📚 课程目录第2章标准概述

标准概述：ISO 18497系列及其他相关标准（如ISO 25119、ISO 13849）的适用范围、核心术语和定义

农业机械的自动化和自主运行系统，其安全性的保障并非依赖单一标准，而是由一组相互关联、层级分明的标准体系共同支撑。ISO 18497系列作为专门针对农业机械自主运行安全的核心标准，与功能安全基础标准ISO 25119（农业机械功能安全）和ISO 13849（控制系统安全相关部件）形成了“专用—领域—通用”的三角支撑关系。理解这三者的适用范围、核心术语和逻辑衔接，是开展任何自主农机安全设计与评估工作的前提。本章将系统梳理这一标准体系的边界与内涵，帮助学员建立清晰的标准地图。

上图展示了农业机械自动化与自主运行安全标准体系的层级关系。ISO 18497系列位于最顶层，直接针对农业机械的自主运行功能提出安全要求；ISO 25119和ISO 13849则分别从功能安全管理和控制系统部件层面提供支撑。三者共同根植于IEC 61508这一功能安全基础标准之上。在实际工程应用中，设计人员需要同时考虑这三个标准的协同作用，而非孤立地执行某一个标准。

一、ISO 18497系列：自主运行农机的专用安全标准

1. 核心原理与适用范围

ISO 18497系列标准（目前包括ISO 18497-1:2024《农业机械和拖拉机——自动化和自主运行系统安全——第1部分：术语和通用原则》以及正在制定中的后续部分）是专门针对农业机械自动化和自主运行系统的安全标准。其适用范围涵盖：在农业作业环境中，能够实现完全自主运行（无需操作员持续监督）或部分自主运行（操作员在特定阶段介入）的拖拉机、收获机械、植保机械、耕作机械等各类农业装备。

该标准的核心安全理念是“风险驱动的功能安全分配”。它要求制造商在设计和验证自主运行系统时，必须系统性地识别所有潜在危险场景（包括正常作业、故障状态、环境变化、人为误操作等），并针对每个危险场景分配相应的安全功能。这些安全功能需要达到特定的性能等级，且必须经过验证和确认。

关键要点：ISO 18497-1:2024明确将“自主运行”定义为“在特定运行区域内，系统能够在没有操作员直接干预的情况下完成全部或部分作业任务”。这一定义区分了“自动化”（如自动导航辅助）与“自主运行”（如完全无人驾驶作业）的本质差异。标准要求自主运行系统必须具备“安全状态”定义能力——即在任何可预见的故障或异常情况下，系统能够自动进入一个安全状态（如停止作业、降低速度、返回起始点等）。

2. 核心术语与定义

术语	定义	工程意义
自主运行系统（Autonomous Operation System）	能够在无操作员直接干预下完成作业任务的系统	系统设计边界与安全责任的界定
安全状态（Safe State）	系统在故障或异常情况下能够达到的、不会对人员或环境造成不可接受风险的状态	安全功能设计的最终目标
运行区域（Operational Area）	系统被授权自主运行的物理空间范围	环境感知与边界控制的关键参数
监督员（Supervisor）	在自主运行期间负责监控系统状态并能在必要时介入的人员	人机交互界面的设计依据
危险事件（Hazardous Event）	可能导致人员伤害或财产损失的事件组合	风险评估的基本单元
安全功能（Safety Function）	由系统执行的、用于降低风险的功能	功能安全分配的对象

3. 判断方法与操作流程

在实际应用中，判断一个自主农机系统是否符合ISO 18497的要求，需要遵循以下操作流程：

场景定义：明确系统的预期运行场景（如田间作业、道路转移、机库停放等），并列出每个场景下的边界条件（如速度范围、地形条件、天气限制等）。
危险识别：采用HAZOP（危险与可操作性分析）或STPA（系统理论过程分析）方法，系统性地识别所有可能的危险事件。重点关注：碰撞风险（与人员、动物、障碍物）、倾翻风险、卷入风险、非预期启动风险等。
风险评估：根据ISO 25119或ISO 13849提供的风险参数（伤害严重度、暴露频率、避免可能性），对每个危险事件进行风险等级评定。
安全功能分配：针对每个需要降低的风险，分配相应的安全功能（如紧急停止、障碍物检测、速度限制、区域边界控制等），并确定每个安全功能所需的性能等级（PLr或AgPL）。
验证与确认：通过测试、仿真、分析等手段，验证安全功能是否达到要求的性能等级，并确认在真实场景中能够有效降低风险。

4. 案例拆解：无人驾驶收获机的安全功能设计

以某型无人驾驶谷物联合收获机为例，其自主运行系统需要满足ISO 18497-1的要求。设计团队首先定义了三个主要运行场景：田间收获作业（速度≤8km/h）、地头转弯（速度≤3km/h）、道路转移（速度≤15km/h，需人工监督）。通过STPA分析，识别出12个危险事件，其中碰撞风险被评定为最高风险等级。

针对碰撞风险，设计团队分配了以下安全功能：①前向障碍物检测（采用毫米波雷达+视觉融合，要求PLr=d）；②侧向人员检测（采用超声波传感器阵列，要求PLr=c）；③紧急制动功能（采用双回路液压制动，要求PLr=e）；④安全距离保持（采用GPS+惯性导航，要求PLr=d）。每个安全功能都按照ISO 25119规定的开发流程进行设计，并采用ISO 13849规定的Category 3架构（冗余+监控）。

在验证阶段，团队进行了超过2000小时的田间测试，包括模拟故障注入测试（如传感器失效、通信中断、执行器卡滞等）。测试结果显示，紧急制动功能在50ms内能够完全停车，满足PLr=e的性能要求。但同时也发现，在极端扬尘条件下，视觉传感器的检测距离会下降30%，导致安全距离保持功能降级。为此，团队增加了激光雷达作为冗余传感器，并将传感器融合策略调整为“多传感器交叉验证”模式。

风险提示：ISO 18497-1:2024特别强调“安全功能降级”的处理原则。当系统检测到某个安全功能无法达到其设计性能时，必须自动进入降级模式（如降低作业速度、缩小运行区域）或安全状态。不允许在安全功能失效的情况下继续自主运行。上述案例中，视觉传感器性能下降后，系统自动将最大作业速度从8km/h降至4km/h，并增加了与障碍物的最小安全距离。

二、ISO 25119：农业机械功能安全的领域标准

1. 核心原理与适用范围

ISO 25119（农业机械和拖拉机——控制系统安全相关部件）是IEC 61508在农业机械领域的具体实施标准。它规定了农业机械控制系统安全相关部件的全生命周期开发要求，包括需求分析、设计、实现、验证、确认、生产、运行和维护等各个阶段。该标准适用于所有涉及安全功能的农业机械控制系统，无论是传统的液压机械控制还是现代的电子控制系统。

ISO 25119的核心贡献在于将IEC 61508的通用功能安全要求“翻译”为农业机械领域的可操作规范。它引入了“农业机械性能等级”（AgPL，Agricultural Performance Level）的概念，替代了IEC 61508中的安全完整性等级（SIL）。AgPL分为a、b、c、d、e五个等级，其中e为最高等级。每个等级对应不同的风险降低能力和架构要求。

2. 核心术语与定义

术语	定义	与ISO 13849的对应关系
AgPL（农业机械性能等级）	控制系统安全相关部件在降低风险方面的能力等级	对应PL（性能等级）
安全相关部件（SRP/CS）	执行安全功能的控制系统部件	与ISO 13849定义一致
安全功能需求规格（SFRS）	对安全功能的行为、性能、接口的完整描述	对应ISO 13849的安全功能定义
系统化能力（SC）	组织在开发安全相关系统时的管理能力	对应ISO 13849的Systematic Capability
共因失效（CCF）	由单一原因导致多个独立部件同时失效的事件	与ISO 13849的CCF要求一致

3. 判断方法与操作流程

在自主农机项目中应用ISO 25119，需要遵循以下关键流程：

安全生命周期定义：明确从概念设计到退役的各个阶段，每个阶段需要完成的活动和产出物。
危险分析和风险评估：采用标准附录A提供的风险图方法，确定每个危险事件所需的AgPL等级。
安全功能分配：将安全需求分配给硬件、软件、液压、气动等不同技术领域。
系统设计：根据AgPL等级选择适当的架构（如单通道、双通道、冗余等），并满足相应的诊断覆盖率（DC）和共因失效（CCF）要求。
硬件和软件开发：硬件开发需满足失效率目标（如PFHd值），软件开发需遵循V模型并满足系统化能力要求。
验证和确认：包括单元测试、集成测试、系统测试、现场验证等。

4. 案例拆解：自主植保无人机的AgPL分配

以某型自主植保无人机为例，其安全功能包括：避障功能（AgPL=c）、断桨保护（AgPL=d）、电量不足自动返航（AgPL=b）、喷洒系统异常停机（AgPL=a）。设计团队按照ISO 25119的风险图方法，对每个安全功能进行了AgPL等级评定。

以断桨保护功能为例，其风险参数为：伤害严重度S2（可能导致严重伤害）、暴露频率F2（每次飞行都可能发生）、避免可能性P2（几乎无法避免）。查风险图得到所需AgPL=d。为实现AgPL=d，设计团队采用了双IMU（惯性测量单元）+双GPS的冗余架构，并配置了看门狗定时器。诊断覆盖率要求≥90%，共因失效分析显示两个IMU的供电电路需要完全独立。

在软件开发方面，断桨保护算法采用了“模型在环（MIL）—软件在环（SIL）—硬件在环（HIL）”的验证流程。MIL阶段验证算法逻辑正确性，SIL阶段验证代码实现与模型的一致性，HIL阶段验证控制器与真实传感器的交互。整个开发过程共发现并修复了23个软件缺陷，其中3个可能导致误触发断桨保护。

经验提醒：ISO 25119与ISO 13849在AgPL和PL的对应关系上并非完全等同。虽然两者都采用a-e五个等级，但ISO 25119的AgPL更强调农业机械的特殊工况（如振动、粉尘、温度变化、电磁干扰等）。在将ISO 13849设计的部件用于农业机械时，必须额外考虑这些环境因素对部件可靠性的影响。例如，一个在工业环境中达到PL=d的传感器，在农业粉尘环境下可能需要降级使用或增加防护措施。

三、ISO 13849：控制系统安全相关部件的通用标准

1. 核心原理与适用范围

ISO 13849（机械安全——控制系统安全相关部件）是适用于所有机械领域的通用功能安全标准。它提供了控制系统安全相关部件（SRP/CS）的设计原则和验证方法。该标准的核心是“性能等级”（PL，Performance Level）概念，PL分为a、b、c、d、e五个等级，每个等级对应不同的每小时危险失效概率（PFHd）。

ISO 13849的适用范围非常广泛，从简单的单通道安全回路（如急停按钮+接触器）到复杂的可编程电子系统（如安全PLC）都在其覆盖范围内。对于自主农机而言，ISO 13849主要应用于那些相对独立的安全功能部件，如安全传感器、安全控制器、安全执行器等。

2. 核心术语与定义

术语	定义	关键参数
PL（性能等级）	控制系统安全相关部件在降低风险方面的能力	PL a-e，对应PFHd 10⁻⁵~10⁻⁸
Category（类别）	系统架构的分类，B、1、2、3、4	决定系统容错能力和诊断能力
DC（诊断覆盖率）	检测到的危险失效比例	DCavg 60%~99%
MTTFd（平均危险失效时间）	部件在危险失效前的平均工作时间	低、中、高三档
CCF（共因失效）	单一原因导致多个部件同时失效	需满足评分表≥65分
PFHd（每小时危险失效概率）	系统每小时发生危险失效的概率	PL e要求PFHd < 10⁻⁷

3. 判断方法与操作流程

在自主农机项目中应用ISO 13849，通常遵循以下步骤：

确定所需PL（PLr）：通过风险评估确定每个安全功能所需的PL等级。
选择架构类别：根据PLr选择适当的Category（B、1、2、3、4）。Category 3和4通常用于高PL要求的安全功能。
计算PFHd：根据各部件的MTTFd、DC、CCF等参数，计算整个安全功能的PFHd值。
验证PL：将计算得到的PFHd与PLr对应的PFHd范围进行比较，确认是否满足要求。
软件安全要求：对于包含软件的安全功能，需满足标准中关于软件安全要求的规定（如避免失效的系统化能力）。

4. 案例拆解：自主拖拉机紧急停止系统的PL验证

以自主拖拉机的紧急停止（E-stop）系统为例，其安全功能为“当操作员按下急停按钮或检测到人员进入危险区域时，系统在100ms内停止所有运动部件”。风险评估确定该功能需要PLr=e。

设计团队选择了Category 4架构：双通道急停按钮（每个通道独立）+双通道安全继电器+双通道制动执行器。每个通道的MTTFd均为高（≥30年），DCavg=99%（通过交叉监控实现）。根据ISO 13849的计算公式，该系统的PFHd计算如下：

PFHd = (1-DC1)/MTTFd1 + (1-DC2)/MTTFd2 + ... 
     = (1-0.99)/30 + (1-0.99)/30 + (1-0.99)/30
     = 0.001/30 × 3
     = 1.0 × 10⁻⁴ / 年
     ≈ 1.14 × 10⁻⁸ / 小时

计算得到的PFHd为1.14×10⁻⁸，满足PL e的要求（PFHd < 10⁻⁷）。但设计团队发现，如果使用单通道急停按钮（Category 1架构），PFHd将变为3.3×10⁻⁶，仅满足PL c的要求。这充分说明了架构选择对安全性能的决定性影响。

常见误区：许多设计人员误以为只要使用了“安全认证”的部件（如安全PLC、安全传感器），整个系统的PL就自动达到要求。实际上，ISO 13849要求的是整个安全功能的PL验证，包括传感器、逻辑控制器、执行器以及它们之间的连接。任何一个环节的失效都会影响整体PL。此外，CCF（共因失效）是导致冗余系统失效的主要原因，必须通过物理隔离、多样化设计、独立供电等措施来控制。

四、标准间的协同与衔接

1. 标准关系矩阵

维度	ISO 18497	ISO 25119	ISO 13849
定位	专用标准（自主农机）	领域标准（农机功能安全）	通用标准（机械安全）
核心概念	自主运行、安全状态、运行区域	AgPL、安全生命周期、系统化能力	PL、Category、DC、MTTFd
适用范围	自主运行系统整体	所有农机控制系统	所有机械的控制系统
主要输出	安全需求规格、验证确认报告	功能安全管理计划、安全案例	PL验证计算书、架构设计文档
与其他标准关系	引用ISO 25119和ISO 13849	引用ISO 13849作为部件设计依据	独立使用，也可被其他标准引用

2. 实际应用中的协同策略

在自主农机项目中，三个标准的协同应用可以概括为“自上而下分解，自下而上验证”的策略：

顶层设计（ISO 18497）：定义自主运行系统的安全目标、运行场景、安全状态和整体验证要求。
功能分配（ISO 25119）：将安全目标分解为具体的安全功能，确定每个功能的AgPL等级，并规划安全生命周期活动。
部件实现（ISO 13849）：针对每个安全功能，设计具体的控制架构（Category），选择安全部件，计算PL并验证。
集成验证（ISO 18497）：将各个安全功能集成到自主运行系统中，进行整体验证和确认，包括故障注入测试、场景测试、长期可靠性测试等。

3. 常见误区与总结复盘

误区一：认为ISO 18497可以完全替代ISO 25119和ISO 13849。实际上，ISO 18497主要关注“做什么”（安全目标和验证要求），而ISO 25119和ISO 13849解决“怎么做”（开发流程和部件设计）。三者缺一不可。

误区二：混淆AgPL和PL的概念。虽然两者等级划分相似，但AgPL是ISO 25119针对农业机械的特殊要求，考虑了农机特有的环境因素和操作模式。在将ISO 13849设计的部件用于农机时，需要重新评估其是否满足AgPL要求。

误区三：忽视标准的版本更新。ISO 18497-1:2024是最新版本，与早期草案相比，在“安全状态”定义、验证方法、人机交互要求等方面有显著变化。设计人员必须使用最新版本的标准。

总结复盘：本章系统梳理了ISO 18497系列、ISO 25119和ISO 13849三个标准的适用范围、核心术语和相互关系。在实际工作中，建议设计团队建立“标准映射矩阵”，将每个安全需求映射到对应的标准条款，确保没有遗漏。同时，建议在项目启动阶段就进行标准差距分析，明确哪些标准条款需要裁剪、哪些需要补充内部规范。对于自主农机这一新兴领域，标准仍在持续演进中，设计人员需要保持对标准动态的关注，并积极参与标准制定工作，推动行业健康发展。