3. 相关标准与规范
安全控制器的验证与故障注入不是“想测什么就测什么”的自由活动，它必须落在功能安全标准的框架内。IEC 61508、ISO 26262、IEC 61511 分别面向通用电子/电气/可编程电子安全相关系统、道路车辆功能安全、过程工业安全仪表系统，三者对验证与故障注入的要求各有侧重，但共享同一条主线：以安全完整性等级（SIL / ASIL）为目标，用可追溯的证据证明安全机制在故障条件下仍然有效。
一、核心原理：标准如何约束“验证”与“故障注入”
功能安全标准的基本逻辑是“风险→安全目标→安全完整性等级→安全机制→验证证据”。验证（Verification）回答“是否正确地构建了系统”，确认（Validation）回答“是否构建了正确的系统”，而故障注入是验证安全机制诊断覆盖率（DC）和故障响应行为的关键手段。
IEC 61508 在 SIL 2/SIL 3 中要求对安全相关硬件进行故障模式与影响分析（FMEA/FMEDA），并通过故障注入或故障模拟验证诊断覆盖率；ISO 26262 在 ASIL B/C/D 中要求对安全机制进行故障注入测试，以证明故障检测时间（FDT）和故障响应时间（FRT）满足安全目标；IEC 61511 则强调安全仪表功能（SIF）的验证需覆盖传感器、逻辑控制器、最终元件整个回路，并要求在工厂验收测试（FAT）和现场验收测试（SAT）中执行故障注入。
关键结论：故障注入不是可选项，而是 SIL/ASIL 认证证据链中的必要环节。注入的故障类型、覆盖范围、通过准则必须与安全计划（Safety Plan）中的验证策略一致。
二、三大标准的对比与要求清单
下表从适用领域、安全等级、故障注入要求、验证证据四个维度对比三大标准，便于在项目中快速定位应遵循的条款。
| 标准 | 适用领域 | 安全等级 | 故障注入要求 | 典型验证证据 |
|---|---|---|---|---|
| IEC 61508 | 通用 E/E/PE 安全相关系统 | SIL 1～4 | 要求通过故障注入/故障模拟验证诊断覆盖率，SIL 3 以上需考虑共因失效 | FMEA/FMEDA 报告、DC 计算、故障注入记录 |
| ISO 26262 | 道路车辆功能安全 | ASIL A～D | 要求对安全机制进行故障注入测试，验证 FDT/FRT，ASIL D 需硬件故障注入 | 安全分析、故障注入测试报告、安全案例 |
| IEC 61511 | 过程工业安全仪表系统 | SIL 1～3 | 要求 SIF 回路验证，FAT/SAT 中执行故障注入，覆盖传感器、逻辑、最终元件 | SIF 验证报告、FAT/SAT 记录、回路测试 |
三、方法流程：从标准条款到故障注入执行
将标准要求落地为可执行的故障注入流程，通常包含以下步骤：
- 确定安全目标与 SIL/ASIL：依据风险分析（HAZOP、FMEA）确定每个安全功能的目标等级。
- 识别安全机制与诊断覆盖：列出看门狗、双通道比较、CRC、超时监控、电压监控等机制及其声称的 DC。
- 设计故障注入用例：按标准要求选择故障类型（永久/瞬态、单点/多点、共因），映射到具体注入点。
- 执行注入并采集响应：记录故障检测时间、响应动作、是否进入安全状态。
- 评估证据与偏差：对比声称 DC 与实际结果，偏差需分析原因并更新安全案例。
以下是一个故障注入用例配置的示例，用于记录注入点、故障类型和通过准则：
fault_injection_case:
id: FI-CPU-001
standard: IEC 61508
sil: SIL3
target: CPU_ALU
fault_type: stuck_at_0
injection_method: hardware_pin_force
expected_detection: watchdog_timeout
max_detection_time_ms: 50
expected_response: safe_state
pass_criteria:
- detection_time <= 50ms
- output_goes_safe == true
- no_spurious_trip == true
四、案例/场景：过程工业 SIF 回路的故障注入验证
某石化装置的反应器超压保护 SIF 为 SIL 3，回路包括压力变送器、安全 PLC、紧急切断阀。依据 IEC 61511，验证需覆盖整个回路。项目在 FAT 阶段执行以下故障注入：
- 对压力变送器注入信号漂移（4～20mA 偏移），验证安全 PLC 是否在 2 秒内检测并触发报警。
- 对安全 PLC 的 AI 通道注入断线故障，验证诊断覆盖率是否达到声称的 99%。
- 对紧急切断阀注入部分行程测试（PST）失败信号，验证最终元件诊断是否有效。
测试结果显示，AI 通道断线检测时间为 1.2 秒，满足 FDT 要求；但阀门 PST 失败未被立即识别，原因是诊断逻辑未覆盖该故障模式。项目据此更新了安全案例，并补充了阀门诊断的故障注入用例。这一案例说明：标准要求的是“证据”，而不是“测试动作”本身。
提示：在编写故障注入用例时，应直接引用标准条款编号（如 IEC 61508-2 表 A.1、ISO 26262-5 第 8 章），便于认证机构审查时快速追溯。
五、误区与复盘
在实际项目中，围绕标准与故障注入常见以下误区：
- 误区一：只做软件故障注入，忽略硬件故障。ISO 26262 ASIL D 明确要求硬件故障注入，仅靠软件注入无法覆盖随机硬件失效。
- 误区二：把诊断覆盖率当作“测试覆盖率”。DC 是安全机制对故障的检测能力，需通过故障注入验证，而非代码覆盖率工具输出。
- 误区三：故障注入用例与安全目标脱节。注入的故障必须能映射到安全目标失效模式，否则证据无效。
- 误区四：忽略共因失效。IEC 61508 SIL 3 以上要求考虑共因失效，双通道系统需注入共因故障验证独立性。
复盘时应重点检查：故障注入用例是否覆盖所有安全机制、是否覆盖标准要求的故障类型、通过准则是否可量化、证据是否可追溯。只有形成“标准条款→安全目标→故障注入用例→测试记录→安全案例”的闭环，验证工作才具备认证价值。