3. 安全功能与安全完整性等级

在机器安全工程中，安全功能（Safety Function）是整套安全控制逻辑的最小功能单元。它描述的是：当某个危险事件发生时，机器应通过哪些检测、逻辑判断和执行动作，把风险降低到可接受水平。例如“当安全门被打开时，切断机器人驱动动力并使机械臂在 500 ms 内进入安全停止状态”，这就是一条完整的安全功能描述。它包含三个要素：触发条件（安全门开启）、安全逻辑（安全 PLC 判断并输出停止指令）、执行结果（驱动断电、机械臂停止）。

安全功能本身并不说明“这条功能有多可靠”。衡量可靠程度的量化指标，就是性能等级 PL（Performance Level，ISO 13849-1）和安全完整性等级 SIL（Safety Integrity Level，IEC 62061 / IEC 61508）。两者都用于表达安全相关控制系统在单位时间内未能完成安全功能的概率，只是分属不同标准体系。

安全功能的定义与结构化描述

一条可工程化的安全功能，通常需要明确以下信息：安全功能编号与名称、触发源（急停按钮、安全门开关、光幕、安全雷达等）、响应逻辑（停止类别 0/1/2、STO、SLS 等）、执行元件（接触器、安全继电器、变频器 STO 输入）、所需性能等级或 SIL、以及响应时间要求。以 Rockwell 安全 PLC 为例，安全功能在 Studio 5000 Logix Designer 中通过安全任务（Safety Task）实现，安全输入模块（如 1734-IB8S）采集信号，安全 CPU（如 GuardLogix 5069-L306ERMS）执行安全逻辑，安全输出模块（如 1734-OB8S）驱动执行元件。整条链路构成一个安全功能通道。

PL 与 SIL 的确定方法

PL 的确定基于 ISO 13849-1 的简化方法，核心是计算每个安全功能通道的 PFH_D（每小时危险失效概率），并考虑结构类别（Category B、1、2、3、4）、MTTF_D（平均危险失效前时间）、DC（诊断覆盖率）和 CCF（共因失效）。PL 分为 a 到 e 五个等级，PL e 最高。SIL 则基于 IEC 62061，分为 SIL 1、2、3，通过 PFH_D 或架构约束与安全失效分数确定。两者之间存在近似对应关系：PL d 约等于 SIL 2，PL e 约等于 SIL 3。

实际工程中，确定所需等级通常采用风险图法或风险矩阵法。风险图法（ISO 13849-1 附录 A）通过四个参数逐步确定所需 PL：

• S：伤害严重程度（S1 轻微、S2 严重/不可逆）
• F：暴露于危险的频率或时间（F1 偶尔、F2 频繁）
• P：避免危险的可能性（P1 可能、P2 几乎不可能）
• L：危险事件发生的概率（仅 SIL 方法使用）

风险矩阵法则将严重程度与暴露频率、避免可能性组合成矩阵，直接查出所需 PL 或 SIL。两种方法本质相同，风险图更适合逐条安全功能分析，矩阵法更适合快速筛查。

Rockwell 安全 PLC 的 PL/SIL 能力

Rockwell Automation 的 GuardLogix 和 Compact GuardLogix 控制器是典型的安全 PLC 平台。以 GuardLogix 5580 为例，其安全任务可达到 SIL 3（IEC 61508）、PL e（ISO 13849-1）、Category 4。安全 I/O 模块如 1734-IB8S、1734-OB8S 同样支持 SIL 3 / PL e。这意味着在正确配置和验证的前提下，基于 GuardLogix 的安全功能通道可以满足最高等级的安全要求。

需要注意的是，控制器本身的能力并不等于整条安全功能通道的能力。整条通道的 PL/SIL 取决于最弱环节，包括传感器、逻辑单元、执行元件以及它们之间的连接和诊断。例如，一个 SIL 3 的安全 PLC 搭配一个只有 SIL 1 的安全门开关，整条功能只能达到 SIL 1。因此，在确定安全功能等级时，必须对整条通道进行核算，而不是只看 PLC 的规格书。

安全功能等级确定流程

下面这张图展示了从风险识别到确定所需 PL/SIL，再到选择 Rockwell 安全 PLC 并验证整条通道的完整关系。图中左侧是风险图法的四个参数，中间是 PL 与 SIL 的对应关系，右侧是 Rockwell 安全 PLC 的典型能力，底部是整条安全功能通道的验证要点。