2. 安全标准与规范
工业安全控制器的架构设计不是“凭经验堆冗余”，而是以功能安全标准为约束条件，把安全需求逐层分解为可验证的硬件与软件结构。理解 IEC 61508、IEC 61511、ISO 13849 与 GB/T 20438 之间的关系，是确定安全完整性等级、选择冗余架构、规划合规路径的前提。
一、核心标准的分工与层级关系
IEC 61508 是功能安全的“基础标准”，面向电气/电子/可编程电子安全相关系统，提出安全生命周期、安全完整性等级（SIL）、硬件失效裕度、系统能力等通用要求。IEC 61511 是流程工业的“行业标准”，把 IEC 61508 的原则落地到过程工业的安全仪表系统（SIS），强调安全要求规格书、SIL 验证与操作维护。ISO 13849 面向机械安全控制系统的性能等级（PL），以类别、MTTFd、DC、CCF 等参数评估。GB/T 20438 等同采用 IEC 61508，是国内功能安全的基础依据。
二、关键要求：从 SIL 到架构约束
IEC 61508 对安全控制器的核心要求可归纳为三条主线。第一，安全生命周期：从概念、危险辨识、安全需求分配、设计实现、验证确认到运行维护，每个阶段都有输入输出与验证活动。第二，安全完整性等级：SIL 1~4 对应不同的每小时危险失效概率（PFH）与硬件失效裕度，SIL 越高，对冗余、诊断和共因失效控制的要求越严。第三，架构约束：根据安全失效分数（SFF）和硬件容错（HFT）确定允许的最高 SIL，例如 Type B 元件在 HFT=0、SFF<60% 时只能达到 SIL 1。
IEC 61511 在流程工业中进一步要求：每个安全仪表功能（SIF）必须独立定义，SIL 定级需结合风险图或 LOPA 分析；安全要求规格书必须明确功能、完整性、响应时间和操作模式；SIL 验证需计算 PFDavg 或 PFH，并考虑共因失效、诊断覆盖率和测试周期。ISO 13849 则用性能等级 PL 描述机械安全控制系统的可靠性，通过类别、MTTFd、DC 和 CCF 四个参数查表确定 PL，强调“结构 + 可靠性 + 诊断”的组合评估。
合规路径的核心逻辑：先确定安全功能与目标 SIL/PL，再选择满足架构约束的冗余与诊断结构，最后用计算与测试证据证明达到目标完整性。
三、方法流程：安全控制器合规设计五步法
- 危险辨识与风险评估：识别危险源、风险频率与严重度，确定安全功能清单。
- 安全需求分配：为每个安全功能分配目标 SIL 或 PL，形成安全要求规格书。
- 架构选型与约束校验：根据 SFF、HFT、类别、MTTFd、DC、CCF 选择 1oo1、1oo2、2oo3 等架构。
- 定量计算与验证：计算 PFH/PFDavg 或 PL，验证是否满足目标等级，并检查共因失效控制。
- 证据链与变更管理：保留验证报告、测试记录、FMEA/FMEDA、变更影响分析，形成可追溯证据链。
四、案例场景：反应釜安全联锁的 SIL 2 合规设计
某化工反应釜需要实现“超温超压联锁切断进料”的安全仪表功能，目标 SIL 2。设计团队采用 1oo2 冗余压力变送器 + 安全控制器 + 1oo2 切断阀架构。控制器选用符合 IEC 61508 SIL 3 的认证产品，但系统整体 SIL 受传感器和最终元件限制。通过计算，传感器子系统 PFDavg 为 3.2×10⁻³，控制器为 1.1×10⁻³，最终元件为 4.5×10⁻³，系统总 PFDavg 约 8.8×10⁻³，满足 SIL 2 的 10⁻³~10⁻² 区间。同时，团队通过 FMEA 识别共因失效，采用不同品牌变送器、独立电源和交叉诊断降低 CCF。
| 标准 | 适用对象 | 核心等级 | 关键参数 | 合规输出 |
|---|---|---|---|---|
| IEC 61508 / GB/T 20438 | 通用 E/E/PE 安全系统 | SIL 1~4 | PFH、SFF、HFT、DC | 安全生命周期文档、验证报告 |
| IEC 61511 | 流程工业 SIS | SIL 1~3 | PFDavg、SIF、测试周期 | 安全要求规格书、SIL 验证 |
| ISO 13849 | 机械安全控制系统 | PL a~e | 类别、MTTFd、DC、CCF | PL 评估报告、安全功能验证 |
五、误区与复盘
常见误区一：认为“控制器达到 SIL 3，整个系统就是 SIL 3”。实际上系统 SIL 由传感器、逻辑控制器、最终元件三部分共同决定，短板决定整体等级。
常见误区二：只关注随机硬件失效，忽略系统失效与共因失效。标准要求系统能力、技术措施和变更管理同样受控。
常见误区三：把 ISO 13849 的 PL 与 IEC 61508 的 SIL 直接等同。两者评估维度不同，只能参考对应，不能简单替换。
复盘时建议建立“标准—需求—架构—计算—证据”五列对照表，逐项检查每个安全功能的目标等级、所选架构、关键参数、计算结果和验证证据。只有把标准要求转化为可量化、可验证的架构约束，安全控制器的设计才具备真正的合规性与工程可信度。