Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
BS EN 61508——电气/电子/可编程电子安全相关系统的功能安全标准系列
Functional safety of electrical/electronic/programmable electronic safety-related systems — 英国国家标准（等同采用 IEC 61508）
⚙️ BS EN 61508 是电气、电子及可编程电子（E/E/PE）安全相关系统功能安全领域的基石性标准，由英国标准协会（BSI）采用欧洲标准 EN 61508 转化而来，内容与 IEC 61508 完全等同。该标准首次提出了”安全生命周期””安全完整性等级（SIL）””硬件故障容限”等核心概念，被工业过程控制、轨道交通、核电、机械安全、汽车电子（ISO 26262 的基础）等众多领域引用为上层应用标准的母标准。本系列共包含 7 个分册，覆盖从通用要求、硬件与软件安全要求，到定义、示例、应用指南与具体技术措施的完整内容。
本系列中部分分册原始文档为扫描版（OCR 文本），相关叙述依据公开领域知识撰写，正式条款以 BSI 官方发布版本为准。
💡 功能安全的目标不是”永不失效”，而是通过系统化的风险分析，把残余风险降低到”可接受”的水平。BS EN 61508 的核心价值在于给出了一套可量化、可验证的方法论。
一、标准适用范围与总体框架 📌
BS EN 61508 适用于由电气、电子及可编程电子技术实现的安全功能，无论这些功能是以传感器、逻辑解算器还是执行机构的形式存在。它既适用于全新设计的安全相关系统，也适用于对既有系统的改造。标准采用基于风险的思路，由危害分析与风险评价（HARA）确定所需的安全完整性等级，再据此规定技术与管理要求。
标准将安全相关系统分为三个类别：电气（E）、电子（E）和可编程电子（PE）。在 2010 版（即 BS EN 61508:2010，等同 IEC 61508:2010，取代 2002 版）中，标准的整体结构被划分为通用基础要求、具体技术实现、支撑性资料三个层次，便于不同专业背景的工程师使用。
二、系列构成与技术要点 🔧
本系列由 7 个分册组成，各分册在功能安全生命周期中扮演不同角色。下表列出各分册的主题与定位。
| 分册 | 英文主题 | 中文内容定位 | 版本（年份） |
|---|---|---|---|
| BS EN 61508-1 | General requirements | 通用要求：安全生命周期、SIL 定级、定性与定量要求框架 | 2010 |
| BS EN 61508-2 | Requirements for E/E/PE safety-related systems | E/E/PE 系统硬件安全要求：架构约束、故障裕度、诊断 | 2010 |
| BS EN 61508-3 | Software requirements | 软件安全要求：软件安全完整性等级、软件开发生命周期 | 2010 |
| BS EN 61508-4 | Definitions and abbreviations | 术语与缩略语 | 2010 |
| BS EN 61508-5 | Examples of methods for the determination of SIL | SIL 确定方法示例 | 2010 |
| BS EN 61508-6 | Guidelines on the application | 应用指南，含计算示例 | 2010 |
| BS EN 61508-7 | Overview of techniques and measures | 硬件与软件技术措施总览，按 SIL 推荐 | 2010 |
三、关键技术要求 ⚙️
标准的技术核心集中在以下要点：
- 安全完整性等级（SIL）：分为 SIL 1 至 SIL 4 四级，等级越高要求越严。对低要求模式（每年需求较少），以危险失效平均概率 PFDavg 定量化；对高要求或连续模式，以每小时危险失效概率 PFH 定量化。
- 硬件故障容限（HFT）：规定在给定 SIL 下系统允许同时发生的危险故障数量。例如 SIL 2 的 1oo2 结构通常要求 HFT=1。
- 诊断覆盖率（DC）：对可检测危险失效的比例要求，DC 越高，有效降低残余风险的作用越明显。
- 系统性能力（SC）：针对硬件元器件的系统性失效，要求供应商证明器件具备不低于目标 SIL 的系统性能力。
- 软件安全完整性：第 3 部分对软件开发生命周期、需求规范、设计与实现、验证与确认提出分级要求，并配合第 7 部分给出按 SIL 推荐的技术与措施清单。
- 安全生命周期：从第 1 部分的阶段模型出发，要求对概念、整体范围定义、危险分析、整体安全需求、整体操作维护等环节实施闭环管理。
⚠️ SIL 不是”越高越好”。SIL 等级的选择完全由风险分析驱动，盲目提高等级会成倍增加成本与验证工作量。正确的做法是让 SIL 与风险降低需求严格匹配。
四、工程实践与应用 🛠️
在工程落地时，典型流程为：首先进行危害识别与风险评价，明确每个安全功能需要达到的 SIL；随后在整体安全需求规范中定义安全功能、响应时间与操作模式；进入系统设计与硬件选型阶段，利用第 2 部分与第 7 部分的技术措施选择架构（如 1oo2、2oo3 表决结构）；软件则依据第 3 部分建立开发流程与验证证据链；最后通过安全确认（validation）与功能安全评估（FSA）闭环。
该标准被大量上层标准引用：机械安全的 EN ISO 13849 与 IEC 62061 借鉴了其 SIL 框架；过程工业的 IEC 61511 是其针对流程行业的派生；道路车辆的 ISO 26262 与核电领域的 IEC 61513 同样建立在 61508 的基础概念之上。掌握 BS EN 61508 即掌握了功能安全的”通用语言”。
五、常见问题解答 ❓
❓ 问：BS EN 61508 与 IEC 61508 是什么关系？
答：BS EN 61508 是英国国家标准，由 BSI 等同采用欧洲标准 EN 61508 转化；而 EN 61508 本身等同采用 IEC 61508。三者技术内容完全一致，仅在发布编号与版权页上有所区别。
答：BS EN 61508 是英国国家标准，由 BSI 等同采用欧洲标准 EN 61508 转化；而 EN 61508 本身等同采用 IEC 61508。三者技术内容完全一致，仅在发布编号与版权页上有所区别。
❓ 问：SIL 4 是不是工业现场最常见的等级？
答：不是。绝大多数工业过程与机械安全功能落在 SIL 1 至 SIL 3 区间，SIL 4 仅用于风险极高且无法以其他方式降低风险的少数场合（如部分核与 Rail 应用）。
答：不是。绝大多数工业过程与机械安全功能落在 SIL 1 至 SIL 3 区间，SIL 4 仅用于风险极高且无法以其他方式降低风险的少数场合（如部分核与 Rail 应用）。
❓ 问：PFDavg 与 PFH 两个指标如何选用？
答：低要求模式（安全功能每年或更低频度被调用）使用 PFDavg（危险失效平均概率）；高要求或连续运行模式使用 PFH（每小时危险失效概率）。选择取决于安全功能的操作模式。
答：低要求模式（安全功能每年或更低频度被调用）使用 PFDavg（危险失效平均概率）；高要求或连续运行模式使用 PFH（每小时危险失效概率）。选择取决于安全功能的操作模式。
🔍 问：软件是否需要像硬件一样做定量可靠性计算？
答：不需要。软件不存在”随机失效”意义上的失效率，标准第 3 部分改用软件安全完整性等级与流程化技术措施来控制系统性失效，而非定量指标。
答：不需要。软件不存在”随机失效”意义上的失效率，标准第 3 部分改用软件安全完整性等级与流程化技术措施来控制系统性失效，而非定量指标。
