📚 课程目录第2章功能安全基础

2. 功能安全基础

在FSoE（Fail-Safe over EtherCAT）安全通信集成工程中，通信只是“载体”，真正决定安全等级与安全行为的是其背后的功能安全体系。若不了解功能安全的基本概念、SIL等级、安全生命周期以及IEC 61508与IEC 62061的关系，就很容易把FSoE误认为“只要通信不出错就安全”。本节从工程视角梳理这些基础，为后续FSoE参数配置、安全地址规划与验证测试打下理论根基。

一、功能安全基本概念

功能安全（Functional Safety）是指通过电气/电子/可编程电子（E/E/PE）安全相关系统，使被控设备或过程在出现故障时进入安全状态，从而避免或降低不可接受风险。其核心不是“设备绝对不坏”，而是“即使坏了，系统仍能保持或进入安全状态”。

安全功能（Safety Function）：由安全相关系统执行的具体保护动作，例如“当安全门打开时，在200ms内切断驱动输出”。
安全状态（Safe State）：设备或系统进入的、风险可接受的状态，通常为停止、断电、限速或保持安全力矩。
危险（Hazard）：可能导致人身伤害或财产损失的潜在来源。
风险（Risk）：危险发生的概率与后果严重度的组合。
安全相关系统（SRECS/SRS）：执行安全功能的系统，通常由传感器、逻辑单元、执行器三部分组成。
硬件故障裕度（HFT）：系统在出现一定数量故障后仍能执行安全功能的能力。
安全失效分数（SFF）：安全相关系统不发生危险失效的比例，用于确定SIL能力。
诊断覆盖率（DC）：自动诊断能检测到的危险失效比例。

功能安全的核心逻辑：识别危险 → 评估风险 → 确定所需SIL → 设计安全功能 → 验证并保持安全生命周期。

二、安全完整性等级SIL

SIL（Safety Integrity Level）是衡量安全功能可靠程度的等级，通常分为SIL 1～SIL 4，SIL 4最高。SIL不是设备等级，而是“安全功能”的等级。同一个设备在不同安全功能中可能承担不同SIL要求。

IEC 61508对SIL的量化主要看两个指标：低要求模式下的平均失效概率PFH（或PFDavg）和高要求模式下的每小时危险失效概率PFH。工程中常用PFH表示，单位是1/h。

SIL等级	低要求模式PFDavg	高要求/连续模式PFH（1/h）	典型应用
SIL 1	≥10⁻² ～ <10⁻¹	≥10⁻⁶ ～ <10⁻⁵	一般机械防护
SIL 2	≥10⁻³ ～ <10⁻²	≥10⁻⁷ ～ <10⁻⁶	常见工业安全控制
SIL 3	≥10⁻⁴ ～ <10⁻³	≥10⁻⁸ ～ <10⁻⁷	高风险过程、机器人
SIL 4	≥10⁻⁵ ～ <10⁻⁴	≥10⁻⁹ ～ <10⁻⁸	极高风险场合

在FSoE集成中，安全通信本身通常作为安全功能的一部分，其PFH会贡献到整个安全功能的总PFH中。因此，FSoE通信的SIL能力必须与安全功能目标SIL匹配，不能出现“传感器SIL 3、通信SIL 2、执行器SIL 3”的短板效应。

三、安全生命周期

安全生命周期是IEC 61508提出的全流程管理框架，强调从概念到退役的每个阶段都要有可追溯的安全活动。其典型阶段如下：

概念与范围定义：明确被控对象、边界与风险。
危险与风险分析：识别危险、评估风险、确定安全功能与SIL。
安全需求规格：编写安全功能需求与安全完整性需求。
安全相关系统设计：硬件、软件、通信、接口设计。
集成与安装：按设计集成，形成完整安全功能。
验证与确认：验证安全功能达到SIL要求。
运行与维护：定期测试、诊断、变更管理。
变更与退役：受控变更，最终安全退役。

在FSoE项目中，安全生命周期最容易被忽视的是“验证与确认”和“运行维护”。很多现场只在调试时验证一次，后续修改了FSoE从站配置却未重新验证，导致安全功能失效。

四、IEC 61508与IEC 62061的关系

IEC 61508是功能安全的“基础标准”，适用于所有E/E/PE安全相关系统，提出安全生命周期、SIL、PFH/PFDavg、HFT、SFF、DC等通用要求。IEC 62061是机械领域的功能安全标准，基于IEC 61508，专门面向机械安全相关电气控制系统，使用SILCL（SIL Claim Limit）概念。

两者关系可概括为：IEC 61508是母标准，IEC 62061是机械行业子标准。IEC 62061在机械领域更具体，规定了机械安全功能的SIL分配、子系统结构约束、PFH计算等。FSoE作为机械安全通信协议，其安全通信层通常依据IEC 61508和IEC 62061进行设计与评估。

示例：某机器人安全功能SIL 3
传感器：安全激光扫描仪，PFH = 1.0e-7 /h
逻辑：FSoE安全PLC，PFH = 2.0e-8 /h
执行器：安全驱动器STO，PFH = 5.0e-8 /h
总PFH = 1.0e-7 + 2.0e-8 + 5.0e-8 = 1.7e-7 /h
SIL 3要求PFH < 1.0e-7 /h？不满足，需优化或降级评估。

五、工程案例与常见误区

某包装线安全门监控项目，安全功能为“安全门打开时切断输送电机”。初始方案选用SIL 2安全继电器、普通FSoE通信、SIL 2驱动器。计算总PFH时发现通信环节PFH偏高，整体只能达到SIL 2，但风险评估要求SIL 3。后改用支持SIL 3的FSoE安全从站与安全驱动器，并重新进行验证，才满足要求。

常见误区：
1. 把SIL当成设备标签，认为“买了SIL 3设备就安全”。
2. 忽略安全通信的PFH贡献，只计算传感器和执行器。
3. 安全生命周期文档缺失，变更后未重新验证。
4. 混淆IEC 61508与IEC 62061的适用边界，导致SIL分配错误。

理解功能安全基础，是FSoE集成工程的第一步。只有先明确安全功能、SIL目标、生命周期阶段和标准依据，后续的FSoE参数配置、安全地址映射、诊断与验证才有正确的方向。