标准体系概览：IEC 61508、ISO 26262、IEC 60730等标准的核心框架与适用范围
功能安全并非单一标准所能覆盖，而是一个由基础标准、行业派生标准与特定应用标准共同构成的层级化体系。对于嵌入式工程师而言，理解这一体系的结构与边界，是开展安全设计、撰写安全档案、通过认证审核的前提。本章将聚焦于三个最常被提及的标准——IEC 61508（通用基础标准）、ISO 26262（汽车行业标准）与IEC 60730（家电安全标准），剖析其核心框架、适用场景与内在关联，帮助你在实际项目中快速定位所需遵循的规范。
3.1 IEC 61508：功能安全的“母标准”
核心原理：IEC 61508《电气/电子/可编程电子安全相关系统的功能安全》是功能安全领域最基础、最通用的标准，首次发布于1998年，现行版本为2010版。它定义了“安全生命周期”模型，覆盖从概念设计、风险评估、系统实现到运行维护的全过程。其核心概念是安全完整性等级（SIL, Safety Integrity Level），分为SIL 1至SIL 4四个等级，等级越高，要求的安全失效概率越低，开发流程的严格度也越高。
判断方法：嵌入式工程师在应用IEC 61508时，需要关注以下关键环节：
- 风险分析：通过危害识别与风险评估确定目标SIL等级。通常采用风险矩阵或LOPA（保护层分析）方法。
- 安全要求规范：将SIL等级分解为具体的功能安全要求与安全完整性要求，形成安全要求规范（SRS）。
- 硬件失效裕度：根据SIL等级确定硬件架构约束，如单通道、双通道、冗余结构等。
- 系统性能力：要求开发过程符合规定的系统性安全完整性措施，如代码规范、测试覆盖率、配置管理等。
常见误区：许多工程师误以为只要使用了“安全认证”的MCU或芯片，整个系统就自动满足SIL等级要求。实际上，芯片认证只是基础，系统级的安全完整性取决于整体设计，包括传感器、执行器、通信链路、电源以及软件逻辑的协同工作。此外，SIL等级并非越高越好，过高的等级会带来显著的成本与开发周期增加，应基于实际风险合理选择。
3.2 ISO 26262：汽车行业的功能安全规范
核心原理：ISO 26262《道路车辆功能安全》是IEC 61508在汽车行业的派生标准，最新版本为2018年发布的第二版，覆盖了从概念阶段到报废回收的完整生命周期。其核心创新在于引入了汽车安全完整性等级（ASIL, Automotive Safety Integrity Level），分为ASIL A、B、C、D四个等级，其中ASIL D要求最为严格。与SIL不同，ASIL的确定不仅考虑危害的严重度（S）、暴露概率（E），还引入了可控性（C）维度，即驾驶员或乘客在危险发生时的应对能力。
操作流程：在ISO 26262框架下，嵌入式工程师通常参与以下活动：
- HARA（危害分析与风险评估）：在概念阶段进行，输出安全目标及其ASIL等级。
- 功能安全概念：将安全目标分解为功能安全要求，并分配到系统架构中。
- 技术安全概念：在系统层面细化技术实现方案，包括硬件软件接口、诊断机制、安全机制设计。
- 硬件与软件级开发：分别遵循ISO 26262-5（硬件）和ISO 26262-6（软件）的要求，进行安全分析与验证。
- 安全确认：在整车或系统层面验证安全目标是否实现。
| ASIL等级 | 单点故障指标（SPFM） | 潜在故障指标（LFM） | 随机硬件失效概率目标 |
|---|---|---|---|
| ASIL B | ≥ 90% | ≥ 60% | < 10⁻⁷ /h |
| ASIL C | ≥ 97% | ≥ 80% | < 10⁻⁷ /h |
| ASIL D | ≥ 99% | ≥ 90% | < 10⁻⁸ /h |
案例拆解：以电动助力转向（EPS）系统为例，其安全目标为“防止非预期的转向助力丧失或错误助力”，通常被评定为ASIL D。在硬件层面，需要采用双MCU锁步（Lockstep）架构或独立冗余通道，并配备电源监控、时钟监控、内存校验（ECC）等安全机制。在软件层面，需要满足ASIL D的软件单元测试覆盖率要求（语句100%、分支100%、MC/DC 100%），并实施内存保护、程序流监控等安全措施。开发过程中，每个阶段都需要输出对应的工作产品（如安全计划、验证报告、评审记录），并接受独立安全审计。
常见误区：部分工程师认为ISO 26262只适用于自动驾驶或高级辅助驾驶系统，而传统车身控制（如车窗、雨刮）无需关注。实际上，ISO 26262适用于所有与安全相关的电气/电子系统，包括基础车身控制。只是不同系统的ASIL等级不同，开发严格度有所差异。此外，ISO 26262第二版新增了半导体指南（Part 11）和摩托车适用性（Part 12），进一步扩展了适用范围。
3.3 IEC 60730：家电控制器的安全设计规范
核心原理：IEC 60730《家用和类似用途电器的自动电气控制装置》是针对家电控制器的专用安全标准，其最新版本为IEC 60730-1:2013。该标准将控制装置分为三类：Class A（不涉及安全功能的控制）、Class B（防止不安全操作的控制）和Class C（防止特殊危险的控制）。对于嵌入式软件，IEC 60730附录H（Annex H）提供了软件安全设计的指导，包括对MCU自检、内存测试、时钟监控、程序流监控等要求。
判断方法：家电控制器设计时，需要根据产品功能确定安全等级：
- Class A：如温度显示、定时开关等非安全功能，无需特殊安全措施。
- Class B：如洗衣机脱水转速控制、电饭煲温度控制等，需要防止因控制器失效导致的不安全操作。要求MCU具备自检功能（上电自检和周期自检），内存测试需覆盖RAM和Flash，时钟监控需检测主时钟失效。
- Class C：如燃气灶熄火保护、压力锅压力控制等，需要防止特殊危险。要求比Class B更严格，可能需要双通道冗余或独立安全监控芯片。
常见误区：许多家电厂商误以为只要MCU内部集成了看门狗定时器（WDT）就满足了IEC 60730要求。实际上，标准要求的是“程序序列监控”，即不仅要检测程序是否跑飞，还要检测程序执行顺序是否正确。简单的WDT只能检测死循环或跑飞，无法检测逻辑错误导致的错误执行路径。因此，需要采用逻辑监控（如程序流检查）或窗口看门狗（Window WDT）来实现更可靠的监控。
3.4 标准对比与选型策略
核心原理：三个标准虽然同源，但在适用范围、安全等级定义、开发流程要求上存在显著差异。理解这些差异有助于工程师在跨领域项目中快速切换思路。
| 对比维度 | IEC 61508 | ISO 26262 | IEC 60730 |
|---|---|---|---|
| 适用范围 | 所有工业领域（通用） | 道路车辆（乘用车/商用车） | 家用电器自动控制装置 |
| 安全等级 | SIL 1-4 | ASIL A-D | Class A/B/C |
| 风险参数 | 严重度、频率、避免可能性 | 严重度、暴露概率、可控性 | 基于产品类别预设 |
| 软件要求 | IEC 61508-3 | ISO 26262-6 | 附录H（简化版） |
| 认证方式 | 第三方认证（如TÜV） | 第三方评估+客户审核 | 自我声明+市场监督 |
| 开发严格度 | 高 | 极高 | 中等 |
选型策略：在实际项目中，应遵循以下原则：
- 行业优先：汽车电子必须遵循ISO 26262，家电产品必须遵循IEC 60730，工业控制设备通常遵循IEC 61508。
- 客户要求：部分OEM客户可能有额外要求，如使用特定标准版本或增加内部审核项。
- 出口合规：出口欧洲的产品需符合CE认证要求，其中涉及功能安全的标准必须满足。
- 成本考量：IEC 60730的Class B要求相对宽松，适合成本敏感的家电产品；而ISO 26262的ASIL D要求极高，适用于安全关键型汽车系统。
总结复盘：功能安全标准体系是一个动态演进的框架，IEC 61508作为基础标准提供了通用方法论，ISO 26262和IEC 60730则根据行业特点进行了定制化调整。嵌入式工程师应建立“标准地图”思维，明确不同标准的适用边界与核心要求，避免在项目初期选错标准导致后期返工。同时，要认识到标准只是最低要求，真正的功能安全需要结合具体产品风险、技术可行性与成本约束进行综合权衡。建议在项目启动阶段就引入安全专家，进行标准差距分析，制定符合实际的安全计划。