2. 功能安全基础
在伺服功能安全验证与测试中，标准体系是设计、验证与验收的共同语言。伺服系统既要满足机械安全要求，又要满足电气/电子/可编程电子安全相关系统的功能安全要求，因此常同时涉及 IEC 61508、ISO 13849、IEC 62061 等标准。理解这些标准之间的关系，以及 SIL 与 PL 的定义和选择逻辑，是后续开展安全功能验证、确定测试覆盖率和判定验收准则的前提。
一、标准体系的分层与定位
IEC 61508 是功能安全的通用基础标准，适用于电气/电子/可编程电子安全相关系统，提出了安全生命周期、安全完整性等级（SIL）、硬件失效概率、系统能力、系统性失效控制等核心概念。它不针对某一具体行业，而是为行业标准提供方法论基础。
ISO 13849 面向机械安全控制系统的安全相关部件，强调性能等级（PL）和架构类别（Category），更贴近机械工程实践，适用于液压、气动、电气和可编程控制等实现方式。IEC 62061 则面向机械领域电气/电子/可编程电子安全相关系统，直接采用 SIL 概念，与 IEC 61508 衔接更紧密。
三者的关系可以概括为：IEC 61508 提供通用框架，ISO 13849 和 IEC 62061 是机械领域的两条落地路径。前者以 PL 表达安全性能，后者以 SIL 表达安全完整性。对于伺服驱动系统，若安全功能由驱动器和安全控制器共同实现，通常需要同时考虑 PL 与 SIL 的对应关系。
二、SIL 与 PL 的定义与量化基础
SIL 是安全完整性等级，用于描述安全相关系统在要求时成功执行安全功能的可信度。IEC 61508 将 SIL 分为 1 至 4 级，SIL 4 最高。其量化指标主要分为两类：低要求模式使用平均要求时失效概率 PFDavg，高要求模式或连续模式使用每小时危险失效概率 PFH。SIL 等级越高，允许的 PFH 越小。
PL 是性能等级，ISO 13849 将 PL 分为 a 至 e 五级，PL e 最高。PL 由架构类别、平均危险失效时间 MTTFd、诊断覆盖率 DC 和共因失效 CCF 共同决定。与 SIL 不同，PL 更强调控制系统的架构约束和部件可靠性，适合机械安全控制回路的整体评估。
两者都指向“危险失效概率”这一核心量，因此可以通过 PFH 区间建立近似对应关系。例如 PL d 通常对应 SIL 2 附近，PL e 通常对应 SIL 3 附近。但这种对应不是严格等价，因为 SIL 还涉及系统能力、安全生命周期和系统性失效控制，而 PL 更侧重架构与可靠性参数。
三、SIL/PL 的选择方法
选择 SIL 或 PL 的起点是风险评估。首先识别危险源、危险事件和可预见的伤害严重程度，然后确定风险降低目标。常用方法包括风险图法、风险矩阵法和 LOPA 保护层分析。风险图法通常考虑伤害严重程度 S、暴露频率 F、危险避免可能性 P，输出所需性能等级 PLr；IEC 62061 则通过严重度、暴露频率和避免可能性确定所需 SIL。
确定目标等级后，需要将安全功能分配到具体子系统，例如伺服驱动器、安全 PLC、安全继电器、编码器和机械制动器。每个子系统分别计算 PFH 或 PFDavg，再按串联结构合成整体安全功能的能力。若合成结果低于目标等级，则需要提高部件可靠性、增加冗余、提升诊断覆盖率或调整架构类别。
选择流程可归纳为：
- 风险评估，确定伤害严重程度、暴露频率和避免可能性；
- 确定所需性能等级 PLr 或所需安全完整性等级 SIL；
- 定义安全功能及其安全状态，例如 STO、SS1、SLS、SDI；
- 分解子系统并分配安全功能；
- 计算各子系统 PFH/PFDavg，合成整体能力；
- 与目标等级比较，必要时优化架构、冗余或诊断；
- 形成验证与测试要求，进入功能安全验证阶段。
四、伺服系统中的典型场景
以伺服驱动器的安全转矩取消 STO 功能为例。若风险评估要求 PL d，则安全链通常包括安全输入、安全逻辑处理、功率级关断路径和反馈诊断。驱动器内部需要满足相应架构类别和诊断覆盖率要求，外部安全继电器或安全 PLC 也需满足对应 PL。若采用 IEC 62061 路径，则目标可能是 SIL 2，需要计算整条安全链的 PFH。
再以安全限速 SLS 为例，该功能依赖编码器反馈、速度监控和安全控制逻辑。若编码器为单通道且诊断覆盖率低，则整体难以达到高等级；此时可采用双编码器、交叉比较或增加速度监控诊断。可见，SIL/PL 的选择不仅影响标准条款，也直接决定传感器、控制器和执行器的选型与测试深度。
| 对比维度 | ISO 13849（PL） | IEC 62061（SIL） | IEC 61508（SIL） |
|---|---|---|---|
| 适用范围 | 机械安全控制系统 | 机械领域 E/E/PE 安全系统 | 通用 E/E/PE 安全系统 |
| 等级表示 | PL a～e | SIL 1～3 | SIL 1～4 |
| 核心量化 | PFH、MTTFd、DC、CCF | PFH、PFDavg | PFH、PFDavg、SFF、HFT |
| 架构要求 | 类别 B、1、2、3、4 | 架构约束与系统能力 | 硬件容错、安全失效分数 |
| 典型应用 | 机械控制回路整体 | 机械电气安全功能 | 过程工业、通用安全系统 |
五、常见误区与复盘
误区一：把 PL 与 SIL 直接等同。PL d 与 SIL 2 在 PFH 区间上接近，但两者的评估方法、架构约束和文档要求不同，不能简单互换。
误区二：只关注部件等级，忽略整条安全链。即使驱动器达到 SIL 3，若传感器或执行器能力不足，整体安全功能仍可能不达标。
误区三：忽略共因失效和诊断覆盖率。冗余结构若存在共因失效，实际能力会明显下降；诊断覆盖率不足也会限制等级提升。
误区四：先选等级再补风险评估。正确顺序是先做风险评估，再确定目标等级，最后选择实现方案。
复盘时建议建立安全功能清单，逐项记录目标等级、实现架构、关键参数、计算依据和验证结论。对于伺服系统，还应特别关注 STO、SS1、SLS、SDI 等安全功能与驱动器参数的对应关系，确保标准要求、硬件能力、参数配置和测试结果形成闭环。
安全功能示例：STO
目标等级：PL d / SIL 2
安全链：安全输入 → 安全逻辑 → 驱动器关断 → 反馈诊断
关键参数：
MTTFd ≥ 30 年
DC ≥ 90%
CCF ≥ 65 分
PFH ≤ 1.0 × 10^-7 /h
验证要点：
1. 安全输入通道测试
2. 关断路径响应时间测试
3. 诊断覆盖率验证
4. 共因失效措施检查
5. 故障注入与恢复测试掌握标准体系与 SIL/PL 的定义和选择方法后，后续的验证与测试才有明确的目标和判定依据。对于伺服功能安全而言，标准不是抽象条文，而是贯穿风险评估、架构设计、参数计算、测试验证和文档追溯的工程主线。