一、功能安全概述
1.1 什么是功能安全？
聊功能安全之前，我先问大家一个问题：
你开车时踩下刹车，车却没停——这是不是安全问题？
当然是。但问题出在哪？不是刹车片磨损，也不是轮胎打滑，而是控制刹车的那套电子系统出了逻辑错误。这就是功能安全要管的事。
功能安全的定义，说白了就是：
系统在出现故障时，不能对人造成伤害。
更正式一点的说法是：
“不存在由电气/电子/可编程电子系统的功能行为异常所导致的不合理风险。”
嗯，这句话有点绕。我换个说法：
系统该干活时得干活，不该干活时别乱动。万一出了故障，也得安全地停下来。
核心三要素：
- 功能：系统要完成的任务（比如刹车、停堆、给药）
- 安全：故障时不能伤人
- 完整性：安全措施得足够可靠
我在项目中遇到过不少人对功能安全的理解有偏差。有人觉得“系统不出错就是安全”，有人觉得“加个冗余就安全了”。其实都不全面。功能安全不是追求“零故障”，而是追求“故障可接受”。
1.2 发展历史：从化工爆炸到汽车智驾
功能安全不是凭空冒出来的。它的发展史，说白了就是一部“血的教训史”。
| 年代 | 事件/标准 | 意义 |
|---|---|---|
| 1970s | 化工行业多次重大事故 | 开始重视过程安全 |
| 1980s | 核电站、航空领域率先建立安全标准 | 安全成为系统设计的一部分 |
| 1998 | IEC 61508 发布 | 第一个通用的功能安全基础标准 |
| 2000s | 各行业衍生标准出现 | 汽车、过程工业、机械等都有了专属标准 |
| 2011 | ISO 26262 第一版发布 | 汽车行业功能安全正式规范化 |
| 2018 | ISO 26262 第二版 | 覆盖商用车、摩托车，引入半导体指南 |
| 2020s | SOTIF（ISO 21448）兴起 | 自动驾驶场景下的预期功能安全 |
我记得刚入行时，带我的老工程师说过一句话：
“标准里的每一条，背后都有人付出过生命的代价。”
这话听着沉重，但确实如此。
1.3 核心标准体系
功能安全的标准体系，像一棵树。树根是 IEC 61508，树干是各行业标准，枝叶是具体应用。
IEC 61508：通用基础标准
这是所有功能安全标准的“祖宗”。它定义了：
- 安全生命周期模型
- 安全完整性等级（SIL 1~4）
- 硬件故障度量指标（PFD、PFH）
- 系统化能力要求
我建议初学者先啃透 IEC 61508 的核心概念。因为后面所有行业标准，都是它的“方言版”。
ISO 26262：汽车行业
这是目前最火的功能安全标准。它把 IEC 61508 的 SIL 改成了 ASIL（A、B、C、D）。
ASIL D 是最高等级，要求单点故障度量 > 99%，潜伏故障度量 > 90%。
避坑指南：
我曾经见过一个团队，把 ASIL B 的要求直接套在 ASIL D 的项目上。结果评审时被安全专家怼得哑口无言。不同 ASIL 等级，开发流程、测试深度、独立性要求都不一样。千万别想当然。
IEC 61511：过程工业
化工、石油、制药等行业用的标准。它关注的是安全仪表系统（SIS）。
核心概念是安全仪表功能（SIF）和安全完整性等级（SIL）。
其他重要标准
- IEC 62061：机械安全
- ISO 13849：控制系统安全相关部件
- IEC 62304：医疗设备软件
- DO-178C：航空机载软件（虽然不是严格意义上的功能安全标准，但理念相通）
1.4 行业应用价值
功能安全不是“锦上添花”，而是“雪中送炭”。我挑三个典型行业说说。
汽车行业
现在的车，电子系统越来越多。L2+ 的智驾、线控制动、线控转向……
一个软件 bug 可能导致：
- ACC 突然急刹车
- 车道保持失效
- 安全气囊误爆
ISO 26262 的价值，就是让这些风险可控。我参与过一个 ADAS 项目，因为功能安全流程到位，提前发现了 MCU 的硬件随机故障——嗯，省了至少一次召回。
工业自动化
工厂里的机器人、传送带、压力容器……
一台 6 轴机器人如果失控，能伤人。功能安全在这里的作用是：
- 安全光幕检测到人时，机器人必须安全停止
- 急停按钮按下后，系统必须在规定时间内切断动力
- PLC 的故障诊断率必须达标
我见过一个案例：某工厂因为安全继电器选型不当，导致 SIL 2 的系统实际只达到 SIL 1。幸好验收时发现了，不然出了事就是大问题。
医疗设备
输液泵、呼吸机、CT 机……这些设备出故障，直接威胁生命。
IEC 62304 要求：
- 软件安全等级分类（A、B、C）
- 每个等级对应不同的开发流程和测试要求
- 必须进行软件安全分析
你想想看，一台输液泵如果软件死机，还在持续给药——后果不堪设想。功能安全就是防止这种“软件失控”的。
1.5 知识体系总览
下面这张图，是我自己总结的功能安全知识体系。你可以把它当作整个课程的地图。
这张图想表达的是：
- 底层是 IEC 61508，所有行业标准都从这里派生
- 中间层是各行业标准，各有侧重
- 核心概念是安全生命周期、风险分析、安全完整性等级
- 落地就是需求→架构→测试→确认→发布这条线
重要提醒：
功能安全不是“做完文档就完事”。我见过太多团队，文档写得漂漂亮亮，代码里全是坑。安全是设计出来的，不是写出来的。
1.6 本章小结
这一章我们聊了：
- 功能安全是什么——说白了就是“故障时别伤人”
- 发展历史——从化工事故到汽车智驾，标准在事故中进化
- 核心标准——IEC 61508 是根，ISO 26262、IEC 61511 是枝
- 行业价值——汽车、工业、医疗，每个领域都离不开它
嗯，内容不少。但别急，后面每一章都会深入展开。下一章我们开始讲安全生命周期——这是整个功能安全体系的骨架。
公众号:蓝海资料掘金营，微信deep3321