4. 安全完整性等级
在功能安全领域，安全完整性等级（Safety Integrity Level）是衡量安全相关系统在指定条件下成功执行安全功能能力的量化指标。不同行业标准体系下，这一概念被赋予了不同的名称与分级方式：IEC 61508 定义了 SIL（Safety Integrity Level），ISO 26262 面向汽车电子定义了 ASIL（Automotive Safety Integrity Level），而 ISO 13849 面向机械安全定义了 PL（Performance Level）。理解这些等级的本质，是设计安全状态机与故障降级策略的前提。
一、核心原理：安全完整性等级的本质
安全完整性等级并非描述系统“有多安全”的绝对度量，而是描述系统在随机硬件失效和系统性失效面前，能够将风险降低到可接受水平的置信程度。它由两个维度共同决定：一是失效概率的量化指标，二是防止系统性失效的架构与流程约束。
SIL 分为 SIL 1 至 SIL 4 四个等级，SIL 4 要求最高。其核心量化指标是每小时危险失效概率（PFH）或按需失效概率（PFD）。ASIL 分为 QM、ASIL A、ASIL B、ASIL C、ASIL D 五个等级，ASIL D 最严格，QM 表示仅需质量管理。PL 分为 PLa 至 PLe 五个等级，通过平均危险失效时间（MTTFd）、诊断覆盖率（DC）和共因失效（CCF）综合评定。
关键认知：安全完整性等级越高，并不意味着系统功能越强，而是意味着系统在失效时进入安全状态的能力越可靠、越可预测。这正是状态机设计中“安全状态优先”原则的根源。
二、SIL、ASIL、PL 的对比与映射
三个体系虽然术语不同，但设计哲学高度一致：通过架构约束、诊断覆盖和失效概率控制，确保安全功能在需要时能够可靠执行。下表给出三者的核心对比。
| 体系 | 标准 | 等级划分 | 核心量化指标 | 典型应用领域 |
|---|---|---|---|---|
| SIL | IEC 61508 | SIL 1～SIL 4 | PFH / PFD | 工业自动化、过程控制 |
| ASIL | ISO 26262 | QM、A、B、C、D | 暴露度、严重度、可控度 | 汽车电子、ADAS |
| PL | ISO 13849 | PLa～PLe | MTTFd、DC、CCF | 机械安全、机器人 |
粗略映射关系为：SIL 1 约对应 PL c，SIL 2 约对应 PL d，SIL 3 约对应 PL e；ASIL D 通常要求达到 SIL 3 级别的硬件失效概率控制。但映射并非严格等价，因为各标准的评估方法和架构要求存在差异。
三、安全完整性等级与状态机设计的关系
安全完整性等级直接决定了状态机的设计约束。等级越高，状态机需要满足的架构要求越严格，具体体现在以下几个方面：
- 状态编码与诊断：高等级要求对状态寄存器进行冗余编码或持续诊断，防止状态位翻转导致状态机进入非预期状态。
- 转移条件验证：高等级要求对关键转移条件进行双重校验，避免单一传感器失效触发错误转移。
- 安全状态可达性：无论当前处于哪个状态，状态机必须保证在故障发生时能够在规定时间内进入安全状态。
- 降级路径设计：高等级系统通常需要多级降级路径，而非简单的“正常—故障”二元切换。
下图展示了安全完整性等级如何影响状态机的架构设计：等级越高，状态机需要引入的冗余、诊断和降级层级越多。
四、案例与场景：ASIL D 制动系统的状态机降级
以汽车电子制动系统（ESC）为例，假设其安全目标被评定为 ASIL D。系统状态机需要设计如下降级路径：
状态定义：
S0_NORMAL — 正常制动，全功能可用
S1_DEGRADED_1 — 单传感器失效，ABS 功能受限
S2_DEGRADED_2 — 主控制器失效，切换至备份控制器
S3_SAFE_STOP — 受控减速至安全停车
S4_EMERGENCY — 紧急机械制动，最高安全状态
转移条件示例：
S0 → S1 : 轮速传感器信号不一致持续 > 20ms
S1 → S2 : 主控制器看门狗超时
S2 → S3 : 备份控制器通信中断
S3 → S4 : 车速 > 5km/h 且制动压力不足
在 ASIL D 要求下，每个转移条件都需要独立验证，且 S3 和 S4 状态必须能够在任何单点失效下可达。这意味着状态机不能依赖单一传感器或单一执行路径来判断是否进入安全状态。
设计技巧：将安全完整性等级要求转化为状态机的“安全状态可达性矩阵”，明确每个状态在各类故障注入下的目标状态和最大允许转移时间，可以显著提升设计验证效率。
五、常见误区与复盘
误区一：等级越高越好。盲目追求高等级会导致过度设计、成本激增和开发周期延长。应根据危害分析和风险评估（HARA）结果，为每个安全目标分配合适的等级。
误区二：状态机设计可以独立于安全完整性等级。实际上，等级直接决定了状态机的架构模式。SIL 1 的单通道设计在 SIL 3 场景下是不可接受的，必须引入冗余和诊断。
误区三：安全状态就是停机。安全状态的定义取决于具体应用。对于制动系统，安全状态可能是“受控减速”而非“立即抱死”；对于化工过程，安全状态可能是“紧急泄压”而非“切断所有电源”。
复盘要点：在项目早期就应将安全完整性等级要求映射到状态机的状态定义、转移条件和降级路径中。后期再补，往往需要重构整个状态机架构，代价极高。
总结而言，SIL、ASIL、PL 是安全完整性在不同行业中的表达方式，它们共同指向一个核心问题：系统在失效时能否可靠地进入安全状态。状态机作为安全功能的核心载体，其架构设计必须与所分配的安全完整性等级严格匹配。等级越高，状态机需要的冗余、诊断和降级层级就越多，设计约束也越严格。只有将等级要求前置到状态机设计阶段，才能构建出真正可靠的安全降级逻辑。