2. 功能安全基础
在驱动器（伺服驱动器、变频器、电机控制器）的功能安全架构设计中，功能安全并不是“把系统做得更可靠”这么简单，它关注的是：当系统发生随机硬件失效或系统性失效时，能否把风险降低到可接受的水平。理解功能安全的定义、安全生命周期、安全完整性等级以及 IEC 61508 与 ISO 26262 的关系，是后续所有架构决策的起点。
一、功能安全的定义与核心逻辑
功能安全（Functional Safety）是指：通过安全相关系统或功能，将因系统失效而导致的不可接受风险降低到可接受水平。它强调“功能”而非“部件”，即安全是由一组可验证的安全功能（Safety Function）来保证的。例如驱动器中的 STO（Safe Torque Off，安全转矩关断）就是一种典型的安全功能：当触发信号到来时，驱动器必须在规定时间内切断电机转矩输出，防止电机意外启动或继续旋转。
功能安全的核心逻辑可以概括为三个问题：
- 风险有多大？——通过危害分析与风险评估（HARA）确定每个危害事件的严重度、暴露率和可控性。
- 需要降低到什么程度？——根据风险确定目标安全完整性等级（SIL 或 ASIL）。
- 如何证明已经降低到位？——通过安全生命周期、硬件指标（如 SFF、DC、PFH）和验证确认活动提供证据。
二、安全生命周期：从概念到退役的闭环
安全生命周期（Safety Lifecycle）是功能安全管理的骨架。IEC 61508 将其划分为多个阶段，从概念定义、总体范围、危害与风险评估，到安全需求分配、设计实现、集成测试、验证确认、运行维护，直至最终退役。对于驱动器产品，安全生命周期通常与产品开发流程（如 V 模型）交织在一起。
在工程实践中，安全生命周期最关键的三个节点是：
- 安全需求规格（Safety Requirements Specification）：明确每个安全功能的目标 SIL/ASIL、响应时间、失效模式、诊断覆盖率等。
- 安全验证与确认（Verification & Validation）：验证“是否正确地做了”，确认“是否做了正确的功能”。
- 安全档案（Safety Case）：汇总所有证据，证明系统满足目标安全完整性等级。
下面这张图展示了安全生命周期在驱动器开发中的典型闭环结构，以及各阶段与安全完整性等级、标准之间的对应关系。
三、安全完整性等级：SIL 与 ASIL
安全完整性等级是功能安全中最容易被误解的概念之一。它不是一个“产品等级”，而是对安全功能在特定场景下降低风险能力的量化要求。IEC 61508 定义了 SIL 1～SIL 4，ISO 26262 定义了 ASIL A～ASIL D（D 最高），两者在方法论上同源，但应用领域和评估维度不同。
SIL 等级主要由三个指标决定：
- PFH / PFDavg：每小时危险失效概率或平均要求时失效概率。
- 硬件安全完整性：通过安全失效分数（SFF）和诊断覆盖率（DC）评估。
- 系统性能力：通过开发流程、文档、验证活动来保证。
ASIL 则通过严重度（S）、暴露率（E）和可控性（C）三个维度查表确定，更强调场景与驾驶员可控性。对于驱动器产品，如果用于汽车电驱动系统，通常需要满足 ASIL C 或 ASIL D；如果用于工业机械，则常按 IEC 61508 SIL 2 或 SIL 3 设计。
| 等级 | 标准来源 | 典型 PFH（1/h） | 驱动器场景示例 |
|---|---|---|---|
| SIL 1 | IEC 61508 | ≥10⁻⁶ 且 <10⁻⁵ | 一般工业启停保护 |
| SIL 2 | IEC 61508 | ≥10⁻⁷ 且 <10⁻⁶ | STO、SS1 安全功能 |
| SIL 3 | IEC 61508 | ≥10⁻⁸ 且 <10⁻⁷ | 高安全等级伺服驱动 |
| ASIL C | ISO 26262 | 对应量化目标 | 电驱动扭矩安全监控 |
| ASIL D | ISO 26262 | 最高等级 | 线控转向/制动相关驱动 |
四、相关标准：IEC 61508 与 ISO 26262 的分工
IEC 61508 是功能安全的“母标准”，它定义了安全生命周期、SIL 等级、硬件失效量化方法、软件安全要求等通用框架。ISO 26262 是面向道路车辆的功能安全标准，它在 IEC 61508 基础上细化了汽车电子电气系统的开发流程，引入了 ASIL、HARA、安全目标、功能安全概念、技术安全概念等概念。
对于驱动器功能安全架构设计，还需要关注 IEC 61800-5-2（可调速电力驱动系统的安全要求），它定义了 STO、SS1、SS2、SOS、SLS、SDI 等安全功能，是驱动器安全功能设计的直接依据。
典型标准引用关系：
IEC 61508（通用功能安全）
├── ISO 26262（道路车辆）
├── IEC 61800-5-2（可调速电力驱动系统）
└── ISO 13849（机械安全控制系统）
驱动器安全功能示例：
STO —— Safe Torque Off，安全转矩关断
SS1 —— Safe Stop 1，安全停止 1
SLS —— Safely Limited Speed，安全限速
SOS —— Safe Operational Stop，安全运行停止
五、案例与常见误区
某工业伺服驱动器项目要求实现 SIL 2 的 STO 功能。团队最初认为“只要加一个安全继电器就能达到 SIL 2”，但在安全生命周期评审中发现：安全需求规格未定义响应时间，诊断覆盖率未量化，安全档案缺少验证证据。最终通过重新进行 HARA、定义 PFH 目标、增加双通道诊断和定期测试，才通过 SIL 2 评估。
常见误区二：先做设计再补安全。安全生命周期要求安全需求先于设计，否则后期变更成本极高。
常见误区三：忽略系统性失效。即使硬件指标达标，软件缺陷、需求错误、集成问题仍可能导致安全功能失效。
复盘来看，功能安全基础的核心不是记住标准条款，而是建立“风险—需求—设计—证据”的闭环思维。只有把安全生命周期、SIL/ASIL 等级和标准要求真正落到驱动器架构的每个接口、每个诊断和每个验证活动中，功能安全才不是纸面合规，而是可执行、可验证的工程能力。