功能安全标准概览：ISO 26262、IEC 61508、ISO 13849 等标准对安全机制和诊断覆盖率的要求，以及不同行业的差异

功能安全并非单一标准，而是一族面向不同行业、不同复杂度和不同风险等级的规范体系。理解这些标准之间的层级关系、核心要求与行业差异，是设计安全机制、计算诊断覆盖率（DC）的前提。本章将系统梳理 IEC 61508（基础标准）、ISO 26262（汽车）、ISO 13849（机械）以及 IEC 62061（机械领域另一重要标准）对安全机制和诊断覆盖率的要求，并剖析不同行业在应用中的关键差异。

2.1 标准体系架构与核心概念

核心原理：从IEC 61508到行业标准的映射

IEC 61508是功能安全的“母标准”，首次系统定义了安全完整性等级（SIL）、安全生命周期、安全功能和安全机制等核心概念。它提出了“风险降低”的核心理念：安全机制的存在是为了将残余风险降低到可接受水平。ISO 26262和ISO 13849/IEC 62061分别针对汽车和机械行业进行了裁剪和细化，但底层逻辑一致——通过安全机制实现故障检测、故障容错和故障避免，并通过诊断覆盖率量化安全机制的效能。

诊断覆盖率（Diagnostic Coverage, DC）定义为：检测到的危险失效概率与所有危险失效概率之比。在ISO 26262中，这一概念被细化为单点故障度量（SPFM）和潜伏故障度量（LFM）；在ISO 13849中则使用平均诊断覆盖率（DCavg）。尽管表述不同，本质都是衡量安全机制对危险故障的“感知能力”。

判断方法：如何选择适用的标准

在实际项目中，选择标准需考虑三个维度：行业归属、系统复杂度和法规要求。汽车电子控制单元（ECU）必须遵循ISO 26262；工业机器人、数控机床等机械装备通常需要同时考虑ISO 13849和IEC 62061；而过程工业（如化工、石油）则直接采用IEC 61508或IEC 61511。值得注意的是，ISO 13849和IEC 62061在机械领域是并行的，前者偏向于“简化方法”，适合非电子技术背景的工程师；后者更接近IEC 61508的完整方法论，适合复杂电子系统。

2.2 ISO 26262对安全机制与诊断覆盖率的要求

核心原理：ASIL等级驱动的安全机制设计

ISO 26262将汽车安全完整性等级（ASIL）分为A到D四个等级，ASIL D要求最高。安全机制的设计必须与ASIL等级匹配：ASIL D要求极高的诊断覆盖率（SPFM≥99%，LFM≥90%），而ASIL A则相对宽松（SPFM≥90%，LFM≥60%）。该标准将安全机制分为三类：在线诊断机制（如锁步核、ECC、CRC）、离线测试机制（如上电自检、周期自检）和故障容错机制（如冗余通道、降级模式）。

在硬件层面，ISO 26262-5 要求对每个安全相关硬件部分计算SPFM和LFM，并验证PMHF（随机硬件失效概率）是否低于目标值（ASIL D为10^-8/h，即10 FIT）。这要求工程师对每个安全机制进行失效模式分析，并量化其诊断覆盖率。

操作流程：从安全目标到诊断覆盖率计算

1. 定义安全目标：从危害分析和风险评估（HARA）中导出安全目标及其ASIL等级。
2. 硬件架构设计：确定安全相关硬件模块，划分安全机制与非安全机制。
3. 失效模式分析：对每个硬件模块进行FMEA/FMEDA，识别单点故障和潜伏故障。
4. 安全机制设计：针对每个危险失效模式设计对应的安全机制（如ADC自检、看门狗、电压监测）。
5. 计算SPFM/LFM：根据安全机制的诊断覆盖率，计算单点故障度量和潜伏故障度量。
6. 验证PMHF：通过故障树分析（FTA）或可靠性框图（RBD）计算系统级PMHF。

案例拆解：动力电池BMS的ASIL C安全机制设计

某新能源汽车BMS（电池管理系统）的过压保护功能被评定为ASIL C。初始设计仅采用软件比较器检测电压，SPFM仅为85%，不满足ASIL C的≥97%要求。分析发现，ADC通道的共因失效（如参考电压漂移）是主要风险点。

改进方案：增加硬件比较器作为独立冗余通道，与软件ADC采样形成双通道比较；同时为ADC参考电压增加自校准机制（每100ms执行一次）。改进后SPFM提升至98.5%，LFM达到92%，满足ASIL C要求。代价是硬件成本增加约0.8美元/通道，但避免了因过压导致的电池热失控风险。

2.3 ISO 13849与IEC 62061对安全机制与诊断覆盖率的要求

核心原理：类别架构与DCavg的配合

ISO 13849采用“类别（Category）”概念描述系统架构的抗故障能力：B类（基本）、1类（经过验证的元件）、2类（定期测试）、3类（单故障容错）、4类（双故障容错）。类别决定了系统对故障的容忍能力，而DCavg则衡量安全机制检测故障的能力。两者结合，再考虑MTTFd（每个通道的平均危险失效时间），共同决定PL等级。

IEC 62061则更接近IEC 61508的框架，使用SIL CL（SIL Claim Limit）作为安全完整性指标。它要求计算每个子系统的PFHd，并通过硬件故障裕度（HFT）和诊断覆盖率（DC）来验证SIL CL。两个标准在机械领域并存，但IEC 62061对复杂电子系统的处理更精细。

操作流程：ISO 13849的PL计算步骤

1. 确定所需PL：通过风险评估确定目标PL（a-e）。
2. 选择类别架构：根据系统复杂度选择B/1/2/3/4类。
3. 计算MTTFd：对每个通道的元件进行可靠性分析，计算MTTFd（低/中/高）。
4. 评估DCavg：根据安全机制类型查表或计算DCavg。
5. CCF评分：对共因失效措施进行评分（≥65分合格）。
6. 验证PL：结合类别、MTTFd、DCavg查表得到PL，确认是否满足目标。

实战场景：安全光栅的PL d认证

某工厂需要为冲压机安装安全光栅，目标PL为d。初始方案采用单套光栅+安全继电器输出，类别为2类，DCavg=60%，MTTFd=高，查表得到PL=c，不满足要求。

改进方案：采用双套光栅冗余配置，类别提升至3类，DCavg提升至90%（通过双通道比较实现），MTTFd保持高。最终PL达到d。关键改进点在于：双通道架构消除了单点故障，而光栅自检机制（每100ms一次）将DCavg从60%提升至90%。成本增加约40%，但满足了安全法规要求，避免了因安全等级不足导致的停产风险。

2.4 不同行业标准的差异与融合趋势

核心原理：行业差异的根源

汽车、工业和机械行业的安全标准差异源于三个因素：失效模式特征、系统生命周期和监管环境。汽车电子系统高度集成、批量大、更新快，因此ISO 26262强调量化指标（PMHF）和流程合规；工业控制系统（如PLC）运行时间长、环境恶劣，ISO 61508强调全生命周期管理和冗余架构；机械安全系统（如安全光栅）结构相对简单、响应时间要求高，ISO 13849强调类别架构和简化计算。

对比分析：关键差异维度

常见误区与总结复盘

误区一：认为ISO 26262的ASIL D比ISO 13849的PL e“更安全”。实际上，两者针对不同应用场景，不能直接比较。ASIL D针对汽车电子，PL e针对机械安全，其风险模型和失效模式不同。

误区二：将ISO 13849的类别与ISO 26262的ASIL等级直接对应。类别描述的是架构冗余度，ASIL描述的是风险等级，两者维度不同。

误区三：忽视安全机制自身的失效率。任何安全机制（如看门狗、比较器）本身也可能失效，必须在诊断覆盖率计算中考虑其失效率。

误区四：在机械系统中直接套用ISO 26262的PMHF指标。机械系统的失效模式以磨损、老化为主，与电子系统的随机硬件失效不同，应使用MTTFd和DCavg。

总结而言，功能安全标准虽各有侧重，但核心逻辑一致：通过安全机制降低风险，通过诊断覆盖率量化安全机制的效能。工程师应深入理解各标准的适用场景和量化指标，避免机械套用。在跨行业项目中，建议建立标准映射矩阵，确保安全机制设计同时满足多个标准的要求。