1. 课程导入

在汽车、轨道交通、工业自动化、医疗设备等领域，电子电气与可编程电子系统（E/E/PE）承担的安全功能越来越多。当系统失效可能导致人身伤害或环境灾难时，仅靠"提高可靠性"已不足以证明安全，必须引入一套系统化、可追溯、可验证的工程方法——这就是功能安全（Functional Safety）。本课程围绕功能安全生命周期与验证工程展开，本章先建立全局认知：什么是功能安全、它为何出现、标准体系如何分层，以及本课程的整体框架。

一、功能安全的基本定义

功能安全的核心定义是：不存在由电子电气/可编程电子安全相关系统失效所导致的不合理风险。它关注的不是设备"能不能用"，而是"失效时是否安全"。这里有两个关键概念：

• 安全功能（Safety Function）：为达到或维持安全状态而由系统实现的功能，例如"检测到过温后 100 ms 内切断加热回路"。
• 安全完整性（Safety Integrity）：安全功能在规定时间内、规定条件下成功执行的概率度量，用 SIL（IEC 61508）或 ASIL（ISO 26262）等级表示。

功能安全与"信息安全（Security）"不同：前者防的是随机硬件失效与系统性失效，后者防的是恶意攻击。二者在现代系统中需要协同，但方法论与标准体系各自独立。

二、发展背景：从可靠性到功能安全

20 世纪 70—80 年代，化工与核电领域多次重大事故暴露出：即使单个部件可靠，系统级设计缺陷、需求遗漏、软件错误仍会导致灾难。1998 年 IEC 61508 发布，首次提出"安全生命周期"与 SIL 分级，成为功能安全的母标准。此后各行业派生标准陆续出现：汽车 ISO 26262（2011 首版，2018 第二版）、轨道交通 EN 50128/50129、过程工业 IEC 61511、机械 ISO 13849 等。

汽车行业的推动尤为典型：电子化、电动化、智能化使车辆安全相关功能激增，ISO 26262 以 ASIL A~D 分级，要求从概念、系统、硬件、软件到生产运行全链条可追溯。近年 ISO 21448（SOTIF）进一步覆盖"预期功能安全"，处理无失效但性能不足导致的危险。

三、标准体系全景

功能安全标准呈"母标准 + 行业派生"的树状结构。下图展示 IEC 61508 与 ISO 26262 的关系及主要派生标准，帮助建立标准地图。

四、核心原理：安全生命周期与 V 模型

功能安全不是一次性认证，而是贯穿产品全生命周期的活动集合。IEC 61508 与 ISO 26262 都采用"安全生命周期"框架，其工程落地常表现为 V 模型：左侧自顶向下分解需求，右侧自底向上验证确认，左右两侧通过追溯矩阵一一对应。

1. 概念阶段：定义项目范围、边界与安全目标。
2. 危害分析与风险评估：识别危害、评估严重度/暴露率/可控性，确定 ASIL 或 SIL。
3. 安全需求分解：从安全目标派生功能安全需求与安全机制。
4. 设计与实现：硬件架构度量、软件安全机制、诊断覆盖率设计。
5. 验证与确认：单元测试、集成测试、故障注入、硬件在环。
6. 运行与退役：现场监控、维护、变更管理与最终退役。

五、案例场景：一个过温保护功能

以电加热设备为例，安全目标为"防止加热腔体温度超过 120 ℃ 导致起火"。系统采用温度传感器 + 控制器 + 继电器切断回路。若仅做单通道设计，传感器短路可能使控制器误判为低温而持续加热。功能安全要求：

• 识别失效模式：传感器开路/短路、控制器死机、继电器粘连。
• 设计安全机制：双传感器交叉校验、看门狗、继电器状态回读。
• 确定完整性等级：根据后果严重度与暴露率，可能要求 SIL 2 或 ASIL B。
• 验证：故障注入测试确认在单点失效下仍能进入安全状态。

六、常见误区与复盘

七、本课程学习目标与整体框架

本课程共 30 章，围绕"生命周期 + 验证工程"两条主线展开。学习目标如下：

• 理解功能安全核心概念、标准体系与法规背景。
• 掌握危害分析、风险评估与安全需求分解方法。
• 掌握硬件架构度量、软件安全机制与诊断设计。
• 掌握验证与确认技术：测试、故障注入、形式化方法、HIL。
• 能够构建可追溯的安全案例（Safety Case）与证据链。

整体框架分为四个阶段：基础认知（标准、术语、生命周期）、分析与设计（HARA、需求、架构、安全机制）、验证与确认（测试策略、覆盖率、故障注入、工具链）、运行与复盘（现场监控、变更、安全案例维护）。后续章节将逐层展开，每章配套方法、案例与实操要点。

课程主线示意：
基础认知 → 危害分析与风险评估 → 安全需求 → 系统/硬件/软件设计
        → 验证与确认 → 安全案例 → 运行监控与变更管理