1. 课程导入
功能安全（Functional Safety）是工业自动化、机械制造、过程控制、汽车电子、轨道交通等众多领域中保障人员安全与设备可靠性的核心工程学科。它并非简单地讨论“产品是否耐用”，而是系统性地解决“当系统发生故障或失效时，如何将风险控制在可接受范围内”这一根本问题。对于从事安全相关控制系统（SRP/CS）设计、集成、验证与维护的工程师而言，理解功能安全的底层逻辑、标准体系与工程方法，是职业生涯中不可或缺的关键能力。本章作为整个课程的开篇，将首先厘清功能安全的基本概念与核心术语，梳理其从早期继电器联锁到现代基于软件与复杂电子硬件的发展脉络，并重点剖析ISO 13849与IEC 61508这两大支柱标准之间的层级关系与互补性，最后为学员规划出一条清晰、高效的学习路径。
上图清晰地展示了功能安全领域的整体知识框架：从顶层的风险识别出发，通过IEC 61508与ISO 13849两大标准体系作为核心方法论，向下延伸到具体的工程要素（如SIL、PL、MTTFd、DC等），最终汇聚为系统化的课程学习路径。这张图将贯穿我们整个课程，帮助你在学习过程中始终明确自己所处的位置与知识间的关联。
功能安全的基本概念与核心术语
核心原理：功能安全的本质是“通过安全相关系统的正确功能来实现风险降低”。这里的关键词是“功能”——即系统必须能够执行其设计规定的安全功能，并且在发生故障时，系统仍能保持安全状态或进入安全状态。功能安全关注的是随机硬件失效、系统性失效以及人为操作错误等可能导致危险事件发生的因素。与之相对的是“本质安全”，后者通过设计消除危险源，而功能安全则是在危险源无法消除时，通过安全系统来降低风险。
在功能安全领域，有几个核心术语必须准确理解：
- 安全功能（Safety Function）：由安全相关系统执行的、用于将风险降低到可接受水平的功能。例如，急停按钮触发后切断电机电源。
- 安全完整性（Safety Integrity）：安全相关系统在规定的条件和时间内，正确执行安全功能的概率。这是衡量安全性能的核心指标。
- 安全完整性等级（SIL）：IEC 61508中定义的离散等级（SIL1~SIL4），用于描述安全功能在特定条件下的性能要求。SIL4为最高等级。
- 性能等级（PL）：ISO 13849中定义的离散等级（PL a~e），用于描述机械控制系统安全功能的性能水平。PL e为最高等级。
- 危险失效（Dangerous Failure）：导致安全功能无法执行或执行错误的失效模式，可能直接导致危险事件发生。
- 诊断覆盖率（DC）：诊断测试检测到的危险失效比例，是衡量自诊断能力的重要参数。
功能安全的发展历程与标准演进
发展脉络：功能安全的理念并非一蹴而就，而是随着工业技术发展和对事故认知的深化逐步形成的。其演进大致可分为四个阶段：
| 阶段 | 时间范围 | 主要特征 | 代表性标准/实践 |
|---|---|---|---|
| 萌芽期 | 20世纪50-70年代 | 基于继电器和硬接线逻辑的安全联锁，依赖“失效安全”原则（如常闭触点） | 继电器联锁电路、硬接线安全回路 |
| 发展期 | 20世纪80-90年代 | 可编程电子系统（PES）引入安全领域，但缺乏系统性方法论，事故频发 | IEC 61508草案（1998年发布第一版） |
| 成熟期 | 2000-2010年代 | IEC 61508成为基础标准，各行业领域标准纷纷出台，形成完整体系 | IEC 61508（2010版）、ISO 13849-1（2006版）、IEC 62061 |
| 深化期 | 2015年至今 | 网络安全与功能安全融合，人工智能/机器学习引入安全系统，标准持续修订 | ISO 13849-1（2023版）、IEC 61508（2010版+修订）、ISO/TR 22100-2 |
关键转折点：1990年代，欧洲多起涉及可编程电子系统的工业事故促使国际电工委员会（IEC）启动IEC 61508的制定工作。该标准首次提出了“安全生命周期”的概念，强调从概念设计到退役的全过程安全管理。2006年，ISO 13849-1将PL等级与类别（Category）架构引入机械安全领域，为机械工程师提供了更直观、更易操作的设计指南。
ISO 13849与IEC 61508的关系解析
体系定位：IEC 61508是功能安全的“通用基础标准”，适用于所有含电气/电子/可编程电子（E/E/PE）的安全相关系统。它定义了SIL等级、安全生命周期、技术与措施要求等通用框架。ISO 13849则是IEC 61508在机械安全领域的具体化应用，专门针对机械设备的控制系统（SRP/CS），将SIL的概念转化为更贴近机械工程师思维的PL等级。
核心对应关系：ISO 13849的PL等级与IEC 61508的SIL等级之间存在明确的映射关系，但并非一一对应。PL等级不仅考虑了硬件失效概率（对应SIL），还综合了类别架构、诊断覆盖率、共因失效等机械行业特有的设计因素。
| ISO 13849 PL等级 | 对应IEC 61508 SIL等级 | 每小时危险失效概率（PFH）范围 | 典型应用场景 |
|---|---|---|---|
| PL a | 无直接对应 | ≥10⁻⁵ 至 <10⁻⁴ | 低风险机械，如简单限位开关 |
| PL b | SIL 1（部分） | ≥3×10⁻⁶ 至 <10⁻⁵ | 一般风险，如部分防护联锁 |
| PL c | SIL 1 | ≥10⁻⁶ 至 <3×10⁻⁶ | 中等风险，如安全光幕 |
| PL d | SIL 2 | ≥10⁻⁷ 至 <10⁻⁶ | 高风险，如机器人安全监控 |
| PL e | SIL 3 | ≥10⁻⁸ 至 <10⁻⁷ | 极高风险，如冲压机安全控制 |
设计思路差异：IEC 61508更强调基于概率计算的安全完整性验证，要求对硬件失效概率进行定量分析；而ISO 13849则提供了两种验证路径——简化方法（基于类别、MTTFd、DC、CCF的查表法）和计算方法（基于马尔可夫模型或故障树分析）。这种灵活性使得ISO 13849在机械行业更容易被接受和实施。
课程学习路径与知识体系构建
学习路径设计：本课程共30章，按照“基础→标准→方法→实践→管理”的逻辑主线展开，确保学员能够循序渐进地构建完整的知识体系。课程结构如下：
- 基础模块（第1-4章）：功能安全概念、标准体系、风险评估基础、安全生命周期模型。
- 标准解读模块（第5-10章）：深入剖析IEC 61508与ISO 13849的核心条款、架构要求、量化参数（PFH、MTTFd、DC、CCF）。
- 方法工具模块（第11-18章）：风险图/风险矩阵、SIL/PL分配、可靠性计算（马尔可夫模型、故障树）、软件安全生命周期。
- 实践应用模块（第19-26章）：典型安全功能设计（急停、光幕、联锁）、可编程安全系统、通信协议（PROFIsafe、CIP Safety）、验证与确认。
- 管理模块（第27-30章）：功能安全管理、文档体系、认证流程、网络安全与功能安全融合。
学习方法建议：功能安全是一门实践性极强的学科，建议学员在学习过程中注意以下几点：
- 标准原文对照：阅读本课程内容时，手边应备有ISO 13849-1和IEC 61508-1/2/3的原文，以便随时查阅条款细节。
- 案例驱动学习：每章提供的案例拆解应作为理解理论知识的锚点，尝试独立分析案例中的设计决策与计算过程。
- 工具辅助计算：掌握SISTEMA（用于ISO 13849计算的官方工具）和可靠性计算软件（如RiskSpectrum、Isograph）的基本使用。
- 项目实践结合：如果条件允许，将课程知识应用到实际项目中，哪怕是简单的安全回路改造，也能极大加深理解。