3. 安全功能与安全等级基础

在FANUC机器人DCS工程中，安全功能不是“把某个信号接到安全IO上”这么简单。它必须回答三个问题：要防什么风险、由什么安全功能来防、这个功能要做到多可靠。前两个问题由风险评价与安全功能定义解决，第三个问题由ISO 13849或IEC 62061给出的性能等级（PL）或安全完整性等级（SIL）来量化。理解这两套标准的关系，是后续DCS参数配置、安全IO接线与验证测试的理论基础。

一、两套标准的分工与对应关系

ISO 13849-1 面向机械安全控制系统的性能等级（Performance Level, PL），用 a 到 e 五级表示，PLd、PLe 是机器人工作站中最常见的两档。IEC 62061 面向电气/电子/可编程电子安全相关系统，用 SIL1～SIL3 表示安全完整性等级。两者目标一致——量化安全功能在需要时执行其功能的可靠性，但计算路径不同：ISO 13849 用类别（Category）、MTTFd、DCavg、CCF 四个参数查表得到 PL；IEC 62061 用 PFHd（每小时危险失效概率）与结构约束、安全失效分数计算 SIL。

工程上常用的近似对应关系是：PLd 约对应 SIL2，PLe 约对应 SIL3。这个对应不是数学等价，而是可靠性量级上的可比：PLd 要求 PFHd 在 10⁻⁷～10⁻⁶ /h 量级，PLe 要求 10⁻⁸～10⁻⁷ /h 量级。FANUC DCS 的安全功能（如安全速度、安全区域、安全停止）通常按 PLd/SIL2 设计，高风险场合（如人机协作无围栏、大惯量重载）会要求 PLe/SIL3。

二、安全功能的定义方法

安全功能必须写成“触发条件 + 安全响应 + 复位方式”三要素齐全的句子，否则无法验证。以FANUC机器人的安全门功能为例：

• 触发条件：安全门被打开，门锁开关双通道信号由 (1,1) 变为 (0,1) 或 (0,0)，差异时间超过 0.5 s 即判为故障。
• 安全响应：机器人进入安全停止（SS），伺服使能断开，停止类别为 Cat1（先减速后断使能），停止时间 ≤ 0.3 s。
• 复位方式：门关闭并确认无人后，按复位按钮，DCS 安全信号恢复，需手动重新使能伺服。

再如安全速度功能：当机器人处于协作区域时，TCP 速度被限制在 250 mm/s 以内；若速度超过阈值，DCS 触发安全停止。这里“250 mm/s”是安全需求分配下来的具体参数，必须写入安全功能规格书，并在验证时用示波器或 DCS 监控界面实测确认。

三、风险评价与安全需求分配

风险评价常用 ISO 12100 的流程：确定机械限制 → 识别危险 → 估计风险 → 评价风险。对机器人工作站，典型危险包括：

安全需求分配就是把上表每一行的“要求等级”落到具体硬件与参数上。例如“安全区域 + 安全停止”要求 PLd，则 DCS 安全输入必须采用双通道，两个通道的 PLC 或安全继电器需交叉监控，诊断覆盖率 DCavg 至少达到 90%（中等级），MTTFd 至少 30 年（高等级），并满足 CCF 评分 ≥ 65 分。这些数值不是拍脑袋，而是查 ISO 13849-1 附录 K 的 PL 计算表得到的。

四、PLd 与 PLe、SIL2 与 SIL3 的工程差异

PLd 与 PLe 的差别不只是数字。PLd 允许单通道加诊断（Cat3），而 PLe 通常要求 Cat4，即双通道且任一通道故障时仍能保持安全功能。在 DCS 中，这意味着：PLd 场合可以用一个安全继电器加反馈监控；PLe 场合必须两个安全继电器串联或采用安全 PLC 的冗余输出，且两个通道的软件版本、参数必须一致，任何参数修改都要双通道同步写入并校验。

SIL2 与 SIL3 的差异体现在 PFHd 目标值：SIL2 为 10⁻⁷～10⁻⁶ /h，SIL3 为 10⁻⁸～10⁻⁷ /h。对 FANUC DCS，SIL3 通常需要安全 PLC 达到相应认证，且安全功能响应时间要纳入计算。例如安全停止总响应时间 = 输入滤波时间 + DCS 处理时间 + 输出继电器动作时间 + 伺服断电时间。若总响应时间超过风险评价中假设的“人员到达危险区时间”，则即使 PL/SIL 达标，功能仍然无效。

五、从标准到 DCS 参数的落地检查

完成风险评价与等级分配后，进入 DCS 配置前应确认以下内容：安全功能清单是否每条都有触发条件、响应、复位；每条功能的 PLr/SILr 是否明确；所选安全输入/输出模块的 PL/SIL 认证是否覆盖要求；双通道差异时间、复位逻辑、停止类别是否与风险评价假设一致；验证测试是否包含故障注入（如断开一路通道，观察是否安全停止）。只有这些闭环，DCS 的安全参数才不是“看起来安全”，而是可证明的安全。