SIL认证
SIL认证就是基于IEC 61508（GB/T 20438）, IEC 61511(GB/T 21109), IEC 61513, IEC 13849-1, IEC 62061, IEC 61800-5-2等标准，对安全设备的安全完整性等级(SIL)或者性能等级(PL)进行评估和确认的一种第三方评估、验证和认证。功能安全认证主要涉及针对安全设备开发流程的文档管理(FSM)评估，硬件可靠性计算和评估、软件评估、环境试验、EMC电磁兼容性测试等内容。
SIL介绍：
SIL（Safety Integrity Level）-安全完整性等级。
SIL技术标准是由国际电工委员会（IEC）首先颁布制定的，由IEC/TC65归口实施。SIL技术的国家归口标准化技术委员会为“全国过程工业测量控制及自动化”标准化技术委员会（SAC/TC124），秘书处单位为机械工业仪器仪表综合技术经济研究所。
SIL认证一共分为4个等级，SIL1、SIL2、SIL3、SIL4，包括对产品和对系统两个层次。 其中，以SIL4的要求最高。
SIL主要标准：
IEC 61508:
电气/电子/可编程电子安全相关系统的功能安全性
IEC61508标准规定了常规系统运行和故障预测能力两方面的基本安全要求。这些要求涵盖了一般安全管理系统、具体产品设计和符合安全要求的过程设计，其目标是既避免系统性设计故障，又避免随机性硬件失效。
IEC61508标准的主要目标为：
· 对所有的包括软、硬件在内的安全相关系统的元器件，在生命周期范围提供安全监督的系统方法;
· 提供确定安全相关系统安全功能要求的方法;
· 建立基础标准，使其可直接应用于所有工业领域。同时，亦可指导其他领域的标准，使这些标准的起草具有一致性(如基本概念、技术术语、对规定安全功能的要求等);
· 鼓励运营商和维护部门使用以计算机为基础的技术;
· 建立概念统一、协调一致的标准架构和体系。
IEC61511:
过程工业领域安全仪表系统的功能安全要求
IEC61511是专门针对流程工业领域安全仪表系统的功能安全标准，它是国际电工委员会继功能安全基础标准IEC61508之后推出的专业领域标准，IEC61511在国内的协调标准为GB/T 21109。在过程工业中，仪表安全系统都被用来执行仪表安全功能，IEC61511标准解决了仪表应达到怎样的安全完整性和性能水平的问题。
对于与安全相关的装置安全功能的确认，SIL等级是全球认可度较高的安全完整性定义方法。针对过程控制行业，与之相关的国际标准主要有IEC 61508 标准（设计和运行安全仪表系统的基础根据），IEC 61511 标准主要关注过程控制应用的系统，针对装置设计人员遵照 IEC 61511 标准并根据 IEC 61508 标准来完成设计。
ISO13849-1:
机械安全.控制系统的相关安全部分.第1部分:设计用一般原理
新版 ISO13849-1 标准即将在2011年底正式生效实施，这将是机械功能安全领域全新的里程碑。在以往要求系统的确定性上，增加了一些系统故障概率方面的评估，从而可以实现从零部件到系统进行全面性安全评估。同时该标准也为设计人员提供了更多的，可以量化的设计实现方法，如增加了系统安全等级 (PLr)、系统平均无危险故障时间 (MTTFd)、系统诊断检测范围 (DC)、共因故障预防 (CCF)等参数，从而有效的解决了原有 EN954-1 标准无法实现定量化判断系统安全性的问题。 新版 ISO13849-1 标准针对一些新型的控制方法，提供了更有效的安全评估解决方案。可提升控制系统越来越复杂的机械设备的安全等级，保证生产安全性和高效率，并且结合新技术和设计经验，帮助企业在总体效率、生产力和灵活性方面得到提升，保证连续性生产，减少意外停机时间，并降低开发、操作和维护成本。尽快执行该项标准，可保证机械制造商在激烈竞争中抢得市场先机。
IEC62061:
机械安全.与安全有关的电气、电子和可编程序电子控制系统的功能安全
IEC/EN 62061与EN ISO 13849-1:2008标准均包含了与安全有关的电气控制系统。采用这两种标准后，可获得同样等级的安全性能与安全完整性。每种标准采用的方法存在差异，但都适于各自的读者。EN ISO 13849-1:2008在其说明部分的表1中给出一种限定情况。当采用复杂的可编程技术时，应将最高PL性能等级定义为PLd。
为了能够采用复杂的、可由先前非传统系统结构执行的安全功能，IEC/EN 62061标准提供相应的方法。为了提供采用传统的系统结构执行更传统的安全功能所需的更直接、更简单的路径，EN ISO 13849-1:2008标准也给出了相应的方法。这两种标准的重要区别是适用于不同的技术领域。IEC/EN 62061标准仅限于在电气系统领域。EN ISO 13849-1:2008标准则适用于启动、液压、机械以及电气系统。主要定义的参数为PFH、MTTF、DC、SFF等。
IEC61326-3-2:
测量、控制和实验室用电气设备》电磁兼容(EMC)的要求：与安全相关的系统和用于与执行安全相关功能(功能安全)
IEC 61326-3-1和IEC 61326-3-2标准已经发布，其中规定了安全相关设备的抗扰度水平的附加要求，包括概率非常低的可能发生在任何场所的极端情况。试验模拟设备工作状态下严酷的电磁现象，如瞬时脉冲是模拟数字电路或者数字信号传输的瞬变状态。为了增加安全完整性等级（SIL）的电磁抗扰度的可置信度，在进行抗电磁现象性能试验时相对于基础标准要施加更多数量的脉冲或者加长试验的时间以及提高试验等级。例如对用于SIL3的设备，电快速瞬变试验的等级为4kV，试验持续时间应为基础标准规定时间的5倍。
ISO26262:
道路车辆系统设计功能安全
制定ISO 26262标准的目的是使得人们对安全相关功能有一个更好的理解，并尽可能明确地对它们进行解释。ISO 26262是从电子、电气及可编程器件功能安全基本标准IEC61508派生出来的，主要定位在汽车行业中特定的电气器件、电子设备、可编程电子器件等专门用于汽车领域的部件，旨在提高汽车电子、电气产品功能安全的国际标准。此标准一经提出，即受到了各大汽车制造商、汽车零部件商的高度重视，并积极推动该标准在产品开发中的执行。
基于IEC 61508标准基础上，ISO 26262标准定义了电气、电子系统的使用安全性。汽车设计中的一大难点是如何预先评估潜在的危害和风险，并且采取适当的方法来减小这些风险。为了促进这一过程，ISO规定在开发工作的开始必须要进行“危害和风险分析”。
汽车工业均使用高性能的电子器件进行车辆的安全控制，全球知名各大汽车厂商所共同制定并认可的 ISO 26262 功能安全标准即针对车辆用电子零件、软硬件产品设计的要求进行规范。随着 ISO 26262 的颁布和实施，未来亦能够降低车辆可能发生的风险及意外发生时的危害程度，近而使国内的车辆工业提升国际未来的适应力与竞争能力。
IEC61800-5-2:
可调速的电动设备标准.第5-2部分: 功能安全要求
IEC61800-5-2定义了集成安全驱动器的安全功能，其中定义了一系列停车功能（Stop），即：
· 安全断开的力矩/安全中断扭距(STO- Safe Torque Off)；
· 安全停车1/SS1(Safety Stop1)/ 安全停车2/SS2(Safety Stop2)
· 安全操作停止(Safety Operation Halt)
IEC61800-5-2同样定义了一些监控功能，这些监控功能方面有:加速度安全限制；步程安全限制；运动方向安全限制；速度安全限制；矩/力安全限制；位置安全限制；电动机温度安全限制。
IEC61800-5-2标准主要针对安全编码器，安全解码器，交流伺服系统，伺服驱动器，伺服马达等系统提出了功能安全要求。例如，符合功能安全技术要求的马达控制器将支持安全扭矩停止（STO）以及安全停止 1 ( SS1 ) 等安全功能，防止意外启动的发生，产品设计必须符合 EN 61800-5-2 标准中的要求。IEC61800-5-2标准已经转化成为国标，标准号为GB/T 12668.5.2，国内对口的标委会为全国电力电子学标准化技术委员会调速电气传动系统半导体电力变流器分技术委员会(TC60/SC1)。
EN50156
IEC 61784-3：
测量和控制数字数据通信 第三部分 工业网络功能安全行规
该标准主要定义了如下内容：
1, 执行IEC 61508种安全相关数据通讯的要求基本原则，包含潜在的错误传输，应对措施和影响数据完整性方面的规定
2. 各种技术实现的通用内容
3. 各种通讯行规簇的功能安全行规的独立描述
4. 规定了几种安全通讯层,作为IEC61784-1和IEC61158系列标准中通讯服务行规部分。
EN50126
铁路应用：可靠性、可用性、可维护性和安全性（RAMS）规范和说明
该标准定义了系统的RAMS（reliability、availability、maintainability和safety），即可靠性、可用性、可维护性和安全性，并且规定了安全生命周期内各个阶段对RAMS的管理和要求，RAMS作为系统服务质量衡量的一个重要特征，是在整个系统安全生命周期内的各个阶段通过设计理念、技术方法而得到的。
EN50128
铁路应用：铁路控制和防护系统的软件
对铁路控制和防护系统的软件进行了安全完善度等级(SIL)的划分，针对不同的安全要求制订了相应的标准，按不同等级对整体软件开发、评估、检测过程中，包括对软件需求规格、测试规格、软件结构、软件设计开发、软件检验和测试、软硬件集成、软件确认评估、质量保证、生命周期、文档等提出相应的程序制定初相应的规范与要求。
EN50129
铁路应用：安全相关电子系统
对于安全管理，引入IEC61508提出的安全生命周期概念，就是说对于安全相关系统的安全部分，在设计时按照该步骤进行设计，并且需要进行全程的安全评估和验证，目的是进一步减少和安全相关的人为失误，进而减少系统故障风险。
1、功能安全的概念
什么是功能安全？功能安全是与EUC或EUC控制系统有关的整体安全的组成部分,取决于电气/电子/可编程电子（E/E/PE）安全系统、其它技术安全系统和外界风险降低设施功能的正确行使。
如何来正确行使？主要内容包括管理和技术两方面。即在技术上和管理上保证E/E/PE安全系统、其它技术安全系统和外界风险降低设施在需要时能执行安全功能。
在过程工业领域如石化、化工等，是用安全仪表系统来表述安全相关系统。即SIS(Safty Instrumented Systems)用来实现一个或几个仪表安全功能的仪表系统,可以由传感器、逻辑解算器和终端元件的任何组合组成. 仪表安全功能(Safty Instrumented Function)就是具有某个特定SIL的,用以达到功能安全的安全功能,它既可以是安全保护系统,也可以是安全控制系统.
2、SIS整体安全生命周期
一个SIS整体安全生命周期包括概念、整体范围定义、危险和风险分析、整体安全要求、安全要求分配、整体的安全计划编制（操作和维护计划、整体安全确认计划、整体安装和试运行计划）、E/E/PES安全相关系统的实现、其他安全相关系统的实现、外部危险降低设施的实现、整体安装和试运行、整体安全确认、整体操作维护和维修、整体修改和改型、停用和处理。
在整体安全生命周期的各阶段都有各自相关的功能安全活动和要求。其中E/E/PES安全相关系统的实现包括两个部分即硬件的实现和软件的实现，这个阶段是通过设计满足系统的SIL要求。所以，我们说功能安全是设计出来的。 E/E/PES安全相关系统的实现阶段包括安全要求规范（安全功能要求规范和安全完整性要求规范）、安全确认计划、设计和开发、集成、操作和维护规程、安全确认（IEC61508-2）。
软件安全生命周期（实现阶段）包括：软件安全要求规范（安全功能要求规范和安全完整性要求规范）、软件安全确认计划、软件设计和开发、PE集成（硬件和软件）、软件操作和维护规程、软件安全确认（IEC61508-3）。
3、功能安全的评估
功能安全评估的目的是调查并判断E/E/PE安全相关系统所达到的功能安全。对SIS的功能安全评估从两个方面来进行。第一，评估为了确保满足功能安全目的所必需的管理活动是否有效。第二，评估安全仪表系统或安全仪表是否达到了要求的SIL。如何确认设计和生产的安全仪表和SIS的SIL达到要求？我们可以从以下几个方面来考虑：
（1）建立功能安全管理体系
建立功能安全管理系统目的是确定整体的、E/E/PES的和软件的安全生命周期所有阶段的管理和技术活动，这些阶段是达到E/E/PE安全相关系统要求的功能安全所必需的；确定人员、部门和组织对整体的、E/E/PES的和软件的安全生命周期各阶段或各阶段中活动所负的责任。通过体系来保障能达到要求的安全完整性。
（2）建立与功能安全相关的文件
文件应规定能够有效执行整体安全生命周期、E/E/PES安全生命周期和软件安全生命周期各阶段所必需的信息；规定能够有效执行功能安全管理、验证以及功能安全评估等活动所必需的信息；以及有关的报告和记录功能安全评估时，为了满足IEC61508对文档的要求，在整体安全生命周期的各阶段的各个活动都要给出相关的文档。功能安全评估时需要的文档示例可以在IEC61508.1附录A中找到。
（3）安全完整性和安全完整性等级的确定
安全完整性指在规定条件下、规定时间内成功实现所要求的仪表安全功能的平均概率。
安全完整性等级是用来规定分配给SIS安全功能的安全完整性要求的分离等级,记为SIL，共分4个等级,SIL4为最高等级。IEC61508-1规定了目标失效量（表1）。
在确定安全完整性时，应包括导致非安全状态的所有失效因素(硬件随机失效和系统失效)。
安全相关系统使用方式，按要求产生的频率可分为：低要求模式(≤1次/年)和高要求或连续模式(＞1次/年)。低要求模式和高要求模式SIL的目标失效量是不同的，见表1。
（4）软硬件SIL的评估
① 硬件故障裕度的要求
硬件故障裕度指部件或子系统在出现一个或几个硬件故障的情况下，功能单元继续执行所要求的仪表安全功能的能力。硬件故障裕度N意味着N+1个故障会导致全功能的丧失。例如：硬件故障裕度为1，表示如有两台设备，它们的结构应使得两个部件之一的危险失效不得阻止安全动作发生。为了减轻仪表安全功能设计中的潜在缺陷，IEC61511-1表5和表6定义了传感器、逻辑解算器和终端元件最低的硬件故裕度。对仪表安全功能而言，传感器、逻辑解算器和最终元件应具有最低的硬件故障裕度,硬件故障裕度表示了最低的部件或子系统冗余。
② 硬件安全完整性的结构约束
硬件安全功能所声明的最高安全完整性等级受限于硬件故障裕度及执行该安全功能的子系统的安全失效分数(SFF)。IEC61508.2中表2和表3为A类和B类相关子系统的结构约束，表示在失效分数(SFF)确定的情况下，SIL与最低硬件故障裕度之间的关系。
在进行SIL评估时，我们首先要根据部件或子系统的失效模式是否已知、数据是否可靠、故障行为是否确定来区别硬件的结构约束是属于A类还是B类。
然后，进行SFF及PFD计算,对应IEC61508.1表2或表3,可以得到相对应的SIL。即部件和相关子系统的安全完整性等级。
确定子系统最大硬件安全完整性等级时,必须考虑系统结构约束,即在SFF确定前提下,故障裕度要求与SIL的对应关系。表2为B类相关子系统的结构约束。
上海意赛检测技术有限公司是大型的综合性第三方检测认证机构，提供检测及认证一站式服务平台。检测服务领域涵盖防爆认证、欧盟CE认证、ATEX防爆认证、俄罗斯EAC认证、PED压力认证、SIL功能安全认证等相关国际认证。