一文读懂 SIL 功能安全认证：从概念到 SIL2 落地（以阀门执行器为例）

SIL（安全完整性等级）是功能安全领域的核心概念。对带电子控制的防爆设备来说，SIL 认证往往与防爆认证叠加出现——前者管"失守后会不会出事"，后者管"会不会变成点燃源"。本文基于 AlliedEx 首个 SIL 认证项目（某系列阀门电动执行器，对接上海仪控所），把这套知识讲透。

两套逻辑，别混为一谈：防爆认证（MA / CCC / ATEX / IECEx）评价设备会不会变成点燃源；SIL 功能安全认证评价安全相关功能失守的概率。两者叠加，正好是高端防爆设备（隔爆 + 本安 + 安全相关控制）的完整合规包。

一、什么是 SIL

SIL（Safety Integrity Level，安全完整性等级）衡量的是安全仪表功能（SIF）在需要动作时、可靠动作的概率——只看"失守的概率"，不看"事故有多大"。等级 1~4，4 最严。

图1 · SIL 等级金字塔（PFDavg=平均危险失效概率，RRF=风险降低因子）

两个核心指标：PFDavg（平均危险失效概率，越小越好）与 RRF（风险降低因子 = 1/PFDavg，越大越好）。SIL 2 要求 PFDavg 在 10⁻³~10⁻²，即平均约 100 年最多失守 1 次量级——这恰好是本项目执行器的目标层级。

SIL 不评价整机"安不安全"，而是评价一个安全仪表功能（SIF）。一个 SIF 由三层串联：

图2 · SIS 三层架构（传感器 → 逻辑解算器 → 最终执行元件）

铁律：任何一层失守 = 整个 SIF 失败。所以认证时三层都要分别评估，再合成整体 PFDavg。本项目认证对象是最终执行元件这一环。

图3 · SIL 认证标准体系树（IEC 61508 为根）

IEC 61508 是 E/E/PE 安全相关系统的通用根标准，向下分化出 IEC 61511（过程工业）、IEC 62061（机器）、ISO 13849（机械性能等级）。带电子控制的阀门执行器，按 IEC 61508 主线由仪控所发证。

认证不是测一次就完，它贯穿 IEC 61508 定义的安全生命周期闭环：

图4 · IEC 61508 安全生命周期

真实路径：H&R（危害与风险分析）→ SIL 2 目标 → SRS（安全要求规范）→ 设计（含 FMEDA 与架构约束验证）→ V&V（验证与确认）→ 现场确认 → 发证。全周期预估 4–6 个月，取决于客户资料完备度。

核心看两个量：SFF（安全失效分数，诊断覆盖越好越高）与 HFT（硬件故障裕度，冗余度，0=单通道）。

图5 · 硬件架构约束表（Type B 元件：SFF × HFT → 可达最高 SIL）

注意：架构约束只是"准入门槛"。最终能否达 SIL 2，还要看 FMEDA 算出的实际 PFDavg（失效模式、影响与诊断分析）。

产品功能要映射成 IEC 61508 的 SIF，本项目落地的 3 个核心 SIF：

产品功能	转化为 SIF	是否 fail-safe	备注
ESD 紧急全关/全开	核心 SIF：收到 ESD→限定时间内到全关位	是	响应时间需实测
过力矩保护	SIF：超转矩→停机+锁方向	是	阈值逻辑已是 fail-safe
电机过热保护	SIF：热敏开关直切电机	是	硬件开关，可靠性高

执行器的 ESD / 过力矩都是"故障即停机"的 fail-safe 逻辑，方向对——大概率单通道 HFT=0 + SFF≥90% 即可够 SIL 2。但 PFDavg 到底达不达 10⁻²，取决于 FMEDA 实际失效率（必须有芯片和编码器 FIT 数据）。

启动认证前，需先补齐的 3 个关键输入：

拿到这 3 样 → 出 SIL2 可行性预评估报告（H&R 初判 + 架构约束预判 + PFDavg 初算）→ 交认证机构。

AlliedEx 把 SIL 认证与防爆认证打通，提供从差距分析、SIF 映射、FMEDA 协助、英文技术文件到流程管理的一体化服务。我们已沉淀可复用的 SIL 认证流程模板、FMEDA 模板与 SIF 映射方法，新项目直接套用，不用从零讲。

免费诊断：如果你的设备（阀门执行器、传感器、控制器等）需要办 SIL 或"防爆 + SIL"组合认证，欢迎联系我们做一轮可行性预评估——先看清差距与周期，再决定怎么走。