IEC 61508 概览:SIL 等级、失效分类、安全生命周期

功能安全L1别名 IEC 61508 · SIL 1-4 · 安全完整性等级 · safety integrity level · 随机硬件失效 vs 系统性失效 · 安全生命周期 · functional safety overview · 更新 2026-07-08

本质与导读

本质 IEC 61508 是 E/E/PE 功能安全的"母标准"——所有行业的具体安全标准(IEC 62061 机器 / IEC 61511 流程 / IEC 61513 核电 / IEC 61800-5-2 电传动 / ISO 26262 汽车)都从它派生。它的核心论点是:控制系统失败 60%+ 是"在投入使用前就内置进系统的"(规范阶段 44%,设计实现 15%,改造 20%),所以光靠运行时监控不够——SIL 等级是用整个生命周期的过程要求 + 量化失效率指标双轨机制,既管随机硬件失效又管系统性失效(规格错误 / 软件 bug / EMI / 人为)。理解 IEC 61508 之后再看具体行业标准就懂了"为什么这么管"。

主线坐标:横轨 · 功能安全(跨站) · ↑ 全景主线

1. Functional Safety 的定义

1.1 与 Safety 的关系

Safety 定义:freedom from unacceptable risk(从不可接受的风险中解放)。这是宽泛概念,不限于电气电子。

Functional Safety 定义:safety 中依赖系统或设备对输入做出正确响应的部分。即"系统正常工作时,它的功能本身就提供安全";系统失败时,需要其它机制补救。

例:压力容器有壁厚保证防爆——这是inherent safety(本征安全),不依赖任何系统。再加一个 PLC 控制阀门在压力超限时打开泻压——这是functional safety(功能安全),依赖 PLC + 阀门正确响应。

1.2 Safety Function 的两层

每个 safety function 都有两层属性:

Functionality(做什么):由 hazard analysis 决定。例:压力 ≥ 2.6 bar 时阀门 Y 在 2s 内打开
Safety integrity(做得多可靠):由 risk assessment 决定。例:这个 safety function 必须达 SIL 2,risk reduction factor ≥ 150

混淆这两层是工程常见错误——以为定义了"做什么"就够了。SIL 2 的"做什么"和 SIL 4 的"做什么"可以一模一样,SIL 等级反映的是"做这个事的可靠性"。

2. SIL 1-4 与风险降低系数

2.1 量化定义

这一节先把“量化定义”的判断维度收拢到同一视图里，后面的表格用于横向比较各选项的边界。

IEC 61508 概念全景 — SIL = 量化轨(随机硬件失效 / PFH)+ 过程轨(系统性失效 / 生命周期)双轨合成,SIL 1-4 阶梯的 RRF 与 PFH 范围,及 ISO 26262 等派生标准家族

SIL	Risk Reduction (low demand)	PFDavg(每次需求时失败概率)	PFH(每小时失效率)
SIL 4	10,000-100,000×	$1 0^{- 5}$ to $1 0^{- 4}$	$1 0^{- 9}$ to $1 0^{- 8}$
SIL 3	1,000-10,000×	$1 0^{- 4}$ to $1 0^{- 3}$	$1 0^{- 8}$ to $1 0^{- 7}$
SIL 2	100-1,000×	$1 0^{- 3}$ to $1 0^{- 2}$	$1 0^{- 7}$ to $1 0^{- 6}$
SIL 1	10-100×	$1 0^{- 2}$ to $1 0^{- 1}$	$1 0^{- 6}$ to $1 0^{- 5}$

low demand mode(低需求模式,例:紧急停车)看 PFDavg;high demand / continuous mode(连续运行模式,例:伺服扭矩控制)看 PFH。汽车基本是 continuous mode。

2.2 实例

风险情景:无 safety function 时,后果(单人致命)频率约 10 年 1 次。

加 SIL 1 safety function(假设 RRF = 80):频率降到 800 年 1 次
加 SIL 2 safety function(RRF = 500):频率降到 5000 年 1 次
风险降低靠的是减小频率,不是减小后果严重性——后果维度(单人致命)在 IEC 61508 框架里不变

3. 失效分类 — 为什么需要 SIL

3.1 类 A:随机硬件失效

由器件物理降级机制造成,统计学意义清晰:failure rate λ 可量化(器件出厂时由 FMEDA / FIT 数据预测)。处理方式:HFT(hardware fault tolerance)冗余 + 周期性诊断。

工业实践:类 A 失效计算用 Mark Miner / Goble 模型,IEC 61508-2 给出参考。

3.2 类 B:系统性失效

由规格错误 / 软件 bug / EMI / 人为操作错误造成,频率不能像硬件那样统计学预测——一个 bug 不发现就是 0,发现了立即修了又是 0,但生命周期任意时点都可能爆。处理方式:生命周期过程要求(开发流程 / 文档 / 评审 / 测试 / 配置管理),保证类 B 失效"不太可能存在"。

3.3 SIL 是双轨

正是因为类 B 不能纯统计,SIL 不光是"failure rate ≤ X" 这一个数。SIL 等级 = 量化目标 + 过程要求:

量化:PFDavg / PFH 必须在 SIL 等级表的范围内
过程:开发流程必须满足该 SIL 对应的 IEC 61508-3 软件要求 + IEC 61508-2 硬件要求(例:SIL 3 软件要求强制半形式化方法,SIL 4 强制形式化方法)

工业里说"SIL 2 capable" 通常指过程能力,不是单纯硬件指标。这是为什么 IEC 61508 系统级认证比单纯做 FMEDA 复杂。

4. 派生标准家族

IEC 61508 是通用母标准,各行业基于它派生具体应用标准:

派生标准	行业
IEC 62061	机器(machinery)安全
IEC 61511	流程工业(process,化工 / 石油)
IEC 61513	核电站 I&C 系统
IEC 61800-5-2	可调速电传动(servo / VFD)
ISO 26262	汽车(独立分支,但同一思路)
IEC 62279 / EN 50126/8/9	铁路信号
ISO 25119	农林机械

行业派生标准核心是把 IEC 61508 的通用 SIL 概念映射到具体应用+ 细化要求。例:汽车 ISO 26262 用 ASIL A-D 替代 SIL 1-4(因为 ASIL 增加了 Controllability 维度),但生命周期 V-model 概念完全沿袭 IEC 61508。

5. HSE 数据:60% 失效在投入使用前就埋下

英国 HSE(Health & Safety Executive)研究 34 起化工 / 机器控制系统事故,失效追溯到生命周期阶段:

阶段	占比
规范	44%
设计与实现	15%
安装与调试	6%
投运后改造	20%
运行与维护	15%

60%+ 的失效是"投入使用前就建进系统的"(规范 44% + 设计实现 15% + 安装 6% ≈ 65%)。意味着光靠运行期监控诊断救不了——必须在前期就管控质量。这是 IEC 61508 强制安全生命周期管理的根本论据。

6. 三个安全生命周期的关系

6.1 Overall Safety Lifecycle

最外层,从概念阶段到拆机回收。包含:

概念(Concept)
危害分析与风险评估
安全功能定义与分配
验证(Validation)
操作与维护(Operation & Maintenance)
修改(Modification)
拆机(Decommissioning)

6.2 E/E/PE System Safety Lifecycle

Overall 的子集,聚焦 E/E/PE 系统本身。包含:

安全要求规范(Specification)
设计与开发
集成测试
验证
安装与调试

6.3 Software Safety Lifecycle

E/E/PE System Safety Lifecycle 的子集(对软件部分)。包含:

软件安全要求规范
软件架构设计
模块设计与编码
模块测试
集成测试
软件验证

工程实践上,三个 lifecycle 不是串行而是嵌套——做软件 module test 同时,系统级 integration test 也在跑,Overall lifecycle 的 modification 流程随时可能因为新 hazard 触发回溯。配置管理(configuration management)是粘合剂,让任何阶段的变更可追溯到对应 hazard。

7. SIL 2 Worked Design — 化工反应釜超压紧急泄放(HPSD)

本 worked design 基于 IEC 61508-6 Annex B 的低需求模式 PFDavg 计算法,展示 SIL 2 怎么从风险评估走到合规证据。

场景:反应釜压力超过 120 bar 持续 10 s → 安全 PLC 在 30 s 内关闭进料阀 V-101(低需求模式,证测周期 T = 3 个月)。

ALARP 结论:风险降低系数要求 ≥ 100×,对应 SIL 2(PFDavg 目标 $1 0^{- 3}$ 至 $1 0^{- 2}$ )。

7.1 三子系统 PFDavg 分解

三个子系统串联:任一子系统失效 = 安全功能丢失。PFDavg 采用 IEC 61508-6 Annex B 简化式 $PFDavg \approx λ_{D u} \times T p r oo f /2$ ,证测周期 T = 2160 h(3 个月):

子系统	组件	$λ_{D}$ (/ h)	DC	$λ_{D u}$ (/ h)	PFDavg (T=3 个月=2160 h)
传感	压力变送器 PT-101	$2.0 \times 1 0^{- 6}$	75%	$5.0 \times 1 0^{- 7}$	$5.0 \times 1 0^{- 7} \times 2160/2 \approx 5.4 \times 1 0^{- 4}$
逻辑	SIL 2 认证安全 PLC	$2.0 \times 1 0^{- 7}$	90%	$2.0 \times 1 0^{- 8}$	$\approx 2.2 \times 1 0^{- 5}$
执行	气动进料阀 V-101	$1.2 \times 1 0^{- 6}$	35%	$7.8 \times 1 0^{- 7}$	$\approx 8.4 \times 1 0^{- 4}$

$PFDavg_{total} = 5.4 \times 1 0^{- 4} + 2.2 \times 1 0^{- 5} + 8.4 \times 1 0^{- 4} \approx 1.41 \times 1 0^{- 3}$

SIL 2 要求: $1 0^{- 3} \leq PFDavg < 1 0^{- 2}$ → $1.41 \times 1 0^{- 3}$ ✓ SIL 2 满足,余量约 7×。

7.2 过程轨(量化达标 ≠ SIL 合规)

量化轨达标只是必要条件,过程轨是 IEC 61508 SIL 合规的充分条件补充:

要求项	SIL 2 具体义务
安全 PLC 选型	须有 TÜV 或 BV 颁发的 SIL 2 认证书 + Safety Manual
压力变送器	SIL 2 符合性声明(HFT = 0 Route 1H, SFF ≥ 90%)
软件开发	IEC 61508-3 SIL 2 要求:结构化方法 + MC/DC + 独立测试
独立评估	Functional Safety Assessment(FSA)由独立个人/部门执行
配置管理	任何变更须经 MOC 流程并追溯到 hazard

7.3 与 ISO 26262 ASIL C 的对应

SIL 2 ≈ ASIL C:PFH 范围 $1 0^{- 7}$ 至 $1 0^{- 6}$ / h(汽车高需求模式)对应 ASIL C 的 PMHF 目标 $< 1 0^{- 7}$ / h;差异在于 ISO 26262 增加了 Controllability(C)维度,使相同后果级别在高可控场景下可降 ASIL(S3 E4 C3 = D,S3 E4 C2 = C)。工业设备上车(SIL → ASIL)须补做 HARA 加 Controllability 评估,不能直接引用 SIL 证书。

HSE 数据教训:本案例中 HPSD 在概念阶段被误标 SIL 1(低估 RRF 需求),安装调试后审计才发现 PFDavg 超 $1 0^{- 2}$ ——必须重选 PLC + 重做 FMEA。这正是 HSE 数据"44% 失效来自规范阶段"的典型场景。

8. Gotcha 链(5 条 — IEC 61508 高频陷阱)

IEC 61508 工程实践的误区往往来自"名词混淆"或"只看量化轨"。

"SIL 2 capable"≠"SIL 2 certified"。前者指过程能力(组织具备 SIL 2 开发能力,有 TÜV 过程证书);后者指器件认证(特定产品经独立机构验证符合 SIL 2)。客户采购往往要器件认证,供应商销售的是过程能力——需求对不上。
低需求 vs 高需求模式混用。低需求(需求频率 < 每年 1 次)用 PFDavg;高需求 / 连续(汽车 / 伺服)用 PFH。用 PFDavg 评估连续控制系统 = 指标偏乐观 6–8 个数量级,错在起点。
忽略 CCF — 1oo2 退化到 1oo1。两个冗余传感器选同型号同批次,β 因子可高达 10%(环境 / 制造共因)。PFH 中 CCF 项 $= β \times λ_{D u}$ ,当 β = 10%、系统 PFH ∝ β,1oo2 收益被 CCF 抵消殆尽——冗余失效。
类 B 失效(软件 bug)不能用 FIT 计算。类 B 频率无法统计学预测:bug 不发现就是 0,发现了修了又是 0,但任意时刻都可能爆发。只有生命周期过程达标(SIL 对应的 IEC 61508-3 软件方法)才能"论证类 B 失效不太可能存在",不是靠给一个 FIT 数字。
SIL 4 强制形式化方法 → 实际极难。IEC 61508-3 SIL 4 软件要求强制使用 formal methods(形式化证明);当前工具链(Frama-C / TLA+)尚不支持完整车规 ECU 代码规模,核电和航空少量使用。汽车最高是 ASIL D ≈ SIL 3,未到形式化强制门槛。

9. Corner 分析(3 条)

Corner 1 — SIL 分解:把 SIL 2 拆到两个 SIL 1 子系统

IEC 61508-2 允许 SIL 分解:若两路独立子系统的 $PFDavg_{1} \times PFDavg_{2} \leq PFDavg_{target}$ ,每路可分别满足 SIL 1。优势:SIL 1 认证成本显著低于 SIL 2。约束:两路必须真正独立(无共因失效);CCF β 因子必须进 PFDavg 计算;SIL 分解论证须经 FSA 审查。典型误用:两路共用同一 CPU 板(布线共因),β 高达 10%,分解失效。

Corner 2 — 证测间隔加倍 → PFDavg 加倍

低需求模式下, $PFDavg \approx λ_{D u} \times T p r oo f /2$ (IEC 61508-6 Annex B 简化式)。证测间隔从 3 个月延长到 6 个月,PFDavg 翻倍。若设计刚好在 SIL 2 下边界,延长证测间隔可能掉到 SIL 1。结论:证测间隔是安全计划的固化参数;任何维护成本优化必须先算 PFDavg 影响,再过 MOC 流程。

Corner 3 — 工业 SIL 设备上车:需补做 HARA + Controllability

工业认证的 SIL 2 设备(如 Siemens S7-315F PLC,TÜV 认证)引用进汽车 ECU 时,无法直接套 ASIL C。原因:ISO 26262 比 IEC 61508 多一个 Controllability 维度——同一后果级别(S3 E4)因 Controllability 不同可以是 ASIL D 或 ASIL C;IEC 61508 的 SIL 认证不含这一评估。上车路径:在 ISO 26262 框架下重做 HARA,确定 ASIL 等级,然后用 SIL 证书作为支持证据(Evidence),不能替代 ASIL 论证。

核心要点

IEC 61508 是 E/E/PE 功能安全母标准,具体行业标准(机器 / 流程 / 核电 / 汽车 / 电传动 / 铁路)都从它派生
Safety function 有两层:functionality(做什么,从 hazard analysis 来)+ safety integrity(做得多可靠,从 risk assessment 来)
SIL 1-4 等级是双轨:量化 PFDavg/PFH + 过程要求(开发流程 / 软件方法学)
失效分两类:类 A 随机硬件(可统计 FMEDA)+ 类 B 系统性(不能统计,靠生命周期管理)
HSE 数据:60%+ 失效在投运前就内置进系统,所以光监控诊断救不了,必须前期质量管控
三个嵌套生命周期(Overall / E/E/PE / Software)+ configuration management 是 IEC 61508 的核心结构
SIL 2 HPSD worked design:PFDavg = 1.41×10^-3 ✓ 满足;过程轨(PLC 认证 / FSA / CM)是充分条件补充
SIL 设备上车须补 HARA + Controllability 评估,SIL 证书只能作 Evidence 不能替代 ASIL 论证

Engineering Objects

引用此页的结构化 Engineeri…

引用此页的结构化 Engineering Object(v2.0 Copilot 自动生成,不要手动编辑此段)。

standard · standard_iec_61508 — IEC 61508 Functional Safety

Cross-references

← 索引
功能安全(Functional Safety):FuSa 总框架(汽车视角)
工业 vs 汽车功能安全:IEC 61508 体系 vs ISO 26262 详细对照
HARA:汽车 ASIL 评估(等价于 IEC 61508 risk assessment)
DFA / FMEDA / FTA:类 A 失效统计分析方法
软件 ASIL D:类 B 失效的开发流程方法
Safety Case:跨标准通用的安全论证写法
ASPICE:软件开发流程标准与 IEC 61508-3 的关系
SEooC:IEC 61508 的元件提供商概念在汽车的对应