IEC 61508 功能安全管理体系建立指南（中文版）全生命周期文档清单+审核要点

IEC61508功能安全管理体系建立指南（中文版）全生命周期文档清单+审核要点一、体系整体框架（三层文件结构）第一层：体系大纲（手册级，对应IEC61508-1第5、6章）功能安全方针与目标组织架构、岗位职责、人员资质与独立性要求（含评估人员独立等级）安全生命周期整体策划SIL等级管理、变更管理、配置管理、验证与确认、功能安全评估总体规则第二层：程序文件（流程级）危险与风险分析（HARA）程序SIL等级确定与分配程序安全需求规范（SRS）编制与评审程序硬件开发、软件开发控制程序硬件失效分析（FMEA、SFF、HFT计算）程序软件系统性失效控制程序（开发路线Route1/2/3）验证、确认（V&V）程序配置管理（CM）程序变更管理（ECR/ECO）程序文档管理、记录保存程序功能安全评估（FSA）程序运行维护、退役处置管理程序第三层：作业文件+项目交付物（全生命周期文档清单）见下一章清单。二、全生命周期（17个阶段）完整文档清单（IEC61508-1安全生命周期）阶段1：安全生命周期策划与管理（第8章）整体安全计划（OverallSafetyPlan）验证计划、功能安全评估计划（FSA计划）项目组织与人员职责矩阵文档总清单、配置管理计划阶段2：危险与风险评估HARA（第9章）危险识别清单（HAZID）风险分析报告（含Severity、Exposure、Controllability）风险矩阵+可接受风险准则安全目标与保护层分析（LOPA）报告SIL等级分配报告（SIL分配至每一项SIF安全功能）阶段3：安全需求规范SRS（第10章，核心交付物）系统安全需求规范（SRS），每条需求可测试、带SIL等级硬件安全需求、软件安全需求拆分安全状态、故障响应、诊断覆盖率DC要求需求追溯矩阵（源头→设计→测试）SRS评审记录（独立评审）阶段4：系统设计与开发（硬件+软件，第11、12、13章）4.1硬件工程文档（IEC61508-2）：硬件架构设计说明（含冗余、HFT硬件故障裕度）硬件元器件清单、选型文件硬件FMEA（失效模式与影响分析）报告SFF安全失效分数计算报告、硬件架构约束验算PFDavg/PFH危险失效概率计算报告（SIL验算）硬件原理图、PCB、BOM、硬件测试规范4.2软件工程文档（IEC61508-3）：软件开发计划SDP、软件质量计划SQP、软件配置管理计划SCMP软件架构设计文档软件模块详细设计说明软件编码规范、静态分析计划软件测试计划（单元测试、集成测试、系统测试）软件系统性失效措施清单（对应所选开发路线Route1/2/3）软件故障分析、测试用例、测试记录阶段5：E/E/PE系统集成（第14章）系统集成测试规范软硬件集成测试用例与测试报告接口验证报告阶段6：安装调试（第15章）安装作业指导书安装检查记录、调试记录现场安全功能初步测试报告阶段7：整体安全确认（第16章，SIF验收）整体安全确认计划每条安全功能SIF的确认测试报告SIL符合性验证报告（硬件+软件+系统）第三方/内部功能安全评估报告（FSA报告）阶段8：运行与维护（第16章）维护规程、定期测试规程（PTI）安全功能定期测试记录故障台账、维修记录、失效统计备件管理、诊断故障处置记录阶段9：修改与改型（第17章，变更管控）变更申请ECR变更影响分析报告（含SIL是否降级、风险再评估）变更方案、重新验证/确认记录变更发布ECO、版本升级记录变更追溯文档（全程闭环）阶段10：退役与处置（第18章）退役影响分析报告退役处置方案设备报废、安全功能停用记录全生命周期通用必存文件（贯穿所有阶段）全阶段验证报告（阶段验证+最终验证）所有文档版本控制记录、基线配置项人员培训记录、资质证书、独立性证明历次评审纪要、不符合项整改闭环证据所有计算底稿（SFF、HFT、PFD、PFH、DC诊断覆盖率）三、体系审核要点（文审+现场审核，第三方认证迎审版）第一部分：体系管理审核（IEC61508-1第5、6章）1.组织与人员独立性（高频必查）SIL1：独立人员；SIL2：独立人员/独立部门；SIL3：独立部门；SIL4：独立第三方机构开发、测试、评估人员职责分离，不得自开发自评估人员资质：功能安全培训证书、项目经验、岗位授权文件2.文档与配置管理文档分级受控、版本唯一、基线冻结；无版本混乱、无临时无号文件配置项完整：需求、设计、代码、测试、计算文件全部纳入配置管理所有变更必须走ECR→影响分析→评审→重新验证→发布，禁止无记录变更3.变更管理审核重点任何软硬件修改必须开展SIL影响评估；一旦涉及安全功能，必须重新做SIL验算与测试变更追溯链完整，可追溯到原始需求第二部分：安全生命周期文审要点（逐条核对交付物完整性）1）HARA与SIL分配（源头审核，最容易开不符合项）危险识别是否覆盖所有工况（正常、异常、故障、维护）风险参数取值（S/E/C）有据可查，不能随意填写SIL分配必须逐条对应SIF安全功能，不得整系统统一定级必须区分低要求模式（PFDavg）/高要求连续模式（PFH），模式判定要有书面依据2）安全需求SRS（追溯性核心）每条安全需求必须是"shall"语句，可测试、无模糊描述每条需求必须绑定SIL等级、安全状态、响应时间、诊断要求建立完整双向追溯矩阵：HARA→SRS→设计→代码→测试→验收，无断链3）硬件安全完整性（硬件SIL验算）硬件FMEA覆盖所有硬件故障模式，区分安全失效/危险失效SFF安全失效分数、HFT硬件故障裕度必须满足对应SIL的架构约束危险失效概率计算（PFD/PFH）必须有完整计算底稿，参数（λ、MTBF、DC诊断覆盖率）来源可靠硬件共因失效（CCF）必须纳入分析，β值选取有依据4）软件系统性失效（软件审核重中之重）明确选定开发路线（Route1L/1H、Route2L/2H、Route3H），严格执行路线对应的技术措施软件需求、架构、模块设计逐级评审；静态代码分析、动态测试证据齐全软件测试必须覆盖所有安全需求，测试用例100%覆盖SRS；开发人员不能单独做测试软件无未记录的补丁、无在线修改，所有程序版本与文档基线保持一致5）验证、确认V&V每个生命周期阶段都要有阶段验证报告，不能只做最终验收确认测试必须覆盖全部SIF安全功能，模拟故障工况，验证安全动作正确进入安全状态验证人员独立于开发团队6）功能安全评估FSAFSA计划提前编制；评估范围覆盖全部安全功能评估结论必须给出：硬件SIL、软件系统性能力、整体SIL是否达标高SIL项目必须出具独立第三方评估报告第三部分：现场审核要点（现场符合性核查）样机/设备与设计文档、硬件BOM、软件版本完全一致，无现场私自改线、改程序调取历史台账：定期测试记录、故障记录、维修记录，与SIF维护规程保持一致现场模拟故障，验证安全功能动作、故障诊断、安全跳转符合SRS要求抽查人员访谈：开发、测试、运维人员清楚本项目SIL等级、安全功能、失效处置流程所有不符合项必须形成闭环：原因分析→纠正措施→验证证据→预防措施，杜绝纸面整改第四部分：SIL分级审核从严要求（SIL1~SIL4梯度）SIL1：基础文档齐全，计算完整，职责分离即可SIL2：必须独立评审，软件选用Route1H/2L，强制开展FMEA与SFF验算SIL3：必须独立部门评估，软件采用Route2H/3H，强化共因失效、系统性失效控制，增加多阶段独立验证SIL4：必须第三方独立机构评估，最高等级软硬件冗余、严格的系统性失效预防，全套文档全链条独立审核四、常见审核不符合项清单（避坑清单）缺少HARA风险分析，直接定级SIL；SIL分配到整个系统，未分到单条SIF需求追溯断裂：设计找不到对应需求，测试找不到对应设