1. 功能安全概述：什么是功能安全？为什么需要PFH和DC？IEC 61508与ISO 26262标准简介

1.1 从一次“差点出事”说起

我记得刚入行那会儿，跟师傅去调试一条自动化产线。机械臂突然失控，差点打到人。师傅当时脸都白了，事后跟我说：“这要是出了事，咱们这辈子都过不去。”

那次之后我才真正理解——功能安全不是纸上谈兵。它关乎人命。

说白了，功能安全就是让系统在出故障时，也能安全地停下来。不是不出错，而是出错后不会造成伤害。

1.2 为什么需要PFH和DC？

你可能会问：安全就安全呗，干嘛还要搞PFH、DC这些参数？

嗯，这里有个关键问题——安全不是绝对的。没有100%安全的系统。我们只能量化它。

PFH（Probability of Dangerous Failure per Hour），每小时危险失效概率。它告诉你：这个系统运行一小时，有多大概率出危险故障。

DC（Diagnostic Coverage），诊断覆盖率。它衡量系统能检测出多少比例的故障。

我做过一个项目，客户要求PFH必须低于10⁻⁷。当时我们选了个便宜的传感器，DC只有60%。结果一算，PFH根本达不到。后来换了DC 99%的传感器，才勉强过关。

你看，这两个参数是绑在一起的。DC越高，PFH越低。没有DC，你根本不知道自己的系统有多安全。

1.3 IEC 61508：功能安全的“宪法”

IEC 61508是功能安全的通用标准。它不针对某个行业，而是所有行业的基础。

它把安全完整性等级（SIL）分为4级：

SIL等级	PFH范围（低要求模式）	PFH范围（高要求模式）
SIL 1	10⁻⁵ ~ 10⁻⁶	10⁻⁶ ~ 10⁻⁷
SIL 2	10⁻⁶ ~ 10⁻⁷	10⁻⁷ ~ 10⁻⁸
SIL 3	10⁻⁷ ~ 10⁻⁸	10⁻⁸ ~ 10⁻⁹
SIL 4	10⁻⁸ ~ 10⁻⁹	10⁻⁹ ~ 10⁻¹⁰

你想想看，SIL 3要求PFH低于10⁻⁷。这意味着系统运行一亿小时，才允许一次危险故障。这要求有多高？

IEC 61508还提出了“安全生命周期”的概念。从概念设计到退役，每一步都有要求。我刚开始觉得这太繁琐了，后来发现——每一步都是血的教训换来的。

1.4 ISO 26262：汽车行业的“专属定制”

ISO 26262是IEC 61508在汽车行业的“定制版”。它把SIL改成了ASIL（Automotive Safety Integrity Level）。

ASIL有四个等级：A、B、C、D。ASIL D是最严格的，比如刹车系统、转向系统。

ISO 26262和IEC 61508最大的区别是什么？

• 场景不同：汽车是移动的，要考虑驾驶场景、环境干扰
• 故障模式不同：汽车有更多随机硬件故障和系统故障
• 开发流程更细：从需求到验证，每一步都有明确要求

我记得有个项目做ADAS摄像头。按照ISO 26262要求，我们需要做FMEDA（故障模式、影响和诊断分析）。当时团队里没人做过，硬着头皮啃标准。结果发现，FMEDA做完了，PFH和DC自然就出来了。

1.5 PFH与DC的关系：一个简单的例子

假设一个安全功能由传感器、控制器、执行器组成。每个部件的PFH如下：

传感器 PFH = 10⁻⁷
控制器 PFH = 10⁻⁸
执行器 PFH = 10⁻⁷

如果DC是0%，那么系统PFH就是三者之和：

PFH_total = 10⁻⁷ + 10⁻⁸ + 10⁻⁷ = 2.1 × 10⁻⁷

这只能达到SIL 1。

但如果DC达到99%，系统能检测并处理大部分故障，PFH可以降低一个数量级：

PFH_total_eff = 2.1 × 10⁻⁸

这就达到了SIL 2。

你看，DC的作用有多大。没有DC，你只能靠硬件堆叠。有了DC，你可以用更经济的方案达到同样的安全等级。

1.6 知识体系总览

下面这张图，是我自己总结的本章知识结构。它帮你理清PFH、DC、SIL/ASIL之间的关系。

这张图你看懂了吗？从上往下：功能安全是目标，IEC 61508和ISO 26262是方法，SIL/ASIL是等级，PFH和DC是核心参数。它们环环相扣，缺一不可。

1.7 本章小结

这一章我们聊了：

• 功能安全是什么——说白了就是“出故障也不出事”
• PFH和DC为什么重要——没有量化，就没有安全
• IEC 61508和ISO 26262的区别——一个是通用宪法，一个是汽车专属

下一章，我会带你深入PFH的计算细节。到时候我会分享一个真实项目的计算过程，保证让你有收获。

---