第2章：功能安全标准体系
聊功能安全，绕不开的就是标准体系。
我经常跟团队里新人说，标准不是用来背的，是用来用的。你把它当成一本操作手册，遇到问题去翻，比死记硬背强得多。
这一章，咱们把三个核心标准串起来讲：IEC 61508（母标准）、ISO 26262（汽车行业）、IEC 61511（过程工业）。
2.1 IEC 61508：功能安全的“宪法”
IEC 61508是所有功能安全标准的源头。它最早诞生于1998年，当时工业界发现，不同行业都在做安全相关系统，但各搞各的，没法互通。于是大家坐下来，搞了个通用框架。
说白了，IEC 61508就是一本“安全系统设计通用指南”。它不针对某个具体行业，但所有行业标准都从它这里“继承”概念。
核心概念：安全完整性等级（SIL）
IEC 61508把安全要求分成4个等级：SIL1到SIL4。SIL4最高，SIL1最低。
怎么定等级？看风险降低因子。比如一个危险事件每年发生概率是10⁻²，你要求降到10⁻⁶，那风险降低因子就是10⁴，对应SIL3。
我遇到过不少工程师，一上来就问“我这个系统该定SIL几？”其实这个问题得先问：“你的风险目标是多少？”没有风险分析，SIL等级就是空中楼阁。
2.2 ISO 26262：汽车行业的“安全圣经”
ISO 26262是IEC 61508在汽车领域的“定制版”。它最早在2011年发布，2018年出了第二版。
为什么汽车行业需要单独的标准？因为汽车有它的特殊性：
- 量产规模大——一个ECU可能装几百万辆车
- 使用环境复杂——从北极到赤道，从城市到荒漠
- 人机交互频繁——驾驶员不是专业操作员
ISO 26262把安全等级叫做ASIL（Automotive Safety Integrity Level），分A、B、C、D四级。ASIL D最高，比如刹车系统、转向系统。ASIL A最低，比如车窗升降。
我的经验：ASIL等级不是拍脑袋定的。它通过三个参数计算：
- S（Severity）——伤害严重度
- E（Exposure）——暴露概率
- C（Controllability）——驾驶员可控性
举个例子：刹车失灵，S=3（致命），E=3（每次开车都可能），C=3（驾驶员几乎无法控制），结果就是ASIL D。
我曾经帮一个客户做ADAS系统评估。他们一开始觉得“只是辅助驾驶，ASIL B就够了”。我让他们做了详细的风险分析，结果发现一个场景——高速上自动变道时传感器失效——S=3, E=2, C=3，算出来是ASIL C。客户当场沉默了。
2.3 IEC 61511：过程工业的“安全仪表系统”
IEC 61511是IEC 61508在过程工业的“定制版”。它主要针对化工、石油、天然气这些行业。
过程工业的特点是什么？
- 连续生产——装置一开就是几个月甚至几年
- 危险物质——易燃、易爆、有毒
- 后果严重——一个泄漏可能造成灾难
IEC 61511的核心是安全仪表系统（SIS）。它跟基本过程控制系统（BPCS）是分开的。BPCS负责正常生产，SIS负责紧急停车。
注意：IEC 61511强调“独立保护层”的概念。你不能把安全功能跟控制功能混在一起。我见过一个化工厂，把紧急切断阀的控制逻辑放在DCS里，结果DCS死机，阀门打不开……嗯，那是一次惨痛的教训。
IEC 61511也使用SIL等级，但它的SIL跟ISO 26262的ASIL不完全一样。过程工业的SIL更关注平均失效概率（PFDavg）和危险失效频率（PFH）。
| SIL等级 | PFDavg（低要求模式） | PFH（高要求模式） |
|---|---|---|
| SIL1 | 10⁻¹ ~ 10⁻² | 10⁻⁵ ~ 10⁻⁶ |
| SIL2 | 10⁻² ~ 10⁻³ | 10⁻⁶ ~ 10⁻⁷ |
| SIL3 | 10⁻³ ~ 10⁻⁴ | 10⁻⁷ ~ 10⁻⁸ |
| SIL4 | 10⁻⁴ ~ 10⁻⁵ | 10⁻⁸ ~ 10⁻⁹ |
你想想看，一个SIL3的安全仪表系统，它的平均失效概率要低于千分之一。这意味着什么？意味着你设计的时候，冗余、诊断、测试周期，每一个环节都得算清楚。
2.4 三个标准的关系：一张图说清楚
我习惯用“家族树”来理解这三个标准：
- IEC 61508是“爷爷”，定义了通用框架和SIL概念
- ISO 26262是“儿子”，继承了爷爷的框架，针对汽车行业做了细化
- IEC 61511是“另一个儿子”，针对过程工业做了定制
它们共享很多核心概念：
- 安全生命周期
- 危险分析与风险评估
- 安全完整性等级
- 系统化能力
- 硬件随机失效控制
但每个标准又有自己的“方言”。比如ISO 26262里有个概念叫“安全机制”，IEC 61511里叫“诊断功能”。本质上是一回事，但叫法不同。
避坑指南：我曾经帮一个团队做跨标准项目——他们既做汽车ECU，又做工业控制器。结果工程师把ISO 26262的ASIL等级直接套到工业产品上，被审核员打回来了。记住：每个标准有自己的语境，不能生搬硬套。
2.5 怎么选标准？
这个问题其实很简单：
- 你的产品用在汽车上？——用ISO 26262
- 你的产品用在化工厂、炼油厂？——用IEC 61511
- 你的产品是通用安全部件（比如安全继电器、安全PLC）？——用IEC 61508
- 你的产品是新领域（比如机器人、医疗设备）？——先看IEC 61508，再找行业专用标准
我个人的建议是：不管你做哪个行业，先把IEC 61508通读一遍。它是所有功能安全标准的“母语”。你读懂了它，再看其他标准，就像学了一门通用语言，再去学方言，轻松很多。
嗯，这一章就到这里。下一章咱们深入聊聊安全生命周期——这是功能安全落地的核心流程。