第二章 隔离等级与标准：ASIL、SIL 在隔离设计中的应用
做硬件隔离设计，光知道要“隔开”是不够的。你得清楚——隔离到什么程度才算安全？
这个问题，行业内早就给你划好了道。ISO 26262 的 ASIL，IEC 61508 的 SIL，还有 IEC 62368-1 里的那些等级，我这些年反反复复跟它们打交道。说白了，它们就是一张张“安全考卷”，你得先看懂题目，才知道该往哪使劲。
ASIL：汽车圈的安全尺度
ASIL，全称 Automotive Safety Integrity Level。我最早接触这玩意儿是做车载摄像头接口的时候。主机厂一上来就问：“你这个设计，ASIL-B 还是 ASIL-D？”当时心里还没底，后来吃了几次亏，才把这套逻辑摸透。
ASIL 分四个等级：A、B、C、D。D 是最严的，A 是相对宽松的。怎么定级？看三个要素：
- Severity（严重性）——出事了会死几个人？
- Exposure（暴露率）——这个故障场景出现的概率高不高？
- Controllability（可控性）——驾驶员有没有机会补救？
把这三个一组合，等级就出来了。举个例子：刹车系统的助力模块，一旦失效，严重性极高、暴露率几乎 100%、驾驶员很难快速补救——所以它通常被定为 ASIL-D。而车内的信息娱乐屏，哪怕死机了也不影响驾驶，可能就是 ASIL-A。
关键认知：ASIL 等级不是凭空拍脑袋，而是“风险三元组”的量化结果。隔离设计的严谨程度，必须匹配这个等级。
ASIL 的“分解”与继承
我在一个项目里遇到过：一个 ECU 承担了 ASIL-D 的功能，但里面的 MCU 和隔离器件各自负责不同部分。这时候你可以做ASIL 分解。
比如说，ASIL-D (F) 需求，可以分解成：ASIL-D (F1) + ASIL-D (F2)，或者 ASIL-C (F1) + ASIL-B (F2) 。但有一点很关键——分解之后，两个通道必须足够独立。如果共用同一个隔离器或同一个电源，那分解就白做了。
我的习惯：做晶振或 SPI 隔离器选型时，先看它有没有 ASIL 等级认证，再看它是支持 ASIL-B 还是 ASIL-D。没认证的器件，用在关键链路上就是给自己埋雷。
SIL：工业领域的通用语言
SIL，Safety Integrity Level，出自 IEC 61508。它是 ASIL 的“老大哥”。工业上用的多，比如 PLC 隔离、伺服驱动、仪器仪表等。等级也是从 SIL 1 到 SIL 4，数字越大，风险越低，要求越严。
SIL 和 ASIL 的对应关系大概是：
| SIL 等级 | ASIL 等级（大致对应） | 典型场景 |
|---|---|---|
| SIL 1 | ASIL-A / 部分 ASIL-B | 工业报警、非安全连锁 |
| SIL 2 | ASIL-B / 部分 ASIL-C | 工业电机控制器、过程仪表 |
| SIL 3 | ASIL-D | 安全 PLC、燃气轮机保护 |
| SIL 4 | 无直接对应 | 轨道交通、核电（极少民用） |
我曾经在工业 DCS 系统中做 DI/DO 隔离设计，客户要求 SIL 3。当时我选了一颗带独立隔离屏障的光耦阵列，并且在每个通道上加了独立的电流监测。结果验证的时候，有个通道在 1000V 浪涌下失效了。后来我才发现，光耦的爬电距离设计不够——这是 SIL 3 等级下的硬性要求。
避坑指南：SIL 3 及以上等级的隔离设计，不光要关注器件自身认证，还要关注 PCB 爬电距离、材料 CTI（相比漏电起痕指数）、以及电源隔离的完整性。我曾经因为忽略后者，导致整批板子返工。
隔离设计必须知道的几个数字
不同的安全等级，对隔离指标有硬性要求。我整理了一个表，方便你们对照：
| 安全等级 | 最小爬电距离（隔离面） | 隔离电压（基本） | 隔离电压（加强） |
|---|---|---|---|
| ASIL-B / SIL 1 | ≥ 4 mm | 1500 Vrms | ≥ 2500 Vrms |
| ASIL-D / SIL 3 | ≥ 8 mm | 3000 Vrms | ≥ 5000 Vrms |
这些数字不是随便写的。爬电距离不足，高压下会产生跨隔离面的爬电或电弧。我见过一个案例：设计者用了 5.08mm 间距的端子，以为够了，结果在 85% 湿度 + 2000V 下直接击穿——因为材料等级是 IIIa，不是 I 类。
从标准到实现：隔离器的选型策略
你拿到一个需求，是 ASIL-D 的 SPI 隔离，还是 SIL 2 的 UART 隔离？不一样。我的做法是三步走：
- 定等级——根据功能安全分析确定目标等级。
- 选器件——看隔离器是否有 TÜV SÜD 或 UL 认证，并标注了对应等级。
- 验隔离——实际测试：耐压测试 60 秒、浪涌测试 1.2/50 μs、共模瞬态抑制 CMTI 测试。
有时候等级的坑不在器件本身，而在系统层面。举个例子：隔离电源的初级和次级之间如果只有 Y 电容做共模滤波，那这个电容的耐压和安规等级一样关键。我曾经见到有人随意选了个 2kV 未认证电容，结果整条链路被认定不符合 ASIL-B。
上面这张图，就是我脑子里一直运转的“隔离等级应用决策框架”。拿到一个需求先定等级，等级确定了，隔离深度、器件标准、测试项目就全对应好了。
我建议：新手先别急着翻手册。先画一个这样的图，把 ASIL / SIL 的决策逻辑理清爽。后面选隔离器、做 PCB 布局、写安全案例，都会顺很多。
一个真实的“等级”教训
我来说个具体的事。几年前一个做自动驾驶域控制器的客户，需要把激光雷达的数据通过 SPI 隔离到主控。他们选了颗标称 5kV 隔离电压的隔离器，按 ASIL-B 设计。
结果在做故障注入测试的时候，隔离器在 4.5kV 共模浪涌下直接短路了。为什么？那颗隔离器虽然标称耐压够，但它内部的电容耦合路径没做冗余，而且没考虑到汽车上 24V 电池的瞬态叠加振荡。说白了，它有电压能力，但没有等级保证。
后来换了颗通过 ASIL-D 认证的隔离器，同样的测试，通过了。差在哪里？差在认证过程中对“随机硬件失效”和“系统故障”的覆盖。
避坑指南：千万不要只看“隔离电压”高就以为等级高。真正的等级，看的是失效率（FIT）和诊断覆盖率（DC）。我建议做选型时，直接问供应商要功能安全手册，看里边有没有 PMHF（Probabilistic Metric for random Hardware Failures）的数值。
接口隔离器件的等级矩阵
最后上一张我常用到的选型对照表。市面上常见的隔离接口器件，和它们能支持的等级：
| 接口类型 | 常见隔离器件 | 可支持最高等级 | 限制因素 |
|---|---|---|---|
| SPI | ADuM3154 / ISO7741 | ASIL-D / SIL 3 | 时钟频率 vs 隔离容限 |
| I2C | ISO1640 / PCA9517 | ASIL-B / SIL 2 | 开漏结构下的共模抑制 |
| CAN | ISO1042 / ADM3053 | ASIL-D / SIL 3 | 共模电压范围 + 总线故障保护 |
| RS-485 | ISO3082 / ADM2587 | ASIL-C / SIL 2 | 差分信号反射 + 隔离电容 |
嗯，表里这几类我都用下来过。CAN 隔离做到 ASIL-D 的例子多一些，因为汽车上对 CAN 的完整性和安全机制依赖太深了。I2C 要上高等级很难，主要是它线上没有独立的使能信号，隔离器需要做方向检测，诊断覆盖率的实现就变得很棘手。
还是那句话——你不是在“隔信号”，你是在“隔风险”。等级就是风险的大小。做硬件隔离，如果不理解这个，那即使千辛万苦把板子调通了，也照样过不了功能安全评审。