4. ISO13849核心概念
ISO 13849-1是机械安全控制系统安全相关部件（SRP/CS）设计与验证的核心标准。与IEC 62061（面向SIL）不同，ISO 13849采用性能等级（PL, Performance Level）作为安全完整性度量，并通过五个关键参数——类别（Category）、MTTFd（平均危险失效前时间）、DC（诊断覆盖率）、CCF（共因失效）、结构约束——共同决定PL值。本章将逐一拆解这些概念，并给出工程实战中的计算路径与设计决策方法。
4.1 性能等级（PL）与要求性能等级（PLr）
核心原理：PL是ISO 13849对安全相关部件在危险失效模式下性能的量化分级，从低到高分为a、b、c、d、e五个等级。每个PL对应一个PFHd（每小时危险失效概率）区间，例如PL d要求PFHd在10⁻⁷～10⁻⁶之间。PLr（Required Performance Level）则来自风险评估，表示为了将风险降低到可接受水平所需达到的性能等级。PLr的确定通常参考ISO 13849-1附录A的风险图，考虑伤害严重度（S）、暴露频率/时间（F）、避免危险的可能性（P）三个参数。
判断方法：PLr的确定流程为：
- 评估伤害严重度S（S1轻伤、S2重伤/死亡）
- 评估暴露频率F（F1很少/短时间、F2频繁/长时间）
- 评估避免危险P（P1可能、P2几乎不可能）
- 查风险图得到PLr（a~e）
例如，一台高速冲压机，操作员每班8小时持续送料（F2），一旦误动作将导致断指（S2），且无法通过快速反应避开（P2），则PLr = e。若为低速贴标机，偶尔调整（F1），误动作仅造成轻微擦伤（S1），则PLr可能仅为b。
4.2 类别（Category）——结构约束的基石
核心原理：类别描述了SRP/CS在故障条件下的行为特性，共5种：B、1、2、3、4。类别越高，对故障容忍能力越强。类别B是基本要求，单通道，任何故障都可能导致安全功能丧失；类别1采用经过验证的元件和原理，故障率较低；类别2通过周期性自检发现故障；类别3采用冗余结构，单点故障不会导致安全功能丧失，但故障累积可能；类别4在类别3基础上，要求更高MTTFd和DC，且故障累积也不会导致安全功能丧失。
判断方法：选择类别时需考虑：
- 风险降低需求（PLr越高，类别通常越高）
- 故障容忍能力（是否允许单点故障导致安全功能丧失）
- 诊断能力（能否实现周期性或连续自检）
- 成本与维护能力
| 类别 | 结构 | 故障行为 | 最大PL | 典型应用 |
|---|---|---|---|---|
| B | 单通道 | 任何故障→安全功能丧失 | c | 低风险防护罩联锁 |
| 1 | 单通道+验证元件 | 故障→安全功能丧失（概率较低） | c | 简单限位开关 |
| 2 | 单通道+自检 | 故障可通过自检发现，但自检间隔内可能失效 | d | 光幕+周期性测试 |
| 3 | 冗余双通道 | 单点故障不丧失，但故障累积可能 | e | 安全PLC双通道 |
| 4 | 冗余+高诊断 | 单点及累积故障均不丧失 | e | 高要求连续运行设备 |
4.3 MTTFd（平均危险失效前时间）
核心原理：MTTFd衡量通道在危险失效模式下的平均无故障时间，单位是年。ISO 13849将MTTFd分为三档：低（3~10年）、中（10~30年）、高（30~100年）。MTTFd的计算基于元件B10d值（10%元件失效的时间）和操作频率。对于电子元件，通常采用IEC 61508的失效数据；对于机械元件，需根据B10d和操作循环次数计算。
计算方法：对于单通道，MTTFd = B10d / (0.1 × n_op)，其中n_op是每小时操作次数。对于冗余结构，需考虑两个通道的失效独立性，计算公式更复杂，通常采用简化公式：MTTFd_total = MTTFd_1 × MTTFd_2 / (MTTFd_1 + MTTFd_2) × 某个修正系数。工程上常使用ISO 13849-1附录C的简化计算表。
示例：一个安全继电器，B10d = 2,000,000次，每小时操作20次
MTTFd = 2,000,000 / (0.1 × 20 × 8760小时/年) ≈ 114年 → 高
若每小时操作200次，则MTTFd ≈ 11.4年 → 中4.4 DC（诊断覆盖率）与CCF（共因失效）
核心原理：DC衡量诊断措施检测危险失效的能力，定义为检测到的危险失效次数占总危险失效次数的比例。DC分为四档：无（<60%）、低（60%~90%）、中（90%~99%）、高（≥99%）。CCF指由同一原因导致多个通道同时失效的事件，如电磁干扰、温度冲击、供电异常。ISO 13849要求通过设计措施将CCF风险降至最低，并通过评分表（附录F）评估，得分≥65分才合格。
判断方法：DC的确定需根据实际采用的诊断措施查表，例如：
- 交叉监测（双通道比较）：DC=99%（高）
- 周期性自检（如光幕自检）：DC=90%（中）
- 简单反馈监测（如继电器触点反馈）：DC=60%（低）
CCF评分表包含以下维度：
| 措施 | 分值 |
|---|---|
| 物理分离（通道间距离≥10mm） | 15 |
| 不同元件类型/技术 | 20 |
| 过压/过流保护 | 15 |
| 温度/湿度防护 | 15 |
| EMC防护（屏蔽、滤波） | 25 |
| 软件多样性（不同语言/处理器） | 15 |
4.5 结构约束与PL验证综合案例
案例背景：某包装线需升级安全门联锁系统，要求PLr = d。现有方案为：两个安全门开关（双通道）+ 安全PLC + 接触器切断电源。需验证是否满足PL d。
关键参数：
- 类别：Cat.3（冗余双通道，单点故障不丧失安全功能）
- MTTFd：每个开关B10d=1,000,000次，每小时操作30次 → MTTFd=1,000,000/(0.1×30×8760)≈38年 → 高
- DC：安全PLC对两个开关信号进行交叉比较，DC=99% → 高
- CCF：两开关独立安装，距离50mm，使用不同安装支架，有EMC滤波，得分75分
分析过程：查ISO 13849-1表K（简化法），Cat.3 + MTTFd高 + DC高 → PL = e。但需注意，接触器作为执行元件，其MTTFd和DC也需纳入计算。若接触器为单通道且无反馈监测，则整体PL可能降至d。因此，需为接触器增加反馈触点（DC=60%），并重新计算。
操作步骤：
- 确认所有安全相关元件（开关、PLC、接触器）均纳入计算
- 计算每个通道的MTTFd，取最低值作为系统MTTFd
- 确定每个元件的DC，系统DC取最低值
- 验证CCF≥65分
- 查表或软件计算得到PL
结果对比：增加接触器反馈后，系统DC仍为高（99%），MTTFd为高（38年），Cat.3 → PL=e，满足PLr=d且有余量。若不加反馈，接触器DC=无，系统DC=无，则PL降至c，不满足要求。
4.6 常见误区与总结
误区1：认为Cat.4一定比Cat.3好。实际上，如果DC和MTTFd不足，Cat.4也可能只达到PL d。类别只是结构约束，不是性能保证。
误区2：忽略CCF评分。许多设计在原理上满足冗余，但两个通道共用电源、同一PCB、相同软件，导致CCF得分低，最终PL降级。
误区3：MTTFd计算使用B10而非B10d。B10是10%元件失效的时间，包含安全失效和危险失效；B10d仅针对危险失效。使用B10会高估MTTFd。
误区4：DC计算中，将诊断覆盖率与诊断测试频率混淆。DC是比例概念，与测试频率无关；测试频率影响的是故障检测时间，而非覆盖率。
总结：ISO 13849的PL确定是一个多参数耦合的系统工程。类别提供结构框架，MTTFd和DC决定量化可靠性，CCF确保冗余有效。设计时应先确定PLr，再选择类别，然后计算MTTFd和DC，最后验证CCF。建议使用ISO 13849-1附录中的简化表或专业软件（如SISTEMA）进行验证，避免手工计算错误。在实际项目中，应保留计算文档，作为CE认证和功能安全评估的证据。