2、功能安全基础：功能安全的基本概念、安全生命周期、风险降低原则与安全相关控制系统（SRCS）的范畴
功能安全并非一个抽象的管理学名词，而是贯穿机械装备从概念设计到退役拆除全过程的系统性工程方法。在IEC 62061框架下，功能安全的核心理念是：安全不是靠运气或冗余堆砌，而是通过可量化、可验证、可追溯的工程活动来保证的。本章将围绕四个核心问题展开：什么是功能安全及其与传统安全的区别？安全生命周期如何组织？风险降低应遵循什么原则？安全相关控制系统（SRCS）的边界在哪里？理解这些基础概念，是后续掌握SIL等级分配、硬件完整性评估和软件安全要求的前提。
2.1 功能安全的基本概念：从“安全”到“功能安全”
核心原理：传统安全工程关注的是“消除危险源”或“降低风险”，而功能安全关注的是“当系统发生故障时，安全功能能否按预期执行”。IEC 62061将功能安全定义为“整体安全的一部分，它取决于安全相关控制系统（SRCS）对输入信号做出正确反应的能力”。换句话说，功能安全不是让设备“不出故障”，而是让设备在故障发生时仍然保持安全状态，或者能够及时进入安全状态。
理解功能安全需要区分三个关键术语：
- 安全功能（Safety Function）：由SRCS实现的、用于将机器风险降低到可接受水平的功能。例如“当光幕被遮挡时，在200ms内切断危险运动”。
- 安全完整性（Safety Integrity）：安全功能在规定的条件和时间内完成规定功能的概率。它由SIL等级量化，SIL越高，要求的安全完整性越高。
- 安全相关控制系统（SRCS）：实现安全功能的硬件和软件组合，包括传感器、逻辑运算单元、执行器以及它们之间的接口。
2.2 安全生命周期：从摇篮到坟墓的工程框架
核心原理：安全生命周期（Safety Lifecycle）是IEC 62061的核心组织框架，它将功能安全活动划分为三个阶段：分析阶段、实现阶段、运行阶段。每个阶段都有明确的输入、输出、验证活动和文档要求。生命周期方法确保安全不是事后补救，而是从设计之初就系统性地嵌入。
操作流程：安全生命周期的主要活动如下表所示：
| 阶段 | 主要活动 | 关键输出 | 验证方法 |
|---|---|---|---|
| 分析阶段 | 1. 定义机器边界和危险识别 | 危险清单、危险事件描述 | 团队评审、检查表 |
| 2. 风险评估（严重度、暴露频率、避免可能性） | 风险矩阵、风险等级 | 风险比较、专家判断 | |
| 3. 确定安全功能及SIL等级 | 安全功能需求规格（SRS） | SIL分配评审 | |
| 实现阶段 | 4. SRCS架构设计（子系统划分） | 架构图、子系统接口定义 | 架构评审、FMEA |
| 5. 硬件/软件设计与集成 | 电路图、程序代码、配置文档 | 代码审查、硬件测试 | |
| 6. 验证与确认 | 测试报告、验证记录 | 功能测试、故障注入测试 | |
| 运行阶段 | 7. 操作与维护 | 维护手册、定期检验计划 | 定期功能测试 |
| 8. 变更管理与退役 | 变更申请、影响分析报告 | 变更后重新验证 |
2.3 风险降低原则：三步法及其应用逻辑
核心原理：IEC 62061遵循ISO 12100的风险降低三步法原则，要求设计者按优先级依次采取措施：
- 本质安全设计：通过设计消除危险或降低风险（如减少运动部件的动能、使用低压电源）。
- 技术保护措施：当本质安全无法充分降低风险时，采用安全防护装置（如防护罩、安全联锁）和SRCS实现安全功能。
- 使用信息：包括警示标志、操作手册、培训要求等，用于告知残余风险。
判断方法：在应用三步法时，需要反复问三个问题：
- 危险是否可以消除？——如果可以，优先消除。
- 如果无法消除，能否通过物理防护隔离？——例如加装固定防护罩。
- 如果物理防护不可行，是否需要SRCS来实现安全功能？——此时才进入IEC 62061的适用范围。
2.4 安全相关控制系统（SRCS）的范畴与边界
核心原理：SRCS是IEC 62061的核心对象，它由三个基本子系统组成：输入子系统（传感器）、逻辑运算子系统（处理单元）、输出子系统（执行器）。SRCS的范畴不仅包括硬件设备，还包括软件、参数配置、通信接口以及它们之间的交互。明确SRCS的边界至关重要，因为SIL等级分配、PFHd计算和验证活动都基于这个边界。
判断方法：确定某个部件是否属于SRCS，可以依据以下标准：
- 该部件是否承担安全功能的一部分？
- 该部件的失效是否会导致安全功能丧失？
- 该部件是否在安全功能的需求规格（SRS）中被明确要求？
如果以上任一答案为“是”，则该部件应纳入SRCS范畴。例如，一个用于监控电机电流的传感器，如果它的信号用于触发安全停机，那么它属于SRCS；如果仅用于状态显示，则不属于。
2.5 常见误区与总结复盘
常见误区一：将“可靠性”等同于“安全性”。可靠性关注“不出故障”，安全性关注“故障时安全”。一个高可靠性的系统可能因为单点故障导致危险，而一个低可靠性但具有完善诊断和冗余的系统可能更安全。
常见误区二：忽视软件对功能安全的影响。IEC 62061对软件安全生命周期有严格要求，包括软件需求规格、架构设计、编码规范、测试覆盖等。许多工程师认为“软件不会磨损”，但软件中的逻辑错误可能导致安全功能在关键时刻失效。
常见误区三：SIL等级“越高越好”。SIL 3系统比SIL 1系统成本高数倍，且对维护和诊断要求更严格。应根据风险评估结果选择适当的SIL，避免过度设计。
总结复盘：功能安全的基础在于三个“明确”：明确安全功能是什么、明确需要达到的SIL等级、明确SRCS的边界。安全生命周期提供了系统化的流程框架，风险降低原则确保我们优先采用本质安全设计，而SRCS范畴的界定决定了后续所有计算和验证工作的范围。在实际项目中，建议在概念设计阶段就引入功能安全工程师，避免后期返工。