功能安全标准概览：IEC 61508核心思想、ISO 26262汽车领域应用、IEC 61511过程工业应用
聊功能安全，绕不开三座大山：IEC 61508、ISO 26262、IEC 61511。很多人一上来就啃标准原文，啃得头昏脑涨。我个人习惯是先看它们之间的「血缘关系」，再看各自「管哪块地」。
说白了，IEC 61508是老祖宗，后面两个都是它的「行业定制版」。你想想看，汽车和化工厂的风险场景能一样吗？所以标准必须分化。
IEC 61508：功能安全的「宪法」
IEC 61508是通用标准，覆盖电气/电子/可编程电子（E/E/PE）系统。它不挑行业，什么都能套，但也正因为太通用，落地时细节不够。
它的核心思想就三条：
- 风险降低： 安全功能的目标是把残余风险压到可接受水平。怎么压？靠SIL等级来量化。
- 全生命周期： 从概念、设计、验证到退役，每个阶段都得管。我见过不少项目只盯着设计阶段，结果运维期出了事，回头一查，操作维护手册根本没写安全相关的内容。
- 随机失效 + 系统失效： 硬件随机失效靠概率算，软件系统失效靠流程管。两条腿走路，缺一不可。
IEC 61508把安全完整性等级（SIL）分成4级，SIL 1最低，SIL 4最高。每一级对应一个目标失效概率范围。
| SIL等级 | 低要求模式（PFDavg） | 高要求模式（PFH） |
|---|---|---|
| SIL 1 | ≥ 10⁻² 且 < 10⁻¹ | ≥ 10⁻⁶ 且 < 10⁻⁵ |
| SIL 2 | ≥ 10⁻³ 且 < 10⁻² | ≥ 10⁻⁷ 且 < 10⁻⁶ |
| SIL 3 | ≥ 10⁻⁴ 且 < 10⁻³ | ≥ 10⁻⁸ 且 < 10⁻⁷ |
| SIL 4 | ≥ 10⁻⁵ 且 < 10⁻⁴ | ≥ 10⁻⁹ 且 < 10⁻⁸ |
ISO 26262：汽车界的「专属规则」
ISO 26262是IEC 61508在汽车领域的「翻译版」。它把SIL改成了ASIL（Automotive Safety Integrity Level），分A、B、C、D四级，ASIL D最严。
为什么汽车要单独搞一套？因为汽车有它的特殊性：
- 大批量生产： 一个缺陷可能影响几十万辆车。
- 供应链复杂： 主机厂、Tier 1、Tier 2……安全责任怎么切分？
- 软件占比高： 现在的车，软件代码量上亿行，软件失效成了大头。
ISO 26262引入了「危害分析与风险评估」（HARA）的方法，通过三个参数——严重度（S）、暴露概率（E）、可控性（C）——来定ASIL等级。
举个例子：
- 如果某个故障导致车辆失控，严重度是S3（致命伤害），暴露概率是E4（几乎每次开车都遇到），可控性是C3（驾驶员很难控制），那ASIL就是D。
- 如果只是车内氛围灯不亮，严重度S1，暴露概率E2，可控性C1，那可能只是QM（质量管理），连ASIL都算不上。
IEC 61511：过程工业的「实战手册」
IEC 61511是IEC 61508在过程工业（化工、石油、制药等）的定制版。它主要管的是「安全仪表系统」（SIS）。
过程工业的特点是什么？
- 连续过程： 反应釜、管道、塔器，一开就是几个月不停。
- 能量大： 高温、高压、有毒、易燃易爆，一出事就是大事。
- 保护层多： 基本过程控制系统（BPCS）、报警、安全仪表系统（SIS）、物理防护……一层层叠起来。
IEC 61511的核心思想是「保护层分析」（LOPA）。它不要求每个安全功能都做到SIL 3，而是通过多层保护，把整体风险降下来。
举个例子：一个反应釜超压风险。
- 第一层：BPCS控制压力，失效概率10⁻¹。
- 第二层：操作员报警干预，失效概率10⁻¹。
- 第三层：SIS紧急泄压阀，SIL 2，失效概率10⁻²。
- 第四层：安全阀（机械），失效概率10⁻²。
- 第五层：防爆墙（物理），失效概率10⁻³。
整体失效概率 = 10⁻¹ × 10⁻¹ × 10⁻² × 10⁻² × 10⁻³ = 10⁻⁹。够低了吧？
三者的关系与差异
我画了一张图，帮你理清这三个标准的关系：
从这张图你能看到，IEC 61508是根，其他标准是枝。但要注意，它们不是简单的「复制粘贴」，而是根据行业特点做了大量调整。
我的实战体会
做了十几年功能安全，我最大的感受是：标准是死的，人是活的。
- 别死磕标准原文： 标准是写给「合规」看的，不是写给「干活」看的。先理解思想，再套用方法。
- 行业经验比标准重要： 同样一个SIL 2功能，在汽车上可能意味着双核锁步，在化工厂可能意味着冗余传感器加定期测试。场景不同，解法不同。
- 安全不是「加码」： 我见过最离谱的项目，把SIL 1的功能硬做到SIL 3，理由是「安全第一」。结果系统复杂到没人能维护，反而引入了更多失效模式。安全是「刚刚好」，不是「越多越好」。