4. 安全完整性等级与性能等级
在机器人功能安全工程中，风险分析给出的是“需要把风险降到什么程度”，而 SIL、ASIL、PL 这些指标回答的是“用多可靠的安全功能去降”。它们不是同一种尺子：IEC 61508 用 SIL 描述安全功能的失效概率量级，ISO 26262 用 ASIL 描述汽车电子系统的完整性要求，ISO 13849-1 用 PL 与类别描述机械安全控制系统的性能水平。理解它们的定义、计算路径和选择逻辑，是机器人安全设计从定性走向定量的关键一步。
一、核心指标的定义与来源
SIL（Safety Integrity Level，安全完整性等级）来自 IEC 61508，分为 SIL 1～SIL 4。它衡量安全功能在要求时未能执行指定功能的概率：低要求模式用 PFDavg 表示，高要求或连续模式用 PFH 表示。SIL 越高，允许的失效概率越低，对硬件容错、诊断覆盖率和系统化能力的要求也越高。
ASIL（Automotive Safety Integrity Level）来自 ISO 26262，分为 A、B、C、D 四级，D 最严。它由严重度 S、暴露率 E、可控性 C 三个参数通过查表确定，强调“危害事件”的后果、发生频率和驾驶员可控程度。ASIL 不是直接的概率指标，而是分配给安全目标及其安全需求的完整性等级。
PL（Performance Level）来自 ISO 13849-1，分为 a～e 五级，e 最高。它针对机械安全控制系统的安全相关部件，用每小时危险失效概率 PFHd 来量化。PL 的确定依赖类别（Category）、MTTFd、DC 和 CCF 四个参数，是机器人安全回路最常用的性能度量之一。
一句话区分：SIL 是“功能失效概率量级”，ASIL 是“汽车危害完整性等级”，PL 是“机械控制系统性能水平”。三者可以映射，但不能直接等同替换。
二、PL 的计算路径：类别、MTTFd、DC、CCF
ISO 13849-1 的 PL 评估是一个结构化过程。首先确定安全功能所需的 PLr（Required Performance Level），由风险图（S、F、P 参数）得出；然后设计安全相关控制系统的架构，即类别；再计算每个通道的 MTTFd、诊断覆盖率 DC 和共因失效 CCF；最后查表得到实际达到的 PL。
- 类别（Category）：描述安全回路的架构与容错能力。Cat.1 为单通道、无诊断；Cat.2 为单通道加测试；Cat.3 为双通道、部分诊断；Cat.4 为双通道、高诊断。类别越高，对冗余和诊断的要求越强。
- MTTFd（平均危险失效前时间）：反映部件可靠性，单位为年。可由元件 MTTFd 或 B10d、工作时间计算。MTTFd 分为低（3～10 年）、中（10～30 年）、高（30～100 年）三档。
- DC（Diagnostic Coverage，诊断覆盖率）：表示诊断功能能检测到的危险失效比例，分为无（DC<60%）、低（60%～90%）、中（90%～99%）、高（≥99%）。DC 越高，潜在危险失效被及时发现的概率越大。
- CCF（Common Cause Failure，共因失效）：双通道系统中，两个通道因同一原因同时失效。ISO 13849-1 用 CCF 评分表评估，通常要求得分≥65 分，否则需采取分离、多样性、屏蔽等措施。
PL 的查表逻辑可以概括为：类别决定架构上限，MTTFd 决定可靠性基础，DC 决定诊断能力，CCF 决定冗余是否可信。四者共同决定 PFHd，再映射到 PL a～e。
三、SIL、ASIL 与 PL 的对比与选择
在机器人项目中，常常需要把不同标准的要求统一到同一安全功能上。例如，协作机器人安全停止功能可能同时涉及 ISO 13849-1 的 PLd、IEC 61508 的 SIL 2 和 ISO 26262 的 ASIL B。此时不能简单说“PLd 等于 SIL 2”，而应分别按各自标准验证，并关注架构、诊断、共因和系统化能力是否满足最严要求。
| 指标 | 标准来源 | 等级划分 | 核心量化 | 典型应用 |
|---|---|---|---|---|
| SIL | IEC 61508 | SIL 1～4 | PFDavg / PFH | 过程工业、机器人安全控制器 |
| ASIL | ISO 26262 | A～D | S、E、C 查表 | 汽车电子、自动驾驶 |
| PL | ISO 13849-1 | a～e | PFHd | 机械安全回路、机器人急停 |
| 类别 | ISO 13849-1 | Cat.1～4 | 架构与容错 | 安全回路结构设计 |
| MTTFd | ISO 13849-1 | 低/中/高 | 年 | 元件可靠性评估 |
| DC | ISO 13849-1 | 无/低/中/高 | 百分比 | 诊断功能设计 |
| CCF | ISO 13849-1 | 评分≥65 | 分数 | 双通道共因防护 |
四、案例：协作机器人安全停止功能的 PL 评估
假设某协作机器人需要实现安全停止功能，风险图确定 PLr = d。设计采用双通道急停回路，使用两个安全继电器和机器人安全控制器，类别为 Cat.3。每个通道的 MTTFd 计算为 40 年，属于“高”；诊断覆盖率 DC = 90%，属于“中”；CCF 评分 70 分，满足要求。查 ISO 13849-1 表，Cat.3、MTTFd 高、DC 中对应 PL = d，满足 PLr。
PLr = d
Category = 3
MTTFd = 40 年（高）
DC = 90%（中）
CCF = 70 分（≥65）
查表结果：PL = d
结论：安全停止功能满足 PLr = d 要求
如果 MTTFd 降到 20 年（中），则同样条件下 PL 可能降为 c，不满足要求。此时可通过提高元件可靠性、增加诊断覆盖率或改用 Cat.4 架构来补偿。这个案例说明：PL 不是单一参数决定的，而是架构、可靠性、诊断和共因共同作用的结果。
五、常见误区与复盘
误区一：把 SIL、ASIL、PL 直接换算。三者标准体系、失效模式和应用场景不同，只能参考映射关系，不能替代验证。
误区二：只看 MTTFd，忽略 DC 和 CCF。高 MTTFd 但低 DC 的单通道系统，PL 可能仍然很低。
误区三：认为类别越高越好。Cat.4 成本高、复杂度大，若 PLr 只需 c，Cat.2 可能更经济合理。
误区四：忽略共因失效。双通道若共用电源、时钟或同一软件，CCF 会显著降低冗余有效性。
复盘时建议建立“安全功能—标准—指标—验证证据”的对应表：每个安全功能明确适用的标准、目标等级、实际达到的等级、计算依据和测试报告。这样在评审和认证时，能够清晰说明 SIL、ASIL、PL、类别、MTTFd、DC、CCF 是如何被定义、计算和选择的，而不是停留在口号式的“高安全等级”。
掌握这些指标的定义、计算与选择方法后，机器人安全工程师就能在风险分析与安全功能实现之间建立可验证的桥梁：风险分析确定目标等级，架构与参数决定实际等级，验证证据证明两者匹配。这样，SIL、ASIL、PL、类别、MTTFd、DC、CCF 就不再是孤立的术语，而是一套完整的工程语言。