Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
CAN/CSA-ISO/IEC 16513-06：工业过程测量、控制和自动化系统 安全完整性等级(SIL)评估指南
基于ISO/IEC 16513:2006的加拿大采纳标准，为自动化系统安全完整性评估提供统一框架
标准概况与适用范围
CAN/CSA-ISO/IEC 16513-06是加拿大标准协会(CSA)采纳的国际标准，技术内容与ISO/IEC 16513:2006完全一致。该标准为工业过程测量、控制和自动化系统的安全完整性等级(SIL)评估提供了统一的方法指南，覆盖从危险识别、风险分析到SIL验证的完整生命周期活动。
本标准适用于以下领域的SIL评估：
- 过程工业（化工、石油、天然气、制药等）的安全仪表系统(SIS)
- 工业自动化控制系统（如PLC、DCS、ESD）的安全功能分配
- 机械安全控制系统的电气/电子/可编程电子(E/E/PE)部件
- 任何需要确定目标SIL并验证是否达标的工业应用场景
标准的核心对象是安全功能及其分配的SIL。它不取代IEC 61508（基础功能安全标准）或IEC 61511（过程工业功能安全），而是专注于SIL评估的具体过程和量化技术，为用户提供一套可操作的评估框架。
📌 关键技术要点： CAN/CSA-ISO/IEC 16513-06强调SIL评估应基于“风险降低需求”，而非简单追求高SIL等级。评估结果需同时考虑随机硬件失效概率和系统失效控制措施。
主要技术内容与要求
SIL等级定义与目标失效概率
标准沿用了IEC 61508的SIL分级体系（SIL 1~4），每个等级对应连续操作模式和按需操作模式下的目标失效概率范围。核心要求如下表所示：
| SIL等级 | 低需求模式（PFDavg） | 高需求/连续模式（PFH） | 风险降低因子 |
|---|---|---|---|
| SIL 4 | ≥10⁻⁵ 且 <10⁻⁴ | ≥10⁻⁹ 且 <10⁻⁸ | >10,000 至 ≤100,000 |
| SIL 3 | ≥10⁻⁴ 且 <10⁻³ | ≥10⁻⁸ 且 <10⁻⁷ | >1,000 至 ≤10,000 |
| SIL 2 | ≥10⁻³ 且 <10⁻² | ≥10⁻⁷ 且 <10⁻⁶ | >100 至 ≤1,000 |
| SIL 1 | ≥10⁻² 且 <10⁻¹ | ≥10⁻⁶ 且 <10⁻⁵ | >10 至 ≤100 |
PFDavg = 按需操作模式下平均失效概率；PFH = 每小时危险失效概率。标准要求在所有评估中明确操作模式类型。
SIL评估流程
标准提供了从危险识别到SIL验证的六步方法：
- 危险识别与风险评估：使用HAZOP、LOPA、风险矩阵等工具确定需要保护的失效场景及风险等级。
- 安全功能识别：将安全功能从控制功能中分离，定义每个安全功能的动作条件和要求。
- SIL目标分配：基于风险降低需求分配目标SIL，常用LOPA方法量化独立保护层贡献。
- 系统设计架构约束：根据目标SIL选择硬件容错(HFT)和诊断覆盖率(DC)等架构约束。
- 失效概率量化计算：采用可靠性框图(RBD)、故障树(FTA)或马尔可夫模型计算PFDavg/PFH。
- SIL验证与结论：比较计算结果与目标SIL要求，判断是否达标；若不达标则迭代设计。
架构约束要求
标准继承IEC 61508的架构约束，但细化了典型自动化系统（如嵌入式系统、PLC、变送器）的适用规则。例如：
- SIL 2系统至少需1oo2架构且DC > 60%
- SIL 3系统需2oo3或更高冗余，DC > 90%
- 若使用未经验证的新技术，需增加β因素影响的量化分析
⚠️ 重要注意事项： 标准强调SIL分配不得仅依赖定性风险矩阵，必须执行半定量/定量分析（如LOPA、FTA）以支撑目标SIL。同时，架构约束不因量化结果良好而放宽——这是常见的误区。
实施与应用要点
评估团队能力要求
标准明确要求SIL评估由跨学科团队执行，包括：工艺/过程专家、仪表与控制工程师、安全工程师和操作代表。主导评估人员应完成功能安全高级培训（如TÜV功能安全工程师或同等资质）。
SIL验证文档体系
必须维护以下可追溯文件：
- 安全要求规范(SRS)，含每个安全功能的SIL、响应时间、操作模式
- 校准的HAZOP/LOPA记录
- SIL计算书（含假设、数据来源、不确定性分析）
- 硬件配置图和诊断报告
- 软件/固件版本及安全生命周期记录
常见挑战与最佳实践
根据标准实施经验，以下环节最容易产生偏差：
- 数据依赖性：失效数据（λ值）应引用自公认数据库（如OREDA、IEC 62380、SN 29500），并在灵敏度分析中考量数据不确定性。
- 共因失效(CCF)处理：必须使用β因子模型或同类方法评估CCF贡献，β取值应基于物理隔离和设计多样性。标准推荐IEC 61508-6附录D中的β因子表格。
- 在线维护与旁路管理：评估中必须考虑诊断测试间隔和手动功能测试间隔对可用性的影响，按标准内公式引入“测试证明覆盖”因子。
✅ 标准实施的益处： 遵循CAN/CSA-ISO/IEC 16513-06能够显著提高SIL评估的可重复性和客观性，减少因安全设计不足导致的装置事故风险，同时避免过度设计带来的成本浪费。对于出口设备，满足该标准也有助于进入加拿大及采用ISO框架的市场。
⚠️ 安全关键要求——强制性条款： 标准明确指出，若目标SIL≥3，则评估必须包含冗余传感器与执行器的完整马尔可夫分析，且不得使用默认的RBD近似；同时必须执行系统失效控制措施清单检查（涵盖EMC防护、电源失效、软件多样化等15个维度）。违反该条款可能导致评估无效。
与其他标准的关系
与IEC 61508（基础功能安全）的关系
CAN/CSA-ISO/IEC 16513-06是IEC 61508在SIL评估领域的专门化指南。IEC 61508提供了通用的E/E/PE安全生命周期模型和SIL定级体系，而本标准聚焦于SIL评估的量化操作，在PFD/PFH计算、诊断覆盖率和测试间隔处理上提供了更详细的业界共识方法。两者应配合使用：IEC 61508定义“why”和“what”，本标准定义“how”。
与IEC 61511（过程工业）的关系
IEC 61511是过程工业的功能安全标准，已有完整的SIL分配方法（如LOPA）。CAN/CSA-ISO/IEC 16513-06在验证部分与IEC 61511协调，但提供了更多的定量计算模板和示例，尤其适用于复杂冗余系统和连续模式操作。两者互不冲突，评估报告可采用本标准的方法满足IEC 61511的SIL验证要求。
与机械安全标准的关系
机械领域通常采用ISO 13849（PL等级）或IEC 62061（SIL for machinery）。CAN/CSA-ISO/IEC 16513-06的评估思想与IEC 62061一致，但更偏重过程自动化。对于涉及机械和过程交接的系统（如带紧急停车的阀门站），本标准可作为SIL计算补充。
常见问题 (FAQ)
问： SIL等级是否越高越好？如何确定目标SIL？
答： 并非越高越好。SIL分配必须基于风险降低需求，即通过LOPA等方法确定现有保护层下仍存在的残余风险，再根据可容忍风险标准推导所需风险降低量，进而映射到SIL等级。盲目选择高SIL会导致不必要的硬件冗余和成本，且系统复杂性增加可能引入新失效模式。CAN/CSA-ISO/IEC 16513-06要求在HSE安全案例中明确可容忍风险基准。
答： 并非越高越好。SIL分配必须基于风险降低需求，即通过LOPA等方法确定现有保护层下仍存在的残余风险，再根据可容忍风险标准推导所需风险降低量，进而映射到SIL等级。盲目选择高SIL会导致不必要的硬件冗余和成本，且系统复杂性增加可能引入新失效模式。CAN/CSA-ISO/IEC 16513-06要求在HSE安全案例中明确可容忍风险基准。
问： 进行SIL评估时，是否可以用默认的失效概率数据（如变送器λ=0.5 FIT）替代实际设备数据？
答： 标准允许在初步评估中使用通用数据库数据，但最终验证必须使用设备供应商提供的经第三方认证的失效数据（需包含安全失效、危险失效和诊断覆盖数据）。若供应商数据缺失，可使用同类设备历史统计（需注明置信区间），并执行灵敏度分析以获取结果稳健性。
答： 标准允许在初步评估中使用通用数据库数据，但最终验证必须使用设备供应商提供的经第三方认证的失效数据（需包含安全失效、危险失效和诊断覆盖数据）。若供应商数据缺失，可使用同类设备历史统计（需注明置信区间），并执行灵敏度分析以获取结果稳健性。
问： 如果系统已投入使用，事后评估是否可行？标准是否支持？
答： 标准支持对现有系统的回顾性评估。此时应首先确认系统原始设计所用的安全责任和SIL假设是否仍然有效（如工艺变更、设备老化等）。若文档缺失，需执行逆向SIL评估：基于现场失效记录、维护清单和部件可用性计算实际PFD/PFH。但标准强调，回顾性评估保守性应提高（通常增加20%的安全余量），且要求增加专家评审环节。
答： 标准支持对现有系统的回顾性评估。此时应首先确认系统原始设计所用的安全责任和SIL假设是否仍然有效（如工艺变更、设备老化等）。若文档缺失，需执行逆向SIL评估：基于现场失效记录、维护清单和部件可用性计算实际PFD/PFH。但标准强调，回顾性评估保守性应提高（通常增加20%的安全余量），且要求增加专家评审环节。
问： CAN/CSA-ISO/IEC 16513-06是否有认证要求？企业需要取得体系证书吗？
答： 该标准本身不是认证标准，而是方法指南。但企业可以依据本标准建立内部的SIL评估程序，并接受第三方的功能安全审计（如依据IEC 61508认证）。在加拿大油气行业，地方监管机构（如Alberta能源监管局）常要求SIL评估遵循本标准的量化方法。设备制造商可利用本标准产品宣称符合“CSA ISO/IEC SIL评估方法”。
答： 该标准本身不是认证标准，而是方法指南。但企业可以依据本标准建立内部的SIL评估程序，并接受第三方的功能安全审计（如依据IEC 61508认证）。在加拿大油气行业，地方监管机构（如Alberta能源监管局）常要求SIL评估遵循本标准的量化方法。设备制造商可利用本标准产品宣称符合“CSA ISO/IEC SIL评估方法”。
