IEC 61508 功能安全标准

从海洋到低空：为什么IEC 61508正在重构eVTOL安全底座？

当低空经济的热潮从政策端涌向产品端，大量企业涌入电动垂直起降飞行器（eVTOL）赛道时，很多人都忽略了一个核心问题：这个集成了上百个传感器、数十套可编程控制系统的全新交通工具，一旦核心程序失效，该如何保障乘客安全？去年以来，国内多地推进eVTOL载人试飞试点，适航审定环节中频频出现一个陌生的标准名称——IEC 61508，这个起源于工业安全领域的功能安全基础标准，正在成为低空领域安全合规绕不开的准入门槛。

很多人会把功能安全和硬件安全混为一谈：认为只要把电池做结实、把机翼做稳固就足够了。但实际上，当前eVTOL这类新型交通工具90%以上的安全功能都由可编程电子系统实现——飞控系统的容错处理、动力故障后的应急切换、低电量时的自动迫降，这些功能都依赖软件和电子系统的正确响应，一旦这些系统因为bug或干扰失效，就会直接引发恶性事故。而IEC 61508要解决的，就是“电子系统失效后的安全兜底”问题：这套标准全称为《电气/电子/可编程电子安全相关系统的功能安全》，如今已经从最初的石油化工领域，延伸到船舶、新能源汽车，现在正在成为低空经济领域的安全底层框架。

这套标准的影响力，从全球最大船级社DNV的规范变化就可见一斑。2021年9月，DNV发布新版《电子与可编程设备及系统型式认可规范》（CP-0203），明确要求所有涉及安全关键功能的船用设备，必须以IEC 61508作为核心合规依据。不同于单纯的技术参数要求，这份规范并非冰冷的条文，而是一套融合法规要求、工程实践、风险管控与合规验证的综合性管理框架，其核心目标就是确保设备在复杂海洋环境下的功能完整性、长期可靠性、失效安全性及网络安全韧性——这套逻辑，恰恰和低空飞行环境的需求高度吻合：海洋环境有高湿、高盐、强电磁干扰，低空环境同样有紊流、复杂电磁环境、多机协同干扰，对安全系统的要求本质上是一致的。

很多行业内人士现在才意识到，IEC 61508不是一套可选的加分项，而是安全生命周期的全流程要求。挪威船级社（DNV）作为全球功能安全领域的权威服务方，很早就把这套标准的落地要求拆解到了项目的全流程：从最初的 hazard identification（危险源识别），到开发阶段的风险评估，再到投产运营后的持续验证，每一个环节都有明确的合规要求，这套逻辑其实刚好适配eVTOL这类新产品从研发到运营的全生命周期管理。早在石油天然气领域，IEC 61508就已经和行业专用标准IEC 61511搭配，成为离岸油气平台安全仪表系统的强制要求：全球各大石油公司都要求，用于紧急停车、泄漏预警的安全仪表系统必须符合IEC 61508的安全完整性等级要求，否则不予准入——这样的规则，未来大概率会复制到低空出行领域。

为什么说现在低空经济领域必须重视IEC 61508？我们可以对比两个场景：在传统石油平台，一套安全仪表系统失效可能导致平台爆炸，后果是群死群伤和重大环境灾难；在城市低空，一架搭载2-4名乘客的eVTOL飞控系统失效，直接后果就是坠落到人口密集区，风险等级完全一致。DNV的功能安全服务团队很早就发现，很多国内新入场的低空飞行器企业，往往只关注硬件性能指标，忽略了功能安全的全流程管理：比如飞控系统只验证正常工作状态下的性能，不做失效模式下的响应验证，也没有建立全生命周期的功能安全追溯机制，这样的产品在适航审定环节一定会卡壳。

一个很容易被忽略的细节是，IEC 61508其实是一套“母标准”，各个行业的专用功能安全标准都是基于它衍生出来的：石油领域有IEC 61511，汽车领域有ISO 26262，核电领域有IEC 61513，而低空飞行器领域目前还没有专门的功能安全标准，因此行业普遍采用“母标准+适航要求”的组合方案。DNV在2021版的船级规范中，就明确把IEC 61508作为所有可编程安全相关系统的基础依据，哪怕是面向海洋环境的船载自动驾驶系统，也必须满足这套标准的要求——而低空eVTOL的自动驾驶系统，复杂度甚至超过船载系统，对功能安全的要求只会更高。

从落地难度来看，很多企业认为实施IEC 61508只是走个认证流程，实际上这是对整个开发体系的重构。DNV的公开资料显示，哪怕是在工业领域，企业要有效实施这套标准框架也并不容易，因为它要求企业把安全管理融入到从概念设计到报废拆解的每一个环节，而不是最后补一个认证证书。比如石油天然气行业的安全仪表系统，要求企业必须计算每个安全功能的安全完整性等级（SIL），从SIL1到SIL4等级越高，允许的失效概率越低，eVTOL的飞控安全功能大概率会要求SIL3甚至SIL4等级，这就要求企业从芯片选型开始，就要满足对应等级的要求，而不是开发完之后再调整。

现在国内低空经济领域，已经有头部企业开始提前布局IEC 61508的合规建设。据行业调研信息，国内某头部eVTOL企业在飞控系统开发初期，就邀请国际第三方功能安全机构按照IEC 61508要求开展全流程咨询，从危险源识别阶段就介入，对每一个可能的失效模式做了分析，并且建立了持续验证的机制——这样做虽然会增加前期开发成本，但是可以避免在适航审定阶段返工，反而会加快产品入市进度。而很多中小初创企业，还停留在“先造出来飞起来再说”的阶段，对功能安全的投入不足，未来很可能会在合规环节被淘汰出局。

站在行业发展的角度看，IEC 61508进入低空领域，其实是低空经济从“样机试飞”走向“商业化运营”的必然标志。当一个行业还在试验阶段的时候，大家关注的是能不能飞、飞多远，但是进入商业化运营阶段，大家关注的就是安不安全、出了问题能不能兜底。DNV作为拥有160多年历史的第三方认证机构，从工业到海洋再到低空，一直都是功能安全框架的推动者，他们总结的经验是，合规不是负担，而是降低长期风险的核心手段：在石油天然气领域，实施IEC 61508之后，安全仪表系统的失效概率降低了超过70%，这个经验放到低空经济领域同样适用。

我们不妨做一个预判：未来3年，随着国内eVTOL适航审定进程加快，IEC 61508会成为载人低空飞行器的基础准入要求，所有涉及安全关键功能的电子可编程系统，都必须满足这套标准的要求。对于行业来说，越早理解这套标准的核心逻辑，越早完成开发体系的适配，就越能在接下来的商业化竞争中占据主动。毕竟，低空经济的核心是“载人”，没有功能安全做底座，飞得再快、航程再远，也没办法真正走进大众生活。