2. 功能安全基础概念
功能安全工程的核心，不是简单地“让系统不出故障”，而是回答一个更精确的问题：当系统发生故障时，它能否把风险控制在可接受范围内？ 要回答这个问题，必须先建立一套共享的术语体系。安全、风险、危害、安全完整性等级（SIL/ASIL）、安全生命周期、安全相关系统，这些概念彼此关联，构成了功能安全分析与验证的“共同语言”。
一、核心术语的因果链：危害 → 风险 → 安全
在功能安全语境中，危害（Hazard） 是指可能导致人员伤害、财产损失或环境破坏的潜在来源。例如，电机驱动器意外输出转矩、安全门被误解锁、制动系统失效等，都是典型的危害。危害是一种“潜在状态”，它本身不等于事故，但它是事故的必要条件。
风险（Risk） 则是对危害发生可能性及其后果严重程度的综合度量。通常用“风险 = 发生概率 × 后果严重度”来定性或定量描述。风险不是非黑即白的，而是一个连续谱：从可忽略到不可接受。功能安全的目标，就是把风险降低到可接受水平以下。
安全（Safety） 因此不是“零风险”，而是“风险已被降低到可接受水平”的状态。这里的关键词是“可接受”——它取决于应用场景、法规要求、社会共识和成本约束。例如，汽车 ASIL D 要求与工业 SIL 3 要求，虽然都追求高安全完整性，但可接受风险的边界并不相同。
核心关系：危害是风险的来源，风险是安全的对立面，安全是风险被控制后的结果。功能安全工程就是围绕“危害识别 → 风险评估 → 风险降低 → 安全验证”这条主线展开的。
二、安全相关系统与安全功能
安全相关系统（Safety-Related System） 是指用于执行安全功能的系统，它可以是电/电子/可编程电子系统（E/E/PE），也可以是机械、液压、气动或其他技术实现。安全相关系统的核心任务是执行安全功能（Safety Function），即针对特定危害，把风险降低到可接受水平的功能。
例如，在工业机器人工作站中，安全功能可能是“当安全门被打开时，机器人必须在 200ms 内进入安全停止状态”。这个安全功能由安全相关系统实现，包括安全门开关、安全继电器、安全控制器和驱动器的安全转矩关断（STO）通道。安全功能必须明确三个要素：触发条件、响应动作、响应时间。缺少任何一个，安全功能都无法被验证。
安全相关系统通常分为两类：一类是安全控制功能，如急停、安全门监控、安全限速；另一类是安全监测功能，如温度监控、压力监控、泄漏检测。两者都需要达到一定的安全完整性等级。
三、安全完整性等级：SIL 与 ASIL
安全完整性等级（Safety Integrity Level, SIL） 是衡量安全功能可靠性的分级指标，主要用于工业领域（IEC 61508）。SIL 分为 SIL 1 到 SIL 4，等级越高，要求安全功能在要求时失效的概率越低。SIL 的定量指标通常用 PFH（每小时危险失效概率）或 PFDavg（平均要求时失效概率）表示。
在汽车领域，ISO 26262 定义了汽车安全完整性等级（Automotive Safety Integrity Level, ASIL），分为 ASIL A、B、C、D 四个等级，其中 ASIL D 要求最严格。ASIL 等级由三个维度决定：严重度（S）、暴露率（E）、可控性（C）。通过 S、E、C 的组合查表，可以确定具体的 ASIL 等级。
| 等级 | 适用领域 | 典型失效概率要求 | 典型应用示例 |
|---|---|---|---|
| SIL 1 | 工业 | PFH 10⁻⁶ ~ 10⁻⁵ /h | 普通机械防护 |
| SIL 2 | 工业 | PFH 10⁻⁷ ~ 10⁻⁶ /h | 安全门监控、急停 |
| SIL 3 | 工业 | PFH 10⁻⁸ ~ 10⁻⁷ /h | 机器人安全控制、过程工业 |
| SIL 4 | 工业 | PFH 10⁻⁹ ~ 10⁻⁸ /h | 核电、轨道交通 |
| ASIL A | 汽车 | 较低完整性 | 后视镜调节 |
| ASIL B | 汽车 | 中等完整性 | 尾灯控制 |
| ASIL C | 汽车 | 较高完整性 | 巡航控制 |
| ASIL D | 汽车 | 最高完整性 | 制动、转向、安全气囊 |
需要特别注意的是，SIL 和 ASIL 不是“产品等级”，而是“安全功能等级”。同一个系统可能同时执行多个安全功能，每个安全功能可以有不同的 SIL/ASIL 等级。例如，一个电机驱动器可能同时承担“安全转矩关断（STO）”和“安全限速（SLS）”两个安全功能，前者可能是 SIL 3，后者可能是 SIL 2。
四、安全生命周期：从概念到退役
安全生命周期（Safety Lifecycle） 是功能安全工程的管理框架，它把安全相关系统的整个生命周期划分为若干阶段，每个阶段都有明确的输入、输出、活动和验证要求。IEC 61508 和 ISO 26262 都定义了各自的安全生命周期模型，但核心思想一致：安全必须从概念阶段开始，贯穿设计、实现、集成、运行、维护，直到退役。
安全生命周期通常包括以下阶段：
- 概念阶段：定义系统边界、识别危害、进行风险评估、确定安全目标。
- 设计阶段：分配安全需求、设计安全相关系统、选择安全完整性等级。
- 实现阶段：硬件和软件开发、安全机制实现、安全完整性验证。
- 集成与验证阶段：系统集成、安全功能测试、安全完整性确认。
- 运行与维护阶段：安全功能监控、定期测试、变更管理、事故记录。
- 退役阶段：安全功能停用、风险评估、残余风险处理。
关键原则：安全生命周期不是“一次性流程”，而是“迭代闭环”。任何阶段发现新的危害或风险，都必须回溯到前面的阶段重新评估。安全生命周期管理的是“安全论证”的完整性，而不仅仅是“产品是否通过测试”。
五、案例场景：安全门监控系统的 SIL 判定
假设某工业机器人工作站需要实现“安全门打开时机器人停止”的安全功能。我们按以下步骤进行：
- 危害识别：人员进入机器人工作区域，可能被机器人撞击或挤压。
- 风险评估：严重度为“重伤”，暴露率为“频繁”，可控性为“几乎不可能”。
- 确定安全目标：安全门打开时，机器人必须在 200ms 内进入安全停止状态。
- 确定 SIL 等级：根据风险图或风险矩阵，该安全功能需要达到 SIL 2。
- 设计安全相关系统：安全门开关 + 安全继电器 + 安全控制器 + STO 通道。
- 验证：计算 PFH，确认满足 SIL 2 要求；进行功能测试和故障注入测试。
这个案例说明，SIL 等级不是“拍脑袋”决定的，而是从危害和风险推导出来的。安全生命周期中的每一个阶段，都必须有可追溯的安全论证。
六、常见误区与复盘
误区一：把 SIL 当成产品认证标签。 SIL 是安全功能的属性，不是产品的属性。一个 SIL 3 的控制器，如果用在错误的安全功能中，仍然可能无法达到所需的安全完整性。
误区二：认为安全生命周期只是文档工作。 安全生命周期要求的是“可验证的安全论证”，文档只是载体。没有实际测试和验证，文档再完整也没有意义。
误区三：忽略安全功能的响应时间。 很多安全功能失效，不是因为硬件不可靠，而是因为响应时间不满足要求。响应时间必须从危害发生到安全状态达成全程计算。
误区四：把风险降低等同于零风险。 功能安全追求的是“可接受风险”，而不是“零风险”。过度设计不仅增加成本，还可能引入新的失效模式。
复盘这些误区，可以发现一个共同点：功能安全的核心不是“买一个高等级产品”，而是“建立一套从危害到安全论证的完整闭环”。安全、风险、危害、SIL/ASIL、安全生命周期、安全相关系统，这些术语不是孤立的概念，而是这个闭环中相互咬合的齿轮。理解它们之间的关系，是后续进行安全需求分析、安全架构设计、安全验证与确认的基础。