2. 安全标准与法规框架
在机器安全工程中，标准不是“参考资料”，而是设计输入、验证依据和合规证据的共同来源。理解这些标准之间的分工，比记住标准编号更重要。整体上，ISO 12100 解决“风险从哪里来、如何降低”；ISO 13849-1 与 IEC 62061 解决“控制系统要有多可靠”；IEC 61508 提供功能安全的通用方法论；机械指令则规定“进入市场必须满足什么”。它们构成一条从危害识别到合规声明的完整链条。
ISO 12100：风险评估与风险降低的起点
ISO 12100 是机械安全的基础标准，它不规定具体的安全距离或电路结构，而是规定一套系统化的风险评估与风险降低方法。其核心逻辑是：先识别危险，再估计风险，然后通过“三步法”降低风险。
第一步是本质安全设计，例如消除挤压点、降低速度、限制力或能量、采用圆角与安全间距。第二步是安全防护与补充保护措施，例如固定防护罩、联锁门、光幕、双手控制、急停。第三步是使用信息，例如警示标识、说明书、培训要求。三步法的顺序不可颠倒：能用结构设计消除的风险，不应留给控制系统去“补救”。
风险评估的输出通常包括：危险清单、风险估计结果、风险降低措施、剩余风险说明。对安全PLC工程师而言，ISO 12100 决定了后续安全功能的边界——哪些动作需要联锁、哪些区域需要进入检测、急停应覆盖哪些执行机构。若风险评估不充分，后续PL或SIL计算再精确，也只是在错误的目标上做优化。
ISO 13849-1：性能等级PL与安全功能实现
ISO 13849-1 是机械安全控制系统的核心标准，适用于电、液压、气动、机械等各类控制系统。它用“性能等级”PL 表示安全功能在预期条件下执行安全动作的可靠性，分为 PL a 到 PL e 五个等级，PL e 最高。
PL 由四个参数共同决定：
- 架构类别（Category）：B、1、2、3、4，描述通道数量、诊断覆盖和共因失效要求。
- MTTFd：每个通道的平均危险失效前时间，反映元件可靠性。
- DCavg：平均诊断覆盖率，反映系统发现危险失效的能力。
- CCF：共因失效评分，反映多通道系统是否真正独立。
实际工程中，常用 PFHd（每小时危险失效概率）来量化 PL：PL d 对应 PFHd 在 10⁻⁷ 到 10⁻⁶ 之间，PL e 对应 10⁻⁸ 到 10⁻⁷ 之间。例如，一个 Category 3、MTTFd 为“高”、DCavg 为“中”、CCF 达到 65 分的双通道急停回路，通常可达到 PL d。若诊断覆盖率不足或共因失效评分偏低，即使元件很好，也可能只能达到 PL c。
ISO 13849-1 还要求验证：通过计算或软件工具确认 PL 达标，并通过功能测试确认安全功能实际有效。对 WAGO 安全PLC 而言，安全模块的 PFHd、诊断能力和认证信息是计算链中的关键输入。
IEC 62061 与 SIL：面向功能安全的量化路径
IEC 62061 是机械领域的功能安全标准，使用安全完整性等级 SIL 1 到 SIL 3。它与 ISO 13849-1 目标一致，但方法更偏向功能安全量化：先定义安全功能，再分配 SIL，然后计算子系统 PFHd 并求和，最后与目标值比较。
SIL 与 PL 存在近似对应关系：SIL 1 约对应 PL c，SIL 2 约对应 PL d，SIL 3 约对应 PL e。但两者并非完全等价，因为架构约束、诊断要求和系统化能力要求不同。选择哪条路径，通常取决于行业惯例、客户要求和产品认证情况。机器安全中 ISO 13849-1 更常见；过程工业或复杂电子系统更常用 IEC 62061 与 IEC 61508。
IEC 61508：功能安全的通用基础
IEC 61508 是功能安全的“母标准”，定义了安全生命周期、安全完整性、硬件失效概率、系统化能力、验证与确认等通用要求。ISO 13849-1 和 IEC 62061 都在不同程度上继承其概念。IEC 61508 强调：安全功能必须从需求开始，经过设计、实现、验证、确认、运行、维护到退役，全过程受控。
对安全PLC应用而言，IEC 61508 的影响体现在：安全模块需具备 SIL 认证、安全协议需有黑通道或白通道机制、安全程序需有独立校验、诊断需覆盖危险失效。WAGO 安全PLC 的安全模块通常依据 IEC 61508 获得 SIL 3 认证，从而支持上层机器达到 PL d 或 PL e。
机械指令与合规要求
机械指令（如欧盟 2006/42/EC）规定机械产品进入市场前必须满足的基本健康与安全要求。合规路径通常包括：风险评估、技术文件编制、符合性声明、CE 标识。协调标准（如 ISO 12100、ISO 13849-1、IEC 62061）提供“推定符合”的技术路径。
实际项目中，合规不是最后补文件，而是贯穿设计。安全功能清单、PL/SIL 计算报告、安全回路图纸、安全PLC 配置与程序、验证测试记录、剩余风险说明，都是技术文件的一部分。若使用 WAGO 安全PLC，还应保留模块认证证书、安全参数和配置校验记录。
标准之间的实际配合方式
在一个典型的安全改造项目中，工程师通常先按 ISO 12100 做风险评估，确定需要哪些安全功能，例如“安全门打开时切断运动”“急停按下时停止所有轴”。然后为每个安全功能指定 PL 或 SIL 目标。若采用 ISO 13849-1，则选择架构类别、计算 MTTFd、DCavg 和 CCF，得出实际 PL；若采用 IEC 62061，则计算子系统 PFHd 并求和，与目标 SIL 比较。安全PLC 的模块参数、认证等级和诊断能力直接进入计算。最后，将计算报告、配置记录、测试记录和剩余风险说明归入技术文件，支撑机械指令合规。
常见误区与判断依据
第一个误区是把 PL e 当作“绝对安全”。PL e 只表示每小时危险失效概率足够低，不代表风险为零。第二个误区是只关注硬件，忽略安全程序、参数配置和验证测试。第三个误区是认为“用了安全PLC 就合规”，实际上合规还依赖风险评估、技术文件和符合性声明。判断一个安全功能是否成立，至少要看：风险是否识别、目标 PL/SIL 是否明确、计算是否闭合、测试是否覆盖、文件是否可追溯。
对 WAGO 安全PLC 应用而言，建议在项目早期就建立“安全功能—标准条款—PL/SIL 目标—实现模块—验证记录”的对应关系。这样，后续编程、接线、测试和验收都有统一依据，也能在审计或客户审查时快速提供证据链。