IEC 61508-2-2010 中文版 电气-电子-可编程电子安全相关系统的功能安全 第 2 部分：电气-电子-可编程电子系统要求

IEC61508-2:2010中文版电气/电子/可编程电子安全相关系统的功能安全第2部分：电气/电子/可编程电子系统要求前言IEC61508-2:2010是IEC61508功能安全体系中硬件安全完整性的唯一强制基准分册，专门规范电气、电子、可编程电子（E/E/PE）安全相关系统的硬件架构、故障容错、失效管控、量化验算、诊断能力与硬件SIL合规判定规则。本分册与IEC61508-3软件要求形成完整互补闭环：61508-3管控软件系统性失效，61508-2管控硬件随机失效，二者共同决定整套安全系统的最终安全完整性等级，是所有SIL硬件验算、冗余架构选型、故障诊断设计、硬件合规认证的法定依据。本标准国内等同转化国标为GB/T20438.2-2017，完全等同采信IEC61508-2:2010全部技术条款，无删减、无差异化修订，是国内化工SIS系统、轨道交通列控、新能源安全电控、特种设备保护、核电辅助安全设备硬件合规审核、TÜVSIL认证、二方审核的核心判定标准。工程实操中，硬件SIL降级、认证不通过的核心诱因集中在：架构故障裕度不足、诊断覆盖率不达标、安全失效分数偏低、共因失效未管控、测试周期不匹配等级要求。本文依托十余年工业功能安全硬件设计、量化验算、全等级SIL认证、项目整改实战经验，摒弃传统标准生硬翻译与条文罗列模式，以标准强制条款+工程落地细则+分级适配方案+量化验算逻辑+高频误区整改+审核核心要点为完整架构，深度拆解硬件全维度合规逻辑，可直接作为企业硬件功能安全设计规范、验算手册、培训教材、项目报审与整改依据。1标准定位与体系层级关系1.1核心属性与定位IEC61508-2:2010属于整套功能安全体系的硬件技术核心分册，聚焦硬件维度安全完整性量化管控，明确SIL1~SIL4对应的硬件架构要求、故障裕度阈值、诊断指标、失效概率限值、周期性维护规则。本分册不涉及软件流程、风险定级、术语定义，专门解决“如何通过硬件冗余、故障诊断、容错设计、失效管控，将硬件随机失效风险控制在对应SIL等级范围内”的核心工程问题，是安全系统硬件合规的底层刚性基准。整套体系完整闭环逻辑：61508-5完成SIL风险定级、输出安全目标→61508-2落地硬件容错与量化合规→61508-3落地软件流程与系统性失效防控→61508-6统一软硬件实施细则→61508-7配套专项安全技术措施→61508-4统一术语与计算口径→61508-1统筹全生命周期管控。1.2整套标准协同分工逻辑为精准界定硬件合规边界，梳理本分册与其他分册的协同适配关系：1.IEC61508-1:2010：定义整体安全生命周期与通用安全目标，本分册细化硬件阶段专属技术要求；2.IEC61508-2:2010（本文）：硬件随机失效管控与SIL硬件达标的唯一权威依据，覆盖架构、容错、验算、诊断、维护全维度；3.IEC61508-3:2010：配套软件系统性失效防控，软硬件双维度协同保障整体SIL等级达标；4.IEC61508-4:2010：提供硬件验算核心术语、缩略语、失效分类的权威定义，统一计算口径；5.IEC61508-5:2010：输出目标SIL等级，为本分册硬件架构选型与指标验算的前置输入；6.IEC61508-6:2010：提供本标准硬件条款的实操示例、偏差修正、落地适配指南；7.IEC61508-7:2010：配套硬件故障防护、隔离、容错、失效抑制的专项技术措施。1.3适用范围与边界定义核心适用对象：所有E/E/PE安全相关系统硬件设备，包含安全传感器、安全继电器、安全PLC、冗余控制器、执行机构、安全电源、安全通讯链路等全链路硬件单元，覆盖过程工业、轨道交通、新能源、特种设备、核电全行业。适用场景：硬件架构选型、故障裕度设计、SIL量化验算、诊断功能开发、周期性测试维护、硬件变更复核、SIL认证报审、硬件合规整改。排除边界：纯机械安全结构、无电气参与的物理防护装置、普通商用非安全级硬件不受本分册约束；非安全辅助硬件仅需基础可靠性设计，无需SIL量化验算。22010版核心升级与行业工程价值相较于旧版标准，IEC61508-2:2010针对硬件量化合规、分级管控、验算口径、架构适配做出精细化升级，彻底解决行业硬件定级混乱、验算口径不一、架构选型无依据、诊断指标宽松的乱象，核心价值集中在五点：1.标准化双维度SIL判定体系：明确硬件必须同时满足故障裕度架构要求与量化概率指标要求，单一达标无效，杜绝行业仅验算数值、忽视架构合规的核心误区；2.细化SFF/DC分级阈值：精准定义各SIL等级对应的安全失效分数、诊断覆盖率下限值，统一全行业验算判定标准；3.规范共因失效（CCF）管控规则：明确冗余架构CCF系数取值、抑制措施与合规判定，解决多通道冗余系统验算失真问题；4.区分高低需求模式硬件指标：严格划分低需求PFDavg、高/连续需求PFH两套量化阈值，杜绝模式错配导致的等级失效；5.固化周期性测试维护要求：绑定测试周期与SIL等级、失效概率的关联关系，明确维护不到位会直接降级。3硬件合规核心总则（标准强制底线）本节为IEC61508-2:2010全域刚性强制规则，无场景豁免、无等级宽松，是所有安全硬件合规的前置基础前提。3.1硬件安全核心管控目标标准明确硬件功能安全三大核心目标：一是通过冗余架构与容错设计，容忍单/多通道硬件故障，避免安全功能丧失；二是通过故障诊断机制，快速识别潜伏危险失效，降低整体失效概率；三是通过周期性测试与维护，将硬件随机失效概率稳定控制在对应SIL等级量化阈值内，保障全生命周期硬件安全完整性可控。3.2硬件失效核心分类（验算唯一依据）严格依据标准定义，硬件失效分为两类，为所有量化验算的基础：1.随机硬件失效：元器件老化、磨损、应力波动、材料缺陷等随机自然因素引发的失效，服从概率分布，可通过冗余、诊断、周期性测试防控，是本分册核心管控对象；2.系统性硬件失效：安装错误、选型不当、运维失误、设计缺陷导致的可重复失效，无概率规律，无法通过冗余防控，需依托流程管控规避。3.3双维度合规强制原则工程最高频审核红线：硬件SIL达标必须同时满足架构定性要求+概率定量要求。架构故障裕度不足，即使验算数值达标，仍判定合规失效；数值超限、架构合规，同样无法通过认证，二者缺一不可。4核心硬件专业术语深度释义结合61508-4术语基准与本分册工程应用，拆解硬件验算与设计核心术语，统一行业落地口径，规避基础认知偏差。1.故障裕度（HardwareFaultTolerance,HFT）标准定义：硬件系统容忍故障发生后，仍可正常执行预设安全功能的能力，以可容忍故障通道数量量化。0故障裕度、1故障裕度、2故障裕度分别对应不同冗余架构与SIL等级上限。工程释义：HFT=0为单通道无冗余架构，单故障即可导致安全功能失效；HFT=1为双通道冗余，单通道故障不影响整体安全功能；HFT=2为三通道冗余，双通道同时故障才会丧失功能，适配高等级SIL3/SIL4。2.安全失效分数（SafeFailureFraction,SFF）标准定义：系统总失效中，安全失效与可检测危险失效的占比，用于判定硬件架构的固有安全水平，是SIL等级定性判定的核心指标。3.诊断覆盖率（DiagnosticCoverage,DC）标准定义：系统自诊断功能可检测到的危险失效占总危险失效的比例，直接决定潜伏失效风险高低，DC越高，潜伏危险失效越少，系统安全性越高。4.共因失效（CommonCauseFailure,CCF）标准定义：单一外部诱因（电源波动、高温、振动、电磁干扰、同批次元器件缺陷）导致多冗余通道同时失效的模式，是冗余架构最大的隐性风险，必须专项折算管控。5.低/高连续需求模式低需求：年度安全功能触发需求≤1次，以PFDavg（平均需求危险失效概率）为验算指标；高/连续需求：年度需求＞1次或持续防护，以PFH（每小时危险失效概率）为验算指标。5故障裕度与硬件架构分级适配（定性核心规则）本节为标准硬性定性条款，明确不同SIL等级对应的最低故障裕度与适配架构，是硬件设计选型的首要依据，无宽松空间。5.1故障裕度分级阈值1.SIL1：最低0故障裕度，允许单通道架构；2.SIL2：最低0故障裕度（高SFF/DC）或1故障裕度通用架构；3.SIL3：强制最低1故障裕度，必须双通道及以上冗余；4.SIL4：强制最低2故障裕度，必须三通道冗余高可靠架构。5.2主流硬件架构合规适配1.1oo1（单通道）：HFT=0，最高适配SIL2（需高SFF、高DC指标加持），无法满足SIL3及以上等级；2.1oo2（二取一冗余）：HFT=1，单通道故障不失效，适配SIL2/SIL3主流工业场景；3.2oo2（二取二）：HFT=0，安全性高、可用性低，仅适配低风险场景，等级上限低；4.2oo3（三取二）：HFT=2，双故障容错，适配SIL3/SIL4高等级高危场景。6SFF、DC分级量化标准（核心验算依据）IEC61508-2:2010明确各等级SFF与DC最低阈值，是硬件定性达标的核心指标，所有验算必须严格匹配。6.1安全失效分数SFF分级要求1.SIL1：SFF≥60%；2.SIL2：SFF≥75%；3.SIL3：SFF≥90%；4.SIL4：SFF≥99%。6.2诊断覆盖率DC分级要求1.低DC：＜60%，仅适配基础低等级场景；2.中DC：60%~90%，适配SIL1/SIL2常规场景；3.高DC：≥90%，SIL3强制要求；4.极高DC：≥99%，SIL4核心硬性指标。7SIL等级量化概率阈值（定量核心标准）完全对标标准原版量化指标，区分高低需求模式，为硬件最终验算达标底线，数值超限直接判定降级。7.1低需求模式（PFDavg）1.SIL1：10⁻²≤PFDavg＜10⁻¹；2.SIL2：10⁻³≤PFDavg＜10⁻²；3.SIL3：10⁻⁴≤PFDavg＜10⁻³；4.SIL4：10⁻⁵≤PFDavg＜10⁻⁴。7.2高/连续需求模式（PFH）1.SIL1：10⁻⁶≤PFH＜10⁻⁵/h；2.SIL2：10⁻⁷≤PFH＜10⁻⁶/h；3.SIL3：10⁻⁸≤PFH＜10⁻⁷/h；4.SIL4：10⁻⁹≤PFH＜10⁻⁸/h。8共因失效（CCF）合规管控细则共因失效是冗余架构硬件验算的最大误差来源，本分册明确严格管控规则，为工程整改核心要点。1.CCF取值规则：无任何抗共因措施时，CCF系数取最大值；实施隔离、差异化设计、物理防护、环境管控后，可逐级下调系数，提升验算合格率；2.抗CCF强制措施：高SIL等级冗余硬件必须实现物理隔离、电源分离、布线独立、温度应力隔离、器件差异化选型，降低同源失效概率；3.验算刚性要求：所有多通道冗余系统必须纳入CCF折算，忽略CCF的验算报告直接判定无效，属于审核一票否决项。9周期性测试与维护合规要求硬件潜伏危险失效依赖周期性测试暴露，测试周期直接决定PFDavg数值与SIL等级，标准明确分级匹配规则。1.SIL1/SIL2：测试周期最长不超过12个月，常规年度测试即可维持等级；2.SIL3：测试周期建议6个月，最长不超过12个月，需增加中间抽检与故障复盘；3.SIL4：强制短周期测试，季度级抽检+年度全功能测试，严控潜伏失效累积；4.核心工程逻辑：测试周期越长，潜伏失效累积越多，PFDavg数值越高，SIL等级越容易降级，维护合规是硬件等级存续的必要条件。10SIL1~SIL4硬件分级完整适配方案整合架构、故障裕度、SFF/DC、测试维护、量化指标，形成可直接落地的分级硬件合规方案。10.1SIL1基础硬件要求架构：支持1oo1单通道，HFT=0；SFF≥60%，常规诊断能力即可；无严苛DC要求；测试周期12个月；PFDavg满足10⁻²~10⁻¹区间；适配低风险辅助安全保护，硬件设计简单、运维成本低。10.2SIL2通用工业硬件要求架构：优选1oo2冗余，允许高指标1oo1单通道；HFT=0或1；SFF≥75%，DC≥60%；年度测试；量化指标匹配SIL2阈值，是化工、通用装备最主流的硬件合规等级。10.3SIL3高可靠硬件要求架构：强制1oo2及以上冗余，HFT=1；SFF≥90%，DC≥90%；严控CCF，必须配置抗共因措施；测试周期≤12个月，建议半年测；PFDavg/PFH严格匹配SIL3阈值，禁止单通道架构。10.4SIL4极致严苛硬件要求架构：强制2oo3高冗余架构，HFT=2；SFF≥99%，DC≥99%；全维度抗共因设计、物理完全隔离；短周期高频测试；零高危潜伏失效容忍，适配核电、干线轨道交通等极高危场景。11工程高频硬件误区与资深整改方案结合多年认证审核经验，梳理本分册对应的高频扣分误区，全部为现场普遍合规漏洞：误区1：量化数值达标即视为SIL合规整改：标准强制双维度合规，数值达标但故障裕度、SFF/DC不满足，直接判定等级无效，架构定性优先于定量数值。误区2：冗余架构无需考虑共因失效整改：多通道冗余系统最大风险为CCF，忽略CCF会导致验算结果严重偏优，属于认证核心否决项，必须纳入折算与防控。误区3：诊断功能可简化或关闭整改：DC直接决定潜伏失效数量，高SIL等级严禁关闭自诊断，诊断缺失会直接拉低SFF、抬高失效概率，造成等级降级。误区4：测试周期可随意延长整改：测试周期与失效概率正相关，超周期运维会导致PFDavg超标，SIL等级自动失效，属于运维合规红线。误区5：单通道架构可随意申报SIL3整改：SIL3强制HFT=1冗余架构，单通道无论验算数值多优，均无法满足定性要求，永久无法达标。12硬件合规必备文档清单（认证/审核专用）依据IEC61508-2:2010强制要求，梳理全套归档文档，满足TÜV认