📚 课程目录第2章安全功能与安全完整性等级

2. 安全功能与安全完整性等级

在TIA Portal安全工程中，如果只记住“加一个F-CPU、写几个F程序块”，很容易在评审或故障排查时说不清“为什么这样设计”。真正支撑安全程序结构的，是四个基础概念：安全功能、安全状态、风险降低，以及衡量降低可信程度的SIL与PL。它们分别回答“要防什么”“失效后停在哪”“要降到什么程度”“凭什么相信它降到了这个程度”。

安全功能：从危险源到可执行的动作

安全功能（Safety Function）不是某个FB或某段程序，而是“当特定危险事件发生时，系统应执行的动作”。它通常由三部分构成：触发条件（如光幕遮挡、急停按下、安全门打开）、逻辑处理（F-CPU中的安全逻辑判断）、执行结果（切断STO、断开接触器、进入安全限速）。例如一台包装机，安全功能可描述为：当防护门打开时，驱动电机在200 ms内进入安全转矩关断（STO），且输送带停止。这里“门开”是输入，“200 ms内STO”是输出与时间要求，二者共同构成一条可验证的安全功能。

在TIA Portal中，安全功能映射为F-CPU内的F-FBD/F-LAD安全程序、F-DI/F-DO模块的通道参数，以及F-I/O的钝化与恢复机制。安全功能必须可测量、可测试，否则无法证明其有效。

安全状态：失效后“停在哪”的约定

安全状态（Safe State）是安全功能触发后系统进入的、风险可接受的状态。它不等于“断电”，也不等于“停止”。对电机，安全状态可能是STO（安全转矩关断）或SLS（安全限速）；对阀门，可能是弹簧复位关闭；对机器人，可能是安全停止或安全监控停止。安全状态必须在设计阶段明确，并写入安全功能描述中。

在TIA Portal中，安全状态通过F-DO的输出逻辑、F-I/O模块的钝化值（Fail-Safe Value）以及F-CPU的RUN-STOP行为共同实现。例如，F-DO模块在钝化时输出“0”，即切断执行器；而F-CPU进入STOP时，所有F-DO输出按组态的安全值输出。因此，安全状态不是“程序里写一句停止”，而是由硬件、组态和程序共同保证的确定行为。

风险降低与SIL/PL：量化“可信程度”

风险降低（Risk Reduction）是安全功能的目标：把风险从初始水平降到可接受水平。降低的“量”由两个指标衡量：IEC 61508/61511中的SIL（安全完整性等级，SIL 1~4）和ISO 13849-1中的PL（性能等级，PL a~e）。SIL侧重“单位时间危险失效概率”，PL侧重“每小时危险失效概率”并综合结构、诊断、共因等因素。二者不能简单互换，但在工程中常需对应。

以一台冲压机为例：初始风险为“高”，要求风险降低后达到“可接受”。若安全功能为“光幕遮挡时切断离合器”，则需确定该功能所需的SIL或PL。假设通过风险评估确定需要PL d，则安全功能的所有子系统（光幕、F-DI、F-CPU、F-DO、离合器）的PL必须满足PL d。每个子系统的PL由类别（Cat.）、MTTFd、DCavg、CCF共同决定。例如：光幕为Cat. 4、MTTFd高、DCavg高，可达PL e；F-CPU为Cat. 4、MTTFd高、DCavg中，可达PL d；F-DO为Cat. 3、MTTFd中、DCavg中，可达PL d。整条链的PL取最低值，因此该安全功能整体为PL d。

在TIA Portal中，SIL/PL的映射体现在：F-CPU的订货号（如S7-1500F支持SIL 3/PL e）、F-I/O模块的认证等级、F程序块的编译校验（F-Compiler会检查安全程序是否符合所选SIL/PL的编程规则），以及F-参数中的“安全模式”设置。例如，在F-DI模块中，可设置“1oo2评估”或“2oo3评估”，这直接影响诊断覆盖率和SIL能力。

在TIA Portal中把概念“落地”

理解了上述概念，再看TIA Portal中的具体操作，就不会觉得是零散配置。以下是一条典型的安全功能实现路径，以S7-1500F为例：

定义安全功能与安全状态：在安全需求规格中写明“光幕遮挡→200 ms内STO”，并确定所需PL d。
选择F-CPU与F-I/O：选用支持PL e/SIL 3的F-CPU和F-DI/F-DO模块，确保硬件认证等级不低于PL d。
组态F-I/O参数：在F-DI模块中设置“1oo2评估”或“2oo3评估”，在F-DO模块中设置钝化后的安全值（如输出0）。
编写F程序：在F-FBD中实现“光幕信号→定时器→STO输出”的安全逻辑，使用F-Compiler编译，检查是否符合所选SIL/PL的编程规则。
验证与文档：通过F-Compiler的校验报告、F-I/O的诊断状态和实际测试，确认安全功能在要求时间内进入安全状态，并记录PL计算过程。

提示：SIL和PL不是“选一个填上”的标签，而是设计输入。先有风险评估确定所需等级，再选择硬件和编写程序，最后用计算和测试证明达到该等级。顺序颠倒，安全功能就失去了可验证性。

注意：安全状态必须在F-I/O钝化、F-CPU停机、电源断电等异常情况下仍然成立。在TIA Portal中，务必检查F-DO模块的“钝化值”和F-CPU的“STOP模式”行为，确保它们与安全状态定义一致。

总结来说，安全功能是“做什么”，安全状态是“停在哪”，风险降低是“降到什么程度”，SIL/PL是“凭什么相信”。在TIA Portal安全工程中，这四个概念分别映射到安全程序、F-I/O参数、硬件选型和F-Compiler校验中。只有把它们串成一条可验证的链，安全工程才不是“配了几个F块”，而是一套有依据、可证明的保护机制。