在我們衡量安全儀表系統(tǒng)(SIS)性能的時候，一般會使用兩個指標：其中一種比較常見的叫做出現(xiàn)需求時候的失效概率(PFD)，而另外一個是PFH。PFH最早來自1997年版的國標IEC61508，意思是每小時的(危險)失效概率。而在最近的文獻里面，PFH的定義已經被修訂為危險失效的失效頻率(每小時)。

那么問題來了，我們應該在什么情況下使用PFD，又在什么情況下使用PFH呢？

1、低頻需求和高頻需求
在基礎國際標準IEC61508當中，PFD(更多時候實際上使用的PFD的平均值：PFDavg)被規(guī)定為在低頻需求模式下運行的SIS的量度，而PFH則是用于高頻或者連續(xù)需求模式。

需求實際上指的是需要SIS做出響應的一些事件。如果SIS沒有及時響應，這些事件可能就會造成對于設備、人員、工廠甚至環(huán)境的破壞。那么新的問題來了：到底什么是低頻需求模式，什么又是高頻和連續(xù)需求模式呢？

IEC61508對于高頻和需求模式的區(qū)分也給出了一些指導意見：低頻需求模式：需求的發(fā)生頻率小于每年一次；高頻需求模式：需求的發(fā)生頻率大于每年一次。

2、模式的邊界
這種劃分方法非常簡單明了，并且容易遵循。但是問題是我們?yōu)槭裁催x擇一年一次作為低頻需求和高頻需求模式的分界，而不是六個月或者兩年呢？

我們可以從SIS的失效模式和維護策略當中找到些許的線索。盡管現(xiàn)在很多新型的SIS都已經安裝了自診斷功能，然而還是有一些失效是無法通過診斷功能檢測到的，它們必須通過定期的功能測試才能發(fā)現(xiàn)并且排除。這些所謂的未檢測到的危險(DU)失效，是安全儀表系統(tǒng)失效的主因。在最簡單的單通道SIS(比如一個閉合閥)的性能計算里面，PFDavg等于DU失效速率和功能測試半周期的乘積，而功能測試周期的一半實際上就是SIS的平均停機時間。

在這類計算當中，我們沒有考慮需求的影響，或者說我們假設失效的SIS可以在需求到來之前修復。這也就是說，PFDavg的計算在一定程度上基于一個重要的假設，即如果有DU失效發(fā)生，那么該系統(tǒng)在下一次功能測試和維護中被修復的概率要大于需求到來的概率。長期而言，功能測試的頻率應該高于需求的頻率。

在很多情況下SIS的測試頻率是每年一次，那么這個頻率也就可以作為保證PFD計算有效的最高需求頻率。盡管事實上失效SIS的修復速率是每半年一次，每年一次可以認為是一種比較保險并且明了的數(shù)值，用來區(qū)分高頻和低頻需求頻率。

3、量度的含義
此外，PFD和PFH兩個量度的含義也有一些不同。PFDavg是從長期的角度來看，SIS不能執(zhí)行安全功能的平均時間比例，因此它也可以看做是系統(tǒng)的平均不可用性。

而PFH與另外一個可靠性分析當中常見的量度有些類似之處，它就是失效發(fā)生速率(ROCOF)。系統(tǒng)在某一時間節(jié)點上的PFH可以看做是該系統(tǒng)的無條件失效速率。從長期來看，PFH也就是系統(tǒng)的平均失效速率。

因此，我們就能夠理解為什么IEC61508針對PFD和PFH給出了兩套安全完善等級(SIL)的標準。

4、實際應用
在目前主流SIL等級計算軟件中，比如上海歌略的RiskCloud和EXIDA的ExSILentia里面都可以下拉選擇模式類型。

圖片來自RiskCloud SIL等級計算軟件


圖片來自ExSILentia SIL等級計算軟件

作者：劉一騮，挪威科技大學(NTNU)生產與質量工程系的副教授，他所工作的RAMS團隊在安全儀表系統(tǒng)、技術安全以及其他一些可靠性和安全相關領域的研究，具有世界級的水平。作者在加入NTNU之前，曾經是《控制工程中文版》的編輯。