1. 安全关键系统概述：定义与特征、失效模式与容错、安全完整性等级（SIL）概念
各位同学，大家好。我是你们这堂课的讲师。在飞控这个行当里摸爬滚打了十几年，我见过太多因为「安全」二字没想明白，最后炸机、坠毁的案例。今天咱们聊的，是整个飞控软件架构的基石——安全关键系统。说白了，就是那些一旦出问题，就会造成人员伤亡、财产重大损失的系统。飞机、高铁、医疗设备，都属于这一类。
1.1 什么是安全关键系统？
先给个定义。安全关键系统，指的是系统功能失效后，会直接导致人员死亡、严重伤害、或者重大环境破坏的系统。你想想看，飞控系统如果突然失控，飞机掉下来，后果是什么？
我个人习惯把这类系统拆成三个特征来看：
- 高后果性：失效的代价极高，不是修个零件那么简单。
- 确定性要求：系统行为必须是可预测的。不能像手机App一样，卡了就重启。
- 可验证性：你必须能证明它是安全的，而不是「感觉」它安全。
核心观点： 安全不是一种功能，而是一种属性。你无法通过「加一个安全模块」来让一个不安全的系统变安全。安全必须从架构设计的第一天就融入进去。
我在项目中遇到过一件事。有个团队开发了一套无人机飞控，他们觉得只要主控芯片够快，就不会出问题。结果呢？一次测试中，主控因为电磁干扰死机了，无人机直接自由落体。这就是典型的没有把「失效模式」考虑进去。嗯，这里要注意，安全关键系统必须假设「任何硬件都会坏，任何软件都会有bug」。
1.2 失效模式与容错
说到失效，咱们得先搞清楚失效模式。我把它分成三大类：
| 失效类型 | 描述 | 飞控中的例子 |
|---|---|---|
| 硬件失效 | 物理器件损坏或性能退化 | 陀螺仪输出漂移、电机堵转 |
| 软件失效 | 代码逻辑错误或状态机跑飞 | 控制律计算溢出、任务调度死锁 |
| 系统性失效 | 设计缺陷或规范错误 | 传感器融合算法在特定工况下发散 |
为什么会这样？因为现实世界不是完美的。你想想看，一个传感器在高温下精度下降，这是硬件失效；你的代码没处理这个下降，这是软件失效；而你的设计文档根本没提高温工况，这就是系统性失效。
那怎么应对？容错。容错不是「不出错」，而是「出错了还能继续工作」。我常用的容错策略有四种：
- 冗余：三余度传感器，两两比较，少数服从多数。这是最笨但最有效的方法。
- 降级：主传感器坏了，切换到备份传感器，性能可能下降，但不会失控。
- 自检：系统定期给自己做体检，发现异常立刻报警或切换。
- 看门狗：硬件定时器，软件不按时喂狗，就强制复位。
避坑指南： 我曾经犯过一个错误——以为冗余就是简单的「多买几个传感器」。结果三个传感器装在一起，因为安装位置不同，读数差异比故障还大。冗余设计必须考虑共因失效，比如所有传感器都用同一根电源线，一个短路全完蛋。
这里我画了一张图，帮你理解安全关键系统的核心逻辑：
1.3 安全完整性等级（SIL）概念
好，接下来是重头戏——SIL。安全完整性等级，说白了就是衡量一个安全功能「有多靠谱」的指标。它不是一个绝对值，而是一个概率值。你设计的系统，在单位时间内发生危险失效的概率必须低于某个阈值。
我建议你记住这张表：
| SIL等级 | 每小时危险失效概率（PFH） | 典型应用场景 |
|---|---|---|
| SIL 1 | ≥ 10⁻⁶ 且 < 10⁻⁵ | 非关键辅助功能 |
| SIL 2 | ≥ 10⁻⁷ 且 < 10⁻⁶ | 工业机器人安全门锁 |
| SIL 3 | ≥ 10⁻⁸ 且 < 10⁻⁷ | 飞机飞控、高铁制动 |
| SIL 4 | ≥ 10⁻⁹ 且 < 10⁻⁸ | 核电站反应堆保护 |
你想想看，飞控系统通常要求SIL 3。这意味着什么？意味着你设计的系统，每运行10万小时（约11.4年），最多只能出一次危险失效。这个要求非常苛刻。
注意： SIL等级不是拍脑袋定的。它需要通过危害分析（HAZOP）、故障树分析（FTA）、失效模式与影响分析（FMEA）等一系列方法，从系统级往下推导出来。我曾经见过一个团队，为了省事，直接把所有功能都定为SIL 3，结果成本爆炸，项目黄了。SIL等级要「够用就好」，不是越高越好。
那么，怎么达到SIL 3？我总结了三板斧：
- 架构层面：采用余度设计，比如三余度飞控计算机。一个通道失效，另外两个还能工作。
- 开发流程层面：遵循DO-178C（航空软件）或IEC 61508（通用安全）标准。每个阶段都要有文档、评审、测试。
- 验证层面：做故障注入测试。人为制造传感器失效、通信中断、内存溢出，看系统能不能扛住。
嗯，这里要特别强调一下。SIL等级不是「测出来的」，而是「设计出来的」。你不可能等代码写完了，再通过测试把SIL等级「测」上去。测试只能验证你设计得对不对，不能弥补设计上的缺陷。
我个人习惯在项目启动阶段，就拉上系统工程师、硬件工程师、软件工程师，一起做一次SIL等级分配。把每个安全功能对应的SIL等级定下来，后面的所有工作都围绕这个展开。这样做的好处是，大家从一开始就知道「这个模块要做到多安全」，而不是等到测试阶段才发现「哦，原来这里不够安全」。
最后，我想说一句。安全关键系统设计，本质上是一种「敬畏之心」。你设计的每一行代码，都可能关系到人的生命。所以，请认真对待每一个失效模式，认真对待每一个SIL等级。这不是在写作业，这是在造飞机。