📚 课程目录第3章安全功能与安全完整性等级

3. 安全功能与安全完整性等级

在机器安全工程中，我们常说“这台设备达到了 PL d”或“这个安全功能满足 SIL 2”，这些说法背后其实是一整套量化安全完整性的语言体系。理解 SIL、PL、PFHd、类别、MTTFd、DC、CCF 这七个概念及其相互关系，是判断一个安全功能是否真正可靠、是否满足风险降低要求的基础。本节从概念定义出发，逐步展开到参数计算与等级判定，帮助读者建立完整的量化认知。

一、两套并行体系：IEC 61508 的 SIL 与 ISO 13849 的 PL

安全完整性等级（Safety Integrity Level，SIL）源自 IEC 61508，最初面向过程工业，用 1～4 级衡量安全相关系统在要求时执行安全功能的可靠性。SIL 的核心量化指标是每小时危险失效概率 PFHd（Probability of Dangerous Failure per Hour），SIL 3 要求 PFHd 在 10⁻⁸～10⁻⁷ /h 之间，SIL 2 为 10⁻⁷～10⁻⁶ /h，SIL 1 为 10⁻⁶～10⁻⁵ /h。数值越小，安全完整性越高。

性能等级（Performance Level，PL）源自 ISO 13849-1，专为机械安全设计，分为 a～e 五级。PL 同样以 PFHd 作为量化基础，但额外引入了类别（Category）、平均危险失效前时间 MTTFd、诊断覆盖率 DC 和共因失效 CCF 四个参数，通过查表与评分方式确定等级。可以这样理解：SIL 是“结果指标”，PL 是“结果指标 + 实现路径指标”的组合。在西门子安全 PLC 与机器安全工程中，两者经常需要互相映射，例如 PL d 大致对应 SIL 2，PL e 大致对应 SIL 3。

二、PFHd：安全完整性的核心量化指标

PFHd 表示安全功能在单位时间内发生危险失效的平均概率，单位是每小时。它描述的是“安全功能本该动作却没有动作”的风险。对于由多个子系统串联构成的安全功能，整体 PFHd 是各子系统 PFHd 之和：

PFHd_total = PFHd_传感器 + PFHd_逻辑单元 + PFHd_执行器

例如某安全功能由安全光幕（PFHd = 1.5×10⁻⁸ /h）、西门子安全 PLC 逻辑（PFHd = 2.0×10⁻⁹ /h）和安全接触器（PFHd = 1.0×10⁻⁷ /h）组成，则整体 PFHd ≈ 1.17×10⁻⁷ /h，落在 SIL 2 区间。这说明执行器往往是薄弱环节，选型时不能只关注 PLC 本身。

三、类别（Category）：结构冗余与故障检测的架构分级

ISO 13849-1 将安全功能架构分为 Category B、1、2、3、4 五类，反映的是“用什么样的结构实现安全”。Category B 是基本单通道结构；Category 1 要求使用经验证的安全部件和更高 MTTFd；Category 2 增加周期性测试；Category 3 采用双通道冗余且要求检测部分故障；Category 4 在 Category 3 基础上要求检测累积故障。类别越高，通常可达到的 PL 越高，但并非绝对——Category 3 配合低 MTTFd 也可能只达到 PL c。

四、MTTFd、DC、CCF：决定 PL 的三个关键参数

MTTFd 是平均危险失效前时间，单位为年，衡量部件本身的可靠性。ISO 13849-1 将其分为低（3～10 年）、中（10～30 年）、高（30～100 年）三档。MTTFd 越高，通道越可靠。对于双通道结构，需分别计算每个通道的 MTTFd，再取较低值参与查表。

DC 是诊断覆盖率，表示系统能自动检测到的危险失效比例。DC 分为无（DC < 60%）、低（60%～90%）、中（90%～99%）、高（≥99%）四档。DC 越高，未被检测到的潜伏故障越少，对 PL 提升越有利。例如安全 PLC 的看门狗、交叉比较、测试脉冲都属于诊断措施，可显著提高 DC。

CCF 是共因失效，指两个冗余通道因同一原因同时失效，如共用电源、同一环境温度、同一软件缺陷。ISO 13849-1 要求通过评分表评估 CCF，得分 ≥65 分才认为采取了足够措施。常见措施包括分离布线、独立电源、不同技术实现、环境防护等。

五、从参数到等级：PL 判定流程

确定一个安全功能的 PL，通常按以下路径进行：先确定所需 PL（PLr），再设计架构类别，计算各通道 MTTFd，评估 DC，进行 CCF 评分，最后查 ISO 13849-1 附录 K 的柱状图得到实际 PL。若实际 PL ≥ PLr，则满足要求。下面用一张关系图展示这七个概念之间的逻辑连接。

六、计算示例：一个安全门监控功能的 PL 判定

假设某安全门监控功能采用 Category 3 双通道结构，使用两个安全门开关串联，每个通道 MTTFd 均为 30 年，DC 为 90%（中），CCF 评分 70 分。查 ISO 13849-1 附录 K：Category 3、MTTFd 高、DC 中，对应 PL d。若所需 PLr 为 PL d，则满足要求；若 PLr 为 PL e，则需提高 MTTFd 或 DC，或改用 Category 4。

再看 PFHd 验证：PL d 对应 PFHd 范围 10⁻⁷～10⁻⁶ /h。若该功能实测或估算 PFHd 为 3.2×10⁻⁷ /h，则落在 PL d 区间，与查表结果一致。若 PFHd 为 8.5×10⁻⁷ /h，则只能达到 PL c，说明查表法给出的 PL d 是“上限”，实际 PFHd 可能因具体部件而降低等级。因此工程中建议同时用查表法和 PFHd 计算法交叉验证。

实用提示：在西门子安全 PLC 项目中，安全程序块的 PFHd 通常由西门子提供（如 S7-1500F 的 PFHd 约 2×10⁻⁹ /h），而传感器和执行器的 PFHd 需从厂商手册获取。若手册只给 MTTFd 和 DC，可用 ISO 13849-1 的简化公式估算 PFHd，或直接使用 SISTEMA 软件辅助计算。

七、SIL 与 PL 的映射与选用

虽然 SIL 和 PL 可以大致映射，但两者并非完全等价。SIL 更强调 PFHd 和硬件故障裕度（HFT），PL 更强调架构类别和参数评分。在机器安全领域，ISO 13849-1 是主标准，PL 是首选表达；当安全功能涉及复杂电子或软件，或需要与过程工业对接时，SIL 更合适。西门子安全 PLC 同时支持两种表达，用户可根据项目要求选择。

PL	PFHd 范围（/h）	对应 SIL	典型架构
PL a	10⁻⁵ ~ 10⁻⁴	—	Category B
PL b	3×10⁻⁶ ~ 10⁻⁵	SIL 1	Category 1
PL c	10⁻⁶ ~ 3×10⁻⁶	SIL 1	Category 2
PL d	10⁻⁷ ~ 10⁻⁶	SIL 2	Category 3
PL e	10⁻⁸ ~ 10⁻⁷	SIL 3	Category 4

需要强调的是，表中“对应 SIL”是近似映射，实际项目中应以具体 PFHd 数值为准。例如 PL d 的 PFHd 若接近 10⁻⁶ /h，则更接近 SIL 1 的上限；若接近 10⁻⁷ /h，则更接近 SIL 2。选型时应留有余量，避免卡在边界值上。

八、工程实践中的常见误区

第一个误区是“只看 PLC 的 SIL/PL，忽略传感器和执行器”。安全功能是串联系统，整体 PFHd 由最弱环节主导。第二个误区是“Category 越高越好”。Category 4 成本高、接线复杂，若风险分析表明 PL d 足够，选用 Category 3 更经济。第三个误区是“DC 和 CCF 可以忽略”。在 Category 3 及以上，DC 和 CCF 直接决定能否达到目标 PL，必须认真评估并记录证据。第四个误区是“MTTFd 取厂商典型值即可”。实际应用中温度、振动、切换频率都会影响 MTTFd，必要时应降额使用。

注意：PFHd、MTTFd、DC 等参数必须来自可靠来源（厂商手册、认证报告、实测数据），不可随意假设。若使用假设值，应在安全文件中明确标注并说明依据。安全完整性等级不是“贴标签”，而是需要完整证据链支撑的工程结论。

掌握这七个概念及其计算关系后，读者应能独立完成一个安全功能的 PL 判定：确定 PLr → 选择 Category → 计算 MTTFd → 评估 DC → 进行 CCF 评分 → 查表得 PL → 用 PFHd 交叉验证。这套流程是后续安全 PLC 编程、安全回路设计和安全验证的基础。