📚 课程目录第2章机械安全与功能安全基础

2. 机械安全与功能安全基础

在安全运动控制工程中，机械安全与功能安全是两条并行但必须协同的防线。ISO 12100 解决的是“机器本身如何通过设计消除或降低风险”，ISO 13849 与 IEC 62061 解决的是“当风险必须依靠控制系统来降低时，这个控制系统需要达到多高的可信度”。理解这三项标准的分工与衔接，是后续设计安全功能、确定 PL/SIL 等级、配置安全驱动器与安全 PLC 的前提。

一、ISO 12100：风险评价与风险减小的总框架

ISO 12100 是机械安全的顶层标准，它不规定具体的安全距离或电路结构，而是给出一个方法论：先识别危险，再评价风险，最后通过“三步法”减小风险。三步法的顺序不可颠倒：

本质安全设计：通过改变机器结构或运动方式消除危险。例如把冲压机的合模区域改为小开口模具，使手无法进入；或把高速旋转轴改为低速直驱，降低卷入能量。
安全防护与补充保护措施：当本质安全设计无法完全消除危险时，加装固定防护罩、联锁门、光幕、安全地毯等。
使用信息：在前两步仍不能消除的剩余风险上，通过警示标识、培训、维护手册告知用户。

风险评价的核心是确定“风险大小”，它由伤害的严重程度 S、暴露频率与持续时间 F、避免伤害的可能性 P 三个参数共同决定。这个 S-F-P 逻辑正是 ISO 13849 中确定所需性能等级 PLr 的输入。换句话说，ISO 12100 回答“需要降低多少风险”，ISO 13849 回答“控制系统要有多可靠才能把风险降到可接受水平”。

在 Rexroth 安全运动控制项目中，风险评价通常在机器设计阶段完成，输出一份“安全功能清单”，每条功能标注 S、F、P 以及对应的 PLr 或 SIL 要求。这份清单是后续选型安全编码器、安全驱动器和安全 PLC 的直接依据。

二、ISO 13849：面向机械控制系统的性能等级

ISO 13849-1 是机械领域最常用的功能安全标准，核心概念是性能等级 PL，分为 a 到 e 五级，PL e 最高。每条安全功能需要先确定所需的 PLr，再通过设计证明实际达到的 PL 不低于 PLr。

PL 由四个参数共同决定：

类别 Cat.：B、1、2、3、4，描述结构冗余与诊断能力。Cat.3 要求双通道且能检测单通道故障；Cat.4 要求双通道且能检测累积故障。
MTTFd：危险失效平均时间，反映元件可靠性，单位年。单通道 MTTFd 通常要求 30 年以上才能支撑高 PL。
DCavg：平均诊断覆盖率，反映系统发现故障的能力。DCavg 越高，单通道故障被及时暴露的概率越大。
CCF：共因失效，要求双通道之间采取独立供电、独立信号路径、不同技术等抗共因措施，通常需满足 65 分以上的检查表。

以一条“安全门打开时停止伺服轴”的功能为例：若风险评价给出 PLr = d，则可采用 Cat.3、MTTFd = 30 年、DCavg = 90%、CCF ≥ 65 分的双通道架构。实际工程中，安全门锁开关接安全 PLC 的双通道输入，安全 PLC 通过 PROFIsafe 向 Rexroth 安全驱动器发送 STO 请求，驱动器切断电机转矩。这条链路中每个环节的 MTTFd、DC 和 Cat. 都要分别核算，再按标准中的合并方法得到整条功能的 PL。

三、IEC 62061：面向电气/电子/可编程系统的 SIL

IEC 62061 是面向电气、电子和可编程电子系统的功能安全标准，核心概念是安全完整性等级 SIL，分为 SIL 1 到 SIL 3。它与 ISO 13849 的目标一致，但方法论不同：IEC 62061 使用 PFHd（每小时危险失效概率）来量化，SIL 3 要求 PFHd 在 10⁻⁸ 到 10⁻⁷ 之间。

IEC 62061 更强调系统化能力、硬件容错 HFT、安全失效分数 SFF 和架构约束。对于复杂可编程系统，如安全 PLC、安全总线、安全驱动器固件，IEC 62061 的 PFHd 计算和系统化能力要求往往比 ISO 13849 的类别法更严格。因此，当安全功能涉及复杂电子或软件时，IEC 62061 常作为补充或替代路径。

两项标准并非互斥。ISO 13849 更适合机械液压、气动、简单电气和少量电子组成的系统；IEC 62061 更适合以可编程电子为主的安全控制系统。在 Rexroth 安全运动控制中，安全 PLC 和安全驱动器的安全功能通常同时声明 PL e 和 SIL 3，设计者可根据项目习惯选择一条主线，但必须保证整条安全功能链的等级一致。

四、与运动控制的关联：从风险到轴的安全状态

运动控制的安全功能最终要落到“轴的行为”上。常见的安全功能包括：

STO（安全转矩取消）：切断电机转矩，轴自由停车。对应 PL e / SIL 3 时，通常采用双通道切断驱动级。
SS1（安全停止 1）：先按斜坡减速，再触发 STO。适用于需要可控减速的高惯量轴。
SLS（安全限速）：监控轴速不超过设定值，超速时触发安全反应。
SBC（安全制动控制）：控制抱闸的释放与闭合，防止重力轴下坠。

这些功能在 Rexroth 的 IndraDrive 或 ctrlX Drive 中通过安全选件实现，安全 PLC 通过 PROFIsafe 或 FSoE 下发请求，驱动器内部双通道监控实际速度、位置和转矩。设计时，必须把 ISO 12100 的风险评价结果、ISO 13849 的 PLr 或 IEC 62061 的 SIL 要求，逐条映射到具体的安全功能和硬件链路上。

五、工程落地的关键判断

在实际项目中，最容易出问题的不是单个元件的等级，而是整条链路的等级一致性。例如安全门锁达到 PL e，安全 PLC 达到 PL e，但安全驱动器的 STO 输入如果只按 PL d 设计，整条功能就只能按 PL d 使用。因此，设计时必须逐环节核对：

传感器：门锁、光幕、急停按钮的 Cat.、MTTFd、DC；
逻辑：安全 PLC 的 Cat.、PFHd、系统化能力；
执行：安全驱动器的 STO/SS1/SLS 通道结构、诊断覆盖率；
通信：PROFIsafe 或 FSoE 的黑通道时间、CRC、看门狗。

另一个常见问题是共因失效。双通道如果共用同一电源、同一接插件、同一电缆，CCF 评分会不足，实际 PL 会被拉低。Rexroth 安全驱动器的双通道 STO 通常要求两路 24V 独立供电、独立接线，并在调试时验证单路断开仍能安全停车。

风险评价不是一次性工作。当机器改造、增加新轴、提高速度或改变工艺时，必须重新评价 S、F、P，并确认原有 PLr 或 SILr 是否仍然成立。安全运动控制系统的参数变更，如 SLS 限速值、SS1 减速斜坡，也必须纳入变更管理。

总结来看，ISO 12100 给出风险减小的逻辑顺序，ISO 13849 和 IEC 62061 给出控制系统可信度的量化方法，而运动控制的安全功能是把这些要求落到轴上的最终手段。三者形成“风险评价—等级确定—功能实现—验证确认”的闭环，缺一不可。