2. 功能安全基础
功能安全（Functional Safety）并非一个抽象的管理概念，而是一套以“风险削减”为核心的工程方法论。在ISO 13849（机械安全相关控制系统）与IEC 61508（电气/电子/可编程电子安全相关系统）的语境下，所有设计、评估与验证活动都围绕一组精确的术语展开。如果对这些术语的理解存在偏差，后续的PL（性能等级）或SIL（安全完整性等级）评定将失去根基。本章将系统拆解风险、危险、危险事件、安全功能与安全完整性这五个核心概念，厘清它们之间的逻辑递进关系，并指出工程实践中常见的概念混淆点。
2.1 危险源与危险事件：从“潜在”到“显现”的跃迁
核心原理：危险源是静态属性，危险事件是动态触发
危险源（Hazard）是指可能导致伤害的潜在根源，它可以是机械能（旋转轴、剪切点）、电能（高压端子）、热能（高温表面）、化学能（有毒气体）或辐射能。危险源本身并不必然导致伤害——一个静止的齿轮箱如果没有被触碰，其危险源属性依然存在，但风险并未显现。危险事件（Hazardous Event）则是指危险源被特定条件激活，从而可能引发伤害的具体事件。例如，操作员将手伸入正在旋转的齿轮啮合区，这一“伸手”动作就是触发条件，使“旋转齿轮”这一危险源转化为“手指被卷入”的危险事件。
判断方法：危险源识别与触发条件分析
- 危险源识别：依据ISO 12100附录B，从机械的各个生命周期阶段（运输、安装、操作、维护、拆除）出发，逐一识别能量源、运动部件、锋利边缘、高温/低温表面、压力容器、噪声、辐射等。
- 触发条件分析：对每个危险源，追问“什么情况下会变成伤害？”——包括人员接近、防护装置移除、控制系统失效、环境因素（潮湿、振动）等。
- 危险事件描述：采用“谁+做什么+导致什么”的句式，例如“操作员在更换刀具时未停机，手部接触旋转主轴，导致切割伤”。
案例拆解：冲压机危险事件链
| 要素 | 具体内容 |
|---|---|
| 危险源 | 冲压机滑块（下行动能约15kN），模具闭合区 |
| 触发条件 | 操作员双手伸入模具区调整工件，安全光幕被屏蔽（维修模式） |
| 危险事件 | 滑块意外下行，压伤操作员前臂 |
| 伤害后果 | 前臂骨折（严重度S2） |
该案例中，危险源（滑块）始终存在，但只有在“光幕被屏蔽”和“人员进入”两个条件同时满足时，危险事件才发生。这提示我们：风险削减不仅要控制危险源本身，更要切断触发条件的组合。
2.2 风险：概率与严重度的函数
核心原理：风险不是单一数值，而是多维度的综合度量
ISO 13849与IEC 61508均采用风险图（Risk Graph）或风险矩阵来评估风险等级。风险由三个核心参数决定：伤害严重度（S）、暴露频率/时长（F）、避免危险的可能性（P）。在IEC 61508中，还额外考虑危险事件发生概率（W）。风险削减的目标是将残余风险降低到可接受水平，而安全功能正是实现这一削减的核心手段。
判断方法：风险图评估流程
- S参数：S1=轻微伤害（可逆），S2=严重伤害（不可逆或死亡）。
- F参数：F1=很少暴露（≤1次/小时），F2=频繁暴露（>1次/小时）。
- P参数：P1=在特定条件下可能避免，P2=几乎不可能避免。
- W参数（IEC 61508）：W1=极低概率（<1次/10年），W2=低概率（1次/1~10年），W3=较高概率（>1次/年）。
通过组合S、F、P、W，可查表得到所需的安全完整性等级（SIL）或性能等级（PL）。例如，S2+F2+P2的组合在ISO 13849中通常对应PL d或PL e。
实战场景：注塑机风险评估
某注塑机合模区域存在挤压风险。评估参数如下：
- 伤害严重度S2（挤压可导致骨折或截肢）
- 暴露频率F2（操作员每循环需进入模具区取件，约2次/分钟）
- 避免可能性P2（合模速度0.5m/s，人员反应时间不足）
查ISO 13849风险图，该组合对应PL d。因此，安全功能（如安全门联锁+双通道监控）必须达到PL d等级，即每小时危险失效概率（PFHd）在1×10⁻⁷至1×10⁻⁶之间。若仅采用单通道继电器联锁（PL c），则风险削减不足，残余风险不可接受。
2.3 安全功能：风险削减的执行者
核心原理：安全功能是“检测-决策-响应”的闭环
安全功能（Safety Function）是由控制系统安全相关部件（SRP/CS）执行的具体动作，旨在将风险降低到可接受水平。一个完整的安全功能包含三个要素：传感器（检测危险条件）、逻辑单元（评估信号并做出决策）、执行器（执行安全动作）。例如，安全光幕（传感器）检测到人员进入危险区，PLC安全模块（逻辑）判断后，切断伺服驱动器电源（执行器），使机器停止。
操作流程：安全功能设计步骤
- 定义安全目标：明确该功能要防止的伤害类型（如“防止手部进入模具区”）。
- 选择传感器/执行器：根据响应时间、环境条件、安装方式选型。
- 确定安全架构：单通道、双通道、冗余、诊断覆盖等。
- 计算PFHd：根据组件失效率、诊断覆盖率、共因失效因子计算。
- 验证PL/SIL：通过FMEDA（失效模式影响与诊断分析）或简化公式验证。
案例拆解：安全门联锁功能
| 组件 | 选型 | 关键参数 |
|---|---|---|
| 传感器 | 安全门开关（双通道，正动作） | B10d=2×10⁶次，诊断覆盖率DC=99% |
| 逻辑 | 安全继电器模块 | PFHd=1×10⁻⁸/h |
| 执行器 | 接触器（强制导向） | B10d=1.3×10⁶次，DC=99% |
该安全功能的目标为PL d。通过计算，系统PFHd=2.5×10⁻⁷/h，满足PL d要求（1×10⁻⁷~1×10⁻⁶）。若将接触器更换为普通继电器（DC=90%），PFHd将升至8×10⁻⁷/h，仍勉强满足PL d，但余量不足，建议升级为双接触器冗余。
2.4 安全完整性：从“做”到“可靠地做”
核心原理：安全完整性是安全功能在要求时执行的概率
安全完整性（Safety Integrity）衡量的是安全功能在需要时能够正确执行的概率。它分为两个维度：硬件安全完整性（系统化失效控制）和系统安全完整性（随机硬件失效控制）。在ISO 13849中，用性能等级PL（a~e）表示；在IEC 61508中，用安全完整性等级SIL（1~4）表示。PL与SIL有对应关系：PL a≈无SIL，PL b≈SIL 1，PL c≈SIL 1，PL d≈SIL 2，PL e≈SIL 3。
判断方法：PFHd计算与等级确定
- PFHd（每小时危险失效概率）：PL d要求1×10⁻⁷~1×10⁻⁶，SIL 2要求1×10⁻⁷~1×10⁻⁶，两者一致。
- 结构约束：ISO 13849根据类别（B、1、2、3、4）和DC（诊断覆盖率）限制最高可达PL。例如，Category 3+DC≥90%最高可达PL d。
- 系统化能力：需满足避免系统性失效的措施（如使用经认证的组件、遵循安全生命周期流程）。
实战场景：安全PLC的SIL验证
某安全PLC宣称SIL 3，其PFHd=1×10⁻⁸/h，DC=99%，架构为双通道冗余（1oo2）。验证过程：
- 检查硬件失效裕度（HFT）：1oo2架构HFT=1，满足SIL 3要求。
- 计算共因失效因子β=5%（通过物理隔离和多样性实现）。
- 系统PFHd = 2×组件PFHd×(1-β)+β×组件PFHd ≈ 2.1×10⁻⁸/h，满足SIL 3。
- 确认系统化能力：该PLC通过TÜV认证，满足SC 3要求。
最终该安全PLC可用于SIL 3应用，但需注意：即使PLC满足SIL 3，外围传感器和执行器的SIL等级也必须匹配，否则整体安全功能仍受限于最低等级组件。
2.5 术语关系与常见误区
核心原理：五个术语构成完整的风险削减链条
危险源→危险事件→伤害，构成风险场景；风险量化后，安全功能被设计用于削减风险；安全完整性则确保安全功能在需要时可靠执行。这五个术语环环相扣，任何一环的缺失都会导致安全论证不完整。
常见误区对照表
| 误区 | 正确理解 |
|---|---|
| “风险=危险源” | 风险是概率与严重度的乘积，危险源只是风险的一个输入 |
| “安全功能=急停按钮” | 急停只是安全功能的一种，还包括联锁、光幕、限位、速度监控等 |
| “SIL 3比SIL 2好” | SIL等级应与风险削减需求匹配，过高导致成本浪费，过低则不安全 |
| “PL d就是SIL 2” | PL d对应SIL 2，但PL e对应SIL 3，且PL与SIL的架构约束不同 |
| “诊断覆盖率越高越好” | DC过高会增加复杂度，引入共因失效，需平衡 |
案例复盘：安全光幕选型失误
某包装线选用安全光幕，目标PL d。选型时仅关注光幕分辨率（14mm）和响应时间（10ms），未检查其PFHd。实际该光幕PFHd=5×10⁻⁶/h，仅满足PL c。安装后，安全功能实际性能等级为PL c，低于目标PL d。整改措施：更换为PFHd=1×10⁻⁷/h的光幕，并增加双通道监控。复盘教训：选型时必须同时验证PFHd、DC、架构和系统化能力，而非仅看功能参数。