功能安全

功能安全（Functional Safety，简称 FuSa）是系统或设备整体安全的一部分，重点是让安全相关功能在收到输入信号后按设计执行，从而避免系统失效直接或间接造成人员伤亡、财产损失或环境污染。它主要面向电气、电子及可编程电子系统，也会把相关机械装置、操作条件和周边环境纳入风险控制范围。

工作原理

功能安全以识别危险、评估风险和配置安全功能为基本路径。工程人员先通过危害辨识（HAZID）、危害与可操作性分析（HAZOP）、事故检阅等方法确认潜在危险，再判断安全功能需要降低风险的程度，并为系统设定相应的安全完整性要求。

安全功能会持续监测关键状态，在检测到异常输入、元件故障或危险条件时，使设备停止运行、转入安全模式，或发出可供维护处理的诊断信息。例如，马达配置温度感测器后，可在温度超过设定值时停止运转，以防止异常状态继续发展。系统即使面对错误操作输入或常见失效模式，安全功能仍须符合原定设计意图。

技术构成

功能安全不是单一零件或保护装置，而是贯穿需求、设计、验证与运维的生命周期体系。其主要环节包括危害分析、安全需求定义、硬件与软件安全机制、故障诊断、验证测试及安全管理。失效模式与影响分析（FMEA）用于识别失效及其后果，故障模式、影响与诊断分析（FMEDA）则可用于推算不同失效模式的失效率。

按照 IEC 61508 的失效分类，系统模块可分为四类：DU 表示危险且未被检测的失效；DD 表示危险但可被检测的失效，可安排预防性维修或导入安全模式；SU 表示安全且未被检测的失效；SD 表示安全且可被检测的失效。平均故障间隔、诊断能力和安全故障失效比率等指标可用于验证系统是否达到指定的安全完整性等级（SIL）。

标准与汽车应用

IEC 61508 是面向安全关键电气、电子及可编程电子系统的核心功能安全标准，并衍生出适用于不同产业的标准体系，包括制程工业的 IEC 61511、医疗设备软件的 IEC 62304、机械控制系统的 IEC 62061，以及铁路、核电和航空领域的相关规范。

汽车领域采用 ISO 26262《道路车辆功能安全》。该标准于 2011 年 11 月 15 日正式发布，用于规范汽车电气及电子系统达到所需的汽车安全完整性等级（ASIL）。汽车电驱系统的开发同样涉及功能安全，需要在系统和零部件层面处理故障检测、安全状态及验证等事项。

应用特点

功能安全广泛用于汽车电子、工业控制、医疗设备、传感器、执行器、船舶、飞机和大型工厂等安全关键场景。其作用在于以明确的安全功能和完整性要求降低危险失效风险，并通过分析、诊断和验证建立可检查的开发流程。相应代价是产品设计及整个生命周期需要由具备资格的工程人员管理，同时增加分析、测试、文件记录和认证工作。取得功能安全认证的零件、子系统或系统，其证书及测试报告会列明适用范围、性能范围和使用限制。