机械安全：电气、电子和可编程电子控制系统软件功能安全标准解析与实践

　　EC62061对于机械安全相关电气电子和可编程电子控制系统的设计、集成和确认，规定了相关的要求。机械安全硬件相关部分已有明确的安全性要求和量化的安全性指标，但是该标准对软件部分的阐述较简单。因此，本书对该标准的软件部分进行详细解读，介绍标准各项条款的内容、含义及实施途径等，并通过实际工作积累的大量的实例分析，使标准的使用者能理解各项条款的要求，并正确地应用标准来保障工业机器人、数控机床等控制系统的软件功能安全。

　　吴蕾，工业和信息化部电子第五研究所工程师，作为项目经理承担了中国一汽、长安汽车、广州数控、四川长虹等企业的软件功能安全测评、软件工程化咨询和软件测试项目，在嵌入式软件测试、软件功能安全相关领域有深厚的技术积累。

1 概述
1.1 引言
1.2 安全关键系统及构成
1.3 软件功能安全
1.3.1 软件功能安全的概念
1.3.2 国内外功能安全领域的技术发展现状与趋势
1.3.3 软件功能安全与系统功能安全的关系
1.3.4 软件功能安全与软件可靠性的关系
1.3.5 软件功能安全的相关标准
2 软件的危险和风险分析与评估
2.1 软件的功能安全风险
2.1.1 风险定义及其内涵
2.1.2风险分析过程
2.1.3 定性与定量风险评估
2.2 保护层分析
2.2.1 保护层分析概述
2.2.2 独立保护层
2.2.3 减缓因子
2.2.4 LOPA的量化
2.2.5 多重初始事件导致的场景后果频率
2.2.6 多个场景的后果频率
2.3 表格危险分析
2.3.1表格危险分析概述
2.3.2 分析过程及步骤
2.3.3 分析形式
2.3.4 表格填写说明
2.3.5 方法应用过程及案例
2.4 功能危险分析
2.4.1功能危险分析概述
2.4.2 分析的基本过程
2.4.3 分析步骤及内容
2.4.4 方法应用过程及案例
2.5 过程故障模式与影响分析
2.5.1故障模式与影响分析概述
2.5.2 基本原理
2.5.3 分析内容与实施流程
2.5.4 应用示例
2.6 特定风险分析
2.6.1特定风险分析概述
2.6.2 分析流程
2.6.3 应用示例
2.7 区域安全性分析
2.7.1区域安全性分析概述
2.7.2 基本原理
2.7.3 分析内容与实施流程
2.7.4 应用示例
2.8 共模分析
2.8.1共模分析概述
2.8.2 基本原理
2.8.3 分析内容与实施流程
2.8.4 应用示例
2.9 能量跟踪与屏蔽分析
2.9.1能量跟踪与屏蔽分析概述
2.9.2 基本原理
2.9.3 分析内容与实施流程
2.9.4 应用示例
2.10 概率风险分析
2.10.1概率风险分析概述
2.10.2 基本原理
2.10.3 分析内容和实施流程
2.10.4 应用示例
2.11 马尔科夫分析
2.11.1马尔科夫分析概述
2.11.2 基本原理
2.11.3 Markov分析内容与流程
2.11.4 应用示例
3 安全要求分配及安全完整性等级确定
3.1 确定安全功能
3.1.1 根据风险分析报告确定SF
3.1.2 根据工程文件确定SF
3.1.3 根据经验确定SF
3.2 风险降低与SIL分配
3.3 安全要求分配
3.3.1 分配目的
3.3.2 分配过程要求
3.4 安全完整性等级选择
3.4.1 安全完整性等级确定原则
3.4.2 安全完整性等级确定原理
3.4.3 安全完整性等级选择方法
3.5 安全完整性等级确定方法比较与应用示例
3.5.1 SIL确定方法比较
3.5.2 不同SIL确定方法的应用示例
4 安全要求规范
4.1 制定意义和目的
4.2 SIS安全技术规格书
4.3 SRCF要求规范
4.4 软件安全要求规范
4.4.1 SIS软件安全要求规范
4.4.2 SRECS软件安全要求规范
5 软件可靠性分析基础与建模
5.1 软件失效模式
5.1.1 软件失效模式概述
5.1.2 软件失效机理和过程
5.1.3 危险失效、安全失效和无影响失效
5.1.4 随机失效、系统性失效和共因失效
5.1.5 通报失效、检测到和未检测到的失效
5.1.6 独立失效和相关失效
5.2 共因失效
5.2.1 产生原因
5.2.2 影响共因失效的因素
5.2.3 估算方法
5.2.4 共因失效综合评估模型
5.3 诊断覆盖率
5.3.1 安全失效与危险失效的诊断覆盖率
5.3.2 独立失效和相关失效的诊断覆盖率
5.3.3 自诊断测试覆盖率
5.4 测试验证
5.4.1 测试的必要性及其覆盖率
5.4.2 软件安全失效概率分析
5.4.3 测试期间的系统安全功能失效
5.5 软件可靠性分析的常用方法
5.5.1 软件失效模式及影响性分析（SFMEA）
5.5.2 软件故障树分析（SFTA）
5.5.3 SFMEA和SFTA综合分析
5.5.4 Petri网分析
5.5.5 软件潜藏分析（SCA）
5.6 可靠性试验
5.6.1 可靠性试验简介
5.6.2 可靠性试验设计内容
5.6.3 可靠性测定试验
5.6.4 可靠性试验数据的统计分析
5.7 可靠性建模
5.7.1 可靠性框图
5.7.2 故障树
5.7.3 马尔可夫模型
5.7.4 其他方法
6 软件生命周期的功能安全方法
6.1 软件的生命周期
6.2 软件的功能安全要求规范
6.3 软件生命周期的安全性工作
6.3.1 系统需求分析与设计阶段
6.3.1.1系统需求安全性分析
6.3.2 软件需求分析阶段
6.3.2.1 软件需求安全性分析
6.3.2 软件设计阶段
6.3.2.1 软件结构设计安全性分析
6.3.2.2 软件支持工具安全性分析
6.3.2.3 软件编程语言安全性分析
6.3.2.4 软件详细设计安全性分析
6.3.3 软件实现阶段
6.3.3.1 软件编码安全性分析
6.3.4 软件测试阶段
6.3.4.1 软件测试安全性分析
6.3.5 软件运维阶段
6.3.5.1 软件变更安全性分析
6.5 软件的功能安全分析方法
6.5.1 软件失效模式及影响性分析（SFMEA）
6.5.2 软件故障树分析（SFTA）
6.5.3 事件树分析（ETA）
6.5.4 危险和可操作性分析（HAZOP）
6.5.5 软件偏差分析（SDA）
6.5.6 基于系统故障理论的分析（STAMP）
6.5.7 初步危险分析（PHA）
6.5.8 初步危险分析（FHA）
6.5.9 软件子系统危险分析（SSHA）

7 软件安全完整性等级验证
7.1 软件的SIL验证
7.1.1 系统要求时危险失效平均概率PFDavg
7.1.2 检验测试不完善导致的系统安全功能失效概率PTIF
7.1.3 修复和测试期间的系统安全功能失效概率DTU
7.1.4 系统安全功能失效综合评估模型
7.1.5 结构约束的SIL等级验证
8 系统安全失效概率及误动作率
8.1 安全失效影响因素分析
8.2 系统安全失效概率的定量评估
8.2.1 常用表决结构安全失效概率计算模型
8.2.2 系统安全失效概率的综合评估模型
8.2.3 应用示例
8.3 误动作率(安全失效率)定量评估
8.3.1 误动作率(安全失效率)计算模型
8.3.2 应用示例
9 安全关键软件功能安全评估实例
9.1 汽车压力安全仪表系统的软件功能安全评估
9.1.1 ECU风险评估
9.1.2 汽车压力安全仪表功能的SIL选择
9.1.3 汽车压力安全仪表功能的SIL验证
9.2 机床安全相关电气控制系统的功能安全评估
9.2.1 机床风险评估及SRCF的SIL选择
9.2.2 机床SRECS安全要求规范
9.2.3 机床SRECS设计
9.2.4 SRECS实现与SIL验证
9.3 功能安全评估软件简介
9.3.1 exSILentiaVersion3
9.3.2 Exida功能安全评估软件的应用