3. 功能安全基础与安全完整性等级

在机器安全工程中，功能安全要回答的核心问题是：当安全功能被触发时，它究竟有多可靠？IEC 61508、ISO 13849 和 IEC 62061 三套标准从不同角度回答这个问题。IEC 61508 是功能安全的“母标准”，提出安全生命周期与 SIL（Safety Integrity Level，安全完整性等级）概念，适用于电气/电子/可编程电子安全相关系统；ISO 13849 面向机械安全控制系统的部件与系统，用 PL（Performance Level，性能等级）描述；IEC 62061 则面向机械领域的电气、电子和可编程电子安全相关系统，沿用 SIL 体系。理解三者的关系，是后续设计 EtherCAT 安全通信与安全功能的基础。

三套标准的分工与关系

IEC 61508 定义了功能安全的通用框架，包括安全生命周期、风险与危害分析、安全要求分配、SIL 验证等。它不针对具体机器，而是提供方法论。ISO 13849 从机械安全出发，强调控制系统的结构（Category，类别）、MTTFd（平均危险失效时间）、DC（诊断覆盖率）和 CCF（共因失效），最终得到 PL a 至 PL e。IEC 62061 则把 IEC 61508 的 SIL 方法引入机械领域，用 SIL 1 至 SIL 3 描述安全相关控制功能，并给出子系统结构约束、PFHd（每小时危险失效概率）等量化指标。三者的对应关系可概括为：PL a 至 PL e 与 SIL 1 至 SIL 3 存在近似映射，但并非完全等价，工程中应以具体标准的要求为准。

SIL 与 PL 的等级划分依据

SIL 的核心量化指标是安全功能的危险失效概率。以低要求模式为例，SIL 1 对应每小时危险失效概率 PFHd 在 10⁻⁶ 至 10⁻⁵ 之间，SIL 2 为 10⁻⁷ 至 10⁻⁶，SIL 3 为 10⁻⁸ 至 10⁻⁷，SIL 4 为 10⁻⁹ 至 10⁻⁸。高要求模式或连续模式下，指标以每小时危险失效概率表示，数值区间相同但含义不同。PL 则通过 PL a 至 PL e 描述，每个等级对应一个 PFHd 范围，例如 PL d 对应 10⁻⁷ 至 10⁻⁶，PL e 对应 10⁻⁸ 至 10⁻⁷。ISO 13849 还要求通过 Category、MTTFd、DC 和 CCF 四个参数共同确定 PL，而不是只看单一数值。

Category 描述的是控制系统的结构冗余与故障检测能力。Category B 是基本结构，单通道，无诊断；Category 1 使用经验证的安全部件和原则；Category 2 增加周期性测试；Category 3 采用双通道结构，但并非所有故障都能被检测；Category 4 采用双通道且具备高诊断覆盖率。Category 越高，系统对故障的容忍能力越强，但成本和复杂度也越高。工程中常见的误区是认为 Category 3 一定比 Category 2 安全，实际上如果 MTTFd 很低或 DC 不足，Category 3 也可能无法达到 PL d。

安全生命周期与风险评估方法

IEC 61508 提出的安全生命周期是功能安全管理的骨架，通常包括：概念定义、整体范围定义、危害与风险分析、整体安全要求、安全要求分配、安全相关系统设计与实现、安装与调试、安全确认、运行与维护、修改与退役。每个阶段都有明确的输入、输出和验证活动。对于机器安全，ISO 12100 提供了风险评估的基本方法：确定机器限制、识别危险、估计风险、评价风险、降低风险。风险估计通常考虑伤害的严重程度、暴露频率、避免伤害的可能性三个要素。

在确定所需 SIL 或 PL 时，常用方法包括风险图法、风险矩阵法和数值法。以 ISO 13849 的风险图为例，输入参数为伤害严重程度 S（S1 轻微、S2 严重）、暴露频率 F（F1 较少、F2 频繁）、避免可能性 P（P1 可能、P2 几乎不可能），输出为所需性能等级 PLr。例如 S2、F2、P2 组合通常要求 PLr = d 或 e。确定 PLr 后，设计者需要选择 Category、计算 MTTd、评估 DC 和 CCF，验证实际 PL 是否达到 PLr。

工程实践中的关键判断

实际项目中，选择 IEC 62061 还是 ISO 13849 往往取决于机器类型、复杂度和客户要求。ISO 13849 更适合中小型机器和常规控制系统，参数直观、易于理解；IEC 62061 更适合复杂电子系统、需要精确量化 PFHd 的场合。两者都允许使用，但同一安全功能不应混用两套标准进行验证。对于 EtherCAT 安全系统，安全通信协议通常已通过认证，提供 PFHd 或 SIL/PL 声明，设计者应将其作为子系统数据引用，而不是重新计算。

安全生命周期的后期阶段同样重要。安全确认需要验证安全功能在预期使用条件下的响应时间、诊断覆盖率和故障反应。运行与维护阶段需要建立定期测试计划，记录失效和修改。任何安全相关修改都必须重新进入生命周期，进行影响分析和验证。忽视后期阶段，是许多安全系统在实际运行中失效的主要原因。

理解三套标准的分工与等级划分，是后续设计安全功能、选择安全部件、验证安全通信的基础。在 EtherCAT 安全工程中，安全完整性等级不是抽象概念，而是直接决定安全功能能否在危险发生时可靠动作的量化依据。