F
Member
做功能安全（SIL）项目时，光纤隔离经常被当成"顺便解决电气隔离"的附属件，真正做认证的时候才发现它牵涉一整条证据链。这篇把光隔离在 SIL 回路里的定位、要提交的文档、以及最容易被打回的三个点讲清楚。
一、光隔离在安全回路里到底扮演什么角色
先明确：光纤本身不是安全功能的一部分，它是"实现隔离的手段"。
安全功能是"检测到危险 → 输出安全状态"这个逻辑，隔离只是保证故障不会跨域传播。
所以在安全论证里，光纤链路要回答三个问题：
1) 它是否影响安全功能的响应时间？
2) 它自身失效时，系统是否还能进入安全状态？
3) 它的失效概率如何计入整体 PFH/PFD？
很多人只回答第 1 个，后两个空着，认证时就卡在这里。
二、响应时间：光纤链路是"透明的"，但延迟要算进去
安全回路的响应时间（Process Safety Time）里，通信延迟必须计入。
典型构成：
传感器采样 10~50 ms
控制器扫描周期 10~100 ms
光纤链路延迟 约 5 μs/km（光在光纤中约 5 ns/m），通常可忽略
安全输出动作 10~50 ms
结论：光纤链路的延迟在毫秒级安全回路里几乎不影响结果，
但必须在文档里写明"已计入并确认可忽略"，不能空着。
如果链路里有交换机、有协议转换、有 store-and-forward，那就要实算，
千兆交换机单跳转发延迟在 2~10 μs，级联 10 台就有 100 μs，加上排队可能到毫秒级。
三、失效模式：光链路断了，系统怎么进安全状态
这是最容易被漏掉的一环。要区分：
失电安全（de-energize to trip）：链路断 → 输出失电 → 进入安全状态，这是最稳的架构
带电安全（energize to trip）：链路断 → 需要主动检测并动作，依赖诊断覆盖率
光纤链路的典型失效模式：
光模块失效（激光器老化、驱动故障）
光纤断裂或弯折过度
连接器污染导致高误码
电源故障
每种都要有对应的诊断手段：
链路诊断：光模块 LOS（光丢失）告警，响应时间微秒级
误码诊断：FEC 纠正计数、CRC 错误计数
心跳诊断：应用层看门狗，超时进入安全状态
温度诊断：DDM 温度超限告警
认证时，审核员会问"你的诊断覆盖率（DC）是多少，怎么证明"。这时候需要给出：
每种失效模式的检测手段
检测手段的自诊断能力（比如看门狗自身是否被监测）
故障注入测试报告
四、PFH 计算：光模块的失效率从哪来
光模块的失效率数据，正规厂家会给 MTBF（平均无故障时间），
但 SIL 计算需要的是 λ（失效率）以及危险失效比例 λ_DU。
换算关系：
λ_total = 1 / MTBF
典型光模块 MTBF 在 100 万到 500 万小时，
即 λ_total 约 2e-7 到 1e-6 /h
关键点：λ_DU（未检测到的危险失效）需要依据诊断覆盖率拆分：
λ_DD = λ_total × DC（检测到的）
λ_DU = λ_total × (1 - DC)
如果只用了 LOS 检测，DC 大约 60~80%；
如果同时用了误码监测 + 心跳 + 温度监测，DC 可以做到 90% 以上。
按 SIL2 要求 PFH < 1e-6 /h，单个光模块的贡献：
MTBF 200 万小时，λ=5e-7，DC=90% → λ_DU = 5e-8 /h
这一项占 SIL2 预算的 5%，可以接受。
但如果 MTBF 只有 50 万小时且 DC 只有 60%，λ_DU = 8e-7 /h，
单项就吃掉 SIL2 全部预算，架构必须改（比如加冗余链路）。
这就是为什么安全回路里的光模块不能随便选：MTBF 和诊断能力都要写进采购规格。
五、三个最常被打回的点
1) 只给了光模块的 MTBF，没给 λ_DU 的拆分依据
需要厂家提供 FMEDA 或至少提供失效模式分布。
2) 诊断手段没有验证记录
故障注入测试报告是硬要求：拔光纤、断电源、制造误码，逐项记录检测时间。
3) 环境适应性没有覆盖
SIL 设备的温度范围通常要求 -40~70°C 或更宽，
光模块必须同等级，且要提供高温下的性能数据。商业级模块在 70°C 以上失效率会明显上升，
这一项在计算 λ 时要用高温段的数据，不能用常温 MTBF 折算。
六、给做安全项目的团队的建议
1. 选型阶段就把"工业级 + 宽温 + 完整 DDM + MTBF 数据"写进规格书。
2. 让供应商提供 FMEDA 或失效模式表，没有这个，SIL2 以上很难过。
3. 架构上优先用"失电安全"，能省掉大量诊断覆盖率的论证工作。
4. 冗余链路不是万能的：PRP 双链路能提高可用性，但如果两条链路走同一根光缆，冗余等于没有。
—— 北亿纤通（F-tone Networks）工业与安全系统技术团队
技术资料：https://www.f-tone.com
一、光隔离在安全回路里到底扮演什么角色
先明确：光纤本身不是安全功能的一部分，它是"实现隔离的手段"。
安全功能是"检测到危险 → 输出安全状态"这个逻辑，隔离只是保证故障不会跨域传播。
所以在安全论证里，光纤链路要回答三个问题：
1) 它是否影响安全功能的响应时间？
2) 它自身失效时，系统是否还能进入安全状态？
3) 它的失效概率如何计入整体 PFH/PFD？
很多人只回答第 1 个，后两个空着，认证时就卡在这里。
二、响应时间：光纤链路是"透明的"，但延迟要算进去
安全回路的响应时间（Process Safety Time）里，通信延迟必须计入。
典型构成：
传感器采样 10~50 ms
控制器扫描周期 10~100 ms
光纤链路延迟 约 5 μs/km（光在光纤中约 5 ns/m），通常可忽略
安全输出动作 10~50 ms
结论：光纤链路的延迟在毫秒级安全回路里几乎不影响结果，
但必须在文档里写明"已计入并确认可忽略"，不能空着。
如果链路里有交换机、有协议转换、有 store-and-forward，那就要实算，
千兆交换机单跳转发延迟在 2~10 μs，级联 10 台就有 100 μs，加上排队可能到毫秒级。
三、失效模式：光链路断了，系统怎么进安全状态
这是最容易被漏掉的一环。要区分：
失电安全（de-energize to trip）：链路断 → 输出失电 → 进入安全状态，这是最稳的架构
带电安全（energize to trip）：链路断 → 需要主动检测并动作，依赖诊断覆盖率
光纤链路的典型失效模式：
光模块失效（激光器老化、驱动故障）
光纤断裂或弯折过度
连接器污染导致高误码
电源故障
每种都要有对应的诊断手段：
链路诊断：光模块 LOS（光丢失）告警，响应时间微秒级
误码诊断：FEC 纠正计数、CRC 错误计数
心跳诊断：应用层看门狗，超时进入安全状态
温度诊断：DDM 温度超限告警
认证时，审核员会问"你的诊断覆盖率（DC）是多少，怎么证明"。这时候需要给出：
每种失效模式的检测手段
检测手段的自诊断能力（比如看门狗自身是否被监测）
故障注入测试报告
四、PFH 计算：光模块的失效率从哪来
光模块的失效率数据，正规厂家会给 MTBF（平均无故障时间），
但 SIL 计算需要的是 λ（失效率）以及危险失效比例 λ_DU。
换算关系：
λ_total = 1 / MTBF
典型光模块 MTBF 在 100 万到 500 万小时，
即 λ_total 约 2e-7 到 1e-6 /h
关键点：λ_DU（未检测到的危险失效）需要依据诊断覆盖率拆分：
λ_DD = λ_total × DC（检测到的）
λ_DU = λ_total × (1 - DC)
如果只用了 LOS 检测，DC 大约 60~80%；
如果同时用了误码监测 + 心跳 + 温度监测，DC 可以做到 90% 以上。
按 SIL2 要求 PFH < 1e-6 /h，单个光模块的贡献：
MTBF 200 万小时，λ=5e-7，DC=90% → λ_DU = 5e-8 /h
这一项占 SIL2 预算的 5%，可以接受。
但如果 MTBF 只有 50 万小时且 DC 只有 60%，λ_DU = 8e-7 /h，
单项就吃掉 SIL2 全部预算，架构必须改（比如加冗余链路）。
这就是为什么安全回路里的光模块不能随便选：MTBF 和诊断能力都要写进采购规格。
五、三个最常被打回的点
1) 只给了光模块的 MTBF，没给 λ_DU 的拆分依据
需要厂家提供 FMEDA 或至少提供失效模式分布。
2) 诊断手段没有验证记录
故障注入测试报告是硬要求：拔光纤、断电源、制造误码，逐项记录检测时间。
3) 环境适应性没有覆盖
SIL 设备的温度范围通常要求 -40~70°C 或更宽，
光模块必须同等级，且要提供高温下的性能数据。商业级模块在 70°C 以上失效率会明显上升，
这一项在计算 λ 时要用高温段的数据，不能用常温 MTBF 折算。
六、给做安全项目的团队的建议
1. 选型阶段就把"工业级 + 宽温 + 完整 DDM + MTBF 数据"写进规格书。
2. 让供应商提供 FMEDA 或失效模式表，没有这个，SIL2 以上很难过。
3. 架构上优先用"失电安全"，能省掉大量诊断覆盖率的论证工作。
4. 冗余链路不是万能的：PRP 双链路能提高可用性，但如果两条链路走同一根光缆，冗余等于没有。
—— 北亿纤通（F-tone Networks）工业与安全系统技术团队
技术资料：https://www.f-tone.com