1. 课程导入

机械安全是工业自动化与智能制造的基础前提。无论是单台半自动设备、机器人工作站，还是大型连续生产线，一旦安全功能失效，轻则造成设备损坏与停机损失，重则导致人员重伤甚至死亡。在欧盟机械指令（2006/42/EC）框架下，制造商必须证明其安全相关控制系统达到可接受的性能等级；而在全球范围内，ISO 13849 与 IEC 62061 是当前应用最广泛的两项功能安全设计标准。本章作为全课程的开篇，将帮助学员建立完整的知识地图：明确学习目标、理解课程结构、厘清两项标准的关系与适用范围，并掌握机械安全法规的演进脉络与合规要求。

1.1 学习目标与课程结构

核心原理：从“知道标准”到“能落地设计”

本课程不是标准条文的逐句朗读，而是以“完成一台设备的安全相关控制系统设计”为最终交付物。学员在完成全部30章学习后，应具备以下四项核心能力：第一，能够依据ISO 12100完成初步风险识别与风险减小迭代；第二，能够根据风险图确定所需的PL（Performance Level，性能等级）或SIL（Safety Integrity Level，安全完整性等级）；第三，能够基于ISO 13849或IEC 62061设计安全回路，包括传感器选型、逻辑控制器架构、执行元件监控，并完成PFHd（每小时危险失效概率）计算；第四，能够编制符合CE认证或GB/T 15706要求的技术文档，包括安全功能说明、验证报告和软件文档。

课程结构按照工程实施的自然流程分为五个模块：模块一（第1-5章）为法规与标准基础，解决“为什么做”和“按什么做”的问题；模块二（第6-12章）为风险评估方法论，解决“做到什么程度”的问题；模块三（第13-20章）为硬件设计，涵盖传感器、逻辑单元、执行器的选型与回路架构；模块四（第21-26章）为软件与验证，包括安全PLC编程、通信协议（PROFIsafe、FSoE）和验证测试；模块五（第27-30章）为综合实战，以包装机械、机器人工作站、AGV和注塑机四个典型场景进行全流程演练。

判断方法：如何评估自己的学习进度

每章末尾设有自测清单，学员应能回答以下问题：本章涉及的标准条款号是什么？该条款的强制性与推荐性如何？如果设备发生故障，该条款对应的失效模式是什么？建议学员以“一台半自动铆接机”为贯穿案例，每学完一章就尝试将新知识应用到该设备上，形成自己的设计笔记。

1.2 ISO 13849与IEC 62061的适用范围与关系

核心原理：两项标准的定位差异

ISO 13849-1《机械安全·控制系统安全相关部件·第1部分：设计通则》起源于欧洲，其前身是EN 954-1（基于类别架构）。该标准采用PL（a~e）作为安全性能指标，通过类别（B, 1, 2, 3, 4）、MTTFd（平均危险失效时间）、DC（诊断覆盖率）和CCF（共因失效）四个参数综合确定PL值。其优势在于对机械、气动、液压及简单电气系统非常友好，设计人员可以通过结构化的逻辑图快速确定所需PL。

IEC 62061《机械安全·安全相关电气、电子和可编程电子控制系统的功能安全》则脱胎于IEC 61508（功能安全基础标准），采用SIL（1~3）作为安全指标，以PFHd（每小时危险失效概率）为核心量化参数，并引入了更严格的架构约束和软件安全生命周期要求。该标准更适合包含复杂可编程电子系统（如安全PLC、伺服驱动器、安全总线）的设备。

判断方法：如何选择适用标准

选择标准时，首先判断控制系统是否包含可编程电子器件。如果系统完全由硬接线继电器、接触器、液压阀、气动阀组成，且不含微处理器，优先选用ISO 13849。如果系统包含安全PLC、安全I/O、编码器或伺服驱动器，且需要复杂的逻辑运算或通信，则IEC 62061更为合适。但需注意，两项标准在技术层面已实现等价映射：ISO 13849的PL d 对应IEC 62061的SIL 2，PL e 对应SIL 3。在实际认证中，TÜV等公告机构接受两项标准并行使用，甚至在同一设备中，简单回路按ISO 13849设计，复杂运动控制回路按IEC 62061设计。

案例拆解：一台贴标机的标准选择

某食品包装企业需要为一台贴标机设计安全控制系统。该设备包含：一个安全门（带联锁开关）、一个急停按钮、一个光幕（用于防止操作员手部进入贴标区域）、两个伺服电机（用于标签牵引和贴标头运动）。初始方案中，安全门和急停采用硬接线继电器回路，光幕信号接入安全PLC，伺服驱动器通过STO（安全转矩关断）功能实现安全停止。

分析过程：由于系统包含安全PLC和伺服驱动器，属于可编程电子系统，因此光幕+安全PLC+伺服STO这条回路必须按IEC 62061设计，计算PFHd并满足SIL 2要求。而安全门+急停+继电器回路，虽然也可以按IEC 62061设计，但考虑到继电器回路简单且无软件，按ISO 13849的Category 3结构设计更为简洁，只需保证双通道+诊断即可达到PL d。最终方案采用混合设计：安全门回路按ISO 13849（PL d, Cat.3），光幕/伺服回路按IEC 62061（SIL 2），两项标准并行使用，既满足了安全要求，又降低了设计复杂度。

1.3 机械安全法规背景

核心原理：法规的层级与效力

机械安全法规体系呈金字塔结构：最顶层是法律（如欧盟机械指令2006/42/EC），具有强制约束力；第二层是协调标准（如ISO 13849、IEC 62061），在欧盟官方公报上发布后，满足标准即推定符合指令的基本健康与安全要求（EHSR）；第三层是行业指南和最佳实践（如VDMA指南、ANSI B11系列），虽不具法律效力，但可作为技术参考。在中国，GB/T 15706-2012《机械安全·设计通则·风险评估与风险减小》等同采用ISO 12100，而GB/T 16855.1（对应ISO 13849）和GB/T 20438（对应IEC 61508）构成了国内功能安全标准体系。

法规的核心逻辑是“风险减小”的迭代过程：首先通过本质安全设计（如消除锐边、降低速度）减小风险；其次采用安全防护（如防护罩、光幕）；最后通过使用信息（警示标志、操作手册）告知残余风险。安全相关控制系统属于第二层防护措施，其可靠性必须与残余风险相匹配。

操作流程：从法规到具体设计

1. 确定设备指令适用范围：确认设备是否属于机械指令附录IV所列的高风险机械（如木工机械、注塑机、机器人），若是，则必须由公告机构参与型式检验。
2. 进行风险评估：按ISO 12100识别危险源（机械、电气、热、噪声、辐射等），估计风险等级。
3. 确定所需性能等级：根据风险图（S、F、P参数）确定PLr或SILr。
4. 设计安全功能：选择合适的安全部件，设计回路架构，计算PFHd。
5. 验证与确认：通过计算、测试和故障注入验证安全功能是否达到目标PL/SIL。
6. 编制技术文件：包括风险评估报告、安全功能说明、验证报告、使用说明书。

案例拆解：出口欧盟的铆接机合规路径

某国内铆接机厂商计划将设备出口德国。设备为半自动操作，操作员需将工件放入夹具，双手按下启动按钮，铆接头下压完成铆接。初始设计仅有一个机械防护罩，无安全联锁。按照欧盟机械指令要求，该设备属于非附录IV机械，但必须满足基本安全要求。

整改过程：首先进行风险评估，识别出“操作员手部位于铆接区域时设备意外启动”为主要危险源，风险等级为S2（重伤）、F2（频繁）、P2（难以避免），查风险图得PLr = d。随后设计安全功能：采用双手控制装置（符合ISO 13851），要求双手同时按下且间隔不超过0.5秒，并采用Category 3架构（双通道+交叉监控）。选用两个带强制断开触点的按钮，接入安全继电器模块（如Pilz PNOZ），输出驱动铆接头的双联阀。计算MTTFd为30年，DC为99%，满足PL d要求。最后通过故障注入测试（模拟一个触点粘连），验证系统能安全停机。整套技术文件提交给TÜV Rheinland审核，获得CE证书。

常见误区与总结复盘

• 误区一：认为ISO 13849和IEC 62061是二选一的关系。实际上，两者可以并行使用，且技术指标可互相映射。
• 误区二：忽视法规的“推定符合”机制。只有采用协调标准（在欧盟官方公报上发布）才能获得符合性推定，自行制定的企业标准不能作为CE依据。
• 误区三：混淆“安全功能”与“普通控制功能”。例如，急停按钮必须符合ISO 13850，不能使用普通停止按钮替代；安全门联锁必须符合ISO 14119，不能使用普通限位开关。
• 误区四：忽略软件安全要求。对于包含安全PLC的系统，软件必须按IEC 62061的软件安全生命周期开发，包括需求规格、验证计划、测试记录等。