2、系统安全工程基础：系统安全工程概念、系统安全生命周期模型、安全关键系统分类
各位好，欢迎来到系统安全工程基础这一节。
说实话，很多刚入行的工程师觉得「安全」就是加个冗余、搞个备份。其实远没那么简单。我早年参与过一个导航接收机的项目，前期只关注功能实现，安全分析基本没做。结果到了适航审查阶段，局方一个问题就把我们问住了——「你们怎么证明单点故障不会导致功能丧失？」
嗯，那一次我们整整补了三个月的安全分析文档。从那以后，我养成了一个习惯：项目一开始，就把安全工程摆到和功能设计同等重要的位置。
2.1 系统安全工程概念
系统安全工程是什么？说白了，它是一门在系统全生命周期内，用工程化的方法识别、分析、控制危险的技术。
它和传统的「事后补救」不一样。传统做法是东西做出来了，出事了再修。系统安全工程强调的则是——在设计阶段就把危险扼杀在摇篮里。
核心要点：
- 危险识别：找出系统里可能出问题的地方
- 风险分析：评估这些问题的严重程度和发生概率
- 风险控制：通过设计、防护、警告等手段降低风险
- 验证确认：证明控制措施确实有效
我个人习惯把系统安全工程比作「体检」。不是等生病了再治，而是定期做检查，把隐患提前找出来。你想想看，飞机在天上飞，导航系统突然失灵，那可不是闹着玩的。
2.2 系统安全生命周期模型
系统安全不是一锤子买卖。它贯穿了从概念到退役的整个过程。这就是我们常说的「系统安全生命周期」。
我常用的模型是这样的，大家看这个表格：
| 阶段 | 主要活动 | 输出物 |
|---|---|---|
| 概念阶段 | 定义系统边界、功能、运行环境 | 初步危险清单（PHL） |
| 需求阶段 | 分配安全需求、制定安全目标 | 系统安全大纲、安全需求规格 |
| 设计阶段 | 进行危险分析、设计安全措施 | 系统危险分析（SHA）、故障树分析（FTA） |
| 实现阶段 | 硬件/软件开发、安全验证 | 安全验证报告 |
| 测试阶段 | 集成测试、安全功能测试 | 测试报告、安全评估报告 |
| 运行阶段 | 持续监控、变更管理 | 安全事件记录、变更安全分析 |
| 退役阶段 | 数据清除、设备处置 | 退役安全分析报告 |
这里我要特别强调一点：安全分析不是做一次就完事了。每次设计变更、每次需求调整，都要重新审视安全影响。
避坑指南：
我曾经见过一个团队，在概念阶段做了份很漂亮的危险清单，然后就把它锁在柜子里了。等到系统集成测试时才发现，当初识别的危险有一半都不适用了，而新的危险一个都没分析。结果？项目延期三个月，返工成本超过预算的40%。
所以我的建议是：安全生命周期模型不是挂在墙上的流程图，而是每天都要用的工作指南。
2.3 安全关键系统分类
不是所有系统都要求同样的安全等级。你想想看，飞机上的娱乐系统和导航系统，安全要求能一样吗？
在航空领域，我们通常根据故障后果的严重程度，把安全关键系统分为以下几类：
- A级（灾难性）：故障直接导致飞机坠毁或多人死亡。比如飞行控制计算机、发动机控制系统。
- B级（危险/严重）：故障导致飞机性能严重下降，可能造成人员伤亡。比如导航系统、液压系统。
- C级（重大）：故障导致飞机性能明显下降，但机组还能应对。比如客舱增压系统。
- D级（轻微）：故障对飞机性能影响很小，乘客可能感到不适。比如客舱照明系统。
- E级（无影响）：故障不影响飞机安全运行。比如机上娱乐系统。
我的经验：
在做系统分类时，我建议你多问自己一句：「如果这个功能完全失效，最坏的情况是什么？」
举个例子，导航系统通常被归为B级。但如果你做的是自动驾驶仪的核心导航传感器，那它可能就要按A级来要求了。因为它的失效会直接导致自动驾驶功能丧失，进而可能引发更严重的后果。
说白了，分类不是死的，要结合具体的系统架构和运行场景来判断。
另外，还有一个概念叫「安全完整性等级」（SIL），在航空领域我们更常用「研制保证等级」（DAL）。DAL A对应A级系统，要求最严格的设计和验证过程；DAL E则基本没有额外要求。
我记得有一次评审一个惯性导航系统的设计，团队把DAL定成了C级。我仔细看了系统架构后发现，这个惯导是唯一的主导航源，没有其他备份。如果它失效，飞机将失去导航能力。嗯，这明显应该是B级甚至A级。后来我们重新做了危险分析，把DAL提升到了B级，相应的设计要求和验证工作量也翻了一倍。虽然项目进度受了影响，但大家都觉得——值。
好了，这一节的内容就到这里。总结一下：系统安全工程是主动预防，不是被动补救；安全生命周期要贯穿始终；系统分类要实事求是，不能为了省事就降低等级。
下一节我们会深入讲危险识别的方法，到时候我会分享一些实际项目中用到的分析模板和技巧。咱们下节见。