3. 功能安全标准与Sigma合规依据
在Sigma系列伺服驱动器的安全功能集成中，工程师最常遇到的困惑不是“接线怎么接”，而是“为什么这样接就能达到PLd”。要回答这个问题，必须把三份标准放在同一张桌子上看：IEC 61800-5-2定义驱动器的安全功能本身，ISO 13849-1定义机械安全控制系统的性能等级，IEC 61508定义功能安全的通用框架与SIL等级。三者不是并列关系，而是“通用框架—机械实现—产品功能”的层层落地关系。
三份标准的分工与对应关系
IEC 61508是功能安全的“母标准”，它提出了安全生命周期、安全完整性等级（SIL1~SIL4）、硬件故障裕度（HFT）、安全失效分数（SFF）、诊断覆盖率（DC）等基础概念。Sigma安全功能中提到的SIL2，其评估方法、失效模式与诊断要求都源自IEC 61508。它回答的是“这个安全功能整体有多可靠”。
ISO 13849-1是机械领域的“实现标准”，它把安全功能拆解为输入、逻辑、输出三个部分，用类别（Cat.B、1、2、3、4）、MTTFd（平均危险失效时间）、DCavg（平均诊断覆盖率）、CCF（共因失效）四个参数计算性能等级PL。Sigma安全功能中常说的Cat.3、PLd，就是按这份标准评估的。它回答的是“这个安全回路在机械现场能达到什么等级”。
IEC 61800-5-2是“产品标准”，专门针对可调速电力驱动系统。它定义了STO、SS1、SS2、SOS、SLS、SDI、SSM等安全功能的具体行为、触发方式、响应时间和安全状态。Sigma的SGDV、SGD7S、Σ-7系列安全选件所声明的STO、SS1等功能，其功能定义和测试要求都来自这份标准。它回答的是“驱动器这个产品具体能做什么安全动作”。
三者的落地关系可以概括为：IEC 61508提供SIL2的评估框架，ISO 13849-1把框架转化为PLd/Cat.3的回路设计规则，IEC 61800-5-2把规则落到Sigma驱动器的STO/SS1等具体端子和功能上。工程中常见的“PLd/SIL2/Cat.3”并列写法，本质上是同一安全完整性水平在三个标准体系下的不同表达。
PLd、SIL2、Cat.3分别意味着什么
PLd是ISO 13849-1中的性能等级，表示“每小时危险失效概率”在10⁻⁷到10⁻⁶之间。达到PLd不是靠单一器件，而是靠结构、诊断和可靠性共同支撑。Cat.3是达到PLd最常用的结构类别，其核心要求是：安全功能具有冗余通道，且能检测部分故障；当单一故障发生时，安全功能不会丧失。注意Cat.3并不要求“任意故障都能检测”，而是要求“能检测到足够多的故障”，使PLd的评估成立。
SIL2是IEC 61508中的安全完整性等级，对应每小时危险失效概率10⁻⁷到10⁻⁶，与PLd在数值区间上高度重合。但SIL2的评估更强调系统性能力、安全手册、失效模式与诊断分析，适合复杂电子系统。Sigma安全选件在声明SIL2时，通常依据IEC 61508对安全相关子系统的要求，给出PFH（每小时危险失效概率）和架构约束。
Cat.3是结构类别，不是等级本身。一个Cat.3回路如果MTTFd低、DCavg低，最终可能只达到PLc。因此工程中不能把“用了双通道”直接等同于“达到PLd”。正确做法是：先确定所需PL，再按ISO 13849-1选择类别和参数，最后用Sigma安全功能实现该结构。
工程落地要求：从标准到端子接线
以Sigma Σ-7系列SGD7S的STO功能为例，落地过程可以按以下顺序展开。第一步，确定机械风险图要求的PL。假设某设备经风险评估需要PLd，则安全回路必须按Cat.3设计。第二步，选择安全输入结构。Sigma的STO通常使用两个独立安全输入通道（如/STO1、/STO2），对应双通道冗余。两个通道必须同时有效，驱动器才允许输出转矩；任一通道断开，STO动作，电机进入自由停车状态。
第三步，计算或确认回路参数。以常见配置为例：安全继电器采用双通道Cat.3结构，MTTFd取100年（高），DCavg取90%（中），CCF满足要求，则回路可达到PLd。若使用安全PLC，则需按IEC 61508的SIL2要求提供PFH数据，并确认安全响应时间满足设备停止距离要求。
第四步，验证响应时间。STO的响应时间直接影响安全距离。假设Sigma STO从输入断开到转矩关断的响应时间为10ms，安全继电器动作时间为20ms，则总响应时间约30ms。若电机以3000r/min运行，对应角速度约314rad/s，30ms内转过的角度约9.4rad，需据此校核防护距离。这个计算是工程落地中必须做的，不能只写“响应时间满足要求”。
第五步，接线与验证。STO输入通常采用双通道干接点或安全输出，接线时需注意：两个通道不能共用同一根电缆的同一对线，否则可能因单点短路导致共因失效；安全输入电源应与普通控制电源分开，避免普通电源故障影响安全通道。上电后，通过Sigma的辅助功能或安全诊断输出确认两个通道状态一致；人为断开一个通道，观察驱动器是否报安全故障并切断输出。
认证含义与文档要求
Sigma安全功能的认证含义需要区分“产品认证”和“系统认证”。产品认证指Sigma安全选件本身符合IEC 61800-5-2的STO/SS1等功能定义，并达到声明的SIL2/PLd能力。系统认证指整台设备的安全回路达到所需PL。前者是后者的基础，但不能替代后者。工程中必须保留：风险评估报告、安全功能清单、回路结构图、参数计算表、接线图、验证记录和Sigma安全手册。这些文档是PLd/SIL2/Cat.3落地的证据链，缺一不可。
最后需要强调：三份标准不是三套独立要求，而是同一安全目标的三种语言。IEC 61508说“要多可靠”，ISO 13849-1说“回路怎么搭”，IEC 61800-5-2说“Sigma怎么动”。工程师要做的，是把这三句话翻译成端子、参数、响应时间和验证记录。