功能安全认证审核检查表（中文版） 覆盖 IEC 61508 全条款 + 第三方认证迎审指南

功能安全认证审核检查表（中文版）覆盖IEC61508全条款+第三方认证迎审指南文档定位与核心价值：本检查表完全适配IEC61508:2010全套7部分标准条款，覆盖SIL1~SIL4全等级认证审核、年度监督审核、企业内审、安监核查全场景。摒弃通用浅层检查内容，沉淀十年第三方功能安全认证、现场审核、问题整改实战经验，整合行业高频不合格项、典型扣分点、迎审盲区，集条款核查、合规判定、缺陷分级、问题溯源、整改方案、迎审技巧于一体。可直接作为企业自查自纠、认证预审、正式迎审、体系落地的唯一标准化依据，适配工控、化工、电力、机械、轨交、医疗、智能制造等全行业E/E/PE安全相关系统。使用说明：本表所有检查项对应IEC61508强制条款，无删减、无遗漏；检查结果分为「合格/轻微不符合/一般不符合/严重不符合」，缺陷等级对标第三方认证审核判定规则；每项配套标准依据、检查方法、常见问题、整改方向，零基础可直接落地、资深工程师可精准对标认证要求。前言IEC61508作为电气/电子/可编程电子安全相关系统的通用功能安全母标准，是所有行业功能安全认证的核心依据，其7部分条款覆盖安全全生命周期所有管控要求。当前企业认证迎审普遍存在典型问题：条款对标不全面、隐性合规盲区多、资料归档不规范、现场实操与体系文件脱节、高频扣分问题反复出现、整改无法精准对标标准条款，导致认证审核不通过、监督审核整改逾期、SIL等级降级等风险。本检查表基于第三方认证机构审核规则、上万次现场审核案例、标准条款深度解读编制，打破传统检查表只列条目、无判定、无整改、无技巧的弊端，实现「条款全覆盖、检查可落地、问题可溯源、整改可闭环、迎审可通关」。同时配套专属迎审指南，明确审核流程、审核重点、应答逻辑、资料筹备、风险规避要点，全方位保障企业顺利通过各级功能安全认证审核。第一章审核基础规则与缺陷分级标准（对标认证机构判定准则）1.1审核适用范围本检查表适用于IEC61508全生命周期审核，包含：概念阶段、设计开发阶段、软硬件实现阶段、集成测试阶段、投产运行阶段、维护变更阶段、退役报废阶段；适配初次认证、换证认证、年度监督审核、专项抽查审核、企业内部体系审核。1.2缺陷等级四级判定规则完全对齐TÜV、SGS、CQC等主流第三方认证机构判定标准，统一缺陷分级与处置要求：严重不符合（一票否决）：违反IEC61508强制性核心条款；安全完整性等级不达标；安全功能存在失效风险；体系关键流程缺失；资料造假、闭环虚假；可直接导致认证不通过、暂停、撤销证书。一般不符合：标准条款执行不到位，流程存在漏洞、资料缺失、记录不完整，未影响核心安全功能与SIL等级，需限期完成整改验证，逾期未整改将升级为严重不符合。轻微不符合：流程瑕疵、文档格式不规范、记录细节缺失、个别条款落地不细致，无安全风险、无等级影响，可即时整改、常态化优化。合格：完全符合IEC61508对应SIL等级条款要求，资料完整、流程规范、现场合规、闭环完善。1.3通用检查方法所有检查项采用「文件审查+现场核验+人员访谈+场景模拟+数据验算」五维核查方式，杜绝形式化检查，精准识别隐性合规隐患。第二章IEC61508-1通用要求条款检查表（全生命周期体系管控）本章对应标准第1部分：一般要求，聚焦功能安全管理体系、人员能力、生命周期规划、风险管控、合规性管控核心条款，为认证审核首要核查模块，高频出现体系类不合格项。序号检查项目IEC61508标准依据检查内容与判定标准常见不合格问题缺陷等级整改方向检查结果1.1功能安全生命周期规划IEC61508-15.2生命周期模型与阶段划分要求企业已建立完整的功能安全生命周期模型，覆盖从概念设计到退役全阶段，各阶段管控职责、输入输出、交付文件明确，适配对应SIL等级要求，无阶段管控盲区。生命周期阶段缺失；阶段边界模糊；无阶段交付物要求；低SIL简化过度、高SIL阶段管控缺失一般/严重补全生命周期阶段划分，明确各阶段输入输出、责任部门、交付文件，按SIL等级细化管控粒度，形成标准化生命周期管控文件1.2安全管理体系建立与落地IEC61508-15.3安全管理体系要求已建立适配功能安全的管理制度，包含风险评估、需求管控、设计开发、测试验证、变更管控、运维管控、审核复盘全流程，制度落地执行、有完整记录支撑。仅有制度文件无落地记录；制度条款与IEC标准不符；缺少变更、退役、专项审核管理制度一般修订完善安全管理制度，逐条对标标准条款，补齐缺失管控模块，同步完善落地台账与执行记录1.3岗位人员能力与资质管控IEC61508-15.4人员能力与培训要求功能安全相关岗位（设计、开发、测试、运维、审核）人员具备对应资质与培训记录，能力匹配岗位SIL等级要求，培训、考核、复盘记录完整可追溯。无专项功能安全培训；人员无考核记录；高SIL岗位人员能力不达标；培训记录造假、缺失一般建立人员能力矩阵，分层开展SIL等级对应培训与考核，留存课件、签到、考核成绩、复盘记录，持证上岗1.4风险评估与可容忍风险准则IEC61508-15.5风险分析与风险降低要求已制定企业可容忍风险准则，完成系统全场景风险评估，明确固有风险、剩余风险，风险降低方案匹配SIL等级，评估过程科学、记录完整。无可容忍风险准则；风险评估场景不全；风险等级判定随意；剩余风险未复核；无风险降低举证材料严重编制标准化风险准则，补全全场景风险评估，复核剩余风险，确保风险降低效果匹配目标SIL等级，归档全套评估资料1.5独立安全审核机制IEC61508-15.6功能安全评估与审核要求建立独立安全审核机制，审核人员与开发运维人员权责分离，定期开展全生命周期安全审核，出具审核报告、问题整改闭环记录完整。无独立审核人员；自审自改无监督；审核报告流于形式；审核问题未闭环一般配置独立审核岗位，制定年度审核计划，规范审核报告模板，建立审核问题台账，实现全闭环管控1.6文档追溯与归档管控IEC61508-15.7文档与可追溯性要求全生命周期文档齐全、版本统一、归档规范，需求、设计、测试、变更、整改双向追溯，无文档缺失、版本混乱、内容矛盾问题。核心文档缺失；版本混乱；文档与现场不一致；无双向追溯记录；归档不规范一般/严重梳理全生命周期文档清单，统一版本管控，建立追溯矩阵，补齐缺失文档，规范归档流程第三章IEC61508-2硬件安全条款检查表（SIL硬件核心核查）本章对应标准第2部分：硬件安全要求，是SIL等级验算核心审核模块，重点核查硬件架构、失效指标、容错能力、诊断机制、硬件选型，为认证扣分高频重点章节，直接决定SIL等级是否达标。序号检查项目标准依据检查内容与判定标准常见不合格问题缺陷等级整改方向结果2.1硬件架构与故障容错（FT）IEC61508-26.2硬件容错架构要求硬件架构（单通道/1oo2/2oo3）匹配目标SIL等级，故障容错数量达标，关键安全回路冗余配置合规，单点失效不会导致安全功能丧失。冗余架构缺失；FT数量不满足SIL要求；单点故障直接导致功能失效；架构选型无依据严重重新匹配SIL等级优化硬件架构，补齐冗余配置，完成架构合规性验算，出具专项说明2.2安全失效分数（SFF）达标性IEC61508-26.3SFF量化指标要求通过可靠性验算，硬件SFF数值满足对应SIL等级阈值，失效分类准确，安全失效、危险失效统计完整无误。SFF验算不达标；失效分类错误；验算数据来源不规范；无正式验算报告严重采用官方失效数据库重新建模验算，修正失效分类，补充验算过程资料，确保SFF指标合规2.3PFD/PFH量化可靠性指标IEC61508-26.4随机硬件失效概率要求根据系统运行模式（低/高要求）完成PFD/PFH验算，指标严格匹配目标SIL等级，验算模型、参数、公式合规有效。运行模式判定错误；指标验算超标；参数随意取值；无年度平均失效概率核算严重精准判定系统运行模式，修正验算参数与模型，重新核算PFD/PFH，确保指标完全达标2.4硬件诊断与自检能力IEC61508-26.5硬件诊断覆盖率要求安全硬件具备在线自检、故障诊断、断线/短路/超量程检测能力，诊断覆盖率满足SIL等级要求，故障可及时报警、锁定、处置。诊断功能缺失；诊断覆盖率不足；故障无报警；隐性失效无法识别一般/严重优化硬件诊断逻辑，提升诊断覆盖率，补齐故障报警与锁定功能，完成诊断能力测试验证2.5安全部件选型与认证IEC61508-26.6安全部件选型管控关键安全传感器、执行器、继电器、电源等部件具备对应SIL认证，选型参数匹配系统工况，无无证部件用于安全回路。安全部件无功能安全认证；选型参数不匹配；无证部件替代合规部件使用一般替换无证不合规部件，留存部件认证证书与选型验算资料，建立安全部件台账2.6硬件环境适应性与抗干扰IEC61508-26.7环境适配与可靠性要求硬件设备满足现场温湿度、振动、电磁干扰、电源波动工况要求，极端环境下安全功能不降级、不失效。无环境适配测试；电磁干扰下功能异常；高低温工况失效轻微/一般开展环境适应性测试，加装抗干扰措施，优化设备安装与布线，补齐测试报告第四章IEC61508-3软件安全条款检查表（软件核心审核）本章对应标准第3部分：软件安全要求，聚焦软件架构、逻辑设计、版本管控、失效预防、测试验证、参数管控，是系统性失效防控核心，高SIL项目审核最严格、细节扣分最多的模块。序号检查项目标准依据检查内容与判定标准常见不合格问题缺陷等级整改方向结果3.1软件安全需求符合性IEC61508-35.2软件安全需求规范软件安全需求规格书完整合规，每条需求可测试、可验证，与风险评估结果一一对应，无需求缺失、逻辑矛盾、描述模糊问题。需求不完整、不可测试；需求与风险不匹配；无故障安全需求；需求无追溯严重优化SRS文档，补全故障安全、诊断、复位、防篡改需求，建立需求追溯矩阵，确保逐条可验证3.2安全与非安全软件隔离IEC61508-36.2软件架构隔离要求安全软件与非安全软件实现逻辑、数据、任务、内存隔离，常规程序不会干扰安全逻辑运算，无交叉耦合风险。安全与非安全程序混跑；数据互通无隔离；常规任务抢占安全运算资源一般/严重重构软件架构，实现安全模块独立运算、资源隔离，封堵数据互通漏洞，完成隔离验证测试3.3软件系统性失效预防IEC61508-36.3软件失效预防措施软件无死循环、溢出、越界、逻辑竞争、空指针等缺陷，关键安全逻辑固化，具备异常容错、看门狗复位、故障安全跳转机制。存在隐性逻辑漏洞；无异常容错；程序异常不进入安全状态；逻辑竞争风险严重开展软件静态检测、故障注入测试，修复逻辑缺陷，补齐容错与故障安全机制3.4软件版本与变更管控IEC61508-37.2软件变更管控要求软件版本唯一可追溯，全版本备份留存，所有变更执行风险评估、审批、测试、归档、复测流程，无私自修改、版本混乱问题。版本混乱无备份；私自修改程序；变更无评估无测试；无版本追溯记录一般/严重建立软件版本台账，规范变更审批流程，补齐变更测试与归档资料，落实版本锁控3.5安全参数权限与防篡改IEC61508-38.2参数安全管控要求安全阈值、联锁逻辑、延时参数等核心数据分级权限管控，修改全程日志审计，禁止越权操作、恶意篡改、误修改。全员可修改安全参数；无操作日志；参数修改无审批；日志可删除篡改一般配置分级权限，开启强制审计日志，固化日志不可删除，建立参数变更复核机制3.6软件测试与验证闭环IEC61508-39.2软件测试确认要求完成单元、集成、故障注入、回归测试，测试用例覆盖所有安全需求，测试问题全部闭环，测试报告完整合规。测试覆盖率不足；无故障注入测试；测试问题未闭环；用例与需求不匹配一般补充测试用例，提升测试覆盖率，完成故障注入与回归测试，闭环所有问题，完善测试报告第五章IEC61508-4/5/6/7通用配套条款检查表本章覆盖标准剩余4部分配套条款，包含术语定义、风险评估方法、测试规程、失效分析、合规管控，补齐全条款审核盲区，解决企业配套条款漏审、资料缺失的典型问题。序号检查模块覆盖标准条款核心检查内容常见问题缺陷等级整改方向4.1术语与定义规范性IEC61508-4术语与缩略语所有技术文档术语统一，与标准定义一致，无自定义错误术语、概念混淆问题术语使用混乱；SIL、PFD/PFH概念误用；故障安全定义错误轻微统一全文档术语，对标标准定义修正错误表述，开展术语规范培训4.2SIL等级判定方法合规性IEC61508-5安全完整性等级判定方法SIL等级判定流程、方法、依据合规，结合风险后果、发生概率、容错能力综合判定，无随意定级SIL定级无依据；定级方法错误；高估/低估安全等级一般重新合规定级，出具SIL定级报告，留存定级验算与评审记录4.3测试规程与试验规范IEC61508-6测试流程与规程所有安全测试具备标准化规程，测试环境、步骤、判定依据、记录模板规范，测试可复现、可追溯无标准化测试规程；测试步骤随意；记录不规范；测试不可复现轻微/一般编制标准化测试规程，统一测试模板，规范测试全流程记录4.4失效分析与事故复盘IEC61508-7失效分析方法建立失效分析机制，对设备故障、程序异常、安全动作、隐患问题开展根源分析，形成复盘整改记录无失效分析；故障只处置不复盘；重复性隐患无根源整改一般建立失效分析台账，对所有异常故障开展FMEA根源分析，落实长效整改第六章第三方认证专属迎审指南（资深实战经验）本章总结十年认证迎审实战经验，拆解第三方审核流程、核心关注点、高频提问、应答逻辑、资料筹备、避坑要点，是顺利通过认证的核心实操指南，市面无公开通用资料。6.1认证审核全流程拆解6.1.1初审阶段（资料文审）审核重点：全生命周期文档完整性、标准条款符合性、SIL验算报告合规性、需求与设计追溯性。核心避坑点：杜绝文档缺失、版本混乱、数据矛盾、验算报告不规范，文审不合格直接无法进入现场审核。6.1.2现场审核阶段审核重点：现场设备与文档一致性、软硬件功能有效性、人员实操能力、流程落地真实性、隐患闭环完整性。审核方式：随机抽查设备、模拟故障、人员访谈、调取历史记录、核对台账闭环。6.1.3不符合项整改阶段第三方审核整改要求：所有不符合项必须「问题描述精准、根源分析深刻、整改措施落地、证据资料充分、长效机制完善」，杜绝表面整改、虚假整改、应付整改，高SIL项目整改需附验算与测试报告。6.2审核高频提问与标准应答逻辑提问1：系统运行模式判定依据是什么？应答逻辑：明确工况触发频次，对标IEC61508定义，说明PFD/PFH选用依据，出具模式判定专项说明。提问2：如何防控软件系统性失效？应答逻辑：从需求规范、架构隔离、容错设计、静态检测、故障注入、版本管控、变更测试多维度完整举证。提问3：安全联锁为何无自动复位？应答逻辑：依据故障安全原则，高危工况必须人工确认复位，规避二次风险，符合标准强制安全逻辑。提问4：如何保证变更不降低SIL等级？应答逻辑：变更前风险评估、变更中全程管控、变更后复测验算、等级复核，留存全套举证资料。6.3迎审资料筹备清单（必带全套资料）1、功能安全管理制度、生命周期文件、人员资质与培训记录；2、风险评估、HAZOP、LOPA、FMEA分析报告；3、安全需求规格书、设计文档、软硬件方案；4、SIL硬件/软件验算报告；5、全套测试报告、故障注入测试记录；6、版本管控、变更台账