Для производителя оборудования, претендующего на сертификацию по стандартам функциональной безопасности (МЭК 61508 / ГОСТ Р МЭК 61508), аббревиатуры SIL и HFT - это не просто маркетинговые ярлыки, а жесткие математические и архитектурные ограничения. Если SIL (Safety Integrity Level) определяет, насколько редко система может допустить опасный отказ, то HFT (Hardware Fault Tolerance - аппаратная отказоустойчивость) определяет, сколько «железа» может выйти из строя, прежде чем эта система потеряет способность выполнять свою защитную функцию.

Аппаратная отказоустойчивость - это способность системы сохранять работоспособность при возникновении отказов в ее аппаратной части.

Формально HFT рассчитывается по простой формуле: HFT = N - M

где N - общее количество каналов (модулей), а M - минимальное количество каналов, необходимых для выполнения функции безопасности.

• HFT = 0 (1oo1): Нерезервированная система. Один отказ - и функция безопасности потеряна (либо она не сработает при аварии, либо произойдет опасный ложный останов).
• HFT = 1 (1oo2 или 2oo3): Дублированная система. Один модуль может отказать, но система продолжит защищать объект.
• HFT = 2 (2oo3 или 1oo3): Троированная система. Допускается два отказа.

Ошибочно полагать, что установка двух контроллеров автоматически дает право на SIL 3. В стандарте МЭК 61508 HFT работает в неразрывной связке с другим критическим параметром - SFF (Safe Failure Fraction, доля безопасных отказов). SFF показывает, какой процент всех возможных аппаратных отказов является «безопасным» (то есть переводит систему в защитное состояние - безопасный останов), а какой - «опасным» (система молчит, когда должна сработать).

Именно пересечение HFT и SFF в таблицах стандарта (таблица 3 МЭК 61508-2) определяет максимально достижимый уровень SIL для вашей архитектуры:

Если вы проектируете одноканальный контроллер (HFT=0) и не можете обеспечить SFF выше 99% (что для сложной электроники практически недостижимо из-за опасных отказов микропроцессоров), ваш потолок - SIL 2. Чтобы легитимно заявить SIL 3, вам физически необходима избыточность (HFT=1).

При этом важно понимать: HFT защищает только от случайных отказов аппаратуры (пробой транзистора, обрыв пайки, деградация конденсатора). Для достижения целевого SIL вы также обязаны закрыть требования к систематическим отказам (ошибки в коде, дефекты схемотехники, ошибки в ТЗ), что достигается качеством процессов разработки.

Выбор архитектуры при HFT=1 - это всегда компромисс между безопасностью и доступностью производства:

1. 1oo2 (логика «один из двух»): Система срабатывает, если хотя бы один из двух каналов требует останова.
   • Плюс: Максимальная безопасность. Вероятность опасного отказа (PFH) падает на порядки, так как для катастрофы должны отказать оба канала одновременно в опасном режиме.
   • Минус: Высокий риск ложных срабатываний. Если один канал «сошел с ума» и выдал ложный сигнал, производство остановится.
2. 2oo3 (логика «два из трех»): Голосующая схема (2oo3-архитектура).
   • Плюс: Золотой стандарт для ответственных производств (турбины, химические реакторы). Система игнорирует отказ одного канала (будь он опасным или ложным) и продолжает работу. Обеспечивает баланс между защитой объекта и защитой от простоя.
   • Минус: Сложность и стоимость. Требуется третий вычислительный узел и аппаратный мажоритар (схема голосования).

Для производителя сертификация - это не только схема на бумаге, но и доказательство того, что вы контролируете скрытые (латентные) отказы. Если в системе 1oo2 один канал уже отказал в опасном режиме, система перешла в состояние HFT=0. Теперь она так же уязвима, как одноканальная.

Чтобы архитектура с HFT=1 действительно работала как SIL 3, стандарт требует:

1. Контролепригодности: система должна сама (через встроенную самодиагностику) обнаружить отказ одного канала и сообщить об этом.
2. Адекватного интервала проверки: если ваша диагностика не видит 10% опасных отказов, а проверка узла проводится раз в год, математическая вероятность опасного отказа (PFH) может вырасти настолько, что система де-факто свалится с SIL 3 на SIL 2.

Практические рекомендации для конструкторского бюро:

• Не экономьте на элементной базе ради SFF. Использование стандартных промышленных компонентов вместо Automotive или Military grade часто приводит к тому, что SFF не дотягивает до 90%. В итоге дорогая дублированная архитектура (HFT=1) по закону сертифицируется лишь как SIL 2.
• Архитектурное разделение. Для HFT=1 каналы должны быть диверсифицированы (разные модули, разные прошивки, по возможности - разные чипы). Две идентичные платы, купленные у одного вендора, могут одновременно выйти из строя из-за одного и того же скрытого дефекта кристалла. Это называется «отказ по общей причине» (Common Cause Failure), и эксперты по сертификации жестко снижают за это итоговый SIL.
• Документируйте охват диагностики (DC). Для расчета SFF вам потребуется формула: SFF = (Сумма безопасных отказов + Сумма обнаруженных опасных) / (Все отказы). Без детальных FMEDA-анализов (анализ видов и последствий отказов) каждого компонента ваш HFT останется лишь теоретической цифрой.

Аппаратная отказоустойчивость - это ваш инженерный фундамент. Но строится на нем ровно тот уровень безопасности, который позволяют процессы разработки и качество элементной базы. Сертификационный центр будет проверять не количество процессоров на DIN-рейке, а математическое обоснование того, почему ваша архитектура с заданным HFT и SFF действительно соответствует заявленному уровню SIL.

---

• IEC 61508 и IEC 61511: в чем разница
• Сколько длится сертификация SIL
• Какие испытания проводят при сертификации SIL