硬件安全完整性的结构约束

结构约束的安全完整性由两个因素共同决定：

一是硬件故障裕度（HFT），即容错能力，例如：HFT=1，意味着发生一个危险故障不会导致安全功能丧失；

二是安全失效分数（SFF），它是对危险故障预发现能力的一个表量，由安全失效和可被诊断测试检测到的危险失效共同影响。

IEC61508中规定了安全功能所声明的最高安全完整性等级（如图所示），该安全功能使用了一个考虑了硬件故障裕度和安全失效分数的子系统。

硬件故障裕度N意味着N+1个故障会导致全功能的丧失，在确定硬件故障裕度时不考虑其它可能控制故障影响的措施，如诊断；

若一个故障可直接引起一个或几个后续故障的发生，这些故障可视为单个故障；

在确定硬件故障裕度时，如果相对于子系统安全完整性而言某些故障出现的可能性很小，这些故障可不考虑。不考虑这类故障的合理性应被证明和文档化。

子系统安全失效分数的定义为子系统的平均安全失效率加检测到的平均危险失效率与子系统总平均失效率之比。