📚 课程目录第3章安全基础概念

3、安全基础概念：功能安全标准（IEC 61508、ISO 13849）、安全完整性等级（SIL）、性能等级（PL）及安全生命周期

在工业自动化与远程IO系统设计中，功能安全不再是可选项，而是法律与伦理的双重底线。无论是化工装置的紧急停车系统（ESD）、燃气轮机的保护逻辑，还是机器人工作站的区域联锁，其核心都指向一个共同问题：当系统发生故障或外部干扰时，如何确保设备进入安全状态，且不危及人员与资产。本章将围绕功能安全的三大支柱——标准体系（IEC 61508 / ISO 13849）、量化指标（SIL / PL）以及全生命周期管理——展开系统化讲解，帮助你在远程IO架构中正确落地安全要求。

上图展示了功能安全知识体系的整体框架。标准体系提供方法论与合规要求，量化指标将安全目标转化为可计算的失效概率，而安全生命周期则规定了从概念到退役的每个阶段必须执行的活动。远程IO系统作为安全功能链路的物理载体，其设计必须同时满足这三方面的约束。下面我们逐一深入。

3.1 核心原理：两大标准体系的定位与互补

IEC 61508是功能安全的“母标准”，覆盖电气/电子/可编程电子系统（E/E/PE）的整个生命周期。它提出了安全完整性等级（SIL）的概念，并将安全功能划分为四个等级（SIL 1~4），每个等级对应不同的失效概率范围。IEC 61508 适用于过程工业（如石化、电力）、铁路、医疗等广泛领域，是其他行业标准（如 IEC 61511 过程工业、IEC 62061 机械）的顶层参考。

ISO 13849则专门针对机械安全领域，采用性能等级（PL a~e）作为量化指标。它更强调机械系统的结构特征，如类别（B、1、2、3、4）、平均危险失效前时间（MTTFd）、诊断覆盖率（DC）和共因失效（CCF）等参数。ISO 13849 与 IEC 62061 在机械安全领域互为补充，前者偏向气动/液压/电气简单系统，后者偏向复杂的可编程电子系统。

在实际远程IO项目中，选择标准取决于目标市场与设备类型。例如，出口欧洲的包装机械通常要求满足 ISO 13849 的 PL d 或 PL e；而化工装置的安全仪表系统（SIS）则必须遵循 IEC 61508/61511 的 SIL 2 或 SIL 3 要求。值得注意的是，IEC 62061 与 ISO 13849 在2015年后实现了技术对齐，PL d 大致对应 SIL 2，PL e 对应 SIL 3，但两者在计算方法和结构约束上仍有差异。

对比维度	IEC 61508	ISO 13849
适用范围	通用工业（E/E/PE）	机械安全（含气动/液压）
量化指标	SIL 1~4	PL a~e
核心参数	PFH/PFD、SFF、硬件容错	MTTFd、DC、类别、CCF
结构约束	冗余度与诊断覆盖率矩阵	类别（B~4）决定架构
典型应用	过程安全、ESD、F&G	机器人、包装、机床
对应关系	SIL 2 ≈ PL d	SIL 3 ≈ PL e

3.2 判断方法：如何确定目标 SIL 或 PL 等级

确定安全完整性等级不是拍脑袋，而是基于风险分析的系统化过程。常用方法包括风险图法（Risk Graph）、危险与可操作性分析（HAZOP）以及保护层分析（LOPA）。以机械安全为例，ISO 13849 的风险图考虑三个维度：伤害严重度（S）、暴露频率/时间（F）和避免危险的可能性（P）。

伤害严重度（S）：S1=轻伤（可逆），S2=重伤（不可逆或死亡）。
暴露频率（F）：F1=偶尔暴露，F2=频繁/持续暴露。
避免可能性（P）：P1=在特定条件下可能避免，P2=几乎不可能避免。

根据组合查表得到 PL 等级。例如，S2 + F2 + P2 通常要求 PL e（最高等级）。对于过程工业，LOPA 方法通过计算保护层的风险降低因子，确定所需的 SIL 等级。假设某反应釜超压事故频率为 0.1 次/年，可接受风险为 10⁻⁵ 次/年，则所需总风险降低因子为 10⁴。若基础工艺设计已提供 10² 的降低，则安全仪表系统需提供 10² 的降低，对应 SIL 2（PFH 10⁻⁷~10⁻⁶）。

  实战提示：在远程IO项目中，不要仅依赖标准表格。务必结合具体工艺条件、操作模式和维护能力进行修正。例如，如果安全功能在低需求模式下运行（每年请求次数≤1），应使用 PFDavg 指标；高需求模式（>1次/年）则使用 PFH 指标。远程IO的通信延迟和故障注入测试结果也应纳入 PFH 计算。

3.3 案例拆解：远程IO安全链路的 SIL 2 设计实战

某化工厂的紧急停车系统（ESD）需要升级，原方案采用硬接线继电器逻辑，现改为基于 PROFIsafe 的远程IO架构。系统要求：安全功能“反应釜超温联锁”达到 SIL 2，安全响应时间≤200ms。

初始条件与约束：

现场温度变送器（4-20mA）→ 安全栅 → 远程IO安全模拟量输入模块（F-AI）
远程IO站通过 PROFIsafe 协议与安全PLC（F-PLC）通信
F-PLC 执行比较逻辑，输出至远程IO安全数字量输出模块（F-DO）→ 切断蒸汽阀
现有网络为星型拓扑，交换机支持优先调度

关键参数计算：

PFH(F-AI) = 2.0 × 10⁻⁷ / h
PFH(F-DO) = 1.5 × 10⁻⁷ / h
PFH(F-PLC) = 1.0 × 10⁻⁷ / h
PFH(通信) = 0.5 × 10⁻⁷ / h（含黑通道冗余）
总 PFH = (2.0+1.5+1.0+0.5) × 10⁻⁷ = 5.0 × 10⁻⁷ / h
SIL 2 要求 PFH 范围：10⁻⁷ ~ 10⁻⁶ / h → 满足

分析判断过程：虽然总 PFH 满足 SIL 2，但需检查结构约束。F-AI 采用 1oo2 冗余结构，SFF=95%，DC=98%；F-DO 采用 2oo2 结构，SFF=90%。根据 IEC 61508 硬件容错表，SIL 2 要求硬件容错≥1（冗余），且 SFF≥90%。本设计满足要求。通信部分采用 PROFIsafe 的 V2.4 版本，具备序列号、CRC 和看门狗机制，黑通道原则确保标准交换机不影响安全性。

实际操作步骤：

在 TIA Portal 中组态 F-I/O 模块，分配安全地址。
编写安全程序：温度超限（>180℃）持续 2s 后触发联锁。
进行故障注入测试：断开一路传感器、短路输出、篡改通信数据。
测量实际响应时间：从温度阶跃到阀门关闭，实测 145ms（含通信周期 10ms）。
出具验证报告，包含 PFH 计算书和测试记录。

结果与复盘：系统通过 TÜV 认证，SIL 2 证书有效。复盘发现，初始设计忽略了安全栅的 PFH 贡献（约 0.3×10⁻⁷），导致总 PFH 接近上限。后续优化将安全栅更换为更高可靠性的型号，并增加诊断覆盖率。经验：PFH 计算必须包含所有串联元件，包括安全栅、隔离器和端子。

风险警示：不要将标准以太网交换机直接用于安全通信。即使使用 PROFIsafe，也必须确保交换机满足实时性要求（如 IRT 或 TSN），否则通信抖动可能导致安全帧超时，触发误停车。建议使用专用安关或带 TSN 功能的工业交换机。

3.4 安全生命周期：从概念到退役的完整管控

安全生命周期（Safety Lifecycle）是 IEC 61508 的核心框架，它将安全相关系统的开发划分为 16 个阶段，从概念设计到退役拆除。每个阶段都有明确的输入、输出和验证活动。对于远程IO系统，生命周期管理尤其重要，因为硬件更新、固件升级和网络调整都可能影响安全性能。

关键阶段与远程IO实践：

阶段	关键活动	远程IO设计要点
概念	定义安全功能与风险	确定安全功能列表（如急停、联锁）
系统设计	架构选型、SIL/PL分配	选择 F-I/O 模块、冗余结构、通信协议
硬件开发	电路设计、失效模式分析	FMEA 分析、诊断覆盖率验证
软件验证	安全程序测试、故障注入	F-PLC 程序逻辑测试、通信中断测试
集成测试	系统联调、响应时间测量	全链路测试（传感器→IO→PLC→执行器）
运行维护	定期检验、故障处理	远程IO自诊断、通道老化监测
退役	安全功能移除	确保联锁旁路有明确审批流程

在运行维护阶段，远程IO系统应支持在线诊断和安全参数监控。例如，F-I/O 模块的通道状态、CRC 错误计数、通信延迟变化等都应记录并报警。当发现某通道的故障率上升时，应提前更换模块，避免安全功能降级。

经验总结：安全生命周期不是文档负担，而是工程质量的保障。建议在项目启动时建立“安全档案”，包含所有版本的安全程序、PFH 计算书、测试报告和变更记录。每次修改（哪怕是更换同型号模块）都必须重新评估影响，并更新档案。这不仅是认证要求，更是对现场人员生命安全的负责。

最后，必须强调：功能安全不是“一次性认证”，而是持续的过程。远程IO系统的安全性能会随着元器件老化、环境变化和通信负载增加而改变。因此，定期进行安全验证测试（如每半年一次的全链路联锁测试）和PFH 重新计算是必要的。只有将标准、指标和生命周期管理有机结合，才能真正实现“设计安全、运行安全、维护安全”的闭环。