在生命周期范围提供安全监督的系统方法；· 提供确定安全相关系统安全功能要求的方法；· 建立基础标准，使其可直接应用于所有工业领域。
同时,亦可指导其他领域的标准，使这些标准的起草具有一致性(如基本概念、技术术语、对规定安全功能的要求等);· 鼓励运营商和维护部门使用以计算机为基础的技术;· 建立概念统一、协调一致的标准架构和体系。
IEC61511：过程工业领域安全仪表系统的功能安全要求IEC61511是专门针对流程工业领域安全仪表系统的功能安全标准，它是国际电工委员会继功能安全基础标准IEC61508之后推出的专业领域标准，IEC61511在国内的协调标准为GB/T 21109。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
机械工业仪器仪表综合技术经济研究所
安全软件设计和开发
▋基本要求（3/3）
z z
z
z
当软件被要求实现不同安全功能时，所有软件必须看 作属于最高的安全完整性等级 就可行性而言，设计必须包括执行证明测试和全部诊 断测试的软件功能，以便实现E／E／PE安全相关系统 的安全完整性需求 软件设计必须包括与所要求的安全完整性等级相称的 控制流和数据流的自监督，关于失效检测，必须选取 合适的动作 如果标准的或以前开发的软件是用作设计的一部分， 那么必须能够清楚地识别它。软件满足软件安全要求 规范软件的适用性应该加以证明
机械工业仪器仪表综合技术经济研究所
软件安全要求规范
▋要求(2/2)
z
z z z
如果在规定的E/E/PE安全相关系统的安全需求先前没 足够定义，在规定的软件安全需求中必须详细说明被 控设备的所有相关的运行模式 软件安全要求规范必须详细说明并为硬件和软件之间 的所有安全相关和有关约束提供文件 对被描述的E/E/PE硬件结构设计所要求的范围，软件 安全要求规范必须考虑软件的自监督等问题 软件安全要求规范必须陈述所要求的产品安全，但不 是计划，必须适当说明软件安全功能需求和软件安全 完整性的需求
机械工业仪器仪表综合技术经济研究所
软件安全要求规范
▋目标
z z z z
主要介绍IEC61508-3中有关软件安全要求规范 的内容，并结合了EN50128的相关内容 用软件安全功能需求和软件完整性需求详细说 明软件需求 详细说明每一个E/E/PE安全相关系统为了实现 所要求的安全功能所必需的软件安全功能需求 详细说明每个E/E/PE安全相关系统的软件安全 完整性，该安全完整性对分配给E/E/PE 安全相 关系统的每一安全功能达到规定的安全完整性 等级是必需的
机械工业仪器仪表综合技术经济研究所
安全软件设计和开发
▋软件结构目标
z
z
软件结构指的是软件系统的体系结构，它代表了软件 系统的整体性问题。软件体系结构的设计是整个软件 开发过程中关键的一步，软件体系结构的选择往往会 成为一个系统设计成败的关键 目标 (1)开发实现符合软件安全完整性等级要求的软件要求 规范所规定的软件结构 (2)审查由系统结构分配给软件的需求 (3)识别和评估硬件／软件安全交互作用的有效性 (4)如果事先没有规定，选择设计方法
机械工业仪器仪表综合技术经济研究所
安全软件设计和开发
▋对支持工具和编程语言的要求（2/2）
4．当3不能满足时，在软件体系结构设计描述过程中应记 录选用替代语言的理由，包括该语言用于本软件的合理性以 及安全软件设计和开发针对该语言的任何已识别出的缺点的 任何附加措施 5．必须开发编码标准并用于所有软件的开发，编码标准必 须包含在软件质量保证计划中 6．编码标准必须规定好的编程安全方法，排除非安全的语 言特征，并规定源代码文档编制的规程。最低限度必须把下 列信息包括在源代码文档中： a. 合法实体(如著作者、公司) b. 配置管理沿革 c . 描述 d . 输入和输出
安全软件设计和开发
▋对软件模块测试的要求 测试软件模块是否正确地满足它的测试规格说 明是一种验证活动，它是代码审查和软件模块 测试的组合 1．在软件设计期间必须按照规定测试每一个 软件模块 2．这些测试必须表明每一个模块实现了它的 预期功能并且没有实现不期望的功能 3．软件模块测试结果必须建立文档 4．必须规定测试失败所采用的改正动作过程
机械工业仪器仪表综合技术经济研究所
安全软件设计和开发
▋基本要求（2/3）
z z z z z
为了促进最终安全相关系统的这些特性的实现，在设 计活动期间必须考虑安全修改的可测性和限度 设计方法的选择必须具有能够增强软件修改的特征， 这样的特征包括模块化、信息隐蔽和压缩 设计陈述必须以确切定义的符号为基础或局限于确切 定义的特征 就可行性而言，设计必须把软件的安全相关部分减少 到最低限度 当软件被要求同时实现非安全和安全的两种功能时， 所有的软件必须看作安全相关的，除非在设计时，可 以论证两种功能间充分独立
机械工业仪器仪表综合技术经济研究所
安全软件设计和开发
▋对详细设计和开发的要求
1．下列消息应在设计开始以前是可用的：软件安全要求 规范；软件结构设计描述；软件安全确认计划 2．所编制的软件应该具有实现模块化、可测试性和安全 修改的能力 3．对软件结构设计描述中的每个主要部件／子系统，设 计的进一步求精必须以软件模块划分为基础(也就是软件 系统设计规格说明)。必须规定每个软件模块的设计和每 个软件模块所用的测试 4．应该规定合适的软件系统集成测试，以保证软件系统 满足在所要求的安全完整性等级上所规定的软件安全需求
机械工业仪器仪表综合技术经济研究所
可编程电子中软件结构和硬件结构的关系
机械工业仪器仪表综合技术经济研究所
安全软件设计和开发
▋目标
z z
z
z
z
创建一个软件结构，该结构满足相对于所要求的安全 完整等级的规定的软件安全需求 审查和评估软件需求，这个软件需求是由E/E/PE安全 系统按排到软件上的需求，这个系统包括E/E/PE硬件/ 软件对被控设备安全相互作用的重要性 选择一套合适的工具，包括语言和编译器，对所要求 的安全完整等级，覆盖帮助验证，确认，评价和改进 的整个安全生命周期 设计和实现软件，这个软件满足对于所要求的安全完 整性等级的规定的软件安全需求，能够分析和验证且 能安全地修改 验证达到的软件安全需求（所要求的软件安全功能和 软件安全完整性）
z
机械工业仪器仪表综合技术经济研究所
软件／硬件集成
z
要求（1/2）
(1) 在设计和开发阶段期间必须确定集成测试，以保证硬 件和软件的相容性 (2) 硬件和软件集成测试必须确定下列各项： a. 将系统分成集成等级 b. 测试用例和测试数据 c. 所用 的测试形式 d. 包括工具、支持软件和配置描述在内的 的测试环境 e. 判断测试完成的测试准则 (3) 硬件和软件的集成测试必须区分可以由开发者以自己 的假设所开展的活动和按用户要求进行的活动 (4) 硬件和软件的集成测试必须区分下列各项活动： a．将软件系统合并到目标可编程电子硬件 b．E/E/PE 集成，就是加上传感器和执行器这样的接口 c．EUC和 E/E/PE安全相关系统的完全集成
机械工业仪器仪表综合技术经济研究所
软件安全要求规范
▋要求(1/2)
z
z z z
为了可以设计和实现达到所要求的安全完整性，并且允许 进行功能安全评介，软件安全要求规范必须足够详细。其 详细程度随应用的复杂性而变化 软件开发者必须审核E/E/PE安全相关系统安全规范和安全 计划的所有信息，以保证需求被足够详细地说明 软件开发者必须制定在分配软件安全完整性等级上，解决 所有争论的进程 对被安全完整性等级所要求的范围，必须陈述和构造规定 的安全要求
机械工业仪器仪表综合技术经济研究所
安全软件设计和开发
▋软件结构的输入输出
z
输入文件 (1)软件要求规范 (2)系统安全规格说明 (3)系统结构描述 (4)软件质量保证计划 输出文件 软件结构规格说明
z
机械工业仪器仪表综合技术经济研究所来自安全软件设计和开发▋软件结构要求（1/3）
(1)必须由软件提供者和／或开发者制定建议性的软件 结构，并在软件结构规格说明中详细说明。 (2)软件结构规格说明必须考虑实现在所要求的软件安 全完整性等级上的软件要求规范的可行性。 (3)软件结构规格说明必须识别、评估和详细说明所有 软件／硬件交互作用的有效性。作为EN50126和 EN50129的要求，关于硬件和软件之间交互作用的初 步研究必须记录在系统安全规格说明中 (4)软件结构规格说明必须识别所有软件部件，并对这 些部件进行识别
机械工业仪器仪表综合技术经济研究所
安全软件设计和开发
▋对支持工具和编程语言的要求（1/2）
1．为了在整个软件生命周期保持所要求的软件安全等级必 须选择一套合适的工具，它包括设计方法、语言和编译器 2．在可以使用的时候，必须使用自动测试工具和集成开发 工具，必须考虑验证和确认的需要 3．为了达到软件安全完整性等级所要求的程度，所选择的 编程语言具有下列各项之一的翻译器／编译器： a. 有一个通过国家或国际标准确认证书的或通过评测认为 适合所用目的解释器／编译器 b. 被完整和明确定义或局限于具有明确定义的特性 c. 与应用的特性相适应 d. 具有易于识别编程差错的特性 e. 支持与设计方法相适应的特征
机械工业仪器仪表综合技术经济研究所
安全软件设计和开发
▋对编码实现的需求 1．源码必须是 a. 可读的、可理解的和可测试的 b. 满足规定的软件模块设计要求 c. 满足规定的编码标准要求 d. 满足在安全计划期间规定的所有相关的要 求 2．应该审查每个软件编码模块
机械工业仪器仪表综合技术经济研究所
机械工业仪器仪表综合技术经济研究所
软件／硬件集成
z
目标
a.将软件集成到预先规定的可编程电子硬件中 b. 将软件和硬件组合到安全相关可编程电子设备中，保 证它们的相容性，并满足预期安全完整性等级的要求 和系统安全规格说明
z
输入文档
a. 系统要求规范 b. 系统安全要求规范 c. 系统结构 描述 d. 软件要求规范 e. 软件需求测试规格说明 f. 软件结构规格说明 g. 软件设计规格说明 h. 软件模块 设计规格说明 i. 软件模块测试规格说明 j. 软件源码 和支持文档 k. 硬件文档 输出文档 a. 软件/硬件集成测试计划 b.软件/硬件集成测试 报告。
机械工业仪器仪表综合技术经济研究所
安全软件设计和开发
▋对软件集成测试的要求
1．在软件设计和开发期必须同时规定软件集成测试 2．所规定的软件集成测试必须规定下列各项：a.被分成可管理的集成集 合的软件的各个部分 b.测试用例和测试数据 c.所用的测试形式 d.测试环 境、工具、配置和程序 e.判断测试完成的测试准则 f.测失败所采用的改 正动作过程 3．必须按照规定的软件集成测试来测试软件。这些测试必须表明所有 软件模块和软件部件／子系统正确地交互作用，以实现它期望的功能并 且没有实现不期望的功能 4．软件集成测试结果必须建立文档，陈述测试结果，以及是否满足测 试准则的目标和准则。如果有失败，必须建立失败原因的文档 5．在软件集成期间，对软件的任何修改或变动必须进行影响分析，以 确定所有受影响的软件模块以及进行重新验证和重新设计的必要性