2. 安全监控基础

在功能安全与信息安全融合的系统中，“监控”并不是简单地记录日志或显示状态，而是对系统运行状态进行持续观测、判断和响应的闭环机制。安全监控系统通常由采集层、判断层、执行层和记录层构成：采集层获取传感器、控制器、总线或软件任务的状态；判断层依据阈值、时序、逻辑或模型判断是否偏离安全边界；执行层在异常时触发降级、切断、报警或进入安全状态；记录层则保存证据，用于追溯与改进。理解这一闭环，是掌握安全看门狗与独立监控架构的前提。

关键术语与基本概念

安全监控领域有一组高频术语，理解它们有助于阅读架构图和诊断规范：

• 被监控对象（Target of Monitoring）：需要被观测的实体，如CPU任务、电机控制器、通信总线、电源模块或安全相关软件进程。
• 监控通道（Monitoring Channel）：独立于被监控对象的采集与判断路径，通常由独立时钟、独立电源或独立处理器构成。
• 心跳（Heartbeat）：被监控对象周期性发出的“存活”信号，监控方通过其频率和时序判断对象是否正常运行。
• 窗口看门狗（Windowed Watchdog）：不仅要求喂狗，还要求喂狗时间落在指定窗口内，过早或过晚都视为异常。
• 安全状态（Safe State）：系统检测到危险后进入的预定状态，如切断输出、限速、停机或切换到冗余通道。
• 诊断覆盖率（DC）：监控机制能够检测到的故障比例，是衡量监控有效性的重要指标。
• 共因失效（CCF）：同一原因导致多个通道同时失效，独立监控架构必须通过多样性、隔离和物理分离来抑制。

常见分类：从监控对象到实现方式

安全监控系统可以按不同维度分类。按监控对象可分为任务级、控制器级、总线级和系统级；按实现方式可分为软件监控、硬件监控和混合监控；按响应方式可分为报警型、降级型和切断型。下表给出常见分类及典型特征：

典型应用场景

安全监控在不同行业中呈现出不同的形态，但核心逻辑一致：用独立通道观测关键行为，在异常时及时响应。

• 汽车电子：整车控制器监控电机扭矩输出，若实际扭矩与请求扭矩偏差超过阈值，则进入降功率模式；独立看门狗监控主控芯片程序流，防止跑飞。
• 工业自动化：安全PLC通过独立安全回路监控急停按钮、安全门和光幕，一旦触发即切断执行机构动力。
• 轨道交通：列车超速防护系统持续比较实际速度与允许速度曲线，超速时触发制动。
• 医疗设备：输液泵监控流速与气泡传感器，异常时停止输液并报警。
• 航空航天：飞控计算机采用余度管理，监控各通道健康状态并切换至可用通道。

监控系统的价值与常见误区

安全监控的价值不仅在于“发现问题”，更在于把不可控风险转化为可管理的安全状态。它能够提升诊断覆盖率、缩短故障响应时间、支持故障追溯，并为功能安全认证提供证据。然而，实践中常见以下误区：

1. 监控与被监控对象不独立：共用时钟或电源，导致共因失效时监控同时失效。
2. 只监控“是否活着”，不监控“是否正确”：心跳存在但数据错误，仍可能造成危险。
3. 判据过于宽松或过于严格：过宽漏报，过严误报，都会降低系统可用性。
4. 响应策略未定义：检测到异常后没有明确的降级或切断路径，监控形同虚设。
5. 忽略监控通道自身的失效：监控器也需要被监控，或至少具备自检能力。

监控闭环与数据流示意

下图展示了一个典型安全监控系统的闭环结构：被监控对象产生状态信号，监控通道独立采集并判断，异常时触发执行层进入安全状态，同时记录层保存证据。该图也体现了监控通道与被监控对象之间的独立关系。

从图中可以看出，安全监控不是单点动作，而是一个从采集、判断、执行到记录的完整闭环。被监控对象的状态信号进入独立采集层，判断层依据预设判据输出正常或异常，异常时执行层进入安全状态，记录层保存事件证据，必要时再反馈复位或降级信息。只有这个闭环的每个环节都可靠，监控系统才能真正发挥价值。