2. MINAS安全功能体系总览
MINAS（Modular Integrated Network Automation System）的安全功能体系并不是把若干安全器件简单堆叠，而是围绕“风险降低”这一目标，把安全功能、安全完整性等级、信息安全机制和标准合规要求组织成一个可分解、可验证、可维护的整体。理解这一体系，需要先回答三个问题：安全功能有哪些类别，它们各自要降低什么风险；这些功能需要达到多高的可信度，即安全完整性等级（SIL）；以及功能安全与信息安全如何在同一网络中相互支撑又相互制约。
一、安全功能分类：从风险源到功能族
在MINAS体系中，安全功能通常按“被保护对象”和“触发机理”划分为若干功能族。第一类是人身与设备保护功能，例如急停、安全门监控、光幕防护、双手操作、安全限速与安全扭矩关断。这类功能直接响应人员进入危险区或设备超出安全边界的事件，输出通常是使驱动进入安全状态。第二类是过程安全功能，例如超压泄放联锁、温度高高联锁、液位低低联锁、燃烧器管理中的吹扫与点火顺序控制。它们保护的是工艺过程本身，避免能量或物料失控。第三类是机械与运动安全功能，包括安全停止（SS1、SS2）、安全限速（SLS）、安全方向限制（SDI）、安全位置监控（SPM）等，常用于伺服、变频和机器人系统。第四类是诊断与自检功能，如输入通道测试脉冲、输出回读、交叉比较、看门狗和电源监控，它们不直接执行安全动作，但决定了安全功能能否被信任。
这些功能族在MINAS中通过统一的安全数据模型描述：每个安全功能都有触发条件、响应时间、安全状态、复位方式和所需SIL。例如，一个急停功能可能要求SIL 3、响应时间不超过250 ms、采用双通道常闭触点并具备交叉短路检测；而一个安全门监控功能可能只要求SIL 2，但需要区分门锁状态与门位置状态。分类的意义在于：不同功能族对硬件冗余、诊断覆盖率、共因失效和验证方法的要求不同，不能用一个统一的“安全等级”笼统覆盖。
二、安全完整性等级：从风险到可信度
SIL是衡量安全功能可信度的离散等级，核心指标是要求时失效概率（PFDavg）或每小时危险失效概率（PFH）。在低要求操作模式下，SIL 1对应PFD 10⁻²～10⁻¹，SIL 2对应10⁻³～10⁻²，SIL 3对应10⁻⁴～10⁻³，SIL 4对应10⁻⁵～10⁻⁴。高要求模式或连续模式下则用PFH衡量，SIL 3通常要求PFH小于10⁻⁷ h⁻¹。MINAS工程中，SIL不是由设备厂商单独声明的“标签”，而是由“传感器—逻辑—执行器”整条安全功能回路共同实现的。一个SIL 3的急停功能，可能由SIL 3的安全PLC、SIL 3的输入模块和SIL 2的执行器组成，最终回路的PFD需要按串联结构累加计算。
确定SIL的过程通常从风险图或LOPA分析开始。以某包装机械为例：人员进入危险区且设备未停止，伤害严重度S2（不可逆），暴露频率F2（频繁），避免可能性P2（几乎不可能），则风险图输出要求SIL 2。若该工位还涉及高温烫伤，则需单独评估并可能提升至SIL 3。工程上还要注意：SIL等级越高，对硬件故障裕度（HFT）、诊断覆盖率（DC）、共因失效（CCF）和安全失效分数（SFF）的要求越严格。例如SIL 3通常要求HFT≥1、DC≥90%、SFF≥90%，并采用1oo2或2oo3表决结构。这些参数不是抽象概念，而是直接决定接线方式、模块选型和验证测试周期。
三、功能安全与信息安全的关系
功能安全关注“随机硬件失效和系统性失效”导致的安全功能丧失，信息安全关注“人为恶意攻击、未授权访问和通信篡改”导致的安全功能被破坏。两者在MINAS中共享同一物理网络和同一数据通道，因此不能割裂处理。一个典型场景是：安全PLC与远程安全IO之间通过工业以太网通信，若攻击者篡改急停信号或重放旧的安全报文，功能安全回路即使硬件达到SIL 3也会失效。因此，MINAS在安全通信层引入黑通道（Black Channel）原则，即安全协议独立于底层传输介质，通过安全报文中的CRC、序列号、时间戳和连接认证来检测篡改、延迟、丢失和错序。
另一方面，信息安全措施也可能影响功能安全。例如，过于严格的防火墙规则可能阻断安全IO的实时通信，导致安全响应时间超标；频繁的密钥更新可能占用安全PLC的CPU资源，影响扫描周期。因此，工程上需要做“安全与信息安全联合风险评估”，在安全功能需求规格（SRS）中同时写明功能安全要求和信息安全要求，并在验证阶段分别测试。一个实用的判断原则是：功能安全保证“该动作时一定动作”，信息安全保证“不该动作时绝不动作”。两者共同构成MINAS安全功能的完整可信边界。
四、标准框架与合规要求
MINAS安全功能体系主要依托以下标准框架：IEC 61508是功能安全的基础标准，定义了SIL、安全生命周期和整体安全要求；IEC 62061和ISO 13849-1是机械安全领域的两个并行标准，前者基于SIL，后者基于性能等级（PL），MINAS通常同时支持两种评估路径；IEC 61511面向过程工业，强调安全仪表系统（SIS）的安全生命周期；IEC 62443则是工业信息安全的系列标准，覆盖安全区划分、纵深防御和安全等级（SL）。此外，安全通信还需参考IEC 61784-3（功能安全现场总线）和IEC 62443-4-2（组件安全要求）。
合规不是一次性文档工作，而是贯穿设计、集成、验证和运维的持续过程。在MINAS项目中，合规证据通常包括：安全功能清单与SIL分配表、安全需求规格书、安全回路PFD计算报告、安全通信配置记录、信息安全风险评估报告、验证测试记录和变更管理记录。对于SIL 2及以上的安全功能，还需要提供共因失效分析、诊断覆盖率计算和证明测试间隔（Proof Test Interval）的设定依据。只有把这些证据与实际的接线、配置和测试结果对应起来，合规才具有工程意义，而不是停留在纸面声明。