在我們衡量安全儀表系統(SIS)性能的時候，一般會使用兩個指標：其中一種比較常見的叫做出現需求時候的失效概率(PFD)，而另外一個是PFH。PFH最早來自1997年版的國標IEC61508，意思是每小時的(危險)失效概率。而在最近的文獻里面，PFH的定義已經被修訂為危險失效的失效頻率(每小時)。

那么問題來了，我們應該在什么情況下使用PFD，又在什么情況下使用PFH呢？

1、低頻需求和高頻需求
在基礎國際標準IEC61508當中，PFD(更多時候實際上使用的PFD的平均值：PFDavg)被規定為在低頻需求模式下運行的SIS的量度，而PFH則是用于高頻或者連續需求模式。

需求實際上指的是需要SIS做出響應的一些事件。如果SIS沒有及時響應，這些事件可能就會造成對于設備、人員、工廠甚至環境的破壞。那么新的問題來了：到底什么是低頻需求模式，什么又是高頻和連續需求模式呢？

IEC61508對于高頻和需求模式的區分也給出了一些指導意見：低頻需求模式：需求的發生頻率小于每年一次；高頻需求模式：需求的發生頻率大于每年一次。

2、模式的邊界
這種劃分方法非常簡單明了，并且容易遵循。但是問題是我們為什么選擇一年一次作為低頻需求和高頻需求模式的分界，而不是六個月或者兩年呢？

我們可以從SIS的失效模式和維護策略當中找到些許的線索。盡管現在很多新型的SIS都已經安裝了自診斷功能，然而還是有一些失效是無法通過診斷功能檢測到的，它們必須通過定期的功能測試才能發現并且排除。這些所謂的未檢測到的危險(DU)失效，是安全儀表系統失效的主因。在最簡單的單通道SIS(比如一個閉合閥)的性能計算里面，PFDavg等于DU失效速率和功能測試半周期的乘積，而功能測試周期的一半實際上就是SIS的平均停機時間。

在這類計算當中，我們沒有考慮需求的影響，或者說我們假設失效的SIS可以在需求到來之前修復。這也就是說，PFDavg的計算在一定程度上基于一個重要的假設，即如果有DU失效發生，那么該系統在下一次功能測試和維護中被修復的概率要大于需求到來的概率。長期而言，功能測試的頻率應該高于需求的頻率。

在很多情況下SIS的測試頻率是每年一次，那么這個頻率也就可以作為保證PFD計算有效的最高需求頻率。盡管事實上失效SIS的修復速率是每半年一次，每年一次可以認為是一種比較保險并且明了的數值，用來區分高頻和低頻需求頻率。

3、量度的含義
此外，PFD和PFH兩個量度的含義也有一些不同。PFDavg是從長期的角度來看，SIS不能執行安全功能的平均時間比例，因此它也可以看做是系統的平均不可用性。

而PFH與另外一個可靠性分析當中常見的量度有些類似之處，它就是失效發生速率(ROCOF)。系統在某一時間節點上的PFH可以看做是該系統的無條件失效速率。從長期來看，PFH也就是系統的平均失效速率。

因此，我們就能夠理解為什么IEC61508針對PFD和PFH給出了兩套安全完善等級(SIL)的標準。

4、實際應用
在目前主流SIL等級計算軟件中，比如上海歌略的RiskCloud和EXIDA的ExSILentia里面都可以下拉選擇模式類型。

圖片來自RiskCloud SIL等級計算軟件


圖片來自ExSILentia SIL等級計算軟件

作者：劉一騮，挪威科技大學(NTNU)生產與質量工程系的副教授，他所工作的RAMS團隊在安全儀表系統、技術安全以及其他一些可靠性和安全相關領域的研究，具有世界級的水平。作者在加入NTNU之前，曾經是《控制工程中文版》的編輯。